iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 14篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 09:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Google Messages測試群組聊天全程加密功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.google.com/messages/answer/10262381" target="_blank">Google宣布</a>為其RCS （Rich Communication Service）訊息應用程式Messages<a href="https://www.blog.google/products/messages/happy-birthday-sms/" target="_blank">測試群組聊天的全程加密（End-to-End Encryption）</a>。</p> <p>透過支援全程加密，僅有收、發雙方能看見Google Messages訊息內容，連Google或電信商都看不到。Google Messages已在兩年前為1:1訊息加入全程加密，上周Google宣布，未來幾周將針對群組聊天功能，以開放測試方案提供給部分用戶。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1205-Google%20Messages-600-1.jpg" style="width: 457px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>除了全程加密，Google也為Messages加入網路即時通訊早就有的其他功能，除了現有影像訊息、同步打字指示（typing indicator）、聊天群組命名、在群組增加或移除聯絡人，以及Wi-Fi文字通訊，Google Messages現在又支援圖形化表情圖示。</p> <p><a href="https://www.ithome.com.tw/news/152430" target="_blank">Google並延續之前的#GetTheMessage行銷活動</a>，批評蘋果不支援RCS。Google表示，幾乎所有主要電信業者如AT&T、T-Mobile、Orange及製造商都已支援RCS，獨蘋果除外，這意謂著iPhones用戶仍然持續用著1990年水準的文字簡訊（SMS）和Android手機用戶傳訊息。</p> <p>由於蘋果不支援RCS，iPhone接獲Android手機傳來的訊息會以綠色顯示，藍、綠顏色的差異也強化了iPhone用戶自我認同感，而降低採用Android的興趣。</p> </div></div></div>
2022/12/5 09:09作者林妍溱https://www.ithome.com.tw/news/154549
三菱電機軟體漏洞可導致PLC系統被駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.nozominetworks.com/blog/flaws-in-gx-works3-threaten-mitsubishi-electric-safety-plc-security/" target="_blank">安全廠商Nozomi Networks發現</a>三菱電機可程式化邏輯控制器（programmable logic controller，PLC）的3項軟體漏洞，可能讓攻擊者輕鬆駭入PLC而影響生產過程。</p> <p>漏洞存在三菱電機安全PLC及相關工程工作站軟體GX Works3使用的通訊協定MELSOFT中。GX Works3是三菱電機專為MELSEC iQ-R和MELSEC iQ-F Series控制系統設計的編程和維護軟體。GX Works3和安全CPU模組相關的專案檔案是以加密儲存，需要使用者名稱和密碼才能開啟。</p> <p>最新MELSOFT漏洞是Nozomi Networks繼去年8月在同一協定<a href="https://www.nozominetworks.com/blog/new-research-uncovers-5-vulnerabilities-in-mitsubishi-safety-plcs/" target="_blank">發現五項漏洞</a>後，最新揭露的瑕疵。這三項漏洞分別為CVE-2022-29831、CVE-2022-29832和CVE-2022-29833。其中CVE-2022-29831為使用寫死密碼，CVE-2022-29832為記憶體敏感資訊明碼儲存，CVE-2022-29833則為登入憑證保護不足。影響產品包括三菱電機的GX Works3及MX OPC UA Module Configurator-R。</p> <p>由於三項漏洞都還沒有修補程式，現階段，安全廠商並未公布漏洞技術細節，只提供大致描述。</p> <p>安全廠商指出，最嚴重情況下，攻擊者只要取得一個GX Works3專案檔案就可以成功利用漏洞。方法有好幾個，包括透過配置錯誤的檔案伺服器、存取共享電腦、竊聽未受保護的通訊等。只要其中一種成功，攻擊者就能立刻濫用前二個漏洞，取得專案檔案中關於專案本身，及安全CPU模組註冊的帳號用戶名的敏感資訊。</p> <p>但如果資產持有人曾重覆使用安全CPU模組的登入憑證，就可能發生嚴重後果。攻擊者可能串連3個漏洞，取得重要的攻擊原語（primitive），使其可直接存取及駭入該安全CPU模組，進而擾亂製造過程。</p> <p><a href="https://www.cisa.gov/uscert/ics/advisories/icsa-22-333-05" target="_blank">美國電腦安全暨基礎架構安全管理署（CISA）已對三項漏洞發出安全公告</a>。CISA將三漏洞聯合風險列為CVSS v3 9.1，屬重大漏洞。</p> <p class="rtecenter"><a href="https://www.cisa.gov/uscert/ics/advisories/icsa-22-333-05" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1205-Mitsubishi%20Electric%20FA%20Engineering%20Software-CISA.png" style="width: 550px;" /></a></p> <p>目前軟體廠商無法修補漏洞，三菱電機則準備修補CVE-2022-29831，並為CVE-2022-29832、CVE-2022-29833提供緩解方法。在此之前，為降低風險，安全廠商建議用戶儘可能限制安全CPU專案檔案的存取權限，不論是在傳輸或儲存狀態，變更安全CPU模組上的所有弱密碼。此外，安全廠商呼籲安全CPU專案檔案的開啟憑證絕對不要重覆使用。</p> <p>漏洞是否遭到濫用不得而知。<a href="https://www.ithome.com.tw/news/152142" target="_blank">7月安全廠商Drago發現</a>有人在社群網站張貼網路廣告訊息，販售PLC或人機介面（HMI）的密碼破解工具，涵括的PLC品牌包括三菱、歐姆龍、松下（Panasonic）、富士電機（Fuji Electric）、LG及台達自動化等。</p> <p>巧合的是，<a href="https://www.ithome.com.tw/news/154324" target="_blank">CISA發出安全公告</a>，警告歐姆龍（Omron）的NJ、NX系列PLC系統產品線一項軟體漏洞遭到攻擊。</p> </div></div></div>
2022/12/5 09:37作者林妍溱https://www.ithome.com.tw/news/154550
能力與成熟度評估
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://www.ithome.com.tw/article/154533" target="_blank">iThome 1106期封面故事主題是網路安全成熟度模型認證（CMMC）</a>，讓我想到去年封面故事<a href="https://www.ithome.com.tw/article/142129" target="_blank">《2021資安大預測》</a>，我們將資安成熟度列入年度重大資安趨勢，因為這已升格為產業落實資安的重要議題，資安主編羅正漢那時提到的多個資安框架，都採用這個概念，像是NIST Cybersecurity Framework（CSF）、BS 31111:2018、ACSC Essential Eight、Cyber Defense Matrix（CDM），以及我們這次介紹的CMMC；除此之外，資安業界還有CIS Critical Security Controls、CISA Zero Trust Maturity Model、Cybersecurity Capability Maturity Model（C2M2）、Cybersecurity Capacity Maturity Model for Nations（CMM）等框架或模型，都以「成熟度」作為評估與持續推動資安的指標。</p> <p>談到CMMC，很多在IT領域工作多年的人，可能會馬上聯想到能力成熟度模型（Capability Maturity Model，CMM），以及能力成熟度模型整合（Capability Maturity Model Integration，CMMI）。而在軟體開發工程、資訊軟體品質的領域，CMMI評鑑曾蔚為風潮，有許多企業、組織、公部門將其用於評估軟體的能力。</p> <p>基本上，CMM與CMMI都分為5種等級，前者依序為：初始（Initial）、可重複執行（Repeatable）、已定義（Defined）、已管理（Managed）、最佳化（Optimizing），後者依序為：初始（Initial）、已管理（Managed）、已定義（Defined）、量化管理（Quantitatively Managed）、最佳化（Optimizing）。</p> <p>在網路上尋找成熟度評估論述時，我發現有些專家將其與能力（Capability）對比，探討兩者各自適用的情境。</p> <p>以能力評估而言，是針對每個流程各種現行實務的顯現方式，可套用在個別領域的流程改善，能使產品、服務滿足特定的品質與流程績效目標，導入可行的流程，以便在規格內部持續產生輸出，執行這類流程往往能產生符合預期的結果。</p> <p>成熟度評估則是針對組織內部多組流程的展現，是指在多個領域的流程改善，組織面對正在做的任何事情，能夠透過妥善的文件記錄，促使每個人知道自己該做的事情與該有的表現，所執行的決策都是基於適當的狀況分析而來，而非單靠傑出者來創造績效。</p> <p>在IT治理領域相當知名的COBIT（Control Objectives for Information and Related Technology）框架，也有能力等級與成熟度等級的區分。回顧一路以來的發展，COBIT初期是以流程的能力為主，中期延伸為「成熟度包含能力」的形式，之後再將這樣的評估概念擴展至其他治理與管理元件中。</p> <p>究竟該用能力或成熟度來評估？有些領域已有共識。關於資安防護的強化，成熟度評估是目前較多人認可且積極推動的，而在企業與組織的數位轉型工作上，同樣有許多研究機構與專家運用成熟度來進行評估，不過，也有人認為應該關注能力，而非成熟度——他們提出幾個質疑，例如，組織可能會聚焦在如何達到成熟的狀態，一旦完成目標，工作就結束了；假設所有組織的數位轉型過程，都採取線性路徑的方式進行；並非基於成果輸出的方式進行；在達成目標等級的定義上，會是靜態而非動態的。</p> <p>然而，若對照過去整個業界發展的評估概念而言，成熟度的實際應用應該不會如此僵化，其實會是動態、靈活、持續進行的，但這些面向還是值得大家反思，因為這些狀況的確很有可能發生，導致相關的強化或轉型工程趨於僵化。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 18px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 18px;"><strong><span style="background-color: rgb(51, 153, 255);"><span style="color: rgb(255, 255, 255);">相關報導 </span></span></strong></span></p> <p> <a href="https://www.ithome.com.tw/article/154533" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1106-feng_mian_gu_shi_open-yan_fen_-960x420_kao_bei_.jpg?itok=jPRCcQ0Y" style="width: 550px;" /></a></p> <p><a href="https://www.ithome.com.tw/article/142129" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1007-26-feng_mian_p1-open-900x373.jpg?itok=0Cau_DNu" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%A8%E8%80%85%E7%9A%84%E8%A9%B1-0">編者的話</a></div><div class="field-item odd"><a href="/tags/%E7%B6%B2%E8%B7%AF%E5%AE%89%E5%85%A8%E6%88%90%E7%86%9F%E5%BA%A6%E6%A8%A1%E5%9E%8B%E8%AA%8D%E8%AD%89">網路安全成熟度模型認證</a></div><div class="field-item even"><a href="/tags/cmmc">CMMC</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89%E6%88%90%E7%86%9F%E5%BA%A6">資安成熟度</a></div></div></div>
2022/12/5 00:00作者李宗翰https://www.ithome.com.tw/voice/154528
【鼓勵業者積極投入美國網路安全成熟度模型認證（CMMC）】打造臺灣國防產業千億產值的關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年9月召開的2022臺灣資安大會上，同時舉辦有史以來第一場眾「星」雲集的座談會，這場「CMMC國防產業安全供應鏈論壇」，匯集了許多退役將領。</p> <p>這個論壇主要是因應國際局勢的變化，探討由美國國防部推出的網路安全成熟度模型認證（CMMC），對臺灣及全球國防產業帶來的衝擊和影響，面對如此龐大的國防商機，不只是傳統的國防產業業者能夠競逐，能否擴及更大範圍的電機、電子業者，使更多臺灣廠商共同分食產值更高的國防產業大餅呢？</p> <p>了解國際戰略與政治的人都知道，廿一世紀前半，世界面臨嚴峻挑戰，遭遇許多典範轉移。作為國家級國防部智庫國防安全研究院的執行長林成蔚，在這場活動的致詞中，清楚提到：「站在歷史的分歧點，整體國際秩序轉換需要許多新的道具，並且建立新的規範，其中，CMMC就是全球國防產業面對典範轉移時，必須要清楚掌握的新工具。」</p> <p>林成蔚表示，CMMC這個新的道具也是新的資安規範，將會支撐在廿一世紀新環境需要的各種不同能量，不但可以讓相關組織，具備內建韌性的資安技能，也是讓具備資安技能的業者，可以更積極參與國際市場重要的資格。</p> <p>他說：「未來，國防安全研究院和臺灣國防產業發展協會（TW-DIDA）將協助臺灣業者，了解這個新的資安規範，更希望藉此積極參與、創造新世界，掌握更多商機。」</p> <p>由於臺灣過往並沒有針對國防產業進行產業推估，只有國家中山科學研究院曾在2017年12月發表一份《國防產業發展現況與展望》簡報，其中便以自家委外發包的經驗推估，該研究院每年執行政府350多件專案，平均預算約為250億元，另外也有700多家國防供應鏈體系業者，每年也提供100億元至150億元的採購案。</p> <p>不過，中山科學研究院推估的產值，仍以該單位委外發包的產值來計算，而且臺灣有些精密工業業者，本身是直接對接美國軍火商，提供符合美國國防部規範的重要零組件業者，這些產值並不在中山科學研究院的計算中。</p> <p>對此，臺灣在2017年7月正式成立臺灣國防產業發展協會，以促進臺灣國防產業發展為宗旨，該協會的秘書長朱旭明表示，臺灣對於國防產業的產值並沒有任何推估，但可以參照日本2022年國防供應鏈產值約為180億美元，對照臺灣整體產業發展和具備的技術能力，臺灣國防產業產值最大規模為日本產值的三分之一，約為60億美元（約為新臺幣1,800億元），他說：「這也是臺灣國防產業可以創造的最大產值。」</p> <p>如此龐大的國防產業商機，已不是傳統臺灣國防產業業者可以獨食，政大兼任助理教授萬幼筠表示，日本以國家之力推動CMMC，並將原先的電機、電子業者也納入、成為國防產業的一份子，這種把餅做大的方式，也應該是臺灣未來推動CMMC過程中，將許多傳統的電機、電子業者進行淬體、升級作為加入美國國防產業供應鏈所能參考的作法。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%963-%E5%B0%81%E9%9D%A2P2P3-CMMC-V2.png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>美國國防供應鏈風險評估架構與因應措施</strong></span><br /> <span style="color: rgb(105, 105, 105);"><strong>美國國防供應鏈風險的分析，可以從「國防供應鏈韌性框架」的四個面向來看，同時，可以參考美國國防部提出7個相對應的措施，做到建構與發展可信賴的產業實務。</strong></span></p> <p class="rtecenter"><span style="color: rgb(105, 105, 105);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%961-%E5%B0%81%E9%9D%A2P2P3-CMMC.jpg" style="width: 599px;" /></strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>臺灣要優先改善國防產業資安，建立完整安全檢查。亞洲航空董事長特助、臺灣國防產業發展協會顧問傅孟杰直言，對於臺灣國防產業與中國有聯繫或商業往來的企業，能否確保機密、敏感技術不外流，美國有疑慮。</strong></span></p> <p class="rtecenter"><span style="color: rgb(105, 105, 105);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%962-%E5%B0%81%E9%9D%A2P2P3-CMMC.jpg" style="width: 600px;" /></strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>為了大幅度拓展臺灣國防產業的產值，臺灣國防產業發展協會秘書長朱旭明表示，我們可以參考日本、南韓積極引進CMMC作法，並期待臺灣國防產值可以擴大到60億美元。</strong></span></p> <p><span style="font-size:28px;"><strong>推動CMMC有助於提升臺灣防衛力</strong></span></p> <p>烏俄戰爭從今年二月實體戰爭開打後，一直沒有停戰的趨勢，而作為烏克蘭主要軍事武器提供者的美國，也面臨武器交期延遲的困境，甚至影響到美國對臺灣軍售武器的交貨。</p> <p>在這個緊張時刻，傳出有多個武器承包商會員的美臺商業協會（USTBC）作為中間人，表達美國拜登政府有意與臺灣合作、共同在臺灣生產相關的國防軍事武器，而這樣的作為，不僅有助於加快美國對臺軍售武器的交期，也可以強化臺灣的國防防衛能力。</p> <p>相關媒體引述美臺商業協會會長韓儒伯（Rupert Hammond）的訪談內容說道，臺美聯合生產武器已經有初步想法，但生產的武器項目並未有進一步消息，外界評估可能會偏重彈藥及導彈技術相關的類別；至於聯合生產的方式可能有兩種，一種是由美方提供技術、在臺灣製造；或者是在臺灣生產零組件、在美國製造兩種方式。</p> <p>只不過，臺美聯和武器生產的計畫若要順利落實，仍有很大努力空間，因為這不僅要經過美國國務院、國防部及武器製造商的同意及核准，一旦雙方預計聯合生產武器，如何確保相關國防關鍵技術與機敏資料不會遭到外洩，則是這起合作案能否持續的最大關鍵。</p> <p>不只技術和機敏資料不能外洩，在國際情勢越來越複雜的情況下，尤其在美中貿易大戰之後，美國有許多先進技術和晶片產品等，都明令禁止提供給中國及相關企業使用，甚至也明白禁止，美國企業不能使用來自中國的技術和產品，如果重要核心關鍵產業的產品或原料使用來自中國的產品，國防部不僅要調查相關的採購是否有違法，甚至可能暫停交付相關產品。</p> <p>最明顯的例子就是，在今年九月上旬，由軍火業者洛克希德馬丁研發的F35II閃電戰鬥機中所使用的渦輪機幫浦，美國國防部得知當中使用來自中國稀土鈷和釤合金原料製成的磁鐵作為啟動器的動力，為了進一步調查並確保安全性，選擇暫停交付戰機。</p> <p>經過後續調查確認，該特殊合金是在美國進行磁化，也沒有傳送任何敏感資訊，未來也會選擇其他非中國的合金原料，才恢復後續的戰機交付流程。</p> <p>以F35戰機為例，由全球1,700家供應商所提供的30萬個零組件組成，而每一家廠商的生產流程中，所有用到的零組件都需要經過檢查；為了確保這些供應商都是合格的供應商，也必須遵守美國《國防聯邦採購補充條例》（DFARS）以及符合美國NIST 800-171或NIST 800-172的規定。</p> <p>為了提升並確保美國國防供應鏈業者資訊安全防護能力，美國國防部也在2020年1月31日發布「第1版網路安全成熟度模型認證（CMMC 1.0）」，這也是針對國防供應鏈業者第一線承包商，以及第二、三線分包商所制定的網路安全標準，並於2021年11月推出的CMMC 2.0版草案，預計2023年3至5月推出CMMC 2.0正式版，並於2026年財年（9月30日）後全面實施。</p> <p>國防產業屬於臺灣產業創新研發計畫的重點領域之一，並設定航太、船艦、資安為三大國防核心產業。在航太產業方面，推動飛機、無人飛行載具及低軌衛星之研發計畫，在船艦產業方面，也已啟動各式水面艦與潛艦自製計畫，在資安及數位產業方面，成立資安攻防及跨國合作機構，並加速其產業化並開拓國際市場。</p> <p>亞洲航空股份有限公司董事長特助，也是臺灣國防產業發展協會顧問傅孟杰直言，臺灣高舉「資安即國安」的政策方針，因此，國防供應鏈的安全也意味著國防產業安全、國防機密安全，甚至是國家安全的情況下，臺灣勢必要優先改善臺灣國防產業的資訊安全保護，建立完整的安全檢查機制更是當務之急。</p> <p>傅孟杰認為，臺、美的國防產業界緊密合作將不可避免，但這也為臺灣帶來新的挑戰。他不諱言地表示，美國對臺灣國防產業界有些與中國有聯繫或商業往來的企業，是否能確保美國轉移的機密、敏感技術不外流，仍有疑慮。</p> <p>因此，臺灣如何建立新的法規機制，而能向美國政府保證敏感技術不會遭到不當移轉？參考美國國防部推出的CMMC 2.0標準並積極取得相關認證，就是依照美國國防產業標準，可趁機提升臺灣國防產業資訊安全水準，做到確保機敏資訊不外洩，並創造安全、可信賴產業環境，使其成為臺美雙邊產業合作的重要關鍵。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%964-%E5%B0%81%E9%9D%A2P2P3-CMMC-V3.png" style="width: 408px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>NIST CSF 2.0版增加NIST SP800-171的資訊服務安全面向</strong></span><br /> <span style="color: rgb(105, 105, 105);"><strong>NIST CSF 2.0新版的內容，不僅要符合白宮第14028號行政命令，也必須符合針對國防產業所制定的CMMC 2.0草案規範，以及相關的NIST SP 800-171資安規範。</strong></span></p> <p><span style="font-size:28px;"><strong>加入美國供應鏈安全體系，需符合NIST資安規範</strong></span></p> <p>美國總統拜登於2021年2月底簽署第14017號行政命令《美國供應鏈》（EO 14017），這是一個相當聚焦於「產業」的行政命令，不只包含國防產業在內，為了確保臺灣供應鏈安全，金管會已經責成銀行、保險和證券業者撰寫相關供應鏈安全規範，主要參考美國NIST SP 800-161，這是一個客戶端（甲方）的規範，至於供應商（乙方）的規範，則是參考美國NIST SP 800-171和NIST SP 800-172。事實上，國防產業的供應鏈商機遠遠大於金融業，只不過，臺灣國防產業以往只局限傳統的國防供應鏈業者，商機就無從擴大。</p> <p>事實上，美國看待國防供應鏈的風險，主要是從「國防供應鏈韌性框架」的四個面向來審視，分別是：Internal（國防部內部單位）、Interagency（美國跨部門）、International（國際可信賴關係），以及Industry（產業）等四個面向，並提出7個相對應的因應措施，包括：（1）建立美國國內生產能力；（2）從程序與實務面，連結國際間的聯盟夥伴；（3）緩解外國控制、擁有或影響（FOCI）的企業風險與保護市場；（4）修訂軍品籌獲（即武器採購）政策；（5）進行供應鏈數據分析；（6）整合籌獲需求，以及（7）建構與發展可信賴的產業實務。</p> <p>萬幼筠表示，供應鏈安全問題已經是全球民主同盟國家共同面臨的挑戰，根據歐盟資訊安全局（ENISA）統計，供應鏈資安攻擊近兩年大幅提升，成為網路安全威脅主因，有66％的攻擊聚焦在供應商的程式碼，62%的攻擊是利用客戶對其供應商的信任，62%的攻擊源自於惡意程式，另外也有58%的攻擊來自於所取得的資料。</p> <p>而美國針對供應商的資安風險管理作為，可以從客戶端及供應商端這兩個面向來看。萬幼筠表示，若參考美國NIST標準，甲方（採購/客戶端）的內部建置採購過濾選擇機制，以及委外安全管理機制等，都可參考SP 800-161規範；若是乙方（供應商端）內部建置資安合規機制等，則可以參考SP 800-171規範（入門款）及SP 800-172規範（高保密等級增益款）。</p> <p>作為美國聯邦資訊安全框架NIST CSF也於今年6月，收集改版的意見，並制定7個修訂目標與方向，包括：（1）聚焦於維護和建立CSF框架更新時的關鍵屬性；（2）維持CSF與其他NIST既有架構的一致性；（3）提供更多的CSF實施指引；（4）確保CSF框架得以維持技術中立，但容許不同的技術議題，包含新技術的演進與實務；（5）強調評估框架實施結果的方式與量測標準的重要性；（6）供應鏈的網路安全風險納入框架考量；以及（7）透過國家改善供應鏈資通安全倡議（NIICS）對應既有的實施措施，並提供有效的實作指引和工具，以強化網路安全供應鏈風險管理。</p> <p>在2021年5月，美國總統拜登已頒布改善國家安全的第14028號行政命令（EO 14028），並針對「強化軟體供應鏈安全」制定相關的指南，其中，也必須符合NIST CSF 2.0新版的內容和針對國防產業所制定CMMC 2.0草案規範。</p> <p>萬幼筠表示，NIST CSF 2.0面對開發商、軟體使用者、商業組織、主管機關和政府不斷增加的資安需求，為達安全軟體開發生命週期（SSDLC），各種軟體元件和組態的SBOM（軟體物料清單），皆須滿足供應鏈資安風險管理規範，強化NIST SP800-171資訊服務安全面向作為，從SSDLC、SecDevOps提升軟體安全，了解軟體元件以衡量風險，呼應整體企業風險管理胃納，回應政府監理要求，真正做到「資安即國安」。</p> <p><span style="font-size:28px;"><strong>可參照日韓引進CMMC作法，擴大臺灣國防商機</strong></span></p> <p>國防商機龐大，但也同時面臨「價值」選擇！因為，目前選擇美國價值的國家，才能成為美國國防供應鏈一員，但要取得這資格，必須符合美國國防部對第一線承包商和第二、三線分包商的規範，其中尤以CMMC 2.0草案為最。</p> <p>美國國防合約管理局（DCMA）今年2月統計，光去2021年的軍購預算就高達7,800億美元，其中，美國軍品採購高達990億美元規模，有超過4億個零組件的需求，由30萬家供應鏈業者提供。假若臺灣的製造業者，可以轉型成符合美國國防部規範的國防製造業，不僅訂單穩定、利潤增加，也有助於提升臺灣的防衛能力。</p> <p>預估美國接受CMMC規範要求的供應商數量達30萬家，其中有許多日、韓業者，為什麼優秀的臺灣製造業者，不能成為美國供應鏈的一環呢？萬幼筠表示，美國國防供應鏈商機並不能單純視為電機、電子業者的商機，因為只要在中國設廠的製造業者，都不符合美國對國防供應商的規範。</p> <p>以日本而言，他們在2018年引進符合美國NIST SP 800-171規範，從軍購合約的採購限制規範、服務內容，零組件SBOM、採購辦法、系統軍武安全等，都必須符合SP 800-171第一級的規範，當時已經有700家業者做完第一級。</p> <p>防衛裝備廳調查，符合啟動CMMC驗證預備活動的國防產業業者約為300家，包含主要的三菱重工、鈴木重工，日本希望以大廠帶小廠的方式，預計加入日本輸美國防供應商業者達7000家，市場規模達美金180億。</p> <p>南韓則是在2019年，由國防採辦計畫管理局（DAPA）引進CMMC，建立韓國版國防技術保護成熟度模型認證：K-CMMC；其中，系統性推廣計畫的研究項目之一，就是預計由DAPA成立國防工業振興機構（Defense Industry Promotion Agency），目前已有70家韓國主要國防供應商加入建置CMMC，包含大型主要供應商4家；中小型出口110家（其中70家已經2020年前訓練完畢）；支援性廠商2,600家（非出口）。</p> <p>由於韓國計畫成為全世界第四大武器供應國，希望將韓國國防工業成為戰略工業化和國防強國，符合美國CMMC規範、推動韓版K-CMMC只是韓國擴大國防商機的第一步。</p> <p>面對上述日韓等國的大規模投入，臺灣同樣需要積極爭取，然而，我們推動CMMC的作為，以及相關的推動單位在哪裡呢？</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 18px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154533" target="_blank"> </a></span></strong></span></span><span style="font-size: 18px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154533" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span> <a href="https://www.ithome.com.tw/article/154533" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1106-feng_mian_gu_shi_open-yan_fen_-960x420_kao_bei_.jpg?itok=jPRCcQ0Y" style="width: 550px;" /></a></p> </div></div></div>
2022/12/5 00:00作者黃彥棻https://www.ithome.com.tw/news/154530
【打造可信賴的供應鏈架構】美國推動CMMC認證是以國防採購為核心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美臺商會日前釋出，美方有意與臺灣聯合武器生產的消息，不管是由美方提供技術、在臺灣製造；或者是在臺灣生產零組件、在美國製造兩種方式，相關的國防武器製造，都涉及國防機密資訊的保護、國防產業供應鏈安全以及國家安全等複雜層面，要如何確保相關的安全性，臺美雙方就必須要打造一個可以信賴的供應鏈架構。</p> <p>由於國防採購的第一線承包商，因為負責相關的武器研發、設計、開發與部署等重要機密，而承包商的下級分包商因為生產製造的需求，經常是分散在全球各地，但面對各個國家對於網路安全有不同的規範，規模較小的分包商也常常會因為不願意或無法支付高額的資安投資，成為駭客鎖定攻擊的目標，並造成許多機敏資料外洩。</p> <p>面對「信任」的議題，不論資訊安全、供應鏈安全甚至是國家安全，都非常重要，如何做到信任，有許多法規面、制度面和程序面的作法必須落實。</p> <p>其中，攸關臺灣國家防衛能力、臺美國防產業供應鏈安全等議題，國防部智庫─國防安全研究院網路安全與決策推演研究所所長唐從文認為，美國國防部於2021年11月推出的網路安全成熟度模型認證CMMC 2.0版草案，因為符合美國國防部對於供應商的資安規範NIST SP 800-171和SP 800-172，引進並符合CMMC相關的規範，是臺灣包括國防產業等，值得努力和參與的方向。</p> <p>不過，CMMC包含了自我評鑑、分級、輔導、訓練、認證及採購模式等等，牽涉層面廣泛，他也說，臺灣若要推動，可以參考其他國家的施行經驗，進一步結合行政、立法、產業、學術等各單位同步進行。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%962-%E5%B0%81%E9%9D%A2P4P5-CMMC.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>國防安全研究院網路安全與決策推演研究所所長唐從文表示，若要推動網路安全成熟度模型認證CMMC，可參考其他國家經驗，結合行政、立法、產業、學術等單位進行。</strong></span></p> <p><span style="font-size:28px;"><strong>國防產業供應鏈駭客攻擊不斷，小包商成鎖定對象</strong></span></p> <p>資安圈最常提到的木桶理論講的是說，最脆弱的環節由最短的木板決定，同樣的例證更是舉目可見。</p> <p>美國國防部到國土安全部號稱是世界上最安全的單位，但駭客依舊可以鎖定標的，多次入侵相關的機敏系統或重要關鍵基礎設施的工控系統等，像是在2018年美國海軍承包商遭駭客入侵，致使美國潛艦所使用的超音速反艦飛彈之研發細節外洩；同年10月，駭客透過入侵外包商系統，借道進入國防部網路，造成有3萬名員工的資料遭到外洩。</p> <p>這些受到駭客攻擊的對象，有許多都是執行國防部專案合約的第二、三線中小型分包商，當然也有少數的第一線、大型的主要承包商遭駭。整體而言，遭駭的中小型分包商業者較多，因為缺乏完善的資安防護能力，也成為駭客攻擊主要標的。這也讓美國國防部意識到，若要確保國防機敏資料的安全性，不能只重視主要承包商的安全作為，更必須關注許多分包商的資安作為，才能做到真正的機敏資料不外洩。</p> <p>不過，美國供應鏈的市場發展作為是什麼呢？政治大學兼任助理教授萬幼筠表示，可以從六項外部因素來看，包括印太戰略中的地緣政治競爭；經濟犯罪防治；網路安全威脅；製造長鏈帶來的信賴挑戰；國防採購政策程序，以及打造符合美國利益中心的可信賴（Trustworthy）架構。</p> <p>為什麼這麼多人重視CMMC呢？萬幼筠表示，主要是因為供應鏈安全已經是未來地緣政治、經濟發展的主要議題，而以美國為主的生產盟邦，包括準北約關係在內，則涵蓋英國、澳洲、紐西蘭、韓國和日本等國家。</p> <p>也就是說，美國想要建立可相互信賴的西方國家系統，除了傳統的北約盟邦，也要結合非北約的親近盟邦勢力，共同對抗黑暗勢力。萬幼筠說：「美國要打造的供應鏈安全，包括傳統的國家安全、軍事安全，以及經濟競爭。」</p> <p>經歷香港的反送中運動後，美國川普政府就下令攔截並禁用中國華為製造的5G設備和基地臺，之後美國就公布一份5G乾淨網路名單，這也是美國從確保供應鏈安全角度所實施的第一項措施。</p> <p>美國作為臺灣最重要的合作夥伴，在針對供應鏈的安全議題上，如何打造可信賴架構是重要的關鍵，這個架構的重點在於：針對自由世界的國家，創造一個自由競爭但不傷害美國的內容。</p> <p>所以，美國在2019年提出一項計畫，稱之為「網路安全成熟度模型認證」（Cybersecurity Maturity Model Certification，CMMC），這是第一個針對國防產業供應商所制定的網路安全標準，其目的是讓國防承包商和分包商符合相關的認證級別後，才能進入美國國防供應鏈並承包其業務。</p> <p>簡單來說，美國國防部將開始要求國防部的承包商，必須具備網路安全認證，並需依據專案的機密性，取得不同等級的認證，而且，其內容不只規範一線供應商（承包商），也將涵蓋二線等供應商（分包商）。</p> <p><span style="font-size:28px;"><strong>CMMC是一個以國防採購合約管理為核心的供應鏈規範</strong></span></p> <p>面對外界對CMMC的各種不理解，萬幼筠表示，只有真正意識到CMMC不是單純的資安認證，而是基於美國國防採購合約管理（DFARS）開始的認證機制，才能夠真正掌握到CMMC的精髓。</p> <p>也就是說，CMMC的推出是為了解決國防採購合約過程中，供應商可能面對的各種資安威脅所造成的損失，雖然也是一種資安相關的認證，但並不是一個以資安為核心的認證機制。</p> <p>CMMC不只有資安，更必須符合DFARS美國國防採購的規範，像是武器採購的上游是洛克希德馬丁公司，但中、下游供應鏈業者也必須同步納管，絕對不能有中、港、澳的業者參與。</p> <p>所以，法源參考依據是白宮行政命令第14017號、14028號為核心，也必須滿足美國政府-政府與CI（關鍵基礎設施）的資安策略架構NIST CSF 1.0以及NIST CSF 2.0框架；甲方（客戶端／採購端）必須符合NIST SP 800-161規範，以及乙方（供應商端）必須符合NIST SP 800－17X規範。</p> <p>萬幼筠表示，NIST SP 800–171是規範第一級業者使用的標準；但若是臺灣漢翔航空公司的機件，若有機會輸出的，產線可能是第二級或第三級，就要做到NIST SP 800–172或NIST SP 800–172A的規範。其中，SP 800–171是基礎，之後還要做到更合乎採購規範安全，也會因應不同商務需求制定不同安全強度與不同安全規格。</p> <p>國防部採購供應局（OUSDA&S）是CMMC的主責單位，並以國防聯邦採購補充條例（DFARS）開始進行，適用對象包括DIB和OSC等全美30萬家國防契約供應商及其全球供應鏈業者。萬幼筠表示，OSC是指想要進美國供應鏈的企業，即便和美國國防部還沒有生意往來也沒關係，但一旦加入認證體制後，就會變成DIB（美國國防供應鏈基地），而DIB是有一個清單，美國所有的國防採購都會從清單中的供應商選擇，美國初估三十萬家業者。</p> <p>主要保護的標的包括：聯邦合約資訊（FCI）/受控未分類資訊（CUI）。根據國防聯邦採購補充條例（DFARS）針對「受控非機密資訊」控管，必須符合NIST SP 800-171規範；若需要符合第三級驗證，還必須符合NIST SP 800-172。</p> <p>若進一步解釋聯邦合約資訊（FCI），根據美國聯邦採購條例（FAR）第4.1901節的規定，FCI是由政府合約提供或產生的資訊，包括為政府開發或交付產品的產品或服務的內容，屬於政府不公開的資訊，但不包含政府向公眾提供的資訊。</p> <p>受控未分類資訊（CUI），是指政府或承包商代表政府提供或擁有的資訊，雖然不一定需要保密，但若公開將可能帶來潛在風險的情況下，因為具有機敏性，所以有保密的需求，需要做到限制公開或控制相關的資訊傳播。</p> <p>特別是在國家資訊安全防護的需求之下，這些受控未分類資訊（CUI）需要受到更高層級的保護，像是NIST SP 800-171就是聚焦於CUI的安全標準。</p> <p>由於CMMC是以國防採購合約和核心，對於相關國防採購合約驗證等級的認定，都必須由美國國防部國防採購合約管理局（DCMA）釋出；若要對於CUI的範圍認定，除了由國防供應鏈廠商界定自己產出資訊，其餘多由採購合約甲方（國防採購合約管理局）界定。</p> <p>至於商機的部份，主要包含相關的認驗證以及課程推動，其中，認證管理機關CMMC-AB改為Cyber-AB；也打造類似臺灣驗證公司可以參與的生態系，也有獨立評鑑機關（C3PAO），可以提供年度自評；年度自評與第三方評估（驗證）；以及政府主導評估（查驗）等。</p> <p>萬幼筠表示，國防部已評估符合甲方規範的NIST SP 800-171，未來可參考日本及韓國的作法，擴大臺灣參與CMMC的業者數量，他說：「供應鏈資安是未來三年，全世界最熱門的規範。」</p> <p>CMMC是美國國防供應鏈安全的重要參考規範，以往美國國防部在進行機敏系統分類管理委外時，比較偏重單一供應商所提供的人員和系統安全性，但現在更著重上下游供應商（Supply Chain）提供資訊服務與生態圈。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%961-%E5%B0%81%E9%9D%A2P4P5-CMMC.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>CMMC的推出是為了解決國防採購合約過程中，供應商可能面對各種資安威脅造成的損失，雖然也是一種資安認證，但並不是以資安為核心的認證，更必須符合DFARS美國國防採購的規範。</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%963-%E5%B0%81%E9%9D%A2P4P5-CMMC(1).jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>政大兼任助理教授萬幼筠表示，CMMC不是一個單純的資安認證，只有清楚這是個基於美國國防採購合約管理（DFARS）開始的認證機制，才能夠真正掌握到精髓。</strong></span></p> <p><span style="font-size:28px;"><strong>CMMC發展歷程及演進</strong></span></p> <p>美國在川普政府任內，於2020年1月公布CMMC 1.0版，要求所有與國防部承包商或分包商都共同遵守相關規範；到了2020第四季，在試運行CMMC 1.0版後，依等級參照CMMC特有的實作指引，針對原先的第一至五級，提供最多包含171項實作指引。</p> <p>但是，到了2021年11月，美國國防部發佈CMMC 2.0版草案，目的就是要將原先五級的認證等級，進一步簡化等級為第一級～第三級，實作指引改以NIST 800-171和NIST 800-172做為參照依據。</p> <p>在草案發展過程中，相關規範也持續進展，唐從文表示，網路安全成熟度模型認證2.0（CMMC 2.0）草案，從第一級為基礎防護級（Foundational），第二級為進階防護級（Advanced），第三級為專家防護級（Expert），在今年十月後，三級認證則直接以三個等級區分，並不定義基礎、進階或專家防護；在此同時，CMMC的規範內容也與NIST標準保持一致。</p> <p>預計到2023年3至5月，將停止試運行計畫，直接進入立法程序，並直接實施CMMC 2.0制度；預計2026年第三至第四季，也就是2026年財年，CMMC納入國防部採購案的強制性要求。</p> <p>唐從文表示， CMMC 2.0草案的價值在於，可做到保護敏感資訊，可為作戰人員提供支持和保護；透過針對DIB（國防工業基地）提供網路安全標準，可以應對不斷變化的資安威脅；確保問責制，同時最大限度地減少相關業者遵守國防部規定的障礙；可進一步延續網路安全和網路彈性的協作文化；並能通過高專業和道德標準維護公眾信任。</p> <p>針對推廣CMMC 2.0以及對臺灣國防產業的觀察與建議，唐從文表示，國防工業基礎的網路安全是國防供應鏈的骨幹與樞紐；CMMC未來的發展將會對國防產業結構造成改變；必須從國防產業的角度出發，建立符合現況與國情的國防產業協調機制；規劃臺灣專有的資安防護整體供應鏈，並要適當調修法規；可以參考美軍合約管理精神，建立相對合約管理單位，減少非密資料揭露；最後，建置必要的供應鏈風險管理系統，由於CMMC 還在發展中，並不是單純滿足NIST 800-171和NIST 800-172的規範就可以取代。</p> <p>臺灣製造產業多屬中小型企業，具有精、巧、強的特色，多年來在產業自我的努力下，舉凡在加工技術、零組件製造、關鍵元件開發及化工應用等方面，已經有許多成功的案例進入美國國防供應鏈體系，像是千附精密公司2017年和洛克希德馬丁公司合作，該公司總經理賴明村表示，先前已經通過第一版CMMC的認證，希望在新版的規範中，可以取得第二級認證，最終版本還沒有確定，前段過程中，從訓練課程到顧問稽核驗證等，路還很長，還需要很多單位包括政府的支持。</p> <p>千附精密身為臺灣早期就投入取得CMMC認證的企業，賴明村坦言，剛開始是因為有來自客戶的壓力，但後來透過全公司管理階層全心投入，加上客戶端的稽核，以及內部軟硬體建置，人員教育訓練等，他說，管理階層的決心才是順利取得認證的關鍵。</p> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>CMMC 2.0模型架構與評估要求</strong></span></span></p> <p><strong>CMMC 2.0版草案從原先五級簡化為三級，將相關的做法與NIST 800-171和NIST 800-172標準規範達到一致，保護的標的則以聯邦合約資訊（FCI）與受控未分類資訊（CUI）為主。從今年十月開始，也取消原先第一級至第三級界定的基礎、進階到專家的定義。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%964(%E4%B8%8A)-%E5%B0%81%E9%9D%A2P4P5-CMMC.png" style="width: 591px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%964(%E4%B8%8B)-%E5%B0%81%E9%9D%A2P4P5-CMMC-2.png" style="width: 600px;" /></p> <p><span style="color:#FFFFFF;"><span style="font-size:18px;"><strong><span style="background-color:#3399ff;"><a href="https://www.ithome.com.tw/article/154533" target="_blank"> </a></span></strong></span></span><span style="font-size:18px;"><strong><span style="background-color:#3399ff;"><a href="https://www.ithome.com.tw/article/154533" target="_blank"><span style="color:#FFFFFF;">相關報導</span></a><span style="color:#FFFFFF;"> </span></span></strong></span> <a href="https://www.ithome.com.tw/article/154533" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1106-feng_mian_gu_shi_open-yan_fen_-960x420_kao_bei_.jpg?itok=jPRCcQ0Y" style="width: 550px;" /></a></p> </div></div></div>
