iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 26篇
近 24 小時: 26篇
近 7 天: 141篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 18:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 140 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

支援多種MFA，Awingu提供安全存取程式與檔案的網站入口
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/awingu-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為期超過三年的COVID-19疫情，居家辦公與混合辦公崛起，不僅支援多人協同作業的雲端服務走紅，也替提供遠端存取服務的IT應用帶來龐大商機，為此，這幾年以來，臺灣有些代理商陸續引進新的遠端安全存取解決方案，例如，去年4月，我們報導由瀚錸科技代理的remote.it，現在要介紹的是另一款由台灣二版代理的Awingu。</p> <p>其開發商Awingu是在2011年成立，總部在比利時的根特市，<a href="https://www.alludo.com/en/newsroom/press-releases/20220613-corel-acquires-awingu/?_gl=1*71xyrf*_ga*NzE4NjUwOTE2LjE2ODQ1MDg3MDk.*_ga_CEVYC7924W*MTY4NDUwODcwOS4xLjEuMTY4NDUwOTg4OS4yMC4wLjA.">2022年6月Core公司將他們買下</a>，預計將其併入2018年買下的Parallels品牌——該公司最知名的產品是個人電腦虛擬化軟體Parallels Desktop，也擁有支援多人遠端桌面存取服務的Remote Application Server（RAS），Core希望將Awingu結合RAS，提供可從任何裝置、隨時隨地皆可安全進行工作的單一登入存取平臺，並且能涵蓋傳統與雲端原生應用程式，以及檔案的存取。而在這一年的9月，Corel公司宣布改名為Alludo（可念為All You Do），Parallels名列此公司旗下的10大品牌，下轄Awingu、Parallels RAS、Parallels Desktop，到了12月，Awingu宣布推出最新版5.4。</p> <p>今年3月，台灣二版透過線上研討會形式正式對臺灣市場介紹Awingu，我們也得以一窺這套解決方案的特色。基本上，Awingu有點像VMware Workspace ONE的前身Airwatch，但它不涉及行動裝置管理（MDM）、統一端點管理（UEM）等使用者端設備管理，而是偏重在應用程式與檔案的傳遞／交付（delivery）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Awingu-Demo-Workspace.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awingu-Demo-Workspace.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Awingu-Demo5-App sessiion.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awingu-Demo5-App%20sessiion.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Awingu-Demo-Files.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awingu-Demo-Files.jpg" style="width: 600px;" /></a></p> <p>就操作方式而言，Awingu更像僅聚焦在應用程式虛擬化（Application Virtualization）或遠端存取應用程式功能（Remote Application）的這類產品或雲端服務，像是：VMware Horizon Apps、微軟Azurer Remote App（2017年8月終止服務），或是前身為Citrix Virtual Apps and Desktops service的Citrix DaaS。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/awingu-chart.jpg" style="width: 600px;" /></p> <p>而在系統建置的部分，比起上述類型的軟體型態解決方案，Awingu僅需在公司內部網路或公有雲的私有雲內部，架設虛擬應用設備作為轉接連線的閘道，員工僅需透過個人電腦的瀏覽器存取單一網站入口，即可透過RDP、CIFS、LDAP等常見的標準通訊協定，安全地連至運作在這些環境的各種新舊型應用系統與檔案儲存服務進行存取，而不需仰賴傳統VPN這類設定較為複雜的加密網路通道服務，或在個人電腦額外安裝個人端加密連線軟體。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2020-11-Awingu-take-over-pc-rooms-education.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-11-Awingu-take-over-pc-rooms-education.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AAASv2NOTITLE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AAASv2NOTITLE.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/WAASv2NOTITLE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WAASv2NOTITLE.jpg" style="width: 298px;" /></a> </p> <p>在網路連線串流的負載能力上，一臺Awingu虛擬應用設備最多可同時承擔500個RDP連線階段（至少需配置8顆虛擬處理器與8GB記憶體的資源），若需要支撐更大量的連線存取需求，原廠建議可設置3臺虛擬應用設備來處理。</p> <p>若需承擔超過100位的重度負載用戶同時上線存取——每人開啟3個RDP串流連線、10個連至反向代理的網站應用程式存取活動，以及每小時處理多個檔案，此時，可設置多臺Awingu虛擬應用設備節點組成叢集，以便分攤工作（原廠建議單一叢集的節點最好不要超過8臺），而在多臺節點並行的狀態下，會區分為3種角色：前端（負責RDP與檔案存取活動）、後端（負責稽核）、資料庫（存放Awingu組態、稽核記錄以外的資料）。</p> <p>如果要承擔超過200位用戶同時上線或為了具備高可靠性（HA）預防此項服務停擺，企業至少需建置3臺節點與外部資料庫，此時也能設置外部負載平衡器。</p> <p>在頻寬用量上，台灣二版表示，相較於市面上其他遠端應用程式串流存取產品，Awingu算是相當輕量，每個應用程式存取連線需要80 Kbps到100 Kbps（上傳與下載），存取延遲可低於350毫秒，甚至能低於60毫秒。</p> <p>相較於現行的各種遠端存取應用程式與檔案服務，Awingu最大特色是同時提供單一登入整合（SSO），以及多因素身分驗證（MFA）。以前者而言，可整合AD、LDAP，支援的身分來源（IDP），包含ADFS、Azure AD、Google ID等，它們都是支援SAML v2或OpenID Connect。若使用SAML來驗證，此時還可通過上述基礎IDP驗證後，再進行中介IDP的驗證，例如能搭配另一家資安廠商Opswat的產品來查驗身分，以策安全。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Awaingu-preauthentication.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awaingu-preauthentication.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Awingu4_3-SSO0.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awingu4_3-SSO0.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Awingu4_3-SSO1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awingu4_3-SSO1.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Awaingu-preauthentication2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awaingu-preauthentication2.jpg" style="width: 600px;" /></a></p> <p>而在MFA的部分，Awingu可支援雜湊訊息認證碼、基於計數器而更動認證因子的動態密碼（HMAC-based One-time Password，HOTP），或基於時間而成的動態密碼（Time-based One-time Password，TOTP）。</p> <p>目前可提供這類身分認證的軟體工具選擇不少，以手機App而言，最知名的有Microsoft Authenticator、Google Authenticator，資安廠商Sophos、雲端通訊服務業者Twilio也提供這類軟體，前者有Sophos Authenticator，後者推出可安裝在Windows、Linux、macOS的Authy，這些均可用於Awingu。</p> <p>除此之外，Awingu也支援智慧卡，目前已測試通過4種：比利時電子身分證（eID）、荷蘭Dutch UZI pass、義大利InfoCert Business Key、歐洲Isabel SmartCard。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Awingu-MFA-back.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awingu-MFA-back.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Awingu-MFA-front1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awingu-MFA-front1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Awingu-MFA-front2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awingu-MFA-front2.jpg" style="width: 298px;" /></a></p> <p>而在能夠進行遠端存取的應用程式上，Awingu目前支援串流及網站等兩種類型，前者可囊括RDP應用程式、桌面應用程式（非指令型應用程式）、遠端應用程式（RDP協定的延伸），後者則有網站應用程式與套用反向代理的網站應用程式。管理者若要將這些應用程式納入Awingu，可手動透過網頁介面逐一設定，或匯入CSV檔而能一次設定多個應用程式。若要自動安裝、設定、管理，Awingu也提供REST API。</p> <p>關於一般使用者的遠端存取操作與管理功能，Awing還提供多個實體螢幕對應多個瀏覽器視窗的配置、應用程式連線階段列印（虛擬印表機）、應用程式連線階段畫面共享，以及使用全程的稽核記錄（Application Recording，錄製檔案可存放在Awingu虛擬應用設備的本機硬碟，或是管理者定義的後端伺服器）。</p> <p>在稽核記錄的收集上，Awingu可涵蓋的範圍相當廣泛，包括：使用者、應用程式、網站應用程式、共享應用程式、身分來源等連線階段，應用程式閘道、檔案存取動作（透過Awingu網站入口操作的檔案），以及各種異常活動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Awingu-Application Recording0.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awingu-Application%20Recording0.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Awingu-Application Recording.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awingu-Application%20Recording.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Awaingu-recording-App.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/Awaingu-recording-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awaingu-recording-web.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Awaingu-recording-App sessions.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awaingu-recording-App%20sessions.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Awaingu-recording-shared App session.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awaingu-recording-shared%20App%20session.jpg" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Awingu 5.4</strong><br /> ●代理商：台灣二版<br /> ●建議售價：同時上線帳號1年訂閱授權，最低需購買20個授權，每個授權為4,262元<br /> ●建置方式：需設置虛擬應用設備，系統需求為2顆vCPU、4 GB記憶體、80 GB硬碟空間<br /> ●虛擬應用設備支援平臺：微軟Hyper-V 2016與2019、VMware ESXi 6.5至7.0、KVM、Citrix Hypervisor 8.2、AWS Amazon EC2、微軟Azure、Google Compute Engine<br /> ●支援資料庫系統：微軟SQL Server 2016、2017、2019，PostgreSQL 9.4以後版本</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/5/19 23:10作者李宗翰https://www.ithome.com.tw/review/155887
1Password推出通行密鑰無密碼登入解決方案Passage
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>密碼管理器開發商1Password積極支援通行密鑰（Passkey）技術，除了<a href="https://www.ithome.com.tw/news/155482">密碼管理器逐漸轉向通行密鑰無密碼驗證方式</a>外，現在還推出通行密鑰登入解決方案<a href="https://blog.1password.com/passage-by-1password/">Passage</a>，供企業在應用程式和網站中提供無密碼登入支援。</p> <p><a href="https://www.ithome.com.tw/news/150793">通行密鑰受Google、蘋果與微軟，從作業系統和瀏覽器上大力支援</a>，讓使用者可以不需要輸入密碼，就能夠快速登入網站和應用程式。通行密鑰提供了一種比傳統密碼還簡單且安全的登入方法，可以有效降低暴力破解或是網路釣魚等攻擊風險。</p> <p>藉由通行密鑰，應用程式或網站讓使用者在自己受信任的裝置上，以生物識別技術進行身分驗證，像是iPhone的Touch ID或Windows Hello，就能夠方便登入。通行密鑰無密碼登入方法具有許多優點，包括能夠大幅提升使用者體驗，使用者不再需要記住或是輸入密碼，使用慣用裝置就能簡單地進行身分驗證。</p> <p>另外，安全性更是一大重點，除了可以避免特定網路安全風險外，因為應用程式和網站不再需要儲存用戶密碼，因此即便資料洩漏，攻擊者也無法取得登入機密，進而提升整體系統安全性。</p> <p>但通行密鑰無密碼驗證系統的建置，比傳統密碼登入系統還多了一些額外複雜性，企業需要處理平臺相容性、帳戶恢復等問題，而1Password透過提供Passage服務，試圖降低用戶添加無密碼身分驗證的障礙，官方表示，Passage用戶只要添加兩行程式碼，就能夠在網站和應用程式提供無密碼登入功能。</p> <p>Passage包含Passkey Complete和Passkey Flex兩種方案。Passkey Complete適合想完全拋棄傳統密碼的企業，Passkey Complete可以取代企業現有登入流程的解決方案，不需要使用自家身分驗證基礎設施，並預設提供通行密鑰登入，同時也能夠支援其他無密碼驗證方法，以及帳戶恢復功能。Passkey Complete還能儲存用戶和身分驗證資料，扮演身分提供者（IdP）的角色。</p> <p>1Password推出的另一項服務是Passkey Flex，向無法完全使用無密碼登入的企業，提供一個過渡解決方案，Passkey Flex同時提供通行密鑰、傳統密碼和各種身分驗證方法，通行密鑰僅作為一種登入方法的選擇，企業可以在走向完全無密碼登入之前，嘗試向自家使用者提供無密碼登入體驗。</p> <p>目前Passkey Complete和Passkey Flex都已進入公開測試階段，供使用者整合到自家系統中，提供無密碼登入功能。</p> </div></div></div>
2023/5/19 19:22作者李建興https://www.ithome.com.tw/news/156957
【資安日報】5月19日，臺灣4月上旬出現惡意郵件、惡意軟體攻擊翻倍爆增的情況
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國不斷對臺灣文攻武嚇，連帶對臺的網路攻擊也出現增加的現象。其中資安業者Trellix揭露2起發生在4月上旬的大規模攻擊行動，駭客在短短的2至3天之內，對臺灣散布較往常多出數倍的惡意郵件、惡意軟體，且針對各行各業而來，而使得他們公布他們看到的釣魚郵件內容，提醒我國民眾要多加留意。</p> <p>蘋果再度修補零時差漏洞，值得留意的是這次的範圍不光是手機、平板、Mac電腦，亦涵蓋手錶、Apple TV等裝置。由於這些漏洞已被用於攻擊行動，使用者應儘速升級新版作業系統。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.trellix.com/en-us/about/newsroom/stories/research/china-taiwan-tensions-spark-surge-in-cyberattacks-on-taiwan.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣在4月上旬遭到中國駭客惡意郵件、惡意軟體攻擊爆增</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/china-taiwan-tensions-spark-surge-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/china-taiwan-tensions-spark-surge-4.jpg" style="width: 300px; float: right;" /></a>資安業者Trellix提出警告，隨著臺海的緊張情勢不斷升溫，他們在最近幾個月觀察到中國對於臺灣的網路攻擊明顯增加，其中包含了惡意郵件和惡意軟體的態勢變化。</p> <p>針對惡意郵件的部分，研究人員在4月7日至10日，發現攻擊臺灣的此類郵件數量爆增為4倍，且有別於平時駭客偏重於IT產業、製造業、物流業，這段時期駭客廣泛對於各種產業發動攻擊。此外，他們也在1月最後1週看到針對臺灣政府官員的惡意郵件暴增了30倍，但不確定是否為中國資助的駭客所為。</p> <p>而針對惡意軟體的部分，研究人員看到PlugX的攻擊行動於4月10日至12日，較平時激增15倍，此外他們也發現其他針對臺灣的惡意軟體攻擊行動，這些惡意軟體包括了Kryptik、Zmutzy，以及Formbook等。</p> <p><a href="https://25608397.fs1.hubspotusercontent-eu1.net/hubfs/25608397/Report-Dark-Web-Threats-Against-The-Energy-Industry.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客兜售能源組織的工控與OT系統的初始存取管道</span></strong></a></p> <p>資安業者Searchlight Cyber指出，他們自2022年2月至2023年2月，在網路犯罪論壇、黑市的討論區裡，發現許多能夠存取能源機構的初始入侵資訊，這些存取目標組織的管道包含了遠端桌面連線（RDP）、外洩的帳密資料，以及網路設備的漏洞等，根據目標組織的規模、地點、發動供應鏈攻擊的難度，買家開價從20美元至2,500美元不等。這些能源組織包含了美國、加拿大、英國、義大利、法國、印度的石油、天然氣、再生能源業者。</p> <p>値得留意的是，雖然大部分是針對目標組織的IT環境而來，但研究人員指出，他們看到有專門針對工控系統（ICS）及操作科技（OT）環境而來的攻擊資訊，這些兜售的資料包括了物聯網搜尋引擎Shodan的搜尋結果、漏洞利用的資訊，甚至能讓攻擊能力不強的駭客入侵這類系統。</p> <p><a href="https://www.secureworks.com/research/the-growing-threat-from-infostealers"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">地下市集兜售的事件記錄資料激增670%</span></strong></a></p> <p>資安業者Secureworks揭露竊資軟體攻擊氾濫的現象，他們在駭客兜售竊得個資的地下市集Russian Market、Genesis Market、2easy等管道進行觀察，結果發現規模最大的Russian Market，從2022年6月200萬筆求售的事件記錄資料，在2023年2月下旬已超過500萬筆，研究人員指出，該市集在2年的時間裡，刊登出售的事件記錄資料的數量成長約670%。</p> <p>這些資料主要是透過Racoon、Vidar、RedLine等竊資軟體偷到，但自2022年12月開始，也有少部分資料是來自名為RisePRO的竊資軟體。</p> <p>此外，由於美國聯邦調查局（FBI）於今年4月開始掃蕩Genesis Market，有不少買家改以加密通訊軟體Telegram出售竊得的事件記錄資料。</p> <p><a href="https://news.sophos.com/en-us/2023/05/17/fleecegpt-mobile-apps-target-ai-curious-to-rake-in-cash/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客假借ChatGPT名義散布騙錢軟體FleeceGPT</span></strong></a></p> <p>資安業者Sophos揭露駭客假借提供ChatGPT聊天機器人名義的攻擊行動FleeceGPT，駭客號稱他們提供的手機App，採用了ChatGPT演算法，但實際上是透過原本ChatGPT是免費的功能，企圖要使用者付費，進而達到騙錢的目標。</p> <p>其中一款安卓版名為Chat GBT、iOS版名為Ask AI Assistant的FleeceGPT軟體，3月份就騙走了1萬美元，另一款名為Genie的騙錢軟體，過去1個月更是騙走100萬美元。研究人員提出警告，雖然他們通報後Google、蘋果已下架上述的FleeceGPT騙錢軟體，但如果使用者不慎付錢訂閱付費功能，也要進行取消才不會一直被扣款。</p> <p><a href="https://www.trendmicro.com/en_us/research/23/e/lemon-group-cybercriminal-businesses-built-on-preinfected-devices.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">近9百萬臺安卓裝置恐預載了惡意軟體Guerrilla</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure3-black-hat-lemon-group-monetizing-preinfected-mobile-devices.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure3-black-hat-lemon-group-monetizing-preinfected-mobile-devices.png" style="width: 300px; float: right;" /></a>資安業者趨勢科技於今年黑帽大會亞洲場（Black Hat Asia 2023）上，揭露可能會影響數百萬臺安卓裝置的攻擊行動，這些裝置的ROM被預先載入了惡意軟體，而使得駭客能藉由用戶的簡訊、社群網站帳號來牟利，或是向用戶發送廣告甚至是在背景利用裝置來進行點擊詐欺活動。而他們在1個星期後公布了更多細節。</p> <p>發起這個攻擊行動的背後主使是名為Lemon Group的駭客組織，他們約自2018年，開始利用惡意軟體Guerrilla發動攻擊，一旦含有此惡意軟體的安卓裝置啟動，就會載入駭客的下載程式zygote，進而下載、執行其他的功能模組。例如，可從簡訊攔截WhatsApp、臉書、購物應用程式京東的動態密碼，或是針對瀏覽器Cookie、即時通訊軟體WhatsApp進行攔截的功能模組──這些模組有可能冒用使用者的名義來發送廣告。此外，攻擊者還可以藉此在背景派送其他App的安裝程式。</p> <p>研究人員指出，他們在黑帽大會公布此事時，約有近900萬臺裝置遭到駭客入侵，這些裝置遍布全球逾180個國家，且有超過半數是在亞洲，雖然這些裝置大部分是手機，但也有智慧電視、電視盒、兒童手表等。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/apple/apple-fixes-three-new-zero-days-exploited-to-hack-iphones-macs/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果發布iOS 16.5、macOS Ventura 13.4，修補3個已出現攻擊行動的WebKit零時差漏洞</span></strong></a></p> <p>5月18日蘋果針對旗下的行動裝置、電腦、穿戴裝置發布iOS 16.5、iPadOS 16.5、macOS Ventura 13.4、tvOS 16.5、watchOS 9.5等作業系統更新，並對於舊版macOS作業系統提供Safari 16.5，當中修補了3項已出現攻擊行動的零時差漏洞，分別是可被用於突破網頁內容沙箱CVE-2023-32409、資訊洩露漏洞CVE-2023-28204，以及可被用於執行任意程式碼的CVE-2023-32373。</p> <p>值得留意的是，這些漏洞都與Safari瀏覽器的網頁排版引擎WebKit有關，影響層面相關廣泛。附帶一提，若是iPhone、iPad、Mac電腦用戶在本月初安裝了快速安全回應（Rapid Security Response）更新，當中已修補CVE-2023-28204與CVE-2023-32373。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/cisco-warns-of-critical-switch-bugs-with-public-exploit-code/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">思科交換器出現重大漏洞，可被用於遠端執行任意程式碼</span></span></strong></a></p> <p><a href="https://github.com/vdohney/keepass-password-dumper"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">開源密碼管理器KeePass出現漏洞，攻擊者有可能藉此取得主控密碼</span></span></strong></a></p> <p><a href="https://www.securityweek.com/teltonika-vulnerabilities-could-expose-thousands-of-industrial-orgs-to-remote-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Teltonika Networks工控LTE路由器存在漏洞，若不修補恐成為駭客入侵企業的管道</span></span></strong></a></p> <p><a href="https://ccdcoe.org/news/2023/the-nato-ccdcoe-welcomes-new-members-iceland-ireland-japan-and-ukraine/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">烏克蘭、愛爾蘭、日本、冰島加入北約網路防禦卓越中心</span></span></strong></a></p> <p><a href="https://www.linkedin.com/posts/yelisey-bohuslavskiy-214a02bb_royal-ransomware-apt-activity-7064301345599565824-EwaW/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體Royal著手打造惡意軟體載入工具</span></span></strong></a></p> <p><a href="https://www.group-ib.com/blog/qilin-ransomware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體Qilin改以程式語言Rust開發，鎖定教育、醫療、金融產業而來</span></span></strong></a></p> <p><a href="https://www.trendmicro.com/en_us/research/23/e/water-orthrus-new-campaigns-deliver-rootkit-and-phishing-modules.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體CopperStealer透過Chrome瀏覽器外掛程式散布，盜走受害者的加密貨幣</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156942">【5月18日】要求受害組織作公益的勒索軟體再度出現，這次是鎖定Zimbra郵件系統而來</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156930">【5月17日】駭客利用Go語言開發的Cobalt Strike發動攻擊的情況升溫</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156905">【5月16日】財政部電子發票平臺驚傳資安漏洞，恐曝露上市櫃公司營業資料</a></strong></p> </div></div></div>
2023/5/19 16:00作者周峻佑https://www.ithome.com.tw/news/156961
OpenAI在蘋果App Store正式上架ChatGPT，目前僅限美國地區
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI於昨日（18日）<a href="https://openai.com/blog/introducing-the-chatgpt-app-for-ios">宣布</a>在蘋果App Store上推出官方的ChatGPT應用程式。憑藉這個應用程式，使用者可以更簡單地利用行動電話就與ChatGPT進行對話，以獲得資訊、娛樂、創作靈感，或是處理日常工作任務，同時，可以同步ChatGPT網頁版的歷史紀錄。</p> <p>在ChatGPT上市六個月後，其應用程式緊接著發佈，它免費且目前沒有廣告，也整合了OpenAI 開源的語音轉換文字技術Whisper，能透過語音輸入使用。而ChatGPT Plus的訂閱者可以享受與網頁版本Plus相似的功能，如GPT-4、提早使用新功能，以及更快的回應時間。此訂閱功能於2月推出，需付20美元月費。</p> <p>同樣在這周，OpenAI的CEO才於國會為AI將對社會可能帶來的風險做保證，他將當前的科技繁榮描述為可能像是過去印刷機為文藝復興以及社會帶來的變革（printing press moment），但也強調了需要相應的保護措施。</p> <p>此應用程式首先在美國推出，並計畫於未來幾周內推展到其他國家。OpenAI的部落格中說「我們很期待看到用戶如何使用該應用程式。在收集用戶反饋的同時，我們承諾將持續改進ChatGPT的功能和安全性。」OpenAI也指出了未來也將很快為Android設備推出ChatGPT應用程式。</p> <p>據《The Verge》<a href="https://www.theverge.com/2023/5/18/23728703/openai-chatgpt-app-ios">報導</a>，在手機使用Open AI的相關服務過去一直是微軟Bing的應用程式，因此官方ChatGPT應用程式的上市很可能分散本來使用Bing和Edge的部分用戶。它的推出也預計能阻止人們在手機誤裝聲稱聊天機器人卻是詐騙或是假的應用程式。</p> <p>然而同樣地，ChatGPT手機版和網頁版一樣也存在安全問題，即使Open AI已經於4月表達作出改善，例如每個人都能夠自己選擇將資料關閉不參與演算法，也就是說OpenAI將會是合法拿到資料做處理以訓練ChatGPT。</p> </div></div></div>
2023/5/19 11:38作者洪予揚https://www.ithome.com.tw/news/156954
蘋果修補3個已遭攻擊的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.apple.com/en-us/HT201222" target="_blank">蘋果本周四（5/18）釋出安全更新</a>，修補旗下平臺的眾多安全漏洞，其中有3個漏洞已遭到駭客攻擊，它們全都位於WebKit中，影響Safari瀏覽器、iOS、iPadOS、watchOS、tvOS，以及最新的macOS Ventura作業系統。</p> <p>WebKit是蘋果於1998年發表的瀏覽器引擎，它除了被應用在Safari瀏覽器上，蘋果也要求iOS及iPadOS上的所有瀏覽器都必須使用WebKit。</p> <p>這3個已遭到攻擊的漏洞分別是CVE-2023-32409、CVE-2023-28204及CVE-2023-32373，其中，CVE-2023-32409是由Google及Amnesty International所發現，將允許遠端駭客突破Web Content沙箱。</p> <p>後兩個漏洞都是匿名提交，CVE-2023-28204為越界讀取漏洞，在WebKit處理網頁內容時，可能揭露敏感資訊，CVE-2023-32373則屬釋放後使用漏洞，在WebKit處理惡意網頁內容時，可能導致遠端程式攻擊。</p> <p>蘋果並未揭露相關漏洞遭到攻擊的細節，僅說已收到它們被攻擊的報告。</p> </div></div></div>
2023/5/19 11:45作者陳曉莉https://www.ithome.com.tw/news/156955
沃達豐與BT集團雙雙計畫縮減人力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國兩大電信業者沃達豐（Vodafone）及BT集團（BT Group，原英國電信）都在本周宣布了裁員計畫，其中，沃達豐預計在未來3年裁撤1.1萬名員工，BT集團則打算要在2028~2030年之前，將現有的13萬名人力減少至7.5萬~9萬名，人力縮減幅度高達30%~42%。</p> <p>沃達豐與英國電信都是總部設於英國，但營運跨及全球市場的大型電信業者，雙方皆於本周發布了截至今年3月底的2023財年財報。</p> <p><a href="https://investors.vodafone.com/sites/vodafone-ir/files/2023-05/Vodafone-FY23-Results-Announcement.pdf" target="_blank">沃達豐的財報率先於周二（5/16）出爐</a>，其年度營收為457億歐元，比前一年成長0.3%。沃達豐執行長Margherita Della Valle表示，該公司的表現還不夠好，因而必須改變，包括將簡化組織，減少複雜性以重建競爭力。因此，沃達豐計畫在未來3年將裁撤1.1萬個職位，約占該公司總員工數的10%。</p> <p><a href="https://newsroom.bt.com/results-for-the-full-year-to-31-march-2023/" target="_blank">BT集團則在周四（5/18）發布財報</a>，這一年該集團創下207億歐元的營收，比前一年下滑了1%。該集團顯然也對這樣的結果不甚滿意，因而計畫在2028~2030年之前，裁撤逾30%的員工。</p> <p>BT集團執行長Philip Jansen表示，未來該集團將努力簡化架構並把任務數位化，到了2020年代的末期，BT集團所仰賴的會是更少的勞動力與更低的成本基礎，成為一家更精簡的企業並擁有更光明的未來。</p> </div></div></div>
2023/5/19 11:56作者陳曉莉https://www.ithome.com.tw/news/156956
Amazon計畫在印度投入127億美元以打造AWS基礎設施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://press.aboutamazon.in/news-releases/news-release-details/aws-invest-inr-105600-crores-us-127-billion-cloud-infrastructure" target="_blank">Amazon周四（5/18）宣布</a>，繼於2016年至2022年間於印度市場投入37億美元之後，在2030年前會再於當地投資127億美元，打造AWS於印度的雲端基礎設施，以迎合印度客戶對雲端服務的需求。此外，Amazon也估計此一投資將替印度創造13.17萬個工作機會，涵蓋建築、設施維護、工程、電信與其它等。</p> <p>目前AWS在印度有兩個隸屬於亞太地區的資料中心基礎設施，分別是在2016年啟用的孟買區域，以及甫於去年11月啟用的海得拉巴（Hyderabad）區域，前者的投資金額即為37億美元，且已替印度帶來3.95萬個工作機會。</p> <p>Amazon在印度的這兩項雲端基礎設施投資，不僅替當地創造了大量的工作機會，對印度國內生產毛額的貢獻分別達到46億美元與233億美元。</p> <p>負責電子與資訊科技的印度部長Rajeev Chandrashekhar表示，印度的雲端及底層的資料中心基礎設施為印度數位化架構及生態體系的重要元素，歡迎AWS注資127億美元以擴張於當地的資料中心，此舉將可催化印度的數位經濟。</p> <p>其實去年底AWS在啟用位於海得拉巴的第二個印度資料中心時，只宣布要在2030年以前於南亞市場投資44億美元，此次卻擴大投資至127億美元。</p> <p><a href="https://www.idc.com/getdoc.jsp?containerId=prAP49916322" target="_blank">根據IDC的估計</a>，印度公有雲服務每年成長率可達23.1%，到了2026年將達到130億美元的市場規模，主要是因為各數位服務及組織發現雲端可協助它們轉型，並可透過強大的雲端服務加速產品及服務的上市腳步。</p> <p>因此，不僅是Amazon，Google在印度也設置了2個雲端區域，微軟則有3個。AWS現為印度最大的雲端服務供應商，在當地擁有許多重量級客戶，包括印度的電子及資訊科技部，公共醫療機構 Aarogyasri Health Care Trust，以及Ashok Leyland、Axis Bank、HDFC Life及Titan等大型企業。</p> </div></div></div>
2023/5/19 12:51作者陳曉莉https://www.ithome.com.tw/news/156958
Stability AI開源圖像生成模型平臺StableStudio
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名圖像生成模型Stable Diffusion開發商Stability AI，決定<a href="https://stability.ai/blog/stablestudio-open-source-community-driven-future-dreamstudio-release">開源自家文字轉圖像模型的消費端應用程式DreamStudio</a>，開發者現在已經可以在GitHub上，從名為StableStudio的儲存庫取得平臺程式碼。</p> <p>DreamStudio是Stability AI新模型和功能的主要介面，提供用戶存取包括目前最新的SDXL圖像生成模型。當初Stability AI開發DreamStudio時，便是把該應用程式設想為一個平臺，而現在他們決定開源StableStudio，來對社群產生更大的影響力。</p> <p>開源StableStudio平臺將成為由社群驅動開發的專案，透過與更廣泛的社群合作，繼續推動平臺發展。DreamStudio將會繼續作為由Stability AI託管的StableStudio實作，官方也預告，他們即將推出具有聊天界面的版本。DreamStudio的發展，已經從過去本地優先開發，逐漸轉變為擴充套件架構，使得外部開發人員更容易參與擴展。</p> <p>雖然開源StableStudio的發展方向由社群驅動，不過，官方也表示，他們會積極地在公共儲存庫投入開發能量，並且計畫設立獎金，鼓勵社群提供改進和新功能。官方計畫將在StableStudio中加入WebGPU技術支援，以加速本地端推理，並且提供桌面安裝，以及ControlNet工具等。</p> </div></div></div>
2023/5/19 06:38作者李建興https://www.ithome.com.tw/news/156953
不只克服疫情困境更開創新商模，IT助KKday轉型B2B平臺商
