iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 16篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 08:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安週報】2023年5月15日到5月19日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一週的漏洞消息中，以蘋果揭露修補3個WebKit零時差漏洞成為最大焦點，除了影響廣泛，並且都已有遭鎖定利用情況。此外，我們在盤點漏洞消息時，新注意到Samsung裝置的漏洞（CVE-2023-21492），並且還有兩個Cisco早年的已知漏洞(CVE-2016-6415、CVE-2004-1464），也都確認遭成功利用情形需優先關注。</p> <p>其他值得關注的新漏洞修補動向，包括：Cisco、KeePass，以及物聯網與工控相關有Teltonika Networks、Wemo Mini、研華、Rockwell Automation的更新修補釋出。</p> <p>在威脅態勢與攻擊焦點方面，以勒索軟體新動向受矚目，包括BianLian近期攻擊態勢的揭露，以及MalasLocker鎖定郵件伺服器Zimbra，CheckMate鎖定SMB檔案共用協定的情形，而利用Babuk原始碼打造勒索軟體的狀況，也持續有資安業者揭露相關事件。其他可留意的威脅活動與事件，包括：駭客利用Go語言開發的Cobalt Strike，以及MerDoor的後門程式的揭露，以及中國駭客在TP-Link路由器植入惡意程式並鎖定歐盟外交機關攻擊的情形。</p> <p>至於國內方面，本週有多起資安事件引發關注，包括計程車派遣服務Yoxi公告遭帳號填充攻擊，誠品外洩個資問題又成焦點，統聯客運客戶接到詐騙電話疑資料外洩而緊急關閉線上訂票，以及財政部電子發票平臺企業帳號竟採共通預設密碼的情形被揭露，另外，還有最新一起事件是微笑單車，他們<a href="https://www.youbike.com.tw/region/main/news/service/6466fa1bc14d3a099e376943/">在19日(週五)公告</a>其官網遭駭客網路攻擊，<a href="https://www.dot.gov.taipei/News_Content.aspx?n=D739A9F6B5C0AB95&sms=72544237BBE4C5F6&s=2CA9B84D5AEDB95F">臺北市政府交通局也在同日傍晚七點公告</a>YouBike系統遭攻擊，並指出預估全國約有2.1萬會員交易資料被取得。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/156877"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月15日】誠品書店外洩個資傳出遭支持中國武統人士利用，對臺灣民眾發動心理戰</span></strong></a></h3> <p>臺灣網路商城個資外洩事件頻傳，伴隨而來的是各式各樣的詐騙事故，但如今這些流出的購物記錄不只被駭客用於騙錢，還出現了認知作戰攻擊。有名社會運動人士曾在誠品網站購書，結果上週末接到冒充該公司進行市調的電話。但罕見的是，對方並非宣稱扣款錯誤等理由進行金融詐騙，而是不斷宣傳與表達「中國會武力統一臺灣」的主張。</p> <p>豐田汽車再傳資安事故！這次是雲端服務配置不當的情況，而且，這些資料竟曝露7至10年之久。而這並非該公司因組態配置不當惹禍──2022年10月，<a href="https://www.ithome.com.tw/news/153565">他們表示因GitHub的帳密資料曝光</a>，導致近30萬名行動應用程式T-Connect用戶被公開。</p> <p>與列印管理系統PaperCut有關的漏洞攻擊行動也相當值得留意，繼勒索軟體駭客Clop、LockBit陸續濫用這個弱點，現在也傳出伊朗駭客APT35、Muddywater，以及勒索軟體駭客Bl00dy也都著手發起相關的攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/156905"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月16日】財政部電子發票平臺驚傳資安漏洞，恐曝露上市櫃公司營業資料</span></strong></a></h3> <p>公部門提供給企業使用的系統當中，不僅使用共通的預設密碼，而且這還是組弱密碼！財政部傳出在電子發票平臺上提供給企業的帳號裡，帳號名稱是該公司的統一編號，預設密碼是極為容易猜中的弱密碼，一旦任何人嘗試以此密碼搭配公司的統編，就有可能檢視該公司的發票資料，由於公司統編相當容易找到，這樣的帳密形同公開資料。經本週2家媒體報導後，財政部於今日表示，他們已緩解上述情況。</p> <p>繼國光客運傳出資料外洩事故後，又有客運業者遭到攻擊。根據三立新聞臺、自由時報、中央社等國內媒體報導，統聯客運上週疑似個資外洩，導致乘客接到詐騙電話，該公司暫停線上訂票系統、手機App訂票的服務。主管機關交通部公路總局也證實此事。</p> <p>針對個資法修法的部分，最近也有了新的進展。今天立法院三讀通過部分的新條文，其中主要是針對專責機關、裁罰金額與方式有了明確的新規範。</p> <h3><a href="https://www.ithome.com.tw/news/156930"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月17日】駭客利用Go語言開發的Cobalt Strike發動攻擊的情況升溫</span></strong></a></h3> <p>為了迴避資安系統的偵測，過往駭客大肆利用滲透測試工具Cobalt Strike，後來出現改用Brute Ratel C4（BRC4）現象，而最近這樣的情況又出現了新的變化，研究人員發現利用另一款名為Geacon滲透測試工具的攻擊行動升溫，而這套軟體是有人透過Go語言改寫Cobalt Strike打造而成。</p> <p>駭客利用外流的勒索軟體Babuk原始碼打造自己的攻擊工具，這樣的情況也越來越常見，繼先前有研究人員指出已有10個勒索軟體家族藉此發展針對VMware ESXi而來的程式，又有名為RA Group駭客組織也如法砲製，打造自己的勒索軟體，並在1個星期裡就入侵了4個組織。</p> <p>針對家用路由器而來的攻擊行動，也相當值得我們留意。有研究人員揭露針對TP-Link路由器的攻擊行動，並指出駭客所採用的後門程式Horse Shell，也可能拿來感染其他廠牌的路由器。</p> <h3><a href="https://www.ithome.com.tw/news/156942"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月18日】要求受害組織作公益的勒索軟體再度出現，這次是鎖定Zimbra郵件系統而來</span></strong></a></h3> <p>勒索軟體駭客想要劫富濟貧，要求受害者做公益來換取解密金鑰的情況，<a href="https://www.ithome.com.tw/news/151159#goodwill">1年前有個叫做GoodWill的組織</a>，受害者必須依照指示幫助窮人並公開揭露，才有機會復原檔案。而最近又有類似行徑的駭客組織出現，他們針對郵件伺服器Zimbra而來，並留下勒索訊息要求受害組織向特定的非營利組織捐款。</p> <p>針對勒索軟體「變臉（BianLian）」攻擊行動也相當值得留意，這些駭客集中心力在透過竊得的資料向受害組織勒索，並在過程中停用防毒軟體來達成竊取資料的目的。</p> <p>智慧電源插頭的漏洞竟因廠商停止支援產品維護，而無法得到相關修補！研究人員揭露Belkin第2代Wemo Mini智慧電源插頭的漏洞CVE-2023-27217，攻擊者有可能藉此發動命令注入攻擊，但開發商Belkin表示該產品生命週期已結束（EOL）而表明不予處理。</p> <h3><a href="https://www.ithome.com.tw/news/156961"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月19日】臺灣4月上旬出現惡意郵件、惡意軟體攻擊翻倍爆增的情況</span></strong></a></h3> <p>中國不斷對臺灣文攻武嚇，網路攻擊也出現增加的現象。其中資安業者Trellix揭露2起發生在4月上旬的大規模攻擊行動，駭客在短短的2至3天之內，對臺灣散布較往常多出數倍的惡意郵件、惡意軟體，且針對各行各業而來。</p> <p>蘋果再度修補零時差漏洞，值得留意的是，這次影響範圍不光是手機、平板、Mac電腦，亦涵蓋智慧手錶、Apple TV等裝置。由於這些漏洞已用於攻擊行動，使用者應儘速更新作業系統。</p> <p> </p> </div></div></div>
2023/5/22 09:40作者羅正漢https://www.ithome.com.tw/news/156977
三星還是決定在裝置上繼續使用Google搜尋
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雖然三星一度傳出考慮換用Bing作為手機預設搜尋引擎，但媒體報導，三星最後還是打退堂鼓了。</p> <p>上個月《<a href="https://www.ithome.com.tw/news/156439" target="_blank">紐約時報</a>》報導，三星曾經考慮全球銷售的三星手機的預設搜尋引擎，由Google改成微軟的Bing，令Google得知後內部一陣驚慌。不過上周<a href="https://www.wsj.com/articles/google-is-spared-a-search-engine-switch-by-a-major-partner-f06b734f" target="_blank">《華爾街日報》</a>指出三星最後仍然選擇維持現狀，持續使用Google為預設搜擎引擎。</p> <p>促使三星一度考慮換掉Google，以及最後撤回決定的理由都不得而知。不過之前媒體估計，Google與三星的搜尋引擎年約價值30億美元。此外，雖然以GPT 4.0為基礎的Bing Chat引起業界關注，但Google Bard也在5月初開放所有用戶使用，效能亦較2月公開時修正許多。</p> <p>另一項原因是，作為一家手機廠商，三星和Google可能有不為人知的授權條款，增添三星放棄Google搜尋的難度。報導也指出，三星考慮此項決策可能影響和Google的關係。</p> <p>截自4月為止，Google搜尋仍然是全球搜尋霸主，並未因微軟Bing Chat推出後而有明顯下滑。</p> </div></div></div>
2023/5/22 09:34作者林妍溱https://www.ithome.com.tw/news/156976
Ray-Ban眼鏡母公司逾7,000萬用戶個資遭駭客公布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>擁有Ray-Ban、Oakley、Chanel等知名品牌的眼鏡供應商Luxottica超過7,000萬用戶的姓名、生日等資料，被人公開於駭客網站上，但該公司表示，事件是合作廠商被駭入的結果。</p> <p><a href="https://twitter.com/securityaffairs/status/1659971857158746114" target="_blank">D3Lab安全研究人員AndreaDraghetti發現</a>有人在數個駭客論壇上公布Luxottica的客戶個資，自4月30日到5月12日之間免費供人存取。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0522-Luxottica-dataleak-image%20by%20Andrea%20Draghetti-2.jpg" style="width: 405px;" /></p> <p><span style="font-size:14px;">圖片來源_<a href="https://twitter.com/securityaffairs/status/1659971857158746114" target="_blank">AndreaDraghetti</a></span></p> <p>過去例子顯示，這類資料多半是受害廠商資安事件後的結果。<a href="https://www.ithome.com.tw/news/141229" target="_blank">Luxottica分別在2020年8月被人公布</a>82萬筆客戶資料，以及9月遭勒索軟體攻擊。但是研究人員發現，其中有些資料可追溯到2021年3月，資料內容包括生日、姓名、地址、電話等，顯示不只是2020年外洩的資料，而是新的資料外洩事件，但Luxottica當時並未對外公開。</p> <p><a href="https://www.bleepingcomputer.com/news/security/luxottica-confirms-2021-data-breach-after-info-of-70m-leaks-online/" target="_blank">這家眼鏡大廠對媒體說明</a>，事件出於2021年一家處理資料的委外商遭駭而外洩客戶個資，強調不是該公司系統被駭。他們坦承2021年11月就得知此事。在回覆媒體當時，Luxottica表示，張貼被害用戶的網站已經遭執法機關關閉。</p> <p>Draghetti和HaveIBeenPwned（HIBP）主持人TroyHunt分別分析這批公開資料達7700多萬筆。Hunt表示，當中74%已經存在HIBP平臺上的紀錄，他也將對其中32萬名訂閱戶發出通知。</p> <p>如果美國用戶外洩了Gmail信箱，<a href="https://www.ithome.com.tw/news/156846" target="_blank">且用戶之前也曾開啟Google通知的話</a>，則也可以獲得Gmail系統的通知。</p> </div></div></div>
2023/5/22 10:12作者林妍溱https://www.ithome.com.tw/news/156978
澳洲證券交易所決定以傳統技術取代區塊鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/markets/australian-stock-exchange-says-software-overhaul-wont-involve-blockchain-2023-05-19/" target="_blank">根據《路透社》（Reuters）的報導</a>，原本計畫遷移至區塊鏈平臺的澳洲證券交易所（Australian Stock Exchange，ASX）不僅放棄開發已超過7年的區塊鏈專案，還說未來將更偏向傳統技術。</p> <p>ASX是在2015年2月宣布要置換或升級其主要及後端交易平臺，當時該交易所即相中分散式帳本技術（Distributed Ledger Technology，DLT）的潛力，並與Digital Asset合作，由Digital Asset負責開發ASX的相關解決方案，預計於2020年上線。</p> <p>儘管基於區塊鏈的平臺多次延宕，且ASX去年5月還對外宣布，已開始測試96%的區塊鏈軟體，但當ASX聘請Accenture來稽核該平臺之後，發現僅交付了63%，而且當中有接近一半的程式碼都必須重寫，使得ASX在去年11月宣布暫停該專案，指出相關產品過於複雜，也擔心擴充能力，以及不容易找得到可支援的專家。</p> <p>《路透社》則報導，ASX專案總監在今年5月舉行的會議上表示，未來的系統重建將更偏向傳統路線，而不再聚焦於分散式帳本或區塊鏈，即便ASE依舊會探求所有的選項，但顯然需要更傳統的技術來實現業務成果。</p> </div></div></div>
2023/5/22 08:48作者陳曉莉https://www.ithome.com.tw/news/156974
惡意專案多到讓PyPI暫停接受新用戶與專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Python程式語言的官方第三方軟體套件儲存庫<a href="https://status.python.org/incidents/qy2t9mjjcc7g" target="_blank">PyPI（Python Package Index）在周六（5/20）宣布</a>，由於過去一周發現了大量的惡意使用者與惡意專案，再加上多名管理人員都休假了，導致他們無法及時處理，因而決定暫時停止新專案與新用戶的註冊。</p> <p>PyPI的全名為Python Package Index，為Python程式語言的官方第三方軟體套件儲存庫，可用來存取及下載超過45萬個Python套件。</p> <p>先前即曾有不少駭客透過將惡意的Python套件上傳到PyPI，企圖於開發者電腦上植入木馬程式，以竊取開發者的各種憑證、加密貨幣錢包或其它資訊。這些套件有些看起來是無害的，有些則仿冒其它合法套件。</p> <p>以往PyPI或資安業者通常會公布惡意用戶或惡意專案的名稱，這次可能因為族繁不及備載而被略過。</p> <p>PyPI僅簡單地表示，雖然已於周末重新分組，但仍暫停新用戶與新專案的註冊。</p> </div></div></div>
2023/5/22 08:55作者陳曉莉https://www.ithome.com.tw/news/156975
AI趨勢周報第216期：Google用拖拉式介面讓GAN更準確生成圖片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0512～0518)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GAN </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 點追蹤 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google用拖拉式介面讓GAN更準確生成圖片</strong></span></p> <p>Google聯手馬克斯普朗克研究院、MIT研究員，共同開發一款可精準生成圖片的模型DragGAN，並打造一套互動式UI介面，來讓使用者在畫面中，點擊想要修改的任意點和目標點，來驅動模型生成新圖片。</p> <p>團隊指出，如何控制GAN精確地產出圖片，一直是個難題，傳統方法是透過手動標註的訓練資料或3D模型，但這種作法缺乏彈性、精確性和通用性。於是，團隊利用一種較少人探討的方法，來強化對GAN生成品質的控制性，也就是用互動式介面，來拖拉圖片中的任意點，準確地達到目標點。</p> <p>為實現這個目標，團隊開發出DragGAN，由2大部分組成，一是基於特徵的運動監督方法，來實現選定點至目標點位置的移動，另一是新式點追蹤方法，利用GAN鑑別器特性來維持移動位置的在地化。總而言之，透過DragGAN，使用者可精確控制像素位置，來變形圖片，來改變人類、動物、車輛、風景等圖的姿勢、形狀、表情和布局。團隊表示，經測試，DragGAN在圖像處理和點追蹤任務的表現都比現有方法更好，未來打算擴大納入3D物件的影像生成。<a href="https://vcai.mpi-inf.mpg.de/projects/DragGAN/">（詳全文）</a></p> <p><img alt="" src="https://vcai.mpi-inf.mpg.de/projects/DragGAN/images/teasor.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Guidance </span></strong></span></p> <p><span style="font-size: 22px;"><strong>LLM不聽話？微軟發布提示工程專用的開發語言Guidance</strong></span></p> <p>ChatGPT掀起大型語言模型（LLM）大浪，各種LLM如雨後春筍般冒出，但這些大型語言模型需要精確又冗長的提示，才能準確生成使用者所需的答案。為了讓LLM更受控，微軟最近發表一款領域特定語言（DSL）Guidance，能讓開發者「比用傳統的提示方法或鏈結（Chaining）更有效率地控制大型語言模型。」</p> <p>微軟指出，Guidance程式可讓使用者將生成、提示和邏輯控制等工作整合至一個連續流程，並對應到語言模型如何處理文字輸入。一般來說，許多研究證明，引導LLM一步步推導答案的關聯思考（Chain-of-Thought）方法及許多變體（如ART、Auto-CoT）能提高LLM的表現，這些方法都採用簡單的輸出結構，但對GPT-4這種進階的LLM來說，就需要更豐富的結構，而Guidance可讓這種結構更簡單、更便宜。因為，一旦提示變得冗長、重複性高，就會耗費更多運算成本，而Guidance可解決這個問題。Guidance配有一個直觀的編輯器，來簡化程式碼規則和定義語言模型功能的處理工作，它也允許使用者設置值驗證和外部服務整合等步驟，提供高自定義功能。<a href="https://github.com/microsoft/guidance/">（詳全文）</a></p> <p><img alt="" src="https://github.com/microsoft/guidance/raw/main/docs/figures/chat_animation.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Codey </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 程式開發 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 自然語言 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google Colab也要整合Codey模型，提供AI程式開發功能</strong></span></p> <p>Google宣布要將生成式程式開發模型Codey，整合進雲端協作開發環境Colab中，免費提供給開發者，來輔助編寫程式碼。Codey是大型語言模型PaLM 2的衍生程式碼模型，主要功能有程式碼生成和聊天機器人，換句話說，它能根據程式碼上下文來提供下一行程式碼的建議，或根據開發者的自然語言提示來生成程式碼，開發者甚至也能和Codey對話，來得到除錯、技術文件和程式碼撰寫的相關資訊。</p> <p>將於Colab亮相的Codey，是Google針對Python和Colab用途所訓練的輕量版模型，目前預計先向美國用戶開放，且功能先聚焦於程式碼生成，根據註釋或開發者的提示，來撰寫整個函式。不只將Codey用於Colab，Google也在最新版的開發工具Android Studio Hedgehog中，加入Codey驅動的程式碼開發助理Studio Bot，來提供類似GitHub Copilot的功能。<a href="https://blog.google/technology/developers/google-colab-ai-coding-features/">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/generate-cropped.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 福爾摩沙模型 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 離線部署 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OpenLLaMA </span></strong></span></p> <p><span style="font-size:22px;"><strong>第一款商用本土LLM模型亮相，支援地端部署讓對話資料不出內網</strong></span></p> <p>華碩旗下子公司台智雲以有商用授權的BLOOM為基礎，打造出同樣是1,760億參數的大型語言模型福爾摩沙，號稱與ChatGPT同等級，且中文訓練資料占30%，比ChatGPT還要高許多，也具備大量臺灣知識。</p> <p>他們也將這款模型包裝為4種企業級大型語言模型服務，包括AFS Platform、AFS Shuttle、AFS Cloud和AFS Appliance。前兩者是大型語言模型優化（fine-tuning）服務，其中，企業有明確目標、知道要打造何種應用時，可選擇AFS Platform，來用自己的資料優化所選模型，目前台智雲提供的模型有BLOOM 176B、BLOOM 7B、福爾摩沙176B和7.1B版本，未來將納入OpenLLaMA模型。AFS Shuttle則適合沒有明確目標的企業，可用小量資料來進行POC驗證，找出合適的應用情境。</p> <p>AFS Cloud和AFS Appliance則屬於部署和推論的服務。前者是雲端託管服務，其中的模型是完整訓練過的，可透過TWCC推論和API來供企業使用。而後者是私有雲／地端部署服務，企業可下載大型模型到地端，在地端資料中心、私有雲或搭配企業5G專網來執行LLM應用，特別適合有高機敏性資料的企業。<a href="https://www.ithome.com.tw/news/156934">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ASF%E8%AA%AA%E6%98%8E.JPG" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Meta </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI晶片 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 基礎建設 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta要自行研發AI加速晶片</strong></span></p> <p>Meta日前公開表示要自行研發客製化AI晶片，作為基礎建設重塑工作中的一環。進一步來說，這個基礎建設重整工作，涵蓋了硬體和軟體堆疊各層面，要打造專為AI設計的基礎設施架構。而新架構就包含Meta的客製化AI晶片、AI資料中心設計和搭載1.6萬顆GPU的AI超級電腦。其中一款晶片名為Meta訓練和推論加速器（MTIA），要用來執行多種特定AI任務，加速AI模型的推論工作。除了AI晶片，Meta也計畫打造一款晶片名為Meta可擴增影片處理器（MSVP）的晶片，用來處理或傳送影片給使用者，並降低耗能。<a href="https://ai.facebook.com/blog/meta-training-inference-accelerator-AI-MTIA/?utm_source=linkedin&utm_medium=organic_social&utm_id=infra&utm_content=video">（詳全文）</a></p> <p><img alt="" src="https://scontent-tpe1-1.xx.fbcdn.net/v/t39.8562-6/344912230_1303351893593944_5283467968705566332_n.svg?_nc_cat=101&ccb=1-7&_nc_sid=6825c5&_nc_ohc=iWCLxC-RxfcAX-Wjl_L&_nc_ht=scontent-tpe1-1.xx&oh=00_AfDHmlnUlKQtL55nTOqJtQW046f3yKdvHLTMVMW2oTEMPw&oe=646F861F" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Bing Chatt </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 程式碼 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟強化手機版Bing Chat，要新添Widget、整合至更多App</strong></span></p> <p>微軟5月初全面開放大眾試用Bing Chat後，最近進一步宣布要強化手機版AI聊天機器人功能，包括整合Widget、支援語音輸入和多語言，並提供跨平臺對話等功能。首先，微軟將替Bing Chat新增Widget，等於用戶可把Bing Chat加入到iOS和Android手機主頁上。此外，微軟還將新添Bing Chat的語音輸入功能，並支援跨平臺對話，讓用戶可跨桌機、手機接續對話。微軟也表示，目前已增加英文以外的國家及語音輸入支援，但未透露支援幾種語言。</p> <p>除了Bing Chat應用程式更新，微軟也計畫將這個AI助理整合至手機版Edge和Skype App。在手機版Edge方面，Bing Chat可具備情境聊天功能，即讀懂用戶正在瀏覽什麼網頁，並回答用戶對網頁內容的提問，也能進行重點摘要。此外，用戶可選擇部分網頁文字，在跳出的選單中叫出Bing對話，要它執行任務。手機版Edge Bing Chat功能很快將推向全球。<a href="https://blogs.bing.com/search/may_2023/Continuing-to-deliver-new-AI-innovation-in-Bing-and-Edge-this-week">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/0517-add_a_bing_widget_to_your_home_screen-960.jpg?itok=YmMchQzx" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Alphabet </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機器人 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開發 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Alphabet機器人公司Intrinsic推出機器人應用開發軟體</strong></span></p> <p>Alphabet成立2年的機器人子公司Intrinsic，最近終於發布第一項產品，也就是機器人應用開發平臺軟體，來簡化機器人程式開發工作。該產品名為Flowstate，是一個直覺化的Web開發環境，涵蓋了從概念測試到部署機器人應用的所有流程。</p> <p>它擁有圖形化流程開發工具，使用行為樹（behavioral tree）來簡化複雜流程、加速開發。它也同時支援在雲端或本地端的部署環境，方便程式在兩種環境搬移，並提供模擬和驗證程式的環境。Flowstate還能將特定領域知識以特定技能輸出，方便未來重覆使用，像是姿態評估、操控、力覺感知插入（force-based insertion）、路徑規畫等。Flowstate目前為beta版，將先提供給小部分解決方案供應商，並開放開發人員申請試用、開發機器人應用程式。<a href="https://www.youtube.com/watch?v=QtSShST58io&t=896s&ab_channel=Intrinsic">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> TensorFlow </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Keras </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 模型訓練 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google更新TensorFlow機器學習工具，簡化模型部署與訓練</strong></span></p> <p>Google日前在I/O大會發表多項TensorFlow和Keras深度學習工具的更新，首先是可讓開發者簡單存取預訓練模型的模組化函式庫，也就是KerasCV與KerasNLP，開發者只要撰寫幾行程式碼，就能在應用程式中整合圖像分類或文字生成等功能。</p> <p>其他更新還有可用於同步分散式模型運算的擴充套件DTensor，組合、微調了多種平行技術，來支援更大且高效能的模型訓練。此外，DTensor也支援多種加速器，如TPU、GPU等各種運算裝置。同時，Google也釋出輕量級API JAX2TF，能讓開發者在TensorFlow生態系中，使用JAX數值函式庫編寫的模型來加速機器學習研究生產化的速度。<a href="https://blog.tensorflow.org/2023/05/google-io-2023-whats-new-in-tensorflow-and-keras.html">（詳全文）</a></p> <p>圖片來源／普朗克研究院、微軟、Google、Meta</p> <p>攝影 / 王若樸</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Nvidia聯手ServiceNow要用生成式AI加速工作流程</strong></p> <p><strong>2. SAP導入OpenAI的生成式AI來優化人才招募和員工學習作業</strong></p> <p>資料來源：iThome整理，2023年5月</p> </div></div></div>
2023/5/21 21:52作者王若樸https://www.ithome.com.tw/news/156973
歐盟資安技能框架ECSF定義資安團隊12角色，揭露各職任務重點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了促進整體資安人力的培育，目前全球有美國提出的網路安全人才框架NICE Framework、持續改進，2022年9月，歐盟旗下的網路安全局（ENISA）也發布網路安全技能框架，此規範的全名是European Cybersecurity Skills Framework，簡稱ECSF框架，提供歐盟成員國，甚至歐洲地區的其他國家，都能藉此克服資安人才不足的挑戰，擁有適當技能的人員，來保護關鍵部門，以因應越來越普遍的網路攻擊。</p> <p>相較於發起NICE框架的美國NIST組織，歐盟ENISA是聚焦在歐洲資安的公務機構，成立於2004年，背後有歐盟網路與資訊安全法案的支持，目的是幫助歐盟成員國的網路與資訊安全發展，朝向更高水準邁進，其工作內容包括：提供歐盟網路安全的建議，提高ICT產品安全、服務與流程的安全與可信度，並於會員國與歐盟機構合作，共同幫助歐洲因應未來的網路安全挑戰。</p> <h2><strong>將資安工作分為12種之多，成為此框架的最大特色</strong></h2> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖）歐盟ECSF框架.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E6%AD%90%E7%9B%9FECSF%E6%A1%86%E6%9E%B6.jpg" style="width: 280px; float: right;" /></a></p> <p>關於ENISA所設計的ECSF，簡單來說，它是用於識別與闡述歐洲網路安全專業人員角色的實用工具，涵蓋了12種角色的使命、任務、技能、知識，以及電子技能稱職能力，其主要應用目的是：在整個歐盟的個人、企業主、培訓計畫提供者之間，提供跨社群的共同語言，用以加強歐洲的網路安全文化，這也將是歐洲邁向未來數位化世界的重要一步。</p> <p>從ENISA發布的ECSF相關資訊來看，共有兩份文件，一是ECSF框架對於工作角色的職務職能簡介，另一是ECSF的使用者手冊，裡面說明ECSF的設計原則與運用方式。</p> <p>以前者而言，ECSF在此處定出12種網路安全工作的角色，分別是：資安長、網路事件處理人才、網路法規與政策合規長、網路威脅情資專家、網路安全架構師、網路安全稽核師、網路安全教師、網路安全實施人才、網路安全研究人才、網路安全風險管理人才、數位鑑識調查人才，以及滲透測試人才。</p> <p>對於這樣的資安人才分類，我們認為，區隔出12種，這樣的數量算是適中，而且，ECSF定義的工作角色容易理解，對於許多人來說，可以相當輕鬆地識別資安工作角色，因此有望成為實用的資安人才職能地圖工具。</p> <p>我們認為，這份框架可能借鏡美國NICE框架發展經驗，也參考NICE旗下Cyberseek專案對資安產業的10大職務，因此，使得ECSF一開始推出，就聚焦在容易閱讀及易於使用等特性。</p> <p>基本上，有了ECSF框架，能讓我們根據這些不同資安角色的定位來思考人才配置策略，也就是說，使企業組織在建立網路安全團隊時，能從中找到可參考的部分。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1A）歐盟ECSF框架12角色_iThome整理_.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961A%EF%BC%89%E6%AD%90%E7%9B%9FECSF%E6%A1%86%E6%9E%B612%E8%A7%92%E8%89%B2_iThome%E6%95%B4%E7%90%86_.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1B）歐盟ECSF框架12角色_iThome整理.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961B%EF%BC%89%E6%AD%90%E7%9B%9FECSF%E6%A1%86%E6%9E%B612%E8%A7%92%E8%89%B2_iThome%E6%95%B4%E7%90%86.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1C）歐盟ECSF框架12角色_iThome整理.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961C%EF%BC%89%E6%AD%90%E7%9B%9FECSF%E6%A1%86%E6%9E%B612%E8%A7%92%E8%89%B2_iThome%E6%95%B4%E7%90%86.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1D）歐盟ECSF框架12角色_iThome整理.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961D%EF%BC%89%E6%AD%90%E7%9B%9FECSF%E6%A1%86%E6%9E%B612%E8%A7%92%E8%89%B2_iThome%E6%95%B4%E7%90%86.jpg" style="width: 600px;" /></a></p> <p>因此，基於這樣的框架，接下來，讓我們看看企業資安防護背後需要那些關鍵角色，以及具體任務。</p> <h3><span style="color:#FF0000;"><strong>◆ 資安長</strong></span></h3> <p>資安長主要負責企業資訊安全層面的企業經營。在ECSF的定義中，指出該角色的任務，是負責管理公司網路安全戰略及其實施，確保數位系統、服務與資安得到充分的安全與保護。此項角色的具體工作內容，包括下列14項：</p> <p>1. 制定與業務策略相符的資安目標、需求、策略與政策，並做到實施、溝通與維護</p> <p>2. 為組織高階管理層準備與提出資安願景、策略與政策，並確保其執行</p> <p>3. 監督資訊安全管理體系（ISMS）的應用與改進</p> <p>4. 教育高階管理層有關資訊安全風險、威脅及其對組織的影響</p> <p>5. 確保高階管理層批准組織的資訊安全風險</p> <p>6. 制定資安計畫</p> <p>7. 與資安相關當局與社群建立關係</p> <p>8. 向高階管理層報告資安事件、風險與調查發現</p> <p>9. 監控資安方面的進展</p> <p>10. 確保資源以實施資安策略</p> <p>11. 與高階管理層協商資訊安全預算</p> <p>12. 確保組織面對網路事件具資安韌性</p> <p>13. 在組織內持續進行能力建設的管理</p> <p>14. 對於資安資源進行審查、規畫與適當的分配</p> <p>從上述內容來看，ECSF對資安長角色所賦予的任務，並不只是企業資安的管理、治理，特別的是，同時還需要在資安資源的層面，做好爭取、審查與分配的工作，並且負有教育高階管理層的責任。</p> <h3><span style="color:#FF0000;"><strong>◆ 網路事件應變人才</strong></span></h3> <p>為了能夠因應資安事故，企業與組織必須有所準備，以ECSF的資安應變角色定義而言，就是監控組織的網路安全狀態，在網路攻擊期間處理事件，並確保ICT系統的持續運行。具體工作內容，包括下列11項：</p> <p>1. 事件應變計畫的發展、維護與評估</p> <p>2. 事件應變處理相關程式的制定、實施與評估</p> <p>3. 網路安全事件的識別、分析、緩解與傳達</p> <p>4. 技術漏洞的評估與管理</p> <p>5. 衡量網路安全事件在偵測與回應上的有效性</p> <p>6. 在網路安全或資料外洩事件後，評估網路安全控制與緩解措施的韌性</p> <p>7. 針對事件應變處理測試技術的採用與開發</p> <p>8. 建立事件結果分析與事件處理報告的程式</p> <p>9. 處理安全事件後必須記錄對事件的分析結果與處理措施</p> <p>10. 與安全維運中心（SOC）及電腦安全事件應變團隊（CSIRT）合作</p> <p>11. 根據適用的法律框架與關鍵人員合作，進行資安事件報告</p> <p>從上述這些任務內容來看，對於資安事件的應變，企業與組織不只是體認有事前、事中的工作要進行，更關鍵之處在於，在事後評估資安控制措施的韌性，並作出持續改善，同時也還要熟悉規範並將資安事件報告所需負責對象。</p> <h3><span style="color:#FF0000;"><strong>◆ 網路法規、政策合規長</strong></span></h3> <p>在企業經營面對的法遵、合規風險之下，不論網路安全法律長、資料安全長、隱私保護長、資訊治理長、資料合規長等，此類角色在ECSF的定義中，就是要能根據組織的戰略與法律要求，管理所有合規事宜，涵蓋面向包括與網路安全相關的標準、法律和監管框架。此項角色的具體工作內容，包括下列12項：</p> <p>1. 確保遵循並遵守資料隱私與資料保護的標準、法律與法規，並提供有關法律方面的建議與指引</p> <p>2. 識別出合規面的隔閡差距並且如實記錄</p> <p>3. 進行隱私衝擊評估（PIA），負責隱私政策與程式的制定、維護、傳達及培訓</p> <p>4. 負責組織內資料隱私與保護計畫的執行與推動</p> <p>5. 確保資料所者、持有者、控制者、處理者、主體，以及內部或外部合作夥伴與實體等角色，瞭解他們的資料保護權利、義務與責任</p> <p>6. 作為關鍵聯繫人，處理有關資料處理的查詢與投訴</p> <p>7. 協助設計、實施、審核與合規測試活動，以確保網路安全以及隱私合規性</p> <p>8. 針對稽核與資料保護相關的培訓活動進行監控</p> <p>9. 與有關當局與專業團體合作並分享資訊</p> <p>10. 協助發展組織的網路安全戰略、政策與程式</p> <p>11. 制定並提出員工意識培訓，以實現合規性要求，並在組織內培養資料保護文化</p> <p>12. 管理資訊安全責任與協力廠商關係的法律問題</p> <p>從這些涵蓋面來看，上述任務清單不只確保法遵與合規要求，負責資料保護推動，以及隱私衝擊評估（PIA）等，同時，身為網路法規、政策合規長，也是資料保護處理的關鍵聯絡人，並且要培養組織內部的資料保護文化。</p> <h3><span style="color:#FF0000;"><strong>◆ 網路威脅情資專家</strong></span></h3> <p>面對日益嚴峻的網路威脅環境，採取主動威脅情資的對抗策略，將可縮短事中應變所需時間，提升主動式防禦的能力，並幫助企業快速識別內外部網路安全現況。</p> <p>以ECSF的網路威脅情資角色定義而言，須對資料與資訊進行收集、處理、分析，並建立一個可行動資安情資（Actionable Intelligence）報告，再將其傳達給目標利益相關者。此項角色的具體工作內容，包括下列12項：</p> <p>1. 對於組織內部網路威脅情資策略的制定、實施與管理</p> <p>2. 制定計畫與程式來管理威脅情報</p> <p>3. 將業務需求轉化為情報需求</p> <p>4. 實施威脅情報收集、分析與產出可行動的情報，將資訊提供給安全上的利益相關者</p> <p>5. 確定並評估針對組織的網路威脅行動者</p> <p>6. 通過分析開源與專有的資料、資訊與情報，對於網路威脅行動者使用的戰術、技術與程式（TTP），能夠進行識別、監控與評估</p> <p>7. 基於威脅情資製作因應上的可行性報告</p> <p>8. 在戰術、運作與戰略層級上詳細說明並給出緩解風險計畫的建議</p> <p>9. 將消費者有關網路威脅情資與利益相關者協調分享</p> <p>10. 將情資用於威脅建模，並提出風險緩解與網路威脅狩獵的建議</p> <p>11. 在各個層面公開表達與交流情報</p> <p>12. 透過解釋風險暴露與其後果，向非技術的利益相關者適當傳達安全嚴重性</p> <p>從這些任務內容來看，資安專家除了要建立網路威脅情報策略與分析機制，評估攻擊者的TTP，同時，ECSF也強調要洞察並提出可行動的情報，並肩負情報交流，以及風險暴露後果解釋說明的責任。</p> <h3><span style="color:#FF0000;"><strong>◆ 網路安全架構師</strong></span></h3> <p>在數位化的時代下，我們必須建立基於安全而成的基礎資訊架構，使其獲得更多保障。</p> <p>以ECSF的網路安全架構角色定義而言，就是要針對基礎架構、系統、資產、軟體、硬體與服務等層面，規畫並設計Security-by-design的方案，並顧及資訊安全控制。此項角色的具體工作內容，包括下列12項：</p> <p>1. 設計並提出一個安全架構，以實現組織的策略</p> <p>2. 開發組織的網路安全架構，以滿足安全與隱私需求</p> <p>3. 建立並制定架構相關文件與規格</p> <p>4. 向利益相關者展示高層次的安全架構設計</p> <p>5. 在系統、服務與產品的開發生命週期中建立安全環境</p> <p>6. 協調開發、整合與維護網路安全元件，確保符合網路安全規格</p> <p>7. 分析與評估組織架構的網路安全</p> <p>8. 通過安全審查與認證，保證解決方案架構的安全性</p> <p>9. 與其他團隊與同事合作</p> <p>10. 評估網路安全解決方案對組織架構的設計與性能的影響</p> <p>11. 適應新興的威脅，調整組織的架構</p> <p>12. 針對實施的架構持續評估，以維持適當的安全水準</p> <p>從任務內容來看，網路安全架構師最主要的職責在於，設計並提出網路安全架構，同時要能適應威脅態勢，能夠持續評估與調整，並且要建立安全環境，提供系統、服務與產品的開發保障，也要能向利益相關者報告與展示高層次安全架構。</p> <h3><span style="color:#FF0000;"><strong>◆ 網路安全稽核師</strong></span></h3> <p>要確保執行有效性、落實程度，稽核的制度與相關工作的落實不可少，網路安全也是如此，幫助對企業整體安全的查核，以找出風險並提出改善建議，確保企業組織業務的持續性。</p> <p>以ECSF的網路安全稽核角色定義而言，就是對組織生態系統進行網路安全審核，確保符合法定、監管、政策資訊、安全要求、產業標準和最佳實踐。此項角色的具體工作內容，包括下列12項：</p> <p>1. 制定組織的稽核政策、程式、標準與指引手冊</p> <p>2. 建立用於系統稽核的方法與實踐</p> <p>3. 確定目標環境並管理稽核活動</p> <p>4. 定義稽核範圍、目標與稽核標準</p> <p>5. 制定稽核計畫，描述框架、標準、方法、程式與稽核測試</p> <p>6. 基於風險概況，審查目標評估、安全目標與要求</p> <p>7. 審核符合相關的法律法規要求的網路安全</p> <p>8. 審核符合相關的標準的網路安全</p> <p>9. 執行稽核計畫並且收集證據與測量數據</p> <p>10. 維護與保護稽核記錄的完整性</p> <p>11. 製作並傳達關於符合性評估、保證、稽核、認證與維護的報告</p> <p>12. 監控風險補救活動</p> <p>基本上，網路安全稽核師的任務，就是圍繞在組織稽核機制、計畫與行動，同時，也要對於稽核後的風險補救予以監控。</p> <h3><span style="color:#FF0000;"><strong>◆ 網路安全教師</strong></span></h3> <p>資安的重要性已不言而喻，除了提升企業組織內部資安文化，若要讓員工掌握如何遵守相關政策和程式，學習如何識別和預防各種資訊安全風險，進而提升整個組織的資訊安全水準，也是需要有人去推動。</p> <p>因此，在ECSF框架中也針對相關工作內容制定出這樣的角色類別，並對網路安全教師角色給出定義，就是提升員工的資訊安全知識、技能與能力。具體工作內容包括8項：</p> <p>1. 開發並更新網路安全與資料保護的課程與教材，提供基於內容、方法、工具與學員需求的知識，用於培訓與提高資安意識</p> <p>2. 負責組織、設計並執行提高資安與資料保護意識的活動，包括研討會、課程與實踐培訓</p> <p>3. 對培訓效果監控、評估並產出報告</p> <p>4. 對於學員表現進行評估並報告</p> <p>5. 尋找出教育、培訓與意識提高的新方法</p> <p>6. 負責安全模擬環境、虛擬實驗室或網路環境的設計、開發與提供</p> <p>7. 提供有關個人安全認證計畫的指導</p> <p>8. 持續維護與提升專業知識；持續授權與鼓勵提升資安能力及能力建設</p> <p>關於這方面的任務，或許有些視為人力資源單位執掌，但任務需求並不少，因而ECSF將之畫分為一大角色類別。從上述任務內容而言，主要圍繞在資料保護與資安意識，不僅是制定培訓素材與課程，同時也涵蓋認證計畫的指導，設計安全模擬的可用環境，持續帶動與建設組織內部的資安能力。</p> <h3><span style="color:#FF0000;"><strong>◆ 網路安全實施人才</strong></span></h3> <p>以技術面而言，資安相關技術的開發、整合、測試、導入，以及維運、監控與支援，基本上，我們在這些工作當中，都仰賴資安人員管理與執行。</p> <p>以ECSF提出的定義而言，網路安全實施人才要在基礎架構和產品上，開發、部署與操作資安解決方案，其目標涵蓋系統、設備、軟體、控制與服務。關於此項角色的具體工作內容，包括下列10項：</p> <p>1. 資安產品的開發、導入、維護、升級、測試</p> <p>2. 要為用戶與客戶提供與資安相關的支援</p> <p>3. 整合資安解決方案，並確保其良好運行</p> <p>4. 安全配置系統、服務與產品</p> <p>5. 維護與升級系統、服務與產品的安全性</p> <p>6. 實施資訊安全程式與控制</p> <p>7. 監控並保證已實施資安控制的性能</p> <p>8. 記錄與報告系統、服務與產品的安全性</p> <p>9. 與IT/OT技術人員密切合作，進行與資訊安全相關的操作</p> <p>10. 實施、應用與管理產品更新修補，以解決技術性漏洞</p> <p>以上述任務而言，涵蓋面向相當廣，包含系統、服務與產品的安全性維護與升級，以及資安產品的導入、測試，甚至是開發，並要負責資安方案整合，還有實施資安程式與控制，而且，與IT人員、OT人員的緊密合作，也視為其主要任務。</p> <h3><span style="color:#FF0000;"><strong>◆ 網路安全研究人才</strong></span></h3> <p>隨著威脅態勢演變，要持續促進資安相關技術與方法的進化，研究類型人才是關鍵，像是近年來，在產品面與策略面，從端點防毒到端點偵測與回應，從傳統邊界防護邁向網路安全零信任策略，就是簡單的例子。</p> <p>以ECSF的網路安全研究角色定義而言，就是專注在資訊安全領域研究，並將結果納入資訊安全解決方案中。此項角色的具體工作內容，包括下列12項：</p> <p>1. 針對資安技術、解決方案、發展與流程進行分析與評估</p> <p>2. 在網路安全相關主題上進行研究、創新與開發工作</p> <p>3. 展現與產生研究與創新的想法</p> <p>4. 針對網路安全相關主題推動現有技術水準更進步</p> <p>5. 協助開發創新的網路安全相關解決方案</p> <p>6. 進行實驗並開發網路安全解決方案的概念證明、視點與原型</p> <p>7. 選擇與應用框架、方法、標準、工具以及協議，包括建立與測試概念證明，以支持專案計畫</p> <p>8. 為最領先與先進的網路安全商業理念、服務與解決方案作出貢獻</p> <p>9. 為網路安全相關能力建設提供協助，包括意識、理論培訓、實踐培訓、測試、指導、監督與分享</p> <p>10. 識別出跨部門的網路安全成果，並將其應用於不同的情境，或視提出創新的方法與解決方案</p> <p>11. 領導或參與創新過程與項目，包括管理與預算的專案計畫</p> <p>12. 發表與提出科學論文、研究與開發結果</p> <p>根據這裡列出的任務清單，網路安全研究人才的定位有其特殊性，這是因為，我們可以發現，其任務面向是對資安領域有更為深入的研究，有如前瞻人才的範疇，不僅要分析評估資安技術與解決方案的適用性，其工作內容還需要帶領創新，促進現有技術水準向上提升，甚至是從意識、理論、實踐、測試等不同構面做出協助與貢獻。</p> <h3><span style="color:#FF0000;"><strong>◆ 網路風險管理人才</strong></span></h3> <p>基本上，對於企業的經營而言，風險管理是最大挑戰，不只在於法令與規範的遵循，範疇包括策略、營運、財務，以及危害事件等層面，而資安風險可能帶來的衝擊，也是其中一個重要環節。