iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 6篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 14:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】3月3日，中國駭客組織TA416針對臺灣政府機關而來、APT41鎖定亞洲材料業者下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客的攻擊行動最近再度傳出，其中最值得注意的是駭客組織TA416的攻擊行動，而且臺灣首當其衝──該組織已對一個臺灣政府機關下手。</p> <p>另一個惡名昭彰的駭客組織APT41，則是針對材料公司下手竊取專利技術的情況，引起研究人員關注。</p> <p>SIM卡挾持（SIM Swapping）攻擊為何如此氾濫？很有可能是駭客極為容易取得所需的資料促成。有資安新聞網站指出，3個專門從事這類攻擊的駭客組織，在去年就入侵美國電信業者T-Mobile超過100次。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.welivesecurity.com/2023/03/02/mqsttang-mustang-panda-latest-backdoor-treads-new-ground-qt-mqtt/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客TA416利用MQTT通訊協定遠端控制受害電腦，主要目標是臺灣的政府機關</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-3-Execution-graph-showing-the-subprocesses-and-executed-tasks.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-3-Execution-graph-showing-the-subprocesses-and-executed-tasks.png" style="width: 300px; float: right;" /></a>資安業者ESET發現中國駭客組織TA416（亦稱Mustang Panda）新的攻擊手法，這些駭客自2023年1月，運用名為MQsTTang的後門程式，透過釣魚郵件發動攻擊，他們假借提供外交使團成員的護照，或是向大使館進行照會為名義，在RAR壓縮檔挾帶MQsTTang。此後門程式的獨特之處在於。與C2伺服器通訊過程採用了MQTT通訊協定，而有可能讓攻擊者的基礎設施更難被找到。</p> <p>研究人員表示，這起攻擊行動主要是針對臺灣某個政府機關而來，但根據駭客使用的誘餌檔案名稱，他們研判亞洲及歐洲的政府機關也可能是目標。</p> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/blackfly-espionage-materials"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客組織APT41鎖定亞洲材料業者下手</span></strong></a></p> <p>資安業者賽門鐵克揭露中國駭客組織APT41的攻擊行動，駭客約於2022年底至2023年初，鎖定一家亞洲集團從事材料與復合材料的兩家子公司，利用後門程式Winnkit、帳密匯出工具Mimikatz等多種工具作案，進行撈取帳密資料、截取螢幕畫面、注入Shell Code、查詢SQL資料庫等行為，目的可能是竊取智慧財產。</p> <p>這種針對材料產業而來的攻擊行動並非首例，日前有名為Clasiopa的駭客組織，利用木馬程式Atharvan RAT、Lilith RAT變種，以及駭客工具Thumbsender進行竊密。</p> <p><a href="https://krebsonsecurity.com/2023/02/hackers-claim-they-breached-t-mobile-more-than-100-times-in-2022/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客聲稱在2022年入侵電信業者T-Mobile超過100次</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/tmodates.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/tmodates.png" style="width: 300px; float: right;" /></a></p> <p>根據資安新聞網站Krebs on Security的報導，有研究人員針對3個駭客組織Telegram頻道的對話內容進行分析，結果發現這些駭客在2022年5月中旬到年底，對美國電信業者T-Mobile攻擊超過100次，他們藉由誘騙該公司的員工，進而取得內部工具，竊取用戶資料以便進行SIM卡挾持（SIM Swapping）攻擊。</p> <p>該新聞網站指出，上述駭客組織雖然也會竊取AT&T、Verizon的用戶資料並兜售，但相較於從T-Mobile竊得的資料介於1,000至1,500美元，來自上述兩家電信業者的資料價格通常開價高出一倍。</p> <p>此外，其中一組駭客於10月下旬發現，原本的手法很可能因T-Mobile採取新的管制措施而受到限制，導致他們竊得的員工存取權限很快就失效。對此，T-Mobile拒絕回應採取那些措施強化資安。</p> <p><a href="https://www.esentire.com/blog/hackers-attack-employees-from-six-law-firms-with-the-gootloader-and-socgholish-malware-using-fake-legal-agreements-and-malicious-watering-hole-s-reports-esentire"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">法律事務所員工遭到水坑式攻擊，駭客企圖散布惡意軟體GootLoader和SocGholish</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screen-Shot-2023-02-27-at-12_10_51-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen-Shot-2023-02-27-at-12_10_51-PM.png" style="width: 300px; float: right;" /></a>資安業者eSentire發現針對6家法律事務所的惡意軟體攻擊行動，其中一種是利用搜尋引擎最佳化污染（SEO Poisoning）手法，鎖定尋找業務相關文件檔案的使用者下手，企圖透過偷渡式下載（Drive-by Download）於受害電腦投放JavaScript惡意軟體。在攻擊行動裡，駭客也入侵WordPress網站並植入新的文章，來誘騙這些法律事務所的員工，一旦使用者依照指示下載檔案，電腦就有可能被植入惡意程式GootLoader 。</p> <p>其中，也有部分攻擊行動駭客使用名為SocGholish的惡意軟體──他們先是破壞美國佛羅里達州一家公證人事務所的網站，藉由水坑式攻擊吸引使用者上當，駭客在網頁上加入彈出式訊息，表示使用者的需要更新Chrome瀏覽器，然而若是依照指示下載、安裝，電腦就會被部署SocGholish。</p> <p><a href="https://www.uptycs.com/blog/cryptocurrency-entities-at-risk-threat-actor-uses-parallax-rat-for-infiltration"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">木馬程式Parallax RAT鎖定加密貨幣業者而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ParallaxRAT Workflow.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ParallaxRAT%20Workflow.jpg" style="width: 300px; float: right;" /></a>資安業者Uptycs揭露鎖定加密貨幣業者的攻擊行動，駭客透過釣魚郵件散布木馬程式Parallax RAT，先是執行以Visual C++打造的惡意酬載，然後透過處理程序挖空（Process Hollowing）手法，將Parallax RAT注入微軟Tablet PC元件pipanel.exe來執行，進而於受害電腦收集系統資訊，或是側錄鍵盤輸入的內容，甚至能進行遠端控制受害電腦。</p> <p>值得一提的是，一旦成功植入上述木馬程式，攻擊者將會收到通知，他們也利用記事本軟體（Notepad）和受害者互動，要求使用Telegram頻道來對話，但這麼做的目的是什麼？研究人員沒有說明。</p> <p><a href="https://www.trendmicro.com/en_us/research/23/c/iron-tiger-sysupdate-adds-linux-targeting.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織Iron Tiger鎖定Windows、Linux電腦而來，接下來Mac電腦也可能是目標</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure1-iron-tiger-sysupdate-reappears-adds-linux-targeting.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure1-iron-tiger-sysupdate-reappears-adds-linux-targeting.png" style="width: 300px; float: right;" /></a>資安業者趨勢科技公布駭客組織Iron Tiger（亦稱APT27）近期的攻擊行動。在其中一起事故裡，駭客針對菲律賓賭博業者下手，並使用與受害公司雷同的網域名稱來架設C2伺服器，攻擊者透過即時通訊軟體作為誘餌，結果有員工依照指示下載初期的惡意酬載，該酬載一旦執行，就會透過Microsoft Resource Compiler（rc.exe），進而利用DLL側載的手法執行Shell Code，接著在電腦重新開機後執行惡意軟體SysUpdate。</p> <p>在針對Windows電腦之餘，該組織也開始鎖定Linux主機發動攻擊，他們在2022年7月首度測試Linux版惡意程式，並在10月用於攻擊行動。研究人員分析後，發現此版本的加密金鑰與檔案處理方式與Windows版本雷同，但不同的是，Linux具備DNS隧道（DNS Tunneling）功能，而使得該惡意軟體的行蹤更加隱密。</p> <p>根據駭客採用Asio程式庫開發Linux版惡意程式，而可能較為容易跨平臺移植的情況，研究人員推測駭客很快就會將Mac電腦納入攻擊範圍。</p> <p><a href="https://techcrunch.com/2023/03/02/hatch-bank-breach-fortra-goanywhere-exploit/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">又有GoAnywhere系統遭駭的組織出現！Fintech業者Hatch Bank近14萬客戶資料外洩</span></strong></a></p> <p>根據科技新聞網站TechCrunch的報導，金融科技（Fintech）業者Hatch Bank向主管機關通報資料外洩事故，起因是駭客鎖定他們部署的MFT系統GoAnywhere漏洞下手，在1月30日至31日未經授權存取存取他們的帳號資料，導致139,493名客戶資料外洩，而入侵管道很有可能就是零時差漏洞CVE-2023-0669，他們在2月3日接獲系統開發商的通知，確認資料遭到異常存取。</p> <p>因上述MFT系統漏洞遭到攻擊Hatch Bank並非首例，美國醫療系統Community Health Systems於2月中旬通報資料外洩事故，導火線就是上述的GoAnywhere漏洞。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://kb.cert.org/vuls/id/782720"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">TPM 2.0被挖出資安漏洞，有可能因此外洩裝置機密資訊</span></strong></a></p> <p>Quarks Lab研究人員根據參考程式碼，發現信賴平臺模組（TPM）2.0的漏洞CVE-2023-1017、CVE-2023-1018，有可能造成裝置機密資料外洩，或是讓駭客提升權限執行惡意程式碼。這些漏洞出現在CryptParameterDecryption()函式，與記憶體越界寫入及讀取有關，具備基本權限的攻擊者，可藉由傳送含有加密參數的惡意指令，對存在漏洞的韌體下手。</p> <p>美國電腦緊急應變小組（CERT/CC）指出，在某些情況下，攻擊者有機會覆寫TPM韌體裡受到保護的資料，而且，由於這樣的弱點出現在TPM層面，使得電腦的防毒軟體也無法偵測相關攻擊行動。Red Hat指出，這兩個漏洞CVSS風險評分為7.7分及5.5分。</p> <p><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ip-phone-cmd-inj-KMFynVcP"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科修補網路電話的命令注入漏洞</span></strong></a></p> <p>3月1日思科發布資安通告，修補旗下網路電話系統的重大漏洞CVE-2023-20078，此漏洞存在於網頁管理介面，起因是對於使用者輸入的內容驗證不足，而衍生的命令注入弱點，攻擊者一旦利用，就有可能在未經身分驗證的情況下，遠端執行任意程式碼，或是發動阻斷服務（DoS）攻擊，CVSS風險評分為9.8分，影響IP Phone 6800、7800、8800系列網路電話系統。</p> <p>另一個思科修補的漏洞是CVE-2023-20079，也與網頁管理介面對於使用者輸入的內容驗證不足有關，CVSS風險評分為7.5分，影響IP Phone 6800、7800、7900、8800、8831系列，但值得留意的是，7900與8831系列已達生命週期結束（EOL）狀態，思科不會提供新版韌體。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.first.org/members/teams/tsmc-circ"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">台積電加入FIRST國際資安應變組織，成國內第二家高科技製造業會員</span></strong></a></p> <p>根據FIRST國際資安應變組織的最新消息，國內半導體產業龍頭台積電的TSMC-CIRC在2月24日加入成為會員，而成為群創光電之後，國內第二家入會的高科技製造業會員。</p> <p>同日，資安新創微智安聯的ShieldX PSIRT也加入FIRST。在此之前，我國已有幾家資安業者成為會員，包括早年就加入的趨勢科技，以及3年前加入的奧義智慧。截至2月底，臺灣會員增至14個，而國際間共有683個組織與企業參與。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.first.org/blog/20230228-DNS_Abuse_Techniques_Matrix"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">國際資安應變組織FIRST發布DNS濫用技術矩陣</span></strong></a></p> <p>FIRST國際資安應變組織的DNS濫用工作小組在2月28日發布了「DNS濫用技術矩陣（DNS Abuse Techniques Matrix）」的文件，目的希望幫助事件應變人員與安全團隊在應對DNS濫用事件時，快速找到相關建議資訊。該工作小組表示，這份文件主要關注DNS濫用技巧，總共歸納出21種濫用技術，並依據偵測、減緩與防禦這三大行動面向，分成三個矩陣表單來一一說明。</p> <p>舉例來說，在涉及DNS快取污染（DNS Cache Poisoning）的事件中，團隊可以透過緩解矩陣的表單，查看DNS快取污染有關的內容，找出可能有所關連的利益關係者來共同緩解資安事件。</p> <p><a href="https://www.cisa.gov/cisa-director-easterly-remarks-carnegie-mellon-university"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">CISA局長提出警告，一旦中國對臺灣動武，也有可能同時對西方國家展開大規模網路攻擊</span></strong></a></p> <p>美中臺之間持續處於政治緊繃狀態，臺灣的網路安全若出現重大危機，美國也無法置身事外。美國網路安全暨基礎設施安全局（CISA）局長Jen Easterly於卡內基美隆大學發表演說中提到，有鑑於烏克蘭戰爭當中，援助烏克蘭的歐美國家成為俄羅斯駭客鎖定的目標，她認為美國與盟友也要針對中國做好準備，以防該國攻擊臺灣的時候，中國駭客也會針對美國多個關鍵基礎設施（CI）下手的情形，這些包含了天然氣管線、供水系統、電信系統、交通系統等，駭客的用意是製造恐慌，並動搖美國民眾的意志，達到阻止美國調度軍事資源聲援臺灣的目的。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://therecord.media/indigo-book-seller-employee-data-ransomware-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">加拿大書店Indigo遭勒索軟體攻擊，員工資料外洩</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/british-retail-chain-wh-smith-says-data-stolen-in-cyberattack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國連鎖超市WH Smith傳出資料外洩</span></span></strong></a></p> <p><a href="https://www.hackread.com/video-marketing-software-animker-data-leak/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">影片行銷軟體Animker洩露用戶個資</span></span></strong></a></p> <p><a href="https://oag.ca.gov/system/files/2023-03-02%20-%20CFA%20-%20Individual%20Notification%20Template.pdf"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國速食店Chick-fil-A證實遭到帳號填充攻擊</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155740">【3月2日】惡意軟體BlackLotus繞過UEFI安全開機、勒索軟體LockBit鎖定西班牙語用戶而來</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155716">【3月1日】駭客假借Amazon Prime會員名義發動網釣攻擊、應用程式框架ZK Framework漏洞被用於攻擊行動</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155663">【2月24日】 1.5萬個NPM套件含有網釣URL連結、逾4成企業2022下半發現Log4Shell相關攻擊</a></strong></p> </div></div></div>
2023/3/3 16:31作者周峻佑https://www.ithome.com.tw/news/155764
Martech雙周報第34期：美國廣告AI技術商Waymark推出電視廣告生成AI工具，能自動完成素材剪輯、寫稿、配音…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0219~0304)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電視廣告</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#影音生成</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#配音生成</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#廣告稿生成</span></span></strong></p> <p><strong>美國AI廣告技術商Waymark推出一個可以生成電視廣告及配音的AI工具</strong></p> <p>AI廣告技術商Waymark與美國通訊公司巨頭Charter<a href="https://corporate.charter.com/newsroom/spectrum-reach-introduces-ai-ad-platform-with-waymark">合作推出一個AI廣告生成平臺</a>，用於低成本生成電視廣告，還能自動寫稿配音。品牌商只需輸入品牌名、地區、希望的廣告語調及欲傳達訊息，Waymark AI工具就會自動擷取網路上與此品牌相關的素材，生成一個有影像、配音及音樂的電視廣告。配音聲線會從Waymark工具11種聲線中自動選擇，廣告稿則是由AI自動生成。</p> <p>生成影片後，品牌商還可以進一步進入編輯工具潤飾廣告稿及處理影像素材。不同於一般影音剪輯軟體，此編輯工具介面相當簡易，沒有影音剪輯經驗的使用者也能初步調整音量、配音聲線及音量、影像大小及持續時間等設定，甚至有強化低解析度圖檔畫質的功能。若對於第一版的AI生成廣告稿不滿意，也能在此直接要求系統重新生成新版本廣告稿。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#行銷素材管理</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#精準行銷</span></span></strong></p> <p><strong>BeBit Tech推出行銷素材生成功能，能根據自然語言指令產出行銷用圖，再分眾推薦不同版本圖像給消費者</strong></p> <p>顧問科技公司beBit Tech推出「AI 智慧魔術素材」功能，將圖像生成式AI與商品推薦AI技術結合，來優化行銷素材製作及精準行銷流程。</p> <p>以往功能中，行銷人員是利用視覺化、拖拉式的素材編輯器，來設計行銷素材。新功能中，行銷人員只需輸入特定關鍵字，系統就會生成不同版本圖像出來。接著，系統會根據消費者行為，如歷史瀏覽、高瀏覽量商品、過去購買過相似商品等，自動從不同版本的行銷素材中，挑選出適合的圖片呈現。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/BBT.png" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#消費者旅程</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#精準行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#再行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Line官方帳號</span></span></strong></p> <p><strong>漸強實驗室自動化訊息功能再升級，更緊密針對消費者旅程來行銷</strong></p> <p>Line官方帳號技術商漸強實驗室<a href="https://blog.cresclab.com/tw/2023q1-launch-party/?utm_source=newsletter&utm_medium=livestorm&utm_campaign=2023Q1PL">推出功能升級</a>，精細化消費者旅程的自動化行銷功能。過往，此功能只能針對單一事件觸發單一訊息，新功能中，系統可以自動預測後續可能行為分支，根據消費者在品牌官網的行為，如瀏覽頁面、停留時間、造訪次數、加入購物車、完成購買等，在不同階段推播相對應的行銷訊息。</p> <p>例如，發送購物車未結帳提醒後，系統會再觀察消費者購買與否。一旦偵測出顧客已購買商品，可以推送滿意度調查、商品使用說明等訊息；若未完成購買，則可推送活動信息或會員回饋計畫。</p> <p>除了根據顧客消費旅途的行為來發送訊息，此功能還能根據顧客最常開封訊息時間等資訊，進一步優化訊息發送時間，以期進一步增加行銷成功率。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#數據無塵室</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#IAB標準</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#資料交換隱私保護</span></span></strong></p> <p><strong>美國廣告主管機關IAB推出數據無塵室標準，定義第一方資料交換的建議實踐方法及隱私規範</strong></p> <p>行銷界即將邁入後Cookie時代，與第一方數據一同崛起的數據無塵室（Data Clean Room, DCR），是當下相當火紅的技術。近日，美國互動廣告局<a href="https://iabtechlab.com/datacleanrooms">IAB推出DCR的建議實踐方法</a>（Recommended Practices）及隱私規範。這意味著，DCR在行銷界發展已趨成熟，且未來資料交換的隱私保障和便利性都會更加提升。</p> <p>本次IAB出版兩份文件，第一份是基礎DCR功能及運作方法的描述，以定義DCR基礎功能、應有隱私機制，及廣告主和技術商的注意事項。第二份則詳細列出建議資料交換格式、交換方法、應保護資料種類、DCR技術商應聲明的事項等細項規範。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#第三方Cookie退場</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Privacy Sandbox</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Topics</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#SEO</span></span></strong></p> <p><strong>第三方Cookie替代方案Privacy Sandbox進度更新，下一步是優化Topics的興趣標籤精細度</strong></p> <p>Google每季度的第三方Cookie替代方案<a href="https://assets.publishing.service.gov.uk/media/63d7b357e90e0773e17b27d3/Privacy_Sandbox_Progress_Report_to_the_CMA_2022_Q4.pdf">Privacy Sandbox報告</a>出爐，亮點包括Topics興趣標籤精細度提升，以及澄清參與Topics與否不會影響網站SEO。</p> <p>Topics是一個以網路用戶瀏覽的網站為精準行銷依據的方案。瀏覽器會根據使用者造訪網站上的Topics標籤，來判斷投放給使用者的廣告類型。過去，這些標籤都是以網域為單位，因此對內容較多元的網站來說，標籤參考價值可能很低。本次報告中，Google提到這種分類方法不夠精細，因此會考慮開放網站主在網域中不同網頁放上不同標籤。不過，這也可能產生網站主惡意調整網頁中標籤，導致標籤失準甚至侵犯隱私的問題，因此還在評估中。</p> <p>Google也澄清，未來網站參與Topics貼標與否，不會影響網站在搜尋結果的排行。這意味著，網站主不會因為怕被Google降低排行，而被迫加入Topics解決方案。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI熱門度預測</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#行銷內容管理</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#社群媒體行銷</span></span></strong></p> <p><strong>Meta申請了一個熱門度專利AI專利，可以依據影片品質和內容標籤來預測影片互動情形</strong></p> <p>作為搭上短影音熱潮的另一個社群媒體，Meta也打算用數據來強化自家影音行銷的成效。不過作法不同於公布各種流量跟行銷數據的Tiktok。近期，Meta<a href="https://patentdrop.substack.com/p/patent-drop-metas-hit-maker">申請了一項專利</a>，是AI影片熱門度分析工具。此工具會基於影音品質、影音元數據以及觀眾和用戶數據等因素，來給出影片評價。Meta並表示，此系統將能預測評論、分享或其他參與度指標。</p> <p>Meta近年積極將<a href="https://www.facebook.com/business/news/how-businesses-are-seeing-value-through-ai">AI應用於行銷業務</a>，例如號稱能增加ROAS 32%的AI分眾功能，以及最近新推出的一個AI行銷素材優化工具，能自動調整亮度、比例和文本位置，來優化素材品質。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#行銷成效分析</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#社群媒體行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#數據化分析</span></span></strong></p> <p><strong>Tiktok新增產品行銷分析面板，用超多項數據點來分析站上產品熱度</strong></p> <p>短影音平台 TikTok<a href="https://twitter.com/michaelgrowth/status/1627771654846976000"> 新增全站產品行銷分析面板</a>，讓創作者和廣告主能從多個數據點更具體了解不同產品在站上的整體行銷情況。面板呈現廣告數量、曝光數、影片完整觀看率、評論、喜歡數等行銷相關數據指標，來說明特定產品在應用程式中的流行程度。廣告主可依據時間和地區，分析該產品最受哪個年齡層歡迎，以及這些使用者的其他興趣標籤。此外，廣告主和創作者還可通過該面板，查看相關的熱門影片，了解常見的行銷內容和形式，以進一步規劃自身的行銷內容。</p> <p>行銷成效追蹤一直以來都是廣告投放的難題。TikTok 作為社群媒體平臺後進，策略一直以來都是積極推出各式各樣的行銷分析面板，以具體數據來宣傳自家行銷成效，拉攏廣告主。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#軟體廣告</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#社群媒體行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#服務型產品</span></span></strong></p> <p><strong>服務型產品及軟體產品廣告在LinkedIn大幅成長，未來將能更精準投放相關廣告</strong></p> <p>主打B2B廣告的職場社群媒體LinkedIn表示，近期服務類產品廣告和軟體類產品廣告大幅成長，尤其服務類產品廣告自2021年來成長了120%。因此，<a href="https://www.linkedin.com/business/marketing/blog/linkedin-ads/introducing-interest-targeting">LinkedIn將增加廣告主在投放相關領域分眾廣告的興趣分類</a>，包括20種服務類產品分及18種軟體產品分類。服務分類包括房地產、環境諮詢和應用軟體開發等，軟體類則包括視覺化軟體、收益管理軟體和銷售分析軟體等產品。廣告主可以結合自家頁面的熱門內容分類，來決定下廣告時應該選擇什麼分類。</p> <p>這波興趣分類更新中，總共多了120種以上的產品分類及20種服務類產品。其中，服務類產品是新開的一個大分類，與一般產品分類獨立，說明LinkedIn認為服務類廣告將在自家平臺成為重要廣告分類。</p> <p>資料來源：iThome整理，2022年3月</p> <p>責任編輯：郭又華</p> </div></div></div>
2023/3/3 12:34作者郭又華https://www.ithome.com.tw/news/155750
IBM大型主機作業系統z/OS將擁抱AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM預計在2023年第三季推出<a href="https://www.ibm.com/common/ssi/ShowDoc.wss?docURL=/common/ssi/rep_ca/9/897/ENUSC23-009/index.html">大型主機作業系統更新z/OS 3.1</a>，該版本的更新重點之一，便是要在作業系統融合人工智慧和資料分析解決方案，使得z/OS應用也能獲得智慧自動化與大規模加速推理功能。IBM打算於z/OS 3的混合雲架構中整合人工智慧，而3.1便是這個目標的第一個版本。</p> <p>z/OS 3.1將會支援人工智慧框架，使企業能最佳化IT處理、提高系統效能甚至是降低使用技能，同時，新版本也預計會支援人工智慧解決方案，企業用戶將能夠共同部署z/OS 和人工智慧解決方案，使得在z/OS上執行的應用程式能夠獲得低延遲人工智慧功能。</p> <p>z/OS 3.1的工作量管理程式（WLM）也會獲得人工智慧加持，使其有能力預測即將發生的批次處理工作負載，並且採取相對應措施最佳化系統資源。另外，新的IBM SMF Explorer結合新興資料科學常用工具Python和Jupyter Notebooks，供用戶以簡單並更加現代化的方法，存取分析系統管理設施（SMF）資料。</p> <p>除了預計要在z/OS加入的人工智慧功能更新，IBM也希望z/OS能夠進一步支援企業的混合雲策略，因此加入z/OS容器擴充（zCX），強化在IBM zSystems的zCX環境中，所執行的容器化Linux工作負載效能和安全性，還強化程式語言COBOL和Java的互通性。IBM也透過使用ICSF和RACF資料庫加密技術，增強z/OS的安全性。</p> <p>IBM近期著手推動大型主機工作負載現代化，在2022年2月宣布將z/OS開發環境搬遷上雲，在其公有雲服務IBM Cloud提供Wazi即服務（Wazi aaS），供企業在公有雲開發環境開發和測試軟體，以大幅縮短z/OS程式的開發測試時程。另外，IBM也在2022年3月，推出Z主機應用現代化工具，協助Z主機用戶建構雲端應用程式。</p> </div></div></div>
2023/3/3 16:05作者李建興https://www.ithome.com.tw/news/155762
TPM 2.0程式碼被爆2個可外洩資訊的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://trustedcomputinggroup.org/wp-content/uploads/TCGVRT0007-Advisory-FINAL.pdf" target="_blank">攸關資料與身分安全的信賴平臺模組（Trusted Platform Module，TPM）2.0近日被發現參考實作程式碼有2個記憶體毁損漏洞</a>，可造成裝置機密資料外洩，或被駭客升級權限而執行惡意程式碼。</p> <p>TPM 2.0是安全密碼處理器的國際標準，旨在使用裝置中的安全硬體處理裝置上的加密金鑰，其技術規範是由信賴計算組織（Trusted Computing Group，TCG）編寫。TPM 2.0是電腦安全技術不可或缺的元素，Windows 11需要TPM2.0才能安裝，它也是生物辨識Windows Hello及加密技術BitLocker的關鍵。</p> <p>兩項漏洞是由Quarks Lab研究人員發現並通報，影響TPM 2.0參考實作1.59、1.38和1.16。根據TPC指出，漏洞都是發生在TPM 2.0 CryptParameterDecryption()函式。其中一個編號CVE-2023-1018是越界讀取（out-of- bounds read），另一個CVE-2023-1017則是越界寫入。兩漏洞可被使用者模式的應用程式觸發，具備基本權限的攻擊者可傳送有加密參數的惡意TPM 2.0指令，到以問題版本實作為基礎的TPM 2.0韌體，達成攻擊目的。</p> <p>漏洞起因在程式碼沒有實作檢查TPM 2.0指令長度的機制，造成記憶體緩衝溢位。漏洞濫用結果可引發本機記憶體資訊洩露，或是攻擊者擴張權限。TPC還在分析是否有其他元件受兩項漏洞影響。</p> <p>而根據<a href="https://kb.cert.org/vuls/id/782720" target="_blank">網路安全緊急回應協調中心（CERT/CC）的安全公告</a>，除了洩露敏感資訊，某些情況下，攻擊者還可以覆寫TPM韌體內的受保護資料，造成在TPM崩潰或是在其中執行任意程式碼。由於攻擊程式是在TPM執行，因此不會被裝置上的其他元件，包括安全軟體偵測到。</p> <p>CVE-2023-1017及CVE-2023-1018並未有官方指派的風險值，但RedHat分別將兩項漏洞風險列為<a href="https://access.redhat.com/security/cve/cve-2023-1017" target="_blank">7.7</a>及<a href="https://access.redhat.com/security/cve/cve-2023-1018" target="_blank">5.5</a>。</p> <p><a href="https://trustedcomputinggroup.org/resource/errata-for-tpm-library-specification-2-0/" target="_blank">TCG已釋出更新版參考元件庫規格以解決2項漏洞</a>。CERT/CC呼籲用戶應安裝由軟體廠商如OS及電腦OEM提供的更新，包括更新TPM晶片的韌體。某些情況下，OEM可能會要求TPM重設回出廠設定。</p> <p>此外一些安全要求較高的環境中，使用者最好考慮使用TPM遠端驗證（Remote Attestation）以偵測裝置上的韌體是否遭到變更或竄改。CERT強調，由於攻擊發生在TPM軟體中，因此密碼或PIN防護、TPM-totp（time-based one-time password）等安全方案無法防堵攻擊。</p> </div></div></div>
2023/3/3 12:36作者林妍溱https://www.ithome.com.tw/news/155751
微軟Bing Chat已加入從精準到創意3種語氣風格選擇
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟快馬加鞭更新Bing 聊天機器人，<a href="https://twitter.com/MParakhin/status/1630958579485392896" target="_blank">微軟高層宣布</a>已經為Bing Chat加入可讓用戶選擇回答三種語氣風格的功能。</p> <p>微軟二月底多次預告正在開發可調整Bing Chat 回應語氣的功能，以解決剛上線時情緒化、放肆乖張的發言問題。微軟網頁服務主管Mikhail Parakhin本周稍早說，將近9成的Bing Chat測試用戶應該都可以看到Bing Chat模式選擇器，這是一個3階段的滑鈕設計，提供「精準」、「創意」及「平衡」三種風格。但剩下10%應該也會在今日內部署完成。</p> <p>他說他個人偏好「創意」風格，但「精準」風格提供更事實導向的答案。選擇「創意」風格會讓Bing給出較長、類似聊天的回覆答案，比較有趣，但也可能包含較多錯誤。</p> <p><a href="https://twitter.com/MParakhin/status/1630470232920952832" target="_blank">Parakhin上周宣布</a>，最新Bing Chat版本是v96版。除了增加語氣選項外，最新版還大幅減少了Bing未給明確理由拒絕回答，以及答案中出現「幻覺」（hallucination），即提供錯誤資訊的問題。基於Bing Chat的設計，Bing最不願回答的是與其工程代號Sydney有關的問題。</p> <p>微軟上周起，將Bing回覆次數限制在一回合6次，一天最多60次。微軟說希望很快放寬到一天上限100次，且計次不會計入一般的資訊查詢行為。</p> </div></div></div>
2023/3/3 12:42作者林妍溱https://www.ithome.com.tw/news/155752
蘋果App Store拒絕一款使用ChatGPT的App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果本周拒絕一款使用ChatGPT AI技術的第三方應用程式更新，而引發外界揣測蘋果此舉是否新增生成性AI的管制，還是只是挾怨報復之舉。</p> <p>開發商Blix所開發的BlueMail可根據用戶過去郵件內容或行事曆資料，以ChatGPT技術為使用者撰寫電子郵件。<a href="https://www.wsj.com/articles/apple-blocks-update-of-chatgpt-powered-app-as-concerns-grow-over-ais-potential-harm-c4ca9372" target="_blank">《華爾街日報》本周報導</a>，蘋果App Store近日拒絕BlueMail的應用程式更新版上架App Store的申請。</p> <p>Blix告訴媒體，蘋果給出的理由是，App Store要求AI產製內容的App應包含過濾機制以免產生青少年及兒童不宜的內容，而該款App此時似乎缺乏這機制，要求廠商強化內容過濾，或是將App使用年齡提升為17歲以上。</p> <p>Blix執行長Ben Volach則認為蘋果的作法將阻礙創新，而且可能是出於別的理由，因為其他內建AI技術的App都沒有被要求年齡限制，也都被允許上架。</p> <p><a href="https://9to5mac.com/2023/03/02/apple-blocked-chatgpt/" target="_blank">9to5Mac報導</a>，Blix曾經加入Epic Games等公司合組的App Fairness聯盟，要求蘋果和App Store切割。此外該公司也曾控告蘋果的無密碼登入技術Sign In with App侵害該公司專利。不過這官司遭到法院駁回。</p> <p>蘋果回應媒體時指出，正在調查Blix公司的指控，也說他們可以循App Store應用程式審查委員會陳情。但蘋果並未說明App Store針對生成性AI或聊天機器人是否新增了管制規範。</p> <p>如果蘋果新增使用AI的App管制，將會引發很大反彈。微軟正在積極將AI部署到新Bing的手機版本，而且<a href="https://www.ithome.com.tw/news/155727" target="_blank">OpenAI昨日宣布的ChatGPT API</a>已經有多款第三方App整合使用，包括知名的Shopify及購物、語言學習App。</p> </div></div></div>
2023/3/3 11:26作者林妍溱https://www.ithome.com.tw/news/155749
ChatGPT的能與不能
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在3月1日，OpenAI公司正式推出了ChatGPT的付費API服務，而且提供的是媲美爆紅線上ChatGPT服務的3.5版NLP模型。這個不到2個月就吸引上億用戶註冊的殺手級應用，正式跨入了企業應用市場。ChatGPT不只搶進搜尋引擎戰場，現在進一步跨入更多企業對話式應用情境，例如搜尋、問答、客服、導覽、語音操控等等。</p> <p>提供合乎文法、彷彿真人撰寫般的內容，又似乎有高度正確性的參考價值，是吸引上億用戶註冊的第一印象。這幾個月來，經常可以看到網路上各種ChatGPT如何可能的討論，文章重點整理、會議記錄整理、設計課程大綱、安排旅遊行程、解答學校作業、撰寫行銷文案、製作制式公文、整理文獻回顧都是輕而易舉，而對IT人而言，自動產生程式碼，甚至找出現有程式碼中可能的臭蟲，都是立即可見的好處。</p> <p>甚至，只要給予更多更好的提示或者引導（prompt），就能修正，甚至引導ChatGPT產生的內容，越來越符合使用者預期的需求，這也催生了一個有趣的新角色「AI引導工程師」（Prompt Engineer）或者更詩意的說法是「AI詠唱者」，只要提問的問題問得好，就越能得到更貼切的答案，就算不是事實，但可能足以符合需求。</p> <p>但是，在大量嘗試之中，大家也逐漸發現ChatGPT的侷限和問題，它所產生的回答，不見得是正確答案或事實，甚至有不少回答是憑空杜撰的造假內容，例如詢問2022年熱門書籍排行榜，這個超過ChatGTP資料搜集時限的問題，它多半還是會吐出一個有模有樣的十大書籍排名，只是每一本書都是憑空杜撰，從來沒有出現過的書名。</p> <p>看似無所不能的解答，卻藏了不可知的假訊息，如何判斷真假，便落到了使用者的身上，也成了大家的痛點。</p> <p>不過，值得注意的是，OpenAPI發表了一個新的腳本語言稱為ChatML（Chat Markup Language），可以用於撰寫ChatGPT的輸入資料（也就是提問），甚至不用人問，也可以靠ChatML語法產生一串，帶有各種引導（prompt）的提問。目前只公開了ChatML v0版預覽版。</p> <p>這意味著，企業在ChatGPT API的對話應用中，將會有一個新的控制機制，可以將用戶的提問，再加上企業想要附加的限制引導（例如只針對自家企業，或特定產品的內容），來引導ChatGPT生成更符合企業情境需要的內容，這是一種「事後客製化」的ChatGPT應用方式，不是透過調校ChatGPT模型，而是透過ChatML輸入引導指示（限制條件），來達到更聚焦企業目的的回應。目前已有幾家網路公司，開始用這個ChatGPT API打造自家的語音助理，例如Shopify用來提供顧客購物建議等。</p> <p>對個人來說，8到9成正確的答案，是個可以容忍或者不用太擔心的小問題，但對企業來說，可能是一個大風險，如何控制風險，找到合適應用情境，才是大考驗，不只模型本身的品質，企業還會擔心上傳的資料是否會外流，是否合規等等企業才會面臨，而個人多半不在意的問題。</p> <p>從OpenAPI對ChatGPT API服務的問答中，可以看到，在付費API推出後（也就是3月1日），OpenAPI就停止搜集使用者上傳的資料（也就是說，他們親口證實了之前上億用戶的問題，真的都在幫忙提供各種調校模型的訓練資料），從此，預設不再搜集用戶上傳的資料，（不過，鐵粉用戶可選擇願意被使用）。但是，用戶上傳的問題，仍然會保留在OpenAI的伺服器上最多30天，之後會刪除，作為濫用查核之用或因應法遵要求而有更長期的保存。</p> <p>因為目前這些資料主要都儲存在美國資料中心，也就無法符合有些國家敏感資料無法出境的法遵要求，例如臺灣金融顧客資料要出境儲存得經過批准。而且，為了查核，OpenAI公司也事前聲明，將授權極少數人，在全程紀錄下，允許人工檢視用戶上傳的內容，這些上傳資料並非完全保密。這些資料基本面的侷限，是企業導入ChatGPT API前得先知道的事。</p> <p>ChatGPT是一個新的魔杖，但不是無所不能的魔杖，企業應用場景不只在意它的「能」，但更需在意其所「不能」背後的挑戰和風險。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/chatgpt">ChatGPT</a></div></div></div>
2023/3/3 11:04作者王宏仁https://www.ithome.com.tw/voice/155748
K8s官方推出叢集模擬工具包KWOK，方便用戶開發與測試叢集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Kubernetes特別興趣小組（Special Interest Group，SIG）發布了一個稱為<a href="https://kubernetes.io/blog/2023/03/01/introducing-kwok/">KWOK（Kubernetes WithOut Kubelet）</a>的模擬測試工具包，使得用戶可以在數秒鐘內，以低資源模擬創建具有數千節點的叢集，在不占用大量基礎設施的情況，大規模測試Kubernetes控制器。</p> <p>Kubernetes是一個容器化應用程式調度工具，讓使用者能夠在節點之間方便地管理Pod，每個節點都需要一個管理員，那便是Kubelet的工作，而KWOK便是「沒有Kubelet的Kubernetes」英文縮寫。</p> <p>由於消除Kubelet，KWOK以模擬的方式創建節點、Pod和Kubernetes資源，因此不會消耗大量CPU和記憶體資源，使用者在單一筆電上就可以模擬出數千節點，而且KWOK操作迅速，能夠立刻創建和刪除叢集和節點，不需要等待或是進行額外配置。</p> <p>KWOK可以和任何支援Kubernetes API的工具和客戶端搭配使用，像是kubectl、helm和kui等都沒問題，同時KWOK也可以配置不同的節點類型、標籤、容量和條件等，藉由設定不同的Pod行為、狀態，用戶能夠測試不同的場景和特殊情況。由於KWOK具有可移植性，沒有特殊的硬體或是軟體要求，因此安裝Docker或Nerdctl後，用戶便可以使用預建置的映像檔執行，或是以二進位檔案在各種平臺安裝。</p> <p>該專案目前有兩個主要的工具，分別是kwok和kwokctl，kwok負責模擬假節點、Pod和Kubernetes API的資源生命周期，而kwokctl則是命令列工具，供用戶簡單地以kwok模擬的節點，創建和管理叢集。</p> <p>雖然KWOK沒辦法實際創建節點，但是由於能夠模擬各種Kubernetes資源，且執行速度很快，所以方便用於學習、開發和測試等非生產用途。但也因為KWOK不是Kubelet，因此在Pod生命周期管理、磁碟區掛載和裝置套件等方面行為不同，KWOK主要的功能只是模擬節點和Pod的狀態更新。</p> <p>由於KWOK僅使用簡單的公式來模擬逼近部分Kubelet行為，因此並無法反映實際節點和工作負載的效能和行為，而且KWOK不會在模擬節點上強制執行任何安全策略和機制，會假設kube-apiserver的所有請求，都是經過授權且有效的，因此在學習、開發和測試之外的用途使用，將會有安全性的問題。</p> </div></div></div>
2023/3/3 09:06作者李建興https://www.ithome.com.tw/news/155743
Google開源簡化分散式應用程式開發的框架Service Weaver
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google開源能夠解決分散式應用程式開發複雜性的框架<a href="https://opensource.googleblog.com/2023/03/introducing-service-weaver-framework-for-writing-distributed-applications.html">Service Weaver</a>，讓用戶能夠以編寫模組化單體程式的方法，開發微服務應用程式，而且Service Weaver高可移植性設計，使得應用程式可靈活地部署在本機或是雲端。</p> <p>官方提到，在編寫微服務應用程式時，開發者需要花費大量的心力，維護多個微服務二進位檔案，這些檔案具有個別的配置檔案、網路端點和序列化資料格式，而這些額外的工作會大幅降低開發速度，而且因為微服務架構的限制，也降低開發者改進應用程式的靈活度。</p> <p>相較於微服務應用程式，單體二進位檔案更容易編寫，不僅能使用程式語言原生型別和方法呼叫，而且只要編輯程式碼並且重新部署就能夠進行更新。Service Weaver框架想要達成的目標，便是讓開發者能夠以單體應用程式開發方法，建立微服務應用程式。</p> <p>Service Weaver中的重要概念便是模組化單體開發模型，開發者僅使用程式語言的原生本機資料結構和方法呼叫，編寫單體二進位檔案，再將二進位檔案組織成一組模組。在Service Weaver中，用戶可以選擇將模組和main()分離，如此Service Weaver便會自動將模組呼叫翻譯成跨機器的RPC。</p> <p>Service Weaver框架解決微服務應用程式開發的繁瑣工作，因此即便開發者後續要更改應用程式，像是調整方法中的參數，便只要更改方法的簽章以及呼叫的地方，接著重新部署應用程式，便完成更改的動作，Service Weaver會確保新版本的main()，只會和新版本的方法通訊。</p> <p>Google提到，Service Weaver的好處在於，開發者可以完全專注在應用程式邏輯開發上，而不需要理會拓樸結構和服務間的通訊。Service Weaver還提供靈活的可移植性，讓用戶可以不需要修改程式碼，應用程式就能夠在本機桌面或是雲端等環境運作。</p> <p>Service Weaver有兩個主要核心部分，一個是程式開發函式庫，供開發者將應用程式編寫成單體模組化二進位檔案，另一個則為部署器，可配置應用程式執行時的拓樸，並將其部署成一組微服務。目前Service Weaver仍在初期階段，提供Go語言程式開發函式庫，以及可部署到本地和GKE的部署器，以及一組API，供開發者自己編寫其他平臺的部署器。</p> </div></div></div>
2023/3/3 09:10作者李建興https://www.ithome.com.tw/news/155745
ChatGPT的能與不能