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>首爾往春川方向63公里處，有座南怡島，面積不大，卻擁有宜人的四季景色，每年吸引超過200萬名遊客，這裡是韓國熱門觀光景點，更是知名韓劇《冬季戀歌》的取景地。</p> <p>2年前，這座島全面導入了一套新系統，任何旅客只要用手機就能進出入島閘道口，不需要人工介入，完全零接觸。從線上購票、獲取QR碼票卷，到入口處掃描通關，全部來自同一套系統。這項改變不僅提供更便利的旅遊方式，也成了克服疫情的關鍵因素。這套系統的開發商就是來自臺灣旅遊電商KKday。</p> <p>不只南怡島，全球超過2千家商家採用這套零接觸旅遊系統，遍及700個地點，這是KKday的資訊部門一手開發的系統。長達2年多的國境封鎖的困境中，如何突圍成了旅遊業生死存亡的關鍵，對網路旅遊平臺更是如此。從B2C服務模式，轉型成輸出技術產品的B2B模式，正是KKday能夠建立營運韌性、挺過疫情危機的關鍵。</p> <p><span style="font-size:28px;"><strong>一年內從無到有打造旅遊電商平臺</strong></span></p> <p>成立於2014年的KKday，現在是亞洲最大的旅遊電商平臺，不只活躍用戶數高達900萬戶，旅遊商品種類更超過30萬種，涵蓋全球550座城市。</p> <p>KKday首席資訊長封賜彥表示，成立時兩大目標，一是實現國際化，將服務擴展到臺灣以外地區，服務更廣泛的客群；另一個是為趕上市場變化的做法，將旅遊商品零件化，來滿足旅客多元化的需求。</p> <p>「成立時只有4名員工，我是其中之一，負責IT」他回憶說，當時的首要任務是最短時間推出旅遊電商平臺。為了迅速上線，初期系統功能要求簡單，以商品上架和網站銷售功能為主。</p> <p>成員增加為10多人後，封賜彥接著將開發團隊分為兩組，分別負責不同任務，其中一組專注於Java開發，以核心API為主；另一組專注在PHP開發，負責網站架設與供應商平臺的開發。</p> <p>由於KKday主要客群為國際旅客，如何確保系統能夠適應不同國家及地區的使用者、供應商的需求，成了他們必須優先處理的問題。例如多國語言支援、時區和貨幣轉換都是成立初期的挑戰，例如得有一套即時匯率監控機制，才能提供準確的匯率轉換計算，甚至得考慮不同時區對交易時間認定的影響。</p> <p>2015年，KKday旅遊電商網站上線後，很快就接到訂單，證明這個商業模式確實可行，更加堅定了他們繼續發展的決心。接下來更不斷擴充商品種類，瞄準更多種旅客的需求。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/KKday%20CIO-2P-%E8%87%B3%E6%B5%A9-600.png" style="width: 550px;" /></p> <p><span style="font-size: 22px;"><strong><span style="color: rgb(51, 153, 255);">KKday首席資訊長封賜彥表示，對旅遊業IT來說，技術從來不是重要問題，真正問題是商品會變化、訂單要容納各種商品，來服務不同旅客的需求。</span></strong></span><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">攝影／洪政偉</span></span></p> <p>經過幾年發展，KKday提供的旅遊配套活動零件的種類越來越多元化，從海外潛水、戶外攀岩、料理課程、私房景點，到一日遊、票券、包車旅遊、機場接駁等都有。然而，為了快速上線，KKday一開始沒有明確區分不同商品種類，導致商品管理系統所使用的資料庫結構和欄位的設計缺乏彈性，隨著上架的商品越來越多元且多樣化，這樣的結構設計限制了他們能夠提供的商品種類，也不易擴充商品的屬性欄位。</p> <p>封賜彥指出，過去設計，所有商品採用相同資料欄位設計，在某些情況下可能會造成問題，例如原本預設的商品資料欄位中，欠缺了商品需要的額外資料，無法線上搜集，團隊必須透過人工方式向客戶進行詢問，這樣來回溝通方式，不僅耗費時間，也很沒效率。</p> <p>或像特定商品的屬性機制，有時必須考慮到多種使用方式或是多個目的地的情況。例如租車服務，KKday最初的商品欄位設計只考慮單一地點，即一對一的關係，就無法支援像甲地租乙地還，這種需要兩個地點或多地點關係的商品。</p> <p>為了解決這個問題，資訊團隊花了一年改善，建立了統一的旅客規格標準，可以在訂單處理流程中容納不同商品類別所需的特殊資料，同時也調整了資料庫結構，包含能夠支援多個地點的商品服務。</p> <p>優化商品資料結構的設計，不只擴大KKday在跨境商品種類的覆蓋範圍，更在疫情期間邊境封鎖時，能夠快速跨入國內旅遊市場，上架多種區域旅遊的商品。「通過調整商品結構，已經能夠涵蓋各種複雜的商品結構，也包含國旅商品。」封賜彥表示。</p> <p>這場疫情大大衝擊KKday，最慘時期營收僅剩一成。KKday借助IT快速調整策略，轉向國旅市場，不只渡過疫情危機，疫後營收更創新高。</p> <p><span style="font-size:28px;"><strong>靠IT快速調整策略，克服疫情困境加速營運轉型</strong></span></p> <p>長久以來，KKday高度依賴供應商，才能在平臺上提供各種旅遊商品。但這些供應商多是小型商家，不像一些大型觀光或飯店業者擁有自己的IT系統，因此，KKday過去必須依賴人工處理每筆訂單。</p> <p>為了提升供應商自動化程度，2018年時，KKday資訊部門乾脆自己開發一套供應商專用的預約系統rezio。這套系統是以雲原生容器架構進行開發，具有高度擴展性，更容易客製支援不同國家或供應商的需求。</p> <p>消費者下單後，預約系統能立即產生訂單QR碼，作為入場憑證，也透過API串接，將QR碼拋轉到KKday訂單系統中，省去了人工產生和上傳QR碼所需的作業時間，消費者不用像過去得等待多天才能取得憑證。店家透過專用App掃描顧客手機的QR碼就能核銷。甚至不只管理KKday訂單，供應商也可查看和管理在其他通路上架的商品訂單和庫存。</p> <p>疫期期間，KKday還整合了電子憑證、電子閘門、自助售票機等功能到rezio系統，達到從線上購票、提供票券QR碼，到實體入口通關全流程的零接觸操作。</p> <p>有了這套系統，不只讓KKday能調整策略來應對零接觸旅遊商機，更開始跨入B2B新的商業模式，成為OMO旅遊整合方案的服務商。</p> <p><span style="font-size:28px;"><strong>結合自動化維運部署方式，來快速調度應對突發性流量需求</strong></span></p> <p>KKday成立第一天就決定全面上公雲，將所有系統和服務部署在雲端上，隨著使用人數的增加，平臺流量跟著持續成長，尤其行動App推出不到一年，流量就超過了網站，遇到旅遊旺季與行銷活動期間時，就可能出現流量暴增，對維運管理團隊帶來不小的考驗。</p> <p>「過去常發生，行銷部門沒提前與IT溝通就舉辦活動，導致活動開始後網站流量瞬間飆高而癱瘓，」封賜彥表示，以往大多由IT人員根據過往需求調整資源配置，例如增加虛擬機器數量或加大其他資源，但這樣的做法，沒辦法有效應付臨時性或突發性的調整需求。</p> <p>因此在維運管理上，KKday後來逐漸結合自動化部署方法，取代手動調整，讓程式可以根據流量多寡來自動調高或縮減VM數量，來快速因應行銷活動帶來的流量變化，「即使很難預估流量，現在也能夠在10多分鐘內反應。」封賜彥說。</p> <p>除了維運部署越來越自動化外，KKday的資訊團隊在應用軟體開發上很早就引進了敏捷思維，建立DevOps團隊，導入了CI/CD的自動化流程，以加快開發與部署的速度。不過，與其他企業的開發團隊做法不同的是，他們特意將CI和CD這兩個流程分開，而不是將它們合併在一起。</p> <p>封賜彥解釋，由於需要測試的商業項目眾多，一個功能更新可能涉及使用者和內部訂單作業等多方面問題，並且得跨不同服務團隊協作。例如供應商要新增潛水鞋給顧客，顧客得在下訂單時先輸入尺寸，再匯整給供應商事前準備。一方面，供應商服務團隊需要修改供應商資料庫的資料欄位，而前臺開發團隊則需要修改電商平臺的介面，若將CI與CD合併，供應商服務團隊開發完成後直接上線，可能會對正式環境的前臺服務產生影響。「將CI與CD分開，可以有不同的測試及上版順序過程，也能確保所有功能經過整合測試驗證後才進行部署。」他強調。</p> <p>2017年時，KKday資訊團隊中更開始設立SRE（網站可靠性工程）維運角色。封賜彥表示，雲端管理比地端更加複雜，非常仰賴程式設計的知識，所以需要有程式開發經驗的人才，但使用DevOps這個名詞，並不能完全表達其工作內容，直到SRE出現，更加明確地定義了這個角色任務，「就是讓雲端系統可以穩定且可靠。」</p> <p>KKday在2019年時進行IT組織重整，區分為技術研發處、創新研發實驗室和rezio處，分別負責RD研發、IT和rezio相關的工作。他表示，目前，在這些部門中都有各自SRE工程師，來維運和管理各自的雲端環境。</p> <p><span style="font-size:28px;"><strong>導入微服務架構，翻新現有IT架構</strong></span></p> <p>不僅如此，KKday在2018年為應對不斷增長的流量，以及越來越複雜的系統架構，決定導入微服務架構，來翻新現有IT架構。</p> <p>一般企業導入微服務，有兩種常見的服務切分方式。一個以系統功能來切分，另一個則是從商業角度來進切分。而KKday依照商業邏輯來切分微服務，確保每個微服務都能專注於特定的業務功能，更引進DDD（領域驅動設計）方法論，來幫助團隊找出商業上適合的服務元件切法方式。</p> <p>封賜彥表示，當服務功能微服務化，就變成一個業務上的服務元件，以後任何跟它的有關的服務，就可以在這個業務的微服務中來運作。「對旅遊業IT來說，技術從來不是重要問題，真正問題是，商品會變化、訂單要容納各種商品，來服務不同旅客的需求，這種商業變化，旅遊業又特別複雜，比實體商品還複雜。」他說，所以才用商業服務角度切分。</p> <p>導入微服務架構後，他們先將商品服務從原系統拆分出來，接著將商品拆分成更小的商業元件，包括商品、庫存、翻譯等。後續也完成了會員系統的分拆，僅保留預訂系統於原系統中。</p> <p>KKday目前全球會員超過700萬人，為了分析和應用龐大會員數據，建立了自己的大數據分析平臺，透過分析用戶使用行為與偏好，進一步改善營運與用戶體驗，例如分析營業額變化和市場入境旅客數據，來調整人力配置和策略。</p> <p>KKday資訊團隊對AI技術也不陌生，過去幾年，大量運用自然語言處理技術，支援人員完成商品翻譯工作，涵蓋多種語言，包括中文、英文、日文、韓文和越南文等。趁著這一波AI浪潮，他們也正在評估生成式AI，例如用OpenAI的生成式AI翻譯技術。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><span style="color:#3399ff;"><strong>KKday首席資訊長封賜彥</strong></span></p> <p>學歷：中興大學土壤環境科學所碩士</p> <p>經歷：20年旅遊電商IT經驗，曾在燦星旅遊、易飛網擔任IT主管，先後負責訂房預約系統與業務系統的開發，並有過創業經驗。過去也曾在wobibi擔任技術總監。2014年共同參與了KKday的創立，一手主導旅遊電商平臺規畫與開發，在2020年擔任首席資訊長</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>KKday</strong></p> <p>地址：臺北市內湖區新湖一路128巷15號5樓</p> <p>網址：<a href="http://www.kkday.com">www.kkday.com</a></p> <p>成立時間：2014年</p> <p>員工數：900人</p> <p>執行長暨創辦人：陳明明</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 資訊部門檔案 </span></strong></p> <p>資訊部門主管職稱：首席資訊長</p> <p>資訊部門主管姓名：封賜彥</p> <p>資訊部門名稱：創新研發實驗室</p> <p>資訊部門人數：約20多人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2015年：KKday網站上線</p> <p>2017年：KKday行動App推出上線</p> <p>2018年：導入微服務架構、開始結合數據分析做運用</p> <p>2019年：rezio預約系統推出上線、數據驅動歸因系統（DDA）正式上線、IT組織進行重整，分為技術研發處、創新研發實驗室和rezio處</p> <p>2020年：導入AI提供跨國旅遊商品語言轉譯服務</p> <p>2021年：以商家為主的KKday商城正式上線</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/kkday_cio-2p-zhi_hao_-960.jpg" width="960" height="420" alt="" title="KKday首席資訊長封賜彥　（攝影／洪政偉）" /></div></div></div>
2023/5/18 16:51作者余至浩https://www.ithome.com.tw/people/156948
Google Colab也將整合Codey模型提供AI程式開發功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布將在筆記本工具<a href="https://blog.google/technology/developers/google-colab-ai-coding-features/">Colab</a>整合Codey模型，以人工智慧技術輔助開發者編寫程式碼。Codey是以大型語言模型PaLM 2為基礎開發的衍生程式碼模型，因此開發者也能夠以自然語言向Codey提出程式碼請求，以獲得程式碼編寫協助。</p> <p>Colab是相容於Jupyter Notebook的雲端Python開發環境，用戶不須在本地進行任何設置，還能用到免費的GPU資源，並且可以簡單地將筆記本與其他人共享。Codey模型則可接收指令產生程式碼，並能夠嵌入到SDK或是應用程式中，以增加開發人員的效率，改善程式碼品質。</p> <p>Codey主要提供的功能包括程式碼完成、程式碼生成和聊天機器人。Codey可根據程式碼上下文，建議下一行程式碼，或是根據開發人員的自然語言提示生成程式碼，另外，開發人員也可以與Codey聊天機器人對話，獲得關於除錯、文件和程式碼編寫等相關資訊。</p> <p>Google針對Python和Colab用途，所訓練的輕量級版本Codey，能夠支援Colab用戶更快地編寫高品質程式碼，官方提到，Codey目前會先向美國用戶開放，並且把重點放在程式碼生成上，根據註釋或是開發者的提示，編寫整個函式，以減輕開發者編寫重複程式碼的工作。 </p> <p>可使用Codey功能的用戶，會在介面上看到生成按鈕，點按後就可輸入文字提示，並且獲得程式碼建議。開發者也可以向Codey機器人提出「如何從Google試算表匯入表格？」或是「如何過濾Pandas DataFrame？」等問題，以獲得特定任務的程式碼建議。</p> <p>除了在Colab上使用Codey模型，Google在最新的<a href="https://ithome.com.tw/news/156840">Android Studio Hedgehog</a>中，也添加了人工智慧程式碼開發助理Studio Bot，提供類似GitHub Copilot的功能，Studio Bot所使用的模型也是Codey。</p> </div></div></div>
2023/5/18 16:57作者李建興https://www.ithome.com.tw/news/156947
【資安日報】5月18日，要求受害組織作公益的勒索軟體再度出現，這次是鎖定Zimbra郵件系統而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體駭客想要劫富濟貧，要求受害者做公益來換取解密金鑰的情況，<a href="https://www.ithome.com.tw/news/151159#goodwill">1年前有個叫做GoodWill的組織</a>，受害者必須依照指示幫助窮人並公開揭露，才有機會復原檔案。而最近又有類似行徑的駭客組織出現，他們針對郵件伺服器Zimbra而來，並留下勒索訊息要求受害組織向特定的非營利組織捐款。</p> <p>針對勒索軟體「變臉（BianLian）」攻擊行動也相當值得留意，這些駭客集中心力在透過竊得的資料向受害組織勒索，並在過程中停用防毒軟體來達成竊取資料的目的。</p> <p>智慧電源插頭的漏洞竟因廠商停止支援產品維護，而無法得到相關修補！研究人員揭露Belkin第2代Wemo Mini智慧電源插頭的漏洞CVE-2023-27217，攻擊者有可能藉此發動命令注入攻擊，但開發商Belkin表示該產品生命週期已結束（EOL）而表明不予處理。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/malaslocker-ransomware-targets-zimbra-servers-demands-charity-donation/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Zimbra郵件伺服器遭到勒索軟體MalasLocker鎖定，駭客要求向非營利組織捐款換取解密金鑰</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/MalasLocker-ransom-note.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/MalasLocker-ransom-note.jpg" style="width: 300px; float: right;" /></a>資安新聞網站Bleeping Computer揭露針對郵件伺服器Zimbra而來的勒索軟體MalasLocker攻擊行動，駭客自2023年3月下旬開始出手，後續有許多受害者到Bleeping Computer及Zimbra的討論區，反映所遇到的狀況。他們表示，郵件伺服器上的郵件檔案遭到加密，而且，其共通點是駭客在這些伺服器特定路徑的資料夾裡，植入了可疑的JSP檔案，Bleeping Computer發現其中一個是以開源的Web Shell打造而成。</p> <p>資安研究團隊MalwareHunterTeam指出，駭客在加密檔案後不會更動副檔名，但是會在檔案的末端加入「檔案已被加密」的訊息，並留下勒索訊息檔案README.txt。</p> <p>特別的是，這些駭客會要求受害組織向他們指定的非營利組織捐款，以換取解密金鑰。資安業者Emsisoft看到駭客公布3家公司、169個受害組織的Zimbra組態。</p> <p><a href="https://www.bleepingcomputer.com/news/security/fbi-confirms-bianlian-ransomware-switch-to-extortion-only-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國、澳洲針對勒索軟體BianLian近期的攻擊態勢提出警告</span></strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）、澳洲網路安全中心（ACSC）發出聯合公告，指出勒索軟體駭客組織「變臉（BianLian）」採用的攻擊手法出現了變化，駭客先是透過外洩的遠端桌面連線（RDP）帳密入侵目標組織，然後部署以Go語言打造的後門程式、商用的遠端管理工具，以及用於偵察網路環境的指令碼。最終透過FTP工具、Rclone應用程式，或是藉由雲端檔案共享服務Mega外流竊得的資料。</p> <p>CISA與ACSC指出，駭客為了逃避防毒軟體偵測，他們透過PowerShell與Windows的Command Shell讓防毒軟體停止運作，並修改Windows的機碼來控制Sophos防毒軟體提供的防篡改機制。</p> <p>有別於之前的攻擊行動，這些駭客現在聚焦於將竊得的檔案當作籌碼進行勒索，未必會加密受害組織電腦裡的檔案。對此，CISA與ACSC認為，企業應加強對於遠端存取工具的管控來因應。</p> <p><a href="https://cybernews.com/security/checkmate-ransomware-victims/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體CheckMate鎖定SMB檔案共用協定而來</span></strong></a></p> <p>資安新聞網站Cybernews針對勒索軟體CheckMate近期的攻擊行動提出警告，經營此惡意軟體的駭客疑似來自俄羅斯，他們的加密貨幣錢包在今年第1季出現了數千筆收入，可能來自受害者支付的贖金。</p> <p>研究人員指出，駭客先大規模掃描網際網路，利用名為Masscan的開源工具找出缺乏保護的SMB共享資料夾，然後就會透過暴力破解的方式嘗試存取（一天50至100次），成功後利用AutoCryptor、Decryptor、ServerSmbWatcher、SmbBruteManager等工具作案，最終加密受害電腦檔案並留下勒索訊息。</p> <p><a href="https://www.mandiant.com/resources/blog/sim-swapping-abuse-azure-serial"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">部署於Azure的VM遭到鎖定，駭客濫用主控臺植入遠端管理工具進行控制</span></strong></a></p> <p>資安業者Mandiant揭露駭客組織UNC3944的攻擊行動，駭客疑似透過網釣簡訊、SIM卡挾持（SIM Swapping）的方式，取得組織Azure管理員帳號的存取權限，從而導出該租戶所有使用者的資訊，並收集Azure環境組態配置與VM資訊，甚至是加入或竄改帳號資料。</p> <p>研究人員看到駭客在成功入侵之後，利用Azure內建的診斷延伸工具CollectGuestLogs來收集情資，完成偵察後，駭客就會透過Azure環境特有的序列主控臺功能，在特定的Azure VM取得管理者權限。之後，攻擊者利用PowerShell及遠端管理工具，並部署反向SSH隧道，以便能持續存取VM。</p> <p><a href="https://blog.checkpoint.com/securing-the-cloud/malicious-vscode-extensions-with-more-than-45k-downloads-steal-pii-and-enable-backdoors/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意VSCode外掛程式恐在開發人員電腦植入遠端Shell、竊取密碼</span></strong></a></p> <p>資安業者Check Point在微軟Visual Studio Code市集VSCode marketplace上，發現3個有害的外掛程式，分別是佈景主題Darcula dark，以及python-vscode、prettiest java擴充套件。這些外掛程式的共通點在於，它們的名稱和功能看起來相當無害，但實際上都內含竊取開發者資料的功能，或是於受害電腦執行程式碼。</p> <p>其中下載量最多的是Darcula dark，該佈景主題標榜能改善Dracula程式碼在VS Code裡的顏色呈現，而能讓開發者在編寫程式碼的過程更為舒適，然而研究人員發現此佈景主題也具備竊取開發者個資的程式碼，而能收集相關資料並傳送到遠端伺服器，已被下載逾4.5萬次。上述套件研究人員於5月4日通報，微軟於14日予以下架。</p> <p><a href="https://www.facebook.com/yoxiTW/posts/pfbid0n7AwbB9s6nb91ZTmduYoDotZdJ4vpaQv1pScJRfuav6FjXQyKmj7aZ7JszzXTDJHl"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">計程車派遣服務Yoxi遭帳號填充攻擊，大量占用系統資源影響營運</span></strong></a></p> <p>5月10日計程車派遣服務Yoxi發出聲明，表示他們遭到駭客攻擊，這些駭客使用了超過200萬筆帳密資料，嘗試以帳號填充攻擊的方式登入系統，期間系統資源因大量消耗而影響營運。該公司調查後發現，他們的會員帳密資料無異常存取或遭到入侵的跡象，且攻擊者所使用的帳密資料絕大多數與Yoxi資料的不符，研判這些用於嘗試存取該平臺的帳密資料，是透過其他管道取得。</p> <p>Yoxi察覺攻擊行動後於第一時間封鎖攻擊來源，並通報臺灣電腦網路危機處理暨協調中心（TWCERT/CC）、向刑事警察局報案。該公司亦寄送簡訊，通知受影響的使用者更改密碼。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://sternumiot.com/iot-blog/mini-smart-plug-v2-vulnerability-buffer-overflow/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Belkin旗下的Wemo智慧電源插頭出現記憶體緩衝區溢位漏洞，可被用於命令注入攻擊</span></strong></a></p> <p>物聯網資安業者Sternum揭露第2代Wemo Mini智慧電源插頭漏洞CVE-2023-27217（未透露CVSS風險評分），此漏洞發生在該電源插頭提供的自訂設備名稱功能（FriendlyName），研究人員藉由逆向工程突破其名稱的字數限制，從而觸發漏洞導致記憶體緩衝區溢位，進而發動命令注入攻擊。</p> <p>值得留意的是，研究人員向製造商Belkin通報，但該公司表示此產品已進入生命週期終止階段（EOL），而不會修補上述漏洞。對此，研究人員呼籲使用者應避免直接將此設備曝露於網際網路，若要在敏感網路使用，最好採取適當的網路分段措施。</p> <p><a href="https://sec-consult.com/vulnerability-lab/advisory/multiple-vulnerabilities-in-kiddoware-kids-place-parental-control-android-app/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">家長控管App出現漏洞，恐被用於攻擊、解除管制功能</span></strong></a></p> <p>資安業者SEC Consult揭露Kiddoware家長控制應用程式Kids Place Parental Control的漏洞，一旦遭到利用，攻擊者能在此處列管的孩童安卓手機上竊取帳密資料，或是上傳任意檔案，甚至能繞過家長控管的功能。</p> <p>研究人員指出，這些漏洞大致可區分5種弱點，其中之一與該系統使用者的密碼有關，系統傳送的密碼MD5雜湊值沒有受到加鹽保護而強度不足；再者，則是透過設置孩童裝置的名稱，攻擊者可觸發網頁主控臺的跨網站指令碼（XSS）漏洞CVE-2023-29079，而能夠進行未經授權的存取；除了XSS漏洞，研究人員發現此網頁主控臺的所有請求都可能受到跨網站偽造請求（CSRF）攻擊，攻擊者若是透過瀏覽器得知設備ID，就能觸發上述漏洞（CVE-2023-29078）。值得留意的是，提供父母向孩童傳送檔案的功能，也有可能讓攻擊者將任意檔案上傳到AWS S3儲存桶，且不會掃描是否含有病毒。</p> <p>最後一個弱點是CVE-2023-28153，孩童有可能藉此暫時停用家長設下的限制，且系統不會向父母發送警示訊息。開發商獲報上述的漏洞，發布了3.8.50版App予以修補。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://storage.pardot.com/704223/1684277198bEZlDMDs/CIR_PressRelease_Final_051623.pdf"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">IT服務業者ScanSource證實遭到勒索軟體攻擊，導致系統中斷運作</span></span></strong></a></p> <p><a href="https://www.apple.com/newsroom/2023/05/app-store-stopped-more-than-2-billion-in-fraudulent-transactions-in-2022/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">蘋果2022年審核610萬個App，逾四分之一遭封殺</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/156916"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟對於受到密碼保護的壓縮檔進行檢查惹議</span></span></strong></a></p> <p><a href="https://securityaffairs.com/146029/cyber-crime/smashing-pumpkins-paid-ransom.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國搖滾樂團Smashing Pumpkins傳出對竊取未公開歌曲的駭客支付贖金</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/156887"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">【2023臺灣資安大會】經歷不雅合成照勒索事件，臺北醫學大學導入雙因素驗證因應</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/156903"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">【2023臺灣資安大會】面對下一個網路安全時代，網路防禦矩陣CDM發明人提出資安防護要有親疏遠近因應之道</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/156619"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">【2023臺灣資安大會】人才是確保國家網路安全關鍵</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156930">【5月17日】駭客利用Go語言開發的Cobalt Strike發動攻擊的情況升溫</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156905">【5月16日】財政部電子發票平臺驚傳資安漏洞，恐曝露上市櫃公司營業資料</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156877">【5月15日】誠品書店外洩個資傳出遭支持中國武統人士利用，對臺灣民眾發動心理戰</a></strong></p> </div></div></div>
2023/5/18 14:19作者周峻佑https://www.ithome.com.tw/news/156942
美國蒙大拿州政府明年起禁用TikTok、Telegram及WeChat
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://governor.mt.gov/Governors-Memo-to-CIO-Agency-Directors-Prohibiting-the-Use-of-Apps-Tied-To-Foreign-Adversaries.pdf" target="_blank">美國蒙大拿州州長Greg Gianforte周三（5/17）簽署了一項新法令</a>，將於明年1月1日起於該州網路上禁用TikTok、Telegram及WeChat等工具，原因是這些程式可能蒐集當地使用者的個資並提供給國外對手，成為美國第一個真正禁用TikTok，且禁止應用程式市集供應TikTok的州別。</p> <p>遭到禁用的行動程式包括中國字節跳動旗下的TikTok、CapCut與Lemon8，中國拼多多旗下的跨境電子商務平臺Temu，中國騰訊旗下的WeChat，以及來自俄羅斯的通訊程式Telegram。</p> <p>該州的立法機構與Gianforte擔心上述程式與國外對手關係密切，可能危及該州的安全及當地民眾的敏感資料，因而禁止政府員工於政府所發放的裝置或該州網路上執行相關程式，涵蓋手機、電腦與平板電腦，且禁令還擴及州政府的第三方供應商。</p> <p>其實Gianforte在去年12月便於該州禁用TikTok，但這次擴大到其它可能蒐集個資並供應給國外對手的其它社交程式，以保障蒙大拿民眾的個資及隱私。</p> </div></div></div>
2023/5/18 15:50作者陳曉莉https://www.ithome.com.tw/news/156944
羅技也加入DIY維修行列，將提供官方零件予iFixit
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ir.logitech.com/press-releases/press-release-details/2023/Logitech-Partners-with-iFixit-to-Advance-Circularity-Goals/default.aspx" target="_blank">電腦配件大廠羅技（Logitech）本周宣布</a>與3C產品DIY維修教學網站iFixit結盟，將提供官方零件予iFixit，協助消費者自行維修不在保固內的羅技裝置，包括滑鼠、鍵盤、耳機及遊戲控制器等。</p> <p>iFixit多年來持續提供各種3C產品的拆解與維修教學，也銷售維修工具及零件，但並未獲得各大品牌的認可，一直到<a href="https://www.ithome.com.tw/news/150353" target="_blank">歐洲</a>及<a href="https://www.ithome.com.tw/news/145811" target="_blank">美國</a>相繼大力推動消費者的維修權（Right to Repair），才使得品牌業者的態度丕變，迄今包括<a href="https://www.ithome.com.tw/news/148355" target="_blank">微軟</a>、<a href="https://www.ithome.com.tw/news/150227" target="_blank">三星</a>及<a href="https://www.ithome.com.tw/news/151682" target="_blank">Google</a>都選擇與iFixit合作，讓iFixit一舉成為上述大廠的官方零件經銷商。</p> <p>上述的iFixit既有合作夥伴主要提供手機的維修指南與零件，而羅技則是第一個加入DIY維修行列的電腦配件業者。羅技表示，該公司將提供官方零件予iFixit，並共同開發維修指南，以協助消費者自行維修特定產品。</p> <p><a href="https://zh.ifixit.com/collaborations/logitech" target="_blank">iFixit已列出</a>了各種羅技產品，從滑鼠、鍵盤、耳機、喇叭、攝影機到遊戲控制器等，率先上線的是支援 Logitech MX Master及MX Anywhere兩大熱門羅技滑鼠系列的電池與維修工具。</p> <p>iFixit可持續發展總監Elizabeth Chamberlain表示，其實過去他們便一直與羅技合作，協助羅技開發易於維修的設計，很開心現在有機會於全球供應羅技的零件，讓人們擁有的裝置能夠維持更久，減少對原物料的需求與電子垃圾數量，還給下一代一個健康的星球。</p> </div></div></div>
2023/5/18 16:01作者陳曉莉https://www.ithome.com.tw/news/156945
危機隨時都在，需持續保持警覺
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣是全世界前三大安全的國家，今年1月在民生數據網站Numbeo的全球犯罪指數列為倒數第三名，僅次於卡達和阿拉伯聯合大公國，在全球醫療照護指數名列第一，領先韓國與日本。</p> <p>不過，由於中國亟欲統一臺灣、美中對抗等地緣政治衝突因素，2021年5月經濟學人雜誌發布名為「全世界最危險的地方」封面故事報導，直指臺灣面臨的國際緊張情勢，再加上近年來中國持續對臺灣進行文攻武嚇的威脅，不僅國家資助的駭客團體發動多次網攻，中國軍機、軍艦每天都在臺灣周邊活動，去年12月26日甚至有多達71架次軍機擾臺，稍早於8月初美國前眾議院議長裴洛西訪臺之後，中國更在臺灣周邊6個海域演習，並從沿海與內陸共發射9枚飛彈，5枚落入日本的專屬經濟區，其中1枚飛過臺灣本島上空，其他4枚則分別落在臺灣北部與西南海域。</p> <p>對於臺灣而言，顯然內外呈現截然不同的安全態勢，因為許多民眾雖然也感受到網路攻擊的威脅，以及實體戰爭發生機率漸增的狀況，但整體而言，大家的工作與生活並未受到很大的衝擊。</p> <p>事實上，從今年5月1日起，政府宣布COVID-19調降為第四類傳染病，民眾能夠更安心地參加許多大型實體活動。以IT領域而言，一年一度召開的臺灣資安大會，這幾年因全民防疫得當而得以持續舉行，而在5月9日至11日進行場臺灣年度資安大型活動，總共吸引了超過1.8萬人參加，不僅呈現整個社會的運作已回復開放、正常的狀態，也突顯大家對資安現況與後續發展的確很重視。</p> <p>不過，雖然隨著實體活動的增加，有些多年來遲遲無法解決的公共安全問題，近期也浮上檯面，受到國人的重視。</p> <p>首先是交通亂象嚴重影響安全，去年新聞媒體CNN報導臺灣交通是行人地獄（living hell）後，政府部會與民代均承受龐大的輿論壓力，而開始採取更積極的改善行動。不過，要降低交通風險，需要從很多層面著手，公部門對於道路設計、基礎設施的維護與升級，必須負起更大的責任，而民眾也必須體認遵守交通規則、禮讓行人的重要性，才有可能改善危機。</p> <p>另一個近期引發大家關注的社會議題，則是臺灣的建築工程安全，以及大眾交通工具搭乘安全。在5月10日，臺中捷運發生鄰近建案塔吊吊臂掉落至軌道意外，造成1死10傷。</p> <p>這樣的悲劇原是有機會避免，施工單位當然難辭其咎，他們對於頂樓施工拆除相關裝置的作業，卻僅向臺中市交通局申請一般吊掛的交通維持計畫，而非塔吊高空作業交維計畫，若業者依規定在作業前15天申請，經相關單位會勘後核可，或許在這樣的監督與充分通報的機制把關之下，或許能阻止意外的發生或降低傷害的程度。</p> <p>另一個關鍵環節，則是臺中捷運的處理，當下偵測與應變時間只有41秒，無法阻止列車撞上掉落至軌道的吊臂。</p> <p>臺中捷運公司11日召開記者會，強調隨車員、保全全程遵守標準作業程序（SOP），表示時間太過短暫而無法及時因應，同時，也談到吊臂是掉在隔音牆、而非直接砸到軌道，因此當下沒有相關警示及觸發緊急停車，然而，後來有民代表示月臺設有緊急斷電鈕，若及時按下，也能讓列車停在站內，臺中捷運公司對此表示，若按下時，列車停在站內，的確會因此無法行進，但若列車已出發，仍會持續滑動。相關討論也引發全國關注，大家這時才知道其他中運量自動無人駕駛捷運系統均未設置月臺緊急斷電按鈕，現行的應變程序是否能及時因應這類突發狀況，也勢必要重新檢討。</p> <p>另一個令人惋惜的部分，則是站內上下列車的乘客明顯無警覺。有些人明明在月臺看到有異物突然掉落在軌道，產生很大的聲響與煙塵，卻還是上車，或許是因為信任捷運人員的處理，而沒有及早呼喊所有乘客下車避難，如果那時有乘客主動察覺事態嚴重，而趕緊呼喊大家趕快離開車廂，應該能再減少一些傷亡。</p> <p>無論是混亂危險的道路交通或是意外的大眾運輸工具事故，政府、業者、民眾都責無旁貸，才能預防憾事再度重演。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%85%AC%E5%85%B1%E5%AE%89%E5%85%A8">公共安全</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item even"><a href="/tags/%E5%9C%8B%E5%AE%B6%E5%AE%89%E5%85%A8">國家安全</a></div><div class="field-item odd"><a href="/tags/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83">臺灣資安大會</a></div></div></div>
2023/5/18 16:14作者李宗翰https://www.ithome.com.tw/voice/156946
擺脫「聚合式」架構束縛，提供「非聚合式」架構運用彈性──超融合架構2.0的興起
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1130-feng_mian_p2p3-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>憑藉具有部署、擴充與管理便利的優勢，超融合基礎架構（Hyper-converged infrastructure，HCI）產品，自2010年代初期問世以來，短短幾年之內的時間，便快速成長為企業資料中心基礎設施的主流形式，而且，也是在公有雲風潮席捲全球企業IT架構之下，少數仍能維持成長的地端（On Premise）IT基礎設施產品類型。</p> <p>不過，隨著超融合系統應用的擴大與普及，HCI應用概念本身潛藏的制約也隨之凸顯，而在近2、3年促使這個領域的兩大領導者——Nutanix與VMware，陸續引進一系列堪稱「解構」或「顛覆」既有超融合應用概念的重要轉變，一反超融合應用最基本的「結合運算與儲存資源」概念，允許將運算與儲存單元分離運用，藉此獲得更大的擴展靈活性，以及資源的使用彈性，也能更適切地因應用戶環境需求。</p> <p><span style="font-size:28px;"><strong>超融合架構的3大優勢與3大制約</strong></span></p> <p>以技術性質而言，超融合基礎架構可說是「融合式基礎架構」（Converged infrastructure，CI）這個大領域的一員，共通特色是將IT基礎架構所需的運算、儲存、網路等軟、硬體資源，整合在一個預先完成組裝、測試與調校的套件中，藉此加速用戶端的部署速度。</p> <p>而超融合基礎架構之所以能從融合式基礎架構領域脫穎而出，主要原因是提供「更深度」的部署架構「融合」，透過將運算與儲存資源結合在「一個機箱」的產品形態，從而帶來部署、擴充與管理便利性的優勢。</p> <p>如同我們前幾年超融合架構報導介紹的，HCI的基本作法，是將提供運算資源管理能力的Hypervisor虛擬化平臺，以及能夠提供儲存空間管理的儲存叢集平臺，結合在同一臺x86伺服器主機上，成為預先完成組裝、測試與調校的超融合機箱套件。</p> <p>因而超融合基礎架構的每臺機箱，就是同時含有運算與儲存資源的標準化「積木（Build Block）」單元，之後，再透過Hypervisor與儲存平臺提供的叢集功能，可如同堆疊積木般，將多臺超融合機箱組成具備高可用性的叢集。</p> <p>從部署便利性來看，超融合的優勢在於：只需將幾臺這種預先完成組裝與測試的標準化機箱節點安裝到用戶環境，就能提供IT應用環境所需的運算、儲存空間等基礎架構需求。</p> <p>以擴展性而言，超融合的優勢則在於：透過標準化機箱節點與叢集架構，促使超融合系統的規模擴充變得十分簡單，因為企業與組織只要將更多機箱節點加入超融合系統的叢集，就能擴展整個系統的效能、容量與可用性。</p> <p>用戶可以視需求，組成最小僅2、3臺節點，最大到數十臺以至數百臺節點的叢集環境，適應從邊緣環境到大規模資料中心的基礎設施需求。</p> <p>與此同時，用戶只需透過單一平臺，就能管理整個叢集的運算與儲存資源，這便是超融合的管理層面優勢。</p> <p>相較於傳統IT基礎設施的3層式架構——VM／運算伺服器∕SAN儲存設備，超融合架構可以提供更為簡便、迅速的建置方式，打造出用戶需要的IT基礎應用環境，而且，也十分易於進行擴充與管理。</p> <p>然而，隨著超融合架構應用的方式與領域逐漸擴大，原本賴以成功在企業IT廣泛應用的特性——運算與儲存資源結合在「一個機箱」，由於同時結合運算與儲存資源，雖然帶來部署與擴展的高度便利性，卻連帶產生一系列副作用，成為制約此種架構發展的最大桎梏。</p> <p><span style="color:#B22222;"><strong>運算與儲存負載間的互相干擾</strong></span></p> <p>在超融合系統的軟體堆疊中，上層的Hypervisor平臺，與底層的叢集儲存平臺，都是使用相同的叢集節點硬體來運行，導致運算與儲存兩種工作負載，互相影響彼此的資源使用。</p> <p>這種狀況影響了HCI整體系統的效能，也不利於某些應用程式的軟體授權計算——某些軟體要求用戶以叢集中所有實體處理器數量來計費，但是，在超融合架構下，儲存叢集也會耗用一部分的處理器資源，而且這些資源並不能用於其他工作負載，卻仍然計入軟體授權，形成成本的浪費。</p> <p><strong><span style="color:#B22222;">資源擴充受到「對稱式」架構的限制</span></strong></p> <p>在超融合架構下，運算與儲存資源的擴展是「對稱」或者說是「線性」的，換言之，每增加一個節點，運算與儲存資源便會同時增加。</p> <p>問題在於，用戶實際環境的擴充需求，往往是「不對稱」或「非線性」的，有時只需要儲存空間，有時只需要運算資源。</p> <p>然而，受限於超融合架構，無論用戶需求增加或減少，若要大幅擴充或調整規模時，都只能以一整臺同時含有運算與儲存資源的節點為單位，用戶將會被迫購入不需要的硬體資源與軟體授權，無法精確對應需求，不僅造成浪費，也缺乏靈活性。</p> <p><span style="color:#B22222;"><strong>儲存資源只能供內部使用</strong></span></p> <p>超融合系統自身便包含了IT基礎環境所需的運算與儲存資源，不假外求，但資源也只能供超融合系統自身使用，特別是作為核心的儲存叢集資源，只能為超融合系統上層的Hypervisor使用，即便儲存資源存在富餘，也無法將這些未使用的儲存空間轉給超融合以外的其他系統使用，導致無法有效利用閒置的資源，影響到整體資源利用率。</p> <p><span style="font-size:28px;"><strong>解開超融合架構的束縛：「非聚合式」超融合架構的誕生</strong></span></p> <p>在超融合系統「運算與儲存合一」架構的背後，潛藏著運算與儲存負載間的相互干擾、資源擴充缺乏靈活性，並影響資源利用率等問題。而隨著用戶部署規模的擴大，超融合架構潛藏的這些問題，也將隨之放大。</p> <p>雖然超融合廠商能透過不同規格的節點硬體搭配，為用戶提供多種應用取向的節點選項，例如擁有較高處理器規格、並搭載了GPU卡的高效能型節點，或是擁有較大儲存空間的高容量型節點，還有採用全快閃組態的高I/O效能行劫點等，為用戶提供不同取向的叢集組態選擇，一定程度改善了擴展彈性。</p> <p>然而，這些不同規格取向的節點，本質上，依然是「運算+儲存合一」的超融合型態，因而也仍然存在著超融合架構的先天局限。</p> <p>要克服超融合架構因「運算+儲存合一」組態所帶來的限制，解決辦法便是拆解「運算+儲存合一」的應用型態，也就是將運算節點與儲存節點彼此分離，對於既有超融合架構在效能、擴展靈活性與資源利用率等方面的種種問題，希望能藉此一舉克服。</p> <p>只要分離了運算與儲存節點，運算負載與儲存負載自然便不會彼此干擾，有利於效能的發揮；與此同時，運算節點與儲存節點也能各自獨立地擴展，不再彼此綑綁，提高了擴充靈活性；最後，獨立的儲存節點也能獨立運用，拓展了資源應用面向。</p> <p>在 HCI應用的早先時期，已經有少數超融合平臺，能夠提供一定程度的非對稱擴充性，例如Cisco HyperFlex，以及Pivot3 Acuity等。更進一步，在2016到2020年間，市場上出現徹底分離運算與儲存節點的新形態超融合產品，其中不只有新創廠商，也有老牌大廠，較具代表性的產品，有Datrium的DVX、Dell 的PowerFlex、NetApp的HCI、HPE的HCI等。為了與過去的超融合架構區隔，一些廠商把這種新架構稱為「非聚合式超融合」（Disaggregated HCI），儼然在超融合產品領域形成新的類別。</p> <p>基本上，「非聚合式超融合」產品，是由運行Hypervisor平臺的獨立運算節點，搭配運行儲存叢集軟體平臺的獨立的儲存節點組成。在軟體平臺方面，多數廠商都是以自身的叢集儲存軟體平臺，來搭配VMware ESXi。</p> <p>例如，HPE的dHCI（目前改稱Alletra Disaggregated HCI），其運作的架構，是由Nimble儲存陣列擔任儲存單元，搭配作為運算單元、運行VMware vSphere與vCenter軟體平臺DL380伺服器組成。NetApp HCI則是由運行VMware vSphere的運算節點，搭配SolidFire Element儲存平臺的儲存節點。</p> <p>對於這些「非聚合式超融合」產品來說，由於運算與儲存負載是分別由不同的節點硬體負責，自然也沒有互相干擾的問題。而且由於運算與儲存節點各自獨立，因而也沒有對稱式擴充的限制，用戶可以單獨增加運算或儲存節點，擴展靈活性更高。代價則是部署與管理複雜性略為提高，用戶必須管理更多形式的節點硬體。</p> <p class="rtecenter"><span style="font-size:36px;"><span style="color: rgb(51, 153, 255);"><strong>超融合架構1.0 vs. 超融合架構2.0</strong></span></span></p> <p class="rtecenter"><span style="color: rgb(51, 153, 255);"><span style="font-size: 28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1130-%E5%B0%81%E9%9D%A2P2%2BP3-600.jpg" style="width: 511px;" /></strong></span></span></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 20px;"><strong>相較於只能使用標準超融合節點的「超融合架構1.0」，「超融合架構2.0」的特色在於引進了「非聚合式」部署能力，既能使用標準的超融合節點，也能使用純運算節點，或是純儲存節點，兼顧兩種部署形態的優點，可視情況採取對稱式或非對稱式的資源擴充。