iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 16篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 07:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

AI對決：資安攻防戰再升級
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>微軟資安防禦工具全面強化AI及整合GPT，力抗以AI持續精進攻擊手法的駭客團隊</strong></p> <p>AI已成為資安攻防的新戰場，當駭客開始運用AI來精進攻擊手法的同時，企業的防禦機制也必須透過AI協助偵測分析，加強抵禦，才能與之抗衡。</p> <p>然而，傳統的資安防禦工事是以功能來採購解決方案，資安工具的碎片化成為常態，要讓這些原本不具備AI功能的資安工具智慧化也是幾近不可能的任務。因此，微軟除了在既有資安解決方案加強AI偵測，未來更進階到Security Copilot，透過以GPT模型打造的生成式AI工具，將可協助用戶透過自然語言對話的方式，更加、快速且全方位地因應資安事件。</p> <p> </p> <p><strong>打造端到端的完整防禦機制</strong></p> <p>以AI來協助偵防是微軟資安產品智慧化的起手式，針對駭客入侵的步驟及作法，微軟都有相對應的工具。</p> <p>駭客入侵的第一步是尋找組織破口並植入惡意程式或執行惡意程序，以電子郵件挾帶檔案或網址來誘騙使用者下載惡意程式和執行程序，則是常見的方式。Microsoft Defender for Office 365正是把關電子郵件的利器，可逐一偵查電子郵件是否挾帶惡意程式或連結。</p> <p>而在惡意程式或程序被下載到端點後，駭客的第二步就是控制端點。Microsoft Defender for Endpoint不僅可以做到端點偵測及回應（EDR）、進行惡意程式偵防，還能協助企業了解端點有哪些弱點，例如：尚未安裝最新的修補程式，或者安全設定不完善。</p> <p>奪取端點帳號後，駭客會在內網橫移，尋找更有價值的標的或進行提權。Microsoft Defender for Identity可偵測內網裡異常的橫移或偵查行為，並協助用戶保護地端的AD，避免駭客盜取更有價值的帳號進行提權。</p> <p>駭客的第三步就是竊取寶貴的資料，Microsoft Information Protection則藉由機器學習和AI技術來強化資料安全、提升偵防率並降低誤報率。透過入侵步驟的解析，也驗證了微軟在資安面提供了端到端的防護，而非僅止於單點解決方案。</p> <p> </p> <p><strong>以AI提升資安工具的偵防能力</strong></p> <p>微軟將AI融入資安防護的作法，著眼於三個目標，分別是保護重要的IT資產並防範威脅、以零信任為前提來協助用戶做到更完善的身分認證與保護，以及全方位的資料防護。</p> <p>以AI化的資安偵防為例，Defender for Endpoint可透過內建在用戶端的機器學習引擎來辨識惡意程序或程序，第一時間進行封鎖。但駭客技術規避端點偵測的能力不斷精進，如果端點無法判別，就會將有疑慮的檔案上傳至雲端，雲端強大的運算資源、機器學習模型和Intelligent Security Graph情報網的結合，除了是提升辨識能力的利器。也能儘快在第一時間隔離惡意檔案。</p> <p>以2017年在歐洲蔓延開來的Bad Rabbit勒索病毒為例，在第零號病人下載檔案時，Defender for Endpoint就察覺程式異常，而在第一例受害案例出現後的14分鐘，微軟的機器學習已確認惡意病毒並全面更新模型，這也說明了Defender for Endpoint雲地整合模式的時效優勢。</p> <p>而在身分保護部分，微軟提供完整的零信任平台來協助用戶進行身分驗證，結合端點的資安軟體來確保使用者用於登入的設備是否安全，以及用戶登入的地點、存取的程式，是否符合組織政策。微軟的零信任平台可協助企業根據政策來設定條件式存取，也能結合微軟每天收集高達65 兆的威脅情資，協助用戶更好的判斷使用者的登入過程及其風險度。</p> <p>至於資料安全防護，傳統使用資料外洩防護（DLP）方案來確認及阻絶資料外洩狀況，但DLP也常造成資安或IT團隊疲於奔命處理假警報。Microsoft Information Protection最新的 Adaptive Protection適應性防護正是透過機器學習和AI技術結合組織設定權限以及使用者行為來降低誤報率、強化資料安全並提升偵防率。</p> <p>事實上，使用者存取的行為和範圍是否符合職務所需才是判斷關鍵。舉例來說，Microsoft Information Protection會提高即將離職員工的風險度，一旦出現將檔案改名改存USB之後刪除原檔等行為，就會立即被判定為高風險。</p> <p> </p> <p><strong>Security Copilot讓資安人員如虎添翼</strong></p> <p>以 OpenAI大型語言模型GPT和微軟專用的資安模型為基礎所開發的Microsoft Security Copilot，則是即時回應事件、進行威脅獵捕、自動產出安全報告的新利器，同時也有助於克服當前企業常見的資安困局，例如：資安工具的資訊格式不統一、資安訊息碎片化、資安人員技能與工具熟悉度不足。</p> <p>以往資安人員通常是以SIEM軟體結合收集到的Log和情報，透過人工查詢的方式來找出組織發生的惡意事件。但現在則可透過 Microsoft Security Copilot，讓防禦者透過自然語言對話的方式，要求其分析並找出是否曾發生惡意行為。</p> <p>以2022年出現的Apache Log4j弱點為例，相較於以往自行上網搜尋相關資訊的作法，資安人員只需以口語指令詢問Security Copilot，模型就會結合Microsoft Defender for Threat Intelligence和微軟的情報網，全面匯整這個弱點的相關資訊，並以自然語言進行解說及分析對組織的影響。資安人員還能善用其深入追問功能，由Security Copilot條列出接下來應該執行的工作。</p> <p>針對威脅獵捕的影響分析，資安人員的傳統作法是切換不同的資安工具，在大量Log中找出警示產生的影響及攻擊路徑。Security Copilot則可串接微軟的全線資安工具，在事件發生的當下立即拼湊出事件的起源與全貌，包括事件來自哪個使用者開啟了哪個惡意程式、當時使用的端點，還能進一步結合Microsoft Sentinel，繪製出惡意程式的攻擊路線圖。即時的逆向工程亦是傳統資安工具缺乏的能力，以Security Copilot結合微軟雲端的沙箱技術，就能了解惡意程式會執行哪些程序。進一步結合Microsoft Sentinel，以Security Copilot繪製出惡意程式的攻擊路線圖。針對用戶關注的資料保護課題，Security Copilot同樣遵循微軟Copilot全線服務的三大承諾，也就是用戶的資料所有權百分之百屬於用戶所有、微軟不會使用用戶的資料或問答歷程來訓練模型、微軟保證用戶資料的保全遵循合規法遵所需。</p> <p>透過與微軟全線資安產品的整合，以及每天新增65 兆的海量資安情報，Security Copilot不僅以自然語言的問答方式改善人與資安軟體的互動，也為必須持續不懈的資安防禦工事，提供了最即時、最到位的支援。如此一來，不但能因應駭客層出不窮且不斷精進的攻擊手法，也能順勢化解資安專業人才不足且需要時間養成的長期挑戰。</p> <p> </p> <p>--</p> <p><strong>延伸閱讀與補充資源</strong></p> <p>《<strong><a href="https://aka.ms/0518-iThome-Webinar-Zero-Trust-Whitebook" target="_blank">身分識別管理：「零信任」安全性的基礎</a></strong>》<br /> 周邊型安全模型已經過時，本電子書將幫助您了解現代身分驗證方案該有的樣貌。</p> <p>《<strong><a href="https://aka.ms/0518-iThome-Webinar-Security-Operations-Guide" target="_blank">Microsoft 網路防禦營運中心的最佳做法和經驗教訓</a></strong>》<br /> 本電子書分享了Microsoft 安全性作業中心的最佳做法和經驗教訓，立即了解如何強化並集中資安力量、全面抵禦威脅！</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/960x420-shutterstock_2177151593.jpg?itok=sQxego9H" width="960" height="420" alt="" /></div></div></div>
2023/5/30 10:04機構署名廠商新聞稿https://www.ithome.com.tw/pr/157094
Angular最新年度調查結果出爐，開發者對伺服器端渲染功能不甚滿意
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Angular團隊對社群進行<a href="https://blog.angular.io/angular-developer-survey-2022-results-summary-d17c88f62690">年度調查</a>，總共回收了12,000位受訪者的意見，開發者普遍喜歡的功能包括相依性注入（Dependency Injection）、IDE支援和CLI建置工具，但在伺服器端渲染、測試和除錯等功能則不滿意，官方承諾他們將依據開發者的回饋，制定發展路線圖繼續改進Angular。</p> <p>根據問卷調查結果，開發者普遍對Angular整體感到滿意，滿意度高達82％，最喜歡的功能是相依性注入。相依性注入是一種能夠降低程式碼之間耦合度的設計模式，在Angular框架中屬於核心功能的一部分，Angular使用階層式注入系統，能夠在任何層級提供相依物件，像是在應用程式、特定模組，甚至是元件層級配置和管理相依關係。</p> <p>Angular對於IDE支援以及CLI建置工具也受開發者的肯定，而最被開發者嫌棄的則是伺服器端渲染，官方則承諾會在繼續改進。Angular在其最新版本v16已經改良伺服器端渲染以及Hydration功能，可進一步提升頁面載入效能，而官方也承諾還會探索部分Hydration功能的可行性，並且和Angular Universal與CLI更好的整合。</p> <p>在測試方面，官方公開了在Angular CLI單元測試的未來發展策略，其中包括以Web Test Runner替換Karma，提供瀏覽器內測試，並且加入對JavaScript測試框架Jest的支援。而除錯和分析方面，Angular則持續與Chrome DevTools團隊合作，並會在Angular DevTools提供更好的相依注入和路由結構理解功能。</p> <p>Angular官方也預告，他們正在開發新功能，以提高Angular應用程式的初始載入速度。不只伺服器端渲染會加速初始載入速度，即將加入的元件級程式碼分割API，可讓開發者以宣告的方式，標記應該延遲載入的部分，使得需要立即用到的資源可以立即載入，不需要立即使用的資源會等到需要使用的時候才載入，以提高初始載入速度。</p> </div></div></div>
2023/5/30 08:23作者李建興https://www.ithome.com.tw/news/157089
PostgreSQL 16強化平行查詢與SIMD支援，整體執行效能獲提升
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>受歡迎的開源關聯式資料庫PostgreSQL，最新v16第一個Beta測試版本釋出，這個新版本新增許多重要改進，包括效能、開發者體驗和安全性提升。</p> <p><a href="https://www.postgresql.org/about/news/postgresql-16-beta-1-released-2643/">PostgreSQL 16</a>深度最佳化平行查詢功能，擴展平行操作支援更多類型的聚合函式，進而使SELECT DISTINCT查詢能夠利用增量排序。這個版本窗查詢（Window Query）也經過調整，進一步提高RANGE和LIST分區查詢的效率，並且針對RIGHT和OUTER查詢添加Anti-Joins支援。</p> <p>COPY指令的資料並行批次載入效能提升300％，且因為PostgreSQL 16同時對x86和Arm架構加入SIMD技術支援，因而加速ASCII和字串，以及對陣列和子交易搜尋的最佳化。此外，PostgreSQL 16的客戶端函式庫libpq加入負載平衡功能，有助於分散查詢壓力。</p> <p>官方強化了PostgreSQL 16的邏輯複寫功能，所謂的邏輯複寫是一種資料庫複製技術，可以在不同的資料庫之間複製資料，而PostgreSQL的邏輯複寫可以即時串流資料到其他PostgreSQL或是有實作邏輯複寫協定的外部系統。在PostgreSQL 16之前，用戶只能在主要的執行個體上，創建邏輯複寫發布者，而在PostgreSQL 16，增加了在備用執行個體進行邏輯解碼的能力，提供用戶更具彈性的工作負載平衡選項。</p> <p>對開發者來說，PostgreSQL持續改進SQL/JSON標準支援，強化JSON操作能力，這個版本添加SQL標準ANY_VALUE聚合函式，可以回傳聚合集中的任意值。另外，PostgreSQL 16供用戶指定非十進位整數文字，像是0xff、0o777和0b101010，並可以使用下底線作為千分位分隔符號，例如5_432。</p> <p>在安全性方面，PostgreSQL 16增加了一些預定義角色，諸如pg_maintain和pg_create_subscription，這些角色擁有權限執行特殊操作，不再需要超級使用者權限，因此權限管理將更加細緻，增加系統安全性。另一個權限細化的改進，是邏輯複寫的訂閱者，能以表格擁有者權限執行交易，因此不再需要超級使用者權限。</p> </div></div></div>
2023/5/30 08:26作者李建興https://www.ithome.com.tw/news/157090
數位部推臺灣雲市集2年多，鼓勵資服業者上架訂閱制雲端工具、吸引4萬多家企業申請使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位發展部數位產業署署長呂正華今日（5/29）揭露雲世代產業數位轉型計畫進展，該計畫自2020年展開，旨在鼓勵資服業者開發雲端解決方案，將這些雲工具放置於政府建置的臺灣雲市集（Tcloud），來讓中小微型企業申請使用，最快10分鐘就能完成，企業使用者也能獲得補助，要加速中小微型企業數位轉型。至今，雲市集已有1,100多個雲工具上架，也有近5萬家企業申請使用，還能普及到偏鄉2,000家企業。然而全臺中小微型企業共有154萬多家，呂正華表示，政府未來將持續跨部會推廣、擴大企業用雲比例。</p> <p><span style="font-size:24px;"><strong>2年前跨部會展開計畫，射出4支箭推動企業用雲</strong></span></p> <p>呂正華指出，2020年疫情間，政府開始思考如何加速產業數位轉型，於是跨部會推動雲世代產業數位轉型計畫，聯手數位部、經濟部、農委會、客委會、原民會等部會展開計畫，要加速中小微型企業轉型，提高數位化程度。該計畫分為4大部分，包括建置臺灣雲市集平臺、發展雲服務、培育非資工資管系數位人才，以及次領域產業輔導，前3部分由數位部產業署負責，最後一部分因涉及小微型企業、製造業、零售暨服務業和農漁業，因此由經濟部中小企業處、工業局、經濟部商業司和農委會跨部會負責。</p> <p>進一步來說，臺灣雲市集平臺是要讓資服業者上架自家雲端產品，來讓有需求的企業申請使用。目前雲市集有10類不同的SaaS解決方案、共1,100多個雲端工具，平臺也附上6種產業使用指南和89個成功案例，來供使用者參考。此外，雲市集上線2年多，也完成700多家企業的線上專家諮詢服務。</p> <p>目前全臺已有4萬多家企業申請使用這些雲工具，也節省了160萬張A4紙。這種雲市集運作機制，也能普及到偏鄉2,000多家企業，提高企業數位化程度。呂正華表示，該平臺將整體上雲率提高至68.2%，不過，全臺共有154萬多家中小型企業，他們將繼續推廣，要讓更多企業擁抱雲工具。</p> <p><span style="font-size:24px;"><strong>輔導資服業者打造訂閱制雲服務，還要培育非資工資管系人才</strong></span></p> <p>在發展雲服務部分，目標是要鼓勵資服業者發展訂閱制的商業模式，來提供雲端服務和工具。這麼做，是要解決以往客製化高成本、開發導入耗時耗力且不易擴散複製的痛點，改由資訊業者發展雲服務。政府也在2021年和2022年輔導21家資服業者、打造產業所需的雲端服務，包括紡織、餐飲、工具機、鑄造、帶鋸機、塑膠製品、零售、家電、遊覽客運、農產運銷等10大領域解決方案。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-05-29%20195544.png" /></p> <p>呂正華指出，益欣資訊就是一例，他們發展出LaaS平臺雲服務，來提供餐飲業數據分和行銷服務，像是店務管理、叫貨預測、訂單報表、BI，以及票券核銷、點數管理、CRM行銷推薦等，並支援各廠牌POS機。這些服務都能在雲市集平臺上找到，他們服務的企業涵蓋中西餐廳、早午餐業者和飲料業者，像是麥味登、築間火鍋、金色三麥和便利超商等。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-05-29%20195558.png" /></p> <p>另一方面，數位部也在雲世代產業數位轉型計畫下，推動企業提供實習機會來培育數位人才，並稱之為數位青年T大使。進一步來說，數位部鎖定非資管、非資工系的大專院校畢業生及求職者，目標是要透過具數位轉型經驗的企業開放場域，來讓業師以做中學方式訓練跨域青年人才，加速人才轉換跑道和累積轉型就業基礎，培育為期20周。</p> <p>首先，青年得通過30小時的基礎培訓，如實作認知、職場溝通、簡報技能等，再來進入主題學院或企業專班，以主題課程+業師指導方式來累積實作經驗。在這個過程中，青年學員也會受訓取得國際證照，完成後，就會進入人才媒合階段。呂正華指出，2021年至2022年統計有336家企業投入、388位業師協助，共培育1,325位人才，其中非資管、資工系青年參與比例達87%，訓後3個月平均就業率則是50.4%。</p> <p>數位部指出，接下來除了將繼續跨部會推廣企業採用臺灣雲市集雲端工具外，還要瞄準偏鄉小微型企業，要帶領資服業者、數位青年和專家顧問等，來推動偏鄉企業轉型。</p> <p><strong><span style="font-size:24px;">AI基本法將視各部會討論再公布細節</span></strong></p> <p>另一方面，問及外傳的9月AI基本法草案出臺時程，呂正華指出，AI基本法還得視行政作用法完整度而定。也就是說，與AI使用情境有關的產業部會，如衛福部、金管會、經濟部等，需要討論該產業適用機制，透過跨部會協作來讓法規更完整。</p> <p>國科會副主委林敏聰表示，AI基本法由行政院3位政委統籌，分工方式為國科會負責基本法，其他作用法則由相關部會負責，最終由行政院定案，屆時會由行政院宣布正式內容。他透露，草案出臺時程應該不會太久，他們希望基本法和作用法能同時推動，才能有效解決AI使用問題。</p> <p>約2個月前，政府協業界專家舉辦<a href="https://www.youtube.com/watch?v=VwwdClc5h3Q&t=1s&ab_channel=%E8%B2%A1%E5%9C%98%E6%B3%95%E4%BA%BA%E4%BA%BA%E5%B7%A5%E6%99%BA%E6%85%A7%E6%B3%95%E5%BE%8B%E5%9C%8B%E9%9A%9B%E7%A0%94%E7%A9%B6%E5%9F%BA%E9%87%91%E6%9C%83">AI基本法草案發表說明會</a>，提及AI基本法將聚焦AI風險評估和監管機制，要針對AI全生命周期發展進行風險評估和監管，並制定國家標準來管理AI研發與使用。</p> <p></p><div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/VwwdClc5h3Q?controls=0" title="YouTube video player" width="560px"></iframe></div> </div></div></div>
