iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 19:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

讓科技幫忙說人話
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/tags/2023%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83" target="_blank"><span style="color:#3366ff;">今年臺灣資安大會</span></a>順利舉行，總統蔡英文偕同所有政府與資安相關的部會首長或副首長，親自到場參加活動開幕式，她特別期勉大家：「我們不僅要Bring Security to Taiwan，更要Bring Security to the World。」不僅呼應了這次大會主題，也讓我們想起COVID-19疫情期間，開拓出「Taiwan Can Help, and Taiwan is Helping!」外交路線，而對於資安領域而言，除了對內積極在產、官、學界發展先進技術，也必須盡己所能，對外幫助世界維持民主自由與經濟繁榮。</p> <p>臺灣資安大會這次也邀請前美國國土安全部長Janet Napolitano，她的演講也啟發資安推動的不同作法，尤其是談到美國政府過去推動的「If You See Something, Say Something」的國家公共安全意識提升運動，並解釋與網路安全防護之間的共通處，對於國人來說，可從中以另一種角度理解何謂「安全」。</p> <p>乍看之下，多數人會覺得這兩句話很理所當然，甚至覺得很無厘頭，其真正的意思是什麼呢？美國國土安全部為此設立的專屬網頁是這樣描述的：為了維護社區安全，每個人都扮演重要角色，雖然我們每天忙於制式固定的工作、上課、購物，很容易分心、失神（而忽略周遭環境的變化），因此，如果你看到了某件（不尋常的）事情，切勿沈默，而是要把它說出來、通報給大家知道。</p> <p>對此，從<a href="https://twitter.com/CISACyber" target="_blank"><span style="color:#3366ff;">美國國土安全部網路安全及關鍵基礎設施安全署（CISA）的社交媒體</span></a>內容，其實，也可以了解到他們的訊息傳達策略具有類似風格，相當平易近人。例如，用詼諧但不失莊重的插圖、動畫，宣傳各種網路衛生與資安意識，<a href="https://www.ithome.com.tw/article/150240" target="_blank"><span style="color:#3366ff;">去年我們也曾介紹他們推動全國組織網路安全防衛行動「Shields Up」</span></a>，其名顯然來自許多科幻星艦或星戰影集為了強化防禦而用的一句臺詞「升起防護罩」。</p> <p>過去我們以為這可能與美國社會特有的影視文化氛圍有關，<a href="https://www.ithome.com.tw/news/156803" target="_blank"><span style="color:#3366ff;">而在Janet Napolitano的演講裡面</span></a>，我們認為這種不唱高調、與你我生活緊密相連的國家安全宣導，就跟「If You See Something, Say Something」任何人一看就懂的論調是一脈相承的。</p> <p>如果要讓資安的意識與行動能夠更為普及、落實，如何使普羅大眾、各種領域的專業人士都能夠接收與理解相關訊息，是非常重要的，然而，在科技演進與傳播的過程中，這一直是很困難的工作，以資通訊領域而言，充滿了各種術語，而且，有時候同一個詞彙在不同語言、脈絡或使用者社群當中，又會產生其他意思與用法，使得大家所表達的內容都不太像任何人皆能理解的「人話」，而產生各種溝通的障礙。</p> <p>舉例來說，「零信任（Zero Trust）」可能讓不熟悉資安的人產生很大困惑，意思原本應是滿足特定條件才給予信任，但可能有人誤以為任何資安都不值得信任，而拒用所有科技；漏洞「Exploit」的行為，對防守方而言，所認知的意義應是「濫用」，但對攻擊方而言，是「利用」、「挖掘」、「開採」，以此講述的人或許是懶得區分，卻令人困惑其扮演的角色究竟是哪一方。</p> <p>「Code」有時是指程式碼，有時是指代號或是密碼、驗證碼，然而，受到中國用語大量充斥在商業與電腦書籍，以及各大網站論壇，臺灣有很多人習以為常而統稱為「代碼」，無視不同意義混為一談的亂象。</p> <p>除了用語的歧義，許多IT人員也將撰寫文件與報告視為苦差事，也使得相關資訊的傳達產生很大的障礙。不過，種種溝通不良的狀況，未來有可能借助人工智慧技術的突飛猛進而獲得改善。</p> <p>隨著今年上半<a href="https://www.ithome.com.tw/article/155981" target="_blank"><span style="color:#3366ff;">ChatGPT</span></a>等大型語言模型的走紅，將這樣的技術整合到既有產品與服務的業者，不只是幾家知名的全球大型科技廠商，也激發各種領域的IT創新。</p> <p>以今年臺灣資安大會為例，我們看到出身臺灣的新創廠商奧義智慧，也展現呼應這方面技術突破的最新進展，令人印象深刻。他們運用基於自家累積的惡意活動數據，以及專家資安知識而成的AI模型，不僅列出以「中文」寫成、內容通順的案情摘要，還能提供符合當代資安實務經驗水準的處置建議，做到更自動、更省人工的資安事件調查，以因應時間日益緊湊的事件通報要求。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/2023%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83">2023臺灣資安大會</a></div></div></div>
2023/5/25 16:52作者李宗翰https://www.ithome.com.tw/voice/157042
資安治理成趨勢，資安長得具備哪些能力？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鴻海集團旗下有6大事業群、每一事業群年收都破兆，如何掌管龐大且複雜的集團資安，是鴻海集團資安長李維斌近來面對的挑戰。他整理第一線經驗，點出權威資安框架CSF將新添治理元素，資安治理已然成為趨勢，資安長也應轉變思維，來提高組織面對不確定性的冒險本錢。</p> <p><span style="font-size:24px;"><strong>資安趨勢轉變，講究治理</strong></span></p> <p>IT出身的李維斌，曾任逢甲大學資訊處資訊長、臺北市資訊局局長，後來進入鴻海集團擔任鴻海研究院執行長，以及研究所旗下資安所所長，去年開始還多了個集團資安長的身分。</p> <p>他點出，要做好資安工作，資安長（CISO）得先了解大環境的變化。比如，過去資安人常談VUCA，根據易變性（Volatility）、不確定性（Uncertainty）、複雜性（Complexity）和模糊性（Ambiguity）來思考資安做法。但近年，哈佛商學院教授Bill George提出VUCA 2.0，聚焦願景（Vision）、理解（Understanding）、勇氣（Courage）和適應（Adaptability），資安長一樣可從該角度思考資安策略。李維斌說明，在這變動的環境，資安長得要定義出堅實的願景，才能因應環境波動，同時保持開放心態，來理解新技術、法規和需求，才能有效溝通。而且，資安長也要有勇氣面對複雜事物和挫折，才能適應新狀況。</p> <p>李維斌還觀察到，資安文化在轉變，從最初聚焦的技術層面，亦即講求防火牆、入侵偵測系統等設備採購，轉為管理層面，重視認證資格（如ISO 27001）的取得。但近期，資安文化焦點悄悄轉向治理層面，講究當責，要企業整體營運更順暢。</p> <p>不只如此，最明顯的大環境變化是，國際資安權威機構美國NIST今年開會，要改版各界奉為圭臬的資安框架CSF，將在IDPRR五大元素中，進一步納入治理（Governance）。李維斌點出新版的改變，包括資安治理、供應鏈管理、持續性風險管控、基礎建設韌性，以及善用人才、程序和科技來實現資安防護等。他也透露，NIST已在今年4月擬定2.0版本的核心內容，明年初預計釋出CSF 2.0版。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-05-25%20155451.png" /></p> <p><span style="font-size:24px;"><strong>轉變思維聚焦服務、業務和創新</strong></span></p> <p>那，什麼是資安治理？</p> <p>李維斌引用國際資訊安全稽核員（CISA）證照的說明，舉出5大資安治理特點，包括要有當責框架、要有決策制定的階層，還有清楚定義的業務目標相關風險。重要的是，資安治理還要有風險緩解計畫和策略，更要有監管處理流程和詳細程序。</p> <p>面對大環境改變，資安長和負責資安業務的資訊長（CIO）也得「轉變思維。」李維斌舉例，不論是資訊長還是資安長，都得從過去談系統（System）的習慣，改以服務（Service）為中心，來與業務單位更好地溝通。同樣地，過去以IT敏捷為中心，現在資安應思考的是業務敏捷，維持業務快速迭代。還有一個重要的思維轉變是，將資訊轉換為創新，來替企業創造價值。</p> <p>「唯有思維轉型，你才有辦法看見不一樣的事。」李維斌進一步指出，資訊長得把自己定位為「業務夥伴」，而不是IT提供方，應從業務角度思考，IT能如何運用、如何創新，並將這個運用能力帶給業務單位。</p> <p>同理，資安長也應將自己視為業務夥伴，而非「安全警察」，才能順利將資安觀念帶到第一線業務單位，提高全體資安意識。李維斌強調，資安長的一大任務是提高組織面對不確定性的冒險本錢，帶領組織在變幻莫測的環境中，順利走出一條路。另一個重要任務是「調和」維持競爭力下的衝突，而非「妥協」，亦即要理解雙方處境和需求，找出可行的第三條路，而非各退一步、妥協於中間點。這項任務，「也是我對自己的期許，」李維斌說。</p> <p>面對轉型，資安長和資訊長如何協調分工？他總結，資安長該做的是治理，也就是「Doing the right thing」，比如授權給資訊長來做決策、負責戰略規畫、扛起當責性、分配資源，而資訊長該做的則是管理，也就是「Doing things right」，比如經授權來決策、負責專案規畫，以及善用資源來完成專案。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-05-25%20155633.png" /></p> <p><span style="font-size:24px;"><strong>鴻海集團靠4關鍵組織推資安</strong></span></p> <p>李維斌也以鴻海集團為例，來說明大型企業資安治理模式。鴻海集團內部有4個關鍵資安組織，包括資安治理工作小組、資安維運工作小組、由集團董事長為首的資安治理委員會，以及由資安長領導的秘書處。</p> <p>其中，資安治理工作小組和資安維運工作小組相互監督、指導和評估，後者還會與集團6大事業群的資安執行單位共事，並與鴻海資安情資分享聯盟互通，來進行通報和交換情資。</p> <p>資安治理委員會除了由董事長領軍，成員還來自各事業群的總經理，聚焦於資安治理方向與策略。秘書處除了向資安治理委員會報告，也肩負2項重要任務。一是提供資安治理和管理相關資料給IR、PR和負責年報的單位，來將成果轉換為可對外發布的訊息，另一項任務是協助稽核單位，來落實集團內部資安稽核。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-05-25%20155613.png" /></p> <p><span style="font-size:24px;"><strong>資安3要素CIA的新解讀</strong></span></p> <p>早年擔任資訊長的經歷，以及在鴻海集團的資安磨練，讓李維斌對業界熟悉的資安3要素CIA框架，有了新的解讀。CIA是指機密性（Confidentiality）、完整性（Integrity）和可用性（Availability），但對李維斌來說，CIA還有更廣泛的意義。</p> <p>他指出，其中的C代表同理的過程，透過傾聽（Contact）、融入（Context）情境和影響（Content）對方，來產生信任。接著是形成組織文化的I，亦即找出不會被拒絕的切入點、從好的開始（Initiative）來產生影響，和平地重新詮釋分工與合作。最後的A則是改變的過程，透過改變工作方式，來讓組織行為模式發生改變，比如企業遭遇危機，於是導入新系統因應（Adopt），接著使用者熟能生巧（Adept），並將這個工具融入業務流程，進一步適應（Adapt）、實現改變。</p> <p>最後，李維斌也總結資安長工作心法，「資安長是一個持續進化的角色，」他表示，外在環境不斷變化，因此資安長得「Stay informed，」比如理解不斷新增的監管規範和法遵，以及不斷改變的威脅環境和使用環境。再來，資安長得要讓企業有能力擁抱過去認為風險太高的機會，同時因應治理階層不斷被要求的資安責任與義務，來分憂解勞。更重要的是，資安長要能「From team to teaming！」李維斌解釋，資安長不會只與一個固定團隊共事；每當不同事件發生，資安長得尋找有領域知識的專家參與，並組合不同職員、形成有默契的團隊來解決問題，如此才能優化企業資安體質。</p> </div></div></div>
2023/5/25 16:03作者王若樸https://www.ithome.com.tw/news/157038
Nvidia營收下滑13%，股價卻大漲20%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://nvidianews.nvidia.com/news/nvidia-announces-financial-results-for-first-quarter-fiscal-2024" target="_blank">全球GPU大廠輝達（Nvidia）本周三（5/24）公布了截至今年4月30日的2024財年第一季財報</a>，該季Nvidia創下71.9億美元的營收，比去年同期減少了13%，不過，身為全球AI軟/硬體主要供應商，Nvidia受惠於全球對AI的需求大增，當天盤後股價大漲了24.63%，一下飆升到380.6美元。</p> <p>在71.9億美元的營收中，占比最大的是資料中心，該季營收為42.8億美元，成長14%；遊戲營收為22.4億美元，下滑了38%；專業視覺化營收為2.95億美元，下滑53%；汽車營收為2.96億美元，成長114%。</p> <p>Nvidia創辦人暨執行長黃仁勳表示，電腦產業正同時經歷兩項轉變，分別為加速運算與生成式AI。當企業爭相把生成式AI應用到每一個產品、服務與企業程序中之際，全球的資料中心基礎設施也將從通用運算遷移到加速運算，該公司全系列的資料中心家族產品，從H100、Grace CPU、Grace Hopper Superchip、NVLink、Quantum 400 InfiniBand到BlueField-3 DPU，都正在生產中，而且正式大幅擴大供應，以滿足激增的市場需求。</p> <p>即使Nvidia今年第一季的營收下滑13%，但每股盈餘卻成長28%，達0.82美元，再加上下一季的展望樂觀，預期可創下110億美元的營收，比華爾街分析師所預估的第二季營收還要高出50%，也讓Nvidia當天的盤後股價衝上歷史新高。</p> </div></div></div>
2023/5/25 16:10作者陳曉莉https://www.ithome.com.tw/news/157040
企業如何導入零信任架構？專家由淺入深剖析上手關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自2010年由John Kindervag提出Zero Trust Model，提倡一種安全的模型、策略或模式，後來Google在2014年也發表Beyond Corp的零信任概念及實作，Google、Netflix、微軟等科技大廠紛紛導入，美國國家標準與技術研究院（National Institute of Standards and Technology）也在2020年發表NIST SP800-207標準，作為實踐的參考，更在2023年發表雲原生服務如何實作零信任。</p> <p>不只民間業者，美國政府也大力推動，例如白宮在2021年發表零信任戰略，推廣聯邦政府採用零信任架構，美國國防部則是提出零信任能力藍圖。</p> <p style="margin-left:-.1pt;">臺灣方面，從總統府、行政院、數位部到金管會也開始動起來，政府計畫在T-Road全面導入零信任管理制度，並在2年內輔導A級機關導入零信任，之後再擴大到B級機關及地方政府。去年數位部成立，以2年內針對資通安全等級A級機關輔導優先導入零信任網路架構為目標，為鼓勵擴大參用，資安院則進一步提出身分鑑別、設備鑑別、信任推斷三階段導入。金管會也在2022年底推動金融資安行動方案2.0，鼓勵金融產業採用零信任架構，來強化連線驗證及授權管控。</p> <p style="margin-left:-.1pt;">零信任受到各界關注，但企業要導入應從何處下手，中華資安國際經理邱品仁在今年臺灣資安大會說明零信任概念及實作，供想要導入零信任的企業參考。</p> <p>首先，他以NIST SP800-207提出的零信任架構（Zero Trust Architecture）作說明，零信任的核心是將企業內部資料、服務視為資源。過去作法是，登入VPN後等同內網，預設可使用企業內部資源的觀念，而在零信任架構中，在要求存取的裝置、企業資源之間，應設置政策落實的控管節點（Policy Decision/Enforcement Point, PDP/PEP），以盡可能完整、精細的落實存取控管。</p> <p>NIST提出零信任的邏輯架構，PDP/PEP扮演關鍵的存取控管元件：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/NIST%20SP800-207(1).jpg" style="width: 600px; height: 336px;" /></p> <p>例如使用帳號密碼登入企業電子郵件，傳統上，不論是在職或離職員工、約聘員工或合作廠商，任何人只要知道帳號密碼就能登入，為等同原則，零信任架構則對身分定義要求更完整的控制，對登入請求區分身分信任區間、信任程度有多少，像是工讀生能不能存取ERP或研發資料庫，在零信任架構中需要進一步思考、落實控管，不只是身分識別，請求存取的連線裝置也應被納管，連線裝置是否有足夠的安全保護完整性也需要納入考量。</p> <p>另外，傳統在VPN連線登入後，在隱性信任區內預設可連線存取企業內部資源，但在零信任架構則要儘可能縮小隱性信任區（Implicit trust zone），換言之，更嚴格的控制存取企業資源。</p> <p>組織導入零信任架構的7項原則，幾項重點包括，企業內部資料與服務均視為資源，需要進一步落實控管的標的。其次，不論網路所在位置，都要確保通訊是安全的，不只是授權，包括網路傳輸的安全性，連線需以加密進行傳輸。還有，企業資源存取的授權應以單次請求單次授權為主。</p> <p>企業也應採取動態政策（Dynamic Policy）控管資源的存取，動態政策根據終端用戶的身分、應用及服務、資產狀態，包含行為或環境的改變而動態調整。邱品仁指出，企業必需清楚員工或訪客使用什麼裝置，是企業納管的裝置或是個人的裝置，定義對應的管理監控機制，企業資源的授權存取也要呼應動態政策，應該有一套信任歸納演算法，NIST SP800-207中定義信任歸納演算法應該納入哪些資訊、如何演算，要強制在資源存取授權之前執行。企業應該儘量蒐集資訊，包含身分、登入後的活動，持續性的驗證行為是否有異常，例如發現異常存取大量的資料，應該撤除授權、發出告警。</p> <p><span style="color:#B22222;"><strong>6個假設前提</strong></span></p> <p>零信任落實到網路管理有6項假設前提。邱品仁指出，首先企業要假設網路內任何地方都是有風險的，要假設已有攻擊者潛伏在企業網路內，這意謂著，所有連線要通過認證，以及加密傳輸。以Netflix為例，不論員工是否在辦公室，假設員工是在星巴克上班，以此來建構他們的零信任防護策略。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/6principle-600.jpg" style="width: 600px; height: 416px;" /></p> <p>其次是，包括員工裝置、員工BYOD裝置、合作夥伴、承包商、訪客使用的裝置，企業應該都要有對應管控方式。而當裝置要存取企業資源之前，也需要評估這些裝置的安全狀態（Security posture）。邱品仁指出，當員工在外面的星巴克上班，透過網際網路連線時，除了提供DNS解析等基本網路能力，還需要通過零信任控管機制，管理員工在外存取企業資源的授權。</p> <p>在零信任的架構下，需假設遠端存取企業資源，即使是來自本地端網路的存取也有風險，可能遭竊聽或是中間人攻擊，所有存取的需求都應該被認證、授權確認，以確保通訊的安全及完整。最後，考量到存取裝置移動的可能性，例如出差或旅行，需維持持續的安全政策及確保裝置的安全狀態。</p> <p>儘管NIST SP800-207描繪出理想中零信任的架構設計，邱品仁認為，企業不需要因為內部現況和NIST的架構設計不同，急於找廠商規畫導入，企業可以檢視所使用嚴格遠端存取機制，對照是否與零信任框架、精神相符合。「企業很可能已做到零信任的6成或7成，只是企業自己並不知道」。</p> <p><strong><span style="color:#B22222;">零信任架構的10項網路需求</span></strong></p> <p>NIST SP800-207也列出零信任架構的10個基礎網路需求，例如對於企業的資產提供基礎的網路連線，例如LAN、DNS等；應該能區分裝置的安全狀態，是屬於企業的資產或是應該被納管的員工資產，給予不同的存取策略及授權；企業要能掌握所有網路的流量，同時對存取行為保持可視性。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/10%E9%9C%80%E6%B1%82-600.jpg" style="width: 600px; height: 331px;" /></p> <p>為了加強對企業資源的保護，零信任架構也要求資源不應在沒有PEP（Policy Enforcement Point）存取閘道的存取控管下提供存取。邱品仁指出，部分的企業可能會擔心內部沒有PEP政策執行節點，實務上每家企業做法不同，他建議可對照現有存取管控做法，有些企業是以VPN作為PEP。10項需求中，其他還包括Data Plane和Control Plane要落實邏輯上的區分，必需確保企業的資產可以連到PEP；在所有流程中，只有PEP可以存取、觸碰等等。</p> <p>在零信任架構中，PEP扮演使用者或設備來存取企業資源時的閘道控管角色，而PEP負責政策執行，其中的決策引擎仰賴信任演算法。邱品仁表示，所有的資產裝置清冊、政策管理等等，都應該被納入信任演算法之中，和政策關聯後再落實執行，「每一次存取請求都要被妥善檢查，確保安全性比以往只依靠帳號密碼或2FA驗證要來得高很多」。</p> <p><span style="color:#B22222;"><strong>大廠怎麼做</strong></span></p> <p>假設企業希望一個應用系統只提供財務部門存取，在妥善控管的裝置上存取，地理位置上限制只有臺灣地區能存取，要有足夠強度的認證機制及加密傳輸，應該如何做？</p> <p>邱品仁以Google的BeyondCorp說明零信任概念及基礎實作，在BeyondCorp的元件及存取流程示意圖Access Control Engine，相當於NISP SP800-207的PEP政策執行節點的PDP決策引擎，透過信任演算法，持續從各管道取得資料，包括安全識別及驗證裝置的Device Inventory Database、端點防護資料等等，將Access Control Engine引入至Access Proxy，作為存取放行與否決策的參考，員工不論在內部或是外部，透過SSO單一簽入或內網透過RADIUS進行網路存取的資訊派發。</p> <p>在BeyondCorp有幾項關鍵的基礎原則與實作，首先是對存取裝置進行識別與驗證，建立Device Inventory Database來納管裝置及裝置的狀態。其次是對人的識別及驗證，包括建立使用者（User）與群組（Group）資料庫，並整合SSO單一簽入系統，邱品仁指出，如同NIST要求企業盡量將身分識別系統集中作有效的管控，而非讓不同的團隊各自有自己的身分識別系統，否則將影響零信任策略執行的完整性。</p> <p>另外，在BeyondCorp去除了預設信任特定網路的原則，不再採用邊界的概念，預設將所有人放在沒有特權的網路（Unprivileged Network），建立基礎低權限存取網路，透過Access Porxy存取企業服務。為了方便從外部存取，更將企業服務註冊到外部的Public DNS Entry，使用者只要連到對應網址，就會被導入Access Proxy進行SSO，通過驗證後才放行。Google建立基於Inventory的存取控管機制，基於對人與設備，執行動態政策（Dynamic Policy）及落實執行。</p> <p>Netflix在2018年分享他們的作法，稱為LISA原則，邱品仁表示，其主要精神包括信任身分及健康度，並且去除原本對辦公網路（Office Network）的預設信任，裝置之間彼此隔離，禁止裝置間的溝通，他們假設使用者在咖啡店存取網路，當辦公室有一臺裝置被入侵，雖然可以存取Internet，但裝置彼此之間隔離，當被入侵的裝置要存取AWS的企業資源時，就會受到管控。</p> <p>在LISA網路架構下，使用者通過Switch Private VLANs，經由Firewall ACLs存取控管，從LISA網路欲連至AWS或資料中心，需進一步通過VPN檢查裝置健康狀態，再進行身分及多因子驗證、進行流量側錄後，才允許裝置存取企業的資源。網路存取落實嚴格控管，盡量減少控管例外，對於少數的例外情形，基於安全僅開放有限存取。</p> <p>另一家科技大廠微軟在落實零信任提出4種情境，首先，應用系統及服務有能力作多因子驗證、檢查裝置安全狀態，其次是員工可以註冊自己的裝置接受納管，確保裝置安全裝置，可獲得的對應資源存取權限，第3是即使員工或訪客使用未納管裝置仍可存取企業資源，但要定立存取控管機制，第4是存取權限最小化，甚至精確到特定功能。</p> <p>當使用者透過裝置存取時，需通過MFA、所在位置、使用何種裝置、存取何種資源、是否有風險、例外規則。微軟將內部員工經常使用的資源，例如Microsoft 365導入零信任，並延伸到合作夥伴及廠商。針對存取公司資源的裝置，不論是公司或是個人使用的裝置，都要由微軟的裝置管理系統納管。</p> <p>企業導入零信任架構，可參考NIST SP800-207對遷移ZTA架構的建議（下圖），以及CISA提出的零信任成熟模型，其中CISA對資料、裝置、身分、網路、應用服務及工作負責，分別定義4種階段的成熟度，讓企業自行評估現況，逐步推動零信任成熟度。此外，美國國防部（DoD）也提出自己的零信任策略，同時提出DoD如何從現有的IT架構，慢慢引導往零信任目標發展的3個行動方案。邱品仁認為，企業導入零信任可參考相關的標準及框架，但導入零信任並非毀減性的IT作法，而應該循序漸進的引導。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/NIST%20SP800-207-ZTA.jpg" style="width: 600px; height: 346px;" /></p> <p style="margin-left:-.1pt;">「零信任是資安的策略或原則，並非產品」，邱品仁指出，企業可以參考零信任架構ZTA，但不能只是依據架構的項目，一一比對自家作法列出還沒做的事，而忽略了ZTA是一套標準的框架及架構，企業應該辨識出自己和這個架構的落差來補強。當企業要導入零信任，3到6個月內可先選出需要先應用的關鍵服務及區域、使用情境，對照零信任架構，從資產等級、風險等級、必要性，列出引導零信任的順序，確認現況和目標的落差，爭取預算強化。</p> <p>在6到12個月進入POC，包括強化現有管控機制，或是建立Greenfield或Brownfield區遷移驗證，測試是否影響到正常營運，網路架構進行調整，南北向及東西向的網路架構隔離及防護，強化身分、存取控管機制，建立集中統一的管理機制。特別是，企業對裝置的納管，應列入資產管理作業流程、風險管理評鑑流程，最後到授權存取原則。<span lang="EN-US" xml:lang="EN-US"><p></p></span></p> </div></div></div>
2023/5/25 13:28作者蘇文彬https://www.ithome.com.tw/news/157027
微軟點名中國駭客入侵美國重大基礎設施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/05/24/volt-typhoon-targets-us-critical-infrastructure-with-living-off-the-land-techniques/" target="_blank">微軟本周揭露了一個中國駭客組織Volt Typhoon</a>，指出Volt Typhoon自2021年來便鎖定位於美國本土及關島的重大基礎設施組織展開攻擊，涵蓋通訊、製造、公用、運輸、建造、海洋、政府、資訊科技及教育類別等，目的是為了進行間諜行動，而且手法非常隱蔽，以盡可能不被發現。</p> <p>分析顯示，Volt Typhoon幾乎僅仰賴被害者既有環境的技術（living-off-the-land techniques），以及由駭客精心策畫（hands-on-keyboard）並輸入命令的攻擊模式，以躲避防毒軟體的偵測，同時可更準確地達到目的。</p> <p>駭客透過命令列來發布命令，以蒐集網路系統上的資料與憑證，再將資料置入一個封存檔案中以利汲取，並使用所盜來的憑證來維持存在。</p> <p>為了避免被發現，Volt Typhoon先行感染各種網路設備，從路由器、防火牆到VPN硬碟等，且使用的是開源工具的客製化版本，透過代理人建立一個C&C頻道。</p> <p>根據微軟的調查，Volt Typhoon最初鎖定的是Fortinet FortiGuard設備，企圖利用該設備上的任何特權，取得設備AD帳戶的憑證，再以相關憑證授權網路上的其它裝置，因此所有的流量都透過這些被危害的設備傳遞，上述設備的製造商遍及華碩、思科、D-Link、NETGEAR及Zyxel，只要具備連網管理介面的設備都是Volt Typhoon的目標。</p> <p>在進入目標環境之後，Volt Typhoon即透過命令列來蒐集系統上的資訊，尋找網路上的其它設備再竊取資料。駭客有興趣的資料包括檔案系統類型、硬碟狀態、所執行的程序及開放網路，並充分利用被害系統上的各種工具來搜查系統。</p> <p>微軟表示，受害組織可觀察到不尋常IP位址的成功登入，建議組織應該變更所有被危害帳戶的憑證，檢查這些帳戶先前的行為及所曝露的資料，亦應強制實施多因素驗證政策並使用硬體安全金鑰，降少攻擊表面，啟用雲端保護，以及於封鎖模式中執行端點偵測及回應等。</p> </div></div></div>
2023/5/25 13:53作者陳曉莉https://www.ithome.com.tw/news/157037
Meta 6個月內第三度裁員
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體報導，本周Meta再度裁減人數不詳的人力，是自去年11月以來啟動的第三度人事精簡。</p> <p><a href="https://www.reuters.com/technology/facebook-owner-meta-starts-final-round-layoffs-2023-05-24/" target="_blank">《路透社》</a>首先報導此事後，<a href="https://www.cnbc.com/2023/05/24/meta-layoffs-latest-round-of-cuts-focuses-on-business-groups.html" target="_blank">CNBC緊接報導</a>，若干Meta行銷、聘僱、使用者體驗及工程部門人員周三透過LinkedIn公布遭到解聘的消息。路透社另外報導指出，Meta愛爾蘭辦公室也裁減了將近500人，占了該公司約1/5的人力。</p> <p>不過這波裁員影響幅度不明，Meta也拒絕對此評論。</p> <p>這也是這家社群龍頭近半年來第三波裁員。去年11月，Meta砍了1.1萬人，執行長祖克柏（Mark Zuckerberg）坦承自己因疫情期間營收高漲而錯估情勢，造成公司員額擴充過快，以致於當經濟情勢急凍，公司被迫下此決策。今年初祖克柏宣布2023年為效率之年，將公司組織扁平化、加速運作效率、並著重能提升「工作品質和速度」的專案。3月間Meta又再宣布裁減1萬人，影響硬體、行銷及各種應用服務部門。</p> <p>雪上加霜的是，除去大環境因素，Meta還面臨歐美主管機關的行政裁罰。本周稍早Meta因為將歐洲用戶個資傳送到美國，<a href="https://www.ithome.com.tw/news/157007" target="_blank">遭歐盟隱私主管機關重罰</a>12億歐元。</p> </div></div></div>
2023/5/25 13:01作者林妍溱https://www.ithome.com.tw/news/157036
如何幫助研發部門形塑資安文化，Line資安團隊從三面向來實踐
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安及個資隱私安全保護，不僅僅是資安團隊、管理階層的責任，更是企業內每個人的責任。然而，要將資安內化成組織文化的一環，並不是件容易的事。最近，Line資安團隊首度揭露了，3年來從三面向推動研發部門建立資安文化的經驗。</p> <p>早幾年前，Line就意識到既有縱深防禦機制的不足，因此重新擬定了新的資安策略，聚焦於建立資安的數位韌性，不再一味依賴防禦措施。2020年，Line更進一步提出了名為全方位資安的新數位資安架構，以技術、文化、人作為主軸，制訂出10項資安戰略。</p> <p>Line臺灣資深資安工程師劉威成表示，新架構推行一段時間後，Line內部更加強調文化的形塑，「只有當每個人都把資訊安全納入日常工作和思考過程，才能降低彼此在資安的投入成本，也才不會將資安視為一項額外成本。」</p> <p>在發生資安事件時，關鍵是要能夠在最短時間內迅速復原，並限制攻擊所造成的範圍，以降低可能產生的深遠影響，從這個角度來看，劉威成指出，資訊安全不應該變成是開發部門的負擔，而要減少因處理資安事件產生的不必要成本，使他們能夠專注於產品的開發，為公司創造產值。</p> <p>如何避免資安成為負擔？劉威成指出，關鍵在於建立文化，讓組織內的成員都能相互受益，發揮各自專業領域的價值。</p> <h3><span style="font-size:28px;"><strong>協助開發部門培養資安文化，首先需要改變舊有的工作思維</strong></span></h3> <p>在各部門取得共識之後，Line資安團隊不只展開流程的改善，更重新定位自己的角色，擔任工作團隊的協力者，幫助他們發展其稱之為高效且精實的團隊（Lean & Mean Teams），進一步培養資安文化。</p> <p>但要打造這個團隊之前，需要改變舊有的工作思維。因此，他們從三個面向改變開始著手，包括建立開放溝通與垂直決策、確保團隊成員資訊保持同步，以及凝聚彼此共識迎接挑戰。</p> <p>首先，為了強化開放透明的溝通和決策，Line臺灣資安團隊在Security by Design的管理流程中設立一個架構審查小組，由資安部門、產品研發部門、QA等部門所組成，負責維護和建立一份系統實作指引（ System Implementation<br /> Guideline）的文件，記載工程師在系統設計時需要遵循的基本要求。這些基本要求參考了多方來源，包含NIST/ ISO資安標準、資安事件、漏洞回報，還有工程師實踐經驗等。</p> <p>劉威成表示，在開發過程中，會有相應的組態基準必須遵循，確保開發安全一致性，以帳號系統開發為例，在開發的組態文件中，除了明確定義出一般使用者、管理者的角色，還要求必須設置日誌審查者（Log Auditor），以便在資安事件發生時，可以由Log Auditor進一步查看和搜尋Log日誌進行後續調查與分析。對於Log資料應包含哪些用戶行為或活動，都要事先定義清楚。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BF%AE-701F%EF%BC%8C15%EF%BC%9A45%EF%BD%9E15%EF%BC%9A15%20%E5%8A%89%E5%A8%81%E6%88%90%EF%BC%88david%20liu%EF%BC%89_230512_2.jpg" style="width: 600px;" /></p> <blockquote><p>Line臺灣資深資安工程師劉威成表示，Line的資安策略核心，就是創造資安文化，讓資訊安全可以為工程師帶來價值，而非增加他們的負擔，並使其免於被迫從事不想做的事。</p> </blockquote> <p>一旦建立組態基準以後，研發工程師開發到對應的功能時可以根據文件上需遵循的安全要求來執行。他表示，這樣的做法，不僅能夠讓工程師在產品設計過程中落實資安要求，也能減輕了資安部門的負擔，只要確認工程師是否按照要求執行。</p> <p>或像是加解密設計，資安團隊也會制定出相關標準，例如若涉及敏感性的資料，需要採用哪種加密防護機制，包含金鑰交換方式、演算法都要有清楚說明，研發工程師才能夠有明確依循的指引，避免發生誤用的情形。</p> <p>不僅如此，資安團隊還會將這些程式撰寫相關的資安要求轉變成對應的程式碼範例，使研發工程師可以根據參考範例將相關資安設計要求整合到其程式碼中，避免直接使用其他不明來源的程式碼，從而減少資安風險。「與工程師進行溝通時，使用程式碼是最快速且有效的方式」他說。</p> <p>另外，資安團隊針對開發者常用的程式語言提供相關參考指引，讓他們可以學習使用更安全的程式碼進行開發，舉例來說，對於Java工程師會指出不應該使用的函數如Java.utaL. Random()，並建議改用Java,security.SecureRandom函數，以此提高程式碼的安全性。</p> <p>維持各團隊間的資訊同步是協助研發部門培養資安文化另一個重要的面向。過去，Line研發團隊專注於產品開發，缺少與外界接觸的經驗，因此難以快速從使用者回饋中改善產品設計，遇到不斷推陳出新的駭客攻擊手法，他們很難快速反應，來降低遭駭的風險。</p> <p>為了克服這個挑戰，自2017年起，Line內部不僅定期舉辦研討會，找來工程、客服、公關部門參與，共同討論如何在產品面上落實當前所需關注的資安議題或法規相關要求，同時，還透過每年舉辦BECKS.IO資安技術講座，增加與資安研究者當面交流的機會，透過這樣的方式，工程師能夠不斷學習和更新資安知識，並將其應用於產品開發中。</p> <p>另外，Line也透過專案，如BUG LINE專案，來處理一些程式開發過程中容易出現的安全漏洞，並在工程師面前完整重現攻擊流程，讓他們能夠更好地理解其嚴重性並逐一修正這樣的問題，避免類似的問題再發生。</p> <p>最後，為了凝聚所有人共識並共同應對資安挑戰，Line推出了資安小學堂計畫，每月都會選擇一個日常資安相關的主題，與所有員工分享正確的觀念。為了吸引大家注意，還搭配有趣的文案，增加閱讀的趣味性，藉由提高員工對於資安議題的認識，促使他們在日常工作中更加重視和遵守相關的資安要求。</p> <p><span style="font-size:28px;"><strong>Line資安文化的未來發展</strong></span></p> <p>劉威成表示：「Line的資安策略核心，就是創造資安文化，讓資訊安全可以為工程師帶來價值，而非增加他們的負擔，並使其免於被迫從事不想做的事。」</p> <p>他提到說，Line資安文化的未來發展，除了將資訊安全內化到每個員工的自我察覺中，也要確保這些資訊都能夠被廣泛傳播並輕易取得，同時資安設計也應該要更加易於實踐。</p> </div></div></div>
2023/5/25 10:42作者余至浩https://www.ithome.com.tw/news/157025
警政署揭中國網軍攻臺演進轉變，更提出資安事件調查5步驟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年8月初，美國前聯邦眾議院議長裴洛西訪臺期間，不只總統府、國防部、外交部等網站接連遭到中國網軍的DDoS攻擊外，甚至連民眾生活常見的便利商店和大眾運輸工具都遭駭，其中包括7-11和臺鐵的數位看板，都被駭客入侵，置換各種抵毀的簡體內容。</p> <p>身為統一指揮及監督全國警察機關執行犯罪偵查任務的內政部警政署，當時緊急進入資安警戒，由內政部警政署資訊室主任林建隆坐陣指揮，要守住警察機關執法這道資安防線。</p> <p>然而，裴洛西抵臺的隔天晚上11時，全國警用M-Police行動裝置系統因不明原因突然無預警大中斷，導致第一線執勤員警無法使用該系統進行查詢，這套系統整合了警政17項查詢系統，包括查捕逃犯、失蹤人口、逃逸外勞、中輟學生、治安顧慮人口、大陸人士行方不<br /> 明、失竊汽機車等，在服務中斷期間，皆無法提供線上查詢，直到清晨才恢復正常運作。</p> <p>「M-Police當機的時機點敏感，當時所有人都以為是中國網軍所為」林建隆回憶這段過程仍心有餘悸地說，原以為警方的資安防線被駭客突破，調查後發現只是單純的設備故障，並非資安事件，才讓他如釋重負，但這起事件也凸顯出中國網軍對臺威脅正持續增長。</p> <p><strong><span style="font-size:28px;">中國網軍因裴洛西來訪增加對臺的攻擊行動</span></strong></p> <p>在刑事警察局任職多年的林建隆，曾偵破多起重大網路犯罪、參與過許多駭客攻擊與資安事件的調查，累積了豐富的辦案經驗。他表示，現今駭客攻擊目標和以前截然不同，任何人都可以成為其下手的對象，尤其當萬物聯網的時代來臨，也代表萬物皆可駭，進而影響每個人的生活。</p> <p>中國網軍存在已有相當長的時間，臺灣約2003年開始注意到中國網軍對網路安全、資訊戰的威脅，而開始重視這個議題。</p> <p>林建隆觀察，中國網軍初期多出自福建省、湖北省的解放軍成員，這群由駭客組成的網軍具備有很強的網路攻擊能力，以外交部、國防部、陸委會等特定政府機關作為攻擊目標，藉此獲取他們想要的情資。</p> <p>經過多年，中國駭客攻擊模式近年來開始出現改變，林建隆觀察他們攻擊目標更加多元、範圍也更大，不再局限於特定的政府機關，以取得更多情蒐資料，其中包含航空公司及飯店。</p> <p>另一方面，駭客攻擊手法近幾年出現了明顯的變化，過去主要針對個人電腦、郵件帳號進行攻擊，受駭範圍相對有限，然而，現在他們逐漸將目標對準更底層的郵件伺服器、網通設備及供應鏈發動攻擊，「目的在於從底層獲取更多情資，可能透過網通設備癱瘓整體網路。」他說。</p> <p>林建隆以國內一家大型電信商為例，來說明駭客攻擊手機手法的多樣化。他表示，這家電信商販售的手機在出廠時其實沒有木馬程式，然而，當手機連上網路後，系統會強制進行更新，才下載了帶有木馬程式的檔案。倘若一開始，調查人員沒有將更新版本納入檢測範圍，就很難發現手機中存在問題。</p> <p>不僅如此，駭客的動機這幾年也開始改變，除了過去的竊取資料、破壞行動外，他們越來越以獲取不法金錢為目的進行攻擊，例如勒索軟體攻擊就是一種常見的手段。在利益驅使下，駭客甚至發展出不同商業模式的黑色產業鏈，利用各種攻擊手段來從中獲取金錢。他表示，這種動機的轉變也表明，駭客活動有逐漸商業化的趨勢。</p> <p>林建隆進一步將駭客分為三個類型，第一種是孤狼式駭客，他們習慣單獨犯案，不屬於任何組織，這種人可能是出於炫技或個人意識型態的原因而採取攻擊行動。第二種是國家培養的駭客，比如中國網軍就是這一類，負責執行國家交付的攻擊任務。最後一種是民間駭客組織或是學術界中負責資安和研究駭客技術的人，這種人可能從事資安工作，同時也可能充當政府網軍的外圍組織。</p> <p>他強調資安的重要觀念：「沒有絕對安全。」除了駭客之外，他認為更大的威脅是，人為因素所造成的資安漏洞。他點出，提高人員資安意識的重要性，不僅對政府機關而言，對於企業來說，更是如此。</p> <p>有些企業遭遇資安事件時，會嘗試重新安裝系統或採取復原動作，但這可能導致相關Log記錄遺失，不只錯失找到攻擊來源的機會，也可能導致下一次攻擊的發生。他提醒，企業遭遇資安事件時，應該盡快尋求專家的協助，不要急於自行處理。</p> <p><strong><span style="font-size:28px;">警察機關資安事件調查5步驟</span></strong></p> <p>林建隆公布警察分析資安事件方法。當警察機關接到資安事件的案件時，通常會採取5步驟進行分析與調查，包括訪談、Log分類、關鍵字搜尋、合法行為過慮、進行IP調閱。從警方的應對及處理方式，也能提供企業作為參考。</p> <p>流程上，辦案人員一開始透過訪談，初步研判可能攻擊手法和發生時間，接著展開Log分類，確定Log類型（如防火牆、Apache或事件Log檔)，及是否存在特殊攔位，接下來第三步是建立關鍵字搜尋清單或攻擊特徵規則，用來尋找可能與資安事件相關的記錄，同時過濾一些合法活動，如例行掃描、滲透測試等，最後步驟是根據找到的可疑IP地址，進行後續的調查。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A%20%E5%9C%962-%E4%BF%AE-%E8%AD%A6%E6%94%BF%E7%BD%B2-%E6%94%9D%E5%BD%B1-%E4%BD%99%E8%87%B3%E6%B5%A9.jpg" style="width: 600px; height: 347px;" /></p> <blockquote><p>當警察機關接到資安事件的案件時，通常會採取5步驟進行分析與調查，包括訪談、Log分類、關鍵字搜尋、合法行為過慮、進行IP調閱。從警方對於資安事件處理與偵查方式，也能提供給企業作為參考。</p> </blockquote> <p>去年，臺灣遭受的詐騙金額高達數十億元，許多案件都跟個資外洩或資安相關，林建隆引用犯罪學的日常生活理論來解釋犯罪發生的要素，包括犯罪動機，合適的目標以及缺乏有效的監察者，當這三個要素同時存在時，犯罪機會便會增加。他指出，這個理論可以套用到企業的資安投資上，「一家公司資安水平至少得優於同業三分之一，甚至是一半，才能避免淪為駭客首要攻擊目標。」他說。</p> <p>由於科技進步，林建隆表示，企業更得重視資安可能帶來的衝擎，如何在安全性、便利性及成本與資訊安全之間找到平衡點是重要的課題。</p> </div></div></div>
2023/5/25 11:07作者余至浩https://www.ithome.com.tw/news/157026
Google開源Crate審查結果，促進Rust程式碼重用安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://opensource.googleblog.com/2023/05/open-sourcing-our-rust-crate-audits.html">Google在GitHub上開源對Rust Crate的審查結果</a>，開發者可以在專案中匯入這些審查結果，以證明所使用Rust crate的屬性。在Rust程式語言中，Crate是一種封裝程式碼的單位，其包含Rust程式碼和其他相關資源，可以被編譯成執行檔或是函式庫。</p> <p>Crate可以在不同的專案重用，Rust社群中名為Crates.io的註冊表服務，便是供開發者發布自己所開發的Crate，同時也能下載使用其他人所開發的Crate。但Google提到，所有第三方程式碼都帶有風險，因此Google內部專案開始使用新的Crate之前，一定會經過徹底審核。</p> <p>不過，各單位各自審查專案所使用的Crate，可能會浪費資源執行重複的工作，因此Google透過開源審查結果，以避免重複審查工作。Google將這些審查結果持續整合到供應鏈儲存庫中，並且使用cargo vet來快速驗證專案所使用的Crate。</p> <p>開發者可以將Google開源的審查結果，包括程式碼品質、安全性和測試要求等屬性，匯入到自己的專案中，並且根據這些Crate屬性，決定其是否符合專案需求。不同使用案例的需求不同，cargo vet讓用戶能夠對每一個相依項目獨立配置要求。</p> <p>像是對本地開發工具來說，對Crate的要求可能僅是不包含主動惡意程式碼，確保不會侵犯隱私、洩露資料或是安裝惡意軟體即可，但是供用戶部署的程式碼，就可能需要符合更嚴格的要求，像是確保沒有記憶體安全問題，並且需要使用最新的加密技術，還要符合標準和規範需求。</p> <p>Google的ChromeOS和Fuchsia專案都已經貢獻Crate審查結果，其他Google專案也會逐漸加入，如此便可覆蓋更多的Crate。目前這項工作仍在初期階段，包括cargo vet執行和共享審查的運作細節，之後可能還會有所變動。</p> </div></div></div>
2023/5/25 08:16作者李建興https://www.ithome.com.tw/news/157023
微軟推出以多雲資料湖為核心的單一整合資料分析平臺Fabric
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟推出一個稱為<a href="https://azure.microsoft.com/en-us/blog/introducing-microsoft-fabric-data-analytics-for-the-era-of-ai/">Fabric</a>的端到端統一分析平臺，其整合了各種資料和分析工具，將Azure Data Factory、Azure Synapse Analytics和Power BI技術都匯集到同一個平臺中，並且以多雲資料湖OneLake儲存分析服務需要用到的所有資料。</p> <p>微軟強調Fabric是一個完整的分析平臺，所有資料分析專案需要用到的工具，全部被整合到同一個產品。Fabric針對團隊中不同的角色，提供特定的功能體驗，因此資料工程師、資料科學家甚至是業務，都能夠以熟悉的工作方式使用Fabric。Fabric的核心工作負載包括Data Factory、Synapse Data Engineering、Synapse Data Warehousing、Synapse Real-Time Analytics和Power BI等。</p> <p>這些核心工作負載需要用到的資料，皆來自多雲資料湖OneLake，微軟解釋，這樣的概念就與Microsoft 365應用程式都會連接到OneDrive相同，資料會在同一處被組織並自動索引，供後續探索、共享、治理、法遵目的使用。</p> <p>每個Fabric租戶皆使用OneLake，以避免因不同使用者配置產生資料孤島，OneLake向所有用戶提供統一的儲存系統，並且統一應用策略和安全配置，進而使資料能夠更簡單地探索和共享。</p> <p>在API層，OneLake建立在Azure Data Lake Storage Gen2（ADLSg2）之上，因此可接上ADLSg2既有的應用程式、工具和開發人員生態系。OneLake有一個稱為Shortcuts的重要功能，能夠虛擬化ADLSg2、Amazon S3和Google雲端儲存的資料湖，供開發人員跨雲組合和分析資料，並讓用戶和應用程式更簡單地共用資料。</p> <p>OneLake採用以Parquet為基礎的開源檔案格式Delta，而這也是Fabric所有工作負載預設使用的格式，因此一旦資料被載入到OneLake中，所有工作負載就可直接操作該資料，不需要執行額外的擷取工作。</p> <p>Fabric還對OneLake應用通用安全模型，所有引擎在處理查詢和執行任務時，都將統一受該模型控制。Fabric大量整合Azure OpenAI服務Copilot，使用戶可以透過自然語言，創建資料流和資料工作管線，甚至生成程式碼和建置機器模型等工作。</p> </div></div></div>
2023/5/25 08:18作者李建興https://www.ithome.com.tw/news/157024
