部落格

圖片來源: 

Appier

重點新聞(1218~1231)

#CDP #顧客行為預測 #No Code工具 #視覺化分析 #Cookie同意管理

Appier推出CDP，主打No code進行AI顧客行為預測及視覺化分析

10月收購美國視覺化分析業者Woopra後，臺灣AI行銷科技商Appier結合Woopra No code視覺化分析技術與自家顧客資料科學平臺Aixon功能，。此產品支援英文、日文、韓文和繁體中文四種語系。

Airis主打行銷人員能用No code介面來操作AI模型進行顧客行為預測。沒有IT背景的行銷人員只要透過輸入行銷需求，Airis便會自動設定好AI模型參數，來提供顧客行為預測，不需要AI科學家團隊或資料工程師來調校複雜的AI模型特徵值及參數。如此一來，行銷人員可以省下與資料工程師溝通商業邏輯的成本。

Airis還採用了Woopra的分析技術與視覺化介面，使行銷人員能從顧客資料庫中自行定義顧客屬性，並從時間軸、受眾群、轉換率、流失率等不同參數來交叉分析，快速生成各式報表。Appier一直以來都相當重視行銷人員自主使用No code工具來進行視覺化數據分析，例如Appier個人化行銷平臺Aiqua上就有拖拉式生成報表功能。

另一項值得注意的功能是，為了因應隱私權抬頭及未來第三方Cookie退場，Airis也有管理顧客Cookie同意聲明（CMP, Cookie Consent Management）的功能。

#App廣告 #DMA #第三方App市集 #iOS

蘋果要允許iOS上有第三方App市集，更允許使用者側載App

由於歐洲數位市場法（DMA）要求，。這意味著蘋果對iOS App的廣告市場掌控度會降低。

自從iOS 14.5隱私權條款上線後，App廣告商接觸iOS用戶的管道就被大幅限縮。App開發商若想在iOS裝置打廣告，不得不屈就於蘋果廣告體系。同時，蘋果也積極推動自家廣告業務，包括打造大型DSP以及增設官方App市集App Store的廣告版位。

蘋果近期開始在自家App Store新增廣告版位，例如這個占版面比例一半的Today Tab

當App Store不再是唯一上架App到iOS的管道，可以想像大量App開發商逃離──帶著他們原本在App Store打廣告的預算。不只因為有更多廣告體系可以選擇，也因為App Store上架費用遠高於直接競爭者Google Play Store，而且蘋果還會對App內消費抽取高達30%的分潤。

過去，蘋果一直以隱私權為由拒絕開放第三方市集和側載，不過若歐洲市場實行後沒有出現大問題，恐怕蘋果也無法再以相同理由守住其他市場的App Store，以及App Store廣告獨佔地位。

#零售媒體聯播網 #IAB標準 #行銷成效追蹤

IAB明年將著手制定RMN廣告形式標準，零售媒體廣告格式和行銷成效追蹤將更容易

美國互動廣告協會（IAB）程序化及數據中心負責人，預計2024年正式發布。他補充，這些標準也會參考其他廣告形式標準，以利整體廣告成效分析。

這意味著RMN已經成為一個相當成熟的程序化廣告投放管道。根據美國研究機構Insider Intelligence，美國RMN市場今年會成長30%到400億美元，明年還會再成長25%到510億美元。今年Q3，美國線下零售龍頭Walmart廣告業務成長了30%，線上龍頭Amazon的廣告營收也成長了25%。

網頁設計最專業,超強功能平台可客製,窩窩以「數位行銷」「品牌經營」「網站與應用程式」「印刷品設計」等四大主軸，為每一位客戶客製建立行銷脈絡及洞燭市場先機,請問台中電動車哪裡在賣比較便宜可以到台中景泰電動車門市去看看總店：臺中市潭子區潭秀里雅潭路一段102-1號。電動車補助推薦評價好的iphone維修中心擁有專業的維修技術團隊，同時聘請資深iphone手機維修專家，現場說明手機問題，快速修理，沒修好不收錢住家的頂樓裝太陽光電聽說可發揮隔熱功效一線推薦東陽能源擁有核心技術、產品研發、系統規劃設置、專業團隊的太陽能發電廠商。網頁設計一頭霧水該從何著手呢? 回頭車貨運收費標準宇安交通關係企業，自成立迄今，即秉持著「以誠待人」、「以實處事」的企業信念台中搬家公司教你幾個打包小技巧,輕鬆整理裝箱!還在煩惱搬家費用要多少哪？台中大展搬家線上試算搬家費用，從此不再擔心「物品怎麼計費」、「多少車才能裝完」台中搬家公司費用怎麼算?擁有20年純熟搬遷經驗，提供免費估價且流程透明更是5星評價的搬家公司好山好水露營車漫遊體驗露營車x公路旅行的十一個出遊特色。走到哪、玩到哪，彈性的出遊方案，行程跟出發地也可客製,產品缺大量曝光嗎?你需要的是一流包裝設計Google地圖已可更新顯示潭子電動車充電站設置地點!!廣告預算用在刀口上，台北網頁設計公司幫您達到更多曝光效益

#品牌安全 #出版商控管 #GDN

Google讓遭禁用的網站主用同一個帳號重新加入多媒體聯播網

近日美國調查報導機構ProPublica踢爆，。有一個使用Google多媒體聯播網（Google Display Network）的出版商，曾經營假新聞網站，還鬧到遭輝瑞提告。雖然當時他的網站遭停權。如今卻仍能使用同一組GDN帳號來展示廣告，只是新開一個網站就能躲過審查。

儘管Google曾經鼓吹廣告業界使用出版商透明化文件Seller.json，GDN自己還是使用去識別化的ID來表示自家出版商，而非出版商的網址和網站主。若Google對於惡質出版商的控管機制如此薄弱，廣告主又無法自行調查出版商底細，便會對廣告主構成品牌安全風險。