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在3月1日，OpenAI公司<a href="https://www.ithome.com.tw/news/155727">正式推出了ChatGPT的付費API服務</a>，而且提供的是媲美爆紅線上ChatGPT服務的3.5版NLP模型。這個不到2個月就吸引上億用戶註冊的殺手級應用，正式跨入了企業應用市場。ChatGPT不只搶進搜尋引擎戰場，現在進一步跨入更多企業對話式應用情境，例如搜尋、問答、客服、導覽、語音操控等等。</p> <p>而且不只如此，提供合乎文法、彷彿真人撰寫般的內容，又有高度正確性的參考內容，是吸引上億用戶註冊的第一印象。這幾個月來，經常可以看到網路上各種ChatGPT如何可能的討論，文章重點整理、會議記錄整理、設計課程大綱、安排旅遊行程、解答學校作業、撰寫行銷文案、製作制式公文、整理文獻回顧都是輕而易舉，而對IT人而言，自動產生程式碼，甚至找出現有程式碼中可能的臭蟲，都是立即可見的好處。</p> <p>甚至，只要給予更多更好的提示或者引導（prompt），就能修正，甚至引導ChatGPT產生的內容，越來越符合使用者預期的需求，這也催生了一個有趣的新角色「AI引導工程師」（Prompt Engineer）或者更詩意的說法是「AI詠唱者」，只要提問的問題問得好，就越能得到更貼切的答案，就算不是事實，但可能足以符合需求。</p> <p>但是，在大量嘗試之中，大家也逐漸看到ChatGPT的侷限和問題，它所產生的回答，不見得是正確答案或者是事實，甚至有不少回答是憑空杜撰的造假內容，例如詢問2022年熱門書籍排行榜，這個超過ChatGPT資料搜集時限的問題，它多半還是會吐出一個有模有樣的十大書籍排名，只是每一本書都是憑空杜撰，從來沒有出現過的書名。</p> <p>看似無所不能的解答，卻藏了不可知的假訊息，如何判斷真假，便落到了使用者的身上，也成了大家的痛點。</p> <p>不過，值得注意的是，OpenAPI發表了一個新的腳本語言稱為ChatML（Chat Markup Language），可以用於撰寫ChatGPT的輸入資料（也就是提問），甚至不用人問，也可以靠ChatML語法產生一串，帶有各種引導（prompt）的提問。目前只公開了ChatML v0版預覽版。</p> <p>這意味著，企業在ChatGPT API的對話應用中，將會有一個新的控制機制，可以將用戶的提問，再加上企業想要附加的限制引導（例如只針對自家企業，或特定產品的內容），來引導ChatGPT生成更符合企業情境需要的內容，這也是一種「事後客製化」的ChatGPT應用方式，不是透過調教ChatGPT模型，而是透過ChatML輸入引導指示（限制條件），來達到更聚焦企業目的的回應。目前已有幾家網路公司，開始用這個ChatGPT API打造自家的語音助理，例如Shopify用來提供顧客購物建議等。</p> <p>對個人來說，8到9成正確的答案，是個可以容忍或者不用太擔心的小問題，但對企業來說，可能是一個大風險，如何控制風險，找到合適應用情境，才是大考驗，不只模型本身的品質，企業還會擔心上傳的資料是否會外流，是否合規等等企業才會面臨，而個人多半不在意的問題。</p> <p>從OpenAPI對ChatGPT API服務的問答中，可以看到，在付費API推出後（也就是3月1日），OpenAPI就停止搜集使用者上傳的資料（也就是說，他們親口證實了之前上億用戶的問題，真的都在幫忙提供各種調校模型的訓練資料），從此，預設不再搜集用戶上傳的資料，（但用戶可選擇願意被使用）。但是，用戶上傳的問題，仍然會保留在OpenAI的伺服器上最多30天，作為濫用查核比對之用或法尊要求而保存，30天後就會刪除。</p> <p>因為目前這些資料主要都儲存在美國資料中心，也就無法符合有些國家敏感資料無法出境的法遵要求，例如臺灣金融顧客資料要出境儲存得經過批准。而且，為了查核，OpenAI公司也事前聲明，將授權極少數人，在全程紀錄下，允許人工檢視用戶上傳的內容，這些上傳資料並非完全保密。這些資料基本面的侷限，是企業導入ChatGPT API前得先知道的事。</p> <p>ChatGPT是一個新的魔杖，但不是無所不能的魔杖，企業應用場景不只在意它的「能」，但更需在意其所「不能」背後的挑戰和風險。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/chatgpt">ChatGPT</a></div><div class="field-item odd"><a href="/tags/openai">OpenAI</a></div><div class="field-item even"><a href="/tags/prompt-engineer">prompt engineer</a></div><div class="field-item odd"><a href="/tags/chatml">ChatML</a></div><div class="field-item even"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div><div class="field-item odd"><a href="/tags/%E5%B0%8D%E8%A9%B1%E6%A9%9F%E5%99%A8%E4%BA%BA">對話機器人</a></div></div></div>
2023/3/2 18:42作者王宏仁https://www.ithome.com.tw/voice/155744
【資安日報】3月2日，惡意軟體BlackLotus繞過UEFI安全開機、勒索軟體LockBit鎖定西班牙語用戶而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對UEFI韌體而來的惡意啟動程式（Bootkit），之前多半是國家級駭客打造，直到去年底，開始有人在駭客論壇兜售名為BlackLotus程式，當時揭露此事的研究人員，認為難以確認其危險程度。但最近有資安業者取得該惡意程式進行分析，證實確實具備賣家標榜的攻擊能力，使用者就算啟用UEFI安全開機機制，也無法避免電腦受到此惡意軟體感染。</p> <p>為了在加密檔案前能逃過資安系統的偵測，勒索軟體駭客也採取運用多種現成與合法工具的策略。例如，最近勒索軟體LockBit的攻擊行動裡，就採用了這樣的手法，使得防毒軟體及EDR系統都難以察覺異狀。</p> <p>工控物聯網系統（IIoT）的漏洞也相當值得注意。最近CISA針對PTC的ThingWorx Edge漏洞CVE-2023-0754、CVE-2023-0755提出警告，並指出有9種元件曝露於相關風險。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.welivesecurity.com/2023/03/01/blacklotus-uefi-bootkit-myth-confirmed/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體BlackLotus繞過UEFI安全開機，能在Windows 11電腦上運作</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1_-The-timeline-of-individual-events-related-to-BlackLotus-UEFI-bootkit.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1_-The-timeline-of-individual-events-related-to-BlackLotus-UEFI-bootkit.png" style="width: 300px; float: right;" /></a>有人自2022年10月，在駭客論壇上兜售名為BlackLotus的惡意UEFI啟動工具，並標榜能突破端點電腦的防護機制，但該惡意軟體究竟是否如賣家宣稱的如此強大？資安業者ESET取得此惡意程式的檔案進行分析，結果發現確實如此，並認為日後很可能會被駭客大肆利用。</p> <p>此軟體能在啟用UEFI安全開機、執行完整修補的Windows 11的電腦上運作，攻擊者一旦於受害電腦上部署，此啟動工具會植入作業系統核心層級的驅動程式，以及HTTP下載工具（用於與C2通訊、執行惡意酬載），並能夠停用作業系統內建的BitLocker、HVCI、Microsoft Defender等防護機制。</p> <p>為了維持於受害電腦上運作，駭客利用了CVE-2022-21894，研究人員指出，雖然微軟已於2022年1月修補上述漏洞，但遭濫用的可執行檔並未被列入UEFI註銷名單，而使得駭客仍能用於漏洞攻擊。</p> <p><a href="https://www.fortinet.com/blog/threat-research/emerging-lockbit-campaign"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit鎖定西班牙語用戶，突破防毒軟體與EDR防護加密檔案</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/LockBit-2023-02-27-at-1_44_21-pm.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/LockBit-2023-02-27-at-1_44_21-pm.png" style="width: 300px; float: right;" /></a>資安業者Fortinet揭露針對使用西班牙文用戶而來的勒索軟體LockBit攻擊行動，駭客自2022年12月到今年1月，先是透過社交工程手法向使用者提供IMG光碟映像檔，內含一組惡意工具，但除了LNK捷徑檔案外其餘皆為隱藏。一旦使用者依照指示執行LNK檔案，就會觸發第一個BAT批次檔來取得權限，進而更動使用者帳號的密碼，並將電腦以安全模式重開機，最終於受害電腦植入勒索軟體。</p> <p>研究人員表示，駭客透過寄生攻擊（LOLBins）的手法，包含透過檔案總管掛載IMG檔案、利用7-Zip解壓縮檔案，以及採取Sysinternals工具包的Autologon軟體來自動登入作業系統，而能躲過防毒軟體及EDR系統的偵測。</p> <p><a href="https://www.cyfirma.com/outofband/exfiltrator-22-an-emerging-post-exploitation-framework/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客兜售惡意框架Exfiltrator-22，並標榜可用於散布勒索軟體</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/exfiltrator-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/exfiltrator-2.jpg" style="width: 300px; float: right;" /></a></p> <p>資安業者Cyfirma揭露名為Exfiltrator-22的惡意框架（亦稱EX-22），駭客自去年11月27日首度推出第一個版本，然後在Telegram頻道進行宣傳，到了2月10日，賣家在YouTube上傳影片展示其功能。</p> <p>研究人員指出，EX-22具備14項能吸引買家的能力，例如：能在提升權限後建立反向Shell、加密電腦檔案並進行勒索、竊取LSASS的機密資料、具備橫向感染（蠕蟲）能力等。根據駭客所使用的混淆元件及C2基礎設施，研究人員認為賣家是勒索軟體駭客組織LockBit 3.0旗下成員。</p> <p><a href="https://www.prodaft.com/resource/detail/rig-rig-exploit-kit-depth-analysis"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟在去年6月已終止支援IE，但漏洞攻擊套件RIG持續透過該瀏覽器漏洞感染組織</span></strong></a></p> <p>微軟已透過Edge瀏覽器取代IE多年，但後者因有企業持續使用，仍是駭客偏好的攻擊目標。威脅情報業者Prodaft指出，名為RIG的漏洞攻擊套件（EK）仍有許多駭客愛用，根據他們的調查，使用此工具的駭客鎖定全球207個國家，一天平均發動2千起攻擊，且有3成行動成功。</p> <p>其中，受影響最嚴重的國家是德國、義大利、法國、俄羅斯、土耳其、沙烏地阿拉伯、埃及等。根據駭客所利用的IE漏洞來看，近半數（45%）是CVE-2021-26411，其次是CVE-2016-0189（29%）。而駭客藉著RIG EK散布的惡意程式，超過三分之一（34%）是銀行木馬Dridex，其次是SmokeLoader（26%）、RaccoonStealer（20%）。</p> <p><a href="https://www.menlosecurity.com/blog/purecrypter-targets-government-entities-through-discord/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體下載器PureCrypter鎖定政府機關而來，透過Discord發動攻擊</span></strong></a></p> <p>資安業者Menlo Security揭露利用惡意軟體下載器PureCrypter的攻擊行動，駭客主要針對亞太地區與北美的政府機關而來，寄送釣魚郵件，當中含有受到密碼保護的ZIP檔案附件，藉此挾帶位於Discord的URL。</p> <p>若是收信人依照指示開啟ZIP檔案的內容，此程式就會下載PureCrypter。一旦執行此惡意程式下載器，該程式會從C2伺服器下載下個階段的惡意酬載，例如：竊密軟體Redline、AgentTesla，惡意軟體Eternity、Blackmoon，以及勒索軟體Philadelphia。</p> <p>為了迴避偵測，駭客濫用其他組織的伺服器架設C2中繼站，並透過竊得帳密的FTP伺服器，外傳竊得的機密資料。</p> <p><a href="https://www.trendmicro.com/en_us/research/23/b/investigating-the-plugx-trojan-disguised-as-a-legitimate-windows.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體PlugX濫用開源Windows除錯工具在受害電腦運作</span></strong></a></p> <p>資安業者趨勢科技揭露惡意軟體PlugX的攻擊行動，駭客透過開源的Windows除錯工具x32dbg.exe，以DLL搜尋順序挾持（DLL Search Order Hijacking）的手法側載惡意DLL程式庫。研究人員指出，由於x32dbg.exe帶有合法簽章，攻擊者得以混淆部分資安系統，並能持續於受害電腦上運作，提升權限且繞過檔案執行的限制。</p> <p><a href="https://blogs.blackberry.com/en/2023/02/blind-eagle-apt-c-36-targets-colombia"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織APT-C-36鎖定哥倫比亞公共服務機構下手</span></strong></a></p> <p>BlackBerry資安研究團隊於2月20日發現駭客組織APT-C-36（亦稱Blind Eagle）的攻擊行動，主要針對哥倫比亞的司法機構、金融、公共服務、法律單位而來，但厄瓜多、智利、西班牙也有組織受害。</p> <p>駭客假冒哥倫比亞的稅務機關寄送釣魚郵件，並以密件副本（BCC）傳送給目標──他們聲稱主要的收信人是波哥大商會（<a href="mailto:[email protected]">[email protected]</a>），拖欠海關（DIAN）45天的稅款，並隨信附上「發票」檔案。</p> <p>此檔案為受密碼保護的PDF文件，內容含有看似DIAN的合法網址，但若是收信人點選連結，便會被帶往惡意網域dian.server[.]tl，該網站謊稱提供待處理的稅務發票內容。一旦收信人下載這些檔案，就有可能在電腦的記憶體內植入木馬程式AsyncRAT。</p> <p><a href="https://www.resecurity.com/blog/article/resecurity-disrupts-investment-scam-network-digital-smoke"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客假冒財星百大企業來進行投資詐騙</span></strong></a></p> <p>資安業者Resecurity揭露大規模的投資詐騙攻擊行動Digital Smoke，駭客鎖定中國、哥倫比亞、歐盟、印度、新加坡、馬來西亞、阿拉伯聯合大公國、沙烏地阿拉伯、墨西哥、澳洲、加拿大、美國等地，假借美國、英國財星百大企業的名義行騙，2022年光是在美國就騙走超過58億美元。</p> <p>值得留意的是，駭客用於詐騙的品牌，也符合時下的投資趨勢，產業橫跨金融服務、石油、再生能源、電動車（及電池）、醫療保健、半導體等，駭客為了發動相關攻擊，部署了大型基礎設施，光是在2022年12月，就有超過350臺主機，這些主機提供數千個用於詐騙的網域，並透過支付寶、統一支付介面系統（UPI）、Google Pay等行動支付工具，收取受害者的金錢。</p> <p>研究人員指出，雖然他們已經在2022年第四季向印度及美國的執法單位提供相關資訊，但這樣的詐騙情勢在2023年第一季快速增加，呼籲民眾要提高警覺。</p> <p><a href="https://therecord.media/danish-hospitals-hit-by-cyberattack-from-anonymous-sudan/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">9家丹麥醫院傳出遭到Anonymous Sudan發動DDoS攻擊</span></strong></a></p> <p>根據資安新聞網站The Record的報導，丹麥有9家醫院的網站於2月26日遭到DDoS攻擊而一度中止服務，哥本哈根衛生局證實確有相關事故，但強調這些機構的醫療服務並未受到波及，網站亦於數個小時後恢復運作。</p> <p>對於攻擊者的身分，駭客組織Anonymous Sudan聲稱是他們所為，起因是日前在瑞典的焚燒古蘭經遊行當中，具有丹麥與瑞典國籍的Rasmus Paludan在土耳其大使館前燃燒古蘭經。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/critical-vulnerabilities-patched-in-thingworx-kepware-iiot-products/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">ThingWorx、Kepware工業物聯網裝置存在重大漏洞</span></strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）於2月23日發布資安通告，針對以PLM系統聞名的廠商PTC旗下的ThingWorx Edge重大漏洞提出警告，包含了整數溢位漏洞CVE-2023-0754、記憶體越界寫入漏洞CVE-2023-0755，CVSS風險評分皆為9.8分，一旦遭到利用，就有可能在未經身分驗證的情況下，遠端於目標系統上執行任意程式碼（RCE），或是阻斷設備的服務（DoS）。</p> <p>受到影響的ThingWorx元件，包含了ThingWorx Edge C-SDK、ThingWorx Edge MicroServer、Kepware KEPServerEX、ThingWorx Kepware Server、Rockwell Automation KEPServer Enterprise、GE Digital Industrial Gateway Server等9項，PTC已發布修補程式。通報上述漏洞的研究人員，亦於2月28日發布概念性驗證（PoC）程式碼。</p> <p><a href="https://www.bleepingcomputer.com/news/security/aruba-networks-fixes-six-critical-vulnerabilities-in-arubaos/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Aruba網路設備作業系統出現重大漏洞，攻擊者可在未通過身分驗證的情況下發動RCE攻擊</span></strong></a></p> <p>Aruba Networks於2月28日發布資安通告，該公司修補33個網路設備作業系統ArubaOS漏洞，影響旗下的Mobility Conductor、Mobility Controllers，以及Aruba代管的WLAN Gateways、SD-WAN Gateways等解決方案。</p> <p>本次修補的漏洞有6個是重大風險等級，大致可區分兩種類型，分別是命令注入漏洞CVE-2023-22747、CVE-2023-22748、CVE-2023-22749、CVE-2023-22750，以及記憶體堆疊緩衝區溢位漏洞CVE-2023-22751、CVE-2023-22752。這些漏洞存在於PAPI通訊協定，且無需通過身分驗證就能利用，CVSS風險評分皆為9.8分。攻擊者可藉由發送特製的封包來觸發漏洞，進而使用特權使用者的身分，遠端執行任意程式碼（RCE）。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="http://www.bitdefender.com/blog/labs/bitdefender-releases-decryptor-for-mortalkombat-ransomware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">資安業者Bitdefender提供勒索軟體MortalKombat的解密工具</span></span></strong></a></p> <p><a href="https://www.proofpoint.com/us/blog/threat-insight/ta569-socgholish-and-beyond"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織TA569透過多種注入手法散布SocGholish</span></span></strong></a></p> <p><a href="https://asec.ahnlab.com/en/48211/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體ChromeLoader假借任天堂或Steam攻擊遊戲玩家</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155716">【3月1日】駭客假借Amazon Prime會員名義發動網釣攻擊、應用程式框架ZK Framework漏洞被用於攻擊行動</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155663">【2月24日】 1.5萬個NPM套件含有網釣URL連結、逾4成企業2022下半發現Log4Shell相關攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155652">【2月23日】研究人員找到WAF可被繞過的盲點、駭客假借提供ChatGPT應用程式的名義散布惡意軟體</a></strong></p> </div></div></div>
2023/3/2 15:32作者周峻佑https://www.ithome.com.tw/news/155740
Google Gmail、行事曆用戶端加密正式推向全球Google Workspace企業及教育用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年12月Google讓Workspace企業及教育版用戶測試Gmail及其他雲端應用的用戶端加密（client-side encryption，CSE），<a href="https://workspace.google.com/blog/product-announcements/gmail-and-calendar-client-side-encryption" target="_blank">Google昨（1）日宣布這項功能將正式推向全球企業及教育用戶</a>。</p> <p>去年12月，Google先是為Drive、Docs、Slides、Sheets和Meet等服務加入CSE，並<a href="https://www.ithome.com.tw/news/154785" target="_blank">在12月底允許</a>Google Workspace Enterprise Plus、Education Standard和Education Plus版本用戶測試Gmail的CSE一個月。在最新宣布下，即日起，用戶端加密（CSE）將正式部署到全球企業及教育用戶，而且還擴及行事曆服務。</p> <p>透過啟用CSE，Workspace使用者對內部同事或外部合作夥伴傳送的信件、圖片附件及建立的會議內容，在傳到Google伺服器之前都已經獲得加密，確保內容主體和附件無法從Google伺服器端解讀，用戶可管理加密金鑰，及控管存取這些金鑰的身分服務，比全程加密（E2EE）提供用戶更大主控權。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0302-Google%20Workspace-Gmail-client-side%20encryption.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>Google指出，CSE功能擴及Workspace可大幅降低企業及公部門用戶法規遵循的負擔，也確保第三方組織包括Google或外國政府無法存取用戶的機密資料。Workspace已經以密碼演算法加密儲存及傳送中的資料，CSE則可因賦予用戶存取的完整主控權，讓這層加密安全性再拉高。</p> <p>Google表示，已經使用Workspace CSE的企業包括法國世界報集團、顧問公司PwC及電信業龍頭Verizon等。</p> </div></div></div>
2023/3/2 13:28作者林妍溱https://www.ithome.com.tw/news/155726
OpenAI針對付費用戶推出ChatGPT、Whisper API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI積極向企業用戶招手。繼<a href="https://www.ithome.com.tw/news/155347" target="_blank">2月宣布付費服務ChatGPT Plus</a>後，本周稍早<a href="https://openai.com/blog/introducing-chatgpt-and-whisper-apis" target="_blank">OpenAI宣布生成性AI ChatGPT及自動語音辨識AI系統Whisper的API</a>，使付費企業及開發人員開發的應用存取其AI對話機器人和語音轉文字的AI模型。</p> <p>這是自11月以來，OpenAI將ChatGPT上線開放用戶測試後，針對開發人員設計的新服務。OpenAI指出，在對ChatGPT實施全系統最佳化下，12月以來已省下90% ChatGPT的成本，現在公司將把省下的成本提供給API用戶。開發人員現在可經由API使用Whisper開源的large-v2模型，同時享受更快的服務。而ChatGPT API用戶則將使用更新版模型，還能選擇專屬執行個體以便更深層控制模型，包括版本和效能。</p> <p>針對ChatGPT API，OpenAI宣布存取的AI模型已改版到gpt-3.5-turbo，等同於ChatGPT付費產品使用的版本。其收費標準為每1000個token（字詞單位）0.002美元，是GPT-3.5價格的1/10，也是眾多非對話應用情境中最好的模型。OpenAI宣稱有許多早期測試人員已從text-davinci-003搬到gpt-3.5-turbo，過程中只要對其提示做少量修改。</p> <p>OpenAI同時宣布開源最新版AI模型gpt-3.5-turbo-0301，將最少支援到6月1日，他們也預計4月更新gpt-3.5-turbo模型到最新穩定版本。</p> <p>針對專屬執行個體，OpenAI解釋，原本用戶對ChatAPI的呼叫是和他人共同運算基礎架構，用戶以呼叫計費，但ChatGPT API不同。它是執行在Azure上的專屬執行個體，用戶（開發人員）是以時段長度付費。在專屬執行個體中，開發人員可全權控制執行個體的負載量，這功能可支援更長時段的使用情境，以及抓取模型的快照（snapshot）。</p> <p>OpenAI表示，專屬執行個體對每日執行token量超過4.5億的開發人員來說更划算，也能針對硬體效能最佳化開發人員作業負載，進而減低共享基礎架構的成本。</p> <p>語音轉文字服務Whisper使用的模型則提升到large-v2，費用為每分鐘0.006美元，支援影片格式包括m4a、mp3、mp4、mpeg、mpga、wav及webm。</p> <p>目前已經有多家開發商使用ChatGPT API。用戶包括圖片分享App Snapchat開發商Snap。該公司使用ChatGPT API於本周上線測試的My AI for Snapchat+聊天機器人中。Snapchat每月用戶達7.5億，結合ChatGPT的My AI可為用戶提供建議，甚至幫用戶寫出俳句。</p> <p>此外，用戶數超過6000萬的學習平臺Quizlet利用ChatGPT API開發出Q-Chat AI教師（下圖）、南韓語言學習App Speak也用AI模型透過對話機器人寓教於樂。行動購物App開發商Instacart及Shopify則運用ChatGPT，將ChatGPT整合在個人化服務中，以問答方式提供用戶購物建議。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0302-ChatGPT%20and%20Whisper%20APIs-Quizlet%20Q-Chat.png" style="text-align: center; width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／OpenAI</span></span></p> </div></div></div>
2023/3/2 13:53作者林妍溱https://www.ithome.com.tw/news/155727
最新Google Chrome可讓MacBook不插電用更久，未來將推向Android、Windows版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Chrome向來以耗電聞名，不過Google在近日最新macOS版Chrome做了調整，<a href="https://blog.chromium.org/2023/02/do-more-with-chrome-on-single-charge-on.html" target="_blank">宣稱可讓較舊的MacBook也能上網和看YouTube更長時間</a>。Google也計畫未來推向Android、Windows及Linux版Chrome。</p> <p>Google指出，<a href="https://chromereleases.googleblog.com/2023/02/stable-channel-desktop-update_14.html" target="_blank">2月間釋出穩定版的macOS版Chrome 110.0.5481.100</a>，可讓MacBook充飽一次電使用更長時間。根據其測試，搭載M2晶片的13吋MacBook Pro用戶可連續上網17小時，或看YouTube 18小時。若配合使用Chrome的節能（Energy Saver）模式，則還能再延長30分鐘。</p> <p>Google也說明Chrome達成上述省電結果的祕訣。方法包括微調iframes、調整Javascript計時器、簡化資料結構，以及去除不必要的自動刷新。首先，由於許多iframes存在很短時間，頻繁建立及刪除iframe相當耗電，因此Chrome團隊對剛建立的iframe微調了garbage collection及記憶體壓縮演算法，有助於降低短期記憶體使用，進而減少耗能，又不影響長期記憶體使用。其次，Javascript倒數計時器沿用已久，雖然現在已經有效率更高的API，但網頁開發人員還是大量使用這類計時器，也成為耗電元兇。Google工程人員已調整了Javascript倒數計時器在Chrome中執行的作法，也發現可在不必要取消Javascript內在計時器的方法，可較少喚醒CPU，更有助於節能。</p> <p>其次，Google也從資料結構下手，優化具同樣鍵值（key）的資料存取模式。最後，Google經過調查，發現名為文件物件模型（document object model，DOM）的變更模式不會影響螢幕像素，並修改Chrome使其得以偵測並繞過不必要的網頁格式（style）、排版、色彩、光柵（raster）及GPU動作，並把最佳化結果實作到ChromeUI中，達到減少刷新網頁、耗用電量的目的。</p> <p><a href="https://www.theverge.com/2023/2/28/23618229/google-chrome-macbook-battery-power-efficiency-boost-update" target="_blank">Google向媒體證實</a>，這項最新節能技術也會加入到未來Windows、Linux及Android版Chrome上。</p> </div></div></div>
2023/3/2 14:15作者林妍溱https://www.ithome.com.tw/news/155728
工業控制系統漏洞數量持續增長，美國CISA頻頻發布漏洞通告示警
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自2010年發生Stuxnet病毒攻擊伊朗核電廠之後，工業控制系統（ICS）遭揭露的弱點，開始有逐年倍增的趨勢，近期在智慧製造、智慧醫療的轉型升級潮流中，OT安全議題更是屢屢成為現今資安領域關注重點。以今年1月為例，工控網路安全商<a href="https://synsaber.com/resources/industrial-cve-retrospective-2020-2021-2022/">SynSaber公布產業CVE追蹤報告</a>，根據的資料，是2020到2022年間，美網路安全暨基礎設施安全局（CISA）的ICS漏洞通告，以及CVE漏洞資訊，再度突顯這領域的資安風險。</p> <p>結果顯示，單就ICS漏洞通告而言，CISA在2020年發布211次ICS漏洞通告，2021年為353次，2022年則是361次。其中，在2020到2021年之間的成長幅度最大，達到67.3%，這顯示，CISA對ICS漏洞曝險問題示警，趨於積極主動。</p> <p>若是以ICS的CVE漏洞數量而言，2020年揭露550個CVE漏洞，2021年有1191個，2022年有1342個。SynSaber指出，隨著工控安全受市場重視，以及工控安全產業的增長，這也確實導致CVE漏洞通報數量不斷增加。</p> <h3><strong>SynSaber針對工控漏洞現況，提出四大觀察焦點</strong></h3> <p>從SynSaber上述報告以及他們最新的2022下半ICS漏洞報告來看，我們歸納出4個重點。</p> <p>首先，在漏洞修補態勢上，以2022年下半揭露的CVE漏洞而言，有35%目前供應商尚未提供修補或補救的緩解措施，比例高於2022上半（13%）。</p> <p>特別的是，SynSaber提到有些漏洞雖然已公開揭露，卻可能永遠都沒有可用的修補，因此它們被稱為永遠存在漏洞（Forever Day Vulnerabilities）。而這三年下來，有21.2%不會有修補程式。</p> <p>這樣的結果可能比大家想像的還高，主要原因在於，許多通報的CVE漏洞，是存在於老舊、不再支援的系統。因此，當新的漏洞報告揭露時，設備製造商已不再需要針對該漏洞釋出修補。</p> <p>第二，從漏洞存在的位置來看，SynSaber主要列出了三大類，包括軟體、韌體、協定。在近三年的數量來看，軟體漏洞的數量最多，有1,732個，韌體漏洞有1,111個，協定漏洞則有240個。</p> <p>SynSaber指出，並非所有漏洞都是平等的，這是因為軟體漏洞的修補較為容易，只要更新特定應用程式，不過，有超過4成數量是韌體與協定漏洞，其中，韌體漏洞的修補或更新會影響到整個設備，協定漏洞的處理影響整個系統與架構，可能需要大量系統與子系統的升級，因此廠商修補的難度相對較高。</p> <p>第三，以漏洞揭露態勢而言，在2022年的CVE漏洞，有56%是來自設備製造商，至於其餘（43%），則是資安業者與獨立安全人員揭露。</p> <p>第四，以產品廠牌來看，西門子表現最突出，因為該公司產品安全團隊三年揭露的自家產品漏洞數量最多，分別為78個、230個、544個，明顯高於其他業者，但SynSaber強調，這不應該視為西門子產品的安全性較低。事實上，對於設備製造商而言，趨向成熟的自我漏洞通報流程機制是必要的，其他製造商應該要效法，而且也需努力去實現。</p> <p>另外，若從資安業者通報ICS產品的CVE漏洞數量來看，近三年以趨勢科技最多，分別為67個、246個與197個。</p> <p>最後，對於工控產品用戶而言，SynSabe建議從三大面向去思考。從適用性來看，企業需要一個最新的資產清單，因為每個報告都會提到受影響的產品、軟體與版本；從嚴重性來看，儘管CVSS評分不應該是確定修補修先順序的唯一指標，但依然很有幫助；從可修復性來看，這類問題可能比較複雜，但尋求設備商提供修補升級，如何在不影響操作下，以及不需改變整個系統、子系統與架構下，採取緩解配置，將是重點。整體而言，工控產品用戶在設法因應時，可從三大面相相互涵蓋的部分去思考。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）Synsaber ICS漏洞分析.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89Synsaber%20ICS%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90.jpg" style="width: 600px;" /></a></p> <p><strong>在SynSaber這份報告中，他們統計了近三年的ICS漏洞數量，2020年揭露有550個CVE漏洞，2021年有1,191個，2022年有1,342個，三年總數為3,083個；至於醫療ICS漏洞的揭露，則相對較少且有減少的趨勢，從2020年的79個CVE漏洞，2021年的87個，到2022年的23個，而醫療ICS漏洞通告數量是逐年減少。</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）SynSaber ICS CVE Retrospective.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89SynSaber%20ICS%20CVE%20Retrospective.jpg" style="width: 600px;" /></a></p> <p><strong>從ICS的CVE漏洞類型、漏洞所處位置來看，<a href="https://14520070.fs1.hubspotusercontent-na1.net/hubfs/14520070/Collateral/SynSaber_Industrial-CVE-Retrospective_2020-2021-2022.pdf">SynSaber</a>歸納為三類，包括軟體漏洞、韌體漏洞與協定漏洞。該公司指出，軟體漏洞的修補算是較為容易，更需要關注的是韌體與協定漏洞，其更新修補是相對困難，容易影響整個設備，影響整個系統與架構，而且這兩方面的漏洞占比近4成。</strong></p> </div></div></div>
2023/3/1 16:01作者羅正漢https://www.ithome.com.tw/news/155710
Nvidia新GPU驅動程式能以AI提高串流影片觀看解析度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia在GeForce RTX 40與30系列最新的GeForce Game Ready驅動程式，加入<a href="https://blogs.nvidia.com/blog/2023/02/28/rtx-video-super-resolution/">影像超級解析度（Video Super Resolution，VSR）功能支援</a>，用戶只要使用微軟Edge 110.0.1587.56或是Google Chrome 110.0.5481.105以上版本瀏覽器，就能將瀏覽器上低解析度的串流影片，提升至4K解析度。</p> <p>GeForce RTX 40與30系列所支援的VSR，是以深度學習模型預測低解析度影像，進而將低解析度影片轉換成高解析度版本的技術，如此便能夠使物體邊緣清晰，動物毛髮表現更細緻等，過去Nvidia在SHIELD TV電視棒中應用這項技術，將480p的影片提升解析度至1080p。</p> <p>由於串流影片使用以區塊為單位的壓縮方法像進行編碼，因此會出現塊狀壓縮失真，Nvidia解釋，在傳統的畫質提升演算法的放大下，塊狀壓縮失真會更加嚴重，嚴重影響低解析度串流影片的觀賞體驗。</p> <p>而RTX VSR技術能夠透過邊緣偵測和特徵銳化，提升串流媒體影片內容的品質，減少因為影片壓縮產生的假影，並且避免材質失真。</p> <p>RTX VSR在單次處理程序就能提升解析度和減少壓縮失真，Nvidia利用不同壓縮程度的影片訓練深度學習模型，因此模型了解低解析度影片存在的壓縮失真類型，可從輸入的低解析度影片影格，預測目標解析度的殘差圖像（Residual Image），透過將殘差圖像疊加到經Bicubic解析度提升演算法處理的影格，就能校正假影錯誤和銳化邊緣，最終產生高解析度影像。</p> </div></div></div>
2023/3/2 02:35作者李建興https://www.ithome.com.tw/news/155723
【資安日報】3月1日，駭客假借Amazon Prime會員名義發動網釣攻擊、應用程式框架ZK Framework漏洞被…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為規避偵測，駭客濫用短網址的情況不時傳出。最近有人假借Amazon付費會員的名義來寄送釣魚信件，目的是騙得收信人的詳細個資及信用卡資料。但值得留意的是，這起攻擊行動中，駭客使用了LinkedIn短網址服務Smart Link來迴避偵測，而濫用該服務的攻擊行動已非首例──<a href="https://www.ithome.com.tw/news/153192#linkedin">去年9月就有駭客用於網釣攻擊</a>。</p> <p>建置於雲端的應用程式遭到鎖定也相當值得留意。研究人員揭露針對架設在AWS的K8s與容器相關系統的攻擊行動，但駭客不僅將目標容器叢集用於挖礦，還企圖將組織開發的應用程式程式碼偷走。</p> <p>名為ZK Framework應用程式框架的漏洞CVE-2022-36537已出現攻擊行動，使得美國政府提出警告，並指出採用該框架的應用程式也會成為攻擊目標。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.malwarebytes.com/blog/news/2023/02/linkedin-slinks-abused-to-phish-email-and-payment-details"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">LinkedIn短網址遭到濫用，用於Amazon Prime電子郵件網釣攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/easset_upload_file91047_259228_e.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/easset_upload_file91047_259228_e.jpg" style="width: 300px; float: right;" /></a>資安業者Malwarebytes揭露濫用LinkedIn短網址服務的網釣攻擊，駭客假借Amazon的名義，聲稱收信人的Prime帳號到期，但因為信用卡出現問題而無法扣款，導致會員權益暫停，收信人必須在24小時提供正確的信用卡資料，否則相關權益將被取消。</p> <p>一旦收信人依照指示點選更新會員資料的按鈕，就會被帶往偽造的Amazon登入網站，該網站根據使用者輸入的電子郵件信箱，要求他們提供微軟或Google帳號的密碼，若照做駭客進一步假借資安檢查的名義，要求輸入電話號碼、生日、地址等更多個資，最終騙取收信人的信用卡資料。</p> <p>值得留意的是，為了規避偵測，駭客在釣魚信的URL裡，濫用了LinkedIn短網址服務Slink（Smart Link）。</p> <p><a href="https://sysdig.com/blog/cloud-breach-terraform-data-theft/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Terraform、K8s、AWS遭到鎖定，駭客竊取原始碼等機密資料</span></strong></a></p> <p>網路安全業者Sysdig揭露名為Scarleteel的攻擊行動，駭客針對容器化的工作負載下手，先是尋找在AWS裡能連至網際網路的網頁應用程式，一旦能夠存取容器，駭客就會下載挖礦程式XMRig及指令碼，目的是從Kubernetes pod截取帳密資料，然後，駭客將其用於存取AWS的API，藉此取得當中的所有帳號，並將這些資料送到外部。</p> <p>在上述過程裡，攻擊者不只會停用CloudTrail事件記錄系統，還會透過S3儲存桶裡的Terraform組態檔案，挖掘更多與AWS帳號相關的帳密資料。研究人員指出，雖然駭客部署了挖礦軟體牟利，但如此複雜的手法，背後真正的動機並不單純，他們推測很可能是竊取企業獨有的軟體。</p> <p><a href="https://thehackernews.com/2023/02/cisa-issues-warning-on-active.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國警告網頁應用程式框架ZK Framework漏洞被用於攻擊行動</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/r1soft-backdoors-by-country.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/r1soft-backdoors-by-country.png" style="width: 300px; float: right;" /></a><a href="https://www.cisa.gov/news-events/alerts/2023/02/27/cisa-adds-one-known-exploited-vulnerability-catalog">美國網路安全暨基礎設施安全局（CISA）於2月27日</a>，將知名的網頁應用程式開發框架ZK Framework的漏洞CVE-2022-36537（CVSS風險層級為7.5分），列入已遭利用漏洞名單（KEV）。</p> <p>CISA指出，此框架以Java為基礎打造，且為開源系統而被不少專案採用，上述漏洞會影響多種產品，例如，ConnectWise R1Soft伺服器備份管理員。</p> <p><a href="https://web.archive.org/web/20230228071242/https://blog.fox-it.com/2023/02/22/from-backup-to-backdoor-exploitation-of-cve-2022-36537-in-r1soft-server-backup-manager/">資安業者Fox IT於1月9日</a>，發現286臺含有上述漏洞的R1Soft伺服器被植入後門程式，約有半數在美國與南韓。</p> <p><a href="https://patchstack.com/articles/psa-houzez-theme-unauthenticated-privilege-escalation-vulnerability-exploited-in-the-wild/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WordPress佈景主題出現重大漏洞，已有人用於挾持網站</span></strong></a></p> <p>資安業者Patchstack揭露主打房仲業的WordPress佈景主景外掛套件Houzez Theme、使用者管理套件Houzez Login Register，兩者皆存在風險層級達到9.8分的重大漏洞（但尚未登錄CVE編號），一旦遭到利用，攻擊者就能在未經身分驗證的情況下，取得特殊權限，開發商獲報後已發布新版予以修補。</p> <p>值得留意的是，研究人員已經看到上述兩個套件的漏洞已被用於攻擊行動，其中一個攻擊來源IP位址是103.167.93.138。</p> <p><a href="https://www.bitdefender.com/blog/labs/weaponizing-pocs-a-targeted-attack-using-cve-2022-47966/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Zoho ManageEngine重大漏洞已出現攻擊行動</span></strong></a></p> <p>Zoho自2022年7月開始，陸續著手修補影響旗下24款產品的重大漏洞CVE-2022-47966（CVSS風險評分為9.8分），但隨著資安業者Horizon3.ai於1月19日發布概念性驗證程式（PoC），隔日就有人將此漏洞用於攻擊行動。</p> <p>這起活動被揭露，是源自資安業者Bitdefender的發現，研究人員看到自1月20日有人利用相關漏洞發動攻擊，然後企圖濫用Windows作業系統內建的powershell.exe、bitsadmin.exe、certutil.exe等元件下載作案工具，並藉由側載的方式執行惡意酬載。</p> <p>為了能持續、隱密地在受害主機上運作，駭客濫用了Windows服務，以及ServiceDesk採用的Tomcat網頁伺服器元件，然後在受害主機上部署網路工具Netcat、Cobalt Strike Beacon、遠端桌面工具AnyDesk，甚至有植入勒索軟體Buhti的情況。</p> <p><a href="https://www.nbcnews.com/politics/politics-news/major-us-marshals-service-hack-compromises-sensitive-info-rcna72581"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國法警局傳出遭勒索軟體攻擊</span></strong></a></p> <p>根據新聞網站NBC News的報導，美國法警局（USMS）在2月27日證實，該部門遭到勒索軟體攻擊，並導致資料外洩的情況。</p> <p>USMS的發言人向NBC News透露，受影響的系統存放了與執法相關的敏感資訊，例如：受調查人員、USMS員工、外部合作人士的個資，以及法律程序與管理資訊的通報資料等。</p> <p>知情人士透露，此次的資安事故，並未波及證人保護計畫（Witness Security Program）資料庫。</p> <p><a href="https://www.bleepingcomputer.com/news/security/dish-network-confirms-ransomware-attack-behind-multi-day-outage/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國衛星通訊服務業者Dish Network遭到勒索軟體攻擊，旗下服務停擺</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/dish_com-screenshot.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/dish_com-screenshot.jpeg" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer報導，美國衛星通訊服務業者Dish Network旗下的網站Dish.com、DishWireless.com，以及Dish Anywhere應用程式，約於24日出現服務中斷的情況，客戶無法觀看電視。</p> <p>對此，該公司於2月27日向美國證交所通報，他們的服務近期中斷原因是遭到網路攻擊，並表示很有可能是勒索軟體造成，駭客亦從受害系統竊得該公司資料，但Dish Network並未說明遭到外洩的資料內容。</p> <p>消息人士向Bleeping Computer透露，此起事故疑為勒索軟體駭客Black Basta所為，駭客先是破壞網域控制器，然後加密VMware ESXi伺服器及備份檔案。但這樣的說法，並未得到Dish Network的證實。</p> <p><a href="https://www.bleepingcomputer.com/news/security/telus-investigating-leak-of-stolen-source-code-employee-data/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加拿大電信業者Telus原始碼、員工資料外洩</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/forum-post-telus.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/forum-post-telus.jpeg" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，有人陸續在2月17日、21日於駭客論壇上，先後兜售逾7.6萬筆加拿大大型電信業者Telus員工個資，以及GitHub儲存庫、原始碼、薪資單資料。</p> <p>賣家亦宣稱原始碼含有該公司的sim-swap-api，可被用於SIM挾持攻擊。對此，Telus向該新聞網站表示，他們已著手調查，但目前為止尚未發現公司或客戶資料外洩。</p> <p><a href="https://www.bleepingcomputer.com/news/security/stanford-university-discloses-data-breach-affecting-phd-applicants/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">史丹佛大學傳出資料外洩，波及申請博士班的經濟系學生</span></strong></a></p> <p>美國史丹佛大學於2月17日發出公告，表示經濟系網站出現資料外洩的情況，已知有897名申請入學的博士班生資料遭到不法存取。該校於1月24日接獲通報並著手調查，結果發現存放上述個資的資料夾於2022年12月5日曝露在網際網路上，截至他們得知此事，已有2次異常存取的情況，但該校強調目前尚未發現資料遭到濫用的證據。</p> <p>這些遭到下載的資料包含學生的姓名、生日、通訊地址、電子郵件信箱、電話號碼、種族、性別等。</p> <p><a href="https://www.bleepingcomputer.com/news/security/news-corp-says-state-hackers-were-on-its-network-for-two-years/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">新聞媒體集團News Corp去年遭駭調查有新進展，駭客2020年就得到存取權限</span></strong></a></p> <p>華爾街日報母公司News Corporation（News Corp）傳出於2022年1月遭到網路攻擊，介入調查的資安業者Mandiant認為可能是中國駭客所為。這起事故現在有了新的進展──News Corp於2月22日指出，根據他們的調查，未經授權的第三方組織自2020年2月到2022年1月，利用部分人員的帳號存取業務檔案及電子郵件。駭客取得的個資包含使用者姓名、生日、駕照號碼、護照號碼、金融帳號資料，以及醫療與健康保險資料。</p> <p><a href="https://www.mjib.gov.tw/news/Details/1/839"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客去年10月兜售全臺戶政資料，調查局公布最新調查結果</span></strong></a></p> <p>2022年10月，自稱是OKE的人士於駭客論壇BreachForums兜售全臺2,357萬2,055筆戶政資料，為取信買家，賣家亦公布20萬筆資料用於驗證其真實性。對此，法務部調查局資安工作站與臺北市調查處組成專案小組，取得駭客求售資料進行分析，結果發現其內容為2018年4月以前的戶役政資料。</p> <p>根據駭客收款的加密貨幣錢包進行追蹤，發現持有者為中國籍人士，且已完成多筆交易，他們掌握錢包所有者身分，依違反個人資料保護法及刑法妨害電腦使用罪移送臺灣臺北地方檢察署偵辦。</p> <p>但這些資料究竟如何流出？調查局表示，礙於資訊系統與資安設備留存的稽核記錄已超過年限，恐難以追查。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://chromereleases.googleblog.com/2023/02/stable-channel-desktop-update_22.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google修補重大記憶體釋放後濫用漏洞，若不更新恐導致RCE攻擊</span></strong></a></p> <p>2月22日Google發布電腦版Chrome更新110.0.5481.177（部分Windows電腦為110.0.5481.178版），當中總共修補10個安全弱點，最嚴重的是重大漏洞CVE-2023-0941，此漏洞與Prompts功能的記憶體釋放後濫用（UAF）有關。</p> <p>另一個值得留意的是高風險漏洞CVE-2023-0928，存在於3D圖形渲染器SwiftShader，但這項漏洞是在去年3月通報，接近快一年才完成修補，後續影響有待觀察。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/hacker-leaks-alleged-activision-employee-data-on-cybercrime-forum/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">電玩業者Activision資料流入駭客論壇，起因疑為Azure資料庫外洩</span></span></strong></a></p> <p><a href="https://www.zdnet.com/article/australia-retailers-customer-data-compromised-in-third-party-breach/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">澳洲消費電子連鎖商店The Good Guys傳出資料外洩，起因是第三方供應商遭駭</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/lastpass-devops-engineer-hacked-to-steal-password-vault-data-in-2022-breach/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">LastPass透露2022遭駭事件新的發展，駭客利用側錄工具竊取DevOps工程師帳密</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155663">【2月24日】 1.5萬個NPM套件含有網釣URL連結、逾4成企業2022下半發現Log4Shell相關攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155652">【2月23日】研究人員找到WAF可被繞過的盲點、駭客假借提供ChatGPT應用程式的名義散布惡意軟體</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155635">【2月22日】新加坡與中國的大型資料中心用戶帳密遭竊、殭屍網路MyloBot每天感染逾5萬臺電腦</a></strong></p> </div></div></div>