【資安日報】5月24日，研究人員針對Zyxel防火牆漏洞提出警告，至少有4.2萬臺設備尚未修補而可能曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一個月前修補的防火牆漏洞，近期有資安業者提出警告，有可能即將發生攻擊行動。資安業者Rapid7針對兆勤科技（Zyxel）上個月修補的重大漏洞CVE-2023-28771提出警告，原因是至少有4萬臺防火牆設備曝險，並認為即將會出現漏洞攻擊行動。巧合的是，今（24日）兆勤呼籲防火牆、VPN設備用戶儘速安裝新版韌體，但並未提及修補的漏洞資訊，是否與Rapid7警告的這項漏洞有關？有待進一步釐清。</p> <p>印度駭客默默濫用AWS EC2實體挖礦的攻擊行動也相當值得留意，因為，這些駭客之所以能入侵特定的EC2帳號，是從程式碼儲存庫GitHub、GitLab，以及文字共享服務Pastebin下手，找出曝露的AWS帳密資料而能得逞。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://attackerkb.com/topics/N3i8dxpFKS/cve-2023-28771/rapid7-analysis"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員針對Zyxel防火牆漏洞提出警告，至少有4.2萬臺設備可能曝險</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/13114.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/13114.jpg" style="width: 300px; float: right;" /></a>兆勤科技（Zyxel）於4月底修補旗下防火牆、VPN設備的漏洞CVE-2023-28771（CVSS風險評分9.8），但最近有資安業者對此提出警告，他們發現仍有很多設備尚未套用新版韌體而可能曝險。</p> <p>資安業者Rapid7上週提出警告，他們透過物聯網搜尋引擎Shodan，找到約4.2萬臺未修補CVE-2023-28771的Zyxel設備暴露在網際網路上，而這項數字，並不包含同樣未修補該漏洞且暴露在網際網路的VPN設備，因此實際可能成為駭客攻擊的目標數量遠大於此。研究人員指出，由於這項漏洞存在於網際網路金鑰交換（IKE）封包解密工具，此為Zyxel提供IPSec VPN服務的重要元件，即使IT人員並未啟用VPN功能也會曝險。研究人員指出，雖然截至5月19日尚未發現攻擊行動，但因為有大量設備存在上述漏洞，他們認為駭客很快就會對其下手。</p> <p>事隔不到一週，<a href="https://community.zyxel.com/tw/discussion/17101/%E8%BF%91%E6%9C%9F-%E9%98%B2%E7%81%AB%E7%89%86%E7%9A%84vpn-%E9%80%A3%E7%B7%9A%E6%96%B7%E7%B7%9A%E5%92%8C-web-%E7%AE%A1%E7%90%86%E7%95%8C%E9%9D%A2%E7%95%B0%E5%B8%B8-%E8%A7%A3%E6%B1%BA%E6%96%B9%E6%B3%95">兆勤於24日凌晨表示</a>，該公司防火牆設備23日遭遇大規模的記憶體緩衝區溢位攻擊，全球都受到影響，呼籲IT人員要儘速升級韌體因應，最好能斷開WAN或是重新開機再更新，後來，該公司又改口指出，相關的韌體緊急更新，是因應防火牆的VPN連線中斷、網頁管理介面異常的情況。不過，該公司沒有透露上述情形是否與CVE-2023-28771有關。</p> <p><a href="https://permiso.io/blog/s/unmasking-guivil-new-cloud-threat-actor/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度駭客濫用AWS EC2執行個體服務進行挖礦</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/guivil_ALC.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/guivil_ALC.png" style="width: 300px; float: right;" /></a>雲端安全業者Permiso揭露自2021年11月開始出現的挖礦攻擊行動，印度駭客組織GUI-vil針對AWS EC2執行個體服務下手，利用這些運算資源來進行挖礦，最近一起攻擊發生在今年4月。</p> <p>駭客先是從GitHub、Pastebin挖掘外洩的AWS帳密，或是針對存在弱點的GitLab執行個體下手（其中一個被利用的漏洞是CVE-2021-22205），一旦成功入侵AWS EC2的環境，這些駭客就會尋找可用來挖礦的S3儲存桶，並透過AWS的網頁主控臺進行控制。</p> <p>比較特別的是，這些駭客偏好利用具備使用者圖形介面（GUI）的工具來發動攻擊，其中一種工具是特定版本的S3 Browser。此外，駭客在攻擊的過程裡，會建立新的使用者，但為了避免被察覺，他們會刻意依照受害組織的命令規則設定使用者名稱。</p> <p><a href="https://www.sentinelone.com/labs/kimsuky-ongoing-campaign-using-tailored-reconnaissance-toolkit/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客Kimsuky透過惡意軟體RandomQuery發動攻擊</span></strong></a></p> <p>資安業者SentinelOne揭露北韓駭客組織Kimsuky近期的攻擊行動，主要針對追蹤北韓資訊的服務、人權鬥士，以及聲援北韓流亡人士的組織而來。駭客從5月5日開始，先是假借網路媒體每日北韓（Daily NK）的名義寄送釣魚郵件，並挾帶Windows說明檔案（CHM）的附件，一旦收信人開啟CHM檔案，電腦就會執行Visual Basic指令碼，發出HTTP GET請求下載第2階段惡意酬載RandomQuery，此惡意程式會收集目標系統的中繼資料、正在執行的處理程序、已安裝的應用程式等，並回傳C2中繼站。</p> <p>研究人員指出，駭客為了混淆視聽，也會在網域名稱裡，設置含有com或是kr等常被用於頂級網域（TLD）的字串。</p> <p><a href="https://www.fortinet.com/blog/threat-research/wintapix-kernal-driver-middle-east-countries"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意驅動程式Wintapix鎖定中東而來</span></strong></a></p> <p>資安業者Fortinet揭露惡意驅動程式Wintapix的攻擊行動，駭客自2020年5月，針對沙烏地阿拉伯、約旦、卡達、阿拉伯聯合大公國等中東國家下手，利用該驅動程式停用目標電腦的防毒軟體，並取得相關存取權限，然後透過Shell Code工具Donut發動第2階段攻擊。</p> <p>研究人員推測，利用上述驅動程式的駭客可能來自伊朗，並認為駭客也會針對Exchange下手。</p> <p><a href="https://cofense.com/blog/supermailer-abuse-explodes-now-responsible-for-14-of-all-credential-phish-discovered-in-inboxes/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">電子報發送軟體SuperMailer被用於網釣攻擊</span></strong></a></p> <p>資安業者Cofense指出，他們在今年5月上旬，發現駭客濫用電子報發送軟體SuperMailer寄送網路釣魚郵件的情況大幅增加，本月已有約14%用於竊取帳密的網釣郵件是透過上述的軟體製作、寄送，且廣泛攻擊多種產業，包含營造業、能源、金融服務、食品服務、政府、醫療、資訊與分析、保險、製造業等。</p> <p>駭客透過SuperMailer的客製化郵件及大量發送的功能，並藉由開放任意重新導向的弱點，以及URL網址隨機化等手法，來通過組織的郵件安全系統。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bankinfosecurity.com/samsung-patches-memory-address-randomization-bypass-flaw-a-22139"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">三星修補已被用於攻擊阿拉伯聯合大公國的手機漏洞</span></strong></a></p> <p>Google威脅分析小組（TAG）於3月底，揭露間諜軟體開發商Variston利用的多個零時差漏洞，駭客將購得的惡意程式用於攻擊阿拉伯聯合大公國。其中1個存在於三星手機的漏洞CVE-2023-21492（CVSS風險評分為4.4）近日得到修補。</p> <p>三星於5月份的例行更新裡修補上述漏洞，並指出該漏洞已出現攻擊行動，這項漏洞影響執行Android 11、12、13版作業系統的部分三星裝置，攻擊者可用來提升權限，進而繞過名為位址空間組態隨機載入（ASLR）的記憶體防護措施。美國網路安全暨基礎設施安全局（CISA）也於5月19日，將其列入已被利用的漏洞列表（KEV），要求聯邦機構於6月9日完成修補。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://arxiv.org/abs/2305.08596"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員打造大型語言機器學習模型DarkBERT，可自動化從暗網收集威脅情報</span></strong></a></p> <p>韓國科學技術院（KAIST）的研究人員與智慧資料業者S2W聯手，打造名為DarkBERT的客製化自然語言處理（NLP）模型，他們收集約610萬個暗網網頁的英文文字對此模型進行進行訓練，並將其成品與市面上2款知名的NLP模型進行比較，這些分別是Google推出的隱碼語言模型BERT，以及Meta開發的RoBERTa。</p> <p>根據上述機構與業者的測試結果而言，無論是在偵測勒索軟體外洩資料網站、需要特別留意的威脅偵測面向，以及找出威脅關鍵字等工作上，他們均發現DarkBERT的能力皆明顯優於BERT及RoBERTa。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="http://securelist.com/goldenjackal-apt-group/109677/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">國家級駭客GoldenJackal鎖定中東、南亞政府與外交機構下手</span></span></strong></a></p> <p><a href="https://www.welivesecurity.com/2023/05/23/android-app-breaking-bad-legitimate-screen-recording-file-exfiltration/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">木馬程式AhMyth透過安卓螢幕錄製App散布</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/cuba-ransomware-claims-cyberattack-on-philadelphia-inquirer/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">費城詢問報傳出遭到勒索軟體Cuba攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/arms-maker-rheinmetall-confirms-blackbasta-ransomware-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">德國軍武製造商Rheinmetall證實遭到勒索軟體BlackBasta攻擊</span></span></strong></a></p> <p><a href="https://twitter.com/GoogleVRP/status/1660580119574880257"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google針對安卓應用程式推出漏洞懸賞計畫</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/157009"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">【2023臺灣資安大會】避免資安意識培訓失敗3大主因，可混搭5種模式打造客製化課程</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/157014"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">【2023臺灣資安大會】今年要求1千4百多家公司設置專責資安單位，目前僅2成達標</span></span></strong></a></p> <p> </p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157011">【5月23日】勒索軟體駭客BlackCat利用惡意驅動程式Poortry發動攻擊，繞過防毒軟體偵測</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156982">【5月22日】 YouBike證實遭到網路攻擊，2.1萬用戶資料外洩</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156961">【5月19日】臺灣4月上旬出現惡意郵件、惡意軟體攻擊翻倍爆增的情況</a></strong></p> </div></div></div>
2023/5/24 16:04作者周峻佑https://www.ithome.com.tw/news/157021
Adobe將把AI圖片產生器加入Photoshop
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.adobe.com/news/news-details/2023/Adobe-Unveils-Future-of-Creative-Cloud-with-Generative-AI-as-a-Creative-Co-Pilot-in-Photoshop-default.aspx/default.aspx" target="_blank">Adobe昨（23）日宣布將推出名為Generative Fill的功能</a>，為旗下產品包括Photoshop加入其AI圖片產生器Firefly。</p> <p>Generative Fill類似Bing或ChatGPT的Copilot，旨在讓Adobe雲端平臺Creative Cloud可整合使用AI圖片產生器Firefly，是首個將co-pilot整合進創意及設計流程的助理服務。昨日該公司宣布的Generative Fill in Photoshop則是第一個整合Firefly的Creative Cloud產品，允許用戶以文字對話形式新增、擴增或移除圖片。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0524-photoshop-Generative%20Fill-Adobe%20Firefly-600(1).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Adobe</span></span></p> <p>Firefly三月間以預覽版上線。Adobe表示，Firefly第一個模型是以Adobe Stock圖庫的圖片、公開授權內容及其他公用圖片訓練而成，兩個月以來用戶已產生了超過1億幀圖片。企業用戶可以擴充使用Firefly，以產生公司圖像、品牌識別標識等內容。Adobe表示，未來Firefly也會擴及旗下PDF文件產品Document Cloud、行銷分析產品Experience Cloud及Web／手機版影片編輯產品Adobe Express等產品線。將Firefly整合到Adobe Experience Cloud的應用程式，則可以讓行銷部門用Firefly加速產製行銷內容。</p> <p>由於AI產生圖片品質愈來愈好，引發難以和真人創作分辨的疑慮，Adobe也讓Generative Fill支援內容憑證（Content Credentials）。內容憑證為非營利組織Content Authenticity Initiative發展，現有包括Adobe等1,000多個成員，它是一套標識體系，可協助用戶辨識圖片來歷，包括在哪產生、儲存或曾用於何處，減少使用的風險和疑慮。</p> <p><a href="https://www.adobe.com/products/photoshop/generative-fill.html" target="_blank">目前Generative Fill in Photoshop提供桌機預覽版</a>，預計2023年下半推出正式版，Generative Fill也可作為Firefly App的模組使用。</p> <p>Adobe昨日也宣布Photoshop新功能，包括調整預設值、情境任務工具列、移除工具及進階灰階（Enhanced Gradient）功能等。</p> </div></div></div>
2023/5/24 16:30作者林妍溱https://www.ithome.com.tw/news/157022
微軟宣布Windows Copilot、更多Bing第三方外掛、也將與ChatGPT互通
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.microsoft.com/source/features/ai/microsoft-outlines-framework-for-building-ai-apps-and-copilots-expands-ai-plugin-ecosystem/" target="_blank">微軟本周在Build開發人員大會上宣布多項新功能</a>，包括PowerBI及Windows Copilot助理，以及Bing Chat與Copilot將與OpenAI的ChatGPT相容互通。</p> <p>微軟自大約二年前宣布結對工程師GitHub Copilot，今年2月初宣布Bing後，又接連宣布整合於其多項產品的Copilot，包括Microsoft 365、Dynamic 365、Viva、Sharepoint及安全工具。周三在Build開發者大會上，微軟宣布擴大其Copilot系列，像是內建於PowerBI及Power Pages的Copilot將以預覽版上線，整合其分析平臺Fabric的Copilot不久後會有預覽版。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0524-Copilot%20in%20Microsoft%20Power%20BI-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_微軟</span></span></p> <p><a href="https://blogs.windows.com/windowsdeveloper/2023/05/23/bringing-the-power-of-ai-to-windows-11-unlocking-a-new-era-of-productivity-for-customers-and-developers-with-windows-copilot-and-dev-home/" target="_blank">微軟並將在6月以預覽版推出Windows Copilot for Windows 11</a>，使後者成為第一個提供copilot助理的PC作業系統。微軟也會讓使用者透過Windows Copilot和Bing外掛及ChatGPT互動。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0524-Windows%20Copilot%20for%20Windows%2011-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_微軟</span></p> <p>微軟同時介紹協助開發人員自行打造Copilot及次世代新AI應用的工具，包括外掛，它能讓眾多copilot與其他軟體及服務互動，而放大其效用，例如3月間，微軟宣布OpenTable等第三方服務的合作。昨日微軟也示範了開發自有copilot的AI開發框架。</p> <p>而繼<a href="https://www.ithome.com.tw/news/156095" target="_blank">3月OpenAI推出ChatGPT外掛支援</a>後，昨日微軟也宣布禮尚往來，允許ChatGPT和微軟各種copilot互通，允許開發人員可以用單一平臺開發提供企業和消費者服務的外掛，包括ChatGPT與Bing、Dynamics 365、M365與Windows Copilot。另外，微軟的Bing也會成為ChatGPT預設搜尋工具。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0524-Bing%20search%20default%20experience%20in%20ChatGPT.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_微軟</span></p> <p>因此，目前Bing支援的外掛包括之前宣布的OpenTable、Kayak、Instacart、Wolfram及可汗學院（Khan Academy），以及昨日宣布的ChatGPT、Redfin、TripAdvisor及Zillow等。而即將加入外掛陣容的第三方服務包括Bandsintown、Bohita、Cloudflare、Coupert、Fareportal、FiscalNote、Golden、Lexi Shopper、Likewise、Notable、One Word Domains、PromptPerfect、Shopify、Skyscanner、Spotify、Spotnana、Trip.com。</p> <p>另外，M365的Copilot現在也允許開發外掛了。目前只有Bing、Teams、Power Platform及ChatGPT。微軟並提供Teams Toolkit for Visual Studio Code及Visual Studio讓開發人員開發外掛。</p> </div></div></div>
2023/5/24 13:19作者林妍溱https://www.ithome.com.tw/news/157018
Google將於廣告中整合生成式AI，提供商家可自動打造產品照片的Product Studio
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>儘管AI可謂無所不在，但在ChatGPT打響生成式AI名氣之後，各家業者紛紛發表各項基於生成式AI的服務，<a href="https://blog.google/products/ads-commerce/ai-powered-ads-google-marketing-live/" target="_blank">Google本周宣布</a>將把生成式AI整合至廣告服務中，<a href="https://blog.google/products/shopping/google-product-studio-generative-ai-product-photos/" target="_blank">並發表新的Product Studio工具</a>，利用生成式AI協助Merchant Center的商家建立產品照片。</p> <p>在Google Ads廣告服務中，Google提供了新的自然語言對話經驗，利用Google AI協助廣告主建立搜尋廣告。廣告主只要在網站上新增所偏好的廣告登陸頁面，Google AI即會自動摘錄該頁面，接著自動生成廣告活動所需的關鍵字、標題、描述、圖片或其它資產，還能與Google AI討論其它的想法。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0524-Google%20ads-AI-600-2.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源_Google</span></span></p> <p>此外，去年Google就已針對搜尋廣告推出自動化建立的資產（ACA）功能，利用登陸頁面的內容與既有的廣告來產生標題及描述，現在Google將以生成式AI來強化此一功能，得以根據使用者的查詢來建立及調整搜尋廣告。</p> <p>例如當使用者查詢「如何保護乾性敏感肌膚」時，Google AI會根據廣告登陸頁面上的內容，以及既有的廣告，重新建立一個更符合該查詢的廣告標題，如「舒緩你的乾性敏感肌膚」。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/aca_new.width-1000.format-webp.webp" style="width: 230px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Google</span></p> <p>另也以生成式AI來強化Performance Max服務。Performance Max是個目標導向的廣告活動，為了達成特定廣告的目標，廣告主得以存取所有的Google Ads庫存，包括YouTube、Display、Search、Discover、Gmail及Maps等不同的廣告平臺，在整合生成式AI之後，廣告主將更容易建立與擴大客製化的廣告資產。</p> <p>廣告主只要提供網址，Google AI就能自動學習該品牌的內涵，並自動以文字或其它資產來填補廣告內容，包括自動替活動生成圖片。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0524-Google%20ads-Performance%20Max.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Google</span></p> <p>Google亦將實驗新的生成式AI廣告，例如倘若有使用者先搜尋「毛伊島的戶外活動，繼之搜尋「兒童活動」與「衝浪」之後，使用者可能會看到一個完全依照該搜尋內容量身打造的廣告，像是一個由旅遊品牌提供的兒童衝浪課程。</p> <p>即便所有的廣告可能愈來愈客製化，愈難分辨究竟是廣告還是搜尋結果，但Google強調，依舊會在各種廣告貼上「贊助」（Sponsored）標籤，以免誤導使用者。</p> <p>除了廣告之外，Google也將生成式AI應用在Merchant Center商家服務上。Merchant Center將提供一個全新的Product Studio工具，以AI來協助商家建立新的產品圖片，例如可根據季節來變換產品圖片的背景，或是完全移除產品背景，以及快速改善圖片的解析度等。</p> </div></div></div>
2023/5/24 14:03作者陳曉莉https://www.ithome.com.tw/news/157020
Windows 11將新增對7-ZIP與RAR的原生支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟周二（5/23）舉行一年一度的Microsoft Build 2023開發者大會，今年微軟將重點放在熱門的AI議題上，<a href="https://blogs.windows.com/windowsdeveloper/2023/05/23/bringing-the-power-of-ai-to-windows-11-unlocking-a-new-era-of-productivity-for-customers-and-developers-with-windows-copilot-and-dev-home/" target="_blank">發表了可協助Windows 11用戶完成任務的AI助理Windows Copilot</a>，此外，Windows 11即將新增對多個封存格式的支援，包括Tar、7-ZIP、RAR與GZ等，以改善Windows上的封存效能。</p> <p>先前微軟已於Windows中整合了對ZIP封存格式的支援，但若要處理其它格式，使用者必須額外安裝第三方程式，<a href="https://www.libarchive.org/" target="_blank">此次微軟則計畫整合libarchive開源專案</a>，以讓Windows可直接支援各種封存格式。</p> <p>libarchive是個多元格式的封存與壓縮函式庫，可用來讀取及寫入不同的格式，涵蓋上述的Tar、7-ZIP、RAR與GZ，以及Pax、Cpio、ISO9660 、Mtree、Ar及WARC等。</p> <p><a href="https://www.theverge.com/2023/5/23/23734625/microsoft-windows-11-rar-support-native" target="_blank">微軟向《The Verge》透露</a>，Windows 11對新格式的支援將會出現於本周釋出的新版本中。</p> </div></div></div>
2023/5/24 11:48作者陳曉莉https://www.ithome.com.tw/news/157017
Google推出多種AI行銷功能，廣告主和電商商家將能於Google一站式完成文案設計、圖文廣告素材生成等行銷工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google I/O開發者大會日前落幕，緊接而來的Google行銷與電商科技大會Marketing Live延續了前者主題，主打用AI改善數位購物及數位行銷。今年，他們要用生成式AI來推出行銷文案、圖片素材編輯、廣告投放及SEO關鍵字、以及行銷建議功能。</p> <p>以ChatGPT為首的生成式AI爆紅已經半年，利用生成式AI來協助行銷，在Martech界已經不是新概念。不過由全球數位廣告及搜尋引擎龍頭Google來做，意味著成千上萬的廣告主及商家，能直接受益於這些功能，且不用煩惱外部Martech系統串接，在Google平臺上完成操作，就能直接投放廣告。</p> <p><strong>用生成式AI來強化數位行銷</strong></p> <p>過往，Google已經大量利用AI在行銷和電商功能中，包括全AI廣告投放方案Performance Max、AI商品360度視圖生成、AI定價建議，以及利用機器學習技術蒐集整理而成的巨大電商商品資料庫Shopping Graph。</p> <p>今年新推出的AI行銷功能，則更聚焦於生成式AI。例如新型態搜尋廣告中，商家或產品文案會根據搜尋關鍵字自動生成。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/image3(20).png" style="width: 600px;" /><img alt="" src="https://s4.itho.me/sites/default/files/images/i7.png" style="width: 600px;" /></p> <p>或者，在Google Ads投放廣告時，背後有LLM和生成式AI技術的AI行銷幫手功能，會建議投放關鍵字、標題、商品描述，還會從Google及商家素材庫中挑選出推薦行銷素材，並用自然語言與行銷人員討論如何設計廣告。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/image2(28).png" style="width: 600px;" /></p> <p>還有一項既有功能，今年利用生成式AI獲得大幅強化，那就是素材自動產生功能（Automaticcal Created Assets, ACA）功能。過往，這個功能是用於文字素材生成，只能根據關鍵字詞生成出非常簡短的標題和描述。今年更新，不僅能生成更豐富的文案，還可以生成AI配音。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/image1(27).png" style="width: 600px;" /></p> <p>除了文字，今年生成式AI也開始支援圖片生成及編輯功能，可以基於簡單的素材圖片，利用AI來去背或強化解析度。甚至，行銷人員可以用簡單的自然語言指令，要求AI為素材圖生成背景圖樣。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/image4(9).png" style="width: 600px;" /></p> <p><strong>強調跨通路行銷，將使用第一方數據及更多非Cookie類數據來做成效追蹤及獲客留客</strong></p> <p>Google表示，亞太地區有70%消費者喜歡用手機App與品牌互動，勝過實體店面和品牌網站，說明跨通路成效追蹤的重要性。今年，Google開始強調行動裝置成效追蹤，要使用Email、手機號碼及其他第一方數據作為識別方法，來追蹤更多瀏覽器以外通路的廣告成效。</p> <p>第一方數據除了用來追蹤成效，還能用來獲客和留客。今年，Google在Performance Max新增AI獲客和留客功能，根據商家第一方數據分析結果，智慧投放廣告給可能對品牌有興趣的陌生消費者，及沉睡中的既有消費者。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/image5(11).png" style="width: 600px;" /></p> </div></div></div>
2023/5/24 10:47作者郭又華https://www.ithome.com.tw/news/157016
怕資料外洩？所以企業該選擇Azure OpenAI ChatGPT做生成式AI應用
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>ChatGPT寫下使用者最快破億的新記錄，引發許多產業的高度興趣。但同時，義大利以隱私保障為由率先禁止使用ChatGPT，除了不少國家考慮跟進，從跨國企業到大學院校也都紛紛祭出禁令，禁止員工或學生使用ChatGPT。</p> <p>面對生成式AI技術的大勢所趨，如何在搶佔先機與保護機敏隱私資料之間權衡，關鍵第一步就是確認使用模式與可用解決方案，逐一釐清疑慮，包括穩定度、延展性、安全防護、管理能力、擴充性及合規法遵。而考量這些指標，正是全球多數企業選擇Azure OpenAI打造企業ChatGPT及其他生成式AI應用的關鍵原因。</p> <p><strong>Azure OpenAI與OpenAI超級比一比</strong></p> <p>早在2019年，微軟就投資當時仍是矽谷新創實驗室的OpenAI公司，OpenAI公司一路以來開發GPT的過程，也完全使用Azure的算力。微軟於2020年開始取得GPT模型獨家授權，於2023年開始在微軟自家雲端平台以Azure OpenAI（AOAI）服務為名稱提供給企業客戶使用。</p> <p>相對於OpenAI公司的原廠角色，微軟就如同發行商，兩家公司提供給客戶的GPT模型完全相同，一旦GPT模型有版本更新，微軟也會在第一時間上架Azure雲端平台。</p> <p>但從兩家公司不同的使命願景來考量，即使提供相同模型，仍有各自的配套作法。OpenAI公司的企業使命是確保通用人工智慧（GAI）造福全人類，微軟則是要賦能地球上的每一個人和每一個組織，因此對於商用市場，微軟擁有更深厚的經驗、更豐富的方案與更到位的資安措施。</p> <p>舉例來說，兩家公司對於模型的維運策略就大不相同。OpenAI公司在GPT模型主版本之下，持續釋出不同編號的次版本程式如GPT 3.5.4.1、GPT 3.5.5.2，但微軟只會選擇最穩定的版本編號提供給企業客戶使用。另一個不同則是服務的持續性，OpenAI公司先前以GPT模型功能已臻完整為由，停止提供Codex模型，但客戶在Azure仍可持續使用Codex模型，因為事涉客戶的應用規劃，微軟不會突然中止服務。</p> <p><strong>Azure OpenAI將企業資料隱私作為最大前提</strong></p> <p>網頁版ChatGPT問答內容的流暢和專業度令人驚艷，但對於有意使用GPT技術的企業而言，也引發了攸關資料的疑慮：企業與GPT模型問答所提及的企業資訊是否會外流？或是GPT是否會使用企業的資料去優化模型？</p> <p>OpenAI公司在GPT模型推出之初，並未承諾不使用問答資料來調校及改進模型。相反地，保護客戶資料是Azure的原生DNA，從Azure問世至今累積了4千多項服務，每項服務都適用相同的資料保護聲明與條款，也就是微軟完全不會使用客戶資料，當然也不會使用客戶資料來訓練GPT模型。</p> <p>舉例來說，比GPT模型更早開始提供服務的Azure機器學習服務也適用相同準則，百分之百確保企業自有資料不外流，全球許多客戶多年來持續使用Azure AI服務，不但可享有Azure平台強化的安全機制如VNet，還能獲得與資料隱私相關的產業合規支援如HIPAA、GDPR和SOC2。</p> <p><strong>確保資料不外洩的GPT使用模式</strong></p> <p>進一步探討企業如何使用Azure的GPT模型，第一種作法是直接使用GPT模型，微軟對所有客戶都提供相同的GPT模型，使用者與GPT模型的資料問答不會被用來優化模型本身，不會改變微軟提供給其他企業的GPT模型，當然也阻絶了資料外流的可能性。</p> <p>第二種作法是將GPT模型結合企業知識庫，讓內部員工或外部客戶的發問與答案，能獲得與企業相關的資訊。在這種作法下，企業的資訊也不會被用來優化模型，同樣不會改變微軟放在Azure上提供給其他企業的GPT模型。</p> <p>第三種作法是企業將Azure的GPT模型調校 (Fine-tuning) 成自己的GPT模型，例如：更符合企業文化的客服對話風格、結合商品或服務的行銷推薦，訓練及改進過程都在企業自己的Azure訂閱內進行，而調教好的模型也僅供企業自己所使用，並不會被公開給其他企業，理所當然不會有訓練歷程或訓練數據外洩的風險。</p> <p>除此之外，企業可以進一步選用搭配Azure的資安服務如端點保護、動態監控，確保使用者端在訓練或應用過程，不會因為錯誤的操作及使用方式而導致資料外洩。</p> <p><strong>企業級的SLA承諾和應用潛能</strong></p> <p>跨入商用市場的OpenAI公司目前提供99.5%的服務等級保證（SLA），相較之下，Azure一直都提供99.9%的SLA，而且針對故障或中斷導致無法使用的意外事件，還依合約提供了企業級的賠償條款。此外，Azure OpenAI客戶還可根據需求申請提高RPM（Request Per Minute），避免流量激增而影響使用品質，甚至造成服務中斷。</p> <p>值得一提的是，以Azure OpenAI打造生成式AI應用，也同時開啟了串連整合其他Azure服務的可能性。在商用場景裡，聊天機器人只是服務功能之一，完整的AI應用必須串接其他應用程式、作業流程與企業知識庫，只靠GPT模型無法提供所有支援，但結合Azure原有的AI服務如文字轉語音，就能發揮如虎添翼的效果，這也是OpenAI無法提供的附加價值。</p> <p>此外，除了提供GPT技術，微軟也進一步將其整合到旗下產品，並以SaaS或PaaS形式提供使用，例如：Bing Search，或是Microsoft 365 Copilot、GitHub Copilot。</p> <p>目前全球已有超過上千家組織正在使用Azure OpenAI服務，從新創公司到跨國集團皆涵蓋在內。舉例來說，德國西門子和Bosch等公司，以Azure OpenAI的生成式AI服務整合產業應用，可匯集生產線機台的非結構化資料並在彈指間提供即時的生產報告。</p> <p>值得一提的是，全球使用Azure OpenAI的教育應用首例就在台灣，教育部委外建置的酷英（Cool Englsih英語線上學習平台）以Azure OpenAI結合微軟的語音辨識及語音合成技術來開發CoolE Bot英語聊天機器人，提供學習者情境式對話環境。</p> <p>此外，對資安高度敏感的半導體、商用電腦和工業電腦龍頭，以及零售新創甚或金融業，都有意以非敏感性資料發展Azure OpenAI應用，台灣各產業都展現了不落人後的積極態度。換言之，無論是國內外的應用實例，或是企業最關注的資料安全、穩定度、合規法遵等應用指標，Azure OpenAI毫無疑問都是企業組織發展生成式AI應用的首選解決方案平台。</p> <p> </p> <p>--</p> <p><strong>想瞭解更多？</strong></p> <p>隨選隨看線上研討會：<a href="https://info.microsoft.com/GC-ADAI-VDEO-FY23-03Mar-23-Azure-OpenAI-service-From-Zero-to-Hero-takes-you-through-the-mysteries-of-AI-SRGCM9618_LP01-Registration---Form-in-Body.html" target="_blank">Azure OpenAI 服務： From Zero to Hero 帶您揭開 AI 神秘面紗 (microsoft.com)</a></p> <p>2023 AI EXPO 精彩回放：<a href="https://www.facebook.com/watch/live/?ref=watch_permalink&v=188640063548791" target="_blank">從 Azure AI 平台與 GPT-4 前瞻 AI 科技</a></p> <p> </p> <p><strong>用聲音了解生成式 AI：</strong></p> <p>微軟重押，ChatGPT 商機會怎麼發展？</p> <ul> <li>Apple Podcast：<a href="https://aka.ms/AOAI_Podcast1_0321" target="_blank">https://aka.ms/AOAI_Podcast1_0321</a></li> <li>Google Podcast：<a href="https://aka.ms/AOAI_Podcast2_0321" target="_blank">https://aka.ms/AOAI_Podcast2_0321</a></li> <li>Spotify：<a href="https://aka.ms/AOAI_Podcast3_0321" target="_blank">https://aka.ms/AOAI_Podcast3_0321</a></li> </ul> <div> </div> <p>生成式 AI 如何成為神隊友，為產業帶來新契機</p> <ul> <li>Apple Podcast：<a href="https://aka.ms/AOAI_Podcast1_0331" target="_blank">https://aka.ms/AOAI_Podcast1_0331</a></li> <li>Google Podcast：<a href="https://aka.ms/AOAI_Podcast2_0331" target="_blank">https://aka.ms/AOAI_Podcast2_0331</a></li> <li>Spotify：<a href="https://aka.ms/AOAI_Podcast3_0331" target="_blank">https://aka.ms/AOAI_Podcast3_0331</a></li> </ul> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/openai-microsoft-960x420.jpg?itok=yEwUBvSs" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Microsoft</p> </div></div></div>
2023/5/24 00:00機構署名廠商新聞稿https://www.ithome.com.tw/pr/156999
Google開源雲端醫療影像檢索函式庫，加速數位病理AI應用開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google開源可快速從醫療數位影像傳輸協定（Digital Imaging and Communications in Medicine，DICOM）儲存檢索全玻片影像（Whole Slide Image，WSI）的<a href="https://opensource.googleblog.com/2023/05/accelerate-ai-development-for-digital-pathology-ez-wsi-dicomweb-python-library.html">EZ WSI DICOMWeb函式庫</a>，以促進數位病理學應用的發展。</p> <p>WSI是一項將傳統病理學切片數位化的技術，而病理切片則是將組織樣本切成非常薄的薄片，進行染色後在顯微鏡下觀察，這是醫學診斷的一部分，供醫療人員觀察癌症和各種病理狀態。將病理切片數位化，就能夠儲存在數位裝置並在電腦上查看，更方便地用於共享、遠端診斷、教育和研究等目的，同時還能作為人工智慧和機器學習的資料來源。</p> <p>但是WSI同時也存在資料管理挑戰，因為高解析度圖像容量非常龐大，要從DICOM儲存中，以DICOMweb檢索特定WSI區塊（Patch）並不是一件簡單的事，除了過程相當複雜，還需要擁有對DICOM格式的專業知識。DICOMweb是DICOM的網頁標準，用於存取、檢索和管理醫學圖像資料。</p> <p>因此Google開發EZ WSI DICOMWeb Python函式庫的目的，便是要簡化這些操作，高效且簡單地存取WSI區塊圖像，進一步使WSI方便共享和存取，促進協作和知識傳遞，同時讓研究人員更簡單地將這些資料用於機器學習技術，在醫療保健領域推動人工智慧應用。</p> <p>相較傳統方法，需要從DICOM儲存下載完整的WSI，在本地端擷取區塊圖像，如此不只增加網路流量使用，也會產生更多延遲，並占用大量儲存空間，EZ WSI DICOMWeb函式庫直接透過DICOMweb API檢索需要的WSI區塊圖像，可以直覺且簡潔的使用圖像資料，開發人員也不需要深入了解DICOM的資料結構和API，而能更專注於應用開發上。</p> <p>使用EZ WSI DICOMWeb函式庫，開發者可以操作雲端DICOM儲存中的WSI，簡單擷取特定區塊圖像，加速各種病理學工作流程，Google現在透過開源此函式庫，來加速數位病理學的人工智慧應用發展。</p> </div></div></div>
2023/5/24 08:17作者李建興https://www.ithome.com.tw/news/157010
今年要求1千4百多家公司設置專責資安單位，目前僅2成達標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這兩年，我國政府聚焦於推動產業落實資安，不論是規範企業揭露資安事件重大訊息，以及要求公司年報記載資安管理作為，成為不同產業上市櫃公司必要之務，還有逐年規範符合條件公司配置相應資安人力，例如，去年底要求113家上市櫃公司需設置資安長。</p> <p>2023年還有哪些重要目標？臺灣證券交易所（證交所）公布最新推動現況，例如，要求1,443家第二級公司需在年底前，完成資安主管及至少1名專責人員的設置，而且，個資保護將是下一重點。</p> <h2><strong>今年第二級公司要設置專責資安單位，已有270多家做到</strong></h2> <p>為了強化上市櫃公司資安治理能力，金管會證期局與證交所之前已有公開說明，他們主要從資訊公開、公司治理、監理協助的角度出發，提出多項幫助上市櫃公司資安防護的措施。</p> <p>關於這一年來的推動情形，從臺灣證券交易所副經理汪厚燊的說明來看，以資訊公開的推動面向而言，不論是重大訊息、年報上的資安揭露，以及內控度措施的資安檢查，都早已完成推動。</p> <p>不過，在公司治理的推動面向上，我們注意到有兩大新進展受關注，分別是：資安長、資安專責單位及資安人員的設置狀況，以及公司治理評鑑項目的調整。</p> <p>首先，目前各界最關切的焦點，就是要求上市櫃公司設置相關資安人力。</p> <p>以2022年底對於第一級公司的要求而言，汪厚燊表示，目前這些被要求的102家上市及13家上櫃公司，均已完成資安長、資安專責主管及至少2名資安專責人員的設置。</p> <p>而今年的重要進度，就是針對第二級公司的要求。值得我們關注的是，今年受規範的上市櫃公司數量龐大，共有1,443家需在2023年底達目標，完成資安主管及至少1名專責人員的配置。</p> <p>目前這方面進度如何？汪厚燊指出，根據最新統計顯示（至4月30日止），國內已有270多家公司提早完成目標，比例將近2成，不過，此一進度算是偏慢，畢竟今年已經過去三分之一，仍有8成比例的公司還未行動。</p> <p>同時，汪厚燊公布了更具體的統計資料，目前還有618家上市公司與553加上櫃公司，尚未完整設置專責資安主管及資安人員。其中，尚未設置資安主管的公司，有上市602家與上櫃546家，尚未設置資安人員的有602家上市與533家上櫃。</p> <p>整體而言，還有大約1,100多家的上市櫃公司，要在接下來的8個月內，做好填補專責資安人力的工作。對於這樣的結果，我們認為，也反映普遍上市櫃內部缺乏專責資安團隊的現況。</p> <p><strong><a href="https://s4.itho.me/sites/default/files/images/（圖4）2023強化上市櫃公司資安措施進度大公開_圖片來源證券交易所.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%892023%E5%BC%B7%E5%8C%96%E4%B8%8A%E5%B8%82%E6%AB%83%E5%85%AC%E5%8F%B8%E8%B3%87%E5%AE%89%E6%8E%AA%E6%96%BD%E9%80%B2%E5%BA%A6%E5%A4%A7%E5%85%AC%E9%96%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E8%AD%89%E5%88%B8%E4%BA%A4%E6%98%93%E6%89%80.jpg" style="width: 600px;" /></a><br /> <span style="color:#696969;">圖片來源／臺灣證券交易所</span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/fix-（主圖）臺灣資安大會封面故事證交所s_汪厚燊_攝影iThome.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/fix-%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B%E8%AD%89%E4%BA%A4%E6%89%80s_%E6%B1%AA%E5%8E%9A%E7%87%8A_%E6%94%9D%E5%BD%B1iThome.jpg" style="width: 600px;" /></a></p> <p><strong>為了提升上市櫃公司對資訊安全的重視，臺灣證券交易所副經理汪厚燊表示，今年重點是在第二級公司,目前尚有1,100多家上市櫃公司要完成資安主管及至少1名專責人員的配置，同時，政府也鼓勵這些公司能加入領域ISAC，或TWCERT等資通安全情資分享平臺，以達資安聯防之效。攝影／iThome</strong></p> <h2><strong>公司治理評鑑加分項目，今年新增導入資安標準並取得驗證</strong></h2> <p>第二個新焦點，是在公司治理評鑑的修正，將完成導入「國際資安標準」並取得外部驗證，納為加分項目，可在公司治理評鑑的總分另加1分。</p> <p>事實上，我們在2019年即注意到，治理評鑑項目首度新增資安相關內容：「2.24 公司是否建置資訊安全風險管理架構，訂定資訊安全政策及具體管理方案，並揭露於公司網站或年報？」。而在最新第九屆資安治理評鑑中，除了將上述指標的文字做調整，以符合「公開發行公司年報應行記載事項準則」修訂的內容，並特別將導入ISO27001、CNS27001或同等以上的資訊安全管理系統標準，並取得第三方驗證，納為公司治理評鑑的加分項目。</p> <p>不過，汪厚燊強調，比起國外的公司治理評鑑所設定的資安指標來看，我們還有很大的提升空間。基本上，公司治理評鑑的目的，是促進公司本身主動增進治理水準與動力，藉由每年度自評逐步導引企業採用良善公司治理措施，而在國際間的公司治理評鑑中，資安評鑑指標項目的內容，還會涵蓋更廣。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖6）2023強化上市櫃公司資安措施進度大公開.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%892023%E5%BC%B7%E5%8C%96%E4%B8%8A%E5%B8%82%E6%AB%83%E5%85%AC%E5%8F%B8%E8%B3%87%E5%AE%89%E6%8E%AA%E6%96%BD%E9%80%B2%E5%BA%A6%E5%A4%A7%E5%85%AC%E9%96%8B.jpg" style="width: 600px;" /></a></p> <p><strong><span style="color: rgb(105, 105, 105);">圖片來源／臺灣證券交易所</span></strong></p> <p>以我國公司治理評鑑的資安指標而言，目前主要涵蓋面向是在：政策與機制、流程與基礎架構、引用國際標準，以及第三方驗證。但以道瓊永續指數（DJSI）、明晟永續指數（MSCI ESG）而言，其涵蓋範圍更是包括：定期弱點分析、事件因應、收集與留存資料最小化、政策涵蓋供應鏈及合作伙伴、資安教育訓練。</p> <p>換言之，儘管國內還沒有將這些方面訂為評鑑項目內容，但企業也可從國際發展態勢作為借鑑，視為增加公司資安治理的要項。</p> <h2><strong>促進資安訊息分享，第一級公司加入ISAC、TWCERT達8成</strong></h2> <p>關於監理協助推動面向的新進展，主要焦點就是著重於資安訊息的分享。去年金管會證期局已開始鼓勵上市櫃公司，加入資通安全情資分享平臺，包括國內各領域ISAC（金融、科技、醫療、能源、通訊、交通），沒有產業限制的TWCERT，以促進上市櫃公司的資安情資分享與聯防。</p> <p>這方面的進度如何？汪厚燊表示，截至今年3月7日為止，以第一級公司而言，102家上市公司中有91家加入，比例達近9成，13家上櫃公司有10家加入，比例達7成6。</p> <p>以第二級公司而言，在772家的上市公司中，已經有242家加入，比例為3成1，在671家的上櫃公司中，已經有187家加入，比例為2成7。</p> <p>總體而言，第一級公司的加入狀況還算不錯，平均在8成左右，但第二級公司還不夠積極。</p> <p>因此，證交所與櫃買中心希望在2023年底前，能促進更多上市櫃公司加入這類平臺，取得資安預警情資、資安威脅與弱點資訊，以達資安聯防之效。</p> <h2><strong>個資保護將成下一重點，內控查核將新增個資檢查項目</strong></h2> <p>至於2023年下半，主管機關可能提出哪些新規範，汪厚燊透露，個資議題會是一大重點。</p> <p>關於個資保護，不只是上市櫃公司，所有公司都應該要有所重視，因為近期政府動作連連。例如，在今年5月，國發會祭出防止非公務機關個資外洩的精進措施，就是針對個資而來。而且，個人資料保護法部分條文修正草案通過，將設立「個人資料保護委員會」，並將限期未改善或情節重大的最高罰責提高至1,500萬元。</p> <p>而針對上市櫃公司，他們也將在監理協助的內控查核方面，新增加個資查核項目，需要關注的重點。</p> <h2><span style="font-size: 13px;">另外，汪厚燊表示，政府為了鼓勵企業重視資安規畫，除了祭出裁罰措施，也有提供獎勵計畫，例如，去年經濟部與財政部發布「公司或有限合夥事業投資智慧機械與第五代行動通訊系統及資通安全產品或服務抵減辦法」，首度將資安投資納入抵稅範圍，為期三年，今年將可開始申請2022年的資安投資抵稅，最晚申請時間是5月底。</span><br /> </h2> <h2><span style="color:#0099ff;"><strong>針對三大資安作為揭露，證交所增加參考範例</strong></span></h2> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5）2023強化上市櫃公司資安措施進度大公開.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%892023%E5%BC%B7%E5%8C%96%E4%B8%8A%E5%B8%82%E6%AB%83%E5%85%AC%E5%8F%B8%E8%B3%87%E5%AE%89%E6%8E%AA%E6%96%BD%E9%80%B2%E5%BA%A6%E5%A4%A7%E5%85%AC%E9%96%8B.jpg" style="width: 280px; float: right;" /></a></p> <p>近年來，我國強化上市櫃資安從資訊公開、公司治理，以及監理協助著手，自2023年推動概況來看，資訊公開方面新動向較少，因為多數都已完成，但我們最近發現，證交所在2021年12月底發布針對<a href="https://cgc.twse.com.tw/lawReport/listCh">資安管理的股東會年報最佳實務參考範例，在2023年有新的版本</a>，因此，我們在大會演說結束後詢問汪厚燊，目前看來，新版本是在2023年2月發布，當中對於資通安全風險管理架構、重大資通安全事件、資通安全風險與因應措施等層面的範例數量，將原本的1個變成2個，希望幫助上市櫃公司編製年報的人員有更多參考依據，符合主管機關、產業投資人的期望。</p> <p> </p> </div></div></div>