#品牌安全 #事前過濾 #事後審核

Twitter推出新品牌安全選項，廣告主能事前過濾內容並事後透過第三方機制驗收

Elon Musk掌權社群媒體平臺Twitter後，已經有大量廣告主離開這個平臺，。面臨這個廣告危機之際，Twitter推出。

第1個是相鄰內容選項，廣告主能在下標前過濾自家廣告不能出現於有指定關鍵字相鄰的內容。Twitter表示，自家平臺原本就會先自動排除部分會造成廣告主困擾的內容，此選項則是進一步增加廣告主對品牌安全的掌控。

另一項則是跟2家第三方廣告分析商DoubleVerify及Integral Ad Science合作，依照全球負責任媒體聯盟（GARM）品牌安全標準，提供廣告投放後的品牌安全分析。

#脫離GoogleMap #定位資訊 #位置行銷

LBS行銷圖資新選擇：Linux基金會聯合許多AWS、Meta、微軟等科技大廠一同開發開放地圖資料庫

用地理資訊作為行銷依據，是近期Martech的一大新趨勢。若要開發以地理位置為依據的相關服務，通常免不了要花錢從Google Map接API到自家系統。不過，未來可能會有一個同等強大，而且免費的地圖數據來源。Linux基金會聯合AWS、Meta、微軟以及提供Apple Maps地圖資料的導航廠商TomTom，，供開發者使用。

Overture Maps基金會表示，由於地圖開放資料庫通常會有多個資料來源，因此往往難以有條理的整合所有資料並提供簡單易懂的資料綱要。結合這些大廠商之力，Overture將嚴格審查地圖資料正確性，並開發一個物件檢索系統，整合多種地圖資料來源，並確保這些資料結構仍簡單易懂。預計2023年上半年就會釋出第一版的全球地圖數據集，並提供相關開源程式碼來協助開發者能處理和有效利用這些地圖數據和及物件檢索系統。

更多Martech動態：

1. Disney+的，不過。

2. 。

3. 

資料來源：iThome整理，2022年12月

責任編輯：郭又華

 

https://www.ithome.com.tw/news/154958

Citrix針對旗下的Citrix ADC與Citrix Gateway，於上個月和本月各修補了1個CVSS風險層級近乎滿分的重大漏洞，但最近有資安業者提出警告，超過7千臺採用這系列產品的系統尚未完全修補，至少存在其中一個漏洞，而有可能成為駭客鎖定的目標。

智慧音箱提供聲控的功能為使用者帶來便利，一旦這類設備出現漏洞，就有可能成為駭客用來監控使用者的管道。有研究人員發現了能挾持Google Home智慧音箱的漏洞，Google認為此項漏洞也可能波及Google Nest與Fitbit等連網裝置，而二度頒發獎勵。

微軟日前針對來自網際網路上的Office檔案，大幅限縮執行VBA巨集的功能，而使得駭客改以濫用Excel範本檔案XLL來發動攻擊，有威脅情報研究團隊揭露其手法的演進，並指出駭客濫用應用程式開發框架來打造這種惡意範本檔案。

 

【攻擊與威脅】

Citrix於11月、12月上旬先後修補了CVE-2022-27510及CVE-2022-27518兩個重大漏洞，CVSS風險層級分別達到9.8分與10分，影響Citrix ADC與Citrix Gateway，後者更已傳出被用於攻擊行動，但仍有不少設備尚未修補上述漏洞。資安業者Fox IT指出，在網際網路上公開的設備約有2.8萬臺，當中約有3,000臺同時存在上述兩項漏洞，約1,000臺受到CVE-2022-27510影響，約3,500臺可能曝露在CVE-2022-27518的風險之中。

研究人員指出，公開於網際網路的Citrix ADC與Citrix Gateway設備，數量最多的依序是美國、德國、英國，分別有42%、57%、45％修補上述2個漏洞。

思科的威脅情報小組Talos揭露近期駭客濫用Excel範本檔案（XLL）的攻擊行動，指出隨著微軟對於來自網際網路（MoTW）的Office檔案限縮VBA巨集的功能，駭客開始偏好使用惡意XLL來發動攻擊，且於去年年底達到高峰。這些駭客採用Excel-DNA和Add-In Express等應用程式開發框架，以.NET程式語言開發惡意Excel範本檔案。

其中，名為Warzone（亦稱Avemaria）的木馬程式在今年8月就是透過這類XLL檔案散布，駭客假冒匈牙利警方對當地使用者發動釣魚郵件攻擊。

根據新聞網站Economic Times的報導，12月27日，印度鐵路餐飲暨旅遊公司（IRCTC）傳出大規模資料外洩事件，駭客於暗網兜售相關資料，聲稱掌握了3千萬筆曾經搭乘的旅客個資與發票，個資內容包括使用者名稱、電子郵件信箱、手機號碼、性別、城市代碼、偏好使用的語言等。而發票的部分，其中有些的到期日為今年的12月31日。

駭客表示政府人員與重要人物的個資已被盜用，他們的資料已有10個人購買。這並非IRCTC首度遭駭，該公司曾於2019年遭到攻擊，而在隔年有900萬人個資出現在網際網路上。

 

【漏洞與修補】

研究人員Matt揭露於去年通報的Google Home智慧音箱漏洞，這項漏洞一旦遭到利用，攻擊者有可能在該智慧音箱新建帳號，然後在網路環境裡部署後門程式，以便遠端進行控制，並且存取麥克風來監聽使用者說話的內容。 研究人員對此也公布了3個概念性驗證程式，分別利用該漏洞監控麥克風、發出任意HTTP請求，以及在智慧音箱讀寫任意檔案。Google獲報後於2021年4月修補，研究人員得到10.7萬美元獎勵。

