iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 18:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【新世代物件儲存平臺：VAST Data Universal Storage】全NVMe架構打造高效能分散式儲存系統
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1109-feng_mian_-vast_data_universal_storage-960zhu_tu_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>VAST Data</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">以極為驚人的成長速度，在企業儲存市場打下名聲的VAST Data，短短3年內，便成為物件儲存與分散式檔案系統的要角之一。</p> <p dir="ltr">VAST Data的歷史非常短，2019年2月才正式推出Universal Storage儲存平臺，但很快就取得市場佳績，從產品的首發到後續獲得10億美元估值的成果，只花了17個月，創下儲存領域獨角獸企業的新紀錄。</p> <p dir="ltr">VAST Data的Universal Storage是兼用於物件與檔案儲存的通用平臺，相較於同類產品，最大特點是採用全NVMe架構的儲存硬體架構，由提供儲存服務的伺服器模組單元（也稱為運算節點），以及提供儲存空間的NVMe I/O模組（也稱為Databox），共同組成叢集，運算節點擔任控制器角色，全快閃組態的Databox則扮演JBOD儲存櫃角色，彼此之間，透過基於NVMe-oF協定的100Gb乙太網路互連。</p> <p dir="ltr">Universal Storage叢集的擴充能力幾近無限，可包含最小2節點，最大達到1萬節點的運算節點，而這些運算節點的後端，則可介接EB等級容量的NVMe I/O模組。</p> <p dir="ltr">Universal Storage硬體架構的另一個特點，是結合儲存級記憶體（SCM）與QLC SSD的混合固態儲存組態，而在Databox這個儲存模組中，高效能的SCM儲存模組是作為存取緩衝與存放metadata之用，至於大容量、低單位成本的QLC SSD則用於存放資料本體，藉此兼顧效能與成本。</p> <p dir="ltr">Universal Storage的部署模式十分多樣化，可選用原廠提供的硬體，或是原廠硬體與軟體定義部署的混合搭配。VAST Data原廠提供現成的運算節點硬體，以及NVMe I/O模組，用戶也可只選用NVMe I/O模組，至於運算節點，則採用以Container部署的Universal Storage軟體，也可不用VAST Data的NVMe I/O模組，改用認證過的QLC SSD來替代。VAST Data目前還提供部署於公有雲環境的版本。</p> <p dir="ltr">除了硬體架構，Universal Storage的軟體架構也具備許多獨到特色。</p> <p dir="ltr">例如，在系統平臺底層，可透過專屬的Global Erasure Codes機制，提供基本的磁碟與節點層級保護，改進了一般Erasure Coding技術的缺點，而可以採用非常大的stripe寬度，並且仍然兼具快速重建能力。</p> <p dir="ltr">除了底層的Global Erasure Codes外，Universal Storage也提供了快照與非同步遠端複製功能，藉此具備資料層級的進階保護能力。</p> <p dir="ltr">Universal Storage還整合了VAST Data專屬的資料縮減技術，以基於相似性的新式重複資料刪除技術，再結合壓縮，可兼顧效能與資料縮減效果。</p> <p dir="ltr">在安全性方面，Universal Storage提供存取管制與靜態加密，還有物件WORM功能Object Locks，以及不可變快照功能Indestructible Snapshots，應該是這領域最早提供不可變快照的產品，可搭配WORM功能，提供多面向的勒索軟體威脅防範。</p> <p dir="ltr">不過，若與同類產品進行相互比較，Universal Storage的跨站點保護與雲端整合功能相對較弱，前者只提供最基本的非同步遠端複製，後者則只有備份到S3的簡單功能，而沒有更深入的整合。</p> <p dir="ltr"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> VAST Data Universal Storage基本規格 </span></strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>●系統軟體最新版本：4.5</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>●支援傳輸協定（物件）：S3</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>●支援傳輸協定（檔案）：NFS、SMB</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>●擴充能力：2節點到10,000節點</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>●雲端部署：有</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>●資料縮減功能：重複資料刪除與壓縮</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>●本地端分層儲存：有</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>●雲端分層儲存：有</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>●節點與磁碟保護：Global Erasure Codes</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>●快照：有</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>●遠端複製：有</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>●QoS：有</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>●WORM：有</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>●加密：有</strong></span></p> <p dir="ltr">資料來源：iThome整理，2022年12月</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B">封面故事</a></div><div class="field-item odd"><a href="/tags/%E7%89%A9%E4%BB%B6%E5%84%B2%E5%AD%98">物件儲存</a></div><div class="field-item even"><a href="/tags/vast-data">VAST Data</a></div><div class="field-item odd"><a href="/tags/universal-storage">Universal Storage</a></div></div></div>
2022/12/26 00:00作者張明德https://www.ithome.com.tw/tech/154853
【新世代物件儲存平臺：Weka WekaFS】從HPC邁向企業應用的高效能分散式儲存系統
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1109-feng_mian_-weka_wekafs-960zhu_tu_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>WekaIO</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">隨著企業儲存應用需求面臨轉變，一些原針對高效能運算（HPC）領域的分散式儲存平臺，近幾年來也開始朝向企業應用發展，以滿足企業對於儲存系統擴展性、I/O吞吐率越來越高的需求，Weka的WekaFS便是其中的代表性產品。</p> <p dir="ltr">WekaIO成立於2014年，2017年7月結束隱形營運模式，正式發表了命名為Matrix的高效能平行分散式檔案系統，簡稱MatrixFS，也就是今日WekaFS檔案系統的前身。接著，從2018年開始，Weka便藉由在IO500高效能運算系統儲存效能榜單中締造一連串佳績，而在儲存市場聲名大噪，在商業應用領域的影響力也逐漸擴大，許多大廠都與Weka合作推出基於WekaFS的產品。</p> <p dir="ltr">WekaFS是誕生於NVMe時代的分散式平行檔案系統，是這個領域少數完全基於NVMe SSD建構儲存層的產品。運作上，由位於後端、負責提供儲存服務的Weka儲存主機（早先稱為儲存節點），以及位於前端的Weka用戶端（也稱為應用伺服器）兩部分組成。</p> <p dir="ltr">基本上，WekaFS所有核心元件，都是在Linux容器（Linux Container，LXC）的用戶空間內，透過自身的即時作業系統（RTOS）來運行，這些元件包括：</p> <p dir="ltr">負責管理多協定存取服務的檔案服務元件（File Service），負責管理資料分布、資料保護與metadata的檔案系統叢集元件，用於將SSD轉換為網路儲存裝置的SSD Access Agent，提供文字命令列指令管理、狀態監控的管理節點，以及用於存取物件儲存區的物件連接器。</p> <p dir="ltr">WekaFS可採用3種部署形態，一為超融合部署，也就是將WekaFS安裝到運算節點，與前端應用程式共享硬體資源，節省儲存主機的硬體開銷；二為專用儲存伺服器部署，將WekaFS安裝在獨立的儲存伺服器構成儲存主機；三為公有雲部署，將WekaFS安裝在公有雲的執行個體或虛擬機器上，構成儲存主機。</p> <p dir="ltr">每1個WekaFS叢集環境最少需要6臺Weka儲存主機組成，以便具備容忍其中2臺主機失效的高可用性。其最大的叢集規模則可達上千臺儲存主機，某些OEM廠商甚至聲稱，叢集規模可達8,000臺儲存主機以上。</p> <p dir="ltr">WekaFS採用Weka專屬的DPP（Distributed Data Protection）機制，來提供磁碟與儲存主機的基本保護，運作方式介於分散式RAID與Erasure Coding之間，Weka宣稱，這種保護架構兼具I/O效能、重建效能，以及擴展性，既沒有傳統RAID的擴展性與重建速度局限，也不像Erasure Coding技術，存在耗用處理器資源較高的問題。WekaFS另外再於上層搭配快照、Clone，以及Snap-to-Object遠端複製，提供進階的資料保護。</p> <p dir="ltr">在安全性方面，WekaFS提供了存取權限管制，以及靜態與傳輸加密，但目前還沒有WORM一寫多讀功能，為此，Weka建議的替代方案，是利用Snap-to-Object遠端複製功能，將資料傳輸到公有雲的WORM儲存區。</p> <p dir="ltr">而在今年6月發布的WekaFS 4.0，提供幾項重要的新功能，首先，是終於補上資料縮減功能，Weka並未具體透露其資料縮減功能細節，但從該公司的公開描述資訊來看，我們認為應是一種基於相似性的改良型重複資料刪除技術。</p> <p dir="ltr">其次，是新支援低成本的QLC NVMe SSD，可搭配較高階的SSD，在本地端構成分層儲存架構。在此同時，WekaFS 4.0版也擴展了支援的公有雲平臺，以及傳輸協定類型。</p> <p dir="ltr"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Weka WekaFS基本規格 </span></strong></span></p> <p dir="ltr"><strong><span style="color:#696969;">●系統軟體最新版本：4</span></strong></p> <p dir="ltr"><strong><span style="color:#696969;">●支援傳輸協定（物件）：S3</span></strong></p> <p dir="ltr"><strong><span style="color:#696969;">●支援傳輸協定（檔案）：NFS、SMB</span></strong></p> <p dir="ltr"><strong><span style="color:#696969;">●擴充能力：6節點到1,000節點以上</span></strong></p> <p dir="ltr"><strong><span style="color:#696969;">●雲端部署：有</span></strong></p> <p dir="ltr"><strong><span style="color:#696969;">●資料縮減功能：重複資料刪除</span></strong></p> <p dir="ltr"><strong><span style="color:#696969;">●本地端分層儲存：有</span></strong></p> <p dir="ltr"><strong><span style="color:#696969;">●雲端分層儲存：有</span></strong></p> <p dir="ltr"><strong><span style="color:#696969;">●節點與磁碟保護：Weka DPP</span></strong></p> <p dir="ltr"><strong><span style="color:#696969;">●快照：有</span></strong></p> <p dir="ltr"><strong><span style="color:#696969;">●遠端複製：有</span></strong></p> <p dir="ltr"><strong><span style="color:#696969;">●QoS：有</span></strong></p> <p dir="ltr"><strong><span style="color:#696969;">●WORM：無</span></strong></p> <p dir="ltr"><strong><span style="color:#696969;">●加密：有</span></strong></p> <p dir="ltr">資料來源：iThome整理，2022年12月</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B">封面故事</a></div><div class="field-item odd"><a href="/tags/%E7%89%A9%E4%BB%B6%E5%84%B2%E5%AD%98">物件儲存</a></div><div class="field-item even"><a href="/tags/wekaio">WekaIO</a></div><div class="field-item odd"><a href="/tags/wekafs">WekaFS</a></div></div></div>
2022/12/26 00:00作者張明德https://www.ithome.com.tw/tech/154854
【新世代物件儲存平臺：Qumulo File Data Platform】提供從本地端到雲端的廣泛部署環境支援
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1109-feng_mian_-qumulo_file_data_platform-960zhu_tu_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Qumulo</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">在分散式檔案系統的應用領域當中，Qumulo所推出的File Data Platform，是問世不過6、7年的新生代產品，但發展脈絡可以追溯到老牌Scale-Out NAS產品Isilon，也就是現在Dell的PowerScale。</p> <p dir="ltr">Qumulo的創辦團隊來自Isilon，當Isilon於2010年受到EMC併購之後，Isilon主要的核心技術人員並未一同進入EMC，而是在2012年創辦了Qumulo公司，到了2015年，他們宣告脫離隱形模式，正式推出稱為Qumulo File Fabric的（QF2）分散式儲存軟體，也就是今日Qumulo File Data Platform前身。</p> <p dir="ltr">Qumulo與Isilon的OneFS同樣屬於分散式檔案系統，Qumulo在發表產品之初，不諱言他們是針對Isilon這類上一代分散式檔案系統的不足，而設計QF2的架構，比起問世於2000年代的OneFS，2010年代開發的Qumulo架構新穎，更能適應固態儲存與雲端時代的需求。</p> <p dir="ltr">自2015年正式問世後，Qumulo很快就打響名號，2年後便進入Gartner分散式檔案系統與物件儲存系統魔力象限，這代表Qumulo只花了2年，銷售額與業務範圍便跨過Gartner門檻（年銷售額1,500萬美元），成為此產品領域要角。</p> <p dir="ltr">Qumulo進入Gartner魔力象限的下一年，在2018年版魔力象限便攀升到領導者象限，而在這樣短的時間內，就從入圍成為領導者之一，堪稱是Gartner魔力象限榜單的紀錄。緊接著Qumulo又在2019年的SC19大會中，進入了高效能運算（HPC）領域IO500榜單，在HPC領域也有所發揮。</p> <p dir="ltr">QF2採用基於區塊（Block）的底層架構，可提供更具效率的存取與資料保護機制，I/O快取與metadata管理架構都是基於SSD而設計，以取得更高的效能，並透過B-Tree檔案系統架構獲得更大的檔案容納能力，再結合Qumulo專屬的分散式資料庫來管理metadata，能藉此即時追蹤個別檔案狀態，以及提供即時的容量配額功能。</p> <p dir="ltr">Qumulo File Data Platform採用軟體定義的形式部署，用戶可以自行將核心的Qumulo Core軟體，部署在經過Qumulo認證的伺服器上，或是部署在公有雲上，也能直接採用預載Qumulo Core軟體的應用伺服器，為此，Qumulo先後與富士通、HPE、Supermicro等伺服器廠商合作，推出了搭配這些廠商硬體設備的應用伺服器產品。</p> <p dir="ltr">Qumulo要求的最小叢集規模是4節點，最大叢集規模理論上沒有限制，不過在實務上，目前的部署上限是265節點（早先是100節點），除了本地端以外，也能透過Qumulo Shift to Amazon S3功能，直接將資料轉存到公有雲物件儲存服務，構成混合雲儲存架構。</p> <p dir="ltr">Qumulo Core利用Erasure Coding作為基本資料保護機制，再搭配快照、非同步的連續遠端複製與排程快照複製來提供進階保護。在資安防護方面，Qumulo則提供了基於角色的存取管制，以及靜態加密功能。</p> <p dir="ltr">但Qumulo Core目前仍缺少一些關鍵功能，它是我們這次介紹的產品中，唯一沒有原生支援S3協定，也未提供資料減量功能，以及WORM一些多讀功能的產品。</p> <p dir="ltr">其中針對S3協定的支援需，可以透過其他元件的介接來解決。Qumulo官方目前建議採用MinIO，在閘道器模式下提供S3協定的介接。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Qumulo File Data Platform基本規格 </span></strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>●系統軟體最新版本：3.0.x</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>●支援傳輸協定（物件）：S3（需透過MinIO介接）</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>●支援傳輸協定（檔案）：NFS,SMB,FTP</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>●擴充能力：4到265節點</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>●雲端部署：有</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>●資料縮減功能：無</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>●本地端分層儲存：有</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>●雲端分層儲存：有</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>●節點與磁碟保護：Erasure Coding</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>●快照：有</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>●遠端複製：有</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>●QoS：無</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>●WORM：無</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>●加密：有</strong></span></p> <p dir="ltr">資料來源：iThome整理，2022年12月</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B">封面故事</a></div><div class="field-item odd"><a href="/tags/%E7%89%A9%E4%BB%B6%E5%84%B2%E5%AD%98">物件儲存</a></div><div class="field-item even"><a href="/tags/qumulo">Qumulo</a></div><div class="field-item odd"><a href="/tags/file-data-platform">File Data Platform</a></div></div></div>
2022/12/26 00:00作者張明德https://www.ithome.com.tw/tech/154855
【新世代物件儲存平臺：Quantum ActiveScale、Cloudian HyperStore】專長跨遠端高可用…
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1109-feng_mian_-zhuan_chang_kua_yuan_duan_gao_ke_yong_xing_de_wu_jian_chu_cun_ping_tai_-960zhu_tu_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>（左上）Quantum ActiveScale、（右下）Cloudian HyperStore</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">相較於前面介紹的幾款平臺，Quantum ActiveScale與Cloudian HyperStore這2款中生代產品，也是我們這次想介紹的，雖然功能面向相對較不完整，影響力略遜，但憑藉幾項獨到功能，特別是跨地理範圍的遠端高可用性，仍占有一席之地。</p> <p dir="ltr"><span style="font-size:28px;"><strong>Quantum物件儲存產品演變</strong></span></p> <p dir="ltr">Quantum進入物件儲存技術已長達10年之久，他們最初在2012年推出Lattus物件儲存伺服器家族，實際上，這是新創物件儲存廠商Amplidata的Amplistor物件儲存系統OEM版。</p> <p dir="ltr">Amplidata在2015年，為後來被WD買下的HGST併購，Amplistor也成為HGST的Active Archive System產品線，然後在2016年改稱ActiveScale，而Quantum則繼續透過OEM銷售基於ActiveScale的Lattus產品線。</p> <p dir="ltr">不久之後，隨著WD的營運策略出現巨大轉變，ActiveScale產品線在2020年初賣給了Quantum，讓該公司從OEM夥伴一舉成為ActiveScle的擁有者。</p> <p dir="ltr">ActiveScale是擁有橫跨物件與檔案協定的服務能力，採用應用伺服器型態部署，也提供基於公有雲的as-a-Service儲存服務，稱為Quantum Object Storage Services。</p> <p dir="ltr">ActiveScale物件儲存架構本身的最大特色，是採用專屬的動態資料分散放置（Dynamic Data Placement，DPP）技術，這是基於Erasure Coding而成的保護機制，特別之處在於，DPP不僅能在本地端節點與磁碟之間，分散放置資料區塊，還能透過地理散布（Geo-Spreading）機制，將每個物件的區塊分散放置到最多3個站點，實現跨遠端的Erasure Coding，物件區塊的分散傳輸可採用同步或非同步模式，適用於不同的存取延遲需求。</p> <p dir="ltr">相較下，多數同類產品都只能在物件儲存桶層級的遠端複製，來提供跨站點保護，像ActiveScale這樣在物件區塊底層的跨遠端Erasure Coding機制，只有NetApp StorageGRID、Hitachi Vantara HCP等少數產品也能做到。</p> <p dir="ltr">同時，ActiveScale也有物件儲存桶層級的非同步遠端複製，靜態與傳輸加密，以及WORM功能。</p> <p dir="ltr">ActiveScale較大問題，是自Quantum併購後，更新改版緩慢，上一次主要版本更新已經是1年半以前，也缺乏一些流行的新功能，例如全快閃組態（目前的ActiveScale節點都是混合儲存組態，SSD僅用於metadata，資料存放於硬碟）、資料縮減功能、QoS，以及對於新版NFS與SMB協定的支援。</p> <p dir="ltr"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Quantum ActiveScale基本規格 </span></strong></span></p> <p dir="ltr"><strong><span style="color:#696969;">●支援傳輸協定（物件）：S3</span></strong></p> <p dir="ltr"><strong><span style="color:#696969;">●支援傳輸協定（檔案）：NFS</span></strong></p> <p dir="ltr"><strong><span style="color:#696969;">●資料縮減功能：無</span></strong></p> <p dir="ltr"><strong><span style="color:#696969;">●節點與磁碟保護：Quantum DPP</span></strong></p> <p dir="ltr"><strong><span style="color:#696969;">●快照：無</span></strong></p> <p dir="ltr"><strong><span style="color:#696969;">●遠端複製：有</span></strong></p> <p dir="ltr"><strong><span style="color:#696969;">●QoS：無</span></strong></p> <p dir="ltr"><strong><span style="color:#696969;">●WORM ：有</span></strong></p> <p dir="ltr"><strong><span style="color:#696969;">●加密：有</span></strong></p> <p dir="ltr"><span style="color:#696969;">資料來源：iThome整理，2022年12月</span></p> <p dir="ltr"><span style="font-size:28px;"><strong>日系廠商Cloudian的物件儲存平臺</strong></span></p> <p dir="ltr">2011年成立於日本的Cloudian，同年發表的HyperStore物件儲存平臺，問世超過10年，歷多次改版仍有相當程度競爭力，值得一提的是，提供多樣化資料縮減，以及遠端高可用性。</p> <p dir="ltr">HyperStore目前有2類資料縮減：重複資料刪除、壓縮，特別的是，提供遠距多個站點的全域雲端重複資料刪除。在遠端高可用性方面、HyperStore也擁有跨遠端的Erasure Coding機制，以及支援同步與非同步模式的遠端複製功能。</p> <p dir="ltr">HyperStore支援多樣化部署，包括：純軟體，Cloudian品牌，或與QCT等廠商合作的應用伺服器，也能搭配AWS Outposts與Azure Stack HCI安裝。</p> <p dir="ltr">Cloudian還提供HyperIQ雲端監控平臺，幫助用戶從遠端管理HyperStore，是除了一線大廠以外，少數提供雲端監控平臺的儲存廠商。</p> <p dir="ltr">HyperStore功能方面較大不足，是不能同時原生支援物件與檔案存取，檔案存取需透過HyperFile閘道器中介。</p> <p dir="ltr"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Cloudian HyperStore基本規格 </span></strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>●支援傳輸協定（物件）：S3</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>●支援傳輸協定（檔案）：NFS、SMB（需透過Cloudian HyperFile的中介）</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>●資料縮減功能：重複資料刪除與壓縮</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>●節點與磁碟保護：Erasure Coding與多複本</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>●快照：有</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>●遠端複製：有</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>●QoS：有</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>●WORM ：有</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>●加密：有</strong></span></p> <p dir="ltr"><span style="color:#696969;">資料來源：iThome整理，2022年12月</span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B">封面故事</a></div><div class="field-item odd"><a href="/tags/%E7%89%A9%E4%BB%B6%E5%84%B2%E5%AD%98">物件儲存</a></div><div class="field-item even"><a href="/tags/cloudian-hyperstore">Cloudian HyperStore</a></div><div class="field-item odd"><a href="/tags/quantum-activescale">Quantum ActiveScale</a></div></div></div>
2022/12/26 00:00作者張明德https://www.ithome.com.tw/tech/154856
新世代物件儲存平臺興起
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1109-feng_mian_p1-open-960zhu_tu_.jpg?itok=v3Ks4tq8" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">發展歷史將近20年的物件儲存產品，過去幾年來有了大幅度的轉變，新一代物件儲存平臺跨出大規模非結構化資料靜態保存範疇，透過底層架構、效能、儲存協定支援與部署能力等方面的一系列革新，將應用面向擴展到更多樣化的領域</p> <div> </div> </div></div></div>
2022/12/26 00:00作者張明德https://www.ithome.com.tw/article/154857
F-Droid釋出推送通知服務FCM開源替代解決方案UnifiedPush
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於目前Android手機推送通知的唯一選擇，只有Google的專有服務Firebase Cloud Messaging （FCM），因此Android開源應用程式商店F-Droid便推出替代方案<a href="https://f-droid.org/2022/12/18/unifiedpush.html">UnifiedPush</a>，讓開發者可以不仰賴任一企業服務推送通知。</p> <p>推送通知對現代行動應用程式體驗非常重要，賦予應用程式能夠與用戶即時溝通的能力，但是F-Droid提到，使用Google的推送通知對用戶隱私和獨立性產生影響，導致F-Droid應用程式不能包含FCM函式庫，因此許多自由及開放原始碼軟體會在應用程式和伺服器之間，建立持久且直接的連接用以推送通知。</p> <p>但這個方法存在許多限制，在應用程式和伺服器之間建立直接連接，需占用大量的裝置資源，包括電量、CPU和網路資源都會吃緊。作業系統為了要最大程度減少資源負載，通常會暫停未活躍使用的應用程式，但是當每個應用程式都與伺服器建立主動連接，則會使作業系統無法暫停這些應用程式。</p> <p>況且多個應用程式都以自己的節奏Ping伺服器，便會使裝置無法進入低功耗睡眠模式，使得裝置電池更快耗盡，因此如果只由一個特殊的應用程式建立優先連接，便可以最大程度減少這些問題，也使得作業系統可以終止其他應用程式，進入睡眠狀態節省電池消耗。</p> <p>而對開發人員來說，管理後臺服務和最佳化連接，是一個複雜且耗時的工作，藉由使用專門的推送通知服務，能夠減輕開發人員的負擔，使其專注在應用程式的其他部分。UnifiedPush則擔任這個專門負責推送通知的角色。</p> <p class="rtecenter"><img alt="" src="https://f-droid.org/assets/animation-options_MLZPGs9RJptxV8Q_3U4fEdo2mJcvJDSd4rYpMr7r9og=.svg" style="width: 300px;" /></p> <p>UnifiedPush的核心是一個規範，分為裝置客戶端和伺服器端，裝置客戶端定義了API使得任意終端使用者應用程式，能夠與Ntfy與NextPush等配送應用程式通訊，而UnifiedPush伺服器端API則描述，應用程式向Ntfy與Nextcloud配送伺服器發送訊息的方式。</p> <p>因此對使用者來說，要在Android上獲得採用UnifiedPush的應用程式通知，需要先安裝像是Ntfy等配送應用程式，接著開啟Ntfy應用程式並且停用電池最佳化，接著在其他支援UnifiedPush的應用程式中開啟UnifiedPush，系統會自動偵測Ntfy應用程式。</p> <p>UnifiedPush與RFC8030規範的WebPush原則上相容，WebPush主要是用於瀏覽器通送通知的開放標準，官方現在正在研究解決方案，以提供更穩定的WebPush支援。現在已經有越來越多應用程式支援UnifiedPush，包括許多Matrix和Mastodon應用程式，官方也正在努力讓Telegram和Signal應用程式開源版本支援UnifiedPush。</p> </div></div></div>
2022/12/23 21:04作者李建興https://www.ithome.com.tw/news/154859
LastPass發現駭客盜走用戶加密密碼庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>密碼管理服務LastPass在8月的時候遭到駭客入侵，未經授權的第三方存取其開發環境，並且盜走程式碼和私有技術，當時官方表示，使用者資料和加密密碼庫皆未受影響，但是經過進一步的調查，<a href="https://blog.lastpass.com/2022/12/notice-of-recent-security-incident/">LastPass</a>官方承認，駭客入侵開發環境，已經複製客戶加密密碼庫。</p> <p>駭客在2022年8月時，存取了LastPass雲端儲存環境，雖然駭客在8月事件中沒有存取用戶資料，但是部分原始碼和技術資訊從開發環境被盜走，並且被用於鎖定一名員工，並成功獲得憑證和金鑰，以存取和解密雲端上的儲存。</p> <p>在官方最新調查中，他們已經確認一旦駭客獲得雲端存取金鑰，和雙儲存容器解密金鑰，便可從備份中複製資訊，其中包含用戶帳戶資料和相關後設資料，包括公司名稱、用戶名稱、帳單地址、用戶存取LastPass服務所使用的電子郵件、電話號碼和IP地址。</p> <p>同時，駭客還可以從加密儲存容器中，複製客戶加密密碼庫的備份，該儲存容器以特有的二進位格式儲存，其中的資料包含未加密資料，還有經加密的敏感欄位、密碼與填表資料等。官方提到目前沒有證據顯示，未加密的信用卡資料曾被存取，也因為LastPass不儲存完整的信用卡號，因此信用卡資訊不會在雲端儲存環境中留存。</p> <p>LastPass用戶的加密資料使用256位元AES加密，並且只能透過零知識（Zero Knowledge）架構，從每個用戶的主密碼衍生出來的唯一加密金鑰進行解密，LastPass本身不會知道用戶的密碼，資料的加密和解密只會在LastPass本地客戶端進行。</p> <p>LastPass解釋，駭客可能會嘗試暴力猜測用戶的主密碼，並用於解密加密密碼庫副本，同時駭客還可能針對用戶LastPass加密密碼庫所關聯的線上帳戶，進行網路釣魚、憑證填充或是各種暴力破解攻擊。官方提醒，LastPass不會以電話、電子郵件和簡訊，要求用戶點擊連結驗證個人資訊，用戶應該提高警覺避免被騙。</p> <p>當用戶的主密碼被駭客猜中，儲存在LastPass的加密資料便可能曝光，官方表示，如果用戶遵循他們建議的密碼最佳實踐，要被猜到主密碼非常困難。LastPass用戶的主密碼在2018年之後，被要求最少要有12個字元，這能大幅降低主密碼被暴力破解的機率。</p> <p>另外，LastPass使用PBKDF2密碼金鑰衍生函式的100,100次迭代，官方提到，這種密碼強化演算法，也使得駭客很難猜出主密碼。但是當用戶在其他網際網路服務重複使用密碼，而該密碼曾被洩漏，則駭客可能會透過憑證填充攻擊直接存取帳戶。</p> <p>對於使用LastPass密碼最佳實踐的用戶，官方認為不須採取任何建議操作，因為使用目前普遍的密碼破解技術來猜測用戶的主密碼，也需要耗費百萬年，但是當用戶並非採用最佳實踐，則將會大幅減少正確猜測需要的次數，官方建議這些用戶應該更改儲存的網站密碼，以降低安全風險。</p> <p>而對於實作LastPass聯合登入服務的企業用戶，官方解釋，LastPass採用零知識架構，並且實作隱藏式主密碼以加密密碼庫，根據不同的實作模型，主密碼由兩個或是多個單獨儲存的256位元加密隨機產生的字串，以特殊方法組合而成，駭客無法存取用戶身份供應商或是LastPass基礎設施中的關鍵金鑰片段，因此實作聯合登入服務的企業客戶，不需要執行額外操作。</p> <p>LastPass表示，他們檢討8月入侵事件後，完全停用該環境，並且重新建立開發環境，強化開發人員機器、流程和身份驗證機制，同時添加額外的日誌紀錄和警示功能，以檢測未經授權的活動，同時官方也積極輪換所有可能受影響的憑證和證書，補充現有端點安全性。</p> </div></div></div>
2022/12/23 21:09作者李建興https://www.ithome.com.tw/news/154862
Google開源內部影像物體模糊隱私技術，並且強化完全同態加密轉譯器效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://developers.googleblog.com/2022/12/new-privacy-enhancing-technology-for-everyone.html">Google釋出兩項最新隱私強化技術</a>，第一個是內部專案Magritte的開源版本，可以用於模糊影像隱私物體，另一個則是強化完全同態加密（Fully Homomorphic Encryption，FHE）轉譯器的效能，使企業能夠更高效地安全處理敏感資料。</p> <p>Google在過去幾年間發展多項隱私強化技術，像是聯合學習、差分隱私和完全同態加密等，這些技術讓企業能夠以可證的隱私方法分析大資料集，在推薦等用例提供更多的隱私保護，像是在用戶搜尋餐廳受歡迎餐點，或是於訊息輸入獲取建議的同時，也能維持匿名性。</p> <p>但是這些技術進入門檻並不低，除了要求大量計算資源外，管理的複雜性和實作成本都讓一般企業難以採用，Google近三年透過改進這些技術，試圖讓隱私技術採用更加普及，最新釋出的兩項新技術發展，便是這些工作成果的一部分。</p> <p>Google公開內部的Magritte專案，該專案能夠使用機器學習技術，以低運算資源偵測物體，並在特定物體像是車牌出現在螢幕時執行模糊處理。官方表示，隱私強化技術應用層面很廣，能協助開發人員在不洩漏個人資訊的情況下分析資料，也能夠透過模糊處理，保護線上照片和影片中人物的身分安全，但過去這類技術需要較高的運算強度，很難以不破壞用戶體驗的方式實作。</p> <p>Magritte低資源消耗特性，能夠使該技術更為普及，特別適用於攝影記者，藉由使用Magritte開源專案，攝影記者可以節省模糊物體的時間。</p> <p>另外，在去年的時候，Google發表了完全同態加密轉譯器，這讓開發人員在無法存取個人資料的情況下運算加密資料。現在Google最佳化轉譯器，能夠再進一步降低計算成本和時間，這將有助擴大金融服務、醫療保健和政府等產業應用。</p> </div></div></div>
2022/12/23 21:12作者李建興https://www.ithome.com.tw/news/154863