2022/12/5 00:00作者黃彥棻https://www.ithome.com.tw/news/154532
千億國防產值，CMMC規範成唯一入場券
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1106-feng_mian_gu_shi_open-yan_fen_-960x420_kao_bei_.jpg?itok=jPRCcQ0Y" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應國際局勢變化，美國思考要與臺灣聯合生產武器，國防產值初估破千億，但如何保護機敏軍事武器資料是關鍵。美國國防部推出網路安全成熟度模型認證（CMMC）2.0版草案，是以國防採購為核心，確保所有資訊流的安全性，預計2023年3月～5月推出正式版。臺灣包括電機電子和國防業者若想分食國防產業大餅，取得美國CMMC 2.0規範成唯一正解。</p> <p> </p> </div></div></div>
2022/12/5 00:00作者黃彥棻https://www.ithome.com.tw/article/154533
何謂軟體工程？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/wang_ye_960zhu_tu_-itshu_zhai_-googlede_ruan_ti_gong_cheng_zhi_dao_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>我們在程式設計（programming）與軟體工程（software engineering）之間看到三個關鍵區別：<strong>時間</strong>、<strong>規模</strong>以及<strong>權衡</strong>。</p> <p>在軟體專案中，工程師需要更加注意時間的流逝以及最終的需求變更。</p> <p>在軟體工程組織中，我們需要更加關注規模（scale）和效率（efficiency），無論是對我們生產的軟體，還是對生產軟體的組織。</p> <p>最後，做為軟體工程師，我們被要求做出更複雜的決策，其結果風險更大，因為這往往是基於對時間和成長不精確的估計。</p> <p>在Google內部，我們有時會說：「軟體工程是隨著時間的推移不斷整合的程式設計。」程式設計無疑是軟體工程的重要部分：畢竟，程式設計是你首先產生新軟體的方式。如果你接受這種區別，那麼顯然，我們可能需要在程式設計任務（開發）和軟體工程任務（開發、修改、維護）之間進行劃分。時間的加入，為程式設計添加了一個重要的維度。正如立方體不是正方形，距離不是速度。軟體工程不是程式設計。</p> <p>觀察時間對程式之影響的一種方法是，思考這樣一個問題：「你的程式碼的預期壽命（life span）是多久？」這個問題的各個合理答案大約可以相差到10萬倍。程式碼存活幾分鐘是合理的，存活幾十年的程式碼一樣是合理的。一般來說，位於該光譜短端（short end）的程式碼將不受時間的影響。對於效用只有一個小時的程式，你不太可能需要去適應（adapt）其背後之程式庫（library）、作業系統（OS）、硬體或程式語言的新版本。這些短命（short-lived）的系統實際上「只是」一個程式設計問題，就像是立方體在一個維度上被壓縮得很厲害時就成為正方形一樣。當我們把時間擴大到允許更長的壽命時，變化就會變得更為重要。在十年或更多的時間裡，大多數程式的依賴關係（dependency），無論是隱性的還是顯性的，都可能發生變化。這種認識是我們區分軟體工程和程式設計的根源。</p> <p>這種區別是我們所謂的軟體的「可持續性」（sustainability）之核心。如果在你的軟體的預期壽命內，你能夠出於技術（technical）或業務（business）的原因，對任何有價值的變化做出反應，則你的專案是「可持續的」（sustainable）。重要的是，我們只看重能力──你可能選擇不進行某項升級，無論是因為缺乏價值，還是因為其他優先事項。當你完全無法對底層技術或產品方向做出反應時，你就是在下一個高風險的賭注，希望這種變化永遠不會成為關鍵。對於短期的專案來說，這可能是一個安全的賭注。但是在幾十年的時間裡，這可能並不安全。</p> <p>另一種看待軟體工程的方法是考慮規模（scale）。涉及多少人？隨著時間的推移，他們在開發和維護中扮演什麼角色？程式設計任務通常是個人創造的行為，但是軟體工程任務是團隊的工作。早期定義軟體工程的嘗試為此觀點提供了一個很好的定義：『多人開發的多版本程式』（The multiperson development of multiversion programs）。這說明了軟體工程與程式設計的區別是時間與人員的區別。團隊協作帶來了新的問題，但也提供了比任何單個程式員更多的潛力來營運有價值的系統。</p> <p>團隊組織、專案組成以及軟體專案的政策和實施方法都主導著軟體工程複雜性這一方面。這些問題是規模固有的：隨著組織的成長和專案的擴展，它在生產軟體方面是否會變得更有效率？我們的開發流程是隨著我們的成長變得更有效率，還是我們的版本控制政策和測試策略會按比例增加我們的成本？從軟體工程早期開始，人們就一直在討論關於溝通（communication）和人員擴展（human scaling）的規模問題（scale issues），這可追朔到《人月神話》（Mythical Man Month）。這樣的規模問題通常是政策問題，也是軟體可持續發展的根本問題：重複進行我們需要做的事情，成本有多少？</p> <p>我們也可以說，軟體工程與程式設計的不同之處在於需要做出決策的複雜性及其利害關係。在軟體工程中，我們經常被迫在多條前進道路之間做權衡，有時風險很大，有時價值指標（value metrics）並不完善。軟體工程師或軟體工程領導者的工作目標是實現組織、產品和開發工作流程的可持續性（sustainability）和擴展成本（scaling costs）管理。考慮到這些問題，評估你的權衡並做出合理的決定。</p> <p>我們有時可能會推延維護方面的變更，或甚至會接受那些擴展性不好的政策，因為我們知道，我們將需要重新審視這些決策。這些選擇應該明確和清楚地說明推延的成本。</p> <p>在軟體工程中，很少有一個萬能的（one-size-fits-all）解決方案，本書也是如此。對於「軟體的使用壽命是多久」，合理的答案是100,000（十萬）的因數；對於「你的組織中有多少工程師」的範圍，可能是10,000（一萬）的因數；而對於「你的專案有多少運算資源可用」，誰知道是多少呢；Google的經驗可能與你的經驗不符。</p> <p>在本書中，我們的目的是介紹我們在軟體建構和維護中發現的行之有效的方法，我們預期這些軟體能夠持續數十年，擁有數以萬計的工程師，以及跨越世界的運算資源。我們發現，在這種規模下，大多數必要的實施方法也適用於較小規模的工作：考慮到這是一份關於工程生態系統（engineering ecosystem）的報告，我們認為隨著規模的擴大，這種生態系統可能會有不錯的效果。在某些地方，超大的規模是有固定的成本，因此如果不用支付額外的費用，我們會很樂意的。我們將此視為一個警訊。</p> <p>希望如果你的組織發展到需要擔心這些成本的程度時，你可以找到一個更好的答案。</p> <p><span style="font-size:28px;"><strong>海勒姆法則</strong></span></p> <p>如果你要維護供其他工程師使用的專案，那麼關於「它是有效的」與「它是可維護的」的最重要教訓是所謂的海勒姆法則（Hyrum's Law）：</p> <p><span style="color:#B22222;"><span style="font-size:18px;"><strong>如果有足夠的API用戶，那麼你在契約中的承諾就無關緊要：你的系統所有可觀察到的行為都會被某個人所依賴。</strong></span></span></p> <p>根據我們的經驗，這個原則（axiom）是任何關於軟體隨時間變化之討論中的主導因素（dominant factor）。從概念上講，它類似於熵（entropy）：在討論隨時間變化和維持時，必須注意到海勒姆法則，正如討論效率和熱力學時，必須注意到熵一樣。僅僅因為熵永遠不會減少，並不意味著，我們不應該嘗試提高效率。僅僅因維護軟體時適用海勒姆法則，並不意味著，我們不能未雨綢繆或者不能更好地瞭解它。儘管我們可以減輕它的影響，但我們知道，它永遠無法根除。</p> <p>海勒姆法則代表了這樣的實務知識（practical knowledge）：即使有最好的意圖、最好的工程師以及程式碼審查（code review）方法，我們也不能假設你會完全遵守已發布的契約或可靠的最佳實施方法（best practices）。做為一個API擁有者，你可以透過清楚瞭解介面承諾來獲得一定的靈活性和自由度，但實際上，一個給定之變更的複雜性和困難度還取決於用戶發現API的某些可觀察到之行為的有用程度。如果用戶不能倚賴這樣的東西，你的API將很容易變更。如果有足夠的時間和足夠的用戶，那麼即使是無害的變更也會破壞一些東西；你對這些變更的價值分析必須將調查、確定和解決這些問題的困難度納入其中。<span style="color:#696969;"><strong>（本文摘錄整理自《Google的軟體工程之道》第一章，碁峰資訊提供）</strong></span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%96-IT%E6%9B%B8%E6%91%98-Google%E7%9A%84%E8%BB%9F%E9%AB%94%E5%B7%A5%E7%A8%8B%E4%B9%8B%E9%81%93.png" style="width: 300px;" /></strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span></strong></span> <span style="color:#3399ff;"><strong>Google的軟體工程之道：從程式設計經驗中吸取教訓</strong></span></p> <p>Titus Winters, Tom Manshreck, Hyrum Wright／著；蔣大偉／譯</p> <p>歐萊禮出版</p> <p>定價：880元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_Google%E8%BB%9F%E9%AB%94%E5%B7%A5%E7%A8%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Titus%20Winters.png" style="width: 150px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Titus Winters</span></span><br /> <strong>Titus Winters</strong><br /> Titus Winters是Google高級軟體工程師。他是Google C++程式碼基底的程式庫負責人：每月有數千名不同的工程師編輯2.5億列的程式碼。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_Google%E8%BB%9F%E9%AB%94%E5%B7%A5%E7%A8%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Tom%20Manshreck.png" style="width: 150px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Tom Manshreck</span></span><br /> <strong>Tom Manshreck</strong><br /> Tom Manshreck是Google軟體工程部技術作家。他是C++程式庫團隊的成員，負責開發文件、開設培訓課程，以及記錄Google的開源C++程式碼Abseil。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_Google%E8%BB%9F%E9%AB%94%E5%B7%A5%E7%A8%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Hyrum%20Wright.png" style="width: 133px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Hyrum Wright</span></span><br /> <strong>Hyrum Wright</strong><br /> Hyrum Wright是Google軟體工程師，負責領導Google的auton自動變更工具組。Hyrum對Google之程式碼基底進行的個人編輯比公司歷史上任何其他工程師都多。</p> </div></div></div>
2022/12/4 00:00未署名https://www.ithome.com.tw/article/154529
德國認定學校使用Microsoft 365違法，微軟反駁
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://datenschutzkonferenz-online.de/media/dskb/2022_24_11_festlegung_MS365_zusammenfassung.pdf" target="_blank">德國資料保護組織DSK上周發布報告指出</a>，微軟的Microsoft 365依然違反歐盟《通用資料保護規則》（GDPR）隱私法令，因此不適用於德國的公家機關與學校，<a href="https://news.microsoft.com/de-de/microsoft-erfuellt-und-uebertrifft-europaeische-datenschutzgesetze/" target="_blank">而微軟隨後提出反駁</a>，指出微軟符合、甚至超越歐盟的隱私法令。</p> <p>這兩年來，DSK持續與微軟合作，共同解決Microsoft 365在歐盟可能面臨的法律問題，特別是與隱私有關的GDPR法令，但現在DSK依然認為Microsoft 365與法不容。</p> <p>DSK主要調查微軟服務所蒐集與使用的用戶資料，指出微軟並未揭露操作細節，也未公開哪些操作是替客戶執行，而哪些又是因應自身目的而採用，由於缺乏透明度，使得監管機關無法從外部準確評估微軟所蒐集的資料；亦說Microsoft 365中的許多服務要求微軟存取未加密的非匿名資料。</p> <p>另一方面，微軟與DSK的看法截然不同，認為Microsoft 365不僅符合、而且經常超越歐盟嚴苛資料保護法令的要求，不管是德國或整個歐盟的客戶都可毫不遲疑地以合法及安全的方式繼續使用Microsoft 365。</p> <p><a href="https://news.microsoft.com/wp-content/uploads/prod/sites/40/2022/11/2022.11_Stellungnahme-MS-zu-DSK_25NOV2022_FINAL.pdf" target="_blank">微軟指出</a>，微軟不僅已依照DSK的建議改善了資料處理協議，提供透明化且詳細的報告，且歐盟大多數的客戶資料都存放在歐盟的資料中心，其資料疆界很快就要從公家機關延伸到私人企業，大幅減少流出歐盟的資料。</p> <p>外電分析，雙方最大的歧見應該是源自於13歲以下的使用者，因為GDPR認為該年齡層的使用者並不具備可同意資料蒐集的能力，但受到學校歡迎的Microsoft 365並未滿足此一規定。</p> </div></div></div>
2022/12/2 21:20作者陳曉莉https://www.ithome.com.tw/news/154545
Android記憶體安全漏洞數量大幅下降，Rust程式碼比例上升成關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去十年，記憶體漏洞占整個產業漏洞的65％，但<a href="https://security.googleblog.com/2022/12/memory-safe-languages-in-android-13.html">Google</a>發現從2019年到2022年，Android的記憶體漏洞年度總數，從223個下降到了85個，而有這項安全性進展，Google歸因於Android的記憶體安全程式碼比例增加。</p> <p>Google過去持續投資工具提高C/C++程式碼的安全性，之前幾個版本，Google在Android裝置上引入Scudo強化分配器、HWASAN、GWP-ASAN以及KFENCE，同時增加現有程式碼庫模糊測試的覆蓋率，運用這些工具發現更多C/C++程式碼漏洞，並減少未來新程式碼所包含的漏洞。</p> <p>但即便Google在C/C++程式碼上做了這些努力，但他們認為這仍無法解釋Android漏洞巨幅減少的變化，而Google在審視開發策略後，認為Android從記憶體不安全語言持續轉移到記憶體安全語言，是這個現象的主要原因。</p> <p>從Android 12開始，Google就在Android支援Rust程式語言，作為C/C++記憶體安全替代方案，而從那時起，Google也持續擴展Android開源專案（AOSP）中的Rust體驗和使用。Google表示，他們的目標並不是把現有的C/C++程式碼都轉換成為Rust，而是在新的程式碼使用記憶體安全語言開發。</p> <p>在Android 13中，有約21％的新原生碼都是以Rust開發，在AOSP中已經有大約150萬行的Rust程式碼，涵蓋各種功能和元件，包括Keystore2、UWB堆疊、DNS-over-HTTP3、Android虛擬化框架等元件和開源相依項目。這些都是需要系統語言開發的低階元件，如果沒有Rust，Google就必須使用C++來實作。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%202022-11-30%2011_13_29%20PM.png" style="width: 580px; height: 316px;" /></p> <p>到目前為止，在Android的Rust程式碼中發現的記憶體漏洞為零，Google提到，這是一個重要發現，因為過去Android漏洞密度大於1/kLOC，也就是說，每一千行程式碼至少會發現一個漏洞，與歷史資料相比，Rust可能已經阻擋數百個漏洞進入產品環境。</p> <p>使用C/C++開發的功能不如預想中的運作迅速，Google提到，使用非記憶體安全語言，反而需要額外添加安全措施，而這些措施會讓程式執行的速度更慢。非記憶體安全的程式碼通常意味著開發者必須在安全性和效能之間權衡，像是添加沙盒、執行時緩解措施或是硬體保護等，都對程式碼的大小、記憶體和效能產生負面影響。</p> <p>Google提到，在Android中使用Rust，能以更少的妥協最佳化安全性和系統健康。像是使用新的UWB堆疊能夠節省數MB的記憶體，並以現存的程序中執行避免IPC延遲，又或是新的DNS-over-HTTP3實作，能夠以安全的方法，使用更少的執行緒處理相同的工作量。</p> <p>要從C/C++移植到Rust並不是一件簡單的事，Google持續增加Rust在Android平臺上的使用，為了實現更高的安全性和穩定性等目標，Google需要在更多原生碼中使用Rust，目前他們正在以Rust實作使用者空間HAL，並且已經將Android虛擬化框架中的虛擬機器韌體移植到Rust，也隨著Linux 6.1對Rust的支援，便能夠從核心驅動程式開始，對核心提供記憶體安全。</p> </div></div></div>
2022/12/2 21:26作者李建興https://www.ithome.com.tw/news/154539
AWS發布統一軟體開發服務CodeCatalyst，簡化專案創建、維護和協作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS針對開發團隊推出了統一軟體開發和交付服務<a href="https://aws.amazon.com/tw/blogs/aws/announcing-amazon-codecatalyst-preview-a-unified-software-development-service/">Amazon CodeCatalyst</a>，這讓開發團隊可以輕鬆地規畫、開發、協作、建置和交付應用程式，減少開發生命周期的摩擦。</p> <p>當一項新專案啟動時，有許多決定與工作需要執行，這通常是一個繁瑣的過程，開發團隊需要更新環境工具、函式庫和程式開發框架，並且設置程式碼儲存庫與共享工具，還需要配置建構工作管線和自動化工作流程，甚至是創建測試環境等。需要解決的問題不只這些，開發團隊還需要解決專案中的上下文切換和相依關係衝突等問題。</p> <p>AWS提到，這些開發長久以來存在的問題，到了現代化開發變得更加複雜，因為需要選擇和配置更多的框架和函式庫，還需要將雲端服務、持續整合和交付工作管線等選擇納入考量，原本開發人員可以在一臺機器管理的東西，成為了龐大且複雜，需要不停變動的決策和權衡。</p> <p>AWS開發Amazon CodeCatalyst試圖解決這些問題，CodeCatalyst中的專案藍圖（Project Blueprints），不只可以替專案建構初始程式碼，透過參數化應用程式藍圖，用戶可以在數分鐘內設置共享資源，來支援應用程式開發周期和團隊協作。專案藍圖所創建的資源包含程式碼儲存庫、完整的範例程式碼，和熱門應用程式模式的AWS服務配置等，在預設情況下，專案藍圖會遵循AWS最佳實踐。</p> <p>專案藍圖會配置專案資源和整合工具，像是CI/CD工作管線和AWS資源來託管應用程式，用戶按下部署按鈕，在幾分鐘內就可以執行範例程式碼，並直接開始編寫特定業務邏輯程式碼。目前用戶可以選擇的程式語言有Typescript、Python、Java、.NET、Javascript，以及React、Angular和Vue開發框架，之後AWS還會逐漸增加可選項目。</p> <p>CodeCatalyst利用devfile來定義雲端按需開發環境配置，AWS提到，這能解決開發團隊常遇到的環境飄移問題，避免像是開發成員環境與其他人不一致，或是測試環境略有不同等狀況。CodeCatalyst目前支援四個可調整大小的執行個體選項，分別是2、4、8或16個vCPU，devfile定義和配置特定專案的程式開發、測試和除錯需要的資源，減少開發團隊花費在創建和維護環境的時間。</p> <p>用戶可以選擇在CodeCatalyst提供的雲端開發環境AWS Cloud9開始工作，或是在本地端電腦上使用JetBrains IntelliJ IDEA Ultimate、PyCharm Pro、GoLand和Visual Studio Code等IDE。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/codecatalyst_intellij.png" style="width: 580px;" /></p> <p>Amazon CodeCatalyst作為統一軟體開發服務，目標不只是讓開發人員更簡單地在AWS上建置和交付應用程式，還讓各級開發人員能夠共享專案空間，在唯一事實來源進行協作，用戶可以透過電子郵件邀請開發人員加入協作，受邀者能夠看到完整的專案上下文，並使用專案開發環境立刻開始工作，不再需要花費時間準備工具、函式庫和各種前置作業。</p> </div></div></div>
2022/12/2 21:34作者李建興https://www.ithome.com.tw/news/154540
國泰醫院打造ICD-10疾病編碼推薦，AUC達0.99已在6科試行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國泰綜合醫院在今年度醫療科技展中，揭露一款ICD-10疾病分類碼推薦AI系統，以2015年至2018年的健保資料庫與國泰醫院內部資料訓練而成，能在醫師填寫出院病摘時，根據病人病歷資訊和DRG健保支付規範，從上萬個ICD-10編碼中推薦最合適的近10項疾病分類碼，供醫師選擇。目前，該系統的分類效能指標AUC高達0.99（最佳值為1.0），國泰醫院也已在6個科別試行，將視成效來擴大使用。</p> <p><strong><span style="font-size:24px;">痛點：編碼分類得耗費大量人力和時間成本</span></strong></p> <p>國泰綜合醫院院長室副主任郭明娟是開發這套系統的關鍵人物之一，她指出，一般醫師填寫出院病摘時，也得填寫ICD-10疾病分類碼，而ICD-10是WHO所定義的疾病分類標準，用來描述病人的疾病、症狀、異常等狀況，其中，光ICD-10-CM就有6萬8千個編碼，比前一版版多了5萬5千個，分類難度大增。而醫師因工作繁忙，可能只填寫印象中較熟悉的編碼，但「也許還有更好、更貼切的選擇，」她說。</p> <p>這不只是國泰醫院面臨的問題，而是全臺醫院都會面臨的難題。也因此，一般醫院的做法是，由另一個專門單位，來核對醫師填寫的出院病摘ICD-10編碼。在國泰醫院，這個單位就是疾分人員，他們除了要找出最貼近病歷描述的ICD-10編碼，也得考慮後續申報規定（也就是DRG制度），再來回與醫師溝通，取得共識後再送出資料至健保署。</p> <p>但醫院每天都得處理大量病人，疾分人員還得來回與醫師溝通，這就花費大量人力與時間在確認疾病編碼分類上。</p> <p>於是，為解決問題，國泰醫院在一次因緣際會下，與一家新創公司討論，要開發一套AI模型，來在醫師填寫出院病摘時，就先推薦最適合的編碼，節省後續的人工作業成本、更專注於重大醫療案件。</p> <p><span style="font-size:24px;"><strong>以健保大數據和國泰醫院資料優化模型，2年開發微調、AUC達0.99</strong></span></p> <p>於是，將近2年前，雙方開始開發這套系統。他們先以2015年至2018年的健保資料庫資料，來訓練一套推薦模型，這套模型會根據病歷資料，如病歷（病人特徵、過去病史）和病程記錄（如用藥、手術資料、處置資訊和檢驗檢查等），以及DRG規範，來推薦最適合的ICD-10疾病編碼。</p> <p>不過，光有健保資料還不夠。為了更符合國泰醫院的需求，國泰醫院也將院內去識別化的資料，用來優化模型，來更貼近實務需求。但也由於醫院對資料的保護，疫情間，雙方暫緩對該模型開發，疫情趨緩後才繼續執行。經過不斷的微調和優化，模型AUC最終也達到0.99。</p> <p>在系統使用上，則由國泰醫院資訊部來介接，將模型內嵌至醫療資訊系統（HIS）中，讓醫師在同一個頁面、不必切換系統，就能點擊查看近10項推薦編碼和DRG計算值（如下圖）。若合理，就能點選帶入出院病摘。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%8B%E6%B3%B0%E6%8E%A8%E8%96%A6%E7%A2%BC.JPG" /></p> <p>但醫師要是有疑慮，也可查看自動生成的報告，該報告會解釋AI推薦的編碼，是根據哪些病歷資料產出（如下圖）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%8B%E6%B3%B0%E9%86%AB%E9%99%A2%E5%8E%9F%E5%9B%A0%E8%A7%A3%E9%87%8B.JPG" /></p> <p>若醫師認為推薦編碼都不符合事實，也可回報系統、給出原因，後續再以這些回饋資料重新訓練模型。</p> <p>目前，國泰醫院已在院內6個科別試行這套系統，未來將視成效，來決定是否擴大採用。</p> </div></div></div>
2022/12/2 15:42作者王若樸https://www.ithome.com.tw/news/154537
【資安日報】2022年12月2日，Redis伺服器漏洞遭到惡意軟體Redigo鎖定、刑事局破獲投資詐騙簡訊嫌犯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在專門針對Redis伺服器的攻擊行動裡，駭客看準管理者可能不會盡快安裝漏洞修補程式的情況，而利用2月揭露的重大漏洞CVE-2022-0543來入侵這類系統。但駭客的目的為何？研究人員猜測應該是將其用於挖礦或發動DDoS攻擊。</p> <p>我國簡訊詐騙攻擊頻傳，但攻擊者竟為了增加成功行騙的機率，竟透過人工智慧語音誘使民眾上當。內政部刑事警察局近日破獲投資簡訊的詐騙攻擊，駭客就先針對目標撥打電話，然後透過AI分析後再決定是否向其發送簡訊。</p> <p>提供廣播服務的業者也可能成為駭客入侵汽車的管道！有研究人員發現超過十個廠牌的車輛可被以相同手法遠端存取，經調查後是廣播服務業者的系統存在漏洞所致。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://blog.aquasec.com/redigo-redis-backdoor-malware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Redis伺服器重大漏洞遭到惡意軟體Redigo鎖定</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Picture7-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Picture7-1.png" style="width: 300px; float: right;" /></a>資安業者Aqua Security揭露名為Redigo的惡意軟體，駭客將其用於鎖定今年2月得到修補的漏洞CVE-2022-0543（CVSS風險評分為10分），攻擊曝露此漏洞的Redis伺服器。駭客先是在網路上找尋開放6379埠的Redis伺服器，然後對其掃描是否修補上述漏洞，若發現對方未修補，會下載相關的攻擊模組並部署到這些有弱點的伺服器。</p> <p>研究人員推測，駭客的目標是將這些Redis伺服器加入殭屍網路，然後用於挖礦，或是執行DDoS攻擊，但不排除駭客可能也會竊取資料庫的內容。</p> <h3><a href="https://cybernews.com/security/encsecurity-leaked-sensitive-data/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Sony、Lexar、Sandisk儲存裝置的加密解決方案供應商曝露其配置與憑證超過一年</span></strong></a></h3> <p>根據資安新聞網站Cybernews的報導，他們的研究團隊發現加密解決方案業者ENC Security的伺服器，自2021年5月27日至2022年11月9日，因協力廠商不當設定而暴露在網際網路上超過一年，此伺服器存放了業務部分的SMTP郵件伺服器帳密、市場行銷郵件業者Mailchimps的API金鑰、HMAC訊息驗證碼，以及PEM檔案格式的公、私鑰。由於Sony、Lexar、Sandisk等廠牌在其儲存裝置採用該公司的解決方案，這樣的情況很可能導致上述設備採用的防護措施受到波及。</p> <p>對此，ENC Security表示，上述情形疑似外部供應商的錯誤配置，導致該公司的相關配置與憑證，約波及0.7%用戶，但目前尚未發現相關資料遭到異常存取的跡象。</p> <h3><a href="https://blog.cyble.com/2022/12/01/ducklogs-new-malware-strain-spotted-in-the-wild/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊密軟體DuckLogs以訂閱服務提供，並能選用上百種應用程式的攻擊模組</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-5-DuckLogs-web-panel-dashboard.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-5-DuckLogs-web-panel-dashboard.jpg" style="width: 300px; float: right;" /></a>資安業者Cyble揭露名為DuckLogs的竊密軟體，開發者以訂閱服務的型式提供給買家運用，標榜能竊取上百種應用程式的資料，如瀏覽器、收信軟體、加密貨幣錢包、VPN用戶端軟體等，並能遠端控制受害電腦，以及側錄鍵盤輸入的內容等功能。此外，該竊密軟體亦具備繞過Windows內建防護機制的能力，如：使用者帳號控制（UAC）、Microsoft Defender防毒軟體等。</p> <p>賣家亦提供網頁管理介面供駭客管理竊得的資料，以及自訂所需功能的DuckLogs。該惡意軟體服務宣稱已有超過2千個駭客訂閱，並有6千臺電腦受害。</p> <h3><a href="https://www.welivesecurity.com/2022/11/30/whos-swimming-south-korean-waters-meet-scarcrufts-dolphin/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客組織利用惡意軟體Dolphin發動攻擊，並濫用Google Drive進行遙控</span></strong></a></h3> <p>資安業者ESET揭露北韓駭客組織APT37近期的攻擊行動，鎖定專門報導北韓的南韓報社發動水坑式攻擊。</p> <p>駭客利用名為Bluelight的偵察工具進行情蒐，然後於受害電腦執行Python惡意程式載入器，啟動Dolphin的後門程式，並濫用Google Drive架設C2中繼站，以便進行遠端控制及回傳竊得的資料，駭客亦竄改受害者Google帳號的配置，降低其安全層級。此外，該後門程式不光針對個人電腦而來，企圖透過Windows可攜式裝置（WPD）的API，入侵受害者的手機。</p> <h3><a href="https://www.zimperium.com/blog/schoolyard-bully-trojan-facebook-credential-stealer/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">安卓木馬Schoolyard Bully竊取臉書帳號</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-2-Facebook-Webview-.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-2-Facebook-Webview-.jpg" style="width: 300px; float: right;" /></a>資安業者Zimperium揭露鎖定學生而來的安卓惡意軟體Schoolyard Bully，駭客將此惡意程式包裝成讀書或休閒娛樂的App，橫向71個國家、感染30萬臺手機，但大部分受害者在越南，目的是竊取臉書帳號。</p> <p>研究人員指出，這個惡意軟體會透過WebView元件開啟臉書登入網頁，但在載入網頁的同時注入惡意JavaScript程式碼，一旦使用者輸入帳密資料就有可能遭到截取。為了埋藏攻擊意圖，該惡意軟體也濫用作業系統內建的程式庫來隱匿惡意程式碼，而有可能逃過資安系統的偵測。</p> <h3><a href="https://lookout.com/blog/predatory-loan-apps"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">數百款貸款App鎖定急需用錢的人，從手機竊密並要求高額利息與費用</span></strong></a></h3> <p>資安業者Lookout揭露針對急需貸款的手機用戶攻擊行動，駭客於Google Play市集與蘋果App Store分別上傳了251款、35款借款App，針對印度、哥倫比亞、墨西哥、奈及利亞、泰國、菲律賓、烏干達用戶而來，這些App總共被下載1,500萬次，Google與蘋果獲報後已全數下架。</p> <p>研究人員指出，這些App在使用者安裝後，就會要求能存取通訊錄、撥打電話、讀取照片及影片等權限，否則將無法申請貸款，一旦使用者照做，雖然有可能收到部分核可的款項，但此時駭客會調高貸款利率，或是要求支付額外的手續費，有些受害者則是遇到還款期限從180天變成只有8天，並收取高額利息與罰款；也有受害者面臨駭客將手機內的圖片廣泛發給聯絡人。</p> <h3><a href="https://www.cna.com.tw/news/asoc/202212010236.aspx"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">刑事局破獲投資詐騙簡訊嫌犯，駭客透過AI語音假冒金融業者客服</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/316809621_508602334630687_6317544448481565120_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/316809621_508602334630687_6317544448481565120_n.jpg" style="width: 300px; float: right;" /></a>內政部警政署刑事警察局於12月1日宣布破獲利用AI人工智慧找尋下手目標的詐騙簡訊攻擊。居住於高雄市的40歲黃姓男子、28歲蘇姓男子涉嫌與詐騙集團合作，假冒知名金融控股公司或投顧業者的名義，濫發詐騙簡訊，並使用AI語音假冒投資客服人員，為增加得逞的機率，這些嫌犯先撥打電話並分析攻擊目標的投資意願，再行發送簡訊，引誘投資人加入特定Line群組，至少有40人受害、詐騙金額約1億元。</p> <p>警方指出，黃男光是今年1至8月繳給電信公司的簡訊費用高達1億元，平均每月發出600多萬則。全案訊問後依詐欺罪嫌將黃男等2人移送高雄地檢署偵辦。</p> <h3><a href="https://www.ithome.com.tw/news/154538"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">麗臺證實遭遇勒索軟體攻擊</span></strong></a></h3> <p>12月1日下午，以繪圖卡、工作站等硬體設備聞名的上市公司麗臺科技，在證交所揭露遭遇資安事件，目前受影響系統皆陸續回覆運作，不影響公司生產及營運，而我們也於該公司確認，這次事件是勒索軟體攻擊所導致。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://gizmodo.com/sirius-xm-bug-honda-nissan-acura-hack-1849836987"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">數位廣播服務供應商Sirius XM漏洞成為駭客入侵汽車的管道</span></strong></a></h3> <p>資安研究員Sam Curry揭露可遠端解鎖、發動、存取十餘個廠牌汽車的漏洞，這些汽車的共通點，就是其車載資訊系統採用了Sirius XM衛星廣播服務，來提供用戶各式的談話節目或是播客內容。研究人員指出，該廣播服務廣泛受到Acura、BMW、Honda、Hyundai、Infiniti、Jaguar、Land Rover、Lexus、Nissan、Subaru，以及Toyota等品牌汽車採用，且不光是新車，中古車也有接近半數導入此廣播服務。此漏洞與身分驗證有關，攻擊者一旦得知車輛的識別碼（VIN），就能對汽車上下其手，並有機會得知車主身分。</p> <p>針對這樣的漏洞問題，Sirius XM向科技新聞網站Gizmodo透露，獲報後24小時內已完成修補。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://udn.com/news/story/7321/6803820"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">軟性銅箔基板製造商台虹科技副總涉及竊取營業秘密，並與中國廠商私下談合作</span></span></strong></a></p> <p><a href="https://www.securityweek.com/chrome-108-patches-high-severity-memory-safety-bugs"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google發布Chrome 108，修補高風險記憶體漏洞</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/nvidia-releases-gpu-driver-update-to-fix-29-security-flaws/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Nvidia修補GPU驅動程式29個漏洞</span></span></strong></a></p> <p><a href="https://thehackernews.com/2022/11/french-electricity-provider-fined-for.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">法國電力供應商違反GDPR受罰，起因是採用MD5演算法存放使用者密碼</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/keralty-ransomware-attack-impacts-colombias-health-care-system/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">跨國醫療集團Keralty遭到勒索軟體RansomHouse攻擊，影響哥倫比亞醫院運作</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154480"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">AWS端到端加密企業即時通訊解決方案Wickr正式上線</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154518">【2022年12月1日】駭客組織Lilac Wolverine發動大規模禮物卡攻擊、中國駭客利用USB裝置攻擊菲律賓組織</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154493">【2022年11月30日】駭客透過抖音短片散布竊密程式WASP、未修補已知漏洞的Fortinet資安設備網址清單遭到兜售</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154485">【2022年11月29日】 Dell、HP、聯想設備韌體使用老舊版本的OpenSSL、推特網站漏洞恐有更多資料外流</a></strong></strong></strong></p> </div></div></div>
