iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 03:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Cloud周報第168期：金融業上雲法規大鬆綁！銀行未來上雲非重大消金應用免申請，最快Q3上路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（03/02～03/08）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融業上雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">金管會大幅放寬金融業上雲規範，未來境外公雲不是重大消金應用免申請</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961_Cloud%E5%91%A8%E5%A0%B1(4)(2).png" style="width: 600px; height: 340px;" /></p> <p>金管會於7日宣布金融業委外辦法將有重大鬆綁，尤其是金融業上雲規定將大幅放寬，未來只有重大消費金融應用要上到境外公有雲，以及主管機關指定類型，才要申請核准，其餘不用申請。相較於4年前，金管會這次對金融業上雲鬆綁又更進一步。修正辦法將在正式預告60天後，最快Q3正式上路。</p> <p>過去銀行委外使用雲端服務時，只要涉及重大性委外作業（如客戶資料）或是將作業委託到境外公雲，都得事先向金管會申請核准，往返處理需耗費不少時間，考量到上雲對於金融業數位轉型及金融服務的敏捷彈性日益重要，因此金管會決定調整放寬上雲作業規定。</p> <p>金管會預告修正「金融機構作業委託他人處理內部作業制度及程序辦法」，其中關於委外上雲規範修正，主要重點是大幅放寬了對於境內外雲端委外作業規定和程序，以後銀行業者使用境內雲端服務（如GCP或AWS），處理一般性事務或辦公應用，不需要事先申請核准，也就是說，銀行以後可以直接使用境內公雲服務來儲存資料，免申請。</p> <p>不僅如此，對於境外雲端服務使用規定也放寬，允許業者免申請就能將各自業務資訊系統上到境外公雲，除非是屬於重大性消金業務系統，或主管機關指定類型，才須向金管會申請取得核准。新法修正還大幅簡化委外上雲申請核准的程序，有首案申請通過核定後，其他金融業者之後要用就不需要重新申請，如Microso 365等。這項鬆綁規定，將讓金融業很多上雲採用更容易。</p> <p>但使用雲端服務仍需遵循風險管控、客戶資料儲存境內為原則等八大項規定。此次修法，金管會也加強規範客戶資料保護及確保雲端技術應用安全可靠性，同時要求金融機構落實委外作業控管，成為內部治理架構一環。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">z/OS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 混合雲 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">IBM新版大型主機作業系統z/OS亮相，將能跨雲管理Linux與z/OS工作負載</span></strong></p> <p>前陣子，IBM介紹下半年即將推出的新版大型主機作業系統z/OS 3.1，其中一大特色，就是能夠進一步支援企業混合雲策略，讓企業可以在混合雲環境中建構、部署和管理Linux和z/OS工作負載。</p> <p>為了支援混合雲應用需求，新版本z/OS特別加強這方面的支援能力，包括推出z/OS容器擴展計畫，強化對於容器化應用的支援，來改進效能與安全，還支援NFS、HPPS，與支援混合型應用（虛擬機和容器）。</p> <p>另外，在z/OS 3.1更新版本中，還將為z/OS UNIX工具提供一套資料集檔案系統，讓使用者可以透過它以安全且一致方式來存取混合雲應用中的資料。還加強支援舊版31位元COBOL程式碼和64位元Java交互作業能力，可以更容易執行64位元Java應用。此外，新版z/OS也把雲原生管理能力帶到大型主機z/OS中，以及提供更現代化操作介面。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端生產力應用 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料加密 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">企業版Gmail、行事曆服務終於能支援Google用戶端加密機制，強化用戶隱私控管</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(4)(1).png" style="width: 600px; height: 347px;" /></p> <p>繼去年Google讓自家雲端生產力應用Workspace部分套件，如Drive雲端硬碟、 Meet會議、 Docs文件、試算表等開始能夠支援Google用戶端（client-side encryption，CSE）加密機制，最近， Google也把這項加密功能擴大延伸到Gmail、行事曆服務都能支援，但只有Workspace企業及教育用戶能使用。</p> <p>透過這項加密技術，未來企業內部員工使用Gmail傳送信件或圖片、檔案時，在資料還沒傳到Google雲端伺服器前就會提前加密完成，透過這樣的方式，可確保資料就算送上Google公雲也無法從雲端伺服器中解讀原始信件或檔案內容，以此來強化對資料隱私的保護。加入CSE加密功能後，還帶給用戶更大主控權，可管理加密金鑰及控管存取這些金鑰的身分服務，來滿足各家企業對於法規遵循的要求。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">無伺服器應用 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">AWS推出能快速建置無伺服器應用的視覺化設計工具Application Composer</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%963-%E5%9C%963_Cloud%E5%91%A8%E5%A0%B1(1)(2).jpg" style="width: 600px; height: 314px;" /></p> <p>最近，AWS推出名為Application Composer的雲端新服務，這是一個可以快速建置無伺服器應用的視覺化設計工具，讓使用者只要用拖拉操作，就能迅速將多個AWS服務組合起來，並連接到應用程式架構中，以此建立和部署無伺服器應用，因為是透過視覺化介面操作和拖移設計，即使不懂無伺服器的開發人員也能很快上手。</p> <p>AWS在去年底re:Invent大會上釋出預覽版，近日推出正式版，除了增加新功能之外，使用者以Application Composer來設計應用架構時，還能使用AWS基礎設施即程式碼服務CloudFormation或套用無伺服器應用程式範本，也能提供後續架構版本的維護。該服務目前已於美國東區、西區和亞洲部分地區推出。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端營收 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CRM </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">不畏經濟放緩衝擊！雲端CRM巨頭Salesforce公布2022年第4季業績成長仍破1成，達83億美元</span></strong></p> <p>雲端CRM龍頭Salesforce近日公布2022年第4季以及全年財報，與前年同期相比，第4季營收成長14%，達到83.8億美元，加上前三季，合併全年總營收為314億美元，較前年增長18％。</p> <p>進一步來看各別業務營收，以雲端訂閱和支援業務的營收最多，共達290.2億美元，增長18%，這類訂閱服務有包括行銷雲、銷售雲、數據雲等，由此反映出企業對於雲端CRM相關投資需求，並未受到當前經濟不景氣大環境所影響而趨於保守。至於專業服務和其他收入的營收雖有增長，但與雲端營收仍有不少差距，只有23.3億美元。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端開採 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 網路威脅 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">研究：2022年駭客所開採的雲端漏洞增長95%</span></strong></p> <p>美國資安業者CrowdStrike在新公布的2023年全球威脅報告中指出，跟前年相比，去年網路威脅有明顯改變，特別是以雲端為攻擊目標的網路攻擊有大幅增長的趨勢。該公司資安團隊從CrowdStrike Falcon網路平臺分析來自企業用戶每日上兆起例行事件的數據，進而統整出過去一年網路威脅攻擊最新變化與趨勢。</p> <p>其中在雲端威脅方面，該報告指出，單是2022年由駭客或犯罪者所開採的雲端漏洞就增加了95%，增長幅度很快，不僅如此，該報告也發現，犯罪者基於這個目的而採取攻擊行動的案件量足足增長兩倍，顯示出除了以往常見攻擊途逕之外，雲端已逐漸成了駭客鎖定攻擊的新重點。</p> <p>圖片來源／金管會、GCP、AWS</p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.Salesforce推出採用Hyperforce架構新的雲端維運區域，讓企業更容易管控內部數據符合歐盟法遵</strong></p> <p><strong>2.為布局雲端運算市場，雲端CDN業者Akamai收購雲端儲存商Ondat</strong></p> <p><strong>3.IBM與資安廠商Cohesity合作推出雲端資料保護解決方案</strong></p> <p><strong>4.西班牙電信Telefónica大舉上雲，更要把旗下Vivo資料中心關鍵系統全面遷上OCI公雲</strong></p> <p><strong>資料來源：iThome整理，2023年3月</strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2023/3/9 12:29作者余至浩https://www.ithome.com.tw/news/155839
Databricks供用戶簡單部署模型服務，降低機器學習應用開發門檻
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apache Spark技術團隊所成立的新創<a href="https://www.databricks.com/blog/2023/03/07/announcing-general-availability-databricks-model-serving.html">Databricks正式推出Model Serving</a>，這是一項無伺服器機器學習模型服務，透過將模型部署在湖邊小屋（Lakehouse）就近整合資料，用戶可以利用REST API存取模型，以快速建構包括個人化建議、聊天機器人和詐騙偵測等即時機器學習應用程式。</p> <p>不少企業希望在應用程式添加機器學習技術，提供創新服務，但Databricks提到，即時機器學習系統需要快速可擴展的服務基礎架構，不只需要專家知識建立和維護，也需要進行監控、自動部署和模型再訓練等工作，這對企業來說是一大挑戰。</p> <p>透過API提供機器學習服務則有助克服此挑戰，Databricks模型服務將模型部署於資料和訓練基礎設施旁，以進一步簡化用戶在機器學習生命周期管理工作。模型服務建構在Databricks湖邊小屋服務之上，使資料和人工智慧整合至同平臺，提供一個無伺服器解決方案，供企業以整合工具的方式添加機器學習技術，加速創新應用開發。</p> <p>用戶不需要考慮底層，由Databricks處理基礎設施的可擴展性，以及版本相容性和程式修補，且模型服務能夠原生與各種服務整合，用戶在單一平臺就能管理資料擷取、訓練、部署和監控整個機器學習工作流程，掌握模型生命周期整體情況。</p> <p>模型服務整合Databricks特徵商店，而特徵商店是一個方便查詢和共享特徵的集中式儲存庫，用戶可在訓練期間定義一次特徵，之後便由Databricks自動擷取並聯合相關特徵，以完成推論工作負載。Databricks模型服務還整合MLflow自動部署模型，用戶只要提供模型，MLflow便能自動準備容器，並將其部署成無伺服器服務。</p> </div></div></div>
2023/3/8 21:27作者李建興https://www.ithome.com.tw/news/155823
Salesforce與OpenAI合作在Slack與CRM等工具整合ChatGPT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Salesforce推出客戶關係管理專用的生成式人工智慧<a href="https://www.salesforce.com/news/press-releases/2023/03/07/einstein-generative-ai/">Einstein GPT</a>，Einstein GPT整合了Salesforce原有的人工智慧模型、資料，以及OpenAI的生成式人工智慧模型ChatGPT，官方提到，由於Einstein GPT僅使用企業可用的資料，能夠生成可靠的內容加速產出行銷內容。另外，Salesforce還宣布在協作軟體<a href="https://www.salesforce.com/news/stories/chatgpt-app-for-slack/">Slack整合ChatGPT</a>，以提供對話摘要等功能。</p> <p>Salesforce提到，Einstein GPT是第一個客戶關係管理生成式人工智慧，能夠協助行銷人員生成個人化電子郵件，更快速且專業地回覆客戶的問題。同時，Einstein GPT也能夠產生針對性內容，提高行銷活動的回應率，甚至自動替開發人員產生程式碼。</p> <p>Salesforce原本就已經使用自家開發的人工智慧技術Einstein AI，每天在Customer 360執行超過2,000億次預測，現在Salesforce將自家Einstein AI，與OpenAI的ChatGPT對話模型相結合，使得用戶能夠以自然語言指示人工智慧執行自動化任務，並創建個人化內容。</p> <p>包括銷售、行銷、客戶關係和開發等Salesforce產品皆整合Einstein GPT，針對銷售應用，Einstein GPT可自動完成銷售相關任務，諸如編寫電子郵件、安排會議等，而Einstein GPT也能根據過去案例筆記產生知識文章，並自動生成聊天回應內容，協助提供個人化且快速的客戶服務。</p> <p>Einstein GPT能動態生成個人化行銷內容，還會在Slack Customer 360應用程式中提供客戶分析，針對銷售機會提供智慧摘要，並且提供新知識文章等客戶服務。開發者也能獲得Einstein GPT的協助，官方提到，Einstein GPT結合Salesforce研究院開發的大型語言模型，可生成程式碼提升開發人員工作效能。</p> <p>另外，Salesforce也宣布推出ChatGPT for Slack，藉由在Slack添加由OpenAI開發的ChatGPT，使得Slack能夠替對話進行摘要，協助用戶編寫訊息草稿，或是加速使用者了解特定主題。目前ChatGPT for Slack仍在Beta測試中。</p> </div></div></div>
2023/3/8 21:30作者李建興https://www.ithome.com.tw/news/155825
JetBrains程式碼品質檢查工具Qodana現可對PHP程式碼進行污點分析
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JetBrains在程式碼品質檢查工具Qodana，加入<a href="https://blog.jetbrains.com/qodana/2023/03/secure-your-php-code-with-taint-analysis-by-qodana/">PHP程式碼污點分析（Taint Analysis）功能</a>，Qodana現在能夠找出PHP程式碼中存在的SQL注入或是跨站腳本攻擊等問題，協助開發者編寫更安全的程式碼。</p> <p>由JetBrains所開發的程式碼品質檢查工具Qodana，能夠在用戶的持續整合工具中，提供伺服器端靜態分析功能，Qodana能夠在持續整合環境，提供與PhpStorm和其他JetBrains IDE相同的程式碼品質檢查功能。</p> <p>程式碼的污點，指得是經外部使用者修改的輸入值，可能對程式碼產生安全風險，因此當程式存在污點，且允許使用未經驗證的輸入資料，則惡意攻擊者便能夠透過執行惡意程式碼片段，進行SQL注入、算術溢位、跨站腳本和路徑走訪攻擊，進而達成破壞系統、竊取憑證，或是改變系統行為等目的。</p> <p>因此在審查程式碼時進行污點分析，便能夠額外提高程式碼的安全性，污點分析則是評估不受信任的用戶輸入，在函式和方法間傳遞的過程，目的是要避免因為意料之外的輸入，對程式執行造成的影響。</p> <p>過去開發者可以手動進行污點分析，找出所有接收外部使用者輸入的地方，並且追蹤所有資料傳遞過程，主要防止污點傳播的方法有兩個，第一是清理資料，將資料轉換成更安全的狀態，第二則是驗證資料，檢查資料符合所需模式與否。</p> <p>而在Qodana for PHP 2023.1 EAP中加入的污點分析預覽功能，能夠在污點源頭，也就是資料接受器追蹤資料，以及在使用該資料，卻未經清理和驗證時發出警示。污點分析能夠掃描程式碼，並且突出顯示存在污點以及具有潛在漏洞的程式碼，開發者能夠以PhpStorm開啟問題，視覺化查看污點資料流，並且進行修改。</p> <p>官方表示，Qodana for PHP是他們發布的第一個Linter，現在開放PHP開發者測試使用，待他們收集更多回饋後，會計畫添加更多語言的污點分析。</p> </div></div></div>
2023/3/8 21:32作者李建興https://www.ithome.com.tw/news/155829
【資安日報】3月8日，ChatGPT被用於投資詐騙攻擊、Windows信任的資料夾被用於繞過使用者帳號控制防護措施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又是假借ChatGPT來發起的攻擊行動了！繼之前有人用於產生惡意程式碼、製作釣魚郵件內容，也有宣稱提供相關軟體來散布惡意程式的情況，現在有人聲稱採用ChatGPT架設AI對話機器人，目的是要對使用者進行投資詐騙。</p> <p>有駭客在木馬程式攻擊行動裡企圖繞過使用者帳號控制（UAC）機制，他們假造了Windows作業系統預設信任的資料夾，藉此在不受管制的情況下執行木馬程式。而這樣的手法是資安人員在2020年發現，如今已被用於實際攻擊行動。</p> <p>面對廠商已不再支援的產品，仍有可能被公布漏洞，若企業與組織仍在使用，IT人員千萬別以為可以放著不管，因為這些漏洞很可能成為駭客鎖定的目標。有資安業者發現，VMware於2022年10月修補的重大漏洞CVE-2021-39144，在12月出現大規模攻擊行動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bitdefender.com/blog/hotforsecurity/bitdefender-labs-warns-of-fresh-phishing-campaign-that-uses-copycat-chatgpt-platform-to-swindle-eager-investors/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客架設冒牌ChatGPT平臺向用戶發動網釣攻擊，目標是進行投資詐騙</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/image--17-.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image--17-.png" style="width: 300px; float: right;" /></a>人工智慧機器學習語言模型ChatGPT爆紅，攻擊者無不想方設法假借其名義發動攻擊。資安業者Bitdefender揭露針對ChatGPT用戶的釣魚郵件攻擊行動，駭客假借寄送廣告信的名義，針對丹麥、德國、澳洲、愛爾蘭、荷蘭使用者下手，宣稱採用ChatGPT的聊天機器人能讓他們致富，每個月能賺進超過1萬美元利潤。</p> <p>一旦使用者接受此聊天機器人的提議，就會要求提供電子郵件信箱，以及設定WhatsApp帳號的電話號碼。若是照做，使用者就會接到聲稱是Import Capital的英國投資公司電話，對方使用羅馬尼亞語進行說明，並要求使用者至少投資250歐元。</p> <p>但研究人員根據對方使用的網域名稱進行調查，英國政府並未許可這家公司從事相關業務。他們認為，這樣的攻擊行為接下來很可能會在全球漫延。</p> <p><a href="https://www.sentinelone.com/blog/dbatloader-and-remcos-rat-sweep-eastern-europe/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">UAC再度出現被繞過的情況！Windows信任的資料夾存在可被繞過的弱點</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/DBatLoader_and_Remcos_RAT_Sweep_Eastern_Europe_-_Google_Docs-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/DBatLoader_and_Remcos_RAT_Sweep_Eastern_Europe_-_Google_Docs-2.png" style="width: 300px; float: right;" /></a>資安業者SentinelOne揭露鎖定東歐的木馬程式Remcos RAT攻擊行動，駭客先是假借發票、招標文件、財務資訊為由寄送釣魚郵件，挾帶副檔名為lz的壓縮檔，一旦收信人打開壓縮檔裡面的「文件」，電腦就會從OneDrive、Google Drive等雲端檔案共用服務，下載第二階段的惡意酬載DBatLoader，進而在受害電腦植入Remcos RAT。</p> <p>值得留意的是，部署木馬程式之前，DBatLoader建立Windows認定是重要資料夾的路徑，目的是規避系統內建的使用者帳號控制（UAC）機制。例如，C:\Windows \System32（Windows後面多一個空格），由於UAC會忽略資料夾名稱中的空格，而將此位置視為系統重要資料夾，使得存放在該資料夾裡的惡意程式不受管制而能直接執行。</p> <p><a href="https://lab.wallarm.com/vmware-nsx-manager-vulnerabilities-being-actively-exploited-in-the-wild/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">VMware終止支援產品的重大漏洞出現攻擊行動</span></strong></a></p> <p>應用程式漏洞檢測業者Wallarm Detect近日針對CVE-2021-39144（CVSS風險評分9.8分）的漏洞攻擊行動提出警告，此漏洞出現於VMware已終止支援的NSX Data Center for vSphere（NSX-V），起因是這些系統採用的程式庫XStream 存在漏洞。VMware於10月25日發布修補程式，並於27日提出警告已有概念性驗證（PoC）程式碼。這樣的漏洞不光波及已終止支援的產品，也影響Cloud Foundation 3.11版。</p> <p>該資安業者自12月8日發現駭客積極利用上述漏洞發動攻擊，並在同月下旬達到高峰，一天有超過4,600次攻擊，大部分攻擊鎖定Linode與Digital Ocean等資料中心。</p> <p><a href="https://www.rapid7.com/blog/post/2023/02/28/a-shifting-attack-landscape-rapid7s-2022-vulnerability-intelligence-report/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾半數漏洞公開後一週內就出現攻擊行動</span></strong></a></p> <p>資安業者Rapid7針對2022年出現的漏洞進行分析，結果發現駭客利用漏洞的速度較往年更快──相較於2021年快上12%、較2020年快上87%。2022年出現的漏洞有56%在公開後的7天內就出現攻擊行動，中位數為1天。</p> <p>研究人員表示，整體而言，2022年利用新漏洞發動攻擊的頻率約下降15%，但大規模的漏洞利用攻擊仍是常態，其中，有43%的漏洞攻擊與零時差漏洞有關。</p> <p>比較特別的是，勒索軟體駭客2022年利用漏洞的情況大幅降低，較前年少了33%，研究人員認為，這樣的現象與駭客採用的手法更加複雜有關，且有不少攻擊者選擇向掮客購買初期入侵管道，以增加攻擊速度，因此，不應掉以輕心。</p> <p><a href="https://www.tenable.com/blog/tenable-2022-threat-landscape-report-reduce-your-exposure-by-tackling-known-vulnerabilities"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">2022年的漏洞濫用攻擊，有極大比例使用是2017年至2021年列管的漏洞</span></strong></a></p> <p>資安業者Tenable對於2022年的威脅態勢進行彙整，指出從2022年至2023年1月9日，共有25,112個漏洞登記CVE編號進行列管，較2021年的21,957個增加14.4%、2016年的6,447個增加287%。</p> <p>其中，他們認為2022年最嚴重的漏洞包含了Log4Shell（CVE-2021-44228）、Follina（CVE-2022-30190）、ProxyShell（CVE-2021-34473），以及Atlassian Confluence重大漏洞CVE-2022-26134。</p> <p>但研究人員特別提及，過往漏洞仍在2022年造成相當嚴重的威脅──鎖定2017至2022年舊漏洞的濫用攻擊數量驚人，高於2022年被揭露的4大嚴重漏洞。這些漏洞存在於各式品牌的IT系統，包含微軟Exchange、Zoho ManageEngine，Fortinet和Pulse Secure的SSL VPN解決方案等。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.helpnetsecurity.com/2023/03/07/vulnerability-dji-drones-reveal-pilot-location/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">DJI大疆無人機出現漏洞，恐曝露控制者的位置</span></strong></a></p> <p>德國波鴻魯爾大學、資安研究機構Helmholtz Center for Information Security（CISPA）的研究團隊聯手，針對大疆（DJI）無人機進行分析，結果總共發現16個漏洞，這些漏洞可被用於發動阻斷服務攻擊（DoS），或是執行任意程式碼，其中14個可透過操作者的智慧型手機遠端發動攻擊，並導致正在飛行的無人機失控、墜毀。</p> <p>研究人員指出，根據他們逆向工程的分析結果，操作者的遙控器與無人機之間傳輸的訊息並未加密，而有可能曝露操作者的隱私，再者，則是他們也看到能用於提升權限的弱點──攻擊者可在兩臺無人機和遙控器取得較高的權限，以便採取進一步的攻擊行動。大疆接獲研究人員通報後，已修補上述漏洞。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.nstc.gov.tw/folksonomy/detail/b62a118f-e022-4efb-9f73-7d13fc1724b6?l=ch"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">培育資安女力，國科會第3屆資安女婕思、女婕思好科技開放報名</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/335099633_1271894136733528_194112013907249298_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/335099633_1271894136733528_194112013907249298_n.jpg" style="width: 300px; float: right;" /></a>3月8日是婦女節，資安需要更多女性加入，國家科學及技術委員會主任委員吳政忠、NEC臺灣董事總經理賴佳怡、中研院院士李德財、教育部資訊及科技教育司副司長邱仁杰等，攜手高中校長、女同學代表、學者及企業代表，共同為「2023 GiCS 第3屆尋找資安女婕思」及「TechGiCS女婕思好科技」活動揭開序幕。</p> <p>本屆尋找資安女婕思競賽規畫高中職、大專校院組，並包含資安闖天關及創意發想賽等主題，預定於5月6日在臺南沙崙資安暨智慧科技研發大樓舉辦決賽。</p> <p>今年國科會也繼續舉辦名為女婕思好科技的研習活動，針對職場女性擴大舉辦科技通識相關領域的大師沙龍講座，規畫於4月初開始研習。</p> <p><a href="https://www.infosecurity-magazine.com/news/twothirds-of-european-started-zero/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歐洲多數企業與組織擁抱零信任策略，有高達三分之二的比例開始採用</span></strong></a></p> <p>根據市場調查機構Forrester的調查，2022年約有三分之二的歐洲組織已開始制訂零信任（Zero Trust）的資安防護策略，相較於2020年僅有四分之一，可說是普及許多。其中，在歐洲政府機關與公部門的資安決策人員當中，有82%認為所屬的組織已針對零信任進行相關投資，較一般企業的決策者僅有72%高出不少。</p> <p>這種導入零信任防護策略大幅成長的情況，研究人員認為很可能與近期的政治事件有關，而使得關鍵基礎設施（CI）的網路安全受到關注所致。此外，該機構指出，表態正在落實或精進零信任策略的組織，幾乎在過去一年都遭遇資安事故，而可能成為這些組織採取相關策略的主要推力。根據國別來看採行零信任策略的組織比例，德國79%最高，其次是英國68%、法國66%。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-excel-now-blocking-untrusted-xll-add-ins-by-default/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟封鎖來自網路的Excel附加元件</span></span></strong></a></p> <p><a href="https://therecord.media/germany-ransomware-haw-hamburg-vice-society"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">德國大學傳出遭到勒索軟體Vice Society攻擊</span></span></strong></a></p> <p><a href="https://cofense.com/blog/emotet-sending-malicious-emails-after-three-month-hiatus/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體Emotet再度捲土重來，假借發票的名義散布</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/bidencash-market-leaks-over-2-million-stolen-credit-cards-for-free/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">信用卡資料黑市BidenCash洩露逾2百萬張金融卡資料</span></span></strong></a></p> <p><a href="https://www.securityweek.com/epa-mandates-states-report-on-cyber-threats-to-water-systems/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國要求自來水供應業者在稽核過程必須報告資安威脅態勢</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155813">【3月7日】宏碁再傳資料外洩事故、一百多家組織的居易路由器遭木馬程式HiatusRAT入侵</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155798">【3月6日】研究人員找出濫用微軟搜尋引擎AI機器人騙取使用者個資的方法、組態配置不佳的Redis伺服器被用於挖礦</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155764">【3月3日】中國駭客組織TA416針對臺灣政府機關而來、APT41鎖定亞洲材料業者下手</a></strong></p> </div></div></div>
2023/3/8 18:27作者周峻佑https://www.ithome.com.tw/news/155833
微軟公開預覽先進電腦視覺基礎模型Florence
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟公開Project Florence的最新成果，<a href="https://azure.microsoft.com/zh-tw/blog/announcing-a-renaissance-in-computer-vision-ai-with-microsofts-florence-foundation-model/">公開預覽Florence基礎模型</a>，該模型現在已整合至Azure Cognitive Service for Vision，提供新的電腦視覺服務。新的視覺服務提供自動圖說、智慧裁切、分類、背景移除和圖像搜尋等功能，同時該服務還提供負責任人工智慧功能，用戶可以控制追蹤活動、分析環境，並接收即時警示。</p> <p><a href="https://www.microsoft.com/en-us/research/project/projectflorence/">Project Florence是微軟的人工智慧認知服務研究計畫</a>，目的是要研發先進的電腦視覺技術，開發下一代電腦視覺辨識框架。官方提到，從2012年深度學習技術有所突破以來，圖像分類的準確率，已經從50.9％上升到90.2％。</p> <p>但是微軟認為，距離實際應用電腦視覺技術仍有一段路要走，通用物件偵測的精確度只有65.9％，無法實際應用在關鍵任務，況且在影片上的應用挑戰更大。因此微軟想藉由Project Florence，推進電腦視覺技術的發展。</p> <p>微軟在2021年發表<a href="https://www.microsoft.com/en-us/research/publication/florence-a-new-foundation-model-for-computer-vision/">《Florence: A New Foundation Model for Computer Vision》</a>論文，Florence是一個電腦視覺的基礎模型，在資料集ImageNet-1K零樣本分類中，top-1精確度達到83.74％，top-5精確度可達97.18％。微軟提到，該模型經數十億筆圖像文字資料進行訓練，現在整合至Azure Cognitive Service for Vision，提供生產用電腦視覺服務。</p> <p>微軟開始在旗下的應用程式中整合新的視覺服務，包括Teams、PowerPoint、Outlook、Word、Designer、OneDrive等Microsoft 365應用程式，Teams應用新模型的圖像分割功能，而PowerPoint、Outlook和Word以模型替圖像自動產生替代文字，以提高無障礙性，Designer和OneDrive則是運用新視覺服務的圖像標記、圖像搜尋和背景生成，以簡化圖像搜尋和編輯任務。另外，Microsoft Datacenters也使用新的視覺服務，強化安全性和基礎架構可靠性。</p> <p>用戶現在可於Vision Studio立即試用由Florence基礎模型所加持的電腦視覺功能，諸如圖說生成、圖像搜尋、背景移除、模型自訂等功能。在Vision Studio中還能試用影片總結功能，不需要額外的後設資料，讓用戶可直覺地搜尋影片內容。</p> </div></div></div>
2023/3/8 17:01作者李建興https://www.ithome.com.tw/news/155822
Google在臺投入3億元設立基金，助國內新聞產業數位轉型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位發展部（數位部）去年底力促國內新聞產業與Google、Meta等大型數位平臺對話，針對新聞內容與大型平臺之間的廣告分潤議題建立共識，在首輪對話之後，Google在今天（3/8）宣布將以3年共3億元台幣成立「台灣新聞數位共榮基金」，委託數位經濟暨產業發展協會（DTA）獨立管理，以協助國內新聞產業轉型為目的，今年上半年就會對外徵件。</p> <p>過去Google曾推動Google新聞倡議計畫（Google News Initiatives,GNI），提供基金，開放數位媒體申請，鼓勵新聞產業製作高品質新聞，並打擊假新聞。此次成立的共榮基金擴大Google與台灣新聞產業的合作，開放台灣所有的新聞媒體申請，以製作具有原創性內容、符合公眾利益的媒體，可向DTA申請，由DTA邀請數位轉型、新聞、技術方面專家成立的諮詢委員會、指導委員會提供建議，確認方案後再由DTA審定、核發經費。原則上為每個單位每年申請一項計畫。</p> <p>DTA理事長陳正然表示，共榮基金的成立目的是協助台灣新聞產業，包括電子、平面及各種新創媒體，未來針對新聞內容願意作創新嘗試，符合公眾利益者，都是基金贊助的對象。Google不會介入基金運作，由DTA獨立管理，針對媒體的提案，邀請產業界、學界專家、公民團體等代表組成委員會，提供專業上的協助。</p> <p>陳正然表示，DTA將邀請專家，儘快確定共榮基金開放外界申請的方式、申請基金的上限等等，準備工作都完備之後，預期最快在今年5月會對外開放徵件。</p> <p><span style="color:#B22222;"><strong>數位部：仍支持新聞有價，廣告分潤立法仍是選項</strong></span></p> <p>新聞內容產業和跨國數位平臺之間的廣告分潤議題，由於跨國大型平臺掌控流量，新聞內容產業在廣告分潤協商上處於不對等的地位，已受到國外政府或大型經濟體的重視，為解決新聞產業和跨國大型平臺間的廣告分潤爭議，澳洲政府立法「新聞議價法」，讓新聞媒體從產製的內容中獲得合理的報酬，當媒體與數位平臺無法達成共識時，援引該法強制仲裁，歐盟也在新的著作權指令中提出鄰接權，確保出版商從使用新聞內容的科技平臺獲得合理報酬。</p> <p>去年我國成立數位發展部，數位部其中一個重要任務便是促成數位經濟發展，對於國內新聞內容產業與跨國大型數位平臺間的廣告分潤爭議，去年底推動新聞內容產業與跨國數位平臺業者第一輪談話，希望對爭議形成共識，此次Google成立共榮基金，數位部認為是Google展現傾聽新聞產業聲音的誠意，也是第一輪對話初步成果，盼後續的對話達成更多共識。</p> <p>對於將廣告分潤以立法來解決，今天出席活動的數位部次長李懷仁表示，數位部支持新聞有價的立場，廣告分潤的立法仍是選項之一，未來期望透過推動對話，促成新聞媒體和平臺間更多合作的可能。在第一輪對話之後，數位部已開始規畫接下來第二輪對話，希望能在3月下旬推動。</p> <p>除了Google展現與媒體產業合作的誠意之外，李懷仁指出，另一個大型數位平臺Meta也在研擬中，並與其總部溝通中，目前數位部無法代其揭露方案內容。</p> </div></div></div>
2023/3/8 17:28作者蘇文彬https://www.ithome.com.tw/news/155824
金融業開放上雲將有重大鬆綁！未來境外公雲不是重大消金應用免申請
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會於7日宣布金融業委外辦法將有重大鬆綁，尤其是金融業上雲規定將大幅放寬，未來只有重大消費金融應用要上到境外公有雲，以及主管機關指定類型，才要申請核准，其餘不用申請。相較於4年前，金管會這次對於金融業上雲鬆綁又更進一步。修正辦法將從本周起正式預告60天，最快Q3正式上路。</p> <p>過去銀行委外使用雲端服務時，只要是涉及重大性委外作業（如客戶資料）或是將作業委託到境外公雲，都得事先向金管會申請核准，需耗費不少時間，考量到上雲對於金融業數位轉型及金融服務的敏捷彈性日益重要，因此金管會決定調整放寬上雲作業規定。</p> <p>金管會預告修正「金融機構作業委託他人處理內部作業制度及程序辦法」，其中關於委外上雲規範修正，主要重點是對境內外雲端委外作業規定和程序大鬆綁，以後銀行業者使用境內雲端服務（如GCP或AWS），處理一般性事務或辦公應用，不需要事先申請核准，也就是說，以後可以直接使用境內公雲服務來儲存資料，免申請。</p> <p>不僅如此，對於境外雲端服務使用規定也放寬，允許業者免申請就能將各自業務資訊系統上到境外公雲，除非是屬於重大性消金業務系統，或主管機關指定類型，才須向金管會申請取得核准。另外，還大幅簡化委外上雲申請核准的程序，有首案申請通過核定後，其他金融業者之後要用就不需要重新申請，如Microsoft 365等。這項鬆綁規定，將讓金融業很多上雲採用更容易。</p> <p>但使用雲端服務仍需遵循風險管控、客戶資料儲存境內為原則等八大項規定。金管會這次修法也強化規範客戶資料保護及確保雲端技術應用安全可靠性，同時要求金融機構落實委外作業控管，成為內部治理架構一環。</p> </div></div></div>