零售IT雙周報第11期：亞馬遜全球開店明年將於臺灣設置實體基地，提供傳產轉型OBM服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#臺灣傳產轉型 #跨境電商</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#人才培訓</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#OBM零售</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#物流管理</span></strong></span></p> <p><strong>亞馬遜全球開店將在臺灣成立實體基地，提供傳產轉型跨境電商的人才培訓服務</strong></p> <p>美國電商巨頭Amazon的開店解決方案亞馬遜全球開店（以下簡稱亞馬遜）表示，2023年第2季將於臺灣設置實體跨境電商加速基地，針對臺北以外的傳統產業帶提供電商開店顧問及人才培訓服務，預計2023培訓超過上萬人次的跨境電商企業人才。</p> <p>亞馬遜全球開店台灣總經理陳思芬表示，之所以會鎖定這些臺北外的傳統產業帶，是因為他們先前與臺灣公協會接洽時，發現台灣有一些產業形成聚落，且有轉型為跨境電商的潛力。例如自行車產業、水五金、螺絲及扣件、汽車配件、精密機械等。考量到產業聚落的群聚效應，亞馬遜全球開店計畫以產業帶為經營單位。</p> <p>根據亞馬遜與臺北市進出口商業同業公會共同發布的《2022跨境電商焦點報告》，臺灣企業的外貿訂單中，大多仍是OEM和ODM（代工及設計）類，附加價值最高的OBM（自有品牌）訂單則不到3成。因此，亞馬遜計畫透過販售臺灣傳產相關課程及人才培訓計畫，加上各式開店工具，推動傳產轉型為OBM，直接販售商品給多國市場的消費者。</p> <p>一個值得注意的開店工具是訂單履行工具FBA（Fulfillment by Amazon）。當臺灣店家想打入國外市場時，店家只需要運送商品到指定倉儲，此工具便會利用亞馬遜在全球布局的物流據點，來自動安排庫存及物流調度，省下自行建置及管理倉儲的成本。</p> <p>目前，臺灣賣家可以在美國、加拿大、墨西哥、日本、新加坡、德國、英國、法國、義大利、西班牙、荷蘭、瑞典、澳洲、波蘭等14個亞馬遜網站上架商品。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#區塊鏈</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#NFT</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#會員經營</span></span></strong></p> <p><strong>Starbucks將Web 3技術應用於會員體驗，不強調NFT和區塊鏈等字眼</strong></p> <p>全球咖啡連鎖店Starbucks結合區塊鏈技術，<a href="https://stories.starbucks.com/stories/2022/the-starbucks-odyssey-begins/">推出新會員體驗</a>。這個體驗類似成就系統，有別於現有憑消費額升級的會員制度。當會員進行各種挑戰或體驗，就會獲得NFT印章，並獲得會員點數。印章及點數達到一個累積進度，會員可以升級，享受更多權益。消費者還能額外購買一些限時限量的印章作為收藏，這些印章也能增加會員升級進度。</p> <p>值得注意的是，Starbucks會員不需要有加密貨幣或加密貨幣錢包，也能嘗試這些用區塊鏈技術打造的會員體驗。甚至，Starbucks不會特別強調這些NFT印章是NFT，而是單純稱其為「印章」，且購買這些印章只需要會員有信用卡作為支付工具。由此可見，Starbucks應用Web 3技術的策略是強調功能及體驗，而非強調新興技術當作宣傳噱頭。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#社群電商</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#短影音</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#可購物影片</span></span></strong></p> <p><strong>Amazon也加入社群電商行列，推出可購物影片功能</strong></p> <p>美國零售巨頭Amazon也搭上社群短影片電商潮流，<a href="https://www.amazon.com/amazon.com/b?node=24672145011">推出了介面神似Instagram或Tiktok的影片購物功能Inspired</a>。</p> <p><a href="https://m.media-amazon.com/images/G/01/inspire/homepage/media/IntroPhone1._CB618839835_._TTW_.png"><img alt="" src="https://m.media-amazon.com/images/G/01/inspire/homepage/media/IntroPhone1._CB618839835_._TTW_.png" style="height: 400px;" /></a></p> <p>Amazon App中，點到Inspired欄位就會被詢問有興趣的商品類別，接著App會推薦品牌、創作者及其他社群用戶上傳的照片和短影音內容。消費者可以在影片下方看到出現過的商品，並直接將商品加入購物車。</p> <p>繼Tiktok和Youtube等影音平臺在自家影音內容加入可購物選項後，電商平臺Amazon也跨入短影音購物功能，顯示短影音和購物兩者的結合已成未來網路購物一大趨勢。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#元宇宙賣實體商品</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#OMO零售</span></span></strong></p> <p><strong>終於開始賣實體商品！美國超市巨頭Albertsons在元宇宙中開啟限時商店</strong></p> <p>美國有超過2,000處據點的美國超市巨頭Albersons也加入了元宇宙。不過與其他品牌不同的是，<a href="https://twitter.com/Albertsons/status/1598089057849991168">Albertsons真的直接在元宇宙販賣實體商品</a>，而非販賣元宇宙遊戲內商品或單純提供宣傳性質的體驗。</p> <p>Albertsons元宇宙的商品販賣模式相當簡單：在元宇宙遊戲看板放上商品QR Code，消費者掃描QR Code就能用信用卡結帳。這些商品的賣點是價格相當優惠，且45分鐘內能免費外送到消費者家門口。雖然此模式相當簡單，但也因此不需面臨太多系統面的挑戰，便能連接起消費者於元宇宙和現實世界的體驗。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#無人機物流</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#同日送達</span></span></strong></p> <p><strong>Walmart無人機送貨服務再次擴展服務範圍</strong></p> <p>美國零售巨頭Walmart的無人機送貨服務範圍再次擴張，<a href="https://www.businesswire.com/news/home/20221215005631/en/Walmart%E2%80%99s-Drone-Delivery-Takes-Flight-in-Arizona-with-DroneUp">現在德州、亞利桑那州及佛洛里達州部分商店能在30分鐘內利用無人機送達重量10磅以下的商品</a>。</p> <p>作為較早大規模投入無人機的零售業者，Walmart今年年中曾表示今年無人機服務範圍要涵蓋4百萬個美國家庭。Walmart至今尚未公布是否有達成這個目標，有一些他們曾經承諾要新增無人機服務的州也仍未正式啟用無人機。不過，Walmart無人機服務範圍仍較另一個零售巨頭Amazon廣泛許多。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#外送平臺</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#外送機器人</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#開放空間機器人</span></span></strong></p> <p><strong>Uber Eats將投入外送機器人到開放空間</strong></p> <p>食物有容易潑灑的特性，因此通常外送食物用的自動駕駛機器人只會於較為封閉、可控的環境中使用，例如校園或科學園區等。<a href="https://www.cartken.com/blog/uber-eats-and-cartken-partner-for-sidewalk-robot-deliveries">不過，Uber Eats近期將在邁阿密戴德縣開始投入外送機器人到開放空間，明年還會拓展服務範圍到更多城市。</a></p> <p>近月，Uber也和自駕物流車技術商Nuro簽訂合作計畫，要在德州休士頓及加州山景城開始使用自動駕駛車運送Uber Eats餐點。這次再加碼投資小型的自駕機器人用於外送，顯示Uber非常看好自駕技術用來外送食物的前景。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電腦視覺</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#簡訊購物</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#重複購物</span></span></strong></p> <p><strong>Walmart推出影像搜尋商品功能及簡訊購物功能</strong></p> <p>美國電商巨頭Walmart在聖誕季前推出影像搜尋及簡訊購物兩項智慧購物新功能。</p> <p><a href="https://corporate.walmart.com/newsroom/2022/12/08/meet-trendgetter-walmarts-solution-to-getting-great-deals-on-trends-you-love">影像搜尋商品功能能分析用戶上傳的圖片</a>，搜尋Walmart相關商品。Walmart表示，這不僅能搜尋圖片中商品，也能搜尋到外觀相近的商品，因此消費者能利用此工具來做相近商品比價。</p> <p><img alt="" src="https://cdn.corporate.walmart.com/dims4/WMT/b9abeec/2147483647/strip/true/crop/1600x900+0+0/resize/880x495!/quality/90/?url=https%3A%2F%2Fcdn.corporate.walmart.com%2F81%2F31%2F7f8387c34dfab9509760384362bb%2Fwhite-kitchenaid-stand-mixer-trendgetter.jpg" style="width: 600px;" /></p> <p><a href="https://texttoshop.walmart.com/">簡訊購物功能</a>則是用於簡化購物流程。此簡訊功能與消費者Walmart會員資料串接。當消費者輸入商品關鍵字，例如麥片，Walmart就會自動比對消費者消費紀錄，將消費者常買的麥片品牌跟數量加入購物車。消費者還能透過簡訊指令來檢查購物車內容、預定提貨送貨時間及結帳。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1671791269706.jpg" style="height: 400px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1. <a href="https://www.trendiolive.com/">Amazon Prime Video前任負責人推出美妝類的影片購物App，要開發利用AI自動剪輯出使用者有興趣片段的功能</a></p> <p>資料來源：iThome整理，2022年12月</p> <p>圖片來源：Amazon、Walmart</p> <p>責任編輯：郭又華</p> <p> </p> </div></div></div>
2022/12/23 18:29作者郭又華https://www.ithome.com.tw/news/154864
【資安日報】2022年12月23日，提升為RCE的CVE-2022-37958被研究人員視為另一EternalBlue…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在9月修補的漏洞CVE-2022-37958，最近受到很大的關注，因為他們後續將這個涉及SPENGO NEGOEX防護的弱點類型，調整為RCE漏洞，CVSS評分也提升至8.1分，由於SMB與RDP都使用NEGOEX安全機制，可能影響的層面相當廣，甚至有研究人員將此漏洞與EternalBlue漏洞相提並論。</p> <p>今日密碼管理業者相關的資安新聞有兩起，首先是LastPass在22日發布資安事件公告，說明客戶資料庫的備份被入侵者複製，另一起是瑞士資安研究人員揭露密碼管理產品Passwordstate的漏洞通報細節。</p> <p>網路犯罪者為了散布惡意網站，利用搜尋引擎透過購買關鍵字廣告，假冒品牌業者的情形，<a href="http://www.ithome.com.tw/news/154701#家樂福">最近在臺灣受到民眾與媒體的注意</a>，特別的是，美國FBI現在也針對此一情況示警，突顯駭客不斷改變其策略，頻頻躲過搜尋服務業者對於網路詐騙廣告的偵測。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://securityaffairs.co/wordpress/139709/hacking/microsoft-revised-cve-2022-37958-rate.html" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對9月修補的CVE-2022-37958漏洞，微軟提高其風險評分</span></strong></a></h3> <p><a href="https://twitter.com/chompie1337?ref_src=twsrc^tfw|twcamp^tweetembed|twterm^1602757336908660736|twgr^fbea76759c5cf9e769b64a847c83159d468e5a1b|twcon^s1_&ref_url=https%3A%2F%2Fsecurityaffairs.co%2Fwordpress%2F139709%2Fhacking%2Fmicrosoft-revised-cve-2022-37958-rate.html"><img alt="" src="/sites/default/files/images/CVE-2022-37958%20RCE_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90chompie1337's%20Twitter.jpg" style="width: 280px; float: right;" /></a></p> <p>微軟在12月中調整了CVE-2022-37958的漏洞分類，從資訊洩漏漏洞改為RCE漏洞，CVSSv3評分也從7.5提升為8.1，這是微軟在9月修補、存在於SPENGO NEGOEX的漏洞。</p> <p>值得關注的是，最近有多位資安研究人員對此漏洞發表看法，強調應正視其嚴重性。由於SMB與RDP都使用NEGOEX安全機制進行身分驗證，因此將更廣泛影響Windows系統，尤其是暴露於網際網路的服務，身處內部網路環境的這類系統也不能輕忽，而根據資安新聞網站Security Affair的報導，指出IBM Security X-Force研究人員也已證明這是個RCE漏洞，會影響多種協定，並表示將在明年第二季才會公布完整技術細節。目前微軟9月釋出的修補仍是有效，還沒修補的企業需儘速因應。</p> <h3><a href="https://www.microsoft.com/en-us/security/blog/2022/12/21/microsoft-research-uncovers-new-zerobot-capabilities/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">新興Zerobot殭屍網路威脅擴大，新鎖定7個重大漏洞</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/zerobot_圖片來源微軟.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/zerobot_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 280px; float: right;" /></a></p> <p>微軟在12月21日揭露Zerobot新能力，該殭屍網路病毒今年11月中旬冒出，月初Fortinet曾揭露Zerobot鎖定21個漏洞入侵。微軟指出，該惡意程式使用常見8個使用者帳號與130個密碼的組合，並透過連接埠23與2323，來嘗試獲取設備存取權，並增加7個鎖定目標，例如：Zivif網路攝影機（CVE-2017-17105）、Grandstream視訊設備（CVE-2019-10655），Sophos SG UTM設備（CVE-2020-25223），以及Apache（CVE-2021-42013）與Apache Spark（CVE-2022-33891）等，同時，Zerobot 1.1版還具有額外的DDoS攻擊功能。</p> <h3><a href="https://www.ic3.gov/Media/Y2022/PSA221221" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">FBI警告網路犯罪者正利用搜尋引擎廣告、假冒品牌業者，引誘民眾上當</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FBI Alert_Search Engine Advertisement Defraud_圖片來源擷取自FBI.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FBI%20Alert_Search%20Engine%20Advertisement%20Defraud_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%93%B7%E5%8F%96%E8%87%AAFBI.jpg" style="width: 280px; float: right;" /></a></p> <p>美國FBI在12月21日發出一則警告，指出網路犯罪分子利用搜尋引擎，投放冒充品牌名義的詐騙廣告，使用戶被引導至惡意網站的威脅狀況，需要特別注意。</p> <p>FBI表示，這些惡意網站將讓用戶遭受勒索軟體、帳密與金融資訊被竊等危害，因此，他們對企業提出3項建議，分別是可利用網域名稱保護服務、向用戶介紹詐騙網站與識別正確URL的重要性，以及告訴用戶哪裡可以找到合法下載管道，同時，FBI也對個人提供預防建議，包括：點擊廣告需檢查URL以確保是真正的網站（注意拼寫錯誤與錯放等混淆手法），直接在瀏覽器網址列輸入網址，以及安裝廣告攔截程式等。</p> <h3><a href="https://www.justice.gov/usao-sdny/pr/two-men-arrested-conspiring-russian-nationals-hack-taxi-dispatch-system-jfk-airport" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國司法部起訴書透露紐約JFK機場計程車調度系統遭駭事件，網路犯罪者藉改變排班順序牟利</span></strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Hack%20The%20Taxi%20Dispatch%20System%20At%20JFK%20Airport_%E8%A7%A3%E5%8F%96%E8%87%AA%E7%BE%8E%E5%9C%8B%E5%8F%B8%E6%B3%95%E9%83%A8.jpg" style="width: 280px; float: right;" /></p> <p><a href="https://www.ithome.com.tw/news/154833#JFK">昨日</a>美國多家媒體報導紐約JFK機場計程車調度系統遭俄駭客操控，兩名涉嫌的美國公民被捕。根據美國司法部此案的起訴書顯示，這項行動發生至少在2019年9月到2021年9月間，入侵者嘗試了各種方式，包括：賄絡某人將惡意USB插入調度系統電腦，透過Wi-Fi存取調度系統，以及竊取連接調度系統的電腦設備，在成功入侵後，這些犯罪者藉由改變計程車司機排班順序，並以口耳相傳方式讓司機們得到消息，聲稱只需支付10美元給該集團即可優先排班，藉此牟利。</p> <h3><a href="https://blog.lastpass.com/2022/12/notice-of-recent-security-incident/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">LastPass發布安全事件公告，客戶加密密碼資料庫備份遭存取</span></strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/LastPass%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6%E5%85%AC%E5%91%8A_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%93%B7%E5%8F%96%E8%87%AALastPass.jpg" style="width: 280px; float: right;" /></p> <p>密碼管理服務業者LastPass在12月22日發布資安公告，提及8月底坦承遭遇資安事故，初步調查後發現未經授權的第三方存取其開發環境與雲端服務，導致部分程式碼被盜，原本他們認為不會影響用戶資料，如今又有了新的進展。</p> <p>入侵者先是透過雲端環境複製了客戶資料庫的備份，當中包含未加密的資料（如URL網址），以及完全加密的資料（如使用者帳號與密碼）。不過，該公司再次強調他們採用的零知識（Zero Knowledge）安全架構，需從每個使用者主密碼產生的唯一金鑰來解密，也就是除了用戶自己，無人能存取密碼庫的資料。</p> <p>即便無資料外洩狀況，但該公司還是提醒用戶當心網路釣魚，不要將主密碼用於其他網路服務。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.modzero.com/static/MZ-22-03_Passwordstate_Security_Disclosure_Report-v1.0.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Passwordstate密碼管理方案修補多個嚴重漏洞</span></strong></a></h3> <p>Passwordstate是澳洲資安業者Click Studio的密碼管理產品，在12月19日，瑞士資安業者Modzero研究人員揭露裡面有多個漏洞。他們指出，當中的CVE-2022-3875最嚴重，是存在於API的身分驗證繞過漏洞。Click Studio收到通報後，已於<a href="http://www.clickstudios.com.au/passwordstate-changelog.aspx">11月初釋出Passwordstate 9.6 - Build 9653版本</a>，修補這批漏洞，並呼籲用戶盡速更新。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><a href="https://www.darkreading.com/risk/biden-signs-post-quantum-cybersecurity-guidelines-into-law"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國白宮簽署量子運算網路安全準備法案（H.R. 7535），以實踐後量子密碼學過渡計畫</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/H_R_ 7535 White house_圖片來源擷取自白宮.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/H_R_%207535%20White%20house_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%93%B7%E5%8F%96%E8%87%AA%E7%99%BD%E5%AE%AE.jpg" style="width: 280px; float: right;" /></a></p> <p>美國總統拜登於12月21日<a href="https://www.whitehouse.gov/briefing-room/legislation/2022/12/21/press-release-bills-signed-h-r-310-h-r-2220-h-r-2930-h-r-3462-h-r-7535-s-314-s-4834/">簽署量子運算網路安全準備法案（Quantum Computing Cybersecurity Preparedness Act；H.R. 7535）</a>，根據這項法案規定，美國行政管理和預算局（OMB）需在NIST發布新指南後的1年內，進行PQC的轉換，另一方面，此法案頒布後的1年內，OMB需向國會提出報告，說明因應戰略、資金，以及與各機構組織的協調工作。</p> <h3><a href="https://www.interieur.gouv.fr/actualites/communiques/de-nouveaux-engagements-pour-renforcer-cybersecurite-des-etablissements-de"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">法國醫療業今年下半遭遇兩次重大資安事件，該國政府祭出強化安全新承諾</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/法國政府針對該國醫療機構祭出強化安全新承諾_圖片來源擷取自法國內政部.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%B3%95%E5%9C%8B%E6%94%BF%E5%BA%9C%E9%87%9D%E5%B0%8D%E8%A9%B2%E5%9C%8B%E9%86%AB%E7%99%82%E6%A9%9F%E6%A7%8B%E7%A5%AD%E5%87%BA%E5%BC%B7%E5%8C%96%E5%AE%89%E5%85%A8%E6%96%B0%E6%89%BF%E8%AB%BE_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%93%B7%E5%8F%96%E8%87%AA%E6%B3%95%E5%9C%8B%E5%85%A7%E6%94%BF%E9%83%A8.jpg" style="width: 280px; float: right;" /></a></p> <p>法國政府在12月21日宣布將加強該國醫療機構網路安全，該國醫療院所今年8月與12月初遭遇兩次重大事件，均造成病患手術取消或轉院情況，對此，該國內政、醫療與電信主管機關召開會議，宣布將啟動大型網路安全事件準備計畫，首先在2023年5月前，要讓所有重要醫療機構完成新的資安演練，在第一季之內，也將為各機構提供資安事件應變、影響評估的指引。同時，他們也持續強調國家公共機構遭勒索攻擊不付贖金的一貫立場。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/154758"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">2022年臺灣APT攻擊研究大公開，TeamT5觀察到APT攻擊行動109起，受駭單位有26個</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154735"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google在臺闡述其零信任防禦原則，聚焦以身分作為存取控制的安全邊界</span></span></strong></a></p> <p><a href="https://www.itworldcanada.com/article/breaking-news-toronto-childrens-hospital-confirms-it-was-hit-by-ransomware/519357"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">多倫多兒童醫院遭勒索軟體攻擊</span></span></strong></a></p> <p><a href="https://www.mandiant.com/resources/blog/information-operations-2022-midterm-elections"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Mandiant揭露針對2022年美國中期選舉的影響行動</span></span></strong></a></p> <p><a href="https://thehackernews.com/2022/12/two-new-security-flaws-reported-in.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">思科揭露Ghost CMS存在兩個漏洞</span></span></strong></a></p> <p><a href="https://www.securityweek.com/over-50-new-cve-numbering-authorities-announced-2022?&web_view=true"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">2022年MITRE CNA成員增加超過50個</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154833">【2022年12月22日】資安研究人員提出硬體斷點規避EDR監控新技術；用ChatGPT與Codex降低攻擊門檻情況受關注</a></strong></strong></strong></p> <p><a href="https://www.ithome.com.tw/news/154819"><strong>【2022年12月21日】駭客利用新手法OWASSRF入侵Exchange、烏克蘭軍事情報系統遭駭客鎖定</strong></a></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154799">【2022年12月20日】 FBI威脅情資交換平臺用戶個資驚傳流入暗網、4至5年前修補的思科產品漏洞出現攻擊行動</a></strong></strong></strong></p> </div></div></div>
2022/12/23 16:05作者羅正漢https://www.ithome.com.tw/news/154861
保險業身分驗證中心啟用，能一次完成多保險公司理賠申請
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人壽保險商業同業公會今天（12/23）宣布啟動保險業身分驗證中心理賠應用試辦案，利用統一的身分認證平臺，讓保戶申請醫療理賠的流程無紙化且精簡化，更能一次向多家保險公司申請理賠。</p> <p>過去，保戶需要在醫院申請許多文件的正副本，再到保險公司申請理賠。若有多家保險公司的保單，則需要重複同樣申請流程，且線上線下都相當耗時：線下申請需要舟車勞頓；線上申請也沒有統一平臺，還需要註冊各家保險公司的線上會員。</p> <p>新的理賠應用，則將理賠流程全面無紙化、線上化，且完成一家保險公司的理賠申請後，就能用相同資料一併申請所有其他保險公司的理賠。為了同時顧及此過程的保戶隱私及資料可信度，此平臺運用2條私有區塊鏈及1條公有區塊鏈，分別作為保險公司端資料、醫院端資料及保單申請結果的儲存地點。</p> <p>壽險公會保險業資訊科技共享平臺召集人翁仲和說明理賠申請流程：保戶在醫院端掃描QR Code，進入平臺介面，就能選擇想要申請理賠的保單。平臺上會自動幫保戶登入或註冊保險公司的線上會員，讓保戶能直接開始申請作業。提出申請後，保險公司會向醫院提出資料請求，醫院則會將相關資料上傳到區塊鏈，讓保險公司核查。若保戶想申請多張來自不同保險公司的保單，也只需完成這一次操作，平臺就能用這一次申請所使用的資料，向其他間保險公司一併完成申請作業。</p> <p><a href="https://s4.itho.me/sites/default/files/images/1_drawio.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_drawio.png" style="width: 450px;" /></a></p> <blockquote><p><em>利用身分驗證中心申請理賠的流程圖。（點擊可放大）資料來源：iThome整理</em></p> </blockquote> <p>目前，此試辦案有14家壽險公司、2家產險公司及24家醫院參與。翁仲和表示，未來此技術也能應用到金融業其他領域，甚至其他行業。短期目標，是吸引更多壽產險公司及醫院加入，再慢慢拓展到信託、證券等金融服務，以及部分政府服務。若其他行業有驗證需求，也可以跟驗證中心對接。</p> <p>壽險公會也早已為了將此應用拓展到其他領域，做了相關設計。例如，儘管申請理賠所需的安全等級較低，身分驗證中心也比照金融業普遍標準，設有4個認證安全等級；系統承載能力上，雖然目前平臺瞬間流量最高只有1秒100至200次訪問，但已經能做到1秒鐘承載600次以上訪問次數，且未來還能持續擴充；公有鏈的選擇也為了能擴大應用，從Ethereum鏈轉到Gas fee較為低廉的Polygon鏈。</p> </div></div></div>
2022/12/23 14:20作者郭又華https://www.ithome.com.tw/news/154858
如何追求「真」敏捷？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-min_jie_yi_shu_-960zhu_tu_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">歐萊禮出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>你要如何將各式各樣的敏捷想法落實到實際的敏捷團隊上？練習！大量的練習！<p></p></p> <p>即使沒有正式記錄下來的文件，每個團隊都有自己遵循的工作方式──流程或方法。該方法反映了軟體開發的基本理念，儘管該理念很少被闡明，而且也不一定是能夠自圓其說。<p></p></p> <p>要追求「真」敏捷，你需要改變你的流程來體現敏捷的理念。相較於聽起來，要實現這句話既容易，卻又困難。容易是因為在大多數情況下，你可以從眾多現成的敏捷方法開始做起；困難是因為你需要改變自己的工作方式，而這代表會改變很多習慣。<p></p></p> <p><span style="font-size:28px;"><strong>實踐敏捷</strong></span><p></p></p> <p>敏捷社群將這些習慣稱為實務做法。本書的大部分內容都專注於這些做法，比方說規劃會議、自動化建置和向利害關係人展示（stakeholder demos）之類的做法。大多數的做法已經存在了幾十年，只是敏捷方法以獨特的方式將它們結合起來，突出那些支持敏捷哲學的部分，捨棄其餘部分，並同時混合一些新的想法。最終產出的是一個精實的、強大的、能自我強化的成套做法。<p></p></p> <p>敏捷的實務做法常常能夠承擔兩倍和三倍的任務、同時解決多個問題、並以巧妙和令人驚訝的方式相互支持。直到你看到它的實際運行一段時間後，你才會真正理解敏捷方法有效的理由。<p></p></p> <p>因此，儘管「從一開始就將敏捷方法客製成你想要的樣子」的想法相當誘人，但是最好的做法仍然是照著本書告訴你的方式進行。或許你會很想要去除最不熟悉的實務做法，但如果你想要追求「真」敏捷，它們往往是你最需要的做法。<p></p></p> <p><span style="font-size:28px;"><strong>精通敏捷之道</strong></span><p></p></p> <p>掌握敏捷開發的藝術需要實際的經驗，而這些經驗必須是基於具體的、有明確定義的敏捷方法。從書本上所描述的方法開始，然後將它們全面地付諸實踐，並花費幾個月的時間來完善你的用法，以及理解它為什麼有效。接著才是進行客製。從一個需要改善的地方開始，對實際的狀況進行有根據的假定，然後重複這樣過程，直到完善。<p></p></p> <p>本書就是為了讓你精通敏捷之道而編寫的。這是一套在實務中得到證明且精心策劃的敏捷實務做法。如果想要使用它來掌握敏捷開發的藝術，或者僅僅只是想要使用敏捷的實務做法來取得更大的成功，請遵循以下步驟：<p></p></p> <p>1. 選擇一部分的敏捷想法來掌握。<p></p></p> <p>2. 根據第一步選定的想法，盡可能地採用對應的實務做法。敏捷的實務做法能強化彼此的價值，所以當你一起使用它們的時候，可以得到最好的效果。<p></p></p> <p>3. 嚴格並且一致地運用這些實務做法。如果某一個實務做法沒有產生作用，請試著更仔細地遵循該做法。剛接觸敏捷的團隊往往沒有充分地運用這些實務做法，預計需要兩到三個月的時間才會開始習慣這些做法，並且需要再花費兩到六個月，讓這些做法成為本能。<p></p></p> <p>4. 當你確信你正確地運用了這些實務做法的時候，再花費幾個月的時間，開始嘗試改變這些做法。每次對做法進行改變時，請觀察發生的情況，然後再進一步改善。<p></p></p> <p>5. 沒有最後一步。敏捷軟體開發是一個不斷學習和改進的過程。永遠不要停止練習、實驗和進化。<p></p></p> <p>下圖說明了前述的整個過程。先遵守規則；然後打破規則；最後把規則拋在腦後。</p> <p class="rtecenter"><p><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-%E6%95%8F%E6%8D%B7%E8%97%9D%E8%A1%93-%E5%85%A7%E6%96%87%E5%9C%963(1).png" style="width: 420px;" /></p></p> <p><span style="color:#B22222;"><strong>如何導入敏捷</strong></span><p></p></p> <p>如果你正在幫助你的組織創建敏捷團隊，或者你想說服組織採用敏捷，請使用以下清單，來保持一切的過程都井井有條。<p></p></p> <p>首先，確認敏捷是否適合你的公司：<p></p></p> <p>● 選擇一個達成敏捷的方式，而且是組織所支持的方式。<p></p></p> <p>● 為成功地達成敏捷，確定組織需要做些什麼？<p></p></p> <p>● 為試驗敏捷，尋求支持。<p></p></p> <p>● 如果你有多個團隊，請決定如何將敏捷規模化。<p></p></p> <p>在團隊嘗試敏捷之前的幾週內：<p></p></p> <p>● 確定團隊的教練或教練群是誰，並且確定至少一個人擔任團隊的產品經理。<p></p></p> <p>● 讓團隊的產品經理與來自高階管理的團隊支持者和主要的利害關係者會面，以製定目標草案。<p></p></p> <p>● 確保團隊擁有實體或虛擬的團隊空間。<p></p></p> <p>● 安排並主持團隊的章程會議。<p></p></p> <p>● 要求團隊審視新的實務做法。提供本書副本供成員自學，建議他們在當前工作中嘗試一些實務做法，並思考為看起來具有挑戰性的實務做法提供培訓。<p></p></p> <p>當一個團隊準備好開始時，深呼吸並且：<p></p></p> <p>● 讓團隊成員規劃他們開始的第一週。</p> <p><span style="color:#B22222;"><strong>採用個別的敏捷實務做法：將敏捷實務做法加到你現有的流程中</strong></span><p></p></p> <p>當你全心投入敏捷的轉變時，能獲得敏捷最大的好處，但如果這樣的要求並不適合你，你可以將一些敏捷實務做法加到你現有的流程中，而以下這些地方是很好的切入點：<p></p></p> <p><strong>每日計畫。</strong>如果你經常為工作被中斷所困擾，請嘗試採用為期一天的迭代。每一天的開始都使用規劃遊戲和團隊所評估的產能來進行聯合規劃會議，然後把所有會產生工作中斷的事情推遲到第二天的計畫會議裡。務必確保成員對他們的任務進行評估。<p></p></p> <p><strong>迭代。</strong>如果你沒有經常苦於被中斷工作，但仍想改進你的規劃能力，請嘗試使用每週迭代。在這種情況下，每日站立會議和定期向利害關係人展示仍可能對你是有幫助的。隨著時間的推移，請考慮使用索引卡進行規劃，並使用大圖表來顯示接下來要處理的工作。<p></p></p> <p><strong>回顧。</strong>經常性的回顧是你的團隊調適與改善流程的絕佳方式。<p></p></p> <p><strong>快速回饋。</strong>快速、自動化的建置將對你的生活品質產生重大的影響，並且還能為其他的改善創造機會。<p></p></p> <p><strong>持續整合。</strong>持續整合（指的是這個實務做法的理念，而不是專注於工具的使用）不僅減少了整合的問題，還推動了建置和測試的改進。<p></p></p> <p><strong>測試驅動的開發。</strong>儘管測試驅動開發不像其他實務做法那樣容易被採用，但它能帶來相當大的好處。測試驅動開發是減少錯誤、提高開發速度、提高重構能力和減少技術債的基礎。掌握它可能需要一些時間，所以要有耐心。<span style="color:#696969;"><strong>（本文摘錄整理自《敏捷開發的藝術》第二章，碁峰資訊提供）</strong></span><p></p></p> <p class="rtecenter"> <img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-%E6%95%8F%E6%8D%B7%E8%97%9D%E8%A1%93-%E5%85%A7%E6%96%87%E5%9C%961.png" style="width: 486px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_碁峰資訊</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span></strong></span> <strong><span style="color:#3399ff;">敏捷開發的藝術（第二版）</span></strong><p></p></p> <p>James Shore, Shane Warden／著；盧建成／譯<p></p></p> <p>歐萊禮出版<p></p></p> <p>定價：780元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span><p></p></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-%E6%95%8F%E6%8D%B7%E8%97%9D%E8%A1%93-%E5%85%A7%E6%96%87%E5%9C%962_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_James%20Shore.jpg" style="width: 200px;" /></p> <p><strong>James Shore</strong></p> <p>James Shore自1999年起帶領團隊實踐敏捷開發，並將多年累積的實務經驗與對敏捷概念的深刻見解融合為一體。敏捷聯盟為了表彰他對於敏捷實務作法的貢獻，授予他Gordon Pask大獎。他同時也是數個軟體開發直播節目的主持人，以及敏捷熟練度模型（Agile Fluency Model）的共同創造者。<span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／<a href="https://www.jamesshore.com/" target="_blank">James Shore</a></span><p></p></p> </div></div></div>
2022/12/23 11:32未署名https://www.ithome.com.tw/article/154848
冷熱之間