網頁設計最專業,超強功能平台可客製,窩窩以「數位行銷」「品牌經營」「網站與應用程式」「印刷品設計」等四大主軸，為每一位客戶客製建立行銷脈絡及洞燭市場先機,請問台中電動車哪裡在賣比較便宜可以到台中景泰電動車門市去看看總店：臺中市潭子區潭秀里雅潭路一段102-1號。電動車補助推薦評價好的iphone維修中心擁有專業的維修技術團隊，同時聘請資深iphone手機維修專家，現場說明手機問題，快速修理，沒修好不收錢住家的頂樓裝太陽光電聽說可發揮隔熱功效一線推薦東陽能源擁有核心技術、產品研發、系統規劃設置、專業團隊的太陽能發電廠商。網頁設計一頭霧水該從何著手呢? 回頭車貨運收費標準宇安交通關係企業，自成立迄今，即秉持著「以誠待人」、「以實處事」的企業信念台中搬家公司教你幾個打包小技巧,輕鬆整理裝箱!還在煩惱搬家費用要多少哪？台中大展搬家線上試算搬家費用，從此不再擔心「物品怎麼計費」、「多少車才能裝完」台中搬家公司費用怎麼算?擁有20年純熟搬遷經驗，提供免費估價且流程透明更是5星評價的搬家公司好山好水露營車漫遊體驗露營車x公路旅行的十一個出遊特色。走到哪、玩到哪，彈性的出遊方案，行程跟出發地也可客製,產品缺大量曝光嗎?你需要的是一流包裝設計Google地圖已可更新顯示潭子電動車充電站設置地點!!廣告預算用在刀口上，台北網頁設計公司幫您達到更多曝光效益

 

【資安防禦措施】

根據華盛頓郵報、路透社報導，美國參議院12月14日無異議通過名為《No Tiktok on Government Devices Act》的法案，將禁止美國政府或國營企業的任何裝置下載或使用抖音。一旦獲得該國總統拜登簽署，將成為正式法律。美國行政管理與預算局（Office of Management and Budget）將於法律發布後的60天內，和其他相關單位諮詢後制定標準和指引，要求行政部門移除這個中國應用程式。這並非參議院首度封殺抖音──他們曾在2020年通過類似法律，但當時的總統川普並未簽署而沒有實施。

 

【其他資安新聞】

 

近期資安日報

https://www.ithome.com.tw/news/154957

圖片來源: 

（背景圖）Octavian Rosca on unsplash

Citrix分別在11月初及12月中傳出ADC及Gateway產品高風險漏洞，雖然Citrix已經釋出修補程式，，仍然有數千家客戶還未修補2項漏洞，迄今仍曝露在風險下。

這2項影響Citrix ADC（原名NetScaler）及Gateway的漏洞，分別為及。可讓未經授權的攻擊者得以獲得Gateway使用者權限，則允許攻擊者遠端執行程式碼。兩者皆為風險值9.8的重大漏洞。其中CVE-2022-27518已經遭到駭客濫用，美國國安局則宣稱攻擊者是中國駭客APT5。這家業者也已釋出更新軟體版本以解決漏洞。

，旗下Citrix ADC、Citrix Gateway存在CVE-2022-27518。同時Citrix發出資安通告，有人正利用CVE-2022-27518攻擊旗下的Citrix ADC、Citrix Gateway。美國國家安全局指出攻擊者的身分是中國駭客組織APT5。

資安廠商Fox IT近日針對Citrix產品修補狀況做了調查，顯示仍有大量企業未修補。Citrix ADC和Gateway的產品特性，其伺服器一般對網際網路開放。因此以一些搜尋引擎如Shodan和Censys掃瞄網際網路，可以辨識出連網伺服器。安全廠商Fox IT以此蒐集到SSL VPN及閘道服務曝險的ADC、Gateway伺服器清單。截至11月11日他們發現有2.8萬臺連網的Citrix ADC、Gateway伺服器。

經過了一番比對，研究人員比對出這些Citrix ADC和Gateway伺服器中，大部份已升級到13.0-88.14版，不受這兩個漏洞影響。但另外仍有1,000多臺受到CVE-2022-27510影響，有3,500臺執行的是受CVE-2022-27518影響的12.1-65.21版。有近3,000臺伺服器仍然存在兩項漏洞。

網頁設計最專業,超強功能平台可客製,窩窩以「數位行銷」「品牌經營」「網站與應用程式」「印刷品設計」等四大主軸，為每一位客戶客製建立行銷脈絡及洞燭市場先機,請問台中電動車哪裡在賣比較便宜可以到台中景泰電動車門市去看看總店：臺中市潭子區潭秀里雅潭路一段102-1號。電動車補助推薦評價好的iphone維修中心擁有專業的維修技術團隊，同時聘請資深iphone手機維修專家，現場說明手機問題，快速修理，沒修好不收錢住家的頂樓裝太陽光電聽說可發揮隔熱功效一線推薦東陽能源擁有核心技術、產品研發、系統規劃設置、專業團隊的太陽能發電廠商。網頁設計一頭霧水該從何著手呢? 回頭車貨運收費標準宇安交通關係企業，自成立迄今，即秉持著「以誠待人」、「以實處事」的企業信念台中搬家公司教你幾個打包小技巧,輕鬆整理裝箱!還在煩惱搬家費用要多少哪？台中大展搬家線上試算搬家費用，從此不再擔心「物品怎麼計費」、「多少車才能裝完」台中搬家公司費用怎麼算?擁有20年純熟搬遷經驗，提供免費估價且流程透明更是5星評價的搬家公司好山好水露營車漫遊體驗露營車x公路旅行的十一個出遊特色。走到哪、玩到哪，彈性的出遊方案，行程跟出發地也可客製,產品缺大量曝光嗎?你需要的是一流包裝設計Google地圖已可更新顯示潭子電動車充電站設置地點!!廣告預算用在刀口上，台北網頁設計公司幫您達到更多曝光效益

圖片來源／Fox IT

研究人員指出，要濫用CVE-2022-27518還需要伺服器預設啟用SAML，因此並不一定意謂著這3,500多臺伺服器一定會被駭，但用戶還是應該需要儘速更新軟體。

研究人員並未指出未補漏洞的Citrix伺服器的國家分布，但說明修補進度最快的國家，管理員在NSA發布安全公告後即快速回應，升級的比例分別是美國（42%）、德國（57%）、法國（56%）、加拿大（41%）、澳洲（50%）及瑞士（51%）、荷蘭（62%）。其中美國和德國也是原本曝險伺服器最多的國家，分別有近7,500臺及3,000多臺，顯示可能也是未補全漏洞的伺服器主要所在地。文⊙林妍溱