2023/3/1 17:45作者周峻佑https://www.ithome.com.tw/news/155716
傳馬斯克組AI實驗室開發ChatGPT對手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體報導，馬斯克近日找前DeepMind研究主管計畫成立AI實驗室，開發對抗ChatGPT的競爭技術。</p> <p><a href="https://www.theinformation.com/articles/fighting-woke-ai-musk-recruits-team-to-develop-openai-rival?rc=gjik5g" target="_blank">《The Information》引述消息人士報導</a>，馬斯克近日接觸了曾在DeepMind任職的AI科學家Igor Babuschkin籌建研究實驗室，以開發和ChatGPT競爭的AI技術。不過馬斯克和Babuschkin的會面才只是起步，尚未有具體計畫。Babuschkin也對《The Information》表示尚未正式加入。</p> <p>馬斯克是否計畫開發類似OpenAI的ChatGPT的生成式AI技術引人關注。OpenAI是2015年馬斯克和 Y Combinator總裁暨OpenAI現任執行長 Sam Altman共同創辦，直到2018年因為特斯拉將擴大投入AI研發，才為利益迴避辭去OpenAI董事會。</p> <p>ChatGPT上線開放大眾測試後引發關注，<a href="https://twitter.com/elonmusk/status/1599128577068650498" target="_blank">馬斯克上個月透過推特指出</a>，ChatGPT「厲害好嚇人，世界距離強大到危險的AI已經不遠」，<a href="https://twitter.com/elonmusk/status/1603836383885332480" target="_blank">又說訓練AI說謊將帶來致命的危險</a>。</p> <p>2 月間，在微軟挹注OpenAI數億美元後，<a href="https://twitter.com/elonmusk/status/1626516035863212034" target="_blank">馬斯克說道</a>，OpenAI當初是為了對抗Google而成立的開源、非營利公司，但現在它已成為由微軟實質控制的封閉程式碼的追求最大利益的公司，違反了他當時成立OpenAI的初衷。</p> <p>馬斯克和Babuschkin兩人都未對報導做出回應。</p> <p><a href="https://www.ithome.com.tw/news/155698" target="_blank">Meta則是在上周宣佈成立生成式AI開發團隊</a>，將開發強化旗下Messenger、WhatsApp等服務的互動能力。</p> </div></div></div>
2023/3/1 17:23作者林妍溱https://www.ithome.com.tw/news/155715
LastPass員工家中電腦被駭致外洩公司關鍵系統登入憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周稍早LastPass說明去年8月一連串被駭事件的調查結果，顯示禍首是高階員工家中電腦被駭，導致該公司系統登入憑證外洩。</p> <p><a href="https://www.ithome.com.tw/news/152730" target="_blank">去年8月密碼管理服務商LastPass</a>公司網路遭駭客竊走部份技術資訊及程式碼，引發了<a href="https://www.ithome.com.tw/news/154862" target="_blank">11月用戶密碼儲存庫的駭入事件</a>。而在安全廠商Mandiant的協助下，LastPass本周公布了整起事件始末。</p> <p>LastPass指出，第一次事件在8月12日結束，但駭客利用這次取得的資訊，從8月12日到10月26日進行一連串的偵察、列舉及資料外洩行動，以入侵LastPass的雲端儲存環境。這個位於AWS S3的儲存環境即儲存了LastPass客戶檔案備份，包括公司名稱、電子郵件、IP位址、密碼及加密儲存庫資料，<a href="https://www.ithome.com.tw/news/155264" target="_blank">廠商於今年1月證實已外洩</a>。</p> <p>這個資源原本具有加密防護，包括AWS S3-SSE、S3-KMS或S3-SSE-C技術加密防護，要存取這個bucket，攻擊者必須具備AWS存取金鑰及LastPass產生的解密金鑰。而為了取得這些金鑰，攻擊者策畫了階段性攻擊行動。</p> <p>在第一次事件中，駭客先是鎖定4位擁有解密金鑰的DevOps工程師，結果有一位被成功入侵。攻擊者是利用這位資深工程師家中電腦中一個第三方媒體軟體套件的漏洞，進行遠端程式碼攻擊，在電腦中植入了鍵盤側錄程式。攻擊者在這名員工登入DevOps系統驗證MFA時，成功截取到主密碼，即成功存取該DevOps員工的LastPass密碼儲存庫（vault）。</p> <p>接著駭客將原生的密碼儲存庫內容及共享資料夾的內容匯出。這個共享資料夾內含的加密記事中，則有存取AWS S3上LastPass營運環境備份、雲端儲存資源及一些關鍵資料庫備份的登入憑證和解密金鑰。當然也包含了客戶密碼備份及加密金鑰。最後，駭客因使用雲端身分及存取管理（Identity and Access Management，IAM）進行非授權活動，觸發了AWS系統通報，才讓LastPass第一次得知駭入事件。</p> <p>在得知駭入事件後，除了展開調查，LastPass的回應措施還包括啟動以微軟Authenticator的條件式存取PIN比對多因素驗證（PIN-matching）、輪換關鍵及高權限的登入憑證、撤銷且再發放憑證。</p> <p>不過，就算LastPass再怎麼解釋也平息不了客戶的怒火。已經有一群用戶因這起資料外洩案，<a href="https://www.ithome.com.tw/news/155011" target="_blank">今年1月對該公司提起集體訴訟</a>。</p> </div></div></div>
2023/3/1 16:23作者林妍溱https://www.ithome.com.tw/news/155711
Windows 11更新將加入AI加持的Bing、整合iPhone同步
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟2月初才宣布以AI技術加強的Bing搜尋引擎，<a href="https://blogs.windows.com/windowsexperience/2023/02/28/introducing-a-big-update-to-windows-11-making-the-everyday-easier-including-bringing-the-new-ai-powered-bing-to-the-taskbar/" target="_blank">昨（28）日微軟宣布最新版Windows 11更新</a>，將整合ChatGPT底層AI加持的Bing預覽版、Phone Link for iOS、記事本App支援分頁，並首度加入了Windows 365終端App。</p> <p>微軟2月把AI加強的Bing桌機版以預覽版開放169國少數用戶測試後，昨日再進一步將之整合到Windows 11的可輸入文字的搜尋列及工作列上。微軟表示，Windows搜尋列每月有超過5億用戶使用，這作法讓用戶更容易找到搜尋功能，更快獲得想要的答案。而不久後，數百萬Windows 11用戶也能從工作列上直接使用Bing搜尋及聊天功能。</p> <p>如果用戶已經有Bing預覽版，只要安裝昨日釋出的Windows 11更新，就可以在搜尋列使用Bing。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0301-Windows%2011-AI-powered%20Bing-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>在Bing部份，<a href="https://blogs.microsoft.com/blog/2023/02/22/the-new-bing-preview-experience-arrives-on-bing-and-edge-mobile-apps-introducing-bing-now-in-skype/" target="_blank">上周微軟已將Bing整合到Edge手機App及Skype中</a>。</p> <p>其他Windows 11新功能方面，原本只有支援Android版的Phone Link，這次的Windows 11更新版本中則進一步加入支援iOS的Phone Link App預覽版（下圖）。這項功能讓Windows 11也能在PC上操作iPhone上的應用程式，包括接收訊息和來電通話。這是繼<a href="https://www.ithome.com.tw/news/153600" target="_blank">去年10月微軟Windows 11整合iCloud相簿儲存（iCloud Photo Library）、Apple Music</a>後，最新整合的iPhone服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0301-Windows%2011%20update-Phone%20Link%20for%20iOS%20in%20preview-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p>新版Windows 11更新Phone Link針對三星Android手機也有改進，讓用戶更方便以Phone Link操作，包括直接在PC上一鍵啟動Wi-Fi網路，或是直接使用三星手機最近造訪的網站清單。</p> <p>最新Windows 11更新另外還將AI影音特效功能Windows Studio Effects，整合到Windows工具列的快速設定中。特效功能包括矯正Teams視訊時用戶的目光、背景模糊、自動置中及為通話降噪（voice focus）等等。而OEM廠商推出的電腦，如三星Galaxy Book Pro 2 360及聯想Lenovo ThinkPad X13，及未來的宏碁、華碩、Dell、HP產品，也都會整合Windows 11最新更新。</p> <p>值得一提的是，去年微軟推動生產力應用去除Office品牌而宣布的Windows 365 App（下圖），也在本次更新中問世，用戶可在Microsoft Store下載安裝。它讓Windows 11用戶可直接使用雲端服務Windows 365的虛擬桌機Cloud PC。此外針對加入企業Azure Active Directory（AAD）的Windows 11 Pro裝置，微軟也將在開始選單加入AI功能提供的建議，加快用戶尋找檔案或文件。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0301-Windows%2011%20update-Windows%20365%20app-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p>其他功能包括Windows Chat改版，更容易預覽影片、加入通話、分享視訊連結以及存取聊天紀錄；技術支援人員現在可從開始選單開啟改版的Quick Assist App；加入新Widget，包括Phone Link、Xbox Games Pass及第三方服務如Meta、Spotify；觸控功能除了開啟開始選單、Widget及快速設定，現在工具列也加入觸控支援。記事本（Notepad）改版，終於加入分頁功能；以及剪貼工具加入螢幕錄製功能。</p> </div></div></div>
2023/3/1 16:45作者林妍溱https://www.ithome.com.tw/news/155713
推特創辦人開發新競爭App上線，僅開放邀請加入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcrunch.com/2023/02/28/jack-dorsey-backed-twitter-alternative-bluesky-hits-the-app-store-as-an-invite-only-app/" target="_blank">Techcrunch報導</a>，推特創辦人之一Jack Dorsey開發的去中心化社交應用程式BlueSky的iOS版，本周悄悄在App Store上架。</p> <p>目前BlueSky為不公開Beta版，<a href="https://apps.apple.com/us/app/bluesky-social/id6444370199" target="_blank">允許用戶下載</a>，但用戶得要有邀請碼才能建立帳號。</p> <p>BlueSky是推特（Twitter）創辦人暨前執行長Jack Dorsey於任內成立，於2021年分拆獨立。BlueSky旨在發展去中心化的社群網絡，BlueSky App則為其終端應用程式。Dorsey曾經公開表示，不應將推特建立成一個營利事業，他主張推特App及網絡應使用開源碼協定，建立去中心化的社群，而非中央化管理的社交媒體平臺。</p> <p>BlueSky現任執行長為加密貨幣開發者Jay Graber。該公司於2022年開源釋出ADX（Authenticated Data eXperiment）協定。ADX現正名為AT（Authenticated Transfer Protocol）。</p> <p>不過BlueSky和其協定遭到其他開源界人士，如Mastodon的批評，因為現行的ActivityPub協定已經是建立去中心化網絡的開源協定。眾多伺服器以ActivityPub協定建立起聯邦宇宙（Fediverse），彼此獨立執行、內容多樣化，但又能相溝通、一起提供網路發布及檔案代管功能，讓用戶能自己選擇在不同伺服器上建立帳號、發布內容、關注其他用戶，但不受唯一權威單位控制。目前許多推特用戶投奔的Mastodon則為ActivityPub的代表性專案。</p> <p>推特新主人馬斯克也曾贊同Dorsey的開源理想。在此同時，<a href="https://www.ithome.com.tw/news/155624" target="_blank">馬斯克上周也預告</a>，將在本周開放推特演算法源碼。</p> </div></div></div>
2023/3/1 17:05作者林妍溱https://www.ithome.com.tw/news/155714
5G趨勢月報第40期：Motorola展示支援衛星通訊5G手機，可接收發送訊息、分享位置及SOS求助；Vodafone…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>2/01~2/28精選5G趨勢新聞</strong></span></h3> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Motorola</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>衛星</b></span></font></p> <p><span style="font-size:22px;"><strong>Motorola在MWC展示支援衛星雙向通訊手機</strong></span></p> <p>在西班牙MWC行動通訊大會上，Motorola與Bullitt聯手發表支援衛星雙向通訊的Motorola defy 2，手機採用聯發科的衛星通訊技術，支援衛星雙向傳訊功能，可在衛星通訊涵蓋範圍內，移動中傳送接收衛星訊息。</p> <p>Motorola defy 2為一款5G Android手機，採用強固型設計，為適應嚴苛的使用環境，通過1.8公尺摔落測試，深達5公尺防水，以及防止沙塵的侵入。</p> <p>這款6.6吋螢幕手機整合Bullitt衛星傳訊服務，除了可在衛星通訊範圍內雙向傳送訊息，也能分享位置資訊、SOS緊急協助。該手機預計在今年第2季，與特定的電信商合作於北美、拉丁美洲、加拿大等地推出，包含12個月的SOS協助，售價為599美元起。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Vodafone</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Raspberry Pi</b></span></font></p> <p><span style="font-size: 22px;"><strong>Vodafone展示以Raspberry Pi電腦開發的5G基地臺原型</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/VODA-1.jpg" style="width: 600px; height: 400px;" /></p> <p>電信營運商Vodafone近期對外展示其5G研發成果，其中一項是以只有信用卡大小的Raspberry Pi，開發可用於5G私有網路的基地臺原型，Vodafone表示，不只是5G，也可以用於開發4G或3G基地臺、路由器或是FM收音機。</p> <p>Vodafone表示，這款5G微型基地臺原型可協助小型企業或家庭，擴展5G覆蓋範圍或容量，建立私有、負擔得起的、可攜式的5G行動網路。這個5G基地臺原型設計，內部採用Raspberry Pi 4，搭配由Lime Microsystems製造的軟體定義無線電(SDR)電路板，以符合Open RAN標準設計，宣稱任何計算平臺通過SDR，可變成微型的5G基地臺。</p> <p>Vodafone表示，將Vodafone在歐洲的5G網路，結合簡單且易於多樣性使用的Raspberry Pi電腦，可讓行動私有網路(MPNs)更容易被歐洲約2,200萬中小型企業所使用。此外，也能為有多人同時上網的家庭，提升網路速度。Vodafone預計在MWC大會上展示。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>7-ELEVEN</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>AMR</b></span></font></p> <p><span style="font-size:22px;"><strong>7-ELEVEN與工研院聯手，在高軟園區試營運AMR機器人外送服務</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CubotONE.jpg" style="width: 600px; height: 400px;" /></p> <p>因應少子化、缺工問題，國內超商龍頭7-ELEVEN與工研院合作，將從3月1日起到12月31日止，在高雄軟體園區國城大樓A、B、C三棟，試營運AMR機器人外送服務，消費者可透過Foodomo App向7-ELEVEN軟科門市訂餐，可選擇由AMR機器人Cubot ONE外送，送達指定樓層辦公室門口。</p> <p>這款AMR外送機器人整合5G連網、C-V2X車聯網技術、3D定位及導航，當門市人員將訂購的商品放到機器人的倉門內後，機器人就會自動導航移動至指定的地點，途中可以自動避開障礙物，甚至呼叫電梯，搭乘到指定的樓層，抵達指定的辦公室門口後，由後臺撥打電話給消費者取餐。</p> <p>從3月起到今年底試營運，利用這段時間進行商業測試，7-ELEVEN準備在明年正式營運這項AMR機器人外送服務。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>中鋼</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font></p> <p><span style="font-size:22px;"><strong>中鋼展示5G專網應用成果，擬打造5G天車控制系統</strong></span></p> <p>中鋼在2021年下半年開始啟動5G專案，規畫建置5G專網，一方面提高生產的效率，另方面改善廠區內作業人員安全，找出在鋼廠可能應用場域，近期中鋼首次對外展示應用成果，包括5G軋鋼智慧工廠、5G智慧軌道運輸、5G應用技術實驗室，共完成專家遠端協作、鋼帶偏移監控、智能板胚動態監控、危險作業遠程操控、渣桶狀態監測、行車安全輔助等9項5G AIoT計畫。</p> <p>在軋鋼智慧工廠內，中鋼建置5G O-RAN專網，以3個O-RAN基地臺涵蓋400公尺長的熱軋產線，除了即時蒐集數據，監控產業動態之外，也應用遠端專家協作、AR擴增實境，其中AR方面，現場作業人員可以平板電腦掃描設備上的AR標籤，即時查看該設備的運作即時數據，或是查看維護手冊。</p> <p>至於傳統鋼廠內使用的天車系統，中鋼也計畫打造5G天車控制系統，讓需要人力爬到高處操控的天車系統，結合5G的高速、低延遲，搭配天車上的攝影機回傳即時影像，讓人員在地面的控制室，就能遠端操控天車運作。中鋼也將5G專網用於室戶，例如傳統上由人員目視遠端操控的渣車接渣作業，利用高解析度攝影機及車輛定位技術，協助人員控制火車接渣的準確性，避免漏接導致爐渣灑落地面，造成工安風險。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>高通</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>5G Advanced</b></span></font></p> <p><span style="font-size:22px;"><strong>布局5G Advanced市場，高通發表Snapdragon X75數據機射頻系統</strong></span></p> <p>高通布局5G Advanced市場，發表Snapdragon X75數據機射頻系統，該數據機射頻系統導入高通第2代 5G AI處理器，相較於前一代5G AI處理器，AI效能提升2.5倍以上，可提供更快的速度、覆蓋範圍、行動、連結穩定及定位的精準度。</p> <p>X75適用於手機、行動寬頻、汽車、運算、IIoT、FWA及企業專網。此外，可支援毫米波及6GHz以下頻段，其中在毫米波頻段方面，能支援10載波聚合，搭配以AI協助感測器輔助毫米波波束管理，提升連網的可靠性及AI定位精準度。</p> <p>至於6GHz以下頻段方面，能支援5倍的下行鏈路載波聚合和FDD上行鏈路MIMO。目前X75已開始送樣，預計在2023年下半年看到商用化的裝置。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>西班牙電信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>無人機</b></span></font></p> <p><span style="font-size:22px;"><strong>西班牙電信測試5G無人機運送包裏</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/telefonica.jpg" style="width: 600px; height: 350px;" /></p> <p>西班牙電信Telefónica近期展開5G無人機運送包裏測試，評估在城市裡以5G無人機運送包裏的可行性，這項測試結合應用在車聯網的C-V2X技術，以及RTK精準定位技術，測試多架無人機之間，和城市基礎設施間的通訊，確保包裏的正確運送。</p> <p>該測試是以5G作為無人機空中運送包裏的通訊網路，相較於郊區，在人口密集的城市以無人機遞送包裏更為複雜，未來如果有多架無人機執行不同的遞送任務，亟需要建立空中交通管制來管理。</p> <p>此次測試包括兩架無人機之間的協調，當無人機之間的飛行路徑重疊時，透過彼此溝通協調飛行順序，降低空中發生碰撞的風險。另外，無人機通過和地面信標間的溝通，確認所在位置，當進入禁飛區域附近，繞過避開禁飛區域，同樣地，無人機也根據信標，確認投遞目的地。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>遠傳電信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>遠距診療</b></span></font></p> <p><span style="font-size:22px;"><strong>遠傳電信要將5G遠距診療推向基層醫療</strong></span></p> <p>響應政府推動遠距診療，遠傳電信近期和台灣社區醫院協會、中華民國診所協會全國聯合會簽署MOU，擬將5G遠距診療方案，推向基層醫療，鎖定社區慢性病患者及長照服務。</p> <p>衛福部即將推動「通訊診察治療辦法」修正草案，改善疫情期間視訊門診使用上的限制，也準備開放地區醫院以下及診所，能從遠距照護老年人、慢性病患者，此次與兩大基層醫療協會合作，向社區醫院、診所推廣5G遠距診療方案，包括採用雲端訂閱、按量收費的遠距診療平臺，強調醫生使用平板電腦就能開診，從預約掛號、報到、叫號、線上視訊看診到繳費，都能透過App完成。</p> <p>從2019年開始，遠傳電信就推廣5G遠距診療，結合5G網路的高速傳輸，使用數位五官鏡，超音波等設備，為病人檢查，讓遠方的專科醫生可和偏鄉衛生所醫護人員、病患共同視訊看診。遠傳指出，現在已連結15家醫院，涵蓋12個縣市35個偏鄉衛生所，服務超過8千人次。</p> <p> </p> <p>圖片來源／工研院、Vodafone、Bullitt、Telefónica</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多5G動態 </span></strong></span></p> <p><strong>1.中華電信與Nokia簽MOU，聯手布局Beyond 5G</strong></p> <p><strong>2.NTT DOCOMO與NEC完成基於AWS的5G SA核網與地端NFV的混合雲測試</strong></p> <p>資料來源：iThome整理，2023年2月</p> </div></div></div>
2023/3/1 17:06作者蘇文彬https://www.ithome.com.tw/news/155712
【資安月報】2023年2月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一個月的資安月報中，國內有多起資安事故，以及之前事件的後續調查結果公開，成為本月最受關切的焦點事件。</p> <p>以勒索軟體事件而言，飛宏科技<a href="https://www.ithome.com.tw/news/155461#%E9%A3%9B%E5%AE%8F">在10日傳出成為LockBit勒索軟體受害者</a>，當日我們檢視了RedPacket security、breachsense兩家資安業者自動爬取暗網資訊的頁面，確實有飛宏列為受害者組織的資訊，到了2月13日（周一）該公司在<a href="https://s4.itho.me/sites/default/files/images/202302%E9%A3%9B%E5%AE%8F.jpg">公開股市觀測站揭露網路資安事件公告</a>，說明資訊部門於第一時間即發現異常，並阻斷對外網路連結，當時評估對公司營運無重大影響。</p> <p>以百貨業資料外洩事件而言，我們在16日注意到微風向會員發送防詐簡訊並要用戶修改密碼，但未提及資安事件而察覺有異，且當日無法連上微風廣場的網站，<a href="http://www.ithome.com.tw/news/155613#微風">在21日進而發現</a>，有人在4日前於駭客論壇BreachForums聲稱竊取了微風百貨內部資料與90萬用戶個資。這次月底回顧本次事件，我們在此也整理後續消息，例如，隔天（22日）<a href="https://udn.com/news/story/7270/6988088">聯合報</a>、<a href="https://www.ettoday.net/news/20230222/2445851.htm">ETtoday新聞雲</a>等媒體跟進報導，指出微風說明近日收到匿名網路勒索信件，當下立即啟動損害機制，內部資安團隊已提高資安防護。在<a href="https://s4.itho.me/sites/default/files/images/202302%E5%BE%AE%E9%A2%A8.jpg">24日經濟部也對此事件發出公告</a>，表示調查小組在23日前往微風集團子公司微風數位時代公司進行行政調查，並要求業者個資防護自評、稽核檢查，釐清事故原因並改善，以及通知會員。</p> <p>以汽車租賃服務業者資安事件而言，有兩家業者先後傳出會員資料曝險的問題。受關注的是，經公路總局調查後，發現這些提供服務的業者，卻存在基本個資檔案安全維護與措施都不足的情形，且在要求限期改正後，複查仍未達到標準。</p> <p>首先，是1月底iRent資料庫曝險事件被揭露，<a href="https://www.ithome.com.tw/news/155446#iRent">公路總局</a>在<a href="https://s4.itho.me/sites/default/files/images/202302iRent.jpg">2月9日發布公告</a>，指出他們已確認該公司未依「個人資料保護法」與「汽車運輸業個人資料檔案安全維護計畫及處理辦法」採行基本的適當安全措施，且屆期未改正，罰款20萬，並要求2月28日前再提交複查資料。另一起事件，是<a href="https://www.ithome.com.tw/news/155404#格上">2月初有人向立委陳情表示發現格上租車也有用戶資料曝險問題</a>，因「GoSmart」App供用戶查詢自己租車單據的連結頁面，竟是公開且未加密保護，月底我們整理此事件時也注意到有新的後續消息，<a href="http://www.cna.com.tw/news/ahel/202302240305.aspx">根據中央社指出公路總局在24日的說明</a>，顯示格上汽車租賃公司同樣未盡基本適當安全措施，且屆期未改正，罰款10萬元，並要求3月10日前再提交複查。</p> <p>另外，還有兩起之前發生的資安事件，在本月揭露了後續的調查結果。包括：華航針對<a href="https://www.ithome.com.tw/news/155167">1月中的資料外洩事件</a>，<a href="https://www.ithome.com.tw/news/155498#華航">該公司在2月12日</a>於公開股市觀測站發布<a href="https://s4.itho.me/sites/default/files/images/202302%E8%8F%AF%E8%88%AA.jpg">重大訊息</a>，說明調查後發現電商平臺系統連線異常，有超過5千筆會員資料遭到存取。而在這次月底資安新聞回顧中，我們發現還有一件去年10月政府資安事故的調查結果出爐，<a href="https://s4.itho.me/sites/default/files/images/202302%E6%88%B6%E6%94%BF%E5%A4%96%E6%B4%A9.jpg">法務部調查局在24日公布</a>偵辦戶役政資料遭竊案的調查結果，證實外洩資料是107年4月以前的戶役政資料，但與戶役政系統原始資料有所出入，續查其他使用戶役政資料或介接機關則因為超過相關系統設備的稽核紀錄留存限制，無法繼續追蹤，但調查局從販售個資不法人士所使用的虛擬通貨錢包地址下手，掌握到該錢包地址為中國籍人士所有。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/155462"><span style="color: rgb(178, 34, 34);">【資安週報】2023年2月6日到2月10日</span></a></strong></h2> <p>這一周有三大漏洞值得優先關注，都發現已有攻擊並利用的情形，首先是檔案傳輸管理系統GoAnywhere被揭露存在RCE的零時差漏洞CVE-2023-0669，IT業者Fortra近日釋出修補，其次是Intel驅動程式CVE-2015-2291漏洞，這起利用老舊漏洞的威脅在1月已曝光，如今也被CISA列入限期修補行列，最後是存在於TerraMaster NAS的CVE-2022-24990漏洞，本周尚未提到可先留意盡速修補。其他漏洞修補方面，包括OpenSSH的CVE-2023-25136與OpenSSL的CVE-2023-0286。</p> <p>在國內，有兩起資安新聞受到關注，首先是近年轉型電動車充電樁業務的上市公司飛宏，在周四傳出疑似遭勒索病毒的消息，隔日媒體已經報導此事，駭客聲稱已掌握大量企業敏感資訊，當時我們也檢視了2家資安業者自動爬取暗網資訊的頁面，確實有飛宏成為LockBit受害者的資訊，截至11日（周六）上午，該公司尚未在公開股市觀測站發布資安事件重大訊息（補充更新：飛宏在2月13日上午近9時發布網路資安事件公告），此外本周還有英國郵務機關Royal Mail也遭LockBit攻擊的消息；另一事件是繼汽機車共享服務iRent後，格上租車的會員訂單資料被民眾發現可被人任意查詢，逾10萬筆PDF檔訂單文件存放於雲端空間，並無限制存取的權限管控設定。格上租車表示，尚未發現遭異常查詢或下載情形。</p> <p>在資安威脅態勢上，本土資安業者揭露在農曆新年期間，中國駭客組織APT41又再對臺灣組織發動攻擊，受害單位多數與政府有合作關係；近期安卓惡意軟體TgToxic攻擊增加，正針對臺灣等東南亞用戶；以及標榜避端點防毒及EDR偵測的惡意程式打包工具TrickGate被資安業者揭露。至於資安防護焦點中，有NIST公布針對物聯網與小型電子設備的Lightweight Crypto密碼學競賽結果，將採用Ascon演算法為標準。 </p> <h2><strong><a href="https://www.ithome.com.tw/news/155592"><span style="color: rgb(178, 34, 34);">【資安週報】2023年2月13日到2月18日</span></a></strong></h2> <p>這一周有5個漏洞遭鎖定利用的狀況需要優先因應，首先是微軟本周發布的產品安全公告中，有三個已遭鎖定利用的零時差漏洞，包括涉及Office的CVE-2023-21715、Windows的CVE-2023-23376、CVE-2023-21823漏洞，以及蘋果修補涉及WebKit的CVE-2023-23529漏洞，還有開源網路監控系統Cacti去年12月修補的CVE-2022-46169漏洞。其他留意的漏洞消息，還包括Adobe、思科、Citrix、Splunk與SAP等業者的產品修補公告，隨著這些業者持續積極修補漏洞，企業在留意這些消息之餘，也應該更積極規畫更新修補排程來主動減少弱點遭利用的可能性。</p> <p>在資安威脅重點方面，有國外資安業者揭露惡意軟體Frebniis攻擊行動，是鎖定臺灣組織而來，該惡意程式會針對IIS伺服器功能建立後門；以及又有資安業者揭露勒索軟體ESXiArgs攻擊的更多細節，還有殭屍網路Mirai出現新變種V3G4的消息。此外，還在持續發展的對話語言模型ChatGPT如今成為全球大眾焦點，引發許多研究人員示警被濫用的問題，還有智慧財產權等層面的關注。</p> <p>在資安事件焦點方面，包括Atlassian的第三方供應商遭駭而傳出資料外洩消息，A10 Networks傳出遭勒索軟體Play攻擊而資料外洩，在國內，也有華航在12日周日發布資安事件重大訊息，說明該公司電商平臺系統有5千多會員資料可能外洩。</p> <h2><strong><a href="https://www.ithome.com.tw/news/155684"><span style="color: rgb(178, 34, 34);">【資安週報】2023年2月20日到2月24日</span></a></strong></h2> <p>近期有三個漏洞遭駭客鎖定利用狀況受關注，首先是IBM於1月通知客戶修補Aspera Faspex的CVE-2022-47986漏洞，到了2月初與2月底，IBM與美國CISA均公布已有漏洞利用情形，而且IBM在17日將該漏洞CVSS評分從8.1提升至9.8分，另外兩個漏洞是Mitel網路電話系統MiVoice Connect的CVE-2022-41223、CVE-2022-40765漏洞。其他漏洞威脅消息，還有微軟一月修補的Windows備份服務漏洞CVE-2023-21752，傳出可能將被鎖定攻擊的情況。</p> <p>在資安威脅態勢的焦點上，包括有資安業者指出多款WAF可能存在CRLF漏洞，有資安研究人員揭露有攻擊者濫用GitHub Actions繞過自動化2FA達到NPM帳號接管；還有研究人員與資安業者陸續指出駭客正利用當紅的ChatGPT，冒名散布假冒的App與Windows版程式。此外，加密貨幣平臺Coinbase揭露員工帳密遭駭後攻擊者還企圖假冒該公司IT來電要騙取MFA，所幸及早察覺有異。同時也有不少資安業者陸續發布去年資安態勢的報告。</p> <p>而這一周的發生資安事件，有印度火車訂票系統RailYatri遭駭，大型資料中心GDS Holdings、ST Telemedia Global Data Centres的資料外洩事故，在國內，我們也發現百貨業者微風要會員更換密碼與內部資料出現於駭客論壇的消息，後續國內媒體跟進報導則顯示該業者收到勒索信並啟動損害機制。</p> <h2> </h2> <h3><a href="https://www.ithome.com.tw/news/155387">2023年1月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/155178">2022年12月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/154701">2022年11月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/154033">2022年10月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/153504">2022年9月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/152874">2022年8月資安月報</a></h3> <h3> </h3> </div></div></div>
2023/2/28 11:23作者羅正漢https://www.ithome.com.tw/news/155693
Meta新成立開發生成性AI的專門團隊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.facebook.com/story.php?story_fbid=pfbid0vvSykpAEXpHHaKKyWMZ423TCq3qQDKtLu7m4XiRfUEYRrxzwpdewh3yYepnc1Bsrl&id=4&mibextid=qC1gEa&_rdr" target="_blank">Meta執行長Mark Zuckerberg昨天（27）表示</a>公司成立生成性AI的開發團隊，以發展強化文字、圖片、影像能力以改善WhatsApp、Instagram（IG）、Messenger等服務的技術。</p> <p>Zuckerberg指出，這個新的頂級產品部門專注在發展生成性AI（generative AI），這是集結公司內多個團隊而成。短期目標而言，這個部門將開發創意性的表現工具，長期目標則是開發可多方面協助使用者的「AI人物」。他說，Meta將探索文字（如WhatsApp、Messenger的聊天工具）、圖像（如創意性的IG濾鏡和格式）以及影片和多模式能力，但在獲致未來性的體驗前，有很多底層工作要做。</p> <p>在此之前，Meta已大量裁員修正錯誤決策。去年11月Meta因應疫前超額增員，裁減超過1.1萬人，遍及元宇宙軟、硬體及各App部門。<a href="https://www.ithome.com.tw/news/155521" target="_blank">本月中媒體報導</a>，Mata疑似再裁減效能不佳、或是重要性降低的專案，並將拉抬優先專案及推動組織扁平化，以推升執行效率。</p> <p>在微軟、Google及新興業者如OpenAI相繼公布AI對話機器人後，AI顯然已成為Meta最重點任務。<a href="https://www.ithome.com.tw/news/155692" target="_blank">Meta上周公布AI大型語言模型LLaMA</a>（Large Language Model Meta AI），並預告將把LLaMA模型開放給AI研究社群，供研究人員進行不同領域研究。</p> </div></div></div>
2023/2/28 17:15作者林妍溱https://www.ithome.com.tw/news/155698
聯想展示可捲式螢幕的筆電、手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在<a href="https://www.ithome.com.tw/news/155071" target="_blank">今年初CES大會展示具創新螢幕的筆電</a>後，本周在世界通訊大會（Mobile World Congress，MWC）上，聯想又展示了兩款概念原型機，包括可收起並伸展螢幕的筆電，以及新款可伸縮螢幕的概念手機Razr。</p> <p>新的筆電使用的是類似ThinkBook筆電系列的機殼，具備12.7吋4:3螢幕。機身旁的按鈕按下，可使螢幕兩邊伸展出機架帶出更大的顯示面板，成為15.3吋8:9的大螢幕。類似2020年16.3吋的Thinkpad X1 Fold後，聯想希望以更大螢幕的筆電，支援程式開發人員、內容創作或多工等專業使用情境。目前這款筆電螢幕不支援觸控，但或許未來會再加入觸控能力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0228-0228-Lenovo%20demos%20laptop%20screen%20rolls-600-1.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／聯想</span></span></p> <p>聯想另外展示了同樣具可延伸螢幕的概念手機。它沿用早年神機Rizr，命名為Razr。按二次電源鍵可觸發螢幕由5吋15:9的尺寸伸長為6.5吋22:9。<a href="https://techcrunch.com/2023/02/27/motorolas-rizr-is-back-as-a-concept-phone-with-a-rollable-screen/" target="_blank">Techcrunch報導</a>，手機也可使用某些App下，在螢幕轉成橫式自動伸展。<a href="https://www.digitec.ch/en/page/motorola-rizr-lenovo-rolls-out-displays-on-smartphone-and-laptop-26643" target="_blank">媒體報導</a>，新概念手機有2個後向相機，但無前向式相機。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0228-0228-Lenovo%20demos%20rollable%20Razr%20phone%20-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／聯想</span></p> <p>聯想明顯希望Razr能再現Rizr的經典。聯想去年曾推出Razr折疊式手機，但僅在中國推出。</p> <p>不過不論是筆電或Razr手機，這兩款可捲螢幕裝置都還是概念機，最後不一定會推出市場。</p> </div></div></div>
2023/2/28 17:54作者林妍溱https://www.ithome.com.tw/news/155699
歐盟禁止政府員工裝置安裝TikTok
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼美國聯邦政府及多州政府以後，歐盟上周也以網路安全為由，<a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_23_1161" target="_blank">明令公務員公務及私人裝置不得使用Tiktok的行動應用程式</a>。</p> <p>歐盟執委會企業管理委員會決議，為防範歐盟網路環境遭安全威脅，公務用裝置及註冊歐盟行動服務的個人裝置，不得使用Tiktok應用程式。該委員會表示也會持續觀察其他社群平臺的安全性。</p> <p>該委員會指出，此舉乃遵循歐盟公務通訊用行動裝置的嚴格內部網路安全規範而設。委員會目的在確保員工免於網路威脅，為此必須及早防患未然，他們也要求員工在使用社交平臺遵循安全，並在日常作業保持警覺心。</p> <p>這是中國字節跳動（ByteDance）在歐美市場遭到行政部門的最新打擊。<a href="https://www.ithome.com.tw/news/154651" target="_blank">美國參議院去年12月通過</a>聯邦政府員工公務裝置禁用Tiktok的法令。而在州層級上，則已有南卡羅來納、南達科塔、<a href="https://www.ithome.com.tw/news/154651" target="_blank">德州、印第安那州及馬里蘭州</a>頒布類似的禁令。</p> <p><a href="https://www.ithome.com.tw/news/155307" target="_blank">Tiktok執行長周受資預定</a>3月底將出席美國眾議院能源和商業委員會聽證會說明其隱私及安全作法，以解決美政府對該公司的疑慮。</p> </div></div></div>
2023/2/28 18:10作者林妍溱https://www.ithome.com.tw/news/155700
小米展示新AR眼鏡，具變色鏡片、支援手勢控制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在世界通訊大展（mobile world congress，MWC）上，小米展示了最新擴增實境（augmented reality，AR）眼鏡，讓使用者以手勢控制家中照明及抓放虛擬物件。</p> <p><a href="https://twitter.com/leijun/status/1630024923035979780" target="_blank">小米執行長雷軍昨（27）日指出</a>新的小米無線AR眼鏡Discovery版（Xiaomi Wireless AR Glass Discovery Edition）具備低延遲無線連網及「Retina等級」近眼顯示器，以及小米AR手勢控制功能，將開啟無線AR時代。</p> <p>新AR眼鏡採用鋰鎂合金機架及碳纖維元素，以及更輕量的矽氧電池，重僅126公克。最高1200-nit的OLED顯示器具備FHD解析度，電致變色（electrochromic）鏡片可在VR情境時轉成全黑，而省去競爭VR產品外殼的需求。小米指出，新AR眼鏡使現實與虛擬界線得以模糊。</p> <p>和Meta的Quest Pro一樣，這款AR眼鏡採用高通Snapdragon XR2+ Gen 1平臺，並支援Snapdragon Spaces XR平臺，賦予了低影音延遲性。此外，連結手機也更簡單，只要以手機貼近鏡架點一下即可完成藍牙配對。</p> <p><a href="https://twitter.com/xdadevelopers/status/1630040775718322176" target="_blank">根據XDA Developer報導</a>，Discovery Edition具備3顆前向式相機，其精準空間偵測使其可用於AI手勢控制，讓使用者可以移動或調整虛擬物件大小、以拇指空中翻書頁、將影片從電視抓到眼鏡螢幕上，或是以手指捏一下來關閉智慧電燈。</p> <p>Discovery版小米無線AR眼鏡目前還是原型，推出日期及價格未定。</p> </div></div></div>
2023/2/28 16:55作者林妍溱https://www.ithome.com.tw/news/155696