2022/12/2 17:42作者周峻佑https://www.ithome.com.tw/news/154541
麗臺遭遇勒索軟體攻擊，本週第二起上市公司發布資安事件重大訊息
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣又有電子產業遭遇網路攻擊，在12月1日下午五時左右，國內繪圖卡研發製造廠商麗臺科技（Leadtek）發布公告，說明遭駭客網路攻擊，有內部資訊系統受影響，已啟動備援作業，受影響系統陸續回覆運作。目前麗臺也已經證實，這是事件是遭受勒索軟體攻擊。</p> <p>值得關注的是，由於<a href="https://www.ithome.com.tw/news/154511">11月29日（周二）上市公司雄獅旅遊才發生資安事件</a>，並向消費者提醒慎防詐騙，相隔僅兩天，上市電子周邊製造業者麗臺也公告發生資安事故，等於一週內就有兩起上市公司的資安事件重大訊息發布。</p> <p>關於麗臺科技，該公司屬電腦及週邊設備業，以繪圖卡設計與製造最為知名，該公司產品線亦涵蓋工作站電腦、高速運算伺服器、AI超級電腦與虛擬桌面系統精簡型電腦等，同時也涉及智慧醫療產品研發製造、Big Data解決方案。</p> <p>根據該公司發布的重大訊息內容，資安團隊於第一時間啟動防禦機制及備援作業，並對網路攻擊進行清查，與外部資訊技術專業人員共同合作處理，同時也將所監測到的異常狀況，通報政府相關執法部門。</p> <p>對於這起事件帶來的影響，該公司表示，對生產、銷售與日常營運均無重大影響，同時，受到影響的內部資訊系統，皆已陸續回復運作，後續，他們也將持續檢視並強化現有基礎架構，提升網路安全，以保護資料安全及完整性。</p> <p>整體而言，該公告揭露資訊量有限，但以公告內容來看，很有可能是遭勒索軟體攻擊，因此我們進一步從網路上搜尋是否有資安業者揭露相關資訊，發現<a href="https://www.breachsense.io/breaches/leadtek/">資安業者Breachsense的網站</a>上，持續追蹤並公布勒索軟體受害者名單，當中即在11月28日張貼了一則麗臺成為Play勒索軟體的受害者的消息。</p> <p>對於這次資安事件公告，以及上述在網路上發現的相關資訊，我們在今日下午4時聯繫麗臺以瞭解詳情，該公司發言人楊智昆表示，這次資安事件的確是勒索軟體所導致，系統均已陸續復原，影響不大，也已通報政府單位。較可惜的是，回應中未能確切說明是哪隻勒索軟體，僅表示已經在調查。</p> <h2><strong>2022-12-01 麗臺科技</strong><strong>資安事件小檔案</strong></h2> <table border="0" cellpadding="0" cellspacing="0" style="width: 547px;" width="547"> <tbody> <tr height="24"> <td height="24" style="height: 24px; width: 170px;">網路攻擊事件類型</td> <td style="width: 378px;">公告遭駭客網路攻擊</td> </tr> <tr height="48"> <td height="48" style="height: 48px; width: 170px;">事中應變措施</td> <td style="width: 378px;">公司資安團隊於第一時間啟動防禦機制及備援作業，並與外部資訊技術專業人員共同合作處理，同時將所監測到的異常狀況，通報予政府相關執法部門，並保持密切聯繫。</td> </tr> <tr height="24"> <td height="24" style="height: 24px;">初步調查結果</td> <td style="width: 378px;">目前透露資訊非常有限，未公布影響範圍，被入侵管道。<span style="color:#FF0000;">（這次事件是勒索軟體攻擊導致）</span></td> </tr> <tr height="24"> <td height="24" style="height: 24px; width: 170px;">事件影響範圍</td> <td style="width: 378px;">提及受到影響的內部資訊系統均已陸續回復運作</td> </tr> <tr height="24"> <td height="24" style="height: 24px; width: 170px;">事件對營運的影響</td> <td style="width: 378px;">對營運尚無重大影響</td> </tr> <tr height="24"> <td height="24" style="height: 24px; width: 170px;">事後復原與檢討</td> <td style="width: 378px;">公司持續檢視並強化現有基礎架構，全面提升網路安全，以保護資料安全及完整性。</td> </tr> <tr height="24"> <td height="24" style="height: 24px; width: 170px;">對外公告資安事件</td> <td style="width: 378px;">在12月1日發布於臺灣證券交易所重大訊息</td> </tr> <tr height="24"> <td colspan="2" height="24" style="height: 24px;"> 資料來源：iThome整理，2022年12月(紅字部分為洽詢該公司後得知的資訊)</td> </tr> </tbody> </table> <p> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%961)%E9%9B%84%E7%8D%85%E9%81%AD%E5%8F%97%E7%B6%B2%E8%B7%AF%E9%A7%AD%E5%AE%A2%E6%94%BB%E6%93%8A%E4%BA%8B%E4%BB%B6.jpg" style="width: 600px;" /></p> <p>麗臺科技在12月1日接近下午5時，於臺灣證券交易所發布資安事件重大訊息，說明發生遭受駭客網路攻擊的事件。而我們也向該公司洽詢，他們表示這次事件是勒索軟體攻擊造成。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%961)Play%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%94.jpg" style="width: 600px;" /></p> <p>由於麗臺這次的資安事件，疑似為Play勒索軟體所為，我們也找到資安業者對於該勒索軟體的研究與解析。例如，<a href="https://blog.trendmicro.com.tw/?p=74797">資安業者趨勢科技在今年9月曾發布一份研究報告</a>，就是針對Play勒索軟體的攻擊手法而來，研究中指出Play勒索軟體是在今年6月新出現，而根據他們的分析，Play勒索軟體所使用的攻擊策略，與Hive、Nokoyawa這兩個勒索軟體，有許多相似之處，較特別的是，Play勒索病毒在入侵探索階段會使用AdFind指令列工具，來蒐集公司網域AD的資訊。而從已知的案例來看，該勒索軟體的入侵管道，多是使用已遭入侵的合法帳號、或經由未修補的 Fortinet SSL VPN漏洞，進而入侵受害機構的網路。</p> </div></div></div>
2022/12/2 16:11作者羅正漢https://www.ithome.com.tw/news/154538
全球化轉型與供應鏈韌性
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/wang_ye_960zhu_tu_yin_xing_guan_jun_2.0-tu_pian_lai_yuan_tian_xia_za_zhi_chu_ban_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下雜誌出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>無疑地，全球化為世界帶來了高度繁榮，然而這些好處卻分布地相當不均。《2020年全球化報告》量化了45個國家，從1990年到2018年期間受惠於全球化所增加的財富，以日本為最，累計人均收入為50,044歐元。</p> <p>相較之下，中國才是全球化的贏家。中國因全球化造成的累計收入增加，是該國1990年GDP的8.35倍，印度只有1.74倍。這些數據顯示，美國的確從全球化受惠最少。這或許可以解釋許多美國人對全球貿易的批判態度。</p> <p>儘管全球化帶來了繁榮，但也面臨日益高漲的懷疑聲浪。根據最近一份以經濟學家為對象的調查研究，86％的受訪者認為有必要重新思考全球化。其中一位作者還主張，「要從超級全球化中撤退。」某家銀行的研究也指出：「全球化已經結束。」</p> <p>若你以為這是新冠危機下而倉促做出的結論，恐怕言之過早。一位研究歷史的專家表示：「常有人聲稱，2020年後世界將不復從前，這個說法太過於簡化，完全不是科學觀點。」《金融時報》根據數份研究的評估，最後得出較為簡潔的結論：「全球化之死的報導言過其實。」</p> <p>全球化的未來並不明朗。導致關稅與貿易摩擦大增的美中衝突，是否會進一步加劇，抑或因新條約而緩解，仍懸而未決。針對俄羅斯與伊朗的制裁也一樣。有些自由貿易協定的計畫完全失敗（例如歐盟與美國之間的協議），有些則成敗參半（例如美國退出後的跨太平洋夥伴協定）。話說回來，屬於後者的「區域全面經濟夥伴協定」（RCEP），則有15個環太平洋國家簽署。歐盟與加拿大、歐盟與日本、英國與日本之間都有自由貿易協定。拜登總統上任後優先處理的法案之一，就是推翻前任總統讓美國退出世界貿易組織（WTO）的決定。</p> <p>貿易壁壘是讓具備地區生產能力的全球公司，可能會更有優勢的原因之一，但有時也會造成荒謬的結果。</p> <p>一家在歐洲與中國均設有工廠的隱形冠軍，利用其中國的工廠供應中國與美國市場。自從川普總統開徵更高的關稅，導致中國出口美國的業務沒有利潤之後，該公司別無選擇，只好從歐洲向美國供貨，再以來自中國的進口填補歐洲的供應缺口，導致物流成本大增，所以這家公司又開始在美國打造遲來已久的生產力。</p> <p>另一個例子是，德國爆發非洲豬瘟後，中國禁止德國豬肉與明膠輸入。為此，全球明膠領導者、德國百年大廠嘉利達（Gelita）便將美國工廠生產的商品運到中國。</p> <p><span style="font-size:28px;"><strong>該加強還是削弱全球化？</strong></span></p> <p>解決當前困境較為合理的方法，是加強全球化，而非削弱全球化。有兩個數字支持這個立場。2019年德國人均出口為18,018美元，中國為1,797美元，印度則是240美元。換句話說，中國的人均出口僅是德國的10％，印度更只有1.3％。這項比較的意義何在？印度需要出口更多，才能從工業化國家購買滿足國內所需的基礎建設商品、機器、飛機等。非洲也一樣。2019年時，德國向瑞典出口了價值為249億歐元的商品。同年，德國出口到非洲所有國家的商品總值為237億歐元，而德國從非洲進口的總值也差不多為244億歐元。瑞典人口約1,020萬，非洲人口數是瑞典的120倍。顯然，非洲若想要滿足國內所需，就必須出口更多，才有辦法從德國進口更多。</p> <p>其他的頂尖經濟學家也抱持相同看法：世界需要加強全球化。德國經濟專家委員會主席拉爾斯．費德（Lars Feld）說：「在我看來，我們需要加強全球化而不是減少全球化，才能有應對未來危機的緩衝。」政策制定者應該致力發展加強全球化所需的架構，設法防止近年來的脫鉤趨勢持續下去。以社會手段輔助貿易自由很重要。哈佛大學的經濟學者丹尼．羅德里克（Dani Rodrik）表示：「福利國家的擴張使得民眾在政治上支持經濟開放。」隱形冠軍需要自由的全球貿易，才能充分發揮其潛力。它們的相對小規模，實際上或許正是優勢。大型企業是公眾與政治矚目的焦點，隱形冠軍正因鮮為人知，而能在公眾關注的雷達底下運作。</p> <p><span style="font-size:28px;"><strong>全球化轉型勢在必行</strong></span></p> <p>儘管我呼籲貿易自由，但也相信全球化將出現轉變，商品出口將逐漸被服務出口與直接投資所取代。近年來服務出口成長的速度早已勝過商品出口。不過，外國直接投資的趨勢更加不穩定，嚴重受到資本市場的影響。短期上，新冠疫情已造成開發中國家的資本嚴重外流，資本市場對外國直接投資的影響不會消失，但長期看來，這並不會阻礙外國直接投資的成長。因此，當前隱形冠軍業績中佔比60％的出口，未來可能會減少，在國外銷售的金額佔比將隨之增加。2010年起，德國隱形冠軍在國外僱用的員工已超過本國員工數。</p> <p>如今，許多隱形冠軍90％以上的業績都來自出口。我不認為未來依然如此。很多人主張以直接投資取代部分出口，畢竟關稅與貿易壁壘愈來愈大。新冠疫情暴露了，複雜的全球供應鏈正面臨龐大的風險。以低成本、高效益為主要訴求的公司，或許低估了供應鏈複雜性引發的危險。德國一家隱形冠軍公司的負責人就如此問道：「在中國製造出200個零組件，然後運來德國，在這裡組裝成最終產品，這真的合理嗎？」</p> <p>增加庫存可減輕這類供應鏈的危險，但存貨會增加成本，而且若面對的是長時間危機時，這也不是萬能的解方。將最後組裝移到中國、在德國製造更多組件或在當地購買更多生產投入等做法，可能還合理一些。有位專家就這麼說：「全球化正在部分轉變為區域化；在一個市場內組成完整的貨流。」哈佛大學教授史兆威（Willy C. Shih）用以下的話描述這個難題：「公司要面對的挑戰，就是在不減損競爭力的情況下，讓供應鏈更具韌性。」</p> <p><span style="font-size:28px;"><strong>運輸成本降低的影響</strong></span></p> <p>運輸成本的穩定下降是全球化的重要推力。貨運、客運航班及國際電話的實際成本，都較以往大幅降低。這些成本已經觸底，無法再往下降。事實上，航運與空運成本比較有可能反彈回升，也就是說，物流成本下降而促進全球化的情況將不再發生，最起碼對有形商品來說是如此。</p> <p><span style="font-size:28px;"><strong>去物質化導致出口量趨緩</strong></span></p> <p>去物質化（dematerialization）也是實體出口量未來可能不會成長那麼快的另一個原因。從前，一條跨大西洋電纜需要12萬噸的銅金屬。如今，透過衛星，幾百公斤的銅就能達到相同的目的。重量不到200公克的智慧型手機，取代了諸如相機、電腦、收音機及導航設備等各種產品。3D列印也會帶來類似的影響。公司會將數據資料傳送到目標市場，利用3D列印的技術來製作成品，而非在某一國製造產品後再出口到目標市場。麻省理工學院的研究人員安德魯．麥克費（Andrew McAfee）在著作《以少創多》（More from Less）一書中，針對去物質化進行了全面分析。在美國，即便經濟持續成長，但幾乎所有原物料的消耗都在持續下降或停滯。麥克費認為，去物質化的關鍵驅動力正是數位化與資本主義。數位化的角色顯而易懂，資本主義式的競爭也扮演重要角色，因為要不斷降低成本與節省物料，才有辦法取得競爭優勢。最有效的方法就是用位元取代實體原物料或相關運輸。<strong><span style="color:#696969;">（摘錄自《隱形冠軍2.0》第14章，天下雜誌出版提供）</span></strong></p> <p class="rtecenter"><strong><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%96%E3%80%91%E9%9A%B1%E5%BD%A2%E5%86%A0%E8%BB%8D2_0-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%A4%A9%E4%B8%8B%E9%9B%9C%E8%AA%8C%E5%87%BA%E7%89%88.png" style="width: 329px;" /></span></strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 書名 </span></strong></span> <span style="color: rgb(51, 153, 255);"><strong>隱形冠軍2.0：中堅企業面對地緣政治的務實佈局，擁抱生態系與永續成長的新策略</strong></span></p> <p>赫曼．西蒙（Hermann Simon）、班傑明．德林（Benjamin Doering）／著；沈聿德／譯</p> <p>天下雜誌出版</p> <p>定價：550元</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 作者簡介 </span></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E9%9A%B1%E5%BD%A2%E5%86%A0%E8%BB%8D2_0_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Hermann%20Simon.png" style="width: 250px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／Hermann Simon</span></span></p> <p><strong>赫曼．西蒙（Hermann Simon）</strong></p> <p>生於德國，有「隱形冠軍之父」的美譽。曾被評選為「杜拉克後最有影響力的歐洲管理大師」及Thinkers 50最具影響力的國際管理思想家。</p> <p>西蒙現為西蒙顧和行銷顧問公司的共同創辦人。同時也是全球多間知名學府的客座教授，包含哈佛商學院、史丹福大學、倫敦商學院、麻省理工學院和慶應義塾大學等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E9%9A%B1%E5%BD%A2%E5%86%A0%E8%BB%8D2_0_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Benjamin%20Doering.png" style="width: 250px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／Benjamin Doering</span></span></p> <p><strong>班傑明．德林（Benjamin Doering）</strong></p> <p>在西蒙旗下的隱形冠軍研究團隊擔任助理研究員。畢業於德國路德維希大學，主修國際商業管理與中文，現在台灣國立陽明交通大學攻讀工商管理碩士。</p> </div></div></div>
2022/12/2 11:43未署名https://www.ithome.com.tw/article/154421
運用教練式領導打造高績效團隊
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/wang_ye_960zhu_tu_itshu_zhai_-1p-ni_shi_lai_dai_ren_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">高寶書版出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提出情緒智商的概念（Emotional intelligence）的心理學家及新聞工作者丹尼爾‧高曼（Daniel Goleman），十五年前就在《哈佛商業評論》（Harvard Business Review）發表〈得到成果的領導〉（Leadership That gets Results），提出六種關鍵領導型態。「教練式領導」就是其中一種，而且它被認定為對績效、企業文化以及獲利都有「明顯正面」的效果。然而，它也是最少被運用的領導型態。為什麼？高曼寫道：「許多領導人告訴我們，在這種高壓的經濟社會中，他們沒有時間做『教導人們、協助人們成長』這種緩慢而冗長乏味的工作。」</p> <p>請記住，那可是二○○○年的美好時代，當時電子郵件還是福非禍；全球化才剛剛開始暖身，而我們還沒有將靈魂出賣給智慧手機。這些日子以來與全球各地忙碌的經理人合作的經驗告訴我，事情其實是越來越糟、而非越來越好。我們都比以前更不自由自在。雖然「教練」在今天已經是更常用的詞彙，但實際上，教練式領導並沒有那麼普遍；就算有去做，似乎也沒有太大的成效。</p> <p>領導發展公司BlessingWhite二○○六年的研究報告顯示，有七三％的經理人曾接受某種形式的教練式領導訓練，這看來還不錯。不過，這種教練訓練似乎不太好：在接受教練式領導訓練的人當中，只有二十三％（沒錯，低於四分之一）的人認為這對績效或工作滿意度有明顯的影響。甚至有十％的人說這樣教練式領導訓練產生負面效果。</p> <p>我猜，你一開始試著發展的教練式領導習慣之所以沒有持續下去，失敗的原因至少有三個。</p> <p>第一個原因是，你接受的教練式領導訓練可能太理論、太複雜、有點無聊、而且與忙碌的工作生活現實有點背離。或許在某場研討會進行之時，你正好被淹沒在一堆電子郵件裡。</p> <p>就算你有接受訓練，也可能沒有花太多時間理解如何將這些新的洞察轉化成行動，使你做出不同的行為，這是第二個原因。當你回到辦公室，現狀會展現驚人的力量，緊緊箝制你，不讓你改變，回到跟以前一模一樣的方式做事。</p> <p>第三個理由是，「少給點建議、多問點問題」這種行為的改變看來非常簡單，實際上卻是驚人的困難。你可能已經花好幾年的時間在提供各式各樣的建議，同時也因此得到升遷以及稱讚。公司認為你會帶來「附加價值」（adding value）；而且因為「一切都在掌控中」，所以你也得到額外的好處。另一方面，當你問問題時，你可能不確定最後的結果會對自己有用；對話可能會讓事情進展緩慢，你可能會感覺無法控制對話的進行（的確如此，這就叫做賦權）。如此說來，這好像不是一個很棒的選項。</p> <p><span style="font-size:28px;"><strong>但那真的沒有麼難</strong></span></p> <p>在蠟筆盒公司（Box of Crayons），我們訓練超過一萬名像你一樣的忙碌經理人，養成實用的教練式領導技巧。經過這些年，我們得到以下明顯事實：</p> <p>● 你可以在十分鐘之內輔導一個人。在今日的忙碌世界中，你必須要能在十分鐘之內，完成教練式領導。</p> <p>● 教練式領導應該是每天進行的日常行為，而不是偶爾想到、刻意劃出「教練時間」的活動。</p> <p>● 你可以建立教練式領導的習慣，但這只有在了解教練式領導的原理，而且使用經過實證、能夠有效建立新習慣的方法，而且真的可以牢記執行，才能成功。</p> <p>但為什麼要大費周章改變現狀？為什麼要建立教練式領導的習慣呢？</p> <p><span style="font-size:28px;"><strong>破除三大惡性循環</strong></span></p> <p>教練的本質是幫助他人、釋放他人的潛能。但我相信你已經承諾過要幫助部屬，而這並不會讓你想要做更多的教練式領導工作。</p> <p>所以，讓我們來看看，為什麼提供其他人教練式領導也可以幫助自己。它讓你做更少、卻產生更多影響。當你建立教練式領導之後，你就可以更容易地破解在職場到處蔓延的三個惡性循環：部屬的過度依賴你、工作排山倒海而來、沒有專注在真正重要的工作上。</p> <p><strong>第一大惡性循環：部屬過度依賴你</strong></p> <p>你可能會發現，你已經成為「過度依賴團隊」的一份子。這代表雙重危機。首先，你的訓練讓部屬過度依賴你，這會演變成他們沒有被賦予權力，而你也挫敗沮喪，甚至會帶來不受歡迎的後果。因為你已經成功地創造這種依賴，你要做太多的工作，結果成為整個系統的瓶頸。每個人都失去動能，士氣低落。你幫部屬做得越多，他們看起來就越需要你的協助；他們需要你的協助越多，你就會花越多時間幫助他們。</p> <p>建立教練式領導可以讓你的團隊自動自發，團隊成員的主控權與掌握工作的能力也會增加，而你也會減少跳下來接手工作、成為瓶頸的機會。</p> <p><strong>第二大惡性循環：工作排山倒海而來</strong></p> <p>你可能也被排山倒海而來的工作給淹沒了。不管你有沒有精通這世界上所有的生產力小祕訣都不重要，你越快找到生產力祕訣，外面持續湧進工作的速度就越快。你每天被不斷新增的優先要務帶往不同方向，被無止盡的電子郵件或匆忙趕赴一個又一個的會議而干擾分心，你完全失去做事的焦點。你越是無法聚焦，就越會覺得被工作淹沒了；而你越是感覺到有工作排山倒海而來，又會更無法聚焦。</p> <p>建立教練式領導可以幫助你重新聚焦，讓你及團隊可以去做真正能創造影響力的工作；你可以將時間、精力及資源用來解決真正與眾不同的挑戰。</p> <p><strong>第三大惡性循環：沒有專注在真正重要的工作上</strong></p> <p>最後一點，你可能會無法專注在真正重要的工作上。把事情完成是不夠的，你必須幫助人們做最多能創造影響力而有意義的工作。我們越是做一些沒有真正目的的工作，就會變得越來越不投入、沒有動力；我們越不投入，就越不可能發現並創造出絕佳的工作表現。</p> <p>建立教練式領導習慣可以幫助你及你的團隊，重新專注在真正具有影響力、有意義的工作上。教練式領導可以點燃勇氣，幫助人們跨出舒適及熟悉的領域，從經驗中學習，同時也可以增加並幫忙展現出每個人最大的潛能。</p> <p>因此，你要起身對抗這一切負面行為。建立教練式領導習慣可以幫助你突破現狀，找到更好的工作方式。</p> <p><span style="font-size:28px;"><strong>七個關鍵問題</strong></span></p> <p>這些問題有可能讓每週的一對一輔導時間、團隊會議時間、業務會議，在既定行程表外偶而與某個人接觸的非會議時間呈現出新樣貌。</p> <p>這七個問題分別是：開場問題（Kickstart Question），這是以聚焦又開放的方式，開啟任何對話的問題；魔法問題（AWE Question），這可以說是世界上最棒的教練問題，可以當作自我管理工具，也可以用來作為其他六個問題的輔助；焦點問題（Focus Question）及基礎問題（Foundation Question）則是用來觸及挑戰的核心，幫助你將注意力放在真正重要的議題上。懶惰問題（Lazy Question）可以幫你省下大把時間；而策略問題（Strategic Question）則可以省下與你共事者的大把時間；學習問題（Learning Question）與第一個開場問題，分別是教練式領導的終點與起點，藉此確保每個人都能發現與你的互動比以前更有幫助。<span style="color:#696969;"><strong>（摘錄整理自本書第一章，高寶書版提供）</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%96%E3%80%91IT%E6%9B%B8%E6%91%98-1P-%E4%BD%A0%E6%98%AF%E4%BE%86%E5%B8%B6%E4%BA%BA.png" style="width: 299px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 書名 </span></strong></span> <span style="color:#3399ff;"><strong>你是來帶人，不是幫部屬做事</strong></span></p> <p>麥可．邦吉．史戴尼爾（Michael Bungay Stanier）／著；林宜萱／譯</p> <p>高寶書版出版</p> <p>定價：360元</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E4%BD%A0%E6%98%AF%E4%BE%86%E5%B8%B6%E4%BA%BA_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Box%20of%20Crayons.jpg" style="width: 250px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／Box of Crayons</span></span></p> <p><strong>麥可．邦吉．史戴尼爾（Michael Bungay Stanier）</strong></p> <p>麥可是全球知名的教練式領導專家、著名演說家，以及「蠟筆盒公司」（Box of Crayons）創辦人、資深合夥人，這家公司幫助經理人和領導人學習在10分鐘內進行教練式領導的技巧。</p> <p>在成立「蠟筆盒公司」之前，麥可花了許多時間研發產品與服務，並擔任企管顧問，幫助企業變革創新，並為全球最大製藥集團葛蘭素史克公司撰寫全球展望報告等。</p> <p>麥可擁有牛津大學哲學碩士學位，以及澳大利亞國立大學法學學位、最高榮譽學士學位。他也是羅德學者，並於2019年被評為第一名教練式領導思想領袖。</p> </div></div></div>
2022/12/2 11:55未署名https://www.ithome.com.tw/article/154422
5G趨勢月報第37期：數位部最快明年1月開放5G專網專用頻段申請；北市與電信業者合作試辦5G救護車
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>19/26~11/29精選5G趨勢新聞</strong></span></h3> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>數位發展部</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font></p> <p><span style="font-size:22px;"><strong>數位部：明年1月將開放5G專網專用頻段申請</strong></span></p> <p>數位發展部（數位部）近期舉辦5G專網實證與創新成果發表活動，數位發展部次長李懷仁表示，臺灣在9月每位用戶行動寬頻傳輸量最高已接近35GB，是全球平均值2倍。5G將加值進入產業，今年是全球5G應用發展的關鍵。目前數位部正進行「行動寬頻專用電信網路設置使用管理辦法」法制化作業，未來管理辦法公布實施後，預估將在明年1月開放4.8GHz到4.9GHz專網申請。</p> <p>李懷仁表示，政府開放5G專頻專網將秉持3項原則，程序要簡化、成本要降低、要推更多應用，未來將整合各界意見之後，將和NCC討論，推動管理辦法法制作業。</p> <p>目前國內已有不少5G專網實證案，但主要以採用3.5GHz公頻的專網為主，另一部分則以實驗名義，以4.8GHz到4.9GHz頻段測試評估5G專頻專網,例如逢甲大學去年即宣布以4.8至4.9GHz的n79頻段建置5G專頻專網，打造實驗場域。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>聯發科</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>天璣</b></span></font></p> <p><span style="font-size:22px;"><strong>聯發科發表天璣9200旗艦晶片，手機年底上市</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%91%E7%9A%84%E5%B0%88%E6%A1%880.jpg" style="width: 600px; height: 439px;" /></p> <p>聯發科擴大旗下天璣旗艦級晶片，發表天璣9200，相較於前一代的天璣9000，效能提升10到12%，預計今年底採用新晶片手機將上市。</p> <p>天璣9200採用台積電第二代4奈米製程，內含170億個電晶體，內部CPU架構採Armv9架構，8核心採1+3+4，包含1個Cortex-X3超大核、3個Cortex-A715中核、4個負責一般負載的Cortex-A510小核。</p> <p>聯發科指出，天璣9200在CPU單核、多核效能提升10至12%，搭配Immortalis-G715，GPU效能提升32%，強化在遊戲中的硬體光線追縱、渲染效果。天璣9200也採用第6代APU，提升35%的AI運算效能。無線通訊方面，支援5G的Sub-6GHz、毫米波頻段，以及Wi-Fi 7。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>急救</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>臺北市</b></span></font></p> <p><span style="font-size:22px;"><strong>臺北市消防局與遠傳合作試辦5G救護車，以遠端視訊指導急救處置提升救護效率</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%81%A0%E5%82%B3%E6%94%9C%E6%89%8B%E5%8C%97%E5%B8%82%E6%B6%88%E9%98%B2%E5%B1%80%E3%80%8C5G%E6%80%A5%E6%95%91%E9%86%AB%E7%99%82%E8%81%AF%E9%98%B2%E6%95%91%E8%AD%B7%E8%BB%8A%E3%80%8D%E4%B8%8A%E7%B7%9A0.jpg" style="width: 600px; height: 338px;" /></p> <p>緊急救護分秒必爭，傷患在救護車抵達醫院之前，如果能先接受妥善的急救處置，就能增加病患存活的可能性。遠傳電信近期與臺北市政府消防局合作，試辦5G救護車，利用5G即時傳送傷患畫面，車上急救人員透過視訊，在高級救護分隊指導下，針對危急個案緊急處置，提高救護的效率。</p> <p>目前遠傳與臺北市消防局中崙分隊試辦，讓車上的救護人員透過攝影機，清楚、同步傳送病患全身或身體局部畫面，和遠端的高級救護員視訊，獲得對緊急狀態的救護指示。相較於傳統以語音通話，讓醫師獲得更多資訊進行判斷，並縮短到院檢傷的時間，提高救護的效率。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>歐盟</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>低軌衛星</b></span></font></p> <p><span style="font-size:22px;"><strong>歐盟擬以24億歐元打造自家低軌衛星網路IRIS</strong></span></p> <p>強化歐盟地區網路基礎建設，歐洲議會近期與歐盟會員國達成共識，2023至2027年間將以24億歐元經費，啟動歐盟安全連結計畫（Union Secure Connectivity Programme），將部署具彈性、互連、安全性的衛星基礎設施（Infrastructure for Resilience, Interconnectivity and Security by Satellite, IRIS），建立歐洲自己的通訊衛星星座。</p> <p>歐盟指出，歐盟地區的經濟、安全愈來愈仰賴於安全、具韌性的網路連結，對歐洲來說，發展主權、自主、安全連結的基礎架構相當重要。需確保不受限制存取網路，同時透過降低對第三方國家依賴強化歐盟價值鏈彈性，並整合歐洲的量子通訊技術進行安全加密。</p> <p>未來，IRIS將支援政府、軍隊、民間商業服務使用，以提升歐洲產業競爭力，尤其為衛星通訊產業。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>高通</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>晶片</b></span></font></p> <p><span style="font-size:22px;"><strong>高通推旗艦平臺Snapdragon 8 Gen2，強化AI推論，首次搭載5G AI處理器</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snapdragon%208%20Gen%202%20%E5%B9%B3%E5%8F%B0-2.jpg" style="width: 600px; height: 368px;" /></p> <p>Android高階手機市場再掀新的競爭浪潮，繼聯發科推出旗艦手機晶片後，高通（Qualcomm）也不落人後，近期發表新一代Snapdragon 8 Gen 2旗艦級行動平臺，採用新的AI處理引擎Hexagon，強化AI的自然語言處理及AI拍照功能，並支援INT 4格式，AI效能和前一代相比，最高提升4.35倍。高通預計搭載該平臺的新手機將於今年底陸續上世。</p> <p>透過搭載認知影像處理器（Cognitive ISP），利用語義分割技術強化照片及影片，透過AI神經網路，相機感知環境例如臉部、面部特徵、衣服、天空，並進行個別的最佳化，經過影像調校獲得更多影像細節。</p> <p>另外，該平臺也採用Snapdragon X70 5G數據機，以及首次搭載5G AI處理器，透過AI優化5G上傳、下載速度、訊號覆蓋低延遲及功耗，支援5G雙卡。內建的FastConnect7800也提供Wi-Fi 7、雙藍牙功能。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Open RAN</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>6G</b></span></font></p> <p><span style="font-size:22px;"><strong>NTT DOCOMO與SK Telecom 將聯手共同研究元宇宙、5G Open RAN與6G</strong></span></p> <p>日本NTT DOCOMO與南韓SK Telecom共同宣布將在用戶服務、通訊基礎技術上進行合作，包括元宇宙、5G開放技術，以及下一代的6G網路。</p> <p>在元宇宙方面，雙方考慮共同製作虛擬內容，包括3D模型、具有立體感影片、虛擬城市，同時考慮串接各自平臺的可能性。至於電信基礎設施技術上，兩家公司展開5G商業服務合作，包括5G SA獨立組網、mmWave毫米波、節能網路，以及Open RAN、vRAN技術。</p> <p>雙方也將在下一代6G技術上展開合作，聯合研發及推動6G技術的標準化，調整雙方6G及早期部署時程，期望明年展開聯合測試，支援DOCOMO母公司NTT所提出IOWN（Innovative Optical and Wireless Network）網路概念。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Wi-Fi</b></span></font></p> <p><span style="font-size:22px;"><strong>中華電信與Aruba合作，推5G與Wi-Fi融合企業專網決方案</strong></span></p> <p>中華電信宣布與Aruba合作，推出融合5G與Wi-Fi兩者優勢的多元化企業專網方案，以滿足人與物同時存在場域的多樣性連網需求。中華電信強調該方案為，結合中華電信的5G智慧管+多接取邊緣運算技術與Aruba的Wi-Fi技術，雙網融合多元化企業專網方案。</p> <p>中華電信表示，過去企業專網建置採用Wi-Fi或5G其中一種技術，無法發揮兩種網路技術的優勢，5G與Wi-Fi融合的多元化企業專網方案，一方面為5G專網用戶擴增導入Wi-Fi，另方面可為企業Wi-Fi導入5G專網，或同時導入5G+Wi-Fi的企業專屬網路。在管理上提供跨領域互通、一致性白名單、頻寬等自主管理功能。</p> <p>該方案強調兼顧5G與Wi-Fi優勢，包括5G應用於安全性、穩定性，或廣闊場域的移動性物體，例如AGV、IoT裝置、無人機，但由於使用公共頻譜資源、建置成本較高；Wi-Fi則適用於無線連接、移動較慢，或對上傳頻寬需求較大的應用。採用5G專網的企業，針對移動性較慢的應用，可搭配Wi-Fi以降低成本，而採用Wi-Fi專網的企業，可搭配5G滿足安全性、穩定、大範圍移動的需求。</p> <p> </p> <p>圖片來源／高通、聯發科、遠傳電信</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多5G動態 </span></strong></span></p> <p><strong>1.Nokia在臺展示5G專網4.8至4.9GHz天線，液冷式基頻方案</strong></p> <p><strong>2.中華電信擴大5G涵蓋至金門烏坵</strong></p> <p>資料來源：iThome整理，2022年11月</p> </div></div></div>
2022/12/2 12:04作者蘇文彬https://www.ithome.com.tw/news/154531
蘋果MR裝置作業系統更名為xrOS，最快明年問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2022-12-01/apple-mixed-reality-headset-rivaling-meta-set-to-run-xros-operating-system" target="_blank">《彭博社》</a>（Bloomberg）本周引述消息來源報導，蘋果最快會在明年發表混合實境（Mixed Reality，MR）頭戴裝置，同時推出專用的作業系統與程式商店，並已將該裝置的作業系統名稱從realityOS變更為xrOS。</p> <p><a href="https://www.ithome.com.tw/news/151214" target="_blank">各家媒體是在今年5月發現</a>蘋果透過關係企業申請RealityOS商標，並相信這是蘋果即將推出的混合實境裝置作業系統。而新的xrOS指的應該是延展實境（Extended Reality，ER），它涵蓋了虛擬實境、擴增實境與混合實境技術，企圖融合各種技術來展現交錯的虛擬與現實。</p> <p>《彭博社》指出，蘋果大概在7年前便著手開發與虛擬實境有關的作業系統，當時內部將它稱為realityOS或rOS，一直到最近才將它改稱為xrOS，約莫在同一時間點，空殼公司Deep Dive亦開始於多個國家申請xrOS商標，包括瑞士、英國、馬來西亞、日本、加拿大及歐盟等，並在美國反對某家中國企業註冊xrOS。根據Deep Dive的申請書，xrOS商標涉及頭戴式顯示器，以及可提供虛擬實境與擴增實境體驗的裝置。</p> <p>雖然正在以xrOS作為內部MR開發名稱的還有Meta，但《彭博社》認為蘋果比Meta更像是註冊此一商標的幕後黑手。</p> <p>外界預期蘋果的首款AR/VR/MR/XR裝置應該比市場上的既有裝置貴得多，可能會採用M2處理器並具備手部追蹤能力。</p> </div></div></div>