</p> <p>以ECSF的網路風險管理角色定義而言，就是負責管理組織與資訊安全相關的風險，使其符合組織的策略，並要發展、維護與傳達風險管理流程與報告。關於此項角色的具體工作內容，包括下列8項：</p> <p>1. 制定組織的網路安全風險管理策略</p> <p>2. 管理組織資產清單</p> <p>3. 針對ICT系統的網路安全相關威脅與漏洞進行識別與評估</p> <p>4. 識別威脅風險格局，包括攻擊者的側寫與攻擊潛在的估計</p> <p>5. 評估網路安全風險並提出最適當的風險處理選項，包括最能滿足組織策略的安全控制、風險緩解、規避</p> <p>6. 監控網路安全控制與風險等級的有效性</p> <p>7. 確保所有網路安全風險保持在組織資產可以接受的水準</p> <p>8. 開發、維護、報告與溝通完整的風險管理週期</p> <p>以上述任務而言，主要就是圍繞在網路風險管理，不論是資產盤點的管理、風險管理策略的制定，重點是還要能提出適當風險處理選項，並確保風險處在企業可接受的水準。</p> <h3><span style="color:#FF0000;"><strong>◆ 數位鑑識調查人才</strong></span></h3> <p>面對無可避免的資安事件，除了事件應變需要人才規畫與執行，對於面臨訴訟、法令要求方面，事件的數位鑑識調查，也要這方面的人力來處理。</p> <p>以ECSF的數位鑑識調查角色定義而言，就是務必讓網路犯罪調查揭露所有數位證據，以證實惡意活動的存在。具體工作內容，包括下列6項：</p> <p>1. 制定數位鑑識調查的政策、計畫與流程</p> <p>2. 針對數位證據的識別、恢復、提取、記錄與分析</p> <p>3. 保留並保護數位證據，讓授權利益相關者可以運用</p> <p>4. 檢查環境是否存在未經授權與非法行為的證據</p> <p>5. 以有系統地、確定地的方式，將數位鑑識分析的發現與結果做出記錄、報告與呈現</p> <p>6. 選擇與自定數位鑑識的測試、分析與報告技術</p> <p>上述所列任務內容，基本上，是聚焦於數位鑑識的相關機制與工作，尤其是最終調查結果的證據保留，以及如實將發現結果呈現，並強調要讓利益相關者得以運用。</p> <h3><span style="color:#FF0000;"><strong>◆ 滲透測試人才</strong></span></h3> <p>企業除了透過弱點掃描來盤點基本漏洞問題，為了找出資安防護上的盲點，還會進一步利用指定範圍的滲透測試，或是採用更進階且全面的紅隊演練，來識別防護弱點。</p> <p>以ECSF的滲透測試角色定義而言，就是要能評估安全控制的有效性，懂得挖掘與利用網路安全性漏洞，並評估其重要性，以防網路攻擊者利用。此項角色的具體工作內容，包括下列8項：</p> <p>1. 識別、分析與評估技術上與組織上的網路安全性漏洞</p> <p>2. 識別攻擊媒介與面向，挖掘與展示漏洞可遭成功利用的技術</p> <p>3. 測試系統與操作是否符合法規監管標準</p> <p>4. 對於滲透測試技術採適當的選擇與開發</p> <p>5. 為滲透測試組織起測試計畫與流程的工作</p> <p>6. 建立滲透測試結果分析與報告上的流程</p> <p>7. 將滲透測試結果記錄與報告給利益相關者</p> <p>8. 部署滲透測試工具與測試程式</p> <p>這方面的任務內容，基本上，就是專注於安排滲透測試計畫與流程，並熟悉漏洞技術的研究與分析，並在取得合法授權下進行，同時，最終產出結果報告並提供給利益相關者瞭解。 </p> <h2><strong>促進資安工作角色與任務的快速溝通之餘，也描繪學習需求</strong></h2> <p>整體而言，在歐洲ENISA所設計的ECSF框架中，不只將企業所需的資安人才類型，具體畫分為12種工作角色類別，也釐清了各角色的任務需求。</p> <p>更關鍵的是，這樣的內容等於建立角色的共同語言理解，不論你是否熟悉資安，這樣的內容，都能夠讓外界快速理解一個網路安全團隊，大致可能會有哪些角色與任務。</p> <p>事實上，ECSF框架不僅僅是描繪出這些角色的工作任務，在完整的框架結構中，針對每個工作角色，ECSF都提供了職務職能簡介。</p> <p>具體而言，在這個職務職能簡介中，涵蓋兩大層面的內容。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89ECSF%E6%A1%86%E6%9E%B6%E7%B5%90%E6%A7%8B.jpg" style="width: 600px;" /></p> <p>首先，是描繪出工作角色在組織中的作用，包括任務使命（Mission）、可交付的工作（Deliverables），以及任務（Task），而我們在上述內容中，也就列出了各角色的任務。</p> <p>其次，則是描繪出工作角色的知識（Knowledge）與技能（Skill），如此一來，有助於將學習的內容，定位於職場背景下的任務需求。若想更進一步瞭解，大家可以自行檢視<a href="https://www.enisa.europa.eu/publications/european-cybersecurity-skills-framework-ecsf">ECSF框架</a>的內容。</p> <p>而<a href="https://www.ithome.com.tw/news/156747">下一篇，我們將繼續介紹這部分的內容，以及ECSF的運用方式</a>。</p> <h2 class="rtecenter"><span style="color:#0099ff;"><strong>ENISA設置資安高教資料庫CyberHEAD</strong></span></h2> <p><a href="https://s4.itho.me/sites/default/files/images/（BOX圖）歐盟ECSF框架_CybeyHEAD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88BOX%E5%9C%96%EF%BC%89%E6%AD%90%E7%9B%9FECSF%E6%A1%86%E6%9E%B6_CybeyHEAD.jpg" style="width: 600px;" /></a></p> <p>針對國家級資安教育培訓的需求，歐盟網路安全局（ENISA）不僅發布歐洲網路安全技能框架（ECSF），還<a href="https://www.enisa.europa.eu/topics/education/cyberhead">推出網路安全高等教育資料庫服務（Cybersecurity Higher Education Database），簡稱CyberHEAD</a>，這是一個互動地圖，資料庫列出整個歐洲學術機構的網路安全學士、碩士學位的資訊。特別的是，CyberHEAD也將對接ECSF提供的12個角色職能，建立出彼此的對應關係。<br /> </p> <p><strong style="font-size: small; vertical-align: top; background-color: rgb(247, 247, 247); color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif;"><span style="vertical-align: top; color: rgb(51, 153, 255);"><span style="vertical-align: top; font-size: 20px;">本文出自《CYBER TALENT 臺灣資安人才專刊》</span><img alt="" src="https://s4.itho.me/sites/default/files/images/CYBER%20TALENT%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E5%B0%88%E5%88%8A_%E7%B7%A8%E8%BC%AF%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 150px;" /></span></strong></p> <p> </p> <h3 class="rtecenter"><strong>繼續閱讀：<a href="https://www.ithome.com.tw/news/156747"><span style="color:#0000FF;">【資安技能ECSF框架實際應用】以企業職場與學習角度出發，加速企業、政府與教育者溝通</span></a></strong><br /> </h3> </div></div></div>
2023/5/21 19:00作者羅正漢https://www.ithome.com.tw/news/156746
【資安技能ECSF框架實際應用】以企業職場與學習角度出發，加速企業、政府與教育者溝通
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/156746">歐洲網路安全技能框架（ECSF）確立12種典型資安工作角色</a>，提供每個職位的概述，以及不同的工作活動，提供識別資安職務類型的工具。其最大好處在於，建立了網路安全專業角色在識別與特徵上的共同理解，並可以與所需的適當技能與能力相對應。</p> <p>根據歐盟網路安全局（ENISA）的說明，ECSF框架背後是基於市場研究與資安專家合作發展，能針對資訊資安從業人員，列出明確的職業、技能與能力分類，提供歐盟自身使用。</p> <p>簡單來說，ECSF的目的，就是希望提供出明確的參考資訊，幫助識別當前與未來的網路安全技能短缺，以及減少差距。而從國際角度來看，這不僅成為歐洲企業組織的重要參考資源，以ECSF對資安人才的定義而言，同樣受到全球資安領域的關切，畢竟，全球企業都面臨資安人才短缺的挑戰，這樣的資源都足以作為借鑒。</p> <h2><strong>定義角色背後所需學習的內容，扮演企業與教育者之間橋樑</strong></h2> <p>從ECSF的設計原則來看，框架是以通用為設計考量，ENISA希望確保廣泛對象能夠容易理解與應用當中的概念，促使不同規模的組織，以及技術專業程度與不同核心業務領域之間，都能使用該框架。</p> <p>因此，除了從中能夠認識12種資安工作角色，從ECSF框架所列的角色職務職能簡介，我們更可以看出，其結構包含兩大層面，那就是以「工作」與「學習」來定義資安角色的概要需求。</p> <p>具體而言，一個關鍵是從「工作」角度出發，亦即呈現工作角色在組織的作用，這裡細分為任務使命（Mission）、可交付的工作（Deliverables），以及任務（Task）；另一關鍵是從學習角度來看，也就是工作角色需要知道什麼？要做什麼？這裡細分為技能（Skills）、知識（Knowledge），以及歐盟的e-CF能力框架。換言之，ECSF不僅呈現每個角色在工作職場要做的事，同時，也展現每個角色背後所需要學習的內容。</p> <p>因此，在ECSF框架的職務職能簡介，我們可以看到每個不同的資安工作角色，都描繪所需要的「技能」與「知識」清單，而其數量在5到16項之間。</p> <p>以資安長為例，其技能清單有16項，包括：評估並加強組織的資訊安全態勢，實施資安政策、認證、標準、方法論與框架，遵守與資安相關的法律、法規與立法，以及管理資安資源，定義資安管理成熟度模型，直接或領導外部承包商ISMS監控與審查等，特別的是，激勵與鼓勵這類軟性技能也涵蓋在內。</p> <p>除了技能與知識，ECSF最獨特之處在於，可連接專門用於ICT專業領域的歐盟電子技術能力框架：European e-Competence Framework（e-CF）。基本上，e-CF將能力分為5大領域、40個項目，並且畫分出5個成熟度，而在ECSF的每個職務職能簡介中，也列出該資安角色所需具備的e-CF能力。</p> <h2><strong>推動企業採行ECSF，以設想情境幫助理解應用方式</strong></h2> <p>綜觀上述這些具體的清單內容，已經足以協助組織、個人或培訓機構推行，能有明確的參照可用。而在ECSF使用者手冊中，也闡述此框架的運用方式，可利於下列5大面向，包括：</p> <p><strong>1. 提供企業組織應用，像是聘用資安專業人員</strong></p> <p><strong>2. 提供學習提供者應用，也就是各類培訓單位，以幫助提高資安專業人員技能</strong></p> <p><strong>3. 提供個人從業人員應用，幫助做出自己的職業選擇</strong></p> <p><strong>4. 提供專業協會應用，建立資安社群</strong></p> <p><strong>5. 提供政策制定者應用，以幫助在戰略上增加該領域</strong></p> <p>企業該如何應用ECSF？我們注意到，ECSF使用者手冊用說故事的方式來舉例說明，相當特別。如此的確讓大家更容易以自身情境帶入，便於設想。</p> <p>例如，在第一個情境中，是由兩位創辦人成立的小型雲端服務公司，這兩人各自擅長技術與行銷，但之前都沒有經營或建立公司的經驗。</p> <p>過了一年之後，公司開始逐漸成長，他們搬進新的辦公室，雇用許多員工來擴展業務，但在此階段中，沒有人能考慮組織架構問題，許多角色與職責都是共同承擔，若遇到挑戰，則透過臨機應變的方式來處理。所幸，這個時期還沒有發生嚴重的資安事件。</p> <p>後來，這家公司吸引到新的投資者與媒體的目光，然而，大客戶與投資者要求在他們涉入公司經營之前，須為其提供充分的資安保障措施與組織架構，這時創辦人也意識到：公司成功的關鍵在於員工，為了使組織成功發展並提供具彈性的服務，必須要明確定義資安的角色與責任。</p> <p>因此，他們的問題是：公司要有甚麼樣的組織架構？需要哪些角色及能力？</p> <p>這時，投資者可以使用ECSF框架，並識別出該組織需要5種關鍵的資安人才，包括：資安長、網路法規政策合規長、網路安全架構師，資安事件應變人才，以及幾名網路安全實施人才。</p> <p>於是，該公司在內部進行調查後，確定是否有員工能擔任這些角色。</p> <p>像是公司已有法務人員負責法規面的工作，且對隱私與網路安全法律問題有興趣，因此，人力資源部門可利用ECSF的知識與技能清單，進一步協助增加其能力；而該組織的資通訊架構師，因為在網路安全設計方面已有經驗，可透過培訓增加與更新其能力，滿足組織架構的資安需求。</p> <p>至於企業內的系統管理員，過去已懂得遵循許多網路安全最佳實務，但大多以身兼數職方式工作，缺乏策略或結構。因此，公司創辦人確定需要招聘一位資安長，除了在網站上列出職缺，同時也根據ECSF對該職務職能的簡介，草擬出該職位的描述。另外，創辦人也確定公司的事件應變功能機制，需24小時不中斷，以確保服務的持續運作，</p> <h2><span style="color:#0099ff;"><strong>ECSF框架帶來五大人才效益</strong></span></h2> <p><span style="color:#800000;"><strong>（一）促使資安專業的需求與供給之間，也就是在職場、招聘，以及培訓、評估之間，大家都能夠有共同的術語與理解。</strong></span></p> <p><span style="color:#800000;"><strong>（二）由於是從工作職務角度識別關鍵技能要求，因此可讓培訓課程提供者用於發展關鍵技能的課程，而政策制定者也能針對性技能缺口去設法緩解。</strong></span></p> <p><span style="color:#800000;"><strong>（三）ECSF有助於理解資安角色所需的基本技能與法律規範。特別是對於非專業人員和人力資源部門而言，可以更容易理解資安方面的招聘、職業規畫與資源規畫。</strong></span></p> <p><span style="color:#800000;"><strong>（四）促進資安教育、培訓與人力資源發展的協調。</strong></span></p> <p><span style="color:#800000;"><strong>（五）在對應的資安人力發展下，未來將有助於更好抵禦網路攻擊，並確保各個領域的安全。</strong></span><br /> 資料來源：ENISA，iThome整理，2023年5月</p> <h2><strong>強調能夠靈活使用，可自定新工作角色或彈性運用</strong></h2> <p>除了定義12種角色職能技能簡介，ENISA也強調：這個框架將是可以活用的工具，能依據特定環境彈性使用。</p> <p>例如，在第二個設想情境，是描述一家保險公司正將其產品組合延伸至資安保險，因此需要合適的人來支持這項新業務。為此，人力資源部門展開調查訪問，以確定該職位的需求與主要任務。</p> <p>之後人力資源主管意識到，這是個複雜的工作角色，沒有適合的角色樣板可以直接套用，因此，借助ECSF框架，從網路法規政策合規長與網路安全稽核師這兩個角色裡面，提取部分內容，以確定新工作角色的重要任務，並確認出執行任務所需的技能與知識。</p> <p>如此一來，這個新的工作角色就是基於ECSF核心內容建立，也等於提供一個獨特的角色，並且起源結構可追溯。</p> <p>而在第三個設想情境中，則是一家主要業務非資通訊的大型企業，需要設置一個資安專責部門，但過去該公司並沒有任何這方面的專業知識，因此，董事會決定聘請一位資安長，來定義與組織目標一致的整體資安防護策略。</p> <p>接下來，新任命的資安長將ECSF框架作為指導方針，當作處理其網路安全風險所需資安角色的參考，並將之視為資安部門角色結構化的靈活工具。例如，利用企業管理PDCA的類似概念，將12個角色畫分到4大領域，分別對應：計畫、實施、維運、改進。</p> <p>「計畫」領域對應的是資安長、網路法規政策合規長、網路安全風險管理人才，以及網路安全架構師；「實施」領域對應網路安全實施人才、網路安全教師；「維運」領域對應網路事件應變人才、數位鑑識調查人才，以及網路威脅情資專家；「改進」領域對應滲透測試人才、網路安全稽核師，以及網路安全研究人才。</p> <p>同時，該名資安長也遵循ECSF模組應用的5大步驟，從分析、識別、選擇、採用與應用的角度，以彈性適應其特定需求與目標。</p> <p>例如，在計畫層面中，資安長決定，由自身負責政策與合規的任務，並招聘資安架構師與網路安全風險管理人才。</p> <p>在實施層面中，主要利用ECSF的知識與技能，來了解要從外部招聘或是提升內部人員技能，並調查了自家跨國公司內的其他領域訓練團隊，是否具有ECSF所列技能知識並願意加入團隊。</p> <p>在維運層面中，考量日常網路安全營運需求，因此決定成立全球資安應變中心，同時招聘威脅情報專家提供更多洞察見解，幫助威脅獵捕與風險緩解，至於數位鑑識人才，資安長認為無需招聘，可委託專門資安業者滿足需求。</p> <p>最後，在改進層面中，資安長決定委託外部服務提供滲透測試，並在評估內部稽核團隊的能力後，決定聘請網路安全稽核師，至於網路安全研究人才，則因為超出組織範圍而決定不需要聘請。</p> <p>綜合來看，ECSF框架幫助資安長了解資訊安全角色，協助建立組織架構、確定資安角色需求，同時，也協助了人力資源規畫、評估與提升員工技能。</p> <p><span style="color: rgb(0, 153, 255);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89ECSF%E6%A1%86%E6%9E%B6%E6%87%89%E7%94%A8%E5%BD%88%E6%80%A7.jpg" style="width: 600px;" /></strong></span></p> <p><strong>SANS Institute也將ECSF框架融入其培訓，像是在其網站介紹的<a href="https://www.sans.org/ecsf-framework/">使用ECSF找到正確職涯發展路徑</a>，當中即依照ECSF的12種資安角色提供相對應的認證課程資訊。</strong></p> <p><span style="color: rgb(0, 153, 255);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89ECSF%E6%A1%86%E6%9E%B6%E7%B5%90%E6%A7%8B.jpg" style="width: 600px;" /></strong></span></p> <p><strong>ECSF框架不僅能提供給企業組織應用於聘用資安專業人員，以及各類培訓單位，也有助於資安從業人員的個人職涯選擇。</strong></p> <h2><strong>讓培訓課程開設、個人職涯發展有方向，且能識別強化面向</strong></h2> <p>ECSF框架除了為企業帶來幫助，對於培訓機構與個人也相當有助益。畢竟，ECSF促使不同領域與產業之間，對於網路安全技能相關術語能有共識，同時，ECSF也將職場專業要求與網路安全相關課程，以及學習計畫相連接。</p> <p>因此，對應市場需求，培訓機構與學術單位能夠利用ECSF的內容，也就是對應的知識與技能，制定符合所需的學習計畫或課程，甚至，在課程設計上，可藉此加速企業、政府與教育者達成協議，並促進跨機構的合作與學習教育。</p> <p>特別的是，目前我們已經看到有培訓機構開始應用ECSF作為溝通方式。例如，專門研究與教育的SANS Institute組織，在其網站介紹<a href="https://www.sans.org/ecsf-framework/">使用ECSF找到正確職涯發展路徑</a>，也依據ECSF定義的12種角色，提供相應的認證課程資訊。</p> <p>以網路安全架構師的資安人才角色而言，SANS Institute所列課程與認證，包含兩項，分別是：SEC530的可防禦安全架構與工程－為混合企業實施零信任，相關認證為GDSA；另一課程為SEC549的企業雲端安全架構。</p> <p>對於個人而言，由於ECSF框架在資安職務職能，提供一定的清晰度，可幫忙做出職業選擇，無論是吸引新鮮人投入網路安全領域，或協助新鮮人規畫未來的職業道路。舉例來說，透過ECSF的職務職能簡介，新鮮人能了解實際工作場所的要求與期望，從自身技能興趣了解可投入的方向，幫助不知從何開始的新進人員，確定自身需要開發、掌握與學習的技能或知識，了解轉職所需的能力與技能，促進職涯發展。</p> <p>對於政策制定者與政府利益相關者而言，也能在國家網路安全能力建設的發展上，用ECSF來幫助識別優先重點發展與培養的目標，以及透過資料分析來決定人才政策的推動方向。</p> <h2><span style="color:#0099ff;"><strong>ECSF的12種資安人才學習需求簡覽</strong></span></h2> <p><span style="color:#0099ff;"><strong><a href="https://s4.itho.me/sites/default/files/images/（圖1A）ECSF的12種資安人才學習需求簡覽.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961A%EF%BC%89ECSF%E7%9A%8412%E7%A8%AE%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E5%AD%B8%E7%BF%92%E9%9C%80%E6%B1%82%E7%B0%A1%E8%A6%BD.jpg" style="width: 600px;" /></a></strong></span></p> <p><span style="color:#0099ff;"><strong><a href="https://s4.itho.me/sites/default/files/images/（圖1B）ECSF的12種資安人才學習需求簡覽.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961B%EF%BC%89ECSF%E7%9A%8412%E7%A8%AE%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E5%AD%B8%E7%BF%92%E9%9C%80%E6%B1%82%E7%B0%A1%E8%A6%BD.jpg" style="width: 600px;" /></a></strong></span></p> <p><strong style="font-size: small; vertical-align: top; background-color: rgb(247, 247, 247); color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif;"><span style="vertical-align: top; color: rgb(51, 153, 255);"><span style="vertical-align: top; font-size: 20px;">本文出自《CYBER TALENT 臺灣資安人才專刊》</span><img alt="" src="https://s4.itho.me/sites/default/files/images/CYBER%20TALENT%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E5%B0%88%E5%88%8A_%E7%B7%A8%E8%BC%AF%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 150px;" /></span></strong></p> </div></div></div>
2023/5/21 19:00作者羅正漢https://www.ithome.com.tw/news/156747
促進資安人培育，美國NICE網路安全人才框架成典範
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>要確保國家網路安全，除了仰賴資安相關技術的發展，背後更重要關鍵，是要有實踐這些技術的人，也就是資安人才。</p> <p>但是，要推動資安人才，或許我們先要了解的是，資安工作所需的任務與知識技能，而國際上已有這方面的發展，例如，美國國家標準暨技術研究院（NIST）推出的 NICE 網路安全人才框架，就是一例。</p> <p>事實上，早在十多年前，美國政府已經意識到聯邦資安人才培育的重要性，因此在2010年，啟動國家網路安全教育倡議計畫，名為National Initiative of Cybersecurity Education（NICE），由美國NIST帶頭，當地多個單位共同合作推動，主要聚焦在網路安全人力框架（Cybersecurity Workforce Framework，CWF）的設計，其用意是制定網路安全相關的知識技能體系。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%960%EF%BC%89NICE%E7%B6%B2%E8%B7%AF%E5%AE%89%E5%85%A8%E4%BA%BA%E6%89%8D%E6%A1%86%E6%9E%B6%E7%99%BC%E5%B1%95%E4%BB%8B%E7%B4%B9(1).png" style="width: 231px; float: right;" /></p> <p>而這樣的計畫，2012 年有初步的成果。當時，就已發布了第一版的NICE Framework，後續，再經歷了七年多的持續改進與發展，現在這項框架已經變得更為先進，並於2020年發展至第四版本。</p> <p>特別的是，這期間還有一個重要的進展，<a href="https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-181.pdf">在2017年時，美國NIST將此框架發布為NIST SP 800-181標準文件</a>，當中強調公私組織都能廣泛運用，此舉為網路安全人才的培育，提供了具體的指導和參考。</p> <p>值得我們關注的是，近年來，隨著全球資訊安全威脅不斷增加，各國對於資訊安全人才不足議題，逐漸成為討論重點。為此，資安人才職能框架成為國際間重要的議題。</p> <p>例如，我們在去年2022年注意到，歐洲網路安全局 ENISA 發布網路安全技能框架（ECSF），這也顯示，國際間的確在思考資安人力培育的問題，並設法提出對應之道。</p> <p>對於臺灣而言，這份NICE網路安全人才框架的內容，等於也是提供我們在規畫相關策略時的重要參考，可幫助從政策面與執行面去通盤考量，以促進國家整體資安人才的發展。</p> <h2><strong>畫分7大類別、33大專業領域，以及52個工作角色</strong></h2> <p>為何NICE框架具參考性 ? 簡單來說，NICE 這個框架是由美國政府、學術界與產業夥伴共同合作發展，主要是為了建立完善的網路安全教育、培訓與人才發展生態系。</p> <p>以 2017 年而言，美國 NIST 將此框架第三版發布為NIST SP 800-181標準文件來看，目的是全面統整出網路安全需求人力的資訊，成為這方面的基礎參考資源，因此制訂一個分類詳盡的框架的內容，希望建立共同的詞彙，有利於識別、招募與發展網路安全人才。</p> <p>這樣的框架能夠帶來哪些好處？以企業組織而言，雇主能使用一致的語言，設計出內部資安人員專業發展計畫，並選擇適當的培訓機會或相關產業認證與學術證書，以提升其員工的技能水準；對於學術機構來說，也能藉此發展網路安全課程，以滿足當前與未來的資訊安全人才需求。</p> <p>當時的NICE框架共建立了7大類別、33 大專業領域，以及 52 個工作角色，並針對每個資安工作角色，皆提供了面對的任務，以及勝任該職責所需具備的知識、技術與能力（KSAs）。</p> <p>這 7 大類別包括：安全架構供應、操作與維護、監督與治理、保護與防禦、分析、收集與行動，以及調查。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）NICE網路安全人才框架發展介紹.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89NICE%E7%B6%B2%E8%B7%AF%E5%AE%89%E5%85%A8%E4%BA%BA%E6%89%8D%E6%A1%86%E6%9E%B6%E7%99%BC%E5%B1%95%E4%BB%8B%E7%B4%B9.png" style="width: 600px;" /></a></p> <p>而這些類別涵蓋的 33 大專業領域，分別是：</p> <p>● 安全架構供應，包括：風險管理、軟體開發、系統架構、技術研發人員、系統需求計畫、測試與評估，以及系統開發；</p> <p>● 操作與維護，包括：資料管理、知識管理、客戶服務與技術支援、網路服務、系統管理，以及系統分析；「監督與治理」的法律諮詢與倡導、培訓教育與意識、網路安全管理、戰略規畫與政策、高階網路領導力，以及計畫／專案管理與收購；</p> <p>● 保護與防禦，包括：網路防禦分析、網路防禦基礎架構支援、事件回應、弱點評估與管理；</p> <p>● 分析，包括：威脅分析、漏洞利用分析、全方位情報分析、目標對象分析、語言分析；</p> <p>● 收集與行動，包括情報收集作戰、網路作戰規畫（深層聯合目標制定與網路安全規畫）、網路作戰（防範犯罪與外國情報實體）；</p> <p>● 調查，包括：網路調查、數位鑑識。</p> <p>上述這些類別與專業領域，除了顯現出資訊安全工作範疇的細膩畫分，同時，此框架還對應發展出52種資安工作角色。</p> <p>簡單而言，有些領域對應單一工作角色，像是系統需求計畫領域所對應的工作角色，就是系統需求規畫師；也有些領域是對應多個工作角色，例如，在風險管理領域之下，有兩個角色，包括授權官／指定代表，以及安全控制評估專家；在資料管理領域之下有兩個角色，包括資料庫管理員，以及資料分析師。</p> <p>更重要的是，這個框架還非常詳盡的歸納出，網路安全人才所需的具體條件，包含：任務（Task）、技能（Skill）、知識（Knowledge）、能力（Ability）。</p> <p>這部分的內容有多細膩？我們看到總共區分出1,007種任務（T0001至T1007），以及630種所需知識（K0001至K0630）、374種所需技能（S0001至0374），以及176種所需的能力（A0001至A0176）。</p> <p>同時，每個工作角色也都對應出各自面對的任務，以及所需具備的知識、技術與能力。</p> <h2><strong>剖析細膩的人才需求是NICE最大價值，持續改進是重點</strong></h2> <p>整體而言，如此細膩地進行分類與描繪敘述的框架內容，對於資安人才職能的整體檢視有極大幫助，也是這份框架的價值所在，基本上，它能協助產業更具體討論與理解資安專業人員的工作，以及技能要求，甚至能夠直接當成一個詳盡的檢核表使用。</p> <p>不過，接下來NICE框架該如何改進，可以使其更適用呢？</p> <p>後續我們看到，NIST 在完成細緻的盤點統整後，已轉向簡化框架結構。</p> <p>例如，在2020年11月發布的第一版修訂 SP 800-181 r1，開始有了不同於以往的明顯變化，其調整重點在於，簡化、優化框架的組織結構與術語，也就是說，希望提供一個更靈活且易於使用的方法，來開發管理網路安全風險的人才。<a href="https://www.ithome.com.tw/news/156732">下一篇我們將繼續介紹新版所做出的改變</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）NICE網路安全人才框架發展介紹.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89NICE%E7%B6%B2%E8%B7%AF%E5%AE%89%E5%85%A8%E4%BA%BA%E6%89%8D%E6%A1%86%E6%9E%B6%E7%99%BC%E5%B1%95%E4%BB%8B%E7%B4%B9.png" style="width: 600px;" /></a></p> <p> </p> <h2 class="rtecenter"><span style="color:#0099ff;"><strong>NICE框架的任務、技能、知識與能力簡覽</strong></span></h2> <p>在2017年發布SP 800-181，畫分出多達52種資安工作角色，也同時定義4種與工作角色相關元件，包括任務、技能、知識、能力。而且，在每個工作角色的職能一覽項目當中，都包含4項描述，說明該職能對應所需。我們可從下列個別列舉的前20個項目，看出NICE對於資安人才職能描繪的細膩程度。（<a href="https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-181.pdf">完整NIST SP 800-181內容</a>）</p> <p><span style="color:#FF8C00;"><strong>一、NICE框架「任務」簡介</strong></span></p> <p>這部分說明所有已被確定為網路安全工作角色的任務，當中共定義出1,007種的任務（T0001至T1007）。以T0001為例，當中說明其任務是要獲得並且管理必要的資源，這包括領導層的支持，財務資源與關鍵資安人員，以幫助達到IT 安全的目標，並減少組織整體風險。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）NICE網路安全人才框架發展介紹.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89NICE%E7%B6%B2%E8%B7%AF%E5%AE%89%E5%85%A8%E4%BA%BA%E6%89%8D%E6%A1%86%E6%9E%B6%E7%99%BC%E5%B1%95%E4%BB%8B%E7%B4%B9.jpg" /></a></p> <p><span style="color:#FF8C00;"><strong>二、NICE框架KSA的「知識」簡介</strong></span></p> <p>這部分說明履行各種資安職能的各種資訊，共包含630種知識（K0001至K0630），前6項是所有網路安全工作角色都需具備的知識，以K0001為例，是要熟悉電腦網路概念協議，以及網路安全方法，以K630為例，是具備了解最新入侵技術、方法與已有文件紀錄針對組織外部的入侵案例。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖4）NICE網路安全人才框架發展介紹.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89NICE%E7%B6%B2%E8%B7%AF%E5%AE%89%E5%85%A8%E4%BA%BA%E6%89%8D%E6%A1%86%E6%9E%B6%E7%99%BC%E5%B1%95%E4%BB%8B%E7%B4%B9.jpg" style="width: 600px;" /></a></p> <p><span style="color:#FF8C00;"><strong>三、NICE框架KSA的「技能」簡介</strong></span></p> <p>這部分的內容是歸納出網路安全技能的清單，共有374種。具體而言，每一種技能是指能夠展現出已經學會的動作或行為的能力，而這種能力是可以被觀察到的，也就是說，只有當你能夠實際展現出這些行為時，才能被稱為具有這些技能。以S0001為例，當中說明其技能是要具備漏洞掃描與識別安全系統中漏洞。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5）NICE網路安全人才框架發展介紹.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89NICE%E7%B6%B2%E8%B7%AF%E5%AE%89%E5%85%A8%E4%BA%BA%E6%89%8D%E6%A1%86%E6%9E%B6%E7%99%BC%E5%B1%95%E4%BB%8B%E7%B4%B9.jpg" style="width: 600px;" /></a></p> <p><span style="color:#FF8C00;"><strong>四、NICE框架的KSA「能力」簡介</strong></span></p> <p>這裡提供的是關於網路安全能力的清單，其能力指的是英文的Ability，共176種能力（A0001~A0177）。以A0001為例，是指能夠根據漏洞與資料設定配置的分析，識別系統性安全問題的能力。以A0176而言，是指具備維護資料庫的能力，包含備份、復原、資料刪除、日誌檔案交換等。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖6）NICE網路安全人才框架發展介紹.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89NICE%E7%B6%B2%E8%B7%AF%E5%AE%89%E5%85%A8%E4%BA%BA%E6%89%8D%E6%A1%86%E6%9E%B6%E7%99%BC%E5%B1%95%E4%BB%8B%E7%B4%B9.jpg" style="width: 600px;" /></a><br /> </p> <p><strong style="font-size: small; vertical-align: top; background-color: rgb(247, 247, 247); color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif;"><span style="vertical-align: top; color: rgb(51, 153, 255);"><span style="vertical-align: top; font-size: 20px;">本文出自《CYBER TALENT 臺灣資安人才專刊》</span><img alt="" src="https://s4.itho.me/sites/default/files/images/CYBER%20TALENT%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E5%B0%88%E5%88%8A_%E7%B7%A8%E8%BC%AF%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 150px;" /></span></strong></p> <p> </p> <h3 class="rtecenter"><strong>繼續閱讀：<a href="https://www.ithome.com.tw/news/156732"><span style="color:#0000FF;">2020年版NICE框架新變革！模組化與便於彈性使用是重點</span></a></strong></h3> </div></div></div>
2023/5/20 10:00作者羅正漢https://www.ithome.com.tw/news/156705
2020年版NICE框架新變革！模組化與便於彈性使用是重點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2017年，<a href="https://www.ithome.com.tw/news/156705">美國NIST將國家網路安全人才框架NICE的第三版，發布為NIST SP 800-181標準文件</a>，定義出52個工作角色，以及1007種任務、630種知識、374種技能，以及176種能力，然而，在發展出這樣具規模的基礎之後，如何能讓此NICE框架變得更普遍適用，受到廣大的探討。</p> <p>到了2020年11月，<a href="https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-181r1.pdf">NIST發布SP 800-181的 r1版本</a>，與過去有很大的不同，我們可以看到框架內容已有大幅簡化。發展此框架的團隊表示，是基於之前版本的缺點與用戶回饋，做出修正與優化，希望以敏捷、靈活、具實用性、模組化的特性出發，以快速連接資安生態系，因此重構了NICE Framework。</p> <p>簡單來說，SP 800-181 r1是針對網路安全人才架構的修訂版，而這次修訂的重點在於，簡化框架的組織架構與術語，使框架變得更加靈活且易於使用，以便開發與管理網路安全風險的人才。</p> <h2><strong>新版NICE框架的五大重點</strong></h2> <p>新版NICE框架有哪些重要的變化？我們從2020年修訂版的改變，歸納出五大重點。</p> <h3><strong><span style="color:#B22222;">■ 第一，簡化並優化架構</span></strong></h3> <p>在SP 800-181 r1中，NICE框架將原本類別與專業領域的設計，轉換成以「任務」、「知識」與「技能」為核心，並增加靈活、互通與模組化的特性。</p> <p>也就是說，NICE此版取消2017年版在類別與專業領域上的設計，取而代之的是，將任務、知識、技能轉化為關鍵基礎模組，NIST稱之為Building Blocks，以提供更模組化的方法。而且，修訂版為了增加可使用性，還提供了與其他框架與標準的比較與對照。</p> <p>不過，NICE框架開發團隊也表示，如果組織認為之前的框架結構很有用，仍然可以繼續使用，或是依據新版的NICE Framework概念做整合。</p> <h3><span style="color:#B22222;"><strong>■ 第二，重構任務、知識與技能關係</strong></span></h3> <p>另一變動在於，修改之前框架中對於任務、知識、技能與能力之間的關聯。</p> <p>例如，關於「技能（Skill）」、「能力（Ability）」這兩項，從原本聚焦於技能與能力的展現，簡化成只保留「技能」一項，並且改變為聚焦在學習者行動上的展現；同時，新版框架還將重點放在提供一個簡化的關聯方法，讓使用者可將任務、知識與技能，應用於建立與之相關的工作角色。</p> <p>此舉看來也更貼近NICE框架最初的目的，就是希望更妥善地幫助機構，快速建立能管理網路安全風險的團隊。</p> <p>r1修訂版為了簡化NICE框架的維護，刪除2017年框架附錄A與B提供的任務、知識、技能、工作角色的列表，NIST表示，之後將發布新的獨立文件。現階段，之前版本的列表同樣仍可利用，用戶可在NICE框架資源中心找到這些資訊。</p> <h3><span style="color:#B22222;"><strong>■第三，模組化設計，可用現有TKS亦可自行建立</strong></span></h3> <p>重構後的新版NICE框架，NIST強調，主要是基於一個建築積木（Building Blocks）的概念而成，而這個建築積木的概念，可視為基礎要素，涵蓋面向包括：使用「任務」描述所要完成的工作，以「知識」與「技能」描述執行該工作所需的要求。</p> <p>因此，具體而言，NICE框架主要由三個基礎要素組成，分別是：</p> <p><strong>●任務陳述語句（Task Statements）</strong></p> <p><strong>●知識陳述語句（Knowledge Statements）</strong></p> <p><strong>●技能陳述語句（Skill Statements）</strong></p> <p>上述這三個基礎元素合稱為TKS，新版NICE框架的核心，就是基於TKS來提供一種結構，讓組織與個人都能清楚理解框架的範圍與內容。</p> <p>我們在釐清其關聯時，必須強調的是，這不是強制性的結構，而是可以透過這些基礎元素的結合，轉化成指導方針，並用於增強理解。</p> <p>換句話說，NIST強調的重點在於，NICE是個框架，這意味著它不會給你答案，組織與個人將可根據自身需求，靈活應用這些基礎元素，增強對網路安全領域的理解與應用能力，像是建構自己的職位描述，以及設計培訓與人才發展計畫。</p> <p>因此，對於企業或組織而言，可以使用既有的任務、知識與技能（TKS）陳述語句，也可以建立新的TKS陳述語句。但NIST提醒，修改既有TKS內容時必需謹慎，因為這可能導致使用外部資源時，出現後續無法對焦的狀況。</p> <p>至於TKS可被應用的培訓情境有哪些？例如，可決定晉升資格的員工技能追蹤計畫，或是完成課程所需的知識，又或是完成組織的每週任務清單等。</p> <p>如何建立TKS的陳述語句？新版文件透過例子來說明。以任務陳述語句而言，主要是描述所要完成的工作，可定義為實現組織目標的活動，包括業務目標、技術目標，或是使命願景的目標。</p> <p>舉例來說，關於「排除系統硬體與軟體故障」這樣的任務陳述語句，就是呈現出正要執行的活動，另外，陳述語句可以不用說明具體目標，例如，進行互動式培訓演練這樣的任務，因為目標可能因為任務驅動與組織需求而異。</p> <p>而從學習角度來看，須有效地解決任何軟體或硬體的問題，學習者必須熟悉並理解相關的知識目標，也就是說，必須學習並獲得這些知識與技能，才能夠完成任務。</p> <h3><span style="color:#B22222;"><strong>■ 第四、提供結合彈性，以稱職度來整合定義</strong></span></h3> <p>基本上，NICE框架提供共同的基礎，讓眾多機構組織可以借鑒，但有些機構可能需根據其獨特情況調整模型。</p> <p>為了讓TKS可以更好被活用，新版NICE框架有一特點，就是重新加入了稱職度（Competency）的概念，並成為TKS之外的另一基礎要素。</p> <p>具體而言，「稱職度」是透過相關的任務、知識與技能陳述語句，幫助組織評估學習者是否達到所需能力的好方法。</p> <p>而這個稱職度使用方式上，應由雇主驅動導向的方式來定義，並提供組織在獨特情境的洞察力。</p> <p>在用法上，稱職度的概念如何提供彈性？基本上，企業組織在使用時，可將不同的任務、知識與技能陳述語句組合在一起，形成廣泛的能力類別，以滿足不斷變化的需求。</p> <p>總體而言，建立稱職度的潛在用途，包括：描述指定職位中的任務類型、追蹤工作人員能力、描述團隊要求，以及展示學習者能力等。</p> <p>以適用場景來看，這樣的發展過程，可幫助企業雇主與培訓機構。例如，企業雇主可將其用於招聘與考核，像是使用稱職度定義職位描述；培訓提供者或學術顧問可評估學習者的技能與知識，像是使用稱職度來證明學習者已獲得符合其能力的知識與技能，或是使用稱職度來定義證照（證照或學位）。</p> <h3><span style="color:#B22222;"><strong>■ 第五、重新定位工作角色，不等同於職業的工作角色</strong></span></h3> <p>新版NICE框架的最後一塊拼圖，就是工作角色（Work Roles）。</p> <p>在之前的版本中，工作角色主要是與知識、技能、能力相關聯，而在新版框架中，則是鼓勵透過任務（Task）來描述工作角色，因此關聯性上有所改變。</p> <p>之所以倡議使用具體的任務來描述工作，NICE團隊解釋，主要原因在於，這樣的方法更具靈活性，可以讓學習者更容易理解與學習。</p> <p>基本上，現在的工作角色，是由一些具體的任務組成，這些任務需要完成實際的工作。換言之，NICE框架更加關注工作角色所需要的實際任務，而不是僅僅抽象地描述知識、技能與能力。</p> <p>具體而言，工作角色不同於職位職稱，雖然一些工作角色可能與工作職稱重疊，但這主要是取決於組織指定職稱的方式；同時要知道的，工作角色也不等同於職業，兩者是不同的概念。例如，一個工作角色可以對應到許多不同的職稱，相反地，一個職稱可能也需要擁有多個工作角色的技能才能擔任。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖１）2020版NICE框架.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96%EF%BC%91%EF%BC%892020%E7%89%88NICE%E6%A1%86%E6%9E%B6.jpg" style="width: 600px;" /></a></p> <p><strong><span style="color:#FF8C00;">以「任務」、「知識」與「技能」為核心的模組建構方法</span>　美國NIST在2020年11月發布的<a href="https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-181r1.pdf">SP 800-181 r1，也是第四版的NICE網路安全人才框架（NICE Framework）</a>，將原有內容簡化，以模組化、易於使用為出發，使用「任務」描述所要完成的工作，以「知識」與「技能」描述執行該工作時學習者所需的要求，並聚焦於學習者行動上的展現，而這三項基礎要素合稱為TKS。圖片來源／NIST</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站BOX圖）2020版NICE框架.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99BOX%E5%9C%96%EF%BC%892020%E7%89%88NICE%E6%A1%86%E6%9E%B6.jpg" style="width: 600px;" /></a></p> <p><strong><span style="color:#FF8C00;">靈活應用NICE框架，可自行建立任務、知識、技能的項目</span>　NICE框架的基礎構成要素，是任務、知識與技能（TKS）的陳述語句，NICE團隊指出，組織與個人依據自身需求，使用既有的TKS內容，或是自行新增。因此，他們也給出建立這些描述的基本原則。</strong></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962A%EF%BC%892020%E7%89%88NICE%E6%A1%86%E6%9E%B6.jpg" style="width: 600px;" /></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖2）2020版NICE框架(2).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%962%EF%BC%892020%E7%89%88NICE%E6%A1%86%E6%9E%B6(2).jpg" style="width: 600px;" /></a></p> <p><strong><span style="color:#FF8C00;">透過評估稱職度的組織方式，讓TKS的運用變得更靈活</span>　為了讓NICE框架更易於使用，除了具有以任務、知識、技能組成TKS的基礎要素，NICE團隊還提出稱職度（Competency）的概念，用以幫助組織評估學習者是否達到所需能力，此一概念顯然為框架本身帶來了更多應用彈性。例如圖左的組織架構，就是說明可透過稱職度來定義職位描述，圖右則是說明以稱職度來定義證照（證照或學位）。圖片來源／NIST</strong></p> <h2><strong>以模組化重新出發，並能利用團隊概念解決複雜挑戰</strong></h2> <p>總而言之，在這樣的NICE框架形式之下，能更好展現模組化概念，這意味著：無論職稱是什麼，身處職場的學習者，都需在不同角色執行許多任務。</p> <p>也就是說，對於學習者而言，應了解自己所負責的工作角色和其中的任務，可以更容易理解和培養自己所需要的知識與技能。</p> <p>另外，NICE框架也不會去定義類似基本、中階、高階這樣的熟練程度，如果有需要，這些屬性會透過其他模型或資源來展現。</p> <p>最後，還有個團隊（Team）的概念也相當值得一提。畢竟，許多組織常運用集體力量，將具有互補技能與經驗的個人進行編制，以團隊來解決複雜挑戰。因此，在使用方法上，團隊可以使用工作角色或稱職度來定義。</p> <p>特別的是，在此文件中也用一個簡單的例子，來說明規畫資安團隊的運用。其設想情境是要建立一個網路安全小組，並依據NIST CSF五大核心功能畫分，以制定團隊中的5個工作角色。</p> <p>此時，可參考2017版框架分類出的52個工作角色，做為範本，從中選取3個角色，分別是安全控制評估專家、網路防禦分析師、網路防禦事件應變人員，以對應保護、偵測、回應。</p> <p>另外，則是自行新建立兩個工作角色，取名為風險管理師、溝通協調專家，對應識別與復原的部分。而從這樣的例子來看，也顯現NICE框架是可以自行活用的。</p> <p>另外，我們看到NIST也提供一些使用案例，例如，位於美國馬里蘭州的摩根州立大學，將NICE框架用於課程開發，使學生可以做好KSA的準備，進而縮短從學習到工作的過渡；位於澳洲坎培拉的新南威爾斯大學，將之用於培訓與教育課程，希望透過NICE框架，準確匹配學生期望與學校交付的內容。</p> <p>摩根大通公司將之用於企業人力發展和流動，希望讓人員更清楚地瞭解自己在現有工作中，以及未來職業發展中的優勢和發展機會，同時企業可根據員工的評估結果來提供相關的培訓建議。Lynx Technology Partners公司也是很好的案例，他們幫助客戶了解並降低可能面臨的風險，而這也包括能力差距相關的潛在危險，因此，適合能力評估與職業路徑的NICE框架，被他們用於開發全面的能力計畫。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）2020版NICE框架.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%892020%E7%89%88NICE%E6%A1%86%E6%9E%B6.jpg" style="width: 600px;" /></a></p> <p><strong><span style="color:#FF8C00;">工作角色轉變為以具體任務組成，隸屬框架最上層</span>　工作角色在新版NICE框架重新被定位，不再是以知識、技能、能力來定位工作角色，而是以任務來描繪工作角色。同時，要釐清的是，這裡所定義的工作角色，不等同於工作職稱（儘管一些工作角色仍會有重疊情況），這也顯現NICE框架更加關注工作角色所需要的實際任務。圖片來源／NIST</strong></p> <p> </p> <h2 class="rtecenter"><span style="color:#0099ff;"><strong>針對NICE框架的「稱職度」，未來將提供更多補充資源</strong></span></h2> <p><a href="https://s4.itho.me/sites/default/files/images/（BOX2圖）NICE NISTIR 8355.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88BOX2%E5%9C%96%EF%BC%89NICE%20NISTIR%208355.jpg" style="width: 600px;" /></a></p> <p>關於前述提到的稱職度，除了在NIST SP 800-181 r1有基本的描述，另外我們注意到，NICE組織還有額外的計畫，他們在2021年開始制定<a href="https://csrc.nist.gov/publications/detail/nistir/8355/draft">NISTIR 8355的草案</a>，其內容就是聚焦NICE框架稱職度（NICE Framework Competencies）。</p> <p>基本上，這個NICE框架稱職度的內容，就是希望進一步提供更多的參考資源與報告，以利於評估學習者的網路安全工作，將TKS這些基礎要素群組化，形成更高層次的能力陳述語句，此外，同時發布的還有一份建議稱職度領域的初步清單。現階段，NISTIR 8355還在發展中，以2023年4月而言，我們已經看到發布第二版草稿。圖片來源／NIST<br /> </p> <p><strong style="font-size: small; vertical-align: top; background-color: rgb(247, 247, 247); color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif;"><span style="vertical-align: top; color: rgb(51, 153, 255);"><span style="vertical-align: top; font-size: 20px;">本文出自《CYBER TALENT 臺灣資安人才專刊》</span><img alt="" src="https://s4.itho.me/sites/default/files/images/CYBER%20TALENT%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E5%B0%88%E5%88%8A_%E7%B7%A8%E8%BC%AF%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 150px;" /></span></strong></p> </div></div></div>