2023/5/29 20:06作者王若樸https://www.ithome.com.tw/news/157092
Computex電腦展：Arm首發TCS23運算解決方案，第5代GPU效能提昇15%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Arm在本周Computex電腦展開展前夕，在臺發表TCS23全面運算解決方案，包含Armv9 Cortex CPU叢集的Cortex X4核心，相較前一代X3核心，效能提高15%，還有第5代GPU架構的Arm Immortalis G720，效能提升14%。</p> <p>Arm資深副總裁暨終端產品事業部總經理Chris Berbey表示，去年Arm推出TCS 22，今年進一步推出TCS23，象徵Arm在2023年的全面運算解決方案，結合新製程、架構，提升效能、系統層級效率。TCS23包括採用第5代GPU架構的Immortalis GPU，Armv9 CPU叢集，以及開發人員易於取用的軟體強化技術。</p> <p>在第5代GPU架構，Arm重新設計繪圖管線，降低記憶體頻寬的使用，新增加延遲頂點著色技術（Deferred Vertex Shading, DVS），透過重新定義GPU的資料流，提高效能。</p> <p>新推出的Immortalis-G720，在效能上提升15%，僅增加2%面績，系統層級效率則提高40%。此外，Arm也推出貼近主流市場的GPU，包括Mali-G720及G620。</p> <p>在CPU方面，新發表的超大核心Cortex X4，主要鎖定旗艦級智慧手機的高效能需求，和先前的Cortex-X3相比，Arm宣稱在效能方面提高15%，PPA面積則增加10%。Chris Berbey表示，其採用省電微架構，在相同的製程下，較X3降低40%的功耗，效能、效率提升，帶來更好的使用者介面回應、程式啟動速度。過去Arm和台積電合作，運算架構結合新製程，實現效能、效率的提升，目前也已與台積電在N3E製程上完成Cortex-X4設計定案，以發揮Arm處理的效能、功耗、面積上的優勢。</p> <p>除了高效能的CPU叢集，在大小核CPU核心也推出新的高效能大核Cortex-A720，以及高效率小核A520，較前一代功耗效率提升20%。</p> <p>Chris Berbey表示，全球遊戲市場規模已超過920億美元，全球App市場也達到4,300億美元，預估每位行動用戶平均使用流量將達到19GB，顯示行動運算市場商機成長。</p> <p>Arm指出，生成式AI在全球造成風潮，智慧型手機的AI處理能力約每2年增加1倍，Arm從開源軟體程式庫，提高Arm處理器的機器學習能力，以支援開發人員運用AI、ML。目前在Android平臺Google應用程式已使用Arm NN、Arm Compute Library，約有超過1億的活躍用戶。</p> <p>去年推出TCS22，聯發科推出天璣9200與9200+，在TCS23推出之後，聯發科指出，將為下一代天璣旗艦晶片提供良好的基礎，同時也預告下一代的天璣結合Arm最新行動運算技術，提升行動體驗。在TCS 23之後，Arm也揭露未來的產品藍圖，TCS24運算方案的Krake GPU及Blackhawk CPU，但並未揭露更多的細節。</p> <div> </div> </div></div></div>
2023/5/29 19:54作者蘇文彬https://www.ithome.com.tw/news/157091
【資安日報】5月29日，微軟加密附件檔案遭到釣魚郵件濫用，鎖定企業收款部門而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客在釣魚攻擊行動裡，利用多種檔案格式的附件來迴避資安系統偵測的情況，包含了運用光碟映像檔（ISO、IMG、CDR），或是壓縮檔（ZIP、RAR）。但現在出現了另一種較為特別的檔案格式「RPMSG」，這是受到微軟權限管理服務（RMS）保護的檔案類型，只允許特定使用者存取，這樣的釣魚郵件攻擊顯得相當有針對性。</p> <p>另一個很可能被用於網釣攻擊的手法，則是與Google開放ZIP頂級網域名稱（TLD）有關。最近有研究人員公布了在瀏覽器裡打造解壓縮軟體WinRAR視窗的概念性驗證攻擊手法，並指出這樣的網頁若是搭配特定的ZIP網域，很有可能讓使用者以為自己在開啟WinRAR程式而上當。</p> <p>Google Cloud Platform（GCP）資料庫代管服務CloudSQL出現的漏洞也值得留意，這項漏洞與代管微軟SQL Server的部分配置不當有關，而使得攻擊者可取得SQL Server管理員權限並進行控制。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/microsoft-encrypted-restricted-permission-messages-deliver-phishing/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客挾持Microsoft 365帳號並濫用RPMSG附件竊密</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/rpmsg-picture2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/rpmsg-picture2.png" style="width: 300px; float: right;" /></a>資安業者Trustwave揭露濫用微軟加密附件RPMSG的釣魚郵件攻擊行動，駭客先是利用遭竊的Microsoft 365帳號，假冒支付處理業者Talus Pay的名義，向目標公司的收費部門寄送帶有RPMSG附件的電子郵件，收信人必須透過自己的微軟帳號或是動態密碼才能存取。</p> <p>一旦收信人照做，就會看到駭客提供的電子郵件內容，要求收信人存取置放於Adobe Indesign雲端服務當中SharePoint假文件，要求點選連接檢視文件內容，然而要是收信人依照指示下載、開啟，電腦就會執行惡意指令碼收集系統資訊，完成後還會再開啟偽造的Microsoft 365登入視窗，並將竊得資訊傳送到攻擊者的伺服器。</p> <p>研究人員指出，使用RPMSG附件的攻擊數量目前並不多見，可說是相當具有針對性，而且，企業想要察覺這類攻擊並不容易。</p> <p><a href="https://citizenlab.ca/2023/05/cr1-armenia-pegasus/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">間諜軟體Pegasus鎖定納戈爾諾卡拉巴赫戰爭而來，攻擊亞美尼亞人士</span></strong></a></p> <p>加拿大公民實驗室（Citizen Lab）與非營利組織Access Now、CyberHUB-AM、Amnesty International，以及行動裝置資安研究員Ruben Muradyan聯手，公布亞美尼亞人士手機曾遭到間諜軟體Pegasus攻擊的細節，並指出起因是蘋果在2021年向部分使用者發出通知，表示他們可能遭到國家級駭客攻擊。結果有不少亞美尼亞人向Access Now、CyberHUB-AM通報，懷疑自己的手機遭到攻擊。</p> <p>在這些非營利組織聯手進行調查後，結果確認有12人的蘋果裝置，在2020年10月至2022年12月遭到Pegasus入侵，且和2020年發生的納戈爾諾卡拉巴赫戰爭有關，推測使用這類間諜軟體的背後主使，可能是亞美尼亞及亞塞拜然政府。</p> <p><a href="https://www.bleepingcomputer.com/news/security/us-govt-contractor-abb-confirms-ransomware-attack-data-theft/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">跨國IT承包業者ABB證實遭到勒索軟體攻擊</span></strong></a></p> <p>承包美國政府IT業務的跨國業者ABB公司傳出於5月7日遭到勒索軟體Black Basta攻擊，導致營運中斷、專案進度延期，現在該公司透露進一步的調查結果。</p> <p>資安研究人員Kevin Beaumont取得該公司向客戶寄送的通知信，當中提及此起事故為勒索軟體攻擊，駭客部署了不會自我複製的勒索軟體，並外洩了特定的內部資料。</p> <p>該公司尚在調查受影響範圍，並強調截至目前為止尚無客戶資料外洩的跡象，也並未對該公司的產品安全造成影響。</p> <p><a href="https://mrd0x.com/browser-in-the-browser-phishing-attack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客可假裝在瀏覽器視窗「顯示」壓縮檔內容，引誘受害者下載惡意軟體</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/archive-in-the-browser-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/archive-in-the-browser-2.png" style="width: 300px; float: right;" /></a>自Google開放註冊名為ZIP的頂級網域名稱（TLD）後，有資安專家警告可能會被用於攻擊行動，如今這樣的情況已出現相關工具。</p> <p>資安研究員mr.d0x公布了濫用這種網域的網釣概念性驗證攻擊程式，駭客先註冊特定名稱的ZIP頂級網域（研究人員以mrd0x.zip為例），然後設置看起來像WinRAR畫面的網頁。</p> <p>為了讓使用者誤以為真的在操作解壓縮程式降低戒心，網頁上的按鈕都確實有其作用，而能引誘受害者點選特定的檔案，「解壓縮」視窗裡面的文件檔案，進而讓受害者下載惡意檔案，或是將他們重新導向到另一個網頁，要求輸入帳密資料才能檢視檔案，進而側錄及竊密。</p> <p><a href="https://www.trendmicro.com/en_us/research/23/e/new-info-stealer-bandit-stealer-targets-browsers-wallets.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊資軟體Bandit鎖定瀏覽器及加密貨幣錢包而來</span></strong></a></p> <p>資安業者趨勢科技揭露名為Bandit的竊資軟體，此惡意程式是由Go語言開發而成，主要是透過命令列工具Runas來執行，而能在駭客取得具備足夠權限的帳號之下，以非現在登入的使用者帳號執行惡意程式。</p> <p>一旦執行，此竊資軟體就會針對9種虛擬化環境的特徵進行檢查，確認是否在沙箱環境運作。駭客藉由此竊資軟體盜取受害電腦上的網頁瀏覽器組態，以及加密貨幣錢包的帳密。</p> <p>研究人員指出，雖然這款竊資軟體針對Windows電腦而來，但他們在當中發現了Linux的檔案路徑，研判駭客可能也打算開發對於這類作業系統的竊資軟體。</p> <p><a href="https://www.youbike.com.tw/region/main/news/service/647050e001f02c629b73bb65/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對資料外洩事件，YouBike擬賠償受害者每人500元騎乘券</span></strong></a></p> <p>共享單車業者YouBike自5月17日起，網站遭到2次攻擊導致資料外洩，4萬名用戶的騎乘資料曝光。該公司在上週末公布用戶的補償方案。針對所有騎乘資料外洩的使用者，該公司將提供500元的YouBike 2.0騎乘券，並計畫在9月底前發放、存入使用者的App；而對於已遭到詐騙的用戶，該公司打算受理提供賠償，補償內容為遭騙金額的50%，但上限為新臺幣2萬元。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.dig.security/post/gcp-cloudsql-vulnerability-leads-to-internal-container-access-and-data-exposure"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">GCP的資料庫代管服務CloudSQL出現嚴重漏洞，恐曝露機密資料</span></strong></a></p> <p>資安業者Dig揭露Google Cloud Platform（GCP）資料庫代管服務CloudSQL的嚴重漏洞（未登記CVE編號），研究人員先是在其代管的微軟SQL Server上，找到能將初始權限提升到名為DbRootRole群組的GCP管理員角色，再找到另一個組態錯誤配置的漏洞，取得Sysadmin權限，進而完全控制代管的SQL Server伺服器。</p> <p>攻擊者一旦利用相關漏洞，就有可能存取作業系統底層代管的所有檔案，並且挖掘相關帳密資料，而能用於接下來的跳板攻擊。研究人員於2月向Google通報，該公司於4月完成修補，並根據Vulnerability Reward Program（VRP）給予研究人員獎金。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.handelsblatt.com/unternehmen/industrie/tesla-files-was-sie-ueber-die-recherchen-zu-den-geheimen-tesla-files-wissen-muessen/29167070.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">前員工向德國媒體洩露特斯拉內部機密，包含過往自動駕駛Autopilot的投訴資料</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/qbot-malware-abuses-windows-wordpad-exe-to-infect-devices/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體QBot濫用Windows內建的記事本應用程式側載執行</span></span></strong></a></p> <p><a href="https://arxiv.org/abs/2305.12784"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露Hot Pixels攻擊手法，藉由偵測處理器溫度、功率變化竊取電腦瀏覽器資料</span></span></strong></a></p> <p><a href="https://cofense.com/blog/summer-time-scams-the-return-of-vacation-request-phishing-emails/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">假借旅遊休假名義的網路釣魚、BEC詐騙出現</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/blackbyte-ransomware-claims-city-of-augusta-cyberattack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國喬治亞洲奧古斯塔市傳出遭勒索軟體BlackByte攻擊</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157069">【5月26日】模擬紅隊演練的工具傳出遭到濫用，駭客拿來攻擊電網的工控設備</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157039">【5月25日】伊朗駭客部署後門程式PowerExchange，將受害組織的郵件伺服器當作C2來隱匿行蹤</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157021">【5月24日】研究人員針對Zyxel防火牆漏洞提出警告，至少有4.2萬臺設備尚未修補而可能曝險</a></strong></p> </div></div></div>
2023/5/29 16:03作者周峻佑https://www.ithome.com.tw/news/157087
PyPI將強制要求所有軟體出版商使用2FA
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/156975" target="_blank">日前才傳出因惡意專案過多</a>，而暫停接受新用戶與專案的<a href="https://blog.pypi.org/posts/2023-05-25-securing-pypi-with-2fa/" target="_blank">Python於上周宣布</a>，將強制所有專案或組織的維護者在今年底以前啟用雙因素身分驗證（2FA）。</p> <p>PyPI表示，該Python套件儲存庫最關鍵的安全承諾便是確保使用者所下載的任何內容，都是由該專案的相關人員所上傳或變更，以便從專案維護者就可辨識專案的安全性。然而，當維護者採用不安全的密碼，或是重覆使用已外洩的密碼，都會令他們及其專案成為駭客的攻擊目標。</p> <p>其實PyPI在去年7月，就曾贈送免費的實體安全金鑰予該平臺上下載最熱門的前10%專案的維護者，然而，儘管PyPI的每一個帳號對駭客而言價值不一，但只要被危害的專案具有相依性，不論熱門與否，就可能危及使用者的電腦，甚至波及其它系統，在此一供應鏈攻擊愈來愈興盛的時代，PyPI決定強制要求所有維護者啟用2FA。</p> <p>帳號接管攻擊過去在PyPI平臺上即曾發生過，駭客在取得維護者的帳號之後，即代為發布內含惡意程式的專案，並於受害者電腦上安裝與執行任意程式。PyPI說，2FA是一個可立即消除密碼外洩風險的方式。</p> <p>另一方面，此一政策還能減少PyPI管理人員的負擔，因為過去他們經常要緊急調查與處理維護者遭竊的帳號。</p> <p>PyPI建議該平臺的維護者最好立即啟用2FA，採用實體金鑰或驗證程式來驗證身分，並應透過Trusted Publisher或API令牌來上傳內容。</p> </div></div></div>
2023/5/29 16:14作者陳曉莉https://www.ithome.com.tw/news/157088
加州法院判決Google侵犯Sonos專利
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據《<a href="https://www.theverge.com/2023/5/26/23739273/google-sonos-smart-speaker-patent-lawsuit-ruling" target="_blank">The Verge</a>》與《<a href="https://www.law360.com/media/articles/1682102/breaking-google-hit-with-32-5m-verdict-in-sonos-speaker-patent-fight" target="_blank">Law360</a>》的報導，加州法院陪審團於上周認定Google侵犯美國音響設備業者Sonos的聲音專利，必須支付3,250萬美元的賠償費用。</p> <p><a href="https://www.ithome.com.tw/news/135239" target="_blank">Sonos是在2020年控告Google</a>的十多項產品侵犯該公司的多房間音樂播放專利，指控Google藉由在2013年與Sonos的合作，取得了相關專利的技術知識，並自2015年起應用在Google的眾多裝置與服務上，故意侵犯其專利。</p> <p><a href="https://www.ithome.com.tw/news/148762" target="_blank">美國國際貿易委員會（International Trade Commission，ITC）也在2022年裁決</a>Google的確侵犯Sonos的5項專利，禁止Google於美國銷售侵權產品。</p> <p>此次加州法院的陪審團則僅認定Google的智慧喇叭與媒體播放器侵犯Sonos的其中一項專利，且判罰3,250萬美元。</p> <p>雖然外界認為這對Sonos而言只是很小的勝利，同時Google亦對外透露，這次被判侵權的都是些不常用的特定功能。</p> <p>但Sonos法務長Eddie Lazarus則向《The Verge》表示，該公司相信Google所侵犯的Sonos專利超過200項，從這次僅侵犯單一專利的判賠金額來看，可見Sonos的智慧財產價值。</p> <p>另一方面，為了制衡Sonos，Google也在去年控告Sonos侵犯其智慧喇叭與聲音控制技術專利，惟這起訴訟案仍在審理中。</p> </div></div></div>