2023/5/23 22:06作者羅正漢https://www.ithome.com.tw/news/157014
【資安日報】5月23日，勒索軟體駭客BlackCat利用惡意驅動程式Poortry發動攻擊，繞過防毒軟體偵測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體BlackCat再度傳出新的攻擊行動，但值得留意的是，駭客運用的作案工具當中，包含了去年年底被揭露的惡意驅動程式Poortry，而有機會停用電腦防毒軟體的處理程序，免於遭到偵測。</p> <p>於上週末發生資料外洩事故的共享單車服務YouBike，現在又有新的發展，桃園市政府交通局指出，該公司在公布資安事故後二度遭到攻擊，受影響人數也增加快一倍。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="http://www.trendmicro.com/en_us/research/23/e/blackcat-ransomware-deploys-new-signed-kernel-driver.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體BlackCat利用惡意驅動程式Poortry繞過防毒軟體偵測</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/blackcat-2-4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/blackcat-2-4.png" style="width: 300px; float: right;" /></a>資安業者Mandiant、Sophos、SentinelOne去年底揭露，有人透過微軟的硬體開發人員帳號，打造了含有微軟簽章（現在已註銷）的惡意驅動程式Poortry並用於攻擊行動，現在傳出駭客再度將其用於勒索軟體攻擊。</p> <p>資安業者趨勢科技指出，他們在今年2月看到勒索軟體BlackCat的攻擊行動裡，駭客利用惡意驅動程式Poortry（檔案名稱為ktgn.sys），並將其部署於目標電腦的暫存資料夾（%Temp%），再透過tjr.exe可執行檔載入，最終執行勒索軟體BlackCat。</p> <p><a href="https://www.linkedin.com/posts/yelisey-bohuslavskiy-214a02bb_royal-ransomware-apt-activity-7064301345599565824-EwaW/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Royal著手打造惡意軟體載入工具</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1684260687953.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/1684260687953.jpg" style="width: 300px; float: right;" /></a>研究人員Yelisey Bohuslavskiy發現，勒索軟體駭客組織Royal改變其攻擊手法，著手開發自己專屬的惡意程式載入工具，其主要特徵是檔案很小（不到250 KB），以及僅具備部署Cobalt Strike的單一用途。研究人員指出，駭客將入侵目標電腦的工具獨立於勒索軟體之外，主要目的就是能讓駭客在攻擊行動中，自由搭配自己偏好的勒索軟體來進行。</p> <p>而對於該惡意程式載入工具與其他駭客之前的關連，研究人員指出該工具當中含有另一款惡意程式Anubis的主要功能，而Anubis是勒索軟體駭客Conti打造的IcedID變種。</p> <p><a href="https://www.cybersecuritydive.com/news/dallas-ransomware-data-leak-threat/650883/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國達拉斯市遭勒索軟體Royal攻擊，駭客要脅要公布竊得的員工個資及法院資料</span></strong></a></p> <p>美國德州第3大城市達拉斯於5月初，傳出遭到勒索軟體Royal攻擊，導致市政府的部分業務中斷，當地法庭休庭、警察局網站出現503錯誤訊息。現在傳出駭客打算公布竊得的資料，他們聲稱握有達拉斯大量市政府員工個資，以及法庭案件的資料，並指出員工個資包括了社會安全碼（SSN）、護照資料、信用卡號碼、聯絡方式等；而法庭資料的部分則則含有被監禁人士的個資、醫療資訊、用戶資料，此外，還有數以千計的政府文件。</p> <p>對此，達拉斯市政府於19日表示，他們得知駭客組織要脅要公布相關資料的情況，但沒有資料外洩的跡象，他們將進行監控。到了22日，市政府指出法院將在30日重新開放。</p> <p><a href="https://arxiv.org/pdf/2305.10791.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">暴力破解手法不僅用於密碼猜測，有人找出可用於破解手機指紋驗證的作法</span></strong></a></p> <p>騰訊實驗室與浙江大學的研究人員揭露名為BrutePrint的攻擊手法，藉由暴力破解的方式通過智慧型手機的指紋辨識，進而控制手機。研究人員發現2個可被用於上述攻擊的零時差漏洞，他們將其命名為Cancel-After-Match-Fail（CAMF），以及Match-After-Lock（MAL），並指出這類手法可針對所有的安卓、HarmonyOS、iOS裝置發動攻擊。</p> <p>攻擊者事先取得用於學術的指紋資料庫及相關設備，就有機會利用上述的2個漏洞，持續比對指紋資料，且不會記錄失敗的情況而不致遭到封鎖。</p> <p>值得留意的是，如果使用者註冊了多個指紋，暴力破解所需的時間會大幅降低，從1個指紋需2.9至13.9個小時，降至0.66至2.78個小時。研究人員指出，這種手法雖然需要長時間接觸手機，但小偷和執法單位很可能藉此破解指紋辨識機制而控制目標裝置。</p> <p><a href="https://securelist.com/cloudwizard-apt/109722/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織Bad Magic埋伏在烏克蘭恐超過十年</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CloudWizard_APT_the_bad_magic_story_goes_on_03.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CloudWizard_APT_the_bad_magic_story_goes_on_03.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基揭露駭客組織Bad Magic（亦稱Red Stinger）的攻擊行動，此駭客組織原本的主要目標，是烏克蘭境內的頓內茨克、盧甘斯克、克里米亞半島，但現在範圍擴及烏克蘭的西部及中部，針對其個人、外交單位、研究機構而來。</p> <p>研究人員指出，這些駭客攻擊行動的特徵，就是使用模組化的惡意框架CloudWizard，而能截取受害電腦螢幕截圖、錄下麥克風聲音、側錄鍵盤輸入的內容、截取帳密資料、收集Gmail信箱的能力。</p> <p>在他們進一步針對CloudWizard進行分析後，發現利用此工具發動攻擊的駭客，也曾參與Operation Groundbait和Operation BugDrop攻擊行動，並曾經使用名為Prikormka的惡意程式，研判這些駭客至少從2008年就開始活動。</p> <p><a href="https://drops.scamsniffer.io/post/5-9-million-stolen-by-scam-as-a-service-provider-called-inferno-drainer/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加密貨幣網釣攻擊也出現服務化的現象，Inferno Drainer從近5千人盜取加密貨幣</span></strong></a></p> <p>資安業者Scam Sniffer指出，他們看到有人自今年2月，提供名為Inferno Drainer的加密貨幣網釣工具服務，該服務自3月27日開始，建置了約689個可用於攻擊的冒牌網站，這些網站模仿229個加密貨幣業者，如 Pepe、Bob、MetaMask、OpenSea，供買家向使用者進行網路釣魚或是詐騙。</p> <p>研究人員指出，提供該服務的賣家以抽成的方式向買家收費，他們在買家成功竊得加密貨幣後收取2至3成的傭金，截至目標為止，研究人員總共發現有4,888人受害，約有590萬美元的加密貨幣被盜。</p> <p><a href="https://traffic.tycg.gov.tw/businessD/post/upt.aspx?p0=104908"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">YouBike資料外洩範圍擴大，受害人數超過4萬名</span></strong></a></p> <p>上週末共享單車服務YouBike遭到境外網路攻擊，該公司亦暫時停用會員登入系統，並傳出約有2.1萬交易資料遭竊，但如今這起事故的受害範圍恐有擴大的趨勢。</p> <p>桃園市政府交通局於5月22日會同臺北市政府、新北市政府對YouBike進行查核並進行初步了解，得知該公司分別於19日及21日，先後遭到境外及境內的網路攻擊，總共約有4萬多名會員的交易資料遭竊。對此，桃園市政府要求YouBike於26日前完成加強網路管制措施及改善事項，並提出會員通案性的賠償方案。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://techcrunch.com/2023/05/22/linkedin-verification-tools-job-posts-adds-message-warnings-potential-scams/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為防範應徵者上當，LinkedIn針對徵才貼文提供認證機制</span></strong></a></p> <p>職場社群網站LinkedIn於5月22日宣布，他們將正式推出職位驗證工具和反詐騙機制，目的是提升該平臺安全，並保護用戶免於徵才詐騙的情況。該公司也針對使用者收到的工作邀請或私人訊息，透過機器學習的技術進行自動辨識，若是發現疑似不安全的情況，就會顯示紅色警示文字。</p> <p>而對於該公司採取上述措施的動機，科技新聞網站Engadget認為，很有可能與近期發布的透明度報告有關──該公司於2022年下半封鎖5,800萬個詐騙帳號，較上半年的2,200萬個翻倍，此外，該公司也看到利用AI產生的假照片及個人資料。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.group-ib.com/blog/qilin-ransomware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體Qilin改以程式語言Rust開發，鎖定教育、醫療、金融產業而來</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/pentagon-explosion-hoax-goes-viral-after-verified-twitter-accounts-push/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客透過AI產生五角大廈爆炸影片，假冒知名媒體散布訊息，導致美國股市應聲下跌</span></span></strong></a></p> <p><a href="https://permiso.io/blog/s/unmasking-guivil-new-cloud-threat-actor/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">印度駭客濫用AWS EC2進行挖礦</span></span></strong></a></p> <p><a href="https://arxiv.org/abs/2305.08596"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員打造大型語言機器學習模型DarkBERT，可自動化從暗網收集威脅情報</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156982">【5月22日】 YouBike證實遭到網路攻擊，2.1萬用戶資料外洩</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156961">【5月19日】臺灣4月上旬出現惡意郵件、惡意軟體攻擊翻倍爆增的情況</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156942">【5月18日】要求受害組織作公益的勒索軟體再度出現，這次是鎖定Zimbra郵件系統而來</a></strong></p> </div></div></div>
2023/5/23 18:19作者周峻佑https://www.ithome.com.tw/news/157011
避免資安意識培訓失敗3大主因，可混搭5種模式打造客製化課程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「資訊安全3大要素是人員、技術及流程，人員往往是最脆弱的一環。」安永企管副總經理陳志明直言。許多企業會推動資安意識計畫，希望強化員工資安意識，並協助他們實踐安全行為，來限制人為資安風險。不過，多年從事資安顧問的他指出，大多數資安意識計畫都不算成功，往往歸咎於3個原因：員工參與度低、受訓者無法持續實踐安全行為、課程沒有依照組織情況設計。</p> <p><strong>資安意識計畫失敗的三大原因</strong></p> <p>陳志明進一步說明這3個問題。首先是員工參與積極度過低。他觀察，企業制定資安意識計畫時，常過度聚焦於公司政策，沒有告訴培訓對象，這些安全行為如何使自己或所屬部門受益。無法體會資安重要性，企業員工便不會積極參與。</p> <p>第2個常見問題是，將資安培訓視為一次性練習，員工不會將安全行為納入工作習慣。許多企業進行員工資安培訓時，只會重複使用主題和測驗方法一成不變的線上課程，讓員工逐漸失去興趣。甚至會演變成，員工開始流傳課程測驗答案，培訓時任由影片播完，待測驗時照抄答案交差了事。</p> <p>第3個問題是，企業擬定資安意識培訓計畫時，常因法規或公司政策規定要有資安培訓內容，便匆匆找來講師或線上課程，讓相關人員參與。由於沒有針對自身業務環境和面臨威脅來選擇培訓教材。培訓後，仍難以看見課程對企業帶來哪些具體成效。</p> <p>如何避免這些問題，陳志明建議，首先，資安培訓不能只是一次性進修或考試，還要為受訓者訂定日常安全行為的執行標準。再來，執行計畫前，承辦人員應分析不同受訓者的業務如何受益於安全行為，與講師積極溝通培訓內容，量身打造溝通方法與教材。例如，若欲對高階主管傳達特定觀念，甚至希望引導高階主管加碼投資資安，承辦人員都應與講師協調。</p> <p>至於如何決定培訓受眾，陳志明強調，除了企業內部人員，企業會接觸到的利害關係方，例如合作廠商、客戶、主管機關、會計師、律師等，也必須納入資安意識計畫，培養出相對應的資安意識及程序。</p> <p>資安意識計畫另一項重點是，要有明確培訓目標，才能引起參與人員學習動機。陳志明舉例，他曾替一家國內企業授課，培訓一開始就表明，結束後會替企業選拔資安長，資安長還得在一定時限內提出公司資安藍圖，向總經理匯報。有了明確目標和時限，學員不僅積極學習，還會主動思考自己需要哪些知識來達成目標，積極請教講師。</p> <p><strong>資安培訓應因才施教，採用多元培訓模式</strong></p> <p>陳志明表示，既然要根據不同受訓者設計不同課程，承辦人員設計教材時，也需要綜合使用不同培訓工具和模式。根據形式和對象，他提出5種可混搭的訓練模式，包括了數位課程、釣魚攻擊演練、駭客實際演練、駭客工具展現、及遊戲化訓練等。</p> <p>數位課程是最通用且常用的形式，陳志明認為，數位課程固然簡單好用，但課程主題跟測驗方法要力求多元，避免變成員工只想背測驗答案，應付了事。</p> <p>釣魚攻擊演練則是由培訓方對員工進行釣魚攻擊，來提升員工對此類攻擊的戒心。陳志明建議，攻擊方可以多種攻擊型態並用，例如電子郵件、語音呼叫、文字簡訊，也要捕鯨和魚叉式攻擊並用。這樣一來，才能更好模擬駭客多樣化的攻擊手法。</p> <p>駭客實際演練是請道德駭客扮演攻擊者和受害者，直接展現駭客如何輕易突破人和系統漏洞，再回顧駭客攻擊步驟，說明駭客思維及防禦方法。陳志明說，實際演練過程能引導受訓者思考如何應對，同時能產生一定震撼，加深印象。</p> <p>駭客工具展現則是各種駭客工具，例如惡意充電線、感染USB、Proxmark IC卡破解器、RFID複製卡等，用電腦以外的呈現媒介來刺激受訓者好奇心，同時意識到資訊安全不只是政策和培訓，而是真實會發生於生活中的議題。</p> <p>最後一種，陳志明建議，遊戲化訓練模式可以參考商業遊戲、網路戰爭（紅藍隊演練）遊戲、密室逃脫等遊戲形式，分別針對高階主管、資安人員及一般人員，將他們置於特定情境中，要求在時限內做出資安相關決策。商業遊戲強調業務目標與資運安全的交集，意圖使玩家能從企業營運角度來思考資安重要性；網路戰爭遊戲能訓練資安人員危機處理能力；密室逃脫則是將資安事件跟意識融入團隊遊戲中，以遊戲和團隊合作的形式來嘗試提升員工參與度。陳志明表示，遊戲化訓練雖然需要投入更多資源來設計教材，但跳脫了教條式教學形式，讓學員沉浸在情境中思考如何行動，因此通常教學成果會較好。</p> </div></div></div>
2023/5/23 17:31作者郭又華https://www.ithome.com.tw/news/157009
把歐洲民眾資料傳送到美國，Meta遭重罰12億歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.dataprotection.ie/en/news-media/press-releases/Data-Protection-Commission-announces-conclusion-of-inquiry-into-Meta-Ireland" target="_blank">愛爾蘭資料保護委員會（Data Protection Commission，DPC）周一（5/22）宣布</a>，已結束對Meta Ireland將歐洲經濟區（EEA）的個人資料傳送至美國以提供臉書服務的調查，認為Meta的行為違反了《歐盟通用資料保護規則》（GDPR），判罰12億歐元，創下GDPR的最高罰款紀錄。<a href="https://about.fb.com/news/2023/05/our-response-to-the-decision-on-facebooks-eu-us-data-transfers/" target="_blank">Meta則說</a>這是個不正當且沒必要的處分，將提出上訴。</p> <p>歐盟與美國在2016年建立《隱私盾》（Privacy Shield）資料傳輸保護協議，簡化美國企業將歐洲民眾資料傳送到美國的流程，以推動跨大西洋的貿易，但2018年時奧地利一名隱私捍衛人士Max Schrems控告臉書侵犯他的隱私，指稱《隱私盾》無法完全保障歐洲民眾的隱私權，這使得歐盟於2020年廢除了《隱私盾》，Meta繼而採用歐盟與他國之間的《標準合約條款》（Standard Contractual Clauses，SCCs），來傳輸資料。</p> <p>不過，愛爾蘭DPC在2020年8月時初步認為Meta使用SCCs並不符合GDPR規範，展開了進一步的調查，之後Meta切換至歐盟執委會（EC）所通過的新版SCCs，並實施了其它的補救措施，惟DPC發現這些安排都無法解決資料風險問題。</p> <p>因此，愛爾蘭DPC認為Meta的資料傳輸違反GDPR，要求Meta必須中止這類的行為，並判罰12億歐元。</p> <p>Meta則直指這是歐盟資料保護委員會（European Data Protection Board，EDPB）從中作梗的結果。</p> <p>Meta全球事務總裁Nick Clegg及法務長Jennifer Newstead指出，僅管DPC知道Meta的臉書用戶資料傳輸是基於善意，且沒必要罰款，卻在最後一刻被EDPB推翻，事實上，Meta所使用的是與其它在歐盟提供服務的數千家企業同樣的法令機制，此一決定不僅不正當且有缺陷，對其它於歐盟及美國之間傳輸資料的企業而言，更是一個危險的先例。</p> <p>另一方面，<a href="https://about.fb.com/news/2023/05/our-response-to-the-decision-on-facebooks-eu-us-data-transfers/" target="_blank">EDPB主席Andrea Jelinek則認為</a>，Meta的侵權行為非常嚴重，臉書在歐洲擁有眾多用戶，因而傳輸了大量資料，罰款計算基準採用了最高金額的20~80%。而12億歐元則是GDPR自2018年上線以來金額最大的一筆罰款。之前的GDPR罰款紀錄保持者為<a href="https://www.ithome.com.tw/news/145975" target="_blank">Amazon在2021年被判罰7.46億歐元</a>。</p> <p>Meta則計畫提出上訴，採取拖延戰術，直至美國與歐盟之間新擬定的《資料隱私架構》（Data Privacy Framework，DPF）生效，以避免對使用者造成影響。</p> </div></div></div>
2023/5/23 15:25作者陳曉莉https://www.ithome.com.tw/news/157007
Meta運用聖經譯本與錄音改進語音模型，現可支援超過千種語言
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta大幅推進語音辨識技術，釋出的單一<a href="https://ai.facebook.com/blog/multilingual-model-speech-recognition/">多語言語音辨識模型MMS（Massively Multilingual Speech）模型</a>，能夠辨識超過4,000種的口說語言，而這個數量是目前已知技術的40倍。MMS也使得文字轉語音，以及語音轉文字技術，從原本只能用於約100種語言，現在擴展到1,107種。</p> <p>要訓練出能夠辨識大量語言的模型，Meta第一個遭遇到的困難是收集各種語言的音訊資料，目前最大的語音資料集，也只不過涵蓋100種語言而已，研究人員想到一個克服難題的方法，是利用聖經等宗教文本，這些文本已經被大量翻譯成各種不同的語言，而且聖經翻譯本也被廣泛地用在文字語言翻譯研究上。</p> <p>這些宗教文本翻譯也有公開的錄音，因此Meta研究人員利用這些錄音，創建出1,100多種語言的新約聖經音訊資料集，每種語言平均有32小時的錄音資料。除了聖經之外，還有許多基督教宗教讀物無標籤錄音，也能夠被拿來訓練模型，使Meta得以將可用語言數量擴增至4,000多種。</p> <p>Meta研究人員提到，經過他們的分析，雖然這些錄音資料主要都是男性說話者的聲音，但MMS模型處理男性和女性聲音的效能表現一致，另外，訓練資料內容來自於宗教，不過這並不會使模型產生更多的宗教語言。</p> <p>語音技術被大量用在虛擬以及增強實境上，目的是讓每個使用者透過母語，理解網路上其他人的話語，官方也表示，目前地球已知有7,000多種語言，許多語言正不斷的消失，更強大的語言技術將有助於保護這些語言。Meta現在<a href="https://github.com/facebookresearch/fairseq/tree/main/examples/mms">開源MMS模型以及程式碼</a>，供研究社群能夠以這些基礎進行後續研究。</p> </div></div></div>
2023/5/23 12:59作者李建興https://www.ithome.com.tw/news/157005
Meta揭露自家設計的推理晶片MTIA和下一代AI資料中心設計
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了滿足未來10年人工智慧研究的需求，<a href="https://about.fb.com/news/2023/05/metas-infrastructure-for-ai/">Meta規畫下一代人工智慧基礎設施</a>。專為人工智慧設計的基礎設施主幹，包括使用Meta自己設計的人工智慧加速晶片<a href="https://ai.facebook.com/blog/meta-training-inference-accelerator-AI-MTIA/">MTIA</a>，並採用新的資料中心設計。另外，在RSC（Research SuperCluster）計畫第二階段，Meta還將完成具有16,000個GPU的超級電腦，以支援人工智慧研究。</p> <p>簡稱為MTIA（Meta Training and Inference Accelerator）的晶片，是Meta最新針對推理工作負載所設計的加速晶片，Meta表示，MTIA針對內部的工作負載，具有比CPU更強的計算能力和效率，透過部署MTIA和GPU，Meta能夠以更高效能和更低的延遲執行工作負載。</p> <p>由於Meta認為，他們特有的推薦工作負載規模，GPU無法總是提供需要的運算效率。因此特別開發了MTIA，這是一個全堆疊解決方案，包含了晶片、PyTorch和推薦模型。MTIA和PyTorch完全整合，因此開發者能夠以與CPU和GPU相同的方式，在MTIA上開發程式，除了使用PyTorch，開發者也能以C/C++最佳化運算核心。MTIA之後也會整合PyTorch 2.0。</p> <p>最新的資料中心也是針對人工智慧工作負載設計，具有液冷式人工智慧硬體，以及將數千個MTIA人工智慧晶片連結在一起的高效能人工智慧網路，可建立起資料中心規模的人工智慧訓練叢集。新設計將使建置更快更具成本效益，並且與其他ASIC解決方案MSVP等現有硬體互補。</p> <p>除此之外，Meta也將完成超級電腦RSC的第二階段升級，這個專門用來訓練大型人工智慧模型的超級電腦，將會擁有16,000個GPU，並且所有GPU都可以使用3階段Clos網路（Clos Network），以高流量網路支援2,000個訓練系統。</p> <p>除了硬體的升級，Meta也透過部署人工智慧程式開發助理CodeCompose，改進內部開發方法，依據Meta的描述，CodeCompose就像GitHub Copilot，是一個生成式人工智慧程式開發助理，能夠加速開發人員工作效率。</p> </div></div></div>
2023/5/23 11:20作者李建興https://www.ithome.com.tw/news/156986
JetBrains在跨平臺UI開發框架Compose Multiplatform加入iOS支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JetBrains更新自家跨平臺UI開發框架<a href="https://blog.jetbrains.com/kotlin/2023/05/compose-multiplatform-for-ios-is-in-alpha/">Compose Multiplatform</a>，新增支援iOS，現在開發者可以實作一次使用者介面，就在Android、iOS、桌面和網頁之間共用。Compose Multiplatform是JetBrains推出的跨平臺開發框架，以Jetpack Compose為基礎，而Jetpack Compose則是Google為Android開發，以Kotlin編寫的現代化使用者介面工具包。</p> <p>Compose Multiplatform提供了統一開發方法，讓開發者能夠使用同一套程式碼庫，對多個平臺開發應用程式，以大幅減少維護成本和開發時間，且因為Compose Multiplatform是以Kotlin開發，因此也繼承了Kotlin語言包括簡潔語法、空值安全，以及豐富標準函式庫等優點。</p> <p>Compose Multiplatform的開發團隊與Google緊密合作，會定期提交變更至上游的Jetpack Compose專案，且由於兩者的API相同，因此Jetpack Compose的開發者，可以熟悉地使用Compose Multiplatform編寫共用使用者介面。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/architecture(2).png" style="width: 580px;" /></p> <p>官方提到，因為iOS上的Compose Multiplatform是基於畫布渲染，因此預設情況iOS和Android應用程式看起來會是相同的。在iOS上Compose Multiplatform使用者介面以Skiko圖形函式庫的畫布實作渲染，而在Android上，Compose Multiplatform則是透過使用Jetpack Compose，Android開發者想要移植應用程式到iOS的使用者介面，便不需要改變任何編寫的程式碼。</p> <p>Compose Multiplatform也提供了與SwiftUI和UIKitView的互通性，透過使用UIKitView，開發者可以在共用的使用者介面嵌入地圖、網頁、媒體播放器和攝影機等複雜的平臺特定小工具，而在ComposeUIViewController，開發者也可以在SwiftUI應用程式中嵌入Compose Multiplatform畫面，使開發者逐漸在iOS應用程式中加入Compose Multiplatform。</p> <p>Compose Multiplatform在所有平臺，提供開箱即用的Material和 Material 3小工具，開發者可以調整這些小工具的外觀和感覺，以搭配整體設計風格。由於目前Compose Multiplatform對iOS的支援，還只在Alpha測試階段，因此開發團隊仍在進行調整，並且與Kotlin/Native團隊合作，目標是提高iOS共用介面的效能。</p> </div></div></div>
2023/5/23 11:23作者李建興https://www.ithome.com.tw/news/156994
LinkedIn正式推出身分驗證服務，提升平臺安全預防應聘者受騙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>LinkedIn近日（22日）<a href="https://www.linkedin.com/pulse/new-tools-help-job-seekers-feel-safe-confident-search-rohan-rajiv%3FtrackingId=3t6Ywq2YT3mDmA9ZRejptA%253D%253D/?trackingId=3t6Ywq2YT3mDmA9ZRejptA%3D%3D">宣布</a>正式推出職位驗證工具和反詐騙機制，以提升平臺安全並保護用戶不受工作應徵公告或是其公司詐騙。</p> <p>LinkedIn正式推出的驗證工具會在用戶點選應聘貼文時看到公司官方網站是否有相關訊息，例如職位發布者可藉由公司電子郵件來驗證目前所任職的公司，全球目前有超過4,000家公司支援此驗證，另外職位發布者也可以用一個安全身分驗證平臺CLEAR來驗證自己的身分，使用者只需要利用美國政府的正式身分證件，如駕照、工作證等，加上美國電話號碼即可進行認證。</p> <p>LinkedIn表示這些認證都是為了提升求職者對職位的信任，讓求職者在申請職位時的頁面就能清楚地看到這個職位以及公司的真實性，而從企業的角度，也希望企業以更容易且免費的方法驗證以吸引到有潛力的申請者。上個月（4/12）LinkedIn已經先發表了這些多項身分驗證服務。</p> <p>此外，LinkedIn也推出了新的警告功能，當用戶收到可疑的工作邀請或私人訊息時，系統採用機器學習技術自動辨識，如果偵測可能不安全即會發出紅色字樣的警示。</p> <p>據Yahoo!<a href="https://www.yahoo.com/news/linkedin-starts-rolling-out-new-verification-and-anti-scam-features-133539818.html?guccounter=1">報導</a>這一系列新功能的推出都是在LinkedIn最新的<a href="https://about.linkedin.com/transparency/community-report#fake-accounts-2022-jul-dec">透明度報告</a>（transparency report）之後，該報告顯示出詐騙帳號於其平臺大幅增加。從2022年7月至12月，LinkedIn封鎖了超過5,800萬個帳號，比其前六個月封鎖的2,200萬個帳號增加了超過兩倍。LinkedIn 甚至發現一些利用 AI 生成的假照片和個人資料。</p> <p>LinkedIn指出，這些驗證新功能剛推出，隨著各個公司使用而擴大範圍將讓它們普及化。</p> <p>透明度報告為公司定期發布的公開聲明，內容主要為與用戶相關的數據和紀錄。</p> </div></div></div>
2023/5/23 11:40作者洪予揚https://www.ithome.com.tw/news/156998
全球500大超級電腦由Frontier蟬連冠軍，AMD占了121臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://top500.org/news/frontier-remains-sole-exaflop-machine-and-retains-top-spot-improving-upon-its-previous-hpl-score/" target="_blank">第61屆的全球500大超級電腦排行榜於本周出爐</a>，依舊由橡樹嶺國家實驗室（ORNL）的Frontier奪冠，其HPL（High-Performance Linpack）標竿測試分數為1.194 Eflop/s，仍是該排行榜上唯一的Exascale等級超級電腦。</p> <p>排名第二的是安裝於日本RIKEN中心的Fugaku，其HPL分數為442 Pflop/s，第三則是芬蘭EuroHPC中心 LUMI，HPL分數是309.1 Pflop/s。</p> <p>前10大超級電腦有4臺採用AMD處理器，英特爾及IBM處理器分別占了2臺；而前500大超級電腦主要採用英特爾、AMD與IBM處理器，其中，基於英特爾處理器的占了6成以上，AMD則有121臺，比去年同期增加了29%，占500臺的24%。</p> <p>擁有最多前500大超級電腦的國家為美國，占30%，居次的是中國的26.8%，日本占了14.8%。</p> <p>令人好奇的是，<a href="https://www.ithome.com.tw/news/115060" target="_blank">在2017年曾囊括排行榜前兩名</a>，且<a href="https://www.ithome.com.tw/news/118247" target="_blank">進榜量甚至超越美國的中國</a>，近來顯得異常安靜，此次只有兩臺入榜前10，分別是排名第7的神威太湖之光（Sunway TaihuLight），以及排名第十的Tianhe-2A。</p> <p>專門報導超級電腦消息的<a href="https://www.nextplatform.com/2021/10/26/china-has-already-reached-exascale-on-two-separate-systems/" target="_blank">《The Next Platform》在2021年時指出</a>，就在美國與中國之間的關係愈來愈緊張之後，中國開始不再大肆宣揚自家的系統飛躍進度，然而，中國當年就有兩臺基於不同架構的超級電腦達到Exascale等級，包括Sunway Oceanlite及Tianhe-3，居全球之先，卻未對外揭露。</p> <p><a href="https://www.theregister.com/2023/05/22/us_china_top500_may_2023/" target="_blank">《The Register》</a>則分析，500大超級電腦這幾年愈來愈少看到由中國所提交的系統，原因很可能是中國不想進一步激怒美國，避免引來更多的制裁行動，而選擇隱藏實力。</p> </div></div></div>
2023/5/23 12:03作者陳曉莉https://www.ithome.com.tw/news/157000
蘋果找生成性AI人才，改善裝置體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>正當所有IT龍頭業者如微軟、Google及Meta相繼推出生成性AI服務，蘋果也加緊尋找此類人才，以生成性AI改善iPhone或Apple TV等裝置的使用者互動。</p> <p><a href="https://techcrunch.com/2023/05/19/apple-generative-ai-jobs/" target="_blank">Techcrunch</a>首先發現蘋果近日張貼的徵才啟事。<a href="https://jobs.apple.com/en-us/details/200475178/visual-generative-modeling-research-engineer" target="_blank">這則徵才啟事中</a>，蘋果軟體事業群的智慧系統體驗（Intelligence System Experience，ISE）部門要找一位視覺生成性模型研究工程師，將駐在加州聖地牙哥辦公室。這個單位的工作內容橫跨系統體驗和多模機器學習，像是以機器學習（machine learning，ML）改良鍵盤、Pencil & Paper、捷徑、設定等「系統體驗」，目前這個部門工作目標包括開發對人臉、文字、手寫筆跡及場景的電腦視覺、撰寫流程與「知識汲取」的多語言自然語言處理（NLP）、提供預判式建議的行為模型、以及確保隱私的機器學習等專案。</p> <p>這ISE單位要找一位具有訓練和部署大型ML功能/流程經驗的工程師。根據上周貼出的徵人啟事，這個職位內容主要是演算法設計及實作、將研究落實、並和產品部門合作，工作目標包括訓練出執行於分散式後端上的視覺生成式模型、在裝置上部署transformer等神經架構，該模型還要能學習用戶個人化的隱私偏好，並具備品質、公平及完整性。他訓練出的視覺生成模型將用於推動視覺方面的應用，例如相片生成、圖像與影片編輯、3D形狀及動作重建、虛擬分身（avatar）生成等。</p> <p>視應徵者的經驗、能力和資格及居住地，蘋果給這職位底薪為20.6萬到34萬美元年薪，另有其他加給及股票選擇權。</p> <p>這徵才啟事顯示蘋果希望能迎頭趕上Google及微軟、Meta等。<a href="https://www.ithome.com.tw/news/156631" target="_blank">目前僅有一些報導</a>指稱蘋果希望強化大型語言模型（LLM）以改良Apple TV上的Siri。至於官方說法，<a href="https://seekingalpha.com/article/4600254-apple-aapl-q2-2023-earnings-call-transcript）" target="_blank">蘋果執行長庫克（Cook）僅在本月初的分析師會議上提及</a>，生成式AI很有趣，但蘋果將採取審慎而周詳的策略切入。</p> </div></div></div>
2023/5/23 09:39作者林妍溱https://www.ithome.com.tw/news/156997
微軟6月將強迫Windows 10用戶升級到22H2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://learn.microsoft.com/en-us/windows/release-health/windows-message-center" target="_blank">微軟本周宣布</a>，由於舊版Windows 10技術支援到期，下月起，將強制家用、個人及中小企業版Windows 10升級到22H2。</p> <p>根據微軟支援網頁，2023年6月13日，Home、Pro、Pro Education及Pro for Workstation版Windows 10 21H2將抵達支援服務生命周期終點。今年6月13日釋出的安全更新，也會是21H2的最後一次安全更新。在此之後，這些Windows 10裝置就不會再接獲每月安全更新，或預覽下次安全更新內容。而為了確保用戶裝置安全性，微軟說，Windows Update將自動針對消費版及非列管的Windows企業版PC發送安全更新。用戶可以決定何時重啟Windows PC以完成安裝。不過微軟同時也說，這個功能更新再幾個月內也會來到技術支援終點。</p> <p>這個功能更新正是22H2。22H2並非主要更新，只需幾分鐘加上一次重開機就能完成更新。</p> <p>有趣的是，<a href="https://www.ithome.com.tw/news/156606" target="_blank">微軟上個月已提早宣布</a>，除了長期服務通道（Long-Term Servicing Channel，LTSC）上的某些版本外，不論是哪個版本的Windows 10，22H2都會是最後一版，且在2025年10月14日來到生命周期終點。也就是說，即使微軟強制將用戶PC升級到22H2，用戶也無法安寧太久，2年多後，這些Windows PC會再次遇到技術支援終止的問題。為此，微軟再次呼籲消費者或企業用戶升級到Windows 11。</p> <p class="rtecenter"><a href="https://learn.microsoft.com/en-us/lifecycle/products/windows-10-home-and-pro" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0523-windows%2010%20support-600.jpg" style="width: 450px;" /></a></p> <p>由於Windows 11有安裝的硬體規格門檻，太舊的裝置將無法安裝。這意謂著用戶可能被迫汰換現有電腦，才能持續接獲安全更新。</p> </div></div></div>
2023/5/23 09:06作者林妍溱https://www.ithome.com.tw/news/156996
【資安日報】5月22日，YouBike證實遭到網路攻擊，2.1萬用戶資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週末臺灣再度傳出與車輛共享服務有關的資安事故，共享單車服務業者YouBike於週六（19日）證實，因遭到攻擊而導致用戶資料外洩，呼籲使用者要防範相關的詐騙攻擊，以及悠遊卡、信用卡可能會遭到盜刷的情形。值得留意的是，21日該公司關閉會員登入功能，後續情形有待進一步觀察。</p> <p>各國政府對於可能會竊取用戶資料、並將其提供給敵對國家政府的應用程式下達禁令，然而，有些使用者無視這些管制，仍設法想要取得這類應用程式，使得這些亟欲使用的人可能成為駭客下手的對象！最近有研究人員揭露假冒影片剪輯軟體CapCut的惡意軟體攻擊行動，並認為攻擊者針對此應用程式的原因，是有許多國家封殺了這款由字節跳動（ByteDance）出品的應用程式，想要取得此軟體的使用者很可能會透過該公司網站以外的管道下載。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://news.ltn.com.tw/news/Taichung/breakingnews/4307663"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">共享單車服務YouBike遭境外攻擊，2.1萬筆用戶資料恐外洩</span></strong></a></p> <p>共享單車服務業者YouBike於<a href="https://www.youbike.com.tw/region/main/news/service/6466fa1bc14d3a099e376943/">5月19日證實</a>，該公司網站於17日遭到網路攻擊，有人透過境外IP位址嘗試取得YouBike的會員帳號、密碼，該公司已向相關政府機關通報，並指出騎乘記錄與使用者帳號所登記的金融卡資料可能曝險，要用戶留意是否帳號出現異常的卡片、交易記錄。</p> <p>臺北市政府交通局<a href="https://www.dot.gov.taipei/News_Content.aspx?n=D739A9F6B5C0AB95&sms=72544237BBE4C5F6&s=2CA9B84D5AEDB95F">也證實確有此事</a>，並指出全國約有2.1萬用戶的資料可能遭到竊取。</p> <p>YouBike<a href="https://www.youbike.com.tw/region/main/news/service/646959a862da755d7f62abb3/">於21日再度發布公告</a>，表示因網路攻擊，他們暫時關閉網站與YouBike行動應用程式的會員登入功能，但使用者仍可透過已登記的卡片租借單車，而已經登入系統的App使用者，也可以藉由掃描條碼來租車。</p> <p><a href="https://blog.cyble.com/2023/05/19/capcut-users-under-fire/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">抖音影片剪輯軟體CapCut遭冒用，駭客假借提供工具的名義散布竊密軟體</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-11-Process-Flow-of-BATLoader-Execution.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-11-Process-Flow-of-BATLoader-Execution.png" style="width: 300px; height: 130px; float: right;" /></a>資安業者Cyble揭露假借提供影音編輯軟體CapCut的名義，散布惡意軟體攻擊行動。</p> <p>在其中一起攻擊行動裡，駭客意圖散布竊資軟體Offx Stealer，一旦使用者依照指示下載、執行駭客網站上的影音編輯軟體安裝程式，他們的電腦就會顯示錯誤訊息，聲稱應用程式啟動失敗，但實際上Offx Stealer已在背景執行，從電腦裡的瀏覽器、加密即時通訊軟體、加密貨幣錢包、遠端桌面軟體盜取各種帳密資料、Cookie，再竊取受害電腦桌面上的特定類型檔案。</p> <p>而在另一種散布BATLoader的攻擊行動裡，使用者一旦依照指示下載及執行駭客提供的BAT批次檔，電腦就有可能被植入竊資軟體RedLine。</p> <p><a href="https://www.ithome.com.tw/news/156975"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">PyPI暫停新專案及使用者註冊，原因是難以招架駭客大肆濫用的情況</span></strong></a></p> <p>Python套件庫<a href="https://status.python.org/incidents/qy2t9mjjcc7g">PyPI的維護團隊於5月21日發出公告</a>，表示他們暫停新的使用者與專案申請，原因是該團隊在過去一個星期當中，收到大量惡意使用者與惡意專案的申請，更糟的是，這段期間他們有數名管理人員休假，導致難以因應如此規模的工作量。</p> <p>對此，該維護團隊於週末進行重新編組人力編制，目前已於21日恢復相關申請業務。</p> <p><a href="https://www.reversinglabs.com/blog/rats-found-hiding-in-the-npm-attic"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意NPM套件被用於散布竊資軟體TurkoRAT</span></strong></a></p> <p>資安業者ReversingLabs發現有人在NPM套件庫上架了3個惡意套件，分別是：nodejs-encrypt-agent、nodejs-cookie-proxy-agent、axios-proxy，在2個月裡，這些套件的下載人數超過1,200個。</p> <p>研究人員指出，這些套件被用於散布名為TurkoRAT的竊資軟體，攻擊者利用木馬程式竊取受害電腦的機密資料，包括使用者登入的帳密資料，以及加密貨幣錢包等，此外，該竊資軟體亦會愚弄研究人員的沙箱環境。</p> <p><a href="https://twitter.com/MsftSecIntel/status/1659347803989057541"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織FIN7利用Clop勒索軟體發動攻擊</span></strong></a></p> <p>微軟威脅情報中心發現，沉寂已久的金融駭客組織FIN7（亦稱Sangria Tempest）再度出現攻擊行動，研究人員在今年4月，看到這些駭客透過PowerShell指令碼Powertrash，載入後開發攻擊工具Lizar，目的是潛伏在受害組織的網路環境當中。接著，駭客透過OpenSSH、Impacket等開源軟體進行橫向移動，進而部署勒索軟體Clop。</p> <p>這並非該組織首度發動勒索軟體攻擊──2020年至2021年，這些駭客曾在攻擊行動裡利用勒索軟體Maze、Ryuk、BlackCat（Alphv）。</p> <p><a href="https://www.bleepingcomputer.com/news/security/luxottica-confirms-2021-data-breach-after-info-of-70m-leaks-online/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">雷朋眼鏡母公司Luxottica證實2021年資料外洩，7千萬筆資料被公布</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Luxottica-52.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Luxottica-52.png" style="width: 300px; float: right;" /></a>研究人員Andrea Draghetti發現，擁有雷朋（Ray-Ban）、歐克利（Oakley）、香奈兒（Chanel）等知名品牌的眼鏡供應商Luxottica，逾7千萬筆客戶的姓名、生日等資料，自4月30日至5月12日期間，有逾7千萬位客戶的資料被人公開於駭客網站，並免費供人下載，這批資料包含3億筆記錄、7,440萬個電子郵件信箱，最初流出時間可能是2021年3月。</p> <p>對此，Luxottica表示這些資料外流與第三方供應商遭駭有關，內容包含了客戶姓名、地址、電話、電子郵件信箱、出生日期，但不含財務資料、社會安全碼（SSN）、帳號與密碼等。該公司亦透露，他們是在2022年11月得知資料外洩的情況。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/hardware/asus-routers-knocked-offline-worldwide-by-bad-security-update/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">華碩路由器疑收到有問題的安全更新資訊而造成故障</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/cisa-warns-of-samsung-aslr-bypass-flaw-exploited-in-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國警告三星ASLR繞過漏洞已出現攻擊行動</span></span></strong></a></p> <p><a href="https://www.microsoft.com/en-us/security/business/security-insider/reports/shifting-tactics-fuel-surge-in-business-email-compromise/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">商業郵件詐騙也出現攻擊服務化的情況！研究人員揭露BEC攻擊工具服務BulletProftLink</span></span></strong></a></p> <p><a href="https://www.secureworks.com/resources/rp-irs-learning-from-incident-response-team-2022-year-in-review"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">商業郵件詐騙攻擊數量2022年較前年翻倍成長</span></span></strong></a></p> <p><a href="https://security.googleblog.com/2023/05/new-android-google-device-VRP.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">針對旗下產品的漏洞懸賞專案，Google提出新的漏洞風險評估機制</span></span></strong></a></p> <p><a href="https://blog.qualys.com/vulnerabilities-threat-research/2023/05/17/new-strain-of-sotdas-malware-discovered"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體Sotdas監控處理器的使用率來避免被發現行蹤</span></span></strong></a></p> <p><a href="https://www.recordedfuture.com/oilalpha-likely-pro-houthi-group-targeting-arabian-peninsula"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">支持反政府武裝組織胡塞的駭客盯上協助葉門的人士，監控其手機</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156961">【5月19日】臺灣4月上旬出現惡意郵件、惡意軟體攻擊翻倍爆增的情況</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156942">【5月18日】要求受害組織作公益的勒索軟體再度出現，這次是鎖定Zimbra郵件系統而來</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156930">【5月17日】駭客利用Go語言開發的Cobalt Strike發動攻擊的情況升溫</a></strong></p> </div></div></div>