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年全球民眾對於極端氣候所造成的種種影響，有了很深刻的體認，11月舉行的聯合國氣候變遷大會COP27，受到熱烈關注，永續性（Sustainability）成為許多領域標示未來發展的關鍵字，而在國內外IT廠商舉行的各種活動場合中，比起過往，也更積極、頻繁地高舉節能減碳、實現淨零碳排的旗幟。</p> <p>主要原因與這幾年來的極端氣候有關，而且，今年各種災情頻傳的狀況更加嚴重。</p> <p>根據美國國家海洋暨大氣總署（NOAA）今年1月公布的年度氣候報告，以全球平均溫度而言，2021年比起20世紀上升了攝氏0.84度，是全球有紀錄以來高溫排名第6的一年，而許多國家也正面臨隨之而來的各種巨大生存挑戰，例如，海平面上升導致位於太平洋的島國，須將居民遷移其他地區，甚至出現無家可歸的局面，對於我們而言，身處的臺、澎、金、馬，均為島嶼，如何因應海平面上升也將是確保國土安全的重大議題。</p> <p>洪災、旱災、熱浪等極端天候的發生，一年比一年頻繁，導致居民流離失所，在此同時，氣候的不穩定，往往會影響農作物的種植與供給，從而導致糧食不足的危機。</p> <p>而在資料中心基礎架構領域的發展上，節能減碳更是勢在必行，因為企業與服務業者須配合壓力日趨增大的法規遵循要求，朝向淨零碳排的目標前進，而在機房的用電上，當然會是重點關注的部分；另一方面，今年下半陸續登場的新一代伺服器CPU，部分產品的熱設計功耗（TDP）增長至300瓦以上，資料中心等級GPU更是上看700瓦，大大考驗伺服器與資料中心的散熱與電力負荷。</p> <p>此外，在能源價格居高不下的此刻，企業與組織從各種層面推行省電是當務之急，過去可能只是少數人基於環保信念的堅持，如今這些工作的推動，不僅是身為地球公民一份子的義務，更是直指整體維運成本的有效管理。</p> <p>基於這些理由，過去幾年，許多伺服器廠商不僅強調自家產品省電，支援管理電力的特色，也紛紛投入液態冷卻技術的採用，以及與專業廠商合作推廣。</p> <p>回顧過去，系統廠商通常僅針對高效能運算、高運算密度，或是高頻交易等用途的伺服器機型，才會搭配直達晶片液態冷卻（D2C）／水冷板（Cold Plate）的設計，將覆蓋散熱片的處理器與加速晶片結合導熱管線。現在有越來越多廠商積極發展浸沒式液態冷卻（Immersion Cooling）解決方案，甚至推出自主研發冷卻設備，顛覆大家想像，像是緯穎、技嘉，今年都發布這方面消息。</p> <p>為了降低合作廠商設計此類產品的門檻，處理器廠商英特爾今年陸續釋出相關的技術，像是5月發表的資料中心浸沒式液體冷卻解決方案，名為Open IP Immersion Cooling Reference Solutions，以及9月推出的伺服器部署套件Open IP Server Deployment Kit，這些都採用開放的智財模式，當中的參考設計將授權生態系合作夥伴使用。針對冷卻液使用，該公司向開放運算計畫（OCP）提交浸沒式液體的基礎液體規範（Base Specification for Immersion Fluids），而OCP對此也在12月1日發布1.0版規格。</p> <p>基於這些研發進展，英特爾在12月7日在臺灣舉行Intel Sustainability Taiwan Day，現場展示與各家伺服器廠商合作的液態冷卻技術，相關設備的應用形式，以及伺服器內部與周邊的設計，當中最引人注目的產品，莫過於可容納48U機架空間的浸沒式冷卻解決方案，是由英特爾與英業達合作而成。</p> <p>另一個讓人驚艷、強調現行機房可立即採用的液態冷卻解決方案，則是雲達科技自主研發的QoolRack，當中混合了液冷與氣冷的方法，並搭配DC-SCM、OpenBMC等開放式遠端管理軟體技術，在整個產業過渡至浸沒式液態冷卻之前，能提供多一種選擇，也開創了兼顧相容性與創新的不同局面。</p> <p>面對嚴峻的氣候變遷危機，以及持續加大的節能減碳壓力，我們面對的挑戰不只是天災、能源短缺，還有資源再利用、減少廢棄物等議題，所有產業都需找出因應與轉型對策，積極改善技術、流程、人等層面問題，我們才有機會有效遏止這類生存威脅。</p> <p><span style="font-size:18px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 相關報導 </span> </strong></span><a href="https://www.ithome.com.tw/tech/154820" target="_blank"><span style="color:#3399ff;"><strong>資料中心導入浸沒式液冷之前的另一種選擇：雲達氣冷與液冷混合機櫃</strong></span></a></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%A8%E8%80%85%E7%9A%84%E8%A9%B1-0">編者的話</a></div><div class="field-item odd"><a href="/tags/%E6%B0%B8%E7%BA%8C">永續</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E4%B8%AD%E5%BF%83">資料中心</a></div><div class="field-item odd"><a href="/tags/%E6%B6%B2%E6%85%8B%E5%86%B7%E5%8D%BB">液態冷卻</a></div><div class="field-item even"><a href="/tags/%E6%B7%A8%E9%9B%B6%E7%A2%B3">淨零碳</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B2%E9%81%94%E7%A7%91%E6%8A%80">雲達科技</a></div><div class="field-item even"><a href="/tags/qoolrack">QoolRack</a></div></div></div>
2022/12/23 10:32作者李宗翰https://www.ithome.com.tw/voice/154847
GKE多個叢集現可共用Filestore執行個體增加儲存使用率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布在其Kubernetes服務GKE上，正式支援<a href="https://cloud.google.com/blog/products/containers-kubernetes/filestore-enterprise-multishare-support-on-gke">Filestore Enterprise多重共享功能</a>，這項功能可讓用戶的GKE Autopilot和Standard叢集共用Filestore Enterprise儲存，達到最佳儲存使用率的目的。</p> <p>GKE用戶可以選擇使用區塊式儲存或是檔案儲存，雖然GKE容器完全支援這兩種儲存類型，包括跨主機搬遷容器等操作，但兩種儲存類型各有優缺點，區塊式儲存高性價比並且有多種Persistent Disk類型可供選擇，但是用戶需要有儲存系統方面的相關知識，相較起來，Filestore Enterprise的方便性，可簡化用戶所需要的專業知識。</p> <p>Filestore Enterprise是與主機分離的全託管區域檔案系統，使用者不需要執行額外的基礎設施操作，還可以讓上千個容器同時執行讀取和寫入儲存，而現在加入的多重共享支援，更是強化Filestore Enterprise支援的用例。</p> <p>之前用戶會想在Filestore執行個體上，以容器在GKE節點一樣的方式裝箱磁碟區，並使用目錄來提高Filestore執行個體的使用率，但官方提到，這種使用方式存在一些問題，而且缺少容量隔離、磁碟區可觀察性和CMEK支援等企業功能。</p> <p>而新的GKE Filestore Enterprise多重共享功能，便提供了更好的支援，滿足Kubernetes用戶想細緻調整資源大小的需求，同時又能獲得Filestore Enterprise可靠性。這就像多個容器裝箱在同一個節點，用戶能獲得更好的效率，多個持久性磁碟區也能被打包到一個Filestore Enterprise執行個體中，提高儲存利用率並降低成本。</p> <p>另外，Filestore多重共享還能藉由共享IP地址等網路元素，以節省網路資源，進而增加應用程式的可擴展性。用戶可以選擇在Filestore執行個體上，配置100 GiB到1TiB大小的持久磁碟區，並由GKE無縫管理所有相關資源。</p> <p>Google提醒啟用Filestore多重共享功能的注意事項，雖然Filestore多重共享允許用戶重複使用底層Filestore執行個體空間來節省成本，但這同時意味著需要共享IOPS和吞吐量等效能資源，而且因為使用Filestore多重共享的所有儲存請求，都可以裝箱在同一底層Filestore執行個體中，因此Google建議PVC（PersistentVolumeClaim）共享相同的信任邊界。</p> </div></div></div>
2022/12/23 10:45作者李建興https://www.ithome.com.tw/news/154835
微軟Azure Cosmos DB開始預覽NoSQL資料庫MongoDB v5
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟全託管NoSQL和關聯式資料庫服務Azure Cosmos DB，現在開始提供<a href="https://devblogs.microsoft.com/cosmosdb/azure-cosmos-db-for-mongodb-v5-now-in-limited-preview/">MongoDB v5預覽服務</a>，在這個新版本中，用戶可以用到分散式ACID交易新功能，同時獲得更大的未分片集合和分片大小限制，而且聚合工作管線與複雜查詢效能也獲得改進。</p> <p>在MongoDB v5中，即便是跨分片（Shard）和集合（Collection）的分散式交易，也能夠獲得ACID的保證。交易是指藉由組合相關操作，使系統將其視為同一操作，並且期待符合所有ACID語義，在此預覽更新中，MongoDB v5加入了對分散式交易的支援，將多文件ACID交易保證擴展到分片叢集。</p> <p>分散式交易讓用戶能夠跨多個操作、集合、資料庫、文件和分片進行交易，藉由在高可擴展的雲端原生資料集中進行交易保證，便能支援需要分散交易處理的複雜應用程式用例。</p> <p>另外，在MongoDB v5預覽版中，固定未分片的集合將不再有20 GB的限制，這使得用戶可以在未分片的工作負載中，保留更大的MongoDB集合，用戶也能夠在之後，使用sh.shardCollection()方法來啟動分片。</p> <p>而分片集合現在也支援更大的容量，新限制已經達到數百GB，該限制將會繼續增加。微軟提到，更高的未分片集合和分片大小限制，以及啟用分片的選項，使用戶可以更靈活地在Azure Cosmos DB配置和管理工作負載。</p> <p>微軟也對平臺進行更改，使得聚合工作管線和複雜查詢可以運作得更快更有效，使用戶能夠無縫地執行所有類型的操作，同時，微軟還提供Decimal128資料類型的支援，和正規表示式PCRE功能支援。</p> </div></div></div>
2022/12/23 11:13作者李建興https://www.ithome.com.tw/news/154842
Gogolook聚焦用戶問題變成好生意，在陌生人際圈發展信任科技產業
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一次來自銀行的請求，不只改變了Gogolook（走著瞧）的商業模式，更徹底顛覆了創辦人對產品的定位，讓他們跨進了從沒想過的市場，將Gogolook的航道轉向了另一片藍海。</p> <p>Gogolook在2010年推出陌生來電辨識App，至今發布30多種語言版本，全球下載量超過1億，累積16億筆電話資料庫，2013年更獲到韓國最大網路公司Naver大砸5.29億元投資，創立沒幾年，Gogolook就成為臺灣消費端市場的新創典範，把「誰打電話給我」的問題，成功地變成了一門生意。</p> <p>「一開始就不是以產品或技術為核心來思考，而是聚焦人類遇到的問題，」Gogolook共同創辦人暨執行長郭建甫坦言不是第一天就找到一個市場，而是一直在轉型，甚至沒有意識到自己的轉型，為了解決消費者詐騙問題而累積的技術，而詐騙問題後來也成了資安產業關注的重要議題。</p> <p>「這個世界不管怎麼改變，人跟人的信任，都會是一個很巨大的問題。」郭建甫表示，後來更發現，信任問題是在種種改變中，一個人類恆常不變的問題，「集中在一個問題，可以帶給你很強的穩定感。」</p> <h3><strong><span style="color:#0000FF;">因Naver經驗徹底改變管理思維，更學到全球市場擴張關鍵</span></strong></h3> <p>與Line母公司Naver的相遇，更讓郭建甫意識到信任兩字是公司競爭力的核心。當年，郭建甫與Naver高層在臺灣一家飯店大廳碰面閒聊後，隔周就受邀到韓國總部，沒想到下飛機後的第一站，突然要和Naver創辦人李海珍碰面，發出邀請信的高層告訴郭建甫，這個會議可能5分鐘結束，也可能是半小時，完全看郭建甫的表現。</p> <p>糟了，完全沒準備！筆電中的簡報都是中文，在搭電梯上樓過程，郭建甫決定用最簡單的方式來介紹。進門，郭建甫跟拿著咖啡的李海珍要了張紙，在上面畫了兩個同心圓的圓圈，說了起來，內圈是Line，你們解決的是親人、朋友之間的構通，溫暖是關鍵，Line就是用貼圖贏得這件事情。「我們則是外圈，解決陌生人跟陌生人之間的問題。」</p> <p>「陌生人之間唯一一個重要的問題就是信任，他不需要貼圖，不需要溫暖，要的是我能不能信任這個人。」郭建甫接著說，我們兩家是完全互補，我是你剩下那一塊的存在。聽到這，李海珍就不跟郭建甫談生意了，開始閒聊起來，聊了不止半小時。郭建甫心想，這招對了，直接描述我們解決的是互補性的問題，也都是溝通的問題。</p> <p>「我們好奇的問題是，你完全不知道如何信任這個人，只有這個問題我才要解，就是我們的生意。」郭建甫強調。例如在虛擬世界，沒見過本人，如何相信對方而願意貸款，就是一個陌生人信任的問題。「陌生人之間不能沒有信任，這是剛性需求，可以創造出商業模式，也能擴張，走到其他國家。」郭建甫這句話點出了Gogolook當年受到Naver青睞的關鍵之一。</p> <p>Naver帶給Gogolook的不只是資金，而是徹底的改變。「Naver帶給我最大的衝擊是，一家軟體公司，如何善用全球市場來擴大。」</p> <p>Gogolook第一天推出就發布了數十種語言的版本，可以說第一天就出海，可是沒有真的進入全球市場，「我們只想讓全世界的人使用，卻沒有把一個國家拿下來的野心。」郭建甫表示。</p> <p>加入Naver集團後，一位高層告訴郭建甫，要在30個國家，每一國都只有數十萬用戶，還是在幾個國家都成為不可或缺的存在，「哪一種影響力大?」「當然是後者。」郭建甫意識到，不可能一次進軍30國市場，但如何成為少數國家不可或缺的存在?「就是要做到市占率第一」那位高層回答，臺灣人經常只想成為供應鏈的一環，可是，這種競爭就像在奧運，要以金牌為目標。</p> <p>甚至，第一還不夠，更要獨占，也就是市占率超過一半。就像Whoscall臺灣用戶超過700萬人，在有生產力人口中，可說占了一半以上，就是顯著的獨占市場。「選定幾個國家都做到這個程度，用這樣的思維，來建構整個服務，建立各方面的護城河，法令護城河、技術護城河、用戶護城河等。」那位高層這樣建議郭建甫。</p> <p>Gogolook過去的全球化，只做到了呈現層的國際化，但Naver要求Gogolook得深入一個國家，徹底了解那個國家的用戶需要什麼，以獨占那個國家的市場為目標來發展。</p> <p>2017年，Gogolook幾位創辦人找來臺灣本土資金挹注，買回股權，重新掌握主導權，展開了另一階段的發展。但是在Naver旗下的3年經驗，郭建甫回顧，是一種截然不同等級的思考，將三個剛從學校畢業創業，只懂技術專業的年輕人，轉變成了真正的管理者，懂得如何思考商業模式，如何創造技術門檻，如何建造團隊，如何與國際人才協作等。</p> <p>在全球市場落地同時，Gogolook也展開技術戰略的轉型。創業之初，沒有名氣，也沒有使用者貢獻資料時，Whoscall第一個版本是站在巨人肩膀上，一方面藉助用戶回報，另一方面也大量仰賴Google搜尋結果的公開資料來查證電話號碼。</p> <p>但是，隨著這幾年個資法規越來越嚴格，隱私議題也越來越重要，越來越難從搜尋結果取得查證資訊。2014年開始，Gogolook決定建立自己的資料庫，不再高度仰賴搜尋結果來查證。</p> <p>「Whoscall原生是群眾外包(Crowd Sourcing)的服務，」郭建甫表示，從第一天就開始大量建立群眾外包服務背後所需要的各種技術。Whoscall全球下載量至今超過1億，大約1∼2成用戶願意回報，累績超過16億筆電話資料庫。這些群眾外包技術，像是用來搜集回報資料的用戶互動機制，也要建立用戶評價機制，來了解回報者可信度，甚至需要有能力緩解瞬間爆量回報的流量，還要能夠分辨人為刻意操弄的回報結果。例如一群人在同一時間點在同一個地點，對同一個號碼下同一個標籤，就是一種不能相信的檢舉操作。</p> <p>「資料庫是石油，不可能靠別人的石油來發展商業模式。」郭建甫表示，Gogolook開始思考，如何從資料萃取後設資料，觀測各種行為，先利用群眾外包得到的數據，經過數據過濾後，先找出正確的數據，來建立基礎真實數據(Ground Truth)，接著就開始發展自己的模型，像是利用AI對電話號碼自動下標籤，或是預測詐欺電話或垃圾電話的可能性，這也逐漸磨練出Gogolook的AI技術力。</p> <h3><strong><span style="color:#0000FF;">一次銀行用戶的API請求，從消費市場跨入了企業市場</span></strong></h3> <p>一邊往全球市場深入發展，一邊也鍛鍊AI技術能力，但Gogolook的產品策略仍舊聚焦在電話號碼為核心的相關服務，而且大多停留在消費市場中，偶爾才有企業合作案，直到另一個轉折事件的出現。</p> <p>2015年前後，有次，一家銀行問Gogolook，能不能提供API，用程式來查詢電話號碼。郭建甫才知道，原來行員總是手動將申請文件中的公司電話號碼輸入Whoscall查詢，判斷這家公司的電話是不是詐騙電話。銀行資訊部門發現自家行員都這樣用，就希望能API化，變成內部系統的功能，因此來詢問提供第三方介接的可能性。「從那個時間點，我們才開始意識到，電話號碼不只是通訊用的媒介，而是一種身分識別。」郭建甫表示。</p> <p>當時，Gogolook在消費市場仍有很多擴張機會，「其實可以不用費心思考，如何跨入另一個世界。」郭建甫坦言，但是，這家銀行的需求，讓幾位創辦人眼睛一亮，原來，「電話號碼是信任的媒介，就像一種身分識別，而且是數位的身分識別(Digital Identity)。」這個轉念，讓Gogolook開始跟銀行做生意，也展開了全新的產品視野。</p> <h3><strong><span style="color:#0000FF;">從身分識別角度思考，從電話號碼延伸到姓名識別</span></strong></h3> <p>銀行陸續提出更多KYC驗證的需求，不只電話，能不能提供其他類型的核，姓名、電子郵件等。「我們開始知道，身分識別的題目很深，值得投資，也開始思考一個人可以有多少種身分識別，能不能組合各種數據來實現。」郭建甫表示。</p> <p>來自金融產業的需求，不只讓郭建甫意識到Gogolook的企業市場新機會，但也看到單靠電話號碼的不足，還要增加更多身分識別維度，例如需要增加人名，這正是Gogolook為何在2022年併購KYC新創的關鍵原因，郭建甫要將Gogolook的技術布局從電話號碼，延伸到姓名技術，進而讓整體產品戰略可以多一種新的身分識別維度。</p> <p>臺灣在2017年通過了洗錢防制法新法，臺灣銀行業開始強化KYC顧客身分查證，大型銀行陸續都建置了反洗錢系統，利用姓名比對各種制裁名單、黑名單等洗錢犯罪風險的高風險名單。另一方面，銀行也想透過負面聲譽的查核，來判斷潛在的可能風險。在2021年切入金融科技市場的治略資訊，正是以AI化KYC解決方案在金融新創圈闖出名號，推出金融AI背景盡職調查與反洗錢服務。</p> <p>治略資訊擅長輿情調查技術，原本幫電商執行市場調查，蒐集社群網站和網路熱門話題，作為電商市場行銷之用，治略資訊執行長簡嘉宏將原本用於電商的數據探勘能力，轉而發展成金融界需要的負面聲譽調查服務。<br /> 傳統負面聲譽調查最常見做法是用在搜尋引擎中尋找公司名或人名的負面新聞來判斷，簡嘉宏指出，靠關鍵字搜尋會有大量雜訊，得仰賴大量人工判斷。</p> <p>治略做法是運用AI分析各種輿情內容，先辨識出嫌疑人，排除與他無關的資訊，來找出相關的部分，作為判斷這個人名風險層級高低的參考。關鍵技術就是AI的自然語言處理技術。</p> <p>簡嘉宏借鏡熱門的NLU技術BERT的核心概念，來打造自己的NLU模型，再進一步用ML模型來分辨內容的結構，例如新聞或法律文件的結構，不同段落各自描述哪一類資訊。</p> <p>但是，簡嘉宏指出，洗錢防制不可能投入資源追蹤所有帳號，只能追蹤高風險的帳號，臺灣有很多菜市場名，如何知道這個帳號的持有者，就是新聞中的嫌疑人，而不是同名同姓，電話可以提供多一道維度，來強化KYC的身分驗證。而且「一開始就挑最難的中文，做好了，其他語言相對容易。」</p> <p>金融領域是信任可以產生最大的價值，但郭建甫的企圖不只如此，他想要挑戰的新課題是，「從數位身分可以多接近一個人的信譽(Reputation)，我們想要盡可能搜集各維度的資料，例如最常見的身分識別機制，如姓名，Email，虛擬貨幣錢包地址等。」</p> <h3><span style="color:#0000FF;"><strong>下一步瞄準虛擬世界的信任，更要強化AI技術力</strong></span></h3> <p>郭建甫的目標不只是實體世界，更要延伸到虛擬世界上的信任。「怎麼運用不同維度的資料來描繪一個人的信任，姓名，電話號碼和電子郵件是最常見的三個，」郭建甫表示，到了虛擬世界，加密貨幣的錢包地址，就是等同是Web 3世界的電話號碼。所以，Gogolook也投資加密貨幣新創，發展錢包位址信任評價的群眾外包社群，如同群眾評價電話號碼的做法一樣。</p> <p>這幾年Gogolook群眾外包技術早已跨出電話號碼領域，更延伸到帶有網址的詐騙簡訊，延伸到網址偵測領域，甚至進入了Line或臉書Messenger中詐騙訊息和網址的防護，後續催生了訊息查證小幫手美玉姨，或是後來跨社交平臺的訊息檢測App。</p> <p>郭建甫正在思考如何進化，技術上，能不能靠極少數據(Small Data)來，生成對一個人的信任，或是在策略上，不用自己產生數據，運用B2B模式與當地市場合作，在一個國家的用戶滲透率不用等到一定深度，也能開始在當地做生意，加速獲取更多國市場。</p> <p>像Gogolook也正在發展一套Social Listening架構(社群監聽)，從不同社交平臺的網路口碑偵測、結合原有的群眾外包通報機制如詐騙訊息檢查幫手的資料中，發現哪些企業遭冒名來詐騙，回頭通知當事人企業，盡快通知顧客避遭騙，或透過訊息檢查App來攔截，變成一種企業品牌和商譽防護服務。</p> <p>郭建甫希望將治略資訊強大的NLU能力，來彌補Gogolook文本分析能力的不足，運用NLU來快速歸納有問題的內容，對可疑內容貼標，研究一則訊息如何獲得信任，甚至系列式詐騙訊息，要先發展中文內容的信任度判斷能力，再發展成跨語言內容的信任度判斷。</p> <p>不過，郭建甫的願景不只是一門生意，更大願景是發展成一個信任科技的產業。他坦言:「一個產品的影響力有限，以產業為願景，更多人加入來解決問題，就能吸引更多資金投入，產生滾雪球效應。」</p> <p>用10年專注解決用戶痛點，將一個問題，發展成一門好生意，郭建甫下一步要走近企業市場，打造一個信任科技產業的大夢。文☉王宏仁</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%83%AD%E5%BB%BA%E7%94%AB%E6%8A%BD%E8%A8%80.png" /></p> <p><strong>公司小檔案</strong></p> <p>Gogolook(走著瞧)</p> <p>● 成立時間:2012年<br /> ● 董事長:鄭勝丰<br /> ● 執行長:郭建甫<br /> ● 技術長:宋政桓<br /> ● 員工人數:約140人</p> <p><strong>關鍵人物</strong></p> <p>Gogolook共同創辦人暨執行長郭建甫<br /> Gogolook旗下治略資訊執行長簡嘉宏</p> <p><strong>技術發展小檔案</strong></p> <p>Whoscall全球下載量超過1億，約1∼2成用戶願意回報，創立第一天就大量建置群眾外包服務所需要的各種技術，累績16億筆電話資料庫。不只電話號碼，也將群眾外包技術延伸到更多身分識別機制，如姓名、加密錢包位址，和多種社交平臺的詐騙內容檢測。正打造Social Listening架構，來發現遭冒名用於詐騙的企業，來提供商譽防護服務。</p> <p><strong>公司大事紀</strong></p> <p>● 2010年:推出第一款陌生來電辨識App「來電走著瞧」 (Whoscall 前身)<br /> ● 2011年:因Google前執行長Eric Schmidt推薦而爆紅，下載量從2 萬暴增至數百萬<br /> ●2012年:正式在臺北成立Gogolook<br /> ● 2013年:獲得韓國LINE母公司Naver投資臺幣5.29億元<br /> ● 2017年:三位創辦人獲本土資金挹注，從Naver手中買回股權<br /> ● 2020年:跨入金融科技市場，推出金融商品媒合平臺<br /> ● 2022年:投資區塊鏈新創鏈奇科技跨足區塊鏈防詐，併購AI新創治略資訊，強化以姓名為基礎的AI技術能力與NLU技術能力。美玉姨可疑訊息查證機器人新增圖片謠言和虛擬錢包地址查核，來擴大信任科技產品線可涵蓋的詐騙類</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/guo_jian_fu_960420.jpg" width="960" height="420" alt="" title="Gogolook共同創辦人暨執行長郭建甫（右）與旗下治略資訊執行長簡嘉宏(左）" /></div></div></div>
2022/12/22 18:35作者王宏仁https://www.ithome.com.tw/people/154845
【資安日報】2022年12月22日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期關於EDR產品安全性的研究不少，前陣子有資安研究人員揭露數款防毒軟體與EDR系統的零時差漏洞，今日有研究人員提出新的硬體斷點規避EDR監控的技術，希望外界與業者能夠更關注這類潛在攻擊方法。</p> <p>近來自然語言對話語言模型ChatGPT成為各界熱門話題，不過，新技術可以幫助防禦者，但同時也會幫助攻擊者，資安研究人員以實際情境來舉例，技能差的攻擊者也能利用ChatGPT與Codex，這也導致攻擊技術門檻可能降低的情況。</p> <p>身分安全業者Okta在20日說明原始程式碼儲存庫被入侵並被複製的情況，而在此之前，該公司在今年3月與9月，也都遭遇重大資安事件。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://cymulate.com/blog/blindside-a-new-technique-for-edr-evasion-with-hardware-breakpoints" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員發現使用硬體斷點來規避EDR的新技術，許多業者系統可被Blindside技術繞過</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Blindside_圖片來源Cymulate.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Blindside_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Cymulate.jpg" style="width: 280px; float: right;" /></a></p> <p>以色列資安業者Cymulate研究人員在12月19日發布一項研究，指出利用硬體斷點來規避EDR監控，他們最近發現新的利用方式，稱為Blindside技術，其不同之處在於，增加了使用特定的除錯斷點，可強制程序在沒有Hooks情況下啟動，並以影片展示繞過方式。</p> <p>研究人員解釋，許多EDR解決方案在追蹤惡意活動與行為時，完全或嚴重依賴hooks來檢測，而他們在實際研究發現，Blindside手法可繞過多數EDR/XDR系統。他們並認為，下一代EDR平臺可能會擺脫對hooks的依賴。</p> <p><span style="color:#696969;">〔編按：Cymulate指出硬體斷點（Hardware breakpoints）包含8個除錯暫存器（debug registers），從DR0到DR7，這些暫存器在x86與x64上的長度分別為32位元與64位元，這些除錯暫存器控制並允許監控程序除錯的運作。〕</span></p> <h3><a href="https://research.checkpoint.com/2022/opwnai-ai-that-can-save-the-day-or-hack-it-away/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">不只ChatGPT有遭濫用風險，Check Point揭露結合Codex可導致攻擊門檻降低的情境</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Codex_圖片來源Check Point.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Codex_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Check%20Point.jpg" style="width: 280px; float: right;" /></a></p> <p>昨日Check Point研究人員公布一項威脅研究，可利用ChatGPT撰寫網路釣魚電子郵件，並產生基本的惡意VBA程式碼，不僅如此，攻擊者還可以利用Codex產生reverse Shall，而且若要檢查服務的可利用性，可再繼續利用Codex產生SQL注入弱點檢查的指令，產生連接埠掃描的腳本、沙箱偵測的腳本，以及查詢將Phthon轉換為執行檔等。</p> <p>研究人員認為，這樣的實驗也顯示新興技術影響之下，不只是帶來好處，也降低了攻擊者在網路釣魚與惡意軟體開發上的門檻，尤其是對於程度較低的攻擊者。</p> <h3><a href="https://sec.okta.com/articles/2022/12/okta-code-repositories"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Okta說明程式原始碼遭竊，今年第三起資安事故</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Okta code Repositories_圖片來源Okta.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Okta%20code%20Repositories_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Okta.jpg" style="width: 280px; float: right;" /></a></p> <p>身分安全業者Okta在12月20日，發布有關程式碼儲存庫被駭的後續調查結果。該公司表示，他們是在12月初接獲GitHub通知Okta儲存庫有異常存取狀況，在調查結果中，顯示該存取複製了Okta程式碼儲存庫，也就是說Okta原始程式碼被竊。另外，他們也特別說明，Okta服務與客戶資料並未受到未經授權的存取，同時強調，Okta並不依賴其原始程式碼的機密性，來確保其服務的安全性。</p> <h3><a href="https://blog.group-ib.com/godfather-trojan"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">金融木馬「教父」近一年鎖定400家銀行與加密貨幣交易所用戶</span></strong></a></h3> <p>Group-IB研究人員在21日新揭露Android金融木馬「Godfather」的攻擊活動，從去年6月至今年10月，Group-IB偵測到該銀行木馬主要針對400多家國際金融公司，其中半數是銀行（215家），加密貨幣錢包（94個）與交易所（110個）也是目標，若以國別來看，當中美國公司有49家、土耳其31家，西班牙30家。</p> <p>特別的是，根據Group-IB的分析，這支金融木馬的運行架構，是透過放置在Google Play上的誘餌應用程式來散布，而且，它會檢查手機系統語言，如果是俄羅斯、白俄羅斯等，木馬程式將會關閉。另也指出其前身是Anubis金融木馬。</p> <h3><a href="https://www.theguardian.com/media/2022/dec/21/guardian-hit-by-serious-it-incident-believed-to-be-ransomware-attack"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">英國衛報疑遭勒索軟體攻擊</span></strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%A1%9B%E5%A0%B1%E9%87%8D%E5%A4%A7IT%E4%BA%8B%E4%BB%B6%E7%96%91%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%94%E6%94%BB%E6%93%8A%EF%BC%BF%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%93%B7%E5%8F%96%E8%87%AA%E8%A1%9B%E5%A0%B1.jpg" style="width: 280px; float: right;" /></p> <p>英國衛報在21日表示他們疑似受到勒索軟體攻擊，公司網路與IT系統受到影響，員工在周二深夜被告知將居家上班。衛報執行官Anna Bateson與主編Katharine Viner表示，這次事件應是遭到勒索軟體。目前，該媒體的線上新聞發布並不受影響，同時也表示他們應會在週四恢復實體的印刷出版。</p> <h3><a href="https://securityaffairs.co/wordpress/139870/hacking/thyssenkrupp-targeted-cyberattack.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">德國鋼鐵工業ThyssenKrupp AG遭網路攻擊</span></strong></a></h3> <p>德國鋼鐵巨擘蒂森克虜伯（ThyssenKrupp AG）宣布，該公司總部與材料服務部門遭到網路攻擊，懷疑是有組織犯罪的攻擊者所為，目前尚未揭露這次攻擊事件的類型。根據SecurityWeek的報導，該公司發言人在電子郵件聲明中表示，內部IT安全團隊在早期階段發現該事件，目前沒有發現資料被盜或竄改的跡象。</p> <h3><a href="https://query.prod.cms.rt.microsoft.com/cms/api/am/binary/RE5daTD"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟Cyber Signals報告指出，需留意關鍵基礎架構風險上升的現況</span></strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cyber%20Singal%203_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 240px; float: right;" /></p> <p>微軟在12月中旬發布第三期Cyber Signals報告，這次聚焦關鍵基礎設施風險，當中強調幾個重點，包括在2020到2022年間，以熱門供應商生產的工業控制設備而言，高風險漏洞的揭露較過往增加了78%；在其客戶OT網路中，微軟發現常見工業控制器未修補高風險漏洞的比例高達75％；關於2022年各國IoT感染惡意軟體的狀況，以中國38%最高，美國19%次之，臺灣5%排第五。另也提醒老舊Boa開源小型網頁伺服器至今仍有百萬臺曝險的問題。</p> <h3><a href="https://www.cna.com.tw/news/ahel/202212220117.aspx"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">當心即時通訊聊天截圖洩露OTP驗證碼，台灣大哥大表示接獲客戶通報有此狀況</span></strong></a></h3> <p>這兩年<a href="https://www.ithome.com.tw/news/142711">國內民眾被騙取網路服務用戶OTP驗證碼</a>的情形大增，以近期為例，<a href="https://www.facebook.com/JesseTang11/posts/666230091541689">唐綺陽因友人帳號被盜而受騙，OTP碼被騙走導致Line帳號被盜</a>，最近，更常冒出假藉截圖的手法。在12月22日，台灣大哥大對截圖騙取OTP的狀況示警，說明接獲客戶反映，有詐騙集團透過通訊軟體要求民眾提供聊天室截圖，趁機騙取在民眾手機上跳出、帶有OTP驗證碼的訊息內容。事實上，上月底<a href="https://news.ltn.com.tw/news/society/breakingnews/4134542">保三總隊也有這方面示警</a>，指出有人透過Telegramg通訊軟體騙取OTP碼的方式，是用各種藉口要民眾截圖給對方，或是互傳截圖等名義，趁機騙取OTP碼通知的畫面。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/12/20/cisa-releases-six-industrial-control-systems-advisories"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國CISA發布6項ICS安全公告，5項屬於高風險漏洞</span></strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-12-22_172926_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90CISA.jpg" style="width: 280px; float: right;" /></p> <p>CISA在12月20日針對多家業者工業控制系統（ICS）發布安全通告，包括：台達自動化的4G路由器DX-3021，存在屬於命令注入弱點的CVE-2022-4616漏洞，Fuji Electrice的Tellus Lite V-Simulator軟體，存在CVE-2022-3087與CVE-2022-3085的漏洞，Prosys OPC的UA Simulation Server存在CVE-2022-2967漏洞，以及Rockwell Automation的GuardLogix產品存在CVE-2022-3157漏洞，以及MicroLogix產品存在CVE-2022-46670 、CVE-2022-3166漏洞，另外還有ARC Informatique的PcVue產品的一項中風險漏洞。CISA提醒，這些業者近期已經釋出新版修補這些漏洞，用戶應盡速安裝更新與緩解。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/154800"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">集保公開「營運持續管理」落實與精進的經驗，強調外部支援單位磨合</span></span></strong></a></p> <p><a href="https://learn.microsoft.com/en-us/windows/release-health/windows-message-center#2988"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟12月安全性更新造成Hyper-V VM啟動失敗，緊急釋出例外更新修復</span></span></strong></a></p> <p><a href="https://www.trendmicro.com/vinfo/us/security/research-and-analysis/predictions/2023"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">趨勢科技在12月中旬發布2023資安預測報告</span></span></strong></a></p> <p><a href="https://www.ice.gov/news/releases/hsi-federal-partners-issue-national-public-safety-alert-sextortion-schemes"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">針對兒童、青少年網路性勒索威脅，美政府發布國家公共安全警報</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/russians-hacked-jfk-airport-s-taxi-dispatch-system-for-profit/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">紐約JFK機場計程車排班系統遭俄駭客操控，兩涉嫌美國公民被捕</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154807"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">macOS出現可讓駭客躲過安全檢查的阿奇里斯漏洞</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154779"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">GitHub釋出免費憑證掃描工具、新增5類用戶強制啟用2FA</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/154819"><strong><strong><strong>【2022年12月21日】駭客利用新手法OWASSRF入侵Exchange、烏克蘭軍事情報系統遭駭客鎖定</strong></strong></strong></a></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154799">【2022年12月20日】 FBI威脅情資交換平臺用戶個資驚傳流入暗網、4至5年前修補的思科產品漏洞出現攻擊行動</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154780">【2022年12月19日】連網裝置成MCCrash殭屍網路病毒入侵的目標、駭客鎖定食品業者發動BEC攻擊</a></strong></strong></strong></p> </div></div></div>
2022/12/22 16:37作者羅正漢https://www.ithome.com.tw/news/154833
商之器用AWS本地雲推PACS備份服務，還要打造雲端診所
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>醫資大廠商之器昨日（12/21）揭露AWS Local Zone臺灣本地雲服務進展，已用於自家輕量化醫療影像儲傳系統PACS微型伺服器產品，是一個如手掌大小的黑盒子，能讓診所等使用者用來儲存PACS資料並同步備份到AWS本地雲端。此外，商之器也用AWS服務打造雲端診所，比如以AWS Regional的境外公雲服務打造顧客管理系統，來給自費、非健保體系的VIP診所管理病患資料。商之器臺灣區總經理丁偉能點出，接下來，他們要配合衛福部FHIR政策，來與AWS發展FHIR相關應用。</p> <p><span style="font-size:24px;"><strong>2012年開始嘗試醫療AI，今年採用Local Zone提供醫療資料備份服務</strong></span></p> <p>丁偉能指出，商之器在2012年開始嘗試醫療AI開發，與高雄市政府聯手，打造救護車上心電圖判讀AI系統。該系統是根據救護車上心電圖設備產出的心電圖，轉換為波形，來判斷患者心肌梗塞機率。由於救護車上心電圖量測，只顯示圖像和時間，不涉及個資，因此商之器選為初試醫療AI的題目。</p> <p>2018年，商之器進一步結合雲服務，將這套AI模型部署在AWS SageMaker機器學習平臺上，以雲端來分析心電圖、計算心肌梗塞機率，再將判讀結果打包成含文字敘述與心電圖圖片的訊息，透過Line自動推播到醫院群組中（如下圖）。從量測到Line訊息推播整個過程，只需2秒。他們在2020年深化這款AI系統後，也在高雄榮總和澎湖醫院上線該系統。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-12-22%20at%206_38_43%20PM.png" /></p> <p>與此同時，商之器也派各部門種子人員取得AWS認證，一方面發展其他產品。比如，2021年推出輕量化PACS微型伺服器，是一款針對如診所、動物醫院等需要醫療影像使用者所打造的產品，利用一個小黑盒子來儲存醫療影像，如MR影像、X光片、內視鏡、超音波影像等。</p> <p>這個產品的目的是，要讓診所醫護使用者更方便查看資料，而不必繞至醫療影像儀器旁，才能查看拍攝的資料。此外，該產品也使用今年10月在臺啟用的本地雲服務AWS Local Zone，能讓診所用來備份醫療影像，不必擔心機器毀損、無法存取資料的困擾。甚至，這個備份功能也能用於醫檢所轉診，不必再將資料燒進光碟，而在線上登入查看即可。</p> <p><span style="font-size:24px;"><strong>用區域雲服務打造CRM系統，要推雲端診所</strong></span></p> <p>另一方面，商之器也早在2019年，採用AWS Regional境外公雲服務，來開發一款顧客管理（CRM）系統，專門鎖定臺灣非健保體系、自費的VIP診所。該系統提供排程、診斷和醫檢結果記錄等功能，來讓診所管理和追蹤患者資料。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/S__39755781.jpg" /></p> <p>丁偉能解釋，系統雖稱為CRM，但具備一般醫療資訊系統（HIS）功能，如醫囑、醫檢紀錄，之所以稱為CRM而非HIS，是因產品市場定位，要與健保體系診所區隔，但功能上並未有太多差異。</p> <p>這套系統已於2019年，在一家骨科暨復健科診所上線。對診所來說，他們不需建置實體機房，用行動裝置就能處理醫療行為資訊，就像是雲端診所一樣。今年，該診所也在這個基礎下，快速開設高雄分院，並計畫成立其他2家。</p> <p>商之器也打算鎖定其他VIP診所，來推動這項產品。</p> <p>除了雲端診所，商之器的發展策略也包括國際資料交換標準FHIR，要與AWS開發更多FHIR相關應用。丁偉能指出，為打造FHIR服務，他們先是培養自家FHIR互通能力，從2020年第一屆臺灣FHIR聯測就不缺席，連年取得互通認證，至今還成為聯測督察員，來協助主辦方查驗參加者的互通能力。</p> <p>另一方面，商之器選擇的夥伴商AWS，在國外則有成熟的FHIR服務，如支援FHIR格式的健康資料湖服務AWS HealthLake，以及解決方案FHIR Works on AWS。商之器和AWS將視臺灣需求，來開發適合的FHIR服務，供在地醫療機構使用。</p> </div></div></div>