2023/5/29 13:19作者陳曉莉https://www.ithome.com.tw/news/157085
RustConf 2023主題演講者被降級引發爭議，Rust核心成員辭職抗議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://www.ithome.com.tw/news/156386">程式語言Rust基金會才因商標草案飽受批評</a>，現在又因為RustConf主題演講者<a href="https://thephd.dev/i-am-no-longer-speaking-at-rustconf-2023">JeanHeyd Meneide</a>遭粗暴置換，引發另一起風波，而推薦JeanHeyd Meneide作為主題演講者的Rust專案核心成員<a href="https://www.jntrnr.com/why-i-left-rust/">Jonathan Turner</a>，則在知道這項消息後立即辭去職務表達抗議。</p> <p>事件的發生，始於程式語言專家JeanHeyd Meneide，原本受邀在RustConf 2023大會的主題演講發表演說，但是就在5月26日的時候，JeanHeyd Meneide接到一通來自主辦單位的電話，通知他原本要發表的主題演講，被降級為一般演講。</p> <p>JeanHeyd Meneide是官方ISO/IEC JTC1 SC22 WG14程式語言C專案的兩位編輯之一，也是C++專家，同時在開源社群非常活躍，管理許多受到產業和學術領域使用的大型開源專案。而JeanHeyd Meneide的主要推薦人之一Jonathan Turner則是Rust核心成員，過去曾經在微軟擔任TypeScript專案經理，是TypeScript初期發布的推手，同時也涉略過Clang/LLVM專案，具有編譯器專業。</p> <p>Jonathan Turner表示，臨時領導小組邀請JeanHeyd Meneide作為RustConf 2023的主題演講者，是認為他能夠以局外人的視角分享專家意見。RustConf在正式詢問JeanHeyd Meneide的意見後，他也接受成為主題演講者的邀請，但是有部分團隊成員對JeanHeyd Meneide的部落格文章不滿，因此反對JeanHeyd Meneide受邀成為主題演講者。</p> <p>JeanHeyd Meneide指出Rust社群的會議演講者缺乏黑人代表，認為整個Rust社群多樣性不足。而Jonathan Turner同意這樣的看法，因為無論是Rust組織還是會議，幾乎看不到黑人代表。不過顯然部分成員並不樂於聽到這樣的意見，要求Rust領導層不應讓JeanHeyd Meneide擔任主題演講者。</p> <p>因此Rust領導層在沒有經過臨時領導小組的投票，直接聯繫RustConf主辦者，並且要求更改邀請，RustConf主辦者則提供Rust領導層一星期的考慮時間，供他們改變主意，但是在這段時間，臨時領導小組也沒有收到主題演講者遭降級的通知。</p> <p>一周結束後，JeanHeyd Meneide被告知演講遭到降級，他在自己的部落格表達了對Rust基金會的失望，並且表示不接受演講遭降級，因為這對於他個人和專業都是無法接受的，而且他也不會試圖談判重新取得主題演講資格，因為那是對不透明決策框架的認可。</p> <p>Jonathan Turner對Rust基金會領導層的作為感到憤怒，認為這是對JeanHeyd Meneide的羞辱，並且不夠尊重專業，同時對RustConf失去由有色人種演說主題演講的機會感到可惜。對此Jonathan Turner決定即刻辭去在Rust專案的所有職務，表達對於Rust基金會的失望與抗議。</p> </div></div></div>
2023/5/29 13:34作者李建興https://www.ithome.com.tw/news/157084
Google AI搜尋測試平臺Search Labs上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google一個專供用戶試用的平臺Labs上周正式上線，讓用戶先試用以AI強化的搜尋。</p> <p>Google I/O 2023宣布的多項AI計畫中，<a href="https://labs.withgoogle.com/" target="_blank">包括名為Labs供用戶優先測試</a>一些限期開放的Google AI產品的實驗並提供測試回饋。<a href="https://labs.google.com/search/install" target="_blank">周五上線的是關於Google搜尋的Labs</a>，名為Search labs。用戶必須安裝桌機版Chrome，或是手機版Google App才能加入測試，並加入等待清單，等待獲准啟用測試，獲准使用時會先接獲電子郵件通知。</p> <p class="rtecenter"><img alt="" src="https://lh3.googleusercontent.com/xGAXG8LEviRuvZnzfzZTZgsOrA-YTFkeSkYkGguvp9iAUpBzOj4u-Pkci5jZ_3H4s7OxNNR9I7mj8FmuWE1cuOxVObEUeGqZ7igbIA=e365-rw-pa-nu-w1262" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p><a href="https://blog.google/products/search/search-generative-ai-tips/" target="_blank">根據Search Labs產品小組指出</a>，已經獲得通知的用戶，可以試試三種搜尋生成式體驗（Search Generative Experience，SGE），即整合生成式AI的搜尋。第一是針對全新或複雜主題，例如「學習烏克麗麗」，或「如何自主門戶開公司」。Google AI會先提供多個子題，用戶可再針對特定子題再深入探究。第二類，用戶也可以針對特定問題尋求訣竅，例如「如何去除毛衣上的陳年咖啡漬」、或是「如何換發護照」等。其次，欲採購商品的用戶也可以請AI Google搜尋，例如「廚房用壁紙」「泳池派對用的藍牙喇叭」。Google會先列出可能的商品、價格及評價等，用戶若想進一步了解可再按下商品圖片右下角的「詢問進一步問題」或選擇建議的次步驟提問其他問題。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0529-Google%20search%20labs-generative%20AI-600.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> <p><a href="https://blog.google/products/search/search-labs-ai-announcement-/" target="_blank">Search Labs實驗</a>中的功能除了搜尋生成式體驗外，另二個為程式碼撰寫妙招及整合試算表Sheets。程式碼撰寫妙招旨在協助開發人員更快撰寫程式碼，用戶可詢問像是C、C++、Go、JavaScript、Kotlin、Python、TypeScript等語言，或是Docket、Git、shells等工具、演算法的相關問題。整合試算表Sheets可讓用戶將搜尋結果直接加入線上試算表並分享給他人，可用於旅遊行程規畫或記錄從Google搜尋到的資訊。</p> <p>而Labs除了搜尋，用戶也可以加入等候清單測試另三項服務，一是類似微軟Copilot的Duet for Google Workspace，可幫助用戶在Google Docs撰寫徵才工作描述，或是將會議重點改寫成Gmail郵件。二是協助創意發想、代號Project Tailwind的AI筆記本（僅開放美國用戶）。以及<a href="https://www.ithome.com.tw/news/156832" target="_blank">輸入文字描述即可產生樂曲片段的MusicLM</a>。</p> </div></div></div>
2023/5/29 12:14作者林妍溱https://www.ithome.com.tw/news/157080
【資安週報】2023年5月22日到5月26日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一週的漏洞消息中，以Barracuda接露修補郵件安全閘道CVE-2023-2868漏洞最受關注，已遭零時差漏洞攻擊，上周提及蘋果修補已遭攻擊的三個零時差漏洞，本週CISA也將之列入已知漏洞利用清單。其他值得關注的漏洞修補消息，包括GitLab重大漏洞修補、應用程式框架Expo的OAuth漏洞修補、D-Link網路管理系統漏洞修補，以及Zyxel防火牆設備在23日遭遇大規模的記憶體緩衝區溢位攻擊，因而呼籲儘速升級韌體的消息。</p> <p>在全球威脅活動方面，有三起資安業者揭露的攻擊活動受矚目，首要焦點是，中國駭客組織Volt Typhoon鎖定美國關島（Guam）重大基礎設施攻擊的揭露最受關注，微軟並提供防護建議，後續中國外交部則否認，以及伊朗駭客組織TA456針對以色列航運、物流、金融服務領域網站植入惡意JavaScript指令碼的揭露，還有惡意驅動程式Wintapix近兩年鎖定中東多國攻擊的揭露。</p> <p>在威脅態勢方面，以PyPI暫停接受新用戶與專案最受關注，原因是近期發現大量惡意使用者與惡意專案，已超出管理者處理能量。還有一些威脅狀況可留意，包括：殭屍網路Mirai變種鎖定事件記錄分析系統漏洞、惡意軟體CosmicEnergy鎖定電力供應商工控系統，以及惡意軟體Legion鎖定SSH伺服器與AWS帳密的揭露。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/156982"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月22日】YouBike證實遭到網路攻擊，2.1萬用戶資料外洩</span></strong></a></h3> <p>上週末臺灣再度傳出與車輛共享服務有關的資安事故，共享單車服務業者YouBike於週六（19日）證實，因遭到攻擊而導致用戶資料外洩，呼籲使用者要防範相關的詐騙攻擊，以及悠遊卡、信用卡可能會遭到盜刷的情形。值得留意的是，21日該公司關閉會員登入功能，後續情形有待進一步觀察。</p> <p>各國政府對於可能會竊取用戶資料、並將其提供給敵對國家政府的應用程式下達禁令，然而，有些使用者無視這些管制，仍設法想要取得這類應用程式，使得這些亟欲使用的人可能成為駭客下手的對象！最近有研究人員揭露假冒影片剪輯軟體CapCut的惡意軟體攻擊行動，並認為攻擊者針對此應用程式的原因，是有許多國家封殺了這款由字節跳動（ByteDance）出品的應用程式，想要取得此軟體的使用者很可能會透過該公司網站以外的管道下載。</p> <h3><a href="https://www.ithome.com.tw/news/157011"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月23日】勒索軟體駭客BlackCat利用惡意驅動程式Poortry發動攻擊，繞過防毒軟體偵測</span></strong></a></h3> <p>勒索軟體BlackCat再度傳出新的攻擊行動，但值得留意的是，駭客運用的作案工具當中，包含了去年年底被揭露的惡意驅動程式Poortry，而有機會停用電腦防毒軟體的處理程序，免於遭到偵測。</p> <p>於上週末發生資料外洩事故的共享單車服務YouBike，現在又有新的發展，桃園市政府交通局指出，該公司在公布資安事故後二度遭到攻擊，受影響人數也增加快一倍。</p> <h3><a href="https://www.ithome.com.tw/news/157021"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月24日】研究人員針對Zyxel防火牆漏洞提出警告，至少有4.2萬臺設備尚未修補而可能曝險</span></strong></a></h3> <p>一個月前修補的防火牆漏洞，近期有資安業者提出警告，有可能即將發生攻擊行動。資安業者Rapid7針對兆勤科技（Zyxel）上個月修補的重大漏洞CVE-2023-28771提出警告，原因是至少有4萬臺防火牆設備曝險，並認為即將會出現漏洞攻擊行動。巧合的是，今（24日）兆勤呼籲防火牆、VPN設備用戶儘速安裝新版韌體，但並未提及修補的漏洞資訊，是否與Rapid7警告的這項漏洞有關？有待進一步釐清。</p> <p>印度駭客默默濫用AWS EC2實體挖礦的攻擊行動也相當值得留意，因為，這些駭客之所以能入侵特定的EC2帳號，是從程式碼儲存庫GitHub、GitLab，以及文字共享服務Pastebin下手，找出曝露的AWS帳密資料而能得逞。</p> <h3><a href="https://www.ithome.com.tw/news/157039"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月25日】伊朗駭客部署後門程式PowerExchange，將受害組織的郵件伺服器當作C2來隱匿行蹤</span></strong></a></h3> <p>駭客組織建置C2中繼站又有新的手法，那就是濫用受害組織的郵件伺服器！資安業者Fortinet揭露利用惡意程式PowerExchange的攻擊行動，當中最特別的部分是：駭客既非自行架設C2中繼站，也沒有濫用雲端服務，而是透過前述的惡意程式，把受害組織的Exchange伺服器變成C2。</p> <p>中國駭客組織Volt Typhoon針對關鍵基礎設施而來的攻擊行動也相當值得注意，微軟揭露針對美國而來的攻擊行動，並指出駭客幾乎沒有使用自行打造的惡意軟體，且透過適用於SOHO族的網路邊界設備將流量導向受害組織。</p> <p>於今年初完成修補的WordPress外掛程式近期也出現攻擊行動。資安業者Wordfence揭露針對外掛程式Beautiful Cookie Consent Banner而來的攻擊行動，呼籲網站管理者應儘速安裝更新。</p> <h3><a href="https://www.ithome.com.tw/news/157069"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月26日】模擬紅隊演練的工具傳出遭到濫用，駭客拿來攻擊電網的工控設備</span></strong></a></h3> <p>紅隊演練工具被駭客濫用的情況不斷發生，其中最常見的是Cobalt Strike，後來又有Brute Ratel C4（BRC4），以及<a href="https://www.ithome.com.tw/news/156930#geacon">採用Go語言開發的Geacon</a>，但這些工具主要都是針對IT網路環境而來。最近資安業者Mandiant揭露名為CosmicEnergy的惡意軟體，並指出該程式最初的用途，可能是針對工業控制環境進行紅隊演練的工具。</p> <p>殭屍網路Mirai的攻擊行動也相當值得留意，其中的IZ1H9變種鎖定了光纖數據機、Wi-Fi無線路由器、上網行為事件記錄系統而來，值得留意的是，駭客特別針對了兆勤（Zyxel）光纖數據機2年前修補的漏洞下手。</p> <p>D-Link上週修補了網路設備管理系統D-View 8的漏洞，其中有2個屬於重大層級，但引起眾人關注的是，該公司提供的新版程式並非正式版本，而是處於測試階段的版本，此舉將導致使用者面臨修補與否的選擇難題。</p> <p> </p> </div></div></div>
2023/5/29 09:49作者羅正漢https://www.ithome.com.tw/news/157074
ChatGPT iOS App正式在40餘國上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/OpenAI/status/1661488013275435008" target="_blank">OpenAI上周五（5/25）宣布</a>正宗ChatGPT iOS版App將在40多國家正式釋出。</p> <p>這是繼5月18日這個<a href="https://www.ithome.com.tw/news/156954" target="_blank">火紅聊天AI機器人在美國上線後</a>第二波公開的地區。周五先部署到11國，包括阿爾巴尼亞、克羅埃西亞、德國、愛爾蘭、南韓、紐西蘭、奈及利亞及英國。隔天又再公布加拿大、墨西哥、巴西、阿根廷、智利、波蘭、日本及印度等30多國。臺灣並沒有列在這一波名單中。</p> <p>安裝並啟用ChatGPT App後就可以選擇訂閱ChatGPT Plus付費版服務。用戶可以關閉對話記錄同時避免被OpenAI蒐集資料來訓練GPT模型。如果想保留對話記錄就必須同意OpenAI蒐集對話資料。</p> <p>Android手機用戶也不用太傷心。<a href="https://openai.com/blog/introducing-the-chatgpt-app-for-ios" target="_blank">OpenAI本月中說</a>，Android版App很快就會推出。</p> <p>OpenAI並沒有給出iOS App下載量統計，但根據<a href="https://techcrunch.com/2023/05/25/chatgpts-new-app-comes-out-of-the-gate-hot-tops-half-a-million-installs-in-first-6-days/" target="_blank">Techcrunch</a>引述研究機構Data.ai統計，ChatGPT iOS版App從開放美國用戶下載5天以來，下載安裝次數已達48萬次。相較之下，同樣是5天期間，Bing App 2月15日到19日，以及Edge App 2月8日到12日下載次數各為25萬及19.5萬次。後二者若包含Android及iOS版總計則各為34萬及33.5萬次。</p> <p><a href="https://www.ithome.com.tw/news/155395" target="_blank">ChatGPT線上版去年11月上線2個月後用戶數就到達1億人次</a>，是史上最快達到這個里程碑的應用程式。</p> <p>微軟5月稍早開放Bing Chat大眾試用及下載App，該公司指出，上線3個月以來Bing每日經常性用戶超過1億人，Bing手機版App安裝數量則成長了4倍。</p> </div></div></div>
2023/5/29 12:01作者林妍溱https://www.ithome.com.tw/news/157079
帶頭擁抱現代化IT及零信任，數位部要成為政府數位轉型火車頭