2022/12/2 12:10作者陳曉莉https://www.ithome.com.tw/news/154534
【資安日報】2022年12月1日，駭客組織Lilac Wolverine發動大規模禮物卡攻擊、中國駭客利用USB裝置攻…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有商業郵件詐騙（BEC）的駭客組織攻擊目標轉移到個人！奈及利亞駭客組織Lilac Wolverine挾持使用者在AOL、雅虎的電子郵件信箱，然後對通訊錄裡的聯絡人發動相關攻擊，要求收信人協助購買禮物卡行騙。這類攻擊往往採取動之以情的攻勢，例如表示自己因COVID-19居隔而無法處理相關事務，使得受害者降低戒心而協助購買禮物卡點數上當。</p> <p>利用USB裝置的攻擊行動再度出現，而值得相關機構提高警覺。中國駭客UNC4191鎖定菲律賓組織發動攻擊，研究人員表示，雖然他們也有看到針對美國、東南亞其他國家的攻擊行動，但最終目標都是位於菲律賓的電腦。</p> <p>台達電、Festo、Codesys近日修補了旗下的工控裝置漏洞，這些漏洞有些能被用於命令注入攻擊，有的能繞過身分驗證，管理者應儘速修補。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://abnormalsecurity.com/blog/lilac-wolverine-gift-card-attacks"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">BEC駭客組織Lilac Wolverine挾持個人電子郵件帳號，用於發動大規模禮物卡攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Lilac-Wolverine-Follow-up-Email-Example-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Lilac-Wolverine-Follow-up-Email-Example-1.png" style="width: 300px; float: right;" /></a>郵件安全業者Abnormal揭露奈及利亞駭客組織Lilac Wolverine的攻擊行動，攻擊者針對使用AOL、BellSouth、Rogers、Verizon、雅虎電子郵件信箱服務的用戶，竊取他們的通訊錄，然後使用另外一個名稱極為相似的電子郵件帳號，向通訊錄的聯絡人發送釣魚郵件。這些信件的內容主要是請求收信人協助，或是詢問他們是否在Amazon等網路商店購物，一旦收信人回覆，駭客便會以朋友的生日為由，要求受害者協助購買禮物卡。</p> <p>研究人員指出，此組織原本主要針對企業發動商業郵件詐騙（BEC）攻擊，但BEC必須找到企業的財務長與人力資源部門才能進行，這種鎖定個人的攻擊行動雖然每次得手金額平均只有不到1500美元，但駭客只要擴大攻擊規模，就有機會騙到一小部分使用者而成功。</p> <h3><a href="https://www.mandiant.com/resources/blog/china-nexus-espionage-southeast-asia"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">菲律賓組織遭到中國駭客UNC4191鎖定，利用USB裝置發動攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/unc4191-malware-infection.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/unc4191-malware-infection.png" style="width: 300px; float: right;" /></a>資安業者Mandiant揭露中國駭客UNC4191的網路間諜行動，駭客自2021年9月起，大量利用USB裝置來作為入侵受害組織的初始媒介，主要目標是菲律賓的組織。這些攻擊者運用3款惡意軟體，其共通點都是使用C++開發而成，分別是惡意軟體啟動器Mistcloak、執行命令列網路工具Ncat產生反向Shell與C2連接的Bluehaze，以及能感染外接裝置的Darkdew。</p> <p>研究人員指出，這起攻擊行動從使用者將帶有惡意程式的USB裝置連結電腦開始，Mistcloak便會啟動並企圖執行Darkdew，後者將會執行自我復製、擴散的工作，接著，駭客會再執行Bluehaze與C2連線，並將竊得的資料送出。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/lastpass-says-hackers-accessed-customer-data-in-new-breach/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">密碼管理解決方案供應商LastPass二度遭駭</span></strong></a></h3> <p>根據資安新聞網站Bleeping Computer的報導，<a href="https://www.bleepingcomputer.com/news/security/goto-says-hackers-breached-its-dev-environment-cloud-storage/">遠端存取與協作解決方案業者GoTo於11月30日向客戶以電子郵件發出通知</a>，表示該公司遭遇資安事故，駭客存取其開發環境與雲端服務的存取權限，他們已尋求資安業者著手調查。該公司特別提及上述的雲端服務亦與旗下的LastPass共用。</p> <p>同日<a href="https://blog.lastpass.com/2022/11/notice-of-recent-security-incident/">LastPass也發出公告</a>，表示曾於8月發動攻擊的駭客，利用上次竊得的資料存取他們的雲端服務，且試圖存取客戶資料。無論GoTo、LastPass皆表示客戶的資料不受影響，但上述兩家公司公布的是否為相同的攻擊行動？仍有待他們進一步說明。</p> <h3><a href="https://blog.google/threat-analysis-group/new-details-on-commercial-spyware-vendor-variston/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google揭露義大利商業間諜軟體供應商Variston IT的攻擊框架</span></strong></a></h3> <p>Google旗下的威脅情報小組（TAG）於11月30日公布追蹤西班牙間諜軟體供應商Variston IT的成果，該公司位於西班牙巴塞隆納，聲稱專為客戶量身訂做資安解決方案，但實際上卻是利用防毒軟體與瀏覽器漏洞製作攻擊工具的團隊。TAG從Chrome匿名錯誤報告察覺Variston IT製作的攻擊框架Heliconia，進一步調查找到了3個子框架，它們分別是針對Chrome沙箱逃逸漏洞的Heliconia Noise、可攻擊Microsoft Defender的Heliconia Soft，以及能利用Firefox多個漏洞的Files。</p> <p>研究人員指出，攻擊框架Heliconia利用的漏洞未必有CVE編號，而且，不少漏洞在修補之前很可能就遭到利用。</p> <h3><a href="https://www.macrumors.com/2022/11/29/eufy-camera-cloud-uploads-no-user-consent/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Eufy智慧門鈴擅自將影像傳至雲端</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/eufy_20221201-1753-00237.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/eufy_20221201-1753-00237.jpg" style="width: 300px; float: right;" /></a>資安顧問Paul Moore發現自己家裡建置的智慧門鈴Eufy Doorbell Dual系統，在沒有啟用雲端儲存機制的情況下，竟然將監視器鏡頭拍下的人臉照片與使用者資料上傳到雲端。此外，上述的照片可透過URL直接存取，無須經過身分驗證。</p> <p>針對上述發現，製造商Anker向新聞網站MacRumors表示，Eufy設備錄製的影片都存放於本機，並於使用者裝置上加密，該公司產品符合GDPR標準，研究人員發現的照片是他們為了向使用者手機App發送推送通知而產生，會暫時存放於AWS伺服器，使用者只有在登入Eufy Security網頁管理介面才能檢視。但這樣的聲明，無法說明研究人員透過監聽網路流量取得URL的方式，能夠得到上述推送通知照片的資安疑慮。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.securityweek.com/delta-electronics-patches-serious-flaws-industrial-networking-devices"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">台達電修補工控網路設備的嚴重漏洞</span></strong></a></h3> <p>資安業者CyberDanube揭露台達電工控路由器的嚴重漏洞，這些漏洞存在於<a href="https://cyberdanube.com/en/en-multiple-vulnerabilities-in-delta-electronics-dx-2100-l1-cn/">LTE路由器DX-2100-L1-CN</a>，以及<a href="https://cyberdanube.com/en/en-authenticated-command-injection-in-delta-electronics-dvw-w02w2-e2/">Wi-Fi無線路由器DVW-W02W2-E2</a>，前者存在2種類型的漏洞，後者則有1種。兩款設備共通的漏洞，是在攻擊者通過身分驗證後，能透過命令注入漏洞發動攻擊，進而取得該裝置底層作業系統的完整存取權限；而DX-2100-L1-CN含有第2項漏洞，存在於網路診斷模組，攻擊者可濫用於跨網站指令碼（XSS）攻擊，挾持受害者的連線階段（Session）。研究人員於8月通報，台達電近日針對DX-2100-L1-CN、DVW-W02W2-E2發布1.5.0.12、2.5.2版新版韌體予以修補。</p> <h3><a href="https://www.forescout.com/blog/oticefall-continues-vedere-labs-discloses-three-new-vulnerabilities-affecting-ot-products-how-to-mitigate/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Festo、Codesys工控系統存在OT:Icefall漏洞</span></strong></a></h3> <p>資安業者Forescout<a href="https://www.ithome.com.tw/news/151583#OT-Icefall">在今年6月揭露存在於工控設備的漏洞組合OT:Icefall</a>，共有56個漏洞、存在於10個廠牌、26種型號的OT裝置，但類似的漏洞也存在於其他廠牌設備。Forescout近日公布Festo、Codesys旗下產品的漏洞，前者的漏洞為CVE-2022-3270、CVE-2022-3079，兩者的共通點是都可被用於身分驗證流程繞過；後者的則是CVE-2022-4048，涉及採用的加密技術保護能力不足。</p> <p>其中最嚴重的是CVE-2022-3270，存在於Festo Generic Multicast（FGMC）通訊協定，攻擊者一旦利用這項漏洞，就有可能在未通過身分驗證的情況下，遠端將Festo控制器重新啟動，進而阻斷服務（DoS），CVSS風險評分達9.8分。</p> <h3><a href="https://www.contrastsecurity.com/security-influencers/localhost-attack-against-quarkus-developers-contrast-security"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Java框架Quarkus存在RCE漏洞</span></strong></a></h3> <p>資安業者Contrast揭露Java框架Quarkus的RCE漏洞CVE-2022-4116，此漏洞存在於Dev UI組態編輯器，攻擊者可透過本機偷渡（drive-by localhost）攻擊手法利用，進而遠端執行任意程式碼（RCE）。Quarkus獲報後發布2.14.2與2.13.5版予以修補。</p> <p>研究人員指出，利用該漏洞的難度並不高，且攻擊者無須取得特殊權限就能觸發──駭客可引導開發人員瀏覽含有惡意JavaScript的網站，進而於受害電腦暗中執行此指令碼。一旦這樣的漏洞遭到利用，攻擊者很有可能在受害電腦植入鍵盤側錄程式，進而得知其他開發系統的帳密。</p> <h3> </h3> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.rcesecurity.com/2022/11/from-zero-to-hero-part-1-bypassing-intel-dcms-authentication-cve-2022-33942/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Intel的資料中心管理主控臺存在身分驗證漏洞</span></span></strong></a></p> <p><a href="https://www.synopsys.com/blogs/software-security/cyrc-advisory-remote-code-execution-vulnerabilities-mouse-keyboard-apps/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">可將手機當作電腦鍵盤或滑鼠的App含有能用於RCE攻擊的漏洞</span></span></strong></a></p> <p><a href="https://therecord.media/ikea-investigating-cyberattacks-on-outlets-in-kuwait-morocco/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">科威特、摩洛哥IKEA遭到網路攻擊，疑勒索軟體Vice Society所為</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/spanish-police-dismantle-operation-that-made-12m-via-investment-scams/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">西班牙警方破獲網路詐騙1,200萬歐元的攻擊行動</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154501"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">近兩年更多臺廠加入成為CVE編號管理者，涵蓋網通、IC設計、資安廠商</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154493">【2022年11月30日】駭客透過抖音短片散布竊密程式WASP、未修補已知漏洞的Fortinet資安設備網址清單遭到兜售</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154485">【2022年11月29日】 Dell、HP、聯想設備韌體使用老舊版本的OpenSSL、推特網站漏洞恐有更多資料外流</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154451">【2022年11月28日】 Windows網際網路金鑰交換機制漏洞被用於攻擊、Docker Hub存在逾1,600個易受攻擊的映像檔</a></strong></strong></strong></p> </div></div></div>
2022/12/1 16:54作者周峻佑https://www.ithome.com.tw/news/154518
雄獅旅遊遭駭客網路攻擊，針對近年半顧客資料恐被利用於詐騙示警
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日雄獅旅遊又成駭客網路攻擊受害者，該公司在11月29日於臺灣證券交易所發布重大訊息說明發生資安事件，同時於官方網站公開遭駭一事，並表示已接獲通報，有不法人士假冒其名義、利用半年內訂單資訊進行詐騙，呼籲民眾當心。</p> <p>根據雄獅旅遊的說明，該公司資安團隊在查知遭受駭客網路攻擊之際，已全面啟動相關防禦機制，委請外部資安公司技術專家共同處理，並已通報政府執法部門協助。</p> <p>關於這次事件的影響與因應，雄獅在證交所的重大訊息公告中指出，目前評估對公司營運尚無重大影響，將持續加強資訊安全管理，確保資料安全，同時也特別說明，將以公司官網、電話語音及簡訊方式，通知旅客防範詐騙。</p> <p>而在雄獅旅遊公司網站上，該公司亦於同日發布聲明公告，主要針對公司遭駭一事，以及不法分子冒名雄獅員工去電詐騙民眾一事，提出了更多的說明。</p> <p>當中除了提到該公司電腦作業系統遭網路駭客惡意攻擊，已經有所因應，目前公司營運及出團狀況均正常，特別的是，他們另外也向購買產品的民眾提醒，要大家防範遭受詐騙。</p> <p>關於不法分子冒名與詐騙的問題，根據雄獅的說明，他們已經接獲通報，有不法人士假冒成雄獅旅遊員工、飯店員工、以及銀行或信用卡客服人員，打電話給其客戶，並以訂單錯誤、重複扣款、提供特殊優惠等假理由與名義，向消費者進行詐騙。</p> <p>對於詐騙手法的研判，以及不法資料被利用的情況，雄獅亦有具體的描述，指出不法人士可能利用近半年的訂單資訊，可能包括購買訂飯店、機票、票券、證照時，利用這些訂單上的聯絡人姓名、電話與商品內容，來取信受害者，並以不實理由來詐騙。</p> <p>從上述內容來看，雄獅在此駭客攻擊事件下，很可能同時發生顧客訂單資料外洩，進而被詐騙人士利用，儘管公告中並未直接明確說明這件事，不過，該公司至少確切提及，這些恐被不法分子利用的近半年訂單資訊，主要是顧客姓名、電話與商品訂單內容，但並未包含旅客信用卡交易資訊。</p> <p>針對上述不法分子冒名雄獅與詐騙的狀況，我們查詢了刑事警察局165公布的解除分期民眾通報高風險賣場，在<a href="https://165.npa.gov.tw/#/article/risk/340">最近一周</a>，也就是今年11月21日到11月27日期間，雄獅旅遊已被列入名單之上，排名當週第六，這表示已有民眾接到假冒雄獅旅遊等名義的詐騙電話而報案。這也與雄獅旅遊公司網站公布的資訊一致。</p> <p>過去，雄獅也曾發生遭駭與顧客個資外洩事件，在<a href="https://www.ithome.com.tw/news/114435">2017年</a>該公司員工電腦也曾遭駭，造成約36萬筆消費者個資外洩，後續的集體訴訟案則在2020年<a href="https://www.ithome.com.tw/news/146250#%E9%9B%84%E7%8D%85">已調解賠償</a>。</p> <h3><strong>回顧一年來國內顧客資料外洩事件，公開說明比例相當低</strong></h3> <p>從近期資安事件重大訊息來看，過去我們看過不少上市櫃或公開發行公司在臺灣證券交易所公告遭受駭客網路攻擊，但較少會提及通知旅客防範詐騙。最早一例，是今年7月<a href="https://www.ithome.com.tw/news/152084">台灣虎航</a>在臺灣證券交易所發布公告，說明遭受駭客網路攻擊事件，並指出已在官方網站張貼「反詐騙聲明」，防治網路詐騙，這次雄獅旅遊也有同樣的狀況。而這樣的舉動，不像是兩起事件，似乎也意味，可能有顧客資料外洩、恐被利用於詐騙的狀況，才需要提醒民眾。</p> <p>儘管後續台灣虎航未傳出相關詐騙消息，可能只是預先提醒，而這次雄獅旅遊公布資安團隊察覺遭駭客攻擊，說明有接獲通報，指出恐有利用近半年訂單資訊的相關詐騙，但我們更在意的是，還有多少駭客攻擊的資安事件、顧客資料外洩的事件，沒有被直接曝光。</p> <p>我們最常看到的，只有165反詐騙諮詢專線會公布民眾通報高風險賣場的名單，警方會向民眾呼籲，注意這些業者存在疑似顧客個資外洩的情形。以最近一年而言，通報件數嚴重的包括：東森購物、誠品、博客來、迪卡儂、旋轉拍賣等眾多業者，儘管這些網購平臺或服務業者在傳出詐騙事件之際，都發布反詐騙公告提醒民眾注意，但對於是否遭駭、發生重大資安事件，或是顧客資料外洩的狀況，後續都沒有相關調查與公告，這也導致，外界只能從許多新聞報導與網友在網路上的留言，得知詐騙者知道民眾的訂單內容與相關資訊。我們認為，可能因為業者未落實記錄保存，導致Log不完整，加上破口可能太多及合作夥伴等原因，而調查不出結果，甚至不知道自己遭駭，這也等於形成國內顧客資料外洩事件的死角。</p> <h2><strong>2022-11-29 雄獅旅遊</strong><strong>資安事件小檔案</strong></h2> <table border="0" cellpadding="0" cellspacing="0" style="width: 547px;" width="547"> <tbody> <tr height="24"> <td height="24" style="height: 24px; width: 170px;">網路攻擊事件類型</td> <td style="width: 378px;">公告中表示說明遭受駭客網路攻擊事件</td> </tr> <tr height="48"> <td height="48" style="height: 48px; width: 170px;">事中應變措施</td> <td style="width: 378px;">公司資安團隊於查知遭受駭客網路攻擊時，已全面啟動相關防禦機制，並委請外部資安公司技術專家共同處理。已通報政府執法部門協助</td> </tr> <tr height="24"> <td height="24" style="height: 24px;">初步調查結果</td> <td style="width: 378px;">目前透露資訊非常有限，未公布影響範圍，被入侵管道。</td> </tr> <tr height="24"> <td height="24" style="height: 24px; width: 170px;">事件影響範圍</td> <td style="width: 378px;">提及於公司官網、電話語音、以及簡訊方式加強張貼及提醒旅客反詐騙聲明</td> </tr> <tr height="24"> <td height="24" style="height: 24px; width: 170px;">事件對營運的影響</td> <td style="width: 378px;">對營運尚無重大影響</td> </tr> <tr height="24"> <td height="24" style="height: 24px; width: 170px;">事後復原與檢討</td> <td style="width: 378px;">本公司將持續強化網路與資訊管控以確保資料安全。</td> </tr> <tr height="24"> <td height="24" style="height: 24px; width: 170px;">對外公告資安事件</td> <td style="width: 378px;">在11月29日發布於臺灣證券交易所重大訊息</td> </tr> <tr height="24"> <td colspan="2" height="24" style="height: 24px;"> 資料來源：iThome整理，2022年12月<br /> </td> </tr> </tbody> </table> <p><a href="https://s4.itho.me/sites/default/files/images/(圖1)雄獅遭受網路駭客攻擊事件2022-11-30_183655.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%961)%E9%9B%84%E7%8D%85%E9%81%AD%E5%8F%97%E7%B6%B2%E8%B7%AF%E9%A7%AD%E5%AE%A2%E6%94%BB%E6%93%8A%E4%BA%8B%E4%BB%B62022-11-30_183655.jpg" style="width: 600px;" /></a></p> <p><strong>上市觀光業雄獅旅遊在11月29日於台灣證券交易所發布資安事件重大訊息，說明公司資安團隊查知駭客網路攻擊，並在改善及未來因應措施中提及通知旅客防範詐騙。</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/(圖2)雄獅遭受網路駭客攻擊事件2022-12-01_124139.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%962)%E9%9B%84%E7%8D%85%E9%81%AD%E5%8F%97%E7%B6%B2%E8%B7%AF%E9%A7%AD%E5%AE%A2%E6%94%BB%E6%93%8A%E4%BA%8B%E4%BB%B62022-12-01_124139.jpg" style="width: 600px;" /></a></p> <p><strong>雄獅旅遊在11月29日於公司網站發布<a href="https://info.liontravel.com/category/zh-tw/notice/index?fr=cg8575C0301C0301M01">公告</a>，說明公司遭網路駭客惡意攻擊電腦作業系統，並提及從不法人士詐騙手法研判，其不法利用的資料可能包括近半年訂單資料，包括訂單聯絡人姓名、電話與購買商品內容，但不包括旅客信用卡交易訊息。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-12-01_150241.jpg" style="width: 600px;" /></p> <p><strong>在<a href="https://165.npa.gov.tw/#/article/risk/340">最近一周</a>刑事警察局165公布的解除分期民眾通報高風險賣場中，雄獅旅遊已列入名單之內，刑事警察局也一再提醒，上述客服不會來電要求民眾操作網路銀行或ATM解除錯誤設定。</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/279239574_359921646178899_3754273653229074782_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/279239574_359921646178899_3754273653229074782_n.jpg" style="width: 295px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/297989693_425156859655377_8370217246096332274_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/297989693_425156859655377_8370217246096332274_n.jpg" style="width: 295px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-12-01_151432.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-12-01_151432.jpg" style="width: 295px;" /></a></p> <p><strong>根據刑事警察局165的資料顯示，關於2022年以來嚴重的高風險賣場，較嚴重的包括東森購物、誠品、博客來、迪卡儂、旋轉拍賣等眾多業者，疑似發生個資外洩。</strong></p> </div></div></div>
2022/12/1 15:34作者羅正漢https://www.ithome.com.tw/news/154511
美國加密貨幣交易平臺Kraken打算裁員3成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2011年成立的美國加密貨幣交易平臺<a href="https://blog.kraken.com/post/16442/business-update/" target="_blank">Kraken周三（11/30）宣布</a>，因不敵全球正在經歷的加密貨幣冬天，將裁撤1,100名員工，約占該公司總人數的30%，所有受影響的員工都已在當天早上收到通知。</p> <p>Kraken表示，過去幾年，全球有數億新用戶進入加密貨幣領域，Kraken也受到數百萬名新客戶的信賴，為了滿足這些新用戶的需求，公司規模快速成長，人力也增加至原本的3倍，在裁員之後，Kraken的員工人數只是回到了一年前的水平。</p> <p>根據Kraken的說法，今年以來全球地緣政治與整體經濟狀況對金融市場造成了壓力，使得註冊的客戶量變少了，交易量亦明顯下滑，就算Kraken已放緩招募腳步，並減少行銷支出，仍無法應對金融市場的負面影響，只得作出裁員的艱難決定。</p> <p>所有被資遣的員工都可獲得16周的薪水與特定的績效獎金，符合資格的員工亦可取得4個月的醫療保險，也將協助員工移民與就業。</p> <p>今年已有多家科技業者展開裁員行動，包括<a href="https://www.ithome.com.tw/news/151188" target="_blank">雲端資安業者Lacework與FinTech業者Bolt Financial</a>、加密貨幣平臺<a href="https://www.ithome.com.tw/news/152081" target="_blank">Blockchain</a>、<a href="https://www.ithome.com.tw/news/152428" target="_blank">微軟</a>、<a href="https://www.ithome.com.tw/news/154029" target="_blank">Lyft</a>、<a href="https://www.ithome.com.tw/news/154018" target="_blank">Stripe</a>、<a href="https://www.ithome.com.tw/news/154112" target="_blank">Meta</a>與<a href="https://www.ithome.com.tw/news/154241" target="_blank">Amazon</a>等。</p> </div></div></div>
2022/12/1 16:53作者陳曉莉https://www.ithome.com.tw/news/154516
OpenAI開發能追問並拒絕不當要求的對話語言模型ChatGPT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI發表對話最佳化語言模型<a href="https://openai.com/blog/chatgpt/">ChatGPT</a>，該模型能夠以對話的方式與使用者進行互動，對話的格式讓ChatGPT可以回答後續問題、承認錯誤、質疑不正確的前提以及拒絕不適當的要求。ChatGPT目前為研究預覽階段，供用戶免費試用。</p> <p>ChatGPT能以對話的方式幫助使用者解決各種問題，像是開發人員可以貼一段存在臭蟲的程式碼，並且要求ChatGPT提供除錯方法，ChatGPT會利用對話與開發者互動詢問更多資訊，以提供具體有效的解法。當然用戶也可以跟ChatGPT討論有關費馬小定理，或是要求ChatGPT編寫一段跟鄰居自我介紹的文字，而ChatGPT會拒絕回答用戶，諸如侵入他人房子的方法等提問。</p> <p>ChatGPT從GPT-3.5的模型微調而成，研究人員運用與之前訓練語言服務模型InstructGPT相同的方法，以人類回饋增強學習（RLHF）訓練該模型，但在資料收集配置上略作調整。ChatGPT仍存在一些限制，像是ChatGPT有時會寫出看似合理，但是不正確或荒謬的答案，研究人員解釋，主要原因有三個，除了在增強訓練時缺乏事實來源之外，訓練模型因為過度謹慎，可能會拒絕回答可以正確回答的問題，又或是在監督訓練時被誤導。</p> <p>ChatGPT對輸入的措辭調整非常敏感，當用戶在查詢問題時，可以嘗試調整措辭或以相同提示多試幾次，當模型表示不知道答案，可能用戶只要稍微改寫句子，模型就能夠正確回答。</p> <p>研究人員還提到，有時候ChatGPT的解釋會過度冗長或是不停重複部分詞語，像是一直重申他是由OpenAI訓練的語言模型，而原因來自訓練資料的偏差，因為人工智慧訓練者喜歡更全面且更長的回答，再加上常見的模型過度最佳化問題，讓ChatGPT出現重複語句的問題。在理想的情況，當用戶提出模稜兩可的查詢時，模型會提出問題試圖澄清查詢，但當前模型通常傾向猜測用戶的意圖。</p> <p>另外，雖然OpenAI盡量讓ChatGPT能夠拒絕不當請求，但是ChatGPT有時候仍會回應有害指令或是出現偏見行為，研究人員以Moderation API來警告或阻擋特定類型的不安全內容，但是預期會有部分遺漏，他們會收集用戶回饋，並且改進該系統。</p> </div></div></div>
2022/12/1 16:57作者李建興https://www.ithome.com.tw/news/154513
數位廣播電臺SiriusXM漏洞成為駭客入侵汽車的管道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/samwcyo/status/1597792097175674880" target="_blank">資安賞金獵人Sam Curry本周揭露</a>，該團隊可自遠端解鎖、啟動、定位或存取Honda、Nissan、Infiniti與Acura等眾多品牌的汽車，只因為它們都使用了同樣的衛星廣播服務SiriusXM，且該服務暗藏了一個身分認證漏洞。</p> <p>Curry說明，他們先是在不同的汽車上的車載資訊系統（Telematics）發現允許遠端存取的安全漏洞，進而好奇車載資訊系統供應商的身分，卻發現兇手是美國知名的衛星廣播服務SiriusXM。</p> <p><a href="https://www.siriusxm.com/corporate?intcmp=FullFooter_NA_www:help_AboutSiriusXM" target="_blank">Sirius XM</a>為美國的數位及衛星廣播服務供應商，提供各種與聲音有關的數位娛樂，不管是音樂、運動、談話節目或播客等，號稱是北美最大的數位音訊供應商，其SiriusXM服務安裝在美國所有主要汽車品牌的新車上，就算是中古車也有接近一半內建了SiriusXM。</p> <p>而Curry則發現，SiriusXM所支援的車款涵蓋了Acura、BMW、Honda、Hyundai、Infiniti、Jaguar、Land Rover、Lexus、Nissan、Subaru與Toyota。</p> <p>研究顯示，SiriusXM系統含有一個身分認證漏洞，由於SiriusXM被整合在不同品牌的車載資訊系統上，於是便可藉由該漏洞挾持車載資訊系統，只要知道汽車的識別碼（VIN），就能存取汽車與車主資訊、遠端解鎖及啟動汽車、定位汽車或閃燈等。</p> <p>在<a href="https://gizmodo.com/sirius-xm-bug-honda-nissan-acura-hack-1849836987" target="_blank">《Gizmodo》</a>向Sirius XM求證之後，Sirius XM坦承該漏洞的存在，並說已在收到Curry的漏洞報告之後的24小時內便完成修補。</p> </div></div></div>
2022/12/1 16:34作者陳曉莉https://www.ithome.com.tw/news/154512
【AWS re:Invent 2022直擊】AWS新產品戰略將以資料為主軸，透過整合、治理、安全和透明化來達成數據創新…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【<strong>美國拉斯維加斯現場報導</strong>】今年AWS re:Invent 2022年度大會正式邁入第11屆，超過5萬人實體到場，已恢復往日水準。今年活動重頭戲，就是29日主題演講，AWS執行長Adam Selipsky這次登臺，相較去年首次登場，大多時候都在回顧AWS在各項領域發展，如今執掌一年多，他今年對這家雲端巨頭未來發展策略，明顯有了更清晰的藍圖。在他的帶領下，AWS將以資料為主軸，透過整合、治理、安全和透明化，建立更廣闊的數據探索領域，來達成數據創新，甚至更要朝向「全解決方案」產業應用來發展。</p> <p>一開場，Adam Selipsky先細數他們如何協助大型企業用AWS雲克服自身挑戰，如IBM集團用公雲打造連網汽車服務顛覆駕駛體驗，也有美國遊戲開發商Riot Games靠雲端來應付每秒50萬起事件通報與處理，提高用戶體驗以獲得更高收益。還有全球最大證券交易所Nasdaq完成關鍵核心系統上雲，用於處理金融市場證券發行業務，更多系統年底前將上雲。</p> <p>不僅大型企業有用，Adam Selipsky也引用數據強調，超過8成新創獨角獸都是AWS客戶。</p> <p>Adam Selipsky不只一開始就大談企業上雲經驗，他對於企業用戶的重視，也反應在今年AWS產品發布上跟往年明顯不同。AWS今年產品策略以擴大和延續為主，許多產品發布都比較是對既有服務或產品的補強，不是大更新，而是回應顧客最迫切想要的功能，雖然少了酷炫，但也意味著，他們開始深入企業應用，來一一把各種企業需求補齊。</p> <p>長達2小時的主題演說，Adam Selipsky用「合適工具（Right Tools）」、「整合（Integration）」、「治理（governance）」以及「洞察（Insight）」貫穿整場演講。他表示，面對複雜的資料規模挑戰，企業需要一套完整工具，可以處理各種資料類型，並將這些資料整合，然後提供治理和安全性，還要能夠以視覺化呈現，方便掌握和快速傳遞，來獲得對於公司業務有價值的洞察。</p> <p>他所提出的這個企業數據戰略，可以說就是AWS新的產品策略，這次眾多雲端產品發布和服務更新，都是圍繞這個新策略發展，推出各種資料整合、治理、安全和透明化的服務方案。</p> <h3><strong>對無伺服器布局更加完整，能夠通吃旗下所有分析服務</strong></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/R0009264(1).JPG" style="width: 600px; height: 308px;" /></p> <p>在工具上，AWS已提供完整資料庫、分析、ML/AI工具，協助企業做資料處理和運用。尤其在分析服務上，AWS今年對於無伺服器（serverless）布局更加完整了。去年AWS在年度大會上宣布AWS資料倉儲服務Redshift能支援無伺服器服務後，其他分析服務今年也陸續開始支援，包括大數據處理平臺EMR、即時分析工具MSK，加上原本就能用於無伺服器型態的互動式查詢服務Athena、資料串流服務Kinesis、資料整合服務AWS Glue以及BI服務QuickSight。就只有搜尋和分析引擎服務OpenSearch還沒serverless化，不過今年AWS也把這個缺口填平。雖然只有預覽版，但透過該服務，企業已經能根據工作量變化自動擴展，因應PB級數據查詢和分析任務需求，包括日誌分析、即時應用監控、點擊流量分析等。</p> <p>Adam Selipsky強調：「沒有人像我們可以做到所有分析服務都能提供serverless。」</p> <p>為何serverless對於AWS如此重要？Adam Selipsky並沒有太多說明，但從他去年大會上曾提到說，在他來看，雲端運算還在初期發展階段，要先把下水道工程布局布好，所以AWS是以雲還在起步的概念來布局，而serverless就是一個重要戰略，對於serverless持續加快布局，就是要把包括分析在內的服務都serveless化，這一步還在持續發展，但AWS先從資料分析服務著手，並用資料整合來加以擴大。</p> <p>不光是提供serverless型態，其他資料庫和分析服務這次也新增不少功能，像是有推出整合Spark的Athena服務，讓Athena使用Spark進行互動式分析更容易，以及透過自動化監測和管理提高AWS Glue服務中的資料品質。另外DocumentDB Elastic Clusters服務現在可以支援每秒數百萬次寫入和儲存PB級資料。還有為Redshift提供高可用配置設定，能跨多個可用區進行配置。</p> <h3><strong>以實現zero-ETL願景的資料整合為目標</strong></h3> <p>AWS今年在資料整合也有新布局，以往要做到不同資料庫、資料倉儲的資料整合這件事，需要透過ETL（萃取、轉置、載入）流程，對於分析人員來說，太花時間，所以需要有新的資料整合方式，來加快資料運用。這也成了AWS想要替企業客戶解決的痛點。甚至Adam Selipsky明白指出：「對於AWS而言，未來將以提供實現zero-ETL願景的資料整合為目標。」</p> <p>Amazon Aurora zero ETL Integration with Redshift推出，就是AWS跨出資料整合第一步，先讓自家兩大數據雲端服務Aurora與Redshift的資料能夠整合，只要將資料寫入Aurora幾秒內，數據就可以在Redshift中來使用，不需要建立和執行繁鎖ETL流程。這種zero-ETL資料整合方式，也讓企業可以在Redshift實例中分析多Aurora資料庫叢集的數據，來獲得跨多應用的整體洞察。</p> <p>AWS對於資料倉儲的布局，也跨到整合串流大數據分析領域的主流平臺Spark，使企業以後在Redshift上構建和執行Spark應用變得容易多了。</p> <p>在AI產品發展上，AWS延續去年端到端的資料戰略，AWS從去年就已經建構更加完整的機器學習和AI服務，從底層機器學習框架及基礎架構，到機器學習訓練環境全託管服務SageMaker，以及上層AI服務。</p> <p>雖然這次SageMaker服務沒有大型更新，大多是一些補強功能，但也持續加強SageMaker服務完整性，像是新增ML Governance功能，可以讓端到端ML開發過程中，開始能夠結合治理和審計功能，來幫助企業解決ML治理的挑戰。對於機器學習模型建立，現在也可以支援使用地理空間的資料，來建立、訓練和部署相關ML模型。</p> <p>而在No code服務上，AWS針對No code的QA工具Quicksight Q推出新功能，不只是能以自然語言進行提問，還能讓使用者可以用「為什麼」來發問，再根據機器學習模型得到預測和分析的結果，給出建議或答案。而透過採用這樣方式，可以降低專業IT或資料科學家的負擔，讓更多非專業素人更容易運用AI。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20221129_181236691.jpg" style="width: 600px; height: 390px;" /></p> <h3><strong>借助Amazon電商供應鏈多年經驗，推出雲端供應鏈管理新服務</strong></h3> <p>在產業應用上，AWS也開始朝向全解決方案發展，這次新推出的AWS Supply Chain雲端供應鏈管理服務，就是瞄準全產業供應鏈管理需求。雖然目前仍是預覽版，但AWS強調，透過這套服務，企業未來可以自動組合和分析跨多個供應鏈系統的數據。這套服務更是借助了Amazon電商物流供應鏈多年經驗與技術發展而來，但不限於電商，其他行業也能用。</p> <p>更進一步來說，企業能使用該應用服務內建的連接器，建立統一供應鏈數據湖，該連接器運用Amazon在供應鏈使用預訓練機器學習模型，來匯整從ERP和供應鏈管理系統中取得的所有數據，並以視覺化呈現，除了方便相關負責人隨時查看庫存變化，也能以此建立風險預警機制，一旦辨識為潛在高風險情況，就能提供警訊給負責人員，提前採取避險行動。</p> <p>採用業者目前有全美最大天然及有機食品超市Whole Foods Market、美國廚具供應商Lifetime Brands以及燒烤設備製造業者Traeger Grills。該服務將會在美國、歐洲上線，其他地區陸續也將推出。</p> <p>另外在安全上，AWS這次推出名為Amazon Security Lake的安全數據湖服務，可以協助企業組織聚集、管理和分析日誌和事件數據，包含AWS和其他合作廠商的數據，讓整個威脅檢測、調查和事件應變速度能更加提升。新的數據管理服務DataZone，則使企業能夠很快對儲存在AWS中的數據進行目錄編制、探索、共享和管理，確保資料來源是安全且可信。在GuardDuty EKS Protection防護服務上，新增對於容器runtime威脅偵測功能。</p> <p>在基礎設施方面，AWS目前超過600種運算實例類型，涵蓋一般用途、運算優化、記憶體優化、儲存優化、爆漲型效能及加速硬體等，AWS這次也發布採用新一代Nitro系統和Graviton處理器的執行個體服務。</p> <p>Nitro是AWS打造的EC2執行個體基礎平臺，歷經4代改版後，新一代Nitro大幅提高網路傳輸能力，每秒封包傳輸速度較前一代提高60%，反應速度加快30%，每瓦效能也有獲得40％改善。AWS這次還更新Graviton產品，儘管未是如外界預期Graviton4，而是改推出一款經改良的Graviton3E處理器晶片，但是該款處理器的向量指令性能表現，較前一代Graviton3能再提高30%，專用於HPC應用場景需求。</p> <p>AWS運用Graviton3E和Nitro推出多個執行個體服務，包含能支援200Gbps超大網路頻寬的C7gn，還有推出高效能運算專用的Hpc7G等。AWS這次也更新x86架構EC2實例，推出名為R7iz的新類型，能夠支援第4代Intel Xeon Scalable處理器，使每個vCPU效能比z1d再提升20%。C7gn、R7iz先推預覽版，Hpc7G最快明年才推出。</p> </div></div></div>
