iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 07:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

地緣政治緊張、勞力短缺、疫情影響，IDC預測2023臺灣10大ICT趨勢：數位主權、AI自動化應用、低軌衛星布局、中小…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在全球COVID-19疫情持續影響，全球地緣政治持續緊張，加上通膨問題影響之下，IDC認為全球大環境衝擊，牽動臺灣在2023年的ICT發展趨勢。IDC臺灣總經理江芳韻指出，受到疫情影響，除了供應鏈受衝擊，中國的防疫政策容忍程度也成為外界關注的焦點，加上國際地緣政治緊張，戰爭導致通澎問題，以及產業所面臨的缺工、缺專業人才等，均為企業關注的問題，明年主軸在於企業如何透過科技投資，最大程度抵減通膨、地緣政治、缺工缺人才的風險。</p> <p>在上述大環境的影響之下，IDC提出2023年臺灣的10大ICT趨勢預測，包括數位主權、自動化應用加速多模AI落地、網路安全加強軟體溯源、供應鏈重組、低軌衛星發展、多重元宇宙發展、數位雙生多元多階落地、中小企業及資服業者的雲端轉型、未來消費者成形、數位人口浪潮下支付變革帶動B2C發展。</p> <p><span style="color:#B22222;"><strong>國際政治緊張促使對數位主權、低軌衛星、網路安全的重視</strong></span></p> <p>數位主權方面，為IDC去年提出的數據主權概念延伸，由於國際上地緣政治緊張與對立，企業對主權的需求，不再只限於數據主權，擴大為數位主權，數位主權包括3個核心，數據主權、雲端主權及保證主權。其中數據主權涵蓋雲端平臺、工作負載、數據中心、基礎設施，強調自主管理與安全性。不只是國家政府強調數位主權，企業及個人也更重視自主管理能力的發展。</p> <p>地緣政治的緊張與對立，也加速各地對低軌衛星的發展，IDC認為俄烏戰爭催化各國對低軌衛星的布局，意識到衛星通訊的重要性，且今年5G R17納入NTN非地面網路，NTN可望成為未來6G的關鍵技術之一。消費端方面，iPhone開始支援衛星緊急通訊，Android陣營未來也可望加入支援衛星。IDC預期2027年全球2千大企業中，8成的企業會將低軌衛星視為偏遠或高風險地區的通訊網路補強方案。</p> <p>緊張的地緣關係，也促使全球供應鏈重組，為提高供應鏈的彈性、能見度，企業從過去長鏈加速朝短鏈、多鏈發展，帶動對區塊鏈、AI、雲端、數據整合的科技布局，預期2026年約7成5的供應鏈投資為跨平臺串聯的相關應用。</p> <p>另外，政治經濟的對立衝突，也反映在網路攻擊，政府或企業提高對網路安全風險重視，尤其為軟體漏洞風險的控制，對軟體溯源、建立SBOM軟體物料清單，成為強化對軟體供應鏈透明度的重點。IDC預估2024年將有55%組織對其客戶提供服務，也需簽署SBOM以協助客戶建立軟體安全溯源、確保供應鏈安全。</p> <p><span style="color:#B22222;"><strong>企業加速數位轉型發展，AI落地、數位雙生、上雲</strong></span></p> <p>由於產業面臨缺工，特別是缺少專業人才，IDC認為企業透過投資自動化減輕壓力，其中自動化技術包括AI的應用，特別是可處理文本、影像、音訊的多模態AI應用落地。目前多模態AI已被應用在智慧能源、晶片開發設計上，IDC更預期2023年缺少人才將使3成5的IT單位投資AI，在2026年將有4成的AI模型涵蓋多模態的數據演算。</p> <p>另外，元宇宙、數位雙生成為明年值得關注的ICT趨勢之一</p> <p>其中元宇宙方面，IDC資深研究經理蔡宜秀指出，目前元宇宙應用以遊戲娛樂、行銷展演為主，根據調查，47%的企業對元宇宙感興趣，與Web 3.0、元宇宙低層技術逐漸到位有關。未來元宇宙發展不會由單一的元宇宙獨大，而是存在多個元宇宙，並且在相關組織推動之下，多重元宇宙間的互動、串聯將是未來發展趨勢，未來元宇宙發展將朝大者恆大發展，元宇宙將如同channel，未來OMO整合不只是實體通路、網路，也將包括元宇宙。</p> <p>至於數位雙生（Digital Twin）， IDC認為數位雙生擴大落地，除了國防、航太、能源、政府等產業，也進入大型製造業、倉儲物流，甚至是產業供應鏈。過去，數位雙生投資被視為需要大量資金、技術投資，但隨著IoT、AI、5G等相關技成熟，以及國產數位雙方客製化，數位雙生逐漸可被應用在小規模的產品或服務上，加速其應用發展。未來將有更多元、不同產業、規模的企業導入。</p> <p>在疫情、勞力短缺、供應鏈、通膨等因素影響，不只大型企業推動數位轉型，中小也積極規畫數位轉型策略，在經費有限之下，透過雲端改善營運，增加營運彈性、競爭力，並改善客戶體驗。IDC預估2025年，全球將有3成的中小企業將一半的核心負載轉至雲端。不只是中小企業朝雲端轉型，資服務業者也加速雲端轉型，朝提供SaaS服務發展。</p> <p>對於消費市場，因地緣政治緊張、對立，導致通膨使得消費者可支配所得減少，消費者更在意產品服務的直覺、使用效率、易管理、成本效益，形塑新的消費型態或體驗，可望帶動語音購物平臺、訂閱制的消費電子產品等。而在支付方面，因疫情改變大眾的消費行為，IDC認為信用卡、行動支付、BNLP先買後付，這類無摩擦支付方式，相較於過去以現金支付，新的支付方式提供更簡易的付款體驗，並且留下數據紀錄，有利於企業發展數據即服務（Data as a Service）應用，像是透過數據分析，找出不同消費的潛在需求關聯性，能帶動B2C產業發展。</p> </div></div></div>
2022/12/6 19:37作者蘇文彬https://www.ithome.com.tw/news/154580
Fintech周報第213期：金融業年報從2024年開始揭露量化氣候數據，中信金推出獨立先買後付App專攻信用卡不支援…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#FF0000;"><strong>2022/11/1~11/30金融科技精選新聞</strong></span></p> <h3><strong><span style="color:#0000FF;">#永續發展、#金融業年報</span><br /> 金融業從113年開始也要在年報揭露量化氣候數據，連各子公司碳排數據都要清楚交代</strong></h3> <p>金管會將要求金融業者，比照上市櫃公司的年報，揭露更多氣候相關資訊。銀行局於11月底時發布預告，將修正相關準則條文來要求金控、銀行、票券金融公司年報和金融業有價證券公開說明書的記載內容，日後得進一步揭露金融業氣候相關資訊。根據預告，從113年1月1日開始，金融業全面適用，要依據資本額大小，分階段強制揭露範疇一和範疇二的盤查和確信情況。銀行局也要求金融業者要提供母公司與各子公司的二氧化碳總排放量和密集度數據，以及確信機構。</p> <h3><strong><span style="color:#0000FF;">#先買後付、#中信金</span><br /> 中信資融以獨立支付App搶進BNPL市場，專門鎖定信用卡不支援的消費場景</strong></h3> <p>中信金集團台灣人壽旗下中信資融正式推出了新的支付App「Fula付啦」，這是一款提供先買後付（BNPL ,Buy Now Pay Later）的掃碼支付App。這款App整合了中信金控集團的技術、外部數據和科技風險管理模式，例如利用中信金控集團自行研發的OCR和AI人臉辨識技術設計全自動申請。中信資融在金融科技展時就首度展示了這款App的操作畫面，以行動支付常見的掃碼支付方式，可以在原本沒有提供信用卡分期的商店，以先買後付的方式來掃碼購買商品，支付時可以並用優惠券折扣功能。台灣人壽表示，信用卡分期需要店家與銀行雙方簽約後，才能提供。但中信資融的Fula付啦，則是由銀行提供支付工具，要瞄準信用卡不願意或無法支援的應用場景，來提供分期支付的機制，要成為信用卡服務互補的支付工具，而非像其他先買後付以信用小白為主打對象。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E4%B8%AD%E4%BF%A1%E8%B3%87%E8%9E%8DBNPL%E5%B1%95%E7%A4%BA-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E5%AE%8F%E4%BB%81.jpg" /></p> <h3><strong><span style="color:#0000FF;">#電子支付、#全支付</span><br /> 街口和一卡通2家壟斷過半電支市占，全支付擠進前5名</strong></h3> <p>金管會在11月揭露了最新的電子支付帳戶統計數，統計到今年9月為止，全臺電子支付使用人數1,997萬人中，過半數由街口（584萬人）和一卡通（524萬人）包辦，悠遊卡以189.6萬人名列第三，玉山緊追在後。而9月才正式上線的全支付，在金管會9月統計中，已經快速竄升到第五名，一個月就增加了161.9萬名使用者。到了10月，全支付宣布會員數超過了200萬人，並積極擴展更多合作通路，如全聯小時達服務從11月開始支援，明年目標要拓展到20萬通路可使用。同樣是今年上線的全盈支付也積極卡位，在9月底時已經擁有85萬會員，除了整合全家App來瞄準零售與社區場景，也開始瞄準職場金融場景，在11月時整合到全臺最大員工福利整合平臺，來提供上班族線上商城與企業特約商店的支付，例如瞄準同事下午茶揪團需求等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E5%B0%8F%E6%99%82%E9%81%94-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%85%A8%E6%94%AF%E4%BB%98.jpg" /></p> <h3><strong><span style="color:#0000FF;">#金融資料共享、#金融科技</span><br /> 90家金融業者未來也將提供資料共享業務，證券期貨首例與無集團關係Fintech共享資料</strong></h3> <p>金管會日前公布金融機構間資料共享指引的實施調查，308家金融機構已有99.15%完成內控調整，已有17家推出資料共享新業務，例如銀行業有同集團內客戶同意資料共享註記，證券共享開戶基本資料，與壽險共享資料來申辦信用卡，或是有保險業跨業共享，輔助客戶財務核保適合度評估作業等。金管會也核准了第一例證券期貨業者與無集團關係金融科技業者間資料共享業務的首例，審核通過阿爾發投顧公司與永豐金證券公司申請合作辦理資料共享業務，用於機器人理財服務上。目前，還有90家金融業者正規畫未來要推出資料共享業務。</p> <h3><strong><span style="color:#0000FF;">#NFT、#C2C交易</span><br /> Line旗下NFT平臺開通C2C交易，用戶能私下買賣NFT商品</strong></h3> <p>Line旗下NFT平臺Dosi開放了C2C交易功能，可以讓用戶彼此買賣從品牌商店購買的FNT商品，讓Dosi不只是商家買賣平臺，也成了用戶交易場所。Dosi也新增以太幣支付的選項。Dosi在9月開放Beta版之後，到11月全球149國共開通了10萬個Dosi錢包帳號，並發放了17萬枚會員制NFT。目前Dosi發展策略主打韓流遊戲商品，來吸引粉絲購買品牌商店提供的NFT產品，例如火紅網路漫畫《地獄公使》的Hellbound NFT系列，也有韓系女團或電視銷售的NFT產品。不過，雖然Dosi平臺開始支援C2C，品牌商店仍然可以決定是否要開放旗下 NFT產品可在用戶之間私下買賣。目前只有一家品牌商店Hellbound旗下NFT產品開放C2C交易，其餘品牌商店仍未支援。</p> <h3><strong><span style="color:#0000FF;">#區塊鏈、#Dosi NFT</span><br /> Line揭露區塊鏈架構最新進展，年底將啟用第三代主網</strong></h3> <p>近日Line與日本Yahoo!聯合舉辦技術年會中，公開了Line區塊鏈的最新架構。Line從2018年開始大力發展區塊鏈，發展自有的區塊鏈基礎架構，去年開始發展NFT應用，在今年推出了Dosi平臺。Line技術長池邊智洋揭露了最新的Line區塊鏈技術架構，並宣布今年底將啟用第三代主網。在這個架構中，仍是以Line區塊鏈為底層，上層則有交易所平臺和加密貨幣資產LINK，這三層屬於區塊鏈基礎架構，在其上則是3層的NFT服務層，包括了加密貨幣錢包層及NFT市場層（包括DOSI品牌商店和日本NFT開放市場），以及最上層的NFT服務。不過，Line在11月底時宣布，關閉旗下針對全球市場的加密貨幣交易所Birfront，要回頭持續發展區塊鏈生態系。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-Line%E5%8D%80%E5%A1%8A%E9%8F%88%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Line.png" /></p> <h3><strong><span style="color:#0000FF;">#加密貨幣、#交易所風波</span><br /> 全球第二大加密貨幣交易所FTX聲請破產保護，影響130家關係企業</strong></h3> <p>全球第二家加密貨幣交易所FTX集團於11月11日根據《美國破產法》第11章聲請了破產保護，涵蓋FTX.com、FTX US、Alameda Research，以及其它130家關係企業，將藉由一定的流程來審核並兌現資產，以彌補全球的利害關係人，且FTX創辦人Sam Bankman-Fried（SBF）已辭去執行長職位，由John Ray III接任。美國一家媒體《CNBC》引用了FTX集團的法院文件，指出FTX在全球約有10萬個債權人，不管是資產或是負債都介於100億~500億美元之間。臺灣也傳出受影響金額高達臺幣數十億元。</p> <h3><strong><span style="color:#0000FF;">#轉錯帳、#加密貨幣</span><br /> 加密貨幣平臺事件連連，Crypto.com坦承轉錯帳價值10億美元的以太幣</strong></h3> <p>就在FTX申請破產保護後，又傳出另一中型交易平臺Crypto.com曾經誤轉價值約10億美元的32萬個以太幣至Gate.io平臺，造成部分Crypto用戶恐慌，而出現大量提款現象，不過目前Crypto的運作看來一切正常。Crypto執行長在消息曝光當天就出面說明，解釋這是不小心轉錯帳所致，款項已轉回Crypto。</p> <p>攝影／王宏仁圖片來源／全支付、Line</p> <p><strong>責任編輯／王宏仁</strong></p> <p>資料來源：iThome整理，2022年11月</p> <h3><span style="color:#FF0000;"><strong>更多金融科技動態</strong></span></h3> <ul> <li>台新銀行智能客服Rose新推線上繳費，不用下載App也能繳費</li> <li>11月底又有一家加密貨幣業者BlockFi申請破產保護</li> <li>保險存摺App於10月底上線，付費用戶超過10萬人</li> </ul> </div></div></div>
2022/12/6 18:49作者王宏仁https://www.ithome.com.tw/news/154579
【資安日報】2022年12月6日，American Megatrends的BMC漏洞波及逾15個廠牌的伺服器、電信業者…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又有基版管理控制器（BMC）出現重大漏洞，而使得被控管的伺服器曝露危險。但值得留意的是，這次被發現漏洞的BMC系統MegaRAC，被用於至少15個廠牌的伺服器上，導致這些漏洞的影響範圍變得相當廣泛。</p> <p>駭客鎖定電信業者與業務流程外包公司發動攻擊，竟是為了進行SIM卡挾持（SIM Swapping）攻擊做準備！資安業者CrowdStrike揭露駭客組織Scattered Spider的攻擊行動，這些事故的入侵手法不盡相同，但目的都是為了從電信公司偷取相關資料。</p> <p>我們之前報導針對Windows電腦的自帶驅動程式（BYOD）攻擊手法，如今類似的手段駭客也拿來攻擊Linux電腦！研究人員揭露駭客攜帶PRoot工具的攻擊行動，目的是將目標擴及多個版本的Linux。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.crowdstrike.com/blog/analysis-of-intrusion-campaign-targeting-telecom-and-bpo-companies/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">電信業者與業務流程外包公司遭鎖定，目的是竊取SIM挾持攻擊所需的電信業者權限</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/SIM-Picture1-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SIM-Picture1-1.png" style="width: 300px; float: right;" /></a>資安業者CrowdStrike揭露自今年6月出現的一連串攻擊行動，駭客組織Scattered Spider鎖定電信業者、業務流程外包公司（BPO）發動攻擊，利用多種社交工程手法，像是假冒IT人員打電話給公司員工，或是利用Telegram或簡訊將使用者導向含有公司商標的冒牌網站，進而取得目標網路的初始網路存取權限，駭客在其中兩起攻擊行動裡，分別透過竊得的帳密存取目標組織的Azure虛擬機器，以及利用應用程式伺服器ForgeRock OpenAM的漏洞CVE-2021-35464站穩腳根。然後這些駭客透過AnyDesk、Teamviewer、Logmein等20種遠端監控與管理系統（RMM），持續在目標組織活動。</p> <p>而對於這些駭客的目的，研究人員指出，他們最終的目的是破壞電信網路，竊取使用者的資料，以便用於SIM卡挾持（SIM Swapping）攻擊。</p> <h3><a href="https://sysdig.com/blog/proot-post-explotation-cryptomining/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客自帶系統管理工具PRoot攻擊Linux主機</span></strong></a></h3> <p>資安業者Sysdig揭露針對Linux主機的挖礦攻擊行動，過程中駭客自行攜帶名為PRoot的開源系統管理工具，於目標電腦上部署獨立的根檔案系統，然後植入挖礦軟體XMRig，以及masscan、nmap等工具。這種濫用PRoot的做法，駭客的目的是因應不同Linux版本（如：Ubuntu、RHEL、Alpine等）之間的差異，而能將攻擊範圍延伸到多種Linux作業系統，此外，PRoot亦具備模擬機制，也能讓惡意軟體在不同架構的電腦上執行。</p> <p>攻擊者自備PRoot的做法，研究人員將其稱為「自帶檔案系統（Bring Your Own Filesystem，BYOF）」攻擊。</p> <h3><a href="https://threatresearch.ext.hp.com/hp-wolf-security-threat-insights-report-q3-2022/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">ZIP與RAR壓縮檔已成為駭客主要用來埋藏惡意軟體的管道</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Filetype-trend-22Q2Q3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Filetype-trend-22Q2Q3.png" style="width: 200px; float: right;" /></a>HP資安研究團隊發布了2022年第3季的威脅分析報告，當中提及駭客散布惡意軟體的主要管道，已從Office惡意檔案轉向ZIP、RAR等壓縮檔案，在他們偵測到的惡意軟體攻擊裡，駭客總共濫用了150種檔案格式，但有44%藉由壓縮檔案傳送，其次則有32%是Office檔案。相較於2022年第2季，使用壓縮檔的比例多出11%，亦較第1季多出25%。</p> <p>研究人員認為，這樣的散布惡意軟體管道變化，與壓縮檔容易加密而難以被資安系統解析，以及駭客日益偏好以指令碼為基礎（Script-based）的惡意程式有關。</p> <h3><a href="https://blog.sucuri.net/2022/12/chinese-gambling-spam-targets-world-cup-keywords.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">5萬個網站遭到竄改，駭客注入世界盃足球賽下注內容來擾亂SEO結果</span></strong></a></h3> <p>資安業者Sucuri揭露推廣中國賭博、體育投注網站的攻擊行動，駭客假借世界盃足球賽的名義，感染50,172個網站，將其用於提升自己網站搜尋引擎最佳化（SEO）排名，駭客的工具主要針對百度、搜狗、奇虎360的網路爬蟲而來，一旦遇到這類偵測工具便會顯示與博奕有關的中文內容，然而若是使用者藉用網頁瀏覽器卻會看到未被竄改的網頁。研究人員指出，這類攻擊主要針對簡體中文網頁而來，但也有許多西方網站受到波及。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://eclypsium.com/2022/12/05/supply-chain-vulnerabilities-put-server-ecosystem-at-risk/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">American Megatrends的BMC軟體出現重大漏洞，超過15個廠牌的伺服器曝險</span></strong></a></h3> <p>資安業者Eclypsium於12月5日，揭露American Megatrends基版管理控制器（BMC）解決方案MegaRAC的漏洞CVE-2022-40259、CVE-2022-40242、CVE-2022-2827，攻擊者一旦利用這些漏洞，就有可能在特定條件下執行程式碼、繞過身分驗證，以及進行枚舉用戶。其中最嚴重的漏洞是CVE-2022-40259，CVSS風險層級為9.9分，為利用Redfish API執行任意程式碼的重大漏洞。</p> <p>由於該BMC解決方案被運用範圍相當廣泛，至少包含AMD、Dell EMC、技嘉、雲達等15個廠牌的伺服器，研究人員除向American Megatrends通報，也對這些伺服器業者發布相關通知。</p> <h3><a href="https://chromereleases.googleblog.com/2022/12/stable-channel-update-for-desktop.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google修補今年第9個Chrome零時差漏洞</span></strong></a></h3> <p>12月2日Google針對電腦用戶發布Chrome 108.0.5359.94與108.0.5359.95，目的是為了修補已被用於攻擊行動的漏洞CVE-2022-4262，此漏洞是該瀏覽器的JavaScript引擎V8的型態混淆造成。此為Google今年修補的第9個Chrome零時差漏洞。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.cna.com.tw/news/acn/202212010327.aspx"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國政府網站遭駭客組織匿名者攻擊，起因是響應白紙運動</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/ransomware-attack-forces-french-hospital-to-transfer-patients/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">法國教學醫院André-Mignot遭勒索軟體攻擊，病人被迫轉院</span></span></strong></a></p> <p><a href="https://scroll.in/latest/1038970/delhis-safdarjung-hospital-says-it-suffered-cyber-attack-in-november"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">印度再傳醫學中心遭到勒索軟體攻擊</span></span></strong></a></p> <p><a href="https://cloudsek.com/threatintelligence/indian-central-board-of-higher-education-compromised-by-team-mysterious-bangladesh/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客在暗網兜售15萬筆印度醫院的病人資料</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154568"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">1Password推出單一簽入瀏覽器擴充套件，支援Google、Facebook、GitHub</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154560">【2022年12月5日】雲端服務業者代管的Exchange伺服器中斷運作、三菱電機PLC設備出現帳密保護不足弱點</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154541">【2022年12月2日】 Redis伺服器漏洞遭到惡意軟體Redigo鎖定、刑事局破獲投資詐騙簡訊嫌犯</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154518">【2022年12月1日】駭客組織Lilac Wolverine發動大規模禮物卡攻擊、中國駭客利用USB裝置攻擊菲律賓組織</a></strong></strong></strong></p> </div></div></div>
2022/12/6 16:42作者周峻佑https://www.ithome.com.tw/news/154575
Slack共同創辦人暨執行長 Stewart Butterfield即將離職
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businessinsider.com/slack-ceo-stewart-butterfield-to-exit-salesforce-in-january-2022-12?op=1" target="_blank">《Business Insider》披露</a>，Slack共同創辦人暨執行長Stewart Butterfield周一（12/5）對內宣布將在明年1月離職，繼任人選為Salesforce執行副總裁Lidiane Jones。</p> <p>Salesforce是在2020年12月宣布以277億美元買下Slack，當時Butterfield就是Slack的執行長，Salesforce發言人向《Business Insider 》表示，Butterfield已成功將Slack整合到Salesforce，並融入Customer 360平臺。言下之意是Butterfield準備功成身退，而現在也剛好是Salesforce併購Slack滿兩年之際。</p> <p><a href="https://twitter.com/LidianeJones/status/1599839215973412864" target="_blank">接手的Jones除了感謝</a>Butterfield打造Slack之外，也說未來將承襲Slack的使命，讓人們的生活更簡單、愉快及有效率。</p> <p>不只是Butterfield，<a href="https://www.cnbc.com/2022/12/05/slack-ceo-stewart-butterfield-leaving-salesforce-two-years-after-deal.html" target="_blank">根據《CNBC》的報導</a>，準備離職的還有Slack的產品長Tamar Yehoshua，以及負責行銷的Jonathan Prince。</p> <p><a href="https://investor.salesforce.com/press-releases/press-release-details/2022/Bret-Taylor-to-Step-Down-as-Salesforce-Vice-Chair-and-Co-CEO-Marc-Benioff-to-be-Chair-and-CEO/default.aspx" target="_blank">11月底Salesforce才宣布</a>共同執行長Bret Taylor將在明年1月31日離開，獨留Marc Benioff擔任執行長。現年42歲的Taylor為科技界的名人，他曾參與Google Maps的創立，曾擔任Facebook技術長，曾是Twitter董事長，會成為Salesforce共同執行長是因為Salesforce在2016年買下了<a href="https://www.ithome.com.tw/news/107473" target="_blank">他所創立的Quip文字協作平臺</a>。</p> <p>Taylor說他離開Salesforce是為了回歸他的創業初衷。</p> </div></div></div>
2022/12/6 14:54作者陳曉莉https://www.ithome.com.tw/news/154572
遠距無線充電新創Reach展開3,000萬美元的B輪融資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門開發遠距無線電力技術，讓充電可如同Wi-Fi網路一樣遠距進行的Reach，<a href="https://reachpower.com/reach-to-deliver-the-first-industrial-scale-wireless-power-solution/" target="_blank">近日展開3,000萬美元的B輪融資</a>，領投者為科技創投DCVC，其它參與者則包括Y Combinator、Transform VC與Collaborative Fund。</p> <p>目前人們所使用的無線充電多屬於感應式，亦即裝置必須置放於充電墊上進行「無線」充電，然而，Reach正研發的是遠距無線電力技術，可以替幾米外的裝置充電，支援家裡或工業環境。</p> <p>Reach的工業規模無線電力解決方案有許多特性，包括必須支援長距離充電；可在與Wi-Fi網路相似的範圍內運作；同時它也需要強大的電力，以替各式各樣的裝置充電，從物聯網裝置、工具、小型機器人到感應器等；此外，它必須兼具安全、易用與可靠性，並可蒐集終端裝置的資料以最佳化充電部署。</p> <p>美國所有的無線電力解決方案都必須遵守美國聯邦通訊委員會（FCC）所制定的射頻（RF）曝露限制，Reach則利用兩個獨立的系統持續監控電力的傳播，以確保沒有生物會受到功率光束的影響。</p> <p>Reach創辦人暨執行長Chris Davlantes表示，Reach對電力的任務有如Wi-Fi與資料的關係，其工業規模無線電力網路可於瞬間重新配置所有的電線，賦予裝置前所未有的功能性與行動力，此一新的資金將讓該公司得以遞送高效能的無線電力解決方案，以於全球提供高效能的智慧配電。目前Reach所打造的系統可於9米內供應最多50W的電力。</p> <p><a href="https://www.wawt.tech/2022/06/around-8-billion-wireless-power-devices-are-expected-to-shipped-in-the-next-five-years/" target="_blank">根據Wired & Wireless Technologies的估計</a>，未來5年全球的無線電力接收器與發射器的出貨量將達到80億個。</p> </div></div></div>
2022/12/6 12:36作者陳曉莉https://www.ithome.com.tw/news/154571
1Password公布無密碼單一簽入瀏覽器工具，支援Google、Facebook、GitHub
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.1password.com/sign-in-with-provider/" target="_blank">密碼管理服務1Password本周公布</a>單一簽入（single sign-on，SSO）瀏覽器外掛功能，讓用戶利用Chrome、Facebook等單一簽入工具，以無密碼登入任何網站。</p> <p>1Password <a href="https://blog.1password.com/sign-in-with-anything-browser-beta/" target="_blank">6月即以beta版推出「Sign-in with」</a>，讓使用者可以瀏覽器免密碼登入單一簽入（single sign-on，SSO）工具，包括Google、Facebook和Apple。本周1Password則是<a href="https://support.1password.com/sign-in-with-provider/#appendix-supported-sign-in-providers" target="_blank">公布這項工具的正式版</a>，支援的SSO工具供應商和網站包括Facebook、Google、蘋果、微軟，以及推特（Twitter）、GitHub、Okta等。</p> <p>SSO工具如「Sign in with Google」、「Sign in with Facebook」、「Sign with Microsoft」讓使用者不論瀏覽哪個網站或應用程式，可以直接以Google或Facebook帳密登入，只要網站或應用程式支援，已經省去用戶記憶和輸入不同組帳密的必要性。但1Password表示，這類SSO工具還是有點麻煩，因為過程還是有好幾步驟、得建新帳號、或是更新密碼，用戶還是可能忘記自己是用哪個SSO工具或帳號。</p> <p>有了1Password的瀏覽器外掛，就可解決上述問題。<a href="https://support.1password.com/getting-started-browser/" target="_blank">目前這項工具支援桌機版Chrome、Firefox、Edge或Brave</a>，能儲存新帳號登入資訊或更新現有資訊。Mac或iOS版Safari不支援這工具，但前述瀏覽器Mac或iOS版則沒問題。</p> <p class="rtecenter"><img alt="" src="https://i.1password.com/media/provider-login-sign-in.png" style="width: 300px;" /><img alt="" src="https://i.1password.com/media/provider-login-choose.png" style="width: 300px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／1Password</span></span></p> <p>啟用後，儲存登入資訊的方法，是在支援的瀏覽器中開啟1Password，再連到網頁登入頁，選擇想使用的SSO供應商。接著，循著1Password提示儲存SSO供應商資訊，包括想儲存登入資訊的儲存庫（vault）、要新增或更新登入，以及要不要綁定特定SSO供應商（如Google）。新工具也支援使用一個以上的SSO供應商，例如以Google和Facebook登入Zoom。</p> <p>用戶之後可以在1Password.com網頁編輯SSO登入資訊，或是在瀏覽器1Password外掛「設定」下管理SSO登入憑證，像是Autofill。</p> </div></div></div>
2022/12/6 10:42作者林妍溱https://www.ithome.com.tw/news/154568
Google Chrome 108修補今年第9項零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://chromereleases.googleblog.com/2022/12/stable-channel-update-for-desktop.html" target="_blank">Google上周釋出</a>Chrome 108桌機版最新更新，以修補Chrome今年第9個零時差漏洞。</p> <p>Google公告，Chrome for Mac、Linux版108.0.5359.94以及Chrome for Windows 108.0.5359.94/.95會在未來幾天到幾周內，透過穩定（Stable）通道釋出給用戶。而108.0.5359.94 for Windows及Mac版也會釋出到延伸穩定（Extended Stable）通道。</p> <p>最新版更新將用於修補CVE-2022-4262，後者是存在V8 JavaScript引擎的型態混淆（Type Confusion）漏洞，是由Google威脅分析小組研究員Clement Lecigne於11月29日通報。最新漏洞被列為高風險。</p> <p>值得注意的是，Google警告已經發現針對CVE-2022-4262的攻擊程式在網路散布。</p> <p>不過Google以等待大部份用戶更新為由，並未公布漏洞及攻擊細節。Google說若漏洞出現在第三方函式庫，Google也不會公布，以免其他使用該函式庫的專案未及修補而曝險。</p> <p>這是Chrome今年修補的第9個零時差漏洞。<a href="https://www.ithome.com.tw/news/154440" target="_blank">11月底Google才以Chrome 107更新</a>修補第8個零時差漏洞。第7個則出現在10月底。</p> </div></div></div>
2022/12/6 09:43作者林妍溱https://www.ithome.com.tw/news/154564
AWS更新Redshift簡化資料擷取並提升可靠性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS針對其雲端資料倉儲服務<a href="https://aws.amazon.com/tw/blogs/aws/new-for-amazon-redshift-simplify-data-ingestion-and-make-your-data-warehouse-more-secure-and-reliable/">Redshift進行一系列更新</a>，目標是要讓用戶能夠更簡單地擷取資料，並且在安全可靠的環境，快速分析資料。</p> <p>Redshift現在支援從S3自動複製資料，也就是說，Redshift能夠自動將進到S3儲存桶中的檔案載入到資料倉儲中，這包括CSV、JSON、Parquet和Avro格式，如此用戶便不需要手動，或是重複執行複製程式這些繁瑣的工作。另外，Redshift也開始支援串流擷取，可以從MSK和Kinesis服務，每秒擷取數百MB的資料。</p> <p>AWS關聯資料庫服務Aurora的零ETL功能也已經與Redshift整合，如此用戶便可以利用Redshift，以接近即時的速度，對儲存在Aurora MySQL資料庫的資料，進行分析和執行機器學習工作負載。AWS解釋了服務整合背後的機制，當交易資料寫入到Aurora後，資料便會在數秒鐘內複製到Redshift中。複製過程不需要用戶手動建構和維護複雜的資料工作管線，還可以選擇從多個Aurora資料庫，複製資料到同一個Redshift執行個體，以跨多個應用程式進行分析。</p> <p>Redshift執行個體現在能夠被部署於多個可用區域，以增加資料倉儲的可用性，並利用自動恢復將恢復時間降至數秒鐘，另外，Redshift提供動態資料遮罩功能，可以保護儲存在資料倉儲中的敏感資料，限制不同權限的用戶能夠查看到的資料。這使得管理者不需要創建多個資料副本，就能方便不同層級的用戶和群組，存取不同層級的資料。</p> <p>除此之外，Redshift現在也與Apache Spark整合，使得用戶更容易在Redshift和無伺服器Redshift服務上，建構和執行Spark應用程式。AWS Backup也新增了Redshift的支援，AWS Backup使用戶可以定義備份策略來管理應用程式的資料保護，而現在Redshift也受AWS Backup保護，讓用戶在資料服務獲得更一致的保護功能。</p> </div></div></div>
2022/12/5 23:40作者李建興https://www.ithome.com.tw/news/154559
深度學習函式庫PyTorch 2.0更新編譯器技術，大幅度提升模型運算效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>PyTorch基金會預計在2023年3月，將正式推出<a href="https://pytorch.org/get-started/pytorch-2.0/">PyTorch 2.0</a>，現在釋出開發早期版本供開發者測試，這個新版本從根本改進PyTorch編譯器的運作方式，對Dynamic Shapes和分散式運算提供更高的效能和支援。</p> <p>PyTorch 2.0加入torch.compile功能，官方提到，這除了能將PyTorch的效能推向另一個新高度之外，也是將PyTorch中C++的部分移回Python的重要更新，而這也是這個版本被稱為PyTorch 2.0的原因。</p> <p>由於PyTorch 2.0完全向後相容，因此torch.compile定位是一個額外的可選功能，torch.compile底層是一系列新技術，包含了TorchDynamo、AOTAutograd、PrimTorch和TorchInductor。這幾個新功能都是由Python編寫，並支援Dynamic Shapes。Dynamic Shapes供用戶發送不同大小的張量，但是卻又不需要重新編譯。</p> <p>為了驗證這些技術，PyTorch使用來自各領域163個開源模型建構測試基準，包括圖像分類、物件偵測、圖像生成等任務，還有各種NLP任務，如語言建模、問答、序列分類、推薦系統和增強學習。這涵蓋HuggingFace Transformers的46個模型、TIMM的61個模型以及TorchBench的56個模型。</p> <p>開發團隊使用基準中的163個模型，測試torch.compile的加速與準確性，由於執行速度可能取決於資料類型，因此測量包括float32和自動混合精度（Automatic Mixed Precision，AMP），但有鑒於AMP更常被使用，因此計算方式以0.75*AMP+0.25*float32不平均加權來計算平均速度。</p> <p>在163個開源模型中，93％模型能夠在torch.compile運作，在Nvidia A100 GPU上平均訓練速度提高43％，在使用Float32精度下，執行速度提高21％，而使用AMP精度則加速51％。對TIMM模型整體加速38％，HuggingFace模型加速52％，而TorchBench則有76％的加速。</p> <p>torch.compile的預設後端TorchInductor，支援CPU和Nvidia Volta與Ampere GPU，目前還不支援其他GPU或是加速器，或是較舊的Nvidia GPU。torch.compile仍在開發早期階段，但用戶可以在Nightly版本先行試用。</p> </div></div></div>
2022/12/5 23:42作者李建興https://www.ithome.com.tw/news/154561
Deepmind新AI精通複雜度高過圍棋的西洋陸軍棋Stratego
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Deepmind發表能夠精通西洋陸軍棋Stratego的人工智慧代理<a href="https://www.deepmind.com/blog/mastering-stratego-the-classic-game-of-imperfect-information">DeepNash</a>，Stratego是一款經典的棋盤遊戲，比象棋和圍棋更複雜，而且因為玩家無法看到對方的旗，因此具有不完全訊息，大幅增加人工智慧遊玩的難度，但DeepNash在線上Stratego平臺Gravon，與人類專家比賽排名進入前三名。</p> <p>研究人員提到，棋盤遊戲一直是衡量人工智慧進步的指標，因為可以在受控環境中，研究人類和機器的策略制定和執行。但是Stratego與象棋和圍棋不同，玩家無法直接觀察對手的棋子，因此複雜度極高，使得一般人工智慧難以超越業餘玩家的水準。</p> <p>過去應用在象棋和圍棋的遊戲樹搜尋技術，在Stratego已經不管用，Deepmind所開發的人工智慧DeepNash，則是使用結合博奕理論和無模型深度強化學習方法的新技術，來精通Stratego贏過人類專家。</p> <p>研究人員解釋，所謂的無模型，代表DeepNash不會試圖在遊戲過程明確地模擬對手的私密遊戲狀態，而且因為Stratego的遊戲樹太過複雜，DeepNash無法使用典型的蒙地卡羅樹搜尋法，因為該方法只適用於不太複雜的棋盤遊戲或是撲克牌遊戲。</p> <p>研究人員參考博弈論演算法，使用稱為R-NaD（Regularised Nash Dynamics）的方法，使DeepNash的學習行為朝向納許均衡（Nash Equilibrium）發展，這項策略使DeepNash擁有超高勝率，最差的勝率是50％。</p> <p>DeepNash與最先進的Stratego機器人比賽，DeepNash的勝率高達97％，而且經常處在100％勝率的狀態，而在Gravon遊戲平臺對抗頂尖玩家時，DeepNash勝率是84％，最後還進入排名前三。</p> <p>為了不被破解，DeepNash制定了一種不可預測的策略，這代表人工智慧會進行一系列初始部署，防止對手在遊玩的時候發現模式，另外，DeepNash也會仔細評估對手試圖隱藏的資訊，即便局面呈現劣勢，也能加以利用進階情報獲得勝利。Stratego是一個需要虛張聲勢的遊戲，DeepNash學會各種虛張聲勢的策略，甚至能夠運用小棋子引誘間諜進入伏擊位置，消滅關鍵的棋子。</p> </div></div></div>
2022/12/5 23:44作者李建興https://www.ithome.com.tw/news/154563
