iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 20:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【全家會員新戰略】率先布局家庭式採購需求，更用會員數據開發高毛利業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;">【全家會員新戰略】</span></span><br /> <span style="color:#3399ff;">●會員經營焦點從個人擴大到家庭<br /> ●推出家庭訂閱制及可轉贈票券平臺<br /> ●推出支付工具蒐集跨通路消費數據</span></strong></span></p> <p>今年，全家根據分析會員App功能使用數據結果，推出家庭訂閱制度，意圖用活躍會員帶來更多活躍會員，並從個人等級的會員經營，擴張到以家庭為經營單位。全家會員經營戰略發展進程中，早已內化了活躍會員這一概念，因此今年已經脫離單純累積活躍會員的階段，進一步發展更多活躍會員經營方法。</p> <p><span style="font-size:28px;"><strong>超商會員數據經營起步最早，6年前就提出可追蹤會員概念</strong></span></p> <p>2016年，全家手握200萬會員，不過，為了強化會員消費行為追蹤及數位經營能力，全家決定將整個會員制度打掉重練，改用以App為中心的會員制度。全家是超商中最早提出「可追蹤會員」概念的超商，透過全面數位化會員功能，並不斷推出具高度吸引力的新功能讓會員累積使用數據，在數位會員經營賽道上領跑了好幾年。數年間，靠著領先統一超多年的咖啡跨店寄杯功能，以及開放點數兌換實用的民生用品，全家會員人數穩定增長，2019年率先達到千萬人等級。</p> <p>從公開資料中，可以窺見全家達到千萬會員後，透過數據經營會員的計畫進程。2019年，全家法說會資料中提到，自家CRM精細到以單店作為為經營單位。2020年，開始計畫進一步蒐集、分析會員數據，到了2021年更導入AI行銷科技解決方案，進行線上線下會員數據分析及自動化行銷，並延續單店會員經營方針，計畫進行單店活躍會員經營及單店單品建議研究。全家也揭露數位行銷策略擬定的4大支柱，是廠商行銷主檔、商品行銷主檔、單店行銷主檔以及會員數據，將供應方、總公司及分店的行銷需求，與購買方需求媒合。</p> <p>2022年，全家首次提及養成內部數據團隊計畫，要內化數據驅動到公司核心政策，主要職責也包括自行開發自動化行銷及AI/ML演算法模型。全家有信心落實這些做法，就是因為已經掌握這些措施背後不可或缺的大量會員數據。</p> <p><span style="font-size:28px;"><strong>推出家庭訂閱制及票券平臺，增加數據分析面向</strong></span></p> <p>全家App上五花八門的各項行銷模組是會員數據的重要來源，包含折價券、活動集章、成就積分系統、小遊戲、珍食等各類地圖，全家利用歷史數據分析結果推送給潛在目標受眾，再記錄發送數、兌換率、再購率等數據，用於未來行銷優化。</p> <p>今年推出的家庭訂閱制功能，就是建立在過往數據分析結果的基礎上。經過會員App使用數據分析，全家發現將購買商品轉贈給其他會員的功能，一年累計高達上億次使用筆數，且轉贈對象重覆性高。確認消費者需求後，全家才順勢推出家庭訂閱制行銷模式，鼓勵會員與親友帳號連接，以家庭為單位一次購買大量商品。</p> <p>有王品等大型品牌經營經驗的亞太行銷數位轉型聯盟協會理事長高端訓評論，家庭訂閱制提供了會員數據新面向，讓全家能以家庭或親友團為單位觀察會員需求，也能讓活躍會員帶動其他人使用會員App功能，是一種高效率獲客方法。他說明，家庭訂閱制會提供活躍會員誘因，主動幫全家過濾出潛在客群，全家便能積極將這些已經有需求的潛在客群轉為常客。他也推測這個商業模式可能對IT帶來的技術挑戰，包括加入新資料分類方法、建立消費需求歸因機制以及設計以家庭需求為單位的行銷模式等。</p> <p>今年另一項瞄準轉贈需求的做法是推出票券平臺，販售餐旅及生活類品牌的票券。今年年底，全家與票券廠商合作，一口氣推出了數十家異業品牌票券。特別的是，這些票券中有許多是批量販售且折扣幅度較有限，甚至有原價商品票券。不過全家表示，票券平臺主打的是提供各種品牌商品的線上通路，與一般主打優惠程度的票券功能不同，主要目的是讓會員能直接透過App購買多種品牌的異業商品，並相互轉贈。</p> <p><span style="font-size:28px;"><strong>推動能個人化行銷的智慧聯播網，將會員數據變現為廣告收入</strong></span></p> <p>全家變現會員數據價值的手法，除了嘗試提升會員消費貢獻，還有另一種做法，脫離了超商原本薄利多銷的利潤結構。那就是把以自家會員數據為籌碼，將自家零售媒體聯播網（RMN）的可精準化行銷廣告版位開放給供應商競標。</p> <p>全家RMN開放了自家數位廣告版位，包括店面內電子看板、數位自媒體、會員App、線上商城等，以及多元溝通管道，例如電子郵件、手機簡訊、Line官方帳號等，給廠商置入廣告。在可以呈現差別化內容的通路，更能根據會員樣貌、品牌關聯、競品關聯、併買關聯等數據，進行自動化分眾行銷，並追蹤行銷成效，回饋給廠商。</p> <p>高端訓指出，傳統變現會員數據的方法是，將數據分析結果用於自家行銷活動。這種做法，變現會員價值的階段在於消費，行銷只是促成消費的手段。雖然確實會帶來會員消費營收，不過銷售商品需考量進貨成本及營業費用，因此利潤較低。從全家年報可以看到，歷年毛利率約36%，營業利益率則不到5%。</p> <p>不同於傳統做法，經營RMN則是把行銷行為本身作為商品，販賣給自家供應商，將會員變現為廣告利潤。與此同時，由於廣告商品多在自家通路販賣，超商仍然能獲得會員消費的營收。高端訓表示，「當年王品聯播網App的40人團隊，完全都由外部廣告及聯名卡抽成等合作收入自給自足」，推測這種商業模式為全家帶來相當可觀的商機。他也認為，用會員數據經營RMN，需要有大量會員數據、嫻熟的會員數據分析能力及自動化行銷技術，顯示出全家數位化會員經營模式已經相當成熟。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154287" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span> <a href="https://www.ithome.com.tw/article/154287" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1104-feng_mian_p1-open-you_hua_-960x420_kao_bei_.jpg?itok=rgkljoC7" style="width: 550px;" /></a></p> </div></div></div>
2022/11/21 00:00作者郭又華https://www.ithome.com.tw/news/154217
【萊爾富會員新戰略】要靠策略聯盟突圍，累積活躍會員人數及跨通路數據
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong><span style="font-size:22px;"><span style="color:#FFFFFF;"><span style="background-color:#3399ff;">【萊爾富會員新戰略】</span></span><br /> <span style="color:#3399ff;">●今年開始積極強化會員數據經營<br /> ●販售優惠票券吸引線下異業消費者<br /> ●結盟電商平臺累積線上通路數據</span></span></strong></p> <p>在超商雙雄相繼達標1,500萬名會員之際，今年萊爾富便利商店會員人數剛達到500萬人。作為規模第3大的超商，萊爾富會員經營起步較超商雙雄晚，但今年也要開始用數據驅動會員行銷。萊爾富數位商務處處長葉育堅認為，超商要做分眾行銷，理想中一個分眾要5萬人，才能兼顧精準度及規模，這也是萊爾富達到500萬會員才開始論及會員數位經營的原因。</p> <p>萊爾富數位會員經營戰略分成3部分，發行餐飲品牌聯合電子票券、發展電商平臺策略結盟、以及利用數據分析技術剖析會員消費行為，意圖從線下異業和線上異平臺同盟，獲取更多會員及會員數據來分析。</p> <p>萊爾富每家分店會員數超過3,200人，活躍會員比例近5成，與超商雙雄不相上下。因此，以門市為中心吸引消費者加入會員的作法，萊爾富和其他兩家超商一樣，終將受到地理距離限制而無法持續帶來新會員。但論總會員人數，萊爾富則只有兩家的三分之一。從臺灣總消費人口的角度來看，萊爾富似乎還有很多獲客空間。</p> <p>為了持續衝刺會員人數，萊爾富今年三大會員數位戰略中，就包含了線下獲客及線上兩種獲取會員的做法。</p> <p><span style="font-size:28px;"><strong>突破地理距離限制，嘗試吸納異業消費者成為會員</strong></span></p> <p>第一部分是在會員App長期販售異業優惠電子票券。這是透過線下異業來獲取會員的做法。比起在超商通路銷售限量聯名商品，來獲得短期促銷效果，萊爾富異業合作模式更要將消費者變成會員，來開發更多長期價值。</p> <p>葉育堅說，電子票券看似簡單，但仍有兩個最大的關鍵挑戰，是「利潤分配談判及系統即時串接。」</p> <p>首先是利潤分配問題。萊爾富並非大型票券平臺，行銷能力還沒受到市場肯定，再加上為了提供更高折扣來吸引消費者，優惠票券單價也不高。這些都會壓縮萊爾富商議利潤分配的空間。不過，萊爾富深知販售票券的最終目的不是為了賺抽成，而是要透過差異化服務，持續引導消費者成為會員並來店消費。因此，「若能提高廠商合作意願和消費者購買意願，萊爾富壓縮票券收益」葉育堅說。</p> <p>另一個挑戰是帳務系統必須即時同步。由於票券本身在萊爾富App系統，但使用場景在異業店面中，因此當消費者兌換票券時，雙方系統都要立即核銷票券，才能避免消費者重複使用票券或用完之後還能退貨，造成帳務混亂。這就需要萊爾富票券核銷系統與業者POS系統整合，技術不難，但萊爾富需要協調自家IT與POS系統商的時程，光是協調排程可能長達半年，讓合作案停滯。因此，萊爾富也準備了Web app或外部終端機的票券核銷介面，作為替代方案來加速專案推進。</p> <p><span style="font-size:28px;"><strong>進行電子商務策略結盟，洞察會員跨通路消費行為</strong></span></p> <p>雖然串接異業合作商家系統，有助於分析票券的行銷成效，還能窺見會員在合作商家的消費行為，不過線下異業合作主要以餐飲業為主，因此涵蓋的面向不算廣。相對來說，跟電商平臺形成策略聯盟，就更容易獲得大量且多面向的會員消費數據。</p> <p>今年，萊爾富與電商平臺Line購物及開店平臺Cyberbiz形成策略聯盟，完成三方系統串接，讓會員消費數據能互通，更易於分析會員跨通路消費行為。</p> <p>萊爾富與Line購物合作主要是希望藉由加入Line Points生態系，同時獲得新會員及會員網購數據。萊爾富提供Line Points回饋、限定優惠等誘因，嘗試將Line購物龐大的人流量導向實體門市。據萊爾富統計，Line購物不僅帶來大量新會員，還活化了40%非活躍會員，客單價更超過一般消費者3倍。當消費者用這些可追蹤的Line Points消費，Line還會將去識別化的消費數據洞察報告提供給萊爾富，結合萊爾富自身消費數據一同分析。</p> <p>另一方面，過去萊爾富就有與Cyberbiz平臺合作，時常推出物流免運服務，期待將人流導致線下店面，以增加消費機會。今年，萊爾富進一步利用Cyberbiz服務，推出線上購物商城，提供線下店面沒有的商品，來探索會員更多面向的消費需求。</p> <p><span style="font-size:28px;"><strong>開始貼標分析會員，擬定未來會員分級制度，強調非消費型服務</strong></span></p> <p>獲得了大量會員數據後，萊爾富會員數位經營的最後一招，是利用數據分析技術，透過貼標等方法將會員分群，進行精準行銷。儘管才剛開始進行會員數據分析，但已經發現不少洞察，值得作為行銷策略擬定參考。葉育堅舉例，購買漢堡票券的會員，在線下門市購買泡麵頻率相當高，因此可以針對這些會員，推出速食類商品的專屬優惠。他們還發現，84%會員總消費金額僅由最活躍的12%會員貢獻，因此未來決定推出會員分級制度，為高貢獻度會員規畫更優惠的促銷方案。</p> <p>葉育堅補充，萊爾富會員分級不只要考慮消費頻率及客單價等消費相關指標，更要納入其他非消費性服務的使用頻率，因為它們也能創造來店誘因。「尤其是代收服務，這是剛性需求。」</p> <p>萊爾富提供2,000種以上的代收種類，且根據經濟部統計，每個人一個月最多可以繳費到10種帳單，因此會員代收種類及頻率等數據夠多、夠廣，也可以用來分析，並用於優化行銷手法。例如代收後附贈的優惠券是一個葉育堅看到可以優化的行銷管道。他說，目前這些優惠券，都只是當下超商想促銷的商品，完全沒有考慮會員身分或喜好，若依照會員偏好決定推銷商品，有望大幅提升轉換率。未來，萊爾富打算從代收項目分出10種客群做行銷。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154287" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span> <a href="https://www.ithome.com.tw/article/154287" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1104-feng_mian_p1-open-you_hua_-960x420_kao_bei_.jpg?itok=rgkljoC7" style="width: 550px;" /></a></p> </div></div></div>
2022/11/21 00:00作者郭又華https://www.ithome.com.tw/news/154219
【會員戰略大轉向，單一顧客貢獻度成決勝關鍵】3大超商會員數據大賽白熱化，顧客口袋占有率成新目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年，臺灣3家分店破千超商的新戰略轉向，將為全臺灣線上線下零售業者的競合版圖帶來變動。這是因為，總計坐擁12,000家分店、3,500萬筆會員資料的零售王者，開始更積極將觸角伸進消費者更多面向的消費需求。</p> <p>2022年，統一超商、全家便利商店、萊爾富便利商店的會員人數紛紛達成重大里程碑。超商雙雄都超過1,500萬人，萊爾富則突破500萬人大關。這家3超商，平均一家分店的會員數約3,000人，其中約一半是近期有到店消費紀錄的活躍會員。</p> <p>萊爾富數位商務處處長葉育堅指出：「分店會員數達到這種規模後，以實體店面為中心招募會員的模式，無法繼續高速累積會員。」會員經營要往下走，超商必須另尋他法，3家超商不約而同都採取了相同的策略，就是深化數位經營，來增加單一會員的貢獻。</p> <p>就此，全臺規模最大的會員爭奪戰，今年進入了一個新階段。超商從爭奪更多會員占有率，轉為攻占個別會員口袋占有率，也就是狙擊消費者本來會在其他超商，甚至其他零售業者滿足的消費需求。這個戰略轉向，不僅會使業內更加激烈的互相搶奪消費需求，開發新市場以及形成各式異業策略聯盟的過程中，也將改變全臺灣線上線下零售業的競合關係。</p> <p>爭奪口袋占有率的關鍵是，用分析會員數據的結果，來驅動更精準、更個人化的行銷活動。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1105-%E5%B0%81%E9%9D%A2P2-%E4%B8%BB%E6%96%87-600-big-V2(1).png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1105-%E5%B0%81%E9%9D%A2P2-%E4%B8%BB%E6%96%87-600(1).png" style="width: 589px;" /></a></p> <p><span style="font-size:28px;"><strong>會員數據經營賽開跑，誰贏在起跑點上？</strong></span></p> <p>今年，3家超商經營會員的戰略中，都脫離不了以數據為會員經營基礎。不只是宏觀的整體銷售數據──超商更要分析微觀的、深度的個人消費行為數據，來提升個別會員貢獻。因此，有近期消費數據的活躍會員，開始受到超商更高度重視。他們是超商提煉行銷和營運參考數據的來源，也是個人化行銷的對象，還能轉化為新會員磁鐵和廣告收入籌碼。</p> <p>將彼此視為頭號競爭者的超商雙雄之間，全家便利商店比統一超商更早開跑。全家搶先統一超推出會員點數數位化、紅利化，以及咖啡跨店寄杯等App功能，搭配以個別店面為單位的在地化會員經營，成為最早達標1,500萬名會員的超商。不只最早開始用數位化方法經營會員，他們也最早在公開資料中提及個人化數據分析策略。到了今年，全家已經要從個人級別的活躍會員數據分析，進階到更複雜的人際網絡級別數據分析。對會員數據的高掌握度，也讓他們能將會員數據變現為額外廣告收入。</p> <p>統一超商雖然起步較晚，但有著統一集團龐大規模撐腰，任何會員經營做法的效益都會被放大。例如2019年，統一超會員人數只有650萬人，但2020年整合集團其他通路會員資料後，人數直接突破千萬人大關。受益於龐大集團生態圈，統一超的會員優惠、點數折抵、數位支付等會員功能，這一年已經能在超過18個品牌間使用。統一超高速追趕全家進度，今年也加入了1,500萬會員人數的俱樂部，會員經營目標從累積總會員數，轉向提升活躍會員數，更訂下增幅60%的高成長目標，透露出大力推動會員數位經營的企圖心。</p> <p>超商界老三萊爾富便利商店規模不如超商雙雄，但超過1,500家分店的通路優勢，放眼零售業仍然不容小覷，連超市界龍頭全聯福利中心的1,117家分店都略少於萊爾富。因此萊爾富今年積極利用通路優勢，和線上線下異業結成策略聯盟，來拓展會員生態圈及跨通路消費數據來源，作為未來長期萃取會員價值的基礎。</p> <p>這場數位會員經營賽，3家超商的起跑點各不相同，但殊途同歸，都是要善用會員數據作為精準行銷及提供差異化服務的養分，來提升自家活躍會員的數量及貢獻。</p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> </span></strong></span></span><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"><a href="https://www.ithome.com.tw/article/154287" target="_blank"><span style="color:#FFFFFF;">相關報導</span></a><span style="color:#FFFFFF;"> </span></span></strong></span> <a href="https://www.ithome.com.tw/article/154287" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1104-feng_mian_p1-open-you_hua_-960x420_kao_bei_.jpg?itok=rgkljoC7" style="width: 550px;" /></a></p> </div></div></div>
2022/11/21 00:00作者郭又華https://www.ithome.com.tw/news/154237
【統一超商會員新戰略】善用集團規模優勢，靠超大型生態圈擴大會員經營效益
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong><span style="font-size:22px;"><span style="color:#FFFFFF;"><span style="background-color:#3399ff;">【統一超商會員新戰略】</span></span><br /> <span style="color:#3399ff;">●提升活躍會員比例成首要戰略<br /> ●用集團優勢放大會員經營效益<br /> ●將會員生態圈拓展到更多集團外品牌</span></span></strong></p> <p>今年年初，統一超商正式將會員經營目標從衝刺總會員人數，轉向增加活躍會員比例，今年要一口氣增加60%活躍會員，目標是1,400萬名（現已達1,500萬名）會員中，960萬人是近期有消費數據的活躍會員。這意味著，統一超會員經營戰略態度，已經不再只是提供大量功能讓會員自己選擇，而是從被動轉為主動，用數據分析鎖定會員需求，推出高使用率、高行銷價值的會員功能。</p> <p>達到此目標關鍵是，用會員生態圈內眾多消費情境，吸引消費者使用會員功能，再透過生態圈內品牌互相導流這些會員。</p> <p><span style="font-size:28px;"><strong>經營龐大會員生態圈，增加會員功能使用情境</strong></span></p> <p>統一超是統一集團內最大的通路，也是整個集團會員數據分析、行銷策略擬定及執行的主要負責單位。不過在會員經營上，統一超特別強調集團會員生態圈的概念。統一超會員生態圈橫跨統一集團數十個品牌，近年更開始向集團外拓展。</p> <p>統一集團旗下零售通路類別囊括百貨、超商、餐飲、超市、電商，若成功收購家樂福，還會包括量販。統一集團的龐大規模及跨通路特性，在近年統一超會員經營策略中扮演著重要角色。</p> <p>統一超有一支獨立於官方App的會員App。這與全家和萊爾富官方App就是會員App的做法不同。</p> <p>統一超會員App的名稱都是以生態圈點數Open Point命名，體現出統一超用跨品牌點數貫穿整個集團會員的策略。</p> <p>打開會員App首頁，便會看到大量統一集團各個品牌的促銷活動及熱銷商品資訊。進入點數兌換頁面，更會發現統一超的商品並未被特別凸顯，而是作為生態圈內眾多品牌的其中之一，低調融入其中。</p> <p>由於統一超會員生態圈龐大，且積極創造會員App使用情境，根據資策會今年調查，統一超會員App是2022年超商類App使用率第一名。</p> <p>此策略可以追溯到2019年，統一超開始逐步整合統一集團旗下18個通路的會員資料，使會員人數從650萬人大幅成長到1,200萬名，一口氣追上全家人數規模，也讓會員點數使用情境大幅擴增。</p> <p>統一超深知生態圈規模的重要性，因此將集團內品牌會員整合至一定程度後，更開始與集團外部品牌合作，構建龐大會員生態圈，推出多通路累積點數及消費折扣方案，讓會員能依據自身生活中各式消費需求，來選擇會員優惠使用情境。直到今年，統一超會員系統已經串聯50個以上的品牌，會員只要開啟一個App、用同一個會員帳號，就可以在這些品牌進行支付、點數累積及兌換折扣。</p> <p>不過，這個階段，統一超運用龐大生態圈優勢的做法仍相當被動，仰賴會員自發選擇符合自身需求的功能，而非超商以數據分析為基礎，主動對會員精準行銷。</p> <p><span style="font-size:28px;"><strong>無所不在的服務，也是無所不在的數據蒐集點</strong></span></p> <p>從法說會和年報等資料可以觀察到，進入2021年，統一超內部開始更加強調會員經營，並積極思考如何用數據驅動精準行銷，要主動推出與會員需求相關的產品及行銷方案，而非一味推出新服務後讓會員選擇。</p> <p>今年，為了活化會員，統一超繼續發揮統一集團規模優勢，持續擴張自家點數功能及使用場域，以期涵蓋更廣的會員使用情境，能加速累積跨通路會員數據。新措施包括將會員生態圈推至集團外的美廉社及國泰人壽等企業、推出咖啡及愛心捐款訂閱制、中獎發票智能兌獎以及點數折抵代收項目等功能。</p> <p>當統一超能分析消費者使用會員功能所產生的數據，用於產品及行銷設計的優化參考，建構龐大會員生態圈就有了新的戰略意義：不僅是為會員增加選擇，更為統一超增加會員行為數據蒐集點。政治大學資訊管理學系教授莊皓鈞也推測，收購有900萬名會員的家樂福後，就算會員系統無法立即整合，統一超也會盡快串聯支付、會員點數系統跟雙方會員資料，來進行更全面的會員數據分析。</p> <p>不只透過積極增加會員生態圈品牌，來拓展數據蒐集點跟涵蓋面向。統一超還有另一個增加超過1,700個數據蒐集點的方法。</p> <p>這個做法就是推出獨立於店面的機臺，包括號稱一坪一間迷你超商的各式智慧販賣機，以及可以回饋消費金或會員點數的資源回收機。這些機臺有與會員App功能串接的功能，例如咖啡跨店寄杯可以於智慧販賣機兌換。超商也會在會員購物或進行資源回收時提供點數回饋，作為消費者表明會員身分的誘因，進而蒐集會員行為數據。目前智慧販賣機已經有4種機型、鋪機超過1,500臺，資源回收機則預計明年增設至200臺，成為實體店面以外的龐大線下數據蒐集網絡。</p> <p>從被動提供大量選擇，到主動根據數據分析結果推動會員經營策略，這個思維轉變，今年逐漸落實在更多統一超做法中。例如，統一超內部分析發現，會員App較常開啟的服務包括行動支付、點數兌換及折抵、活動集點卡、咖啡跨店寄杯、愛心捐款捐點等功能，統一超今年推出的咖啡及捐款訂閱制，便是以此為依據。年營收150億的咖啡產品線City Cafe，累積了大量相關消費數據，因此統一超今年也計畫導入精準化行銷模組，來持續增加此產品線的會員兌換率跟業績。統一超推動的會員經營政策，已經開始顯露成效，至2022年第3季，會員貢獻金額已經較去年同期成長超過2成。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154287" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span> <a href="https://www.ithome.com.tw/article/154287" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1104-feng_mian_p1-open-you_hua_-960x420_kao_bei_.jpg?itok=rgkljoC7" style="width: 550px;" /></a></p> </div></div></div>
2022/11/21 00:00作者郭又華https://www.ithome.com.tw/news/154245
【專家意見：政治大學資管系教授莊皓鈞】超商可更用個人化數據行銷，減少任何不必要的降價
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>超商固然樂見透過促銷增加銷量，不過透過降價吸引消費者購買，利潤也會相應降低。長年研究零售數據分析的政治大學資訊管理學系教授莊皓鈞觀察，「零售界的新觀念是，任何不必要的降價都是一種浪費。」</p> <p>「零售業現在要提升行銷精細程度，更大幅減少無謂的降價。」莊皓鈞進一步解釋，行銷技術從無差異化行銷發展到分眾行銷，現在已經再進階到個人化行銷，超商能更精細地根據消費者需求，給出最合適的折扣方案。不過，「要實現個人化行銷，首先便要提升會員需求數據的掌握程度。」</p> <p>傳統上，零售業訂價時，大多用整體銷售量數據來分析，一方面要找出需要促銷的商品，但又得兼顧折扣成本不能造成虧損。莊皓鈞說，這種方法得出的行銷方案無法區分消費者，容易造成不必要的浪費。例如，當所有人買飲料都是第2件8折時，對於願意第2瓶9折購買的人而言，這樣的折扣就會造成浪費。</p> <p>「若從個人層級分析數據，便能開始針對不同族群或個人，給出不同程度的降價。」莊皓鈞指出。目前零售業界較常使用的差異化訂價策略是分眾行銷，將消費者依照不同特徵分為不同群體，祭出專屬群體的行銷方案。莊皓鈞說，分眾越精細，就越能達到個人等級的訂價及行銷，更大程度的避免過度降價。</p> <p>莊皓鈞認為，要從個人等級避免過度降價，最理想的做法是，排除原價就會購買的消費者，再分析其他消費者分別需要給出多少折扣才會買單，並對每個人給出最剛好的訂價。以美國零售巨頭Amazon為例，每一個會員在電商頁面上看到的商品推薦跟訂價都是量身打造的結果。他說，當臺灣超商會員數據分析及個人化行銷能力再進步，也能做到。</p> <p>不同於線上電商，實體超商如何做到個人化訂價及優惠？莊皓鈞說，個人化訂價原理都相同，都要在後端處理龐大數據的分析。雖然電商容易在網頁前端顯示個人化訂價及行銷，但超商透過App、POS機等終端，一樣可以做到會員身分辨認及個人化行銷，例如在App上推播個人化行銷訊息。</p> <p>莊皓鈞也指出，線下個人化訂價技術上可行，不過，比線上更容易因消費者間互相比較價格而衍生不滿，因此實務上需要數據分析團隊和行銷團隊合作。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154287" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span> <a href="https://www.ithome.com.tw/article/154287" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1104-feng_mian_p1-open-you_hua_-960x420_kao_bei_.jpg?itok=rgkljoC7" style="width: 550px;" /></a></p> </div></div></div>
2022/11/21 00:00作者郭又華https://www.ithome.com.tw/news/154248
【專家意見：高科大行銷與流通管理系教授吳師豪】超商得更善用顧客現場消費行為數據，及時抓住行銷機會
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年超商紛紛升級了作為店內運算核心的超商POS機，提升了單店邊緣運算能力。有多年零售業產學界經驗的高雄科技大學行銷與流通管理系教授吳師豪說，當店面有更強的運算能力，就能有意識的蒐集銷售現場數據，來及時行銷，抓住稍縱即逝的行銷機會。</p> <p>消費者在線上瀏覽商品頁面的行為能反映出當下興趣及需求，因此電商多會分析這些瀏覽行為，用於調整行銷內容。吳師豪指出，超商也能利用邊緣運算能力，在實體店面蒐集消費者停留、徘徊或查看商品的行為，並及時推播行銷訊息，來捕捉消費者一閃而過的興趣或需求。</p> <p>他舉例，現在已經有一些零售業者會利用Beacon微定位技術，對經過店面附近的會員推送行銷訊息，嘗試將會員吸引進店內。若感應到會員在店內一處停留較久，店家便會推測會員對此處商品有興趣但仍在猶豫中，並推送該區域商品的促銷優惠給會員。</p> <p>吳師豪說，這些消費者行為資訊一直都存在，可以對行銷帶來很大的幫助，但過去超商沒有善用這些數據。他認為，有了更強的POS機，超商便能開始蒐集消費者位置資訊、店內會員操作App行為、影像辨識消費者店內行為等數據，即時應用於店內行銷。</p> <p>另一項能用於即時調整行銷方案的數據是單店近期銷售數據。目前，超商POS機已開始利用銷售數據推薦進貨品項及數量的功能。吳師豪說，進貨是銷售的事前準備，難以考量銷售現場變數，因此銷售當下的行銷策略，更應該利用銷售數據分析來提升應變能力，尤其是針對時效性高的商品行銷。</p> <p>以超商即期鮮食為例，目前的行銷策略是，到了晚上固定時間便開始打折促銷。吳師豪說，這個策略難以應對銷售現場狀況。更好的做法是，考量當天銷售情況，甚至是周邊環境資訊，來即時決定恰當的行銷方案。例如，若有些品項近日熱銷，就不需要打折，或是減少折扣幅度，甚至當超商發現當天下雨，來店人數較少，可以考慮提早打折，根據現場情況最大化行銷效益。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154287" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span> <a href="https://www.ithome.com.tw/article/154287" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1104-feng_mian_p1-open-you_hua_-960x420_kao_bei_.jpg?itok=rgkljoC7" style="width: 550px;" /></a></p> </div></div></div>
2022/11/21 00:00作者郭又華https://www.ithome.com.tw/news/154249
【專家意見：亞太行銷數位轉型聯盟協會理事長高端訓】改用商品消費頻率分析個人化需求周期，更適時促銷維持會員活躍度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>超商為了分析會員消費數據，將活躍會員定義為有近期消費紀錄的會員，這是從來店頻率來定義活躍度。不過，有王品等大型品牌經營經驗的亞太行銷數位轉型聯盟協會理事長高端訓說，超商只從來店頻率來看會員活躍度不夠精細。要主動維持會員活躍程度，應該以商品消費頻率為單位，依照個人對不同商品的需求周期來行銷，以牢牢抓緊會員每一種需求。</p> <p>高端訓將會員活躍度依照消費頻率及產品需求周期分為3種狀態：活躍、預備冬眠跟冬眠。活躍會員每輪需求周期都會購買商品，若超過1個需求周期還沒消費，就進入預備冬眠狀態，超過3個需求周期則進入冬眠狀態。他認為，會員一旦進入冬眠狀態便很難喚醒，因此超商要在會員進入休眠狀態時有所警覺，盡早對會員進行相對應的促銷，喚醒會員對商品需求。</p> <p>依照會員消費周期來推銷的概念，類似於有些零售業者會幫消費者整理常買或愛買清單，在每次消費時提醒消費者，以避免流失消費者固定消費需求。不過採用這種做法的零售業者，會員消費模式與超商有很大的差別。這種清單通常針對定期大量採購需求，或容易在同一類型商品中形成固定品味的需求。兩者共通點是，每次訂單內容都很相似，因此業者只要觀察每次訂單重複品項，就能大致掌握消費者偏好。</p> <p>高端訓指出，超商進行周期性推銷的考量則更複雜，因為商品種類繁多且消費頻率高，消費者對不同種類的商品會有不同長度的需求周期，這些周期起訖甚至會橫跨數次消費間隔，導致每天訂單內容都不同。若會員每天都有消費紀錄，從消費頻率的角度來看，活躍度並未降低，但若從個別商品的角度來看，可能會發現特定商品回購率逐漸降低，需要透過促銷來嘗試喚醒消費需求。</p> <p>要辨認出這類警訊，高端訓建議，超商必須以個別產品為單位，分析大量歷史訂單，才能辨認出會員對每一項商品是否有固定需求周期，以及這些周期的長度，進而在會員購買間隔過長時，即時促銷以挽留消費意願。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154287" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span> <a href="https://www.ithome.com.tw/article/154287" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1104-feng_mian_p1-open-you_hua_-960x420_kao_bei_.jpg?itok=rgkljoC7" style="width: 550px;" /></a></p> </div></div></div>