</strong></span></span></p> <p><span style="font-size:28px;"><strong>結合「非聚合式」架構的主流超融合平臺</strong></span></p> <p>儘管「非聚合式超融合」問世的時間仍相當短，還不足以動搖既有超融合產品的地位，作為這類型產品創始者之一的NetApp HCI，已於2020年初退出市場，但它們的出現，確實直指既有超融合架構的不足，對市場形成壓力，促使超融合領域發生轉變，最顯著的證據，便是超融合平臺2大領導者VMware與Nutanix，都在近期跟隨這股趨勢而引進「非聚合式」架構。</p> <p>近乎壟斷超融合市場的2大軟體平臺——VMware的vSAN與Nutanix的AOS，都在這2、3年陸續透過一系列更新，讓自身平臺也能支援「非聚合式」架構的部署型態，例如VMware的HCI Mesh功能，Nutanix的純運算節點（Compute Only Node），以及純儲存節點（Storage Only Node）功能等。類似的，在超融合產品品牌位居領先的Dell，也為其主力超融合產品VxRail導入「非聚合式」部署型態，新增純運算功能的VxRail dynamic節點，還允許VxRail dynamic節點能整合外部儲存設備空間，提供較原有超融合架構更靈活的擴展與部署組態選擇。</p> <p><span style="font-size:28px;"><strong>以聚合式架構結合非聚合式架構，提供最大部署彈性</strong></span></p> <p>當VMware與Nutanix先後引進「非聚合式」架構後，IT業界有些人表示，此舉形同否定超融合架構的價值，顯得先前追捧HCI的人如同笨蛋。</p> <p>但我們並不如此認為，超融合架構過去在幫助整併設備、簡化部署與管理方面的作用，是貨真價實的，並不因為「非聚合式」架構出現而失去價值。但這個架構的確有些限制，存在著難以妥善對應複雜環境的問題，而後續浮上檯面的「非聚合式」架構便能作為輔助，幫助超融合架構擺脫原有的局限。</p> <p>更進一步來看，VMware與Nutanix等2大平臺雖然引進了非聚合式架構部署能力，但也沒有放棄原本的超融合架構，這兩種架構之間並不是取代關係，而是相輔相成。將超融合與非聚合式超融合這兩種部署型態，結合在同一個平臺後，能夠兼顧兩種架構的長處，為用戶提供最大的部署彈性。</p> <p>結合了運算與儲存資源的標準超融合架構，擁有最高的設備集縮比，與較低的部署門檻，只需較少的硬體就能滿足應用環境需求，採購與管理都較為簡便，能讓用戶以較小的代價與最快的速度，完成基本應用環境的建置。</p> <p>而當用戶環境隨著成長而逐漸複雜，非聚合式架構能提供更靈活的部署，與更高的效能利用率，讓用戶視應用環境的變化，適切地擴展需要的資源。</p> <p>事實上，在VMware與Nutanix這兩大平臺之前，就已經有廠商推出了可兼用於傳統的聚合式超融合，與「非聚合式超融合」部署架構的產品，例如Dell 的PowerFlex便是其中之一。</p> <p>基本上，PowerFlex可視用戶需求，採取與Hypervisor結合的超融合式部署，或以裸機部署為獨立的儲存單元，然後搭配獨立的Hypervisor主機，構成非聚合式的部署架構。此外，它還允許將聚合式與非聚合式等2種部署型態的節點，混合在同一個叢集中，為用戶提供最大的彈性。</p> <p>我們預測，這種同時允許聚合式與非聚合式部署的能力，很快就會成為超融合領域的主流型態。</p> <p><span style="font-size:28px;"><strong>超融合應用進入新階段</strong></span></p> <p>隨著VMware與Nutanix這2大超融合架構領導者，都陸續支援非聚合式架構後，也意味著超融合領域已發生徹底的「質變」，朝向「去融合」（de-Converges）的方向發展。</p> <p>因此，過去10年來的既定觀念：「超融合架構＝運算+儲存合一」，已不再適用，因為現今的超融合平臺，已能同時允許運算+儲存合一的標準超融合架構，與分離了運算與儲存節的非聚合超融合架構，讓兩種部署形態同時並存，藉此大幅擴展對各式不同用戶環境的適應性，也能進一步延續這類型產品在企業IT市場上的生命力。</p> <p>因此我們或許也可將這種新一代的超融合平臺，視為「超融合架構2.0」，象徵這個領域進入了全新的發展階段。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%BB%E5%9C%963-Nutanix.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>Nutanix的非聚合式部署架構<br /> 身為超融合架構主要創始者與領導者的Nutanix，近期開始透過新增純運算節點（Compute Only Node）與純儲存節點（Storage Only Node）等2種新節點類型，提供了分解運算與儲存單元的非聚合式部署能力。</strong><span style="font-size:14px;">圖片來源／Nutanix</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%BB%E5%9C%964-VMware.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>VMware的非聚合式部署架構<br /> 目前超融合領域市占率最高的VMware vSAN平臺，也透過後續改版而加入的HCI Mesh功能，提供了分離運算與儲存單元的非聚合式部署架構，可建立只有運算功能的叢集，然後由外部的vSAN叢集提供datastore儲存空間。</strong><span style="font-size:14px;">圖片來源／VMware</span></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B">封面故事</a></div><div class="field-item odd"><a href="/tags/%E8%B6%85%E8%9E%8D%E5%90%88%E5%9F%BA%E7%A4%8E%E6%9E%B6%E6%A7%8B">超融合基礎架構</a></div><div class="field-item even"><a href="/tags/hci">HCI</a></div><div class="field-item odd"><a href="/tags/vmware">VMware</a></div><div class="field-item even"><a href="/tags/nutanix">Nutanix</a></div><div class="field-item odd"><a href="/tags/%E8%B6%85%E8%9E%8D%E5%90%88%E6%9E%B6%E6%A7%8B20">超融合架構2.0</a></div><div class="field-item even"><a href="/tags/%E9%9D%9E%E8%81%9A%E5%90%88%E5%BC%8F%E8%B6%85%E8%9E%8D%E5%90%88%E6%9E%B6%E6%A7%8B">非聚合式超融合架構</a></div></div></div>
2023/5/18 10:31作者張明德https://www.ithome.com.tw/tech/156935
會員年營收750億的經營心法，新光三越10年數位轉型如何打造OMO購物體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>疫情終於過去，新常態帶來的數位化日常，讓零售百貨業進入更複雜的OMO競爭。百貨公司巨頭新光三越日前在一場活動中揭曉了疫後數位發展策略。新光三越數位發展部副總經理黃韻芝點出，新戰略要發展外部會員點數的生態圈及零售媒體聯播網（RMN）。好的購物體驗及會員經營，讓新光三越持續成長，也是去年營業額上看885億元歷史新高的關鍵。黃韻芝這兩項新策略，正是他們會員生態圈戰略的下一步。 </p> <p>新光三越早在2014年展開數位轉型，不過發展方向與近年數位政策截然不同。之所以有想法和能力，從OMO的角度來切入購物體驗設計及會員經營，源自於2020年，一次僅僅2個月的數位轉型衝刺。</p> <p><strong>以實體購物為尊的OMO轉型方向，竟意外成為疫情衝擊準備</strong></p> <p>2014年，新光三越開始了數位轉型。黃韻芝表示，百貨公司優勢是豐富且深度的實體購物體驗，因此，他們一開始發展OMO的策略是，用數位工具來強化實體購物體驗。</p> <p>第一步是打造會員App，但不是發展行動電商，而是採取線上強化線下的原則，用App於呈現即時實體購物資訊，例如餐廳訂位候位、停車位查詢、支付功能、折價券管理等，盡可能減低實體購物摩擦力。</p> <p>這隻App對新光三越來說是一個重要里程碑。2014年以前，只有聯名卡會員，因為沒有自己的會員系統，新光三越無法完全自主管理會員經營模式及相關數據。等到會員App問世，他們才算建立起自家會員機制，能自由嘗試不同購物模式，並蒐集更全面的會員數據。</p> <p>2014到2020年期間，新光三越陸續打造了會員數據中臺及業務數據中臺，一方面彙整商品的屬性標籤、3D建模、庫存情況，另一方面也能蒐集顧客標籤、分眾、消費行為等會員數據。黃韻芝說，當時蒐集這些數據是為了區分會員等級，來強化線下購物體驗。沒想到，用於輔助實體購物的數位建置，竟意外為突然其來的下一階段數位轉型鋪了路。</p> <p><strong>疫情顛覆數位轉型戰略，2個月內打造多種線上通路及服務，轉移營運重心</strong></p> <p>2020年疫情來襲，新光三越原本步調穩健的數位轉型被迫加速，轉型方向也不得不改為發展線上通路。自那一年2月起，許多計畫循序漸進的專案，例如擴大電子商城規模、BOPIS（Buy Online, Pickup In Store，線上下單店內取貨）、團購系統以及熟客經營系統等，都壓縮到要在短短2個月內上線。</p> <p>黃韻芝表示，之所以能快速上線，除了疫情凝聚起內部強烈的數位轉型共識，過去幾年的數位轉型建置，更為發展線上通路打下了好基礎。舉例來說，僅花11天就上線的櫃姐系統，這個個提供櫃檯人員經營熟客的系統，正是因為數位轉型前期，先完成了會員系統、電商系統及自家支付工具，才能快速建立工具來支援一對一介紹、推銷的流程標準化。</p> <p>另一個例子是電子商城skm online。短短14天，新光三越就將自家美妝電商擴大營業為綜合型電商，品項數從2萬種商品，增加到8萬種。電商品項快速翻倍的原因是，新光三越在業務中臺中，彙整了商品建模、標籤、價格等資料，手上已經有現成不同類型商品的素材和資料。</p> <p>除了購物通路，此時新光三越也開始經營新的數位行銷模式。最具代表性的做法是會員內部的點數生態圈。會員點數除了能兌換商品，也能在未來檔期兌換特殊購物體驗，例如購買限量商品或參加品酒會等。黃韻芝說，新光三越將點數作為維繫會員長期價值的行銷媒介，可以橫跨活動檔期，用來增加互動次數、消費頻率、及會員認同感，也能彈性的用於OMO零售不同消費場域。</p> <p>設計新會員體驗同時，新光三越也不忘持續優化底層IT基礎建設。最重要的一項是梳理會員資料。會員中臺建立後，前幾年累積的會員資料相當雜亂，為了發展OMO，他們重新清洗並整合了中臺內的會員資料，要求新舊會員都必須提供手機號碼，作為唯一識別方法。整合會員資料後，新光三越對會員行銷時不僅能更有效率，未來擴展到外部生態圈時，也能統一用手機號碼作為識別方法，將蒐集到的資料正確歸戶到同一會員。</p> <p>新光三越在這2個月應急所建立的線上通路，不僅在疫情期間有效帶來營收，還繼續沿用至今，這也意味著，他們的營運重心，已經從線下轉為線上線下並存，對OMO的策略也不再是線上輔助線上，而是多元通路間交互導流。疫後，他們也延續這個戰略方向，持續發展OMO零售模式。</p> <p><strong>疫後同步發展線上線下通路，下一步是擴大點數生態圈和經營RMN</strong></p> <p>疫情過後，新光三越回過頭強化線下通路經營，開始大刀闊斧改裝以全臺「店王」臺中新光三越為首的實體店面，改動上千個櫃位、引進過百個品牌，大力強調只有實體才能享受到的購物體驗。</p> <p>黃韻芝認為，好的線下購物體驗，是OMO零售不可或缺的一環，這樣才能強化通路間交互導流的效果。他舉例說明，會員從線上通路接受到行銷訊息，決定前往實體店面購物時，會利用App上的停車位、餐廳位預覽功能降低到店摩擦力。會員於店面享受購物體驗後，還會再打開App，使用累點、支付等功能，甚至直接在線上重複購買。「這就是線上線下各自發揮強項的導流模式。」她說。</p> <p>下一步，新光三越要以線上通路持續強化數位零售，主要聚焦兩大新策略，發展外部會員點數生態圈及零售媒體聯播網（RMN）。</p> <p>在疫後消費者重新回到各式消費場所後，新光三越在疫情間推出的會員點數系統，降低了自家線上線下通路導流的摩擦力，他們打算進一步拓展點數用途，從新光三越生態圈內，走到外部生態圈，與旅行社、生鮮超市、展覽空間等與百貨公司商品及體驗互補的業者合作，增加自家會員點數的使用場景，使點數能涵蓋會員生活的更多面向。這不僅能增加點數使用價值，對新光三越來說，更等於有機會掌握更多會員消費傾向。</p> <p>新光三越另一個OMO策略是零售媒體聯播網（RMN）。黃韻芝直言，「RMN是零售業下一個典範。」零售業者可以在自家線上線下通路中置入廣告版位，將廣告曝光給自家會員來獲利。新光三越RMN初步規畫，與點數發展策略一樣先聚焦內部，提供廣告版位給生態圈內的品牌發展精準行銷，將會員導流到這些品牌的線上線下通路。</p> <p>黃韻芝指出，零售業發展RMN的優勢是，零售業場域的顧客消費意願通常較高，因此，廣告曝光更容易轉換為購物行為。不僅如此，零售業者握有許多會員的銷售數據，也能用於RMN精準行銷。這些第一方會員數據可以直接連結到會員本人，也能在消費者加入會員時取得數據使用授權，避免誤觸隱私法規的風險。</p> <p>新光三越在疫情間擴大經營的電商及App，正好為RMN鋪了路。聯播網的通路人潮流量越高，廣告版位才越有價值。趁著疫情線下消費行停擺期間，新光三越快速將消費者吸引到線上通路，才能有機會將這些人流及版位變現為廣告收入及行銷機會。</p> <p>疫情前打下會員制度基礎、疫情中高速建置線上零售應用、到疫後雙雙強化線上線下通路，新光三越的數位轉型不同階段環環相扣，一切看似精心策畫，但黃韻芝認為，新光三越的數位轉型綱領，一直以來只是不忘百貨業強調購物體驗的初衷。「不論數位轉型、數據建設、還是OMO，這些只是手段，一切設計都以會員購物體驗為出發點。</p> </div></div></div>
2023/5/18 10:34作者郭又華https://www.ithome.com.tw/news/156936
擺脫既有超融合架構的束縛，提供更多樣化的部署型態組合──兩大主流HCI全面發展「去融合」
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1130-feng_mian_p4p5-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>長期以來，超融合架構在企業IT領域成功的最大優勢——「運算與儲存結合於單一機箱節點」，現在已成了進一步擴大應用情境的阻礙，雖然HCI便於部署與管理，但也帶來運算與儲存負載相互干擾、資源擴充缺乏靈活性等問題，難適應複雜環境需求。</p> <p>至於解決之道便是「去融合」化，讓超融合的運算與儲存單元能分離部署，也就是所謂的「非聚合式」超融合架構，以便更靈活、更精確地對應用戶環境的需求。</p> <p>領導超融合架構的2大平臺：VMware的vSAN與Nutanix的AOS，都在這2、3年內，藉由引進一系列新功能，提供運算與儲存單元分離部署的能力，以補原本超融合架構的不足。而由於這兩大平臺在超融合應用領域具有壟斷地位——合計擁有超過三分之二的市場占有率，當這兩大平臺出現了共同的轉變趨勢，也代表超融合領域正全面朝向「去融合」化（de-Converges）發展。</p> <p>因而，若了解VMware vSAN與Nutanix AOS的「非聚合式超融合」部署功能，也就等同於掌握這領域的去融合化發展情況。</p> <p><span style="font-size:28px;"><strong>兩大超融合應用平臺的「去融合」化進程</strong></span></p> <p>在「去融合」化的過程，Nutanix要比VMware快了一步。因為他們早在2015年中，就在原本的超融合節點產品外，推出NX-6035C「純儲存節點」（Storage Only Node），可單純提供儲存空間，而不加入Hypervisor叢集。</p> <p>接著在2019年初，Nutanix又跟著AOS 5.11版推出「純運算節點」（Compute Only Node），只用於運行虛擬化平臺，而不加入儲存叢集，再加上先前的純儲存節點，Nutanix至此算是基本實現了運算與儲存單元的分離。</p> <p>在VMware方面，直到2020年9月發布的vSAN 7 Update 1，才透過新導入的HCI Mesh功能，允許用戶建立只有運算功能的vSAN運算叢集（Compute Cluster），然後藉由掛載外部vSAN叢集的datastore來做為自身的儲存空間，初步提供了分離運算與儲存單元的分離。標準的vSAN叢集此時也能透過HCI Mesh掛載外部vSAN叢集datastore，實現跨叢集資源調度。</p> <p>到了2021年3月發布的vSAN 7 Update 2，則允許傳統vSphere叢集也能透過HCI Mesh功能，掛載遠端vSAN叢集的datastore來使用。接下來的vSAN 7 Update 3，又進一步擴展了HCI Mesh功能的連接能力。</p> <p>而在今年3月推出的vSAN 8 Update 1，VMware藉著新引進的「非聚合式儲存」（Disaggregated Storage）功能，將HCI Mesh適用範圍，擴展到vSAN 8全新的ESA儲存架構（Express Storage Architecture），以及跨遠端的拉伸式叢集（Stretched Clusters）環境中。</p> <p>至此，VMware主要的vSphere與vSAN版本，都能透過HCI Mesh功能，提供純運算叢集，以及掛載遠端vSAN datastore能力。只要是vSAN Enterprise版或Enterprise Plus版以上，就能啟用HCI Mesh功能。</p> <p><span style="font-size:28px;"><strong>兩大平臺的「去融合化」架構差異</strong></span></p> <p>經過一系列版本與功能更新後，目前的Nutanix與VMware的超融合平臺，都支援拆分運算與儲存單元的「非聚合式」部署形式，但由於基本架構有別，兩大平臺之間存在微妙的差異。</p> <p>以Nutanix而言，他們是透過新增2種新節點——「純儲存節點」與「純運算節點」，來提供運算與儲存單元分離部署與獨立擴充能力，整個部署架構是以個別節點為單位。</p> <p>VMware則只新增了「運算叢集」，搭配HCI Mesh提供的掛載遠端vSAN叢集datastore功能，來分離運算與儲存單元，整個部署架構是以叢集為單位。</p> <p>相較之下，Nutanix以個別「純儲存節點」與「純運算節點」作為擴展單位，這種作法顯然更易被理解，也更簡便。</p> <p>VMware則認為以叢集為單位，更能確保可用性的需求，若以個別純運算或純儲存節點為擴展單位，叢集將會出現無法承擔失效節點重建工作的風險。</p> <p>舉例來說，在叢集加入個別的純儲存節點，這些純儲存節點因本身集中了較多的儲存空間資源，一旦失效，叢集中其他節點可能沒有足夠儲存空間資源，來重建失效純儲存節點上的資料。</p> <p>因而VMware採用整個叢集作為HCI Mesh的運作單位，叢集內各節點的資料負載是平衡分布的，具備承受個別節點失效的韌性。</p> <p>針對這個問題，Nutanix方面也有相應的對策，以確保當「純儲存節點」與「純運算節點」加入叢集後，整個叢集具備承受這些節點失效的重建能力。</p> <p>例如當在叢集中加入純儲存節點後，必須視節點數量，相應地增加資料複製的數量與失效容限設定，最好成對地加入純儲存節點，以便叢集有足夠資源，可以因應純儲存節點失效時的資料重建需求。而在應用純運算節點時，Nutanix也對叢集中包含的純運算節點與HCI節點的比例，有一定的限制，以確保叢集擴展後仍具備足夠的失效容限。</p> <p><strong><span style="color:#B22222;">運算單元的差異</span></strong></p> <p>在分解之後的HCI運算單元方面，Nutanix與VMware採取相似的做法。</p> <p>例如，Nutanix的「純運算節點」，是省略儲存叢集相關元件與功能的節點，可將硬體的運算力都供給Hypervisor，用來運行用戶端VM與應用程式，至於VM與應用程式需要的資料儲存空間，則由Nutanix叢集中的其他HCI節點或純儲存節點來提供。</p> <p>VMware的「運算叢集」，同樣也是關閉了vSAN儲存叢集功能，因而可將叢集節點的運算資源集中供應vSphere，用來運行用戶端VM與應用程式，至於VM需要的儲存空間，則透過HCI Mesh掛載外部vSAN叢集的datastore來獲得。</p> <p>也就是說，Nutanix的「純運算節點」與VMware的「運算叢集」，基本上，都是由省略或關閉儲存叢集功能的節點構成，藉此可避開儲存叢集相關負載的干擾，把更多的運算資源保留給用戶端VM與應用程式執行。</p> <p>簡而言之，兩個HCI平臺去融合化的最大差別是：Nutanix的「純運算節點」支援多種Hypervisor平臺，包括Nutanix的AHV或VMware的ESXi，而VMware的「運算叢集」則只提供自身的ESXi。</p> <p><span style="color:#B22222;"><strong>儲存單元的差異</strong></span></p> <p>關於分拆後的HCI儲存單元，Nutanix與VMware採取完全不同的做法。</p> <p>例如，Nutanix提供「純儲存節點」，這是一種省略了運行用戶端VM能力，只保留儲存叢集功能的HCI節點。</p> <p>實際上，「純儲存節點」雖然也含有Hypervisor，但採用的是Nutanix平臺內含的AHV平臺，用戶不需要另外付費。至於「純儲存節點」當中的AHV平臺，只是為Nutanix儲存叢集的控制器VM提供運作環境而已，不能夠用於運行用戶端VM。</p> <p>因而Nutanix的「純儲存節點」不需要太高的運算資源，處理器規格與記憶體容量都可大幅降低，而這些運算資源也將集中於處理儲存叢集的I/O負載，不會被用戶端VM所干擾。</p> <p>至於VMware超融合平臺，並未提供專門的「純儲存叢集」，HCI Mesh遠端datastore掛載功能所需的datastore空間，是由標準的vSAN叢集來提供。</p> <p>相較於可提供「純儲存節點」的Nutanix，VMware的「非聚合」部署架構在儲存單元方面，可能會出現效能與成本的劣勢。</p> <p>原則上，為HCI Mesh提供遠端data store的vSAN叢集，仍具備運行用戶端VM的能力，因而有影響與干擾這些vSAN叢集I/O效能的疑慮。當然用戶可以主動停用這些vSAN叢集的用戶端VM，以便將資源集中供應vSAN服務，促使這些叢集扮演單純的「純儲存用」角色。</p> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>Nutanix的純儲存與純運算節點</strong></span></span></p> <p><span style="font-size:22px;"><span style="color:#3399ff;"><strong>提供獨立儲存空間與運算資源擴展能力，改善靈活性與成本效益</strong></span></span></p> <p><strong>目前Nutanix一共可提供3種類型的節點，可以在叢集中相互搭配使用：</strong></p> <p><strong>● 超融合節點（HCI Node）：同時擁有運算能力、記憶體與資料儲存空間，可以運行3種Hypervisor平臺，包括VMware ESXi、微軟Hyper-V，以及Nutanix自身的AHV等。</strong></p> <p><strong>● 純儲存節點（Storage Only Node）：只能運行Nutanix AHV 平臺，且只具備最低限度的運算能力與記憶體容量，但可提供大量儲存空間。</strong></p> <p><strong>● 純運算節點（Compute Only Node）：運行Nutanix AHV或VMware ESXi 平臺，只擁有最低限度資料儲存空間，但能提供較高運算能力的處理器，以及較大的記憶體容量。</strong></p> <p class="rtecenter"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%BB%E5%9C%961-Nutanix%20Arch.jpg" style="width: 600px;" /></strong></p> <p><span style="color: rgb(105, 105, 105);">｜Nutanix純運算節點與純儲存節點的應用情境｜</span><span style="color: rgb(105, 105, 105);">上圖為Nutanix提出的純運算與純儲存節點應用範例。標準的HCI節點可用於運行VM與提供儲存空間，純運算節點用於運行按處理器計費的Oracle應用程式VM，而不會將運算資源用於叢集儲存處理，以便更充分地發揮軟體授權效益，純儲存節點則專門負責提供儲存空間，不用於運行用戶端VM。</span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Nutanix</span></p> <p><strong>接下來，我們把重點放在純儲存節點與純運算節點的配置。</strong></p> <p><span style="color:#B22222;"><strong>純儲存節點</strong></span></p> <p><strong>純儲存節點有時也稱為「輕運算節點」（Light Compute Nodes），只能運行Nutanix自身AHV Hypervisor平臺，但這個Hypervisor不用於運行用戶端VM（guest VM），只為Nutanix自身控制器VM（CVM）提供運作環境。至於CVM，則是Nutanix儲存叢集核心，用於處理節點內部與對外的I/O，管理節點內部的磁碟存取，以及節點對外的節點間互連傳輸。</strong></p> <p><strong>純儲存節點的目的是為Nutanix叢集擴展儲存空間，純儲存節點的儲存空間可無縫地加入到既有叢集的儲存空間中，不僅能增加容量，也能提高I/O效能。</strong></p> <p><strong>雖然純儲存節點運行的是AHV平臺，但可相容於運行ESXi、Hyper-V與AHV平臺的Nutanix叢集環境，為這些叢集增加儲存容量。另一方面，AHV是Nutanix AOS平臺內含元件的一部分，無須另外計費，所以增加純儲存節點時，用戶無須額外支付Hypervisor費用。</strong></p> <p><strong>早先只有特定的Nutanix NX系列節點硬體可作為純儲存節點使用，然而，自Nutanix Foundation 4.1版起，所有Nutanix NX系列節點硬體，都可透過部署映像檔的方式，作為純儲存節點使用。當搭配AOS 6.1版以後使用時，用戶在擴展叢集節點時，可選擇將HCI節點轉為純儲存節點，或是將純儲存節點轉為HCI節點。</strong></p> <p><strong>另外要特別注意的是，不可將純儲存節點與「儲存重節點」（Storage Heavy Node）混淆，儲存重節點只是一種擁有較大儲存空間的HCI節點，可運行用戶端VM，與純儲存節點有本質上的區別。</strong></p> <p><span style="color:#B22222;"><strong>純運算節點</strong></span></p> <p><strong>純運算節點的目的，是為Nutanix叢集提供無縫擴展運算能力，也就是處理器與記憶體資源。</strong></p> <p><strong>一開始，純運算節點只能運行Nutanix自身的AHV Hypervisor，且不含CVM元件，只含有運行AHV所需的最低限度儲存媒體配置。自AOS 6.6.2版起，用戶也能建立運行ESXi的純運算節點，同樣也不含CVM。</strong></p> <p><strong>由於純運算節點沒有CVM，因而無法將節點內部的儲存空間加入到Nutanix叢集中，不能為Nutanix叢集提供儲存空間資源，而只能利用AHV來運行用戶端VM，至於這些用戶端VM所需的vDisk儲存空間，則可由Nutanix叢集中的其他HCI節點或純儲存節點來提供。</strong></p> <p><strong>但另一方面，由於純運算節點沒有CVM，這也意味著的所有運算資源，都只會被用在用戶端VM的應用程式上，能讓某些依照處理器核心數計費的應用程式，獲得更好的成本效益，而不會像一般HCI節點必須將相當一部分的運算能力，消耗在運行CVM上。依照Nutanix的手冊，一臺CVM至少需要使用8到12個vCPU，以及20GB以上vRAM的資源，因而純運算節點省下CVM消耗的資源後，將能讓上層的用戶端VM多出不少資源。</strong></p> <p><strong>目前所有Nutanix原廠的NX系列節點，或是其他OEM廠商的節點硬體，都可作為純運算節點使用，也能將既有的HCI節點轉為純運算節點。</strong></p> <p><strong>不過比起純儲存節點，純運算節點的部署條件相對比較嚴苛。例如純運算節點只能加入到已擁有至少3個節點的Nutanix叢集中，且該叢集中純運算節點與一般HCI節點的數量比例不能超過1比2，另外，ESXi版的純運算節點還有特別的限制，只能加入基於AHV平臺純儲存節點組成的叢集，而無法與HCI節點混合使用。</strong></p> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>VMware的HCI Mesh</strong></span></span></p> <p><span style="font-size:22px;"><span style="color:#3399ff;"><strong>提供跨叢集儲存資源共享能力，實現運算與儲存資源分離擴展</strong></span></span></p> <p><strong>從vSAN 7.0 U1開始引進、並延伸到最新vSAN 8 U1的HCI Mesh功能，可以讓用戶建立純運算功能的vSAN叢集，然後將外部vSAN叢集的datastore掛載起來，而成為本身的儲存空間。</strong></p> <p><strong>其中為其他叢集提供datastore儲存空間的vSAN叢集，被稱為HCI Mesh Server叢集。而匯入外部vSAN datastore儲存空間的叢集，則稱為HCI Mesh Client叢集。</strong></p> <p class="rtecenter"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%BB%E5%9C%962-VMware%20HCI%20Mesh.png" style="width: 600px;" /></strong></p> <p><span style="color: rgb(105, 105, 105);">｜透過HCI Mesh的運算與儲存分離部署｜藉由HCI Mesh提供的功能，用戶可以建立只提供運算能力的運算叢集（Compute Cluster），作為HCI Mesh的Client端叢集，然後由外部vSAN叢集扮演HCI Mesh Server端叢集角色，將vSAN叢集的datastore儲存空間，掛載給運算叢集作為儲存空間。</span></p> <p><span style="color: rgb(105, 105, 105);">而一般的vSAN叢集也能作為HCI Mesh的Client端叢集，透過HCI Mesh掛載外部vSAN叢集的datastore，來擴展本身的儲存空間。<span style="font-size: 14px;">圖片來源／VMware</span></span></p> <p><strong>藉由HCI Mesh這項功能，可以實現下列兩個目的。</strong></p> <p><span style="color:#B22222;"><strong>橫跨多個vSAN儲存叢集之間的datastore空間共享</strong></span></p> <p><strong>多個vSAN叢集之間，能藉由HCI Mesh的連結，匯集成一個跨叢集的儲存池，然後將某些vSAN叢集閒置的datastore空間，掛載給需要datastore空間的vSAN叢集使用。</strong></p> <p><strong>非vSAN型式的傳統ESXi叢集，現在也適用於HCI Mesh，可藉此掛載遠端的vSAN datastore空間，而且用戶還不需要為這些傳統ESXi叢集購買vSAN相關授權。就能透過HCI Mesh的遠端掛載能力，讓傳統ESXi叢集也能使用vSAN的儲存服務，</strong></p> <p><strong>利用HCI Mesh的跨叢集遠端掛載datastore能力，不僅能實現跨叢集的儲存資源調配，改善資源利用效率，同時也能突破ESXi與vSAN既有的擴展能力限制，除了叢集本身內含的datastore空間外，還能利用HCI Mesh功能，掛載其他叢集的datastore空間。</strong></p> <p><span style="color:#B22222;"><strong>實現運算、儲存分離，以及非對稱擴展</strong></span></p> <p><strong>用戶可以利用HCI Mesh建立關閉了vSAN儲存功能的「純運算用叢集」，藉此將更多運算資源用於vSphere上運行的用戶端VM，而不會消耗在vSAN上。</strong></p> <p><strong>舉例來說，一臺啟用了vSAN、基於全快閃儲存組態的ESXi主機，vSAN通常需要占用20GB至30GB或更多的實體記憶體。而這也意味著，如果這臺主機將vSAN關閉，就能讓ESXi多出20GB至30GB以上的可用實體記憶體，等於多了8至10%的記憶體資源（以伺服器典型的256GB到384GB主機記憶體容量為計算基準）。</strong></p> <p><strong>至於這些運算用叢集需要的儲存空間，則可透過HCI Mesh掛載其他vSAN叢集的datastore空間來提供。所以，這也等同於分離了運算與儲存單元。</strong></p> <p><strong>另一方面，既有的vSAN叢集，也能利用HCI Mesh掛載外部vSAN的datastore，藉此擴展自身的可用儲存空間，而不需要增加一整臺節點，這也等同於讓這些SAN叢集只擴展儲存資源，而不擴展運算能力，形同於非對稱的資源擴展。</strong></p> <p><span style="color:#B22222;"><strong>HCI Mesh的應用形式</strong></span></p> <p><strong>VMware針對HCI Mesh的應用，設想了下列幾個典型的情境：</strong></p> <p><strong>● 應用程式的重構（refactor）、需要為日誌記錄保留，提供大量額外儲存空間。</strong></p> <p><strong>● 因為組織或業務調整，導致儲存資源需求存在很大的不確定性。</strong></p> <p><strong>● 儲存擴展需求急迫，但運算資源仍有餘裕。</strong></p> <p><strong>● 啟用與部署NSX網路虛擬化，需要遷移原有叢集資料。</strong></p> <p><strong>● 業務分析作業將占用大量運算資源，以致會衝擊底層vSAN的運作。</strong></p> <p><strong>上述這4種情境都出現了臨時的額外儲存空間需求，此時，用戶可以透過HCI Mesh掛載外部vSAN叢集的datastore，來因應這些臨時性的儲存空間需求，而不需要急著為叢集增加節點。</strong></p> <p><strong>最後1種情境則是出現了臨時的額外運算能力需求，可能會影響底層vSAN服務的運作，此時也能透過HCI Mesh，改由外部vSAN叢集來提供datastore空間，免除自身叢集的vSAN服務負載，也就是將儲存服務負載，利用HCI Mesh卸載給外部vSAN叢集來承擔。</strong></p> <p><strong>值得注意的是，vSAN 7與vSAN 8在HCI Mesh功能的應用規格，略有差異。</strong></p> <p><strong>以vSAN 7平臺而言，每一個HCI Mesh Client叢集環境，最多能夠掛載5個遠端datastore，每個HCI Mesh Server叢集能為5個Client叢集提供datastore空間，而且，Client與Server叢集最多能包含64臺ESXi主機，到了vSAN 7 U2以後，增加為128臺ESXi主機。</strong></p> <p><strong>而在vSAN 8平臺方面，每一個HCI Mesh Client叢集環境，同樣最多只能掛載5個遠端datastore，Client與Server叢集同樣也能包含最多128臺ESXi主機，不過，每個HCI Mesh Server叢集，能為10個Client叢集提供datastore空間，比起vSAN 7增加一倍，能將datastore分享給更多Client端叢集使用，大幅擴充了HCI Mesh Server叢集的儲存共享規模。</strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B">封面故事</a></div><div class="field-item odd"><a href="/tags/%E8%B6%85%E8%9E%8D%E5%90%88%E5%9F%BA%E7%A4%8E%E6%9E%B6%E6%A7%8B">超融合基礎架構</a></div><div class="field-item even"><a href="/tags/hci">HCI</a></div><div class="field-item odd"><a href="/tags/vmware">VMware</a></div><div class="field-item even"><a href="/tags/nutanix">Nutanix</a></div><div class="field-item odd"><a href="/tags/%E8%B6%85%E8%9E%8D%E5%90%88%E6%9E%B6%E6%A7%8B20">超融合架構2.0</a></div><div class="field-item even"><a href="/tags/%E9%9D%9E%E8%81%9A%E5%90%88%E5%BC%8F%E8%B6%85%E8%9E%8D%E5%90%88%E6%9E%B6%E6%A7%8B">非聚合式超融合架構</a></div></div></div>
2023/5/18 10:43作者張明德https://www.ithome.com.tw/tech/156937
超融合基礎架構大轉型
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1130-feng_mian_p1-open-ming_de_-960x420_kao_bei_.jpg?itok=s_TdkGrL" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去10年以來，風行於資料中心基礎設施建置的超融合基礎架構（HCI）出現轉型，兩大領導廠商已拆解最基本的「結合運算與儲存資源」概念，資源得以更靈活、更多樣的運用，也改變產品型態，以及在資料中心扮演的角色</p> </div></div></div>
2023/5/18 10:54作者張明德https://www.ithome.com.tw/article/156939
企業為何需自己建立內部資安檢測團隊？台灣樂天網安主管以實務經驗現身說法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在多數企業裡，資安團隊大多扮演防守方角色，抵禦來自外部的攻擊，為了加強資安防護，部分企業會委托外部資安團隊擔任攻擊方，檢測企業內部是否存在安全漏洞或風險，除了委托外部團隊進行檢測，也有企業選擇建立自己的資安檢測團隊（Offensive Security Team），曾在IBM擔任軟體工程師，現在在台灣樂天擔任網路安全防禦部門經理的Peter Chi在今年臺灣資安大會中分享企業建立資安檢測團隊的重要性及實務經驗。</p> <p>Peter Chi表示，大多數企業重視資安防禦，內部資安團隊多為SoC、資安事件回應團隊，部分對內部或產品安全重視的大型企業或跨國公司，在內部建立自己的資安檢測團隊。他以個人過往的工作經驗說明資安檢測團隊，和外部團隊相比，企業資安檢測團隊為內部員工，具備駭客思維，使用相同工具，來模擬外部駭客的攻擊，協助企業改善防禦，由於時常會看到隱祕的資料，資安檢測團隊也必須堅守道德原則。</p> <p><span style="color:#B22222;"><strong>檢測產品安全、提升內部資安意識</strong></span></p> <p>然而資安檢測團隊企業內扮演什麼角色？他以產品開發流程為例，在產品設計（Design）階段，攻擊檢測團隊可以威脅建模，或是在設計階段參與討論，以攻擊方的角度來檢視設計上是否有弱點。</p> <p>傳統上，企業在產品推出之後，為了維護產品安全，委托外部安全團隊執行動態掃描、滲透測試，但是Peter Chi指出，等到產品推出才發現存在漏洞，會增加資安風險。企業若有自己的資安檢測團隊，在產品開發上游階段，產品完成開發後的驗證階段時，由檢測團隊協助驗證產品的安全性，執行動態掃描、安全測試、滲透測試等。</p> <p>不只是產品開發，他認為，資安檢測團隊在企業內也能協助內部訓練，例如員工的安全意識訓練，或是讓開發團隊瞭解如何安全開發，借助檢測團隊的攻擊方角色，讓開發人員意識到開發上原本認為不危險問題，可能遭駭客利用延伸擴大可怕的攻擊。</p> <p>資安檢測團隊也能模擬駭客的真實攻擊，進行滲透測試或紅隊演練，如同委托外部團隊的攻擊測試服務。此外，還可以負責評估眾多的資安服務，利用攻擊測試找出適合企業的資安防護服務。</p> <p>除了上述的角色及好處外，Peter Chi認為和傳統委託外部團隊測試相比，企業擁有內部的資安檢測團隊，能降低委外洩密風險、滿足法遵的要求。另外，每間企業的資安政策不同，例如對一定嚴重程度的漏洞或風險處理方式不同，企業委託外部團隊，資安政策可能產生不一致的情形，內部資安檢測團隊可避免此一問題。</p> <p><span style="color:#B22222;"><strong>內部檢測團隊降低磨合、依需求客製化測試</strong></span></p> <p>許多企業會委託外部團隊提供資安檢測服務，每次可能和不同團隊合作，由於資安檢檢測涉及企業內部機密，與委外團隊合作也存在保密問題，同時內外合作也需要磨合期，而企業也不容易累積相關經驗。</p> <p>當企業有自己的資安檢測團隊，首先是能讓不同團隊間的溝通變得容易，由於是內部團隊，在長期合作下降低磨合問題，也能增進不同團隊間信賴感，企業內部檢測團隊能夠累積相關經驗，從攻擊方的角度，協助企業的產品、內部資安防禦更好。另外，委外檢測程式碼，外部檢測團隊逆向工程，或需要讀程碼，以瞭解程式設計的邏輯，就會存在保密問題，相反地，內部檢測團隊則能配合企業內政策、公司文化，支援檢視程式碼，以及來自開發團隊的資安需求。</p> <p>另外，在委托外部單位作檢測時，企業基於維持正常營運需要或是內部政策，會要求業者不要測試或擅動某個系統或資料庫，就需要和委外業者就測試範圍反覆溝通確認，如果是針對產品檢測，外部合作業者還需要根據不同產品的特性設計檢測，需要時間熟悉每個產品特性。</p> <p>Peter Chi指出，企業委託外部業者協助檢測，實務上受限於預算有限，需要考慮執行檢測的次數及範圍，要對產品檢測，還是要對整個公司檢測，當企業有自己資安檢測團隊，相較比較熟悉每個產品特性，縮短學習曲線，內部溝通效率也能夠提升，並且配合企業的需要客製化檢測，例如針對產品測試，或對某個業務範圍作滲透測試。此外，當發現漏洞或資安風險，檢測團隊可以攻擊方思維、經驗，判定漏洞或風險的優先性。</p> <p>對於企業如何建立資安檢測團隊？他以自己過去經驗表示，一種方式是從內部員工通過訓練來培養，例如從MIS或網路相關員工選出，進行內部訓練，因為是內部員工訓練，不需要重新適應公司文化，但這個方式花費時間較長，且必需考慮到員工的韌性，能否從現有已習慣的工作轉換新的工作等等。選擇合適的訓練資源，包括OWASP、SANS，各種認證、線上課程、資安實戰演練等。</p> <p>另一方式是從外部尋找人才。Peter Chi表示，企業從外部尋找人才組成資安檢測團隊，可考量應徵者的過去工作經驗、過去服務的公司類型、擁有的證照、技能，還有應徵者是否有良好的道德意識。從外部找人才，訓練的時間可能比較少，但需要適應公司文化。</p> <p>不論從內部培訓或從外部找人才，對成員需要定出一套合格標準，例如對公司內部組織流程、規定、使用工具的熟悉，取得的證照，或是設計一套測試，界定是否符合企業資安檢測團隊的要求。</p> <p>至於何時是做檢測的最佳時機？他認為，產品推出之前或基於法遵規定一定要檢測，產品在上市後一段時間可能再作調整，建議最好每年再做一次檢測。另外，當開發上有較大更動，開發團隊認為有必要作檢測時，也能隨時依需求進行檢測。他也建議，企業最好能從開發團隊中指派一位成員，擔任和資安檢測團隊溝通的專業對口，該成員必需瞭解資安檢測術語，熟悉資安檢測及開發的共同語言，如此在開發流程中進行資安檢測才能順利進行。企業內的每個團隊、每個業務部門是否也需要專業對口，則要視公司規模及需求來決定。</p> <p>企業要進行安全檢測，往往不確定該從哪一處下手，儘管每家企業實作可能不同，他認為，應該從企業的營運模式、專業環境來看，如果銷售的產品安裝在客戶端，應在產品進行檢測，如果企業提供服務，則可從外側防火牆作測試，強化防火牆的阻擋，可緩解程式開發上的弱點。</p> <p>當檢測發現漏洞或資安風險，企業內由誰來決定是否要修補，每個企業決策系統不同，可能是業務單位主管或高層決定，由資安檢測團隊基於風險的高低給予專業上的建議，以業務發展為主，還是降低風險為主，需要審慎評估。</p> <p>資安人才從外部提供資安服務，到進入企業In-house成為安全檢測團隊一員，Peter Chi列舉幾項職涯發展的好處，例如降低過去在乙方擔任資安工程師，和客戶間的緊張關係，進入企業成為甲方後，企業內的長期工作輪轉、資源規畫，更穩定且提供更多的發展機會，例如成員運用過去的資安測試經驗，在企業內可往資安檢測團隊、資安防禦發展，或是DevSecOps、內部訓練等方向發展，對比於外部資安檢測服務，在企業內個人專業發展有更大彈性，甚至在主管鼓勵下，投入新技術的研究。</p> </div></div></div>
2023/5/18 09:06作者蘇文彬https://www.ithome.com.tw/news/156927