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「數位部應該是第一個有機會重新打造系統的部會。」數位部政務次長闕河鳴強調。</p> <p>去年8月底，數位發展部（簡稱數位部）正式掛牌成立，國內首次設立一個專門的部會，推動政府及產業的數位發展，涵蓋電信、資安、網路、資訊等相關業務。</p> <p>數位部不僅推動產業數位化，在數位政府、資安上也扮演公部門採用新技術的推手，積極運用資訊科技協助政府機關加速轉型，改進機關作業方式。數位部扮演政府部門創新的火車頭，展示各種流程簡化的新作法，去年數位部成立第一天，唐鳳的第一份公文，就結合行動自然人憑證及FIDO，不在辦公室而是在車上直接簽核。</p> <p>由於數位部為新成立的部會，籌備期間和唐鳳、部長室幕僚共同勾勒數位部全新IT架構的正是闕河鳴。他原本為陽明交大電機系副教授，在數位部成立後擔任政務次長，為數位部的CIO，督導提升國內資安措施，政府機構資安架構，以及規畫備援通訊網路，強化我國的數位韌性。</p> <p><span style="font-size:28px;"><strong>從無到有重新打造IT</strong></span></p> <p>數位部承接了許多部會的業務，雖然移撥到數位部的業務部門可能更熟悉原本的資訊系統，但數位部仍決定要打造全新的IT架構。由闕河鳴和部長室資訊背景幕僚聯手，自上而下勾勒出數位部內部的IT規畫、組織和資安規畫。</p> <p>相較於其他部會歷經多次組織改造整併，既有IT環境不斷疊加、複雜，闕河鳴表示，數位部為全新的部會，有機會打造自己的資訊系統，因此，一開始就相當重視IT架構規畫，「我們一開始的策略是，不要有機房，不要有地端的AD伺服器，不要有任何的地端伺服器」。</p> <p><span style="font-size:28px;"><strong>導入零信任網路</strong></span></p> <p>闕河鳴解釋，這個規畫的背後有幾個原因，首先是，由於數位部所屬機關分散在3到4個地點辦公，如果採用傳統的內網外網架構，可能讓系統更為複雜，所以，因此從成立第1天就導入零信任機制，所有ID都上到雲端AD，直接在雲端控管帳號身分，部內所有系統包括公文、電子郵件系統都能透過雲端進行身分認證，還包括筆電等設備認證。</p> <p>「包含公文、電子郵件、報帳系統等，第1天就使用一致的身分識別系統」，闕河鳴表示，這樣的規畫了排除無法支援雲端身分認證的業者，甚至，也有廠商得配合數位部需要進行調整。</p> <p>為了強化數位韌性，目前數位部採用CDN業者的雲端零信任方案，並將身分認證移至另一雲端AD伺服器，避免集中於數位部機房。使用者不論從何處存取數位部資源，需經過零信任雲端存取控制及雲端AD身分驗證。為提高身分鑑別安全等級，目前正推動身分驗證機制介接內政部行動自然人憑證，目標是讓所有經過雲端AD驗證的服務，也需經過行動自然人憑證的身分驗證。另外，今年也將導入相關機制強化設備安全驗證。</p> <p>根據行政院國家資通安全會報提出「國家資通安全發展方案」規畫，將發展零信任網路資安防護環境納入政策之一，推動政府機關採用零信任網路，以強化政府的資安防禦能量。</p> <p>政府在2022年先選出幾個機關，逐年推動零信任網路後續擴大到資通安全等級A級機關，這個重責大任落到數位部身上，數位部自己更是身先士卒，甫一成立就導入零信任。</p> <p>政府的零信任網路設計，主要參考NIST SP800-207提出的零信任架構，結合向上集中防護，政府零信任網路以門戶部署方式，包括3個核心機制，身分鑑別、設備鑑別，以及信任推斷。</p> <p>當使用者透過設備連至存取閘道，就會由決策控制器判斷是否開放連接到機關的資訊系統，其中身分鑑別採用FIDO2的無密碼雙因子身分鑑別，透過生物識別取代密碼，身分鑑別聲明則提供JWT與SAML兩種標準函式庫，供機關取得鑑別聲明；在設備鑑別方面，採用TPM及設備健康代理程式，鑑別設備的身分及健康狀態。至於信任推斷則基於分數和情境，依據身分鑑別、設備鑑別、設備健康程度、IP位址、登入時間等，計算出信任分數，比對條件決定允許或是拒絕。</p> <p>闕河鳴表示，接下來2年，數位部會在各級政府推動零信任。在其他部會原有的資訊架構下，和合作的部會共同討論，按照各部會的實際情形，擬定導入零信任架構作法。</p> <p>不過，其他政府機構既有IT環境，在經年累月組織的整併、疊加之下，系統架構相當複雜，對導入零信任帶來不小的挑戰。</p> <p>由數位部資安署、技服中心負責協助各部會推動零信任機制，先選擇業務比較單純、資訊向上集中的部會，目前已與文化部、退輔會合作，在兩個部會原有的資訊系統下，穿著衣服改衣服，為2個部會導入零信任架構，和部會原本的身分識別架構對照，以找出需要解決的問題。</p> <p>另外，為了推動零信任機制，數位部也認證國內外廠商，除了以資安檢核驗證他們的工具是否合格，並且實際落地使用，將通過認證的廠商納入信賴的業者名單中，其他政府機構要導入零信任架構時，從中選出適合的合作廠商。</p> <p>除了和個別部會合作，透過示範部會引導其他政府機關導入零信任網路，數位部也準備從T-Road著手推動零信任。闕河鳴表示，政府推動零信任的主要目的是確保重要資料的安全，並非為導入而導入，盤點政府哪些重要的資料需要保護，原本T-Road的規畫作為政府部門之間的資料的交換管道，因此T-Road上的交換資料也需要受到保護，明年會在T-Road上導入零信任架構，當T-Road上的47個機關進行傳輸資料時，應用零信任架構，驗證機關的身分識別、傳輸設備識別，搭配行為鑑別，偵測是否有陌生設備異常的大量傳輸資料行為，來加強T-Road的資訊安全。</p> <p>數位部寄望從T-Road應用零信任機制，讓其他規模更大的部會，從T-Road的資料交換感受到零信任架構的優點，慢慢擴大至更多政府機關加速採用零信任架構。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1131%E6%9C%9F-CIO-500-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 22px;"><strong>數位部政務次長闕河鳴表示，數位部的資訊系統就像樣品屋，但和一般美觀卻不見得實用的樣品屋不同，數位部經過實戰經驗，將系統變成建議方案導入其他部會。</strong></span></span><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>採用行動自然人憑證，導入行動公文簽核</strong></span></p> <p>除了資安，在傳統政府機關的公文作業流程裡，公務人員一般使用實體自然人憑證，在辦公室的電腦或公務筆電上，搭配讀卡機、自然人憑證，才能完成線上簽核公文，去年2月，內政部資訊中心推出行動自然人憑證，將實體憑證行動化，結合FIDO以生物特徵取代密碼輸入，讓公務員擺脫實體憑證使用限制，即使出勤在外開會，能隨時使用手機上的行動自然人憑證，通過FIDO驗證，完成線上公文簽核。</p> <p>內政部去年2月才推出行動自然人憑證，儘管努力推動其他部會或地方政府機關的系統採用行動自然人憑證，但礙於既有系統調整更動等原因，其他部會採用的進度緩慢。數位部去年8月底成立，甫一成立即在公文簽核導入行動自然人憑證，部長更是親身示範以行動自然人憑證簽署第一份電子公文。</p> <p>但是數位部推動行動公文簽核並不順利，他們和公文系統合作廠商、內政部測試許多次，最初系統常常出現不穩定的情形，後來他們發現導致不穩定的幾個原因。例如數位部沒有內部網路，全面改透過外部CDN服務來進行零信任認證，所有網路流量都經由CDN的服務，再連到內政部行動自然人憑證系統，但有時可能出現連線超時的情形，最後他們發現原因可能和網速有關，尤其是使用者在外透過行動網路，可能因當下的行動網路環境有比較多的使用者分享頻寬，導致連網速度降低，影響行動公文簽核服務。另外，他們也發現數位部使用的雲端防火牆，如果開啟過多的連接埠，也會導致使用行動公文簽核出現暫時性卡住的情形。</p> <p>使用行動自然人憑證作線上公文簽核，經過不斷測試解決問題，「從第一天到現在，我有約一半的公文簽核使用行動自然人憑證完成，不只是外出時使用，即使在部內也會使用行動自然人憑證簽核公文」，他說。</p> <p><span style="font-size:28px;"><strong>將數位部IT打造為樣品屋</strong></span></p> <p>在建築業，建商的建案完工之前，為了預先銷售，會先依照原先的規畫打造一間樣品屋，讓對建案有興趣的買家，可以先看看樣品屋，預覽將來房子完工後的情形，來決定是否購買。</p> <p>數位部作為所有政府機關數位轉型的推手，也將自己的IT當成政府數位轉型的樣品屋，「數位部的資訊系統就像樣品屋，但和一般美觀卻不見得實用的樣品屋不同，數位部經過實戰，將系統變成建議方案導入其他部會」，闕河鳴表示，只有通過實戰才能知道可不可行，通過這個方式，慢慢將樣品屋改造成可居住、架構比較先進的系統。</p> <p>以數位部的零信任架構為例，數位部不只是為了自己採用，更大的任務是因應政府整體資安即國安戰略的需求，用自己的導入經驗，來協助其他政府機構導入零信任架構。</p> <p>在其既有的IT系統下，以穿衣服改衣服的方式導入零信任機制，背後靠的是數位部、產業署、資安署，3至400多位公務員使用半年以上累積的實戰經驗，「對其他部會而言，資訊部門可能是附屬單位，但對我們來說，數位部在打造樣品屋，每2個星期會檢視現有資訊系統發生什麼問題」，闕河鳴表示，除了數位部自己使用資訊系統，也對外提供給其他政府部門使用，目前數位部已開發一些模板，並放棄自己的網站的著作權，開放其他政府單位使用，已有其他單位採用，建立他們自己的網站。</p> <p>作為政府數位轉型的推手，下一步還將針對公務人員每天最常做的3件事，看電子郵件、收公文、報帳，和主計總處討論，從上而下，推動各機關使用數位憑證，加速作業數位化。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><span style="color:#3399ff;"><strong>闕河鳴數位發展部政務次長</strong></span></p> <p>學歷：美國南加大電機工程博士</p> <p>經歷：曾任南加大資訊科學研究院研究助理，曾任中研院資科所助理，於交大擔任電信工程學系助理教授，2009年擔任交大電機系助理教授，升為副教授，2017年起擔任國發會亞洲.矽谷計畫人資長、執行長。2021年擔任陽明交大電機系副教授，2022年任數位部政務次長。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1131%E6%9C%9F-CIO-300-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 300px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／洪政偉</span></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 機關檔案 </span></strong></p> <p><span style="color:#3399ff;"><strong>數位發展部</strong></span></p> <p>地址：臺北市中正區延平南路143號</p> <p>成立時間：2022年8月27日</p> <p>主要業務：促進全國通訊、資訊、資通安全、網路與傳播等數位產業發展、統籌數位治理與數位基礎建設，並促進數位經濟發展及加速國家數位轉型</p> <p>員工數：495人（3月底為止）</p> <p>部長：唐鳳</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門督導主管職稱：數位發展部政務次長</p> <p>資訊部門督導主管姓名：闕河鳴</p> <p>資訊部門人數：15人</p> <p>資訊部門分工：資訊處分共用系統科、資通安全科、支援服務科</p> <p>IT預算：約8,300萬元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2022年8月：建構全臺第一個基於Web3思維之高安全性、高可用性星際檔案（IPFS）架構政府機關網站；無內外網區分的網路架構，提供安全的行動辦公環境；採用行動自然人憑證進行公文線上簽核</p> <p>2022年11月：數位部及所屬機關全面施行雲端零信任身分驗證機制</p> <p>2022年12月：導入No Code敏捷式設計工具，逐步建立機關內部所需各式表單流程</p> <p>2023年2月：向各部會推廣網站韌性及雲原生架構</p> <p>2023年3月：啟動內部雲原生開發轉型；推動Schema容器化以及上雲作業</p> <p>2023年4月：完成No Code系統容器化及上雲作業並導入DevOps機制</p> <p>2023年5月：推動身分驗證機制介接行動自然人憑證；規劃一般公務機密文書線上簽核</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1131qi_-cio-960-she_ying_-hong_zheng_wei_.jpg" width="960" height="420" alt="" title="數位發展部政務次長闕河鳴　（攝影／洪政偉）" /></div></div></div>
2023/5/29 08:53作者蘇文彬https://www.ithome.com.tw/people/157071
AI趨勢周報第217期：Meta發表LLaMA小而美版本LIMA，只用了1千個提示但媲美主流LLM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0519～0525)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Meta </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LIMA </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLaMA </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Meta發表LLaMA小而美版本LIMA</strong></span></p> <p>Meta AI聯手南加大、卡內基美隆大學和以色列特拉維夫大學共同打造一款650億參數的模型LIMA，只用了1,000個精心設計的提示和回應微調LLaMA而成，沒使用任何人工回饋的優化方法和強化學習，可說是小而美版的LLaMA，且表現相當好。</p> <p>進一步來說，大型語言模型可分為兩階段來訓練，一是利用原始文本進行無監督式預訓練，來學習通用表徵（Representation），二是大規模進行指令調整和強化學習，來確保模型最終任務的表現和使用者偏好是一致的（也就是對齊兩者）。而團隊思考，能否不用進行第二階段，也能讓LLM有良好的表現，於是他們開發出LIMA，只在1,000個提示和回應使用標準監督損失函數，來微調LLaMA，並未使用任何強化學習和人工回饋資料。</p> <p>經測試，團隊表示，LIMA性能非常強大，可從訓練資料中的少數範例，學習遵從特定的回應格式，比如複雜的旅行計畫。此外，LIMA也具有良好的泛化能力，也就是能處理訓練資料集中未見過的任務。在一項人工評測研究中，LIMA產出的回應，在43%的案例裡，不是相當於GPT-4就是比它還好。與Bard相比，這個數字來到58%，與經過人工回饋訓練的Davinci003相比，這個數字則是65%。團隊認為，LLM所學的所有知識幾乎源於預訓練期間，而且只需有限的指令微調資料，就能教模型產出高品質答案。<a href="https://chrome-extension://efaidnbmnnnibpcajpcglclefindmkaj/https://arxiv.org/pdf/2305.11206.pdf">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202023-05-27%20at%2010_15_09%20PM.png" /></p> <div> </div> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Copilot </span></strong></span></p> <p><span style="font-size: 22px;"><strong>微軟開發者大會揭露更多Copliot助理，AI外掛生態系成形</strong></span></p> <p>微軟在年度Build開發人員大會上，一口氣宣布多項LLM驅動的新功能，包括擴大Copilot助理至更多產品，如PowerBI Copilot、Windows Copilot，甚至是新產品分析整合平臺的Fabric Copilot。此外，微軟還要將自家的Bing Chat、Copilot與OpenAI的ChatGPT互通，形成AI擴充套件生態系。</p> <p>微軟先在2年前和OpenAI聯手推出GitHub Copilot，今年又接連將Copilot整合至多項產品，像是Microsoft 365、Dynamic 365、Viva、Sharepoint和安全工具。這次則進一步擴大，將分別推出內建在PowerBI、Power Pages和分析平臺Fabric的Copilot助理預覽版。微軟也預計在6月推出Windows Copilot for Windows 11預覽版，並讓使用者透過Windows Copilot和Bing外掛與ChatGPT互動。</p> <p>此外，微軟還推出AI開發框架和外掛，讓開發者用來打造Copilot助理，也能用來與第三方服務互動，開發者可透過該平臺，建立擴充套件來銜接客戶與業務端應用。同時，微軟也開放自家各產品的Copilot助理與ChatGPT互通，包括Bing、Dynamics 365、M365與Windows Copilot。另外，微軟的Bing也將成為ChatGPT的預設搜尋工具。<a href="https://news.microsoft.com/source/features/ai/microsoft-outlines-framework-for-building-ai-apps-and-copilots-expands-ai-plugin-ecosystem/">（詳全文）</a></p> <p><img alt="" src="https://news.microsoft.com/source/wp-content/uploads/2023/05/Copilot-stack-2.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 暗網 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> BERT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資安 </span></strong></span></p> <p><span style="font-size:22px;"><strong>有望揪出暗網勒索軟體交易！韓國研究員開發解讀暗網專用語言模型DarkBERT</strong></span></p> <p>一群韓國研究員用暗網資料，訓練出一款預訓練語言模型DarkBERT，可用來理解暗網用語，相當於暗網的導航工具，未來可用於資安領域，來偵測暗網的勒索軟體交易和暗網論壇非法訊息交換。</p> <p>進一步來說，團隊採用Meta在2019年釋出的預訓練語言模型RoBERTa，並自建訓練資料集來訓練模型，包括從Tor網路上爬梳大量資料，並進行數據過濾等一系列資料清理工作來打造暗網語料庫。他們也用去年自行開發的暗網語料庫CoDA來訓練DarkBERT，來理解暗網的特殊用語與結構。後來，團隊進行測試，並用RoBERTa和其他模型來對比DarkBERT的表現，他們發現，DarkBERT表現優於其他主流模型，更能理解暗網用語，可作為深入的暗網研究資產與資安偵測工具。<a href="https://arxiv.org/abs/2305.08596">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202023-05-27%20at%2010_19_07%20PM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> BLOOMChat </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> BLOOM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 商用 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>可商用的大型語言模型BLOOMChat來了</strong></span></p> <p>AI晶片設計公司SambaNova聯手AI技術新創Together，以BLOOM為基礎，共同打造一款可商用的大型語言模型BLOOMChat，支援多語言任務，如翻譯、問答、摘要等。自ChatGPT問世以來，許多功能強大的大型語言模型（LLM）也隨之出現，如GPT-4、LLaMA和PaLM 2，但這些模型並未開放商用，因此許多開發者轉向有商用授權的BLOOM，以它來打造所需的模型。