2023/5/22 15:38作者周峻佑https://www.ithome.com.tw/news/156982
經濟學家給未來人的區塊鏈發展史
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-qu_dong_wei_lai_jing_ji_de_fa_ming_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">木馬文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>長島冰茶公司顧名思義，做的是飲料生意。但他們賣出去的量不盡人意就是了：二○一七年的第三季，他們虧損了將近四百萬美元。這之後公司做了一個相當豪氣但也有點謎樣的決定，他們此後要更名為「長區塊鏈公司」。這表示他們不賣飲料了嗎？呃，沒有。他們還是會繼續賣喝的。那是他們要用區塊鏈技術來賣飲料嗎？嗯，也許。他們有可能做點什麼跟區塊鏈有關的事情。大概啦。細節交代不清，但那並沒有讓興奮的投資者卻步。公司的股價一口氣翻了快三倍。</p> <p>在一系列創造現代經濟的事物當中，你可以很合理地質疑區塊鏈資歷有長到可以用過去式介紹嗎？但創投迄今已經投入數十億美元到比長島冰茶公司的企劃聽來可行許多的新創公司中。此外還有數十億美元經由屬於法規灰色地的「首次代幣發行」募得。熱中此道的人說區塊鏈會跟網際網路一樣創造新的時代。確實，區塊鏈常被比作一九九○年代的全球資訊網（World Wide Web）：網路會愈來愈重要確實是當時的共識，但也沒幾個人真正了解網路，更沒幾個人預見到網路的潛能與局限。</p> <p>所以就讓我們來動動腦，試著搞懂區塊鏈。首先我們可以試著回答一個看似簡單的問題：同一筆錢我們為什麼不能花了又花？</p> <p>當錢指的是錢幣的時候，這個問題很好回答，我不可能把一枚錢幣交給兩個人。但我們早就意識到把沉甸甸的硬幣帶來帶去不是發展經濟的好辦法。比較輕鬆的辦法應該是由某種中介方去記錄誰擁有多少錢或什麼東西。你給我商品，我就指示記錄方調整相應的數字給你。你怎麼知道我沒把同一筆錢承諾給別人呢？那是因為你信任銀行、信任萬事達卡，信任PayPal會保證這種事發生不了，因為他們的系統設定不容許這種情形，又或者是他們願意相信我不是會腳踏兩條船的那種人。</p> <p>這一套看起來運作得很順暢。但它還是有它的問題。這些中介者不是免費的，他們是要賺錢的服務業。網路效應會賦予中介者市場的控制力。他們對我們的了解多過我們對彼此的了解，這些個資又是另一種力量來源。萬一身為中介者的他們砸鍋，整個經濟體系就會全盤崩塌。</p> <p>但如果我們不需要這些中介者呢？如果作為經濟潤滑油的金融記錄可以透過某種手段由整體社會共同擁有、共同維護呢？</p> <p>二○○八年，有個化名中本聰的傢伙提出了一種「新錢」：比特幣。</p> <p>這種新錢的交易不由可信賴的中介方認證，而是由一個針對加密密碼進行解題的電腦網路來認證。如果有人可以將這個網路中大部分的電腦納入其麾下，那他就可以竄改記錄來進行一幣兩花的詐欺，但只要夠多的人分攤這個電腦網路的算力並逐題進行驗算，這種事情就不會發生。而且來自比特幣的隨機獎勵會給人動機貢獻計算力。</p> <p>這一招非常新穎。而且眾人很快就發現比特幣底層的科技或許有更廣大的應用潛力。這提供了一種嶄新的方式讓陌生人可以彼此合作，但不需要以有共同信任的中介方或中心化權威為前提。「一切從此不同」跟「改變世界」等說法開始在我們耳邊傳開。</p> <p>這種底層的科技，就是所謂的區塊鏈，因為各個區塊的交易會定期由網路進行確認後加入公眾的紀錄鏈中。區塊鏈的別名是「分散式帳本」，因為它會把「帳本」「分散」出去：每個參與者都保有他們的一份帳本。經濟學者克里斯琛．卡塔里尼（Christian Catalini）與約書亞．岡斯（Joshua Gans）形容區塊鏈是一種可以降低確認交易成本、降低新市場創立門檻的泛用技術。原則上，任何一種我們如今為了能進行互動而將個資交由某種主體來管理的處境，都有區塊鏈可以發揮作用的空間。</p> <p>仔細想想，符合這種描述的處境還真不少。臉書、優步與亞馬遜不都是在協助我們互動的一種資料庫嗎？區塊鏈能否有朝一日建構出新的網路模型供我們掌握自己的資料，或我們可以跳過中介方直接出售我們的注意力呢？有些人相當樂觀。還有些人在研究如何利用區塊鏈去追蹤供應鏈中的商品或數位世界中的智慧產權，讓合約管理更有效率，或讓投票機制更滴水不漏。你想得到的，都有某個角落的某個人想放上區塊鏈。</p> <p>但明人不說暗話：我們大多數人都不知道上面這一串說的是什麼碗糕吧。就算某些人懂，我們也很難想像區塊鏈將來會在現實中扮演什麼樣的角色。果不其然，強大的話題性與難以掌握的科技加在一起，讓某些人面對區塊鏈失去原本應有的思辨能力。這群人爭先恐後地跑去成為一家虧損飲料公司的股東，只因為該公司放了區塊鏈一詞在它的名字裡面。也是同一種人砸了六點六億美元到一種名叫Pincoin的加密貨幣上，但那玩意怎麼看都只存在於一個閃閃發光且充斥關鍵字的網站上，<a href="https://www.ithome.com.tw/news/122468" target="_blank"><span style="color:#3399ff;">Pincoin幌子</span></a>後面的詐騙分子恐怕早已捲款跑路。</p> <p>究竟我們對區塊鏈的瘋狂要停在什麼程度，才算健康呢？經濟學者泰勒．考文（Tyler Cowen）看法很保守：他認為「比起一頭熱，抱持懷疑才是比較務實的態度」，至少現階段是如此。他這麼認為的其中一個理由是區塊鏈有速度偏慢的問題，而且還是隻吃電怪獸。以比特幣為例，它每秒只能慢吞吞地完成三到四筆交易，Visa卡平均每秒可以進行一千六百筆。有估計顯示為了核實這些交易，電腦需要耗費不下於愛爾蘭全國用電量，以針對比特幣的加密內容進行解題。</p> <p><span style="font-size:28px;"><strong>搞丟網銀密碼可以申請重發，但遺失比特幣錢包密碼？</strong></span></p> <p>這樣的數據遭到某些人的質疑，但想放大區塊鏈規模的挑戰似乎無庸置疑。同樣真切的另一個問題是，如何把資料跟現實世界中的人或物進行一對一的對應。比特幣的「非實名制」特性，亦即你的比特幣錢包跟你是誰毫無關聯，原本應該是一大賣點，尤其如果你要買一些羞於啟齒的東西的話。但如果我們今天是想要用區塊鏈去儲存個人病歷，就得想辦法讓資料不會連結到錯誤的病人。</p> <p>在把對中介的需求移除掉的過程中，區塊鏈似乎也偶爾讓我們想起付費使用這些中介服務的初衷。中介端可以修正錯誤：搞丟你的網路銀行密碼，你的銀行會給你重發一個；搞丟你的比特幣錢包密碼，你跟錢錢就此生無緣了。中介端可以解決爭端；但區塊鏈的「智慧合約」一旦產生糾紛該如何處理，至今眾說紛紜。</p> <p>而且不信任中介端，不代表我們可以什麼都不信任，我們還是得嘗試信任一些別的東西，我們必須相信軟體沒有漏洞，必須相信獎勵機制不會在意想不到的狀況下崩潰。但稽查程式碼絕非易事：以太坊區塊鏈的先驅投資基金去中心化自治組織（DAO）募得一億五千萬美金，卻慘遭有心人駭入竊走五千萬美元。經濟學者艾瑞克．布迪許（Eric Budish）曾主張比特幣的價值一旦突破某個臨界點，目前還有理由收斂的攻擊者就會產生出手的動機。</p> <p>不過話說回來，區塊鏈誕生也不過就十年。我們難道不該給它一些時間犯錯跟重啟，讓它摸索出自己的長才嗎？全球資訊網還在區塊鏈如今的年紀時，投資人曾經把錢丟到像Webvan、Flooz與Pets.com等失敗的標的上，後來才有像亞馬遜這樣的成功案例。我們不該驚訝於長區塊鏈公司的股價會一口氣崩跌百分之九十六，但我們也不應該因此就一竿子打翻一船人，覺得區塊鏈永遠不會有出人頭地的一天。（摘錄整理自《驅動未來經濟的發明》，木馬文化提供）</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-1P-%E9%A9%85%E5%8B%95%E6%9C%AA%E4%BE%86%E7%B6%93%E6%BF%9F%E7%9A%84%E7%99%BC%E6%98%8E-500.png" style="width: 450px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_木馬文化</span></span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> <span style="color:#3399ff;">驅動未來經濟的發明：從工業0.0到5.0，翻轉觀念的51種創新</span></strong></span></p> <p>提姆．哈福特（Tim Harford）／著；鄭煥昇／譯</p> <p>木馬文化出版</p> <p>定價：450元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><a href="https://timharford.com/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-1P-%E9%A9%85%E5%8B%95%E6%9C%AA%E4%BE%86%E7%B6%93%E6%BF%9F%E7%9A%84%E7%99%BC%E6%98%8E-150.png" /></a></p> <p><strong>提姆．哈福特（Tim Harford）</strong></p> <p>經濟學家，《金融時報》最受歡迎專欄「臥底經濟學家」作者，同時也是記者，牛津大學納菲爾德學院（Nuffield College）訪問學者，及英國皇家統計學會榮譽院士。擅長以幽默風趣的說故事手法，為大眾揭示日常生活經驗背後的經濟學觀念。著有《誰賺走了你的咖啡錢》、《親愛的臥底經濟學家》、《迎變世代》、《亂，但是更好》、《形塑現代經濟的發明》、《驅動未來經濟的發明》等書。</p> <p>提姆．哈福特曾獲2015年皇家統計學會獎（Royal Statistical Society prize），2009、2016年巴斯夏經濟新聞獎（Bastiat Prize for Economic Journalism），2021年溫科特基金會（Wincott Foundation）的年度記者獎。<a href="https://timharford.com/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Tim Harford</span></span></a></p> </div></div></div>
2023/5/22 16:15未署名https://www.ithome.com.tw/article/156983
【資安週報】2023年5月15日到5月19日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一週的漏洞消息中，以蘋果揭露修補3個WebKit零時差漏洞成為最大焦點，除了影響廣泛，並且都已有遭鎖定利用情況。此外，我們在盤點漏洞消息時，新注意到Samsung裝置的漏洞（CVE-2023-21492），並且還有兩個Cisco早年的已知漏洞(CVE-2016-6415、CVE-2004-1464），也都確認遭成功利用情形需優先關注。</p> <p>其他值得關注的新漏洞修補動向，包括：Cisco、KeePass，以及物聯網與工控相關有Teltonika Networks、Wemo Mini、研華、Rockwell Automation的更新修補釋出。</p> <p>在威脅態勢與攻擊焦點方面，以勒索軟體新動向受矚目，包括BianLian近期攻擊態勢的揭露，以及MalasLocker鎖定郵件伺服器Zimbra，CheckMate鎖定SMB檔案共用協定的情形，而利用Babuk原始碼打造勒索軟體的狀況，也持續有資安業者揭露相關事件。其他可留意的威脅活動與事件，包括：駭客利用Go語言開發的Cobalt Strike，以及MerDoor的後門程式的揭露，以及中國駭客在TP-Link路由器植入惡意程式並鎖定歐盟外交機關攻擊的情形。</p> <p>至於國內方面，本週有多起資安事件引發關注，包括計程車派遣服務Yoxi公告遭帳號填充攻擊，誠品外洩個資問題又成焦點，統聯客運客戶接到詐騙電話疑資料外洩而緊急關閉線上訂票，以及財政部電子發票平臺企業帳號竟採共通預設密碼的情形被揭露，另外，還有最新一起事件是微笑單車，他們<a href="https://www.youbike.com.tw/region/main/news/service/6466fa1bc14d3a099e376943/">在19日(週五)公告</a>其官網遭駭客網路攻擊，<a href="https://www.dot.gov.taipei/News_Content.aspx?n=D739A9F6B5C0AB95&sms=72544237BBE4C5F6&s=2CA9B84D5AEDB95F">臺北市政府交通局也在同日傍晚七點公告</a>YouBike系統遭攻擊，並指出預估全國約有2.1萬會員交易資料被取得。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/156877"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月15日】誠品書店外洩個資傳出遭支持中國武統人士利用，對臺灣民眾發動心理戰</span></strong></a></h3> <p>臺灣網路商城個資外洩事件頻傳，伴隨而來的是各式各樣的詐騙事故，但如今這些流出的購物記錄不只被駭客用於騙錢，還出現了認知作戰攻擊。有名社會運動人士曾在誠品網站購書，結果上週末接到冒充該公司進行市調的電話。但罕見的是，對方並非宣稱扣款錯誤等理由進行金融詐騙，而是不斷宣傳與表達「中國會武力統一臺灣」的主張。</p> <p>豐田汽車再傳資安事故！這次是雲端服務配置不當的情況，而且，這些資料竟曝露7至10年之久。而這並非該公司因組態配置不當惹禍──2022年10月，<a href="https://www.ithome.com.tw/news/153565">他們表示因GitHub的帳密資料曝光</a>，導致近30萬名行動應用程式T-Connect用戶被公開。</p> <p>與列印管理系統PaperCut有關的漏洞攻擊行動也相當值得留意，繼勒索軟體駭客Clop、LockBit陸續濫用這個弱點，現在也傳出伊朗駭客APT35、Muddywater，以及勒索軟體駭客Bl00dy也都著手發起相關的攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/156905"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月16日】財政部電子發票平臺驚傳資安漏洞，恐曝露上市櫃公司營業資料</span></strong></a></h3> <p>公部門提供給企業使用的系統當中，不僅使用共通的預設密碼，而且這還是組弱密碼！財政部傳出在電子發票平臺上提供給企業的帳號裡，帳號名稱是該公司的統一編號，預設密碼是極為容易猜中的弱密碼，一旦任何人嘗試以此密碼搭配公司的統編，就有可能檢視該公司的發票資料，由於公司統編相當容易找到，這樣的帳密形同公開資料。經本週2家媒體報導後，財政部於今日表示，他們已緩解上述情況。</p> <p>繼國光客運傳出資料外洩事故後，又有客運業者遭到攻擊。根據三立新聞臺、自由時報、中央社等國內媒體報導，統聯客運上週疑似個資外洩，導致乘客接到詐騙電話，該公司暫停線上訂票系統、手機App訂票的服務。主管機關交通部公路總局也證實此事。</p> <p>針對個資法修法的部分，最近也有了新的進展。今天立法院三讀通過部分的新條文，其中主要是針對專責機關、裁罰金額與方式有了明確的新規範。</p> <h3><a href="https://www.ithome.com.tw/news/156930"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月17日】駭客利用Go語言開發的Cobalt Strike發動攻擊的情況升溫</span></strong></a></h3> <p>為了迴避資安系統的偵測，過往駭客大肆利用滲透測試工具Cobalt Strike，後來出現改用Brute Ratel C4（BRC4）現象，而最近這樣的情況又出現了新的變化，研究人員發現利用另一款名為Geacon滲透測試工具的攻擊行動升溫，而這套軟體是有人透過Go語言改寫Cobalt Strike打造而成。</p> <p>駭客利用外流的勒索軟體Babuk原始碼打造自己的攻擊工具，這樣的情況也越來越常見，繼先前有研究人員指出已有10個勒索軟體家族藉此發展針對VMware ESXi而來的程式，又有名為RA Group駭客組織也如法砲製，打造自己的勒索軟體，並在1個星期裡就入侵了4個組織。</p> <p>針對家用路由器而來的攻擊行動，也相當值得我們留意。有研究人員揭露針對TP-Link路由器的攻擊行動，並指出駭客所採用的後門程式Horse Shell，也可能拿來感染其他廠牌的路由器。</p> <h3><a href="https://www.ithome.com.tw/news/156942"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月18日】要求受害組織作公益的勒索軟體再度出現，這次是鎖定Zimbra郵件系統而來</span></strong></a></h3> <p>勒索軟體駭客想要劫富濟貧，要求受害者做公益來換取解密金鑰的情況，<a href="https://www.ithome.com.tw/news/151159#goodwill">1年前有個叫做GoodWill的組織</a>，受害者必須依照指示幫助窮人並公開揭露，才有機會復原檔案。而最近又有類似行徑的駭客組織出現，他們針對郵件伺服器Zimbra而來，並留下勒索訊息要求受害組織向特定的非營利組織捐款。</p> <p>針對勒索軟體「變臉（BianLian）」攻擊行動也相當值得留意，這些駭客集中心力在透過竊得的資料向受害組織勒索，並在過程中停用防毒軟體來達成竊取資料的目的。</p> <p>智慧電源插頭的漏洞竟因廠商停止支援產品維護，而無法得到相關修補！研究人員揭露Belkin第2代Wemo Mini智慧電源插頭的漏洞CVE-2023-27217，攻擊者有可能藉此發動命令注入攻擊，但開發商Belkin表示該產品生命週期已結束（EOL）而表明不予處理。</p> <h3><a href="https://www.ithome.com.tw/news/156961"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月19日】臺灣4月上旬出現惡意郵件、惡意軟體攻擊翻倍爆增的情況</span></strong></a></h3> <p>中國不斷對臺灣文攻武嚇，網路攻擊也出現增加的現象。其中資安業者Trellix揭露2起發生在4月上旬的大規模攻擊行動，駭客在短短的2至3天之內，對臺灣散布較往常多出數倍的惡意郵件、惡意軟體，且針對各行各業而來。</p> <p>蘋果再度修補零時差漏洞，值得留意的是，這次影響範圍不光是手機、平板、Mac電腦，亦涵蓋智慧手錶、Apple TV等裝置。由於這些漏洞已用於攻擊行動，使用者應儘速更新作業系統。</p> <p> </p> </div></div></div>
2023/5/22 09:40作者羅正漢https://www.ithome.com.tw/news/156977
三星還是決定在裝置上繼續使用Google搜尋
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雖然三星一度傳出考慮換用Bing作為手機預設搜尋引擎，但媒體報導，三星最後還是打退堂鼓了。</p> <p>上個月《<a href="https://www.ithome.com.tw/news/156439" target="_blank">紐約時報</a>》報導，三星曾經考慮全球銷售的三星手機的預設搜尋引擎，由Google改成微軟的Bing，令Google得知後內部一陣驚慌。不過上周<a href="https://www.wsj.com/articles/google-is-spared-a-search-engine-switch-by-a-major-partner-f06b734f" target="_blank">《華爾街日報》</a>指出三星最後仍然選擇維持現狀，持續使用Google為預設搜擎引擎。</p> <p>促使三星一度考慮換掉Google，以及最後撤回決定的理由都不得而知。不過之前媒體估計，Google與三星的搜尋引擎年約價值30億美元。此外，雖然以GPT 4.0為基礎的Bing Chat引起業界關注，但Google Bard也在5月初開放所有用戶使用，效能亦較2月公開時修正許多。</p> <p>另一項原因是，作為一家手機廠商，三星和Google可能有不為人知的授權條款，增添三星放棄Google搜尋的難度。報導也指出，三星考慮此項決策可能影響和Google的關係。</p> <p>截自4月為止，Google搜尋仍然是全球搜尋霸主，並未因微軟Bing Chat推出後而有明顯下滑。</p> </div></div></div>
2023/5/22 09:34作者林妍溱https://www.ithome.com.tw/news/156976
Ray-Ban眼鏡母公司逾7,000萬用戶個資遭駭客公布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>擁有Ray-Ban、Oakley、Chanel等知名品牌的眼鏡供應商Luxottica超過7,000萬用戶的姓名、生日等資料，被人公開於駭客網站上，但該公司表示，事件是合作廠商被駭入的結果。</p> <p><a href="https://twitter.com/securityaffairs/status/1659971857158746114" target="_blank">D3Lab安全研究人員AndreaDraghetti發現</a>有人在數個駭客論壇上公布Luxottica的客戶個資，自4月30日到5月12日之間免費供人存取。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0522-Luxottica-dataleak-image%20by%20Andrea%20Draghetti-2.jpg" style="width: 405px;" /></p> <p><span style="font-size:14px;">圖片來源_<a href="https://twitter.com/securityaffairs/status/1659971857158746114" target="_blank">AndreaDraghetti</a></span></p> <p>過去例子顯示，這類資料多半是受害廠商資安事件後的結果。<a href="https://www.ithome.com.tw/news/141229" target="_blank">Luxottica分別在2020年8月被人公布</a>82萬筆客戶資料，以及9月遭勒索軟體攻擊。但是研究人員發現，其中有些資料可追溯到2021年3月，資料內容包括生日、姓名、地址、電話等，顯示不只是2020年外洩的資料，而是新的資料外洩事件，但Luxottica當時並未對外公開。</p> <p><a href="https://www.bleepingcomputer.com/news/security/luxottica-confirms-2021-data-breach-after-info-of-70m-leaks-online/" target="_blank">這家眼鏡大廠對媒體說明</a>，事件出於2021年一家處理資料的委外商遭駭而外洩客戶個資，強調不是該公司系統被駭。他們坦承2021年11月就得知此事。在回覆媒體當時，Luxottica表示，張貼被害用戶的網站已經遭執法機關關閉。</p> <p>Draghetti和HaveIBeenPwned（HIBP）主持人TroyHunt分別分析這批公開資料達7700多萬筆。Hunt表示，當中74%已經存在HIBP平臺上的紀錄，他也將對其中32萬名訂閱戶發出通知。</p> <p>如果美國用戶外洩了Gmail信箱，<a href="https://www.ithome.com.tw/news/156846" target="_blank">且用戶之前也曾開啟Google通知的話</a>，則也可以獲得Gmail系統的通知。</p> </div></div></div>
2023/5/22 10:12作者林妍溱https://www.ithome.com.tw/news/156978
澳洲證券交易所決定以傳統技術取代區塊鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/markets/australian-stock-exchange-says-software-overhaul-wont-involve-blockchain-2023-05-19/" target="_blank">根據《路透社》（Reuters）的報導</a>，原本計畫遷移至區塊鏈平臺的澳洲證券交易所（Australian Stock Exchange，ASX）不僅放棄開發已超過7年的區塊鏈專案，還說未來將更偏向傳統技術。</p> <p>ASX是在2015年2月宣布要置換或升級其主要及後端交易平臺，當時該交易所即相中分散式帳本技術（Distributed Ledger Technology，DLT）的潛力，並與Digital Asset合作，由Digital Asset負責開發ASX的相關解決方案，預計於2020年上線。</p> <p>儘管基於區塊鏈的平臺多次延宕，且ASX去年5月還對外宣布，已開始測試96%的區塊鏈軟體，但當ASX聘請Accenture來稽核該平臺之後，發現僅交付了63%，而且當中有接近一半的程式碼都必須重寫，使得ASX在去年11月宣布暫停該專案，指出相關產品過於複雜，也擔心擴充能力，以及不容易找得到可支援的專家。</p> <p>《路透社》則報導，ASX專案總監在今年5月舉行的會議上表示，未來的系統重建將更偏向傳統路線，而不再聚焦於分散式帳本或區塊鏈，即便ASE依舊會探求所有的選項，但顯然需要更傳統的技術來實現業務成果。</p> </div></div></div>
2023/5/22 08:48作者陳曉莉https://www.ithome.com.tw/news/156974
惡意專案多到讓PyPI暫停接受新用戶與專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Python程式語言的官方第三方軟體套件儲存庫<a href="https://status.python.org/incidents/qy2t9mjjcc7g" target="_blank">PyPI（Python Package Index）在周六（5/20）宣布</a>，由於過去一周發現了大量的惡意使用者與惡意專案，再加上多名管理人員都休假了，導致他們無法及時處理，因而決定暫時停止新專案與新用戶的註冊。</p> <p>PyPI的全名為Python Package Index，為Python程式語言的官方第三方軟體套件儲存庫，可用來存取及下載超過45萬個Python套件。</p> <p>先前即曾有不少駭客透過將惡意的Python套件上傳到PyPI，企圖於開發者電腦上植入木馬程式，以竊取開發者的各種憑證、加密貨幣錢包或其它資訊。這些套件有些看起來是無害的，有些則仿冒其它合法套件。</p> <p>以往PyPI或資安業者通常會公布惡意用戶或惡意專案的名稱，這次可能因為族繁不及備載而被略過。</p> <p>PyPI僅簡單地表示，雖然已於周末重新分組，但仍暫停新用戶與新專案的註冊。</p> </div></div></div>
2023/5/22 08:55作者陳曉莉https://www.ithome.com.tw/news/156975
AI趨勢周報第216期：Google用拖拉式介面讓GAN更準確生成圖片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0512～0518)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GAN </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 點追蹤 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google用拖拉式介面讓GAN更準確生成圖片</strong></span></p> <p>Google聯手馬克斯普朗克研究院、MIT研究員，共同開發一款可精準生成圖片的模型DragGAN，並打造一套互動式UI介面，來讓使用者在畫面中，點擊想要修改的任意點和目標點，來驅動模型生成新圖片。</p> <p>團隊指出，如何控制GAN精確地產出圖片，一直是個難題，傳統方法是透過手動標註的訓練資料或3D模型，但這種作法缺乏彈性、精確性和通用性。於是，團隊利用一種較少人探討的方法，來強化對GAN生成品質的控制性，也就是用互動式介面，來拖拉圖片中的任意點，準確地達到目標點。</p> <p>為實現這個目標，團隊開發出DragGAN，由2大部分組成，一是基於特徵的運動監督方法，來實現選定點至目標點位置的移動，另一是新式點追蹤方法，利用GAN鑑別器特性來維持移動位置的在地化。總而言之，透過DragGAN，使用者可精確控制像素位置，來變形圖片，來改變人類、動物、車輛、風景等圖的姿勢、形狀、表情和布局。團隊表示，經測試，DragGAN在圖像處理和點追蹤任務的表現都比現有方法更好，未來打算擴大納入3D物件的影像生成。<a href="https://vcai.mpi-inf.mpg.de/projects/DragGAN/">（詳全文）</a></p> <p><img alt="" src="https://vcai.mpi-inf.mpg.de/projects/DragGAN/images/teasor.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Guidance </span></strong></span></p> <p><span style="font-size: 22px;"><strong>LLM不聽話？微軟發布提示工程專用的開發語言Guidance</strong></span></p> <p>ChatGPT掀起大型語言模型（LLM）大浪，各種LLM如雨後春筍般冒出，但這些大型語言模型需要精確又冗長的提示，才能準確生成使用者所需的答案。為了讓LLM更受控，微軟最近發表一款領域特定語言（DSL）Guidance，能讓開發者「比用傳統的提示方法或鏈結（Chaining）更有效率地控制大型語言模型。」</p> <p>微軟指出，Guidance程式可讓使用者將生成、提示和邏輯控制等工作整合至一個連續流程，並對應到語言模型如何處理文字輸入。一般來說，許多研究證明，引導LLM一步步推導答案的關聯思考（Chain-of-Thought）方法及許多變體（如ART、Auto-CoT）能提高LLM的表現，這些方法都採用簡單的輸出結構，但對GPT-4這種進階的LLM來說，就需要更豐富的結構，而Guidance可讓這種結構更簡單、更便宜。因為，一旦提示變得冗長、重複性高，就會耗費更多運算成本，而Guidance可解決這個問題。Guidance配有一個直觀的編輯器，來簡化程式碼規則和定義語言模型功能的處理工作，它也允許使用者設置值驗證和外部服務整合等步驟，提供高自定義功能。<a href="https://github.com/microsoft/guidance/">（詳全文）</a></p> <p><img alt="" src="https://github.com/microsoft/guidance/raw/main/docs/figures/chat_animation.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Codey </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 程式開發 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 自然語言 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google Colab也要整合Codey模型，提供AI程式開發功能</strong></span></p> <p>Google宣布要將生成式程式開發模型Codey，整合進雲端協作開發環境Colab中，免費提供給開發者，來輔助編寫程式碼。Codey是大型語言模型PaLM 2的衍生程式碼模型，主要功能有程式碼生成和聊天機器人，換句話說，它能根據程式碼上下文來提供下一行程式碼的建議，或根據開發者的自然語言提示來生成程式碼，開發者甚至也能和Codey對話，來得到除錯、技術文件和程式碼撰寫的相關資訊。</p> <p>將於Colab亮相的Codey，是Google針對Python和Colab用途所訓練的輕量版模型，目前預計先向美國用戶開放，且功能先聚焦於程式碼生成，根據註釋或開發者的提示，來撰寫整個函式。不只將Codey用於Colab，Google也在最新版的開發工具Android Studio Hedgehog中，加入Codey驅動的程式碼開發助理Studio Bot，來提供類似GitHub Copilot的功能。<a href="https://blog.google/technology/developers/google-colab-ai-coding-features/">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/generate-cropped.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 福爾摩沙模型 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 離線部署 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OpenLLaMA </span></strong></span></p> <p><span style="font-size:22px;"><strong>第一款商用本土LLM模型亮相，支援地端部署讓對話資料不出內網</strong></span></p> <p>華碩旗下子公司台智雲以有商用授權的BLOOM為基礎，打造出同樣是1,760億參數的大型語言模型福爾摩沙，號稱與ChatGPT同等級，且中文訓練資料占30%，比ChatGPT還要高許多，也具備大量臺灣知識。</p> <p>他們也將這款模型包裝為4種企業級大型語言模型服務，包括AFS Platform、AFS Shuttle、AFS Cloud和AFS Appliance。前兩者是大型語言模型優化（fine-tuning）服務，其中，企業有明確目標、知道要打造何種應用時，可選擇AFS Platform，來用自己的資料優化所選模型，目前台智雲提供的模型有BLOOM 176B、BLOOM 7B、福爾摩沙176B和7.1B版本，未來將納入OpenLLaMA模型。AFS Shuttle則適合沒有明確目標的企業，可用小量資料來進行POC驗證，找出合適的應用情境。</p> <p>AFS Cloud和AFS Appliance則屬於部署和推論的服務。前者是雲端託管服務，其中的模型是完整訓練過的，可透過TWCC推論和API來供企業使用。而後者是私有雲／地端部署服務，企業可下載大型模型到地端，在地端資料中心、私有雲或搭配企業5G專網來執行LLM應用，特別適合有高機敏性資料的企業。<a href="https://www.ithome.com.tw/news/156934">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ASF%E8%AA%AA%E6%98%8E.JPG" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Meta </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI晶片 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 基礎建設 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta要自行研發AI加速晶片</strong></span></p> <p>Meta日前公開表示要自行研發客製化AI晶片，作為基礎建設重塑工作中的一環。進一步來說，這個基礎建設重整工作，涵蓋了硬體和軟體堆疊各層面，要打造專為AI設計的基礎設施架構。而新架構就包含Meta的客製化AI晶片、AI資料中心設計和搭載1.6萬顆GPU的AI超級電腦。其中一款晶片名為Meta訓練和推論加速器（MTIA），要用來執行多種特定AI任務，加速AI模型的推論工作。除了AI晶片，Meta也計畫打造一款晶片名為Meta可擴增影片處理器（MSVP）的晶片，用來處理或傳送影片給使用者，並降低耗能。<a href="https://ai.facebook.com/blog/meta-training-inference-accelerator-AI-MTIA/?utm_source=linkedin&utm_medium=organic_social&utm_id=infra&utm_content=video">（詳全文）</a></p> <p><img alt="" src="https://scontent-tpe1-1.xx.fbcdn.net/v/t39.8562-6/344912230_1303351893593944_5283467968705566332_n.svg?_nc_cat=101&ccb=1-7&_nc_sid=6825c5&_nc_ohc=iWCLxC-RxfcAX-Wjl_L&_nc_ht=scontent-tpe1-1.xx&oh=00_AfDHmlnUlKQtL55nTOqJtQW046f3yKdvHLTMVMW2oTEMPw&oe=646F861F" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Bing Chatt </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 程式碼 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟強化手機版Bing Chat，要新添Widget、整合至更多App</strong></span></p> <p>微軟5月初全面開放大眾試用Bing Chat後，最近進一步宣布要強化手機版AI聊天機器人功能，包括整合Widget、支援語音輸入和多語言，並提供跨平臺對話等功能。首先，微軟將替Bing Chat新增Widget，等於用戶可把Bing Chat加入到iOS和Android手機主頁上。此外，微軟還將新添Bing Chat的語音輸入功能，並支援跨平臺對話，讓用戶可跨桌機、手機接續對話。微軟也表示，目前已增加英文以外的國家及語音輸入支援，但未透露支援幾種語言。</p> <p>除了Bing Chat應用程式更新，微軟也計畫將這個AI助理整合至手機版Edge和Skype App。在手機版Edge方面，Bing Chat可具備情境聊天功能，即讀懂用戶正在瀏覽什麼網頁，並回答用戶對網頁內容的提問，也能進行重點摘要。此外，用戶可選擇部分網頁文字，在跳出的選單中叫出Bing對話，要它執行任務。手機版Edge Bing Chat功能很快將推向全球。<a href="https://blogs.bing.com/search/may_2023/Continuing-to-deliver-new-AI-innovation-in-Bing-and-Edge-this-week">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/0517-add_a_bing_widget_to_your_home_screen-960.jpg?itok=YmMchQzx" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Alphabet </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機器人 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開發 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Alphabet機器人公司Intrinsic推出機器人應用開發軟體</strong></span></p> <p>Alphabet成立2年的機器人子公司Intrinsic，最近終於發布第一項產品，也就是機器人應用開發平臺軟體，來簡化機器人程式開發工作。該產品名為Flowstate，是一個直覺化的Web開發環境，涵蓋了從概念測試到部署機器人應用的所有流程。</p> <p>它擁有圖形化流程開發工具，使用行為樹（behavioral tree）來簡化複雜流程、加速開發。它也同時支援在雲端或本地端的部署環境，方便程式在兩種環境搬移，並提供模擬和驗證程式的環境。Flowstate還能將特定領域知識以特定技能輸出，方便未來重覆使用，像是姿態評估、操控、力覺感知插入（force-based insertion）、路徑規畫等。Flowstate目前為beta版，將先提供給小部分解決方案供應商，並開放開發人員申請試用、開發機器人應用程式。<a href="https://www.youtube.com/watch?v=QtSShST58io&t=896s&ab_channel=Intrinsic">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> TensorFlow </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Keras </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 模型訓練 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google更新TensorFlow機器學習工具，簡化模型部署與訓練</strong></span></p> <p>Google日前在I/O大會發表多項TensorFlow和Keras深度學習工具的更新，首先是可讓開發者簡單存取預訓練模型的模組化函式庫，也就是KerasCV與KerasNLP，開發者只要撰寫幾行程式碼，就能在應用程式中整合圖像分類或文字生成等功能。</p> <p>其他更新還有可用於同步分散式模型運算的擴充套件DTensor，組合、微調了多種平行技術，來支援更大且高效能的模型訓練。此外，DTensor也支援多種加速器，如TPU、GPU等各種運算裝置。同時，Google也釋出輕量級API JAX2TF，能讓開發者在TensorFlow生態系中，使用JAX數值函式庫編寫的模型來加速機器學習研究生產化的速度。<a href="https://blog.tensorflow.org/2023/05/google-io-2023-whats-new-in-tensorflow-and-keras.html">（詳全文）</a></p> <p>圖片來源／普朗克研究院、微軟、Google、Meta</p> <p>攝影 / 王若樸</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Nvidia聯手ServiceNow要用生成式AI加速工作流程</strong></p> <p><strong>2. SAP導入OpenAI的生成式AI來優化人才招募和員工學習作業</strong></p> <p>資料來源：iThome整理，2023年5月</p> </div></div></div>
2023/5/21 21:52作者王若樸https://www.ithome.com.tw/news/156973