2022/11/21 00:00作者郭又華https://www.ithome.com.tw/news/154251
世界級超商再進化的關鍵
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣的超商世界有名！不只是門市密度全球第二，僅次於南韓，但在超商服務項目的種類，包山包海，遠勝其他各國的超商。幾乎每一個到臺灣長住的外國人，返國後，最不習慣的一點就是，生活中少了一個無所不服務的超商。臺灣超商是世界級有名的產業。</p> <p>這個高度成熟發展的超商，總是可以找到服務創新的出口。尤其這幾年，三大超商紛紛展開數位轉型，投入超商科技化的研發，引進機器人手臂、無人結帳櫃檯、臉部辨識進行更多服務實驗，甚至發展出了販賣機超商、行動超商等，商業模式也從店面零售增加了物流、金流服務，成為小店家的出貨、進貨、收款的櫃檯等。</p> <p>會員App成了這幾年超商OMO戰略的發展重心，不只是成為超商2樓虛擬賣場，App點數促銷，成了提高會員到店黏著度的重要媒介，也讓超商累積更多顧客消費數據，甚至更多不同類型通路的消費行為紀錄，成為日後個人化行銷的重要參考。而超商App結合支付工具，則成了超商擴大會員生態圈的新策略，透過金流服務，將超商會員生態圈延伸到餐飲、百貨、生活、藥妝等不同類型產業的通路。</p> <p>2022年，兩大超商龍頭相繼展開了新一代POS機的大升級，淘汰用了10年的POS，改成多功能，多結帳模式的新世代POS機。</p> <p>不論是，統一超商或全家，都開始支援雙模式結帳，可由店員結帳，也可切換成顧客自助結帳，讓櫃臺動態調整更有彈性。不只如此，也大幅升級螢幕和POS機硬體，甚至可以在POS機進行邊緣AI運算，未來將有能力依據門市現場和顧客屬性，提供每一個人都不一樣的專屬精準行銷，將POS變成面對顧客的新OMO數位通路。</p> <p>用App發展OMO戰略、整合支付生態圈、發展新世代POS，這些策略都為了因應日益白熱化的超商會員大戰。尤其，今年開始，三大超商的會員經營戰略，不約而同都展開了大改變。</p> <p>最先達成1,500萬名會員的全家便利商店，很早就善用數位化方式來經營會員，率先將超商會員點數數位化、紅利化，也很早就開始善用會員數據來經營，今年更進一步，以個人為主的數據戰略，進階到更複雜的人際網絡，以家庭為單位來分析和運用數據，也開始建立廣告聯播網，提供程序化廣告服務，將會員紅利變現。</p> <p>統一超商的會員經營雖然起步較慢，但善用自家統一集團的優勢，在2020年整合集團各通路會籍資料後，以點數App為核心，串連了18個品牌的會員生態圈，帶動會員規模快速成長，今年會員數也突破了1,500萬人。統一超今年也改變戰略，不再追求會員人數，轉而聚焦活躍會員人數的提升，訂下今年要成長60%的高目標。</p> <p>分店數平列第三的萊爾富今年也開始聚焦會員大數據運用，今年新戰略要利用上千家通路優勢，和更多線上、線下異業結盟，一方面發展生態圈，也累積更多跨通路的消費數據。</p> <p>超商營運科技化，到超商會員經營數據化，世界級的臺灣超商產業，正展開全新一波的進化。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B6%85%E5%95%86">超商</a></div><div class="field-item odd"><a href="/tags/%E6%9C%8D%E5%8B%99%E5%89%B5%E6%96%B0">服務創新</a></div><div class="field-item even"><a href="/tags/%E6%95%B8%E4%BD%8D%E8%BD%89%E5%9E%8B">數位轉型</a></div><div class="field-item odd"><a href="/tags/omo">OMO</a></div><div class="field-item even"><a href="/tags/%E6%9C%83%E5%93%A1%E7%B6%93%E7%87%9F">會員經營</a></div><div class="field-item odd"><a href="/tags/%E6%95%B8%E6%93%9A">數據</a></div><div class="field-item even"><a href="/tags/%E8%A1%8C%E9%8A%B7">行銷</a></div></div></div>
2022/11/21 00:00作者王宏仁https://www.ithome.com.tw/voice/154286
3大超商會員戰略大轉變
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1104-feng_mian_p1-open-you_hua_-960x420_kao_bei_.jpg?itok=rgkljoC7" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3,500萬名超商會員大戰進入新階段，從擴大會員數，轉為瞄準會員口袋深度，統一超集團生態優勢繼續發威，全家率先經營家庭式會員，萊爾富則主攻異業策略聯盟</p> </div></div></div>
2022/11/21 00:00作者郭又華https://www.ithome.com.tw/article/154287
【資安日報】2022年11月18日，勒索軟體ARCrypter攻擊範圍從拉丁美洲擴及全球、北美線上購物者遭到網釣駭客鎖定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>智利政府與哥倫比亞研究所日前傳出遭到未知的勒索軟體攻擊，有資安研究人員表示，這兩起事故的攻擊者很可能相同，並表示雖然上述事件都發生在拉丁美洲，但駭客現在已開始攻擊其他國家的組織。</p> <p>隨著一年一度的大型購物季即將到來，除了有人鎖定電子商務平臺Magento的漏洞而來，也有針對購物者竊密的駭客組織。值得留意的是，這些駭客運用了相當特殊的URL混淆手法，而能逃過資安系統的攔截。</p> <p>F5針對旗下BIG-IP、BIG-IQ系統修補兩個重大漏洞CVE-2022-41622、CVE-2022-41800，這些漏洞一旦被成功利用，就有可能發動RCE攻擊。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://blogs.blackberry.com/en/2022/11/arcrypter-ransomware-expands-its-operations-from-latin-america-to-the-world"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體ARCrypter攻擊範圍從拉丁美洲擴及全球</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/arcrypter-fig02.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/arcrypter-fig02.png" style="width: 300px; height: 62px; float: right;" /></a>IT業者BlackBerry的威脅研究團隊指出，在今年8月與10月，鎖定智利政府、哥倫比亞國家食品暨藥物監督研究所Invima發動攻擊的勒索軟體駭客，很可能是同一組人馬，並將他們所使用的勒索軟體命名為ARCrypter。這個駭客組織當時的目標主要是拉丁美洲，但研究人員指出，如今駭客也攻擊中國、加拿大等其他國家。<a href="https://www.bleepingcomputer.com/news/security/previously-unidentified-arcrypter-ransomware-expands-worldwide/">資安新聞網站Bleeping Computer也觀察到類似狀況</a>，並發現有德國、美國、法國的受害組織。</p> <p>而對於攻擊的途徑，BlackBerry指出駭客疑似透過匿名檔案共享網站AnonFiles，散布win.exe及win.zip，一旦攻擊者下載到受害電腦並搭配特定參數與密碼來執行相關的壓縮與解壓縮動作，電腦將會感染ARCrypter，大部分檔案也會遭到加密。與其他勒索軟體相同的是，ARCrypter也會刪除磁碟區陰影複製（Volume Shadow Copy）的備份資料，但駭客為了持續在受害環境運作，他們不僅利用登錄檔在電腦開機就啟動勒索軟體，還會保持所有網路磁碟機為連線狀態。</p> <h3><a href="https://www.akamai.com/blog/security-research/sophisticated-phishing-scam-abusing-holiday-sentiment"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歲末購物季來臨，美國、加拿大消費者遭到駭客鎖定，冒用當地知名品牌發動網釣攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/sophisticated-phishing-scam-abusing-holiday-sentiment-four.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/sophisticated-phishing-scam-abusing-holiday-sentiment-four.jpeg" style="width: 300px; float: right;" /></a>雲端網路與資安服務業者Akamai的威脅情報團隊揭露從今年9月出現的釣魚攻擊，駭客鎖定在網路上找尋假日促銷活動的購物者，他們佯稱是知名的零售商或是產品製造者，宣稱購物者只要在5分鐘之內提供信用卡資料並支付運費，或是填寫簡單的問卷，就有機會獲得獎品。然而一旦購物者上當，他們的信用卡資料就會被駭客用於盜刷。研究人員指出，有89%存取釣魚網站的用戶為美國人及加拿大人。</p> <p>值得留意的是，這起攻擊行動裡，駭客的釣魚網站不只內容極為完整，甚至有收到禮物的用戶「評價」，駭客亦搭配了多種手法來規避偵測──這包含了濫用短網址服務、合法雲端服務（如Google Cloud、AWS主機服務、Azure blob儲存空間等），來降低受害者的戒心。</p> <p>此外，研究人員還發現了過往未曾出現的手法。例如，駭客在重新導向使用者的過程裡，濫用了統ㄧ資源識別碼片段識別符號（URI fragment identifier），以及針對每個遭到鎖定的目標產生專屬URL，而能夠躲過各式資安系統的偵測。</p> <h3><a href="https://medium.com/checkmarx-security/wasp-attack-on-python-polymorphic-malware-shipping-wasp-stealer-infecting-hundreds-of-victims-10e92439d192"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織WASP鎖定Python開發者而來</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1_63L1gU-jcc73Xqv6D5IKyw.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_63L1gU-jcc73Xqv6D5IKyw.png" style="width: 300px; float: right;" /></a>資安業者Checkmarx指出，在本月初由<a href="https://blog.phylum.io/phylum-discovers-dozens-more-pypi-packages-attempting-to-deliver-w4sp-stealer-in-ongoing-supply-chain-attack">Phylum</a>、<a href="https://research.checkpoint.com/2022/check-point-cloudguard-spectral-exposes-new-obfuscation-techniques-for-malicious-packages-on-pypi/">Check Point</a>揭露兩起惡意PyPI套件的攻擊行動，雖然手法存在顯著的差異，但攻擊者其實都是名為WASP的駭客組織，此組織專門利用竊密軟體WASP Stealer（編按：Phylum將其稱為W4SP Stealer），盜走開發者的Discord帳密、加密貨幣錢包、信用卡資料，並透過特定的Discord webhook網址將偷到的資料傳給駭客。</p> <p>根據研究人員的分析，攻擊者使用的是多型態（polymorphic）的惡意軟體，每次部署的酬載都會改變；此外他們也透過圖像隱碼術（steganography）來埋藏惡意程式碼，還會製造假的GitHub評價，來讓開發者上當。</p> <h3><a href="https://www.fortinet.com/blog/threat-research/new-rapperbot-campaign-ddos-attacks"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">遊戲伺服器遭殭屍網路RapperBot鎖定，被用於DDoS攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1668464186293.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1668464186293.png" style="width: 300px; float: right;" /></a>資安業者Fortinet揭露殭屍網路RapperBot近期的攻擊行動，他們發現此殭屍網路於10月上旬出現新的變種病毒，駭客鎖定《俠盜獵車手：聖安地列斯》多人連線遊戲（Grand Theft Auto: San Andreas Multiplayer）的伺服器而來，目的是要將其用於DDoS攻擊。</p> <p>研究人員指出，此殭屍網路病毒透過Telnet連線目標裝置，並採用內建的密碼本，嘗試暴力破解目標設備，不像過往採用SSH連線，也並非透過C2取得相關帳密資料；根據他們的分析，該病毒針對Arm、MIPS、PowerPC、Sparc架構的電腦而來，假如偵測到在Intel處理器的電腦上，就會停止運作。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.rapid7.com/blog/post/2022/11/16/cve-2022-41622-and-cve-2022-41800-fixed-f5-big-ip-and-icontrol-rest-vulnerabilities-and-exposures/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">F5修補BIG-IP、BIG-IQ的RCE漏洞</span></strong></a></h3> <p>資安業者Rapid7發現F5旗下BIG-IP、BIG-IQ系統的重大漏洞<a href="https://support.f5.com/csp/article/K94221585">CVE-2022-41622</a>、<a href="https://support.f5.com/csp/article/K13325942">CVE-2022-41800</a>，分別存在於iControl SOAP、iControl REST元件，前者可被用於跨網站偽造請求（CSRF）攻擊，且攻擊者無需通過身分驗證；後者則是攻擊者通過身分驗證並取得管理員權限後，可繞過設備模式（Appliance mode）的限制，濫用未公開的iControl REST端點。</p> <p>這兩個漏洞的CVSS風險層級為8.8分及8.7分，但研究人員認為影響有限，因為最嚴重的CVE-2022-41622需要多種條件搭配，攻擊者才能觸發漏洞，而F5表示，一旦這些漏洞被成功利用，後果將會相當嚴重。F5獲報後，近日發布了資安通告與修補程式。</p> <h3><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-fixes-windows-kerberos-auth-issues-in-emergency-updates/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟緊急修補Windows的Kerberos登入問題</span></strong></a></h3> <p>11月17日，微軟發布例外更新（OOB），目的是針對網域控制器（DC）在部署本月例行修補（Patch Tuesday）的更新軟體後，可能會衍生Kerberos認證問題，進行解決。</p> <p>這項問題有可能影響所有的Kerberos認證，網域群組的受管理服務帳號（gMSA）將無法進行身分驗證，遠端桌面連結也會失效，亦導致工作站電腦無法存取共用檔案，此外，需要網域用戶身分驗證的列印工作亦無法執行。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/qbot-phishing-abuses-windows-control-panel-exe-to-infect-devices/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體QBot濫用Windows控制臺主程式感染受害電腦</span></span></strong></a></p> <p><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-321a"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">已有1,300個組織遭勒索軟體Hive加密檔案</span></span></strong></a></p> <p><a href="https://maybuys.com/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">海外購物代運業者美買國際網站故障，疑為前技術人員破壞所致</span></span></strong></a></p> <p><a href="https://www.bankinfosecurity.com/misconfigured-server-exposed-phi-600000-inmates-a-20482?"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國醫療保險業者伺服器配置不當，曝露60萬囚犯個資</span></span></strong></a></p> <p><a href="https://www.bloomberg.com/news/articles/2022-11-15/fbi-is-extremely-concerned-about-future-tiktok-deal-christopher-wray-says"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國FBI指控中國大規模竊取商業機密與個資，尤以TikTok最讓人感到威脅</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154285"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Android版DuckDuckGo瀏覽器新增程式追蹤保護功能</span></span></strong></a></p> <p><a href="https://www.securityweek.com/firefox-107-patches-high-impact-vulnerabilities"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Mozilla基金會發布Firefox 107，修補19個漏洞</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154277">【2022年11月17日】公有雲業者AWS關聯式資料庫服務的快照暴露在外、惡意軟體載入器BatLoader攻擊行動升溫</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154223">【2022年11月16日】亞洲政府機關與憑證機構遭中國駭客Billbug鎖定、開發人員入口網站平臺Backstage出現重大漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154205">【2022年11月15日】中國駭客鎖定維吾爾人等少數民族發動攻擊、大規模網釣活動濫用逾400個品牌</a></strong></strong></strong></p> </div></div></div>
2022/11/18 17:19作者周峻佑https://www.ithome.com.tw/news/154295
臺灣人工智慧學校轉型，下一步要結合開源平臺、導入國際尖端技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣人工智慧學校校務長蔡明順今（11/18）在AI年會上表示，臺灣人工智慧學校（AIA）成立5年來，已開設97次專班、培育來自1,917家企業共9,000多名學員，橫跨15大產業，更有50家企業將內部30名以上員工送/參訓，如台積電、友達、富邦金、新光醫院等，涵蓋製造、醫療、金融、電信、學校與國營企業等領域。他點出，AIA目前已完成「為產業點火」第一階段目標，接下來，AIA導入國際AI尖端技術、定期提供AI最新資訊和AI社群發展，作為轉型發展重點。</p> <p><span style="font-size:24px;"><strong>AIA人才產業分析：IT科技業仍占大宗</strong></span></p> <p>蔡明順指出，AIA在2018年的成立初衷是「為產業點火」，將AI技術帶入各大產業、培育業界人才，因此成立以來，陸續開設各種專班來推動產業AI化、AI產業化，比如智慧醫療、智慧製造、智慧金融等產業專班，以及物件偵測、自然語言處理（NLP）和Edge AI等技術專班，甚至還有為因應2050年淨零碳排目標而開設的ESG碳中和專班。</p> <p>今年，蔡明順照例剖析AIA的校友分布，來檢視AIA與產業發展關係。至今，AIA已培育9,027名校友，其中5成為產業經理相關，包括周末的經理人研修班、智慧製造和金融產業專班，而技術工程類校友則占3成，包括技術領袖培訓班和各技術實作專班。特別的是，醫療產業專班占了15.4%，今年AIA校長暨中研院院士孔祥重開設的AI加速器短期訓練課程，則占了4.9%的校友總數。AIA也預告，未來將根據企業需求，開設更多切中業務核心的專班。</p> <p>另一方面，就校友產業分布來說，不論是經理人專班還是技術專班，資訊科技業都是最大宗、超過4成，而產業經理人班的第2大參與產業為半導體，占了12.7%，而技術專班則是傳產為第2大宗，占了27.9%（如下圖）。這一次，AIA也統計了校友年齡分布，產業經理班79%的校友為40至49歲，占最大宗，其次是50至59歲，技術工程班則稍有不同，73%的校友為30至49歲，醫療產業班也有65%的校友是30至49歲。令蔡明順印象深刻的是，AIA還有70至79歲的高階主管，甚至最年輕的有15歲學子，他認為不論年紀長幼，都抱持學習AI的熱忱。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-11-18%20at%205_17_07%20PM.png" /></p> <p>不只如此，蔡明順進一步指出，這些接受AIA培訓的校友來自1,917家企業，其中，將內部30人以上送/參訓的企業就有50家，如台積電、廣達、友達、義隆電子、臺大醫院、新光醫院、富邦金、玉山金和國泰金等，涵蓋製造、醫療、金融、電信、學校與國營企業，共觸及15大產業。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AE%B6%E6%95%B8.png" /></p> <p><span style="font-size:24px;"><strong>從大規模校友、講師調查，形塑下一階段目標</strong></span></p> <p>「為產業AI點火、建立先鋒部隊，是2018年建校第一天的目標，也是成立5年來的努力方向。」蔡明順點出，AIA發展有不同階段和目標，如2018年至2019年是建立AI大軍，利用業界出題、學界解題模式快速散布AI火種，再來是2020年至2021年的深入產業，利用案例教學來建立產業個案。今年開始則進入新階段，要推動本土產業個案、結合開源平臺計畫（即AI加速器課程），來連結國際發展。</p> <p>為擬定更貼近產業需求的發展目標，AIA也在今年6月發送問卷，來了解校友、講師和合作夥伴的看法與建議，從而制定新一階段目標。</p> <p>就700多位校友的回饋來看，79.1%認為參與AIA的最大收穫是增加AI專業能力和解題能力，再來是超過5成校友認為，成為AIA一份子是件光榮的事，且完成AIA課程後，還能有效降低與相關產業人士的溝通障礙。就47位講師而言，前3大收穫不外乎是感性價值，包括能為AI知識的流動與人才培育出力、為成為AIA一份子感到光榮，以及貢獻技能、與學員交流切磋。</p> <p>而且，這些受試者都認同，AIA對社會的最大影響是培養大量臺灣AI基礎人才，以及促進跨產業的AI人才互動。甚至，在製造、醫療、金融、服務和半導體等5大產業領域來看，超過75%都認為AIA有助於產業AI化，協助產業應用案例擴散。</p> <p>不過，蔡明順表示，從這份問卷也可看出，認同AIA「導入國際AI尖端技術和應用案例」的受試者比例最低，是AIA要再努力的方向。與此同時，AIA也搜集利害關係人觀點，匯集雙方可以更做得更好的建議，前兩名包括「定期提供最新AI發展資訊」和「課程以外的社群活動」，特別是建立同好交流、更有影響力的AI社群。</p> <p>於是，AIA確立下一個5年的3大發展目標，要導入更多國際尖端AI技術和應用案例、定期提供AI新資訊，以及建立AI社群和活動，來促進跨業交流。</p> <p>不過，雖然建立社群是AIA下一階段目標，他們其實已有不少著墨。比如，AIA校友已成立社團協會，以線上交流模式，邀請社群AI講者來分享最新資訊，是臺灣規模最大的AI定期聚會。在技術部分，則建立AIA Journal Club，定期邀請AI技術專家來分享新知應用。</p> <p><span style="font-size:24px;"><strong>臺灣未來發展方向：AI晶片、人機協作</strong></span></p> <p>不只是AIA的發展方向，蔡明順也分享國際AI趨勢，不少國家都加碼投資AI，像是美國去年簽署《美國供應鏈行政命令》，對美國製造業供應鏈重新檢視外，美國國家人工智慧安全委員會也建議政府投資千億美金發展AI，美國總統拜登更在今年簽署《晶片與科學法案》，其中2,800億美元的預算，近2,260多億將用於基礎科學發展，特別是AI晶片、硬體、系統、資安與人才培育。</p> <p>再回顧臺灣，未來，AI技術將是關鍵戰略資源，臺灣可在現有的軟硬體優勢上，發展AI晶片供應自主化，並利用微感測器和AI晶片，來發展各種數位基礎應用，比如在醫療方面，可發展精準醫療和預防醫學，又或是在交通方面，可發展車用高速運算晶片，或是在能源方面，打造AI儲能系統、發展虛擬發電廠，來促進再生能源使用。</p> <p>除了可瞄準AI晶片發展，未來，臺灣也將面臨更嚴峻的高齡化社會挑戰，因此可發展AI人機協作，來解決缺工、醫療照護問題。這些是蔡明順觀察到的潛在發展方向，也是AIA未來可發展的方向。</p> </div></div></div>
2022/11/18 17:25作者王若樸https://www.ithome.com.tw/news/154296
微軟緊急修補Windows Kerberos認證問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://learn.microsoft.com/en-us/windows/release-health/status-windows-11-22h2#2953msgdesc" target="_blank">微軟日前發現</a>，在扮演網域控制器的Windows Server上部署11月8日釋出的Patch Tuesday安全更新後，即可能遭遇Kerberos認證問題，微軟已於本周四（11/17）釋出緊急更新進行修補。</p> <p class="rtecenter"><a href="https://learn.microsoft.com/en-us/windows/release-health/status-windows-11-22h2#2953msgdesc" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1118-Kerberos-KB5019980-issue.png" style="width: 600px;" /></a></p> <p>Kerberos為一電腦網路認證協定，可供客戶端與伺服器端認證彼此的身分，可用來避免竊聽與重放攻擊，被應用在Windows、macOS與Linux等作業系統上。</p> <p>根據微軟的說明，此一問題可能影響使用者環境中的任何Kerberos認證，造成網域用戶登入失敗，群組受管理的服務帳戶(gMSA) 無法認證，基於網域用戶的遠端桌面連結失效，無法存取工作站的共享文件夾或無法於伺服器上分享文件，需要網域用戶認證的列印亦無法執行。</p> <p>微軟已於本周釋出緊急更新，可用來安裝在使用者環境中的所有網域控制器，不同的Windows Server版本有不同的修補程式。</p> </div></div></div>
2022/11/18 16:25作者陳曉莉https://www.ithome.com.tw/news/154293
Amazon宣稱裁員行動將延續至明年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>負責裝置與服務的Amazon副總裁<a href="https://www.ithome.com.tw/news/154241" target="_blank">Dave Limp周三（11/16）證實</a>Amazon將展開裁員，隔天<a href="https://www.aboutamazon.com/news/company-news/a-note-from-ceo-andy-jassy-about-role-eliminations" target="_blank">Amazon執行長Andy Jassy則進一步說明</a>，此波裁員行動將會延續到明年，但不管是Limp或Jassy都未公布裁員規模。</p> <p>Jassy表示，Amazon正在進行年度的營運計畫審查，檢視每項業務的必要變更，由於過去幾年Amazon快速招聘，再加上經濟充滿挑戰，而讓今年的審查更加棘手。昨天不僅決定要削減裝置及書籍業務的人力，也針對人力資源部門（People, Experience, and Technology，PXT）宣布了自願被裁方案，且這波人力刪減計畫將會持續到明年初。</p> <p>目前Amazon各部門的主管仍在研究專案的優先順序與人力部署，目前僅確定將縮減商店與PXT人力，其它細節或裁員行動將隨後公告。</p> <p>截至今年第三季，Amazon的全球員工數為154.4萬人，比去年同期多出5%。而日前《紐約時報》（New York Times）則報導，Amazon準備裁撤1萬人，不到總員工數的1%。</p> </div></div></div>
2022/11/18 16:31作者陳曉莉https://www.ithome.com.tw/news/154294
Line將推出統一管理多品牌OA及廣告的平臺，還要推出非第三方Cookie的消費者追蹤方法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Line宣布12月要推出企業管理平臺，是一個能同時管理多個官方帳號（Official Account, OA）及廣告投放的管理平臺。集團企業主不僅能在平臺統一回覆所有品牌或產品線的OA訊息，還能整合所有OA的受眾數據，用於廣告投放，未來更能交叉分析各項廣告成效。</p> <p>此平臺一項重要的新功能是Non-Cookie使用者追蹤功能Conversion API，預計於明年Q1推出。由於第三方Cookie即將廢除，未來在前端瀏覽器用Cookie蒐集資料的方法可能會受到管制。因此Line改用API的做法，從後端伺服器拋轉使用者資料到Line伺服器，便能在後Cookie時代持續追蹤使用者的消費行為。</p> <p>Line表示，匯入企業管理平臺的數據及未來交叉分析的結果，目前都不開放串接到第三方工具。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/LINE_ALBUM_20221117_221117_48.jpg" style="width: 600px;" /></p> <p>廣告業務方面，Line將新增更多數據來源及廣告版位，包括Line禮物、Line Beacon等多種自家服務的使用數據、自有廣告受眾再分析結果，以及其他第三方資料。2023年上半年，Line還要活用這些數據，開放4大類原本只用於廣告分眾的資料，給OA分眾推播訊息功能使用。這4類數據分別是消費者的網購行為、購買能力、購物通路和有追蹤的OA類型。</p> <p>Line的官方帳號數量從2022年1月到10月間，從210萬成長到241個帳號。Line企業解決方案事業部總經理王俞蓉表示，因為Line在疫情間積極推動遠低於原價的校園OA方案，因此學校教育類OA成為2022年成長數量最多的帳號。成長比例最高的產業則是醫療產業，王俞蓉認為，這是因為在疫情壟罩之下，視訊診療的需求大增。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/LINE_ALBUM_20221117_221117_61.jpg" style="width: 600px;" /></p> <p>Line在2023年也將推出兩項OA行銷功能。一項預計Q2推出的新功能是，用戶點擊到OA頁面時，不管是否已經加入好友，都能預覽重要行銷訊息，以增加訊息觸及率。另一項則是新增好友加入管道作為分眾標籤，可以判斷使用者是從哪種管道加入OA好友，例如貼圖、廣告、搜尋、Line Points等，來判斷品牌各行銷管道的效益。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/LINE_ALBUM_20221117_221117_36.jpg" style="width: 600px;" /></p> </div></div></div>