2023/5/20 10:00作者羅正漢https://www.ithome.com.tw/news/156732
支援多種MFA，Awingu提供安全存取程式與檔案的網站入口
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/awingu-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為期超過三年的COVID-19疫情，居家辦公與混合辦公崛起，不僅支援多人協同作業的雲端服務走紅，也替提供遠端存取服務的IT應用帶來龐大商機，為此，這幾年以來，臺灣有些代理商陸續引進新的遠端安全存取解決方案，例如，去年4月，我們報導由瀚錸科技代理的remote.it，現在要介紹的是另一款由台灣二版代理的Awingu。</p> <p>其開發商Awingu是在2011年成立，總部在比利時的根特市，<a href="https://www.alludo.com/en/newsroom/press-releases/20220613-corel-acquires-awingu/?_gl=1*71xyrf*_ga*NzE4NjUwOTE2LjE2ODQ1MDg3MDk.*_ga_CEVYC7924W*MTY4NDUwODcwOS4xLjEuMTY4NDUwOTg4OS4yMC4wLjA.">2022年6月Core公司將他們買下</a>，預計將其併入2018年買下的Parallels品牌——該公司最知名的產品是個人電腦虛擬化軟體Parallels Desktop，也擁有支援多人遠端桌面存取服務的Remote Application Server（RAS），Core希望將Awingu結合RAS，提供可從任何裝置、隨時隨地皆可安全進行工作的單一登入存取平臺，並且能涵蓋傳統與雲端原生應用程式，以及檔案的存取。而在這一年的9月，Corel公司宣布改名為Alludo（可念為All You Do），Parallels名列此公司旗下的10大品牌，下轄Awingu、Parallels RAS、Parallels Desktop，到了12月，Awingu宣布推出最新版5.4。</p> <p>今年3月，台灣二版透過線上研討會形式正式對臺灣市場介紹Awingu，我們也得以一窺這套解決方案的特色。基本上，Awingu有點像VMware Workspace ONE的前身Airwatch，但它不涉及行動裝置管理（MDM）、統一端點管理（UEM）等使用者端設備管理，而是偏重在應用程式與檔案的傳遞／交付（delivery）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Awingu-Demo-Workspace.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awingu-Demo-Workspace.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Awingu-Demo5-App sessiion.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awingu-Demo5-App%20sessiion.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Awingu-Demo-Files.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awingu-Demo-Files.jpg" style="width: 600px;" /></a></p> <p>就操作方式而言，Awingu更像僅聚焦在應用程式虛擬化（Application Virtualization）或遠端存取應用程式功能（Remote Application）的這類產品或雲端服務，像是：VMware Horizon Apps、微軟Azurer Remote App（2017年8月終止服務），或是前身為Citrix Virtual Apps and Desktops service的Citrix DaaS。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/awingu-chart.jpg" style="width: 600px;" /></p> <p>而在系統建置的部分，比起上述類型的軟體型態解決方案，Awingu僅需在公司內部網路或公有雲的私有雲內部，架設虛擬應用設備作為轉接連線的閘道，員工僅需透過個人電腦的瀏覽器存取單一網站入口，即可透過RDP、CIFS、LDAP等常見的標準通訊協定，安全地連至運作在這些環境的各種新舊型應用系統與檔案儲存服務進行存取，而不需仰賴傳統VPN這類設定較為複雜的加密網路通道服務，或在個人電腦額外安裝個人端加密連線軟體。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2020-11-Awingu-take-over-pc-rooms-education.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-11-Awingu-take-over-pc-rooms-education.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AAASv2NOTITLE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AAASv2NOTITLE.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/WAASv2NOTITLE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WAASv2NOTITLE.jpg" style="width: 298px;" /></a> </p> <p>在網路連線串流的負載能力上，一臺Awingu虛擬應用設備最多可同時承擔500個RDP連線階段（至少需配置8顆虛擬處理器與8GB記憶體的資源），若需要支撐更大量的連線存取需求，原廠建議可設置3臺虛擬應用設備來處理。</p> <p>若需承擔超過100位的重度負載用戶同時上線存取——每人開啟3個RDP串流連線、10個連至反向代理的網站應用程式存取活動，以及每小時處理多個檔案，此時，可設置多臺Awingu虛擬應用設備節點組成叢集，以便分攤工作（原廠建議單一叢集的節點最好不要超過8臺），而在多臺節點並行的狀態下，會區分為3種角色：前端（負責RDP與檔案存取活動）、後端（負責稽核）、資料庫（存放Awingu組態、稽核記錄以外的資料）。</p> <p>如果要承擔超過200位用戶同時上線或為了具備高可靠性（HA）預防此項服務停擺，企業至少需建置3臺節點與外部資料庫，此時也能設置外部負載平衡器。</p> <p>在頻寬用量上，台灣二版表示，相較於市面上其他遠端應用程式串流存取產品，Awingu算是相當輕量，每個應用程式存取連線需要80 Kbps到100 Kbps（上傳與下載），存取延遲可低於350毫秒，甚至能低於60毫秒。</p> <p>相較於現行的各種遠端存取應用程式與檔案服務，Awingu最大特色是同時提供單一登入整合（SSO），以及多因素身分驗證（MFA）。以前者而言，可整合AD、LDAP，支援的身分來源（IDP），包含ADFS、Azure AD、Google ID等，它們都是支援SAML v2或OpenID Connect。若使用SAML來驗證，此時還可通過上述基礎IDP驗證後，再進行中介IDP的驗證，例如能搭配另一家資安廠商Opswat的產品來查驗身分，以策安全。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Awaingu-preauthentication.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awaingu-preauthentication.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Awingu4_3-SSO0.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awingu4_3-SSO0.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Awingu4_3-SSO1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awingu4_3-SSO1.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Awaingu-preauthentication2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awaingu-preauthentication2.jpg" style="width: 600px;" /></a></p> <p>而在MFA的部分，Awingu可支援雜湊訊息認證碼、基於計數器而更動認證因子的動態密碼（HMAC-based One-time Password，HOTP），或基於時間而成的動態密碼（Time-based One-time Password，TOTP）。</p> <p>目前可提供這類身分認證的軟體工具選擇不少，以手機App而言，最知名的有Microsoft Authenticator、Google Authenticator，資安廠商Sophos、雲端通訊服務業者Twilio也提供這類軟體，前者有Sophos Authenticator，後者推出可安裝在Windows、Linux、macOS的Authy，這些均可用於Awingu。</p> <p>除此之外，Awingu也支援智慧卡，目前已測試通過4種：比利時電子身分證（eID）、荷蘭Dutch UZI pass、義大利InfoCert Business Key、歐洲Isabel SmartCard。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Awingu-MFA-back.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awingu-MFA-back.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Awingu-MFA-front1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awingu-MFA-front1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Awingu-MFA-front2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awingu-MFA-front2.jpg" style="width: 298px;" /></a></p> <p>而在能夠進行遠端存取的應用程式上，Awingu目前支援串流及網站等兩種類型，前者可囊括RDP應用程式、桌面應用程式（非指令型應用程式）、遠端應用程式（RDP協定的延伸），後者則有網站應用程式與套用反向代理的網站應用程式。管理者若要將這些應用程式納入Awingu，可手動透過網頁介面逐一設定，或匯入CSV檔而能一次設定多個應用程式。若要自動安裝、設定、管理，Awingu也提供REST API。</p> <p>關於一般使用者的遠端存取操作與管理功能，Awing還提供多個實體螢幕對應多個瀏覽器視窗的配置、應用程式連線階段列印（虛擬印表機）、應用程式連線階段畫面共享，以及使用全程的稽核記錄（Application Recording，錄製檔案可存放在Awingu虛擬應用設備的本機硬碟，或是管理者定義的後端伺服器）。</p> <p>在稽核記錄的收集上，Awingu可涵蓋的範圍相當廣泛，包括：使用者、應用程式、網站應用程式、共享應用程式、身分來源等連線階段，應用程式閘道、檔案存取動作（透過Awingu網站入口操作的檔案），以及各種異常活動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Awingu-Application Recording0.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awingu-Application%20Recording0.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Awingu-Application Recording.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awingu-Application%20Recording.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Awaingu-recording-App.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/Awaingu-recording-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awaingu-recording-web.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Awaingu-recording-App sessions.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awaingu-recording-App%20sessions.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Awaingu-recording-shared App session.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awaingu-recording-shared%20App%20session.jpg" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Awingu 5.4</strong><br /> ●代理商：台灣二版<br /> ●建議售價：同時上線帳號1年訂閱授權，最低需購買20個授權，每個授權為4,262元<br /> ●建置方式：需設置虛擬應用設備，系統需求為2顆vCPU、4 GB記憶體、80 GB硬碟空間<br /> ●虛擬應用設備支援平臺：微軟Hyper-V 2016與2019、VMware ESXi 6.5至7.0、KVM、Citrix Hypervisor 8.2、AWS Amazon EC2、微軟Azure、Google Compute Engine<br /> ●支援資料庫系統：微軟SQL Server 2016、2017、2019，PostgreSQL 9.4以後版本</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/5/19 23:10作者李宗翰https://www.ithome.com.tw/review/155887
1Password推出通行密鑰無密碼登入解決方案Passage
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>密碼管理器開發商1Password積極支援通行密鑰（Passkey）技術，除了<a href="https://www.ithome.com.tw/news/155482">密碼管理器逐漸轉向通行密鑰無密碼驗證方式</a>外，現在還推出通行密鑰登入解決方案<a href="https://blog.1password.com/passage-by-1password/">Passage</a>，供企業在應用程式和網站中提供無密碼登入支援。</p> <p><a href="https://www.ithome.com.tw/news/150793">通行密鑰受Google、蘋果與微軟，從作業系統和瀏覽器上大力支援</a>，讓使用者可以不需要輸入密碼，就能夠快速登入網站和應用程式。通行密鑰提供了一種比傳統密碼還簡單且安全的登入方法，可以有效降低暴力破解或是網路釣魚等攻擊風險。</p> <p>藉由通行密鑰，應用程式或網站讓使用者在自己受信任的裝置上，以生物識別技術進行身分驗證，像是iPhone的Touch ID或Windows Hello，就能夠方便登入。通行密鑰無密碼登入方法具有許多優點，包括能夠大幅提升使用者體驗，使用者不再需要記住或是輸入密碼，使用慣用裝置就能簡單地進行身分驗證。</p> <p>另外，安全性更是一大重點，除了可以避免特定網路安全風險外，因為應用程式和網站不再需要儲存用戶密碼，因此即便資料洩漏，攻擊者也無法取得登入機密，進而提升整體系統安全性。</p> <p>但通行密鑰無密碼驗證系統的建置，比傳統密碼登入系統還多了一些額外複雜性，企業需要處理平臺相容性、帳戶恢復等問題，而1Password透過提供Passage服務，試圖降低用戶添加無密碼身分驗證的障礙，官方表示，Passage用戶只要添加兩行程式碼，就能夠在網站和應用程式提供無密碼登入功能。</p> <p>Passage包含Passkey Complete和Passkey Flex兩種方案。Passkey Complete適合想完全拋棄傳統密碼的企業，Passkey Complete可以取代企業現有登入流程的解決方案，不需要使用自家身分驗證基礎設施，並預設提供通行密鑰登入，同時也能夠支援其他無密碼驗證方法，以及帳戶恢復功能。Passkey Complete還能儲存用戶和身分驗證資料，扮演身分提供者（IdP）的角色。</p> <p>1Password推出的另一項服務是Passkey Flex，向無法完全使用無密碼登入的企業，提供一個過渡解決方案，Passkey Flex同時提供通行密鑰、傳統密碼和各種身分驗證方法，通行密鑰僅作為一種登入方法的選擇，企業可以在走向完全無密碼登入之前，嘗試向自家使用者提供無密碼登入體驗。</p> <p>目前Passkey Complete和Passkey Flex都已進入公開測試階段，供使用者整合到自家系統中，提供無密碼登入功能。</p> </div></div></div>
2023/5/19 19:22作者李建興https://www.ithome.com.tw/news/156957
【資安日報】5月19日，臺灣4月上旬出現惡意郵件、惡意軟體攻擊翻倍爆增的情況
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國不斷對臺灣文攻武嚇，連帶對臺的網路攻擊也出現增加的現象。其中資安業者Trellix揭露2起發生在4月上旬的大規模攻擊行動，駭客在短短的2至3天之內，對臺灣散布較往常多出數倍的惡意郵件、惡意軟體，且針對各行各業而來，而使得他們公布他們看到的釣魚郵件內容，提醒我國民眾要多加留意。</p> <p>蘋果再度修補零時差漏洞，值得留意的是這次的範圍不光是手機、平板、Mac電腦，亦涵蓋手錶、Apple TV等裝置。由於這些漏洞已被用於攻擊行動，使用者應儘速升級新版作業系統。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.trellix.com/en-us/about/newsroom/stories/research/china-taiwan-tensions-spark-surge-in-cyberattacks-on-taiwan.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣在4月上旬遭到中國駭客惡意郵件、惡意軟體攻擊爆增</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/china-taiwan-tensions-spark-surge-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/china-taiwan-tensions-spark-surge-4.jpg" style="width: 300px; float: right;" /></a>資安業者Trellix提出警告，隨著臺海的緊張情勢不斷升溫，他們在最近幾個月觀察到中國對於臺灣的網路攻擊明顯增加，其中包含了惡意郵件和惡意軟體的態勢變化。</p> <p>針對惡意郵件的部分，研究人員在4月7日至10日，發現攻擊臺灣的此類郵件數量爆增為4倍，且有別於平時駭客偏重於IT產業、製造業、物流業，這段時期駭客廣泛對於各種產業發動攻擊。此外，他們也在1月最後1週看到針對臺灣政府官員的惡意郵件暴增了30倍，但不確定是否為中國資助的駭客所為。</p> <p>而針對惡意軟體的部分，研究人員看到PlugX的攻擊行動於4月10日至12日，較平時激增15倍，此外他們也發現其他針對臺灣的惡意軟體攻擊行動，這些惡意軟體包括了Kryptik、Zmutzy，以及Formbook等。</p> <p><a href="https://25608397.fs1.hubspotusercontent-eu1.net/hubfs/25608397/Report-Dark-Web-Threats-Against-The-Energy-Industry.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客兜售能源組織的工控與OT系統的初始存取管道</span></strong></a></p> <p>資安業者Searchlight Cyber指出，他們自2022年2月至2023年2月，在網路犯罪論壇、黑市的討論區裡，發現許多能夠存取能源機構的初始入侵資訊，這些存取目標組織的管道包含了遠端桌面連線（RDP）、外洩的帳密資料，以及網路設備的漏洞等，根據目標組織的規模、地點、發動供應鏈攻擊的難度，買家開價從20美元至2,500美元不等。這些能源組織包含了美國、加拿大、英國、義大利、法國、印度的石油、天然氣、再生能源業者。</p> <p>値得留意的是，雖然大部分是針對目標組織的IT環境而來，但研究人員指出，他們看到有專門針對工控系統（ICS）及操作科技（OT）環境而來的攻擊資訊，這些兜售的資料包括了物聯網搜尋引擎Shodan的搜尋結果、漏洞利用的資訊，甚至能讓攻擊能力不強的駭客入侵這類系統。</p> <p><a href="https://www.secureworks.com/research/the-growing-threat-from-infostealers"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">地下市集兜售的事件記錄資料激增670%</span></strong></a></p> <p>資安業者Secureworks揭露竊資軟體攻擊氾濫的現象，他們在駭客兜售竊得個資的地下市集Russian Market、Genesis Market、2easy等管道進行觀察，結果發現規模最大的Russian Market，從2022年6月200萬筆求售的事件記錄資料，在2023年2月下旬已超過500萬筆，研究人員指出，該市集在2年的時間裡，刊登出售的事件記錄資料的數量成長約670%。</p> <p>這些資料主要是透過Racoon、Vidar、RedLine等竊資軟體偷到，但自2022年12月開始，也有少部分資料是來自名為RisePRO的竊資軟體。</p> <p>此外，由於美國聯邦調查局（FBI）於今年4月開始掃蕩Genesis Market，有不少買家改以加密通訊軟體Telegram出售竊得的事件記錄資料。</p> <p><a href="https://news.sophos.com/en-us/2023/05/17/fleecegpt-mobile-apps-target-ai-curious-to-rake-in-cash/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客假借ChatGPT名義散布騙錢軟體FleeceGPT</span></strong></a></p> <p>資安業者Sophos揭露駭客假借提供ChatGPT聊天機器人名義的攻擊行動FleeceGPT，駭客號稱他們提供的手機App，採用了ChatGPT演算法，但實際上是透過原本ChatGPT是免費的功能，企圖要使用者付費，進而達到騙錢的目標。</p> <p>其中一款安卓版名為Chat GBT、iOS版名為Ask AI Assistant的FleeceGPT軟體，3月份就騙走了1萬美元，另一款名為Genie的騙錢軟體，過去1個月更是騙走100萬美元。研究人員提出警告，雖然他們通報後Google、蘋果已下架上述的FleeceGPT騙錢軟體，但如果使用者不慎付錢訂閱付費功能，也要進行取消才不會一直被扣款。</p> <p><a href="https://www.trendmicro.com/en_us/research/23/e/lemon-group-cybercriminal-businesses-built-on-preinfected-devices.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">近9百萬臺安卓裝置恐預載了惡意軟體Guerrilla</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure3-black-hat-lemon-group-monetizing-preinfected-mobile-devices.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure3-black-hat-lemon-group-monetizing-preinfected-mobile-devices.png" style="width: 300px; float: right;" /></a>資安業者趨勢科技於今年黑帽大會亞洲場（Black Hat Asia 2023）上，揭露可能會影響數百萬臺安卓裝置的攻擊行動，這些裝置的ROM被預先載入了惡意軟體，而使得駭客能藉由用戶的簡訊、社群網站帳號來牟利，或是向用戶發送廣告甚至是在背景利用裝置來進行點擊詐欺活動。而他們在1個星期後公布了更多細節。</p> <p>發起這個攻擊行動的背後主使是名為Lemon Group的駭客組織，他們約自2018年，開始利用惡意軟體Guerrilla發動攻擊，一旦含有此惡意軟體的安卓裝置啟動，就會載入駭客的下載程式zygote，進而下載、執行其他的功能模組。例如，可從簡訊攔截WhatsApp、臉書、購物應用程式京東的動態密碼，或是針對瀏覽器Cookie、即時通訊軟體WhatsApp進行攔截的功能模組──這些模組有可能冒用使用者的名義來發送廣告。此外，攻擊者還可以藉此在背景派送其他App的安裝程式。</p> <p>研究人員指出，他們在黑帽大會公布此事時，約有近900萬臺裝置遭到駭客入侵，這些裝置遍布全球逾180個國家，且有超過半數是在亞洲，雖然這些裝置大部分是手機，但也有智慧電視、電視盒、兒童手表等。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/apple/apple-fixes-three-new-zero-days-exploited-to-hack-iphones-macs/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果發布iOS 16.5、macOS Ventura 13.4，修補3個已出現攻擊行動的WebKit零時差漏洞</span></strong></a></p> <p>5月18日蘋果針對旗下的行動裝置、電腦、穿戴裝置發布iOS 16.5、iPadOS 16.5、macOS Ventura 13.4、tvOS 16.5、watchOS 9.5等作業系統更新，並對於舊版macOS作業系統提供Safari 16.5，當中修補了3項已出現攻擊行動的零時差漏洞，分別是可被用於突破網頁內容沙箱CVE-2023-32409、資訊洩露漏洞CVE-2023-28204，以及可被用於執行任意程式碼的CVE-2023-32373。</p> <p>值得留意的是，這些漏洞都與Safari瀏覽器的網頁排版引擎WebKit有關，影響層面相關廣泛。附帶一提，若是iPhone、iPad、Mac電腦用戶在本月初安裝了快速安全回應（Rapid Security Response）更新，當中已修補CVE-2023-28204與CVE-2023-32373。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/cisco-warns-of-critical-switch-bugs-with-public-exploit-code/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">思科交換器出現重大漏洞，可被用於遠端執行任意程式碼</span></span></strong></a></p> <p><a href="https://github.com/vdohney/keepass-password-dumper"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">開源密碼管理器KeePass出現漏洞，攻擊者有可能藉此取得主控密碼</span></span></strong></a></p> <p><a href="https://www.securityweek.com/teltonika-vulnerabilities-could-expose-thousands-of-industrial-orgs-to-remote-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Teltonika Networks工控LTE路由器存在漏洞，若不修補恐成為駭客入侵企業的管道</span></span></strong></a></p> <p><a href="https://ccdcoe.org/news/2023/the-nato-ccdcoe-welcomes-new-members-iceland-ireland-japan-and-ukraine/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">烏克蘭、愛爾蘭、日本、冰島加入北約網路防禦卓越中心</span></span></strong></a></p> <p><a href="https://www.linkedin.com/posts/yelisey-bohuslavskiy-214a02bb_royal-ransomware-apt-activity-7064301345599565824-EwaW/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體Royal著手打造惡意軟體載入工具</span></span></strong></a></p> <p><a href="https://www.group-ib.com/blog/qilin-ransomware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體Qilin改以程式語言Rust開發，鎖定教育、醫療、金融產業而來</span></span></strong></a></p> <p><a href="https://www.trendmicro.com/en_us/research/23/e/water-orthrus-new-campaigns-deliver-rootkit-and-phishing-modules.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體CopperStealer透過Chrome瀏覽器外掛程式散布，盜走受害者的加密貨幣</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156942">【5月18日】要求受害組織作公益的勒索軟體再度出現，這次是鎖定Zimbra郵件系統而來</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156930">【5月17日】駭客利用Go語言開發的Cobalt Strike發動攻擊的情況升溫</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156905">【5月16日】財政部電子發票平臺驚傳資安漏洞，恐曝露上市櫃公司營業資料</a></strong></p> </div></div></div>
2023/5/19 16:00作者周峻佑https://www.ithome.com.tw/news/156961
OpenAI在蘋果App Store正式上架ChatGPT，目前僅限美國地區
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI於昨日（18日）<a href="https://openai.com/blog/introducing-the-chatgpt-app-for-ios">宣布</a>在蘋果App Store上推出官方的ChatGPT應用程式。憑藉這個應用程式，使用者可以更簡單地利用行動電話就與ChatGPT進行對話，以獲得資訊、娛樂、創作靈感，或是處理日常工作任務，同時，可以同步ChatGPT網頁版的歷史紀錄。</p> <p>在ChatGPT上市六個月後，其應用程式緊接著發佈，它免費且目前沒有廣告，也整合了OpenAI 開源的語音轉換文字技術Whisper，能透過語音輸入使用。而ChatGPT Plus的訂閱者可以享受與網頁版本Plus相似的功能，如GPT-4、提早使用新功能，以及更快的回應時間。此訂閱功能於2月推出，需付20美元月費。</p> <p>同樣在這周，OpenAI的CEO才於國會為AI將對社會可能帶來的風險做保證，他將當前的科技繁榮描述為可能像是過去印刷機為文藝復興以及社會帶來的變革（printing press moment），但也強調了需要相應的保護措施。</p> <p>此應用程式首先在美國推出，並計畫於未來幾周內推展到其他國家。OpenAI的部落格中說「我們很期待看到用戶如何使用該應用程式。在收集用戶反饋的同時，我們承諾將持續改進ChatGPT的功能和安全性。」OpenAI也指出了未來也將很快為Android設備推出ChatGPT應用程式。</p> <p>據《The Verge》<a href="https://www.theverge.com/2023/5/18/23728703/openai-chatgpt-app-ios">報導</a>，在手機使用Open AI的相關服務過去一直是微軟Bing的應用程式，因此官方ChatGPT應用程式的上市很可能分散本來使用Bing和Edge的部分用戶。它的推出也預計能阻止人們在手機誤裝聲稱聊天機器人卻是詐騙或是假的應用程式。</p> <p>然而同樣地，ChatGPT手機版和網頁版一樣也存在安全問題，即使Open AI已經於4月表達作出改善，例如每個人都能夠自己選擇將資料關閉不參與演算法，也就是說OpenAI將會是合法拿到資料做處理以訓練ChatGPT。</p> </div></div></div>
2023/5/19 11:38作者洪予揚https://www.ithome.com.tw/news/156954
蘋果修補3個已遭攻擊的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.apple.com/en-us/HT201222" target="_blank">蘋果本周四（5/18）釋出安全更新</a>，修補旗下平臺的眾多安全漏洞，其中有3個漏洞已遭到駭客攻擊，它們全都位於WebKit中，影響Safari瀏覽器、iOS、iPadOS、watchOS、tvOS，以及最新的macOS Ventura作業系統。</p> <p>WebKit是蘋果於1998年發表的瀏覽器引擎，它除了被應用在Safari瀏覽器上，蘋果也要求iOS及iPadOS上的所有瀏覽器都必須使用WebKit。</p> <p>這3個已遭到攻擊的漏洞分別是CVE-2023-32409、CVE-2023-28204及CVE-2023-32373，其中，CVE-2023-32409是由Google及Amnesty International所發現，將允許遠端駭客突破Web Content沙箱。</p> <p>後兩個漏洞都是匿名提交，CVE-2023-28204為越界讀取漏洞，在WebKit處理網頁內容時，可能揭露敏感資訊，CVE-2023-32373則屬釋放後使用漏洞，在WebKit處理惡意網頁內容時，可能導致遠端程式攻擊。</p> <p>蘋果並未揭露相關漏洞遭到攻擊的細節，僅說已收到它們被攻擊的報告。</p> </div></div></div>
2023/5/19 11:45作者陳曉莉https://www.ithome.com.tw/news/156955
沃達豐與BT集團雙雙計畫縮減人力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國兩大電信業者沃達豐（Vodafone）及BT集團（BT Group，原英國電信）都在本周宣布了裁員計畫，其中，沃達豐預計在未來3年裁撤1.1萬名員工，BT集團則打算要在2028~2030年之前，將現有的13萬名人力減少至7.5萬~9萬名，人力縮減幅度高達30%~42%。</p> <p>沃達豐與英國電信都是總部設於英國，但營運跨及全球市場的大型電信業者，雙方皆於本周發布了截至今年3月底的2023財年財報。</p> <p><a href="https://investors.vodafone.com/sites/vodafone-ir/files/2023-05/Vodafone-FY23-Results-Announcement.pdf" target="_blank">沃達豐的財報率先於周二（5/16）出爐</a>，其年度營收為457億歐元，比前一年成長0.3%。沃達豐執行長Margherita Della Valle表示，該公司的表現還不夠好，因而必須改變，包括將簡化組織，減少複雜性以重建競爭力。因此，沃達豐計畫在未來3年將裁撤1.1萬個職位，約占該公司總員工數的10%。</p> <p><a href="https://newsroom.bt.com/results-for-the-full-year-to-31-march-2023/" target="_blank">BT集團則在周四（5/18）發布財報</a>，這一年該集團創下207億歐元的營收，比前一年下滑了1%。該集團顯然也對這樣的結果不甚滿意，因而計畫在2028~2030年之前，裁撤逾30%的員工。</p> <p>BT集團執行長Philip Jansen表示，未來該集團將努力簡化架構並把任務數位化，到了2020年代的末期，BT集團所仰賴的會是更少的勞動力與更低的成本基礎，成為一家更精簡的企業並擁有更光明的未來。</p> </div></div></div>
2023/5/19 11:56作者陳曉莉https://www.ithome.com.tw/news/156956
Amazon計畫在印度投入127億美元以打造AWS基礎設施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://press.aboutamazon.in/news-releases/news-release-details/aws-invest-inr-105600-crores-us-127-billion-cloud-infrastructure" target="_blank">Amazon周四（5/18）宣布</a>，繼於2016年至2022年間於印度市場投入37億美元之後，在2030年前會再於當地投資127億美元，打造AWS於印度的雲端基礎設施，以迎合印度客戶對雲端服務的需求。此外，Amazon也估計此一投資將替印度創造13.17萬個工作機會，涵蓋建築、設施維護、工程、電信與其它等。</p> <p>目前AWS在印度有兩個隸屬於亞太地區的資料中心基礎設施，分別是在2016年啟用的孟買區域，以及甫於去年11月啟用的海得拉巴（Hyderabad）區域，前者的投資金額即為37億美元，且已替印度帶來3.95萬個工作機會。</p> <p>Amazon在印度的這兩項雲端基礎設施投資，不僅替當地創造了大量的工作機會，對印度國內生產毛額的貢獻分別達到46億美元與233億美元。</p> <p>負責電子與資訊科技的印度部長Rajeev Chandrashekhar表示，印度的雲端及底層的資料中心基礎設施為印度數位化架構及生態體系的重要元素，歡迎AWS注資127億美元以擴張於當地的資料中心，此舉將可催化印度的數位經濟。</p> <p>其實去年底AWS在啟用位於海得拉巴的第二個印度資料中心時，只宣布要在2030年以前於南亞市場投資44億美元，此次卻擴大投資至127億美元。</p> <p><a href="https://www.idc.com/getdoc.jsp?containerId=prAP49916322" target="_blank">根據IDC的估計</a>，印度公有雲服務每年成長率可達23.1%，到了2026年將達到130億美元的市場規模，主要是因為各數位服務及組織發現雲端可協助它們轉型，並可透過強大的雲端服務加速產品及服務的上市腳步。</p> <p>因此，不僅是Amazon，Google在印度也設置了2個雲端區域，微軟則有3個。AWS現為印度最大的雲端服務供應商，在當地擁有許多重量級客戶，包括印度的電子及資訊科技部，公共醫療機構 Aarogyasri Health Care Trust，以及Ashok Leyland、Axis Bank、HDFC Life及Titan等大型企業。</p> </div></div></div>
2023/5/19 12:51作者陳曉莉https://www.ithome.com.tw/news/156958
Stability AI開源圖像生成模型平臺StableStudio
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名圖像生成模型Stable Diffusion開發商Stability AI，決定<a href="https://stability.ai/blog/stablestudio-open-source-community-driven-future-dreamstudio-release">開源自家文字轉圖像模型的消費端應用程式DreamStudio</a>，開發者現在已經可以在GitHub上，從名為StableStudio的儲存庫取得平臺程式碼。</p> <p>DreamStudio是Stability AI新模型和功能的主要介面，提供用戶存取包括目前最新的SDXL圖像生成模型。當初Stability AI開發DreamStudio時，便是把該應用程式設想為一個平臺，而現在他們決定開源StableStudio，來對社群產生更大的影響力。</p> <p>開源StableStudio平臺將成為由社群驅動開發的專案，透過與更廣泛的社群合作，繼續推動平臺發展。DreamStudio將會繼續作為由Stability AI託管的StableStudio實作，官方也預告，他們即將推出具有聊天界面的版本。DreamStudio的發展，已經從過去本地優先開發，逐漸轉變為擴充套件架構，使得外部開發人員更容易參與擴展。</p> <p>雖然開源StableStudio的發展方向由社群驅動，不過，官方也表示，他們會積極地在公共儲存庫投入開發能量，並且計畫設立獎金，鼓勵社群提供改進和新功能。官方計畫將在StableStudio中加入WebGPU技術支援，以加速本地端推理，並且提供桌面安裝，以及ControlNet工具等。</p> </div></div></div>
2023/5/19 06:38作者李建興https://www.ithome.com.tw/news/156953
不只克服疫情困境更開創新商模，IT助KKday轉型B2B平臺商