</p> <p>於是，SambaNova和Together想打造一款可商用的LLM，他們以1,760億參數的BLOOM為基礎，用SambaNova的AI運算晶片RDU來執行微調任務。BLOOMChat的微調訓練資料來自2大類，一是大量自動合成的對話資料集OpenChatKit，另一是較少量的人工編寫對話資料集Dolly 2.0和OASST1。</p> <p>團隊也進行人工評分測試，來衡量BLOOMChat的英、法、中、西班牙、阿拉伯和印度語的回答能力。他們發現，BLOOMChat的勝率為45.25%，略遜於GPT-4的54.75%。不過，與OpenAssistant、BLOOMz等其他主流LLM相比，BLOOMChat達到近66%的勝率，是最高分的。<a href="https://sambanova.ai/blog/introducing-bloomchat-176b-the-multilingual-chat-based-llm/">（詳全文）</a></p> <p><img alt="" src="https://sambanova.ai/wp-content/uploads/2023/05/unnamed.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資料分析 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Fabric </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟推出單一整合資料分析平臺Fabric</strong></span></p> <p>微軟在開發者大會上揭露一款全端統一分析平臺Fabric，整合了各種資料和分析工具，將Azure Data Factory和Power BI技術都匯集到同一個平臺，並以多雲資料湖OneLake來統一儲存分析服務會使用的所有資料。簡單來說，Fabric是一個完整的分析平臺，包含7大核心工作負載，如預覽版的拖拉式資料處理工具Data Factory、預覽版Spark資料工程工具Synapse Data Engineering、預覽版資料倉儲服務Synapse Data Warehousing、預覽版資料分析工具Synapse Real-Time Analytics、預覽版AI模型開發工作流程工具Synapse Data Science和Power BI，以及即將推出的無程式碼即時資料偵測工具Data Activator。這些核心工作負載需要用到的資料，皆來自多雲資料湖OneLake，不會因不同使用者配置產生資料孤島，使用者也能更簡單探索和共享資料。</p> <p>Fabric也整合Azure OpenAI的Copilot，用戶可透過自然語言來建立資料流和資料工作流程，甚至生成程式碼和建置機器模型等工作。Fabric還整合Microsoft 365應用程式，能針對不同角色提供分析功能，比如，Excel使用者可直接在OneLake中分析數據，並一鍵產出PowerBI報表。<a href="https://azure.microsoft.com/en-us/blog/introducing-microsoft-fabric-data-analytics-for-the-era-of-ai/">（詳全文）</a></p> <p><img alt="" src="https://azure.microsoft.com/en-us/blog/wp-content/uploads/2023/05/MicrosoftTeams-image.webp" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫療影像 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 檢索 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google開源雲端醫療影像檢索函式庫</strong></span></p> <p>Google開源可快速從DICOM儲存檢索全玻片影像的函式庫EZ WSI DICOMWeb，要來加速數位病理發展。WSI是一種將傳統病理學切片數位化的技術，病理切片是將組織樣本切成非常薄的薄片，進行染色後在顯微鏡下觀察，供醫療人員觀察癌症和各種病理狀態。將病理切片數位化，就能儲存在數位裝置並在電腦上查看，還能用於AI判讀。</p> <p>但WSI也有著資料管理的挑戰，因為高解析度圖像容量非常大，要從DICOM儲存中，以DICOMweb檢索特定WSI區塊（Patch）並不容易。因此，Google開發EZ WSI DICOMWeb Python函式庫來簡化操作，要高效、簡單地存取WSI區塊圖像。該函式庫直接透過DICOMweb API，檢索需要的WSI區塊圖像，更直覺地使用圖像資料，開發者不必深入了解DICOM的資料結構和API，更能專注於應用開發上。<a href="https://opensource.googleblog.com/2023/05/accelerate-ai-development-for-digital-pathology-ez-wsi-dicomweb-python-library.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 廣告 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span></p> <p><span style="font-size:22px;"><strong>店家可自動生成產品照片！Google用生成式AI優化廣告服務</strong></span></p> <p>Google最近宣布把生成式AI整合至廣告服務中，並發表新的Product Studio工具，使用者能用生成式AI來建立產品照片。在Google Ads廣告服務中，Google用生成式AI來強化自動建立資產（ACA）功能，可根據使用者的查詢，來建立、調整搜尋廣告。例如當使用者查詢「如何保護乾性敏感肌膚」，Google AI會根據廣告登陸頁面上的內容，以及既有的廣告，重新建立一個更符合該查詢的廣告標題，如「舒緩你的乾性敏感肌膚」。</p> <p>Google也以生成式AI來強化Performance Max服務，廣告主只要提供網址，Google AI就能自動學習該品牌的內涵，並自動以文字或其它資產來填補廣告內容，包括自動替活動生成圖片。Google也將生成式AI應用在Merchant Center商家服務上，提供全新的Product Studio工具，以AI來協助商家建立新的產品圖片，如可根據季節來變換產品圖片的背景，或完全移除產品背景等。<a href="https://blog.google/products/ads-commerce/ai-powered-ads-google-marketing-live/">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/caa3.max-1451x1451.format-webp.webp" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IBM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 卓越中心 </span></strong></span></p> <p><span style="font-size:22px;"><strong>IBM投入千名顧問成立生成式AI卓越中心，鎖定企業轉型</strong></span></p> <p>IBM旗下顧問部門（原IBM全球企業諮詢服務部門）近日成立生成式AI卓越中心，目前有1,000名顧問在該中心服務，要用生成式AI來改善企業運作模式。這個中心會與IBM顧問部門的全球AI暨自動化單位並行，後者在全球擁有2萬1千名熟悉數據和AI的顧問，至今已完成4萬多個企業案例。</p> <p>IBM指出，生成式AI卓越中心的目標有3個，包括增強客戶體驗、轉變核心業務流程和促進創新業務模式，會利用IBM企業級AI解決方案（如新發布的AI數據平臺IBM Watsonx）和企業夥伴的解決方案，來推動客戶業務轉型。進一步來說，該中心會使用完整的生成式AI技術堆疊，包括基礎模型和50多個特定領域的經典ML加速器，此外也會使用AI顧問工具包，來優化內部營運和客戶服務內容。IBM表示，該中心正快速啟動，光是今年，IBM顧問部門就完成數十項生成式AI與典型ML的應用，像是替The Masters提供AI生成的體育評論播報、用IBM Watson和生成式AI替三井化學驗證新應用等。<a href="https://www.ibm.com/blog/ibm-consulting-unveils-center-of-excellence-for-generative-ai/">（詳全文）</a></p> <p>圖片來源／SambaNova、微軟、Youngjin Jin、Meta、Google</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Meta運用聖經譯本與錄音改進語音模型，現可支援超過千種語言</strong></p> <p><strong>2. Adobe將把AI圖片產生器加入Photoshop</strong></p> <p>資料來源：iThome整理，2023年5月</p> </div></div></div>
2023/5/27 22:30作者王若樸https://www.ithome.com.tw/news/157073
從比特幣交易抽絲剝繭暗網犯罪
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-an_wang_lie_ren_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">商周出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2013年9月27日，有人移動了525枚比特幣。這是從一長串三十四個無意義的字元所標示的比特幣地址，傳送到另一個一樣長的無意義地址。</p> <p>這筆交易就像所有比特幣交易一樣，在無聲無息中發生，但絕不是祕密進行。發送方的電腦已向周遭在比特幣全球網路中的電腦送出一則訊息，「公告」這筆付款，幾分鐘之內，這則公告就會傳送到全球幾千台機器，這些機器都會確認已見證這筆交易，然後加到自己的比特幣區塊鏈帳本中，這個帳本不可偽造、不可更改，完全公開透明，記錄了誰擁有哪些全球加密貨幣經濟中的比特幣。</p> <p><span style="font-size:28px;"><strong>從爬梳比特幣轉手收付紀錄，開啟科技辦案新時代</strong></span></p> <p>然而，對於查看這筆交易紀錄的任何人來說，當下都無法得知這筆交易相關人士是誰，不管是發送方還是接收方。在那個公開網路上完全看得見的紀錄中，無法顯示這筆錢其實是來自於全球首位暗網毒梟擁有的帳戶，轉移到一名聯邦探員的錢包裡，因為全球有一組調查人員正準備摧毀這個大型毒品市場，而這筆款項就是毒梟支付給潛伏在小組裡假扮間諜的探員。</p> <p>暗網毒梟支付那筆款項的一個月後，被捕入獄。但是，國稅局刑事調查員甘巴里安還要再過將近一年的時間，才會注意到這筆交易紀錄。甘巴里安後來描述，自己坐在位於加州（California）海沃德（Hayward）家中，年幼的女兒坐在腿上，他吃力地點擊比特幣區塊鏈上的許多地址，「徒手追蹤」那筆髒錢的流向。就在他認出目的地的那一刻，這種領悟即將開啟一個執法調查的新時代，在其中像甘巴里安這樣的辦案人員，可以透過數位方式抽絲剝繭，追蹤這些非法所得錯綜複雜的流向，然後直接上門逮捕不法之徒。</p> <p>對於甘巴里安來說，這個案件始於一張假證件。</p> <p>喬治．佛洛斯特（George Frost）是位滿頭白髮的律師，年紀稍長，他將印出來的文件遞給會議桌另一頭的甘巴里安，上面是一張馬里蘭州（Maryland）駕照的掃描資料，名字是「艾拉迪奧．古茲曼．富恩特斯」（Eladio Guzman Fuentes）。駕照上的照片是個中年男子，留著平頭和山羊鬍，一臉難以捉摸的神情，佛洛斯特還拿出了富恩特斯的水電費帳單以及社會安全卡影本。佛洛斯特說，這些都是富恩特斯為了在Bitstamp上開戶所提供的身分識別文件，Bitstamp是一家設立於斯洛維尼亞（Slovenia）的加密貨幣交易所，由佛洛斯特擔任交易所的總法律顧問。</p> <p>佛洛斯特解釋，在他們面前的身分證件是偽造的，富恩特斯的本名是卡爾．馬克．福斯（Carl Mark Force IV），他是美國緝毒署（Drug Enforcement Administration）探員。佛洛斯特繼續說，這個人在過去六個月中透過Bitstamp兌換了價值超過20萬美元的比特幣，本來正準備再另外提領20 萬美元的加密貨幣，而就在這次會議的前幾天，佛洛斯特察覺到可疑活動，所以凍結了他的帳戶。</p> <p>司法部（Department of Justice）大樓位於辦公大樓林立的舊金山（San Francisco）金融區最裡面，2014年5月初，佛洛斯特坐在九樓會議室，對面坐的是甘巴里安。</p> <p>坐在甘巴里安旁邊的是加州北區檢察官凱瑟琳．豪恩（Kathryn Haun），當天邀請佛洛斯特出席的就是她。到此刻為止，甘巴里安和豪恩在這次會議上一直針對另一件完全不同的事情詢問佛洛斯特。</p> <p>佛洛斯特之前是一名資深報社記者，目前從事法律工作，此刻他身穿正式的西裝，回應了豪恩和甘巴里安一個多小時的審訊。</p> <p>佛洛斯特回答這些問題後，才開口提出自己到這裡的原因：難道他們不想談談這名奇怪的緝毒署探員、他的假身分，還有他價值六位數的比特幣究竟是從哪裡冒出來的呢？</p> <p>豪恩和甘巴里安請他繼續說下去。</p> <p>因此，佛洛斯特拿出福斯偽造的「富恩特斯」身分證件給他們看，解釋Bitstamp的員工當時不願意受理：他們在檢查使用者身分的個人資料庫中，完全找不到他的社會安全號碼。後來Bitstamp的員工發現，福斯在同一台電腦上註冊了另一個帳戶，但這次是用他自己的名字，顯然他第一次提供的身分證件是偽造的，佛洛斯特不得不承認，偽造得非常好。</p> <p>福斯隨後透露自己是一名聯邦探員，讓佛洛斯特大吃一驚。福斯說，「富恩特斯」只是他在緝毒署調查時使用的臥底身分。</p> <p>不過Bitstamp注意到，福斯利用Tor（The Onion Router）連接到他們的網站。對於聯邦探員來說，在工作上選擇使用加密貨幣交易所似乎不太尋常。</p> <p>這一切都讓佛洛斯特深感不安，這個緝毒署探員是不是用Bitstamp加密貨幣交易所，當作臥底工作的一部分，以存放毒品的髒錢？若是如此，他為什麼要向另一個美國政府機構隱藏蹤跡？佛洛斯特回憶道：「我們越看越覺得奇怪。」</p> <p>在後來的電子郵件中，福斯又換了一套說詞：他現在說，他是早期的比特幣投資者，他兌現的錢都是自己的，不是緝毒署的。還補充說，在緝毒署工作的過程中了解比特幣，特別是「我調查了恐怖海盜羅伯茲（Dread Pirate Roberts）和絲路（Silk Road）之後」。</p> <p>佛洛斯特一提到那兩個黑體字的名字，甘巴里安的眼睛突然為之一亮。</p> <p>絲路已經成為傳奇：這個規模龐大的線上暗網黑市販賣毒品，以比特幣交易，創辦人為自己取了恐怖海盜羅伯茲這個化名。就在幾個月前，聯邦調查局（FBI）、國稅局和國土安全部（DHS）經過兩年半的追捕，終於確定該網站的創辦人是一個二十九歲的德州人（Texan），沒有犯罪紀錄，名叫羅斯．烏布利希（Ross Ulbricht）。他當時坐在舊金山圖書館的科幻小說區，經營著龐大的毒品帝國，一群探員湧入後將他逮捕，奪走他的筆電，永久關閉了絲路。</p> <p>佛洛斯特繼續說故事：這個緝毒署探員對於Bitstamp相關問題的回答，讓人感覺有些不對勁。他告訴豪恩和甘巴里安說：「這個傢伙有問題，實在是靠不住。」</p> <p>因此，佛洛斯特向美國財政部（U.S. Treasury）的金融犯罪執法局（FinCEN）提交了一份可疑活動報告，之後接到一通回電，對方是一位駐巴爾的摩的特勤局（Secret Service）探員尚恩．布里奇斯（Shaun Bridges）。</p> <p>佛洛斯特解釋，他跟布里奇斯合作過，當時駭客與巴勒斯坦的伊斯蘭抵抗運動（Hamas，簡稱為哈馬斯）聯手，鎖定Bitstamp的使用者為目標，透過精心設計的釣魚郵件，想要劫持這些帳戶，這位特勤局探員曾經助他一臂之力。儘管佛洛斯特傾向於反對現行社會體制，但他發現這位特勤局探員盡忠職守，人脈很廣，技術純熟，於是當佛洛斯特說明最近發生的福斯事件令人擔憂，布里奇斯立刻保證會親自妥善處理。可是從那時起，幾個月過去了，都沒有下文，佛洛斯特開始懷疑布里奇斯是不是碰到阻礙。而在這段時間裡，福斯仍持續透過Bitstamp將價值數十萬美元的比特幣兌現。</p> <p>對佛洛斯特來說，原本上門的只是一個可疑的客戶帶來不受歡迎的生意，現在看起來卻像是勒索，沒有人能保護佛洛斯特，讓他免於受到這個異於平常的緝毒署探員的傷害。</p> <p>佛洛斯特告訴甘巴里安和豪恩：「這傢伙有徽章，又有槍，他可以暢行無阻，可以竊聽任何人的電話，包括我的。」他需要他們協助。</p> <p>會議結束時，豪恩提醒佛洛斯特，目前仍無證據顯示福斯涉及任何不法情事，要對聯邦探員展開調查非同小可，但在佛洛斯特離開之前，她承諾自己和甘巴里安會調查此事。</p> <p>豪恩對這個案件語帶保留，而儘管甘巴里安在整場會議期間都面無表情，但他的想法與豪恩有天壤之別，他多年來就在等待這樣的案件。<strong><span style="color:#696969;">（摘錄整理自《暗網獵人》第一章，商周出版提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-1P-%E6%9A%97%E7%B6%B2%E7%8D%B5%E4%BA%BA-600.png" style="width: 500px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_商周出版</span></span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> <span style="color:#3399ff;">暗網獵人（Tracers in the Dark）</span></strong></span></p> <p>安迪‧格林伯格（Andy Greenberg）／著；李宜懃／譯</p> <p>商周出版</p> <p>定價：520元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><a href="https://andygreenberg.net/about" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E6%9A%97%E7%B6%B2%E7%8D%B5%E4%BA%BA_%E7%85%A7%E7%89%87%E7%89%88%E6%AC%8A_%C2%A9Justin%20Bishop-180.jpg" style="width: 167px;" /></a></p> <p><a href="https://andygreenberg.net/about" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">Credit: Justin Bishop</span></span></a></p> <p><strong>安迪‧格林伯格（Andy Greenberg）</strong></p> <p>格林伯格是《連線》雜誌（Wired）的資深撰稿人，深入報導安全、隱私、資訊自由和駭客文化等議題，榮獲許多獎項。著作的書籍包括2012年的《扼殺祕密的機器》（This Machine Kills Secrets）和2019年的<a href="https://www.ithome.com.tw/article/146526" target="_blank"><u><span style="color:#3399ff;">《沙蟲駭客》（Sandworm）</span></u></a>。</p> <p>《沙蟲駭客》以及該書的書摘，獲得財經記者最高榮譽「傑洛德．羅布獎」頒發的國際報導獎（Gerald Loeb Award for International Reporting）。</p> </div></div></div>