2022/11/18 12:14作者郭又華https://www.ithome.com.tw/news/154290
不滿新東家馬斯克的作為，Twitter爆離職潮
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>特斯拉（Tesla）與SpaceX創辦人馬斯克（Elon Musk）在10月28日完成Twitter的440億美元收購案之後，正式成為Twitter的主人，但接手後的內部整頓風波不斷，在實施50%的裁員政策之後，Twitter的員工人數已從原先的7,500名被裁到只剩3,700名，上周五（11/11）馬斯克又發了一封內部郵件，限時員工於本周一（11/14）之前回應是否承諾效忠新的Twitter 2.0，否則就會被遣散，結果傳出有超過7成的員工都未回應。</p> <p>馬斯克入主Twitter之後，率先傳出的是執行長Parag Agrawal與財務長Ned Segal被開除，繼之裁員50%的員工，之後再傳出馬斯克開除了十多名指正他的員工，而在上周對僅剩員工發出最後通碟之後，《FortuneMagazine》記者<a href="http://twitter.com/kyliebytes/status/1593391167718113280" target="_blank">Kylie Robison</a>引述了Twitter員工的看法，指出在剩下的3,700名員工中，約有75%並未選擇留在Twitter。</p> <p>周四（11/17）Twitter也宣布將關閉各個辦公室，直至下周一才會重新開放。猜測是擔心遭到離職員工的破壞所作的決定。</p> <p>倘若馬斯克堅決履行他的說法，那麼Twitter的員工人數很可能低於1,000人，屆時Twitter能否如常運作將成為外界關注的焦點。</p> <p>外界相信，工作文化的改變，是造成Twitter員工情願選擇離職的主因。在這封要求員工效忠Twitter 2.0的郵件中，馬斯克明白表示，在這個競爭日益激烈的世界中要打造成功的Twitter 2.0需要非常「強硬」（Hardcore），這同時也意味著長時間的高強度工作，只有表現出色才算及格。</p> <p>此外，身為社交媒體平臺，過去Twitter的管理風格既開放又彈性，是少數允許員工得以永遠選擇遠端工作的科技公司之一，但上周馬斯克要求員工每周至少要待在辦公室 40小時。</p> <p>不過，根據<a href="https://www.bloomberg.com/news/articles/2022-11-17/musk-softens-remote-work-mandate-to-retain-twitter-staffers" target="_blank">《彭博社》</a>（Bloomberg）的報導，在察覺打算離職的員工數量超乎預期之後，馬斯克的態度已有軟化，包括請人慰留特定員工，以及強調只要主管同意就能繼續遠端工作等。</p> </div></div></div>
2022/11/18 12:25作者陳曉莉https://www.ithome.com.tw/news/154291
Cloud周報第160期：台灣大車隊邁向永續運輸轉型大力擁抱公雲，關鍵核心叫車App服務也將分階段上雲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（11/10～11/16）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 台灣大車隊 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 永續運輸 </span></strong></span> </strong></p> <p><strong><span style="font-size: 22px;"><strong>台灣大車隊擁抱公雲邁向永續運輸轉型，不只積極發展綠色IT，關鍵核心叫車App服務也將分階段上雲</strong></span></strong></p> <p>台灣大車隊近幾年開始借重公雲，將更多服務上雲，甚至也把上雲視為公司邁向永續運輸服務轉型的重要一環。台灣大車隊執行長林念臻日前在一場活動上揭露自家永續運輸的淨零碳排短中長期三階段發展策略。</p> <p>台灣大車隊從2020年展開第一階段轉型，開始運用GCP雲端AI、ML工具建立叫車熱點預測模型，這個階段不只降低空車率，也因為減省油耗降低每輛車碳排放多達數千磅。接下來，台灣大車隊今年計畫用3年發展綠色IT，林念臻也舉例，當55688的叫車App發展成超級App後，今年開始把該App的新服務和資料分階段上雲，藉此降低資料中心的使用能耗，來幫助這家公司建構零碳排資料中心來達到快速減碳。</p> <p>長遠來看，台灣大車隊更希望在2030年透過混合多雲策略，結合更多雲端合作夥伴協同合作減碳，以達到建立永續運輸生態圈的目標。</p> <p><strong> </strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 北醫大 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 混合雲架構 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>北醫大靠導入混合雲平臺Anthos打造雲地混合資料運算中心，更採微服務架構進行體系IT再造工程</strong></span></strong></p> <p>臺北醫學大學近日在一場活動上透露自身數位轉型三階段進展，包括導入混合雲架構、建立數位化標準以及發展智慧創新服務，藉此改善使用者體驗、加速創新以及提供更有效率的維運管理。</p> <p>在基礎設施改造部分，臺北醫學大學資訊長張資昊表示，北醫大去年開始於資訊機房內部署Google Cloud混合雲平臺Anthos，來支援資源重整與再造，目前該平臺正在測試中，希望打造一個雲地混合資料運算中心，一來提供資料雲地備分；二來透過資料在地、服務在雲的架構來部署新服務，確保以後服務上雲，資料仍可保留在醫院端，未來更要建構以校為核心，來發展適用北醫體系的智慧雲機房。</p> <p>由於北醫大體系是由一校6院組成，張資昊表示，研究、教學及行政服務等相關資訊系統因應上雲需求正在進行再造，改採微服務架構設計，來支援IT的敏捷開發。另外在創新服務應用上，未來將會結合大數據及AI優化醫院、跨院及校內服務等。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雙11 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 阿里巴巴 </span></strong></span> </strong></p> <p><strong><span style="font-size: 22px;"><strong>迎戰雙11！阿里巴巴旗下天貓商城全上雲，更靠阿里雲自研Apsara分散式雲端運算平臺支撐爆量交易需求</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961_Cloud%E5%91%A8%E5%A0%B1(4).png" style="width: 600px; height: 263px;" /></p> <p>今年雙11購物節，阿里巴巴一反常態沒有大肆慶祝，甚至也不如以往公開旗下天貓商城銷售成績，僅透露表現和去年持平，去年該公司雙11銷售額達5,403億元人民幣。</p> <p>雖說今年沒有揭露太多銷售業績，但是根據官方數據，今年雙11促銷活動共29萬個品牌店家參加，多達7,000種商品品項，活動開始4個小時內就有逾一百家店成交1億元人民幣。去年天貓雙11線上服務開始全面上雲，阿里巴巴表示，今年雙11已是100%上雲，來因應爆量的線上購物與交易需求。該公司表示，透過使用雲端架構，不只單位運算成本下降8%，今年也大幅提高綠能使用占比，來降低阿里雲資料中心的能耗。</p> <p>為因應雙11購物人潮，阿里雲今年首度採用自研的Apsara分散式雲端運算平臺支撐天貓雙11活動，並通過升級資料中心的運算、儲存和網路等基礎設施，來提升線上下單、網路支付的速度，同時加快退款流程。並導入無伺服器（Serverless）架構，來架設淘寶首頁網站和應用。</p> <p>商品選完後進到購物車結帳，阿里巴巴使用阿里雲雲原生資料庫，加大消費者虛擬購物車容量，從以往120件提高到現在最多300件商品結帳。其他還採用企業雲端記憶體內資料庫服務ApsaraDB for Redis，來提供快速產品分類和篩選功能，使消費者可以根據自身喜好來組合購物車內的商品，或是可利用自訂功能來取得跨店折扣、預購商品，或是優惠卷等。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電子醫療記錄 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Epic </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>Google Cloud 與全美最大醫療記錄軟體商Epic簽署協議，要讓3億名病人電子醫療記錄都能搬上雲</strong></span></strong></p> <p>最近Google Cloud大動作宣布與美國私人醫療保健軟體公司Epic Systems完成簽署協議，所有採用 Epic服務的美國醫療機構未來從Google Cloud公雲上就能使用Epic軟體執行相關醫療工作，不一定需要透過本地端來執行。</p> <p>以提供醫療保健軟體產品為主的Epic Systems，可說是美國最大醫療紀錄軟體商，據Epic稱，目前使用其Epic軟體的醫院擁有美國78％患者的電子醫療記錄，至今全美更有逾3億人的電子醫療記錄都是儲存在Epic中。</p> <p>兩家合作後，Google Cloud 表示，醫院之後可以將各自使用的Epic軟體搬上雲端來執行，除了提高作業效率與安全性，未來也能搭配使用Google Cloud雲端工具做運用，如透過這些數據建立具有對話能力的AI虛擬化身，來改善現有照護流程等。目前已有像Hackensack Meridian Health等醫療保健組織計畫採用。</p> <p><strong> </strong></p> <p><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 轉型上雲</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雷諾汽車 </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></strong></p> <p><strong><span style="font-size: 22px;"><strong>法國車廠雷諾為發展軟體化汽車加快服務創新而大步邁向雲端轉型</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(10).png" style="width: 600px; height: 288px;" /></p> <p>法國車廠雷諾近日宣布將加速集團轉型上雲，以便協助車廠將傳統硬體為主的汽車開發，轉變為軟體定義汽車（Software-Defined Vehicle,SDV）新型開發模式，藉此提供更靈活的開發彈性與創新服務。</p> <p>早從2018年，雷諾就已經把上雲當作是集團轉型的重要戰略，更找上Google Cloud合作陸續將內部應用開始搬上雲，近日雙方宣布擴大合作關係，雷諾未來汽車設計和售後升級更新交付服務也將一併上雲。</p> <p>雷諾旗下品牌，包括Renault、Dacia、Alpine和Mobilize。雙方合作將利用車內Android的軟體建構SDV平臺，而在雲端則建立具備AI功能的汽車數位分身（Digital Twin），可方便將新服務持續更新到汽車上，以及建立新的車上（onboard）及車外（ooard）應用程式，藉此降低成本、提高作業效率及開發速度。雷諾最終更要將所有營運系統搬上雲端，加速推動集團轉型。</p> <p><strong> </strong></p> <p><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 虛擬機器 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> HPC運算 </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></strong></p> <p><strong><span style="font-size: 22px;"><strong>微軟發表搭載第四代AMD EPYC的高效能運算用Azure HX與HBv4 VM，能提供高達96個運算核心</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(11).png" style="width: 600px; height: 423px;" /></p> <p>微軟Azure更新自家VM服務，新增兩款HPC專用的虛擬機器類型Azure HX與HBv4 VM，皆採用第四代AMD EPYC處理器，可以提供高達96個核心，以及800 GB/s的DDR5記憶體頻寬。兩款VM皆提供5種規格尺寸，效能最高的虛擬機最多可提供176個實體CPU核心與688GB記憶體容量。</p> <p>從整體效能來看，HBv4 VM較前一代HBv3提升至少2倍，能應付更複雜HPC運算任務。另一款HX VM配置的記憶體大小也較前一代增加3倍，每核心配置記憶體達近60 GB 。</p> <p>HBv4和HX也是Azure第一個採用Nvidia Quantum-2 InfiniBand高速網路互連技術的虛擬機器，可以提供高達400 Gb/s 的資料傳輸能力。兩款新VM將先在美東推出，之後陸續推向其他地區。</p> <p> </p> <p><strong><strong>圖片來源／雷諾汽車、Azure</strong></strong></p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong><strong><strong><strong>1.Synergy Research Group最新調查顯示三大公雲在美國雲端服務市場市占率合計達76%</strong></strong></strong></strong></p> <p><strong><strong><strong><strong>2.傳Amazon計畫裁減語音助理Alexa、零售和人力資源部門在內等一萬名員工</strong></strong></strong></strong></p> <p><strong><strong><strong><strong>3.緯創為加速集團轉型積極擁抱雲端，連關鍵業務核心ERP系統也將全面上雲</strong></strong></strong></strong></p> <p><strong><strong><strong><strong>4.Amazon發表Amazon Clinic遠距醫療平臺，將於美32州提供服務</strong></strong></strong></strong></p> <p><strong><strong><strong><strong>資料來源：iThome整理，2022年11月</strong></strong></strong></strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2022/11/18 11:39作者余至浩https://www.ithome.com.tw/news/154289
遊戲公司Ubisoft、Riot Games合作以機器學習技術，打擊遊戲聊天頻道中的有害行為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Ubisoft和Riot Games兩家遊戲公司，共同開展一項研究專案<a href="https://news.ubisoft.com/en-gb/article/6iCgVJQEZ00S2drMdPpmNB/ubisoft-and-riot-games-join-forces-to-tackle-harmful-content-in-game-chats">Zero Harm in Comms</a>，最終要發展一個框架，來降低線上遊戲聊天頻道中，可能出現的傷害。</p> <p>這兩間公司因為面對共同的挑戰，而且也都對目前的關鍵字偵測模型解決方案不滿意，因此聯手進行Zero Harm in Comms專案，目前他們創建了一個匿名資料的共享資料庫，用來訓練Ubisoft和Riot Games的系統，以偵測和降低破壞性行為。</p> <p>資料庫的內容來自Ubisoft和Riot當前遊戲內的聊天記錄，這些聊天紀錄會被清除個人可辨識資訊，並且加上像是中立、種族主義、性別歧視等標籤，以用於訓練自動化系統，更有效地辨識和分析這類有害行為。兩間大型遊戲公司合作的優勢，在於能夠收集到龐大的玩家聊天資料，訓練系統除了偵測關鍵字之外，還能透過理解對話脈絡，找出更多有害的行為。</p> <p>Ubisoft提到，部分有害關鍵字可以立即被辨識出來，但是有許多情況需要深入解析，才能判斷有害與否，像是在聊天中出現「我要帶你出去玩」，這句話出現在競技射擊遊戲中可能是合理的對話，但是在其他遊戲，情境就可能完全不同。</p> <p>但是Ubisoft也提到，難以教導人工智慧理解每一種有害情況，目標是要能夠藉由微調系統尋找特定案例，並且提高偵測的機率。</p> </div></div></div>
2022/11/18 09:22作者李建興https://www.ithome.com.tw/news/154280
Android版DuckDuckGo瀏覽器新增程式追蹤保護功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隱私搜尋暨瀏覽器業者<a href="https://spreadprivacy.com/app-tracking-protection-open-beta/" target="_blank">DuckDuckGo本周更新了Android版程式</a>，在最新的DuckDuckGo Privacy Browser 5.143.1中新增程式追蹤保護功能，可於背景封鎖Android程式所使用的各種追蹤器，<a href="https://github.com/duckduckgo/tracker-blocklists/tree/main/app" target="_blank">同時透過GitHub公布了封鎖名單</a>。</p> <p>DuckDuckGo表示，蘋果iPhone用戶有程式追蹤透明化（App Tracking Transparency）的保護，得以防止程式肆意追蹤使用者，但用戶數遠大於iPhone的Android手機卻缺乏同樣的保護，於是該公司即在新版的DuckDuckGo隱私瀏覽器中新增程式追蹤保護機制（App Tracking Protection），啟用後即可自動封鎖各種Android程式的追蹤器。</p> <p>根據DuckDuckGo的估計，每名Android手機用戶平均安裝了35款程式，而這35款程式每天可能執行1~2,000次的追蹤，並將資料傳送給逾70家不同的追蹤公司。</p> <p>程式所蒐集或追蹤的資料可能涵蓋使用者的名稱、電子郵件帳號、郵政編號、所處城市、坐標、廣告ID、Cookie、所使用的作業系統版本、裝置品牌、時區、裝置儲存空間、記憶體、裝置語言、音量、Wi-Fi網路名稱、電池狀態或裝置亮度等，不管是使用者想像得到或想不到的，都可能被蒐集與追蹤。</p> <p>業者利用這些資料來建立使用者的個人檔案，以執行目標式廣告或遞送特定內容。DuckDuckGo舉例，也許使用者某天在媽媽家待了一陣子之後，就會在手機上看到媽媽所使用的牙膏的廣告。</p> <p>而在使用者啟用App Tracking Protection之後，它便可偵測到程式企圖將資料傳送到第三方的追蹤公司，並在不影響程式運作的情況下，封鎖絕大多數的請求。此外，使用者還可檢視程式所蒐集並企圖傳送的資料。</p> <p>由於App Tracking Protection功能使用本地端的VPN連線，因此只會在裝置上運作，而不會將程式資料傳送至DuckDuckGo或其它伺服器。</p> </div></div></div>
2022/11/18 09:27作者陳曉莉https://www.ithome.com.tw/news/154285
IBM與Algorithmiq合作將運用量子運算技術加速新藥開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://algorithmiq.fi/wp-content/uploads/2022/11/algorithmiq-ibm-partnership-press-release-nov-2022.pdf">量子運算領導者IBM與量子新創Algorithmiq展開合作</a>，試圖將量子運算用於解決生命科學的複雜問題上，這次的合作，IBM提供先進硬體、軟體和量子應用專業知識，結合Algorithmiq的演算法技術，要探索大幅減少藥物開發時間和成本的方法。</p> <p>IBM研究人員與Algorithmiq共同克服，當今量子硬體的主要雜訊瓶頸，像是大型量子化學模擬，無論是在速度、準確性和規模都還不足，而Algorithmiq先進的量測技術，已被證明可大幅減少混合量子古典演算法的執行時間，此外，Algorithmiq用於減少錯誤的後處理策略，能夠明顯提高量子化學的準確性，因此雙方認為，兩家公司的合作，有望在近期量子技術發展上，提高量子演算法的效能。</p> <p>Algorithmiq提到，目前一種新藥上市，平均約需要花費10年時間以及10億美元。Algorithmiq將專注於量子運算演算法開發，發展有效且副作用小的新藥，同時還要顯著縮短新藥上市時間，借助量子運算的能力，結合複雜系統方法來探索和開發新藥，預防和治療疾病實現精準醫療。</p> <p>這項合作同時也會貢獻量子電腦開源SDK Qiskit專案，以促進量子運算這個新興生態系的發展，而合作的一部分，Algorithmiq將會加入IBM Quantum Network。</p> </div></div></div>
2022/11/18 09:34作者李建興https://www.ithome.com.tw/news/154283
伊朗駭客在美國聯邦網路上植入挖礦程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-320a" target="_blank">美國網路安全及基礎設施安全局（CISA）本周指出</a>，該局在參與一個聯邦文職行政部門（Federal Civilian Executive Branch，FCEB）的安全事件應變時，發現伊朗駭客利用了未修補的Log4Shell漏洞，於受害組織植入了XMRig挖礦程式，還在組織內部橫向移動、竊取憑證，同時安裝了反向代理工具Ngrok企圖長駐。</p> <p>由CISA負責管轄的<a href="https://www.cisa.gov/agencies" target="_blank">FCEB組織有數十個</a>，CISA並未公布受害組織的名稱，不過，顯然該組織已違反CISA的規定，因為遭到駭客利用的Log4Shell漏洞CVE-2021-44228早在去年底就被CISA列入<a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog" target="_blank">已知被濫用的安全漏洞（Known Exploited Vulnerabilities）目錄</a>中，所有FCEB組織都應該已於去年12月24日以前修補完成。</p> <p>根據CISA與美國聯邦調查局（FBI）的調查，駭客是在今年2月藉由VMware Horizon伺服器上未修補的CVE-2021-44228漏洞成功入侵該組織，而CISA則是在4月以入侵偵測系統EINSTEIN進行分析時，發現了該組織網路上的可疑行動。</p> <p>分析顯示，這應是由伊朗贊助的國家級駭客所為，除了在該組織的系統上安裝XMRig挖擴程式之外，也橫向移動至網域控制器，竊取了該組織的多個憑證，並植入Ngrok。</p> <p>CISA公布了此一攻擊行為的入侵指標（Indicators of Compromise，IOC）與戰術、技術和流程（TPP）供外界參考，並建議有偵測到相關ICO與TPP的其它組織，應假設駭客已執行橫向移動並展開全面的調查。</p> </div></div></div>
2022/11/17 19:15作者陳曉莉https://www.ithome.com.tw/news/154274
Line Beacon裝置將設於全臺小七和全家店面，升級為上萬據點的實體通路行銷網絡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「從消費者心動到購買之間，距離越短，反悔的風險就越低。」全家便利商店整合行銷部部長陳菀揚一句話點明，店面鄰近消費者重點行銷的好處。這也是為什麼超商雙雄都願意在店內裝設Line Beacon，以店面為中心進行地區型行銷。</p> <p>Line Beacon是Line的地區型行銷推播裝置，利用低功耗藍牙（Bluetooth Low Energy，BLE）技術對50公尺內的消費者推播行銷訊息。過去，此服務據點主要分布於臺北捷運站、百貨公司美食街以及Line Taxi上，約有千餘個據點。近日活動，Line宣布將於人潮商圈、熱門酒吧及超商雙雄全臺店面設置Line Beacon據點，一口氣拓展了據點涵蓋規模及商圈多樣性。Line表示，預計2023年能在超商雙雄六都的店面設置完Beacon裝置，未來更將擴展至全臺萬餘家店面。兩家超商的加入，也提升了Line Beacon廣告網絡規模好幾倍。</p> <p>Line企業解決方案事業部品牌行銷總監鄧傑方指出，從實體位置和出現時段，能窺見消費者習性跟興趣。因此這次Line Beacon網絡擴張，不僅增加了廣告投放據點數量，更有望吸引更多類型的廣告主使用此技術，為Line開啟了更多廣告商機。一個例子是，由於現在Line Beacon和百餘家酒吧合作，這些Beacon不只可以讓這些酒吧行銷自家品牌，更能讓洋酒經銷商跨店面行銷。</p> <p>還有一種更進階的應用是，統一超和全家等坐擁大量Beacon據點的廣告主，能記錄消費者出現的分店及時段，來深入了解消費者習性。不過，鄧傑方強調，出於隱私權考量，Line Beacon不會提供可識別化的數據。廣告主若想追蹤可識別化的消費者行為，需要自行設計合法機制來蒐集。例如，透過Beacon訊息提供連結，將消費者導向官方帳號或會員App，再於這些管道記錄消費者行為。</p> </div></div></div>
2022/11/17 18:05作者郭又華https://www.ithome.com.tw/news/154282
【資安日報】2022年11月17日，公有雲業者AWS關聯式資料庫服務的快照暴露在外、惡意軟體載入器BatLoader攻…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端關聯式資料庫服務提供的快照功能，有可能會洩露用戶存放的資料！有研究人員發現數百個AWS關聯式資料庫的快照曝露在外，而使得其內容有可能成為駭客濫用的目標。研究人員指出，有些快照甚至曝露了超過一個月。</p> <p>惡意軟體載入器被用於發動攻擊的情況屢見不鮮，最近有名為BatLoader惡意軟體載入器攻擊行動，值得留意的是，駭客也運用了寄生攻擊（LoL）手法，來避免資安系統的偵測。</p> <p>黑色星期五購物季即將到來，有資安業者針對Magento電子商務平臺的用戶提出警告，駭客鎖定今年2月被修補的漏洞發動攻擊，然而，有近4成以Magento 2架設的電子商務網站並未套用修補程式而曝險。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.mitiga.io/blog/how-mitiga-found-pii-in-exposed-amazon-rds-snapshots"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員發現數百個AWS關聯式資料庫雲服務可能出現資料外洩的狀況</span></strong></a></h3> <p>資安業者Mitiga揭露AWS關聯式資料庫雲端服務Relational Database Service（RDS）當中的快照備份資料有可能洩露，他們自今年9月21日至10月20日，總共找到810個公開的快照，其中有250個曝露長達30天，研究人員指出，這代表相關備份資料很可能已經被管理者遺忘。根據這些曝露的資料性質，攻擊者可竊取以獲得經濟利益，或是用來掌握目標組織的IT環境。</p> <p>研究人員表示，這些資料會曝光的原因，在於AWS提供公開的RDS快照功能，能允許備份整個雲端資料庫環境，且所有AWS帳號都能存取，而使得這類資料成為攻擊者覬覦的目標。</p> <h3><a href="https://www.darkreading.com/attacks-breaches/researchers-alarm-batloader-malware-dropper"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體載入器BatLoader攻擊行動升溫，並透過寄生攻擊入侵受害電腦</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/BatLoader_Picture1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/BatLoader_Picture1.png" style="width: 300px; float: right;" /></a>資安業者eSentire、VMware Carbon Black先後針對惡意軟體載入器BatLoader的攻擊行動提出警告，<a href="https://www.esentire.com/blog/batloader-facilitates-fraud-hands-on-keyboard-attacks">eSentire指出，駭客架設冒牌的AnyDesk、Zoom、LogMeIn、TeamViewer等應用程式的下載網站，並透過搜尋引擎最佳化（SEO）廣告來引誘受害者上當</a>。一旦受害者執行從上述網站下載的安裝程式，攻擊者就會透過寄生攻擊（LoL）的手法，下達命令去收集系統資訊，進而下載第二階段酬載──在個人用戶的電腦上，BatLoader會植入銀行木馬Ursnif與竊密軟體Vidar；對於加入網域的電腦，除了植入上述惡意軟體，還會投放Cobalt Strike與遠端管理工具Syncro。</p> <p>而針對這起攻擊行動的受害規模，<a href="https://blogs.vmware.com/security/2022/11/batloader-the-evasive-downloader-malware.html">VMware的MDR服務團隊在90天內已在他們的用戶環境偵測到多次入侵</a>，其中9個受害組織為商業服務業者、7個為金融服務公司、5個為製造業；教育業、零售業、IT業者、醫療保健機構也都出現受害狀況。</p> <h3><a href="https://news.umich.edu/cyber-vulnerability-in-networks-used-by-spacecraft-aircraft-and-energy-generation-systems/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">PCspooF漏洞恐影響飛機與太空梭的動力系統運作</span></strong></a></h3> <p>美國密西根大學、賓夕法尼亞大學的資安研究人員與美國太空總署（NASA）聯手，發現能用來針對飛機與太空梭進行通訊的網路進行攻擊的手法PCspooF，此手法是針對這類飛行器具所採用「時間觸發網路（Time-Triggered Ethernet，亦稱TTE或TTEthernet）」而來，研究人員利用惡意設備對TTE路由器進行電磁干擾（EMI），試圖讓TTE設備暫時無法同步訊號長達1秒，進而使得飛機或是太空梭的動力系統失去控制。</p> <p>究竟要如何緩解PCspooF漏洞？研究人員認為，應該採用光電耦合器或突波保護器來避免電磁干擾造成的影響，並對於來源的MAC位址進行驗證等方式，來防堵利用PCspooF漏洞的攻擊手法。</p> <h3><a href="https://sansec.io/research/trojanorder-magento"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Magento電子商務平臺遭到TrojanOrders攻擊行動鎖定</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/trojanorder_attacks_rising_november.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/trojanorder_attacks_rising_november.png" style="width: 300px; float: right;" /></a>資安業者Sansec針對Magento電子商務平臺用戶提出警告，他們偵測到名為TrojanOrders的攻擊行動，駭客鎖定Adobe於2月發布修補程式的漏洞CVE-2022-24086，且至少有7個駭客組織發動相關攻擊並互相競爭，這些攻擊者將惡意JavaScript程式碼注入電商網站，研究人員指出，以Magento 2架設的電商網站當中，約有近4成因尚未安裝修補程式，而成為攻擊目標。由於接下來黑色星期五與聖誕節即將來臨，相關的攻擊行動可能會變得更氾濫。</p> <h3><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-320a"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國聯邦機構遭伊朗駭客入侵，管道是Log4Shell漏洞</span></strong></a></h3> <p>美國聯邦調查局（FBI）與網路安全暨基礎設施安全局（CISA）聯手提出警告，該國的聯邦民眾行政機關（FCEB）於今年的6月中旬至7月中旬，疑似遭到伊朗APT駭客的攻擊，駭客入侵的管道是經由該單位使用的遠距工作平臺VMware Horizon，並利用Log4Shell漏洞，進而在內部網路部署XMRig挖礦軟體。這些駭客還會橫向移動至網域控制器（DC），竊取AD帳密資料，然後利用反向代理軟體Ngrok持續在受害組織環境運作。</p> <p>FBI與CISA表示，假若FCEB機關尚未著手修補VMware Horizon的Log4Shell漏洞，應假設駭客已經入侵內部網路並進行調查。</p> <h3><a href="https://www.foxnews.com/world/pro-russian-hackers-claim-cyber-attack-fbi-website"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國聯邦調查局傳出遭到俄羅斯駭客Killnet的DDoS攻擊</span></strong></a></h3> <p>根據美國媒體Fox News的報導，挺俄羅斯（Pro-Russia）駭客組織Killnet於11月14日，聲稱對美國聯邦調查局（FBI）網站發動DDoS攻擊，駭客宣稱是為了捍衛俄羅斯的網路空間而發動攻擊。另一家資安業者Better Cyber發現，FBI的網站一度無法存取，使用者會被引導至另一個網站。FBI向該新聞媒體表示，他們正在監控影響網站可用性的資安威脅，但不願多做評論。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/154200"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">偷偷記錄用戶位置歷史資料，Google以近4億美元與美國40州和解</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154188"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">培養校園資安人才的金盾獎，數位部成立後重視力道加深</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154233"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">統領百貨遭遇網路攻擊，部分資訊系統受影響，顧客會員系統停擺兩天</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154104"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">【臺灣資安大會直擊】合勤投控資安長游政卿分享6個轉化資安投資的策略</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154210"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google宣布將針對部分Android 13裝置導入隱私沙箱測試版</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154223">【2022年11月16日】亞洲政府機關與憑證機構遭中國駭客Billbug鎖定、開發人員入口網站平臺Backstage出現重大漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154205">【2022年11月15日】中國駭客鎖定維吾爾人等少數民族發動攻擊、大規模網釣活動濫用逾400個品牌</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154187">【2022年11月14日】加密貨幣交易所FTX疑遭駭客攻擊、美國警告醫療照護機構遭到勒索軟體Venus鎖定</a></strong></strong></strong></p> </div></div></div>