2023/3/8 08:28作者余至浩https://www.ithome.com.tw/news/155815
Google用於YouTube的通用語音模型，現可辨識超過100種語言
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在去年的時候宣布，將要建構一個能夠支援1,000種語言的機器學習模型，現在釋出階段性研究成果，Google的<a href="https://sites.research.google/usm/">通用語音模型（USM）</a>已經能夠支援100種語言，這項成果目前發表在arXiv論文預印本網站。</p> <p>研究人員提到，傳統的監督式學習方法欠缺可擴展性，要將語音技術擴展至更多的語言，便需要有足夠多的資料訓練高品質模型。過去資料準備的常見方法，需要以人工手動標記音訊資料，而這是耗時且昂貴的過程，更何況對於缺乏資源的語言，更是難以收集足夠的訓練資料。而自我監督式的學習，反而可以利用純音訊資料，因此更可能達到擴展至數百種語言的目標。</p> <p>Google的通用語音模型則是使用自我監督式學習，運用大型未標記的多語言資料集預訓練模型編碼器，並使用較小的標記資料集進行微調，使模型能夠辨識缺乏資源的語言。通用語音模型具有20億參數，使用1,200小時的語音和280億條文字句子進行訓練。</p> <p>通用語音模型主要用於YouTube，不只可以對英語和漢語執行自動語音辨識，甚至還可以辨識資源缺乏的阿薩姆語、馬達加斯加語和宿霧語等。目前通用語音模型能夠對100多種語言執行自動語音辨識，儘管該模型所使用的標記訓練資料集，僅有Whisper模型的七分之一，但是在跨多種語言的語音辨識任務，卻有相同甚至更佳的表現。</p> <p>通用語音模型在其中73種語言，平均每種語言的訓練資料不到3,000小時，卻實現了低於30％的單詞錯誤率，而這是Google過去從未達到的成果。在各種公開的資料集測試，包括CORAAL、SpeechStew和FLEURS，與Whisper模型相比較，通用語音模型的單詞錯誤率都較低。研究人員還利用CoVoST資料集微調通用語音模型，和Whisper的語音翻譯能力進行比較，通用語音模型無論是在資源可用性低、中和高的語言，BLEU分數都較Whisper更佳。</p> </div></div></div>
2023/3/8 08:55作者李建興https://www.ithome.com.tw/news/155811
IBM與Cohesity合作推出雲端資料保護解決方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM與資安公司Cohesity合作，藉由結合兩家公司的資料保護、網路韌性和資料管理技術，推出<a href="https://newsroom.ibm.com/2023-03-02-IBM-and-Cohesity-Announce-New-Data-Security-and-Resiliency-Collaboration-Advancing-Enterprises-Ability-to-Fight-the-Impacts-of-Breaches-and-Cyberattacks">IBM Storage Defender解決方案</a>，使用者能夠以單一管理平面，以人工智慧和事件技術監控多個平臺，並且具有資料自動恢復功能，以保護企業不會因勒索軟體或人為錯誤等因素造成資料丟失。</p> <p>IBM Storage Defender加入了Cohesity DataProtect解決方案，可跨環境大規模恢復遺失的資料，保護存放在多雲平臺的資料來源，Cohesity DataProtect可以在本地、異地伺服器或是多雲平臺，複製和儲存資料，確保用戶在發生資料遺失時，可以快速獲取最新的資料副本。</p> <p>前身為IBM Spectrum Protect也進入Storage Defender產品組合，更名為IBM Storage Protect，能夠對實體檔案伺服器、虛擬環境和各種應用程式提供資料韌性，企業可以利用集中式介面，創建本地和雲端資料備份。Storage Defender還包含全快閃混合儲存平臺IBM Storage FlashSystem，以及用於紅帽OpenShift的容器原生儲存和資料調度服務IBM Storage Fusion。</p> <p>IBM計畫在2023年第二季推出IBM Storage Defender解決方案，一開始將先向用戶提供IBM Storage Protect和Cohesity DataProtect兩產品。</p> </div></div></div>
2023/3/8 09:15作者李建興https://www.ithome.com.tw/news/155814
微軟商務應用Dynamics 365也加入AI，可自動生成文字內容和分析訂單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在其商務應用程式<a href="https://cloudblogs.microsoft.com/dynamics365/bdm/2023/03/06/introducing-microsoft-dynamics-365-copilot-bringing-next-generation-ai-to-every-line-of-business/">Dynamics 365加入Copilot人工智慧功能</a>，在各種業務功能提供互動式人工智慧輔助，解決日常工作中的重複性任務，尤其像是客戶關係管理和企業資源規畫等，需要大量手動輸入資料的系統，Dynamics 365 Copilot能夠自動生成內容提供建議。</p> <p>有Copilot加持的Dynamics 365 Sales和Viva Sales，可協助銷售人員編寫給客戶的電子郵件，並且在Outlook創建Teams會議的電子郵件摘要。而Dynamics 365 Customer Service中的Copilot，則可以根據客戶的對話和電子郵件產生詢問的解答草稿，並且能夠把知識庫和歷史案例作為基礎，回應客戶的問題。</p> <p>而客戶分析應用Dynamics 365 Customer Insights，Dynamics 365 Copilot讓行銷人員以自然語言操作資料平台，以獲得高度自定且具針對性的客戶分群，並獲得市場分割建議。在Dynamics 365 Marketing中，Copilot能夠提供電子郵件行銷活動靈感，人工智慧可根據行銷人員輸入的主題，以及現有的電子郵件等資料提供行銷建議。</p> <p>Dynamics 365 Business Central用戶有Copilot輔助，上架產品更簡單，僅需提供產品的屬性，Copilot便能夠快速生成產品描述，還能夠設定語調、格式和長度自定描述，Business Central和Shopify整合，共同客戶只要透過簡單點擊，就可以快速將帶有描述的產品發布到Shopify商店。另外，在Dynamics 365 Supply Chain Management中，Copilot則會主動標記可能影響關鍵供應鏈流程的問題，諸如天氣、財務和地理等，並且對訂單進行預測分析。</p> <p>微軟積極投資人工智慧，<a href="https://www.ithome.com.tw/news/109620">與OpenAI早在2016年就展開人工智慧研究</a>，並在之後<a href="https://www.ithome.com.tw/news/145340">共同發布人工智慧程式開發助理GitHub Copilot</a>，微軟也開始於各項既有產品加入人工智慧功能，像是<a href="https://www.ithome.com.tw/news/144649">在Power Apps嵌入GPT-3讓用戶以自然語言開發應用</a>，<a href="https://www.ithome.com.tw/news/155259">微軟更在2023年1月宣布擴大與OpenAI的合作</a>，接著<a href="https://www.ithome.com.tw/news/155351">在Teams推出內建語言模型GPT-3.5的Premium版本</a>，還<a href="https://www.ithome.com.tw/news/155429">以ChatGPT強化搜尋引擎Bing和瀏覽器Edge</a>，現在於Dynamics 365也加入Copilot人工智慧功能，逐步強化自家的人工智慧產品組合。</p> </div></div></div>
2023/3/8 08:40作者李建興https://www.ithome.com.tw/news/155806
GitHub Desktop 3.2供開發者預覽拉取請求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在最新的GitHub Desktop 3.2，用戶可以用到新功能預覽拉取請求，查看要合併到儲存庫主要分支的所有變更差異，官方提到，這項功能是來自GitHub Desktop 3.1的功能進化，在之前的版本用戶可以查看多個提交的變更差異，確保要推送的程式碼沒有預期外的變更。</p> <p>拉取請求是貢獻者對儲存庫程式碼提出更改建議的方式，而新的預覽拉取請求功能，供開發者在打開拉取請求之前，先查看功能分支上所有提交的變更差異，使開發者在離開本地開發環境之前，能夠進行第二次檢查。這項功能讓開發者在將變更推送到GitHub.com之前，在本地端進行審查，以確保拉取請求中沒有除錯用等不必要的程式碼。</p> <p>除了預覽拉取請求這項更新之外，GitHub Desktop也調整了強制推送和擷取的操作，過去用戶只能在Rebase等操作之後，進行強制推送，但現在開發者只要發現分支處在分歧的狀態下，就可以使用強制推送。而在新版的本地分支中，當開發者尚未準備發布，但是想獲取查看主分支上是否存在可合併的變更，開發者不用再切換分支，可以直接使用儲存庫選單以擷取變更。</p> </div></div></div>
2023/3/8 08:48作者李建興https://www.ithome.com.tw/news/155808
【資安日報】3月7日，宏碁再傳資料外洩事故、上百家組織的居易路由器遭木馬程式HiatusRAT入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>宏碁曾在2021年兩度遭到駭客入侵的事故，但最近傳出有人聲稱成功入侵並竊得內部資料兜售的情況。根據賣家在暗網的網路犯罪論壇上的廣告內容，駭客主要取得的資料，大多與筆電、桌上型電腦產品有關，像是產品簡報、BIOS檔案，或是部署Windows作業系統的相關工具。</p> <p>有駭客使用名為HiatusRAT的木馬程式針對兩款居易路由器設備下手，進而將路由器當作竊取內部環境資料的管道。研究人員發現駭客從2022年7月開始發動相關攻擊，但他們推測，這起攻擊行動很可能在2022年以前就出現。</p> <p>針對工控系統（ICS）漏洞提出警告的情況也值得留意。美國、德國先後針對數個漏洞提出警告，其中部分漏洞的CVSS風險評分接近滿分，而有可能被用於執行任意程式碼，或是導致系統無法運作。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://gridinsoft.com/blogs/acer-breach-2023-160-gb-leaked/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">宏碁再傳資料外洩事故</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/acer-leak.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/acer-leak.png" style="width: 300px; float: right;" /></a>資安業者Gridinsoft揭露臺灣科技大廠宏碁今年2月中旬發生的資料外洩事故，駭客在暗網論壇聲稱竊得超過160 GB資料，總共約有655個資料夾、2,869個檔案，這些資料大部分與該公司的產品相關，例如：簡報檔案、產品除錯手冊、宏碁自行打造的應用程式軟體、BIOS檔案、可替換的Windows數位產品金鑰（RDPK）、Windows映像檔（WIM）檔案、ISO檔案、Windows系統開發映像檔（SDI）檔案等，並要求買家支付門羅幣進行交易。</p> <p>為了取信買家，這名賣家提供數張螢幕截圖，內容包括系統安裝指引、UEFI與BIOS的組態配置，以及該公司部分新產品的藍圖。這並非宏碁首度遭到網路攻擊──2021年勒索軟體REvil兩度入侵得逞，並宣稱透過相同的漏洞入侵。</p> <p><a href="https://blog.lumen.com/new-hiatusrat-router-malware-covertly-spies-on-victims/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">上百家組織的居易路由器遭駭客組織鎖定，植入木馬程式HiatusRAT</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/HiatusRAT-fig4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/HiatusRAT-fig4.png" style="width: 300px; float: right;" /></a>資安業者Lumen揭露名為HiatusRAT的木馬程式攻擊行動，駭客從2022年7月，鎖定使用居易Vigor 2960、3900路由器的企業發動攻擊，有超過100家企業受害，主要分布於歐洲、北美、南美。</p> <p>研究人員無法判斷駭客入侵路由器的方式，然而攻擊者一旦成功取得初始存取權限，就部署bash指令碼，並下載木馬程式HiatusRAT，以及tcpdump網路掃描工具。</p> <p>此木馬程式監聽8816埠，然後收集路由器的系統資訊、網路配置、執行的處理程序等資料，並架設SOCKS代理伺服器傳輸資料到C2伺服器。研究人員指出，全球曝險的居易路由器超過4千臺，日後很有可能還會有其他企業受害。。</p> <p><a href="https://www.metabaseq.com/fixs-atms-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">墨西哥銀行遭到ATM惡意軟體FiXS鎖定</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ATM-Fixs-Malware-Fig-10.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ATM-Fixs-Malware-Fig-10.png" style="width: 300px; float: right;" /></a>資安業者Metabase Q揭露ATM惡意軟體FiXS的攻擊行動，主要目標是墨西哥的銀行，此攻擊行動於今年2月出現，駭客透過看起來無害的處理程序隱藏蹤跡，且因為針對執行Windows作業系統、支援CEN/XFS架構的ATM設備而來，無論是那一家廠商製造的設備都有可能受害。</p> <p>研究人員指出，此惡意軟體透過外接式鍵盤與駭客互動，並會在ATM重開機30分鐘後吐鈔。研究人員指出，發動攻擊的駭客很可能來自使用俄文的地區。</p> <p><a href="https://blog.cyble.com/2023/02/28/r3nin-sniffer-toolkit-an-evolving-threat-to-e-commerce-consumers/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">電商網站客戶遭到R3NIN Sniffer工具包鎖定</span></strong></a></p> <p>資安業者Cyble揭露名為R3NIN Sniffer電商網站攻擊套件，賣家透過訂閱服務提供給駭客運用，並在惡名昭彰的俄羅斯網路犯罪論壇上兜售。此攻擊套件主要用於在電商網站竊取信用卡資料，具備在電商網站注入惡意JavaScript指令碼的功能、並能跨瀏覽器洩露竊得的信用卡資料，然後為攻擊者產生報表。</p> <p>研究人員指出，此套件還會在網頁上彈出iFrame視窗，要求使用者填寫與線上交易無關的個資。</p> <p><a href="https://techpoint.africa/2023/03/05/hackers-have-stolen-2-9-billion-from-flutterwave/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">非洲金融科技新創Flutterwave遭到駭客攻擊，損失逾420萬美元</span></strong></a></p> <p>根據科技新聞網站Techpoint Africa的報導，非洲金融科技（Fintech）新創公司Flutterwave，於今年2月上旬傳出遭到網路攻擊，該公司於2月13日向警方報案，並於19日向奈及利亞首都拉哥斯州警察局副局長說明細節，當中提及駭客經由網路攻擊，透過63筆交易，將2,949,557,867英鎊（約420萬美元）資金轉移到28個戶頭。為了清查該國金融機構收取上述贓款的帳戶，以便追回款項，警方向27家金融機構提出訴訟，並獲得拉各斯法院核准。</p> <p>此事傳出後，部分用戶表示Flutterwave帳戶遭到凍結，疑似就是這起資安事故所致。對此，Flutterwave否認遭到駭客攻擊，表示他們發現部分用戶出現不尋常交易的情況，這些使用者並未啟用該公司建立的安全措施而遇害。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/critical-vulnerabilities-allow-hackers-to-take-full-control-of-wago-plcs/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">德國針對Wago可程式化邏輯控制器漏洞提出警告</span></strong></a></p> <p>德國電腦緊急應變小組<a href="mailto:CERT@VDE">CERT@VDE</a>於2月27日發布資安通告，指出工業自動化解決方案業者Wago旗下的可程式化邏輯控制器（PLC）存在重大漏洞CVE-2022-45138、CVE-2022-45140，前者可讓攻擊者在不需通過身分驗證的情況下，讀取或配置設備部分參數，而有可能導致控制器故障；後者則是允許攻擊者透過root權限寫入任意資料，有可能被用於執行任意程式碼，或是影響整個系統運作，上述兩個漏洞CVSS風險評分都是9.8分。</p> <p>通報漏洞的研究人員Ryan Pickren表示，他會在即將發布的學術論文說明漏洞細節。</p> <p><a href="https://www.cisa.gov/news-events/alerts/2023/03/02/cisa-releases-five-industrial-control-systems-advisories"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國針對5個工控系統漏洞提出警告</span></strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）於3月2日，針對5種工業控制系統（ICS）設備：Baicells Nova無線基地臺、三菱電機MELSEC與Electric Factory Automation Engineering系統、Rittal CMC III存取系統、美敦力（Medtronic）Micro Clinician and InterStim App發布資安通告。</p> <p>其中最嚴重的漏洞是CVE-2023-0776，這項漏洞存在於Baicells的LTE無線基地臺產品線Nova 436Q、Nova 430E、Nova 430I、Neutrino 430 LTE TDD，攻擊者可用於遠端透過HTTP命令注入的方式執行Shell Code，CVSS風險評分為9.8分。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.securityweek.com/new-tool-made-by-microsoft-and-mitre-emulates-attacks-on-machine-learning-systems/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟與MITRE聯手，發布能模擬攻擊機器學習系統的工具Arsenal</span></strong></a></p> <p>近期微軟與MITRE聯手發布名為Arsenal的工具套件，此為適用於MITRE Adversarial Threat Landscape for Artificial-Intelligence Systems（ATLAS）框架的外掛程式，其功能是協助資安人員模擬對於機器學習系統的攻擊。</p> <p>此外掛程式整合了微軟自動化AI攻擊測試套件Counterfit，而使得MITRE的自動化對手模擬系統CALDERA能套用微軟的工具來發動相關攻擊。資安人員需從caldera-atlas儲存庫下載相關檔案，並依照指示部署Arsenal。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://securityaffairs.com/143121/cyber-crime/hospital-clinic-de-barcelona-ransomware.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">西班牙醫院傳出遭到勒索軟體Ransom House而癱瘓</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-releases-windows-security-updates-for-intel-cpu-flaws/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟針對Intel處理器弱點發布更新程式</span></span></strong></a></p> <p><a href="https://www.reuters.com/article/poland-pegasus/polish-mayor-targeted-by-pegasus-spyware-media-idINL8N35B21J"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">波蘭市長傳出遭到間諜軟體Pegasus跟縱</span></span></strong></a></p> <p><a href="https://www.securityweek.com/ransomware-operators-leak-data-allegedly-stolen-from-city-of-oakland/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體Play洩露聲稱從美國奧克蘭市竊得的資料</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/155784"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">白宮發布最新國家資安策略，要求企業負起更大責任</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/155787"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">FBI和CISA警告Royal勒索軟體瞄準關鍵基礎設施</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155798">【3月6日】研究人員找出濫用微軟搜尋引擎AI機器人騙取使用者個資的方法、組態配置不佳的Redis伺服器被用於挖礦</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155764">【3月3日】中國駭客組織TA416針對臺灣政府機關而來、APT41鎖定亞洲材料業者下手</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155740">【3月2日】惡意軟體BlackLotus繞過UEFI安全開機、勒索軟體LockBit鎖定西班牙語用戶而來</a></strong></p> </div></div></div>
2023/3/7 18:17作者周峻佑https://www.ithome.com.tw/news/155813
蘋果終於放行使用ChatGPT的App上架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/155749" target="_blank">上周蘋果App Store傳出</a>拒絕一款使用ChatGPT的iOS App程式更新，所幸過了幾天蘋果又同意放行。</p> <p>本月初開發商Blix向媒體抱怨，該公司BlueMail App新版本可以ChatGPT技術，協助用戶撰寫郵件或行事曆資料，遭到蘋果拒絕更新版上架，被外界懷疑蘋果將插手管制使用AI機器人的iOS App。蘋果給開發商的理由是，為防App產生兒童不宜的資訊，要求開發商為其應用程式加入內容過濾，或將App改成僅限17歲以上適用。</p> <p>此舉引發Blix抱怨蘋果阻礙創新，也說其他內建AI技術的App都沒有被要求年齡限制。Blix也懷疑是因為該公司曾經批評及反對蘋果App Store管制作法，而遭到報復。</p> <p>周末<a href="https://www.wsj.com/articles/apple-approves-chatgpt-powered-app-after-assurance-of-content-moderation-9c82cd7" target="_blank">《華爾街日報》</a>引述Blix共同創辦人Ben Volach說法報導，在Blix同意加入內容過濾技術，並公布使用ChatGPT或其他AI系統的新政策後，上周五已獲得蘋果上架許可。這款App仍然維持4歲以上用戶適用。</p> <p>蘋果並未對此發表評論。</p> <p>ChatGPT或使用ChatGPT的Bing在上線後，傳出曾產生不安全程式碼或無禮、具威脅或兒童不宜的內容。另一方面，蘋果對上架App Store的應用程式向來管理嚴格，App內容若涉及色情、暴力、賭博或犯罪色彩，即可能遭下架或拒絕。不過《華爾街日報》報導，目前App Store政策尚未針對生成性AI加入正式指引規範。</p> </div></div></div>
2023/3/7 14:50作者林妍溱https://www.ithome.com.tw/news/155805
Android 15可能要叫Vanilla Ice Cream
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Android 14今年稍晚才會釋出，不過Google已經在開發Android 15。承襲以甜點命名的傳統，下一代Google行動作業系統工程代號，可能叫Vanilla Ice Cream。</p> <p><a href="https://twitter.com/MishaalRahman/status/1631742485729878016" target="_blank">一名科技記者</a>在<a href="https://android-review.googlesource.com/q/VanillaIceCream" target="_blank">Android開發功能網站</a>發現這個名稱，也讓Android的工程代號命名字母進到V。</p> <p>以甜點名稱首字字母依序為Android版本命名，是Google著名的傳統。最早是Android 1.5 Cupcake、接下來的主要版本像是Android 3.0 Honeycomb、4.0 Ice Cream Sandwich、4.4 KitKat、5.0 Lollipop、6.0 Marshmallow、7.0 Nougat、8.0 Oreo。Google在Android 9 Pie之後就宣布不再公開工程代號，不過公司內部仍然還是使用甜點命名。目前的Android 13及即將推出的Android 14分別為Tiramisu及Upside Down Cake。</p> <p>記者Mishaal Rahman認為，此時就出現Android 15似乎有點太早，但是不代表開發專案不成熟，因為這個網站列出了Google來不及加入最新產品中的功能，可能會放在未來Android中。例如Android 14預定加入的背景安裝控制系統服務，也會是Android 15某些未宣布的新功能的底層技術。</p> <p>事實上預定今年8月公開釋出的Android 14 Upside Down Cake，早在2022年4月就已經釋出給少數開發人員。Google預計7月要釋出Android 14最後一個測試版 Beta 4。</p> </div></div></div>
2023/3/7 12:44作者林妍溱https://www.ithome.com.tw/news/155804
微軟、Mitre釋出機器學習攻擊模擬外掛工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.com/mitre-atlas/arsenal" target="_blank">微軟與Mitre本周釋出</a>，可模擬針對機器學習（machine learning，ML）系統之攻擊的外掛工具Arsenal。</p> <p>這是微軟與Mitre針對機器學習系統防護的最新一項合作。雙方2020年合作<a href="https://github.com/mitre/advmlthreatmatrix" target="_blank">Adversarial ML Threat Matrix開發框架</a>，去年微軟推出<a href="https://www.microsoft.com/en-us/security/blog/2021/05/03/ai-security-risk-assessment-using-counterfit/" target="_blank">Counterfit自動化紅隊演練AI攻擊測試工具</a>，供企業對AI演算法進行安全評估。最新的Arsenal即是將Counterfit整合於外掛中。</p> <p>Mitre的資源頁說明，這個外掛可儲存和建立Mitre攻擊ATT&CK資料庫<a href="https://atlas.mitre.org/" target="_blank">ATLAS（Adversarial Threat Landscape for Artificial-Intelligence Systems）</a>定義的攻擊策略和手法，並整合到其CALDERA自動化攻擊模擬平臺App。Arsenal外掛也可和CALDERA視覺化外掛Almanac配合使用。</p> <p>Arsenal可協助安全研究人員發現ML工作流程各元素的漏洞，並提供防護方法。截至1月，這個最新外掛提供發現遠端、本機及可用的網路服務與ML專門服務，還可匯出ML模型並以counterfit程式庫繞過ML模型。Mitre表示未來會持續強化Arsenal的功能。</p> <p>Arsenal可執行於Ubuntu 18.04或20.04的系統上，並需要Python 3.7以上版本。</p> <p>不過Arsenal目前還不是CALDERA預設的外掛，用戶需要連到caldera-atlas程式庫循指示下載。</p> </div></div></div>
2023/3/7 11:43作者林妍溱https://www.ithome.com.tw/news/155803
微軟展示不只看懂文字，還能理解圖像的AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://arxiv.org/abs/2302.14045" target="_blank">微軟上周公布一項AI模型Kosmos-1</a>，除了能理解文字，也能看懂圖片及影像，可用於更多任務，像是為影片加字幕說明、看圖片回答文字問題、正確蒐集網頁資訊等等。</p> <p>微軟在一篇名為《<a href="https://arxiv.org/abs/2302.14045" target="_blank">Language Is Not All You Need: Aligning Perception with Language Models</a>》的論文中指出，雖然現行大型語言模型在自然語言處理有很成功的應用，但對於多模態（包括文字、聲音及圖像）資料，仍然很難原生使用大型語言模型。微軟指出，「多模感知」（multimodal perception）能力是通用AI「智能」（intelligence）的必要條件，像是獲取知識並運用於現實生活。而若能增加多模輸入能力，將能大幅拓展語言模型用於高價值任務的可能性，像是多模態機器學習、文件AI智慧以及機器人等。</p> <p>因此微軟提出多模大型語言模型（Multimodal Large Language Model，MLLM）KOSMOS-1，希望它具備常見多模態（如圖像、文字、聲音）資料、依循指令（即零樣本學習）並在特定條件中學習（少樣本學習）的能力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0307-MLLM%20%E5%BE%AE%E8%BB%9F-1(2).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>為了訓練一個能「看」和「說話」的模型，微軟倣效METALM HSD+22的訓練方法來訓練KOSMOS-1。他們使用Transformer模型作為通用介面，再接上感知模組。之後，研究人員以網路上蒐集的多模資料，包括純文字資料、圖文摻雜的任意資訊，及具有文字說明的圖片等來訓練，之後再輸入純語言資料，以校正各模態遵循指令的能力。</p> <p>微軟以多種任務來評估訓練完成的KOSMOS-1模型，包括語言理解、常識理解、非口語推理（如IQ測驗）、為圖片加文字說明或回答視覺相關的提問，以及零樣本（zero-shot）視覺資料的分類及描述等。其中，實驗結果顯示，16億參數的小型KOSMOS-1模型在零樣本的圖像加文字說明的任務表現尤其優異，而在回答視覺問題方面，只要少量樣本訓練過，KOSMOS-1表現可優於其他模型（包括MetaLM）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0307-MLLM%20%E5%BE%AE%E8%BB%9F-2.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p>而在常用的IQ測驗（Raven IQ test）中，KOSMOS-1展現出能理解題目中非口語（如圖片）資料的概念規則，還能自行推論、預測接下來出現的元素（如圖片）。研究人員表示，這是第一個能作答零樣本Raven IQ test的模型。雖然該模型和普通成人推論能力相比還差一截，但展現出零樣本語言模型的非口語理解能力具有相當潛力。另外，KOSMOS-1也可在沒有OCR技術的協助下，讀取及理解圖片中挾雜的文字。若提供文字描述，更能大幅提升這個模型的圖像辨識能力。</p> <p>Bing二月上線時，在從網頁蒐集公司財報資料出現許多錯誤，這是因為LLM模型並不擅長蒐集資料。為此，研究人員測試了KOSMOS-1依網頁回答問題的能力。實驗顯示，KOSMOS能根據網頁版型及Style資訊理解網頁圖片，又不犠牲語言能力。</p> <p>此外，研究人員指出，傳統LLM必須仰賴文字資訊和線索來回答視覺常識問題，使其較無法理解物件屬性。相較之下，KOSMOS-1還具備模態轉移力，能將從視覺獲得的知識／資訊轉移到語言任務。</p> <p>研究人員表示，未來計畫將KOSMOS-1再加以擴大，並整合語言能力。他們相信這多模態大型語言模型處理多型態資料的能力，能用作整合介面，提供多模學習，協助使用指令和範例來控制以語言生成圖像的AI 工具。</p> </div></div></div>
2023/3/7 10:16作者林妍溱https://www.ithome.com.tw/news/155800
開源特徵商店Feathr專案正式推出，新增沙盒環境供用戶簡單上手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源一年多，經過眾多企業的貢獻，LFAI與資料基金會旗下的開源特徵商店<a href="https://lfaidata.foundation/blog/2023/02/28/announcing-availability-of-feathr-1-0/">Feathr專案終於達到1.0版本</a>，最新的正式版本有幾項新功能，包括線上轉換、快速沙盒環境等，目標是要加速企業級機器學習專案的開發和部署。</p> <p>Feathr為企業級特徵商店，由LinkedIn在2017年開發，並2022年的時候和微軟共同開源，Feathr主要的功能是供開發者利用Python形式的的API，定義原始資料的特徵，並在模型訓練和推理工作流程中，按名稱註冊和取用特徵，透過Feathr企業能夠方便地在不同的團隊間共享特徵。</p> <p>由於準備和管理特徵，是開發大規模機器學習應用程式，極度耗費時間的工作之一，而Feathr提供一個抽象層，供開發者方便地按名稱計算和存取特徵，使得特徵生產者和消費者都可以透過Feathr交易特徵，生產者定義並註冊特徵，讓消費者存取和匯入特徵至機器學習工作流程中。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/feathr2.png" style="width: 580px; height: 318px;" /></p> <p>Feathr正式版中提供了特徵即時轉換支援，官方提到，在許多機器學習場景中，訓練和推理都需要產生特徵，但是Feathr卻有著資料來源無法來自於線上服務的限制。</p> <p>由於特徵轉換只能發生在特徵資料發布到線上商店之前，因此當要求轉換速度接近即時，便需要建立一個機制，供用戶能夠在模型進行推理之前，動態地對推理資料進行轉換，而Feathr新的特定領域語言（Domain Specific Language，DSL）線上轉換功能，使用自定義轉換引擎解決這樣的問題，該引擎能夠以接近即時的速度，處理特徵轉換請求並且提供回應。</p> <p>另外，Feathr還加入功能齊全的沙盒環境，能夠快速啟動Feathr環境，供使用者快速對Feathr各種功能進行原型設計，讓沒有基礎設施背景知識的資料科學家，也能夠快速上手Feathr，實驗特徵定義和想法。該沙盒帶有Jupyter筆記本，供使用者能夠簡單地操作Feathr平臺。</p> </div></div></div>
2023/3/7 11:11作者李建興https://www.ithome.com.tw/news/155799
FBI和CISA警告Royal勒索軟體正瞄準關鍵基礎設施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦調查局（FBI）與網路安全暨基礎設施安全局（CISA）針對<a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-061a">Royal勒索軟體</a>，發布聯合資安報告，除了公開Royal勒索軟體的行為以及動向之外，也提供企業避免感染的行動建議。</p> <p>Royal勒索軟體在2022年9月現蹤，與其他勒索軟體運作不同，Royal勒索軟體並非以勒索軟體即服務的方式運作，而是由一群具經驗的攻擊者操作。FBI和CISA認為使用自訂檔案加密程序程式的Royal勒索軟體，是之前Zeon加密程式的變體。</p> <p>在Royal勒索軟體獲得受害者系統存取權限後，該勒索軟體便會停用防毒軟體，並且開始竊取大量資料，最後才會對系統進行加密。惡意攻擊者通常要求受害者支付，價值100萬到1,100萬美元的比特幣作為贖金。由於Royal勒索軟體使用特別的部分加密技術，僅會選擇加密檔案特定比例的資料，如此便能降低大型檔案加密的比例來規避偵測。</p> <p>Royal勒索軟體鎖定許多重要基礎設施部門，包括製造、通訊、醫療保健和教育單位等，除了加密檔案之外，惡意攻擊者也採用雙重勒索策略，只要受害者不支付贖金，便會威脅公開加密資料。</p> <p>根據第三方報告，Royal勒索軟體主要的傳播方式是透過網路釣魚，有66.7％事件由惡意攻擊者寄送包含惡意PDF檔案或是惡意廣告的電子郵件，誘騙受害者點擊以取得一開始的系統存取權限。FBI和CISA還提到，遠端桌面協定（RDP）也是常見的Royal勒索軟體傳播方式之一，有13.3％的案例惡意攻擊者是透過RDP入侵。攻擊者也會透過存在漏洞的開放應用程式，又或是竊取使用者日誌以收集VPＮ憑證，來存取受害者系統。</p> <p>FBI和CISA提供可以減輕勒索軟體威脅的作為，提醒企業應該優先解決已知的漏洞，並且訓練使用者辨識和回報網路釣魚，同時強制啟用多因素身分驗證。</p> </div></div></div>
2023/3/7 08:27作者李建興https://www.ithome.com.tw/news/155787