2023/5/27 00:00未署名https://www.ithome.com.tw/article/156985
【資安日報】5月26日，模擬紅隊演練的工具傳出遭到濫用，駭客拿來攻擊電網的工控設備
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紅隊演練工具被駭客濫用的情況不斷發生，其中最常見的是Cobalt Strike，後來又有Brute Ratel C4（BRC4），以及<a href="https://www.ithome.com.tw/news/156930#geacon">採用Go語言開發的Geacon</a>，但這些工具主要都是針對IT網路環境而來。最近資安業者Mandiant揭露名為CosmicEnergy的惡意軟體，並指出該程式最初的用途，可能是針對工業控制環境進行紅隊演練的工具。</p> <p>殭屍網路Mirai的攻擊行動也相當值得留意，其中的IZ1H9變種鎖定了光纖數據機、Wi-Fi無線路由器、上網行為事件記錄系統而來，值得留意的是，駭客特別針對了兆勤（Zyxel）光纖數據機2年前修補的漏洞下手。</p> <p>D-Link上週修補了網路設備管理系統D-View 8的漏洞，其中有2個屬於重大層級，但引起眾人關注的是，該公司提供的新版程式並非正式版本，而是處於測試階段的版本，此舉將導致使用者面臨修補與否的選擇難題。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.mandiant.com/resources/blog/cosmicenergy-ot-malware-russian-response"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體CosmicEnergy鎖定電力供應業者的工控系統而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/cosmicenergy-fig1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cosmicenergy-fig1.png" style="width: 300px; float: right;" /></a>資安業者Mandiant揭露從2021年12月開始出沒的操作科技（OT）惡意軟體CosmicEnergy，此惡意程式專門針對歐洲、中東、亞洲的電力傳輸機構裡，符合IEC 60870-5-104（IEC-104）標準的遠端終端設備（RTU）下手，且與資料破壞軟體Industroyer有共通特徵。</p> <p>攻擊者一旦成功入侵目標設備，就有可能藉由名為Piehop的工具，從MSSQL伺服器挖掘RTU設備的帳密，再利用惡意程式Lightwork下達開關命令。研究人員指出，CosmicEnergy起初很可能是用於紅隊演練，模擬來自俄羅斯IT業者Rostelecom-Solar的攻擊，現在可能變成俄羅斯駭客的作案工具，而對於電網系統造成威脅。</p> <p><a href="https://unit42.paloaltonetworks.com/mirai-variant-iz1h9/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">殭屍網路Mirai變種IZ1H9鎖定上網設備、事件記錄分析系統漏洞而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-128221-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-128221-2.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露殭屍網路Mirai變種IZ1H9，此惡意程式約自2021年11月出現，到了2023年4月，研究人員再度發現相關攻擊流量，駭客從特定的IP位址取得名為lb.sh的Shell指令碼下載程式，一旦執行，該程式會先刪除目標設備上的事件記錄檔案，並針對設備的硬體架構植入特定的殭屍網路機器人（Bot）。</p> <p>值得留意的是，這次駭客針對的漏洞涵蓋不同網路設備與資安系統，例如，騰達（Tenda）G103數據機的命令注入漏洞CVE-2023-27076（CVSS風險評分9.8）、必聯（LB-Link）無線路由器的命令注入漏洞CVE-2023-26801（CVSS風險評分9.8）、神州數碼（DCN）DCBI-Netlog-LAB上網行為事件記錄系統的RCE漏洞CVE-2023-26802（CVSS風險評分9.8），還有<a href="https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-remote-code-execution-and-denial-of-service-vulnerabilities-of-cpe">2020年12月兆勤（Zyxel）修補旗下多款光纖數據機的RCE漏洞（未有CVE編號、CVSS風險評分）</a>。</p> <p><a href="https://www.clearskysec.com/fata-morgana/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">以色列物流、金融服務業者的網站遭到伊朗駭客TA456鎖定</span></strong></a></p> <p>資安業者ClearSky揭露伊朗駭客組織TA456（亦稱Tortoiseshell、Crimson Sandstorm）的水坑式攻擊行動，駭客針對以色列航運、物流、金融服務等領域的業者網站下手，植入惡意JavaScript指令碼，收集使用者的作業系統語系、IP位址、螢幕解析度、存取網站的URL等系統資訊，至少有8個組織的網站遭受相關攻擊。</p> <p>研究人員特別提及，這些網站逾半數（5個）使用主機代管業者uPress的服務，而該業者曾於2020年遭駭客組織Hackers of Savior盯上，數千個代管的以色列網站遭到破壞，採用該公司服務的網站很有可能成為駭客下手的目標。</p> <p><a href="https://research.checkpoint.com/2023/agrius-deploys-moneybird-in-targeted-attacks-against-israeli-organizations/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">以色列組織遭到勒索軟體Moneybird攻擊</span></strong></a></p> <p>資安業者Check Point揭露伊朗駭客組織Agrius的勒索軟體Moneybird攻擊行動，駭客先透過以色列組織面向網際網路的伺服器下手，透過其漏洞取得內部網路的存取權限，接著假借憑證檔案的名義挾帶名為ASPXSpy的Web Shell，並部署於受害組織，過程中駭客躲在ProtonVPN的節點後面執行。</p> <p>然後，駭客利用多種開源工具，如：SoftPerfect Network Scanner、Plink、PuTTY、ProcDump、FileZilla，進行網路偵察、橫向移動、竊取帳密資料，以及洩露機密資料。最終攻擊者透過檔案共享服務下載勒索軟體，將電腦上特定的共用資料夾檔案加密，並留下勒索訊息。</p> <p>研究人員指出，有別於這些駭客先前使用資料破壞軟體（Wiper），這次開始使用自行打造的新勒索軟體，突顯了該組織的開發實力。</p> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/buhti-ransomware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Buhti鎖定列印管理系統PaperCut的漏洞而來</span></strong></a></p> <p>勒索軟體駭客組織Buhti（亦稱Blacktail）先是使用以Go語言打造的Linux勒索軟體發動攻擊，但如今他們將攻擊範圍擴及Windows電腦。</p> <p>資安業者賽門鐵克揭露勒索軟體Buhti的最近動態，駭客利用洩露的LockBit 3.0（亦稱LockBit Black）開發工具，打造了Windows版勒索軟體，然後利用列印管理系統PaperCut的漏洞CVE-2023-27350入侵目標組織，於受害電腦部署Cobalt Strike、Meterpreter、Sliver、AnyDesk、ConnectWise等軟體，竊取帳密資料並進行橫向移動，搜括組織的機密檔案，最終執行勒索軟體並留下勒索訊息。</p> <p>而對於Linux版勒索軟體Buhti，研究人員也有新的發現，該勒索軟體是使用勒索軟體Babuk原始碼打造而成。</p> <p><a href="https://blog.cyble.com/2023/05/25/obsidian-orb-ransomware-demands-gift-cards-as-payment/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Obsidian ORB要求受害者以禮物卡支付贖金</span></strong></a></p> <p>在大部分的勒索軟體攻擊當中，駭客通常會要求受害者使用加密貨幣支付贖金，但現在也有駭客要求以其他方式付錢。資安業者Cyble揭露名為Obsidian ORB的勒索軟體，其特別之處就是駭客要求受害者使用禮物卡付款，這些禮物卡包含了Paysafe、Payday線上支付平臺的點數，也包含了Roblox、Steam等遊戲的點數。</p> <p>而對於該勒索軟體的攻擊手段，研究人員指出，此勒索軟體僅會針對小於2 MB的檔案，同時利用RSA和AES演算法加密，但對於超過上述大小的檔案，駭客則是藉由寫入隨機資料來進行破壞。</p> <p><a href="https://cyber.ithome.com.tw/2023/session-page/2059"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">雲端服務業者Cloudflare在臺灣資安大會揭露2023第1季DDoS攻擊態勢，並針對DNS放大攻擊升溫的態勢提出警告</span></strong></a></p> <p>Cloudflare針對今年第1季的DDoS攻擊趨勢進行分析，並於本月舉行的2023臺灣資安大會公布進一步的觀察。Cloudflare解決方案工程師姜景懷指出，該季整體攻擊流量較前一季增加6%，但值得留意的是，10 Gbps至100 Gbps流量的攻擊增加比例最高，數量翻倍成長（增加126%），會出現這樣的情況，姜景懷認為很可能就是如此規模的流量，就足以影響大多數企業網站的營運。</p> <p>其中最值得留意的現象，是意圖癱瘓DNS的DDoS攻擊出現大幅增加的狀況，而成為本季網路層DDoS攻擊比例最高的類型，占比接近三分之一（29.7%），姜景懷表示，臺灣也有政府機關傳出相關事故。排名第2、第3的是SYN洪水攻擊、UDP攻擊，它們均占有約21%的比例。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://supportannouncement.us.dlink.com/announcement/publication.aspx?name=SAP10332"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">D-Link修補網路管理系統的重大漏洞</span></strong></a></p> <p>網路設備業者D-Link於5月17日針對旗下的網路設備管理系統D-View 8發布新版軟體，目的是修補ZDI去年底通報的漏洞。其中，最嚴重的是CVE-2023-32165、CVE-2023-32169，CVSS風險評分皆為9.8。</p> <p>CVE-2023-32165為RCE漏洞，起因是在對於檔案進行作業之前，該系統對於使用者提供的路徑缺乏適當驗證，攻擊者藉此可取得最高權限來執行程式碼；CVE-2023-32169則是身分驗證繞過漏洞，起因是有特定類別的元件採用寫死的加密金鑰，而使得未經授權的攻擊者能竄改組態，或是植入惡意軟體。</p> <p>值得留意的是，雖然該公司呼籲用戶應儘速更新軟體來緩解漏洞，但也提及他們提供的程式尚在測試階段，可能會有不穩定的情況。</p> <p><a href="https://salt.security/blog/a-new-oauth-vulnerability-that-may-impact-hundreds-of-online-services"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">應用程式框架Expo出現OAuth漏洞，恐導致帳號遭到接管</span></strong></a></p> <p>資安業者Salt揭露跨平臺應用程式框架Expo的漏洞CVE-2023-28131，該漏洞出現於AuthSession重新導向代理伺服器服務，攻擊者一旦利用這項漏洞，就有機會劫持使用者存取的應用程式或網站帳號，攻擊者可透過電子郵件或簡訊等方式，傳送惡意連結，進而竊取受害者個資或信用卡資料，甚至進行詐騙。</p> <p>由於此服務讓使用者可利用臉書、推特、Google等帳號進行OAuth身分驗證，攻擊者也可能假冒這類社群網站或是網站服務提供者，進行其他攻擊，CVSS風險評分為9.6。</p> <p>對此，Expo發布了修補程式，並強調尚未發現漏洞被用於攻擊行動的跡象。Expo維護團隊亦呼籲應用程式開發人員，最好直接與服務供應商連結，不要透過上述的中介網站進行使用者身分驗證。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/microsoft-encrypted-restricted-permission-messages-deliver-phishing/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客挾持Microsoft 365帳號並濫用RPMSG附件竊密</span></span></strong></a></p> <p><a href="http://blog.talosintelligence.com/mercenary-intellexa-predator/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">安卓間諜軟體Predator鎖定媒體、政治人物、Meta高階主管而來</span></span></strong></a></p> <p><a href="https://www.sentinelone.com/labs/operation-magalenha-long-running-campaign-pursues-portuguese-credentials-and-pii/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">30個葡萄牙政府機關、金融機構遭巴西駭客鎖定</span></span></strong></a></p> <p><a href="https://www.akamai.com/blog/security-research/dark-frost-botnet-unexpected-author-profile"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">殭屍網路Dark Fros鎖定電玩產業而來</span></span></strong></a></p> <p><a href="https://www.sonarsource.com/blog/pimcore-one-click-two-security-vulnerabilities/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">PHP軟體管理平臺Pimcore出現漏洞，若不修補恐被用於執行任意程式碼</span></span></strong></a></p> <p><a href="https://www.ncc.gov.tw/chinese/news_detail.aspx?site_content_sn=8&is_history=0&pages=0&sn_f=48994"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">國家通訊傳播委員會網站傳出洩漏報關民眾個資</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157039">【5月25日】伊朗駭客部署後門程式PowerExchange，將受害組織的郵件伺服器當作C2來隱匿行蹤</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157021">【5月24日】研究人員針對Zyxel防火牆漏洞提出警告，至少有4.2萬臺設備尚未修補而可能曝險</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157011">【5月23日】勒索軟體駭客BlackCat利用惡意驅動程式Poortry發動攻擊，繞過防毒軟體偵測</a></strong></p> </div></div></div>
2023/5/26 16:19作者周峻佑https://www.ithome.com.tw/news/157069
Python軟體基金會回應法院傳票，並重新檢視資料政策以保護社群隱私
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.pypi.org/posts/2023-05-24-pypi-was-subpoenaed/">Python軟體基金會</a>日前收到3份由美國法院發出的傳票，要求基金會提供總共5位PyPI（Python Package Index ）用戶的資料。儘管Python軟體基金會試圖保護用戶隱私，但依照律師的建議，最終還是提供了法院需要的資料，但也因此審視了基金會目前的資料政策，希望在下一次面臨相同情況時，能夠更好地保護社群自由和使用者隱私安全。</p> <p>法院要求Python軟體基金會提供的資料，除了特定PyPI用戶的名稱、IP位址和電話等基本資料，也要求提供用戶的連線與所上傳的套件等紀錄。雖然Python軟體基金會傾向保護用戶隱私，但在諮詢過法律顧問的意見後，最後仍不得已遵循法院的要求。</p> <p>由於法院傳票並沒有要求不得透露資料請求的訊息，因此基金會決定向社群公開。而也因為法院的傳票，讓Python軟體基金會重新審視當前的資料和隱私標準，以最大程度保護Python社群的利益，官方提到，他們已經盡量減少收集PyPI用戶的資料，但是少量的資料仍會因為惡意，或是錯誤操作洩漏產生風險，並且受類似法院資料請求的約束。</p> <p>Python軟體基金會開始著手制定新的資料留存和揭露政策，政策內容將包含基金會未來處理政府資料請求的程序，以及用戶個人身分資料留存時間，還有向社群說明相關訊息等議題。</p> </div></div></div>
2023/5/26 16:47作者李建興https://www.ithome.com.tw/news/157070
OpenAI對外徵求AI的民主程序
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/blog/democratic-inputs-to-ai" target="_blank">OpenAI本周公開對外徵求AI的民主程序</a>，以在法令的疆界內制定AI系統可遵循的民主程序準則，並祭出10筆10萬美元的獎勵。</p> <p>OpenAI表示，法令以價值及規範來制定行為準則，而在法令的框架之外，AI更像是個社會，需要更複雜與更客製化的準則來指導其行為，例如AI系統應在什麼情況下譴責或批評公眾人物，或者是AI該如何表現有爭議的各種觀點，以及在預設的情況下，AI如何認定某個人的角色。</p> <p>該組織認為，通用人工智慧（AGI）應該能夠造福全人類，且應儘可能地具備包容性，此一徵求計畫則是該方針的第一步，希望來自全球的團隊可發展出得以讓AI系統遵循的民主程序。</p> <p>所謂的民主程序指的是一個具備廣泛代表性的群體可交換意見，並進行審慎的討論，並藉由透明的決策過程取得結論，而且歡迎各種符合現代需求的創意途徑，例如維基百科或DemocracyNext等組織的決策方式。</p> <p>例如利用ChatGPT來推動討論與建立共識時，ChatGPT可使用外掛程式來取得各方的聲明，同時協助各方理解彼此的意見，確保同樣的問題不再重覆提出，並推動腦力激盪，一直到最終達成共識。</p> <p>此一計畫即日起開放各界申請，截止日為今年的6月24日，個人或組織可提出自己的計畫以供審核，通過者即可獲得10萬美元的專案獎金，以實驗他們所提出的計畫，至少必須邀請500名使用者參與其設計原型，並在今年10月20日之前發布公開報告。</p> <p>OpenAI已提出許多問題供有興趣的團隊選擇，像是ChatGPT是否該有界線？AI對公眾人物是否該保持中立？AI在什麼樣的情況下可提供醫療、金融或法律建議？是否該允許視覺語言模型辨識人們的性別、種族或身分？以及AI對LGBTQ或女性族群的看法是否該因地制宜等。</p> </div></div></div>