2022/12/1 13:40作者余至浩https://www.ithome.com.tw/news/154504
AWS推可整合與分析安全資料的資料湖服務Amazon Security Lake
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為滿足企業對於安全資料分析需求，AWS推出了<a href="https://aws.amazon.com/tw/blogs/aws/preview-amazon-security-lake-a-purpose-built-customer-owned-data-lake-service/">Amazon Security Lake</a>服務預覽版，該服務能夠自動將組織的安全資料，從雲端和本地來源集中儲存到專門的資料湖，官方提到，Amazon Security Lake自動化安全資料管理，整合AWS服務和第三方服務所產生的資料，用戶可設置留存規則來管理資料生命周期，同時該服務還會自動分層儲存以節省成本。</p> <p>Amazon Security Lake的主要功能，會自動收集包括Route 53、S3和Lambda，以及Security Hub來自GuardDuty、Macie與Health Dashboard的日誌和事件來源，另外，超過50個第三方安全調查結果，也能夠整合到Amazon Security Lake中，AWS安全合作夥伴可以直接將資料，透過OCSF（Open Cybersecurity Schema Framework）標準格式發送至Security Lake。</p> <p>官方提到，Security Lake能夠自動對傳入的日誌資料建立分割區，並將其轉換成能夠高效儲存和查詢的Parquet或OCSF格式，促使資料更廣泛安全地分析。管理人員還能夠控制Security Lake訂閱者的資料存取層級，遵守資料留存法規要求。</p> <p>目前Security Lake已經整合許多第三方資料來源和訂閱服務，支援OCSF安全資料的第三方來源包括Cisco、Palo Alto Networks和VMware等，而支援的第三方自動化分析工具則包含Datadog、IBM與Splunk等。</p> <p>Amazon Security Lake預覽版已經在多個AWS地區上線，包括美東、美西、歐洲，亞太則有東京和雪梨地區。</p> </div></div></div>
2022/12/1 16:14作者李建興https://www.ithome.com.tw/news/154510
IBM與Maersk將關閉航運區塊鏈平臺TradeLens
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>總部位於丹麥的全球最大貨櫃船運業者<a href="https://www.maersk.com/news/articles/2022/11/29/maersk-and-ibm-to-discontinue-tradelens" target="_blank">快桅（A.P. Moller-Maersk，Maersk）周二（11/29）宣布</a>，即日起將著手關閉在2018年與IBM共同推出的航運區塊鏈平臺TradeLens，預計於明年第一季正式下線。</p> <p><a href="https://www.tradelens.com/" target="_blank">TradeLens</a>屬於物流科技（FreightTech），指的是由軟體公司利用技術來協助發展物流領域的供應鏈管理，而由IBM與Maersk旗下部門GTD Solution<a href="https://www.ithome.com.tw/news/120783" target="_blank">在2018年共同推出的TradeLens</a>則採用當時最時興的區塊鏈技術，將全球貨櫃交易系統數位化，成立5年來已追蹤逾37億次的航運事件，處理近7,000萬個貨櫃。</p> <p>不過，Maersk商用平臺負責人Rotem Hershko表示，TradeLens創立於大膽的願景上，企圖成為一個開放與中立的產業平臺，只是雖然它們已成功打造出一個可行的平臺，卻未實現全面的全球產業協作，這使得TradeLens沒能達到持續運作所需的商業水準，也無法滿足作為一獨立業務的財務預期。</p> <p>從現在到明年第一季這段期間，TradeLens團隊將會協助客戶在不中斷業務的情況下退出服務。</p> <p>儘管決定棄守TradeLens，但Maersk強調將持續數位化其供應鏈，並藉由其它解決方案來增進產業的創新，以減少貿易磨擦並促進更多的全球貿易。</p> </div></div></div>
2022/12/1 14:00作者陳曉莉https://www.ithome.com.tw/news/154509
AI趨勢周報第202期：DeviantArt打造文生圖AI，還賦予創作者同意權和加註權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1118～1124)</span></p> <p>生成式AI近來如火如荼發展，但也引發不少問題。比如文字轉圖像AI，就有畫作版權問題，為此，DeviantArt打造一款文生圖AI，賦予創作者同意權和加註權，可拒絕將自己的作品讓模型使用。另一方面，生成式AI也有Deepfake問題，英特爾打造一套系統來揪出Deepfake假影片。在AI應用部分，則有專家探究樹狀模型分析表格數據的能力比深度學習模型好，IBM與PyTorch也發現大型AI模型在雲端訓練的加速方法，AWS正式推出整合機器人的服務，而Nvidia釋出新工具來加速醫療AI應用的打包和測試；同樣是醫療AI，臺北慈濟揭露要開發更多影像AI，如氣胸、心臟腫大。最後，Meta成功研發能執行複雜遊戲任務的AI系統，可制訂策略、說服玩家並取勝。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">DeviantArt </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DreamUp </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 文生圖 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>新做法！DeviantArt打造文生圖AI，還賦予創作者同意權和加註權</strong></span></p> <p>隨著多模態AI發展，這兩年出現不少文生圖（即文字轉圖像）大型模型，如OpenAI的DALL-E 2、Google的Imagen和Parti，雖能產生創新細膩的畫風，卻也引發AI畫作奪下美國藝術大賽首獎的爭議，以及AI產出的畫作版權問題。</p> <p>為解決版權問題、保障藝術家權益，知名線上數位藝術交流社群DeviantArt近日打造一款文生圖AI模型DreamUp，是開源文生圖產生器Stable Diffusion的一般實作，利用網路上的畫作訓練而成。它可讓使用者輸入文字，甚至可輸入想產出哪位畫家的風格，來生產畫作。但不同的是，他們給予藝術創作者決定權，來決定是否要讓自己的作品，出現在模型訓練資料集中，以及是否開放讓DreamUp產出自己創作風格的畫作，若同意，系統會在AI產出的畫作上加註標籤，給予認可。</p> <p>不過，根據<a href="https://www.deviantart.com/team/journal/Create-AI-Generated-Art-Fairly-with-DreamUp-933537821">官網最新資訊</a>，DeviantArt宣布，所有在DeviantArt上發布的作品，都不會作為DreamUp和第三方AI模型的訓練資料。<a href="https://www.dreamup.com/">（詳全文）</a></p> <p><img alt="" src="https://images-wixmp-ed30a86b8c4ca887773594c2.wixmp.com/f/eae614f8-f83b-4837-935b-ab22f4298eb2/dfhfljl-3652940b-9cf2-42bd-bee3-69c2a6ea4bcd.png/v1/fill/w_962,h_831,q_70,strp/dreamup_promo_by_team_dfhfljl-pre.jpg?token=eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJzdWIiOiJ1cm46YXBwOjdlMGQxODg5ODIyNjQzNzNhNWYwZDQxNWVhMGQyNmUwIiwiaXNzIjoidXJuOmFwcDo3ZTBkMTg4OTgyMjY0MzczYTVmMGQ0MTVlYTBkMjZlMCIsIm9iaiI6W1t7ImhlaWdodCI6Ijw9MTEwNSIsInBhdGgiOiJcL2ZcL2VhZTYxNGY4LWY4M2ItNDgzNy05MzViLWFiMjJmNDI5OGViMlwvZGZoZmxqbC0zNjUyOTQwYi05Y2YyLTQyYmQtYmVlMy02OWMyYTZlYTRiY2QucG5nIiwid2lkdGgiOiI8PTEyODAifV1dLCJhdWQiOlsidXJuOnNlcnZpY2U6aW1hZ2Uub3BlcmF0aW9ucyJdfQ.VFpfux0HsQl44Pb-qON8hgImEFmdTcQ1OdPNp0qRMfU" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 決策樹 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 表格數據 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 類神經網路 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>為何決策樹在處理表格數據比類神經網路好？專家找到原因</strong></span></p> <p>雖然類神經網路在語音、文字和圖像處理方面表現優越，但對於表格類數據的預測，卻仍不如決策樹及其變形演算法。法國國家訊息與自動化研究所（Inria Saclay Centre）和索邦大學聯手研究，他們先以45個表格資料集，如電價漲跌和房市預測等資料，來訓練多個類神經網路和樹狀模型，像是ResNet、Transformer模型，以及XGBoost、隨機森林、梯度升高機等。</p> <p>接著，他們對每個模型訓練400次，在預訓練超參數空間中隨機搜尋。再來，他們根據測試集準確率和回歸模型R2值，來評估模型的分類表現。團隊發現，樹狀模型的表現比深度學習模型好上2、3成，但在另一個平滑標籤的實驗中則發現，樹狀模型用平滑標籤訓練，表現下降得比神經網路還多，也就是神經網路比較適合平滑標籤，而樹狀模型學習不規則映射標籤的能力較好。<a href="https://openreview.net/forum?id=Fp7__phQszn&utm_campaign=The%20Batch&utm_source=hs_email&utm_medium=email&_hsenc=p2ANqtz-_X9dgflKKIB9X0cYyeTNFmsYGmyDE0Mj7YKcqUcOU2cPXmq4GSYmYQ2e3JhdecNio8aApx">（詳全文）</a></p> <p><img alt="" src="https://github.com/LeoGrin/tabular-benchmark/raw/main/analyses/plots/random_search_classif_numerical.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 英特爾 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> FakeCatcher </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Deepfake </span></strong></span></p> <p><span style="font-size:22px;"><strong>準確率96%！英特爾新偵測技術能即時辨識Deepfake</strong></span></p> <p>英特爾推出可準確偵測Deepfake虛假影片的偵測器FakeCatcher，準確率高達96％！英特爾號稱是全球首個能以毫秒即時回傳結果的Deepfake偵測器。英特爾即時平臺所使用的偵測器FakeCatcher，由英特爾與紐約州立大學研究人員共同開發，並在英特爾的硬體和軟體上運作。</p> <p>目前大多數深度學習偵測器，都是查看原始資料，試圖找影片中不合理的線索。但FakeCatcher是判斷影片人像的血流，也就是尋找影片中真實之處，來證明影片非合成。當人類的心臟跳動泵血作用發生時，靜脈的顏色會發生改變，FakeCatcher收集臉部的血流訊號，並將這些訊號轉換成時空圖，由深度學習演算法立刻判斷影片真偽。<a href="https://www.intel.com/content/www/us/en/newsroom/news/intel-introduces-real-time-deepfake-detector.html#gs.iiv85u">（詳全文）</a></p> <p><img alt="" src="https://www.intel.com/content/dam/www/central-libraries/us/en/images/2022-11/newsroom-deepfake-ifgx.jpg.rendition.intel.web.1648.927.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫療影像AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MONAI Deploy </span></strong></span></p> <p><span style="font-size:22px;"><strong>Nvidia推出新框架來加速醫療影像AI部署</strong></span></p> <p>Nvidia日前宣布推出MONAI Deploy框架，來加速醫療影像AI應用的部署工作。MONAI是一款開源的醫療影像AI框架，提供影像標註、AI模型開發和加速訓練，至今已超過65萬次下載。這次，MONAI框架中新添MONAI Deploy工具，來加速使用者將醫療AI應用，部署到既有的醫療生態系中。MONAI之所以能加速，是因為有MAP這個打包技術，簡化AI模型的打包和測試過程，且MAP規格還整合了醫療資料交換標準，如DICOM，來提高互通性。</p> <p>此外，不少公雲業者也支援MAP和MONAI Deploy，如Amazon HealthLake Imgaing服務就與MAP連接器串聯，使用者可即時查看、處理和分割影像，再來還有Google雲的醫療影像套件、微軟Azure的Nuance Precision Imaging Network，以及甲骨文Cloud Infrastructure，來讓使用者在容器或自有平臺上使用這些工具。目前採用MONAI Deploy的使用者有辛辛那提兒童醫院、英國國民保健署醫院、加州大學舊金山分校等。<a href="https://blogs.nvidia.com/blog/2022/11/28/monai-deploy-framework-medical-imaging-ai-apps/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IBM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> PyTorch </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 大型模型 </span></strong></span></p> <p><span style="font-size:22px;"><strong>IBM聯手PyTorch提高大型AI模型上雲訓練效率</strong></span></p> <p>IBM研究院與PyTorch合作，發展一套rate_limiter控制元件，能透過配置訓練時的記憶體，讓數十億參數的模型，也能在標準雲端網路基礎設施（如乙太網路）上執行訓練。</p> <p>IBM表示，一般參數數十億的模型，大多得在高效能運算（HPC）基礎設施上執行，但對許多想要自己訓練模型、自己使用的開發者來說，就是個大挑戰。於是，IBM與PyTorch分散式團隊合作，利用PyTorch的完全分片資料平行技術（FSDP）、開發FSDP API和rate_limiter控制元件，來控制用於發送和接收張量的記憶體，提高4.5倍效率。他們成功在IBM Cloud上的標準乙太網路訓練110億參數的模型，這個雲平臺算力由200個節點組成，每個節點有8張Nvidia A100 80GB顯示卡，與96 vCPU、1.2TB CPU記憶體。該系統自5月開始運作，可完成大型模型端到端訓練、微調和推理。<a href="https://research.ibm.com/blog/ibm-pytorch-cloud-ai-ethernet">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Meta </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CICERO </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 外交 </span></strong></span></p> <p><span style="font-size:22px;"><strong>策略AI新成就！Meta新遊戲AI與真人玩家談判還獲勝</strong></span></p> <p>Meta打造新AI系統CICERO，可在策略遊戲《外交》中與其他人類玩家溝通，甚至說服其他玩家結盟、取得勝利，還躋入遊戲排名前10％。《外交》這款遊戲一直是AI難以克服的挑戰，因需掌握、理解其他玩家的動機和觀點，並制定複雜的計畫，再以自然語言與其他人類玩家達成協議。</p> <p>CICERO主要運用2種AI領域，一是策略推理，如AlphaGo中的代理，另一是自然語言處理（NLP），如GPT-3和LaMDA。比如，CICERO推論在遊戲後期需要某玩家的支援，它就會從該玩家的角度來分析風險和機會，來擬訂策略、得到該玩家的青睞。CICERO由一個可控的外交對話模型和一個策略推理引擎組成，在遊戲的每個階段，CICERO會查看遊戲板和對話歷史，然後對其他玩家可能採取的行動建模，並用來控制一個開放式對話的語言模型，來告知其他玩家模型的計畫、提出合理的行動建議。最後，Meta也開源CICERO程式碼。<a href="https://ai.facebook.com/blog/cicero-ai-negotiates-persuades-and-cooperates-with-people/">（詳全文）</a></p> <p><img alt="" src="https://scontent.ftpe8-4.fna.fbcdn.net/v/t39.2365-6/315836854_652152046378603_5234375388719659388_n.gif?_nc_cat=111&ccb=1-7&_nc_sid=ad8a9d&_nc_ohc=TZnWw2pMaawAX-0bzn-&_nc_ht=scontent.ftpe8-4.fna&oh=00_AfDAJk0X_xyC7Nk8-IBctnpBc8h5dmknJ9rT8nEnkhruAQ&oe=638C7F68" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 臺北慈濟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫療AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺灣人工智慧實驗室 </span></strong></span></p> <p><span style="font-size:22px;"><strong>臺北慈濟要打造更多醫療影像AI</strong></span></p> <p>臺灣人工智慧實驗室（Taiwan AI Labs）日前與臺北慈濟醫院簽署MOU，要鎖定醫療影像AI、早期預警等領域，打造創新應用來解決各種臨床問題。特別的是，他們不只著重於研發，還著墨可信任、可解釋AI，貼近行政院接下來要推動的第2期臺灣AI行動計畫方向。</p> <p>目前，臺北慈濟的醫療AI應用有ICD-10疾病分類智能編碼，可推薦醫師診斷關聯群DRG的最適組合，此外還有檢體影像智能自動判讀系統和血液細胞型態自動閱片分析儀，以AI來加速檢驗工作。而在臨床方面，臺北慈濟也與華碩打造敗血症預測系統，來即時預警敗血症，降低院內敗血症死亡率。</p> <p>臺北慈濟醫院趙有誠院長表示，這次與臺灣人工智慧實驗室的開發計畫，將先鎖定放射科與胸腔科，建置影像判讀AI系統，來判讀氣胸、肺結核、心臟腫大等病灶。對臺灣人工智慧實驗室來說，與臺北慈濟聯手是個重要起點，未來若能與各地慈濟醫療體系串聯，就能更廣泛運用AI。<a href="https://tw.tzuchi.org/%E5%85%A8%E7%90%83%E5%BF%97%E6%A5%AD/%E8%87%BA%E7%81%A3/item/27013-%E5%8C%97%E6%85%88%E8%88%87%E4%BA%BA%E5%B7%A5%E6%99%BA%E6%85%A7%E5%AF%A6%E9%A9%97%E5%AE%A4%E7%B7%A0%E7%B4%84-%E5%85%A8%E9%9D%A2%E6%8B%93%E5%B1%95%E6%99%BA%E6%85%A7%E9%86%AB%E7%99%82">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AWS </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機器人 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IoT RoboRunner </span></strong></span></p> <p><span style="font-size:22px;"><strong>AWS正式推出機器人機隊管理服務</strong></span></p> <p>AWS正式推出機器人服務IoT RoboRunner，可用來打造機器人機隊，讓使用者控制機器人無縫協作、打造自動化應用。AWS指出，IoT RoboRunner可減少用戶在開發機器人應用程式時，所面臨的多供應商間互通性問題。進一步來說，IoT RoboRunner能從機器人機隊管理器中收集和組合資料，並在集中式儲存庫中標準化機器人狀態、位置等資料類別，提高互通性。系列功能包括機隊管理系統閘道器，能用於管理機器人供應商和IoT RoboRunner的介接，而Shared Space則可在共用空間中協調機器人。<a href="https://aws.amazon.com/tw/about-aws/whats-new/2022/11/aws-iot-roborunner-generally-available/">（詳全文）</a></p> <p>圖片來源／DeviantArt、Inria Saclay Centre、Meta、英特爾</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. OpenAI API釋出更強大的GPT-3新模型Davinci</strong></p> <p>資料來源：iThome整理，2022年12月</p> </div></div></div>
2022/12/1 12:45作者王若樸https://www.ithome.com.tw/news/154508
Google揭露西班牙商業間諜軟體供應商Variston IT的攻擊框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/threat-analysis-group/new-details-on-commercial-spyware-vendor-variston/" target="_blank">Google威脅分析小組（Threat Analysis Group，TAG）在本周揭露</a>了一個由西班牙商業間諜軟體供應商Variston IT所打造的攻擊框架Heliconia，此一框架不僅利用了Chrome、Firefox與Microsoft Defender的零時差漏洞，也提供所有於目標裝置上部署酬載（Payload）的必要工具。</p> <p>TAG長期追蹤各個商業間諜軟體供應商活動，此一產業這幾年發展蓬勃，讓許多政府客戶得以利用它們所開發的平臺或工具來監控新聞記者、人權鬥士與異議份子，而TAG則是在收到匿名的Chrome錯誤報告時，察覺Heliconia的存在。</p> <p>TAG在Heliconia中發現了3個子框架，分別是用來攻擊Chrome沙箱逃逸漏洞的Heliconia Noise，可用來部署含有 Windows Defender攻擊程式之PDF檔的Heliconia Soft，以及可用來攻擊Linux與Windows平臺上Firefox多個安全漏洞的Files。</p> <p>研究人員在Heliconia Noise中發現了開發商Variston IT的名稱，這是一家位於西班牙巴塞隆納的小公司，專門替客戶量身打造資安解決方案。</p> <p>分析顯示，Variston IT在Heliconia框架中所利用的安全漏洞不一定都有漏洞編號（CVE），即使包括Google、微軟與Mozilla都已陸續在去年及今年初修補了被利用的漏洞，且現在並未偵測到任何攻擊行動，但TAG團隊相信，這些漏洞在業者修補之前應該已遭濫用。</p> <p>相關研究彰顯了商業監控活動的擴散，也讓更多的國家能獲得以往只有財力雄厚且具備技術專長的政府才能取得的能力，TAG認為，間諜軟體產業的成長提高了使用者的風險，也降低網路的安全性，即便在某些國家可能是合法的，卻是以有害的方式來對待特定族群，促使TAG決定繼續追蹤並揭露它們。</p> </div></div></div>
2022/12/1 10:24作者陳曉莉https://www.ithome.com.tw/news/154507
AWS成功在衛星部署機器學習技術，供用戶在太空邊緣處理原始資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端上太空成了新興雲端發展方向之一，AWS也致力於在太空建構雲端基礎設施，該公司在其雲端大會AWS re:Invent 2022公開目前雲端上太空的最新成果，他們已經<a href="https://aws.amazon.com/tw/blogs/publicsector/aws-successfully-runs-aws-compute-machine-learning-services-orbiting-satellite-first-space-experiment/">在軌道衛星成功執行AWS運算和機器學習軟體</a>，而AWS提到，這是目前史無前例的太空實驗。</p> <p>這項太空實驗在過去10個月於低地球軌道衛星上進行，目標是要測試以更快更有效的方式，讓用戶可以透過雲端服務，直接在衛星上收集和分析太空資料。目前的實驗成果，用戶已經能夠在衛星上分析大量原始太空資料，並且僅透過衛星下行連結傳送有用的圖像，以供進一步儲存和分析，藉以降低成本並且加速決策步調。</p> <p>AWS提到，在衛星上執行即時資料分析，並透過雲端將分析結果直接交付給決策者，是目前太空資料管理的明確發展方向，有助於突破目前衛星營運的邊界。也就是說，衛星營運商能夠使用熟悉的AWS工具和更新的命令，透過雲端安全地與太空裝置通訊。</p> <p>這項太空雲端實驗，AWS與D-Orbit、Unibap兩家太空業者合作，D-Orbit是太空物流和運輸服務公司，其使用AWS運算和機器學習服務，在ION衛星（下圖）上快速分析大量太空資料進行地球觀測。另外，Unibap則是在衛星上部署程式，目標是要讓終端客戶可以將原始衛星資料，在數分鐘內轉換成為警報，像是從太空辨識地球雲層或是野火煙霧，甚至是建築物和船隻等物體，在特定條件發出警報作為觸發事件。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/ION-SCV004-new11-750px.jpg" style="width: 580px; height: 670px;" /></p> <p>AWS解釋，原始衛星圖像和資料集檔案通常非常龐大，所以Unibap透過機器學習技術，大幅縮小圖像42％，進而提高處理速度並且實現即時推理運算。Unibap團隊透過多個地面站與衛星連線，雙向操作太空資料，而這仰賴AWS雲端和衛星之間的TCP/IP代理，這種方式讓Unibap團隊不需要手動處理多重下行連結，系統將自動管理檔案傳輸。</p> <p>目前AWS、Unibap和D-Orbit的聯合太空實驗仍在進行中，並且繼續測試各種可能性，包括探索更多在衛星處理原始資料的方法，或是更精細的資料傳輸方式。</p> </div></div></div>
2022/12/1 09:51作者李建興https://www.ithome.com.tw/news/154492
AWS發布SimSpace Weaver服務支援超大規模空間模擬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS推出支援大規模空間模擬的運算服務<a href="https://aws.amazon.com/tw/blogs/aws/new-aws-simspace-weaver-build-large-scale-spatial-simulations-in-the-cloud/">SimSpace Weaver</a>，用戶透過SimSpace Weaver可以最多將工作負載擴展至10個執行個體，以進行超大規模的模擬運算。AWS提到，SimSpace Weaver是一個全新的運算服務，模擬開發人員將不受硬體運算和記憶體資源限制。</p> <p>各類型組織都需要對罕見、危險和成本高昂的情況進行模擬，像是政府需要以模擬來測試，自然災害發生時城市的反應系統，或是活動策畫者需要針對大型活動，先進行模擬以預測人流對交通的影響。在這些用例，規畫人員透過模擬測試不同的情況，並且調校每個系統。</p> <p>目前空間模擬通常受限於單一硬體上運作，當開發人員想要模擬更複雜的事件，加入更多的獨立且動態的實體，就需要採用更大的電腦，因此開發人員常因模擬規模受限，需要犧牲模擬的逼真度。AWS表示，真實世界非常複雜，要評估大型演唱會和體育賽事對交通的影響，需要數十萬個獨立動態實體進行建模以表示人員和車輛，每個實體都有自己的行為，模擬系統需要計算這些實體在世界移動，並且和其他實體互動後的狀況。</p> <p>要對這樣規模的事件進行模擬，所需要的CPU和記憶體，超出單一執行個體所能提供的資源，而這便是SimSpace Weaver用武之地，該服務可以跨多個EC2執行個體執行大規模模擬，支援超過1百萬個獨立動態實體。</p> <p>SimSpace Weaver讓用戶可以設定模擬所需要的運算容量，以及將其拆分成多區的方式，將模擬擴展至最多10個EC2執行個體，SimSpace Weaver會處理EC2執行個體的配置，啟動模擬應用程式，並負責在模擬結束後清理環境。</p> <p>用戶不用擔心分區間傳輸實體的複雜性，SimSpace Weaver資料複製系統處理傳輸網路和記憶體管理，而SimSpace Weaver另一個重要功能便是調度程式，調度程式同步所有分散式分區模擬頻率，讓模擬行為像是在同一臺機器上運作。</p> <p>精準地來說，SimSpace Weaver並不是模擬器，而是跨多執行個體將模擬編織在一起的基礎設施，開發人員透過AWS SimSpace Weaver C++開發工具包和程式碼整合建構模擬程式，SDK整合可以讓應用程式在執行個體運作時和SimSpace Weaver軟體互動，使SimSpace Weaver能夠掌握全域狀態，促進實體在模擬應用程式間的傳輸。</p> </div></div></div>
2022/12/1 09:56作者李建興https://www.ithome.com.tw/news/154500
AWS更新Lambda添加初始最佳化以加速函式啟動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS更新其無伺服器運算服務Lambda，加入<a href="https://aws.amazon.com/tw/blogs/aws/new-accelerate-your-lambda-functions-with-lambda-snapstart/">SnapStart</a>新功能來加快初始階段，進而加速整體函式的執行速度，AWS提到，SnapStart可讓Spring Boot、Quarkus和Micronaut等Java框架啟動速度提高至10倍。</p> <p>AWS解釋，函式執行環境生命周期有三個主要的階段，分別為初始（Init）、調用（Invoke）和結束（Shutdown），而初始則是啟動Runtime並且執行函式靜態程式碼的階段，在許多情況下，這些操作會在數毫秒內完成，並且不會有任何明顯的時間延長。</p> <p>但在部分情況，函式初始可能會需要相當長的時間，像是Spring Boot、Quarkus或Micronaut等Java程式語言框架，就會花費較長的時間初始化Runtime，整個Lambda函式初始化可能長達10秒，執行諸如相依項目注入和函式程式碼編譯等操作，另外，靜態程式碼也可能需要下載機器學習模型，預計算一些參照資料，或是和其AWS服務建立網路連接。</p> <p>而Lambda SnapStart能夠針對Lambda函式啟動最佳化程序，該程序會啟動函式並且在初始階段運作，擷取記憶體和磁碟狀態成為不可篡改的加密快照，並且將其快取以供重複使用。之後當函式再次被呼叫時，狀態將會從快取中檢索並用於填充環境。AWS提到，由於最佳化讓創建新的執行環境不需要經過初始階段，因此函式呼叫時間將更快更可預測。</p> </div></div></div>
2022/12/1 10:01作者李建興https://www.ithome.com.tw/news/154502
近兩年更多臺廠加入成為CVE編號管理者，涵蓋網通、IC設計、資安等類型廠商
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著資安研究人員通報、揭露漏洞的消息不斷，設備或元件製造商為了展現對產品安全的重視，不只設立產品資安事件應變小組（PSIRT）統籌因應，近兩年來，加入MITRE CNA計畫、成為其合作夥伴，也成為不少企業看重的面向。</p> <p>基本上，資安界普遍熟知的CVE漏洞編號，是美國MITRE通用漏洞揭露計畫所提出的制度，在此當中，各CVE編號其實是由漏洞編號授權單位指派，也就是CVE numbering authority（CNA）計畫的成員，特別的是，在10月18日，CNA協調工作小組主席Tod Beardsley宣布，新推出<a href="https://www.cve.org/Media/News/item/podcast/2022/10/18/CNA-Mentoring-Program-Members-Helping">CNA指導計畫</a>，希望透過成員彼此互助，帶動更多業者加入。</p> <p>根據MITRE CNA成員列表所示，包含國家級的CERT組織在內，目前（至11月25日止）全球已有35國、259家機構組織及企業，參與這項計畫。而隨著今年10月這項指導計畫的推出，也意味著將有更多類型廠商、業者，能夠更容易提出加入成員的申請。</p> <p>而在臺灣，這兩年內有更多業者響應此計畫。不只網通設備大廠兆勤科技（Zyxel），後續又出現兩家業者，一家是IC設計大廠聯發科（MediaTek），另一家是資安業者如梭世代（ZUSO Generation），還有NAS業者華芸再次重新申請加入。</p> <h3><strong>可更快掌握產品資安問題，不只NAS業者，其他廠商也看重</strong></h3> <p>以臺灣業者加入MITRE CNA合作夥伴的狀況來看，早年，主要是NAS業者積極參與，例如，在2017年，群暉、威聯通、華芸申請加入為CNA合作夥伴，可指派自家產品的CVE漏洞編號。到了2018年，台灣電腦網路危機處理暨協調中心TWCERT/CC亦申請加入，目的是為了推動臺灣業者產品的安全，重視漏洞修補，並提供通報上的協助，而其權限涵蓋範圍較大，可負責所有臺灣資通訊產品的CVE漏洞審核，除非被通報的臺灣產品業者本身就是MITRE CNA合作夥伴。</p> <p>至於聞名全球的臺灣資安業者，如趨勢科技及旗下漏洞通報平臺ZDI，其實亦早已成為MITRE CNA合作夥伴，但兩者在所屬國家被歸類於日本，應是趨勢科技為日本上市公司的緣故。</p> <p>在2020年底時，臺灣僅有3家組織與企業，但這兩年又開始有更多業者申請參加，現在已有7家成為MITRE CNA合作夥伴。例如，去年我們<a href="https://www.ithome.com.tw/news/145914">報導</a>兆勤科技（Zyxel）加入MITRE CNA計畫，他們不僅是國內上市櫃公司加入的首例，該公司當時亦表示，他們觀察到更多國際大廠加入的趨勢。</p> <p>在此之後是IC晶片設計大廠聯發科，他們於2021年10月時<a href="https://corp.mediatek.tw/security-announcement/mediatek-becomes-first-company-in-taiwan-to-complete-authoritative-global-information-security-assessment-bsimm-company-joins-ranks-as-cna-member-demonstrating-a-dedication-to-product-security">發布加入</a>的消息、成為CVE編號管理者。根據該公司公開揭露的資訊，聯發科針對旗下各產品線均已設立專屬PSIRT團隊，加入MITRE CNA計畫的主要目的，是希望更迅速掌控安全性問題，更即時完成漏洞修補。</p> <p>他們還有哪些強化產品安全的作為？去年底該公司已聚焦產品安全開發流程，導入BSIMM評測機制，保護晶片設計相關軟體開發過程，同時也發布了漏洞獎勵計畫，借助外部研究人員找出未知漏洞問題。</p> <p>顯然，聯發科已展現積極正面看待安全事件處理的態度，並提及收到外部安全事件通報時，要落實五大步驟，包括：事件確認、修補、更新、公告與致謝。</p> <p>進一步檢視該公司官方網站，也可以看出成效。例如，在產品安全致謝<a href="https://corp.mediatek.com/product-security-acknowledgements">頁面</a>，或是產品安全公告頁面上，從去年1月至今，每月都有十幾到二十多個漏洞的修補，定期以公開透明方式揭露，而去年其CVE漏洞的指派CNA單位，主要為Android（associated with Google Inc. or Open Handset Alliance），到了2022年，我們可以發現，新指派的漏洞，已經是由聯發科自己審核發布。</p> <p>另一家加入MITRE CNA的業者，是資安公司如梭世代，今年5月時<a href="https://www.ithome.com.tw/pr/150841">發布加入</a>。較特別的是，不同於國家級CERT或廠商類型的CNA，該公司申請的是弱點研究小組（Vulnerability Researchers）的CNA，當發現各廠商產品或服務漏洞時，他們將可與廠商溝通弱點技術，並指派CVE編號。目前，全球有53個組織屬於研究小組的角色，如梭世代是臺灣首家申請的業者。</p> <p>過去該公司曾挖掘出35個CVE漏洞並通報，當中多數為國內業者的產品漏洞，我們從TWCERT/CC所建置的TVN漏洞公告平臺，即可看到有些漏洞的通報者是如梭世代，而CVE編號是由TWCERT/CC來指派。</p> <p>如今，在今年5月後，如梭世代加入CNA計畫成員，這意味著，本身具備指派CVE ID的能力。該公司表示，現階段已有挖掘出的新漏洞，只是仍處於不便公開階段，將會依循標準漏洞政策程序揭露，日後才會公開。</p> <p>至於華芸，我們在去年注意到該公司竟不在CNA成員名單之列。對此，該公司表示，他們在2017年就已加入，但因為在隔年沒注意到相關規範，而未定期更新與參與工作小組活動，而被MITRE取消資格。但隨著2021年NAS資安問題一再被突顯，促使該公司決定再次申請，並於9月底重新獲得資格，隔月正式對外<a href="https://www.asustor.com/zh-tw/news/news_detail?id=26954">宣布</a>。</p> <p>無論如何，臺灣有更多廠商能夠取得MITRE CNA的成員資格，別具意義，而我們也觀察到，在最近一個多月，全球成員增加達17個，以整體成員共259家來計算，數量增長幅度算是顯著。而隨著MITRE CNA指導計畫的發布，對於想加入的組織或業者而言，將是更為友善，因為他們設置一專門的Google表單供申請者填寫，對於既有CNA成員而言，可以申請成為指導者，提供CVE漏洞撰寫的經驗協助，對於想要加入的新成員而言，可望更容易聯繫到CNA協調工作小組，請求指導者能提供這方面的協助。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89MITRE%20CNA%20Partner_2022-11-29.jpg" style="width: 600px;" /></p> <p><strong>截至2022年11月29日止，成為MITRE通用漏洞揭露計畫的<a href="https://www.cve.org/PartnerInformation/ListofPartners">CVE Numbering Authority（CNA）合作夥伴</a>，全球共35國、259家機構與企業參與，其中，臺灣組織企業有7家，包括：群暉科技（Synology）、威聯通（QNAP）、台灣電腦網路危機暨協調中心（TWCERT/CC）、兆勤科技（Zyxel）、聯發科（MediaTek）、華芸（Asustor）與如梭世代（ZUSO Generation）。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-30_175622.jpg" style="width: 600px;" /></p> <p><strong>近期CNA協調工作小組（CNACWG）主席Tod Beardsley宣布，將推出成員彼此互助的<a href="https://www.cve.org/Media/News/item/podcast/2022/10/18/CNA-Mentoring-Program-Members-Helping">CNA指導計畫</a>，這也意味，如今他們也期盼有更多成員參與加入成為合作夥伴。</strong></p> </div></div></div>