圖片來源／Fox IT

在Citrix的12月13日同日，美國國家安全局（NSA）亦Citrix ADC防護指引，是關於中國政府資助的駭客組織APT5（亦稱UNC2630、Manganese）將其用於攻擊行動，因此制定威脅獵捕指南，協助企業因應。文⊙iThome資安主編羅正漢 　圖片來源／擷取自NSA 

https://www.ithome.com.tw/news/154956

圖片來源: 

Deepanker Verma on pexels-

Google Chrome計畫進一步防止使用者造訪不安全網站。，Google正在開發中的新版Chrome安全更新，將加入可封鎖HTTP網站載入的功能。

Chrome從幾年前就開始以HTTPS網站為準，而抑制用戶造訪HTTP網站。在用戶造訪HTTP網站時發出「不安全」的警告。HTTPS-only模式。它是包含在「永遠使用安全連線（Always use secure connections）」設定下。啟動後，當瀏覽器發現用戶欲造訪網站不支援HTTPS時會跳出警告，使用者必須手動同意以HTTP造訪才會建立連線。

網頁設計最專業,超強功能平台可客製,窩窩以「數位行銷」「品牌經營」「網站與應用程式」「印刷品設計」等四大主軸，為每一位客戶客製建立行銷脈絡及洞燭市場先機,請問台中電動車哪裡在賣比較便宜可以到台中景泰電動車門市去看看總店：臺中市潭子區潭秀里雅潭路一段102-1號。電動車補助推薦評價好的iphone維修中心擁有專業的維修技術團隊，同時聘請資深iphone手機維修專家，現場說明手機問題，快速修理，沒修好不收錢住家的頂樓裝太陽光電聽說可發揮隔熱功效一線推薦東陽能源擁有核心技術、產品研發、系統規劃設置、專業團隊的太陽能發電廠商。網頁設計一頭霧水該從何著手呢? 回頭車貨運收費標準宇安交通關係企業，自成立迄今，即秉持著「以誠待人」、「以實處事」的企業信念台中搬家公司教你幾個打包小技巧,輕鬆整理裝箱!還在煩惱搬家費用要多少哪？台中大展搬家線上試算搬家費用，從此不再擔心「物品怎麼計費」、「多少車才能裝完」台中搬家公司費用怎麼算?擁有20年純熟搬遷經驗，提供免費估價且流程透明更是5星評價的搬家公司好山好水露營車漫遊體驗露營車x公路旅行的十一個出遊特色。走到哪、玩到哪，彈性的出遊方案，行程跟出發地也可客製,產品缺大量曝光嗎?你需要的是一流包裝設計Google地圖已可更新顯示潭子電動車充電站設置地點!!廣告預算用在刀口上，台北網頁設計公司幫您達到更多曝光效益

一項新的程式碼變更，將2021年的功能再擴大，會封鎖任何HTTP網站直接下載或位於下載路徑中。若用戶要造訪的網站只能經由HTTP協定下載，在Chrome就無法存取。若用戶要造訪HTTPS網站，但中間會經由HTTP網站重導引，Chrome也一樣預設封鎖。

這項功能為選擇性功能，用戶必須經由Chrome flag才找得到。不過未來將整合到「永遠使用安全連線」功能的一部分。

不過和Chrome之前封鎖HTTP網站的設定一樣，這項新功能還是允許用戶關閉。

https://www.ithome.com.tw/news/154966

圖片來源: 

Copper Mountain Mining Corporation

加拿大一家主要銅礦場上周遭到勒索軟體攻擊，被迫以手動作業，並關閉採礦設備。

加國，去年12月27日該公司IT系統和公司辦公室遭到勒索軟體攻擊。該公司為了減低損害而將運作系統獨立開來、轉為手動操作，並預防性關閉礦場以判斷控制系統受到的影響。

網頁設計最專業,超強功能平台可客製,窩窩以「數位行銷」「品牌經營」「網站與應用程式」「印刷品設計」等四大主軸，為每一位客戶客製建立行銷脈絡及洞燭市場先機,請問台中電動車哪裡在賣比較便宜可以到台中景泰電動車門市去看看總店：臺中市潭子區潭秀里雅潭路一段102-1號。電動車補助推薦評價好的iphone維修中心擁有專業的維修技術團隊，同時聘請資深iphone手機維修專家，現場說明手機問題，快速修理，沒修好不收錢住家的頂樓裝太陽光電聽說可發揮隔熱功效一線推薦東陽能源擁有核心技術、產品研發、系統規劃設置、專業團隊的太陽能發電廠商。網頁設計一頭霧水該從何著手呢? 回頭車貨運收費標準宇安交通關係企業，自成立迄今，即秉持著「以誠待人」、「以實處事」的企業信念台中搬家公司教你幾個打包小技巧,輕鬆整理裝箱!還在煩惱搬家費用要多少哪？台中大展搬家線上試算搬家費用，從此不再擔心「物品怎麼計費」、「多少車才能裝完」台中搬家公司費用怎麼算?擁有20年純熟搬遷經驗，提供免費估價且流程透明更是5星評價的搬家公司好山好水露營車漫遊體驗露營車x公路旅行的十一個出遊特色。走到哪、玩到哪，彈性的出遊方案，行程跟出發地也可客製,產品缺大量曝光嗎?你需要的是一流包裝設計Google地圖已可更新顯示潭子電動車充電站設置地點!!廣告預算用在刀口上，台北網頁設計公司幫您達到更多曝光效益

銅山採礦公司已經通報主管機關，合作的外部安全廠商及其IT部門正在評估風險，也已增加防範措施，表示攻擊沒有造成安全事件或環境影響。

這家採礦業者目前正在調查攻擊來源。，安全業者KELA發現，事件發生前約2周，有人在駭客論壇上販售這家公司員工的存取憑證，極可能直接或間接造成攻擊事件的發生。

https://www.ithome.com.tw/news/154965

在資安分析技術不斷進步之下，攻擊者也持續找出新的規避偵測的技術，本日有兩起資安人員研究公布亦突顯此一情形，包括新的Shellcode技術與新繞過Windows MoTW的方法。