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>首爾往春川方向63公里處，有座南怡島，面積不大，卻擁有宜人的四季景色，每年吸引超過200萬名遊客，這裡是韓國熱門觀光景點，更是知名韓劇《冬季戀歌》的取景地。</p> <p>2年前，這座島全面導入了一套新系統，任何旅客只要用手機就能進出入島閘道口，不需要人工介入，完全零接觸。從線上購票、獲取QR碼票卷，到入口處掃描通關，全部來自同一套系統。這項改變不僅提供更便利的旅遊方式，也成了克服疫情的關鍵因素。這套系統的開發商就是來自臺灣旅遊電商KKday。</p> <p>不只南怡島，全球超過2千家商家採用這套零接觸旅遊系統，遍及700個地點，這是KKday的資訊部門一手開發的系統。長達2年多的國境封鎖的困境中，如何突圍成了旅遊業生死存亡的關鍵，對網路旅遊平臺更是如此。從B2C服務模式，轉型成輸出技術產品的B2B模式，正是KKday能夠建立營運韌性、挺過疫情危機的關鍵。</p> <p><span style="font-size:28px;"><strong>一年內從無到有打造旅遊電商平臺</strong></span></p> <p>成立於2014年的KKday，現在是亞洲最大的旅遊電商平臺，不只活躍用戶數高達900萬戶，旅遊商品種類更超過30萬種，涵蓋全球550座城市。</p> <p>KKday首席資訊長封賜彥表示，成立時兩大目標，一是實現國際化，將服務擴展到臺灣以外地區，服務更廣泛的客群；另一個是為趕上市場變化的做法，將旅遊商品零件化，來滿足旅客多元化的需求。</p> <p>「成立時只有4名員工，我是其中之一，負責IT」他回憶說，當時的首要任務是最短時間推出旅遊電商平臺。為了迅速上線，初期系統功能要求簡單，以商品上架和網站銷售功能為主。</p> <p>成員增加為10多人後，封賜彥接著將開發團隊分為兩組，分別負責不同任務，其中一組專注於Java開發，以核心API為主；另一組專注在PHP開發，負責網站架設與供應商平臺的開發。</p> <p>由於KKday主要客群為國際旅客，如何確保系統能夠適應不同國家及地區的使用者、供應商的需求，成了他們必須優先處理的問題。例如多國語言支援、時區和貨幣轉換都是成立初期的挑戰，例如得有一套即時匯率監控機制，才能提供準確的匯率轉換計算，甚至得考慮不同時區對交易時間認定的影響。</p> <p>2015年，KKday旅遊電商網站上線後，很快就接到訂單，證明這個商業模式確實可行，更加堅定了他們繼續發展的決心。接下來更不斷擴充商品種類，瞄準更多種旅客的需求。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/KKday%20CIO-2P-%E8%87%B3%E6%B5%A9-600.png" style="width: 550px;" /></p> <p><span style="font-size: 22px;"><strong><span style="color: rgb(51, 153, 255);">KKday首席資訊長封賜彥表示，對旅遊業IT來說，技術從來不是重要問題，真正問題是商品會變化、訂單要容納各種商品，來服務不同旅客的需求。</span></strong></span><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">攝影／洪政偉</span></span></p> <p>經過幾年發展，KKday提供的旅遊配套活動零件的種類越來越多元化，從海外潛水、戶外攀岩、料理課程、私房景點，到一日遊、票券、包車旅遊、機場接駁等都有。然而，為了快速上線，KKday一開始沒有明確區分不同商品種類，導致商品管理系統所使用的資料庫結構和欄位的設計缺乏彈性，隨著上架的商品越來越多元且多樣化，這樣的結構設計限制了他們能夠提供的商品種類，也不易擴充商品的屬性欄位。</p> <p>封賜彥指出，過去設計，所有商品採用相同資料欄位設計，在某些情況下可能會造成問題，例如原本預設的商品資料欄位中，欠缺了商品需要的額外資料，無法線上搜集，團隊必須透過人工方式向客戶進行詢問，這樣來回溝通方式，不僅耗費時間，也很沒效率。</p> <p>或像特定商品的屬性機制，有時必須考慮到多種使用方式或是多個目的地的情況。例如租車服務，KKday最初的商品欄位設計只考慮單一地點，即一對一的關係，就無法支援像甲地租乙地還，這種需要兩個地點或多地點關係的商品。</p> <p>為了解決這個問題，資訊團隊花了一年改善，建立了統一的旅客規格標準，可以在訂單處理流程中容納不同商品類別所需的特殊資料，同時也調整了資料庫結構，包含能夠支援多個地點的商品服務。</p> <p>優化商品資料結構的設計，不只擴大KKday在跨境商品種類的覆蓋範圍，更在疫情期間邊境封鎖時，能夠快速跨入國內旅遊市場，上架多種區域旅遊的商品。「通過調整商品結構，已經能夠涵蓋各種複雜的商品結構，也包含國旅商品。」封賜彥表示。</p> <p>這場疫情大大衝擊KKday，最慘時期營收僅剩一成。KKday借助IT快速調整策略，轉向國旅市場，不只渡過疫情危機，疫後營收更創新高。</p> <p><span style="font-size:28px;"><strong>靠IT快速調整策略，克服疫情困境加速營運轉型</strong></span></p> <p>長久以來，KKday高度依賴供應商，才能在平臺上提供各種旅遊商品。但這些供應商多是小型商家，不像一些大型觀光或飯店業者擁有自己的IT系統，因此，KKday過去必須依賴人工處理每筆訂單。</p> <p>為了提升供應商自動化程度，2018年時，KKday資訊部門乾脆自己開發一套供應商專用的預約系統rezio。這套系統是以雲原生容器架構進行開發，具有高度擴展性，更容易客製支援不同國家或供應商的需求。</p> <p>消費者下單後，預約系統能立即產生訂單QR碼，作為入場憑證，也透過API串接，將QR碼拋轉到KKday訂單系統中，省去了人工產生和上傳QR碼所需的作業時間，消費者不用像過去得等待多天才能取得憑證。店家透過專用App掃描顧客手機的QR碼就能核銷。甚至不只管理KKday訂單，供應商也可查看和管理在其他通路上架的商品訂單和庫存。</p> <p>疫期期間，KKday還整合了電子憑證、電子閘門、自助售票機等功能到rezio系統，達到從線上購票、提供票券QR碼，到實體入口通關全流程的零接觸操作。</p> <p>有了這套系統，不只讓KKday能調整策略來應對零接觸旅遊商機，更開始跨入B2B新的商業模式，成為OMO旅遊整合方案的服務商。</p> <p><span style="font-size:28px;"><strong>結合自動化維運部署方式，來快速調度應對突發性流量需求</strong></span></p> <p>KKday成立第一天就決定全面上公雲，將所有系統和服務部署在雲端上，隨著使用人數的增加，平臺流量跟著持續成長，尤其行動App推出不到一年，流量就超過了網站，遇到旅遊旺季與行銷活動期間時，就可能出現流量暴增，對維運管理團隊帶來不小的考驗。</p> <p>「過去常發生，行銷部門沒提前與IT溝通就舉辦活動，導致活動開始後網站流量瞬間飆高而癱瘓，」封賜彥表示，以往大多由IT人員根據過往需求調整資源配置，例如增加虛擬機器數量或加大其他資源，但這樣的做法，沒辦法有效應付臨時性或突發性的調整需求。</p> <p>因此在維運管理上，KKday後來逐漸結合自動化部署方法，取代手動調整，讓程式可以根據流量多寡來自動調高或縮減VM數量，來快速因應行銷活動帶來的流量變化，「即使很難預估流量，現在也能夠在10多分鐘內反應。」封賜彥說。</p> <p>除了維運部署越來越自動化外，KKday的資訊團隊在應用軟體開發上很早就引進了敏捷思維，建立DevOps團隊，導入了CI/CD的自動化流程，以加快開發與部署的速度。不過，與其他企業的開發團隊做法不同的是，他們特意將CI和CD這兩個流程分開，而不是將它們合併在一起。</p> <p>封賜彥解釋，由於需要測試的商業項目眾多，一個功能更新可能涉及使用者和內部訂單作業等多方面問題，並且得跨不同服務團隊協作。例如供應商要新增潛水鞋給顧客，顧客得在下訂單時先輸入尺寸，再匯整給供應商事前準備。一方面，供應商服務團隊需要修改供應商資料庫的資料欄位，而前臺開發團隊則需要修改電商平臺的介面，若將CI與CD合併，供應商服務團隊開發完成後直接上線，可能會對正式環境的前臺服務產生影響。「將CI與CD分開，可以有不同的測試及上版順序過程，也能確保所有功能經過整合測試驗證後才進行部署。」他強調。</p> <p>2017年時，KKday資訊團隊中更開始設立SRE（網站可靠性工程）維運角色。封賜彥表示，雲端管理比地端更加複雜，非常仰賴程式設計的知識，所以需要有程式開發經驗的人才，但使用DevOps這個名詞，並不能完全表達其工作內容，直到SRE出現，更加明確地定義了這個角色任務，「就是讓雲端系統可以穩定且可靠。」</p> <p>KKday在2019年時進行IT組織重整，區分為技術研發處、創新研發實驗室和rezio處，分別負責RD研發、IT和rezio相關的工作。他表示，目前，在這些部門中都有各自SRE工程師，來維運和管理各自的雲端環境。</p> <p><span style="font-size:28px;"><strong>導入微服務架構，翻新現有IT架構</strong></span></p> <p>不僅如此，KKday在2018年為應對不斷增長的流量，以及越來越複雜的系統架構，決定導入微服務架構，來翻新現有IT架構。</p> <p>一般企業導入微服務，有兩種常見的服務切分方式。一個以系統功能來切分，另一個則是從商業角度來進切分。而KKday依照商業邏輯來切分微服務，確保每個微服務都能專注於特定的業務功能，更引進DDD（領域驅動設計）方法論，來幫助團隊找出商業上適合的服務元件切法方式。</p> <p>封賜彥表示，當服務功能微服務化，就變成一個業務上的服務元件，以後任何跟它的有關的服務，就可以在這個業務的微服務中來運作。「對旅遊業IT來說，技術從來不是重要問題，真正問題是，商品會變化、訂單要容納各種商品，來服務不同旅客的需求，這種商業變化，旅遊業又特別複雜，比實體商品還複雜。」他說，所以才用商業服務角度切分。</p> <p>導入微服務架構後，他們先將商品服務從原系統拆分出來，接著將商品拆分成更小的商業元件，包括商品、庫存、翻譯等。後續也完成了會員系統的分拆，僅保留預訂系統於原系統中。</p> <p>KKday目前全球會員超過700萬人，為了分析和應用龐大會員數據，建立了自己的大數據分析平臺，透過分析用戶使用行為與偏好，進一步改善營運與用戶體驗，例如分析營業額變化和市場入境旅客數據，來調整人力配置和策略。</p> <p>KKday資訊團隊對AI技術也不陌生，過去幾年，大量運用自然語言處理技術，支援人員完成商品翻譯工作，涵蓋多種語言，包括中文、英文、日文、韓文和越南文等。趁著這一波AI浪潮，他們也正在評估生成式AI，例如用OpenAI的生成式AI翻譯技術。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><span style="color:#3399ff;"><strong>KKday首席資訊長封賜彥</strong></span></p> <p>學歷：中興大學土壤環境科學所碩士</p> <p>經歷：20年旅遊電商IT經驗，曾在燦星旅遊、易飛網擔任IT主管，先後負責訂房預約系統與業務系統的開發，並有過創業經驗。過去也曾在wobibi擔任技術總監。2014年共同參與了KKday的創立，一手主導旅遊電商平臺規畫與開發，在2020年擔任首席資訊長</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>KKday</strong></p> <p>地址：臺北市內湖區新湖一路128巷15號5樓</p> <p>網址：<a href="http://www.kkday.com">www.kkday.com</a></p> <p>成立時間：2014年</p> <p>員工數：900人</p> <p>執行長暨創辦人：陳明明</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 資訊部門檔案 </span></strong></p> <p>資訊部門主管職稱：首席資訊長</p> <p>資訊部門主管姓名：封賜彥</p> <p>資訊部門名稱：創新研發實驗室</p> <p>資訊部門人數：約20多人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2015年：KKday網站上線</p> <p>2017年：KKday行動App推出上線</p> <p>2018年：導入微服務架構、開始結合數據分析做運用</p> <p>2019年：rezio預約系統推出上線、數據驅動歸因系統（DDA）正式上線、IT組織進行重整，分為技術研發處、創新研發實驗室和rezio處</p> <p>2020年：導入AI提供跨國旅遊商品語言轉譯服務</p> <p>2021年：以商家為主的KKday商城正式上線</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/kkday_cio-2p-zhi_hao_-960.jpg" width="960" height="420" alt="" title="KKday首席資訊長封賜彥　（攝影／洪政偉）" /></div></div></div>
2023/5/18 16:51作者余至浩https://www.ithome.com.tw/people/156948
Google Colab也將整合Codey模型提供AI程式開發功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布將在筆記本工具<a href="https://blog.google/technology/developers/google-colab-ai-coding-features/">Colab</a>整合Codey模型，以人工智慧技術輔助開發者編寫程式碼。Codey是以大型語言模型PaLM 2為基礎開發的衍生程式碼模型，因此開發者也能夠以自然語言向Codey提出程式碼請求，以獲得程式碼編寫協助。</p> <p>Colab是相容於Jupyter Notebook的雲端Python開發環境，用戶不須在本地進行任何設置，還能用到免費的GPU資源，並且可以簡單地將筆記本與其他人共享。Codey模型則可接收指令產生程式碼，並能夠嵌入到SDK或是應用程式中，以增加開發人員的效率，改善程式碼品質。</p> <p>Codey主要提供的功能包括程式碼完成、程式碼生成和聊天機器人。Codey可根據程式碼上下文，建議下一行程式碼，或是根據開發人員的自然語言提示生成程式碼，另外，開發人員也可以與Codey聊天機器人對話，獲得關於除錯、文件和程式碼編寫等相關資訊。</p> <p>Google針對Python和Colab用途，所訓練的輕量級版本Codey，能夠支援Colab用戶更快地編寫高品質程式碼，官方提到，Codey目前會先向美國用戶開放，並且把重點放在程式碼生成上，根據註釋或是開發者的提示，編寫整個函式，以減輕開發者編寫重複程式碼的工作。 </p> <p>可使用Codey功能的用戶，會在介面上看到生成按鈕，點按後就可輸入文字提示，並且獲得程式碼建議。開發者也可以向Codey機器人提出「如何從Google試算表匯入表格？」或是「如何過濾Pandas DataFrame？」等問題，以獲得特定任務的程式碼建議。</p> <p>除了在Colab上使用Codey模型，Google在最新的<a href="https://ithome.com.tw/news/156840">Android Studio Hedgehog</a>中，也添加了人工智慧程式碼開發助理Studio Bot，提供類似GitHub Copilot的功能，Studio Bot所使用的模型也是Codey。</p> </div></div></div>
2023/5/18 16:57作者李建興https://www.ithome.com.tw/news/156947
【資安日報】5月18日，要求受害組織作公益的勒索軟體再度出現，這次是鎖定Zimbra郵件系統而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體駭客想要劫富濟貧，要求受害者做公益來換取解密金鑰的情況，<a href="https://www.ithome.com.tw/news/151159#goodwill">1年前有個叫做GoodWill的組織</a>，受害者必須依照指示幫助窮人並公開揭露，才有機會復原檔案。而最近又有類似行徑的駭客組織出現，他們針對郵件伺服器Zimbra而來，並留下勒索訊息要求受害組織向特定的非營利組織捐款。</p> <p>針對勒索軟體「變臉（BianLian）」攻擊行動也相當值得留意，這些駭客集中心力在透過竊得的資料向受害組織勒索，並在過程中停用防毒軟體來達成竊取資料的目的。</p> <p>智慧電源插頭的漏洞竟因廠商停止支援產品維護，而無法得到相關修補！研究人員揭露Belkin第2代Wemo Mini智慧電源插頭的漏洞CVE-2023-27217，攻擊者有可能藉此發動命令注入攻擊，但開發商Belkin表示該產品生命週期已結束（EOL）而表明不予處理。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/malaslocker-ransomware-targets-zimbra-servers-demands-charity-donation/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Zimbra郵件伺服器遭到勒索軟體MalasLocker鎖定，駭客要求向非營利組織捐款換取解密金鑰</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/MalasLocker-ransom-note.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/MalasLocker-ransom-note.jpg" style="width: 300px; float: right;" /></a>資安新聞網站Bleeping Computer揭露針對郵件伺服器Zimbra而來的勒索軟體MalasLocker攻擊行動，駭客自2023年3月下旬開始出手，後續有許多受害者到Bleeping Computer及Zimbra的討論區，反映所遇到的狀況。他們表示，郵件伺服器上的郵件檔案遭到加密，而且，其共通點是駭客在這些伺服器特定路徑的資料夾裡，植入了可疑的JSP檔案，Bleeping Computer發現其中一個是以開源的Web Shell打造而成。</p> <p>資安研究團隊MalwareHunterTeam指出，駭客在加密檔案後不會更動副檔名，但是會在檔案的末端加入「檔案已被加密」的訊息，並留下勒索訊息檔案README.txt。</p> <p>特別的是，這些駭客會要求受害組織向他們指定的非營利組織捐款，以換取解密金鑰。資安業者Emsisoft看到駭客公布3家公司、169個受害組織的Zimbra組態。</p> <p><a href="https://www.bleepingcomputer.com/news/security/fbi-confirms-bianlian-ransomware-switch-to-extortion-only-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國、澳洲針對勒索軟體BianLian近期的攻擊態勢提出警告</span></strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）、澳洲網路安全中心（ACSC）發出聯合公告，指出勒索軟體駭客組織「變臉（BianLian）」採用的攻擊手法出現了變化，駭客先是透過外洩的遠端桌面連線（RDP）帳密入侵目標組織，然後部署以Go語言打造的後門程式、商用的遠端管理工具，以及用於偵察網路環境的指令碼。最終透過FTP工具、Rclone應用程式，或是藉由雲端檔案共享服務Mega外流竊得的資料。</p> <p>CISA與ACSC指出，駭客為了逃避防毒軟體偵測，他們透過PowerShell與Windows的Command Shell讓防毒軟體停止運作，並修改Windows的機碼來控制Sophos防毒軟體提供的防篡改機制。</p> <p>有別於之前的攻擊行動，這些駭客現在聚焦於將竊得的檔案當作籌碼進行勒索，未必會加密受害組織電腦裡的檔案。對此，CISA與ACSC認為，企業應加強對於遠端存取工具的管控來因應。</p> <p><a href="https://cybernews.com/security/checkmate-ransomware-victims/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體CheckMate鎖定SMB檔案共用協定而來</span></strong></a></p> <p>資安新聞網站Cybernews針對勒索軟體CheckMate近期的攻擊行動提出警告，經營此惡意軟體的駭客疑似來自俄羅斯，他們的加密貨幣錢包在今年第1季出現了數千筆收入，可能來自受害者支付的贖金。</p> <p>研究人員指出，駭客先大規模掃描網際網路，利用名為Masscan的開源工具找出缺乏保護的SMB共享資料夾，然後就會透過暴力破解的方式嘗試存取（一天50至100次），成功後利用AutoCryptor、Decryptor、ServerSmbWatcher、SmbBruteManager等工具作案，最終加密受害電腦檔案並留下勒索訊息。</p> <p><a href="https://www.mandiant.com/resources/blog/sim-swapping-abuse-azure-serial"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">部署於Azure的VM遭到鎖定，駭客濫用主控臺植入遠端管理工具進行控制</span></strong></a></p> <p>資安業者Mandiant揭露駭客組織UNC3944的攻擊行動，駭客疑似透過網釣簡訊、SIM卡挾持（SIM Swapping）的方式，取得組織Azure管理員帳號的存取權限，從而導出該租戶所有使用者的資訊，並收集Azure環境組態配置與VM資訊，甚至是加入或竄改帳號資料。</p> <p>研究人員看到駭客在成功入侵之後，利用Azure內建的診斷延伸工具CollectGuestLogs來收集情資，完成偵察後，駭客就會透過Azure環境特有的序列主控臺功能，在特定的Azure VM取得管理者權限。之後，攻擊者利用PowerShell及遠端管理工具，並部署反向SSH隧道，以便能持續存取VM。</p> <p><a href="https://blog.checkpoint.com/securing-the-cloud/malicious-vscode-extensions-with-more-than-45k-downloads-steal-pii-and-enable-backdoors/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意VSCode外掛程式恐在開發人員電腦植入遠端Shell、竊取密碼</span></strong></a></p> <p>資安業者Check Point在微軟Visual Studio Code市集VSCode marketplace上，發現3個有害的外掛程式，分別是佈景主題Darcula dark，以及python-vscode、prettiest java擴充套件。這些外掛程式的共通點在於，它們的名稱和功能看起來相當無害，但實際上都內含竊取開發者資料的功能，或是於受害電腦執行程式碼。</p> <p>其中下載量最多的是Darcula dark，該佈景主題標榜能改善Dracula程式碼在VS Code裡的顏色呈現，而能讓開發者在編寫程式碼的過程更為舒適，然而研究人員發現此佈景主題也具備竊取開發者個資的程式碼，而能收集相關資料並傳送到遠端伺服器，已被下載逾4.5萬次。上述套件研究人員於5月4日通報，微軟於14日予以下架。</p> <p><a href="https://www.facebook.com/yoxiTW/posts/pfbid0n7AwbB9s6nb91ZTmduYoDotZdJ4vpaQv1pScJRfuav6FjXQyKmj7aZ7JszzXTDJHl"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">計程車派遣服務Yoxi遭帳號填充攻擊，大量占用系統資源影響營運</span></strong></a></p> <p>5月10日計程車派遣服務Yoxi發出聲明，表示他們遭到駭客攻擊，這些駭客使用了超過200萬筆帳密資料，嘗試以帳號填充攻擊的方式登入系統，期間系統資源因大量消耗而影響營運。該公司調查後發現，他們的會員帳密資料無異常存取或遭到入侵的跡象，且攻擊者所使用的帳密資料絕大多數與Yoxi資料的不符，研判這些用於嘗試存取該平臺的帳密資料，是透過其他管道取得。</p> <p>Yoxi察覺攻擊行動後於第一時間封鎖攻擊來源，並通報臺灣電腦網路危機處理暨協調中心（TWCERT/CC）、向刑事警察局報案。該公司亦寄送簡訊，通知受影響的使用者更改密碼。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://sternumiot.com/iot-blog/mini-smart-plug-v2-vulnerability-buffer-overflow/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Belkin旗下的Wemo智慧電源插頭出現記憶體緩衝區溢位漏洞，可被用於命令注入攻擊</span></strong></a></p> <p>物聯網資安業者Sternum揭露第2代Wemo Mini智慧電源插頭漏洞CVE-2023-27217（未透露CVSS風險評分），此漏洞發生在該電源插頭提供的自訂設備名稱功能（FriendlyName），研究人員藉由逆向工程突破其名稱的字數限制，從而觸發漏洞導致記憶體緩衝區溢位，進而發動命令注入攻擊。</p> <p>值得留意的是，研究人員向製造商Belkin通報，但該公司表示此產品已進入生命週期終止階段（EOL），而不會修補上述漏洞。對此，研究人員呼籲使用者應避免直接將此設備曝露於網際網路，若要在敏感網路使用，最好採取適當的網路分段措施。</p> <p><a href="https://sec-consult.com/vulnerability-lab/advisory/multiple-vulnerabilities-in-kiddoware-kids-place-parental-control-android-app/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">家長控管App出現漏洞，恐被用於攻擊、解除管制功能</span></strong></a></p> <p>資安業者SEC Consult揭露Kiddoware家長控制應用程式Kids Place Parental Control的漏洞，一旦遭到利用，攻擊者能在此處列管的孩童安卓手機上竊取帳密資料，或是上傳任意檔案，甚至能繞過家長控管的功能。</p> <p>研究人員指出，這些漏洞大致可區分5種弱點，其中之一與該系統使用者的密碼有關，系統傳送的密碼MD5雜湊值沒有受到加鹽保護而強度不足；再者，則是透過設置孩童裝置的名稱，攻擊者可觸發網頁主控臺的跨網站指令碼（XSS）漏洞CVE-2023-29079，而能夠進行未經授權的存取；除了XSS漏洞，研究人員發現此網頁主控臺的所有請求都可能受到跨網站偽造請求（CSRF）攻擊，攻擊者若是透過瀏覽器得知設備ID，就能觸發上述漏洞（CVE-2023-29078）。值得留意的是，提供父母向孩童傳送檔案的功能，也有可能讓攻擊者將任意檔案上傳到AWS S3儲存桶，且不會掃描是否含有病毒。</p> <p>最後一個弱點是CVE-2023-28153，孩童有可能藉此暫時停用家長設下的限制，且系統不會向父母發送警示訊息。開發商獲報上述的漏洞，發布了3.8.50版App予以修補。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://storage.pardot.com/704223/1684277198bEZlDMDs/CIR_PressRelease_Final_051623.pdf"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">IT服務業者ScanSource證實遭到勒索軟體攻擊，導致系統中斷運作</span></span></strong></a></p> <p><a href="https://www.apple.com/newsroom/2023/05/app-store-stopped-more-than-2-billion-in-fraudulent-transactions-in-2022/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">蘋果2022年審核610萬個App，逾四分之一遭封殺</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/156916"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟對於受到密碼保護的壓縮檔進行檢查惹議</span></span></strong></a></p> <p><a href="https://securityaffairs.com/146029/cyber-crime/smashing-pumpkins-paid-ransom.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國搖滾樂團Smashing Pumpkins傳出對竊取未公開歌曲的駭客支付贖金</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/156887"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">【2023臺灣資安大會】經歷不雅合成照勒索事件，臺北醫學大學導入雙因素驗證因應</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/156903"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">【2023臺灣資安大會】面對下一個網路安全時代，網路防禦矩陣CDM發明人提出資安防護要有親疏遠近因應之道</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/156619"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">【2023臺灣資安大會】人才是確保國家網路安全關鍵</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156930">【5月17日】駭客利用Go語言開發的Cobalt Strike發動攻擊的情況升溫</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156905">【5月16日】財政部電子發票平臺驚傳資安漏洞，恐曝露上市櫃公司營業資料</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156877">【5月15日】誠品書店外洩個資傳出遭支持中國武統人士利用，對臺灣民眾發動心理戰</a></strong></p> </div></div></div>
2023/5/18 14:19作者周峻佑https://www.ithome.com.tw/news/156942
美國蒙大拿州政府明年起禁用TikTok、Telegram及WeChat
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://governor.mt.gov/Governors-Memo-to-CIO-Agency-Directors-Prohibiting-the-Use-of-Apps-Tied-To-Foreign-Adversaries.pdf" target="_blank">美國蒙大拿州州長Greg Gianforte周三（5/17）簽署了一項新法令</a>，將於明年1月1日起於該州網路上禁用TikTok、Telegram及WeChat等工具，原因是這些程式可能蒐集當地使用者的個資並提供給國外對手，成為美國第一個真正禁用TikTok，且禁止應用程式市集供應TikTok的州別。</p> <p>遭到禁用的行動程式包括中國字節跳動旗下的TikTok、CapCut與Lemon8，中國拼多多旗下的跨境電子商務平臺Temu，中國騰訊旗下的WeChat，以及來自俄羅斯的通訊程式Telegram。</p> <p>該州的立法機構與Gianforte擔心上述程式與國外對手關係密切，可能危及該州的安全及當地民眾的敏感資料，因而禁止政府員工於政府所發放的裝置或該州網路上執行相關程式，涵蓋手機、電腦與平板電腦，且禁令還擴及州政府的第三方供應商。</p> <p>其實Gianforte在去年12月便於該州禁用TikTok，但這次擴大到其它可能蒐集個資並供應給國外對手的其它社交程式，以保障蒙大拿民眾的個資及隱私。</p> </div></div></div>
2023/5/18 15:50作者陳曉莉https://www.ithome.com.tw/news/156944
羅技也加入DIY維修行列，將提供官方零件予iFixit
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ir.logitech.com/press-releases/press-release-details/2023/Logitech-Partners-with-iFixit-to-Advance-Circularity-Goals/default.aspx" target="_blank">電腦配件大廠羅技（Logitech）本周宣布</a>與3C產品DIY維修教學網站iFixit結盟，將提供官方零件予iFixit，協助消費者自行維修不在保固內的羅技裝置，包括滑鼠、鍵盤、耳機及遊戲控制器等。</p> <p>iFixit多年來持續提供各種3C產品的拆解與維修教學，也銷售維修工具及零件，但並未獲得各大品牌的認可，一直到<a href="https://www.ithome.com.tw/news/150353" target="_blank">歐洲</a>及<a href="https://www.ithome.com.tw/news/145811" target="_blank">美國</a>相繼大力推動消費者的維修權（Right to Repair），才使得品牌業者的態度丕變，迄今包括<a href="https://www.ithome.com.tw/news/148355" target="_blank">微軟</a>、<a href="https://www.ithome.com.tw/news/150227" target="_blank">三星</a>及<a href="https://www.ithome.com.tw/news/151682" target="_blank">Google</a>都選擇與iFixit合作，讓iFixit一舉成為上述大廠的官方零件經銷商。</p> <p>上述的iFixit既有合作夥伴主要提供手機的維修指南與零件，而羅技則是第一個加入DIY維修行列的電腦配件業者。羅技表示，該公司將提供官方零件予iFixit，並共同開發維修指南，以協助消費者自行維修特定產品。</p> <p><a href="https://zh.ifixit.com/collaborations/logitech" target="_blank">iFixit已列出</a>了各種羅技產品，從滑鼠、鍵盤、耳機、喇叭、攝影機到遊戲控制器等，率先上線的是支援 Logitech MX Master及MX Anywhere兩大熱門羅技滑鼠系列的電池與維修工具。</p> <p>iFixit可持續發展總監Elizabeth Chamberlain表示，其實過去他們便一直與羅技合作，協助羅技開發易於維修的設計，很開心現在有機會於全球供應羅技的零件，讓人們擁有的裝置能夠維持更久，減少對原物料的需求與電子垃圾數量，還給下一代一個健康的星球。</p> </div></div></div>
2023/5/18 16:01作者陳曉莉https://www.ithome.com.tw/news/156945
危機隨時都在，需持續保持警覺
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣是全世界前三大安全的國家，今年1月在民生數據網站Numbeo的全球犯罪指數列為倒數第三名，僅次於卡達和阿拉伯聯合大公國，在全球醫療照護指數名列第一，領先韓國與日本。</p> <p>不過，由於中國亟欲統一臺灣、美中對抗等地緣政治衝突因素，2021年5月經濟學人雜誌發布名為「全世界最危險的地方」封面故事報導，直指臺灣面臨的國際緊張情勢，再加上近年來中國持續對臺灣進行文攻武嚇的威脅，不僅國家資助的駭客團體發動多次網攻，中國軍機、軍艦每天都在臺灣周邊活動，去年12月26日甚至有多達71架次軍機擾臺，稍早於8月初美國前眾議院議長裴洛西訪臺之後，中國更在臺灣周邊6個海域演習，並從沿海與內陸共發射9枚飛彈，5枚落入日本的專屬經濟區，其中1枚飛過臺灣本島上空，其他4枚則分別落在臺灣北部與西南海域。</p> <p>對於臺灣而言，顯然內外呈現截然不同的安全態勢，因為許多民眾雖然也感受到網路攻擊的威脅，以及實體戰爭發生機率漸增的狀況，但整體而言，大家的工作與生活並未受到很大的衝擊。</p> <p>事實上，從今年5月1日起，政府宣布COVID-19調降為第四類傳染病，民眾能夠更安心地參加許多大型實體活動。以IT領域而言，一年一度召開的臺灣資安大會，這幾年因全民防疫得當而得以持續舉行，而在5月9日至11日進行場臺灣年度資安大型活動，總共吸引了超過1.8萬人參加，不僅呈現整個社會的運作已回復開放、正常的狀態，也突顯大家對資安現況與後續發展的確很重視。</p> <p>不過，雖然隨著實體活動的增加，有些多年來遲遲無法解決的公共安全問題，近期也浮上檯面，受到國人的重視。</p> <p>首先是交通亂象嚴重影響安全，去年新聞媒體CNN報導臺灣交通是行人地獄（living hell）後，政府部會與民代均承受龐大的輿論壓力，而開始採取更積極的改善行動。不過，要降低交通風險，需要從很多層面著手，公部門對於道路設計、基礎設施的維護與升級，必須負起更大的責任，而民眾也必須體認遵守交通規則、禮讓行人的重要性，才有可能改善危機。</p> <p>另一個近期引發大家關注的社會議題，則是臺灣的建築工程安全，以及大眾交通工具搭乘安全。在5月10日，臺中捷運發生鄰近建案塔吊吊臂掉落至軌道意外，造成1死10傷。</p> <p>這樣的悲劇原是有機會避免，施工單位當然難辭其咎，他們對於頂樓施工拆除相關裝置的作業，卻僅向臺中市交通局申請一般吊掛的交通維持計畫，而非塔吊高空作業交維計畫，若業者依規定在作業前15天申請，經相關單位會勘後核可，或許在這樣的監督與充分通報的機制把關之下，或許能阻止意外的發生或降低傷害的程度。</p> <p>另一個關鍵環節，則是臺中捷運的處理，當下偵測與應變時間只有41秒，無法阻止列車撞上掉落至軌道的吊臂。</p> <p>臺中捷運公司11日召開記者會，強調隨車員、保全全程遵守標準作業程序（SOP），表示時間太過短暫而無法及時因應，同時，也談到吊臂是掉在隔音牆、而非直接砸到軌道，因此當下沒有相關警示及觸發緊急停車，然而，後來有民代表示月臺設有緊急斷電鈕，若及時按下，也能讓列車停在站內，臺中捷運公司對此表示，若按下時，列車停在站內，的確會因此無法行進，但若列車已出發，仍會持續滑動。相關討論也引發全國關注，大家這時才知道其他中運量自動無人駕駛捷運系統均未設置月臺緊急斷電按鈕，現行的應變程序是否能及時因應這類突發狀況，也勢必要重新檢討。</p> <p>另一個令人惋惜的部分，則是站內上下列車的乘客明顯無警覺。有些人明明在月臺看到有異物突然掉落在軌道，產生很大的聲響與煙塵，卻還是上車，或許是因為信任捷運人員的處理，而沒有及早呼喊所有乘客下車避難，如果那時有乘客主動察覺事態嚴重，而趕緊呼喊大家趕快離開車廂，應該能再減少一些傷亡。</p> <p>無論是混亂危險的道路交通或是意外的大眾運輸工具事故，政府、業者、民眾都責無旁貸，才能預防憾事再度重演。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%85%AC%E5%85%B1%E5%AE%89%E5%85%A8">公共安全</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item even"><a href="/tags/%E5%9C%8B%E5%AE%B6%E5%AE%89%E5%85%A8">國家安全</a></div><div class="field-item odd"><a href="/tags/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83">臺灣資安大會</a></div></div></div>
2023/5/18 16:14作者李宗翰https://www.ithome.com.tw/voice/156946
擺脫「聚合式」架構束縛，提供「非聚合式」架構運用彈性──超融合架構2.0的興起
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1130-feng_mian_p2p3-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>憑藉具有部署、擴充與管理便利的優勢，超融合基礎架構（Hyper-converged infrastructure，HCI）產品，自2010年代初期問世以來，短短幾年之內的時間，便快速成長為企業資料中心基礎設施的主流形式，而且，也是在公有雲風潮席捲全球企業IT架構之下，少數仍能維持成長的地端（On Premise）IT基礎設施產品類型。</p> <p>不過，隨著超融合系統應用的擴大與普及，HCI應用概念本身潛藏的制約也隨之凸顯，而在近2、3年促使這個領域的兩大領導者——Nutanix與VMware，陸續引進一系列堪稱「解構」或「顛覆」既有超融合應用概念的重要轉變，一反超融合應用最基本的「結合運算與儲存資源」概念，允許將運算與儲存單元分離運用，藉此獲得更大的擴展靈活性，以及資源的使用彈性，也能更適切地因應用戶環境需求。</p> <p><span style="font-size:28px;"><strong>超融合架構的3大優勢與3大制約</strong></span></p> <p>以技術性質而言，超融合基礎架構可說是「融合式基礎架構」（Converged infrastructure，CI）這個大領域的一員，共通特色是將IT基礎架構所需的運算、儲存、網路等軟、硬體資源，整合在一個預先完成組裝、測試與調校的套件中，藉此加速用戶端的部署速度。</p> <p>而超融合基礎架構之所以能從融合式基礎架構領域脫穎而出，主要原因是提供「更深度」的部署架構「融合」，透過將運算與儲存資源結合在「一個機箱」的產品形態，從而帶來部署、擴充與管理便利性的優勢。</p> <p>如同我們前幾年超融合架構報導介紹的，HCI的基本作法，是將提供運算資源管理能力的Hypervisor虛擬化平臺，以及能夠提供儲存空間管理的儲存叢集平臺，結合在同一臺x86伺服器主機上，成為預先完成組裝、測試與調校的超融合機箱套件。</p> <p>因而超融合基礎架構的每臺機箱，就是同時含有運算與儲存資源的標準化「積木（Build Block）」單元，之後，再透過Hypervisor與儲存平臺提供的叢集功能，可如同堆疊積木般，將多臺超融合機箱組成具備高可用性的叢集。</p> <p>從部署便利性來看，超融合的優勢在於：只需將幾臺這種預先完成組裝與測試的標準化機箱節點安裝到用戶環境，就能提供IT應用環境所需的運算、儲存空間等基礎架構需求。</p> <p>以擴展性而言，超融合的優勢則在於：透過標準化機箱節點與叢集架構，促使超融合系統的規模擴充變得十分簡單，因為企業與組織只要將更多機箱節點加入超融合系統的叢集，就能擴展整個系統的效能、容量與可用性。</p> <p>用戶可以視需求，組成最小僅2、3臺節點，最大到數十臺以至數百臺節點的叢集環境，適應從邊緣環境到大規模資料中心的基礎設施需求。</p> <p>與此同時，用戶只需透過單一平臺，就能管理整個叢集的運算與儲存資源，這便是超融合的管理層面優勢。</p> <p>相較於傳統IT基礎設施的3層式架構——VM／運算伺服器∕SAN儲存設備，超融合架構可以提供更為簡便、迅速的建置方式，打造出用戶需要的IT基礎應用環境，而且，也十分易於進行擴充與管理。</p> <p>然而，隨著超融合架構應用的方式與領域逐漸擴大，原本賴以成功在企業IT廣泛應用的特性——運算與儲存資源結合在「一個機箱」，由於同時結合運算與儲存資源，雖然帶來部署與擴展的高度便利性，卻連帶產生一系列副作用，成為制約此種架構發展的最大桎梏。</p> <p><span style="color:#B22222;"><strong>運算與儲存負載間的互相干擾</strong></span></p> <p>在超融合系統的軟體堆疊中，上層的Hypervisor平臺，與底層的叢集儲存平臺，都是使用相同的叢集節點硬體來運行，導致運算與儲存兩種工作負載，互相影響彼此的資源使用。</p> <p>這種狀況影響了HCI整體系統的效能，也不利於某些應用程式的軟體授權計算——某些軟體要求用戶以叢集中所有實體處理器數量來計費，但是，在超融合架構下，儲存叢集也會耗用一部分的處理器資源，而且這些資源並不能用於其他工作負載，卻仍然計入軟體授權，形成成本的浪費。</p> <p><strong><span style="color:#B22222;">資源擴充受到「對稱式」架構的限制</span></strong></p> <p>在超融合架構下，運算與儲存資源的擴展是「對稱」或者說是「線性」的，換言之，每增加一個節點，運算與儲存資源便會同時增加。</p> <p>問題在於，用戶實際環境的擴充需求，往往是「不對稱」或「非線性」的，有時只需要儲存空間，有時只需要運算資源。</p> <p>然而，受限於超融合架構，無論用戶需求增加或減少，若要大幅擴充或調整規模時，都只能以一整臺同時含有運算與儲存資源的節點為單位，用戶將會被迫購入不需要的硬體資源與軟體授權，無法精確對應需求，不僅造成浪費，也缺乏靈活性。</p> <p><span style="color:#B22222;"><strong>儲存資源只能供內部使用</strong></span></p> <p>超融合系統自身便包含了IT基礎環境所需的運算與儲存資源，不假外求，但資源也只能供超融合系統自身使用，特別是作為核心的儲存叢集資源，只能為超融合系統上層的Hypervisor使用，即便儲存資源存在富餘，也無法將這些未使用的儲存空間轉給超融合以外的其他系統使用，導致無法有效利用閒置的資源，影響到整體資源利用率。</p> <p><span style="font-size:28px;"><strong>解開超融合架構的束縛：「非聚合式」超融合架構的誕生</strong></span></p> <p>在超融合系統「運算與儲存合一」架構的背後，潛藏著運算與儲存負載間的相互干擾、資源擴充缺乏靈活性，並影響資源利用率等問題。而隨著用戶部署規模的擴大，超融合架構潛藏的這些問題，也將隨之放大。</p> <p>雖然超融合廠商能透過不同規格的節點硬體搭配，為用戶提供多種應用取向的節點選項，例如擁有較高處理器規格、並搭載了GPU卡的高效能型節點，或是擁有較大儲存空間的高容量型節點，還有採用全快閃組態的高I/O效能行劫點等，為用戶提供不同取向的叢集組態選擇，一定程度改善了擴展彈性。</p> <p>然而，這些不同規格取向的節點，本質上，依然是「運算+儲存合一」的超融合型態，因而也仍然存在著超融合架構的先天局限。</p> <p>要克服超融合架構因「運算+儲存合一」組態所帶來的限制，解決辦法便是拆解「運算+儲存合一」的應用型態，也就是將運算節點與儲存節點彼此分離，對於既有超融合架構在效能、擴展靈活性與資源利用率等方面的種種問題，希望能藉此一舉克服。</p> <p>只要分離了運算與儲存節點，運算負載與儲存負載自然便不會彼此干擾，有利於效能的發揮；與此同時，運算節點與儲存節點也能各自獨立地擴展，不再彼此綑綁，提高了擴充靈活性；最後，獨立的儲存節點也能獨立運用，拓展了資源應用面向。</p> <p>在 HCI應用的早先時期，已經有少數超融合平臺，能夠提供一定程度的非對稱擴充性，例如Cisco HyperFlex，以及Pivot3 Acuity等。更進一步，在2016到2020年間，市場上出現徹底分離運算與儲存節點的新形態超融合產品，其中不只有新創廠商，也有老牌大廠，較具代表性的產品，有Datrium的DVX、Dell 的PowerFlex、NetApp的HCI、HPE的HCI等。為了與過去的超融合架構區隔，一些廠商把這種新架構稱為「非聚合式超融合」（Disaggregated HCI），儼然在超融合產品領域形成新的類別。</p> <p>基本上，「非聚合式超融合」產品，是由運行Hypervisor平臺的獨立運算節點，搭配運行儲存叢集軟體平臺的獨立的儲存節點組成。在軟體平臺方面，多數廠商都是以自身的叢集儲存軟體平臺，來搭配VMware ESXi。</p> <p>例如，HPE的dHCI（目前改稱Alletra Disaggregated HCI），其運作的架構，是由Nimble儲存陣列擔任儲存單元，搭配作為運算單元、運行VMware vSphere與vCenter軟體平臺DL380伺服器組成。NetApp HCI則是由運行VMware vSphere的運算節點，搭配SolidFire Element儲存平臺的儲存節點。</p> <p>對於這些「非聚合式超融合」產品來說，由於運算與儲存負載是分別由不同的節點硬體負責，自然也沒有互相干擾的問題。而且由於運算與儲存節點各自獨立，因而也沒有對稱式擴充的限制，用戶可以單獨增加運算或儲存節點，擴展靈活性更高。代價則是部署與管理複雜性略為提高，用戶必須管理更多形式的節點硬體。</p> <p class="rtecenter"><span style="font-size:36px;"><span style="color: rgb(51, 153, 255);"><strong>超融合架構1.0 vs. 超融合架構2.0</strong></span></span></p> <p class="rtecenter"><span style="color: rgb(51, 153, 255);"><span style="font-size: 28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1130-%E5%B0%81%E9%9D%A2P2%2BP3-600.jpg" style="width: 511px;" /></strong></span></span></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 20px;"><strong>相較於只能使用標準超融合節點的「超融合架構1.0」，「超融合架構2.0」的特色在於引進了「非聚合式」部署能力，既能使用標準的超融合節點，也能使用純運算節點，或是純儲存節點，兼顧兩種部署形態的優點，可視情況採取對稱式或非對稱式的資源擴充。</strong></span></span></p> <p><span style="font-size:28px;"><strong>結合「非聚合式」架構的主流超融合平臺</strong></span></p> <p>儘管「非聚合式超融合」問世的時間仍相當短，還不足以動搖既有超融合產品的地位，作為這類型產品創始者之一的NetApp HCI，已於2020年初退出市場，但它們的出現，確實直指既有超融合架構的不足，對市場形成壓力，促使超融合領域發生轉變，最顯著的證據，便是超融合平臺2大領導者VMware與Nutanix，都在近期跟隨這股趨勢而引進「非聚合式」架構。</p> <p>近乎壟斷超融合市場的2大軟體平臺——VMware的vSAN與Nutanix的AOS，都在這2、3年陸續透過一系列更新，讓自身平臺也能支援「非聚合式」架構的部署型態，例如VMware的HCI Mesh功能，Nutanix的純運算節點（Compute Only Node），以及純儲存節點（Storage Only Node）功能等。類似的，在超融合產品品牌位居領先的Dell，也為其主力超融合產品VxRail導入「非聚合式」部署型態，新增純運算功能的VxRail dynamic節點，還允許VxRail dynamic節點能整合外部儲存設備空間，提供較原有超融合架構更靈活的擴展與部署組態選擇。</p> <p><span style="font-size:28px;"><strong>以聚合式架構結合非聚合式架構，提供最大部署彈性</strong></span></p> <p>當VMware與Nutanix先後引進「非聚合式」架構後，IT業界有些人表示，此舉形同否定超融合架構的價值，顯得先前追捧HCI的人如同笨蛋。</p> <p>但我們並不如此認為，超融合架構過去在幫助整併設備、簡化部署與管理方面的作用，是貨真價實的，並不因為「非聚合式」架構出現而失去價值。但這個架構的確有些限制，存在著難以妥善對應複雜環境的問題，而後續浮上檯面的「非聚合式」架構便能作為輔助，幫助超融合架構擺脫原有的局限。</p> <p>更進一步來看，VMware與Nutanix等2大平臺雖然引進了非聚合式架構部署能力，但也沒有放棄原本的超融合架構，這兩種架構之間並不是取代關係，而是相輔相成。將超融合與非聚合式超融合這兩種部署型態，結合在同一個平臺後，能夠兼顧兩種架構的長處，為用戶提供最大的部署彈性。</p> <p>結合了運算與儲存資源的標準超融合架構，擁有最高的設備集縮比，與較低的部署門檻，只需較少的硬體就能滿足應用環境需求，採購與管理都較為簡便，能讓用戶以較小的代價與最快的速度，完成基本應用環境的建置。</p> <p>而當用戶環境隨著成長而逐漸複雜，非聚合式架構能提供更靈活的部署，與更高的效能利用率，讓用戶視應用環境的變化，適切地擴展需要的資源。</p> <p>事實上，在VMware與Nutanix這兩大平臺之前，就已經有廠商推出了可兼用於傳統的聚合式超融合，與「非聚合式超融合」部署架構的產品，例如Dell 的PowerFlex便是其中之一。</p> <p>基本上，PowerFlex可視用戶需求，採取與Hypervisor結合的超融合式部署，或以裸機部署為獨立的儲存單元，然後搭配獨立的Hypervisor主機，構成非聚合式的部署架構。此外，它還允許將聚合式與非聚合式等2種部署型態的節點，混合在同一個叢集中，為用戶提供最大的彈性。</p> <p>我們預測，這種同時允許聚合式與非聚合式部署的能力，很快就會成為超融合領域的主流型態。</p> <p><span style="font-size:28px;"><strong>超融合應用進入新階段</strong></span></p> <p>隨著VMware與Nutanix這2大超融合架構領導者，都陸續支援非聚合式架構後，也意味著超融合領域已發生徹底的「質變」，朝向「去融合」（de-Converges）的方向發展。</p> <p>因此，過去10年來的既定觀念：「超融合架構＝運算+儲存合一」，已不再適用，因為現今的超融合平臺，已能同時允許運算+儲存合一的標準超融合架構，與分離了運算與儲存節的非聚合超融合架構，讓兩種部署形態同時並存，藉此大幅擴展對各式不同用戶環境的適應性，也能進一步延續這類型產品在企業IT市場上的生命力。</p> <p>因此我們或許也可將這種新一代的超融合平臺，視為「超融合架構2.0」，象徵這個領域進入了全新的發展階段。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%BB%E5%9C%963-Nutanix.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>Nutanix的非聚合式部署架構<br /> 身為超融合架構主要創始者與領導者的Nutanix，近期開始透過新增純運算節點（Compute Only Node）與純儲存節點（Storage Only Node）等2種新節點類型，提供了分解運算與儲存單元的非聚合式部署能力。</strong><span style="font-size:14px;">圖片來源／Nutanix</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%BB%E5%9C%964-VMware.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>VMware的非聚合式部署架構<br /> 目前超融合領域市占率最高的VMware vSAN平臺，也透過後續改版而加入的HCI Mesh功能，提供了分離運算與儲存單元的非聚合式部署架構，可建立只有運算功能的叢集，然後由外部的vSAN叢集提供datastore儲存空間。</strong><span style="font-size:14px;">圖片來源／VMware</span></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B">封面故事</a></div><div class="field-item odd"><a href="/tags/%E8%B6%85%E8%9E%8D%E5%90%88%E5%9F%BA%E7%A4%8E%E6%9E%B6%E6%A7%8B">超融合基礎架構</a></div><div class="field-item even"><a href="/tags/hci">HCI</a></div><div class="field-item odd"><a href="/tags/vmware">VMware</a></div><div class="field-item even"><a href="/tags/nutanix">Nutanix</a></div><div class="field-item odd"><a href="/tags/%E8%B6%85%E8%9E%8D%E5%90%88%E6%9E%B6%E6%A7%8B20">超融合架構2.0</a></div><div class="field-item even"><a href="/tags/%E9%9D%9E%E8%81%9A%E5%90%88%E5%BC%8F%E8%B6%85%E8%9E%8D%E5%90%88%E6%9E%B6%E6%A7%8B">非聚合式超融合架構</a></div></div></div>
2023/5/18 10:31作者張明德https://www.ithome.com.tw/tech/156935