2022/11/30 18:04作者羅正漢https://www.ithome.com.tw/news/154501
【資安日報】2022年11月30日，駭客透過抖音短片散布竊密程式WASP、未修補已知漏洞的Fortinet資安設備網址…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定開發人員並濫用NPM、PyPI套件庫散布惡意軟體的攻擊行動，之前傳出不少事故，但最近研究人員發現極為不同的新手法──駭客透過抖音短片來做為誘餌，並表示他們擁有解除濾鏡效果的工具，一旦觀眾依照指示下載，駭客將從PyPI套件庫取得竊密軟體，並於受害電腦部署。</p> <p>今年10月Fortinet修補的身分驗證繞過漏洞CVE-2022-40684，也出現有人將尚未修補的系統名單進行彙整，並在網路犯罪圈進行兜售的情況！而駭客收集該廠牌有漏洞設備的網址供他人進一步運用的情況，已非首例，<a href="https://www.ithome.com.tw/news/141261">2020年就有人收集近5萬筆Fortinet SSL VPN的IP位址求售</a>。</p> <p>世界盃足球賽相關的網路攻擊行動也相當值得留意，<a href="https://www.ithome.com.tw/news/154378#fifa2022">我們先前報導過針對球迷與球隊的網釣攻擊</a>，但最近有研究人員發現，駭客不止發動釣魚郵件攻擊，還推出假的球場通行證與加密貨幣，並向主辦國卡達的企業發動DDoS攻擊。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://checkmarx.com/blog/attacker-uses-a-popular-tiktok-challenge-to-lure-users-into-installing-malicious-package/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客藉由特製的抖音影片散布竊密程式WASP，套件供應平臺、資安研究員、開發者均有可能淪為幫兇</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/tiktok_invisible-01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/tiktok_invisible-01.png" style="width: 300px; float: right;" /></a>抖音的特效濾鏡影片成為駭客散布惡意軟體管道！資安業者Checkmarx揭露利用有人散布竊密程式WASP的攻擊行動，駭客先在抖音上傳隱形挑戰（Invisible Challenge）的短片，此種影片用戶會拍攝自己裸體擺出多種動作的影片，再透過抖音應用程式的濾鏡使身體的部分模糊。</p> <p>在此同時，駭客宣傳能破解濾鏡的工具「unfilter」，觀眾若想要取得此軟體，必須加入駭客的Discord伺服器，申請加入的過程中，還會要求觀眾為駭客的GitHub專案給予星級評價（類似臉書的讚）。</p> <p>此GitHub專案存放了BAT批次檔案與YouTube安裝教學影片，一旦受害者依照指示安裝，此批次檔就會從PyPI套件庫下載WASP。研究人員指出，雖然他們向PyPI通報後含有WASP的惡意套件已經下架，但駭客很快又重新製作類似的惡意套件。</p> <h3><a href="https://blog.cyble.com/2022/11/24/multiple-organisations-compromised-by-critical-authentication-bypass-vulnerability-in-fortinet-products-cve-2022-40684/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">有人兜售未修補已知身分驗證漏洞的Fortinet資安系統名單</span></strong></a></h3> <p>資安業者Fortinet<a href="https://www.ithome.com.tw/news/153533">於10月初修補重大漏洞CVE-2022-40684</a>，此漏洞影響該廠牌的FortiOS、FortiProxy、FortiSwitchManager，且已傳出攻擊行動，如今已有人彙整存在漏洞的設備網路位址清單，並在暗網求售。資安業者Cyble指出，他們在11月17日發現，駭客於網路犯罪論壇上兜售FortiOS的VPN存取資料清單，而這些Fortinet系統的共通點，就是執行尚未修補CVE-2022-40684的FortiOS作業系統，而且，攻擊者試圖將他們的公鑰加入其管理員帳號。</p> <h3><a href="https://cloudsek.com/whitepapers_reports/fifa-world-cup-qatar-2022-cyber-threat-landscape/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客以世界盃足球賽的名義發動網路攻擊，鎖定觀眾、加密貨幣投資人、賭客、當地企業而來</span></strong></a></h3> <p>世界盃足球賽於卡達開打，但駭客也趁機進行各式各樣的攻擊行動。資安業者CloudSEK發現，駭客針對這場球賽的球迷、賭客、加密貨幣投資人，甚至是當地企業發動攻擊，目的是企圖在球賽熱潮獲得經濟利益。研究人員指出，他們看到駭客透過Telegram頻道，以50至150美元的價格出售偽造的球場通行證Hayya卡，或是從中竊取信用卡資料，並針對球迷推銷假的世界盃加密貨幣；再者，攻擊者也鎖定想要下注的球迷，聲稱可提供賽事預測資訊，引誘他們到冒牌投注網站騙取錢財與個資，或是散布惡意軟體。</p> <p>除了上述針對多種類型球迷的攻擊行動，也有人鎖定卡達企業或政府機關發動DDoS攻擊，並在社群網站上公布相關資料，並加上針對卡達、世界盃、FIFA的標籤。</p> <h3><a href="https://cloudsek.com/threatintelligence/advanced-phishing-campaign-targeting-individuals-businesses-in-the-middle-east-part-2/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">假冒阿拉伯聯合大公國人力資源部門的網釣攻擊越來越氾濫</span></strong></a></h3> <p>資安業者CloudSEK於7月發現冒充阿拉伯聯合大公國政府的網釣攻擊，但在進一步調查後發現，該攻擊行動的規模遠比過往要來得更廣泛。研究人員發現，駭客針對中東公司與政府的供應商進行大規模商業電子郵件詐騙（BEC）攻擊行動，假借供應商登記、案件投標為幌子，透過Zoho Mail來發送釣魚郵件。這些駭客會特別買下與目標組織相似的網域來使用，使得收信人更加難以從寄信人的電子郵件信箱察覺有異。</p> <h3><a href="https://www.thehindu.com/news/cities/Delhi/aiims-continues-silence-on-media-reports-of-200-crore-demand-by-hackers/article66201742.ece"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度醫學中心AIIMS疑遭勒索軟體攻擊，相關服務中斷近一週</span></strong></a></h3> <p>11月23日印度醫學中心AIIMS遭到網路攻擊，導致他們的醫療系統運作受到影響，事隔一個星期，該機構仍只能以手動提供相關服務。為何如此？他們表示，eHospital系統資料已成功恢復，但要等到清除網路環境的威脅之後，才會讓相關系統重新上線。當地警方表示已取得勒索軟體攻擊的相關證據，並向駭客進行提告。</p> <h3><a href="https://www.ddsb.ca/Modules/News/index.aspx?newsId=d4ba4f9f-a3ea-46ae-b819-316a3eefd0b0&feedId=9af71d9c-32c0-44a2-b019-e3a0eb84ffd2,23903367-d258-477e-b1e0-66c8a9299356"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加拿大多倫多學區遭到網路攻擊，電話、電子郵件、學生筆電無法使用</span></strong></a></h3> <p>加拿大多倫多學區Durham District School Board（DDSB）於本月25日遭到網路攻擊，27日對外表示該學區的所有學校（136所中小學）會正常開放，但DDSB的電話與電子郵件服務將無法使用，他們將採用人工點名的方式記錄小孩的出缺勤；此外，大部分學生的Chromebook筆記型電腦將無法使用。</p> <h3><a href="https://www.cna.com.tw/news/ahel/202211290264.aspx"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">雄獅旅行社公告遭駭客攻擊，呼籲消費者防範詐騙</span></strong></a></h3> <p>國內旅遊服務業者雄獅旅行社11月29日在網站發布公告，表示他們日前遭到駭客攻擊電腦作業系統，目前自身營運及旅客出團業務皆不受影響，但該公司也獲報有人假借他們名義向客戶進行詐騙，對方所持的理由是訂單錯誤、重複扣款而聲稱會提供特殊優惠。對此，雄獅呼籲消費者要提高警覺。</p> <p>雄獅認為，近半年向他們購買相關產品的客戶，很可能是這些歹徒行騙的主要對象，強調該公司與相關供應商都不會透過電話要求客戶提供信用卡或帳戶資料，以及ATM轉帳、匯款的情況。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><a href="https://www.consilium.europa.eu/en/press/press-releases/2022/11/28/eu-decides-to-strengthen-cybersecurity-and-resilience-across-the-union-council-adopts-new-legislation/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歐盟正式通過網路安全指令NIS2</span></strong></a></h3> <p>11月28日歐盟執行委員會（EC）通過新的網路安全指令NIS2，此指令將取代自2016年實施的《網路與資訊系統安全指令（Security of Network and Information Systems，NIS Directive）》。</p> <p>新版指令的適用範圍涵蓋更廣，包含能源、交通、公共衛生等關鍵基礎設施，並為其網路安全風險管理制訂基準；再者，NIS2也為歐盟會員國之間的網路安全要求擬訂了監管框架的基本規範。此外，根據新的指令，歐盟將正式成立網路危機聯繫系統EU-CyCLONe，以便因應大規模資安事件的協調與管理。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/trigona-ransomware-spotted-in-increasing-attacks-worldwide/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體Trigona攻擊房地產業者</span></span></strong></a></p> <p><a href="https://therecord.media/north-carolina-college-confirms-ransomware-group-stole-sensitive-data/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國北卡羅來納州學院證實遭到勒索軟體攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/spanish-police-dismantle-operation-that-made-12m-via-investment-scams/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">西班牙警方破獲1,200萬歐元的網路詐騙事故</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154485">【2022年11月29日】 Dell、HP、聯想設備韌體使用老舊版本的OpenSSL、推特網站漏洞恐有更多資料外流</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154451">【2022年11月28日】 Windows網際網路金鑰交換機制漏洞被用於攻擊、Docker Hub存在逾1,600個易受攻擊的映像檔</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154431">【2022年11月25日】閰羅王勒索軟體背後的駭客是俄羅斯人、駭客假借提供微星Afterburner公用程式散布挖礦軟體</a></strong></strong></strong></p> </div></div></div>
2022/11/30 16:40作者周峻佑https://www.ithome.com.tw/news/154493
AWS預計推出三款高階EC2執行個體C7gn、Hpc7g和R7iz
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/new-amazon-ec2-instance-types-in-the-works-c7gn-r7iz-and-hpc7g/">AWS即將推出</a>三款針對不同用例的高階執行個體，分別是網路密集型用C7gn，分散式高效能運算用的Hpc7g，以及配備DDR5記憶體的高效能R7iz執行個體。</p> <p>目前R7iz執行個體仍在預覽階段，其針對記憶體最佳化，並且採用高時脈第四代Intel Xeon Scalable處理器Sapphire Rapids，持續全核心超頻可達3.9 GHz。這是目前AWS基於x86架構的EC2執行個體中，擁有最高個別vCPU效能的執行個體，所提供的效能比z1d執行個體還要高出20％，而且也是第一批使用DDR5記憶體的x86架構EC2執行個體。</p> <p>AWS提到，R7iz非常適合用於前端電子設計自動化（EDA），或每核心授權費用昂貴的關聯式資料庫，甚至是財務、資料分析模擬等任何同時需要高效能和高記憶體的工作負載。R7iz具有各種規格，包括兩種裸機大小，最多可以配置128 vCPU和最多1,024 GiB記憶體，R7iz由於使用DDR5記憶體，記憶體頻寬是同類高時脈執行個體的2.4倍，並且擁有50 Gbps網路速度和40 Gbps EBS頻寬。</p> <p>Hpc7g執行個體則是使用AWS最新的處理器Graviton3E，其向量指令處理效能較Graviton3高出35％，Hpc7g設計目的是要提供計算密集型高效能運算，和分散式工作負載高性價比執行個體，其提供200 Gbps的專用網路頻寬，並針對同一VPC中的執行個體間流量進行頻寬最佳化。Hpc7g執行個體也有多種規格，用戶可以選擇最多64個vCPU和128 GiB記憶體，AWS將會在2023年初釋出更多Hpc7g相關消息。</p> <p>針對網路密集型工作負載，像是防火牆、虛擬路由器、負載平衡器等網路虛擬設備，以及資料分析和叢集運算作業，AWS將推出C7gn執行個體，同樣使用AWS Graviton3E處理器，支援200 Gbps網路頻寬，並且提升50％的封包處理能力，用戶可以選擇最多使用64個vCPU和128 GiB記憶體。</p> </div></div></div>
2022/11/30 16:17作者李建興https://www.ithome.com.tw/news/154491
駭客正在銷售最新Fortinet漏洞的存取方式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.cyble.com/2022/11/24/multiple-organisations-compromised-by-critical-authentication-bypass-vulnerability-in-fortinet-products-cve-2022-40684/" target="_blank">安全廠商發現</a>，稍早發現的Fortinet網路設備軟體漏洞已經有駭客公開販售存取的方法。</p> <p><a href="http://www.ithome.com.tw/news/153674" target="_blank">10月間Fortinet修補了零時差漏洞CVE-2022-40684</a>，它是HTTP/HTTPS管理介面的驗證繞過漏洞，可被遠端濫用，風險值列為9.6，屬於重大風險。這項漏洞影響多項產品，包括FortiOS、FortiProxy和FortiSwitchManager。</p> <p class="rtecenter"><a href="http://www.fortiguard.com/psirt/FG-IR-22-377" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1130-Update%20Regarding%20CVE-2022-40684.png" style="width: 500px;" /></a></p> <p>Fortinet當時提醒用戶應儘速更新，因為公開前已經遭到濫用。如今專門監控暗網上犯罪活動及漏洞情報的廠商Cyble發現，俄羅斯地下網路論壇上，已經有人公開張貼訊息，以銷售存取Fortinet VPN裝置的憑證資訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1130-FortiOS%20access%20being%20distributed%20over%20Russian%20Cybercrime%20forums%20by%20Cyble(1).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Cyble</span></span></p> <p>Cyble發現的是「多個」未授權FortiOS裝置的存取資訊，包括網址、管理員用戶的SSH Key。分析這些存取資訊顯示，攻擊者企圖將公開金鑰加入到受害企業管理員帳號中，藉此冒充管理員存取Fortinet設備。根據資料，這些受害企業用的都是過時版本的FortiOS。研究人員相信，張貼廣告的攻擊者應該是對CVE-2022-40684發動攻擊。</p> <p class="rtecenter"><img alt="" src="https://i0.wp.com/blog.cyble.com/wp-content/uploads/2022/11/Figure-5-%E2%80%93-Exploitation-script-indicating-exploitation-of-FortiOS-.png?w=716&ssl=1" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Cyble</span></p> <p>透過冒充Fortinet管理員，攻擊者可修改管理SSH金鑰、新增本機用戶、修改網路配置變更流量路徑、下載系統配置資訊、抓取封包擷取其他敏感系統或網路資訊，再於暗網銷售。</p> <p>Cyble研究人員指出，針對Fortinet執行個體的攻擊行動，從10月17日起就持續至今。這個時間點大約等同Fortinet第一波悄悄發通知用戶更新軟體的時間。</p> <p>研究人員呼籲用戶儘速安裝修補程式，因為網路上已公開的概念驗證（PoC）程式及自動化工具，讓攻擊者在漏洞公布幾天之內就能發動攻擊。</p> </div></div></div>
2022/11/30 12:24作者林妍溱https://www.ithome.com.tw/news/154488
馬斯克說蘋果威脅要阻擋推特更新App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果與推特（Twitter）過去各擁一片天，互不干涉的情形，隨著推特易主可能改變。<a href="https://twitter.com/elonmusk/status/1597300125243944961" target="_blank">推特執行長馬斯克（Elon Musk）本周抱怨</a>，蘋果威脅App Store將阻擋推特App的更新，而且沒有說明理由。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1130-elon%20musk%20apple(1).png" style="width: 530px;" /></p> <p>此推文不到一小時前，<a href="https://twitter.com/elonmusk/status/1597285572699074560" target="_blank">馬斯克也公布</a>，蘋果已經中止在推特平臺上的廣告，他問道，難道蘋果憎恨美國的言論自由？馬斯克並罕見地直接提及（mention）蘋果執行長庫克（Tim Cook）問道究竟怎麼一回事。</p> <p>這只是馬斯克領導下的推特和兩大App軟體市集之間的最新爭執。<a href="https://twitter.com/elonmusk/status/1593759933773643776" target="_blank">上周馬斯克也曾批評</a>蘋果App Store及Google Play Store兩大平臺壟斷下，向開發商收取30%的稅率太高。</p> <p>蘋果對iOS App開發商採取強硬態度，不時祭出下架懲罰。蘋果曾以App Store政策要求Discord、Tumblr隱藏或封鎖色情、仇恨、犯罪等其他冒犯性內容，違者就會遭到下架。過去積極管制平臺內容的推特在馬斯克接手並宣稱將解除管制，可能因此觸發蘋果的關切。此外，蘋果也會遵從政府要求而下架某些App，例如在中國版App Store撤下VPN，也曾依俄國政府要求<a href="https://www.ithome.com.tw/news/123561" target="_blank">暫停更新iOS版Telegram</a>。</p> <p>蘋果並未對中止在推特平臺上的廣告或拒絕更新推特App一事提供說法。不過馬斯克鬆綁推特內容管制已引發不少廣告主疑慮而暫停下單，包括福斯汽車、GM、通用磨坊、食品大廠億滋國際等。</p> <p><a href="https://www.theverge.com/2022/11/28/23482387/elon-musk-twitter-apple-threat-withhold-app-store" target="_blank">The Verge</a>報導引述蘋果執行長庫克11月接受其他媒體採訪時，表達對推特內容管制的關注，但庫克說他相信推特會維持內容審查。</p> </div></div></div>
2022/11/30 12:53作者林妍溱https://www.ithome.com.tw/news/154489
OpenAI以7萬小時電玩影片訓練AI玩Minecraft
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/blog/vpt/" target="_blank">AI模型開發商OpenAI宣布</a>以創新方法來訓練其AI模型，可望省去標註大量資料的訓練過程。</p> <p>傳統上要訓練AI模型，像是OpenAI的語言模型GPT，需要先以人力在大量訓練資料集上標註再送入神經網路，相當耗時。為此，OpenAI實驗了一種名為影片預訓練（Video Pretraining，VPT）的方法，僅使用少量由約聘人員標註的資料，再經過以模仿學習及增強學習法二次微調，就在大量未標註的遊戲影片上訓練神經網路，使它學會玩《Minecraft》這個知名電玩。</p> <p>《Minecraft》提供多種模式，玩家可利用方塊進行建立一個虛擬世界。像是在生存模式中，玩家必須開採資源求取生存，在創造模式中，玩家擁有無限的資源並可自由創造建築。其他玩家也可以透過公開的網路影片觀摩這些過程。但是影片無法精確展示作者怎麼做到的，例如看不到作者的滑鼠動作及按了哪些按鍵。如果要以建立語言模型GPT的方法來建立打造虛擬世界的AI模型，就會碰到缺乏行為（action）資料標籤的問題。</p> <p>這項計畫中，OpenAI使用了半監督式模仿學習方法，稱為影像預訓練（video pretraining，VPT）。OpenAI一開始先蒐集約聘人員的一小筆（2,000小時）的錄影資料，包括影像及他們的按鍵、滑鼠動作。研究小組先訓練了反向動態模型（inverse dynamics model，IDM），這模型已可以預測影片中玩家的每一動作，然後，研究人員再以這IDM來標籤7萬小時的《Minecraft》網路影片資料集，希望建立一個行為複製（behavioral cloning，BC）模型。</p> <p class="rtecenter"><img alt="" src="https://cdn.openai.com/vpt/overview.svg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／</span><a href="https://openai.com/blog/vpt/" target="_blank"><span style="color:#696969;">OpenAI</span></a></span></p> <p>前述的影片是研究小組從網路蒐來、玩家分享他們玩《Minecraft》時的影片。這些影像由IDM加註標籤，最後建立出一個模型，稱為VPT基礎模型（VPT foundation model）。這模型完成了增強學習幾乎不可能從頭完成的任務；它會砍樹、蒐集木材，將木材劈成木板，再把木板做成桌子。光是這個過程，嫻熟《Minecraft》的人類玩家都得要花上50秒，或是1,000個連續動作。</p> <p>此外，VPT模型還能執行其他複雜技能，像是游泳、獵捕動物、進食，甚至學會了《Minecraft》裏玩家常見利用方塊在大樓之間跳來跳去的動作。</p> <p>研究人員之後對這VPT模型，以2種方法微調。首先，透過行為複製（behavioral cloning）方法，研究人員以約聘人員玩《Minecraft》蓋房子的新影片來訓練VPT基礎模型，影片只有10分鐘。經過微調，VPT基礎模型技能可因此再深化，能使用木柴，還能使用石材，甚至從其他村莊取得物資。</p> <p>其次，OpenAI用增強式學習來進行第2次模型微調。OpenAI利用增強學習方法，訓練VPT基礎模型蒐集鑽石鶴嘴鋤，若使用Minecraft原生介面，又是難上加上的任務。研究人員發現，VPT模型經過這種方法微調後，不但學會打造鑽石鶴嘴鋤，而且能蒐集所有必要材料。這個實驗中，OpenAI首次讓電腦模型完成了人類平均20多分鐘才完成（24,000個動作）的任務。</p> <p>OpenAI研究人員結論，以公開網路影片這種沒有標籤的資料來訓練AI的探索行為（像是打Game、學習電腦）是可能的。透過建立初步模型，再以模仿學習及增強學習方法微調，就能使AI模型學習高難度技能，這也讓無標籤資料訓練變得可能。OpenAI只實驗了《Minecraft》，但研究團隊相信，這種少量樣本訓練方式也可以用在其他領域，像是電腦使用，因為兩者是開放式結局，介面也相似（都是鍵盤、滑鼠）。</p> <p>OpenAI也將約聘人員的資料、《Minecraft》環境、模型程式碼及模型權重等資料都公開出來。<a href="http://www.aicrowd.com/challenges/neurips-2022-minerl-basalt-competition" target="_blank">OpenAI並和遊戲平臺MineRL NeurIPS合作</a>，祭出獎金邀請玩家加入協助微調其VPT模型。</p> </div></div></div>
2022/11/30 10:20作者林妍溱https://www.ithome.com.tw/news/154487
資料安全服務Amazon Macie現在具自動探索敏感資料的能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS更新資料安全服務<a href="https://aws.amazon.com/tw/blogs/aws/automated-data-discovery-for-amazon-macie/">Amazon Macie</a>，使其具有自動探索與搜尋敏感資料的能力，能夠快速找出S3中的敏感資料，而且不需要對所有S3儲存桶執行完整資料檢查，解決使用者在龐大資料海中撈針的挑戰，進而節省使用成本。</p> <p>Amazon Macie能夠運用機器學習和模式比對技術發現敏感資料，防範資料安全風險。用戶使用Amazon Macie來保護S3中的資料，需要先掃描敏感資料，像是姓名、地址和信用卡號等，並持續監控加密和存取政策等配置正確性，當Amazon Macie偵測到公開存取的儲存桶、未加密儲存桶或是組織外部AWS帳號共享儲存桶時便會發出警報。</p> <p>用戶可以配置Amazon Macie掃描S3，對S3儲存桶進行完整的敏感資料掃描，但AWS提到，大規模操作的用戶很難知道該從何開始，尤其是員工和應用程式每天在儲存桶中添加PB級資料的組織。</p> <p>而Amazon Macie新功能自動資料探索，可自動且持續地從AWS Organizations層級，跨整組儲存桶探索敏感資料和潛在的資料安全風險，當管理員啟用控制臺中的自動資料探索時，Macie便會開始評估每個儲存桶的敏感度層級，並特別顯示資料安全風險。</p> <p>自動資料探索採用智慧和全託管資料採樣，藉由最佳化採樣率，以明顯減少需要分析的資料量，官方提到，與完整資料檢查的成本相比，能夠降低發現存在敏感資料S3儲存桶的成本。用戶可以調整自動資料探索功能，從100多種敏感資料類型中，選擇與用戶用例相關的資料類型，像是PII和各地區特定的財務紀錄資料。</p> <p>當用戶所要管理的特殊資料類型不在Amazon Macie的列表時，也可以自定義資料類型，像是員工或是患者識別碼。Amazon Macie新用戶將會預設啟用自動資料探索功能，原有用戶則需要管理員在控制臺手動啟用。</p> </div></div></div>
2022/11/30 09:55作者李建興https://www.ithome.com.tw/news/154483
OpenAI API釋出更強大且具有插入文字能力的GPT-3新模型Davinci
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI在其API服務正式推出稱為<a href="https://beta.openai.com/docs/models/gpt-3">text-davinci-003</a>的GPT-3模型型號，官方提到，text-davinci-003是目前功能最強大的GPT-3模型，除了能夠完成其他模型可以完成的任務之外，還能夠提供更高的結果品質和文字輸出長度，也能更好地遵循指令，此外，text-davinci-003新增在文字段落中插入完成功能。</p> <p>Text-davinci-003模型的文字插入完成功能，除了運用前綴提示之外，還增加使用後綴提示，可用於編寫長文字、段落過渡和遵循大綱等任務中，除了文字，text-davinci-003也適用於程式碼完成，可用於補完函式或是檔案。</p> <p>OpenAI解釋，之所以後綴提示對於插入預測這麼重要，是因為當語句有了結尾，可預測的結果變得更加清楚，像是前綴提示「我今天決定做出重大改變」，如果加入故事結果「我的新髮型得到許多讚美」，那模型對要預測的文字就更加具體。</p> <p>GPT-3模型能夠理解和生成自然語言，而OpenAI API提供不同的模型型號，以滿足用戶的不同需求和任務，雖然text-davinci-003是目前最強大的GPT-3模型型號，但用戶可以根據需求選用其他模型，像是針對非常簡單的任務，用戶可以選擇使用最快速且最便宜的模型text-ada-001，或是其他層級的text-babbage-001、text-curie-001，以獲得不同的模型能力層級、運算速度和成本。</p> <p>官方建議，用戶可以先試驗使用text-davinci-003，因為這個新模型目前能夠產生最好的結果，當用戶取得正常的結果，便可以開始試試看其他模型，看是否能以更低的延遲或是成本，獲得相同的結果，用戶也可以針對特定任務微調模型，來獲得更好的運算效能。</p> </div></div></div>
2022/11/30 09:57作者李建興https://www.ithome.com.tw/news/154484
【資安日報】2022年11月29日，Dell、HP、聯想設備韌體使用老舊版本的OpenSSL、推特網站漏洞恐有更多資料…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電腦UEFI韌體出現漏洞的情況相當值得留意，其中，有研究人員發現Dell、HP、聯想等多家廠牌使用的韌體裡，竟使用了大量舊版OpenSSL加密程式庫，其中最舊的是2009年推出的程式庫元件。研究人員指出，這樣的問題牽涉到採用第三方元件的軟體供應鏈生態，而難以修復。</p> <p>推特今年7月傳出540萬用戶資料流入駭客論壇的事故，原因是駭客利用該社群網站的漏洞發動攻擊得逞；但資安新聞網站Bleeping Computer指出，該漏洞造成資料外洩的情況遠比當時公布的嚴重許多，根據研究人員的最新發現，有人因此竊得約1,700萬筆資料。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.binarly.io/posts/OpenSSL_Usage_in_UEFI_Firmware_Exposes_Weakness_in_SBOMs/index.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Dell、HP、聯想等廠牌的個人電腦韌體使用老舊版本的OpenSSL程式庫，恐因相關漏洞而曝險</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Dell-HP-Lenovo-Figure2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell-HP-Lenovo-Figure2.png" style="width: 300px; float: right;" /></a>資安業者Binarly針對Dell、HP、聯想電腦的UEFI韌體，調查其使用的OpenSSL加密程式庫元件，結果發現，這3家廠商前後使用的OpenSSL版本多達22個，最舊的是2009年推出的0.9.8l，最新的則是今年3月推出的1.1.1n（編按：該分支最新版本為11月推出的1.1.1s）。其中，研究人員特別以聯想ThinkPad商用產品線為例，該產品線的電腦韌體就採用了3種老舊的OpenSSL版本：1.0.0a、0.9.8zb、1.0.2j，分別是2010年、2014年、2018年推出。</p> <p>Binarly認為，上述研究成果突顯了第三方程式碼供應鏈衍生的問題，引用這些程式碼的韌體開發商通常無法掌握相關的基礎程式碼，使得軟體供應鏈變得更加複雜。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/54-million-twitter-users-stolen-data-leaked-online-more-shared-privately/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">導致540萬筆用戶個資外洩的推特漏洞，災情可能比先前揭露時嚴重，因為有人將其用於收集上千萬筆個資</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/mastodon-post.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/mastodon-post.jpg" style="width: 300px; float: right;" /></a>今年7月<a href="https://www.ithome.com.tw/news/152367">推特傳出540萬筆（5,485,635筆）用戶資料流入駭客論壇求售</a>，該公司隨後證實起因是社群網站的漏洞遭到利用所致，但上述漏洞造成的災情，實際上可能更加嚴重。根據資安新聞網站Bleeping Computer的報導，駭客論壇Breached的經營者Pompompurin向他們透露，前述的資料已免費散布，但該名駭客表示後來取得140筆遭停權的推特帳號資料。</p> <p>此外，資安研究員Chad Loder先後於推特、Mastodon爆料，有人利用相同的漏洞從推特收集多達1,700萬筆資料，內容自2021年開始收集，光是美國與歐洲就有數百萬用戶受到影響。該新聞網站取得其中部分資料，當中有1,377,132個法國用戶的電話號碼，他們進行檢驗發現是有效資料，並指出這些個資並未在先前的外洩事件流出。</p> <h3><a href="https://www.itworldcanada.com/article/canadian-menswear-chain-harry-rosen-confirms-cyber-attack/515325"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加拿大男裝業者Harry Rosen遭到網路攻擊</span></strong></a></h3> <p>勒索軟體BianLian聲稱攻陷加拿大男性服飾業者Harry Rosen，並取得該公司檔案伺服器的資料，涉及專案計畫、市場行銷、人力資源、公共關係等業務。資安業者Emsisoft指出，駭客公布1GB的樣本資料，內容是該公司Gold+級客戶名單、行銷資料等文件。Harry Rosen執行長Larry Rosen證實此事，表示他們在10月9日遭到網路攻擊，目前該公司的網路已復原，但不願證實這起事故是否為勒索軟體攻擊。</p> <h3><a href="https://cybernews.com/news/maple-leaf-foods-ransomware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加拿大食品供應商Maple Leaf Foods證實遭勒索軟體攻擊，並表明不會支付贖金</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/basta-maple-leaf.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/basta-maple-leaf.png" style="width: 300px; float: right;" /></a>11月初加拿大食品供應商Maple Leaf Foods發生資安事故，導致營運受到衝擊，現在該公司坦承遭到勒索軟體攻擊，但不會向駭客低頭。根據資安新聞網站Cybernews的報導，勒索軟體Black Basta近日將該食品業者列為受害組織，並公布部分竊得檔案，內有標為機密的文件，該新聞網站研判包含了生產工廠與其他設施有關的資料。</p> <p>對此，<a href="https://www.itworldcanada.com/article/black-basta-ransomware-group-claims-it-hit-maple-leaf-foods/515358">Maple Leaf Foods向另一家媒體IT World Canada證實是勒索軟體攻擊</a>，並表明不會支付贖金，但對於攻擊者的身分，該公司不願透露。</p> <h3><a href="https://www.thepeterboroughexaminer.com/ts/news/gta/2022/11/23/osstf-victim-of-ransomware-attack-notifies-members-of-personal-data-compromised.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加拿大教師公會OSSTF證實遭到勒索軟體攻擊，會員個資遭到外洩</span></strong></a></h3> <p>根據加拿大報社Peterborough Examiner的報導，當地安大略省高中教師公會OSSTF於5月25日至30日，遭到未經授權的第三方存取，並透過勒索軟體加密系統檔案，導致其成員的個資遭到外洩，像是社會安全碼、居住地址等。OSSTF表示尚未發現相關資料遭到濫用的跡象，但沒有說明受影響的人數。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/vice-society-ransomware-claims-attack-on-cincinnati-state-college/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國辛辛那堤州社區學院遭到勒索軟體Vice Society攻擊</span></strong></a></h3> <p>勒索軟體Vice Society聲稱攻擊了辛辛那堤州技術與社區學院（Cincinnati State Technical and Community College），並公布竊得的資料。根據駭客公布的資料，內容包含2022年11月24日的檔案，資安新聞網站Bleeping Computer指出，這很可能代表駭客能夠持續存取該校內部網路。</p> <p>對此，辛辛那堤州技術與社區學院於11月22日表示，他們修復了校園網路、電子郵件系統，以及部分的教室電腦；但語音信箱、網路列印、VPN，以及數項線上申請服務仍無法使用。</p> <h3><a href="https://www.ithome.com.tw/news/143850"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Meta因資料外洩遭愛爾蘭罰2.65億歐元</span></strong></a></h3> <p>針對日前Meta遭人利用「資料抓取」手法收集5億筆用戶個資，而可能違反GDPR的情況，愛爾蘭資料保護委員會（DPC）自2021年4月著手調查，最近結果出爐，他們於11月28日宣布，將處以2.65億歐元的行政罰款，相當於新臺幣86億元。這是DPC今年對Meta祭出的第3次處罰。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/security/acer-fixes-uefi-bugs-that-can-be-used-to-disable-secure-boot/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">宏碁擬修補能停用安全開機的UEFI漏洞</span></strong></a></h3> <p>宏碁於11月23日發布資安通告，指出旗下數款筆電的UEFI韌體漏洞CVE-2022-4020，攻擊者有可能藉由竄改NVRAM記憶體的參數，來更動UEFI韌體的安全開機設定，進而植入惡意軟體，並繞過防毒軟體與作業系統的防護機制，該公司旗下Aspire系列的A315-22、A115-21、A315-22G，以及Extensa產品線的EX215-21、EX215-21G，都存在上述漏洞，該公司著手製作修補程式。</p> <p>揭露該漏洞的資安業者ESET表示，這項漏洞與DXE驅動程式的HQSwSmiDxe模組有關，由於此模組會檢查NVRAM的BootOrderSecureBootDisable參數，一旦該參數存在內容，DXE將會停用安全開機。</p> <h3><a href="https://yoroi.company/research/cve-advisory-partial-disclosure-cisco-ise-multiple-vulnerabilities/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科修補身分驗證系統ISE的命令注入漏洞</span></strong></a></h3> <p>11月16日思科修補身分驗證系統ISE的4個漏洞，這些漏洞的共通點，是攻擊者必須取得有效的ISE使用者權限才能利用。其中嚴重程度最高的漏洞是CVE-2022-20964，存在於ISE的網頁管理介面，攻擊者取得相關權限後，可存取tcpdump模組觸發漏洞，進而發動命令注入攻擊，此漏洞的CVSS風險層級為6.3分。資安業者Yoroi指出，假如駭客將CVE-2022-20964與10月份修補的CVE-2022-20959串連，攻擊者能輕易遠端取得ISE的root shell。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/malicious-android-app-found-powering-account-creation-service/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">販售帳號的網站經營者散布惡意App，挾持受害手機來產生帳號</span></span></strong></a></p> <p><a href="https://blog.sucuri.net/2022/11/new-wave-of-socgholish-cid27x-injections.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體SocGholish攻擊WordPress網站</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154451">【2022年11月28日】 Windows網際網路金鑰交換機制漏洞被用於攻擊、Docker Hub存在逾1,600個易受攻擊的映像檔</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154431">【2022年11月25日】閰羅王勒索軟體背後的駭客是俄羅斯人、駭客假借提供微星Afterburner公用程式散布挖礦軟體</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154404">【2022年11月24日】俄羅斯駭客今年前7個月竊取逾5千萬組密碼、歐洲議會遭到駭客組織Killnet的DDoS攻擊</a></strong></strong></strong></p> </div></div></div>