【資安日報】3月6日，研究人員找出濫用微軟搜尋引擎AI機器人騙取使用者個資的方法、組態配置不佳的Redis伺服器被用於…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI機器人被用於攻擊的情況，已有駭客將其拿來產生變種的惡意程式碼或是多樣的釣魚郵件，但最近有研究人員發現新的手法，他們在機器人可能會引用的網頁上埋入提示訊息，一旦使用者詢問相關問題，聊天機器人就可能藉著這類資訊向使用者套出多種個資。研究人員指出，駭客有可能自行架設網頁，或是搭配電子郵件來發動攻擊。</p> <p>又是Redis資料庫系統被用於挖礦攻擊的情況，與過往不同的是，駭客濫用了指令碼共享服務transfer.sh規避偵測，而且，還企圖榨取更多的記憶體資源來挖礦。</p> <p>有研究人員揭露針對上萬個網站而來的攻擊行動，駭客企圖將使用者導向成人或賭博網站牟利。但究竟駭客入侵這些網站的手法為何？仍有待進一步釐清。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://greshake.github.io/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員找出濫用微軟搜尋引擎AI機器人騙取使用者個資的方法</span></strong></a></p> <p>德國沙爾大學、美國史丹佛大學、資安業者Sequire的研究人員聯手，揭露微軟搜尋引擎Bing採用的AI機器人程式含有弱點，攻擊者可竄改網頁，嵌入0像素字體的提示，一旦有人向Bing的AI助理詢問問題，就會觸發駭客「提示」內容，進而設法讓使用者吐露個資，進行「間接提示注入攻擊（Indirect Prompt Injection）」。</p> <p>研究人員舉例，攻擊者可破壞維基百科裡的愛因斯坦網頁，一旦使用者向AI助理談及愛因斯坦的時候，AI助理就會很自然地向使用者詢問一連串的個資，研究人員展示相關攻擊手法，讓AI助理宣稱為使用者下單，要求交出信用卡卡號、卡片到期日、CVV號碼等資料。</p> <p><a href="https://www.cadosecurity.com/redis-miner-leverages-command-line-file-hosting-service/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">指令共享服務遭到濫用！組態配置不佳的Redis伺服器遭鎖定，駭客發動挖礦攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/image1-32.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image1-32.png" style="width: 300px; float: right;" /></a>資安業者Cado Security揭露鎖定Redis伺服器的攻擊行動，他們發現有人從今年初，鎖定配置不安全的Redis伺服器來挖礦。</p> <p>攻擊者先是設定新的工作排程（cron job），其工作內容是強制Redis將資料庫檔案另存於特定的cron資料夾。一旦主機的工作排程軟體讀取此資料夾裡的檔案，就會執行上述的工作排程讀取和解析資料庫內容，進而執行任意命令，攻擊者這麼做的目的，是從指令碼代管服務transfer.sh上，找到下載挖礦軟體XMRig的管道。</p> <p>在執行挖礦軟體之前，駭客不只清除其他駭客部署的同類型程式、清除事件記錄檔案，還會強制主機將記憶體緩衝區的資料寫入磁碟，以便讓挖礦軟體能有更多記憶體可以運用。值得留意的是，此挖礦軟體還會橫向感染──駭客透過網路掃描程式pnscan找尋其他下手目標。</p> <p><a href="https://www.wiz.io/blog/redirection-roulette"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">上萬個網站遭到挾持，將中國使用者重新導向到成人或賭博網站</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1677768423-5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1677768423-5.png" style="width: 300px; float: right;" /></a></p> <p>雲端安全業者Wiz揭露從2022年9月開始的網站攻擊行動，攻擊者設法取得管理網站的FTP伺服器帳密，進而竄改網站的內容，在網頁裡植入引用JavaScript指令碼的HTML程式碼（亦有部分情況駭客是將JavaScript指令碼植入網頁伺服器），從而將瀏覽網站的使用者導向成人或賭博網站。研究人員發現超過一萬個網站受害，這些網站大部分是小型企業所有，迄今至少有數十萬中國使用者遭到重新導向的情況。</p> <p>研究人員推測，攻擊者的主要目的是牟取經濟利益，很可能是要進行廣告詐騙，或是操弄搜尋引擎最佳化（SEO），也有可能是要增加特定成人或賭博網站的流量。但駭客究竟如何取得初始入侵的管道？目前仍不得而知。</p> <p><a href="https://salt.security/blog/traveling-with-oauth-account-takeover-on-booking-com"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Booking.com修補可能導致用戶帳號遭接管的OAuth漏洞</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/6400a45745e2aef9efbc0dfb_5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/6400a45745e2aef9efbc0dfb_5.png" style="width: 300px; float: right;" /></a>程式碼安全業者Salt Security發現住宿訂房網站Booking.com的漏洞，此弱點存在於其OAuth身分驗證功能的實作，一旦攻擊者加以利用，就有可能接管使用者的帳號。</p> <p>上述的弱點與Booking.com配置的不安全配置有關，首先是該公司向臉書註冊OAuth服務的時候，並未指定redirect_uri的路徑，再者則是他們的管理主控臺（My Dashboard）上，存在網址放任重新導向弱點（Open Redirect Vulnerability），攻擊者一旦結合兩者，就有可能透過社交工程引誘目標點選，然後接管用戶Booking.com的帳號。</p> <p>值得留意的是，上述手法不限於透過臉書帳號存取Booking.com的用戶，使用Google或其他帳號的用戶也會曝險，再者，類似的弱點也存在於該公司旗下的Kayak.com。Booking.com獲報後已著手修補。</p> <p><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-061a"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Royal鎖定美國關鍵基礎設施而來</span></strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）與聯邦調查局（FBI）聯手，針對近期勒索軟體Royal的攻擊行動升溫提出警告，並指出受害組織涵蓋製造、電信、教育、醫療保健業者。這是在該國衛生與公共服務部（HHS）於去年12月對醫療院所提出警告之後，美國政府機關再度針對此勒索軟體攻擊態勢發布警訊。</p> <p><a href="https://www.malwarebytes.com/blog/business/2023/02/ransomware-in-february-2023">根據資安業者Malwarebytes的統計</a>，2023年2月Royal至少發起19起攻擊，僅次於勒索軟體LockBit、BlackCat（Alphv）、Vice Society的51起、23起、22起。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.bankinfosecurity.com/us-cybersecurity-strategy-shifts-liability-issues-to-vendors-a-21356"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國公布國家網路安全戰略，希望透過軟體廠商來改善相關安全</span></strong></a></p> <p>開源程式庫Log4j重大漏洞Log4Shell曝露軟體供應鏈安全問題，使得美國政府試圖藉助大型IT業者的力量，想要改善現況，最近他們又祭出了新的方針。美國總統拜登於3月1日公布國家網路安全戰略，當中就提及為了落實軟體開發安全，應該將特定軟體的維護責任，移交給聯邦政府認可的大型企業，這樣的計畫很可能需要長達十年才能達成。</p> <p>但根據新聞網站Bank Info Security的報導，有資安業界人士認為，若是政府立法要求軟體供應商負起相關責任，一旦這些廠商遇到旗下產品出現極為嚴重的漏洞，很有可能不願向美國政府完整透露相關資訊。知情人士透露，政府想要制訂更為嚴格的軟體開發實作指南來落實上述理念，但光是立法就有可能耗費超過一年的時間。</p> <p><a href="https://www.cisa.gov/news-events/news/helping-cyber-defenders-decide-use-mitre-attck"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國CISA提供開源工具Decider，目的是讓資安人員能將攻擊行為對應到MITRE ATT&CK框架</span></strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）於3月1日發布名為Decider的工具，目的是讓資安人員能更容易將駭客的攻擊行為對應到MITRE ATT&CK框架，以便身為防守方的企業與組織彼此更容易溝通、交流威脅情資。此工具藉由決策樹的方式來引導使用者，挑選符合的攻擊手法及子項目，而能夠將資安事故的攻擊過程對應到ATT&CK框架。</p> <p><a href="https://www.ey.gov.tw/Page/9277F759E41CCD91/20466a66-3b95-40b8-80b3-e9833a4c3e30"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為防範非公務機關個資外洩，行政院長陳建仁提出三大精進策略，首度提出要設置獨立個資監管機關</span></strong></a></p> <p>最近兩個月國內企業個資外洩頻傳，引起社會大眾高度關注，政府也對此提出相關做法。行政院院長陳建仁於3月2日表示，為了建構更完善的個資防護機制，國發會提出3種精進策略，分別是強化聯繫會議功能、提高違反個資法的罰則，以及設立個資保護獨立監督機關等策略。</p> <p>首先，由各目的事業主管機關每年擬定行政檢查計畫，優先針對高風險業者，強化例行性行政查核，並精進重大個資外洩事件的通報與監督程序；再者，則是參考其他國家法規，推動個資法修正，提高罰則、加強保護受害人；此外，為解決目前個資法分散式管理下的實務監管問題，行政院也將推動設置個資保護的獨立監督機關。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/play-ransomware-claims-disruptive-attack-on-city-of-oakland/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">2月中旬美國加州奧克蘭市遭到網路攻擊傳出是勒索軟體Play所為</span></span></strong></a></p> <p><a href="https://www.metabaseq.com/fixs-atms-malware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">墨西哥銀行遭到ATM惡意軟體FiXS鎖定</span></span></strong></a></p> <p><a href="https://blog.cyble.com/2023/02/28/r3nin-sniffer-toolkit-an-evolving-threat-to-e-commerce-consumers/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">電商網站客戶遭到R3NIN Sniffer工具包鎖定</span></span></strong></a></p> <p><a href="https://unit42.paloaltonetworks.com/lokibot-spike-analysis/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">竊密軟體LokiBot攻擊行動在2022年底大幅增加</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155764">【3月3日】中國駭客組織TA416針對臺灣政府機關而來、APT41鎖定亞洲材料業者下手</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155740">【3月2日】惡意軟體BlackLotus繞過UEFI安全開機、勒索軟體LockBit鎖定西班牙語用戶而來</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155716">【3月1日】駭客假借Amazon Prime會員名義發動網釣攻擊、應用程式框架ZK Framework漏洞被用於攻擊行動</a></strong></p> </div></div></div>
2023/3/6 18:27作者周峻佑https://www.ithome.com.tw/news/155798
駭客可能結合AI聊天機器人、公開網站對用戶發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Bing或ChatGPT可接受用戶詢問回答問題，但研究人員發現，若經過結合第三方網站，這些AI聊天機器人也能被駭客利用執行間接攻擊，像是傳送釣魚網站，或讓用戶洩露其身分資訊。</p> <p>Bing及ChatGPT為代表的大型語言模型（Large Language Model，LLM）提供的提示窗格，使輸入資料和指令的界線模糊化，若配合狡猾提示，可能使其變為攻擊工具。目前已經有些研究利用指令注入（prompt injection，PI）技巧對用戶發動攻擊，像是產生惡意內容或程式碼，或覆寫原有指令而執行惡意企圖。</p> <p>現有攻擊研究都假設攻擊者直接對LLM下提示的情境，但方法是將攻擊指令儲存在記憶體緩衝裏，難度較高。德國安全研究人員Kai Greshake及其團隊展示，會執行檢索（retrieval）及API呼叫的LLM（稱為Application Integrated LLM）可被下毒而用作間接執行PI攻擊，執行難度相對較低。</p> <p><a href="https://arxiv.org/pdf/2302.12173.pdf" target="_blank">Greshake及其團隊一項研究揭露</a>，間接PI攻擊是利用公開資源，像是可顯示於搜尋引擎結果或社群平台貼文的網站，或以程式庫匯入的程式碼產生，前者可以是許多用戶造訪的網站如Wikipedia，或是自己設立的惡意網站。研究人員先是在公開資源祕密注入指令，待用戶使用的LLM（如Bing Chat或ChatGPT）檢索這些資源時予以下毒。利用LLM的社交工程（如對話）能力，可引導使用者洩露隱私，例如自己的姓名。研究人員說，這種攻擊手法可用於國家企圖追查報導爭議事件的記者或是吹哨者身分。</p> <p>這種間接攻擊中，攻擊者也可以修改自己設置的網站，以更新指令，或是遠端控制LLM。此外，研究人員還提出，可以提示包在電子郵件中，送入自動化垃圾郵件偵測或個人助理模型，則能化被動為主動，將提示主動注入LLM。</p> <p><a href="https://greshake.github.io/" target="_blank">研究人員示範對Bing Chat進行的間接指令注入攻擊</a>。方法是攻擊者設立目標用戶會造訪的惡意網站，注入字級大小為0的提示，當目標用戶和Bing Chat對話時，Bing Chat就能處理這個提示，設法讓用戶吐露自己身分。在其示範例子中，研究人員以海盜版Bing吸引用戶好奇，並誘使用戶提供自己的姓名，或傳送URL讓用戶填寫。</p> <p>目前研究人員尚未能將其研究付諸真實網站或模型測試，不過已選定一個使用大型GPT模型的合成應用程式。此外，LLM主動詢問姓名可能會讓一般使用者起疑，但研究人員表示，就和所有社交工程攻擊一樣，用戶可能會在警戒心降低時上鈎。</p> </div></div></div>
2023/3/6 16:48作者林妍溱https://www.ithome.com.tw/news/155783
白宮發布最新國家資安策略，要求企業負起更大責任
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國白宮發布接下來10年的<a href="https://www.whitehouse.gov/wp-content/uploads/2023/03/National-Cybersecurity-Strategy-2023.pdf">國家資安策略</a>，為得是要因應最新的資安趨勢，打造更為強韌的網路環境，拜登政府列出了國家資安政策的五大支柱，從關鍵基礎設施防護、打擊惡意攻擊者到與國際間的合作，皆制定了明確的目標以及執行方向，美國總統Joe Biden在國家資安策略文件中提到，他們需要公私部門間更強而有力的合作，要求企業負起更大的責任，但是也會制定保護傘，平衡個人和小型組織的安全責任。</p> <p>隨著全球數位化程度的提升，新興技術帶來了更多可能性，但同時也增加了不安全系統所帶來的風險，該文件提到，COVID-19的流行促進了全球數位化，但是這種全球更互聯互通的趨勢，也帶來了更大的風險，像是俄羅斯對烏克蘭所發動的NotPetya網路攻擊，擴散到其他地區，造成數十億美元的損失。</p> <p>由於數位化打破了數位與物理世界的界線，在工廠、電網和水利設施等國家重要的基礎設施，皆逐漸採用無線或是物聯網等數位技術，取代傳統的類比控制系統，拜登政府擔心這樣的趨勢，將會使重要的基礎系統更容易被破壞，進而影響民生。</p> <p>為了減輕網路攻擊所帶來的風險，拜登政府所推出的國家資安策略圍繞五大支柱，分別是一、防衛關鍵基礎設施，二、打擊和消除惡意攻擊者，三、塑造市場力量推動安全和韌性，四、投資更有韌性的未來，五、建立國際夥伴關係，以實現共同目標。</p> <p>第一支柱防衛關鍵基礎設施，目標是要實施持續且有效的協作防禦模型，在公平分配風險和責任的前提下，在數位系統建立起基本的安全性和韌性。拜登政府表示，網路基礎設施擁有者和營運者共同合作下，才有可能更好地防禦進階攻擊。</p> <p>拜登政府認為應該減輕終端使用者的安全責任，因此要求有能力的參與者負起更大數位生態系安全和韌性的責任。主管機關也將透過制定新的網路安全要求和法規，以推動更大規模的安全實踐，政府和產業也將合作制定網路安全監管框架，達到安全以及營運連續性要求。</p> <p>第二支柱則是美國將更積極打擊網路攻擊者的宣告，策略中提到美國將整合外交、資訊、軍事、金融、情報和法律等工具，來積極打擊並制裁惡意攻擊者，包括實施旅行禁令和禁用金融服務等限制，在公部門與企業的共同合作下，拜登政府將加強打擊惡意攻擊者的力道。</p> <p>第三支柱則是塑造市場力量推動安全和韌性，文件中提到，目前持續發生系統遭駭以及個人資料遭竊，代表僅靠市場力量不足以廣泛推動網路安全最佳實踐，且選擇不投資資安的企業會影響注重資安的企業，而且對小企業和弱勢社群造成不成比例的影響。</p> <p>美國政府為了要因應這樣的挑戰，將讓資料管理者負起保護個人資料的責任，推動安全網路裝置的開發，還要重新檢討相關法律，使企業必須對因為資安錯誤、軟體漏洞等所成的損害負起責任。聯邦政府也將會透過採購和贈款，來激勵企業注重產品安全性。</p> <p>第四支柱代表著美國政府，除了解決當前面臨的資安問題，也正著手建立下一世代的技術和基礎設施，以建構更安全和更具韌性的網路，透過對公部門和企業的投資，建設包括下一代電信、IT和分散式能源技術，並且發展避免智慧財產權遭剽竊、選舉被干擾等問題的方法。考量量子運算技術的發展，可能會對現有加密方法失效，美國政府也將優先發展量子加密技術。</p> <p>第五支柱則是要訴諸國際力量，拜登政府在聯合國與各國合作制定安全框架，並且支持擴大《布達佩斯網路犯罪公約》執行，致力於打擊中國和其他專制政權，在網路上的破壞性行為，並將對違反商定的國家進行制裁。</p> </div></div></div>
2023/3/6 17:06作者李建興https://www.ithome.com.tw/news/155784
【資安週報】2023年3月1日到3月3日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3月初的漏洞消息中，最受關注的就是網頁應用程式開發框架ZK Framework的CVE-2022-36537漏洞，該漏洞在去年8月公開，近期已發現攻擊者鎖定利用的情形，由於ZK Framework是一個開源的Java框架，採用的專案不少，因此有多款產品都會受到波及，其影響性受關切。其他漏洞消息方面，以TPM 2.0的CVE-2023-1017、CVE-2023-1018漏洞最受關注。</p> <p>在資安威脅與事件焦點方面，首要焦點是ESET揭露中國駭客組織TA416（亦稱Mustang Panda）針對臺灣某個政府機關的攻擊行動，自今年1月即運用MQsTTang後門程式與發動釣魚郵件攻擊。其他資安業者揭露的重要消息，包括：針對容器化工作負載而來的Scarleteel攻擊行動；針對亞太與北美政府機關的惡意軟體下載器PureCrypter；可在Windows 11上繞過繞過UEFI安全開機的惡意軟體BlackLotus。在資安事件方面，受關注的包括：美國衛星通訊服務業者Dish Network遭勒索軟體攻擊，加拿大電信業者Telus資料外洩。</p> <p>資安防禦態勢方面，FIRST國際資安應變組織這一週發布「DNS濫用技術矩陣（DNS Abuse Techniques Matrix）」，臺灣半導體龍頭台積電與國內資安新創Shield宣布加入FIRST會員，還有一則是當週資安日報未提及，但可優先關注的消息，那就是，近日<a href="https://www.cisa.gov/news-events/alerts/2023/03/01/cisa-releases-decider-tool-help-mitre-attck-mapping">美國CISA釋出免費工具Decider</a>，可幫助攻擊者行為與MITRE ATT&CK框架的對應。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/155716"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月1日】駭客假借Amazon Prime會員名義發動網釣攻擊、應用程式框架ZK Framework漏洞被用於攻擊行動</span></strong></a></h3> <p>為規避偵測，駭客濫用短網址的情況不時傳出。最近有人假借Amazon付費會員的名義來寄送釣魚信件，目的是騙得收信人的詳細個資及信用卡資料。但值得留意的是，這起攻擊行動中，駭客使用了LinkedIn短網址服務Smart Link來迴避偵測，而濫用該服務的攻擊行動已非首例──<a href="https://www.ithome.com.tw/news/153192#linkedin">去年9月就有駭客用於網釣攻擊</a>。</p> <p>建置於雲端的應用程式遭到鎖定也相當值得留意。研究人員揭露針對架設在AWS的K8s與容器相關系統的攻擊行動，但駭客不僅將目標容器叢集用於挖礦，還企圖將組織開發的應用程式程式碼偷走。</p> <p>名為ZK Framework應用程式框架的漏洞CVE-2022-36537已出現攻擊行動，使得美國政府提出警告，並指出採用該框架的應用程式也會成為攻擊目標。</p> <h3><a href="https://www.ithome.com.tw/news/155740"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月2日】惡意軟體BlackLotus繞過UEFI安全開機、勒索軟體LockBit鎖定西班牙語用戶而來</span></strong></a></h3> <p>針對UEFI韌體而來的惡意啟動程式（Bootkit），之前多半是國家級駭客打造，直到去年底，開始有人在駭客論壇兜售名為BlackLotus程式，當時揭露此事的研究人員，認為難以確認其危險程度。但最近有資安業者取得該惡意程式進行分析，證實確實具備賣家標榜的攻擊能力，使用者就算啟用UEFI安全開機機制，也無法避免電腦受到此惡意軟體感染。</p> <p>為了在加密檔案前能逃過資安系統的偵測，勒索軟體駭客也採取運用多種現成與合法工具的策略。例如，最近勒索軟體LockBit的攻擊行動裡，就採用了這樣的手法，使得防毒軟體及EDR系統都難以察覺異狀。</p> <p>工控物聯網系統（IIoT）的漏洞也相當值得注意。最近CISA針對PTC的ThingWorx Edge漏洞CVE-2023-0754、CVE-2023-0755提出警告，並指出有9種元件曝露於相關風險。</p> <h3><a href="https://www.ithome.com.tw/news/155764"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月3日】中國駭客組織TA416針對臺灣政府機關而來、APT41鎖定亞洲材料業者下手</span></strong></a></h3> <p>中國駭客的攻擊行動最近再度傳出，其中最值得注意的是駭客組織TA416的攻擊行動，而且臺灣首當其衝──該組織已對一個臺灣政府機關下手。</p> <p>另一個惡名昭彰的駭客組織APT41，則是針對材料公司下手竊取專利技術的情況，引起研究人員關注。</p> <p>SIM卡挾持（SIM Swapping）攻擊為何如此氾濫？很有可能是駭客極為容易取得所需的資料促成。有資安新聞網站指出，3個專門從事這類攻擊的駭客組織，在去年就入侵美國電信業者T-Mobile超過100次。</p> </div></div></div>
2023/3/6 09:42作者羅正漢https://www.ithome.com.tw/news/155769
上萬網站被駭客以FTP憑證劫持，對用戶發動竊密攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全廠商近來發現，有數千到上萬網站被駭客以合法FTP憑證及其他方法控制，並對數十萬用戶發動資料竊取，或導向成人網站。</p> <p>安全廠商Wiz發現，從去年9月開始，上萬個面向中國用戶的網站被不明攻擊組織駭入劫持，其面向用戶的網頁被植入竊密程式碼。目前這樁攻擊仍在持續當中。</p> <p>研究人員先發現，駭客劫持代管在東亞Azure服務上的多個Web 服務，懷疑是一樁更大規模攻擊的一部分。攻擊者從一個專門管理Web App的FTP端點，從1個靜態IP以合法FTP憑證存取這些服務，並在原有HTML程式碼增加一行參照遠端網頁代管的Javascript標籤。這些惡意改造的網頁，有些還能將造訪的用戶導向成人網站。研究人員判斷，這些合法FTP登入憑證可能是之前外洩而被駭客取得。</p> <p>研究人員進一步追查後推斷，這是一波更大規模攻擊的一部分，他們相信，從去年秋天到今年2月已有至少1萬網站被駭入，每月有數十萬用戶遭重導引攻擊。</p> <p>受害的網站中許多是小型企業，但也不乏跨國公司。由於受害網站使用的技術和服務類型很分散，目前研究人員還無法判斷攻擊者是使用了哪些漏洞、錯誤配置、或利用來自哪些來源的密碼憑證，也尚未追查出這波攻擊的發動組織。</p> <p>研究人員建議，若企業是以FTP維護網站，最好使用FTPS或SFTP（FTP over SSL/TLS）安全協定並使用長用戶名稱及密碼，以免遭駭客劫持。如果企業發現在網頁伺服器上存在可能的入侵指標（indicators of compromise），研究人員建議輪換網站管理金鑰、在所有網域及網站上找出所有惡意的Javascript程式碼，或是以受信任的映像檔重新部署伺服器、重新安裝軟體、並升級到最新版本。</p> </div></div></div>
2023/3/6 13:01作者林妍溱https://www.ithome.com.tw/news/155773
【未來汽車應用軟體部署、管理將掀起新變革】容器掀起汽車第二次軟體化變革
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每年1月舉行的美國CES電子消費大展，已成為各大車廠展示最新汽車技術和未來汽車的主舞臺，但是今年展覽很不一樣，除了各大車廠大秀軟體肌肉，第一次有車廠公開說，要把IT圈火紅的容器（Container）技術帶進汽車。</p> <p>儘管在IT領域，容器技術發展已相當成熟，為因應汽車軟體化風潮，車界近幾年出現不少關於汽車軟體容器化的討論，大多只限於開發或測試階段導入，還沒有真正在汽車內部環境使用。所以，當福斯要讓汽車支援容器技術的消息一出，格外引人矚目。</p> <p>其實早在多年前，賓士汽車就提出要用容器驅動汽車的概念，但當時還無法實現，現在福斯搶先一步完成，甚至福斯不是構想，而是已經開始實做。</p> <p>福斯汽車與雲端平臺負責人Amen Hamdan在今年CES主題演講中透露，目前已經能提供一個嵌入式容器化應用的runtime，讓開發者可以使用容器將應用打包後送到車上的實例做更新，而且可以將應用拆分，對個別小型功能進行更新。儘管他沒有透露哪些汽車功能會先採用容器，但也預告：「今年把這項技術導入車上後，會推向更多車款。」他表示。</p> <p>不只有車廠要讓汽車支援容器技術，去年5月，紅帽宣布要把企業級Linux帶進汽車上，也成了未來容器可以跑在汽車上的另一個關鍵證據。</p> <p>容器技術很早就在Linux平臺上實現，對於Linux支援也更完整，例如最早推廣容器而聞名的Docker就是基於Linux containers發展而來，但在眾多支援Linux containers的IT廠商中，紅帽發展腳步最快，從2014年RHEL 7作業系統就內建Docker，後來歷經多個版本更新，對於容器應用功能支援更全面，發展到現在已經相當成熟。</p> <p>從紅帽宣布與通用汽車的合作中透露出，未來紅帽車載OS將可以取得車上應用的底層控制權限，來支援安全和非安全車載相關應用，包括車載資訊娛樂系統、ADAS、車輛控制與車聯網等。甚至很快地，全球第一輛搭載車用RHEL的汽車今年上半年就會亮相。意味著，原先紅帽所擁有完整的容器開發平臺、應用工具等生態系都準備就緒，未來可以運用到汽車中。</p> <p>過去容器技術的出現，顛覆IT產業，掀起傳統IT架構變革，如今，這項技術也開始進到傳統封閉汽車產業，不只有機會推翻傳統汽車應用部署和管理模式，更將引領汽車軟體化發展往下一階段邁進。</p> <p><span style="font-size:28px;"><strong>為何汽車軟體需要容器化？</strong></span></p> <p>容器技術最大特色是為應用程式提供了一種標準封裝格式，可以把應用程式連同環境一起打包，再發布到任何可執行容器的平臺上，來方便管理、移動和部署應用程式。</p> <p>使用這種封裝格式，因為具有更好的移動性，軟體開發人員可以很容易將容器化汽車軟體部署到車上，不像採用傳統封裝的汽車軟體，除了安裝軟體之外，通常需額外加裝其他附加元件，來補足原本軟體執行所缺少的相關元件，才能順利執行。容器化汽車軟體因為在封裝過程中，已經預先把汽車應用軟體程式、組態及其相依性等所有執行需要使用的檔案、程式庫都打包起來，因此就不需要擔心環境不一致的問題。這是容器化汽車軟體和傳統汽車軟體最大的差異。</p> <p>尤其，以後車廠需要常常為所有出廠的汽車更新軟體，來提供各種汽車功能與體驗服務，使用容器技術，就可以更容易透過OTA更新替換汽車元件上軟體，來減少現場更新維護的人力，不需要採用跟過去一樣更新方式，得由車主親自開回原廠，再由車廠技師將更新檔案安裝到要更新的汽車裝置上（如車載電腦等），就能完成汽車軟體更新的動作，甚至遇到有一些共通性功能需要更新時，還能共用同一個更新檔，不需要根據入門、旗艦型等不同等級車款來調整，各別發布更新。</p> <p>容器化技術也是最能體現「搭建一次，隨處可用」精神。因此，用容器技術開發出來的應用，就可以很容易放在任何地方來執行，特別是在需要經常變動的汽車環境中，因為不需要考慮相依性的追蹤和異動，所以它的流通性更高，可以快速擴展，將有助於汽車軟體化生態的發展。</p> <p>不過，汽車越來越軟體化，也容易導致汽車內部軟體系統越來越複雜且龐大，但透過容器技術，搭配其他調度管理工具，也能加以改善。</p> <p>從軟體開發流程來看，更能確保不論是在測試環境，或上線前準備環境進行測試，都能和正式環境那套軟體環境保持一致，不容易受到不同環境配置差異的影響。</p> <p>因為有了容器技術，也讓軟硬體解耦變得更容易。過去汽車軟體開發流程上，必須考慮到車輛系統發布周期，導致軟體開發周期變長，因為軟硬體綁定，在軟體化汽車趨勢潮流下，首先就是要把硬體和軟體架構分離，讓軟體可以單獨開發，來縮短開發周期。由於容器技術是以應用程式為中心的虛擬化技術，可以讓這件事更容易被實現。</p> <p>從硬體架構來看，過去汽車內部是一個大型分散式架構系統，配備許多ECU，各自提供不同車用功能，新一代汽車E/E（電子電氣）底層架構逐漸走向集中式架構，在這個新架構下，原本分布在汽車中的ECU開始向上集中到少數主要ECU或汽車中央電腦的HPC平臺上處理，也將帶動汽車正式環境部署容器應用的需求，更進一步將汽車傳統應用程式從ECU中移植到新架構，從而加速軟體化汽車的發展。</p> <p>與傳統VM相比，容器化軟體也更輕量，可以用最小的方式將軟體所需執行的資源都封裝在一起，成為一個容器映像，再部署到汽車新舊裝置中。因為不需要借助作業系統來幫忙，因此就不需要先裝好一個作業系統，所以較不占用空間，啟動速度也更快。</p> <p>容器本身擁有完整且成熟的生態系，是汽車擁抱容器技術帶來的另一個好處，有許多現成容器開發和管理工具，以及資安工具等，都可以直接套用，甚至，容器技術也是目前主流，所以當車廠開始使用這個技術以後，原本專精於容器的這群人能直接進來，成為車廠開發容器化汽車應用即戰力。</p> <p>不過，初期，汽車容器化軟體還是會以非安全相關的汽車應用為主，畢竟汽車軟體仍與一般消費性或企業軟體有所差別，更加強調功能安全性，不像手機軟體當機，只要重開就好，汽車軟體一旦當機，嚴重可能攸關生命安全，所以設計上必須把這些安全要求納入考量。這也是為什麼紅帽開發汽車Linux花了2年多，就是要為了取得ISO　26262汽車功能安全的認證，才能夠放進車上使用，這也成了容器技術進到汽車上後能不能有更多應用的挑戰。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1119-%E5%B0%81%E9%9D%A2P2P3-%E8%87%B3%E6%B5%A9-%E4%B8%BB%E6%96%87-600.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1119-%E5%B0%81%E9%9D%A2P2P3-%E8%87%B3%E6%B5%A9-%E4%B8%BB%E6%96%87-600.jpg" style="text-align: center; width: 600px;" /></a></p> <p><span style="font-size:28px;"><strong>汽車產業第二次軟體化變革</strong></span></p> <p>這不是汽車產業第一次技術大變革，而是近十年來第二次革新。過去因為電動車、自駕車的出現，汽車設計開始從硬體轉向軟體為中心，掀起第一波汽車軟體化的變革，從單一介面的軟體化開始，到汽車基礎架構軟體全面性改變。也因為汽車軟體越來越重要，甚至成了影響汽車應用或服務能不能更進一步延伸的關鍵。</p> <p>從軟體化更進一步發展到容器化應用，將是汽車軟體化後下一階段發展。不同第一次軟體化變革，更追求軟體敏捷和彈性，來滿足未來更多汽車功能增長與頻繁更新需求，更要改善因為這波軟體化汽車風潮而越來越複雜的軟體系統架構，方便在汽車中管理及部署。這是汽車產業迎來第二次的軟體化變革。</p> <p><span style="font-size:28px;"><strong>不只是容器，未來更多雲原生技術將走進汽車</strong></span></p> <p>傳統汽車體質也因為這波新變革而有不一樣的改變，讓車廠更容易在汽車內採用雲原生，來支援對於汽車應用程式進行快速更新迭代、移轉或部署，不只增強敏捷性，還能提高員工生產力和縮短應用交付的時間。這些雲原生技術，將成為加速推動汽車軟體化發展另一個重要關鍵。</p> <p>其實近兩年，不少大型車廠早就導入雲原生技術，運用容器、Kubernetes容器調度管理工具與微服務對汽車軟體開發流程進行現代化工程改造，並結合DevOps與CI/CD測試部署自動化，藉此來縮短軟體開發周期，以便更快推出新功能，包括福斯、賓士、福特、通用等，都已經實際採用。</p> <p>不過，現階段想要在汽車上使用Kubernetes來管理汽車容器化應用，還是有困難，但為了管理這些汽車容器化應用，就需要有一個能管理汽車中多支容器的管理工具，為此，也有IT廠商試圖尋找替代方案。例如，紅帽就打算以Podman來取代Kubernetes，用來管理汽車內部多容器應用程式。</p> <p>Podman同樣也是容器管理工具，但與採用多節點叢集架構的Kubernetes相比，Podman更加輕量，不需要處理多臺Pod主機叢集的網路連接、複雜的節點關係，因此就很適合在資源有限的汽車嵌入式環境中使用。</p> <p>原本Kubernetes使用YAML檔來描述工作負載，包括containers和pods，來減少管理的複雜度，因為Podman同樣支援Kubernetes YAML檔，當以Podman搭配systemd使用時可以支援Kubernetes應用描述，這意謂著，可以在車輛中使用與雲端相同的Kubernetes宣告或描述，使用YAML來管理在單個節點上的多個汽車容器應用，而沒有Kubernetes本身多節點叢集管理負擔和複雜性。</p> <p>從容器調度工具開始有了汽車專用版本的發展來看，也透露出，以後汽車環境不會只有單一容器，而是一個多容器的應用環境。甚至更進一步，還能發展成微服務架構。</p> <p>嵌入式處理器設計大廠Arm也看好雲原生將成為軟體化汽車更進一步發展所必備的關鍵技術。從Arm所揭露一張汽車軟體化發展架構圖也反應出這個趨勢。未來汽車內部軟體堆疊架構，將從傳統服務導向SOA架構，逐步轉向微服務架構的過程，在這個新架構下，以後汽車內部軟體應用程式將全部變成一支支微服務程式，來取代傳統單體式設計的應用程式。甚至更進一步，未來微服務架構還要能夠支援混合關鍵性任務（mixed critically）調度需求，以便符合車規即時處理和功能性安全的要求。</p> <p>對於汽車軟體化發展而言，拆分微服務顆粒度的好處是，可以將單一應用程式分拆成多個小型功能的微服務，因此更能應對經常變動的汽車應用程式的環境所需。並透過API讓不同微服務能夠彼此溝通和相互串聯來提供汽車服務。福斯目前也正在嘗試把這項技術運用在汽車上，未來還要透過API，讓開發者可以很容易取得汽車功能相關數據進行應用開發。</p> <p>當車廠開始把更多雲原生帶進汽車，以雲原生技術打造汽車基礎架構，就像現在許多大型企業資料中心都是雲原生資料中心，大力擁抱基礎架構程式碼化（Infrastructure as Code），使用軟體的方法管理資料中心的設計、硬體架構和維運。汽車也就像是一個裝輪子的雲原生資料中心，讓汽車基礎架構應用開發、部署與維運，都可以透過自動化方式來執行時，汽車將不只是容器化汽車，更是一輛雲原生汽車。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94-%E8%87%B3%E6%B5%A9-%20Arm%20-%E5%9C%962-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Arm.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">從嵌入式處理器設計大廠Arm所揭露一張汽車軟體化發展架構圖能看見，未來汽車內部軟體堆疊架構，將從傳統服務導向SOA架構，逐步轉向微服務架構的過程。在這個新架構下，以後汽車內部軟體應用程式將變成一支支微服務程式，來取代傳統單體式設計的應用程式。甚至更進一步，未來微服務架構還要能夠支援混合關鍵性任務（mixed critically）調度需求，以便符合車規即時處理和功能性安全的要求。</span></strong><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／Arm</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>大型開源社群力推SDV風潮，也加快汽車軟體容器化推動</strong></span></span></p> <p><strong>過去2年來，軟體定義汽車（Software Defined Vehicle,SDV）或軟體化汽車風潮迅速竄起，不只是傳統大型車廠積極投入，如福斯、通用、福特、賓士等，更有不少IT廠商、大型公雲業者搶進，就連大型開源社群都大力支持。</strong></p> <p><strong>去年3月，旗下有許多知名物聯網專案的Eclipse開源軟體基金會，成立了一個新的SDV工作小組，這也是第一個由大型開源軟體社群所成立的SDV專案計畫。該小組任務是要為軟體定義汽車打造一個程式優先的開源平臺，目的是要徹底改變汽車產業傳統軟體開發方式，因此初期工作項目，包括建立車載應用runtime堆疊、雲端汽車OS與整合開發工具鏈，讓汽車製造商和供應商可以安全可靠的方式部署、配置和監控車輛軟體，也提供跨不同車型、車廠車載軟體開發所用。初期成員有微軟、ZF、Arm、Bosch、紅帽、ETAS等，一年後成員數增加到30多家，日本汽車大廠豐田也加入。</strong></p> <p><strong>其實，早在Eclipse SDV成立前，就已經有相關SDV開源專案推出，其中又以紅帽主導的CentOS Automotive SIG為代表，不只要建立與汽車相關開源軟體，更要改造CentOS發展汽車Linux，作為車廠打造新車載OS的參考設計與概念驗證。</strong></p> <p><strong>CentOS Automotive SIG成立不到一個月，另一家嵌入式處理器設計大廠Arm也力推SOAFEE新架構，這是一個可擴充嵌入式邊緣軟體框架，Arm希望藉由SOAFEE架構，將雲原生技術導入車用領域，加速推動SDV發展，包括自動駕駛、先進駕駛輔助系統（ADAS）等，讓汽車業者更容易開發能在Arm裝置執行的混合關鍵型應用。目前已有第一個版本釋出。截至去年底參與該專案成員超過50家，涵蓋半導體晶片廠商、軟體供應商、系統整合商、雲端服務供應商、車廠與Tier1汽車供應商等。</strong></p> <p><strong>就連知名代工大廠鴻海，也瞄準軟體化汽車的商機，在2年前成立MIH開放電動車聯盟，在鴻海號召下，成立一年就有超過2千家業者加入，希望藉由打造開放汽車硬體框架打破傳統封閉的汽車開發環境，讓不只傳統車廠，其他行業都能加入，進而推動汽車產業的變革。期間還釋出了電動車開發者工具平臺EV Kit，能提供純電動車整車設計軟體介面及硬體規格。至今更以此架構推出三輛不同等級的電動車。</strong></p> <p><strong>透過引進這些開源軟體與社群的力量，未來將會有許多開源工具、軟體套件提供，搭配開放式硬體架構，將有助於未來汽車軟體容器化加速發展。</strong></p> </div></div></div>