【資安週報】2023年2月20日到2月24日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期有三個漏洞遭駭客鎖定利用狀況受關注，首先是IBM於1月通知客戶修補Aspera Faspex的CVE-2022-47986漏洞，到了2月初與2月底，IBM與美國CISA均公布已有漏洞利用情形，而且IBM在17日將該漏洞CVSS評分從8.1提升至9.8分，另外兩個漏洞是Mitel網路電話系統MiVoice Connect的CVE-2022-41223、CVE-2022-40765漏洞。其他漏洞威脅消息，還有微軟一月修補的Windows備份服務漏洞CVE-2023-21752，傳出可能將被鎖定攻擊的情況。</p> <p>在資安威脅態勢的焦點上，包括有資安業者指出多款WAF可能存在CRLF漏洞，有資安研究人員揭露有攻擊者濫用GitHub Actions繞過自動化2FA達到NPM帳號接管；還有研究人員與資安業者陸續指出駭客正利用當紅的ChatGPT，冒名散布假冒的App與Windows版程式。此外，加密貨幣平臺Coinbase揭露員工帳密遭駭後攻擊者還企圖假冒該公司IT來電要騙取MFA，所幸及早察覺有異。同時也有不少資安業者陸續發布去年資安態勢的報告。</p> <p>而這一周的發生資安事件，有印度火車訂票系統RailYatri遭駭，大型資料中心GDS Holdings、ST Telemedia Global Data Centres的資料外洩事故，在國內，我們也發現百貨業者微風要會員更換密碼與內部資料出現於駭客論壇的消息，後續國內媒體跟進報導則顯示該業者收到勒索信並啟動損害機制。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/155597"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月20日】WordPress網站被植入廣告詐欺外掛程式、駭客組織使用13種語言發動商業郵件詐騙攻擊</span></strong></a></h3> <p>有人利用50個WordPress網站來進行廣告詐欺攻擊！其共通點是駭客在這些網站植入名為fuser-master的惡意外掛程式，導致使用者在瀏覽網站的時候，該外掛程式元件就會利用另一個在背景運作的瀏覽器視窗偷偷地「瀏覽」廣告，使用者完全不知情遭到利用。</p> <p>駭客假冒高階主管進行商業郵件詐騙的情況不時有事故傳出，但如今有人也一口氣將詐騙郵件轉換成不同語言的版本，來針對全球各地的企業下手。</p> <p>曾經使用但已過期的網域名稱，有可能成為攻擊者入侵軟體套件庫的弱點！有資安業者針對特定熱門NPM套件進行研究，並認為這樣的情況並非個案，呼籲開發團隊要提高警覺。</p> <h3><a href="https://www.ithome.com.tw/news/155613"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月21日】葡萄牙自來水公司傳出遭到勒索軟體LockBit攻擊、加密貨幣平臺Coinbase員工帳密遭駭</span></strong></a></h3> <p>又有自來水公司成為駭客鎖定的目標！葡萄牙自來水公司Aguas do Porto在1月底遭到網路攻擊，現在有駭客組織表示是他們的犯行。而針對自來水公司的攻擊行動已有前例──<a href="https://www.ithome.com.tw/news/142729">2年前，美國佛州奧德馬爾（Oldsmar）市的淨水廠遭駭</a>，水中的氫氧化鈉濃度差點被調高111倍。</p> <p>2月初半導體業者MKS Instruments遭到勒索軟體攻擊，當時該公司表示受害規模有待釐清，如今從其他合作廠商的財報揭露當中，間接呈現了損失情況。</p> <p>駭客鎖定員工下手，企圖存取企業內部環境的情況再度發生。加密貨幣平臺Coinbase揭露該公司員工遭到鎖定的釣魚郵件攻擊，然而，有人已依照指示提供對方所需的帳密資料，結果差點讓駭客得逞。</p> <h3><a href="https://www.ithome.com.tw/news/155635"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月22日】新加坡與中國的大型資料中心用戶帳密遭竊、殭屍網路MyloBot每天感染逾5萬臺電腦</span></strong></a></h3> <p>大型資料中心GDS Holdings、ST Telemedia Global Data Centres傳出自2021年下旬，遭駭客盯上，竊得兩家公司逾2千個使用者帳號。彭博社指出，這樣的資安事故很可能波及蘋果、微軟、高盛、Walmart、阿里巴巴等全球大型企業。</p> <p>研究人員揭露殭屍網路MyloBot近期的攻擊行動，並指出一天平均有5萬臺電腦遭到感染，且有部分受害電腦難以追查，實際遭到該殭屍網路入侵的電腦可能會更多。</p> <p>蘋果於1月底推出iOS 16.3、macOS 13.2，但有兩個漏洞最近才公布有關說明。值得留意的是，這些漏洞可破解蘋果對於ForcedEntry漏洞提出的緩解措施，後續影響有待觀察。</p> <h3><a href="https://www.ithome.com.tw/news/155652"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月23日】研究人員找到WAF可被繞過的盲點、駭客假借提供ChatGPT應用程式的名義散布惡意軟體</span></strong></a></h3> <p>有研究人員在為客戶進行展示的過程中，無意間發現了Akamai網頁應用程式防火牆（WAF）的換行字元（CRLF）注入漏洞，而能突破防火牆規則，對網站發動跨網站指令碼（XSS）攻擊。值得留意的是，研究人員認為其他廠牌的WAF也多半存在類似漏洞。</p> <p>機器學習語言模型ChatGPT正紅，駭客也看上這樣的情況，用來對電腦與手機用戶，散布多種惡意軟體，甚至想要竊取信用卡資料。</p> <p>上個月微軟修補了Windows備份服務漏洞CVE-2023-21752，如今傳出駭客正在分析概念性驗證程式碼，打算將漏洞用於攻擊行動的情況。</p> <h3><a href="https://www.ithome.com.tw/news/155663"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月24日】1.5萬個NPM套件含有網釣URL連結、逾4成企業2022下半發現Log4Shell相關攻擊</span></strong></a></h3> <p>自動化大量上傳惡意套件的攻擊行動再度出現！最近有人在數個小時上架超過1.5萬個NPM套件，其共通點是包含網釣網站的連結，而且，駭客為了取信受害者，還在這些網站上顯示假的用戶評論。</p> <p>在2021年底揭露的漏洞Log4Shell，當時就有資安專家認為該漏洞難以修補，而有可能成為駭客偏好的目標，如今有研究報告印證了這樣的推測──去年下半超過4成企業遭到相關漏洞攻擊。</p> <p>隨著居家工作普及，針對員工下手來取得入侵企業的管道也不時有事故發生。對此，美國國家安全局也提出警告，並發布相關的防護指南。</p> </div></div></div>
2023/2/28 09:00作者羅正漢https://www.ithome.com.tw/news/155684
華爾街日報母公司集團遭駭長達兩年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mass.gov/doc/assigned-data-breach-number-29073-news-corporation/download" target="_blank">持有《華爾街日報》的新聞集團（News Corp）上周指出</a>，曾在三年前連續遭駭長達2年，直到去年初才被發現。而這起事件導致包括員工或合作夥伴的醫療及銀行帳戶等敏感資訊外洩。</p> <p>澳洲媒體大亨梅鐸（Rupert Murdoch）及21世紀福斯共同持股的新聞集團，旗下事業包含《華爾街日報》、《紐約郵報》、英國《太陽》、《泰晤士報》、澳洲《每日電訊》、《先鋒太陽報》、電視頻道《福斯新聞》，及澳洲Sky News及道瓊公司（Dow Jones）等。<a href="https://www.ithome.com.tw/news/149214" target="_blank">去年年初新聞集團簡單公告公司遭到網路攻擊</a>，不過並未說明何種系統或資料被入侵，只表示儲存客戶及財務資料的系統未受影響。</p> <p>本周該集團提供進一步說明，並通知受影響人員。2020年2月到2022年1月一個未經授權的第三方組織得以經由少數人員的帳號，存取某些業務文件和電子郵件。該公司指出，入侵活動並非針對個資而來，該公司也未接獲相關的身分盜竊詐欺通報，但是調查顯示遭存取的文件中包含部分人員個資。</p> <p>可能外洩的個資包含用戶姓名、出生日期、駕照、護照、社會安全碼、金融帳號、醫療及健保資訊，但不是每個人上述資訊都受影響。</p> <p>新聞集團也強調已採取行動遏止災害擴大，此後，沒有證據顯示公司系統還持續被不法存取。新聞集團已對受影響的人士提供一年的信用盜竊監控服務。</p> </div></div></div>
2023/2/27 16:27作者林妍溱https://www.ithome.com.tw/news/155691
Meta公布ChatGPT競爭AI模型LLaMA
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在OpenAI、微軟及Google的語言生成AI（generative AI）模型搏得世人目光之際，身為發展AI模型先驅的Meta也公布了能產生文字的最新AI模型，也準備將之開源。</p> <p><a href="https://www.facebook.com/zuck/posts/pfbid0tZ4Vt9nT887f1R998hgEP6diLipt8DZKhj8w4QSTygfEPgxvqtfPRJFTGLvYfj9ql" target="_blank">Meta執行長Mark Zuckerberg周五（2/24）透過臉書公布AI大型語言模型LLaMA（Large Language Model Meta AI）</a>。他表示，大型語言模型已顯示產生文字、對話、為文章做摘要、以及其他更複雜任務如解決數學定理或預測蛋白質結構的潛力。Meta將把LLaMA模型開放給AI研究社群，供研究人員進行不同領域研究。</p> <p>LLaMA是一種較小型基礎模型，可用作訓練更大語言模型。這些模型以大量未標註的資料訓練而成，很適合微調後用於多種任務，減少後續大型模型測試、驗證及探索新使用情境的運算資源需求。</p> <p>Meta解釋，過去數十億參數的大型自然語言處理（natural language processing，NLP）模型發展出產生創意文字、解決數學定理問題、預測蛋白質結構、回答閱讀理解問題等能力。但是訓練和執行這類大型模型的資源，不是所有人都有，也限制了研究的進展，並造成語言模型的偏見、毒性（toxicity）和產生錯誤資訊。相對的，小型模型是以更多token（小段字詞）訓練，比較容易為特定使用情境重訓練及微調。</p> <p>Meta最小的模型LLaMA 7B以一兆token訓練、LLaMA 65B及33B則以1.4兆token訓練。此外，他們選擇從20種使用人口最多的語言之文字字詞為訓練輸入，其中以拉丁和西里爾（Cyrillic，一種斯拉夫語）字母為主。</p> <p>以參數而言，Meta的LLaMA有多種規模，分成70億、130億、330億及650億個參數。Meta也提供了LLaMA模型卡（model card）透明度工具，像是標竿測試模型對模型偏差和毒性的評估值，供研究人員了解模型的限制。</p> <p><a href="https://docs.google.com/forms/d/e/1FAIpQLSfqNECQnMkycAp2jP4Z9TFX0cGR4uf7b_fBxjY_OjhJILlKGA/viewform" target="_blank">有興趣的研究人員需在Meta網頁申請使用LLaMA</a>。</p> </div></div></div>
2023/2/27 17:05作者林妍溱https://www.ithome.com.tw/news/155692
2023英特爾第四代Xeon Scalable處理器終於正式上陣
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/intel-4th-gen-intro-event-9_tu_pian_lai_yuan_ying_te_er_-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>告別2022年，兩大x86伺服器處理器廠商曾在11月交鋒，在SC22年度超級電腦大會前夕，爭相發表最新平臺，而這一波產品發表戰局仍將在今年陸續開打。</p> <p>在11月2日，英特爾發布新聞的推特帳號Intel News預告，1月10日將舉行資料中心發表會，當中將包含第四代Xeon Scalable系列處理器。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20News%20twitter%20Xeon%20SPP%20launch%20date.jpg" style="width: 604px;" /></p> <p>一週之後，<a href="https://www.ithome.com.tw/tech/154162">他們搶先於11月9日公開（introduce）Intel Max系列產品線</a>，當中包含伺服器處理器Xeon CPU Max系列（代號為Sapphire Rapids HBM），宣稱有12家廠商響應號召，提供超過30款系統設計，以寬鬆的標準來看，英特爾算是實現他們年初提出的2022 Sapphire Rapids上市承諾。</p> <p>但尷尬的是，那段期間僅有少數伺服器廠商對此發布新聞稿（例如Supermicro），談到他們未來將會推出搭配這系列處理器的機型，而且，Sapphire Rapids HBM畢竟是針對高效能運算市場的產品，並未涵蓋到一般用途的需求，因此，嚴格來說，Sapphire Rapids這整張牌還是只掀開了一些，全貌仍不夠清晰。</p> <p>而在11月10日，<a href="https://www.ithome.com.tw/tech/154284">AMD宣布推出第四代EPYC伺服器處理器平臺</a>（10月24日預告11月10日將舉行次世代資料中心處理器發表會），雖然比Intel Max系列發表晚了一天，就產品發表會聲勢與合作業者表態支持程度而言，卻明顯勝出一籌。</p> <p>多家主要雲端服務業者與伺服器廠商紛紛派出公司高層，透過預錄影片祝賀或親自到AMD發表會站臺，也在這個活動場合率先宣布採用這個處理器平臺的最新執行個體服務，或是新世代伺服器機型，不僅以此拉抬處理器廠商聲勢，也趁機幫自家產品和服務打廣告。</p> <p>到了12月22日，<a href="https://www.intel.com/content/www/us/en/newsroom/news/media-alert-4th-gen-xeon-scalable-max-series-launch.html#gs.r3y79f">英特爾正式公告2023年1月10日舉行產品發表會</a>，屆時將推出（Launch）第四代Xeon Scalable系列處理器平臺（代號為Sapphire Rapids），以及Max系列CPU與GPU。</p> <p>然而，那時正值歲末年終，已接近全球歡度2022耶誕節與2023新年假期，整個IT界的注意力這段期間都落在國際消費電子大展（CES）相關消息，對於新一代處理器的發展，也往往聚焦在個人電腦平臺，多數人並未預期此時會有新一代伺服器平臺的重大發表。</p> <p>回顧英特爾過去幾代伺服器處理器平臺的發表時機，第一代Xeon Scalable是在2017年7月登場，第二代Xeon Scalable在2019年4月，第三代Xeon Scalable在2021年4月，第四代Xeon Scalable竟選在CES大展隔週正式推出，算是創下首例。</p> <p>這款處理器平臺發表時間出乎眾人意料之外的另一個原因，在於產品上市時程一延再延。</p> <p>早在第三代Xeon Scalable上市之前，英特爾就開始宣傳Sapphire Rapids；到了<a href="https://www.ithome.com.tw/tech/146497">2021年舉行的架構日</a>，他們首度以完整而有系統的方式公開介紹其技術架構與市場競爭優勢；在2022一整年的多場大型公開活動中，英特爾預告<a href="https://www.ithome.com.tw/news/149504">2022、2023、2024這三年將陸續推出Sapphire Rapids、Emerald Rapids，以及Granite Rapids與Sierra Forest等三個世代的Xeon處理器</a>，<a href="https://www.ithome.com.tw/tech/151020">確認Sapphire Rapids就是第四代Xeon Scalable</a>，但外界還是搞不清楚2022年何時推出Sapphire Rapids。</p> <p>關於Sapphire Rapids可能上市的時間，英特爾過去曾提出不同說法，一度讓大家以為大幅超前，可惜最終還是拖到2023年1月10日才算是正式登場。</p> <p>例如，在2020年舉行的架構日活動中，他們表示預計於2021年下半開始生產；在2022年2月的公司投資者大會上，英特爾高層表示3月開始出貨；同年5月舉行的Vision 2022，以及9月舉行的Innovation 2022這兩場全球用戶大會期間，英特爾雖然持續介紹Sapphire Rapids的各項特色，但並未再提起產品正式發表時間，之後英特爾於12月在臺舉行Intel Sustainability Taiwan Day，現場雖然找來一些伺服器廠商展示搭配第四代Xeon Scalable的產品與周邊延伸解決方案，但我們仍不知到底何時要正式推出，僅隱約感覺上市時間越來越近。</p> <p>直到2023年1月初，我們收到一家伺服器廠商對臺灣媒體的新聞稿預告通知，才真正意識到這款伺服器處理器平臺終於要發表了。</p> <h3><span style="color:#0000FF;"><strong>找來更多合作廠商助陣，展現長期耕耘伺服器市場的實力</strong></span></h3> <p>在SC22大會以線上預錄影片發表Max系列CPU與GPU時，英特爾當時可能是希望聚焦在高效能、機器學習等超級運算應用，僅列出採用此平臺的12家伺服器業者廠牌，前來亮相站臺的用戶案例是隸屬美國能源部的阿貢國家實驗室。到了2023年1月舉行的第四代Xeon Scalable系列與Max系列發表會，英特爾號召多家合作廠商與用戶，祝賀其推出產品，一展更勝於競爭對手的市場號召力。</p> <p>以伺服器廠商而言，Dell Technologies、浪潮、HPE、聯想、Cisco、Supermicro、Fujitsu等公司，都派出副總裁、甚至執行長等級的公司高層，而在資料中心GPU市場與英特爾競爭的Nvidia，也因為新一代AI整合應用設備採用處理器的關係，而首度以預錄影片的形式出現在英特爾的伺服器發表活動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Xeon-2023-01-Dell.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon-2023-01-Dell.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Intel Xeon-2023-02-Inspur.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon-2023-02-Inspur.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Intel Xeon-2023-03-HPE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon-2023-03-HPE.jpg" style="width: 198px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Xeon-2023-04-Lenovo.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon-2023-04-Lenovo.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Intel Xeon-2023-05-Cisco.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon-2023-05-Cisco.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Intel Xeon-2023-06-Supermicro.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon-2023-06-Supermicro.jpg" style="width: 198px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Xeon-2023-07-Nvidia.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon-2023-07-Nvidia.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Intel Xeon-2023-13-Fujitsu.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon-2023-13-Fujitsu.jpg" style="width: 198px;" /></a></p> <p>全球大型雲端業者與伺服器代管服務商，也都派出公司高層向英特爾祝賀新產品上市，例如，AWS、微軟Azure、Google Cloud、Oracle Cloud、IBM Cloud、Dropbox、CoreWeave，以及IONOS、phoenixNAP、OVHcloud。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Xeon-2023-08-AWS.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon-2023-08-AWS.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Intel Xeon-2023-09-GCP.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon-2023-09-GCP.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Intel Xeon-2023-10-IBM Cloud.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon-2023-10-IBM%20Cloud.jpg" style="width: 198px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Xeon-2023-11-OCI.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon-2023-11-OCI.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Intel Xeon-2023-12-Microsoft.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon-2023-12-Microsoft.jpg" style="width: 198px;" /></a> </p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Xeon-2023-20-Dropbox.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon-2023-20-Dropbox.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Intel Xeon-2023-17-CoreWeave.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon-2023-17-CoreWeave.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Intel Xeon-2023-18-IONOS.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon-2023-18-IONOS.jpg" style="width: 198px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Xeon-2023-19-PhoenixNAP.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon-2023-19-PhoenixNAP.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Intel Xeon-2023-21-PVH.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon-2023-21-PVH.jpg" style="width: 198px;" /></a></p> <p>在電信網路業者方面，有Ericsson、西班牙電信（Telefonica）；在高效能運算領域應用上，則以美國能源部洛斯阿拉莫斯國家實驗室作為代表。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Xeon-2023-15-Telefonica.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon-2023-15-Telefonica.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Intel Xeon-2023-16-Ericsson.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon-2023-16-Ericsson.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Intel Xeon-2023-14-Los Alamos.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon-2023-14-Los%20Alamos.jpg" style="width: 198px;" /></a></p> <p>至於英特爾長期合作的商業軟體廠商的部分，有Cloudera、Red Hat、SAP、VMware，涵蓋大數據、作業系統、企業關鍵應用系統等領域。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Xeon-2023-S01-Cloudera.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon-2023-S01-Cloudera.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Intel Xeon-2023-S02-Red Hat.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon-2023-S02-Red%20Hat.jpg" style="width: 198px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Xeon-2023-S03-SAP.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon-2023-S03-SAP.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Intel Xeon-2023-S04-VMware.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon-2023-S04-VMware.jpg" style="width: 198px;" /></a></p> <h3><span style="color:#0000FF;"><strong>推出52個款式，最多提供60顆核心，每瓦效能提升至2.9倍</strong></span></h3> <p>關於兩大廠商近期新一代伺服器處理器平臺上市策略，很難比出高下，但若要嚴厲批判，共通點就是都採「擠牙膏」的方式推出產品。早一步於去年11月推出的AMD第四代EPYC處理器9004系列，嚴格來說，只能算是這一代資料中心產品發表的第一波，雖然僅提供18個款式的選擇，但後續還有三波產品發表。</p> <p>過去經常受到這樣批評的英特爾，原本有機會讓大家改觀，一口氣發表兼具突破性效能與支援多種最新技術的伺服器平臺，遺憾的是，第四代Xeon Scalable處理器的主要發表活動，最後竟分成數次進行，所幸遲至2023年1月正式推出的第四代Xeon Scalable處理器，產品的完整樣貌、細部規格大部分皆已浮上檯面，而對於能進一步加速處理5G核心工作負載的vRAN Boost，英特爾稍晚將會額外推出內建此技術的產品。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-01-Intel-4th-Gen-Intro-Event-1.jpg" style="width: 600px;" /></p> <p>以對應不同工作負載需求的選擇而言，英特爾為第四代Xeon Scalable處理器，洋洋灑灑提供52個款式（包含Xeon CPU Max系列），數量與第一代、第二代Xeon Scalable相當，在應用市場區隔上，可分為10種，以應用形式而言，涵蓋7大類：一般用途、長期使用／物聯網、記憶體內資料庫／大數據分析／虛擬化最佳化、5G／網路最佳化、雲服務最佳化、儲存與超融合基礎架構最佳化、高效能運算最佳化，而在一般用途當中，細分為2路高效能、2路主流、液態冷卻、單路。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel-4th-Gen-Xeon_product_SKUs-marked.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel-4th-Gen-Xeon_product_SKUs-marked.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，Xeon Scalable處理器過去三代區分的4大品牌系列：Xeon Platinum（9000系列與8000系列）、Xeon Gold（6000系列與5000系列）、Xeon Silver（4000系列）、Xeon Bronze（3000系列），到了最新發表的第四代，將9000系列獨立為新品牌：Xeon Max，也就是2022年11月登場的超級運算產品之一，對應上述的高效能運算最佳化應用款式。</p> <p>根據英特爾公布的規格來看，第四代Xeon Scalable最多可提供60顆運算核心、120個執行緒，熱設計功耗（TDP）最高為350瓦。相較之下，第三代Xeon Scalable最多可提供40顆運算核心、80個執行緒，熱設計功耗最高為270瓦。</p> <p><a href="https://s4.itho.me/sites/default/files/images/3-2-Xeon Core2 Arch 圖片來源／英特爾.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/3-2-Xeon%20Core2%20Arch%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E8%8B%B1%E7%89%B9%E7%88%BE.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/4-1-Xeon Core3-compare with Xeon Max.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/4-1-Xeon%20Core3-compare%20with%20Xeon%20Max.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Xeon SPP Packages-2023-02-26_173513.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon%20SPP%20Packages-2023-02-26_173513.jpg" style="width: 600px;" /></a></p> <blockquote><p>以產品內部配置而言，第四代Xeon Scalable處理器分為通用型與高效能運算型（如左圖的對比），差異在於高效能運算型額外內建HBM2記憶體，在嵌入式多晶片互連橋接（EMIB）之上，以模組化晶粒交織網路（MDF）連接4片晶磚（如上圖最右側），通用型則提供這類晶片及單體晶片等兩種設計，實現超多顆核心（XCC）與中量核心（MCC）。圖片來源／英特爾</p> </blockquote> <p>由於效能與耗電量增加已是新一代伺服器處理器必然發展的趨勢，設法提高能源使用效率也成為眾人關注焦點，為此英特爾也特別強調發表第四代Xeon Scalable具有這方面的特色。</p> <p>首先，就每瓦效能的表現而言，若用於鍵值資料庫系統RocksDB的工作負載，以搭配2顆40核心第三代Xeon Scalable處理器系統為準，搭配2顆60核心第四代Xeon Scalable處理器的伺服器，可達到2.9倍。</p> <p>而且，英特爾在第四代Xeon Scalable增加了最佳省電模式（Optimized Power Mode），若啟動這項模式，就能以效能折損最少的狀態執行特定工作負載，以每顆處理器而言，平均耗電量可節省70瓦。舉例來說，若用於SPECjbb、SPECint等效能測試，以及Nginx網站金鑰交握的處理，第四代Xeon Scalable啟用這項模式之後，執行這些工作負載影響效能的幅度低於5％，但節省系統耗電量可達到20％。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon%20Optimized%20Power%20Mode-2023-01-1.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel PMT-2023-01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon%20Optimized%20Power%20Mode-2023-01-2.jpg" style="width: 600px;" /></a></p> <p>在此同時，想要提升伺服器省電成效，能否具備更完善的遠端狀態監控能力也是關鍵，因為難以量測的東西是無法管理的（You Can't Manage What You Don't Measure），為此歷代Xeon處理器都支援或內建遙測機制，可協助提供重要的資料與AI處理能力，以便更聰明地進行CPU資源監控與管理、建立可預測資料中心或網路流量尖峰負載的模型，並且能在處理需求降低時，自動調校CPU時脈以節省電力，進而縮減資料中心的碳足跡。</p> <p>而在第四代Xeon Scalable處理器當中，英特爾針對這部分需求添加新的框架，稱為平臺監控技術（Platform Monitoring Technology，PMT），可透過處理器核心溫度、耗電量，以及作業系統端所收集的處理器執行狀態等資訊的揭露與掌控，提供更理想的遠端監測能力。英特爾副總裁暨資料中心平臺工程與架構事業部總經理Zane A. Ball表示，PMT已用於他們內部的大規模測試設施驗證過程，以此收集數GB的遙測資料，可涵蓋頻內（in-band）、頻外（out-band）管理應用，甚至在無需重新啟動作業系統的狀態下，進行韌體更新，英特爾也更新相關的除錯工具，可用於遠端診斷與解決問題，能揪出那些在統計數字邊緣的罕見或偶發狀況。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel PMT-2023-01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20PMT-2023-01.jpg" style="width: 600px;" /></a></p> <p>除此之外，英特爾對氣冷與液冷機制提供了創新設計，以便更進一步減少資料中心消耗的能源。而在生產製造這一代Xeon Scalable處理器的過程中，英特爾也做出示範，強調在自家廠區採用90％以上的可再生電力，搭配先進的水資源回收設施。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Xeon LQ design.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon%20LQ%20design.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel-4th-Gen-Xeon_product_SKUs-LQool.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel-4th-Gen-Xeon_product_SKUs-LQool.jpg" style="width: 600px;" /></a></p> <p>而以總體持有成本（TCO）而言，英特爾表示，比起搭配第三代Xeon Scalable的系統，搭配第四代Xeon Scalable的系統在成本開支的降低幅度，可達到52％到66％。舉例來說，用於資料庫的TCO降幅為52％，用於AI即時推論的TCO降幅為55％，用於高效能運算的TCO降幅為66％。</p> <p>關於運算效能增長的部分，本次發表第四代Xeon Scalable系列的消息當中，最吸睛的是AI方面的應用，受益於處理器晶片內建「進階矩陣延伸（Advanced Matrix Extension，AMX）」加速器，在PyTorch即時推論與訓練處理中，最大可獲得10倍的提升。若面對大型AI語言模型處理類型的工作負載，搭配Xeon Max系列可提供20倍的加速效能。</p> <h3><span style="color:#0000FF;"><strong>針對HPC與5G網路伺服器建置需求，增添提升性能的強化配備</strong></span></h3> <p>前面提到第四代Xeon Scalable目前區分為10種用途，有些專攻特定應用領域，規格具有與其他款式顯著不同之處。</p> <p>例如，專攻高效能運算市場的產品，主要是Xeon Max 9400系列，英特爾這次發表公布5種款式與細部技術規格，除了具備AMX等諸多共通規格，Xeon Max目前全都配備64 GB容量的HBM2高頻寬記憶體。而在運算性能的表現上，相較於第三代Xeon Scalable，Xeon Max在能源、地球系統建模等實務應用系統當中，可提供3.7倍的效能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-01-Intel-4th-Gen-Intro-Event-7.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/3-1-Xeon CPU Max1 圖片來源／英特爾.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/3-1-Xeon%20CPU%20Max1%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E8%8B%B1%E7%89%B9%E7%88%BE.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel-4th-Gen-Xeon_product_SKUs-Xeon Max.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel-4th-Gen-Xeon_product_SKUs-Xeon%20Max.jpg" style="width: 600px;" /></a></p> <p>除了AI與HPC，英特爾也針對網路與邊緣運算的高效能、低延遲工作負載需求，在第四代Xeon Scalable提供一系列產品，可廣泛用於電信通訊、零售、製造、智慧城市等領域，以此作為協助整個產業實現軟體定義架構的重要基石。</p> <p>以5G網路服務核心工作負載的執行而言，第四代Xeon Scalable內建加速技術，具有提升資料吞吐能力、降低存取延遲，以及進步的耗電量管理等特色，能強化整個平臺的反應速度與運作效率。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel-4th-Gen-Xeon_product_SKUs-5G.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel-4th-Gen-Xeon_product_SKUs-5G.jpg" style="width: 600px;" /></a></p> <p>若就虛擬無線存取網路（vRAN）的應用而言，英特爾曾在2022年2月的世界通訊大會（MWC Barcelona 2022）預告，Sapphire Rapids將新增5G專用的信號處理指令強化，可望將負載容量提升至第三代Xeon Scalable處理器系統的2倍，而且會提供整合加速vRAN工作負載執行技術的Sapphire Rapids處理器。</p> <p><a href="Intel Full RAN-Xeon Roadmap-2022-09-1"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Full%20RAN-Xeon%20Roadmap-2022-09-1.jpg" style="width: 600px;" /></a></p> <p>而這項功能特色就是，第四代Xeon Scalable新內建的AVX-512 for vRAN延伸指令集，能夠補足Xeon處理器既有的32位元與64位元浮點指令集，可支援廣泛的數字計算處理，像是16位元半精度浮點運算（FP16），用於需要減低計算精度的作業，像是通訊信號與傳播媒介的處理。以無線通訊信號為例，如波束成形（beamforming）、預先編碼（precoding）、最小均方誤差（MMSE），均可善用AVX-512 for vRAN加速處理，促使通用平臺（GPP）在相關操作的效率上，能與搭配數位訊號處理器的專屬設備一較高下。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel AVX for vRAN-2023-01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20AVX%20for%20vRAN-2023-01.jpg" style="width: 298px;" /></a></p> <p>根據英特爾以核心數量、耗電量、時脈相近的兩代處理器、執行FlexRAN軟體進行測試，搭配第四代Xeon Scalable系統的負載容量，可達到搭配第三代Xeon Scalable系統的兩倍，而且不會因此增加耗電量；換言之，當通訊服務業者在導入這樣的運算平臺時，可望獲得兩倍的每瓦效能，從而符合他們對關鍵效能、規模擴展、能源使用效率等層面的要求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Xeon in VPP performance-2023-01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon%20in%20VPP%20performance-2023-01.jpg" style="width: 600px;" /></a></p> <p>如果用戶需要節省更多電力與更強的vRAN加速處理能力，第四代Xeon Scalable後續將提供內建vRAN Boost技術（整合vRAN加速晶片）的款式。而在2月6日，英特爾明確公告這系列產品發表時間，該公司網路與邊緣事業群技術長暨策略長Sachin Katti表示，內建vRAN Boost的第四代Xeon Scalable處理器，即將在月底舉行的2023世界行動通訊大會（MWC Barcelona 2023）正式推出，屆時將與他們幾個最大客戶一起亮相。</p> <p>根據英特爾的情境設計耗電量分析評估，在相同的核心數量與時脈之下，搭配這種特殊款式處理器的系統，比起搭配一般第四代Xeon Scalable，可進一步節省將近20%耗電量，提供更出色的每瓦效能，幫通訊服務業者省下更多電力，而無須搭配外部vRAN加速卡的設計，也減少OEM廠商的物件清單管理成本。 </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Disributed%20Edge-2022-09-1.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel vRAN Xeon Evolution.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20vRAN%20Xeon%20Evolution.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Full%20RAN-Xeon%20Portfolio.jpg" style="width: 298px;" /></p> <h3><span style="color:#0000FF;"><strong>內建6大硬體加速，支援AI、分析、網路、資安、儲存應用</strong></span></h3> <p>在第四代Xeon Scalable處理器的發展過程中，隨著英特爾從2021年積極主打新一代垂直整合製造模式，也就是IDM 2.0策略，這兩年來，他們更加著重宣傳產品設計與製造實力的展現上。</p> <p>以伺服器處理器平臺的產品而言，他們陸續提到將採用Intel 7製程運算晶磚（Compute Tiles）、嵌入式多晶片互連橋接（EMIB）封裝，實現不同的模組化設計，同時，也將支援DDR5記憶體、PCIe 5.0系統I/O介面，以及CXL 1.1互連介面等多種先進的周邊規格。</p> <p>單就次世代Xeon Scalable內部組成架構而言，其實，也導入多種新的硬體元件設計。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Accelerators-2023-01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Accelerators-2023-01.jpg" style="width: 400px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Intel Accelerators arch.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Accelerators%20arch.jpg" style="width: 200px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2-Xeon Core9-AE6 圖片來源／英特爾.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2-Xeon%20Core9-AE6%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E8%8B%B1%E7%89%B9%E7%88%BE.jpg" style="width: 600px;" /></a></p> <p>舉例來說，在2021架構日，英特爾特別介紹幾個重要特色，像是搭配高效能核心（Performance Core，P-core），可縮短存取延遲與提升伺服器端的單執行緒應用程式效能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1041-cover-2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E8%8B%B1%E7%89%B9%E7%88%BE-600(6).png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20New%20Performance%20Cores-2023-01.jpg" style="width: 600px;" /></p> <p>相較於2021年10月發表的個人電腦處理器第12代Core系列（代號為Alder Lake），率先搭配代號為Golden Cove的高效能核心，新一代Xeon Scalable系列伺服器處理器同樣採用Golden Cove核心，但額外提供新的矩陣乘法運算引擎，也就是前述的AMX，是2020年架構日就預告推出的加速功能之一。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20AMX-2023-01.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/Intel AMX-2023-02-26_173050.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20AMX-2023-02-26_173050.jpg" style="width: 298px;" /></a></p> <p>而在處理器核心之外，英特爾還為其增添多種加速器引擎。於2021架構日與Hot Chips年度大會，他們先介紹最初同樣在2020年架構日就預告的資料串流加速器（DSA）；接著是英特爾發展多年的Quick Assist Technology（QAT），可提升資料加密與壓縮處理速度，過去已透過多種形式提供，例如，獨立加速卡、系統晶片組，或內建於Xeon D系列、Atom系列處理器等；另一個則是該公司過去從未提到的動態負載平衡（Dynamic Load Balancing，DLB）加速器，能以動態、平均的方式，將工作負載分配到各個核心執行，提升運算效率。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel DSA-2023-01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20DSA-2023-01.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Intel DSA-2023-02-26_173320.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20DSA-2023-02-26_173320.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20QAT-2023-01.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/Intel QAT-2023-02-26_173242.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20QAT-2023-02-26_173242.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20DLB-2023-01.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/Intel DLB-2023-02-26_173352.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20DLB-2023-02-26_173352.jpg" style="width: 298px;" /></a></p> <p>同年9月舉行的Intel Innovation大會期間，英特爾突然介紹與展示第四代Xeon Scalable內建的另一個加速器，名為記憶體內分析加速器（In-Memory Analytics Accelerator，IAA），號稱能以較低的記憶體頻寬來提升資料庫執行效能，可用於一般資料庫系統、記憶體內資料庫（In-Memory Database，IMDb）、大數據分析系統、資料倉儲系統。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel IAA-2023-01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20IAA-2023-01.jpg" style="width: 600px;" /></a></p> <p>在此同時，英特爾於2月介紹的處理器內建vRAN加速技術，9月也終於公布正式名稱，叫做vRAN Boost，他們預告2023年將推出內建這項加速器的第四代Xeon Scalable處理器，而這項加速技術的源頭，其實原本是一張用於vRAN前導錯誤校正（FCC）加速的專屬介面卡，名為，<a href="https://www.ithome.com.tw/review/145839">Intel vRAN Dedicated Accelerator ACC100</a>，如今以硬體加速器元件的形式融入Xeon Scalable處理器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Full RAN-Xeon Roadmap-2022-09-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Full%20RAN-Xeon%20Roadmap-2022-09-2.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Xeon%20with%20vRAN%20Boost-2022-09-28_012228.jpg" style="width: 198px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Xeon%20with%20vRAN%20Boost-2022-09-28_012232.jpg" style="width: 198px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Xeon%20with%20vRAN%20Boost-2022-09-28_012238.jpg" style="width: 198px;" /></p> <p>到了2023年1月，第四代Xeon Scalable正式登場，英特爾宣布產品添加強化伺服器資安防護的加速器，稱為信任網域延伸（Trust Domain Extensions，TDX），提供新的虛擬機器隔離技術，能將既有應用程式移植到機密環境執行，實際運用方式預計會在幾家大型公有雲業者展現，微軟Azure與IBM Cloud均發表部落格文章談及這項工作，英特爾表示，阿里雲、Google Cloud也將支援。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel TDX-2023-01-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20TDX-2023-01-3.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel TDX-2023-01-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20TDX-2023-01-1.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20TDX-2023-01-2.jpg" style="width: 298px;" /></p> <p> </p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/intel-xeon-scalable">Intel Xeon Scalable</a></div><div class="field-item odd"><a href="/tags/sapphire-rapids">Sapphire Rapids</a></div></div></div>
2023/2/27 15:30作者李宗翰https://www.ithome.com.tw/tech/155638
史丹佛大學資料外洩，影響900經濟學博士班學生