歐盟資安技能框架ECSF定義資安團隊12角色，揭露各職任務重點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了促進整體資安人力的培育，目前全球有美國提出的網路安全人才框架NICE Framework、持續改進，2022年9月，歐盟旗下的網路安全局（ENISA）也發布網路安全技能框架，此規範的全名是European Cybersecurity Skills Framework，簡稱ECSF框架，提供歐盟成員國，甚至歐洲地區的其他國家，都能藉此克服資安人才不足的挑戰，擁有適當技能的人員，來保護關鍵部門，以因應越來越普遍的網路攻擊。</p> <p>相較於發起NICE框架的美國NIST組織，歐盟ENISA是聚焦在歐洲資安的公務機構，成立於2004年，背後有歐盟網路與資訊安全法案的支持，目的是幫助歐盟成員國的網路與資訊安全發展，朝向更高水準邁進，其工作內容包括：提供歐盟網路安全的建議，提高ICT產品安全、服務與流程的安全與可信度，並於會員國與歐盟機構合作，共同幫助歐洲因應未來的網路安全挑戰。</p> <h2><strong>將資安工作分為12種之多，成為此框架的最大特色</strong></h2> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖）歐盟ECSF框架.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E6%AD%90%E7%9B%9FECSF%E6%A1%86%E6%9E%B6.jpg" style="width: 280px; float: right;" /></a></p> <p>關於ENISA所設計的ECSF，簡單來說，它是用於識別與闡述歐洲網路安全專業人員角色的實用工具，涵蓋了12種角色的使命、任務、技能、知識，以及電子技能稱職能力，其主要應用目的是：在整個歐盟的個人、企業主、培訓計畫提供者之間，提供跨社群的共同語言，用以加強歐洲的網路安全文化，這也將是歐洲邁向未來數位化世界的重要一步。</p> <p>從ENISA發布的ECSF相關資訊來看，共有兩份文件，一是ECSF框架對於工作角色的職務職能簡介，另一是ECSF的使用者手冊，裡面說明ECSF的設計原則與運用方式。</p> <p>以前者而言，ECSF在此處定出12種網路安全工作的角色，分別是：資安長、網路事件處理人才、網路法規與政策合規長、網路威脅情資專家、網路安全架構師、網路安全稽核師、網路安全教師、網路安全實施人才、網路安全研究人才、網路安全風險管理人才、數位鑑識調查人才，以及滲透測試人才。</p> <p>對於這樣的資安人才分類，我們認為，區隔出12種，這樣的數量算是適中，而且，ECSF定義的工作角色容易理解，對於許多人來說，可以相當輕鬆地識別資安工作角色，因此有望成為實用的資安人才職能地圖工具。</p> <p>我們認為，這份框架可能借鏡美國NICE框架發展經驗，也參考NICE旗下Cyberseek專案對資安產業的10大職務，因此，使得ECSF一開始推出，就聚焦在容易閱讀及易於使用等特性。</p> <p>基本上，有了ECSF框架，能讓我們根據這些不同資安角色的定位來思考人才配置策略，也就是說，使企業組織在建立網路安全團隊時，能從中找到可參考的部分。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1A）歐盟ECSF框架12角色_iThome整理_.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961A%EF%BC%89%E6%AD%90%E7%9B%9FECSF%E6%A1%86%E6%9E%B612%E8%A7%92%E8%89%B2_iThome%E6%95%B4%E7%90%86_.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1B）歐盟ECSF框架12角色_iThome整理.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961B%EF%BC%89%E6%AD%90%E7%9B%9FECSF%E6%A1%86%E6%9E%B612%E8%A7%92%E8%89%B2_iThome%E6%95%B4%E7%90%86.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1C）歐盟ECSF框架12角色_iThome整理.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961C%EF%BC%89%E6%AD%90%E7%9B%9FECSF%E6%A1%86%E6%9E%B612%E8%A7%92%E8%89%B2_iThome%E6%95%B4%E7%90%86.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1D）歐盟ECSF框架12角色_iThome整理.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961D%EF%BC%89%E6%AD%90%E7%9B%9FECSF%E6%A1%86%E6%9E%B612%E8%A7%92%E8%89%B2_iThome%E6%95%B4%E7%90%86.jpg" style="width: 600px;" /></a></p> <p>因此，基於這樣的框架，接下來，讓我們看看企業資安防護背後需要那些關鍵角色，以及具體任務。</p> <h3><span style="color:#FF0000;"><strong>◆ 資安長</strong></span></h3> <p>資安長主要負責企業資訊安全層面的企業經營。在ECSF的定義中，指出該角色的任務，是負責管理公司網路安全戰略及其實施，確保數位系統、服務與資安得到充分的安全與保護。此項角色的具體工作內容，包括下列14項：</p> <p>1. 制定與業務策略相符的資安目標、需求、策略與政策，並做到實施、溝通與維護</p> <p>2. 為組織高階管理層準備與提出資安願景、策略與政策，並確保其執行</p> <p>3. 監督資訊安全管理體系（ISMS）的應用與改進</p> <p>4. 教育高階管理層有關資訊安全風險、威脅及其對組織的影響</p> <p>5. 確保高階管理層批准組織的資訊安全風險</p> <p>6. 制定資安計畫</p> <p>7. 與資安相關當局與社群建立關係</p> <p>8. 向高階管理層報告資安事件、風險與調查發現</p> <p>9. 監控資安方面的進展</p> <p>10. 確保資源以實施資安策略</p> <p>11. 與高階管理層協商資訊安全預算</p> <p>12. 確保組織面對網路事件具資安韌性</p> <p>13. 在組織內持續進行能力建設的管理</p> <p>14. 對於資安資源進行審查、規畫與適當的分配</p> <p>從上述內容來看，ECSF對資安長角色所賦予的任務，並不只是企業資安的管理、治理，特別的是，同時還需要在資安資源的層面，做好爭取、審查與分配的工作，並且負有教育高階管理層的責任。</p> <h3><span style="color:#FF0000;"><strong>◆ 網路事件應變人才</strong></span></h3> <p>為了能夠因應資安事故，企業與組織必須有所準備，以ECSF的資安應變角色定義而言，就是監控組織的網路安全狀態，在網路攻擊期間處理事件，並確保ICT系統的持續運行。具體工作內容，包括下列11項：</p> <p>1. 事件應變計畫的發展、維護與評估</p> <p>2. 事件應變處理相關程式的制定、實施與評估</p> <p>3. 網路安全事件的識別、分析、緩解與傳達</p> <p>4. 技術漏洞的評估與管理</p> <p>5. 衡量網路安全事件在偵測與回應上的有效性</p> <p>6. 在網路安全或資料外洩事件後，評估網路安全控制與緩解措施的韌性</p> <p>7. 針對事件應變處理測試技術的採用與開發</p> <p>8. 建立事件結果分析與事件處理報告的程式</p> <p>9. 處理安全事件後必須記錄對事件的分析結果與處理措施</p> <p>10. 與安全維運中心（SOC）及電腦安全事件應變團隊（CSIRT）合作</p> <p>11. 根據適用的法律框架與關鍵人員合作，進行資安事件報告</p> <p>從上述這些任務內容來看，對於資安事件的應變，企業與組織不只是體認有事前、事中的工作要進行，更關鍵之處在於，在事後評估資安控制措施的韌性，並作出持續改善，同時也還要熟悉規範並將資安事件報告所需負責對象。</p> <h3><span style="color:#FF0000;"><strong>◆ 網路法規、政策合規長</strong></span></h3> <p>在企業經營面對的法遵、合規風險之下，不論網路安全法律長、資料安全長、隱私保護長、資訊治理長、資料合規長等，此類角色在ECSF的定義中，就是要能根據組織的戰略與法律要求，管理所有合規事宜，涵蓋面向包括與網路安全相關的標準、法律和監管框架。此項角色的具體工作內容，包括下列12項：</p> <p>1. 確保遵循並遵守資料隱私與資料保護的標準、法律與法規，並提供有關法律方面的建議與指引</p> <p>2. 識別出合規面的隔閡差距並且如實記錄</p> <p>3. 進行隱私衝擊評估（PIA），負責隱私政策與程式的制定、維護、傳達及培訓</p> <p>4. 負責組織內資料隱私與保護計畫的執行與推動</p> <p>5. 確保資料所者、持有者、控制者、處理者、主體，以及內部或外部合作夥伴與實體等角色，瞭解他們的資料保護權利、義務與責任</p> <p>6. 作為關鍵聯繫人，處理有關資料處理的查詢與投訴</p> <p>7. 協助設計、實施、審核與合規測試活動，以確保網路安全以及隱私合規性</p> <p>8. 針對稽核與資料保護相關的培訓活動進行監控</p> <p>9. 與有關當局與專業團體合作並分享資訊</p> <p>10. 協助發展組織的網路安全戰略、政策與程式</p> <p>11. 制定並提出員工意識培訓，以實現合規性要求，並在組織內培養資料保護文化</p> <p>12. 管理資訊安全責任與協力廠商關係的法律問題</p> <p>從這些涵蓋面來看，上述任務清單不只確保法遵與合規要求，負責資料保護推動，以及隱私衝擊評估（PIA）等，同時，身為網路法規、政策合規長，也是資料保護處理的關鍵聯絡人，並且要培養組織內部的資料保護文化。</p> <h3><span style="color:#FF0000;"><strong>◆ 網路威脅情資專家</strong></span></h3> <p>面對日益嚴峻的網路威脅環境，採取主動威脅情資的對抗策略，將可縮短事中應變所需時間，提升主動式防禦的能力，並幫助企業快速識別內外部網路安全現況。</p> <p>以ECSF的網路威脅情資角色定義而言，須對資料與資訊進行收集、處理、分析，並建立一個可行動資安情資（Actionable Intelligence）報告，再將其傳達給目標利益相關者。此項角色的具體工作內容，包括下列12項：</p> <p>1. 對於組織內部網路威脅情資策略的制定、實施與管理</p> <p>2. 制定計畫與程式來管理威脅情報</p> <p>3. 將業務需求轉化為情報需求</p> <p>4. 實施威脅情報收集、分析與產出可行動的情報，將資訊提供給安全上的利益相關者</p> <p>5. 確定並評估針對組織的網路威脅行動者</p> <p>6. 通過分析開源與專有的資料、資訊與情報，對於網路威脅行動者使用的戰術、技術與程式（TTP），能夠進行識別、監控與評估</p> <p>7. 基於威脅情資製作因應上的可行性報告</p> <p>8. 在戰術、運作與戰略層級上詳細說明並給出緩解風險計畫的建議</p> <p>9. 將消費者有關網路威脅情資與利益相關者協調分享</p> <p>10. 將情資用於威脅建模，並提出風險緩解與網路威脅狩獵的建議</p> <p>11. 在各個層面公開表達與交流情報</p> <p>12. 透過解釋風險暴露與其後果，向非技術的利益相關者適當傳達安全嚴重性</p> <p>從這些任務內容來看，資安專家除了要建立網路威脅情報策略與分析機制，評估攻擊者的TTP，同時，ECSF也強調要洞察並提出可行動的情報，並肩負情報交流，以及風險暴露後果解釋說明的責任。</p> <h3><span style="color:#FF0000;"><strong>◆ 網路安全架構師</strong></span></h3> <p>在數位化的時代下，我們必須建立基於安全而成的基礎資訊架構，使其獲得更多保障。</p> <p>以ECSF的網路安全架構角色定義而言，就是要針對基礎架構、系統、資產、軟體、硬體與服務等層面，規畫並設計Security-by-design的方案，並顧及資訊安全控制。此項角色的具體工作內容，包括下列12項：</p> <p>1. 設計並提出一個安全架構，以實現組織的策略</p> <p>2. 開發組織的網路安全架構，以滿足安全與隱私需求</p> <p>3. 建立並制定架構相關文件與規格</p> <p>4. 向利益相關者展示高層次的安全架構設計</p> <p>5. 在系統、服務與產品的開發生命週期中建立安全環境</p> <p>6. 協調開發、整合與維護網路安全元件，確保符合網路安全規格</p> <p>7. 分析與評估組織架構的網路安全</p> <p>8. 通過安全審查與認證，保證解決方案架構的安全性</p> <p>9. 與其他團隊與同事合作</p> <p>10. 評估網路安全解決方案對組織架構的設計與性能的影響</p> <p>11. 適應新興的威脅，調整組織的架構</p> <p>12. 針對實施的架構持續評估，以維持適當的安全水準</p> <p>從任務內容來看，網路安全架構師最主要的職責在於，設計並提出網路安全架構，同時要能適應威脅態勢，能夠持續評估與調整，並且要建立安全環境，提供系統、服務與產品的開發保障，也要能向利益相關者報告與展示高層次安全架構。</p> <h3><span style="color:#FF0000;"><strong>◆ 網路安全稽核師</strong></span></h3> <p>要確保執行有效性、落實程度，稽核的制度與相關工作的落實不可少，網路安全也是如此，幫助對企業整體安全的查核，以找出風險並提出改善建議，確保企業組織業務的持續性。</p> <p>以ECSF的網路安全稽核角色定義而言，就是對組織生態系統進行網路安全審核，確保符合法定、監管、政策資訊、安全要求、產業標準和最佳實踐。此項角色的具體工作內容，包括下列12項：</p> <p>1. 制定組織的稽核政策、程式、標準與指引手冊</p> <p>2. 建立用於系統稽核的方法與實踐</p> <p>3. 確定目標環境並管理稽核活動</p> <p>4. 定義稽核範圍、目標與稽核標準</p> <p>5. 制定稽核計畫，描述框架、標準、方法、程式與稽核測試</p> <p>6. 基於風險概況，審查目標評估、安全目標與要求</p> <p>7. 審核符合相關的法律法規要求的網路安全</p> <p>8. 審核符合相關的標準的網路安全</p> <p>9. 執行稽核計畫並且收集證據與測量數據</p> <p>10. 維護與保護稽核記錄的完整性</p> <p>11. 製作並傳達關於符合性評估、保證、稽核、認證與維護的報告</p> <p>12. 監控風險補救活動</p> <p>基本上，網路安全稽核師的任務，就是圍繞在組織稽核機制、計畫與行動，同時，也要對於稽核後的風險補救予以監控。</p> <h3><span style="color:#FF0000;"><strong>◆ 網路安全教師</strong></span></h3> <p>資安的重要性已不言而喻，除了提升企業組織內部資安文化，若要讓員工掌握如何遵守相關政策和程式，學習如何識別和預防各種資訊安全風險，進而提升整個組織的資訊安全水準，也是需要有人去推動。</p> <p>因此，在ECSF框架中也針對相關工作內容制定出這樣的角色類別，並對網路安全教師角色給出定義，就是提升員工的資訊安全知識、技能與能力。具體工作內容包括8項：</p> <p>1. 開發並更新網路安全與資料保護的課程與教材，提供基於內容、方法、工具與學員需求的知識，用於培訓與提高資安意識</p> <p>2. 負責組織、設計並執行提高資安與資料保護意識的活動，包括研討會、課程與實踐培訓</p> <p>3. 對培訓效果監控、評估並產出報告</p> <p>4. 對於學員表現進行評估並報告</p> <p>5. 尋找出教育、培訓與意識提高的新方法</p> <p>6. 負責安全模擬環境、虛擬實驗室或網路環境的設計、開發與提供</p> <p>7. 提供有關個人安全認證計畫的指導</p> <p>8. 持續維護與提升專業知識；持續授權與鼓勵提升資安能力及能力建設</p> <p>關於這方面的任務，或許有些視為人力資源單位執掌，但任務需求並不少，因而ECSF將之畫分為一大角色類別。從上述任務內容而言，主要圍繞在資料保護與資安意識，不僅是制定培訓素材與課程，同時也涵蓋認證計畫的指導，設計安全模擬的可用環境，持續帶動與建設組織內部的資安能力。</p> <h3><span style="color:#FF0000;"><strong>◆ 網路安全實施人才</strong></span></h3> <p>以技術面而言，資安相關技術的開發、整合、測試、導入，以及維運、監控與支援，基本上，我們在這些工作當中，都仰賴資安人員管理與執行。</p> <p>以ECSF提出的定義而言，網路安全實施人才要在基礎架構和產品上，開發、部署與操作資安解決方案，其目標涵蓋系統、設備、軟體、控制與服務。關於此項角色的具體工作內容，包括下列10項：</p> <p>1. 資安產品的開發、導入、維護、升級、測試</p> <p>2. 要為用戶與客戶提供與資安相關的支援</p> <p>3. 整合資安解決方案，並確保其良好運行</p> <p>4. 安全配置系統、服務與產品</p> <p>5. 維護與升級系統、服務與產品的安全性</p> <p>6. 實施資訊安全程式與控制</p> <p>7. 監控並保證已實施資安控制的性能</p> <p>8. 記錄與報告系統、服務與產品的安全性</p> <p>9. 與IT/OT技術人員密切合作，進行與資訊安全相關的操作</p> <p>10. 實施、應用與管理產品更新修補，以解決技術性漏洞</p> <p>以上述任務而言，涵蓋面向相當廣，包含系統、服務與產品的安全性維護與升級，以及資安產品的導入、測試，甚至是開發，並要負責資安方案整合，還有實施資安程式與控制，而且，與IT人員、OT人員的緊密合作，也視為其主要任務。</p> <h3><span style="color:#FF0000;"><strong>◆ 網路安全研究人才</strong></span></h3> <p>隨著威脅態勢演變，要持續促進資安相關技術與方法的進化，研究類型人才是關鍵，像是近年來，在產品面與策略面，從端點防毒到端點偵測與回應，從傳統邊界防護邁向網路安全零信任策略，就是簡單的例子。</p> <p>以ECSF的網路安全研究角色定義而言，就是專注在資訊安全領域研究，並將結果納入資訊安全解決方案中。此項角色的具體工作內容，包括下列12項：</p> <p>1. 針對資安技術、解決方案、發展與流程進行分析與評估</p> <p>2. 在網路安全相關主題上進行研究、創新與開發工作</p> <p>3. 展現與產生研究與創新的想法</p> <p>4. 針對網路安全相關主題推動現有技術水準更進步</p> <p>5. 協助開發創新的網路安全相關解決方案</p> <p>6. 進行實驗並開發網路安全解決方案的概念證明、視點與原型</p> <p>7. 選擇與應用框架、方法、標準、工具以及協議，包括建立與測試概念證明，以支持專案計畫</p> <p>8. 為最領先與先進的網路安全商業理念、服務與解決方案作出貢獻</p> <p>9. 為網路安全相關能力建設提供協助，包括意識、理論培訓、實踐培訓、測試、指導、監督與分享</p> <p>10. 識別出跨部門的網路安全成果，並將其應用於不同的情境，或視提出創新的方法與解決方案</p> <p>11. 領導或參與創新過程與項目，包括管理與預算的專案計畫</p> <p>12. 發表與提出科學論文、研究與開發結果</p> <p>根據這裡列出的任務清單，網路安全研究人才的定位有其特殊性，這是因為，我們可以發現，其任務面向是對資安領域有更為深入的研究，有如前瞻人才的範疇，不僅要分析評估資安技術與解決方案的適用性，其工作內容還需要帶領創新，促進現有技術水準向上提升，甚至是從意識、理論、實踐、測試等不同構面做出協助與貢獻。</p> <h3><span style="color:#FF0000;"><strong>◆ 網路風險管理人才</strong></span></h3> <p>基本上，對於企業的經營而言，風險管理是最大挑戰，不只在於法令與規範的遵循，範疇包括策略、營運、財務，以及危害事件等層面，而資安風險可能帶來的衝擊，也是其中一個重要環節。</p> <p>以ECSF的網路風險管理角色定義而言，就是負責管理組織與資訊安全相關的風險，使其符合組織的策略，並要發展、維護與傳達風險管理流程與報告。關於此項角色的具體工作內容，包括下列8項：</p> <p>1. 制定組織的網路安全風險管理策略</p> <p>2. 管理組織資產清單</p> <p>3. 針對ICT系統的網路安全相關威脅與漏洞進行識別與評估</p> <p>4. 識別威脅風險格局，包括攻擊者的側寫與攻擊潛在的估計</p> <p>5. 評估網路安全風險並提出最適當的風險處理選項，包括最能滿足組織策略的安全控制、風險緩解、規避</p> <p>6. 監控網路安全控制與風險等級的有效性</p> <p>7. 確保所有網路安全風險保持在組織資產可以接受的水準</p> <p>8. 開發、維護、報告與溝通完整的風險管理週期</p> <p>以上述任務而言，主要就是圍繞在網路風險管理，不論是資產盤點的管理、風險管理策略的制定，重點是還要能提出適當風險處理選項，並確保風險處在企業可接受的水準。</p> <h3><span style="color:#FF0000;"><strong>◆ 數位鑑識調查人才</strong></span></h3> <p>面對無可避免的資安事件，除了事件應變需要人才規畫與執行，對於面臨訴訟、法令要求方面，事件的數位鑑識調查，也要這方面的人力來處理。</p> <p>以ECSF的數位鑑識調查角色定義而言，就是務必讓網路犯罪調查揭露所有數位證據，以證實惡意活動的存在。具體工作內容，包括下列6項：</p> <p>1. 制定數位鑑識調查的政策、計畫與流程</p> <p>2. 針對數位證據的識別、恢復、提取、記錄與分析</p> <p>3. 保留並保護數位證據，讓授權利益相關者可以運用</p> <p>4. 檢查環境是否存在未經授權與非法行為的證據</p> <p>5. 以有系統地、確定地的方式，將數位鑑識分析的發現與結果做出記錄、報告與呈現</p> <p>6. 選擇與自定數位鑑識的測試、分析與報告技術</p> <p>上述所列任務內容，基本上，是聚焦於數位鑑識的相關機制與工作，尤其是最終調查結果的證據保留，以及如實將發現結果呈現，並強調要讓利益相關者得以運用。</p> <h3><span style="color:#FF0000;"><strong>◆ 滲透測試人才</strong></span></h3> <p>企業除了透過弱點掃描來盤點基本漏洞問題，為了找出資安防護上的盲點，還會進一步利用指定範圍的滲透測試，或是採用更進階且全面的紅隊演練，來識別防護弱點。</p> <p>以ECSF的滲透測試角色定義而言，就是要能評估安全控制的有效性，懂得挖掘與利用網路安全性漏洞，並評估其重要性，以防網路攻擊者利用。此項角色的具體工作內容，包括下列8項：</p> <p>1. 識別、分析與評估技術上與組織上的網路安全性漏洞</p> <p>2. 識別攻擊媒介與面向，挖掘與展示漏洞可遭成功利用的技術</p> <p>3. 測試系統與操作是否符合法規監管標準</p> <p>4. 對於滲透測試技術採適當的選擇與開發</p> <p>5. 為滲透測試組織起測試計畫與流程的工作</p> <p>6. 建立滲透測試結果分析與報告上的流程</p> <p>7. 將滲透測試結果記錄與報告給利益相關者</p> <p>8. 部署滲透測試工具與測試程式</p> <p>這方面的任務內容，基本上，就是專注於安排滲透測試計畫與流程，並熟悉漏洞技術的研究與分析，並在取得合法授權下進行，同時，最終產出結果報告並提供給利益相關者瞭解。 </p> <h2><strong>促進資安工作角色與任務的快速溝通之餘，也描繪學習需求</strong></h2> <p>整體而言，在歐洲ENISA所設計的ECSF框架中，不只將企業所需的資安人才類型，具體畫分為12種工作角色類別，也釐清了各角色的任務需求。</p> <p>更關鍵的是，這樣的內容等於建立角色的共同語言理解，不論你是否熟悉資安，這樣的內容，都能夠讓外界快速理解一個網路安全團隊，大致可能會有哪些角色與任務。</p> <p>事實上，ECSF框架不僅僅是描繪出這些角色的工作任務，在完整的框架結構中，針對每個工作角色，ECSF都提供了職務職能簡介。</p> <p>具體而言，在這個職務職能簡介中，涵蓋兩大層面的內容。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89ECSF%E6%A1%86%E6%9E%B6%E7%B5%90%E6%A7%8B.jpg" style="width: 600px;" /></p> <p>首先，是描繪出工作角色在組織中的作用，包括任務使命（Mission）、可交付的工作（Deliverables），以及任務（Task），而我們在上述內容中，也就列出了各角色的任務。</p> <p>其次，則是描繪出工作角色的知識（Knowledge）與技能（Skill），如此一來，有助於將學習的內容，定位於職場背景下的任務需求。若想更進一步瞭解，大家可以自行檢視<a href="https://www.enisa.europa.eu/publications/european-cybersecurity-skills-framework-ecsf">ECSF框架</a>的內容。</p> <p>而<a href="https://www.ithome.com.tw/news/156747">下一篇，我們將繼續介紹這部分的內容，以及ECSF的運用方式</a>。</p> <h2 class="rtecenter"><span style="color:#0099ff;"><strong>ENISA設置資安高教資料庫CyberHEAD</strong></span></h2> <p><a href="https://s4.itho.me/sites/default/files/images/（BOX圖）歐盟ECSF框架_CybeyHEAD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88BOX%E5%9C%96%EF%BC%89%E6%AD%90%E7%9B%9FECSF%E6%A1%86%E6%9E%B6_CybeyHEAD.jpg" style="width: 600px;" /></a></p> <p>針對國家級資安教育培訓的需求，歐盟網路安全局（ENISA）不僅發布歐洲網路安全技能框架（ECSF），還<a href="https://www.enisa.europa.eu/topics/education/cyberhead">推出網路安全高等教育資料庫服務（Cybersecurity Higher Education Database），簡稱CyberHEAD</a>，這是一個互動地圖，資料庫列出整個歐洲學術機構的網路安全學士、碩士學位的資訊。特別的是，CyberHEAD也將對接ECSF提供的12個角色職能，建立出彼此的對應關係。<br /> </p> <p><strong style="font-size: small; vertical-align: top; background-color: rgb(247, 247, 247); color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif;"><span style="vertical-align: top; color: rgb(51, 153, 255);"><span style="vertical-align: top; font-size: 20px;">本文出自《CYBER TALENT 臺灣資安人才專刊》</span><img alt="" src="https://s4.itho.me/sites/default/files/images/CYBER%20TALENT%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E5%B0%88%E5%88%8A_%E7%B7%A8%E8%BC%AF%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 150px;" /></span></strong></p> <p> </p> <h3 class="rtecenter"><strong>繼續閱讀：<a href="https://www.ithome.com.tw/news/156747"><span style="color:#0000FF;">【資安技能ECSF框架實際應用】以企業職場與學習角度出發，加速企業、政府與教育者溝通</span></a></strong><br /> </h3> </div></div></div>
2023/5/21 19:00作者羅正漢https://www.ithome.com.tw/news/156746
【資安技能ECSF框架實際應用】以企業職場與學習角度出發，加速企業、政府與教育者溝通
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/156746">歐洲網路安全技能框架（ECSF）確立12種典型資安工作角色</a>，提供每個職位的概述，以及不同的工作活動，提供識別資安職務類型的工具。其最大好處在於，建立了網路安全專業角色在識別與特徵上的共同理解，並可以與所需的適當技能與能力相對應。</p> <p>根據歐盟網路安全局（ENISA）的說明，ECSF框架背後是基於市場研究與資安專家合作發展，能針對資訊資安從業人員，列出明確的職業、技能與能力分類，提供歐盟自身使用。</p> <p>簡單來說，ECSF的目的，就是希望提供出明確的參考資訊，幫助識別當前與未來的網路安全技能短缺，以及減少差距。而從國際角度來看，這不僅成為歐洲企業組織的重要參考資源，以ECSF對資安人才的定義而言，同樣受到全球資安領域的關切，畢竟，全球企業都面臨資安人才短缺的挑戰，這樣的資源都足以作為借鑒。</p> <h2><strong>定義角色背後所需學習的內容，扮演企業與教育者之間橋樑</strong></h2> <p>從ECSF的設計原則來看，框架是以通用為設計考量，ENISA希望確保廣泛對象能夠容易理解與應用當中的概念，促使不同規模的組織，以及技術專業程度與不同核心業務領域之間，都能使用該框架。</p> <p>因此，除了從中能夠認識12種資安工作角色，從ECSF框架所列的角色職務職能簡介，我們更可以看出，其結構包含兩大層面，那就是以「工作」與「學習」來定義資安角色的概要需求。</p> <p>具體而言，一個關鍵是從「工作」角度出發，亦即呈現工作角色在組織的作用，這裡細分為任務使命（Mission）、可交付的工作（Deliverables），以及任務（Task）；另一關鍵是從學習角度來看，也就是工作角色需要知道什麼？要做什麼？這裡細分為技能（Skills）、知識（Knowledge），以及歐盟的e-CF能力框架。換言之，ECSF不僅呈現每個角色在工作職場要做的事，同時，也展現每個角色背後所需要學習的內容。</p> <p>因此，在ECSF框架的職務職能簡介，我們可以看到每個不同的資安工作角色，都描繪所需要的「技能」與「知識」清單，而其數量在5到16項之間。</p> <p>以資安長為例，其技能清單有16項，包括：評估並加強組織的資訊安全態勢，實施資安政策、認證、標準、方法論與框架，遵守與資安相關的法律、法規與立法，以及管理資安資源，定義資安管理成熟度模型，直接或領導外部承包商ISMS監控與審查等，特別的是，激勵與鼓勵這類軟性技能也涵蓋在內。</p> <p>除了技能與知識，ECSF最獨特之處在於，可連接專門用於ICT專業領域的歐盟電子技術能力框架：European e-Competence Framework（e-CF）。基本上，e-CF將能力分為5大領域、40個項目，並且畫分出5個成熟度，而在ECSF的每個職務職能簡介中，也列出該資安角色所需具備的e-CF能力。</p> <h2><strong>推動企業採行ECSF，以設想情境幫助理解應用方式</strong></h2> <p>綜觀上述這些具體的清單內容，已經足以協助組織、個人或培訓機構推行，能有明確的參照可用。而在ECSF使用者手冊中，也闡述此框架的運用方式，可利於下列5大面向，包括：</p> <p><strong>1. 提供企業組織應用，像是聘用資安專業人員</strong></p> <p><strong>2. 提供學習提供者應用，也就是各類培訓單位，以幫助提高資安專業人員技能</strong></p> <p><strong>3. 提供個人從業人員應用，幫助做出自己的職業選擇</strong></p> <p><strong>4. 提供專業協會應用，建立資安社群</strong></p> <p><strong>5. 提供政策制定者應用，以幫助在戰略上增加該領域</strong></p> <p>企業該如何應用ECSF？我們注意到，ECSF使用者手冊用說故事的方式來舉例說明，相當特別。如此的確讓大家更容易以自身情境帶入，便於設想。</p> <p>例如，在第一個情境中，是由兩位創辦人成立的小型雲端服務公司，這兩人各自擅長技術與行銷，但之前都沒有經營或建立公司的經驗。</p> <p>過了一年之後，公司開始逐漸成長，他們搬進新的辦公室，雇用許多員工來擴展業務，但在此階段中，沒有人能考慮組織架構問題，許多角色與職責都是共同承擔，若遇到挑戰，則透過臨機應變的方式來處理。所幸，這個時期還沒有發生嚴重的資安事件。</p> <p>後來，這家公司吸引到新的投資者與媒體的目光，然而，大客戶與投資者要求在他們涉入公司經營之前，須為其提供充分的資安保障措施與組織架構，這時創辦人也意識到：公司成功的關鍵在於員工，為了使組織成功發展並提供具彈性的服務，必須要明確定義資安的角色與責任。</p> <p>因此，他們的問題是：公司要有甚麼樣的組織架構？需要哪些角色及能力？</p> <p>這時，投資者可以使用ECSF框架，並識別出該組織需要5種關鍵的資安人才，包括：資安長、網路法規政策合規長、網路安全架構師，資安事件應變人才，以及幾名網路安全實施人才。</p> <p>於是，該公司在內部進行調查後，確定是否有員工能擔任這些角色。</p> <p>像是公司已有法務人員負責法規面的工作，且對隱私與網路安全法律問題有興趣，因此，人力資源部門可利用ECSF的知識與技能清單，進一步協助增加其能力；而該組織的資通訊架構師，因為在網路安全設計方面已有經驗，可透過培訓增加與更新其能力，滿足組織架構的資安需求。</p> <p>至於企業內的系統管理員，過去已懂得遵循許多網路安全最佳實務，但大多以身兼數職方式工作，缺乏策略或結構。因此，公司創辦人確定需要招聘一位資安長，除了在網站上列出職缺，同時也根據ECSF對該職務職能的簡介，草擬出該職位的描述。另外，創辦人也確定公司的事件應變功能機制，需24小時不中斷，以確保服務的持續運作，</p> <h2><span style="color:#0099ff;"><strong>ECSF框架帶來五大人才效益</strong></span></h2> <p><span style="color:#800000;"><strong>（一）促使資安專業的需求與供給之間，也就是在職場、招聘，以及培訓、評估之間，大家都能夠有共同的術語與理解。</strong></span></p> <p><span style="color:#800000;"><strong>（二）由於是從工作職務角度識別關鍵技能要求，因此可讓培訓課程提供者用於發展關鍵技能的課程，而政策制定者也能針對性技能缺口去設法緩解。</strong></span></p> <p><span style="color:#800000;"><strong>（三）ECSF有助於理解資安角色所需的基本技能與法律規範。特別是對於非專業人員和人力資源部門而言，可以更容易理解資安方面的招聘、職業規畫與資源規畫。</strong></span></p> <p><span style="color:#800000;"><strong>（四）促進資安教育、培訓與人力資源發展的協調。</strong></span></p> <p><span style="color:#800000;"><strong>（五）在對應的資安人力發展下，未來將有助於更好抵禦網路攻擊，並確保各個領域的安全。</strong></span><br /> 資料來源：ENISA，iThome整理，2023年5月</p> <h2><strong>強調能夠靈活使用，可自定新工作角色或彈性運用</strong></h2> <p>除了定義12種角色職能技能簡介，ENISA也強調：這個框架將是可以活用的工具，能依據特定環境彈性使用。</p> <p>例如，在第二個設想情境，是描述一家保險公司正將其產品組合延伸至資安保險，因此需要合適的人來支持這項新業務。為此，人力資源部門展開調查訪問，以確定該職位的需求與主要任務。</p> <p>之後人力資源主管意識到，這是個複雜的工作角色，沒有適合的角色樣板可以直接套用，因此，借助ECSF框架，從網路法規政策合規長與網路安全稽核師這兩個角色裡面，提取部分內容，以確定新工作角色的重要任務，並確認出執行任務所需的技能與知識。</p> <p>如此一來，這個新的工作角色就是基於ECSF核心內容建立，也等於提供一個獨特的角色，並且起源結構可追溯。</p> <p>而在第三個設想情境中，則是一家主要業務非資通訊的大型企業，需要設置一個資安專責部門，但過去該公司並沒有任何這方面的專業知識，因此，董事會決定聘請一位資安長，來定義與組織目標一致的整體資安防護策略。</p> <p>接下來，新任命的資安長將ECSF框架作為指導方針，當作處理其網路安全風險所需資安角色的參考，並將之視為資安部門角色結構化的靈活工具。例如，利用企業管理PDCA的類似概念，將12個角色畫分到4大領域，分別對應：計畫、實施、維運、改進。</p> <p>「計畫」領域對應的是資安長、網路法規政策合規長、網路安全風險管理人才，以及網路安全架構師；「實施」領域對應網路安全實施人才、網路安全教師；「維運」領域對應網路事件應變人才、數位鑑識調查人才，以及網路威脅情資專家；「改進」領域對應滲透測試人才、網路安全稽核師，以及網路安全研究人才。</p> <p>同時，該名資安長也遵循ECSF模組應用的5大步驟，從分析、識別、選擇、採用與應用的角度，以彈性適應其特定需求與目標。</p> <p>例如，在計畫層面中，資安長決定，由自身負責政策與合規的任務，並招聘資安架構師與網路安全風險管理人才。</p> <p>在實施層面中，主要利用ECSF的知識與技能，來了解要從外部招聘或是提升內部人員技能，並調查了自家跨國公司內的其他領域訓練團隊，是否具有ECSF所列技能知識並願意加入團隊。</p> <p>在維運層面中，考量日常網路安全營運需求，因此決定成立全球資安應變中心，同時招聘威脅情報專家提供更多洞察見解，幫助威脅獵捕與風險緩解，至於數位鑑識人才，資安長認為無需招聘，可委託專門資安業者滿足需求。</p> <p>最後，在改進層面中，資安長決定委託外部服務提供滲透測試，並在評估內部稽核團隊的能力後，決定聘請網路安全稽核師，至於網路安全研究人才，則因為超出組織範圍而決定不需要聘請。</p> <p>綜合來看，ECSF框架幫助資安長了解資訊安全角色，協助建立組織架構、確定資安角色需求，同時，也協助了人力資源規畫、評估與提升員工技能。</p> <p><span style="color: rgb(0, 153, 255);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89ECSF%E6%A1%86%E6%9E%B6%E6%87%89%E7%94%A8%E5%BD%88%E6%80%A7.jpg" style="width: 600px;" /></strong></span></p> <p><strong>SANS Institute也將ECSF框架融入其培訓，像是在其網站介紹的<a href="https://www.sans.org/ecsf-framework/">使用ECSF找到正確職涯發展路徑</a>，當中即依照ECSF的12種資安角色提供相對應的認證課程資訊。</strong></p> <p><span style="color: rgb(0, 153, 255);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89ECSF%E6%A1%86%E6%9E%B6%E7%B5%90%E6%A7%8B.jpg" style="width: 600px;" /></strong></span></p> <p><strong>ECSF框架不僅能提供給企業組織應用於聘用資安專業人員，以及各類培訓單位，也有助於資安從業人員的個人職涯選擇。</strong></p> <h2><strong>讓培訓課程開設、個人職涯發展有方向，且能識別強化面向</strong></h2> <p>ECSF框架除了為企業帶來幫助，對於培訓機構與個人也相當有助益。畢竟，ECSF促使不同領域與產業之間，對於網路安全技能相關術語能有共識，同時，ECSF也將職場專業要求與網路安全相關課程，以及學習計畫相連接。</p> <p>因此，對應市場需求，培訓機構與學術單位能夠利用ECSF的內容，也就是對應的知識與技能，制定符合所需的學習計畫或課程，甚至，在課程設計上，可藉此加速企業、政府與教育者達成協議，並促進跨機構的合作與學習教育。</p> <p>特別的是，目前我們已經看到有培訓機構開始應用ECSF作為溝通方式。例如，專門研究與教育的SANS Institute組織，在其網站介紹<a href="https://www.sans.org/ecsf-framework/">使用ECSF找到正確職涯發展路徑</a>，也依據ECSF定義的12種角色，提供相應的認證課程資訊。</p> <p>以網路安全架構師的資安人才角色而言，SANS Institute所列課程與認證，包含兩項，分別是：SEC530的可防禦安全架構與工程－為混合企業實施零信任，相關認證為GDSA；另一課程為SEC549的企業雲端安全架構。</p> <p>對於個人而言，由於ECSF框架在資安職務職能，提供一定的清晰度，可幫忙做出職業選擇，無論是吸引新鮮人投入網路安全領域，或協助新鮮人規畫未來的職業道路。舉例來說，透過ECSF的職務職能簡介，新鮮人能了解實際工作場所的要求與期望，從自身技能興趣了解可投入的方向，幫助不知從何開始的新進人員，確定自身需要開發、掌握與學習的技能或知識，了解轉職所需的能力與技能，促進職涯發展。</p> <p>對於政策制定者與政府利益相關者而言，也能在國家網路安全能力建設的發展上，用ECSF來幫助識別優先重點發展與培養的目標，以及透過資料分析來決定人才政策的推動方向。</p> <h2><span style="color:#0099ff;"><strong>ECSF的12種資安人才學習需求簡覽</strong></span></h2> <p><span style="color:#0099ff;"><strong><a href="https://s4.itho.me/sites/default/files/images/（圖1A）ECSF的12種資安人才學習需求簡覽.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961A%EF%BC%89ECSF%E7%9A%8412%E7%A8%AE%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E5%AD%B8%E7%BF%92%E9%9C%80%E6%B1%82%E7%B0%A1%E8%A6%BD.jpg" style="width: 600px;" /></a></strong></span></p> <p><span style="color:#0099ff;"><strong><a href="https://s4.itho.me/sites/default/files/images/（圖1B）ECSF的12種資安人才學習需求簡覽.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961B%EF%BC%89ECSF%E7%9A%8412%E7%A8%AE%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E5%AD%B8%E7%BF%92%E9%9C%80%E6%B1%82%E7%B0%A1%E8%A6%BD.jpg" style="width: 600px;" /></a></strong></span></p> <p><strong style="font-size: small; vertical-align: top; background-color: rgb(247, 247, 247); color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif;"><span style="vertical-align: top; color: rgb(51, 153, 255);"><span style="vertical-align: top; font-size: 20px;">本文出自《CYBER TALENT 臺灣資安人才專刊》</span><img alt="" src="https://s4.itho.me/sites/default/files/images/CYBER%20TALENT%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E5%B0%88%E5%88%8A_%E7%B7%A8%E8%BC%AF%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 150px;" /></span></strong></p> </div></div></div>
2023/5/21 19:00作者羅正漢https://www.ithome.com.tw/news/156747
促進資安人培育，美國NICE網路安全人才框架成典範
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>要確保國家網路安全，除了仰賴資安相關技術的發展，背後更重要關鍵，是要有實踐這些技術的人，也就是資安人才。</p> <p>但是，要推動資安人才，或許我們先要了解的是，資安工作所需的任務與知識技能，而國際上已有這方面的發展，例如，美國國家標準暨技術研究院（NIST）推出的 NICE 網路安全人才框架，就是一例。</p> <p>事實上，早在十多年前，美國政府已經意識到聯邦資安人才培育的重要性，因此在2010年，啟動國家網路安全教育倡議計畫，名為National Initiative of Cybersecurity Education（NICE），由美國NIST帶頭，當地多個單位共同合作推動，主要聚焦在網路安全人力框架（Cybersecurity Workforce Framework，CWF）的設計，其用意是制定網路安全相關的知識技能體系。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%960%EF%BC%89NICE%E7%B6%B2%E8%B7%AF%E5%AE%89%E5%85%A8%E4%BA%BA%E6%89%8D%E6%A1%86%E6%9E%B6%E7%99%BC%E5%B1%95%E4%BB%8B%E7%B4%B9(1).png" style="width: 231px; float: right;" /></p> <p>而這樣的計畫，2012 年有初步的成果。當時，就已發布了第一版的NICE Framework，後續，再經歷了七年多的持續改進與發展，現在這項框架已經變得更為先進，並於2020年發展至第四版本。</p> <p>特別的是，這期間還有一個重要的進展，<a href="https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-181.pdf">在2017年時，美國NIST將此框架發布為NIST SP 800-181標準文件</a>，當中強調公私組織都能廣泛運用，此舉為網路安全人才的培育，提供了具體的指導和參考。</p> <p>值得我們關注的是，近年來，隨著全球資訊安全威脅不斷增加，各國對於資訊安全人才不足議題，逐漸成為討論重點。為此，資安人才職能框架成為國際間重要的議題。</p> <p>例如，我們在去年2022年注意到，歐洲網路安全局 ENISA 發布網路安全技能框架（ECSF），這也顯示，國際間的確在思考資安人力培育的問題，並設法提出對應之道。</p> <p>對於臺灣而言，這份NICE網路安全人才框架的內容，等於也是提供我們在規畫相關策略時的重要參考，可幫助從政策面與執行面去通盤考量，以促進國家整體資安人才的發展。</p> <h2><strong>畫分7大類別、33大專業領域，以及52個工作角色</strong></h2> <p>為何NICE框架具參考性 ? 簡單來說，NICE 這個框架是由美國政府、學術界與產業夥伴共同合作發展，主要是為了建立完善的網路安全教育、培訓與人才發展生態系。</p> <p>以 2017 年而言，美國 NIST 將此框架第三版發布為NIST SP 800-181標準文件來看，目的是全面統整出網路安全需求人力的資訊，成為這方面的基礎參考資源，因此制訂一個分類詳盡的框架的內容，希望建立共同的詞彙，有利於識別、招募與發展網路安全人才。</p> <p>這樣的框架能夠帶來哪些好處？以企業組織而言，雇主能使用一致的語言，設計出內部資安人員專業發展計畫，並選擇適當的培訓機會或相關產業認證與學術證書，以提升其員工的技能水準；對於學術機構來說，也能藉此發展網路安全課程，以滿足當前與未來的資訊安全人才需求。</p> <p>當時的NICE框架共建立了7大類別、33 大專業領域，以及 52 個工作角色，並針對每個資安工作角色，皆提供了面對的任務，以及勝任該職責所需具備的知識、技術與能力（KSAs）。</p> <p>這 7 大類別包括：安全架構供應、操作與維護、監督與治理、保護與防禦、分析、收集與行動，以及調查。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）NICE網路安全人才框架發展介紹.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89NICE%E7%B6%B2%E8%B7%AF%E5%AE%89%E5%85%A8%E4%BA%BA%E6%89%8D%E6%A1%86%E6%9E%B6%E7%99%BC%E5%B1%95%E4%BB%8B%E7%B4%B9.png" style="width: 600px;" /></a></p> <p>而這些類別涵蓋的 33 大專業領域，分別是：</p> <p>● 安全架構供應，包括：風險管理、軟體開發、系統架構、技術研發人員、系統需求計畫、測試與評估，以及系統開發；</p> <p>● 操作與維護，包括：資料管理、知識管理、客戶服務與技術支援、網路服務、系統管理，以及系統分析；「監督與治理」的法律諮詢與倡導、培訓教育與意識、網路安全管理、戰略規畫與政策、高階網路領導力，以及計畫／專案管理與收購；</p> <p>● 保護與防禦，包括：網路防禦分析、網路防禦基礎架構支援、事件回應、弱點評估與管理；</p> <p>● 分析，包括：威脅分析、漏洞利用分析、全方位情報分析、目標對象分析、語言分析；</p> <p>● 收集與行動，包括情報收集作戰、網路作戰規畫（深層聯合目標制定與網路安全規畫）、網路作戰（防範犯罪與外國情報實體）；</p> <p>● 調查，包括：網路調查、數位鑑識。</p> <p>上述這些類別與專業領域，除了顯現出資訊安全工作範疇的細膩畫分，同時，此框架還對應發展出52種資安工作角色。</p> <p>簡單而言，有些領域對應單一工作角色，像是系統需求計畫領域所對應的工作角色，就是系統需求規畫師；也有些領域是對應多個工作角色，例如，在風險管理領域之下，有兩個角色，包括授權官／指定代表，以及安全控制評估專家；在資料管理領域之下有兩個角色，包括資料庫管理員，以及資料分析師。</p> <p>更重要的是，這個框架還非常詳盡的歸納出，網路安全人才所需的具體條件，包含：任務（Task）、技能（Skill）、知識（Knowledge）、能力（Ability）。</p> <p>這部分的內容有多細膩？我們看到總共區分出1,007種任務（T0001至T1007），以及630種所需知識（K0001至K0630）、374種所需技能（S0001至0374），以及176種所需的能力（A0001至A0176）。</p> <p>同時，每個工作角色也都對應出各自面對的任務，以及所需具備的知識、技術與能力。</p> <h2><strong>剖析細膩的人才需求是NICE最大價值，持續改進是重點</strong></h2> <p>整體而言，如此細膩地進行分類與描繪敘述的框架內容，對於資安人才職能的整體檢視有極大幫助，也是這份框架的價值所在，基本上，它能協助產業更具體討論與理解資安專業人員的工作，以及技能要求，甚至能夠直接當成一個詳盡的檢核表使用。</p> <p>不過，接下來NICE框架該如何改進，可以使其更適用呢？</p> <p>後續我們看到，NIST 在完成細緻的盤點統整後，已轉向簡化框架結構。</p> <p>例如，在2020年11月發布的第一版修訂 SP 800-181 r1，開始有了不同於以往的明顯變化，其調整重點在於，簡化、優化框架的組織結構與術語，也就是說，希望提供一個更靈活且易於使用的方法，來開發管理網路安全風險的人才。<a href="https://www.ithome.com.tw/news/156732">下一篇我們將繼續介紹新版所做出的改變</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）NICE網路安全人才框架發展介紹.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89NICE%E7%B6%B2%E8%B7%AF%E5%AE%89%E5%85%A8%E4%BA%BA%E6%89%8D%E6%A1%86%E6%9E%B6%E7%99%BC%E5%B1%95%E4%BB%8B%E7%B4%B9.png" style="width: 600px;" /></a></p> <p> </p> <h2 class="rtecenter"><span style="color:#0099ff;"><strong>NICE框架的任務、技能、知識與能力簡覽</strong></span></h2> <p>在2017年發布SP 800-181，畫分出多達52種資安工作角色，也同時定義4種與工作角色相關元件，包括任務、技能、知識、能力。而且，在每個工作角色的職能一覽項目當中，都包含4項描述，說明該職能對應所需。我們可從下列個別列舉的前20個項目，看出NICE對於資安人才職能描繪的細膩程度。（<a href="https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-181.pdf">完整NIST SP 800-181內容</a>）</p> <p><span style="color:#FF8C00;"><strong>一、NICE框架「任務」簡介</strong></span></p> <p>這部分說明所有已被確定為網路安全工作角色的任務，當中共定義出1,007種的任務（T0001至T1007）。以T0001為例，當中說明其任務是要獲得並且管理必要的資源，這包括領導層的支持，財務資源與關鍵資安人員，以幫助達到IT 安全的目標，並減少組織整體風險。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）NICE網路安全人才框架發展介紹.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89NICE%E7%B6%B2%E8%B7%AF%E5%AE%89%E5%85%A8%E4%BA%BA%E6%89%8D%E6%A1%86%E6%9E%B6%E7%99%BC%E5%B1%95%E4%BB%8B%E7%B4%B9.jpg" /></a></p> <p><span style="color:#FF8C00;"><strong>二、NICE框架KSA的「知識」簡介</strong></span></p> <p>這部分說明履行各種資安職能的各種資訊，共包含630種知識（K0001至K0630），前6項是所有網路安全工作角色都需具備的知識，以K0001為例，是要熟悉電腦網路概念協議，以及網路安全方法，以K630為例，是具備了解最新入侵技術、方法與已有文件紀錄針對組織外部的入侵案例。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖4）NICE網路安全人才框架發展介紹.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89NICE%E7%B6%B2%E8%B7%AF%E5%AE%89%E5%85%A8%E4%BA%BA%E6%89%8D%E6%A1%86%E6%9E%B6%E7%99%BC%E5%B1%95%E4%BB%8B%E7%B4%B9.jpg" style="width: 600px;" /></a></p> <p><span style="color:#FF8C00;"><strong>三、NICE框架KSA的「技能」簡介</strong></span></p> <p>這部分的內容是歸納出網路安全技能的清單，共有374種。具體而言，每一種技能是指能夠展現出已經學會的動作或行為的能力，而這種能力是可以被觀察到的，也就是說，只有當你能夠實際展現出這些行為時，才能被稱為具有這些技能。以S0001為例，當中說明其技能是要具備漏洞掃描與識別安全系統中漏洞。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5）NICE網路安全人才框架發展介紹.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89NICE%E7%B6%B2%E8%B7%AF%E5%AE%89%E5%85%A8%E4%BA%BA%E6%89%8D%E6%A1%86%E6%9E%B6%E7%99%BC%E5%B1%95%E4%BB%8B%E7%B4%B9.jpg" style="width: 600px;" /></a></p> <p><span style="color:#FF8C00;"><strong>四、NICE框架的KSA「能力」簡介</strong></span></p> <p>這裡提供的是關於網路安全能力的清單，其能力指的是英文的Ability，共176種能力（A0001~A0177）。以A0001為例，是指能夠根據漏洞與資料設定配置的分析，識別系統性安全問題的能力。以A0176而言，是指具備維護資料庫的能力，包含備份、復原、資料刪除、日誌檔案交換等。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖6）NICE網路安全人才框架發展介紹.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89NICE%E7%B6%B2%E8%B7%AF%E5%AE%89%E5%85%A8%E4%BA%BA%E6%89%8D%E6%A1%86%E6%9E%B6%E7%99%BC%E5%B1%95%E4%BB%8B%E7%B4%B9.jpg" style="width: 600px;" /></a><br /> </p> <p><strong style="font-size: small; vertical-align: top; background-color: rgb(247, 247, 247); color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif;"><span style="vertical-align: top; color: rgb(51, 153, 255);"><span style="vertical-align: top; font-size: 20px;">本文出自《CYBER TALENT 臺灣資安人才專刊》</span><img alt="" src="https://s4.itho.me/sites/default/files/images/CYBER%20TALENT%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E5%B0%88%E5%88%8A_%E7%B7%A8%E8%BC%AF%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 150px;" /></span></strong></p> <p> </p> <h3 class="rtecenter"><strong>繼續閱讀：<a href="https://www.ithome.com.tw/news/156732"><span style="color:#0000FF;">2020年版NICE框架新變革！模組化與便於彈性使用是重點</span></a></strong></h3> </div></div></div>