南韓警察廳揭露集權鄰國發動大規模網釣與勒索軟體攻擊行動，值得關注，近千位外交專家與數十個購物網站成為鎖定攻擊目標。

在國內，金管會要求臺灣上市櫃大型企業在2022年底需設置資安長，今年已有多家公司陸續任命，如今台積電亦推出副總經理林錦坤擔任，明年底上市櫃第二級公司也要注意，必須設置資安專責主管與人員。

 

【攻擊與威脅】

CrowdStrike揭露GuLoader惡意軟體下載器的新發現，表示這款採用大量反分析技術的惡意軟體，最近又有新的Shellcode技術，將會使用NtQueryVirtualMemory API，掃描整個記憶體的處裡程序，在每個記憶體頁面（Page）以查找任何與VM相關的字串，來檢測是否在檢測環境中運行，一旦發現如VMSwitchUserControlClass，VM3DService Hidden Window，VMDisplayChangeControlClass，以及vmtoolsdControlWndClass等的DJB2 Hash值，就會停止執行。此外，在調用每個API之前，也會針對API執行斷點檢查。

卡巴斯基在12月27日針對MoTW繞過的攻擊手法提出警告，指出他們最近發現許多攻擊者開始這麼做，例如，他們發現APT駭客Lazarus Group旗下BlueNoroff組織，正使用新的伎倆來欺騙這項安全機制。簡單來說，MoTW的安全功能，會針對從網路下載的檔案給予一個標籤，因此攻擊者開始把真正的攻擊酬載（Payload）像是誘餌文件、惡意腳本，隱藏在像是ISO或VHD的檔案格式。

，說明子公司遭遇網路攻擊，當中表示他們的子公司BTC.com在12月3日遭受網路攻擊，造成公司230萬美元的加密貨幣資產，以及客戶持有的70萬美元加密貨幣遭竊。在事件應變方面，該公司表示已在技術上採取行動以攔截駭客，並且通報中國深圳的執法單位，且目前公司營運正常，但沒有公布調查結果，也沒有說明攻擊管道與事件如何發生。

南韓警察廳揭露近期該國發現的資安威脅現況，根據，警方首先揭露北韓駭客鎖定南韓外交專家學者發動大規模網釣攻擊，這波行動從今年4月開始，有892名收到假冒執政高層、外交官員名義的釣魚信，並有49人上當；另也提及他們首次發現這批北韓駭客使用勒索軟體攻擊，造成當地13家線上購物網站的19臺伺服器遇害，其中並有兩家業者因此支付了約6萬元的比特幣贖金。

Cookie Theft（pass-the-cookie attack）的Session劫持技術存在多年，可繞過MFA的保護機制，去年10月最近國內有商業Youtube頻道表示受害，例如3C達人廖阿輝在12月25日的影片中，說明誤信了一個以合作廠商名義、傳來遊戲DEMO下載的檔案，該惡意連結並不是在郵件內文中，而是存在郵件附檔PDF中，點擊執行後，曾跳出錯誤提醒視窗，一天後發現其Youtube頻道被盜。由於假合作廠商名義的威脅早已時有所聞，若收到訊息的人要開啟可疑的檔案，建議應在隔離的測試環境或VM執行。

近日Azure一項重大漏洞的技術細節公開，根據SecurityWeek報導指出，這是資安研究人員Emilien Socchi在今年12月22日揭露，該漏洞並稱之為ACSESSED，是今年2月時通報，微軟在8月31日已修補，如今研究人員公開相關技術細節，指出這個漏洞影響了啟用Allow access from portal功能的用戶，將允許攻擊者從任何位置（包括未暴露在網際網路上的執行個體）跨租戶存取ACS實例的資料層，並說明其研究經過與PoC概念驗證的過程。

 

【漏洞與修補】

Apache在12月22日針對旗下的ShardingSphere-Proxy修補重大漏洞，根據cve.org網站的說明，受影響的是5.3.0之前的版本，漏洞編號為CVE-2022-45347，問題出在ShardingSphere-Proxy在使用MySQL作為資料庫後端時，在MySQL客戶端認證失敗後，並沒有完全清理資料庫Session，這使得攻擊者將可利用一個特殊的MySQL客戶端（也就是認證失敗不會關閉客戶端），進而繞過身分驗證。該漏洞已在Apache ShardingSphere 5.3.0版本修補。

 

【資安防禦措施】

趕在2022年底之前，屬於金管會規範為第一級公司的台積電，在12月27日下午發布公告，任命該公司現任資訊技術及資材暨風險管理資深副總經理林錦坤，出任台積電首任資訊安全長，而最近一周設置資安長的上市櫃公司，還有潤泰新、匯橋、潤泰全、鴻準、可寧衛、和桐、大同、富爾特與群翊等，其中有些公司並非被要求的第一級公司，但也開始主動設置資安長一職，強化組織內部的資安發展。

網頁設計最專業,超強功能平台可客製,窩窩以「數位行銷」「品牌經營」「網站與應用程式」「印刷品設計」等四大主軸，為每一位客戶客製建立行銷脈絡及洞燭市場先機,請問台中電動車哪裡在賣比較便宜可以到台中景泰電動車門市去看看總店：臺中市潭子區潭秀里雅潭路一段102-1號。電動車補助推薦評價好的iphone維修中心擁有專業的維修技術團隊，同時聘請資深iphone手機維修專家，現場說明手機問題，快速修理，沒修好不收錢住家的頂樓裝太陽光電聽說可發揮隔熱功效一線推薦東陽能源擁有核心技術、產品研發、系統規劃設置、專業團隊的太陽能發電廠商。網頁設計一頭霧水該從何著手呢? 回頭車貨運收費標準宇安交通關係企業，自成立迄今，即秉持著「以誠待人」、「以實處事」的企業信念台中搬家公司教你幾個打包小技巧,輕鬆整理裝箱!還在煩惱搬家費用要多少哪？台中大展搬家線上試算搬家費用，從此不再擔心「物品怎麼計費」、「多少車才能裝完」台中搬家公司費用怎麼算?擁有20年純熟搬遷經驗，提供免費估價且流程透明更是5星評價的搬家公司好山好水露營車漫遊體驗露營車x公路旅行的十一個出遊特色。走到哪、玩到哪，彈性的出遊方案，行程跟出發地也可客製,產品缺大量曝光嗎?你需要的是一流包裝設計Google地圖已可更新顯示潭子電動車充電站設置地點!!廣告預算用在刀口上，台北網頁設計公司幫您達到更多曝光效益