2023/5/26 15:19作者陳曉莉https://www.ithome.com.tw/news/157065
Amazon Appstore即將退出中國市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://mp.weixin.qq.com/s/Er2JpcBYeWcip3oHLdAblA" target="_blank">Amazon周三（5/24）對外證實</a>，即將關閉中國的應用程式商店（Amazon Appstore），雖然Amazon澄清其中國官網Amazon.cn、全球開店與海外購物並不會受到影響，但除了Amazon Appstore之外，其Kindle與電子書業務也將在今年完全撤出中國市場。</p> <p>Amazon Appstore為Amazon針對旗下Fire裝置所打造的Android應用程式商店，主要服務採用Fire OS的平板電腦與Fire TV，也可供其它Android裝置下載程式，部署於包括中國在內的近200個國家。</p> <p>Amazon並未說明關閉中國Appstore的原因，但根據當地媒體<a href="https://pandaily.com/amazon-china-will-no-longer-provide-app-store-services-starting-july-17/" target="_blank">《Pandaily》</a>的報導，Amazon已寄出信件通知中國用戶，指出Amazon中國自7月17日起將不再於當地提供應用程式商店，但拜Windows 11上的Android子系統所賜，使用者依然可利用Amazon Appstore來下載及安裝程式。</p> <p>不僅是應用程式商店，<a href="https://mp.weixin.qq.com/s/jJG36Hbrw2-ZeUT3aDXKBA" target="_blank">Amazon去年6月</a>也宣布將停止中國Kindle電子書店的經營，而且還接受Kindle電子書閱讀裝置的用戶退貨，等於是完全撤出中國的電子書市場。根據該聲明，Amazon會在今年的6月30日正式關閉中國的Kindle電子書店。</p> <p>不管是Android程式市集或是電子書裝置/書店，中國都有不少當地業者投入，中國在這兩個領域的熱門程度都超越其它國家，保守估計中國境內有超過20個Android程式市集，而電子書閱讀裝置的品牌則有文石、小米、漢王、科大訊飛、掌閱、騰訊、博閱及國文等。</p> </div></div></div>
2023/5/26 15:50作者陳曉莉https://www.ithome.com.tw/news/157067
2023臺灣資安大會特別報導：給1000位資安長的上手指引
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1131-feng_mian_-open-zi_an_da_hui_te_bie_bao_dao_-960x420_kao_bei_.jpg?itok=QO7bI9EW" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安即國安政策持續推動，政府不斷提高各產業資安強化規範，今年底前還有1,100家企業得依法設立資安主管。上千名新手資安長如何快速掌握企業資安防護和治理的關鍵，今年資安大會提供了不少資安長必看的上手指引</p> </div></div></div>
2023/5/26 16:05未署名https://www.ithome.com.tw/article/157068
Expo框架出現能劫持帳號的OAuth重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://salt.security/blog/a-new-oauth-vulnerability-that-may-impact-hundreds-of-online-services" target="_blank">安全研究人員發現</a>，用於數百線上服務的知名開發框架Expo出現可劫持帳號的重大漏洞。</p> <p>Expo框架主要是用於開發行動應用程式，提供一組工具、函式庫及服務，讓開發人員得以利用單一程式碼基礎（codebase）開發iOS、Android及Web應用程式。它其中一項服務是OAuth，讓開發人員能將社交登入（social sign-in）元件整合到網站，像是以臉書或Google帳號單一登入各種網站。目前Expo框架全球用戶高達65萬人，許多知名線上服務，包括Facebook都以它來實作OAuth安全驗證及其他功能。</p> <p>Salt Labs研究人員發現的Expo漏洞編號為CVE-2023-28131，位於用於社交登入的AuthSession重導向代理伺服器（auth.expo.io）服務中，這個服務讓使用者透過中介服務（如Facebook、Google）驗證網站或App，讓用戶不必再記憶不同網站或App的密碼。新發現的漏洞能讓攻擊者劫持使用該服務的應用程式／網站的用戶帳號，並竊取其登入憑證。一旦受害者點入惡意連結就會發生，攻擊者可以透過電子郵件、文字訊息或其他方式傳送攻擊者控制的惡意網站連結。成功攻擊的結果包括詐騙、竊取信用卡或個資等後果，惡意攻擊者還可能冒用Facebook、Google、Twitter或其他線上平臺的用戶身分為非作歹。</p> <p><a href="https://nvd.nist.gov/vuln/detail/CVE-2023-28131" target="_blank">CVE-2023-28131風險值被列為CVSS 3.1的9.6</a>，屬於重大漏洞。</p> <p class="rtecenter"><a href="https://blog.expo.dev/security-advisory-for-developers-using-authsessions-useproxy-options-and-auth-expo-io-e470fe9346df" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0526-Expo%20blog%20post-CVE-2023-28131.png" style="width: 500px;" /></a></p> <p>接獲通報後，Expo維護單位已釋出hotfix暫時緩解攻擊風險，且指出目前沒有漏洞攻擊的證據。<a href="https://blog.expo.dev/security-advisory-for-developers-using-authsessions-useproxy-options-and-auth-expo-io-e470fe9346df?gi=db2f8526e085" target="_blank">但Expo認為App應直接和第三方驗證供應商註冊直接連結</a>，而不應使用中介服務，不只因為安全，也較為穩定。因此Expo建議使用AuthSession模組中useProxy選項的App/網站，未來應移轉以免除風險。</p> <p>Expo已經在最新SDK 48版及auth.expo.io服務的AuthSession模組移除useProxy選項。此外，雖然目前沒有緊急移轉的必要性。但如果用戶希望從useProxy和auth.expo.io服務改成使用直接連結，<a href="https://expo.fyi/auth-proxy-migration" target="_blank">Expo也提供指引</a>。</p> </div></div></div>
2023/5/26 13:17作者林妍溱https://www.ithome.com.tw/news/157063
DeepMind AI模型能為YouTube Shorts影片自動加描述，提升曝光度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/DeepMind/status/1661357041980694528" target="_blank">Google旗下AI事業群DeepMind本周發表</a>能為短影片服務YouTube Shorts自動產生描述文字的AI模型Flamingo，方便這些影片為用戶搜尋。</p> <p>YouTube Shorts為類似Tiktok的短影片，通常只有幾分鐘，大部份也都未包含描述文字及有用的標題，使這些影片難以被人搜尋。因此DeepMind推出視覺語言模型Flamingo以協助產生描述文字。</p> <p><a href="https://www.deepmind.com/blog/working-together-with-youtube" target="_blank">DeepMind說明</a>，Flamingo分析Shorts 影片最初的訊框後即可解釋螢幕上的內容為何，例如「一隻狗頭頂著一疊餅乾」。這段文字可存成YouTube的metadata，以便更有效率分類影片，並且讓搜尋引擎找給用戶。</p> <p>目前新上傳的數十萬則Shorts影片已經都有AI產生的影片描述，YouTube計畫把這項技術漸次推到所有Shorts影片。</p> <p>Flamingo是DeepMind和YouTube合作的最新一項專案，也是<a href="https://www.ithome.com.tw/news/156498" target="_blank">4月間Google宣布</a>DeepMind和Google Brain合併成一個單一AI事業群的最新成果。</p> <p>最早DeepMind以其AI模型MuZero改善YouTube壓縮傳送的VP9 codec。2018年DeepMind又和YouTube合作，教育影片創作者如何藉由為影片搭配符合YouTube政策的廣告以增加營收，因此兩公司發展了標籤品質模型（label quality model，LQM）以更精準標註內容。模型提升了廣告精準度，也強化YouTube上的觀眾、創作者及廣告商的信任度。</p> <p>而後YouTube影片增加分段篇章，方便觀眾更快找到想要的段落，為此DeepMind又和YouTube搜尋部門開發可自動處理影片、影音內容轉錄文字，以及建議篇章切分及標題的AI系統。名為AutoChapters的功能在Google I/O 2022上，由執行長Sundar Pichai宣布，不再需要用戶辛苦慢慢尋找，也縮短創作者加篇章的時間。現在AI自動分篇章的影片已經用於800萬則影片，DeepMind計畫明年擴充到8000萬則。</p> <p><a href="https://www.theverge.com/2023/5/24/23735850/google-deepmind-ai-flamingo-language-model-descriptions-youtube-shorts" target="_blank">YouTube Shorts產製部門對媒體表示</a>，Flamingo產生的metadata不會顯示給創作者，目的在大幅提升搜尋精確性。同時Google也會確保Flamingo所產生的文字符合其責任標準，不會出現文字負面呈現影片內容的情形。</p> <p>Flamingo AI標示準確性值得觀察。8年前Google Photos曾將2個非裔人士標註為黑猩猩，因此Google Photos這服務迄今不會標註任何東西為「猴子」。</p> </div></div></div>
2023/5/26 12:12作者林妍溱https://www.ithome.com.tw/news/157062
零售IT雙周報第16期：松果購物用推出室內裝潢生成功能，可用消費者家中照片來生成裝潢範例，並購買類似範例中家具的實際商品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0514~0527)</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#生成式AI</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#室內裝潢模擬</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#物件辨識</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#大型語言模型</span></span></strong></p> <p><strong>松果購物利用生成式AI推出室內裝潢模擬功能，可以用自家照片來模擬家具擺設，並瀏覽類似於生成物件的商品</strong></p> <p>室內裝潢電商松果購物推出<a href="https://showroom.pcone.com.tw/">AI室內裝潢模擬功能</a>，消費者能上傳自家客廳或臥室照片，來生成不同風格的室內設計範例。生成後，便能點擊圖片中擺設，瀏覽類似風格商品。例如，生成北歐風模擬圖後，消費者點擊圖像內沙發，就會跳轉到貼標為北歐風沙發的商品分類頁面。</p> <p>這個功能背後有數個環節運用AI技術，其一是利用圖像生成式AI，將消費者上傳空間轉換為另一種室內設計模擬，接著，再利用物件辨識AI，來辨認出圖像內的家具及對應貼標。另一方面，松果購物利用自然語言模型，從實際商品描述中分析出商品貼標。生成物件與實際商品，便能透過貼標來互相連結。</p> <p>松果購物母公司創業家兄弟的<a href="https://www.ithome.com.tw/people/156288">技術長林尚蔚曾表示</a>，有意開發室內裝潢模擬工具，結合會員購買意圖數據、商品數據及圖像生成AI，來推薦商品。這次發表的功能中，沒有加入消費者喜好資料，也無法自行加入更細節的指令來調整生成內容，不過可以看出，松果購物的商品貼標、物件辨識及圖像生成技術已經達到一定水準。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#訂單履行</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#Momo富邦媒</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#短鏈物流</span></strong></span></p> <p><strong>Momo新B2B戰略曝光，發揮衛星倉儲優勢提供小店家訂單履行全程業務</strong></p> <p>Momo股東會上，大董蔡明忠透露，未來考慮做訂單履行（Fulfillment）業務。這句話看似不帶前因後果，其實從Momo倉儲布局、取貨據點網絡、車隊營運策略及B2C、B2B營運近況，甚至是老總谷元宏去年透露的發言來看，Momo做訂單履行，也許早已埋好伏筆。</p> <p>早在去年，谷元宏說明自家物流發展期許時，提到希望自有車隊不要只做自家生意，還能承接外部物流訂單。若Momo開始提供訂單履行業務，由自有車隊承接，便能維持現有作業模式（從自家倉儲出貨）來承接外部業務，額外的收入也有助於壓低訂單履行成本。</p> <p>倉儲布局來看，Momo採取分散式衛倉儲的策略，有助於發展更複雜的B2B分散式配送模式。截至2022年底，Momo全臺有18座主倉及35座衛星倉，2023年預計再增加1座主倉和11座衛星倉，籌備中的南部物流中心及中部物流中心，也分別於2024和2026年啟用。</p> <p>訂單履行的最後一哩路，是取貨據點。Momo集團早在2019年就開始利用全臺約800家台灣大哥大實體門市，作為電商取貨據點。近年Momo不斷與台哥大有業務合作，嘗試發揮集團跨企業綜效。訂單履行服務有機會將更多消費者導向台哥大門市，來深化兩家企業合作。不過，也會考驗台哥大門市容納取貨商品的能力。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#百貨業</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#會員經營</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#點數生態圈</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#RMN</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#OMO</span></span></strong></p> <p><strong>新光三越分享10年來數位轉型經驗以及未來OMO新戰略</strong></p> <p>百貨公司巨頭新光三越首次分享完整數位轉型經歷，及未來OMO戰略。新光三越數位發展部副總經理黃韻芝表示，疫的現在，他們要發展外部會員點數生態圈及零售媒體聯播網。</p> <p>新光三越2014年展開數位轉型，當時OMO策略是，用數位工具強化實體購物。他們打造會員App，但不是發展行動電商，而採線上強化線下原則，在App即時呈現實體購物資訊。疫情來襲，新光三越被迫快速應對實體購物停擺的危機，借助當時已有的IT基礎，如商品建模資料中臺、會員資料中臺等，2022年2月僅花了2個月就推出熟客經營系統、擴大經營電商，開發了各式數位會員經營手法，例如點數生態圈等。他們也持續優化底層IT基礎建設，重新清洗會員中臺資料，統一會員識別方法等。</p> <p>疫後，新光三越營運重心從線上轉移到線上線下並重，開始發展跨通路交互導流的OMO模式。也將疫情時間建立的線上通路人流，用來發展外部會員點數的生態圈及零售媒體聯播網，進一步將人流導向更多消費場景，以期從中獲得廣告收入及更多營業收入。（<a href="https://www.ithome.com.tw/news/156936">詳全文</a>）</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#遊戲內購物</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#應用程式內電商</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#AR</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#IAP</span></strong></span></p> <p><strong>Amazon進軍手機遊戲購物市場，消費者將能直接於App中開啟電子商城購買實體商品</strong></p> <p>應用程式內購物（In App Purchase, IAP）通常指手機遊戲App內，玩家購入遊戲虛擬商品的商業模式。不過，Amazon有意拓展這個商業模式到實體商品購物。<a href="https://www.aboutamazon.com/news/retail/amazon-anywhere-launches-augmented-reality-shopping">近日，他們推出Amazon Anywhere商業模式</a>，允許手機應用程式連結到自家電商商城。消費者可以在App中直接登入電商帳號，下單購買商城上的商品，不需切換到其他App。</p> <p>讓手機App能存取Amazon電商商城，等於讓所有手機App都可以成為電商App，且不需App開發者或經營者投入大量資源來準備金流、上架、物流等IT架構及營運細節。</p> <p>對Amazon來說，這一步不僅能擴張自家電商生態圈到更多更分散的通路，也是打入虛擬商品市場的一個手法。其實，他們本來就有類似於Google Play Store或iOS App Store的App市集和IAP金流服務，但由於前兩者市佔率太高，Amazon一直難以競爭。不過，若使用者會為了購買App上的實體商品而登入Amazon帳號，便很有可能因為方便，繼續使用同一組帳號來購買虛擬商品。