2022/11/29 18:52作者周峻佑https://www.ithome.com.tw/news/154485
健保署揭露新版健保雲端查詢系統，提供更好UX還新添BC型肝炎專區
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>健保雲端系統是民眾就醫和醫療診斷治療的關鍵IT系統，健保署今日（11/29）揭露新版健保雲端系統2.0，不只提供更直覺的使用者介面和客製化、視覺化功能，還放寬了醫事人員登錄權限，提供第一線各職類醫事人員使用。特別的是，這次雲端系統還整合國健署篩檢資料，新增B、C型肝炎專區，提供病人最近1次的B、C型肝炎用藥和檢驗檢查等紀錄，讓醫師及早發現來治療。</p> <p>健保署還預告，接下來他們要將雲端系統中的用藥和檢驗檢查資料，改為視覺化圖像，方便醫事人員掌握資訊外，也要結合虛擬健保卡、擴大納入特材紀錄及終生給付數量上限項目等資料。健保署署長李伯璋表示，健保署長年推動醫療資訊整合、鼓勵醫院即時上傳就醫資料至雲端系統，目的就是要落實分級醫療，減少病人重複檢驗檢查（如拍X光片）和來回申請資料的時間成本，同時讓他院醫師更容易調閱判斷，提高診斷治療效率。</p> <p><span style="font-size:26px;"><strong>盤點健保雲端系統10年發展：從雲端藥歷到雲端查詢系統</strong></span></p> <p>臺灣自1995年推動全民健保，2004年開始發行第一代健保IC卡、打造健保資訊網（VPN），2013年則打造雲端藥歷系統，要讓醫事人員看診時，來查詢病人資料。</p> <p>健保署醫審及藥材組科長何小鳳指出，在這個基礎上，2016年，健保署更進一步將藥歷系統擴展為健保雲端查詢系統，提供12類醫療資料供查詢，除了有看診最需要的手術明細、檢查檢驗資料外，還包括西醫、中醫用藥紀錄、牙科處置和手術紀錄、過敏藥物紀錄、特定管制藥品用藥紀錄、特定凝血因子用藥紀錄、復健醫療紀錄、出院病歷摘要，以及CDC預防接種等。</p> <p>最近這幾年，雲端查詢系統新添更多資料整合應用，比如2018年，健保署推動醫療影像分享平臺，讓醫療院所上傳36項檢查醫令影像，像是電腦斷層（CT）、磁振造影（MRI）、齒顎全景X光、大腸鏡、內視鏡、超音波、X光等到健保雲端查詢系統，讓民眾到不同醫院就醫時，醫師也能查詢先前的檢查資料。</p> <p>當時，健保雲端系統也開始發展主動提示功能，包括高達1,352萬筆的過敏藥物提示，以及上千筆的西藥和中西藥交互作用提示，還有重複用藥提示，以及在疫情間緊急新增100多項COVID-19藥品交互作用提示。甚至，健保署還針對占健保點數大宗的腎病用藥，推出主動提示功能，包括中、重度腎病患者用藥訊息，如NSAIDs，在今年11月24日也進一步增加腎功能狀態不明的用藥提示，預估每月會有6萬人受惠。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_6705.JPG" /></p> <p>另一方面，健保署2019年試辦虛擬健保卡時，也將虛擬健保卡與健保雲端系統整合，甚至，去年疫情爆發時，在48小時內就打造TOCC雲端查詢程式，串聯疾管署、出入境管理局等部會資料，來保障第一線醫護人員，至今更累積19.9億次查詢、3萬多家機構使用。</p> <p>何小鳳揭露，這套維持臺灣醫療行為運作的關鍵系統中，就醫病人雲端系統平均每月有3.6千萬查詢人次，醫療院所整體使用率更達98%。而至今年7月，健保資料庫還累積了776億筆大量資料，是未來發展精準醫療的寶貴資產。</p> <p>系統的發展，也帶來不少效益。何小鳳舉例，隨著主動提示功能發展，健保署推算，2014年至2021年間共省下109.7億點重複用藥費，2018至2021年間的重複檢查檢驗費用，也省了16.4億點。</p> <p><strong><span style="font-size:26px;">打造健保雲端系統2.0：更好的UX、放寬權限、新增BC型肝炎專區</span></strong></p> <p>不過，雲端系統使用至今，仍有不少問題待改善。</p> <p>健保署調查發現，醫護使用者最常反應的系統問題，不外乎是使用者體驗（UX）可加強，像是系統鑑別度、病人姓名和生日沒顯示、摘要區占空間，或是字太小、排序不佳，以及疾管署預防接種資料沒串接等。</p> <p>於是，為解決問題，健保署找來專家先評估，再展開易用性測試、開發模擬網頁，讓50位使用者體驗後，才正式推出新版系統。</p> <p>比如，他們將原本分散的7個雲端系統服務網站，統一納入雲端系統單一入口網頁，方便醫護使用者查找。另也新添患者資訊，如身分證字號、姓名和生日、性別，來便於醫護人員確認。此外，健保署也提供疾管署預防接種連結，並新添搜尋功能和字體大小選擇，還提供拖拉式功能，來讓使用者客製化自己的頁籤和欄位順序，來強化使用者體驗。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%95%AB%E9%9D%A2%E9%87%8D%E6%95%B4.JPG" /></p> <p>甚至，健保署還重整頁籤架構，調整為1、2層頁籤，並在第2層新增3項頁籤（終生給付數量上限、針傷治療和特殊疾病門診照護），以及從第2層頁籤延伸出的專區功能。舉例來說，第1層頁籤為主要資訊，如摘要、西醫用藥、牙科處置記錄、出院病摘等，第2層則是第1層細項，如西醫用藥中的用藥記錄、特定管制用藥，而專區功能則從用藥記錄中，延伸出慢連箋專區、藥品交互作用查詢等。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2(18).JPG" /></p> <p>特別的是，在專區部分，還新增了「B、C型肝炎專區」，整合國健署篩檢資料，顯示病人最近1次B、C型肝炎用藥、檢查檢驗等紀錄，來讓醫師及早發現、治療C肝病人。</p> <p>再來，健保署也放寬權限，讓第一線各職類的醫事人員使用健保雲端查詢系統，如呼吸治療師、放射師、醫事檢驗師、助產師、護理師，以及物理、職能治療師，還有社區復健相關的臨床心理師等。</p> <p><span style="font-size:26px;"><strong>下一步：建置視覺化圖表、打造響應式網頁</strong></span></p> <p>健保雲端查詢系統的優化不只如此。何小鳳透露，健保署還正建置視覺化圖像，要將西醫用藥的用藥記錄圖形化，比如以時間軸顯示用藥歷史記錄，還有以圓餅圖比例顯示近6個月用藥記錄來源。此外，中醫用藥記錄也相仿，以時間軸顯示用藥記錄，另外還有牙科處置部分，要新增牙位圖標示，如根管治療、牙周病治療、口腔外科治療等。健保署也要針對檢查檢驗結果，新增摘要表，來方便醫護掌握。</p> <p>另一方面，健保署也要打造新版系統的響應式網頁，來讓醫護使用者在各種行動裝置上，都能使用健保雲端系統，便於居家醫療的執行。何小鳳指出，明年，健保署也會將特材紀錄及終生給付數量上限項目等資料納入系統中，提供使用者更多資料，另也要利用機器學習演算法，找出最適合個人的精準治療方案。</p> <p>最後，健保署也透露參與次世代HIS開發的討論，也研擬將虛擬健保卡、視訊診療等相關遠距醫療功能，納入新版HIS模組中。</p> </div></div></div>
2022/11/29 19:53作者王若樸https://www.ithome.com.tw/news/154486
長庚醫院啟用AI智能客服，與民眾對話協助查詢門診、預約掛號、住院等資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>長庚醫院加速AI在醫療落地，與長庚醫科共同開發AI智能客服，結合AI辨識技術，以擬人化對答方式，協助民眾文字或電話語音掛號、查詢門診，甚至主動傳送簡訊或撥電話給等待住院或預約手術的病人，確認報到及術前回覆事項。</p> <p>長庚醫院表示，傳統上，民眾撥打電話語音掛號，必須先自行瀏覽門診表，通過多階層選單才能預約掛號，過程中可能因選項輸入錯誤或是忘記代碼導致失敗，必須重新撥話，花費較多時間。</p> <p>這項智能客服歷時約2年時間開發，系統落地長庚醫院，以避免民眾個資外漏風險，讓民眾透過長庚醫院官網、App，或是撥打單一市話專線，在AI文字客服或語音客服的協助之下，查詢或預約門診掛號、病床，以及衛教諮詢。該院宣稱透過AI文字、語音客服，民眾將需求「說出來」，平均可節省50%時間。</p> <p>林口長庚院長陳建宗指出，智能客服以病人需求為導向，結合醫、護、藥、資訊、工務、行政等團隊，跨團隊合作，整併就醫程序，智能客服以單一窗口提供服務，包括門診、住院、手術、檢查四大服務。</p> <p>在技術方面，當民眾撥電話給智能客服，先經由語音AI，利用STT技術辨識、校正，將語音轉為文字，再送到文字AI，通過AI大腦，通過NLU自然語言理解，辨別民眾的需求為FAQ問答，或是其他的需求意圖，再回傳文字回覆，經由語音AI的TTS將文字轉為語音，由AI客服以口說方式回覆民眾。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ailine.jpg" style="width: 600px; height: 333px;" /></p> <p>長庚智慧醫療總會副主席林志哲表示，智能客服以單一市話專線提供服務，可選擇長庚醫院底下9個院區，24小時提供掛號、門診、開刀、床位、檢查等資訊及服務。除了民眾撥話進來，例如查詢住院、開刀排程，系統也能反向推播訊息，或是以電話簡訊通知民眾就醫資訊，如還是聯絡不到，AI客服以語音撥打電話通知民眾，降低民眾等候焦慮、保障其權益，也減輕醫院行政及醫護人員負擔。</p> <p>為了打造這項AI客服，長庚根據過去傳統客服與民眾的互動、需求，拆解為40至50個流程，以民眾最常使用門診查詢、掛號為例，包含預約掛號、查詢掛號、取消掛號、更改掛號時間等不同需求、流程。例如，民眾撥電話給AI客服想要預約掛號，可說出指定科別、預約特定醫師姓名的門診，如果沒有指定的醫師門診，則可以說出要掛號的科別，不限醫師門診，由AI客服在後臺查詢醫師門診資訊，再讓民眾來選擇。</p> <p>另外，基於防疫需要，病人到院前TOCC，對於預約住院病人、門診手術病人，智能客服也會撥電話給民，查詢TOCC、確認住院、手術報到。民眾如果對於用藥問題，例如藥來速預約查詢、確認慢性病處方箋領藥日，或是回家後對用藥方式有疑問，可通過官網、App掃描藥袋的QR Code，查詢門診所開的藥品、用藥資訊、衛教諮詢等等。</p> <p>長庚醫院行政中心總執行長潘延健指出，智能客服今年5月試營運以來，每月已服務超過8萬人次，平均每位使用者在2到3分鐘完成服務，較先前節省50%時間，滿意度提高至92%。透過與民眾的互動回饋，明年還將擴大至手術檢查時間查詢、更改與諮詢。</p> <p>目前長庚AI客服，語音以國語為主，該院表示，台語、客語將是接下來努力的方向。</p> </div></div></div>
2022/11/29 17:37作者蘇文彬https://www.ithome.com.tw/news/154482
俄羅斯科技巨頭Yandex宣布組織重整，準備撤出俄羅斯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在俄羅斯入侵烏克蘭之後，因受到歐盟與美國的制裁，造成許多國際品牌退出俄羅斯市場，而今，於俄羅斯成長茁壯、也是俄羅斯最大科技業者的Yandex，也準備撤出俄羅斯市場，<a href="https://yandex.com/company/press_center/press_releases/2022/2022-11-25" target="_blank">其荷蘭母公司Yandex N.V.上周五（11/25）宣布組織重整</a>，表示將把特定服務退出俄羅斯市場，並出售對俄羅斯Yandex Group的控制權。</p> <p>Yandex被譽為俄羅斯的Google，因為它提供許多與Google相仿的服務，從搜尋、地圖、導航、廣告、雲端運算、自駕車、電子商務、食物外送到娛樂等，是俄羅斯僅次於Google的第二大搜尋引擎，雖然Yandex的總部設於俄羅斯，但其控股公司Yandex N.V則在荷蘭註冊。</p> <p>然而，Yandex也不免受到俄烏戰爭的波及，今年初，其新聞服務的負責人遭到歐盟制裁，促使Yandex將新聞服務賣給當地另一網路業者VK，也因被制裁而無法償還債務，並於今年9月將網域名稱從yandex.ru變更為ya.ru，似乎已在替撤出俄羅斯市場作準備。</p> <p>根據Yandex N.V.的規畫，該公司計畫將自駕車、雲端運算、資料標註與教育科技等特定服務撤出俄羅斯市場，於俄羅斯以外獨立運作，也打算卸下Yandex N.V對Yandex Group所有其它服務的控制權，包括搜尋、廣告、行動服務、電子商務、食物外送及娛樂等。</p> <p>此外，Yandex N.V.將會更名，把Yandex品牌留給被剝離的服務使用。</p> <p>簡單地說，Yandex N.V.企圖把俄羅斯境內的各種服務出售給當地業者，並於俄羅斯之外繼續經營自駕車及雲端運算等國際服務，等於是撤出俄羅斯市場。</p> <p><a href="https://www.ft.com/content/5ac72014-d7af-4435-aaaf-2a15033fb2a1" target="_blank">根據《金融時報》（Financial Times）的報導</a>，Yandex N.V.正在徵求俄羅斯總統普丁（Vladimir Putin）對此一重組計畫的許可。</p> <p>Yandex N.V.表示，目前此一重組程序仍處於初步階段，無法保證能依照計畫完成重組，或能否找到完美的買家。Yandex董事長John Boynton坦言，這是個非常棘手的時刻，他們將分析所有的選項，儘可能地保護股東的價值與2萬名員工的機會。</p> </div></div></div>
2022/11/29 16:05作者陳曉莉https://www.ithome.com.tw/news/154479
GitHub開始以日期命名REST API版本號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.blog/2022-11-28-to-infinity-and-beyond-enabling-the-future-of-githubs-rest-api-with-api-versioning/">GitHub</a>更新API版本控制的命名方法，以日期來命名版本號，像是在2025年12月25日發布的新版本，該版本就會被命名成2025-12-25，這項規則僅適用於具有重大變更的版本。這項基於日期的版本控制方法，讓官方可以不斷發展API，但同時有提供順暢的搬遷路徑和充足的時間，供用戶進行整合。</p> <p>目前GitHub API有數百萬使用者，包含開發者自建，以及來自GitHub Marketplace第三方應用程式的整合。API隨著時間推移會出現變化，勢必加入更新的產品功能、修復錯誤或是改善開發人員體驗，但另一方面，在API更改時，官方無法期待API使用者會不斷地更新整合。</p> <p>API變更分成兩種，一種是不會對現有整合產生負面影響的情況，稱為非破壞性變更，另一種破壞性變更，則會出現刪除回應欄位、參數變更或是完全刪除端點等情況。GitHub在10年前釋出API V3，這個版本雖然運作良好，但是未提供適當的工具和流程，無法在進行重大更新時支援現有用戶順暢的搬遷。</p> <p>GitHub建議所有整合都要使用最新的API版本，官方提到，他們通常並不會頻繁地淘汰舊版本，或是強制用戶升級，當有新的REST API版本發布時，也會至少支援舊版本2年。當新版本升級，之前的版本同樣可用，用戶不會被強迫升級，並且可以使用X-GitHub-Api-Version標頭要求指定使用的版本，來選擇所要使用的版本。</p> <p>正在使用GitHub REST API的開發者，目前不需要採取任何行動，GitHub API的現有狀態，也就是用戶當前使用的版本為2022-11-28，但官方鼓勵用戶更新整合，並且主動發送X-GitHub-Api-Version: 2022-11-28標頭。不過，GitHub在接下來幾個月內，就會發布另一個包含重大更新的版本，要搬遷到該版本，就會需要使用X-GitHub-Api-Version標頭並且指向新版本。</p> <p>目前這個以日期為基礎的API版本號控制方法僅適用於REST API，在GraphQL API和webhooks則未提供。</p> </div></div></div>
2022/11/29 16:10作者李建興https://www.ithome.com.tw/news/154472
AWS誓言要在2030年前達到水資源正效益
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/aws/aws-water-positive-by-2030" target="_blank">Amazon Web Services（AWS）周一（11/28）宣布</a>，將在2030年以前實現水資源正效益（Water Positive），跟上<a href="https://blogs.microsoft.com/blog/2020/09/21/microsoft-will-replenish-more-water-than-it-consumes-by-2030/" target="_blank">微軟</a>、<a href="https://sustainability.google/commitments/water/#" target="_blank">Google</a>、<a href="https://www.intel.com/content/www/us/en/newsroom/news/intel-achieves-net-positive-water-3-countries.html#gs.jyzopa" target="_blank">Intel</a>與<a href="https://about.fb.com/news/2021/08/restoring-water/" target="_blank">Meta</a>的腳步，這些科技業者對Water Positive所設下的目標都是2030年，代表屆時它們所補充的水量將會超越所消耗的水量。</p> <p><a href="https://www.unicef.org/wash/water-scarcity" target="_blank">根據聯合國的估計</a>，全球有超過20億人生活在供水不足的國家，到了2025年，會有一半的人口生活在面臨缺水的地區，且低收入戶將首當其衝。</p> <p>不過，AWS水資源可持續發展負責人Will Hewes表示，現在他們在水資源領域看到很多的創新，包括新科技、新的融資模式，以及新的商業模式，將可從根本上改變人們解決水資源不足的問題。</p> <p>水在AWS的關鍵用途是冷卻全球各地的資料中心，而AWS對水資源正效益的承諾則透過效率、回收、再利用與補給來呈現，特別是於資料中心提高用水效率，以及增加可持續水源的使用。</p> <p>為了減少資料中心對水的需求，AWS打造了高效率的冷卻系統，首選冷卻策略為蒸發技術，讓自外部吸入的熱空氣經過浸水的冷卻墊，再將已冷卻的空氣送進伺服器機房；另也設計了一款自由空氣冷卻系統，部署感應器來追蹤溫度及溼度等氣候參數，一旦條件達到安全工作範圍，蒸發冷卻系統就會關閉，讓來自外部的冷空氣直接輸送到伺服器機房。</p> <p class="rtecenter"><img alt="" src="https://assets.aboutamazon.com/dims4/default/9cfc059/2147483647/strip/true/crop/1920x1080+0+0/resize/1320x743!/format/webp/quality/90/?url=https%3A%2F%2Famazon-blogs-brightspot.s3.amazonaws.com%2F5d%2F60%2Fdff13e2e43cfac834e580fc52d56%2Fdirectevapcooling.gif" style="width: 550px;" /></p> <p class="rtecenter"><img alt="" src="https://assets.aboutamazon.com/dims4/default/c682c3a/2147483647/strip/true/crop/1920x1080+0+0/resize/1320x743!/format/webp/quality/90/?url=https%3A%2F%2Famazon-blogs-brightspot.s3.amazonaws.com%2F7e%2Fdc%2Fe141043a40cc82e97cdba4a91f22%2Faws-freeaircooling.gif" style="width: 550px;" /></p> <p>上述作法讓愛爾蘭與瑞典的AWS有95%的時間完全不需要水，而是利用自然空氣進行冷卻；而加州聖塔克拉拉的資料中心，在從既有冷卻系統切換到直接蒸發冷卻系統之後，每年減少了85%的用水量。</p> <p>AWS也投資現場水處理系統，以回收更多的水，減少冷卻水用量，並開發可持續水源，例如聖塔克拉拉的資料中心就是使用循環水或再生廢水，而非以飲用水進行冷卻。此外，AWS還把自資料中心回收的安全冷卻水，運送到附近的農地或社區，並贊助各種補水專案，包括水質的改善及水資源管理等。</p> </div></div></div>
2022/11/29 16:28作者陳曉莉https://www.ithome.com.tw/news/154481
AWS推出端到端加密企業通訊服務Wickr
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS發布了端到端加密企業通訊服務<a href="https://aws.amazon.com/tw/blogs/aws/aws-wickr-a-secure-end-to-end-encrypted-communication-service-for-enterprises-with-auditing-and-regulatory-requirements/">Wickr</a>，該服務讓企業和公部門可以更安全地進行通訊，同時又符合組織稽核、監管和FOIA要求。目前Wickr已經先在美東北維吉尼亞區域上線。</p> <p>與許多企業通訊工具不同，Wickr使用特別的加密機制，確保訊息、檔案、語音和視訊通話，只能由預期的收訊者存取，Wickr管理人員也可以管理頻道並保留資訊以滿足監管需求，保留的資訊會在用戶選擇的伺服器上，完全受用戶控制。</p> <p>Wickr可讓兩個或是多個通話者進行安全通訊，該服務提供真實性與機密性，也就是說任何未經授權的人，無法在系統注入訊息，而非預期的人也無法存取或是理解通訊內容。</p> <p>AWS解釋，每則訊息都有唯一的AES加密金鑰和唯一的ECDH公鑰，用於和其他收訊者協商金鑰交換，訊息內容在發送裝置上使用訊息專屬的AES金鑰加密，這個金鑰會透過DEDCH521和收訊者交換，確保由預期的收訊者，以訊息專屬的AES金鑰來解密訊息。</p> <p>訊息專屬的金鑰透過金鑰衍生函式傳遞，該函式將金鑰交換綁定到特定的收訊者裝置，當收訊者之後將裝置添加到帳號時，預設新裝置看不到訊息歷史紀錄，用戶可以藉由在兩臺裝置配置SSO，將歷史紀錄從舊裝置搬移到新裝置上。</p> <p>為了確保Wickr的安全性，AWS公開Wickr安全訊息傳輸協定供社群檢查，而且Wickr客戶端實作安全訊息協定的程式碼，也同樣可供稽核和審查。</p> <p>Wickr管理員可以留存資料並且使用機器人程式。管理員能夠將訊息留存到安全且受控的資料儲存中，僅供收訊者取用，包括AWS在內沒有其他人可以存取金鑰解密對話或是文件，使組織能夠完全控制資料。</p> <p>資料留存實作如同加入對話的過程也需要交換金鑰，管理員可以選擇EC2虛擬機或是其他位置。這個資料留存程序能以Docker容器方式部署，將明文訊息儲存在選擇的儲存上，可以是本地、遠端檔案系統或是S3。</p> <p>Wickr支援各種功能機器人，像是廣播機器人可向網路中成員或是特定群組廣播訊息，開發人員可以使用Wickr Bots創建工作流程，或是使用NodeJS編寫機器人。</p> </div></div></div>
2022/11/29 16:35作者李建興https://www.ithome.com.tw/news/154480
Google Health首度將乳癌篩檢AI模型授權予商業公司iCAD
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/ai/icad-partnership-breast-cancer-screening/" target="_blank">Google Health與醫療裝置製造商iCAD於本周宣布</a>，Google Health將授權旗下的乳房攝影AI研究模型予iCAD使用，這是Google Health首度將該模型授權給商業公司，iCAD則準備將該模型整合至該公司既有的產品中，<a href="https://www.theverge.com/2022/11/28/23481967/google-partners-icad-med-tech-ai-breast-cancer-screening" target="_blank">根據《The Verge》的報導</a>，雙方的目標是在2024年將相關技術部署於臨床應用。</p> <p>Google的姐妹公司<a href="https://www.ithome.com.tw/news/135158" target="_blank">DeepMind在2020年曾於《自然》科學期刊發表可用來辨識乳癌的AI模型</a>，指出該模型比放射科醫生更擅長辨識乳癌，隨後並由<a href="https://blog.google/technology/health/artificial-intelligence-breast-cancer-screening/" target="_blank">Google Health及美國西北大學醫學院共同展開臨床研究</a>，以探索AI模型能否有助於縮短診斷時間，減少評估差距，同時改善患者體驗。</p> <p>Google Health表示，在經過多年的投資、研究與測試後，現在將與iCAD合作進入下一個階段，將此一技術整合到現實世界的臨床環境中。</p> <p><a href="https://www.icadmed.com/newsroom.html#!/posts/iCAD-and-Google-Health-Ink-Strategic-Development-and-Commercialization-Agreement/324" target="_blank">iCAD表示</a>，根據雙方的協議，Google已將用於乳癌及個人化風險評估的AI技術授權給該公司，iCAD將利用此一技術來改善自家3D與2D的AI演算法，並將所開發的產品商業化。</p> <p>此外，iCAD打算採用Google Cloud的基礎設施，藉由雲端將相關服務遞送到全球市場，特別是造福那些基礎設施受到侷限的區域。</p> </div></div></div>
2022/11/29 13:12作者陳曉莉https://www.ithome.com.tw/news/154467
AWS AI撰寫輔助服務CodeWhisperer新增C#、TypeScript支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS本周一連舉行三天Re:Invent大會，公布多項工具。其中AI輔助程式撰寫的工具CodeWhisperer支援的開發語言擴大到C#、TypeScript，此外並加入單一簽入（SSO）整合功能。</p> <p>CodeWhisperer是<a href="https://www.ithome.com.tw/news/151609" target="_blank">AWS今年6月公布並預覽的AI輔助程式開發服務</a>，是以機器學習技術（machine learning）為底層，是AWS Toolkit各項IDE的一環。它會根據多種環境線索為開發專案提供建議以提升開發人員開發速度，包括原始碼中的游標位置、游標前的程式碼、註解及同一專案中其他檔案的程式碼。開發人員可以直接套用CodeWhisperer的建議，或是自訂修改其建議用於自己的專案。</p> <p>周一在Re:Invent中，<a href="https://aws.amazon.com/tw/about-aws/whats-new/2022/11/amazon-codewhisperer-enterprise-controls-sign-up-new-languages/" target="_blank">AWS宣布CodeWhisperer支援的開發專案</a>，從Python、Java、JavaScript再擴大到C#及TypeScript專案。AWS Toolkit的IDE包括Visual Studio Code、JetBrains、AWS Lambda、AWS Cloud9都提供CodeWhisperer。</p> <p class="rtecenter"><img alt="" src="https://d1.awsstatic.com/C_Code_snippet.23756adaf36665c202e34bae6b7196f3540fc7c6.png" style="width: 448px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／AWS</span></span></p> <p>此外，CodeWhisperer加入了單一簽入（Single Sign-On）功能，AWS 管理員能將之與AWS其他身份驗證方案整合起來。不具備AWS帳號的個人用戶則可以AWS Builder ID及個人電子郵件啟用CodeWhisperer，而不必再排隊試用。</p> <p>CodeWhisperer仍然為預覽版，開發人員可以根據適用的IDE下載AWS Toolkit，或透過AWS Console啟用。</p> </div></div></div>
2022/11/29 13:38作者林妍溱https://www.ithome.com.tw/news/154468
推動減碳Epson將於2026停產雷射印表機，全面轉向噴墨式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為因應歐盟主導的減碳指令，<a href="https://www.prnewswire.com/ae/news-releases/epson-completes-its-business-mfp-range-fully-committing-to-the-sustainability-advantages-of-heat-free-inkjet-technology-and-discontinuing-the-global-sale-of-laser-printers-301685258.html" target="_blank">印表機大廠Epson本周宣布</a>在2026年之前停售雷射印表機種，全面採用噴墨式技術。</p> <p>這是去年Epson宣布投入千億日圓投入開發永續技術，淘汰雷射列印技術的成果。</p> <p><a href="https://blog.epson.com.sg/inkjet-printers-better-for-the-environment-and-for-business/" target="_blank">Epson強調</a>，整個產品生命周期中，噴墨機種從生產到廢棄都比雷射機種更友善環境。例如，雷射列印過程需要熱能、更為耗能，Epson噴墨機種列印不產生熱能，比雷射機種耗能少85%，減少企業用電。</p> <p>此外，從廢棄物角度來看，噴墨印表機一次只需更換墨水匣，一臺雷射機種則需換一整個碳粉匣，後者包含碳粉匣、感光鼓、定影滾輪（fuser）等許多零件。噴墨印表機的活動零件及耗材都比雷射印表機來得少，服務和維修需求較低，但因較少停機，生產力反而更高。整體而言，噴墨機種替換零件比雷射機種少59%，而且體積較少、較輕，使其需要的材料、運送、儲存資源需求較低，生產一臺噴墨印表機的排碳量，比雷射機種少了85%。</p> <p><a href="https://blog.epson.com.sg/inkjet-printers-better-for-the-environment-and-for-business/" target="_blank">Epson本周也宣布</a>了商用噴墨印表機WorkForce Enterprise AM-Series系列，使其商務噴墨印表機種遍及小型群組到部門用高速機種。</p> </div></div></div>
2022/11/29 12:28作者林妍溱https://www.ithome.com.tw/news/154466
Meta因5億筆用戶資料外洩遭愛爾蘭罰2.65億歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>愛爾蘭資料保護主管機關昨（28）日針對數年前Meta遭人利用「資料抓取」手法、蒐集5億筆用戶個資一案，<a href="https://www.securityweek.com/irish-regulator-fines-meta-265-million-euros-over-data-breach" target="_blank">重罰2.65億歐元</a>。</p> <p><a href="https://www.ithome.com.tw/news/143850" target="_blank">愛爾蘭資料保護委員會（Data Protection Commission，DPC）是2021年4月著手調查</a>一樁Meta重大資料外洩案可能違反了歐盟資料保護法GDPR，在近日完成調查並進行開罰。</p> <p>2021年初第三方安全廠商發現高達106國、5.33億筆臉書用戶個資，遭不明人士免費張貼在駭客論壇上。外洩資訊包括用戶電話、臉書ID、全名、生日、住址及個人簡歷，有的還有電子郵件信箱。</p> <p>臉書調查後說明，這事件是發生在2018年5月到2019年9月之間，有人濫用了臉書網站上聯絡人匯入（contact importer）的功能，以軟體冒充臉書App，誘使用戶上傳其聯絡人資料，再比對臉書個人公開資料頁的資訊，以資料蒐集（data scraping）一共擷取了5.33億筆資料。</p> <p>此事引發Meta在歐洲的主管機關愛爾蘭政府調查，重點在了解Meta平臺Facebook Search、Facebook Contact Importer、及Instagram Contact Importer等工具是否違反了GDPR下的「設計和預設的資料保護」義務。</p> <p>在歐盟其他主管機關的同意下，愛爾蘭DPC 11月25日決議Meta違反了GDPR的規定，除了要求限期改善外，也處以2.65億歐元（約86億臺幣）行政罰金。</p> <p>這是Meta今年第三度遭愛爾蘭政府開罰。3月間Meta因2018年外洩3,000萬歐盟臉書用戶<a href="https://www.theverge.com/2022/3/16/22979540/meta-facebook-gdpr-privacy-data-ireland-data-protection-commission" target="_blank">被罰1,860萬歐元</a>，9月又因IG允許青少年建立商業帳號卻預設公開了電子郵件及電話號碼，<a href="https://www.ithome.com.tw/news/152896" target="_blank">該局判罰 4.05億歐元</a>。</p> <p><a href="https://www.ithome.com.tw/news/154441" target="_blank">上周又有媒體報導</a>，Meta旗下WhatsApp涵括84 國、近5億用戶手機號碼被人於駭客論壇兜售，若報導調查屬實可能又要讓Meta破財。</p> </div></div></div>
2022/11/29 11:28作者林妍溱https://www.ithome.com.tw/news/154464
另一加密貨幣業者BlockFi申請破產保護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一如傳聞，在<a href="https://www.ithome.com.tw/news/154165" target="_blank">FTX進入破產保護</a>之後，另一<a href="https://www.businesswire.com/news/home/20221128005451/en/" target="_blank">加密貨幣平臺BlockFi及8家相關企業也在本周一（11/28）聲請破產保護</a>，並說手上仍有超過2.5億美元的現金可於此一重組過程中支援特定的運作。</p> <p>BlockFi成立於2017年，扮演加密貨幣產業的銀行角色，允許使用者存入或借出加密貨幣，但主要的業務為借貸，把客戶的款項借給其它加密貨幣公司，並支付客戶最高8.6%的年化利率。</p> <p>根據<a href="https://pacer-documents.s3.amazonaws.com/109/1094078/118164199368.pdf" target="_blank">BlockFi所提交的法院文件</a>，該平臺的債權人超過10萬，所估計的資產或負債都介於10億至100億美元之間。此外，其最大債權人為Ankura Trust，債務接近7.3億美元，居次的是FTX US的2.75億美元。</p> <p>不過，BlockFi表示，在此一破產保護的重組程序中，將專注於收回欠款，包括來自FTX及其關係企業的債務，但因FTX也正處於破產程序中，相關回收預期也會延遲。</p> <p>BlockFi金融顧問Mark Renzi指出，在FTX破產後，BlockFi管理團隊及股東立即採取行動來保護客戶與公司，未來可望有一個透明化的程序，以替客戶與其它關係人帶來最佳結果。</p> </div></div></div>
2022/11/29 11:47作者陳曉莉https://www.ithome.com.tw/news/154465
AWS開源容器開發客戶端命令列工具Finch
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS釋出新的容器命令列客戶端開源工具<a href="https://aws.amazon.com/tw/blogs/opensource/introducing-finch-an-open-source-client-for-container-development/">Finch</a>，Finch可用於建構、運作和發布Linux容器，其提供原生macOS客戶端安裝程式，以及一組標準開源元件，包括Lima、nerdctl、containerd和BuildKit，用戶可以使用Finch在本地端創建和執行容器，並發布OCI容器映像檔。</p> <p>雖然目前要在非Linux主機上建置和執行Linux容器，已有現有的商業產品和一系列開源工具可用，但是如要使用開源命令列工具，用戶仍需要花時間組裝測試，因此AWS希望透過建立Finch來簡化這項複雜工作，讓用戶能更專注在容器操作上而非建構工具。</p> <p>Finch仍是只擁有基本功能的初期專案，目前僅支援macOS，隨後會擴展到Windows和Linux。Finch直接相依於Lima和nerdctl，並且一起打包成macOS安裝程式。Lima是在2022年9月才被CNCF接受的沙盒專案，為一個在macOS上以containerd運作Linux虛擬機器，可以看作是非正式的Mac用containerd，而nerdctl則是一個用於containerd且相容於Docker的命令列工具。</p> <p>Finch的macOS原生客戶端，能夠在nerdctl和由Lima管理的虛擬機器間，扮演橋樑角色，所有可調的部分都被抽象成簡單易用的Finch客戶端，Finch會管理所有必要的開源元件和相依項目，用戶不需要管理相依項目更新和進行安全修補。</p> <p>同時，Finch也直接和nerdctl整合，提供用戶熟悉的命令和選項，就像是在Linux原生操作一樣，可以從註冊表拉取映像檔，在本地端執行容器，並且使用Dockerfile建置映像檔，同時Finch還夠進行模擬，在amd64或是arm64架構中建置和執行映像檔，這代表用戶可以選擇在使用Apple Silicon或是英特爾晶片的Mac上執行建置。</p> <p>AWS提到，核心Finch客戶端將會是一個精選的發布版本，完全開源且供應商中立，並供下游使用者自訂，根據特定使用案例創建擴展和增加功能。AWS會根據客戶需要加入自家雲端服務整合，但這將會以擴充的方式加入可選功能，不會影響Finch的開源核心和上游相依項目，擴充功能會擁有自己專案，以及獨立的發布周期。</p> <p>用戶只要完成Finch安裝，就可以開始建置和執行容器，目前Finch沒有圖形使用者介面，僅有一個簡單的命令列客戶端，沒有整合額外的叢集管理和容器調度工具。</p> <p>整體來說，Finch規畫了一個通用開源元件堆疊，這些元件經過建置和測試確定能夠協同運作，AWS提到，他們的目標是要最小化和簡化容器的建置、運作、推送和拉取體驗，使用戶可以專注於核心工作流程。隨著專案的發展，AWS還將讓虛擬元件的狀態更加透明，並且占用較小的容量，啟動時間更快，也更具可擴展性，用戶可以自由地依需求自定義Finch。</p> </div></div></div>
