一周大事：启动核心系统上云计划，台湾家乐福先从ERP下手。网络数据设备被发现命令注入漏洞，中华电信紧急修补

台湾家乐福推动数位转型，ERP上云及CRM翻新为两大核心工程

近年台湾家乐福积极推动数位转型，决定采用GCP平台的解决方案运行SAP ERP系统，还有翻新CRM系统，再撷取CRM的部分顾客资料，搬迁上Google云，进一步进行资料分析，以实现精准行销。

ERP系统搬迁上Google云，是台湾家乐福上云计划中，第一个将于云环境执行的内部核心系统。因该计划超过50万欧元，需通过总部审核，家乐福行销暨电子商务与数位资讯总监林文子表示，历时两年的讨论，直到1个月前，才与Google云端和SAP两方完成签约。除了将在GCP平台使用SAP ERP系统，下一阶段，家乐福也将于GCP平台使用SAP BW。更多内容

戴夫寇尔揭露中华电信家用调制解调器漏洞

今年DEVCORE Conference大会上，戴夫寇尔资安研究员Orange Tsai（蔡政达）揭露了中华电信的家用网络调制解调器中，因开放特定连接埠，使得骇客能够发动命令注入（Command Injection）攻击，经通报后，中华电信已经透过固件更新的方式，紧急修补。更多内容

Cloudflare与二大浏览器合作加速HTTP/3采用

图片来源_Cloudflare

Cloudflare、Chrome以及Firefox，联手共同在服务器端以及客户端实作最新的HTTP协定HTTP/3，Cloudflare的用户会逐渐收到HTTP/3可启用通知，而用户现在就可以使用Chrome透过HTTP/3与启用HTTP/3的网站链接，Firefox也将会在之后释出支援HTTP/3的版本。更多内容

微软将新增禁止38种OWA副档名档案

近日微软公布，将把Outlook for the Web（原名Outlook Web Access，OWA）封锁的档案副档名类别增加为38类，包含Java、Python、PowerShell等档案类型，使142类副档名的档案无法下载。

微软表示，为了确保客户安全，Exchange团队对现有封锁档案名单做了一番检视，以确保能涵括现今有风险的档案类型。经过调整，OwaMailboxPolicy物件中的BlockedFiletypes属性所封锁的对象，将由现有104类增加38类，成为142类。更多内容

微软揭露新的Nodersok无档案攻击行动

继今年7月公布的Astaroth无档案（fileless）攻击行动之后，微软再公布新一波的Nodersok无档案攻击，骇客同样利用合法工具展开攻击，目的是将受害系统变成代理人以执行点击诈骗，估计已有数千台Windows电脑被缠上。

狡猾的无档案攻击使用各种离地攻击（living-off-the-land）技术，借由合法工具展开一连串的感染行动。

Nodersok的开端始于使用者借由点选或浏览恶意广告，而下载与执行一个HTML程式（HTA），藏匿在该HTA档案的JavaScript程式码，就会自C&C服务器下载另一个JavaScript档案，接着下载内含PowerShell指令但被加密的MP4档案，解密后利用PowerShell指令，来下载可关闭Windows Defender Antivirus的模组与其它模组，最后留下的是能把受害电脑变成代理人、基于Node.JS框架的JavaScript模组。更多内容

微软正式推出云端SIEM服务，能用ML模型侦测恶意SSH存取

微软推出云端原生安全资讯和事件管理（SIEM）服务Azure Sentinel正式版，让企业可以在不同规模的工作负载上，进行智慧安全分析。

云端与传统本地端SIEM的差异之一在于灵活性，本地端SIEM需要企业自己维护基础设施以及软件，而云端SIEM则没有这些困扰，且用户可以依需求扩展使用规模以及储存容量。微软在今年二月的时候，释出了Azure Sentinel预览版，而在之后收到了用户回馈，为此微软更新了Azure Sentinel并加入了许多新功能，现在释出正式版本。更多内容