Visual Studio 2022 17.6效能大提升，可8倍速開啟大型解決方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟發布最新<a href="https://devblogs.microsoft.com/visualstudio/visual-studio-2022-17-6-now-available/#enterprise">Visual Studio 2022 17.6</a>，這個版本具有大量新功能，包括生產力和企業管理等功能更新。大型解決方案的啟動與關閉的速度明顯加快，而企業IT也有更方便的工具，控制組織內Visual Studio的安裝與更新。</p> <p>在這個版本，開發者將明顯感受到Visual Studio 2022應用程式的效能提升，開發團隊更新解決方案開啟功能，以及Chromium解決方案過濾器（Solution Filters），因此在大如含有11,000個專案的完整Chromium解決方案，開啟速度提升可達8倍，相當於解決方案載入時間減少了3.5分鐘，而載入Chromium解決方案所生成的快取，大約只需要30秒。</p> <p>而使用解決方案過濾器載入Chromium的63個專案，效能改進則為3倍，節省大概20秒的快取載入時間，官方表示，較小的專案，效能提升可能就不會如此明顯。同時，微軟也改進了關閉解決方案的速度，使開發者在關閉C++解決方案能夠更快一些，小型程式碼庫的速度可改進20％，而具有超過1,000個專案的大型解決方案，速度則可以提高達50％。</p> <p>Git歷史功能現在也能夠更快載入較久以前，以及提交頻率較低的檔案和資料夾，Git公開儲存庫載入檔案的效能，將能夠提高42％。另外，效能分析器（Performance Profiler）的停止收集操作，效能也獲得大幅改進，現在停止收集的速度約是之前的3.5倍，在使用快取值時，效能甚至可以加速將近15倍。</p> <p>微軟強化Visual Studio 2022的除錯功能，在17.6版本加入中斷點群組功能，開發者可以管理並組織中斷點，讓除錯、測試和故障排除更有效率。Visual Studio現在也會在除錯空間中提供更多建議，協助開發者快速除錯。Visual Studio Profiler中的檢測（Instrumentation）效能獲得提升，現在使用更少的資源，並提供更好的錯誤處理。</p> <p>在企業管理方面，Visual Studio 2022讓IT管理人員能夠更簡單地擴展企業開發環境，除了檔案共享之外，企業現在還可以在內部網路，託管和部署Visual Studio布局，以一種比共享檔案更簡單且快速的方式供用戶安裝Visual Studio。</p> <p>Visual Studio安裝程式獨立於Visual Studio，Visual Studio安裝程式可以管理Visual Studio 2017後的各個版本，從現在開始，Visual Studio 2017、2019和2022每個之後的版本，都將附帶最新的安裝程式，這些Visual Studio版本將自動安裝最新安裝程式，並且對Visual Studio進行錯誤修復和功能更新。</p> </div></div></div>
2023/5/18 08:31作者李建興https://www.ithome.com.tw/news/156933
PTC擴大永續投資布局，CAD、PLM產品未來都將朝向整合綠色設計與永續機制發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「在一個產品的生命周期中，你知道哪個階段對於產品碳足跡的影響最大？」PTC執行長Jim Heppelmann在第二天主題演講中向現場觀眾拋出了這個問題。</p> <p>隨後，他揭曉了答案：「是前期工程設計的決策階段，碳足跡的影響占了80%的比重。」</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/R0009532.JPG" style="width: 600px; height: 314px;" /></p> <p>從這個數字也反映出，企業需要思考如何以永續方式設計產品，來滿足對環境友善和新市場要求。尤其歐盟CBAM今年10月開始試行，美國最快2024年實施CCA碳關稅，以後企業商品輸入美國、歐盟，必須依據產品碳足跡排放支付碳邊境稅。這些措施衝擊到了許多行業，包括高科技製造、工業、汽車等。因此，在今年PTC大會中，除了生成式設計以外，綠色或永續設計成為了另一個受到廣泛關注的重要議題。</p> <p>許多製造業近年來都積極投入ESG永續發展，盡可能減少生產、營運和產品服務對環境足跡的影響，但Jim Heppelmann觀察到，這些企業很快都察覺到，產品設計確定之後，基本上已經決定它會有多少碳排足跡，就算之後進行減碳動作，改善效果仍有限，「關鍵還是在一開始數位環境中做出符合永續設計的決策，才能夠在以後的真實世界中取得更好的減量結果。」</p> <p>PTC永續長Catherine Kniker 在今年的會議上首次亮相，並宣布了一系列重要的策略和合作，除了簽署SBTi承諾展現淨零碳排的決心，她揭露了永續發展進一步策略，將聚焦三個關鍵領域，分別是去實體化（dematerialization）、能源效率和減少廢棄物。為了執行這個策略，他們不僅從內部發展永續實踐，還和許多客戶展開合作。她表示，目前有上百間不同規模、行業的企業用戶正使用他們的工具進行產品設計、製造和銷售，不只能夠符合永續作為，同時幫助他們降低產品足跡碳排。</p> <p>PTC同一天宣布了與工程模擬軟體商Ansys和產品成本分析業者aPriori擴大合作的消息，其中在零件材質方面，PTC的CAD產品Creo、PLM產品Windchill，將整合Ansys的材質資料庫，該資料庫可以提供各種材料碳足跡的相關數據，原本PTC在PLM產品中，就已經能夠支援碳足跡記錄，有了這個資料庫後，企業在選擇供應商材料時，能夠更早地對這些材料碳排放進行匯整和管理，使得他們能夠更有效計算和管理產品碳足跡。</p> <p>另外，透過aPriori的成本模擬分析平臺，設計師可以選擇適合的設計和使用零材料後，進行成本分析，並能夠將設計幾何形狀和製造過程數據都納入考慮，進而給出關於該產品製造成本的詳細資訊，這使得他們在設計產品時可以更快掌握該產品生產的單位成本，以及相應的碳足跡，以便更好地評估和優化產品的製造成本和對環境的影響。</p> <p>除此之外，在AI生成設計上也有結合綠色設計的相關做法。在生成式設計中，工程師或設計師可以使用生成式設計功能生成數千種可能的設計方案，並且可以在參數設定中考慮綠色的參數，比如材料可再生性等，讓AI生成出來的設計，能夠更貼近低碳的永續設計的目標。</p> <p>「我們的生成式設計的願景，就是將越來越多的參數加進設計規範中，其中包括了碳足跡，並根據這些條件下給出最佳答案，這是我們要發展的方向。」Jim Heppelmann如此說道。</p> </div></div></div>
2023/5/17 19:17作者余至浩https://www.ithome.com.tw/news/156929
擔心ChatGPT外流企業機密？第一款商用本土LLM模型亮相，支援離線部署讓對話資料不用出內網
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>華碩旗下子公司台智雲今日（5/17）發布1,760億個參數的大型語言模型福爾摩沙，號稱與ChatGPT同等級，且中文訓練資料占30%，比ChatGPT還要高許多，也具備大量臺灣知識。與此同時，台智雲也將這款模型包裝為4種企業級大型語言模型服務，其中包含可離線部署的大型語言模型地端部署解決方案，讓企業在安全合規的條件下，用自家資料微調福爾摩沙模型，打造專屬應用程式。台智雲下一步要納入其他可商用的大型語言模型（如OpenLLaMA），來提供企業更多模型選擇。</p> <p><span style="font-size:24px;"><strong>以BLOOM為基礎用3個月打造，具多國語言、寫程式和文案能力</strong></span></p> <p>台智雲技術長陳忠誠指出，這款福爾摩沙模型（Formosa Foundation Model, FFM）是以開源語言模型BLOOM為基礎，再以繁體中文和東南亞語言優化而成。這是因為，相較其他大型語言模型，BLOOM具備可商用授權，因此團隊選它來開發。</p> <p>但要打造一款大型語言模型，還得具備3大技術才行。陳忠誠解釋，其中最重要的技術是AI高效能運算（HPC）架構，由於BLOOM具有1,760億參數，非常龐大，無法用單一GPU訓練，因此需要精準切割模型，才能讓近千片GPT發揮最大效能，並利用平行運算（如下圖）來分散式訓練。他們用來訓練的AIHPC是國網中心臺灣杉2號超級電腦TWCC雲平臺。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B9%B3%E8%A1%8C%E9%81%8B%E7%AE%97.JPG" /></p> <p>其他2項技術還包括準備1.5TB、46種人類語言和13種程式語言的訓練資料，這些資料含大量（無）標註資料，另也採用指令式微調和監督式微調（SFT）技術來優化模型。</p> <p>台智雲團隊花了3個月開發，終於打造出具備臺灣本地知識的福爾摩沙模型，共有176B和7.1B參數兩種版本。陳忠誠指出，福爾摩沙模型具備多語言、寫程式和推理能力，在語言部分，不只繁體中文表現優異，可準確回答不少ChatGPT難以答對的問題，還特別加強東南亞語系的能力，為未來南向發展做準備。</p> <p>在寫程式部分，可根據自然語言問題，給出程式碼，並附上自然語言解釋，說明程式設計方法（如下圖）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%A8%8B%E5%BC%8F.JPG" /></p> <p>該模型也具備寫行銷文案和新聞稿的能力，陳忠誠還透露，先前台智雲聯手和碩推動5G O-RAN專網雲服務的新聞稿，就使用福爾摩沙模型來草擬（如下圖）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%B0%E8%81%9E%E7%A8%BF.JPG" /></p> <p>團隊也將福爾摩沙模型與開源的BLOOM本尊相比，發現福爾摩沙可給出更詳細、具體的回答，比BLOOM要優秀（如下圖）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/bloom%E6%AF%94%E8%BC%83.JPG" /></p> <p><span style="font-size:24px;"><strong>推4大企業級服務，地端部署服務提供高機敏產業新選擇</strong></span></p> <p>驗證過福爾摩沙模型的能力後，台智雲也以它為核心，推出4種企業級大型語言模型服務，稱之為AI Foundry Service（ASF）。陳忠誠解釋，取名ASF，是希望走台積電模式，就像晶圓製造一樣，透過提供完善的底層基礎服務，來讓企業在基礎上開發各種應用。</p> <p>這4種服務包括ASF Platform、ASF Shuttle、ASF Cloud和ASF Appliance。簡單來說，前兩者是大型語言模型優化（fine-tuning）服務，其中，企業有明確目標、知道要打造何種應用時，可選擇ASF Platform，來用自己的資料優化所選模型，目前台智雲提供的模型有BLOOM 176B、BLOOM 7B、福爾摩沙176B和7.1B版本。陳忠誠指出，團隊未來也將採用可商用的OpenLLaMA，來提供更多種模型版本來給企業使用。ASF Platform為無程式碼平臺，計價方式為以小時計費，用多少算多少。</p> <p>另一個大型語言優化服務是ASF Shuttle，適合沒有明確目標的企業使用。也就是說，企業可用小量資料（也就是Token，可想像為中文字字數），來進行POC驗證，找出合適的應用情境。這個服務的費用視資料量而定，企業可與其他企業一起分攤，這也是台智雲稱ASF Shuttle為共乘服務的原因。</p> <p>ASF Cloud和ASF Appliance則屬於部署和推論的服務。前者是雲端託管服務，其中的模型是完整訓練過的，可透過TWCC推論和API來供企業使用，計價方式是依用量小時計費。</p> <p>ASF Appliance比較特別，它是台智雲推出的私有雲／地端部署服務，企業可下載大型模型到地端，在地端資料中心、私有雲或搭配企業5G專網來執行LLM應用。擁有高機敏性資料的企業，就能透過這種服務，來在合規安全的環境下，執行專屬應用。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ASF%E8%AA%AA%E6%98%8E.JPG" /></p> <p>同時，台智雲也設計一個驗證應用程式Playground，來讓企業調整大型語言模型給出的回答模式。進一步來說，Playground提供溫度（即創意程度）、最大生成Token數（字數）和重複懲罰等，企業可調整這些參數，來即時查看效果。比如，企業用大型模型打造聊天機器人，希望它能給出多元、有創意的回答，就能調整溫度，來提高回答的多元性，若希望它給出中規中矩的回答，就降低其溫度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%A9%97%E8%AD%89.JPG" /></p> <p>總的來說，這些服務可視為一站式LLM工作流程，包括訓練資料整理、選擇模型進行微調（如ASF Platform或ASF Shuttle），接著以Playground來驗證模型表現，並透過雲端託管或地端部署服務，來執行LLM應用。台智雲強調，這4款服務都符合臺灣A級資安要求。</p> <p><span style="font-size:24px;"><strong>下一步要建立AI 2.0大聯盟</strong></span></p> <p>台智雲數位轉型發展處副總經理黃市民指出，台智雲目前正發展AIGC設計服務夥伴，也就是尋找可靠的AI應用廠商，扮演輔導角色，來協助無AI團隊的企業使用者，建立適合其產業場景的LLM應用。同時，台智雲也與台北市電腦商業同業公會（TCA）聯手，要成立AI 2.0大聯盟，來連結民間願意投入基礎模型與開放生態的力量，推動AI算力產業發展。</p> <p>他也透露，目前已有不少產業的大型企業採用生成式AI解決方案，橫跨醫療、法律、金融、長照、ESG和公共服務等。此外，他們也與越南一家大型電信商展開應用，要將臺灣LLM服務推廣到其他國家。</p> </div></div></div>
2023/5/17 20:05作者王若樸https://www.ithome.com.tw/news/156934
【資安日報】5月17日，駭客利用Go語言開發的Cobalt Strike發動攻擊的情況升溫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了迴避資安系統的偵測，過往駭客大肆利用滲透測試工具Cobalt Strike，後來出現改用Brute Ratel C4（BRC4）現象，而最近這樣的情況又出現了新的變化，研究人員發現利用另一款名為Geacon滲透測試工具的攻擊行動升溫，而這套軟體是有人透過Go語言改寫Cobalt Strike打造而成。</p> <p>駭客利用外流的勒索軟體Babuk原始碼打造自己的攻擊工具，這樣的情況也越來越常見，繼先前有研究人員指出已有10個勒索軟體家族藉此發展針對VMware ESXi而來的程式，又有名為RA Group駭客組織也如法砲製，打造自己的勒索軟體，並在1個星期裡就入侵了4個組織。</p> <p>針對家用路由器而來的攻擊行動，也相當值得我們留意。有研究人員揭露針對TP-Link路由器的攻擊行動，並指出駭客所採用的後門程式Horse Shell，也可能拿來感染其他廠牌的路由器。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.sentinelone.com/blog/geacon-brings-cobalt-strike-capabilities-to-macos-threat-actors/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">以Go語言打造的Cobalt Strike衍生版本遭到濫用，被用於攻擊Mac電腦</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Geacon_3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Geacon_3.jpg" style="width: 300px; float: right;" /></a>有開發人員透過Go語言重新打造滲透測試工具Cobalt Strike的Beacon元件，並將其命名為Geacon，但在開發者提供免費版本（Geacon Plus）後，傳出駭客開始將其用於攻擊Mac電腦。資安業者SentinelOne於惡意軟體分析平臺VirusTotal上，發現有人在4月5日及11日先後上傳了疑似被用於攻擊行動的惡意Geacon檔案。</p> <p>其中一個是名為Xu Yiqing's Resume_20230320.app的檔案，此為AppleScript指令碼打造的執行檔，一旦使用者開啟，此惡意酬載就會開啟履歷表PDF文件來吸引受害者注意，接著從C2伺服器下載Geacon Plus，然後執行後續的竊密行動，或是下載其他的惡意酬載。另一起攻擊行動裡，駭客假借提供中國業者網宿科技的遠距辦公程式SecureLink（SecureLink.app、SecureLink_Client），一旦受害者依照指示執行，此惡意程式就會要求使用者提供視訊鏡頭、麥克風、通訊錄、照片、系統通知的存取權限，在部分情況甚至會要求開放系統管理員的權限。</p> <p>研究人員指出，雖然許多組織在紅隊演練會採用Geacon，但他們看到最近幾個月此程式被用於攻擊行動的情況顯著增加，推測駭客很可能開始利用公開的Geacon分支版本，或是以此為基礎打造自有版本來發動攻擊。</p> <p><a href="https://blog.talosintelligence.com/ra-group-ransomware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織RA Group利用Babuk原始碼打造勒索軟體，鎖定美國與南韓組織</span></strong></a></p> <p>思科Talos威脅情報團隊揭露自今年4月下旬開始出沒的勒索軟體駭客組織RA Group，這些駭客已至少對於3個美國組織及1個南韓組織出手，這些受害組織涵蓋了保險、製造、製藥、財富管理業者。值得留意的是，這些駭客也利用了公開的勒索軟體Babuk程式碼，打造了自己的攻擊工具，若是成功加密受害組織的電腦檔案，該組織的勒索軟體會留下勒索訊息，要求受害組織3天內與駭客聯繫，否則就會洩露竊得的資料。</p> <p>與其他勒索軟體相同的是，此惡意軟體在加密檔案的過程裡，會清除資源回收筒檔案，以及磁碟陰影備份（Volume Shadow Copy）的資料，但不同的是，駭客不光是加密電腦裡的檔案，也會列舉網路上所有的共用資料夾，加密這些網路資源裡的檔案。</p> <p><a href="https://research.checkpoint.com/2023/the-dragon-who-sold-his-camaro-analyzing-custom-router-implant/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歐盟外交機關遭到中國駭客鎖定，在TP-Link路由器植入惡意程式</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Camaro-Dragon-Fig1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Camaro-Dragon-Fig1.png" style="width: 300px; float: right;" /></a>資安業者Check Point揭露中國駭客組織Camaro Dragon的攻擊行動，駭客自2023年1月，鎖定歐洲政府的外交官員而來，攻擊TP-Link家用路由器，部署帶有後門程式Horse Shell的惡意韌體，進而完全控制路由器，例如執行Shell命令、上傳或下載檔案，或是將其做為SOCKS代理伺服器，來中繼特定設備的網路連線。</p> <p>而對於初始入侵的手段，駭客疑似透過漏洞或是暴力破解入侵目標路由器，進而取得管理介面的管理員權限，並竄改路由器的韌體。</p> <p>值得留意的是，這起攻擊行動專門針對家用網路而來，而有可能讓攻擊流量因來自家用網路而被視為無害；再者，上述的後門程式不需依賴TP-Link的特定元件，研究人員認為駭客也有可能將其用於攻擊其他廠牌的路由器。</p> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/lancefly-merdoor-zxshell-custom-backdoor"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">政府機關與航空業者遭駭客組織Lancefly鎖定，散布後門程式Merdoor</span></strong></a></p> <p>資安業者賽門鐵克揭露駭客組織Lancefly的攻擊行動，該組織自2018年以來，利用名為MerDoor的後門程式攻擊東南亞、南亞國家的政府機關、航空業者、電信業者。這些駭客疑似透過網路釣魚郵件、暴力破解SSH連線帳密、找尋曝露於網際網路的伺服器漏洞等方式，來進行未經授權的存取。</p> <p>一旦成功入侵受害組織，駭客就會透過DLL側載的方式，將後門程式注入perfhost.exe或svchost.exe的處理程序，進而規避資安系統的偵測。</p> <p>值得留意的是，除了上述的Windows內建元件，駭客也可能濫用舊版的Avast、McAfee、NortonLifeLock、Sophos防毒軟體元件，或是Chrome瀏覽器元件來執行此後門程式。</p> <p><a href="https://www.fortinet.com/blog/threat-research/more-supply-chain-attacks-via-malicious-python-packages"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾30款惡意PyPI套件被用於發動供應鏈攻擊</span></strong></a></p> <p>資安業者Fortinet於今年3月下旬至4月，找到31個帶有攻擊意圖的PyPI套件，這些套件約有三分之一會執行竊資軟體（Infostealer），從開發環境的電腦盜取敏感資料，其次另有約四分之一的套件，藉由Webhook機制來偷取受害電腦的Cookie、帳號登入資訊、以及加密貨幣錢包的帳密資料。</p> <p>值得留意的是，當中套件也有執行Python指令碼後，會將受害者帶往含有惡意程式碼的URL。</p> <p><a href="https://blog.checkpoint.com/research/global-cyberattacks-continue-to-rise/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">2023年第1季臺灣遭網路攻擊次數全球最多</span></strong></a></p> <p>資安業者Check Point揭露2023年第1季的網路威脅態勢，全球組織平均1週遭到1,248次網路攻擊，較去年同期增加7%，其中成長幅度最高的是亞太地區，平均1週遭到1,835次攻擊，較去年增加16%。但值得留意的是，臺灣組織1週平均遭到3,250次攻擊，是全球攻擊最為頻繁的國家，為整體平均的2.6倍。</p> <p>而從各產業遭受攻擊的情況來看，教育與研究機構最為嚴重，各組織平均1週遭到2,507次攻擊，原因與許多機構轉換為線上教學後，難以確保其網路架構的安全；政府、軍事機構位居第2，1週平均遭到1,725次攻擊，其次為醫療保健機構的1,684次。值得留意的是，增加幅度最大的是零售業，相較於去年同期增加了49%。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://cyberdanube.com/en/multiple-vulnerabilities-in-advantech-eki-15xx-series/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研華串行設備伺服器存在漏洞，可被用於命令注入攻擊、導致記憶體溢位</span></strong></a></p> <p>資安業者CyberDanube在研華科技旗下的工業自動化設備EKI系列串行設備伺服器（Serial Device Server）上，發現CVE-2023-2573、CVE-2023-2574、CVE-2023-2575等漏洞，這些弱點涉及在通過身分驗證的命令注入，以及記憶體緩衝區溢位。</p> <p>一旦攻擊者利用上述漏洞，就有可能在作業系統層級執行任意命令，影響EKI-1524-CE、EKI-1522、EKI-1521系列的機種，CVSS風險評分皆為8.8。研華科技獲報後，發布了1.24版韌體修補上述漏洞。</p> <p><a href="https://patchstack.com/articles/critical-privilege-escalation-in-essential-addons-for-elementor-plugin-affecting-1-million-sites/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WordPress外掛程式Elementor漏洞可讓攻擊者挾持管理員帳號，百萬網站恐曝險</span></strong></a></p> <p>資安業者Patchstack揭露名為Essential Addons for Elementor的WordPress外掛程式漏洞CVE-2023-32243，攻擊者可用於提升權限，且無須通過身分驗證就能利用，從而使用網站管理員權限遠端發動攻擊。</p> <p>研究人員指出，攻擊者只要知道使用者的帳號名稱，就能藉此重設其密碼，而有可能藉此重設管理員的密碼並存取這類帳號，這項漏洞發生的原因，在於此外掛程式的密碼重設功能會直接變更指定用戶的密碼，並未驗證特定的密碼重設金鑰所致，影響該外掛程式5.4.0至5.7.1版的免費用戶，CVSS風險評分達到9.8，超過100萬網站可能曝險。開發團隊WPDeveloper獲報後，發布5.7.2版予以修補。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.mandiant.com/resources/blog/sim-swapping-abuse-azure-serial"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">部署於Azure的VM遭到鎖定，駭客濫用主控臺植入遠端管理工具進行控制</span></span></strong></a></p> <p><a href="https://www.crowdstrike.com/blog/hypervisor-jackpotting-lack-of-antivirus-support-opens-the-door-to-adversaries/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體MichaelKors針對Linux及VMware虛擬化平臺而來</span></span></strong></a></p> <p><a href="https://asec.ahnlab.com/en/52479/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體CLR SqlShell針對微軟SQL Server下手</span></span></strong></a></p> <p><a href="https://www.securityweek.com/organizations-informed-of-over-a-dozen-vulnerabilities-in-rockwell-automation-products/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">工業自動化業者Rockwell Automation修補旗下產品重大漏洞</span></span></strong></a></p> <p><a href="https://blog.cloudflare.com/introducing-constellation/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為防範使用AI過程可能曝露智慧財產或是機密，Cloudflare提供相關保護措施</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/156754"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">證照仍是學習資安基本功的主要管道，有專家打造「資安證照地圖」</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/156756"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">用證照證明自己實力之餘，更應將證照視為督促學習的最大動力</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/156755"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">打破證照誤解與迷思，資安專家帶你釐清資安證照的意義</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156905">【5月16日】財政部電子發票平臺驚傳資安漏洞，恐曝露上市櫃公司營業資料</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156877">【5月15日】誠品書店外洩個資傳出遭支持中國武統人士利用，對臺灣民眾發動心理戰</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156850">【5月12日】 2022年發生50起以上資安事故的臺灣企業比例上揚，接近四分之一</a></strong></p> </div></div></div>
2023/5/17 17:29作者周峻佑https://www.ithome.com.tw/news/156930
從近50年資安防禦重點，看網路安全變化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著網路威脅不斷演變，如今邁入2020年代，大家是否想過面對當前與未來挑戰，資安思維是否也該演進？</p> <p>為了促進大家在未來資安思維與觀念上，可以更有所想法，在CYBERSEC 2023臺灣資安大會上，網路防禦矩陣Cyber Defense Matrix（CDM）發明人Sounil Yu不僅談及他發明的CDM，同時也簡介了過去IT與網路安全的發展史，讓我們建立一些背景認知，才能更好去設想未來的資安防禦重點。</p> <h2><strong>對於企業自身資安防線不夠清楚，可運用網路防禦矩陣CDM來盤點</strong></h2> <p>關於網路防禦矩陣CDM，Sounil Yu簡單說明，普遍企業在投資資安時，相信不少公司主管都有這樣的經驗，會花很多時間與許多資安解決方案供應商溝通，他之前在美國銀行擔任首席安全科學家也是如此。</p> <p>Sounil Yu指出，在這樣的過程中，我們可能感受到，當供應商向自己推銷產品時，但我們不確定這些方案產品所提供的具體防線是在那個位置，特別是如果該供應商說自己什麼都能防護時，這並沒有幫助，因為這並不能幫助自己理解需要哪些產品。</p> <p>因此，他所發明出的網路防禦矩陣CDM，目的就是幫助我們理解產品的適用範圍。同時，他也試著花時間研究不同供應商的方案，盤點這些解決方案集中在哪些領域，並試圖瞭解為何有些構面少有資安業者提出方案。</p> <p>整體而言，對於企業看待自身防護而言，網路防禦矩陣CDM讓我們可以有更直觀的方式，去檢視自己的資安投資狀況與缺口。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%20%E7%B6%B2%E7%AB%99%E5%9C%961)%E8%BF%9150%E5%B9%B4%E8%B3%87%E5%AE%89%E9%98%B2%E7%A6%A6%E9%87%8D%E9%BB%9E%E6%BC%94%E8%AE%8A_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p>整體而言，對於企業看待自身防護而言，網路防禦矩陣CDM讓我們可以有更直觀的方式，去檢視自己的資安投資狀況與缺口。</p> <h2><strong>從過去每個十年的資安防禦演進，看2020年代的挑戰，復原與韌性能力成焦點</strong></h2> <p>對於2020年代的資安防禦態勢，他先從過去的演進開始談起。</p> <p>在1980年代，當時，網路安全的核心挑戰在於，我們不清楚買了哪些IT設備，以及支援哪些業務，因此，當時開始發展資安管理與網路掃描工具。</p> <p>同時，他也從資安與IT團隊彼此關係的角度提出觀點，指出當時IT與安全團隊之間，沒有明顯的緊張關係，因為當時根本沒有安全團隊存在。</p> <p>到了1990年代，網路世界面臨病毒的挑戰，我們看到開始有人散布病毒，入侵企業網路，以及利用不安全配置的情形，因此，資安界開始提出解決方案，包括防毒軟體、防火牆、安全配置指南，也是從這時開始，資安開始受到更多關注，並開始出現以漏洞管理為重點的專門團隊。</p> <p>然後是2000年代，產業間開始強調事件日誌管理與監控，以及入侵檢測系統（IDS）與安全資訊事件管理系統（SIEM）等方案興起，但也面對日誌與警報太多的全新挑戰。</p> <p>而這時的安全團隊也因為需要全天候監控，開始有了安全維運中心（SOC）的建立，並聚焦於威脅管理。</p> <p>近年，2010年代，由於網路攻擊已是防不勝防，我們開始懂得假設組織網路已遭入侵，這時有端點偵測與回應（EDR）、網路偵測與回應（NDR），以及事件應變（IR）的興起，也就在此時，IT團隊與資安團隊也開始分道揚鑣。Sounil Yu也以美國銀行為例，資安團隊開始從IT團對中分離出來，成為一個獨立的業務單位。「而這也類似於我們面對火災，需要消防員與消防工具的情形。」</p> <p>從上述過去幾十年資安的發展，Sounil Yu指出一個有趣的現象，在這4個十年中，資安防護的發展態勢，其實可依序對應到NIST網路安全框架（CSF）的5大核心功能，分別是：識別、保護、偵測、回應，而這也意味著，以當今2020年代的這十年而言，將是一個復原的時代，或者說是具復原力、具韌性的時代。</p> <p>畢竟，如今我們也正面臨勒索軟體攻擊，以及資料刪除惡意程式的攻擊，這種類型攻擊可說是從根本上挑戰了組織的恢復能力。但資安界該有什麼樣的解決方案，來幫助我們做到復原呢？</p> <p>因此，他在2020年提出了D.I.E.的構想，這是他從Content Delivering Network（CDN）、Docker、Serverless架構、區塊鏈等技術，以及所有與雲端相關的技術，所找出的共通特性而成，以分散式（Distributed）、不可竄改（ Immutable ）、短暫的（Ephemeral）這三大特性來思考。</p> <h3><strong>繼續閱讀：<a href="https://www.ithome.com.tw/news/156903"><span style="color:#0000FF;">面對下一個網路安全時代，網路防禦矩陣CDM發明人提出資安防護要有親疏遠近之道，才能強健復原力</span></a></strong></h3> </div></div></div>
2023/5/17 17:55作者羅正漢https://www.ithome.com.tw/news/156908
去年蘋果審核逾610萬個程式，有170萬個被打回票
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2023/05/app-store-stopped-more-than-2-billion-in-fraudulent-transactions-in-2022/" target="_blank">蘋果本周公布</a>了2022年的App Store安全稽核狀況，指出去年總計審核了超過610萬個程式，拒絕了其中的170萬個，通過審核的比例為72%。</p> <p>根據蘋果的統計，App Store團隊平均每周審核逾10萬個程式，接近90%的程式會在提交的24小時內進行審核，去年總計審核了逾610萬個程式，並有18.5萬名開發者是首次提交程式至App Store。</p> <p>行動程式要登上App Store前會面臨許多安全關卡，先是Xcode會系統性地檢查程式是否使用合法技術並符合App Store的最低要求，在開發者將程式上傳至App Store Connect之後，再檢查程式是否採用私有的APIs或含有已知惡意程式，最後才由App Review團隊來確保它符合蘋果的品質與安全標準。</p> <p>從蘋果提供的數據可看出，去年有27.8%的程式被拒於App Store門外，當中有40萬個程式是因為侵犯使用者隱私而遭拒，另有超過15.3萬個程式則是因垃圾訊息、抄襲或誤導而被打了回票，還有近2.9萬個程式則是因隱藏或未紀錄其功能而遭拒。</p> <p>此外，去年也有不少惡意程式企圖闖關，有的程式可自第三方服務來竊取使用者憑證，有的則是偽裝成無害的金融管理平臺，之後卻可變身為其它程式。蘋果去年封鎖或移除了2.4萬個相關程式。</p> <p>值得注意的是，蘋果特別強調該公司的把關，讓5.7萬個不可靠的程式未能登上App Store，這些程式雖然支援iOS與iPadOS，卻不是透過App Store散布，而是來自於其它的第三方程式市集，且它們可能危害使用者的安全及隱私。</p> </div></div></div>
2023/5/17 15:21作者陳曉莉https://www.ithome.com.tw/news/156928
【臺灣資安大會直擊】面對下一個網路安全時代，網路防禦矩陣CDM發明人提出資安防護要有親疏遠近之道，才能強健復原力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於熟悉資安領域的人來說，關於「C.I.A.」資安核心三要素：機密性（Confidentiality）、完整性（Integrity）與可用性（Availability），應該並不陌生，不過，近年來有資安專家認為，隨著技術的進步，新時代的到來，我們很可能需要重新思考只有C.I.A.是否足夠。</p> <p>在2023年的臺灣資安大會上，以提出Cyber Defense Matrix（CDM）安全模型聞名的Sounil Yu，首次在臺分享國際最新資安議題，他特別闡述了以D.I.E.輔助C.I.A.的觀點，讓大家思考未來的資安防護思維可以如何進化。</p> <p><a href="https://s4.itho.me/sites/default/files/images/( 網站圖1)DIE2020年代資安思維_攝影iThome.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%20%E7%B6%B2%E7%AB%99%E5%9C%961)DIE2020%E5%B9%B4%E4%BB%A3%E8%B3%87%E5%AE%89%E6%80%9D%E7%B6%AD_%E6%94%9D%E5%BD%B1iThome.jpg" style="width: 280px; float: right;" /></a></p> <p>關於Sounil Yu，他是前美國銀行首席安全科學家，現在是JupiterOne資安長暨研究主管，而他之前提出的CDM模型，在數年前即在國際間受到熱烈迴響，之前臺灣資安界也已關注這股潮流。</p> <p>例如，在2020年的臺灣資安大會上，戴夫寇爾<a href="https://www.ithome.com.tw/news/140095">公開介紹這款CDM模型</a>為企業組織帶來的效益，隔年臺灣資安大會，奧義智慧更是<a href="https://www.ithome.com.tw/news/144252#Cybercans">將安全模型CDM概念融入桌遊</a>，並首度在會場展示與遊玩，盼藉助遊戲方式，讓國內更懂企業資安防禦規畫。</p> <p>這次Sounil Yu在臺灣的演說中，不僅談及他在2016年發明的網路防禦矩陣CDM，同時，還將他近年在國際資安會議提出的全新資安觀念D.I.E.（分散式、不可竄改、短暫的），介紹給臺灣資安界認識，帶領大家進一步思考網路安全的未來。</p> <h2><strong>2020年代將是重視「復原」的時代，因應新世代挑戰，資安方案該如何前進？</strong></h2> <p>過去2010年代，由於網路攻擊已是防不勝防，因此我們變得更重視資安事件的回應，開始懂得假設組織網路已遭入侵，而在應對這樣的挑戰之下，資安防禦所關注的重點開始有所變化，像是端點偵測與回應（EDR）、網路偵測與回應（NDR），以及事件應變（IR）就在這時興起。</p> <p>Sounil Yu指出，從過去數十年的資安防護發展態勢來看，可依序對應到NIST網路安全框架（CSF）的5大核心功能，分別是：識別、保護、偵測、回應，如今，到了2020年代，他認為，這會是一個「復原」的時代，或者說是重視復原力、韌性的時代。</p> <p>那麼，在2020年代這十年的挑戰是什麼？解決方案是什麼？從近年的威脅來看，Sounil Yu提到了勒索軟體攻擊，以及資料刪除惡意程式，他指出，這種類型攻擊可說是從根本上挑戰了組織的恢復能力，但資安界該有什麼樣的解決方案，來幫助我們做到復原呢？</p> <p>從Sounil Yu提出的設問中，我們可能想到美國政府提到的避風港計畫，或是一寫多讀（WORM）結合不可變快照（Immutable Snapshot）的技術發展，不過，Sounil Yu所要說明的概念並非這些，而是從近年技術趨勢找出一些共通特性。</p> <p>例如，他指出，以Content Delivering Network（CDN）解決方案而言，該技術已經存在一段時間，可以幫助我們在多個不同位置分發內容，有著分散式節點等特性，其他還有像是Docker、無服務器Serverless架構、區塊鏈等技術，以及所有與雲端相關的技術。在這些不同類型技術中，他發現，這些解決方案都具有三大特性：分散式（Distributed）、不可竄改（ Immutable ）、短暫的（Ephemeral）。</p> <p>可以想見的是，這些技術的發展對於系統架構也會產生衝擊，因此，他提出了D.I.E.的構想，並說明此一概念，將幫助組織應對許多不同的安全問題，並在安全價值上發揮重要的作用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/( 網站圖3)DIE2020年代資安思維s_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%20%E7%B6%B2%E7%AB%99%E5%9C%963)DIE2020%E5%B9%B4%E4%BB%A3%E8%B3%87%E5%AE%89%E6%80%9D%E7%B6%ADs_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><strong>對於2020年代這十年我們所要面對的挑戰，Sounil Yu指出這將會是一個重視復原的時代，而如今我們也正面臨勒索軟體與Ｗipers等資料刪除程式的挑戰。</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/( 網站圖4)DIE2020年代資安思維s.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%20%E7%B6%B2%E7%AB%99%E5%9C%964)DIE2020%E5%B9%B4%E4%BB%A3%E8%B3%87%E5%AE%89%E6%80%9D%E7%B6%ADs.jpg" style="width: 600px;" /></a></p> <p><strong>Sounil Yu提出了名為D.I.E.的構想，也就是分散式（Distributed）、不可竄改（ Immutable ）、短暫的（Ephemeral）的統稱，以這些特性來思考未來的網路安全作法。</strong></p> <h2><strong>運用D.I.E概念衡量真正的保護重點，並且避免製造更多「寵物型」的重要系統與資產，才能提升復原力</strong></h2> <p>D.I.E.可帶來什麼助益？Sounil Yu表示，D.I.E.將有助於填補我們對於C.I.A.的需求。他並用上了許多比喻，希望大家能慢慢理解這個新的資安思維。</p> <p>例如，他以風險評估公式Risk = Likelihood x Impact為例，指出一旦漏洞永無止盡，威脅也將永無止盡，而且漏洞將隨著時間變得更為嚴重。但在這樣的公式下，如果能夠降低影響力，就可以降低安全風險。可以怎麼做？D.I.E.就是關鍵。</p> <p><a href="https://s4.itho.me/sites/default/files/images/( 網站圖5)DIE2020年代資安思維s.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%20%E7%B6%B2%E7%AB%99%E5%9C%965)DIE2020%E5%B9%B4%E4%BB%A3%E8%B3%87%E5%AE%89%E6%80%9D%E7%B6%ADs.jpg" style="width: 600px;" /></a></p> <p>接著，他更是將組織內的系統與資產，比喻為寵物（Pets）與家畜（Cattle），從親疏遠近的角度，讓大家思考一個組織真正需要保護的對象。</p> <p>Sounil Yu表示，關於寵物與家畜的差異，大家可以有所想像，多半寵物都有名字，主人會細心照顧與對待，這些就像身分證、個人電腦一樣：相對來看，家畜通常沒有名字，其數量多且取代性高，而且如果家禽一旦生病，可能就會直接處理掉牠，而這些就如同Docker容器、Kubernetes服務等。總而言之，Sounil Yu想要強調的是，保護寵物需要利用C.I.A.的概念，但家畜不需要。</p> <p>從他上述提及的概念來看，我們可以大略理解到，要將系統資產有所區分，只有重要的系統要以照顧寵物的方式對待，也就是以C.I.A.管理概念來盡到保護之責。這樣的道理，我們認為也與縮小攻擊面的資安觀念類似，不過這裡顯然更強調在著重於，減少重要的系統與資產。</p> <p>但問題來了，要如何有效的區分寵物或家畜？以人為判斷其重要性，並不夠客觀，因此，他指出，可具體量化的D.I.E.，將是幫助做到這方面衡量的關鍵。</p> <p>例如，以D.I.E.三要素的短暫性而言，從資產存活時間來看，若是假定存活期限設為60天，超過60天我們可是其為寵物，不到60天則視為家畜，這就是一個簡單量化方法的舉例。</p> <p>在理解寵物與家畜的差異後，我們從中又能認知到什麼？Sounil Yu指出，如果從復原能力的角度來設想，其結論就是，擁有很少寵物與許多家畜的組織，將會比擁有許多寵物的組織，來得更有韌性。</p> <p>而且，若以存活時間與數量的曲線圖來看，通常達到一定的臨界後，越具韌性的代價也會隨之越高。</p> <p>換言之，組織若要更具復原能力、更具韌性，應該要避免存活時間過長的家畜，同時也要避免製造更多重要的寵物。</p> <p>因此，他提出了對於未來資安防護的新想法。雖然，大家可能經常聽到，希望將安全深植於每個地方，但他認為，更好的選擇是，對於那些屬於「寵物」的事物，絕對要從安全設計出發，確保這些系統不會被破壞，並投入資源保護，這才是最重要的，而上述提及的CDM安全模型，也是幫助防護的關鍵參考工具；對於那些不需安全措施的系統，則需要在設計階段就考慮分散性、不可竄改性、暫時性。</p> <p>另外他也提到，將D.I.E.應用到資料的情境，以客戶資料而言，這是多數組織中所擁有最像寵物的資產，而透過隱私增強技術保護，則可將寵物的概念轉變為家畜的概念。</p> <p>特別的是，他也從資安長的角度出發，指出資安長的角色職責，其實就如同網路獸醫師的角色一般，但也要同時扮演網路寵物管控官的角色，以確保我們需要的寵物不會更多，一旦有哪些系統可能變成寵物，就要有人負責領養，企業必需有意識的去選擇。並且要記住，雖然我們都很喜歡寵物，但不要擁有比我們需要的更多的寵物。</p> <p>而在他的自身經驗中，就是將重點放在密切追蹤組織內的所有寵物，同時也會確保這些家畜的情況。</p> <p>最後，Sounil Yu表示，在更好的保護、偵測與回應能力之下，雖然可以減少惡意事件的發生，但不足以應對破壞性的威脅場景，而在下一個IT與網路安全時代中，我們恐將面臨更多不可逆轉的攻擊，這些攻擊將持續挑戰我們的復原能力，因此，最好的對策就是，對於重要系統與資產（寵物），需要C.I.A.與使用網路防禦矩陣CDM來保護，但要避免創造更多「寵物」，並藉助D.I.E的概念來促進創造「家畜」。</p> </div></div></div>