【資安日報】2022年12月5日，雲端服務業者代管的Exchange伺服器中斷運作、三菱電機PLC設備出現帳密保護不足…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究人員在9月底揭露Exchange重大漏洞ProxyNotShell，如今很可能變成駭客攻擊雲端業者代管的Exchange郵件伺服器管道！雲端服務業者Rackspace證實代管的Exchange本月2日因資安事故而中斷運作，有研究人員認為有可能是Exchange曝露上述漏洞而被鎖定。</p> <p>我們過往報導廠商用於簽章軟體的憑證遭到濫用，大多發生在電腦的惡意軟體，但如今也有手機惡意軟體盜用類似的簽章──三星、LG、聯發科等廠商用於簽章安卓ROM映像檔的憑證，傳出遭到濫用的情況。</p> <p>三菱電機的工控設備被發現多項弱點，存在於可程式化邏輯控制器（PLC），原因是帳密保護不足。情況嚴重使得美國CISA發出警告，而修補程式尚在製作當中。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/technology/rackspace-ongoing-exchange-outage-caused-by-security-incident/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">雲端服務業者Rackspace代管的數千臺Exchange伺服器中斷運作，起因疑為重大漏洞ProxyNotShell</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/shodan-info.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/shodan-info.jpg" style="width: 300px; float: right;" /></a>12月2日，雲端服務業者Rackspace傳出他們代管的Exchage伺服器環境出現問題，導致使用者在存取網頁郵件介面OWA、將郵件同步至收信軟體時會出現錯誤，或是一直要求使用者重新輸入密碼的現象。事隔1天，該公司證實是遭到網路攻擊，導致他們決定暫時切換代管的Exchange環境，並提供用戶臨時的Microsoft 365授權。</p> <p>而對於這起攻擊事件發生的原因，資安研究員Kevin Beaumont認為，很有可能是Rackspace所採用的Exchange系統較舊，存在重大漏洞ProxyNotShell而被盯上，駭客對其發動相關攻擊。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/samsung-lg-mediatek-certificates-compromised-to-sign-android-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">三星、LG、聯發科供安卓設備使用的憑證遭惡意程式濫用</span></strong></a></h3> <p>根據資安新聞網站Bleeping Computer的報導，Google旗下的安卓資安研究團隊發現，有OEM廠商用於對ROM映像檔進行簽章的憑證遭到濫用，駭客將其用於簽署惡意軟體，使得這些惡意程式也能存取高權限使用者android.uid.system，進而存取安卓裝置的系統權限。</p> <p>該新聞網站依據研究人員公布的資料進行調查，三星、LG、聯發科、Revoview等廠商的憑證簽署被用於上述惡意軟體，但仍有部分簽章無法識別其署名者的身分。這些濫用合法簽章的惡意程式包含了竊密軟體、HiddenAd木馬程式，以及惡意程式下載工具等。</p> <h3><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-335a"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國針對勒索軟體Cuba攻擊發布警告</span></strong></a></h3> <p>美國聯邦調查局（FBI）與網路安全及基礎設施安全局（CISA）於12月1日聯手，針對勒索軟體Cuba的攻擊行動發布資安通告，表示該駭客組織已危害全球逾百個組織，並勒索1.45億美元，其中至少得手6千萬美元。</p> <p>FBI與CISA指出，駭客入侵的管道，很可能利用Windows通用記錄檔案系統（CLFS）漏洞CVE-2022-24521，以及Netlogon漏洞CVE-2020-1472，或是外洩的帳密、遠端桌面協定（RDP）、網釣攻擊等，一旦成功進入目標組織的內部網路環境，就透過惡意程式載入工具Hancitor散布勒索軟體。</p> <h3><a href="https://blog.confiant.com/cashrewindo-how-to-age-domains-for-an-investment-scam-like-fine-scotch-a48d22788c84"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織CashRewindo濫用註冊多年的網域名稱架設詐騙網站，規避資安防護系統偵測</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1_Q_y8WpyqwA8rbNd3UCIEew.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_Q_y8WpyqwA8rbNd3UCIEew.png" style="width: 300px; float: right;" /></a>資安業者Confiant揭露駭客組織CashRewindo的攻擊行動，這些駭客在惡意廣告注入JavaScript指令碼，將瀏覽網站的使用者導向釣魚網站，或是對其電腦部署惡意軟體，攻擊目標遍及歐洲、北美、南美、亞洲，以及非洲，且使用攻擊目標熟悉的語言來降低戒心。</p> <p>有別於許多網釣攻擊，此次駭客使用的網域名稱至少已註冊2年以上，研究人員發現的487個網域名稱裡，最早註冊的一批是在2008年申請，直到今年才拿出來使用，許多資安系統可能因為其沒有不良信譽，將其視為無害而放行。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.nozominetworks.com/blog/flaws-in-gx-works3-threaten-mitsubishi-electric-safety-plc-security/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">三菱電機PLC設備出現帳密保護不足的弱點</span></strong></a></h3> <p>資安業者Nozomi Networks揭露三菱電機可程式化邏輯控制器（PLC）的弱點CVE-2022-29831、CVE-2022-29832、CVE-2022-29833。這些弱點存在於其工作站電腦所使用的軟體GX Works3，此為Melsec iQ-R與iQ-F系列專用的控制系統。其中，CVE-2022-29831為寫死密碼弱點，CVE-2022-29832為透過明碼儲存記憶體的敏感資訊，CVE-2022-29833則為登入帳密的保護不足。</p> <p>研究人員表示，研究人員表示，攻擊者只要取得的GX Works3相關組態檔案，就有可能利用相關弱點，甚至串連上述3個弱點，進而取得指令（primitive），駭入該系統的安全CPU模組，擾亂工控環境的製造流程。美國網路安全暨基礎架構安全局（CISA）將這些弱點的CVSS風險層級列為9.1分，但目前沒有修補程式。</p> <h3><a href="https://blog.qualys.com/vulnerabilities-threat-research/2022/11/30/race-condition-in-snap-confines-must_mkdir_and_open_with_perms-cve-2022-3328"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Linux的Snapd競爭條件漏洞有可能與舊漏洞串連，讓攻擊者取得root權限</span></strong></a></h3> <p>資安業者Qualys揭露Linux高風險漏洞CVE-2022-3328，此漏洞存在於snap-confine模組，為Snap競爭條件（Race Condition）漏洞，一旦遭利用，有可能讓攻擊者得已提升本機權限，或執行任意程式碼。研究人員表示，攻擊者若是將其與另外兩個存在於Multipathd元件的身分驗證繞過漏洞「Leeloo Multipath」串連，就有可能取得目標主機的root權限。</p> <p>由於snap-confine是Ubuntu預設安裝的模組，所有採用該版本Linux作業系統的電腦都可能曝險，研究人員呼籲管理者應儘速安裝相關修補程式。</p> <h3><a href="https://www.rcesecurity.com/2022/11/from-zero-to-hero-part-1-bypassing-intel-dcms-authentication-cve-2022-33942/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Intel的資料中心管理主控臺存在身分驗證漏洞</span></strong></a></h3> <p>資安業者RCE Security揭露Intel資料中心管理主控臺（DCM）的漏洞CVE-2022-33942，CVSS風險層級為8.8分，一旦遭到利用，攻擊者可在沒有通過身分驗證的情況下，藉由欺騙Kerberos和LDAP的手法，繞過DCM的身分驗證流程而得到特殊權限。Intel獲報後發布DCM 5.0版予以修補，並破例頒發1萬美元給研究人員。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><a href="https://www.semi.org/zh/products-services/semitwn-semiconductor-cybersecurity-service/assessment-fundamentum"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">SEMI半導體資安風險評級服務正式上線</span></strong></a></h3> <p>12月5日，SEMI國際半導體產業協會宣布提供資安風險評級服務SEMI Semiconductor Cyber Security Risk Rating Service，是SEMI Taiwan半導體資安委員會發布晶圓設備資安標準SEMI E187之後，與台積電等半導體產業夥伴聯手推動的服務，以零信任為最高資安防禦指導原則，目的是在提供客觀的驗證方法，確保企業邁向智慧製造時，能夠讓網路防衛能力達到適當安全水平。此項服務是SEMI參考台積電的經驗，引進第三方風險評分和風險態勢的服務，並提供補救指南和修補結果的快速驗證。</p> <h3><a href="https://security.googleblog.com/2022/12/memory-safe-languages-in-android-13.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為強化記憶體安全，Android 13有更多元件改用Rust開發</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-11-30 11_13_29_android-11-13.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-30%2011_13_29_android-11-13.png" style="width: 300px; float: right;" /></a>Google自Android 12開始支援Rust程式語言，並在其開源專案AOSP推動Rust的使用，如今該公司指出，Android 13約有21%為新增的程式碼是以Rust開發，包含Keystore2、UWB堆疊、DNS-over-HTTP3、Android虛擬化框架等元件，總共約有150萬行程式碼。執行上述開發策略之後，Android作業系統漏洞大幅減少，例如，2019年存在223個漏洞，到了2022年下降至85個。再者，由於Linux 6.1開始支援Rust，採用此核心為基礎的Android作業系統，也能從核心驅動程式導入記憶體安全。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://chromereleases.googleblog.com/2022/12/stable-channel-update-for-desktop.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google為Chrome 108修補零時差漏洞</span></span></strong></a></p> <p><a href="https://scroll.in/latest/1038970/delhis-safdarjung-hospital-says-it-suffered-cyber-attack-in-november"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">印度再傳醫學中心遭到勒索軟體攻擊</span></span></strong></a></p> <p><a href="https://www.akamai.com/blog/security-research/kmsdbot-part-two-crashing-a-botnet"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員關閉被用於DDoS攻擊的殭屍網路KmsdBot</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154510"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">AWS推出可針對資安系統資料進行分析的資料湖服務</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154549"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google Messages測試群組聊天全程加密功能</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/article/154533"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">千億國防產值，CMMC規範成唯一入場券</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154541">【2022年12月2日】 Redis伺服器漏洞遭到惡意軟體Redigo鎖定、刑事局破獲投資詐騙簡訊嫌犯</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154518">【2022年12月1日】駭客組織Lilac Wolverine發動大規模禮物卡攻擊、中國駭客利用USB裝置攻擊菲律賓組織</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154493">【2022年11月30日】駭客透過抖音短片散布竊密程式WASP、未修補已知漏洞的Fortinet資安設備網址清單遭到兜售</a></strong></strong></strong></p> </div></div></div>
2022/12/5 16:55作者周峻佑https://www.ithome.com.tw/news/154560
GitHub開源兩可變式字體Mona Sans、Hubot Sans
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub開源了自家設計的兩款字型，分別是<a href="https://github.blog/2022-12-02-introducing-mona-sans-and-hubot-sans/">Mona Sans以及Hubot Sans</a>，這兩款字型都是可變式字體，能靈活支援各式內容呈現，具有可變傾斜度、粗細和寬度，現在GitHub以開源字體授權（OFL）對外釋出。</p> <p>Mona Sans是GitHub主要的跨媒體字體，其設計靈感來自工業時代的怪奇風格，由GitHub和Degarism工作室合作設計，Mona Sans可變粗細和寬度，無論是在產品、網頁、印刷品都能保有良好的表現力，GitHub在主文、標題到引文等各種內容都會使用Mona Sans。GitHub提到，因為Mona Sans可以任意的彎曲和適應各種設計，在需要更具表現力的排版，也能保持字體品質。</p> <p>Hubot Sans則是Mona Sans的姐妹設計，但是帶有額外的機器人風格，加入更多幾何元素，營造出技術與獨樹一格感覺，適合用於標題和引用，是GitHub第二主要品牌字體，在ReadME專案和GitHub Universe網站都會看到Hubot Sans的使用。</p> <p>Mona Sans和Hubot Sans同時可用作靜態與動態字體，可變字體單一字體檔案打包了一組可變軸，用戶便可以精細的控制字體呈現，包括控制向量點使字體呈現特殊的外觀和呈現，同時也可以調整寬度，這賦予用戶可以將同一字體應用在各種內容和需求，而不需要針對各種新用例都載入和安裝新的字體檔案。</p> <p>Mona Sans和Hubot Sans都帶有三個可變軸，分別是可控制粗細的權重，以及調整壓縮和擴展的寬度，還有可控制傾斜的斜度，用戶自由組合這些控制軸，就能夠創造出數千種不同字型外觀和表現。</p> <p><img alt="" src="https://github.blog/wp-content/uploads/2022/11/202524269-8b5e97e6-a845-4962-bfdd-861101d249aa.gif" style="width: 360px;" /></p> <p>可變式字體減少了頁面顯示所需要的字體檔案，但官方還提供了兩個可以加速字體載入的建議，用戶可以進行預載入以及子集化字體來加快頁面呈現速度，並減少CLS（Cumulative Layout Shift）。子集化字體是在字體檔案中，刪除未在頁面和專案使用的字型，這將有助於加速網站載入，用戶可以使用glyphhanger等工具，分析內容找出最小的字型集。</p> <p>當用戶在使用自定義字體，且在第一頁渲染後才載入字體，則介面可能因為從後備字體（Fallback Font）切換至自定義字體的過程，產生不協調的載入體驗，GitHub建議用戶可以根據需求，創建具有大小調整、升冪和降冪覆寫的Mona Sans、Hubot Sans自定義後備字體，強化載入體驗。</p> </div></div></div>
2022/12/5 16:01作者李建興https://www.ithome.com.tw/news/154558
FCC批准SpaceX發射7,500顆第二代Starlink衛星
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.fcc.gov/document/fcc-partially-grants-spacex-gen2-broadband-satellite-application" target="_blank">美國聯邦通訊委員會（Federal Communications Commission，FCC）上周四（12/1）部分核准了</a>SpaceX所提出的第二代寬頻衛星申請，授權SpaceX可打造、部署與經營7,500顆第二代Starlink衛星。</p> <p>先前SpaceX所取得的通訊衛星服務授權包括4,425顆低軌（low-Earth orbit）衛星，以及7,518顆超低軌（very-low-Earth orbit）衛星，截至今年10月為止，SpaceX已發射超過3,500顆低軌衛星，但尚未發射超低軌衛星。</p> <p>SpaceX是在2020年5月提出第二代Starlink衛星星座的申請，該公司要求取得在328公里至614公里的高度範圍內打造、部署與經營29,988顆第二代Starlink衛星，而FCC上周則部份核准了該申請，允許Starlink在520公里、530公里及535公里的高度上，利用Ku與Ka頻段部署最多7,500顆衛星。</p> <p>此外，FCC延後審核SpaceX使用E頻段頻率與追蹤信標的請求，但授權SpaceX可於升軌期間執行發射及早期軌道階段的操作與測試，也能在將衛星移出軌道時進行測控（Tracking Telemetry and Command，TT&C）。</p> <p>FCC表示，此一決議將能讓SpaceX開始部署第二代的Starlink，可望替全美帶來新一代的衛星寬頻網路，支援那些過去缺乏地面寬頻網路的地區，也可推動全球衛星寬頻服務，協助縮小全球的數位落差。而限制衛星數量則可避免干擾，保護其它衛星業者或地面的電信營運商，同時也能維持太空環境的安全，推動競爭，並保留頻譜與軌道資源以供未來使用。</p> </div></div></div>
2022/12/5 13:29作者陳曉莉https://www.ithome.com.tw/news/154555
MedTech醫療科技雙周報第13期：華碩打造大腸息肉即時偵測AI，1秒辨識60幀、已取TFDA認證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1116～1201)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">華碩 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 大腸息肉 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 即時偵測 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>華碩打造大腸息肉即時偵測AI，1秒辨識60幀、已取TFDA認證</strong></span></p> <p>華碩在今年醫療展中展示一款大腸息肉即時偵測AI，能在醫師執行大腸鏡的當下，在螢幕畫面上框出病灶，如扁平腺瘤、無蒂鋸齒狀病變（SSL），模型分類表現AUC和特異性都達0.98、靈敏性達0.97，且上個月通過衛福部食藥署（TFDA）認證，已是智慧醫材產品。</p> <p>進一步來說，華碩在2年前，開始與臺灣幾家醫院以去識別化資料，來訓練大腸息肉偵測模型。該模型以熱門的開源物件偵測模型YOLO變形為基礎為基礎，並以標註的大腸鏡資料來訓練模型，可辨識常見的各類息肉。特別的是，他們結合自身硬體優勢，1秒可偵測60幀（Frame）影像（一般為1秒30幀），讓畫面顯示更順暢。華碩表示，接下來要除了在國內推廣這套產品，也瞄準海外市場。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%8F%AF%E7%A2%A9%20-%20%E8%A4%87%E8%A3%BD.JPG" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 國軍醫院 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 胃癌 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 高光譜儀 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>國軍醫院開發早期胃癌即時偵測系統，搭配高光譜儀更準確</strong></span></p> <p>國軍醫院聯手中正大學，以高光譜儀和YOLO系列的開源模型，打造一套胃癌即時偵測系統，可在醫師操作胃鏡的當下，框出細微的早期胃癌病灶。進一步來說，當醫師操作胃鏡時，內視鏡影像會經由一臺如小盒子般的高光譜儀，將訊號於後端放大、擴增為窄頻，轉為頻譜資訊，再透過AI模型來辨識。</p> <p>這個辨識過程包括先將影像預處理、影像分割，以及特徵選取，再與資料庫資料匹配判讀，準確率為9成，目前已在國軍高雄總醫院內部試用，接下來將申請食藥署智慧醫材取證。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%8B%E8%BB%8D.JPG" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">臺大醫院 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 急診 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 停留時間 </span></strong></span></p> <p><span style="font-size:22px;"><strong>臺大醫院展示急診輔助系統，可預測4大關鍵指標要解決急診壅塞 </strong></span></p> <p>臺大醫院在醫療科技展中展示急診臨床輔助決策系統，可預測患者停留時間、急診轉住院機率、急診部死亡風險，以及離開急診部後3天內又返診的機率，目的是要解決臺大醫院急診壅塞難題。</p> <p>進一步來說，醫院急診得時時確保病人處置順暢，要是無法消化，新進病人就會待在急診部外的流動病床上，無法即時受到照顧。但若未妥善處理就將病人安排出院，日後病人又會再至急診就醫。為解決問題，臺大醫院從4年前開始開發這套系統，要來預測急診幾個關鍵步驟的病人停留時間和死亡、返部的機率，來加速後續處置，如安排返家或住院治療。</p> <p>於是，團隊利用臺大醫院三院區自2013年至2017年的100多萬筆就診資料，來訓練模型。這些資料包含45個表單，涵蓋病人到部至離部的診斷、檢驗、處置與時序性生命徵象資料，團隊也建立急診私有雲來模擬病歷時序變化、訓練模型，完成後就導入至AI推理引擎，根據醫院HIS系統輸入的資料，來提供即時臨床指標預測。在系統使用上，系統每15分鐘會更新排程，醫師也可手動更新AI預測，系統也會在同個頁面提供相似病歷和相似的ICD-10疾病分類編碼，供醫師參考。目前，這套系統的準確率達96.7%、每位病人預測時間小於5秒，對臺大總院急診部100位病人量約4到6分鐘就能完成預測更新。該系統也在臺大醫院新竹和雲林分院試行，接下來要讓系統更穩定，要整合更多自動化功能，來加速急診流程。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%87%BA%E5%A4%A7(1).JPG" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 健保署 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端查詢系統 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 肝炎 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>健保署揭露新版健保雲端查詢系統，提供更好UX還新添BC型肝炎專區</strong></span></p> <p>健保雲端系統是民眾就醫和醫療診斷治療的關鍵IT系統，健保署日前推出新版健保雲端系統2.0，不只提供更直覺的使用者介面和客製化、視覺化功能，比如將原本分散的7個雲端系統服務網站，統一納入單一入口網頁。另也新添患者資訊，如身分證字號、姓名和生日、性別，方便醫護人員確認。此外，健保署也提供疾管署預防接種連結，並新添搜尋功能和字體大小選擇，以及拖拉式功能，來讓使用者客製化自己的頁籤和欄位順序，來強化使用者體驗。</p> <p>新版系統還放寬了醫事人員登錄權限，提供第一線各職類醫事人員使用，如呼吸治療師、放射師、醫事檢驗師、助產師、護理師等。特別的是，這次雲端系統還整合國健署篩檢資料，新增B、C型肝炎專區，提供病人最近1次的B、C型肝炎用藥和檢驗檢查等紀錄，讓醫師及早發現、及早治療患者。</p> <p>健保署還預告，接下來要將雲端系統中的用藥和檢驗檢查資料，改為視覺化圖像，方便醫事人員掌握資訊外，也要結合虛擬健保卡、擴大納入特材紀錄及終生給付數量上限項目等資料。<a href="https://www.nhi.gov.tw/News_Content.aspx?n=FC05EB85BD57C709&sms=587F1A3D9A03E2AD&s=2F19600AE5D1C528">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%95%AB%E9%9D%A2%E9%87%8D%E6%95%B4.JPG" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 國泰醫院 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> ICD-10 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DRG</span></strong></span></p> <p><span style="font-size:22px;"><strong>國泰醫院打造ICD-10疾病編碼推薦，AUC達0.99擬在6科試行</strong></span></p> <p>國泰綜合醫院在今年度醫療科技展中，揭露一款ICD-10疾病分類碼推薦AI系統，以2015年至2018年的健保資料庫與國泰醫院內部資料訓練而成，能在醫師填寫出院病摘時，根據病人病歷資訊和DRG健保支付規範，從上萬個ICD-10編碼中推薦最合適的近10項疾病分類碼，供醫師選擇。目前，該系統的分類效能指標AUC高達0.99（最佳值為1.0），國泰醫院也已在6個科別試行，將視成效來擴大使用。</p> <p>進一步來說，該模型會根據病歷資料，如病歷（病人特徵、過去病史）和病程記錄（如用藥、手術資料、處置資訊和檢驗檢查等），以及DRG規範，來推薦最適合的ICD-10疾病編碼。在系統使用上，國泰醫院資訊部將模型內嵌至醫療資訊系統（HIS）中，讓醫師在同一個頁面、不必切換系統，就能點擊查看推薦編碼和DRG計算值。若合理，就能點選帶入出院病摘。但醫師要是有疑慮，也可查看自動生成的報告，該報告會解釋AI推薦的編碼，是根據哪些病歷資料產出。若醫師認為推薦編碼都不符合事實，也可回報系統、給出原因，後續再以這些回饋資料重新訓練模型。<a href="https://www.ithome.com.tw/news/154537">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%8B%E6%B3%B0%E9%86%AB%E9%99%A2%E5%8E%9F%E5%9B%A0%E8%A7%A3%E9%87%8B.JPG" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MONAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺北榮總 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Nvidia推出醫療AI新工具，也大秀在臺醫療AI成果</strong></span></p> <p>Nvidia日前於北美放射線大會RSNA之際，推出新AI工具MONAI Deploy，來加速醫療影像AI應用的打包和測試，縮短AI落地時間。2019年，Nvidia開源醫療AI框架MONAI，可用來訓練、開發和部署醫療影像AI，而這次，他們新添MONAI Deploy，已有不少公雲業者支援，如Amazon HealthLake Imgaing服務、Google雲的醫療影像套件、微軟Azure的Nuance Precision Imaging Network，以及甲骨文Cloud Infrastructure。</p> <p>另一方面，隨著臺灣醫療科技展的展開，Nvidia也盤點在臺醫療AI亮點應用，包括臺北榮總導入嵌入式AI系統Jetson、打造即時洗腎心衰預測AI，直接在洗腎機旁就能即時運算，不需昂貴的GPU伺服器。此外，北榮也採用醫療AI專用平臺Nvidia Clara平臺來進行基因體研究和藥物開發。</p> <p>而花蓮慈濟醫院也利用Nvidia DGX A100超級電腦、NGC雲端加速平臺和Clara平臺，來開發乳房攝影輔助AI系統，可加速分析乳攝車影像拍攝和資料初步分析，揪出病灶加速判讀。另一方面，國衛院也採用Nvidia產品，包括最新一代AI超級電腦和AI模型分析運算應用程式，要來打造全臺首座醫藥衛生專用超級電腦，加速生醫和醫藥開發，成立AI生醫資訊創新研究暨應用服務中心。<a href="https://blogs.nvidia.com/blog/2022/11/28/monai-deploy-framework-medical-imaging-ai-apps/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 林口長庚 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語音客服 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SST</span></strong></span></p> <p><span style="font-size: 22px;"><strong>長庚醫院啟用AI智能客服，與民眾對話協助查詢門診、預約掛號、住院等資訊</strong></span></p> <p>長庚醫院與長庚醫科共同開發AI智能客服，結合辨識技術，以擬人化對答方式，協助民眾文字或電話語音掛號、查詢門診，甚至主動傳送簡訊或撥電話給等待住院或預約手術的病人，確認報到及術前回覆事項。</p> <p>這項智能客服歷時約2年時間開發，系統落地長庚醫院、以保護民眾個資。民眾可透過長庚醫院官網、App，或撥打單一市話專線，在AI文字客服或語音客服的協助下，查詢或預約門診掛號、病床，以及衛教諮詢。該院稱透過AI文字、語音客服，民眾將需求「說出來」，平均可節省50%時間。</p> <p>在技術方面，當民眾撥電話給智能客服，先經由語音AI，利用STT技術辨識、校正，將語音轉為文字，再送到文字AI，通過AI大腦，通過NLU自然語言理解，辨別民眾的需求為FAQ問答，或是其他的需求意圖，再回傳文字回覆，經由語音AI的TTS將文字轉為語音，由AI客服以口說方式回覆民眾。目前長庚AI客服，語音以國語為主，未來將新添臺語、客語。<a href="https://www.ithome.com.tw/news/154482">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 達擎 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 遠距醫療 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 行動方艙 </span></strong></span></p> <p><span style="font-size:22px;"><strong>瞄準偏鄉離島醫療需求，達擎秀組裝式遠距診療艙</strong></span></p> <p>面板大廠友達旗下子公司達擎搶攻醫療市場，推出不少醫療影像優化產品，如今年下半年上市的遠距診療艙，就像一個小型行動方艙，可搭建在偏鄉、離島等醫療資源較稀缺之處，供在地民眾使用、進行遠距視訊問診。</p> <p>該遠距診療艙基本配備有生理量測儀器和具視訊問診功能的醫務電腦，達擎商業開發副理鄧偉民表示，當民眾量測生理數值後，可藉雲端上傳至遠端支援醫院，供專科醫師參考。這臺醫務電腦還支援雙系統，也內建幾款醫務人員常用的工具，以及線上簽核和觸控書寫功能。除了基本配備，該艙也可視使用者需求新添模組，如遠距醫療常見的五官鏡設備或超音波儀器，至於相關數據是否會與醫院HIS介接，則視醫療機構需求而定。看診時，該艙也可遙控設定讓艙門霧面化，來保護隱私，而艙面外側搭載數位看板，有別於傳統看板需插入USB才能播放內容，該看板可聯網操作，可作為衛教和看診預約用途。</p> <p>其他與醫療相關應用，還有3D術前規畫顯示系統，搭配動眼追蹤鏡頭，來根據使用者視角即時調整器官角度、進行手術規畫，另一個則是牙科比色解決方案，透過雲端AI模型來還原牙齒影像色彩，讓牙技師在製作假牙時，更精準拿捏加壓顏色，不必來回與牙醫診所確認。該方案已有臺灣牙e通採用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%81%94%E6%93%8E.JPG" /></p> <p>攝影 / 王若樸</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></p> <p><strong>1. 中國附醫院前心肌梗塞救護AI落地，至今已有400人次使用</strong></p> <p>資料來源：iThome整理，2022年12月</p> </div></div></div>
2022/12/5 13:32作者王若樸https://www.ithome.com.tw/news/154556
FBI與CISA發布Cuba勒索軟體警報
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-335a" target="_blank">美國聯邦調查局（FBI）與網路安全及基礎設施安全局（CISA）上周針對勒索軟體Cuba發布安全警報</a>，指出迄今Cuba勒索軟體駭客已危害全球超過100個組織，向它們勒索逾1.45億美元，且實際收到了超過6,000萬美元的贖金，公布了Cuba勒索軟體的最新攻擊戰術流程（TTP）。</p> <p>Cuba是個以C++撰寫的Windows惡意程式，<a href="https://www.ithome.com.tw/news/148214" target="_blank">去年就曾被FBI點名</a>，當時駭客利用Microsoft Exchange的安全漏洞，大舉進攻重大基礎設施，有49個組織受害，勒索金額超過7,400萬美元，而今受害組織則擴大到超過100個，勒索金額亦呈倍數。</p> <p>Cuba勒索軟體用來進入組織的手法包括利用商業軟體的已知漏洞、網釣攻擊、外洩憑證，或者是合法的遠端桌面協定（RDP）工具，成功入侵組織後即開始藉由加載器Hancitor來散布Cuba。</p> <p>遭到Cuba利用的安全漏洞包括涉及Windows通用紀錄檔系統（Common Log File System，CLFS）驅動程式的<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-24521" target="_blank">CVE-2022-24521</a>，以及微軟在2020年執行多階段修補的Windows Netlogon漏洞<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2020-1472" target="_blank">CVE-2020-1472</a>。此外，駭客於組織內進行橫向移動時，也會利用各種工具來躲避偵測，包括終止安全產品。</p> <p><a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-24521" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1205-CUBA%20RANSOMWARE-CVE-2022-24521.png" style="width: 554px;" /></a></p> <p><a href="http://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2020-1472" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1205-CUBA%20RANSOMWARE-CVE-2020-1472.png" style="width: 418px;" /></a></p> <p>雖然名為Cuba，但它其實與古巴沒有關係，而是與RomCom RAT及Industrial Spy勒索軟體有關，資安社群發現Cuba駭客會使用客製化的RomCom作為命令暨控制工具，有時也會部署Industrial Spy而非Cuba，而且原本Cuba駭客都在自家網站銷售所盜來的資料，但今年5月開始透過Industrial Spy的線上市集出售資料。</p> <p>FBI與CISA公布了Cuba勒索軟體截至今年8月的最新入侵指標（Indicators of Compromise，IOC）供外界參考。</p> </div></div></div>
2022/12/5 13:33作者陳曉莉https://www.ithome.com.tw/news/154557
【資安週報】2022年11月28日到12月2日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>漏洞利用的攻擊新趨勢中，微軟9月修補一項存在於Windows網際網路金鑰交換機制的漏洞，有資安業者發現已有攻擊行動；Redis伺服器在2月修補的一項重大漏洞，如今正遭惡意軟體Redigo鎖定。</p> <p>在漏洞揭露方面，有兩項研究受關注，首先是針對UEFI韌體使用的OpenSSL加密程式庫元件而來的調查，結果Dell、HP、聯想電腦中被發現仍採老舊OpenSSL版本；還有多款汽車品牌採用的Sirius XM衛星廣播服務，被研究人員發現存在一個身分認證漏洞，使得這些汽車將可被遠端控制。關於本週出現的修補漏洞消息，我們看到宏碁將修補一項可竄改NVRAM記憶體參數、停用Secure Boot的UEFI漏洞，以及Java框架Quarkus修補一項RCE漏洞等。</p> <p>在國際威脅態勢方面，一些新的發現值得關注，例如，有網路犯罪者兜售存在漏洞的Fortinet VPN設備的網路位址清單，有資安業者揭露Docker Hub上被上傳25萬多個暗藏惡意程式的Linux映像檔；以及商業間諜軟體活動如今更為擴散的態勢，本週被公開的是西班牙業者Variston IT的攻擊框架細節。此外，這段期間適逢世界盃足球賽，已出現假借賽事名義的網路攻擊頻傳狀況，另外也有攻擊者利用抖音的特效濾鏡影片，藉此散布竊密程式WASP的攻擊行動的狀況。</p> <p>國際上資安事件消息也不少，包括密碼管理解決方案供應商LastPass有再次遇駭的消息，WhatsApp傳出近5億筆用戶資料被兜售，遭遇勒索軟體攻擊相關的消息本周亦有不少。</p> <p>在國內，本週國內有兩家上市公司發布資安事件重大訊息，雄獅旅遊、麗臺科技均說明遭網路攻擊，分別提醒消費者注意詐騙，以及說明是遭遇勒索軟體攻擊。此外，投資詐騙簡訊橫行，近日刑事局逮捕一嫌犯，並指出該集團在10個月內發送達6700萬封詐騙簡訊，不法獲利高達1億元。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/154451"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月28日】Windows網際網路金鑰交換機制漏洞被用於攻擊、Docker Hub存在逾1,600個易受攻擊的映像檔</span></strong></a></h3> <p>存在於多個版本Windows系統的網際網路金鑰交換機制（IKE）重大漏洞CVE-2022-34721，微軟雖然在9月公告修補，但近期有研究人員發現，駭客將其用於攻擊行動，鎖定約1千臺電腦下手。</p> <p>為了加速應用程式的開發與部署，容器成為當代IT顯學，很多人都會到提供眾多Docker映像檔的Docker Hub來下載，然而，這當中也蘊藏不小的危機！根據資安業者的調查，當中上架的映像檔，有多達1,600個易受攻擊的映像檔，其中最普遍的是遭人埋入挖礦軟體，寫死帳密的情況也相當值得留意。</p> <p>Chrome瀏覽器107更新版發布，當中修補零時差漏洞CVE-2022-4135。新加坡電腦緊急應變中心（SingCERT）指出，其他採用相同排版引擎的瀏覽器也可能存在相同風險。</p> <h3><a href="https://www.ithome.com.tw/news/154485"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月29日】Dell、HP、聯想設備韌體使用老舊版本的OpenSSL、推特網站漏洞恐有更多資料外流</span></strong></a></h3> <p>電腦UEFI韌體出現漏洞的情況相當值得留意，其中，有研究人員發現Dell、HP、聯想等多家廠牌使用的韌體裡，竟使用了大量舊版OpenSSL加密程式庫，其中最舊的是2009年推出的程式庫元件。研究人員指出，這樣的問題牽涉到採用第三方元件的軟體供應鏈生態，而難以修復。</p> <p>推特今年7月傳出540萬用戶資料流入駭客論壇的事故，原因是駭客利用該社群網站的漏洞發動攻擊得逞；但資安新聞網站Bleeping Computer指出，該漏洞造成資料外洩的情況遠比當時公布的嚴重許多，根據研究人員的最新發現，有人因此竊得約1,700萬筆資料。</p> <h3><a href="https://www.ithome.com.tw/news/154493"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月30日】駭客透過抖音短片散布竊密程式WASP、未修補已知漏洞的Fortinet資安設備網址清單遭到兜售</span></strong></a></h3> <p>鎖定開發人員並濫用NPM、PyPI套件庫散布惡意軟體的攻擊行動，之前傳出不少事故，但最近研究人員發現極為不同的新手法──駭客透過抖音短片來做為誘餌，並表示他們擁有解除濾鏡效果的工具，一旦觀眾依照指示下載，駭客將從PyPI套件庫取得竊密軟體，並於受害電腦部署。</p> <p>今年10月Fortinet修補的身分驗證繞過漏洞CVE-2022-40684，也出現有人將尚未修補的系統名單進行彙整，並在網路犯罪圈進行兜售的情況！而駭客收集該廠牌有漏洞設備的網址供他人進一步運用的情況，已非首例，<a href="https://www.ithome.com.tw/news/141261">2020年就有人收集近5萬筆Fortinet SSL VPN的IP位址求售</a>。</p> <p>世界盃足球賽相關的網路攻擊行動也相當值得留意，<a href="https://www.ithome.com.tw/news/154378#fifa2022">我們先前報導過針對球迷與球隊的網釣攻擊</a>，但最近有研究人員發現，駭客不止發動釣魚郵件攻擊，還推出假的球場通行證與加密貨幣，並向主辦國卡達的企業發動DDoS攻擊。</p> <p><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/154518"><strong><span style="color: rgb(0, 0, 0);">【12月1日】駭客組織Lilac Wolverine發動大規模禮物卡攻擊、中國駭客利用USB裝置攻擊菲律賓組織</span></strong></a></strong></p> <p>有商業郵件詐騙（BEC）的駭客組織攻擊目標轉移到個人！奈及利亞駭客組織Lilac Wolverine挾持使用者在AOL、雅虎的電子郵件信箱，然後對通訊錄裡的聯絡人發動相關攻擊，要求收信人協助購買禮物卡行騙。這類攻擊往往採取動之以情的攻勢，例如表示自己因COVID-19居隔而無法處理相關事務，使得受害者降低戒心而協助購買禮物卡點數上當。</p> <p>利用USB裝置的攻擊行動再度出現，而值得相關機構提高警覺。中國駭客UNC4191鎖定菲律賓組織發動攻擊，研究人員表示，雖然他們也有看到針對美國、東南亞其他國家的攻擊行動，但最終目標都是位於菲律賓的電腦。</p> <p>台達電、Festo、Codesys近日修補了旗下的工控裝置漏洞，這些漏洞有些能被用於命令注入攻擊，有的能繞過身分驗證，管理者應儘速修補。</p> <p><strong style="font-size: 22px;"><strong><a href="https://www.ithome.com.tw/news/154541"><strong><span style="color: rgb(0, 0, 0);">【12月2日】Redis伺服器漏洞遭到惡意軟體Redigo鎖定、刑事局破獲投資詐騙簡訊嫌犯</span></strong></a></strong></strong></p> <p>在專門針對Redis伺服器的攻擊行動裡，駭客看準管理者可能不會盡快安裝漏洞修補程式的情況，而利用2月揭露的重大漏洞CVE-2022-0543來入侵這類系統。但駭客的目的為何？研究人員猜測應該是將其用於挖礦或發動DDoS攻擊。</p> <p>我國簡訊詐騙攻擊頻傳，但攻擊者竟為了增加成功行騙的機率，竟透過人工智慧語音誘使民眾上當。內政部刑事警察局近日破獲投資簡訊的詐騙攻擊，駭客就先針對目標撥打電話，然後透過AI分析後再決定是否向其發送簡訊。</p> <p>提供廣播服務的業者也可能成為駭客入侵汽車的管道！有研究人員發現超過十個廠牌的車輛可被以相同手法遠端存取，經調查後是廣播服務業者的系統存在漏洞所致。</p> </div></div></div>