2023/3/6 00:00作者余至浩https://www.ithome.com.tw/news/155746
不只汽車，雲原生更顛覆車廠軟體開發團隊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「容器在汽車軟體開發流程能發揮關鍵作用」福斯汽車Cariad首席產品負責人Marcus Greul簡單一句話道出容器重要性。不只是福斯，其他大型車廠，如賓士、通用、福特等，也都面對相同的挑戰，而要透過容器技術對汽車軟體開發流程展開大變革。</p> <p>因應汽車軟體化的趨勢，未來電動車都能透過OTA快速更新，甚至每幾個月就能更新一次，福斯雖然訂下目標未來2年軟體自主開發比重提高至6成，但仍有4成是委外，當軟體更新頻率加快，傳統汽車軟體開發方式已經跟不上汽車新功能需求增長，所以，福斯要徹底改造汽車軟體開發流程，並以其中的測試為改造首要重點。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1119-%E5%B0%81%E9%9D%A2P4-%E8%87%B3%E6%B5%A9-600.png" style="text-align: center; width: 600px;" /></p> <p><span style="font-size:28px;"><strong>福斯靠容器技術克服測試環境建置造成更新延遲</strong></span></p> <p>汽車內部是一個大型分散式軟體系統，一輛電動車就有60套ECU軟體，提供各種不同汽車功能，像是電動後視鏡調整等。開發人員每次更新或新增ECU軟體，都要經過繁瑣測試、整合測試驗證ECU，確保任何修改不會對車內執行的其他系統產生負面影響。不只測試耗費大量時間，每次測試前，研發人員必須把測試環境建置完成，才能開始測試，單是環境建置就需要好幾天，導致軟體更新周期變長。這也成了福斯首要難題，所以用容器來解決。</p> <p>福斯電動車研發團隊2年前採用紅帽OpenShift打造一個雲原生的虛擬測試平臺環境，來解決測試環境建置造成軟體更新延遲的問題，並以DevOps敏捷開發方式實踐。</p> <p>在這個虛擬測試平臺上，開發者可以使用容器將執行測試所需要的元件打包部署到該平臺上測試，不只可以使用容器執行ECU功能，來進行各項測試，包括整合測試等，也能快速在容器中建立不同虛擬ECU，來模擬各種條件下ECU上執行軟體堆疊的情況。</p> <p>因為不需要考慮測試環境準備，因此測試速度變更快。虛擬測試結果也能與實車測試相互比對加以改良，進而提高ECU軟體性能。</p> <p>導入容器技術改造開發測試流程一段時間後，福斯不只將測試平臺建置時間從數天減至幾小時，讓開研發團隊可以專注於測試，而不用管底層的硬體怎麼用，也大幅縮短汽車ECU軟體開發測試時間，還因此省下50%硬體成本，新的測試流程，對於跨團隊協作也獲得改善。</p> <p>不只是福斯，其他車廠也面臨同樣的考驗，而必須要讓汽車軟體開發流程跟著現代化。例如賓士很早就推出車聯網服務，提供車輛遠端監控、互動體驗等功能，但用戶一年僅獲得1～2次軟體更新，更新頻率太慢，沒辦法快速回應用戶需求，成了賓士首要解決的問題。</p> <p><span style="font-size:28px;"><strong>導入雲原生技術，讓賓士軟體發布周期縮短到3個月內</strong></span></p> <p>過去汽車軟體和硬體關係緊密不可分離，也反映在汽車軟體開發流程，必須考慮到車輛系統發布周期，每次要開發新軟體，軟體工程師必須先等硬體開發完後，才接著開發，甚至還要懂得硬體架構，以及使用哪些廠商硬體組裝等，單是軟體開發前置作業，就耗費不少時間，也導致軟體開發周期很長。</p> <p>為了縮短軟體更新周期，賓士決定要把軟體開發流程自車輛系統發布管理周期中分離，以此加快軟體更新迭代，賓士首席軟體工程師Rodrigo Nunes指出：「就需要用到容器。」</p> <p>賓士車聯網團隊自2年前導入AKS容器管理平臺，打造一個容器化軟體開發平臺，希望藉由這個新平臺實現軟體開發流程現代化，來改善軟體更新周期太長的問題，同時確保品質與安全性，並以自動化方式將軟體部署到車上。</p> <p>現在工程師使用筆電搭配模擬器，就可以在這個軟體開發平臺上進行開發，用軟體模擬和測試各種汽車功能，不用管硬體測試平臺該如何建置，就可以進行軟體開發和測試。之後再以自動化方式將軟體部署到實車上測試驗證。</p> <p>賓士後來更把每個容器化應用軟體都拆成一支支微服務，可以各自獨立開發、測試與驗證並能分別交由不同軟體工程師執行，等到完成測試驗證，再將多個微服務合併推出，來提升應用程式開發的效率。</p> <p>這些容器化軟體資源建立、配置和和功能交付，全都透過容器調度工具K8s來處理。還結合高度彈性的API設計，讓不同功能的開發不必互相等候，前後端團隊、不同Teir供應商可以彼此協作，是應用開發效率再提升的另一關鍵。開發團隊也使用如Go、JavaScript、C#、Python等主流程式語言來開發。</p> <p>導入這些雲原生技術後，對於賓士帶來的最大改變就是，軟體發布周期變更快，每3個月內就能更新一次軟體，等於一年至少3～4次更新頻率，就可以推出更多汽車功能。</p> <p>「用容器驅動的汽車（Container-driven cars）」這是賓士RD研發團隊幾年前對於他們正在發展的聯網汽車幽默稱呼，由此也透露出，賓士也想要把對於帶來汽車軟體開發流程變革的容器技術，也帶入車上。</p> <p>另一家汽車大廠福特也同樣採用容器、K8s管理平臺加快包含汽車軟體在內的應用程式開發和交付，而且為了更快速地開發及迭代軟體，也結合DevOps與CI/CD測試部署自動化。</p> <p>除了運用在研發部門，其他部門也有採用，例如，福特不同業務部門都有設立一個高度參與的開發社群，該社群負責建構最新技術的創新產品和服務，就會使用容器技術，例如汽車碰撞分析、自動駕駛機器學習開發，以及HPC硬體測試等就有用到。</p> <p>福特預期透過導入雲原生，除了能夠降低硬體投資成本，還能提高開發人員生產力，並加強應用程式安全性與合規性，符合各種行業安全標準和規範，如PCI DSS標準或是歐盟個資法。</p> <p><span style="font-size:28px;"><strong>除了一般汽車軟體開發流程，連自駕車軟體開發流程也要現代化</strong></span></p> <p>除了傳統車廠要把汽車軟體開發流程現代化，也有自駕車新創為了加快自駕軟體更新迭代與實現自駕車大規模部署，而重建自駕車軟體開發流程，來獲得更敏捷、更彈性的能力。通用旗下自駕車軟體公司Cruise就是其中一家。</p> <p>每次自駕車軟體更新前，研發人員必須先把實車蒐集到的數據，經過數據清洗等資料處理步驟，再餵給ML模型訓練，產出最終模型後，還要在模擬環境和實車上測試，才能更新到自駕車上。</p> <p>這樣一個自駕車軟體開發流程，對於Cruise來說，在去年一場自駕車道路實測上卻遇到瓶頸，不斷有車輛新的數據湧進來，還有以前沒看過新的交通情境、罕見場景出現，但是卻無法很快更新軟體，提高自駕車適應能力，因為Cruise這次測試的不只一部無人自駕車，而是有很多部自駕車一起在路上跑，還是在交通複雜的舊金山市區道路上，不只對於自駕車的挑戰很大，多輛車組成自駕車隊在路上測試，龐大資料量湧入不斷增加數據處理的負擔，也需要投入更多資源完成大規模驗證與測試，導致軟體更新步調變慢。</p> <p>為了解決這個問題，Cruise自駕車團隊使用GKE容器管理平臺，運用容器、K8s、微服務，將自駕車數據蒐集、清理、模型建立，都集中到一個平臺上處理，從而簡化自駕軟體開發流程，並搭配CI/CD流程，達到持續整合與持續部署。還使用該平臺快速建立模擬環境，產生類似交通情境來加以驗證。最後不只一周可以有多個版本更新，也能完成多輛自駕車軟體大規模部署與更新。</p> </div></div></div>
2023/3/6 00:00作者余至浩https://www.ithome.com.tw/news/155747
用SaaS模式翻轉牙科HIS，牙e通更要打造全新照護生態系
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>想像自己走在街上，街邊有個電話亭空間，開門進入，機器就開始掃描口腔、進行診斷，接著伸出機械手臂來治療牙齒，完成後人醒來、走出電話亭，未來能這樣完成牙科治療嗎？這是台灣牙e通（dentall）創辦人暨執行長陳欽章對許多人拋出的問題，也是他對未來牙科的想像。</p> <p><span style="font-size:28px;"><strong>執業遇系統整合難題，捲起袖子決定改變產業</strong></span></p> <p>陳欽章本身是名牙科醫師，他結束長庚醫院住院醫師近2年的訓練，在2015年成立牙科診所，開始獨當一面執業。但很快地，各種挑戰一一浮現，小至牙科材料的購買，大至牙科診所所需的系統採購，都是讓他非常苦惱的問題。</p> <p>不只他，很多同業也有類似的採購困擾，陳欽章乾脆成立一個台灣牙e通社團，開始做起牙材團購，來供牙科醫師選購材料。不只如此，後來，他將團購概念擴展到牙醫課程上，提供課程團報服務，來讓牙醫師進修。2015年底，加入這個社團的臺灣牙醫師就多達4,000人，等於全臺牙醫每4人就有一人加入。隔年，陳欽章正式登記台灣牙易通股份有限公司。</p> <p>解決了牙材採購問題，陳欽章將目光轉向更龐大複雜的牙科系統。有別於大醫院的牙醫部門，牙科診所規模雖小，但得自行建置所有系統，從掛號、看診、病歷管理、客戶關係管理（CRM），再到後臺的庫存管理等系統都得一手包辦。</p> <p>一般傳統牙科診所，可能只需一套健保申報的電子病歷系統就夠了，但新型牙科診所，還需要各類系統來協助診所營運。陳欽章身歷其境，他指出，牙科診所常面臨的困境是，單一廠商無法提供一套完整的解決方案，診所就得自己東拼西湊，向不同廠商購買系統，比如從A廠商購買掛號系統、向B廠商採購庫存管理系統，最後再組合起來，串起經營牙科所需的流程。在組合過程中，牙科診所還得留意系統間的串接，來確保資訊不斷點，需額外付出許多心力。</p> <p>「這是臺灣長久難治的問題，」陳欽章說，長年來，臺灣市場上並無廠商提供整合式的牙科診所系統。為解決這個問題，他決定捲起袖子，自己跳下來改變這個產業。2018年，他找來技術長汪庭宇組建技術團隊，自行開發整合式的牙科系統解決方案。</p> <p><span style="font-size:28px;"><strong>首要瞄準牙科HIS，直覺式介面改造系統</strong></span></p> <p>不過他坦言，自建團隊前，曾掙扎思索過，要外包開發，還是要自行研發。後來他想通，「一套系統開發下去，會有許多內容要不斷迭代，」因此，陳欽章排除外包這個選項，決定自組團隊作為開發火力，「咬緊牙根也要這麼做，因為這是我們的創業核心！」他說。</p> <p>他們以牙科最重要、最複雜的醫療資訊系統（HIS）作為產品發展核心。為改造牙科HIS、做出讓使用者耳目一新的系統，他們格外聚焦使用者體驗，先梳理牙醫作業流程、規畫出使用者旅程，再分別融入視覺化圖示，讓操作更直覺，改善傳統系統為人詬病的密麻文字作風。比如，他們打造一套行事曆約診系統，以周月曆形式和顏色區塊，來呈現約診概況，醫師只要移動滑鼠，就能進一步查看預約患者資料。這種操作模式，更貼近生活中使用行事曆App的習慣，也更直覺。</p> <p>另一個例子是，HIS中有個病患清單（Patient List）功能，專門用來告訴醫師，今天有幾位預約患者，以及患者報到順序和看診時間，甚至是治療時長，就像是牙科醫師的工作排程表。傳統系統多以緊密的文字顯示，陳欽章和團隊改用簡單的圖示和顏色區塊來呈現關鍵資訊，讓醫師一眼就能掌握病人剩餘的處置時間、下位病人是否報到等資訊。還有一個例子是，為方便醫師向病人解說病況和治療策略，在系統中加入視覺化牙位圖，以顏色標註異常之處，方便醫病溝通，也讓民眾更理解治療策略。</p> <p>牙科HIS中的電子病歷系統，是陳欽章最看重的關鍵系統。因為，「只有擁有完整的病歷數據，才能驅動後續治療和服務，」就好比開場的未來牙科場景，唯有連接病人的病歷與診斷資料，才能精確治療。</p> <p>於是，他們以卡牌形式建立病歷系統中的病人基本資訊，還以分門別類的表格來顯示重點資訊，如近期診斷、治療方案、約診和費用等，讓醫師在一個畫面中就能同時查看。</p> <p>甚至，他們還一併改革傳統得靠複寫紙抄寫的牙技流程。他們在系統中加入新區塊，讓醫師填寫假牙製作需求和資訊，再將這些訊息傳給牙體技術所。過程中，他們還導入AI校色，醫師拍下患者牙齒照片、上傳雲端後，先以AI自動校正牙齒顏色，讓牙技師傅做假牙時，不必再到診所比色驗證。</p> <p><span style="font-size:28px;"><strong>Day 1就上雲，採K8s管理、自動調度資源</strong></span></p> <p>一開始，陳欽章打造這套牙科HIS產品時，就打算透過雲端提供服務。「我們Day 1就上雲，」陳欽章指出，團隊在設計系統初始，就決定採用落地臺灣的Google雲端服務，來營運牙科HIS。這麼做，讓系統維運等工作更便利。</p> <p>如透過SaaS提供服務，每次遇到健保程式調整時，只需統一修改雲端HIS系統即可，不必一一到診所現場更新。甚至，未來衛福部若全面改用FHIR標準來交換資料，台灣牙e通也只需調整一次雲端版系統，就能支援所有診所。</p> <p>除了上雲，團隊還搭配主流的容器管理平臺Kubernetes（即K8s）來管理系統，遇到高流量客戶時，能自動調度伺服器資源，不必人工介入。例如，他們有家歷史悠久的牙科診所客戶，每日有上百位患者需治療，且擁有龐大的病歷資料，是一般診所的3到5倍，當這家診所流量暴增時，就會觸發自動擴充功能來調度伺服器資源，不需手動調整。</p> <p><span style="font-size:28px;"><strong>未採用微服務架構，未來視系統複雜度而定</strong></span></p> <p>不過，台灣牙e通的HIS產品，並未採用近幾年流行的微服務（Microservice）架構來設計。汪庭宇解釋，開發牙科HIS時發現，HIS中的系統彼此相依性非常高，很難獨立切分為一個個微服務，來獨立管理。「就好像更動病歷系統中的某個功能，一定會牽動其他系統功能一樣，」汪庭宇認為，在這個牽一髮動全身的前提下，他們並不考慮發展微服務，再加上台灣牙e通團隊規模不大，並未達到數百人、需要以微服務來管理系統的程度。但未來團隊成長快速、系統架構越趨複雜時，他們就會考慮以微服務架構改造系統。</p> <p>雖然如此，台灣牙e通周邊系統的設計，也有類似微服務的概念。他們將非核心的周邊功能切分出來，像是通知病人的Line訊息發送、簡訊發送等功能，這些功能不與牙科HIS「綁在一起」，而是獨立出來，再透過API串聯彼此，以類似微服務的概念，來管理這些周邊功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1119-xTransformation-%E8%8B%A5%E6%A8%B8-600_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><strong><span style="color:#3399ff;"><span style="font-size:20px;">以精準的病歷系統為核心，就能根據過往治療記錄，發展出整合式的牙科照護生態圈。── 台灣牙e通創辦人暨執行長陳欽章</span></span></strong></p> <p><span style="font-size:28px;"><strong>從牙位辨識發展牙醫AI，先攻牙周病風險判讀</strong></span></p> <p>有了核心牙科HIS系統，台灣牙e通也循序漸進發展其他應用，特別是醫療AI。陳欽章點出，自2021年開始，團隊邁入新階段，開始研發醫療AI，作為牙科HIS未來串接的新功能。甚至，他們打造的AI還要結合商業保險，來實現診療自動理賠。</p> <p>他們的牙科AI發展策略，是以牙位辨識為基礎，再發展各種牙科疾病風險預測，接著申請取證、整合至自家HIS產品。起初，團隊先是與北醫開發牙位辨識AI，藉由北醫提供去識別化且經標註的牙齒影像，來教AI模型判斷牙位，比如是上下排、左右排的牙齒。接著，模型再學習辨識牙肉與牙齒位置，比如第幾顆牙齒。</p> <p>這麼做的好處是，牙科診所拍完患者口內影像或X光片後，不必再靠人工排序定位，模型直接就能將大量散亂的影像，自動按牙位排序。</p> <p>有了這些基礎，團隊開始訓練模型辨識其他疾病。他們首先選擇牙周病，因為，牙周病辨識可根據牙肉和牙齒露出牙肉的比例來計算，有了牙位和牙齒牙肉定位基礎，就能判斷每顆牙齒的牙周病風險。</p> <p>在風險的判斷上，他們依照美國牙周病學會標準，教模型學會辨識4種期別的牙周病，來預測每顆牙齒的期別風險。目前，這款牙周病判讀AI的準確率達97%，而這些期別預測值，可顯示於數位X光片的牙齒上，方便醫師與病人溝通。像是，醫師可解釋不同期別的治療方式，比如，第一期別屬於正常，第三期別需要牙周病再生治療。</p> <p>台灣牙e通自去年開始，也積極準備申請衛福部食藥署智慧醫材SaMD的認證，希望在今年取證，將牙周病風險預測AI串接至自家HIS中，作為功能擴充。同時，他們也準備申請美國FDA和歐盟的智慧醫材認證。</p> <p>對團隊而言，牙醫AI不只針對牙周病，他們也正開發蛀牙病灶偵測模型，來加速輔助醫師判讀。</p> <p>不只要取證、整合至HIS，陳欽章表示，牙周病風險預測還能與商業保險整合，比如AI判斷某顆牙屬於第三期別高風險，需要牙周病再生治療，這就符合保險給付資格。「我們的目標是，AI判斷風險後，保險公司能直接連線理賠、簡化給付流程，民眾也能當場接受治療方案，」他說，如此能節省原本需來回奔波，申請醫療證明和X光片的不便。台灣牙e通目前已與幾家保險公司洽談，對方也相當有興趣。</p> <p>同時，他們也正在評估如何串接壽險公會打造的保險理賠區塊鏈平臺。這個平臺的目的，也是要簡化保險理賠流程，透過民眾線上申請、醫療院所自動撈取所需資料，傳送給壽險公會平臺，平臺再將資訊傳給保險公司進行理賠，簡化保險理賠作業且落實無紙化。</p> <p><span style="font-size:28px;"><strong>發展整合式照護，下一步鎖定資源媒合</strong></span></p> <p>專攻雲端診所市場的台灣牙e通，除了瞄準醫師端所需的整合式資訊系統和社群，也進一步發展民眾端的口腔照護生態圈。3年前，台灣牙e通就建立牙齒衛教知識庫，也建立粉絲專頁，透過美編設計親民易懂、圖文並茂的衛教資訊，來供病患和民眾參考。甚至，陳欽章表示，未來也許能透過雲平臺，往前一步來媒合牙科需求，比如發展「牙科到宅」服務，將資源分配給所需民眾。</p> <p>這種資源媒合和整合，「是我們接下來要推動的重點。」他舉例，如以精準的病歷系統為核心，來發展整合式的口腔照護生態，根據民眾過去病史、接受過的治療，來串起前段的服務媒合需求，以及後續預約、就醫、保險給付，甚至是治療後的衛教照護服務，將過去分段式的口腔照護，一氣呵成連結起來，打造為更全面的牙科照護生態圈。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/400(%E5%85%AC%E5%8F%B8%E4%BB%8B%E7%B4%B9)%E5%8F%B0%E7%81%A3%E7%89%99%E9%86%AB%E9%80%9A_%E5%8F%B0%E7%81%A3%E7%89%99%E9%86%AB%E9%80%9A%20%E6%8F%90%E4%BE%9B.jpg" style="width: 400px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／台灣牙易通</span></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 公司檔案 </span></strong></span> <strong>台灣牙易通股份有限公司</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 關鍵人物 </span></strong></span> <strong>台灣牙e通創辦人暨執行長陳欽章</strong></p> <p><span style="color:#696969;"><strong>成立於2015年的台灣牙e通，是全臺最大牙科資訊整合平臺，牙醫師註冊會員超過8,000人，占全臺牙醫50%。台灣牙e通以牙科雲端診所管理系統為核心產品，同步發展HIS周邊系統，如AI輔助診斷系統，未來將與商業保險串聯，來簡化給付流程。此外，他們也提供牙科專業教育、牙材採購系統和醫務管理顧問等服務，並發展牙科衛教與牙助社群，要建立整合式牙科生態圈。</strong></span></p> <p>網址：<a href="http://www.dentall.io">www.dentall.io</a></p> <p>地址：臺北市中正區羅斯福路三段136號4F-1</p> <p>成立時間：2015年</p> <p>主要業務：研發整合式牙科IT系統，如結合牙科教育、牙材採購、系統管理、AI輔助診斷軟體，並要串聯牙科保險網路、發展病患個人牙科病歷雲端資料庫</p> <p>員工數：77人</p> <p>技術長：汪庭宇</p> <p>技術部門名稱：研發部</p> <p>技術部門職務：負責核心產品系統開發與維運、產品功能研發及使用者介面優化</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司大事記 </span></strong></span></p> <p>2015：台灣牙e通成立，同年底設立官方網站，會員人數達4,000人</p> <p>2016：台灣牙e通正式登記營業登記為台灣牙易通股份有限公司</p> <p>2017：展開北市府一站式牙科數位整合方案計畫，推出線上學習平臺，規模為6,000名會員</p> <p>2019：於德國科隆國際牙材展首度發表雲端診所管理系統dentallHiS，同年臺灣版dentallHiS正式上線，並成立越南分公司，也開始發展牙醫AI</p> <p>2020：台灣牙e通累計會員達7,000人，占臺灣牙醫師人數過半</p> <p>2022：台灣牙e通總部成立，推動各項服務虛實整合</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1119-xtransformation-ruo_pu_-960_hong_zheng_wei_she_.jpg" width="960" height="420" alt="" title="台灣牙e通創辦人暨執行長陳欽章　（攝影／洪政偉）" /></div></div></div>
2023/3/6 00:00作者王若樸https://www.ithome.com.tw/people/155761
軟體化汽車下一步
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1119-feng_mian_p1-open-960x420_kao_bei_.jpg?itok=PhFuY3Ni" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因為電動車、自駕車的出現，掀起第一波汽車軟體化的變革，從硬體轉向軟體為中心思維，這股風潮到今年開始出現改變，在福斯透露要讓汽車開始支援容器技術，也象徵了軟體化汽車進入下一階段發展，從傳統汽車軟體走向了汽車容器化軟體應用，這也是汽車產業近十年來第二次軟體化革新</p> </div></div></div>
2023/3/6 00:00作者余至浩https://www.ithome.com.tw/article/155763
Booking.com修補可能導致帳號接管的OAuth漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://salt.security/blog/traveling-with-oauth-account-takeover-on-booking-com" target="_blank">資安公司Salt Security發現住宿預訂服務Booking.com</a>，其在登入功能的OAuth實作，可能導致惡意攻擊者接管用戶的帳號，而且駭客也能夠以同樣的手法，登入Booking.com子公司Kayak.com。Booking.com在收到Salt Security的漏洞通報後，已經迅速修復問題，並且確認未有駭客利用該漏洞入侵平臺。</p> <p>OAuth（Open Authorization）是目前的開放身分驗證標準，使用戶可以允許應用程式讀取臉書或Google等帳號資料進行身分驗證，方便地登入應用程式。研究人員發現Booking.com上由於不安全的OAuth設計缺陷，使攻擊者有機會接管以臉書登入的帳號，而且一旦接管成功，攻擊者便可以假冒用戶執行任意操作，包括存取所有個人資訊。</p> <p>在Booking.com以臉書帳號登入，需要使用者、Booking.com和臉書三方，透過連結中所帶的參數通訊，Booking.com網站上「以臉書登入」按鍵的連結，帶著重新定向回Booking.com的路徑參數redirect_uri，當redirect_uri限制不夠嚴謹，便讓攻擊者有機可乘。</p> <p>惡意攻擊者可以精心設計OAuth驗證連結，再以社交工程的手法欺騙受害者點擊，由於OAuth連結使用臉書網域，乍看之下非常合理，因此受害者很容易上當。</p> <p>這項帳號接管攻擊，需要用上Booking.com上三個較小的不安全設計，第一個不安全的設計（下圖）是當Booking.com向臉書註冊OAuth身分驗證服務時，並沒有明確指定redirect_uri路徑，因此臉書接受所有account.booking.com以下的路徑，如此攻擊者只要在account.booking.com網域下，尋找開放重定向漏洞，就有機會將用戶定向至惡意站點。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/6400a4456796a6cbb13cf351_4.png" style="width: 580px;" /></p> <p>而攻擊者剛好發現Booking.com「我的儀表板」功能，存在開放重定向（Open Redirection）漏洞這個不安全的設計，系統會根據連結所帶的變數決定重新定向的位置，因此駭客只要精心設計連結網址的變數，就能夠將受害者導向惡意網站。</p> <p>由於臉書仍會驗證過程中redirect_uri的一致性，因此如果一開始redirect_uri路徑，與之後遭到變造的redirect_uri路徑不一致，便會被臉書阻擋。但安全人員在Booking.com的行動應用程式上，發現第三個不安全的設計，使得攻擊者能夠繞過臉書對redirect_uri路徑的一致性驗證。</p> <p>行動應用程式會以Post的方式，傳遞一串代碼給Booking.com系統，攻擊者只要替換掉其中的resultURi（下圖），便能夠順利將受害者導向惡意網站，藉此攔截受害者的登入憑證，最終使用偷來的憑證接管受害者Booking.com的帳號。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/63fd582a64e9fab78f869171_19.png" style="width: 580px;" /></p> <p>這項漏洞不只讓使用臉書帳號登入Booking.com的用戶受到影響，即便用戶是使用Google或其他登入方式創建帳號，攻擊者同樣也可以使用臉書登入功能接管其Booking.com帳號。攻擊者只要向使用Google身分驗證的Booking.com用戶發送惡意連結，由於受害者電子郵件地址相同，Booking.com便會自動關聯擁有相同電子郵件的帳戶允許登入。</p> <p>研究人員提到，這類OAuth配置錯誤對公司和用戶造成重大影響，攻擊者可能會代替受害者提出未經授權的請求、取消預訂，或是存取敏感個人資訊，包括預定歷史紀錄、個人喜好或是未來訂單。</p> <p>雖然要完成這項攻擊，需要結合三個不安全的設計，但安全人員提到，重點在於攻擊者有能力在redirect_uri使用不同的路徑，因此提醒應用程式在與臉書或是其他OAuth供應商整合時，配置中的redirect_uri必須要是寫死的路徑，而行動應用程式的問題也與redirect_uri有關，這個數值不應該來自用戶輸入。</p> </div></div></div>
2023/3/5 03:47作者李建興https://www.ithome.com.tw/news/155765
Brave搜尋使用AI模型摘要用戶搜尋結果
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>訴求高隱私安全的瀏覽器Brave開發人工智慧模型，不使用ChatGPT或是其他後端系統，在自家搜尋引擎加入能夠總結搜尋結果的人工智慧功能<a href="https://brave.com/ai-summarizer/#fn:4">Summarizer</a>，摘要旁也會列出資料來源，方便用戶查證事實。<a href="https://www.ithome.com.tw/news/147395">Brave在2021年正式推出自家的搜尋引擎</a>，取代Google成為預設，同樣主打不追蹤用戶活動或是搜尋的高隱私性。</p> <p>Brave提到，由於<a href="https://www.ithome.com.tw/news/154513">人工智慧語言模型ChatGPT的推出</a>，以及<a href="https://www.ithome.com.tw/news/155505">微軟宣布在Bing搜尋引擎整合OpenAI的模型</a>，為因應人工智慧在搜尋引擎上的應用趨勢，Brave透過整合過去發展的技術，開發了Summarizer。</p> <p>Summarizer會在Brave搜尋頁面的頂端，顯示簡單扼要的搜尋摘要，使用戶能夠快速掌握搜尋結果，官方提到，Summarizer所提供的摘要完全基於網頁搜尋結果，透過利用大型語言模型處理網頁上多個資料來源，產生簡潔精準的答案，並且以通順連貫的語句表達。</p> <p>Summarizer完全由Brave搜尋團隊開發，由三個不同的大型語言模型組成，這些語言模型分別負責不同的任務，第一個問答模型，會嘗試從文字片段中擷取具體的答案，Brave過去便已經使用大型語言模型提高搜尋的相關性，知識圖和精選摘要功能都是使用類似的技術，不同之處在於分析的文字片段數量和長度增加。</p> <p>在問答模型擷取粗略的答案後，Brave搜尋會利用一組零樣本分類器，過濾掉仇恨言論、粗鄙用詞和垃圾訊息等文字，最後留下可以使用的文字集，交由摘要模型處理，該模型會嘗試重寫並且刪除重複的文字，保持語言的一致性和可讀性。</p> <p>由於Summarizer所給出的答案，完全基於網頁的搜尋結果，Brave提到，與單純的生成性人工智慧不同，不會輸出未經證實的結論。而使用網頁搜尋結果，也讓Summarizer能夠提供當日事件的即時資訊，但是官方仍提醒，用戶不應該完全相信人工智慧所產生的結果，如同不應該完全相信網頁上的資訊。</p> <p>除了提供摘要之外，Brave搜尋也會以人工智慧模型產生網站摘要，替換原本各搜尋結果下方的文字描述，並且突出顯示可能的答案。這項功能屬於單一來源的摘要，也就是該網站文字摘要，而並非考慮多個來源所產生的全面性總結。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/before-after.jpg" style="width: 580px;" /></p> <p>Brave搜尋現在每秒處理600次的查詢，而Summarizer約針對17％的查詢產生摘要，官方提到，他們的AI模型可能是目前世界上最大型的該類系統，因為他們對每個查詢都使用Summarizer，因此每秒查詢量較其他搜尋引擎更多。Summarizer目前已經向所有Brave桌面和行動用戶推出，不想使用的用戶，可以在設定中關閉功能。</p> </div></div></div>
2023/3/5 03:56作者李建興https://www.ithome.com.tw/news/155766
IBM發布年度威脅報告，後門、網釣與勒索為主要焦點，尤其遠端後門攻擊已成企業最大威脅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於2022年的資安威脅態勢，IBM發布X-Force威脅情資指數報告（X-Force Threat Intelligence Index），當中最受注目的3大焦點包括，除了指出勒索軟體威脅仍然劇烈，遠端後門攻擊現在更成為企業面臨的最大資安威脅，其次，網路釣魚攻擊仍是主要攻擊媒介，有4成的攻擊事件都被發現與此種手法有關，第三，從對企業帶來的衝擊來看，勒索（Extortion）仍是攻擊者最慣用的手法，其中又以製造業被鎖定的比例最高。</p> <h3><strong>部署後門程式成為攻擊者行動時最常見的模式</strong></h3> <p>關於遠端後門攻擊的威脅為何近期持續增加？IBM團隊指出，後門存取（Backdoor access）正成為暗網熱門商品，因為每個後門存取的價格不斐，可能達到數千美元，若與每筆只值10美元的信用卡資料相比，後門存取對於駭客可能更有價值。</p> <p>更關鍵的是，IBM從他們觀察的全球資安威脅態勢分析，發現21%資安事件是攻擊者部署後門程式（以便從遠端存取系統），成為攻擊者針對目標採取行動時最常見的模式。他們認為，具有多種用途的惡意軟體Emotet，使後門活動變興盛。他們還提到，這些後門案例中有67%涉及勒索軟體的企圖，等於是先部署後門程式再勒索軟體攻擊。由於過往的資安年度報告中，很少指出這樣態勢，值得企業關注。</p> <p>對於勒索軟體的威脅，IBM表示，儘管比重降低，2021年是21%，2022年減至17%，但勒索軟體仍是明確且實際的威脅，只是呈現擴大而非放緩的態勢，因此依然不可輕忽。特別要留意的是，他們發現，近三年勒索軟體攻擊平均持續時間，已從兩個月變成不到4天。</p> <p>僅次於後門程式、勒索軟體攻擊，排名第三的威脅是電子商業郵件詐騙（BEC），佔X-Force回應事件的6%。</p> <h3><strong>去年有4成攻擊事件運用網釣手法</strong></h3> <p>從初期入侵攻擊手法來看，IBM指出，網路釣魚仍是慣用手段。在2022年有4成1的事件，用網釣相關手法，包括魚叉式網路釣魚附件（25%）、魚叉式網路釣魚連結（14%）、魚叉式網路釣魚服務（2%），基本上，這三類型網釣合計占了41%。其次，為利用公眾面向應用程式入侵，比例達26%，這部分與往年相比略有下降。</p> <p>另外，IBM還給出更多觀察，說明在網釣攻擊持續嚴峻的情況下，劫持電子郵件的身分冒用行徑在2022年大幅上升，成為攻擊者的一項武器，也就是攻擊者利用被入侵的電子郵件帳戶、冒充帳戶本人回應郵件。並且，攻擊者會利用這樣的途徑部署Emotet、Qakbot與IcedID等惡意軟體，企圖引發勒索軟體感染。</p> <h3><strong>攻擊者勒索策略持續強硬，製造業受害比例最高</strong></h3> <p>在這次年度資安報告中，IBM也從影響層面指出現今企業組織所面對的五大衝擊，其中，勒索（Extortion）以21%比例最高，資料竊取以19%比例居於第2，其次為憑證獲取（11%）、資料外洩（11%）、品牌名聲（9%）。</p> <p>對於為企業帶來最大衝擊的勒索，他們指出，勒索主要透過植入勒索軟體或利用企業電子郵件詐騙來實現。他們並認為，雖然敲詐勒索如今與勒索軟體最為聯繫在一起，但敲詐勒索活動包含以各種方法來對其目標施加壓力，像是透過DDoS威脅、告知他們資料已遭洩漏，增加被駭企業支付贖金的壓力。</p> <p>值得我們關注的是，以產業別來看，製造業是2022年面臨勒索威脅最嚴重的產業，佔比達3成，製造業其實也是受攻擊最嚴重的產業，因為攻擊者抓準製造業對停機事件容忍度極低，能對受害企業施加更大的心理壓力。此外，金融保險業、專業服務與客戶服務行業受勒索攻擊的數量排第二與第三名。</p> <p>此外，IBM還有針對漏洞利用狀況的分析。當中特別強調一點，老舊漏洞今日仍可能被重新用於攻擊中，例如，利用老舊漏洞啟動2017年所發現的WannaCry與Conficker等舊的惡意軟體攻擊仍然存在，而且，自2022年4月迄今，監控到的WannaCry勒索軟體流量增加了800%。因此，IBM Security建議，企業對於漏洞管理務必要有改善與優化的行動，更準確地瞭解潛在攻擊面，並從風險角度去規畫安全修補的優先順序。</p> <p> </p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）X-Force Threat Intelligence Index_.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89X-Force%20Threat%20Intelligence%20Index_.jpg" style="width: 600px;" /></a></p> <p><strong>IBM X-Force團隊列出2022年企業組織遭受的前五大衝擊，勒索（Extortion）比例最高，資料竊取居次，其次為憑證獲取、資料外洩與品牌名聲。（圖片來源：IBM）</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）X-Force Threat Intelligence Index_.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89X-Force%20Threat%20Intelligence%20Index_.jpg" style="width: 600px;" /></a></p> <p><strong>從產業別來看，根據X-Force這次報告顯示，儘管金融保險業面對的威脅仍持續嚴峻，不過，製造業在近兩年已成為受攻擊最多的產業。（圖片來源：IBM）</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5）X-Force Threat Intelligence Index_.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89X-Force%20Threat%20Intelligence%20Index_.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965B%EF%BC%89X-Force%20Threat%20Intelligence%20Index_(1).jpg" style="width: 600px;" /></p> <p><strong>IBM X-Force團隊指出2022年攻擊事件中駭客所使用的初期入侵手法，網路釣魚佔比最高，達4成1最高，當中包含如魚叉式網釣附件（25%）、網釣連結（14%）的型態。（圖片來源：IBM）</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）X-Force Threat Intelligence Index_.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89X-Force%20Threat%20Intelligence%20Index_.jpg" style="width: 600px;" /></a></p> <p><strong>此外，在這份報告中，X-Force團隊還針對漏洞現況做出一份統整性的圖表，當中的資訊呈現了：至今被揭露的漏洞總數、成功利用的比例，零時差漏洞，並從嚴重程度來予以統計，同時指出歷年一些重大漏洞。（圖片來源：IBM）</strong></p> </div></div></div>
2023/3/3 15:30作者羅正漢https://www.ithome.com.tw/news/155758