2023/5/17 15:29作者羅正漢https://www.ithome.com.tw/news/156903
手機版Bing Chat整合Widget、支援多語搜尋、跨平臺、能看懂網頁文字
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/156730" target="_blank">微軟5月初全面開放</a>大眾試用Bing Chat後，<a href="https://blogs.bing.com/search/may_2023/Continuing-to-deliver-new-AI-innovation-in-Bing-and-Edge-this-week" target="_blank">本周又再進一步宣布</a>強化手機版AI聊天機器人功能，包括整合Widget、提供情境對話及跨平臺，以及語音輸入與多語言支援等。</p> <p>微軟表示，在Bing手機版開放下載3個月以來，每日下載次數成長8倍。上周微軟則說，手機版Bing App安裝數成長4倍。</p> <p>在Bing的手機版新功能方面，將增加Widget，跨情境支援及多語言支援。微軟推出了Bing Chat widget，方便用戶將之加入到iOS及Android手機主頁上，也將支援語音輸入，很快用戶就可以透過聲控和Bing Chat互動。Bing Chat還將支援跨平臺對話，讓用戶可以在桌機與之對話後，再於手機接續對話，例如在電腦上Bing寫了一個沙拉食譜，到超市後用戶發現蘆筍賣完了，可以在手機上問它可用什麼替代。反之，對話也可以從手機接到桌機平臺。微軟並說已增加英文以外的國家及語音輸入支援，不過微軟未說明支援幾種語言。</p> <p>除了單獨的Bing Chat應用程式，這個AI助理也將整合到手機版Edge及Skype App。在手機版Edge方面，微軟說，很快Bing Chat可具備情境聊天（contextual chat）功能，即能讀懂用戶正在瀏覽什麼網頁；用戶可以就網頁內容問Bing Chat問題，或是讓它幫你做重點摘要。此外，用戶可選擇部分網頁文字，在跳出的選單中叫出Bing對話，要它執行任務，例如進一步提供來源解釋及摘要。手機版Edge Bing Chat功能很快將推向全球。最後，Skype群組聊天功能，很快將加入Bing Chat，用戶只要以@提及，就能召喚Bing出來。</p> <p>除了手機版Bing及Edge，5月微軟公布的多項新功能，包括影片及視覺化支援、社交分享、輸出聊天紀錄，以及知識卡（Knowledge Cards）等，將同時部署到桌機及手機版Bing。</p> <p>微軟會在下周5月23到25日舉行的Build開發者大會上公布更多訊息。</p> </div></div></div>
2023/5/17 13:31作者林妍溱https://www.ithome.com.tw/news/156925
另一名竊取自駕車資料的蘋果前員工遭到美國起訴
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/opa/pr/justice-department-announces-five-cases-part-recently-launched-disruptive-technology-strike" target="_blank">美國司法部本周起訴</a>了第三位企圖將蘋果自駕車商業機密、偷渡至其它公司的蘋果前員工王偉寶（Weibao Wang，譯音），但王偉寶已在遭到調查的時候飛回中國。</p> <p><a href="https://fm.cnbc.com/applications/cnbc.com/resources/editorialfiles/2023/05/16/apple-engineer-indictment.pdf" target="_blank">根據起訴書</a>，蘋果有個專門開發自治系統（Autonomous Systems）軟/硬體的專案，該專案適用於包括自駕車在內的應用，而現年35歲的王偉寶則在2016年3月進入蘋果，擔任該專案的軟體工程師。</p> <p>蘋果對於正在開發的新技術一向極為保密，該專案也不例外。在2018年4月時，蘋果全球的13.5萬名員工中，只有大約5,000名員工知道自治系統專案的存在，更只有2,700名員工有權存取該專案的資料庫，而王偉寶即是其中之一。王偉寶在任職時與蘋果簽署了保密協議，蘋果還進行了個人培訓，指導王偉寶如何處理機密材料，也告知不得轉讓與傳輸蘋果知識財產權的規定。</p> <p>王偉寶為註解團隊的工程師，該團隊專門開發可加速或強化註解實體世界物件的演算法。不過，王偉寶在2017年11月時便同意加入一家正在開發自駕車的新公司，該公司的總部位於中國，並於美國設有子公司，但王偉寶一直到4個月之後才向蘋果遞出辭呈，於4月16日離職。</p> <p>然而，蘋果在5月稽核該公司網路的存取歷史紀錄時，發現王偉寶在離職的前幾天曾經存取了大量的機密資料，因而向執法機關報案，FBI探員在6月27日搜索了王偉寶的美國住處，找到他自蘋果盜走的大量資料。此外，王偉寶還向探員表示並沒有離境計畫，卻在當天就購買了單程機票飛往中國。</p> <p>這已是第三位企圖偷竊自駕車商業機密的蘋果前員工，前有張小朗（<a href="https://www.ithome.com.tw/news/152654" target="_blank">Xiaolang Zhang</a>，譯音）與陳紀中（<a href="https://www.nbcbayarea.com/news/local/another-apple-engineer-accused-of-stealing-autonomous-vehicle-trade-secrets/3310/" target="_blank">Jizhong Chen</a>，譯音），這兩位都曾是蘋果的硬體工程師，且都已被逮捕。</p> <p>王偉寶被控6項有關竊取商業機密的罪行，若被定罪最高將面臨10年的刑期及25萬美元的罰款。</p> </div></div></div>
2023/5/17 13:45作者陳曉莉https://www.ithome.com.tw/news/156926
蘋果即將推出認知輔助功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2023/05/apple-previews-live-speech-personal-voice-and-more-new-accessibility-features/" target="_blank">蘋果本周宣布</a>，將在今年稍晚推出新的輔助（Accessibility）功能與工具，以讓各種生活不便的人更容易使用蘋果裝置。計畫推出的新工具包括Assistive Access、Live Speech、Personal Voice與Point and Speak等。</p> <p>其中，Assistive Access專為具備認知障礙的使用者所設計，支援iPhone與iPad。該功能主要是整合了相關裝置上的核心功能，包括把電話及FaceTime整合成單一通話程式，並提供客製化的訊息、相機、照片及音樂體驗。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0517-apple-Assistive%20Access.png" style="width: 400px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_蘋果</span></span></p> <p>因此，Assistive Access不僅擁有高對比的按鍵及大型的文字標籤介面，使用者或照顧者還可打造客製化的使用工具。例如在訊息中採用只有表情符號的鍵盤，以及提供可錄製影片訊息以與親友分享的選項；也可選擇採用視覺化的主畫面及程式布局，或是文字化的欄位布局。</p> <p>而Live Speech則專門替瘖啞人士或逐漸喪失語言能力的使用者所打造，支援iPhone、iPad與Mac。使用者可先行利用打字寫下他們想說的話，之後即可在電話、FaceTime或與親友在現場對話的期間，由系統朗誦這些文字。亦能儲存常用語句，以於與親友聊天時快速套用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0517-apple-Live%20Speech.png" style="width: 400px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p>另外的Personal Voice則可用來創造與使用者聲音相似的語言，支援iPhone與iPad，系統會要求使用者唸出一系列的語句，並利用機器學習來模擬使用者的聲音。之後即可搭配Live Speech使用，以自己的聲音朗誦事先準備的文字。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0517-apple-Personal%20Voice.png" style="width: 202px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p>Point and Speak則是替視覺障礙用戶所設計，它內建於iPhone與iPad中的放大鏡（Magnifier）程式中，利用相機程式及光學雷達掃描儀，以根據使用者手指的移動讀出文字，當搭配放大鏡中的人物偵測、門偵測或圖片描述等功能時，將更能協助使用者掌握周遭環境。</p> </div></div></div>
2023/5/17 12:55作者陳曉莉https://www.ithome.com.tw/news/156924
社群公認當前Go開發最大挑戰是編寫錯誤處理程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://go.dev/blog/survey2023-q1-results">程式語言Go官方調查社群內，對近期語言改動的意見</a>，發現目前Go開發者的主要挑戰是錯誤處理與編寫最佳實踐程式碼，另外，官方也注意到模組難以維護的問題。</p> <p>過去Go最被開發者詬病，甚至有<a href="https://www.ithome.com.tw/news/137129">高達8成受訪者不滿意的缺點—缺乏泛型（Generics）</a>，在<a href="https://www.ithome.com.tw/news/148469">Go 1.18正式推出泛型後</a>，抱怨的聲音已經逐漸消失，儘管社群內對官方所提供的泛型有各種意見，但是泛型現在已經不是開發者在使用Go上最主要的挑戰。</p> <p>在最新的開發者大調查中，顯示當前社群認為Go開發最大的困難在於錯誤處理（Error Handling），不少開發者回饋Go的錯誤處理程式碼過於冗長，官方提到，這樣的回應單就字面上來看，代表著開發者對於編寫重複的錯誤處理程式碼感到無聊或是過於繁瑣，探究其背後的意義，也可能表示錯誤處理會影響開發者的除錯能力。官方引用開發者的意見，提到現階段的錯誤處理，可能會造成混亂，如果處理不恰當，反而會掩蓋真正的問題。</p> <p>另一個Go開發者的挑戰是寫出最佳實踐程式碼。Go是一個易學難精的程式語言，在之前的調查中，有超過70％的受訪者認為，學習使用Go第一年就能很有效率的開發，但是學習Go的最佳實踐，卻也是Go開發者的主要挑戰之一。</p> <p>受訪者認為，Go沒有良好的最佳實踐文件，缺乏程式碼結構、推薦工具以及函式庫使用等相關紀錄，這使得初學者和團隊很難保持程式碼的一致性。對於想學習寫出符合Go慣用語法程式碼的開發者，增加了不少難度，尤其是對習慣其他程式語言開發範式的人來說更是如此。</p> <p><a href="https://www.ithome.com.tw/news/125500">Go 1.11的時候加入了模組的概念（Module）</a>，模組雖然為開發者帶來許多程式開發的便利性，但是維護模組的工作本身，對模組開發者卻不怎麼友善。Go官方2023年計畫對模組維護者進行研究改進套件生態，因此在這次的大調查中，也進一步了解模組維護者目前面臨的挑戰。</p> <p>而調查結果顯示，模組維護者認為目前最大的挑戰，是維持相依性更新以及版本控制方面的困難，像是避免、辨識和掌握引入重大更改的時機，官方承諾，他們將基於這些意見，制定改進策略。</p> </div></div></div>
2023/5/17 13:00作者李建興https://www.ithome.com.tw/news/156918
微軟連用戶以密碼保護的壓縮檔都能檢查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://infosec.exchange/@threatresearch/110373860063222707#" target="_blank">研究人員發現</a>微軟的SharePoint現在可以掃瞄平臺上的Zip檔，即使檔案啟用密碼防護。</p> <p>安全研究人員Andrew Brandt日前因為工作之故，將惡意程式樣本壓縮成Zip並啟動密碼為「infected」的保護，欲上傳公司SharePoint的資料夾分享給同事。他不久後接到傳送失敗的系統通知，理由是偵測到有惡意程式。研究人員說，過去這種方法都行得通，顯然微軟現在更積極掃瞄用戶以密碼保護的檔案。他雖然理解微軟是為了安全考量，但這種作法不但有刺探性，也限制了安全研究的空間。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0517-microsoft%20zip%20file%20scan%20by%20%20Andrew%20Brandt.png" style="width: 500px;" /></p> <p><a href="https://infosec.exchange/@threatresearch/110373860063222707#" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Andrew Brandt</span></span></a></p> <p>安全專家Kevin <span style="font-size: 13px;">Beaumont</span>相信，這是這名用戶使用的密碼不夠安全所致，因為微軟產品具有一個密碼列表能在傳送檔案時執行掃瞄，它還會從傳送的信件中截取出密碼。Beaumont指出，在Windows中加密Zip檔的ZipCrypto技術只能提供相當基本的加密保護，至少要使用AES-256加密才夠安全。就安全研究而言，他也建議不要在微軟平臺上進行研究。</p> <p>微軟之所以提高對檔案的檢查意圖也其來有自。愈來愈多駭客濫用密碼保護，透過SharePoint及雲端硬碟服務傳送惡意程式感染用戶。例如<a href="https://www.ithome.com.tw/news/156142" target="_blank">有研究人員發現</a>駭客組織Mustang Panda將有密碼保護的壓縮檔上傳Google Drive以躲避掃瞄，<a href="https://www.ithome.com.tw/news/156830" target="_blank">北韓駭客組織Kimsuky則引誘</a>受害者到OneDrive下載以密碼保護的惡意Word檔。</p> <p>Google對<a href="https://arstechnica.com/information-technology/2023/05/microsoft-is-scanning-the-inside-of-password-protected-zip-files-for-malware/" target="_blank">《Ars Technica》</a>聲稱，Google Workspace並不會掃瞄密碼保護的檔案，但一旦信件中挾帶此類檔案，Gmail的確會將之標示出來提醒用戶小心。</p> </div></div></div>
2023/5/17 10:58作者林妍溱https://www.ithome.com.tw/news/156916
如何應對ChatGPT掀起的生成式AI技術風潮？PTC首度揭露未來生成式設計的發展方向
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【美國波士頓直擊】為了應對ChatGPT的風潮，在LiveWorx大會第二天一場全球媒體採訪中，PTC執行長Jim Heppelmann首度揭露了更多關於3D CAD設計的AI戰略。與其競争對手SolidWorks做法不同，PTC將採用以3D資訊作為輸入，直接生成3D設計圖作為輸出的生成運作模式，而非依靠自然語言提出需求，作為未來生成式設計（Generative Design）的發展方向。</p> <p>ChatGPT的熱潮席捲全球，不只展現了生成式AI技術在對話應用的突破性發展，更擴展到了設計領域，一些AI新創或公司開始推出或發展自己的3D模型生成工具，甚至還有3D CAD大廠SolidWorks要發展設計界ChatGPT，讓使用者用自然語言提需求，就能生成3D CAD設計圖。</p> <p>不過，對此，Jim Heppelmann則持有不同的看法，他主張，使用者輸入的內容應該是3D資訊，而不是自然語言文本。他進一步解釋，OpenAI的ChatGPT雖然能夠僅通過文本來生成各種長度的文本，但在3D生成方面，很難僅用一段文字描述來準確表達3D零件特徵和輪廓，就像操作CAD設計出精密3D幾何圖形那樣。</p> <p>「事實上要真正表達3D的唯一方式就是在3D環境中」他說道。在PTC的CAD產品中，他們很早就使用AI技術來提供生成式設計功能，他以3D CAD軟體Creo作為例子，使用者先提供一個3D建模概念，然後AI根據這個概念生成符合設計需求的設計，「這是真正的生成式3D，就是3D輸入即3D輸出」，與對話式的ChatGPT運作方式不同，但它仍然是基於AI的生成式技術。</p> <p>這也透露了PTC未來生成式設計的發展方向，與競爭對手明顯不同，PTC將採用以3D資訊作為輸入，直接生成3D設計圖作為輸出的生成運作模式，而不是依賴自然語言提出需求進行設計生成<span style="color: rgb(55, 65, 81); font-family: Söhne, ui-sans-serif, system-ui, -apple-system, "Segoe UI", Roboto, Ubuntu, Cantarell, "Noto Sans", sans-serif, "Helvetica Neue", Arial, "Apple Color Emoji", "Segoe UI Emoji", "Segoe UI Symbol", "Noto Color Emoji"; font-size: 16px; white-space: pre-wrap; background-color: rgb(247, 247, 248);">。</span>。</p> <p>然而，要使用3D資訊來提出需求並生成3D設計圖，就需要一套相應的工具。面對這個問題，Jim Heppelmann有些猶豫地說：「我不確定是否應該宣布，但我還是告訴你吧。」接著他說：「我們計畫在Onshape（純雲CAD軟體）的免費版本中增加生成式3D功能，這樣人們就能夠體驗並嘗試這項技術。」</p> <p>對於生成式AI是否會成為生成式設計下一代AI技術？PTC技術長Steve Dertien提到了生成式AI的限制。儘管他僅以ChatGPT作為例子，但也暗示了目前生成式AI在生成複雜的3D模型方面存在一些困難。</p> <p>他表示，ChatGPT是一個超大型的自然語言模型，可以用於生成一些簡單的基本形狀或立方體，但是當遇到需要生成複雜的3D模型，例如渦輪噴射引擎時，複雜性就會增加。在這種情況下，用語言來完整表達其功能和特性變得困難，而且生成的結果也不夠準確。</p> <p>他也提到說，目前公司內部正在進行6至7個AI專案，評估將各種形式的AI技術應用於Creo和Onshape等3D CAD設計產品中。此外，他們也與微軟展開相關評估合作，提高生成結果的準確性。</p> </div></div></div>
2023/5/17 11:17作者余至浩https://www.ithome.com.tw/news/156915
今年底Google將開始刪除兩年內未登錄的Google帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/safety-security/updating-our-inactive-account-policies/" target="_blank">Google本周宣布更新安全政策</a>，今年底開始2年未登入的Google帳號將會被整個刪除，而不只是被清空裏面的內容。</p> <p>這項新政策是繼2020年11月以後Google更進一步減少免費服務耗用的成本。<a href="https://blog.google/products/photos/storage-policy-update/" target="_blank">根據2年前更新的政策</a>，Google會刪掉未登入或超出儲存上限的Google Drive、Gmail及Photos等服務的檔案內容。</p> <p>Google的理由是安全性。Google指出，太久未登入的帳號，多半使用舊密碼或重覆利用的密碼，也未啟用雙因素驗證，使用者也不關心，較容易被駭入。而一旦被接管，可能被駭客用於竊取身分或發送垃圾郵件等惡意內容。</p> <p>這項政策實施對象為個人Google帳號，不影響學校或企業用戶。Google還說，這次更新符合業界資料留存標準，也減少Google保存用戶未使用個人資訊的時間。</p> <p>政策從即日起生效，但Google今年12月才會開始刪除帳號。而在刪除時，Google將從建立後沒再用過的帳號開始刪除。而在刪除前Google還會在幾個月之前，多次發送通知到帳號持有人及其回復帳號的信箱。</p> <p>至於如何避免被刪除，只要用戶登入Google帳號透過Gmail帳號收發信件、使用Google Drive、觀看YouTube影片，從Google Play Store下載App、使用Google Search，或是利用Sign in with Google來登入第三方應用或服務，該帳號就會視為經常使用的Google帳號而不受影響。此外，若用戶以Google帳號訂閱新聞或應用程式傳到Google One，該帳號也不會被刪。</p> <p>這也是Google縮減免費服務的最新宣布。<a href="https://www.ithome.com.tw/news/144274" target="_blank">2021年5月起Google Photos就不再提供無限制免費上傳相片</a>，而是連同Google Drive、Gmail包含在15GB的免費空間限額中。超過這個限制的用戶會被要求購買付費服務Google One。</p> </div></div></div>
2023/5/17 11:44作者林妍溱https://www.ithome.com.tw/news/156917
證照仍是學習資安基本功的主要管道，有專家打造「資安證照地圖」
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於從事資安的工作者而言，取得相關證照對自己的生涯有幫助，而從企業已比往年更需要資安人手的態勢來看，除了設法突顯自己具備足夠的實務經驗，我們還能如何證明自己？通過相關考試、拿到證照是一種方法。</p> <p>有些資安專家沒有證照，卻能透過先前的職場工作經歷展現自身能力，相反地，若是求職者無法輕易展現自己的能力、成績，或是徵才者本身無法鑑別其學經歷是否合適，是否取得相關的證照可能就是最容易判斷彼此需求的做法，同時也是公司對員工進行相關培訓的一種能力養成與驗證體系。</p> <p>當然，有了資安證照，並不代表有足夠經驗而能處理複雜資安問題，但是，透過親身經歷與職內訓練學資安，雖然很務實，但有可能從這些經驗當中學習到片面、似是而非，甚至是錯誤的觀念，這也是為何需要結合系統化學習過程的資安證照，對於從事資安的人員獲取完整的基本知識及正確的管理觀念，會有很大的幫助。</p> <p>對於資安從業人員而言，當前我們除了可以透過資安人才技能框架，盤點學習技能方向，也可善用發展已久的既有資安證照體系，從廣泛了解各個領域的證照著手，在過程中依序取得或驗證具備該方面的知識。</p> <h2><strong>資安相關證照多元，國際間有資安專家做出詳細盤點</strong></h2> <p>對於資安證照的發展與現況，大家可能好奇，是否有相關的盤點，我們看到國際間有資安專家做出這方面的整理，形成一套可供外界了解不同證照的定位的「資安證照地圖」（Security Certification Roadmap），能作為一種借鑑。</p> <p>簡單來說，關於這個資安證照地圖，最早是由Drackar在2014年製作、發布，但由於後續沒有繼續發展，因此由資安專家Paul Jerimy在2018年接手。</p> <p>在2019年，他先是發布了Security Certification Progression Chart V5.2版，將證照技能類別畫分為11大類，包括：資安管理、數位鑑識、惡意程式分析、事件應變、資安稽核、漏洞成功利用開發者、滲透測試、入侵偵測、ICS安全、系統管理，以及網路管理，並持續將相關證照納入其中；2019年底年又有新的調整，推出6.1版，將技能類別簡化為6大類，包含安全實施（網路安全、Cisco、Windows、Linux、Cloud/SysOps、ICS/OT）、安全架構、安全管理、安全分析、防禦操作，以及攻擊操作。</p> <p>到了2022年，Paul Jerimy在收到多方回饋後，新建構出資安證照路線圖。將證照技能類別分出8大類，包括：通訊與網路安全、身分識別與存取管理、安全架構與工程（含Cloud/SysOps、ICS/IoT）、資產安全、安全與風險管理（含GRC）、安全評估與測試、軟體安全，以及安全維運（含數位鑑識、事件處理、滲透測試、漏洞成功利用）。截至2023年1月為止，這份資安證照地圖已經納入473項資安證照。</p> <p>在這些變化之下，除了注意到資安證照的數量可能比大家想像的還多，而從資安證照分類方式的演進與變化，也讓我們進一步思考這些證照的定位。</p> <p>為了讓大家對於資安證照的價值與潮流，有更好的認識，我們這次詢問兩位有業界經驗的資安專家，透過他們的看法與經驗，帶領我們更深入了解資安證照的重要性及趨勢。</p> <h2><span style="color:#0099ff;"><strong>Paul Jerimy設計Security Certification Roadmap </strong></span>V7.0（2020） </h2> <p><a href="https://s4.itho.me/sites/default/files/images/（網站主圖）資安人才能力證明主文_圖片來源Paul Jerimy.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E4%B8%BB%E5%9C%96%EF%BC%89%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%83%BD%E5%8A%9B%E8%AD%89%E6%98%8E%E4%B8%BB%E6%96%87_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Paul%20Jerimy.jpg" style="width: 600px;" /></a></p> <p class="rteright">圖片來源／Paul Jerimy<span style="color:#696969;">（點擊圖片可放大）</span></p> <h2>V6.1 (2019.11)</h2> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2_5）Security Certification Progression Chart v6_1_圖片來源Paul Jerimy.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962_5%EF%BC%89Security%20Certification%20Progression%20Chart%20v6_1_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Paul%20Jerimy.jpg" style="width: 600px;" /></a></p> <p class="rteright">圖片來源／Paul Jerimy</p> <h2>V5.2 (2019)</h2> <p><strong><a href="https://s4.itho.me/sites/default/files/images/（圖2）Security Certification Progression Chart v5_2_圖片來源Paul Jerimy.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89Security%20Certification%20Progression%20Chart%20v5_2_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Paul%20Jerimy.jpg" style="width: 600px;" /></a></strong></p> <p> </p> <p><strong style="font-size: small; vertical-align: top; background-color: rgb(247, 247, 247); color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif;"><span style="vertical-align: top; color: rgb(51, 153, 255);"><span style="vertical-align: top; font-size: 20px;">本文出自《CYBER TALENT 臺灣資安人才專刊》</span><img alt="" src="https://s4.itho.me/sites/default/files/images/CYBER%20TALENT%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E5%B0%88%E5%88%8A_%E7%B7%A8%E8%BC%AF%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 150px;" /></span></strong></p> <p class="rteright">圖片來源／Paul Jerimy</p> </div></div></div>
2023/5/17 10:00作者羅正漢https://www.ithome.com.tw/news/156754
打破證照誤解與迷思，資安專家帶你釐清資安證照的意義
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於取得資安證照這件事，儘管大家都知道這是可以系統性學習資安的方法，但市場上也時常出現爭論不休的議題，使得資安證照的基本價值容易被忽略，究竟證照的效益如何？產業間對證照的誤解與迷思有哪些？</p> <p>現任職於華碩電腦，同時擔任(ISC)2 Taipei Chapter監事的黃星評指出，考資安領域的證照，並無法以二選一來認定是否有用。為了讓大家容易理解，他建議大家對證照先要有4個背景認知。</p> <p>首先，證照是專業訓練的一種手段。讓資安的正確觀念與基礎知識，可透過取得具公信力資安證照掌握國際觀點的要求，對資安管理人員來說，建立正確管理觀念與基本功，是最重要的一步。</p> <p>第二，資安的工作面向很廣，實務上我們會遇到不同領域的問題，因此透過資安證照的系統化學習，才能全面了解各個知識領域，提升專業溝通能力。</p> <p>例如，CISSP證照所涵蓋的資訊安全通識體系8大領域，都是工作上需接觸且必要的概念，如果能透過證照體系的訓練與考核，去學習這些基本知識，未來工作上遇到問題時可自行研究，不用完全依賴外部顧問，也能因應搞不懂專有名詞與其運作概念等尷尬窘境。 </p> <p>第三，要了解這個職業最低需要具備的基本能力。證照可以幫助自己了解缺少什麼，應該要補足哪一些知識點，但同時也要知道：並非考到證照就非常厲害，證照只是證明自己的其中一個手段，還有很多方法可以證明自己的能力，而且，證照的理論與實務需要相輔相成，絕對不可只重視任何一方。</p> <p>第四，資安技術比起資安管理確實比較不需要證照。這個領域更需要作品與成績，包括CTF競賽、Side Project與Bug Bounty的成就等等，但管理與技術彼此相輔相成，都需要多少有些了解。</p> <h2><strong>從證照了解不足，能否與不同角色的有效溝通是資安成功關鍵</strong></h2> <p>在黃星評的證照準備經驗中，他認為，學習並考取多項證照的過程，可以很容易發現自己的不足之處，透過國際認可的框架，能幫助梳理自己缺乏的專業知識。而擁有基礎知識的好處在於，當遇到問題時，可以更快找到解答。</p> <p>過去黃星評曾擔任安永企業管理諮詢服務資安顧問，那段期間，他體認到：當自己有了廣泛的基礎知識之後，面對業務主管、IT技術專家、資安管理人員、高階主管所提出不同技術與管理問題時，將能夠有效地依據其業務給出答案。他並強調，能夠與不同單位進行有效溝通，是資安能夠成功的基礎要素。</p> <p>證照的推行，當然也有反面例子，黃星評也提及自己曾觀察到的反面例子。例如，有些新人直接參與資安專案，這可能會引發許多問題，因為他們通常會面臨許多困境，像是不知道正確的做法、不清楚前輩教的是否正確、不熟悉方法論的原理，以及不明白自己應該具備哪些基礎知識。因此，除了受到現實的限制，往往導致專案並非採用最正確的方式來進行，更可怕的是，許多從業人員可能不知道適合的觀念和做法。</p> <p>無論如何，儘管證照的內容往往是以100分的理想狀態來呈現，但如果不了解100分的目標，實際執行這些工作的人們，可能就無法持續朝著正確的方向前進。因此，這是非常重要的。</p> <p>至於企業高層徵求資安人才時，有那些證照很實用？他從兩個面向來看，一個是針對資安技術領域人員的部分，包括：CEH、CPENT、OSCP、CompTIA CySA+，另一是針對資安管理領域人員的部分，包括：CISSP、CCSP、CISM、CISA，這些證照都是不錯的選擇。</p> <p>由於現今大多數企業資安人員不足，從業者可能對未來發展有許多疑惑與迷茫，也可能因為不熟悉該領域，而導致專案品質不佳，或是變成趕快結案就好的心態，他建議可先從能廣泛了解各個領域的證照開始學習，不論是甲方或乙方的人員都能提升本身價值與專業。</p> <p>附帶一提的是，他並強調，並不一定要去考取證照，透過學習該證照教材，同樣能提升溝通與延伸學習能力，例如CompTIA Security +、ISC2 CC、ISACA CISM等認證的教材內容，都很值得學習。</p> <p>另外他指出，國外許多資安從業者會將具有公信力的資安證照納入專業能力評估的一環，不分職位高低，都會考取一兩張具有公信力的資安證照。但他發現，在臺灣相關學習地圖中，對於許多資安證照的定位有蠻大的誤解，他認為，應該如國外思考，以證照本身在該領域是否為所必要的知識，來決定它的等級。例如，ISC2 CISSP、ISACA CISM、CREST CPSA的證照內容，其實是廣而不深，應該放在中階而非高階。</p> <p> </p> <p><strong style="font-size: small; vertical-align: top; background-color: rgb(247, 247, 247); color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif;"><span style="vertical-align: top; color: rgb(51, 153, 255);"><span style="vertical-align: top; font-size: 20px;">本文出自《CYBER TALENT 臺灣資安人才專刊》</span><img alt="" src="https://s4.itho.me/sites/default/files/images/CYBER%20TALENT%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E5%B0%88%E5%88%8A_%E7%B7%A8%E8%BC%AF%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 150px;" /></span></strong></p> </div></div></div>
2023/5/17 10:00作者羅正漢https://www.ithome.com.tw/news/156755
用證照證明自己實力之餘，更應將證照視為督促學習的最大動力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在資安人才培育備受重視之際，資安證照的需求亦成為關注焦點，然而，市面上有許多種類的資安證照，認可程度和要求也不盡相同，資安證照實用嗎？現在當紅資安證照又有那些？</p> <p>對此，我們詢問經常受媒體採訪而回應資安議題，且很早就在臺灣介紹美國NIST SP 800-207零信任架構的專家，也就是臺灣科技大學資訊管理系教授兼系主任暨資安中心主任查士朝。他表示，基本上，資安證照比一般技術證照更有用，最主要原因是一些資安工作會「綁」資安證照，因此會有一定的用處，但是在大部分的情況下，他會建議一般人在準備證照時，如果想考取非工作資格相關的證照，可從督促自己學習的角度來看待，會是比較正面的心態。</p> <p>而從資安證照的態勢來看，一般而言，主要是與市場需求息息相關。例如，最近政府在資通安全責任等級分級辦法當中，要求要取得相關證照，而未了因應這樣的政府規範，自然而然地，我國8大關鍵基礎設施的政府或企業人士就會設法取得相應的證照，因此，一般傳統的ISO 27001、CISSP、CISM、CISA等，仍然會是主流；另一方面，在執行工作上需顯現自己能力的證照，如CEH、OSCP也屬熱門。</p> <p>以近期來看，由於2022年底ISO 27001改版，現階段相關換證需求會很大，另外就是比較具鑑別力的證照，像是資安訓練機構Offensive Security推出的證照，因為需要經過實機演練，也變成技術人員提升能力時所考量的重點。</p> <h2><strong>從證照發展態勢來看，最近兩三年，是否有一些新的證照值得特別關注？</strong></h2> <p>查士朝指出，以資安證照的內容來判斷，除了基本資安觀念的證照，技術相關的證照，還有一些是依附在某個技術或標準之下，讓該項技術應用時能夠考慮到安全性的證照。</p> <p>例如，近年來隨著工控資安受到重視，所以有些人會學習 IEC/ISA 62443相關的資安證照，或在容器架構受重視時，有人會設法取得與雲原生架構相關的證照，如CKA、CKAD、CKS等。</p> <p>不過，在臺灣的生態環境下，重點還是放在執行資安工作所需要的證照，而對於其他隨著技術或科技潮流的證照，多半只有在個人真的想要學習那項技術時，作為自我成長之用。</p> <p>而查士朝也分享了自身經驗，他認為，最具價值的證照，是他獲得的博士學位與整個學習的過程，因為這些經驗，給予他在後續考證照時能夠駕輕就熟的能力。</p> <p>而在考證照的動力上，他提到30歲進入顧問公司，原先以增加客戶信賴的角度出發，但在取得一定張數的證照後，他的動機開始改變，變成擴展對特定領域瞭解的角度出發，由於證照通常會整理該領域應有的基本知識，這時將成為壓力與動機，促使他快速掌握這些知識。</p> <h2><strong>期盼新興的資安系所學歷也能獲得重視，而成為有用證明</strong></h2> <p>另一方面，除了資安證照本身，他也給出不同角度的觀察。例如，從目前企業需要人力來看，包括法遵、資安管理與稽核、資安機制規畫與管理、資安測試、事件偵測與回應等。因此，我們可從這方向思考企業如何看待求職人才。</p> <p>對於一般企業而言，可能受限於資安整套建置成本不斐，也沒有那麼多的資安人力員額，因此他建議，資安人員先以管理與協調工作為主，技術方面，則讓資訊部門的人學習如何強化資訊安全骨幹。</p> <p>而他也提到一點，就是危機處理與溝通能力比資安技術更重要，是目前資安證照沒有涵蓋的部分，而他也觀察到，事件偵測與回應相關的職能很重要，但相關的訓練課程與證照並沒有那麼多。</p> <p>因此他也從學界角度來看，期盼學校培育與證書能帶來影響，例如，自2019年來，國內一些學校紛紛成立資安相關科系乃至於碩士班。由於過去並無這方面的系所，也就等於沒有資安方面的學歷證明，或許在給予更具深度與廣度的教育訓練下，日後這方面的證書也能成為值得重視的認證。</p> <p> </p> <p><strong style="font-size: small; vertical-align: top; background-color: rgb(247, 247, 247); color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif;"><span style="vertical-align: top; color: rgb(51, 153, 255);"><span style="vertical-align: top; font-size: 20px;">本文出自《CYBER TALENT 臺灣資安人才專刊》</span><img alt="" src="https://s4.itho.me/sites/default/files/images/CYBER%20TALENT%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E5%B0%88%E5%88%8A_%E7%B7%A8%E8%BC%AF%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 150px;" /></span></strong></p> </div></div></div>
2023/5/17 10:00作者羅正漢https://www.ithome.com.tw/news/156756
Cloudflare零信任解決方案強化AI管理能力，提升第三方服務使用安全性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Cloudflare強化零信任解決方案的人工智慧管理能力，推出<a href="https://blog.cloudflare.com/zero-trust-ai-security/">Cloudflare One for AI</a>，使企業IT有能力管理組織內的人工智慧服務使用，包括監控組織內人工智慧影子IT的問題，同時也能控制API的存取，以及限制敏感資料上傳。</p> <p>Cloudflare One for AI用戶現在可以透過部署Cloudflare Gateway，監控組織內人工智慧的使用狀況，IT部門得以掌握員工正在使用的人工智慧服務種類，藉此規畫企業授權方案。Cloudflare One for AI還可以讓組織方便地共享訓練資料，不需要在防火牆開設入口，就可授予人工智慧服務存取權限，避免影響安全性並且更易於管理。</p> <p>在零信任安全模型下，用戶需要先創建服務權杖，外部服務才能夠利用這些權杖通過Cloudflare One存取資料，因此管理員也能夠依據這些權杖，紀錄API的使用甚至是隨時撤銷API，阻擋人工智慧服務。透過加密且僅允許資料出站的Cloudflare Tunnel，基礎設施能夠安全地連接人工智慧服務，每一個請求都受存取規則檢查。</p> <p><a href="https://www.ithome.com.tw/news/156291">使用第三方人工智慧服務，可能讓員工不經意地上傳機密資料</a>，而Cloudflare One for AI的資料損失防護（DLP），能避免員工過度分享資訊。管理員可以定義不可離開組織的資料並創建規則，控制與人工智慧服務共享的資料。Cloudflare的雲端存取安全代理程式（CASB）則可以掃描SaaS發現潛在問題，像是檢查GitHub儲存庫是否遭非法存取，或是及早阻擋不應該上傳到網際網路上的檔案。</p> <p>除了推出Cloudflare One for AI之外，Cloudflare還發布了<a href="https://blog.cloudflare.com/introducing-constellation/">Constellation</a>模型執行服務，讓使用者可以在無伺服器服務Workers的基礎上，執行經過預訓練的模型，完成推理任務。Constellation支援自定義模型，或是用戶也可以從官方提供的模型目錄中，選擇適合的模型。用戶可以在Constellation上，建構包括圖像與音訊分類、異常偵測、自然語言處理或是語音辨識等人工智慧應用。</p> </div></div></div>
2023/5/17 08:31作者李建興https://www.ithome.com.tw/news/156907