2022/12/5 11:24作者羅正漢https://www.ithome.com.tw/news/154551
開源軟體代管網站Fosshost即將關閉
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國知名開源軟體免費代管平臺<a href="https://fosshost.org/" target="_blank">Fosshost近日宣布即將關閉</a>，表示目前已無法保證服務的上線狀態，且應該很快就會下線，強烈建議所有用戶儘快備份資料並遷移至他處。</p> <p>Fosshost是Thomas Markey於2020年創立的雲端代管平臺，它是個非營利組織，免費提供代管服務予自由及開源軟體（Free and Open Source Software，FOSS）社群，符合資格的專案只要通過審查，即可存取虛擬私有伺服器與相關服務。它代管了許多知名的開源專案，包括GNOME、Debian與Xfce等，估計代管超過200個開源專案。</p> <p>根據Fosshost首頁的聲明，目前該平臺已超出志工的控制，因而處在一個無法保證伺服器可持續運作的狀態。</p> <p>一名自稱為Fosshost志工的使用者<a href="https://news.ycombinator.com/item?id=33848529#33849026" target="_blank">透過Hacker News回應了此一消息</a>，指出既是創辦人又是執行長的Markey這半年以來幾乎失聯，而只有Markey才能動用用來支付伺服器費用的銀行資金。這名志工還說，在去年許多員工因為管理問題相繼離職之後，便開始出現這樣的情況，看似Markey已不想應付任何有關Fosshost的問題。</p> <p>而目前Fosshost首頁上的聲明似乎也是由志工所張貼，表示自Fosshost開始出現失敗跡象之後，前任志工與其它關心自由軟體的人便著手打造替代方案，以替原本仰賴Fosshost的專案建立新家，其中之一即是Radix專案。</p> <p class="rtecenter"><a href="https://radixproject.org/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1205-The%20Radix%20Project.png" style="width: 450px;" /></a></p> <p><a href="https://fosshost.org/radix.html" target="_blank">Radix是由Fosshost之前的架構開發者Nate Sales所創立</a>，亦將免費提供代管服務予開源專案，避免相關專案因缺乏資源而被放棄。</p> </div></div></div>
2022/12/5 12:08作者陳曉莉https://www.ithome.com.tw/news/154554
Google Messages測試群組聊天全程加密功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.google.com/messages/answer/10262381" target="_blank">Google宣布</a>為其RCS （Rich Communication Service）訊息應用程式Messages<a href="https://www.blog.google/products/messages/happy-birthday-sms/" target="_blank">測試群組聊天的全程加密（End-to-End Encryption）</a>。</p> <p>透過支援全程加密，僅有收、發雙方能看見Google Messages訊息內容，連Google或電信商都看不到。Google Messages已在兩年前為1:1訊息加入全程加密，上周Google宣布，未來幾周將針對群組聊天功能，以開放測試方案提供給部分用戶。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1205-Google%20Messages-600-1.jpg" style="width: 457px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>除了全程加密，Google也為Messages加入網路即時通訊早就有的其他功能，除了現有影像訊息、同步打字指示（typing indicator）、聊天群組命名、在群組增加或移除聯絡人，以及Wi-Fi文字通訊，Google Messages現在又支援圖形化表情圖示。</p> <p><a href="https://www.ithome.com.tw/news/152430" target="_blank">Google並延續之前的#GetTheMessage行銷活動</a>，批評蘋果不支援RCS。Google表示，幾乎所有主要電信業者如AT&T、T-Mobile、Orange及製造商都已支援RCS，獨蘋果除外，這意謂著iPhones用戶仍然持續用著1990年水準的文字簡訊（SMS）和Android手機用戶傳訊息。</p> <p>由於蘋果不支援RCS，iPhone接獲Android手機傳來的訊息會以綠色顯示，藍、綠顏色的差異也強化了iPhone用戶自我認同感，而降低採用Android的興趣。</p> </div></div></div>
2022/12/5 09:09作者林妍溱https://www.ithome.com.tw/news/154549
三菱電機軟體漏洞可導致PLC系統被駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.nozominetworks.com/blog/flaws-in-gx-works3-threaten-mitsubishi-electric-safety-plc-security/" target="_blank">安全廠商Nozomi Networks發現</a>三菱電機可程式化邏輯控制器（programmable logic controller，PLC）的3項軟體漏洞，可能讓攻擊者輕鬆駭入PLC而影響生產過程。</p> <p>漏洞存在三菱電機安全PLC及相關工程工作站軟體GX Works3使用的通訊協定MELSOFT中。GX Works3是三菱電機專為MELSEC iQ-R和MELSEC iQ-F Series控制系統設計的編程和維護軟體。GX Works3和安全CPU模組相關的專案檔案是以加密儲存，需要使用者名稱和密碼才能開啟。</p> <p>最新MELSOFT漏洞是Nozomi Networks繼去年8月在同一協定<a href="https://www.nozominetworks.com/blog/new-research-uncovers-5-vulnerabilities-in-mitsubishi-safety-plcs/" target="_blank">發現五項漏洞</a>後，最新揭露的瑕疵。這三項漏洞分別為CVE-2022-29831、CVE-2022-29832和CVE-2022-29833。其中CVE-2022-29831為使用寫死密碼，CVE-2022-29832為記憶體敏感資訊明碼儲存，CVE-2022-29833則為登入憑證保護不足。影響產品包括三菱電機的GX Works3及MX OPC UA Module Configurator-R。</p> <p>由於三項漏洞都還沒有修補程式，現階段，安全廠商並未公布漏洞技術細節，只提供大致描述。</p> <p>安全廠商指出，最嚴重情況下，攻擊者只要取得一個GX Works3專案檔案就可以成功利用漏洞。方法有好幾個，包括透過配置錯誤的檔案伺服器、存取共享電腦、竊聽未受保護的通訊等。只要其中一種成功，攻擊者就能立刻濫用前二個漏洞，取得專案檔案中關於專案本身，及安全CPU模組註冊的帳號用戶名的敏感資訊。</p> <p>但如果資產持有人曾重覆使用安全CPU模組的登入憑證，就可能發生嚴重後果。攻擊者可能串連3個漏洞，取得重要的攻擊原語（primitive），使其可直接存取及駭入該安全CPU模組，進而擾亂製造過程。</p> <p><a href="https://www.cisa.gov/uscert/ics/advisories/icsa-22-333-05" target="_blank">美國電腦安全暨基礎架構安全管理署（CISA）已對三項漏洞發出安全公告</a>。CISA將三漏洞聯合風險列為CVSS v3 9.1，屬重大漏洞。</p> <p class="rtecenter"><a href="https://www.cisa.gov/uscert/ics/advisories/icsa-22-333-05" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1205-Mitsubishi%20Electric%20FA%20Engineering%20Software-CISA.png" style="width: 550px;" /></a></p> <p>目前軟體廠商無法修補漏洞，三菱電機則準備修補CVE-2022-29831，並為CVE-2022-29832、CVE-2022-29833提供緩解方法。在此之前，為降低風險，安全廠商建議用戶儘可能限制安全CPU專案檔案的存取權限，不論是在傳輸或儲存狀態，變更安全CPU模組上的所有弱密碼。此外，安全廠商呼籲安全CPU專案檔案的開啟憑證絕對不要重覆使用。</p> <p>漏洞是否遭到濫用不得而知。<a href="https://www.ithome.com.tw/news/152142" target="_blank">7月安全廠商Drago發現</a>有人在社群網站張貼網路廣告訊息，販售PLC或人機介面（HMI）的密碼破解工具，涵括的PLC品牌包括三菱、歐姆龍、松下（Panasonic）、富士電機（Fuji Electric）、LG及台達自動化等。</p> <p>巧合的是，<a href="https://www.ithome.com.tw/news/154324" target="_blank">CISA發出安全公告</a>，警告歐姆龍（Omron）的NJ、NX系列PLC系統產品線一項軟體漏洞遭到攻擊。</p> </div></div></div>
2022/12/5 09:37作者林妍溱https://www.ithome.com.tw/news/154550
能力與成熟度評估
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://www.ithome.com.tw/article/154533" target="_blank">iThome 1106期封面故事主題是網路安全成熟度模型認證（CMMC）</a>，讓我想到去年封面故事<a href="https://www.ithome.com.tw/article/142129" target="_blank">《2021資安大預測》</a>，我們將資安成熟度列入年度重大資安趨勢，因為這已升格為產業落實資安的重要議題，資安主編羅正漢那時提到的多個資安框架，都採用這個概念，像是NIST Cybersecurity Framework（CSF）、BS 31111:2018、ACSC Essential Eight、Cyber Defense Matrix（CDM），以及我們這次介紹的CMMC；除此之外，資安業界還有CIS Critical Security Controls、CISA Zero Trust Maturity Model、Cybersecurity Capability Maturity Model（C2M2）、Cybersecurity Capacity Maturity Model for Nations（CMM）等框架或模型，都以「成熟度」作為評估與持續推動資安的指標。</p> <p>談到CMMC，很多在IT領域工作多年的人，可能會馬上聯想到能力成熟度模型（Capability Maturity Model，CMM），以及能力成熟度模型整合（Capability Maturity Model Integration，CMMI）。而在軟體開發工程、資訊軟體品質的領域，CMMI評鑑曾蔚為風潮，有許多企業、組織、公部門將其用於評估軟體的能力。</p> <p>基本上，CMM與CMMI都分為5種等級，前者依序為：初始（Initial）、可重複執行（Repeatable）、已定義（Defined）、已管理（Managed）、最佳化（Optimizing），後者依序為：初始（Initial）、已管理（Managed）、已定義（Defined）、量化管理（Quantitatively Managed）、最佳化（Optimizing）。</p> <p>在網路上尋找成熟度評估論述時，我發現有些專家將其與能力（Capability）對比，探討兩者各自適用的情境。</p> <p>以能力評估而言，是針對每個流程各種現行實務的顯現方式，可套用在個別領域的流程改善，能使產品、服務滿足特定的品質與流程績效目標，導入可行的流程，以便在規格內部持續產生輸出，執行這類流程往往能產生符合預期的結果。</p> <p>成熟度評估則是針對組織內部多組流程的展現，是指在多個領域的流程改善，組織面對正在做的任何事情，能夠透過妥善的文件記錄，促使每個人知道自己該做的事情與該有的表現，所執行的決策都是基於適當的狀況分析而來，而非單靠傑出者來創造績效。</p> <p>在IT治理領域相當知名的COBIT（Control Objectives for Information and Related Technology）框架，也有能力等級與成熟度等級的區分。回顧一路以來的發展，COBIT初期是以流程的能力為主，中期延伸為「成熟度包含能力」的形式，之後再將這樣的評估概念擴展至其他治理與管理元件中。</p> <p>究竟該用能力或成熟度來評估？有些領域已有共識。關於資安防護的強化，成熟度評估是目前較多人認可且積極推動的，而在企業與組織的數位轉型工作上，同樣有許多研究機構與專家運用成熟度來進行評估，不過，也有人認為應該關注能力，而非成熟度——他們提出幾個質疑，例如，組織可能會聚焦在如何達到成熟的狀態，一旦完成目標，工作就結束了；假設所有組織的數位轉型過程，都採取線性路徑的方式進行；並非基於成果輸出的方式進行；在達成目標等級的定義上，會是靜態而非動態的。</p> <p>然而，若對照過去整個業界發展的評估概念而言，成熟度的實際應用應該不會如此僵化，其實會是動態、靈活、持續進行的，但這些面向還是值得大家反思，因為這些狀況的確很有可能發生，導致相關的強化或轉型工程趨於僵化。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 18px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 18px;"><strong><span style="background-color: rgb(51, 153, 255);"><span style="color: rgb(255, 255, 255);">相關報導 </span></span></strong></span></p> <p> <a href="https://www.ithome.com.tw/article/154533" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1106-feng_mian_gu_shi_open-yan_fen_-960x420_kao_bei_.jpg?itok=jPRCcQ0Y" style="width: 550px;" /></a></p> <p><a href="https://www.ithome.com.tw/article/142129" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1007-26-feng_mian_p1-open-900x373.jpg?itok=0Cau_DNu" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%A8%E8%80%85%E7%9A%84%E8%A9%B1-0">編者的話</a></div><div class="field-item odd"><a href="/tags/%E7%B6%B2%E8%B7%AF%E5%AE%89%E5%85%A8%E6%88%90%E7%86%9F%E5%BA%A6%E6%A8%A1%E5%9E%8B%E8%AA%8D%E8%AD%89">網路安全成熟度模型認證</a></div><div class="field-item even"><a href="/tags/cmmc">CMMC</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89%E6%88%90%E7%86%9F%E5%BA%A6">資安成熟度</a></div></div></div>
2022/12/5 00:00作者李宗翰https://www.ithome.com.tw/voice/154528
【鼓勵業者積極投入美國網路安全成熟度模型認證（CMMC）】打造臺灣國防產業千億產值的關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年9月召開的2022臺灣資安大會上，同時舉辦有史以來第一場眾「星」雲集的座談會，這場「CMMC國防產業安全供應鏈論壇」，匯集了許多退役將領。</p> <p>這個論壇主要是因應國際局勢的變化，探討由美國國防部推出的網路安全成熟度模型認證（CMMC），對臺灣及全球國防產業帶來的衝擊和影響，面對如此龐大的國防商機，不只是傳統的國防產業業者能夠競逐，能否擴及更大範圍的電機、電子業者，使更多臺灣廠商共同分食產值更高的國防產業大餅呢？</p> <p>了解國際戰略與政治的人都知道，廿一世紀前半，世界面臨嚴峻挑戰，遭遇許多典範轉移。作為國家級國防部智庫國防安全研究院的執行長林成蔚，在這場活動的致詞中，清楚提到：「站在歷史的分歧點，整體國際秩序轉換需要許多新的道具，並且建立新的規範，其中，CMMC就是全球國防產業面對典範轉移時，必須要清楚掌握的新工具。」</p> <p>林成蔚表示，CMMC這個新的道具也是新的資安規範，將會支撐在廿一世紀新環境需要的各種不同能量，不但可以讓相關組織，具備內建韌性的資安技能，也是讓具備資安技能的業者，可以更積極參與國際市場重要的資格。</p> <p>他說：「未來，國防安全研究院和臺灣國防產業發展協會（TW-DIDA）將協助臺灣業者，了解這個新的資安規範，更希望藉此積極參與、創造新世界，掌握更多商機。」</p> <p>由於臺灣過往並沒有針對國防產業進行產業推估，只有國家中山科學研究院曾在2017年12月發表一份《國防產業發展現況與展望》簡報，其中便以自家委外發包的經驗推估，該研究院每年執行政府350多件專案，平均預算約為250億元，另外也有700多家國防供應鏈體系業者，每年也提供100億元至150億元的採購案。</p> <p>不過，中山科學研究院推估的產值，仍以該單位委外發包的產值來計算，而且臺灣有些精密工業業者，本身是直接對接美國軍火商，提供符合美國國防部規範的重要零組件業者，這些產值並不在中山科學研究院的計算中。</p> <p>對此，臺灣在2017年7月正式成立臺灣國防產業發展協會，以促進臺灣國防產業發展為宗旨，該協會的秘書長朱旭明表示，臺灣對於國防產業的產值並沒有任何推估，但可以參照日本2022年國防供應鏈產值約為180億美元，對照臺灣整體產業發展和具備的技術能力，臺灣國防產業產值最大規模為日本產值的三分之一，約為60億美元（約為新臺幣1,800億元），他說：「這也是臺灣國防產業可以創造的最大產值。」</p> <p>如此龐大的國防產業商機，已不是傳統臺灣國防產業業者可以獨食，政大兼任助理教授萬幼筠表示，日本以國家之力推動CMMC，並將原先的電機、電子業者也納入、成為國防產業的一份子，這種把餅做大的方式，也應該是臺灣未來推動CMMC過程中，將許多傳統的電機、電子業者進行淬體、升級作為加入美國國防產業供應鏈所能參考的作法。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%963-%E5%B0%81%E9%9D%A2P2P3-CMMC-V2.png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>美國國防供應鏈風險評估架構與因應措施</strong></span><br /> <span style="color: rgb(105, 105, 105);"><strong>美國國防供應鏈風險的分析，可以從「國防供應鏈韌性框架」的四個面向來看，同時，可以參考美國國防部提出7個相對應的措施，做到建構與發展可信賴的產業實務。</strong></span></p> <p class="rtecenter"><span style="color: rgb(105, 105, 105);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%961-%E5%B0%81%E9%9D%A2P2P3-CMMC.jpg" style="width: 599px;" /></strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>臺灣要優先改善國防產業資安，建立完整安全檢查。亞洲航空董事長特助、臺灣國防產業發展協會顧問傅孟杰直言，對於臺灣國防產業與中國有聯繫或商業往來的企業，能否確保機密、敏感技術不外流，美國有疑慮。</strong></span></p> <p class="rtecenter"><span style="color: rgb(105, 105, 105);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%962-%E5%B0%81%E9%9D%A2P2P3-CMMC.jpg" style="width: 600px;" /></strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>為了大幅度拓展臺灣國防產業的產值，臺灣國防產業發展協會秘書長朱旭明表示，我們可以參考日本、南韓積極引進CMMC作法，並期待臺灣國防產值可以擴大到60億美元。</strong></span></p> <p><span style="font-size:28px;"><strong>推動CMMC有助於提升臺灣防衛力</strong></span></p> <p>烏俄戰爭從今年二月實體戰爭開打後，一直沒有停戰的趨勢，而作為烏克蘭主要軍事武器提供者的美國，也面臨武器交期延遲的困境，甚至影響到美國對臺灣軍售武器的交貨。</p> <p>在這個緊張時刻，傳出有多個武器承包商會員的美臺商業協會（USTBC）作為中間人，表達美國拜登政府有意與臺灣合作、共同在臺灣生產相關的國防軍事武器，而這樣的作為，不僅有助於加快美國對臺軍售武器的交期，也可以強化臺灣的國防防衛能力。</p> <p>相關媒體引述美臺商業協會會長韓儒伯（Rupert Hammond）的訪談內容說道，臺美聯合生產武器已經有初步想法，但生產的武器項目並未有進一步消息，外界評估可能會偏重彈藥及導彈技術相關的類別；至於聯合生產的方式可能有兩種，一種是由美方提供技術、在臺灣製造；或者是在臺灣生產零組件、在美國製造兩種方式。</p> <p>只不過，臺美聯和武器生產的計畫若要順利落實，仍有很大努力空間，因為這不僅要經過美國國務院、國防部及武器製造商的同意及核准，一旦雙方預計聯合生產武器，如何確保相關國防關鍵技術與機敏資料不會遭到外洩，則是這起合作案能否持續的最大關鍵。</p> <p>不只技術和機敏資料不能外洩，在國際情勢越來越複雜的情況下，尤其在美中貿易大戰之後，美國有許多先進技術和晶片產品等，都明令禁止提供給中國及相關企業使用，甚至也明白禁止，美國企業不能使用來自中國的技術和產品，如果重要核心關鍵產業的產品或原料使用來自中國的產品，國防部不僅要調查相關的採購是否有違法，甚至可能暫停交付相關產品。</p> <p>最明顯的例子就是，在今年九月上旬，由軍火業者洛克希德馬丁研發的F35II閃電戰鬥機中所使用的渦輪機幫浦，美國國防部得知當中使用來自中國稀土鈷和釤合金原料製成的磁鐵作為啟動器的動力，為了進一步調查並確保安全性，選擇暫停交付戰機。</p> <p>經過後續調查確認，該特殊合金是在美國進行磁化，也沒有傳送任何敏感資訊，未來也會選擇其他非中國的合金原料，才恢復後續的戰機交付流程。</p> <p>以F35戰機為例，由全球1,700家供應商所提供的30萬個零組件組成，而每一家廠商的生產流程中，所有用到的零組件都需要經過檢查；為了確保這些供應商都是合格的供應商，也必須遵守美國《國防聯邦採購補充條例》（DFARS）以及符合美國NIST 800-171或NIST 800-172的規定。</p> <p>為了提升並確保美國國防供應鏈業者資訊安全防護能力，美國國防部也在2020年1月31日發布「第1版網路安全成熟度模型認證（CMMC 1.0）」，這也是針對國防供應鏈業者第一線承包商，以及第二、三線分包商所制定的網路安全標準，並於2021年11月推出的CMMC 2.0版草案，預計2023年3至5月推出CMMC 2.0正式版，並於2026年財年（9月30日）後全面實施。</p> <p>國防產業屬於臺灣產業創新研發計畫的重點領域之一，並設定航太、船艦、資安為三大國防核心產業。在航太產業方面，推動飛機、無人飛行載具及低軌衛星之研發計畫，在船艦產業方面，也已啟動各式水面艦與潛艦自製計畫，在資安及數位產業方面，成立資安攻防及跨國合作機構，並加速其產業化並開拓國際市場。</p> <p>亞洲航空股份有限公司董事長特助，也是臺灣國防產業發展協會顧問傅孟杰直言，臺灣高舉「資安即國安」的政策方針，因此，國防供應鏈的安全也意味著國防產業安全、國防機密安全，甚至是國家安全的情況下，臺灣勢必要優先改善臺灣國防產業的資訊安全保護，建立完整的安全檢查機制更是當務之急。</p> <p>傅孟杰認為，臺、美的國防產業界緊密合作將不可避免，但這也為臺灣帶來新的挑戰。他不諱言地表示，美國對臺灣國防產業界有些與中國有聯繫或商業往來的企業，是否能確保美國轉移的機密、敏感技術不外流，仍有疑慮。</p> <p>因此，臺灣如何建立新的法規機制，而能向美國政府保證敏感技術不會遭到不當移轉？參考美國國防部推出的CMMC 2.0標準並積極取得相關認證，就是依照美國國防產業標準，可趁機提升臺灣國防產業資訊安全水準，做到確保機敏資訊不外洩，並創造安全、可信賴產業環境，使其成為臺美雙邊產業合作的重要關鍵。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%964-%E5%B0%81%E9%9D%A2P2P3-CMMC-V3.png" style="width: 408px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>NIST CSF 2.0版增加NIST SP800-171的資訊服務安全面向</strong></span><br /> <span style="color: rgb(105, 105, 105);"><strong>NIST CSF 2.0新版的內容，不僅要符合白宮第14028號行政命令，也必須符合針對國防產業所制定的CMMC 2.0草案規範，以及相關的NIST SP 800-171資安規範。</strong></span></p> <p><span style="font-size:28px;"><strong>加入美國供應鏈安全體系，需符合NIST資安規範</strong></span></p> <p>美國總統拜登於2021年2月底簽署第14017號行政命令《美國供應鏈》（EO 14017），這是一個相當聚焦於「產業」的行政命令，不只包含國防產業在內，為了確保臺灣供應鏈安全，金管會已經責成銀行、保險和證券業者撰寫相關供應鏈安全規範，主要參考美國NIST SP 800-161，這是一個客戶端（甲方）的規範，至於供應商（乙方）的規範，則是參考美國NIST SP 800-171和NIST SP 800-172。事實上，國防產業的供應鏈商機遠遠大於金融業，只不過，臺灣國防產業以往只局限傳統的國防供應鏈業者，商機就無從擴大。</p> <p>事實上，美國看待國防供應鏈的風險，主要是從「國防供應鏈韌性框架」的四個面向來審視，分別是：Internal（國防部內部單位）、Interagency（美國跨部門）、International（國際可信賴關係），以及Industry（產業）等四個面向，並提出7個相對應的因應措施，包括：（1）建立美國國內生產能力；（2）從程序與實務面，連結國際間的聯盟夥伴；（3）緩解外國控制、擁有或影響（FOCI）的企業風險與保護市場；（4）修訂軍品籌獲（即武器採購）政策；（5）進行供應鏈數據分析；（6）整合籌獲需求，以及（7）建構與發展可信賴的產業實務。</p> <p>萬幼筠表示，供應鏈安全問題已經是全球民主同盟國家共同面臨的挑戰，根據歐盟資訊安全局（ENISA）統計，供應鏈資安攻擊近兩年大幅提升，成為網路安全威脅主因，有66％的攻擊聚焦在供應商的程式碼，62%的攻擊是利用客戶對其供應商的信任，62%的攻擊源自於惡意程式，另外也有58%的攻擊來自於所取得的資料。</p> <p>而美國針對供應商的資安風險管理作為，可以從客戶端及供應商端這兩個面向來看。萬幼筠表示，若參考美國NIST標準，甲方（採購/客戶端）的內部建置採購過濾選擇機制，以及委外安全管理機制等，都可參考SP 800-161規範；若是乙方（供應商端）內部建置資安合規機制等，則可以參考SP 800-171規範（入門款）及SP 800-172規範（高保密等級增益款）。</p> <p>作為美國聯邦資訊安全框架NIST CSF也於今年6月，收集改版的意見，並制定7個修訂目標與方向，包括：（1）聚焦於維護和建立CSF框架更新時的關鍵屬性；（2）維持CSF與其他NIST既有架構的一致性；（3）提供更多的CSF實施指引；（4）確保CSF框架得以維持技術中立，但容許不同的技術議題，包含新技術的演進與實務；（5）強調評估框架實施結果的方式與量測標準的重要性；（6）供應鏈的網路安全風險納入框架考量；以及（7）透過國家改善供應鏈資通安全倡議（NIICS）對應既有的實施措施，並提供有效的實作指引和工具，以強化網路安全供應鏈風險管理。</p> <p>在2021年5月，美國總統拜登已頒布改善國家安全的第14028號行政命令（EO 14028），並針對「強化軟體供應鏈安全」制定相關的指南，其中，也必須符合NIST CSF 2.0新版的內容和針對國防產業所制定CMMC 2.0草案規範。</p> <p>萬幼筠表示，NIST CSF 2.0面對開發商、軟體使用者、商業組織、主管機關和政府不斷增加的資安需求，為達安全軟體開發生命週期（SSDLC），各種軟體元件和組態的SBOM（軟體物料清單），皆須滿足供應鏈資安風險管理規範，強化NIST SP800-171資訊服務安全面向作為，從SSDLC、SecDevOps提升軟體安全，了解軟體元件以衡量風險，呼應整體企業風險管理胃納，回應政府監理要求，真正做到「資安即國安」。</p> <p><span style="font-size:28px;"><strong>可參照日韓引進CMMC作法，擴大臺灣國防商機</strong></span></p> <p>國防商機龐大，但也同時面臨「價值」選擇！因為，目前選擇美國價值的國家，才能成為美國國防供應鏈一員，但要取得這資格，必須符合美國國防部對第一線承包商和第二、三線分包商的規範，其中尤以CMMC 2.0草案為最。</p> <p>美國國防合約管理局（DCMA）今年2月統計，光去2021年的軍購預算就高達7,800億美元，其中，美國軍品採購高達990億美元規模，有超過4億個零組件的需求，由30萬家供應鏈業者提供。假若臺灣的製造業者，可以轉型成符合美國國防部規範的國防製造業，不僅訂單穩定、利潤增加，也有助於提升臺灣的防衛能力。</p> <p>預估美國接受CMMC規範要求的供應商數量達30萬家，其中有許多日、韓業者，為什麼優秀的臺灣製造業者，不能成為美國供應鏈的一環呢？萬幼筠表示，美國國防供應鏈商機並不能單純視為電機、電子業者的商機，因為只要在中國設廠的製造業者，都不符合美國對國防供應商的規範。</p> <p>以日本而言，他們在2018年引進符合美國NIST SP 800-171規範，從軍購合約的採購限制規範、服務內容，零組件SBOM、採購辦法、系統軍武安全等，都必須符合SP 800-171第一級的規範，當時已經有700家業者做完第一級。</p> <p>防衛裝備廳調查，符合啟動CMMC驗證預備活動的國防產業業者約為300家，包含主要的三菱重工、鈴木重工，日本希望以大廠帶小廠的方式，預計加入日本輸美國防供應商業者達7000家，市場規模達美金180億。</p> <p>南韓則是在2019年，由國防採辦計畫管理局（DAPA）引進CMMC，建立韓國版國防技術保護成熟度模型認證：K-CMMC；其中，系統性推廣計畫的研究項目之一，就是預計由DAPA成立國防工業振興機構（Defense Industry Promotion Agency），目前已有70家韓國主要國防供應商加入建置CMMC，包含大型主要供應商4家；中小型出口110家（其中70家已經2020年前訓練完畢）；支援性廠商2,600家（非出口）。</p> <p>由於韓國計畫成為全世界第四大武器供應國，希望將韓國國防工業成為戰略工業化和國防強國，符合美國CMMC規範、推動韓版K-CMMC只是韓國擴大國防商機的第一步。</p> <p>面對上述日韓等國的大規模投入，臺灣同樣需要積極爭取，然而，我們推動CMMC的作為，以及相關的推動單位在哪裡呢？</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 18px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154533" target="_blank"> </a></span></strong></span></span><span style="font-size: 18px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154533" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span> <a href="https://www.ithome.com.tw/article/154533" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1106-feng_mian_gu_shi_open-yan_fen_-960x420_kao_bei_.jpg?itok=jPRCcQ0Y" style="width: 550px;" /></a></p> </div></div></div>
2022/12/5 00:00作者黃彥棻https://www.ithome.com.tw/news/154530
【打造可信賴的供應鏈架構】美國推動CMMC認證是以國防採購為核心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美臺商會日前釋出，美方有意與臺灣聯合武器生產的消息，不管是由美方提供技術、在臺灣製造；或者是在臺灣生產零組件、在美國製造兩種方式，相關的國防武器製造，都涉及國防機密資訊的保護、國防產業供應鏈安全以及國家安全等複雜層面，要如何確保相關的安全性，臺美雙方就必須要打造一個可以信賴的供應鏈架構。</p> <p>由於國防採購的第一線承包商，因為負責相關的武器研發、設計、開發與部署等重要機密，而承包商的下級分包商因為生產製造的需求，經常是分散在全球各地，但面對各個國家對於網路安全有不同的規範，規模較小的分包商也常常會因為不願意或無法支付高額的資安投資，成為駭客鎖定攻擊的目標，並造成許多機敏資料外洩。</p> <p>面對「信任」的議題，不論資訊安全、供應鏈安全甚至是國家安全，都非常重要，如何做到信任，有許多法規面、制度面和程序面的作法必須落實。</p> <p>其中，攸關臺灣國家防衛能力、臺美國防產業供應鏈安全等議題，國防部智庫─國防安全研究院網路安全與決策推演研究所所長唐從文認為，美國國防部於2021年11月推出的網路安全成熟度模型認證CMMC 2.0版草案，因為符合美國國防部對於供應商的資安規範NIST SP 800-171和SP 800-172，引進並符合CMMC相關的規範，是臺灣包括國防產業等，值得努力和參與的方向。</p> <p>不過，CMMC包含了自我評鑑、分級、輔導、訓練、認證及採購模式等等，牽涉層面廣泛，他也說，臺灣若要推動，可以參考其他國家的施行經驗，進一步結合行政、立法、產業、學術等各單位同步進行。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%962-%E5%B0%81%E9%9D%A2P4P5-CMMC.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>國防安全研究院網路安全與決策推演研究所所長唐從文表示，若要推動網路安全成熟度模型認證CMMC，可參考其他國家經驗，結合行政、立法、產業、學術等單位進行。</strong></span></p> <p><span style="font-size:28px;"><strong>國防產業供應鏈駭客攻擊不斷，小包商成鎖定對象</strong></span></p> <p>資安圈最常提到的木桶理論講的是說，最脆弱的環節由最短的木板決定，同樣的例證更是舉目可見。</p> <p>美國國防部到國土安全部號稱是世界上最安全的單位，但駭客依舊可以鎖定標的，多次入侵相關的機敏系統或重要關鍵基礎設施的工控系統等，像是在2018年美國海軍承包商遭駭客入侵，致使美國潛艦所使用的超音速反艦飛彈之研發細節外洩；同年10月，駭客透過入侵外包商系統，借道進入國防部網路，造成有3萬名員工的資料遭到外洩。</p> <p>這些受到駭客攻擊的對象，有許多都是執行國防部專案合約的第二、三線中小型分包商，當然也有少數的第一線、大型的主要承包商遭駭。整體而言，遭駭的中小型分包商業者較多，因為缺乏完善的資安防護能力，也成為駭客攻擊主要標的。這也讓美國國防部意識到，若要確保國防機敏資料的安全性，不能只重視主要承包商的安全作為，更必須關注許多分包商的資安作為，才能做到真正的機敏資料不外洩。</p> <p>不過，美國供應鏈的市場發展作為是什麼呢？政治大學兼任助理教授萬幼筠表示，可以從六項外部因素來看，包括印太戰略中的地緣政治競爭；經濟犯罪防治；網路安全威脅；製造長鏈帶來的信賴挑戰；國防採購政策程序，以及打造符合美國利益中心的可信賴（Trustworthy）架構。</p> <p>為什麼這麼多人重視CMMC呢？萬幼筠表示，主要是因為供應鏈安全已經是未來地緣政治、經濟發展的主要議題，而以美國為主的生產盟邦，包括準北約關係在內，則涵蓋英國、澳洲、紐西蘭、韓國和日本等國家。</p> <p>也就是說，美國想要建立可相互信賴的西方國家系統，除了傳統的北約盟邦，也要結合非北約的親近盟邦勢力，共同對抗黑暗勢力。萬幼筠說：「美國要打造的供應鏈安全，包括傳統的國家安全、軍事安全，以及經濟競爭。」</p> <p>經歷香港的反送中運動後，美國川普政府就下令攔截並禁用中國華為製造的5G設備和基地臺，之後美國就公布一份5G乾淨網路名單，這也是美國從確保供應鏈安全角度所實施的第一項措施。</p> <p>美國作為臺灣最重要的合作夥伴，在針對供應鏈的安全議題上，如何打造可信賴架構是重要的關鍵，這個架構的重點在於：針對自由世界的國家，創造一個自由競爭但不傷害美國的內容。</p> <p>所以，美國在2019年提出一項計畫，稱之為「網路安全成熟度模型認證」（Cybersecurity Maturity Model Certification，CMMC），這是第一個針對國防產業供應商所制定的網路安全標準，其目的是讓國防承包商和分包商符合相關的認證級別後，才能進入美國國防供應鏈並承包其業務。</p> <p>簡單來說，美國國防部將開始要求國防部的承包商，必須具備網路安全認證，並需依據專案的機密性，取得不同等級的認證，而且，其內容不只規範一線供應商（承包商），也將涵蓋二線等供應商（分包商）。</p> <p><span style="font-size:28px;"><strong>CMMC是一個以國防採購合約管理為核心的供應鏈規範</strong></span></p> <p>面對外界對CMMC的各種不理解，萬幼筠表示，只有真正意識到CMMC不是單純的資安認證，而是基於美國國防採購合約管理（DFARS）開始的認證機制，才能夠真正掌握到CMMC的精髓。</p> <p>也就是說，CMMC的推出是為了解決國防採購合約過程中，供應商可能面對的各種資安威脅所造成的損失，雖然也是一種資安相關的認證，但並不是一個以資安為核心的認證機制。</p> <p>CMMC不只有資安，更必須符合DFARS美國國防採購的規範，像是武器採購的上游是洛克希德馬丁公司，但中、下游供應鏈業者也必須同步納管，絕對不能有中、港、澳的業者參與。</p> <p>所以，法源參考依據是白宮行政命令第14017號、14028號為核心，也必須滿足美國政府-政府與CI（關鍵基礎設施）的資安策略架構NIST CSF 1.0以及NIST CSF 2.0框架；甲方（客戶端／採購端）必須符合NIST SP 800-161規範，以及乙方（供應商端）必須符合NIST SP 800－17X規範。</p> <p>萬幼筠表示，NIST SP 800–171是規範第一級業者使用的標準；但若是臺灣漢翔航空公司的機件，若有機會輸出的，產線可能是第二級或第三級，就要做到NIST SP 800–172或NIST SP 800–172A的規範。其中，SP 800–171是基礎，之後還要做到更合乎採購規範安全，也會因應不同商務需求制定不同安全強度與不同安全規格。</p> <p>國防部採購供應局（OUSDA&S）是CMMC的主責單位，並以國防聯邦採購補充條例（DFARS）開始進行，適用對象包括DIB和OSC等全美30萬家國防契約供應商及其全球供應鏈業者。萬幼筠表示，OSC是指想要進美國供應鏈的企業，即便和美國國防部還沒有生意往來也沒關係，但一旦加入認證體制後，就會變成DIB（美國國防供應鏈基地），而DIB是有一個清單，美國所有的國防採購都會從清單中的供應商選擇，美國初估三十萬家業者。</p> <p>主要保護的標的包括：聯邦合約資訊（FCI）/受控未分類資訊（CUI）。根據國防聯邦採購補充條例（DFARS）針對「受控非機密資訊」控管，必須符合NIST SP 800-171規範；若需要符合第三級驗證，還必須符合NIST SP 800-172。</p> <p>若進一步解釋聯邦合約資訊（FCI），根據美國聯邦採購條例（FAR）第4.1901節的規定，FCI是由政府合約提供或產生的資訊，包括為政府開發或交付產品的產品或服務的內容，屬於政府不公開的資訊，但不包含政府向公眾提供的資訊。</p> <p>受控未分類資訊（CUI），是指政府或承包商代表政府提供或擁有的資訊，雖然不一定需要保密，但若公開將可能帶來潛在風險的情況下，因為具有機敏性，所以有保密的需求，需要做到限制公開或控制相關的資訊傳播。</p> <p>特別是在國家資訊安全防護的需求之下，這些受控未分類資訊（CUI）需要受到更高層級的保護，像是NIST SP 800-171就是聚焦於CUI的安全標準。</p> <p>由於CMMC是以國防採購合約和核心，對於相關國防採購合約驗證等級的認定，都必須由美國國防部國防採購合約管理局（DCMA）釋出；若要對於CUI的範圍認定，除了由國防供應鏈廠商界定自己產出資訊，其餘多由採購合約甲方（國防採購合約管理局）界定。</p> <p>至於商機的部份，主要包含相關的認驗證以及課程推動，其中，認證管理機關CMMC-AB改為Cyber-AB；也打造類似臺灣驗證公司可以參與的生態系，也有獨立評鑑機關（C3PAO），可以提供年度自評；年度自評與第三方評估（驗證）；以及政府主導評估（查驗）等。</p> <p>萬幼筠表示，國防部已評估符合甲方規範的NIST SP 800-171，未來可參考日本及韓國的作法，擴大臺灣參與CMMC的業者數量，他說：「供應鏈資安是未來三年，全世界最熱門的規範。」</p> <p>CMMC是美國國防供應鏈安全的重要參考規範，以往美國國防部在進行機敏系統分類管理委外時，比較偏重單一供應商所提供的人員和系統安全性，但現在更著重上下游供應商（Supply Chain）提供資訊服務與生態圈。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%961-%E5%B0%81%E9%9D%A2P4P5-CMMC.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>CMMC的推出是為了解決國防採購合約過程中，供應商可能面對各種資安威脅造成的損失，雖然也是一種資安認證，但並不是以資安為核心的認證，更必須符合DFARS美國國防採購的規範。</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%963-%E5%B0%81%E9%9D%A2P4P5-CMMC(1).jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>政大兼任助理教授萬幼筠表示，CMMC不是一個單純的資安認證，只有清楚這是個基於美國國防採購合約管理（DFARS）開始的認證機制，才能夠真正掌握到精髓。</strong></span></p> <p><span style="font-size:28px;"><strong>CMMC發展歷程及演進</strong></span></p> <p>美國在川普政府任內，於2020年1月公布CMMC 1.0版，要求所有與國防部承包商或分包商都共同遵守相關規範；到了2020第四季，在試運行CMMC 1.0版後，依等級參照CMMC特有的實作指引，針對原先的第一至五級，提供最多包含171項實作指引。</p> <p>但是，到了2021年11月，美國國防部發佈CMMC 2.0版草案，目的就是要將原先五級的認證等級，進一步簡化等級為第一級～第三級，實作指引改以NIST 800-171和NIST 800-172做為參照依據。</p> <p>在草案發展過程中，相關規範也持續進展，唐從文表示，網路安全成熟度模型認證2.0（CMMC 2.0）草案，從第一級為基礎防護級（Foundational），第二級為進階防護級（Advanced），第三級為專家防護級（Expert），在今年十月後，三級認證則直接以三個等級區分，並不定義基礎、進階或專家防護；在此同時，CMMC的規範內容也與NIST標準保持一致。</p> <p>預計到2023年3至5月，將停止試運行計畫，直接進入立法程序，並直接實施CMMC 2.0制度；預計2026年第三至第四季，也就是2026年財年，CMMC納入國防部採購案的強制性要求。</p> <p>唐從文表示， CMMC 2.0草案的價值在於，可做到保護敏感資訊，可為作戰人員提供支持和保護；透過針對DIB（國防工業基地）提供網路安全標準，可以應對不斷變化的資安威脅；確保問責制，同時最大限度地減少相關業者遵守國防部規定的障礙；可進一步延續網路安全和網路彈性的協作文化；並能通過高專業和道德標準維護公眾信任。</p> <p>針對推廣CMMC 2.0以及對臺灣國防產業的觀察與建議，唐從文表示，國防工業基礎的網路安全是國防供應鏈的骨幹與樞紐；CMMC未來的發展將會對國防產業結構造成改變；必須從國防產業的角度出發，建立符合現況與國情的國防產業協調機制；規劃臺灣專有的資安防護整體供應鏈，並要適當調修法規；可以參考美軍合約管理精神，建立相對合約管理單位，減少非密資料揭露；最後，建置必要的供應鏈風險管理系統，由於CMMC 還在發展中，並不是單純滿足NIST 800-171和NIST 800-172的規範就可以取代。</p> <p>臺灣製造產業多屬中小型企業，具有精、巧、強的特色，多年來在產業自我的努力下，舉凡在加工技術、零組件製造、關鍵元件開發及化工應用等方面，已經有許多成功的案例進入美國國防供應鏈體系，像是千附精密公司2017年和洛克希德馬丁公司合作，該公司總經理賴明村表示，先前已經通過第一版CMMC的認證，希望在新版的規範中，可以取得第二級認證，最終版本還沒有確定，前段過程中，從訓練課程到顧問稽核驗證等，路還很長，還需要很多單位包括政府的支持。</p> <p>千附精密身為臺灣早期就投入取得CMMC認證的企業，賴明村坦言，剛開始是因為有來自客戶的壓力，但後來透過全公司管理階層全心投入，加上客戶端的稽核，以及內部軟硬體建置，人員教育訓練等，他說，管理階層的決心才是順利取得認證的關鍵。</p> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>CMMC 2.0模型架構與評估要求</strong></span></span></p> <p><strong>CMMC 2.0版草案從原先五級簡化為三級，將相關的做法與NIST 800-171和NIST 800-172標準規範達到一致，保護的標的則以聯邦合約資訊（FCI）與受控未分類資訊（CUI）為主。從今年十月開始，也取消原先第一級至第三級界定的基礎、進階到專家的定義。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%964(%E4%B8%8A)-%E5%B0%81%E9%9D%A2P4P5-CMMC.png" style="width: 591px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%964(%E4%B8%8B)-%E5%B0%81%E9%9D%A2P4P5-CMMC-2.png" style="width: 600px;" /></p> <p><span style="color:#FFFFFF;"><span style="font-size:18px;"><strong><span style="background-color:#3399ff;"><a href="https://www.ithome.com.tw/article/154533" target="_blank"> </a></span></strong></span></span><span style="font-size:18px;"><strong><span style="background-color:#3399ff;"><a href="https://www.ithome.com.tw/article/154533" target="_blank"><span style="color:#FFFFFF;">相關報導</span></a><span style="color:#FFFFFF;"> </span></span></strong></span> <a href="https://www.ithome.com.tw/article/154533" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1106-feng_mian_gu_shi_open-yan_fen_-960x420_kao_bei_.jpg?itok=jPRCcQ0Y" style="width: 550px;" /></a></p> </div></div></div>