隨著2023年即將到來，上市櫃第二級公司也要注意設置資安專責主管，以及至少1名資安專責人員的期限會在2023年底。

金管會在12月27日公布未來三年將推動的金融資安行動方案2.0，延續1.0版所提出的四大策略，適用範圍也擴大，並聚焦資安的落實與深化，共訂定40項措施，當中新增12項、擴大適用範圍5項、持續性措施23項。

對此，金管會也簡單說明9項推動重點，值得關注的部分，包括：定期召開資安長連繫會議；深化核心資料保全；因應數位轉型及網路服務開放將聚焦多元金融身分驗證框架級標準；鼓勵建置SOC並達一定規模金融機構，朝向檢驗資安監控及防禦部署有效性的模擬與演練；鼓勵零信任網路部署；以及擴大攻防演訓與重大資安事件支援演訓等。

 

【其他資安新聞】

 

 

近期資安日報

 

https://www.ithome.com.tw/news/154920

圖片來源: 

國發會

臺灣淨零路徑規畫自3月公布後，國發會於今日（12/28）公布更具體減碳行動方案，除了明年將編列682億元推動淨零轉型，未來將整合12項關鍵戰略，分階段達減碳到效果，推估到2030年可以達到最多25％碳減量。不過對於外界關注臺灣碳定價機制，國發會並沒有公布更詳細徵收標準，僅表示目前規畫是採先大後小的策略，分階段來實施，從碳排大戶先推，之後再擴大到中小企業。

在總統蔡英文去年宣誓2050年淨零碳排目標後，以4大策略、2大基礎，共12項關鍵戰略分階段達成2050減碳目標。長遠來看，臺灣2050淨零轉型有4大目標，包括建立更加安全能源轉型、更具競爭力的產業轉型，更具永續生活轉型，以及更具韌性的社會轉型。

為了推動這12項關鍵戰略，國發會到2030年之前規畫9千億元經費推動淨零轉型，國發會主委龔明鑫表示，明年將編列682億元預算，目前正在立院審議中，待通過以後明年就可以開始推動執行。

為了貫徹淨零轉型，他在會中更宣布，未來審議國家重大建設計畫，將把淨零或減碳列入審查一環，來決定是否要通過該計畫。這也意謂著，未來國家重大建設在規畫設計前期就必須將淨零或減碳納入考量。

臺灣碳排減量路徑是以2020年、2025年每5年為管制目標，目前已完成第一期（2020年），進到第二期作業階段，但第一期實際執行不如預期，只有達1.88％減量，略低於原先2％目標，因此進到第2期後，各部會必須更加努力推動，才能達到2025年達減量1成、2030年減量2成的階段目標。

國發會這次公布到2030年以前更詳細淨零排放規畫和策略方向，共12項關鍵戰略執行，包括風電光電、氫能、前瞻能源、電力系統與儲能、節能、碳捕捉封存與利用、運具電動化與無碳化、資源循環無廢棄、自然碳匯、淨零綠生活、綠色金融、公正轉型。

網頁設計最專業,超強功能平台可客製,窩窩以「數位行銷」「品牌經營」「網站與應用程式」「印刷品設計」等四大主軸，為每一位客戶客製建立行銷脈絡及洞燭市場先機,請問台中電動車哪裡在賣比較便宜可以到台中景泰電動車門市去看看總店：臺中市潭子區潭秀里雅潭路一段102-1號。電動車補助推薦評價好的iphone維修中心擁有專業的維修技術團隊，同時聘請資深iphone手機維修專家，現場說明手機問題，快速修理，沒修好不收錢住家的頂樓裝太陽光電聽說可發揮隔熱功效一線推薦東陽能源擁有核心技術、產品研發、系統規劃設置、專業團隊的太陽能發電廠商。網頁設計一頭霧水該從何著手呢? 回頭車貨運收費標準宇安交通關係企業，自成立迄今，即秉持著「以誠待人」、「以實處事」的企業信念台中搬家公司教你幾個打包小技巧,輕鬆整理裝箱!還在煩惱搬家費用要多少哪？台中大展搬家線上試算搬家費用，從此不再擔心「物品怎麼計費」、「多少車才能裝完」台中搬家公司費用怎麼算?擁有20年純熟搬遷經驗，提供免費估價且流程透明更是5星評價的搬家公司好山好水露營車漫遊體驗露營車x公路旅行的十一個出遊特色。走到哪、玩到哪，彈性的出遊方案，行程跟出發地也可客製,產品缺大量曝光嗎?你需要的是一流包裝設計Google地圖已可更新顯示潭子電動車充電站設置地點!!廣告預算用在刀口上，台北網頁設計公司幫您達到更多曝光效益

在這12項關鍵戰略中，國發會尤其重視節能的推動，認為它將是2030年前臺灣減碳重要關鍵，包括工業、商業、住宅及運具的節能改善，可以帶動整體國家碳排顯著減少。具體策略上，將由經濟部聯合相關部會從公司、學校加強推動節能措施來強化節能治理生態系，還有擴大地方政府導入及提升民間量能 、推行企業自主節能、智慧節能，以及綠建築等。

為了跟上國際碳捕捉發展腳步，臺灣也將加快碳捕捉利用及封存（CCUS）技術的布局，它也是12項減碳關鍵戰略之一，國發會希望透過這項技術協助相關廠商以後可以將碳排不斷反覆循環利用，進而達到整體碳減量，除了前瞻技術投資，往後幾年，經濟部將與國營與民營機構展開合作，透過示範場域驗證其可行性。國發會預期透過CCUS相關技術導入，幫助臺灣到2030年碳排再減量176～460萬噸。