台湾-资安防护检验结果出炉，网络配置不当是公部门最常见的弱点

在9月的以色列资安高峰论坛，行政院国家资通安全会报技术服务中心主任吴启文揭露了去年-资安防护的现况验证。吴启文指出，许多骇客攻击-单位，采取进阶持续性威胁攻击（APT），其中，从渗透的管道来看，钓鱼邮件是极为盛行的手法，再者，资料诈欺的事件也相当常见。基于上述的态势，技服中心不只进行稽核，更透过各式演练，提升公部门的资安意识。而在他们去年执行的社交工程演练中，他们也对于正副首长的公务手机，发送演练用的钓鱼简讯。结果发现，高达27.93%会点选其中的内容，相较于2017年仅有21.14%，可说是增加了许多。由于这些首长的行动装置，往往拥有不少机密资料，开启钓鱼内容的比例较一般公务员高出数倍，若不加强相关意识，很有可能成为攻击者锁定的对象。

不只是部分公务人员的资安意识缺乏，如何管理叠床架屋的资讯架构，也是许多-单位的难题，这也造成当中潜在的资安隐忧。技服中心去年针对65个机关、4,145个对外服务的资通系统，执行渗透测试，总共发现579个弱点。前5大弱点包括不安全的组态设定、跨网站脚本攻击、无效的身份认证、无效存取控管，以及注入攻击等。

Chrome更新造成部分macOS的档案系统损毁

图片来源＿Corbin Davenport on GitHub

近日Google证实，自动更新的Chrome版本，可能会造成macOS的档案系统损毁，有些用户回报在安装新版Chrome之后无法重新启动。

其实最早发现此一问题的，是安装Avid Media Composer影片编辑软件的Mac Pro用户，他们在Chrome自动更新之后，就无法重新启动电脑，原本以为是Avid软件的问题，后来才知道是Chrome更新版含有臭虫。

Google很快就出面认错，表示是这次的Chrome更新内含一个臭虫，若是在macOS系统上，关闭了系统完整保护（System Integrity Protection，SIP）功能，就会危害档案系统。此一臭虫除了影响关闭SIP的macOS之外，也影响未支援SIP的macOS，而OS X 10.11以前的版本即未支援SIP。更多内容

阿里巴巴新AI推论芯片，分类10亿图片只需5分钟

图片来源_阿里巴巴

在云栖技术大会上，阿里巴巴集团CTO兼阿里云智能总裁张建锋在开场演讲中，重磅发布了阿里巴巴第一款自行研发的AI推论芯片含光800，也正式推出了采用含光800芯片的云端AI服务，可供企业直接租用。

阿里巴巴内部应用已经开始采用含光800芯片，主要用在支援阿里巴巴集团旗下电商平台，例如产品搜寻、自动翻译、个人化产品推荐、广告以及智慧客户服务等需强大算力的功能，试图用来改善消费者的购物体验。更多内容

美国通过可协助组织对抗网络攻击的法案

美国参议院通过一项法令，要求国土安全部的资安团队协助-及其它私人企业避免网络攻击，也应在这些组织遭到攻击时协助缓解。

国土安全部原本就有许多与网络安全相关的任务，新法案要求国土安全部必须设立网络狩猎与网络事件应变两个安全团队，以永久协助-机关、重大基础设施与私人企业来对抗网络攻击，也要求相关团队必须广邀私人企业的安全专家，以提供非-角度的专业意见。更多内容

欧盟地区的Google新闻搜寻页将不提供文章摘录

图片来源_Society of Authors

在欧盟理事会（Council of the European Union）于今年4月通过了《著作权指令》（Copyright Directive）之后，法国准备成为全欧第一个采用该指令的欧盟国家，当地的新著作权法案将于10月下旬实施，对此Google宣布，不会付费给法国的新闻媒体，而是选择移除搜寻结果中的新闻内容摘录。更多内容

928遭攻击，香港苹果日报App及网站服务受影响

在9月28日早上，苹果日报的“苹果动新闻”手机App与网站疑遭受外来攻击，导致部分读者无法登入，服务异常在三个小时后解除。香港苹果日报并未公布遭骇原因与入侵管道，以及影响范围。由于事发当天，适逢香港反集权运动与伞运5周年敏感时机，导致这起网络攻击事件引发外界关注。更多内容