2022/12/22 18:46作者王若樸https://www.ithome.com.tw/news/154846
Linux基金會維護農地邊界資料集，預期將掀起農業服務革命
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.prnewswire.com/news-releases/the-linux-foundations-agstack-project-to-build-worlds-first-global-dataset-of-agricultural-field-boundaries-301704612.html">Linux基金會宣布</a>旗下的AgStack專案，將維護開源函式庫和自動運算引擎，以創建農業資料集Asset Registry，該資料集將會收集全球農地邊界，以協助食品可追蹤性、碳追蹤，還有支援作物和田野分析等任務。</p> <p>用來收集資料集的程式碼，主要來自史丹佛大學研究人員貢獻，並由NASA Harvest Consortium等組織資助。官方提到，Asset Registry是目前第一個此類資料集，結合衛星資料和實際農田邊界註冊資料，同時透過訓練機器學習模型來確認更多農地邊界。</p> <p>準確的田地邊界可以讓農民、農業公司和公部門，監控和管理作物、生產力影響因素、病蟲害傳播和物種多樣性等，透過共享可重複農業資料，替全球糧食安全研究和創新提供進一步的分析資料。</p> <p>計算農田邊界是重要但困難的工作，官方提到，農田邊界是全球農業資料集的基本單位，但很少以公開資料集的形式提供，尤其是在小農聚集的地區。Linux基金會引用農糧組織的資料，世界總農地超過15億公頃，占陸地面積的12％，但是80％的農場平均田地面積小於1公頃，也就是目前約有1.2億個活躍田地，並且隨著作物季節不斷變化。</p> <p>透過電腦科學和人工智慧，AgStack專案能夠創建、管理和維護全球農地邊界，使其成為任何人都能夠使用的開源數位公共產品，官方認為，該專案可能在公私部門開啟數位農業服務革命。Asset Registry相關程式碼都會以開源授權貢獻，並由Linux基金會AgStack專案社群管理。</p> </div></div></div>
2022/12/22 16:53作者李建興https://www.ithome.com.tw/news/154834
Google強化Document AI OCR引擎，加入文件光學品質評估功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>供企業以OCR（Optical Character Recognition）技術快速處理文件的Google人工智慧套件Document AI，Google現在<a href="https://cloud.google.com/blog/products/ai-machine-learning/top-reasons-to-use-gcp-document-ai-ocr">更新其OCR引擎</a>，加入三個預覽功能，使Document AI現在可評估文件光學品質，支援數位PDF，還讓用戶能夠控制OCR版本。</p> <p>Document AI為一個人工智慧套件，能夠理解和組織文件，該套件由Document AI Workbench、Document AI Workbench Warehouse和一組預訓練文件處理器所組成，使用戶能夠利用OCR技術，從各種類型的文件擷取文字。Document AI使用來自Google雲端以及Google研究院團隊所開發的機器學習模型，能夠處理非結構化文件擷取文字和段落等布局，並涵蓋200多種語言。</p> <p>Document AI OCR引擎第一個更新功能，是針對頁面層級的智慧文件品質（IDQ）評估。官方提到，OCR引擎讓使用者以程式開發方法，擷取重要文件特徵，包括詞頻、項目相對位置、文件的主要語言等，使其能夠用於下游業務處理，而新的智慧文件品質評估功能，更提供了另一個重要的文件評估訊號。</p> <p>IDQ含模糊、小字體、眩光等八個維度頁面品質指標，Google提到，透過辨識文件的光學品質，將有助於用戶根據文件品質進行不同處理，進而使整個文件處理流程更加高效。</p> <p>第二個新功能，是Document AI開始支援數位PDF檔案。PDF格式常被用於採購、貸款和合約等應用程式，PDF分為證件掃瞄等影像形式，以及可供複製貼上和突出顯示文字的數位形式。而現在Document AI OCR完全支援數位PDF檔案，代表著該服務能夠擷取和來源文件完全相同的文字和符號。</p> <p>由於Google會定期升級Document AI OCR所使用的機器學習模型，雖然新模型帶來新功能，但也可能改變OCR行為，因此Google現在加入了OCR版本控制，讓用戶能夠凍結OCR模型行為，確保OCR的行為一致。對於有嚴格法遵要求的產業，OCR版本控制也有助於維持相同的模型版本，最大程度減少版本間重新認證堆疊的工作量，透過OCR版本控制讓企業可以靈活選擇適合業務需求的版本。</p> </div></div></div>
2022/12/22 15:43作者李建興https://www.ithome.com.tw/news/154832
馬斯克推文表示：若找到推特新任CEO，就會下臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於有1千萬名用戶贊成他下臺，馬斯克（Elon Musk）周三在推特發文表示，等找到接任人選後，就會辭去推特執行長一辭。</p> <p><a href="https://www.ithome.com.tw/news/154784" target="_blank">馬斯克本周一舉行</a>推特用戶認為他是否該辭去推特主管的投票，結果1千7百多萬名（17,502,391）投票者當中有57.5%表示贊成。<a href="https://twitter.com/elonmusk/status/1605372724800393216" target="_blank">周三馬斯克表示</a>，一旦找到有人笨到來接這個位子，他就會辭去CEO一職。之後他就只專注管理軟體和伺服器團隊。</p> <p class="rtecenter"><a href="https://twitter.com/elonmusk/status/1604617643973124097" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1222-elon%20musk%20twitter%20ceo%20vote-600.png" style="width: 594px;" /></a></p> <p>馬斯克接掌推特後引發營運混亂。他先是以節省成本為由砍掉一半員工，又以打擊假帳號為目的、推出以8美元月費取得驗證藍勾勾及較多個人化功能的新版Twitter Blue，反而促使眾多使用者冒充他人帳號發送假訊息，例如藥廠Eli Lily被人冒名貼文要免費提供胰島素，造成股價大跌。</p> <p>此外馬斯克說要解除言論管制，卻也任意封鎖批評他的記者，和以公開資訊追蹤他私人飛機位置的用戶帳號。另一方面，廣告主反而擔心沒有言論管理的推特將淪為色情、仇恨、暴力內容充斥的平臺而暫停下單。馬斯克在用戶投票後，恢復了被封鎖的記者帳號。</p> <p>馬斯克在買下推特前，即曾說自己只會擔任臨時執行長，因此這個決定並非在他預期之外。但即使他真的從執行長位子退下，仍然還是推特持有人。但他周日表示，未來任何重大政策變更都會舉行用戶投票表決。</p> </div></div></div>
2022/12/22 14:49作者林妍溱https://www.ithome.com.tw/news/154831
歐盟初步認定博通、VMware收購案，可能限制網路、儲存產品市場競爭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_22_7835" target="_blank">歐盟調查晶片及網路設備業者博通（Broadcom）和VMware的610億美元收購案初步結果顯示</a>，本合併案可能造成博通網路卡、光纖卡及儲存介面的對手無法取得VMware軟體，或是硬體和VMware無法相容。</p> <p><a href="https://www.ithome.com.tw/news/151167" target="_blank">5月博通宣布</a>以610億買下VMware，並預計該公司包含基礎架構及安全軟體的部門也將更名為VMware。但消息公布後，即遭到歐盟關切，一些VMware用戶也根據博通過去收購CA及賽門鐡克的紀錄，擔憂未來可能被迫購買博通硬體。</p> <p>歐盟在11月15日接到收購案的通報，歐盟委員會展開調查，初步調查結果顯示，這樁交易可能允許博通在網路卡、光纖卡（FC HBA）及儲存介面卡市場限制競爭。委員會認為，這可能降低VMware的伺服器虛擬化軟體和博通競爭者硬體的相容性，以利博通硬體，或是不允許競爭者硬體使用VMware軟體，或減少其取得管道，以排斥競爭者。而上述情形將造成解決方案的價格上升、品質下降、影響企業客戶的創新，最終傷害消費者。</p> <p>此外，歐盟委員會也將調查博通收購VMware是否會影響其他廠商開發SmartNIC。2020年VMware和三家SmartNIC廠商（Nvidia、英特爾及AMD）發起Project Monterey。一旦博通買下VMware，可能限制該部門參與Project Monterey以保護其NIC營收，致使創新受阻。此外歐盟也將檢視，博通是否開始將VMware虛擬化軟體和自家軟體（主要是大型主機及安全軟體）綑綁銷售，而不再單獨銷售VMware，造成市場選擇減少，且排擠競爭軟體供應商。</p> <p>歐盟委員會將在90個工作天內，在2023年5月11日做出最後決定。</p> <p>目前本案已獲得<a href="https://news.vmware.com/company/vmware-stockholders-approve-proposed-acquisition-by-broadcom" target="_blank">VMware股東</a>、<a href="https://www.crn.com/news/channel-news/broadcom-vmware-deal-approved-in-canada-brazil-south-africa-ceo" target="_blank">加拿大、巴西及南非</a>主管機關的核准。美國聯邦交易委員會（FTC）則還在調查。</p> </div></div></div>
2022/12/22 12:08作者林妍溱https://www.ithome.com.tw/news/154824
微軟釋出緊急更新，以解決Windows Server Hyper-V VM啟動失敗問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://learn.microsoft.com/en-us/windows/release-health/windows-message-center#2988" target="_blank">微軟本周釋出緊急例外（Out-of-Band，OOB）Windows Server更新</a>，以解決Patch Tuesday造成的Hyper-V VM啟動失敗問題。</p> <p>這問題出在<a href="https://www.ithome.com.tw/news/154752" target="_blank">本月初Patch Tuesday發布</a>的Windows Server 2022服務堆疊更新（servicing stack update，SSU）20348.1300版。受影響的是受SCVMM（System Center VMM）管理、並使用SDN配置的Hyper-V主機，會造成啟用新VM，以及在現有VM加入新網路卡（NIC）時有錯誤訊息。</p> <p>受影響的版本包括Windows Server 2019和Server 2022，更新版本分別為<a href="https://support.microsoft.com/zh-tw/topic/december-20-2022-kb5022554-os-build-17763-3772-out-of-band-5e0b7ddb-7c78-43d4-a7ef-dd222f24ee49" target="_blank">KB5022554</a>及<a href="https://support.microsoft.com/zh-tw/topic/december-20-2022-kb5022553-os-build-20348-1368-out-of-band-6df4acd7-a5c4-4a49-8685-2d82cfd82ebf" target="_blank">KB5022553</a>。微軟提醒，用戶或管理員必須在所有受影響的Hyper-V主機上都安裝更新版，才能解決問題。</p> <p>用戶可以在Windows Update Catalog，根據更新版編號單獨下載OOB更新，把更新手動滙入Windows Server Update Services （WSUS）和Microsoft Endpoint Configuration Manager。微軟提醒，這些更新並不會經由Windows Update自動下載安裝。</p> </div></div></div>
2022/12/22 10:43作者林妍溱https://www.ithome.com.tw/news/154821
憂進一步制裁，華為傳關閉在俄羅斯的企業部門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.scmp.com/tech/big-tech/article/3203995/huawei-disbands-enterprise-business-team-russia-further-pullback-amid-western-sanctions-local-media" target="_blank">《南華早報》報導</a>，在國際持續對俄羅斯發動制裁之際，華為也關閉該公司在俄羅斯的企業部門，以免美國的進一步制裁。</p> <p>報導指出，華為將在明年1月1日解散俄羅斯當地銷售儲存系統和電信設備的部門。大約2,000名當地員工被要求轉到獨立國協其他國家，或是接受資遣。但華為仍持續保留位於莫斯科的辦公室，以便局勢好轉時再回來。而華為位於莫斯科、聖彼得堡、以及另二座城市專注開發5G、電腦視覺及虛擬實境的研發中心則未受影響。</p> <p>報導指出，該公司此舉是為了避免以美國為首的西方國家發動進一步制裁。從2019年5月美國商務部將華為列入實體清單（Entity List）後，即無法採購出自美國或和美國有關的技術產品，包括晶片或Google Mobile Services或Android等軟體。據傳華為除了裁撤莫斯科的企業部門員工，從2023年起也將把俄國及白俄羅斯的業務和其他國協成員分開，一些俄國員工也已在9月調到哈薩克及烏茲別克。</p> <p>但美國對中國企業的制裁並未消褪。除了商務部外，<a href="https://www.ithome.com.tw/news/154447" target="_blank">11月美國聯邦通訊管理委員會（FCC）再以國安為由下令</a>，除了電信業者不能以國家補助採購華為產品外，現在起美國境內也不得進口和銷售包括華為、中興、海康威視等中國業者的電信產品和服務。</p> </div></div></div>
2022/12/22 11:06作者林妍溱https://www.ithome.com.tw/news/154823
Cloud周報第162期：國泰金控最新一座3千坪金融資訊中心機房完工，預計明年Q3啟用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（12/15～12/21）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 國泰金控 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融資訊中心 </span></strong></span> </strong></p> <p><strong><span style="font-size: 22px;"><strong>國泰金控不只推動IT轉型上雲，更打造3千坪新一代金融資訊中心明年Q3啟用</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961_Cloud%E5%91%A8%E5%A0%B1(4)(1).png" style="width: 600px;" /></p> <p>國泰金控集團今年進到雲端大量採用階段，預計將花3～5年把百套系統遷至公雲，但國泰不只積極上雲，也持續布局新一代金融資訊中心，考慮到合規性等因素，未來有些重要系統仍必須維持於地端，而採取多雲混合雲策略。國泰位於青埔一座3千坪新資訊中心最近正式完工，待明年將國泰金控及其各子公司系統遷至新機房後，預計第3季啟用。</p> <p>從完工大樓外觀來看，這座新資訊中心一共有2棟建築大樓，分別是地上8層和地上12層的大樓，其中有5層樓規劃為IT機房，若以每個機房層最多容納超過100個伺服器機櫃來計算，5層樓至少可容納5百個機櫃。所有機房樓層皆為自用。</p> <p>國泰表示，新資訊中心機房啟用後，將成為國泰金控的資訊群聚中心，不只提供國泰金控及其子公司往後營運發展與創新數位金融業務，更能確保提供全天不中斷的資訊服務。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Nasdaq </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 核心交易系統上雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>Nasdaq採用混合雲架構打造新一代期權核心交易系統，能支撐單日百億筆爆量交易需求</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(3)(1).jpg" style="width: 600px; height: 366px;" /></p> <p>美國最大證券交易所Nasdaq近日宣布已完成Nasdaq MRX交易所的關鍵核心交易系統上雲，以此打造新一代資本市場所需的交易系統，以提高業務處理效率與加速創新。</p> <p>Nasdaq在美國設有6間期權交易所（options exchanges ）， Nasdaq MRX是其中一間。為了加速數位轉型，該公司自2020年起展開雲端轉型，並於2021年決定將MRX交易系統遷至AWS公雲。</p> <p>但考慮到證券市場交易速度要求要能達到奈秒（10的負9次方秒）的等級，為了確保系統上雲後，可以滿足高速且大量交易需求，因此他們導入AWS混合雲機櫃Outposts，來提供超低延遲存取的地端部署，同時又可以像部署在AWS機房一樣使用熟悉雲端工具來管理及強化資安。</p> <p>從啟用迄今，MRX每天處理超過百億筆交易訊息。Nasdaq表示，未來將持續擴大Outposts平臺採用，作為更多交易系統落地的混合雲平臺。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IDC調查 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 中小企業上雲 </span></strong></span> </strong></p> <p><strong><span style="font-size: 22px;"><strong>IDC預估2025年全球30%中小型企業關鍵核心應用都將上雲，雲端投資成長幅度將超越大型企業</strong></span></strong></p> <p>日前，IDC公布2023年臺灣的10大ICT趨勢預測，其中一項趨勢和雲端相關。IDC預測明年企業雲端轉型腳步將加快，尤其是中小型企業，將加快跟上大型企業的腳步朝雲端轉型，藉此提升企業敏捷度和彈性。</p> <p>IDC預測到2025年，全球三成的中小型企業會將其一半的核心工作負載轉移到雲端。甚至中小企業對雲端投資的成長幅度將高於中大型企業。</p> <p>IDC解釋，2年多疫情肆虐，儘管疫情逐漸趨緩，但勞動力短缺、供應鏈與通膨等因素影響，成了不只大型企業，中小型企業都得面對的新困境，但想要從中突圍，企業必須有明確的數位化策略、完整技術布局與治理方案，而上雲就成了企業優先要務。在IDC今年一項調查中顯示，也反映了這個趨勢。許多中小型企業都把雲端列為未來一年半最重要技術投資。</p> <p>另一方面，為了因應越來越多企業上雲轉型需求，不少臺灣資服務業者轉而開始提供中小型業者所需雲端服務方案。IDC就發現，65%的資服業者不是正打算規畫，就是已經規畫相關SaaS服務給客戶，其中IaaS占了78%，PaaS則占了71%。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 食品業上雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新東陽 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>老牌食品廠新東陽開始擁抱雲端，第一步先從關鍵核心的ERP系統上雲</strong></span></strong></p> <p>臺灣食品業近來也走出傳統開始擁抱雲端，其中又以本土食品大廠新東陽為代表。為了推動數位轉型，新東陽近年來全面展開IT大改造，以此優化營運流程、提升生產效率，第一步就先從關鍵核心的ERP系統上雲開始。</p> <p>作為轉型第一步，新東陽先從內部流程改造做起，進行流程重塑，來梳理上百道流程，更將老舊ERP全面大翻新。該公司導入了SAP S/4HANA雲端ERP，來取代舊系統，希望透過這套雲端版ERP來打造集團營運中樞，串聯生產、通路、財務等不同流程，不只優化數據串接，使決策有所依據，更要透過數據驅動數位轉型，以便能更快回應市場的需求，如準確預測顧客需求，降低存貨週轉天數、增加業務收入等。</p> <p>新東陽總經理麥升陽就表示，期望借助ERP上雲，幫助公司運用數據來擬定決策，加快轉型進程與提高市場競爭力。</p> <p><strong> </strong></p> <p><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 甲骨文</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端營收 </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></strong></p> <p><strong><span style="font-size: 22px;"><strong>雲端基礎設施和雲應用需求成長強勁，甲骨文Q2營收增長逼進兩成，達123億美元</strong></span></strong></p> <p>雲端資料庫巨頭甲骨文（Oracle）最近公布2023年第2季財務業績，得益於基礎設施和雲應用業務需求強勁，該季營收跟去年年同期相比成長18%，達到123 億美元，不只高於原先預期，每股盈餘0.63美元，也比去年每股虧損0.46 美元還高，也讓甲骨文重回獲利，走出去年的虧損陰霾。</p> <p>雲端依舊是甲骨文最大營收主力，單是IaaS加上SaaS的雲端收入就占超過總營收的四分之一，跟去年相比大幅增長43%，達到38億美元。SaaS與IaaS營收各是28億和10億美元。</p> <p>從雲端ERP產品來看，該季也有明顯增長，Fusion Cloud ERP與NetSuite Cloud ERP營收皆上看6億美元，分別有28%和29%的成長。顯見，企業開始加快關鍵核心ERP系統上雲的腳步，來加速內部轉型。</p> <p><strong> </strong></p> <p><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 供應鏈管理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></strong></p> <p><strong><span style="font-size: 22px;"><strong>AWS力推Supply Chain管理新服務，不只能迅速反應庫存動態變化，還能建立供應鏈風險預警機制來避險</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20221129_181439912.jpg" style="width: 600px; height: 338px;" /></p> <p>在產業應用上，公有雲龍頭AWS開始朝向全解決方案發展，在12月初年度用戶大會上，AWS推出Supply Chain雲端供應鏈管理新服務，雖然目前是預覽版，但AWS強調，企業可以透過這套服務自動組合和分析跨多個供應鏈系統的數據。該服務更借助了Amazon電商物流供應鏈多年經驗與技術發展而來。但不限於電商，其他行業也能用。</p> <p>更進一步來說，企業可以使用該其內建的連接器，建立統一供應鏈數據湖，來自動匯整各套ERP和供應鏈管理系統中的所有數據，然後將分析結果以視覺化呈現，不僅方便管理者從互動地圖上隨時查看庫存變化，也能以此建立風險預警機制，因此就能早一步採取避險行動。但初期AWS這套方案只支援以SAP S/4HANA、SAP ECC、EDI、Amazon S3這4類為主的ERP、供應鏈相關系統或資料源</p> <p>微軟Azure也有自己的雲端供應鏈管理平臺Supply Chain Platform，甚至比AWS還早一個月問世。更早之前，甲骨文也有推出類似的產品，如OracleFusion Cloud SCM服務，來提供企業所需供應鏈管理的功能。</p> <p> </p> <p><strong><strong>攝影／余至浩　圖片來源／國泰金控</strong></strong></p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong><strong><strong><strong>1.美國防部90億美元雲端訂單由AWS、微軟、Google、甲骨文共得</strong></strong></strong></strong></p> <p><strong><strong><strong><strong>2.AWS推出雲端資料管理新服務DataZone，不只提供專案式的資料管理平臺，更主打內建資料治理的功能</strong></strong></strong></strong></p> <p><strong><strong><strong><strong>3.Google開放大型企業及教育用戶測試Gmail用戶端加密</strong></strong></strong></strong></p> <p><strong><strong><strong><strong>4.AWS修補了可被用以發動DoS、資料外洩的容器映像檔服務漏洞</strong></strong></strong></strong></p> <p><strong><strong><strong><strong>資料來源：iThome整理，2022年12月</strong></strong></strong></strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2022/12/22 11:13作者余至浩https://www.ithome.com.tw/news/154822
Drupal 10更新前後端介面主題，採用新內容編輯器CKEditor 5
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>熱門開源內容管理系統（CMS）Drupal推出最新第10主要版本更新，這個版本更新了前後端介面，並且採用新的內容編輯器，並且提供Starterkit主題生成器，供用戶能夠靈活再保存並且開發新主題。</p> <p><a href="https://www.drupal.org/blog/drupal-10-0-0">Drupal 10</a>換掉舊的Bartik前端主題改為Olivero，新主題提供更加現代化的外觀，內建回應式網格多層級選單和列表。Olivero主題是以Drupal已故貢獻者Rachel Oliver命名，Rachel Olive是美國全國盲人聯合會組織技術小組負責人，同時也是無障礙功能的專家，而Olivero主題代表著其擁有可供任何人使用的無障礙功能。</p> <p>Drupal 10的管理後端主題以Claro，更換掉2009年所設計的Seven主題，其較之前的設計更為簡潔，具有更大的觸碰目標，並且根據使用者研究提供更好的無障礙設計，官方提到，過去Drupal的外觀和功能不相符，Seven主題外觀讓Drupal看起來過時，而Claro更精緻的外觀將可讓更多人願意探索Drupal的功能。</p> <p>舊版的Drupal編輯器CKEditor 4，預計會在2023年結束生命周期，因此Drupal 10採用了設計新穎的CKEditor 5，用戶現在可以直接編輯連結和圖像，不再需要另外開啟對話框。另外一項CKEditor 5方便的功能，是能夠支援來自Word和Google文件的複製貼上內容，編輯器將會自動刪除來自這些程式，內容複製貼上操作附帶的標記語言。</p> <p>Drupal主題通常不是全新創建，而是建立在基本主題之上，但在Drupal 9和之前版本是利用執行時繼承提供支援，基本主題和衍生主題兩者都同時在系統上，官方提到，這種方法存在風險，如果基本主題在更新時出現變化，則網站的外觀和行為可能崩潰。</p> <p>而Drupal 10提供了主題生成器Starterkit，用戶可以從相容的主題創建一個分支，並且利用該分支處理副本，無論複製來自哪個版本，系統都會自動留存備份，當用戶使用的主題出現更新，用戶可以進行審查後再將這些更改應用到版本中，這將能大幅提高網站的穩定性。</p> <p>現在有八分之一的企業網站，都使用Drupal建置，包括那斯達克、IBM和輝瑞等組織。Drupal專案由Dries Buytaert所創建，而後Dries Buytaert成立了一間稱為Acquia的公司，並且以開源Drupal為基礎，提供企業級內容管理系統服務。雖然Acquia現在是Drupal的主要貢獻者，但是Drupal 10擁有4,000多項更新，由來自600多家不同公司的2,000多名開發人員共同貢獻完成。</p> </div></div></div>
2022/12/22 09:31作者李建興https://www.ithome.com.tw/news/154816
GitLab推出建構於VS Code專案之上的新網頁IDE
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>即日起開發者可以開始使用<a href="https://about.gitlab.com/blog/2022/12/15/get-ready-for-new-gitlab-web-ide/">GitLab新的網頁IDE</a>，不需要執行任何操作或是安裝，也無需設定，就能夠簡單地開始程式碼編輯工作。新網頁IDE以開源VS Code為基礎，更為使用者友善且效能更好，開發者還可以使用VS Code擴充功能來客製化開發流程。</p> <p>其實早在2018年的時候，GitLab就以Monaco專案，建立了一個網頁IDE，使開發者可在瀏覽器中編輯程式碼，但官方終究認為，這個網頁IDE並不能真正稱為IDE，原因是該工具僅適合用於輕量級的編輯，像更改配置文件、更新Markdown檔案或是修復合併請求中的拼寫錯誤。</p> <p>這個2018年所開發的網頁IDE的致命傷，在於無法編譯程式碼，也不能客製化來符合開發者的個人工作流程，雖然比網頁編輯器更強大一點，但是要執行除了修正拼寫錯誤或是編寫Markdown之外的工作，便會綁手綁腳。因為Monaco專案僅提供一個基礎，GitLab必須要完全自己實作工作流程和功能，而這帶來許多困難。</p> <p>開源VS Code提供了良好的解決方案，擁有更高的可用性和更完整的功能，還可以在編輯器中客製化主題和語法突出顯示，開發者還能存取VS Code擴充套件來客製化用戶體驗。使用VS Code為基礎打造的網頁IDE，使其成為真正的IDE，雖然功能大幅增加，但是記憶體使用量卻比之前的網頁IDE還要少80％，並且更好地支援觸控裝置，像是平板電腦和智慧手機。</p> <p>最重要的是，VS Code支援遠端開發，開發者可透過新的網頁IDE，安全連接到遠端開發環境，並在互動式終端面板執行命令，官方提到，他們接下來還會繼續發展相關功能，包括將網頁IDE連接到雲端執行時環境，使得開發者不需要管理本地環境等。</p> <p>新版網頁IDE會在GitLab.com預設啟用，而對於自管用戶將可以在GitLab 15.7版本中使用，而該版本在12月22日發布，管理員可以從實例層級功能旗標啟用。目前GitLab用戶可以在測試階段，自由地切換使用新舊網頁IDE，官方預計會在2023年5月發布GitLab 16.0，屆時新網頁IDE將結束測試，完全代替舊版網頁IDE。</p> </div></div></div>
2022/12/22 09:35作者李建興https://www.ithome.com.tw/news/154817
Mozilla推廣去中心化社交媒體概念Fediverse，自建公開實例Mozilla.Social
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/mozilla/status/1605341269546307584">Mozilla宣布</a>在2023年初，測試新的社交軟體公開實例Mozilla.Social，該實例將會成為Fediverse的一部分，進一步探索並推動Fediverse發展。該組織期望Fediverse將有助於促進聯合社會空間的健康和發展，獨立於追求利潤的科技公司，作為一個去中心化和全球化的社會服務。</p> <p>Mozilla提到，健康的網際網路能夠促進公民話語權，以及人類尊嚴，在提升批判性思維和理性論證中，尊重共同經驗和個人表達，凝聚多元化的全球社群，而Fediverse的興起將會是邁向這個方向的下一步。透過連結Mastodon、Matrix和Pixelfed等服務，Mozilla希望能發展出健康、可持續，且不受任何實體控制的Fediverse。</p> <p>Fediverse為Federation以及Universe的混合字，中文譯為聯邦宇宙，Mozilla從Mastodon這個更為成熟且穩定的專案，開始探索Fediverse的想法。Fediverse由大量透過ActivityPub或是OStatus去中心化社群網路協定通訊的伺服器構成，在Fediverse中，存在許多不同類型的伺服器軟體，諸如Pixelfed、Pleroma、Misskey或是WriteFreely等。</p> <p>在Fediverse中，雖然伺服器都是獨立運作，但是伺服器間可以相互溝通，用戶能夠自己選擇在不同的伺服器上創建帳號，且不受伺服器邊界限制相互通訊，發布文字和媒體，同時也能夠關注其他用戶。</p> <p>Fediverse的運作方式與Mastodon相同，帳戶名稱會是@<a href="mailto:username@instance">username@instance</a>的形式，要在Fediverse上提及其他用戶，除了需要標記使用者名稱之外，還要加上執行個體的名稱，如此便能跨伺服器提及，而當用戶要提及伺服器本地用戶，就僅需要標記使用者名稱即可。</p> <p>Fediverse的概念比Mastodon更大更廣泛，Mozilla認為，社交媒體需要從集中化與企業的手中釋放，以更可擴展且以人為本的方式發展。</p> </div></div></div>
2022/12/22 09:38作者李建興https://www.ithome.com.tw/news/154818
【資安日報】2022年12月21日，駭客利用新手法OWASSRF入侵Exchange、烏克蘭軍事情報系統遭駭客鎖定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對資安業者在9月底揭露ProxyNotShell漏洞，微軟雖然提供了修補程式與緩解措施，但現在傳出這些做法已被駭客繞過！資安業者CrowdStrike發現駭客運用了名為OWASSRF的手法來攻擊Exchange，並指出有別於原本駭客濫用自動探索（Autodiscover）來觸發ProxyNotShell，這次濫用的是該系統的網頁版郵件管理介面OWA來達成目的。</p> <p>駭客利用竊密程式來偷取各式資料的情況可說是相當氾濫，而這樣的工具也可能被用於攻擊軍事系統──烏克蘭電腦緊急應變小組（CERT-UA）揭露針對軍事情報系統而來的竊密軟體攻擊，駭客佯稱更新電腦憑證的名義來下手，企圖盜取軍人電腦裡的相關帳密資料。</p> <p>現今熱門的AI機器人ChtGPT能力強大，但很有可能成為駭客濫用的目標！有研究人員進行實際驗證，利用該機器人打造釣魚郵件及惡意附件，藉此警告這樣的工具有可能遭到濫用。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.crowdstrike.com/blog/owassrf-exploit-analysis-and-recommendations/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客利用新的攻擊手法OWASSRF，針對Exchange下手</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/newnewnew.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/newnewnew.png" style="width: 300px; float: right;" /></a>資安業者CrowdStrike調查勒索軟體Play的攻擊行動裡，發現駭客利用新的手法OWASSRF來攻擊Exchange，進而繞過微軟為ProxyNotShell漏洞（CVE-2022-41080和CVE-2022-41082）的緩解措施，濫用網頁版郵件管理介面Outlook Web Access（OWA）來遠端執行任意程式碼（RCE）。在成功入侵受害組織後，駭客便利用遠端存取工具Plink、AnyDesk來維持存取的管道，並於Exchange上採取反制取證的手法，來隱匿攻擊行動。</p> <p>該公司根據研究人員Dray Agha發現駭客的概念性驗證（PoC）工具進行分析，認為駭客利用的漏洞，很可能也與微軟今年11月修補的CVE-2022-41080有所關連。</p> <h3><a href="https://cert.gov.ua/article/3349703"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">烏克蘭軍事情報系統Delta遭到竊密軟體攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/delta-cert-ua.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/delta-cert-ua.png" style="width: 300px; float: right;" /></a>烏克蘭電腦緊急應變小組（CERT-UA）於12月19日提出警告，該國用於進行軍事情資收集的管理系統Delta遭到鎖定，駭客對操作該系統的軍事人員發送釣魚郵件，聲稱使用者必須更新憑證才能繼續使用此情資系統，並在附上安裝說明的PDF檔案，內有下載憑證的URL，一旦收信人依照指示操作，電腦就有可能被植入竊密軟體StealDeal，以及FTP檔案竊密工具FateGrab。</p> <p>CERT-UA指出，為了降低收信人戒心，駭客所提供的憑證部署工具，具有看似正常的安裝流程──先是產生數個DLL程式庫檔案，然後啟動ais.exe執行「安裝」，而這些作案工具駭客濫用VMProtect軟體保護機制加殼，使得防毒軟體難以偵測。</p> <h3><a href="https://blog.reversinglabs.com/blog/sentinelsneak-malicious-pypi-module-poses-as-security-sdk"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意PyPI套件假冒資安公司名義，竊取開發者電腦資料</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/sentinel-sneak-Fig1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/sentinel-sneak-Fig1.png" style="width: 300px; float: right;" /></a>資安業者ReversingLabs揭露惡意PyPI套件攻擊行動SentinelSneak，駭客疑似假借提供資安業者SentinelOne軟體開發套件（SDK）名義，自12月11日至13日，陸續在PyPI套件庫發行一款名為SentinelOne的惡意Python套件，總共被下載超過1千次。</p> <p>研究人員進一步分析指出，此套件內含SentinelOne用戶端安裝程式與後門程式，但為了回避偵測，程式庫的相關惡意功能不會在此套件部署時就觸發，而是在編譯程式碼的過程才會啟動。該後門程式將會收集開發者在電腦上執行的Shell命令記錄，這些命令很有可能包含了SSH金鑰、Git、K8s、AWS服務的帳密。</p> <h3><a href="https://blog.phylum.io/phylum-discovers-new-stealer-variants-in-burgeoning-pypi-supply-chain-attack"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客透過PyPI套件庫散播竊密軟體W4SP變種</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/w4sp-variant.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/w4sp-variant.png" style="width: 300px; float: right;" /></a>資安業者Phylum在11月初，揭露濫用PyPI套件庫散布W4SP竊密程式的攻擊行動，但如今手法出現了變化。研究人員最近發現駭客於PyPI平臺發布一批惡意套件，這些套件被用於散布Satan Stealer、ANGEL Stealer、Leaf $tealer、@skid STEALER、Fade Stealer等竊密軟體，但進一步比對後，上述皆為W4SP的變種，駭客只是將W4SP的名稱換掉。</p> <p>而對於攻擊者的身分，研究人員表示仍有待進一步調查，但這些駭客似乎在仿效W4SP的攻擊手法，他們研判並非11月初事件的那批駭客所為，而是另有其人。</p> <h3><a href="https://research.checkpoint.com/2022/opwnai-ai-that-can-save-the-day-or-hack-it-away/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">AI機器人ChatGPT可用於社交工程攻擊，Check Point揭露能以此產生夾帶惡意程式碼的釣魚信攻擊手法</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Picture2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Picture2.jpg" style="width: 300px; float: right;" /></a>席捲全球的聊天AI機器人ChatGPT具備創作、翻譯、編寫程式碼的能力，但水能載舟亦能覆舟，駭客也有可能將其用於攻擊行動。資安業者Check Point揭露了濫用ChatGPT的攻擊手法，他們先是要求ChatGPT冒充一家公司，再反覆訓練產生含有惡意Excel檔案的釣魚郵件，以及替Excel檔案製作攻擊所需的惡意VBA程式碼。</p> <p>經過這番訓練過程，研究人員便能藉此聊天機器人產生帶有惡意Excel檔案的釣魚郵件，一旦收信人上鉤，駭客就能在電腦部署反向Shell及對應的程式碼，進而控制受害電腦。研究人員認為，這樣的AI機器人將有可能改變網路威脅態勢。</p> <h3><a href="https://ir.nio.com/news-events/news-releases/news-release-details/nio-inc-promptly-responds-data-leakage"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國電動車業者蔚來傳出車主資料外洩事故，對方向該廠商勒索225萬美元比特幣封口費</span></strong></a></h3> <p>中國電動車業者蔚來於12月20日發出聲明，表示他們遭到勒索，對方聲稱握有該公司的內部資料，要求支付價值225萬美元的比特幣，來換取資料不被公開。該公司初步調查後得知，遭竊資料為2021年8月以前中國的使用者與車輛銷售資料，並向監管機關通報。不過，該公司並未透露有多少人士遭到這起資料外洩事故影響。</p> <h3><a href="https://www.bli.gov.tw/0107558.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勞保資料傳出流入駭客論壇的消息！但勞保局表示無外洩情事</span></strong></a></h3> <p>12月上旬立委召開記者會呼籲政府應積極說明全臺戶政資料外洩處理狀況，當時也提到同個駭客論壇上，有人兜售2800萬筆勞保資料。對此，勞動部勞工保險局於19日做出說明，經過比對後，駭客的資料與他們持有的內容、特徵、格式並不相符，研判並非勞保局資料庫的資料，相關調查單位初步排除該網站資料是勞保局的資料檔。此外，他們的資料庫也沒有遭到攻擊的記錄，勞保局研判無資料外洩情事。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.microsoft.com/en-us/security/blog/2022/12/19/gatekeepers-achilles-heel-unearthing-a-macos-vulnerability/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露macOS漏洞Achilles，能繞過應用程式檢測機制Gatekeeper</span></strong></a></h3> <p>微軟安全威脅情報小組（Microsoft Security Threat Intelligence）揭露向蘋果通報的macOS漏洞Achilles（CVE-2022-42821），一旦遭到利用，攻擊者就能繞過該作業系統的應用程式檢測機制Gatekeeper，進而於受害電腦執行惡意程式，影響2017年以後生產的所有Mac電腦。蘋果獲報後發布macOS Ventura 13、macOS Monterey 12.6.2、macOS Big Sur 11.7.2修補。</p> <p>研究人員警告，對於濫用Achilles的攻擊，macOS Ventura用於保護高風險人士的封閉模式（Lockdown Mode），並無法抵禦此類手法，使用者應儘速安裝相關更新因應。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://unit42.paloaltonetworks.com/trident-ursa/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客企圖入侵北約國家的煉油廠</span></span></strong></a></p> <p><a href="https://www.nozominetworks.com/blog/tracking-malicious-glupteba-activity-through-the-blockchain/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體Glupteba濫用區塊鏈發動攻擊</span></span></strong></a></p> <p><a href="https://flashpoint.io/blog/risepro-stealer-and-pay-per-install-malware-privateloader/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">竊密軟體RisePro透過惡意軟體服務PrivateLoader散播</span></span></strong></a></p> <p><a href="https://www.threatfabric.com/blogs/brasdex-a-new-brazilian-ats-malware.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">安卓木馬BrasDex鎖定巴西銀行用戶而來</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/draftkings-warns-data-of-67k-people-was-exposed-in-account-hacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">運動投注網站DraftKings證實資料外洩，6.7萬賭客個資曝光</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154799">【2022年12月20日】 FBI威脅情資交換平臺用戶個資驚傳流入暗網、4至5年前修補的思科產品漏洞出現攻擊行動</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154780">【2022年12月19日】連網裝置成MCCrash殭屍網路病毒入侵的目標、駭客鎖定食品業者發動BEC攻擊</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154770">【2022年12月16日】向量圖檔SVG被駭客用於偷渡惡意軟體QBot、臉書貼文被用於網釣攻擊鏈</a></strong></strong></strong></p> </div></div></div>