會員年營收750億的經營心法，新光三越10年數位轉型如何打造OMO購物體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>疫情終於過去，新常態帶來的數位化日常，讓零售百貨業進入更複雜的OMO競爭。百貨公司巨頭新光三越日前在一場活動中揭曉了疫後數位發展策略。新光三越數位發展部副總經理黃韻芝點出，新戰略要發展外部會員點數的生態圈及零售媒體聯播網（RMN）。好的購物體驗及會員經營，讓新光三越持續成長，也是去年營業額上看885億元歷史新高的關鍵。黃韻芝這兩項新策略，正是他們會員生態圈戰略的下一步。 </p> <p>新光三越早在2014年展開數位轉型，不過發展方向與近年數位政策截然不同。之所以有想法和能力，從OMO的角度來切入購物體驗設計及會員經營，源自於2020年，一次僅僅2個月的數位轉型衝刺。</p> <p><strong>以實體購物為尊的OMO轉型方向，竟意外成為疫情衝擊準備</strong></p> <p>2014年，新光三越開始了數位轉型。黃韻芝表示，百貨公司優勢是豐富且深度的實體購物體驗，因此，他們一開始發展OMO的策略是，用數位工具來強化實體購物體驗。</p> <p>第一步是打造會員App，但不是發展行動電商，而是採取線上強化線下的原則，用App於呈現即時實體購物資訊，例如餐廳訂位候位、停車位查詢、支付功能、折價券管理等，盡可能減低實體購物摩擦力。</p> <p>這隻App對新光三越來說是一個重要里程碑。2014年以前，只有聯名卡會員，因為沒有自己的會員系統，新光三越無法完全自主管理會員經營模式及相關數據。等到會員App問世，他們才算建立起自家會員機制，能自由嘗試不同購物模式，並蒐集更全面的會員數據。</p> <p>2014到2020年期間，新光三越陸續打造了會員數據中臺及業務數據中臺，一方面彙整商品的屬性標籤、3D建模、庫存情況，另一方面也能蒐集顧客標籤、分眾、消費行為等會員數據。黃韻芝說，當時蒐集這些數據是為了區分會員等級，來強化線下購物體驗。沒想到，用於輔助實體購物的數位建置，竟意外為突然其來的下一階段數位轉型鋪了路。</p> <p><strong>疫情顛覆數位轉型戰略，2個月內打造多種線上通路及服務，轉移營運重心</strong></p> <p>2020年疫情來襲，新光三越原本步調穩健的數位轉型被迫加速，轉型方向也不得不改為發展線上通路。自那一年2月起，許多計畫循序漸進的專案，例如擴大電子商城規模、BOPIS（Buy Online, Pickup In Store，線上下單店內取貨）、團購系統以及熟客經營系統等，都壓縮到要在短短2個月內上線。</p> <p>黃韻芝表示，之所以能快速上線，除了疫情凝聚起內部強烈的數位轉型共識，過去幾年的數位轉型建置，更為發展線上通路打下了好基礎。舉例來說，僅花11天就上線的櫃姐系統，這個個提供櫃檯人員經營熟客的系統，正是因為數位轉型前期，先完成了會員系統、電商系統及自家支付工具，才能快速建立工具來支援一對一介紹、推銷的流程標準化。</p> <p>另一個例子是電子商城skm online。短短14天，新光三越就將自家美妝電商擴大營業為綜合型電商，品項數從2萬種商品，增加到8萬種。電商品項快速翻倍的原因是，新光三越在業務中臺中，彙整了商品建模、標籤、價格等資料，手上已經有現成不同類型商品的素材和資料。</p> <p>除了購物通路，此時新光三越也開始經營新的數位行銷模式。最具代表性的做法是會員內部的點數生態圈。會員點數除了能兌換商品，也能在未來檔期兌換特殊購物體驗，例如購買限量商品或參加品酒會等。黃韻芝說，新光三越將點數作為維繫會員長期價值的行銷媒介，可以橫跨活動檔期，用來增加互動次數、消費頻率、及會員認同感，也能彈性的用於OMO零售不同消費場域。</p> <p>設計新會員體驗同時，新光三越也不忘持續優化底層IT基礎建設。最重要的一項是梳理會員資料。會員中臺建立後，前幾年累積的會員資料相當雜亂，為了發展OMO，他們重新清洗並整合了中臺內的會員資料，要求新舊會員都必須提供手機號碼，作為唯一識別方法。整合會員資料後，新光三越對會員行銷時不僅能更有效率，未來擴展到外部生態圈時，也能統一用手機號碼作為識別方法，將蒐集到的資料正確歸戶到同一會員。</p> <p>新光三越在這2個月應急所建立的線上通路，不僅在疫情期間有效帶來營收，還繼續沿用至今，這也意味著，他們的營運重心，已經從線下轉為線上線下並存，對OMO的策略也不再是線上輔助線上，而是多元通路間交互導流。疫後，他們也延續這個戰略方向，持續發展OMO零售模式。</p> <p><strong>疫後同步發展線上線下通路，下一步是擴大點數生態圈和經營RMN</strong></p> <p>疫情過後，新光三越回過頭強化線下通路經營，開始大刀闊斧改裝以全臺「店王」臺中新光三越為首的實體店面，改動上千個櫃位、引進過百個品牌，大力強調只有實體才能享受到的購物體驗。</p> <p>黃韻芝認為，好的線下購物體驗，是OMO零售不可或缺的一環，這樣才能強化通路間交互導流的效果。他舉例說明，會員從線上通路接受到行銷訊息，決定前往實體店面購物時，會利用App上的停車位、餐廳位預覽功能降低到店摩擦力。會員於店面享受購物體驗後，還會再打開App，使用累點、支付等功能，甚至直接在線上重複購買。「這就是線上線下各自發揮強項的導流模式。」她說。</p> <p>下一步，新光三越要以線上通路持續強化數位零售，主要聚焦兩大新策略，發展外部會員點數生態圈及零售媒體聯播網（RMN）。</p> <p>在疫後消費者重新回到各式消費場所後，新光三越在疫情間推出的會員點數系統，降低了自家線上線下通路導流的摩擦力，他們打算進一步拓展點數用途，從新光三越生態圈內，走到外部生態圈，與旅行社、生鮮超市、展覽空間等與百貨公司商品及體驗互補的業者合作，增加自家會員點數的使用場景，使點數能涵蓋會員生活的更多面向。這不僅能增加點數使用價值，對新光三越來說，更等於有機會掌握更多會員消費傾向。</p> <p>新光三越另一個OMO策略是零售媒體聯播網（RMN）。黃韻芝直言，「RMN是零售業下一個典範。」零售業者可以在自家線上線下通路中置入廣告版位，將廣告曝光給自家會員來獲利。新光三越RMN初步規畫，與點數發展策略一樣先聚焦內部，提供廣告版位給生態圈內的品牌發展精準行銷，將會員導流到這些品牌的線上線下通路。</p> <p>黃韻芝指出，零售業發展RMN的優勢是，零售業場域的顧客消費意願通常較高，因此，廣告曝光更容易轉換為購物行為。不僅如此，零售業者握有許多會員的銷售數據，也能用於RMN精準行銷。這些第一方會員數據可以直接連結到會員本人，也能在消費者加入會員時取得數據使用授權，避免誤觸隱私法規的風險。</p> <p>新光三越在疫情間擴大經營的電商及App，正好為RMN鋪了路。聯播網的通路人潮流量越高，廣告版位才越有價值。趁著疫情線下消費行停擺期間，新光三越快速將消費者吸引到線上通路，才能有機會將這些人流及版位變現為廣告收入及行銷機會。</p> <p>疫情前打下會員制度基礎、疫情中高速建置線上零售應用、到疫後雙雙強化線上線下通路，新光三越的數位轉型不同階段環環相扣，一切看似精心策畫，但黃韻芝認為，新光三越的數位轉型綱領，一直以來只是不忘百貨業強調購物體驗的初衷。「不論數位轉型、數據建設、還是OMO，這些只是手段，一切設計都以會員購物體驗為出發點。</p> </div></div></div>
2023/5/18 10:34作者郭又華https://www.ithome.com.tw/news/156936
擺脫既有超融合架構的束縛，提供更多樣化的部署型態組合──兩大主流HCI全面發展「去融合」
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1130-feng_mian_p4p5-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>長期以來，超融合架構在企業IT領域成功的最大優勢——「運算與儲存結合於單一機箱節點」，現在已成了進一步擴大應用情境的阻礙，雖然HCI便於部署與管理，但也帶來運算與儲存負載相互干擾、資源擴充缺乏靈活性等問題，難適應複雜環境需求。</p> <p>至於解決之道便是「去融合」化，讓超融合的運算與儲存單元能分離部署，也就是所謂的「非聚合式」超融合架構，以便更靈活、更精確地對應用戶環境的需求。</p> <p>領導超融合架構的2大平臺：VMware的vSAN與Nutanix的AOS，都在這2、3年內，藉由引進一系列新功能，提供運算與儲存單元分離部署的能力，以補原本超融合架構的不足。而由於這兩大平臺在超融合應用領域具有壟斷地位——合計擁有超過三分之二的市場占有率，當這兩大平臺出現了共同的轉變趨勢，也代表超融合領域正全面朝向「去融合」化（de-Converges）發展。</p> <p>因而，若了解VMware vSAN與Nutanix AOS的「非聚合式超融合」部署功能，也就等同於掌握這領域的去融合化發展情況。</p> <p><span style="font-size:28px;"><strong>兩大超融合應用平臺的「去融合」化進程</strong></span></p> <p>在「去融合」化的過程，Nutanix要比VMware快了一步。因為他們早在2015年中，就在原本的超融合節點產品外，推出NX-6035C「純儲存節點」（Storage Only Node），可單純提供儲存空間，而不加入Hypervisor叢集。</p> <p>接著在2019年初，Nutanix又跟著AOS 5.11版推出「純運算節點」（Compute Only Node），只用於運行虛擬化平臺，而不加入儲存叢集，再加上先前的純儲存節點，Nutanix至此算是基本實現了運算與儲存單元的分離。</p> <p>在VMware方面，直到2020年9月發布的vSAN 7 Update 1，才透過新導入的HCI Mesh功能，允許用戶建立只有運算功能的vSAN運算叢集（Compute Cluster），然後藉由掛載外部vSAN叢集的datastore來做為自身的儲存空間，初步提供了分離運算與儲存單元的分離。標準的vSAN叢集此時也能透過HCI Mesh掛載外部vSAN叢集datastore，實現跨叢集資源調度。</p> <p>到了2021年3月發布的vSAN 7 Update 2，則允許傳統vSphere叢集也能透過HCI Mesh功能，掛載遠端vSAN叢集的datastore來使用。接下來的vSAN 7 Update 3，又進一步擴展了HCI Mesh功能的連接能力。</p> <p>而在今年3月推出的vSAN 8 Update 1，VMware藉著新引進的「非聚合式儲存」（Disaggregated Storage）功能，將HCI Mesh適用範圍，擴展到vSAN 8全新的ESA儲存架構（Express Storage Architecture），以及跨遠端的拉伸式叢集（Stretched Clusters）環境中。</p> <p>至此，VMware主要的vSphere與vSAN版本，都能透過HCI Mesh功能，提供純運算叢集，以及掛載遠端vSAN datastore能力。只要是vSAN Enterprise版或Enterprise Plus版以上，就能啟用HCI Mesh功能。</p> <p><span style="font-size:28px;"><strong>兩大平臺的「去融合化」架構差異</strong></span></p> <p>經過一系列版本與功能更新後，目前的Nutanix與VMware的超融合平臺，都支援拆分運算與儲存單元的「非聚合式」部署形式，但由於基本架構有別，兩大平臺之間存在微妙的差異。</p> <p>以Nutanix而言，他們是透過新增2種新節點——「純儲存節點」與「純運算節點」，來提供運算與儲存單元分離部署與獨立擴充能力，整個部署架構是以個別節點為單位。</p> <p>VMware則只新增了「運算叢集」，搭配HCI Mesh提供的掛載遠端vSAN叢集datastore功能，來分離運算與儲存單元，整個部署架構是以叢集為單位。</p> <p>相較之下，Nutanix以個別「純儲存節點」與「純運算節點」作為擴展單位，這種作法顯然更易被理解，也更簡便。</p> <p>VMware則認為以叢集為單位，更能確保可用性的需求，若以個別純運算或純儲存節點為擴展單位，叢集將會出現無法承擔失效節點重建工作的風險。</p> <p>舉例來說，在叢集加入個別的純儲存節點，這些純儲存節點因本身集中了較多的儲存空間資源，一旦失效，叢集中其他節點可能沒有足夠儲存空間資源，來重建失效純儲存節點上的資料。</p> <p>因而VMware採用整個叢集作為HCI Mesh的運作單位，叢集內各節點的資料負載是平衡分布的，具備承受個別節點失效的韌性。</p> <p>針對這個問題，Nutanix方面也有相應的對策，以確保當「純儲存節點」與「純運算節點」加入叢集後，整個叢集具備承受這些節點失效的重建能力。</p> <p>例如當在叢集中加入純儲存節點後，必須視節點數量，相應地增加資料複製的數量與失效容限設定，最好成對地加入純儲存節點，以便叢集有足夠資源，可以因應純儲存節點失效時的資料重建需求。而在應用純運算節點時，Nutanix也對叢集中包含的純運算節點與HCI節點的比例，有一定的限制，以確保叢集擴展後仍具備足夠的失效容限。</p> <p><strong><span style="color:#B22222;">運算單元的差異</span></strong></p> <p>在分解之後的HCI運算單元方面，Nutanix與VMware採取相似的做法。</p> <p>例如，Nutanix的「純運算節點」，是省略儲存叢集相關元件與功能的節點，可將硬體的運算力都供給Hypervisor，用來運行用戶端VM與應用程式，至於VM與應用程式需要的資料儲存空間，則由Nutanix叢集中的其他HCI節點或純儲存節點來提供。</p> <p>VMware的「運算叢集」，同樣也是關閉了vSAN儲存叢集功能，因而可將叢集節點的運算資源集中供應vSphere，用來運行用戶端VM與應用程式，至於VM需要的儲存空間，則透過HCI Mesh掛載外部vSAN叢集的datastore來獲得。</p> <p>也就是說，Nutanix的「純運算節點」與VMware的「運算叢集」，基本上，都是由省略或關閉儲存叢集功能的節點構成，藉此可避開儲存叢集相關負載的干擾，把更多的運算資源保留給用戶端VM與應用程式執行。</p> <p>簡而言之，兩個HCI平臺去融合化的最大差別是：Nutanix的「純運算節點」支援多種Hypervisor平臺，包括Nutanix的AHV或VMware的ESXi，而VMware的「運算叢集」則只提供自身的ESXi。</p> <p><span style="color:#B22222;"><strong>儲存單元的差異</strong></span></p> <p>關於分拆後的HCI儲存單元，Nutanix與VMware採取完全不同的做法。</p> <p>例如，Nutanix提供「純儲存節點」，這是一種省略了運行用戶端VM能力，只保留儲存叢集功能的HCI節點。</p> <p>實際上，「純儲存節點」雖然也含有Hypervisor，但採用的是Nutanix平臺內含的AHV平臺，用戶不需要另外付費。至於「純儲存節點」當中的AHV平臺，只是為Nutanix儲存叢集的控制器VM提供運作環境而已，不能夠用於運行用戶端VM。</p> <p>因而Nutanix的「純儲存節點」不需要太高的運算資源，處理器規格與記憶體容量都可大幅降低，而這些運算資源也將集中於處理儲存叢集的I/O負載，不會被用戶端VM所干擾。</p> <p>至於VMware超融合平臺，並未提供專門的「純儲存叢集」，HCI Mesh遠端datastore掛載功能所需的datastore空間，是由標準的vSAN叢集來提供。</p> <p>相較於可提供「純儲存節點」的Nutanix，VMware的「非聚合」部署架構在儲存單元方面，可能會出現效能與成本的劣勢。</p> <p>原則上，為HCI Mesh提供遠端data store的vSAN叢集，仍具備運行用戶端VM的能力，因而有影響與干擾這些vSAN叢集I/O效能的疑慮。當然用戶可以主動停用這些vSAN叢集的用戶端VM，以便將資源集中供應vSAN服務，促使這些叢集扮演單純的「純儲存用」角色。</p> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>Nutanix的純儲存與純運算節點</strong></span></span></p> <p><span style="font-size:22px;"><span style="color:#3399ff;"><strong>提供獨立儲存空間與運算資源擴展能力，改善靈活性與成本效益</strong></span></span></p> <p><strong>目前Nutanix一共可提供3種類型的節點，可以在叢集中相互搭配使用：</strong></p> <p><strong>● 超融合節點（HCI Node）：同時擁有運算能力、記憶體與資料儲存空間，可以運行3種Hypervisor平臺，包括VMware ESXi、微軟Hyper-V，以及Nutanix自身的AHV等。</strong></p> <p><strong>● 純儲存節點（Storage Only Node）：只能運行Nutanix AHV 平臺，且只具備最低限度的運算能力與記憶體容量，但可提供大量儲存空間。</strong></p> <p><strong>● 純運算節點（Compute Only Node）：運行Nutanix AHV或VMware ESXi 平臺，只擁有最低限度資料儲存空間，但能提供較高運算能力的處理器，以及較大的記憶體容量。</strong></p> <p class="rtecenter"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%BB%E5%9C%961-Nutanix%20Arch.jpg" style="width: 600px;" /></strong></p> <p><span style="color: rgb(105, 105, 105);">｜Nutanix純運算節點與純儲存節點的應用情境｜</span><span style="color: rgb(105, 105, 105);">上圖為Nutanix提出的純運算與純儲存節點應用範例。標準的HCI節點可用於運行VM與提供儲存空間，純運算節點用於運行按處理器計費的Oracle應用程式VM，而不會將運算資源用於叢集儲存處理，以便更充分地發揮軟體授權效益，純儲存節點則專門負責提供儲存空間，不用於運行用戶端VM。</span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Nutanix</span></p> <p><strong>接下來，我們把重點放在純儲存節點與純運算節點的配置。</strong></p> <p><span style="color:#B22222;"><strong>純儲存節點</strong></span></p> <p><strong>純儲存節點有時也稱為「輕運算節點」（Light Compute Nodes），只能運行Nutanix自身AHV Hypervisor平臺，但這個Hypervisor不用於運行用戶端VM（guest VM），只為Nutanix自身控制器VM（CVM）提供運作環境。至於CVM，則是Nutanix儲存叢集核心，用於處理節點內部與對外的I/O，管理節點內部的磁碟存取，以及節點對外的節點間互連傳輸。</strong></p> <p><strong>純儲存節點的目的是為Nutanix叢集擴展儲存空間，純儲存節點的儲存空間可無縫地加入到既有叢集的儲存空間中，不僅能增加容量，也能提高I/O效能。</strong></p> <p><strong>雖然純儲存節點運行的是AHV平臺，但可相容於運行ESXi、Hyper-V與AHV平臺的Nutanix叢集環境，為這些叢集增加儲存容量。另一方面，AHV是Nutanix AOS平臺內含元件的一部分，無須另外計費，所以增加純儲存節點時，用戶無須額外支付Hypervisor費用。</strong></p> <p><strong>早先只有特定的Nutanix NX系列節點硬體可作為純儲存節點使用，然而，自Nutanix Foundation 4.1版起，所有Nutanix NX系列節點硬體，都可透過部署映像檔的方式，作為純儲存節點使用。當搭配AOS 6.1版以後使用時，用戶在擴展叢集節點時，可選擇將HCI節點轉為純儲存節點，或是將純儲存節點轉為HCI節點。</strong></p> <p><strong>另外要特別注意的是，不可將純儲存節點與「儲存重節點」（Storage Heavy Node）混淆，儲存重節點只是一種擁有較大儲存空間的HCI節點，可運行用戶端VM，與純儲存節點有本質上的區別。</strong></p> <p><span style="color:#B22222;"><strong>純運算節點</strong></span></p> <p><strong>純運算節點的目的，是為Nutanix叢集提供無縫擴展運算能力，也就是處理器與記憶體資源。</strong></p> <p><strong>一開始，純運算節點只能運行Nutanix自身的AHV Hypervisor，且不含CVM元件，只含有運行AHV所需的最低限度儲存媒體配置。自AOS 6.6.2版起，用戶也能建立運行ESXi的純運算節點，同樣也不含CVM。</strong></p> <p><strong>由於純運算節點沒有CVM，因而無法將節點內部的儲存空間加入到Nutanix叢集中，不能為Nutanix叢集提供儲存空間資源，而只能利用AHV來運行用戶端VM，至於這些用戶端VM所需的vDisk儲存空間，則可由Nutanix叢集中的其他HCI節點或純儲存節點來提供。</strong></p> <p><strong>但另一方面，由於純運算節點沒有CVM，這也意味著的所有運算資源，都只會被用在用戶端VM的應用程式上，能讓某些依照處理器核心數計費的應用程式，獲得更好的成本效益，而不會像一般HCI節點必須將相當一部分的運算能力，消耗在運行CVM上。依照Nutanix的手冊，一臺CVM至少需要使用8到12個vCPU，以及20GB以上vRAM的資源，因而純運算節點省下CVM消耗的資源後，將能讓上層的用戶端VM多出不少資源。</strong></p> <p><strong>目前所有Nutanix原廠的NX系列節點，或是其他OEM廠商的節點硬體，都可作為純運算節點使用，也能將既有的HCI節點轉為純運算節點。</strong></p> <p><strong>不過比起純儲存節點，純運算節點的部署條件相對比較嚴苛。例如純運算節點只能加入到已擁有至少3個節點的Nutanix叢集中，且該叢集中純運算節點與一般HCI節點的數量比例不能超過1比2，另外，ESXi版的純運算節點還有特別的限制，只能加入基於AHV平臺純儲存節點組成的叢集，而無法與HCI節點混合使用。</strong></p> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>VMware的HCI Mesh</strong></span></span></p> <p><span style="font-size:22px;"><span style="color:#3399ff;"><strong>提供跨叢集儲存資源共享能力，實現運算與儲存資源分離擴展</strong></span></span></p> <p><strong>從vSAN 7.0 U1開始引進、並延伸到最新vSAN 8 U1的HCI Mesh功能，可以讓用戶建立純運算功能的vSAN叢集，然後將外部vSAN叢集的datastore掛載起來，而成為本身的儲存空間。</strong></p> <p><strong>其中為其他叢集提供datastore儲存空間的vSAN叢集，被稱為HCI Mesh Server叢集。而匯入外部vSAN datastore儲存空間的叢集，則稱為HCI Mesh Client叢集。</strong></p> <p class="rtecenter"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%BB%E5%9C%962-VMware%20HCI%20Mesh.png" style="width: 600px;" /></strong></p> <p><span style="color: rgb(105, 105, 105);">｜透過HCI Mesh的運算與儲存分離部署｜藉由HCI Mesh提供的功能，用戶可以建立只提供運算能力的運算叢集（Compute Cluster），作為HCI Mesh的Client端叢集，然後由外部vSAN叢集扮演HCI Mesh Server端叢集角色，將vSAN叢集的datastore儲存空間，掛載給運算叢集作為儲存空間。</span></p> <p><span style="color: rgb(105, 105, 105);">而一般的vSAN叢集也能作為HCI Mesh的Client端叢集，透過HCI Mesh掛載外部vSAN叢集的datastore，來擴展本身的儲存空間。<span style="font-size: 14px;">圖片來源／VMware</span></span></p> <p><strong>藉由HCI Mesh這項功能，可以實現下列兩個目的。</strong></p> <p><span style="color:#B22222;"><strong>橫跨多個vSAN儲存叢集之間的datastore空間共享</strong></span></p> <p><strong>多個vSAN叢集之間，能藉由HCI Mesh的連結，匯集成一個跨叢集的儲存池，然後將某些vSAN叢集閒置的datastore空間，掛載給需要datastore空間的vSAN叢集使用。</strong></p> <p><strong>非vSAN型式的傳統ESXi叢集，現在也適用於HCI Mesh，可藉此掛載遠端的vSAN datastore空間，而且用戶還不需要為這些傳統ESXi叢集購買vSAN相關授權。就能透過HCI Mesh的遠端掛載能力，讓傳統ESXi叢集也能使用vSAN的儲存服務，</strong></p> <p><strong>利用HCI Mesh的跨叢集遠端掛載datastore能力，不僅能實現跨叢集的儲存資源調配，改善資源利用效率，同時也能突破ESXi與vSAN既有的擴展能力限制，除了叢集本身內含的datastore空間外，還能利用HCI Mesh功能，掛載其他叢集的datastore空間。</strong></p> <p><span style="color:#B22222;"><strong>實現運算、儲存分離，以及非對稱擴展</strong></span></p> <p><strong>用戶可以利用HCI Mesh建立關閉了vSAN儲存功能的「純運算用叢集」，藉此將更多運算資源用於vSphere上運行的用戶端VM，而不會消耗在vSAN上。</strong></p> <p><strong>舉例來說，一臺啟用了vSAN、基於全快閃儲存組態的ESXi主機，vSAN通常需要占用20GB至30GB或更多的實體記憶體。而這也意味著，如果這臺主機將vSAN關閉，就能讓ESXi多出20GB至30GB以上的可用實體記憶體，等於多了8至10%的記憶體資源（以伺服器典型的256GB到384GB主機記憶體容量為計算基準）。</strong></p> <p><strong>至於這些運算用叢集需要的儲存空間，則可透過HCI Mesh掛載其他vSAN叢集的datastore空間來提供。所以，這也等同於分離了運算與儲存單元。</strong></p> <p><strong>另一方面，既有的vSAN叢集，也能利用HCI Mesh掛載外部vSAN的datastore，藉此擴展自身的可用儲存空間，而不需要增加一整臺節點，這也等同於讓這些SAN叢集只擴展儲存資源，而不擴展運算能力，形同於非對稱的資源擴展。</strong></p> <p><span style="color:#B22222;"><strong>HCI Mesh的應用形式</strong></span></p> <p><strong>VMware針對HCI Mesh的應用，設想了下列幾個典型的情境：</strong></p> <p><strong>● 應用程式的重構（refactor）、需要為日誌記錄保留，提供大量額外儲存空間。</strong></p> <p><strong>● 因為組織或業務調整，導致儲存資源需求存在很大的不確定性。</strong></p> <p><strong>● 儲存擴展需求急迫，但運算資源仍有餘裕。</strong></p> <p><strong>● 啟用與部署NSX網路虛擬化，需要遷移原有叢集資料。</strong></p> <p><strong>● 業務分析作業將占用大量運算資源，以致會衝擊底層vSAN的運作。</strong></p> <p><strong>上述這4種情境都出現了臨時的額外儲存空間需求，此時，用戶可以透過HCI Mesh掛載外部vSAN叢集的datastore，來因應這些臨時性的儲存空間需求，而不需要急著為叢集增加節點。</strong></p> <p><strong>最後1種情境則是出現了臨時的額外運算能力需求，可能會影響底層vSAN服務的運作，此時也能透過HCI Mesh，改由外部vSAN叢集來提供datastore空間，免除自身叢集的vSAN服務負載，也就是將儲存服務負載，利用HCI Mesh卸載給外部vSAN叢集來承擔。</strong></p> <p><strong>值得注意的是，vSAN 7與vSAN 8在HCI Mesh功能的應用規格，略有差異。</strong></p> <p><strong>以vSAN 7平臺而言，每一個HCI Mesh Client叢集環境，最多能夠掛載5個遠端datastore，每個HCI Mesh Server叢集能為5個Client叢集提供datastore空間，而且，Client與Server叢集最多能包含64臺ESXi主機，到了vSAN 7 U2以後，增加為128臺ESXi主機。</strong></p> <p><strong>而在vSAN 8平臺方面，每一個HCI Mesh Client叢集環境，同樣最多只能掛載5個遠端datastore，Client與Server叢集同樣也能包含最多128臺ESXi主機，不過，每個HCI Mesh Server叢集，能為10個Client叢集提供datastore空間，比起vSAN 7增加一倍，能將datastore分享給更多Client端叢集使用，大幅擴充了HCI Mesh Server叢集的儲存共享規模。</strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B">封面故事</a></div><div class="field-item odd"><a href="/tags/%E8%B6%85%E8%9E%8D%E5%90%88%E5%9F%BA%E7%A4%8E%E6%9E%B6%E6%A7%8B">超融合基礎架構</a></div><div class="field-item even"><a href="/tags/hci">HCI</a></div><div class="field-item odd"><a href="/tags/vmware">VMware</a></div><div class="field-item even"><a href="/tags/nutanix">Nutanix</a></div><div class="field-item odd"><a href="/tags/%E8%B6%85%E8%9E%8D%E5%90%88%E6%9E%B6%E6%A7%8B20">超融合架構2.0</a></div><div class="field-item even"><a href="/tags/%E9%9D%9E%E8%81%9A%E5%90%88%E5%BC%8F%E8%B6%85%E8%9E%8D%E5%90%88%E6%9E%B6%E6%A7%8B">非聚合式超融合架構</a></div></div></div>
2023/5/18 10:43作者張明德https://www.ithome.com.tw/tech/156937
超融合基礎架構大轉型
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1130-feng_mian_p1-open-ming_de_-960x420_kao_bei_.jpg?itok=s_TdkGrL" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去10年以來，風行於資料中心基礎設施建置的超融合基礎架構（HCI）出現轉型，兩大領導廠商已拆解最基本的「結合運算與儲存資源」概念，資源得以更靈活、更多樣的運用，也改變產品型態，以及在資料中心扮演的角色</p> </div></div></div>
2023/5/18 10:54作者張明德https://www.ithome.com.tw/article/156939
企業為何需自己建立內部資安檢測團隊？台灣樂天網安主管以實務經驗現身說法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在多數企業裡，資安團隊大多扮演防守方角色，抵禦來自外部的攻擊，為了加強資安防護，部分企業會委托外部資安團隊擔任攻擊方，檢測企業內部是否存在安全漏洞或風險，除了委托外部團隊進行檢測，也有企業選擇建立自己的資安檢測團隊（Offensive Security Team），曾在IBM擔任軟體工程師，現在在台灣樂天擔任網路安全防禦部門經理的Peter Chi在今年臺灣資安大會中分享企業建立資安檢測團隊的重要性及實務經驗。</p> <p>Peter Chi表示，大多數企業重視資安防禦，內部資安團隊多為SoC、資安事件回應團隊，部分對內部或產品安全重視的大型企業或跨國公司，在內部建立自己的資安檢測團隊。他以個人過往的工作經驗說明資安檢測團隊，和外部團隊相比，企業資安檢測團隊為內部員工，具備駭客思維，使用相同工具，來模擬外部駭客的攻擊，協助企業改善防禦，由於時常會看到隱祕的資料，資安檢測團隊也必須堅守道德原則。</p> <p><span style="color:#B22222;"><strong>檢測產品安全、提升內部資安意識</strong></span></p> <p>然而資安檢測團隊企業內扮演什麼角色？他以產品開發流程為例，在產品設計（Design）階段，攻擊檢測團隊可以威脅建模，或是在設計階段參與討論，以攻擊方的角度來檢視設計上是否有弱點。</p> <p>傳統上，企業在產品推出之後，為了維護產品安全，委托外部安全團隊執行動態掃描、滲透測試，但是Peter Chi指出，等到產品推出才發現存在漏洞，會增加資安風險。企業若有自己的資安檢測團隊，在產品開發上游階段，產品完成開發後的驗證階段時，由檢測團隊協助驗證產品的安全性，執行動態掃描、安全測試、滲透測試等。</p> <p>不只是產品開發，他認為，資安檢測團隊在企業內也能協助內部訓練，例如員工的安全意識訓練，或是讓開發團隊瞭解如何安全開發，借助檢測團隊的攻擊方角色，讓開發人員意識到開發上原本認為不危險問題，可能遭駭客利用延伸擴大可怕的攻擊。</p> <p>資安檢測團隊也能模擬駭客的真實攻擊，進行滲透測試或紅隊演練，如同委托外部團隊的攻擊測試服務。此外，還可以負責評估眾多的資安服務，利用攻擊測試找出適合企業的資安防護服務。</p> <p>除了上述的角色及好處外，Peter Chi認為和傳統委託外部團隊測試相比，企業擁有內部的資安檢測團隊，能降低委外洩密風險、滿足法遵的要求。另外，每間企業的資安政策不同，例如對一定嚴重程度的漏洞或風險處理方式不同，企業委託外部團隊，資安政策可能產生不一致的情形，內部資安檢測團隊可避免此一問題。</p> <p><span style="color:#B22222;"><strong>內部檢測團隊降低磨合、依需求客製化測試</strong></span></p> <p>許多企業會委託外部團隊提供資安檢測服務，每次可能和不同團隊合作，由於資安檢檢測涉及企業內部機密，與委外團隊合作也存在保密問題，同時內外合作也需要磨合期，而企業也不容易累積相關經驗。</p> <p>當企業有自己的資安檢測團隊，首先是能讓不同團隊間的溝通變得容易，由於是內部團隊，在長期合作下降低磨合問題，也能增進不同團隊間信賴感，企業內部檢測團隊能夠累積相關經驗，從攻擊方的角度，協助企業的產品、內部資安防禦更好。另外，委外檢測程式碼，外部檢測團隊逆向工程，或需要讀程碼，以瞭解程式設計的邏輯，就會存在保密問題，相反地，內部檢測團隊則能配合企業內政策、公司文化，支援檢視程式碼，以及來自開發團隊的資安需求。</p> <p>另外，在委托外部單位作檢測時，企業基於維持正常營運需要或是內部政策，會要求業者不要測試或擅動某個系統或資料庫，就需要和委外業者就測試範圍反覆溝通確認，如果是針對產品檢測，外部合作業者還需要根據不同產品的特性設計檢測，需要時間熟悉每個產品特性。</p> <p>Peter Chi指出，企業委託外部業者協助檢測，實務上受限於預算有限，需要考慮執行檢測的次數及範圍，要對產品檢測，還是要對整個公司檢測，當企業有自己資安檢測團隊，相較比較熟悉每個產品特性，縮短學習曲線，內部溝通效率也能夠提升，並且配合企業的需要客製化檢測，例如針對產品測試，或對某個業務範圍作滲透測試。此外，當發現漏洞或資安風險，檢測團隊可以攻擊方思維、經驗，判定漏洞或風險的優先性。</p> <p>對於企業如何建立資安檢測團隊？他以自己過去經驗表示，一種方式是從內部員工通過訓練來培養，例如從MIS或網路相關員工選出，進行內部訓練，因為是內部員工訓練，不需要重新適應公司文化，但這個方式花費時間較長，且必需考慮到員工的韌性，能否從現有已習慣的工作轉換新的工作等等。選擇合適的訓練資源，包括OWASP、SANS，各種認證、線上課程、資安實戰演練等。</p> <p>另一方式是從外部尋找人才。Peter Chi表示，企業從外部尋找人才組成資安檢測團隊，可考量應徵者的過去工作經驗、過去服務的公司類型、擁有的證照、技能，還有應徵者是否有良好的道德意識。從外部找人才，訓練的時間可能比較少，但需要適應公司文化。</p> <p>不論從內部培訓或從外部找人才，對成員需要定出一套合格標準，例如對公司內部組織流程、規定、使用工具的熟悉，取得的證照，或是設計一套測試，界定是否符合企業資安檢測團隊的要求。</p> <p>至於何時是做檢測的最佳時機？他認為，產品推出之前或基於法遵規定一定要檢測，產品在上市後一段時間可能再作調整，建議最好每年再做一次檢測。另外，當開發上有較大更動，開發團隊認為有必要作檢測時，也能隨時依需求進行檢測。他也建議，企業最好能從開發團隊中指派一位成員，擔任和資安檢測團隊溝通的專業對口，該成員必需瞭解資安檢測術語，熟悉資安檢測及開發的共同語言，如此在開發流程中進行資安檢測才能順利進行。企業內的每個團隊、每個業務部門是否也需要專業對口，則要視公司規模及需求來決定。</p> <p>企業要進行安全檢測，往往不確定該從哪一處下手，儘管每家企業實作可能不同，他認為，應該從企業的營運模式、專業環境來看，如果銷售的產品安裝在客戶端，應在產品進行檢測，如果企業提供服務，則可從外側防火牆作測試，強化防火牆的阻擋，可緩解程式開發上的弱點。</p> <p>當檢測發現漏洞或資安風險，企業內由誰來決定是否要修補，每個企業決策系統不同，可能是業務單位主管或高層決定，由資安檢測團隊基於風險的高低給予專業上的建議，以業務發展為主，還是降低風險為主，需要審慎評估。</p> <p>資安人才從外部提供資安服務，到進入企業In-house成為安全檢測團隊一員，Peter Chi列舉幾項職涯發展的好處，例如降低過去在乙方擔任資安工程師，和客戶間的緊張關係，進入企業成為甲方後，企業內的長期工作輪轉、資源規畫，更穩定且提供更多的發展機會，例如成員運用過去的資安測試經驗，在企業內可往資安檢測團隊、資安防禦發展，或是DevSecOps、內部訓練等方向發展，對比於外部資安檢測服務，在企業內個人專業發展有更大彈性，甚至在主管鼓勵下，投入新技術的研究。</p> </div></div></div>
2023/5/18 09:06作者蘇文彬https://www.ithome.com.tw/news/156927
Visual Studio 2022 17.6效能大提升，可8倍速開啟大型解決方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟發布最新<a href="https://devblogs.microsoft.com/visualstudio/visual-studio-2022-17-6-now-available/#enterprise">Visual Studio 2022 17.6</a>，這個版本具有大量新功能，包括生產力和企業管理等功能更新。大型解決方案的啟動與關閉的速度明顯加快，而企業IT也有更方便的工具，控制組織內Visual Studio的安裝與更新。</p> <p>在這個版本，開發者將明顯感受到Visual Studio 2022應用程式的效能提升，開發團隊更新解決方案開啟功能，以及Chromium解決方案過濾器（Solution Filters），因此在大如含有11,000個專案的完整Chromium解決方案，開啟速度提升可達8倍，相當於解決方案載入時間減少了3.5分鐘，而載入Chromium解決方案所生成的快取，大約只需要30秒。</p> <p>而使用解決方案過濾器載入Chromium的63個專案，效能改進則為3倍，節省大概20秒的快取載入時間，官方表示，較小的專案，效能提升可能就不會如此明顯。同時，微軟也改進了關閉解決方案的速度，使開發者在關閉C++解決方案能夠更快一些，小型程式碼庫的速度可改進20％，而具有超過1,000個專案的大型解決方案，速度則可以提高達50％。</p> <p>Git歷史功能現在也能夠更快載入較久以前，以及提交頻率較低的檔案和資料夾，Git公開儲存庫載入檔案的效能，將能夠提高42％。另外，效能分析器（Performance Profiler）的停止收集操作，效能也獲得大幅改進，現在停止收集的速度約是之前的3.5倍，在使用快取值時，效能甚至可以加速將近15倍。</p> <p>微軟強化Visual Studio 2022的除錯功能，在17.6版本加入中斷點群組功能，開發者可以管理並組織中斷點，讓除錯、測試和故障排除更有效率。Visual Studio現在也會在除錯空間中提供更多建議，協助開發者快速除錯。Visual Studio Profiler中的檢測（Instrumentation）效能獲得提升，現在使用更少的資源，並提供更好的錯誤處理。</p> <p>在企業管理方面，Visual Studio 2022讓IT管理人員能夠更簡單地擴展企業開發環境，除了檔案共享之外，企業現在還可以在內部網路，託管和部署Visual Studio布局，以一種比共享檔案更簡單且快速的方式供用戶安裝Visual Studio。</p> <p>Visual Studio安裝程式獨立於Visual Studio，Visual Studio安裝程式可以管理Visual Studio 2017後的各個版本，從現在開始，Visual Studio 2017、2019和2022每個之後的版本，都將附帶最新的安裝程式，這些Visual Studio版本將自動安裝最新安裝程式，並且對Visual Studio進行錯誤修復和功能更新。</p> </div></div></div>
2023/5/18 08:31作者李建興https://www.ithome.com.tw/news/156933
PTC擴大永續投資布局，CAD、PLM產品未來都將朝向整合綠色設計與永續機制發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「在一個產品的生命周期中，你知道哪個階段對於產品碳足跡的影響最大？」PTC執行長Jim Heppelmann在第二天主題演講中向現場觀眾拋出了這個問題。</p> <p>隨後，他揭曉了答案：「是前期工程設計的決策階段，碳足跡的影響占了80%的比重。」</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/R0009532.JPG" style="width: 600px; height: 314px;" /></p> <p>從這個數字也反映出，企業需要思考如何以永續方式設計產品，來滿足對環境友善和新市場要求。尤其歐盟CBAM今年10月開始試行，美國最快2024年實施CCA碳關稅，以後企業商品輸入美國、歐盟，必須依據產品碳足跡排放支付碳邊境稅。這些措施衝擊到了許多行業，包括高科技製造、工業、汽車等。因此，在今年PTC大會中，除了生成式設計以外，綠色或永續設計成為了另一個受到廣泛關注的重要議題。</p> <p>許多製造業近年來都積極投入ESG永續發展，盡可能減少生產、營運和產品服務對環境足跡的影響，但Jim Heppelmann觀察到，這些企業很快都察覺到，產品設計確定之後，基本上已經決定它會有多少碳排足跡，就算之後進行減碳動作，改善效果仍有限，「關鍵還是在一開始數位環境中做出符合永續設計的決策，才能夠在以後的真實世界中取得更好的減量結果。」</p> <p>PTC永續長Catherine Kniker 在今年的會議上首次亮相，並宣布了一系列重要的策略和合作，除了簽署SBTi承諾展現淨零碳排的決心，她揭露了永續發展進一步策略，將聚焦三個關鍵領域，分別是去實體化（dematerialization）、能源效率和減少廢棄物。為了執行這個策略，他們不僅從內部發展永續實踐，還和許多客戶展開合作。她表示，目前有上百間不同規模、行業的企業用戶正使用他們的工具進行產品設計、製造和銷售，不只能夠符合永續作為，同時幫助他們降低產品足跡碳排。</p> <p>PTC同一天宣布了與工程模擬軟體商Ansys和產品成本分析業者aPriori擴大合作的消息，其中在零件材質方面，PTC的CAD產品Creo、PLM產品Windchill，將整合Ansys的材質資料庫，該資料庫可以提供各種材料碳足跡的相關數據，原本PTC在PLM產品中，就已經能夠支援碳足跡記錄，有了這個資料庫後，企業在選擇供應商材料時，能夠更早地對這些材料碳排放進行匯整和管理，使得他們能夠更有效計算和管理產品碳足跡。</p> <p>另外，透過aPriori的成本模擬分析平臺，設計師可以選擇適合的設計和使用零材料後，進行成本分析，並能夠將設計幾何形狀和製造過程數據都納入考慮，進而給出關於該產品製造成本的詳細資訊，這使得他們在設計產品時可以更快掌握該產品生產的單位成本，以及相應的碳足跡，以便更好地評估和優化產品的製造成本和對環境的影響。</p> <p>除此之外，在AI生成設計上也有結合綠色設計的相關做法。在生成式設計中，工程師或設計師可以使用生成式設計功能生成數千種可能的設計方案，並且可以在參數設定中考慮綠色的參數，比如材料可再生性等，讓AI生成出來的設計，能夠更貼近低碳的永續設計的目標。</p> <p>「我們的生成式設計的願景，就是將越來越多的參數加進設計規範中，其中包括了碳足跡，並根據這些條件下給出最佳答案，這是我們要發展的方向。」Jim Heppelmann如此說道。</p> </div></div></div>
2023/5/17 19:17作者余至浩https://www.ithome.com.tw/news/156929
擔心ChatGPT外流企業機密？第一款商用本土LLM模型亮相，支援離線部署讓對話資料不用出內網
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>華碩旗下子公司台智雲今日（5/17）發布1,760億個參數的大型語言模型福爾摩沙，號稱與ChatGPT同等級，且中文訓練資料占30%，比ChatGPT還要高許多，也具備大量臺灣知識。與此同時，台智雲也將這款模型包裝為4種企業級大型語言模型服務，其中包含可離線部署的大型語言模型地端部署解決方案，讓企業在安全合規的條件下，用自家資料微調福爾摩沙模型，打造專屬應用程式。台智雲下一步要納入其他可商用的大型語言模型（如OpenLLaMA），來提供企業更多模型選擇。</p> <p><span style="font-size:24px;"><strong>以BLOOM為基礎用3個月打造，具多國語言、寫程式和文案能力</strong></span></p> <p>台智雲技術長陳忠誠指出，這款福爾摩沙模型（Formosa Foundation Model, FFM）是以開源語言模型BLOOM為基礎，再以繁體中文和東南亞語言優化而成。這是因為，相較其他大型語言模型，BLOOM具備可商用授權，因此團隊選它來開發。</p> <p>但要打造一款大型語言模型，還得具備3大技術才行。陳忠誠解釋，其中最重要的技術是AI高效能運算（HPC）架構，由於BLOOM具有1,760億參數，非常龐大，無法用單一GPU訓練，因此需要精準切割模型，才能讓近千片GPT發揮最大效能，並利用平行運算（如下圖）來分散式訓練。他們用來訓練的AIHPC是國網中心臺灣杉2號超級電腦TWCC雲平臺。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B9%B3%E8%A1%8C%E9%81%8B%E7%AE%97.JPG" /></p> <p>其他2項技術還包括準備1.5TB、46種人類語言和13種程式語言的訓練資料，這些資料含大量（無）標註資料，另也採用指令式微調和監督式微調（SFT）技術來優化模型。</p> <p>台智雲團隊花了3個月開發，終於打造出具備臺灣本地知識的福爾摩沙模型，共有176B和7.1B參數兩種版本。陳忠誠指出，福爾摩沙模型具備多語言、寫程式和推理能力，在語言部分，不只繁體中文表現優異，可準確回答不少ChatGPT難以答對的問題，還特別加強東南亞語系的能力，為未來南向發展做準備。</p> <p>在寫程式部分，可根據自然語言問題，給出程式碼，並附上自然語言解釋，說明程式設計方法（如下圖）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%A8%8B%E5%BC%8F.JPG" /></p> <p>該模型也具備寫行銷文案和新聞稿的能力，陳忠誠還透露，先前台智雲聯手和碩推動5G O-RAN專網雲服務的新聞稿，就使用福爾摩沙模型來草擬（如下圖）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%B0%E8%81%9E%E7%A8%BF.JPG" /></p> <p>團隊也將福爾摩沙模型與開源的BLOOM本尊相比，發現福爾摩沙可給出更詳細、具體的回答，比BLOOM要優秀（如下圖）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/bloom%E6%AF%94%E8%BC%83.JPG" /></p> <p><span style="font-size:24px;"><strong>推4大企業級服務，地端部署服務提供高機敏產業新選擇</strong></span></p> <p>驗證過福爾摩沙模型的能力後，台智雲也以它為核心，推出4種企業級大型語言模型服務，稱之為AI Foundry Service（ASF）。陳忠誠解釋，取名ASF，是希望走台積電模式，就像晶圓製造一樣，透過提供完善的底層基礎服務，來讓企業在基礎上開發各種應用。</p> <p>這4種服務包括ASF Platform、ASF Shuttle、ASF Cloud和ASF Appliance。簡單來說，前兩者是大型語言模型優化（fine-tuning）服務，其中，企業有明確目標、知道要打造何種應用時，可選擇ASF Platform，來用自己的資料優化所選模型，目前台智雲提供的模型有BLOOM 176B、BLOOM 7B、福爾摩沙176B和7.1B版本。陳忠誠指出，團隊未來也將採用可商用的OpenLLaMA，來提供更多種模型版本來給企業使用。ASF Platform為無程式碼平臺，計價方式為以小時計費，用多少算多少。</p> <p>另一個大型語言優化服務是ASF Shuttle，適合沒有明確目標的企業使用。也就是說，企業可用小量資料（也就是Token，可想像為中文字字數），來進行POC驗證，找出合適的應用情境。這個服務的費用視資料量而定，企業可與其他企業一起分攤，這也是台智雲稱ASF Shuttle為共乘服務的原因。</p> <p>ASF Cloud和ASF Appliance則屬於部署和推論的服務。前者是雲端託管服務，其中的模型是完整訓練過的，可透過TWCC推論和API來供企業使用，計價方式是依用量小時計費。</p> <p>ASF Appliance比較特別，它是台智雲推出的私有雲／地端部署服務，企業可下載大型模型到地端，在地端資料中心、私有雲或搭配企業5G專網來執行LLM應用。擁有高機敏性資料的企業，就能透過這種服務，來在合規安全的環境下，執行專屬應用。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ASF%E8%AA%AA%E6%98%8E.JPG" /></p> <p>同時，台智雲也設計一個驗證應用程式Playground，來讓企業調整大型語言模型給出的回答模式。進一步來說，Playground提供溫度（即創意程度）、最大生成Token數（字數）和重複懲罰等，企業可調整這些參數，來即時查看效果。比如，企業用大型模型打造聊天機器人，希望它能給出多元、有創意的回答，就能調整溫度，來提高回答的多元性，若希望它給出中規中矩的回答，就降低其溫度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%A9%97%E8%AD%89.JPG" /></p> <p>總的來說，這些服務可視為一站式LLM工作流程，包括訓練資料整理、選擇模型進行微調（如ASF Platform或ASF Shuttle），接著以Playground來驗證模型表現，並透過雲端託管或地端部署服務，來執行LLM應用。台智雲強調，這4款服務都符合臺灣A級資安要求。</p> <p><span style="font-size:24px;"><strong>下一步要建立AI 2.0大聯盟</strong></span></p> <p>台智雲數位轉型發展處副總經理黃市民指出，台智雲目前正發展AIGC設計服務夥伴，也就是尋找可靠的AI應用廠商，扮演輔導角色，來協助無AI團隊的企業使用者，建立適合其產業場景的LLM應用。同時，台智雲也與台北市電腦商業同業公會（TCA）聯手，要成立AI 2.0大聯盟，來連結民間願意投入基礎模型與開放生態的力量，推動AI算力產業發展。</p> <p>他也透露，目前已有不少產業的大型企業採用生成式AI解決方案，橫跨醫療、法律、金融、長照、ESG和公共服務等。此外，他們也與越南一家大型電信商展開應用，要將臺灣LLM服務推廣到其他國家。</p> </div></div></div>
2023/5/17 20:05作者王若樸https://www.ithome.com.tw/news/156934