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.stanford.edu/report/2023/02/17/data-security/" target="_blank">史丹佛大學經濟學系上周公告</a>，一月底網站因配置不當，讓將近900名博士班申請人資料被不法存取外洩。</p> <p><a href="https://www.documentcloud.org/documents/23689774-stanford-university-economics-phd-data-breach" target="_blank">史丹佛大學經濟學系上周以郵件通知受害申請人</a>，該系1月24日接獲通知，由於該系網站設定配置不當，致使2022到2023年博士學程申請人入學檔案資料夾對外公開，且已經被外人存取。</p> <p>調查發現，該資料夾去年12月5日即已門戶洞開，到今年1月24日發現時，已經有2次申請資料的下載記錄。但該系強調沒有資料被誤用的證據。</p> <p>被不法下載的資料包含申請人全名、生日、郵件地址、電子郵件信箱、電話、種族、國籍和性別。申請人的個人自傳、推薦信、履歷等申請文件也被存取。但史丹佛大學說這些資料並不包含社會安全碼及財務資料。</p> <p>因應此次事件，史丹福大學更新電子檔案儲存安全流程和政策，並加強人員訓練。針對受害學生，該校也提供資料濫用監控服務24個月。</p> <p>這是近兩年該校第三起被公開的攻擊事件。<a href="https://heimdalsecurity.com/blog/attackers-disclose-data-of-students-in-cyberattack/" target="_blank">2011年該校醫學系Accellion檔案存取裝置（File Transfer Appliance）平臺遭勒索軟體Clop入侵竊走師生敏感資訊</a>，<a href="https://www.ithome.com.tw/news/151747" target="_blank">2022年7月又被一群駭客濫用Wordpress外掛漏洞駭入網站</a>。</p> </div></div></div>
2023/2/27 15:51作者林妍溱https://www.ithome.com.tw/news/155690
美晶片設備商MKS Instruments遭勒索軟體攻擊，影響生產系統！供應鏈風險受關注，應材因供應商資安事故估下季營…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年半導體產業的變化成為全球最大焦點之一，任何一點風吹草動都會受到全球關切，今年2月6日美國半導體設備商萬機科技（MKS Instruments，以下簡稱MKS）揭露遭遇勒索軟體攻擊，就引發了產業間的關注。</p> <p>而在相隔一周後，有另一家業者公布消息。美國半導體製程設備與服務大廠應用材料表示，預估下季出貨與營收將受一家主要供應商遭遇資安事件而影響，更是成為各界關注的焦點。同時也使得半導體產業供應鏈風險的議題，再次浮上檯面。</p> <h3><strong>MKS在2月初揭露資安事故，一周後公布更多調查結果</strong></h3> <p>MKS是在2月6日揭露遭遇勒索軟體。根據MKS公司網站投資人專區中所公開的內容，他們已向美國證券交易委員會（SEC）提交重大事件的8-K表格文件。</p> <p>在該文件中，MKS說明他們是在2月3日成為勒索軟體事件的受害者，發現事故時已立即採取行動，啟動事件回應與營運持續管理（BCP），聘起專業IR人員協助調查，並通報該國執法單位。</p> <p>同時，他們也說明了初步現況，當下正處於調查與評估該事件的影響的早期階段，某些業務系統受到影響，並且當中還包含了生產相關的系統。後續因應上，他們將盡快調查與恢復受影響的系統，也說明資安保險可能抵銷部分成本，但尚未確定。</p> <p>相隔一周，MKS於13日公開向SEC提交的另一份重大事件8-K表格，揭露了更多關於上述資安事件的後續消息。MKS指出這次發生的勒索軟體事件，衝擊了該公司為客戶提供服務的真空解決方案（Vacuum Solutions）與光子解決方案（Photonics Solutions）的部門，並影響該公司第一季的訂單處理、產品運送。至於材料解決方案（Materials Solutions）的部門則不受影響。</p> <p>同時MKS還表示，將延後去年第四季與全年財報的發布時間，以更好對應勒索軟體攻擊事件帶來的財務影響。</p> <p>到了2月16日，美國蒙大拿州司法院公布一份由MKS發布的資料外洩公告，也透露了相關狀況。當中指出，最近的勒索軟體攻擊事件，導致MKS的業務與生產製造系統被加密而無法使用，同時可能還涉及了員工與前員工個資外洩的狀況。雖然目前尚未確認是否外洩，但他們並不排除這樣的可能性，因此他們正在通知這些員工。儘管MKS認為，從過去類似案例來看，勒索軟體攻擊者似乎避免針對個人使用這些個資。</p> <p>至於MKS Instruments的公司網站首頁，我們在20日連上時只看到簡單的聲明頁面，說明<a href="http://www.mks.com/">www.mks.com</a>遇到計畫之外的中斷，僅留下全球據點的電子郵件與電話聯絡方式，包括全球、歐洲、英國、中國、日本、韓國、新加坡與臺灣。</p> <h3><strong>應材表示因主要供應商遭遇資安事件，導致影響下季出貨與營收</strong></h3> <p>特別的是，在2月16日，美國半導體製程設備與服務大廠應用材料（Applied Materials，簡稱應材）發布會計年度第一季財報，由於當中提到他們的一家供應商最近發生網路安全事件，將影響應材第二季的出貨量，估計將造成該季營收減少2.5億美元，引發各界的關注。</p> <p>雖然應材並未透露是哪家供應商，但根據威脅情資業者Recorded Future旗下媒體The Record的報導指出，有數位產業分析師表示，這家供應商就是主要客戶為應材與Lam Research的MKS，另外也有多家財經、資安媒體報導提到該供應商是MKS。</p> <p>這樣的情形，引起各界對於供應鏈風險與資安威脅的關注。像是Malwarebytes資安研究人員就對此事件發表看法，指出應材的情形就是供應鏈被感染風險所帶來的效應，即使自身系統沒有被感染，但你的供應商被攻擊也是會影響到自己的財務，而且以半導體晶片產業的零組件短缺情形而言，現在正是近年最嚴重的時機。</p> <p>換言之，這次事件突顯了一件事，雖然大型企業越來越善於強化自身資安防護，但供應鏈中的供應商一旦發生資安事件，受衝擊的不只是供應商，自身營運也連帶受波及，甚至產生長期的影響，畢竟半導體領域的供應鏈可說是相當複雜。</p> <p>雖然國內已有半導體大廠重視這方面的威脅，像是台積電不只顧好自身的資安防護，他們在2020年開始設立供應商資訊安全協會，希望也能促進供應商與合作夥伴強化資安，與供應鏈合作提升安全防護，但其他業者同樣要重視這樣的供應鏈的隱憂與風險，上述事件就是真實發生的例子。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E6%87%89%E6%9D%90%E5%85%AC%E5%B8%83Q2%E5%87%BA%E8%B2%A8%E8%88%87%E7%87%9F%E6%94%B6%E5%B0%87%E5%8F%97%E4%B8%BB%E8%A6%81%E4%BE%9B%E6%87%89%E5%95%86%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6%E5%BD%B1%E9%9F%BF.jpg" style="width: 600px;" /></p> <p><strong>美國半導體製程設備與服務大廠應用材料在2月16日，發布了會計年度第一季財報，在提及下季展望時，特別指出最近有一家主要供應商發生資安事件，預估會影響出貨量與營收。</strong></p> <p> </p> <h2><span style="color:#0099ff;"><strong>國內企業資安事件的資訊公開，往往事件揭露僅停留在早期階段，該積極面對還是消極面對？</strong></span></h2> <p>另一值得國內省思的議題，國際間有越來越多像是MKS這樣的企業，公開說明資安事件的具體概況與影響。例如，他們在在3日即時通報美國SEC並於6日公開揭露發生勒索軟體攻擊的資安事件，也清楚說明當時處於調查的早期階段，後續他們還進一步揭露更多細節，包括事件具體影響的範圍，甚至還發布個人資料外洩公告與通知。畢竟事件調查需要的時間，可能隨嚴重程度而有不同。</p> <p>至於國內，儘管我國金管會在資訊公開面向近年開始有規範，上市櫃公司需揭露重大資安事件，甚至預估損失金額達股本20%或3億元，必須召開記者說明，且年報也要登載。</p> <p>但從普遍現況來看，上市櫃公司在揭露資安事件後，一兩個月內通常也就不再發布事件後續調查結果的公告或重大訊息，使得公開資訊僅停留在最早期的階段，缺乏調查到一個段落的公開說明。因此，從公司治理的資訊公開角度來看，不論政府主管機關與企業本身，都應思考是否還有進步的空間。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）MKS 8-K 20230206_Ransomware.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89MKS%208-K%2020230206_Ransomware.jpg" style="width: 295px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/（圖2）MKS 8-K 20230206_Ransomware.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89MKS%208-K%2020230206_Ransomware.jpg" style="width: 295px;" /></a></p> <p>萬機科技（MKS Instruments）在2月6日揭露遭遇勒索軟體攻擊，並公開在３日提交美國證券交易委員會（SEC）的重大事件的8-K表格文件（圖左），說明正處於調查與評估該事件的影響的早期階段，業務系統受影響，並包含生產相關的系統。到了2月13日，他們又進一步通報與揭露新的調查結果，包括具體影響的部門與營運情形。</p> </div></div></div>
2023/2/27 12:39作者羅正漢https://www.ithome.com.tw/news/155683
金融科技第三波浪潮來了
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/qian_ru_shi_jin_rong_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">商周出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>嵌入式金融就是非金融企業將金融服務整合到現有服務中，為顧客提供金融服務，自2015年左右開始興起的金融科技潮流中，嵌入式金融被定位為第三次浪潮。</p> <p>第一波浪潮正如其名，就是金融科技公司的登場，因此，傳統金融機構長期以來所提供的綜合金融服務，有一部分被金融科技公司侵蝕，按功能劃分並以模組形式提供服務，使金融服務的「拆分」化有所進展。</p> <p>第二波浪潮是以金融法規修正、放寬為契機，透過開放應用程式介面（OPEN API）實現銀行與金融科技公司的合作。因此，金融科技公司可以實現帳戶管理服務和電子轉帳服務的安全性，不斷推出新的服務。</p> <p>然後，第三波浪潮也就是這次的嵌入式金融。隨著新冠肺炎疫情擴大，失去與顧客直接接觸的金融機構和尋求新的收益來源的非金融企業，兩者擁有同樣的想法。比方說，因宅在家的需求，使得電子商務的業績亮眼，經營網站的企業在累積顧客的購買履歷數據後，就能準確評估顧客的支付能力。延後付款的支付服務也就在此時登場。</p> <p>不過，新冠肺炎疫情只是推動嵌入式金融發展的因素之一。透過開放應用程式介面實現銀行與金融科技公司的合作，雖然催生出個人財務管理、演算法儲蓄或機器人理財顧問等新的金融服務，但仍未達創造客戶需求的程度。</p> <p>在美國和日本，雖然形成第三次浪潮的背景有些不同，但在無法創造出顧客需求這一點卻是一樣的。就算是美國，金融科技公司的崛起以及谷歌、亞馬遜等IT 巨頭涉足金融服務領域，導致傳統金融機構產生危機感，於是自二○一七年以來動作頻頻，像是提供適合年輕人使用的智慧型手機應用程式等等。</p> <p>但是，若要說這些努力是否奏效，事實上也未必如此。也是有金融機構早早就放手，停止提供服務。舉例來說，摩根大通在二○一八年六月所推出專業的移動銀行「Finn」就是以千禧世代為主要客群，卻在推出僅一年後就宣布終止服務。此外，富國銀行也在二○二○年七月宣布停止智慧型手機應用程式「Greenhouse」的新用戶申請，二○一七年十一月推出的「Greenhouse」同樣是以千禧世代為主要客層，但還不滿三年就結束了。或許也可說這顯示出金融機構單憑一己之力，很難掌握年輕世代的需求。</p> <p>身為金融機構，既要把握住消費者產生需求的瞬間，適時地提供金融服務，又要為難以差異化的金融服務增加特色，提高消費者願意選擇的可能性。為此，與貼近消費者的行為以及日常生活中頻繁接觸的企業攜手合作就是一條捷徑。身為非金融公司，當顧客在使用自家公司服務的過程中，需要支付或融資這類金融服務時，只要能夠無縫接軌地提供他所需的金融服務，即可防止顧客流失，並有望提高轉換率（成交比例）。</p> <p>至此，我們可以說嵌入式金融的興起絕非偶然，而是必然的結果吧。</p> <p><span style="font-size:28px;"><strong>嵌入式金融：以保險為例</strong></span></p> <p>嵌入式金融大致可分為五個領域：支付、借貸、保險、投資、銀行。</p> <p>其中，嵌入式保險是指在提供保險時，將購買保險的過程嵌入消費者的行為路徑中。與傳統保險的不同之處在於，消費者不像以往那樣透過保險公司或保險經紀人購買保險，而是直接向銷售機票、電子設備的網站或汽車製造商簽訂契約。</p> <p>例如，成立於二○一二年的德國保險科技公司Simplesurance，就以電子商務網站為對象，推出以行動裝置的賠償保險為主的嵌入式保險平台。對於打算購買智慧型手機或平板電腦的消費者，當發生行動裝置掉落造成螢幕損傷、或因飲料灑出造成故障時的賠償保險，也會一併出現在商品的結帳畫面中。該公司也積極拓展海外市場，目前與東京海上控股公司展開業務合作，已經成功進軍日本市場。</p> <p>由於嵌入式保險與電子商務網站能相輔相成，在美國，汽車的銷售網站也開始導入嵌入式保險。以美國喬治亞州杜魯斯為據點的大型汽車經銷商Asbury汽車集團（Asbury Automotive Group）與嵌入式保險平台開發商的Salty合作，在Asbury的銷售網站「Clicklane」上就能完成從購買汽車到購買保險的流程。</p> <p>決定要購買的汽車之後，消費者在網站上輸入姓名、電話號碼、郵遞區號、車輛識別碼（VIN）等資訊。然後，AI（人工智慧）會從Nationwide、前進（Progressive）等與Salty合作的幾家保險公司中決定最適合的保險公司和承保範圍，並立即將報價單一併提供給消費者。如果消費者同意保險公司所提供的內容，可直接在網路上完成簽約手續。決定購車的消費者不必另外再到保險公司的網站，為了理賠內容而傷腦筋，實現從購買到加入保險的無縫接軌。</p> <p><span style="color:#B22222;"><strong>特斯拉提供自已的汽車保險</strong></span></p> <p>談到美國的嵌入式保險，汽車製造商特斯拉就是一個很好的參考範例。特斯拉從二○一九年八月開始為加州的特斯拉車主提供自家的汽車保險，承保機構為美國國家保險公司（State National Insurance）。消費者不僅在一分鐘內就能從特斯拉官網輕鬆取得報價單，加上特斯拉的標準配備「主動式安全防護（減少碰撞傷害的煞車系統和防止車道偏離等）」功能，以及先進的行車輔助功能（不易發生事故），在這些安全因素的背景之下，跟傳統保險公司比起來，保費最多可節省二十%到三十%。</p> <p>從二○二一年十月起，特斯拉在德州推出的汽車保險更是大幅升級的版本，除了投保人的住址、車款、行駛距離、理賠內容等之外，還會即時評估駕駛行為，根據「安全評分」，調整每個月的保費。安全評分取決於前方碰撞警示次數、緊急車、急轉彎、與前車的車距、使用自動駕駛時，手是否離開方向盤等五項要素，至於行駛距離和行駛時間則不影響評分。</p> <p>這是最具劃時代意義的創舉，與以往的汽車保險商品不同，將年齡、性別、婚姻狀況、事故和違規紀錄等因素全都排除在外。特斯拉表示：「我們認為保險費不是根據你是誰，而是取決於你如何駕駛，以及你現在（而不是過去）的駕駛方式，無論交通事故是發生在購買特斯拉之前還是之後，都不會增加保費」，而且保險費比競爭對手便宜二十%至六十%。</p> <p>特斯拉執行長伊隆‧馬斯克（Elon Musk）說道：「將來保險業務可能佔收益的三十%到四十%。」雖然不知道能否真的實現，但是可以肯定的是，他對於嵌入型保險寄予很高的期望。</p> <p><span style="color:#B22222;"><strong>微軟的OFFICE產品也嵌入保險商品</strong></span></p> <p>省去與保險公司簽約的麻煩、將保險整合到商品中的行業不僅限於汽車保險。例如，微軟與AXA XL和提供雲端按需型保險（On-Demand Insurance）新創公司Slice Labs合作，為「Microsoft 365商業版」、「Office365商業版」和「Office 365商務進階版」等Office套裝軟體的使用者提供網路保險（Cyber Insurance）。</p> <p>這項保險是根據一項名為「微軟安全分數」的組織安全性狀況之評估結果，提供折扣價格給低風險的企業客戶。不僅涵蓋與網路風險有關的費用，還包括發生網路攻擊時的資安事故應變和修復服務。</p> <p>根據日本產物保險協會在二○二○年一月發表的《二○一九年中小企業經營者的網路風險意識調查》顯示，回答「曾因網路攻擊而受損」的中小企業約占兩成（十九%）。另一方面，有二十四%的企業表示，「目前尚未針對網路攻擊採取對策」，也就是說，還有大約四分之一的公司未採取任何措施因應網路攻擊。隨著微軟在Office產品嵌入保險，企業無需另外購買網路保險，也不用在遭遇網路攻擊後才來採取補救對策。</p> <p>此外，這種網路保險的概念與特斯拉的汽車保險相同。也就是說，就像特斯拉會根據駕駛行為的數據計算出風險程度，並依此給予保費折扣一樣，這種保險除了excel和word之外，還會從Teams和Share Point、Azure Active Directory等微軟產品的使用狀況來衡量安全風險，並依此給予保費折扣。共同點就是與使用者關係密切的企業可掌握數據，並由該企業自行提供保險。<strong><span style="color:#696969;">（本文摘錄整理自《嵌入式金融》第一、二章，商周出版提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B5%8C%E5%85%A5%E5%BC%8F%E9%87%91%E8%9E%8D-600_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%95%86%E5%91%A8%E5%87%BA%E7%89%88.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_商周出版</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span> </strong></span><strong>嵌入式金融大衝擊：從Google、Apple，到IKEA、賓士，科技巨擘與零售龍頭都爭先布局的創新金融版圖</strong></p> <p>城田真琴／著；駱香雅／譯</p> <p>商周出版</p> <p>定價：380元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E5%B5%8C%E5%85%A5%E5%BC%8F%E9%87%91%E8%9E%8D_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E9%87%8E%E6%9D%91%E7%BB%BC%E5%90%88%E7%A0%94%E7%A9%B6%E6%89%80-200.jpg" style="width: 160px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_野村综合研究所</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 作者簡介 </span></span></strong> <strong>城田真琴</strong></p> <p>野村綜合研究所IT基礎技術戰略室室長、高級研究員。自2001年進入野村綜合研究所以來，一直致力於調查和研究尖端IT對企業和社會造成的影響。曾經擔任總務省「智慧雲端研究組」的技術工作小組成員，經濟產業省「IT融合論壇」的個人資料工作小組成員，以及經產省和厚生勞動省、文部科學省部「IT人才供需調查」專家委員會的成員。</p> </div></div></div>
2023/2/27 00:00未署名https://www.ithome.com.tw/article/155602
【備份是公有雲資料保護不可或缺的基礎】公有雲很強大，但資料仍需備份
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1118-feng_mian_p2-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資料來源：iThome整理，2023年2月</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著企業將越來越多的工作負載與資料遷移到雲端，自然的，維運與管理工作也跟著轉移到雲端，這其中也包括了備份。</p> <p>然而許多企業對於雲端備份工作的態度，卻存在著曖昧之處。</p> <p>在公有雲服務開始興起之初，由於雲端服務商們對於其基礎設施高可用性與高耐用性的宣傳，曾有許多用戶認為，雲端上的工作負載與資料是不需要備份的，雲端基礎設施擁有足夠的韌性與復原能力，足以確保資料的安全，因而也可免除定期備份的麻煩。</p> <p>讓人驚訝的是，直到今日，仍有不少企業相信這種論點。依據Veeam贊助的報告《2023年雲端保護趨勢》（Cloud Protection Trends for 2023），當中調查全球1,700位企業IT管理者，結果顯示，7成以上受訪者透過公有雲執行個體來執行檔案共用及資料庫應用，超過5成用公雲原生檔案共用儲存與資料庫服務，然而，這些用公雲檔案儲存與資料庫的受訪者中，多達34%認為自身使用的雲端檔案儲存共用服務足夠耐用，或是不需要備份，也有15%的受訪者認為，自身使用的公有雲資料庫服務足夠耐用，或是不需要備份。</p> <p>這意味著，即便是檔案公用儲存與資料庫這類日常不可或缺的關鍵IT應用，幾乎有多達2到3成的公有雲服務用戶無備份意識，而把自身資料的完好寄託於公有雲基礎設施的耐用性。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>雲端備份的必要性</strong></span></span></p> <p>這是個諷刺的現象，對本地端IT環境來說，用戶自知對於基礎設施備援能力的投資有限，不能完全依賴基礎設施的耐用性來保護資料，因而需要備份作為彌補手段。但是，轉換到雲端以後，部分用戶相信公有雲基礎設施具有足夠完備的耐用性，連帶也不再需要備份了。</p> <p>但公有雲服務商基於大規模多複本分散複製的高可用機制，只能在基礎設施的「系統」層級保護用戶資料，避免資料因基礎設施失效而遺失，但無法因應「操作」層級導致的資料遺失，例如人為錯誤操作、誤刪、或是惡意刪除等，這些都不是雲端基礎設施的高可用性機制能解決，須依靠備份才能回復資料。</p> <p>因而無論雲端基礎設施如何耐用或強固，用戶仍不能免除備份，才能確保資料的可用。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>促進備份產品生態轉型的契機</strong></span></span></p> <p>但另一方面，從前述調查報告也可看出，雖然仍有許多公有雲用戶的備份意識仍不強，但還是有不少比例已著手或正在尋求公有雲備份解決方案，近60%的公有雲檔案服務用戶已建置了備份，8%的用戶正在尋求備份方案，更有79%的雲端資料庫已建置備份，6%的雲端資料庫用戶正在尋求備份方案。</p> <p>而隨著企業大舉上雲，以及多數雲端服務用戶逐漸具備備份意識，也讓針對雲端的備份解決方案，成為炙手可熱的領域，不僅既有的傳統備份軟體廠商如Veritas、Commvault、Veeam、Acronis等爭相推出雲端版本，也催生出Druva、Cove、N2WS、Clumio等「雲端原生」的備份解決方案供應商，連帶也改變了備份產品的生態，形成了針對雲端備份應用的新領域。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>備份雲端環境資料的應用3層次</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1118-%E5%B0%81%E9%9D%A2P2-600-1.png" style="width: 600px;" /></p> <p>雲端環境備份需求的興起，吸引眾多廠商競相投入，讓備份產品領域出現新變化，從公有雲服務商自身，到老牌的備份軟體廠商，到新創廠商，都能針對雲端環境的備份應用，提供不同形式的產品。</p> <p>面對形形色色的產品，我們可以從用戶備份需求的規模與複雜性，將雲端備份應用區分為3個層次：</p> <p><span style="color:#B22222;"><strong>雲端服務自身的資料保護機制</strong></span></p> <p>事實上，不需要依賴其他額外的解決方案，大多數雲端服務本身就提供了資料保護機制，一定程度上可作為備份使用。例如S3物件儲存的版本控制搭配遠端複製功能，就構成基本的備份保護。</p> <p>類似的，多數公有雲執行個體/虛擬機器服務，以及儲存服務與資料庫服務，也都能透過內含的快照功能搭配遠端複製，提供基本的備份保護。</p> <p>問題在於，若用戶的應用規模較大，須同時維運數十臺以上的執行個體或儲存區，以及多個資料庫，要逐一設定與管理這些工作負載的快照與遠端複製作業，將成為難以承受的負擔，此時便需改用雲端集中備份解決方案來因應。</p> <p><span style="color:#B22222;"><strong>雲端集中備份</strong></span></p> <p>可透過單一的管理介面，通用的備份政策，以及統一的備份儲存環境，來為各式各樣的公有雲工作負載，提供備份管理服務。</p> <p>在目前的雲端備份應用產品中，這個類型的產品最為豐富，包括AWS、Azure等主要公有雲服務商的原生備份服務，到Veritas、Veeam、Commvault、Nakivo等備份軟體的雲端專用版本等，都能滿足雲端集中備份的需求。</p> <p>這類產品又可區分為SaaS備份服務，以及雲端備份伺服器等2大類，前者如AWS Backup與Azure Backup，後者則如Veeam、Nakivo、Veritas Back Exec的雲端BYOL版本等。差別在於前者提供了現成的備份環境，用戶只需直接訂閱即可，而後者則須由用戶自行部署備份伺服器，與建置備份儲存環境的作業。</p> <p><span style="color:#B22222;"><strong>跨多雲與特殊應用備份</strong></span></p> <p>目前多數公有雲原生備份服務，或是備份軟體雲端專用版本，都有著僅適用於單一公有雲平臺的限制。對AWS、Azure等公有雲服務商的原生備份服務來說，依據其開發政策，先天就只針對自身平臺而用，而對其他第3方廠商備份軟體雲端版本來說，則是軟體授權限制了適用的雲端平臺類型。</p> <p>所以，擁有跨多雲應用架構的用戶，便必須為不同雲端平臺分別建置備份應用，或是尋求可跨混合雲與多雲環境的備份解決方案。</p> <p>除此之外，有一些較新的雲端應用尚未在主流雲端備份產品的支援範圍內，要保護這些應用，也必須另外尋求專門的備份工具來支援。舉例來說，AWS自身的AWS Backup服務，便還不能涵蓋Amazon EKS系列容器應用服務的備份，此時便需要尋求支援這類應用的備份軟體，如redstor的EKS Kubernetes Backup、Catalogic的cloudcasa等。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>聚焦公有雲原生備份服務</strong></span></span></p> <p>我們在過去幾年來一系列關於雲端服務的介紹中，也連帶介紹了各雲端服務自身的資料保護機制，也就是雲端備份應用的第1個層次。在這次封面故事中，我們將重點放在雲端備份應用的第2個層次，即雲端集中備份，並特別聚焦在公有雲服務商自身的原生備份服務上。</p> <p>如同我們前面介紹的，公有雲原生備份服務與第3方廠商的備份產品雲端版，都同樣能滿足雲端集中備份的需求，但公有雲原生備份服務有著身為公有雲平臺「嫡系」產品的先天優勢，可與被保護的雲端工作負載無縫結合，計價與管理也都能與其他公有雲服務緊密結合，架構與應用更為單純。</p> <p>但讓人意外的是，主要的公有雲業者當中，目前只有AWS、Azure、阿里雲這三家提供原生的集中備份服務，即AWS的AWS Backup、Azure的Azure Backup，以及阿里雲的HBR（Hybrid Backup Revocery）。</p> <p>相較於第3方廠商備份產品，公有雲原生備份服務的歷史相對短淺許多，如歷史最久的Azure Backup生於2014年，阿里雲HBR則是2018年發表，AWS Backup更晚，2019年才推出。</p> <p>不過在支援能力與功能方面，這些產品都已相當成熟，可涵蓋主要類型雲端工作負載，並提供完整的備份還原功能，足以作為保護雲端資料的基礎。</p> <p>接下來，我們將透過對於AWS Backup與Azure Backup這2項備份服務的詳細檢視，來進一步認識當前公有雲原生備份服務的能力與特性。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/155688" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span> <a href="https://www.ithome.com.tw/article/155688" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1118-feng_mian_p1_open-960x420_kao_bei_.jpg?itok=nuzlrmtQ" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B">封面故事</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B2%E7%AB%AF%E5%82%99%E4%BB%BD">雲端備份</a></div><div class="field-item even"><a href="/tags/%E5%85%AC%E6%9C%89%E9%9B%B2">公有雲</a></div><div class="field-item odd"><a href="/tags/%E5%85%AC%E6%9C%89%E9%9B%B2%E5%8E%9F%E7%94%9F%E5%82%99%E4%BB%BD%E6%9C%8D%E5%8B%99">公有雲原生備份服務</a></div><div class="field-item even"><a href="/tags/aws-backup">AWS Backup</a></div><div class="field-item odd"><a href="/tags/azure-backup">Azure Backup</a></div></div></div>
2023/2/27 00:00作者張明德https://www.ithome.com.tw/tech/155639
【統一管理AWS環境的備份保護】AWS平臺標準備份工具AWS Backup
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/tou_ban_tu_2_tu_pian_lai_yuan_aws-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雖然問世只有短短4年，但AWS Backup的功能與支援範圍擴展十分迅速，目前已能涵蓋AWS旗下主要服務，成為最重要的雲端備份服務之一。</p> <p>相較於微軟Azure平臺的Azure Backup備份服務，AWS Backup推出晚了5年，但追趕的速度非常快，目前無論在支援範圍、備份功能，還是管理機制方面，都已不下於前者。</p> <p>AWS是在2019年初才正式發表AWS Backup，一開始只支援EBS、EFS、 RDS．DynamoDB、AWS Storage Gateway Volume等幾種服務，後來適用範圍逐漸擴大，例如2020年初增加支援EC2執行個體，2021年底又增加支援AWS環境中的Vmware工作負載，接著在2022年將支援範圍擴展到S3物件儲存服務與Redshift資料庫服務。</p> <p>而在功能方面，AWS Backup在過去2年多以來也有很大進展，例如在2020年為EFS提供個別檔案還原功能，2021年新增Audit Manager稽核功能，以及連續備份功能。</p> <p>在AWS Backup發表之前，AWS用戶必須分別透過個別AWS服務內含的快照與複製功能，以手動或自行撰寫的腳本來執行備份作業，操作繁瑣，使用上十分不便，若用戶希望獲得更便利的集中備份管理服務，就只能借助第3方廠商的備份產品，但這又帶來額外的建置、整合需求，還有額外的成本。</p> <p>而在有了AWS Backup以後，AWS用戶只需透過這項服務，就能為幾乎所有AWS服務，統一管理與自動執行備份作業，不僅使用與管理都更為簡便，訂閱與計價也相對單純。</p> <p>接下來，我們便從適用範圍、作業模式、管理機制與安全性等幾個不同面向，逐一檢視AWS Backup的功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%E4%B8%BB%E5%9C%961-600.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">AWS Backup運作架構</span></strong></p> <p><strong><span style="color: rgb(105, 105, 105);">AWS Backup的運作是以備份計畫為核心，用戶透過備份計畫設定備份頻率、備份窗口與備份生命週期，然後將指定的AWS服務（運算、儲存或資料庫）套用到備份計畫，用戶可透過控制臺監控、調整備份作業，並執行還原。</span></strong><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／AWS</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>涵蓋主要AWS應用的資料備份</strong></span></span></p> <p>AWS Backup適用於AWS環境中所有主要的運算、儲存、資料庫服務，以及基於VMware的混合式服務，為這些服務中的工作負載，提供集中式的備份、還原與管理服務。</p> <p>具體的適用範圍可以概分成4大類：</p> <p>首先，是AWS EC2運算服務。</p> <p>其次，是S3、EBS、EFS、FSx for Lustre、FSx for Windows File Server、FSx for NetApp ONTAP、FSx for OpenZFS、AWS Storage Gateway等儲存服務。</p> <p>接著，是DynamoDB、RDS、Aurora、DocumentDB、Neptune、Redshift，Timestream等資料庫服務。</p> <p>最後，是VMware Cloud on AWS、VMware Cloud on AWS Outposts等基於VMware基礎架構的服務。</p> <p>基本上，上述幾乎涵蓋了AWS所有主要的服務，就連AWS Storage Gateway，以及VMware Cloud on AWS Outposts等混合雲服務，還有AWS CloudFormation建立的管理模板（template），也都能透過AWS Backup來備份。</p> <p class="rtecenter"><strong><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%E4%B8%BB%E5%9C%963-600.png" style="width: 600px;" /></span></strong></p> <p><strong><span style="color: rgb(105, 105, 105);">統一管理與執行不同AWS服務的備份</span></strong></p> <p><strong><span style="color: rgb(105, 105, 105);">AWS Backup可支援幾乎所有主要的AWS服務，從單一介面管理各式AWS服務的備份，如圖中的備份計畫設定畫面，便是將EFS、DynamoDB與EBS等3種服務，指派與套用到同個備份計畫的規則。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／AWS</span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>透過備份計畫驅動備份作業</strong></span></span></p> <p>AWS Backup是透過備份計畫（Backup Plan）來執行備份工作，用戶可以透過備份計畫來為不同的雲端資源自動執行備份，並建立多個不同的備份計畫，以配合不同的工作負載。</p> <p>備份計畫中，包含了備份作業的執行頻率（每小時、每12小時、每日或每周），備份窗口（允許執行備份作業的時間區段），備份複本的生命週期（設定備份複本在備份儲存庫保留多長時間後，自動轉到冷儲存，以及備份複本在冷儲存中保留多長時間再刪除的時程，但僅限部分類型來源端資源才支援），以及用於存放備份複本的儲存庫位置等參數。</p> <p>AWS Backup採用增量（Incremental）備份方式，來週期地執行備份工作，只有第1次備份作業會備份資料的完整複本，後續備份作業都只會備份資料異動的部分，藉此節省備份時間與備份耗用的儲存容量。</p> <p><strong><span style="color:#B22222;">提供任意還原點的連續備份模式</span></strong></p> <p>AWS Backup標準的備份機制，是利用快照來製作複本，事實上，多數AWS服務本身就有快照功能，所以AWS Backup其實是利用這些服務的快照功能，套上用戶設定的備份計畫，從而建立備份複本。在快照備份模式下，備份頻率最短為1小時的時間間隔，建立的快照複本理論上允許保存100年。</p> <p>不過，針對AWS S3與RDS等兩種類型的來源端，用戶另外還可選擇連續備份（Continuous Backups），藉此獲得時間點還原（Point-in-Time Recovery，PITR)功能。</p> <p>連續備份屬於一種利用日誌紀錄來源端資料異動狀態的連續資料保護（Continuous Data Protection，CDP）技術，連續備份所提供的時間點還原功能，則是指可將來源端資料，還原到過去指定任意時間點狀態，最長的回溯時間是35天，回溯的精度是1秒，也就是可以將資料回復到過去35天內、以秒為單位的時間狀態。</p> <p>與快照備份相比，連續備份的優勢在於還原精細度高（以秒為單位），但可用的回溯時間短；而快照備份則有回溯時間長的優勢，但還原精細度較低（以小時為單位）。AWS官方建議用戶可混合使用這2種模式，以互補不足。</p> <p><strong><span style="color:#B22222;">跨區域的備份複製服務</span></strong></p> <p>對於備份複本可用性有較高要求的用戶，可啟用跨AWS區域（Regions）的備份複製（Backups Copy）功能，將備份複本複製到其他AWS區域的備份儲存庫，或是冷儲存區保存。用戶可利用備份儲存庫中的複製選項，一次性地將特定備份複本複製到目的地，也可透過備份計畫設定在每次排程備份時，自動執行跨區域備份複製。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>提供不同精細度的還原選項</strong></span></span></p> <p>AWS Backup預設的還原模式，是以用戶指定時間點的備份複本，另外建立一份新資源為基準，而不會覆蓋掉原始來源端的資源。</p> <p>針對不同形式的來源端資源，AWS Backup提供不同精細度的還原選項，針對部分服務，還能提供較精細的個別物件層級還原選擇。</p> <p>舉例來說：針對EC2執行個體，是還原整個執行個體；針對S3儲存服務，可選擇還原整個儲存桶或個別物件；對於EBS區塊儲存服務，則是還原個別EBS Volume；對於EFS檔案儲存服務，用戶則可選擇還原整個檔案系統或個別檔案；而對於DynamoDB、Timestream、Redshift、Neptune等資料庫服務，AWS Backup則能夠還原整個資料庫，或是資料表（Table）。</p> <p>而對於嫁接在AWS平臺、一些基於第三方解決方案的服務，AWS Backup也有不同的還原模式選擇，例如，對於FSX系列檔案儲存服務（for Lustre、For ONTAP、for ZFS、for Windows File Server等），都只能還原整個檔案系統，也就是將指定時間點的備份複本，另外建立為1個新的檔案系統，不過用戶能調整還原後的新檔案系統部分資源耗用選項。</p> <p>而針對VMware虛擬機器，則有整臺虛擬機器或虛擬磁碟等2種還原層級可選，特別的是，用戶還可選擇將虛擬磁碟還原轉換為EBS格式，或是將虛擬機器還原轉換為EC2執行個體，等同於一種跨平臺的V to V轉換，藉此將VMware虛擬機器轉為EC2執行個體。</p> <p>另外，要注意的是，對於被轉存到冷儲存的備份複本，必須等待較長的時間才能取回資料，根據AWS公布的資訊來看，相較於從儲存庫還原，通常要再多等4小時。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>支援分層式的備份儲存架構</strong></span></span></p> <p>備份儲存庫（Backups Vault）是用於存放備份複本的儲存容器，用戶在建立備份計畫前，必須先建立至少1個備份儲存庫。</p> <p>當用戶在一個AWS區域首次使用AWS Backup Console時，系統便會自動建立1個預設的備份儲存庫，但若用其他管理方式，不會自動建立備份儲存庫，須由用戶自行手動建立。每個AWS帳號可以建立最多100個備份儲存庫。</p> <p>針對下列類型的來源端，如EFS、Timestream、DynamoDB、VMware虛擬機器，AWS Backup還能夠支援將備份複本從儲存庫轉存到冷儲存區的設定，構成標準儲存庫+冷儲存區的2層式備份儲存架構，一般而言，冷儲存的單位成本只有標準儲存庫的1/3到1/5，可大幅降低備份複本的儲存成本，不過，轉存到冷儲存的備份複本，必須存放最少90天才能刪除（即便用戶提早刪除，仍需支付最低90天的費用）。</p> <p>雖然AWS未正式提及，不過我們認為AWS Backup的備份儲存庫，應該是建立在S3物件儲存服務的空間內，其中暖儲存應該是使用標準的S3，冷儲存則使用低成本的S3 Glacier。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>提供集中管理與稽核工具</strong></span></span></p> <p>目前用戶可以利用AWS Backup Console、API、CLI、SDK，或AWS CloudFormation模板等不同方式，來建立與管理AWS Backup的備份作業。</p> <p>AWS建議的標準管理機制是使用AWS Backup Console主控臺來進行，可透過圖形介面引導備份、還原作業的設定，並透過儀表板來檢視備份環境的狀態與事件。</p> <p>在此同時，用戶也能運用Amazon CloudWatch與Amazon EventBridge，運用這2項監控服務，來撈取AWS Backup的作業記錄，從而追蹤與監視備份作業狀態。</p> <p>若是管理大規模環境的使用者，也能利用AWS Backup提供的稽核工具AWS Backup Audit Manager，來檢核整個備份環境的設定與運作狀態，例如是否所有資源都有備份？備份是否都設定了加密？備份排程是否正常運行等？還能自動產生稽核報告，供用戶參考。</p> <p class="rtecenter"><strong><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%E4%B8%BB%E5%9C%962-600.png" style="width: 600px;" /></span></strong></p> <p><strong><span style="color: rgb(105, 105, 105);">透過AWS Backup控制臺管理備份</span></strong></p> <p><strong><span style="color: rgb(105, 105, 105);">用戶可利用AWS Backup Console、API、CLI、SDK或CloudFormation模板等不同方式來建立與管理AWS Backup，AWS建議的標準管理作法是使用AWS Backup Console，因為這裡提供圖形化的作業監控與設定方式。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／AWS</span></p> <p class="rtecenter"><strong><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%E4%B8%BB%E5%9C%964-600.png" style="width: 600px;" /></span></strong></p> <p><strong><span style="color: rgb(105, 105, 105);">利用AWS Backup Audit Manager稽核備份環境</span></strong></p> <p><strong><span style="color: rgb(105, 105, 105);">利用AWS Backup Audit Manager可有效幫助管理大型備份環境，檢核前端的工作負載是否都已設定備份保護，以及個別備份的安全性是否都符合要求等，並能產生報表供管理者參考。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／AWS</span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>雙層安全機制保護備份環境</strong></span></span></p> <p>AWS Backup的安全性機制可以分為2個層次：</p> <p>第1個層次，是與AWS環境結合的身分驗證與存取管制，例如多因素身分驗證、SSL/TLS傳輸安全性等，並配合識別與存取（IAM）角色管理功能，確保只有經核准的用戶，才能存取與使用AWS Backup服務。</p> <p>第2個層次，是AWS Backup為了保護備份複本完好性，所提供的安全性措施。</p> <p><span style="color:#B22222;"><strong>備份儲存的安全防護措施</strong></span></p> <p>為了保護備份複本不受非授權存取或惡意刪改威脅，AWS Backup為備份儲存庫提供了2種安全防護措施。</p> <p>其一是加密，AWS Backup可為備份複本執行AES 256位元加密，AWS Backup加密管理是以個別備份儲存庫為單位，當建立備份儲存庫時，系統同時也會透過AWS密鑰管理服務（Key Management Service KMS），自動產生專用於該儲存庫的AWS Backup密鑰。不過一些AWS服務的備份複本，必須套用來源端的加密機制，因而不適用於AWS Backup的加密功能。</p> <p>其二是備份儲存庫鎖定（Vault Lock）功能，這是2021年底才新增的功能，也是我們近期經常報導的一寫多讀技術（Write-Once, Read-Many，WORM）的一種應用，可以鎖定用戶指定的個別儲存庫，防止儲存庫內的備份複本遭到刪改。</p> <p>Vault Lock有兩種運作模式，一種稱之為Governance模式，在這個模式之下，擁有足夠權限的用戶仍可解除Vault Lock的資料鎖定。</p> <p>另一種是Compliance模式，在設定的保留期限內，包括用戶或AWS本身都無法解除Vault Lock的資料鎖定。在Compliance模式下，在Vault Lock起始日之前會有個寬限期（Grace Time），這段期間用戶仍可解除或更動Vault Lock設定，AWS建議設定至少72小時的寬限期，在寬限期到期之前，仍可調整Vault Lock設定，待寬限期到期後，該儲存庫便會被Vault Lock鎖定為不可變狀態。</p> <p class="rtecenter"><strong><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%E4%B8%BB%E5%9C%965-600.png" style="width: 600px;" /></span></strong></p> <p><strong><span style="color: rgb(105, 105, 105);">提供加密與防刪改保護</span></strong></p> <p><strong><span style="color: rgb(105, 105, 105);">AWS Backup的備份儲存庫提供了加密與Vault Lock防刪改功能，藉此可防止非授權的用戶存取備份複本，或惡意刪改備份複本內容。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／AWS</span></p> <p><strong><span style="color:#3399ff;"><span style="font-size:28px;">基於備份資料量多寡的服務計價</span></span></strong></p> <p>AWS Backup是依照用戶的備份的來源端服務類型、備份資料量、還原資料量，以及跨區域傳輸備份資料量，以每月每GB為基準來計費。</p> <p>對於EFS、Timestream、DynamoDB與VMware虛擬機器等支援冷儲存的來源端，備份與還原的月租費，都分為標準的溫儲存與冷儲存等2種等級，在備份方面，冷儲存的單位成本大約只有溫儲存的1/3到1/5，但還原時則相反，從冷儲存還原資料由於需耗費較長時間，以致月租費稍高於溫儲存。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>在AWS環境進行資料備份的首選</strong></span></span></p> <p>整體來說，我們認為AWS Backup的功能，已達到企業級備份產品的門檻，特別是安全性措施相當完整，涵蓋了從存取管制到儲存防刪改保護等環節，而在備份技術方面，除了基於快照的備份架構外，還支援更進階的連續備份，不過適用的服務範圍則較窄。</p> <p>與主要企業級備份產品相比，AWS Backup仍少了一些進階功能，操作介面的易用性也比不上主流備份產品，但還在可接受範圍內。</p> <p>較大的不足，主要是下列兩點：</p> <p>首先，是少了壓縮、重複資料刪除等資料縮減功能，只能以1比1的比例來儲存備份資料，以致用戶必須為了保存備份複本而耗用更多容量與月租費。不過這主要是先天環境與架構所致，而非AWS Backup本身的問題。</p> <p>一般的本地端備份軟體，可透過代理程式端或儲存端的資料縮減功能，來提供縮減備份資料容量的應用。</p> <p>但AWS Backup基本上是無代理程式架構，所以沒有從代理程式端執行資料縮減的餘地，再加上又是使用AWS的雲端儲存空間來保存備份，而且，AWS儲存服務目前都不提供資料縮減功能（基於減少服務品質不確定性的考量），連帶導致AWS Backup也無法從儲存端獲得資料縮減能力。</p> <p>其次是缺少不經正規還原程序、直接開啟或掛載備份複本的快速還原功能，用戶只能透過正規還原程序，從備份儲存庫回傳備份複本，才能存取備份複本的內容。（相較之下，微軟Azure Backup略勝一籌，因為他們提供直接從本地端啟用備份複本的立即還原功能）。</p> <p>至於AWS Backup的優勢，是能與主要的AWS服務無縫整合，幾乎所有主要的AWS服務，都可利用AWS Backup來備份，從單一控制臺就能為各式各樣AWS服務執行備份工作，對於AWS的重度使用者來說，只需AWS Backup就能解決備份需求，架構上最為簡單。</p> <p>而透過AWS Backup Console這個統一管理工具，對於各式各樣不同類型來源端的工作負載，AWS Backup都能提供相對一致的操作管理程序，使用上也相對容易。</p> <p>另一個優點是內建的安全性機制相對完備，因為AWS Backup本身就能同時提供存取管制、加密與防刪改等安全功能，而無須其他服務或產品的介入。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/155688" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span> <a href="https://www.ithome.com.tw/article/155688" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1118-feng_mian_p1_open-960x420_kao_bei_.jpg?itok=nuzlrmtQ" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B">封面故事</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B2%E7%AB%AF%E5%82%99%E4%BB%BD">雲端備份</a></div><div class="field-item even"><a href="/tags/%E5%85%AC%E6%9C%89%E9%9B%B2">公有雲</a></div><div class="field-item odd"><a href="/tags/%E5%85%AC%E6%9C%89%E9%9B%B2%E5%8E%9F%E7%94%9F%E5%82%99%E4%BB%BD%E6%9C%8D%E5%8B%99">公有雲原生備份服務</a></div><div class="field-item even"><a href="/tags/aws-backup">AWS Backup</a></div></div></div>
2023/2/27 00:00作者張明德https://www.ithome.com.tw/tech/155640
【微軟應用環境的統一備份服務】微軟的通用雲端備份服務Azure Backup