2022/12/5 00:00作者黃彥棻https://www.ithome.com.tw/news/154532
千億國防產值，CMMC規範成唯一入場券
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1106-feng_mian_gu_shi_open-yan_fen_-960x420_kao_bei_.jpg?itok=jPRCcQ0Y" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應國際局勢變化，美國思考要與臺灣聯合生產武器，國防產值初估破千億，但如何保護機敏軍事武器資料是關鍵。美國國防部推出網路安全成熟度模型認證（CMMC）2.0版草案，是以國防採購為核心，確保所有資訊流的安全性，預計2023年3月～5月推出正式版。臺灣包括電機電子和國防業者若想分食國防產業大餅，取得美國CMMC 2.0規範成唯一正解。</p> <p> </p> </div></div></div>
2022/12/5 00:00作者黃彥棻https://www.ithome.com.tw/article/154533
何謂軟體工程？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/wang_ye_960zhu_tu_-itshu_zhai_-googlede_ruan_ti_gong_cheng_zhi_dao_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>我們在程式設計（programming）與軟體工程（software engineering）之間看到三個關鍵區別：<strong>時間</strong>、<strong>規模</strong>以及<strong>權衡</strong>。</p> <p>在軟體專案中，工程師需要更加注意時間的流逝以及最終的需求變更。</p> <p>在軟體工程組織中，我們需要更加關注規模（scale）和效率（efficiency），無論是對我們生產的軟體，還是對生產軟體的組織。</p> <p>最後，做為軟體工程師，我們被要求做出更複雜的決策，其結果風險更大，因為這往往是基於對時間和成長不精確的估計。</p> <p>在Google內部，我們有時會說：「軟體工程是隨著時間的推移不斷整合的程式設計。」程式設計無疑是軟體工程的重要部分：畢竟，程式設計是你首先產生新軟體的方式。如果你接受這種區別，那麼顯然，我們可能需要在程式設計任務（開發）和軟體工程任務（開發、修改、維護）之間進行劃分。時間的加入，為程式設計添加了一個重要的維度。正如立方體不是正方形，距離不是速度。軟體工程不是程式設計。</p> <p>觀察時間對程式之影響的一種方法是，思考這樣一個問題：「你的程式碼的預期壽命（life span）是多久？」這個問題的各個合理答案大約可以相差到10萬倍。程式碼存活幾分鐘是合理的，存活幾十年的程式碼一樣是合理的。一般來說，位於該光譜短端（short end）的程式碼將不受時間的影響。對於效用只有一個小時的程式，你不太可能需要去適應（adapt）其背後之程式庫（library）、作業系統（OS）、硬體或程式語言的新版本。這些短命（short-lived）的系統實際上「只是」一個程式設計問題，就像是立方體在一個維度上被壓縮得很厲害時就成為正方形一樣。當我們把時間擴大到允許更長的壽命時，變化就會變得更為重要。在十年或更多的時間裡，大多數程式的依賴關係（dependency），無論是隱性的還是顯性的，都可能發生變化。這種認識是我們區分軟體工程和程式設計的根源。</p> <p>這種區別是我們所謂的軟體的「可持續性」（sustainability）之核心。如果在你的軟體的預期壽命內，你能夠出於技術（technical）或業務（business）的原因，對任何有價值的變化做出反應，則你的專案是「可持續的」（sustainable）。重要的是，我們只看重能力──你可能選擇不進行某項升級，無論是因為缺乏價值，還是因為其他優先事項。當你完全無法對底層技術或產品方向做出反應時，你就是在下一個高風險的賭注，希望這種變化永遠不會成為關鍵。對於短期的專案來說，這可能是一個安全的賭注。但是在幾十年的時間裡，這可能並不安全。</p> <p>另一種看待軟體工程的方法是考慮規模（scale）。涉及多少人？隨著時間的推移，他們在開發和維護中扮演什麼角色？程式設計任務通常是個人創造的行為，但是軟體工程任務是團隊的工作。早期定義軟體工程的嘗試為此觀點提供了一個很好的定義：『多人開發的多版本程式』（The multiperson development of multiversion programs）。這說明了軟體工程與程式設計的區別是時間與人員的區別。團隊協作帶來了新的問題，但也提供了比任何單個程式員更多的潛力來營運有價值的系統。</p> <p>團隊組織、專案組成以及軟體專案的政策和實施方法都主導著軟體工程複雜性這一方面。這些問題是規模固有的：隨著組織的成長和專案的擴展，它在生產軟體方面是否會變得更有效率？我們的開發流程是隨著我們的成長變得更有效率，還是我們的版本控制政策和測試策略會按比例增加我們的成本？從軟體工程早期開始，人們就一直在討論關於溝通（communication）和人員擴展（human scaling）的規模問題（scale issues），這可追朔到《人月神話》（Mythical Man Month）。這樣的規模問題通常是政策問題，也是軟體可持續發展的根本問題：重複進行我們需要做的事情，成本有多少？</p> <p>我們也可以說，軟體工程與程式設計的不同之處在於需要做出決策的複雜性及其利害關係。在軟體工程中，我們經常被迫在多條前進道路之間做權衡，有時風險很大，有時價值指標（value metrics）並不完善。軟體工程師或軟體工程領導者的工作目標是實現組織、產品和開發工作流程的可持續性（sustainability）和擴展成本（scaling costs）管理。考慮到這些問題，評估你的權衡並做出合理的決定。</p> <p>我們有時可能會推延維護方面的變更，或甚至會接受那些擴展性不好的政策，因為我們知道，我們將需要重新審視這些決策。這些選擇應該明確和清楚地說明推延的成本。</p> <p>在軟體工程中，很少有一個萬能的（one-size-fits-all）解決方案，本書也是如此。對於「軟體的使用壽命是多久」，合理的答案是100,000（十萬）的因數；對於「你的組織中有多少工程師」的範圍，可能是10,000（一萬）的因數；而對於「你的專案有多少運算資源可用」，誰知道是多少呢；Google的經驗可能與你的經驗不符。</p> <p>在本書中，我們的目的是介紹我們在軟體建構和維護中發現的行之有效的方法，我們預期這些軟體能夠持續數十年，擁有數以萬計的工程師，以及跨越世界的運算資源。我們發現，在這種規模下，大多數必要的實施方法也適用於較小規模的工作：考慮到這是一份關於工程生態系統（engineering ecosystem）的報告，我們認為隨著規模的擴大，這種生態系統可能會有不錯的效果。在某些地方，超大的規模是有固定的成本，因此如果不用支付額外的費用，我們會很樂意的。我們將此視為一個警訊。</p> <p>希望如果你的組織發展到需要擔心這些成本的程度時，你可以找到一個更好的答案。</p> <p><span style="font-size:28px;"><strong>海勒姆法則</strong></span></p> <p>如果你要維護供其他工程師使用的專案，那麼關於「它是有效的」與「它是可維護的」的最重要教訓是所謂的海勒姆法則（Hyrum's Law）：</p> <p><span style="color:#B22222;"><span style="font-size:18px;"><strong>如果有足夠的API用戶，那麼你在契約中的承諾就無關緊要：你的系統所有可觀察到的行為都會被某個人所依賴。</strong></span></span></p> <p>根據我們的經驗，這個原則（axiom）是任何關於軟體隨時間變化之討論中的主導因素（dominant factor）。從概念上講，它類似於熵（entropy）：在討論隨時間變化和維持時，必須注意到海勒姆法則，正如討論效率和熱力學時，必須注意到熵一樣。僅僅因為熵永遠不會減少，並不意味著，我們不應該嘗試提高效率。僅僅因維護軟體時適用海勒姆法則，並不意味著，我們不能未雨綢繆或者不能更好地瞭解它。儘管我們可以減輕它的影響，但我們知道，它永遠無法根除。</p> <p>海勒姆法則代表了這樣的實務知識（practical knowledge）：即使有最好的意圖、最好的工程師以及程式碼審查（code review）方法，我們也不能假設你會完全遵守已發布的契約或可靠的最佳實施方法（best practices）。做為一個API擁有者，你可以透過清楚瞭解介面承諾來獲得一定的靈活性和自由度，但實際上，一個給定之變更的複雜性和困難度還取決於用戶發現API的某些可觀察到之行為的有用程度。如果用戶不能倚賴這樣的東西，你的API將很容易變更。如果有足夠的時間和足夠的用戶，那麼即使是無害的變更也會破壞一些東西；你對這些變更的價值分析必須將調查、確定和解決這些問題的困難度納入其中。<span style="color:#696969;"><strong>（本文摘錄整理自《Google的軟體工程之道》第一章，碁峰資訊提供）</strong></span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%96-IT%E6%9B%B8%E6%91%98-Google%E7%9A%84%E8%BB%9F%E9%AB%94%E5%B7%A5%E7%A8%8B%E4%B9%8B%E9%81%93.png" style="width: 300px;" /></strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span></strong></span> <span style="color:#3399ff;"><strong>Google的軟體工程之道：從程式設計經驗中吸取教訓</strong></span></p> <p>Titus Winters, Tom Manshreck, Hyrum Wright／著；蔣大偉／譯</p> <p>歐萊禮出版</p> <p>定價：880元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_Google%E8%BB%9F%E9%AB%94%E5%B7%A5%E7%A8%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Titus%20Winters.png" style="width: 150px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Titus Winters</span></span><br /> <strong>Titus Winters</strong><br /> Titus Winters是Google高級軟體工程師。他是Google C++程式碼基底的程式庫負責人：每月有數千名不同的工程師編輯2.5億列的程式碼。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_Google%E8%BB%9F%E9%AB%94%E5%B7%A5%E7%A8%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Tom%20Manshreck.png" style="width: 150px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Tom Manshreck</span></span><br /> <strong>Tom Manshreck</strong><br /> Tom Manshreck是Google軟體工程部技術作家。他是C++程式庫團隊的成員，負責開發文件、開設培訓課程，以及記錄Google的開源C++程式碼Abseil。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_Google%E8%BB%9F%E9%AB%94%E5%B7%A5%E7%A8%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Hyrum%20Wright.png" style="width: 133px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Hyrum Wright</span></span><br /> <strong>Hyrum Wright</strong><br /> Hyrum Wright是Google軟體工程師，負責領導Google的auton自動變更工具組。Hyrum對Google之程式碼基底進行的個人編輯比公司歷史上任何其他工程師都多。</p> </div></div></div>
2022/12/4 00:00未署名https://www.ithome.com.tw/article/154529
德國認定學校使用Microsoft 365違法，微軟反駁
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://datenschutzkonferenz-online.de/media/dskb/2022_24_11_festlegung_MS365_zusammenfassung.pdf" target="_blank">德國資料保護組織DSK上周發布報告指出</a>，微軟的Microsoft 365依然違反歐盟《通用資料保護規則》（GDPR）隱私法令，因此不適用於德國的公家機關與學校，<a href="https://news.microsoft.com/de-de/microsoft-erfuellt-und-uebertrifft-europaeische-datenschutzgesetze/" target="_blank">而微軟隨後提出反駁</a>，指出微軟符合、甚至超越歐盟的隱私法令。</p> <p>這兩年來，DSK持續與微軟合作，共同解決Microsoft 365在歐盟可能面臨的法律問題，特別是與隱私有關的GDPR法令，但現在DSK依然認為Microsoft 365與法不容。</p> <p>DSK主要調查微軟服務所蒐集與使用的用戶資料，指出微軟並未揭露操作細節，也未公開哪些操作是替客戶執行，而哪些又是因應自身目的而採用，由於缺乏透明度，使得監管機關無法從外部準確評估微軟所蒐集的資料；亦說Microsoft 365中的許多服務要求微軟存取未加密的非匿名資料。</p> <p>另一方面，微軟與DSK的看法截然不同，認為Microsoft 365不僅符合、而且經常超越歐盟嚴苛資料保護法令的要求，不管是德國或整個歐盟的客戶都可毫不遲疑地以合法及安全的方式繼續使用Microsoft 365。</p> <p><a href="https://news.microsoft.com/wp-content/uploads/prod/sites/40/2022/11/2022.11_Stellungnahme-MS-zu-DSK_25NOV2022_FINAL.pdf" target="_blank">微軟指出</a>，微軟不僅已依照DSK的建議改善了資料處理協議，提供透明化且詳細的報告，且歐盟大多數的客戶資料都存放在歐盟的資料中心，其資料疆界很快就要從公家機關延伸到私人企業，大幅減少流出歐盟的資料。</p> <p>外電分析，雙方最大的歧見應該是源自於13歲以下的使用者，因為GDPR認為該年齡層的使用者並不具備可同意資料蒐集的能力，但受到學校歡迎的Microsoft 365並未滿足此一規定。</p> </div></div></div>
2022/12/2 21:20作者陳曉莉https://www.ithome.com.tw/news/154545
Android記憶體安全漏洞數量大幅下降，Rust程式碼比例上升成關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去十年，記憶體漏洞占整個產業漏洞的65％，但<a href="https://security.googleblog.com/2022/12/memory-safe-languages-in-android-13.html">Google</a>發現從2019年到2022年，Android的記憶體漏洞年度總數，從223個下降到了85個，而有這項安全性進展，Google歸因於Android的記憶體安全程式碼比例增加。</p> <p>Google過去持續投資工具提高C/C++程式碼的安全性，之前幾個版本，Google在Android裝置上引入Scudo強化分配器、HWASAN、GWP-ASAN以及KFENCE，同時增加現有程式碼庫模糊測試的覆蓋率，運用這些工具發現更多C/C++程式碼漏洞，並減少未來新程式碼所包含的漏洞。</p> <p>但即便Google在C/C++程式碼上做了這些努力，但他們認為這仍無法解釋Android漏洞巨幅減少的變化，而Google在審視開發策略後，認為Android從記憶體不安全語言持續轉移到記憶體安全語言，是這個現象的主要原因。</p> <p>從Android 12開始，Google就在Android支援Rust程式語言，作為C/C++記憶體安全替代方案，而從那時起，Google也持續擴展Android開源專案（AOSP）中的Rust體驗和使用。Google表示，他們的目標並不是把現有的C/C++程式碼都轉換成為Rust，而是在新的程式碼使用記憶體安全語言開發。</p> <p>在Android 13中，有約21％的新原生碼都是以Rust開發，在AOSP中已經有大約150萬行的Rust程式碼，涵蓋各種功能和元件，包括Keystore2、UWB堆疊、DNS-over-HTTP3、Android虛擬化框架等元件和開源相依項目。這些都是需要系統語言開發的低階元件，如果沒有Rust，Google就必須使用C++來實作。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%202022-11-30%2011_13_29%20PM.png" style="width: 580px; height: 316px;" /></p> <p>到目前為止，在Android的Rust程式碼中發現的記憶體漏洞為零，Google提到，這是一個重要發現，因為過去Android漏洞密度大於1/kLOC，也就是說，每一千行程式碼至少會發現一個漏洞，與歷史資料相比，Rust可能已經阻擋數百個漏洞進入產品環境。</p> <p>使用C/C++開發的功能不如預想中的運作迅速，Google提到，使用非記憶體安全語言，反而需要額外添加安全措施，而這些措施會讓程式執行的速度更慢。非記憶體安全的程式碼通常意味著開發者必須在安全性和效能之間權衡，像是添加沙盒、執行時緩解措施或是硬體保護等，都對程式碼的大小、記憶體和效能產生負面影響。</p> <p>Google提到，在Android中使用Rust，能以更少的妥協最佳化安全性和系統健康。像是使用新的UWB堆疊能夠節省數MB的記憶體，並以現存的程序中執行避免IPC延遲，又或是新的DNS-over-HTTP3實作，能夠以安全的方法，使用更少的執行緒處理相同的工作量。</p> <p>要從C/C++移植到Rust並不是一件簡單的事，Google持續增加Rust在Android平臺上的使用，為了實現更高的安全性和穩定性等目標，Google需要在更多原生碼中使用Rust，目前他們正在以Rust實作使用者空間HAL，並且已經將Android虛擬化框架中的虛擬機器韌體移植到Rust，也隨著Linux 6.1對Rust的支援，便能夠從核心驅動程式開始，對核心提供記憶體安全。</p> </div></div></div>
2022/12/2 21:26作者李建興https://www.ithome.com.tw/news/154539
AWS發布統一軟體開發服務CodeCatalyst，簡化專案創建、維護和協作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS針對開發團隊推出了統一軟體開發和交付服務<a href="https://aws.amazon.com/tw/blogs/aws/announcing-amazon-codecatalyst-preview-a-unified-software-development-service/">Amazon CodeCatalyst</a>，這讓開發團隊可以輕鬆地規畫、開發、協作、建置和交付應用程式，減少開發生命周期的摩擦。</p> <p>當一項新專案啟動時，有許多決定與工作需要執行，這通常是一個繁瑣的過程，開發團隊需要更新環境工具、函式庫和程式開發框架，並且設置程式碼儲存庫與共享工具，還需要配置建構工作管線和自動化工作流程，甚至是創建測試環境等。需要解決的問題不只這些，開發團隊還需要解決專案中的上下文切換和相依關係衝突等問題。</p> <p>AWS提到，這些開發長久以來存在的問題，到了現代化開發變得更加複雜，因為需要選擇和配置更多的框架和函式庫，還需要將雲端服務、持續整合和交付工作管線等選擇納入考量，原本開發人員可以在一臺機器管理的東西，成為了龐大且複雜，需要不停變動的決策和權衡。</p> <p>AWS開發Amazon CodeCatalyst試圖解決這些問題，CodeCatalyst中的專案藍圖（Project Blueprints），不只可以替專案建構初始程式碼，透過參數化應用程式藍圖，用戶可以在數分鐘內設置共享資源，來支援應用程式開發周期和團隊協作。專案藍圖所創建的資源包含程式碼儲存庫、完整的範例程式碼，和熱門應用程式模式的AWS服務配置等，在預設情況下，專案藍圖會遵循AWS最佳實踐。</p> <p>專案藍圖會配置專案資源和整合工具，像是CI/CD工作管線和AWS資源來託管應用程式，用戶按下部署按鈕，在幾分鐘內就可以執行範例程式碼，並直接開始編寫特定業務邏輯程式碼。目前用戶可以選擇的程式語言有Typescript、Python、Java、.NET、Javascript，以及React、Angular和Vue開發框架，之後AWS還會逐漸增加可選項目。</p> <p>CodeCatalyst利用devfile來定義雲端按需開發環境配置，AWS提到，這能解決開發團隊常遇到的環境飄移問題，避免像是開發成員環境與其他人不一致，或是測試環境略有不同等狀況。CodeCatalyst目前支援四個可調整大小的執行個體選項，分別是2、4、8或16個vCPU，devfile定義和配置特定專案的程式開發、測試和除錯需要的資源，減少開發團隊花費在創建和維護環境的時間。</p> <p>用戶可以選擇在CodeCatalyst提供的雲端開發環境AWS Cloud9開始工作，或是在本地端電腦上使用JetBrains IntelliJ IDEA Ultimate、PyCharm Pro、GoLand和Visual Studio Code等IDE。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/codecatalyst_intellij.png" style="width: 580px;" /></p> <p>Amazon CodeCatalyst作為統一軟體開發服務，目標不只是讓開發人員更簡單地在AWS上建置和交付應用程式，還讓各級開發人員能夠共享專案空間，在唯一事實來源進行協作，用戶可以透過電子郵件邀請開發人員加入協作，受邀者能夠看到完整的專案上下文，並使用專案開發環境立刻開始工作，不再需要花費時間準備工具、函式庫和各種前置作業。</p> </div></div></div>
2022/12/2 21:34作者李建興https://www.ithome.com.tw/news/154540
國泰醫院打造ICD-10疾病編碼推薦，AUC達0.99已在6科試行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國泰綜合醫院在今年度醫療科技展中，揭露一款ICD-10疾病分類碼推薦AI系統，以2015年至2018年的健保資料庫與國泰醫院內部資料訓練而成，能在醫師填寫出院病摘時，根據病人病歷資訊和DRG健保支付規範，從上萬個ICD-10編碼中推薦最合適的近10項疾病分類碼，供醫師選擇。目前，該系統的分類效能指標AUC高達0.99（最佳值為1.0），國泰醫院也已在6個科別試行，將視成效來擴大使用。</p> <p><strong><span style="font-size:24px;">痛點：編碼分類得耗費大量人力和時間成本</span></strong></p> <p>國泰綜合醫院院長室副主任郭明娟是開發這套系統的關鍵人物之一，她指出，一般醫師填寫出院病摘時，也得填寫ICD-10疾病分類碼，而ICD-10是WHO所定義的疾病分類標準，用來描述病人的疾病、症狀、異常等狀況，其中，光ICD-10-CM就有6萬8千個編碼，比前一版版多了5萬5千個，分類難度大增。而醫師因工作繁忙，可能只填寫印象中較熟悉的編碼，但「也許還有更好、更貼切的選擇，」她說。</p> <p>這不只是國泰醫院面臨的問題，而是全臺醫院都會面臨的難題。也因此，一般醫院的做法是，由另一個專門單位，來核對醫師填寫的出院病摘ICD-10編碼。在國泰醫院，這個單位就是疾分人員，他們除了要找出最貼近病歷描述的ICD-10編碼，也得考慮後續申報規定（也就是DRG制度），再來回與醫師溝通，取得共識後再送出資料至健保署。</p> <p>但醫院每天都得處理大量病人，疾分人員還得來回與醫師溝通，這就花費大量人力與時間在確認疾病編碼分類上。</p> <p>於是，為解決問題，國泰醫院在一次因緣際會下，與一家新創公司討論，要開發一套AI模型，來在醫師填寫出院病摘時，就先推薦最適合的編碼，節省後續的人工作業成本、更專注於重大醫療案件。</p> <p><span style="font-size:24px;"><strong>以健保大數據和國泰醫院資料優化模型，2年開發微調、AUC達0.99</strong></span></p> <p>於是，將近2年前，雙方開始開發這套系統。他們先以2015年至2018年的健保資料庫資料，來訓練一套推薦模型，這套模型會根據病歷資料，如病歷（病人特徵、過去病史）和病程記錄（如用藥、手術資料、處置資訊和檢驗檢查等），以及DRG規範，來推薦最適合的ICD-10疾病編碼。</p> <p>不過，光有健保資料還不夠。為了更符合國泰醫院的需求，國泰醫院也將院內去識別化的資料，用來優化模型，來更貼近實務需求。但也由於醫院對資料的保護，疫情間，雙方暫緩對該模型開發，疫情趨緩後才繼續執行。經過不斷的微調和優化，模型AUC最終也達到0.99。</p> <p>在系統使用上，則由國泰醫院資訊部來介接，將模型內嵌至醫療資訊系統（HIS）中，讓醫師在同一個頁面、不必切換系統，就能點擊查看近10項推薦編碼和DRG計算值（如下圖）。若合理，就能點選帶入出院病摘。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%8B%E6%B3%B0%E6%8E%A8%E8%96%A6%E7%A2%BC.JPG" /></p> <p>但醫師要是有疑慮，也可查看自動生成的報告，該報告會解釋AI推薦的編碼，是根據哪些病歷資料產出（如下圖）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%8B%E6%B3%B0%E9%86%AB%E9%99%A2%E5%8E%9F%E5%9B%A0%E8%A7%A3%E9%87%8B.JPG" /></p> <p>若醫師認為推薦編碼都不符合事實，也可回報系統、給出原因，後續再以這些回饋資料重新訓練模型。</p> <p>目前，國泰醫院已在院內6個科別試行這套系統，未來將視成效，來決定是否擴大採用。</p> </div></div></div>
2022/12/2 15:42作者王若樸https://www.ithome.com.tw/news/154537
【資安日報】2022年12月2日，Redis伺服器漏洞遭到惡意軟體Redigo鎖定、刑事局破獲投資詐騙簡訊嫌犯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在專門針對Redis伺服器的攻擊行動裡，駭客看準管理者可能不會盡快安裝漏洞修補程式的情況，而利用2月揭露的重大漏洞CVE-2022-0543來入侵這類系統。但駭客的目的為何？研究人員猜測應該是將其用於挖礦或發動DDoS攻擊。</p> <p>我國簡訊詐騙攻擊頻傳，但攻擊者竟為了增加成功行騙的機率，竟透過人工智慧語音誘使民眾上當。內政部刑事警察局近日破獲投資簡訊的詐騙攻擊，駭客就先針對目標撥打電話，然後透過AI分析後再決定是否向其發送簡訊。</p> <p>提供廣播服務的業者也可能成為駭客入侵汽車的管道！有研究人員發現超過十個廠牌的車輛可被以相同手法遠端存取，經調查後是廣播服務業者的系統存在漏洞所致。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://blog.aquasec.com/redigo-redis-backdoor-malware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Redis伺服器重大漏洞遭到惡意軟體Redigo鎖定</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Picture7-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Picture7-1.png" style="width: 300px; float: right;" /></a>資安業者Aqua Security揭露名為Redigo的惡意軟體，駭客將其用於鎖定今年2月得到修補的漏洞CVE-2022-0543（CVSS風險評分為10分），攻擊曝露此漏洞的Redis伺服器。駭客先是在網路上找尋開放6379埠的Redis伺服器，然後對其掃描是否修補上述漏洞，若發現對方未修補，會下載相關的攻擊模組並部署到這些有弱點的伺服器。</p> <p>研究人員推測，駭客的目標是將這些Redis伺服器加入殭屍網路，然後用於挖礦，或是執行DDoS攻擊，但不排除駭客可能也會竊取資料庫的內容。</p> <h3><a href="https://cybernews.com/security/encsecurity-leaked-sensitive-data/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Sony、Lexar、Sandisk儲存裝置的加密解決方案供應商曝露其配置與憑證超過一年</span></strong></a></h3> <p>根據資安新聞網站Cybernews的報導，他們的研究團隊發現加密解決方案業者ENC Security的伺服器，自2021年5月27日至2022年11月9日，因協力廠商不當設定而暴露在網際網路上超過一年，此伺服器存放了業務部分的SMTP郵件伺服器帳密、市場行銷郵件業者Mailchimps的API金鑰、HMAC訊息驗證碼，以及PEM檔案格式的公、私鑰。由於Sony、Lexar、Sandisk等廠牌在其儲存裝置採用該公司的解決方案，這樣的情況很可能導致上述設備採用的防護措施受到波及。</p> <p>對此，ENC Security表示，上述情形疑似外部供應商的錯誤配置，導致該公司的相關配置與憑證，約波及0.7%用戶，但目前尚未發現相關資料遭到異常存取的跡象。</p> <h3><a href="https://blog.cyble.com/2022/12/01/ducklogs-new-malware-strain-spotted-in-the-wild/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊密軟體DuckLogs以訂閱服務提供，並能選用上百種應用程式的攻擊模組</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-5-DuckLogs-web-panel-dashboard.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-5-DuckLogs-web-panel-dashboard.jpg" style="width: 300px; float: right;" /></a>資安業者Cyble揭露名為DuckLogs的竊密軟體，開發者以訂閱服務的型式提供給買家運用，標榜能竊取上百種應用程式的資料，如瀏覽器、收信軟體、加密貨幣錢包、VPN用戶端軟體等，並能遠端控制受害電腦，以及側錄鍵盤輸入的內容等功能。此外，該竊密軟體亦具備繞過Windows內建防護機制的能力，如：使用者帳號控制（UAC）、Microsoft Defender防毒軟體等。</p> <p>賣家亦提供網頁管理介面供駭客管理竊得的資料，以及自訂所需功能的DuckLogs。該惡意軟體服務宣稱已有超過2千個駭客訂閱，並有6千臺電腦受害。</p> <h3><a href="https://www.welivesecurity.com/2022/11/30/whos-swimming-south-korean-waters-meet-scarcrufts-dolphin/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客組織利用惡意軟體Dolphin發動攻擊，並濫用Google Drive進行遙控</span></strong></a></h3> <p>資安業者ESET揭露北韓駭客組織APT37近期的攻擊行動，鎖定專門報導北韓的南韓報社發動水坑式攻擊。</p> <p>駭客利用名為Bluelight的偵察工具進行情蒐，然後於受害電腦執行Python惡意程式載入器，啟動Dolphin的後門程式，並濫用Google Drive架設C2中繼站，以便進行遠端控制及回傳竊得的資料，駭客亦竄改受害者Google帳號的配置，降低其安全層級。此外，該後門程式不光針對個人電腦而來，企圖透過Windows可攜式裝置（WPD）的API，入侵受害者的手機。</p> <h3><a href="https://www.zimperium.com/blog/schoolyard-bully-trojan-facebook-credential-stealer/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">安卓木馬Schoolyard Bully竊取臉書帳號</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-2-Facebook-Webview-.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-2-Facebook-Webview-.jpg" style="width: 300px; float: right;" /></a>資安業者Zimperium揭露鎖定學生而來的安卓惡意軟體Schoolyard Bully，駭客將此惡意程式包裝成讀書或休閒娛樂的App，橫向71個國家、感染30萬臺手機，但大部分受害者在越南，目的是竊取臉書帳號。</p> <p>研究人員指出，這個惡意軟體會透過WebView元件開啟臉書登入網頁，但在載入網頁的同時注入惡意JavaScript程式碼，一旦使用者輸入帳密資料就有可能遭到截取。為了埋藏攻擊意圖，該惡意軟體也濫用作業系統內建的程式庫來隱匿惡意程式碼，而有可能逃過資安系統的偵測。</p> <h3><a href="https://lookout.com/blog/predatory-loan-apps"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">數百款貸款App鎖定急需用錢的人，從手機竊密並要求高額利息與費用</span></strong></a></h3> <p>資安業者Lookout揭露針對急需貸款的手機用戶攻擊行動，駭客於Google Play市集與蘋果App Store分別上傳了251款、35款借款App，針對印度、哥倫比亞、墨西哥、奈及利亞、泰國、菲律賓、烏干達用戶而來，這些App總共被下載1,500萬次，Google與蘋果獲報後已全數下架。</p> <p>研究人員指出，這些App在使用者安裝後，就會要求能存取通訊錄、撥打電話、讀取照片及影片等權限，否則將無法申請貸款，一旦使用者照做，雖然有可能收到部分核可的款項，但此時駭客會調高貸款利率，或是要求支付額外的手續費，有些受害者則是遇到還款期限從180天變成只有8天，並收取高額利息與罰款；也有受害者面臨駭客將手機內的圖片廣泛發給聯絡人。</p> <h3><a href="https://www.cna.com.tw/news/asoc/202212010236.aspx"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">刑事局破獲投資詐騙簡訊嫌犯，駭客透過AI語音假冒金融業者客服</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/316809621_508602334630687_6317544448481565120_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/316809621_508602334630687_6317544448481565120_n.jpg" style="width: 300px; float: right;" /></a>內政部警政署刑事警察局於12月1日宣布破獲利用AI人工智慧找尋下手目標的詐騙簡訊攻擊。居住於高雄市的40歲黃姓男子、28歲蘇姓男子涉嫌與詐騙集團合作，假冒知名金融控股公司或投顧業者的名義，濫發詐騙簡訊，並使用AI語音假冒投資客服人員，為增加得逞的機率，這些嫌犯先撥打電話並分析攻擊目標的投資意願，再行發送簡訊，引誘投資人加入特定Line群組，至少有40人受害、詐騙金額約1億元。</p> <p>警方指出，黃男光是今年1至8月繳給電信公司的簡訊費用高達1億元，平均每月發出600多萬則。全案訊問後依詐欺罪嫌將黃男等2人移送高雄地檢署偵辦。</p> <h3><a href="https://www.ithome.com.tw/news/154538"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">麗臺證實遭遇勒索軟體攻擊</span></strong></a></h3> <p>12月1日下午，以繪圖卡、工作站等硬體設備聞名的上市公司麗臺科技，在證交所揭露遭遇資安事件，目前受影響系統皆陸續回覆運作，不影響公司生產及營運，而我們也於該公司確認，這次事件是勒索軟體攻擊所導致。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://gizmodo.com/sirius-xm-bug-honda-nissan-acura-hack-1849836987"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">數位廣播服務供應商Sirius XM漏洞成為駭客入侵汽車的管道</span></strong></a></h3> <p>資安研究員Sam Curry揭露可遠端解鎖、發動、存取十餘個廠牌汽車的漏洞，這些汽車的共通點，就是其車載資訊系統採用了Sirius XM衛星廣播服務，來提供用戶各式的談話節目或是播客內容。研究人員指出，該廣播服務廣泛受到Acura、BMW、Honda、Hyundai、Infiniti、Jaguar、Land Rover、Lexus、Nissan、Subaru，以及Toyota等品牌汽車採用，且不光是新車，中古車也有接近半數導入此廣播服務。此漏洞與身分驗證有關，攻擊者一旦得知車輛的識別碼（VIN），就能對汽車上下其手，並有機會得知車主身分。</p> <p>針對這樣的漏洞問題，Sirius XM向科技新聞網站Gizmodo透露，獲報後24小時內已完成修補。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://udn.com/news/story/7321/6803820"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">軟性銅箔基板製造商台虹科技副總涉及竊取營業秘密，並與中國廠商私下談合作</span></span></strong></a></p> <p><a href="https://www.securityweek.com/chrome-108-patches-high-severity-memory-safety-bugs"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google發布Chrome 108，修補高風險記憶體漏洞</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/nvidia-releases-gpu-driver-update-to-fix-29-security-flaws/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Nvidia修補GPU驅動程式29個漏洞</span></span></strong></a></p> <p><a href="https://thehackernews.com/2022/11/french-electricity-provider-fined-for.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">法國電力供應商違反GDPR受罰，起因是採用MD5演算法存放使用者密碼</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/keralty-ransomware-attack-impacts-colombias-health-care-system/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">跨國醫療集團Keralty遭到勒索軟體RansomHouse攻擊，影響哥倫比亞醫院運作</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154480"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">AWS端到端加密企業即時通訊解決方案Wickr正式上線</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154518">【2022年12月1日】駭客組織Lilac Wolverine發動大規模禮物卡攻擊、中國駭客利用USB裝置攻擊菲律賓組織</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154493">【2022年11月30日】駭客透過抖音短片散布竊密程式WASP、未修補已知漏洞的Fortinet資安設備網址清單遭到兜售</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154485">【2022年11月29日】 Dell、HP、聯想設備韌體使用老舊版本的OpenSSL、推特網站漏洞恐有更多資料外流</a></strong></strong></strong></p> </div></div></div>
2022/12/2 17:42作者周峻佑https://www.ithome.com.tw/news/154541
麗臺遭遇勒索軟體攻擊，本週第二起上市公司發布資安事件重大訊息