2022/11/17 16:42作者周峻佑https://www.ithome.com.tw/news/154277
AI趨勢周報第200期：成大打造消防AI即時預測火勢，還能整合現有系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(1111～11117)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 消防輔助 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 火災逃生 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 成大 </span></strong></span></p> <p><strong style="font-size: 22px;">成大打造消防AI即時預測火勢，還能整合現有系統</strong></p> <p>成大製造資訊與系統研究所副教授蔡佩璇團隊打造一款消防輔助AI系統，可用來輔助室內消防安全檢測、即時預測室內火災走勢、加速指引民眾緊急逃生等3大層面，而且，這套系統可直接與現有消防系統並行，使用者不必重新建置整套系統。</p> <p>一般來說，消防系統應要有指引逃生、收集火場資訊和環境安全評估的功能，但傳統消防系統常見3種問題，一是逃生路徑是事先規畫的，無法根據火災當下來動態調整逃生路徑。再來是，火場即時資料大多來自感測器，但感測器網路設備容易受到高溫燃燒、氣體擾動影響，進而干擾資訊收集。第3是，目前的環境消防檢測大多仰賴專業人力實地評估檢驗，難以根據最新變動（如大型家具移動）來給予建議。</p> <p>因此，成大團隊先針對火場逃生，開發一套建築數位雙生逃生演算法，來規畫室內逃生路徑。他們利用建築物的資訊，如室內定位系統、室內地圖和火災偵測系統（感測器資訊）來建模，進而算出最安全的動態逃生路徑，並將資訊發送到手機等行動裝置上，協助民眾避開危險區域。團隊實驗發現，與其他現有方法相比，該方法的逃生生存率能有效提高。此外，他們還開發一套快速火災預測方法，可透過火災模擬，快速評估室內環境，也能在火災當下補強即時資訊，規畫出更安全的逃生路徑。</p> <p>為防範未然，成大團隊也打造一套自動化環境檢測工具，透過AI快速地將室內環境虛擬化並自動產生模型，結合火災模擬和物件、材質辨識，來找出引發火災或影響逃生的危險因子。在他們的模擬中，AI系統能根據不同材質，準確推算出不同時間的溫度和煙霧濃度變化值。而整套消防AI輔助系統，可加強現有公寓大樓、廠房倉庫等的消防安全不足之處，也能與現有消防系統並行。<a href="https://www.nstc.gov.tw/folksonomy/detail/22fa021c-2fb2-4801-8dd2-b2fd9442d610?l=ch#start-left">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202022-11-17%20171530.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DeepMind </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 點追蹤 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 物件追蹤 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>如何準確追蹤移動中物體？DeepMind開源點追蹤基準測試</strong></span></p> <p>對自駕車、監控AI來說，準確辨識移動中物體的表面變化很重要，如旋轉、變形等，DeepMind最近開源一款TAP-Vid基準測試（Benchmark），包含4個資料集，皆由人工標註的追蹤點真實影片和模擬合成影片組成，可用來衡量AI模型對移動物件的辨識準確率。</p> <p>發展基準測試的同時，DeepMind也打造一款物件點追蹤模型TAP-Net，並開源程式碼供開發者使用。團隊指出，以TAP-Vid基準測試結果來看，TAP-Net的表現比傳統點追蹤方法要好，包括光流法和3D重建的運動恢復結構法（SfM）。不過，DeepMind也坦言，他們的研究成果仍有局限，比如仍無法處理液體或透明物體。<a href="https://twitter.com/DeepMind/status/1590029887213273089?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1590029887213273089%7Ctwgr%5E3d79fd86f0e76074d540b2d141847acc5ab38b39%7Ctwcon%5Es1_&ref_url=https%3A%2F%2Fanalyticsindiamag.com%2Fgoogles-deepmind-sets-a-new-benchmark-in-object-detection%2F">（詳全文）</a><img alt="" src="https://twitter.com/i/status/1590029887213273089" /><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961(9).png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 台電 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 智慧電表 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微電網 </span></strong></span></p> <p><span style="font-size:22px;"><strong>台電智慧電表大數據發展產業動態指數，目前正打造微電網平臺</strong></span></p> <p>台電公司日前揭露發、輸、配、售等電力系統的轉型應用成果，像是在全臺安裝173萬具AMI智慧電表的基礎上，結合HEMS居家能源管理系統，發展出新應用，將用電異資訊常搭配智慧音箱，來調控家中的家器用電。</p> <p>此外，台電也用AI搭配智慧電表，來發展產業動態指數，也就是以台電用戶用電數據、帳單資訊和產業資料來訓練模型，產生產業動態指數，作為未來各產業發展參考。甚至，這些產業動態指數可透過數據介接，交由資料經銷商來販售，如提供給金融業、政府或其他利害關係人，作商業使用。</p> <p>在配電端部分，台電也已在部分配電變電所部署巡檢機器人，不只可預設巡檢目標、排程，由機器人自動執行外，中控中心也能從遠端遙控機器人至特定點檢测，取代部分維運人力。另一方面，台電也正在樹林區打造微電網平臺，包含儲能系統、主變電站，還有跟市電連結的控制系統，以及PV智慧變流器、電動車與各式儲能。台電表示，透過這座微電網，已可提供計畫性和非計畫性的微電網併網與孤島運轉，未來可打造成虛擬電廠，提供台電更多電能調度。<a href="https://www.ithome.com.tw/news/154093">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BF%AE-PXL_20221018_075217381.jpg" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Meta </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 蛋白質 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ESMFold </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Meta釋出6億個微生物蛋白質結構，要揪出蛋白質界的「暗物質」</strong></span></p> <p>Meta在11月初發表一套用AI預測的微生物蛋白質結構資料庫，數量高達6億個，是現有最大的高解析度蛋白質預測結構，Meta也提供API，來供研究者取用所需的蛋白質結構。同時，他們也開源用來預測蛋白質結構的大型語言模型ESMFold，預測速度比時下SOTA模型快上60倍。</p> <p>近年來，AI用於蛋白質結構預測有不少突破，比如DeepMind打造AlphaFold2模型，解決50年來的蛋白質折疊預測難題，今年更進一步開源2億個蛋白質結構，幾乎涵蓋地球上所有已知的生命體基因庫。不過，Meta從另一面下手，鎖定總體基因體，也就是來自土壤、海洋、人體內部的微生物蛋白質，要來預測這些蛋白質的結構。因為，這些蛋白質可幫助人類解開進化之謎，也有可能治癒疾病、淨化環境或生產乾淨能源。</p> <p>他們用來預測蛋白質的網路是ESMFold，主要2019年開發的語言模型ESM為基礎。這個模型是自監督模型，能自動在一段話中，填入被遮住的空白處，如To __ or not to __, that is the ________.他們利用這個原理，來讓模型填補空白的蛋白質序列，如GL_KKE_AHY_G，進而探索新結構。這個模型由上百萬個蛋白質序列訓練而成，後來，他們進一步將模型擴展為ESM-2，參數量從800萬增加至150億個。該模型也加速蛋白質結構的預測時間，可比傳統方法快上60倍；Meta指出，他們用2,000顆GPU叢集，2周就完成6億個蛋白質結構預測。<a href="https://ai.facebook.com/blog/protein-folding-esmfold-metagenomics/">（詳全文）</a></p> <p><img alt="" src="https://scontent.ftpe7-1.fna.fbcdn.net/v/t39.2365-6/312062054_824222298698283_7847738217102467171_n.png?_nc_cat=110&ccb=1-7&_nc_sid=ad8a9d&_nc_ohc=Et1fg8jZxKIAX8ntp3f&_nc_ht=scontent.ftpe7-1.fna&oh=00_AfAlzzgee07XyThrUhserr68XrIVOBG3eqW4-dFR-Ya8zw&oe=637B6393" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 語音壓縮 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MP3 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 元宇宙 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta新AI語音壓縮技術效果比MP3好10倍</strong></span></p> <p>Meta日前發表一款AI音訊壓縮技術，效果比MP3好10倍，方便使用者在低頻寬網路傳送語音或音樂檔案。Meta表示，使用串流多媒體、傳送高品質音樂仍需大頻寬和儲存空間，但若發展元宇宙，就需要更有效的壓縮技術。</p> <p>於是，Meta AI研究部門開發一款AI音訊超壓縮技術，先建立一款包含編碼器、量化器和解碼器的EnCodec模型系統。其中，編碼器可將原始資料轉為高維度和低幀率的格式，量化器則將這格式資料壓縮。量化器經訓練，能將資料壓縮為所需大小，同時保留最重要的資訊。而解碼器，可將壓縮訊息重建為類似原始音訊的波形，FAIR也用GAN的鑑別器，來提升生成樣本的永久品質。</p> <p>在一項1.5kbps到12kbps低位元速率語音壓縮測試中，Meta發現，EnCodec在各種頻寬及音訊品質上，都能在單一CPU核心系統上即時編碼及解碼。而且， EnCodec（6kbps）壓縮率是MP3（64kbps）的近10倍。Meta也將EnCodec技術的程式碼和樣本公布在GitHub上，並發表技術白皮書。<a href="https://ai.facebook.com/blog/ai-powered-audio-compression-technique/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 電腦視覺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Vision Studio </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟推出圖形介面電腦視覺工具Vision Studio</strong></span></p> <p>微軟發布圖形介面電腦視覺工具Vision Studio，用戶就算沒有技術基礎，也能探索電腦視覺功能，甚至採用微軟提供的客戶端函式庫和REST API，來部署電腦視覺應用。</p> <p>在Vision Studio中，每個電腦視覺功能都有一個或多個試用功能，用戶可用自己的圖像，或微軟提供的範例圖像來測試。Vision Studio還提供光學字元辨識（OCR）功能，供用戶從圖像和文件中，擷取印刷或手寫文字，另，Vision Studio也能進行空間分析，辨識影片裡的人物和人物的移動，並產生其他系統可回應的事件。至於圖像分析功能，則能從影像中擷取視覺特徵，如物件、臉部、成人內容，甚至是自動生成文字描述（圖說），來改善無障礙功能。<a href="https://azure.microsoft.com/zh-tw/blog/introducing-vision-studio-a-uibased-demo-interface-for-computer-vision/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 抖音 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 推薦系統 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Monolith </span></strong></span></p> <p><span style="font-size:22px;"><strong>抖音為何推這支影片？字節跳動揭露推薦系統架構</strong></span></p> <p>抖音母公司字節跳動前陣子發表論文，揭露抖音使用的即時推薦系統Monolith主要架構，具參數同步和高容錯兩大優勢。團隊表示，即時推薦對許多有時效性的業務很重要，如線上廣告、短影片排序，但現有的通用深度學習框架如TensorFlow、PyTorch，仍難以滿足推薦業務需求。因為，這些基於密集運算和靜態參數的調整系統，利用動態參數來推薦，因此影響模型品質。而且，這些框架的設計，並未整合批次訓練和正式上線這2階段，無法即時根據顧客需求來修正模型。</p> <p>於是，團隊首先設計一套無碰撞嵌入表格（Collisionless embedding table）並進行優化，以可終止嵌入和頻率過濾來降低記憶體用量；再來，他們打造高容錯性、隨時可正式上線的線上訓練架構，而且，他們的設計，可透過系統穩定性來換取即時的模型學習，更貼近即時回應的業務需求。字節跳動表示，這個推薦系統現已用於自家產品BytePlus Recommend上。<a href="chrome-extension://efaidnbmnnnibpcajpcglclefindmkaj/https://arxiv.org/pdf/2209.07663.pdf">（詳全文）</a></p> <p><img alt="" src="https://lh4.googleusercontent.com/-JhcCP67xEPK21fKRXVigZ0VcQkf_28JXRArfEN0NmWR9LDrjQbsjBGhWDPPJCnvsXrn874171ScdhuAcg5fZ_b5zxas4ulxqk4xTTxTttPdcf5-UOvpwY_V5a5nOEdc02x1-aDlPVC82ltgDKHiC_lQVO_mBlWmgjtjouRJUrnFcGJG7pKL_LUy6npfDg" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器人 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CaP </span></strong></span></p> <p><span style="font-size: 22px;"><strong>機器人也能寫程式！Google揭露新AI模型</strong></span></p> <p>Google日前在AI大會上展示一款模型，可讓機器人寫程式，而且不需大量資料訓練。這款模型叫做Code as Policies（CaP），也就是將語言模型產生的程式，以實體機器人執行。CaP是以Google先前開發的幫手機器人模型PaLM-SayCan為基礎，根據Python通用語言少量、簡單的說明，就能讓語言模型撰寫機器人程式碼，並由機器人精準執行。Google的目的，是要讓單一系統執行多種複雜任務，不需特別訓練。</p> <p>研究人員解釋，CaP使用一種程式碼撰寫模型，在提供了暗示（如告知它有哪些API）及範例（如命令該如何轉成程式碼）後，就能為新命令撰寫新程式碼，像是重寫API呼叫、合成新函式，表達回饋循環，以程式語言表達出來，在runtime組成新行為。目前，Google也將CaP的程式碼及技術白皮書在GitHub上開源。<a href="https://ai.googleblog.com/2022/11/robots-that-write-their-own-code.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Gartner </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 自適應 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 即時 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Gartner預測2023年：自適應AI更為重要</strong></span></p> <p>Gartner揭露2023年十大科技趨勢預測，強調自適應AI（Adaptive AI）將越發重要，模型得根據不斷變化的環境，來調整預測。進一步來說，自適應AI要求系統要能根據即時回饋，來修正輸出值，適應不斷變化的環境，甚至邁向線上訓練、線上推論的方向。</p> <p>另一方面，Gartner認為，接下來將出現更多超級App（Superapps），也就是一款集應用、平臺和生態體系的應用程式。它不只有自己的功能，也提供平臺給第三方開發和發布自己的微應用程式，如微軟Teams、Slack等。他們預測，到2027年，全球50%以上的人口將成為超級App的日活躍用戶。不過，Gartner也點出，AI信任、風險和安全會是明年的重要課題，企業需確保模型的可靠性、可信度和數據保護，且需不同部門來聯手落實。<a href="https://www.gartner.com/en/articles/gartner-top-10-strategic-technology-trends-for-2023">（詳全文）</a></p> <p>圖片來源／成大、DeepMind、Meta、字節跳動</p> <p>攝影 / 余至浩</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Google優化BigQuery文字分析能力，正式推出高效搜尋功能</strong></p> <p><strong>2. IBM發布433量子位元的新一代量子處理器Osprey</strong></p> <p>資料來源：iThome整理，2022年11月</p> </div></div></div>
2022/11/17 17:30作者王若樸https://www.ithome.com.tw/news/154281
微軟推出SQL Server 2022
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>現在微軟<a href="https://cloudblogs.microsoft.com/sqlserver/2022/11/16/sql-server-2022-is-now-generally-available/">SQL Server 2022</a>正式上市，這個版本無論是在效能、安全性和可用性都獲得提升，同時微軟也進一步強化SQL Server的雲端功能，藉由與Azure緊密連結，包括Azure Synapse Link和Microsoft Purview，使用戶能夠大規模且迅速地執行資料分析、預測和治理。</p> <p>SQL Server 2022添加與Azure SQL託管執行個體連結整合，使用戶能夠獲得災難恢復PaaS環境支援，確保資料庫持續正確運作，與IaaS環境相比，用戶能夠進一步減少管理和配置的時間，微軟解釋，Azure SQL託管執行個體連接功能，是透過在SQL Server 2022內建分散式可用群組（DAG）實作，將資料複製到Azure SQL執行個體，並把該執行個體當作災難恢復複製站點，或者，用戶也可以利用此讀取擴充方案，來分擔影響資料庫效能的繁重請求。</p> <p>過去用戶要將資料從本地資料庫移動至分析服務Azure Synapse，需要執行擷取、轉換和載入（ETL）過程，但是配置和運作ETL工作管線非常耗時，因此分析結果往往延遲許久，也就是說，用戶難以即時應用分析結果，SQL Server 2022所提供的Azure Synapse連結，能夠自動捕捉SQL Server的更新，並用於資料分析上，讓用戶可獲得接近即時的分析。</p> <p>當資料進到Synapse中，用戶便可以將其混合不同資料源，並使用Azure機器學習、Spark或Power BI進行分析，由於SQL Server 2022只會推送更改的內容，因此資料傳輸速度很快，能夠以對資料庫效能影響最小的方式，以接近即時的速度分析資料。而SQL Server 2022現在也與微軟統一資料治理和管理服務Purview整合，以強化資料探索打破資料孤島。</p> <p>SQL Server 2022的效能更新，讓用戶無需更改應用程式，就可以獲得效能強化，而在安全性更新上，微軟提到過去10年，SQL Server幾乎沒有出現漏洞，在最新版本加入Ledger for SQL Server功能，藉由紀錄資料修改歷程創建防篡改追蹤。</p> <p>微軟在推出SQL Server 2022的同時，也推出新的計費模式，透過連接Azure Arc，用戶現在可以使用SQL Server雲端計費模型，按使用量支付費用。微軟也針對物聯網使用，發布SQL Server IoT 2022。</p> </div></div></div>
2022/11/17 16:54作者李建興https://www.ithome.com.tw/news/154275
思科宣布組織重整，將裁撤5%員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路設備大廠思科（Cisco）周三（11/16）<a href="https://investor.cisco.com/news/news-details/2022/CISCO-REPORTS-FIRST-QUARTER-EARNINGS/default.aspx" target="_blank">公布截至今年10月29日的2023財年第一季財報</a>，顯示該公司營收成長6%，但淨收入下滑了10%，同時宣布組織重整計畫，包括減少員工人數，思科並未公布裁員規模，但根據<a href="https://www.bizjournals.com/sanjose/news/2022/11/16/cisco-announces-600m-restructuring-layoffs.html?page=all" target="_blank">《Silicon Valley Business Journal》</a>的報導，該公司準備裁撤4,100名人力，約占思科總員工數的5%。</p> <p>思科該季創下136億美元的營收，成長6%，淨利為27億美元，下滑10%，每股盈餘為0.65美元，亦比去年同期減少7%。在136億美元的營收中，有102.5億美元來自產品，高於去年的95.3億美元，另有33.9億美元來自服務，略勝去年同期的33.7億美元。</p> <p>思科並未揭露太多組織重整的細節，也未公布裁員規模僅說將重新平衡組織，以在未來進行關鍵領域的投資，當中包括人才的流動與重組。思科預期將產生6億美元的重組費用，包括遣散費及一次性的解僱福利，再加上處分思科房地產投資的費用，當中的3億美元將在2023財年的第二季認列。</p> <p>截至今年7月30日，思科的全球員工數為8.33萬名。</p> </div></div></div>
2022/11/17 15:05作者陳曉莉https://www.ithome.com.tw/news/154254
Amazon證實正在裁員
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.nytimes.com/2022/11/14/technology/amazon-layoffs.html" target="_blank">《紐約時報》</a>（New York Times）在本周一（11/14）披露，Amazon即將於本周展開裁員行動，規模約為1萬名員工，周三（11/16）負責裝置與服務的<a href="https://www.aboutamazon.com/news/company-news/a-team-update-from-dave-limp" target="_blank">Amazon副總裁Dave Limp</a>便透過內部備忘錄證實了此一消息，惟未公布裁員規模。</p> <p>Limp表示，Amazon持續面臨著不尋常且不確定的整體經濟環境，在經過審慎的考量後，決定整合某些團隊與專案，此一決策的後果之一就是不再需要某些角色。因此，Amazon已於周二（11/15）開始通知受影響的員工，包括協助這些員工於Amazon內部找到適合的角色，或是提供離職津貼及外部就業支持。</p> <p>Limp僅負責Amazon的裝置與服務，且Amazon發言人Kelly Nantel也向媒體證實，現在的經濟情勢使得Amazon不得不調整某些團隊的規模，這使得外電猜測這只是Amazon裁員行動的一部分，其它部門應該也會受到影響。</p> <p>截至今年第三季，<a href="https://ir.aboutamazon.com/news-release/news-release-details/2022/Amazon.com-Announces-Third-Quarter-Results/default.aspx" target="_blank">Amazon的全球員工數為154.4萬人</a>，倘若紐時所報導的數字是正確的，那麼這波Amazon的裁員行動還低於其全球員工數的1%。</p> </div></div></div>
2022/11/17 13:37作者陳曉莉https://www.ithome.com.tw/news/154241
影響我的重大語言
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>身為開發者，在程式開發的生涯裡，基本上，不會只學習一種語言，有時是為了工作的需要，可能是因為好奇，或者是想從中學習到某些觀念、思想、典範或設計的方式，如果你曾經學習多種語言，當中有哪些是對你後續影響特別重大的？</p> <p>我本身學過多種語言，理由也是各式各樣，有些語言在學習後，確實對後續的我有著重大影響，不過，在談到是哪些語言之前，我必須先聲明：這只是我個人的順序，每個人接觸語言的順序畢竟各不相同，就我而言，可能是接觸了A語言後感覺衝擊，後續接觸B語言，因為已經熟知相關概念，衝擊性就沒那麼大了，而對於其他人而言，可能是先B後A，相對地，B語言對他的重要性就會比較大一些。</p> <p><span style="font-size:28px;"><strong>Java</strong></span></p> <p>對我而言，第一個覺得影響重大的語言是Java，在接觸Java的那個時間點，Java正是聲勢上揚之際，充滿著大量的學習資源，這包含了大量的實體書。可以從大量實體書裡系統化學習，為日後的我奠定了重要的基礎，即便至今日，許多的文件資源，都可以從網路上搜尋而得，我依舊覺得實體書是系統化學習的重要媒介。</p> <p>那個年代也正是網際網路興起的年代，Java對我而言重大的另一原因，就是社群討論，一群人聚集在JavaWorld[@]TW，發問、回答、吵架、寫文件、打屁聊天，過程中累積起來了許多知識，那也是段快樂的時光，當時凝聚出來的向心力，甚至會讓人在JavaWorld[@]TW偶而掛點、無法上論壇時，就會覺得渾身不對勁，那種論壇參與感，在至今各式各樣討論區裡，都未曾再感受到。</p> <p>當年也是百花齊放的年代，有著各種開放原始碼的程式庫與框架，程式庫與框架本身就代表著某種經驗或設計概念，就算過去未曾接觸過相關開發，單是從程式庫、框架學習，就能獲益良多，由於是開放原始碼，必要時還能直接從原始碼一窺細節。</p> <p><span style="font-size:28px;"><strong>Scala</strong></span></p> <p>對我而言，第二個覺得重要的語言是Scala，當時接觸的動機是好奇，想知道作為一門可運行在JVM、可與Java互操作的Java.next語言是怎麼一回事，然而，我從中受到的衝擊，是首次接觸到函數式程式設計典範。</p> <p>回顧過去，我是從《Programming in Scala》系統化地學習Scala，從中初次感受到函數式的衝擊，儘管就現今來看那時留下的筆記文件，當初體會到的函數式思想也只是一知半解，然而，Scala為我開啟了函數式程式設計大門的事實，卻是不變的。</p> <p>作為一門Java.next，Scala試圖融合物件導向與函數式程式設計，雖然Scala沒能成為Java.next，然而，它帶給Java的影響重大，就現今的Java來看，確實有著不少Scala的元素，像是Lambda、record class、sealed class、模式比對等。</p> <p><span style="font-size:28px;"><strong>JavaScript</strong></span></p> <p>開發者如果學習過靜態定型語言，接觸動態定型語言也會是另一個必要的功課，反之亦然，畢竟動態定型與靜態定型間的設計方式有時截然不同，特別是在思考物件的行為，而不是型態這方面。</p> <p>我接觸過幾門動態定型語言，其中對我影響比較大的是JavaScript，理由有幾個，首先它是基於原型的（prototype-based）物件導向，這讓熟悉基於類別的我花了不少時間，思考兩者設計方式之不同，而不是一味地想以原型的概念模擬類別。</p> <p>另一個理由是一級函式，雖然Scala也有一級函式的概念，我卻是在JavaScript裡，看到了各種神乎奇技的應用，因為我接觸時的JavaScript並不成熟（ES3），然而正因為不成熟，而發展出許多奇技淫巧，其中多半就是基於原型與一級函式的應用。</p> <p>另一方面，也因為這些奇技淫巧，稍微讓我看到一些程式語言的底層，具體來說就是meta程式設計的概念，而這些底層概念，在後來我試著<a href="https://bit.ly/3VIOD0A" target="_blank">〈打造玩具語言〉</a>時，其中一些語法樹的實現，就是受到了JavaScript的影響。</p> <p><strong><span style="font-size:28px;">Haskell</span></strong></p> <p>由於JavaScript具有一級函式的概念，不少人會用它來談函數式程式設計，由於從Scala、JavaScript看函數式，對我來說，總是有種隔著薄紗的朦朧感，於是，我決定學習一門真正的函數式程式設計語言，也就是Haskell。</p> <p>Haskell對我影響深遠，特別是在代數資料型態的部分，因為代數資料型態是基於資料的結構來構成型態，新型態的構成來自於型態與型態的結合，具體而言，就是Sum型態與Product型態，也正因為代數資料型態，我真正看清了map/filter/fold等真正的意義，也才知道原來模式比對是這麼一回事。</p> <p>作為純函數式語言，Haskell對一級函式的支援是相當徹底的，Closure、Curried函式等，在Haskell是極為自然的存在，也因此才能進一步發展出函式合成，從而構成Functor、Applicative、Monad等高階抽象，這些高階抽象在Haskell裡相當自然，然而，在命令式語言裡試圖模仿卻顯得複雜。</p> <p>對於開發者，特別是從命令式語言接觸到函數式元素開發者，我總是會建議：有機會的話，應該學習一門純函數式語言，這會讓你在命令式語言使用函數式元素時，更得心應手，也能在傳達函數式概念時，不致於出現一些似是而非的觀念。</p> <p><span style="font-size:28px;"><strong>OpenSCAD</strong></span></p> <p>近期影響我最多的語言是OpenSCAD，一開始對它只是玩票性質，想知道使用程式語言來建模，可以做到什麼樣的3D模型效果，然而，OpenSCAD卻成為我進入數學、幾何領域的重要語言，也接觸了許多過去想都沒想過的演算法。</p> <p>OpenSCAD的變數特性，令程式在撰寫時，必須使用變數不可變的方式，使得OpenSCAD被視為具有函數式程式設計典範的語言，嚴格來說，它在其他函數式方面的支援並不齊全。然而，其實基於不可變撰寫程式，是許多開發者進入函數式的門檻之一，因為撰寫過大量的OpenSCAD程式碼，使得我在處理不可變方面的經驗豐富起來，連帶也提升了函數式方面的能力。</p> <p>雖然我建議開發者認識純函數式語言，不過，我本身並沒有使用Haskell做過任何的東西，學習Haskell目的在於啟發；然而，使用OpenSCAD的時間久了，<a href="https://bit.ly/3D8Jzex" target="_blank">也讓我逐漸建立起自己的開放原始碼程式庫dotSCAD</a>，並成為官方推薦的程式庫之一。</p> <p><span style="font-size:28px;"><strong>語言的學習路徑</strong></span></p> <p>再次強調，我列出的語言順序並不重要，沒列出的語言，也不代表它不重要，純粹只是我本身接觸語言的順序罷了；然而，像這樣回顧為何某個語言對我重要，也間接呈現出一種語言學習的路徑。</p> <p>例如，對於初學者而言，應該選擇學習資源豐富、社群熱絡的語言，這可以讓你快速成長；後續可以選擇具有不同設計概念、典範的語言，認識不同的開發方式；如果對某個典範看不清，最好選擇一個純粹支援該典範的語言；如果語言著重在某個領域，或許也值得學習，它可能成為你入門某個領域的基礎；然後，最重要的是，無論哪個語言，大量地撰寫程式碼，可以實現出自己的作品。</p> <p>你是不是也學習過多個語言？有哪些語言對你而言是影響重大的呢？試著回顧看看吧！或許可以發現自己與眾不同的語言學習路徑呢！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item odd"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div></div></div>