2023/5/20 10:00作者羅正漢https://www.ithome.com.tw/news/156705
2020年版NICE框架新變革！模組化與便於彈性使用是重點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2017年，<a href="https://www.ithome.com.tw/news/156705">美國NIST將國家網路安全人才框架NICE的第三版，發布為NIST SP 800-181標準文件</a>，定義出52個工作角色，以及1007種任務、630種知識、374種技能，以及176種能力，然而，在發展出這樣具規模的基礎之後，如何能讓此NICE框架變得更普遍適用，受到廣大的探討。</p> <p>到了2020年11月，<a href="https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-181r1.pdf">NIST發布SP 800-181的 r1版本</a>，與過去有很大的不同，我們可以看到框架內容已有大幅簡化。發展此框架的團隊表示，是基於之前版本的缺點與用戶回饋，做出修正與優化，希望以敏捷、靈活、具實用性、模組化的特性出發，以快速連接資安生態系，因此重構了NICE Framework。</p> <p>簡單來說，SP 800-181 r1是針對網路安全人才架構的修訂版，而這次修訂的重點在於，簡化框架的組織架構與術語，使框架變得更加靈活且易於使用，以便開發與管理網路安全風險的人才。</p> <h2><strong>新版NICE框架的五大重點</strong></h2> <p>新版NICE框架有哪些重要的變化？我們從2020年修訂版的改變，歸納出五大重點。</p> <h3><strong><span style="color:#B22222;">■ 第一，簡化並優化架構</span></strong></h3> <p>在SP 800-181 r1中，NICE框架將原本類別與專業領域的設計，轉換成以「任務」、「知識」與「技能」為核心，並增加靈活、互通與模組化的特性。</p> <p>也就是說，NICE此版取消2017年版在類別與專業領域上的設計，取而代之的是，將任務、知識、技能轉化為關鍵基礎模組，NIST稱之為Building Blocks，以提供更模組化的方法。而且，修訂版為了增加可使用性，還提供了與其他框架與標準的比較與對照。</p> <p>不過，NICE框架開發團隊也表示，如果組織認為之前的框架結構很有用，仍然可以繼續使用，或是依據新版的NICE Framework概念做整合。</p> <h3><span style="color:#B22222;"><strong>■ 第二，重構任務、知識與技能關係</strong></span></h3> <p>另一變動在於，修改之前框架中對於任務、知識、技能與能力之間的關聯。</p> <p>例如，關於「技能（Skill）」、「能力（Ability）」這兩項，從原本聚焦於技能與能力的展現，簡化成只保留「技能」一項，並且改變為聚焦在學習者行動上的展現；同時，新版框架還將重點放在提供一個簡化的關聯方法，讓使用者可將任務、知識與技能，應用於建立與之相關的工作角色。</p> <p>此舉看來也更貼近NICE框架最初的目的，就是希望更妥善地幫助機構，快速建立能管理網路安全風險的團隊。</p> <p>r1修訂版為了簡化NICE框架的維護，刪除2017年框架附錄A與B提供的任務、知識、技能、工作角色的列表，NIST表示，之後將發布新的獨立文件。現階段，之前版本的列表同樣仍可利用，用戶可在NICE框架資源中心找到這些資訊。</p> <h3><span style="color:#B22222;"><strong>■第三，模組化設計，可用現有TKS亦可自行建立</strong></span></h3> <p>重構後的新版NICE框架，NIST強調，主要是基於一個建築積木（Building Blocks）的概念而成，而這個建築積木的概念，可視為基礎要素，涵蓋面向包括：使用「任務」描述所要完成的工作，以「知識」與「技能」描述執行該工作所需的要求。</p> <p>因此，具體而言，NICE框架主要由三個基礎要素組成，分別是：</p> <p><strong>●任務陳述語句（Task Statements）</strong></p> <p><strong>●知識陳述語句（Knowledge Statements）</strong></p> <p><strong>●技能陳述語句（Skill Statements）</strong></p> <p>上述這三個基礎元素合稱為TKS，新版NICE框架的核心，就是基於TKS來提供一種結構，讓組織與個人都能清楚理解框架的範圍與內容。</p> <p>我們在釐清其關聯時，必須強調的是，這不是強制性的結構，而是可以透過這些基礎元素的結合，轉化成指導方針，並用於增強理解。</p> <p>換句話說，NIST強調的重點在於，NICE是個框架，這意味著它不會給你答案，組織與個人將可根據自身需求，靈活應用這些基礎元素，增強對網路安全領域的理解與應用能力，像是建構自己的職位描述，以及設計培訓與人才發展計畫。</p> <p>因此，對於企業或組織而言，可以使用既有的任務、知識與技能（TKS）陳述語句，也可以建立新的TKS陳述語句。但NIST提醒，修改既有TKS內容時必需謹慎，因為這可能導致使用外部資源時，出現後續無法對焦的狀況。</p> <p>至於TKS可被應用的培訓情境有哪些？例如，可決定晉升資格的員工技能追蹤計畫，或是完成課程所需的知識，又或是完成組織的每週任務清單等。</p> <p>如何建立TKS的陳述語句？新版文件透過例子來說明。以任務陳述語句而言，主要是描述所要完成的工作，可定義為實現組織目標的活動，包括業務目標、技術目標，或是使命願景的目標。</p> <p>舉例來說，關於「排除系統硬體與軟體故障」這樣的任務陳述語句，就是呈現出正要執行的活動，另外，陳述語句可以不用說明具體目標，例如，進行互動式培訓演練這樣的任務，因為目標可能因為任務驅動與組織需求而異。</p> <p>而從學習角度來看，須有效地解決任何軟體或硬體的問題，學習者必須熟悉並理解相關的知識目標，也就是說，必須學習並獲得這些知識與技能，才能夠完成任務。</p> <h3><span style="color:#B22222;"><strong>■ 第四、提供結合彈性，以稱職度來整合定義</strong></span></h3> <p>基本上，NICE框架提供共同的基礎，讓眾多機構組織可以借鑒，但有些機構可能需根據其獨特情況調整模型。</p> <p>為了讓TKS可以更好被活用，新版NICE框架有一特點，就是重新加入了稱職度（Competency）的概念，並成為TKS之外的另一基礎要素。</p> <p>具體而言，「稱職度」是透過相關的任務、知識與技能陳述語句，幫助組織評估學習者是否達到所需能力的好方法。</p> <p>而這個稱職度使用方式上，應由雇主驅動導向的方式來定義，並提供組織在獨特情境的洞察力。</p> <p>在用法上，稱職度的概念如何提供彈性？基本上，企業組織在使用時，可將不同的任務、知識與技能陳述語句組合在一起，形成廣泛的能力類別，以滿足不斷變化的需求。</p> <p>總體而言，建立稱職度的潛在用途，包括：描述指定職位中的任務類型、追蹤工作人員能力、描述團隊要求，以及展示學習者能力等。</p> <p>以適用場景來看，這樣的發展過程，可幫助企業雇主與培訓機構。例如，企業雇主可將其用於招聘與考核，像是使用稱職度定義職位描述；培訓提供者或學術顧問可評估學習者的技能與知識，像是使用稱職度來證明學習者已獲得符合其能力的知識與技能，或是使用稱職度來定義證照（證照或學位）。</p> <h3><span style="color:#B22222;"><strong>■ 第五、重新定位工作角色，不等同於職業的工作角色</strong></span></h3> <p>新版NICE框架的最後一塊拼圖，就是工作角色（Work Roles）。</p> <p>在之前的版本中，工作角色主要是與知識、技能、能力相關聯，而在新版框架中，則是鼓勵透過任務（Task）來描述工作角色，因此關聯性上有所改變。</p> <p>之所以倡議使用具體的任務來描述工作，NICE團隊解釋，主要原因在於，這樣的方法更具靈活性，可以讓學習者更容易理解與學習。</p> <p>基本上，現在的工作角色，是由一些具體的任務組成，這些任務需要完成實際的工作。換言之，NICE框架更加關注工作角色所需要的實際任務，而不是僅僅抽象地描述知識、技能與能力。</p> <p>具體而言，工作角色不同於職位職稱，雖然一些工作角色可能與工作職稱重疊，但這主要是取決於組織指定職稱的方式；同時要知道的，工作角色也不等同於職業，兩者是不同的概念。例如，一個工作角色可以對應到許多不同的職稱，相反地，一個職稱可能也需要擁有多個工作角色的技能才能擔任。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖１）2020版NICE框架.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96%EF%BC%91%EF%BC%892020%E7%89%88NICE%E6%A1%86%E6%9E%B6.jpg" style="width: 600px;" /></a></p> <p><strong><span style="color:#FF8C00;">以「任務」、「知識」與「技能」為核心的模組建構方法</span>　美國NIST在2020年11月發布的<a href="https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-181r1.pdf">SP 800-181 r1，也是第四版的NICE網路安全人才框架（NICE Framework）</a>，將原有內容簡化，以模組化、易於使用為出發，使用「任務」描述所要完成的工作，以「知識」與「技能」描述執行該工作時學習者所需的要求，並聚焦於學習者行動上的展現，而這三項基礎要素合稱為TKS。圖片來源／NIST</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站BOX圖）2020版NICE框架.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99BOX%E5%9C%96%EF%BC%892020%E7%89%88NICE%E6%A1%86%E6%9E%B6.jpg" style="width: 600px;" /></a></p> <p><strong><span style="color:#FF8C00;">靈活應用NICE框架，可自行建立任務、知識、技能的項目</span>　NICE框架的基礎構成要素，是任務、知識與技能（TKS）的陳述語句，NICE團隊指出，組織與個人依據自身需求，使用既有的TKS內容，或是自行新增。因此，他們也給出建立這些描述的基本原則。</strong></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962A%EF%BC%892020%E7%89%88NICE%E6%A1%86%E6%9E%B6.jpg" style="width: 600px;" /></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖2）2020版NICE框架(2).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%962%EF%BC%892020%E7%89%88NICE%E6%A1%86%E6%9E%B6(2).jpg" style="width: 600px;" /></a></p> <p><strong><span style="color:#FF8C00;">透過評估稱職度的組織方式，讓TKS的運用變得更靈活</span>　為了讓NICE框架更易於使用，除了具有以任務、知識、技能組成TKS的基礎要素，NICE團隊還提出稱職度（Competency）的概念，用以幫助組織評估學習者是否達到所需能力，此一概念顯然為框架本身帶來了更多應用彈性。例如圖左的組織架構，就是說明可透過稱職度來定義職位描述，圖右則是說明以稱職度來定義證照（證照或學位）。圖片來源／NIST</strong></p> <h2><strong>以模組化重新出發，並能利用團隊概念解決複雜挑戰</strong></h2> <p>總而言之，在這樣的NICE框架形式之下，能更好展現模組化概念，這意味著：無論職稱是什麼，身處職場的學習者，都需在不同角色執行許多任務。</p> <p>也就是說，對於學習者而言，應了解自己所負責的工作角色和其中的任務，可以更容易理解和培養自己所需要的知識與技能。</p> <p>另外，NICE框架也不會去定義類似基本、中階、高階這樣的熟練程度，如果有需要，這些屬性會透過其他模型或資源來展現。</p> <p>最後，還有個團隊（Team）的概念也相當值得一提。畢竟，許多組織常運用集體力量，將具有互補技能與經驗的個人進行編制，以團隊來解決複雜挑戰。因此，在使用方法上，團隊可以使用工作角色或稱職度來定義。</p> <p>特別的是，在此文件中也用一個簡單的例子，來說明規畫資安團隊的運用。其設想情境是要建立一個網路安全小組，並依據NIST CSF五大核心功能畫分，以制定團隊中的5個工作角色。</p> <p>此時，可參考2017版框架分類出的52個工作角色，做為範本，從中選取3個角色，分別是安全控制評估專家、網路防禦分析師、網路防禦事件應變人員，以對應保護、偵測、回應。</p> <p>另外，則是自行新建立兩個工作角色，取名為風險管理師、溝通協調專家，對應識別與復原的部分。而從這樣的例子來看，也顯現NICE框架是可以自行活用的。</p> <p>另外，我們看到NIST也提供一些使用案例，例如，位於美國馬里蘭州的摩根州立大學，將NICE框架用於課程開發，使學生可以做好KSA的準備，進而縮短從學習到工作的過渡；位於澳洲坎培拉的新南威爾斯大學，將之用於培訓與教育課程，希望透過NICE框架，準確匹配學生期望與學校交付的內容。</p> <p>摩根大通公司將之用於企業人力發展和流動，希望讓人員更清楚地瞭解自己在現有工作中，以及未來職業發展中的優勢和發展機會，同時企業可根據員工的評估結果來提供相關的培訓建議。Lynx Technology Partners公司也是很好的案例，他們幫助客戶了解並降低可能面臨的風險，而這也包括能力差距相關的潛在危險，因此，適合能力評估與職業路徑的NICE框架，被他們用於開發全面的能力計畫。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）2020版NICE框架.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%892020%E7%89%88NICE%E6%A1%86%E6%9E%B6.jpg" style="width: 600px;" /></a></p> <p><strong><span style="color:#FF8C00;">工作角色轉變為以具體任務組成，隸屬框架最上層</span>　工作角色在新版NICE框架重新被定位，不再是以知識、技能、能力來定位工作角色，而是以任務來描繪工作角色。同時，要釐清的是，這裡所定義的工作角色，不等同於工作職稱（儘管一些工作角色仍會有重疊情況），這也顯現NICE框架更加關注工作角色所需要的實際任務。圖片來源／NIST</strong></p> <p> </p> <h2 class="rtecenter"><span style="color:#0099ff;"><strong>針對NICE框架的「稱職度」，未來將提供更多補充資源</strong></span></h2> <p><a href="https://s4.itho.me/sites/default/files/images/（BOX2圖）NICE NISTIR 8355.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88BOX2%E5%9C%96%EF%BC%89NICE%20NISTIR%208355.jpg" style="width: 600px;" /></a></p> <p>關於前述提到的稱職度，除了在NIST SP 800-181 r1有基本的描述，另外我們注意到，NICE組織還有額外的計畫，他們在2021年開始制定<a href="https://csrc.nist.gov/publications/detail/nistir/8355/draft">NISTIR 8355的草案</a>，其內容就是聚焦NICE框架稱職度（NICE Framework Competencies）。</p> <p>基本上，這個NICE框架稱職度的內容，就是希望進一步提供更多的參考資源與報告，以利於評估學習者的網路安全工作，將TKS這些基礎要素群組化，形成更高層次的能力陳述語句，此外，同時發布的還有一份建議稱職度領域的初步清單。現階段，NISTIR 8355還在發展中，以2023年4月而言，我們已經看到發布第二版草稿。圖片來源／NIST<br /> </p> <p><strong style="font-size: small; vertical-align: top; background-color: rgb(247, 247, 247); color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif;"><span style="vertical-align: top; color: rgb(51, 153, 255);"><span style="vertical-align: top; font-size: 20px;">本文出自《CYBER TALENT 臺灣資安人才專刊》</span><img alt="" src="https://s4.itho.me/sites/default/files/images/CYBER%20TALENT%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E5%B0%88%E5%88%8A_%E7%B7%A8%E8%BC%AF%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 150px;" /></span></strong></p> </div></div></div>
2023/5/20 10:00作者羅正漢https://www.ithome.com.tw/news/156732
支援多種MFA，Awingu提供安全存取程式與檔案的網站入口
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/awingu-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為期超過三年的COVID-19疫情，居家辦公與混合辦公崛起，不僅支援多人協同作業的雲端服務走紅，也替提供遠端存取服務的IT應用帶來龐大商機，為此，這幾年以來，臺灣有些代理商陸續引進新的遠端安全存取解決方案，例如，去年4月，我們報導由瀚錸科技代理的remote.it，現在要介紹的是另一款由台灣二版代理的Awingu。</p> <p>其開發商Awingu是在2011年成立，總部在比利時的根特市，<a href="https://www.alludo.com/en/newsroom/press-releases/20220613-corel-acquires-awingu/?_gl=1*71xyrf*_ga*NzE4NjUwOTE2LjE2ODQ1MDg3MDk.*_ga_CEVYC7924W*MTY4NDUwODcwOS4xLjEuMTY4NDUwOTg4OS4yMC4wLjA.">2022年6月Core公司將他們買下</a>，預計將其併入2018年買下的Parallels品牌——該公司最知名的產品是個人電腦虛擬化軟體Parallels Desktop，也擁有支援多人遠端桌面存取服務的Remote Application Server（RAS），Core希望將Awingu結合RAS，提供可從任何裝置、隨時隨地皆可安全進行工作的單一登入存取平臺，並且能涵蓋傳統與雲端原生應用程式，以及檔案的存取。而在這一年的9月，Corel公司宣布改名為Alludo（可念為All You Do），Parallels名列此公司旗下的10大品牌，下轄Awingu、Parallels RAS、Parallels Desktop，到了12月，Awingu宣布推出最新版5.4。</p> <p>今年3月，台灣二版透過線上研討會形式正式對臺灣市場介紹Awingu，我們也得以一窺這套解決方案的特色。基本上，Awingu有點像VMware Workspace ONE的前身Airwatch，但它不涉及行動裝置管理（MDM）、統一端點管理（UEM）等使用者端設備管理，而是偏重在應用程式與檔案的傳遞／交付（delivery）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Awingu-Demo-Workspace.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awingu-Demo-Workspace.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Awingu-Demo5-App sessiion.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awingu-Demo5-App%20sessiion.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Awingu-Demo-Files.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awingu-Demo-Files.jpg" style="width: 600px;" /></a></p> <p>就操作方式而言，Awingu更像僅聚焦在應用程式虛擬化（Application Virtualization）或遠端存取應用程式功能（Remote Application）的這類產品或雲端服務，像是：VMware Horizon Apps、微軟Azurer Remote App（2017年8月終止服務），或是前身為Citrix Virtual Apps and Desktops service的Citrix DaaS。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/awingu-chart.jpg" style="width: 600px;" /></p> <p>而在系統建置的部分，比起上述類型的軟體型態解決方案，Awingu僅需在公司內部網路或公有雲的私有雲內部，架設虛擬應用設備作為轉接連線的閘道，員工僅需透過個人電腦的瀏覽器存取單一網站入口，即可透過RDP、CIFS、LDAP等常見的標準通訊協定，安全地連至運作在這些環境的各種新舊型應用系統與檔案儲存服務進行存取，而不需仰賴傳統VPN這類設定較為複雜的加密網路通道服務，或在個人電腦額外安裝個人端加密連線軟體。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2020-11-Awingu-take-over-pc-rooms-education.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-11-Awingu-take-over-pc-rooms-education.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AAASv2NOTITLE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AAASv2NOTITLE.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/WAASv2NOTITLE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WAASv2NOTITLE.jpg" style="width: 298px;" /></a> </p> <p>在網路連線串流的負載能力上，一臺Awingu虛擬應用設備最多可同時承擔500個RDP連線階段（至少需配置8顆虛擬處理器與8GB記憶體的資源），若需要支撐更大量的連線存取需求，原廠建議可設置3臺虛擬應用設備來處理。</p> <p>若需承擔超過100位的重度負載用戶同時上線存取——每人開啟3個RDP串流連線、10個連至反向代理的網站應用程式存取活動，以及每小時處理多個檔案，此時，可設置多臺Awingu虛擬應用設備節點組成叢集，以便分攤工作（原廠建議單一叢集的節點最好不要超過8臺），而在多臺節點並行的狀態下，會區分為3種角色：前端（負責RDP與檔案存取活動）、後端（負責稽核）、資料庫（存放Awingu組態、稽核記錄以外的資料）。</p> <p>如果要承擔超過200位用戶同時上線或為了具備高可靠性（HA）預防此項服務停擺，企業至少需建置3臺節點與外部資料庫，此時也能設置外部負載平衡器。</p> <p>在頻寬用量上，台灣二版表示，相較於市面上其他遠端應用程式串流存取產品，Awingu算是相當輕量，每個應用程式存取連線需要80 Kbps到100 Kbps（上傳與下載），存取延遲可低於350毫秒，甚至能低於60毫秒。</p> <p>相較於現行的各種遠端存取應用程式與檔案服務，Awingu最大特色是同時提供單一登入整合（SSO），以及多因素身分驗證（MFA）。以前者而言，可整合AD、LDAP，支援的身分來源（IDP），包含ADFS、Azure AD、Google ID等，它們都是支援SAML v2或OpenID Connect。若使用SAML來驗證，此時還可通過上述基礎IDP驗證後，再進行中介IDP的驗證，例如能搭配另一家資安廠商Opswat的產品來查驗身分，以策安全。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Awaingu-preauthentication.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awaingu-preauthentication.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Awingu4_3-SSO0.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awingu4_3-SSO0.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Awingu4_3-SSO1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awingu4_3-SSO1.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Awaingu-preauthentication2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awaingu-preauthentication2.jpg" style="width: 600px;" /></a></p> <p>而在MFA的部分，Awingu可支援雜湊訊息認證碼、基於計數器而更動認證因子的動態密碼（HMAC-based One-time Password，HOTP），或基於時間而成的動態密碼（Time-based One-time Password，TOTP）。</p> <p>目前可提供這類身分認證的軟體工具選擇不少，以手機App而言，最知名的有Microsoft Authenticator、Google Authenticator，資安廠商Sophos、雲端通訊服務業者Twilio也提供這類軟體，前者有Sophos Authenticator，後者推出可安裝在Windows、Linux、macOS的Authy，這些均可用於Awingu。</p> <p>除此之外，Awingu也支援智慧卡，目前已測試通過4種：比利時電子身分證（eID）、荷蘭Dutch UZI pass、義大利InfoCert Business Key、歐洲Isabel SmartCard。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Awingu-MFA-back.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awingu-MFA-back.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Awingu-MFA-front1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awingu-MFA-front1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Awingu-MFA-front2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awingu-MFA-front2.jpg" style="width: 298px;" /></a></p> <p>而在能夠進行遠端存取的應用程式上，Awingu目前支援串流及網站等兩種類型，前者可囊括RDP應用程式、桌面應用程式（非指令型應用程式）、遠端應用程式（RDP協定的延伸），後者則有網站應用程式與套用反向代理的網站應用程式。管理者若要將這些應用程式納入Awingu，可手動透過網頁介面逐一設定，或匯入CSV檔而能一次設定多個應用程式。若要自動安裝、設定、管理，Awingu也提供REST API。</p> <p>關於一般使用者的遠端存取操作與管理功能，Awing還提供多個實體螢幕對應多個瀏覽器視窗的配置、應用程式連線階段列印（虛擬印表機）、應用程式連線階段畫面共享，以及使用全程的稽核記錄（Application Recording，錄製檔案可存放在Awingu虛擬應用設備的本機硬碟，或是管理者定義的後端伺服器）。</p> <p>在稽核記錄的收集上，Awingu可涵蓋的範圍相當廣泛，包括：使用者、應用程式、網站應用程式、共享應用程式、身分來源等連線階段，應用程式閘道、檔案存取動作（透過Awingu網站入口操作的檔案），以及各種異常活動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Awingu-Application Recording0.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awingu-Application%20Recording0.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Awingu-Application Recording.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awingu-Application%20Recording.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Awaingu-recording-App.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/Awaingu-recording-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awaingu-recording-web.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Awaingu-recording-App sessions.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awaingu-recording-App%20sessions.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Awaingu-recording-shared App session.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Awaingu-recording-shared%20App%20session.jpg" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Awingu 5.4</strong><br /> ●代理商：台灣二版<br /> ●建議售價：同時上線帳號1年訂閱授權，最低需購買20個授權，每個授權為4,262元<br /> ●建置方式：需設置虛擬應用設備，系統需求為2顆vCPU、4 GB記憶體、80 GB硬碟空間<br /> ●虛擬應用設備支援平臺：微軟Hyper-V 2016與2019、VMware ESXi 6.5至7.0、KVM、Citrix Hypervisor 8.2、AWS Amazon EC2、微軟Azure、Google Compute Engine<br /> ●支援資料庫系統：微軟SQL Server 2016、2017、2019，PostgreSQL 9.4以後版本</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/5/19 23:10作者李宗翰https://www.ithome.com.tw/review/155887
1Password推出通行密鑰無密碼登入解決方案Passage
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>密碼管理器開發商1Password積極支援通行密鑰（Passkey）技術，除了<a href="https://www.ithome.com.tw/news/155482">密碼管理器逐漸轉向通行密鑰無密碼驗證方式</a>外，現在還推出通行密鑰登入解決方案<a href="https://blog.1password.com/passage-by-1password/">Passage</a>，供企業在應用程式和網站中提供無密碼登入支援。</p> <p><a href="https://www.ithome.com.tw/news/150793">通行密鑰受Google、蘋果與微軟，從作業系統和瀏覽器上大力支援</a>，讓使用者可以不需要輸入密碼，就能夠快速登入網站和應用程式。通行密鑰提供了一種比傳統密碼還簡單且安全的登入方法，可以有效降低暴力破解或是網路釣魚等攻擊風險。</p> <p>藉由通行密鑰，應用程式或網站讓使用者在自己受信任的裝置上，以生物識別技術進行身分驗證，像是iPhone的Touch ID或Windows Hello，就能夠方便登入。通行密鑰無密碼登入方法具有許多優點，包括能夠大幅提升使用者體驗，使用者不再需要記住或是輸入密碼，使用慣用裝置就能簡單地進行身分驗證。</p> <p>另外，安全性更是一大重點，除了可以避免特定網路安全風險外，因為應用程式和網站不再需要儲存用戶密碼，因此即便資料洩漏，攻擊者也無法取得登入機密，進而提升整體系統安全性。</p> <p>但通行密鑰無密碼驗證系統的建置，比傳統密碼登入系統還多了一些額外複雜性，企業需要處理平臺相容性、帳戶恢復等問題，而1Password透過提供Passage服務，試圖降低用戶添加無密碼身分驗證的障礙，官方表示，Passage用戶只要添加兩行程式碼，就能夠在網站和應用程式提供無密碼登入功能。</p> <p>Passage包含Passkey Complete和Passkey Flex兩種方案。Passkey Complete適合想完全拋棄傳統密碼的企業，Passkey Complete可以取代企業現有登入流程的解決方案，不需要使用自家身分驗證基礎設施，並預設提供通行密鑰登入，同時也能夠支援其他無密碼驗證方法，以及帳戶恢復功能。Passkey Complete還能儲存用戶和身分驗證資料，扮演身分提供者（IdP）的角色。</p> <p>1Password推出的另一項服務是Passkey Flex，向無法完全使用無密碼登入的企業，提供一個過渡解決方案，Passkey Flex同時提供通行密鑰、傳統密碼和各種身分驗證方法，通行密鑰僅作為一種登入方法的選擇，企業可以在走向完全無密碼登入之前，嘗試向自家使用者提供無密碼登入體驗。</p> <p>目前Passkey Complete和Passkey Flex都已進入公開測試階段，供使用者整合到自家系統中，提供無密碼登入功能。</p> </div></div></div>
2023/5/19 19:22作者李建興https://www.ithome.com.tw/news/156957
【資安日報】5月19日，臺灣4月上旬出現惡意郵件、惡意軟體攻擊翻倍爆增的情況
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國不斷對臺灣文攻武嚇，連帶對臺的網路攻擊也出現增加的現象。其中資安業者Trellix揭露2起發生在4月上旬的大規模攻擊行動，駭客在短短的2至3天之內，對臺灣散布較往常多出數倍的惡意郵件、惡意軟體，且針對各行各業而來，而使得他們公布他們看到的釣魚郵件內容，提醒我國民眾要多加留意。</p> <p>蘋果再度修補零時差漏洞，值得留意的是這次的範圍不光是手機、平板、Mac電腦，亦涵蓋手錶、Apple TV等裝置。由於這些漏洞已被用於攻擊行動，使用者應儘速升級新版作業系統。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.trellix.com/en-us/about/newsroom/stories/research/china-taiwan-tensions-spark-surge-in-cyberattacks-on-taiwan.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣在4月上旬遭到中國駭客惡意郵件、惡意軟體攻擊爆增</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/china-taiwan-tensions-spark-surge-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/china-taiwan-tensions-spark-surge-4.jpg" style="width: 300px; float: right;" /></a>資安業者Trellix提出警告，隨著臺海的緊張情勢不斷升溫，他們在最近幾個月觀察到中國對於臺灣的網路攻擊明顯增加，其中包含了惡意郵件和惡意軟體的態勢變化。</p> <p>針對惡意郵件的部分，研究人員在4月7日至10日，發現攻擊臺灣的此類郵件數量爆增為4倍，且有別於平時駭客偏重於IT產業、製造業、物流業，這段時期駭客廣泛對於各種產業發動攻擊。此外，他們也在1月最後1週看到針對臺灣政府官員的惡意郵件暴增了30倍，但不確定是否為中國資助的駭客所為。</p> <p>而針對惡意軟體的部分，研究人員看到PlugX的攻擊行動於4月10日至12日，較平時激增15倍，此外他們也發現其他針對臺灣的惡意軟體攻擊行動，這些惡意軟體包括了Kryptik、Zmutzy，以及Formbook等。</p> <p><a href="https://25608397.fs1.hubspotusercontent-eu1.net/hubfs/25608397/Report-Dark-Web-Threats-Against-The-Energy-Industry.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客兜售能源組織的工控與OT系統的初始存取管道</span></strong></a></p> <p>資安業者Searchlight Cyber指出，他們自2022年2月至2023年2月，在網路犯罪論壇、黑市的討論區裡，發現許多能夠存取能源機構的初始入侵資訊，這些存取目標組織的管道包含了遠端桌面連線（RDP）、外洩的帳密資料，以及網路設備的漏洞等，根據目標組織的規模、地點、發動供應鏈攻擊的難度，買家開價從20美元至2,500美元不等。這些能源組織包含了美國、加拿大、英國、義大利、法國、印度的石油、天然氣、再生能源業者。</p> <p>値得留意的是，雖然大部分是針對目標組織的IT環境而來，但研究人員指出，他們看到有專門針對工控系統（ICS）及操作科技（OT）環境而來的攻擊資訊，這些兜售的資料包括了物聯網搜尋引擎Shodan的搜尋結果、漏洞利用的資訊，甚至能讓攻擊能力不強的駭客入侵這類系統。</p> <p><a href="https://www.secureworks.com/research/the-growing-threat-from-infostealers"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">地下市集兜售的事件記錄資料激增670%</span></strong></a></p> <p>資安業者Secureworks揭露竊資軟體攻擊氾濫的現象，他們在駭客兜售竊得個資的地下市集Russian Market、Genesis Market、2easy等管道進行觀察，結果發現規模最大的Russian Market，從2022年6月200萬筆求售的事件記錄資料，在2023年2月下旬已超過500萬筆，研究人員指出，該市集在2年的時間裡，刊登出售的事件記錄資料的數量成長約670%。</p> <p>這些資料主要是透過Racoon、Vidar、RedLine等竊資軟體偷到，但自2022年12月開始，也有少部分資料是來自名為RisePRO的竊資軟體。</p> <p>此外，由於美國聯邦調查局（FBI）於今年4月開始掃蕩Genesis Market，有不少買家改以加密通訊軟體Telegram出售竊得的事件記錄資料。</p> <p><a href="https://news.sophos.com/en-us/2023/05/17/fleecegpt-mobile-apps-target-ai-curious-to-rake-in-cash/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客假借ChatGPT名義散布騙錢軟體FleeceGPT</span></strong></a></p> <p>資安業者Sophos揭露駭客假借提供ChatGPT聊天機器人名義的攻擊行動FleeceGPT，駭客號稱他們提供的手機App，採用了ChatGPT演算法，但實際上是透過原本ChatGPT是免費的功能，企圖要使用者付費，進而達到騙錢的目標。</p> <p>其中一款安卓版名為Chat GBT、iOS版名為Ask AI Assistant的FleeceGPT軟體，3月份就騙走了1萬美元，另一款名為Genie的騙錢軟體，過去1個月更是騙走100萬美元。研究人員提出警告，雖然他們通報後Google、蘋果已下架上述的FleeceGPT騙錢軟體，但如果使用者不慎付錢訂閱付費功能，也要進行取消才不會一直被扣款。</p> <p><a href="https://www.trendmicro.com/en_us/research/23/e/lemon-group-cybercriminal-businesses-built-on-preinfected-devices.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">近9百萬臺安卓裝置恐預載了惡意軟體Guerrilla</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure3-black-hat-lemon-group-monetizing-preinfected-mobile-devices.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure3-black-hat-lemon-group-monetizing-preinfected-mobile-devices.png" style="width: 300px; float: right;" /></a>資安業者趨勢科技於今年黑帽大會亞洲場（Black Hat Asia 2023）上，揭露可能會影響數百萬臺安卓裝置的攻擊行動，這些裝置的ROM被預先載入了惡意軟體，而使得駭客能藉由用戶的簡訊、社群網站帳號來牟利，或是向用戶發送廣告甚至是在背景利用裝置來進行點擊詐欺活動。而他們在1個星期後公布了更多細節。</p> <p>發起這個攻擊行動的背後主使是名為Lemon Group的駭客組織，他們約自2018年，開始利用惡意軟體Guerrilla發動攻擊，一旦含有此惡意軟體的安卓裝置啟動，就會載入駭客的下載程式zygote，進而下載、執行其他的功能模組。例如，可從簡訊攔截WhatsApp、臉書、購物應用程式京東的動態密碼，或是針對瀏覽器Cookie、即時通訊軟體WhatsApp進行攔截的功能模組──這些模組有可能冒用使用者的名義來發送廣告。此外，攻擊者還可以藉此在背景派送其他App的安裝程式。</p> <p>研究人員指出，他們在黑帽大會公布此事時，約有近900萬臺裝置遭到駭客入侵，這些裝置遍布全球逾180個國家，且有超過半數是在亞洲，雖然這些裝置大部分是手機，但也有智慧電視、電視盒、兒童手表等。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/apple/apple-fixes-three-new-zero-days-exploited-to-hack-iphones-macs/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果發布iOS 16.5、macOS Ventura 13.4，修補3個已出現攻擊行動的WebKit零時差漏洞</span></strong></a></p> <p>5月18日蘋果針對旗下的行動裝置、電腦、穿戴裝置發布iOS 16.5、iPadOS 16.5、macOS Ventura 13.4、tvOS 16.5、watchOS 9.5等作業系統更新，並對於舊版macOS作業系統提供Safari 16.5，當中修補了3項已出現攻擊行動的零時差漏洞，分別是可被用於突破網頁內容沙箱CVE-2023-32409、資訊洩露漏洞CVE-2023-28204，以及可被用於執行任意程式碼的CVE-2023-32373。</p> <p>值得留意的是，這些漏洞都與Safari瀏覽器的網頁排版引擎WebKit有關，影響層面相關廣泛。附帶一提，若是iPhone、iPad、Mac電腦用戶在本月初安裝了快速安全回應（Rapid Security Response）更新，當中已修補CVE-2023-28204與CVE-2023-32373。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/cisco-warns-of-critical-switch-bugs-with-public-exploit-code/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">思科交換器出現重大漏洞，可被用於遠端執行任意程式碼</span></span></strong></a></p> <p><a href="https://github.com/vdohney/keepass-password-dumper"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">開源密碼管理器KeePass出現漏洞，攻擊者有可能藉此取得主控密碼</span></span></strong></a></p> <p><a href="https://www.securityweek.com/teltonika-vulnerabilities-could-expose-thousands-of-industrial-orgs-to-remote-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Teltonika Networks工控LTE路由器存在漏洞，若不修補恐成為駭客入侵企業的管道</span></span></strong></a></p> <p><a href="https://ccdcoe.org/news/2023/the-nato-ccdcoe-welcomes-new-members-iceland-ireland-japan-and-ukraine/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">烏克蘭、愛爾蘭、日本、冰島加入北約網路防禦卓越中心</span></span></strong></a></p> <p><a href="https://www.linkedin.com/posts/yelisey-bohuslavskiy-214a02bb_royal-ransomware-apt-activity-7064301345599565824-EwaW/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體Royal著手打造惡意軟體載入工具</span></span></strong></a></p> <p><a href="https://www.group-ib.com/blog/qilin-ransomware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體Qilin改以程式語言Rust開發，鎖定教育、醫療、金融產業而來</span></span></strong></a></p> <p><a href="https://www.trendmicro.com/en_us/research/23/e/water-orthrus-new-campaigns-deliver-rootkit-and-phishing-modules.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體CopperStealer透過Chrome瀏覽器外掛程式散布，盜走受害者的加密貨幣</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156942">【5月18日】要求受害組織作公益的勒索軟體再度出現，這次是鎖定Zimbra郵件系統而來</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156930">【5月17日】駭客利用Go語言開發的Cobalt Strike發動攻擊的情況升溫</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156905">【5月16日】財政部電子發票平臺驚傳資安漏洞，恐曝露上市櫃公司營業資料</a></strong></p> </div></div></div>
2023/5/19 16:00作者周峻佑https://www.ithome.com.tw/news/156961
OpenAI在蘋果App Store正式上架ChatGPT，目前僅限美國地區