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣又有電子產業遭遇網路攻擊，在12月1日下午五時左右，國內繪圖卡研發製造廠商麗臺科技（Leadtek）發布公告，說明遭駭客網路攻擊，有內部資訊系統受影響，已啟動備援作業，受影響系統陸續回覆運作。目前麗臺也已經證實，這是事件是遭受勒索軟體攻擊。</p> <p>值得關注的是，由於<a href="https://www.ithome.com.tw/news/154511">11月29日（周二）上市公司雄獅旅遊才發生資安事件</a>，並向消費者提醒慎防詐騙，相隔僅兩天，上市電子周邊製造業者麗臺也公告發生資安事故，等於一週內就有兩起上市公司的資安事件重大訊息發布。</p> <p>關於麗臺科技，該公司屬電腦及週邊設備業，以繪圖卡設計與製造最為知名，該公司產品線亦涵蓋工作站電腦、高速運算伺服器、AI超級電腦與虛擬桌面系統精簡型電腦等，同時也涉及智慧醫療產品研發製造、Big Data解決方案。</p> <p>根據該公司發布的重大訊息內容，資安團隊於第一時間啟動防禦機制及備援作業，並對網路攻擊進行清查，與外部資訊技術專業人員共同合作處理，同時也將所監測到的異常狀況，通報政府相關執法部門。</p> <p>對於這起事件帶來的影響，該公司表示，對生產、銷售與日常營運均無重大影響，同時，受到影響的內部資訊系統，皆已陸續回復運作，後續，他們也將持續檢視並強化現有基礎架構，提升網路安全，以保護資料安全及完整性。</p> <p>整體而言，該公告揭露資訊量有限，但以公告內容來看，很有可能是遭勒索軟體攻擊，因此我們進一步從網路上搜尋是否有資安業者揭露相關資訊，發現<a href="https://www.breachsense.io/breaches/leadtek/">資安業者Breachsense的網站</a>上，持續追蹤並公布勒索軟體受害者名單，當中即在11月28日張貼了一則麗臺成為Play勒索軟體的受害者的消息。</p> <p>對於這次資安事件公告，以及上述在網路上發現的相關資訊，我們在今日下午4時聯繫麗臺以瞭解詳情，該公司發言人楊智昆表示，這次資安事件的確是勒索軟體所導致，系統均已陸續復原，影響不大，也已通報政府單位。較可惜的是，回應中未能確切說明是哪隻勒索軟體，僅表示已經在調查。</p> <h2><strong>2022-12-01 麗臺科技</strong><strong>資安事件小檔案</strong></h2> <table border="0" cellpadding="0" cellspacing="0" style="width: 547px;" width="547"> <tbody> <tr height="24"> <td height="24" style="height: 24px; width: 170px;">網路攻擊事件類型</td> <td style="width: 378px;">公告遭駭客網路攻擊</td> </tr> <tr height="48"> <td height="48" style="height: 48px; width: 170px;">事中應變措施</td> <td style="width: 378px;">公司資安團隊於第一時間啟動防禦機制及備援作業，並與外部資訊技術專業人員共同合作處理，同時將所監測到的異常狀況，通報予政府相關執法部門，並保持密切聯繫。</td> </tr> <tr height="24"> <td height="24" style="height: 24px;">初步調查結果</td> <td style="width: 378px;">目前透露資訊非常有限，未公布影響範圍，被入侵管道。<span style="color:#FF0000;">（這次事件是勒索軟體攻擊導致）</span></td> </tr> <tr height="24"> <td height="24" style="height: 24px; width: 170px;">事件影響範圍</td> <td style="width: 378px;">提及受到影響的內部資訊系統均已陸續回復運作</td> </tr> <tr height="24"> <td height="24" style="height: 24px; width: 170px;">事件對營運的影響</td> <td style="width: 378px;">對營運尚無重大影響</td> </tr> <tr height="24"> <td height="24" style="height: 24px; width: 170px;">事後復原與檢討</td> <td style="width: 378px;">公司持續檢視並強化現有基礎架構，全面提升網路安全，以保護資料安全及完整性。</td> </tr> <tr height="24"> <td height="24" style="height: 24px; width: 170px;">對外公告資安事件</td> <td style="width: 378px;">在12月1日發布於臺灣證券交易所重大訊息</td> </tr> <tr height="24"> <td colspan="2" height="24" style="height: 24px;"> 資料來源：iThome整理，2022年12月(紅字部分為洽詢該公司後得知的資訊)</td> </tr> </tbody> </table> <p> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%961)%E9%9B%84%E7%8D%85%E9%81%AD%E5%8F%97%E7%B6%B2%E8%B7%AF%E9%A7%AD%E5%AE%A2%E6%94%BB%E6%93%8A%E4%BA%8B%E4%BB%B6.jpg" style="width: 600px;" /></p> <p>麗臺科技在12月1日接近下午5時，於臺灣證券交易所發布資安事件重大訊息，說明發生遭受駭客網路攻擊的事件。而我們也向該公司洽詢，他們表示這次事件是勒索軟體攻擊造成。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%961)Play%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%94.jpg" style="width: 600px;" /></p> <p>由於麗臺這次的資安事件，疑似為Play勒索軟體所為，我們也找到資安業者對於該勒索軟體的研究與解析。例如，<a href="https://blog.trendmicro.com.tw/?p=74797">資安業者趨勢科技在今年9月曾發布一份研究報告</a>，就是針對Play勒索軟體的攻擊手法而來，研究中指出Play勒索軟體是在今年6月新出現，而根據他們的分析，Play勒索軟體所使用的攻擊策略，與Hive、Nokoyawa這兩個勒索軟體，有許多相似之處，較特別的是，Play勒索病毒在入侵探索階段會使用AdFind指令列工具，來蒐集公司網域AD的資訊。而從已知的案例來看，該勒索軟體的入侵管道，多是使用已遭入侵的合法帳號、或經由未修補的 Fortinet SSL VPN漏洞，進而入侵受害機構的網路。</p> </div></div></div>
2022/12/2 16:11作者羅正漢https://www.ithome.com.tw/news/154538
全球化轉型與供應鏈韌性
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/wang_ye_960zhu_tu_yin_xing_guan_jun_2.0-tu_pian_lai_yuan_tian_xia_za_zhi_chu_ban_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下雜誌出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>無疑地，全球化為世界帶來了高度繁榮，然而這些好處卻分布地相當不均。《2020年全球化報告》量化了45個國家，從1990年到2018年期間受惠於全球化所增加的財富，以日本為最，累計人均收入為50,044歐元。</p> <p>相較之下，中國才是全球化的贏家。中國因全球化造成的累計收入增加，是該國1990年GDP的8.35倍，印度只有1.74倍。這些數據顯示，美國的確從全球化受惠最少。這或許可以解釋許多美國人對全球貿易的批判態度。</p> <p>儘管全球化帶來了繁榮，但也面臨日益高漲的懷疑聲浪。根據最近一份以經濟學家為對象的調查研究，86％的受訪者認為有必要重新思考全球化。其中一位作者還主張，「要從超級全球化中撤退。」某家銀行的研究也指出：「全球化已經結束。」</p> <p>若你以為這是新冠危機下而倉促做出的結論，恐怕言之過早。一位研究歷史的專家表示：「常有人聲稱，2020年後世界將不復從前，這個說法太過於簡化，完全不是科學觀點。」《金融時報》根據數份研究的評估，最後得出較為簡潔的結論：「全球化之死的報導言過其實。」</p> <p>全球化的未來並不明朗。導致關稅與貿易摩擦大增的美中衝突，是否會進一步加劇，抑或因新條約而緩解，仍懸而未決。針對俄羅斯與伊朗的制裁也一樣。有些自由貿易協定的計畫完全失敗（例如歐盟與美國之間的協議），有些則成敗參半（例如美國退出後的跨太平洋夥伴協定）。話說回來，屬於後者的「區域全面經濟夥伴協定」（RCEP），則有15個環太平洋國家簽署。歐盟與加拿大、歐盟與日本、英國與日本之間都有自由貿易協定。拜登總統上任後優先處理的法案之一，就是推翻前任總統讓美國退出世界貿易組織（WTO）的決定。</p> <p>貿易壁壘是讓具備地區生產能力的全球公司，可能會更有優勢的原因之一，但有時也會造成荒謬的結果。</p> <p>一家在歐洲與中國均設有工廠的隱形冠軍，利用其中國的工廠供應中國與美國市場。自從川普總統開徵更高的關稅，導致中國出口美國的業務沒有利潤之後，該公司別無選擇，只好從歐洲向美國供貨，再以來自中國的進口填補歐洲的供應缺口，導致物流成本大增，所以這家公司又開始在美國打造遲來已久的生產力。</p> <p>另一個例子是，德國爆發非洲豬瘟後，中國禁止德國豬肉與明膠輸入。為此，全球明膠領導者、德國百年大廠嘉利達（Gelita）便將美國工廠生產的商品運到中國。</p> <p><span style="font-size:28px;"><strong>該加強還是削弱全球化？</strong></span></p> <p>解決當前困境較為合理的方法，是加強全球化，而非削弱全球化。有兩個數字支持這個立場。2019年德國人均出口為18,018美元，中國為1,797美元，印度則是240美元。換句話說，中國的人均出口僅是德國的10％，印度更只有1.3％。這項比較的意義何在？印度需要出口更多，才能從工業化國家購買滿足國內所需的基礎建設商品、機器、飛機等。非洲也一樣。2019年時，德國向瑞典出口了價值為249億歐元的商品。同年，德國出口到非洲所有國家的商品總值為237億歐元，而德國從非洲進口的總值也差不多為244億歐元。瑞典人口約1,020萬，非洲人口數是瑞典的120倍。顯然，非洲若想要滿足國內所需，就必須出口更多，才有辦法從德國進口更多。</p> <p>其他的頂尖經濟學家也抱持相同看法：世界需要加強全球化。德國經濟專家委員會主席拉爾斯．費德（Lars Feld）說：「在我看來，我們需要加強全球化而不是減少全球化，才能有應對未來危機的緩衝。」政策制定者應該致力發展加強全球化所需的架構，設法防止近年來的脫鉤趨勢持續下去。以社會手段輔助貿易自由很重要。哈佛大學的經濟學者丹尼．羅德里克（Dani Rodrik）表示：「福利國家的擴張使得民眾在政治上支持經濟開放。」隱形冠軍需要自由的全球貿易，才能充分發揮其潛力。它們的相對小規模，實際上或許正是優勢。大型企業是公眾與政治矚目的焦點，隱形冠軍正因鮮為人知，而能在公眾關注的雷達底下運作。</p> <p><span style="font-size:28px;"><strong>全球化轉型勢在必行</strong></span></p> <p>儘管我呼籲貿易自由，但也相信全球化將出現轉變，商品出口將逐漸被服務出口與直接投資所取代。近年來服務出口成長的速度早已勝過商品出口。不過，外國直接投資的趨勢更加不穩定，嚴重受到資本市場的影響。短期上，新冠疫情已造成開發中國家的資本嚴重外流，資本市場對外國直接投資的影響不會消失，但長期看來，這並不會阻礙外國直接投資的成長。因此，當前隱形冠軍業績中佔比60％的出口，未來可能會減少，在國外銷售的金額佔比將隨之增加。2010年起，德國隱形冠軍在國外僱用的員工已超過本國員工數。</p> <p>如今，許多隱形冠軍90％以上的業績都來自出口。我不認為未來依然如此。很多人主張以直接投資取代部分出口，畢竟關稅與貿易壁壘愈來愈大。新冠疫情暴露了，複雜的全球供應鏈正面臨龐大的風險。以低成本、高效益為主要訴求的公司，或許低估了供應鏈複雜性引發的危險。德國一家隱形冠軍公司的負責人就如此問道：「在中國製造出200個零組件，然後運來德國，在這裡組裝成最終產品，這真的合理嗎？」</p> <p>增加庫存可減輕這類供應鏈的危險，但存貨會增加成本，而且若面對的是長時間危機時，這也不是萬能的解方。將最後組裝移到中國、在德國製造更多組件或在當地購買更多生產投入等做法，可能還合理一些。有位專家就這麼說：「全球化正在部分轉變為區域化；在一個市場內組成完整的貨流。」哈佛大學教授史兆威（Willy C. Shih）用以下的話描述這個難題：「公司要面對的挑戰，就是在不減損競爭力的情況下，讓供應鏈更具韌性。」</p> <p><span style="font-size:28px;"><strong>運輸成本降低的影響</strong></span></p> <p>運輸成本的穩定下降是全球化的重要推力。貨運、客運航班及國際電話的實際成本，都較以往大幅降低。這些成本已經觸底，無法再往下降。事實上，航運與空運成本比較有可能反彈回升，也就是說，物流成本下降而促進全球化的情況將不再發生，最起碼對有形商品來說是如此。</p> <p><span style="font-size:28px;"><strong>去物質化導致出口量趨緩</strong></span></p> <p>去物質化（dematerialization）也是實體出口量未來可能不會成長那麼快的另一個原因。從前，一條跨大西洋電纜需要12萬噸的銅金屬。如今，透過衛星，幾百公斤的銅就能達到相同的目的。重量不到200公克的智慧型手機，取代了諸如相機、電腦、收音機及導航設備等各種產品。3D列印也會帶來類似的影響。公司會將數據資料傳送到目標市場，利用3D列印的技術來製作成品，而非在某一國製造產品後再出口到目標市場。麻省理工學院的研究人員安德魯．麥克費（Andrew McAfee）在著作《以少創多》（More from Less）一書中，針對去物質化進行了全面分析。在美國，即便經濟持續成長，但幾乎所有原物料的消耗都在持續下降或停滯。麥克費認為，去物質化的關鍵驅動力正是數位化與資本主義。數位化的角色顯而易懂，資本主義式的競爭也扮演重要角色，因為要不斷降低成本與節省物料，才有辦法取得競爭優勢。最有效的方法就是用位元取代實體原物料或相關運輸。<strong><span style="color:#696969;">（摘錄自《隱形冠軍2.0》第14章，天下雜誌出版提供）</span></strong></p> <p class="rtecenter"><strong><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%96%E3%80%91%E9%9A%B1%E5%BD%A2%E5%86%A0%E8%BB%8D2_0-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%A4%A9%E4%B8%8B%E9%9B%9C%E8%AA%8C%E5%87%BA%E7%89%88.png" style="width: 329px;" /></span></strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 書名 </span></strong></span> <span style="color: rgb(51, 153, 255);"><strong>隱形冠軍2.0：中堅企業面對地緣政治的務實佈局，擁抱生態系與永續成長的新策略</strong></span></p> <p>赫曼．西蒙（Hermann Simon）、班傑明．德林（Benjamin Doering）／著；沈聿德／譯</p> <p>天下雜誌出版</p> <p>定價：550元</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 作者簡介 </span></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E9%9A%B1%E5%BD%A2%E5%86%A0%E8%BB%8D2_0_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Hermann%20Simon.png" style="width: 250px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／Hermann Simon</span></span></p> <p><strong>赫曼．西蒙（Hermann Simon）</strong></p> <p>生於德國，有「隱形冠軍之父」的美譽。曾被評選為「杜拉克後最有影響力的歐洲管理大師」及Thinkers 50最具影響力的國際管理思想家。</p> <p>西蒙現為西蒙顧和行銷顧問公司的共同創辦人。同時也是全球多間知名學府的客座教授，包含哈佛商學院、史丹福大學、倫敦商學院、麻省理工學院和慶應義塾大學等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E9%9A%B1%E5%BD%A2%E5%86%A0%E8%BB%8D2_0_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Benjamin%20Doering.png" style="width: 250px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／Benjamin Doering</span></span></p> <p><strong>班傑明．德林（Benjamin Doering）</strong></p> <p>在西蒙旗下的隱形冠軍研究團隊擔任助理研究員。畢業於德國路德維希大學，主修國際商業管理與中文，現在台灣國立陽明交通大學攻讀工商管理碩士。</p> </div></div></div>
2022/12/2 11:43未署名https://www.ithome.com.tw/article/154421
運用教練式領導打造高績效團隊
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/wang_ye_960zhu_tu_itshu_zhai_-1p-ni_shi_lai_dai_ren_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">高寶書版出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提出情緒智商的概念（Emotional intelligence）的心理學家及新聞工作者丹尼爾‧高曼（Daniel Goleman），十五年前就在《哈佛商業評論》（Harvard Business Review）發表〈得到成果的領導〉（Leadership That gets Results），提出六種關鍵領導型態。「教練式領導」就是其中一種，而且它被認定為對績效、企業文化以及獲利都有「明顯正面」的效果。然而，它也是最少被運用的領導型態。為什麼？高曼寫道：「許多領導人告訴我們，在這種高壓的經濟社會中，他們沒有時間做『教導人們、協助人們成長』這種緩慢而冗長乏味的工作。」</p> <p>請記住，那可是二○○○年的美好時代，當時電子郵件還是福非禍；全球化才剛剛開始暖身，而我們還沒有將靈魂出賣給智慧手機。這些日子以來與全球各地忙碌的經理人合作的經驗告訴我，事情其實是越來越糟、而非越來越好。我們都比以前更不自由自在。雖然「教練」在今天已經是更常用的詞彙，但實際上，教練式領導並沒有那麼普遍；就算有去做，似乎也沒有太大的成效。</p> <p>領導發展公司BlessingWhite二○○六年的研究報告顯示，有七三％的經理人曾接受某種形式的教練式領導訓練，這看來還不錯。不過，這種教練訓練似乎不太好：在接受教練式領導訓練的人當中，只有二十三％（沒錯，低於四分之一）的人認為這對績效或工作滿意度有明顯的影響。甚至有十％的人說這樣教練式領導訓練產生負面效果。</p> <p>我猜，你一開始試著發展的教練式領導習慣之所以沒有持續下去，失敗的原因至少有三個。</p> <p>第一個原因是，你接受的教練式領導訓練可能太理論、太複雜、有點無聊、而且與忙碌的工作生活現實有點背離。或許在某場研討會進行之時，你正好被淹沒在一堆電子郵件裡。</p> <p>就算你有接受訓練，也可能沒有花太多時間理解如何將這些新的洞察轉化成行動，使你做出不同的行為，這是第二個原因。當你回到辦公室，現狀會展現驚人的力量，緊緊箝制你，不讓你改變，回到跟以前一模一樣的方式做事。</p> <p>第三個理由是，「少給點建議、多問點問題」這種行為的改變看來非常簡單，實際上卻是驚人的困難。你可能已經花好幾年的時間在提供各式各樣的建議，同時也因此得到升遷以及稱讚。公司認為你會帶來「附加價值」（adding value）；而且因為「一切都在掌控中」，所以你也得到額外的好處。另一方面，當你問問題時，你可能不確定最後的結果會對自己有用；對話可能會讓事情進展緩慢，你可能會感覺無法控制對話的進行（的確如此，這就叫做賦權）。如此說來，這好像不是一個很棒的選項。</p> <p><span style="font-size:28px;"><strong>但那真的沒有麼難</strong></span></p> <p>在蠟筆盒公司（Box of Crayons），我們訓練超過一萬名像你一樣的忙碌經理人，養成實用的教練式領導技巧。經過這些年，我們得到以下明顯事實：</p> <p>● 你可以在十分鐘之內輔導一個人。在今日的忙碌世界中，你必須要能在十分鐘之內，完成教練式領導。</p> <p>● 教練式領導應該是每天進行的日常行為，而不是偶爾想到、刻意劃出「教練時間」的活動。</p> <p>● 你可以建立教練式領導的習慣，但這只有在了解教練式領導的原理，而且使用經過實證、能夠有效建立新習慣的方法，而且真的可以牢記執行，才能成功。</p> <p>但為什麼要大費周章改變現狀？為什麼要建立教練式領導的習慣呢？</p> <p><span style="font-size:28px;"><strong>破除三大惡性循環</strong></span></p> <p>教練的本質是幫助他人、釋放他人的潛能。但我相信你已經承諾過要幫助部屬，而這並不會讓你想要做更多的教練式領導工作。</p> <p>所以，讓我們來看看，為什麼提供其他人教練式領導也可以幫助自己。它讓你做更少、卻產生更多影響。當你建立教練式領導之後，你就可以更容易地破解在職場到處蔓延的三個惡性循環：部屬的過度依賴你、工作排山倒海而來、沒有專注在真正重要的工作上。</p> <p><strong>第一大惡性循環：部屬過度依賴你</strong></p> <p>你可能會發現，你已經成為「過度依賴團隊」的一份子。這代表雙重危機。首先，你的訓練讓部屬過度依賴你，這會演變成他們沒有被賦予權力，而你也挫敗沮喪，甚至會帶來不受歡迎的後果。因為你已經成功地創造這種依賴，你要做太多的工作，結果成為整個系統的瓶頸。每個人都失去動能，士氣低落。你幫部屬做得越多，他們看起來就越需要你的協助；他們需要你的協助越多，你就會花越多時間幫助他們。</p> <p>建立教練式領導可以讓你的團隊自動自發，團隊成員的主控權與掌握工作的能力也會增加，而你也會減少跳下來接手工作、成為瓶頸的機會。</p> <p><strong>第二大惡性循環：工作排山倒海而來</strong></p> <p>你可能也被排山倒海而來的工作給淹沒了。不管你有沒有精通這世界上所有的生產力小祕訣都不重要，你越快找到生產力祕訣，外面持續湧進工作的速度就越快。你每天被不斷新增的優先要務帶往不同方向，被無止盡的電子郵件或匆忙趕赴一個又一個的會議而干擾分心，你完全失去做事的焦點。你越是無法聚焦，就越會覺得被工作淹沒了；而你越是感覺到有工作排山倒海而來，又會更無法聚焦。</p> <p>建立教練式領導可以幫助你重新聚焦，讓你及團隊可以去做真正能創造影響力的工作；你可以將時間、精力及資源用來解決真正與眾不同的挑戰。</p> <p><strong>第三大惡性循環：沒有專注在真正重要的工作上</strong></p> <p>最後一點，你可能會無法專注在真正重要的工作上。把事情完成是不夠的，你必須幫助人們做最多能創造影響力而有意義的工作。我們越是做一些沒有真正目的的工作，就會變得越來越不投入、沒有動力；我們越不投入，就越不可能發現並創造出絕佳的工作表現。</p> <p>建立教練式領導習慣可以幫助你及你的團隊，重新專注在真正具有影響力、有意義的工作上。教練式領導可以點燃勇氣，幫助人們跨出舒適及熟悉的領域，從經驗中學習，同時也可以增加並幫忙展現出每個人最大的潛能。</p> <p>因此，你要起身對抗這一切負面行為。建立教練式領導習慣可以幫助你突破現狀，找到更好的工作方式。</p> <p><span style="font-size:28px;"><strong>七個關鍵問題</strong></span></p> <p>這些問題有可能讓每週的一對一輔導時間、團隊會議時間、業務會議，在既定行程表外偶而與某個人接觸的非會議時間呈現出新樣貌。</p> <p>這七個問題分別是：開場問題（Kickstart Question），這是以聚焦又開放的方式，開啟任何對話的問題；魔法問題（AWE Question），這可以說是世界上最棒的教練問題，可以當作自我管理工具，也可以用來作為其他六個問題的輔助；焦點問題（Focus Question）及基礎問題（Foundation Question）則是用來觸及挑戰的核心，幫助你將注意力放在真正重要的議題上。懶惰問題（Lazy Question）可以幫你省下大把時間；而策略問題（Strategic Question）則可以省下與你共事者的大把時間；學習問題（Learning Question）與第一個開場問題，分別是教練式領導的終點與起點，藉此確保每個人都能發現與你的互動比以前更有幫助。<span style="color:#696969;"><strong>（摘錄整理自本書第一章，高寶書版提供）</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%96%E3%80%91IT%E6%9B%B8%E6%91%98-1P-%E4%BD%A0%E6%98%AF%E4%BE%86%E5%B8%B6%E4%BA%BA.png" style="width: 299px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 書名 </span></strong></span> <span style="color:#3399ff;"><strong>你是來帶人，不是幫部屬做事</strong></span></p> <p>麥可．邦吉．史戴尼爾（Michael Bungay Stanier）／著；林宜萱／譯</p> <p>高寶書版出版</p> <p>定價：360元</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E4%BD%A0%E6%98%AF%E4%BE%86%E5%B8%B6%E4%BA%BA_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Box%20of%20Crayons.jpg" style="width: 250px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／Box of Crayons</span></span></p> <p><strong>麥可．邦吉．史戴尼爾（Michael Bungay Stanier）</strong></p> <p>麥可是全球知名的教練式領導專家、著名演說家，以及「蠟筆盒公司」（Box of Crayons）創辦人、資深合夥人，這家公司幫助經理人和領導人學習在10分鐘內進行教練式領導的技巧。</p> <p>在成立「蠟筆盒公司」之前，麥可花了許多時間研發產品與服務，並擔任企管顧問，幫助企業變革創新，並為全球最大製藥集團葛蘭素史克公司撰寫全球展望報告等。</p> <p>麥可擁有牛津大學哲學碩士學位，以及澳大利亞國立大學法學學位、最高榮譽學士學位。他也是羅德學者，並於2019年被評為第一名教練式領導思想領袖。</p> </div></div></div>
2022/12/2 11:55未署名https://www.ithome.com.tw/article/154422
5G趨勢月報第37期：數位部最快明年1月開放5G專網專用頻段申請；北市與電信業者合作試辦5G救護車
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>19/26~11/29精選5G趨勢新聞</strong></span></h3> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>數位發展部</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font></p> <p><span style="font-size:22px;"><strong>數位部：明年1月將開放5G專網專用頻段申請</strong></span></p> <p>數位發展部（數位部）近期舉辦5G專網實證與創新成果發表活動，數位發展部次長李懷仁表示，臺灣在9月每位用戶行動寬頻傳輸量最高已接近35GB，是全球平均值2倍。5G將加值進入產業，今年是全球5G應用發展的關鍵。目前數位部正進行「行動寬頻專用電信網路設置使用管理辦法」法制化作業，未來管理辦法公布實施後，預估將在明年1月開放4.8GHz到4.9GHz專網申請。</p> <p>李懷仁表示，政府開放5G專頻專網將秉持3項原則，程序要簡化、成本要降低、要推更多應用，未來將整合各界意見之後，將和NCC討論，推動管理辦法法制作業。</p> <p>目前國內已有不少5G專網實證案，但主要以採用3.5GHz公頻的專網為主，另一部分則以實驗名義，以4.8GHz到4.9GHz頻段測試評估5G專頻專網,例如逢甲大學去年即宣布以4.8至4.9GHz的n79頻段建置5G專頻專網，打造實驗場域。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>聯發科</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>天璣</b></span></font></p> <p><span style="font-size:22px;"><strong>聯發科發表天璣9200旗艦晶片，手機年底上市</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%91%E7%9A%84%E5%B0%88%E6%A1%880.jpg" style="width: 600px; height: 439px;" /></p> <p>聯發科擴大旗下天璣旗艦級晶片，發表天璣9200，相較於前一代的天璣9000，效能提升10到12%，預計今年底採用新晶片手機將上市。</p> <p>天璣9200採用台積電第二代4奈米製程，內含170億個電晶體，內部CPU架構採Armv9架構，8核心採1+3+4，包含1個Cortex-X3超大核、3個Cortex-A715中核、4個負責一般負載的Cortex-A510小核。</p> <p>聯發科指出，天璣9200在CPU單核、多核效能提升10至12%，搭配Immortalis-G715，GPU效能提升32%，強化在遊戲中的硬體光線追縱、渲染效果。天璣9200也採用第6代APU，提升35%的AI運算效能。無線通訊方面，支援5G的Sub-6GHz、毫米波頻段，以及Wi-Fi 7。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>急救</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>臺北市</b></span></font></p> <p><span style="font-size:22px;"><strong>臺北市消防局與遠傳合作試辦5G救護車，以遠端視訊指導急救處置提升救護效率</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%81%A0%E5%82%B3%E6%94%9C%E6%89%8B%E5%8C%97%E5%B8%82%E6%B6%88%E9%98%B2%E5%B1%80%E3%80%8C5G%E6%80%A5%E6%95%91%E9%86%AB%E7%99%82%E8%81%AF%E9%98%B2%E6%95%91%E8%AD%B7%E8%BB%8A%E3%80%8D%E4%B8%8A%E7%B7%9A0.jpg" style="width: 600px; height: 338px;" /></p> <p>緊急救護分秒必爭，傷患在救護車抵達醫院之前，如果能先接受妥善的急救處置，就能增加病患存活的可能性。遠傳電信近期與臺北市政府消防局合作，試辦5G救護車，利用5G即時傳送傷患畫面，車上急救人員透過視訊，在高級救護分隊指導下，針對危急個案緊急處置，提高救護的效率。</p> <p>目前遠傳與臺北市消防局中崙分隊試辦，讓車上的救護人員透過攝影機，清楚、同步傳送病患全身或身體局部畫面，和遠端的高級救護員視訊，獲得對緊急狀態的救護指示。相較於傳統以語音通話，讓醫師獲得更多資訊進行判斷，並縮短到院檢傷的時間，提高救護的效率。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>歐盟</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>低軌衛星</b></span></font></p> <p><span style="font-size:22px;"><strong>歐盟擬以24億歐元打造自家低軌衛星網路IRIS</strong></span></p> <p>強化歐盟地區網路基礎建設，歐洲議會近期與歐盟會員國達成共識，2023至2027年間將以24億歐元經費，啟動歐盟安全連結計畫（Union Secure Connectivity Programme），將部署具彈性、互連、安全性的衛星基礎設施（Infrastructure for Resilience, Interconnectivity and Security by Satellite, IRIS），建立歐洲自己的通訊衛星星座。</p> <p>歐盟指出，歐盟地區的經濟、安全愈來愈仰賴於安全、具韌性的網路連結，對歐洲來說，發展主權、自主、安全連結的基礎架構相當重要。需確保不受限制存取網路，同時透過降低對第三方國家依賴強化歐盟價值鏈彈性，並整合歐洲的量子通訊技術進行安全加密。</p> <p>未來，IRIS將支援政府、軍隊、民間商業服務使用，以提升歐洲產業競爭力，尤其為衛星通訊產業。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>高通</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>晶片</b></span></font></p> <p><span style="font-size:22px;"><strong>高通推旗艦平臺Snapdragon 8 Gen2，強化AI推論，首次搭載5G AI處理器</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snapdragon%208%20Gen%202%20%E5%B9%B3%E5%8F%B0-2.jpg" style="width: 600px; height: 368px;" /></p> <p>Android高階手機市場再掀新的競爭浪潮，繼聯發科推出旗艦手機晶片後，高通（Qualcomm）也不落人後，近期發表新一代Snapdragon 8 Gen 2旗艦級行動平臺，採用新的AI處理引擎Hexagon，強化AI的自然語言處理及AI拍照功能，並支援INT 4格式，AI效能和前一代相比，最高提升4.35倍。高通預計搭載該平臺的新手機將於今年底陸續上世。</p> <p>透過搭載認知影像處理器（Cognitive ISP），利用語義分割技術強化照片及影片，透過AI神經網路，相機感知環境例如臉部、面部特徵、衣服、天空，並進行個別的最佳化，經過影像調校獲得更多影像細節。</p> <p>另外，該平臺也採用Snapdragon X70 5G數據機，以及首次搭載5G AI處理器，透過AI優化5G上傳、下載速度、訊號覆蓋低延遲及功耗，支援5G雙卡。內建的FastConnect7800也提供Wi-Fi 7、雙藍牙功能。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Open RAN</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>6G</b></span></font></p> <p><span style="font-size:22px;"><strong>NTT DOCOMO與SK Telecom 將聯手共同研究元宇宙、5G Open RAN與6G</strong></span></p> <p>日本NTT DOCOMO與南韓SK Telecom共同宣布將在用戶服務、通訊基礎技術上進行合作，包括元宇宙、5G開放技術，以及下一代的6G網路。</p> <p>在元宇宙方面，雙方考慮共同製作虛擬內容，包括3D模型、具有立體感影片、虛擬城市，同時考慮串接各自平臺的可能性。至於電信基礎設施技術上，兩家公司展開5G商業服務合作，包括5G SA獨立組網、mmWave毫米波、節能網路，以及Open RAN、vRAN技術。</p> <p>雙方也將在下一代6G技術上展開合作，聯合研發及推動6G技術的標準化，調整雙方6G及早期部署時程，期望明年展開聯合測試，支援DOCOMO母公司NTT所提出IOWN（Innovative Optical and Wireless Network）網路概念。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Wi-Fi</b></span></font></p> <p><span style="font-size:22px;"><strong>中華電信與Aruba合作，推5G與Wi-Fi融合企業專網決方案</strong></span></p> <p>中華電信宣布與Aruba合作，推出融合5G與Wi-Fi兩者優勢的多元化企業專網方案，以滿足人與物同時存在場域的多樣性連網需求。中華電信強調該方案為，結合中華電信的5G智慧管+多接取邊緣運算技術與Aruba的Wi-Fi技術，雙網融合多元化企業專網方案。</p> <p>中華電信表示，過去企業專網建置採用Wi-Fi或5G其中一種技術，無法發揮兩種網路技術的優勢，5G與Wi-Fi融合的多元化企業專網方案，一方面為5G專網用戶擴增導入Wi-Fi，另方面可為企業Wi-Fi導入5G專網，或同時導入5G+Wi-Fi的企業專屬網路。在管理上提供跨領域互通、一致性白名單、頻寬等自主管理功能。</p> <p>該方案強調兼顧5G與Wi-Fi優勢，包括5G應用於安全性、穩定性，或廣闊場域的移動性物體，例如AGV、IoT裝置、無人機，但由於使用公共頻譜資源、建置成本較高；Wi-Fi則適用於無線連接、移動較慢，或對上傳頻寬需求較大的應用。採用5G專網的企業，針對移動性較慢的應用，可搭配Wi-Fi以降低成本，而採用Wi-Fi專網的企業，可搭配5G滿足安全性、穩定、大範圍移動的需求。</p> <p> </p> <p>圖片來源／高通、聯發科、遠傳電信</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多5G動態 </span></strong></span></p> <p><strong>1.Nokia在臺展示5G專網4.8至4.9GHz天線，液冷式基頻方案</strong></p> <p><strong>2.中華電信擴大5G涵蓋至金門烏坵</strong></p> <p>資料來源：iThome整理，2022年11月</p> </div></div></div>
2022/12/2 12:04作者蘇文彬https://www.ithome.com.tw/news/154531
蘋果MR裝置作業系統更名為xrOS，最快明年問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2022-12-01/apple-mixed-reality-headset-rivaling-meta-set-to-run-xros-operating-system" target="_blank">《彭博社》</a>（Bloomberg）本周引述消息來源報導，蘋果最快會在明年發表混合實境（Mixed Reality，MR）頭戴裝置，同時推出專用的作業系統與程式商店，並已將該裝置的作業系統名稱從realityOS變更為xrOS。</p> <p><a href="https://www.ithome.com.tw/news/151214" target="_blank">各家媒體是在今年5月發現</a>蘋果透過關係企業申請RealityOS商標，並相信這是蘋果即將推出的混合實境裝置作業系統。而新的xrOS指的應該是延展實境（Extended Reality，ER），它涵蓋了虛擬實境、擴增實境與混合實境技術，企圖融合各種技術來展現交錯的虛擬與現實。</p> <p>《彭博社》指出，蘋果大概在7年前便著手開發與虛擬實境有關的作業系統，當時內部將它稱為realityOS或rOS，一直到最近才將它改稱為xrOS，約莫在同一時間點，空殼公司Deep Dive亦開始於多個國家申請xrOS商標，包括瑞士、英國、馬來西亞、日本、加拿大及歐盟等，並在美國反對某家中國企業註冊xrOS。根據Deep Dive的申請書，xrOS商標涉及頭戴式顯示器，以及可提供虛擬實境與擴增實境體驗的裝置。</p> <p>雖然正在以xrOS作為內部MR開發名稱的還有Meta，但《彭博社》認為蘋果比Meta更像是註冊此一商標的幕後黑手。</p> <p>外界預期蘋果的首款AR/VR/MR/XR裝置應該比市場上的既有裝置貴得多，可能會採用M2處理器並具備手部追蹤能力。</p> </div></div></div>
2022/12/2 12:10作者陳曉莉https://www.ithome.com.tw/news/154534
【資安日報】2022年12月1日，駭客組織Lilac Wolverine發動大規模禮物卡攻擊、中國駭客利用USB裝置攻…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有商業郵件詐騙（BEC）的駭客組織攻擊目標轉移到個人！奈及利亞駭客組織Lilac Wolverine挾持使用者在AOL、雅虎的電子郵件信箱，然後對通訊錄裡的聯絡人發動相關攻擊，要求收信人協助購買禮物卡行騙。這類攻擊往往採取動之以情的攻勢，例如表示自己因COVID-19居隔而無法處理相關事務，使得受害者降低戒心而協助購買禮物卡點數上當。</p> <p>利用USB裝置的攻擊行動再度出現，而值得相關機構提高警覺。中國駭客UNC4191鎖定菲律賓組織發動攻擊，研究人員表示，雖然他們也有看到針對美國、東南亞其他國家的攻擊行動，但最終目標都是位於菲律賓的電腦。</p> <p>台達電、Festo、Codesys近日修補了旗下的工控裝置漏洞，這些漏洞有些能被用於命令注入攻擊，有的能繞過身分驗證，管理者應儘速修補。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://abnormalsecurity.com/blog/lilac-wolverine-gift-card-attacks"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">BEC駭客組織Lilac Wolverine挾持個人電子郵件帳號，用於發動大規模禮物卡攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Lilac-Wolverine-Follow-up-Email-Example-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Lilac-Wolverine-Follow-up-Email-Example-1.png" style="width: 300px; float: right;" /></a>郵件安全業者Abnormal揭露奈及利亞駭客組織Lilac Wolverine的攻擊行動，攻擊者針對使用AOL、BellSouth、Rogers、Verizon、雅虎電子郵件信箱服務的用戶，竊取他們的通訊錄，然後使用另外一個名稱極為相似的電子郵件帳號，向通訊錄的聯絡人發送釣魚郵件。這些信件的內容主要是請求收信人協助，或是詢問他們是否在Amazon等網路商店購物，一旦收信人回覆，駭客便會以朋友的生日為由，要求受害者協助購買禮物卡。</p> <p>研究人員指出，此組織原本主要針對企業發動商業郵件詐騙（BEC）攻擊，但BEC必須找到企業的財務長與人力資源部門才能進行，這種鎖定個人的攻擊行動雖然每次得手金額平均只有不到1500美元，但駭客只要擴大攻擊規模，就有機會騙到一小部分使用者而成功。</p> <h3><a href="https://www.mandiant.com/resources/blog/china-nexus-espionage-southeast-asia"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">菲律賓組織遭到中國駭客UNC4191鎖定，利用USB裝置發動攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/unc4191-malware-infection.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/unc4191-malware-infection.png" style="width: 300px; float: right;" /></a>資安業者Mandiant揭露中國駭客UNC4191的網路間諜行動，駭客自2021年9月起，大量利用USB裝置來作為入侵受害組織的初始媒介，主要目標是菲律賓的組織。這些攻擊者運用3款惡意軟體，其共通點都是使用C++開發而成，分別是惡意軟體啟動器Mistcloak、執行命令列網路工具Ncat產生反向Shell與C2連接的Bluehaze，以及能感染外接裝置的Darkdew。</p> <p>研究人員指出，這起攻擊行動從使用者將帶有惡意程式的USB裝置連結電腦開始，Mistcloak便會啟動並企圖執行Darkdew，後者將會執行自我復製、擴散的工作，接著，駭客會再執行Bluehaze與C2連線，並將竊得的資料送出。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/lastpass-says-hackers-accessed-customer-data-in-new-breach/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">密碼管理解決方案供應商LastPass二度遭駭</span></strong></a></h3> <p>根據資安新聞網站Bleeping Computer的報導，<a href="https://www.bleepingcomputer.com/news/security/goto-says-hackers-breached-its-dev-environment-cloud-storage/">遠端存取與協作解決方案業者GoTo於11月30日向客戶以電子郵件發出通知</a>，表示該公司遭遇資安事故，駭客存取其開發環境與雲端服務的存取權限，他們已尋求資安業者著手調查。該公司特別提及上述的雲端服務亦與旗下的LastPass共用。</p> <p>同日<a href="https://blog.lastpass.com/2022/11/notice-of-recent-security-incident/">LastPass也發出公告</a>，表示曾於8月發動攻擊的駭客，利用上次竊得的資料存取他們的雲端服務，且試圖存取客戶資料。無論GoTo、LastPass皆表示客戶的資料不受影響，但上述兩家公司公布的是否為相同的攻擊行動？仍有待他們進一步說明。</p> <h3><a href="https://blog.google/threat-analysis-group/new-details-on-commercial-spyware-vendor-variston/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google揭露義大利商業間諜軟體供應商Variston IT的攻擊框架</span></strong></a></h3> <p>Google旗下的威脅情報小組（TAG）於11月30日公布追蹤西班牙間諜軟體供應商Variston IT的成果，該公司位於西班牙巴塞隆納，聲稱專為客戶量身訂做資安解決方案，但實際上卻是利用防毒軟體與瀏覽器漏洞製作攻擊工具的團隊。TAG從Chrome匿名錯誤報告察覺Variston IT製作的攻擊框架Heliconia，進一步調查找到了3個子框架，它們分別是針對Chrome沙箱逃逸漏洞的Heliconia Noise、可攻擊Microsoft Defender的Heliconia Soft，以及能利用Firefox多個漏洞的Files。</p> <p>研究人員指出，攻擊框架Heliconia利用的漏洞未必有CVE編號，而且，不少漏洞在修補之前很可能就遭到利用。</p> <h3><a href="https://www.macrumors.com/2022/11/29/eufy-camera-cloud-uploads-no-user-consent/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Eufy智慧門鈴擅自將影像傳至雲端</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/eufy_20221201-1753-00237.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/eufy_20221201-1753-00237.jpg" style="width: 300px; float: right;" /></a>資安顧問Paul Moore發現自己家裡建置的智慧門鈴Eufy Doorbell Dual系統，在沒有啟用雲端儲存機制的情況下，竟然將監視器鏡頭拍下的人臉照片與使用者資料上傳到雲端。