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/tou_ban_tu_3_tu_pian_lai_yuan_wei_ruan_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從名稱來看，微軟的Azure Backup很容易讓人以為是基於雲端的備份服務，但實際上，這是多個備份產品的集合，基於雲端的Azure Backup服務只是其中之一，同時還包含本地端的備份軟體解決方案。</p> <p>Azure Backup問世已將近10年，一開始只用於雲端上的Azure VM備份，以及透過本地端備份軟體，將備份轉存到雲端的應用，後來微軟將這項服務的範圍持續擴大，目前已能涵蓋Azure VM，以及架構在Azure VM上的資料庫備份，也能為Azure的儲存服務提供備份。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure-600-1.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>Azure Backup運作架構</strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>Azure Backup同時涵蓋用戶本地端與Azure雲端的備份應用，由本地端基於代理程式的備份軟體，與Azure雲端上對應不同工作負載的備份服務共同組成。</strong><span style="font-size: 14px;">圖片來源／微軟</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>涵蓋本地端與雲端微軟環境的備份</strong></span></span></p> <p>Azure Backup適用於用戶本地端與Azure公有雲環境的資源備份，隨著備份環境的不同，作業架構也有異。</p> <p><span style="color:#B22222;"><strong>企業與組織的內部網路環境</strong></span></p> <p>Azure Backup在內網分為2種架構：</p> <p><strong>（1）直接備份到雲端</strong></p> <p>在內部網路環境受保護工作負載上，安裝微軟Azure還原服務（Microsoft Azure Recovery Services，MARS）代理程式，然後由MARS代理程式將來源端資料備份到雲端保存庫。</p> <p>此模式的架構較單純，只需在欲備份的內網主機安裝MARS代理程式，但僅支援Windows主機備份。</p> <p>MARS代理程式目前只支援64位元Windows作業系統，包括Windows 8到Windows 11的個人端電腦平臺，Windows Server 2016到2019的伺服器端平臺，以及Windows Storage Server 2012到2016的儲存伺服器平臺。</p> <p><strong>（2）經由MABS/DPM備份伺服器再到雲端</strong></p> <p>透過在內網安裝與建置Azure Backup Server（MABS）或System Center Data Protection Manager（DPM）等2種備份伺服器，來為企業內部環境的工作負載提供備份服務，可藉由MABS/DPM將來源端資料直接備份到雲端的儲存庫，或是先備份到MABS/DPM的磁碟，然後再轉存到雲端保存庫。</p> <p>這個模式需在本地端透過實體或虛擬主機安裝MABS/DPM備份伺服器，但可支援更多類型的工作負載，包括：Windows 10/11與Windows Server主機，SQL、Exchange與SharePoint伺服器，與Hyper-V、VMware虛擬機器。</p> <p><span style="color:#B22222;"><strong>公有雲環境</strong></span></p> <p>Azure Backup支援7種Azure雲服務備份，包括：Azure VM，Azure Disk Storage區塊儲存（Azure Managed Disks），Azure File Storage檔案儲存（Azure File Shares），SQL Server in Azure VM，SAP HANA in Azure VM，PostgreSQL伺服器的Azure資料庫（以下簡稱為Azure PostgreSQL資料庫），Azure Blob物件儲存服務。</p> <p>其中大多數服務的備份，都屬於無代理程式架構，無須代理程式或其他元件的中介，就能直接連結Azure Backup的服務。不過，與Azure VM相關的服務，則需要安裝延伸模組或代理程式，才能執行備份作業。</p> <p>以Azure VM的備份來說，便分為3種模式：（1）直接備份到Azure儲存庫，透過VM上安裝快照延伸模組運作，這是Azure VM備份的標準模式，預設備份整臺VM，2023年新增可選擇僅備份作業系統磁碟的選項；（2）透過MARS代理程式備份，需在VM上安裝MARS，但可選擇備份還原特定資料夾、檔案或磁碟，備份粒度更精細；（3）將Azure VM先備份到Azure環境的MABS或DPM備份伺服器，再備份到Azure保存庫。</p> <p>類似的，架構在Azure VM上的其他服務，如SQL Server in Azure VM，SAP HANA in Azure VM，也都會在VM上安裝對應的擴充模組（而非在資料庫），以執行將資料庫備份到保存庫的作業。</p> <p>至於Azure PostgreSQL資料庫的備份，也會啟用一臺安裝備份延伸模組的Azure VM作為中介，稱作Worker VM，來處理備份作業，將資料轉存到保存庫。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure-600-2.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>Azure Backup備份中心統一管理備份</strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>透過Azure Backup備份中心管理介面，可統一監控Azure雲端上不同類型工作負載的備份作業，並建立儲存備份複本的保存庫。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>提供多樣化備份模式</strong></span></span></p> <p>除針對Azure PostgreSQL資料庫，以及Azure Blob物件儲存的備份，Azure Backup對其他來源端工作負載的備份作業，都是以快照為基礎，面對不同的來源端工作負載，提供的備份模式與備份原則也有變化。</p> <p>目前Azure Backup提供了完整、差異（Differential）、增量（Incremental）等3種基本備份模式，針對SQL Server與SAP HANA等2種資料庫，另外還有交易日誌備份（Transaction log）模式。</p> <p>備份原則是由備份排程與保留期等2項參數構成，前者決定備份頻率，後者決定備份複本保留時間長短。除了排程備份外，也允許進行一次性的隨選備份。</p> <p>在備份模式方面，除了SQL Server、SAP HANA與Azure Blob等3種來源端工作負載以外，而其餘類型的工作負載都是基於完整備份與增量備份等2種備份模式，不同工作負載提供的備份排程與保留期則所差異。</p> <p>Azure VM備份排程是以每日或每週為單位，是基於快照的增量備份，保留期分為在本機端的「立即還原」保留期（1到5天），以及儲存庫端的保留期（預設30天）等兩部分。</p> <p>Azure Disk區塊儲存服務與Azure File檔案儲存服務的備份作業，都是基於快照的增量備份，並提供每小時（1、2、4、6、8、12小時間隔）與每日等兩種備份頻率，保留期預設為30天。</p> <p>SQL Server in Azure VM的備份，則以快照為基礎，提供完整、差異與交易日誌等3種備份模式，完整備份的排程可選擇每週或每日，差異備份為每日，交易日誌備份則可每15分鐘一次。在保留期方面，所有備份類型的最小保留期都是7天，差異備份最多可保留180天，日誌備份最長保留期為35天。</p> <p>SAP HANA能支援4種基於快照的備份模式（完整、差異、增量、交易日誌），執行完整備份的頻率可選擇每日或每週，差異與增量備份的頻率都是每日1次，但同日只能兩者擇一執行，交易日誌備份能設為每15分鐘一次。在保留期方面，所有備份模式當中，最短均為7天，差異與增量備份可延長到180天，日誌備份最為35天。</p> <p><span style="color:#B22222;"><strong>非快照模式的備份</strong></span></p> <p>Azure PostgreSQL資料庫的備份機制是透過pg_dump指令，將資料庫內容轉出dump檔案，再進行備份，備份頻率目前則只提供手動隨選啟動，與每周排程等兩種，不過用戶可透過設定多個排程，在一週中的多天分別執行備份。備份保留時間則分為2種，使用標準備份保存庫（Vault-Standard）最長可保留7天到10年，預設為3個月。如果使用預覽階段的歸檔保存庫（Vault-Archive），保留期則為6個月到10年。</p> <p>最特別的是Azure Blob物件儲存服務的備份，採用自動連續模式，無須設定排程，備份保留期預設30天，最長360天，到期後不會立即刪除，而是會以「軟性刪除」（Soft delete）的形式，再額外保留5天，然後才會實際刪除。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure-600-3.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>獨特的立即還原功能</strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>針對Azure VM的備份，Azure Backup提供有別於其他類型工作負載的立即還原功能，來源端VM的快照複本會先在VM端本地暫時保存2天，在這段期間內可利用這些快照複本快速還原VM，2天後才會將快照複本轉存到後端的保存庫長期保存。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>提供多種還原精細度選項</strong></span></span></p> <p>無論哪一種來源端服務的還原作業，都是以備份時建立的還原點做為還原的基準，但Azure VM與Azure Blob的備份，提供了特別的還原模式。</p> <p>Azure VM的還原，提供還原到新VM、僅還原VM磁碟，或將VM磁碟還原到原始VM等選項，還提供「立即還原（Instant Restore）」功能，用戶可在備份政策選項中設定，讓快照複本在VM本機保留1到5天（預設2天），而不傳送到保存庫，需要時可從VM本機端迅速還原，而無須從保存庫回傳資料。</p> <p>SQL Server與SAP HANA資料庫的還原，則可選擇將日誌還原到指定時間點，或是將資料庫還原到特定時間點，或是將資料庫還原為檔案形式。</p> <p>Azure Disk區塊儲存備份的還原作業，是以整臺磁碟為單位，而且只能還原為新磁碟，而不能覆蓋原始來源端磁碟。Azure File檔案儲存備份的還原則有兩種粒度可選，可還原整個共享儲存區，或還原個別檔案，並能選擇還原到原始位置或新位置。Azure Blob的還原是「連續性」的時間點還原功能，可將物件容器還原到保留期內的任意時間點。</p> <p>其中Azure Disk、Azure File與Azure Blob的備份複本，都是存放在本機端，所以，還原時不須從保存庫傳輸資料，還原速度會更快。</p> <p><span style="color:#B22222;"><strong>跨區域還原</strong></span></p> <p>Azure VM，以及建立在Azure VM上的SQL Server與SAP HANA資料庫，都提供跨區域還原功能，可選擇將備份複本還原到配對的次要區域，但前提是保存庫必須設定GRS的遠端複製選項。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>依工作負載類型搭配備份儲存庫</strong></span></span></p> <p>Azure Backup用於保存備份資料的儲存空間，是透過備份中心介面利用Azure Blob物件儲存空間上建立保存庫（Vault），細分為兩種類型，分別適用於不同的備份來源端。</p> <p>一種是復原服務保存庫（Recovery Services Vault），可配合Azure的資源管理器（Resource Manager）部署，適用於大多數Azure Backup備份來源端，包括：Azure VM、SQL in Azure VM、SAP HANA in Azure VM、Azure File，以及透過MARS代理程式、MABS與DPM備份伺服器執行的備份。</p> <p>其中Azure VM採用與其他服務不同的兩段式備份儲存，建立備份快照複本後，會依照用戶在「立即還原」選項中的設定，先在VM本機保留1到5天，再傳送到復原服務保存庫。根據來源端VM磁碟大小與資料異動量，將快照複本傳送到保存庫可能須耗時數天之久。</p> <p>另外，Azure File是將快照複本存放在用戶的檔案儲存服務帳戶，而不會將備份實際傳送到保存庫，但基於套用備份原則等管理作業需要，還是需要建立對應的保存庫。</p> <p>另一種是備份保存庫（Backup Vault），目前用於搭配Azure Blob物件儲存服務、Azure Disk區塊儲存服務，以及Azure PostgreSQL資料庫的備份儲存。</p> <p>其中Azure Disk與Azure Blob的備份複本，實際上都是保存在儲存服務的來源儲存服務帳戶，不會將備份複際傳送到備份保存庫，例如Azure Disk的備份用快照複本是存放在快照集資源群組，但用戶仍需要設定備份保存庫，作為套用備份原則，與備份還原作業的管理單位。</p> <p>至於Azure PostgreSQL資料庫的儲存，除了使用備份保存庫，還多了搭配目前仍在預覽階段的歸檔保存庫選項，構成兩層式的備份儲存架構。</p> <p><span style="color:#B22222;"><strong>備份複本的遠端複製</strong></span></p> <p>用戶可設定保存庫的遠端複製屬性，藉此在遠端另外保存一或多份備份複本，以提高備份複本的可用性。</p> <p>復原服務保存庫與備份保存庫都提供3種遠端複製選項——本地備援（LRS）、異地備援（GRS）、區域備援（ZRS），預設是使用GRS。</p> <p><span style="color:#B22222;"><strong>備份複本的「軟性刪除」</strong></span></p> <p>為了避免保存庫中的備份複本遭到意外或惡意刪除，復原服務保存庫在搭配Azure VM類型的來源端時（包括Azure VM、SQL Server in Azure VM與SAP HANA in Azure VM），可啟用「軟性刪除」（Soft delete）的功能，即便用戶刪除備份複本，但復原服務保存庫仍會讓備份複本保留額外14天，也可視需要將軟性刪除時間延長到最多180天，在軟性刪除保留時間內，用戶仍可取消備份複本的刪除狀態，並用於還原，而且在Azure預設的14天軟性刪除保留期內，無須支付任何費用（但超過14天以後的軟性刪除保留資料，就需另外付費）。</p> <p>建立復原服務保存庫時，系統預設啟用軟性刪除功能，但足夠權限的用戶可停用該保存庫的軟性刪除，為了預防由此產生安全漏洞，用戶可以宣告永久啟用（Always-On）特定保存庫的軟性刪除功能，如此一來，就能確保該保存庫的軟性刪除永遠啟用。</p> <p>Azure Backup還有一項正在預覽階段的「增強型軟性刪除（Soft delete enhanced）」功能，進一步擴展原本的軟性刪除應用範圍，可同時適用於復原服務保存庫與備份保存庫，且能搭配更多類型的工作負載，還能將軟性刪除的備份項目註冊轉移到另一個保存庫。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure-600-4.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>防止誤刪備份的「軟性刪除」功能</strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>Azure Backup提供特別的「軟性刪除」（Soft delete）功能（微軟文件稱為「虛刪除」），當備份複本刪除後，保存庫仍會讓備份複本保留額外14天，在這段保留時間內，用戶只需按下取消刪除（Undelete）選項，就能讓該複本回復正常保存狀態。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>集中式的備份作業管理</strong></span></span></p> <p>備份作業的執行與備份政策的設定，則視不同的備份環境而有別。針對本地端環境，備份作業的操作與管理，是透過MARS代理程式，或是MABS/DPM備份伺服器管理介面來執行。針對公有雲環境，可透過Azure備份中心的圖形介面，或是Azure CLI、Powershell、REST API的指令來管理。</p> <p>微軟建議的管理介面是Azure備份中心，從Azure入口網站即可登入，並同時涵蓋目前已有7種Azure雲端服務工作負載備份的管理，包括備份作業的設定與啟動，備份原則的設定與調整，保存庫的建立與設定，備份作業的監控等工作，都可利用Azure備份中心來執行。</p> <p>Azure還提供2項幫助管理大規模備份環境的工具，一為備份總管（Backup Explorer），可針對Azure VM類型的備份，透過儀表板呈現過去7天的備份相關資訊，並匯出資訊。另一為Azure備份報告（Backup Reports），可針對Azure VM類型工作負載（Azure VM、SQL Server/SAP HANA in Azure VM）、Azure檔案服務，以及透過MARS代理程式、MARS/DPM備份伺服器的備份，建立分析報告，藉此檢視備份作業趨勢，如耗用容量趨勢，備份成功率等。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>提供加密與防刪改保護備份安全</strong></span></span></p> <p>Azure Backup的安全性機制提供3個部分的防護，分別是：存取權限控制、備份加密，以及備份防刪改。</p> <p>其中存取權限控制是與Azure的角色型存取控制結合，可透過定義角色執行權限，避免非授權使用者接觸備份。Azure Backup預設了3種角色——備份參與者、備份操作員、備份讀取者，分別提供不同等級的操作權限，用戶也可自定角色權限。</p> <p>在加密方面，備份保存庫與復原服務保存庫，都預設透過Azure Key Vault 加密金鑰服務，為保存庫中所有工作負載的備份提供加密。</p> <p>在備份資料的防刪改方面，目前微軟在備份保存庫與復原服務保存庫，都提供預覽階段的不可變（Immutable）保存庫功能，可鎖定保存庫中的備份複本，在保留期限內都不可刪除，同時，還能進一步鎖定保存庫的不可變屬性，以避免不可變功能遭到停用。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>依據不同類型工作負載來計價</strong></span></span></p> <p>針對Azure VM類型來源端，與使用雲端空間存防備份複本的用戶本地端伺服器，Azure Backup是依照容量等級、保存庫的遠端複製等級來按月計費。</p> <p>針對Azure Disk、Azure File與Azure Blob這3種來源端的備份，由於不會將備份複本傳送到保存庫，所以也不會產生保存庫相關的費用，前2者會收取存放備份快照複本的容量費用，Azure File另外還會依執行個體容量計費。</p> <p>除了Azure Blob以外，其餘類型工作負載的還原作業都無需付費。而Azure Blob的備份則無需付費，但還原時會依照將儲存容器還原到指定時間點的過程中，所耗用的資料處理量收費。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>適用範圍廣、組成複雜的備份架構</strong></span></span></p> <p>整體來看，Azure Backup是適用範圍廣，但「成分」相當複雜的備份應用解決方案，不同元件之間的差異相當大。例如針對內網環境的MARS、MABS/DPM，與針對公有雲的備份服務之間相比，除了使用Azure雲端儲存空間作為備份保存庫這一共同點，彼此幾乎是完全脫鉤的，操作與管理都不相同。</p> <p>而即便同樣是針對公有雲工作負載，Azure Backup對於不同來源端類型的運作架構，也存在很大差異，從計價方式、可用的備份政策、到備份儲存的保存庫，以及還原作業等，都各不相同。</p> <p>簡而言之，基於Azure VM的工作負載是一大類（含基於VM的SQL Server/SAP HANA資料庫），但Azure Disk、Azure File與Azure Blob等儲存服務的備份架構，都各有許多不同。</p> <p>雖然微軟提供了Azure備份中心這個統一的管理介面，有助於簡化管理問題，但對於同時使用多種不同類型工作負載的Azure用戶來說，要理解不同工作負載的備份運作架構，仍是相當大的負擔。</p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> </span></strong></span></span><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"><a href="https://www.ithome.com.tw/article/155688" target="_blank"><span style="color:#FFFFFF;">相關報導</span></a><span style="color:#FFFFFF;"> </span></span></strong></span> <a href="https://www.ithome.com.tw/article/155688" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1118-feng_mian_p1_open-960x420_kao_bei_.jpg?itok=nuzlrmtQ" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B">封面故事</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B2%E7%AB%AF%E5%82%99%E4%BB%BD">雲端備份</a></div><div class="field-item even"><a href="/tags/%E5%85%AC%E6%9C%89%E9%9B%B2">公有雲</a></div><div class="field-item odd"><a href="/tags/%E5%85%AC%E6%9C%89%E9%9B%B2%E5%8E%9F%E7%94%9F%E5%82%99%E4%BB%BD%E6%9C%8D%E5%8B%99">公有雲原生備份服務</a></div><div class="field-item even"><a href="/tags/azure-backup">Azure Backup</a></div></div></div>
2023/2/27 00:00作者張明德https://www.ithome.com.tw/tech/155687
公有雲原生備份服務
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1118-feng_mian_p1_open-960x420_kao_bei_.jpg?itok=nuzlrmtQ" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業大舉上雲，雲端備份成為炙手可熱的企業資料保護應用領域，並形成不同類型服務。面對雲端備份應用的不同層次與型態，我們將先從兩大公有雲業者自身的原生備份服務著手，檢視這類解決方案的特性與能力</p> </div></div></div>
2023/2/27 00:00作者張明德https://www.ithome.com.tw/article/155688
併購如何成為新創發展助力，第一眼就要思考如何整合
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從紐澤西到維吉尼雅州，儘管得足足坐上3個半小時的火車，但Appier策略長張哲緒一點都不覺得辛苦，反而迫不及待的想見對方。2022年中，在美國疫情趨緩後，張哲緒立即南下和正在洽談併購的對象，也就是美國行銷科技公司Woopra的執行長Elie Khoury見面。</p> <p>「Elie是黎巴嫩人，喜歡騎腳踏車、拍照、談吉他，為了公司移民到美國，跟我很像，都是第一代移民。」從臺灣旅居到美國的張哲緒對第一次碰面，印象非常深刻。</p> <p>當天來回車程就要花上7個小時，才能跟對方坐下來聊上5、6個小時，但不只一次，張哲緒後來多次搭火車南下，就是為了與Elie Khoury實際相處，不只聊對產品的想法，還有各自的家庭、成長背景、到美國後的生活等。「相同的背影，讓我們之間的信任，累積得更快。」他強調，信任，正是兩家公司成功整併的關鍵因素。</p> <p>張哲緒是Appier併購業務的主要負責人，Woopra是張哲緒在2022年初進入Appier後，負責的第一家併購對象，也是Appier併購的第四家公司。早在2022年10月3日完成併購之前，雙方高層就展開積極的討論，因疫情不能碰面，就先用視訊會議十多次。直到年中才第一次見面，一碰頭，張哲緒就給了對方一個大大的擁抱，有種網路好友終於見到面的感覺。</p> <p><span style="font-size:28px;"><strong>創立後快速布局全球，近幾年開始善用併購強化產品線</strong></span></p> <p>2012年在臺北創立的Appier，2021年3月在東京證券交易所Mothers創業板掛牌上市，登板第一天，就創下1,897億日元的市值，是臺灣第一家軟體獨角獸。統計到2023年初，使用Appier產品的企業客戶超過了1,300家，一天要處理近300億筆預測。</p> <p>不只大力發展AI行銷科技產品來擴張，早在2018年開始，Appier也開始透過併購（M&A）策略，來擴張產品線和市場。2018年先收購了行銷自動化服務的印度新創公司QGraph，2019年則收購了提供電商促購服務的日本新創公司Emotion Intelligence，2021年則收購了臺灣新創公司BotBonnie。「併購做得好，可以帶來一家企業正向發展，不過，併購本來就會有風險，Appier有意願也有能力和團隊，才能將併購視為企業戰略的一環。」張哲緒強調。</p> <p><span style="font-size:28px;"><strong>從醫療大數據領域找來策略長，改靠消費者大數據發揮行銷影響力</strong></span></p> <p>早在進入Appier之前，張哲緒曾在國際醫藥數據與科技公司IQVIA任職，領導真實世界解決方案事業的策略發展，也主導該公司的併購計畫。更早時，他曾在麥肯錫管理顧問公司負責醫療保健領域業務，擔任準合夥人。</p> <p>身為策略長，他得從隨時尋找更多公司發展的可能性。每三個月，他會在內部會議中，整理對全市場的觀察，搜集顧客的回饋，以及對競爭者的觀察，來重新審視自己的發展策略。「發展策略的審視不是一個專案，更像是一種旅程，需要不斷地微調。」他強調。</p> <p>從公司策略角度，他經常留意三件事，第一件事是產品，一方面得不斷觀察競爭對手的產品與自家產品的差別，確定自家產品有足夠的優勢，另一方面得不斷尋找產品面可以互補的夥伴。</p> <p>第二件事則要對整體市場發展，保持敏銳度。尤其Appier是國際性企業，不同國家的市場特性不同，得從中找出需要更加在地化的發展重點。例如，歐美國家比較能夠接受自助式的服務形式，讓企業用戶自行操作，只有在用戶不會的時候才提供顧客支援，「甚至大型企業也可以接受這個方式，企業的IT自己就有能力客製。」他觀察，但亞洲對於較複雜的產品，還是需要詳細的顧客支援，例如需要有專人協助顧客使用工具，或是附贈試用期，讓亞洲企業先練習。第三件事則是顧客的聲音。「為了規畫全球發展策略，找出市場特定的目標客群非常重要，」所以，當他剛加入Appier擔任策略長時，花了很多時間與產品線主管以及Appier全球銷售的主管，了解各地的市場狀況。不只傾聽顧客的聲音，「業務與顧客支援團隊的意見也很重要。」張哲緒表示，業務人員可以知道顧客第一線的痛點，而顧客支援團隊則能了解顧客真正使用時遇到的困難，以及對產品功能真實的喜好。</p> <p>「SaaS是一種人本的科技事業，不是提供基礎架構，也不是維運資料中心，而是提供應用的服務，不只技術要強，還要以人為本，了解用戶端如何使用。」這也是他在醫療產業的體會。</p> <p>不只訂定公司發展策略，透過併購來成長，也是張哲緒的另一項重要任務。早在併購Woopra之前，張哲緒指出，Appier就希望提高在CDP（顧客數據平臺，Customer Data Platform）市場的競爭力。但是，「CDP市場不斷改變，我們想要推出新世代的CDP。」張哲緒透露，這是Appier布局CDP的策略目標。</p> <p>有了策略目標後，第一步要開始思考什麼是新一代CDP產品，需要哪些功能，又有哪些是現有CDP產品無法做到的需求？張哲緒率領團隊，花了很長一段時間研究，從三個方向著手。</p> <p>張哲緒先從顧客了解有哪些CDP需求沒有得到滿足，接著再從行銷科技市場來觀察CDP產品的發展趨勢，第三步則是搜集各大主要CDP產品供應商的產品功能和特色，歸納這三類資料後，張哲緒用一套解決方案架構圖（Solution Architecture）來組合上述的功能和特色，就像是用來描述系統由下而上的技術層次和每一層功能元件一樣，張哲緒畫出了次世代CDP應該有的功能架構，甚至也稍微想像出每一個不同架構的模組，應該發展成什麼樣程度的能力。</p> <p>最後，張哲緒將Appier現有產品線和功能，放到這個解決方案架構中來比對，找出Appier需要增強的地方，「這些不足之處，就是採取併購手段可以瞄準的目標。」他說。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1118-CXO-600.jpg" style="width: 600px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">攝影／洪政偉</span></span></p> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 22px;"><strong>SaaS是一種人本的科技事業，不是提供基礎架構，也不是維運資料中心，而是提供應用的服務，不只技術要強，還要以人為本，了解用戶端如何使用。──Appier策略長張哲緒</strong></span></span></p> <p><span style="font-size:28px;"><strong>如何在CDP競爭紅海中勝出，靠這三大強項創造競爭力</strong></span></p> <p>如何在上百家業者競爭的CDP市場勝出，「必須與眾不同，而且要有明確定位的強項。」張哲緒指出，Appier擅長AI，這可以成為競爭優勢的第一個強項，而第二個想要主打的強項則是超強視覺化能力。</p> <p>除此之外，Appier還想到了第三個可以主打的強項是「Time to Value。」張哲緒解釋，很多企業只是將CDP視為顧客資料的儲存庫，等到需要分析時，還是得將資料匯出到第三方工具。「Time to Value」是指，從顧客開始使用，到感覺獲得某種價值的時間，「這個時間越短，企業越能感受到資料整合的效益。」因為AI是Appier的擅長，所以，在選擇併購對象時，張哲緒反而不在意對方的AI能力，而更看重其餘兩項「視覺化」和「Time to Value」的特色。</p> <p>張哲緒第一次接觸Woopra時，兩件事讓他印象非常深刻，這間10年的公司，團隊對於產品非常執著，從視覺化機制，流程還有設計小細節都能反映出十年的成熟度，「這是我第一個印象深刻的地方」，第二的就是對方的執行長，Elie Khoury善長工程和產品，也是身兼銷售的全方位人才，有很好的溝通能力。「評估一家併購對象，除了產品，財報，還要看人看文化。」Woopra執行長讓張哲緒對這家公司有很高的評價。</p> <p>後來，兩個人也成了好朋友，在併購過程中，以夥伴的角度共同討論整合和未來願景，這正是張哲緒多次親自南下面對面討論的緣故。</p> <p>Woopra有幾項特色非常吸引Appier，一是已經具備與大型資料庫的串接能力，也具備資料統合機制，可以透過一些判斷規則，來分辨不同資料庫中的同一個顧客資料，來確保顧客資料整併後的一致性。</p> <p>再者，Woopra擅長追蹤網站上的使用者行為，有一套獨特追蹤程式碼機制，嵌入網頁後，可以做到幾乎即時追蹤使用者的行為。第三個特色是分析模組的介面不僅漂亮又具備高度使用者友善的設計。「資料量不多的情況下，一天就可做到資料整合，甚至完成一些基礎的分析，可以視覺化的呈現使用者的旅程。」張哲緒補充，雖然，Woopra不擅長AI，但剛好可以符合，Appier想要補足的次世代CDP兩大強項。而Woopra也想要引進AI技術到產品中，雙方擅長的市場也可以互補，Appier擅長亞洲，而Woopra則在歐美市場有較深的經營。</p> <p><span style="font-size:28px;"><strong>從接觸第一天就開始思考併購後整合的可能性</strong></span></p> <p>為了讓併購完成後的整合順利進行，「從看到對方的第一天，就要開始思考如何整合，有整合的可能性才會開始考慮。」張哲緒強調。到了併購快要結束前2到3個月，Appier組成了一個保密的跨部門小組，涵蓋了產品部門、工程部門、資料科學家的主管，開始思考併購後的整合計畫，每周至少開會一次。</p> <p>因為Appier是日本上市公司，必須符合繁多的法尊要求，隨時留意有哪些資料需要如期向主管機關呈報，除了併購小組成員，也不能對外透露任何訊息。</p> <p>其中一項重要事前工作是，得先撰寫未來產品藍圖，包括併購後3個月、6個月、12個月和24個月這四個階段，在完成併購前，Appier併購小組就先完成了這個次世代CDP產品的藍圖。</p> <p>有些需要優先完成的項目，例如知識轉移或基礎架構監控，難度不夠但又必須完成，就放入3個月的計畫中。6個月計畫則進行基本整合，到了12個月則要進行整合和新功能開發，而24個月計畫則著重在更廣泛的產品整合，短期計畫比較詳細，長期計畫則以大方向為主。</p> <p>這個產品藍圖，不只是列出需要的功能，還要預估每個功能需要的人力，以及評估Appier是否有足夠的人力，甚至要考慮功能之間的相依性和侷限，來安排整合與開發的優先順序。</p> <p>「當時有一個超大的試算表，列出產品藍圖上每一個項目的規格、需要多少工程師，多少資料科學，以及多久的開發時間。」張哲緒強調，這是一個非常龐大的規畫工作。</p> <p>併購完成後，這個產品藍圖才開始執行時，採取敏捷迭代方式持續演化。「花足夠的時間建立藍圖，可以提供好的基礎，這個從0到1的基礎非常重要。」張哲緒強調。不只產品，也要注重人的整合，這是在併購前要先規劃，等到併購完成後開始執行的重點，一方面要提高新團隊的歸屬感，另一方面要讓原有Appier成員認識新團隊。</p> <p>「併購可以讓一家新創，在短時間內，具備新的能力，加入超強的團隊，擴大顧客的基礎。」張哲緒強調：「併購策略運用得當，是非常有威力的策略。」</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 關鍵人物 </span></strong></span></p> <p><strong>Appier策略長張哲緒</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司發展小檔案 </span></strong></span></p> <p><strong>Appier（沛星互動科技）</strong></p> <p><strong>創立於2012年的Appier，是一家鎖定數位行銷領域提供AI服務的SaaS公司，也是臺灣第一家在東京上市的軟體獨角獸。在全球共有17個營運據點，分布在北美、歐洲、大中華、東北亞、東南亞和澳洲等地，服務客戶數超過1,300家企業，每天處理近300億筆預測。近年積極透過併購來加速成長，先後併購了印度新創、日本新創、臺灣新創和美國成立十年的行銷科技公司。</strong></p> <p>執行長暨共同創辦人：游直翰</p> <p>營運長暨共同創辦人：李婉菱</p> <p>技術長暨共同創辦人：蘇家永</p> <p>業務重點：鎖定數位行銷領域提供AI服務的SaaS公司。服務客戶數超過1,300家企業，每天處理近300億筆預測。</p> <p>據點：全球在北美、歐洲、大中華、東北亞、東南亞和澳洲等地共有17個營運據點</p> <p>營收：2022年約194億日圓</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司大事紀 </span></strong></span></p> <p>2012年：在臺北成立Appier</p> <p>2014年：推出CrossX廣告解決方案，在新加坡設立分公司和越南胡志明市設立分公司</p> <p>2014年：於澳洲雪梨、菲律賓馬尼拉、孟買、新德里、雅加達、香港和韓國首爾設立分公司，以及馬來西亞吉隆坡辦事處</p> <p>2017年：推出以AI技術為基礎的資料科學平臺AIXON。於泰國和日本大阪設立分公司</p> <p>2018年：8月併購印度的Qgraph公司，並推出以AI驅動的主動客戶互動平臺AIQUA</p> <p>2019年：推出AI遊戲行銷解決方案Aictivate，10月併購日本AI新創Emotion Intelligence，並推出 AiDeal電商促購解決方案</p> <p>2020年：擴展業務進軍美國及歐洲</p> <p>2021年：3月於東京證券交易所Mothers創業板掛牌上市，5月收購臺灣新創BotBonnie並將其全通路對話商務服務，納入Appier全漏斗解決方案</p> <p>2022年：10月收購美國公司Woopra，12月完成東京證交所Prime市場掛牌，並且宣布推出AIRIS新一代AI驅動顧客數據平臺</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1118-cxo-960-v2.jpg" width="960" height="420" alt="" title="Appier策略長張哲緒　（攝影／洪政偉）" /></div></div></div>
2023/2/27 00:00作者王宏仁https://www.ithome.com.tw/people/155689
上雲同樣要注重資料備份
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著個人電腦系統的日漸成熟與穩定，若不是這幾年來透過加密方式綁架檔案的勒索軟體肆虐，恐怕越來越少人會注意到資料備份這項工作的重要性。</p> <p>而對於企業而言，因為許多應用系統與網路儲存空間處於多人共用的狀態下，平時對於資料備份這方面的需求與意識，都是相當明確的，每家公司或許不會要求每一臺電腦都要做，但至少對於重要的伺服器、應用系統、儲存設備，或是個人電腦，應該都會實施定期的備份作業，以防出現各種意外而導致料遺失或損毀。</p> <p>這些都是在公司內部網路環境進行的工作，然而，正逢企業擴大IT應用上雲的比例日漸增加，由於其IT架構與操作方式的差異，IT人員需要一些時間了解、適應這樣的變化，並調整既有維運管理方式，再加上雲端服務具有相對較理想的規模延展性，以及服務可用性，導致大家不自覺地忽視了資料備份的必要性。</p> <p>目前企業上雲的比例有多高？根據PwC最近公布的2023雲端業務調查結果，運用雲來提供IT服務的公司（Cloud-powered companies）占了一半，若單看IT營運作業搬移到雲端服務，或是推動相關的遷移、架構現代化、雲端原生的用法時，透過雲端服務來進行這些工作的公司，比例分別是68％、70％，而採用其他方式的公司比例為35％、34％；而在推動整個企業的轉型時，透過雲端服務來進行這些工作的公司比例略高，增加到77％，採用其他方式的公司比例也呈現略高的狀態，可達到48％。</p> <p>就資料量而言，放在公有雲環境的資料量有多大？根據新創儲存廠商Wasabi委託市場研究機構Vanson Bourne的近期調查，平均而言，2024年全球有多達43％的資料存放在公有雲環境。</p> <p>不過，這當中也面臨IT資源優先度彼此排擠的挑戰。例如，有51％企業表示，上雲是為了支援ERP、CRM關鍵業務應用系統，38％與41％的企業將公有雲用於備份與歸檔儲存庫的比例；關於增加公有雲儲存支出的因素上，有56％的企業是用在基礎架構遷移，也就是IT層面的計畫，有45％用於數位轉型這類業務計畫，至於備份與災難復原這類資料保護計畫的比例則是排名第三，比例為44％。</p> <p>若單就企業採用雲端備份服務（Cloud-powered backup），以及雲端災難復原服務（Cloud-powered disaster recovery）而言，在未來這幾年仍有增長的空間。</p> <p>根據備份軟體廠商Veeam公布的Data Protection Trends Report 2023調查報告來看，採用雲端服務的比例目前上看8成，而運用自行維運管理的系統或多個資料中心的比例，可能減至2成。</p> <p>值得注意的是，關於雲端服務環境資料保護成效的認知上，目前也存在著某種迷思，使得用戶誤以為不需要進行資料備份作業。</p> <p>例如，在Veeam另一份Cloud Protection Trends for 2023調查報告提到，對於雲端業者代管的檔案共用服務與資料庫服務，認為其具備高耐用度或不需要備份的企業比例，分別是34％與15％。事實上，IT服務本身的高可用性確保，以及資料能否妥善保存，兩者雖然有些地方彼此相依，但不能混為一談。</p> <p>要確保IT系統或服務快速恢復正常運作的方式，與促使資料內容快速復原的方式並不相同，前者著重的是整體韌性，或許能夠連同所儲存的資料一起復原，後者聚焦在能否正常存取原本儲存的資料，可能需要就地或至其他位置進行全部或局部的內容復原。</p> <p>簡而言之，備份資料這項工作仍須持續落實，不能因為許多系統與資料上雲是趨勢，以及公有雲環境具備極高的服務可用性，就天真地認為能獲得萬無一失的擔保。</p> <p>身為租戶的我們，必須務實看待並了解自身應負起的責任，並且主動、積極採取應有的各種防護與備援機制，才能有效因應與管理風險，以免造成無可挽回的遺憾。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%82%99%E4%BB%BD">備份</a></div><div class="field-item odd"><a href="/tags/%E5%85%AC%E6%9C%89%E9%9B%B2">公有雲</a></div><div class="field-item even"><a href="/tags/%E9%9B%B2%E7%AB%AF%E5%82%99%E4%BB%BD">雲端備份</a></div><div class="field-item odd"><a href="/tags/%E9%A2%A8%E9%9A%AA%E6%8E%A7%E7%AE%A1">風險控管</a></div></div></div>
2023/2/26 16:11作者李宗翰https://www.ithome.com.tw/voice/155686
盜版Mac剪輯軟體Final Cut Pro內含惡意挖礦程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供蘋果設備管理方案的Jamf發現<a href="https://www.jamf.com/blog/cryptojacking-macos-malware-discovered-by-jamf-threat-labs/">macOS出現新的惡意挖礦威脅</a>，當用戶嘗試從非官方授權管道，下載盜版剪輯軟體Final Cut Pro時，就可能下載到遭加料的軟體版本，一旦用戶點擊盜版Final Cut Pro的圖標時，木馬可執行檔案便會立刻啟動，開始利用受害者電腦替駭客挖礦。</p> <p>盜版Final Cut Pro中附帶的挖礦軟體是一個稱為XMRig的命令列加密貨幣挖礦工具，研究人員提到，XMRig通常被用於合法的目的，但是由於XMRig為開源程式，因此也常被駭客用於改造成惡意工具。</p> <p>而Jamf發現盜版的Final Cut Pro經過非Apple官方的修改，會在後臺執行XMRig。該惡意挖礦軟體使用i2p（Invisible Internet Project）進行通訊，而i2p是一個相當於Tor的私人網路層，能夠匿名流量，該惡意挖礦軟體便會透過i2p下載惡意元件，並且將獲得的加密貨幣發送到駭客的錢包。</p> <p>研究人員到BitTorrent種子分享網站海盜灣鏡像站點，搜尋到了帶有惡意挖礦軟體的Final Cut Pro檔案，追溯種子發布的用戶，該用戶早從2019年開始就上傳一系列帶有惡意挖礦程式的軟體種子。研究人員提到，雖然之前資安公司趨勢科技的安全報告，也指出Mac上的Adobe Photoshop CC 2019有非常類似的情況，但是讓人好奇的是，為什麼這個惡意軟體家族能夠規避偵測，甚至連Mac上的活動監視器（Activity Monitor）都看不到。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/cryptojacking-macos-malware-discovered-by-jamf-threat-labs-03.png" style="width: 580px;" /></p> <p>研究人員發現惡意挖礦軟體的部分版本帶有一段腳本，該腳本是一個持續的迴圈，每三秒鐘會檢查活動監視器的狀態，當惡意軟體發現了活動監視器，便會立刻終止所有惡意程序，因此即便是受害者觀察到Mac在未使用情況仍在發熱，但是卻從活動監視器中看不出所以然，惡意挖礦軟體會在用戶下一次開啟應用程式時，才又再次運作。</p> <p>另外，在更新版本的惡意挖礦軟體腳本中，駭客使用內建bash指令exec啟動惡意挖礦程序，並在指令上帶入-a旗標對該程序應用自定義名稱，以mdworker_local或是mdworker_shared假程序名以假亂真，規避用戶注意。</p> <p>雖然Apple在macOS Ventura強化了GateKeeper對程式碼簽章的檢查，而GateKeeper確實也能夠阻擋盜版Final Cut Pro的運作，但是與此同時，後臺惡意挖礦軟體卻能正常運作。Apple目前已經更新Mac上的防毒程式XProtect，以可偵測到Jamf報告中的惡意挖礦軟體變體，並且避免這些惡意軟體繞過GateKeeper的檢查。</p> <p>Jamf起初發現這個惡意挖礦程式時，在VirusTotal上並沒有被其他資安廠商偵測到，一直到2023年1月少數廠商才開始偵測到該惡意軟體，過去macOS上最常見的惡意軟體類型是廣告軟體，但Jamf提到，最近挖礦劫持越來越普遍，可能是因為挖礦需要大量的運算能力，Mac上採用更強大的Apple自家設計晶片，使其成為挖礦劫持有吸引力的目標。</p> </div></div></div>
2023/2/26 15:22作者李建興https://www.ithome.com.tw/news/155662
ChatGPT造謠受害者出現，Open Cage必須不停向用戶解釋不存在的API功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由OpenAI開發的人工智慧聊天機器人ChatGPT，在提供給用戶的程式碼中，錯誤使用Open Cage的API，使用戶誤會該公司的API能夠根據電話號碼來查詢手機位置，但是Open Cage的產品Geocoding API，實際上是能夠將座標轉換成地點的服務，<a href="https://blog.opencagedata.com/post/dont-believe-chatgpt">ChatGPT所提供的錯誤資訊</a>，導致部分Open Cage用戶錯誤理解該公司服務，甚至認為該公司的服務失常。</p> <p>隨著ChatGPT的流行，有越來越多用戶從ChatGPT聽說Open Cage這家公司的服務，使得ChatGPT成為Open Cage新用戶的穩定來源，Open Cage從新用戶在註冊流程中的回應，知道了這件事。</p> <p>原本是值得開心的事，但是Open Cage發現不少來自ChatGPT的新用戶行為，與其他免費試用者的行為不同，這些新用戶僅稍微試用Geocoding API，便完全停止使用，官方聯絡部分新用戶想了解原因，卻得到該API沒有正確運作的回應。</p> <p>經深入調查後，官方發現來自ChatGPT的新用戶，皆錯誤使用Geocoding API，期望透過電話號碼反查手機位置，Open Cage表示，這並非Geocoding API的功能，他們沒有提供過這樣的服務，也沒有計畫提供這種服務，事實上他們在技術上也做不到。</p> <p>用戶只要向ChatGPT提問「reverse phone number lookup script」，便會得到一段使用Open Cage Geocoding API的Python程式碼。由於ChatGPT除了給出程式碼還輔以文字說明，因此讓許多用戶信以為真。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/chatgpt-phone-lookup%20(1).png" style="width: 500px;" /></p> <p>Open Cage表示，現在每天仍然會收到許多新用戶的客服提問，詢問API無法正確運作的原因，而這個答案來自YouTube上錯誤的教學影片，只不過多數人對其他人類給出的答案抱持質疑態度，但是面對人工智慧卻傾向相信。</p> <p>經實測，目前用戶在ChatGPT上提問，已經不會出現這個錯誤解答，ChatGPT會以Reverse Phone Lookup Unavailable為題，解釋由於隱私和道德因素，因此無法給出答案。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%201659%20-%20Reverse%20Phone%20Lookup%20Unavailable%20-%20chat_openai_com.png" style="width: 500px;" /></p> </div></div></div>
2023/2/26 15:45作者李建興https://www.ithome.com.tw/news/155675