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI於昨日（18日）<a href="https://openai.com/blog/introducing-the-chatgpt-app-for-ios">宣布</a>在蘋果App Store上推出官方的ChatGPT應用程式。憑藉這個應用程式，使用者可以更簡單地利用行動電話就與ChatGPT進行對話，以獲得資訊、娛樂、創作靈感，或是處理日常工作任務，同時，可以同步ChatGPT網頁版的歷史紀錄。</p> <p>在ChatGPT上市六個月後，其應用程式緊接著發佈，它免費且目前沒有廣告，也整合了OpenAI 開源的語音轉換文字技術Whisper，能透過語音輸入使用。而ChatGPT Plus的訂閱者可以享受與網頁版本Plus相似的功能，如GPT-4、提早使用新功能，以及更快的回應時間。此訂閱功能於2月推出，需付20美元月費。</p> <p>同樣在這周，OpenAI的CEO才於國會為AI將對社會可能帶來的風險做保證，他將當前的科技繁榮描述為可能像是過去印刷機為文藝復興以及社會帶來的變革（printing press moment），但也強調了需要相應的保護措施。</p> <p>此應用程式首先在美國推出，並計畫於未來幾周內推展到其他國家。OpenAI的部落格中說「我們很期待看到用戶如何使用該應用程式。在收集用戶反饋的同時，我們承諾將持續改進ChatGPT的功能和安全性。」OpenAI也指出了未來也將很快為Android設備推出ChatGPT應用程式。</p> <p>據《The Verge》<a href="https://www.theverge.com/2023/5/18/23728703/openai-chatgpt-app-ios">報導</a>，在手機使用Open AI的相關服務過去一直是微軟Bing的應用程式，因此官方ChatGPT應用程式的上市很可能分散本來使用Bing和Edge的部分用戶。它的推出也預計能阻止人們在手機誤裝聲稱聊天機器人卻是詐騙或是假的應用程式。</p> <p>然而同樣地，ChatGPT手機版和網頁版一樣也存在安全問題，即使Open AI已經於4月表達作出改善，例如每個人都能夠自己選擇將資料關閉不參與演算法，也就是說OpenAI將會是合法拿到資料做處理以訓練ChatGPT。</p> </div></div></div>
2023/5/19 11:38作者洪予揚https://www.ithome.com.tw/news/156954
蘋果修補3個已遭攻擊的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.apple.com/en-us/HT201222" target="_blank">蘋果本周四（5/18）釋出安全更新</a>，修補旗下平臺的眾多安全漏洞，其中有3個漏洞已遭到駭客攻擊，它們全都位於WebKit中，影響Safari瀏覽器、iOS、iPadOS、watchOS、tvOS，以及最新的macOS Ventura作業系統。</p> <p>WebKit是蘋果於1998年發表的瀏覽器引擎，它除了被應用在Safari瀏覽器上，蘋果也要求iOS及iPadOS上的所有瀏覽器都必須使用WebKit。</p> <p>這3個已遭到攻擊的漏洞分別是CVE-2023-32409、CVE-2023-28204及CVE-2023-32373，其中，CVE-2023-32409是由Google及Amnesty International所發現，將允許遠端駭客突破Web Content沙箱。</p> <p>後兩個漏洞都是匿名提交，CVE-2023-28204為越界讀取漏洞，在WebKit處理網頁內容時，可能揭露敏感資訊，CVE-2023-32373則屬釋放後使用漏洞，在WebKit處理惡意網頁內容時，可能導致遠端程式攻擊。</p> <p>蘋果並未揭露相關漏洞遭到攻擊的細節，僅說已收到它們被攻擊的報告。</p> </div></div></div>
2023/5/19 11:45作者陳曉莉https://www.ithome.com.tw/news/156955
沃達豐與BT集團雙雙計畫縮減人力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國兩大電信業者沃達豐（Vodafone）及BT集團（BT Group，原英國電信）都在本周宣布了裁員計畫，其中，沃達豐預計在未來3年裁撤1.1萬名員工，BT集團則打算要在2028~2030年之前，將現有的13萬名人力減少至7.5萬~9萬名，人力縮減幅度高達30%~42%。</p> <p>沃達豐與英國電信都是總部設於英國，但營運跨及全球市場的大型電信業者，雙方皆於本周發布了截至今年3月底的2023財年財報。</p> <p><a href="https://investors.vodafone.com/sites/vodafone-ir/files/2023-05/Vodafone-FY23-Results-Announcement.pdf" target="_blank">沃達豐的財報率先於周二（5/16）出爐</a>，其年度營收為457億歐元，比前一年成長0.3%。沃達豐執行長Margherita Della Valle表示，該公司的表現還不夠好，因而必須改變，包括將簡化組織，減少複雜性以重建競爭力。因此，沃達豐計畫在未來3年將裁撤1.1萬個職位，約占該公司總員工數的10%。</p> <p><a href="https://newsroom.bt.com/results-for-the-full-year-to-31-march-2023/" target="_blank">BT集團則在周四（5/18）發布財報</a>，這一年該集團創下207億歐元的營收，比前一年下滑了1%。該集團顯然也對這樣的結果不甚滿意，因而計畫在2028~2030年之前，裁撤逾30%的員工。</p> <p>BT集團執行長Philip Jansen表示，未來該集團將努力簡化架構並把任務數位化，到了2020年代的末期，BT集團所仰賴的會是更少的勞動力與更低的成本基礎，成為一家更精簡的企業並擁有更光明的未來。</p> </div></div></div>
2023/5/19 11:56作者陳曉莉https://www.ithome.com.tw/news/156956
Amazon計畫在印度投入127億美元以打造AWS基礎設施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://press.aboutamazon.in/news-releases/news-release-details/aws-invest-inr-105600-crores-us-127-billion-cloud-infrastructure" target="_blank">Amazon周四（5/18）宣布</a>，繼於2016年至2022年間於印度市場投入37億美元之後，在2030年前會再於當地投資127億美元，打造AWS於印度的雲端基礎設施，以迎合印度客戶對雲端服務的需求。此外，Amazon也估計此一投資將替印度創造13.17萬個工作機會，涵蓋建築、設施維護、工程、電信與其它等。</p> <p>目前AWS在印度有兩個隸屬於亞太地區的資料中心基礎設施，分別是在2016年啟用的孟買區域，以及甫於去年11月啟用的海得拉巴（Hyderabad）區域，前者的投資金額即為37億美元，且已替印度帶來3.95萬個工作機會。</p> <p>Amazon在印度的這兩項雲端基礎設施投資，不僅替當地創造了大量的工作機會，對印度國內生產毛額的貢獻分別達到46億美元與233億美元。</p> <p>負責電子與資訊科技的印度部長Rajeev Chandrashekhar表示，印度的雲端及底層的資料中心基礎設施為印度數位化架構及生態體系的重要元素，歡迎AWS注資127億美元以擴張於當地的資料中心，此舉將可催化印度的數位經濟。</p> <p>其實去年底AWS在啟用位於海得拉巴的第二個印度資料中心時，只宣布要在2030年以前於南亞市場投資44億美元，此次卻擴大投資至127億美元。</p> <p><a href="https://www.idc.com/getdoc.jsp?containerId=prAP49916322" target="_blank">根據IDC的估計</a>，印度公有雲服務每年成長率可達23.1%，到了2026年將達到130億美元的市場規模，主要是因為各數位服務及組織發現雲端可協助它們轉型，並可透過強大的雲端服務加速產品及服務的上市腳步。</p> <p>因此，不僅是Amazon，Google在印度也設置了2個雲端區域，微軟則有3個。AWS現為印度最大的雲端服務供應商，在當地擁有許多重量級客戶，包括印度的電子及資訊科技部，公共醫療機構 Aarogyasri Health Care Trust，以及Ashok Leyland、Axis Bank、HDFC Life及Titan等大型企業。</p> </div></div></div>
2023/5/19 12:51作者陳曉莉https://www.ithome.com.tw/news/156958
Stability AI開源圖像生成模型平臺StableStudio
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名圖像生成模型Stable Diffusion開發商Stability AI，決定<a href="https://stability.ai/blog/stablestudio-open-source-community-driven-future-dreamstudio-release">開源自家文字轉圖像模型的消費端應用程式DreamStudio</a>，開發者現在已經可以在GitHub上，從名為StableStudio的儲存庫取得平臺程式碼。</p> <p>DreamStudio是Stability AI新模型和功能的主要介面，提供用戶存取包括目前最新的SDXL圖像生成模型。當初Stability AI開發DreamStudio時，便是把該應用程式設想為一個平臺，而現在他們決定開源StableStudio，來對社群產生更大的影響力。</p> <p>開源StableStudio平臺將成為由社群驅動開發的專案，透過與更廣泛的社群合作，繼續推動平臺發展。DreamStudio將會繼續作為由Stability AI託管的StableStudio實作，官方也預告，他們即將推出具有聊天界面的版本。DreamStudio的發展，已經從過去本地優先開發，逐漸轉變為擴充套件架構，使得外部開發人員更容易參與擴展。</p> <p>雖然開源StableStudio的發展方向由社群驅動，不過，官方也表示，他們會積極地在公共儲存庫投入開發能量，並且計畫設立獎金，鼓勵社群提供改進和新功能。官方計畫將在StableStudio中加入WebGPU技術支援，以加速本地端推理，並且提供桌面安裝，以及ControlNet工具等。</p> </div></div></div>
2023/5/19 06:38作者李建興https://www.ithome.com.tw/news/156953
不只克服疫情困境更開創新商模，IT助KKday轉型B2B平臺商
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>首爾往春川方向63公里處，有座南怡島，面積不大，卻擁有宜人的四季景色，每年吸引超過200萬名遊客，這裡是韓國熱門觀光景點，更是知名韓劇《冬季戀歌》的取景地。</p> <p>2年前，這座島全面導入了一套新系統，任何旅客只要用手機就能進出入島閘道口，不需要人工介入，完全零接觸。從線上購票、獲取QR碼票卷，到入口處掃描通關，全部來自同一套系統。這項改變不僅提供更便利的旅遊方式，也成了克服疫情的關鍵因素。這套系統的開發商就是來自臺灣旅遊電商KKday。</p> <p>不只南怡島，全球超過2千家商家採用這套零接觸旅遊系統，遍及700個地點，這是KKday的資訊部門一手開發的系統。長達2年多的國境封鎖的困境中，如何突圍成了旅遊業生死存亡的關鍵，對網路旅遊平臺更是如此。從B2C服務模式，轉型成輸出技術產品的B2B模式，正是KKday能夠建立營運韌性、挺過疫情危機的關鍵。</p> <p><span style="font-size:28px;"><strong>一年內從無到有打造旅遊電商平臺</strong></span></p> <p>成立於2014年的KKday，現在是亞洲最大的旅遊電商平臺，不只活躍用戶數高達900萬戶，旅遊商品種類更超過30萬種，涵蓋全球550座城市。</p> <p>KKday首席資訊長封賜彥表示，成立時兩大目標，一是實現國際化，將服務擴展到臺灣以外地區，服務更廣泛的客群；另一個是為趕上市場變化的做法，將旅遊商品零件化，來滿足旅客多元化的需求。</p> <p>「成立時只有4名員工，我是其中之一，負責IT」他回憶說，當時的首要任務是最短時間推出旅遊電商平臺。為了迅速上線，初期系統功能要求簡單，以商品上架和網站銷售功能為主。</p> <p>成員增加為10多人後，封賜彥接著將開發團隊分為兩組，分別負責不同任務，其中一組專注於Java開發，以核心API為主；另一組專注在PHP開發，負責網站架設與供應商平臺的開發。</p> <p>由於KKday主要客群為國際旅客，如何確保系統能夠適應不同國家及地區的使用者、供應商的需求，成了他們必須優先處理的問題。例如多國語言支援、時區和貨幣轉換都是成立初期的挑戰，例如得有一套即時匯率監控機制，才能提供準確的匯率轉換計算，甚至得考慮不同時區對交易時間認定的影響。</p> <p>2015年，KKday旅遊電商網站上線後，很快就接到訂單，證明這個商業模式確實可行，更加堅定了他們繼續發展的決心。接下來更不斷擴充商品種類，瞄準更多種旅客的需求。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/KKday%20CIO-2P-%E8%87%B3%E6%B5%A9-600.png" style="width: 550px;" /></p> <p><span style="font-size: 22px;"><strong><span style="color: rgb(51, 153, 255);">KKday首席資訊長封賜彥表示，對旅遊業IT來說，技術從來不是重要問題，真正問題是商品會變化、訂單要容納各種商品，來服務不同旅客的需求。</span></strong></span><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">攝影／洪政偉</span></span></p> <p>經過幾年發展，KKday提供的旅遊配套活動零件的種類越來越多元化，從海外潛水、戶外攀岩、料理課程、私房景點，到一日遊、票券、包車旅遊、機場接駁等都有。然而，為了快速上線，KKday一開始沒有明確區分不同商品種類，導致商品管理系統所使用的資料庫結構和欄位的設計缺乏彈性，隨著上架的商品越來越多元且多樣化，這樣的結構設計限制了他們能夠提供的商品種類，也不易擴充商品的屬性欄位。</p> <p>封賜彥指出，過去設計，所有商品採用相同資料欄位設計，在某些情況下可能會造成問題，例如原本預設的商品資料欄位中，欠缺了商品需要的額外資料，無法線上搜集，團隊必須透過人工方式向客戶進行詢問，這樣來回溝通方式，不僅耗費時間，也很沒效率。</p> <p>或像特定商品的屬性機制，有時必須考慮到多種使用方式或是多個目的地的情況。例如租車服務，KKday最初的商品欄位設計只考慮單一地點，即一對一的關係，就無法支援像甲地租乙地還，這種需要兩個地點或多地點關係的商品。</p> <p>為了解決這個問題，資訊團隊花了一年改善，建立了統一的旅客規格標準，可以在訂單處理流程中容納不同商品類別所需的特殊資料，同時也調整了資料庫結構，包含能夠支援多個地點的商品服務。</p> <p>優化商品資料結構的設計，不只擴大KKday在跨境商品種類的覆蓋範圍，更在疫情期間邊境封鎖時，能夠快速跨入國內旅遊市場，上架多種區域旅遊的商品。「通過調整商品結構，已經能夠涵蓋各種複雜的商品結構，也包含國旅商品。」封賜彥表示。</p> <p>這場疫情大大衝擊KKday，最慘時期營收僅剩一成。KKday借助IT快速調整策略，轉向國旅市場，不只渡過疫情危機，疫後營收更創新高。</p> <p><span style="font-size:28px;"><strong>靠IT快速調整策略，克服疫情困境加速營運轉型</strong></span></p> <p>長久以來，KKday高度依賴供應商，才能在平臺上提供各種旅遊商品。但這些供應商多是小型商家，不像一些大型觀光或飯店業者擁有自己的IT系統，因此，KKday過去必須依賴人工處理每筆訂單。</p> <p>為了提升供應商自動化程度，2018年時，KKday資訊部門乾脆自己開發一套供應商專用的預約系統rezio。這套系統是以雲原生容器架構進行開發，具有高度擴展性，更容易客製支援不同國家或供應商的需求。</p> <p>消費者下單後，預約系統能立即產生訂單QR碼，作為入場憑證，也透過API串接，將QR碼拋轉到KKday訂單系統中，省去了人工產生和上傳QR碼所需的作業時間，消費者不用像過去得等待多天才能取得憑證。店家透過專用App掃描顧客手機的QR碼就能核銷。甚至不只管理KKday訂單，供應商也可查看和管理在其他通路上架的商品訂單和庫存。</p> <p>疫期期間，KKday還整合了電子憑證、電子閘門、自助售票機等功能到rezio系統，達到從線上購票、提供票券QR碼，到實體入口通關全流程的零接觸操作。</p> <p>有了這套系統，不只讓KKday能調整策略來應對零接觸旅遊商機，更開始跨入B2B新的商業模式，成為OMO旅遊整合方案的服務商。</p> <p><span style="font-size:28px;"><strong>結合自動化維運部署方式，來快速調度應對突發性流量需求</strong></span></p> <p>KKday成立第一天就決定全面上公雲，將所有系統和服務部署在雲端上，隨著使用人數的增加，平臺流量跟著持續成長，尤其行動App推出不到一年，流量就超過了網站，遇到旅遊旺季與行銷活動期間時，就可能出現流量暴增，對維運管理團隊帶來不小的考驗。</p> <p>「過去常發生，行銷部門沒提前與IT溝通就舉辦活動，導致活動開始後網站流量瞬間飆高而癱瘓，」封賜彥表示，以往大多由IT人員根據過往需求調整資源配置，例如增加虛擬機器數量或加大其他資源，但這樣的做法，沒辦法有效應付臨時性或突發性的調整需求。</p> <p>因此在維運管理上，KKday後來逐漸結合自動化部署方法，取代手動調整，讓程式可以根據流量多寡來自動調高或縮減VM數量，來快速因應行銷活動帶來的流量變化，「即使很難預估流量，現在也能夠在10多分鐘內反應。」封賜彥說。</p> <p>除了維運部署越來越自動化外，KKday的資訊團隊在應用軟體開發上很早就引進了敏捷思維，建立DevOps團隊，導入了CI/CD的自動化流程，以加快開發與部署的速度。不過，與其他企業的開發團隊做法不同的是，他們特意將CI和CD這兩個流程分開，而不是將它們合併在一起。</p> <p>封賜彥解釋，由於需要測試的商業項目眾多，一個功能更新可能涉及使用者和內部訂單作業等多方面問題，並且得跨不同服務團隊協作。例如供應商要新增潛水鞋給顧客，顧客得在下訂單時先輸入尺寸，再匯整給供應商事前準備。一方面，供應商服務團隊需要修改供應商資料庫的資料欄位，而前臺開發團隊則需要修改電商平臺的介面，若將CI與CD合併，供應商服務團隊開發完成後直接上線，可能會對正式環境的前臺服務產生影響。「將CI與CD分開，可以有不同的測試及上版順序過程，也能確保所有功能經過整合測試驗證後才進行部署。」他強調。</p> <p>2017年時，KKday資訊團隊中更開始設立SRE（網站可靠性工程）維運角色。封賜彥表示，雲端管理比地端更加複雜，非常仰賴程式設計的知識，所以需要有程式開發經驗的人才，但使用DevOps這個名詞，並不能完全表達其工作內容，直到SRE出現，更加明確地定義了這個角色任務，「就是讓雲端系統可以穩定且可靠。」</p> <p>KKday在2019年時進行IT組織重整，區分為技術研發處、創新研發實驗室和rezio處，分別負責RD研發、IT和rezio相關的工作。他表示，目前，在這些部門中都有各自SRE工程師，來維運和管理各自的雲端環境。</p> <p><span style="font-size:28px;"><strong>導入微服務架構，翻新現有IT架構</strong></span></p> <p>不僅如此，KKday在2018年為應對不斷增長的流量，以及越來越複雜的系統架構，決定導入微服務架構，來翻新現有IT架構。</p> <p>一般企業導入微服務，有兩種常見的服務切分方式。一個以系統功能來切分，另一個則是從商業角度來進切分。而KKday依照商業邏輯來切分微服務，確保每個微服務都能專注於特定的業務功能，更引進DDD（領域驅動設計）方法論，來幫助團隊找出商業上適合的服務元件切法方式。</p> <p>封賜彥表示，當服務功能微服務化，就變成一個業務上的服務元件，以後任何跟它的有關的服務，就可以在這個業務的微服務中來運作。「對旅遊業IT來說，技術從來不是重要問題，真正問題是，商品會變化、訂單要容納各種商品，來服務不同旅客的需求，這種商業變化，旅遊業又特別複雜，比實體商品還複雜。」他說，所以才用商業服務角度切分。</p> <p>導入微服務架構後，他們先將商品服務從原系統拆分出來，接著將商品拆分成更小的商業元件，包括商品、庫存、翻譯等。後續也完成了會員系統的分拆，僅保留預訂系統於原系統中。</p> <p>KKday目前全球會員超過700萬人，為了分析和應用龐大會員數據，建立了自己的大數據分析平臺，透過分析用戶使用行為與偏好，進一步改善營運與用戶體驗，例如分析營業額變化和市場入境旅客數據，來調整人力配置和策略。</p> <p>KKday資訊團隊對AI技術也不陌生，過去幾年，大量運用自然語言處理技術，支援人員完成商品翻譯工作，涵蓋多種語言，包括中文、英文、日文、韓文和越南文等。趁著這一波AI浪潮，他們也正在評估生成式AI，例如用OpenAI的生成式AI翻譯技術。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><span style="color:#3399ff;"><strong>KKday首席資訊長封賜彥</strong></span></p> <p>學歷：中興大學土壤環境科學所碩士</p> <p>經歷：20年旅遊電商IT經驗，曾在燦星旅遊、易飛網擔任IT主管，先後負責訂房預約系統與業務系統的開發，並有過創業經驗。過去也曾在wobibi擔任技術總監。2014年共同參與了KKday的創立，一手主導旅遊電商平臺規畫與開發，在2020年擔任首席資訊長</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>KKday</strong></p> <p>地址：臺北市內湖區新湖一路128巷15號5樓</p> <p>網址：<a href="http://www.kkday.com">www.kkday.com</a></p> <p>成立時間：2014年</p> <p>員工數：900人</p> <p>執行長暨創辦人：陳明明</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 資訊部門檔案 </span></strong></p> <p>資訊部門主管職稱：首席資訊長</p> <p>資訊部門主管姓名：封賜彥</p> <p>資訊部門名稱：創新研發實驗室</p> <p>資訊部門人數：約20多人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2015年：KKday網站上線</p> <p>2017年：KKday行動App推出上線</p> <p>2018年：導入微服務架構、開始結合數據分析做運用</p> <p>2019年：rezio預約系統推出上線、數據驅動歸因系統（DDA）正式上線、IT組織進行重整，分為技術研發處、創新研發實驗室和rezio處</p> <p>2020年：導入AI提供跨國旅遊商品語言轉譯服務</p> <p>2021年：以商家為主的KKday商城正式上線</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/kkday_cio-2p-zhi_hao_-960.jpg" width="960" height="420" alt="" title="KKday首席資訊長封賜彥　（攝影／洪政偉）" /></div></div></div>
2023/5/18 16:51作者余至浩https://www.ithome.com.tw/people/156948
Google Colab也將整合Codey模型提供AI程式開發功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布將在筆記本工具<a href="https://blog.google/technology/developers/google-colab-ai-coding-features/">Colab</a>整合Codey模型，以人工智慧技術輔助開發者編寫程式碼。Codey是以大型語言模型PaLM 2為基礎開發的衍生程式碼模型，因此開發者也能夠以自然語言向Codey提出程式碼請求，以獲得程式碼編寫協助。</p> <p>Colab是相容於Jupyter Notebook的雲端Python開發環境，用戶不須在本地進行任何設置，還能用到免費的GPU資源，並且可以簡單地將筆記本與其他人共享。Codey模型則可接收指令產生程式碼，並能夠嵌入到SDK或是應用程式中，以增加開發人員的效率，改善程式碼品質。</p> <p>Codey主要提供的功能包括程式碼完成、程式碼生成和聊天機器人。Codey可根據程式碼上下文，建議下一行程式碼，或是根據開發人員的自然語言提示生成程式碼，另外，開發人員也可以與Codey聊天機器人對話，獲得關於除錯、文件和程式碼編寫等相關資訊。</p> <p>Google針對Python和Colab用途，所訓練的輕量級版本Codey，能夠支援Colab用戶更快地編寫高品質程式碼，官方提到，Codey目前會先向美國用戶開放，並且把重點放在程式碼生成上，根據註釋或是開發者的提示，編寫整個函式，以減輕開發者編寫重複程式碼的工作。 </p> <p>可使用Codey功能的用戶，會在介面上看到生成按鈕，點按後就可輸入文字提示，並且獲得程式碼建議。開發者也可以向Codey機器人提出「如何從Google試算表匯入表格？」或是「如何過濾Pandas DataFrame？」等問題，以獲得特定任務的程式碼建議。</p> <p>除了在Colab上使用Codey模型，Google在最新的<a href="https://ithome.com.tw/news/156840">Android Studio Hedgehog</a>中，也添加了人工智慧程式碼開發助理Studio Bot，提供類似GitHub Copilot的功能，Studio Bot所使用的模型也是Codey。</p> </div></div></div>
2023/5/18 16:57作者李建興https://www.ithome.com.tw/news/156947
【資安日報】5月18日，要求受害組織作公益的勒索軟體再度出現，這次是鎖定Zimbra郵件系統而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體駭客想要劫富濟貧，要求受害者做公益來換取解密金鑰的情況，<a href="https://www.ithome.com.tw/news/151159#goodwill">1年前有個叫做GoodWill的組織</a>，受害者必須依照指示幫助窮人並公開揭露，才有機會復原檔案。而最近又有類似行徑的駭客組織出現，他們針對郵件伺服器Zimbra而來，並留下勒索訊息要求受害組織向特定的非營利組織捐款。</p> <p>針對勒索軟體「變臉（BianLian）」攻擊行動也相當值得留意，這些駭客集中心力在透過竊得的資料向受害組織勒索，並在過程中停用防毒軟體來達成竊取資料的目的。</p> <p>智慧電源插頭的漏洞竟因廠商停止支援產品維護，而無法得到相關修補！研究人員揭露Belkin第2代Wemo Mini智慧電源插頭的漏洞CVE-2023-27217，攻擊者有可能藉此發動命令注入攻擊，但開發商Belkin表示該產品生命週期已結束（EOL）而表明不予處理。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/malaslocker-ransomware-targets-zimbra-servers-demands-charity-donation/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Zimbra郵件伺服器遭到勒索軟體MalasLocker鎖定，駭客要求向非營利組織捐款換取解密金鑰</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/MalasLocker-ransom-note.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/MalasLocker-ransom-note.jpg" style="width: 300px; float: right;" /></a>資安新聞網站Bleeping Computer揭露針對郵件伺服器Zimbra而來的勒索軟體MalasLocker攻擊行動，駭客自2023年3月下旬開始出手，後續有許多受害者到Bleeping Computer及Zimbra的討論區，反映所遇到的狀況。他們表示，郵件伺服器上的郵件檔案遭到加密，而且，其共通點是駭客在這些伺服器特定路徑的資料夾裡，植入了可疑的JSP檔案，Bleeping Computer發現其中一個是以開源的Web Shell打造而成。</p> <p>資安研究團隊MalwareHunterTeam指出，駭客在加密檔案後不會更動副檔名，但是會在檔案的末端加入「檔案已被加密」的訊息，並留下勒索訊息檔案README.txt。</p> <p>特別的是，這些駭客會要求受害組織向他們指定的非營利組織捐款，以換取解密金鑰。資安業者Emsisoft看到駭客公布3家公司、169個受害組織的Zimbra組態。</p> <p><a href="https://www.bleepingcomputer.com/news/security/fbi-confirms-bianlian-ransomware-switch-to-extortion-only-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國、澳洲針對勒索軟體BianLian近期的攻擊態勢提出警告</span></strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）、澳洲網路安全中心（ACSC）發出聯合公告，指出勒索軟體駭客組織「變臉（BianLian）」採用的攻擊手法出現了變化，駭客先是透過外洩的遠端桌面連線（RDP）帳密入侵目標組織，然後部署以Go語言打造的後門程式、商用的遠端管理工具，以及用於偵察網路環境的指令碼。最終透過FTP工具、Rclone應用程式，或是藉由雲端檔案共享服務Mega外流竊得的資料。</p> <p>CISA與ACSC指出，駭客為了逃避防毒軟體偵測，他們透過PowerShell與Windows的Command Shell讓防毒軟體停止運作，並修改Windows的機碼來控制Sophos防毒軟體提供的防篡改機制。</p> <p>有別於之前的攻擊行動，這些駭客現在聚焦於將竊得的檔案當作籌碼進行勒索，未必會加密受害組織電腦裡的檔案。對此，CISA與ACSC認為，企業應加強對於遠端存取工具的管控來因應。</p> <p><a href="https://cybernews.com/security/checkmate-ransomware-victims/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體CheckMate鎖定SMB檔案共用協定而來</span></strong></a></p> <p>資安新聞網站Cybernews針對勒索軟體CheckMate近期的攻擊行動提出警告，經營此惡意軟體的駭客疑似來自俄羅斯，他們的加密貨幣錢包在今年第1季出現了數千筆收入，可能來自受害者支付的贖金。</p> <p>研究人員指出，駭客先大規模掃描網際網路，利用名為Masscan的開源工具找出缺乏保護的SMB共享資料夾，然後就會透過暴力破解的方式嘗試存取（一天50至100次），成功後利用AutoCryptor、Decryptor、ServerSmbWatcher、SmbBruteManager等工具作案，最終加密受害電腦檔案並留下勒索訊息。</p> <p><a href="https://www.mandiant.com/resources/blog/sim-swapping-abuse-azure-serial"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">部署於Azure的VM遭到鎖定，駭客濫用主控臺植入遠端管理工具進行控制</span></strong></a></p> <p>資安業者Mandiant揭露駭客組織UNC3944的攻擊行動，駭客疑似透過網釣簡訊、SIM卡挾持（SIM Swapping）的方式，取得組織Azure管理員帳號的存取權限，從而導出該租戶所有使用者的資訊，並收集Azure環境組態配置與VM資訊，甚至是加入或竄改帳號資料。</p> <p>研究人員看到駭客在成功入侵之後，利用Azure內建的診斷延伸工具CollectGuestLogs來收集情資，完成偵察後，駭客就會透過Azure環境特有的序列主控臺功能，在特定的Azure VM取得管理者權限。之後，攻擊者利用PowerShell及遠端管理工具，並部署反向SSH隧道，以便能持續存取VM。</p> <p><a href="https://blog.checkpoint.com/securing-the-cloud/malicious-vscode-extensions-with-more-than-45k-downloads-steal-pii-and-enable-backdoors/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意VSCode外掛程式恐在開發人員電腦植入遠端Shell、竊取密碼</span></strong></a></p> <p>資安業者Check Point在微軟Visual Studio Code市集VSCode marketplace上，發現3個有害的外掛程式，分別是佈景主題Darcula dark，以及python-vscode、prettiest java擴充套件。這些外掛程式的共通點在於，它們的名稱和功能看起來相當無害，但實際上都內含竊取開發者資料的功能，或是於受害電腦執行程式碼。</p> <p>其中下載量最多的是Darcula dark，該佈景主題標榜能改善Dracula程式碼在VS Code裡的顏色呈現，而能讓開發者在編寫程式碼的過程更為舒適，然而研究人員發現此佈景主題也具備竊取開發者個資的程式碼，而能收集相關資料並傳送到遠端伺服器，已被下載逾4.5萬次。上述套件研究人員於5月4日通報，微軟於14日予以下架。</p> <p><a href="https://www.facebook.com/yoxiTW/posts/pfbid0n7AwbB9s6nb91ZTmduYoDotZdJ4vpaQv1pScJRfuav6FjXQyKmj7aZ7JszzXTDJHl"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">計程車派遣服務Yoxi遭帳號填充攻擊，大量占用系統資源影響營運</span></strong></a></p> <p>5月10日計程車派遣服務Yoxi發出聲明，表示他們遭到駭客攻擊，這些駭客使用了超過200萬筆帳密資料，嘗試以帳號填充攻擊的方式登入系統，期間系統資源因大量消耗而影響營運。該公司調查後發現，他們的會員帳密資料無異常存取或遭到入侵的跡象，且攻擊者所使用的帳密資料絕大多數與Yoxi資料的不符，研判這些用於嘗試存取該平臺的帳密資料，是透過其他管道取得。</p> <p>Yoxi察覺攻擊行動後於第一時間封鎖攻擊來源，並通報臺灣電腦網路危機處理暨協調中心（TWCERT/CC）、向刑事警察局報案。該公司亦寄送簡訊，通知受影響的使用者更改密碼。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://sternumiot.com/iot-blog/mini-smart-plug-v2-vulnerability-buffer-overflow/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Belkin旗下的Wemo智慧電源插頭出現記憶體緩衝區溢位漏洞，可被用於命令注入攻擊</span></strong></a></p> <p>物聯網資安業者Sternum揭露第2代Wemo Mini智慧電源插頭漏洞CVE-2023-27217（未透露CVSS風險評分），此漏洞發生在該電源插頭提供的自訂設備名稱功能（FriendlyName），研究人員藉由逆向工程突破其名稱的字數限制，從而觸發漏洞導致記憶體緩衝區溢位，進而發動命令注入攻擊。</p> <p>值得留意的是，研究人員向製造商Belkin通報，但該公司表示此產品已進入生命週期終止階段（EOL），而不會修補上述漏洞。對此，研究人員呼籲使用者應避免直接將此設備曝露於網際網路，若要在敏感網路使用，最好採取適當的網路分段措施。</p> <p><a href="https://sec-consult.com/vulnerability-lab/advisory/multiple-vulnerabilities-in-kiddoware-kids-place-parental-control-android-app/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">家長控管App出現漏洞，恐被用於攻擊、解除管制功能</span></strong></a></p> <p>資安業者SEC Consult揭露Kiddoware家長控制應用程式Kids Place Parental Control的漏洞，一旦遭到利用，攻擊者能在此處列管的孩童安卓手機上竊取帳密資料，或是上傳任意檔案，甚至能繞過家長控管的功能。</p> <p>研究人員指出，這些漏洞大致可區分5種弱點，其中之一與該系統使用者的密碼有關，系統傳送的密碼MD5雜湊值沒有受到加鹽保護而強度不足；再者，則是透過設置孩童裝置的名稱，攻擊者可觸發網頁主控臺的跨網站指令碼（XSS）漏洞CVE-2023-29079，而能夠進行未經授權的存取；除了XSS漏洞，研究人員發現此網頁主控臺的所有請求都可能受到跨網站偽造請求（CSRF）攻擊，攻擊者若是透過瀏覽器得知設備ID，就能觸發上述漏洞（CVE-2023-29078）。值得留意的是，提供父母向孩童傳送檔案的功能，也有可能讓攻擊者將任意檔案上傳到AWS S3儲存桶，且不會掃描是否含有病毒。</p> <p>最後一個弱點是CVE-2023-28153，孩童有可能藉此暫時停用家長設下的限制，且系統不會向父母發送警示訊息。開發商獲報上述的漏洞，發布了3.8.50版App予以修補。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://storage.pardot.com/704223/1684277198bEZlDMDs/CIR_PressRelease_Final_051623.pdf"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">IT服務業者ScanSource證實遭到勒索軟體攻擊，導致系統中斷運作</span></span></strong></a></p> <p><a href="https://www.apple.com/newsroom/2023/05/app-store-stopped-more-than-2-billion-in-fraudulent-transactions-in-2022/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">蘋果2022年審核610萬個App，逾四分之一遭封殺</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/156916"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟對於受到密碼保護的壓縮檔進行檢查惹議</span></span></strong></a></p> <p><a href="https://securityaffairs.com/146029/cyber-crime/smashing-pumpkins-paid-ransom.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國搖滾樂團Smashing Pumpkins傳出對竊取未公開歌曲的駭客支付贖金</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/156887"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">【2023臺灣資安大會】經歷不雅合成照勒索事件，臺北醫學大學導入雙因素驗證因應</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/156903"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">【2023臺灣資安大會】面對下一個網路安全時代，網路防禦矩陣CDM發明人提出資安防護要有親疏遠近因應之道</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/156619"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">【2023臺灣資安大會】人才是確保國家網路安全關鍵</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156930">【5月17日】駭客利用Go語言開發的Cobalt Strike發動攻擊的情況升溫</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156905">【5月16日】財政部電子發票平臺驚傳資安漏洞，恐曝露上市櫃公司營業資料</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156877">【5月15日】誠品書店外洩個資傳出遭支持中國武統人士利用，對臺灣民眾發動心理戰</a></strong></p> </div></div></div>
2023/5/18 14:19作者周峻佑https://www.ithome.com.tw/news/156942
美國蒙大拿州政府明年起禁用TikTok、Telegram及WeChat
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://governor.mt.gov/Governors-Memo-to-CIO-Agency-Directors-Prohibiting-the-Use-of-Apps-Tied-To-Foreign-Adversaries.pdf" target="_blank">美國蒙大拿州州長Greg Gianforte周三（5/17）簽署了一項新法令</a>，將於明年1月1日起於該州網路上禁用TikTok、Telegram及WeChat等工具，原因是這些程式可能蒐集當地使用者的個資並提供給國外對手，成為美國第一個真正禁用TikTok，且禁止應用程式市集供應TikTok的州別。</p> <p>遭到禁用的行動程式包括中國字節跳動旗下的TikTok、CapCut與Lemon8，中國拼多多旗下的跨境電子商務平臺Temu，中國騰訊旗下的WeChat，以及來自俄羅斯的通訊程式Telegram。</p> <p>該州的立法機構與Gianforte擔心上述程式與國外對手關係密切，可能危及該州的安全及當地民眾的敏感資料，因而禁止政府員工於政府所發放的裝置或該州網路上執行相關程式，涵蓋手機、電腦與平板電腦，且禁令還擴及州政府的第三方供應商。</p> <p>其實Gianforte在去年12月便於該州禁用TikTok，但這次擴大到其它可能蒐集個資並供應給國外對手的其它社交程式，以保障蒙大拿民眾的個資及隱私。</p> </div></div></div>
2023/5/18 15:50作者陳曉莉https://www.ithome.com.tw/news/156944
羅技也加入DIY維修行列，將提供官方零件予iFixit
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ir.logitech.com/press-releases/press-release-details/2023/Logitech-Partners-with-iFixit-to-Advance-Circularity-Goals/default.aspx" target="_blank">電腦配件大廠羅技（Logitech）本周宣布</a>與3C產品DIY維修教學網站iFixit結盟，將提供官方零件予iFixit，協助消費者自行維修不在保固內的羅技裝置，包括滑鼠、鍵盤、耳機及遊戲控制器等。</p> <p>iFixit多年來持續提供各種3C產品的拆解與維修教學，也銷售維修工具及零件，但並未獲得各大品牌的認可，一直到<a href="https://www.ithome.com.tw/news/150353" target="_blank">歐洲</a>及<a href="https://www.ithome.com.tw/news/145811" target="_blank">美國</a>相繼大力推動消費者的維修權（Right to Repair），才使得品牌業者的態度丕變，迄今包括<a href="https://www.ithome.com.tw/news/148355" target="_blank">微軟</a>、<a href="https://www.ithome.com.tw/news/150227" target="_blank">三星</a>及<a href="https://www.ithome.com.tw/news/151682" target="_blank">Google</a>都選擇與iFixit合作，讓iFixit一舉成為上述大廠的官方零件經銷商。</p> <p>上述的iFixit既有合作夥伴主要提供手機的維修指南與零件，而羅技則是第一個加入DIY維修行列的電腦配件業者。羅技表示，該公司將提供官方零件予iFixit，並共同開發維修指南，以協助消費者自行維修特定產品。</p> <p><a href="https://zh.ifixit.com/collaborations/logitech" target="_blank">iFixit已列出</a>了各種羅技產品，從滑鼠、鍵盤、耳機、喇叭、攝影機到遊戲控制器等，率先上線的是支援 Logitech MX Master及MX Anywhere兩大熱門羅技滑鼠系列的電池與維修工具。</p> <p>iFixit可持續發展總監Elizabeth Chamberlain表示，其實過去他們便一直與羅技合作，協助羅技開發易於維修的設計，很開心現在有機會於全球供應羅技的零件，讓人們擁有的裝置能夠維持更久，減少對原物料的需求與電子垃圾數量，還給下一代一個健康的星球。</p> </div></div></div>
2023/5/18 16:01作者陳曉莉https://www.ithome.com.tw/news/156945
危機隨時都在，需持續保持警覺
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣是全世界前三大安全的國家，今年1月在民生數據網站Numbeo的全球犯罪指數列為倒數第三名，僅次於卡達和阿拉伯聯合大公國，在全球醫療照護指數名列第一，領先韓國與日本。</p> <p>不過，由於中國亟欲統一臺灣、美中對抗等地緣政治衝突因素，2021年5月經濟學人雜誌發布名為「全世界最危險的地方」封面故事報導，直指臺灣面臨的國際緊張情勢，再加上近年來中國持續對臺灣進行文攻武嚇的威脅，不僅國家資助的駭客團體發動多次網攻，中國軍機、軍艦每天都在臺灣周邊活動，去年12月26日甚至有多達71架次軍機擾臺，稍早於8月初美國前眾議院議長裴洛西訪臺之後，中國更在臺灣周邊6個海域演習，並從沿海與內陸共發射9枚飛彈，5枚落入日本的專屬經濟區，其中1枚飛過臺灣本島上空，其他4枚則分別落在臺灣北部與西南海域。</p> <p>對於臺灣而言，顯然內外呈現截然不同的安全態勢，因為許多民眾雖然也感受到網路攻擊的威脅，以及實體戰爭發生機率漸增的狀況，但整體而言，大家的工作與生活並未受到很大的衝擊。</p> <p>事實上，從今年5月1日起，政府宣布COVID-19調降為第四類傳染病，民眾能夠更安心地參加許多大型實體活動。以IT領域而言，一年一度召開的臺灣資安大會，這幾年因全民防疫得當而得以持續舉行，而在5月9日至11日進行場臺灣年度資安大型活動，總共吸引了超過1.8萬人參加，不僅呈現整個社會的運作已回復開放、正常的狀態，也突顯大家對資安現況與後續發展的確很重視。</p> <p>不過，雖然隨著實體活動的增加，有些多年來遲遲無法解決的公共安全問題，近期也浮上檯面，受到國人的重視。</p> <p>首先是交通亂象嚴重影響安全，去年新聞媒體CNN報導臺灣交通是行人地獄（living hell）後，政府部會與民代均承受龐大的輿論壓力，而開始採取更積極的改善行動。不過，要降低交通風險，需要從很多層面著手，公部門對於道路設計、基礎設施的維護與升級，必須負起更大的責任，而民眾也必須體認遵守交通規則、禮讓行人的重要性，才有可能改善危機。</p> <p>另一個近期引發大家關注的社會議題，則是臺灣的建築工程安全，以及大眾交通工具搭乘安全。在5月10日，臺中捷運發生鄰近建案塔吊吊臂掉落至軌道意外，造成1死10傷。</p> <p>這樣的悲劇原是有機會避免，施工單位當然難辭其咎，他們對於頂樓施工拆除相關裝置的作業，卻僅向臺中市交通局申請一般吊掛的交通維持計畫，而非塔吊高空作業交維計畫，若業者依規定在作業前15天申請，經相關單位會勘後核可，或許在這樣的監督與充分通報的機制把關之下，或許能阻止意外的發生或降低傷害的程度。</p> <p>另一個關鍵環節，則是臺中捷運的處理，當下偵測與應變時間只有41秒，無法阻止列車撞上掉落至軌道的吊臂。</p> <p>臺中捷運公司11日召開記者會，強調隨車員、保全全程遵守標準作業程序（SOP），表示時間太過短暫而無法及時因應，同時，也談到吊臂是掉在隔音牆、而非直接砸到軌道，因此當下沒有相關警示及觸發緊急停車，然而，後來有民代表示月臺設有緊急斷電鈕，若及時按下，也能讓列車停在站內，臺中捷運公司對此表示，若按下時，列車停在站內，的確會因此無法行進，但若列車已出發，仍會持續滑動。相關討論也引發全國關注，大家這時才知道其他中運量自動無人駕駛捷運系統均未設置月臺緊急斷電按鈕，現行的應變程序是否能及時因應這類突發狀況，也勢必要重新檢討。</p> <p>另一個令人惋惜的部分，則是站內上下列車的乘客明顯無警覺。有些人明明在月臺看到有異物突然掉落在軌道，產生很大的聲響與煙塵，卻還是上車，或許是因為信任捷運人員的處理，而沒有及早呼喊所有乘客下車避難，如果那時有乘客主動察覺事態嚴重，而趕緊呼喊大家趕快離開車廂，應該能再減少一些傷亡。</p> <p>無論是混亂危險的道路交通或是意外的大眾運輸工具事故，政府、業者、民眾都責無旁貸，才能預防憾事再度重演。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%85%AC%E5%85%B1%E5%AE%89%E5%85%A8">公共安全</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item even"><a href="/tags/%E5%9C%8B%E5%AE%B6%E5%AE%89%E5%85%A8">國家安全</a></div><div class="field-item odd"><a href="/tags/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83">臺灣資安大會</a></div></div></div>
2023/5/18 16:14作者李宗翰https://www.ithome.com.tw/voice/156946
擺脫「聚合式」架構束縛，提供「非聚合式」架構運用彈性──超融合架構2.0的興起