此外，上述的照片可透過URL直接存取，無須經過身分驗證。</p> <p>針對上述發現，製造商Anker向新聞網站MacRumors表示，Eufy設備錄製的影片都存放於本機，並於使用者裝置上加密，該公司產品符合GDPR標準，研究人員發現的照片是他們為了向使用者手機App發送推送通知而產生，會暫時存放於AWS伺服器，使用者只有在登入Eufy Security網頁管理介面才能檢視。但這樣的聲明，無法說明研究人員透過監聽網路流量取得URL的方式，能夠得到上述推送通知照片的資安疑慮。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.securityweek.com/delta-electronics-patches-serious-flaws-industrial-networking-devices"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">台達電修補工控網路設備的嚴重漏洞</span></strong></a></h3> <p>資安業者CyberDanube揭露台達電工控路由器的嚴重漏洞，這些漏洞存在於<a href="https://cyberdanube.com/en/en-multiple-vulnerabilities-in-delta-electronics-dx-2100-l1-cn/">LTE路由器DX-2100-L1-CN</a>，以及<a href="https://cyberdanube.com/en/en-authenticated-command-injection-in-delta-electronics-dvw-w02w2-e2/">Wi-Fi無線路由器DVW-W02W2-E2</a>，前者存在2種類型的漏洞，後者則有1種。兩款設備共通的漏洞，是在攻擊者通過身分驗證後，能透過命令注入漏洞發動攻擊，進而取得該裝置底層作業系統的完整存取權限；而DX-2100-L1-CN含有第2項漏洞，存在於網路診斷模組，攻擊者可濫用於跨網站指令碼（XSS）攻擊，挾持受害者的連線階段（Session）。研究人員於8月通報，台達電近日針對DX-2100-L1-CN、DVW-W02W2-E2發布1.5.0.12、2.5.2版新版韌體予以修補。</p> <h3><a href="https://www.forescout.com/blog/oticefall-continues-vedere-labs-discloses-three-new-vulnerabilities-affecting-ot-products-how-to-mitigate/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Festo、Codesys工控系統存在OT:Icefall漏洞</span></strong></a></h3> <p>資安業者Forescout<a href="https://www.ithome.com.tw/news/151583#OT-Icefall">在今年6月揭露存在於工控設備的漏洞組合OT:Icefall</a>，共有56個漏洞、存在於10個廠牌、26種型號的OT裝置，但類似的漏洞也存在於其他廠牌設備。Forescout近日公布Festo、Codesys旗下產品的漏洞，前者的漏洞為CVE-2022-3270、CVE-2022-3079，兩者的共通點是都可被用於身分驗證流程繞過；後者的則是CVE-2022-4048，涉及採用的加密技術保護能力不足。</p> <p>其中最嚴重的是CVE-2022-3270，存在於Festo Generic Multicast（FGMC）通訊協定，攻擊者一旦利用這項漏洞，就有可能在未通過身分驗證的情況下，遠端將Festo控制器重新啟動，進而阻斷服務（DoS），CVSS風險評分達9.8分。</p> <h3><a href="https://www.contrastsecurity.com/security-influencers/localhost-attack-against-quarkus-developers-contrast-security"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Java框架Quarkus存在RCE漏洞</span></strong></a></h3> <p>資安業者Contrast揭露Java框架Quarkus的RCE漏洞CVE-2022-4116，此漏洞存在於Dev UI組態編輯器，攻擊者可透過本機偷渡（drive-by localhost）攻擊手法利用，進而遠端執行任意程式碼（RCE）。Quarkus獲報後發布2.14.2與2.13.5版予以修補。</p> <p>研究人員指出，利用該漏洞的難度並不高，且攻擊者無須取得特殊權限就能觸發──駭客可引導開發人員瀏覽含有惡意JavaScript的網站，進而於受害電腦暗中執行此指令碼。一旦這樣的漏洞遭到利用，攻擊者很有可能在受害電腦植入鍵盤側錄程式，進而得知其他開發系統的帳密。</p> <h3> </h3> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.rcesecurity.com/2022/11/from-zero-to-hero-part-1-bypassing-intel-dcms-authentication-cve-2022-33942/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Intel的資料中心管理主控臺存在身分驗證漏洞</span></span></strong></a></p> <p><a href="https://www.synopsys.com/blogs/software-security/cyrc-advisory-remote-code-execution-vulnerabilities-mouse-keyboard-apps/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">可將手機當作電腦鍵盤或滑鼠的App含有能用於RCE攻擊的漏洞</span></span></strong></a></p> <p><a href="https://therecord.media/ikea-investigating-cyberattacks-on-outlets-in-kuwait-morocco/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">科威特、摩洛哥IKEA遭到網路攻擊，疑勒索軟體Vice Society所為</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/spanish-police-dismantle-operation-that-made-12m-via-investment-scams/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">西班牙警方破獲網路詐騙1,200萬歐元的攻擊行動</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154501"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">近兩年更多臺廠加入成為CVE編號管理者，涵蓋網通、IC設計、資安廠商</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154493">【2022年11月30日】駭客透過抖音短片散布竊密程式WASP、未修補已知漏洞的Fortinet資安設備網址清單遭到兜售</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154485">【2022年11月29日】 Dell、HP、聯想設備韌體使用老舊版本的OpenSSL、推特網站漏洞恐有更多資料外流</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154451">【2022年11月28日】 Windows網際網路金鑰交換機制漏洞被用於攻擊、Docker Hub存在逾1,600個易受攻擊的映像檔</a></strong></strong></strong></p> </div></div></div>
2022/12/1 16:54作者周峻佑https://www.ithome.com.tw/news/154518
雄獅旅遊遭駭客網路攻擊，針對近年半顧客資料恐被利用於詐騙示警
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日雄獅旅遊又成駭客網路攻擊受害者，該公司在11月29日於臺灣證券交易所發布重大訊息說明發生資安事件，同時於官方網站公開遭駭一事，並表示已接獲通報，有不法人士假冒其名義、利用半年內訂單資訊進行詐騙，呼籲民眾當心。</p> <p>根據雄獅旅遊的說明，該公司資安團隊在查知遭受駭客網路攻擊之際，已全面啟動相關防禦機制，委請外部資安公司技術專家共同處理，並已通報政府執法部門協助。</p> <p>關於這次事件的影響與因應，雄獅在證交所的重大訊息公告中指出，目前評估對公司營運尚無重大影響，將持續加強資訊安全管理，確保資料安全，同時也特別說明，將以公司官網、電話語音及簡訊方式，通知旅客防範詐騙。</p> <p>而在雄獅旅遊公司網站上，該公司亦於同日發布聲明公告，主要針對公司遭駭一事，以及不法分子冒名雄獅員工去電詐騙民眾一事，提出了更多的說明。</p> <p>當中除了提到該公司電腦作業系統遭網路駭客惡意攻擊，已經有所因應，目前公司營運及出團狀況均正常，特別的是，他們另外也向購買產品的民眾提醒，要大家防範遭受詐騙。</p> <p>關於不法分子冒名與詐騙的問題，根據雄獅的說明，他們已經接獲通報，有不法人士假冒成雄獅旅遊員工、飯店員工、以及銀行或信用卡客服人員，打電話給其客戶，並以訂單錯誤、重複扣款、提供特殊優惠等假理由與名義，向消費者進行詐騙。</p> <p>對於詐騙手法的研判，以及不法資料被利用的情況，雄獅亦有具體的描述，指出不法人士可能利用近半年的訂單資訊，可能包括購買訂飯店、機票、票券、證照時，利用這些訂單上的聯絡人姓名、電話與商品內容，來取信受害者，並以不實理由來詐騙。</p> <p>從上述內容來看，雄獅在此駭客攻擊事件下，很可能同時發生顧客訂單資料外洩，進而被詐騙人士利用，儘管公告中並未直接明確說明這件事，不過，該公司至少確切提及，這些恐被不法分子利用的近半年訂單資訊，主要是顧客姓名、電話與商品訂單內容，但並未包含旅客信用卡交易資訊。</p> <p>針對上述不法分子冒名雄獅與詐騙的狀況，我們查詢了刑事警察局165公布的解除分期民眾通報高風險賣場，在<a href="https://165.npa.gov.tw/#/article/risk/340">最近一周</a>，也就是今年11月21日到11月27日期間，雄獅旅遊已被列入名單之上，排名當週第六，這表示已有民眾接到假冒雄獅旅遊等名義的詐騙電話而報案。這也與雄獅旅遊公司網站公布的資訊一致。</p> <p>過去，雄獅也曾發生遭駭與顧客個資外洩事件，在<a href="https://www.ithome.com.tw/news/114435">2017年</a>該公司員工電腦也曾遭駭，造成約36萬筆消費者個資外洩，後續的集體訴訟案則在2020年<a href="https://www.ithome.com.tw/news/146250#%E9%9B%84%E7%8D%85">已調解賠償</a>。</p> <h3><strong>回顧一年來國內顧客資料外洩事件，公開說明比例相當低</strong></h3> <p>從近期資安事件重大訊息來看，過去我們看過不少上市櫃或公開發行公司在臺灣證券交易所公告遭受駭客網路攻擊，但較少會提及通知旅客防範詐騙。最早一例，是今年7月<a href="https://www.ithome.com.tw/news/152084">台灣虎航</a>在臺灣證券交易所發布公告，說明遭受駭客網路攻擊事件，並指出已在官方網站張貼「反詐騙聲明」，防治網路詐騙，這次雄獅旅遊也有同樣的狀況。而這樣的舉動，不像是兩起事件，似乎也意味，可能有顧客資料外洩、恐被利用於詐騙的狀況，才需要提醒民眾。</p> <p>儘管後續台灣虎航未傳出相關詐騙消息，可能只是預先提醒，而這次雄獅旅遊公布資安團隊察覺遭駭客攻擊，說明有接獲通報，指出恐有利用近半年訂單資訊的相關詐騙，但我們更在意的是，還有多少駭客攻擊的資安事件、顧客資料外洩的事件，沒有被直接曝光。</p> <p>我們最常看到的，只有165反詐騙諮詢專線會公布民眾通報高風險賣場的名單，警方會向民眾呼籲，注意這些業者存在疑似顧客個資外洩的情形。以最近一年而言，通報件數嚴重的包括：東森購物、誠品、博客來、迪卡儂、旋轉拍賣等眾多業者，儘管這些網購平臺或服務業者在傳出詐騙事件之際，都發布反詐騙公告提醒民眾注意，但對於是否遭駭、發生重大資安事件，或是顧客資料外洩的狀況，後續都沒有相關調查與公告，這也導致，外界只能從許多新聞報導與網友在網路上的留言，得知詐騙者知道民眾的訂單內容與相關資訊。我們認為，可能因為業者未落實記錄保存，導致Log不完整，加上破口可能太多及合作夥伴等原因，而調查不出結果，甚至不知道自己遭駭，這也等於形成國內顧客資料外洩事件的死角。</p> <h2><strong>2022-11-29 雄獅旅遊</strong><strong>資安事件小檔案</strong></h2> <table border="0" cellpadding="0" cellspacing="0" style="width: 547px;" width="547"> <tbody> <tr height="24"> <td height="24" style="height: 24px; width: 170px;">網路攻擊事件類型</td> <td style="width: 378px;">公告中表示說明遭受駭客網路攻擊事件</td> </tr> <tr height="48"> <td height="48" style="height: 48px; width: 170px;">事中應變措施</td> <td style="width: 378px;">公司資安團隊於查知遭受駭客網路攻擊時，已全面啟動相關防禦機制，並委請外部資安公司技術專家共同處理。已通報政府執法部門協助</td> </tr> <tr height="24"> <td height="24" style="height: 24px;">初步調查結果</td> <td style="width: 378px;">目前透露資訊非常有限，未公布影響範圍，被入侵管道。</td> </tr> <tr height="24"> <td height="24" style="height: 24px; width: 170px;">事件影響範圍</td> <td style="width: 378px;">提及於公司官網、電話語音、以及簡訊方式加強張貼及提醒旅客反詐騙聲明</td> </tr> <tr height="24"> <td height="24" style="height: 24px; width: 170px;">事件對營運的影響</td> <td style="width: 378px;">對營運尚無重大影響</td> </tr> <tr height="24"> <td height="24" style="height: 24px; width: 170px;">事後復原與檢討</td> <td style="width: 378px;">本公司將持續強化網路與資訊管控以確保資料安全。</td> </tr> <tr height="24"> <td height="24" style="height: 24px; width: 170px;">對外公告資安事件</td> <td style="width: 378px;">在11月29日發布於臺灣證券交易所重大訊息</td> </tr> <tr height="24"> <td colspan="2" height="24" style="height: 24px;"> 資料來源：iThome整理，2022年12月<br /> </td> </tr> </tbody> </table> <p><a href="https://s4.itho.me/sites/default/files/images/(圖1)雄獅遭受網路駭客攻擊事件2022-11-30_183655.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%961)%E9%9B%84%E7%8D%85%E9%81%AD%E5%8F%97%E7%B6%B2%E8%B7%AF%E9%A7%AD%E5%AE%A2%E6%94%BB%E6%93%8A%E4%BA%8B%E4%BB%B62022-11-30_183655.jpg" style="width: 600px;" /></a></p> <p><strong>上市觀光業雄獅旅遊在11月29日於台灣證券交易所發布資安事件重大訊息，說明公司資安團隊查知駭客網路攻擊，並在改善及未來因應措施中提及通知旅客防範詐騙。</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/(圖2)雄獅遭受網路駭客攻擊事件2022-12-01_124139.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%962)%E9%9B%84%E7%8D%85%E9%81%AD%E5%8F%97%E7%B6%B2%E8%B7%AF%E9%A7%AD%E5%AE%A2%E6%94%BB%E6%93%8A%E4%BA%8B%E4%BB%B62022-12-01_124139.jpg" style="width: 600px;" /></a></p> <p><strong>雄獅旅遊在11月29日於公司網站發布<a href="https://info.liontravel.com/category/zh-tw/notice/index?fr=cg8575C0301C0301M01">公告</a>，說明公司遭網路駭客惡意攻擊電腦作業系統，並提及從不法人士詐騙手法研判，其不法利用的資料可能包括近半年訂單資料，包括訂單聯絡人姓名、電話與購買商品內容，但不包括旅客信用卡交易訊息。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-12-01_150241.jpg" style="width: 600px;" /></p> <p><strong>在<a href="https://165.npa.gov.tw/#/article/risk/340">最近一周</a>刑事警察局165公布的解除分期民眾通報高風險賣場中，雄獅旅遊已列入名單之內，刑事警察局也一再提醒，上述客服不會來電要求民眾操作網路銀行或ATM解除錯誤設定。</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/279239574_359921646178899_3754273653229074782_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/279239574_359921646178899_3754273653229074782_n.jpg" style="width: 295px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/297989693_425156859655377_8370217246096332274_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/297989693_425156859655377_8370217246096332274_n.jpg" style="width: 295px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-12-01_151432.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-12-01_151432.jpg" style="width: 295px;" /></a></p> <p><strong>根據刑事警察局165的資料顯示，關於2022年以來嚴重的高風險賣場，較嚴重的包括東森購物、誠品、博客來、迪卡儂、旋轉拍賣等眾多業者，疑似發生個資外洩。</strong></p> </div></div></div>
2022/12/1 15:34作者羅正漢https://www.ithome.com.tw/news/154511
美國加密貨幣交易平臺Kraken打算裁員3成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2011年成立的美國加密貨幣交易平臺<a href="https://blog.kraken.com/post/16442/business-update/" target="_blank">Kraken周三（11/30）宣布</a>，因不敵全球正在經歷的加密貨幣冬天，將裁撤1,100名員工，約占該公司總人數的30%，所有受影響的員工都已在當天早上收到通知。</p> <p>Kraken表示，過去幾年，全球有數億新用戶進入加密貨幣領域，Kraken也受到數百萬名新客戶的信賴，為了滿足這些新用戶的需求，公司規模快速成長，人力也增加至原本的3倍，在裁員之後，Kraken的員工人數只是回到了一年前的水平。</p> <p>根據Kraken的說法，今年以來全球地緣政治與整體經濟狀況對金融市場造成了壓力，使得註冊的客戶量變少了，交易量亦明顯下滑，就算Kraken已放緩招募腳步，並減少行銷支出，仍無法應對金融市場的負面影響，只得作出裁員的艱難決定。</p> <p>所有被資遣的員工都可獲得16周的薪水與特定的績效獎金，符合資格的員工亦可取得4個月的醫療保險，也將協助員工移民與就業。</p> <p>今年已有多家科技業者展開裁員行動，包括<a href="https://www.ithome.com.tw/news/151188" target="_blank">雲端資安業者Lacework與FinTech業者Bolt Financial</a>、加密貨幣平臺<a href="https://www.ithome.com.tw/news/152081" target="_blank">Blockchain</a>、<a href="https://www.ithome.com.tw/news/152428" target="_blank">微軟</a>、<a href="https://www.ithome.com.tw/news/154029" target="_blank">Lyft</a>、<a href="https://www.ithome.com.tw/news/154018" target="_blank">Stripe</a>、<a href="https://www.ithome.com.tw/news/154112" target="_blank">Meta</a>與<a href="https://www.ithome.com.tw/news/154241" target="_blank">Amazon</a>等。</p> </div></div></div>
2022/12/1 16:53作者陳曉莉https://www.ithome.com.tw/news/154516
OpenAI開發能追問並拒絕不當要求的對話語言模型ChatGPT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI發表對話最佳化語言模型<a href="https://openai.com/blog/chatgpt/">ChatGPT</a>，該模型能夠以對話的方式與使用者進行互動，對話的格式讓ChatGPT可以回答後續問題、承認錯誤、質疑不正確的前提以及拒絕不適當的要求。ChatGPT目前為研究預覽階段，供用戶免費試用。</p> <p>ChatGPT能以對話的方式幫助使用者解決各種問題，像是開發人員可以貼一段存在臭蟲的程式碼，並且要求ChatGPT提供除錯方法，ChatGPT會利用對話與開發者互動詢問更多資訊，以提供具體有效的解法。當然用戶也可以跟ChatGPT討論有關費馬小定理，或是要求ChatGPT編寫一段跟鄰居自我介紹的文字，而ChatGPT會拒絕回答用戶，諸如侵入他人房子的方法等提問。</p> <p>ChatGPT從GPT-3.5的模型微調而成，研究人員運用與之前訓練語言服務模型InstructGPT相同的方法，以人類回饋增強學習（RLHF）訓練該模型，但在資料收集配置上略作調整。ChatGPT仍存在一些限制，像是ChatGPT有時會寫出看似合理，但是不正確或荒謬的答案，研究人員解釋，主要原因有三個，除了在增強訓練時缺乏事實來源之外，訓練模型因為過度謹慎，可能會拒絕回答可以正確回答的問題，又或是在監督訓練時被誤導。</p> <p>ChatGPT對輸入的措辭調整非常敏感，當用戶在查詢問題時，可以嘗試調整措辭或以相同提示多試幾次，當模型表示不知道答案，可能用戶只要稍微改寫句子，模型就能夠正確回答。</p> <p>研究人員還提到，有時候ChatGPT的解釋會過度冗長或是不停重複部分詞語，像是一直重申他是由OpenAI訓練的語言模型，而原因來自訓練資料的偏差，因為人工智慧訓練者喜歡更全面且更長的回答，再加上常見的模型過度最佳化問題，讓ChatGPT出現重複語句的問題。在理想的情況，當用戶提出模稜兩可的查詢時，模型會提出問題試圖澄清查詢，但當前模型通常傾向猜測用戶的意圖。</p> <p>另外，雖然OpenAI盡量讓ChatGPT能夠拒絕不當請求，但是ChatGPT有時候仍會回應有害指令或是出現偏見行為，研究人員以Moderation API來警告或阻擋特定類型的不安全內容，但是預期會有部分遺漏，他們會收集用戶回饋，並且改進該系統。</p> </div></div></div>
2022/12/1 16:57作者李建興https://www.ithome.com.tw/news/154513
數位廣播電臺SiriusXM漏洞成為駭客入侵汽車的管道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/samwcyo/status/1597792097175674880" target="_blank">資安賞金獵人Sam Curry本周揭露</a>，該團隊可自遠端解鎖、啟動、定位或存取Honda、Nissan、Infiniti與Acura等眾多品牌的汽車，只因為它們都使用了同樣的衛星廣播服務SiriusXM，且該服務暗藏了一個身分認證漏洞。</p> <p>Curry說明，他們先是在不同的汽車上的車載資訊系統（Telematics）發現允許遠端存取的安全漏洞，進而好奇車載資訊系統供應商的身分，卻發現兇手是美國知名的衛星廣播服務SiriusXM。</p> <p><a href="https://www.siriusxm.com/corporate?intcmp=FullFooter_NA_www:help_AboutSiriusXM" target="_blank">Sirius XM</a>為美國的數位及衛星廣播服務供應商，提供各種與聲音有關的數位娛樂，不管是音樂、運動、談話節目或播客等，號稱是北美最大的數位音訊供應商，其SiriusXM服務安裝在美國所有主要汽車品牌的新車上，就算是中古車也有接近一半內建了SiriusXM。</p> <p>而Curry則發現，SiriusXM所支援的車款涵蓋了Acura、BMW、Honda、Hyundai、Infiniti、Jaguar、Land Rover、Lexus、Nissan、Subaru與Toyota。</p> <p>研究顯示，SiriusXM系統含有一個身分認證漏洞，由於SiriusXM被整合在不同品牌的車載資訊系統上，於是便可藉由該漏洞挾持車載資訊系統，只要知道汽車的識別碼（VIN），就能存取汽車與車主資訊、遠端解鎖及啟動汽車、定位汽車或閃燈等。</p> <p>在<a href="https://gizmodo.com/sirius-xm-bug-honda-nissan-acura-hack-1849836987" target="_blank">《Gizmodo》</a>向Sirius XM求證之後，Sirius XM坦承該漏洞的存在，並說已在收到Curry的漏洞報告之後的24小時內便完成修補。</p> </div></div></div>
2022/12/1 16:34作者陳曉莉https://www.ithome.com.tw/news/154512
【AWS re:Invent 2022直擊】AWS新產品戰略將以資料為主軸，透過整合、治理、安全和透明化來達成數據創新…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【<strong>美國拉斯維加斯現場報導</strong>】今年AWS re:Invent 2022年度大會正式邁入第11屆，超過5萬人實體到場，已恢復往日水準。今年活動重頭戲，就是29日主題演講，AWS執行長Adam Selipsky這次登臺，相較去年首次登場，大多時候都在回顧AWS在各項領域發展，如今執掌一年多，他今年對這家雲端巨頭未來發展策略，明顯有了更清晰的藍圖。在他的帶領下，AWS將以資料為主軸，透過整合、治理、安全和透明化，建立更廣闊的數據探索領域，來達成數據創新，甚至更要朝向「全解決方案」產業應用來發展。</p> <p>一開場，Adam Selipsky先細數他們如何協助大型企業用AWS雲克服自身挑戰，如IBM集團用公雲打造連網汽車服務顛覆駕駛體驗，也有美國遊戲開發商Riot Games靠雲端來應付每秒50萬起事件通報與處理，提高用戶體驗以獲得更高收益。還有全球最大證券交易所Nasdaq完成關鍵核心系統上雲，用於處理金融市場證券發行業務，更多系統年底前將上雲。</p> <p>不僅大型企業有用，Adam Selipsky也引用數據強調，超過8成新創獨角獸都是AWS客戶。</p> <p>Adam Selipsky不只一開始就大談企業上雲經驗，他對於企業用戶的重視，也反應在今年AWS產品發布上跟往年明顯不同。AWS今年產品策略以擴大和延續為主，許多產品發布都比較是對既有服務或產品的補強，不是大更新，而是回應顧客最迫切想要的功能，雖然少了酷炫，但也意味著，他們開始深入企業應用，來一一把各種企業需求補齊。</p> <p>長達2小時的主題演說，Adam Selipsky用「合適工具（Right Tools）」、「整合（Integration）」、「治理（governance）」以及「洞察（Insight）」貫穿整場演講。他表示，面對複雜的資料規模挑戰，企業需要一套完整工具，可以處理各種資料類型，並將這些資料整合，然後提供治理和安全性，還要能夠以視覺化呈現，方便掌握和快速傳遞，來獲得對於公司業務有價值的洞察。</p> <p>他所提出的這個企業數據戰略，可以說就是AWS新的產品策略，這次眾多雲端產品發布和服務更新，都是圍繞這個新策略發展，推出各種資料整合、治理、安全和透明化的服務方案。</p> <h3><strong>對無伺服器布局更加完整，能夠通吃旗下所有分析服務</strong></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/R0009264(1).JPG" style="width: 600px; height: 308px;" /></p> <p>在工具上，AWS已提供完整資料庫、分析、ML/AI工具，協助企業做資料處理和運用。尤其在分析服務上，AWS今年對於無伺服器（serverless）布局更加完整了。去年AWS在年度大會上宣布AWS資料倉儲服務Redshift能支援無伺服器服務後，其他分析服務今年也陸續開始支援，包括大數據處理平臺EMR、即時分析工具MSK，加上原本就能用於無伺服器型態的互動式查詢服務Athena、資料串流服務Kinesis、資料整合服務AWS Glue以及BI服務QuickSight。就只有搜尋和分析引擎服務OpenSearch還沒serverless化，不過今年AWS也把這個缺口填平。雖然只有預覽版，但透過該服務，企業已經能根據工作量變化自動擴展，因應PB級數據查詢和分析任務需求，包括日誌分析、即時應用監控、點擊流量分析等。</p> <p>Adam Selipsky強調：「沒有人像我們可以做到所有分析服務都能提供serverless。」</p> <p>為何serverless對於AWS如此重要？Adam Selipsky並沒有太多說明，但從他去年大會上曾提到說，在他來看，雲端運算還在初期發展階段，要先把下水道工程布局布好，所以AWS是以雲還在起步的概念來布局，而serverless就是一個重要戰略，對於serverless持續加快布局，就是要把包括分析在內的服務都serveless化，這一步還在持續發展，但AWS先從資料分析服務著手，並用資料整合來加以擴大。</p> <p>不光是提供serverless型態，其他資料庫和分析服務這次也新增不少功能，像是有推出整合Spark的Athena服務，讓Athena使用Spark進行互動式分析更容易，以及透過自動化監測和管理提高AWS Glue服務中的資料品質。另外DocumentDB Elastic Clusters服務現在可以支援每秒數百萬次寫入和儲存PB級資料。還有為Redshift提供高可用配置設定，能跨多個可用區進行配置。</p> <h3><strong>以實現zero-ETL願景的資料整合為目標</strong></h3> <p>AWS今年在資料整合也有新布局，以往要做到不同資料庫、資料倉儲的資料整合這件事，需要透過ETL（萃取、轉置、載入）流程，對於分析人員來說，太花時間，所以需要有新的資料整合方式，來加快資料運用。這也成了AWS想要替企業客戶解決的痛點。甚至Adam Selipsky明白指出：「對於AWS而言，未來將以提供實現zero-ETL願景的資料整合為目標。」</p> <p>Amazon Aurora zero ETL Integration with Redshift推出，就是AWS跨出資料整合第一步，先讓自家兩大數據雲端服務Aurora與Redshift的資料能夠整合，只要將資料寫入Aurora幾秒內，數據就可以在Redshift中來使用，不需要建立和執行繁鎖ETL流程。這種zero-ETL資料整合方式，也讓企業可以在Redshift實例中分析多Aurora資料庫叢集的數據，來獲得跨多應用的整體洞察。</p> <p>AWS對於資料倉儲的布局，也跨到整合串流大數據分析領域的主流平臺Spark，使企業以後在Redshift上構建和執行Spark應用變得容易多了。</p> <p>在AI產品發展上，AWS延續去年端到端的資料戰略，AWS從去年就已經建構更加完整的機器學習和AI服務，從底層機器學習框架及基礎架構，到機器學習訓練環境全託管服務SageMaker，以及上層AI服務。</p> <p>雖然這次SageMaker服務沒有大型更新，大多是一些補強功能，但也持續加強SageMaker服務完整性，像是新增ML Governance功能，可以讓端到端ML開發過程中，開始能夠結合治理和審計功能，來幫助企業解決ML治理的挑戰。對於機器學習模型建立，現在也可以支援使用地理空間的資料，來建立、訓練和部署相關ML模型。</p> <p>而在No code服務上，AWS針對No code的QA工具Quicksight Q推出新功能，不只是能以自然語言進行提問，還能讓使用者可以用「為什麼」來發問，再根據機器學習模型得到預測和分析的結果，給出建議或答案。而透過採用這樣方式，可以降低專業IT或資料科學家的負擔，讓更多非專業素人更容易運用AI。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20221129_181236691.jpg" style="width: 600px; height: 390px;" /></p> <h3><strong>借助Amazon電商供應鏈多年經驗，推出雲端供應鏈管理新服務</strong></h3> <p>在產業應用上，AWS也開始朝向全解決方案發展，這次新推出的AWS Supply Chain雲端供應鏈管理服務，就是瞄準全產業供應鏈管理需求。雖然目前仍是預覽版，但AWS強調，透過這套服務，企業未來可以自動組合和分析跨多個供應鏈系統的數據。這套服務更是借助了Amazon電商物流供應鏈多年經驗與技術發展而來，但不限於電商，其他行業也能用。</p> <p>更進一步來說，企業能使用該應用服務內建的連接器，建立統一供應鏈數據湖，該連接器運用Amazon在供應鏈使用預訓練機器學習模型，來匯整從ERP和供應鏈管理系統中取得的所有數據，並以視覺化呈現，除了方便相關負責人隨時查看庫存變化，也能以此建立風險預警機制，一旦辨識為潛在高風險情況，就能提供警訊給負責人員，提前採取避險行動。</p> <p>採用業者目前有全美最大天然及有機食品超市Whole Foods Market、美國廚具供應商Lifetime Brands以及燒烤設備製造業者Traeger Grills。該服務將會在美國、歐洲上線，其他地區陸續也將推出。</p> <p>另外在安全上，AWS這次推出名為Amazon Security Lake的安全數據湖服務，可以協助企業組織聚集、管理和分析日誌和事件數據，包含AWS和其他合作廠商的數據，讓整個威脅檢測、調查和事件應變速度能更加提升。新的數據管理服務DataZone，則使企業能夠很快對儲存在AWS中的數據進行目錄編制、探索、共享和管理，確保資料來源是安全且可信。在GuardDuty EKS Protection防護服務上，新增對於容器runtime威脅偵測功能。</p> <p>在基礎設施方面，AWS目前超過600種運算實例類型，涵蓋一般用途、運算優化、記憶體優化、儲存優化、爆漲型效能及加速硬體等，AWS這次也發布採用新一代Nitro系統和Graviton處理器的執行個體服務。</p> <p>Nitro是AWS打造的EC2執行個體基礎平臺，歷經4代改版後，新一代Nitro大幅提高網路傳輸能力，每秒封包傳輸速度較前一代提高60%，反應速度加快30%，每瓦效能也有獲得40％改善。AWS這次還更新Graviton產品，儘管未是如外界預期Graviton4，而是改推出一款經改良的Graviton3E處理器晶片，但是該款處理器的向量指令性能表現，較前一代Graviton3能再提高30%，專用於HPC應用場景需求。</p> <p>AWS運用Graviton3E和Nitro推出多個執行個體服務，包含能支援200Gbps超大網路頻寬的C7gn，還有推出高效能運算專用的Hpc7G等。AWS這次也更新x86架構EC2實例，推出名為R7iz的新類型，能夠支援第4代Intel Xeon Scalable處理器，使每個vCPU效能比z1d再提升20%。C7gn、R7iz先推預覽版，Hpc7G最快明年才推出。</p> </div></div></div>
2022/12/1 13:40作者余至浩https://www.ithome.com.tw/news/154504
AWS推可整合與分析安全資料的資料湖服務Amazon Security Lake
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為滿足企業對於安全資料分析需求，AWS推出了<a href="https://aws.amazon.com/tw/blogs/aws/preview-amazon-security-lake-a-purpose-built-customer-owned-data-lake-service/">Amazon Security Lake</a>服務預覽版，該服務能夠自動將組織的安全資料，從雲端和本地來源集中儲存到專門的資料湖，官方提到，Amazon Security Lake自動化安全資料管理，整合AWS服務和第三方服務所產生的資料，用戶可設置留存規則來管理資料生命周期，同時該服務還會自動分層儲存以節省成本。</p> <p>Amazon Security Lake的主要功能，會自動收集包括Route 53、S3和Lambda，以及Security Hub來自GuardDuty、Macie與Health Dashboard的日誌和事件來源，另外，超過50個第三方安全調查結果，也能夠整合到Amazon Security Lake中，AWS安全合作夥伴可以直接將資料，透過OCSF（Open Cybersecurity Schema Framework）標準格式發送至Security Lake。</p> <p>官方提到，Security Lake能夠自動對傳入的日誌資料建立分割區，並將其轉換成能夠高效儲存和查詢的Parquet或OCSF格式，促使資料更廣泛安全地分析。管理人員還能夠控制Security Lake訂閱者的資料存取層級，遵守資料留存法規要求。</p> <p>目前Security Lake已經整合許多第三方資料來源和訂閱服務，支援OCSF安全資料的第三方來源包括Cisco、Palo Alto Networks和VMware等，而支援的第三方自動化分析工具則包含Datadog、IBM與Splunk等。</p> <p>Amazon Security Lake預覽版已經在多個AWS地區上線，包括美東、美西、歐洲，亞太則有東京和雪梨地區。</p> </div></div></div>
2022/12/1 16:14作者李建興https://www.ithome.com.tw/news/154510
IBM與Maersk將關閉航運區塊鏈平臺TradeLens
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>總部位於丹麥的全球最大貨櫃船運業者<a href="https://www.maersk.com/news/articles/2022/11/29/maersk-and-ibm-to-discontinue-tradelens" target="_blank">快桅（A.P. Moller-Maersk，Maersk）周二（11/29）宣布</a>，即日起將著手關閉在2018年與IBM共同推出的航運區塊鏈平臺TradeLens，預計於明年第一季正式下線。</p> <p><a href="https://www.tradelens.com/" target="_blank">TradeLens</a>屬於物流科技（FreightTech），指的是由軟體公司利用技術來協助發展物流領域的供應鏈管理，而由IBM與Maersk旗下部門GTD Solution<a href="https://www.ithome.com.tw/news/120783" target="_blank">在2018年共同推出的TradeLens</a>則採用當時最時興的區塊鏈技術，將全球貨櫃交易系統數位化，成立5年來已追蹤逾37億次的航運事件，處理近7,000萬個貨櫃。</p> <p>不過，Maersk商用平臺負責人Rotem Hershko表示，TradeLens創立於大膽的願景上，企圖成為一個開放與中立的產業平臺，只是雖然它們已成功打造出一個可行的平臺，卻未實現全面的全球產業協作，這使得TradeLens沒能達到持續運作所需的商業水準，也無法滿足作為一獨立業務的財務預期。</p> <p>從現在到明年第一季這段期間，TradeLens團隊將會協助客戶在不中斷業務的情況下退出服務。</p> <p>儘管決定棄守TradeLens，但Maersk強調將持續數位化其供應鏈，並藉由其它解決方案來增進產業的創新，以減少貿易磨擦並促進更多的全球貿易。</p> </div></div></div>
2022/12/1 14:00作者陳曉莉https://www.ithome.com.tw/news/154509