【資安日報】5月17日，駭客利用Go語言開發的Cobalt Strike發動攻擊的情況升溫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了迴避資安系統的偵測，過往駭客大肆利用滲透測試工具Cobalt Strike，後來出現改用Brute Ratel C4（BRC4）現象，而最近這樣的情況又出現了新的變化，研究人員發現利用另一款名為Geacon滲透測試工具的攻擊行動升溫，而這套軟體是有人透過Go語言改寫Cobalt Strike打造而成。</p> <p>駭客利用外流的勒索軟體Babuk原始碼打造自己的攻擊工具，這樣的情況也越來越常見，繼先前有研究人員指出已有10個勒索軟體家族藉此發展針對VMware ESXi而來的程式，又有名為RA Group駭客組織也如法砲製，打造自己的勒索軟體，並在1個星期裡就入侵了4個組織。</p> <p>針對家用路由器而來的攻擊行動，也相當值得我們留意。有研究人員揭露針對TP-Link路由器的攻擊行動，並指出駭客所採用的後門程式Horse Shell，也可能拿來感染其他廠牌的路由器。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.sentinelone.com/blog/geacon-brings-cobalt-strike-capabilities-to-macos-threat-actors/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">以Go語言打造的Cobalt Strike衍生版本遭到濫用，被用於攻擊Mac電腦</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Geacon_3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Geacon_3.jpg" style="width: 300px; float: right;" /></a>有開發人員透過Go語言重新打造滲透測試工具Cobalt Strike的Beacon元件，並將其命名為Geacon，但在開發者提供免費版本（Geacon Plus）後，傳出駭客開始將其用於攻擊Mac電腦。資安業者SentinelOne於惡意軟體分析平臺VirusTotal上，發現有人在4月5日及11日先後上傳了疑似被用於攻擊行動的惡意Geacon檔案。</p> <p>其中一個是名為Xu Yiqing's Resume_20230320.app的檔案，此為AppleScript指令碼打造的執行檔，一旦使用者開啟，此惡意酬載就會開啟履歷表PDF文件來吸引受害者注意，接著從C2伺服器下載Geacon Plus，然後執行後續的竊密行動，或是下載其他的惡意酬載。另一起攻擊行動裡，駭客假借提供中國業者網宿科技的遠距辦公程式SecureLink（SecureLink.app、SecureLink_Client），一旦受害者依照指示執行，此惡意程式就會要求使用者提供視訊鏡頭、麥克風、通訊錄、照片、系統通知的存取權限，在部分情況甚至會要求開放系統管理員的權限。</p> <p>研究人員指出，雖然許多組織在紅隊演練會採用Geacon，但他們看到最近幾個月此程式被用於攻擊行動的情況顯著增加，推測駭客很可能開始利用公開的Geacon分支版本，或是以此為基礎打造自有版本來發動攻擊。</p> <p><a href="https://blog.talosintelligence.com/ra-group-ransomware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織RA Group利用Babuk原始碼打造勒索軟體，鎖定美國與南韓組織</span></strong></a></p> <p>思科Talos威脅情報團隊揭露自今年4月下旬開始出沒的勒索軟體駭客組織RA Group，這些駭客已至少對於3個美國組織及1個南韓組織出手，這些受害組織涵蓋了保險、製造、製藥、財富管理業者。值得留意的是，這些駭客也利用了公開的勒索軟體Babuk程式碼，打造了自己的攻擊工具，若是成功加密受害組織的電腦檔案，該組織的勒索軟體會留下勒索訊息，要求受害組織3天內與駭客聯繫，否則就會洩露竊得的資料。</p> <p>與其他勒索軟體相同的是，此惡意軟體在加密檔案的過程裡，會清除資源回收筒檔案，以及磁碟陰影備份（Volume Shadow Copy）的資料，但不同的是，駭客不光是加密電腦裡的檔案，也會列舉網路上所有的共用資料夾，加密這些網路資源裡的檔案。</p> <p><a href="https://research.checkpoint.com/2023/the-dragon-who-sold-his-camaro-analyzing-custom-router-implant/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歐盟外交機關遭到中國駭客鎖定，在TP-Link路由器植入惡意程式</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Camaro-Dragon-Fig1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Camaro-Dragon-Fig1.png" style="width: 300px; float: right;" /></a>資安業者Check Point揭露中國駭客組織Camaro Dragon的攻擊行動，駭客自2023年1月，鎖定歐洲政府的外交官員而來，攻擊TP-Link家用路由器，部署帶有後門程式Horse Shell的惡意韌體，進而完全控制路由器，例如執行Shell命令、上傳或下載檔案，或是將其做為SOCKS代理伺服器，來中繼特定設備的網路連線。</p> <p>而對於初始入侵的手段，駭客疑似透過漏洞或是暴力破解入侵目標路由器，進而取得管理介面的管理員權限，並竄改路由器的韌體。</p> <p>值得留意的是，這起攻擊行動專門針對家用網路而來，而有可能讓攻擊流量因來自家用網路而被視為無害；再者，上述的後門程式不需依賴TP-Link的特定元件，研究人員認為駭客也有可能將其用於攻擊其他廠牌的路由器。</p> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/lancefly-merdoor-zxshell-custom-backdoor"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">政府機關與航空業者遭駭客組織Lancefly鎖定，散布後門程式Merdoor</span></strong></a></p> <p>資安業者賽門鐵克揭露駭客組織Lancefly的攻擊行動，該組織自2018年以來，利用名為MerDoor的後門程式攻擊東南亞、南亞國家的政府機關、航空業者、電信業者。這些駭客疑似透過網路釣魚郵件、暴力破解SSH連線帳密、找尋曝露於網際網路的伺服器漏洞等方式，來進行未經授權的存取。</p> <p>一旦成功入侵受害組織，駭客就會透過DLL側載的方式，將後門程式注入perfhost.exe或svchost.exe的處理程序，進而規避資安系統的偵測。</p> <p>值得留意的是，除了上述的Windows內建元件，駭客也可能濫用舊版的Avast、McAfee、NortonLifeLock、Sophos防毒軟體元件，或是Chrome瀏覽器元件來執行此後門程式。</p> <p><a href="https://www.fortinet.com/blog/threat-research/more-supply-chain-attacks-via-malicious-python-packages"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾30款惡意PyPI套件被用於發動供應鏈攻擊</span></strong></a></p> <p>資安業者Fortinet於今年3月下旬至4月，找到31個帶有攻擊意圖的PyPI套件，這些套件約有三分之一會執行竊資軟體（Infostealer），從開發環境的電腦盜取敏感資料，其次另有約四分之一的套件，藉由Webhook機制來偷取受害電腦的Cookie、帳號登入資訊、以及加密貨幣錢包的帳密資料。</p> <p>值得留意的是，當中套件也有執行Python指令碼後，會將受害者帶往含有惡意程式碼的URL。</p> <p><a href="https://blog.checkpoint.com/research/global-cyberattacks-continue-to-rise/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">2023年第1季臺灣遭網路攻擊次數全球最多</span></strong></a></p> <p>資安業者Check Point揭露2023年第1季的網路威脅態勢，全球組織平均1週遭到1,248次網路攻擊，較去年同期增加7%，其中成長幅度最高的是亞太地區，平均1週遭到1,835次攻擊，較去年增加16%。但值得留意的是，臺灣組織1週平均遭到3,250次攻擊，是全球攻擊最為頻繁的國家，為整體平均的2.6倍。</p> <p>而從各產業遭受攻擊的情況來看，教育與研究機構最為嚴重，各組織平均1週遭到2,507次攻擊，原因與許多機構轉換為線上教學後，難以確保其網路架構的安全；政府、軍事機構位居第2，1週平均遭到1,725次攻擊，其次為醫療保健機構的1,684次。值得留意的是，增加幅度最大的是零售業，相較於去年同期增加了49%。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://cyberdanube.com/en/multiple-vulnerabilities-in-advantech-eki-15xx-series/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研華串行設備伺服器存在漏洞，可被用於命令注入攻擊、導致記憶體溢位</span></strong></a></p> <p>資安業者CyberDanube在研華科技旗下的工業自動化設備EKI系列串行設備伺服器（Serial Device Server）上，發現CVE-2023-2573、CVE-2023-2574、CVE-2023-2575等漏洞，這些弱點涉及在通過身分驗證的命令注入，以及記憶體緩衝區溢位。</p> <p>一旦攻擊者利用上述漏洞，就有可能在作業系統層級執行任意命令，影響EKI-1524-CE、EKI-1522、EKI-1521系列的機種，CVSS風險評分皆為8.8。研華科技獲報後，發布了1.24版韌體修補上述漏洞。</p> <p><a href="https://patchstack.com/articles/critical-privilege-escalation-in-essential-addons-for-elementor-plugin-affecting-1-million-sites/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WordPress外掛程式Elementor漏洞可讓攻擊者挾持管理員帳號，百萬網站恐曝險</span></strong></a></p> <p>資安業者Patchstack揭露名為Essential Addons for Elementor的WordPress外掛程式漏洞CVE-2023-32243，攻擊者可用於提升權限，且無須通過身分驗證就能利用，從而使用網站管理員權限遠端發動攻擊。</p> <p>研究人員指出，攻擊者只要知道使用者的帳號名稱，就能藉此重設其密碼，而有可能藉此重設管理員的密碼並存取這類帳號，這項漏洞發生的原因，在於此外掛程式的密碼重設功能會直接變更指定用戶的密碼，並未驗證特定的密碼重設金鑰所致，影響該外掛程式5.4.0至5.7.1版的免費用戶，CVSS風險評分達到9.8，超過100萬網站可能曝險。開發團隊WPDeveloper獲報後，發布5.7.2版予以修補。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.mandiant.com/resources/blog/sim-swapping-abuse-azure-serial"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">部署於Azure的VM遭到鎖定，駭客濫用主控臺植入遠端管理工具進行控制</span></span></strong></a></p> <p><a href="https://www.crowdstrike.com/blog/hypervisor-jackpotting-lack-of-antivirus-support-opens-the-door-to-adversaries/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體MichaelKors針對Linux及VMware虛擬化平臺而來</span></span></strong></a></p> <p><a href="https://asec.ahnlab.com/en/52479/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體CLR SqlShell針對微軟SQL Server下手</span></span></strong></a></p> <p><a href="https://www.securityweek.com/organizations-informed-of-over-a-dozen-vulnerabilities-in-rockwell-automation-products/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">工業自動化業者Rockwell Automation修補旗下產品重大漏洞</span></span></strong></a></p> <p><a href="https://blog.cloudflare.com/introducing-constellation/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為防範使用AI過程可能曝露智慧財產或是機密，Cloudflare提供相關保護措施</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/156754"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">證照仍是學習資安基本功的主要管道，有專家打造「資安證照地圖」</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/156756"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">用證照證明自己實力之餘，更應將證照視為督促學習的最大動力</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/156755"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">打破證照誤解與迷思，資安專家帶你釐清資安證照的意義</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156905">【5月16日】財政部電子發票平臺驚傳資安漏洞，恐曝露上市櫃公司營業資料</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156877">【5月15日】誠品書店外洩個資傳出遭支持中國武統人士利用，對臺灣民眾發動心理戰</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156850">【5月12日】 2022年發生50起以上資安事故的臺灣企業比例上揚，接近四分之一</a></strong></p> </div></div></div>
2023/5/17 17:29作者周峻佑https://www.ithome.com.tw/news/156930
從近50年資安防禦重點，看網路安全變化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著網路威脅不斷演變，如今邁入2020年代，大家是否想過面對當前與未來挑戰，資安思維是否也該演進？</p> <p>為了促進大家在未來資安思維與觀念上，可以更有所想法，在CYBERSEC 2023臺灣資安大會上，網路防禦矩陣Cyber Defense Matrix（CDM）發明人Sounil Yu不僅談及他發明的CDM，同時也簡介了過去IT與網路安全的發展史，讓我們建立一些背景認知，才能更好去設想未來的資安防禦重點。</p> <h2><strong>對於企業自身資安防線不夠清楚，可運用網路防禦矩陣CDM來盤點</strong></h2> <p>關於網路防禦矩陣CDM，Sounil Yu簡單說明，普遍企業在投資資安時，相信不少公司主管都有這樣的經驗，會花很多時間與許多資安解決方案供應商溝通，他之前在美國銀行擔任首席安全科學家也是如此。</p> <p>Sounil Yu指出，在這樣的過程中，我們可能感受到，當供應商向自己推銷產品時，但我們不確定這些方案產品所提供的具體防線是在那個位置，特別是如果該供應商說自己什麼都能防護時，這並沒有幫助，因為這並不能幫助自己理解需要哪些產品。</p> <p>因此，他所發明出的網路防禦矩陣CDM，目的就是幫助我們理解產品的適用範圍。同時，他也試著花時間研究不同供應商的方案，盤點這些解決方案集中在哪些領域，並試圖瞭解為何有些構面少有資安業者提出方案。</p> <p>整體而言，對於企業看待自身防護而言，網路防禦矩陣CDM讓我們可以有更直觀的方式，去檢視自己的資安投資狀況與缺口。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%20%E7%B6%B2%E7%AB%99%E5%9C%961)%E8%BF%9150%E5%B9%B4%E8%B3%87%E5%AE%89%E9%98%B2%E7%A6%A6%E9%87%8D%E9%BB%9E%E6%BC%94%E8%AE%8A_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p>整體而言，對於企業看待自身防護而言，網路防禦矩陣CDM讓我們可以有更直觀的方式，去檢視自己的資安投資狀況與缺口。</p> <h2><strong>從過去每個十年的資安防禦演進，看2020年代的挑戰，復原與韌性能力成焦點</strong></h2> <p>對於2020年代的資安防禦態勢，他先從過去的演進開始談起。</p> <p>在1980年代，當時，網路安全的核心挑戰在於，我們不清楚買了哪些IT設備，以及支援哪些業務，因此，當時開始發展資安管理與網路掃描工具。</p> <p>同時，他也從資安與IT團隊彼此關係的角度提出觀點，指出當時IT與安全團隊之間，沒有明顯的緊張關係，因為當時根本沒有安全團隊存在。</p> <p>到了1990年代，網路世界面臨病毒的挑戰，我們看到開始有人散布病毒，入侵企業網路，以及利用不安全配置的情形，因此，資安界開始提出解決方案，包括防毒軟體、防火牆、安全配置指南，也是從這時開始，資安開始受到更多關注，並開始出現以漏洞管理為重點的專門團隊。</p> <p>然後是2000年代，產業間開始強調事件日誌管理與監控，以及入侵檢測系統（IDS）與安全資訊事件管理系統（SIEM）等方案興起，但也面對日誌與警報太多的全新挑戰。</p> <p>而這時的安全團隊也因為需要全天候監控，開始有了安全維運中心（SOC）的建立，並聚焦於威脅管理。</p> <p>近年，2010年代，由於網路攻擊已是防不勝防，我們開始懂得假設組織網路已遭入侵，這時有端點偵測與回應（EDR）、網路偵測與回應（NDR），以及事件應變（IR）的興起，也就在此時，IT團隊與資安團隊也開始分道揚鑣。Sounil Yu也以美國銀行為例，資安團隊開始從IT團對中分離出來，成為一個獨立的業務單位。「而這也類似於我們面對火災，需要消防員與消防工具的情形。」</p> <p>從上述過去幾十年資安的發展，Sounil Yu指出一個有趣的現象，在這4個十年中，資安防護的發展態勢，其實可依序對應到NIST網路安全框架（CSF）的5大核心功能，分別是：識別、保護、偵測、回應，而這也意味著，以當今2020年代的這十年而言，將是一個復原的時代，或者說是具復原力、具韌性的時代。</p> <p>畢竟，如今我們也正面臨勒索軟體攻擊，以及資料刪除惡意程式的攻擊，這種類型攻擊可說是從根本上挑戰了組織的恢復能力。但資安界該有什麼樣的解決方案，來幫助我們做到復原呢？</p> <p>因此，他在2020年提出了D.I.E.的構想，這是他從Content Delivering Network（CDN）、Docker、Serverless架構、區塊鏈等技術，以及所有與雲端相關的技術，所找出的共通特性而成，以分散式（Distributed）、不可竄改（ Immutable ）、短暫的（Ephemeral）這三大特性來思考。</p> <h3><strong>繼續閱讀：<a href="https://www.ithome.com.tw/news/156903"><span style="color:#0000FF;">面對下一個網路安全時代，網路防禦矩陣CDM發明人提出資安防護要有親疏遠近之道，才能強健復原力</span></a></strong></h3> </div></div></div>
2023/5/17 17:55作者羅正漢https://www.ithome.com.tw/news/156908
去年蘋果審核逾610萬個程式，有170萬個被打回票
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2023/05/app-store-stopped-more-than-2-billion-in-fraudulent-transactions-in-2022/" target="_blank">蘋果本周公布</a>了2022年的App Store安全稽核狀況，指出去年總計審核了超過610萬個程式，拒絕了其中的170萬個，通過審核的比例為72%。</p> <p>根據蘋果的統計，App Store團隊平均每周審核逾10萬個程式，接近90%的程式會在提交的24小時內進行審核，去年總計審核了逾610萬個程式，並有18.5萬名開發者是首次提交程式至App Store。</p> <p>行動程式要登上App Store前會面臨許多安全關卡，先是Xcode會系統性地檢查程式是否使用合法技術並符合App Store的最低要求，在開發者將程式上傳至App Store Connect之後，再檢查程式是否採用私有的APIs或含有已知惡意程式，最後才由App Review團隊來確保它符合蘋果的品質與安全標準。</p> <p>從蘋果提供的數據可看出，去年有27.8%的程式被拒於App Store門外，當中有40萬個程式是因為侵犯使用者隱私而遭拒，另有超過15.3萬個程式則是因垃圾訊息、抄襲或誤導而被打了回票，還有近2.9萬個程式則是因隱藏或未紀錄其功能而遭拒。</p> <p>此外，去年也有不少惡意程式企圖闖關，有的程式可自第三方服務來竊取使用者憑證，有的則是偽裝成無害的金融管理平臺，之後卻可變身為其它程式。蘋果去年封鎖或移除了2.4萬個相關程式。</p> <p>值得注意的是，蘋果特別強調該公司的把關，讓5.7萬個不可靠的程式未能登上App Store，這些程式雖然支援iOS與iPadOS，卻不是透過App Store散布，而是來自於其它的第三方程式市集，且它們可能危害使用者的安全及隱私。</p> </div></div></div>
2023/5/17 15:21作者陳曉莉https://www.ithome.com.tw/news/156928
【臺灣資安大會直擊】面對下一個網路安全時代，網路防禦矩陣CDM發明人提出資安防護要有親疏遠近之道，才能強健復原力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於熟悉資安領域的人來說，關於「C.I.A.」資安核心三要素：機密性（Confidentiality）、完整性（Integrity）與可用性（Availability），應該並不陌生，不過，近年來有資安專家認為，隨著技術的進步，新時代的到來，我們很可能需要重新思考只有C.I.A.是否足夠。</p> <p>在2023年的臺灣資安大會上，以提出Cyber Defense Matrix（CDM）安全模型聞名的Sounil Yu，首次在臺分享國際最新資安議題，他特別闡述了以D.I.E.輔助C.I.A.的觀點，讓大家思考未來的資安防護思維可以如何進化。</p> <p><a href="https://s4.itho.me/sites/default/files/images/( 網站圖1)DIE2020年代資安思維_攝影iThome.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%20%E7%B6%B2%E7%AB%99%E5%9C%961)DIE2020%E5%B9%B4%E4%BB%A3%E8%B3%87%E5%AE%89%E6%80%9D%E7%B6%AD_%E6%94%9D%E5%BD%B1iThome.jpg" style="width: 280px; float: right;" /></a></p> <p>關於Sounil Yu，他是前美國銀行首席安全科學家，現在是JupiterOne資安長暨研究主管，而他之前提出的CDM模型，在數年前即在國際間受到熱烈迴響，之前臺灣資安界也已關注這股潮流。</p> <p>例如，在2020年的臺灣資安大會上，戴夫寇爾<a href="https://www.ithome.com.tw/news/140095">公開介紹這款CDM模型</a>為企業組織帶來的效益，隔年臺灣資安大會，奧義智慧更是<a href="https://www.ithome.com.tw/news/144252#Cybercans">將安全模型CDM概念融入桌遊</a>，並首度在會場展示與遊玩，盼藉助遊戲方式，讓國內更懂企業資安防禦規畫。</p> <p>這次Sounil Yu在臺灣的演說中，不僅談及他在2016年發明的網路防禦矩陣CDM，同時，還將他近年在國際資安會議提出的全新資安觀念D.I.E.（分散式、不可竄改、短暫的），介紹給臺灣資安界認識，帶領大家進一步思考網路安全的未來。</p> <h2><strong>2020年代將是重視「復原」的時代，因應新世代挑戰，資安方案該如何前進？</strong></h2> <p>過去2010年代，由於網路攻擊已是防不勝防，因此我們變得更重視資安事件的回應，開始懂得假設組織網路已遭入侵，而在應對這樣的挑戰之下，資安防禦所關注的重點開始有所變化，像是端點偵測與回應（EDR）、網路偵測與回應（NDR），以及事件應變（IR）就在這時興起。</p> <p>Sounil Yu指出，從過去數十年的資安防護發展態勢來看，可依序對應到NIST網路安全框架（CSF）的5大核心功能，分別是：識別、保護、偵測、回應，如今，到了2020年代，他認為，這會是一個「復原」的時代，或者說是重視復原力、韌性的時代。</p> <p>那麼，在2020年代這十年的挑戰是什麼？解決方案是什麼？從近年的威脅來看，Sounil Yu提到了勒索軟體攻擊，以及資料刪除惡意程式，他指出，這種類型攻擊可說是從根本上挑戰了組織的恢復能力，但資安界該有什麼樣的解決方案，來幫助我們做到復原呢？</p> <p>從Sounil Yu提出的設問中，我們可能想到美國政府提到的避風港計畫，或是一寫多讀（WORM）結合不可變快照（Immutable Snapshot）的技術發展，不過，Sounil Yu所要說明的概念並非這些，而是從近年技術趨勢找出一些共通特性。</p> <p>例如，他指出，以Content Delivering Network（CDN）解決方案而言，該技術已經存在一段時間，可以幫助我們在多個不同位置分發內容，有著分散式節點等特性，其他還有像是Docker、無服務器Serverless架構、區塊鏈等技術，以及所有與雲端相關的技術。在這些不同類型技術中，他發現，這些解決方案都具有三大特性：分散式（Distributed）、不可竄改（ Immutable ）、短暫的（Ephemeral）。</p> <p>可以想見的是，這些技術的發展對於系統架構也會產生衝擊，因此，他提出了D.I.E.的構想，並說明此一概念，將幫助組織應對許多不同的安全問題，並在安全價值上發揮重要的作用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/( 網站圖3)DIE2020年代資安思維s_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%20%E7%B6%B2%E7%AB%99%E5%9C%963)DIE2020%E5%B9%B4%E4%BB%A3%E8%B3%87%E5%AE%89%E6%80%9D%E7%B6%ADs_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><strong>對於2020年代這十年我們所要面對的挑戰，Sounil Yu指出這將會是一個重視復原的時代，而如今我們也正面臨勒索軟體與Ｗipers等資料刪除程式的挑戰。</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/( 網站圖4)DIE2020年代資安思維s.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%20%E7%B6%B2%E7%AB%99%E5%9C%964)DIE2020%E5%B9%B4%E4%BB%A3%E8%B3%87%E5%AE%89%E6%80%9D%E7%B6%ADs.jpg" style="width: 600px;" /></a></p> <p><strong>Sounil Yu提出了名為D.I.E.的構想，也就是分散式（Distributed）、不可竄改（ Immutable ）、短暫的（Ephemeral）的統稱，以這些特性來思考未來的網路安全作法。</strong></p> <h2><strong>運用D.I.E概念衡量真正的保護重點，並且避免製造更多「寵物型」的重要系統與資產，才能提升復原力</strong></h2> <p>D.I.E.可帶來什麼助益？Sounil Yu表示，D.I.E.將有助於填補我們對於C.I.A.的需求。他並用上了許多比喻，希望大家能慢慢理解這個新的資安思維。</p> <p>例如，他以風險評估公式Risk = Likelihood x Impact為例，指出一旦漏洞永無止盡，威脅也將永無止盡，而且漏洞將隨著時間變得更為嚴重。但在這樣的公式下，如果能夠降低影響力，就可以降低安全風險。可以怎麼做？D.I.E.就是關鍵。</p> <p><a href="https://s4.itho.me/sites/default/files/images/( 網站圖5)DIE2020年代資安思維s.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%20%E7%B6%B2%E7%AB%99%E5%9C%965)DIE2020%E5%B9%B4%E4%BB%A3%E8%B3%87%E5%AE%89%E6%80%9D%E7%B6%ADs.jpg" style="width: 600px;" /></a></p> <p>接著，他更是將組織內的系統與資產，比喻為寵物（Pets）與家畜（Cattle），從親疏遠近的角度，讓大家思考一個組織真正需要保護的對象。</p> <p>Sounil Yu表示，關於寵物與家畜的差異，大家可以有所想像，多半寵物都有名字，主人會細心照顧與對待，這些就像身分證、個人電腦一樣：相對來看，家畜通常沒有名字，其數量多且取代性高，而且如果家禽一旦生病，可能就會直接處理掉牠，而這些就如同Docker容器、Kubernetes服務等。總而言之，Sounil Yu想要強調的是，保護寵物需要利用C.I.A.的概念，但家畜不需要。</p> <p>從他上述提及的概念來看，我們可以大略理解到，要將系統資產有所區分，只有重要的系統要以照顧寵物的方式對待，也就是以C.I.A.管理概念來盡到保護之責。這樣的道理，我們認為也與縮小攻擊面的資安觀念類似，不過這裡顯然更強調在著重於，減少重要的系統與資產。</p> <p>但問題來了，要如何有效的區分寵物或家畜？以人為判斷其重要性，並不夠客觀，因此，他指出，可具體量化的D.I.E.，將是幫助做到這方面衡量的關鍵。</p> <p>例如，以D.I.E.三要素的短暫性而言，從資產存活時間來看，若是假定存活期限設為60天，超過60天我們可是其為寵物，不到60天則視為家畜，這就是一個簡單量化方法的舉例。</p> <p>在理解寵物與家畜的差異後，我們從中又能認知到什麼？Sounil Yu指出，如果從復原能力的角度來設想，其結論就是，擁有很少寵物與許多家畜的組織，將會比擁有許多寵物的組織，來得更有韌性。</p> <p>而且，若以存活時間與數量的曲線圖來看，通常達到一定的臨界後，越具韌性的代價也會隨之越高。</p> <p>換言之，組織若要更具復原能力、更具韌性，應該要避免存活時間過長的家畜，同時也要避免製造更多重要的寵物。</p> <p>因此，他提出了對於未來資安防護的新想法。雖然，大家可能經常聽到，希望將安全深植於每個地方，但他認為，更好的選擇是，對於那些屬於「寵物」的事物，絕對要從安全設計出發，確保這些系統不會被破壞，並投入資源保護，這才是最重要的，而上述提及的CDM安全模型，也是幫助防護的關鍵參考工具；對於那些不需安全措施的系統，則需要在設計階段就考慮分散性、不可竄改性、暫時性。</p> <p>另外他也提到，將D.I.E.應用到資料的情境，以客戶資料而言，這是多數組織中所擁有最像寵物的資產，而透過隱私增強技術保護，則可將寵物的概念轉變為家畜的概念。</p> <p>特別的是，他也從資安長的角度出發，指出資安長的角色職責，其實就如同網路獸醫師的角色一般，但也要同時扮演網路寵物管控官的角色，以確保我們需要的寵物不會更多，一旦有哪些系統可能變成寵物，就要有人負責領養，企業必需有意識的去選擇。並且要記住，雖然我們都很喜歡寵物，但不要擁有比我們需要的更多的寵物。</p> <p>而在他的自身經驗中，就是將重點放在密切追蹤組織內的所有寵物，同時也會確保這些家畜的情況。</p> <p>最後，Sounil Yu表示，在更好的保護、偵測與回應能力之下，雖然可以減少惡意事件的發生，但不足以應對破壞性的威脅場景，而在下一個IT與網路安全時代中，我們恐將面臨更多不可逆轉的攻擊，這些攻擊將持續挑戰我們的復原能力，因此，最好的對策就是，對於重要系統與資產（寵物），需要C.I.A.與使用網路防禦矩陣CDM來保護，但要避免創造更多「寵物」，並藉助D.I.E的概念來促進創造「家畜」。</p> </div></div></div>
2023/5/17 15:29作者羅正漢https://www.ithome.com.tw/news/156903
手機版Bing Chat整合Widget、支援多語搜尋、跨平臺、能看懂網頁文字
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/156730" target="_blank">微軟5月初全面開放</a>大眾試用Bing Chat後，<a href="https://blogs.bing.com/search/may_2023/Continuing-to-deliver-new-AI-innovation-in-Bing-and-Edge-this-week" target="_blank">本周又再進一步宣布</a>強化手機版AI聊天機器人功能，包括整合Widget、提供情境對話及跨平臺，以及語音輸入與多語言支援等。</p> <p>微軟表示，在Bing手機版開放下載3個月以來，每日下載次數成長8倍。上周微軟則說，手機版Bing App安裝數成長4倍。</p> <p>在Bing的手機版新功能方面，將增加Widget，跨情境支援及多語言支援。微軟推出了Bing Chat widget，方便用戶將之加入到iOS及Android手機主頁上，也將支援語音輸入，很快用戶就可以透過聲控和Bing Chat互動。Bing Chat還將支援跨平臺對話，讓用戶可以在桌機與之對話後，再於手機接續對話，例如在電腦上Bing寫了一個沙拉食譜，到超市後用戶發現蘆筍賣完了，可以在手機上問它可用什麼替代。反之，對話也可以從手機接到桌機平臺。微軟並說已增加英文以外的國家及語音輸入支援，不過微軟未說明支援幾種語言。</p> <p>除了單獨的Bing Chat應用程式，這個AI助理也將整合到手機版Edge及Skype App。在手機版Edge方面，微軟說，很快Bing Chat可具備情境聊天（contextual chat）功能，即能讀懂用戶正在瀏覽什麼網頁；用戶可以就網頁內容問Bing Chat問題，或是讓它幫你做重點摘要。此外，用戶可選擇部分網頁文字，在跳出的選單中叫出Bing對話，要它執行任務，例如進一步提供來源解釋及摘要。手機版Edge Bing Chat功能很快將推向全球。最後，Skype群組聊天功能，很快將加入Bing Chat，用戶只要以@提及，就能召喚Bing出來。</p> <p>除了手機版Bing及Edge，5月微軟公布的多項新功能，包括影片及視覺化支援、社交分享、輸出聊天紀錄，以及知識卡（Knowledge Cards）等，將同時部署到桌機及手機版Bing。</p> <p>微軟會在下周5月23到25日舉行的Build開發者大會上公布更多訊息。</p> </div></div></div>
2023/5/17 13:31作者林妍溱https://www.ithome.com.tw/news/156925
另一名竊取自駕車資料的蘋果前員工遭到美國起訴
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/opa/pr/justice-department-announces-five-cases-part-recently-launched-disruptive-technology-strike" target="_blank">美國司法部本周起訴</a>了第三位企圖將蘋果自駕車商業機密、偷渡至其它公司的蘋果前員工王偉寶（Weibao Wang，譯音），但王偉寶已在遭到調查的時候飛回中國。</p> <p><a href="https://fm.cnbc.com/applications/cnbc.com/resources/editorialfiles/2023/05/16/apple-engineer-indictment.pdf" target="_blank">根據起訴書</a>，蘋果有個專門開發自治系統（Autonomous Systems）軟/硬體的專案，該專案適用於包括自駕車在內的應用，而現年35歲的王偉寶則在2016年3月進入蘋果，擔任該專案的軟體工程師。</p> <p>蘋果對於正在開發的新技術一向極為保密，該專案也不例外。在2018年4月時，蘋果全球的13.5萬名員工中，只有大約5,000名員工知道自治系統專案的存在，更只有2,700名員工有權存取該專案的資料庫，而王偉寶即是其中之一。王偉寶在任職時與蘋果簽署了保密協議，蘋果還進行了個人培訓，指導王偉寶如何處理機密材料，也告知不得轉讓與傳輸蘋果知識財產權的規定。</p> <p>王偉寶為註解團隊的工程師，該團隊專門開發可加速或強化註解實體世界物件的演算法。不過，王偉寶在2017年11月時便同意加入一家正在開發自駕車的新公司，該公司的總部位於中國，並於美國設有子公司，但王偉寶一直到4個月之後才向蘋果遞出辭呈，於4月16日離職。</p> <p>然而，蘋果在5月稽核該公司網路的存取歷史紀錄時，發現王偉寶在離職的前幾天曾經存取了大量的機密資料，因而向執法機關報案，FBI探員在6月27日搜索了王偉寶的美國住處，找到他自蘋果盜走的大量資料。此外，王偉寶還向探員表示並沒有離境計畫，卻在當天就購買了單程機票飛往中國。</p> <p>這已是第三位企圖偷竊自駕車商業機密的蘋果前員工，前有張小朗（<a href="https://www.ithome.com.tw/news/152654" target="_blank">Xiaolang Zhang</a>，譯音）與陳紀中（<a href="https://www.nbcbayarea.com/news/local/another-apple-engineer-accused-of-stealing-autonomous-vehicle-trade-secrets/3310/" target="_blank">Jizhong Chen</a>，譯音），這兩位都曾是蘋果的硬體工程師，且都已被逮捕。</p> <p>王偉寶被控6項有關竊取商業機密的罪行，若被定罪最高將面臨10年的刑期及25萬美元的罰款。</p> </div></div></div>
2023/5/17 13:45作者陳曉莉https://www.ithome.com.tw/news/156926
蘋果即將推出認知輔助功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2023/05/apple-previews-live-speech-personal-voice-and-more-new-accessibility-features/" target="_blank">蘋果本周宣布</a>，將在今年稍晚推出新的輔助（Accessibility）功能與工具，以讓各種生活不便的人更容易使用蘋果裝置。計畫推出的新工具包括Assistive Access、Live Speech、Personal Voice與Point and Speak等。</p> <p>其中，Assistive Access專為具備認知障礙的使用者所設計，支援iPhone與iPad。該功能主要是整合了相關裝置上的核心功能，包括把電話及FaceTime整合成單一通話程式，並提供客製化的訊息、相機、照片及音樂體驗。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0517-apple-Assistive%20Access.png" style="width: 400px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_蘋果</span></span></p> <p>因此，Assistive Access不僅擁有高對比的按鍵及大型的文字標籤介面，使用者或照顧者還可打造客製化的使用工具。例如在訊息中採用只有表情符號的鍵盤，以及提供可錄製影片訊息以與親友分享的選項；也可選擇採用視覺化的主畫面及程式布局，或是文字化的欄位布局。</p> <p>而Live Speech則專門替瘖啞人士或逐漸喪失語言能力的使用者所打造，支援iPhone、iPad與Mac。使用者可先行利用打字寫下他們想說的話，之後即可在電話、FaceTime或與親友在現場對話的期間，由系統朗誦這些文字。亦能儲存常用語句，以於與親友聊天時快速套用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0517-apple-Live%20Speech.png" style="width: 400px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p>另外的Personal Voice則可用來創造與使用者聲音相似的語言，支援iPhone與iPad，系統會要求使用者唸出一系列的語句，並利用機器學習來模擬使用者的聲音。之後即可搭配Live Speech使用，以自己的聲音朗誦事先準備的文字。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0517-apple-Personal%20Voice.png" style="width: 202px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p>Point and Speak則是替視覺障礙用戶所設計，它內建於iPhone與iPad中的放大鏡（Magnifier）程式中，利用相機程式及光學雷達掃描儀，以根據使用者手指的移動讀出文字，當搭配放大鏡中的人物偵測、門偵測或圖片描述等功能時，將更能協助使用者掌握周遭環境。</p> </div></div></div>
2023/5/17 12:55作者陳曉莉https://www.ithome.com.tw/news/156924
社群公認當前Go開發最大挑戰是編寫錯誤處理程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://go.dev/blog/survey2023-q1-results">程式語言Go官方調查社群內，對近期語言改動的意見</a>，發現目前Go開發者的主要挑戰是錯誤處理與編寫最佳實踐程式碼，另外，官方也注意到模組難以維護的問題。</p> <p>過去Go最被開發者詬病，甚至有<a href="https://www.ithome.com.tw/news/137129">高達8成受訪者不滿意的缺點—缺乏泛型（Generics）</a>，在<a href="https://www.ithome.com.tw/news/148469">Go 1.18正式推出泛型後</a>，抱怨的聲音已經逐漸消失，儘管社群內對官方所提供的泛型有各種意見，但是泛型現在已經不是開發者在使用Go上最主要的挑戰。</p> <p>在最新的開發者大調查中，顯示當前社群認為Go開發最大的困難在於錯誤處理（Error Handling），不少開發者回饋Go的錯誤處理程式碼過於冗長，官方提到，這樣的回應單就字面上來看，代表著開發者對於編寫重複的錯誤處理程式碼感到無聊或是過於繁瑣，探究其背後的意義，也可能表示錯誤處理會影響開發者的除錯能力。官方引用開發者的意見，提到現階段的錯誤處理，可能會造成混亂，如果處理不恰當，反而會掩蓋真正的問題。</p> <p>另一個Go開發者的挑戰是寫出最佳實踐程式碼。Go是一個易學難精的程式語言，在之前的調查中，有超過70％的受訪者認為，學習使用Go第一年就能很有效率的開發，但是學習Go的最佳實踐，卻也是Go開發者的主要挑戰之一。</p> <p>受訪者認為，Go沒有良好的最佳實踐文件，缺乏程式碼結構、推薦工具以及函式庫使用等相關紀錄，這使得初學者和團隊很難保持程式碼的一致性。對於想學習寫出符合Go慣用語法程式碼的開發者，增加了不少難度，尤其是對習慣其他程式語言開發範式的人來說更是如此。</p> <p><a href="https://www.ithome.com.tw/news/125500">Go 1.11的時候加入了模組的概念（Module）</a>，模組雖然為開發者帶來許多程式開發的便利性，但是維護模組的工作本身，對模組開發者卻不怎麼友善。Go官方2023年計畫對模組維護者進行研究改進套件生態，因此在這次的大調查中，也進一步了解模組維護者目前面臨的挑戰。</p> <p>而調查結果顯示，模組維護者認為目前最大的挑戰，是維持相依性更新以及版本控制方面的困難，像是避免、辨識和掌握引入重大更改的時機，官方承諾，他們將基於這些意見，制定改進策略。</p> </div></div></div>
2023/5/17 13:00作者李建興https://www.ithome.com.tw/news/156918
微軟連用戶以密碼保護的壓縮檔都能檢查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://infosec.exchange/@threatresearch/110373860063222707#" target="_blank">研究人員發現</a>微軟的SharePoint現在可以掃瞄平臺上的Zip檔，即使檔案啟用密碼防護。</p> <p>安全研究人員Andrew Brandt日前因為工作之故，將惡意程式樣本壓縮成Zip並啟動密碼為「infected」的保護，欲上傳公司SharePoint的資料夾分享給同事。他不久後接到傳送失敗的系統通知，理由是偵測到有惡意程式。研究人員說，過去這種方法都行得通，顯然微軟現在更積極掃瞄用戶以密碼保護的檔案。他雖然理解微軟是為了安全考量，但這種作法不但有刺探性，也限制了安全研究的空間。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0517-microsoft%20zip%20file%20scan%20by%20%20Andrew%20Brandt.png" style="width: 500px;" /></p> <p><a href="https://infosec.exchange/@threatresearch/110373860063222707#" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Andrew Brandt</span></span></a></p> <p>安全專家Kevin <span style="font-size: 13px;">Beaumont</span>相信，這是這名用戶使用的密碼不夠安全所致，因為微軟產品具有一個密碼列表能在傳送檔案時執行掃瞄，它還會從傳送的信件中截取出密碼。Beaumont指出，在Windows中加密Zip檔的ZipCrypto技術只能提供相當基本的加密保護，至少要使用AES-256加密才夠安全。就安全研究而言，他也建議不要在微軟平臺上進行研究。</p> <p>微軟之所以提高對檔案的檢查意圖也其來有自。愈來愈多駭客濫用密碼保護，透過SharePoint及雲端硬碟服務傳送惡意程式感染用戶。例如<a href="https://www.ithome.com.tw/news/156142" target="_blank">有研究人員發現</a>駭客組織Mustang Panda將有密碼保護的壓縮檔上傳Google Drive以躲避掃瞄，<a href="https://www.ithome.com.tw/news/156830" target="_blank">北韓駭客組織Kimsuky則引誘</a>受害者到OneDrive下載以密碼保護的惡意Word檔。</p> <p>Google對<a href="https://arstechnica.com/information-technology/2023/05/microsoft-is-scanning-the-inside-of-password-protected-zip-files-for-malware/" target="_blank">《Ars Technica》</a>聲稱，Google Workspace並不會掃瞄密碼保護的檔案，但一旦信件中挾帶此類檔案，Gmail的確會將之標示出來提醒用戶小心。</p> </div></div></div>
2023/5/17 10:58作者林妍溱https://www.ithome.com.tw/news/156916
如何應對ChatGPT掀起的生成式AI技術風潮？PTC首度揭露未來生成式設計的發展方向
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【美國波士頓直擊】為了應對ChatGPT的風潮，在LiveWorx大會第二天一場全球媒體採訪中，PTC執行長Jim Heppelmann首度揭露了更多關於3D CAD設計的AI戰略。與其競争對手SolidWorks做法不同，PTC將採用以3D資訊作為輸入，直接生成3D設計圖作為輸出的生成運作模式，而非依靠自然語言提出需求，作為未來生成式設計（Generative Design）的發展方向。</p> <p>ChatGPT的熱潮席捲全球，不只展現了生成式AI技術在對話應用的突破性發展，更擴展到了設計領域，一些AI新創或公司開始推出或發展自己的3D模型生成工具，甚至還有3D CAD大廠SolidWorks要發展設計界ChatGPT，讓使用者用自然語言提需求，就能生成3D CAD設計圖。</p> <p>不過，對此，Jim Heppelmann則持有不同的看法，他主張，使用者輸入的內容應該是3D資訊，而不是自然語言文本。他進一步解釋，OpenAI的ChatGPT雖然能夠僅通過文本來生成各種長度的文本，但在3D生成方面，很難僅用一段文字描述來準確表達3D零件特徵和輪廓，就像操作CAD設計出精密3D幾何圖形那樣。</p> <p>「事實上要真正表達3D的唯一方式就是在3D環境中」他說道。在PTC的CAD產品中，他們很早就使用AI技術來提供生成式設計功能，他以3D CAD軟體Creo作為例子，使用者先提供一個3D建模概念，然後AI根據這個概念生成符合設計需求的設計，「這是真正的生成式3D，就是3D輸入即3D輸出」，與對話式的ChatGPT運作方式不同，但它仍然是基於AI的生成式技術。</p> <p>這也透露了PTC未來生成式設計的發展方向，與競爭對手明顯不同，PTC將採用以3D資訊作為輸入，直接生成3D設計圖作為輸出的生成運作模式，而不是依賴自然語言提出需求進行設計生成<span style="color: rgb(55, 65, 81); font-family: Söhne, ui-sans-serif, system-ui, -apple-system, "Segoe UI", Roboto, Ubuntu, Cantarell, "Noto Sans", sans-serif, "Helvetica Neue", Arial, "Apple Color Emoji", "Segoe UI Emoji", "Segoe UI Symbol", "Noto Color Emoji"; font-size: 16px; white-space: pre-wrap; background-color: rgb(247, 247, 248);">。</span>。</p> <p>然而，要使用3D資訊來提出需求並生成3D設計圖，就需要一套相應的工具。面對這個問題，Jim Heppelmann有些猶豫地說：「我不確定是否應該宣布，但我還是告訴你吧。」接著他說：「我們計畫在Onshape（純雲CAD軟體）的免費版本中增加生成式3D功能，這樣人們就能夠體驗並嘗試這項技術。」</p> <p>對於生成式AI是否會成為生成式設計下一代AI技術？PTC技術長Steve Dertien提到了生成式AI的限制。儘管他僅以ChatGPT作為例子，但也暗示了目前生成式AI在生成複雜的3D模型方面存在一些困難。</p> <p>他表示，ChatGPT是一個超大型的自然語言模型，可以用於生成一些簡單的基本形狀或立方體，但是當遇到需要生成複雜的3D模型，例如渦輪噴射引擎時，複雜性就會增加。在這種情況下，用語言來完整表達其功能和特性變得困難，而且生成的結果也不夠準確。</p> <p>他也提到說，目前公司內部正在進行6至7個AI專案，評估將各種形式的AI技術應用於Creo和Onshape等3D CAD設計產品中。此外，他們也與微軟展開相關評估合作，提高生成結果的準確性。</p> </div></div></div>
2023/5/17 11:17作者余至浩https://www.ithome.com.tw/news/156915