【資安日報】5月16日，財政部電子發票平臺驚傳資安漏洞，恐曝露上市櫃公司營業資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>公部門提供給企業使用的系統當中，不僅使用共通的預設密碼，而且這還是組弱密碼！財政部傳出在電子發票平臺上提供給企業的帳號裡，帳號名稱是該公司的統一編號，預設密碼是極為容易猜中的弱密碼，一旦任何人嘗試以此密碼搭配公司的統編，就有可能檢視該公司的發票資料，由於公司統編相當容易找到，這樣的帳密形同公開資料。經本週2家媒體報導後，財政部於今日表示，他們已緩解上述情況。</p> <p>繼國光客運傳出資料外洩事故後，又有客運業者遭到攻擊。根據三立新聞臺、自由時報、中央社等國內媒體報導，統聯客運上週疑似個資外洩，導致乘客接到詐騙電話，該公司暫停線上訂票系統、手機App訂票的服務。主管機關交通部公路總局也證實此事。</p> <p>針對個資法修法的部分，最近也有了新的進展。今天立法院三讀通過部分的新條文，其中主要是針對專責機關、裁罰金額與方式有了明確的新規範。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="http://www.peoplenews.tw/articles/27c82e35c1"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">財政部電子發票平臺企業帳號竟採用共通的預設密碼，恐曝露上市櫃公司營業資料</span></strong></a></p> <p>根據民報的報導，有人在財政部的電子發票平臺（E-Invoice）上，發現提供給公司行號的初始帳密資料中，竟採用了相同的弱密碼，而有很多企業與組織的帳號能透過這組密碼存取，其中一個受到影響的是國家中山科學研究院（中科院）。</p> <p>而對於此事的影響範圍，<a href="https://www.readr.tw/post/2943">另一家網路媒體READr指出</a>，約有7%上市櫃公司的營業資料可能曝險。對此，<a href="https://www.mof.gov.tw/singlehtml/384fb3077bb349ea973e7fc6f13b6974?cntId=1cd17c988238495eb769f9034518b5c5">財政部約於16日上午11時發出公告</a>，表示此電子發票平臺的密碼弱點已改善完成，並強調中科院的電子發票主要是行政支出及紀念品，無涉及國防採購。</p> <p><a href="https://www.setn.com/News.aspx?NewsID=1295437"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">統聯客運傳出資料外洩，關閉網站及App訂票功能</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/bulletin_20230515.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/bulletin_20230515.jpg" style="width: 300px; float: right;" /></a><a href="https://www.facebook.com/ubus.tw/posts/pfbid02VDZ8d5itqWDAozSFcyC6PiEu6qi2UhxkPESeTNDBepYpuhzMUjGNFtm66A6DVKqxl">統聯客運於5月12日下午5時23分於臉書發出公告</a>，要乘客提防詐騙電話。隨後有不少旅客留言表示接到這類電話，對方對於他們訂票的時間、張數皆瞭若指掌，且有民眾已受騙上當，揚言要向統聯求償。<a href="https://www.facebook.com/ubus.tw/posts/pfbid0dGyZNCAfNF1yQgryQu7oHhRApsSEfT4Qhcv6TmpuYawj6FsecwvpRksq8SMAnWoil">後來該公司約於半小時後再度表示</a>，他們的網站與購票App進行系統維護，要求乘客依照指示臨櫃取票，或是於4大超商付款因應。</p> <p>對此，統聯客運於15日表示，他們已協請資安人員進行初步鑑識，預計2天後會有初步結果；主管機關交通部公路總局也證實此事，並透露統聯客運接獲乘客通報自己收到詐騙訊息後，暫時關閉網站購票及App訂取票的功能，來防止災害擴大。</p> <p>不過，究竟有多少乘客個資遭到外洩？統聯客運、公路總局皆未做出說明。</p> <p><a href="https://www.ithome.com.tw/news/156849"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">主要目標鎖定臺灣的駭客組織Taidoor，具備經營12個惡意程式家族的開發量能</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/838088.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/838088.jpg" style="width: 300px; float: right;" /></a>趨勢科技資深威脅研究人員CH Lei於臺灣資安大會解析駭客組織Taidoor（亦稱Earth Aughisky、臺門）的背景及常見攻擊手法。此組織成立時間早於2007年，高達9成攻擊活動針對臺灣，當中約有6成是攻打政府單位，其餘涵蓋通訊、製造、重工業、科技業、交通、醫療等產業，自2017年駭客將攻擊範圍擴及日本。</p> <p>值得留意的是，該組織自行開發且未與其他駭客組織分享的惡意軟體，就有12個家族之多，可見其實力極為強大。這些駭客一旦攻擊成功，都會造成大範圍的汙染，植入的後門難以完全根除。</p> <p>研究人員指出，這些駭客在各個攻擊階段會利用不同的後門程式，一旦入侵受害組織，駭客就會更換名為Taleret的工具進行長期控制。此後門程式的特色在於，駭客將C2中繼站的配置加密並埋藏於部落格文章，待需要連線才去解析，資安人員若只針對受害裝置進行調查，就有可能找不到中繼站的設定。</p> <p><a href="https://www.ithome.com.tw/news/156879"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺科大資工系教授呼籲使用開源5G新風險，得小心駭客打造惡意基地臺發送偽造簡訊</span></strong></a></p> <p>資安署副署長兼臺科大資工系教授鄭欣明指出，開源軟體降低實作5G網路的門檻，讓任何人都可以建置此種網路環境，因此，駭客也能藉由開源軟體打造惡意基地臺，假冒合法基地臺發動攻擊。</p> <p>他帶領的研究團隊利用開源軟體打造5G NSA網路及專網，驗證其中存在幾項資安隱憂，例如，在5G NSA網路下，駭客能運用開源軟體打造惡意基地臺，追蹤特定對象，發送偽造的簡訊或國家級警報，或是在O-RAN環境，上傳惡意xApp至靠近前端的元件，耗用網路資源達到癱瘓網路目的。</p> <p>由於採用免費的開源軟體、搭配數萬元臺幣的硬體，就能建立惡意5G基地臺，和數百萬元售價的電信等級基地臺相比成本降低許多，雖然以軟體定義無線電技術（SDR）打造的基地臺，穩定度無法與一般基地臺相比，但鄭欣明認為，SDR技術使得偽基地臺攻擊手法的實現成為可能，只要通過軟體定義便能控制偽造基地臺的功能。</p> <p><a href="https://www.mirrormedia.mg/story/20230509inv003/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">台達電、飛宏爆內鬼，高階主管竊取特斯拉充電樁機密投靠中國科技公司</span></strong></a></p> <p>臺灣科技大廠台達電與電力設備業者飛宏科技布局電動車充電樁市場多年，但傳出曾於2家公司任職的高階主管竊取其充電系統關鍵機密文件，帶槍投靠中國公司。</p> <p>根據鏡週刊的報導，飛宏察覺自行研發的充電系統關鍵機密文件遭竊並向臺北市調處報案，調查官根據IP位址找到該公司一位員工的住家，然後發現飛宏外流的機密資料，並發現此人曾以即時通訊軟體微信，將飛宏安規部門最新的充電樁法規資料傳給前上司，而揪出主謀，2021年11月桃園地檢署帶回這位主管偵辦。</p> <p>經過他們的追查，不只飛宏的營業秘密外洩，這位主管先前任職於台達電時，亦將該公司「特斯拉壁掛式交流充電樁」專案線路設計資料機密檔案上傳至Google雲端硬碟。檢方清查發現，這些外流檔案中包含特斯拉充電樁的設計數據，恐流入中國TCL通力電子公司，大幅縮短中國與我國研發技術的差距，影響臺灣相關產業發展。</p> <p>針對此事，<a href="https://www.chinatimes.com/newspapers/20230511000149-260202">台達電、飛宏也做出回應</a>。台達電表示外流資料為舊世代產品機密，對營運尚無重大影響；飛宏則表示他們是在資料外流前就主動報案，對於財務、業務沒有影響。</p> <p><a href="https://www.justice.gov/usao-sdny/pr/former-employee-technology-company-sentenced-six-years-prison-stealing-confidential"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">監守自盜並向老闆勒索，Ubiquiti開發人員被判刑6年</span></strong></a></p> <p>美國網路設備製造商Ubiquiti開發人員Nickolas Sharp，自2020年底竊取大量公司機密資料，並於2021年初假冒駭客的身分宣稱找到系統漏洞，向老闆勒索50個比特幣，被警方盯上後還匿名向媒體謊稱Ubiquiti遭到駭客入侵，導致該公司股價在2天大跌20%，市值蒸發了40億美元。</p> <p>在Nickolas Sharp坦承犯案之後，美國法院於今年5月10日做出判決，這名Ubiquiti前員工因傳輸程式至受保護的電腦上，並故意造成損害、電信詐欺，且對美國聯邦調查局（FBI）說謊，將被處以6年徒刑，並必須賠償159萬美元。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.cna.com.tw/news/aipl/202305160037.aspx"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">立法院三讀通過個資法修正條文，明訂主管機關、非公務機關個資外洩最高可罰1,500萬元</span></strong></a></p> <p>5月16日立法院三讀通過個人資料保護法的部分條文，當中明確指定「個人資料保護委員會」為個資法主管機關，且為獨立機關，籌備處預計於今年8月成立，在正式掛牌前，個人資料保護委員會須送交組織法草案交由立法院審查。</p> <p>本次修法的另一個重點，在於針對非公務機關的罰則調整，若保有個人資料檔案且未採行適當之安全措施，導致個人資料被竊取、竄改、毀損、滅失或洩漏，將處理新臺幣2萬元以上、200萬元以下罰鍰，並限期改正；若限期未改善或情節重大，將處以15萬元以上、1500萬元以下罰鍰；屆期未改正者，採按次處罰。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://openssf.org/press-release/2023/05/10/openssf-welcomes-new-members-veteran-cybersecurity-expert-as-general-manager-and-new-funding/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">OpenSSF獲微軟、Google挹注500萬美元強化開源軟體安全</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/virustotal-ai-code-analysis-expands-windows-linux-script-support/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體分析平臺VirusTotal為AI分析機制提供更多指令碼的支援</span></span></strong></a></p> <p><a href="https://blog.google/technology/safety-security/online-safety-features-updates-google-io-2023/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google宣布旗下服務的新安全及隱私保護功能</span></span></strong></a></p> <p><a href="https://www.inquirer.com/news/philadelphia/philadelphia-inquirer-hack-cyber-disruption-20230514.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">費城詢問報遭到網路攻擊，報紙暫停出刊</span></span></strong></a></p> <p><a href="https://www.securonix.com/blog/securonix-threat-labs-security-meme4chan-advisory/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Follina漏洞攻擊行動再度出現，這次被用於散布木馬程式Xworm</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/156897"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">打造臺灣金融專屬資安人才職能地圖，聚焦課程設計以促進培訓</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156877">【5月15日】誠品書店外洩個資傳出遭支持中國武統人士利用，對臺灣民眾發動心理戰</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156850">【5月12日】 2022年發生50起以上資安事故的臺灣企業比例上揚，接近四分之一</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156830">【5月11日】資安業者Dragos遭到網路攻擊，駭客企圖假冒即將就職的員工入侵</a></strong></p> </div></div></div>
2023/5/16 17:18作者周峻佑https://www.ithome.com.tw/news/156905
立院三讀通過個資法修法，企業外洩個資可直接開罰要求改善，最重可罰1,500萬元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>立法院今天（5/16）三讀通過個資法修正案，國發會指出，修正案加強對非公務機關違反安全維護義務，例如企業外洩個資事件，可直接開罰並限期改正，違反嚴重者最高可罰1,500萬元。另外，呼應各界要求設置獨立個資保護機關，行政院將儘速成立個資保護委員會籌備處。</p> <p>此次個資法修法有2項重點，主要為第1條之1、第48條及第56條。首先是，針對外界認為個資法對企業違反安全維護義務罰則過低，主管機關往往先命改正後處罰，批評無法有效責成業者強化個資安全作為，因此在修正案中修改第48條規定，企業若違反安全義務將直接開罰，同時命其改正，並提高罰鍰上限，從2萬元以上20萬元以下，提高為2萬元以上200萬元以下。</p> <p>如違反情節重大者，處15萬元以上1,500萬元以下罰鍰，屆期未改善者，得按次開罰15萬元以上1,500萬元以下罰鍰。</p> <p>另一個修法重點是增加個資法第1條之1規定，由個人資料保護委員會擔任個資法主管機關，行政院將會積極推動設置個資保護獨立監督機關，以達成去年8月憲法法庭判決，要求3年內完成個資保護獨立監督機制，並解決目前個資主管機關分散，缺少個資保護的獨立專責機關問題，同時也能接軌國際趨勢。</p> <p>國發會表示，此次修法將賦予行政機關更有效的執法權限，行政院也將儘速設立個資保護委員會籌備處，並推動組織草案、第二階段個資法修法工作。至於強化公務機關個資保護，將落實資通安全管理法對公務機關的規範，未來也會由獨立的個資保護委員會，就整體規畫公務及非公務機關個資保護監督機制。</p> <p>此次個資法修法主要呼應外界限期改正再處罰、罰責過輕的批評，以及要求設立獨立個資保護主管機關。先前iRent發生40萬筆客戶資料外洩，雖然交通部公路總局成立專門的小組進行調查，限期要求改善，最後因業者限期未改善開罰最高20萬元，未來企業如再發生類似事件，將受到更高的罰鍰。另，根據媒體報導，政府計畫在8月成立個資保護委員會籌備處。</p> </div></div></div>
2023/5/16 17:36作者蘇文彬https://www.ithome.com.tw/news/156904
Google App更新讓Pixel手機發燙、耗電加速
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google上周釋出的Google App及Android智慧工具更新，引發Pixel手機耗電量爆增及<a data-ved="2ahUKEwjl2fSQsfn-AhUUmlYBHVFNBOUQkeECKAB6BAgREAE" href="https://www.google.com/search?sxsrf=APwXEdeeJML1ICFgH3JQrZHsC-64HAoB1g:1684224484394&q=%E6%80%A5%E9%81%BD&spell=1&sa=X&ved=2ahUKEwjl2fSQsfn-AhUUmlYBHVFNBOUQkeECKAB6BAgREAE" id="fprsl">急遽</a>發燙等情形，Google隨後釋出更另一次修補程式解決。</p> <p>多名Pixel手機用戶本周一分別透過<a href="https://www.reddit.com/r/GooglePixel/comments/13gkrtd/overheating_phone_and_high_power_use/" target="_blank">Reddit</a>和<a href="https://support.google.com/pixelphone/thread/214392878/battery-is-draining-very-fast-after-the-may-2023-security-update?hl=en&sjid=13669988790291989139-NA" target="_top">Pixel手機討論區</a>反映，在安裝了Google上周釋出的安全更新後，本周起他們的Pixel手機耗電量忽然大增，不但使手機續航力大幅縮短，而且變得奇燙無比。多數用戶指向Google App，但也有部分用戶將之歸咎到Android System Intelligence，後者為Private Compute Core的系統元件，可為Android手機提供智慧功能，包括即時字幕、螢幕自動旋轉等等。</p> <p>用戶相信問題出在5月12日釋出的更新。直到移除更新或是關閉Google App，問題才得以緩和或解決。出現狀況的都是Pixel手機，版本分別是Pixel 6或7等。</p> <p><a href="https://support.google.com/pixelphone/thread/215863498?sjid=7653741535566306888-AP" target="_blank">Google終於在今日在Pixel手機支援頁做出說明</a>。Google研究後判斷是Google App後臺近日一次變更不慎肇禍。該公司已經釋出一版修補程式，預計可以立即解決問題，用戶端無需做任何動作。</p> <p>如果Pixel手機用戶上周末更新後出現手機過燙或耗電奇快情形，可以再稍等一下，以安裝昨日版本Android更新。</p> </div></div></div>
2023/5/16 16:06作者林妍溱https://www.ithome.com.tw/news/156902
歐盟同意微軟買下動視暴雪
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_23_2705" target="_blank">歐盟執委會（European Commission，EC）周一（5/15）宣布</a>，已同意微軟買下動視暴雪（Activision Blizzard）的收購案。而<a href="https://www.ithome.com.tw/news/156592" target="_blank">上個月表態</a>將阻止此一收購案的<a href="https://twitter.com/CMAgovUK/status/1658131203000614916" target="_blank">英國競爭與市場管理局（Competition and Markets Authority，CMA）則在同一天發表聲明</a>，指出將堅守反對立場。</p> <p>其實EC的初步調查認為此一交易有可能危害遊戲的分布，並強化微軟在PC作業系統上的優勢，但在深入調查之後，認為微軟沒必要限制遊戲的分布，因為此舉將危及微軟的遊戲營收，此外，EC也認為若未與微軟合併，動視暴雪應該不會提供可能擠壓其遊戲銷售的遊戲訂閱服務。</p> <p>而為了解決EC所在意的競爭問題，微軟同意在未來10年讓歐洲經濟區的遊戲玩家，皆可透過任何的雲端遊戲串流服務來存取動視暴雪的PC及遊戲機遊戲；同時也將允許雲端遊戲串流服務供應商供應所有的動視暴雪的PC及遊戲機遊戲予歐洲經濟區的遊戲玩家。</p> <p>EC認為上述將會造福當地的玩家，因為迄今動視暴雪並未提供遊戲串流服務，亦未將遊戲授權給任何的遊戲串流平臺。但未來玩家只要購買或訂閱動視暴雪的遊戲，就能利用任何的作業系統及裝置，透過任何的遊戲串流平臺來進行遊戲。</p> <p>有別於EC的樂觀，CMA認為不管是英國、美國或歐盟都一致認為該併購案會危害雲端遊戲的競爭，因為此一新興的市場必須維持開放與競爭，才能推動創新及消費者選擇，但EC所接受的微軟提議，卻是以自由、開放及競爭的市場為代價，CMA尊重EC的觀點，但自己將堅守反對的立場。</p> <p><a href="https://www.ithome.com.tw/news/148954" target="_blank">微軟是在2022年1月宣布</a>將以687億美元買下動視暴雪，這是微軟史上最大的併購案，也將讓微軟成為全球第三大遊戲業者，僅次於騰訊及Sony。這起併購案因為明顯牽涉到市場壟斷議題而受到全球矚目，即便已經過一年的調查仍未能定案，<a href="https://www.theverge.com/2023/5/15/23723703/microsoft-activision-blizzard-acquisition-approved-eu-european-commission" target="_blank">根據《The Verge》的統計</a>，迄今除了<a href="https://www.ithome.com.tw/news/154634" target="_blank">美國</a>與英國欲出手阻止該交易之外，中國、南韓、紐西蘭與澳洲都還在審核中，而歐洲、日本、南非及巴西等國則已核准。</p> </div></div></div>
2023/5/16 15:16作者陳曉莉https://www.ithome.com.tw/news/156900
Alphabet機器人公司Intrinsic推出機器人應用開發軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Alphabet旗下機器人公司Intrinsic成立2年後本周公開機器人應用開發平臺軟體，作為公司第一項產品。</p> <p>Intrinsic為Alphabet出售Boston Dynamics及Shaft機器人部門後，2021年初成立發展產業用機器人業務的公司。<a href="https://www.youtube.com/watch?v=QtSShST58io&t=896s" target="_blank">Intrinsic本周在虛擬產品發表會上公布第一項產品</a>。</p> <p>該公司指出，產業用機器人都需要相當深層領域知識及專門技能，從作業或經濟角度都無法輕易重新改寫。為了簡化機器人程式的開發門檻，Intrinsic最新公布的Flowstate是一個直覺化的Web開發環境，橫跨從概念到部署整個機器人應用所有流程。它具備圖形化流程開發工具，使用行為樹（behavioral tree）更易於協調複雜流程、支援更快開發。其流程編輯器以類似flowchart的圖形化介面可設定行為樹。此外，它同時執行在雲端或本地部署環境，方便程式在兩種環境搬移，並且提供模擬及驗證程式的環境。</p> <p>Flowstate還能將特定領域知識以特定技能輸出，以便未來重覆使用，像是姿態評估、操控、力覺感知插入（force-based insertion）、路徑規畫等。不久Flowstate也將內建一些以Intrinsic平臺開發的技能，該公司承諾會開放給社群。</p> <p>Flowstate目前為beta版，一開始將提供給小部分解決方案供應商。Intrinsic也公布義大利機器人生產商暨系統整合商柯馬工業（Comau）作為其第一個合作夥伴，後者近日發展了一款機器人用於組合插電式混合動力車的超級模組。</p> <p>同時這家廠商也公布Flowstate的開發底層Intrinsic平臺。Intrinsic表示其目標是讓進階機器人和AI更容易為非專業人士所用，現在正將現代化軟體開發作法，像是物件導向及視覺化程式撰寫工具加入機器人及自動化技術的開發中。</p> <p>Intrinsic Flowstate現在起為期8個星期，<a href="https://www.intrinsic.ai/beta/" target="_blank">開放開發人員申請試用</a>、開發機器人應用程式。</p> </div></div></div>
2023/5/16 15:52作者林妍溱https://www.ithome.com.tw/news/156901
Amazon也要以AI聊天機器人來改善產品搜尋
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《彭博社》（Bloomberg）透過Amazon的求才廣告，<a href="https://www.bloomberg.com/news/articles/2023-05-15/amazon-plans-to-add-chatgpt-style-search-to-its-online-store?leadSource=uverify%20wall" target="_blank">發現Amazon正準備打造具備聊天能力的產品搜尋功能</a>，然而，Amazon不僅不置可否，亦更改了求才廣告的說明內容。</p> <p>該求才廣告是由Amazon Search團隊所刊登，徵求的是機器學習的資深軟體開發工程師，另一媒體<a href="https://venturebeat.com/ai/amazon-job-listings-hint-at-chatgpt-like-conversational-ai-for-online-store/" target="_blank">《Venture Beat》公布了該求職廣告的原始內容</a>，顯示Amazon打算要讓Amazon Search具備互動式對話能力，以協助解答使用者對產品的疑問，比較產品，或是提供個人化的產品建議等。</p> <p>在被媒體公開之後，<a href="https://www.amazon.jobs/en/jobs/2358111/sr-sde-machine-learning-ml-amazon-search" target="_blank">Amazon很快就修改了該求職廣告的內容</a>，僅簡單地說想利用大型語言模型的對話功能，來改善Amazon上的購物經驗。</p> <p>《彭博社》還在另一則求才廣告上看到，Amazon宣稱將採用全新的「AI優先」計畫，透過超大規模的新一代深度學習技術來重新建構該平臺的搜尋方式。</p> <p>然而，當媒體向Amazon求證時，該公司並未直接回應有關AI聊天機器人的問題，僅說旗下所有業務都在大力投資生成式AI。</p> <p><a href="https://www.ithome.com.tw/news/156730" target="_blank">微軟已於今年5月釋出</a>基於GPT-4的Bing搜尋/Chat公開預覽版，<a href="https://www.ithome.com.tw/news/156829" target="_blank">一周後Google便跟著正式發表</a>基於LaMDA的AI聊天機器人Google Bard，雖然這兩家業者都企圖整合聊天機器人與搜尋引擎，但整合方式似乎有些不同。</p> <p>例如在Bing Chat中與AI對話之後，使用者可自AI的回應中點選所建議的結果並進行搜尋，而在Google搜尋中，倘若Google察覺AI可提供更好的解答，就會讓Google Bard的建議出現在第一筆。</p> <p>Amazon並未於全球的AI競賽中缺席，<a href="https://www.ithome.com.tw/news/156411" target="_blank">該公司在今年4月發表了</a>首個大型語言模型Titan，以及可用來存取各種基礎模型的Amazon Bedrock服務。</p> <p> </p> </div></div></div>
2023/5/16 12:21作者陳曉莉https://www.ithome.com.tw/news/156898
人才是確保國家網路安全關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安的重要性已是不言而喻的狀態，而關於資安人才不足的議題也存在許多年，而遲遲缺乏有效解方——儘管有企業透過內部培訓，也有機構與廠商推動資安證照，提供標準化的知識體系與認證機制，以及吸引資安社群參與的CTF網路攻防搶旗賽，或是各種研討會、小型聚會等形式的交流、學習與分享，然而，由於資安領域實在非常廣大，我們雖然知道有不同類型的資安工作內容，但過往從未有人細數到底有多少資安職務，因此，對於整體的職能體系總是缺乏了解。</p> <p>對於iThome而言，從2018年的CIO大調查開始，資安人力的現況就已是我們關注的焦點之一，試圖藉此掌握臺灣企業資安人力的需求變化，當時我們也更進一步接觸資安人才議題，而與一些政府專家學者接觸之後，得知美國已有網路安全人才框架NICE可供大家借鑑。</p> <p>不過，無論是資安威脅現況或資安產業的發展，雖然向來是民眾關心的，但隱藏在背後的資安人力供需問題，目前仍未得到足夠重視。</p> <p>事實上，在兩年前，就有更多企業亟欲招募資安人才，到了現在，需求越來越大，但也面臨更多實務上的問題，例如，企業是否找到建立資安團隊的方法？如何招聘或培訓擁有合適資安技能的人才？學界或培訓機構能否對應企業與產業的需求開課？</p> <p>因此，我們認為，資安人才這樣重要的議題，需要更多的關注與討論。而在2021年的臺灣資安大會上，首度增設CyberTalent資安人才專區，已成每年大會重點活動之一，2022年我們更製作了《臺灣資安職務地圖-2022新興資安產業版》手冊，盼大家更了解資安職能類型。</p> <p>到了2022年底，我們發現目前除了NICE框架，國際間還有另一個ECSF框架也至關重要。因為我們發現IT社群科技寫作競賽：iT邦幫忙鐵人賽當中，居然有人介紹歐盟甫發布的ECSF資安技能框架。這讓我們意識到越來越多國家重視資安人才技能的培育與發展。</p> <p>而在這本首度發行的2023資安人才專刊當中，我們不僅介紹臺灣與全球的資安人才需求現況，更是將兩大國際資安人才框架進行最通盤的解析，並且介紹臺灣資安人才框架的最新發展，希望各界對於建構資安人才知識體系，縮短資安技能差距，有更多關注與探討，而非停留在高喊缺人、卻不知到底需要與培育多少種資安人才的淺層討論。</p> <p>而在籌備這次資安人才專刊的過程中，我們有兩個發現：一是在ECSF框架12大資安工作角色中，資安教師也成一種人才類型；另一是得知國家資通安全研究院將在2023年第二季，推動全民資安意識。</p> <p>整體而言，無論育才、識才、用才，「人」都是關鍵，事在人為，不只是管理、攻防、技術，教育宣導的工作也要有人去推展。而且，不只是有人能具備各方面的資安專業，全民也都該提升資安意識。</p> <p> </p> <p><strong>羅正漢／ iThome 電腦報周刊資安主編<br /> <a href="mailto:[email protected]">[email protected]</a></strong></p> <p> </p> </div></div></div>
2023/5/16 10:00作者羅正漢https://www.ithome.com.tw/news/156619
打造臺灣金融專屬資安人才職能地圖，聚焦課程設計以促進培訓
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為提升臺灣金融業對資安的重視，金融監督管理委員會（金管會）逐步建議與提出要求，特別是在2018年3月，修訂了「金融控股公司及銀行業內部控制及稽核制度實施辦法」，新增第三十八條之一，開始明訂銀行業應設置資訊安全專責單位及主管，以展現機構對資訊安全的重視。</p> <p>上述這樣的要求，在2021年擴及到更多金融機構，也就是說，不只銀行業，保險業與證券業也應設置資訊安全專責單位及主管。</p> <p>而且，相關要求是逐年提升，像是需指派協理以上擔任資安專責單位主管，到需指派副總級以上兼任資安長。透過上述循序漸進的方式，不僅讓國內金融機構知道政策推動方向，及早做好資安人力強化的布局，甚至，後續還將這樣的要求擴及國內1700多家上市櫃公司，同時，也為國內市場創造更大的資安人才需求。</p> <p>不過，對於普遍金融業而言，在網路威脅日益嚴峻之下，原本就有資安人力規畫的需求，而金管會之所以要求公司副總擔任資安長，其意義更是在於期望公司提升其對資安議題的決策能量，增進董事會成員將資安風險納入經營考量，然而，不論資安長或主管、資安人員等職位，企業或組織要如何找到合適的人才，成為一大挑戰，是臺灣，也是全球都熱烈關注的重要課題。</p> <p>為了因應這樣的需求，金管會在2021年6月，發布了《金融資安人才職能地圖》，其設計就是參考行政院國家資通安全會報技術服務中心，所規畫的公務人員資安職能訓練，以及美國NIST發布的NICE網路安全人才框架，擬訂金融產業資安人才培訓所需架構，同時也參考了國內外資安訓練資源設計課程，希望為金融產業從事資安實務工作的在職人士，以及有志從事金融資安的產業人士，促進彼此之間對於職能的認知，以及產業資安人才培訓。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E9%87%91%E8%9E%8D%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%81%B7%E8%83%BD%E5%9C%B0%E5%9C%96.jpg" style="width: 600px;" /></p> <p><strong>我國金融監督管理委員會針對資安人才培育的強化，在 2020 年 8 月發布的「金融資安行動方案1.0」提出三項措施，第一項就是訂定金融資安人才能地圖，這項計畫目前已經完成；在後續的2.0版方案中，開設人才專班與鼓勵取得證照將持續進行，並新增配置多元專長資安人力的目標。</strong></p> <h2><strong>協助克服資安徵才不易的挑戰，金管會發展人才職能地圖</strong></h2> <p>關於金管會發布的<a href="https://www.fsc.gov.tw/websitedowndoc?file=chfsc/202107081856200.pdf&filedisplay=%E6%AA%94%E6%A1%887_%E9%87%91%E8%9E%8D%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%81%B7%E8%83%BD%E5%9C%B0%E5%9C%96(110%E5%B9%B47%E6%9C%88%E7%89%88).pdf">金融資安人才職能地圖</a>，簡單來說，其目的就是幫助國內的金融產業，可以更好招募資安人才投入金融領域，並促使金融機構培訓資安人才時能更有計畫性。</p> <p>對於這項職能地圖的發展，金管會資訊服務處長林裕泰表示，這是2020年就有的構想，時任處長蔡福隆期間，正擬定金融資安行動方案1.0，因此詢問了金融機構對於資安加強方面的期望，在許多答覆之中，都談到金融機構內部相當需要資安人才，但面臨找不到適合人力的現況。</p> <p>因此，金管會開始思索對策，如何從培訓層面提供幫助，像是如何從金融機構內部，將資訊業務的人，或是對資安有興趣但不是資訊業務的人，可以轉向資安職涯發展，或是連帶影響外部訓練機構或學校，讓有興趣的人士或學生也可找到相關課程，吸引加入金融領域。</p> <p>於是，有了發展金融業資安人才職務地圖的構想，而金管會在2020年發布的金融資安行動方案1.0，此時除了強化金管會內部的資安監理職能，提升資安檢查人員專業技能，為了幫助國內金融機構，針對整體金融業的第7項資安人才培育的部分，提到三項重點措施，其中，關於金融資安人才職能地圖的制定，就是第一目標，而在有此基礎之後，也將協調周邊單位開設金融資安人才養成專班，並鼓勵金融資安人員取得國際資安證照。</p> <p>基本上，金管會推行這個計畫，就是吸引更多人參與金融機構資安，也方便金融機構在招聘、求才與培育時，可了解從事資安工作所需的經驗或知識。</p> <p>接下來，負責這項計畫執行的F-ISAC，開始試著將金融領域資安，以及外部很多教育訓練機構開設的資安課程，做進一步的整理與分析，並建構適用於國內金融機構的內容。最終，2021年7月，《金融資安人才職能地圖》正式對外發布。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962s%EF%BC%89%E9%87%91%E8%9E%8D%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%81%B7%E8%83%BD%E5%9C%B0%E5%9C%96_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.png" style="width: 600px;" /></p> <p><strong>金管會資訊服務處處長林裕泰表示，關於「金融資安人才職能地圖」的規畫，是在2020年時就已有的構想，期望從培訓層面來提供幫助，幫助國內金融產業可以更好招募資安人才，並促使金融機構培訓資安人才時能更有計畫性。攝影／羅正漢</strong></p> <h2><strong>人才培育架構畫分3大類，涵蓋資安認知與10大專業領域</strong></h2> <p>在架構上，金融資安人才職能地圖主要畫分三大類別，分別是監督治理、安全開發及資安維運，在各類別之下，涵蓋10個專業領域，或者我們也可將其視為10種工作職務。</p> <p>以監督治理而言，涵蓋專業領域包括：策略規畫、法令遵循、風險管理、資安管理、資安稽核。</p> <p>以安全開發而言，涵蓋系統規畫、軟體開發、品管測試。</p> <p>以資安維運而言，涵蓋系統網路管理、弱點管理、資安防護、事件應變。</p> <p>另有一項「資安認知」，則被視為三大類別都要具備的基礎領域。</p> <p>同時，框架中也針對上述這10加1種領域，一一對應至單位（規畫或執行），以及所需的工作核心職能。</p> <h2><span style="color: rgb(0, 153, 255);"><strong>金融資安人才培育架構涵蓋3大類別，並且以10大專業領域與資安認知領域組成</strong></span></h2> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖1）金融資安人才職能地圖.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%961%EF%BC%89%E9%87%91%E8%9E%8D%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%81%B7%E8%83%BD%E5%9C%B0%E5%9C%96.jpg" style="width: 605px; height: 576px;" /></a></p> <h2><strong>幫助人才培訓更有方向，課程設計是職能地圖一大重點</strong></h2> <p>除了對於能力的要求，金融資安人才職能地圖有何特點？簡單來說，這份職能地圖特別強調課程設計的搭配。</p> <p>基本上，金管會在此將課程內容區分為通識、基礎、進階，共三個等級，使得培育人員檢視具備各領域所需職能時，可以有循序漸進的方式，同時，對於上述各項基礎資安認知及專業領域，也都列出所需具備的核心職能與課程。</p> <p>為此，這份職能地圖有三個重要的附錄，包含「課程設計」、「領域核心職能與課程對照表」，以及「學習地圖」，不論是金融業者、周邊單位、培訓機構、資安人員，以及有意投入金融資安領域的民眾來使用，都可以直接對照著檢視或參照，就能使用。</p> <p>基本上，從附錄一的課程總表，以及附錄三的學習地圖來看，在通識課程方面有3門，基礎課程有19門，至於進階課程有13門。</p> <p>簡單來說，通識課程等於是必修，主要為資訊安全概論、ISMS資訊安全管理系統，以及資安法規介紹，也就是10個領域的資安人才，都要接受這方面的培訓。</p> <p>在基礎課程方面，屬基本資安能力養成，聚焦人員日常資安維運作業能力，資安防護技術導入及建置，開發安全應用程式、網路攻擊及防禦技術應用等；在進階課程方面，則是針對各類資安主題深入探究，較為特別，同時也包含了專業分析與規畫、理論，以及實務整合應用的能力。</p> <p>而透過學習地圖的呈現，我們可以一目了然瞭解到10個專業領域（職務）在培訓上，所需的基礎與進階課程，等於讓培訓計畫能有系統性的參照。</p> <p>例如，以程式設計的領域而言，除了必修的通識項目，這裡制訂的基礎課程有6門，包括資安防護基準、辦公室作業安全、程式開發安全、網頁／行動應用程式安全、金融行動支付安全，以及軟體測試除錯；而進階課程將聚焦在特定資安主題，例如，包含金融業密碼學應用實務、區塊鏈安全、進階程式及網站安全、晶片卡及ATM安全，SWIFT Security bootcamp，以及信用卡PCI DSS資安合規政策。</p> <h2><strong>金融資安專業更重視符合規範，法規遵循知識技能成為必備</strong></h2> <p>從上述內容來看，我們可以發現金融資安人才職能地圖的不同之處。</p> <p>比起普遍企業能通用的職能地圖，這份框架不僅是強調培訓課程的展現，並擴及金融領域專屬的知識技能，其他還囊括FinTech 應用與科技風險、人工智慧於金融資安應用等。</p> <p>令人好奇的是，上述這些特性就是金融領域人才專業需求的最大不同嗎？對此，林裕泰表示，與八大關鍵基礎設施相比，金融領域資安防護範圍，基本上都還是以IT基礎架構的環境為主，也就是說，與普遍企業的資安或資訊經驗，其實不會差別太大，不像許多關鍵基礎設施產業會涵蓋OT環境領域。</p> <p>但要論起特別之處，林裕泰特別點出一件事：金融業屬於受到高度監管的產業，並且是非常講究合規的產業，因此，不管是上述提到的ATM、信用卡等，不論是在國際標準、產業標準或政府法令規範中，都會面對許多的法規遵循要求。也就是說，在金融領域中，對於規範訂定的對象，底層要用那些資安或資訊技術來符合規範，可能是金融產業更重要的特性。所以說，在看待人才時，懂資安合規的層面也會相當側重。</p> <p>因此，從上述這些金融領域專業的課程來看，不一定都是技術面的內容，會更強調如何促使相關技術組合應用並符合規範。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖2A）金融資安人才職能地圖.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%962A%EF%BC%89%E9%87%91%E8%9E%8D%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%81%B7%E8%83%BD%E5%9C%B0%E5%9C%96.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖2B）金融資安人才職能地圖.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%962B%EF%BC%89%E9%87%91%E8%9E%8D%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%81%B7%E8%83%BD%E5%9C%B0%E5%9C%96.jpg" style="width: 600px;" /></a><br /> 註：<span class="markedContent" id="page57R_mcid6"><span dir="ltr" role="presentation" style="left: calc(var(--scale-factor)*103.94px); top: calc(var(--scale-factor)*84.52px); font-size: calc(var(--scale-factor)*12.00px); font-family: sans-serif; transform: scaleX(1.00043);">培訓順序，由基礎至進階，課程層級由上至下</span></span><br /> </p> <h2><strong>金管會現正擴大培訓計畫，促進產業資安人才技能提升</strong></h2> <p>為了提升人員能力，可透過課程來引導學習與驗證，然而，這些課程開設是否存在挑戰？林裕泰表示，金管會有三個主要的訓練機構，包括金融研訓院、證期會、保發中心，這些單位本來就會規畫年度訓練課程，現在他們也都參照現有的職能地圖內容去微調課程，或是做為新課程規畫的參考，因此，這將帶動正向的發展。</p> <p>不過，林裕泰也強調，這樣的職能地圖框架屬於軟性的內容，並非硬性規定，主要也是順應資安與資訊都是屬於快速變動的產業環境，而且，人才來源有很多種管道，大公司與小公司對職能的要求也不一樣——大公司可能人多，需要的分工就會很細，專精就能做好工作，而小公司也許只有一個人或是兩三個人，就要負責全部的東西，因此知識技能需求要更廣。</p> <p>所以，林裕泰認為，有了這樣的職能地圖作為參考指標，是有助於教育訓練跟內部人才配置的參考應用。</p> <p>但在考量使用的設計上，從金管會的角度來看，還是要回歸初衷，讓各方在不論是討論與人才教育訓練時，都能有較為共通可以對焦的內容。</p> <p>整體而言，金管會已陸續開設了一些資安訓練課程，以增加資安人力的培訓。然而，有些課程很快就額滿，無法滿足需求，還有一些實作和技術性較強的課程開設較為困難。因此，在金融行動方案2.0的框架下，金管會希望增加開課能量，並逐漸將一些進階技術性深入的課程形成常態。</p> <p>例如，以F-ISAC本身的任務而言，雖然不是屬於訓練機構，但在政策的配合下，現在也開設一些技術性更深入的課程，具有先導意義。未來，F-ISAC希望能夠將這些課程轉變成常態性的學習課程，引進一些企業目前可能尚未重視的內容。</p> <p>事實上，這幾年F-ISAC也會舉辦紅藍軍對抗等演練的訓練計劃，並與專業訓練機構合辦資安技術認證的課程，例如，前幾年曾開設EC Council認證的SOC分析師（CSA）課程。</p> <p>而2023年的目標，除了希望繼續加強實戰攻防的課程，也預計開設ECIH資安危機處理員的認證課程，請學員上課並考照，增加各個領域的認知。</p> <h2><strong>鼓勵多元資安職能人才配置及專業資安證照取得 </strong></h2> <p>關於金融資安人才職能地圖的最後一個重點在於，先前金融行動方案的人才培育中已經提到，鼓勵金融資安人員取得國際資安證照，而在金融資安人才職能地圖中，附錄四也提供了「課程與資通安全專業證照對照表」。</p> <p>對此，林裕泰表示，其實，一開始職能地圖的設計上，只是單純依照不同職務列出所需要的知識技能，後來才將證照納入。</p> <p>但回過頭來看，現在有了資安證照的綜整對應，也能夠提供職能地圖的使用者額外的幫助。例如，一些人可能沒有接受正統的資訊安全訓練，但他們對資訊安全非常有熱情，並希望自學相關知識。在這種情況下，透過取得相關的資訊安全證照，可以提供一條取得入門及進階技能的管道。</p> <p>另一方面，有的人本身就已考取多種類型證照，不可能再去遷就職能地圖所列課程重新學習，因此，在附錄四提供的對照表，就是將每個證照與可免除的課程層級做出對應。</p> <p>對於金管會鼓勵金融資安人員取得證照，林裕泰表示，從公司治理的角度來看，金融機構內部仍然保有用人用才的彈性，不會強制要求員工取得證照。</p> <p>但金管會也是會有調查統計，主要是了解整個人力的應用趨勢。包括培訓機構培訓了多少人，金融機構內有考取資安證照的有多少人，但這不會公布，畢竟取得國際資安證照屬於鼓勵性質，因此沒有對外揭露變成數量比拚的結果。</p> <p>以金管會的設想來看，證照可視為人員技能提升的誘因與激勵，像是金融機構可以透過課程補助、薪資提高和福利措施等方式，促進員工的主動學習，鼓勵員工取得證照以提升技能水準，並且也促進了金融機構的正向發展。</p> <p>至於金融機構人員在職需要那些證照，還是回到公司本身的角度，去進行審核與鼓勵取得，而金管會也同樣站在支持的立場，協助業者降低培訓成本，鼓勵資安人員考取相關證照。</p> <p>特別的是，在金融行動方案2.0中，金管會針對原先鼓勵取得證照的措施上，有了更進一步的目標，就是推動多元證照取得。</p> <p>在過往調查中，以國內金融業者人員而言，取得類似ISO 27001 LA的證照，已經算是普遍，未來他們也希望進一步促進證照取得多元化。</p> <p>也就是說，金融機構應評估自身IT與資安的運作架構，以及是自行開發或委外為主等，思考人力配置是否足夠，思考內部運作型態需要什麼樣的多元人才，因為金融業資安範疇並非只有ISO 27001 LA，也應該要根據系統開發、網路管理、資安設備管理，以及駭客攻防等不同面向，擬定相應的證照取得策略。由此角度來看，證照不僅是幫助學習的手段，也可成為金融業可以盤點自身的一種方式。</p> <p>另外，關於職能地圖是否持續改版，以及我們知道金融開放上雲，國內外資安專家強調重視雲端安全方面人才，對此，林裕泰表示，其內容本來就需要不斷修正，2023年行動資安方案2.0推出時，就有執行方向的不同，所以也會進行微調，但變動不至於太大。</p> <h2><span style="color: rgb(0, 153, 255);"><strong>「資安管理」專業領域職能一覽</strong></span></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E9%87%91%E8%9E%8D%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%81%B7%E8%83%BD%E5%9C%B0%E5%9C%96.jpg" style="width: 600px;" /></p> <p><strong>在「金融資安人才職能地圖」提供的領域核心職能與課程對照表中，針對10大專業領域與資安認知，一一列出該領域職能與課程需求。以「資安管理」專業領域為例，就列出四大核心職能，以及該領域所對應的通識、基礎與進階課程，讓培育人員時有循序漸進的依據。圖片來源／金管會</strong></p> <h2><span style="color: rgb(0, 153, 255);"><strong>臺灣金融職能地圖不只規畫課程，也考量資安專業證照而特別列出免修對照表</strong></span></h2> <p><span style="color: rgb(0, 153, 255);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%964%EF%BC%89%E9%87%91%E8%9E%8D%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%81%B7%E8%83%BD%E5%9C%B0%E5%9C%96.jpg" style="width: 600px;" /></strong></span></p> <p><strong>金管會在鼓勵金融資安人員取得國際資安證照上，不僅協助業者降低培訓成本，在對應課程設計上，還會定期依據行政院公布的資通安全專業證照，衡量該證照評鑑項目，提供已有證照且有效者可免除相關培訓課程清單，無須再耗費心力於不需要的課程。</strong><br /> </p> <p><strong style="font-size: small; vertical-align: top; background-color: rgb(247, 247, 247); color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif;"><span style="vertical-align: top; color: rgb(51, 153, 255);"><span style="vertical-align: top; font-size: 20px;">本文出自《CYBER TALENT 臺灣資安人才專刊》</span><img alt="" src="https://s4.itho.me/sites/default/files/images/CYBER%20TALENT%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E5%B0%88%E5%88%8A_%E7%B7%A8%E8%BC%AF%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 150px;" /></span></strong></p> </div></div></div>