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1130-feng_mian_p2p3-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>憑藉具有部署、擴充與管理便利的優勢，超融合基礎架構（Hyper-converged infrastructure，HCI）產品，自2010年代初期問世以來，短短幾年之內的時間，便快速成長為企業資料中心基礎設施的主流形式，而且，也是在公有雲風潮席捲全球企業IT架構之下，少數仍能維持成長的地端（On Premise）IT基礎設施產品類型。</p> <p>不過，隨著超融合系統應用的擴大與普及，HCI應用概念本身潛藏的制約也隨之凸顯，而在近2、3年促使這個領域的兩大領導者——Nutanix與VMware，陸續引進一系列堪稱「解構」或「顛覆」既有超融合應用概念的重要轉變，一反超融合應用最基本的「結合運算與儲存資源」概念，允許將運算與儲存單元分離運用，藉此獲得更大的擴展靈活性，以及資源的使用彈性，也能更適切地因應用戶環境需求。</p> <p><span style="font-size:28px;"><strong>超融合架構的3大優勢與3大制約</strong></span></p> <p>以技術性質而言，超融合基礎架構可說是「融合式基礎架構」（Converged infrastructure，CI）這個大領域的一員，共通特色是將IT基礎架構所需的運算、儲存、網路等軟、硬體資源，整合在一個預先完成組裝、測試與調校的套件中，藉此加速用戶端的部署速度。</p> <p>而超融合基礎架構之所以能從融合式基礎架構領域脫穎而出，主要原因是提供「更深度」的部署架構「融合」，透過將運算與儲存資源結合在「一個機箱」的產品形態，從而帶來部署、擴充與管理便利性的優勢。</p> <p>如同我們前幾年超融合架構報導介紹的，HCI的基本作法，是將提供運算資源管理能力的Hypervisor虛擬化平臺，以及能夠提供儲存空間管理的儲存叢集平臺，結合在同一臺x86伺服器主機上，成為預先完成組裝、測試與調校的超融合機箱套件。</p> <p>因而超融合基礎架構的每臺機箱，就是同時含有運算與儲存資源的標準化「積木（Build Block）」單元，之後，再透過Hypervisor與儲存平臺提供的叢集功能，可如同堆疊積木般，將多臺超融合機箱組成具備高可用性的叢集。</p> <p>從部署便利性來看，超融合的優勢在於：只需將幾臺這種預先完成組裝與測試的標準化機箱節點安裝到用戶環境，就能提供IT應用環境所需的運算、儲存空間等基礎架構需求。</p> <p>以擴展性而言，超融合的優勢則在於：透過標準化機箱節點與叢集架構，促使超融合系統的規模擴充變得十分簡單，因為企業與組織只要將更多機箱節點加入超融合系統的叢集，就能擴展整個系統的效能、容量與可用性。</p> <p>用戶可以視需求，組成最小僅2、3臺節點，最大到數十臺以至數百臺節點的叢集環境，適應從邊緣環境到大規模資料中心的基礎設施需求。</p> <p>與此同時，用戶只需透過單一平臺，就能管理整個叢集的運算與儲存資源，這便是超融合的管理層面優勢。</p> <p>相較於傳統IT基礎設施的3層式架構——VM／運算伺服器∕SAN儲存設備，超融合架構可以提供更為簡便、迅速的建置方式，打造出用戶需要的IT基礎應用環境，而且，也十分易於進行擴充與管理。</p> <p>然而，隨著超融合架構應用的方式與領域逐漸擴大，原本賴以成功在企業IT廣泛應用的特性——運算與儲存資源結合在「一個機箱」，由於同時結合運算與儲存資源，雖然帶來部署與擴展的高度便利性，卻連帶產生一系列副作用，成為制約此種架構發展的最大桎梏。</p> <p><span style="color:#B22222;"><strong>運算與儲存負載間的互相干擾</strong></span></p> <p>在超融合系統的軟體堆疊中，上層的Hypervisor平臺，與底層的叢集儲存平臺，都是使用相同的叢集節點硬體來運行，導致運算與儲存兩種工作負載，互相影響彼此的資源使用。</p> <p>這種狀況影響了HCI整體系統的效能，也不利於某些應用程式的軟體授權計算——某些軟體要求用戶以叢集中所有實體處理器數量來計費，但是，在超融合架構下，儲存叢集也會耗用一部分的處理器資源，而且這些資源並不能用於其他工作負載，卻仍然計入軟體授權，形成成本的浪費。</p> <p><strong><span style="color:#B22222;">資源擴充受到「對稱式」架構的限制</span></strong></p> <p>在超融合架構下，運算與儲存資源的擴展是「對稱」或者說是「線性」的，換言之，每增加一個節點，運算與儲存資源便會同時增加。</p> <p>問題在於，用戶實際環境的擴充需求，往往是「不對稱」或「非線性」的，有時只需要儲存空間，有時只需要運算資源。</p> <p>然而，受限於超融合架構，無論用戶需求增加或減少，若要大幅擴充或調整規模時，都只能以一整臺同時含有運算與儲存資源的節點為單位，用戶將會被迫購入不需要的硬體資源與軟體授權，無法精確對應需求，不僅造成浪費，也缺乏靈活性。</p> <p><span style="color:#B22222;"><strong>儲存資源只能供內部使用</strong></span></p> <p>超融合系統自身便包含了IT基礎環境所需的運算與儲存資源，不假外求，但資源也只能供超融合系統自身使用，特別是作為核心的儲存叢集資源，只能為超融合系統上層的Hypervisor使用，即便儲存資源存在富餘，也無法將這些未使用的儲存空間轉給超融合以外的其他系統使用，導致無法有效利用閒置的資源，影響到整體資源利用率。</p> <p><span style="font-size:28px;"><strong>解開超融合架構的束縛：「非聚合式」超融合架構的誕生</strong></span></p> <p>在超融合系統「運算與儲存合一」架構的背後，潛藏著運算與儲存負載間的相互干擾、資源擴充缺乏靈活性，並影響資源利用率等問題。而隨著用戶部署規模的擴大，超融合架構潛藏的這些問題，也將隨之放大。</p> <p>雖然超融合廠商能透過不同規格的節點硬體搭配，為用戶提供多種應用取向的節點選項，例如擁有較高處理器規格、並搭載了GPU卡的高效能型節點，或是擁有較大儲存空間的高容量型節點，還有採用全快閃組態的高I/O效能行劫點等，為用戶提供不同取向的叢集組態選擇，一定程度改善了擴展彈性。</p> <p>然而，這些不同規格取向的節點，本質上，依然是「運算+儲存合一」的超融合型態，因而也仍然存在著超融合架構的先天局限。</p> <p>要克服超融合架構因「運算+儲存合一」組態所帶來的限制，解決辦法便是拆解「運算+儲存合一」的應用型態，也就是將運算節點與儲存節點彼此分離，對於既有超融合架構在效能、擴展靈活性與資源利用率等方面的種種問題，希望能藉此一舉克服。</p> <p>只要分離了運算與儲存節點，運算負載與儲存負載自然便不會彼此干擾，有利於效能的發揮；與此同時，運算節點與儲存節點也能各自獨立地擴展，不再彼此綑綁，提高了擴充靈活性；最後，獨立的儲存節點也能獨立運用，拓展了資源應用面向。</p> <p>在 HCI應用的早先時期，已經有少數超融合平臺，能夠提供一定程度的非對稱擴充性，例如Cisco HyperFlex，以及Pivot3 Acuity等。更進一步，在2016到2020年間，市場上出現徹底分離運算與儲存節點的新形態超融合產品，其中不只有新創廠商，也有老牌大廠，較具代表性的產品，有Datrium的DVX、Dell 的PowerFlex、NetApp的HCI、HPE的HCI等。為了與過去的超融合架構區隔，一些廠商把這種新架構稱為「非聚合式超融合」（Disaggregated HCI），儼然在超融合產品領域形成新的類別。</p> <p>基本上，「非聚合式超融合」產品，是由運行Hypervisor平臺的獨立運算節點，搭配運行儲存叢集軟體平臺的獨立的儲存節點組成。在軟體平臺方面，多數廠商都是以自身的叢集儲存軟體平臺，來搭配VMware ESXi。</p> <p>例如，HPE的dHCI（目前改稱Alletra Disaggregated HCI），其運作的架構，是由Nimble儲存陣列擔任儲存單元，搭配作為運算單元、運行VMware vSphere與vCenter軟體平臺DL380伺服器組成。NetApp HCI則是由運行VMware vSphere的運算節點，搭配SolidFire Element儲存平臺的儲存節點。</p> <p>對於這些「非聚合式超融合」產品來說，由於運算與儲存負載是分別由不同的節點硬體負責，自然也沒有互相干擾的問題。而且由於運算與儲存節點各自獨立，因而也沒有對稱式擴充的限制，用戶可以單獨增加運算或儲存節點，擴展靈活性更高。代價則是部署與管理複雜性略為提高，用戶必須管理更多形式的節點硬體。</p> <p class="rtecenter"><span style="font-size:36px;"><span style="color: rgb(51, 153, 255);"><strong>超融合架構1.0 vs. 超融合架構2.0</strong></span></span></p> <p class="rtecenter"><span style="color: rgb(51, 153, 255);"><span style="font-size: 28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1130-%E5%B0%81%E9%9D%A2P2%2BP3-600.jpg" style="width: 511px;" /></strong></span></span></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 20px;"><strong>相較於只能使用標準超融合節點的「超融合架構1.0」，「超融合架構2.0」的特色在於引進了「非聚合式」部署能力，既能使用標準的超融合節點，也能使用純運算節點，或是純儲存節點，兼顧兩種部署形態的優點，可視情況採取對稱式或非對稱式的資源擴充。</strong></span></span></p> <p><span style="font-size:28px;"><strong>結合「非聚合式」架構的主流超融合平臺</strong></span></p> <p>儘管「非聚合式超融合」問世的時間仍相當短，還不足以動搖既有超融合產品的地位，作為這類型產品創始者之一的NetApp HCI，已於2020年初退出市場，但它們的出現，確實直指既有超融合架構的不足，對市場形成壓力，促使超融合領域發生轉變，最顯著的證據，便是超融合平臺2大領導者VMware與Nutanix，都在近期跟隨這股趨勢而引進「非聚合式」架構。</p> <p>近乎壟斷超融合市場的2大軟體平臺——VMware的vSAN與Nutanix的AOS，都在這2、3年陸續透過一系列更新，讓自身平臺也能支援「非聚合式」架構的部署型態，例如VMware的HCI Mesh功能，Nutanix的純運算節點（Compute Only Node），以及純儲存節點（Storage Only Node）功能等。類似的，在超融合產品品牌位居領先的Dell，也為其主力超融合產品VxRail導入「非聚合式」部署型態，新增純運算功能的VxRail dynamic節點，還允許VxRail dynamic節點能整合外部儲存設備空間，提供較原有超融合架構更靈活的擴展與部署組態選擇。</p> <p><span style="font-size:28px;"><strong>以聚合式架構結合非聚合式架構，提供最大部署彈性</strong></span></p> <p>當VMware與Nutanix先後引進「非聚合式」架構後，IT業界有些人表示，此舉形同否定超融合架構的價值，顯得先前追捧HCI的人如同笨蛋。</p> <p>但我們並不如此認為，超融合架構過去在幫助整併設備、簡化部署與管理方面的作用，是貨真價實的，並不因為「非聚合式」架構出現而失去價值。但這個架構的確有些限制，存在著難以妥善對應複雜環境的問題，而後續浮上檯面的「非聚合式」架構便能作為輔助，幫助超融合架構擺脫原有的局限。</p> <p>更進一步來看，VMware與Nutanix等2大平臺雖然引進了非聚合式架構部署能力，但也沒有放棄原本的超融合架構，這兩種架構之間並不是取代關係，而是相輔相成。將超融合與非聚合式超融合這兩種部署型態，結合在同一個平臺後，能夠兼顧兩種架構的長處，為用戶提供最大的部署彈性。</p> <p>結合了運算與儲存資源的標準超融合架構，擁有最高的設備集縮比，與較低的部署門檻，只需較少的硬體就能滿足應用環境需求，採購與管理都較為簡便，能讓用戶以較小的代價與最快的速度，完成基本應用環境的建置。</p> <p>而當用戶環境隨著成長而逐漸複雜，非聚合式架構能提供更靈活的部署，與更高的效能利用率，讓用戶視應用環境的變化，適切地擴展需要的資源。</p> <p>事實上，在VMware與Nutanix這兩大平臺之前，就已經有廠商推出了可兼用於傳統的聚合式超融合，與「非聚合式超融合」部署架構的產品，例如Dell 的PowerFlex便是其中之一。</p> <p>基本上，PowerFlex可視用戶需求，採取與Hypervisor結合的超融合式部署，或以裸機部署為獨立的儲存單元，然後搭配獨立的Hypervisor主機，構成非聚合式的部署架構。此外，它還允許將聚合式與非聚合式等2種部署型態的節點，混合在同一個叢集中，為用戶提供最大的彈性。</p> <p>我們預測，這種同時允許聚合式與非聚合式部署的能力，很快就會成為超融合領域的主流型態。</p> <p><span style="font-size:28px;"><strong>超融合應用進入新階段</strong></span></p> <p>隨著VMware與Nutanix這2大超融合架構領導者，都陸續支援非聚合式架構後，也意味著超融合領域已發生徹底的「質變」，朝向「去融合」（de-Converges）的方向發展。</p> <p>因此，過去10年來的既定觀念：「超融合架構＝運算+儲存合一」，已不再適用，因為現今的超融合平臺，已能同時允許運算+儲存合一的標準超融合架構，與分離了運算與儲存節的非聚合超融合架構，讓兩種部署形態同時並存，藉此大幅擴展對各式不同用戶環境的適應性，也能進一步延續這類型產品在企業IT市場上的生命力。</p> <p>因此我們或許也可將這種新一代的超融合平臺，視為「超融合架構2.0」，象徵這個領域進入了全新的發展階段。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%BB%E5%9C%963-Nutanix.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>Nutanix的非聚合式部署架構<br /> 身為超融合架構主要創始者與領導者的Nutanix，近期開始透過新增純運算節點（Compute Only Node）與純儲存節點（Storage Only Node）等2種新節點類型，提供了分解運算與儲存單元的非聚合式部署能力。</strong><span style="font-size:14px;">圖片來源／Nutanix</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%BB%E5%9C%964-VMware.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>VMware的非聚合式部署架構<br /> 目前超融合領域市占率最高的VMware vSAN平臺，也透過後續改版而加入的HCI Mesh功能，提供了分離運算與儲存單元的非聚合式部署架構，可建立只有運算功能的叢集，然後由外部的vSAN叢集提供datastore儲存空間。</strong><span style="font-size:14px;">圖片來源／VMware</span></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B">封面故事</a></div><div class="field-item odd"><a href="/tags/%E8%B6%85%E8%9E%8D%E5%90%88%E5%9F%BA%E7%A4%8E%E6%9E%B6%E6%A7%8B">超融合基礎架構</a></div><div class="field-item even"><a href="/tags/hci">HCI</a></div><div class="field-item odd"><a href="/tags/vmware">VMware</a></div><div class="field-item even"><a href="/tags/nutanix">Nutanix</a></div><div class="field-item odd"><a href="/tags/%E8%B6%85%E8%9E%8D%E5%90%88%E6%9E%B6%E6%A7%8B20">超融合架構2.0</a></div><div class="field-item even"><a href="/tags/%E9%9D%9E%E8%81%9A%E5%90%88%E5%BC%8F%E8%B6%85%E8%9E%8D%E5%90%88%E6%9E%B6%E6%A7%8B">非聚合式超融合架構</a></div></div></div>
2023/5/18 10:31作者張明德https://www.ithome.com.tw/tech/156935
會員年營收750億的經營心法，新光三越10年數位轉型如何打造OMO購物體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>疫情終於過去，新常態帶來的數位化日常，讓零售百貨業進入更複雜的OMO競爭。百貨公司巨頭新光三越日前在一場活動中揭曉了疫後數位發展策略。新光三越數位發展部副總經理黃韻芝點出，新戰略要發展外部會員點數的生態圈及零售媒體聯播網（RMN）。好的購物體驗及會員經營，讓新光三越持續成長，也是去年營業額上看885億元歷史新高的關鍵。黃韻芝這兩項新策略，正是他們會員生態圈戰略的下一步。 </p> <p>新光三越早在2014年展開數位轉型，不過發展方向與近年數位政策截然不同。之所以有想法和能力，從OMO的角度來切入購物體驗設計及會員經營，源自於2020年，一次僅僅2個月的數位轉型衝刺。</p> <p><strong>以實體購物為尊的OMO轉型方向，竟意外成為疫情衝擊準備</strong></p> <p>2014年，新光三越開始了數位轉型。黃韻芝表示，百貨公司優勢是豐富且深度的實體購物體驗，因此，他們一開始發展OMO的策略是，用數位工具來強化實體購物體驗。</p> <p>第一步是打造會員App，但不是發展行動電商，而是採取線上強化線下的原則，用App於呈現即時實體購物資訊，例如餐廳訂位候位、停車位查詢、支付功能、折價券管理等，盡可能減低實體購物摩擦力。</p> <p>這隻App對新光三越來說是一個重要里程碑。2014年以前，只有聯名卡會員，因為沒有自己的會員系統，新光三越無法完全自主管理會員經營模式及相關數據。等到會員App問世，他們才算建立起自家會員機制，能自由嘗試不同購物模式，並蒐集更全面的會員數據。</p> <p>2014到2020年期間，新光三越陸續打造了會員數據中臺及業務數據中臺，一方面彙整商品的屬性標籤、3D建模、庫存情況，另一方面也能蒐集顧客標籤、分眾、消費行為等會員數據。黃韻芝說，當時蒐集這些數據是為了區分會員等級，來強化線下購物體驗。沒想到，用於輔助實體購物的數位建置，竟意外為突然其來的下一階段數位轉型鋪了路。</p> <p><strong>疫情顛覆數位轉型戰略，2個月內打造多種線上通路及服務，轉移營運重心</strong></p> <p>2020年疫情來襲，新光三越原本步調穩健的數位轉型被迫加速，轉型方向也不得不改為發展線上通路。自那一年2月起，許多計畫循序漸進的專案，例如擴大電子商城規模、BOPIS（Buy Online, Pickup In Store，線上下單店內取貨）、團購系統以及熟客經營系統等，都壓縮到要在短短2個月內上線。</p> <p>黃韻芝表示，之所以能快速上線，除了疫情凝聚起內部強烈的數位轉型共識，過去幾年的數位轉型建置，更為發展線上通路打下了好基礎。舉例來說，僅花11天就上線的櫃姐系統，這個個提供櫃檯人員經營熟客的系統，正是因為數位轉型前期，先完成了會員系統、電商系統及自家支付工具，才能快速建立工具來支援一對一介紹、推銷的流程標準化。</p> <p>另一個例子是電子商城skm online。短短14天，新光三越就將自家美妝電商擴大營業為綜合型電商，品項數從2萬種商品，增加到8萬種。電商品項快速翻倍的原因是，新光三越在業務中臺中，彙整了商品建模、標籤、價格等資料，手上已經有現成不同類型商品的素材和資料。</p> <p>除了購物通路，此時新光三越也開始經營新的數位行銷模式。最具代表性的做法是會員內部的點數生態圈。會員點數除了能兌換商品，也能在未來檔期兌換特殊購物體驗，例如購買限量商品或參加品酒會等。黃韻芝說，新光三越將點數作為維繫會員長期價值的行銷媒介，可以橫跨活動檔期，用來增加互動次數、消費頻率、及會員認同感，也能彈性的用於OMO零售不同消費場域。</p> <p>設計新會員體驗同時，新光三越也不忘持續優化底層IT基礎建設。最重要的一項是梳理會員資料。會員中臺建立後，前幾年累積的會員資料相當雜亂，為了發展OMO，他們重新清洗並整合了中臺內的會員資料，要求新舊會員都必須提供手機號碼，作為唯一識別方法。整合會員資料後，新光三越對會員行銷時不僅能更有效率，未來擴展到外部生態圈時，也能統一用手機號碼作為識別方法，將蒐集到的資料正確歸戶到同一會員。</p> <p>新光三越在這2個月應急所建立的線上通路，不僅在疫情期間有效帶來營收，還繼續沿用至今，這也意味著，他們的營運重心，已經從線下轉為線上線下並存，對OMO的策略也不再是線上輔助線上，而是多元通路間交互導流。疫後，他們也延續這個戰略方向，持續發展OMO零售模式。</p> <p><strong>疫後同步發展線上線下通路，下一步是擴大點數生態圈和經營RMN</strong></p> <p>疫情過後，新光三越回過頭強化線下通路經營，開始大刀闊斧改裝以全臺「店王」臺中新光三越為首的實體店面，改動上千個櫃位、引進過百個品牌，大力強調只有實體才能享受到的購物體驗。</p> <p>黃韻芝認為，好的線下購物體驗，是OMO零售不可或缺的一環，這樣才能強化通路間交互導流的效果。他舉例說明，會員從線上通路接受到行銷訊息，決定前往實體店面購物時，會利用App上的停車位、餐廳位預覽功能降低到店摩擦力。會員於店面享受購物體驗後，還會再打開App，使用累點、支付等功能，甚至直接在線上重複購買。「這就是線上線下各自發揮強項的導流模式。」她說。</p> <p>下一步，新光三越要以線上通路持續強化數位零售，主要聚焦兩大新策略，發展外部會員點數生態圈及零售媒體聯播網（RMN）。</p> <p>在疫後消費者重新回到各式消費場所後，新光三越在疫情間推出的會員點數系統，降低了自家線上線下通路導流的摩擦力，他們打算進一步拓展點數用途，從新光三越生態圈內，走到外部生態圈，與旅行社、生鮮超市、展覽空間等與百貨公司商品及體驗互補的業者合作，增加自家會員點數的使用場景，使點數能涵蓋會員生活的更多面向。這不僅能增加點數使用價值，對新光三越來說，更等於有機會掌握更多會員消費傾向。</p> <p>新光三越另一個OMO策略是零售媒體聯播網（RMN）。黃韻芝直言，「RMN是零售業下一個典範。」零售業者可以在自家線上線下通路中置入廣告版位，將廣告曝光給自家會員來獲利。新光三越RMN初步規畫，與點數發展策略一樣先聚焦內部，提供廣告版位給生態圈內的品牌發展精準行銷，將會員導流到這些品牌的線上線下通路。</p> <p>黃韻芝指出，零售業發展RMN的優勢是，零售業場域的顧客消費意願通常較高，因此，廣告曝光更容易轉換為購物行為。不僅如此，零售業者握有許多會員的銷售數據，也能用於RMN精準行銷。這些第一方會員數據可以直接連結到會員本人，也能在消費者加入會員時取得數據使用授權，避免誤觸隱私法規的風險。</p> <p>新光三越在疫情間擴大經營的電商及App，正好為RMN鋪了路。聯播網的通路人潮流量越高，廣告版位才越有價值。趁著疫情線下消費行停擺期間，新光三越快速將消費者吸引到線上通路，才能有機會將這些人流及版位變現為廣告收入及行銷機會。</p> <p>疫情前打下會員制度基礎、疫情中高速建置線上零售應用、到疫後雙雙強化線上線下通路，新光三越的數位轉型不同階段環環相扣，一切看似精心策畫，但黃韻芝認為，新光三越的數位轉型綱領，一直以來只是不忘百貨業強調購物體驗的初衷。「不論數位轉型、數據建設、還是OMO，這些只是手段，一切設計都以會員購物體驗為出發點。</p> </div></div></div>
2023/5/18 10:34作者郭又華https://www.ithome.com.tw/news/156936
擺脫既有超融合架構的束縛，提供更多樣化的部署型態組合──兩大主流HCI全面發展「去融合」
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1130-feng_mian_p4p5-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>長期以來，超融合架構在企業IT領域成功的最大優勢——「運算與儲存結合於單一機箱節點」，現在已成了進一步擴大應用情境的阻礙，雖然HCI便於部署與管理，但也帶來運算與儲存負載相互干擾、資源擴充缺乏靈活性等問題，難適應複雜環境需求。</p> <p>至於解決之道便是「去融合」化，讓超融合的運算與儲存單元能分離部署，也就是所謂的「非聚合式」超融合架構，以便更靈活、更精確地對應用戶環境的需求。</p> <p>領導超融合架構的2大平臺：VMware的vSAN與Nutanix的AOS，都在這2、3年內，藉由引進一系列新功能，提供運算與儲存單元分離部署的能力，以補原本超融合架構的不足。而由於這兩大平臺在超融合應用領域具有壟斷地位——合計擁有超過三分之二的市場占有率，當這兩大平臺出現了共同的轉變趨勢，也代表超融合領域正全面朝向「去融合」化（de-Converges）發展。</p> <p>因而，若了解VMware vSAN與Nutanix AOS的「非聚合式超融合」部署功能，也就等同於掌握這領域的去融合化發展情況。</p> <p><span style="font-size:28px;"><strong>兩大超融合應用平臺的「去融合」化進程</strong></span></p> <p>在「去融合」化的過程，Nutanix要比VMware快了一步。因為他們早在2015年中，就在原本的超融合節點產品外，推出NX-6035C「純儲存節點」（Storage Only Node），可單純提供儲存空間，而不加入Hypervisor叢集。</p> <p>接著在2019年初，Nutanix又跟著AOS 5.11版推出「純運算節點」（Compute Only Node），只用於運行虛擬化平臺，而不加入儲存叢集，再加上先前的純儲存節點，Nutanix至此算是基本實現了運算與儲存單元的分離。</p> <p>在VMware方面，直到2020年9月發布的vSAN 7 Update 1，才透過新導入的HCI Mesh功能，允許用戶建立只有運算功能的vSAN運算叢集（Compute Cluster），然後藉由掛載外部vSAN叢集的datastore來做為自身的儲存空間，初步提供了分離運算與儲存單元的分離。標準的vSAN叢集此時也能透過HCI Mesh掛載外部vSAN叢集datastore，實現跨叢集資源調度。</p> <p>到了2021年3月發布的vSAN 7 Update 2，則允許傳統vSphere叢集也能透過HCI Mesh功能，掛載遠端vSAN叢集的datastore來使用。接下來的vSAN 7 Update 3，又進一步擴展了HCI Mesh功能的連接能力。</p> <p>而在今年3月推出的vSAN 8 Update 1，VMware藉著新引進的「非聚合式儲存」（Disaggregated Storage）功能，將HCI Mesh適用範圍，擴展到vSAN 8全新的ESA儲存架構（Express Storage Architecture），以及跨遠端的拉伸式叢集（Stretched Clusters）環境中。</p> <p>至此，VMware主要的vSphere與vSAN版本，都能透過HCI Mesh功能，提供純運算叢集，以及掛載遠端vSAN datastore能力。只要是vSAN Enterprise版或Enterprise Plus版以上，就能啟用HCI Mesh功能。</p> <p><span style="font-size:28px;"><strong>兩大平臺的「去融合化」架構差異</strong></span></p> <p>經過一系列版本與功能更新後，目前的Nutanix與VMware的超融合平臺，都支援拆分運算與儲存單元的「非聚合式」部署形式，但由於基本架構有別，兩大平臺之間存在微妙的差異。</p> <p>以Nutanix而言，他們是透過新增2種新節點——「純儲存節點」與「純運算節點」，來提供運算與儲存單元分離部署與獨立擴充能力，整個部署架構是以個別節點為單位。</p> <p>VMware則只新增了「運算叢集」，搭配HCI Mesh提供的掛載遠端vSAN叢集datastore功能，來分離運算與儲存單元，整個部署架構是以叢集為單位。</p> <p>相較之下，Nutanix以個別「純儲存節點」與「純運算節點」作為擴展單位，這種作法顯然更易被理解，也更簡便。</p> <p>VMware則認為以叢集為單位，更能確保可用性的需求，若以個別純運算或純儲存節點為擴展單位，叢集將會出現無法承擔失效節點重建工作的風險。</p> <p>舉例來說，在叢集加入個別的純儲存節點，這些純儲存節點因本身集中了較多的儲存空間資源，一旦失效，叢集中其他節點可能沒有足夠儲存空間資源，來重建失效純儲存節點上的資料。</p> <p>因而VMware採用整個叢集作為HCI Mesh的運作單位，叢集內各節點的資料負載是平衡分布的，具備承受個別節點失效的韌性。</p> <p>針對這個問題，Nutanix方面也有相應的對策，以確保當「純儲存節點」與「純運算節點」加入叢集後，整個叢集具備承受這些節點失效的重建能力。</p> <p>例如當在叢集中加入純儲存節點後，必須視節點數量，相應地增加資料複製的數量與失效容限設定，最好成對地加入純儲存節點，以便叢集有足夠資源，可以因應純儲存節點失效時的資料重建需求。而在應用純運算節點時，Nutanix也對叢集中包含的純運算節點與HCI節點的比例，有一定的限制，以確保叢集擴展後仍具備足夠的失效容限。</p> <p><strong><span style="color:#B22222;">運算單元的差異</span></strong></p> <p>在分解之後的HCI運算單元方面，Nutanix與VMware採取相似的做法。</p> <p>例如，Nutanix的「純運算節點」，是省略儲存叢集相關元件與功能的節點，可將硬體的運算力都供給Hypervisor，用來運行用戶端VM與應用程式，至於VM與應用程式需要的資料儲存空間，則由Nutanix叢集中的其他HCI節點或純儲存節點來提供。</p> <p>VMware的「運算叢集」，同樣也是關閉了vSAN儲存叢集功能，因而可將叢集節點的運算資源集中供應vSphere，用來運行用戶端VM與應用程式，至於VM需要的儲存空間，則透過HCI Mesh掛載外部vSAN叢集的datastore來獲得。</p> <p>也就是說，Nutanix的「純運算節點」與VMware的「運算叢集」，基本上，都是由省略或關閉儲存叢集功能的節點構成，藉此可避開儲存叢集相關負載的干擾，把更多的運算資源保留給用戶端VM與應用程式執行。</p> <p>簡而言之，兩個HCI平臺去融合化的最大差別是：Nutanix的「純運算節點」支援多種Hypervisor平臺，包括Nutanix的AHV或VMware的ESXi，而VMware的「運算叢集」則只提供自身的ESXi。</p> <p><span style="color:#B22222;"><strong>儲存單元的差異</strong></span></p> <p>關於分拆後的HCI儲存單元，Nutanix與VMware採取完全不同的做法。</p> <p>例如，Nutanix提供「純儲存節點」，這是一種省略了運行用戶端VM能力，只保留儲存叢集功能的HCI節點。</p> <p>實際上，「純儲存節點」雖然也含有Hypervisor，但採用的是Nutanix平臺內含的AHV平臺，用戶不需要另外付費。至於「純儲存節點」當中的AHV平臺，只是為Nutanix儲存叢集的控制器VM提供運作環境而已，不能夠用於運行用戶端VM。</p> <p>因而Nutanix的「純儲存節點」不需要太高的運算資源，處理器規格與記憶體容量都可大幅降低，而這些運算資源也將集中於處理儲存叢集的I/O負載，不會被用戶端VM所干擾。</p> <p>至於VMware超融合平臺，並未提供專門的「純儲存叢集」，HCI Mesh遠端datastore掛載功能所需的datastore空間，是由標準的vSAN叢集來提供。</p> <p>相較於可提供「純儲存節點」的Nutanix，VMware的「非聚合」部署架構在儲存單元方面，可能會出現效能與成本的劣勢。</p> <p>原則上，為HCI Mesh提供遠端data store的vSAN叢集，仍具備運行用戶端VM的能力，因而有影響與干擾這些vSAN叢集I/O效能的疑慮。當然用戶可以主動停用這些vSAN叢集的用戶端VM，以便將資源集中供應vSAN服務，促使這些叢集扮演單純的「純儲存用」角色。</p> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>Nutanix的純儲存與純運算節點</strong></span></span></p> <p><span style="font-size:22px;"><span style="color:#3399ff;"><strong>提供獨立儲存空間與運算資源擴展能力，改善靈活性與成本效益</strong></span></span></p> <p><strong>目前Nutanix一共可提供3種類型的節點，可以在叢集中相互搭配使用：</strong></p> <p><strong>● 超融合節點（HCI Node）：同時擁有運算能力、記憶體與資料儲存空間，可以運行3種Hypervisor平臺，包括VMware ESXi、微軟Hyper-V，以及Nutanix自身的AHV等。</strong></p> <p><strong>● 純儲存節點（Storage Only Node）：只能運行Nutanix AHV 平臺，且只具備最低限度的運算能力與記憶體容量，但可提供大量儲存空間。</strong></p> <p><strong>● 純運算節點（Compute Only Node）：運行Nutanix AHV或VMware ESXi 平臺，只擁有最低限度資料儲存空間，但能提供較高運算能力的處理器，以及較大的記憶體容量。</strong></p> <p class="rtecenter"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%BB%E5%9C%961-Nutanix%20Arch.jpg" style="width: 600px;" /></strong></p> <p><span style="color: rgb(105, 105, 105);">｜Nutanix純運算節點與純儲存節點的應用情境｜</span><span style="color: rgb(105, 105, 105);">上圖為Nutanix提出的純運算與純儲存節點應用範例。標準的HCI節點可用於運行VM與提供儲存空間，純運算節點用於運行按處理器計費的Oracle應用程式VM，而不會將運算資源用於叢集儲存處理，以便更充分地發揮軟體授權效益，純儲存節點則專門負責提供儲存空間，不用於運行用戶端VM。</span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Nutanix</span></p> <p><strong>接下來，我們把重點放在純儲存節點與純運算節點的配置。</strong></p> <p><span style="color:#B22222;"><strong>純儲存節點</strong></span></p> <p><strong>純儲存節點有時也稱為「輕運算節點」（Light Compute Nodes），只能運行Nutanix自身AHV Hypervisor平臺，但這個Hypervisor不用於運行用戶端VM（guest VM），只為Nutanix自身控制器VM（CVM）提供運作環境。至於CVM，則是Nutanix儲存叢集核心，用於處理節點內部與對外的I/O，管理節點內部的磁碟存取，以及節點對外的節點間互連傳輸。</strong></p> <p><strong>純儲存節點的目的是為Nutanix叢集擴展儲存空間，純儲存節點的儲存空間可無縫地加入到既有叢集的儲存空間中，不僅能增加容量，也能提高I/O效能。</strong></p> <p><strong>雖然純儲存節點運行的是AHV平臺，但可相容於運行ESXi、Hyper-V與AHV平臺的Nutanix叢集環境，為這些叢集增加儲存容量。另一方面，AHV是Nutanix AOS平臺內含元件的一部分，無須另外計費，所以增加純儲存節點時，用戶無須額外支付Hypervisor費用。</strong></p> <p><strong>早先只有特定的Nutanix NX系列節點硬體可作為純儲存節點使用，然而，自Nutanix Foundation 4.1版起，所有Nutanix NX系列節點硬體，都可透過部署映像檔的方式，作為純儲存節點使用。當搭配AOS 6.1版以後使用時，用戶在擴展叢集節點時，可選擇將HCI節點轉為純儲存節點，或是將純儲存節點轉為HCI節點。</strong></p> <p><strong>另外要特別注意的是，不可將純儲存節點與「儲存重節點」（Storage Heavy Node）混淆，儲存重節點只是一種擁有較大儲存空間的HCI節點，可運行用戶端VM，與純儲存節點有本質上的區別。</strong></p> <p><span style="color:#B22222;"><strong>純運算節點</strong></span></p> <p><strong>純運算節點的目的，是為Nutanix叢集提供無縫擴展運算能力，也就是處理器與記憶體資源。</strong></p> <p><strong>一開始，純運算節點只能運行Nutanix自身的AHV Hypervisor，且不含CVM元件，只含有運行AHV所需的最低限度儲存媒體配置。自AOS 6.6.2版起，用戶也能建立運行ESXi的純運算節點，同樣也不含CVM。</strong></p> <p><strong>由於純運算節點沒有CVM，因而無法將節點內部的儲存空間加入到Nutanix叢集中，不能為Nutanix叢集提供儲存空間資源，而只能利用AHV來運行用戶端VM，至於這些用戶端VM所需的vDisk儲存空間，則可由Nutanix叢集中的其他HCI節點或純儲存節點來提供。</strong></p> <p><strong>但另一方面，由於純運算節點沒有CVM，這也意味著的所有運算資源，都只會被用在用戶端VM的應用程式上，能讓某些依照處理器核心數計費的應用程式，獲得更好的成本效益，而不會像一般HCI節點必須將相當一部分的運算能力，消耗在運行CVM上。依照Nutanix的手冊，一臺CVM至少需要使用8到12個vCPU，以及20GB以上vRAM的資源，因而純運算節點省下CVM消耗的資源後，將能讓上層的用戶端VM多出不少資源。</strong></p> <p><strong>目前所有Nutanix原廠的NX系列節點，或是其他OEM廠商的節點硬體，都可作為純運算節點使用，也能將既有的HCI節點轉為純運算節點。</strong></p> <p><strong>不過比起純儲存節點，純運算節點的部署條件相對比較嚴苛。例如純運算節點只能加入到已擁有至少3個節點的Nutanix叢集中，且該叢集中純運算節點與一般HCI節點的數量比例不能超過1比2，另外，ESXi版的純運算節點還有特別的限制，只能加入基於AHV平臺純儲存節點組成的叢集，而無法與HCI節點混合使用。</strong></p> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>VMware的HCI Mesh</strong></span></span></p> <p><span style="font-size:22px;"><span style="color:#3399ff;"><strong>提供跨叢集儲存資源共享能力，實現運算與儲存資源分離擴展</strong></span></span></p> <p><strong>從vSAN 7.0 U1開始引進、並延伸到最新vSAN 8 U1的HCI Mesh功能，可以讓用戶建立純運算功能的vSAN叢集，然後將外部vSAN叢集的datastore掛載起來，而成為本身的儲存空間。</strong></p> <p><strong>其中為其他叢集提供datastore儲存空間的vSAN叢集，被稱為HCI Mesh Server叢集。而匯入外部vSAN datastore儲存空間的叢集，則稱為HCI Mesh Client叢集。</strong></p> <p class="rtecenter"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%BB%E5%9C%962-VMware%20HCI%20Mesh.png" style="width: 600px;" /></strong></p> <p><span style="color: rgb(105, 105, 105);">｜透過HCI Mesh的運算與儲存分離部署｜藉由HCI Mesh提供的功能，用戶可以建立只提供運算能力的運算叢集（Compute Cluster），作為HCI Mesh的Client端叢集，然後由外部vSAN叢集扮演HCI Mesh Server端叢集角色，將vSAN叢集的datastore儲存空間，掛載給運算叢集作為儲存空間。</span></p> <p><span style="color: rgb(105, 105, 105);">而一般的vSAN叢集也能作為HCI Mesh的Client端叢集，透過HCI Mesh掛載外部vSAN叢集的datastore，來擴展本身的儲存空間。<span style="font-size: 14px;">圖片來源／VMware</span></span></p> <p><strong>藉由HCI Mesh這項功能，可以實現下列兩個目的。</strong></p> <p><span style="color:#B22222;"><strong>橫跨多個vSAN儲存叢集之間的datastore空間共享</strong></span></p> <p><strong>多個vSAN叢集之間，能藉由HCI Mesh的連結，匯集成一個跨叢集的儲存池，然後將某些vSAN叢集閒置的datastore空間，掛載給需要datastore空間的vSAN叢集使用。</strong></p> <p><strong>非vSAN型式的傳統ESXi叢集，現在也適用於HCI Mesh，可藉此掛載遠端的vSAN datastore空間，而且用戶還不需要為這些傳統ESXi叢集購買vSAN相關授權。就能透過HCI Mesh的遠端掛載能力，讓傳統ESXi叢集也能使用vSAN的儲存服務，</strong></p> <p><strong>利用HCI Mesh的跨叢集遠端掛載datastore能力，不僅能實現跨叢集的儲存資源調配，改善資源利用效率，同時也能突破ESXi與vSAN既有的擴展能力限制，除了叢集本身內含的datastore空間外，還能利用HCI Mesh功能，掛載其他叢集的datastore空間。</strong></p> <p><span style="color:#B22222;"><strong>實現運算、儲存分離，以及非對稱擴展</strong></span></p> <p><strong>用戶可以利用HCI Mesh建立關閉了vSAN儲存功能的「純運算用叢集」，藉此將更多運算資源用於vSphere上運行的用戶端VM，而不會消耗在vSAN上。</strong></p> <p><strong>舉例來說，一臺啟用了vSAN、基於全快閃儲存組態的ESXi主機，vSAN通常需要占用20GB至30GB或更多的實體記憶體。而這也意味著，如果這臺主機將vSAN關閉，就能讓ESXi多出20GB至30GB以上的可用實體記憶體，等於多了8至10%的記憶體資源（以伺服器典型的256GB到384GB主機記憶體容量為計算基準）。</strong></p> <p><strong>至於這些運算用叢集需要的儲存空間，則可透過HCI Mesh掛載其他vSAN叢集的datastore空間來提供。所以，這也等同於分離了運算與儲存單元。</strong></p> <p><strong>另一方面，既有的vSAN叢集，也能利用HCI Mesh掛載外部vSAN的datastore，藉此擴展自身的可用儲存空間，而不需要增加一整臺節點，這也等同於讓這些SAN叢集只擴展儲存資源，而不擴展運算能力，形同於非對稱的資源擴展。</strong></p> <p><span style="color:#B22222;"><strong>HCI Mesh的應用形式</strong></span></p> <p><strong>VMware針對HCI Mesh的應用，設想了下列幾個典型的情境：</strong></p> <p><strong>● 應用程式的重構（refactor）、需要為日誌記錄保留，提供大量額外儲存空間。</strong></p> <p><strong>● 因為組織或業務調整，導致儲存資源需求存在很大的不確定性。</strong></p> <p><strong>● 儲存擴展需求急迫，但運算資源仍有餘裕。</strong></p> <p><strong>● 啟用與部署NSX網路虛擬化，需要遷移原有叢集資料。</strong></p> <p><strong>● 業務分析作業將占用大量運算資源，以致會衝擊底層vSAN的運作。</strong></p> <p><strong>上述這4種情境都出現了臨時的額外儲存空間需求，此時，用戶可以透過HCI Mesh掛載外部vSAN叢集的datastore，來因應這些臨時性的儲存空間需求，而不需要急著為叢集增加節點。</strong></p> <p><strong>最後1種情境則是出現了臨時的額外運算能力需求，可能會影響底層vSAN服務的運作，此時也能透過HCI Mesh，改由外部vSAN叢集來提供datastore空間，免除自身叢集的vSAN服務負載，也就是將儲存服務負載，利用HCI Mesh卸載給外部vSAN叢集來承擔。</strong></p> <p><strong>值得注意的是，vSAN 7與vSAN 8在HCI Mesh功能的應用規格，略有差異。</strong></p> <p><strong>以vSAN 7平臺而言，每一個HCI Mesh Client叢集環境，最多能夠掛載5個遠端datastore，每個HCI Mesh Server叢集能為5個Client叢集提供datastore空間，而且，Client與Server叢集最多能包含64臺ESXi主機，到了vSAN 7 U2以後，增加為128臺ESXi主機。</strong></p> <p><strong>而在vSAN 8平臺方面，每一個HCI Mesh Client叢集環境，同樣最多只能掛載5個遠端datastore，Client與Server叢集同樣也能包含最多128臺ESXi主機，不過，每個HCI Mesh Server叢集，能為10個Client叢集提供datastore空間，比起vSAN 7增加一倍，能將datastore分享給更多Client端叢集使用，大幅擴充了HCI Mesh Server叢集的儲存共享規模。</strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B">封面故事</a></div><div class="field-item odd"><a href="/tags/%E8%B6%85%E8%9E%8D%E5%90%88%E5%9F%BA%E7%A4%8E%E6%9E%B6%E6%A7%8B">超融合基礎架構</a></div><div class="field-item even"><a href="/tags/hci">HCI</a></div><div class="field-item odd"><a href="/tags/vmware">VMware</a></div><div class="field-item even"><a href="/tags/nutanix">Nutanix</a></div><div class="field-item odd"><a href="/tags/%E8%B6%85%E8%9E%8D%E5%90%88%E6%9E%B6%E6%A7%8B20">超融合架構2.0</a></div><div class="field-item even"><a href="/tags/%E9%9D%9E%E8%81%9A%E5%90%88%E5%BC%8F%E8%B6%85%E8%9E%8D%E5%90%88%E6%9E%B6%E6%A7%8B">非聚合式超融合架構</a></div></div></div>
2023/5/18 10:43作者張明德https://www.ithome.com.tw/tech/156937
超融合基礎架構大轉型
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1130-feng_mian_p1-open-ming_de_-960x420_kao_bei_.jpg?itok=s_TdkGrL" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去10年以來，風行於資料中心基礎設施建置的超融合基礎架構（HCI）出現轉型，兩大領導廠商已拆解最基本的「結合運算與儲存資源」概念，資源得以更靈活、更多樣的運用，也改變產品型態，以及在資料中心扮演的角色</p> </div></div></div>
2023/5/18 10:54作者張明德https://www.ithome.com.tw/article/156939
企業為何需自己建立內部資安檢測團隊？台灣樂天網安主管以實務經驗現身說法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在多數企業裡，資安團隊大多扮演防守方角色，抵禦來自外部的攻擊，為了加強資安防護，部分企業會委托外部資安團隊擔任攻擊方，檢測企業內部是否存在安全漏洞或風險，除了委托外部團隊進行檢測，也有企業選擇建立自己的資安檢測團隊（Offensive Security Team），曾在IBM擔任軟體工程師，現在在台灣樂天擔任網路安全防禦部門經理的Peter Chi在今年臺灣資安大會中分享企業建立資安檢測團隊的重要性及實務經驗。</p> <p>Peter Chi表示，大多數企業重視資安防禦，內部資安團隊多為SoC、資安事件回應團隊，部分對內部或產品安全重視的大型企業或跨國公司，在內部建立自己的資安檢測團隊。他以個人過往的工作經驗說明資安檢測團隊，和外部團隊相比，企業資安檢測團隊為內部員工，具備駭客思維，使用相同工具，來模擬外部駭客的攻擊，協助企業改善防禦，由於時常會看到隱祕的資料，資安檢測團隊也必須堅守道德原則。</p> <p><span style="color:#B22222;"><strong>檢測產品安全、提升內部資安意識</strong></span></p> <p>然而資安檢測團隊企業內扮演什麼角色？他以產品開發流程為例，在產品設計（Design）階段，攻擊檢測團隊可以威脅建模，或是在設計階段參與討論，以攻擊方的角度來檢視設計上是否有弱點。</p> <p>傳統上，企業在產品推出之後，為了維護產品安全，委托外部安全團隊執行動態掃描、滲透測試，但是Peter Chi指出，等到產品推出才發現存在漏洞，會增加資安風險。企業若有自己的資安檢測團隊，在產品開發上游階段，產品完成開發後的驗證階段時，由檢測團隊協助驗證產品的安全性，執行動態掃描、安全測試、滲透測試等。</p> <p>不只是產品開發，他認為，資安檢測團隊在企業內也能協助內部訓練，例如員工的安全意識訓練，或是讓開發團隊瞭解如何安全開發，借助檢測團隊的攻擊方角色，讓開發人員意識到開發上原本認為不危險問題，可能遭駭客利用延伸擴大可怕的攻擊。</p> <p>資安檢測團隊也能模擬駭客的真實攻擊，進行滲透測試或紅隊演練，如同委托外部團隊的攻擊測試服務。此外，還可以負責評估眾多的資安服務，利用攻擊測試找出適合企業的資安防護服務。</p> <p>除了上述的角色及好處外，Peter Chi認為和傳統委託外部團隊測試相比，企業擁有內部的資安檢測團隊，能降低委外洩密風險、滿足法遵的要求。另外，每間企業的資安政策不同，例如對一定嚴重程度的漏洞或風險處理方式不同，企業委託外部團隊，資安政策可能產生不一致的情形，內部資安檢測團隊可避免此一問題。</p> <p><span style="color:#B22222;"><strong>內部檢測團隊降低磨合、依需求客製化測試</strong></span></p> <p>許多企業會委託外部團隊提供資安檢測服務，每次可能和不同團隊合作，由於資安檢檢測涉及企業內部機密，與委外團隊合作也存在保密問題，同時內外合作也需要磨合期，而企業也不容易累積相關經驗。</p> <p>當企業有自己的資安檢測團隊，首先是能讓不同團隊間的溝通變得容易，由於是內部團隊，在長期合作下降低磨合問題，也能增進不同團隊間信賴感，企業內部檢測團隊能夠累積相關經驗，從攻擊方的角度，協助企業的產品、內部資安防禦更好。另外，委外檢測程式碼，外部檢測團隊逆向工程，或需要讀程碼，以瞭解程式設計的邏輯，就會存在保密問題，相反地，內部檢測團隊則能配合企業內政策、公司文化，支援檢視程式碼，以及來自開發團隊的資安需求。</p> <p>另外，在委托外部單位作檢測時，企業基於維持正常營運需要或是內部政策，會要求業者不要測試或擅動某個系統或資料庫，就需要和委外業者就測試範圍反覆溝通確認，如果是針對產品檢測，外部合作業者還需要根據不同產品的特性設計檢測，需要時間熟悉每個產品特性。</p> <p>Peter Chi指出，企業委託外部業者協助檢測，實務上受限於預算有限，需要考慮執行檢測的次數及範圍，要對產品檢測，還是要對整個公司檢測，當企業有自己資安檢測團隊，相較比較熟悉每個產品特性，縮短學習曲線，內部溝通效率也能夠提升，並且配合企業的需要客製化檢測，例如針對產品測試，或對某個業務範圍作滲透測試。此外，當發現漏洞或資安風險，檢測團隊可以攻擊方思維、經驗，判定漏洞或風險的優先性。</p> <p>對於企業如何建立資安檢測團隊？他以自己過去經驗表示，一種方式是從內部員工通過訓練來培養，例如從MIS或網路相關員工選出，進行內部訓練，因為是內部員工訓練，不需要重新適應公司文化，但這個方式花費時間較長，且必需考慮到員工的韌性，能否從現有已習慣的工作轉換新的工作等等。選擇合適的訓練資源，包括OWASP、SANS，各種認證、線上課程、資安實戰演練等。</p> <p>另一方式是從外部尋找人才。Peter Chi表示，企業從外部尋找人才組成資安檢測團隊，可考量應徵者的過去工作經驗、過去服務的公司類型、擁有的證照、技能，還有應徵者是否有良好的道德意識。從外部找人才，訓練的時間可能比較少，但需要適應公司文化。</p> <p>不論從內部培訓或從外部找人才，對成員需要定出一套合格標準，例如對公司內部組織流程、規定、使用工具的熟悉，取得的證照，或是設計一套測試，界定是否符合企業資安檢測團隊的要求。</p> <p>至於何時是做檢測的最佳時機？他認為，產品推出之前或基於法遵規定一定要檢測，產品在上市後一段時間可能再作調整，建議最好每年再做一次檢測。另外，當開發上有較大更動，開發團隊認為有必要作檢測時，也能隨時依需求進行檢測。他也建議，企業最好能從開發團隊中指派一位成員，擔任和資安檢測團隊溝通的專業對口，該成員必需瞭解資安檢測術語，熟悉資安檢測及開發的共同語言，如此在開發流程中進行資安檢測才能順利進行。企業內的每個團隊、每個業務部門是否也需要專業對口，則要視公司規模及需求來決定。</p> <p>企業要進行安全檢測，往往不確定該從哪一處下手，儘管每家企業實作可能不同，他認為，應該從企業的營運模式、專業環境來看，如果銷售的產品安裝在客戶端，應在產品進行檢測，如果企業提供服務，則可從外側防火牆作測試，強化防火牆的阻擋，可緩解程式開發上的弱點。</p> <p>當檢測發現漏洞或資安風險，企業內由誰來決定是否要修補，每個企業決策系統不同，可能是業務單位主管或高層決定，由資安檢測團隊基於風險的高低給予專業上的建議，以業務發展為主，還是降低風險為主，需要審慎評估。</p> <p>資安人才從外部提供資安服務，到進入企業In-house成為安全檢測團隊一員，Peter Chi列舉幾項職涯發展的好處，例如降低過去在乙方擔任資安工程師，和客戶間的緊張關係，進入企業成為甲方後，企業內的長期工作輪轉、資源規畫，更穩定且提供更多的發展機會，例如成員運用過去的資安測試經驗，在企業內可往資安檢測團隊、資安防禦發展，或是DevSecOps、內部訓練等方向發展，對比於外部資安檢測服務，在企業內個人專業發展有更大彈性，甚至在主管鼓勵下，投入新技術的研究。</p> </div></div></div>
2023/5/18 09:06作者蘇文彬https://www.ithome.com.tw/news/156927