【資安日報】3月3日，中國駭客組織TA416針對臺灣政府機關而來、APT41鎖定亞洲材料業者下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客的攻擊行動最近再度傳出，其中最值得注意的是駭客組織TA416的攻擊行動，而且臺灣首當其衝──該組織已對一個臺灣政府機關下手。</p> <p>另一個惡名昭彰的駭客組織APT41，則是針對材料公司下手竊取專利技術的情況，引起研究人員關注。</p> <p>SIM卡挾持（SIM Swapping）攻擊為何如此氾濫？很有可能是駭客極為容易取得所需的資料促成。有資安新聞網站指出，3個專門從事這類攻擊的駭客組織，在去年就入侵美國電信業者T-Mobile超過100次。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.welivesecurity.com/2023/03/02/mqsttang-mustang-panda-latest-backdoor-treads-new-ground-qt-mqtt/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客TA416利用MQTT通訊協定遠端控制受害電腦，主要目標是臺灣的政府機關</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-3-Execution-graph-showing-the-subprocesses-and-executed-tasks.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-3-Execution-graph-showing-the-subprocesses-and-executed-tasks.png" style="width: 300px; float: right;" /></a>資安業者ESET發現中國駭客組織TA416（亦稱Mustang Panda）新的攻擊手法，這些駭客自2023年1月，運用名為MQsTTang的後門程式，透過釣魚郵件發動攻擊，他們假借提供外交使團成員的護照，或是向大使館進行照會為名義，在RAR壓縮檔挾帶MQsTTang。此後門程式的獨特之處在於。與C2伺服器通訊過程採用了MQTT通訊協定，而有可能讓攻擊者的基礎設施更難被找到。</p> <p>研究人員表示，這起攻擊行動主要是針對臺灣某個政府機關而來，但根據駭客使用的誘餌檔案名稱，他們研判亞洲及歐洲的政府機關也可能是目標。</p> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/blackfly-espionage-materials"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客組織APT41鎖定亞洲材料業者下手</span></strong></a></p> <p>資安業者賽門鐵克揭露中國駭客組織APT41的攻擊行動，駭客約於2022年底至2023年初，鎖定一家亞洲集團從事材料與復合材料的兩家子公司，利用後門程式Winnkit、帳密匯出工具Mimikatz等多種工具作案，進行撈取帳密資料、截取螢幕畫面、注入Shell Code、查詢SQL資料庫等行為，目的可能是竊取智慧財產。</p> <p>這種針對材料產業而來的攻擊行動並非首例，日前有名為Clasiopa的駭客組織，利用木馬程式Atharvan RAT、Lilith RAT變種，以及駭客工具Thumbsender進行竊密。</p> <p><a href="https://krebsonsecurity.com/2023/02/hackers-claim-they-breached-t-mobile-more-than-100-times-in-2022/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客聲稱在2022年入侵電信業者T-Mobile超過100次</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/tmodates.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/tmodates.png" style="width: 300px; float: right;" /></a></p> <p>根據資安新聞網站Krebs on Security的報導，有研究人員針對3個駭客組織Telegram頻道的對話內容進行分析，結果發現這些駭客在2022年5月中旬到年底，對美國電信業者T-Mobile攻擊超過100次，他們藉由誘騙該公司的員工，進而取得內部工具，竊取用戶資料以便進行SIM卡挾持（SIM Swapping）攻擊。</p> <p>該新聞網站指出，上述駭客組織雖然也會竊取AT&T、Verizon的用戶資料並兜售，但相較於從T-Mobile竊得的資料介於1,000至1,500美元，來自上述兩家電信業者的資料價格通常開價高出一倍。</p> <p>此外，其中一組駭客於10月下旬發現，原本的手法很可能因T-Mobile採取新的管制措施而受到限制，導致他們竊得的員工存取權限很快就失效。對此，T-Mobile拒絕回應採取那些措施強化資安。</p> <p><a href="https://www.esentire.com/blog/hackers-attack-employees-from-six-law-firms-with-the-gootloader-and-socgholish-malware-using-fake-legal-agreements-and-malicious-watering-hole-s-reports-esentire"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">法律事務所員工遭到水坑式攻擊，駭客企圖散布惡意軟體GootLoader和SocGholish</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screen-Shot-2023-02-27-at-12_10_51-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen-Shot-2023-02-27-at-12_10_51-PM.png" style="width: 300px; float: right;" /></a>資安業者eSentire發現針對6家法律事務所的惡意軟體攻擊行動，其中一種是利用搜尋引擎最佳化污染（SEO Poisoning）手法，鎖定尋找業務相關文件檔案的使用者下手，企圖透過偷渡式下載（Drive-by Download）於受害電腦投放JavaScript惡意軟體。在攻擊行動裡，駭客也入侵WordPress網站並植入新的文章，來誘騙這些法律事務所的員工，一旦使用者依照指示下載檔案，電腦就有可能被植入惡意程式GootLoader 。</p> <p>其中，也有部分攻擊行動駭客使用名為SocGholish的惡意軟體──他們先是破壞美國佛羅里達州一家公證人事務所的網站，藉由水坑式攻擊吸引使用者上當，駭客在網頁上加入彈出式訊息，表示使用者的需要更新Chrome瀏覽器，然而若是依照指示下載、安裝，電腦就會被部署SocGholish。</p> <p><a href="https://www.uptycs.com/blog/cryptocurrency-entities-at-risk-threat-actor-uses-parallax-rat-for-infiltration"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">木馬程式Parallax RAT鎖定加密貨幣業者而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ParallaxRAT Workflow.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ParallaxRAT%20Workflow.jpg" style="width: 300px; float: right;" /></a>資安業者Uptycs揭露鎖定加密貨幣業者的攻擊行動，駭客透過釣魚郵件散布木馬程式Parallax RAT，先是執行以Visual C++打造的惡意酬載，然後透過處理程序挖空（Process Hollowing）手法，將Parallax RAT注入微軟Tablet PC元件pipanel.exe來執行，進而於受害電腦收集系統資訊，或是側錄鍵盤輸入的內容，甚至能進行遠端控制受害電腦。</p> <p>值得一提的是，一旦成功植入上述木馬程式，攻擊者將會收到通知，他們也利用記事本軟體（Notepad）和受害者互動，要求使用Telegram頻道來對話，但這麼做的目的是什麼？研究人員沒有說明。</p> <p><a href="https://www.trendmicro.com/en_us/research/23/c/iron-tiger-sysupdate-adds-linux-targeting.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織Iron Tiger鎖定Windows、Linux電腦而來，接下來Mac電腦也可能是目標</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure1-iron-tiger-sysupdate-reappears-adds-linux-targeting.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure1-iron-tiger-sysupdate-reappears-adds-linux-targeting.png" style="width: 300px; float: right;" /></a>資安業者趨勢科技公布駭客組織Iron Tiger（亦稱APT27）近期的攻擊行動。在其中一起事故裡，駭客針對菲律賓賭博業者下手，並使用與受害公司雷同的網域名稱來架設C2伺服器，攻擊者透過即時通訊軟體作為誘餌，結果有員工依照指示下載初期的惡意酬載，該酬載一旦執行，就會透過Microsoft Resource Compiler（rc.exe），進而利用DLL側載的手法執行Shell Code，接著在電腦重新開機後執行惡意軟體SysUpdate。</p> <p>在針對Windows電腦之餘，該組織也開始鎖定Linux主機發動攻擊，他們在2022年7月首度測試Linux版惡意程式，並在10月用於攻擊行動。研究人員分析後，發現此版本的加密金鑰與檔案處理方式與Windows版本雷同，但不同的是，Linux具備DNS隧道（DNS Tunneling）功能，而使得該惡意軟體的行蹤更加隱密。</p> <p>根據駭客採用Asio程式庫開發Linux版惡意程式，而可能較為容易跨平臺移植的情況，研究人員推測駭客很快就會將Mac電腦納入攻擊範圍。</p> <p><a href="https://techcrunch.com/2023/03/02/hatch-bank-breach-fortra-goanywhere-exploit/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">又有GoAnywhere系統遭駭的組織出現！Fintech業者Hatch Bank近14萬客戶資料外洩</span></strong></a></p> <p>根據科技新聞網站TechCrunch的報導，金融科技（Fintech）業者Hatch Bank向主管機關通報資料外洩事故，起因是駭客鎖定他們部署的MFT系統GoAnywhere漏洞下手，在1月30日至31日未經授權存取存取他們的帳號資料，導致139,493名客戶資料外洩，而入侵管道很有可能就是零時差漏洞CVE-2023-0669，他們在2月3日接獲系統開發商的通知，確認資料遭到異常存取。</p> <p>因上述MFT系統漏洞遭到攻擊Hatch Bank並非首例，美國醫療系統Community Health Systems於2月中旬通報資料外洩事故，導火線就是上述的GoAnywhere漏洞。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://kb.cert.org/vuls/id/782720"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">TPM 2.0被挖出資安漏洞，有可能因此外洩裝置機密資訊</span></strong></a></p> <p>Quarks Lab研究人員根據參考程式碼，發現信賴平臺模組（TPM）2.0的漏洞CVE-2023-1017、CVE-2023-1018，有可能造成裝置機密資料外洩，或是讓駭客提升權限執行惡意程式碼。這些漏洞出現在CryptParameterDecryption()函式，與記憶體越界寫入及讀取有關，具備基本權限的攻擊者，可藉由傳送含有加密參數的惡意指令，對存在漏洞的韌體下手。</p> <p>美國電腦緊急應變小組（CERT/CC）指出，在某些情況下，攻擊者有機會覆寫TPM韌體裡受到保護的資料，而且，由於這樣的弱點出現在TPM層面，使得電腦的防毒軟體也無法偵測相關攻擊行動。Red Hat指出，這兩個漏洞CVSS風險評分為7.7分及5.5分。</p> <p><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ip-phone-cmd-inj-KMFynVcP"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科修補網路電話的命令注入漏洞</span></strong></a></p> <p>3月1日思科發布資安通告，修補旗下網路電話系統的重大漏洞CVE-2023-20078，此漏洞存在於網頁管理介面，起因是對於使用者輸入的內容驗證不足，而衍生的命令注入弱點，攻擊者一旦利用，就有可能在未經身分驗證的情況下，遠端執行任意程式碼，或是發動阻斷服務（DoS）攻擊，CVSS風險評分為9.8分，影響IP Phone 6800、7800、8800系列網路電話系統。</p> <p>另一個思科修補的漏洞是CVE-2023-20079，也與網頁管理介面對於使用者輸入的內容驗證不足有關，CVSS風險評分為7.5分，影響IP Phone 6800、7800、7900、8800、8831系列，但值得留意的是，7900與8831系列已達生命週期結束（EOL）狀態，思科不會提供新版韌體。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.first.org/members/teams/tsmc-circ"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">台積電加入FIRST國際資安應變組織，成國內第二家高科技製造業會員</span></strong></a></p> <p>根據FIRST國際資安應變組織的最新消息，國內半導體產業龍頭台積電的TSMC-CIRC在2月24日加入成為會員，而成為群創光電之後，國內第二家入會的高科技製造業會員。</p> <p>同日，資安新創微智安聯的ShieldX PSIRT也加入FIRST。在此之前，我國已有幾家資安業者成為會員，包括早年就加入的趨勢科技，以及3年前加入的奧義智慧。截至2月底，臺灣會員增至14個，而國際間共有683個組織與企業參與。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.first.org/blog/20230228-DNS_Abuse_Techniques_Matrix"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">國際資安應變組織FIRST發布DNS濫用技術矩陣</span></strong></a></p> <p>FIRST國際資安應變組織的DNS濫用工作小組在2月28日發布了「DNS濫用技術矩陣（DNS Abuse Techniques Matrix）」的文件，目的希望幫助事件應變人員與安全團隊在應對DNS濫用事件時，快速找到相關建議資訊。該工作小組表示，這份文件主要關注DNS濫用技巧，總共歸納出21種濫用技術，並依據偵測、減緩與防禦這三大行動面向，分成三個矩陣表單來一一說明。</p> <p>舉例來說，在涉及DNS快取污染（DNS Cache Poisoning）的事件中，團隊可以透過緩解矩陣的表單，查看DNS快取污染有關的內容，找出可能有所關連的利益關係者來共同緩解資安事件。</p> <p><a href="https://www.cisa.gov/cisa-director-easterly-remarks-carnegie-mellon-university"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">CISA局長提出警告，一旦中國對臺灣動武，也有可能同時對西方國家展開大規模網路攻擊</span></strong></a></p> <p>美中臺之間持續處於政治緊繃狀態，臺灣的網路安全若出現重大危機，美國也無法置身事外。美國網路安全暨基礎設施安全局（CISA）局長Jen Easterly於卡內基美隆大學發表演說中提到，有鑑於烏克蘭戰爭當中，援助烏克蘭的歐美國家成為俄羅斯駭客鎖定的目標，她認為美國與盟友也要針對中國做好準備，以防該國攻擊臺灣的時候，中國駭客也會針對美國多個關鍵基礎設施（CI）下手的情形，這些包含了天然氣管線、供水系統、電信系統、交通系統等，駭客的用意是製造恐慌，並動搖美國民眾的意志，達到阻止美國調度軍事資源聲援臺灣的目的。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://therecord.media/indigo-book-seller-employee-data-ransomware-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">加拿大書店Indigo遭勒索軟體攻擊，員工資料外洩</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/british-retail-chain-wh-smith-says-data-stolen-in-cyberattack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國連鎖超市WH Smith傳出資料外洩</span></span></strong></a></p> <p><a href="https://www.hackread.com/video-marketing-software-animker-data-leak/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">影片行銷軟體Animker洩露用戶個資</span></span></strong></a></p> <p><a href="https://oag.ca.gov/system/files/2023-03-02%20-%20CFA%20-%20Individual%20Notification%20Template.pdf"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國速食店Chick-fil-A證實遭到帳號填充攻擊</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155740">【3月2日】惡意軟體BlackLotus繞過UEFI安全開機、勒索軟體LockBit鎖定西班牙語用戶而來</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155716">【3月1日】駭客假借Amazon Prime會員名義發動網釣攻擊、應用程式框架ZK Framework漏洞被用於攻擊行動</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155663">【2月24日】 1.5萬個NPM套件含有網釣URL連結、逾4成企業2022下半發現Log4Shell相關攻擊</a></strong></p> </div></div></div>
2023/3/3 16:31作者周峻佑https://www.ithome.com.tw/news/155764
Martech雙周報第34期：美國廣告AI技術商Waymark推出電視廣告生成AI工具，能自動完成素材剪輯、寫稿、配音…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0219~0304)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電視廣告</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#影音生成</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#配音生成</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#廣告稿生成</span></span></strong></p> <p><strong>美國AI廣告技術商Waymark推出一個可以生成電視廣告及配音的AI工具</strong></p> <p>AI廣告技術商Waymark與美國通訊公司巨頭Charter<a href="https://corporate.charter.com/newsroom/spectrum-reach-introduces-ai-ad-platform-with-waymark">合作推出一個AI廣告生成平臺</a>，用於低成本生成電視廣告，還能自動寫稿配音。品牌商只需輸入品牌名、地區、希望的廣告語調及欲傳達訊息，Waymark AI工具就會自動擷取網路上與此品牌相關的素材，生成一個有影像、配音及音樂的電視廣告。配音聲線會從Waymark工具11種聲線中自動選擇，廣告稿則是由AI自動生成。</p> <p>生成影片後，品牌商還可以進一步進入編輯工具潤飾廣告稿及處理影像素材。不同於一般影音剪輯軟體，此編輯工具介面相當簡易，沒有影音剪輯經驗的使用者也能初步調整音量、配音聲線及音量、影像大小及持續時間等設定，甚至有強化低解析度圖檔畫質的功能。若對於第一版的AI生成廣告稿不滿意，也能在此直接要求系統重新生成新版本廣告稿。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#行銷素材管理</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#精準行銷</span></span></strong></p> <p><strong>BeBit Tech推出行銷素材生成功能，能根據自然語言指令產出行銷用圖，再分眾推薦不同版本圖像給消費者</strong></p> <p>顧問科技公司beBit Tech推出「AI 智慧魔術素材」功能，將圖像生成式AI與商品推薦AI技術結合，來優化行銷素材製作及精準行銷流程。</p> <p>以往功能中，行銷人員是利用視覺化、拖拉式的素材編輯器，來設計行銷素材。新功能中，行銷人員只需輸入特定關鍵字，系統就會生成不同版本圖像出來。接著，系統會根據消費者行為，如歷史瀏覽、高瀏覽量商品、過去購買過相似商品等，自動從不同版本的行銷素材中，挑選出適合的圖片呈現。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/BBT.png" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#消費者旅程</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#精準行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#再行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Line官方帳號</span></span></strong></p> <p><strong>漸強實驗室自動化訊息功能再升級，更緊密針對消費者旅程來行銷</strong></p> <p>Line官方帳號技術商漸強實驗室<a href="https://blog.cresclab.com/tw/2023q1-launch-party/?utm_source=newsletter&utm_medium=livestorm&utm_campaign=2023Q1PL">推出功能升級</a>，精細化消費者旅程的自動化行銷功能。過往，此功能只能針對單一事件觸發單一訊息，新功能中，系統可以自動預測後續可能行為分支，根據消費者在品牌官網的行為，如瀏覽頁面、停留時間、造訪次數、加入購物車、完成購買等，在不同階段推播相對應的行銷訊息。</p> <p>例如，發送購物車未結帳提醒後，系統會再觀察消費者購買與否。一旦偵測出顧客已購買商品，可以推送滿意度調查、商品使用說明等訊息；若未完成購買，則可推送活動信息或會員回饋計畫。</p> <p>除了根據顧客消費旅途的行為來發送訊息，此功能還能根據顧客最常開封訊息時間等資訊，進一步優化訊息發送時間，以期進一步增加行銷成功率。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#數據無塵室</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#IAB標準</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#資料交換隱私保護</span></span></strong></p> <p><strong>美國廣告主管機關IAB推出數據無塵室標準，定義第一方資料交換的建議實踐方法及隱私規範</strong></p> <p>行銷界即將邁入後Cookie時代，與第一方數據一同崛起的數據無塵室（Data Clean Room, DCR），是當下相當火紅的技術。近日，美國互動廣告局<a href="https://iabtechlab.com/datacleanrooms">IAB推出DCR的建議實踐方法</a>（Recommended Practices）及隱私規範。這意味著，DCR在行銷界發展已趨成熟，且未來資料交換的隱私保障和便利性都會更加提升。</p> <p>本次IAB出版兩份文件，第一份是基礎DCR功能及運作方法的描述，以定義DCR基礎功能、應有隱私機制，及廣告主和技術商的注意事項。第二份則詳細列出建議資料交換格式、交換方法、應保護資料種類、DCR技術商應聲明的事項等細項規範。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#第三方Cookie退場</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Privacy Sandbox</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Topics</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#SEO</span></span></strong></p> <p><strong>第三方Cookie替代方案Privacy Sandbox進度更新，下一步是優化Topics的興趣標籤精細度</strong></p> <p>Google每季度的第三方Cookie替代方案<a href="https://assets.publishing.service.gov.uk/media/63d7b357e90e0773e17b27d3/Privacy_Sandbox_Progress_Report_to_the_CMA_2022_Q4.pdf">Privacy Sandbox報告</a>出爐，亮點包括Topics興趣標籤精細度提升，以及澄清參與Topics與否不會影響網站SEO。</p> <p>Topics是一個以網路用戶瀏覽的網站為精準行銷依據的方案。瀏覽器會根據使用者造訪網站上的Topics標籤，來判斷投放給使用者的廣告類型。過去，這些標籤都是以網域為單位，因此對內容較多元的網站來說，標籤參考價值可能很低。本次報告中，Google提到這種分類方法不夠精細，因此會考慮開放網站主在網域中不同網頁放上不同標籤。不過，這也可能產生網站主惡意調整網頁中標籤，導致標籤失準甚至侵犯隱私的問題，因此還在評估中。</p> <p>Google也澄清，未來網站參與Topics貼標與否，不會影響網站在搜尋結果的排行。這意味著，網站主不會因為怕被Google降低排行，而被迫加入Topics解決方案。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI熱門度預測</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#行銷內容管理</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#社群媒體行銷</span></span></strong></p> <p><strong>Meta申請了一個熱門度專利AI專利，可以依據影片品質和內容標籤來預測影片互動情形</strong></p> <p>作為搭上短影音熱潮的另一個社群媒體，Meta也打算用數據來強化自家影音行銷的成效。不過作法不同於公布各種流量跟行銷數據的Tiktok。近期，Meta<a href="https://patentdrop.substack.com/p/patent-drop-metas-hit-maker">申請了一項專利</a>，是AI影片熱門度分析工具。此工具會基於影音品質、影音元數據以及觀眾和用戶數據等因素，來給出影片評價。Meta並表示，此系統將能預測評論、分享或其他參與度指標。</p> <p>Meta近年積極將<a href="https://www.facebook.com/business/news/how-businesses-are-seeing-value-through-ai">AI應用於行銷業務</a>，例如號稱能增加ROAS 32%的AI分眾功能，以及最近新推出的一個AI行銷素材優化工具，能自動調整亮度、比例和文本位置，來優化素材品質。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#行銷成效分析</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#社群媒體行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#數據化分析</span></span></strong></p> <p><strong>Tiktok新增產品行銷分析面板，用超多項數據點來分析站上產品熱度</strong></p> <p>短影音平台 TikTok<a href="https://twitter.com/michaelgrowth/status/1627771654846976000"> 新增全站產品行銷分析面板</a>，讓創作者和廣告主能從多個數據點更具體了解不同產品在站上的整體行銷情況。面板呈現廣告數量、曝光數、影片完整觀看率、評論、喜歡數等行銷相關數據指標，來說明特定產品在應用程式中的流行程度。廣告主可依據時間和地區，分析該產品最受哪個年齡層歡迎，以及這些使用者的其他興趣標籤。此外，廣告主和創作者還可通過該面板，查看相關的熱門影片，了解常見的行銷內容和形式，以進一步規劃自身的行銷內容。</p> <p>行銷成效追蹤一直以來都是廣告投放的難題。TikTok 作為社群媒體平臺後進，策略一直以來都是積極推出各式各樣的行銷分析面板，以具體數據來宣傳自家行銷成效，拉攏廣告主。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#軟體廣告</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#社群媒體行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#服務型產品</span></span></strong></p> <p><strong>服務型產品及軟體產品廣告在LinkedIn大幅成長，未來將能更精準投放相關廣告</strong></p> <p>主打B2B廣告的職場社群媒體LinkedIn表示，近期服務類產品廣告和軟體類產品廣告大幅成長，尤其服務類產品廣告自2021年來成長了120%。因此，<a href="https://www.linkedin.com/business/marketing/blog/linkedin-ads/introducing-interest-targeting">LinkedIn將增加廣告主在投放相關領域分眾廣告的興趣分類</a>，包括20種服務類產品分及18種軟體產品分類。服務分類包括房地產、環境諮詢和應用軟體開發等，軟體類則包括視覺化軟體、收益管理軟體和銷售分析軟體等產品。廣告主可以結合自家頁面的熱門內容分類，來決定下廣告時應該選擇什麼分類。</p> <p>這波興趣分類更新中，總共多了120種以上的產品分類及20種服務類產品。其中，服務類產品是新開的一個大分類，與一般產品分類獨立，說明LinkedIn認為服務類廣告將在自家平臺成為重要廣告分類。</p> <p>資料來源：iThome整理，2022年3月</p> <p>責任編輯：郭又華</p> </div></div></div>
2023/3/3 12:34作者郭又華https://www.ithome.com.tw/news/155750
IBM大型主機作業系統z/OS將擁抱AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM預計在2023年第三季推出<a href="https://www.ibm.com/common/ssi/ShowDoc.wss?docURL=/common/ssi/rep_ca/9/897/ENUSC23-009/index.html">大型主機作業系統更新z/OS 3.1</a>，該版本的更新重點之一，便是要在作業系統融合人工智慧和資料分析解決方案，使得z/OS應用也能獲得智慧自動化與大規模加速推理功能。IBM打算於z/OS 3的混合雲架構中整合人工智慧，而3.1便是這個目標的第一個版本。</p> <p>z/OS 3.1將會支援人工智慧框架，使企業能最佳化IT處理、提高系統效能甚至是降低使用技能，同時，新版本也預計會支援人工智慧解決方案，企業用戶將能夠共同部署z/OS 和人工智慧解決方案，使得在z/OS上執行的應用程式能夠獲得低延遲人工智慧功能。</p> <p>z/OS 3.1的工作量管理程式（WLM）也會獲得人工智慧加持，使其有能力預測即將發生的批次處理工作負載，並且採取相對應措施最佳化系統資源。另外，新的IBM SMF Explorer結合新興資料科學常用工具Python和Jupyter Notebooks，供用戶以簡單並更加現代化的方法，存取分析系統管理設施（SMF）資料。</p> <p>除了預計要在z/OS加入的人工智慧功能更新，IBM也希望z/OS能夠進一步支援企業的混合雲策略，因此加入z/OS容器擴充（zCX），強化在IBM zSystems的zCX環境中，所執行的容器化Linux工作負載效能和安全性，還強化程式語言COBOL和Java的互通性。IBM也透過使用ICSF和RACF資料庫加密技術，增強z/OS的安全性。</p> <p>IBM近期著手推動大型主機工作負載現代化，在2022年2月宣布將z/OS開發環境搬遷上雲，在其公有雲服務IBM Cloud提供Wazi即服務（Wazi aaS），供企業在公有雲開發環境開發和測試軟體，以大幅縮短z/OS程式的開發測試時程。另外，IBM也在2022年3月，推出Z主機應用現代化工具，協助Z主機用戶建構雲端應用程式。</p> </div></div></div>
2023/3/3 16:05作者李建興https://www.ithome.com.tw/news/155762
TPM 2.0程式碼被爆2個可外洩資訊的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://trustedcomputinggroup.org/wp-content/uploads/TCGVRT0007-Advisory-FINAL.pdf" target="_blank">攸關資料與身分安全的信賴平臺模組（Trusted Platform Module，TPM）2.0近日被發現參考實作程式碼有2個記憶體毁損漏洞</a>，可造成裝置機密資料外洩，或被駭客升級權限而執行惡意程式碼。</p> <p>TPM 2.0是安全密碼處理器的國際標準，旨在使用裝置中的安全硬體處理裝置上的加密金鑰，其技術規範是由信賴計算組織（Trusted Computing Group，TCG）編寫。TPM 2.0是電腦安全技術不可或缺的元素，Windows 11需要TPM2.0才能安裝，它也是生物辨識Windows Hello及加密技術BitLocker的關鍵。</p> <p>兩項漏洞是由Quarks Lab研究人員發現並通報，影響TPM 2.0參考實作1.59、1.38和1.16。根據TPC指出，漏洞都是發生在TPM 2.0 CryptParameterDecryption()函式。其中一個編號CVE-2023-1018是越界讀取（out-of- bounds read），另一個CVE-2023-1017則是越界寫入。兩漏洞可被使用者模式的應用程式觸發，具備基本權限的攻擊者可傳送有加密參數的惡意TPM 2.0指令，到以問題版本實作為基礎的TPM 2.0韌體，達成攻擊目的。</p> <p>漏洞起因在程式碼沒有實作檢查TPM 2.0指令長度的機制，造成記憶體緩衝溢位。漏洞濫用結果可引發本機記憶體資訊洩露，或是攻擊者擴張權限。TPC還在分析是否有其他元件受兩項漏洞影響。</p> <p>而根據<a href="https://kb.cert.org/vuls/id/782720" target="_blank">網路安全緊急回應協調中心（CERT/CC）的安全公告</a>，除了洩露敏感資訊，某些情況下，攻擊者還可以覆寫TPM韌體內的受保護資料，造成在TPM崩潰或是在其中執行任意程式碼。由於攻擊程式是在TPM執行，因此不會被裝置上的其他元件，包括安全軟體偵測到。</p> <p>CVE-2023-1017及CVE-2023-1018並未有官方指派的風險值，但RedHat分別將兩項漏洞風險列為<a href="https://access.redhat.com/security/cve/cve-2023-1017" target="_blank">7.7</a>及<a href="https://access.redhat.com/security/cve/cve-2023-1018" target="_blank">5.5</a>。</p> <p><a href="https://trustedcomputinggroup.org/resource/errata-for-tpm-library-specification-2-0/" target="_blank">TCG已釋出更新版參考元件庫規格以解決2項漏洞</a>。CERT/CC呼籲用戶應安裝由軟體廠商如OS及電腦OEM提供的更新，包括更新TPM晶片的韌體。某些情況下，OEM可能會要求TPM重設回出廠設定。</p> <p>此外一些安全要求較高的環境中，使用者最好考慮使用TPM遠端驗證（Remote Attestation）以偵測裝置上的韌體是否遭到變更或竄改。CERT強調，由於攻擊發生在TPM軟體中，因此密碼或PIN防護、TPM-totp（time-based one-time password）等安全方案無法防堵攻擊。</p> </div></div></div>
2023/3/3 12:36作者林妍溱https://www.ithome.com.tw/news/155751
微軟Bing Chat已加入從精準到創意3種語氣風格選擇
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟快馬加鞭更新Bing 聊天機器人，<a href="https://twitter.com/MParakhin/status/1630958579485392896" target="_blank">微軟高層宣布</a>已經為Bing Chat加入可讓用戶選擇回答三種語氣風格的功能。</p> <p>微軟二月底多次預告正在開發可調整Bing Chat 回應語氣的功能，以解決剛上線時情緒化、放肆乖張的發言問題。微軟網頁服務主管Mikhail Parakhin本周稍早說，將近9成的Bing Chat測試用戶應該都可以看到Bing Chat模式選擇器，這是一個3階段的滑鈕設計，提供「精準」、「創意」及「平衡」三種風格。但剩下10%應該也會在今日內部署完成。</p> <p>他說他個人偏好「創意」風格，但「精準」風格提供更事實導向的答案。選擇「創意」風格會讓Bing給出較長、類似聊天的回覆答案，比較有趣，但也可能包含較多錯誤。</p> <p><a href="https://twitter.com/MParakhin/status/1630470232920952832" target="_blank">Parakhin上周宣布</a>，最新Bing Chat版本是v96版。除了增加語氣選項外，最新版還大幅減少了Bing未給明確理由拒絕回答，以及答案中出現「幻覺」（hallucination），即提供錯誤資訊的問題。基於Bing Chat的設計，Bing最不願回答的是與其工程代號Sydney有關的問題。</p> <p>微軟上周起，將Bing回覆次數限制在一回合6次，一天最多60次。微軟說希望很快放寬到一天上限100次，且計次不會計入一般的資訊查詢行為。</p> </div></div></div>
2023/3/3 12:42作者林妍溱https://www.ithome.com.tw/news/155752
蘋果App Store拒絕一款使用ChatGPT的App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果本周拒絕一款使用ChatGPT AI技術的第三方應用程式更新，而引發外界揣測蘋果此舉是否新增生成性AI的管制，還是只是挾怨報復之舉。</p> <p>開發商Blix所開發的BlueMail可根據用戶過去郵件內容或行事曆資料，以ChatGPT技術為使用者撰寫電子郵件。<a href="https://www.wsj.com/articles/apple-blocks-update-of-chatgpt-powered-app-as-concerns-grow-over-ais-potential-harm-c4ca9372" target="_blank">《華爾街日報》本周報導</a>，蘋果App Store近日拒絕BlueMail的應用程式更新版上架App Store的申請。</p> <p>Blix告訴媒體，蘋果給出的理由是，App Store要求AI產製內容的App應包含過濾機制以免產生青少年及兒童不宜的內容，而該款App此時似乎缺乏這機制，要求廠商強化內容過濾，或是將App使用年齡提升為17歲以上。</p> <p>Blix執行長Ben Volach則認為蘋果的作法將阻礙創新，而且可能是出於別的理由，因為其他內建AI技術的App都沒有被要求年齡限制，也都被允許上架。</p> <p><a href="https://9to5mac.com/2023/03/02/apple-blocked-chatgpt/" target="_blank">9to5Mac報導</a>，Blix曾經加入Epic Games等公司合組的App Fairness聯盟，要求蘋果和App Store切割。此外該公司也曾控告蘋果的無密碼登入技術Sign In with App侵害該公司專利。不過這官司遭到法院駁回。</p> <p>蘋果回應媒體時指出，正在調查Blix公司的指控，也說他們可以循App Store應用程式審查委員會陳情。但蘋果並未說明App Store針對生成性AI或聊天機器人是否新增了管制規範。</p> <p>如果蘋果新增使用AI的App管制，將會引發很大反彈。微軟正在積極將AI部署到新Bing的手機版本，而且<a href="https://www.ithome.com.tw/news/155727" target="_blank">OpenAI昨日宣布的ChatGPT API</a>已經有多款第三方App整合使用，包括知名的Shopify及購物、語言學習App。</p> </div></div></div>
2023/3/3 11:26作者林妍溱https://www.ithome.com.tw/news/155749
ChatGPT的能與不能