2023/5/16 10:25作者羅正漢https://www.ithome.com.tw/news/156897
臺科大資工系教授揭露開源5G新風險，得小心駭客打造惡意基地臺發送偽造簡訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當5G愈來愈普及，5G網路的資安風險愈不容忽視，臺科大資工系教授，同時也是數位發展部資通安全署副署長的鄭欣明帶領5G研究團隊，利用開源軟體在實驗室建立5G網路環境，他指出，開源軟體讓任何人可以實作5G網路，但是駭客同樣可透過開源軟體建立惡意基地臺，假冒合法基地臺取得用戶手機的裝置資訊，定位追蹤使用者或是發送惡意簡訊，或是上傳惡意程式至O-RAN近前端元件，佔用網路資源達到癱瘓網路的目的。</p> <p>鄭欣明指出，過去電信網路設備是在專門的硬體或晶片上運作，以提高網路的速度、服務品質，但在進入5G之後，有志之士根據5G規格，開發軟體將5G的協定實作出來，並且開源出來，任何人可以下載這些開源軟體，只要搭配適合的無線電硬體，就能實作出5G基地臺。</p> <p>開源軟體加上硬體，實作出5G網路環境，包括基地臺、核網，不只5G NSA網路，還有5G Non-Public Network，也就是專網。鄭欣明帶領的研究團隊，他們利用開源軟體搭配合適硬體，在實驗室內實作搭配MEC邊緣運算的小型5G智慧專網，因為經費不足以購買真正的機械手臂，實驗團隊以樂高組合機器手臂，利用這個小型的實驗專網控制手臂。</p> <p>「5G基地臺搭配MEC，就能實作出智慧專網，這些都能透過開源軟體實現」，鄭欣明說。研究團隊以軟體定義無線電SDR技術實作O-RAN，建立5G O-RAN專網環境。有心人士也能以開源軟體實作5G基地臺，再根據電信業者的網路環境作調校，偽裝成合法的基地臺，對用戶發動攻擊，稱為偽基地臺（Rogue BS）的攻擊。</p> <p>由於採用免費的開源軟體、搭配數萬元臺幣的硬體，就能建立惡意5G基地臺，和數百萬元售價的電信等級基地臺相比成本降低許多，雖然以SDR打造的基地臺穩定度無法相比，但鄭欣明認為，SDR技術讓偽基地臺攻擊手法實現成為可能，只要通過軟體定義便能控制偽造基地臺的功能。</p> <p><span style="color:#B22222;"><strong>惡意基地臺可偽造簡訊，甚至發送假的國家級警報</strong></span></p> <p>目前國內5G服務為5G NSA非獨立組網架構，也就是5G服務和現有的4G網路依存，當用戶使用5G時，手機與行動網路的信令溝通（Control Plane），仍是依照4G eNB基地臺，傳送到4G核網，只有數據傳輸（Data Plane）時才使用5G gNB基地臺。換言之，既有4G在信令層安全問題仍存在5G NSA網路。</p> <p>舉例來說，一般手機內的SIM卡，每張SIM卡都有獨特的IMSI（International Mobile Subscriber Identity）及金鑰，當4G手機連接電信商的基地臺，再連到後方的核心網路，SIM卡和電信商網路之間就會確認IMSI及金鑰，通過多向的交握過程，相互驗證彼此身分，SIM卡需驗證所連接的電信商網路是合法的，電信商網路也要驗證SIM卡的合法性，這個過程稱為Authentication and Key Agreement（AKA）驗證。</p> <p>但是當惡意的基地臺偽裝為合法的基地臺，相比電信商的合法基地臺，攻擊者讓偽基地臺更接近用戶，當用戶的手機偵測到新的基地臺，會誤認為使用者移動到新的基地臺，因偽基地臺更接近用戶，在取得較佳行動網路訊號下，用戶的手機會自動和偽基地臺連接。然而，偽基地臺無法連接電信商網路進行AKA驗證，因此惡意基地臺和用戶的手機連接，會利用進入AKA驗證之前的程序進行攻擊，而在AKA驗證之前，訊息傳送為明文進行。</p> <p>如此一來，惡意基地雖無法連接電信商網路，但仍可傳送訊息「欺騙」用戶手機，鄭欣明指出，例如偽造的惡意基地臺回報該手機未通過暫時性的IMSI驗證，取得手機裝置真正的原始IMSI，再透過種種方式追蹤該支手機的位置，或是發動Dos阻斷服務攻擊，讓這支手機誤以為沒有通過驗證，無法連接特定區域的電信商網路，暫時無法通話。</p> <p>鄭欣明指出，這是協定設計上的錯誤，在手機與基地臺進入AKA驗證程序之前，手機預設相信基地臺回傳的訊息，不論是合法或惡意的基地臺。</p> <p>甚至，可以傳送偽造的訊息至該手機，側如假冒電信商的名義發送簡訊給手機，告訴該名用戶為每月發送的測試訊息，或是發送假的國家級警報，以假亂真，警報內容可以隨意偽造，並附上偽造的連結。</p> <p>鄭欣明表示，惡意基地臺偵測並不容易，使用低成本發射裝置改造的惡意基地臺，和電信商採用的電信等級基地臺，可以偵測訊號的穩定度，作為辨別惡意基地臺、電信基地臺的依據，但因為用戶手機已收到惡意基站的訊息，多屬於事後的偵測，如何在事前偵測惡意基站是一項挑戰。</p> <p><span style="color:#B22222;"><strong>O-RAN存在安全風險</strong></span></p> <p>至於O-RAN也存在安全風險。鄭欣明指出，為了能在靠近資料的前端快速作AI運算處理，O-RAN在O-CU的Near RT-RIC上，可部署第三方開發的xApp或rApp應用，加速地端資料的分析應用，O-RAN在較靠近基地臺的前端部署聰明的元件，蒐集當下的資料進行運作，以提升資源的管理、服務效能，但是此一設計產生新的連接介面、元件，連帶衍生出連接介面是否安全，以及這些元件間彼此是否經過驗證授權等問題</p> <p>例如開放第三方上傳xApp到RIC，雖然能改善資源使用、服務效能，但如果有心人士上傳惡意的xApp或rApp應用，利用Fork bomb耗用網路的資源，進而降低效能。鄭欣明表示，目前上傳xApp並沒有檢測機制，為了防範惡意的xApp或rApp攻擊，建議可以檢測其程式碼，或是對其行為偵測機制，或是其他人建議建立安全、可被信賴的xApp市集。</p> <p>鄭欣明表示，5G確實因開源軟體能夠實作很多實驗環境，實現Open-RAN，但也存在一些安全風險，例如惡意基地臺攻擊，利用規格設計的失誤，對公眾產生影響，這些是5G NSA的風險，直到5G SA架構，在規格的選項之一是加強信令簽章，才比較改善這個風險。另外，在O-RAN的環境下，雖可透過第三方應用優化網路效能，但也不能相信所有的xApp是善意的，必需建立檢測機制，預防惡意xApp。</p> </div></div></div>
2023/5/16 10:44作者蘇文彬https://www.ithome.com.tw/news/156879
OpenAI向ChatGPT Plus用戶開放擴充套件功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI在<a href="https://twitter.com/OpenAI/status/1657128759659745280">推特</a>上宣布將對ChatGPT Plus使用者，<a href="https://openai.com/blog/chatgpt-plugins">開放擴充套件Beta測試功能</a>，這將使用戶能夠用到，各種結合語言模型的擴充功能。用戶可以從設定中的Beta功能頁籤中開啟新功能，除了第三方的擴充套件，OpenAI也有兩個自家的擴充套件，分別為網頁瀏覽以及程式碼直譯器。</p> <p>雖然ChatGPT功能強大，可用於解決多種任務中，不過語言模型仍有許多先天限制，像是太新、私密或是過於針對性的資料，都會難以被納入語言模型的訓練資料中，而擴充套件則能夠突破這項限制，以更安全且受限的方式提供額外功能。</p> <p>ChatGPT Plus用戶可以用到的第一批擴充套件，包括Expedia、FiscalNote、Instacart、KAYAK、Klarna、Milo、OpenTable、Shopify、Slack、Speak、Wolfram和Zapier，而OpenAI自家也推出兩個擴充套件，為網頁瀏覽以及程式碼直譯器。</p> <p>網頁瀏覽讓語言模型可讀取網頁資訊，運用更即時的語料，擴展ChatGPT所能夠討論的話題。過去當用戶向ChatGPT提出訓練資料不足以回答的問題，ChatGPT會禮貌性拒絕回答，而現在只要用戶開啟ChatGPT Beta測試功能，並且選用具網頁瀏覽功能的GPT-4模型，ChatGPT將會使用Bing API搜尋內容，回答最新時事相關問題。</p> <p>另外，OpenAI的另外一個程式碼直譯器擴充套件，則是在沙盒中提供整合Python直譯器的模型，能夠生成開發者要求的程式碼，並且在擴充套件中執行Python程式碼。程式碼直譯器擴充套件允許開發者使用臨時磁碟空間，上傳檔案到對話工作區，或是下載模型輸出結果。</p> <p>官方提到，這個擴充套件提供更自然的程式開發形式，降低開發障礙將吸引更多使用者族群編寫程式。在初步的OpenAI用戶研究中，這個擴充套件的特殊用例包括解決數學問題，執行資料分析和視覺化，也能夠轉換檔案格式。</p> </div></div></div>
2023/5/16 08:58作者李建興https://www.ithome.com.tw/news/156880
Flutter 3.10預設iOS使用高效Impeller渲染引擎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google更新開源跨平臺UI框架釋出最新的<a href="https://medium.com/flutter/whats-new-in-flutter-3-10-b21db2c38c73">3.10版本</a>，Flutter 3.10更新元件主題和視覺效果，使Material函式庫規範符合Material 3。除了介面之外，Flutter 3.10的引擎也有不少更新，在iOS裝置程式效能將有感提升。</p> <p>早在Flutter 3.7版本的時候，開發團隊在iOS添加了預覽版的Impeller渲染引擎，解決Flutter程式剛啟動時，因為著色器導致效能不穩（Jank）的狀況。Impeller在建置階段，就會預先編譯一組輕量著色器，因此由於Impeller不在執行時編譯著色器，也就能減少效能波動。</p> <p>現在從Flutter 3.10開始，所有iOS應用程式都使用Impeller，Impeller從預覽版以來，已經有許多改進，包括透過精簡渲染程序，Impeller能夠使用更少的記憶體，而且在較新的iPhone、iPad上，還能夠啟用有損貼圖壓縮技術，在不影響傳真度（Fidelity）的前提下減少記憶體使用。</p> <p>這些改進在複雜的應用上，會有明顯的效能提升，像是在Wonderous應用程式中，渲染畫面所使用的記憶體可能減少接近一半，而這也連帶降低GPU和CPU的負擔。Impeller滿足大多數的Flutter應用程式渲染需求，但是開發者也可以根據需求選擇不使用Impeller。目前Android版本的Impeller引擎還在開發階段，尚未進入預覽階段。</p> <p>在Flutter 3.7開發團隊將載入本地端圖像的平臺執行緒，轉移到底層Dart執行緒，避免對平臺執行緒中的垂直同步事件造成延遲，但是這個改動卻對Dart執行緒造成額外的工作，導致畫面出現卡頓，在Flutter 3.10中，開發團隊把本地圖像的開啟和解碼工作，從Dart執行緒移到後臺執行緒，如此不只解決畫面卡頓問題，也避免造成垂直同步事件延遲，在基準測試中，多個圖像同時載入的時間縮短一半。</p> <p>開發團隊原本在Flutter 3.0版本的渲染流程，對Android應用啟用一項先進的渲染功能，使應用程式能夠只重新繪製有變化的畫面區域，而非總是更新整個畫面，藉此提高渲染效率，但是開發團隊提到，他們發現這個功能在實際運作時，效果不如當初的期望，而且並非所有裝置和Android版本都支援。</p> <p>因此開發團隊最後決定在Android上停用這個功能，但是會持續在iOS中的Skia引擎啟用，並且也計畫添加到Impeller渲染引擎。</p> </div></div></div>
2023/5/16 09:08作者李建興https://www.ithome.com.tw/news/156891
全校導入雙因數認證，北醫大揭不雅合成照勒索後因應之道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年3月，臺灣幾所大學的教授紛紛收到不雅合成照的勒索信件，要求教授支付款項，否則就散布這些照片。臺北醫學大學就是受害學校之一，臺北醫學大學副資訊長許權廣日前在臺灣資安大會中揭露後續因應措施，如在照片人臉處添加浮水印、啟動全校雙因數認證，來保障校園資訊安全。</p> <p>許權廣指出，這項勒索行為，是勒索歹徒擷取學校教授照片，將教授臉部換置到不雅床照中，再亂槍打鳥式的發電子郵件給多位教授，威脅付款。他回憶，3月多的一晚，他接到多位教授來電，說收到不雅合成照郵件，要求支付款項。他仔細看了教授轉寄的信件，發現照片是低解析度的黑白照，乍看之下容易以為真有那麼一回事。</p> <p>為避免臉部照片遭濫用，他首先想到的應對措施是，將教職員的臉部照片加上浮水印，並在隔天發出通告，告知教職員和學生這種換臉新型詐騙手法。他們不只說明詐騙手段，也說明處理方式，如學校資安組已通報警政署反詐騙專線165、請檢察官介入處理，同時列出可疑的帳號，如以jackfa、asdfd、bencs為首的Email帳號，以及zt056的Line ID。</p> <p>不只如此，為加強校園資安防護，北醫大也在3月21日全面啟動雙因數認證，當使用者從陌生裝置登入Email時，得透過手機驗證才行（如下圖）。這麼做雖然多一步操作，但能確保校園資訊安全，是打好使用者資安基礎的不二法門。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_1790.jpeg" /></p> </div></div></div>
2023/5/15 17:49作者王若樸https://www.ithome.com.tw/news/156887
【資安日報】5月15日，誠品書店外洩個資傳出遭支持中國武統人士利用，對臺灣民眾發動心理戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣網路商城個資外洩事件頻傳，伴隨而來的是各式各樣的詐騙事故，但如今這些流出的購物記錄不只被駭客用於騙錢，還出現了認知作戰攻擊。有名社會運動人士曾在誠品網站購書，結果上週末接到冒充該公司進行市調的電話。但罕見的是，對方並非宣稱扣款錯誤等理由進行金融詐騙，而是不斷宣傳與表達「中國會武力統一臺灣」的主張。</p> <p>豐田汽車再傳資安事故！這次是雲端服務配置不當的情況，而且，這些資料竟曝露7至10年之久。而這並非該公司因組態配置不當惹禍──2022年10月，<a href="https://www.ithome.com.tw/news/153565">他們表示因GitHub的帳密資料曝光</a>，導致近30萬名行動應用程式T-Connect用戶被公開。</p> <p>與列印管理系統PaperCut有關的漏洞攻擊行動也相當值得留意，繼勒索軟體駭客Clop、LockBit陸續濫用這個弱點，現在也傳出伊朗駭客APT35、Muddywater，以及勒索軟體駭客Bl00dy也都著手發起相關的攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://news.ltn.com.tw/news/politics/paper/1582972"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">有人在誠品網路書店買書後，接到宣傳統戰資訊的市調電話，疑中國將其用於對臺民眾進行心理戰</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/346851015_766470245064522_3673515591524448783_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/346851015_766470245064522_3673515591524448783_n.jpg" style="width: 300px; float: right;" /></a>誠品個資外洩事故不時傳出，該公司亦被內政部警政署刑事警察局長期被列為高風險賣場，但如今相關個資疑似被用於中國統戰宣傳。</p> <p><a href="https://www.facebook.com/Statebuilding.tw/posts/pfbid02JY7bvKE7HRWJmnnppewPqgDoFvy3DcHuhfnQ1a1BKy6vx5Kr8YAUSA1RaAU8aoLsl">台灣基進黨於5月14日召開記者會</a>，原因是台灣佇遮計畫副執行秘書楊欣慈於今年2月購入「阿共打來怎麼辦」一書，結果於5月13日接到自稱是誠品書店人員的回訪市調電話，但對方不斷逼問讀書心得，強調此書內容極為敏感、不恰當，並恫嚇「中國必然武統」、「中國軍事實力很強，臺灣絕對不可能戰勝」、「美國不會幫忙」等。雖然對方強調自己是臺灣人，但口音、用語明顯來自中國，楊欣慈認為，這類電話很可能是相當有組織性的行動，企圖左右臺灣人的想法，<a href="https://www.facebook.com/iunn.him.tsu/posts/pfbid0gnDQTeowYUZTnbJu2pwckYCVy8B4SmFTou5s1n5TjHDTeReSDfPYeV6Drfq8b8c6l">她也公布了電話內容</a>，提醒民眾提高警覺。</p> <p>對此，誠品承諾持續強化資訊安全防護，並定期提醒顧客。數位發展部要求誠品於15日提出相關說明，釐清相關個資保護措施是否符合法規。</p> <p><a href="https://company.toyotaconnected.co.jp/news/press/2023/0512/　"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">日本215萬臺豐田汽車的位置資料曝光長達10年，起因是雲端服務的配置不當釀禍</span></strong></a></p> <p>5月12日豐田汽車表示，該公司的雲端服務配置錯誤，導致215萬輛車輛的位置資訊公開在網路上，車上的攝影機拍攝的影片也曝露近7年。</p> <p>使用T-Connect、G-Link、G-Link Lite、G-Book服務的用戶受到影響，自2012年1月2日至2023年4月17日的車輛定位資訊，包含車載設備ID、車身號碼（VIN）、車輛位置等，自2013年11月6日開始可被外部存取。再者，該公司企業服務所收集的行車記錄器影像，也出現曝露在網際網路上的情況，自2016年11月14日到2023年4月4日可被任意人士存取。</p> <p>對此，該公司認為起因是對於員工資料處理政策的說明不夠徹底，並強調這些資料沒有遭到濫用的跡象。</p> <p><a href="https://www.bleepingcomputer.com/news/security/discord-discloses-data-breach-after-support-agent-got-hacked/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">即時通訊軟體Discord證實資料外洩，使用第三方應用程式的用戶恐曝險</span></strong></a></p> <p>根據資安新聞網站Bleeping Computer的報導，即時通訊軟體Discord察覺透過特定第三方客戶服務代理程式進行的未經授權存取，此事故曝露了客戶支援的工單內容，包含使用者的電子郵件信箱、使用者與Discord客服通訊的內容及附件檔案。</p> <p>Disocord註銷遭到入侵的帳號，並針對受到影響的電腦完成惡意程式檢查。該公司亦與客戶服務的合作夥伴改善相關流程，來避免這類事故再度發生。他們初步評估，此起事故帶來的風險有限，但呼籲用戶仍要留意可疑訊息或是活動。</p> <p><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-131a"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">教育機構的列印管理系統PaperCut遭到勒索軟體駭客Bl00dy盯上</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/bl00dy_gang_ransomware_note.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/bl00dy_gang_ransomware_note.png" style="width: 300px; float: right;" /></a>美國聯邦調查局（FBI）與網路安全暨基礎設施安全局（CISA）聯手發出警告，勒索軟體駭客Bl00dy自2023年5月上旬，積極利用列印管理系統PaperCut的重大漏洞CVE-2023-27350，攻擊教育機構曝露在網際網路上的伺服器。</p> <p>駭客不只利用上述漏洞繞過身分驗證機制，並利用管理員身分存取伺服器，然後啟動具備相同權限的命令提示字元與PowerShell處理程序，進行橫向感染，最終竊取內部資料並加密檔案，且留下勒索訊息。</p> <p><a href="https://twitter.com/MsftSecIntel/status/1654610012457648129"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">伊朗駭客也針對列印管理系統PaperCut漏洞發動攻擊</span></strong></a></p> <p>微軟威脅情資團隊發現，在研究人員公布列印管理系統PaperCut的重大漏洞CVE-2023-27350的概念性驗證程式碼（POC）後，伊朗駭客組織APT35（亦稱Mint Sandstorm）、Muddywater（亦稱Mango Sandstorm）開始發起相關的漏洞攻擊行動。</p> <p>研究人員指出，APT35的攻擊影響了全球各地的不同產業，而對於Muddywater的部分，他們則是看到駭客利用先前入侵的工具連接C2中繼站，但相關漏洞利用的頻率較低。而這是研究人員發現勒索軟體駭客組織Clop與LockBit的攻擊行動後，另一波利用相同漏洞的攻擊行動。</p> <p><a href="https://abnormalsecurity.com/resources/exploring-rise-of-israel-based-bec-attacks"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">以色列駭客假借公司併購名義，針對跨國企業發動商業郵件詐騙攻擊</span></strong></a></p> <p>資安業者Abnormal Security揭露以色列駭客組織發起的商業郵件詐騙（BEC）攻擊行動，這些駭客針對至少100個營收超過100億美元的大型跨國企業而來，在2年內發起350次以上的攻擊，這些企業橫跨全球各行各業，又以製造業、金融業、科技產業的比例最高。</p> <p>駭客先是佯稱目標企業的執行長，並在信件裡透露併購新公司的事宜，且強調在正式公告之前必須保密，否則有可能因為風聲走漏而失敗，此外，基於稅務考量，此併購計畫不會由總公司出面，必須由收到信件的高階主管經手，分期付款買下待併購的公司。待冒牌執行長與目標人士信件往來一段時日，駭客再偽裝成知名會計師事務所KPMG的律師，提供銀行帳號等匯款資訊，值得留意的是，這個階段駭客也可能透過WhatsApp與收信人交談。由於駭客假借公司併購的名義行騙，他們平均索討的金額為71.2萬美元，相較於一般BEC平均6.5萬美元高出10倍。</p> <p>而在電子郵件層面所採用的攻擊手法，駭客也試圖騙過郵件安全系統──他們會確認目標企業是否採用DMARC政策，來決定如何騙過相關資安系統，並透過合法網域來寄送郵件，比較特別的是，為了取信收信者，駭客還會在寄件人的名稱部分加上電子郵件信箱，讓收信人降低警覺。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.char49.com/articles/we-dont-have-a-ferrari-but-we-had-their-database-credentials"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">超級跑車製造商法拉利WordPress網站出現漏洞，起因是使用舊版外掛程式</span></strong></a></p> <p>資安業者Char49於今年3月發現義大利超級跑車製造商法拉利的網站media.ferrari.com出現漏洞，起因是該網站所使用的WordPress外掛程式W3 Total Cache沒有更新，存在漏洞CVE-2019-6715，攻擊者可在沒有通過身分驗證的情況下，讀取任意檔案。</p> <p>研究人員以此漏洞存取wp-config.php檔案，存取當中明文儲存的WordPress資料庫帳密來進行驗證，但研究人員認為，此漏洞有可能帶來更嚴重的危害。法拉利獲報後，升級此外掛程式來緩解漏洞。</p> <p><a href="https://www.bleepingcomputer.com/news/security/new-linux-kernel-netfilter-flaw-gives-attackers-root-privileges/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Linux核心漏洞NetFilter恐被用於取得root權限</span></strong></a></p> <p>根據資安新聞網站Bleeping Computer的報導，研究人員Patryk Sondej與Piotr Krysiuk發現了Linux核心的漏洞CVE-2023-32233（尚無CVSS風險評分），該漏洞出現於其內建的網路位址轉譯（NAT）框架Netfilter，起因是當中的nf_tables子系統能接收無效的組態更新，而使得本地使用者可提升至root權限，從而控制整個系統，影響包含6.3.1版在內的所有Linux核心。</p> <p>對此，開發人員Pablo Neira Ayuso提交了修補程式碼，透過2項函式功能來管理nf_tables子系統，進而達到緩解漏洞的目的。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/156849"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">主要目標鎖定臺灣的駭客組織Taidoor，具備經營12個惡意程式家族的開發量能</span></span></strong></a></p> <p><a href="https://ec.ltn.com.tw/article/breakingnews/4297181"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">台達電、飛宏爆內鬼，高階主管竊取特斯拉充電樁機密投靠中國科技公司</span></span></strong></a></p> <p><a href="https://claroty.com/team82/research/chaining-five-vulnerabilities-to-exploit-netgear-nighthawk-rax30-routers-at-pwn2own-toronto-2022"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露Netgear路由器漏洞細節</span></span></strong></a></p> <p><a href="https://www.bitdefender.com/blog/businessinsights/deep-dive-into-downex-espionage-operation-in-central-asia/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中亞政府遭到惡意軟體DownEx攻擊</span></span></strong></a></p> <p><a href="https://www.fortinet.com/blog/threat-research/rapperbot-ddos-botnet-expands-into-cryptojacking"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">殭屍網路RapperBot不只利用受害裝置發動DDoS攻擊，也將其用於挖礦</span></span></strong></a></p> <p><a href="https://brave.com/privacy-updates/25-forgetful-browsing/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為強化使用者隱私保護，瀏覽器業者Brave推出Forgetful Browsing，目的是清除第一方的Cookie資料</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156850">【5月12日】 2022年發生50起以上資安事故的臺灣企業比例上揚，接近四分之一</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156830">【5月11日】資安業者Dragos遭到網路攻擊，駭客企圖假冒即將就職的員工入侵</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156810">【5月10日】微軟發布5月例行更新，緩解3個零時差漏洞，已有部分被用於攻擊行動</a></strong></p> </div></div></div>
2023/5/15 16:29作者周峻佑https://www.ithome.com.tw/news/156877
PTC即將揭露3年SaaS戰略轉型成果，旗下兩大核心產品CAD和PLM將有重要變革，生成式AI與綠色設計成為關注焦點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾個月，ChatGPT的風潮席捲全球，不只展現了生成式AI技術在對話應用的突破性發展，甚至更擴展到了設計領域，全球兩大3D CAD設計軟體廠之一的SolidWorks最先擁抱生成式AI技術，並且幾個月前，該公司執行長就<a href="https://www.ithome.com.tw/news/155532">透露</a>正在開發設計界的ChatGPT，讓設計師用自然語言提出需求就能產生設計。</p> <p>另一家工業設計軟體和PLM軟體商PTC最近將舉行年度大會，外界對於這種新型態AI生成設計方式，它將如何應對充滿了好奇？</p> <h3><strong>生成式AI有機會翻新CAD設計，成為生成式設計新一代AI技術</strong></h3> <p>PTC目前雖然並沒透露自家的AI策略，在ChatGPT推出後也不像競爭對手SolidWorks大動作表明將在CAD產品中整合生成式AI技術，相比之下，PTC顯得相當低調，僅由CAD團隊發表<a href="https://www.ptc.com/en/blogs/cad/will-chatgpt-ai-revolutionize-engineering-and-product-development">一篇文章</a>來比較採用生成式AI的3D設計和現有生成式設計的差異，似乎沒有太多討論，不過，外界對於它在今年用戶大會上端出什麼樣的AI牛肉，仍相當期待。</p> <p>畢竟，PTC投入AI發展得很早，甚至比Solidworks都早，並將其應用在CAD產品的生成式設計（Generative Design）中，讓工程師或設計師可以用更有效率方式找出最優零件設計，實現產品差異性和提高效率。從產品更新來看，PTC早在Creo 7版本就開始支援生成式設計，並提供拓樸優化生成功能，到後來更加入AI演算法進一步提升生成的優化能力，並能與雲端運算結合，提供更快速和更複雜的生成式設計處理。</p> <p>2018年還收購了生成式設計軟體公司Frustum，進一步加強其CAD產品對生成式設計功能的支援。在今年即將推出的第10版本，對於各種3D模型零件設計生成優化更加全面。</p> <p>生成式AI技術今年在Chatgpt出現而爆紅後，也使得過往的生成式設計有機會借助這項技術(如GPT-4)，通過學習大量的數據和設計模式，以此生成新的設計，得到進一步突破發展。</p> <p>尤其，PTC主要客戶群，以高科技製造、航汰、工業、汽車等行業居多，若是能夠在CAD產品中導入生成式AI，以後這些行業在產品設計上，就有了一套更快速的AI生成工具可以運用，加快其產品開發週期、提高設計效率。</p> <p>甚至早在生成式設計應用前，一些AI新創、內容創作平臺商、圖片資料庫業者就已經採用了這項技術，來推出或發展自己的3D模型生成工具。</p> <p>例如OpenAI前幾天剛釋出能自動生成3D模型的Shap-E，可以將文字或圖片轉成3D模型。比起去年推出的Point E，Shap-E使用了GPT4模型，不只具備更準確的3D模型輪廓生成能力，還能提供更精細的紋理和複雜的形狀。這意謂著，使用生成式AI技術生成的3D模型，不僅一般人能用，而且也能提供給專業設計者在其設計工作中使用。</p> <p>另外Adobe正在發展自己的生成式AI模型Firefly，使用者只要輸入指令即可生成影像，也能轉成3D模型。此外，商業圖庫業者Shutterstock使用生成式AI技術，來生成式3D素材，可供工業、娛樂和遊戲領域使用。</p> <p>PTC過去擅於透過併購策略來快速提高競爭力，例如，2014開始進軍物聯網市場後，短短2年就買下了6家公司，甚至在早之前的PLM產品Windchill到後來純雲PLM產品Arena都是透過併購取得，在AI技術發展上也是如此，將有可能透過併購方式來補強這方面的能力，為自家CAD產品的生成式設計帶來新的競爭力。</p> <h3><strong>SaaS新戰略</strong></h3> <p>今年，PTC的SaaS戰略則成為另一個關注的重點。大約3年前PTC開始全面將其產品銷售走向SaaS的訂閱模式。一些核心產品，如CAD產品Creo、或PLM產品Windchill，相繼推出訂閱方案，不再僅限於傳統購買模式，甚至還有推出純雲產品，如Windchill＋。近期一些收購新公司，如ServiceMax等，都以雲端SaaS產品為重點。</p> <p>今年大會上，PTC將揭露關於SaaS策略最新成果。不過，對於講求高度客製化的製造業而言，PTC挑戰SaaS模式走向標準化產品功能，對於現有製造用戶帶來的影響，值得觀察。</p> <p><strong>全面支援綠色工程設計的PLM產品</strong></p> <p>而與CAD關係密切的PLM產品，也是PTC另一個主力產品。PTC今年預告將有重大革新推出新一代PLM產品，僅管沒有透漏更多具體細節，但從這家公司近來多次強調綠色設計、永續議題的重要性，也表明這次產品更新中，綠色設計和永續設計，將會是一大重點。</p> <p>原本PTC在PLM產品中，就已經能夠支援碳足跡記錄，未來可能更一步擴大到產品生命週期各階段碳足跡資訊管理，讓企業可以從產品設計階段就考慮綠色設計的要求，並將永續納入產品設計的發展過程中。甚至可能有相對應ESG產品解決方案推出。此外，將強化品質和透明度處理，應對越來越複雜的生命周期產品設計及製造需求。</p> </div></div></div>
2023/5/15 17:05作者余至浩https://www.ithome.com.tw/news/156865
監守自盜還向老板勒索，Ubiquiti開發人員Nickolas Sharp被判刑6年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國網路設備製造商Ubiquiti的前開發人員Nickolas Sharp，因為竊取大量的公司機密資料，向老板勒索不成，還匿名向媒體謊稱Ubiquiti遭到駭客入侵，在坦承犯案之後，<a href="https://www.justice.gov/usao-sdny/pr/former-employee-technology-company-sentenced-six-years-prison-stealing-confidential" target="_blank">上周被美國法院判處6年徒刑</a>，並必須支付近160萬美元的賠償金額。</p> <p>Sharp在2018年8月至2021年4月間任職於Ubiquiti，擔任Ubiquiti的資深開發人員，因此擁有Ubiquiti在AWS與GitHub伺服器上的存取憑證，不過，他在2020年12月時便打算離職，開始去其它公司面試，當時Sharp即濫用其管理權限，開始自上述伺服器下載數GB的機密資料，同時竄改日誌保留政策與其它檔案來掩飾自己的足跡，包括修改Session檔案名稱，企圖嫁禍給同事。</p> <p>接著Sharp在2021年1月便向Ubiquiti勒索，宣稱自己是駭客，是透過Ubiquiti系統上的漏洞取得這些機密資料，要求老板支付50個比特幣（當時約價值190萬美元），以取得漏洞細節與被盜資料，在遭到拒絕之後，Sharp即對外公布了部分機密資訊。</p> <p>然而，Ubiquiti非但沒有支付贖金，還向執法機構報案，FBI探員在2021年3月找上了Sharp，扣押了Sharp所使用的許多電子裝置，包括他用來竊取資料的筆電，但Sharp企圖不斷地欺騙FBI探員，更在被懷疑之後匿名向媒體舉報Ubiquiti遭到駭客入侵，使得Ubiquiti的股價在短短的兩天內大跌20%，市值蒸發了40億美元。</p> <p class="rtecenter"><a href="https://krebsonsecurity.com/2022/08/final-thoughts-on-ubiquiti/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0515-Ubiquiti-krebs%20on%20security.png" style="width: 500px; height: 405px;" /></a></p> <p>調查顯示，Sharp是以自己的PayPal帳號購買了Surfshark VPN服務，以讓它看起來像是有人於公共IP上利用他的權限來存取檔案，但Sharp有一次不小心直接從家中IP連上了伺服器而露了餡。為了掩飾自己的罪行，Sharp亦多次向FBI探員說謊。</p> <p>37歲的Sharp被控傳輸程式至受保護的電腦上並故意造成損害、電信詐欺，及向FBI說謊，因而被處以6年的有期徒刑，並必須賠償159萬美元。</p> </div></div></div>
2023/5/15 16:13作者陳曉莉https://www.ithome.com.tw/news/156876
雲端配置錯誤10年，逾2百萬豐田汽車位置資料、影像曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日本汽車龍頭豐田汽車（Toyota）再傳資安事件。<a href="https://company.toyotaconnected.co.jp/news/press/2023/0512/" target="_blank">豐田上周坦承</a>雲端服務配置錯誤將近10年期間，超過200萬輛車子位置資訊公開在網路上，車上攝影機拍攝的影像也曝險了將近7年。</p> <p>根據豐田汽車公開資訊，這起事件出於其雲端環境錯誤設定，造成豐田儲存的客戶車輛資訊可由外部存取一段時間。豐田汽車已經採取措施阻斷存取管道。</p> <p>受到影響的車主包括T-Connect、G-Link、G-Link Lite及G-Book，總數約215萬人。他們的車載設備ID、車身號碼（Vehicle Identification Number，VIN）及車輛位置從2013年11月6日到2023年4月17日期間可由外部網路存取。此外，豐田企業服務收集行車記錄器拍攝的車外影像也可能被外人讀取，時間橫跨2016年11月14日到2023年4月4日。至於受害車主分布哪些國家則不得而知。</p> <p class="rtecenter"><a href="http://company.toyotaconnected.co.jp/news/press/2023/0512/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0515-toyota%20data%20leak%202013~2023-2.png" style="width: 600px;" /></a></p> <p>豐田表示，這起事件主要原因在於對員工的資料處理政策說明不夠徹底。該公司承諾將再強化員工教育，同時引入雲端配置審核系統，並建立持續監控雲環境配置的機制。</p> <p>但豐田表示，該公司對客戶識別，並非僅依賴這些已公開的資訊。他們也尚未發現有人在網路上二次使用客戶資訊、在別處留下這些資訊或是任何資料濫用情形。</p> <p>這是兩年來這家日本汽車大廠第三次資料外洩。<a href="https://www.ithome.com.tw/news/153565" target="_blank">去年10月豐田汽車不慎把T-Connect服務金鑰公開在GitHub上</a>，導致3萬名車主郵件帳號外洩。<a href="https://www.ithome.com.tw/news/155432" target="_blank">今年2月一名研究人員發現豐田汽車的全球供應商管理平臺漏洞</a>，只要輸入可預測規則的員工郵件帳號，即能登入取得資訊。</p> </div></div></div>
2023/5/15 14:17作者林妍溱https://www.ithome.com.tw/news/156874
推特找到新CEO，馬斯克將轉任CTO