2022/11/17 14:06作者林信良https://www.ithome.com.tw/voice/154242
微軟與Nvidia擴大雲端AI超級電腦合作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://nvidianews.nvidia.com/news/nvidia-microsoft-accelerate-cloud-enterprise-ai" target="_blank">Nvidia本周宣布</a>，已與微軟簽署多年合作協議，以於微軟Azure超級電腦運算架構上整合Nvidia的GPU、網路與AI軟體，以協助企業訓練及部署大規模的AI模型。</p> <p><a href="https://www.ithome.com.tw/news/144812" target="_blank">去年6月</a>，雙方便共同於Azure上提供基於Nvidia A100 GPU叢集的超級電腦服務，號稱為全球首個整合Nvidia AI能力的公有雲，現有的Azure實例配備Nvidia A100 GPU與Nvidia Quantum 200Gb/s InfiniBand網路，未來的實例將會整合Nvidia H100 GPU與Nvidia Quantum 2 400Gb/s InfiniBand網路。</p> <p>Nvidia說，結合先進的Azure雲端運算架構、網路與儲存能力，這些針對AI進行最佳化的產品將可替各種規模的AI訓練與深度學習推理，帶來可擴展的峰值效能。</p> <p>此外，雙方也會合作以最佳化微軟的DeepSpeed深度學習最佳化軟體，Nvidia針對Azure進行最佳化的AI工程流程與軟體開發套件，未來亦可供Azure客戶使用。</p> </div></div></div>
2022/11/17 12:47作者陳曉莉https://www.ithome.com.tw/news/154238
Evernote要賣給義大利的行動程式開發商Bending Spoons
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://evernote.com/blog/evernote-next-move-joining-bending-spoons/" target="_blank">2000年於美國創立的筆記與任務管理軟體Evernote周三（11/16）宣布</a>，即將出售給義大利的行動程式開發商Bending Spoons，雙方並未公布交易金額，僅說預計於明年初完成交易。</p> <p>Evernote創立時的概念很容易理解，它打算成為人們在運算裝置上的數位筆記本，它支援Windows、macOS，也有Web版，之後也進駐了Android及iOS版本，在2013年的估值接近10億美元。Evernote提供免費及付費訂閱版，主要是儲存量與功能上的差異，目前它支援25種語言，全球用戶數超過2.5億，每年的經常性收入約為1億美元。</p> <p><a href="https://bendingspoons.com/products" target="_blank">至於Bending Spoons則是2013年才創立的行動程式開發商</a>，旗下產品包括影片編輯程式Splice、照片復原程式Remini與健身程式30 Day Fitness等，也曾替義大利政府打造COVID-19追蹤程式Immuni。</p> <p><a href="https://www.prweb.com/releases/bending_spoons_to_acquire_renowned_productivity_app_evernote_to_enhance_suite_of_consumer_facing_digital_products/prweb19024575.htm" target="_blank">Bending Spoons執行長Luca Ferrari表示</a>，該公司的使命就是替客戶、員工與社會帶來正面的影響，每天全球都有數百萬使用者仰賴Evernote來組織他們的生活，讓Evernote成為非常適合Bending Spoons的產品。Evernote則說，與Bending Spoons的合作將可加速Evernote各個方案的功能改善與交付速度。</p> </div></div></div>
2022/11/17 11:51作者陳曉莉https://www.ithome.com.tw/news/154235
Deno 1.28穩定支援NPM套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Deno團隊發布可穩定相容NPM套件的<a href="https://deno.com/blog/v1.28#v8-109">Deno 1.28</a>，這是一個重要的功能更新，因為這代表Deno開發者將可以使用超過130萬個NPM套件，使用熟悉的持久資料模組，像是Prisma、Mongoose和MySQL，甚至是前端框架React、Vue來建構應用程式。</p> <p>由於Deno是為了解決Node.js技術債，由Node.js之父Ryan Dahl重新創建的JavaScript、TypeScript執行環境，因此社群在兩者的相容性上存在一些意見分歧，但是開發者仍希望可以有一個簡單的方法，能夠方便地使用NPM套件。</p> <p>Deno團隊認為，現代JavaScript應該使用網頁標準API和ES模組建構，因此這個版本也會遵循這個想法，透過URL以標準方式匯入模組，Deno將繼續朝向與瀏覽器相容的方向，開發者之後便可使用Web API，像是Fetch、Request和Response來操作套件。</p> <p>雖然NPM套件方便使用且易於共享，但是安裝和執行相依項目不用經過檢查的方式，使Node和NPM容易受到軟體供應鏈攻擊，透過域名仿冒、社交工程和各種攻擊，當攻擊者上傳惡意模組，被其他開發者安裝到生產應用程式中，就可能危及數百萬用戶。</p> <p>Deno預設安全方法不允許不受信任的第三方程式碼，存取用戶的整個系統，並且會在相依項目存取系統時，進行限制並且通知使用者。</p> <p>Deno團隊正想辦法讓更多的NPM套件與Deno相容，有一些套件因為腳本等其他邊緣狀況，現在仍無法使用，Deno團隊想透過改進Node相容層，使其能與Node的運作方式相同。另外，Deno中有一些子命令，還無法用於NPM套件中，這部分Deno團隊也正在解決當中。</p> </div></div></div>
2022/11/17 09:45作者李建興https://www.ithome.com.tw/news/154220
Visual Studio 2022 17.4將支援多儲存庫，實現更快的C++索引效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟持續改進Visual Studio 2022，預計將會在17.4加入兩個重要功能，其一是<a href="https://devblogs.microsoft.com/cppblog/faster-cpp-source-code-indexing/">提升C++索引效能</a>，第二則是<a href="https://devblogs.microsoft.com/visualstudio/multi-repository-support-released/">支援多儲存庫</a>。</p> <p>在Visual Studio 2022 17.4中，無論是遊戲開發人員，還是需要處理大型程式碼庫或包含許多C++專案的解決方案開發者，都將明顯感覺到開發體驗提升。Visual Studio 2022 17.4大幅減少首次開啟C++專案所需要的時間，與Visual Studio 2022 17.3相比，大型C++專案的速度可提升20％到36％，而與Visual Studio 2019比較起來，效能提升更可能達2到6倍。</p> <p>微軟使用戰爭機器遊戲、虛幻引擎5和Chromium專案來進行實驗，比較Visual Studio 2019 16.11和Visual Studio 2022 17.4的冷啟動速度。在Visual Studio 2019中，戰爭機器完全索引需要6.5分鐘，而在Visual Studio 2022則只需要2.5分鐘。</p> <p>Visual Studio 2019完全索引全新的C++虛幻引擎5需要2.5分鐘，而Visual Studio 2022僅需要1分鐘，另外，大規模開源專案Chromium，在其Visual Studio解決方案有超過12,000個專案，使用Visual Studio 2019索引需要31分鐘，而在Visual Studio 2022就僅需要5分鐘。</p> <p>另外，微軟回應開發者社群的功能需求，將在Visual Studio 2022 17.4加入多儲存庫支援，將可讓開發者同時在Visual Studio 2022，連結10個活動中的Git儲存庫，這項能力使得開發者可以跨多儲存庫解決方案，並且同時進行Git操作。</p> <p>官方舉例，像是在大型的網頁專案中，開發者可能需要不同的儲存庫，來管理前端、API、資料庫、文件和各種函式庫與相依項目。過去開發者需要打開多個Visual Studio實例，才能在不同的儲存庫中工作，但現在在同一個儲存庫，就能進行管理、查看和除錯。多儲存庫支援上，Visual Studio擴展了Git Changes和Git Repository視窗功能，開發者能夠以管理單個儲存庫相同的體驗管理多儲存庫，同時跨多個儲存庫創建分支。</p> <p>目前Visual Studio 2022 17.4先支援10個活動儲存庫，微軟提到，他們會持續監控這對I/O、CPU和UI回應效能的影響。因為在預覽版，只有不到0.05%的使用者使用超過10個儲存庫，微軟會持續收集回饋，作為未來調整的參考。</p> </div></div></div>
2022/11/17 09:49作者李建興https://www.ithome.com.tw/news/154222
Meta開源可處理超大規模單體儲存庫的原始碼控制系統Sapling客戶端
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta開源自家的原始碼控制系統<a href="https://engineering.fb.com/2022/11/15/open-source/sapling-source-control-scalable/">Sapling</a>客戶端，Sapling是與Git相容原始碼控制系統，Meta強調，Sapling具備高可用性，可以支援全球最大的單體儲存庫。Meta目前僅先開源Sapling客戶端，但預計接下來還會開源和Sapling相容的虛擬檔案系統，以及Sapling伺服器。</p> <p>原始碼控制已經成為現代開發人員最重要的工具，Git、GitHub和GitLab等工具已然成為整個軟體產業的基礎，而在Meta中，原始碼控制負責儲存開發人員開發中的程式碼、歷史紀錄，並提供程式碼服務，Meta提到，原始碼控制工具是他們快速開發產品的關鍵，因此投入許多資源進行改善。</p> <p>在過去10年，Meta一直開發並發展自家的原始碼控制工具Sapling，現在Meta開源其客戶端，使得任何開發者，都可以使用Sapling內建的Git支援來操作儲存庫。Sapling是Meta著重可用性和可擴展性的原始碼控制系統，許多操作概念與Git和Mercurial相似。</p> <p>當Sapling客戶端、伺服器和虛擬檔案系統共同運作時，Sapling可以服務數千萬檔案，並且負荷數千萬次提交以及分支，在Meta主要是將Sapling用於處理大型單體儲存庫（Monorepo），但Sapling也支援複製，並且與其他Git儲存庫互動，也可供個人開發使用，與GitHub和GitLab等Git託管服務一起運作。</p> <p>大型單體儲存庫正是Meta創建Sapling的原因，Meta表示，在10年前，任何公共原始碼控制系統，都無法處理他們的大型單體儲存庫，而他們也不願意拆分儲存庫，因為會失去單體儲存庫所帶來的好處，像是簡化相依項目管理，以及快速進行大規模更新的能力。</p> <p>原本Sapling是以Mercurial開源專案的擴充專案啟動，但後來迅速發展出具有新儲存格式、協定、演算法和行為的獨立系統。而在提高規模的同時，Meta還想要改善原始碼控制的實際體驗，Meta提到，當前版本控制系統的可用性仍然不足，開發人員需要維護儲存庫複雜性，常需要以複雜的命令解決簡單的問題。</p> <p>Sapling則可以改善這些狀況，其操作起來和Git的基本命令類似，用戶可以複製儲存庫、提交、修改並推送程式碼至伺服器，但是每一個命令都以簡單易用為設計目標，每個命令只執行一件事，本地分支名稱可選，且沒有暫存區。</p> </div></div></div>
2022/11/17 09:54作者李建興https://www.ithome.com.tw/news/154231
分散式圖資料庫服務TigerGraph Cloud新增圖分析與機器學習工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>目前唯一提供分散式原生圖資料庫服務的<a href="https://www.tigergraph.com/blog/nov-2022-tigergraph-cloud-update/">TigerGraph Cloud</a>，在其最新的更新，加入機器學習和資料分析功能，使雲端用戶可以不需離開TigerGraph資料庫，就能創建模型和進行資料分析，這項更新使得TigerGraph Cloud從單純的圖資料儲存，轉變成為資料分析和機器學習平臺。</p> <p>TigerGraph Cloud現在提供機器學習工作臺（Machine Learning Workbench），這是一系列針對資料科學家建立的圖機器學習工具，可用於創建機器學習模型，其包含了由TigerGraph大型平行圖資料庫平臺運算的55種圖演算法，官方提到，結合先進的圖神經網路功能，機器學習工作臺能夠建構比傳統機器學習方法更準確的模型。</p> <p>圖讓用戶可以能夠連接不同的資料孤島，進行深度連接分析，在新的GraphStudio版本中，開始支援連接三大公有雲供應商平臺的資料源，用戶可以從S3、Google Cloud Storage和Azure Blob Storage中取用資料。</p> <p>TigerGraph官方提到，他們正在改進產品支援企業級用戶，其中一個重點是提供DevOps團隊更好的圖管理工具。最新的AdminPortal能支援工作負載管理，用戶可以觀察所有執行中的查詢效能，並中斷耗時過長或是消耗過多資源的查詢，以掌控組織中查詢的運作狀況。</p> <p>另外，TigerGraph Cloud也推出最新圖視覺化和分析工具TigerGraph Insights，該工具讓資料分析師獲得視覺化圖敘事能力，以網路圖、表格、圖表等視覺化形式，展示圖資料和分析結果，官方提到，TigerGraph Insights能以多維和互動式視覺檢視圖，構成多頁面互動式儀表板應用程式，並可簡單地和其他人共享，展示資料分析結果。</p> </div></div></div>
2022/11/17 09:56作者李建興https://www.ithome.com.tw/news/154234
統領百貨遭遇網路攻擊事件，部份資訊系統受影響，目前傳出顧客會員系統停擺兩天
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去在台北、桃園設有分店的老牌百貨業者統領，在11月14日於臺灣證券交易所發布重大訊息，說明遭受駭客網路攻擊事件，部份資訊系統受影響，已陸續恢復運作。該公告雖然沒有揭露更多事件細節，不過，該公司今日（16）在統領廣場臉書粉絲專頁上表示，公司會員系統從14日至今已連續兩天無法運作。</p> <p>成立近40年的老牌百貨業者統領，除了百貨事業的零售美食餐飲服務，也有建設事業，包括大樓出租、不動產興建與銷售。</p> <p>根據該公司的重大訊息內容，說明他們偵測到有部份資訊系統受到駭客網路攻擊，資訊部門已啟動相關防禦機制與復原作業，並與外部資安公司技術專家協同處理，同時已通報政府執法部門。</p> <p>統領在公告中指出，對公司營運無重大影響，目前受影響的資訊系統陸續回復運作中。關於是否遭勒索軟體攻擊，是否調查出入侵管道，有待進一步釐清。</p> <p>在公告兩天之後，統領廣場的臉書粉絲專頁在11月16日下午4時左右向顧客發布公告，說明由於統領廣場的顧客會員系統從14日起就無法正常運作，因此這段期間會暫停會員點數累積、折抵與卡友專屬活動。同時，我們在16日傍晚開啟該公司官方網站，目前處於無法正常顯示的狀態。</p> <p>綜合來看，目前該公司的會員系統已停擺至少兩天，更受關注的是，其會員資料是否可能有外洩情況，這方面可能有待業者進一步公布後續調查結果。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-11-16_172537.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-16_172537.JPG" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-11-16_174519.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-16_174519.JPG" style="width: 600px;" /></a></p> <p><strong>在統領廣場16日的臉書粉絲專頁上，該公司發布重要公告說明會員系統無法正常運作，導致相關服務無法使用請會員留意與因應。</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-11-16_183902.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-16_183902.JPG" style="width: 600px;" /></a></p> <p><strong>我們在11月16日傍晚連至統領官方網站（<a href="https://www.tonlin.com.tw">https://www.tonlin.com.tw</a>），目前是無法正常顯示網站內容的狀態。</strong></p> <h2><strong>2022-11-14 統領</strong><strong>資安事件小檔案</strong></h2> <table border="0" cellpadding="0" cellspacing="0" style="width: 547px;" width="547"> <colgroup> <col /><br /> <col /><br /> </colgroup> <tbody> <tr height="48"> <td height="48" style="height: 48px; width: 170px;">網路攻擊事件類型</td> <td style="width: 378px;">公告中表示部份資訊系統遭受駭客網路攻擊 </td> </tr> <tr height="24"> <td height="24" style="height: 24px; width: 170px;">事中應變措施</td> <td style="width: 378px;">自偵測到狀況即啟動防禦機制與復原作業，並已通報政府執法單位。</td> </tr> <tr height="48"> <td height="48" style="height: 48px;">初步調查結果</td> <td style="width: 378px;">重大訊息中的透露資訊非常有限，未公布感染病毒名稱，被入侵管道，以及感染方式等。</td> </tr> <tr height="24"> <td height="24" style="height: 24px; width: 170px;">事件影響範圍</td> <td style="width: 378px;">僅提及部分資訊系統<span style="color:#FF0000;">（從統領廣場臉書粉專在16日下午4時左右發文可看出，部分資訊系統包括該公司會員系統，網站目前也無法正常顯示）</span></td> </tr> <tr height="24"> <td height="24" style="height: 24px; width: 170px;">事件對營運的影響</td> <td style="width: 378px;">評估對公司營運無重大影響</td> </tr> <tr height="48"> <td height="48" style="height: 48px; width: 170px;">事後復原與檢討</td> <td style="width: 378px;"> <p>說明受影響的資訊系統陸續回復運作中，將持續提升網路與資訊基礎架構之安全管控以確保資料安全</p> </td> </tr> <tr height="48"> <td height="48" style="height: 48px; width: 170px;">對外公告資安事件</td> <td style="width: 378px;">在11月14日發布於臺灣證券交易所重大訊息 </td> </tr> <tr height="48"> <td height="48" style="height: 48px; width: 170px;">該公司背景資訊</td> <td style="width: 378px;">年報<a href="https://www.tonlin.com.tw/shareholder/Shareholderarea?id=26&name=%E8%82%A1%E5%8B%99%E7%AE%A1%E7%90%86">連結</a></td> </tr> <tr height="24"> <td colspan="2" height="24" style="height: 24px;"> 資料來源：iThome整理，2022年10月(紅字部分為查詢該公司網站後得知的資訊)<br /> </td> </tr> </tbody> </table> </div></div></div>
2022/11/16 18:37作者羅正漢https://www.ithome.com.tw/news/154233
【資安日報】2022年11月16日，亞洲政府機關與憑證機構遭中國駭客Billbug鎖定、開發人員入口網站平臺Backs…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客組織發動攻擊的情況屢見不鮮，資安業者揭露駭客組織Billbug的行動，當中值得留意的是，已經有憑證認證機構（CA）受害，而可能讓該機構的簽章工具用於簽署惡意軟體。</p> <p>多家企業與IT廠商採用的開發人員入口網站平臺Backstage出現了重大漏洞SandBreak，該漏洞源於此系統採用的VM2沙箱，而可能讓攻擊者存取開發團隊擁有的各式開發系統。</p> <p>推特被馬斯克（Elon Musk）買下後引發用戶出走潮，不少人選擇改用去中心化社群網站Mastodon，但有研究人員發現該社群網站出現可竊取使用者密碼的漏洞，使得Mastodon用戶可能曝險。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/espionage-asia-governments-cert-authority"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">遭中國駭客組織Billbug鎖定，亞洲多個國家的政府機關與憑證認證機構的資安風險增加</span></strong></a></h3> <p>資安業者賽門鐵克自今年3月，觀察到中國駭客組織Billbug（亦稱Lotus Blossom、Thrip）的攻擊行動，這些駭客鎖定了亞洲多個國家的組織，包含政府機關與國防單位，以及憑證認證機構（CA），研究人員指出，攻擊者針對CA而來，有可能運用具備合法簽章的惡意軟體，進而規避偵測。在攻擊行動裡，駭客運用不少軟體進行寄生攻擊（LoL），像是AdFind、WinRAR、Tracert、NBTscan、Certutil等，從而在受害電腦上部署後門程式Sagerunex。</p> <h3><a href="https://securelist.com/dtrack-targeting-europe-latin-america/107798/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歐洲、拉丁美洲組織遭北韓駭客Lazarus散布後門程式DTrack</span></strong></a></h3> <p>資安業者卡巴斯基揭露近期北韓駭客組織Lazarus的攻擊行動，他們看到駭客在德國、巴西、印度、義大利、墨西哥、瑞士、沙烏地阿拉伯、土耳其、美國散布後門程式DTrack，攻擊目標是教育業、化學製造業、政府研究機構、IT服務供應商、公業事業、電信業者。</p> <p>研究人員指出，該後門程式功能與2019年時相比，沒有太大變化，但在駭客散布的過程裡，不只將其埋藏在可執行檔，以貌似合法軟體的形式進行偷渡，這些遭竄改的檔案在執行前，也必須先進行多個解密程序，完成後，再將DTrack以處理程序空心化（Process Hollowing）手法，透過Windows檔案總管載入。</p> <h3><a href="https://unit42.paloaltonetworks.com/typhon-reborn-stealer/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊密軟體Typhon Reborn加入防止研究人員分析的機制</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-19.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-19.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露名為Typhon Reborn的竊密軟體，這是名為Typhon Stealer的變種，此竊密軟體針對Chrome、Edge瀏覽器的加密錢包、加密貨幣交易所的擴充套件下手，並能收集受害電腦的資料，如作業系統、防毒軟體的資訊，以及Wi-Fi無線網路的密碼，並透過Telegram的API來傳送竊得的資訊。</p> <p>駭客在地下網站以100美元求售Typhon Reborn，並標榜納入名為「MeltSelf」的機制，來防礙研究人員調查──若是偵測到惡意軟體是在命令列除錯模式執行、發現資安研究人員可能使用的工具（如網路封包解析程式Wireshark、TCP連線監控軟體TCPView）、虛擬機器可能會出現的電腦使用者名稱（如test、Sandbox），該竊密程式就會執行MeltSelf進行自我刪除。此外，假如此竊密軟體偵測到受害電腦位於獨立國家國協（CIS），也將會進行相關刪除作業。</p> <h3><a href="https://www.reuters.com/technology/exclusive-russian-software-disguised-american-finds-its-way-into-us-army-cdc-2022-11-14/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯用戶分析元件業者冒充美國公司對外提供產品，美國軍方與疾病管制局皆為其用戶而可能曝險</span></strong></a></h3> <p>根據路透社的報導，名為Pushwoosh的科技公司，像美國政府宣稱總部位於美國，該公司供應的元件受到美國陸軍與病病管制局（CDC）等客戶採用，此元件專供行動裝置App開發者分析用戶活動，但經該新聞媒體調查，該公司的總部實際上位於西伯利亞小鎮，並向俄羅斯政府登記。美國陸軍、病病管制局（CDC）得知此事後，皆將採用Pushwoosh元件的App下架，前者移除了供作戰訓練基地士兵使用的App，後者則在應用程式刪除相關程式碼。</p> <p>應用程式情資分析業者Appfigures指出，Pushwoosh的程式碼已被近8千個上架到Google Play市集與蘋果App Store的應用程式採用；專精分析廣告供應鏈資料收集情況的資安業者Confiant認為，相關元件很可能會被用於大規模入侵式跟蹤行動。路透社指出，他們並未發現Pushwoosh處理用戶資料不當的跡象，但俄羅斯政府很可能會脅迫當地公司將相關資料提供給國安單位，而使得Pushwoosh持有的個資被俄羅斯濫用。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.oxeye.io/blog/remote-code-execution-in-spotifys-backstage"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">多家企業與IT廠商採用的開發人員入口網站平臺Backstage出現重大漏洞SandBreak，恐被用於逃逸沙箱發動RCE攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/6345824f4b7dbecf12c0d075_Diagram BrekStage%403x.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/6345824f4b7dbecf12c0d075_Diagram%20BrekStage%403x.png" style="width: 300px; float: right;" /></a>資安業者Oxeye揭露開發人員入口網站平臺Backstage的重大漏洞SandBreak（CVE-2022-36067），此漏洞與該系統採用的VM2沙箱有關，一旦遭到利用，攻擊者可濫用範本元件，在未經身分驗證的情況下遠端發動逃離沙箱攻擊，並在伺服器上執行任意程式碼，甚至有可能於受害組織網路執行各式操作。</p> <p>研究人員指出，由於Backstage掌握許多組織軟體開發周邊系統的整合細節，例如伺服器狀態監控系統Prometheus、問題追蹤管理系統Jira、搜尋引擎Elasticsearch等，這種漏洞的濫用恐波及其他開發相關系統。研究人員通報後，開發Backstage的Spotify發布1.5.1版Backstage予以修補。</p> <h3><a href="https://portswigger.net/research/stealing-passwords-from-infosec-mastodon-without-bypassing-csp"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">去中心化社群網站Mastodon出現HTML注入漏洞，恐導致用戶帳密遭竊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/41c9-article-mastodon-steal-passwords.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/41c9-article-mastodon-steal-passwords.jpg" style="width: 300px; float: right;" /></a>資安新聞網站PortSwigger News的研究人員發現，去中心化社群網站Mastodon的自訂表情符號可被濫用，攻擊者可對其進行HTML注入攻擊，並搭配Chrome瀏覽器的自動填入功能，引入外部表單竊取使用者的密碼。</p> <p>研究人員通報後，Mastodon起初認為這是Glitch分支版本獨有的漏洞，但後來還是發布了4.0.2、3.5.5、3.4.10版Mastodon予以修補。Glitch開發團隊表示，核心的Mastodon不允許使用標題（title）的屬性，使得這項漏洞導致的影響較為有限。</p> <h3><a href="https://www.varonis.com/blog/zendesk-sql-injection-and-access-flaws"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">客服系統Zendesk出現SQL注入及存取控管不當漏洞</span></strong></a></h3> <p>資安業者Varonis發現客服系統Zendesk有漏洞，它們存在於該系統的報表元件Zendesk Explore，涉及SQL注入漏洞，以及存取控管缺陷，一旦遭到利用，攻擊者可針對已啟用此報表元件的Zendesk下手，藉由工單系統註冊成外部使用者，然後利用漏洞存取工單、電子郵件信箱、對話內容，以及其他與Zendesk帳號有關的資料。研究人員通報Zendesk後，該公司已於9月8日修補。</p> <h3><a href="https://promon.co/security-news/aiphone-vulnerability/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">門禁系統Aiphone出現漏洞，能用NFC開門而無需通過驗證程序，本月發布資安公告</span></strong></a></h3> <p>資安業者Promon揭露在2021年6月發現的Aiphone門禁系統漏洞CVE-2022-40903，存在於GT-DMB、GT-DMB-N、GT-DMB-LVN機種的設備，攻擊者可利用具備NFC功能的行動裝置來對其下手，進而搜尋管理者的通行碼，得手後在受害系統增列NFC標籤，攻擊者就能藉此打開門鎖，甚至有機會在無須接觸門禁系統設備的狀況下，就能開門。研究人員指出，由於這些系統未儲存相關事件記錄，使得採用該系統的組織無從得知是否遭到入侵。</p> <p>緩解此漏洞需要更換相關硬體元件，Aiphone於今年11月10日發布資安通告，呼籲受影響的用戶聯繫經銷商進行處理。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://tw.stock.yahoo.com/news/%E5%85%AC%E5%91%8A-%E7%B5%B1%E9%A0%98%E8%AA%AA%E6%98%8E%E9%83%A8%E4%BB%BD%E8%B3%87%E8%A8%8A%E7%B3%BB%E7%B5%B1%E9%81%AD%E5%8F%97%E9%A7%AD%E5%AE%A2%E7%B6%B2%E8%B7%AF%E6%94%BB%E6%93%8A-101440686.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">百貨業者統領於證交所發布公告，表示部分資訊系統遭到網路攻擊</span></span></strong></a></p> <p><a href="https://www.fortinet.com/tw/demand/gated/wp-threat-prediction-2023"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Fortinet發布2023年資安威脅預測，指出網路犯罪分工變得更加精細</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154205">【2022年11月15日】中國駭客鎖定維吾爾人等少數民族發動攻擊、大規模網釣活動濫用逾400個品牌</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154187">【2022年11月14日】加密貨幣交易所FTX疑遭駭客攻擊、美國警告醫療照護機構遭到勒索軟體Venus鎖定</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154158">【2022年11月11日】石油與天然氣流量檢測器弱點修補受關注，APT29入侵歐洲外交機關利用Windows憑證漫遊功能</a></strong></strong></strong></p> </div></div></div>