AI趨勢周報第202期：DeviantArt打造文生圖AI，還賦予創作者同意權和加註權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1118～1124)</span></p> <p>生成式AI近來如火如荼發展，但也引發不少問題。比如文字轉圖像AI，就有畫作版權問題，為此，DeviantArt打造一款文生圖AI，賦予創作者同意權和加註權，可拒絕將自己的作品讓模型使用。另一方面，生成式AI也有Deepfake問題，英特爾打造一套系統來揪出Deepfake假影片。在AI應用部分，則有專家探究樹狀模型分析表格數據的能力比深度學習模型好，IBM與PyTorch也發現大型AI模型在雲端訓練的加速方法，AWS正式推出整合機器人的服務，而Nvidia釋出新工具來加速醫療AI應用的打包和測試；同樣是醫療AI，臺北慈濟揭露要開發更多影像AI，如氣胸、心臟腫大。最後，Meta成功研發能執行複雜遊戲任務的AI系統，可制訂策略、說服玩家並取勝。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">DeviantArt </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DreamUp </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 文生圖 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>新做法！DeviantArt打造文生圖AI，還賦予創作者同意權和加註權</strong></span></p> <p>隨著多模態AI發展，這兩年出現不少文生圖（即文字轉圖像）大型模型，如OpenAI的DALL-E 2、Google的Imagen和Parti，雖能產生創新細膩的畫風，卻也引發AI畫作奪下美國藝術大賽首獎的爭議，以及AI產出的畫作版權問題。</p> <p>為解決版權問題、保障藝術家權益，知名線上數位藝術交流社群DeviantArt近日打造一款文生圖AI模型DreamUp，是開源文生圖產生器Stable Diffusion的一般實作，利用網路上的畫作訓練而成。它可讓使用者輸入文字，甚至可輸入想產出哪位畫家的風格，來生產畫作。但不同的是，他們給予藝術創作者決定權，來決定是否要讓自己的作品，出現在模型訓練資料集中，以及是否開放讓DreamUp產出自己創作風格的畫作，若同意，系統會在AI產出的畫作上加註標籤，給予認可。</p> <p>不過，根據<a href="https://www.deviantart.com/team/journal/Create-AI-Generated-Art-Fairly-with-DreamUp-933537821">官網最新資訊</a>，DeviantArt宣布，所有在DeviantArt上發布的作品，都不會作為DreamUp和第三方AI模型的訓練資料。<a href="https://www.dreamup.com/">（詳全文）</a></p> <p><img alt="" src="https://images-wixmp-ed30a86b8c4ca887773594c2.wixmp.com/f/eae614f8-f83b-4837-935b-ab22f4298eb2/dfhfljl-3652940b-9cf2-42bd-bee3-69c2a6ea4bcd.png/v1/fill/w_962,h_831,q_70,strp/dreamup_promo_by_team_dfhfljl-pre.jpg?token=eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJzdWIiOiJ1cm46YXBwOjdlMGQxODg5ODIyNjQzNzNhNWYwZDQxNWVhMGQyNmUwIiwiaXNzIjoidXJuOmFwcDo3ZTBkMTg4OTgyMjY0MzczYTVmMGQ0MTVlYTBkMjZlMCIsIm9iaiI6W1t7ImhlaWdodCI6Ijw9MTEwNSIsInBhdGgiOiJcL2ZcL2VhZTYxNGY4LWY4M2ItNDgzNy05MzViLWFiMjJmNDI5OGViMlwvZGZoZmxqbC0zNjUyOTQwYi05Y2YyLTQyYmQtYmVlMy02OWMyYTZlYTRiY2QucG5nIiwid2lkdGgiOiI8PTEyODAifV1dLCJhdWQiOlsidXJuOnNlcnZpY2U6aW1hZ2Uub3BlcmF0aW9ucyJdfQ.VFpfux0HsQl44Pb-qON8hgImEFmdTcQ1OdPNp0qRMfU" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 決策樹 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 表格數據 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 類神經網路 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>為何決策樹在處理表格數據比類神經網路好？專家找到原因</strong></span></p> <p>雖然類神經網路在語音、文字和圖像處理方面表現優越，但對於表格類數據的預測，卻仍不如決策樹及其變形演算法。法國國家訊息與自動化研究所（Inria Saclay Centre）和索邦大學聯手研究，他們先以45個表格資料集，如電價漲跌和房市預測等資料，來訓練多個類神經網路和樹狀模型，像是ResNet、Transformer模型，以及XGBoost、隨機森林、梯度升高機等。</p> <p>接著，他們對每個模型訓練400次，在預訓練超參數空間中隨機搜尋。再來，他們根據測試集準確率和回歸模型R2值，來評估模型的分類表現。團隊發現，樹狀模型的表現比深度學習模型好上2、3成，但在另一個平滑標籤的實驗中則發現，樹狀模型用平滑標籤訓練，表現下降得比神經網路還多，也就是神經網路比較適合平滑標籤，而樹狀模型學習不規則映射標籤的能力較好。<a href="https://openreview.net/forum?id=Fp7__phQszn&utm_campaign=The%20Batch&utm_source=hs_email&utm_medium=email&_hsenc=p2ANqtz-_X9dgflKKIB9X0cYyeTNFmsYGmyDE0Mj7YKcqUcOU2cPXmq4GSYmYQ2e3JhdecNio8aApx">（詳全文）</a></p> <p><img alt="" src="https://github.com/LeoGrin/tabular-benchmark/raw/main/analyses/plots/random_search_classif_numerical.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 英特爾 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> FakeCatcher </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Deepfake </span></strong></span></p> <p><span style="font-size:22px;"><strong>準確率96%！英特爾新偵測技術能即時辨識Deepfake</strong></span></p> <p>英特爾推出可準確偵測Deepfake虛假影片的偵測器FakeCatcher，準確率高達96％！英特爾號稱是全球首個能以毫秒即時回傳結果的Deepfake偵測器。英特爾即時平臺所使用的偵測器FakeCatcher，由英特爾與紐約州立大學研究人員共同開發，並在英特爾的硬體和軟體上運作。</p> <p>目前大多數深度學習偵測器，都是查看原始資料，試圖找影片中不合理的線索。但FakeCatcher是判斷影片人像的血流，也就是尋找影片中真實之處，來證明影片非合成。當人類的心臟跳動泵血作用發生時，靜脈的顏色會發生改變，FakeCatcher收集臉部的血流訊號，並將這些訊號轉換成時空圖，由深度學習演算法立刻判斷影片真偽。<a href="https://www.intel.com/content/www/us/en/newsroom/news/intel-introduces-real-time-deepfake-detector.html#gs.iiv85u">（詳全文）</a></p> <p><img alt="" src="https://www.intel.com/content/dam/www/central-libraries/us/en/images/2022-11/newsroom-deepfake-ifgx.jpg.rendition.intel.web.1648.927.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫療影像AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MONAI Deploy </span></strong></span></p> <p><span style="font-size:22px;"><strong>Nvidia推出新框架來加速醫療影像AI部署</strong></span></p> <p>Nvidia日前宣布推出MONAI Deploy框架，來加速醫療影像AI應用的部署工作。MONAI是一款開源的醫療影像AI框架，提供影像標註、AI模型開發和加速訓練，至今已超過65萬次下載。這次，MONAI框架中新添MONAI Deploy工具，來加速使用者將醫療AI應用，部署到既有的醫療生態系中。MONAI之所以能加速，是因為有MAP這個打包技術，簡化AI模型的打包和測試過程，且MAP規格還整合了醫療資料交換標準，如DICOM，來提高互通性。</p> <p>此外，不少公雲業者也支援MAP和MONAI Deploy，如Amazon HealthLake Imgaing服務就與MAP連接器串聯，使用者可即時查看、處理和分割影像，再來還有Google雲的醫療影像套件、微軟Azure的Nuance Precision Imaging Network，以及甲骨文Cloud Infrastructure，來讓使用者在容器或自有平臺上使用這些工具。目前採用MONAI Deploy的使用者有辛辛那提兒童醫院、英國國民保健署醫院、加州大學舊金山分校等。<a href="https://blogs.nvidia.com/blog/2022/11/28/monai-deploy-framework-medical-imaging-ai-apps/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IBM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> PyTorch </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 大型模型 </span></strong></span></p> <p><span style="font-size:22px;"><strong>IBM聯手PyTorch提高大型AI模型上雲訓練效率</strong></span></p> <p>IBM研究院與PyTorch合作，發展一套rate_limiter控制元件，能透過配置訓練時的記憶體，讓數十億參數的模型，也能在標準雲端網路基礎設施（如乙太網路）上執行訓練。</p> <p>IBM表示，一般參數數十億的模型，大多得在高效能運算（HPC）基礎設施上執行，但對許多想要自己訓練模型、自己使用的開發者來說，就是個大挑戰。於是，IBM與PyTorch分散式團隊合作，利用PyTorch的完全分片資料平行技術（FSDP）、開發FSDP API和rate_limiter控制元件，來控制用於發送和接收張量的記憶體，提高4.5倍效率。他們成功在IBM Cloud上的標準乙太網路訓練110億參數的模型，這個雲平臺算力由200個節點組成，每個節點有8張Nvidia A100 80GB顯示卡，與96 vCPU、1.2TB CPU記憶體。該系統自5月開始運作，可完成大型模型端到端訓練、微調和推理。<a href="https://research.ibm.com/blog/ibm-pytorch-cloud-ai-ethernet">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Meta </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CICERO </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 外交 </span></strong></span></p> <p><span style="font-size:22px;"><strong>策略AI新成就！Meta新遊戲AI與真人玩家談判還獲勝</strong></span></p> <p>Meta打造新AI系統CICERO，可在策略遊戲《外交》中與其他人類玩家溝通，甚至說服其他玩家結盟、取得勝利，還躋入遊戲排名前10％。《外交》這款遊戲一直是AI難以克服的挑戰，因需掌握、理解其他玩家的動機和觀點，並制定複雜的計畫，再以自然語言與其他人類玩家達成協議。</p> <p>CICERO主要運用2種AI領域，一是策略推理，如AlphaGo中的代理，另一是自然語言處理（NLP），如GPT-3和LaMDA。比如，CICERO推論在遊戲後期需要某玩家的支援，它就會從該玩家的角度來分析風險和機會，來擬訂策略、得到該玩家的青睞。CICERO由一個可控的外交對話模型和一個策略推理引擎組成，在遊戲的每個階段，CICERO會查看遊戲板和對話歷史，然後對其他玩家可能採取的行動建模，並用來控制一個開放式對話的語言模型，來告知其他玩家模型的計畫、提出合理的行動建議。最後，Meta也開源CICERO程式碼。<a href="https://ai.facebook.com/blog/cicero-ai-negotiates-persuades-and-cooperates-with-people/">（詳全文）</a></p> <p><img alt="" src="https://scontent.ftpe8-4.fna.fbcdn.net/v/t39.2365-6/315836854_652152046378603_5234375388719659388_n.gif?_nc_cat=111&ccb=1-7&_nc_sid=ad8a9d&_nc_ohc=TZnWw2pMaawAX-0bzn-&_nc_ht=scontent.ftpe8-4.fna&oh=00_AfDAJk0X_xyC7Nk8-IBctnpBc8h5dmknJ9rT8nEnkhruAQ&oe=638C7F68" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 臺北慈濟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫療AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺灣人工智慧實驗室 </span></strong></span></p> <p><span style="font-size:22px;"><strong>臺北慈濟要打造更多醫療影像AI</strong></span></p> <p>臺灣人工智慧實驗室（Taiwan AI Labs）日前與臺北慈濟醫院簽署MOU，要鎖定醫療影像AI、早期預警等領域，打造創新應用來解決各種臨床問題。特別的是，他們不只著重於研發，還著墨可信任、可解釋AI，貼近行政院接下來要推動的第2期臺灣AI行動計畫方向。</p> <p>目前，臺北慈濟的醫療AI應用有ICD-10疾病分類智能編碼，可推薦醫師診斷關聯群DRG的最適組合，此外還有檢體影像智能自動判讀系統和血液細胞型態自動閱片分析儀，以AI來加速檢驗工作。而在臨床方面，臺北慈濟也與華碩打造敗血症預測系統，來即時預警敗血症，降低院內敗血症死亡率。</p> <p>臺北慈濟醫院趙有誠院長表示，這次與臺灣人工智慧實驗室的開發計畫，將先鎖定放射科與胸腔科，建置影像判讀AI系統，來判讀氣胸、肺結核、心臟腫大等病灶。對臺灣人工智慧實驗室來說，與臺北慈濟聯手是個重要起點，未來若能與各地慈濟醫療體系串聯，就能更廣泛運用AI。<a href="https://tw.tzuchi.org/%E5%85%A8%E7%90%83%E5%BF%97%E6%A5%AD/%E8%87%BA%E7%81%A3/item/27013-%E5%8C%97%E6%85%88%E8%88%87%E4%BA%BA%E5%B7%A5%E6%99%BA%E6%85%A7%E5%AF%A6%E9%A9%97%E5%AE%A4%E7%B7%A0%E7%B4%84-%E5%85%A8%E9%9D%A2%E6%8B%93%E5%B1%95%E6%99%BA%E6%85%A7%E9%86%AB%E7%99%82">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AWS </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機器人 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IoT RoboRunner </span></strong></span></p> <p><span style="font-size:22px;"><strong>AWS正式推出機器人機隊管理服務</strong></span></p> <p>AWS正式推出機器人服務IoT RoboRunner，可用來打造機器人機隊，讓使用者控制機器人無縫協作、打造自動化應用。AWS指出，IoT RoboRunner可減少用戶在開發機器人應用程式時，所面臨的多供應商間互通性問題。進一步來說，IoT RoboRunner能從機器人機隊管理器中收集和組合資料，並在集中式儲存庫中標準化機器人狀態、位置等資料類別，提高互通性。系列功能包括機隊管理系統閘道器，能用於管理機器人供應商和IoT RoboRunner的介接，而Shared Space則可在共用空間中協調機器人。<a href="https://aws.amazon.com/tw/about-aws/whats-new/2022/11/aws-iot-roborunner-generally-available/">（詳全文）</a></p> <p>圖片來源／DeviantArt、Inria Saclay Centre、Meta、英特爾</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. OpenAI API釋出更強大的GPT-3新模型Davinci</strong></p> <p>資料來源：iThome整理，2022年12月</p> </div></div></div>
2022/12/1 12:45作者王若樸https://www.ithome.com.tw/news/154508
Google揭露西班牙商業間諜軟體供應商Variston IT的攻擊框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/threat-analysis-group/new-details-on-commercial-spyware-vendor-variston/" target="_blank">Google威脅分析小組（Threat Analysis Group，TAG）在本周揭露</a>了一個由西班牙商業間諜軟體供應商Variston IT所打造的攻擊框架Heliconia，此一框架不僅利用了Chrome、Firefox與Microsoft Defender的零時差漏洞，也提供所有於目標裝置上部署酬載（Payload）的必要工具。</p> <p>TAG長期追蹤各個商業間諜軟體供應商活動，此一產業這幾年發展蓬勃，讓許多政府客戶得以利用它們所開發的平臺或工具來監控新聞記者、人權鬥士與異議份子，而TAG則是在收到匿名的Chrome錯誤報告時，察覺Heliconia的存在。</p> <p>TAG在Heliconia中發現了3個子框架，分別是用來攻擊Chrome沙箱逃逸漏洞的Heliconia Noise，可用來部署含有 Windows Defender攻擊程式之PDF檔的Heliconia Soft，以及可用來攻擊Linux與Windows平臺上Firefox多個安全漏洞的Files。</p> <p>研究人員在Heliconia Noise中發現了開發商Variston IT的名稱，這是一家位於西班牙巴塞隆納的小公司，專門替客戶量身打造資安解決方案。</p> <p>分析顯示，Variston IT在Heliconia框架中所利用的安全漏洞不一定都有漏洞編號（CVE），即使包括Google、微軟與Mozilla都已陸續在去年及今年初修補了被利用的漏洞，且現在並未偵測到任何攻擊行動，但TAG團隊相信，這些漏洞在業者修補之前應該已遭濫用。</p> <p>相關研究彰顯了商業監控活動的擴散，也讓更多的國家能獲得以往只有財力雄厚且具備技術專長的政府才能取得的能力，TAG認為，間諜軟體產業的成長提高了使用者的風險，也降低網路的安全性，即便在某些國家可能是合法的，卻是以有害的方式來對待特定族群，促使TAG決定繼續追蹤並揭露它們。</p> </div></div></div>
2022/12/1 10:24作者陳曉莉https://www.ithome.com.tw/news/154507
AWS成功在衛星部署機器學習技術，供用戶在太空邊緣處理原始資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端上太空成了新興雲端發展方向之一，AWS也致力於在太空建構雲端基礎設施，該公司在其雲端大會AWS re:Invent 2022公開目前雲端上太空的最新成果，他們已經<a href="https://aws.amazon.com/tw/blogs/publicsector/aws-successfully-runs-aws-compute-machine-learning-services-orbiting-satellite-first-space-experiment/">在軌道衛星成功執行AWS運算和機器學習軟體</a>，而AWS提到，這是目前史無前例的太空實驗。</p> <p>這項太空實驗在過去10個月於低地球軌道衛星上進行，目標是要測試以更快更有效的方式，讓用戶可以透過雲端服務，直接在衛星上收集和分析太空資料。目前的實驗成果，用戶已經能夠在衛星上分析大量原始太空資料，並且僅透過衛星下行連結傳送有用的圖像，以供進一步儲存和分析，藉以降低成本並且加速決策步調。</p> <p>AWS提到，在衛星上執行即時資料分析，並透過雲端將分析結果直接交付給決策者，是目前太空資料管理的明確發展方向，有助於突破目前衛星營運的邊界。也就是說，衛星營運商能夠使用熟悉的AWS工具和更新的命令，透過雲端安全地與太空裝置通訊。</p> <p>這項太空雲端實驗，AWS與D-Orbit、Unibap兩家太空業者合作，D-Orbit是太空物流和運輸服務公司，其使用AWS運算和機器學習服務，在ION衛星（下圖）上快速分析大量太空資料進行地球觀測。另外，Unibap則是在衛星上部署程式，目標是要讓終端客戶可以將原始衛星資料，在數分鐘內轉換成為警報，像是從太空辨識地球雲層或是野火煙霧，甚至是建築物和船隻等物體，在特定條件發出警報作為觸發事件。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/ION-SCV004-new11-750px.jpg" style="width: 580px; height: 670px;" /></p> <p>AWS解釋，原始衛星圖像和資料集檔案通常非常龐大，所以Unibap透過機器學習技術，大幅縮小圖像42％，進而提高處理速度並且實現即時推理運算。Unibap團隊透過多個地面站與衛星連線，雙向操作太空資料，而這仰賴AWS雲端和衛星之間的TCP/IP代理，這種方式讓Unibap團隊不需要手動處理多重下行連結，系統將自動管理檔案傳輸。</p> <p>目前AWS、Unibap和D-Orbit的聯合太空實驗仍在進行中，並且繼續測試各種可能性，包括探索更多在衛星處理原始資料的方法，或是更精細的資料傳輸方式。</p> </div></div></div>
2022/12/1 09:51作者李建興https://www.ithome.com.tw/news/154492
AWS發布SimSpace Weaver服務支援超大規模空間模擬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS推出支援大規模空間模擬的運算服務<a href="https://aws.amazon.com/tw/blogs/aws/new-aws-simspace-weaver-build-large-scale-spatial-simulations-in-the-cloud/">SimSpace Weaver</a>，用戶透過SimSpace Weaver可以最多將工作負載擴展至10個執行個體，以進行超大規模的模擬運算。AWS提到，SimSpace Weaver是一個全新的運算服務，模擬開發人員將不受硬體運算和記憶體資源限制。</p> <p>各類型組織都需要對罕見、危險和成本高昂的情況進行模擬，像是政府需要以模擬來測試，自然災害發生時城市的反應系統，或是活動策畫者需要針對大型活動，先進行模擬以預測人流對交通的影響。在這些用例，規畫人員透過模擬測試不同的情況，並且調校每個系統。</p> <p>目前空間模擬通常受限於單一硬體上運作，當開發人員想要模擬更複雜的事件，加入更多的獨立且動態的實體，就需要採用更大的電腦，因此開發人員常因模擬規模受限，需要犧牲模擬的逼真度。AWS表示，真實世界非常複雜，要評估大型演唱會和體育賽事對交通的影響，需要數十萬個獨立動態實體進行建模以表示人員和車輛，每個實體都有自己的行為，模擬系統需要計算這些實體在世界移動，並且和其他實體互動後的狀況。</p> <p>要對這樣規模的事件進行模擬，所需要的CPU和記憶體，超出單一執行個體所能提供的資源，而這便是SimSpace Weaver用武之地，該服務可以跨多個EC2執行個體執行大規模模擬，支援超過1百萬個獨立動態實體。</p> <p>SimSpace Weaver讓用戶可以設定模擬所需要的運算容量，以及將其拆分成多區的方式，將模擬擴展至最多10個EC2執行個體，SimSpace Weaver會處理EC2執行個體的配置，啟動模擬應用程式，並負責在模擬結束後清理環境。</p> <p>用戶不用擔心分區間傳輸實體的複雜性，SimSpace Weaver資料複製系統處理傳輸網路和記憶體管理，而SimSpace Weaver另一個重要功能便是調度程式，調度程式同步所有分散式分區模擬頻率，讓模擬行為像是在同一臺機器上運作。</p> <p>精準地來說，SimSpace Weaver並不是模擬器，而是跨多執行個體將模擬編織在一起的基礎設施，開發人員透過AWS SimSpace Weaver C++開發工具包和程式碼整合建構模擬程式，SDK整合可以讓應用程式在執行個體運作時和SimSpace Weaver軟體互動，使SimSpace Weaver能夠掌握全域狀態，促進實體在模擬應用程式間的傳輸。</p> </div></div></div>
2022/12/1 09:56作者李建興https://www.ithome.com.tw/news/154500
AWS更新Lambda添加初始最佳化以加速函式啟動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS更新其無伺服器運算服務Lambda，加入<a href="https://aws.amazon.com/tw/blogs/aws/new-accelerate-your-lambda-functions-with-lambda-snapstart/">SnapStart</a>新功能來加快初始階段，進而加速整體函式的執行速度，AWS提到，SnapStart可讓Spring Boot、Quarkus和Micronaut等Java框架啟動速度提高至10倍。</p> <p>AWS解釋，函式執行環境生命周期有三個主要的階段，分別為初始（Init）、調用（Invoke）和結束（Shutdown），而初始則是啟動Runtime並且執行函式靜態程式碼的階段，在許多情況下，這些操作會在數毫秒內完成，並且不會有任何明顯的時間延長。</p> <p>但在部分情況，函式初始可能會需要相當長的時間，像是Spring Boot、Quarkus或Micronaut等Java程式語言框架，就會花費較長的時間初始化Runtime，整個Lambda函式初始化可能長達10秒，執行諸如相依項目注入和函式程式碼編譯等操作，另外，靜態程式碼也可能需要下載機器學習模型，預計算一些參照資料，或是和其AWS服務建立網路連接。</p> <p>而Lambda SnapStart能夠針對Lambda函式啟動最佳化程序，該程序會啟動函式並且在初始階段運作，擷取記憶體和磁碟狀態成為不可篡改的加密快照，並且將其快取以供重複使用。之後當函式再次被呼叫時，狀態將會從快取中檢索並用於填充環境。AWS提到，由於最佳化讓創建新的執行環境不需要經過初始階段，因此函式呼叫時間將更快更可預測。</p> </div></div></div>
2022/12/1 10:01作者李建興https://www.ithome.com.tw/news/154502
近兩年更多臺廠加入成為CVE編號管理者，涵蓋網通、IC設計、資安等類型廠商
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著資安研究人員通報、揭露漏洞的消息不斷，設備或元件製造商為了展現對產品安全的重視，不只設立產品資安事件應變小組（PSIRT）統籌因應，近兩年來，加入MITRE CNA計畫、成為其合作夥伴，也成為不少企業看重的面向。</p> <p>基本上，資安界普遍熟知的CVE漏洞編號，是美國MITRE通用漏洞揭露計畫所提出的制度，在此當中，各CVE編號其實是由漏洞編號授權單位指派，也就是CVE numbering authority（CNA）計畫的成員，特別的是，在10月18日，CNA協調工作小組主席Tod Beardsley宣布，新推出<a href="https://www.cve.org/Media/News/item/podcast/2022/10/18/CNA-Mentoring-Program-Members-Helping">CNA指導計畫</a>，希望透過成員彼此互助，帶動更多業者加入。</p> <p>根據MITRE CNA成員列表所示，包含國家級的CERT組織在內，目前（至11月25日止）全球已有35國、259家機構組織及企業，參與這項計畫。而隨著今年10月這項指導計畫的推出，也意味著將有更多類型廠商、業者，能夠更容易提出加入成員的申請。</p> <p>而在臺灣，這兩年內有更多業者響應此計畫。不只網通設備大廠兆勤科技（Zyxel），後續又出現兩家業者，一家是IC設計大廠聯發科（MediaTek），另一家是資安業者如梭世代（ZUSO Generation），還有NAS業者華芸再次重新申請加入。</p> <h3><strong>可更快掌握產品資安問題，不只NAS業者，其他廠商也看重</strong></h3> <p>以臺灣業者加入MITRE CNA合作夥伴的狀況來看，早年，主要是NAS業者積極參與，例如，在2017年，群暉、威聯通、華芸申請加入為CNA合作夥伴，可指派自家產品的CVE漏洞編號。到了2018年，台灣電腦網路危機處理暨協調中心TWCERT/CC亦申請加入，目的是為了推動臺灣業者產品的安全，重視漏洞修補，並提供通報上的協助，而其權限涵蓋範圍較大，可負責所有臺灣資通訊產品的CVE漏洞審核，除非被通報的臺灣產品業者本身就是MITRE CNA合作夥伴。</p> <p>至於聞名全球的臺灣資安業者，如趨勢科技及旗下漏洞通報平臺ZDI，其實亦早已成為MITRE CNA合作夥伴，但兩者在所屬國家被歸類於日本，應是趨勢科技為日本上市公司的緣故。</p> <p>在2020年底時，臺灣僅有3家組織與企業，但這兩年又開始有更多業者申請參加，現在已有7家成為MITRE CNA合作夥伴。例如，去年我們<a href="https://www.ithome.com.tw/news/145914">報導</a>兆勤科技（Zyxel）加入MITRE CNA計畫，他們不僅是國內上市櫃公司加入的首例，該公司當時亦表示，他們觀察到更多國際大廠加入的趨勢。</p> <p>在此之後是IC晶片設計大廠聯發科，他們於2021年10月時<a href="https://corp.mediatek.tw/security-announcement/mediatek-becomes-first-company-in-taiwan-to-complete-authoritative-global-information-security-assessment-bsimm-company-joins-ranks-as-cna-member-demonstrating-a-dedication-to-product-security">發布加入</a>的消息、成為CVE編號管理者。根據該公司公開揭露的資訊，聯發科針對旗下各產品線均已設立專屬PSIRT團隊，加入MITRE CNA計畫的主要目的，是希望更迅速掌控安全性問題，更即時完成漏洞修補。</p> <p>他們還有哪些強化產品安全的作為？去年底該公司已聚焦產品安全開發流程，導入BSIMM評測機制，保護晶片設計相關軟體開發過程，同時也發布了漏洞獎勵計畫，借助外部研究人員找出未知漏洞問題。</p> <p>顯然，聯發科已展現積極正面看待安全事件處理的態度，並提及收到外部安全事件通報時，要落實五大步驟，包括：事件確認、修補、更新、公告與致謝。</p> <p>進一步檢視該公司官方網站，也可以看出成效。例如，在產品安全致謝<a href="https://corp.mediatek.com/product-security-acknowledgements">頁面</a>，或是產品安全公告頁面上，從去年1月至今，每月都有十幾到二十多個漏洞的修補，定期以公開透明方式揭露，而去年其CVE漏洞的指派CNA單位，主要為Android（associated with Google Inc. or Open Handset Alliance），到了2022年，我們可以發現，新指派的漏洞，已經是由聯發科自己審核發布。</p> <p>另一家加入MITRE CNA的業者，是資安公司如梭世代，今年5月時<a href="https://www.ithome.com.tw/pr/150841">發布加入</a>。較特別的是，不同於國家級CERT或廠商類型的CNA，該公司申請的是弱點研究小組（Vulnerability Researchers）的CNA，當發現各廠商產品或服務漏洞時，他們將可與廠商溝通弱點技術，並指派CVE編號。目前，全球有53個組織屬於研究小組的角色，如梭世代是臺灣首家申請的業者。</p> <p>過去該公司曾挖掘出35個CVE漏洞並通報，當中多數為國內業者的產品漏洞，我們從TWCERT/CC所建置的TVN漏洞公告平臺，即可看到有些漏洞的通報者是如梭世代，而CVE編號是由TWCERT/CC來指派。</p> <p>如今，在今年5月後，如梭世代加入CNA計畫成員，這意味著，本身具備指派CVE ID的能力。該公司表示，現階段已有挖掘出的新漏洞，只是仍處於不便公開階段，將會依循標準漏洞政策程序揭露，日後才會公開。</p> <p>至於華芸，我們在去年注意到該公司竟不在CNA成員名單之列。對此，該公司表示，他們在2017年就已加入，但因為在隔年沒注意到相關規範，而未定期更新與參與工作小組活動，而被MITRE取消資格。但隨著2021年NAS資安問題一再被突顯，促使該公司決定再次申請，並於9月底重新獲得資格，隔月正式對外<a href="https://www.asustor.com/zh-tw/news/news_detail?id=26954">宣布</a>。</p> <p>無論如何，臺灣有更多廠商能夠取得MITRE CNA的成員資格，別具意義，而我們也觀察到，在最近一個多月，全球成員增加達17個，以整體成員共259家來計算，數量增長幅度算是顯著。而隨著MITRE CNA指導計畫的發布，對於想加入的組織或業者而言，將是更為友善，因為他們設置一專門的Google表單供申請者填寫，對於既有CNA成員而言，可以申請成為指導者，提供CVE漏洞撰寫的經驗協助，對於想要加入的新成員而言，可望更容易聯繫到CNA協調工作小組，請求指導者能提供這方面的協助。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89MITRE%20CNA%20Partner_2022-11-29.jpg" style="width: 600px;" /></p> <p><strong>截至2022年11月29日止，成為MITRE通用漏洞揭露計畫的<a href="https://www.cve.org/PartnerInformation/ListofPartners">CVE Numbering Authority（CNA）合作夥伴</a>，全球共35國、259家機構與企業參與，其中，臺灣組織企業有7家，包括：群暉科技（Synology）、威聯通（QNAP）、台灣電腦網路危機暨協調中心（TWCERT/CC）、兆勤科技（Zyxel）、聯發科（MediaTek）、華芸（Asustor）與如梭世代（ZUSO Generation）。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-30_175622.jpg" style="width: 600px;" /></p> <p><strong>近期CNA協調工作小組（CNACWG）主席Tod Beardsley宣布，將推出成員彼此互助的<a href="https://www.cve.org/Media/News/item/podcast/2022/10/18/CNA-Mentoring-Program-Members-Helping">CNA指導計畫</a>，這也意味，如今他們也期盼有更多成員參與加入成為合作夥伴。</strong></p> </div></div></div>
2022/11/30 18:04作者羅正漢https://www.ithome.com.tw/news/154501
【資安日報】2022年11月30日，駭客透過抖音短片散布竊密程式WASP、未修補已知漏洞的Fortinet資安設備網址…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定開發人員並濫用NPM、PyPI套件庫散布惡意軟體的攻擊行動，之前傳出不少事故，但最近研究人員發現極為不同的新手法──駭客透過抖音短片來做為誘餌，並表示他們擁有解除濾鏡效果的工具，一旦觀眾依照指示下載，駭客將從PyPI套件庫取得竊密軟體，並於受害電腦部署。</p> <p>今年10月Fortinet修補的身分驗證繞過漏洞CVE-2022-40684，也出現有人將尚未修補的系統名單進行彙整，並在網路犯罪圈進行兜售的情況！而駭客收集該廠牌有漏洞設備的網址供他人進一步運用的情況，已非首例，<a href="https://www.ithome.com.tw/news/141261">2020年就有人收集近5萬筆Fortinet SSL VPN的IP位址求售</a>。</p> <p>世界盃足球賽相關的網路攻擊行動也相當值得留意，<a href="https://www.ithome.com.tw/news/154378#fifa2022">我們先前報導過針對球迷與球隊的網釣攻擊</a>，但最近有研究人員發現，駭客不止發動釣魚郵件攻擊，還推出假的球場通行證與加密貨幣，並向主辦國卡達的企業發動DDoS攻擊。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://checkmarx.com/blog/attacker-uses-a-popular-tiktok-challenge-to-lure-users-into-installing-malicious-package/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客藉由特製的抖音影片散布竊密程式WASP，套件供應平臺、資安研究員、開發者均有可能淪為幫兇</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/tiktok_invisible-01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/tiktok_invisible-01.png" style="width: 300px; float: right;" /></a>抖音的特效濾鏡影片成為駭客散布惡意軟體管道！資安業者Checkmarx揭露利用有人散布竊密程式WASP的攻擊行動，駭客先在抖音上傳隱形挑戰（Invisible Challenge）的短片，此種影片用戶會拍攝自己裸體擺出多種動作的影片，再透過抖音應用程式的濾鏡使身體的部分模糊。</p> <p>在此同時，駭客宣傳能破解濾鏡的工具「unfilter」，觀眾若想要取得此軟體，必須加入駭客的Discord伺服器，申請加入的過程中，還會要求觀眾為駭客的GitHub專案給予星級評價（類似臉書的讚）。</p> <p>此GitHub專案存放了BAT批次檔案與YouTube安裝教學影片，一旦受害者依照指示安裝，此批次檔就會從PyPI套件庫下載WASP。研究人員指出，雖然他們向PyPI通報後含有WASP的惡意套件已經下架，但駭客很快又重新製作類似的惡意套件。</p> <h3><a href="https://blog.cyble.com/2022/11/24/multiple-organisations-compromised-by-critical-authentication-bypass-vulnerability-in-fortinet-products-cve-2022-40684/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">有人兜售未修補已知身分驗證漏洞的Fortinet資安系統名單</span></strong></a></h3> <p>資安業者Fortinet<a href="https://www.ithome.com.tw/news/153533">於10月初修補重大漏洞CVE-2022-40684</a>，此漏洞影響該廠牌的FortiOS、FortiProxy、FortiSwitchManager，且已傳出攻擊行動，如今已有人彙整存在漏洞的設備網路位址清單，並在暗網求售。資安業者Cyble指出，他們在11月17日發現，駭客於網路犯罪論壇上兜售FortiOS的VPN存取資料清單，而這些Fortinet系統的共通點，就是執行尚未修補CVE-2022-40684的FortiOS作業系統，而且，攻擊者試圖將他們的公鑰加入其管理員帳號。</p> <h3><a href="https://cloudsek.com/whitepapers_reports/fifa-world-cup-qatar-2022-cyber-threat-landscape/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客以世界盃足球賽的名義發動網路攻擊，鎖定觀眾、加密貨幣投資人、賭客、當地企業而來</span></strong></a></h3> <p>世界盃足球賽於卡達開打，但駭客也趁機進行各式各樣的攻擊行動。資安業者CloudSEK發現，駭客針對這場球賽的球迷、賭客、加密貨幣投資人，甚至是當地企業發動攻擊，目的是企圖在球賽熱潮獲得經濟利益。研究人員指出，他們看到駭客透過Telegram頻道，以50至150美元的價格出售偽造的球場通行證Hayya卡，或是從中竊取信用卡資料，並針對球迷推銷假的世界盃加密貨幣；再者，攻擊者也鎖定想要下注的球迷，聲稱可提供賽事預測資訊，引誘他們到冒牌投注網站騙取錢財與個資，或是散布惡意軟體。</p> <p>除了上述針對多種類型球迷的攻擊行動，也有人鎖定卡達企業或政府機關發動DDoS攻擊，並在社群網站上公布相關資料，並加上針對卡達、世界盃、FIFA的標籤。</p> <h3><a href="https://cloudsek.com/threatintelligence/advanced-phishing-campaign-targeting-individuals-businesses-in-the-middle-east-part-2/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">假冒阿拉伯聯合大公國人力資源部門的網釣攻擊越來越氾濫</span></strong></a></h3> <p>資安業者CloudSEK於7月發現冒充阿拉伯聯合大公國政府的網釣攻擊，但在進一步調查後發現，該攻擊行動的規模遠比過往要來得更廣泛。研究人員發現，駭客針對中東公司與政府的供應商進行大規模商業電子郵件詐騙（BEC）攻擊行動，假借供應商登記、案件投標為幌子，透過Zoho Mail來發送釣魚郵件。這些駭客會特別買下與目標組織相似的網域來使用，使得收信人更加難以從寄信人的電子郵件信箱察覺有異。</p> <h3><a href="https://www.thehindu.com/news/cities/Delhi/aiims-continues-silence-on-media-reports-of-200-crore-demand-by-hackers/article66201742.ece"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度醫學中心AIIMS疑遭勒索軟體攻擊，相關服務中斷近一週</span></strong></a></h3> <p>11月23日印度醫學中心AIIMS遭到網路攻擊，導致他們的醫療系統運作受到影響，事隔一個星期，該機構仍只能以手動提供相關服務。為何如此？他們表示，eHospital系統資料已成功恢復，但要等到清除網路環境的威脅之後，才會讓相關系統重新上線。當地警方表示已取得勒索軟體攻擊的相關證據，並向駭客進行提告。</p> <h3><a href="https://www.ddsb.ca/Modules/News/index.aspx?newsId=d4ba4f9f-a3ea-46ae-b819-316a3eefd0b0&feedId=9af71d9c-32c0-44a2-b019-e3a0eb84ffd2,23903367-d258-477e-b1e0-66c8a9299356"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加拿大多倫多學區遭到網路攻擊，電話、電子郵件、學生筆電無法使用</span></strong></a></h3> <p>加拿大多倫多學區Durham District School Board（DDSB）於本月25日遭到網路攻擊，27日對外表示該學區的所有學校（136所中小學）會正常開放，但DDSB的電話與電子郵件服務將無法使用，他們將採用人工點名的方式記錄小孩的出缺勤；此外，大部分學生的Chromebook筆記型電腦將無法使用。</p> <h3><a href="https://www.cna.com.tw/news/ahel/202211290264.aspx"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">雄獅旅行社公告遭駭客攻擊，呼籲消費者防範詐騙</span></strong></a></h3> <p>國內旅遊服務業者雄獅旅行社11月29日在網站發布公告，表示他們日前遭到駭客攻擊電腦作業系統，目前自身營運及旅客出團業務皆不受影響，但該公司也獲報有人假借他們名義向客戶進行詐騙，對方所持的理由是訂單錯誤、重複扣款而聲稱會提供特殊優惠。對此，雄獅呼籲消費者要提高警覺。</p> <p>雄獅認為，近半年向他們購買相關產品的客戶，很可能是這些歹徒行騙的主要對象，強調該公司與相關供應商都不會透過電話要求客戶提供信用卡或帳戶資料，以及ATM轉帳、匯款的情況。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><a href="https://www.consilium.europa.eu/en/press/press-releases/2022/11/28/eu-decides-to-strengthen-cybersecurity-and-resilience-across-the-union-council-adopts-new-legislation/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歐盟正式通過網路安全指令NIS2</span></strong></a></h3> <p>11月28日歐盟執行委員會（EC）通過新的網路安全指令NIS2，此指令將取代自2016年實施的《網路與資訊系統安全指令（Security of Network and Information Systems，NIS Directive）》。</p> <p>新版指令的適用範圍涵蓋更廣，包含能源、交通、公共衛生等關鍵基礎設施，並為其網路安全風險管理制訂基準；再者，NIS2也為歐盟會員國之間的網路安全要求擬訂了監管框架的基本規範。此外，根據新的指令，歐盟將正式成立網路危機聯繫系統EU-CyCLONe，以便因應大規模資安事件的協調與管理。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/trigona-ransomware-spotted-in-increasing-attacks-worldwide/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體Trigona攻擊房地產業者</span></span></strong></a></p> <p><a href="https://therecord.media/north-carolina-college-confirms-ransomware-group-stole-sensitive-data/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國北卡羅來納州學院證實遭到勒索軟體攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/spanish-police-dismantle-operation-that-made-12m-via-investment-scams/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">西班牙警方破獲1,200萬歐元的網路詐騙事故</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154485">【2022年11月29日】 Dell、HP、聯想設備韌體使用老舊版本的OpenSSL、推特網站漏洞恐有更多資料外流</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154451">【2022年11月28日】 Windows網際網路金鑰交換機制漏洞被用於攻擊、Docker Hub存在逾1,600個易受攻擊的映像檔</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154431">【2022年11月25日】閰羅王勒索軟體背後的駭客是俄羅斯人、駭客假借提供微星Afterburner公用程式散布挖礦軟體</a></strong></strong></strong></p> </div></div></div>
2022/11/30 16:40作者周峻佑https://www.ithome.com.tw/news/154493
AWS預計推出三款高階EC2執行個體C7gn、Hpc7g和R7iz