2022/11/29 09:56作者李建興https://www.ithome.com.tw/news/154450
整合開發環境Qt Creator 9加入實驗性測試框架Squish
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>老牌程式開發工具Qt釋出最新整合開發環境<a href="https://www.qt.io/blog/qt-creator-9-released">Qt Creator 9</a>，這個版本有許多更新，從編輯器、C++語言和Docker功能都有更新，但特別的是，這個版本加入了一個稱為Squish的自動化GUI測試框架，供用戶在發布程式之前，能夠以Squish先進行除錯和測試。</p> <p>Squish讓開發者可以使用GUI和命令列工具，對程式進行自動化測試，以了解程式是否存在臭蟲，用戶可以直接啟動Squish測試套件，創建並且錄製測試用例，接著由Squish執行程式和伺服器執行測試，並且查看Squish的輸出結果。用戶可以在執行測試之前設置中斷點，在特定位置停下程式以檢查變數，執行像是類似除錯測試的動作。</p> <p>Squish可以在Linux、macOS、Windows和Unix上運作，官方提到，每個平臺上的Squish功能都擁有獨特的外觀，對話框和工作表中按鈕順序都不同，因此應用程式的外觀可能會因為使用的主題相異，但這並不會影響Squish的功能，每一個平臺的介面都可以找到相對應的功能。</p> <p>Squish功能外觀相異不會影響Squish跨平臺測試結果，因為Squish是透過屬性來辨識GUI物件，這代表當Squish測試特定平臺的應用程式，可以完全不需要變更，直接用於測試同一應用程式在另一平臺的版本，即便對話按鈕在兩個平臺的順序不同。</p> <p>Squish能夠用於測試廣泛的應用程式，像是Android、iOS、Java、Qt和Windows等，還有在諸如Safari、Firefox和Chrome等不同瀏覽器上，所執行以HTML為基礎的網頁應用程式。</p> <p>在C++功能上，開發者現在可以在整個會話中使用單個Clangd實例，而非在每個專案啟用個別實例，同時Qt Creator也更換了配置和建置預設支援，Qt Creator現在預設使用CMake 3版本。</p> <p>Qt Creator 9能夠更好地支援Docker，在程式碼庫中支援遠端開發工作，在遠端檔案和目錄新增檔案瀏覽器，而且也改進自動偵測提供更好的引導精靈功能。除了Docker裝置，用戶現在還可以設定遠端Linux裝置為套件建置裝置。</p> <p>Qt Creator 9在編輯器上也有許多調整，包括增加文件縮排視覺化的選項，現在每個縮排層級都會被標上一條垂直線，用戶可以在配置中調整線的間距。同時官方還修正之前用戶選取大段落時，所出現的效能問題。</p> <p>由於新版Qt Creator增加了深色主題支援，因此當用戶將Qt Creator切換成深色主題時，Qt和Qt Creator文件也會以深色樣式顯示，但用戶所註冊的文件則不會有任何外觀調整。</p> </div></div></div>
2022/11/29 10:00作者李建興https://www.ithome.com.tw/news/154453
AWS re:Invent年度用戶大會登場，今年逾5萬人實體參加，數據創新、基礎設施及安全將是今年雲端重頭戲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端服務龍頭AWS每年冬天都會在美國拉斯維加斯舉行re:Invent全球用戶大會，但受疫情衝擊，2年前改為全線上進行，儘管相隔一年，隨即於2021年恢復實體舉辦，但實際參加人數明顯不如往年，甚至不到全盛時期一半，許多人都改線上參加，使得去年整場活動似乎沒有像以往那麼熱絡。</p> <p>不過，到了今年re:Invent 2022用戶大會，官方雖還是採實體和線上併行，但從今年現場參加人數來看，隨著疫情趨緩，人潮已經逐漸回流，恢復到疫情前的水準，超過5萬人到場參加。</p> <p>AWS年會將從美國時間11月28日一連4天在拉斯維加斯舉行，AWS執行長Adam Selipsky將在活動第二天早上（台灣時間11/30日凌晨）發表主題演說，這也是他執掌AWS後的第2年登臺。在他帶領下，過去1年多AWS繳出不錯的成績單，甚至不畏景氣影響，在最近一季財報仍有近3成的增長，也讓它成為母公司Amazon迄今唯一仍保持獲利的核心業務。</p> <p>每年re:Invent也是AWS最重要年度產品發表大會，在大會前一天，Adam Selipsky在推特上預告，今年將有重要創新雲端產品和服務推出，儘管並沒有透漏更多，但從他今年主題演講來看，今年重頭戲將延續去年聚焦數據創新，除此之外，在基礎設施、安全方面將有更多產品或服務發表。</p> <p>在基礎設施布局上，AWS基礎設施目前遍及30個區域(Regions）、96個可用區，另外屬於較小型的本地區域雲端機房（Local Zone）目前也有多達21個，其中一座AWS本地雲端機房就設在臺灣臺北，目前已啟用營運。沒有意外的話，AWS在大會上將預告更多可用區域和Local Zone明年推出。另外，在安全方面，因應軟體供應鏈需求，預期今年也會有相關雲端安全產品亮相，如推出結合DevOps的軟體供應鏈安全工具等。</p> <p>在雲端服務或產品方面，除了常見運算、儲存、網路服務照往年慣例都會有更新之外，AWS近來積極布局桌面即服務DaaS（Desktop as a service ），其實早在多年前，AWS就已推出雲端桌面虛擬化服務Amazon WorkSpaces，在這兩年，因為疫情，促使企業對桌面虛擬化採用需求大增，為了布局DaaS，AWS最近更找上VMwarec合作推出整合其Horizon VDI的DaaS雲端代管服務，也就是WorkSpaces Core，可讓VDI改在公雲或混合雲環境下執行，簡化企業VDI虛擬桌面部署和管理。外界預期，AWS今年將推出更多DaaS相關產品，搶攻後疫企業混合辦公需求。</p> <p>雲端AI產品依舊是每年活動一大主軸，今年將由AWS數據和機器學習副總裁Swami Sivasubramanian在活動第三日宣布眾多新產品，去年AWS發表機器學習效能更強的Graviton 3處理器，預期今年將有新一代產品亮相。</p> <p>另一方面，外界預估今年將延續去年圍繞在雲端機器學習服務SageMaker功能或服務更新，像是能夠全面整合如OpenAI的LLM大型語言模型，簡化LLM模型訓練與部署，或推出能夠支援TinyML模型的SageMaker Neo版本，以及無程式碼工具版本SageMaker Canvas新增對於特定AI模型訓練的No Code支援，如視覺AI和對話式AI等。</p> <p>永續（sustainability）預期也會是今年AWS年會重要的主題之一，Adam Selipsky就預告今年會有更多永續相關產品發表，甚至今年大會展區首次設立永續主題專區，展示各項永續成果。</p> <p>今年大會也有超過500場技術講座，涵蓋AI、混合多雲、微服務、K8s等各種熱門雲端主題，和眾多企業轉型上雲案例分享，其中不乏許多大型金融業者，像美國高盛將揭露集團IT現代化，擁抱原雲端容器經驗，另一家美國萬通人壽保險公司也將談如何用K8s管理雲應用，美國第一資本金融談如何透過數據治理來擴展其數據生態系。還有渣打銀行如何用FinOps減少雲端成本支出。</p> <p>其他案例分享，還有像是美國最大人力資源公司ADP分享自家上雲經驗，聯合航空上雲經驗，迪士尼如何將資料庫搬上雲，透過數據創新應用，以及全球最第二大、德國最大鐵路公司上雲經驗，以及如何用微服務打造訂票服務，服務每年數億旅客。</p> </div></div></div>
2022/11/29 06:39作者余至浩https://www.ithome.com.tw/news/154463
【資安日報】2022年11月28日，Windows網際網路金鑰交換機制漏洞被用於攻擊、Docker Hub存在逾1,6…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>存在於多個版本Windows系統的網際網路金鑰交換機制（IKE）重大漏洞CVE-2022-34721，微軟雖然在9月公告修補，但近期有研究人員發現，駭客將其用於攻擊行動，鎖定約1千臺電腦下手。</p> <p>為了加速應用程式的開發與部署，容器成為當代IT顯學，很多人都會到提供眾多Docker映像檔的Docker Hub來下載，然而，這當中也蘊藏不小的危機！根據資安業者的調查，當中上架的映像檔，有多達1,600個易受攻擊的映像檔，其中最普遍的是遭人埋入挖礦軟體，寫死帳密的情況也相當值得留意。</p> <p>Chrome瀏覽器107更新版發布，當中修補零時差漏洞CVE-2022-4135。新加坡電腦緊急應變中心（SingCERT）指出，其他採用相同排版引擎的瀏覽器也可能存在相同風險。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.cyfirma.com/outofband/windows-internet-key-exchange-ike-remote-code-execution-vulnerability-analysis/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">存在於Windows網際網路金鑰交換機制的漏洞，已被用於RCE攻擊</span></strong></a></h3> <p>微軟於<a href="https://www.ithome.com.tw/news/153029">9月份修補了重大漏洞CVE-2022-34721</a>，這項漏洞與Windows的網際網路金鑰交換機制（IKE）有關，CVSS風險評分達9.8分，影響Windows 7、Windows Server 2008以上所有版本的作業系統，如今傳出有人將其用於攻擊行動。</p> <p>資安業者Cyfirma指出，有人發動一起名為「流血你」的攻擊行動，正是鎖定這個前幾個月揭露的IKE漏洞，對方已針對超過1千臺電腦下手。而對於攻擊者的身分，研究人員指出他們擅長使用中文，但尚未確認所屬的駭客組織。</p> <h3><a href="https://sysdig.com/blog/analysis-of-supply-chain-attacks-through-public-docker-images/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Docker Hub存在逾1,600個易受攻擊的映像檔，挖礦軟體與寫死帳密最多</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Analysis-of-supply-chain-attacks_3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Analysis-of-supply-chain-attacks_3.png" style="width: 300px; float: right;" /></a>雲端容器安全業者Sysdig近日針對Docker Hub上的逾25萬個映像檔進行分析，結果發現1,652個含有惡意程式，其中有608個為挖礦程式、281個內嵌帳密資料（Embedded Secrets）、266個刻意連上代理伺服器以規避檢查（Proxy Avoidance）、129個含有惡意網站連結等。</p> <p>研究人員指出，雖然挾帶挖礦軟體的情況最為嚴重，但開發者不慎嵌入各式帳密資料的情況也相當值得留意，這些資料包含了SSH金錀，以及AWS、GitHub、NPM的帳密資料等，呼籲開發者在上傳映像檔之前應利用相關檢測工具進行掃描。</p> <h3><a href="https://cybernews.com/news/whatsapp-data-leak/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">近5億筆WhatsApp用戶記錄在暗網兜售</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/whatsappleak.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/whatsappleak.png" style="width: 300px; float: right;" /></a>根據新聞網站Cybernews的報導，有人於11月16日在有名的駭客論壇求售WhatsApp用戶資料，並標榜為2022年最新的資料，號稱範圍遍及84個國家、總共有4.87億用戶的電話號碼，若按照目前WhatsApp約有20億用戶來推算，駭客宣稱持有的用戶資料數量，約近總使用者數的四分之一。根據資料來源地區，埃及有4,500萬筆、義大利有3,500萬筆、沙烏地阿拉伯則有2,900萬筆，其次是法國與土耳其各有2,000萬筆。</p> <p>駭客向該新聞網站透露，他們打算以7,000美元出售美國用戶的資料、英國用戶資料為2,500美元、德國用戶資料為2,000美元。Cybernews取得部分資料、經過驗證之後，判斷這些資料是WhatsApp用戶所有。</p> <h3><a href="https://thehackernews.com/2022/11/russia-based-ransomboggs-ransomware.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體RansomBoggs鎖定烏克蘭組織而來</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FibG0BDagAEdNFa.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FibG0BDagAEdNFa.jpg" style="width: 300px; float: right;" /></a>資安業者ESET揭露鎖定數個烏克蘭組織的勒索軟體RansomBoggs攻擊行動，駭客透過PowerShell指令碼來散布勒索軟體，研究人員指出，其指令碼與今年4月惡意軟體Industroyer2攻擊使用的幾乎相同，因而推測駭客身分是俄羅斯駭客組織Sandworm。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://chromereleases.googleblog.com/2022/11/stable-channel-update-for-desktop_24.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google緊急修補Chrome已遭利用的高風險漏洞</span></strong></a></h3> <p>Google於11月24日發布Chrome的安全更新107.0.5304.121（Windows版部分為107.0.5304.122），當中緊急修補該公司於22日發現的高風險漏洞CVE-2022-4135（此漏洞目前尚未有CVSS風險分數），此漏洞會導致GPU記憶體緩衝區溢位，該公司亦表明已有駭客將其用於攻擊行動。而這是今年該公司修補的第8個漏洞。</p> <p>對此，<a href="https://www.csa.gov.sg/en/singcert/Alerts/al-2022-076">新加坡電腦緊急應變中心（SingCERT）提出警告</a>，上述漏洞波及所有以Chromium為基礎開發的瀏覽器，如Edge、Brave、Opera、Vivaldi，呼籲瀏覽器開發商儘速修補。</p> <h3><a href="https://securitylabs.datadoghq.com/articles/appsync-vulnerability-disclosure/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">AWS修補AppSync跨租戶攻擊漏洞</span></strong></a></h3> <p>資安業者Datadog揭露於9月向AWS通報的漏洞，該漏洞存在於資料整合系統AppSync，一旦遭到利用，攻擊者可冒充其他AWS租戶身分，進而以混淆代理人（Confused Deputy）的方式，入侵他人AWS資源或是濫用。</p> <p>研究人員指出，AWS提供了Amazon Resource Name（ARN）防止AppSync遭到濫用，例如，在建立資料來源時，GraphQL的API會檢查serviceRoleArn參數，來確認傳入的ARN是否正確。但若是攻擊者在呼叫此參數的時候，採用不同大小寫的名稱（如servicerolearn），就有機會繞過驗證流程，而能存取其他AWS帳號的資料來源。Amazon獲報後於9月6日修補上述漏洞。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.cna.com.tw/news/afe/202211270045.aspx"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">資安研究院明年初成立，國安會、國防部將指派代表擔任董事</span></span></strong></a></p> <p><a href="https://www.thepeterboroughexaminer.com/ts/news/gta/2022/11/23/osstf-victim-of-ransomware-attack-notifies-members-of-personal-data-compromised.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">加拿大教師公會OSSTF證實遭到勒索軟體攻擊，會員個資遭到外洩</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/vice-society-ransomware-claims-attack-on-cincinnati-state-college/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國辛辛那堤州際學院遭到勒索軟體Vice Society攻擊</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154431">【2022年11月25日】閰羅王勒索軟體背後的駭客是俄羅斯人、駭客假借提供微星Afterburner公用程式散布挖礦軟體</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154404">【2022年11月24日】俄羅斯駭客今年前7個月竊取逾5千萬組密碼、歐洲議會遭到駭客組織Killnet的DDoS攻擊</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154378">【2022年11月23日】已不再開發的網頁伺服器系統Boa成為攻擊目標、臺廠Lanner基板管理控制器韌體出現漏洞</a></strong></strong></strong></p> </div></div></div>
2022/11/28 16:50作者周峻佑https://www.ithome.com.tw/news/154451
美國禁止進口與銷售華為、中興、海康威視等中國設備
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.fcc.gov/document/fcc-bans-authorizations-devices-pose-national-security-threat" target="_blank">美國聯邦通訊委員會上周正式發布命令</a>，以威脅國家安全為由，禁止美國國內進口和銷售華為、中興及海康威視等5家中國廠商的設備。</p> <p>FCC宣布採行最新法規，禁止授權對國家安全帶來不可接受的風險的通訊產品進口或是在美國銷售。FCC主席Jessica Rosenworcel聲稱，最新法令是該委員會持續保護美國人民免受電信產品帶來的國安威脅行動一環。</p> <p>這是中美在外交、貿易及國際政治關係緊張情勢下，美國方面的最新行動。2021年美國總統拜登簽定頒布法案Secure Equipment Act，該法要求FCC對美國造成「不可接受的國安風險」的廠商設備不得發出許可，且FCC需在一年內進行表決。<a href="https://www.ithome.com.tw/news/153660" target="_blank">上個月Axios報導</a>，FCC主席Jessica Rosenworcel已事先在FCC其他委員之間發送這項命令草案準備進行表決，最新宣布顯然反映表決結果。</p> <p>這項命令適用於FCC公共安全暨國土安全局發布的《涵蓋名單》下的設備，禁止對這些設備發出授權，也不得進口或在美國境內銷售，除非經特別許可。這名單下涵蓋的設備除了包括華為、中興外，也涵括今年被納入的監控攝影機廠商包括海康威視（Hikvision）、海能達（Hytera）、大華（Dahua）及其子公司和任何關係企業。</p> <p>此外FCC也預定修改該名單內設備的授權、FCC競標方案的流程，以及決定現有已授權設備的未來計畫。</p> <p>這對現況不會有太大改變。2019年11月FCC即已頒布一項命令，要求接受美國政府「普及服務基金」（Universal Service Fund，USF）的電信業者，不得向那些構成國家安全威脅的公司購買設備與服務，並要求業者移除與置換既有設備。這項命令首要目標即為中國的華為與中興。</p> <p>FCC其他行動包括以國安為由，更新海底電纜執照頒發的流程，取消了中國電信、中國聯通（China Unicom）與太平洋網路營運執照，終止其在美國銷售電信服務的權利。此外也啟動IoT設備及連網安全設備的安全審查。</p> </div></div></div>
2022/11/28 15:11作者林妍溱https://www.ithome.com.tw/news/154447
資安業者在Docker Hub中找到逾1,600個惡意映像檔
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專注於容器與雲端安全的Sysdig近日分析了Docker Hub上的逾25萬個Linux映像檔，<a href="https://sysdig.com/blog/analysis-of-supply-chain-attacks-through-public-docker-images/" target="_blank">發現其中有1,652個藏有惡意程式</a>。</p> <p>Docker Hub是由Docker官方所代管的雲端公共倉庫，讓全球的使用者可自由地建立、存放、下載及部署Docker容器映像檔，為全球最大的容器映像檔社群，為了維護使用者的安全，該倉庫不僅提供由Docker Library專案所審查與發表的官方映像檔，也推出驗證計畫來支援獨立軟體供應商（ISV）。</p> <p>而Sysdig所分析的容器映像檔則排除了官方與通過驗證的檔案，鎖定全球使用者所上傳的公開映像檔，在逾25萬個Linux映像檔中，有1,652個含有惡意內容，涵蓋608個挖礦程式，281個嵌入式秘密，266個代理規避（Proxy Avoidance），有134個新註冊的網域，129個惡意網站，以及其它等。</p> <p>Sysdig說，挖礦程式一如預期地成為最常見的惡意映像檔，排名第二的嵌入式秘密則彰顯了秘密管理的重要性，開發者也許是無意或有意將秘密置放於映像檔中，它們可能是SSH金鑰、AWS憑證、GitHub權杖或是NPM權杖等，建議應先利用敏感資料掃描工具來避免憑證的外洩。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1128-Docker%20Hub%20malicious%20images%20by%20Sysdig.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Sysdig</span></span></p> <p>SSH公鑰也被Sysdig掃描工具歸類為嵌入式秘密，因為當它們被放進容器映像檔時，很可能是為了非法使用而部署，例如當上傳公鑰至遠端伺服器，以允許握有私鑰的使用者可透過SSH開啟Shell與執行命令，等同於植入了後門。</p> <p>不管是在哪個領域，總會出現企圖假冒為熱門品牌，採用類似名稱來混淆使用者的手法，Sysdig在Docker Hub中也發現了幾個例子，而它們實際上是挖礦程式。</p> </div></div></div>
2022/11/28 15:54作者陳曉莉https://www.ithome.com.tw/news/154449
Google釋出演繹資料庫開發語言Mangle
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在GitHub釋出了演繹資料庫（Deductive Database）程式開發語言<a href="https://github.com/google/mangle" target="_blank">Mangle</a>，官方提到，Mangle是Datalog的擴展，具有聚合、函式呼叫和可選類別檢查等各種額外功能。Datalog本身是一種查詢語言，專門設計來操作大型關聯式資料庫，由於Datalog和SQL一樣，就僅是一個規範，因此像是bddbddb、DES和OverLog都是Datalog語法實作。</p> <p>演繹資料庫是一種資料庫系統，能夠根據儲存在資料庫中的規則和事實進行演繹，也就是經過計算之後獲得額外的事實，並且可對領域知識建模。通常用於演繹資料庫的語言是Datalog，以指定事實、規則和查詢，是一種類似關係演算（Relational Calculus）的表達性宣告語言，但與關係演算不同，Datalog還直接支援遞迴規則和程式結構。</p> <p>Mangle包含Datalog，但同時添加實用的聚合、函式呼叫和可選類別檢查等擴充功能，來增加Mangle可以適用的情境。官方提到，開源Mangle可供開發人員方便取用，並且有助於簡單地進行實驗。目前這個儲存庫包含實作Mangle的Go函式庫，能夠被簡單地嵌入到應用程式中，另外，雖然這個GitHub Mangle儲存庫在Google組織之下，但並沒有受到正式支援。</p> <div id="gtx-anchor" style="position: absolute; visibility: hidden; left: 446.984px; top: 21px; width: 44.9609px; height: 18.5px;"> </div> <div aria-describedby="bubble-2" class="jfk-bubble gtx-bubble" role="alertdialog" style="visibility: visible; left: 136px; top: 50px; opacity: 1;"> <div class="jfk-bubble-content-id" id="bubble-2"> <div id="gtx-host" style="min-width: 200px; max-width: 400px;"> </div> </div> <div aria-label="Close" class="jfk-bubble-closebtn-id jfk-bubble-closebtn" role="button" tabindex="0"> </div> <div class="jfk-bubble-arrow-id jfk-bubble-arrow jfk-bubble-arrowup" style="left: 449.484px;"> <div class="jfk-bubble-arrowimplbefore"> </div> <div class="jfk-bubble-arrowimplafter"> </div> </div> </div> </div></div></div>
2022/11/28 16:01作者李建興https://www.ithome.com.tw/news/154448
【資安週報】2022年11月21日到11月25日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周有兩件漏洞被利用的攻擊趨勢，特別值得注意，分別是歐姆龍（Omron）NJ、NX系列PLC產品線的CVE-2022-34151、CVE-2022-33971的漏洞，出現駭客鎖定攻擊的狀況，以及老舊系統被鎖定的問題，近期有駭客正鎖定Boa網頁伺服器漏洞攻擊。</p> <p>在漏洞修補方面，Samba的代理服務元件S4U2proxy存在記憶體緩衝區溢位問題，恐導致DoS、RCE，Sambe在本月15日已釋出針對CVE-2022-42898漏洞的修補；另外，有資安業者揭露了臺廠立端Lanner的BMC韌體存在13個漏洞，業者在接獲通報後已經修補。</p> <p>在國際威脅態勢方面，中國駭客組織Earth Preta鎖定臺灣、日本、菲律賓、澳洲、緬甸攻擊政府與法律機構的狀況被資安業者揭露，手法是用密件副本寄送網釣郵件，並濫用雲端檔案服務，目的是植入惡意程式ToneShell、ToneIns、PubLoad；印度證券託管機構CDSL遭遇網路攻擊，受全球關注。其他還包括亞洲航空A<a data-nguardprocessed="true" data-ved="2ahUKEwiv0O6L9s_7AhWKqVYBHdJuA5QQFnoECAkQAQ" href="https://www.airasia.com/zh/tw" ping="/url?sa=t&source=web&rct=j&url=https://www.airasia.com/zh/tw&ved=2ahUKEwiv0O6L9s_7AhWKqVYBHdJuA5QQFnoECAkQAQ" style="color: rgb(26, 13, 171); text-decoration-line: none; -webkit-tap-highlight-color: rgba(0, 0, 0, 0.1); outline: 0px; font-family: arial, sans-serif; font-size: small;">irasia</a>遭勒索軟體攻擊，員工與顧客資料傳外洩，以及歐洲議會表決俄羅斯為實行恐怖主義國家後，旋即遭親俄駭客發動DDoS攻擊</p> <p>至於攻擊態勢方面，搜尋引擎排名被竄改的新手法出現，駭客是利用了Google商業圖像化分析工具Looker Studio，來讓非法網站的搜尋結果排名提升；至少7個駭客組織使用竊密軟體Aurora於攻擊行動，資安業者指出這類威脅活動正持需攀升；OpenVPN、SoftVPN被竄改以散布間諜軟體。另外在勒索軟體的攻擊態勢中，Black Basta近期廣泛利用殭屍網路Qakbot來感染受害者電腦，並濫用Cobalt Strike、散布勒索軟體，值得注意。</p> <p>本周防護態勢有幾個重要焦點，隨著滲透測試演練工具Cobalt Strike遭濫用問題不斷，Google發布可精準標記與識別其元件遭濫用的YARA規則，還有美國國防部新揭露零信任行動方案，以及Google雲端開始部署可抵抗量子破密威脅的後量子加密演算法。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/154324"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月21日】駭客假冒Instagram發動網釣攻擊、歐姆龍PLC設備漏洞被用於散布惡意軟體</span></strong></a></h3> <p>又是假冒Instagram名義的網釣攻擊！有資安業者揭露針對國家級教育機構而來的攻擊行動，但值得注意的是，駭客不只配置了幾可亂真的內容，還通過了郵件安全閘道、郵件伺服器安全管制規則的檢查，而能成功送到該組織員工的電子郵件信箱。</p> <p>針對工控系統漏洞而來的攻擊行動也相當值得留意。美國CISA針對歐姆龍PLC設備發出資安通告，指出該公司於7月、10月修補的重大漏洞已被用於攻擊行動。</p> <p>Samba近期修補了CVE-2022-42898，這項漏洞影響32位元作業系統，攻擊者有機會藉由偽造的PAC憑證觸發。</p> <h3><a href="https://www.ithome.com.tw/news/154342"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月22日】駭客組織Luna Moth發動電話網釣攻擊、加密貨幣交易所的雙因素驗證機制遭到繞過</span></strong></a></h3> <p>在今天的資安新聞裡，駭客在攻擊行動濫用合法服務的情況可說是相當值得留意，這種情況往往騙過使用者與許多資安系統，不只讓攻擊者得逞，也讓提供相關服務的業者蒙受商譽損失，除了使用者需要提高警覺，服務供應商若是能進一步偵測相關異常行為，才有機會減少這類濫用情事。</p> <p>首先是駭客組織Luna Moth的網釣攻擊，他們假借寄送訂閱服務發票的名義，誘使收信人撥打電話取消付款，然而一旦依照指示聯絡「客服」，對方就會企圖在電腦上安裝遠端連線軟體來進行控制。另一個運用「客服」的攻擊行動，則是針對加密貨幣投資者而來。駭客針對Coinbase、MetaMask、Crypto.com，以及KuCoin等交易所的用戶，發出釣魚信竊取相關帳密，並假借客服的名義，通過上述交易所的進階身分驗證或裝置驗證。</p> <p>Google商業圖像化分析工具Looker Studio也成為駭客濫用的對象！資安新聞網站Bleeping Computer發現有人藉此提升盜版網站在搜尋引擎的排名。</p> <h3><a href="https://www.ithome.com.tw/news/154378"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月23日】已不再開發的網頁伺服器系統Boa成為攻擊目標、臺廠Lanner基板管理控制器韌體出現漏洞</span></strong></a></h3> <p>物聯網設備近年來成為駭客鎖定的目標，因為這類系統往往缺乏足夠的防護，甚至相關的開發套件因包含已停止支援的元件，而使得用戶陷入安全性漏洞無人處理的風險。例如，中國駭客日前入侵印度電網的事故裡，就針對名為Boa的網頁伺服器下手。Boa系統已停止更新長達17年，但許多物聯網裝置的SDK仍廣泛採用其元件，而使得這些裝置也曝露於Boa漏洞的危險當中。</p> <p>我們過往報導了數款基板管理控制器（BMC）的漏洞，這些BMC多半是安裝在伺服器主機，但最近用於物聯網裝置的BMC出現漏洞而引起研究人員注意。有資安業者揭露臺廠立端科技（Lanner）的BMC韌體漏洞，一旦遭到利用，攻擊者就有機會對搭載該公司BMC元件的物聯網裝置進行控制。</p> <p>以近日時事為誘餌的網釣攻擊事件頻傳，這些話題包含即將到來的黑色星期五購物季、剛在上週末開打的世界盃足球賽，以及加密貨幣交易所FTX破產等情況。</p> <p><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/154404"><strong><span style="color: rgb(0, 0, 0);">【11月24日】俄羅斯駭客今年前7個月竊取逾5千萬組密碼、歐洲議會遭到駭客組織Killnet的DDoS攻擊</span></strong></a></strong></p> <p>駭客組織利用竊密軟體（Infostealer）發動攻擊的情況，不時有事故傳出，但這些很可能與一場大規模攻擊行動有關。有資安業者針對俄羅斯駭客的大規模竊密軟體攻擊行動Classiscam進行追蹤，發現今年上半攻擊升溫，而且駭客不光是針對Amazon、PayPal這類金融帳號下手，竊取遊戲平臺帳號的情況更是增加5倍。</p> <p>隨著國際間對於烏克蘭戰爭採取相關行動，俄羅斯駭客反制的網路攻擊也隨之而來。歐洲議會指控俄羅斯入侵烏克蘭的行為構成戰爭罪，並呼籲各國採取相關手段對付俄羅斯，隨後該議會網站就傳出遭到癱瘓的消息。</p> <p>研究人員揭露Arm晶片的顯示元件Mali驅動程式漏洞，並指出此顯示晶片存在於多個品牌的單晶片，而有可能讓數百萬安卓手機成為駭客下手的目標。</p> <p><strong style="font-size: 22px;"><strong><a href="https://www.ithome.com.tw/news/154431"><strong><span style="color: rgb(0, 0, 0);">【11月25日】閰羅王勒索軟體背後的駭客是俄羅斯人、駭客假借提供微星Afterburner公用程式散布挖礦軟體</span></strong></a></strong></strong></p> <p>一年前資安業者賽門鐵克發現名為閰羅王（Yanluowang）的勒索軟體，並推測駭客很可能是中國人，然而，在該組織出現資料外洩之後，有資安業者分析其對話內容，發現該組織都使用俄文溝通，而非中文。而該組織是繼Conti之後，近期第2個內部資料遭人公開的勒索軟體駭客組織。</p> <p>遊戲玩家遭到鎖定的情況也相當值得留意，其中又假借提供微星Afterburner系統效能調整工具的攻擊行動引起資安業者關注。這些駭客看上玩家很可能會使用效能較佳的顯示卡，而以上述名義來散布挖礦軟體。</p> <p>近期俄羅斯駭客Killnet對歐美國家發動DDoS攻擊的情況不時傳出，我們昨天報導了歐洲議會因宣布俄羅斯犯下戰爭罪而遭到攻擊，英國威廉王子的網站也遭到這些駭客癱瘓，原因是該國提供烏克蘭武器。</p> </div></div></div>
2022/11/28 09:34作者羅正漢https://www.ithome.com.tw/news/154438
傳WhatsApp 5億用戶手機資料遭上網兜售
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cybernews.com/news/whatsapp-data-leak/" target="_blank">網路媒體CyberNews報導</a>，將近5億筆，涵括80多國WhatsApp用戶手機號碼疑似外洩，並被放上駭客社群論壇兜售。</p> <p>媒體報導，一個不明人士周末在某個駭客社群論壇張貼廣告，欲銷售宣稱為2022年最新資料庫，包含4.87億筆於WhatsApp上使用的手機號碼。報導指出，多名安全專家證實這則貼文內容為真。</p> <p>若貼文作者所言屬實，則外洩數量占<a href="https://www.statista.com/topics/2018/whatsapp/">WhatsApp估計有效用戶</a>約20億的1/4。</p> <p>報導指出，安全專家分析這批WhatsApp資料庫影響用戶國籍涵括84國，其中最多的是埃及（4,500萬）、義大利（3,500萬）及美國（3,200萬）。其次為沙烏地阿拉拍（2,900萬）、法國（2,000萬）、土耳其（2,000萬）、英國（1,100萬）及俄羅斯（1,000萬）。攻擊者以國別定價，其中美國、英國、德國資料集分別以7,000、2,500及2,000美元出售。</p> <p>Cybernews獲得的近2,000筆電話號碼，經證實的確為有效WhatsApp用戶。外洩的號碼可被用於行銷或釣魚簡訊，甚至結合其他外洩個資，以取得用戶數位身分或盜取其帳號。</p> <p>WhatsApp母公司Meta已有多次大規模資料外洩紀錄。<a href="https://www.ithome.com.tw/news/121951" target="_blank">2018年的劍橋分析事件中</a>，讓8,700萬筆資料外洩第三方行銷業者，<a href="https://www.ithome.com.tw/news/146516" target="_blank">2021年Meta更有高達5.3億筆用戶個資</a>包括用戶電話、臉書ID、全名、生日、住址及電子郵件信箱，被人張貼在駭客論壇上兜售。</p> <p>此外若歐盟介入調查，後果會相當嚴重。2021年WhatsApp光是因未告知消費者及企業用戶說明資料處理，違反了歐盟隱私法GDPR，<a href="https://www.ithome.com.tw/news/146516" target="_blank">就被愛爾蘭重罰2.25億歐元</a>。</p> </div></div></div>
2022/11/28 11:28作者林妍溱https://www.ithome.com.tw/news/154441
Google Chrome 107修補最新一個已遭濫用的緩衝溢位漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google於周末對桌機版瀏覽器Chrome 107發布更新版，以修補一個遭到濫用的高風險漏洞。</p> <p>Google分別發布Mac及Linux版Chrome 107.0.5304.121，及Windows版Chrome 107.0.5304.121/.122。最新版包含一項安全更新，解決<a href="https://nvd.nist.gov/vuln/detail/CVE-2022-4135" target="_blank">編號CVE-2022-4135的漏洞</a>。</p> <p>CVE-2022-4135是Chrome GPU元件中的緩衝溢位漏洞，可讓遠端攻擊者傳送變造過的惡意HTML網頁，破壞瀏覽器啟動的過程，造成沙箱逃逸，而在PC上執行惡意程式。這項漏洞被列為高風險。</p> <p>最新漏洞為Google威脅分析小組（Google Threat Group）研究人員Clement Lecigne通報，而且Google提醒，已有針對該漏洞的攻擊程式。</p> <p>這是Google修補的第8個桌機版Chrome零時差漏洞。<a href="https://www.ithome.com.tw/news/153924" target="_blank">上一個零時差漏洞出現在10月底</a>。</p> <p><a href="https://www.csa.gov.sg/en/singcert/Alerts/al-2022-076" target="_blank">新加坡官方的電腦安全緊急回應小組呼籲</a>，Chromium為基礎的瀏覽器都會受到最新漏洞影響，包括Microsoft Edge、Brave、Opera和Vivaldi等。</p> <p><a href="https://learn.microsoft.com/en-us/deployedge/microsoft-edge-relnote-stable-channel#version-1070141856-november-21-2022" target="_blank">微軟上周釋出Edge最新版107.0.1418.56</a>，但指這個版本解決的是臭蟲及效能更新，不確定是否有修補這項漏洞。</p> </div></div></div>
2022/11/28 10:59作者林妍溱https://www.ithome.com.tw/news/154440