2022/11/16 17:15作者周峻佑https://www.ithome.com.tw/news/154223
Netflix推出可移除裝置的帳號管理功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.netflix.com/en/news/giving-members-additional-control-over-their-account-managing-access-and-devices" target="_blank">Netflix本周推出了</a>新的帳號管理功能Managing Access and Devices，可讓使用者透過帳號設定，將不屬於自己的裝置登出。雖然Netflix說明這是為了讓使用者登出之前曾暫時使用的裝置，但外界一面倒地認為這仍是Netflix為打擊帳號分享所作的準備。</p> <p><a href="https://www.ithome.com.tw/news/150505" target="_blank">Netflix在今年4月的財報會議上揭露</a>，該平臺擁有2.22億名付費用戶，但另有超過1億的用戶免費使用其它付費用戶的帳號，為了打擊用戶的帳號分享行為，Netflix持續測試各種新招，包括於螢幕上秀出訊息提醒那些免費用戶、推出更便宜的廣告版服務，或者是讓既有會員額外付費才能分享給未同住的親友。</p> <p>目前並不確定Netflix會在何時正式出手制止帳號分享，<a href="https://www.ithome.com.tw/news/153677" target="_blank">但已於上個月推出個人檔案移轉功能</a>，讓使用者可將帳號中的個人檔案移轉至另一個帳號，這次的Managing Access and Devices則可讓訂閱用戶將不屬於自己的裝置登出。</p> <p>不過，Netflix表示，有些使用者可能會在朋友家，或是旅遊時於旅館登入自己的Netflix帳號，離開時卻忘了登出。而Managing Access and Devices則可讓使用者檢視以自己帳號登入的所有裝置，並把特定裝置登出，該功能支援網頁版、Android版與iOS版的Netflix用戶。</p> </div></div></div>
2022/11/16 16:06作者陳曉莉https://www.ithome.com.tw/news/154218
微軟公布成立以來首個性騷擾與性別歧視調查報告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/blog/2022/11/15/building-a-more-inclusive-workplace-microsoft-releases-action-plan-following-independent-review/" target="_blank">微軟周二（11/15）公布</a>了該公司史上首份<a href="https://blogs.microsoft.com/wp-content/uploads/prod/2022/11/Final-Microsoft-Transparency-Report.pdf" target="_blank">性騷擾與性別歧視調查報告</a>，指出自2019年至2021年間，該公司總計收到了721起的相關投訴，當中有19.42%被判定違反內部政策，但有超過61%缺乏證據。這是微軟創立47年以來，第一個與歧視及性騷擾有關的公開調查報告，並承諾未來每年都會定期揭露。</p> <p>這類的調查通常只在組織或企業內部展開，顯少公開揭露，但在微軟創辦人比爾.蓋茲（Bill Gates）據傳因遭到內部性騷擾調查，才於2020年辭去微軟董事長一職被媒體披露之後，微軟股東Arjuna Capital即在2021年的股東大會上，要求微軟發布相關的透明度報告，並罕見地獲得高達78%的股東同意，才使得微軟正式聘請第三方的法律顧問公司ArentFox Schiff LLP展開調查。</p> <p>調查中亦提及了該名女員工與蓋茲之間的事件，起因為女員工指控蓋茲涉及性騷擾，且雙方在1999年於微軟認識後，曾經維持短暫的關係。微軟總裁Brad Smith曾經就此事詢問過蓋茲，蓋茲承認了此事，但說雙方是你情我願（Consensual）的。為了保護當事人的隱私，報告並未揭露更多的細節。</p> <p>整體而言，在這3年間微軟總計收到了721起投訴，其中的453起與歧視有關，268起與騷擾有關，但真正被判定為違反內部政策的則只有140起，占總投訴案件的19.42%。</p> <p>這不僅是科技產業的創舉，微軟執行長Satya Nadella認為，培養一個讓每個人都能從事有意義的工作且可成長的文化，是微軟的最大責任，微軟董事會認真看待此一調查，也將根據調查所提出的建議作出改善。</p> <p>現階段微軟已列出的改善計畫包括將會重新審視內部政策並改善員工教育，由人資及法務部在明年6月底以前完成；預計在今年底以前就會修改反騷擾／反歧意政策，使用更明確的文字說明；在年底前讓員工充分明瞭可存取外部法律支援的權利；將在明年3月前強化對高階主管的培訓；更透明且公開的覆議程序；改善調查程序並顧慮員工體驗；亦將要求高階主管對違規行為負責；以及承諾未來每年都會發表相關的透明度報告。</p> </div></div></div>
2022/11/16 14:56作者陳曉莉https://www.ithome.com.tw/news/154212
Amazon發表Amazon Clinic遠距醫療平臺，將於美32州提供服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/retail/what-is-amazon-clinic" target="_blank">Amazon本周二（11/15）發表了</a>Amazon Clinic遠距醫療平臺，與多家遠距醫療業者合作，讓全美32州的居民不必預約就能透過該平臺找到合適的醫療諮詢，也能直接訂購藥品。</p> <p>Amazon Clinic定位為虛擬的健康醫療門市，與遠距醫療供應商合作，目前提供逾20種病症的線上諮詢，標榜可在使用者出現狀況時快速找到可諮詢的醫生，以及取得處方簽。目前Amazon Clinic主要由SteadyMD及HealthTap兩家業者提供服務。</p> <p class="rtecenter"><img alt="" src="https://m.media-amazon.com/images/G/01/katara/website-social-assets/AC_WebImage_OpenGraph_1200x630_1.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Amazon</span></span></p> <p>使用者可先於Amazon Clinic平臺上選擇自己的症狀，像是青春痘、哮喘、皰疹、結膜炎、掉髮、偏頭痛、過敏或鼻竇炎等，繼之選擇自己喜好的遠距醫療服務供應商，接著填寫調查問卷，或是上傳產生症狀的照片，之後就可建立彼此間的文字傳訊通道，並由醫生決定是否開立處方簽。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1116-amazon%20clinic-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Amazon</span></p> <p>每個線上診所都會設定自己的諮詢價格，不同症狀的價格也不同，而藥品亦必須額外購買。</p> <p>由於各州法令不同，因此目前Amazon Clinic僅支援美國32個州，亦計畫拓展版圖至更多州別，惟目前僅於美國市場提供服務。</p> <p>Amazon一直對醫療市場很感興趣，<a href="https://www.ithome.com.tw/news/124224" target="_blank">在2018年買下了美國線上藥局PillPack</a>，並藉此於2020年推出自家的Amazon Pharmacy線上藥局服務，繼之在今年7月更大手筆以39億美元買下遠距醫療供應商One Medical，此一最新的交易尚未通過監管機關的審核，而Amazon Clinic顯然也正在替One Medical的未來舖路。</p> <p>目前Amazon Pharmacy已是Amazon Clinic平臺上購買藥品的選項之一，一旦One Medical交易完成，One Medical亦可望成為該平臺的醫療供應商。</p> </div></div></div>
2022/11/16 13:28作者陳曉莉https://www.ithome.com.tw/news/154211
Google公測健康管理App Health Connect，可整合多種量測、紀錄資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google與三星合作可跨不同App整合資訊的Health Connect，本周進入公測階段。</p> <p>Google、三星合作打造Wear OS 3，在這項計畫下，也推動跨Android裝置及健康App的資訊整合於單一管理介面。<a href="https://www.ithome.com.tw/news/150932" target="_blank">今年5月間兩公司宣布共同開發Health Connect健康資訊平臺</a>，旨在讓不同App的健康與健身資訊可以跨Android裝置互通。</p> <p>Health Connect目前已經以Beta版<a href="https://play.google.com/store/apps/details?id=com.google.android.apps.healthdata&hl" target="_blank">在Google Play Store上架</a>，供使用者下載。<a href="https://play.google.com/store/apps/collection/promotion_all__health_connect" target="_blank">根據Google網頁說明</a>，Health Connect可整合40多種資料類型，涵括運動、身體與生理量測數據、營養與睡眠類型。與之相容的健康App包括Google的Fitbit、生理期追蹤Flo、健康與營養追蹤Lifesum、Samsung Health、智慧戒指Oura、健身器材派樂騰（Peloton）MyFitnessPal、減重用的WW（Weight Watchers）及醫療級血糖儀Dexcom等13款App或裝置。</p> <p>在Android手機上，Health Connect可以透過「快速設定」（Quick Settings）功能磚開啟。打開後可以一覽最近讀取哪些App資訊，以及設定可讀寫哪些App。</p> </div></div></div>
2022/11/16 11:13作者林妍溱https://www.ithome.com.tw/news/154209
Google明年初將針對Android 13部署Privacy Sandbox測試版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2022/11/preparing-for-android-privacy-sandbox-beta.html" target="_blank">Google本周宣布</a>，將在明年初針對Android 13部署可用來強化使用者隱私的廣告解決方案Privacy Sandbox測試版。</p> <p>先前Google已釋出多個Privacy Sandbox預覽版供開發者測試，測試版的用意在於讓開發者可採取後續的步驟來測試這些新解決方案，而在正式版問世以前，Google將會繼續藉由預覽版來展示各種新功能。</p> <p>與過去最大的不同是，從發布測試版開始，不管是要採用該測試版或未來預覽版的開發者都必須完成帳號登記程序，以使用Android上的各種Privacy Sandbox API，包括主題（Topics）、不與第三方分享資料即可放送自訂廣告的FLEDGE，以及歸因報表（Attribution Reporting）等與廣告有關的API。</p> <p>此一測試版適用於有意願測試相關API的廣告技術與行動程式的開發者，想在自己的Android 13裝置上進行測試的組織，可申請有限數量的裝置進行存取，也必須註冊任何欲利用這些API的行動程式。</p> <p>此外，Google也將針對相關的SDK Runtime展開封閉測試，此一測試必須於生產裝置上進行，<a href="https://forms.gle/CYYfzZZ7gFDKjvVF7" target="_blank">Google亦歡迎有興趣的開發者提出申請</a>。</p> </div></div></div>
2022/11/16 11:43作者陳曉莉https://www.ithome.com.tw/news/154210
推特傳再裁約5千約聘員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼裁撤近半正職員工後，推特上周可能又裁減了數千名涵括美國及其他國家的約聘人員。媒體報導，他們都是在沒有接到預告情況下當天失去工作。</p> <p>《<a href="https://www.businessinsider.com/read-email-twitter-contractors-received-saying-they-lost-their-job-2022-11" target="_blank">Business Insider</a>》引述一名約聘員工接到的信件告知，周一是他們工作的最後一天，所以當天沒有工作要做。《<a href="https://twitter.com/CaseyNewton/status/1591608302076858371" target="_blank">The Platformer</a>》記者Casey Newton則報導，該公司約聘員工是在上周末無法登入公司電子郵件和內部Slack協同平臺，才發現自己被炒了，事前完全沒有接到通知。而他們的主管也是那時才得知消息。</p> <p>Newton的消息人士指出，受影響員工大約在4,500到5,500人之間，涵括內容審查、不動產管理、行銷、支援網站營運的核心基礎架構等部門，而且美國及海外都有。</p> <p>由於推特公關部門被裁掉了，目前這消息無法獲得推特官方說法。</p> <p>這是推特後最新一波大規模裁員。新主管馬斯克接手第二天就裁減了近8,000名員工中的50%，包括工程、業務及維護網站基礎架構的人員。此外<a href="https://twitter.com/shawnwenzel/status/1588574646303346689" target="_blank">推特在11月初也通知</a>持H1B、L1等工作簽證的外國員工，他們需在60天內找到下一份工作，否則就得離開美國。</p> <p>馬斯克激烈改革現任推特功能也引發人事動盪。他提出新版Twitter Blue以驗證帳號，並計畫將推特打造成如騰訊一般的多功能平臺，像是可上傳影片及支付。但<a href="https://www.ithome.com.tw/news/154136" target="_blank">安全及隱私部門擔心</a>推特的新功能開發草率，未做好安全驗證就上線，可能造成資訊外洩引發聯邦交易委員會（FTC）調查及處罰，造成三名主管離職。</p> </div></div></div>
2022/11/16 09:55作者林妍溱https://www.ithome.com.tw/news/154207
Android漏洞可讓攻擊者繞過手機螢幕鎖定保護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://bugs.xdavidhu.me/google/2022/11/10/accidental-70k-google-pixel-lock-screen-bypass/" target="_blank">研究人員發現</a>，Android一項漏洞能讓攻擊者不必輸入密碼解鎖螢幕鎖，即可存取手機資料。</p> <p>匈牙利研究人員David Schutz首先在Google Pixel手機發現這項漏洞。編號CVE-2022-20465的漏洞，讓攻擊者能繞過螢幕鎖定防護，不論是指紋、密碼或其他方式，而完整存取手機，如果他能直接接觸到手機的話。他11月初通報該漏洞，Google已在11月5日的Android安全更新予以修補。</p> <p>這個漏洞出現在手機關機後重啟動，SIM卡要求輸入密碼，稱為PIN（Personal identification Number）碼。PIN碼一旦輸入錯誤3次以上，解鎖就會失敗。但用戶還有最後一線生機，即輸入PUK碼（Personal Identification Number Unlock Key，又稱為「個人解鎖碼」）解鎖SIM卡。PUK碼通常印在SIM卡包裝上，也可以透過電信公司的客服支援電話取得。</p> <p>研究人員發現，這時如果攻擊者將手機原來的SIM卡換成自己的，並且按錯3次PIN碼，就會被要求輸入PUK碼。由於SIM卡是攻擊者的，只要輸入正確PUK碼，Google Pixel手機即允許重新設定PIN碼，然後啟動並載入主頁，過程中連Android的螢幕鎖定畫面都未顯示，意謂著攻擊者也不需輸入密碼，即可取得手機完整控制權。</p> <p>Schutz在Google Pixel 6及前一代的Pixel 5手機成功實驗這次破解，但他說其他Android手機也可能受這漏洞影響。</p> <p>研究人員於6月通報這項漏洞，不過Google經過反覆調查，才在10月複製並確認這項漏洞。<a href="https://source.android.com/docs/security/bulletin/2022-11-01" target="_blank">Google並在11月5日的Android更新版中修補這項漏洞</a>。研究人員最後獲得Google頒發7萬美元獎金。</p> </div></div></div>
2022/11/16 10:22作者林妍溱https://www.ithome.com.tw/news/154208
Cerebras Systems發布具有1,350萬核心的AI超級電腦Andromeda
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人工智慧晶片新創公司Cerebras Systems，開發擁有1,350萬核心的人工智慧超級電腦<a href="https://www.cerebras.net/press-release/cerebras-unveils-andromeda-a-13.5-million-core-ai-supercomputer-that-delivers-near-perfect-linear-scaling-for-large-language-models">Andromeda</a>，Andromeda針對大型語言模型最佳化，能擁有接近完美的線性縮放效能，提供超過1 Exaflop的人工智慧運算和120 Petaflops的密集運算，是目前最大的人工智慧超級電腦。</p> <p>Andromeda由16個Cerebras CS-2系統叢集構成，並且使用了Cerebras MemoryX和SwarmX技術，是唯一一臺只仰賴簡單的資料平行化，就達到幾乎完美線性擴展的人工智慧超級電腦，擁有1,350萬經人工智慧最佳化的計算核心，使用18,176第三代AMD EPYC處理器，其核心數是目前最大超級電腦Frontier 870萬核心的1.6倍。</p> <p>Andromeda與GPU叢集不同，Andromeda只靠簡單的資料平行性，就可跨GPT大型語言模型，包括GPT-3、GPT-J和GPT-NeoX達到接近完美的線性擴展。官方解釋，接近完美的線性縮放意味只要使用額外的CS-2，訓練時間就會以接近完美的比例減少，而這是目前GPU系統的弱點，因為GPU記憶體和記憶體頻寬的限制，使得GPU目前無法達到相同的成果。</p> <p>Cerebras Wafer Scale Engine（WSE-2）處理器是CS-2的核心，其記憶體頻寬是GPU的1,000倍，同時也是目前最大的處理器（下圖），每個WSE-2晶片擁有2.6億個電晶體。而Cerebras的MemoryX技術，讓單個CS-2可支援數兆參數模型，而SwarmX技術則可以將MemoryX連結到CS-2叢集，使Cerebras的大型叢集可避免平行化程式開發的複雜性，以及分散式運算效能下降這兩個人工智慧傳統叢集會遭遇的問題。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WSE-2-A100-comparison.jpg" style="width: 580px; height: 326px;" /></p> <p>官方提到，Andromeda能夠同時獲得結構化和非結構化稀疏性，還有靜態和動態稀疏性，這是其他硬體加速器無法做到的，因此Andromeda可以訓練超過90％稀疏性的模型，達到目前最先進的準確度。</p> <p>用戶可以使用Jupyter Notebook簡單地向Andromeda交付人工智慧工作，只需要簡單操作就可切換模型，並且自由選擇要使用的CS-2數量。Andromeda能同時服務多個用戶，也就是說，Andromeda中的16個CS-2超級電腦叢集，可以共同被用以執行單一工作，或是被分為16個單獨的CS-2系統，服務16個不同的使用者執行16種不同的工作。</p> </div></div></div>
2022/11/15 22:54作者李建興https://www.ithome.com.tw/news/154206
微軟運用資料與AI技術設計新供應鏈平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟針對企業供應鏈管理需求，發布了<a href="https://news.microsoft.com/2022/11/14/microsoft-announces-the-microsoft-supply-chain-platform-a-new-design-approach-for-supply-chain-agility-automation-and-sustainability/">供應鏈平臺（Supply Chain Platform</a>），藉由在組合式平臺整合人工智慧、低程式碼和SaaS應用程式等功能，使企業能最大化供應鏈資料資產，進一步掌握供應鏈管理業務。</p> <p>同時，微軟還發布了供應鏈中心（Supply Chain Center），這是一個提升可見性，和供應鏈轉型的指揮中心，作為供應鏈平臺的一部分，供應鏈中心內建供需分析和訂單管理功能，可與組織既有的供應鏈資料和應用協作。</p> <p>這個新的微軟供應鏈平臺，結合跨Azure、Dynamics 365、Microsoft Teams和Power Platform建置區塊，包括可讓用戶創建連接器，提高整個供應鏈的可見性的Dataverse，而Power Platform供用戶以低程式碼解決方案自定義工作流程，並且在Teams上與企業內外部協作，借助這些工具，用戶可以開發自定義供應鏈管理平臺，全面了解供應商、物流等，並且減少組織和供應商的碳影響。</p> <p>微軟提到，供應鏈中心是供應鏈平臺的核心，可用來協調基礎設施供應鏈系統的資料，像是來自Dynamics 365和其他ERP供應商的資料，或是企業獨立的供應鏈系統。供應鏈中心裡的資料管理器，支援資料擷取和調度，以獲得供應鏈可見度，並將行動回饋至執行系統。</p> <p>現在Dynamics 365供應鏈管理的用戶，可以自動獲得供應鏈中心的存取權限，供應鏈中心包括許多預建置模組，能夠用於解決供應和訂單發貨的問題，包括供需分析模組，便能夠運用Azure AI模型，預測上游供應限制和短缺，而訂單管理模組，則能夠藉由存取即時全通路庫存資料、人工智慧和機器學習技術，智慧調度訂單並且實現自動化。</p> <p>預建置連接器功能，能夠讓企業連接合作夥伴，執行接受訂單、交付貨物和第三方物流服務，而內建Teams整合，用戶可以與外部供應商即時協作，解決各種供應鏈問題，而供應鏈中心裡的合作夥伴模組，使用戶得以直接啟用第三方的解決方案。</p> </div></div></div>
2022/11/15 22:49作者李建興https://www.ithome.com.tw/news/154204
【資安日報】2022年11月15日，中國駭客鎖定維吾爾人等少數民族發動攻擊、大規模網釣活動濫用逾400個品牌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客鎖定該國少數民族進行監控的情況，已有數起攻擊行動傳出，但多數是針對iOS零時差漏洞而來。而最近有資安業者發現針對維吾爾族人的攻擊行動，駭客主要針對安卓手機植入惡意軟體。</p> <p>透過即時通訊軟體散布惡意網址的網釣攻擊行動時有所聞，最近有一起攻擊行動比較特別的地方，是針對中國以外的地區而來。</p> <p>手機的解鎖畫面竟出現可被繞過的漏洞！Google本月修補了CVE-2022-20465，這是在攻擊者能實際接觸手機的情況下，能繞過鎖定畫面存取手機的漏洞，該公司對研究人員發出7萬美元的高額獎勵。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://lookout.com/blog/uyghur-surveillance-campaign-badbazaar-moonshine"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客利用安卓惡意軟體BadBazaar，鎖定維吾爾人而來</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/636c0abfc5edd03681f3fa8d_VL2He6Y1lsAW7yDOJTckauQc4E8PZSTJ6jHR-EFghKciv29ZPzyZrJjKDU3tG9ptZNB5d1S1YCe6vNlq6t0O1a__o4_Q42r_gFYqFdpiJ-te-v2yjv0zb--ZLAeHCF74HllgLcD3B44nrHpqUauZallPrSnUEwSjcV2_f0N0on_EjJyNQEWwva0JS0Ka.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/636c0abfc5edd03681f3fa8d_VL2He6Y1lsAW7yDOJTckauQc4E8PZSTJ6jHR-EFghKciv29ZPzyZrJjKDU3tG9ptZNB5d1S1YCe6vNlq6t0O1a__o4_Q42r_gFYqFdpiJ-te-v2yjv0zb--ZLAeHCF74HllgLcD3B44nrHpqUauZallPrSnUEwSjcV2_f0N0on_EjJyNQEWwva0JS0Ka.png" style="width: 300px; float: right;" /></a>資安業者Lookout揭露專門針對中國少數民族的安卓間諜軟體BadBazaar，根據他們的調查，有個中國駭客團體APT15（亦稱Vixen Panda、Nickel）約自2018年，共使用逾111種App，來散布此間諜軟體，目標主要是針對維吾爾人而來，但也有非居住在新疆的穆斯林人受害。</p> <p>研究人員指出，在今年下半，前述的App約有超過7成透過即時通訊軟體的頻道散布。但值得注意的是，駭客除了針對安卓手機，也在蘋果App Store上架同名的App，這些App幾乎沒有攻擊特徵，然而卻會連線到C2中繼站，疑似收集iPhone裝置的基本資訊。此外，本次研究人員也發現惡意軟體Moonshine的新變種，此為曾在2019年追蹤圖博人士的間諜軟體。</p> <h3><a href="https://www.cyjax.com/2022/11/14/fangxiao-a-chinese-threat-actor/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">大規模網釣活動濫用逾400個品牌，鎖定中國以外地區下手</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fangxiao-phishing.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fangxiao-phishing.png" style="width: 300px; float: right;" /></a>威脅情報業者Cyjax揭露駭客組織Fangxiao的網釣攻擊行動，該組織盜用逾400個知名品牌，透過WhatsApp向受害者傳送URL，將他們引導至釣魚網站，主要目的是牟取廣告費，但研究人員指出，這些網站還充斥詐騙、惡意程式，以及竊取使用者帳密資料的威脅。</p> <p>根據Cyjax的統計，數萬個網域名稱是由89人所登記，這些網釣網站使用的頂級域名，67.41%為.top、14.12%為.cn、7.59%使用.cyou，駭客為了躲避追蹤，一天之內，曾使用逾300個新的網域名稱。而對於駭客的身分，研究人員認為來自中國，攻擊範圍遍及全球各地，但由於中國封鎖WhatsApp的使用，顯然駭客有可能是瞄準中國以外的地區而來。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/whoosh-confirms-data-breach-after-hackers-sell-72m-user-records/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯電動滑板車租賃業者Whoosh證實資料外洩，駭客公布720萬用戶資料</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/whoosh.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/whoosh.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，有人在駭客論壇Breached上兜售資料庫，內容是俄羅斯電動滑板車租賃業者Whoosh客戶的詳細資料，包含了電子郵件信箱、電話號碼、姓名，約有720萬用戶受到影響，賣家聲稱拿到190萬個用戶資料，當中亦包含了信用卡交易記錄，以及300萬個促銷代碼，而且，打算以4,200美元出售給5個買主。</p> <p>Whoosh於14日證實客戶資料外洩，表示內有720萬個用戶編號，以及690萬個電子郵件信箱帳號，但強調不含使用者交易資料等敏感資訊。關於這些外洩資料銷售狀況，根據Bleeping Computer對駭客收款的加密貨幣錢包的觀察，尚未有人購買此資料庫。