2022/12/21 18:15作者周峻佑https://www.ithome.com.tw/news/154819
OpenAI釋出可用文字提示快速生成3D模型的AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI發表最新文字生成3D模型的人工智慧模型<a href="https://arxiv.org/pdf/2212.08751.pdf">Point-E</a>，研究人員提到，雖然Point-E模型所產生的3D模型品質，還未達最先進的水準，但是因為Point-E的樣本生成速度快了其他方法一到兩個量級，因此在部分用例可供使用者權衡使用。</p> <p>目前文字生成圖像模型爆炸性成長，先進的模型在數秒中內，就能夠根據自然語言描述，快速生成高品質圖像，這和目前3D模型生成發展，產生極大的對比，而由於3D生成的使用案例很廣，可被用於虛擬實境、遊戲和工業設計等，因此發展文字生成3D模型技術，對於普及3D內容創作有很大的發展潛力。</p> <p>研究人員提到，目前使用文字產生3D合成模型的方法主要有兩種，其一是直接使用文字和模型的資料對，或是未標記的3D資料訓練模型，雖然這些模型可以利用現有的生成建模方法，有效地生成樣本，但因為目前缺乏大規模3D資料集，因此很難廣展其多樣性和複雜文字提示。</p> <p>另一種方法則是利用預訓練文字圖像模型，以最佳化可微分3D表示的方法，研究人員解釋，這些方法通常能夠處理複雜多樣的文字提示，但需要更昂貴的最佳化過程才能生成每個樣本。OpenAI的Point-E的目標則是結合文字到圖像模型，以及圖像到3D模型技術，來總和兩種方法的優點。</p> <p>文字到圖像模型利用大量文字、圖像對語料庫，使Point-E能夠遵循多樣且複雜的提示，而圖像到3D模型，則是在較小的圖像、3D對資料集訓練。因此Point-E從文字提示生成3D物件，首先是使用文字生成圖像模型進行採樣，然後將採樣圖像作為條件生成3D物件樣本，這兩個步驟可以在數秒鐘內完成模型點雲，不需要昂貴的最佳化程序。</p> <p>研究人員最後使用迴歸方法，從點雲生成網格，Point-E整個過程只要一到兩分鐘，就可以在單個GPU上生成3D模型，雖然目前Point-E所產生的模型品質較差，但在部分需要短回應時間的用例上，Point-E為一個權衡的方法。目前OpenAI已經在<a href="https://github.com/openai/point-e">GitHub</a>上發布預訓練模型，以及評估程式碼和模型。</p> </div></div></div>
2022/12/21 15:32作者李建興https://www.ithome.com.tw/news/154815
macOS出現可讓駭客躲過安全檢查的阿奇里斯漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/security/blog/2022/12/19/gatekeepers-achilles-heel-unearthing-a-macos-vulnerability/" target="_blank">微軟安全威脅情報小組（Microsoft Security Threat Intelligence）發現macOS有項漏洞</a>，能讓攻擊者繞過Gatekeeper安全機制，而在Mac電腦上執行惡意應用程式。蘋果已經釋出新版macOS作業系統予以修補。</p> <p>微軟是在7月發現編號CVE-2022-42821的漏洞，它可使用應用程式繞過macOS Gatekeeper提供的應用執行限制。Gatekeeper功能是確保只有受信賴的應用程式可以在Mac裝置上執行。本漏洞可為惡意程式開啟Mac電腦大門，再協助提升攻擊活動成功率。微軟也將此漏洞為「阿奇里斯」（Achilles）。</p> <p>微軟解釋，Gatekeeper會檢查所有從網路下載的應用程式，確認應用程式是否具備（蘋果核准的）開發人員簽章以及經過蘋果公證，應用程式必須通過檢查才能開啟，否則Gatekeeper就會封鎖應用程式執行並通知使用者（如下圖所示）。</p> <p class="rtecenter"><img alt="" src="https://www.microsoft.com/en-us/security/blog/wp-content/uploads/2022/12/Figure-2.-Gatekeeper-blocking-an-untrusted-downloaded-file-768x868.png" style="width: 310px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>Gatekeeper的作業原理是檢查蘋果瀏覽器Safari在應用程式下載時賦予的擴充屬性，其中com.apple.quarantine儲存下載檔案來源資訊，以及提供Gatekeeper處理檔案的指示。</p> <p>研究人員發現，透過設定非常嚴格的存取控制清單（Access Control List，ACL），可使Safari（或其他應用程式）無法設定擴充屬性，包括Gatekeeper相關的com.apple.quarantine。結果就能使Gatekeeper無法在用戶從網路下載執行惡意程式時發揮把關的作用。</p> <p>研究人員並在概念驗證中設計了濫用這項漏洞的方法，建立假路徑及儲存經改造的ACL的假AppleDouble檔案，成功使Gatekeeper使用了這個檔案，因而造成了Gatekeeper繞過的結果。</p> <p>這項漏洞影響macOS 12 Monterey、macOS 11 Big Sur等版本。經過微軟通報，蘋果已經釋出macOS Monterey 12.6.2、macOS Big Sur 11.7.2及macOS Ventura 13解決漏洞。</p> <p>微軟並提醒，macOS的安全功能封閉模式（Lockdown Mode）無法防範阿奇里斯漏洞攻擊。這功能是Ventura以後加入，用於保護特定高風險人士可能遭國家或進階駭客執行零點擊遠端程式碼攻擊。微軟呼籲Mac電腦用戶，不論是否開啟封閉模式都必須安裝更新。</p> </div></div></div>
2022/12/21 12:27作者林妍溱https://www.ithome.com.tw/news/154807
Google Lens將以AI技術辨識難懂的醫師手寫文字
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>醫師處方或診療紀錄往往很難看得懂，Google將開發AI模型來看懂醫師手寫的文字，以加速醫療紀錄的數位化。</p> <p>Google是在本周於印度舉行的大會上宣布此事。<a href="https://twitter.com/GoogleIndia/status/1604787175274713088" target="_blank">Google表示</a>該公司已著手一項複雜過程，將建立一套AI輔助模型來辨識醫師處方箋的手寫內容。除了幫助藥局或藥劑師更容易解讀醫師的手寫內容，也能協助醫護作業的數位化。</p> <p><a href="https://techcrunch.com/2022/12/18/google-can-now-decode-doctors-bad-handwriting/" target="_blank">Techcrunch報導</a>，Google已和藥師合作展開這項計畫。未來的成果將是Google Lens新功能之一，讓使用者可以Android手機拍攝處方箋或其他文字的照片後，由Google Lens的AI模型即時自動辨識文字，還能將醫囑內藥物資訊著重顯示。</p> <p>目前這項計畫還在原型階段，Google並未說明時程。</p> <p>此外，Google也計畫開發一套能涵蓋100多種印度方言語言和文字的統一模型。這項模型將用於何種產業或應用則不得而知，但可能也是用於醫療流程的數位化。</p> <p>紙本醫療紀錄數位化，或是語音辨識及轉錄是近年雲端業者重點之一。例如AWS可協助處理非結構化醫療紀錄的<a href="https://www.ithome.com.tw/news/127336" target="_blank">Comprehend Medical</a>、以及能自動萃取文字內容的<a href="https://www.ithome.com.tw/news/130978" target="_blank">Textract</a>。<a href="https://www.ithome.com.tw/news/143790" target="_blank">微軟去年以197億美元買下語音辨識及合成技術業者Nuance</a>，也計畫將其技術整合到Cloud+AI事業群。</p> </div></div></div>
2022/12/21 11:54作者林妍溱https://www.ithome.com.tw/news/154802
MariaDB正式在紐約證交所上市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源資料庫軟體業者MariaDB<a href="https://www.ithome.com.tw/news/149173" target="_blank">繼年初公布</a>後，本周一<a href="https://www.businesswire.com/news/home/20221219005296/en/MariaDB-Completes-Merger-and-Lands-on-NYSE-as-%E2%80%9CMRDB%E2%80%9D" target="_blank">宣布正式在紐約證交所掛牌上市</a>。</p> <p>MariaDB總部位於芬蘭赫爾辛基，是2009年MySQL被甲骨文收購後，MySQL原本的開發團隊組成的公司，現在也成為全球成長最快，且最多人使用的開源碼資料庫軟體。</p> <p>該公司今年初宣布計畫透過收購已在紐約證交所掛牌的特殊目的收購公司（SPAC）Angel Pond Holdings Company（APHC）上市。本周一MariaDB宣布結束這家SPAC的業務，合併的新公司為愛爾蘭公司，並改名MariaDB在紐約證交所掛牌。</p> <p>新公司將由MariaDB原執行長Michael Howard持續執掌，現任MariaDB管理團隊也不會變化。而APHC董事長暨執行長Theodore Wang也將加入MariaDB董事會。</p> <p>MariaDB是新一代關聯式資料庫產品，是為支援任何工作負載、任何規模及任何雲端而設計。為雲端環境，該公司推出雲端資料庫服務MariaDB SkySQL。MariaDB表示，其產品用戶涵括財星五百大企業，像是智慧型手機、線上藥局、電信5G基礎架構及金融業者等。此外，透過不同Linux發行版，MariaDB用戶超過10億，網路下載次數超過10億。</p> <p>MariaDB會計年度2022年非經常性營收（Annual Recurring Revenue，ARR）超過5,000萬，用戶來自60多國的600多家企業。</p> <p>MariaDB執行長Michael Howard指出，MariaDB可解決企業用戶對大型部署的擴充性及可用性能力需求，而MariaDB SkySQL提供比甲骨文等業者更好的價格效能比，強調從甲骨文等舊式資料庫移轉至MariaDB，可為企業節省高達90% 的總體成本，又能部署在多雲環境，免於被綁死在單一廠商平臺。</p> <p>周一MariaDB股價一開始曾衝過11.5美元，不過首日以6.7美元作收。</p> </div></div></div>
2022/12/21 12:06作者林妍溱https://www.ithome.com.tw/news/154803
「營運持續管理」要精進，集保結算所強調應變演練聚焦重大事故，與外部支援單位磨合更是關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>談到臺灣集中保管結算所（簡稱集保），對於已設立證券帳戶的人而言，這是大家相當熟悉的機構，早年用戶會拿到一本集保提供的存摺，近年則是改為安裝「集保e手掌握／集保e存摺」App。事實上，集保是我國金融市場唯一的後臺機構，最主要的任務，就是支持金融市場的有價證券結算事務處理，期貨結算電腦資料處理，以及債票券結算交割。</p> <p>截至今年11月為止，集保的市場保管規模已高達69兆元，投資人帳戶達1,100萬戶，每日處理達300萬筆交易交割資料。這也意味著，集保一旦發生服務停擺狀況，國內證券、期貨與債券市場都會受影響，所以，該公司不單需要處理如此龐大的資訊，強化組織本身的資訊韌性，做好營運持續管理同樣至關重要。</p> <p>為此，他們採取了哪些做法？集保結算所副總經理張秀珍在一場合作夥伴活動上，提及2020年參與行政院國家關鍵基礎設施防護（CIP）演習的經驗，歸納出五項具體關鍵心法。</p> <h2><strong>落實BCM，聚焦3類複合重大情境，透過實際演練才能真正結合外部支援能量</strong></h2> <p>近年來，國內企業組織對於資安的重要性，已是越來越有共識，但對於<font color="#0782c1">營</font>運持續管理（BCM）的重視，可能還不是那麼全面。</p> <p>對於營運韌性強化策略的規畫與執行，集保分為8個面向，包含前期的災害預防，以及情資蒐集與研判，關於損害影響評估即通報聯繫，資源及支援盤點、備援機制，以及損害應處與持續營運策略，這些都是關鍵，同時不能忽略的是，對於媒體的應處，整體金融管理體系應變，以及災害復原及檢討。</p> <p>更重要的是，如果要讓組織對於重大事件緊急應變能力更提升，「危機意識」與「演練」就是關鍵，而當中也突顯了聯防概念的重要性，只有自己做好是不夠的。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89%E9%9B%86%E4%BF%9D%E5%85%AC%E9%96%8B%E7%87%9F%E9%81%8B%E9%9F%8C%E6%80%A7%E5%8B%99%E5%AF%A6%E5%81%9A%E6%B3%95.jpg" style="width: 600px;" /></p> <p><strong>臺灣集中保管結算所</strong><strong>副總經理張秀珍表示，演習應強調在重大異常，而非單純的事故異常排除，並且需要針對天然、資安、人為這三大類情境做到複合式全災害情境的演練。</strong></p> <h3><span style="color:#000080;"><strong>第一，要有危機意識</strong></span></h3> <p>不論是營運環境系統當機，主機房無法運作，或是資料毀損的問題，這些是普遍企業組織關注的防護焦點，集保也不例外，針對系統當機問題，考量同地備援主機、異地備援主機，針對主機房問題考量異地備援機房，針對資料料毀損問題，就要考量多地資料備援，以及離線資料倒檔。</p> <h3><span style="color:#000080;"><strong>第二，需要關注真實世界的危機</strong></span></h3> <p>威脅並不只是資安事件，還包括地震、淹水、火災、電力供應，甚至是傳染病、罷工、炸彈客威脅、無人機攻擊等各類狀況，這也讓集保開始重新省思營運韌性這件事。</p> <p>事實上，集保公司在2001年納莉颱風時，就曾受到水災的影響。近年國際間更是不少相關重大事件，例如，歐洲2021年發生史上最嚴重機房火災，造成全球360萬個網站停擺；這幾年，全球遭遇疫情衝擊，也是企業組織面對員工可能碰上確診或被隔離，資訊系統恐無人操作的狀況。</p> <p>因此，張秀珍強調，一個組織的韌性，不只聚焦在資訊安全，而他們也參考了行政院國土安全辦公室提供的指引，將國家關鍵基礎設施防護演習分為3類，分別是天災、資安與人為，這三大面向來看待營運持續的風險。</p> <h3><span style="color:#000080;"><strong>第三，透過演練養成危機處理能力</strong></span></h3> <p>基本上，集保公司每年都會進行異地備援切換的演練測試，重要系統一年更是進行兩次，一次內部自己做，另一次會與客戶一起操演。同時，還有消防演練，以及天災逃生演練等。</p> <p>具體而言，企業組織在演練設計上，必須做到上述3類的災難演練，當中有幾個要點，需「從嚴」、「從難」、「從實」，設計複合式的全災害情境。這在設計演習腳本、撰寫演習腳本時就必須考量，之後才能撰寫演習計畫書。</p> <p>更重要的是，他們在過程中體認到區域聯防、簽訂協定的重要性。張秀珍指出，在演習狀況與劇本的編制之後，還要顧及真實世界並非只有自己，尤其是一個重大災事件發生時，是無法單靠自己獨立完成的，這需要與相關資源單位保持良好互動才行。</p> <p>舉例來說，實際演練過程讓他們認識到，需考量警消到場與其他部門協調的狀況，以及與主管機關、地方政府的溝通。甚至大樓平面圖是否很快拿得出來，提供給到場的警消人員，如果是複合式大樓，管委會也會是重要的聯繫角色。</p> <p>因此，在演練之下，集保簽訂了很多支援協定，並重視支援單位協調會的召開。張秀珍指出，讓相關應變單位能夠認識集保，彼此都能認識災難救助順序，這點是相關實務的關鍵，否則，一旦發生重大災害，大家都在搶資源時，如果對方不知道我們屬於關鍵基礎設施，很可能不會在第一時間將我們放在優先順位。</p> <h3><span style="color:#000080;"><strong>第四，有了營運持續計畫架構，還需要落實</strong></span></h3> <p>為保護營運不受災害與事故的傷害，制定持續營運計畫這件事，多年前就已經強調，近年更是因為疫情衝擊，讓此議題再度受到許多關注。</p> <p>對此，張秀珍說明他們的營運持續計畫架構分為：業務面事件與資訊面事件，簡單而言，前者可分成天然災害、人為災害，以及巨災，後者則是資安事件，在事件應變或持續營運階段，各自都有所需遵循的手冊、規定與計畫。而演練的作用，將有助於讓組織這樣的實務內化到作業之中。</p> <h3><span style="color:#000080;"><strong>第五，強化聯防體系，必須縱向橫向通盤考量</strong></span></h3> <p>所謂不怕一萬，只怕萬一，企業與組織需設想的是，如果真的有巨災發生，我們真的能夠因應嗎？知道該跟誰聯繫嗎？</p> <p>為了因應緊急災害事件，近年我們已經看到國內一些關鍵CI業者，如醫療業，均強調緊急應變指揮架構的重要性。</p> <p>而集保本身也有這樣的配置，在他們的緊急應變指揮架構圖當中，主要參考內政部消防署的ICS事故現場救災指揮系統應用，以及行政院國體安全辦公室的國家關鍵基礎設施防護演習參考手冊，以建立緊急應變指揮體系，並呈現出具體責任分工。</p> <p>在人員角色的執掌上，他們以總經理為指揮官，副總經理為副指揮官，下設3官、3組，包括安全官、聯絡官與新聞官，以及計畫參謀組、應變執行組、後勤支援組。</p> <p>特別的是，在聯防與通報的層面，集保本身也繪製架構圖，徹底展現盤點應有的構面。</p> <p>簡單來說，集保緊急應變指揮中心向上通報對象，從金管會到行政院國土安全辦公室，與集保同一層級的橫向連結，則可涵蓋軍警、消防、醫療、通訊、水電力、金融、周邊，以及地方政府單位。</p> <p>而在向下協處的支援單位，他們亦有統整。舉例來說，包括機房管理委員會、大樓管理處，還有就是各方協力廠商，不論資訊供應商、電信、網路、發電機、防火牆、伺服器、交換器、備援與資安資訊業者。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）集保公開營運韌性務實做法(1).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E9%9B%86%E4%BF%9D%E5%85%AC%E9%96%8B%E7%87%9F%E9%81%8B%E9%9F%8C%E6%80%A7%E5%8B%99%E5%AF%A6%E5%81%9A%E6%B3%95(1).jpg" style="width: 600px;" /></a></p> <p><strong>為了因應緊急災害事件，集保依據遭逢巨災時營運持續實際需求所設計的應變時指揮架構，並透過定期及不定期演練，使架構內化到組織文化，而在實際發生異常時，可視狀況不同，由指揮官指派所需的「官」或「組」。 </strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）集保公開營運韌性務實做法.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E9%9B%86%E4%BF%9D%E5%85%AC%E9%96%8B%E7%87%9F%E9%81%8B%E9%9F%8C%E6%80%A7%E5%8B%99%E5%AF%A6%E5%81%9A%E6%B3%95.jpg" style="width: 600px;" /></a></p> <p><strong>除了以多層架構強化自身的資安防護，集保強調聯防亦是強化數位韌性重要的一環，包括與F-ISAC、SF-CERT、資安專業機構做到情資分享，同時也要涵蓋到供應鏈的管理。</strong></p> <h2><strong>演習內容應放在重大異常，演習後才是精進的開始</strong></h2> <p>透過持續演習，對於營運韌性強化上，所要面對的挑戰與不足之處，能有更多體認。張秀珍強調，演習並非單純的事故異常排除，劇本應聚焦重大異常，而集保透過演習也有了更好的機會，認識到自身重視不足的面向，以及能夠去反覆練習。</p> <p>例如，要與外部支援能量維持良好互動，簽訂支援協定也讓雙方在區域聯防上有好的合作基礎；即便有了緊急應變指揮架構，同樣需要透過透過定期及不定期演練，使這樣的架構能內化到組織文化，並透過演練再演練的方式，才能形成反射動作。一旦真有狀況發生，此架構也具有彈性，可視狀況的不同，由指揮官指派所需的「官」或「組」，依照具體責任分工來應變。</p> <p> </p> <h2><span style="color:#0099ff;"><strong>集保業務走向多元，近年強調數位資安，持續投入營運韌性的強化</strong></span></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E9%9B%86%E4%BF%9D%E5%85%AC%E9%96%8B%E7%87%9F%E9%81%8B%E9%9F%8C%E6%80%A7%E5%8B%99%E5%AF%A6%E5%81%9A%E6%B3%95.jpg" style="width: 600px;" /></p> <p>臺灣集中保管結算所（簡稱集保）屬於金融領域的國家關鍵基礎設施提者，其業務範圍不僅涵蓋股票保管業務，以及期貨、債券交割，近年已從B2B跨入B2B2C模式，朝向多元業務發展，以金融科技而言，他們推出集保e手掌握App；在公司治理的部分，集保推出股東會視訊會議平臺，股東會電子投票平臺，以及公司投資人關係與ESG整合平臺。同時，也包括洗錢防制的面向，如今，更是聚焦在創新、永續與韌性發展。</p> <p>面對營運持續管理強化的議題，早年已經重視資訊安全的集保，至今仍持續精進。事實上，這幾年來，金管會多次在公開場合表示，鼓勵金融機構導入ISO 22301營運持續管理系統標準，在配合主管機關政策之下，集保在三年前2019年就已開始規畫導入，並於隔年12月通過認證。在2020年5月，集保也被指定為行政院國家關鍵基礎設施防護（CIP）演習的機構，持續藉由演練不斷精進。</p> </div></div></div>
2022/12/21 10:28作者羅正漢https://www.ithome.com.tw/news/154800
VS Code Java擴充套件12月更新加入Spring Boot即時記憶體檢視圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/java/java-on-visual-studio-code-update-december-2022/">VS Code Java擴充套件迎來12月更新</a>，這次的更新重點在於Spring Boot儀表板，加入新的即時記憶體檢視圖，這項功能由微軟和VMware共同合作開發。同時，微軟也改進擴充套件的建置錯誤提示，使用戶體驗更好。</p> <p>微軟在最新版本中，於Gradle for Java擴充套件中支援註解處理。註解處理是一個從Java 5就存在的Java編譯選項，允許程式在編譯階段，生成類別或是文件等其他檔案，而現在用戶也可以透過在相依項目中標記annotationProcessor，在編譯階段產生檔案。</p> <p>另外，微軟也更新整體建置錯誤訊息提示，以提升使用者體驗。之前在多個資料夾的工作區，只要有一個資料夾存在錯誤，當用戶嘗試執行其他資料夾，系統便會彈出建置錯誤視窗，目前這個問題已經被改善。微軟也在這個最新擴充套件版本更新Maven，當開發者的多模組專案中，存在一個相依項目錯誤，系統便會提示建置錯誤訊息，不過只要錯誤被修復，提示便會消失。</p> <p>即時記憶體檢視圖可以視覺化，Spring Boot應用程式運作中的記憶體和垃圾回收活動。記憶體檢視圖提供4種圖形即時視覺化，第一是堆（Heap）記憶體，提供不同堆區域的堆疊總覽，顯示JVM堆的總記憶體和使用的記憶體大小，第二是非堆記憶體，顯示JVM中不同非堆區域的堆疊，相對於總記憶體的使用狀況。第三是垃圾回收暫停，能夠顯示垃圾回收事件暫停的頻率和持續時間，而第四則是垃圾回收，顯示應用程式中的垃圾回收事件計數。</p> <p>記憶體檢視圖使用Spring Boot Actuator，從正在運作中的應用程式收集資料，而這與Spring Boot應用程式，收集其他正在執行的Spring Boot應用程式資料的方法相同，所以只要用戶的專案存在Spring Boot Actuator相依性，就可以使用即時記憶體檢視圖。</p> <p>與在VS Code中的Beans和請求映射檢視圖不同，記憶體檢視圖僅呈現特定執行中Spring Boot應用程式的記憶體資料，不會同時視覺化多個應用程式的資料，因此用戶可以直接在檢視圖中，選擇想要視覺化的應用程式。</p> <p>微軟在2022年的時候，就針對Spring Boot儀表板進行一系列改進，目的在於提升Spring開發人員在VS Code的工作效率，包括Beans和端點映射檢視圖，顯示更多Spring應用程式的即時資訊，讓開發人員更容易觀察Spring應用程式狀態。</p> <p>除了Spring Boot儀表板改進，2022年度更新也值得一提的是，VS Code Java擴充套件從7月開始內建Lombok專案，Lombok是一個熱門且被廣泛使用的Java函式庫，能夠最小化或是刪除樣板程式碼，而現在只要使用7月之後的版本，開發者就不需要安裝額外擴充套件，便能夠直接使用Lombok專案。</p> </div></div></div>
2022/12/20 22:11作者李建興https://www.ithome.com.tw/news/154798
【資安日報】2022年12月20日，FBI威脅情資交換平臺用戶個資驚傳流入暗網、4至5年前修補的思科產品漏洞出現攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今日的資安新聞裡，有不少與資料外洩相關，其中最引起注目的應該就屬美國聯邦調查局（FBI）的威脅情資交換平臺InfraGard遭駭的事故，此平臺提供美國企業與該單位公私合作的管道，但這起事故也讓研究人員發現，該平臺仍在使用不甚安全的簡訊驗證碼執行進階身分驗證，而使得駭客有機可乘，取得該平臺的會員帳號，以便進行後續的竊密行動。</p> <p>許多駭客會利用零時差漏洞來發動攻擊，但已修補多年的漏洞仍有可能成為被利用的對象。思科近期更新了近30則資安通告，原因是他們獲報這些漏洞出現被利用的情況，這些公告大多是2017年、2018年發出。</p> <p>Samba最近修補的漏洞也相當值得留意，若不安裝新版軟體，攻擊者就有可能利用相關漏洞來控制受害電腦。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.hackread.com/hacker-halt-sale-fbi-infragard-database/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">FBI威脅情資交換平臺InfraGard遭駭，8.7萬成員資料一度流入駭客論壇</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/infragard-hacked-database-sold-online.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/infragard-hacked-database-sold-online.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站HackRead的報導，<a href="https://www.hackread.com/fbi-infragard-hacked-data-sold/">美國聯邦調查局（FBI）提供的威脅情資交換平臺InfraGard驚傳資料外洩</a>，名為USDoD的人士於12月10日，在駭客論壇BreachedForums以5萬美元的價格，出售逾8.7萬InfraGard成員的個資，號稱包含了這些人士的姓名、電子郵件地址、社群網站的使用者ID，以及歷年的就業記錄。駭客疑似假冒金融組織的執行長申請InfraGard帳號成功，然後滲透此系統。<a href="https://krebsonsecurity.com/2022/12/fbis-vetted-info-sharing-network-infragard-hacked/">資安新聞網站Krebs On Security指出</a>，駭客通過簡訊取得驗證碼而很快取得InfraGard帳號，接著利用API下載該組織的會員資料。</p> <p>駭客於16日改口，表示為了避免惹上麻煩，他們不再出售上述資料，並會將電子郵件信箱的名單交給Have I Been Pwned網站。</p> <h3><a href="https://www.securityweek.com/cisco-warns-many-old-vulnerabilities-being-exploited-attacks"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">4至5年前修補的思科產品漏洞出現攻擊行動</span></strong></a></h3> <p>思科於12月15日至17日更新許多已修補漏洞的資安通告，原因是這些漏洞約於今年3月被用於攻擊行動，這些漏洞大多是在2017、2018年登記CVE編號並得到修補。</p> <p>這些漏洞存在於網路管理軟體IOS及IOS XE、無線基地臺、超融合系統平臺HyperFlex HX，以及安全存取控制伺服器（ACS）等。其中，有多個重大漏洞，例如IOS及IOS XE的CVE-2017-12240、CVE-2018-0171，RV132W及RV134W的CVE-2018-0125，HyperFlex HX的CVE-2021-1497，以及ACS的CVE-2018-0147。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/play-ransomware-claims-attack-on-german-hotel-chain-h-hotels/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">德國旅館連鎖集團H-Hotels遭Play勒索軟體攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/play-ransomware-h-hotels.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/play-ransomware-h-hotels.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer報導，Paly勒索軟體聲稱攻擊了德國旅館連鎖集團H-Hotels，並竊得客戶的護照、身分證等文件。<a href="https://www.h-hotels.com/de/presse/cyberangriff-auf-h-hotels-com">H-Hotels則是於12月12日證實他們在11日遭到網路攻擊</a>，他們察覺攻擊跡象後隨即關閉IT系統，並切斷與網際網路的連接，來防止災害擴大，而導致該公司員工無法使用電子郵件與客戶聯繫。H-Hotels否認出現資料外洩情事，鑑識人員也沒有發現相關跡象。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/social-blade-confirms-breach-after-hacker-posts-stolen-user-data/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">社群網站分析平臺Social Blade證實資料外洩</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/breached(5)-social-blade.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/breached(5)-social-blade.png" style="width: 300px; float: right;" /></a>有人在12月12日，於駭客論壇BreachedForums兜售從社群網站分析平臺Social Blade竊得的資料，賣家聲稱是在今年9月取得，內有560萬筆記錄，包括IP位置、電子郵件信箱、資料庫的結構。</p> <p>對此，該公司表示確有資料外洩情事，並開始通知客戶，並指出駭客竊得電子郵件信箱、密碼雜湊值、使用者ID、Token，但沒有信用卡資料。該公司指出，目前尚未出現Token遭到濫用的情事，此外，第三方Token也會在建立的一個小時後失效。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/restaurant-crm-platform-sevenrooms-confirms-breach-after-data-for-sale/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">餐廳顧客管理平臺SevenRooms證實資料外洩</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/breached-sevenrooms-post.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/breached-sevenrooms-post.jpg" style="width: 300px; float: right;" /></a>12月15日，有人於駭客論壇BreachedForums聲稱，他們從跨國餐廳顧客管理平臺SevenRooms竊得427 GB資料，內有SevenRooms客戶名單、API金鑰、付款資料，以及使用大型連鎖餐廳名稱命名的資料夾。資安新聞網站Bleeping Computer向SevenRooms確認後得到證實。</p> <p>SevenRooms表示，資料是從外部供應商流出，起因是該供應商的檔案傳輸管道遭到未經授權的存取。SevebRooms表示很可能會影響到經由他們平臺傳輸的檔案，包括了API金鑰交換，以及部分客戶的姓名、電子郵件信箱、電話號碼，但不含信用卡資料、銀行帳戶資料、社會安全碼。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/t-mobile-hacker-gets-10-years-for-25-million-phone-unlock-scheme/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">T-Mobile門市店長入侵電信集團內部系統破解手機牟利，遭判10年監禁</span></strong></a></h3> <p>前T-Mobile門市店長Argishti Khudaverdyan自2014年8月至2019年6月，入侵T-Mobile、Sprint、AT&T等電信業者的內部網路，意圖破解綁定特定電信業者的手機，並於黑市兜售牟利而遭到起訴。最近判決出爐，12月12日美國司法部表示，Argishti Khudaverdyan於今年8月坦承犯行，陪審團裁定14項罪名，他將面臨10年的監禁，並賠償電信業者2,847萬美元的損失。</p> <p>美國司法部指出，Argishti Khudaverdyan藉由網路釣魚攻擊，取得逾50名T-Mobile員工的帳密，入侵該公司內部網路取得解鎖工具，解鎖數十萬臺iOS與安卓裝置，不法所得超過2,500萬美元。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://securityaffairs.co/wordpress/139760/hacking/samba-multiple-flaws.html" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Samba修補高風險漏洞，若不更新恐導致電腦被駭客控制</span></strong></a></h3> <p>Samba開發團隊於12月15日發布安全性更新4.17.4、4.16.8、4.15.13，目的是修補CVE-2022-38023、CVE-2022-37966、CVE-2022-37967、CVE-2022-45141等多項漏洞，這些漏洞讓攻擊者有機會控制受害者的電腦。</p> <p>上述的漏洞CVSS風險層級皆為高風險等級，除CVE-2022-37967為7.2分，其他都達到了8.1分。其中，CVE-2022-38023、CVE-2022-37966、CVE-2022-37967與網路通訊協定Kerberos有關，2022-45141則是存在於Samba Active Directory網域控制器。</p> <h3><a href="https://siliconangle.com/2022/12/19/api-vulnerabilities-wordle-exposed-answers-opened-door-potential-hacking/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">熱門猜字遊戲網站Wordle存在API漏洞</span></strong></a></h3> <p>資安業者Noname Security揭露紐約時報買下的猜字遊戲網站Wordle漏洞，研究人員透過Chrome瀏覽器的開發人員工具，從該網站使用的JSON格式API裡找到每一天的答案，雖然這樣的情況看似沒有什麼危害，但該資安業者表示，攻擊者有機會透過相同的漏洞，進一步竄改網站API提供的內容。該公司已向紐約時報進行通報，並認為該新聞媒體可能需要調整此網站的設計來緩解漏洞。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://blog.cyble.com/2022/12/16/sophisticated-darktortilla-malware-spreading-via-phishing-sites/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">釣魚網站假冒思科及Grammarly的名義散布惡意軟體DarkTortilla</span></span></strong></a></p> <p><a href="https://cert.gov.ua/article/3349703"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">烏克蘭軍事情報系統Delta遭到竊密軟體攻擊</span></span></strong></a></p> <p><a href="https://blog.reversinglabs.com/blog/sentinelsneak-malicious-pypi-module-poses-as-security-sdk"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意PyPI套件假冒資安公司名義，竊取開發者電腦資料</span></span></strong></a></p> <p><a href="https://www.microsoft.com/en-us/security/blog/2022/12/19/gatekeepers-achilles-heel-unearthing-a-macos-vulnerability/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露macOS漏洞Achilles，能繞過應用程式檢測機制Gatekeeper</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154782"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為防範中間人攻擊，Let's Encrypt在ACME-CAA支援帳戶綁定和驗證方法綁定</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154780">【2022年12月19日】連網裝置成MCCrash殭屍網路病毒入侵的目標、駭客鎖定食品業者發動BEC攻擊</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154770">【2022年12月16日】向量圖檔SVG被駭客用於偷渡惡意軟體QBot、臉書貼文被用於網釣攻擊鏈</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154727">【2022年12月15日】 SAP修補4項CVSS風險等級近乎滿分重大漏洞、勒索軟體攻擊濫用微軟簽章的驅動程式</a></strong></strong></strong></p> </div></div></div>