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在3月1日，OpenAI公司正式推出了ChatGPT的付費API服務，而且提供的是媲美爆紅線上ChatGPT服務的3.5版NLP模型。這個不到2個月就吸引上億用戶註冊的殺手級應用，正式跨入了企業應用市場。ChatGPT不只搶進搜尋引擎戰場，現在進一步跨入更多企業對話式應用情境，例如搜尋、問答、客服、導覽、語音操控等等。</p> <p>提供合乎文法、彷彿真人撰寫般的內容，又似乎有高度正確性的參考價值，是吸引上億用戶註冊的第一印象。這幾個月來，經常可以看到網路上各種ChatGPT如何可能的討論，文章重點整理、會議記錄整理、設計課程大綱、安排旅遊行程、解答學校作業、撰寫行銷文案、製作制式公文、整理文獻回顧都是輕而易舉，而對IT人而言，自動產生程式碼，甚至找出現有程式碼中可能的臭蟲，都是立即可見的好處。</p> <p>甚至，只要給予更多更好的提示或者引導（prompt），就能修正，甚至引導ChatGPT產生的內容，越來越符合使用者預期的需求，這也催生了一個有趣的新角色「AI引導工程師」（Prompt Engineer）或者更詩意的說法是「AI詠唱者」，只要提問的問題問得好，就越能得到更貼切的答案，就算不是事實，但可能足以符合需求。</p> <p>但是，在大量嘗試之中，大家也逐漸發現ChatGPT的侷限和問題，它所產生的回答，不見得是正確答案或事實，甚至有不少回答是憑空杜撰的造假內容，例如詢問2022年熱門書籍排行榜，這個超過ChatGTP資料搜集時限的問題，它多半還是會吐出一個有模有樣的十大書籍排名，只是每一本書都是憑空杜撰，從來沒有出現過的書名。</p> <p>看似無所不能的解答，卻藏了不可知的假訊息，如何判斷真假，便落到了使用者的身上，也成了大家的痛點。</p> <p>不過，值得注意的是，OpenAPI發表了一個新的腳本語言稱為ChatML（Chat Markup Language），可以用於撰寫ChatGPT的輸入資料（也就是提問），甚至不用人問，也可以靠ChatML語法產生一串，帶有各種引導（prompt）的提問。目前只公開了ChatML v0版預覽版。</p> <p>這意味著，企業在ChatGPT API的對話應用中，將會有一個新的控制機制，可以將用戶的提問，再加上企業想要附加的限制引導（例如只針對自家企業，或特定產品的內容），來引導ChatGPT生成更符合企業情境需要的內容，這是一種「事後客製化」的ChatGPT應用方式，不是透過調校ChatGPT模型，而是透過ChatML輸入引導指示（限制條件），來達到更聚焦企業目的的回應。目前已有幾家網路公司，開始用這個ChatGPT API打造自家的語音助理，例如Shopify用來提供顧客購物建議等。</p> <p>對個人來說，8到9成正確的答案，是個可以容忍或者不用太擔心的小問題，但對企業來說，可能是一個大風險，如何控制風險，找到合適應用情境，才是大考驗，不只模型本身的品質，企業還會擔心上傳的資料是否會外流，是否合規等等企業才會面臨，而個人多半不在意的問題。</p> <p>從OpenAPI對ChatGPT API服務的問答中，可以看到，在付費API推出後（也就是3月1日），OpenAPI就停止搜集使用者上傳的資料（也就是說，他們親口證實了之前上億用戶的問題，真的都在幫忙提供各種調校模型的訓練資料），從此，預設不再搜集用戶上傳的資料，（不過，鐵粉用戶可選擇願意被使用）。但是，用戶上傳的問題，仍然會保留在OpenAI的伺服器上最多30天，之後會刪除，作為濫用查核之用或因應法遵要求而有更長期的保存。</p> <p>因為目前這些資料主要都儲存在美國資料中心，也就無法符合有些國家敏感資料無法出境的法遵要求，例如臺灣金融顧客資料要出境儲存得經過批准。而且，為了查核，OpenAI公司也事前聲明，將授權極少數人，在全程紀錄下，允許人工檢視用戶上傳的內容，這些上傳資料並非完全保密。這些資料基本面的侷限，是企業導入ChatGPT API前得先知道的事。</p> <p>ChatGPT是一個新的魔杖，但不是無所不能的魔杖，企業應用場景不只在意它的「能」，但更需在意其所「不能」背後的挑戰和風險。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/chatgpt">ChatGPT</a></div></div></div>
2023/3/3 11:04作者王宏仁https://www.ithome.com.tw/voice/155748
K8s官方推出叢集模擬工具包KWOK，方便用戶開發與測試叢集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Kubernetes特別興趣小組（Special Interest Group，SIG）發布了一個稱為<a href="https://kubernetes.io/blog/2023/03/01/introducing-kwok/">KWOK（Kubernetes WithOut Kubelet）</a>的模擬測試工具包，使得用戶可以在數秒鐘內，以低資源模擬創建具有數千節點的叢集，在不占用大量基礎設施的情況，大規模測試Kubernetes控制器。</p> <p>Kubernetes是一個容器化應用程式調度工具，讓使用者能夠在節點之間方便地管理Pod，每個節點都需要一個管理員，那便是Kubelet的工作，而KWOK便是「沒有Kubelet的Kubernetes」英文縮寫。</p> <p>由於消除Kubelet，KWOK以模擬的方式創建節點、Pod和Kubernetes資源，因此不會消耗大量CPU和記憶體資源，使用者在單一筆電上就可以模擬出數千節點，而且KWOK操作迅速，能夠立刻創建和刪除叢集和節點，不需要等待或是進行額外配置。</p> <p>KWOK可以和任何支援Kubernetes API的工具和客戶端搭配使用，像是kubectl、helm和kui等都沒問題，同時KWOK也可以配置不同的節點類型、標籤、容量和條件等，藉由設定不同的Pod行為、狀態，用戶能夠測試不同的場景和特殊情況。由於KWOK具有可移植性，沒有特殊的硬體或是軟體要求，因此安裝Docker或Nerdctl後，用戶便可以使用預建置的映像檔執行，或是以二進位檔案在各種平臺安裝。</p> <p>該專案目前有兩個主要的工具，分別是kwok和kwokctl，kwok負責模擬假節點、Pod和Kubernetes API的資源生命周期，而kwokctl則是命令列工具，供用戶簡單地以kwok模擬的節點，創建和管理叢集。</p> <p>雖然KWOK沒辦法實際創建節點，但是由於能夠模擬各種Kubernetes資源，且執行速度很快，所以方便用於學習、開發和測試等非生產用途。但也因為KWOK不是Kubelet，因此在Pod生命周期管理、磁碟區掛載和裝置套件等方面行為不同，KWOK主要的功能只是模擬節點和Pod的狀態更新。</p> <p>由於KWOK僅使用簡單的公式來模擬逼近部分Kubelet行為，因此並無法反映實際節點和工作負載的效能和行為，而且KWOK不會在模擬節點上強制執行任何安全策略和機制，會假設kube-apiserver的所有請求，都是經過授權且有效的，因此在學習、開發和測試之外的用途使用，將會有安全性的問題。</p> </div></div></div>
2023/3/3 09:06作者李建興https://www.ithome.com.tw/news/155743
Google開源簡化分散式應用程式開發的框架Service Weaver
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google開源能夠解決分散式應用程式開發複雜性的框架<a href="https://opensource.googleblog.com/2023/03/introducing-service-weaver-framework-for-writing-distributed-applications.html">Service Weaver</a>，讓用戶能夠以編寫模組化單體程式的方法，開發微服務應用程式，而且Service Weaver高可移植性設計，使得應用程式可靈活地部署在本機或是雲端。</p> <p>官方提到，在編寫微服務應用程式時，開發者需要花費大量的心力，維護多個微服務二進位檔案，這些檔案具有個別的配置檔案、網路端點和序列化資料格式，而這些額外的工作會大幅降低開發速度，而且因為微服務架構的限制，也降低開發者改進應用程式的靈活度。</p> <p>相較於微服務應用程式，單體二進位檔案更容易編寫，不僅能使用程式語言原生型別和方法呼叫，而且只要編輯程式碼並且重新部署就能夠進行更新。Service Weaver框架想要達成的目標，便是讓開發者能夠以單體應用程式開發方法，建立微服務應用程式。</p> <p>Service Weaver中的重要概念便是模組化單體開發模型，開發者僅使用程式語言的原生本機資料結構和方法呼叫，編寫單體二進位檔案，再將二進位檔案組織成一組模組。在Service Weaver中，用戶可以選擇將模組和main()分離，如此Service Weaver便會自動將模組呼叫翻譯成跨機器的RPC。</p> <p>Service Weaver框架解決微服務應用程式開發的繁瑣工作，因此即便開發者後續要更改應用程式，像是調整方法中的參數，便只要更改方法的簽章以及呼叫的地方，接著重新部署應用程式，便完成更改的動作，Service Weaver會確保新版本的main()，只會和新版本的方法通訊。</p> <p>Google提到，Service Weaver的好處在於，開發者可以完全專注在應用程式邏輯開發上，而不需要理會拓樸結構和服務間的通訊。Service Weaver還提供靈活的可移植性，讓用戶可以不需要修改程式碼，應用程式就能夠在本機桌面或是雲端等環境運作。</p> <p>Service Weaver有兩個主要核心部分，一個是程式開發函式庫，供開發者將應用程式編寫成單體模組化二進位檔案，另一個則為部署器，可配置應用程式執行時的拓樸，並將其部署成一組微服務。目前Service Weaver仍在初期階段，提供Go語言程式開發函式庫，以及可部署到本地和GKE的部署器，以及一組API，供開發者自己編寫其他平臺的部署器。</p> </div></div></div>
2023/3/3 09:10作者李建興https://www.ithome.com.tw/news/155745
ChatGPT的能與不能
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在3月1日，OpenAI公司<a href="https://www.ithome.com.tw/news/155727">正式推出了ChatGPT的付費API服務</a>，而且提供的是媲美爆紅線上ChatGPT服務的3.5版NLP模型。這個不到2個月就吸引上億用戶註冊的殺手級應用，正式跨入了企業應用市場。ChatGPT不只搶進搜尋引擎戰場，現在進一步跨入更多企業對話式應用情境，例如搜尋、問答、客服、導覽、語音操控等等。</p> <p>而且不只如此，提供合乎文法、彷彿真人撰寫般的內容，又有高度正確性的參考內容，是吸引上億用戶註冊的第一印象。這幾個月來，經常可以看到網路上各種ChatGPT如何可能的討論，文章重點整理、會議記錄整理、設計課程大綱、安排旅遊行程、解答學校作業、撰寫行銷文案、製作制式公文、整理文獻回顧都是輕而易舉，而對IT人而言，自動產生程式碼，甚至找出現有程式碼中可能的臭蟲，都是立即可見的好處。</p> <p>甚至，只要給予更多更好的提示或者引導（prompt），就能修正，甚至引導ChatGPT產生的內容，越來越符合使用者預期的需求，這也催生了一個有趣的新角色「AI引導工程師」（Prompt Engineer）或者更詩意的說法是「AI詠唱者」，只要提問的問題問得好，就越能得到更貼切的答案，就算不是事實，但可能足以符合需求。</p> <p>但是，在大量嘗試之中，大家也逐漸看到ChatGPT的侷限和問題，它所產生的回答，不見得是正確答案或者是事實，甚至有不少回答是憑空杜撰的造假內容，例如詢問2022年熱門書籍排行榜，這個超過ChatGPT資料搜集時限的問題，它多半還是會吐出一個有模有樣的十大書籍排名，只是每一本書都是憑空杜撰，從來沒有出現過的書名。</p> <p>看似無所不能的解答，卻藏了不可知的假訊息，如何判斷真假，便落到了使用者的身上，也成了大家的痛點。</p> <p>不過，值得注意的是，OpenAPI發表了一個新的腳本語言稱為ChatML（Chat Markup Language），可以用於撰寫ChatGPT的輸入資料（也就是提問），甚至不用人問，也可以靠ChatML語法產生一串，帶有各種引導（prompt）的提問。目前只公開了ChatML v0版預覽版。</p> <p>這意味著，企業在ChatGPT API的對話應用中，將會有一個新的控制機制，可以將用戶的提問，再加上企業想要附加的限制引導（例如只針對自家企業，或特定產品的內容），來引導ChatGPT生成更符合企業情境需要的內容，這也是一種「事後客製化」的ChatGPT應用方式，不是透過調教ChatGPT模型，而是透過ChatML輸入引導指示（限制條件），來達到更聚焦企業目的的回應。目前已有幾家網路公司，開始用這個ChatGPT API打造自家的語音助理，例如Shopify用來提供顧客購物建議等。</p> <p>對個人來說，8到9成正確的答案，是個可以容忍或者不用太擔心的小問題，但對企業來說，可能是一個大風險，如何控制風險，找到合適應用情境，才是大考驗，不只模型本身的品質，企業還會擔心上傳的資料是否會外流，是否合規等等企業才會面臨，而個人多半不在意的問題。</p> <p>從OpenAPI對ChatGPT API服務的問答中，可以看到，在付費API推出後（也就是3月1日），OpenAPI就停止搜集使用者上傳的資料（也就是說，他們親口證實了之前上億用戶的問題，真的都在幫忙提供各種調校模型的訓練資料），從此，預設不再搜集用戶上傳的資料，（但用戶可選擇願意被使用）。但是，用戶上傳的問題，仍然會保留在OpenAI的伺服器上最多30天，作為濫用查核比對之用或法尊要求而保存，30天後就會刪除。</p> <p>因為目前這些資料主要都儲存在美國資料中心，也就無法符合有些國家敏感資料無法出境的法遵要求，例如臺灣金融顧客資料要出境儲存得經過批准。而且，為了查核，OpenAI公司也事前聲明，將授權極少數人，在全程紀錄下，允許人工檢視用戶上傳的內容，這些上傳資料並非完全保密。這些資料基本面的侷限，是企業導入ChatGPT API前得先知道的事。</p> <p>ChatGPT是一個新的魔杖，但不是無所不能的魔杖，企業應用場景不只在意它的「能」，但更需在意其所「不能」背後的挑戰和風險。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/chatgpt">ChatGPT</a></div><div class="field-item odd"><a href="/tags/openai">OpenAI</a></div><div class="field-item even"><a href="/tags/prompt-engineer">prompt engineer</a></div><div class="field-item odd"><a href="/tags/chatml">ChatML</a></div><div class="field-item even"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div><div class="field-item odd"><a href="/tags/%E5%B0%8D%E8%A9%B1%E6%A9%9F%E5%99%A8%E4%BA%BA">對話機器人</a></div></div></div>
2023/3/2 18:42作者王宏仁https://www.ithome.com.tw/voice/155744
【資安日報】3月2日，惡意軟體BlackLotus繞過UEFI安全開機、勒索軟體LockBit鎖定西班牙語用戶而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對UEFI韌體而來的惡意啟動程式（Bootkit），之前多半是國家級駭客打造，直到去年底，開始有人在駭客論壇兜售名為BlackLotus程式，當時揭露此事的研究人員，認為難以確認其危險程度。但最近有資安業者取得該惡意程式進行分析，證實確實具備賣家標榜的攻擊能力，使用者就算啟用UEFI安全開機機制，也無法避免電腦受到此惡意軟體感染。</p> <p>為了在加密檔案前能逃過資安系統的偵測，勒索軟體駭客也採取運用多種現成與合法工具的策略。例如，最近勒索軟體LockBit的攻擊行動裡，就採用了這樣的手法，使得防毒軟體及EDR系統都難以察覺異狀。</p> <p>工控物聯網系統（IIoT）的漏洞也相當值得注意。最近CISA針對PTC的ThingWorx Edge漏洞CVE-2023-0754、CVE-2023-0755提出警告，並指出有9種元件曝露於相關風險。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.welivesecurity.com/2023/03/01/blacklotus-uefi-bootkit-myth-confirmed/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體BlackLotus繞過UEFI安全開機，能在Windows 11電腦上運作</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1_-The-timeline-of-individual-events-related-to-BlackLotus-UEFI-bootkit.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1_-The-timeline-of-individual-events-related-to-BlackLotus-UEFI-bootkit.png" style="width: 300px; float: right;" /></a>有人自2022年10月，在駭客論壇上兜售名為BlackLotus的惡意UEFI啟動工具，並標榜能突破端點電腦的防護機制，但該惡意軟體究竟是否如賣家宣稱的如此強大？資安業者ESET取得此惡意程式的檔案進行分析，結果發現確實如此，並認為日後很可能會被駭客大肆利用。</p> <p>此軟體能在啟用UEFI安全開機、執行完整修補的Windows 11的電腦上運作，攻擊者一旦於受害電腦上部署，此啟動工具會植入作業系統核心層級的驅動程式，以及HTTP下載工具（用於與C2通訊、執行惡意酬載），並能夠停用作業系統內建的BitLocker、HVCI、Microsoft Defender等防護機制。</p> <p>為了維持於受害電腦上運作，駭客利用了CVE-2022-21894，研究人員指出，雖然微軟已於2022年1月修補上述漏洞，但遭濫用的可執行檔並未被列入UEFI註銷名單，而使得駭客仍能用於漏洞攻擊。</p> <p><a href="https://www.fortinet.com/blog/threat-research/emerging-lockbit-campaign"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit鎖定西班牙語用戶，突破防毒軟體與EDR防護加密檔案</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/LockBit-2023-02-27-at-1_44_21-pm.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/LockBit-2023-02-27-at-1_44_21-pm.png" style="width: 300px; float: right;" /></a>資安業者Fortinet揭露針對使用西班牙文用戶而來的勒索軟體LockBit攻擊行動，駭客自2022年12月到今年1月，先是透過社交工程手法向使用者提供IMG光碟映像檔，內含一組惡意工具，但除了LNK捷徑檔案外其餘皆為隱藏。一旦使用者依照指示執行LNK檔案，就會觸發第一個BAT批次檔來取得權限，進而更動使用者帳號的密碼，並將電腦以安全模式重開機，最終於受害電腦植入勒索軟體。</p> <p>研究人員表示，駭客透過寄生攻擊（LOLBins）的手法，包含透過檔案總管掛載IMG檔案、利用7-Zip解壓縮檔案，以及採取Sysinternals工具包的Autologon軟體來自動登入作業系統，而能躲過防毒軟體及EDR系統的偵測。</p> <p><a href="https://www.cyfirma.com/outofband/exfiltrator-22-an-emerging-post-exploitation-framework/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客兜售惡意框架Exfiltrator-22，並標榜可用於散布勒索軟體</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/exfiltrator-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/exfiltrator-2.jpg" style="width: 300px; float: right;" /></a></p> <p>資安業者Cyfirma揭露名為Exfiltrator-22的惡意框架（亦稱EX-22），駭客自去年11月27日首度推出第一個版本，然後在Telegram頻道進行宣傳，到了2月10日，賣家在YouTube上傳影片展示其功能。</p> <p>研究人員指出，EX-22具備14項能吸引買家的能力，例如：能在提升權限後建立反向Shell、加密電腦檔案並進行勒索、竊取LSASS的機密資料、具備橫向感染（蠕蟲）能力等。根據駭客所使用的混淆元件及C2基礎設施，研究人員認為賣家是勒索軟體駭客組織LockBit 3.0旗下成員。</p> <p><a href="https://www.prodaft.com/resource/detail/rig-rig-exploit-kit-depth-analysis"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟在去年6月已終止支援IE，但漏洞攻擊套件RIG持續透過該瀏覽器漏洞感染組織</span></strong></a></p> <p>微軟已透過Edge瀏覽器取代IE多年，但後者因有企業持續使用，仍是駭客偏好的攻擊目標。威脅情報業者Prodaft指出，名為RIG的漏洞攻擊套件（EK）仍有許多駭客愛用，根據他們的調查，使用此工具的駭客鎖定全球207個國家，一天平均發動2千起攻擊，且有3成行動成功。</p> <p>其中，受影響最嚴重的國家是德國、義大利、法國、俄羅斯、土耳其、沙烏地阿拉伯、埃及等。根據駭客所利用的IE漏洞來看，近半數（45%）是CVE-2021-26411，其次是CVE-2016-0189（29%）。而駭客藉著RIG EK散布的惡意程式，超過三分之一（34%）是銀行木馬Dridex，其次是SmokeLoader（26%）、RaccoonStealer（20%）。</p> <p><a href="https://www.menlosecurity.com/blog/purecrypter-targets-government-entities-through-discord/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體下載器PureCrypter鎖定政府機關而來，透過Discord發動攻擊</span></strong></a></p> <p>資安業者Menlo Security揭露利用惡意軟體下載器PureCrypter的攻擊行動，駭客主要針對亞太地區與北美的政府機關而來，寄送釣魚郵件，當中含有受到密碼保護的ZIP檔案附件，藉此挾帶位於Discord的URL。</p> <p>若是收信人依照指示開啟ZIP檔案的內容，此程式就會下載PureCrypter。一旦執行此惡意程式下載器，該程式會從C2伺服器下載下個階段的惡意酬載，例如：竊密軟體Redline、AgentTesla，惡意軟體Eternity、Blackmoon，以及勒索軟體Philadelphia。</p> <p>為了迴避偵測，駭客濫用其他組織的伺服器架設C2中繼站，並透過竊得帳密的FTP伺服器，外傳竊得的機密資料。</p> <p><a href="https://www.trendmicro.com/en_us/research/23/b/investigating-the-plugx-trojan-disguised-as-a-legitimate-windows.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體PlugX濫用開源Windows除錯工具在受害電腦運作</span></strong></a></p> <p>資安業者趨勢科技揭露惡意軟體PlugX的攻擊行動，駭客透過開源的Windows除錯工具x32dbg.exe，以DLL搜尋順序挾持（DLL Search Order Hijacking）的手法側載惡意DLL程式庫。研究人員指出，由於x32dbg.exe帶有合法簽章，攻擊者得以混淆部分資安系統，並能持續於受害電腦上運作，提升權限且繞過檔案執行的限制。</p> <p><a href="https://blogs.blackberry.com/en/2023/02/blind-eagle-apt-c-36-targets-colombia"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織APT-C-36鎖定哥倫比亞公共服務機構下手</span></strong></a></p> <p>BlackBerry資安研究團隊於2月20日發現駭客組織APT-C-36（亦稱Blind Eagle）的攻擊行動，主要針對哥倫比亞的司法機構、金融、公共服務、法律單位而來，但厄瓜多、智利、西班牙也有組織受害。</p> <p>駭客假冒哥倫比亞的稅務機關寄送釣魚郵件，並以密件副本（BCC）傳送給目標──他們聲稱主要的收信人是波哥大商會（<a href="mailto:[email protected]">[email protected]</a>），拖欠海關（DIAN）45天的稅款，並隨信附上「發票」檔案。</p> <p>此檔案為受密碼保護的PDF文件，內容含有看似DIAN的合法網址，但若是收信人點選連結，便會被帶往惡意網域dian.server[.]tl，該網站謊稱提供待處理的稅務發票內容。一旦收信人下載這些檔案，就有可能在電腦的記憶體內植入木馬程式AsyncRAT。</p> <p><a href="https://www.resecurity.com/blog/article/resecurity-disrupts-investment-scam-network-digital-smoke"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客假冒財星百大企業來進行投資詐騙</span></strong></a></p> <p>資安業者Resecurity揭露大規模的投資詐騙攻擊行動Digital Smoke，駭客鎖定中國、哥倫比亞、歐盟、印度、新加坡、馬來西亞、阿拉伯聯合大公國、沙烏地阿拉伯、墨西哥、澳洲、加拿大、美國等地，假借美國、英國財星百大企業的名義行騙，2022年光是在美國就騙走超過58億美元。</p> <p>值得留意的是，駭客用於詐騙的品牌，也符合時下的投資趨勢，產業橫跨金融服務、石油、再生能源、電動車（及電池）、醫療保健、半導體等，駭客為了發動相關攻擊，部署了大型基礎設施，光是在2022年12月，就有超過350臺主機，這些主機提供數千個用於詐騙的網域，並透過支付寶、統一支付介面系統（UPI）、Google Pay等行動支付工具，收取受害者的金錢。</p> <p>研究人員指出，雖然他們已經在2022年第四季向印度及美國的執法單位提供相關資訊，但這樣的詐騙情勢在2023年第一季快速增加，呼籲民眾要提高警覺。</p> <p><a href="https://therecord.media/danish-hospitals-hit-by-cyberattack-from-anonymous-sudan/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">9家丹麥醫院傳出遭到Anonymous Sudan發動DDoS攻擊</span></strong></a></p> <p>根據資安新聞網站The Record的報導，丹麥有9家醫院的網站於2月26日遭到DDoS攻擊而一度中止服務，哥本哈根衛生局證實確有相關事故，但強調這些機構的醫療服務並未受到波及，網站亦於數個小時後恢復運作。</p> <p>對於攻擊者的身分，駭客組織Anonymous Sudan聲稱是他們所為，起因是日前在瑞典的焚燒古蘭經遊行當中，具有丹麥與瑞典國籍的Rasmus Paludan在土耳其大使館前燃燒古蘭經。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/critical-vulnerabilities-patched-in-thingworx-kepware-iiot-products/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">ThingWorx、Kepware工業物聯網裝置存在重大漏洞</span></strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）於2月23日發布資安通告，針對以PLM系統聞名的廠商PTC旗下的ThingWorx Edge重大漏洞提出警告，包含了整數溢位漏洞CVE-2023-0754、記憶體越界寫入漏洞CVE-2023-0755，CVSS風險評分皆為9.8分，一旦遭到利用，就有可能在未經身分驗證的情況下，遠端於目標系統上執行任意程式碼（RCE），或是阻斷設備的服務（DoS）。</p> <p>受到影響的ThingWorx元件，包含了ThingWorx Edge C-SDK、ThingWorx Edge MicroServer、Kepware KEPServerEX、ThingWorx Kepware Server、Rockwell Automation KEPServer Enterprise、GE Digital Industrial Gateway Server等9項，PTC已發布修補程式。通報上述漏洞的研究人員，亦於2月28日發布概念性驗證（PoC）程式碼。</p> <p><a href="https://www.bleepingcomputer.com/news/security/aruba-networks-fixes-six-critical-vulnerabilities-in-arubaos/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Aruba網路設備作業系統出現重大漏洞，攻擊者可在未通過身分驗證的情況下發動RCE攻擊</span></strong></a></p> <p>Aruba Networks於2月28日發布資安通告，該公司修補33個網路設備作業系統ArubaOS漏洞，影響旗下的Mobility Conductor、Mobility Controllers，以及Aruba代管的WLAN Gateways、SD-WAN Gateways等解決方案。</p> <p>本次修補的漏洞有6個是重大風險等級，大致可區分兩種類型，分別是命令注入漏洞CVE-2023-22747、CVE-2023-22748、CVE-2023-22749、CVE-2023-22750，以及記憶體堆疊緩衝區溢位漏洞CVE-2023-22751、CVE-2023-22752。這些漏洞存在於PAPI通訊協定，且無需通過身分驗證就能利用，CVSS風險評分皆為9.8分。攻擊者可藉由發送特製的封包來觸發漏洞，進而使用特權使用者的身分，遠端執行任意程式碼（RCE）。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="http://www.bitdefender.com/blog/labs/bitdefender-releases-decryptor-for-mortalkombat-ransomware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">資安業者Bitdefender提供勒索軟體MortalKombat的解密工具</span></span></strong></a></p> <p><a href="https://www.proofpoint.com/us/blog/threat-insight/ta569-socgholish-and-beyond"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織TA569透過多種注入手法散布SocGholish</span></span></strong></a></p> <p><a href="https://asec.ahnlab.com/en/48211/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體ChromeLoader假借任天堂或Steam攻擊遊戲玩家</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155716">【3月1日】駭客假借Amazon Prime會員名義發動網釣攻擊、應用程式框架ZK Framework漏洞被用於攻擊行動</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155663">【2月24日】 1.5萬個NPM套件含有網釣URL連結、逾4成企業2022下半發現Log4Shell相關攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155652">【2月23日】研究人員找到WAF可被繞過的盲點、駭客假借提供ChatGPT應用程式的名義散布惡意軟體</a></strong></p> </div></div></div>
2023/3/2 15:32作者周峻佑https://www.ithome.com.tw/news/155740
Google Gmail、行事曆用戶端加密正式推向全球Google Workspace企業及教育用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年12月Google讓Workspace企業及教育版用戶測試Gmail及其他雲端應用的用戶端加密（client-side encryption，CSE），<a href="https://workspace.google.com/blog/product-announcements/gmail-and-calendar-client-side-encryption" target="_blank">Google昨（1）日宣布這項功能將正式推向全球企業及教育用戶</a>。</p> <p>去年12月，Google先是為Drive、Docs、Slides、Sheets和Meet等服務加入CSE，並<a href="https://www.ithome.com.tw/news/154785" target="_blank">在12月底允許</a>Google Workspace Enterprise Plus、Education Standard和Education Plus版本用戶測試Gmail的CSE一個月。在最新宣布下，即日起，用戶端加密（CSE）將正式部署到全球企業及教育用戶，而且還擴及行事曆服務。</p> <p>透過啟用CSE，Workspace使用者對內部同事或外部合作夥伴傳送的信件、圖片附件及建立的會議內容，在傳到Google伺服器之前都已經獲得加密，確保內容主體和附件無法從Google伺服器端解讀，用戶可管理加密金鑰，及控管存取這些金鑰的身分服務，比全程加密（E2EE）提供用戶更大主控權。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0302-Google%20Workspace-Gmail-client-side%20encryption.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>Google指出，CSE功能擴及Workspace可大幅降低企業及公部門用戶法規遵循的負擔，也確保第三方組織包括Google或外國政府無法存取用戶的機密資料。Workspace已經以密碼演算法加密儲存及傳送中的資料，CSE則可因賦予用戶存取的完整主控權，讓這層加密安全性再拉高。</p> <p>Google表示，已經使用Workspace CSE的企業包括法國世界報集團、顧問公司PwC及電信業龍頭Verizon等。</p> </div></div></div>
2023/3/2 13:28作者林妍溱https://www.ithome.com.tw/news/155726
OpenAI針對付費用戶推出ChatGPT、Whisper API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI積極向企業用戶招手。繼<a href="https://www.ithome.com.tw/news/155347" target="_blank">2月宣布付費服務ChatGPT Plus</a>後，本周稍早<a href="https://openai.com/blog/introducing-chatgpt-and-whisper-apis" target="_blank">OpenAI宣布生成性AI ChatGPT及自動語音辨識AI系統Whisper的API</a>，使付費企業及開發人員開發的應用存取其AI對話機器人和語音轉文字的AI模型。</p> <p>這是自11月以來，OpenAI將ChatGPT上線開放用戶測試後，針對開發人員設計的新服務。OpenAI指出，在對ChatGPT實施全系統最佳化下，12月以來已省下90% ChatGPT的成本，現在公司將把省下的成本提供給API用戶。開發人員現在可經由API使用Whisper開源的large-v2模型，同時享受更快的服務。而ChatGPT API用戶則將使用更新版模型，還能選擇專屬執行個體以便更深層控制模型，包括版本和效能。</p> <p>針對ChatGPT API，OpenAI宣布存取的AI模型已改版到gpt-3.5-turbo，等同於ChatGPT付費產品使用的版本。其收費標準為每1000個token（字詞單位）0.002美元，是GPT-3.5價格的1/10，也是眾多非對話應用情境中最好的模型。OpenAI宣稱有許多早期測試人員已從text-davinci-003搬到gpt-3.5-turbo，過程中只要對其提示做少量修改。</p> <p>OpenAI同時宣布開源最新版AI模型gpt-3.5-turbo-0301，將最少支援到6月1日，他們也預計4月更新gpt-3.5-turbo模型到最新穩定版本。</p> <p>針對專屬執行個體，OpenAI解釋，原本用戶對ChatAPI的呼叫是和他人共同運算基礎架構，用戶以呼叫計費，但ChatGPT API不同。它是執行在Azure上的專屬執行個體，用戶（開發人員）是以時段長度付費。在專屬執行個體中，開發人員可全權控制執行個體的負載量，這功能可支援更長時段的使用情境，以及抓取模型的快照（snapshot）。</p> <p>OpenAI表示，專屬執行個體對每日執行token量超過4.5億的開發人員來說更划算，也能針對硬體效能最佳化開發人員作業負載，進而減低共享基礎架構的成本。</p> <p>語音轉文字服務Whisper使用的模型則提升到large-v2，費用為每分鐘0.006美元，支援影片格式包括m4a、mp3、mp4、mpeg、mpga、wav及webm。</p> <p>目前已經有多家開發商使用ChatGPT API。用戶包括圖片分享App Snapchat開發商Snap。該公司使用ChatGPT API於本周上線測試的My AI for Snapchat+聊天機器人中。Snapchat每月用戶達7.5億，結合ChatGPT的My AI可為用戶提供建議，甚至幫用戶寫出俳句。</p> <p>此外，用戶數超過6000萬的學習平臺Quizlet利用ChatGPT API開發出Q-Chat AI教師（下圖）、南韓語言學習App Speak也用AI模型透過對話機器人寓教於樂。行動購物App開發商Instacart及Shopify則運用ChatGPT，將ChatGPT整合在個人化服務中，以問答方式提供用戶購物建議。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0302-ChatGPT%20and%20Whisper%20APIs-Quizlet%20Q-Chat.png" style="text-align: center; width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／OpenAI</span></span></p> </div></div></div>
2023/3/2 13:53作者林妍溱https://www.ithome.com.tw/news/155727
最新Google Chrome可讓MacBook不插電用更久，未來將推向Android、Windows版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Chrome向來以耗電聞名，不過Google在近日最新macOS版Chrome做了調整，<a href="https://blog.chromium.org/2023/02/do-more-with-chrome-on-single-charge-on.html" target="_blank">宣稱可讓較舊的MacBook也能上網和看YouTube更長時間</a>。Google也計畫未來推向Android、Windows及Linux版Chrome。</p> <p>Google指出，<a href="https://chromereleases.googleblog.com/2023/02/stable-channel-desktop-update_14.html" target="_blank">2月間釋出穩定版的macOS版Chrome 110.0.5481.100</a>，可讓MacBook充飽一次電使用更長時間。根據其測試，搭載M2晶片的13吋MacBook Pro用戶可連續上網17小時，或看YouTube 18小時。若配合使用Chrome的節能（Energy Saver）模式，則還能再延長30分鐘。</p> <p>Google也說明Chrome達成上述省電結果的祕訣。方法包括微調iframes、調整Javascript計時器、簡化資料結構，以及去除不必要的自動刷新。首先，由於許多iframes存在很短時間，頻繁建立及刪除iframe相當耗電，因此Chrome團隊對剛建立的iframe微調了garbage collection及記憶體壓縮演算法，有助於降低短期記憶體使用，進而減少耗能，又不影響長期記憶體使用。其次，Javascript倒數計時器沿用已久，雖然現在已經有效率更高的API，但網頁開發人員還是大量使用這類計時器，也成為耗電元兇。Google工程人員已調整了Javascript倒數計時器在Chrome中執行的作法，也發現可在不必要取消Javascript內在計時器的方法，可較少喚醒CPU，更有助於節能。</p> <p>其次，Google也從資料結構下手，優化具同樣鍵值（key）的資料存取模式。最後，Google經過調查，發現名為文件物件模型（document object model，DOM）的變更模式不會影響螢幕像素，並修改Chrome使其得以偵測並繞過不必要的網頁格式（style）、排版、色彩、光柵（raster）及GPU動作，並把最佳化結果實作到ChromeUI中，達到減少刷新網頁、耗用電量的目的。</p> <p><a href="https://www.theverge.com/2023/2/28/23618229/google-chrome-macbook-battery-power-efficiency-boost-update" target="_blank">Google向媒體證實</a>，這項最新節能技術也會加入到未來Windows、Linux及Android版Chrome上。</p> </div></div></div>