</p> <h3><a href="https://www.akamai.com/blog/security-research/kmdsbot-the-attack-and-mine-malware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">殭屍網路病毒KmsdBot挾持受害系統用於挖礦及發動DDoS攻擊</span></strong></a></h3> <p>雲端服務業者Akamai揭露名為KmsdBot的殭屍網路病毒，駭客將其針對多種產業下手，包含遊戲產業、科技業、豪華汽車製造商。此病毒為Go語言開發，能攻擊的電腦架構相當多元，包含x86、Arm、MIPS等，入侵方式主要是透過弱帳密與SSH連線，目的是利用受害電腦挖礦，或是將其用於DDoS攻擊。</p> <p>研究人員指出，該惡意軟體的DDoS攻擊涵蓋網路第4層至第7層，發送大量TCP、UDP、HTTP GET請求，來耗盡目標伺服器的資源。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://unit42.paloaltonetworks.com/openlitespeed-vulnerabilities/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">網頁伺服器軟體OpenLiteSpeed修補重大漏洞</span></strong></a></h3> <p>資安業者Palo Alto Networks揭露開源網頁伺服器軟體OpenLiteSpeed重大漏洞CVE-2022-0073、CVE-2022-0074，其CVSS風險層級皆達到了8.8分，前者可被用於遠端執行任意命令（RCE），後者則能將攻擊者的權限提升。研究人員將兩者串連，先利用CVE-2022-0073、以名為nobody的使用者，在目標伺服器下載及執行惡意軟體，然後利用另一個漏洞，藉由環境變數PATH的錯誤配置，以未受信任的搜尋路徑手法取得root的權限。</p> <p>維護該套軟體的廠商LiteSpeed獲報後，於10月4日發布OpenLiteSpeed 1.7.16.1、商用版本LiteSpeed 6.0.12，予以修補。</p> <h3><a href="https://bugs.xdavidhu.me/google/2022/11/10/accidental-70k-google-pixel-lock-screen-bypass/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Android手機解鎖畫面恐被繞過，Google予以修補</span></strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20221115-1644-28725.jpg" style="width: 300px; float: right;" />Google手機Pixel最近被資安研究人員發現，能在某些操作方式之下，繞過手機登入PIN碼的程序而能進入系統當中。根據資安研究人員David Schütz的發現，在已完整修補的Google Pixel 6或Pixel 5手機上，攻擊者只要能夠實際拿到這些手機，就有機會在更換SIM卡的情況下，先刻意輸入3次錯誤的PIN碼，再使用個人解鎖碼（Personal Unblocking Key，PUK）解鎖，就能繞過螢幕鎖定的防護措施，成功存取手機的內容。</p> <p>上述的漏洞為CVE-2022-20465，影響範圍涵蓋執行Android 10至13版作業系統的手機，研究人員於今年6月通報這個情況之後，11月Google發布修補程式，並送出7萬美元獎金。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><a href="https://www.securityweek.com/github-introduces-private-vulnerability-reporting-public-repositories"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">GitHub提供向儲存庫所有者通報漏洞的管道</span></strong></a></h3> <p>近日GitHub宣布提供新功能，讓外界的安全研究人員能通報公開儲存庫漏洞，讓儲存庫所有者、管理者來進行處理。該公司表示，過往研究人員只能透過社群網站，或是私下聯絡管理員的方式來進行，但這些方式漏洞的細節有可能被公開。有了專屬的漏洞通報管道，儲存庫管理者更容易對於漏洞進行管理，亦能藉此與通報者討論如何修補。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://twcert.informationsecurity.com.tw/2022_annual_meeting.htm"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">臺灣資安通報應變年會於11月15日舉行</span></span></strong></a></p> <p><a href="https://blackhatmea.com/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">2022黑帽大會中東場於11月15日至17日舉行</span></span></strong></a></p> <p><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-228a"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國針對Zimbra郵件系統管理者提出警告，駭客已運用多個重大漏洞發動攻擊</span></span></strong></a></p> <p><a href="https://therecord.media/popular-uk-motor-racing-circuit-investigating-ransomware-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國賽車場調查勒索軟體Royal攻擊事故</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154187">【2022年11月14日】加密貨幣交易所FTX疑遭駭客攻擊、美國警告醫療照護機構遭到勒索軟體Venus鎖定</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154158">【2022年11月11日】石油與天然氣流量檢測器弱點修補受關注，APT29入侵歐洲外交機關利用Windows憑證漫遊功能</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154124">【2022年11月10日】 SAP修補BusinessObjects與SAPUI5漏洞、兩大處理器業者修補旗下產品漏洞</a></strong></strong></strong></p> </div></div></div>
2022/11/15 18:17作者周峻佑https://www.ithome.com.tw/news/154205
偷偷記錄用戶位置歷史資料，Google以近40億美元與40個州和解
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.doj.state.or.us/media-home/news-media-releases/largest-ag-consumer-privacy-settlement-in-u-s-history/" target="_blank">美國俄勒岡州檢察長Ellen Rosenblum周一（11/14）宣布</a>，該州及美國其它39州已與Google簽署和解協議，Google因其位置追蹤作法侵犯消費者隱私，同意支付39.15億美元的金額與這40州和解。</p> <p>蒐集消費者的位置資料將讓Google建立使用者的個人檔案，並供應目標式廣告予廣告主，為Google重要的營收來源，Google帳號有兩項有關使用者分享位置資料的設定，一是位置歷史資料（Location History），它的預設值是關閉的，另一個Web & App Activity預設值則是開啟的，也涉及所有Android用戶。</p> <p>Google遭到這些檢察長撻伐的原因是Google一方面透過Location History設定，讓消費者以為他們已關閉了位置追蹤功能，卻未提醒消費者，Web & App Activity也能用來蒐集位置資訊。而且此一誤導消費者的行為自2014年就存在，一直到2018年遭《美聯社》（AP）踢爆，而讓這40個州的檢察長決定展開調查。</p> <p>Rosenblum指出，Google狡猾地讓消費者以為自己已經關閉了位置追蹤功能，但Google卻一直偷偷記錄消費者的行動，並作為廣告之用。</p> <p>Google除了同意支付此一龐大的和解金額之外，也承諾未來只要在牽涉到與位置資料有關的設定時，都會提供更詳細的資訊予使用者，亦不再企圖隱藏對使用者的位置追蹤。</p> <p>此外，<a href="https://blog-google.translate.goog/outreach-initiatives/public-policy/managing-your-location-data/?_x_tr_sl=en&_x_tr_tl=zh-TW&_x_tr_hl=en&_x_tr_pto=wapp" target="_blank">Google也在同一天發表了聲明</a>，宣布將在未來幾個月更新產品及服務，擴大位置資料的透明度，並將資料的控制權歸還使用者。</p> <p>其實在遭到調查的期間，Google已釋出善意，改善了使用者的隱私控制，包括在2019年5月推出<a href="https://www.blog.google/technology/safety-security/automatically-delete-data/" target="_blank">自動刪除控制</a>，以讓使用者能夠定期刪除資料，也於同年12月於Google Maps上提供<a href="https://www.blog.google/products/maps/updates-incognito-mode-and-your-timeline-maps/" target="_blank">無痕模式（Incognito Mode）</a>，亦釋出地圖與搜尋的透明化工具。</p> <p>未來Google將建立一個資訊中心，專門陳列各種與位置資料有關的設定，以協助使用者了解與管理這些設定，另也將簡化使用關閉或刪除地理資料的流程，並針對Web & App Activity所蒐集的資料提供更詳細的說明。</p> <p>參與此一和解協議的除了主導的俄勒岡州與內布拉斯加州之外，阿肯色州、佛州、伊利諾州、路易斯安那州、紐澤西州、田納西州等都有協助談判，之後再吸引數十個州加入，每個州所獲得的和解金額不同，最大筆的是俄勒岡州的1,480萬美元。</p> </div></div></div>
2022/11/15 15:54作者陳曉莉https://www.ithome.com.tw/news/154200
幣安要設立加密貨幣復甦基金，穩住面臨流動性危險的專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/cz_binance/status/1592044496174612482" target="_blank">幣安創辦人暨執行長趙長鵬周一（11/14）宣布</a>，為了減輕FTX事件所帶來的連帶負面效應，幣安將成立一個產業復甦基金，以協助那些陷入流動性困境的加密貨幣專案，並邀請其它業者加入，包括Tron、Huobi Global與Poloniex都已傳出將支援該基金。</p> <p>身為全球最大加密貨幣交易平臺，幣安曾在FTX失去流動性之際企圖出手買下並拯救FTX，雖然最後以超出幣安能力範圍而作罷，但不難看出趙長鵬想要穩住加密貨幣生態體系的態度。</p> <p>FTX在11月11日正式申請破產保護之後，加密貨幣借貸平臺<a href="https://twitter.com/BlockFi/status/1590875997351866368" target="_blank">BlockFi同一天就宣布</a>停止用戶提款，且迄今尚未恢復，<a href="https://www.ithome.com.tw/news/154175" target="_blank">兩天後再傳出</a>另一加密貨幣交易中心Crypto.com在一個月之前發生的烏龍轉錯帳事件，造成用戶大量提款，另一加密貨幣交易平臺<a href="https://twitter.com/BenCaselin/status/1591837425214849024" target="_blank">AAX也忽然祭出維護公告</a>，暫停平臺上的交易。</p> <p>FTX事件讓幣圈風聲鶴唳，也造成使用者恐慌，不管是真維護還是假維護，暫停提款或許可緩解使用者的擠兌現象，以免形成另一波的倒閉潮。</p> <p>趙長鵬表示，此一產業復甦基金將用來協助那些強大卻陷入流動性危機的加密貨幣專案，也歡迎其它業者共同投資，加密貨幣不會消失，他們將重建此一生態體系。</p> <p>趙長鵬也在隨後透過<a href="https://twitter.com/binance/status/1592147495953780738" target="_blank">Twitter Space舉行的QA中</a>指出，自從他在Twitter上宣布基金的成立之後，已收到4至5家業者願意共同支持的接洽。此外，他認為FTX事件短期內勢必會造成痛苦，但長期來看對幣圈是有好處的，例如將推動該生態體系的透明度，讓經歷此一風波還屹立不搖的業者更為茁壯。</p> <p>根據<a href="https://www.coindesk.com/business/2022/11/14/binance-starts-recovery-fund-for-crypto-projects-facing-liquidity-crisis/" target="_blank">《CoinDesk》</a>的報導，區塊鏈專案Tron，以及加密貨幣交易平臺Huobi Global與Poloniex，都準備支持此一基金。</p> </div></div></div>
2022/11/15 12:26作者陳曉莉https://www.ithome.com.tw/news/154194
大規模網釣活動正在濫用逾400個品牌，鎖定中國以外市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cyjax.com/2022/11/14/fangxiao-a-chinese-threat-actor/" target="_blank">英國威脅情報業者Cyjax近日揭露</a>一個由Fangxiao駭客集團所主導的網釣活動，Fangxiao透過WhatsApp來傳送連結，盜用逾400個知名品牌的名義，將使用者導向超過4.2萬個網釣網站，Fangxiao的用意是賺取廣告費，而這些網釣網站則充斥著詐騙、惡意程式或竊取使用者憑證。Cyjax相信Fangxiao源自中國，但鎖定的是中國市場以外的使用者。</p> <p>遭到Fangxiao盜用的品牌來自各領域，從阿聯酋航空、蝦皮、聯合利華、可口可樂、麥當勞到印尼泡麵Indomie等，駭客透過WhatsApp傳送訊息，以各種偽造的優惠來吸引使用者點選連結，以將受害者導向各個網釣網站。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1115-Fangxiao%20phishing%20by%20Cyjax.png" style="width: 599px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Cyjax</span></span></p> <p>Fangxiao應是與廣告代理商合作，只要能吸引使用者造訪便可獲得廣告分潤，卻可能將使用者推向危險境地，因為這些網站或許銷售假冒的禮物卡、騙取使用者的憑證、各種投資詐騙，或者是用來下載惡意程式。</p> <p>Fangxiao透過89個網域名稱註冊商申請數萬個網址，且它們絕大多數位於中國，<a href="https://www.cyjax.com/app/uploads/2022/11/fangxiao-a-chinese-threat-actor.txt" target="_blank">在這些網釣網站中</a>，有高達67.41%使用.top頂級網域名稱，有14.12%採用.cn，另有7.59%使用.cyou。</p> <p>為了躲避追蹤，Fangxiao經常切換所使用的網域名稱，例如光是在今年10月的某一天，Fangxiao就使用了超過300個新的網域名稱。</p> <p>Fangxiao自2017年就展開活動，Cyjax依據該駭客集團的行為、活動時間，以及所使用的簡體中文，相信Fangxiao源自中國，不過，Fangxiao散布這些惡意連結的管道為WhatsApp，但WhatsApp在中國是被封鎖的，顯然所瞄準的是中國以外的市場。</p> </div></div></div>
2022/11/15 11:22作者陳曉莉https://www.ithome.com.tw/news/154190
GitHub提供研究人員通報公開儲存庫漏洞的私下管道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://docs.github.com/en/code-security/security-advisories/repository-security-advisories/configuring-private-vulnerability-reporting-for-a-repository" target="_blank">GitHub上周公布一項功能</a>，讓外界安全研究人員能直接通報公開儲存庫漏洞。</p> <p>這項功能讓公開儲存庫的主持人及管理者允許安全研究人員循私下通報管道、通知他們儲存庫的漏洞。任何人獲得這些管理員許可都可以啟動（或關閉）通報。</p> <p>安全研究人員經常認為有必要通知用戶有可能被濫用的漏洞，但若沒有聯繫儲存庫管理員及維護單位的清楚指示，他們往往只能在社群媒體貼文、私訊管理員甚至建立公開issue。但這類作法可能導致漏洞細節被公開。</p> <p>因此GitHub將提供私下漏洞通報的管道，可讓安全研究人員以簡單表格形式，更容易直接通報管理員。外界安全研究人員通報漏洞時，管理員會獲得通知，他們可選擇要不要接受、或是問更多問題。他們若接受通報，也會啟動和研究人員合作修補漏洞的過程。</p> <p>GitHub表示，對儲存庫管理人員來說，使用私下漏洞通報的好處很多，像是降低被公開聯繫，或是外人以他們不希望的途徑聯繫的風險，而且管理員可以在同一平臺上接獲通報、討論、解決漏洞，比較單純，也在同一平臺上和外部研究人員討論修補程式。研究人員也能代表管理員建立或發出安全公告。更重要的是，漏洞細節比較不會洩露出去。</p> <p>管理員設定方式如下。在GitHub.com上，從儲存庫主頁的儲存庫名稱下，點選「設定」進入。接著，他們可在側邊選單的「安全」區，點選「程式碼安全及分析」，然後在右邊的「私下漏洞通報」區，點選「開啟」或「關閉」通報功能。</p> <p><img alt="" src="https://docs.github.com/assets/cb-27528/images/help/repository/repo-actions-settings.png" style="width: 600px;" /></p> <p><img alt="" src="https://docs.github.com/assets/cb-24423/images/help/security/private-vulnerability-reporting-enable-or-disable.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／GitHub</span></span></p> <p>管理員啟動私下安全通報後，研究人員在儲存庫的「公告」（Advisories）頁看見一個新按鈕。他們按下此鍵即可啟動通報。</p> <p><img alt="" src="https://docs.github.com/assets/cb-32887/images/help/security/report-a-vulnerability-button.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／GitHub</span></p> </div></div></div>
2022/11/15 11:38作者林妍溱https://www.ithome.com.tw/news/154191
解決Twitter Blue冒名之亂，推特將允許企業指明相關帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過過去幾周因新Twitter Blue造成的混亂，<a href="https://twitter.com/elonmusk/status/1591851391773200384" target="_blank">馬斯克周一（11/14）宣布</a>修正商業組織的官方帳號作法，將允許企業指認相關或加盟組織，以確保不會遭他人冒充。</p> <p>馬斯克說，很快就會實施讓企業指明哪些其他的推特（Twitter）帳號是真正與之相關或聯盟關係。他稍後補充，這表示企業組織可以管理它們自有聯盟及聯盟帳號，但會由誰擔任主導組織則可能由推特判定。</p> <p>這應該是為了解決11月初這位推特新老闆宣布，以付費換取驗證造成的混亂。他原本宣稱，每月8美元的新版Twitter Blue訂閱制可讓所有人都獲得驗證為本尊的權利，兼具打擊假帳號和開闢營收兩種效益。不料許多取得驗證的用戶改名冒充其他帳號，有的是為了揶揄這想法太天真，但也有人是真的惡意冒充其他人或組織，連馬斯克自己也成為受害者。<a href="https://www.ithome.com.tw/news/154075" target="_blank">馬斯克當時威脅</a>，擅自改成其他人帳號名的用戶，若未註明是惡搞（parody），推特可不經警告就停權。已經驗證的用戶若變更推特帳號名，也會暫時喪失標明驗證的藍勾勾記號。事實上也有些用戶已經遭到暫時停權。</p> <p><a href="https://twitter.com/elonmusk/status/1592065007986302976" target="_blank">馬斯克昨日表示</a>，那些因變更帳號名的帳號，本周結束前可望解封。</p> <p>一些人提早發現跡象。香港知名爆料者<a href="https://twitter.com/wongmjane/status/1590960913741668353" target="_blank">Jan Manchun Wong上周發現</a>付費Twitter Blue的API及程式內購買選項已經不在了，可能意謂著7.99美元服務不打算推出。</p> <p>不過一如兩周來的推特相關新服務或政策，都是馬斯克自己在推特宣布，未經公司官方宣告，因而存在相當變數、或是曖昧不明的地方。例如，他未說明有資格指明聯盟帳號的企業是已經驗證的公司，還是付了錢的公司才有這權力。</p> <p>為了矯正新版Twitter Blue造成的混亂，本來上周<a href="https://www.ithome.com.tw/news/154094" target="_blank">推特已準備推出</a>一個新的官方驗證標章來取代藍勾勾，這新的驗證系統提供政府機關、知名企業、主流媒體及部分知名個人。如果推特要恢復Twitter Blue原有功能，新驗證系統何時推出，或是最後會不會推出都可能有變化。</p> </div></div></div>
2022/11/15 12:12作者林妍溱https://www.ithome.com.tw/news/154193
Waymo將以自駕車隊提供即時氣象報告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.waymo.com/2022/11/using-cutting-edge-weather-research-to-advance-the-Waymo-Driver.html" target="_blank">Alphabet旗下自駕車子公司Waymo宣布</a>將以其自駕車扮演行動氣象站，以供區域性即時氣象報告，用於提升其自駕車服務的安全性。</p> <p>Waymo將以其近年在美國舊金山和鳯凰城推動自駕車服務蒐集的資料，用於強化當地的自駕車服務。Waymo會將這類作法逐步推向其他城市。</p> <p>Waymo指出，現今氣象預測工具相當欠缺精準度。傳統設置於機場的氣象站主要是為了支援飛航安全及都市氣象監測，但即使是小區域，如舊金山機場到市區一路上氣象可能就有很大差別。雖有衛星遙感及氣象雷達提供的資料可以補足一部份區域氣象的需求，但往往無法提供接近地表的資料，像是影響行車可見度的濃霧。</p> <p>為了確保自駕車的行車安全，Waymo自駕車也配備科技蒐集包括雨滴、霧、光線等氣象資料。例如Waymo自駕車上由攝影機、雷達及光達等組成的核心感測設備，會利用車窗上的雨滴來分類不同天氣。這些蒐集到的資料會結合專業感測器的真實數據，由Waymo進行氣象能見度的量化分析。Waymo指出，這些分析讓Waymo自駕車可即時分析它所在環境的天氣是多霧、下雨，以及嚴重程度。也就是說，車輛本身就是一個行動氣象站。</p> <p>Waymo結合其數百臺行動氣象站及其長期蒐集的資料點，已可提供業界第一個濃霧即時地圖，提供高解析度視覺圖像。其車隊可追蹤舊金山灣區從太平洋岸的流動，到太陽出來蒸發為止，甚至能偵測美國國家氣象局本地都卜勒天氣雷達偵測不到的區域性小雨。這些能力使Waymo得以預測當地天氣要轉好或是轉壞。</p> <p>目前Waymo計畫在舊金山和鳯凰城的叫車服務中使用本地氣象服務，未來也將製作其他城市的氣候地圖推向更多城市。</p> <p>Waymo已將這些行動氣象站蒐集到的天氣資料用於改良其他服務，像是改善天氣模擬能力，以便提升車輛在惡劣環境的行車能力、定義未來車輛系統因應雨、雪、霧的系統設計要求。他們也計畫將這些氣象分析預測分享給合作夥伴，像是貨運車隊，以便Waymo提供跨數個氣候區的長程貨運服務。</p> </div></div></div>
2022/11/15 11:07作者林妍溱https://www.ithome.com.tw/news/154189
【資安日報】2022年11月14日，加密貨幣交易所FTX疑遭駭客攻擊、美國警告醫療照護機構遭到勒索軟體Venus鎖定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>加密貨幣交易所FTX宣告破產的效應如雪球般越滾越大，但雪上加霜的是，該交易所傳出可能因遭到駭客攻擊，導致5億美元的加密貨幣被轉走，此起事故發生的原因有待後續調查。</p> <p>於8月中旬出現的勒索軟體Venus，駭客專門透過遠端桌面連線（RDP）入侵受害電腦，如今該勒索軟體的攻擊行動已引起政府的關注。美國提出警告，此勒索軟體鎖定當地醫療機構而來，且已出現受害單位。</p> <p>又是連鎖零售業者遭到勒索軟體攻擊的事故！加拿大食品零售業者Sobeys傳出遭到勒索軟體Black Basta攻擊，波及部分服務，但因為POS機臺與支付系統採用專屬網路而倖免於難，使得多數門市仍能營業。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.smh.com.au/business/companies/ftx-investigating-possible-hack-hours-after-bankruptcy-filing-20221113-p5bxs0.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">申請破產的加密貨幣交易所FTX疑遭駭客攻擊，導致逾5億美元資金損失</span></strong></a></h3> <p>加密貨幣交易所FTX<a href="https://www.ithome.com.tw/news/154165">於11月11日聲請了破產保護</a>，但就在隔日，他們透露正在調查未經授權的交易，此起事故很可能是因為遭駭而發生，將導致約5.15億美元的損失。根據澳洲雪黎晨鋒報的報導，這樣的情況已影響數家當地的加密貨幣投資業者，但究竟駭客如何從FTX轉走大量資金？有可能是駭客取得FTX系統的存取權限，也有可能是握有特殊權限的內部人員所為。</p> <h3><a href="https://www.hhs.gov/sites/default/files/venus-ransomware-analyst-note.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國警告醫療照護機構遭到勒索軟體Venus鎖定</span></strong></a></h3> <p>11月10日，美國衛生及公共服務部（HHS）提出警告，他們發現自<a href="https://www.ithome.com.tw/news/153685#venus">今年8月中旬出現的勒索軟體Venus</a>，現在將當地的醫療照護機構視為主要的攻擊目標之一，且已有醫療機構受害。對此，HHS提供入侵指標（IoC）、MITRE ATT&CK攻擊矩陣等資料，協助相關單位提升防護。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/canadian-food-retail-giant-sobeys-hit-by-black-basta-ransomware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加拿大食品零售業者Sobeys傳出遭勒索軟體Black Basta攻擊</span></strong></a></h3> <p>加拿大食品零售業者Sobeys的母公司Empire於11月7日指出，他們的IT系統面臨問題，從而影響部分服務。該零售業者旗下的門市大致<a href="https://s4.itho.me/sites/default/files/images/Sobeys_ransom_notes.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Sobeys_ransom_notes.jpg" style="width: 300px; float: right;" /></a>仍維持正常營業，並未出現中斷的現象，不過，部分服務出現間歇性中斷或是延遲，且藥局在開具處方箋出現技術問題。</p> <p>有員工對外透露，受影響的Sobeys門市所有電腦的檔案幾乎都遭到鎖定，但POS機臺與支付系統因使用專屬網路，而未遭池魚之殃。資安新聞網站Bleeping Computer指出，Sobeys疑似遭到勒索軟體Black Basta攻擊。</p> <h3><a href="https://www.theregister.com/2022/11/11/world_cup_security/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">世界盃足球賽App恐讓卡達政府監控球迷，法國、挪威呼籲民眾改用拋棄式手機</span></strong></a></h3> <p>世界盃足球賽即將於11月21日舉行，但根據新聞網站The Register的報導，今年的世足App：Ehteraz與Hayya，存在收集過多個資的情況，甚至有可能讓主辦國卡達政府監控。面對這樣的態勢，使得法國資料保護主管機關CNIL、挪威資安局呼籲民眾，前往觀賽最好攜帶拋棄式手機。</p> <p>上述的App分別具有追蹤COVID-19確診者，以及供觀眾入場和搭乘大眾交通運輸工具的功能，但資安業者Promon透露，這些App能夠存取的資料遠超過用戶授權的範圍，再加上卡達政府糟糕的民眾監控前例，觀眾遭到監控的可能性極高。</p> <h3><a href="https://decoded.avast.io/martinchlumecky/png-steganography/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織Worok將後門程式埋藏於看似正常的PNG圖片，目的是為了散布竊密軟體DropBoxControl</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-13_-Extended-compromise-chain-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-13_-Extended-compromise-chain-1.png" style="width: 300px; float: right;" /></a>資安業者ESET於<a href="https://www.ithome.com.tw/news/152923#worok">今年9月揭露駭客組織Worok的攻擊行動</a>，當時就提及駭客透過PNG圖片散布惡意程式，如今有進一步的分析指出，攻擊者的目的是進行竊密。資安業者Avast根據ESET公布的資料進行調查，發現駭客從PNG檔案解出惡意程式之前，先是透過DLL側載的方式，於記憶體內（In-Memory）執行名為CLRLoader的惡意程式載入器，然後載入第二階段的DLL程式庫PNGLoader，以便從PNG檔案解碼兩個惡意檔案──其中一個是PowerShell酬載（但研究人員無法取得相關檔案），另一個則是竊密軟體DropBoxControl，它會濫用雲端檔案共享服務Dropbox來建立C2通訊，以及外洩受害電腦的機密資料。</p> <p>研究人員指出，駭客透過「最低有效位元（Least Significant Bit，LSB）」的編碼方式來嵌入惡意酬載，使得此PNG檔案能夠正常顯示其圖片內容，而讓受害者難以察覺有異。</p> <h3><a href="https://medium.com/@DCSO_CyTec/shortandmalicious-strelastealer-aims-for-mail-credentials-a4c3e78c8abc"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體StrelaStealer竊取收信軟體Outlook、Thunderbird帳密資料</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1_51dUd6BCDBIMZnXTtmo81g.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_51dUd6BCDBIMZnXTtmo81g.png" style="width: 300px; float: right;" /></a>資安業者DCSO發現名為StrelaStealer的竊密軟體，並於今年11月上旬發現相關攻擊，駭客針對使用西班牙語的使用者而來。