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/new-amazon-ec2-instance-types-in-the-works-c7gn-r7iz-and-hpc7g/">AWS即將推出</a>三款針對不同用例的高階執行個體，分別是網路密集型用C7gn，分散式高效能運算用的Hpc7g，以及配備DDR5記憶體的高效能R7iz執行個體。</p> <p>目前R7iz執行個體仍在預覽階段，其針對記憶體最佳化，並且採用高時脈第四代Intel Xeon Scalable處理器Sapphire Rapids，持續全核心超頻可達3.9 GHz。這是目前AWS基於x86架構的EC2執行個體中，擁有最高個別vCPU效能的執行個體，所提供的效能比z1d執行個體還要高出20％，而且也是第一批使用DDR5記憶體的x86架構EC2執行個體。</p> <p>AWS提到，R7iz非常適合用於前端電子設計自動化（EDA），或每核心授權費用昂貴的關聯式資料庫，甚至是財務、資料分析模擬等任何同時需要高效能和高記憶體的工作負載。R7iz具有各種規格，包括兩種裸機大小，最多可以配置128 vCPU和最多1,024 GiB記憶體，R7iz由於使用DDR5記憶體，記憶體頻寬是同類高時脈執行個體的2.4倍，並且擁有50 Gbps網路速度和40 Gbps EBS頻寬。</p> <p>Hpc7g執行個體則是使用AWS最新的處理器Graviton3E，其向量指令處理效能較Graviton3高出35％，Hpc7g設計目的是要提供計算密集型高效能運算，和分散式工作負載高性價比執行個體，其提供200 Gbps的專用網路頻寬，並針對同一VPC中的執行個體間流量進行頻寬最佳化。Hpc7g執行個體也有多種規格，用戶可以選擇最多64個vCPU和128 GiB記憶體，AWS將會在2023年初釋出更多Hpc7g相關消息。</p> <p>針對網路密集型工作負載，像是防火牆、虛擬路由器、負載平衡器等網路虛擬設備，以及資料分析和叢集運算作業，AWS將推出C7gn執行個體，同樣使用AWS Graviton3E處理器，支援200 Gbps網路頻寬，並且提升50％的封包處理能力，用戶可以選擇最多使用64個vCPU和128 GiB記憶體。</p> </div></div></div>
2022/11/30 16:17作者李建興https://www.ithome.com.tw/news/154491
駭客正在銷售最新Fortinet漏洞的存取方式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.cyble.com/2022/11/24/multiple-organisations-compromised-by-critical-authentication-bypass-vulnerability-in-fortinet-products-cve-2022-40684/" target="_blank">安全廠商發現</a>，稍早發現的Fortinet網路設備軟體漏洞已經有駭客公開販售存取的方法。</p> <p><a href="http://www.ithome.com.tw/news/153674" target="_blank">10月間Fortinet修補了零時差漏洞CVE-2022-40684</a>，它是HTTP/HTTPS管理介面的驗證繞過漏洞，可被遠端濫用，風險值列為9.6，屬於重大風險。這項漏洞影響多項產品，包括FortiOS、FortiProxy和FortiSwitchManager。</p> <p class="rtecenter"><a href="http://www.fortiguard.com/psirt/FG-IR-22-377" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1130-Update%20Regarding%20CVE-2022-40684.png" style="width: 500px;" /></a></p> <p>Fortinet當時提醒用戶應儘速更新，因為公開前已經遭到濫用。如今專門監控暗網上犯罪活動及漏洞情報的廠商Cyble發現，俄羅斯地下網路論壇上，已經有人公開張貼訊息，以銷售存取Fortinet VPN裝置的憑證資訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1130-FortiOS%20access%20being%20distributed%20over%20Russian%20Cybercrime%20forums%20by%20Cyble(1).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Cyble</span></span></p> <p>Cyble發現的是「多個」未授權FortiOS裝置的存取資訊，包括網址、管理員用戶的SSH Key。分析這些存取資訊顯示，攻擊者企圖將公開金鑰加入到受害企業管理員帳號中，藉此冒充管理員存取Fortinet設備。根據資料，這些受害企業用的都是過時版本的FortiOS。研究人員相信，張貼廣告的攻擊者應該是對CVE-2022-40684發動攻擊。</p> <p class="rtecenter"><img alt="" src="https://i0.wp.com/blog.cyble.com/wp-content/uploads/2022/11/Figure-5-%E2%80%93-Exploitation-script-indicating-exploitation-of-FortiOS-.png?w=716&ssl=1" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Cyble</span></p> <p>透過冒充Fortinet管理員，攻擊者可修改管理SSH金鑰、新增本機用戶、修改網路配置變更流量路徑、下載系統配置資訊、抓取封包擷取其他敏感系統或網路資訊，再於暗網銷售。</p> <p>Cyble研究人員指出，針對Fortinet執行個體的攻擊行動，從10月17日起就持續至今。這個時間點大約等同Fortinet第一波悄悄發通知用戶更新軟體的時間。</p> <p>研究人員呼籲用戶儘速安裝修補程式，因為網路上已公開的概念驗證（PoC）程式及自動化工具，讓攻擊者在漏洞公布幾天之內就能發動攻擊。</p> </div></div></div>
2022/11/30 12:24作者林妍溱https://www.ithome.com.tw/news/154488
馬斯克說蘋果威脅要阻擋推特更新App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果與推特（Twitter）過去各擁一片天，互不干涉的情形，隨著推特易主可能改變。<a href="https://twitter.com/elonmusk/status/1597300125243944961" target="_blank">推特執行長馬斯克（Elon Musk）本周抱怨</a>，蘋果威脅App Store將阻擋推特App的更新，而且沒有說明理由。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1130-elon%20musk%20apple(1).png" style="width: 530px;" /></p> <p>此推文不到一小時前，<a href="https://twitter.com/elonmusk/status/1597285572699074560" target="_blank">馬斯克也公布</a>，蘋果已經中止在推特平臺上的廣告，他問道，難道蘋果憎恨美國的言論自由？馬斯克並罕見地直接提及（mention）蘋果執行長庫克（Tim Cook）問道究竟怎麼一回事。</p> <p>這只是馬斯克領導下的推特和兩大App軟體市集之間的最新爭執。<a href="https://twitter.com/elonmusk/status/1593759933773643776" target="_blank">上周馬斯克也曾批評</a>蘋果App Store及Google Play Store兩大平臺壟斷下，向開發商收取30%的稅率太高。</p> <p>蘋果對iOS App開發商採取強硬態度，不時祭出下架懲罰。蘋果曾以App Store政策要求Discord、Tumblr隱藏或封鎖色情、仇恨、犯罪等其他冒犯性內容，違者就會遭到下架。過去積極管制平臺內容的推特在馬斯克接手並宣稱將解除管制，可能因此觸發蘋果的關切。此外，蘋果也會遵從政府要求而下架某些App，例如在中國版App Store撤下VPN，也曾依俄國政府要求<a href="https://www.ithome.com.tw/news/123561" target="_blank">暫停更新iOS版Telegram</a>。</p> <p>蘋果並未對中止在推特平臺上的廣告或拒絕更新推特App一事提供說法。不過馬斯克鬆綁推特內容管制已引發不少廣告主疑慮而暫停下單，包括福斯汽車、GM、通用磨坊、食品大廠億滋國際等。</p> <p><a href="https://www.theverge.com/2022/11/28/23482387/elon-musk-twitter-apple-threat-withhold-app-store" target="_blank">The Verge</a>報導引述蘋果執行長庫克11月接受其他媒體採訪時，表達對推特內容管制的關注，但庫克說他相信推特會維持內容審查。</p> </div></div></div>
2022/11/30 12:53作者林妍溱https://www.ithome.com.tw/news/154489
OpenAI以7萬小時電玩影片訓練AI玩Minecraft
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/blog/vpt/" target="_blank">AI模型開發商OpenAI宣布</a>以創新方法來訓練其AI模型，可望省去標註大量資料的訓練過程。</p> <p>傳統上要訓練AI模型，像是OpenAI的語言模型GPT，需要先以人力在大量訓練資料集上標註再送入神經網路，相當耗時。為此，OpenAI實驗了一種名為影片預訓練（Video Pretraining，VPT）的方法，僅使用少量由約聘人員標註的資料，再經過以模仿學習及增強學習法二次微調，就在大量未標註的遊戲影片上訓練神經網路，使它學會玩《Minecraft》這個知名電玩。</p> <p>《Minecraft》提供多種模式，玩家可利用方塊進行建立一個虛擬世界。像是在生存模式中，玩家必須開採資源求取生存，在創造模式中，玩家擁有無限的資源並可自由創造建築。其他玩家也可以透過公開的網路影片觀摩這些過程。但是影片無法精確展示作者怎麼做到的，例如看不到作者的滑鼠動作及按了哪些按鍵。如果要以建立語言模型GPT的方法來建立打造虛擬世界的AI模型，就會碰到缺乏行為（action）資料標籤的問題。</p> <p>這項計畫中，OpenAI使用了半監督式模仿學習方法，稱為影像預訓練（video pretraining，VPT）。OpenAI一開始先蒐集約聘人員的一小筆（2,000小時）的錄影資料，包括影像及他們的按鍵、滑鼠動作。研究小組先訓練了反向動態模型（inverse dynamics model，IDM），這模型已可以預測影片中玩家的每一動作，然後，研究人員再以這IDM來標籤7萬小時的《Minecraft》網路影片資料集，希望建立一個行為複製（behavioral cloning，BC）模型。</p> <p class="rtecenter"><img alt="" src="https://cdn.openai.com/vpt/overview.svg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／</span><a href="https://openai.com/blog/vpt/" target="_blank"><span style="color:#696969;">OpenAI</span></a></span></p> <p>前述的影片是研究小組從網路蒐來、玩家分享他們玩《Minecraft》時的影片。這些影像由IDM加註標籤，最後建立出一個模型，稱為VPT基礎模型（VPT foundation model）。這模型完成了增強學習幾乎不可能從頭完成的任務；它會砍樹、蒐集木材，將木材劈成木板，再把木板做成桌子。光是這個過程，嫻熟《Minecraft》的人類玩家都得要花上50秒，或是1,000個連續動作。</p> <p>此外，VPT模型還能執行其他複雜技能，像是游泳、獵捕動物、進食，甚至學會了《Minecraft》裏玩家常見利用方塊在大樓之間跳來跳去的動作。</p> <p>研究人員之後對這VPT模型，以2種方法微調。首先，透過行為複製（behavioral cloning）方法，研究人員以約聘人員玩《Minecraft》蓋房子的新影片來訓練VPT基礎模型，影片只有10分鐘。經過微調，VPT基礎模型技能可因此再深化，能使用木柴，還能使用石材，甚至從其他村莊取得物資。</p> <p>其次，OpenAI用增強式學習來進行第2次模型微調。OpenAI利用增強學習方法，訓練VPT基礎模型蒐集鑽石鶴嘴鋤，若使用Minecraft原生介面，又是難上加上的任務。研究人員發現，VPT模型經過這種方法微調後，不但學會打造鑽石鶴嘴鋤，而且能蒐集所有必要材料。這個實驗中，OpenAI首次讓電腦模型完成了人類平均20多分鐘才完成（24,000個動作）的任務。</p> <p>OpenAI研究人員結論，以公開網路影片這種沒有標籤的資料來訓練AI的探索行為（像是打Game、學習電腦）是可能的。透過建立初步模型，再以模仿學習及增強學習方法微調，就能使AI模型學習高難度技能，這也讓無標籤資料訓練變得可能。OpenAI只實驗了《Minecraft》，但研究團隊相信，這種少量樣本訓練方式也可以用在其他領域，像是電腦使用，因為兩者是開放式結局，介面也相似（都是鍵盤、滑鼠）。</p> <p>OpenAI也將約聘人員的資料、《Minecraft》環境、模型程式碼及模型權重等資料都公開出來。<a href="http://www.aicrowd.com/challenges/neurips-2022-minerl-basalt-competition" target="_blank">OpenAI並和遊戲平臺MineRL NeurIPS合作</a>，祭出獎金邀請玩家加入協助微調其VPT模型。</p> </div></div></div>
2022/11/30 10:20作者林妍溱https://www.ithome.com.tw/news/154487
資料安全服務Amazon Macie現在具自動探索敏感資料的能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS更新資料安全服務<a href="https://aws.amazon.com/tw/blogs/aws/automated-data-discovery-for-amazon-macie/">Amazon Macie</a>，使其具有自動探索與搜尋敏感資料的能力，能夠快速找出S3中的敏感資料，而且不需要對所有S3儲存桶執行完整資料檢查，解決使用者在龐大資料海中撈針的挑戰，進而節省使用成本。</p> <p>Amazon Macie能夠運用機器學習和模式比對技術發現敏感資料，防範資料安全風險。用戶使用Amazon Macie來保護S3中的資料，需要先掃描敏感資料，像是姓名、地址和信用卡號等，並持續監控加密和存取政策等配置正確性，當Amazon Macie偵測到公開存取的儲存桶、未加密儲存桶或是組織外部AWS帳號共享儲存桶時便會發出警報。</p> <p>用戶可以配置Amazon Macie掃描S3，對S3儲存桶進行完整的敏感資料掃描，但AWS提到，大規模操作的用戶很難知道該從何開始，尤其是員工和應用程式每天在儲存桶中添加PB級資料的組織。</p> <p>而Amazon Macie新功能自動資料探索，可自動且持續地從AWS Organizations層級，跨整組儲存桶探索敏感資料和潛在的資料安全風險，當管理員啟用控制臺中的自動資料探索時，Macie便會開始評估每個儲存桶的敏感度層級，並特別顯示資料安全風險。</p> <p>自動資料探索採用智慧和全託管資料採樣，藉由最佳化採樣率，以明顯減少需要分析的資料量，官方提到，與完整資料檢查的成本相比，能夠降低發現存在敏感資料S3儲存桶的成本。用戶可以調整自動資料探索功能，從100多種敏感資料類型中，選擇與用戶用例相關的資料類型，像是PII和各地區特定的財務紀錄資料。</p> <p>當用戶所要管理的特殊資料類型不在Amazon Macie的列表時，也可以自定義資料類型，像是員工或是患者識別碼。Amazon Macie新用戶將會預設啟用自動資料探索功能，原有用戶則需要管理員在控制臺手動啟用。</p> </div></div></div>
2022/11/30 09:55作者李建興https://www.ithome.com.tw/news/154483
OpenAI API釋出更強大且具有插入文字能力的GPT-3新模型Davinci
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI在其API服務正式推出稱為<a href="https://beta.openai.com/docs/models/gpt-3">text-davinci-003</a>的GPT-3模型型號，官方提到，text-davinci-003是目前功能最強大的GPT-3模型，除了能夠完成其他模型可以完成的任務之外，還能夠提供更高的結果品質和文字輸出長度，也能更好地遵循指令，此外，text-davinci-003新增在文字段落中插入完成功能。</p> <p>Text-davinci-003模型的文字插入完成功能，除了運用前綴提示之外，還增加使用後綴提示，可用於編寫長文字、段落過渡和遵循大綱等任務中，除了文字，text-davinci-003也適用於程式碼完成，可用於補完函式或是檔案。</p> <p>OpenAI解釋，之所以後綴提示對於插入預測這麼重要，是因為當語句有了結尾，可預測的結果變得更加清楚，像是前綴提示「我今天決定做出重大改變」，如果加入故事結果「我的新髮型得到許多讚美」，那模型對要預測的文字就更加具體。</p> <p>GPT-3模型能夠理解和生成自然語言，而OpenAI API提供不同的模型型號，以滿足用戶的不同需求和任務，雖然text-davinci-003是目前最強大的GPT-3模型型號，但用戶可以根據需求選用其他模型，像是針對非常簡單的任務，用戶可以選擇使用最快速且最便宜的模型text-ada-001，或是其他層級的text-babbage-001、text-curie-001，以獲得不同的模型能力層級、運算速度和成本。</p> <p>官方建議，用戶可以先試驗使用text-davinci-003，因為這個新模型目前能夠產生最好的結果，當用戶取得正常的結果，便可以開始試試看其他模型，看是否能以更低的延遲或是成本，獲得相同的結果，用戶也可以針對特定任務微調模型，來獲得更好的運算效能。</p> </div></div></div>
2022/11/30 09:57作者李建興https://www.ithome.com.tw/news/154484
【資安日報】2022年11月29日，Dell、HP、聯想設備韌體使用老舊版本的OpenSSL、推特網站漏洞恐有更多資料…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電腦UEFI韌體出現漏洞的情況相當值得留意，其中，有研究人員發現Dell、HP、聯想等多家廠牌使用的韌體裡，竟使用了大量舊版OpenSSL加密程式庫，其中最舊的是2009年推出的程式庫元件。研究人員指出，這樣的問題牽涉到採用第三方元件的軟體供應鏈生態，而難以修復。</p> <p>推特今年7月傳出540萬用戶資料流入駭客論壇的事故，原因是駭客利用該社群網站的漏洞發動攻擊得逞；但資安新聞網站Bleeping Computer指出，該漏洞造成資料外洩的情況遠比當時公布的嚴重許多，根據研究人員的最新發現，有人因此竊得約1,700萬筆資料。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.binarly.io/posts/OpenSSL_Usage_in_UEFI_Firmware_Exposes_Weakness_in_SBOMs/index.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Dell、HP、聯想等廠牌的個人電腦韌體使用老舊版本的OpenSSL程式庫，恐因相關漏洞而曝險</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Dell-HP-Lenovo-Figure2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell-HP-Lenovo-Figure2.png" style="width: 300px; float: right;" /></a>資安業者Binarly針對Dell、HP、聯想電腦的UEFI韌體，調查其使用的OpenSSL加密程式庫元件，結果發現，這3家廠商前後使用的OpenSSL版本多達22個，最舊的是2009年推出的0.9.8l，最新的則是今年3月推出的1.1.1n（編按：該分支最新版本為11月推出的1.1.1s）。其中，研究人員特別以聯想ThinkPad商用產品線為例，該產品線的電腦韌體就採用了3種老舊的OpenSSL版本：1.0.0a、0.9.8zb、1.0.2j，分別是2010年、2014年、2018年推出。</p> <p>Binarly認為，上述研究成果突顯了第三方程式碼供應鏈衍生的問題，引用這些程式碼的韌體開發商通常無法掌握相關的基礎程式碼，使得軟體供應鏈變得更加複雜。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/54-million-twitter-users-stolen-data-leaked-online-more-shared-privately/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">導致540萬筆用戶個資外洩的推特漏洞，災情可能比先前揭露時嚴重，因為有人將其用於收集上千萬筆個資</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/mastodon-post.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/mastodon-post.jpg" style="width: 300px; float: right;" /></a>今年7月<a href="https://www.ithome.com.tw/news/152367">推特傳出540萬筆（5,485,635筆）用戶資料流入駭客論壇求售</a>，該公司隨後證實起因是社群網站的漏洞遭到利用所致，但上述漏洞造成的災情，實際上可能更加嚴重。根據資安新聞網站Bleeping Computer的報導，駭客論壇Breached的經營者Pompompurin向他們透露，前述的資料已免費散布，但該名駭客表示後來取得140筆遭停權的推特帳號資料。</p> <p>此外，資安研究員Chad Loder先後於推特、Mastodon爆料，有人利用相同的漏洞從推特收集多達1,700萬筆資料，內容自2021年開始收集，光是美國與歐洲就有數百萬用戶受到影響。該新聞網站取得其中部分資料，當中有1,377,132個法國用戶的電話號碼，他們進行檢驗發現是有效資料，並指出這些個資並未在先前的外洩事件流出。</p> <h3><a href="https://www.itworldcanada.com/article/canadian-menswear-chain-harry-rosen-confirms-cyber-attack/515325"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加拿大男裝業者Harry Rosen遭到網路攻擊</span></strong></a></h3> <p>勒索軟體BianLian聲稱攻陷加拿大男性服飾業者Harry Rosen，並取得該公司檔案伺服器的資料，涉及專案計畫、市場行銷、人力資源、公共關係等業務。資安業者Emsisoft指出，駭客公布1GB的樣本資料，內容是該公司Gold+級客戶名單、行銷資料等文件。Harry Rosen執行長Larry Rosen證實此事，表示他們在10月9日遭到網路攻擊，目前該公司的網路已復原，但不願證實這起事故是否為勒索軟體攻擊。</p> <h3><a href="https://cybernews.com/news/maple-leaf-foods-ransomware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加拿大食品供應商Maple Leaf Foods證實遭勒索軟體攻擊，並表明不會支付贖金</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/basta-maple-leaf.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/basta-maple-leaf.png" style="width: 300px; float: right;" /></a>11月初加拿大食品供應商Maple Leaf Foods發生資安事故，導致營運受到衝擊，現在該公司坦承遭到勒索軟體攻擊，但不會向駭客低頭。根據資安新聞網站Cybernews的報導，勒索軟體Black Basta近日將該食品業者列為受害組織，並公布部分竊得檔案，內有標為機密的文件，該新聞網站研判包含了生產工廠與其他設施有關的資料。</p> <p>對此，<a href="https://www.itworldcanada.com/article/black-basta-ransomware-group-claims-it-hit-maple-leaf-foods/515358">Maple Leaf Foods向另一家媒體IT World Canada證實是勒索軟體攻擊</a>，並表明不會支付贖金，但對於攻擊者的身分，該公司不願透露。</p> <h3><a href="https://www.thepeterboroughexaminer.com/ts/news/gta/2022/11/23/osstf-victim-of-ransomware-attack-notifies-members-of-personal-data-compromised.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加拿大教師公會OSSTF證實遭到勒索軟體攻擊，會員個資遭到外洩</span></strong></a></h3> <p>根據加拿大報社Peterborough Examiner的報導，當地安大略省高中教師公會OSSTF於5月25日至30日，遭到未經授權的第三方存取，並透過勒索軟體加密系統檔案，導致其成員的個資遭到外洩，像是社會安全碼、居住地址等。OSSTF表示尚未發現相關資料遭到濫用的跡象，但沒有說明受影響的人數。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/vice-society-ransomware-claims-attack-on-cincinnati-state-college/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國辛辛那堤州社區學院遭到勒索軟體Vice Society攻擊</span></strong></a></h3> <p>勒索軟體Vice Society聲稱攻擊了辛辛那堤州技術與社區學院（Cincinnati State Technical and Community College），並公布竊得的資料。根據駭客公布的資料，內容包含2022年11月24日的檔案，資安新聞網站Bleeping Computer指出，這很可能代表駭客能夠持續存取該校內部網路。</p> <p>對此，辛辛那堤州技術與社區學院於11月22日表示，他們修復了校園網路、電子郵件系統，以及部分的教室電腦；但語音信箱、網路列印、VPN，以及數項線上申請服務仍無法使用。</p> <h3><a href="https://www.ithome.com.tw/news/143850"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Meta因資料外洩遭愛爾蘭罰2.65億歐元</span></strong></a></h3> <p>針對日前Meta遭人利用「資料抓取」手法收集5億筆用戶個資，而可能違反GDPR的情況，愛爾蘭資料保護委員會（DPC）自2021年4月著手調查，最近結果出爐，他們於11月28日宣布，將處以2.65億歐元的行政罰款，相當於新臺幣86億元。這是DPC今年對Meta祭出的第3次處罰。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/security/acer-fixes-uefi-bugs-that-can-be-used-to-disable-secure-boot/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">宏碁擬修補能停用安全開機的UEFI漏洞</span></strong></a></h3> <p>宏碁於11月23日發布資安通告，指出旗下數款筆電的UEFI韌體漏洞CVE-2022-4020，攻擊者有可能藉由竄改NVRAM記憶體的參數，來更動UEFI韌體的安全開機設定，進而植入惡意軟體，並繞過防毒軟體與作業系統的防護機制，該公司旗下Aspire系列的A315-22、A115-21、A315-22G，以及Extensa產品線的EX215-21、EX215-21G，都存在上述漏洞，該公司著手製作修補程式。</p> <p>揭露該漏洞的資安業者ESET表示，這項漏洞與DXE驅動程式的HQSwSmiDxe模組有關，由於此模組會檢查NVRAM的BootOrderSecureBootDisable參數，一旦該參數存在內容，DXE將會停用安全開機。</p> <h3><a href="https://yoroi.company/research/cve-advisory-partial-disclosure-cisco-ise-multiple-vulnerabilities/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科修補身分驗證系統ISE的命令注入漏洞</span></strong></a></h3> <p>11月16日思科修補身分驗證系統ISE的4個漏洞，這些漏洞的共通點，是攻擊者必須取得有效的ISE使用者權限才能利用。其中嚴重程度最高的漏洞是CVE-2022-20964，存在於ISE的網頁管理介面，攻擊者取得相關權限後，可存取tcpdump模組觸發漏洞，進而發動命令注入攻擊，此漏洞的CVSS風險層級為6.3分。資安業者Yoroi指出，假如駭客將CVE-2022-20964與10月份修補的CVE-2022-20959串連，攻擊者能輕易遠端取得ISE的root shell。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/malicious-android-app-found-powering-account-creation-service/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">販售帳號的網站經營者散布惡意App，挾持受害手機來產生帳號</span></span></strong></a></p> <p><a href="https://blog.sucuri.net/2022/11/new-wave-of-socgholish-cid27x-injections.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體SocGholish攻擊WordPress網站</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154451">【2022年11月28日】 Windows網際網路金鑰交換機制漏洞被用於攻擊、Docker Hub存在逾1,600個易受攻擊的映像檔</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154431">【2022年11月25日】閰羅王勒索軟體背後的駭客是俄羅斯人、駭客假借提供微星Afterburner公用程式散布挖礦軟體</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154404">【2022年11月24日】俄羅斯駭客今年前7個月竊取逾5千萬組密碼、歐洲議會遭到駭客組織Killnet的DDoS攻擊</a></strong></strong></strong></p> </div></div></div>
2022/11/29 18:52作者周峻佑https://www.ithome.com.tw/news/154485
健保署揭露新版健保雲端查詢系統，提供更好UX還新添BC型肝炎專區
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>健保雲端系統是民眾就醫和醫療診斷治療的關鍵IT系統，健保署今日（11/29）揭露新版健保雲端系統2.0，不只提供更直覺的使用者介面和客製化、視覺化功能，還放寬了醫事人員登錄權限，提供第一線各職類醫事人員使用。特別的是，這次雲端系統還整合國健署篩檢資料，新增B、C型肝炎專區，提供病人最近1次的B、C型肝炎用藥和檢驗檢查等紀錄，讓醫師及早發現來治療。</p> <p>健保署還預告，接下來他們要將雲端系統中的用藥和檢驗檢查資料，改為視覺化圖像，方便醫事人員掌握資訊外，也要結合虛擬健保卡、擴大納入特材紀錄及終生給付數量上限項目等資料。健保署署長李伯璋表示，健保署長年推動醫療資訊整合、鼓勵醫院即時上傳就醫資料至雲端系統，目的就是要落實分級醫療，減少病人重複檢驗檢查（如拍X光片）和來回申請資料的時間成本，同時讓他院醫師更容易調閱判斷，提高診斷治療效率。</p> <p><span style="font-size:26px;"><strong>盤點健保雲端系統10年發展：從雲端藥歷到雲端查詢系統</strong></span></p> <p>臺灣自1995年推動全民健保，2004年開始發行第一代健保IC卡、打造健保資訊網（VPN），2013年則打造雲端藥歷系統，要讓醫事人員看診時，來查詢病人資料。</p> <p>健保署醫審及藥材組科長何小鳳指出，在這個基礎上，2016年，健保署更進一步將藥歷系統擴展為健保雲端查詢系統，提供12類醫療資料供查詢，除了有看診最需要的手術明細、檢查檢驗資料外，還包括西醫、中醫用藥紀錄、牙科處置和手術紀錄、過敏藥物紀錄、特定管制藥品用藥紀錄、特定凝血因子用藥紀錄、復健醫療紀錄、出院病歷摘要，以及CDC預防接種等。</p> <p>最近這幾年，雲端查詢系統新添更多資料整合應用，比如2018年，健保署推動醫療影像分享平臺，讓醫療院所上傳36項檢查醫令影像，像是電腦斷層（CT）、磁振造影（MRI）、齒顎全景X光、大腸鏡、內視鏡、超音波、X光等到健保雲端查詢系統，讓民眾到不同醫院就醫時，醫師也能查詢先前的檢查資料。</p> <p>當時，健保雲端系統也開始發展主動提示功能，包括高達1,352萬筆的過敏藥物提示，以及上千筆的西藥和中西藥交互作用提示，還有重複用藥提示，以及在疫情間緊急新增100多項COVID-19藥品交互作用提示。甚至，健保署還針對占健保點數大宗的腎病用藥，推出主動提示功能，包括中、重度腎病患者用藥訊息，如NSAIDs，在今年11月24日也進一步增加腎功能狀態不明的用藥提示，預估每月會有6萬人受惠。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_6705.JPG" /></p> <p>另一方面，健保署2019年試辦虛擬健保卡時，也將虛擬健保卡與健保雲端系統整合，甚至，去年疫情爆發時，在48小時內就打造TOCC雲端查詢程式，串聯疾管署、出入境管理局等部會資料，來保障第一線醫護人員，至今更累積19.9億次查詢、3萬多家機構使用。</p> <p>何小鳳揭露，這套維持臺灣醫療行為運作的關鍵系統中，就醫病人雲端系統平均每月有3.6千萬查詢人次，醫療院所整體使用率更達98%。而至今年7月，健保資料庫還累積了776億筆大量資料，是未來發展精準醫療的寶貴資產。</p> <p>系統的發展，也帶來不少效益。何小鳳舉例，隨著主動提示功能發展，健保署推算，2014年至2021年間共省下109.7億點重複用藥費，2018至2021年間的重複檢查檢驗費用，也省了16.4億點。</p> <p><strong><span style="font-size:26px;">打造健保雲端系統2.0：更好的UX、放寬權限、新增BC型肝炎專區</span></strong></p> <p>不過，雲端系統使用至今，仍有不少問題待改善。</p> <p>健保署調查發現，醫護使用者最常反應的系統問題，不外乎是使用者體驗（UX）可加強，像是系統鑑別度、病人姓名和生日沒顯示、摘要區占空間，或是字太小、排序不佳，以及疾管署預防接種資料沒串接等。</p> <p>於是，為解決問題，健保署找來專家先評估，再展開易用性測試、開發模擬網頁，讓50位使用者體驗後，才正式推出新版系統。</p> <p>比如，他們將原本分散的7個雲端系統服務網站，統一納入雲端系統單一入口網頁，方便醫護使用者查找。另也新添患者資訊，如身分證字號、姓名和生日、性別，來便於醫護人員確認。此外，健保署也提供疾管署預防接種連結，並新添搜尋功能和字體大小選擇，還提供拖拉式功能，來讓使用者客製化自己的頁籤和欄位順序，來強化使用者體驗。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%95%AB%E9%9D%A2%E9%87%8D%E6%95%B4.JPG" /></p> <p>甚至，健保署還重整頁籤架構，調整為1、2層頁籤，並在第2層新增3項頁籤（終生給付數量上限、針傷治療和特殊疾病門診照護），以及從第2層頁籤延伸出的專區功能。舉例來說，第1層頁籤為主要資訊，如摘要、西醫用藥、牙科處置記錄、出院病摘等，第2層則是第1層細項，如西醫用藥中的用藥記錄、特定管制用藥，而專區功能則從用藥記錄中，延伸出慢連箋專區、藥品交互作用查詢等。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2(18).JPG" /></p> <p>特別的是，在專區部分，還新增了「B、C型肝炎專區」，整合國健署篩檢資料，顯示病人最近1次B、C型肝炎用藥、檢查檢驗等紀錄，來讓醫師及早發現、治療C肝病人。</p> <p>再來，健保署也放寬權限，讓第一線各職類的醫事人員使用健保雲端查詢系統，如呼吸治療師、放射師、醫事檢驗師、助產師、護理師，以及物理、職能治療師，還有社區復健相關的臨床心理師等。</p> <p><span style="font-size:26px;"><strong>下一步：建置視覺化圖表、打造響應式網頁</strong></span></p> <p>健保雲端查詢系統的優化不只如此。何小鳳透露，健保署還正建置視覺化圖像，要將西醫用藥的用藥記錄圖形化，比如以時間軸顯示用藥歷史記錄，還有以圓餅圖比例顯示近6個月用藥記錄來源。此外，中醫用藥記錄也相仿，以時間軸顯示用藥記錄，另外還有牙科處置部分，要新增牙位圖標示，如根管治療、牙周病治療、口腔外科治療等。健保署也要針對檢查檢驗結果，新增摘要表，來方便醫護掌握。</p> <p>另一方面，健保署也要打造新版系統的響應式網頁，來讓醫護使用者在各種行動裝置上，都能使用健保雲端系統，便於居家醫療的執行。何小鳳指出，明年，健保署也會將特材紀錄及終生給付數量上限項目等資料納入系統中，提供使用者更多資料，另也要利用機器學習演算法，找出最適合個人的精準治療方案。</p> <p>最後，健保署也透露參與次世代HIS開發的討論，也研擬將虛擬健保卡、視訊診療等相關遠距醫療功能，納入新版HIS模組中。</p> </div></div></div>
2022/11/29 19:53作者王若樸https://www.ithome.com.tw/news/154486
長庚醫院啟用AI智能客服，與民眾對話協助查詢門診、預約掛號、住院等資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>長庚醫院加速AI在醫療落地，與長庚醫科共同開發AI智能客服，結合AI辨識技術，以擬人化對答方式，協助民眾文字或電話語音掛號、查詢門診，甚至主動傳送簡訊或撥電話給等待住院或預約手術的病人，確認報到及術前回覆事項。</p> <p>長庚醫院表示，傳統上，民眾撥打電話語音掛號，必須先自行瀏覽門診表，通過多階層選單才能預約掛號，過程中可能因選項輸入錯誤或是忘記代碼導致失敗，必須重新撥話，花費較多時間。</p> <p>這項智能客服歷時約2年時間開發，系統落地長庚醫院，以避免民眾個資外漏風險，讓民眾透過長庚醫院官網、App，或是撥打單一市話專線，在AI文字客服或語音客服的協助之下，查詢或預約門診掛號、病床，以及衛教諮詢。該院宣稱透過AI文字、語音客服，民眾將需求「說出來」，平均可節省50%時間。</p> <p>林口長庚院長陳建宗指出，智能客服以病人需求為導向，結合醫、護、藥、資訊、工務、行政等團隊，跨團隊合作，整併就醫程序，智能客服以單一窗口提供服務，包括門診、住院、手術、檢查四大服務。</p> <p>在技術方面，當民眾撥電話給智能客服，先經由語音AI，利用STT技術辨識、校正，將語音轉為文字，再送到文字AI，通過AI大腦，通過NLU自然語言理解，辨別民眾的需求為FAQ問答，或是其他的需求意圖，再回傳文字回覆，經由語音AI的TTS將文字轉為語音，由AI客服以口說方式回覆民眾。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ailine.jpg" style="width: 600px; height: 333px;" /></p> <p>長庚智慧醫療總會副主席林志哲表示，智能客服以單一市話專線提供服務，可選擇長庚醫院底下9個院區，24小時提供掛號、門診、開刀、床位、檢查等資訊及服務。除了民眾撥話進來，例如查詢住院、開刀排程，系統也能反向推播訊息，或是以電話簡訊通知民眾就醫資訊，如還是聯絡不到，AI客服以語音撥打電話通知民眾，降低民眾等候焦慮、保障其權益，也減輕醫院行政及醫護人員負擔。</p> <p>為了打造這項AI客服，長庚根據過去傳統客服與民眾的互動、需求，拆解為40至50個流程，以民眾最常使用門診查詢、掛號為例，包含預約掛號、查詢掛號、取消掛號、更改掛號時間等不同需求、流程。例如，民眾撥電話給AI客服想要預約掛號，可說出指定科別、預約特定醫師姓名的門診，如果沒有指定的醫師門診，則可以說出要掛號的科別，不限醫師門診，由AI客服在後臺查詢醫師門診資訊，再讓民眾來選擇。</p> <p>另外，基於防疫需要，病人到院前TOCC，對於預約住院病人、門診手術病人，智能客服也會撥電話給民，查詢TOCC、確認住院、手術報到。民眾如果對於用藥問題，例如藥來速預約查詢、確認慢性病處方箋領藥日，或是回家後對用藥方式有疑問，可通過官網、App掃描藥袋的QR Code，查詢門診所開的藥品、用藥資訊、衛教諮詢等等。</p> <p>長庚醫院行政中心總執行長潘延健指出，智能客服今年5月試營運以來，每月已服務超過8萬人次，平均每位使用者在2到3分鐘完成服務，較先前節省50%時間，滿意度提高至92%。透過與民眾的互動回饋，明年還將擴大至手術檢查時間查詢、更改與諮詢。</p> <p>目前長庚AI客服，語音以國語為主，該院表示，台語、客語將是接下來努力的方向。</p> </div></div></div>
2022/11/29 17:37作者蘇文彬https://www.ithome.com.tw/news/154482
俄羅斯科技巨頭Yandex宣布組織重整，準備撤出俄羅斯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在俄羅斯入侵烏克蘭之後，因受到歐盟與美國的制裁，造成許多國際品牌退出俄羅斯市場，而今，於俄羅斯成長茁壯、也是俄羅斯最大科技業者的Yandex，也準備撤出俄羅斯市場，<a href="https://yandex.com/company/press_center/press_releases/2022/2022-11-25" target="_blank">其荷蘭母公司Yandex N.V.上周五（11/25）宣布組織重整</a>，表示將把特定服務退出俄羅斯市場，並出售對俄羅斯Yandex Group的控制權。</p> <p>Yandex被譽為俄羅斯的Google，因為它提供許多與Google相仿的服務，從搜尋、地圖、導航、廣告、雲端運算、自駕車、電子商務、食物外送到娛樂等，是俄羅斯僅次於Google的第二大搜尋引擎，雖然Yandex的總部設於俄羅斯，但其控股公司Yandex N.V則在荷蘭註冊。</p> <p>然而，Yandex也不免受到俄烏戰爭的波及，今年初，其新聞服務的負責人遭到歐盟制裁，促使Yandex將新聞服務賣給當地另一網路業者VK，也因被制裁而無法償還債務，並於今年9月將網域名稱從yandex.ru變更為ya.ru，似乎已在替撤出俄羅斯市場作準備。</p> <p>根據Yandex N.V.的規畫，該公司計畫將自駕車、雲端運算、資料標註與教育科技等特定服務撤出俄羅斯市場，於俄羅斯以外獨立運作，也打算卸下Yandex N.V對Yandex Group所有其它服務的控制權，包括搜尋、廣告、行動服務、電子商務、食物外送及娛樂等。</p> <p>此外，Yandex N.V.將會更名，把Yandex品牌留給被剝離的服務使用。</p> <p>簡單地說，Yandex N.V.企圖把俄羅斯境內的各種服務出售給當地業者，並於俄羅斯之外繼續經營自駕車及雲端運算等國際服務，等於是撤出俄羅斯市場。</p> <p><a href="https://www.ft.com/content/5ac72014-d7af-4435-aaaf-2a15033fb2a1" target="_blank">根據《金融時報》（Financial Times）的報導</a>，Yandex N.V.正在徵求俄羅斯總統普丁（Vladimir Putin）對此一重組計畫的許可。</p> <p>Yandex N.V.表示，目前此一重組程序仍處於初步階段，無法保證能依照計畫完成重組，或能否找到完美的買家。Yandex董事長John Boynton坦言，這是個非常棘手的時刻，他們將分析所有的選項，儘可能地保護股東的價值與2萬名員工的機會。</p> </div></div></div>
2022/11/29 16:05作者陳曉莉https://www.ithome.com.tw/news/154479
GitHub開始以日期命名REST API版本號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.blog/2022-11-28-to-infinity-and-beyond-enabling-the-future-of-githubs-rest-api-with-api-versioning/">GitHub</a>更新API版本控制的命名方法，以日期來命名版本號，像是在2025年12月25日發布的新版本，該版本就會被命名成2025-12-25，這項規則僅適用於具有重大變更的版本。這項基於日期的版本控制方法，讓官方可以不斷發展API，但同時有提供順暢的搬遷路徑和充足的時間，供用戶進行整合。</p> <p>目前GitHub API有數百萬使用者，包含開發者自建，以及來自GitHub Marketplace第三方應用程式的整合。API隨著時間推移會出現變化，勢必加入更新的產品功能、修復錯誤或是改善開發人員體驗，但另一方面，在API更改時，官方無法期待API使用者會不斷地更新整合。</p> <p>API變更分成兩種，一種是不會對現有整合產生負面影響的情況，稱為非破壞性變更，另一種破壞性變更，則會出現刪除回應欄位、參數變更或是完全刪除端點等情況。GitHub在10年前釋出API V3，這個版本雖然運作良好，但是未提供適當的工具和流程，無法在進行重大更新時支援現有用戶順暢的搬遷。</p> <p>GitHub建議所有整合都要使用最新的API版本，官方提到，他們通常並不會頻繁地淘汰舊版本，或是強制用戶升級，當有新的REST API版本發布時，也會至少支援舊版本2年。當新版本升級，之前的版本同樣可用，用戶不會被強迫升級，並且可以使用X-GitHub-Api-Version標頭要求指定使用的版本，來選擇所要使用的版本。</p> <p>正在使用GitHub REST API的開發者，目前不需要採取任何行動，GitHub API的現有狀態，也就是用戶當前使用的版本為2022-11-28，但官方鼓勵用戶更新整合，並且主動發送X-GitHub-Api-Version: 2022-11-28標頭。不過，GitHub在接下來幾個月內，就會發布另一個包含重大更新的版本，要搬遷到該版本，就會需要使用X-GitHub-Api-Version標頭並且指向新版本。</p> <p>目前這個以日期為基礎的API版本號控制方法僅適用於REST API，在GraphQL API和webhooks則未提供。</p> </div></div></div>
2022/11/29 16:10作者李建興https://www.ithome.com.tw/news/154472