【資安日報】2023年2月24日，1.5萬個NPM套件含有網釣URL連結、逾4成企業2022下半發現Log4Shell…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自動化大量上傳惡意套件的攻擊行動再度出現！最近有人在數個小時上架超過1.5萬個NPM套件，其共通點是包含網釣網站的連結，而且，駭客為了取信受害者，還在這些網站上顯示假的用戶評論。</p> <p>在2021年底揭露的漏洞Log4Shell，當時就有資安專家認為該漏洞難以修補，而有可能成為駭客偏好的目標，如今有研究報告印證了這樣的推測──去年下半超過4成企業遭到相關漏洞攻擊。</p> <p>隨著居家工作普及，針對員工下手來取得入侵企業的管道也不時有事故發生。對此，美國國家安全局也提出警告，並發布相關的防護指南。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://checkmarx.com/blog/how-npm-packages-were-used-to-spread-phishing-links/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">1.5萬個NPM套件含有網釣URL連結</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Group-2670-.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Group-2670-.jpg" style="width: 300px; float: right;" /></a>資安業者Checkmarx揭露透過NPM套件的大規模網釣攻擊行動，有人透過自動化工具，於數個小時裡在NPM上架了超過1.5萬個套件，一旦開發人員部署了這些套件，攻擊者就會透過藉由推薦特定的電子商務網站來牟利。</p> <p>在攻擊的過程中，駭客會先將受害者導向釣魚網站，這些網站宣稱提供禮物卡、點數等獎勵做為誘因，要求瀏覽的用戶輸入使用者名稱或是電子郵件信箱，然後再將他們導向上述的電商網站。值得留意的是，為了取信受害者，這些網站多半設置留言區，並有「用戶」表示收到該網站提供的「禮物」。</p> <p><a href="https://www.fortinet.com/blog/threat-research/fortiguard-labs-threat-report-key-findings-2h-2022"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾4成企業2022下半發現Log4Shell相關攻擊</span></strong></a><strong style="font-size: 16px;"> </strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/lr51EWBkfE_20230224-1807-41456.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/lr51EWBkfE_20230224-1807-41456.png" style="width: 300px; float: right;" /></a>資安業者Fortinet發布2022年下半全球資安威脅報告，當中提及Log4j重大漏洞Log4Shell仍是駭客偏好利用的漏洞之一，他們在41%企業偵測到相關攻擊行動，受害組織又以科技產業、政府部門、教育機構最常見。</p> <p>從全球不同的地區來看，科技產業都占有約一成以上的比例而在各區域受害最嚴重，但其他產業的情況在不同地區又有變化，例如，排行第二的產業，在亞洲、歐洲地區是製造業，非洲則是金融業，而在北美洲及大洋洲是教育業，南美洲則是政府機關。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/02/21/2022-in-review-ddos-attack-trends-and-insights/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露2022年DDoS攻擊態勢，駭客偏好採取僅一小時以內的短時間攻擊策略</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ddosv1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ddosv1.jpg" style="width: 300px; float: right;" /></a>微軟針對2022年的DDoS攻擊揭露他們的分析結果，該公司平均一天緩解1,435次攻擊，高峰出現在9月22日，有2,215次。其中，全年針對該公司基礎設施而來的攻擊行動超過52萬次。研究人員指出，TCP洪水攻擊仍是DDoS攻擊最常見的手法，美國、印度是最主要的攻擊目標。</p> <p>但值得留意的是，攻擊者近年來採取短時間攻擊的做法越來越普遍，平均攻擊時間不到一個小時，而光是只維持1至2分鐘的攻擊行動就有四分之一，但另一方面，他們也攔截到每秒3.25 TB的流量高峰。研究人員認為，駭客採取這種攻擊時間短、攻擊強度較高的做法，是因為防禦者更難透過相關機制因應。</p> <p><a href="https://www.ft.com/content/ad987139-e8ac-427d-9a07-25e1dd91d76b"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客組織Nevada Group鎖定5千個美國與歐洲的組織</span></strong></a></p> <p>根據金融時報的報導，名為Nevada Group的勒索軟體駭客組織約自3個星期前，開始試圖利用雲端伺服器的漏洞，癱瘓近5千個美國、歐洲組織的網路環境，並向受害組織索討2個比特幣或5萬美元的贖金。</p> <p>該新聞媒體聯繫部分受害組織，這些組織表示因執法部門要求而不願說明，受害組織包含美國與匈牙利大學、義大利物流及營建公司、德國的製造商。根據駭客招募人才的廣告，駭客組織很可能是由俄羅斯及中國的駭客組成。而這些駭客所使用的勒索軟體，疑似就是鎖定VMware虛擬化平臺的ESXIArgs。</p> <p><a href="https://www.bleepingcomputer.com/news/security/fruit-giant-dole-suffers-ransomware-attack-impacting-operations/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">大型農產品經銷商Dole遭勒索軟體攻擊，部分業務受到影響</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/331283208_870275937592553_2320417312413983860_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/331283208_870275937592553_2320417312413983860_n.jpg" style="width: 300px; float: right;" /></a>2月22日跨國農產品經銷商Dole表示遭到勒索軟體攻擊，並指出這起事故對他們的營運影響有限。</p> <p>但根據資安新聞網站Bleeping Computer的報導，一家位於美國德克薩斯州的雜貨店公布Dole給他們的通知信，內容提及該公司被迫關閉北美的生產工廠，而導致供貨受到影響。究竟實際情況為何？仍有待進一步釐清。</p> <p><a href="https://www.welivesecurity.com/2023/02/23/winordll64-backdoor-vast-lazarus-arsenal/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客Lazarus利用後門程式WinorDLL64發動攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Winor64DLL_communication_diagram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Winor64DLL_communication_diagram.png" style="width: 300px; float: right;" /></a>資安業者ESET揭露名為WinorDLL64的後門程式，並指出這是北韓駭客組織Lazarus採用的惡意軟體Wslink變種，其中不少受害者位於南韓。</p> <p>駭客利用此後門程式來廣泛收集受害電腦的系統資訊，並洩露、刪除，甚至竄改檔案。研究人員指出，此惡意軟體的攻擊行動具有高度針對性，在歐洲、北美、中東僅出現少數災情。</p> <p><a href="https://www.jamf.com/blog/cryptojacking-macos-malware-discovered-by-jamf-threat-labs/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">不要擅自安裝破解版Final Cut Pro影音編輯軟體！有人藉此散布挖礦程式</span></strong></a></p> <p>資安業者Jamf揭露鎖定Mac電腦而來的挖礦軟體攻擊行動，駭客假借提供知名影音編輯軟體Final Cut Pro破解版的名義，散布挖礦軟體XMRig。</p> <p>研究人員指出，駭客所使用的惡意軟體透過匿名網路Invisible Internet Project（I2P）與C2連線，而能規避網路流量的偵測；而此惡意程式另一個掩人耳目的方法，就是在用戶執行影音編輯軟體才會執行挖礦的作業。</p> <p><a href="https://securityintelligence.com/posts/2023-x-force-threat-intelligence-index-report/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">後門程式是2022年企業首要威脅</span></strong></a></p> <p>勒索軟體橫行多年，但有資安研究團隊指出，企業面臨最嚴重的資安威脅其實是後門程式。IBM旗下資安研究團隊公布2022年威脅情報的調查結果，他們看到的攻擊事件裡，有21%使用後門程式，但有17%為部署勒索軟體。研究人員指出，後門程式是現今暗網的熱門商品，要價可能高達數千美元，相較於盜賣信用卡資料每筆約10美元要來得有利可圖。</p> <p>但這並不代表企業就能對勒索軟體掉以輕心，因為，他們統計從2019年至2021年，勒索軟體攻擊所需的時間大幅減少，從2019年平均超過2個月，到了2021年降至只有4天，這代表企業對於這類威脅需要有更快的應變能力。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/cisco-patches-high-severity-vulnerabilities-in-aci-components/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科修補應用程式中心基礎架構系統的高風險漏洞</span></strong></a></p> <p>2月22日思科發布資安通告，其中有2個是高風險層級的漏洞，皆與軟體定義網路解決方案Application Centric Infrastructure（ACI）的元件有關。其中一個是CVE-2023-20011，該漏洞存在於Application Policy Infrastructure Controller（APIC）與Cloud Network Controller的網頁管理介面，未經身分驗證的攻擊者可用於遠端發動跨網站請求偽造（CSRF）攻擊，CVSS風險層級為8.8分。</p> <p>另一個高風險漏洞是CVE-2023-20089，存在於執行ACI模式的Nexus 9000系列光纖交換器，起因是解析連接層探索協定（LLDP）封包過程出現錯誤，攻擊者可發送偽造的LLDP封包來利用漏洞，進而造成目標設備記憶體洩露，並出現服務中斷（DoS）的現象，CVSS風險層級為7.4分。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/3304674/nsa-releases-best-practices-for-securing-your-home-network/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國國家安全局提供居家辦公的網路安全建議，指出路由器是重要環節</span></strong></a> <strong style="font-size: 16px;"> </strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/BelJJbqtNL_20230224-1145-33801.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/BelJJbqtNL_20230224-1145-33801.png" style="width: 300px; float: right;" /></a>隨著居家辦公已成為常態，家用網路的安全也變得更加重要。對此，美國國家安全局（NSA）於2月22日，發布家用網路的保護指南，當中特別提及路由器的資安防護，理由是這類設備通常是存取家用網路的重要環節，而有可能成為駭客鎖定的頭號目標。</p> <p>NSA認為，使用者應為路由器設備定期安裝修補程式，而且最好是能透過自動更新來執行相關作業，若是路由器即將達到產品生命週期結束（EOL）的情況，也應汰換來維持家用網路的安全。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/ukraine-says-russian-hackers-backdoored-govt-websites-in-2021/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客利用2021年埋入的後門對烏克蘭政府機關發動攻擊</span></span></strong></a></p> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/clasiopa-materials-research"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">材料研究機構遭駭客組織Clasiopa鎖定</span></span></strong></a></p> <p><a href="https://www.reversinglabs.com/blog/beware-impostor-http-libraries-lurk-on-pypi"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客假借提供改良版PyPI套件的名義散布惡意程式</span></span></strong></a></p> <p><a href="https://www.synopsys.com/content/dam/synopsys/sig-assets/reports/rep-ossra-2023.pdf"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">近半數專案的程式碼基礎含有高風險弱點</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155652">【2023年2月23日】研究人員找到WAF可被繞過的盲點、駭客假借提供ChatGPT應用程式的名義散布惡意軟體</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155635">【2023年2月22日】新加坡與中國的大型資料中心用戶帳密遭竊、殭屍網路MyloBot每天感染逾5萬臺電腦</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155613">【2023年2月21日】葡萄牙自來水公司傳出遭到勒索軟體LockBit攻擊、加密貨幣平臺Coinbase員工帳密遭駭</a></strong></p> </div></div></div>
2023/2/24 16:38作者周峻佑https://www.ithome.com.tw/news/155663
IBM在自家雲上打造相當全球第15快的AI超級電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM已經有2座全球前10大的超級電腦系統，如Summit和Sierra，但隨著企業轉向以雲端為主的IT基礎架構，藍色巨人也亟欲展示其雲端服務的能力。<a href="https://research.ibm.com/blog/AI-supercomputer-Vela-GPU-cluster" target="_blank">IBM研究院本周公布</a>去年在自家IBM Cloud上建立專為執行人工智慧（AI）應用的雲端超級電腦Vela，其速度相當於全球第15大的超級電腦。</p> <p>IBM指出，超級電腦和AI本來屬於兩種不同領域；超級電腦多半是建立在裸機節點、高效能網路硬體（如InfiniBand、Omnipath和Slingshot）、平行檔案系統及其他高效能運算（HPC）元件。但超級電腦並非為AI設計，而是為了建模或模擬任務，如執行大氣變化模擬、材料開發或蛋白質摺疊等醫療研究。如果要用於執行AI模型建立，傳統設計會使這類「AI超級電腦」的建造成本大為增加，且限制部署彈性。IBM研究院去年就在IBM Cloud上打造了第一臺雲端原生、為AI最佳化的「AI超級電腦」Vela，專門用於大量部署AI應用任務，而且已在2022年5月上線運行。</p> <p class="rtecenter"><a href="https://dwzke5c1hcizv.cloudfront.net/image?url=https%3A%2F%2Fresearch-website-prod-cms-uploads.s3.us.cloud-object-storage.appdomain.cloud%2FCloud_blog_Final_01_61eb91d091.jpg&w=1080&q=75" target="_blank"><img alt="" src="https://dwzke5c1hcizv.cloudfront.net/image?url=https%3A%2F%2Fresearch-website-prod-cms-uploads.s3.us.cloud-object-storage.appdomain.cloud%2FCloud_blog_Final_01_61eb91d091.jpg&w=1080&q=75" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／IBM</span></span></p> <p>IBM說明，Vela解決了效能及部署彈性的兩難。在選擇AI超級電腦基礎架構上，IBM選擇將節點配置為VM（virtual machine），而非配置為裸機，理由是前者更有彈性，可利用OpenShift在幾分鐘內動態擴大或縮減AI叢集或將運算資源在不同工作負載之間轉移。但團隊面臨的挑戰是在VM環境下配置出裸機般的效能。</p> <p>Vela每個節點具備80GB A100 GPU，2顆第2代Intel Xeon Scalable處理器（Cascade Lake）、1.5TB DRAM及4個3.2 TB NVMe磁碟，IBM表示，超大記憶體及儲存空間是為了能訓練大型模型。為支援分散式訓練，運算節點之間以多道100G網路介面卡相連，且使用IBM Cloud的VPN網路功能，確保連線安全性。</p> <p>IBM表示，在IBM研究院和PyTorch的合作專案中，使用80GB記憶體使團隊得以使用更大批次資料，以及Meta的FSDP（Fully Shared Date Parallel）訓練策略，進行分散式訓練任務，效率提升到高達90%以上，總參數超過100億個。</p> <p>此外，由於支援VM擴充（Virtual Machine Extensions，VMX）、Single-root IO virtualization（SR-IOV）及大量頁面的裸機配置，使Vela的VM整體效能耗損減到低於5%。IBM說這是他們已知最低的耗損率，也讓其AI超級電腦效能逼近裸機。IBM研究院希望展現，在標準的乙太網路雲端基礎架構上，也能輕易執行數十億參數的AI模型。</p> <p><a href="https://www.nextplatform.com/2023/02/17/ibm-builds-an-ai-supercomputer-on-the-cheap-in-its-cloud/" target="_blank">The Next Platform</a>估計，以Vela現有規格，其標竿測試的效能可達每秒27.9 petaflops，若按2022年11月最新的全球五百大電腦排行，約等同於全球第15大。</p> </div></div></div>
2023/2/24 14:13作者林妍溱https://www.ithome.com.tw/news/155660
美著作權局撤銷出自AI服務Midjourney的圖片著作權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國著作權局（US Copyright Office）本周表示，由AI服務Midjourney產製的圖片並不被視為人類作品、不享有著作權保護，因而撤銷了去年該局提供給某個著作的版權許可。</p> <p>本案是針對美國作家Kristina Kashtanova對其漫畫著作《Zarya of the Dawn》的文字及封面圖片版權判定案件。Kashtanova去年9月向美國著作權局申請版權，很快獲得了版權許可。但隨後著作權局發現Kashtanova在其社群平臺上透露這本書的封面利用Midjourney產製而成，該局認為，作者提交申請時並未完整提供資訊，而在10月告知作者將撤銷版權許可，除非她能提出充份抗辯理由。Kashtanova 11月透過律師提出理由，包括雖然畫是由Midjourney產出，但每個部份都是作者指導，Midjourney只是輔助工具。</p> <p><a href="https://copyright.gov/docs/zarya-of-the-dawn.pdf" target="_blank">本周二著作權局在回覆Kashtanova律師的信中指出</a>，該局認定Kashtanova為本書文字及視覺元素的選擇、調整與安排的作者，享有版權保護，但是書中由Midjourney產出的封面等圖片，則不被視為人類創作，故不能享有保護。</p> <p>著作權局引述美國《著作權法實務概要》（Compendium）的條文，指出由機器或機械流程在未經人類介入下自動產生的作品，不會被認可註冊。該局指出，雖然作者聲稱「引導」每幅圖的結構和內容，但作者提供的資訊顯示，圖片仍然是由Midjourney而非她本人創作。</p> <p>Kashtanova對此表示失望，<a href="https://www.theverge.com/2023/2/22/23611278/midjourney-ai-copyright-office-kristina-kashtanova" target="_blank">並強調不會放棄</a>。她說將會透過律師持續向當局主張，由Midjourney產生每幅圖片都是她創意的直接表現，也應獲得版權保護。</p> <p><a href="https://www.ithome.com.tw/news/149473" target="_blank">去年年初著作權局也同樣否決另一個AI系統Creativity Machine創作</a>，名為《接近天堂的入口》的畫不具備著作權。同樣地，2018年一隻猴子自拍的相片，也被以非人類創作為由，被認定非著作人。</p> </div></div></div>
2023/2/24 12:42作者林妍溱https://www.ithome.com.tw/news/155659
山寨ChatGPT App藉FB及Google Play Store散布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/alvierid/status/1625013930891304961" target="_blank">安全研究人員發現</a>臉書及Google Play Store出現冒充ChatGPT的惡意軟體，以在用戶手機及電腦散布惡意程式。</p> <p>ChatGPT去年11月以測試版形式上線，<a href="https://www.ithome.com.tw/news/155347" target="_blank">並在今年2月推出付費版ChatGPT Plus</a>，後者收取20美元月費。它可以幫忙寫程式、寫文章、或電子郵件，強大能力在用戶間引起話題。駭客則搭上這股風潮，誘騙用戶下載冒牌ChatGPT App。</p> <p>研究人員Dominic Alvieri發現數個冒牌程式出現在Google Play Store及第三方Android應用程式商店。在Google Play上，冒牌的ChatGPT還出現在搜尋結果頁的第一頁。雖然Google已移除了部份山寨軟體，但仍有部份還在平臺上。此外，網址為.org及.me的第三方應用程式平臺也被發現散布非官方版本的ChatGPT App或APK。另一個第三方App平臺自己的IP還代管了數個釣魚網站。</p> <p>研究人員也在臉書平臺上，發現駭客打造具有ChatGPT官方logo的臉書粉絲頁，誘騙用戶前往下載ChatGPT Windows版程式。點入後用戶會被導向網域名為chat-gpt-pc.online的網頁，實則下載竊密軟體Redline。</p> <p>另一家安全廠商Cyble則發現至少50個名字近似ChatGPT的惡意App，實則為各種惡意程式，包括簡訊詐騙程式、資料竊取程式。研究人員另外並偵測到多個以ChatGPT或OpenAI（ChatGPT的開發商）為名的惡意網站，像是chatgpt-go[.]online、chat-gpt-pc[.]online、openai-pc-pro[.]online，分別散布不同的竊密程式如Aurora、Lumma，以及以付費版ChatGPT Plus為名，竊取信用卡號碼的釣魚網站。</p> <p>ChatGPT是純粹線上服務，並沒有Windows或Android、iOS版App。它的官方網址為chat.openai.com。</p> </div></div></div>
2023/2/24 11:41作者林妍溱https://www.ithome.com.tw/news/155658
微軟釋出第一個.NET 8預覽版，改進AOT編譯效率、強化Linux支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/dotnet/announcing-dotnet-8-preview-1/">微軟釋出.NET 8第一個預覽版</a>，這個版本將是下一個.NET長期支援版本，預計會在11月的.NET大會上正式發表。.NET 8第一個預覽版使得NativeAOT編譯更高效率，提升雲端開發體驗，並且改進Linux支援。</p> <p>微軟針對控制臺應用程式，在.NET 7中加入NativeAOT，微軟提到，AOT（Ahead-of-Time）編譯是.NET的一個重要功能，因為可以大幅提升.NET應用程式的效能。開發者可以使用NativeAOT創建完全自包含的應用程式版本，如此應用程式就不需要使用獨立的Runtime，所有需要的元件都包含在單一檔案中，這個檔案的大小在.NET 8縮減，Linux版本的大小甚至可以較之前減少達50％。</p> <p>以Hello, World應用程式為例，.NET 7的NativeAOT自包含應用程式，Linux x64版本為3.76 MB，而Windows x64為2.85 MB，在.NET 8第一預覽版的大小分別為1.84 MB和1.77 MB。</p> <p>微軟發展.NET的目標之一，是要成為更為友善的雲端開發平臺和工具，為此.NET 8也改進了容器映像檔體驗。.NET讓開發人員可以使用容器映像檔，以輕量級且可移植的格式打包應用程式，方便將應用程式部署到雲中。</p> <p>在.NET 8第一預覽版中，容器預設Linux發行版更新為Debian 12，並且使用非根用戶執行容器映像檔，微軟提到，雖然容器基礎映像檔幾乎都是配置成以根用戶執行，不過該配置通常被沿用到生產中，並非是個好方法，但是要對每一個應用程式配置不同的使用者又很麻煩，而且容器映像檔並沒有提供適合容器工作負載的非根用戶。</p> <p>因此微軟在.NET 8的新作法，預設對所有容器映像檔以非根使用者執行，以提高安全性，並將預設連接埠從80改變成為8080。</p> <p>微軟也在.NET 8強化對Linux的支援，開發者現在可以在Linux上，直接從dotnet/dotnet儲存庫中建置.NET，這與紅帽（Red Hat）和Canonical用來建置.NET的方法一樣，使用dotnet/source-build來建置.NET Runtime、工具和SDK，微軟之後還會支援MacOS和Windows。</p> <p>微軟提到，過去Linux雖然也可以從原始碼建置.NET，但是需要從dotnet/installer的提交中創建一個原始碼壓縮檔案，來對應每一個版本，但現在已經不需要如此，儲存庫中就有每一個版本相對應的標籤。</p> <p>微軟也發布了帶有.NET 8的小型同捆映像檔Chiseled Ubuntu，這個版本Ubuntu檔案容量非常小，能夠大幅減少攻擊面，且沒有套件管理器和shell，且使用非根使用者權限，因此能夠減少多種類型的攻擊。</p> </div></div></div>
2023/2/24 11:09作者李建興https://www.ithome.com.tw/news/155655
Cloud周報第167期：美國防部將採用AWS可移動式雲端機房，來因應戰時大規模軍事應用需求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（02/16～02/22）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 模組化資料中心 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">整櫃資料中心帶著走！AWS為美國國防部推出模組化資料中心方案</span></strong></p> <p><strong><span style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/An-image-of-the-AWS-Modular-Data-Center-MDC-unit-750.jpg" style="width: 600px; height: 388px;" /></span></strong></p> <p>AWS最近為美國國防部推出模組化資料中心單元（Modular Data Center,MDC），目的是要讓軍隊部隊作戰斷網時，仍然可以使用到雲端服務，來執行大規模軍事應用，包括數據蒐集、分析，來掌握敵情創造戰場的制勝先機。</p> <p>AWS MDC外型就像是一個迷你貨櫃單元，簡單說就是一個可移動式AWS雲端機房，但與一般AWS機房不同的是，僅提供運算和儲存功能，在單一模組單元內，可以部署AWS Outposts 或AWS Snowball Edge邊緣設備，也能通過擴充模組單元增加其容量，單元本身提供了高可用的基礎設施，包括內部網路、冷卻和配電等，就像是一座迷你AWS資料中心，功能俱全，但可以隨身帶著走。</p> <p>運輸方式上，AWS MDC可以使用船舶、鐵路或卡車等不同運輸方式將MDC載運到指定的位置，除了陸地或海上運輸之外，也可以使用軍用貨機空運。到達地點後，等到部署完準備啟用才需要接電，因此具有高度機動性。</p> <p>雖然模組化資料中心單元不是新做法，但AWS指出，透過AWS MDC，企業不論身在何處都能使用AWS服務和API來執行低延遲應用，也能透過內建管理系統，監控和操作MDC內子系統。遇到網路達不到的偏遠地區或斷網環境，無法使用AWS Outposts連網時，也能透過Snowball Edge使用到AWS一部分服務執行原有工作負載，等到恢復網路之後，再將離線資料回傳雲端。AWS MDC也支援衛星網路通訊。目前AWS MDC已在美東西部政府雲上推出。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">DoCoMo </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 混合雲 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">日本電信商DoCoMo與NEC合作完成混合雲架構5G核網設計</span></strong></p> <p>日本大型電信商DoCoMo截至去年3月底，在日本已有1140萬戶5G用戶數，到2024年更要達到90%人口覆蓋率。為了提供高可用5G服務，除了採用傳統被電信備援設計之外，最近這家電信巨頭與NEC完成了混合雲架構5G核網設計，結合了AWS雲端和DOCOMO本地NVF（網路功能虛擬化）基礎架構，來實現建立5G核網的混合雲環境。這樣的好處是，可以將冗餘設計納入5G核網，使DOCOMO可以在本地和AWS的5G核網之間切換，不只是在網路用量尖峰時段，可以把流量工作負載卸載到AWS 來處理，一旦本地電信機房遇到天災與事故造成核網服務中斷，可以立即由公雲上的5G核網來接手，繼續提供原有電信網路服務。</p> <p>DoCoMo和NEC還完成了在AWS 最新Graviton3 處理器上執行NEC Edge UPF 的5G UPF軟體驗證，<span>提供用戶封包的路由和轉發</span>，可以讓5GC更低功耗方式用於物聯網和邊緣應用。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">賓士 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 車用OS </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">賓士發表整合晶片到雲端的新一代汽車作業系統MB.OS</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/preview-928x522.jpg" style="width: 600px; height: 333px;" /></p> <p>德國汽車大廠賓士（Mercedes-Benz）最近介紹他們為汽車軟體架構打造新一代MB.OS作業系統，完成了晶片到雲端（silicon-to-cloud）的全面整合，更把它視為是未來車用產品的核心，實現軟體化汽車</p> <p>賓士表示，新一代作業系統，將可以大大提升資訊娛樂體驗，也能加速自動駕駛採用，可以支援Nvidia Drive平臺和機器學習，來實現SAE 2 和SAE 3 等級自駕能力。另外，通過雲端的MB.OS將支援OTA更新，可為各種車用軟體功能提供升級更新，包括IVI資訊娛樂系統、自動駕駛等。通過MB.OS，可以存取所有車輛數據，例如充電狀態和能源消耗等。</p> <p>賓士原有MBUX用戶體驗系統也將整合到MB.OS之中，車用儀表板經過改良，提供具現代化的設計和加入更新娛樂互動功能。賓士會先在今年新E-Class車款搭載輕量化的MB.OS版本，並在2024 年底推出完整系統，未來這套新OS將與賓士全新MMA 模組化駕構平臺一起推出。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">電信業 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">AWS推出Telco Network Builder建置工具，來簡化電信網路的部署和管理</span></strong></p> <p>近日，AWS推出名為AWS TNB（Telco Network Builder）的雲端新服務，鎖定電信業的5G電信網路的建置需求，電信商或CSP業者可以在AWS上來自動化部署和管理公網和私網電信網路。</p> <p>AWS表示，用戶使用AWS TNB時，可以在加快電信商部署基於雲端的網路基礎架構和服務，像是可以利用Kubernetes和Amazon EKS進行打包和部署，也能透過AWS CLI介面和 AWS開發工具包進行存取。另外也簡化網路生命周期管理，可以在單一服務上就能完成部署、更新或升級網路功能。並可從儀表板監控和管理這些網路功能和服務。</p> <p>在部署方式上，用戶使用AWS TNB可以將網路部署在AWS Region上，並可以跨多個可用區，之後將提供Local Zones 與Outposts的部署型式。在收費方面，將依據管理的網路功能數量以及API調用來收費。但只對AWS Region每月超過45,000 API 請求開始收費。</p> <p>圖片來源／AWS、賓士</p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.Snowflake推出電信數據雲，要協助電信商儲存和處理繁雜業務資訊</strong></p> <p><strong>2.Dell和紅帽合作將推出電信基礎設施即服務以及5G專網產品。</strong></p> <p><strong>3.繼GCP，微軟Azure也加入FinOps基金會擔任委員會成員推動雲端維運財務管理實踐</strong></p> <p><strong>4.Nvidia預告超級電腦雲端運算服務DGX Cloud即將登上Azure和GCP</strong></p> <p><strong>資料來源：iThome整理，2023年2月</strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2023/2/24 11:10作者余至浩https://www.ithome.com.tw/news/155657
為什麼我們能跟電腦學決策？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_-jue_duan_de_yan_suan_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">行路出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>想像你正在舊金山找房子。這城市可說是全美最難找到房子的地方。由於市場如此熱絡，很難容許理性消費者先蒐集資料，深思熟慮後才下決定。</p> <p>我們姑且假設你只想盡可能提高買到最好房子的機率。那麼你該怎麼做？大多數人面臨這類問題時，直覺上通常認為必須在取捨間取得某種平衡，得看過夠多的房子才能建立標準，再依據標準找出想要的房子。這種權衡概念非常正確，然而大多數人沒辦法明確說出平衡點在哪。所幸這確實有明確答案：是37％。</p> <p>如果你希望達成買到最佳房子的最佳機率，請把總時間的37％拿來看房子（如果打算花一個月找房子，那就是十一天）。把清單留在家裡，單純用來設定標準。但是花了37％的時間後，就要準備出手，只要一發現比已經看過的房子更好的選擇就買下來。這不只是尋找和放棄之間的平衡點，也是經過驗證的最佳解決方案。</p> <p>我們之所以知道答案，是因為找房子屬於數學中的「最佳停止問題」。37％法則定義出一連串解答這類問題的簡單步驟，電腦科學家稱之為演算法。其實最佳停止問題可以用來解決生活中的許多狀況，找房子只是其中一例。生活中我們經常遇到選擇或放棄一連串選項的情形，比方說：要在停車場繞幾圈才找得到車位？投資高風險事業要多久才會開始回收？賣房賣車時要忍耐多久才能等到更好的價錢？</p> <p>簡單的演算法不僅能協助你找到好房子，還適用於遭遇最佳停止問題的各種狀況。</p> <p>我們每天都在跟這類問題纏鬥不休（只不過比起停車，詩人花比較多墨水描述愛情的磨難），有些狀況也真的很折騰。但其實沒必要這麼糾結，有些問題數學已經解決了。心急如焚的房客、駕駛人和忐忑不安的求婚者，其實都沒必要煩惱；他們不需要治療師，只需要演算法。治療師可以教他們如何避免過於衝動和過度思考；演算法則能明確告訴他們，這個平衡點就是37％。</p> <p>由於我們生活的空間和時間都有限，每個人都遭遇到一類問題。在一天或十年中，我們應該做什麼、或應該不做什麼？應該容忍什麼程度的混亂？什麼樣的秩序算是過度？新事物和心頭好各佔多少比例，才能使生活最讓人感到滿足？</p> <p>似乎只有人會面臨這類問題？其實不然。半個多世紀以來，電腦科學家一直在探究這類日常困境，有時還試圖解決，像是：處理器該如何分配它的「注意力」，以最少時間執行使用者要它做的工作，同時盡量少做白工？它什麼時候應該轉而處理不同工作，一開始又應該接受幾項任務？怎麼運用有限的記憶體資源最好？它應該蒐集更多資料，或是依據已有的資料採取行動？</p> <p>人類要把握每一天已經很不容易，電腦卻能輕鬆寫意地把握每一毫秒。電腦的工作方式可以帶給我們許多啟發。</p> <p><span style="font-size:28px;"><strong>演算法的本質是「解決問題的一連串步驟」</strong></span></p> <p>討論演算法對人類生活有何助益似乎有點奇怪。說到「演算法」，許多人想到的是大數據、大政府和大企業神祕難解的算計，這類算計在現代世界基礎建設中的比重越來越大，但稱不上實用智慧或人生指南。不過演算法其實是解決問題的一連串步驟，而且範圍比電腦更廣，歷史也更悠久。早在機器使用演算法之前，人類就開始使用它們了。</p> <p>不過用得上演算法的領域不只數學。你參考食譜做麵包、依照圖樣打毛衣，或是以一定方式用鹿角末端敲擊燧石，在燧石上形成尖銳邊緣（這是製作精細石器的重要步驟），都是依循演算法在做事。早從石器時代開始，人類科技中就蘊含著演算法。</p> <p>把電腦科學解決問題的方法套用到日常生活上，會影響許多層面。首先，演算法能提供實用且具體的建議，協助解決特定問題。最佳停止問題告訴我們，何時該大膽跳過、何時又該留意機會。開發與利用取捨告訴我們，如何在嘗試新事物和享受喜愛的事物間找到平衡點。排序理論教我們如何（以及是否應該）整理辦公室。快取理論教我們如何把物品收進櫥櫃。排程理論則教我們如何安排工作。</p> <p>到了下一個階段，電腦科學告訴我們一套字彙來了解這些領域中更深入的原理。卡爾．薩根（Carl Sagan）曾說：「科學不只是知識，更是一種思考方式。」即使是混亂得難以進行嚴謹數值分析或有現成答案的狀況，運用直覺和化簡問題後加以思考所得到的概念，也能讓我們了解關鍵問題並獲得進展。</p> <p>更廣泛地說，以電腦科學的眼光看問題，有助於我們了解人類心智的特質、合理性的意義，並且探究一個最古老的問題：人類如何求生。把認知當成「解決環境造成的基本運算問題的方法」仔細探討，可能徹底改變我們對人類理性的看法。</p> <p>就算電腦科學真能教我們如何思考以及該怎麼做好了，但我們想照著做嗎？看看科幻片裡的人工智慧和機器人，你該不會真的想要像它們那樣過活吧？說到研究電腦內部運作可能教我們如何思考、下決定、該相信什麼以及怎麼做好，許多人不只會把它想得太簡單，實際上是會想錯方向。</p> <p>部分原因是，說到電腦，我們想到的是冰冷的機械化確定性系統——機器套用死板的演繹邏輯，點滴不漏地羅列所有選擇，琢磨出正確答案，無論必須思考得多久、多辛苦。的確，最早構思出電腦的人就希望電腦是這樣：艾倫．圖靈（Alan Turing）定義中的運算就像數學家一樣，仔細執行一連串冗長運算，得出萬無一失的正確解答。</p> <p>因此說來你或許會驚訝──現代電腦面臨難題時，其實不是這麼做的。當然，直截了當的計算對現代電腦而言輕而易舉。跟人類交談、修復損壞的檔案或下贏一盤圍棋等，這類沒有明確規則、缺少必要資料，或是必須考慮多如繁星的可能才能找出正確解答的問題，才是電腦科學最大的挑戰。研究人員為了解決極端困難的問題而開發的演算法，已經使電腦不再需要依賴繁重的計算。相反地，執行實際工作必須接受機率，以時間換取精確性，還要懂得運用近似法。</p> <p>電腦解決真實世界問題的能力越來越強，不僅提供演算法給人運用到生活上，還定下更好的標準讓我們得以比較人類認知本身。近十幾二十年，行為經濟學主張：人類既不理性又容易犯錯，主因是人類大腦結構缺陷重重且各不相同。這個妄自菲薄的說法日益流行，但仍有些問題有待探討。舉例來說，為什麼即使是四歲小孩，執行視覺、語言和因果推論等認知任務時，依然能超越超級電腦？</p> <p>電腦科學衍生的日常問題解決方案，則對人類心智提出完全不同的看法。它們認為生活本就困難重重，人們犯下的錯誤透露的，是問題本身的困難之處，而非人類大腦不可靠。用演算法思考世界，學習我們所面臨的問題的基本結構、以及其解決方案的屬性，能讓我們了解人類其實已經很了不起，同時更加理解我們所犯的錯。</p> <p>事實上，人類經常面對電腦科學家傷透腦筋的許多難題。我們經常得克服不確定性、時間限制、資訊不足和變動快速的世界，做出決定。對於當中的某些情況，即使是最尖端的電腦科學，也還沒找出高效率又永遠正確的演算法；而某些情況則根本不存在這樣的演算法。</p> <p>然而即使在尚未找到完美演算法的領域，一代代電腦科學家和棘手真實世界問題纏鬥多年後，也得出了許多心得。這些得來不易的規則違反我們心目中的合理性，聽起來也不像數學家描述世界的那些條理分明的嚴密規則。這些規則說：不一定要考慮所有選擇，不一定非得追求看來最好的結果，偶爾可以製造混亂。看到紅綠燈就等一下。相信直覺，別思考太久。放鬆，拋個硬幣。寬恕，記住這個教訓就行。誠實對待自己。</p> <p>依據電腦科學知識過生活說來沒那麼糟，何況它有證據支持──許多忠告可是無憑無據呢。<span style="color:#696969;"><strong>（本文摘錄整理自《決斷的演算》前言，行路出版提供）</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%98-%E6%B1%BA%E6%96%B7%E7%9A%84%E6%BC%94%E7%AE%97-600.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 書名 </span></span> 決斷的演算：預測、分析與好決定的11堂邏輯課</strong></p> <p>布萊恩‧克里斯汀（Brian Christian）、湯姆‧葛瑞菲斯（Tom Griffiths）／著；甘錫安／譯</p> <p>行路出版</p> <p>定價：580元</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%98-%E6%B1%BA%E6%96%B7%E7%9A%84%E6%BC%94%E7%AE%97-%E4%BD%9C%E8%80%851_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%C2%A9Eileen%20Meny.jpg" style="width: 150px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">©Eileen Meny</span></span></p> <p><strong>布萊恩‧克里斯汀（Brian Christian）</strong></p> <p>布萊恩‧克里斯擁有布朗大學和華盛頓大學的哲學、電腦科學和詩歌學位，現在是加州大學柏克萊分校的訪問學者。他個人還著有Most Human Human，亦由行路出版翻譯引介，初版中文書名為《人性較量：我們憑什麼勝過人工智慧？》，這本書為《華爾街日報》暢銷書、《紐約時報》與《紐約客雜誌》年度推薦圖書。他還有眾多作品散見於Wired、《紐約客》雜誌等媒體。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%98-%E6%B1%BA%E6%96%B7%E7%9A%84%E6%BC%94%E7%AE%97-%E4%BD%9C%E8%80%852.jpg" style="width: 150px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_加州大學柏克萊分校</span></span></p> <p><strong>湯姆‧葛瑞菲斯（Tom Griffiths）</strong></p> <p>湯姆‧葛瑞菲斯曾擔任加州大學柏克萊分校心理學和認知科學教授，現在是普林斯頓大學心理學與電腦科學教授，亦是該校的運算認知科學實驗室主任。他對於收集與分析資料的新方法（尤其是大數據）如何改變心理學研究，很感興趣，曾經發表數百篇科學論文。</p> </div></div></div>
2023/2/24 10:00未署名https://www.ithome.com.tw/article/155601
AI趨勢周報第209期：生成式AI遍地開花引起開發者焦慮，吳恩達：堅守初衷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0217～0223)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 吳恩達 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 大型語言模型 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>生成式AI遍地開花引起開發者焦慮，吳恩達籲堅守初衷</strong></span></p> <p>隨著ChatGPT問世，大量生成式AI應用也隨之出現。AI專家吳恩達近日就發文指出，就像許多人在IG曬美照、導致使用者產生身材焦慮一樣，AI圈近來不斷出現各種花俏的專案，引發不少開發者焦慮，開始懷疑自己的專案方向。「但就像社群媒體上的完美照片，不代表生活的全貌，」吳恩達表示，一些AI開發者曬出的驚艷成果，也不代表所有AI研究就該聚焦於此。</p> <p>「用自己的標準衡量自己的專案，別因那些閃亮亮的東西而懷疑自己的努力。」吳恩達坦言，幾年前，AlphaGo打敗世界棋王、強化學習在多種遊戲和棋類大放異彩時，他也思考過，一直鑽研監督式學習的自己是不是錯過了什麼。但他很慶幸，自己當時並未跟風、改變研究方向，因為，AI發展快速，許多新研究領域如量子AI、自監督學習、Transformer、擴散模型和大型語言模型（LLM）等相繼出現，有些已有亮眼成績，但有些（如量子AI）還看不到突破。</p> <p>他認為，各種形式和規模的研究都有其價值，今天流行的技術，也只是未來重大里程碑的其中一個。若開發者的專案技術可行、具有可預期且合理的影響，那麼，面對新技術的出現，開發者不需擔心專案沒價值。「想想幾年前大型語言模型研究員的感受，當時大家都在討論強化學習，」吳恩達說。但他也強調要關注AI新發展重要，這樣才不會與趨勢脫鉤，說不定還能激盪新點子。<a href="https://www.deeplearning.ai/the-batch/issue-184/">（詳全文）</a></p> <p><img alt="" src="https://dl-staging-website.ghost.io/content/images/2023/02/ezgif.com-webp-to-jpg--2--1.jpg" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Line臺灣 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SmartText 2.0 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> NLP </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Line臺灣推出SmartText 2.0平臺，下一步瞄準內容自動生成</strong></span></p> <p>Line臺灣在2023開發者大會中揭露新版自然語言處理（NLP）平臺SmartText 2.0，可處理文章摘要、問答和客製化廣告文案生成等任務，接下來要往可快速生成內容的方向發展，也要結合語音、圖片和影片等資料，來打造更多應用。</p> <p>這不是Line臺灣第一次研發NLP服務，早在2020年，團隊就引進CLOVA三大AI服務，其中包括Chatbot和OCR。後來，臺灣工程團隊發展出自然語言處理即服務（NLPaaS）概念，將NLP應用的開發流程標準化，來快速打造不同的NLP 模型，進而研發出SmartText。該平臺初版已具備常見文字自動化功能，如文件分類、多標籤分類、主題偵測等，優化後成為2.0並具備更多進階功能，可處理換句話說等任務。</p> <p>就Line的NLP發展來說，早在2021年，Line就聯手韓國搜尋引擎巨頭Naver打造820億參數的大型語言模型HyperCLOVA，並以此為核心，來提供一系列企業級NLP服務，如行銷文案生成、文章摘要、段落翻譯、開放式對話，甚至是產生NLP模型訓練資料等。不過，該模型只支援韓文和日文。去年，Line臺灣則透露要引進HyperCLOVA，發展繁體中文版NLP服務，今年則推出自行研發的SmartText 2.0平臺，來供企業使用。<a href="https://linecorp.com/zh-hant/pr/news/zh-hant/2023/4493">（詳全文）</a></p> <p><img alt="" src="https://d.line-scdn.net/stf/linecorp/zh-hant/pr/2023021616.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Hugging Face </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Hugging Face聯手AWS，要讓開發者更容易使用生成式AI模型</strong></span></p> <p>AI新創Hugging Face擴大與公雲業者AWS的合作計畫，要降低開發者使用大型生成式AI模型的門檻。Hugging Face將使用AWS雲端服務來開發產品，包括機器學習工具Amazon SageMaker、AWS Trainium、AWS Inferentia等，Hugging Face也會在AWS上訓練、微調和部署模型，讓使用Hugging Face模型的使用者，能更簡單地最佳化模型效能、降低成本，更快部署至正式環境。</p> <p>這項合作也讓使用者能在AWS上，使用最新的Hugging Face模型；使用者只要在SageMaker和EC2點擊滑鼠，就能微調和部署Hugging Face模型，並使用AWS Trainium和Inferentia等機器學習加速器，來高效執行機器學習運算。<a href="https://huggingface.co/blog/aws-partnership">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> DARPA </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> F-16 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 自駕 </span></strong></span></p> <p><span style="font-size:22px;"><strong>美國防部證實AI自駕F-16戰鬥機</strong></span></p> <p>美國國防高等研究計畫署（DARPA）揭露軍事化AI研究最新進展，已能用來控制經改裝的F-16戰鬥機X-62A飛行，並在去年12月多次於加州空軍基地測試，證實AI代理可控制戰鬥機。</p> <p>這項成果是DARPA空戰進化（ACE）計畫的里程碑，ACE計畫在2019年啟動，目標是要發展可信任且可人機協同空中作戰的AI自駕系統。這次的新進展，由DARPA執行單位EpiSci、PhysicsAI、Shield AI和約翰霍普金斯大學，在X-62A上部署各種AI演算法，來執行多次起飛和著陸，並測試演算法在不同起始條件下的表現，如對抗各種模擬對手，甚至是模擬武器。這些測試已經通過，不過，ACE計畫也聯手測試飛行員學校，來在飛機駕駛艙中安裝感測器、量測飛行員生理數值，作為研究飛行人員是否相信AI的參考。<a href="https://www.darpa.mil/news-events/2023-02-13">（詳全文）</a></p> <p><img alt="" src="https://www.darpa.mil/DDM_Gallery/VISTA_619x316.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> SolidWorks </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 設計 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ChatGPT </span></strong></span></p> <p><span style="font-size:22px;"><strong>SolidWorks正在打造設計界ChatGPT </strong></span></p> <p>CAD軟體大廠SolidWorks CEO Manish Kumar日前在達梭技術年會上揭露，正在研發設計界ChatGPT，要讓使用者輸入文字，系統自動產出物件雛形，來加速使用者設計過程。</p> <p>他進一步分析生成式設計技術發展的3個必經階段，首先，這類生成式AI要能根據設計師提出的物理限制或特性，做出各種變化，再來，生成式設計AI要根據設計意圖，如螺絲孔間距等關鍵物件之間的關係，來產出具備不同外觀特徵的設計。而達梭系統的開發進度，就處於這個階段。第3階段則是將既有零組件加入生成考量，比如以既有零件為基礎來生成設計，更容易讓設計投入生產，也能大幅減少物料和零件浪費，甚至能以常見回收廢棄物的零件，做為生成設計基礎。此外，Manish Kumar也補充，這種生成式設計AI，也要具備修正能力，也就是根據使用者提出的需求，來修正雛形，直到使用者滿意。<a href="https://www.ithome.com.tw/news/155532">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 法律 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 大型語言模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GPT-3.5 </span></strong></span></p> <p><span style="font-size:22px;"><strong>國際律師事務所擁抱大型語言模型，要減輕千名律師負擔</strong></span></p> <p>倫敦5大律師事務所之一的安理國際律師事務所（Allen & Overy）最近部署一款自然語言處理（NLP）平臺Harvey，以OpenAI的大型語言模型GPT-3.5為基礎，來協助律師起草、分析合約、進行盡職調查和記錄客戶備忘錄等工作。</p> <p>這款聊天機器人由OpenAI新創基金會孵化的新創Harvey AI開發，該新創本身就由一群律師組成。他們在去年11月，就與安理國際律師事務所展開測試，讓旗下律師來試用Harvey；截至測試結束時，事務所已有3,500名律師使用Harvey，共發出4萬多條詢問。安理國際律師事務所表示，Harvey將繼續供旗下43個跨國辦公室、共3,500多名律師使用，且支援多種語言。<a href="https://www.allenovery.com/en-gb/global/news-and-insights/news/ao-announces-exclusive-launch-partnership-with-harvey">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Spotify </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 人體掃描 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 皮膚 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Spotify創辦人開公司打造360人體掃描儀，用AI加持皮膚和心臟分析</strong></span></p> <p>Spotify創辦人Daniel Ek聯手Hjalmar Nilsonne成立一家醫療科技新創Neko Health，主打360度人體掃描艙，可透過70幾個感測器來收集人體5千多萬個數據點，涵蓋皮膚、心臟、血管、呼吸和微循環等，此外還有單獨的掃瞄器，來量測心臟、血壓和全身脈動，再透過AI分析這些數據、產出報告給醫生和患者，如常見疹類的生長狀況，民眾也可在App上查看結果。該公司表示，這項全身掃描服務只需幾分鐘，目前已在瑞典開放預約，每次收費約190美元。<a href="https://www.theverge.com/2023/2/4/23585948/spotify-founder-daniel-ek-ai-body-health-scanner">（詳全文）</a></p> <p><img alt="" src="https://duet-cdn.vox-cdn.com/thumbor/0x0:1920x1280/1440x960/filters:focal(960x640:961x641):format(webp)/cdn.vox-cdn.com/uploads/chorus_asset/file/24410106/neko_health_body_scanner.jpeg" /></p> <p>圖片來源／DeepLearning.AI、Line臺灣、DARPA、Neko Health</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. OpenAI啟動一系列計畫改進ChatGPT的偏見與預期外行為</strong></p> <p><strong>2. 工研院與7-ELEVEN聯手，3月起在高軟園區辦公大樓試營運AMR機器人外送服務</strong></p> <p>資料來源：iThome整理，2023年2月</p> </div></div></div>
2023/2/23 21:05作者王若樸https://www.ithome.com.tw/news/155656