2023/3/2 14:15作者林妍溱https://www.ithome.com.tw/news/155728
工業控制系統漏洞數量持續增長，美國CISA頻頻發布漏洞通告示警
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自2010年發生Stuxnet病毒攻擊伊朗核電廠之後，工業控制系統（ICS）遭揭露的弱點，開始有逐年倍增的趨勢，近期在智慧製造、智慧醫療的轉型升級潮流中，OT安全議題更是屢屢成為現今資安領域關注重點。以今年1月為例，工控網路安全商<a href="https://synsaber.com/resources/industrial-cve-retrospective-2020-2021-2022/">SynSaber公布產業CVE追蹤報告</a>，根據的資料，是2020到2022年間，美網路安全暨基礎設施安全局（CISA）的ICS漏洞通告，以及CVE漏洞資訊，再度突顯這領域的資安風險。</p> <p>結果顯示，單就ICS漏洞通告而言，CISA在2020年發布211次ICS漏洞通告，2021年為353次，2022年則是361次。其中，在2020到2021年之間的成長幅度最大，達到67.3%，這顯示，CISA對ICS漏洞曝險問題示警，趨於積極主動。</p> <p>若是以ICS的CVE漏洞數量而言，2020年揭露550個CVE漏洞，2021年有1191個，2022年有1342個。SynSaber指出，隨著工控安全受市場重視，以及工控安全產業的增長，這也確實導致CVE漏洞通報數量不斷增加。</p> <h3><strong>SynSaber針對工控漏洞現況，提出四大觀察焦點</strong></h3> <p>從SynSaber上述報告以及他們最新的2022下半ICS漏洞報告來看，我們歸納出4個重點。</p> <p>首先，在漏洞修補態勢上，以2022年下半揭露的CVE漏洞而言，有35%目前供應商尚未提供修補或補救的緩解措施，比例高於2022上半（13%）。</p> <p>特別的是，SynSaber提到有些漏洞雖然已公開揭露，卻可能永遠都沒有可用的修補，因此它們被稱為永遠存在漏洞（Forever Day Vulnerabilities）。而這三年下來，有21.2%不會有修補程式。</p> <p>這樣的結果可能比大家想像的還高，主要原因在於，許多通報的CVE漏洞，是存在於老舊、不再支援的系統。因此，當新的漏洞報告揭露時，設備製造商已不再需要針對該漏洞釋出修補。</p> <p>第二，從漏洞存在的位置來看，SynSaber主要列出了三大類，包括軟體、韌體、協定。在近三年的數量來看，軟體漏洞的數量最多，有1,732個，韌體漏洞有1,111個，協定漏洞則有240個。</p> <p>SynSaber指出，並非所有漏洞都是平等的，這是因為軟體漏洞的修補較為容易，只要更新特定應用程式，不過，有超過4成數量是韌體與協定漏洞，其中，韌體漏洞的修補或更新會影響到整個設備，協定漏洞的處理影響整個系統與架構，可能需要大量系統與子系統的升級，因此廠商修補的難度相對較高。</p> <p>第三，以漏洞揭露態勢而言，在2022年的CVE漏洞，有56%是來自設備製造商，至於其餘（43%），則是資安業者與獨立安全人員揭露。</p> <p>第四，以產品廠牌來看，西門子表現最突出，因為該公司產品安全團隊三年揭露的自家產品漏洞數量最多，分別為78個、230個、544個，明顯高於其他業者，但SynSaber強調，這不應該視為西門子產品的安全性較低。事實上，對於設備製造商而言，趨向成熟的自我漏洞通報流程機制是必要的，其他製造商應該要效法，而且也需努力去實現。</p> <p>另外，若從資安業者通報ICS產品的CVE漏洞數量來看，近三年以趨勢科技最多，分別為67個、246個與197個。</p> <p>最後，對於工控產品用戶而言，SynSabe建議從三大面向去思考。從適用性來看，企業需要一個最新的資產清單，因為每個報告都會提到受影響的產品、軟體與版本；從嚴重性來看，儘管CVSS評分不應該是確定修補修先順序的唯一指標，但依然很有幫助；從可修復性來看，這類問題可能比較複雜，但尋求設備商提供修補升級，如何在不影響操作下，以及不需改變整個系統、子系統與架構下，採取緩解配置，將是重點。整體而言，工控產品用戶在設法因應時，可從三大面相相互涵蓋的部分去思考。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）Synsaber ICS漏洞分析.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89Synsaber%20ICS%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90.jpg" style="width: 600px;" /></a></p> <p><strong>在SynSaber這份報告中，他們統計了近三年的ICS漏洞數量，2020年揭露有550個CVE漏洞，2021年有1,191個，2022年有1,342個，三年總數為3,083個；至於醫療ICS漏洞的揭露，則相對較少且有減少的趨勢，從2020年的79個CVE漏洞，2021年的87個，到2022年的23個，而醫療ICS漏洞通告數量是逐年減少。</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）SynSaber ICS CVE Retrospective.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89SynSaber%20ICS%20CVE%20Retrospective.jpg" style="width: 600px;" /></a></p> <p><strong>從ICS的CVE漏洞類型、漏洞所處位置來看，<a href="https://14520070.fs1.hubspotusercontent-na1.net/hubfs/14520070/Collateral/SynSaber_Industrial-CVE-Retrospective_2020-2021-2022.pdf">SynSaber</a>歸納為三類，包括軟體漏洞、韌體漏洞與協定漏洞。該公司指出，軟體漏洞的修補算是較為容易，更需要關注的是韌體與協定漏洞，其更新修補是相對困難，容易影響整個設備，影響整個系統與架構，而且這兩方面的漏洞占比近4成。</strong></p> </div></div></div>
2023/3/1 16:01作者羅正漢https://www.ithome.com.tw/news/155710
Nvidia新GPU驅動程式能以AI提高串流影片觀看解析度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia在GeForce RTX 40與30系列最新的GeForce Game Ready驅動程式，加入<a href="https://blogs.nvidia.com/blog/2023/02/28/rtx-video-super-resolution/">影像超級解析度（Video Super Resolution，VSR）功能支援</a>，用戶只要使用微軟Edge 110.0.1587.56或是Google Chrome 110.0.5481.105以上版本瀏覽器，就能將瀏覽器上低解析度的串流影片，提升至4K解析度。</p> <p>GeForce RTX 40與30系列所支援的VSR，是以深度學習模型預測低解析度影像，進而將低解析度影片轉換成高解析度版本的技術，如此便能夠使物體邊緣清晰，動物毛髮表現更細緻等，過去Nvidia在SHIELD TV電視棒中應用這項技術，將480p的影片提升解析度至1080p。</p> <p>由於串流影片使用以區塊為單位的壓縮方法像進行編碼，因此會出現塊狀壓縮失真，Nvidia解釋，在傳統的畫質提升演算法的放大下，塊狀壓縮失真會更加嚴重，嚴重影響低解析度串流影片的觀賞體驗。</p> <p>而RTX VSR技術能夠透過邊緣偵測和特徵銳化，提升串流媒體影片內容的品質，減少因為影片壓縮產生的假影，並且避免材質失真。</p> <p>RTX VSR在單次處理程序就能提升解析度和減少壓縮失真，Nvidia利用不同壓縮程度的影片訓練深度學習模型，因此模型了解低解析度影片存在的壓縮失真類型，可從輸入的低解析度影片影格，預測目標解析度的殘差圖像（Residual Image），透過將殘差圖像疊加到經Bicubic解析度提升演算法處理的影格，就能校正假影錯誤和銳化邊緣，最終產生高解析度影像。</p> </div></div></div>
2023/3/2 02:35作者李建興https://www.ithome.com.tw/news/155723
【資安日報】3月1日，駭客假借Amazon Prime會員名義發動網釣攻擊、應用程式框架ZK Framework漏洞被…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為規避偵測，駭客濫用短網址的情況不時傳出。最近有人假借Amazon付費會員的名義來寄送釣魚信件，目的是騙得收信人的詳細個資及信用卡資料。但值得留意的是，這起攻擊行動中，駭客使用了LinkedIn短網址服務Smart Link來迴避偵測，而濫用該服務的攻擊行動已非首例──<a href="https://www.ithome.com.tw/news/153192#linkedin">去年9月就有駭客用於網釣攻擊</a>。</p> <p>建置於雲端的應用程式遭到鎖定也相當值得留意。研究人員揭露針對架設在AWS的K8s與容器相關系統的攻擊行動，但駭客不僅將目標容器叢集用於挖礦，還企圖將組織開發的應用程式程式碼偷走。</p> <p>名為ZK Framework應用程式框架的漏洞CVE-2022-36537已出現攻擊行動，使得美國政府提出警告，並指出採用該框架的應用程式也會成為攻擊目標。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.malwarebytes.com/blog/news/2023/02/linkedin-slinks-abused-to-phish-email-and-payment-details"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">LinkedIn短網址遭到濫用，用於Amazon Prime電子郵件網釣攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/easset_upload_file91047_259228_e.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/easset_upload_file91047_259228_e.jpg" style="width: 300px; float: right;" /></a>資安業者Malwarebytes揭露濫用LinkedIn短網址服務的網釣攻擊，駭客假借Amazon的名義，聲稱收信人的Prime帳號到期，但因為信用卡出現問題而無法扣款，導致會員權益暫停，收信人必須在24小時提供正確的信用卡資料，否則相關權益將被取消。</p> <p>一旦收信人依照指示點選更新會員資料的按鈕，就會被帶往偽造的Amazon登入網站，該網站根據使用者輸入的電子郵件信箱，要求他們提供微軟或Google帳號的密碼，若照做駭客進一步假借資安檢查的名義，要求輸入電話號碼、生日、地址等更多個資，最終騙取收信人的信用卡資料。</p> <p>值得留意的是，為了規避偵測，駭客在釣魚信的URL裡，濫用了LinkedIn短網址服務Slink（Smart Link）。</p> <p><a href="https://sysdig.com/blog/cloud-breach-terraform-data-theft/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Terraform、K8s、AWS遭到鎖定，駭客竊取原始碼等機密資料</span></strong></a></p> <p>網路安全業者Sysdig揭露名為Scarleteel的攻擊行動，駭客針對容器化的工作負載下手，先是尋找在AWS裡能連至網際網路的網頁應用程式，一旦能夠存取容器，駭客就會下載挖礦程式XMRig及指令碼，目的是從Kubernetes pod截取帳密資料，然後，駭客將其用於存取AWS的API，藉此取得當中的所有帳號，並將這些資料送到外部。</p> <p>在上述過程裡，攻擊者不只會停用CloudTrail事件記錄系統，還會透過S3儲存桶裡的Terraform組態檔案，挖掘更多與AWS帳號相關的帳密資料。研究人員指出，雖然駭客部署了挖礦軟體牟利，但如此複雜的手法，背後真正的動機並不單純，他們推測很可能是竊取企業獨有的軟體。</p> <p><a href="https://thehackernews.com/2023/02/cisa-issues-warning-on-active.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國警告網頁應用程式框架ZK Framework漏洞被用於攻擊行動</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/r1soft-backdoors-by-country.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/r1soft-backdoors-by-country.png" style="width: 300px; float: right;" /></a><a href="https://www.cisa.gov/news-events/alerts/2023/02/27/cisa-adds-one-known-exploited-vulnerability-catalog">美國網路安全暨基礎設施安全局（CISA）於2月27日</a>，將知名的網頁應用程式開發框架ZK Framework的漏洞CVE-2022-36537（CVSS風險層級為7.5分），列入已遭利用漏洞名單（KEV）。</p> <p>CISA指出，此框架以Java為基礎打造，且為開源系統而被不少專案採用，上述漏洞會影響多種產品，例如，ConnectWise R1Soft伺服器備份管理員。</p> <p><a href="https://web.archive.org/web/20230228071242/https://blog.fox-it.com/2023/02/22/from-backup-to-backdoor-exploitation-of-cve-2022-36537-in-r1soft-server-backup-manager/">資安業者Fox IT於1月9日</a>，發現286臺含有上述漏洞的R1Soft伺服器被植入後門程式，約有半數在美國與南韓。</p> <p><a href="https://patchstack.com/articles/psa-houzez-theme-unauthenticated-privilege-escalation-vulnerability-exploited-in-the-wild/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WordPress佈景主題出現重大漏洞，已有人用於挾持網站</span></strong></a></p> <p>資安業者Patchstack揭露主打房仲業的WordPress佈景主景外掛套件Houzez Theme、使用者管理套件Houzez Login Register，兩者皆存在風險層級達到9.8分的重大漏洞（但尚未登錄CVE編號），一旦遭到利用，攻擊者就能在未經身分驗證的情況下，取得特殊權限，開發商獲報後已發布新版予以修補。</p> <p>值得留意的是，研究人員已經看到上述兩個套件的漏洞已被用於攻擊行動，其中一個攻擊來源IP位址是103.167.93.138。</p> <p><a href="https://www.bitdefender.com/blog/labs/weaponizing-pocs-a-targeted-attack-using-cve-2022-47966/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Zoho ManageEngine重大漏洞已出現攻擊行動</span></strong></a></p> <p>Zoho自2022年7月開始，陸續著手修補影響旗下24款產品的重大漏洞CVE-2022-47966（CVSS風險評分為9.8分），但隨著資安業者Horizon3.ai於1月19日發布概念性驗證程式（PoC），隔日就有人將此漏洞用於攻擊行動。</p> <p>這起活動被揭露，是源自資安業者Bitdefender的發現，研究人員看到自1月20日有人利用相關漏洞發動攻擊，然後企圖濫用Windows作業系統內建的powershell.exe、bitsadmin.exe、certutil.exe等元件下載作案工具，並藉由側載的方式執行惡意酬載。</p> <p>為了能持續、隱密地在受害主機上運作，駭客濫用了Windows服務，以及ServiceDesk採用的Tomcat網頁伺服器元件，然後在受害主機上部署網路工具Netcat、Cobalt Strike Beacon、遠端桌面工具AnyDesk，甚至有植入勒索軟體Buhti的情況。</p> <p><a href="https://www.nbcnews.com/politics/politics-news/major-us-marshals-service-hack-compromises-sensitive-info-rcna72581"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國法警局傳出遭勒索軟體攻擊</span></strong></a></p> <p>根據新聞網站NBC News的報導，美國法警局（USMS）在2月27日證實，該部門遭到勒索軟體攻擊，並導致資料外洩的情況。</p> <p>USMS的發言人向NBC News透露，受影響的系統存放了與執法相關的敏感資訊，例如：受調查人員、USMS員工、外部合作人士的個資，以及法律程序與管理資訊的通報資料等。</p> <p>知情人士透露，此次的資安事故，並未波及證人保護計畫（Witness Security Program）資料庫。</p> <p><a href="https://www.bleepingcomputer.com/news/security/dish-network-confirms-ransomware-attack-behind-multi-day-outage/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國衛星通訊服務業者Dish Network遭到勒索軟體攻擊，旗下服務停擺</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/dish_com-screenshot.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/dish_com-screenshot.jpeg" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer報導，美國衛星通訊服務業者Dish Network旗下的網站Dish.com、DishWireless.com，以及Dish Anywhere應用程式，約於24日出現服務中斷的情況，客戶無法觀看電視。</p> <p>對此，該公司於2月27日向美國證交所通報，他們的服務近期中斷原因是遭到網路攻擊，並表示很有可能是勒索軟體造成，駭客亦從受害系統竊得該公司資料，但Dish Network並未說明遭到外洩的資料內容。</p> <p>消息人士向Bleeping Computer透露，此起事故疑為勒索軟體駭客Black Basta所為，駭客先是破壞網域控制器，然後加密VMware ESXi伺服器及備份檔案。但這樣的說法，並未得到Dish Network的證實。</p> <p><a href="https://www.bleepingcomputer.com/news/security/telus-investigating-leak-of-stolen-source-code-employee-data/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加拿大電信業者Telus原始碼、員工資料外洩</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/forum-post-telus.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/forum-post-telus.jpeg" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，有人陸續在2月17日、21日於駭客論壇上，先後兜售逾7.6萬筆加拿大大型電信業者Telus員工個資，以及GitHub儲存庫、原始碼、薪資單資料。</p> <p>賣家亦宣稱原始碼含有該公司的sim-swap-api，可被用於SIM挾持攻擊。對此，Telus向該新聞網站表示，他們已著手調查，但目前為止尚未發現公司或客戶資料外洩。</p> <p><a href="https://www.bleepingcomputer.com/news/security/stanford-university-discloses-data-breach-affecting-phd-applicants/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">史丹佛大學傳出資料外洩，波及申請博士班的經濟系學生</span></strong></a></p> <p>美國史丹佛大學於2月17日發出公告，表示經濟系網站出現資料外洩的情況，已知有897名申請入學的博士班生資料遭到不法存取。該校於1月24日接獲通報並著手調查，結果發現存放上述個資的資料夾於2022年12月5日曝露在網際網路上，截至他們得知此事，已有2次異常存取的情況，但該校強調目前尚未發現資料遭到濫用的證據。</p> <p>這些遭到下載的資料包含學生的姓名、生日、通訊地址、電子郵件信箱、電話號碼、種族、性別等。</p> <p><a href="https://www.bleepingcomputer.com/news/security/news-corp-says-state-hackers-were-on-its-network-for-two-years/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">新聞媒體集團News Corp去年遭駭調查有新進展，駭客2020年就得到存取權限</span></strong></a></p> <p>華爾街日報母公司News Corporation（News Corp）傳出於2022年1月遭到網路攻擊，介入調查的資安業者Mandiant認為可能是中國駭客所為。這起事故現在有了新的進展──News Corp於2月22日指出，根據他們的調查，未經授權的第三方組織自2020年2月到2022年1月，利用部分人員的帳號存取業務檔案及電子郵件。駭客取得的個資包含使用者姓名、生日、駕照號碼、護照號碼、金融帳號資料，以及醫療與健康保險資料。</p> <p><a href="https://www.mjib.gov.tw/news/Details/1/839"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客去年10月兜售全臺戶政資料，調查局公布最新調查結果</span></strong></a></p> <p>2022年10月，自稱是OKE的人士於駭客論壇BreachForums兜售全臺2,357萬2,055筆戶政資料，為取信買家，賣家亦公布20萬筆資料用於驗證其真實性。對此，法務部調查局資安工作站與臺北市調查處組成專案小組，取得駭客求售資料進行分析，結果發現其內容為2018年4月以前的戶役政資料。</p> <p>根據駭客收款的加密貨幣錢包進行追蹤，發現持有者為中國籍人士，且已完成多筆交易，他們掌握錢包所有者身分，依違反個人資料保護法及刑法妨害電腦使用罪移送臺灣臺北地方檢察署偵辦。</p> <p>但這些資料究竟如何流出？調查局表示，礙於資訊系統與資安設備留存的稽核記錄已超過年限，恐難以追查。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://chromereleases.googleblog.com/2023/02/stable-channel-desktop-update_22.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google修補重大記憶體釋放後濫用漏洞，若不更新恐導致RCE攻擊</span></strong></a></p> <p>2月22日Google發布電腦版Chrome更新110.0.5481.177（部分Windows電腦為110.0.5481.178版），當中總共修補10個安全弱點，最嚴重的是重大漏洞CVE-2023-0941，此漏洞與Prompts功能的記憶體釋放後濫用（UAF）有關。</p> <p>另一個值得留意的是高風險漏洞CVE-2023-0928，存在於3D圖形渲染器SwiftShader，但這項漏洞是在去年3月通報，接近快一年才完成修補，後續影響有待觀察。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/hacker-leaks-alleged-activision-employee-data-on-cybercrime-forum/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">電玩業者Activision資料流入駭客論壇，起因疑為Azure資料庫外洩</span></span></strong></a></p> <p><a href="https://www.zdnet.com/article/australia-retailers-customer-data-compromised-in-third-party-breach/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">澳洲消費電子連鎖商店The Good Guys傳出資料外洩，起因是第三方供應商遭駭</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/lastpass-devops-engineer-hacked-to-steal-password-vault-data-in-2022-breach/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">LastPass透露2022遭駭事件新的發展，駭客利用側錄工具竊取DevOps工程師帳密</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155663">【2月24日】 1.5萬個NPM套件含有網釣URL連結、逾4成企業2022下半發現Log4Shell相關攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155652">【2月23日】研究人員找到WAF可被繞過的盲點、駭客假借提供ChatGPT應用程式的名義散布惡意軟體</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155635">【2月22日】新加坡與中國的大型資料中心用戶帳密遭竊、殭屍網路MyloBot每天感染逾5萬臺電腦</a></strong></p> </div></div></div>
2023/3/1 17:45作者周峻佑https://www.ithome.com.tw/news/155716
傳馬斯克組AI實驗室開發ChatGPT對手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體報導，馬斯克近日找前DeepMind研究主管計畫成立AI實驗室，開發對抗ChatGPT的競爭技術。</p> <p><a href="https://www.theinformation.com/articles/fighting-woke-ai-musk-recruits-team-to-develop-openai-rival?rc=gjik5g" target="_blank">《The Information》引述消息人士報導</a>，馬斯克近日接觸了曾在DeepMind任職的AI科學家Igor Babuschkin籌建研究實驗室，以開發和ChatGPT競爭的AI技術。不過馬斯克和Babuschkin的會面才只是起步，尚未有具體計畫。Babuschkin也對《The Information》表示尚未正式加入。</p> <p>馬斯克是否計畫開發類似OpenAI的ChatGPT的生成式AI技術引人關注。OpenAI是2015年馬斯克和 Y Combinator總裁暨OpenAI現任執行長 Sam Altman共同創辦，直到2018年因為特斯拉將擴大投入AI研發，才為利益迴避辭去OpenAI董事會。</p> <p>ChatGPT上線開放大眾測試後引發關注，<a href="https://twitter.com/elonmusk/status/1599128577068650498" target="_blank">馬斯克上個月透過推特指出</a>，ChatGPT「厲害好嚇人，世界距離強大到危險的AI已經不遠」，<a href="https://twitter.com/elonmusk/status/1603836383885332480" target="_blank">又說訓練AI說謊將帶來致命的危險</a>。</p> <p>2 月間，在微軟挹注OpenAI數億美元後，<a href="https://twitter.com/elonmusk/status/1626516035863212034" target="_blank">馬斯克說道</a>，OpenAI當初是為了對抗Google而成立的開源、非營利公司，但現在它已成為由微軟實質控制的封閉程式碼的追求最大利益的公司，違反了他當時成立OpenAI的初衷。</p> <p>馬斯克和Babuschkin兩人都未對報導做出回應。</p> <p><a href="https://www.ithome.com.tw/news/155698" target="_blank">Meta則是在上周宣佈成立生成式AI開發團隊</a>，將開發強化旗下Messenger、WhatsApp等服務的互動能力。</p> </div></div></div>
2023/3/1 17:23作者林妍溱https://www.ithome.com.tw/news/155715
LastPass員工家中電腦被駭致外洩公司關鍵系統登入憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周稍早LastPass說明去年8月一連串被駭事件的調查結果，顯示禍首是高階員工家中電腦被駭，導致該公司系統登入憑證外洩。</p> <p><a href="https://www.ithome.com.tw/news/152730" target="_blank">去年8月密碼管理服務商LastPass</a>公司網路遭駭客竊走部份技術資訊及程式碼，引發了<a href="https://www.ithome.com.tw/news/154862" target="_blank">11月用戶密碼儲存庫的駭入事件</a>。而在安全廠商Mandiant的協助下，LastPass本周公布了整起事件始末。</p> <p>LastPass指出，第一次事件在8月12日結束，但駭客利用這次取得的資訊，從8月12日到10月26日進行一連串的偵察、列舉及資料外洩行動，以入侵LastPass的雲端儲存環境。這個位於AWS S3的儲存環境即儲存了LastPass客戶檔案備份，包括公司名稱、電子郵件、IP位址、密碼及加密儲存庫資料，<a href="https://www.ithome.com.tw/news/155264" target="_blank">廠商於今年1月證實已外洩</a>。</p> <p>這個資源原本具有加密防護，包括AWS S3-SSE、S3-KMS或S3-SSE-C技術加密防護，要存取這個bucket，攻擊者必須具備AWS存取金鑰及LastPass產生的解密金鑰。而為了取得這些金鑰，攻擊者策畫了階段性攻擊行動。</p> <p>在第一次事件中，駭客先是鎖定4位擁有解密金鑰的DevOps工程師，結果有一位被成功入侵。攻擊者是利用這位資深工程師家中電腦中一個第三方媒體軟體套件的漏洞，進行遠端程式碼攻擊，在電腦中植入了鍵盤側錄程式。攻擊者在這名員工登入DevOps系統驗證MFA時，成功截取到主密碼，即成功存取該DevOps員工的LastPass密碼儲存庫（vault）。</p> <p>接著駭客將原生的密碼儲存庫內容及共享資料夾的內容匯出。這個共享資料夾內含的加密記事中，則有存取AWS S3上LastPass營運環境備份、雲端儲存資源及一些關鍵資料庫備份的登入憑證和解密金鑰。當然也包含了客戶密碼備份及加密金鑰。最後，駭客因使用雲端身分及存取管理（Identity and Access Management，IAM）進行非授權活動，觸發了AWS系統通報，才讓LastPass第一次得知駭入事件。</p> <p>在得知駭入事件後，除了展開調查，LastPass的回應措施還包括啟動以微軟Authenticator的條件式存取PIN比對多因素驗證（PIN-matching）、輪換關鍵及高權限的登入憑證、撤銷且再發放憑證。</p> <p>不過，就算LastPass再怎麼解釋也平息不了客戶的怒火。已經有一群用戶因這起資料外洩案，<a href="https://www.ithome.com.tw/news/155011" target="_blank">今年1月對該公司提起集體訴訟</a>。</p> </div></div></div>
2023/3/1 16:23作者林妍溱https://www.ithome.com.tw/news/155711
Windows 11更新將加入AI加持的Bing、整合iPhone同步
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟2月初才宣布以AI技術加強的Bing搜尋引擎，<a href="https://blogs.windows.com/windowsexperience/2023/02/28/introducing-a-big-update-to-windows-11-making-the-everyday-easier-including-bringing-the-new-ai-powered-bing-to-the-taskbar/" target="_blank">昨（28）日微軟宣布最新版Windows 11更新</a>，將整合ChatGPT底層AI加持的Bing預覽版、Phone Link for iOS、記事本App支援分頁，並首度加入了Windows 365終端App。</p> <p>微軟2月把AI加強的Bing桌機版以預覽版開放169國少數用戶測試後，昨日再進一步將之整合到Windows 11的可輸入文字的搜尋列及工作列上。微軟表示，Windows搜尋列每月有超過5億用戶使用，這作法讓用戶更容易找到搜尋功能，更快獲得想要的答案。而不久後，數百萬Windows 11用戶也能從工作列上直接使用Bing搜尋及聊天功能。</p> <p>如果用戶已經有Bing預覽版，只要安裝昨日釋出的Windows 11更新，就可以在搜尋列使用Bing。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0301-Windows%2011-AI-powered%20Bing-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>在Bing部份，<a href="https://blogs.microsoft.com/blog/2023/02/22/the-new-bing-preview-experience-arrives-on-bing-and-edge-mobile-apps-introducing-bing-now-in-skype/" target="_blank">上周微軟已將Bing整合到Edge手機App及Skype中</a>。</p> <p>其他Windows 11新功能方面，原本只有支援Android版的Phone Link，這次的Windows 11更新版本中則進一步加入支援iOS的Phone Link App預覽版（下圖）。這項功能讓Windows 11也能在PC上操作iPhone上的應用程式，包括接收訊息和來電通話。這是繼<a href="https://www.ithome.com.tw/news/153600" target="_blank">去年10月微軟Windows 11整合iCloud相簿儲存（iCloud Photo Library）、Apple Music</a>後，最新整合的iPhone服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0301-Windows%2011%20update-Phone%20Link%20for%20iOS%20in%20preview-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p>新版Windows 11更新Phone Link針對三星Android手機也有改進，讓用戶更方便以Phone Link操作，包括直接在PC上一鍵啟動Wi-Fi網路，或是直接使用三星手機最近造訪的網站清單。</p> <p>最新Windows 11更新另外還將AI影音特效功能Windows Studio Effects，整合到Windows工具列的快速設定中。特效功能包括矯正Teams視訊時用戶的目光、背景模糊、自動置中及為通話降噪（voice focus）等等。而OEM廠商推出的電腦，如三星Galaxy Book Pro 2 360及聯想Lenovo ThinkPad X13，及未來的宏碁、華碩、Dell、HP產品，也都會整合Windows 11最新更新。</p> <p>值得一提的是，去年微軟推動生產力應用去除Office品牌而宣布的Windows 365 App（下圖），也在本次更新中問世，用戶可在Microsoft Store下載安裝。它讓Windows 11用戶可直接使用雲端服務Windows 365的虛擬桌機Cloud PC。此外針對加入企業Azure Active Directory（AAD）的Windows 11 Pro裝置，微軟也將在開始選單加入AI功能提供的建議，加快用戶尋找檔案或文件。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0301-Windows%2011%20update-Windows%20365%20app-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p>其他功能包括Windows Chat改版，更容易預覽影片、加入通話、分享視訊連結以及存取聊天紀錄；技術支援人員現在可從開始選單開啟改版的Quick Assist App；加入新Widget，包括Phone Link、Xbox Games Pass及第三方服務如Meta、Spotify；觸控功能除了開啟開始選單、Widget及快速設定，現在工具列也加入觸控支援。記事本（Notepad）改版，終於加入分頁功能；以及剪貼工具加入螢幕錄製功能。</p> </div></div></div>
2023/3/1 16:45作者林妍溱https://www.ithome.com.tw/news/155713
推特創辦人開發新競爭App上線，僅開放邀請加入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcrunch.com/2023/02/28/jack-dorsey-backed-twitter-alternative-bluesky-hits-the-app-store-as-an-invite-only-app/" target="_blank">Techcrunch報導</a>，推特創辦人之一Jack Dorsey開發的去中心化社交應用程式BlueSky的iOS版，本周悄悄在App Store上架。</p> <p>目前BlueSky為不公開Beta版，<a href="https://apps.apple.com/us/app/bluesky-social/id6444370199" target="_blank">允許用戶下載</a>，但用戶得要有邀請碼才能建立帳號。</p> <p>BlueSky是推特（Twitter）創辦人暨前執行長Jack Dorsey於任內成立，於2021年分拆獨立。BlueSky旨在發展去中心化的社群網絡，BlueSky App則為其終端應用程式。Dorsey曾經公開表示，不應將推特建立成一個營利事業，他主張推特App及網絡應使用開源碼協定，建立去中心化的社群，而非中央化管理的社交媒體平臺。</p> <p>BlueSky現任執行長為加密貨幣開發者Jay Graber。該公司於2022年開源釋出ADX（Authenticated Data eXperiment）協定。ADX現正名為AT（Authenticated Transfer Protocol）。</p> <p>不過BlueSky和其協定遭到其他開源界人士，如Mastodon的批評，因為現行的ActivityPub協定已經是建立去中心化網絡的開源協定。眾多伺服器以ActivityPub協定建立起聯邦宇宙（Fediverse），彼此獨立執行、內容多樣化，但又能相溝通、一起提供網路發布及檔案代管功能，讓用戶能自己選擇在不同伺服器上建立帳號、發布內容、關注其他用戶，但不受唯一權威單位控制。目前許多推特用戶投奔的Mastodon則為ActivityPub的代表性專案。</p> <p>推特新主人馬斯克也曾贊同Dorsey的開源理想。在此同時，<a href="https://www.ithome.com.tw/news/155624" target="_blank">馬斯克上周也預告</a>，將在本周開放推特演算法源碼。</p> </div></div></div>
2023/3/1 17:05作者林妍溱https://www.ithome.com.tw/news/155714