2022/12/20 17:39作者周峻佑https://www.ithome.com.tw/news/154799
Meta繼續重壓Reality Labs部門，未來發展重點鎖定混合實境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>儘管Meta Reality Labs部門每季虧損持續擴大，全力投資元宇宙技術，使Meta的2022年過得比預期還要困難，甚至連股東都要Meta縮減元宇宙開發成本，但是在<a href="https://tech.facebook.com/reality-labs/2022/12/boz-look-back-2023-look-ahead/">Meta技術長，同時也是Reality Labs負責人的Andrew Bosworth，在最新的部落格貼文中透露</a>，Meta將堅持元宇宙發展，繼續大規模投資Reality Labs部門押寶混合實境。</p> <p>Meta於10月的時候，發布在臺灣要價1,649.99美元的高階混合實境裝置Quest Pro，官方提到，該裝置有兩項重要性，第一，混合實境裝置是實現全增強實境的關鍵，第二，其所採用的眼部和臉部追蹤技術，是增強實境裝置技術堆疊的重要部分。</p> <p>混合實境不只是在頭戴裝置中顯示周圍環境的即時影像，Andrew Bosworth細數發展混合實境所需要開發的新技術，包括裝置需要將四周理解為3D空間，辨識周圍表面和物體，以及與虛擬物件互動的方法，也要發展空間錨點（Spatial Anchors）等技術，使虛擬物體能夠占據物理世界的固定空間，還有用於虛擬重建物理空間的場景理解技術。而要讓使用者透過頭戴裝置，感受更真實舒服的物理世界，還需要發展立體色彩直通技術。</p> <p>Andrew Bosworth認為，隨著時間的發展，混合實境裝置成為筆電和桌機的替代品，能夠模擬家用電腦裝置，並且可放在背包中在任何地方使用。Meta在2023年，還將公開更多眼睛和臉部追蹤技術的應用，包括發展替身系統，讓人們在虛擬世界，能夠以更接近真實世界的臉部表情，改進溝通表達的品質。</p> <p>Andrew Bosworth表示，增強實境頭戴裝置還需要多年發展成熟，使裝置足夠輕巧，運算能力更強大，同時需要消耗更少的電量，並且產生更少的熱量，而當裝置足夠智慧，將能夠僅在用戶注視的小區域，繪製高解析度圖形，而這將會帶來重大的效率提升。目前Quest Pro已經搭載眼動追蹤技術，接下來幾年，相關技術將會持續發展並被擴大應用。</p> <p>在虛擬實境裝置的視覺呈現，Meta也花費了大量的研發資源，Andrew Bosworth談到，這些顯示技術超過目前電腦、電視和手機螢幕所用，除了顯示解析度之外，系統解析度、銳利度、對比和顏色範圍都扮演重要的部分，光學堆疊更是如此，從透鏡、塗層和鍍膜都是學問，他們相信這些投資在未來將相繼取得回報。</p> <p>Andrew Bosworth認為，虛擬實境發展正處在特殊的時刻，新的硬體和技術堆疊基礎在今年首次進入市場，開發者和創作社群，他相信2023年這些發展只會更好，同時也會有新裝置發表。Meta接下來還會繼續投資混合實境技術，就像是第三季財報所顯示的，總投資的80％會用於支援核心業務，而剩下的20％將會用在Reality Labs，並且有一半的Reality Labs營運經費，會用於增強實境計畫。</p> </div></div></div>
2022/12/20 16:43作者李建興https://www.ithome.com.tw/news/154797
微軟運用量子技術促進計算化學發展，加速化學反應模擬30倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟、蘇黎世聯邦理工學院和西北太平洋國家實驗室<a href="https://cloudblogs.microsoft.com/quantum/2022/12/12/accelerating-innovation-in-computational-chemistry/">研究人員共同合作</a>，發展新的AutoRXN自動化工作流程，加速量子化學和材料科學研發，該研究團隊最佳化模擬程式碼，將其搬上雲端結合量子運算，將模擬催化化學反應加速30倍，同時降低10倍成本。</p> <p>研究人員提到，預測化學合成和催化的過程，是化學領域的重要工作，也是目前急需解決的挑戰之一。化學反應發生在非常複雜的化學空間當中，只靠實驗室做實驗，幾乎無法確定化學反應的機制，而電腦模擬提供了一條替代途徑，能夠使科學家更了解反應機制。</p> <p>不過過去科學家在電腦模擬中，也只能考慮一些關鍵的反應途徑，畢竟反應建模需要一些直覺和手動試錯，要全面深入考慮反應，納入所有可能的面向，建模系統的準確模擬將變得棘手，而微軟Azure量子團隊便嘗試使用可擴展量子運算服務，以量子運算從原子層級解釋物質的性質和行為。</p> <p>而微軟新開發的AutoRXN自動化工作流程，將能夠將讓科學家在雲端中，使用高效能運算模擬並探索化學反應。藉由AutoRXN，科學家可以將探索的化學反應途徑，從一次數十個配置擴展到數千個，而AutoRXN調度的主要核心，來自蘇黎世聯邦理工學院的化學網路探索軟體Chemoton，微軟透過現代化該軟體，結合當今雲端技術，使其成為雲端原生服務，工作流程中所使用的元件，皆具備自動化、穩定，且極簡操作員的干預。</p> <p>這項合作成果已經被應用到學術研究中，研究氫化催化劑的機制，微軟提到，AutoRXN工作流程執行大量相對便宜的量子化學計算，並自動改進來自昂貴計算的結果，還能自動收集和評估資料。使得科學家能夠以過去無法達到的速度，調度高準確的計算化學運算，完成高通量任務。</p> <p>AutoRXN自動化工作流程開闢了一條建模和理解化學反應的新途徑，從中發現和研究許多副反應，使科學家能夠了解催化劑的真實效能。透過使用AutoRXN，科學家已經確定了500多個反應和2,000多個基本步驟，揭開鐵複合物催化不對稱氫化反應的全貌，而該研究已經遠遠超出當今傳統手動反應建模的範圍，捕捉到許多過去無法注意到的副反應和催化劑降解。</p> </div></div></div>
2022/12/20 15:22作者李建興https://www.ithome.com.tw/news/154796
HoloLens 2完全整合Teams
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.microsoft.com/innovation-stories/hololens-2-industrial-metaverse/" target="_blank">微軟周一宣布為HoloLens 2提供新升級</a>，使HoloLens 2可完全整合Microsoft Teams。微軟高層也暗示將有第三代HoloLens。</p> <p>HoloLens原本就可整合Teams，用戶可戴這個混合實境裝置和其他人進行視訊會議。最新升級後，HoloLens 2將可以使用Teams完整功能，包括直接撥打電話、瀏覽與加入Teams聯絡人資料通話、開啟文件或Power BI儀表板，或是檢視行事曆及加入群組會議等。用戶也可以看到其他人在會議中分享的內容。而即時共享螢幕則可以透過全息影像展示，可移動和調整大小。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1220-Dynamics%20365%20Guides-Teams%20users%20share%20their%20screens%20as%20holograms-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>微軟另外也宣布HoloLens可整合微軟二項應用，包括<a href="https://learn.microsoft.com/zh-tw/dynamics365/mixed-reality/guides/hololens-app-install-sign-in" target="_blank">Dynamics 365 Guides</a>及新的Dynamics 365 Remote Assist App，允許HoloLens 2用戶可接收遠端人員的技術指導，像是技術支援中心協助解決外場問題，或是遠端醫師指導救護車急救員、或是工廠作業員的工作訓練等。<a href="https://learn.microsoft.com/zh-tw/dynamics365/mixed-reality/remote-assist/teams-pc-all" target="_blank">根據微軟的說明</a>，若Remote Assist App互動的對方也使用HoloLens，則HoloLens 2版用戶可以做各種事，包括加入會議、一對一或群組通話、從OneDrive或裝置上共用檔案、分享螢幕及通話錄製等。</p> <p class="rtecenter"><img alt="" src="https://dynamics365cdn.azureedge.net/cvt-cf47cd44c2d798e68a24230e5dd194c0ba3e94582c8809375cff1b8bf6ecc0ea/pictures/pages/mixed-reality/guides/top_feature_image1.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p><a href="https://www.ithome.com.tw/news/151356" target="_blank">這是微軟HoloLens今年6月改組的結果</a>。這次改組把HoloLens的硬體併入Windows，而混合實境臨場與協同部門則整合進Teams部門。</p> <p>HoloLens自第二代後已定位為企業應用硬體，用於製造業、教育、醫療、製藥、建築業等。微軟HoloLens 2公布的用戶包括在日本汽車大廠豐田（Toyota）全公司，如實驗室、現場工作人員及IT部門，以及美國陸軍運用HoloLens改裝的頭盔用於夜間作戰或訓練。</p> <p>微軟MR部門副總裁Scott Evans並暗示會有HoloLens 3，持續推進所有核心技術，包括顯示器、追蹤、感測器、電池續航力等。他說微軟正在尋找最適當的設計點，以推出有意義的更新版。</p> </div></div></div>
2022/12/20 11:49作者林妍溱https://www.ithome.com.tw/news/154794
用戶投票贊成馬斯克辭去推特CEO一職
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近6成推特用戶贊成馬斯克（Elon Musk）辭去推特公司老闆一職。</p> <p><a href="https://twitter.com/elonmusk/status/1604617643973124097" target="_blank">馬斯克周一（12/19）早上透過自有帳號請推特用戶表決</a>，他是否該辭去推特最高主管，馬斯克說他將遵從表決結果。結果顯示，在投票的1,750萬人當中，57.5%的人說Yes，42.5%說No。</p> <p>這位科技首富自10月底接掌推特後，種種率性決策包括改革現有Twitter Blue、大舉裁員、封鎖追蹤其私人飛機的帳號，而後又將批評者的帳號封鎖等，造成公司內部大亂，並讓廣告主質疑推特將成言論無政府狀態而暫停合作。</p> <p>上周推特終於恢復推出Twitter Blue，並將iOS版價格由8美元上調為11美元。<a href="https://www.theverge.com/2022/12/17/23513620/elon-musk-suspended-journalists-twitter-reinstated-elonjet" target="_blank">此外也恢復</a>批評其限制言論自由的《紐約時報》、CNN、NBC及The Intercept記者帳號。<a href="https://twitter.com/elonmusk/status/1604616863673208832" target="_blank">馬斯克昨日也為兩個月來任意的政策變動道歉</a>，表示未來主要政策變更都會經過用戶表決。</p> <p>馬斯克即使真的辭去公司執行長一職，仍將是推特的持有人。</p> </div></div></div>
2022/12/20 09:43作者林妍溱https://www.ithome.com.tw/news/154784
Google開放大型企業及教育用戶測試Gmail用戶端加密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://workspaceupdates.googleblog.com/2022/12/client-side-encryption-for-gmail-beta.html" target="_blank">Google宣布</a>，擴大測試Web版Gmail用戶端（client-side encryption，CSE）加密，將開放企業及教育版授權用戶試用一個月期間，不過個人版並沒這項福利。</p> <p>Workspace Enterprise Plus、Education Plus、Education Standard客戶<a href="https://support.google.com/a?p=cse_gmail" target="_blank">可在2023年1月20日前申請測試這項功能</a>。Gmail使用用戶端加密可確保郵件主體和附件無法從Google伺服器解讀，用戶可保管加密金鑰，以及存取這些金鑰的身分服務。</p> <p>Google表示，Workspace已經使用最新的加密標準加密所有靜止，以及在Google設施之間傳輸的資料，用戶端加密則能強化用戶資料機密性，解決各種資料主權和法規遵循的需求。</p> <p>在Web版Gmail之外，用戶端加密可用於Web、桌機及行動版Google Drive、Google Docs、Sheets、Slides、Web版Google Meet和Google行事曆（beta版）。Google預告，行動版Meet及會議室硬體之後也會加入用戶端加密，而Google行事曆下個正式版本也將支援。</p> <p>在管理員端，這項功能為預設關閉，用戶可在管理員控制臺開啟（控制臺>安全>存取與資料控制）啟動。他可選擇從網域、組織單位（OU）、或群組層開啟，最後再申請beta版測試。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEg7Pm2RnLsG6qrZ227WXq3UhJPHv7aGEVwx0j0e1OSvmhuNGxxvpnwzwk_uC71ZA70TyXKiDtfZWuJzNU5KgHcd-KV-ik7nwYzF9jJ2-01gkJBRIwosAPyk8d6W4I19y6g-TL0gSWo9_gL0b44b-SYU4q2Y3MDtyXS2yh6kcGNjACIDS2px9PmKWfJz/s16000/1.gif" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>用戶端方面，使用者可點入Gmail收信者欄位右方的鎖頭圖示，選擇額外加密來加入用戶端加密功能，之後即可照常撰寫訊息及加入附件。</p> <p>這項功能僅提供大型企業和部分教育授權單位使用，不提供Google Workspace Essentials、Business Starter、Business Standard、Business Plus、Enterprise Essentials、Education Fundamentals、Frontline、非營利機構或舊版G Suite Basic和Business用戶，以及個人版Google帳號使用。</p> </div></div></div>
2022/12/20 09:52作者林妍溱https://www.ithome.com.tw/news/154785
Let's Encrypt在ACME-CAA支援帳戶綁定和驗證方法綁定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://community.letsencrypt.org/t/enabling-acme-caa-account-and-method-binding/189588/1">Let's Encrypt宣布</a>在產品環境啟用ACME-CAA（Certification Authority Authorization）帳戶綁定和驗證方法綁定，這是由IETF RFC 8657標準規範的功能，該規範在2019年發布，Let's Encrypt現在正式於產品環境支援。</p> <p>CAA功能允許ACME客戶端使用指定的DNS紀錄，以限制網域能夠接受的憑證頒發機構，而新加入的帳戶綁定和驗證方法綁定，則是對CAA的擴充。帳戶綁定使Let's Encrypt訂戶能夠限制頒發憑證所使用的ACME帳戶，而驗證方法綁定則是讓用戶能夠限制網域控制驗證方法集。</p> <p>RFC 8657規範作者Hugo Landau，在<a href="https://www.devever.net/~hl/acme-caa-live">部落格</a>講解了Let's Encrypt ACME-CAA的細節以及重要性，還有帳戶綁定和驗證方法綁定的使用。</p> <p>SSL憑證當初的設計，就是為了消除瀏覽器和網站之間的中間人攻擊，所以憑證頒發機構在請求網站的SSL憑證時，憑證頒發機構就必須進一步採取措施，來驗證網站是該網域的合法擁有者。憑證頒發機構基本上採取根據驗證的等級收費的模型，而最便宜的便是網域驗證（Domain Validation，DV）憑證，該服務在Let's Encrypt則是免費提供。</p> <p>而網域驗證的運作方式，會由憑證頒發機構要求用戶在其網域中，託管隨機盤問（Challenge）字串，當網域能夠成功託管該盤問字串，則代表用戶已經控制該網域，將被視為該網域的合法營運者。不過，因為用戶是為了要拿到憑證才進行網域驗證，因此在進行網域驗證時，尚未拿到憑證，也就是說這個過程容易遭到中間人攻擊。</p> <p>而憑證透明度（Certificate Transparency，CT）日誌，是過去用來減輕網域驗證中間人攻擊的方法，CT日誌是一個加密安全，可受公開稽核的分類帳，憑證頒發機構所頒發的憑證都會記錄在這個憑證透明度日誌中，所以當憑證頒發機構錯誤頒發憑證，則任何人都可以看到，也使得瀏覽器和憑證頒發機構產業能夠進一步採取防範措施，Hugo Landau表示，這種機制限制了中間人攻擊的發生，實際上中間人攻擊很少見，由此也證明了這種機制的效果。</p> <p>但不可否認的是，憑證頒發機構的網域驗證過程，仍然容易遭受中間人攻擊，Hugo Landau說明，當攻擊者在憑證頒發機構驗證路徑上，憑證頒發機構的網域驗證模型就可能遭到破壞，攻擊者能夠簡單地獲得用戶網站憑證，鎖定高價值資料中心發動攻擊。</p> <p>而ACME-CAA則在這種狀況下便可發揮作用，其提供憑證頒發機構重要的功能強化，填補網域驗證漏洞，避免中間人攻擊。CAA是一個簡單的概念，其實就是網域根目錄中的DNS紀錄，說明哪些憑證頒發機構可以為該網域頒發明證。</p> <p>Hugo Landau進一步解釋，大多數網域只會從一個頒發憑證機構獲取憑證，但是攻擊者卻會去尋找全球最弱或是最容易操縱的憑證頒發機構，因此只要透過限制能夠頒發憑證的頒發憑證機構，就能夠消除域名驗證漏洞。</p> <p>Let's Encrypt在ACME-CAA更新的兩項功能，可讓用戶在其CAA紀錄accounturi參數中，指定帳戶唯一URL，將憑證頒發綁定至特定ACME帳戶，另外，用戶也能夠在CAA紀錄中，加入validationmethods參數，進而限制網域控制驗證方法集。</p> <p>Let's Encrypt提到，他們已經支援CAA多年，而這也是所有的憑證頒發機構的最低要求，帳戶綁定和驗證方法綁定則已經測試超過一年，現在正式更新到產品環境中，他們預計應該不會出現任何故障，如果用戶遭遇到問題，可以先仔細檢查CAA紀錄。</p> </div></div></div>
2022/12/19 23:31作者李建興https://www.ithome.com.tw/news/154782
英特爾釋出2023版oneAPI多處理器軟體開發工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2022年末，英特爾（Intel）針對不同的處理器架構，釋出<a href="https://www.intc.com/news-events/press-releases/detail/1594/new-intel-oneapi-2023-tools-maximize-value-of-upcoming">2023版本的oneAPI開發工具</a>，新版oneAPI支援第四代Intel Xeon Scalable處理器、Xeon CPU Max系列處理器和Data Center GPU等產品，官方提到，新oneAPI不只獲得效能和生產力提升，也增加對新Codeplay套件的支援，開發人員可以更簡單地針對非英特爾GPU架構編寫SYCL程式。</p> <p>官方提到，因為有48％的開發者需要針對不同處理器的異構系統開發應用程式，因此需要更高效的多基礎架構程式開發，來滿足工作負載範圍和規模不斷擴大的需求。oneAPI提供開放且一致的程式開發模型，讓開發者針對各種CPU和加速器，擁有效能、生產力和程式碼可移植性的自由選擇靈活性。</p> <p>oneAPI內含完整的英特爾2023開發人員工具，包括整套最新的編譯器、函式庫，還有分析和移植工具，也有最佳化人工智慧和機器學習的框架，可建構運作於CPU、GPU和FPGA多架構系統上的高效能應用程式。因為oneAPI提供標準工具，開發者能夠建構單一程式碼庫，快速實作應用程式並達成效能目標，進而更專注於程式邏輯開發。</p> <p>新的oneAPI可讓開發者使用英特爾硬體進階功能，除了Xeon Scalable處理器、Xeon CPU Max的AMX、QAT、AVX-512和bfloat16等功能，也提供英特爾Data Center GPU資料型別彈性、向量引擎與矩陣擴充等功能。</p> <p>oneAPI DPC++/C++編譯器增加了適用於Nvidia和AMD GPU的Codeplay軟體新套件，簡化編寫SYCL程式碼任務，並且使這些程式碼更簡單地在不同的處理器架構之間移植，官方表示，這對跨平臺開發提供了一個整合工具的統一建置環境。英特爾和Codeplay會從適用於Nvidia GPU的oneAPI套件提供商業優先支援。</p> <p>而且由於開源專案SYCLomatic DPC++相容性工具，添加了100多個 CUDA API，因此開發者現在也更容易將CUDA程式碼移植到SYCL。</p> </div></div></div>
2022/12/19 23:38作者李建興https://www.ithome.com.tw/news/154783
高效能全端網頁應用程式框架SvelteKit達1.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歷經兩年的開發，全端網頁應用程式框架<a href="https://svelte.dev/blog/announcing-sveltekit-1.0">SvelteKit終於達到1.0版本</a>，這代表開發者已經可以將SvelteKit用於開發產品應用程式。SvelteKit提供有別於傳統框架的開發靈活性，並且可以被部署到包括無伺服器服務等任何JavaScript環境。</p> <p>SvelteKit建構在<a href="https://svelte.dev/">Svelte</a>之上，而Svelte是一個近年新興的熱門UI元件框架，能夠將來源編譯成為最小，且具高度最佳化的JavaScript，提供開發者一種有別於傳統的方式，來建構網頁應用程式，與React和Vue等這類框架不一樣的是，React和Vue框架會在使用者的瀏覽器，執行需要處理的工作，而Svelte則是將這些工作帶到編譯階段處理，如此便能夠在建置應用程式的時候，生成經高度最佳化的JavaScript應用程式。</p> <p>使用Svelte元件框架，雖然讓開發者能夠更簡單地直接建構用戶介面，但是需要解決的問題也更多，包括開發者要學習建構原始碼、添加伺服器渲染，甚至是處理資料的方法等，而應用程式框架SvelteKit的目的，便是要解決這些問題，滿足Svelte開發者建置生產應用程式的需求。</p> <p>SvelteKit與傳統多頁面應用程式架構不同，在初始伺服器渲染頁面載入後，預設替客戶端導覽，而這將可以實現更快的頁面轉換，以及在頁面間保存狀態，並且使用更少的資料，而且也避免在每次頁面載入時，重新執行第三方腳本。</p> <p>傳統的伺服器框架便需要一個程式生成HTML，另一個在客戶端運作，在SvelteKit中，開發者可以只使用一種語言進行開發，而不是使用兩個語言，開發緊密結合的應用程式，。SvelteKit能夠在任何JavaScript環境運作，因此開發者可以將應用程式部署到傳統的節點伺服器，或是使用無伺服器服務，在邊緣執行。</p> <p>SvelteKit也與靜態網站生成器不同，用戶可以使用個人化或是動態資料建置應用程式，不用等到頁面載入後，才透過瀏覽器獲取資料，因此不會影響效能，或是使布局產生變化。</p> <p>SvelteKit也使得開發者能夠更零活地建構應用程式，官方提到，許多框架都預設一種正確建構應用程式的方法，而無論是靜態或是伺服器端渲染的選擇，在SvelteKit都沒有絕對，用戶可以根據需要，綜合選擇要使用的方法，像是在用戶查看的頁面使用預渲染的方式呈現，而REPL則是以動態資料渲染。</p> <p>SvelteKit使用高效能建構工具Vite，支援熱模組重新載入和各種TypeScript相依項目，開發者可以從Vite和Rollup生態系中安裝套件。在開發者創建SvelteKit專案時，就能夠選擇將TypeScript、ESLint、Prettier、Playwright和Vitest等工具添加到專案中，還能夠使用NPM套件。</p> <p>要使用SvelteKit CLI，開發者需要在本地安裝Node.js，但框架本身不相依於任何平臺，應用程式可以被安裝至任何執行JavaScript的環境。</p> </div></div></div>
2022/12/19 21:41作者李建興https://www.ithome.com.tw/news/154781
【資安日報】2022年12月19日，連網裝置成MCCrash殭屍網路病毒入侵的目標、駭客鎖定食品業者發動BEC攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>殭屍網路病毒用來散播的管道出現變化！研究人員揭露殭屍網路病毒MCCrash近期的攻擊行動，比較特別的是，駭客先是針對Windows電腦而來，一旦成功入侵之後便會掃描網路上的Linux物聯網裝置，進行橫向感染。</p> <p>商業郵件詐騙（BEC）也出現新的攻擊手法！美國FBI、FDA聯手提出警告，駭客看上近期食品不斷漲價的現象，先假冒知名食品業者的高階主管向下游廠商訂貨，然後再把這些食品拿去轉賣。</p> <p>有研究人員發現Akamai的應用程式防火牆（WAF）能被繞過，其原理是針對其中含有漏洞的Spring Boot元件發動攻擊。對此Akamai表示已經修補，管理者應儘量使用最新版本。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.microsoft.com/en-us/security/blog/2022/12/15/mccrash-cross-platform-ddos-botnet-targets-private-minecraft-servers/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">殭屍網路軟體MCCrash以不同方式滲透與綁架Windows、Linux電腦與物聯網設備，隨後將這些裝置用於DDoS攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fig-4-the-ddos-botnet-attack-flow-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig-4-the-ddos-botnet-attack-flow-1.png" style="width: 300px; float: right;" /></a>微軟揭露名為MCCrash的殭屍網路病毒，駭客組織Dev-1028鎖定Windows電腦、Linux電腦，以及物聯網設備散布該惡意程式，他們先針對Windows電腦發動攻擊，成功入侵之後，此殭屍網路病毒還會透過SSH連線與暴力破解的方式，在網路上進行擴散。研究人員看到大部分感染MCCrash的電腦位於俄羅斯，但墨西哥、義大利、印度、哈蕯克、新加坡也有災情。</p> <p>而對於這款殭屍網路病毒的入侵手段，研究人員指出，駭客以Windows及Office的破解工具為誘餌，使用者一旦執行，就會在執行PowerShell命令下載惡意版本svchost.exe，但駭客並非只有針對Windows電腦，而是藉由上述惡意檔案執行malicious.py，在網路上掃描開放SSH連線的Linux主機與物聯網裝置，來進行橫向感染。</p> <p>根據對殭屍網路病毒進行分析，MCCrash主要攻擊目標，是對Minecraft私人伺服器發動DDoS攻擊，但與許多殭屍網路病毒不同的是，駭客還能透過特定的使用者名稱進行存取，使得目標伺服器耗盡資源而癱瘓。</p> <h3><a href="https://www.ic3.gov/Media/News/2022/221216.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國食品業者成為駭客發動BEC攻擊的目標</span></strong></a></h3> <p>12月15日美國聯邦調查局（FBI）、食品藥物管理局（FDA）聯手提出警告，當地食品業者成為商業郵件詐騙（BEC）駭客的新目標，已有多家廠商損失數十萬美元。但有別於一般BEC的目標是金錢，這波攻擊駭客針對食品而來──他們藉由捏造幾可亂真的網域，來冒充合法公司向食品業者訂購食物，然後再將其轉售。</p> <p>FBI與FDA接獲的攻擊事件通報最早發生在今年2月，後續在8月的一起事故中，駭客佯稱跨國零食及飲料公司的財務長（但電子郵件信箱的網域多了1個字母），向經銷商打購2臺卡車的奶粉，等到業者察覺上當，為時已晚，經銷商已為此向上游廠商支付16萬美元。</p> <p>對此，資安業者Vulcan Cyber的研究人員表示，這種攻擊手法較一般BEC複雜，有機會逃過資安系統偵測。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/colombian-energy-supplier-epm-hit-by-blackcat-ransomware-attack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">哥倫比亞能源供應商EPM遭到勒索軟體BlackCat攻擊</span></strong></a></h3> <p>12月13日，位於南美洲國家哥倫比亞的能源供應商EPM，突然傳出要求員工全數在家上班的消息，原因是他們的IT基礎設施故障，公司網站也無法存取。該公司向當地媒體透露，他們遭遇網路攻擊事件，正在尋求供客戶付款的替代方案。當地檢查官展開調查，並指出EPM是遭到勒索軟體攻擊，駭客竊得高達15 TB的資料。該公司傳出打算拿出50億美元來因應此起事故。</p> <p>資安新聞網站Bleeping Computer指出，勒索軟體駭客組織BlackCat宣稱是他們所為，該新聞網站亦看到用於攻擊EPM的勒索軟體檔案與勒索訊息。資安人員Germán Fernández發現，駭客利用竊密程式ExMatter從該公司竊得逾40臺電腦資料。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://h1pmnh.github.io/post/writeup_spring_el_waf_bypass/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">執行Spring Boot的Akamai應用程式防火牆恐被繞過，遠端執行任意程式碼</span></strong></a></h3> <p>漏洞懸賞獵人Peter H揭露Akamai應用程式防火牆（WAF）的漏洞，一旦遭到利用，駭客可藉由Spring表達式語言（Spring Expression Language，SpEL）注入攻擊，針對存在漏洞的Spring Boot元件下手，進而有機會繞過WAF的防護。對此，Akamai表示他們已於今年7月25日發布相關修補程式，執行最新版本的WAF將不受影響。</p> <h3><a href="https://salt.security/blog/missing-bricks-finding-security-holes-in-lego-apis" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">二手樂高市集網站API存在漏洞，恐讓駭客挾持帳號</span></strong></a></h3> <p>API資安業者Salt Security揭露樂高旗下二手市集bricklink.com的API漏洞，一旦遭到利用，攻擊者就有可能取得用戶帳號的完整控制權，並能洩漏個資等敏感資料，同時，駭客甚至可以存取內部資料，進而入侵該公司的內部伺服器。其中一個漏洞位於使用者輸入欄位——在搜尋優惠券的部分對話框，存在跨網站指令碼（XSS）漏洞，而使得攻擊者有機會於使用者的電腦注入程式碼；第二個漏洞存在於許願清單，攻擊者可用於XML外部實體攻擊（XEE）伺服器端偽造請求（SSRF）攻擊。樂高獲報後已修補上述漏洞，但尚未公開說明細節。</p> <h3> </h3> <h3><strong>【資安產業動態】</strong></h3> <h3><a href="https://www.ithome.com.tw/news/154769" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國聯邦政府將於2031年停用SHA-1演算法</span></strong></a></h3> <p>美國國家標準暨技術研究院（NIST）於12月15日表示，隨著電腦運算能力變得強大．自1993年美國聯邦政府廣泛採用的SHA-1演算法安全性已不敷使用，攻擊者可對其進行碰撞攻擊（Collision Attack）破解，美國政府將於2030年12月31日前逐步淘汰此演算法，並改用較為安全的SHA-2和SHA-3。NIST預計將頒布FIPS 180-5來修正相關規範，</p> <h3><a href="https://www.ithome.com.tw/news/154767" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">GitHub為公開儲存庫提供秘密掃描功能</span></strong></a></h3> <p>GitHub於12月15日宣布，為防範開發人員不慎經由程式碼洩露各式應用系統的帳密資料，他們原先與服務供應商合作，針對超過200種Token格式進行調查，結果發現有逾170萬個曝露的帳號密碼，現在這套檢測工具將對全部用戶開放，預計2023年1月底所有的使用者都可以操作相關功能。</p> <p>此外，該公司也一併推出進階安全工具，要求更多使用者須啟用雙因素驗證（2FA）身分驗證機制，提醒使用者若置之不理，將有可能無法存取GitHub帳號。</p> <h3><a href="https://about.fb.com/news/2022/12/metas-bug-bounty-program-2022/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臉書祭出30萬美元RCE漏洞抓漏獎金</span></strong></a></h3> <p>Meta旗下臉書部門於12月15日宣布更新漏洞獎勵計畫指引，現在該公司將重點放在行動裝置的遠端任意程式碼執行（mobile RCE）、帳號接管（ATO）、雙因素驗證（2FA）繞過，以及VR產品的漏洞，其中，行動裝置的RCE漏洞獎金最高達到30萬美元，ATO也有約13萬美元。臉書表示，這份指引是說明他們審核獎勵的條件與金額上限，該公司所有的漏洞通報都是以個案的方式進行審核，實際上，通報者有機會獲得超過原定上限的獎金。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.welivesecurity.com/2022/12/14/unmasking-mirrorface-operation-liberalface-targeting-japanese-political-entities/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">日本政治團體遭到駭客MirrorFace鎖定，在眾議院選舉前進行網釣攻擊</span></span></strong></a></p> <p><a href="https://www.vicone.com/en/reports/2022-automotive-cybersecurity-report"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">電動車資安日益嚴重，供應鏈成駭客首要的攻擊目標</span></span></strong></a></p> <p><a href="https://www.microsoft.com/en-us/security/business/security-insider/cyber-signals-1/the-convergence-of-it-and-ot/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">75%常見的工業控制器尚未修補已知的高風險漏洞</span></span></strong></a></p> <p><a href="https://www.nozominetworks.com/blog/tracking-malicious-glupteba-activity-through-the-blockchain/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體Glupteba濫用區塊鏈發動攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/google-introduces-end-to-end-encryption-for-gmail-on-the-web/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google為網頁版Gmail提供端對端加密功能</span></span></strong></a></p> <p><a href="https://www.cna.com.tw/news/afe/202212160289.aspx"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為強化公部門資安，數發部長唐鳳預告A級機關將於1年內導入零信任機制</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154770">【2022年12月16日】向量圖檔SVG被駭客用於偷渡惡意軟體QBot、臉書貼文被用於網釣攻擊鏈</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154727">【2022年12月15日】 SAP修補4項CVSS風險等級近乎滿分重大漏洞、勒索軟體攻擊濫用微軟簽章的驅動程式</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154710">【2022年12月14日】 Citrix ADC的零時差漏洞已被用於攻擊行動、WordPress網站遭到殭屍網路GoTrim鎖定</a></strong></strong></strong></p> </div></div></div>
2022/12/19 15:47作者周峻佑https://www.ithome.com.tw/news/154780
如何吸引更多年輕世代參與公民科技，零時道要用Web 3 DAO模式完善零時政府獎勵機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「年輕一代似乎未能像過去那樣，對發起及參與g0v公民行動感到共鳴。」這是公民科技社群零時政府（g0v）的旗下專案零時道（da0）召集人葉向林的觀察。他認為，這個困境起因是公民科技專案難以吸引足夠人才及資源，來持續推動專案開發、維運、甚至擴張。</p> <p>da0的名字來自DAO（Decentralized Autonomous Organization, 去中心化自治組織），一種Web 3崛起後出現的組織形式，強調去中心化，用公約作為管理機制。公約的詳細規則和交易記錄通常儲存在不可竄改的公開區塊鏈上。由於沒有中央權力，只要認同組織目標就能自主加入組織，並參與組織共同決策及工作項目。</p> <p>成立長達10年的g0v，早在DAO成為熱門名詞前，就已經在用去中心化的模式運作：有想要開發的專案，就到g0v社群中提案、尋找協作夥伴，成為自己專案的負責人，不用向任何上級匯報。</p> <p>g0v與常見DAO的決定性差異是，g0v沒有獎勵機制，作為參與這些專案的誘因。為了鼓勵成員積極貢獻，DAO通常會發布某種Web 3代幣作為獎勵。這些獎勵代幣會代表組織成員的投票權力和組織內聲望，甚至具實際經濟價值。</p> <p>葉向林觀察，由於缺乏參與誘因，許多g0v專案的負責人找不到貢獻者來推動專案前進，也很難尋得資源來維持或擴大專案運行。這也是da0專案創立的動機：用Web 3工具及DAO的治理機制為藍本，來設計g0v獎勵機制，鼓勵更多人能積極且持續參與公民行動，甚至用這些獎勵作為向外界爭取資源的依據。</p> <p><strong>依事後影響力分配獎勵，提供誘因同時鼓勵良性競爭</strong></p> <p>「公共項目很難與私人企業比拼薪水，但是聲譽與信任，也可以是激勵人的動力。」以此概念出發，葉向林提出2種相輔相成的Web 3代幣作為獎勵品：靈魂綁定代幣（SBT，Soul Bond Tokens）及影響力證明（Hypercert）。</p> <p>靈魂綁定代幣是一種虛擬資產，一旦收到便無法交易到其他地址，這意味著一個人持有的SBT一定都是靠自己獲得的。這些SBT的數量和種類，可以作為貢獻度和地位的象徵。da0未來也將賦予這些SBT更多具體功能，例如作為空投其它獎勵的依據、對外發言權依據、對內投票權比重、資源分配加權，以及活動或商品的取得資格等。</p> <p>影響力證明則是一種可轉移、可買賣的代幣，旨在對外證明專案或貢獻者所發揮的實際影響力，以爭取外部資源挹注。若Hypercert能作為社會貢獻度的證明，發展成類似於碳權或捐款抵稅的功能，讓外界投資者來購買，未來貢獻者就能藉由販賣Hypercert，來獲取實際經濟利益。</p> <p>葉向林舉例說明這種商業模式的可能性。曾有個公益組織在俄烏戰爭爆發時，由於情況緊急，來不及募資就先發放了救助品。有趣的是，後來該組織還是獲得了大量「回溯型」（Retroactive）捐款。他認為，捐款者買單的是已發生、已證實的影響力。Hypercert就是預期這種市場出現，而發行的一種代幣。</p> <p>機制上，da0也擁抱這種回溯型獎勵的精神，依照專案實際影響力來決定獎勵量。初期想法是，da0根據每一梯次參與的專案數量來決定總發行代幣後，由每個專案負責人互評專案實際影響力，來決定各自專案能分配到的代幣比例。發放給代幣各專案後，貢獻者再依照各自專案的內部分配機制來領取獎勵。</p> <p>葉向林解釋，依照事後影響力互評來分配專案獎勵，能鼓勵各專案間的良性競爭，進而提升所有專案的總社會影響力。對貢獻者來說，他們會選擇有可能產生高影響力，且自己最能做出貢獻的專案參加，來分配到更多獎勵；對專案負責人來說，則必須設計出高影響力的提案與合理的獎勵分配機制，並有效管理、執行專案，來吸引更有能力、更適合的貢獻者。理想中，這樣的獎勵機制能形成正向循環，不僅有望吸引更多人才和資源注入g0v公民科技專案，也能提升g0v整體社會貢獻。不過，他也強調，只有獎勵本身吸引人，這套機制才能有效運作，而目前da0仍在持續探索最佳獎勵機制及誘因。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1671415664247.jpg" style="width: 361px;" /></p> <blockquote><p>da0獎勵機制的初期構想。召集人葉向林表示，希望此機制形成一個正向循環，最終讓所有參與獎勵機制的專案都能對社會發揮更多影響。圖片來源-da0<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </span></p> </blockquote> </div></div></div>
2022/12/19 10:12作者郭又華https://www.ithome.com.tw/news/154775
GitHub釋出免費憑證掃瞄工具、新增5類用戶強制啟用2FA