今年底Google將開始刪除兩年內未登錄的Google帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/safety-security/updating-our-inactive-account-policies/" target="_blank">Google本周宣布更新安全政策</a>，今年底開始2年未登入的Google帳號將會被整個刪除，而不只是被清空裏面的內容。</p> <p>這項新政策是繼2020年11月以後Google更進一步減少免費服務耗用的成本。<a href="https://blog.google/products/photos/storage-policy-update/" target="_blank">根據2年前更新的政策</a>，Google會刪掉未登入或超出儲存上限的Google Drive、Gmail及Photos等服務的檔案內容。</p> <p>Google的理由是安全性。Google指出，太久未登入的帳號，多半使用舊密碼或重覆利用的密碼，也未啟用雙因素驗證，使用者也不關心，較容易被駭入。而一旦被接管，可能被駭客用於竊取身分或發送垃圾郵件等惡意內容。</p> <p>這項政策實施對象為個人Google帳號，不影響學校或企業用戶。Google還說，這次更新符合業界資料留存標準，也減少Google保存用戶未使用個人資訊的時間。</p> <p>政策從即日起生效，但Google今年12月才會開始刪除帳號。而在刪除時，Google將從建立後沒再用過的帳號開始刪除。而在刪除前Google還會在幾個月之前，多次發送通知到帳號持有人及其回復帳號的信箱。</p> <p>至於如何避免被刪除，只要用戶登入Google帳號透過Gmail帳號收發信件、使用Google Drive、觀看YouTube影片，從Google Play Store下載App、使用Google Search，或是利用Sign in with Google來登入第三方應用或服務，該帳號就會視為經常使用的Google帳號而不受影響。此外，若用戶以Google帳號訂閱新聞或應用程式傳到Google One，該帳號也不會被刪。</p> <p>這也是Google縮減免費服務的最新宣布。<a href="https://www.ithome.com.tw/news/144274" target="_blank">2021年5月起Google Photos就不再提供無限制免費上傳相片</a>，而是連同Google Drive、Gmail包含在15GB的免費空間限額中。超過這個限制的用戶會被要求購買付費服務Google One。</p> </div></div></div>
2023/5/17 11:44作者林妍溱https://www.ithome.com.tw/news/156917
證照仍是學習資安基本功的主要管道，有專家打造「資安證照地圖」
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於從事資安的工作者而言，取得相關證照對自己的生涯有幫助，而從企業已比往年更需要資安人手的態勢來看，除了設法突顯自己具備足夠的實務經驗，我們還能如何證明自己？通過相關考試、拿到證照是一種方法。</p> <p>有些資安專家沒有證照，卻能透過先前的職場工作經歷展現自身能力，相反地，若是求職者無法輕易展現自己的能力、成績，或是徵才者本身無法鑑別其學經歷是否合適，是否取得相關的證照可能就是最容易判斷彼此需求的做法，同時也是公司對員工進行相關培訓的一種能力養成與驗證體系。</p> <p>當然，有了資安證照，並不代表有足夠經驗而能處理複雜資安問題，但是，透過親身經歷與職內訓練學資安，雖然很務實，但有可能從這些經驗當中學習到片面、似是而非，甚至是錯誤的觀念，這也是為何需要結合系統化學習過程的資安證照，對於從事資安的人員獲取完整的基本知識及正確的管理觀念，會有很大的幫助。</p> <p>對於資安從業人員而言，當前我們除了可以透過資安人才技能框架，盤點學習技能方向，也可善用發展已久的既有資安證照體系，從廣泛了解各個領域的證照著手，在過程中依序取得或驗證具備該方面的知識。</p> <h2><strong>資安相關證照多元，國際間有資安專家做出詳細盤點</strong></h2> <p>對於資安證照的發展與現況，大家可能好奇，是否有相關的盤點，我們看到國際間有資安專家做出這方面的整理，形成一套可供外界了解不同證照的定位的「資安證照地圖」（Security Certification Roadmap），能作為一種借鑑。</p> <p>簡單來說，關於這個資安證照地圖，最早是由Drackar在2014年製作、發布，但由於後續沒有繼續發展，因此由資安專家Paul Jerimy在2018年接手。</p> <p>在2019年，他先是發布了Security Certification Progression Chart V5.2版，將證照技能類別畫分為11大類，包括：資安管理、數位鑑識、惡意程式分析、事件應變、資安稽核、漏洞成功利用開發者、滲透測試、入侵偵測、ICS安全、系統管理，以及網路管理，並持續將相關證照納入其中；2019年底年又有新的調整，推出6.1版，將技能類別簡化為6大類，包含安全實施（網路安全、Cisco、Windows、Linux、Cloud/SysOps、ICS/OT）、安全架構、安全管理、安全分析、防禦操作，以及攻擊操作。</p> <p>到了2022年，Paul Jerimy在收到多方回饋後，新建構出資安證照路線圖。將證照技能類別分出8大類，包括：通訊與網路安全、身分識別與存取管理、安全架構與工程（含Cloud/SysOps、ICS/IoT）、資產安全、安全與風險管理（含GRC）、安全評估與測試、軟體安全，以及安全維運（含數位鑑識、事件處理、滲透測試、漏洞成功利用）。截至2023年1月為止，這份資安證照地圖已經納入473項資安證照。</p> <p>在這些變化之下，除了注意到資安證照的數量可能比大家想像的還多，而從資安證照分類方式的演進與變化，也讓我們進一步思考這些證照的定位。</p> <p>為了讓大家對於資安證照的價值與潮流，有更好的認識，我們這次詢問兩位有業界經驗的資安專家，透過他們的看法與經驗，帶領我們更深入了解資安證照的重要性及趨勢。</p> <h2><span style="color:#0099ff;"><strong>Paul Jerimy設計Security Certification Roadmap </strong></span>V7.0（2020） </h2> <p><a href="https://s4.itho.me/sites/default/files/images/（網站主圖）資安人才能力證明主文_圖片來源Paul Jerimy.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E4%B8%BB%E5%9C%96%EF%BC%89%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%83%BD%E5%8A%9B%E8%AD%89%E6%98%8E%E4%B8%BB%E6%96%87_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Paul%20Jerimy.jpg" style="width: 600px;" /></a></p> <p class="rteright">圖片來源／Paul Jerimy<span style="color:#696969;">（點擊圖片可放大）</span></p> <h2>V6.1 (2019.11)</h2> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2_5）Security Certification Progression Chart v6_1_圖片來源Paul Jerimy.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962_5%EF%BC%89Security%20Certification%20Progression%20Chart%20v6_1_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Paul%20Jerimy.jpg" style="width: 600px;" /></a></p> <p class="rteright">圖片來源／Paul Jerimy</p> <h2>V5.2 (2019)</h2> <p><strong><a href="https://s4.itho.me/sites/default/files/images/（圖2）Security Certification Progression Chart v5_2_圖片來源Paul Jerimy.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89Security%20Certification%20Progression%20Chart%20v5_2_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Paul%20Jerimy.jpg" style="width: 600px;" /></a></strong></p> <p> </p> <p><strong style="font-size: small; vertical-align: top; background-color: rgb(247, 247, 247); color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif;"><span style="vertical-align: top; color: rgb(51, 153, 255);"><span style="vertical-align: top; font-size: 20px;">本文出自《CYBER TALENT 臺灣資安人才專刊》</span><img alt="" src="https://s4.itho.me/sites/default/files/images/CYBER%20TALENT%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E5%B0%88%E5%88%8A_%E7%B7%A8%E8%BC%AF%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 150px;" /></span></strong></p> <p class="rteright">圖片來源／Paul Jerimy</p> </div></div></div>
2023/5/17 10:00作者羅正漢https://www.ithome.com.tw/news/156754
打破證照誤解與迷思，資安專家帶你釐清資安證照的意義
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於取得資安證照這件事，儘管大家都知道這是可以系統性學習資安的方法，但市場上也時常出現爭論不休的議題，使得資安證照的基本價值容易被忽略，究竟證照的效益如何？產業間對證照的誤解與迷思有哪些？</p> <p>現任職於華碩電腦，同時擔任(ISC)2 Taipei Chapter監事的黃星評指出，考資安領域的證照，並無法以二選一來認定是否有用。為了讓大家容易理解，他建議大家對證照先要有4個背景認知。</p> <p>首先，證照是專業訓練的一種手段。讓資安的正確觀念與基礎知識，可透過取得具公信力資安證照掌握國際觀點的要求，對資安管理人員來說，建立正確管理觀念與基本功，是最重要的一步。</p> <p>第二，資安的工作面向很廣，實務上我們會遇到不同領域的問題，因此透過資安證照的系統化學習，才能全面了解各個知識領域，提升專業溝通能力。</p> <p>例如，CISSP證照所涵蓋的資訊安全通識體系8大領域，都是工作上需接觸且必要的概念，如果能透過證照體系的訓練與考核，去學習這些基本知識，未來工作上遇到問題時可自行研究，不用完全依賴外部顧問，也能因應搞不懂專有名詞與其運作概念等尷尬窘境。 </p> <p>第三，要了解這個職業最低需要具備的基本能力。證照可以幫助自己了解缺少什麼，應該要補足哪一些知識點，但同時也要知道：並非考到證照就非常厲害，證照只是證明自己的其中一個手段，還有很多方法可以證明自己的能力，而且，證照的理論與實務需要相輔相成，絕對不可只重視任何一方。</p> <p>第四，資安技術比起資安管理確實比較不需要證照。這個領域更需要作品與成績，包括CTF競賽、Side Project與Bug Bounty的成就等等，但管理與技術彼此相輔相成，都需要多少有些了解。</p> <h2><strong>從證照了解不足，能否與不同角色的有效溝通是資安成功關鍵</strong></h2> <p>在黃星評的證照準備經驗中，他認為，學習並考取多項證照的過程，可以很容易發現自己的不足之處，透過國際認可的框架，能幫助梳理自己缺乏的專業知識。而擁有基礎知識的好處在於，當遇到問題時，可以更快找到解答。</p> <p>過去黃星評曾擔任安永企業管理諮詢服務資安顧問，那段期間，他體認到：當自己有了廣泛的基礎知識之後，面對業務主管、IT技術專家、資安管理人員、高階主管所提出不同技術與管理問題時，將能夠有效地依據其業務給出答案。他並強調，能夠與不同單位進行有效溝通，是資安能夠成功的基礎要素。</p> <p>證照的推行，當然也有反面例子，黃星評也提及自己曾觀察到的反面例子。例如，有些新人直接參與資安專案，這可能會引發許多問題，因為他們通常會面臨許多困境，像是不知道正確的做法、不清楚前輩教的是否正確、不熟悉方法論的原理，以及不明白自己應該具備哪些基礎知識。因此，除了受到現實的限制，往往導致專案並非採用最正確的方式來進行，更可怕的是，許多從業人員可能不知道適合的觀念和做法。</p> <p>無論如何，儘管證照的內容往往是以100分的理想狀態來呈現，但如果不了解100分的目標，實際執行這些工作的人們，可能就無法持續朝著正確的方向前進。因此，這是非常重要的。</p> <p>至於企業高層徵求資安人才時，有那些證照很實用？他從兩個面向來看，一個是針對資安技術領域人員的部分，包括：CEH、CPENT、OSCP、CompTIA CySA+，另一是針對資安管理領域人員的部分，包括：CISSP、CCSP、CISM、CISA，這些證照都是不錯的選擇。</p> <p>由於現今大多數企業資安人員不足，從業者可能對未來發展有許多疑惑與迷茫，也可能因為不熟悉該領域，而導致專案品質不佳，或是變成趕快結案就好的心態，他建議可先從能廣泛了解各個領域的證照開始學習，不論是甲方或乙方的人員都能提升本身價值與專業。</p> <p>附帶一提的是，他並強調，並不一定要去考取證照，透過學習該證照教材，同樣能提升溝通與延伸學習能力，例如CompTIA Security +、ISC2 CC、ISACA CISM等認證的教材內容，都很值得學習。</p> <p>另外他指出，國外許多資安從業者會將具有公信力的資安證照納入專業能力評估的一環，不分職位高低，都會考取一兩張具有公信力的資安證照。但他發現，在臺灣相關學習地圖中，對於許多資安證照的定位有蠻大的誤解，他認為，應該如國外思考，以證照本身在該領域是否為所必要的知識，來決定它的等級。例如，ISC2 CISSP、ISACA CISM、CREST CPSA的證照內容，其實是廣而不深，應該放在中階而非高階。</p> <p> </p> <p><strong style="font-size: small; vertical-align: top; background-color: rgb(247, 247, 247); color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif;"><span style="vertical-align: top; color: rgb(51, 153, 255);"><span style="vertical-align: top; font-size: 20px;">本文出自《CYBER TALENT 臺灣資安人才專刊》</span><img alt="" src="https://s4.itho.me/sites/default/files/images/CYBER%20TALENT%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E5%B0%88%E5%88%8A_%E7%B7%A8%E8%BC%AF%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 150px;" /></span></strong></p> </div></div></div>
2023/5/17 10:00作者羅正漢https://www.ithome.com.tw/news/156755
用證照證明自己實力之餘，更應將證照視為督促學習的最大動力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在資安人才培育備受重視之際，資安證照的需求亦成為關注焦點，然而，市面上有許多種類的資安證照，認可程度和要求也不盡相同，資安證照實用嗎？現在當紅資安證照又有那些？</p> <p>對此，我們詢問經常受媒體採訪而回應資安議題，且很早就在臺灣介紹美國NIST SP 800-207零信任架構的專家，也就是臺灣科技大學資訊管理系教授兼系主任暨資安中心主任查士朝。他表示，基本上，資安證照比一般技術證照更有用，最主要原因是一些資安工作會「綁」資安證照，因此會有一定的用處，但是在大部分的情況下，他會建議一般人在準備證照時，如果想考取非工作資格相關的證照，可從督促自己學習的角度來看待，會是比較正面的心態。</p> <p>而從資安證照的態勢來看，一般而言，主要是與市場需求息息相關。例如，最近政府在資通安全責任等級分級辦法當中，要求要取得相關證照，而未了因應這樣的政府規範，自然而然地，我國8大關鍵基礎設施的政府或企業人士就會設法取得相應的證照，因此，一般傳統的ISO 27001、CISSP、CISM、CISA等，仍然會是主流；另一方面，在執行工作上需顯現自己能力的證照，如CEH、OSCP也屬熱門。</p> <p>以近期來看，由於2022年底ISO 27001改版，現階段相關換證需求會很大，另外就是比較具鑑別力的證照，像是資安訓練機構Offensive Security推出的證照，因為需要經過實機演練，也變成技術人員提升能力時所考量的重點。</p> <h2><strong>從證照發展態勢來看，最近兩三年，是否有一些新的證照值得特別關注？</strong></h2> <p>查士朝指出，以資安證照的內容來判斷，除了基本資安觀念的證照，技術相關的證照，還有一些是依附在某個技術或標準之下，讓該項技術應用時能夠考慮到安全性的證照。</p> <p>例如，近年來隨著工控資安受到重視，所以有些人會學習 IEC/ISA 62443相關的資安證照，或在容器架構受重視時，有人會設法取得與雲原生架構相關的證照，如CKA、CKAD、CKS等。</p> <p>不過，在臺灣的生態環境下，重點還是放在執行資安工作所需要的證照，而對於其他隨著技術或科技潮流的證照，多半只有在個人真的想要學習那項技術時，作為自我成長之用。</p> <p>而查士朝也分享了自身經驗，他認為，最具價值的證照，是他獲得的博士學位與整個學習的過程，因為這些經驗，給予他在後續考證照時能夠駕輕就熟的能力。</p> <p>而在考證照的動力上，他提到30歲進入顧問公司，原先以增加客戶信賴的角度出發，但在取得一定張數的證照後，他的動機開始改變，變成擴展對特定領域瞭解的角度出發，由於證照通常會整理該領域應有的基本知識，這時將成為壓力與動機，促使他快速掌握這些知識。</p> <h2><strong>期盼新興的資安系所學歷也能獲得重視，而成為有用證明</strong></h2> <p>另一方面，除了資安證照本身，他也給出不同角度的觀察。例如，從目前企業需要人力來看，包括法遵、資安管理與稽核、資安機制規畫與管理、資安測試、事件偵測與回應等。因此，我們可從這方向思考企業如何看待求職人才。</p> <p>對於一般企業而言，可能受限於資安整套建置成本不斐，也沒有那麼多的資安人力員額，因此他建議，資安人員先以管理與協調工作為主，技術方面，則讓資訊部門的人學習如何強化資訊安全骨幹。</p> <p>而他也提到一點，就是危機處理與溝通能力比資安技術更重要，是目前資安證照沒有涵蓋的部分，而他也觀察到，事件偵測與回應相關的職能很重要，但相關的訓練課程與證照並沒有那麼多。</p> <p>因此他也從學界角度來看，期盼學校培育與證書能帶來影響，例如，自2019年來，國內一些學校紛紛成立資安相關科系乃至於碩士班。由於過去並無這方面的系所，也就等於沒有資安方面的學歷證明，或許在給予更具深度與廣度的教育訓練下，日後這方面的證書也能成為值得重視的認證。</p> <p> </p> <p><strong style="font-size: small; vertical-align: top; background-color: rgb(247, 247, 247); color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif;"><span style="vertical-align: top; color: rgb(51, 153, 255);"><span style="vertical-align: top; font-size: 20px;">本文出自《CYBER TALENT 臺灣資安人才專刊》</span><img alt="" src="https://s4.itho.me/sites/default/files/images/CYBER%20TALENT%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E5%B0%88%E5%88%8A_%E7%B7%A8%E8%BC%AF%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 150px;" /></span></strong></p> </div></div></div>
2023/5/17 10:00作者羅正漢https://www.ithome.com.tw/news/156756
Cloudflare零信任解決方案強化AI管理能力，提升第三方服務使用安全性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Cloudflare強化零信任解決方案的人工智慧管理能力，推出<a href="https://blog.cloudflare.com/zero-trust-ai-security/">Cloudflare One for AI</a>，使企業IT有能力管理組織內的人工智慧服務使用，包括監控組織內人工智慧影子IT的問題，同時也能控制API的存取，以及限制敏感資料上傳。</p> <p>Cloudflare One for AI用戶現在可以透過部署Cloudflare Gateway，監控組織內人工智慧的使用狀況，IT部門得以掌握員工正在使用的人工智慧服務種類，藉此規畫企業授權方案。Cloudflare One for AI還可以讓組織方便地共享訓練資料，不需要在防火牆開設入口，就可授予人工智慧服務存取權限，避免影響安全性並且更易於管理。</p> <p>在零信任安全模型下，用戶需要先創建服務權杖，外部服務才能夠利用這些權杖通過Cloudflare One存取資料，因此管理員也能夠依據這些權杖，紀錄API的使用甚至是隨時撤銷API，阻擋人工智慧服務。透過加密且僅允許資料出站的Cloudflare Tunnel，基礎設施能夠安全地連接人工智慧服務，每一個請求都受存取規則檢查。</p> <p><a href="https://www.ithome.com.tw/news/156291">使用第三方人工智慧服務，可能讓員工不經意地上傳機密資料</a>，而Cloudflare One for AI的資料損失防護（DLP），能避免員工過度分享資訊。管理員可以定義不可離開組織的資料並創建規則，控制與人工智慧服務共享的資料。Cloudflare的雲端存取安全代理程式（CASB）則可以掃描SaaS發現潛在問題，像是檢查GitHub儲存庫是否遭非法存取，或是及早阻擋不應該上傳到網際網路上的檔案。</p> <p>除了推出Cloudflare One for AI之外，Cloudflare還發布了<a href="https://blog.cloudflare.com/introducing-constellation/">Constellation</a>模型執行服務，讓使用者可以在無伺服器服務Workers的基礎上，執行經過預訓練的模型，完成推理任務。Constellation支援自定義模型，或是用戶也可以從官方提供的模型目錄中，選擇適合的模型。用戶可以在Constellation上，建構包括圖像與音訊分類、異常偵測、自然語言處理或是語音辨識等人工智慧應用。</p> </div></div></div>
2023/5/17 08:31作者李建興https://www.ithome.com.tw/news/156907
【資安日報】5月16日，財政部電子發票平臺驚傳資安漏洞，恐曝露上市櫃公司營業資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>公部門提供給企業使用的系統當中，不僅使用共通的預設密碼，而且這還是組弱密碼！財政部傳出在電子發票平臺上提供給企業的帳號裡，帳號名稱是該公司的統一編號，預設密碼是極為容易猜中的弱密碼，一旦任何人嘗試以此密碼搭配公司的統編，就有可能檢視該公司的發票資料，由於公司統編相當容易找到，這樣的帳密形同公開資料。經本週2家媒體報導後，財政部於今日表示，他們已緩解上述情況。</p> <p>繼國光客運傳出資料外洩事故後，又有客運業者遭到攻擊。根據三立新聞臺、自由時報、中央社等國內媒體報導，統聯客運上週疑似個資外洩，導致乘客接到詐騙電話，該公司暫停線上訂票系統、手機App訂票的服務。主管機關交通部公路總局也證實此事。</p> <p>針對個資法修法的部分，最近也有了新的進展。今天立法院三讀通過部分的新條文，其中主要是針對專責機關、裁罰金額與方式有了明確的新規範。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="http://www.peoplenews.tw/articles/27c82e35c1"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">財政部電子發票平臺企業帳號竟採用共通的預設密碼，恐曝露上市櫃公司營業資料</span></strong></a></p> <p>根據民報的報導，有人在財政部的電子發票平臺（E-Invoice）上，發現提供給公司行號的初始帳密資料中，竟採用了相同的弱密碼，而有很多企業與組織的帳號能透過這組密碼存取，其中一個受到影響的是國家中山科學研究院（中科院）。</p> <p>而對於此事的影響範圍，<a href="https://www.readr.tw/post/2943">另一家網路媒體READr指出</a>，約有7%上市櫃公司的營業資料可能曝險。對此，<a href="https://www.mof.gov.tw/singlehtml/384fb3077bb349ea973e7fc6f13b6974?cntId=1cd17c988238495eb769f9034518b5c5">財政部約於16日上午11時發出公告</a>，表示此電子發票平臺的密碼弱點已改善完成，並強調中科院的電子發票主要是行政支出及紀念品，無涉及國防採購。</p> <p><a href="https://www.setn.com/News.aspx?NewsID=1295437"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">統聯客運傳出資料外洩，關閉網站及App訂票功能</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/bulletin_20230515.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/bulletin_20230515.jpg" style="width: 300px; float: right;" /></a><a href="https://www.facebook.com/ubus.tw/posts/pfbid02VDZ8d5itqWDAozSFcyC6PiEu6qi2UhxkPESeTNDBepYpuhzMUjGNFtm66A6DVKqxl">統聯客運於5月12日下午5時23分於臉書發出公告</a>，要乘客提防詐騙電話。隨後有不少旅客留言表示接到這類電話，對方對於他們訂票的時間、張數皆瞭若指掌，且有民眾已受騙上當，揚言要向統聯求償。<a href="https://www.facebook.com/ubus.tw/posts/pfbid0dGyZNCAfNF1yQgryQu7oHhRApsSEfT4Qhcv6TmpuYawj6FsecwvpRksq8SMAnWoil">後來該公司約於半小時後再度表示</a>，他們的網站與購票App進行系統維護，要求乘客依照指示臨櫃取票，或是於4大超商付款因應。</p> <p>對此，統聯客運於15日表示，他們已協請資安人員進行初步鑑識，預計2天後會有初步結果；主管機關交通部公路總局也證實此事，並透露統聯客運接獲乘客通報自己收到詐騙訊息後，暫時關閉網站購票及App訂取票的功能，來防止災害擴大。</p> <p>不過，究竟有多少乘客個資遭到外洩？統聯客運、公路總局皆未做出說明。</p> <p><a href="https://www.ithome.com.tw/news/156849"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">主要目標鎖定臺灣的駭客組織Taidoor，具備經營12個惡意程式家族的開發量能</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/838088.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/838088.jpg" style="width: 300px; float: right;" /></a>趨勢科技資深威脅研究人員CH Lei於臺灣資安大會解析駭客組織Taidoor（亦稱Earth Aughisky、臺門）的背景及常見攻擊手法。此組織成立時間早於2007年，高達9成攻擊活動針對臺灣，當中約有6成是攻打政府單位，其餘涵蓋通訊、製造、重工業、科技業、交通、醫療等產業，自2017年駭客將攻擊範圍擴及日本。</p> <p>值得留意的是，該組織自行開發且未與其他駭客組織分享的惡意軟體，就有12個家族之多，可見其實力極為強大。這些駭客一旦攻擊成功，都會造成大範圍的汙染，植入的後門難以完全根除。</p> <p>研究人員指出，這些駭客在各個攻擊階段會利用不同的後門程式，一旦入侵受害組織，駭客就會更換名為Taleret的工具進行長期控制。此後門程式的特色在於，駭客將C2中繼站的配置加密並埋藏於部落格文章，待需要連線才去解析，資安人員若只針對受害裝置進行調查，就有可能找不到中繼站的設定。</p> <p><a href="https://www.ithome.com.tw/news/156879"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺科大資工系教授呼籲使用開源5G新風險，得小心駭客打造惡意基地臺發送偽造簡訊</span></strong></a></p> <p>資安署副署長兼臺科大資工系教授鄭欣明指出，開源軟體降低實作5G網路的門檻，讓任何人都可以建置此種網路環境，因此，駭客也能藉由開源軟體打造惡意基地臺，假冒合法基地臺發動攻擊。</p> <p>他帶領的研究團隊利用開源軟體打造5G NSA網路及專網，驗證其中存在幾項資安隱憂，例如，在5G NSA網路下，駭客能運用開源軟體打造惡意基地臺，追蹤特定對象，發送偽造的簡訊或國家級警報，或是在O-RAN環境，上傳惡意xApp至靠近前端的元件，耗用網路資源達到癱瘓網路目的。</p> <p>由於採用免費的開源軟體、搭配數萬元臺幣的硬體，就能建立惡意5G基地臺，和數百萬元售價的電信等級基地臺相比成本降低許多，雖然以軟體定義無線電技術（SDR）打造的基地臺，穩定度無法與一般基地臺相比，但鄭欣明認為，SDR技術使得偽基地臺攻擊手法的實現成為可能，只要通過軟體定義便能控制偽造基地臺的功能。</p> <p><a href="https://www.mirrormedia.mg/story/20230509inv003/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">台達電、飛宏爆內鬼，高階主管竊取特斯拉充電樁機密投靠中國科技公司</span></strong></a></p> <p>臺灣科技大廠台達電與電力設備業者飛宏科技布局電動車充電樁市場多年，但傳出曾於2家公司任職的高階主管竊取其充電系統關鍵機密文件，帶槍投靠中國公司。</p> <p>根據鏡週刊的報導，飛宏察覺自行研發的充電系統關鍵機密文件遭竊並向臺北市調處報案，調查官根據IP位址找到該公司一位員工的住家，然後發現飛宏外流的機密資料，並發現此人曾以即時通訊軟體微信，將飛宏安規部門最新的充電樁法規資料傳給前上司，而揪出主謀，2021年11月桃園地檢署帶回這位主管偵辦。</p> <p>經過他們的追查，不只飛宏的營業秘密外洩，這位主管先前任職於台達電時，亦將該公司「特斯拉壁掛式交流充電樁」專案線路設計資料機密檔案上傳至Google雲端硬碟。檢方清查發現，這些外流檔案中包含特斯拉充電樁的設計數據，恐流入中國TCL通力電子公司，大幅縮短中國與我國研發技術的差距，影響臺灣相關產業發展。</p> <p>針對此事，<a href="https://www.chinatimes.com/newspapers/20230511000149-260202">台達電、飛宏也做出回應</a>。台達電表示外流資料為舊世代產品機密，對營運尚無重大影響；飛宏則表示他們是在資料外流前就主動報案，對於財務、業務沒有影響。</p> <p><a href="https://www.justice.gov/usao-sdny/pr/former-employee-technology-company-sentenced-six-years-prison-stealing-confidential"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">監守自盜並向老闆勒索，Ubiquiti開發人員被判刑6年</span></strong></a></p> <p>美國網路設備製造商Ubiquiti開發人員Nickolas Sharp，自2020年底竊取大量公司機密資料，並於2021年初假冒駭客的身分宣稱找到系統漏洞，向老闆勒索50個比特幣，被警方盯上後還匿名向媒體謊稱Ubiquiti遭到駭客入侵，導致該公司股價在2天大跌20%，市值蒸發了40億美元。</p> <p>在Nickolas Sharp坦承犯案之後，美國法院於今年5月10日做出判決，這名Ubiquiti前員工因傳輸程式至受保護的電腦上，並故意造成損害、電信詐欺，且對美國聯邦調查局（FBI）說謊，將被處以6年徒刑，並必須賠償159萬美元。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.cna.com.tw/news/aipl/202305160037.aspx"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">立法院三讀通過個資法修正條文，明訂主管機關、非公務機關個資外洩最高可罰1,500萬元</span></strong></a></p> <p>5月16日立法院三讀通過個人資料保護法的部分條文，當中明確指定「個人資料保護委員會」為個資法主管機關，且為獨立機關，籌備處預計於今年8月成立，在正式掛牌前，個人資料保護委員會須送交組織法草案交由立法院審查。</p> <p>本次修法的另一個重點，在於針對非公務機關的罰則調整，若保有個人資料檔案且未採行適當之安全措施，導致個人資料被竊取、竄改、毀損、滅失或洩漏，將處理新臺幣2萬元以上、200萬元以下罰鍰，並限期改正；若限期未改善或情節重大，將處以15萬元以上、1500萬元以下罰鍰；屆期未改正者，採按次處罰。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://openssf.org/press-release/2023/05/10/openssf-welcomes-new-members-veteran-cybersecurity-expert-as-general-manager-and-new-funding/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">OpenSSF獲微軟、Google挹注500萬美元強化開源軟體安全</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/virustotal-ai-code-analysis-expands-windows-linux-script-support/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體分析平臺VirusTotal為AI分析機制提供更多指令碼的支援</span></span></strong></a></p> <p><a href="https://blog.google/technology/safety-security/online-safety-features-updates-google-io-2023/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google宣布旗下服務的新安全及隱私保護功能</span></span></strong></a></p> <p><a href="https://www.inquirer.com/news/philadelphia/philadelphia-inquirer-hack-cyber-disruption-20230514.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">費城詢問報遭到網路攻擊，報紙暫停出刊</span></span></strong></a></p> <p><a href="https://www.securonix.com/blog/securonix-threat-labs-security-meme4chan-advisory/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Follina漏洞攻擊行動再度出現，這次被用於散布木馬程式Xworm</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/156897"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">打造臺灣金融專屬資安人才職能地圖，聚焦課程設計以促進培訓</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156877">【5月15日】誠品書店外洩個資傳出遭支持中國武統人士利用，對臺灣民眾發動心理戰</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156850">【5月12日】 2022年發生50起以上資安事故的臺灣企業比例上揚，接近四分之一</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156830">【5月11日】資安業者Dragos遭到網路攻擊，駭客企圖假冒即將就職的員工入侵</a></strong></p> </div></div></div>
2023/5/16 17:18作者周峻佑https://www.ithome.com.tw/news/156905
立院三讀通過個資法修法，企業外洩個資可直接開罰要求改善，最重可罰1,500萬元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>立法院今天（5/16）三讀通過個資法修正案，國發會指出，修正案加強對非公務機關違反安全維護義務，例如企業外洩個資事件，可直接開罰並限期改正，違反嚴重者最高可罰1,500萬元。另外，呼應各界要求設置獨立個資保護機關，行政院將儘速成立個資保護委員會籌備處。</p> <p>此次個資法修法有2項重點，主要為第1條之1、第48條及第56條。首先是，針對外界認為個資法對企業違反安全維護義務罰則過低，主管機關往往先命改正後處罰，批評無法有效責成業者強化個資安全作為，因此在修正案中修改第48條規定，企業若違反安全義務將直接開罰，同時命其改正，並提高罰鍰上限，從2萬元以上20萬元以下，提高為2萬元以上200萬元以下。</p> <p>如違反情節重大者，處15萬元以上1,500萬元以下罰鍰，屆期未改善者，得按次開罰15萬元以上1,500萬元以下罰鍰。</p> <p>另一個修法重點是增加個資法第1條之1規定，由個人資料保護委員會擔任個資法主管機關，行政院將會積極推動設置個資保護獨立監督機關，以達成去年8月憲法法庭判決，要求3年內完成個資保護獨立監督機制，並解決目前個資主管機關分散，缺少個資保護的獨立專責機關問題，同時也能接軌國際趨勢。</p> <p>國發會表示，此次修法將賦予行政機關更有效的執法權限，行政院也將儘速設立個資保護委員會籌備處，並推動組織草案、第二階段個資法修法工作。至於強化公務機關個資保護，將落實資通安全管理法對公務機關的規範，未來也會由獨立的個資保護委員會，就整體規畫公務及非公務機關個資保護監督機制。</p> <p>此次個資法修法主要呼應外界限期改正再處罰、罰責過輕的批評，以及要求設立獨立個資保護主管機關。先前iRent發生40萬筆客戶資料外洩，雖然交通部公路總局成立專門的小組進行調查，限期要求改善，最後因業者限期未改善開罰最高20萬元，未來企業如再發生類似事件，將受到更高的罰鍰。另，根據媒體報導，政府計畫在8月成立個資保護委員會籌備處。</p> </div></div></div>
2023/5/16 17:36作者蘇文彬https://www.ithome.com.tw/news/156904
Google App更新讓Pixel手機發燙、耗電加速
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google上周釋出的Google App及Android智慧工具更新，引發Pixel手機耗電量爆增及<a data-ved="2ahUKEwjl2fSQsfn-AhUUmlYBHVFNBOUQkeECKAB6BAgREAE" href="https://www.google.com/search?sxsrf=APwXEdeeJML1ICFgH3JQrZHsC-64HAoB1g:1684224484394&q=%E6%80%A5%E9%81%BD&spell=1&sa=X&ved=2ahUKEwjl2fSQsfn-AhUUmlYBHVFNBOUQkeECKAB6BAgREAE" id="fprsl">急遽</a>發燙等情形，Google隨後釋出更另一次修補程式解決。</p> <p>多名Pixel手機用戶本周一分別透過<a href="https://www.reddit.com/r/GooglePixel/comments/13gkrtd/overheating_phone_and_high_power_use/" target="_blank">Reddit</a>和<a href="https://support.google.com/pixelphone/thread/214392878/battery-is-draining-very-fast-after-the-may-2023-security-update?hl=en&sjid=13669988790291989139-NA" target="_top">Pixel手機討論區</a>反映，在安裝了Google上周釋出的安全更新後，本周起他們的Pixel手機耗電量忽然大增，不但使手機續航力大幅縮短，而且變得奇燙無比。多數用戶指向Google App，但也有部分用戶將之歸咎到Android System Intelligence，後者為Private Compute Core的系統元件，可為Android手機提供智慧功能，包括即時字幕、螢幕自動旋轉等等。</p> <p>用戶相信問題出在5月12日釋出的更新。直到移除更新或是關閉Google App，問題才得以緩和或解決。出現狀況的都是Pixel手機，版本分別是Pixel 6或7等。</p> <p><a href="https://support.google.com/pixelphone/thread/215863498?sjid=7653741535566306888-AP" target="_blank">Google終於在今日在Pixel手機支援頁做出說明</a>。Google研究後判斷是Google App後臺近日一次變更不慎肇禍。該公司已經釋出一版修補程式，預計可以立即解決問題，用戶端無需做任何動作。</p> <p>如果Pixel手機用戶上周末更新後出現手機過燙或耗電奇快情形，可以再稍等一下，以安裝昨日版本Android更新。</p> </div></div></div>
2023/5/16 16:06作者林妍溱https://www.ithome.com.tw/news/156902
歐盟同意微軟買下動視暴雪
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_23_2705" target="_blank">歐盟執委會（European Commission，EC）周一（5/15）宣布</a>，已同意微軟買下動視暴雪（Activision Blizzard）的收購案。而<a href="https://www.ithome.com.tw/news/156592" target="_blank">上個月表態</a>將阻止此一收購案的<a href="https://twitter.com/CMAgovUK/status/1658131203000614916" target="_blank">英國競爭與市場管理局（Competition and Markets Authority，CMA）則在同一天發表聲明</a>，指出將堅守反對立場。</p> <p>其實EC的初步調查認為此一交易有可能危害遊戲的分布，並強化微軟在PC作業系統上的優勢，但在深入調查之後，認為微軟沒必要限制遊戲的分布，因為此舉將危及微軟的遊戲營收，此外，EC也認為若未與微軟合併，動視暴雪應該不會提供可能擠壓其遊戲銷售的遊戲訂閱服務。</p> <p>而為了解決EC所在意的競爭問題，微軟同意在未來10年讓歐洲經濟區的遊戲玩家，皆可透過任何的雲端遊戲串流服務來存取動視暴雪的PC及遊戲機遊戲；同時也將允許雲端遊戲串流服務供應商供應所有的動視暴雪的PC及遊戲機遊戲予歐洲經濟區的遊戲玩家。</p> <p>EC認為上述將會造福當地的玩家，因為迄今動視暴雪並未提供遊戲串流服務，亦未將遊戲授權給任何的遊戲串流平臺。但未來玩家只要購買或訂閱動視暴雪的遊戲，就能利用任何的作業系統及裝置，透過任何的遊戲串流平臺來進行遊戲。</p> <p>有別於EC的樂觀，CMA認為不管是英國、美國或歐盟都一致認為該併購案會危害雲端遊戲的競爭，因為此一新興的市場必須維持開放與競爭，才能推動創新及消費者選擇，但EC所接受的微軟提議，卻是以自由、開放及競爭的市場為代價，CMA尊重EC的觀點，但自己將堅守反對的立場。</p> <p><a href="https://www.ithome.com.tw/news/148954" target="_blank">微軟是在2022年1月宣布</a>將以687億美元買下動視暴雪，這是微軟史上最大的併購案，也將讓微軟成為全球第三大遊戲業者，僅次於騰訊及Sony。這起併購案因為明顯牽涉到市場壟斷議題而受到全球矚目，即便已經過一年的調查仍未能定案，<a href="https://www.theverge.com/2023/5/15/23723703/microsoft-activision-blizzard-acquisition-approved-eu-european-commission" target="_blank">根據《The Verge》的統計</a>，迄今除了<a href="https://www.ithome.com.tw/news/154634" target="_blank">美國</a>與英國欲出手阻止該交易之外，中國、南韓、紐西蘭與澳洲都還在審核中，而歐洲、日本、南非及巴西等國則已核准。</p> </div></div></div>
2023/5/16 15:16作者陳曉莉https://www.ithome.com.tw/news/156900
Alphabet機器人公司Intrinsic推出機器人應用開發軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Alphabet旗下機器人公司Intrinsic成立2年後本周公開機器人應用開發平臺軟體，作為公司第一項產品。</p> <p>Intrinsic為Alphabet出售Boston Dynamics及Shaft機器人部門後，2021年初成立發展產業用機器人業務的公司。<a href="https://www.youtube.com/watch?v=QtSShST58io&t=896s" target="_blank">Intrinsic本周在虛擬產品發表會上公布第一項產品</a>。</p> <p>該公司指出，產業用機器人都需要相當深層領域知識及專門技能，從作業或經濟角度都無法輕易重新改寫。為了簡化機器人程式的開發門檻，Intrinsic最新公布的Flowstate是一個直覺化的Web開發環境，橫跨從概念到部署整個機器人應用所有流程。它具備圖形化流程開發工具，使用行為樹（behavioral tree）更易於協調複雜流程、支援更快開發。其流程編輯器以類似flowchart的圖形化介面可設定行為樹。此外，它同時執行在雲端或本地部署環境，方便程式在兩種環境搬移，並且提供模擬及驗證程式的環境。</p> <p>Flowstate還能將特定領域知識以特定技能輸出，以便未來重覆使用，像是姿態評估、操控、力覺感知插入（force-based insertion）、路徑規畫等。不久Flowstate也將內建一些以Intrinsic平臺開發的技能，該公司承諾會開放給社群。</p> <p>Flowstate目前為beta版，一開始將提供給小部分解決方案供應商。Intrinsic也公布義大利機器人生產商暨系統整合商柯馬工業（Comau）作為其第一個合作夥伴，後者近日發展了一款機器人用於組合插電式混合動力車的超級模組。</p> <p>同時這家廠商也公布Flowstate的開發底層Intrinsic平臺。Intrinsic表示其目標是讓進階機器人和AI更容易為非專業人士所用，現在正將現代化軟體開發作法，像是物件導向及視覺化程式撰寫工具加入機器人及自動化技術的開發中。</p> <p>Intrinsic Flowstate現在起為期8個星期，<a href="https://www.intrinsic.ai/beta/" target="_blank">開放開發人員申請試用</a>、開發機器人應用程式。</p> </div></div></div>
2023/5/16 15:52作者林妍溱https://www.ithome.com.tw/news/156901
Amazon也要以AI聊天機器人來改善產品搜尋
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《彭博社》（Bloomberg）透過Amazon的求才廣告，<a href="https://www.bloomberg.com/news/articles/2023-05-15/amazon-plans-to-add-chatgpt-style-search-to-its-online-store?leadSource=uverify%20wall" target="_blank">發現Amazon正準備打造具備聊天能力的產品搜尋功能</a>，然而，Amazon不僅不置可否，亦更改了求才廣告的說明內容。</p> <p>該求才廣告是由Amazon Search團隊所刊登，徵求的是機器學習的資深軟體開發工程師，另一媒體<a href="https://venturebeat.com/ai/amazon-job-listings-hint-at-chatgpt-like-conversational-ai-for-online-store/" target="_blank">《Venture Beat》公布了該求職廣告的原始內容</a>，顯示Amazon打算要讓Amazon Search具備互動式對話能力，以協助解答使用者對產品的疑問，比較產品，或是提供個人化的產品建議等。</p> <p>在被媒體公開之後，<a href="https://www.amazon.jobs/en/jobs/2358111/sr-sde-machine-learning-ml-amazon-search" target="_blank">Amazon很快就修改了該求職廣告的內容</a>，僅簡單地說想利用大型語言模型的對話功能，來改善Amazon上的購物經驗。</p> <p>《彭博社》還在另一則求才廣告上看到，Amazon宣稱將採用全新的「AI優先」計畫，透過超大規模的新一代深度學習技術來重新建構該平臺的搜尋方式。</p> <p>然而，當媒體向Amazon求證時，該公司並未直接回應有關AI聊天機器人的問題，僅說旗下所有業務都在大力投資生成式AI。</p> <p><a href="https://www.ithome.com.tw/news/156730" target="_blank">微軟已於今年5月釋出</a>基於GPT-4的Bing搜尋/Chat公開預覽版，<a href="https://www.ithome.com.tw/news/156829" target="_blank">一周後Google便跟著正式發表</a>基於LaMDA的AI聊天機器人Google Bard，雖然這兩家業者都企圖整合聊天機器人與搜尋引擎，但整合方式似乎有些不同。</p> <p>例如在Bing Chat中與AI對話之後，使用者可自AI的回應中點選所建議的結果並進行搜尋，而在Google搜尋中，倘若Google察覺AI可提供更好的解答，就會讓Google Bard的建議出現在第一筆。</p> <p>Amazon並未於全球的AI競賽中缺席，<a href="https://www.ithome.com.tw/news/156411" target="_blank">該公司在今年4月發表了</a>首個大型語言模型Titan，以及可用來存取各種基礎模型的Amazon Bedrock服務。</p> <p> </p> </div></div></div>
2023/5/16 12:21作者陳曉莉https://www.ithome.com.tw/news/156898