5G趨勢月報第40期：Motorola展示支援衛星通訊5G手機，可接收發送訊息、分享位置及SOS求助；Vodafone…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>2/01~2/28精選5G趨勢新聞</strong></span></h3> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Motorola</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>衛星</b></span></font></p> <p><span style="font-size:22px;"><strong>Motorola在MWC展示支援衛星雙向通訊手機</strong></span></p> <p>在西班牙MWC行動通訊大會上，Motorola與Bullitt聯手發表支援衛星雙向通訊的Motorola defy 2，手機採用聯發科的衛星通訊技術，支援衛星雙向傳訊功能，可在衛星通訊涵蓋範圍內，移動中傳送接收衛星訊息。</p> <p>Motorola defy 2為一款5G Android手機，採用強固型設計，為適應嚴苛的使用環境，通過1.8公尺摔落測試，深達5公尺防水，以及防止沙塵的侵入。</p> <p>這款6.6吋螢幕手機整合Bullitt衛星傳訊服務，除了可在衛星通訊範圍內雙向傳送訊息，也能分享位置資訊、SOS緊急協助。該手機預計在今年第2季，與特定的電信商合作於北美、拉丁美洲、加拿大等地推出，包含12個月的SOS協助，售價為599美元起。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Vodafone</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Raspberry Pi</b></span></font></p> <p><span style="font-size: 22px;"><strong>Vodafone展示以Raspberry Pi電腦開發的5G基地臺原型</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/VODA-1.jpg" style="width: 600px; height: 400px;" /></p> <p>電信營運商Vodafone近期對外展示其5G研發成果，其中一項是以只有信用卡大小的Raspberry Pi，開發可用於5G私有網路的基地臺原型，Vodafone表示，不只是5G，也可以用於開發4G或3G基地臺、路由器或是FM收音機。</p> <p>Vodafone表示，這款5G微型基地臺原型可協助小型企業或家庭，擴展5G覆蓋範圍或容量，建立私有、負擔得起的、可攜式的5G行動網路。這個5G基地臺原型設計，內部採用Raspberry Pi 4，搭配由Lime Microsystems製造的軟體定義無線電(SDR)電路板，以符合Open RAN標準設計，宣稱任何計算平臺通過SDR，可變成微型的5G基地臺。</p> <p>Vodafone表示，將Vodafone在歐洲的5G網路，結合簡單且易於多樣性使用的Raspberry Pi電腦，可讓行動私有網路(MPNs)更容易被歐洲約2,200萬中小型企業所使用。此外，也能為有多人同時上網的家庭，提升網路速度。Vodafone預計在MWC大會上展示。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>7-ELEVEN</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>AMR</b></span></font></p> <p><span style="font-size:22px;"><strong>7-ELEVEN與工研院聯手，在高軟園區試營運AMR機器人外送服務</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CubotONE.jpg" style="width: 600px; height: 400px;" /></p> <p>因應少子化、缺工問題，國內超商龍頭7-ELEVEN與工研院合作，將從3月1日起到12月31日止，在高雄軟體園區國城大樓A、B、C三棟，試營運AMR機器人外送服務，消費者可透過Foodomo App向7-ELEVEN軟科門市訂餐，可選擇由AMR機器人Cubot ONE外送，送達指定樓層辦公室門口。</p> <p>這款AMR外送機器人整合5G連網、C-V2X車聯網技術、3D定位及導航，當門市人員將訂購的商品放到機器人的倉門內後，機器人就會自動導航移動至指定的地點，途中可以自動避開障礙物，甚至呼叫電梯，搭乘到指定的樓層，抵達指定的辦公室門口後，由後臺撥打電話給消費者取餐。</p> <p>從3月起到今年底試營運，利用這段時間進行商業測試，7-ELEVEN準備在明年正式營運這項AMR機器人外送服務。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>中鋼</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font></p> <p><span style="font-size:22px;"><strong>中鋼展示5G專網應用成果，擬打造5G天車控制系統</strong></span></p> <p>中鋼在2021年下半年開始啟動5G專案，規畫建置5G專網，一方面提高生產的效率，另方面改善廠區內作業人員安全，找出在鋼廠可能應用場域，近期中鋼首次對外展示應用成果，包括5G軋鋼智慧工廠、5G智慧軌道運輸、5G應用技術實驗室，共完成專家遠端協作、鋼帶偏移監控、智能板胚動態監控、危險作業遠程操控、渣桶狀態監測、行車安全輔助等9項5G AIoT計畫。</p> <p>在軋鋼智慧工廠內，中鋼建置5G O-RAN專網，以3個O-RAN基地臺涵蓋400公尺長的熱軋產線，除了即時蒐集數據，監控產業動態之外，也應用遠端專家協作、AR擴增實境，其中AR方面，現場作業人員可以平板電腦掃描設備上的AR標籤，即時查看該設備的運作即時數據，或是查看維護手冊。</p> <p>至於傳統鋼廠內使用的天車系統，中鋼也計畫打造5G天車控制系統，讓需要人力爬到高處操控的天車系統，結合5G的高速、低延遲，搭配天車上的攝影機回傳即時影像，讓人員在地面的控制室，就能遠端操控天車運作。中鋼也將5G專網用於室戶，例如傳統上由人員目視遠端操控的渣車接渣作業，利用高解析度攝影機及車輛定位技術，協助人員控制火車接渣的準確性，避免漏接導致爐渣灑落地面，造成工安風險。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>高通</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>5G Advanced</b></span></font></p> <p><span style="font-size:22px;"><strong>布局5G Advanced市場，高通發表Snapdragon X75數據機射頻系統</strong></span></p> <p>高通布局5G Advanced市場，發表Snapdragon X75數據機射頻系統，該數據機射頻系統導入高通第2代 5G AI處理器，相較於前一代5G AI處理器，AI效能提升2.5倍以上，可提供更快的速度、覆蓋範圍、行動、連結穩定及定位的精準度。</p> <p>X75適用於手機、行動寬頻、汽車、運算、IIoT、FWA及企業專網。此外，可支援毫米波及6GHz以下頻段，其中在毫米波頻段方面，能支援10載波聚合，搭配以AI協助感測器輔助毫米波波束管理，提升連網的可靠性及AI定位精準度。</p> <p>至於6GHz以下頻段方面，能支援5倍的下行鏈路載波聚合和FDD上行鏈路MIMO。目前X75已開始送樣，預計在2023年下半年看到商用化的裝置。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>西班牙電信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>無人機</b></span></font></p> <p><span style="font-size:22px;"><strong>西班牙電信測試5G無人機運送包裏</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/telefonica.jpg" style="width: 600px; height: 350px;" /></p> <p>西班牙電信Telefónica近期展開5G無人機運送包裏測試，評估在城市裡以5G無人機運送包裏的可行性，這項測試結合應用在車聯網的C-V2X技術，以及RTK精準定位技術，測試多架無人機之間，和城市基礎設施間的通訊，確保包裏的正確運送。</p> <p>該測試是以5G作為無人機空中運送包裏的通訊網路，相較於郊區，在人口密集的城市以無人機遞送包裏更為複雜，未來如果有多架無人機執行不同的遞送任務，亟需要建立空中交通管制來管理。</p> <p>此次測試包括兩架無人機之間的協調，當無人機之間的飛行路徑重疊時，透過彼此溝通協調飛行順序，降低空中發生碰撞的風險。另外，無人機通過和地面信標間的溝通，確認所在位置，當進入禁飛區域附近，繞過避開禁飛區域，同樣地，無人機也根據信標，確認投遞目的地。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>遠傳電信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>遠距診療</b></span></font></p> <p><span style="font-size:22px;"><strong>遠傳電信要將5G遠距診療推向基層醫療</strong></span></p> <p>響應政府推動遠距診療，遠傳電信近期和台灣社區醫院協會、中華民國診所協會全國聯合會簽署MOU，擬將5G遠距診療方案，推向基層醫療，鎖定社區慢性病患者及長照服務。</p> <p>衛福部即將推動「通訊診察治療辦法」修正草案，改善疫情期間視訊門診使用上的限制，也準備開放地區醫院以下及診所，能從遠距照護老年人、慢性病患者，此次與兩大基層醫療協會合作，向社區醫院、診所推廣5G遠距診療方案，包括採用雲端訂閱、按量收費的遠距診療平臺，強調醫生使用平板電腦就能開診，從預約掛號、報到、叫號、線上視訊看診到繳費，都能透過App完成。</p> <p>從2019年開始，遠傳電信就推廣5G遠距診療，結合5G網路的高速傳輸，使用數位五官鏡，超音波等設備，為病人檢查，讓遠方的專科醫生可和偏鄉衛生所醫護人員、病患共同視訊看診。遠傳指出，現在已連結15家醫院，涵蓋12個縣市35個偏鄉衛生所，服務超過8千人次。</p> <p> </p> <p>圖片來源／工研院、Vodafone、Bullitt、Telefónica</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多5G動態 </span></strong></span></p> <p><strong>1.中華電信與Nokia簽MOU，聯手布局Beyond 5G</strong></p> <p><strong>2.NTT DOCOMO與NEC完成基於AWS的5G SA核網與地端NFV的混合雲測試</strong></p> <p>資料來源：iThome整理，2023年2月</p> </div></div></div>
2023/3/1 17:06作者蘇文彬https://www.ithome.com.tw/news/155712
【資安月報】2023年2月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一個月的資安月報中，國內有多起資安事故，以及之前事件的後續調查結果公開，成為本月最受關切的焦點事件。</p> <p>以勒索軟體事件而言，飛宏科技<a href="https://www.ithome.com.tw/news/155461#%E9%A3%9B%E5%AE%8F">在10日傳出成為LockBit勒索軟體受害者</a>，當日我們檢視了RedPacket security、breachsense兩家資安業者自動爬取暗網資訊的頁面，確實有飛宏列為受害者組織的資訊，到了2月13日（周一）該公司在<a href="https://s4.itho.me/sites/default/files/images/202302%E9%A3%9B%E5%AE%8F.jpg">公開股市觀測站揭露網路資安事件公告</a>，說明資訊部門於第一時間即發現異常，並阻斷對外網路連結，當時評估對公司營運無重大影響。</p> <p>以百貨業資料外洩事件而言，我們在16日注意到微風向會員發送防詐簡訊並要用戶修改密碼，但未提及資安事件而察覺有異，且當日無法連上微風廣場的網站，<a href="http://www.ithome.com.tw/news/155613#微風">在21日進而發現</a>，有人在4日前於駭客論壇BreachForums聲稱竊取了微風百貨內部資料與90萬用戶個資。這次月底回顧本次事件，我們在此也整理後續消息，例如，隔天（22日）<a href="https://udn.com/news/story/7270/6988088">聯合報</a>、<a href="https://www.ettoday.net/news/20230222/2445851.htm">ETtoday新聞雲</a>等媒體跟進報導，指出微風說明近日收到匿名網路勒索信件，當下立即啟動損害機制，內部資安團隊已提高資安防護。在<a href="https://s4.itho.me/sites/default/files/images/202302%E5%BE%AE%E9%A2%A8.jpg">24日經濟部也對此事件發出公告</a>，表示調查小組在23日前往微風集團子公司微風數位時代公司進行行政調查，並要求業者個資防護自評、稽核檢查，釐清事故原因並改善，以及通知會員。</p> <p>以汽車租賃服務業者資安事件而言，有兩家業者先後傳出會員資料曝險的問題。受關注的是，經公路總局調查後，發現這些提供服務的業者，卻存在基本個資檔案安全維護與措施都不足的情形，且在要求限期改正後，複查仍未達到標準。</p> <p>首先，是1月底iRent資料庫曝險事件被揭露，<a href="https://www.ithome.com.tw/news/155446#iRent">公路總局</a>在<a href="https://s4.itho.me/sites/default/files/images/202302iRent.jpg">2月9日發布公告</a>，指出他們已確認該公司未依「個人資料保護法」與「汽車運輸業個人資料檔案安全維護計畫及處理辦法」採行基本的適當安全措施，且屆期未改正，罰款20萬，並要求2月28日前再提交複查資料。另一起事件，是<a href="https://www.ithome.com.tw/news/155404#格上">2月初有人向立委陳情表示發現格上租車也有用戶資料曝險問題</a>，因「GoSmart」App供用戶查詢自己租車單據的連結頁面，竟是公開且未加密保護，月底我們整理此事件時也注意到有新的後續消息，<a href="http://www.cna.com.tw/news/ahel/202302240305.aspx">根據中央社指出公路總局在24日的說明</a>，顯示格上汽車租賃公司同樣未盡基本適當安全措施，且屆期未改正，罰款10萬元，並要求3月10日前再提交複查。</p> <p>另外，還有兩起之前發生的資安事件，在本月揭露了後續的調查結果。包括：華航針對<a href="https://www.ithome.com.tw/news/155167">1月中的資料外洩事件</a>，<a href="https://www.ithome.com.tw/news/155498#華航">該公司在2月12日</a>於公開股市觀測站發布<a href="https://s4.itho.me/sites/default/files/images/202302%E8%8F%AF%E8%88%AA.jpg">重大訊息</a>，說明調查後發現電商平臺系統連線異常，有超過5千筆會員資料遭到存取。而在這次月底資安新聞回顧中，我們發現還有一件去年10月政府資安事故的調查結果出爐，<a href="https://s4.itho.me/sites/default/files/images/202302%E6%88%B6%E6%94%BF%E5%A4%96%E6%B4%A9.jpg">法務部調查局在24日公布</a>偵辦戶役政資料遭竊案的調查結果，證實外洩資料是107年4月以前的戶役政資料，但與戶役政系統原始資料有所出入，續查其他使用戶役政資料或介接機關則因為超過相關系統設備的稽核紀錄留存限制，無法繼續追蹤，但調查局從販售個資不法人士所使用的虛擬通貨錢包地址下手，掌握到該錢包地址為中國籍人士所有。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/155462"><span style="color: rgb(178, 34, 34);">【資安週報】2023年2月6日到2月10日</span></a></strong></h2> <p>這一周有三大漏洞值得優先關注，都發現已有攻擊並利用的情形，首先是檔案傳輸管理系統GoAnywhere被揭露存在RCE的零時差漏洞CVE-2023-0669，IT業者Fortra近日釋出修補，其次是Intel驅動程式CVE-2015-2291漏洞，這起利用老舊漏洞的威脅在1月已曝光，如今也被CISA列入限期修補行列，最後是存在於TerraMaster NAS的CVE-2022-24990漏洞，本周尚未提到可先留意盡速修補。其他漏洞修補方面，包括OpenSSH的CVE-2023-25136與OpenSSL的CVE-2023-0286。</p> <p>在國內，有兩起資安新聞受到關注，首先是近年轉型電動車充電樁業務的上市公司飛宏，在周四傳出疑似遭勒索病毒的消息，隔日媒體已經報導此事，駭客聲稱已掌握大量企業敏感資訊，當時我們也檢視了2家資安業者自動爬取暗網資訊的頁面，確實有飛宏成為LockBit受害者的資訊，截至11日（周六）上午，該公司尚未在公開股市觀測站發布資安事件重大訊息（補充更新：飛宏在2月13日上午近9時發布網路資安事件公告），此外本周還有英國郵務機關Royal Mail也遭LockBit攻擊的消息；另一事件是繼汽機車共享服務iRent後，格上租車的會員訂單資料被民眾發現可被人任意查詢，逾10萬筆PDF檔訂單文件存放於雲端空間，並無限制存取的權限管控設定。格上租車表示，尚未發現遭異常查詢或下載情形。</p> <p>在資安威脅態勢上，本土資安業者揭露在農曆新年期間，中國駭客組織APT41又再對臺灣組織發動攻擊，受害單位多數與政府有合作關係；近期安卓惡意軟體TgToxic攻擊增加，正針對臺灣等東南亞用戶；以及標榜避端點防毒及EDR偵測的惡意程式打包工具TrickGate被資安業者揭露。至於資安防護焦點中，有NIST公布針對物聯網與小型電子設備的Lightweight Crypto密碼學競賽結果，將採用Ascon演算法為標準。 </p> <h2><strong><a href="https://www.ithome.com.tw/news/155592"><span style="color: rgb(178, 34, 34);">【資安週報】2023年2月13日到2月18日</span></a></strong></h2> <p>這一周有5個漏洞遭鎖定利用的狀況需要優先因應，首先是微軟本周發布的產品安全公告中，有三個已遭鎖定利用的零時差漏洞，包括涉及Office的CVE-2023-21715、Windows的CVE-2023-23376、CVE-2023-21823漏洞，以及蘋果修補涉及WebKit的CVE-2023-23529漏洞，還有開源網路監控系統Cacti去年12月修補的CVE-2022-46169漏洞。其他留意的漏洞消息，還包括Adobe、思科、Citrix、Splunk與SAP等業者的產品修補公告，隨著這些業者持續積極修補漏洞，企業在留意這些消息之餘，也應該更積極規畫更新修補排程來主動減少弱點遭利用的可能性。</p> <p>在資安威脅重點方面，有國外資安業者揭露惡意軟體Frebniis攻擊行動，是鎖定臺灣組織而來，該惡意程式會針對IIS伺服器功能建立後門；以及又有資安業者揭露勒索軟體ESXiArgs攻擊的更多細節，還有殭屍網路Mirai出現新變種V3G4的消息。此外，還在持續發展的對話語言模型ChatGPT如今成為全球大眾焦點，引發許多研究人員示警被濫用的問題，還有智慧財產權等層面的關注。</p> <p>在資安事件焦點方面，包括Atlassian的第三方供應商遭駭而傳出資料外洩消息，A10 Networks傳出遭勒索軟體Play攻擊而資料外洩，在國內，也有華航在12日周日發布資安事件重大訊息，說明該公司電商平臺系統有5千多會員資料可能外洩。</p> <h2><strong><a href="https://www.ithome.com.tw/news/155684"><span style="color: rgb(178, 34, 34);">【資安週報】2023年2月20日到2月24日</span></a></strong></h2> <p>近期有三個漏洞遭駭客鎖定利用狀況受關注，首先是IBM於1月通知客戶修補Aspera Faspex的CVE-2022-47986漏洞，到了2月初與2月底，IBM與美國CISA均公布已有漏洞利用情形，而且IBM在17日將該漏洞CVSS評分從8.1提升至9.8分，另外兩個漏洞是Mitel網路電話系統MiVoice Connect的CVE-2022-41223、CVE-2022-40765漏洞。其他漏洞威脅消息，還有微軟一月修補的Windows備份服務漏洞CVE-2023-21752，傳出可能將被鎖定攻擊的情況。</p> <p>在資安威脅態勢的焦點上，包括有資安業者指出多款WAF可能存在CRLF漏洞，有資安研究人員揭露有攻擊者濫用GitHub Actions繞過自動化2FA達到NPM帳號接管；還有研究人員與資安業者陸續指出駭客正利用當紅的ChatGPT，冒名散布假冒的App與Windows版程式。此外，加密貨幣平臺Coinbase揭露員工帳密遭駭後攻擊者還企圖假冒該公司IT來電要騙取MFA，所幸及早察覺有異。同時也有不少資安業者陸續發布去年資安態勢的報告。</p> <p>而這一周的發生資安事件，有印度火車訂票系統RailYatri遭駭，大型資料中心GDS Holdings、ST Telemedia Global Data Centres的資料外洩事故，在國內，我們也發現百貨業者微風要會員更換密碼與內部資料出現於駭客論壇的消息，後續國內媒體跟進報導則顯示該業者收到勒索信並啟動損害機制。</p> <h2> </h2> <h3><a href="https://www.ithome.com.tw/news/155387">2023年1月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/155178">2022年12月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/154701">2022年11月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/154033">2022年10月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/153504">2022年9月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/152874">2022年8月資安月報</a></h3> <h3> </h3> </div></div></div>
2023/2/28 11:23作者羅正漢https://www.ithome.com.tw/news/155693
Meta新成立開發生成性AI的專門團隊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.facebook.com/story.php?story_fbid=pfbid0vvSykpAEXpHHaKKyWMZ423TCq3qQDKtLu7m4XiRfUEYRrxzwpdewh3yYepnc1Bsrl&id=4&mibextid=qC1gEa&_rdr" target="_blank">Meta執行長Mark Zuckerberg昨天（27）表示</a>公司成立生成性AI的開發團隊，以發展強化文字、圖片、影像能力以改善WhatsApp、Instagram（IG）、Messenger等服務的技術。</p> <p>Zuckerberg指出，這個新的頂級產品部門專注在發展生成性AI（generative AI），這是集結公司內多個團隊而成。短期目標而言，這個部門將開發創意性的表現工具，長期目標則是開發可多方面協助使用者的「AI人物」。他說，Meta將探索文字（如WhatsApp、Messenger的聊天工具）、圖像（如創意性的IG濾鏡和格式）以及影片和多模式能力，但在獲致未來性的體驗前，有很多底層工作要做。</p> <p>在此之前，Meta已大量裁員修正錯誤決策。去年11月Meta因應疫前超額增員，裁減超過1.1萬人，遍及元宇宙軟、硬體及各App部門。<a href="https://www.ithome.com.tw/news/155521" target="_blank">本月中媒體報導</a>，Mata疑似再裁減效能不佳、或是重要性降低的專案，並將拉抬優先專案及推動組織扁平化，以推升執行效率。</p> <p>在微軟、Google及新興業者如OpenAI相繼公布AI對話機器人後，AI顯然已成為Meta最重點任務。<a href="https://www.ithome.com.tw/news/155692" target="_blank">Meta上周公布AI大型語言模型LLaMA</a>（Large Language Model Meta AI），並預告將把LLaMA模型開放給AI研究社群，供研究人員進行不同領域研究。</p> </div></div></div>
2023/2/28 17:15作者林妍溱https://www.ithome.com.tw/news/155698
聯想展示可捲式螢幕的筆電、手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在<a href="https://www.ithome.com.tw/news/155071" target="_blank">今年初CES大會展示具創新螢幕的筆電</a>後，本周在世界通訊大會（Mobile World Congress，MWC）上，聯想又展示了兩款概念原型機，包括可收起並伸展螢幕的筆電，以及新款可伸縮螢幕的概念手機Razr。</p> <p>新的筆電使用的是類似ThinkBook筆電系列的機殼，具備12.7吋4:3螢幕。機身旁的按鈕按下，可使螢幕兩邊伸展出機架帶出更大的顯示面板，成為15.3吋8:9的大螢幕。類似2020年16.3吋的Thinkpad X1 Fold後，聯想希望以更大螢幕的筆電，支援程式開發人員、內容創作或多工等專業使用情境。目前這款筆電螢幕不支援觸控，但或許未來會再加入觸控能力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0228-0228-Lenovo%20demos%20laptop%20screen%20rolls-600-1.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／聯想</span></span></p> <p>聯想另外展示了同樣具可延伸螢幕的概念手機。它沿用早年神機Rizr，命名為Razr。按二次電源鍵可觸發螢幕由5吋15:9的尺寸伸長為6.5吋22:9。<a href="https://techcrunch.com/2023/02/27/motorolas-rizr-is-back-as-a-concept-phone-with-a-rollable-screen/" target="_blank">Techcrunch報導</a>，手機也可使用某些App下，在螢幕轉成橫式自動伸展。<a href="https://www.digitec.ch/en/page/motorola-rizr-lenovo-rolls-out-displays-on-smartphone-and-laptop-26643" target="_blank">媒體報導</a>，新概念手機有2個後向相機，但無前向式相機。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0228-0228-Lenovo%20demos%20rollable%20Razr%20phone%20-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／聯想</span></p> <p>聯想明顯希望Razr能再現Rizr的經典。聯想去年曾推出Razr折疊式手機，但僅在中國推出。</p> <p>不過不論是筆電或Razr手機，這兩款可捲螢幕裝置都還是概念機，最後不一定會推出市場。</p> </div></div></div>
2023/2/28 17:54作者林妍溱https://www.ithome.com.tw/news/155699
歐盟禁止政府員工裝置安裝TikTok
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼美國聯邦政府及多州政府以後，歐盟上周也以網路安全為由，<a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_23_1161" target="_blank">明令公務員公務及私人裝置不得使用Tiktok的行動應用程式</a>。</p> <p>歐盟執委會企業管理委員會決議，為防範歐盟網路環境遭安全威脅，公務用裝置及註冊歐盟行動服務的個人裝置，不得使用Tiktok應用程式。該委員會表示也會持續觀察其他社群平臺的安全性。</p> <p>該委員會指出，此舉乃遵循歐盟公務通訊用行動裝置的嚴格內部網路安全規範而設。委員會目的在確保員工免於網路威脅，為此必須及早防患未然，他們也要求員工在使用社交平臺遵循安全，並在日常作業保持警覺心。</p> <p>這是中國字節跳動（ByteDance）在歐美市場遭到行政部門的最新打擊。<a href="https://www.ithome.com.tw/news/154651" target="_blank">美國參議院去年12月通過</a>聯邦政府員工公務裝置禁用Tiktok的法令。而在州層級上，則已有南卡羅來納、南達科塔、<a href="https://www.ithome.com.tw/news/154651" target="_blank">德州、印第安那州及馬里蘭州</a>頒布類似的禁令。</p> <p><a href="https://www.ithome.com.tw/news/155307" target="_blank">Tiktok執行長周受資預定</a>3月底將出席美國眾議院能源和商業委員會聽證會說明其隱私及安全作法，以解決美政府對該公司的疑慮。</p> </div></div></div>
2023/2/28 18:10作者林妍溱https://www.ithome.com.tw/news/155700
小米展示新AR眼鏡，具變色鏡片、支援手勢控制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在世界通訊大展（mobile world congress，MWC）上，小米展示了最新擴增實境（augmented reality，AR）眼鏡，讓使用者以手勢控制家中照明及抓放虛擬物件。</p> <p><a href="https://twitter.com/leijun/status/1630024923035979780" target="_blank">小米執行長雷軍昨（27）日指出</a>新的小米無線AR眼鏡Discovery版（Xiaomi Wireless AR Glass Discovery Edition）具備低延遲無線連網及「Retina等級」近眼顯示器，以及小米AR手勢控制功能，將開啟無線AR時代。</p> <p>新AR眼鏡採用鋰鎂合金機架及碳纖維元素，以及更輕量的矽氧電池，重僅126公克。最高1200-nit的OLED顯示器具備FHD解析度，電致變色（electrochromic）鏡片可在VR情境時轉成全黑，而省去競爭VR產品外殼的需求。小米指出，新AR眼鏡使現實與虛擬界線得以模糊。</p> <p>和Meta的Quest Pro一樣，這款AR眼鏡採用高通Snapdragon XR2+ Gen 1平臺，並支援Snapdragon Spaces XR平臺，賦予了低影音延遲性。此外，連結手機也更簡單，只要以手機貼近鏡架點一下即可完成藍牙配對。</p> <p><a href="https://twitter.com/xdadevelopers/status/1630040775718322176" target="_blank">根據XDA Developer報導</a>，Discovery Edition具備3顆前向式相機，其精準空間偵測使其可用於AI手勢控制，讓使用者可以移動或調整虛擬物件大小、以拇指空中翻書頁、將影片從電視抓到眼鏡螢幕上，或是以手指捏一下來關閉智慧電燈。</p> <p>Discovery版小米無線AR眼鏡目前還是原型，推出日期及價格未定。</p> </div></div></div>
2023/2/28 16:55作者林妍溱https://www.ithome.com.tw/news/155696
【資安週報】2023年2月20日到2月24日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期有三個漏洞遭駭客鎖定利用狀況受關注，首先是IBM於1月通知客戶修補Aspera Faspex的CVE-2022-47986漏洞，到了2月初與2月底，IBM與美國CISA均公布已有漏洞利用情形，而且IBM在17日將該漏洞CVSS評分從8.1提升至9.8分，另外兩個漏洞是Mitel網路電話系統MiVoice Connect的CVE-2022-41223、CVE-2022-40765漏洞。其他漏洞威脅消息，還有微軟一月修補的Windows備份服務漏洞CVE-2023-21752，傳出可能將被鎖定攻擊的情況。</p> <p>在資安威脅態勢的焦點上，包括有資安業者指出多款WAF可能存在CRLF漏洞，有資安研究人員揭露有攻擊者濫用GitHub Actions繞過自動化2FA達到NPM帳號接管；還有研究人員與資安業者陸續指出駭客正利用當紅的ChatGPT，冒名散布假冒的App與Windows版程式。此外，加密貨幣平臺Coinbase揭露員工帳密遭駭後攻擊者還企圖假冒該公司IT來電要騙取MFA，所幸及早察覺有異。同時也有不少資安業者陸續發布去年資安態勢的報告。</p> <p>而這一周的發生資安事件，有印度火車訂票系統RailYatri遭駭，大型資料中心GDS Holdings、ST Telemedia Global Data Centres的資料外洩事故，在國內，我們也發現百貨業者微風要會員更換密碼與內部資料出現於駭客論壇的消息，後續國內媒體跟進報導則顯示該業者收到勒索信並啟動損害機制。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/155597"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月20日】WordPress網站被植入廣告詐欺外掛程式、駭客組織使用13種語言發動商業郵件詐騙攻擊</span></strong></a></h3> <p>有人利用50個WordPress網站來進行廣告詐欺攻擊！其共通點是駭客在這些網站植入名為fuser-master的惡意外掛程式，導致使用者在瀏覽網站的時候，該外掛程式元件就會利用另一個在背景運作的瀏覽器視窗偷偷地「瀏覽」廣告，使用者完全不知情遭到利用。</p> <p>駭客假冒高階主管進行商業郵件詐騙的情況不時有事故傳出，但如今有人也一口氣將詐騙郵件轉換成不同語言的版本，來針對全球各地的企業下手。</p> <p>曾經使用但已過期的網域名稱，有可能成為攻擊者入侵軟體套件庫的弱點！有資安業者針對特定熱門NPM套件進行研究，並認為這樣的情況並非個案，呼籲開發團隊要提高警覺。</p> <h3><a href="https://www.ithome.com.tw/news/155613"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月21日】葡萄牙自來水公司傳出遭到勒索軟體LockBit攻擊、加密貨幣平臺Coinbase員工帳密遭駭</span></strong></a></h3> <p>又有自來水公司成為駭客鎖定的目標！葡萄牙自來水公司Aguas do Porto在1月底遭到網路攻擊，現在有駭客組織表示是他們的犯行。而針對自來水公司的攻擊行動已有前例──<a href="https://www.ithome.com.tw/news/142729">2年前，美國佛州奧德馬爾（Oldsmar）市的淨水廠遭駭</a>，水中的氫氧化鈉濃度差點被調高111倍。</p> <p>2月初半導體業者MKS Instruments遭到勒索軟體攻擊，當時該公司表示受害規模有待釐清，如今從其他合作廠商的財報揭露當中，間接呈現了損失情況。</p> <p>駭客鎖定員工下手，企圖存取企業內部環境的情況再度發生。加密貨幣平臺Coinbase揭露該公司員工遭到鎖定的釣魚郵件攻擊，然而，有人已依照指示提供對方所需的帳密資料，結果差點讓駭客得逞。</p> <h3><a href="https://www.ithome.com.tw/news/155635"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月22日】新加坡與中國的大型資料中心用戶帳密遭竊、殭屍網路MyloBot每天感染逾5萬臺電腦</span></strong></a></h3> <p>大型資料中心GDS Holdings、ST Telemedia Global Data Centres傳出自2021年下旬，遭駭客盯上，竊得兩家公司逾2千個使用者帳號。彭博社指出，這樣的資安事故很可能波及蘋果、微軟、高盛、Walmart、阿里巴巴等全球大型企業。</p> <p>研究人員揭露殭屍網路MyloBot近期的攻擊行動，並指出一天平均有5萬臺電腦遭到感染，且有部分受害電腦難以追查，實際遭到該殭屍網路入侵的電腦可能會更多。</p> <p>蘋果於1月底推出iOS 16.3、macOS 13.2，但有兩個漏洞最近才公布有關說明。值得留意的是，這些漏洞可破解蘋果對於ForcedEntry漏洞提出的緩解措施，後續影響有待觀察。</p> <h3><a href="https://www.ithome.com.tw/news/155652"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月23日】研究人員找到WAF可被繞過的盲點、駭客假借提供ChatGPT應用程式的名義散布惡意軟體</span></strong></a></h3> <p>有研究人員在為客戶進行展示的過程中，無意間發現了Akamai網頁應用程式防火牆（WAF）的換行字元（CRLF）注入漏洞，而能突破防火牆規則，對網站發動跨網站指令碼（XSS）攻擊。值得留意的是，研究人員認為其他廠牌的WAF也多半存在類似漏洞。</p> <p>機器學習語言模型ChatGPT正紅，駭客也看上這樣的情況，用來對電腦與手機用戶，散布多種惡意軟體，甚至想要竊取信用卡資料。</p> <p>上個月微軟修補了Windows備份服務漏洞CVE-2023-21752，如今傳出駭客正在分析概念性驗證程式碼，打算將漏洞用於攻擊行動的情況。</p> <h3><a href="https://www.ithome.com.tw/news/155663"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月24日】1.5萬個NPM套件含有網釣URL連結、逾4成企業2022下半發現Log4Shell相關攻擊</span></strong></a></h3> <p>自動化大量上傳惡意套件的攻擊行動再度出現！最近有人在數個小時上架超過1.5萬個NPM套件，其共通點是包含網釣網站的連結，而且，駭客為了取信受害者，還在這些網站上顯示假的用戶評論。</p> <p>在2021年底揭露的漏洞Log4Shell，當時就有資安專家認為該漏洞難以修補，而有可能成為駭客偏好的目標，如今有研究報告印證了這樣的推測──去年下半超過4成企業遭到相關漏洞攻擊。</p> <p>隨著居家工作普及，針對員工下手來取得入侵企業的管道也不時有事故發生。對此，美國國家安全局也提出警告，並發布相關的防護指南。</p> </div></div></div>
2023/2/28 09:00作者羅正漢https://www.ithome.com.tw/news/155684
華爾街日報母公司集團遭駭長達兩年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mass.gov/doc/assigned-data-breach-number-29073-news-corporation/download" target="_blank">持有《華爾街日報》的新聞集團（News Corp）上周指出</a>，曾在三年前連續遭駭長達2年，直到去年初才被發現。而這起事件導致包括員工或合作夥伴的醫療及銀行帳戶等敏感資訊外洩。</p> <p>澳洲媒體大亨梅鐸（Rupert Murdoch）及21世紀福斯共同持股的新聞集團，旗下事業包含《華爾街日報》、《紐約郵報》、英國《太陽》、《泰晤士報》、澳洲《每日電訊》、《先鋒太陽報》、電視頻道《福斯新聞》，及澳洲Sky News及道瓊公司（Dow Jones）等。<a href="https://www.ithome.com.tw/news/149214" target="_blank">去年年初新聞集團簡單公告公司遭到網路攻擊</a>，不過並未說明何種系統或資料被入侵，只表示儲存客戶及財務資料的系統未受影響。</p> <p>本周該集團提供進一步說明，並通知受影響人員。2020年2月到2022年1月一個未經授權的第三方組織得以經由少數人員的帳號，存取某些業務文件和電子郵件。該公司指出，入侵活動並非針對個資而來，該公司也未接獲相關的身分盜竊詐欺通報，但是調查顯示遭存取的文件中包含部分人員個資。</p> <p>可能外洩的個資包含用戶姓名、出生日期、駕照、護照、社會安全碼、金融帳號、醫療及健保資訊，但不是每個人上述資訊都受影響。</p> <p>新聞集團也強調已採取行動遏止災害擴大，此後，沒有證據顯示公司系統還持續被不法存取。新聞集團已對受影響的人士提供一年的信用盜竊監控服務。</p> </div></div></div>
2023/2/27 16:27作者林妍溱https://www.ithome.com.tw/news/155691