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.blog/2022-12-15-leaked-a-secret-check-your-github-alerts-for-free/" target="_blank">GitHub上周宣布提供免費掃瞄工具</a>，可幫助開發人員避免經由程式碼洩露登入憑證。此外GitHub再新增5類用戶，要求在2023年3月底前強制啟用雙因素驗證（2FA）。</p> <p>GitHub之前經由登入憑證掃瞄合作方案，和服務供應商合作，辨識所有公開儲存庫內洩露的密碼或憑證，以保護雙方共同客戶。今年他們掃瞄了公開儲存的200多個令牌（token）格式，最後通知合作的供應商，有170多萬個可能從公開儲存庫洩露的密碼或憑證。現在GitHub將這套工具開放所有免費公開的儲存庫使用。</p> <p>這工具會在掃瞄到程式碼有密碼、金鑰或憑證時，直接通知儲存庫持有者。GitHub表示，他們原先通知服務合作夥伴的工作仍然會持續，但直接通知儲存庫管理員可使其得知安全性的全貌。而且，即使GitHub無法通知合作夥伴的情況，像是儲存庫自行管理的HashCorp Vault內的金鑰外洩，管理員就能獲得通知。管理員可以點入通知檢視外洩的來源，以及稽核採取的行為正確與否。</p> <p>GitHub會陸續將這工具開放給所有公開儲存庫，預計在2023年1月底以前讓所有用戶可享受這項功能。</p> <p>一旦儲存庫得以使用掃瞄通知功能後，可在設定區的「程式碼安全及分析」設定區啟用。當中的「安全」頁、「漏洞警告」下的側邊選單中選擇「憑證掃瞄」可看到偵測的密碼或憑證，用戶可點選通知檢視哪些密碼或憑證外洩了、位置何在，以及建議的修復措施。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1219-GitHub-secret%20scanning-600-1.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color: rgb(105, 105, 105);">圖片來源／GitHub</span></span></p> <p><a href="https://github.blog/2022-12-15-github-advanced-security-customers-can-now-push-protect-their-custom-patterns/" target="_blank">GitHub上周也公布進階安全工具</a>，已經定義了自訂憑證樣態的儲存庫用戶可以啟動推送保護（push protection）。這功能允許用戶以儲存庫、組織或企業層級定義樣態（pattern）。啟用推送保護後，一旦有貢獻者試圖將符合樣態的憑證推送到程式碼內，就會遭到GitHub的阻擋。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1219-GitHub-push%20protection-600-1.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://docs.github.com/assets/cb-36624/images/help/repository/secret-scanning-push-protection-web-ui-commit-blocked-banner-with-link.png" style="text-align: center; width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／GitHub</span></p> <p>GitHub表示，進階安全功能4月間釋出第一版時，其推送防護已經阻擋了100種憑證共8,000多項憑證免於外洩。</p> <p>GitHub也號召服務供應商加入其掃瞄合作夥伴方案，目前其方案已有100多家供應商。</p> <p><span style="font-size:28px;"><strong>5類用戶被強制要求啟用2FA</strong></span></p> <p>此外，<a href="https://www.ithome.com.tw/news/150767" target="_blank">繼今年5月的預告後</a>，<a href="https://github.blog/2022-12-14-raising-the-bar-for-software-security-next-steps-for-github-com-2fa/" target="_blank">GitHub上周再次重申</a>將在2023年全面強制實施雙因素驗證（2FA）。一如計畫，GitHub已展開要求相依模組超過500個或每周下載次數超過100萬的套件強制啟用2FA。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1219-GitHub-2FA-60.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／GitHub</span></p> <p>接下來，GitHub將要求自2023年3月開始，以下特定群組必須啟用2FA。包括出版GitHub或OAuth App或套件的用戶、新增release的用戶、企業或組織管理員、貢獻程式碼到npm、OpenSSF、PyPI、RubbyGems認為很重要的儲存庫的用戶、貢獻程式碼到排名前400萬的公開、或私有儲存庫的用戶。</p> <p>這些用戶會接獲GitHub電子郵件通知，要求在45天內完成啟用2FA。過了這期限，登入的用戶會接到提示訊息一個星期，若置之不理，就會被GitHub阻擋存取。至於用戶擔心可能因休假而被封鎖，GitHub表示，這一個星期的提示會期限過後登入才生效，若未登入則不會啟動封鎖倒數。</p> </div></div></div>
2022/12/19 13:40作者林妍溱https://www.ithome.com.tw/news/154779
美國國防部90億美元雲端訂單由AWS、微軟、Google、甲骨文共得
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歷經一年多的重審，<a href="https://www.defense.gov/News/Releases/Release/Article/3239378/department-of-defense-announces-joint-warfighting-cloud-capability-procurement/" target="_blank">美國國防部本月稍早宣布</a>近百億的雲端訂單《聯合作戰人員雲端能力》（Joint Warfighting Cloud Capability，JWCC）合約，將由AWS、微軟、Google及甲骨文四家廠商聯合取得。</p> <p>JWCC是分給多家廠商的合約，旨在讓美國國防部得以直接從雲端服務供應商快速獲得從作戰總部、到策略前端各種資訊等級的雲端能力和服務。</p> <p>JWCC也是美國防部取代2019年的獨家雲端合約《聯合企業防禦基礎設施》（Joint Enterprise Defense Infrastructure，JEDI）後另行規畫的新標案。<a href="https://www.ithome.com.tw/news/133849" target="_blank">2019年微軟擊敗競爭者AWS獨家取得</a>這個為期10年、總金額達100億美元的JEDI合約，但這項標案因AWS母公司Amazon告上法院，而遭法官發出禁制令。2021年美國防部年中終止了JEDI，並<a href="https://www.ithome.com.tw/news/145492" target="_blank">重新規畫多家業者負責的</a>不定期交付/不確定數量（Indefinite Delivery-Indefinite Quantity，IDIQ）的JWCC合約。原本JWCC只限AWS及微軟參加，但同年11月美國政府擴大邀請Google以及也曾經抗議JEDI獨厚微軟的甲骨文加入競標。</p> <p><a href="https://www.cnbc.com/2022/12/07/google-oracle-amazon-and-microsoft-awarded-9-billion-pentagon-cloud-deals.html" target="_blank">CNBC報導</a>JWCC總金額為90億美元，合約期間到2028年。</p> <p>美國國防部表示，透過這項合約的服務，美國軍隊士兵將能全球存取容易使用的高韌性服務、中央化管理及分散式控制、彈性化運算、儲存、網路基礎架構、進階資料分析、強化安全、及策略性邊緣裝置。</p> <p>這次JWCC發包的背景和3年前大不相同。歷經後疫情及俄烏戰爭、美國和中國進一步升高科技、貿易和外交競爭，<a href="https://www.ithome.com.tw/news/146396" target="_blank">美國拜登政府2021年號召</a>科技業者AWS、IBM、微軟、Google等公司協助強化美國網際網路安全、供應鏈韌性及對敵作戰實力。</p> <p>分得合約的4家業者中，AWS、微軟及Google為全球雲端前三大廠。<a href="https://www.prnewswire.com/news-releases/q3-cloud-spending-up-over-11-billion-from-2021-despite-major-headwinds-google-increases-its-market-share-301661926.html" target="_blank">根據Synergy研究機構公布的數據</a>，AWS、微軟、Google市占各為34%、21%及11%。甲骨文僅和IBM、Salesforce、Rackspace、阿里雲、騰訊等屬於第二集團的業者，因此此次分得一杯羹對甲骨文來說是一大挹注。</p> </div></div></div>
2022/12/19 12:32作者林妍溱https://www.ithome.com.tw/news/154778
【資安週報】2022年12月12日到12月16日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本周資安新聞中，有多項漏洞修補消息受關注，包括微軟本周釋出12月Patch Tuesday，當中修補一項的零時差漏洞CVE-2022-44698，以及Citrix在13日公告修補ADC與網路閘道器產品的零時差漏洞CVE-2022-27518，都已有攻擊行動鎖定，必續盡快修補。</p> <p>同時，Fortinet於11月修補SSL VPN漏洞CVE-2022-42475，後續該公司也發布資安通告說明已有攻擊行動鎖定利用的情形。還有要注意的是，iPhone的WebKit零時差漏洞CVE-2022-42856被鎖定，其中iOS 15.1手機用戶須特別注意。另外，本周新聞尚未提到的Veeam Backup & Replication的CVE-2022-26500與CVE-2022-26501漏洞修補，我們認為同樣須要留意。</p> <p>關於新漏洞揭露上，亦有兩大焦點，其影響層面不小。研究人員發現多款WAF產品因無法識別JSON格式、恐被發動SQL注入攻擊，多家廠牌都受影響，已有5家廠商釋出修補，其他產品用戶也應設法了解；還有數款防毒軟體與EDR系統也被研究人員發現零時差漏洞，受關注的是，這些漏洞可能被用於打造資料破壞軟體（Wiper），多家廠商也紛紛釋出修補。</p> <p>關於攻擊新趨勢方面，資安業者發現惡意軟體QBot有新的散布手法，攻擊者會在惡意郵件中的HTML附件中挾帶包含惡意JavaScript的SVG圖片；另外針對開源套件庫的方面，資安業者發現有網路攻擊者在NuGet、NPM、PyPI套件庫，透過自動化方式，打造並上傳了超過14萬個惡意套件。此外，還有一個值得留意的威脅態勢，是近來有勒索軟體攻擊濫用微軟簽章的驅動程式的情形，微軟獲報後發現數名開發人員計畫帳號被濫用。</p> <p>而在國內方面，關於2022年臺灣APT攻擊現況，資安業者TeamT5揭露這方面資訊，他們觀察到全年有109起APT攻擊行動，以阿米巴Amoeba與畫皮Hupai這兩個駭客組織為大宗，政府與軍方是主要遭受攻擊目標。</p> <p>至於安全防護面向上，本周Google新推的OSV-Scanner，是開發人員與資安人員重視的焦點，該機制可讓專案相依項目與已知漏洞列表，提供自動化比對的幫助。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/154667"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月12日】數款端點防護系統漏洞可用於破壞電腦資料、4千個存在漏洞的Pulse Connect SSL VPN曝險</span></strong></a></h3> <p>防毒軟體與EDR系統有可能成為駭客破壞電腦資料的幫兇！有資安業者揭露微軟、趨勢科技、Avast、AVG、SentinelOne等廠牌的端點防護產品漏洞，其共通點是可被用來抹除電腦裡的資料。研究人員指出，有別於過往駭客使用的資料破壞軟體（Wiper），這種漏洞讓攻擊者無須取得高權限就能發動攻擊，且檔案更難復原。</p> <p>存在漏洞的SSL VPN系統也是駭客用於入侵組織的管道，<a href="https://www.ithome.com.tw/news/141261">過往有人收集Fortinet SSL VPN系統的IP位址並在暗網兜售</a>，但目前大量曝險的並非只有這個廠牌的設備，有資安業者公布Pulse Connect曝險的情況，值得留意的是，臺灣約有188臺VPN設備存在已知漏洞。</p> <p>惡意軟體轉換入侵管道並增加攻擊力道的情況也相當值得留意。駭客自今年8月改變散布惡意軟體TrueBot的手法，先是濫用特定的資產管理工具，但隔了2個月他們改用另一款惡意軟體進行攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/154694"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月13日】車輛共享業者Uber因第三方廠商遭駭資料外洩、VMware ESXi伺服器遭到Python後門程式鎖定</span></strong></a></h3> <p>車輛共享業者Uber再度傳出資料外洩事故，但與過往不同的是，這次並非該公司本身遭到攻擊，而是他們的IT資產管理軟體的供應商成為目標，使得Uber、Uber Eats受到牽連。</p> <p>有後門程式針對VMware虛擬化平臺下手，並利用已知漏洞入侵，值得留意的是，該後門程式其實也能用於攻擊其他執行Linux作業系統的電腦。</p> <p>提供網路應用程式系統防護的應用程式防火牆（WAF），竟然出現了能被用於SQL注入的漏洞，而且，至少有5家知名的解決方案都存在相關漏洞（Palo Alto Networks、AWS、Cloudflare、F5、Imperva）。</p> <h3><a href="https://www.ithome.com.tw/news/154710"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月14日】Citrix ADC的零時差漏洞已被用於攻擊行動、WordPress網站遭到殭屍網路GoTrim鎖定</span></strong></a></h3> <p>昨日是本月的第二個星期二，許多廠商發布了12月份的例行修補程式，值得留意的是，所針對的資安弱點，有不少是已經出現攻擊行動的零時差漏洞。</p> <p>例如，Citrix為旗下的Citrix ADC、Citrix Gateway發出資安通告，有人正利用CVE-2022-27518發動攻擊。美國國家安全局指出攻擊者的身分是中國駭客組織APT5。</p> <p>另一個也相當值得留意的是與Safari瀏覽器有關，排版引擎WebKit被人發現有漏洞CVE-2022-42856。蘋果原先在11月底為iOS 16提供修補，但該公司現在也擴大對Mac電腦、Apple TV修補，原因是已出現攻擊行動。</p> <p>殭屍網路針對WordPress網站而來的攻擊行動也值得關注，但這起事故透過暴力破解來挾持網站，而非利用WordPress網站或外掛程式的漏洞。</p> <p><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/154727"><strong><span style="color: rgb(0, 0, 0);">【12月15日】SAP修補4項CVSS風險等級近乎滿分重大漏洞、勒索軟體攻擊濫用微軟簽章的驅動程式</span></strong></a></strong></p> <p>在12月份的例行修補當中，SAP、VMware也針對旗下產品緩解重大漏洞，用戶應提高警覺並儘速安裝修補程式。其中，SAP本次修補了4項重大漏洞，值得留意的是，當中有兩項與他們採用的元件有關，一項是Business Client所採用的Chrome網頁瀏覽器元件，另一個則是SAP Commerce的Apache Commons Text元件。</p> <p>駭客在攻擊行動濫用驅動程式的情況也出現了新手法，在最近的一波攻擊行動中，駭客開始採用帶有微軟簽章的惡意驅動程式，以此發起勒索軟體攻擊，從而繞過資安系統偵測。微軟也證實有數名開發人員的帳號遭到濫用。</p> <p>針對醫療機構的勒索軟體攻擊升溫也引起美國政府的關注，繼11月美國衛生與公共服務部對於4種勒索軟體提出警告後，他們本月針對惡名昭彰的BlackCat和LockBit發布相關警告，並指出這2種勒索軟體的攻擊手法更難以防範。</p> <p><strong style="font-size: 22px;"><strong><a href="https://www.ithome.com.tw/news/154770"><strong><span style="color: rgb(0, 0, 0);">【12月16日】向量圖檔SVG被駭客用於偷渡惡意軟體QBot、臉書貼文被用於網釣攻擊鏈</span></strong></a></strong></strong></p> <p>駭客利用PNG、JPG、GIF等圖片檔案挾帶惡意軟體的手法，不時有事故傳出，但現在有研究人員發現，駭客開始運用SVG格式的向量圖片檔案做為媒介。與前述幾種檔案格式有所不同，SVG採用XML語言為基礎並支援嵌入JavaScript，而使得駭客更容易透過惡意JavaScript指令碼發動攻擊。</p> <p>竊取臉書帳號的攻擊行動近期越來越頻繁，然而最近有新的手法出現，不僅幾可亂真，也能騙過大多數資安系統的檢查。研究人員揭露濫用臉書貼文的網釣攻擊，這些貼文號稱是臉書的技術支援中心，並誘導受害者到釣魚網站。</p> <p>Mozilla基金會近期推出Firefox 108、Thunderbird 102.6，美國CISA提出警告，該基金會甫修補的漏洞已出現攻擊行動，使用者應儘速更新。</p> </div></div></div>
2022/12/19 09:40作者羅正漢https://www.ithome.com.tw/news/154774
臉書更新抓漏獎勵，RCE漏洞最高可拿30萬美金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼今年抓漏的豐碩成果後，<a href="https://about.fb.com/news/2022/12/metas-bug-bounty-program-2022/" target="_blank">Meta旗下臉書（Facebook）部門上周宣布</a>更新漏洞獎勵計畫支付指引，重點加強包括行動遠端程式碼執行（mobile RCE）、帳號接管、2FA繞過，以及VR產品漏洞的檢查，其中RCE最高可拿30萬獎金。</p> <p>臉書表示，自2011年以來，該公司收到外部研究人員17萬次漏洞通報，使其發出8,500多次獎勵，金額達1,600多萬美元。單是在今（2022）年，該公司也收到了約1萬次通報，使他們發出750多次獎金，總金額超過200萬美元。以獲獎金金額的研究人員國籍區分，則以印度、尼泊爾及突尼西亞居最高。</p> <p>在今年的抓漏獎勵方案下，臉書也更新支付指引，以著重特定類別漏洞。包括更新行動遠端程式碼執行（RCE）漏洞的支付指引，並增加帳號接管（account takeover，ATO）及雙因素驗證（2FA）繞過漏洞。其中，行動RCE漏洞獎金高達30萬美元，而ATO獎金也上看13萬美元。</p> <p>臉書表示，支付指引是為特定漏洞類別設定平均最高支付水準，並說明臉書評審漏洞獎金的條件。但該公司強調每件漏洞通報都是依個案審核，也可能有些漏洞能獲得高於設定的獎金上限。</p> <p>例如，今年臉書針對一個電話號碼帳號回復流程中，可能導致攻擊者重設密碼，並接管帳號的帳號接管漏洞，發出16.3萬美元獎金。由於發現漏洞的一名印度研究人員還可將本漏洞串聯另一個2FA漏洞，又獲得臉書2.5萬美元獎金。</p> <p>而在2FA繞過漏洞中，今年臉書針對一名尼泊爾研究人員通報的限流問題，可讓攻擊者暴力破解證實用戶手機號碼的驗證碼，繞過SMS 2FA保護，發出2.7萬美元。</p> <p>為了推動元宇宙願景的實現，臉書上周也宣布更新獎勵條款，加入VR技術的支付指引，把Meta的虛擬實境（VR）及混合實境（MR）裝置產品包括Meta Quest Pro和Meta Quest Touch Pro控制器的漏洞列入獎勵行列。</p> <p>事實上，今年臉書已經開始重點獎勵Quest裝置的漏洞通報。例如一名Youssef Sammouda通報Meta Quest的oAuth流程漏洞，後者可能導致攻擊者2次點擊就接管了用戶帳號。為此他獲頒高達4.4萬美元的獎金。</p> </div></div></div>
2022/12/19 11:47作者林妍溱https://www.ithome.com.tw/news/154777
NIST宣布美國聯邦政府2030年12月31日後停用SHA-1加密演算法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.nist.gov/news-events/news/2022/12/nist-retires-sha-1-cryptographic-algorithm">美國國家標準暨技術研究院（NIST）</a>認為目前受廣泛使用的SHA-1加密演算法，已經不夠安全，因此宣布SHA-1應該在2030年後淘汰，建議還仰賴SHA-1安全性的IT專業人員，應儘速更新採用SHA-2或SHA-3。</p> <p>SHA-1前3個字母為Secure Hash Algorithm的縮寫，從1995年以來，一直是聯邦資訊處理標準（FIPS）180-1的一部分。SHA-1是SHA的修改版本，而SHA是美國聯邦政府在1993年廣泛使用且標準化的雜湊函式，但因為當前越來越強大的運算能力，已經可對該演算法進行碰撞攻擊（Collision Attack），因此NIST才會宣布SHA-1應該在2030年12月31日退場，並採用更安全的SHA-2和SHA-3演算法。</p> <p>SHA-1目前已經是許多安全應用程式的建構模組，像是在用戶載入網頁時，透過採用SHA-1，便能夠相信來源的真實性。SHA-1透過對訊息的字元進行複雜的數學運算，生成稱為雜湊的字元短字串，第三方要從雜湊重建原始訊息是不可能的，收件人也可以透過簡單的方法來知道原始訊息是否遭到竄改，因為即便是只對訊息動了小手腳，生成的雜湊也會跟著變動。</p> <p>但是過去被認為安全的SHA-1，在現今強大的運算能力下變得不可靠，NIST表示，現在的電腦已經可以創建詐欺式訊息，也就是經過竄改的訊息，能夠產生與原始訊息相同的雜湊值，這將危害到真實訊息，而且近年這些碰撞攻擊已經被用來破壞SHA-1。</p> <p>NIST過去曾宣布，美國聯邦應該在數位簽章創建等，碰撞攻擊構成嚴重威脅的情況下，停止使用SHA-1。隨著其他應用程式也面對日漸嚴重的SHA-1碰撞攻擊，NIST現在宣布2030年12月31日前應該停止使用SHA-1，該組織將會頒布FIPS 180-5來修正SHA-1規範，並且創建並發布用於驗證加密模組和演算法的轉換策略。</p> <p>NIST宣布2030年12月31日後停用SHA-1加密演算法，這代表著聯邦政府不允許購買2030年後仍在使用SHA-1的模組，企業目前有8年的時間換掉SHA-1。</p> </div></div></div>
2022/12/19 11:11作者李建興https://www.ithome.com.tw/news/154769
樂高線上市集存在兩嚴重漏洞，可洩漏用戶個資與伺服器機密資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>API資安公司Salt研究人員發現<a href="https://salt.security/blog/missing-bricks-finding-security-holes-in-lego-apis">樂高（LEGO）的線上服務存在安全漏洞</a>，不只可能讓攻擊者取得其他人帳戶完全控制權，還洩漏PII以及敏感資料，同時攻擊者也能夠存取內部資料，而這可能導致內部伺服器遭入侵。</p> <p>由於研究人員Shiran Yodev除了是一名專業駭客，同時在業餘時間，也喜歡收集並且組裝樂高，於是樂高變成為了該研究人員的研究對象，這次被發現漏洞的並非是lego.com這個樂高的主要官方網站，而是樂高擁有的另一個線上交易平臺bricklink.com。</p> <p>bricklink.com最初由一個樂高迷在2000年創建，作為樂高積木以及組合包的交易平臺，隨著該平臺的壯大，成為市場上稀有樂高積木的交易地，到了2019年，bricklink.com被樂高收購，現在為樂高的全資子公司，並且由獨立團隊管理。</p> <p>bricklink.com的服務相當複雜，因為他提供賣家許多管理商店的功能，還能夠協助買家購買和管理零件和組合包收藏列表，也有一個工作室平臺，讓設計師能夠設計樂高作品，Shiran Yodev提到，這些複雜邏輯意味著更大的攻擊面。</p> <p>Shiran Yodev發現了bricklink.com中兩個API安全漏洞，第一個漏洞是發生在使用者輸入欄位，在優惠券搜尋的尋找使用者名稱對話框中，存在一個跨站腳本（XSS）漏洞，攻擊者能夠設計連結，在終端用戶的電腦上注入和執行程式碼，只要運用暴露在不同頁面上的Session ID，連結跨站腳本，便能劫持Session並且接管帳戶。</p> <p>第二個漏洞則是在上傳至願望清單頁面，這頁面讓用戶能夠以XML格式上傳想要的零件列表，而攻擊者在這個頁面便能夠進行XML外部實體攻擊（XEE），讀取網頁伺服器上的檔案，並以伺服器端請求偽造（Server-side request forgery）來存取並且操作無法被直接存取的資訊，包括AWS EC2權杖。</p> <p>樂高在接獲研究人員通報之後，已經迅速修正了這些漏洞，但因為樂高公司內部政策關係，並沒有對外多加說明，因此Salt無法正面確認這些修復。</p> </div></div></div>
2022/12/19 11:14作者李建興https://www.ithome.com.tw/news/154771
OpenAI發表新的嵌入模型，效能更好且比Davinci更便宜
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI發表新的<a href="https://openai.com/blog/new-and-improved-embedding-model/">嵌入模型text-embedding-ada-002</a>，該模型功能更強大成本更低，且使用起來也比較簡單，可取代了文字搜尋、文字相似性和程式碼搜尋等5個獨立模型，比起之前最強大的模型Davinci，價格更是便宜了99.8％</p> <p>官方解釋，嵌入是指將概念的數字表示轉換成數字序列，這使電腦能夠簡單理解概念之間的關係。從OpenAI的嵌入端點推出以來，許多應用程式都運用嵌入來進行個人化、推薦和搜尋內容。</p> <p>新模型text-embedding-ada-002效能更強大，無論是在文字搜尋、程式碼搜尋還是語句相似性任務上，表現都優於舊的嵌入模型Davinci。</p> <p>Text-embedding-ada-002在能力表現上也更一致，過去要分散5個獨立模型各別處理文字搜尋、文字相似性和程式碼等任務，現在統一合併使用text-embedding-ada-002就能夠完成，官方提到，text-embedding-ada-002的單一表示，在不同的文字搜尋、語句相似性和程式碼搜尋基準測試，都比過去的嵌入模型表現還要好。</p> <p>另外，text-embedding-ada-002也能夠處理更長的上下文，是舊模型長度的4倍，從2048增加到8192，用戶能夠更簡單地處理長文件。text-embedding-ada-002還擁有較小的嵌入大小，新嵌入只有1536維，是davinci-001嵌入的八分之一，較小的嵌入使向量資料庫更具成本效益。</p> <p>與相同大小的舊模型相比，text-embedding-ada-002價格降低了90％，只要0.2％的舊模型價格，就可以獲得和Davinci更好或是類似的效能。</p> <p>整體來說，新模型是更強大的自然語言處理和程式碼任務工具，但仍存在一些限制，像是在SentEval線性探測分類基準的表現不如text-similarity-davinci-001，對於需要在嵌入向量上訓練輕量級線性層，以進行分類預測的任務，OpenAI建議用戶可以先比較新舊模型的表現，以選出最符合需求的模型。</p> </div></div></div>
2022/12/19 11:17作者李建興https://www.ithome.com.tw/news/154772
AWS新產品戰略以資料為主軸，更要朝全解決方案產業應用來發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">雲端服務龍頭AWS每年冬天都會在美國拉斯維加斯舉行年度全球用戶大會，但受疫情衝擊，2年前改為全線上進行，儘管相隔一年，隨即於2021年恢復實體舉辦，但實際參加人數明顯不如往年，甚至不到全盛時期一半，許多人都改線上參加，使得去年整場活動似乎沒有像以往那麼熱絡。</p> <p dir="ltr">到了今年re:Invent用戶大會，官方雖還是採實體和線上併行，但從今年現場參加人數來看，至少超過5萬人參加，人潮逐漸恢復到疫情前的水準。今年活動重頭戲，就是首日主題演講，AWS執行長Adam Selipsky這次登臺，相較去年首次登場，大多時候都在回顧AWS在各項領域發展，如今執掌一年多，他今年對這家公有雲公司未來發展策略，明顯有了更清晰的藍圖。</p> <p dir="ltr">在他的帶領下，AWS將以資料為主軸，透過整合、治理、安全和透明化，建立更廣闊的數據探索領域，來達成數據創新，甚至更要朝向「全解決方案」產業應用來發展。</p> <p dir="ltr">一開場，Adam Selipsky先細數他們如何協助大型企業用AWS雲克服自身挑戰，如BMW集團用公雲打造連網汽車服務顛覆駕駛體驗，也有美國遊戲開發商Riot Games靠雲端來應付每秒50萬起事件通報與處理，提高用戶體驗以獲得更高收益。還有全球最大證券交易所Nasdaq完成關鍵核心系統上雲，提高金融市場證券發行業務處理效率，更多系統年底前將上雲。</p> <p dir="ltr">不僅大型企業有用，Adam Selipsky也引用數據強調，超過8成新創獨角獸都是AWS客戶。</p> <p dir="ltr"> Adam Selipsky不只一開始就大談企業上雲經驗，他對於企業用戶的重視，也反應在今年AWS產品發布上跟往年明顯不同。長達2小時的主題演說，Adam Selipsky用合適工具（Right Tools）、整合（Integration）、治理（governance）以及洞察（Insight）4大主軸貫穿整場演講。他表示，面對複雜的資料規模挑戰，企業需要一套完整工具，可以處理各種類型資料，並將這些資料整合，然後提供治理和安全性，還要能夠以視覺化呈現，方便掌握和快速傳遞，來獲得對於公司業務有價值的洞察。</p> <p dir="ltr">他所提出的這個企業數據戰略，可以說就是AWS新的產品策略，這次眾多雲端產品發布和服務更新，都是圍繞這個新策略發展，推出各種資料整合、治理、安全和透明化的服務方案。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%85%A7%E6%96%87%E5%9C%961-1108-%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%87.jpg" style="width: 600px;" /></p> <p dir="ltr"><span style="color:#696969;"><strong>執掌1年多，AWS執行長Adam Selipsky對這家公有雲公司未來發展策略，明顯有了更清晰的藍圖，將透過整合、治理、安全和透明化，來達成數據創新，更要朝向「全解決方案」產業應用來發展。</strong><span style="font-size:14px;">攝影／余至浩</span></span></p> <p dir="ltr"><span style="font-size:28px;"><strong>無伺服器新布局:完善Serverless產品線，通吃旗下所有分析服務</strong></span></p> <p dir="ltr">在工具上，AWS已提供完整資料庫、分析、ML/AI工具，協助企業做資料處理和運用。尤其在分析服務上，AWS今年對於無伺服器（Serverless）布局更加完整了。</p> <p dir="ltr">去年AWS在年度大會上宣布AWS資料倉儲服務Redshift能支援無伺服器服務後，緊接下來，今年其他分析產品也陸續加入支援行列，包括大數據處理平臺EMR、即時分析工具MSK，若加上原本就能用於無伺服器型態的互動式查詢服務Athena、資料串流服務Kinesis、資料整合服務AWS Glue以及BI服務QuickSight，就只差搜尋和分析引擎服務OpenSearch還沒Serverless化。如今，AWS也把這個缺口填平，在會中宣布OpenSearch也能提供這個服務方案。</p> <p dir="ltr">Adam Selipsky強調：「沒有人像我們可以做到所有分析服務都能提供Serverless。」</p> <p dir="ltr">為何Serverless對於AWS如此重要？Adam Selipsky在會中並沒有明講，但他在去年大會上曾提到說，在他來看，雲端運算還在初期發展階段，要先把下水道工程布局布好，所以AWS是以雲還在起步的概念來布局，而Serverless就是一個重要戰略，對於Serverless持續加快布局，就是要把包括分析在內的服務都Serveless化，這一步還在持續發展，但AWS先從資料分析服務著手，並用資料整合來加以擴大。</p> <p dir="ltr">AWS今年在資料庫和分析服務方面也有推出不少新功能。雲端互動式查詢服務Athena整合Spark，就是其中一個重要更新，使企業可以在Athena控制臺中使用Jupyter Notebook或Athena API來構建Spark應用程式，速度比起傳統啟用做法快75倍，而雲端資料整合服務AWS Glue，加入自動化監測和管理功能，來提高整合的資料品質。</p> <p dir="ltr">AWS對資料服務布局還不只如此，還加強服務本身擴充性和可靠度，像是因應叢集服務需求，DocumentDB更新後現在可以建立跨多節點的DocumentDB叢集，以獲得每秒數百萬次讀寫吞吐量與PB級儲存規模。Redshit資料倉儲新增Multi-AZ預覽版功能，可以提供高可用配置設定，能跨多個可用區進行配置，讓資料倉儲也能和其他資料庫服務一樣具有高可用。</p> <p dir="ltr"><span style="font-size:28px;"><strong>資料新布局：以實現Zero-ETL願景的資料整合為目標 </strong></span></p> <p dir="ltr">AWS今年在資料整合也有新布局，以往要做到不同資料庫、資料倉儲的資料整合這件事，需要透過ETL（萃取、轉置、載入）處理流程，對於分析人員來說，太花時間，因此需要有新的資料整合方式，來加快資料運用。過去手動資料整合方式已經跟不上現在資料動態的特性與企業營運快速成長。這也成了AWS想要替企業客戶解決的痛點。</p> <p dir="ltr">為了讓資料整合能更無縫接軌，AWS這些年一直想要打造一個Zero-ETL的新資料整合方式，以便在分析和ML服務時，就能直接取得這些資料做分析，而不需要搬動任何資料。「我們目標就是要實現zero-ETL願景。」Adam Selipsky強調。</p> <p dir="ltr">原先AWS在少數資料服務中就提供類似Zero-ETL的資料整合功能，例如使用AWS串流服務Kinesis時可以直接取得Redshift的資料，執行SageMaker機器學習服務時，也能很快拿到Redshift和Athena資料庫的資料做ML訓練，不需要另外建立資料處理流程（data pipeline）或撰寫程式。其他還有提供聯合查詢工具（federated querying tool ），可以跨資料倉儲和資料庫查詢和分析數據。</p> <p dir="ltr">在今年資料整合更新中，AWS朝向實現Zero-ETL邁出更大一步，徹底無縫整合兩大數據雲端服務Aurora與Redshift的資料。透過 Aurora zero ETL Integration with Redshift這個新功能，每次只要有新資料寫入Aurora資料庫中，資料就會直接同步到Redshift資料倉儲，不需要重新建立和執行繁鎖ETL流程。這種Zero-ETL資料整合方式，也讓企業在Redshift實例中更多了一種資料分析來源，能從Aurora資料庫叢集的數據分析，來獲得跨多應用的整體洞察。</p> <p dir="ltr">AWS對於資料倉儲的布局，也跨到整合串流大數據分析領域的主流平臺Spark，企業以後在Redshift上構建和執行Spark應用將變得很容易，不需要使用第三方Apache Spark連接器，就能馬上取得Redshift中的資料，提供給Amazon EMR做為大數據分析使用。這也為Redshift帶來新機會，能讓更多分析和ML服務都能用。</p> <p dir="ltr">不光如此，Redshift在資料安全管控上也有加強措施，利用AWS Lake Formation資料湖治理功能，使Redshift數據共享達到顆粒度更高的權限控管，可以針對單一欄或行，來設定不同角色的存取權限，進而提高資料安全性。這也是AWS端到端資料治理策略一環。</p> <p dir="ltr">在AI產品發展上，AWS延續去年端到端的資料戰略，AWS從去年就已經建構更加完整的機器學習和AI服務，從底層機器學習框架及基礎架構，到機器學習訓練環境全託管服務SageMaker，以及上層AI服務。目前上萬家企業用SageMaker建立ML模型，來執行每月上兆次的ML預測。</p> <p dir="ltr">儘管，今年SageMaker沒有重大更新，但AWS仍推出不少局部功能更新，持續補強SageMaker服務完整性，像是新增ML Governance治理功能，可以讓開發者在端到端ML開發過程中，就能開始使用治理和審計，來滿足企業需求克服ML治理的挑戰。</p> <p dir="ltr">對於使用SageMaker建立機器學習模型，現在也能支援地理空間類型資料作為ML訓練資料，來幫助開發團隊建立、訓練和部署這類型的ML模型，還可以將模型預測結果顯示在一個互動式3D地圖來查看。SageMaker以後可以擴展到更多應用領域，如農業、都市發展、商業新據點拓展。</p> <p dir="ltr">在No-Code服務上，AWS針對No-Code的QA工具Quicksight Q推出新功能，不只能以自然語言進行提問，還能讓使用者可以用「為什麼」來發問，再根據機器學習模型得到預測和分析的結果，給出建議或答案。而透過採用這個方式，可以降低專業IT或資料科學家的負擔，讓更多非專業素人更容易運用AI。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%85%A7%E6%96%87%E5%9C%963-1108-%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%87.jpg" style="width: 600px;" /></p> <p dir="ltr"><span style="color:#696969;"><strong>AWS雲端機器學習服務SageMaker今年雖然沒有發布重大更新，大多是提供一些補強功能，但也持續加強SageMaker服務完整性，像是新增ML Governance治理功能，可以讓開發者在端到端ML開發過程中，就能夠開始使用治理和審計，來滿足企業需求克服ML治理的挑戰。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／余至浩</span></p> <p dir="ltr"><span style="font-size:28px;"><strong>產業應用新布局:力推雲端供應鏈管理新服務</strong></span></p> <p dir="ltr">在產業應用上，AWS開始朝向全解決方案發展，新推出的AWS Supply Chain雲端供應鏈管理服務，就是瞄準全產業供應鏈管理需求。雖然目前是預覽版，但AWS強調，透過這套服務，企業未來可以自動組合和分析跨多個供應鏈系統的數據。該服務更是借助了Amazon電商物流供應鏈多年經驗與技術發展而來，但不限於電商，其他行業也能用。</p> <p dir="ltr">更進一步來說，企業可以使用該服務內建的連接器，建立統一供應鏈數據湖，並運用母公司在供應鏈預先訓練完的ML模型，來自動匯整各套ERP和供應鏈管理系統中的所有數據，然後將分析結果以視覺化呈現，不僅方便管理者隨時查看庫存變化，也能以此建立風險預警機制，一旦經過ML判斷為潛在高風險情況，就會提供警訊給負責人員，因此就能早一步採取避險行動。</p> <p dir="ltr">但初期只有支援以SAP S/4HANA、SAP ECC、EDI、Amazon S3這4類為主的ERP、供應鏈相關系統和資料源。美國、歐洲將會先上線，其他地區陸續也將推出。</p> <p dir="ltr">其他產業應用，還有支援大規模空間模擬的運算服務SimSpace Weaver。AWS表示，透過這個新運算服務，最多能支援超過1百萬個獨立動態實體，也就是可以在虛擬環境中模擬大規模人群、城市規模的環境以及複雜交通等。因為是提供企業或政府建立大型數位分身應用所需的運算基礎設施，所以將空間模擬擴展到多個EC2執行個體，管理底層運算、記憶體或網路執行大規模模擬，將有助於加速企業數位分身應用發展。</p> <p dir="ltr">在資料安全性也有獲得不少強化，AWS推出名為Amazon Security Lake的安全數據湖服務，可以協助企業組織聚集、管理和分析日誌和事件數據，包含AWS和其他合作廠商的數據，讓資安威脅檢測、調查和事件應變速度能更加提升。新數據管理服務DataZone則可以讓資料專案團隊在統一資料協作環境中發布所需分析資料，來提供團隊成員查詢、存取或共享，並搭配治理與存取權限控管，來確保資料使用安全。GuardDuty EKS Protection防護服務中，也提供部署容器runtime威脅偵測。</p> <p dir="ltr">雲端基礎設施也迎來不少更新，AWS目前超過600種運算實例類型，涵蓋一般用途、運算優化、記憶體優化、儲存優化、爆漲型效能及加速硬體等，AWS這次發布採用新一代Nitro系統和Graviton處理器的執行個體服務。</p> <p dir="ltr">Nitro是AWS打造的EC2執行個體基礎平臺，歷經4代改版後，新一代Nitro大幅提高網路傳輸能力，每秒封包傳輸速度較前一代提高60%，反應速度加快30%，每瓦效能也有獲得40％改善。AWS還更新Graviton產品，儘管未是如外界預期Graviton4，而是改推出一款經改良的Graviton3E處理器晶片，但是該款處理器的向量指令性能表現，較前一代Graviton3能再提高30%，可適用於HPC應用場景。</p> <p dir="ltr">AWS運用Graviton3E和Nitro推出多個執行個體服務，包含能支援200Gbps超大網路頻寬的C7gn，還有推出高效能運算專用的Hpc7G等。AWS這次也更新x86架構EC2實例，推出名為R7iz的新類型，能夠支援第4代Intel Xeon Scalable處理器，使每個vCPU效能比z1d再提升20%。C7gn、R7iz先推預覽版，Hpc7G最快明年才推出。</p> <p dir="ltr">整體來看，AWS今年產品策略以擴大和延續為主，許多產品發布都是對既有服務或產品的補強，看似平淡無奇，但是這些更新背後，卻是有著AWS更長遠的企業數據產品戰略的考量，正透過一步步紮實的步伐，一一把各種企業需求的關鍵拼圖補齊。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%85%A7%E6%96%87%E5%9C%962-1108-%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%87.jpg" style="width: 600px;" /></p> <p dir="ltr"><span style="color:#696969;"><strong>AWS推出Supply Chain雲端供應鏈管理新服務，借助母公司電商物流供應鏈多年經驗與技術，來匯整各套ERP和供應鏈管理系統中所有數據，然後將分析結果以視覺化呈現，方便管理者從互動地圖上隨時查看庫存變化，也能以此建立風險預警機制。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／AWS</span></p> <p class="rtecenter" dir="ltr"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%85%A7%E6%96%87%E5%9C%964-1108-%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%87.jpg" style="width: 600px;" /></strong></span></p> <p><span style="color:#696969;"><strong>在基礎設施也迎來不少更新，AWS目前超過6百種運算實例類型，涵蓋一般用途、運算優化、記憶體優化、儲存優化、爆漲型效能及加速硬體等。AWS這次發布採用新一代Nitro系統和Graviton處理器的執行個體服務。包含能支援200Gbps超大網路頻寬的C7gn（上圖），還有推出高效能運算專用的Hpc7G等。</strong><span style="font-size:14px;">圖片來源／AWS</span></span></p> <p><a href="https://www.ithome.com.tw/article/154751" target="_blank"><span style="font-size:20px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 相關報導 </span></strong></span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1108-feng_mian_gu_shi_1-open-zhi_hao_-960x420_kao_bei_.jpg?itok=OxWavp-2" style="width: 600px;" /></a></p> </div></div></div>
2022/12/19 00:00作者余至浩https://www.ithome.com.tw/news/154748