這個惡意軟體透過電子郵件的附件散布，駭客將其挾帶於ISO映像檔當中，並引誘收信人執行當中的捷徑檔案（LNK），一旦收信人依照指示操作，此惡意軟體就會透過DLL順序挾持（DLL order hijacking）的方式，透過msinfo32.exe側載執行，進而載入StrelaStealer。</p> <p>研究人員指出，前述LNK檔案執行之後，駭客會先啟動竊密軟體，接著載入HTML誘餌檔案，來降低受害者戒心。與許多竊密軟體不同的是，此惡意軟體專門鎖定市面上兩大收信軟體Outlook、Thunderbird而來。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.securityweek.com/cisco-patches-33-vulnerabilities-enterprise-firewall-products"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科修補旗下防火牆產品33個漏洞</span></strong></a></h3> <p>思科於11月9日發出資安通告，該公司公告修補旗下的防火牆Adaptive Security Appliance（ASA）、Firepower Threat Defense（FTD），以及防火牆管理系統Firepower Management Center（FMC）的33個漏洞，其中最嚴重的是CVE-2022-20946、CVE-2022-20947，CVSS風險評估結果皆為8.6分，前者存在於FTD，為處理通用路由封裝（GRE）流量產生的記憶體錯誤；後者則影響ASA與FTD產品線，出現在動態存取政策（DAP）功能，未經身分驗證的攻擊者能遠端阻斷服務。</p> <h3> </h3> <h3><strong>【資安產業動態】</strong></h3> <h3><a href="https://www.cna.com.tw/news/ahel/202211110349.aspx"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">2022資安技能金盾獎競賽結果出爐，陽明交通大學抱走12萬元獎金</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/314693915_133220536184730_180660855013301652_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/314693915_133220536184730_180660855013301652_n.jpg" style="width: 300px; float: right;" /></a>第17屆資安技能金盾獎於11月11日舉行決賽，共有31隊大專院校及10隊國高中組的團隊角逐。在經過5小時的賽程，大專院校組由陽明交通大學的團隊「海狗要比到什麼時候」奪得冠軍，國高中組則是高雄中學、台南女中、鳳山高中組成的「14ms0w3ek」團隊奪得，兩個團隊各得到12萬元與3萬元獎金。</p> <p>本屆金盾獎的題目類型包含了逆向工程、網站、存在漏洞的服務、加解密演算法等，亦結合日益普及的智慧家居生活領域。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><a href="https://www.nsa.gov/Press-Room/News-Highlights/Article/Article/3215760/nsa-releases-guidance-on-how-to-protect-against-software-memory-safety-issues/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國國安局呼籲開發者運用更安全的程式語言</span></strong></a></h3> <p>美國國家安全局（NSA）上週發布軟體開發指南，當中提及開發者應儘量使用能夠增進記憶體安全的程式語言，例如：C#、Rust、Go、Java、Ruby、Swift，來取代C或C++。由於C與C++在記憶體管理上提供很大的彈性，簡單的錯誤便可能導致記憶體未來遭濫用的安全漏洞，因此，NSA認為，藉由原本就內建記憶體保護的程式語言來撰寫程式，能避免絕大多數的記憶體管理問題。若是無法立即更換程式語言，NSA則建議開發者，應透過多種安全測試機制來強化應用程式防護。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.cna.com.tw/news/aipl/202211110246.aspx"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">公視重大資安事故頻傳，監察院糾正文化部及NCC</span></span></strong></a></p> <p><a href="https://www.cisa.gov/blog/2022/11/10/transforming-vulnerability-management-landscape"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國CISA發布漏洞分類指南，以決策樹協助企業安排修補順序</span></span></strong></a></p> <p><a href="https://cert.gov.ua/article/2724253"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">烏克蘭組織遭到勒索軟體Somnia發動攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/russian-military-hackers-linked-to-ransomware-attacks-in-ukraine/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">針對勒索軟體Prestige攻擊烏克蘭、波蘭的行動，疑俄羅斯駭客Iridium所為</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/russian-lockbit-ransomware-operator-arrested-in-canada/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit駭客在加拿大落網</span></span></strong></a></p> <p><a href="https://www.blackhat.com/trj-22/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">2022黑帽大會日本場於11月12日於舉行</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154158">【2022年11月11日】石油與天然氣流量檢測器弱點修補受關注，APT29入侵歐洲外交機關利用Windows憑證漫遊功能</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154124">【2022年11月10日】 SAP修補BusinessObjects與SAPUI5漏洞、兩大處理器業者修補旗下產品漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154086">【2022年11月9日】沙烏地阿拉伯遭駭客組織Justice Blade鎖定、惡意瀏覽器擴充套件Cloud9鎖定Chrome而來</a></strong></strong></strong></p> </div></div></div>
2022/11/14 18:32作者周峻佑https://www.ithome.com.tw/news/154187
培養校園資安人才的金盾獎，數位部成立後重視力道加深
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行政院數位發展部資安署自從八月掛牌後，積極接手資安人才培育的任務，而今天舉辦的第17屆資安技能金盾獎，也是資安署成立之後舉辦的第一屆活動。</p> <p>資安署署長謝翠娟表示，資安現在是顯學，金盾獎的目的就是貢獻所學、守護資安，她也希望這個重要資安技術人才培育的場域，明年也可以進一步加碼舉辦。</p> <p>她指出，在41個決賽隊伍中，31隊大專校院組、10隊國高中組中，有5位曾經參加過科技部（現為國科會）舉辦的女婕思活動，更有59位參加過AIS3新型態資安暑期課程。</p> <p>此次金盾獎大專校院組得獎隊伍，第一名是陽明交通大學「海狗還要比到什麼時候」，也是去年的冠軍隊伍，第二名是清華大學「我會不會又睡到下午了」，第三名則是陽明交通大學「大佑池久」；國高中組第一名隊伍是高雄中學、臺南女中和鳳山高中組成的「I4ms0w3ek」，第二名是文華高中、基隆商工和臺中高工組成的「SC41CT」，以及第三名南科國際實驗高中「Supernova」。</p> <h2><strong>金盾獎是政府培養校園攻防技術人才競賽</strong></h2> <p>資安即國安是總統蔡英文自就任以來的政策，為了表達政府重視的立場，行政院副院長沈榮津也首度蒞臨致詞。沈榮津表示，臺灣是資安防護熱區也是駭客練兵場，尤其在物聯網網網相連的時代，資安一旦沒有做好，就會處於不確定的狀態。</p> <p>對此，他說，政府積極提升資安防護韌性，精進資安更是資安即國安2.0戰略目標。而數位發展部作為打造國家數位韌性的動力馬達，也將組成更高層級的國家資安聯盟體系，統合國家資安以守護國家資通安全。</p> <p>沈榮津指出，金盾獎將資安技術向下扎根，同時是政府培養校園資安攻防技術人才的重要競賽，面對資安問題可以冷靜思考、培養隨機應變的團隊能力，更是未來資安產業的育成搖籃，期待高手競技的同時，也希望可以培養學子對資安學習的興趣，並驗證自身技術能力。</p> <p>他並提及，今年二月烏俄戰爭實體站爆發之前，各種網路戰爭就已經事先開打，而認知做戰和資訊戰造成的影響更不亞於實體戰爭，因此，他期待金盾獎這個資安試煉場域可以成為守護國家安全的主力，更可以成為臺灣在資安產業上發光發熱的領頭羊。</p> <h2><strong>金盾獎參賽經歷有利未來職涯發展</strong></h2> <p>前HITCON CTF領隊李倫銓本身也是第5屆金盾獎冠軍，目前也在高科技業從事資安工作。他認為，參加金盾獎的過程中擔任隊長，必須依照隊員專長分配題目，這也對他資安職涯很有幫助，也從參賽過程中，學會跳脫思考框架。</p> <p>另外，現任臺灣駭客協會理事長翁浩正從第1屆金盾獎開始參加，拿到第5屆金盾獎亞軍、第6屆金盾獎冠軍，他表示，十多年前金盾獎是少見的實戰比賽，初賽就淘汰一大票人，但他以過來人經驗也說，參加比賽後發現，課堂上學習的內容和實際比賽有很大落差，也因此籌組一個資安讀書會持續迄今，而資安除了技術也須兼具管理能力，他笑說：「資安如果只會技術，發展會受限，未來還是得補沒念完的讀書債。」他也擔任資安公司戴夫寇爾執行長，他表示，資安缺乏新戰力，金盾獎的參賽經歷，會是很好的履歷。</p> <p>今年包括大專校院與國高中組的出題範圍，都包含逆向功能（Reverse）、網站相關（Web）、具漏洞的服務（Pwn）、加解密運算（Crypto）以及其他綜合（Misc）題型；情境題型則以智慧家居體驗題組為主，模擬智慧家電遭到駭客入侵。</p> <p>大專校院組第一名由陽明交通大學學生組成的「海狗還要比到什麼時候」成員尤理衡表示，今年的題目比去年難，尤其體現在智慧家電的題目上。不過，他本身也參加許多資安競賽，他認為題目本身大概是偏中等的題目。</p> <p> </p> <p> </p> </div></div></div>
2022/11/14 19:18作者黃彥棻https://www.ithome.com.tw/news/154188
美國NSA建議開發者多用可保障記憶體安全的程式語言
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://media.defense.gov/2022/Nov/10/2003112742/-1/-1/0/CSI_SOFTWARE_MEMORY_SAFETY.PDF" target="_blank">美國國家安全局（NSA）上周公布了一份軟體開發指南</a>，建議開發者多使用可保障記憶體安全的程式語言，例如用C#、Rust、Go、Java、Ruby或Swift來取代C與C++。</p> <p>NSA先描述了軟體記憶體安全的重要性，指出不管是微軟或Google的研究，都顯示有70%的安全漏洞是源自於記憶體的安全問題，駭客可利用這些漏洞來執行遠端程式攻擊，作為大舉入侵組織網路的第一步。</p> <p>開發者常用的C與C++在記憶體管理上提供了很大的彈性，因而重度仰賴開發者來檢查記憶體參數，而簡單的錯誤便可能導致記憶體遭到濫用的安全漏洞。即使軟體分析工具可偵測到許多記憶體管理問題，操作環境的選項也能帶來某些保護，但NSA認為，藉由原本就內建記憶體保護的程式語言來撰寫程式，即可避免或減少絕大多數的記憶體管理問題。</p> <p>常見的記憶體問題包括緩衝區溢位、邏輯錯誤或競爭危害。NSA指出，記憶體管理問題不僅會衍生安全漏洞，就算是那些不會遭到濫用的記憶體問題，也可能造成錯誤的程式結果，降低程式的效能或造成程式當掉，然而，那些把記憶體視為自動化管理的程式語言，將可協助避免開發者引入某些類型的記憶體問題。</p> <p>這些程式語言利用編譯時間與執行期的檢查來建立自動保護機制，以防開發者無意中採用錯誤的記憶體管理。</p> <p>不過，就算是使用這些內建記憶體保護的程式語言，也並非毫無風險，因為軟體有時需要執行不安全的記憶體管理功能才能完成任務，且各種語言對記憶體的安全保護程度不一。</p> <p>NSA表示，他們理解要把一個成熟的軟體開發基礎架構從一個語言遷移到另一個語言並非易事，即便是老練的程式開發者也需要接受新語言的訓練，效率也會受到影響，但他們必須忍受此一學習曲線並克服各種新手錯誤。</p> <p>若是無法立即切換程式語言，NSA亦建議開發者應透過安全測試來強化應用程式的安全性，包括針對應用程式進行靜態（SAST）與動態（DAST）的安全測試，而且最好是執行多個不同的SAST及DAST工具來提高找出記憶體問題的機率，以確保應用程式的安全。</p> <p>總之，NSA鼓勵組織儘可能地採用多管齊下的方式來強化記憶體管理的安全性，除了採用記憶體安全程式語言之外，還可同時輔以編譯器選項、工具分析及作業系統配置，以減少記憶體漏洞，提高駭客的攻擊門檻。</p> </div></div></div>
2022/11/14 16:54作者陳曉莉https://www.ithome.com.tw/news/154180
Amazon開發最新機器人手臂Sparrow取代人力揀選貨品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon揭露了他們最新<a href="https://www.aboutamazon.com/new/transportation/amazon-robot-sparrow-streamlines-order-fulfillment-process">智慧倉儲機器人系統Sparrow</a>，能夠在發貨程序中替代人力揀取貨品。完整的訂單發貨程序，包括接受訂單、物品揀選和包裝等多項程序，而Amazon也持續開發不同的機器人技術，來自動化之間的一些基礎動作，像是移動、處理、分類、辨識和存放商品等。</p> <p>Amazon提到，他們發貨程序中一個關鍵階段是揀貨，在物品被打包之前，貨架機器人會將需要包裝的貨品，移動到揀貨人員的面前，揀貨人員揀取需要的商品並且打包，接著再由其他機器人像是Robin和Cardinal系統，將包裹搬運到倉庫的指定位置。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%8B%E8%BC%89(1).jpg" style="width: 580px;" /></p> <p>而Sparrow是Amazon目前倉庫中，第一個可以針對個別產品，進行偵測、選擇和處理庫存的機器人系統，Sparrow利用電腦視覺和人工智慧技術，辨識並處理數百萬件物品，執行原本人工撿取貨物的工作，Amazon表示，將由Sparrow執行重複性的任務，並透過自動化訂單提高發貨程序效率。</p> </div></div></div>
2022/11/14 16:58作者李建興https://www.ithome.com.tw/news/154177
微軟推出搭載第四代AMD EPYC的高效能運算用Azure HX與HBv4 VM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟推出最新<a href="https://azure.microsoft.com/zh-tw/blog/do-more-with-less-using-new-azure-hx-and-hbv4-virtual-machines-for-hpc/">高效能運算用虛擬機器Azure HX與HBv4</a>，這些虛擬機器使用第四代AMD EPYC處理器，所擁有的記憶體是前一代3倍大，在各種工作負載的效能都獲得大幅度提升。全新的HX系列和HBv4虛擬機器將先在美東推出，之後還會在美中南、美西和西歐等各地區陸續推出。</p> <p>HX和HBv4集結許多先進技術，除了使用最新的第四代AMD EPYC處理器，DDR5記憶體頻寬達800 GB/s，也是第一個採用400 Gb/s Nvidia Quantum-2 CX7 InfiniBand的公有雲服務，網路使用Azure Accelerated Networking頻寬達80 Gb/s，而I/O的部分則採用PCIe Gen4 NVMe SSD，提供12 GB/s讀取和7 GB/s寫入速度。</p> <p>微軟針對高效能運算常見應用程式和領域，包括有限元素分析、渲染、流體力學計算、分子動力學、地球科學計算和天氣模擬等，將Azure HX/HBv4、HBv3系統，和許多企業資料中心常見，約4年前的高效能運算伺服器進行比較，HBv4的效能在各種應用都較之前的系統明顯提升，特別是天氣模擬和Nastran有限元素分析。</p> <p>官方提到，Azure HBv3所使用的第三代AMD EPYC和AMD 3D V-cache技術，能讓用戶以更低的總成本快速解決問題，而HBv4系列虛擬機器則擁有更多強化功能，包括更好的記憶體、運算效能和大規模平行工作負載等。而HX則是微軟針對大型模型所設計的虛擬機器，用以支援晶片設計，其使用的記憶體是之前任何H系列虛擬機器的3倍，每個核心的記憶體達60 GB。</p> <p>HBv4和HX更是Azure第一個，使用400 Gb/s Nvidia Quantum-2 InfiniBand技術的虛擬機器，HBv4和HX只要運用標準Azure虛擬機器規模集（VMSS），就可以針對CPU訊息傳遞介面（MPI）工作負載，將每個工作擴展至5,000個核心。</p> </div></div></div>
2022/11/14 17:04作者李建興https://www.ithome.com.tw/news/154178
Crypto.com坦承轉錯帳，幣圈風聲鶴唳
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>加密貨幣交易平臺FTX暫停提款並<a href="https://www.ithome.com.tw/news/154165" target="_blank">申請破產保護</a>一事讓幣圈用戶人心惶惶，周末再傳出另一中型交易平臺Crypto.com曾經誤轉價值約10億美元的32萬個以太幣至Gate.io平臺，造成部分Crypto用戶恐慌，而出現大量提款現象，不過目前Crypto的運作看來一切正常。</p> <p><a href="https://twitter.com/jconorgrogan/status/1591516592835559429" target="_blank">一名Twitter用戶@jconorgrogan周日（11/13）指出</a>，Crypto.com曾經在10月21日將32萬個以太幣轉至另一個平臺Gate.io，這占了Crypto所持有的82%的以太幣，消息一出，Crypto平臺即出現大量提款。</p> <p><a href="http://twitter.com/jconorgrogan/status/1591516592835559429" target="_blank"><img alt="" src="https://pbs.twimg.com/media/FhYz5_9XEAM1ATc?format=jpg&name=medium" style="width: 600px;" /></a></p> <p><a href="http://twitter.com/jconorgrogan/status/1591516592835559429" target="_blank">圖片來源／@jconorgrogan on Twitter</a></p> <p>不過，當天包括Crypto執行長Kris Marszalek與Gate.io都出面說明，解釋這是不小心轉錯帳所致，款項已轉回Crypto。<a href="https://twitter.com/kris/status/1591605600638881792" target="_blank">Marszalek表示</a>，該筆款項理應要轉至Crypto新的冷錢包，卻送到外部的交易平臺錢包，但此一錢包也位於Crypto的白名單中，已與Gate合作將款項轉回冷錢包。</p> <p><a href="http://www.gate.io/zh-tw/article/28671" target="_blank">Gate.io也特別發表了聲明</a>，指出該次於10月21日發生的大規模匯款因觸發了Gate平臺的安全審核機制而遭到攔截，在與Crypto溝通之後確認是操作失誤，之後即啟動資產退還流程，已將款項全數退回。</p> <p>在FTX事件仍餘波盪漾之際，就算已是一個月以前發生的意外，依然讓Crypto用戶湧入提款。</p> <p>然而，加密貨幣生態環境未臻完善是個不爭的事實，根據<a href="https://web3isgoinggreat.com/?id=cryptocom-wants-back-the-7-2-million-they-accidentally-sent-a-customer-last-year" target="_blank">《Web3 is Going Just Great》</a>的報導，在2021年5月時，有一名Crypto.com用戶要求該平臺退款100美元，結果她收到了價值720萬美元的加密貨幣，Crypto一直到同年的12月才發現此事，接著透過訴訟才成功追回款項。</p> </div></div></div>
2022/11/14 12:58作者陳曉莉https://www.ithome.com.tw/news/154175
Meta傳已取消智慧顯示器產品Portal及智慧型手錶計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼<a href="https://www.ithome.com.tw/news/154112" target="_blank">宣布裁員1.1萬名員工</a>的計畫後，媒體《路透社》及<a href="https://www.theverge.com/2022/11/11/23454019/meta-portal-smartwatch-efforts-shutting-down-hardware" target="_blank">《The Verge》</a>引述消息人士報導，除了智慧型手錶，Meta也叫停了智慧顯示器Portal的開發計畫。</p> <p>路透社上周引述Meta主管在內部會議上宣布，Portal及智慧型手錶將雙雙終止開發。其中智慧型手錶內建500萬及1,200萬像素相機，可從錶帶拆下用於視訊。Portal則是用於視訊的智慧型顯示器。</p> <p>《The Verge》的消息人士則指出，二款開發早期及一款開發中期的智慧型手錶都會叫停。其中開發中期的手錶代號為Milan，原本預定為2023春天推出，訂價349美元。</p> <p>這是第二度傳出Meta硬體開發受挫的消息。今年6月《彭博》及《The Information》報導Meta調整了AR眼鏡、智慧顯示器Portal及智慧手錶的開發計畫，雖然媒體報導智慧手錶專案會中止，但當時Meta計畫Portal只會停止消費型機種，不過仍會持續開發企業用產品。</p> <p><a href="https://www.ithome.com.tw/news/154112" target="_blank">Meta執行長祖克柏（Mark Zuckerberg）上周宣布</a>，該公司錯估疫後情勢下過度投資，不得不裁撤1.1萬人，影響旗下Facebook、WhatsApp、Instagram等各應用程式及研發元宇宙軟硬體的Reality Labs，但各部門受影響程度不一。</p> <p>Meta縮減其他硬體的投資，乃是為了貫徹執行長祖克柏實現元宇宙願景的策略。<a href="https://www.ithome.com.tw/news/151537" target="_blank">Meta今年稍早</a>展示了4款AR裝置，也在今年秋天推出了<a href="https://www.ithome.com.tw/news/153569" target="_blank">高階的Quest Pro</a>。為了發展元宇宙，Reality Labs已經燒掉數百億美元。元宇宙前景未明，碰上全球景氣衰退， Meta股價由年初的338跌到113美元，公司市值也從<a href="https://www.cnbc.com/2021/06/28/facebook-hits-trillion-dollar-market-cap-for-first-time.html" target="_blank">2021年6月</a>的破兆美元縮水到僅3,000億美元。</p> </div></div></div>
2022/11/14 12:17作者林妍溱https://www.ithome.com.tw/news/154169
世界盃App可讓卡達政府遠端監控用戶，外國政府呼籲國民不要用自己的手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>世界盃足球賽即將在11月21日開踢，但媒體報導，今年的App可讓主辦國卡達政府遠端監控用戶，以及蒐集過多個資，使法國及挪威政府呼籲國民不要帶自己的手機去到卡達。</p> <p>卡達政府要求觀賞世界盃的球迷應安裝Ehteraz及Hayya兩款App，前者是COVID-19追蹤App，後者則是球場門票及免費地鐵、巴士搭乘通用券。</p> <p><a href="https://www.theregister.com/2022/11/11/world_cup_security/" target="_blank">《The Register》</a> 指出Ehteraz引發遠端存取用戶相片、影片的疑慮，還能撥電話給用戶。此外，Ehteraz要求用戶必須開啟手機背景及定位服務，並提供App讀寫檔案系統的權限，使其得以讀、刪、改內容、覆寫App，連結Wi-Fi或藍牙，以及防止手機轉成休眠。</p> <p>報導引述安全業者Promon共同創辦人Tom Lysemose指出，Ehteraz能安裝加密檔案，宣稱可儲存用戶ID、QR Code、感染狀態、配置參數及其他使用該App裝置的鄰近資料，明顯已超過App要求用戶同意時說明的資料類型。</p> <p>此外，<a href="https://www.nrk.no/sport/everyone-going-to-the-world-cup-must-have-this-app---experts-are-now-sounding-the-alarm-1.16139267" target="_blank">挪威媒體</a>報導，Hayya要求無限制存取用戶個資、判讀手機位置、防止手機進入睡眠模式及讀取手機連網狀態。</p> <p>基於上述疑慮，<a href="https://www.politico.eu/article/qatar-world-cup-2022-warning-burner-phones-french-agency/" target="_blank">法國資料保護主管機關CNIL建議</a>國民帶拋棄式手機去卡達，以確保資料安全，<a href="https://www.nrk.no/sport/everyone-going-to-the-world-cup-must-have-this-app---experts-are-now-sounding-the-alarm-1.16139267" target="_blank">挪威資安局長則跟當地媒體說</a>，他不會帶自己的手機去卡達。</p> <p>此外，德國的資料保護主管機關BfDI則說，已會同該國聯邦資安局調查這二款App。</p> </div></div></div>
2022/11/14 12:32作者林妍溱https://www.ithome.com.tw/news/154170
企業級儲存服務終極邊界
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在科幻影集與電影星艦奇航（Star Trek）系列中，有一句最常被大家引用的開場臺詞「Space: the final frontier.」，提到無止盡的太空堪稱人類活動的最終疆界，剛好也能替本期週刊封面故事主題「物件儲存（Object Storage）」作為註腳，因為在這樣的儲存服務之下，能不受限制地存放各種格式的資料，以及擴展資料儲存的規模，就像太空近乎無邊際。</p> <p>在資料中心儲存領域，物件儲存技術普及的時間應該是最晚的，若不是雲端服務時代來臨，大型網際網路公司紛紛建置與營運超大規模資料中心基礎架構，以及大數據、機器學習等技術崛起，成為當代IT與商業的顯學，恐怕一般個人與企業很難接觸到這類應用，無法感受到其成效與存在的必要性。</p> <p>關於物件儲存的介紹，我和技術主筆張明德幾年前就想進行，但由於當時雲端儲存服務的浪潮已全面席捲各種領域，所以我們改變方針，先從雲端服務下手，且依據企業上雲需求來決定報導的儲存服務類型順序，陸續製作相關的專題報導，從此展開了雲端儲存服務之旅。像是：2018年《<a href="https://www.ithome.com.tw/article/127798" target="_blank">新世代混合雲儲存的興起</a>》、2019年《<a href="https://www.ithome.com.tw/article/130300" target="_blank">雲端儲存陣列</a>》、《<a href="https://www.ithome.com.tw/article/134379" target="_blank">雲端儲存的多元化面貌</a>》，以及2020年《<a href="https://www.ithome.com.tw/article/135600" target="_blank">透視公有雲區塊儲存服務</a>》、《<a href="https://www.ithome.com.tw/article/141360" target="_blank">透視公有雲檔案儲存服務</a>》，2021年《<a href="https://www.ithome.com.tw/article/146401" target="_blank">公有雲長期歸檔儲存服務的興起</a>》、《<a href="https://www.ithome.com.tw/article/147675" target="_blank">公有雲物件儲存服務2021總覽</a>》。</p> <p>今年11月我們終於製作了物件儲存的封面故事，而現在這個時機也相當合適，因為我們經過這一系列雲端儲存服務的探討，對於透過此種形式讓用戶隨需存取物件儲存的意義與價值，已經有了更充分的理解，所以，當我們將目光轉向建置在企業內部環境的物件儲存系統，也能夠更容易找出其真正難以取代的特色。</p> <p>本次的專題報導，我們不只是帶領大家快速了解物件儲存的長期發展歷程，以及未來趨勢，也特別介紹市面上5大廠牌這類型產品的沿革與近況，包含：Dell PowerScale與ECS、IBM Spectrum Scale與ESS、NetApp StorageGRID、Pure Storage FlashBlade、Hitachi Vantara HCP，能夠藉此相互參照，掌握大局勢的變化，以及個別廠牌與產品的供應形式。</p> <p>除此之外，還有一些廠商在近期宣布推出這類型解決方案，值得注意後續的進展。例如，軟體定義儲存廠商DataCore去年4月發表物件儲存產品Swarm，今年9月發布更新，強化內部環境與公有雲的應用；以超融合基礎架構聞名的Nutanix，在2019年8月推出物件儲存服務Nutanix Objects，提供一寫多讀（WORM）的功能防止資料遭竄改，2020年3月、10月陸續發布2.0與3.0版，今年11月已發行3.6版。</p> <p>上述都是國際品牌物件儲存代表性產品，最近我們注意到幾家臺灣儲存廠商，也已經提供或將推出這類型解決方案。例如，普安科技（Infortrend）今年7月宣布，EonStor GS系列將提供不可變物件儲存體（immutable object storage）；群暉科技（Synology）去年底預告推出雲端物件儲存服務C2 Object Storage，今年6月正式推出，而在10月底的全球線上發表會，他們預告明年將推出支援橫向擴充（scale-out）的檔案與物件儲存伺服器；威聯通科技（QNAP）2016年發布可裝於該公司NAS系統的物件儲存伺服器App，2020年9月此App改名為QuObjects，而從今年5月釋出的2.4.1409版起，開始支援AWS S3 Object Lock物件鎖定協定，能運用一寫多讀（WORM）的功能存放資料。</p> <p>隨著國內外IT廠商陸續釋出支援或提供物件儲存服務、功能的相關消息，再加上為了防止勒索軟體竄改資料的需求正持續攀升，而使得一寫多讀或所謂的不可變物件儲存成為熱門的資料保護功能，從而帶動了物件儲存應用的市場商機。</p> <p>資料保護軟體廠商也看準這部分的市場商機而積極推行各種合作，例如，幾年前Dell EMC開始主推Cyber Recovery，因應美國業界推動的避風港計畫（Sheltered Harbor）；另一家備份軟體廠商也在他們的產品與服務就緒認證計畫，增設這類別，名為Veeam Ready-Object with Immutability，目前有24款產品名列其中。顯然，未來還會有更多廠商加入，屆時也將出現更多採用案例。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%89%A9%E4%BB%B6%E5%84%B2%E5%AD%98">物件儲存</a></div><div class="field-item odd"><a href="/tags/object-storage">Object Storage</a></div></div></div>
2022/11/14 07:00作者李宗翰https://www.ithome.com.tw/voice/154115