【資安日報】2023年2月23日，研究人員找到WAF可被繞過的盲點、駭客假借提供ChatGPT應用程式的名義散布惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有研究人員在為客戶進行展示的過程中，無意間發現了Akamai網頁應用程式防火牆（WAF）的換行字元（CRLF）注入漏洞，而能突破防火牆規則，對網站發動跨網站指令碼（XSS）攻擊。值得留意的是，研究人員認為其他廠牌的WAF也多半存在類似漏洞。</p> <p>機器學習語言模型ChatGPT正紅，駭客也看上這樣的情況，用來對電腦與手機用戶，散布多種惡意軟體，甚至想要竊取信用卡資料。</p> <p>上個月微軟修補了Windows備份服務漏洞CVE-2023-21752，如今傳出駭客正在分析概念性驗證程式碼，打算將漏洞用於攻擊行動的情況。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.praetorian.com/blog/using-crlf-injection-to-bypass-akamai-web-app-firewall/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">多款WAF可能存在CRLF漏洞，Akamai是目前發現的首例</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Akamai10.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Akamai10.png" style="width: 300px; float: right;" /></a>資安業者Praetorian發現Akamai網頁應用程式防火牆（WAF）上，他們能夠透過換行字元（CRLF）注入漏洞，突破該系統的跨網站指令碼（XSS）過濾機制。研究人員透過上述手法將原語（primitive）注入到內容編碼標頭，利用壓縮HTTP回應酬載的方式，將其注入到回應的本體（body），而能在不更動XSS核心酬載的情況下繞過WAF的規則。</p> <p>研究人員指出，這種CRLF注入的缺陷很可能不是Akamai的系統獨有，其他廠牌的WAF也有可能存在這類弱點可被利用。</p> <p><a href="https://blog.cyble.com/2023/02/22/the-growing-threat-of-chatgpt-based-phishing-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客假借提供ChatGPT應用程式的名義，針對Windows、安卓用戶散布惡意軟體</span></strong></a><strong style="font-size: 16px;"> </strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-4-Fake-OpenAI-and-ChatGPT-Website.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-4-Fake-OpenAI-and-ChatGPT-Website.png" style="width: 300px; float: right;" /></a>研究人員於Dominic Alvieri於2月12日發現，有人假借提供機器學習語言模型ChatGPT軟體的名義，實際上是針對Windows電腦發送竊密軟體RedLine，隔日察覺有人利用相同的名義在Google Play市集上加App，攻擊Android用戶。</p> <p>資安業者Cyble進一步調查指出，駭客不只架設假網站對Windows使用者散布RedLine，也有散播竊密軟體Lumma Stealer、Aurora Stealer的情況，此外，他們也看到剪貼簿挾持軟體（Clipper）的攻擊行動。</p> <p>而針對Android用戶，該資安業者則是總共發現逾50款惡意App。值得一提的是，駭客也謊稱提供ChatGPT Plus付費服務的名義，企圖騙取信用卡資料。</p> <p><a href="https://cloudsek.com/threatintelligence/cve-2023-21752-privilege-escalation-vulnerability-on-windows-backup-service"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Windows備份服務的權限提升漏洞恐出現攻擊行動</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/FqWEnFQCNFU.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FqWEnFQCNFU.png" style="width: 300px; float: right;" /></a>微軟於一月份的例行修補（Patch Tuesday）當中，針對Windows備份服務漏洞CVE-2023-21752（CVSS風險評分為7.1分）祭出緩解措施，但最近傳出有人打算拿來發動攻擊。</p> <p>資安業者CloudSEK提出警告，有人在網路犯罪論壇上討論如何利用這個存在Windows Backup Service當中的漏洞，藉由分析研究人員公布的概念性驗證（PoC）程式碼來打造攻擊工具。由於這項漏洞有可能讓攻擊者取得SYSTEM權限，再加上已有人想要用於攻擊行動，使得研究人員呼籲使用者要儘速安裝相關更新軟體。</p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-now-exploit-critical-fortinet-bug-to-backdoor-servers/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Fortinet的NAC設備重大漏洞已出現攻擊行動</span></strong></a></p> <p>資安業者Fortinet於2月16日修補旗下網路存取控制（NAC）解決方案FortiNAC重大漏洞CVE-2022-39952，資安業者Horizon3.ai於21日公布細節及概念性驗證（PoC）程式碼，如今有不少研究人員發現駭客已用於攻擊行動。</p> <p>舉例來說，非營利組織Shadowserver基金會在蜜罐誘捕系統發現這類行為，出現來源為多個IP位址的漏洞利用嘗試攻擊；資安業者CronUp看到駭客濫用自動化任務排程應用程式corn jobs，目的是建立反向Shell；資安業者GreyNoise則是看到於22日晚間出現攻擊行動，並於23日淩晨達到高峰。</p> <p><a href="https://www.cisa.gov/uscert/ncas/current-activity/2023/02/21/cisa-adds-three-known-exploited-vulnerabilities-catalog"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國警告IBM檔案共用系統漏洞、Mitel網路電話系統漏洞已被用於攻擊行動</span></strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）於2月21日發布資安通告，他們將IBM檔案共用系統Aspera Faspex漏洞CVE-2022-47986（CVSS風險評分為9.8分），以及Mitel網路電話系統MiVoice Connect漏洞CVE-2022-41223、CVE-2022-40765（CVSS評分皆為6.8分），列入已被用於攻擊行動的漏洞名單（KEV），並要求聯邦機關於3月14日前完成修補作業。</p> <p><a href="https://www.bitdefender.com/blog/labs/s1deload-stealer-exploring-theeconomics-of-social-networkaccount-hijacking/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">YouTube與臉書用戶遭到竊密軟體S1deload Stealer鎖定</span></strong></a></p> <p>資安業者Bitdefender揭露竊密軟體S1deload Stealer的攻擊行動，駭客自2022年7月至12月，針對YouTube與臉書的用戶下手，假借提供色情內容的名義來散布惡意軟體。一旦使用者依照指示執行，電腦就有可能被植入S1deload Stealer。</p> <p>研究人員指出，此竊密軟體不只具備盜取機密資料的能力，還可以下載其他模組，執行挖礦或是其他行動──例如，在背景執行模擬人類操作行為的無視窗Chrome瀏覽器，增加特定YouTube影片或是臉書貼文的瀏覽次數。</p> <p><a href="https://www.bleepingcomputer.com/news/security/activision-confirms-data-breach-exposing-employee-and-game-info/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">電玩業者Activision傳出資料外洩事故，曝露員工與遊戲資料</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/FpX2VUKWYAARl3l.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FpX2VUKWYAARl3l.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer報導，資安研究團隊VX-Underground發現，有人在2022年12月2日，挾持電玩遊戲開發商Activision員工的Slack帳號，並向其他員工散布惡意URL網址，最終竊得該廠商的機密文件，而裡面有預計今年11月17日發布的資訊。</p> <p>電玩新聞網站Insider Gaming針對駭客竊得的資料進行分析，指出這些洩露的資料包含了員工的姓名、電子郵件信箱、電話號碼、薪資、工作地點等詳細資料，並提及遭駭的員工隸屬人力資源部門。此外，該媒體也看到這次洩露與電玩有關的內容，其中包含電玩遊戲決戰時刻：現代戰爭II（Call of Duty | Modern Warfare II）即將上市的組合商品。</p> <p>對此，Activision表示，他們的資安團隊於12月4日察覺此事並著手處理，經調查後確認沒有員工的敏感資料、遊戲程式碼、玩家資料遭異常存取。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.vmware.com/security/advisories/VMSA-2023-0004.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Carbon Black App Control出現重大漏洞，恐被用於存取作業系統底層</span></strong></a> <strong style="font-size: 16px;"> </strong></p> <p>VMware旗下的應用程式白名單控制系統Carbon Black App Control，最近發布Windows新版軟體，目的是修補重大漏洞CVE-2023-20858，一旦攻擊者取得特殊存取權限而能夠入侵管理主控臺，就有可能利用偽造的輸入觸發該漏洞，來存取伺服器的作業系統底層，甚至會波及列管的電腦，CVSS風險評分為9.1分。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/155623"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國防部將敏感電子郵件曝險於外部網路達2周</span></span></strong></a></p> <p><a href="https://blog.sekoia.io/stealc-a-copycat-of-vidar-and-raccoon-infostealers-gaining-in-popularity-part-1/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">竊密軟體Stealc鎖定22款網頁瀏覽器、75個外掛程式、25個加密貨幣錢包而來</span></span></strong></a></p> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/02/multilingual-skimmer-fingerprints-users-via-cloudflare-endpoint-api"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Magecart攻擊行動再度出現，駭客濫用Cloudflare的API攔截線上交易資料</span></span></strong></a></p> <p><a href="https://www.thejournal.ie/tusla-contact-20000-people-data-compromised-during-hse-cyber-attack-5999841-Feb2023/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">兒童福利機構Tulsa表示有2萬人個資在2021年網路攻擊事故外洩</span></span></strong></a></p> <p><a href="https://news.samsung.com/global/samsung-message-guard-protects-you-from-new-and-invisible-threats"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">三星針對旗下手機加入零點擊漏洞防護措施</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155635">【2023年2月22日】新加坡與中國的大型資料中心用戶帳密遭竊、殭屍網路MyloBot每天感染逾5萬臺電腦</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155613">【2023年2月21日】葡萄牙自來水公司傳出遭到勒索軟體LockBit攻擊、加密貨幣平臺Coinbase員工帳密遭駭</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155597">【2023年2月20日】 WordPress網站被植入廣告詐欺外掛程式、駭客組織使用13種語言發動商業郵件詐騙攻擊</a></strong></p> </div></div></div>
2023/2/23 17:42作者周峻佑https://www.ithome.com.tw/news/155652
IBM調查發現企業普遍對勒索軟體已有抵抗力，遠端後門攻擊成主要威脅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM Security發布一年一度的<a href="https://securityintelligence.com/posts/2023-x-force-threat-intelligence-index-report/">X-Force Threat Intelligence Index資安報告</a>，最新的2022年報告指出，目前企業遭遇到最大的資安威脅已經不是勒索軟體，而是遠端後門攻擊，網路釣魚攻擊仍是主要攻擊媒介，不少攻擊者的目的是向勒索企業獲取金錢，比起過去，攻擊者的勒索手段更強硬。</p> <p>勒索軟體橫行的高峰時期已經過去，經過勒索軟體肆虐洗禮，企業逐漸長出抵抗力，因此企業2022年涉及勒索軟體的攻擊事件只剩下17％，這代表企業現在能夠更好地偵測和預防勒索軟體，取而代之的是後門攻擊，成為2022年企業首要資安威脅。</p> <p>IBM Security資安研究人員提到，後門存取成為暗網熱門商品，每個後門存取的價格可能達數千美元，相較每筆信用卡資料可能只值10美元，後門存取對駭客更具價值。</p> <p>IBM Security在21％的資安事件中，發現攻擊者部署後門程式，而這些後門程式有67％，是攻擊者嘗試部署勒索軟體失敗的產物，也就是說，企業在勒索軟體部署前，就成功破壞後門。勒索軟體對企業整體的衝擊已經大幅降低，從2019年至2021年，勒索軟體攻擊的平均持續時間減少94％，從2個多月降至4天。</p> <p>網路釣魚依然是攻擊者愛用手段，但也是最有效的初始攻擊向量，在2022年有41％的攻擊事件用上網路釣魚手法，在所有網路釣魚事件中，有62％使用魚叉式網路釣魚附件，33％使用魚叉式網路釣魚連結，魚叉式網路釣魚服務只占5％。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zz1hYjZmNTU2MGIyNTYxMWVkOTk0ZDBlYzliNGI1YzZhZQ%3D%3D.jpeg" style="width: 580px;" /></p> <p>老舊漏洞仍可能被重新用於攻擊中，像是2017年所發現的WannaCry漏洞，在2022年捲土重來，感染數增加達800％，而且因為CVE資料的公開，攻擊者能夠更簡單地搜尋早期未被積極修補的漏洞，作為攻擊目標。</p> <p>不過攻擊者使用漏洞發動攻擊的數量，已經在2022年大幅降低，較2021年少了19％，研究人員指出，可能原因是2021年底出現影響廣泛的Log4j漏洞，使當年這個數字大幅增加。</p> <p>雖然勒索軟體影響已經獲得控制，但是勒索這個行為，仍普遍的出現在包括電子郵件洩漏和DDoS攻擊威脅中，攻擊者的勒索策略也更強硬，會將企業的客戶、商業夥伴當作籌碼，甚至直接聯絡受害者客戶，告知他們的資料已經遭洩漏，藉此增加被駭企業支付贖金的壓力。</p> <p>製造業是2022年受攻擊最嚴重的產業，也是受勒索最嚴重的產業，因為攻擊者抓準製造業對停機事件容忍度極低，能夠對受害企業施加更大的心理壓力。</p> </div></div></div>
2023/2/23 18:21作者李建興https://www.ithome.com.tw/news/155654
蘋果非侵入性血糖偵測技術有新進展，向Apple Watch邁進一步
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>長期為iPhone及Apple Watch研發生理量測功能的蘋果可能有最新進展。<a href="https://www.bloomberg.com/news/articles/2023-02-22/apple-watch-blood-glucose-monitor-could-revolutionize-diabetes-care-aapl" target="_blank">《彭博》報導</a>，蘋果已經發展出非侵入性的血糖量測技術，原型已進入測試階段。</p> <p>這項代號為E5的專案旨在開發以雷射偵測皮下血液中的血糖濃度，讓使用者不需忍受傳統偵測方式刺破皮膚採血的痛楚。消息人士指出，之前蘋果暗中研發的裝置大到一臺桌上儀器，但近日已經縮小到iPhone大小，並進入驗證測試階段。</p> <p>這類技術可用於第二型糖尿病患及糖尿病前期用戶的日常血糖自我管理，若穩定性佳，也將挑戰DexCom（DXCM）和Abbott Laboratories等醫療器材大廠。</p> <p>最終蘋果應該希望將這類技術整合到其智慧手錶Apple Watch。蘋果陸續強化Apple Watch的生理量測及健康監控功能。繼心電圖（ECG）功能之後，<a href="https://array.aami.org/content/news/apple-watches-have-two-new-fda-cleared-health-applications" target="_blank">蘋果的一項心律不整（AFib）紀錄功能去年也獲得美國FDA 510 (K)許可認定</a>。此外Apple Watch也能用於偵測睡眠活動、量測體溫，或配合第三方App量測帕金森氏症的顫抖癥狀。</p> <p>《彭博》報導，這種無創血糖量測技術來自創辦人賈伯斯（Steve Jobs）時期，蘋果2010年買下的新創公司RareLight。此後這家公司就一直以Avolonte Health為名運作，最後整併到蘋果的初探設計事業群（Exploratory Design Group，XDG），並向執行長Tim Cook及Apple Watch硬體主管Eugene Kim報告。</p> <p>不過何時能見到這項技術問世不得而知。<a href="https://www.ithome.com.tw/news/145037" target="_blank">《彭博》2021年就曾報導</a>Apple Watch加入血糖及體溫偵測的計畫。目前<a href="https://support.apple.com/en-us/HT213275" target="_blank">Apple Watch的體溫偵測功能</a>仍無法作為醫療參考。相較於心電圖，血糖量測更為困難；Google姐妹公司Verily曾經研發非侵入式偵測血糖的隱形眼鏡的計畫，最終也因準確不佳而告失敗。</p> </div></div></div>
2023/2/23 17:45作者林妍溱https://www.ithome.com.tw/news/155653
傳中國政府要求網路巨人不得使用ChatGPT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://asia.nikkei.com/Business/China-tech/China-tells-big-tech-companies-not-to-offer-ChatGPT-services" target="_blank">《日經亞洲》（Nikkei Asia）昨日報導</a>，中國政府要求中國科技公司不得對用戶提供ChatGPT服務，以免ChatGPT對用戶提供未經審查的答案。</p> <p>消息人士指出，包括騰訊、螞蟻集團、阿里巴巴集團都被主管機關要求不得在其平臺上，不論是直接或透過第三方服務提供ChatGPT服務。此外，中國政府也要求網路公司發展自己的AI聊天機器人之前也需向主管機關報告。</p> <p>如同許多美國網路服務，ChatGPT無法在中國存取，但許多用戶仍透過VPN連向這個聊天機器人，並在中國用戶之間引發熱潮。</p> <p>但中國官方媒體如《中國日報》即警告，ChatGPT有意識型態偏差，可能被用於散布西方國家的政治宣傳內容，對民眾造成誤導。例如<a href="https://www.youtube.com/watch?v=JQgr6T4-MKA" target="_blank">在新疆再教育營的查詢</a>中，中國媒體稱ChatGPT的回覆和美國論點如出一轍。</p> <p>AI科技的進展與可能帶來的影響，也讓中國政府亟思強化管制。<a href="https://www.ithome.com.tw/news/154680" target="_blank">去年底中國頒布AI合成影片（如deepfake）的管制規範</a>，例如加上明顯提示，以防止這類科技被用來冒充身分、散布假訊息、詐騙民眾。<a href="https://www.theverge.com/2023/2/22/23609945/china-ai-chatbots-chatgpt-regulators-censorship" target="_blank">《The Verge》報導</a>，中國網路大廠也被要求審查其他AI內容，例如百度的AI影像產製服務無法產製天安門的影像。</p> <p>日經報導，基於對AI回覆內容的疑慮，ChatGPT可能永遠都無法進入中國市場。</p> <p>事實上，中國網路平臺業者也正在開發自有聊天機器人。例如百度正在開發「文心一言」（ENRIE Bot），媒體報導，<a href="https://technews.tw/2023/02/07/baidu-announced-chatgpt-like-ernie-bot/" target="_blank">百度預計3月上線</a>。但相關時程是否會受到中國政府最新法規要求而變化不得而知。</p> </div></div></div>
2023/2/23 16:53作者林妍溱https://www.ithome.com.tw/news/155649
微軟放寬對Bing Chat的回應限制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/155591" target="_blank">周末才說</a>要對加入ChatGPT的Bing聊天機器人的回應設下限制，<a href="https://blogs.bing.com/search/february-2023/The-new-Bing-and-Edge-Increasing-Limits-on-Chat-Sessions" target="_blank">微軟昨（22）日又做出放寬限制</a>，並預告增加讓使用者自行調整Bing回覆語氣的功能。</p> <p>經過一周的上線測試後，由於Bing聊天機器人出現粗魯、情緒化及恐嚇的回應引發用戶不安，微軟上周承諾要改善，並在周末首先設下每回對話只能回覆5次，每天回覆最高50次的限制。微軟的理由是，問答超過15次的長對話可能使底層AI模型發生混淆，開發團隊內部當初並未預料用戶和Bing會出現長而複雜的對話，而這次以預覽版開放少數用戶試用，正是為了找到非典型的使用情境。</p> <p>然而在周末開始為Bing設限後，該公司接到用戶反應希望能有較長對話，以提升搜尋效率及互動效果。因此微軟打算再重新開放長對話，但又要採用「負責任」的作法。</p> <p>微軟計畫分階段實施。第一步是將每次回覆和每天總量提升為6次和60次，但希望很快能將每日回覆上限提高到100次，而一般的搜尋則不列入計次範圍。微軟可望很快就會公布這部份的調整細節。</p> <p>此外，微軟上周預告將增加用戶可微調Bing語氣的功能，昨日也說明進度。該公司正在測試讓用戶選擇「精準」（Precise）、「平衡」（Balanced）及「創意」（Creative）三種搜尋語氣。「精準」提供較短、更傾向搜尋的答案，而「創意」則提供較長、更像聊天的答案。這功能目的在讓用戶控制對話型態以滿足使用需求。</p> <p>不過這項新功能的開發時程微軟並未說明。</p> </div></div></div>
2023/2/23 17:06作者林妍溱https://www.ithome.com.tw/news/155650
微軟Visual Studio 2022 17.5改進開發流程，提升.NET建置和除錯效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/visualstudio/visual-studio-2022-17-5-released/">微軟正式推出Visual Studio 2022 17.5</a>，這是一個具有許多更新功能的新版本，包括<a href="https://www.ithome.com.tw/news/155205">多合一搜尋功能</a>、<a href="https://www.ithome.com.tw/news/155234">輔助功能與拼字檢查工具</a>、<a href="https://www.ithome.com.tw/news/154896">Markdown編輯器</a>，而且微軟也改進.NET程式碼的建置和除錯速度，進一步改善開發人員工作流程，針對<a href="https://www.ithome.com.tw/news/155563">遊戲開發人員的更新，還有新的遠端檔案資源管理器</a>、Linux Console輸出與開發容器改進，改進跨平臺的開發體驗。</p> <p>Visual Studio 2022 17.5大幅提升.NET建置效能，系統現在只會建置經過修改的專案，並且跳過沒有變化的部分，官方提到，新的建置加速改進，能夠使SDK類型的.NET專案建置時間大幅縮減80％。</p> <p>微軟還改進執行緒視窗（Threads window）的回應次數，大幅改進除錯器的效能，微軟解釋，該視窗在除錯多執行緒應用程式非常重要，在最新的版本，執行緒視窗會隨著執行緒數量自動擴展，和Visual Studio 2022 17.4相比，能夠達2倍的回應速度，同時也提高外部程式碼去編譯速度達10倍，使開發者排除.NET模組故障更有效率。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-241331-4-5.png" style="width: 580px; height: 322px;" /></p> <p>微軟也改進Visual Studio 2022現代化.NET和雲端運算開發的體驗，雖然後端API和微服務是現代網路應用程式的關鍵，但是微軟表示，目前對許多開發人員來說，API開發仍然不夠友善。API開發訴求敏捷以及快速迭代，在Visual Studio 2022中，微軟目標要讓內循環生命周期中的API開發更容易。</p> <p>這個目標的初始成果，是微軟在ASP.NET Core專案加入.http/.rest檔案，並整合一個HTTP客戶端，.http/.rest檔案是API端點的簡明定義，使得開發者可以執行API和操縱不同的REST呼叫，在Visual Studio中以結構化的方式觀察輸出。.http/.rest檔案並不會取代整合和單元測試，只是提供一個可快速迭代的API開發新方法。</p> <p>同時，微軟也擴大Visual Studio與Azure之間的整合，在之前，微軟已經讓開發人員，可以簡單地將Visual Studio程式部署至Azure App Service和Azure Functions等服務，而現在這項整合加入Azure Container Apps等容器服務。</p> <p>開發人員可以更簡單地將ASP.NET Core應用程式部署到Azure Container Apps，而且Visual Studio還能夠自動創建需要的雲端資源，不需要仰賴外部檔案定義容器內容和建置步驟。在Visual Studio創建資源完成後，用戶可以使用.NET 7 SDK快速建置容器映像檔。</p> <p>Visual Studio 2022 17.5的整合式終端現在也可以支援Linux Console，使開發者更容易存取遠端Linux機器，經整合的控制臺視窗，可供開發人員輸入並且獲得輸出。</p> </div></div></div>
2023/2/22 23:17作者李建興https://www.ithome.com.tw/news/155632
AWS與AI技術公司Hugging Face進一步擴大合作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://huggingface.co/blog/aws-partnership">人工智慧技術公司Hugging Face與AWS宣布擴大合作</a>，並建立起類似OpenAI和微軟之間的戰略夥伴關係。雙方早在2021年就已經合作，而現在增加合作力度，目標是提升下一代機器學習模型的可用性，並且讓機器學習技術更加普及。</p> <p>企業建置、訓練、部署大型語言模型和電腦視覺模型，是一個高成本且耗時的過程，況且訓練這些模型需要高度專業知識，這樣的門檻使許多企業難以將生成式人工智慧用於產品中，而Hugging Face與AWS的合作，便是要降低應用生成式人工智慧的困難。</p> <p>Hugging Face是一家人工智慧公司，開發用於建構機器學習應用程式的工具，提供可用於不同機器學習任務的模型，知名的產品包括自然語言處理Transformers模型，同時Hugging Face也營運共享平臺，供人工智慧社群可以在平臺上共享程式碼、模型和資料集。</p> <p>Hugging Face將會主要使用包括Amazon SageMaker、AWS Trainium、AWS Inferentia等AWS雲端服務開發產品，並且在AWS上訓練、微調和部署模型，讓使用Hugging Face模型的用戶，能夠更簡單地最佳化模型效能並且降低成本，更快速地投入生產。</p> <p>雙方合作也使得用戶在AWS上，能夠方便地使用最新的Hugging Face模型，用戶只要在SageMaker和EC2透過滑鼠點擊，就能夠微調和部署Hugging Face模型，並且使用AWS Trainium和Inferentia機器學習加速器，高效率執行機器學習運算。</p> </div></div></div>
2023/2/22 23:49作者李建興https://www.ithome.com.tw/news/155636
微軟宣布Xbox PC遊戲將登陸GeForce NOW，還要讓任天堂玩家玩到《Call of Duty》
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟擴大Xbox遊戲版圖，<a href="https://www.prnewswire.com/news-releases/microsoft-and-nvidia-announce-expansive-new-gaming-deal-301752099.html">宣布將與Nvidia建立10年合作關係</a>，讓玩家在Nvidia雲端遊戲服務GeForce NOW，也能玩到Xbox PC遊戲，另外，微軟也與任天堂簽署10年合約，要讓遊戲公司動視暴雪（Activision Blizzard）發行的遊戲《Call of Duty》<a href="https://twitter.com/BradSmi/status/1627926790172811264?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1627926790172811264%7Ctwgr%5E8b84daf858f8626e21fab22a45e2383e78e68955%7Ctwcon%5Es1_&ref_url=https%3A%2F%2Fwww.geekwire.com%2F2023%2Fmicrosoft-inks-binding-10-year-contract-with-nintendo-for-call-of-duty-as-it-defends-activision-deal%2F">上到任天堂的平臺</a>。</p> <p>微軟與Nvidia的協議，將讓Xbox PC的遊戲，可以透過GeForce NOW串流到PC、macOS、Chromebooks、智慧手機和其他裝置上，微軟也提到，他們會在完成收購動視暴雪之後，在GeForce NOW上串流遊戲《Call of Duty》。</p> <p>目前微軟已經和Nvidia展開合作，將Xbox PC遊戲整合到GeForce NOW，讓GeForce NOW會員可以串流在Windows Store中購買的遊戲，而在Steam或Epic遊戲商店上販售的Xbox PC遊戲，現在也都會在GeForce NOW平臺串流。</p> <p>另外，微軟副董事長兼總裁Brad Smith也在推特上，公開與任天堂的最新合作關係，將會在微軟收購動視暴雪之後，讓《Call of Duty》登陸任天堂平臺。微軟和任天堂簽署10年合約，並承諾任天堂的玩家，將能夠與Xbox、PlayStation等其他遊戲平臺的玩家一樣，獲得長期且平等的遊戲內容與體驗，使玩家有更多平臺選擇，也增加遊戲市場的良性競爭。</p> <p>微軟在2022年1月的時候，宣布要以687億美元買下動視暴雪，而這將是微軟有史以來最大的併購案，但是這項併購案受到各方阻擾，不只美國聯邦交易管理委員會（FTC）向微軟提出控訴，以可能壟斷遊戲市場為由阻擋併購動視暴雪之外，歐盟也針對併購案深入調查，擔心這項併購會減少遊戲產業和PC作業系統的競爭。</p> </div></div></div>
2023/2/22 23:51作者李建興https://www.ithome.com.tw/news/155637
AWS鎖定電信業者推出Telco Network Builder，簡化雲端電信網路的部署和管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS針對通訊服務供應商（CSP）推出<a href="https://aws.amazon.com/tw/blogs/aws/new-aws-telco-network-builder-deploy-and-manage-telco-networks/">Telco Network Builder（TNB）</a>，使CSP可以更簡單地在雲端建置和部署網路，另外，AWS聯合多家電信公司，推出<a href="https://aws.amazon.com/tw/blogs/industries/aws-launches-integrated-private-wireless-on-aws-program/">Integrated Private Wireless on AWS</a>計畫，使企業可以在AWS平臺探索新興5G無線技術產品。</p> <p>目前CSP已經將許多程式碼部署於虛擬機器上，隨著趨勢發展CSP將會部署更多的容器，但<a href="https://aws.amazon.com/tw/about-aws/whats-new/2023/02/aws-telco-network-builder/">AWS提到</a>，要將傳統網路需求映射到雲端環境非常複雜，要建立起大型網路，CSP用戶會需要在AWS上數千個位置部署數百個運算、儲存和網路元件，並且在不同的位置間建立和維護安全網路，同時管理和擴展運作中的網路。</p> <p>而TNB能夠簡化這些部署和管理工作，自動將用戶要求映射到雲端架構，並且自動獲取需要的運算、儲存和網路資源，使得CSP能夠簡單在AWS上部署和管理公私電信網路。</p> <p>用戶可以透過AWS CLI、AWS SDK來存取TNB，並且在單個AWS地區中創建一個跨多個可用區域的網路。藉由使用TNB，CSP能夠繼續使用現有電信產業標準、實踐和資料格式，但同時加速雲端基礎設施和服務部署，以單一服務部署、更新和升級網路功能，簡化網路生命周期管理。TNB還提供了一個集中式控制面板，供用戶統一監控和管理AWS資源。</p> <p>另外，AWS也推出Integrated Private Wireless on AWS計畫，透過與多家電信公司合作，包括Deutsche Telekom、KDDI和Telefonica等電信公司，跨AWS地區、Local Zones、Outposts和Snow系列，整合4G、5G無線技術與AWS服務，企業可以直接在AWS入口網站，探索各種由電信公司提供的私有無線網路產品。</p> </div></div></div>
2023/2/22 23:57作者李建興https://www.ithome.com.tw/news/155633
【資安日報】2023年2月22日，新加坡與中國的大型資料中心用戶帳密遭竊、殭屍網路MyloBot每天感染逾5萬臺電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大型資料中心GDS Holdings、ST Telemedia Global Data Centres傳出自2021年下旬，遭駭客盯上，竊得兩家公司逾2千個使用者帳號。彭博社指出，這樣的資安事故很可能波及蘋果、微軟、高盛、Walmart、阿里巴巴等全球大型企業。</p> <p>研究人員揭露殭屍網路MyloBot近期的攻擊行動，並指出一天平均有5萬臺電腦遭到感染，且有部分受害電腦難以追查，實際遭到該殭屍網路入侵的電腦可能會更多。</p> <p>蘋果於1月底推出iOS 16.3、macOS 13.2，但有兩個漏洞最近才公布有關說明。值得留意的是，這些漏洞可破解蘋果對於ForcedEntry漏洞提出的緩解措施，後續影響有待觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.resecurity.com/blog/article/cyber-attacks-on-data-center-organizations"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">新加坡、中國的大型資料中心用戶帳密遭竊</span></strong></a><span style="color: rgb(255, 140, 0);"> </span></p> <p><a href="https://s4.itho.me/sites/default/files/images/E7WPJYKKTG_20230222-1716-54745.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/E7WPJYKKTG_20230222-1716-54745.png" style="width: 300px; float: right;" /></a>資安業者Resecurity揭露大型資料中心GDS Holdings、ST Telemedia Global Data Centres的資料外洩事故，研究人員自2021年9月察覺此事並著手追蹤、調查。近期有人宣稱握有上述兩家公司超過2千個使用者的帳密資料，並在2月20日公布於駭客論壇BreachForums。</p> <p><a href="https://www.bloomberg.com/news/features/2023-02-21/hackers-scored-corporate-giants-logins-for-asian-data-centers">根據彭博社的報導</a>，駭客已至少成功登入其中5個帳號，這些帳號的所有者身分，包含了中國主要的外匯與債務交易平臺，以及4個印度組織。</p> <p>研究人員特別提及，他們約在2021年9月7日，發現行政院原子能委員會核能研究所（INER）有Office 365帳號遭駭，被用於相關攻擊行動，他們也通報臺灣政府並聯手調查。</p> <p><a href="https://www.bitsight.com/blog/mylobot-investigating-proxy-botnet"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度、美國、印尼、伊朗遭到殭屍網路MyloBot鎖定，一天逾5萬裝置遭感染</span></strong></a> <strong style="font-size: 16px;"> </strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/mylobot figure 9-min.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/mylobot%20figure%209-min.png" style="width: 150px; float: right;" /></a>資安業者BitSight揭露近期殭屍網路MyloBot的攻擊行動，駭客先是透過WillExec下載器投放Shell Code，並透過處理程序挖空（Process Hollowing）下載MyloBot，然後WillExec再次執行解密工作，最終在受害電腦植入殭屍網路病毒。</p> <p>比較特別的是，駭客疑似將這些遙控的電腦用於提供代理伺服器服務BHProxies，藉機牟利。為了進一步了解狀況，研究人員申請試用該服務，取得部分代理伺服器的IP位址，結果發現，對方提供的50個IP位址裡，有28個與MyloBot有關。</p> <p>研究人員根據遙測資料指出，目前每天至少有5萬臺電腦遭到感染，從受害電腦的地理位置來看，印度最為嚴重，其次是美國、印尼、伊朗。</p> <p><a href="https://techcrunch.com/2023/02/21/sensitive-united-states-military-emails-spill-online/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國防部將電子郵件資料散布到外部網路達2周</span></strong></a></p> <p>根據IT新聞網站TechCrunch的報導，研究人員Anurag Sen找到微軟Azure政府雲代管的郵件伺服器，出現配置不當的情況，任何人只要知道IP位址就能存取這臺郵件系統，不需輸入密碼進行驗證。</p> <p>經調查發現該伺服器為美國國防部所有，內有約3 TB的軍事電子郵件，其中有許多與該國的特種作戰指揮部（USSOCOM）有關。研究人員指出，部分信件含有機敏資料，其中曝露的資料包含美軍人員的調查問卷，包含了個人健康資訊。</p> <p>此伺服器約從2月8日曝露於網際網路，TechCrunch通報後美國特種作戰指揮部於20日採取保護措施。但這段期間是否有人存取伺服器上的資料？仍有待釐清。</p> <p><a href="https://threatmon.io/apt-sidecopy-targeting-indian-government-entities/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度政府機關遭到駭客組織SideCopy鎖定</span></strong></a><strong style="font-size: 16px;"> </strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/qv6deO8gXR_20230222-1700-30947.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/qv6deO8gXR_20230222-1700-30947.png" style="width: 300px; float: right;" /></a>資安業者ThreatMon揭露駭客組織SideCopy近期的攻擊行動，該組織鎖定印度政府機關，假借提供資安通告的惡意Word檔案，一旦收信人開啟並啟用巨集，該檔案的惡意程式碼就會執行，最終於受害電腦部署木馬程式ReverseRAT。</p> <p>值得留意的是，為了說服收信人啟用巨集，駭客將Word檔案的標題更換成「啟用巨集才能瀏覽額外的建議措施」。</p> <p><a href="https://interlab.or.kr/archives/2567"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">南韓記者遭到安卓惡意軟體RambleOn鎖定</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RambleOn-image6.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/RambleOn-image6.png" style="width: 300px; float: right;" /></a>非營利組織Interlab揭露針對南韓記者的安卓惡意軟體RambleOn，駭客先是透過微信聯繫到記者，要求其使用名為Fizzle的加密即時通訊軟體進行後續對話，但實際上，目標人士一旦依照指示下載、安裝，手機就有可能被植入RambleOn。</p> <p>研究人員指出，此惡意程式的主要用途，是讓攻擊者能獲得多種權限，以便收集手機裡的資料、通話記錄、簡訊，並能錄下聲音及得知位置資訊。</p> <p>此外，駭客為了迴避網路流量的偵測，不僅透過pCloud與Yandex的雲端儲存空間來存放惡意酬載，惡意程式也利用Firebase Cloud Messaging（FCM）的機制與C2中繼站通訊。</p> <p><a href="https://www.wfmz.com/news/area/lehighvalley/lvhn-reports-cyberattack-by-russian-ransomware-gang/article_6ceb11e0-b133-11ed-9bdc-7b7c0a2adf99.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">醫療組織LVHN傳出遭到勒索軟體BlackCat攻擊</span></strong></a></p> <p>根據WFMZ-TV 69 News電視臺的報導，美國賓夕法尼亞州的醫療組織Lehigh Valley Health Network（LVHN）證實，其中一名醫生的辦公室於2月6日遭到勒索軟體駭客BlackCat攻擊，初步調查結果出爐，受害系統用於放射治療，恐曝露病人的照片。對此，LVHN表示他們營運沒有中斷，亦表明不會支付贖金。</p> <p><a href="https://www.fortinet.com/blog/threat-research/ransomware-roundup-catb-ransomware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體CatB挾持MSDTC服務來執行加密工作</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/screen-shot-2023-02-15-at-1_42_57-pm.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/screen-shot-2023-02-15-at-1_42_57-pm.png" style="width: 300px; float: right;" /></a>資安業者揭露從2022年11月出現的勒索軟體CatB，駭客透過DLL側載（DLL Side-loading）的方式，濫用MSDTC系統服務，來執行勒索軟體加密受害電腦的檔案。此勒索軟體先會偵測受害電腦的處理器核心數量、記憶體大小、磁碟容量，藉此檢查是否在沙箱環境運作。比較特別的是，此勒索軟體留下的勒索訊息當中，向受害者索討高額贖金，並要求在4天內支付，且贖金逐日增加──從第一天的50個比特幣（約120萬美元），第二天就變為60個比特幣，第三、第四天分別為90個、130個比特幣，到了第五天，若不付款，資料將永久消失。</p> <p><a href="https://gogolook.com/zh-hant/news/gogolook-fraud-report-2022-calls-sms"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為迴避偵測，歹徒在詐騙簡訊使用注音文</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Whoscall-SMS-4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Whoscall-SMS-4.png" style="width: 300px; float: right;" /></a>資安業者Gogolook近日揭露詐騙簡訊與電話的情況，其中特別提及他們旗下的Whoscall服務，2022年在臺灣辨識出4,764萬封詐騙簡訊，駭客主要假借投顧或是紓困貸款的名義行騙。</p> <p>其中最值得注意的是，駭客為了規避相關的偵測機制，最近幾年開始在這類簡訊裡使用注音文，例如「加ㄌㄞˋ」、「ㄅ一ㄠㄍㄨˇ」等，此外也有運用形狀相似文字的情況，如：「Ca11我」、「L1ne」等，其目的就是要繞過關鍵字的識別機制。因此該公司呼籲，民眾若是看到具有上述特徵的簡訊，很可能有詐。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.trellix.com/en-us/about/newsroom/stories/research/trellix-advanced-research-center-discovers-a-new-privilege-escalation-bug-class-on-macos-and-ios.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果行動裝置與電腦存在權限提升漏洞，攻擊者可使用root權限存取任意檔案</span></strong></a> <strong style="font-size: 16px;"> </strong></p> <p>蘋果1月30日釋出iOS與iPadOS 16.3.1以及macOS Ventura 13.2.1，修補多項漏洞，其中的CVE-2023-23520、CVE-2023-23531是由資安業者Trellix向蘋果通報，2月21日公開揭露當中細節。該資安業者指出，這些漏洞與2021年間諜軟體Pegasus攻擊所使用的漏洞ForcedEntry有關──蘋果於同年9月發布更新程式修補，但如今研究人員發現能繞過相關緩解措施的新弱點。</p> <p>一旦攻擊者加以利用，就能在目標裝置上突破隔離處理程序的防護措施，進而存取行事曆、通訊錄、照片等敏感資料，或是安裝軟體，甚至有可能監控使用者。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.horizon3.ai/fortinet-fortinac-cve-2022-39952-deep-dive-and-iocs/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員公布Fortinet的NAC設備重大漏洞的概念性驗證程式</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/155630"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Coinbase員工密碼被竊，駭客存取內部系統</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/155559"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">挖礦程式</span></span></strong></a><a href="https://www.ithome.com.tw/news/155559"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">利用ProxyShell漏洞散布</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/155547"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">從強式MFA到抗網釣MFA</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/155544"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">強化登入安全，導入無密碼已成IT界共識</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/155539"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">因現行MFA仍有可乘之機，信用卡交易驗證安全需要持續強化</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155613">【2023年2月21日】葡萄牙自來水公司傳出遭到勒索軟體LockBit攻擊、加密貨幣平臺Coinbase員工帳密遭駭</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155597">【2023年2月20日】 WordPress網站被植入廣告詐欺外掛程式、駭客組織使用13種語言發動商業郵件詐騙攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155588">【2023年2月18日】 Fortinet修補WAF與網路存取控制系統的重大漏洞、施耐德電機PLC存在可被用於RCE攻擊的漏洞</a></strong></p> </div></div></div>
2023/2/22 18:29作者周峻佑https://www.ithome.com.tw/news/155635