【AWS 2023雲端關鍵戰略1】擴大資料倉儲Redshift產品廣度，打造企業資料全能分析中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">今年AWS雲端資料倉儲服務Redshift推出正式滿10周年，但在這個特別的一年，AWS在年度大會上卻一反常態，沒有發布重大升級更新。取而代之的是，AWS在會中推出許多新功能，都是和Redshift相關，從更緊密資料整合、串流資料分析到強化安全存取。儘管看似都是些小更新，但AWS沒說的是，藏在Redshift這次更新背後的更大企圖，就是要把Redshift打造成企業資料集散地，來符合各種現代化應用的使用，以及能匯整各種類型資料，提供AI分析和後續應用，更要讓這個能夠通吃各種資料類型的新一代資料倉儲架構，成為加速企業資料現代化的關鍵產品。</p> <p dir="ltr"><span style="font-size:28px;"><strong>要讓Redshift成為通吃各種資料類型的新一代資料倉儲架構</strong></span></p> <p dir="ltr">AWS數據和機器學習副總裁Swami Sivasubramanian在數據主題演講中指出：「所有新功能都瞄準同一個終極目的，不管資料在哪裡都可以集中到Redshift上來分析。」顯然，AWS就是壓寶Redshift，未來能夠成為企業資料的核心。</p> <p dir="ltr"> Redshift是第一個採用MPP（大量平行處理）架構的雲端資料倉儲，號稱比本地部署能以更經濟高效的方式對大量數據進行快速分析及查詢，並提供跨資料倉儲、核心資料庫和資料湖分析結構化和半結構化資料執行SQL查詢，更具有高擴充彈性，Redshift Serverless在今年7月正式GA，讓雲端資料倉儲也能應付資料量多變的資料分析任務。目前，上萬家企業使用Redshift，每天處理資料總量達到EB級。</p> <p dir="ltr">但要打造Redshift成為企業統一的資料集散地，只是這樣還不夠。從今年功能更新來看，AWS對資料倉儲布局更加完整，正一步步打通Redshift服務在企業資料架構中的各環節，讓它的產品完整度更高，涵蓋到不同應用層面，支援各種企業分析需求和資料整合。</p> <p dir="ltr">AWS今年推出的第一個新功能，就是將資料前處理ETL步驟簡化，甚至全面Zero-ETL化。ETL指的是資料萃取、轉置、載入的過程，以往企業會使用這個方式將多系統中的資料整合到單一資料倉儲中，以便進行分析和後續處理，過去Redshift要從其他資料庫、資料湖拿取資料，都得執行ETL程序，但如此一來，資料分析就會太慢，甚至針對不同資料來源或資料類型，就需要建立不同ETL流程，更不利於後續維護。直到現在才解決。</p> <p dir="ltr"><span style="font-size:28px;"><strong>靠Zero-ETL化，解決Redshift跨資料庫資料整合的痛點</strong></span></p> <p dir="ltr">AWS推出Aurora Zero-ETL integration with Amazon Redshift這個新功能，結合Zero-ETL做法，讓Aurora資料庫中儲存的結構化資料可以自動匯進Redshift，不需要建立和維護複雜的資料處理流程，來執行ETL操作。因為可以將資料同步時間縮短到幾秒內，這意謂著，企業可以更快從Aurora資料庫取得所需資料，進行後續分析，還能執行如ML進階分析、具體檢視圖、資料共享以及聯邦查詢等，並從這些綜合資料分析中獲得整體的洞察。</p> <p dir="ltr">不僅如此，Redshift還新增自動複製功能，讓S3資料湖和Redshift之間更加緊密整合，使用者從S3中將資料複製到Redshift中，只要一鍵就能完成所有操作，不像以前多使用S3來做備份，需要特別分析才將資料放進Redshift。</p> <p dir="ltr">有了這個新功能以後，以後只要偵測到S3資料夾有更新檔案，就會自動執行Redshift複製任務，等於是從S3就能直通到Redshift資料倉儲，就能大大簡化資料複製流程。對於資料分析人員來說，只要從Redshift就能拿到各種類型的S3資料，而且能支援不同檔案格式，如CSV、parquet檔或其他文字檔。不過目前還是預覽版。</p> <p dir="ltr">不只能更快取用AWS資料，對於第三方資料整合與分析，AWS推出了名為Informatica Data Loader的免費資料整合工具，只要透過Redshift控制臺，就能將第三方資料檔案快速上傳至Redshift，目前可以支援Salesforce、Marketo在內等超過30個原始資料源，可跨多種資料格式在Redshift中執行高速且大量的資料上傳作業。</p> <p dir="ltr">雲端串流資料的整合，也是Redshift這波更新一大重點，整合Kinesis Data Streams和Amazon MSK兩大資料串流引擎，強化Redshift對於串流資料擷取的支援能力，使企業在取得串流資料時，不需要像以往得先將資料暫存到S3中，隔段時間後，再將整批數據載入到Redshift中，導致串流分析的速度變慢。現在就沒有這個問題，所有串流資料都能接近即時匯入到Redshift資料倉儲中。</p> <p dir="ltr">甚至，AWS對於資料倉儲的布局，如今也直接整合串流大數據分析領域的主流平臺Spark。借助Amazon Redshift Integration for Apache Spark這個新功能，企業以後在Redshift和無伺服器Redshift服務上執行Spark應用變得更簡單，不像過往使用Amazon EMR、SageMaker以及AWS Glue服務執行Spark應用時，需透過第三方Spark連接器才能讀寫Redshift資料，現在只要透過預先打包好的Redshift Connector for Spark工具，就能迅速取得Redshift資料，甚至啟用速度比起傳統快10倍，還能支援Java、Python、Scala等語言編寫Spark應用程式。這也意味著，將可擴大資料倉儲在串流分析大數據應用範圍。</p> <p dir="ltr"><span style="font-size:28px;"><strong>資料隱私和治理獲得大幅強化</strong></span></p> <p dir="ltr">資料管控更是Redshift資料倉儲要能夠通吃各種資料類型成為統一的資料集散地的關鍵。</p> <p dir="ltr">在今年更新中，AWS也大幅強化了Redshift的安全與可靠性。在安全性上，AWS推出兩項存取控管新功能，前者是動態資料遮罩（Dynamic Data Masking）預覽功能，這是資料保護常見的功能，現在AWS把這項能力放進Redshift中，強化資料隱私和處理。基於該功能，使用者從SQL查詢結果中就只會看到篩選過濾後的內容，對涉及敏感性個資或其他機敏資料就會進行遮敝或模糊化處理，沒有賦予權限的使用者就看不到，防止敏感性資料遭違法蒐集和利用，以確保合乎隱私的要求。</p> <p dir="ltr">後者則是Lake Formation-managed Redshift datashares功能，AWS讓企業也能利用資料湖管理工具Lake Formation管理Redshift的資料共享權限，透過這個集中式管理方式，企業就能使用更精細的存取控制，設定不同角色的資料共享權限，也能確保在不同AWS帳戶或跨區域中，都能安全地共用Redshift叢集即時資料。目前同樣推出預覽板。</p> <p dir="ltr">AWS推出最後一項新功能，則是可以提高Redshift服務可用性。Redshit新增Multi-AZ功能，讓企業可以在多個可用區部署Redshift，藉此可以達到跟其他AWS資料庫服務一樣具備高可用，來確保服務可以全天運作不停機，避免一旦服務中斷，企業就沒辦法透過它提供預測或協助高層加快決策，導致可能造成營運損失的風險。除了可以Redshift RA3實例將數據儲存在Redshift Managed Storage中，也支援常見的災難復原功能，如自動備份、故障轉移等。</p> <p dir="ltr"><a href="https://www.ithome.com.tw/article/154751" target="_blank"><span style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1108-feng_mian_gu_shi_1-open-zhi_hao_-960x420_kao_bei_.jpg?itok=OxWavp-2" style="width: 600px;" /></a></p> </div></div></div>
2022/12/19 00:00作者余至浩https://www.ithome.com.tw/news/154749
【AWS 2023雲端關鍵戰略2】不只資料倉儲、ML服務，AWS揭露全服務資料治理的大戰略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">在年會中，AWS展現出前所未有的資料治理產品布局，從一開始只有少數資料產品具備治理功能，今年不只延伸到資料倉儲Redshift也能支援這項能力，甚至從資料源頭進一步涵蓋到機器學習服務SageMaker，就連新推出的資料管理服務，都把治理作為必備功能，提供企業來運用。AWS對於資料產品策略明顯轉變，更讓資料治理躍升為今年AWS資料產品最重要的發布之一，甚至不只資料產品，AWS更揭露了要邁向一個全服務資料治理的大戰略。</p> <p dir="ltr">資料是企業數位轉型的核心，隨著資料量越來越龐大，許多企業開始發現，光只是蒐集資料、完善資料分析還不夠，要讓企業內部資料容易使用，還要能容易做好法遵或合規，就必須落實資料治理，也因此，許多企業開始重視甚至強調資料治理，而開始受到各界的關注。近年來，各大公雲巨頭也都開始搶進，布局企業資料治理這個新領域。</p> <p dir="ltr"><span style="font-size:28px;"><strong>持續擴大資料治理布局，更多雲端資料產品都支援</strong></span></p> <p dir="ltr">去年年會，AWS推出Lake Formation服務，先在雲端資料湖產品中，開始提供資料治理的功能，到了今年，AWS持續布局資料治理的態勢更加明顯。</p> <p dir="ltr">AWS數據和機器學習副總裁Swami Sivasubramanian在演講中不只重提AWS端到端資料策略，今年更進一步揭露未來端到端的資料治理策略。他表示，要串起組織中所有數據，需要有從建立自動化資料路徑到資料治理工具的一整套解決方案，不只是數據整合，還包含了組織部門、團隊與個人的整合。「通過資料治理，可以為資料斷點、團隊斷點提供一個安全通道，如此一來，企業不同部門之間才能夠彼此協作，並根據獲取的數據來採取行動。」</p> <p dir="ltr">從今年雲端資料產品更新來看，更多資料產品都開始提供資料治理能力。AWS資料倉儲Redshift推出Centialized Access Controls for Redshift Data Sharing預覽版，就是整合治理功能來強化資料存取控管與安全。他們利用Lake Formation資料治理方式來管理Redshift叢集的資料共享，因此可以使Redshift共享資料達到顆粒度更高的權限控管，可以針對單一欄或行，來設定不同角色的存取權限，進而提高資料安全性，使用者既不需要撰寫腳本程式，也不用編寫複雜程式。這也是AWS端到端資料治理策略不可缺少的重要一環。</p> <p dir="ltr"><span style="font-size:28px;"><strong>主打內建治理的資料管理新服務</strong></span></p> <p dir="ltr">不光如此，AWS雲端資料管理服務也都開始支援這項能力。 AWS執行長Adam Selipsky親自發表了新的資料管理服務DataZone，不只提供專案式的資料管理平臺，更主打內建資料治理的功能，可對儲存在AWS中的數據提供資料目錄編制、探索、共享和管理。</p> <p dir="ltr">Swami Sivasubramanian就指出， DataZone最大價值，就是兼具有強大的資料治理控制與存取簡化，使組織中所有人可以很容易查看、組織和協作，將資料價值發揮到最大，加速企業創新。</p> <p dir="ltr">DataZone提供統一資料協作環境（Zone），讓資料專案團隊可以在DataZone中發布所需資料，來提供團隊成員查詢、存取或共享，並搭配治理與存取權限控管，來確保資料使用安全。這樣的好處是，可以大大簡化跨部門或不同專案團隊資料使用、分析流程以及治理策略整合，透過這項服務，不論是資料科學家、資料工程師或行銷人員的資料利用，都能套用一致治理標準來管理，來加快數據分析與應用。</p> <p dir="ltr">AWS對於治理布局不只如此，不只是從資料源頭做好治理，對於用這些資料訓練建立的ML模型也有提供相對應的治理方案。尤其，AI/ML應用當道，企業以ML為基礎的應用越來越多、越來越關鍵，如何透過ML治理打造負責任AI，成了企業IT新課題。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%85%A7%E6%96%87%E5%9C%961-1108-%E5%B0%81%E9%9D%A2-%E8%B3%87%E6%96%99%E6%B2%BB%E7%90%86-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FAWS.jpg" style="width: 600px;" /></p> <p dir="ltr"><span style="color:#696969;"><strong>AWS發表了新的資料管理服務DataZone，不只提供專案式的資料管理平臺，更主打內建資料治理的功能，可對儲存在AWS中的數據提供資料目錄編制、探索、共享和管理。不論是資料科學家、資料工程師或行銷人員的資料利用，都能套用一致治理標準來管理，來加快數據分析與應用，包含哪些資料可以共享、誰有權使用，以及使用期限等，確保只有授予該資料存取權限的團隊成員才能使用。</strong><span style="font-size:14px;">圖片來源／AWS</span></span></p> <p dir="ltr"><strong><span style="font-size:28px;">SageMaker機器學習服務也加入治理功能</span></strong></p> <p dir="ltr">但以往要做到端到端ML流程治理，對企業挑戰很大，因為一個ML模型的建立，往往牽涉到許多不同團隊協作，彼此相互配合，包括資料科學家、資料工程師，甚至是資料使用者。但要擬定政策做好權限的控管，不僅很花時間，遇到不同使用單位，還得制定不同政策，甚至要與他人共享模型資訊也十分沒效率，常常拿到都已經是舊的資訊。</p> <p dir="ltr">為了解決這個問題，AWS先從最常用的機器學習訓練環境全託管服務SageMaker開始，將ML治理功能帶進SageMaker服務中，來強化企業端到端ML開發的治理和審計。</p> <p dir="ltr">在SageMaker服務中推出3項ML治理新功能，AWS表示，透過這三個功能，就能涵蓋端到端機器學習流程的管理與治理，分別是角色管理器（Role Manager）、模型卡片（Model Cards），以及模型儀表板（Model Dashboard）。</p> <p dir="ltr">一開始決定不同角色使用權限，就是靠Role Manager來定義與擬定政策，因為結合自動化機制，讓原本繁瑣政策建立流程，縮短到幾分鐘內完成。開始建立ML模型時，就會需要用Model Cards集中管理ML模型所有資訊和檔案文件，並採單一數據源（single source of truth）來建構ML檔案狀態更新的機制，以保持ML資訊一致，來涵蓋完整ML模型生命週期。</p> <p dir="ltr">最後，對於部署的ML模型效能表現，也能使用Model Dashboard工具來對ML模型效能進行統一監控，不只提高模型的透明度，當偵測到預測結果明顯偏離預期時就會自動告警，通知相關人員加以處理。</p> <p dir="ltr">「有了這些治理功能就可以幫助企業有責任建構ML治理」Swami Sivasubramanian補充。</p> <p dir="ltr">但資料治理只支援資料湖、資料倉儲、機器學習服務還遠遠不夠。Swami Sivasubramanian直言，想要真正實現端到端治理，需要能夠管理企業所有服務資料存取，「這是我們正在朝向發展的方向」他說。這正是AWS未來邁向一個全服務資料治理的大戰略。</p> <p dir="ltr"><a href="https://www.ithome.com.tw/article/154751" target="_blank"><span style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1108-feng_mian_gu_shi_1-open-zhi_hao_-960x420_kao_bei_.jpg?itok=OxWavp-2" style="width: 600px;" /></a></p> </div></div></div>
2022/12/19 00:00作者余至浩https://www.ithome.com.tw/news/154750
AWS 2023雲端新戰略
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1108-feng_mian_gu_shi_1-open-zhi_hao_-960x420_kao_bei_.jpg?itok=OxWavp-2" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">今年人潮回流，超過5萬人參加，但AWS產品策略以擴大和延續為主，儘管看似些小更新，但藏在背後的更大企圖，不只擴大資料倉儲產品廣度，更加快資料治理布局，正是補齊下一階段資料戰略的關鍵拼圖</p> <div> </div> </div></div></div>
2022/12/19 00:00作者余至浩https://www.ithome.com.tw/article/154751
【資安日報】2022年12月16日，向量圖檔SVG被駭客用於偷渡惡意軟體QBot、臉書貼文被用於網釣攻擊鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客利用PNG、JPG、GIF等圖片檔案挾帶惡意軟體的手法，不時有事故傳出，但現在有研究人員發現，駭客開始運用SVG格式的向量圖片檔案做為媒介。與前述幾種檔案格式有所不同，SVG採用XML語言為基礎並支援嵌入JavaScript，而使得駭客更容易透過惡意JavaScript指令碼發動攻擊。</p> <p>竊取臉書帳號的攻擊行動近期越來越頻繁，然而最近有新的手法出現，不僅幾可亂真，也能騙過大多數資安系統的檢查。研究人員揭露濫用臉書貼文的網釣攻擊，這些貼文號稱是臉書的技術支援中心，並誘導受害者到釣魚網站。</p> <p>Mozilla基金會近期推出Firefox 108、Thunderbird 102.6，美國CISA提出警告，該基金會甫修補的漏洞已出現攻擊行動，使用者應儘速更新。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://blog.talosintelligence.com/html-smugglers-turn-to-svg-images/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">向量圖檔SVG被駭客用於偷渡惡意軟體QBot</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/image6-4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image6-4.png" style="width: 300px; float: right;" /></a>思科的研究人員揭露惡意軟體QBot新的散布途徑，駭客利用向量圖檔SVG，並透過HTML挾持（HTML Smuggling）的手法來傳送這款惡意程式。駭客先是透過竊得的電子郵件，以回覆信件的型式進行釣魚攻擊，並挾帶HTML為附件，一旦收信人開啟該附件檔案，此HTML檔案將會載入SVG圖片，並執行此圖片裡面的JavaScript程式碼，建立惡意ZIP檔案，並向使用者顯示儲存檔案的對話框，收信人依照指示開啟壓縮檔案後，電腦便有可能感染感染QBot。</p> <p>研究人員指出，與過往使用PNG、JPG圖片挾帶惡意程式有所不同的是，SVG是採用XML語言開發的向量圖檔，內含的HTML指令碼標籤會被視為合法功能，再加上QBot最終是在受害電腦上組裝，而能逃過網路安全系統的偵測。</p> <h3><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/meta-phish-facebook-infrastructure-used-in-phishing-attack-chain/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊取臉書帳密的網釣攻擊有新招！駭客濫用臉書貼文逃避資安系統偵測</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/73a7365049742b726de266fcd232d90967147960.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/73a7365049742b726de266fcd232d90967147960.png" style="width: 300px; float: right;" /></a>資安業者Trustwave揭露新型態的臉書帳號釣魚攻擊手法Meta-Phish，駭客假借臉書客服的名義寄送釣魚郵件，聲稱收信人的臉書帳號部分功能遭到停用，原因是收信人發布的貼文違反臉書廣告服務條款，若不依照指示處理，帳號將在48小時被刪除。</p> <p>一旦收信人照做，駭客會將其引至臉書使用者Page Support的貼文，並要求收信人點選貼文裡的URL填寫表單，一旦提交對方所要求的資料，駭客會透過Telegram機器人收集相關內容，進而接管此人的臉書帳號。此外，研究人員提到，為了確認收信人是否上鉤，駭客也濫用Google Analytics來追蹤進度。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/open-source-repositories-flooded-by-144-000-phishing-packages/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">14萬NuGet、NPM、PyPI惡意套件被用於網釣攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/image_04-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/image_04-1.jpg" style="width: 300px; float: right;" /></a>資安業者<a href="https://checkmarx.com/blog/how-140k-nuget-npm-and-pypi-packages-were-used-to-spread-phishing-links/">Checkmarx</a>與<a href="https://medium.com/checkmarx-security/illustria-checkmarx-finds-140k-phishing-packages-6813c27d10ac">Illustria</a>聯手，揭露大規模濫用開源套件庫的攻擊行動，有人在NuGet、NPM、PyPI套件庫上傳了144,294個惡意套件，並透過90個網域架設6.5萬個釣魚網站，目的是對開發者進行網釣攻擊。這些套件疑似透過自動化產生，因為，所有的套件發布者ID存在共通的命名規則，而且這些帳號上傳的套件數量幾乎相同。</p> <p>開發者一旦安裝這些套件，將會被引導到各式各樣的釣魚網站，包含提供冒牌App、獎勵問卷、贈送禮物卡，有些人則被導向全球速賣通（AliExpress）的推薦連結。上述逾14萬個惡意套件，上傳到NuGet的最多，為136,258個；其次是PyPI的7,894個、NPM的212個。</p> <h3><a href="https://www.mandiant.com/resources/blog/trojanized-windows-installers-ukrainian-government"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">烏克蘭政府遭到木馬化的Windows 10安裝光碟鎖定</span></strong></a></h3> <p>資安業者Mandiant揭露自2022年5月出現的攻擊行動，名為UNC4166的駭客組織假借提供Windows 10的安裝光碟映像檔，在俄語與烏克蘭語Torrent共享網站上散布，一旦使用者依照指示安裝此作業系統，電腦就有可能被植入Stowaway、Beacon、Sparepart等後門程式，以便駭客能竊取電腦機密與檔案，並提供能對受害電腦持續存取的管道。</p> <p>研究人員指出，從利用Windows作業系統安裝檔案來散布惡意軟體的手段，看似針對一般民眾而來，但攻擊者會分析受害電腦、確定電腦隸屬烏克蘭政府，之後才會對其發動進一步攻擊。</p> <h3><a href="https://securelist.com/deathstalker-targets-legal-entities-with-new-janicab-variant/108131/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">律師事務所遭到惡意軟體Deathstalker鎖定</span></strong></a></h3> <p>資安業者卡巴斯基在調查惡意軟體Deathstalker的過程裡，發現了自2020年開始行動的變種，此惡意軟體鎖定中東律師事務所的Windows、Mac電腦發動攻擊，並在2021年達到高峰。比較特別的是，駭客濫用YouTube、WordPress.com等多個雲端服務做為Dead-Drop Resolver（DDR），讓Deathstalker成功入侵受害電腦後，破解駭客埋下的訊息而能與C2中繼站連結。</p> <h3><a href="https://www.websiteplanet.com/blog/cornerstone-leak-report/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">信用卡交易業者曝露9百萬交易資料</span></strong></a></h3> <p>架站教學網站Website Planet資安團隊與研究人員Jeremiah Fowler聯手，發現沒有密碼保護的資料庫，內含9,098,506筆交易記錄與個人資料（PII），包括購買人姓名、付款人姓名、部分信用卡卡號、到期日、電子郵件信箱、驗證碼等。經調查後，資安人員得知該資料庫所有者的身分：總部位於美國加州的Cornerstone支付系統，該公司獲報後，已採取保護措施。</p> <h3><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">全臺戶政資料外洩事件延燒，立委要求政府儘速對民眾說明</span></strong></h3> <p>根據<a href="https://www.ithome.com.tw/news/153894#taiwan2300">民報10月下旬的報導</a>，有人在駭客論壇兜售全臺戶政資料，並強調是最新的版本而非舊資料，並標榜內有許多政要的詳細戶藉資料。<a href="https://www.ithome.com.tw/news/153924#taiwan2300">內政部、數發部表示經比對駭客提供的資料格式與內政部戶政資料差異很大</a>，研判並非戶政司網站流出，駭客持有的是舊資料。但這樣的說明，難以解釋前述新聞媒體比對後，外洩資料符合民眾現況的情形。</p> <p>對此，有立委在審查預算時，要求政府要進一步說明此事。<a href="https://www.cna.com.tw/news/aipl/202212090115.aspx">時代力量立委邱顯智、王婉諭於12月9日召開記者會</a>，要求政府必須向全國人民說明個人資料被侵害的情況，以及已採取的因應措施。<a href="https://www.ctwant.com/article/226380">民進黨立委賴品妤在14日立法院質詢時</a>，指出國安局在調查報告裡坦承全臺戶政資料遭販賣的情況，而非內政部宣稱是2020年流出的舊資料，國安局發現這次外洩的資料已用於多起詐騙事件，政府應該要再進一步釐清狀況。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://cybernews.com/news/firefox-thunderbird-flaws-allowed-system-takeover/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Mozilla修補Firefox、Thunderbird弱點，若不修補恐導致系統遭到挾持</span></strong></a></h3> <p>12月13日Mozilla基金會發布Firefox 108、Firefox ESR 102.6、Thunderbird 102.6，當中修補了高風險漏洞CVE-2022-46878，這項漏洞是該基金會的開發人與模糊測試團隊發現，若不進行修補或緩解，將會導致記憶體中斷，而使得攻擊者有可能藉此執行任意程式碼。另一個同時出現在上述瀏覽器與收信軟體的高風險漏洞，還有CVE-2022-46872，攻擊者一旦成功利用，就有機會讀取任意檔案，不過，此漏洞只有Linux使用者受到影響。</p> <p><a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/12/13/mozilla-releases-security-updates-thunderbird-and-firefox">美國網路安全暨基礎設施安全局（CISA）提出警告</a>，已有駭客將這次Mozilla修補的漏洞用於攻擊行動，並挾持受害電腦。</p> <h3><a href="https://www.securityweek.com/ics-patch-tuesday-siemens-fixes-80-openssl-openssh-flaws-switches" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">西門子、施耐德電機修補逾140個漏洞</span></strong></a></h3> <p>12月13日，西門子、施耐德電機發布本月例行修補公告，總共修補超過140個漏洞。其中，西門子發出20則資安通告，提出約140個漏洞的緩解措施，這些漏洞有超過半數與Scalance X-200RNA工控交換器產品線有關，超過80個存在於這些交換器採用的OpenSSL、OpenSSH程式庫元件，本次修補的漏洞涵蓋期間橫跨2013年至2019年，同時，他們也修補OpenSSL嚴重漏洞CVE-2022-3602。</p> <p>同日施耐德電機也修補了6個漏洞，當中有4個存在於不斷電系統APC Easy UPS的監控軟體，其中的CVE-2022-42970、CVE-2022-42971的CVSS風險層級達到了9.8分。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/fubotv-says-world-cup-streaming-outage-caused-by-a-cyberattack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">體育頻道FuboTV遭到網路攻擊，導致世足轉播中斷</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-leak-personal-info-allegedly-stolen-from-57m-gemini-users/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">570萬加密貨幣交易所Gemini用戶個資外洩</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/social-blade-confirms-breach-after-hacker-posts-stolen-user-data/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">社群網站分析平臺Social Blade證實資料外洩</span></span></strong></a></p> <p><a href="https://salt.security/blog/missing-bricks-finding-security-holes-in-lego-apis"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">二手樂高市集網站API存在漏洞，恐讓駭客挾持用戶帳號</span></span></strong></a></p> <p><a href="https://www.taiwannews.com.tw/en/news/4743272"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">臺灣逾700臺視訊監視鏡頭畫面外洩，疑採用華為晶片所致</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154727">【2022年12月15日】 SAP修補4項CVSS風險等級近乎滿分重大漏洞、勒索軟體攻擊濫用微軟簽章的驅動程式</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154710">【2022年12月14日】 Citrix ADC的零時差漏洞已被用於攻擊行動、WordPress網站遭到殭屍網路GoTrim鎖定</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154694">【2022年12月13日】車輛共享業者Uber因第三方廠商遭駭資料外洩、VMware ESXi伺服器遭到Python後門程式鎖定</a></strong></strong></strong></p> </div></div></div>
2022/12/16 18:08作者周峻佑https://www.ithome.com.tw/news/154770
2022年TeamT5臺灣APT攻擊研究出爐：觀察109起APT攻擊行動，26個受駭單位
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面對詭譎多變的國際政治情勢，以及地緣政治的衝擊時，具有獨特政治角色的臺灣，持續是網軍鎖定攻擊的對象。</p> <p>根據臺灣資安公司TeamT5（杜浦數位安全）技術長李庭閣日前揭露的研究顯示，截至今年11月1日為止，臺灣總計發生109起APT攻擊事件，而這段期間，該公司已協助9個客戶進行深入分析與應變，並對其他26個包括政府、企業與學校的受駭單位，進行資安通報。</p> <p>他表示，上述發動APT攻擊，大多來自中國駭客組織，其中，只有一起攻擊事件，是由北韓駭客組織Lazarus發動。</p> <h2><strong>政府、軍方和資服業者是主要受駭者</strong></h2> <p>若進一步分析這些遭受到APT攻擊的受駭產業，李庭閣表示，政府和軍方是駭客主要攻擊的對象，第二大受攻擊的對象居然是資訊科技產業，以受駭比例來看，2021年是12％，2022年上升到15％。</p> <p>他指出，資訊科技產業為不同產業提供各種資訊服務，而駭客攻擊採取迂迴攻勢，當他們成功攻陷資服業者時，就可以以此作為攻擊其他產業的跳板，再滲入軍方、政府和其他各大公司行號，進行供應鏈攻擊。</p> <p>從受駭產業排名來看，線上博奕產業排名第三，媒體產業則位居第四。線上博奕產業為何成為遭受駭客攻擊的對象？李庭閣表示，中國政府想要做到維穩，並且積極進行反貪腐、防範資金外逃，而最容易成為把錢洗出中國的線上博奕產業，就成為駭客組織想要掌握、攻擊力道加深的主要原因；至於媒體產業之所以名列第四的受駭產業，他認為跟臺灣十一月的縣市長與縣市議員選舉有關，在這4大受駭產業之後，還有智庫、電信、能源、NPO，也都是受到攻擊的產業與領域。</p> <p>若再進一步分析攻擊族群，李庭閣表示，最主要發動攻擊的駭客組織，就是阿米巴Amoeba（亦稱 APT41、Barium、Winnti），其次就是畫皮Hupai（亦稱為BlackTech、Plead），以及攻擊線上博奕產業為主的Slime29。</p> <p>他說，今年超過20個駭客組織對臺灣發動攻擊，其中包括9個不同駭客組織，以及12個Slime相關的駭客組織發動攻擊。至於排名第一的阿米巴Amoeba，以及位居第二的畫皮Hupai，不論是2021年或是2022年，兩者幾乎都貢獻全年一半左右的攻擊量。</p> <p>若比對2021年的攻擊來源，第一名、第二名與2022年一樣，但第三名換成Goushe，根據TeamT5研究指出，Goushe近一、兩年的攻擊行動，主要鎖定交通運輸部門和產業，部分鎖定能源和政府單位發動攻擊。根據TeamT5對Goushe追蹤了近十年的研究結果顯示，該族群可能接受所屬單位指令來監控臺灣的關鍵基礎設施，並在關鍵時刻針對這些單位進行控制和接管。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/APT%E9%A7%AD%E5%AE%A2%E7%B5%84%E7%B9%94_TeamT5(1).png" style="width: 600px; height: 374px;" /></p> <blockquote><p>臺灣資安公司TeamT5杜浦數位安全技術長李庭閣表示，排名第一名的阿米巴Amoeba和第二名畫皮Hupai駭客組織，幾乎貢獻2022年全年一半左右的攻擊量。</p> </blockquote> <h2><strong>偏好用合法工具打包惡意程式，Cobalt Strike最受歡迎</strong></h2> <p>關於2022年駭客族群最常使用的惡意程式，TeamT5這份研究的結果指出是Cobalt Strike，這也是過去三年駭客組織最常使用的惡意程式。李庭閣進一步解釋這個現象，他說，Cobalt Strike是滲透測試或紅隊演練常使用的攻擊框架，Cobalt Strike Beacon則是從 Cobalt Strike攻擊框架所產生的惡意Payload。雖然Cobalt Strike是商業付費工具，但是，經過駭客破解並在許多論壇或網站流傳，因此，有許多駭客皆透過它進行惡意攻擊。</p> <p>排名第二的DbgPrint、位居第四的Bifrost，以及第六名的SSHTD，都是駭客組織畫皮Hupai最常使用的RAT（遠端存取木馬）工具；至於今年排名第三的ShadowPad則已經超過PlugX，成為中國駭客組織最喜歡使用的惡意程式。</p> <p>若進一步分析這些惡意程式的趨勢，李庭閣觀察到這些惡意程式出現高度的差異化，相關的中國APT駭客組織喜歡在不同階段搭配不同攻擊武器，每個APT組織至少使用5個以上的惡意程式。</p> <p>他表示，若分析這些中國APT駭客組織的模式，他們偏好在偵查（Recon）和初次訪問（Initial Access）的階段，使用開源和現成的紅隊工具來發動攻擊。</p> <p>在成功入侵後，因為這個環境相對複雜，也必須保持動態的發展，所以，駭客大多傾向布下二階段或三階段的後門程式，有利於做到企業內部的橫向移動、滲透到不同單位。此時，像是多個駭客組織愛用的惡意程式，從最早的PlugX、ShadowPad，近期則開始採用的模組化後門程式Pangolin8RAT，這是因為，Pangolin8RAT支援不同的通訊協定，不僅可以做到高度客製化，更只存在記憶體中，難以被發現。</p> <p>在此同時，他也觀察到這些惡意程式因為變得更複雜，所以更難分析；而且，這些駭客組織開始將中繼站（C2）部署在雲端平臺上，不僅可以規避網管人員的偵查，也有利於彼此透過SSL加密進行溝通；此外，這些網路攻擊也經常利用合法工具來控制受駭機器，包括：SoftEther VPN、AnyDesk、TeamViewer等。更重要的是，已經有越來越多惡意程式能規避EDR（端點偵測回應）的偵測。</p> <p>李庭閣認為，2022年與2021年威脅情勢發展有其一致性，包括政府組織、智庫以及關鍵基礎設施等，仍然是中國駭客組織主要鎖定攻擊的標的，而且，也會透過很多IT服務供應商作為跳板、進行供應鏈攻擊。他表示，臺灣產業受駭情況不僅日趨嚴重，更重要的是，受駭標的變多，使用的惡意程式也更多樣。</p> <p>他觀察這些中國APT駭客組織，不僅高度分工且專業化，也願意花更多心力避免被外界發現、被工具偵測到，所以會積極研發更多樣的惡意程式、避免被EDR產品偵測到，更重要的是，會隱身在各種合法工具和雲端平臺中，都可以大幅降低被發現的機率。</p> <h2><strong>網路戰癥兆：關注中國是否有不尋常網路演習及APT組織整併</strong></h2> <p>過去十年來，針對臺灣發動APT攻擊的幕後主使者，李庭閣指出，以往是以中國解放軍為主，但解放軍現在已經整合到中國戰略支援部隊，另外還有中國國家安全部及公安部。「倘若兩岸發生真正的網路戰，將由戰略支援部負責指揮作戰，並整合三個單位的網路高手一起作戰。」</p> <p>至於，要如何觀察中國是否會有大規模的軍事動員行動呢？他認為，可以觀察兩個面向。第一個，是否出現不尋常的大規模網路管制行動，以及不尋常的、大規模的網路攻防演練；第二個，觀察這些APT組織防守範圍是否開始整併，畢竟，多數APT組織都存在著既有的負責領域，異常的整併就是重要癥兆。</p> <p>李庭閣表示，未來中國對臺灣發動網路戰爭，將會鎖定：通訊系統、關鍵基礎設施、政府部門攻擊外，也會發動資訊戰作為搭配。</p> <p>他說，若是針對通訊系統發動攻擊，包括電信公司、無線電業者、網路業者，以及軍方的指管通勤（C4SIR）系統都是可能的攻擊標的。若進一步分析攻擊的手段，除了直接切斷海底電纜，禁用各種行動通訊基地臺，也可能在受駭的關鍵網路中，植入會刪除和破壞資料的Wiper惡意程式，也可能發動DDoS攻擊，以癱瘓DNS伺服器。</p> <p>至於這樣攻擊的後遺症，除了會讓臺灣在全球網路空間被噤聲，與外界隔絕，人與人之間的交流也被隔絕，阻礙臺灣的動員和協調合作，同時，也會恫嚇臺灣民眾並削弱臺灣人的戰鬥意願。</p> <p>另外，他提到，駭客組織若是鎖定攻擊關鍵基礎設施，對象包括能源、交通運輸系統和金融系統等；在攻擊手段方面，則會採取將具有刪除和破壞資料的Wiper惡意程式，植入會影響到我們日常生活的關鍵基礎設施系統；而這麼做的目的，就是讓臺灣民眾的生活陷入混亂的無秩序狀態，讓臺灣官方疲於奔命，也可以妨礙臺灣的相關動員。</p> <p>至於駭客攻擊政府組織，包括政府網站、實體單位、媒體等等，通常會採取發動DDoS（分散式阻斷式攻擊）或是Defacement（網頁置換）的手段，藉此癱瘓政府網站的正常運作；這些攻擊帶來的後果就是，阻止臺灣官員向民眾或是其他國家發送訊息，也可以向臺灣民眾和外界傳遞假消息，而這也是攻擊者一種實力的展現。</p> <p>李庭閣表示，資訊戰通常會發生在「開戰之前」，也就是說，透過散布反戰言論，進而分裂美、日等親臺國家，並阻礙其對臺灣的支持之外，也會降低民眾對臺灣政府的信任程度；至於在戰時，則透過和臺灣內部人士的合作，塑造中國的戰略優勢，更做到貶低臺灣政府和軍隊的可信度，像是今年二月發生的烏俄戰爭，就是最明顯的例子。</p> <p>從整個資訊戰來看，網路攻擊往往早於實體攻擊外，網路攻擊也是很好的支持力量；而這些發動網路戰的單位，也會和發動APT攻擊的組織相互呼應，讓這些網路戰更為真實、更有影響力，畢竟，臺灣面對的是一個準備超過20年的敵人。</p> </div></div></div>
2022/12/16 14:55作者黃彥棻https://www.ithome.com.tw/news/154758
GitHub公開儲存庫現在也可以使用秘密掃描功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.blog/changelog/2022-12-15-secret-scanning-is-now-available-for-free-on-public-repositories/">GitHub</a>現在逐步向公開儲存庫推送秘密掃描功能，用戶將可以在秘密洩漏時獲得警報，GitHub也會通知其合作夥伴以採取保護措施。</p> <p>官方提到，秘密和憑證外洩是資料洩漏最常見的原因。GitHub與服務供應商合作，透過秘密掃描合作夥伴計畫，掃描儲存庫中200多種權杖格式，標記所有公開儲存庫中洩漏的憑證，並通知秘密掃描合作夥伴，採取積極保護措施。光在2022年，GitHub就已經向秘密掃描合作夥伴，通報超過170萬個公開儲存庫中潛在的秘密，避免這些權杖遭到濫用。</p> <p>而GitHub現在針對公開儲存庫，推出機密掃描公開測試版本，並預計在2023年1月底，擴展至所有用戶。一旦儲存庫獲得機密掃描警報功能，便可以在程式碼安全和分析配置中，從儲存庫的配置中啟用，並在儲存庫的安全頁籤裡的漏洞警報面板，查看系統偵測到的秘密。</p> <p>秘密掃描警報在偵測到用戶洩漏的權杖，除了會通知用戶，同時也會通知秘密掃瞄合作夥伴，以迅速採取保護措施，當然，在GitHub無法通知合作夥伴的情況下，像是自託管的HashiCorp Vault金鑰洩漏，用戶仍會收到機密警報。</p> <p>用戶隨時都可以追蹤所有警報，並且深入了解洩漏來源，並且對警報採取稽核行動。GitHub表示，在公開儲存庫中使用秘密掃描警報，能夠讓用戶更有自信地建構開源專案。</p> <p>除了秘密掃描警報功能，GitHub也推出了其他兩項小更新，其一是GitHub企業雲休眠用戶報告現在正式上線，該報告可以顯示90天內未活動的企業成員。另外，在私有儲存庫可重用工作流程，現在能夠和同一組織、使用者帳戶或是其他有私儲存庫共享。</p> </div></div></div>
2022/12/16 16:31作者李建興https://www.ithome.com.tw/news/154767