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在接手推特（Twitter）近10個月後，馬斯克（Elon Musk）終於找到繼任其執行長位置的人選，未來他將轉任技術長，專注產品開發及管理系統維運部門。</p> <p><a href="https://twitter.com/elonmusk/status/1657050349608501249" target="_blank">馬斯克上周五宣布</a>找到新任X公司（即推特）的CEO，Linda Yaccarino，她將在6周後上任，此後馬斯克的角色將轉為執行董事暨技術長（CTO），監管產品、軟體和系統維運。</p> <p>馬斯克去年10月買下推特後，在一個月期間大舉裁員並祭出新式付費身分驗證服務引發混亂。馬斯克12月針對其粉絲進行的投票顯示過半的人希望他下臺，<a href="https://www.ithome.com.tw/news/154831" target="_blank">馬斯克也承諾</a>一旦找到繼任人選他就會下臺。但這個時間比馬斯克原本預期的2023年底提早許多。</p> <p>Yaccarino之前是NBCUniversal廣告業務及客戶合作主管，也曾執掌過有線電視娛樂與數位廣告業務。<a href="https://www.cbc.ca/news/business/twitter-new-ceo-1.6841431" target="_blank">根據加拿大媒體CBC報導</a>，她在NBC任職12年的生涯中，其團隊創造超過千億美元廣告營收。Yaccarino已在周五向媒體證實從NBCUniversal離職。</p> <p>加入推特後，Yaccarino的主要工作是主持業務營運，馬斯克表示，期待她將推特轉變成X公司。馬斯克也持續推動將推特私有化的目標；<a href="https://www.ithome.com.tw/news/156393" target="_blank">4月間一份文件顯示</a>，推特已經合併到馬斯克的未上市公司X Corp公司中，名義上已不存在。</p> <p>馬斯克終於實踐其承諾，但推特能否重新抓住用戶的心則有待時間觀察。有人擔心，以Yaccarino廣告人身分帶領推特來判斷，推特恐怕將喪失眾聲喧嘩、言論百花齊放的獨特性，但<a href="https://twitter.com/elonmusk/status/1657106200075599874" target="_blank">馬斯克保證</a>他將不惜虧錢，致力確保言論自由。</p> <p>另一方面，欲取代推特的另類服務已經出現。除了由德國人Egen Rochko開發的使用ActivityPub協定的去中心化微型部落格Mastodon外，推特創辦人Jack Dorsey也開發了去中化社群平臺App BlueSky。這款App已在2月及4月分別推出iOS及Android版本。<a href="https://edition.cnn.com/2023/04/28/tech/bluesky-social/index.html" target="_blank">根據分析機構data.ai估計</a>，截至4月底Bluesky的iOS及Android App下載量，已分別達到37.5萬及10萬次。</p> </div></div></div>
2023/5/15 14:07作者林妍溱https://www.ithome.com.tw/news/156873
從推薦處理切入AI運算市場，國產廠商推出ASIC架構加速卡
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/chuang_xin_zhi_hui_recaccel_n3000_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於大型語言模型ChatGPT今年走紅，再度掀起一波人工智慧應用風潮，除了促成許多軟體與服務層面的創新，各種可加速人工智慧處理的硬體運算技術，也受到各界熱烈關注。而身為全球半導體設計與製造重鎮的臺灣，不僅協助大型國際級廠商發展相關解決方案，也孕育出多家本土廠商加入這場世紀競局。</p> <p>而在今年4月初，開放式工程聯盟（MLCommons）公布的MLPerf Inference效能測試提報結果中，就有一家臺灣AI加速晶片廠商名列其中，那就是2019年成立的創鑫智慧（Neuchips）。</p> <p>事實上，在2020年10月MLCommons發表的Inference Datacenter v0.7效能測試結果，創鑫智慧就已提報，當時的系統組態採用FPGA晶片型態的RecAccel原形產品，鎖定開放原始碼的深度學習推薦模型（Deep Learning Recommendation Model，DLRM）AI應用情境，而在後續的Inference Datacenter v1.0、1.1、2.0，該公司提出的產品受測組態，改為FPGA加速板卡Terasic DE-10 Pro。</p> <p>到了今年4月的公布Inference Datacenter v3.0，創鑫智慧提交兩份產品效能測試結果，均搭配他們去年5月發表的ASIC晶片加速卡RecAccel N3000，其中一項測試是採用單張加速卡的配置，每秒可進行107,001次查詢，另一項測試則是擴充至8張加速卡，每秒可進行856,398次查詢，兩相對照之下，突顯這款產品可隨使用數量的增加，提供近100％幅度的運算效能線性擴展。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Neuchips%20N3000-scalability.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/MLCOMMONS_Inference Datacenter 3_0-Neuchips 1 vs 8.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MLCOMMONS_Inference%20Datacenter%203_0-Neuchips%201%20vs%208.png" style="width: 400px;" /></a></p> <p>若基於上述這份效能測試結果，並以其中所列頂級資料中心GPU產品Nvidia H100的數據來比較，就DLRM推薦運算效能而言，搭配8張創鑫智慧RecAccel N3000的AMD二路（64核心CPU）伺服器，平均每1瓦電力每秒可查詢1060.05次（856,398次除以807.88瓦），搭配8張PCIe介面卡形式Nvidia H100的AMD二路（32核心CPU）伺服器，則是633.41次（1,501,100次除以2,369.85瓦），因此，N3000的每瓦推薦運算效能可達到H100的1.7倍。創鑫智慧表示，若改用另一款內建4顆RecAccel N3000晶片的加速卡來比較，可望將每瓦推薦運算效能領先幅度拉大，預估能達到H100的2.2倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Neuchips%20N3000-MLPerf%203_0.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/MLCOMMONS_Inference%20Datacenter%203_0-Neuchips%20vs%20H100.png" style="width: 419px;" /></p> <p>RecAccel N3000為何會有亮眼的能源使用效率？創鑫智慧僅簡單表示，因為這當中使用了INT8整數運算校準器，但僅僅只是這個原因嗎？</p> <p>回顧去年該公司發表這款加速晶片的相關消息當中，我們可以看到還有其他技術優勢。例如，5月宣布推出RecAccel N3000時，他們提到這是一款首款專為深度學習推薦模型處理加速所設計的ASIC晶片，導入台積電7奈米製程，並將基於搭配這款晶片的雙M.2模組產品，針對遵循開放運算平臺（OCP）規格的伺服器，提供RecAccel N3000 Inference平臺，以及推出採用PCIe 5.0介面的加速卡，以安裝在資料中心的伺服器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RecAccel N3000 forms.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RecAccel%20N3000%20forms.jpg" style="width: 600px;" /></a></p> <p>而在發展AI硬體架構與持續改良DLRM運算效能的同時，他們也在軟體層面進行共同設計，提供可廣泛應用的最佳化軟體堆疊架構，實現高精準的運算、硬體資源與能源利用率的目標。</p> <p>在AI推薦模型的部分，RecAccel N3000不僅支援DLRM，也支援WND（Wide & Deep）、DCN（Deep and Cross Network）、NCF（Neural Collaborative Filtering），而在安全性的部分，它也內建硬體信任根（RoT），可強化本身的保護。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Neuchips N3000-System.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Neuchips%20N3000-System.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Neuchips N3000-Deploy.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Neuchips%20N3000-Deploy.jpg" style="width: 600px;" /></a></p> <p>以精準度而言，他們發展出獨特的8位元協同運算技術，可結合量化處理、校準、硬體支援，將FP32運算的精度提升至99.95%；晶片內建專屬的多層感知器（Multilayer Perceptron，MLP）運算引擎，能在引擎層級提供立即可達到的能源使用效率，並且能在系統單晶片層級，實現每個推論處理只需1毫焦耳能量的理想。</p> <p>在記憶體的存取方式上，創鑫智慧也開發出專屬的嵌入式引擎，具有新型快取設計與DRAM流量最佳化功能，能針對LPDDR5記憶體，減少50％存取需求，將記憶體頻寬利用率提升30％。</p> <p>到了6月，創鑫智慧宣布RecAccel N3000進入投片生產階段，進一步揭露這款晶片組成與軟體堆疊架構。</p> <p>以運算引擎而言，當中分成嵌入型引擎、特徵互動（Feature-cross，FX）引擎，以及矩陣乘法引擎。其中的嵌入型引擎，針對目標是上述的記憶體存取效率，能大幅減少晶片以外的記憶體存取需求；特徵互動引擎則是指支援多種AI推薦模型的處理，可涵蓋DLRM、WND、DCN、NCF；至於矩陣乘法引擎，RecAccel N3000內建10個動態多層感知器運算引擎（Dynamic MLP Engine），而相關配置也是節省耗電量，以及有效率處理寬鬆矩陣運算的關鍵。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RecAccel Arch.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RecAccel%20Arch.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RecAccel Arch2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RecAccel%20Arch2.jpg" style="width: 600px;" /></a></p> <p>關於軟體堆疊方面，創鑫智慧揭露軟體開發套件將包含編譯器、執行時期元件，以及工具鏈，他們表示，當中將支援大模型分割、橫跨多顆晶片或加速運算卡的運算方式，能在每一顆晶片執行多個更小型的推論處理工作。 </p> <p><a href="https://s4.itho.me/sites/default/files/images/RecAccel sdk.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RecAccel%20sdk.jpg" style="width: 600px;" /></a></p> <p>而在資料型別的使用上，創鑫智慧發展出新的8位元計數格式，稱為彈性浮點（Flexible Floating Point，FFP8），能促使晶片電路隨著AI模型的差異而調適，以此實現高精度的運算。除此之外，由於AI訓練皆採用32位元，所以大家能使用32位元來執行推論處理，若改用8位元來計算，耗電量可縮減至16分之1，但過往業界總是必須在精準度與運算效率之間做出抉擇，他們認為可透過FFP8，實踐更多的運算精準度，也能兼顧節約能源的需求。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/RecAccel%20ffp8.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/RecAccel%20ffp8-2.jpg" style="width: 600px;" /></p> <p>到了9月初，在電子設計自動化（EDA）公司Synopsys舉行的ARC Processor Summit 2022大會期間，創鑫智慧公開更多RecAccel N3000的規格與技術架構細節，例如，晶粒內建160 MB的SRAM記憶體，搭配的LPDDR5記憶體可配置為4個64 GB、內建線上錯誤修正處理（ECC），PCIe介面可支援3.0、4.0、5.0，最大可提供16個通道。</p> <p>而且，他們也表明當中採用Synopsys旗下的多組矽晶片智慧財產，像是RecAccel N3000內建的處理器當中，結合了Synopsys的ARC EV72處理器，作為數位訊號處理器（DSP）與支援浮點運算處理；而在介面方面，這裡搭配Synopsys的進階高效能匯流排與周邊匯流排（AMBA）、LPDDR5、PCIe等智慧財產；在記憶體方面，搭配Synopsys Memory Compilers，可獲得進階電源管理功能；硬體安全方面，搭配Synopsys Hardware Secure Modules，而能具備硬體信任根，確保系統開機程式碼受到保護，也能執行裝置驗證。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/RecAccel%20Processor.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>創鑫智慧RecAccel N3000<br /> ●原廠：創鑫智慧<br /> ●建議售價：廠商未提供<br /> ●I/O介面：PCIe 5.0 x8<br /> ●外形：搭配單顆N3000的全高全長PCIe介面卡、搭配雙M.2款式、搭配4顆RecAccel N3000的PCIe介面卡<br /> ●運算晶片：台積電7奈米製程ASIC，內建10個DME運算引擎、2個FX引擎、1個嵌入式引擎<br /> ●運算引擎之間頻寬：1.6 Tb/s<br /> ●搭配記憶體：單顆N3000搭配32 GB LPDDR5-6400（每顆ASIC內建160 MB SRAM）<br /> ●運算效能：INT8為256 TOPS，FP16為64 FLOPS<br /> ●耗電量：PCIe 4.0介面卡最大為300瓦</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/5/15 12:56作者李宗翰https://www.ithome.com.tw/review/156848
【資安週報】2023年5月8日到5月12日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一周漏洞利用消息中，共有8漏洞需特別關注，其中2個要優先注意的是，微軟本月例行性安全性更新所修補的Win32k權限提升漏洞CVE-2023-29336，以及Ruckus Wireless修補旗下多款路由器產品的CSRF與RCE漏洞CVE-2023-25717，還有6個本周尚未提及，屬於早年修補的已知漏洞，分別是Red Hat Polkit<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-3560">（CVE-2021-3560）</a>、Linux kernel（<a href="https://nvd.nist.gov/vuln/detail/CVE-2014-0196">CVE-2014-0196</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2010-3904">CVE-2010-3904</a>）、Jenkins UI（<a href="https://nvd.nist.gov/vuln/detail/CVE-2015-5317">CVE-2015-5317</a>）、Oracle Java SE與JRockit（<a href="https://nvd.nist.gov/vuln/detail/CVE-2015-5317">CVE-2016-3427</a>）、Apache Tomcat（<a href="https://nvd.nist.gov/vuln/detail/CVE-2016-8735">CVE-2016-8735</a>）。</p> <p>在威脅焦點新聞事件與趨勢方面，以微星3月遭駭事件波及Intel開機安全機制BootGuard最受矚目，以及工控資安業者Dragos揭露自身遭勒索軟體意圖攻擊但未被得逞的狀況，還有自從勒索軟體Babuk原始碼遭公布後，有研究人員發現，近期不少針對勒索組織因為自身不擅長在Linux平臺開發惡意程式，而選擇使用現有的原始碼加以修改。</p> <p>在國內方面，iThome主辦的2023 CYBERSEC臺灣資安大會於本周舉行，今年持續有多位世界知名資安領袖與專家在臺發表主題演說，提供國內產業更多最新資安動態，包括美國前國土安全部長Janet Napolitano、Google威脅分析小組（TAG）負責人Shane Huntley、Cyber Defense Matrix發明人Sounil Yu，以及趨勢科技首席技術策略長David Chow、Fortinet資安策略長Derek Manky等，以及現場共有二百多場演講的專業資安會議，加上大會活動現場的資安展覽與Cyber Talent資安人才展區，整場共吸引超過1萬8千人參與，再創歷年之最。同時，iThome 2023資安大調查也在本周出爐，揭露來自國內兩千大企業最新調查的資安災情、資安投資動向。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/156782"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月8日】付費版ChatGPT試用流程有漏洞，使用者可透過相同電話號碼搭配特殊字元重複申請</span></strong></a></h3> <p>大型語言模型ChatGPT吸引了網路罪犯的目光，駭客爭相取得付費帳號，試圖將其用於攻擊行動，但最近有資安業者揭露「無限試用」的手法，起因是OpenAI在提供試用服務的過程中，雖然要求使用者必須登記沒有註冊該服務的電話號碼與電子郵件信箱，但因為驗證電話號碼的流程瑕疵，而能讓攻擊者只需透過一組電話號碼，就能不斷申請試用ChatGPT付費服務。</p> <p>Fortinet近期發布了5月份的例行更新，當中針對FortiADC、FortiOS、FortiProxy修補了高風險漏洞而相當值得留意，IT人員應儘速套用相關修補程式。</p> <p>在今天的資安新聞裡，有2則遠端終端裝置（RTU）的漏洞修補資訊，這些RTU設備往往會用於關鍵基礎設施（CI），相關漏洞帶來的影響可能會相當廣泛。</p> <h3><a href="https://www.ithome.com.tw/news/156783"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月9日】安卓惡意程式FluHorse鎖定臺灣、越南用戶，偽裝成ETC及銀行App行騙，目的是使用者的雙因素驗證碼</span></strong></a></h3> <p>安卓惡意程式的攻擊行動變得相當頻繁，不時有時故傳出，但大部分都是以提供各式實用工具（如修圖、手電筒App），或是假冒多個銀行的App來發動攻擊。而最近名為FluHoruse的惡意軟體相當特別，目前研究人員發現駭客只針對了3款App的使用者下手（其中一款尚未找到被假冒的應用程式），值得留意的是，其中一個目標，就是與我國高速公路用路人有關的遠通電收App。</p> <p>針對臺灣高科技廠商的攻擊行動後續發展也值得留意。勒索軟體Money Message聲稱從臺灣電腦大廠微星竊得1.5 TB資料，索討贖金不成後將資料公開，結果有研究人員發現，這些外流的資料很可能波及各家採用Intel處理器的電腦。</p> <p>在攻擊行動之外，詐騙在臺灣極為猖獗的現象，也引起政府重視。近日臺灣高等檢察署查緝詐欺及資通犯罪督導中心正式揭牌，行政院長陳建仁致詞時提出政府將從4大面向來打擊詐騙。</p> <h3><a href="https://www.ithome.com.tw/news/156810"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月10日】微軟發布5月例行更新，緩解3個零時差漏洞，已有部分被用於攻擊行動</span></strong></a></h3> <p>9日多家廠商發布5月份例行修補，包含微軟、Adobe等軟體業者，以及西門子、施耐德電機等OT設備業者，其中最值得留意是微軟發出的公告，因為當中修補的零時差漏洞CVE-2023-29336、CVE-2023-24932已出現攻擊行動，不過，微軟並未透露更多細節，但<a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-may-2023-patch-tuesday-fixes-3-zero-days-38-flaws/">資安新聞網站Bleeping Computer指出</a>，駭客可能利用CVE-2023-24932部署名為BlackLotus的UEFI bootkit。</p> <p>本周推特傳出先前可能發生資安事故，因為有用戶於4月發生私密圈訊息服務Twitter Circle功能失效的情況，直到最近推特終於證實確有此事，並指出是該服務發生資安事故導致。但該公司並未透露有多少用戶受到影響。</p> <p>殭屍網路針對無線網路系統而來的攻擊行動，也值得留意。有研究人員揭露殭屍網路AndoryuBot的攻擊行動，駭客利用了2月修補的重大漏洞CVE-2023-25717，來攻擊無線網路管理系統Ruckus Wireless Admin，一旦得逞，很有可能整個無線網路環境都會遭到駭客擺布。</p> <h3><a href="https://www.ithome.com.tw/news/156830"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月11日】資安業者Dragos遭到網路攻擊，駭客企圖假冒即將就職的員工入侵</span></strong></a></h3> <p>員工就職的流程竟成為駭客意圖入侵資安業者的管道！資安業者Dragos證實近日遭到使用勒索軟體的駭客組織攻擊，駭客假冒尚未就職的員工，通過相關流程並取得部分存取權限，所幸該公司察覺異狀採取行動而沒有成功。但離譜的是，駭客事後竟向其高階主管開口索討贖金，揚言不付錢就會對其家人不利。</p> <p>WordPress網站的外掛程式漏洞也相當值得留意，有資安業者揭露外掛程式Advanced Custom Fields的漏洞CVE-2023-30777，並指出至少7成網站曝險，呼籲網站管理者要儘速處理。</p> <h3><a href="https://www.ithome.com.tw/news/156850"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月12日】2022年發生50起以上資安事故的臺灣企業比例上揚，接近四分之一</span></strong></a></h3> <p>臺灣常年處於周邊國家威嚇的情況，還有經濟導向駭客的威脅，企業遭遇資安事故不時傳出，但究竟有多嚴重？iThome於5月11日公布2023年資安大調查結果，有23.4%企業2022年遭遇超過50次資安事件，換言之，這些企業平均每週就要遇到一次。如此險峻的情勢，也使得各個產業都在今年增加相關預算，其中又以醫療業的成長幅度最大。</p> <p>由於臺海情勢日益緊張，為期已超過1年以上的烏克蘭戰爭引發網路攻擊加劇，也非常值得我國借鏡。Google威脅分析小組（TAG）於臺灣資安大會上，公布俄羅斯對於烏克蘭、北約國家這1年來網路攻擊態勢，指出開始進行軍事行動之後，俄羅斯駭客的網路攻擊行動翻倍成長。</p> <p>竊資軟體的攻擊行動最近也出現新手法，大家需提高警覺。有資安業者揭露竊資軟體Aurora的攻擊行動，但特別的是，駭客偽造了人們熟悉的Windows Update更新畫面，引誘使用者依照指示下載惡意程式。</p> <p> </p> </div></div></div>
2023/5/15 11:40作者羅正漢https://www.ithome.com.tw/news/156852
Brave推出Forgetful Browsing功能以清除第一方資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://brave.com/privacy-updates/25-forgetful-browsing/" target="_blank">隱私瀏覽器Brave上周發表</a>了全新的健忘瀏覽（Forgetful Browsing）功能，這是針對第一方（使用者所造訪的網站）的隱私保護設計，使用者可以將它設為預設值，或是針對特定網站進行設定，只要一關閉所造訪的網站，Brave便會清除該站所存放的Cookie或其它資料。</p> <p>全球網站自1994年便開始利用Cookie來記錄使用者，可在使用者以瀏覽器造訪網站時，於使用者端建立Cookie，以儲存使用者所輸入的資料或是使用者的瀏覽紀錄，並在使用者下次造訪時，直接帶入歷史資料，此一模式稱為第一方Cookie；而使用者所造訪網站上出現的廣告，亦能建立Cookie，可存放使用者於該站的停留時間、所點選的連結、所瀏覽的頁面或路徑，同樣可用來識別使用者並遞送目標式廣告，由於這些廣告並非使用者造訪網站的目的，而被稱為第三方Cookie。</p> <p>Brave隱私工程副總裁Peter Snyder表示，大多數的網頁瀏覽器已開始認真對待第三方Cookie追蹤，使得這些第三方或廣告業者轉而透過第一方儲存來追蹤使用者。</p> <p>這些第三方也許是透過網站追蹤工具、行動程式、社交媒體，或者是建立一個網站來吸引使用者註冊及參加比賽，以讓自己成為第一方，順理成章地記錄使用者。甚至有行銷專家大力推廣此一方法，推崇它不僅比購買第三方資料的成本還要低，而且更為精確。</p> <p>於是乎，Brave也把保護使用者的任務從阻止第三方Cookie，延伸到避免受到第一方Cookie的追蹤。</p> <p>Snyder指出，現階段許多瀏覽器的預設值，都是允許網站可無限期地重新辨識使用者身分，而Forgetful Browsing即可解決此事，啟用該功能之後，Brave即可在使用者關閉所造訪的網站之後的幾秒內自動登出，並清除所有的第一方Cookie與資料，使用者可直接把Forgetful Browsing設為Brave瀏覽器的預設值，或是僅針對特定網站啟用它。由於該功能可以清除第一方網站所存放的Cookie，因此它可阻止網站重新辨識使用者的身分，也能繞過某些網站的閱讀數量限制。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0515-brave%20browser-Forgetful%20Browsing.png" style="width: 586px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Brave</span></span></p> <p>Forgetful Browsing的功能聽起來很像其它瀏覽器所提供的「無痕模式」（Incognito Mode），但Snyder舉例，若Sam在example.com郵件服務上同時註冊了兩個帳號，卻不想讓供應商知道這兩個帳號屬於同一人，或許可以在造訪其中一個時啟用無痕模式，缺點是Sam只要有一次忘了以無痕模式登入，供應商就會永遠知道它們之間所有連結。</p> <p>總之，Brave標榜Forgetful Browsing功能優於無痕模式、擴充套件，或是清除所有紀錄等方法，即將現身於桌面版Brave 1.53及Android版Brave 1.54。</p> </div></div></div>
2023/5/15 11:49作者陳曉莉https://www.ithome.com.tw/news/156869
AI趨勢周報第215期：Google新模型PaLM 2驅動了哪些新服務？盤點I/O大會LLM新進展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0505～0511)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> PaLM 2 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google新模型PaLM 2驅動了哪些新服務？盤點I/O大會LLM新進展</strong></span></p> <p>Google在今年度I/O技術大會上揭露新版大型語言模型<a href="https://blog.google/technology/ai/google-palm-2-ai-large-language-model/">PaLM 2</a>，並用這個模型來驅動近25款新功能和服務。PaLM 2用大量的網路文件、書籍、程式碼、數學問題和對話訓練而成，所學習的語言超過100種，功能比第一代更強大，比如它能看懂Fortran這類老舊的程式碼，不僅能改程式，還能用任何語言附上程式的技術文件。</p> <p>Google也用PaLM 2來驅動許多新功能和服務，比如Google搜尋的生成式體驗功能，可快速根據使用者輸入的搜尋關鍵字，來摘要相關資訊，給使用者參考。此外，PaLM 2也用來驅動Duet AI功能，也就是Google辦公工具中的AI功能，如Gmail的輔助撰寫功能，使用者下提示就能讓AI給出建議內容。另，PaLM 2也用於聊天機器人Bard，來優化其程式碼處理、翻譯和推理的能力。同時，Bard也新添日語和韓文，Bard目前也正式對大眾開放。</p> <p>不只如此，Google也打造一款PaLM 2的衍生模型Codey，並用於最新的<a href="https://android-developers.googleblog.com/2023/05/android-studio-io-23-announcing-studio-bot.html">Android Studio Hedgehog程式碼開發助理Studio Bot</a>，來提供程式碼編寫協助、查詢相關資源。PaLM 2有多種版本，其輕量版在手機上就能執行，還有一種是針對醫學用途的版本<a href="https://youtu.be/k_-Z_TkHMqA">Med-PaLM 2</a>，可回答、整理醫學相關問題。另一方面，Google也正訓練新一代LLM，這款模型名為Gemini（雙子座），可執行多模態任務。<a href="https://blog.google/technology/ai/google-responsible-ai-io-2023/">（詳全文）</a></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/dVsiusLQy5Q?controls=0" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 3D物件 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 自然語言 </span></strong></span></p> <p><span style="font-size:22px;"><strong>文字生成圖像還不夠，OpenAI開源3D物件生成模型</strong></span></p> <p>這兩年生成式AI風生水起，大多仍鎖定文字生成文字或圖像，但OpenAI最近嘗試新領域，打造並開源一款3D物件生成模型Shap-E，可根據文字輸入，來產出3D物件。雖然Shap-E產出的3D物件較粗糙，但它與其他只產出單一表徵的3D物件生成模型不同，可直接生成隱式函數的參數，這些參數可用單一文字提示，來渲染出紋理網格和神經輻射場（NeRF）。</p> <p>OpenAI用2階段來訓練Shap-E，首先，他們先訓練一個編碼器，來將3D資產映射到隱性函數的參數。接著，團隊用編碼器的輸出值，來訓練一個條件式擴散模型。團隊表示，用大型的3D物件-文字資料集來訓練模型，就可在短短幾秒內生成外型複雜的3D物件。</p> <p>OpenAI表示，與自家先前打造的3D物件生成模型相比Point-E，Shap-E還有個特點，就是即便用更高維度、多表徵空間來對Shap-E建模，它卻能更快生成品質更好的3D物件。不過，除了生成的3D物件偏像素化、看起來粗糙，Shap-E還有個限制，就是只能根據單一物件提示和簡單的屬性產出3D物件，這是團隊有待進步的空間。<a href="https://github.com/openai/shap-e">（詳全文）</a></p> <p><img alt="" src="https://github.com/openai/shap-e/raw/main/samples/a_penguin/1.gif" /><img alt="" src="https://github.com/openai/shap-e/raw/main/samples/a_chair_that_looks_like_an_avocado/2.gif" /><img alt="" src="https://github.com/openai/shap-e/raw/main/samples/a_birthday_cupcake/3.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Mojo </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Python </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開發語言 </span></strong></span></p> <p><span style="font-size:22px;"><strong>AI開發新語言Mojo速度可比Python快35,000倍</strong></span></p> <p>新創公司Modular AI發表新程式語言Mojo，號稱具備Python的可用性和C語言的高效能。而且，Mojo可直接存取AI運算硬體，運算效能大幅超越Python，甚至在執行特定演算法時，Mojo比Python快上35,000倍。</p> <p>Modular AI指出，Python雖是一個強大的語言，也支援各種AI研究，但可擴展性是最大缺點。Python難以用於大型工作負載，也無法在邊緣裝置中順暢執行，還是得靠C++和CUDA等其他語言。而Mojo建立在現代編譯技術上，具備類型設計，大幅增加程式執行速度，也能讓開發者定義零成本抽象，並擁有類似Rust語言的記憶體安全性。</p> <p>特別的是，Mojo還擁有自動調校和編譯時後設程式開發功能，可分別在程式編譯過程中自動最佳化程式效能，以及在程式編譯階段時，對自身結構和行爲進行調整，生成更高效的程式碼。此外，Mojo還能直接與AI硬體溝通，如存取執行緒、TensorCores和AMX擴充等低階硬體功能，速度比Python要快上許多。<a href="https://www.modular.com/mojo">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 司法院 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 裁判書 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>司法院用生成式AI打造裁判書自動生成工具</strong></span></p> <p>為減輕法官工作負擔，司法院開始用生成式AI來打造裁判書自動生成工具，來讓各法官使用。這是因為，司法院統計，刑事法官每月平均處理數十件案件，不只要開庭，還要花許多時間來寫裁判書。為此，司法院試用生成式AI打造裁判書生成工具，可針對酒駕、幫助詐欺、毒品案件等3種犯罪類型來產生，其中，前2種使用類似Google的T5模型，來訓練出一個通用的預訓練模型，再以此通用模型為基礎，在裁判書生成任務上進行模型微調；後者則參考GPT-2版本、運用多項自然語言處理（NLP）、演算法與知識圖譜等技術而開發。</p> <p>為訓練這些生成式模型，司法院用大量裁判書和檢察官起訴書作為訓練資料，讓這些模型來學習不同法官的寫作風格，同時理解法官判決書中各段落對應的關係。因此，以生成式AI模型產生的裁判書的草稿包含更多細節，例如起訴書的犯罪事實、判決理由等，這有助法官更快速地完成裁判書的撰寫。該工具預計年底前上線。<a href="https://www.ithome.com.tw/news/156693">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/9602zhi_hao_-cai_pan_-tu_1-tu_pian_lai_yuan_-si_fa_yuan_.jpg?itok=bm-22Gg5" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI可解釋性 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OpenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GPT-4 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>AI可解釋性新成果，OpenAI用GPT-4解釋語言模型行為</strong></span></p> <p>OpenAI用GPT-4大型語言模型來解釋大型語言模型神經元的行為，並對這些解釋進行評分，來評估解釋的品質。有別於仰賴研究者手動檢查模型神經元的傳統方法，OpenAI採用GPT-4來自動生成語言模型神經元的行為解釋，簡單來說可分為3步驟，首先是產生結石，也就是給定一個GPT-2神經元，來向GPT-4展示相關的文字序列和活躍情況，讓GPT-4生成解釋神經元行為的文字。</p> <p>第二步則是用GPT-4模擬神經元行為，來了解解釋中的神經元活躍原因。最後一步是比對、模擬和真實情況的差異，來對解釋評分，衡量解釋的可靠性和準確性。這項可解釋性研究，不只要讓用戶和開發者更了解AI運作的原理，也要讓研究者更理解模型的偏差與錯誤。不過OpenAI坦言，透過GPT-4自動生成並評分神經元行為的方法，對大模型的效果並不好；雖然目前許多解釋獲得分數都很低，但是OpenAI認為，未來模型解釋能力可再提高。<a href="https://openai.com/research/language-models-can-explain-neurons-in-language-models">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> BigCode </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Copilot </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 程式碼 </span></strong></span></p> <p><span style="font-size:22px;"><strong>BigCode發表效能超越初代Copilot的程式碼生成模型</strong></span></p> <p>開放科學協作組織BigCode最近釋出150億參數的大型語言模型StarCoderBase以及為Python調校的StarCoder模型，可自動寫完程式碼、根據指令修改程式碼，也能用自然語言解釋程式碼片段。這兩個模型都使用大量GitHub上授權的程式碼來訓練，是目前所有開放程式碼生成模型中效能最佳的模型，甚至超越GitHub Copilot初期版本所使用的OpenAI code-cushman-001模型。其中，StarCoderBase的訓練資料非常多樣，涵蓋80多種程式語言、Git提交、GitHub問題和Jupyter筆記本，共有1兆文字單位（Token）來讓模型學習。</p> <p>同時，BigCode也用350億個Python Token微調，產出StarCoder模型。StarCoder可處理的輸入量比其他大型語言模型要多，可接受高達8,000個Token，還支援更多樣的應用，如經過一系列對話指示，來讓StarCoder成為技術助理。經Python基準測試HumanEval評估，團隊發現，無論是StarCoderBase還是StarCoder，模型規模都較PaLM、LaMDA和LLaMA小得多，但是表現卻更好。<a href="https://drive.google.com/file/d/1cN-b9GnWtHzQRoE7M7gAEyivY0kl4BYs/view">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Meta </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 廣告製作 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta推出廣告製作測試中心AI Sandbox</strong></span></p> <p>Meta最近推出廣告製作測試中心AI Sandbox，可用來實驗各種廣告內容製作的功能與工具，包括運用生成式AI的廣告工具，像是文字變體、背景生成和圖像剪裁。其中，文字變體可用來產生不同版本的文字，來凸顯廣告文案的重點，廣告主可針對不同受眾提供不同訊息。背景生成則可用文字輸入來產生背景圖像，廣告主可快速嘗試不同背景。</p> <p>圖像剪裁功能可調整各種創意資產，來適應不同的廣告露出，如Stories或Reels。目前Meta只與少數廣告主共同測試AI Sandbox、蒐集意見，他們預計在7月開放更多的廣告主加入，也會增加AI Sandbox測試的功能。<a href="https://www.facebook.com/business/news/introducing-ai-sandbox-and-expanding-meta-advantage-suite">（詳全文）</a></p> <p><img alt="" src="https://lookaside.fbsbx.com/elementpath/media/?media_id=1201823420526781&version=1683905244" /></p> <p>圖片來源／Google、OpenAI、司法院、Meta</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Google文字轉音樂AI工具MusicLM開放公測</strong></p> <p><strong>2. Google更新TensorFlow機器學習工具，簡化模型部署與訓練</strong></p> <p>資料來源：iThome整理，2023年5月</p> </div></div></div>
2023/5/14 08:57作者王若樸https://www.ithome.com.tw/news/156859
公私協力防堵，建立更全面的資安防護網
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面對近乎無邊際的全球網路威脅，iThome持續報導資安領域的重要消息，在連續9年來舉辦的臺灣資安大會當中，也見證臺灣重視資訊安全的過程。總統蔡英文2016年就任後不久，推動「資安即國安」的國家資通安全策略，並於2018年下半公布內容，針對組織、法制、人才、產業等四大層面建立基礎，過程中，行政院資通安全辦公室升格為行政院資通安全處，國防部正式成立資通電軍指揮部，並推動國內自主資安產業的強化，以法源而言，政府訂定與實施資通安全管理法，也修正國家情報工作法、將資通電軍納入準情報體系。</p> <p>蔡總統第二任就職隔年上半，提出進階的「資安即國安2.0」，訂出三大目標：充實資安卓越人才、強化人民家園安全防護與鞏固資安外交網路防禦、促進產業繁榮發展，對應人才培育（People）、內外資安防護（Protection），以及促成臺灣資安產業昌盛（Prosperity），策略有5項，簡稱為TRUST，頭尾兩個T是Talent與Technology，對應人才與產業，前者著重培育資安卓越人才，建構聯合作戰機制，後者推動「產業落實資安、驅動資安產業」交互作用，至於TRUST中間的R、U、S，具體勾勒資安防禦作為，對應Resilience、Unity、Security等三大關鍵，具體而言，臺灣資安需做到下列幾件事：（1）提升防護韌性；（2）促進資安國際合作，建構國內外聯防體系；（3）發展精實防禦機制，打擊網路犯罪。</p> <p>然而，積極推行國家級的資安防護發展的同時，世界各國這幾年都面臨不法份子利用資通訊管道詐騙的活動日益猖獗，臺灣政府雖然持續因應，希望能遏止這類事件發生，然而，隨著受害狀況層出不窮，不僅止於網路電子商務平臺詐騙、假投資、解除分期付款詐欺，去年更有多位民眾被海外求職誘至外國（柬埔寨）從事非法詐騙，涉及擄人、限制自由、虐待等狀況，5月初臺灣政府也率先宣布祭出更強力手段，確保社會的信任。</p> <p>5月3日，臺灣高等檢察署「查緝詐欺及資通犯罪督導中心」正式揭牌，成立打擊電信網路詐欺犯罪的專責機關；5月4日，行政院頒布「新世代打擊詐欺策略行動綱領1.5版」，透過國家通訊傳播委員會、金融監督管理委員會、法務部、內政部等相關部會的執法與宣導，警政署及調查局也將成立北中南打詐工作站或防制中心，結合地方政府通力合作，運用公私協力推動各項防詐作為。</p> <p>而在細部分工上，行政院提出「識詐」、「堵詐」、「阻詐」、「懲詐」等4個面向。在識詐的作為上，內政部將帶領16個協辦機關，負責結合中央各部會與地方政府、各行業，進行全民識別詐騙的宣導；堵詐方面，通傳會將帶領5個協辦機關，與電信業進行合作，攔阻境外竄改來電詐騙及境外來電警示，數位發展部也將與電商平臺及物流業者推動電話隱碼服務，並建立政府公益簡訊專用代表門號，供相關機構發送宣導簡訊。</p> <p>關於阻詐，金管會將帶領8個協辦機關，為了提升金流安全與保障合法經歷，將持續推動申請約定轉帳加強防詐措施（臨櫃關懷提問、防詐警語提醒），數位部也將建立遊戲點數防詐鎖卡，以及防詐驗證等內控機制，並鼓勵民間投入研發數位防詐工具；在懲詐方式上，法務部將帶領6個協辦機關，推動詐欺犯罪行為的嚴懲、被害人的保護，並與其他主管部會機關合作，規畫查緝的策略與防制作為，強化行政監管作為。</p> <p>相關法令也將調整，例如，行政院提出的修正草案5月4日前通過立法院初審，涵蓋刑法、人口販運防制法、個人資料保護法、洗錢防制法、證券投資信託及顧問法，稱為「打詐五法」，針對深偽詐騙、私行拘禁、人口販運等詐欺，將加重罰則。不過，在公部門防堵資安威脅或預防詐騙之餘，民眾也必須強化識別惡意行為與自我防衛能力，兩相配合之下，才能更有效抵禦非法活動。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div></div></div>
2023/5/14 23:28作者李宗翰https://www.ithome.com.tw/voice/156857
AI新典範的資安挑戰
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1129-feng_mian_-open-dou_zi_-zi_an_da_diao_cha_-960x420_kao_bei_.jpg?itok=tCmrqsp6" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>疫情雖然降級，數位轉型的馬拉松仍然繼續加速，烏克蘭戰爭掀起的新全球化局勢，也持續發威，企業資安的挑戰依舊嚴峻，但是，ChatGPT浪潮帶來的新AI典範，開始衝擊企業，也帶來新的資安課題，如何兼顧創新與安全，成了今年最大挑戰</p> </div></div></div>
2023/5/14 23:32作者王宏仁https://www.ithome.com.tw/article/156858