在綠色金融方面，金管會今年提出綠色金融3.0計畫，將從金融機構自身做起，透過運用投融資及金融工具來引導企業，進而加快供應鏈及減碳轉型的發展腳步。具體策略上，包括要求碳排資訊揭露，了解企業客戶碳排情形，還有強化ESG資訊平臺建置，以便金融機構進行風險評估，以及建立金融機構合作平臺和推動跨部會的合作。

另外，在運具電動化與無碳化上，交通部未來則會從提高電動車運具數量、完善使用配套環境以及產業技術升級轉型三大面向著手推動，達到交通運輸減碳轉型。

經過國發會盤點，透過這12項戰略執行預期可減量約72～77百萬噸的規模，相當於2020年排碳量29%。若以此推估，國發會表示，2030年不只能達成原訂20％減碳目標，甚至有機會挑戰更高的23％或25％減碳幅度。

國發會預期，透過這項推動計畫，將可以促進經濟和帶動新商機，包括到2030年帶動民間投資超過4兆元，創造5.9兆產值，以及帶來超過55萬個就業機會。

但對於外界關注臺灣碳定價機制，國發會僅表示目前規畫是採先大後小的策略，分階段來實施，從碳排大戶先推，以大帶小，之後再擴大到中小企業。但根據先前環保署長張子敬在立院答詢，曾表示未來碳費的徵收有可能每公噸高於新臺幣300元。

https://www.ithome.com.tw/news/154917

Chaos Computer Club研究人員發現，美軍持有的生物識別設備在轉手出售前，疑似未經資料銷毀處理，便流入電商平臺。（圖片來源／美國陸軍官方網站）

一名德國安全研究人員近日在eBay上買到的二手軍方裝置中，發現包含數千人的指紋、相片、以及美軍作戰部署等機密資料。

德國記者Matthias Marx隷屬於Chaos Computer Club（CCC）的研究團體。他們因去年一則關於塔利班亟力追查幫助美軍的阿富汗人的報導，而發起這項研究計畫。近日他們在eBay買到6件可儲存生物辨識資訊的電子裝置，多數在200美元以下成交。Marx以68美元買到的一件二手軍方裝置商品中，發現了驚人的軍方機密資訊。。

Mark買到的軍方裝置中附隨一張記憶卡，其中包含2,600多人的相片和指紋，據信是由美軍掃瞄取得。這批資料還包含美軍士兵、可疑人士、為阿富汗政府工作者以及在美軍檢查哨被短暫拘留的人士，也有部份伊朗人。

網頁設計最專業,超強功能平台可客製,窩窩以「數位行銷」「品牌經營」「網站與應用程式」「印刷品設計」等四大主軸，為每一位客戶客製建立行銷脈絡及洞燭市場先機,請問台中電動車哪裡在賣比較便宜可以到台中景泰電動車門市去看看總店：臺中市潭子區潭秀里雅潭路一段102-1號。電動車補助推薦評價好的iphone維修中心擁有專業的維修技術團隊，同時聘請資深iphone手機維修專家，現場說明手機問題，快速修理，沒修好不收錢住家的頂樓裝太陽光電聽說可發揮隔熱功效一線推薦東陽能源擁有核心技術、產品研發、系統規劃設置、專業團隊的太陽能發電廠商。網頁設計一頭霧水該從何著手呢? 回頭車貨運收費標準宇安交通關係企業，自成立迄今，即秉持著「以誠待人」、「以實處事」的企業信念台中搬家公司教你幾個打包小技巧,輕鬆整理裝箱!還在煩惱搬家費用要多少哪？台中大展搬家線上試算搬家費用，從此不再擔心「物品怎麼計費」、「多少車才能裝完」台中搬家公司費用怎麼算?擁有20年純熟搬遷經驗，提供免費估價且流程透明更是5星評價的搬家公司好山好水露營車漫遊體驗露營車x公路旅行的十一個出遊特色。走到哪、玩到哪，彈性的出遊方案，行程跟出發地也可客製,產品缺大量曝光嗎?你需要的是一流包裝設計Google地圖已可更新顯示潭子電動車充電站設置地點!!廣告預算用在刀口上，台北網頁設計公司幫您達到更多曝光效益

Mark並未將這些資料交給媒體，但紐約時報記者根據外洩資料聯絡到一名美國人，後者證實資料屬實。這些資料一旦被敵方取得，極可能危及美軍或是曾協助美方的阿富汗人，理應在出售裝置前就已銷毁。

報導引述美國國防部發言人Patrick Ryder指出，軍方必須先看到這批資料才能確定資料的真實性。

研究團體CCC買到的這6件二手裝置中，有4件是用以無密碼登入服務的安全登錄套件（Secure Enrollment Kit，SEK II），另2件則是手持跨代理人身份偵測設備（Handheld Interagency Identity Detection Equipment，HIIDE ）。

eBay指出，銷售包含個人可辨識身分資訊（Personal Identifiable Information，PII）的裝置違反該網站政策。其中一名賣家對《紐時》指稱他銷售的SEK II商品是從美國政府拍賣會上購買，另一人則不願透露來源。

https://www.ithome.com.tw/news/154916

短影片社群平臺Tiktok在美持續遭封殺壓力。，將禁止美國政府公務裝置安裝使用Tiktok。

《》、《》報導，美國參議院本月中無異議通過一項名為《》的法案，將禁止美國政府或國營企業發放的任何裝置下載或使用Tiktok。本法案一旦獲得美國總統拜登簽署，將成為正式法律。而美國行政管理與預算局（Office of Management and Budget）應在60天內和其他相關單位諮詢後制定標準和指引，要求行政部門移除這個中國App。

此外，美眾議院管理委員會則已開始行動，將禁止由眾議院管理的行動裝置使用Tiktok。眾議院指出，網路安全辦公室認為Tiktok有多重安全風險，對用戶是一大安全威脅。