人才是確保國家網路安全關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安的重要性已是不言而喻的狀態，而關於資安人才不足的議題也存在許多年，而遲遲缺乏有效解方——儘管有企業透過內部培訓，也有機構與廠商推動資安證照，提供標準化的知識體系與認證機制，以及吸引資安社群參與的CTF網路攻防搶旗賽，或是各種研討會、小型聚會等形式的交流、學習與分享，然而，由於資安領域實在非常廣大，我們雖然知道有不同類型的資安工作內容，但過往從未有人細數到底有多少資安職務，因此，對於整體的職能體系總是缺乏了解。</p> <p>對於iThome而言，從2018年的CIO大調查開始，資安人力的現況就已是我們關注的焦點之一，試圖藉此掌握臺灣企業資安人力的需求變化，當時我們也更進一步接觸資安人才議題，而與一些政府專家學者接觸之後，得知美國已有網路安全人才框架NICE可供大家借鑑。</p> <p>不過，無論是資安威脅現況或資安產業的發展，雖然向來是民眾關心的，但隱藏在背後的資安人力供需問題，目前仍未得到足夠重視。</p> <p>事實上，在兩年前，就有更多企業亟欲招募資安人才，到了現在，需求越來越大，但也面臨更多實務上的問題，例如，企業是否找到建立資安團隊的方法？如何招聘或培訓擁有合適資安技能的人才？學界或培訓機構能否對應企業與產業的需求開課？</p> <p>因此，我們認為，資安人才這樣重要的議題，需要更多的關注與討論。而在2021年的臺灣資安大會上，首度增設CyberTalent資安人才專區，已成每年大會重點活動之一，2022年我們更製作了《臺灣資安職務地圖-2022新興資安產業版》手冊，盼大家更了解資安職能類型。</p> <p>到了2022年底，我們發現目前除了NICE框架，國際間還有另一個ECSF框架也至關重要。因為我們發現IT社群科技寫作競賽：iT邦幫忙鐵人賽當中，居然有人介紹歐盟甫發布的ECSF資安技能框架。這讓我們意識到越來越多國家重視資安人才技能的培育與發展。</p> <p>而在這本首度發行的2023資安人才專刊當中，我們不僅介紹臺灣與全球的資安人才需求現況，更是將兩大國際資安人才框架進行最通盤的解析，並且介紹臺灣資安人才框架的最新發展，希望各界對於建構資安人才知識體系，縮短資安技能差距，有更多關注與探討，而非停留在高喊缺人、卻不知到底需要與培育多少種資安人才的淺層討論。</p> <p>而在籌備這次資安人才專刊的過程中，我們有兩個發現：一是在ECSF框架12大資安工作角色中，資安教師也成一種人才類型；另一是得知國家資通安全研究院將在2023年第二季，推動全民資安意識。</p> <p>整體而言，無論育才、識才、用才，「人」都是關鍵，事在人為，不只是管理、攻防、技術，教育宣導的工作也要有人去推展。而且，不只是有人能具備各方面的資安專業，全民也都該提升資安意識。</p> <p> </p> <p><strong>羅正漢／ iThome 電腦報周刊資安主編<br /> <a href="mailto:[email protected]">[email protected]</a></strong></p> <p> </p> </div></div></div>
2023/5/16 10:00作者羅正漢https://www.ithome.com.tw/news/156619
打造臺灣金融專屬資安人才職能地圖，聚焦課程設計以促進培訓
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為提升臺灣金融業對資安的重視，金融監督管理委員會（金管會）逐步建議與提出要求，特別是在2018年3月，修訂了「金融控股公司及銀行業內部控制及稽核制度實施辦法」，新增第三十八條之一，開始明訂銀行業應設置資訊安全專責單位及主管，以展現機構對資訊安全的重視。</p> <p>上述這樣的要求，在2021年擴及到更多金融機構，也就是說，不只銀行業，保險業與證券業也應設置資訊安全專責單位及主管。</p> <p>而且，相關要求是逐年提升，像是需指派協理以上擔任資安專責單位主管，到需指派副總級以上兼任資安長。透過上述循序漸進的方式，不僅讓國內金融機構知道政策推動方向，及早做好資安人力強化的布局，甚至，後續還將這樣的要求擴及國內1700多家上市櫃公司，同時，也為國內市場創造更大的資安人才需求。</p> <p>不過，對於普遍金融業而言，在網路威脅日益嚴峻之下，原本就有資安人力規畫的需求，而金管會之所以要求公司副總擔任資安長，其意義更是在於期望公司提升其對資安議題的決策能量，增進董事會成員將資安風險納入經營考量，然而，不論資安長或主管、資安人員等職位，企業或組織要如何找到合適的人才，成為一大挑戰，是臺灣，也是全球都熱烈關注的重要課題。</p> <p>為了因應這樣的需求，金管會在2021年6月，發布了《金融資安人才職能地圖》，其設計就是參考行政院國家資通安全會報技術服務中心，所規畫的公務人員資安職能訓練，以及美國NIST發布的NICE網路安全人才框架，擬訂金融產業資安人才培訓所需架構，同時也參考了國內外資安訓練資源設計課程，希望為金融產業從事資安實務工作的在職人士，以及有志從事金融資安的產業人士，促進彼此之間對於職能的認知，以及產業資安人才培訓。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E9%87%91%E8%9E%8D%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%81%B7%E8%83%BD%E5%9C%B0%E5%9C%96.jpg" style="width: 600px;" /></p> <p><strong>我國金融監督管理委員會針對資安人才培育的強化，在 2020 年 8 月發布的「金融資安行動方案1.0」提出三項措施，第一項就是訂定金融資安人才能地圖，這項計畫目前已經完成；在後續的2.0版方案中，開設人才專班與鼓勵取得證照將持續進行，並新增配置多元專長資安人力的目標。</strong></p> <h2><strong>協助克服資安徵才不易的挑戰，金管會發展人才職能地圖</strong></h2> <p>關於金管會發布的<a href="https://www.fsc.gov.tw/websitedowndoc?file=chfsc/202107081856200.pdf&filedisplay=%E6%AA%94%E6%A1%887_%E9%87%91%E8%9E%8D%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%81%B7%E8%83%BD%E5%9C%B0%E5%9C%96(110%E5%B9%B47%E6%9C%88%E7%89%88).pdf">金融資安人才職能地圖</a>，簡單來說，其目的就是幫助國內的金融產業，可以更好招募資安人才投入金融領域，並促使金融機構培訓資安人才時能更有計畫性。</p> <p>對於這項職能地圖的發展，金管會資訊服務處長林裕泰表示，這是2020年就有的構想，時任處長蔡福隆期間，正擬定金融資安行動方案1.0，因此詢問了金融機構對於資安加強方面的期望，在許多答覆之中，都談到金融機構內部相當需要資安人才，但面臨找不到適合人力的現況。</p> <p>因此，金管會開始思索對策，如何從培訓層面提供幫助，像是如何從金融機構內部，將資訊業務的人，或是對資安有興趣但不是資訊業務的人，可以轉向資安職涯發展，或是連帶影響外部訓練機構或學校，讓有興趣的人士或學生也可找到相關課程，吸引加入金融領域。</p> <p>於是，有了發展金融業資安人才職務地圖的構想，而金管會在2020年發布的金融資安行動方案1.0，此時除了強化金管會內部的資安監理職能，提升資安檢查人員專業技能，為了幫助國內金融機構，針對整體金融業的第7項資安人才培育的部分，提到三項重點措施，其中，關於金融資安人才職能地圖的制定，就是第一目標，而在有此基礎之後，也將協調周邊單位開設金融資安人才養成專班，並鼓勵金融資安人員取得國際資安證照。</p> <p>基本上，金管會推行這個計畫，就是吸引更多人參與金融機構資安，也方便金融機構在招聘、求才與培育時，可了解從事資安工作所需的經驗或知識。</p> <p>接下來，負責這項計畫執行的F-ISAC，開始試著將金融領域資安，以及外部很多教育訓練機構開設的資安課程，做進一步的整理與分析，並建構適用於國內金融機構的內容。最終，2021年7月，《金融資安人才職能地圖》正式對外發布。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962s%EF%BC%89%E9%87%91%E8%9E%8D%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%81%B7%E8%83%BD%E5%9C%B0%E5%9C%96_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.png" style="width: 600px;" /></p> <p><strong>金管會資訊服務處處長林裕泰表示，關於「金融資安人才職能地圖」的規畫，是在2020年時就已有的構想，期望從培訓層面來提供幫助，幫助國內金融產業可以更好招募資安人才，並促使金融機構培訓資安人才時能更有計畫性。攝影／羅正漢</strong></p> <h2><strong>人才培育架構畫分3大類，涵蓋資安認知與10大專業領域</strong></h2> <p>在架構上，金融資安人才職能地圖主要畫分三大類別，分別是監督治理、安全開發及資安維運，在各類別之下，涵蓋10個專業領域，或者我們也可將其視為10種工作職務。</p> <p>以監督治理而言，涵蓋專業領域包括：策略規畫、法令遵循、風險管理、資安管理、資安稽核。</p> <p>以安全開發而言，涵蓋系統規畫、軟體開發、品管測試。</p> <p>以資安維運而言，涵蓋系統網路管理、弱點管理、資安防護、事件應變。</p> <p>另有一項「資安認知」，則被視為三大類別都要具備的基礎領域。</p> <p>同時，框架中也針對上述這10加1種領域，一一對應至單位（規畫或執行），以及所需的工作核心職能。</p> <h2><span style="color: rgb(0, 153, 255);"><strong>金融資安人才培育架構涵蓋3大類別，並且以10大專業領域與資安認知領域組成</strong></span></h2> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖1）金融資安人才職能地圖.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%961%EF%BC%89%E9%87%91%E8%9E%8D%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%81%B7%E8%83%BD%E5%9C%B0%E5%9C%96.jpg" style="width: 605px; height: 576px;" /></a></p> <h2><strong>幫助人才培訓更有方向，課程設計是職能地圖一大重點</strong></h2> <p>除了對於能力的要求，金融資安人才職能地圖有何特點？簡單來說，這份職能地圖特別強調課程設計的搭配。</p> <p>基本上，金管會在此將課程內容區分為通識、基礎、進階，共三個等級，使得培育人員檢視具備各領域所需職能時，可以有循序漸進的方式，同時，對於上述各項基礎資安認知及專業領域，也都列出所需具備的核心職能與課程。</p> <p>為此，這份職能地圖有三個重要的附錄，包含「課程設計」、「領域核心職能與課程對照表」，以及「學習地圖」，不論是金融業者、周邊單位、培訓機構、資安人員，以及有意投入金融資安領域的民眾來使用，都可以直接對照著檢視或參照，就能使用。</p> <p>基本上，從附錄一的課程總表，以及附錄三的學習地圖來看，在通識課程方面有3門，基礎課程有19門，至於進階課程有13門。</p> <p>簡單來說，通識課程等於是必修，主要為資訊安全概論、ISMS資訊安全管理系統，以及資安法規介紹，也就是10個領域的資安人才，都要接受這方面的培訓。</p> <p>在基礎課程方面，屬基本資安能力養成，聚焦人員日常資安維運作業能力，資安防護技術導入及建置，開發安全應用程式、網路攻擊及防禦技術應用等；在進階課程方面，則是針對各類資安主題深入探究，較為特別，同時也包含了專業分析與規畫、理論，以及實務整合應用的能力。</p> <p>而透過學習地圖的呈現，我們可以一目了然瞭解到10個專業領域（職務）在培訓上，所需的基礎與進階課程，等於讓培訓計畫能有系統性的參照。</p> <p>例如，以程式設計的領域而言，除了必修的通識項目，這裡制訂的基礎課程有6門，包括資安防護基準、辦公室作業安全、程式開發安全、網頁／行動應用程式安全、金融行動支付安全，以及軟體測試除錯；而進階課程將聚焦在特定資安主題，例如，包含金融業密碼學應用實務、區塊鏈安全、進階程式及網站安全、晶片卡及ATM安全，SWIFT Security bootcamp，以及信用卡PCI DSS資安合規政策。</p> <h2><strong>金融資安專業更重視符合規範，法規遵循知識技能成為必備</strong></h2> <p>從上述內容來看，我們可以發現金融資安人才職能地圖的不同之處。</p> <p>比起普遍企業能通用的職能地圖，這份框架不僅是強調培訓課程的展現，並擴及金融領域專屬的知識技能，其他還囊括FinTech 應用與科技風險、人工智慧於金融資安應用等。</p> <p>令人好奇的是，上述這些特性就是金融領域人才專業需求的最大不同嗎？對此，林裕泰表示，與八大關鍵基礎設施相比，金融領域資安防護範圍，基本上都還是以IT基礎架構的環境為主，也就是說，與普遍企業的資安或資訊經驗，其實不會差別太大，不像許多關鍵基礎設施產業會涵蓋OT環境領域。</p> <p>但要論起特別之處，林裕泰特別點出一件事：金融業屬於受到高度監管的產業，並且是非常講究合規的產業，因此，不管是上述提到的ATM、信用卡等，不論是在國際標準、產業標準或政府法令規範中，都會面對許多的法規遵循要求。也就是說，在金融領域中，對於規範訂定的對象，底層要用那些資安或資訊技術來符合規範，可能是金融產業更重要的特性。所以說，在看待人才時，懂資安合規的層面也會相當側重。</p> <p>因此，從上述這些金融領域專業的課程來看，不一定都是技術面的內容，會更強調如何促使相關技術組合應用並符合規範。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖2A）金融資安人才職能地圖.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%962A%EF%BC%89%E9%87%91%E8%9E%8D%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%81%B7%E8%83%BD%E5%9C%B0%E5%9C%96.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖2B）金融資安人才職能地圖.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%962B%EF%BC%89%E9%87%91%E8%9E%8D%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%81%B7%E8%83%BD%E5%9C%B0%E5%9C%96.jpg" style="width: 600px;" /></a><br /> 註：<span class="markedContent" id="page57R_mcid6"><span dir="ltr" role="presentation" style="left: calc(var(--scale-factor)*103.94px); top: calc(var(--scale-factor)*84.52px); font-size: calc(var(--scale-factor)*12.00px); font-family: sans-serif; transform: scaleX(1.00043);">培訓順序，由基礎至進階，課程層級由上至下</span></span><br /> </p> <h2><strong>金管會現正擴大培訓計畫，促進產業資安人才技能提升</strong></h2> <p>為了提升人員能力，可透過課程來引導學習與驗證，然而，這些課程開設是否存在挑戰？林裕泰表示，金管會有三個主要的訓練機構，包括金融研訓院、證期會、保發中心，這些單位本來就會規畫年度訓練課程，現在他們也都參照現有的職能地圖內容去微調課程，或是做為新課程規畫的參考，因此，這將帶動正向的發展。</p> <p>不過，林裕泰也強調，這樣的職能地圖框架屬於軟性的內容，並非硬性規定，主要也是順應資安與資訊都是屬於快速變動的產業環境，而且，人才來源有很多種管道，大公司與小公司對職能的要求也不一樣——大公司可能人多，需要的分工就會很細，專精就能做好工作，而小公司也許只有一個人或是兩三個人，就要負責全部的東西，因此知識技能需求要更廣。</p> <p>所以，林裕泰認為，有了這樣的職能地圖作為參考指標，是有助於教育訓練跟內部人才配置的參考應用。</p> <p>但在考量使用的設計上，從金管會的角度來看，還是要回歸初衷，讓各方在不論是討論與人才教育訓練時，都能有較為共通可以對焦的內容。</p> <p>整體而言，金管會已陸續開設了一些資安訓練課程，以增加資安人力的培訓。然而，有些課程很快就額滿，無法滿足需求，還有一些實作和技術性較強的課程開設較為困難。因此，在金融行動方案2.0的框架下，金管會希望增加開課能量，並逐漸將一些進階技術性深入的課程形成常態。</p> <p>例如，以F-ISAC本身的任務而言，雖然不是屬於訓練機構，但在政策的配合下，現在也開設一些技術性更深入的課程，具有先導意義。未來，F-ISAC希望能夠將這些課程轉變成常態性的學習課程，引進一些企業目前可能尚未重視的內容。</p> <p>事實上，這幾年F-ISAC也會舉辦紅藍軍對抗等演練的訓練計劃，並與專業訓練機構合辦資安技術認證的課程，例如，前幾年曾開設EC Council認證的SOC分析師（CSA）課程。</p> <p>而2023年的目標，除了希望繼續加強實戰攻防的課程，也預計開設ECIH資安危機處理員的認證課程，請學員上課並考照，增加各個領域的認知。</p> <h2><strong>鼓勵多元資安職能人才配置及專業資安證照取得 </strong></h2> <p>關於金融資安人才職能地圖的最後一個重點在於，先前金融行動方案的人才培育中已經提到，鼓勵金融資安人員取得國際資安證照，而在金融資安人才職能地圖中，附錄四也提供了「課程與資通安全專業證照對照表」。</p> <p>對此，林裕泰表示，其實，一開始職能地圖的設計上，只是單純依照不同職務列出所需要的知識技能，後來才將證照納入。</p> <p>但回過頭來看，現在有了資安證照的綜整對應，也能夠提供職能地圖的使用者額外的幫助。例如，一些人可能沒有接受正統的資訊安全訓練，但他們對資訊安全非常有熱情，並希望自學相關知識。在這種情況下，透過取得相關的資訊安全證照，可以提供一條取得入門及進階技能的管道。</p> <p>另一方面，有的人本身就已考取多種類型證照，不可能再去遷就職能地圖所列課程重新學習，因此，在附錄四提供的對照表，就是將每個證照與可免除的課程層級做出對應。</p> <p>對於金管會鼓勵金融資安人員取得證照，林裕泰表示，從公司治理的角度來看，金融機構內部仍然保有用人用才的彈性，不會強制要求員工取得證照。</p> <p>但金管會也是會有調查統計，主要是了解整個人力的應用趨勢。包括培訓機構培訓了多少人，金融機構內有考取資安證照的有多少人，但這不會公布，畢竟取得國際資安證照屬於鼓勵性質，因此沒有對外揭露變成數量比拚的結果。</p> <p>以金管會的設想來看，證照可視為人員技能提升的誘因與激勵，像是金融機構可以透過課程補助、薪資提高和福利措施等方式，促進員工的主動學習，鼓勵員工取得證照以提升技能水準，並且也促進了金融機構的正向發展。</p> <p>至於金融機構人員在職需要那些證照，還是回到公司本身的角度，去進行審核與鼓勵取得，而金管會也同樣站在支持的立場，協助業者降低培訓成本，鼓勵資安人員考取相關證照。</p> <p>特別的是，在金融行動方案2.0中，金管會針對原先鼓勵取得證照的措施上，有了更進一步的目標，就是推動多元證照取得。</p> <p>在過往調查中，以國內金融業者人員而言，取得類似ISO 27001 LA的證照，已經算是普遍，未來他們也希望進一步促進證照取得多元化。</p> <p>也就是說，金融機構應評估自身IT與資安的運作架構，以及是自行開發或委外為主等，思考人力配置是否足夠，思考內部運作型態需要什麼樣的多元人才，因為金融業資安範疇並非只有ISO 27001 LA，也應該要根據系統開發、網路管理、資安設備管理，以及駭客攻防等不同面向，擬定相應的證照取得策略。由此角度來看，證照不僅是幫助學習的手段，也可成為金融業可以盤點自身的一種方式。</p> <p>另外，關於職能地圖是否持續改版，以及我們知道金融開放上雲，國內外資安專家強調重視雲端安全方面人才，對此，林裕泰表示，其內容本來就需要不斷修正，2023年行動資安方案2.0推出時，就有執行方向的不同，所以也會進行微調，但變動不至於太大。</p> <h2><span style="color: rgb(0, 153, 255);"><strong>「資安管理」專業領域職能一覽</strong></span></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E9%87%91%E8%9E%8D%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%81%B7%E8%83%BD%E5%9C%B0%E5%9C%96.jpg" style="width: 600px;" /></p> <p><strong>在「金融資安人才職能地圖」提供的領域核心職能與課程對照表中，針對10大專業領域與資安認知，一一列出該領域職能與課程需求。以「資安管理」專業領域為例，就列出四大核心職能，以及該領域所對應的通識、基礎與進階課程，讓培育人員時有循序漸進的依據。圖片來源／金管會</strong></p> <h2><span style="color: rgb(0, 153, 255);"><strong>臺灣金融職能地圖不只規畫課程，也考量資安專業證照而特別列出免修對照表</strong></span></h2> <p><span style="color: rgb(0, 153, 255);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%964%EF%BC%89%E9%87%91%E8%9E%8D%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%81%B7%E8%83%BD%E5%9C%B0%E5%9C%96.jpg" style="width: 600px;" /></strong></span></p> <p><strong>金管會在鼓勵金融資安人員取得國際資安證照上，不僅協助業者降低培訓成本，在對應課程設計上，還會定期依據行政院公布的資通安全專業證照，衡量該證照評鑑項目，提供已有證照且有效者可免除相關培訓課程清單，無須再耗費心力於不需要的課程。</strong><br /> </p> <p><strong style="font-size: small; vertical-align: top; background-color: rgb(247, 247, 247); color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif;"><span style="vertical-align: top; color: rgb(51, 153, 255);"><span style="vertical-align: top; font-size: 20px;">本文出自《CYBER TALENT 臺灣資安人才專刊》</span><img alt="" src="https://s4.itho.me/sites/default/files/images/CYBER%20TALENT%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E5%B0%88%E5%88%8A_%E7%B7%A8%E8%BC%AF%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 150px;" /></span></strong></p> </div></div></div>
2023/5/16 10:25作者羅正漢https://www.ithome.com.tw/news/156897
臺科大資工系教授揭露開源5G新風險，得小心駭客打造惡意基地臺發送偽造簡訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當5G愈來愈普及，5G網路的資安風險愈不容忽視，臺科大資工系教授，同時也是數位發展部資通安全署副署長的鄭欣明帶領5G研究團隊，利用開源軟體在實驗室建立5G網路環境，他指出，開源軟體讓任何人可以實作5G網路，但是駭客同樣可透過開源軟體建立惡意基地臺，假冒合法基地臺取得用戶手機的裝置資訊，定位追蹤使用者或是發送惡意簡訊，或是上傳惡意程式至O-RAN近前端元件，佔用網路資源達到癱瘓網路的目的。</p> <p>鄭欣明指出，過去電信網路設備是在專門的硬體或晶片上運作，以提高網路的速度、服務品質，但在進入5G之後，有志之士根據5G規格，開發軟體將5G的協定實作出來，並且開源出來，任何人可以下載這些開源軟體，只要搭配適合的無線電硬體，就能實作出5G基地臺。</p> <p>開源軟體加上硬體，實作出5G網路環境，包括基地臺、核網，不只5G NSA網路，還有5G Non-Public Network，也就是專網。鄭欣明帶領的研究團隊，他們利用開源軟體搭配合適硬體，在實驗室內實作搭配MEC邊緣運算的小型5G智慧專網，因為經費不足以購買真正的機械手臂，實驗團隊以樂高組合機器手臂，利用這個小型的實驗專網控制手臂。</p> <p>「5G基地臺搭配MEC，就能實作出智慧專網，這些都能透過開源軟體實現」，鄭欣明說。研究團隊以軟體定義無線電SDR技術實作O-RAN，建立5G O-RAN專網環境。有心人士也能以開源軟體實作5G基地臺，再根據電信業者的網路環境作調校，偽裝成合法的基地臺，對用戶發動攻擊，稱為偽基地臺（Rogue BS）的攻擊。</p> <p>由於採用免費的開源軟體、搭配數萬元臺幣的硬體，就能建立惡意5G基地臺，和數百萬元售價的電信等級基地臺相比成本降低許多，雖然以SDR打造的基地臺穩定度無法相比，但鄭欣明認為，SDR技術讓偽基地臺攻擊手法實現成為可能，只要通過軟體定義便能控制偽造基地臺的功能。</p> <p><span style="color:#B22222;"><strong>惡意基地臺可偽造簡訊，甚至發送假的國家級警報</strong></span></p> <p>目前國內5G服務為5G NSA非獨立組網架構，也就是5G服務和現有的4G網路依存，當用戶使用5G時，手機與行動網路的信令溝通（Control Plane），仍是依照4G eNB基地臺，傳送到4G核網，只有數據傳輸（Data Plane）時才使用5G gNB基地臺。換言之，既有4G在信令層安全問題仍存在5G NSA網路。</p> <p>舉例來說，一般手機內的SIM卡，每張SIM卡都有獨特的IMSI（International Mobile Subscriber Identity）及金鑰，當4G手機連接電信商的基地臺，再連到後方的核心網路，SIM卡和電信商網路之間就會確認IMSI及金鑰，通過多向的交握過程，相互驗證彼此身分，SIM卡需驗證所連接的電信商網路是合法的，電信商網路也要驗證SIM卡的合法性，這個過程稱為Authentication and Key Agreement（AKA）驗證。</p> <p>但是當惡意的基地臺偽裝為合法的基地臺，相比電信商的合法基地臺，攻擊者讓偽基地臺更接近用戶，當用戶的手機偵測到新的基地臺，會誤認為使用者移動到新的基地臺，因偽基地臺更接近用戶，在取得較佳行動網路訊號下，用戶的手機會自動和偽基地臺連接。然而，偽基地臺無法連接電信商網路進行AKA驗證，因此惡意基地臺和用戶的手機連接，會利用進入AKA驗證之前的程序進行攻擊，而在AKA驗證之前，訊息傳送為明文進行。</p> <p>如此一來，惡意基地雖無法連接電信商網路，但仍可傳送訊息「欺騙」用戶手機，鄭欣明指出，例如偽造的惡意基地臺回報該手機未通過暫時性的IMSI驗證，取得手機裝置真正的原始IMSI，再透過種種方式追蹤該支手機的位置，或是發動Dos阻斷服務攻擊，讓這支手機誤以為沒有通過驗證，無法連接特定區域的電信商網路，暫時無法通話。</p> <p>鄭欣明指出，這是協定設計上的錯誤，在手機與基地臺進入AKA驗證程序之前，手機預設相信基地臺回傳的訊息，不論是合法或惡意的基地臺。</p> <p>甚至，可以傳送偽造的訊息至該手機，側如假冒電信商的名義發送簡訊給手機，告訴該名用戶為每月發送的測試訊息，或是發送假的國家級警報，以假亂真，警報內容可以隨意偽造，並附上偽造的連結。</p> <p>鄭欣明表示，惡意基地臺偵測並不容易，使用低成本發射裝置改造的惡意基地臺，和電信商採用的電信等級基地臺，可以偵測訊號的穩定度，作為辨別惡意基地臺、電信基地臺的依據，但因為用戶手機已收到惡意基站的訊息，多屬於事後的偵測，如何在事前偵測惡意基站是一項挑戰。</p> <p><span style="color:#B22222;"><strong>O-RAN存在安全風險</strong></span></p> <p>至於O-RAN也存在安全風險。鄭欣明指出，為了能在靠近資料的前端快速作AI運算處理，O-RAN在O-CU的Near RT-RIC上，可部署第三方開發的xApp或rApp應用，加速地端資料的分析應用，O-RAN在較靠近基地臺的前端部署聰明的元件，蒐集當下的資料進行運作，以提升資源的管理、服務效能，但是此一設計產生新的連接介面、元件，連帶衍生出連接介面是否安全，以及這些元件間彼此是否經過驗證授權等問題</p> <p>例如開放第三方上傳xApp到RIC，雖然能改善資源使用、服務效能，但如果有心人士上傳惡意的xApp或rApp應用，利用Fork bomb耗用網路的資源，進而降低效能。鄭欣明表示，目前上傳xApp並沒有檢測機制，為了防範惡意的xApp或rApp攻擊，建議可以檢測其程式碼，或是對其行為偵測機制，或是其他人建議建立安全、可被信賴的xApp市集。</p> <p>鄭欣明表示，5G確實因開源軟體能夠實作很多實驗環境，實現Open-RAN，但也存在一些安全風險，例如惡意基地臺攻擊，利用規格設計的失誤，對公眾產生影響，這些是5G NSA的風險，直到5G SA架構，在規格的選項之一是加強信令簽章，才比較改善這個風險。另外，在O-RAN的環境下，雖可透過第三方應用優化網路效能，但也不能相信所有的xApp是善意的，必需建立檢測機制，預防惡意xApp。</p> </div></div></div>
2023/5/16 10:44作者蘇文彬https://www.ithome.com.tw/news/156879
OpenAI向ChatGPT Plus用戶開放擴充套件功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI在<a href="https://twitter.com/OpenAI/status/1657128759659745280">推特</a>上宣布將對ChatGPT Plus使用者，<a href="https://openai.com/blog/chatgpt-plugins">開放擴充套件Beta測試功能</a>，這將使用戶能夠用到，各種結合語言模型的擴充功能。用戶可以從設定中的Beta功能頁籤中開啟新功能，除了第三方的擴充套件，OpenAI也有兩個自家的擴充套件，分別為網頁瀏覽以及程式碼直譯器。</p> <p>雖然ChatGPT功能強大，可用於解決多種任務中，不過語言模型仍有許多先天限制，像是太新、私密或是過於針對性的資料，都會難以被納入語言模型的訓練資料中，而擴充套件則能夠突破這項限制，以更安全且受限的方式提供額外功能。</p> <p>ChatGPT Plus用戶可以用到的第一批擴充套件，包括Expedia、FiscalNote、Instacart、KAYAK、Klarna、Milo、OpenTable、Shopify、Slack、Speak、Wolfram和Zapier，而OpenAI自家也推出兩個擴充套件，為網頁瀏覽以及程式碼直譯器。</p> <p>網頁瀏覽讓語言模型可讀取網頁資訊，運用更即時的語料，擴展ChatGPT所能夠討論的話題。過去當用戶向ChatGPT提出訓練資料不足以回答的問題，ChatGPT會禮貌性拒絕回答，而現在只要用戶開啟ChatGPT Beta測試功能，並且選用具網頁瀏覽功能的GPT-4模型，ChatGPT將會使用Bing API搜尋內容，回答最新時事相關問題。</p> <p>另外，OpenAI的另外一個程式碼直譯器擴充套件，則是在沙盒中提供整合Python直譯器的模型，能夠生成開發者要求的程式碼，並且在擴充套件中執行Python程式碼。程式碼直譯器擴充套件允許開發者使用臨時磁碟空間，上傳檔案到對話工作區，或是下載模型輸出結果。</p> <p>官方提到，這個擴充套件提供更自然的程式開發形式，降低開發障礙將吸引更多使用者族群編寫程式。在初步的OpenAI用戶研究中，這個擴充套件的特殊用例包括解決數學問題，執行資料分析和視覺化，也能夠轉換檔案格式。</p> </div></div></div>
2023/5/16 08:58作者李建興https://www.ithome.com.tw/news/156880
Flutter 3.10預設iOS使用高效Impeller渲染引擎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google更新開源跨平臺UI框架釋出最新的<a href="https://medium.com/flutter/whats-new-in-flutter-3-10-b21db2c38c73">3.10版本</a>，Flutter 3.10更新元件主題和視覺效果，使Material函式庫規範符合Material 3。除了介面之外，Flutter 3.10的引擎也有不少更新，在iOS裝置程式效能將有感提升。</p> <p>早在Flutter 3.7版本的時候，開發團隊在iOS添加了預覽版的Impeller渲染引擎，解決Flutter程式剛啟動時，因為著色器導致效能不穩（Jank）的狀況。Impeller在建置階段，就會預先編譯一組輕量著色器，因此由於Impeller不在執行時編譯著色器，也就能減少效能波動。</p> <p>現在從Flutter 3.10開始，所有iOS應用程式都使用Impeller，Impeller從預覽版以來，已經有許多改進，包括透過精簡渲染程序，Impeller能夠使用更少的記憶體，而且在較新的iPhone、iPad上，還能夠啟用有損貼圖壓縮技術，在不影響傳真度（Fidelity）的前提下減少記憶體使用。</p> <p>這些改進在複雜的應用上，會有明顯的效能提升，像是在Wonderous應用程式中，渲染畫面所使用的記憶體可能減少接近一半，而這也連帶降低GPU和CPU的負擔。Impeller滿足大多數的Flutter應用程式渲染需求，但是開發者也可以根據需求選擇不使用Impeller。目前Android版本的Impeller引擎還在開發階段，尚未進入預覽階段。</p> <p>在Flutter 3.7開發團隊將載入本地端圖像的平臺執行緒，轉移到底層Dart執行緒，避免對平臺執行緒中的垂直同步事件造成延遲，但是這個改動卻對Dart執行緒造成額外的工作，導致畫面出現卡頓，在Flutter 3.10中，開發團隊把本地圖像的開啟和解碼工作，從Dart執行緒移到後臺執行緒，如此不只解決畫面卡頓問題，也避免造成垂直同步事件延遲，在基準測試中，多個圖像同時載入的時間縮短一半。</p> <p>開發團隊原本在Flutter 3.0版本的渲染流程，對Android應用啟用一項先進的渲染功能，使應用程式能夠只重新繪製有變化的畫面區域，而非總是更新整個畫面，藉此提高渲染效率，但是開發團隊提到，他們發現這個功能在實際運作時，效果不如當初的期望，而且並非所有裝置和Android版本都支援。</p> <p>因此開發團隊最後決定在Android上停用這個功能，但是會持續在iOS中的Skia引擎啟用，並且也計畫添加到Impeller渲染引擎。</p> </div></div></div>
2023/5/16 09:08作者李建興https://www.ithome.com.tw/news/156891
全校導入雙因數認證，北醫大揭不雅合成照勒索後因應之道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年3月，臺灣幾所大學的教授紛紛收到不雅合成照的勒索信件，要求教授支付款項，否則就散布這些照片。臺北醫學大學就是受害學校之一，臺北醫學大學副資訊長許權廣日前在臺灣資安大會中揭露後續因應措施，如在照片人臉處添加浮水印、啟動全校雙因數認證，來保障校園資訊安全。</p> <p>許權廣指出，這項勒索行為，是勒索歹徒擷取學校教授照片，將教授臉部換置到不雅床照中，再亂槍打鳥式的發電子郵件給多位教授，威脅付款。他回憶，3月多的一晚，他接到多位教授來電，說收到不雅合成照郵件，要求支付款項。他仔細看了教授轉寄的信件，發現照片是低解析度的黑白照，乍看之下容易以為真有那麼一回事。</p> <p>為避免臉部照片遭濫用，他首先想到的應對措施是，將教職員的臉部照片加上浮水印，並在隔天發出通告，告知教職員和學生這種換臉新型詐騙手法。他們不只說明詐騙手段，也說明處理方式，如學校資安組已通報警政署反詐騙專線165、請檢察官介入處理，同時列出可疑的帳號，如以jackfa、asdfd、bencs為首的Email帳號，以及zt056的Line ID。</p> <p>不只如此，為加強校園資安防護，北醫大也在3月21日全面啟動雙因數認證，當使用者從陌生裝置登入Email時，得透過手機驗證才行（如下圖）。這麼做雖然多一步操作，但能確保校園資訊安全，是打好使用者資安基礎的不二法門。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_1790.jpeg" /></p> </div></div></div>
2023/5/15 17:49作者王若樸https://www.ithome.com.tw/news/156887
【資安日報】5月15日，誠品書店外洩個資傳出遭支持中國武統人士利用，對臺灣民眾發動心理戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣網路商城個資外洩事件頻傳，伴隨而來的是各式各樣的詐騙事故，但如今這些流出的購物記錄不只被駭客用於騙錢，還出現了認知作戰攻擊。有名社會運動人士曾在誠品網站購書，結果上週末接到冒充該公司進行市調的電話。但罕見的是，對方並非宣稱扣款錯誤等理由進行金融詐騙，而是不斷宣傳與表達「中國會武力統一臺灣」的主張。</p> <p>豐田汽車再傳資安事故！這次是雲端服務配置不當的情況，而且，這些資料竟曝露7至10年之久。而這並非該公司因組態配置不當惹禍──2022年10月，<a href="https://www.ithome.com.tw/news/153565">他們表示因GitHub的帳密資料曝光</a>，導致近30萬名行動應用程式T-Connect用戶被公開。</p> <p>與列印管理系統PaperCut有關的漏洞攻擊行動也相當值得留意，繼勒索軟體駭客Clop、LockBit陸續濫用這個弱點，現在也傳出伊朗駭客APT35、Muddywater，以及勒索軟體駭客Bl00dy也都著手發起相關的攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://news.ltn.com.tw/news/politics/paper/1582972"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">有人在誠品網路書店買書後，接到宣傳統戰資訊的市調電話，疑中國將其用於對臺民眾進行心理戰</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/346851015_766470245064522_3673515591524448783_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/346851015_766470245064522_3673515591524448783_n.jpg" style="width: 300px; float: right;" /></a>誠品個資外洩事故不時傳出，該公司亦被內政部警政署刑事警察局長期被列為高風險賣場，但如今相關個資疑似被用於中國統戰宣傳。</p> <p><a href="https://www.facebook.com/Statebuilding.tw/posts/pfbid02JY7bvKE7HRWJmnnppewPqgDoFvy3DcHuhfnQ1a1BKy6vx5Kr8YAUSA1RaAU8aoLsl">台灣基進黨於5月14日召開記者會</a>，原因是台灣佇遮計畫副執行秘書楊欣慈於今年2月購入「阿共打來怎麼辦」一書，結果於5月13日接到自稱是誠品書店人員的回訪市調電話，但對方不斷逼問讀書心得，強調此書內容極為敏感、不恰當，並恫嚇「中國必然武統」、「中國軍事實力很強，臺灣絕對不可能戰勝」、「美國不會幫忙」等。雖然對方強調自己是臺灣人，但口音、用語明顯來自中國，楊欣慈認為，這類電話很可能是相當有組織性的行動，企圖左右臺灣人的想法，<a href="https://www.facebook.com/iunn.him.tsu/posts/pfbid0gnDQTeowYUZTnbJu2pwckYCVy8B4SmFTou5s1n5TjHDTeReSDfPYeV6Drfq8b8c6l">她也公布了電話內容</a>，提醒民眾提高警覺。</p> <p>對此，誠品承諾持續強化資訊安全防護，並定期提醒顧客。數位發展部要求誠品於15日提出相關說明，釐清相關個資保護措施是否符合法規。</p> <p><a href="https://company.toyotaconnected.co.jp/news/press/2023/0512/　"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">日本215萬臺豐田汽車的位置資料曝光長達10年，起因是雲端服務的配置不當釀禍</span></strong></a></p> <p>5月12日豐田汽車表示，該公司的雲端服務配置錯誤，導致215萬輛車輛的位置資訊公開在網路上，車上的攝影機拍攝的影片也曝露近7年。</p> <p>使用T-Connect、G-Link、G-Link Lite、G-Book服務的用戶受到影響，自2012年1月2日至2023年4月17日的車輛定位資訊，包含車載設備ID、車身號碼（VIN）、車輛位置等，自2013年11月6日開始可被外部存取。再者，該公司企業服務所收集的行車記錄器影像，也出現曝露在網際網路上的情況，自2016年11月14日到2023年4月4日可被任意人士存取。</p> <p>對此，該公司認為起因是對於員工資料處理政策的說明不夠徹底，並強調這些資料沒有遭到濫用的跡象。</p> <p><a href="https://www.bleepingcomputer.com/news/security/discord-discloses-data-breach-after-support-agent-got-hacked/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">即時通訊軟體Discord證實資料外洩，使用第三方應用程式的用戶恐曝險</span></strong></a></p> <p>根據資安新聞網站Bleeping Computer的報導，即時通訊軟體Discord察覺透過特定第三方客戶服務代理程式進行的未經授權存取，此事故曝露了客戶支援的工單內容，包含使用者的電子郵件信箱、使用者與Discord客服通訊的內容及附件檔案。</p> <p>Disocord註銷遭到入侵的帳號，並針對受到影響的電腦完成惡意程式檢查。該公司亦與客戶服務的合作夥伴改善相關流程，來避免這類事故再度發生。他們初步評估，此起事故帶來的風險有限，但呼籲用戶仍要留意可疑訊息或是活動。</p> <p><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-131a"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">教育機構的列印管理系統PaperCut遭到勒索軟體駭客Bl00dy盯上</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/bl00dy_gang_ransomware_note.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/bl00dy_gang_ransomware_note.png" style="width: 300px; float: right;" /></a>美國聯邦調查局（FBI）與網路安全暨基礎設施安全局（CISA）聯手發出警告，勒索軟體駭客Bl00dy自2023年5月上旬，積極利用列印管理系統PaperCut的重大漏洞CVE-2023-27350，攻擊教育機構曝露在網際網路上的伺服器。</p> <p>駭客不只利用上述漏洞繞過身分驗證機制，並利用管理員身分存取伺服器，然後啟動具備相同權限的命令提示字元與PowerShell處理程序，進行橫向感染，最終竊取內部資料並加密檔案，且留下勒索訊息。</p> <p><a href="https://twitter.com/MsftSecIntel/status/1654610012457648129"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">伊朗駭客也針對列印管理系統PaperCut漏洞發動攻擊</span></strong></a></p> <p>微軟威脅情資團隊發現，在研究人員公布列印管理系統PaperCut的重大漏洞CVE-2023-27350的概念性驗證程式碼（POC）後，伊朗駭客組織APT35（亦稱Mint Sandstorm）、Muddywater（亦稱Mango Sandstorm）開始發起相關的漏洞攻擊行動。</p> <p>研究人員指出，APT35的攻擊影響了全球各地的不同產業，而對於Muddywater的部分，他們則是看到駭客利用先前入侵的工具連接C2中繼站，但相關漏洞利用的頻率較低。而這是研究人員發現勒索軟體駭客組織Clop與LockBit的攻擊行動後，另一波利用相同漏洞的攻擊行動。</p> <p><a href="https://abnormalsecurity.com/resources/exploring-rise-of-israel-based-bec-attacks"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">以色列駭客假借公司併購名義，針對跨國企業發動商業郵件詐騙攻擊</span></strong></a></p> <p>資安業者Abnormal Security揭露以色列駭客組織發起的商業郵件詐騙（BEC）攻擊行動，這些駭客針對至少100個營收超過100億美元的大型跨國企業而來，在2年內發起350次以上的攻擊，這些企業橫跨全球各行各業，又以製造業、金融業、科技產業的比例最高。</p> <p>駭客先是佯稱目標企業的執行長，並在信件裡透露併購新公司的事宜，且強調在正式公告之前必須保密，否則有可能因為風聲走漏而失敗，此外，基於稅務考量，此併購計畫不會由總公司出面，必須由收到信件的高階主管經手，分期付款買下待併購的公司。待冒牌執行長與目標人士信件往來一段時日，駭客再偽裝成知名會計師事務所KPMG的律師，提供銀行帳號等匯款資訊，值得留意的是，這個階段駭客也可能透過WhatsApp與收信人交談。由於駭客假借公司併購的名義行騙，他們平均索討的金額為71.2萬美元，相較於一般BEC平均6.5萬美元高出10倍。</p> <p>而在電子郵件層面所採用的攻擊手法，駭客也試圖騙過郵件安全系統──他們會確認目標企業是否採用DMARC政策，來決定如何騙過相關資安系統，並透過合法網域來寄送郵件，比較特別的是，為了取信收信者，駭客還會在寄件人的名稱部分加上電子郵件信箱，讓收信人降低警覺。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.char49.com/articles/we-dont-have-a-ferrari-but-we-had-their-database-credentials"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">超級跑車製造商法拉利WordPress網站出現漏洞，起因是使用舊版外掛程式</span></strong></a></p> <p>資安業者Char49於今年3月發現義大利超級跑車製造商法拉利的網站media.ferrari.com出現漏洞，起因是該網站所使用的WordPress外掛程式W3 Total Cache沒有更新，存在漏洞CVE-2019-6715，攻擊者可在沒有通過身分驗證的情況下，讀取任意檔案。</p> <p>研究人員以此漏洞存取wp-config.php檔案，存取當中明文儲存的WordPress資料庫帳密來進行驗證，但研究人員認為，此漏洞有可能帶來更嚴重的危害。法拉利獲報後，升級此外掛程式來緩解漏洞。</p> <p><a href="https://www.bleepingcomputer.com/news/security/new-linux-kernel-netfilter-flaw-gives-attackers-root-privileges/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Linux核心漏洞NetFilter恐被用於取得root權限</span></strong></a></p> <p>根據資安新聞網站Bleeping Computer的報導，研究人員Patryk Sondej與Piotr Krysiuk發現了Linux核心的漏洞CVE-2023-32233（尚無CVSS風險評分），該漏洞出現於其內建的網路位址轉譯（NAT）框架Netfilter，起因是當中的nf_tables子系統能接收無效的組態更新，而使得本地使用者可提升至root權限，從而控制整個系統，影響包含6.3.1版在內的所有Linux核心。</p> <p>對此，開發人員Pablo Neira Ayuso提交了修補程式碼，透過2項函式功能來管理nf_tables子系統，進而達到緩解漏洞的目的。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/156849"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">主要目標鎖定臺灣的駭客組織Taidoor，具備經營12個惡意程式家族的開發量能</span></span></strong></a></p> <p><a href="https://ec.ltn.com.tw/article/breakingnews/4297181"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">台達電、飛宏爆內鬼，高階主管竊取特斯拉充電樁機密投靠中國科技公司</span></span></strong></a></p> <p><a href="https://claroty.com/team82/research/chaining-five-vulnerabilities-to-exploit-netgear-nighthawk-rax30-routers-at-pwn2own-toronto-2022"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露Netgear路由器漏洞細節</span></span></strong></a></p> <p><a href="https://www.bitdefender.com/blog/businessinsights/deep-dive-into-downex-espionage-operation-in-central-asia/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中亞政府遭到惡意軟體DownEx攻擊</span></span></strong></a></p> <p><a href="https://www.fortinet.com/blog/threat-research/rapperbot-ddos-botnet-expands-into-cryptojacking"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">殭屍網路RapperBot不只利用受害裝置發動DDoS攻擊，也將其用於挖礦</span></span></strong></a></p> <p><a href="https://brave.com/privacy-updates/25-forgetful-browsing/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為強化使用者隱私保護，瀏覽器業者Brave推出Forgetful Browsing，目的是清除第一方的Cookie資料</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156850">【5月12日】 2022年發生50起以上資安事故的臺灣企業比例上揚，接近四分之一</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156830">【5月11日】資安業者Dragos遭到網路攻擊，駭客企圖假冒即將就職的員工入侵</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156810">【5月10日】微軟發布5月例行更新，緩解3個零時差漏洞，已有部分被用於攻擊行動</a></strong></p> </div></div></div>
2023/5/15 16:29作者周峻佑https://www.ithome.com.tw/news/156877