網頁設計最專業,超強功能平台可客製,窩窩以「數位行銷」「品牌經營」「網站與應用程式」「印刷品設計」等四大主軸，為每一位客戶客製建立行銷脈絡及洞燭市場先機,請問台中電動車哪裡在賣比較便宜可以到台中景泰電動車門市去看看總店：臺中市潭子區潭秀里雅潭路一段102-1號。電動車補助推薦評價好的iphone維修中心擁有專業的維修技術團隊，同時聘請資深iphone手機維修專家，現場說明手機問題，快速修理，沒修好不收錢住家的頂樓裝太陽光電聽說可發揮隔熱功效一線推薦東陽能源擁有核心技術、產品研發、系統規劃設置、專業團隊的太陽能發電廠商。網頁設計一頭霧水該從何著手呢? 回頭車貨運收費標準宇安交通關係企業，自成立迄今，即秉持著「以誠待人」、「以實處事」的企業信念台中搬家公司教你幾個打包小技巧,輕鬆整理裝箱!還在煩惱搬家費用要多少哪？台中大展搬家線上試算搬家費用，從此不再擔心「物品怎麼計費」、「多少車才能裝完」台中搬家公司費用怎麼算?擁有20年純熟搬遷經驗，提供免費估價且流程透明更是5星評價的搬家公司好山好水露營車漫遊體驗露營車x公路旅行的十一個出遊特色。走到哪、玩到哪，彈性的出遊方案，行程跟出發地也可客製,產品缺大量曝光嗎?你需要的是一流包裝設計Google地圖已可更新顯示潭子電動車充電站設置地點!!廣告預算用在刀口上，台北網頁設計公司幫您達到更多曝光效益

類似的法案，禁止聯邦政府員工的電腦和手機安裝Tiktok。之前的法案最終並未獲得總統簽署。不過時空背景已經大不相同。今年6月美國媒體《BuzzFeed》報導Tiktok中國員工可以存取美國用戶流量並檢查內容。

，Tiktok的內部稽核與風險部門包括中、美籍員工和2人為了調查內部洩密案，曾經存取《BuzzFeed》和《金融時報》記者的Tiktok 的IP和通訊資訊，包括曾經聯絡者。該公司也憂心少數員工的行為將危及用戶對Tiktok的信任。

雖然字節跳動已將4人免職，並重組Tiktok稽核部門，但仍無法平息美國聯邦和州政府對Tiktok已經燃起的反對聲浪。基於Tiktok母公司字節跳動的中國血統，迄今已有19州對其施行部分或全面禁令。

https://www.ithome.com.tw/news/154929

Azure一個跨租戶網路繞過漏洞，允許攻擊者跨租戶存取Azure認知搜尋（Azure Cognitive Search，ACS）私有執行個體中的資料。微軟已在今年8月悄悄修補。

Azure認知搜尋（Azure Cognitive Search，ACS）是一項相當受歡迎的全文搜尋引擎，可讓客戶以索引很快搜尋到資料。ACS支援多種搜尋方式，像是純文字搜尋、autocomplete、模糊搜尋或地點搜尋。

今年2月安全廠商Mnemonic研究人員Emilien Socchi發現，Azure ACS一項功能「Allow access from Portal」（下圖紅框處），可令使用者從Azure Portal存取ACS的資料層，即便防火牆已啟用了嚴格的設定，像是僅開放ACS資源給極少數公開端點、私有端點或完全不曝露於外部網路等情形。經過分析，他發現這是一項漏洞，他將之稱為ACSESSED。

圖片來源／Mnemonic

網頁設計最專業,超強功能平台可客製,窩窩以「數位行銷」「品牌經營」「網站與應用程式」「印刷品設計」等四大主軸，為每一位客戶客製建立行銷脈絡及洞燭市場先機,請問台中電動車哪裡在賣比較便宜可以到台中景泰電動車門市去看看總店：臺中市潭子區潭秀里雅潭路一段102-1號。電動車補助推薦評價好的iphone維修中心擁有專業的維修技術團隊，同時聘請資深iphone手機維修專家，現場說明手機問題，快速修理，沒修好不收錢住家的頂樓裝太陽光電聽說可發揮隔熱功效一線推薦東陽能源擁有核心技術、產品研發、系統規劃設置、專業團隊的太陽能發電廠商。網頁設計一頭霧水該從何著手呢? 回頭車貨運收費標準宇安交通關係企業，自成立迄今，即秉持著「以誠待人」、「以實處事」的企業信念台中搬家公司教你幾個打包小技巧,輕鬆整理裝箱!還在煩惱搬家費用要多少哪？台中大展搬家線上試算搬家費用，從此不再擔心「物品怎麼計費」、「多少車才能裝完」台中搬家公司費用怎麼算?擁有20年純熟搬遷經驗，提供免費估價且流程透明更是5星評價的搬家公司好山好水露營車漫遊體驗露營車x公路旅行的十一個出遊特色。走到哪、玩到哪，彈性的出遊方案，行程跟出發地也可客製,產品缺大量曝光嗎?你需要的是一流包裝設計Google地圖已可更新顯示潭子電動車充電站設置地點!!廣告預算用在刀口上，台北網頁設計公司幫您達到更多曝光效益

ACSESSED漏洞出現在ACS API，它的繞過（bypass）屬性允許特定來源繞過所有執行個體防火牆配置中的所有網路規則，意即可以從Azure Portal直接存取ACS執行個體的資料層。

研究人員指出，一旦啟用「Allow access from Portal」功能，Azure客戶即允許其他人從任何地點跨租戶存取ACS的資料層，不論ACS執行個體的實際網路配置為何。這功能一經啟用也等於移除了整個網路參數，同時未提供任何身分參數（即任何人都可以產生有效的ARM (Azure Resource Manager) 存取令牌）。

研究人員於2月底通報微軟ACSESSED漏洞，並將其列為權限擴充漏洞。微軟於3月底證實，而且由於本漏洞可導致跨租戶攻擊，且容易濫用，因而將風險值由中度提升為「重要」，不過並未編派漏洞編號。

微軟於3月發給研究人員10,000美元抓漏獎金，最後在8月釋出修補程式。

https://www.ithome.com.tw/news/154928