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AA(1).png" style="width: 600px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#分散式倉儲</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#門市訂單履行</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#揀貨機器人</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#短鏈物流</span></strong></span></p> <p><strong>Walmart開始於更多門市建設智慧訂單履行中心，以強化門市為中心的物流模式</strong></p> <p>歷經長達2年的POC，<a href="https://www.businesswire.com/news/home/20230522005604/en/Walmart-Opens-First-Market-Fulfillment-Center-in-Arkansas-as-the-Retailer-Doubles-Down-on-Store-Fulfillment/">美國零售龍頭Walmart決定於更多門市建設智慧訂單履行中心</a>，將門市倉儲化為電商訂單的迷你出貨中心。</p> <p>這個訂單履行中心，會搭配一個名為Alphabot的揀貨機器人。Alphabot在揀貨時，會邊紀錄訂單履行跟倉儲情形等資料，並透過機器學習不斷優化揀貨效率，並提供Walmart更多商品銷售洞察。</p> <p>這個時機點開始增設門市訂單履行中心，與Walmart近期積極發展電商事業，及發展門市為中心的短鏈物流策略有關。近月，他們才大刀闊斧對物流中心裁員，日前也翻新了App跟網路介面，排版和內容更接近社群媒體App，並表示2026年，Walmart 65%商店會有自動化設備，55%物流訂單履行會用自動化設備輔助。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#物流優化</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#物流數據</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#運送損壞評估</span></span></strong></p> <p><strong>Wayfair利用數據分析來減少物流成本並降低運送損壞風險</strong></p> <p>家居電商Wayfair近日揭露自己如何利用數據分析，來優化自家物流流程，進而減少成本、降低損壞風險。</p> <p>Wayfair CEO Niraj Shah表示，他們出貨時會把貨品分為大型和小型包裹，小型包裹會直接外包給第三方物流商運送，大型包裹則會由自家貨車出貨，還會搭載2名專員。Niraj Shah表示，後者物流成本較高，但理論上，由專人照看貨物能降低損壞率，因此綜合成本仍較低。不過，分析不同貨物的損壞情況後，Wayfair發現有部分過去被分類為大型包裹的物件，其實外包給第三方物流業者也不會增加損壞率。這些商品重新歸類為小型包裹後，定價就會因為物流成本降低，而更具競爭力。</p> <p>Wayfair還根據貨品損壞概率，來調整包裝方法及電商搜尋結果優先度，以降低整體訂單損壞率。Niraj Shah說，這個做法實施1年來，整體損壞率降低了15%，物流效率提升了，也降低了售後服務成本。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#對話式搜尋</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#LLM</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#商品貼標</span></span></strong></p> <p><strong>Amazon要用自家大型語言模型重新建構搜尋模式，打造對話式搜尋引擎</strong></p> <p>繼4月發表自家大型語言模型（LLM）Titan後，電商龍頭Amazon開始要應用生成式AI於電商事業。根據一個機器學習的資深軟體開發工程師職缺描述，他們有意打造以生成式AI為基礎的全新搜尋引擎，要協助解答商品疑問、對比商品、收到個人化商品推薦。Amazon並形容，這個新搜尋引擎會是劃時代的創新，並對比「WWW、Mosaic瀏覽器、Amazon和Google創立」來形容其顛覆性。</p> <p>不過，此職缺被媒體公開後，Amazon便修改了職缺描述，僅簡單說想利用大型語言模型的對話功能，來改善Amazon購物經驗，並低調避開AI聊天機器人話題，僅表示要全力投資生成式AI。（<a href="https://www.ithome.com.tw/news/156898">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#AI聊天機器人</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#LLM</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#語音辨識</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#POS系統串接</span></span></strong></p> <p><strong>Wendy's得來速將導入聊天機器人，能在嘈雜環境中處理複雜點餐及行銷情境</strong></p> <p>美國連鎖速食店Wendy's（溫蒂漢堡）將導入聊天機器人，在得來速替顧客點餐，還具有向上銷售功能，例如詢問是否要點大份餐點或加購當日特價商品。</p> <p>這個聊天機器人，背後技術是Google Cloud的生成式AI與大型語言模型，匯入了Wendy’s菜單，建立與顧客交談的邏輯與商業規則，再整合系統至餐廳POS系統上。Google Cloud執行長Thomas Kurian表示，得來速點餐對AI來說其實是最困難的應用之一，因為點餐環境通常相當嘈雜，AI必須辨識車內聲音是來自音樂、小孩或者是點餐內容，也必須準確應對顧客變更點餐等情況，因此技術要求很高。</p> <p>Wendy's有75%以上消費者都是用得來速點餐，若聊天機器人能有效取代點餐人員，將省下非常可觀的人力成本。（<a href="https://www.ithome.com.tw/news/156816">詳全文</a>）</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">更多零售IT動態：</span></strong></span></p> <p>1. Momo在自家App中推出模擬試妝功能，上傳或拍攝自己照片便能看到化妝品套用在自己臉上的樣子。</p> <p>2. Ikea桃園物流中心啟用，利用半自動化的智慧物流設備提高作業效率，未來全臺門市與電商都能買到全品項共8,500個商品。</p> <p>3. <a href="https://www.youtube.com/embed/pjF2VzGOVWc">Costco和Walmart等零售巨頭加入FLOW，一個美國政府設立的供應鏈數據交換平臺。</a></p> <p>資料來源：iThome整理，2022年5月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Amazon</p> </div></div></div>
2023/5/26 10:27作者郭又華https://www.ithome.com.tw/news/157041
摩根大通集團IT預算再度創新高，2023年達到153億美元，新目標是用AI創造150億美元價值
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>摩根大通全球資訊長Lori Beer第二度登上摩根大通（JP Morgen Chase）一年一度最重要的戰略說明會，也就是2023年投資者日活動（5月22日），揭露最新的全集團科技戰略。今年摩根大通的科技預算再度創新高，達到153億美元之多，相當於臺幣4,700億元，比去年科技支出143億美元，增加了7%。</p> <p>摩根大通集團是美國最大的金融集團，Lori Beer指出，今年科技戰略延續去年揭露的四大科技戰略，包括提供業界最好的產品、平臺和體驗，其次是聚焦軟體開發能力和基礎架構的強化，第三是解放資料威力，最後一項是要保護企業和消費者。</p> <p>因為摩根大通在今年5月初宣布正式收購第一共和銀行，收購宣布前的摩根大通年度預算是810億美元，153億美元的科技預算占了將近18.9%，比去年的18.3%占比還要更高，這也反映出科技投資對摩根大通集團來說，越來越重要。</p> <p>摩根大通今年科技預算一樣分成兩大類，一類是用於基礎架構維運、軟體授權和應用系統支援的銀行維運費用，高達81億美元。而另一類則是用來改變銀行的戰略IT投資，戰略IT投資也是主要用於發展四大科技戰略的預算，高達72億美元，約占了科技預算的一半，達到47%。以第一項科技戰略「優化產品、平臺和體驗」的預算為大宗，達到40億美元，而其餘三項科技戰略的預算則共32億美元。這些戰略性IT預算主要用於摩根大通旗下CIB（企業投資銀行）和CCB（消費者和社區銀行）。</p> <p>過去一年143億美元的投資，在基礎架構現代化和軟體開發優化上也開始創造效益，Lori Beer指出，軟體開發高度自動化和敏捷化的結果，工程團隊生產力在去年提高了10%，相當於創造了3億美元價值，而提高上雲比重和打配單體式應用的基礎架構現代化策略，也大幅強化了基礎架構15～20％的效率，相當於創造了2億美元的價值。過去1年如期達到3年15億美元成本優化目標的三分之一。</p> <h3><span style="color:#FF0000;"><strong>IT現代化工程三大面向：AP現代化，基礎設施現代化以及軟體工程實踐</strong></span></h3> <p>Lori Beer表示，摩根大通的IT現代化工程，可以分為三大類，AP現代化，基礎設施現代化以及軟體工程實踐。在AI現代化進度上，一方面計畫更大幅採用SaaS服務來取代本地端系統的比率，例如HR系統、CRM系統早已改用雲端SaaS服務，去年共採用了490套SaaS服務，2023年計畫增加到560套，預計增加14%的SaaS採用率，例如摩根大通所用的溝通和協作工具，已經6成改用SaaS服務。而另一方面，也同時繼續淘汰老舊應用，今年預計要淘汰300套舊應用，從2017年累計到2023年將淘汰2500套舊系統。</p> <p>而在基礎架構現代化發展上，摩根大通會持續推動既有資料中心現代化，目前已經將60%的系統搬移到現代化資料中心，未來3年目標要達到8成。目前已有半數的大型主機系統，已經遷移到現代化資料中心的環境中執行。今年也會持續提高公有雲運算資源的占比，在基礎架構資源的支出上，公有雲占比將從去年的30%，今年提高到38％。摩根大通計劃以每年8%的上雲成長率。</p> <p>Lori Beer指出，基礎架構發展策略依舊是跨多家公雲和現代化機房的混合雲架構，希望在提高儲存和運算量的前提下，將維運費用控管在2%的微幅成長幅度之內，目前新興的運算需求大宗是來自AI。</p> <h3><span style="color:#FF0000;"><strong>57000人IT團隊，43000名開發工程師，8成導入自有開發工具鏈</strong></span></h3> <p>摩根大通集團的IT團隊持續擴張人數，今年總人數達到57000人，比去年還多了2千人，其中有4,3000是開發人員。摩根大通自己發展出了一整套的企業工具鏈，涵蓋了計畫、設計、開發、測試、部署、審查到發布等不同軟體開發階段的工具。統計到2022年底已導入到84%的團隊，摩根大通計劃在2023年底前全面導入。Lori Beer指出，這套企業工具鏈可以帶來速度、敏捷和穩定性三大好處，例如新功能的上線速度在過去一年提高了20%，擁抱敏捷和量測框架的團隊也達到60％，而AP更新成功率也達到了99.9%。</p> <p>現代化戰略對摩根大通的業務面帶來不少明顯效益，Lori Beer舉例，Chase.com官網在去年第四季全面轉移到公雲，現在網站每周可以發布15次更新，每個月推出2次App改版。而API平臺則加速了CCB銀行的合作夥伴和Chase生態圈的整合速度。</p> <h3><span style="color:#FF0000;"><strong>300個AI應用案例，影響100億美元業務價值</strong></span></h3> <p>在AI競爭力上，摩根大通現在有900多位資料科學家，600位機器學習工程師和1千多名資料管理人員，更有一個200人規模的AI研究團隊。Lori Beer指出，在知名銀行AI成熟度指標Evient AI評比上，摩根大通名列第一。 </p> <p>目前摩根大通的AI應用案例達到300多個，涵蓋了風險、潛在顧客挖掘、市場行銷、顧客體驗和詐欺防範等領域，例如在消費市場上，25個利用AI來提供個人化的產品和顧客體驗應用，帶來了2.2億美元的價值。整體來看，300個應用影響了100億美元的業務價值，這原本是摩根大通在2021年訂下的3年目標，但提前在2022年達成，因此今年將業務影響金額的目標提高到了150億美元。</p> <p>Lori Beer表示，未來摩根大通的技術平臺將強化治理和負責任AI的能力，也會整合MLOps能力來加速模型開發，目前，摩根大通也正在測試和評估幾項GPT-4和其他開源大型語言模型的應用案例。</p> <p>積極發展大型語言的同時，摩根大通也組成了一個跨領域團隊，包括了倫理科學家、資料科學家、工程師、AI研究人員和風控人員，來評估如何建立適當的控制機制，防止AI意外遭到濫用，來確保合規。</p> <p>摩根大通從2022年開始落實資安預設設計和隱私預設設計（Security & Privacy by Design），在產品設計之初就開始規畫金鑰、資安、詐欺防範、隱私等功能，而非在事後補救。摩根大通在開發、資料和基礎架構平臺上提供了大量自動化的資安控制機制，減少了60%開發工作上的資安處理，上雲應用合規檢查上也高達60%的部署已經可以自動化核准來加速。去年也開始打造一個動態的全球資安防護機制，能依據業務投資優先順序，主動進行威脅防護。現在每天平均處理的資安通報數量比去年增加了22%。目前，摩根大通也跟NIST金融服務小組正在討論如何建立後量子密碼的轉移規範。</p> <p>Lori Beer表示，去年原本提出了141億美元的科技預算，由於結構性景氣逆風和工資通貨膨脹的影響，去年底的科技支出些微增加達到了143億美元，但是，這些投資創造了5億美元的生產力價值，AI應用案例超過300個增加了3成，提前一年達到100億業務價值的目標，新的目標是要靠AI影響150億美元的業務價值。「我們正在評估大型語言模型的合作機會，可以看到這個領域將有巨大的潛力。」她強調。</p> </div></div></div>
2023/5/26 11:02作者王宏仁https://www.ithome.com.tw/news/157061
大腦陳年臭蟲如何影響你我生活
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-da_nao_you_wen_ti_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">商周出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雖然人類大腦不盡完美，但卻是已知世界中最複雜的一種裝置。而且我們身為單一個體或整個社會群體的意義，不只是由大腦驚人的能力來定義，最終也受到大腦的瑕疵與局限所影響。仔細想想就知道，記憶有時不可信賴，也會有所偏頗；好一點的情況下，只是讓我們忘了名字與數字，但嚴重時，目擊者出了差錯的證詞就會讓無罪者的一生斷送在監獄中。</p> <p>這些現象所產生的結果就是，我們自認為理性的決定往往並非如此。簡單地說，大腦天生就有適合的工作項目與不擅長的事務。不幸的是，連要區分眼前的任務是屬於哪一類都屬於大腦的弱項，所以在大多數情況下，我們對大腦臭蟲（brain's bugs）掌握我們生活的程度仍一無所知。</p> <p>電腦臭蟲偶爾會產生嚴重的後果，像程式撰寫不當可能會讓病人在進行癌症治療時接收到大量致命的輻射線。大腦臭蟲的影響也一樣地廣泛：從簡單的假象、討人厭的記憶問題到非理性的決定都有，這些大腦臭蟲所造成的後果可能無害，但也可能會產生致命的危機。</p> <p><strong><span style="font-size:28px;">DNA中用來建構人類大腦的指令十萬年來從未更新</span></strong></p> <p>在演化組裝設計過程所產生的結果中，人類當然不是唯一會因為大腦臭蟲而面臨死亡的動物。你也許曾觀察到一隻蛾因飛向燈泡或燭火而死亡。難以觸及的月光是飛蛾夜間飛行的指引，但是接觸得到的燈火卻致命地搗亂了牠們的內建導航系統。我們也知道，面對汽車快速接近的臭鼬會趴在地上一百八十度大轉身、抬起尾巴向汽車放出臭氣。就像許多人類大腦臭蟲一樣，某些動物現在生活的世界，原非牠們演化所適用的環境，於是就造成了這樣的錯誤。</p> <p>在飛蛾與臭鼬族群中，會撲火與會被車輾死者繁衍的數量相較於無此問題者會來得少，所以蛾與臭鼬族群的大腦臭蟲最終會有所導正。但是進行設計的演化過程，卻是惡名昭彰地極為緩慢，所以產生了瑕疪。讓生物不會誤食某些有毒黃海參的最原始演化策略，就是讓那些誤食黃海參的動物生病或死亡，那麼會誤食黃海參的動物後代就會減少。這個過程可能要花費幾萬世代才會定型，而且萬一海參變色了，此過程又要重新來過。演化對於本身過程緩慢這個問題最明智的解決辦法就是學習：許多動物在首次咬到有毒獵物後，就知道要避免再度誤食，或者更好的方法是，觀察媽媽的取食習慣就能知道何為安全可食用的食物。「學習」讓動物能夠在自己有限的生命中去適應環境，但只能達到某個程度而已。就像飛蛾仍會撲火或是臭鼬仍堅持要在車子前面釋放臭氣一樣，許多行為相當沒有彈性，因為這些行為已經固定在大腦迴路之中。也因為演化過程過於緩慢，所以包括人類在內的許多動物，目前正在運作的都是一套我們會覺得古老到難以置信的神經運作系統。</p> <p>雖然以電腦來類比神經系統可能會有些誤導的情況，不過要瞭解我所說的神經操作系統，運用電腦來類比的方式還是派得上用場。電腦所要執行的任務就是發揮自身軟硬體的功能；電腦硬體指的就是晶片與硬碟這類實體零件，而軟體就是指儲存在硬體內的程式或指令。我們可以把電腦的操作系統想成軟體中最重要的一部分，它不但是提供電腦整體功能最簡要設定的主程式，也是運作大量附加程式的主力。不過當我們談到神經系統時，其軟體與硬體的分界再怎麼樣還是模糊難定。我很想將神經元與突觸當做硬體，因為它們是大腦的實體部分，但每個神經元與突觸也都各自擁有來自先天與後天塑成的特質。當人類進行學習時，神經元與突觸會產生變化，其特質接續就會主導我們的個性與行為，這就是大腦所執行的程式。所以神經元與突觸也同時是大腦的軟體。</p> <p>電腦與人腦間更適當的比喻法，是將電腦硬體與操作系統比擬成包含如何建構人腦指示的基因編碼程式。電腦中的硬體與操作系統是電腦的固定實體，這部分原本就被設計成無法簡單與經常性地進行改變。同樣地，引導神經系統發展與運作的基因藍圖也幾乎是固定不變。神經操作系統建立了大大小小的每件事情，從額葉皮質的大致尺寸到主導經驗如何形塑幾十億神經元與幾兆突觸的特質都包括在內。編寫在我們DNA中的既定指示，也掌控著人類心智較為無形的特質，像是我們喜歡性愛、不喜歡指甲刮黑板的聲音等等。人類神經操作系統確保我們都能擁有相同的基本欲望與情緒。演化必須提供能與這些欲望及情緒一致的認知配方，像是：在恐懼感與好奇心中取得平衡、對於理性與非理性決定間有所取捨、權衡自私與利人行為的輕重，還有建立某些難以理解又經常變化的啟發探索方式來融合情愛、嫉妒、友誼和信任等等。恐懼感與好奇心間的最佳平衡是什麼？在整個演化過程中，好奇心驅動生物探索新環境的欲望與產生適應新環境的能力，而恐懼感保護動物免於進入一個最好避免探索的可怕世界。為了在不可預測的多變世界中處理各式各樣未來會遇到的場景，演化面對的是一項得讓各種欲望與行為獲得平衡的艱鉅任務。執行這個任務的結果並非產生一個固定的平衡情況，而是打造出一組可以讓環境改變我們天性的規範。因為我們智人（Homo sapiens，指的是相較於已絕種之原始尼安德塔人﹝Neanderthal﹞的現代人）目前掌控地球，所以看起來演化似乎賦與人類一個極利於生存與繁衍的操作系統。</p> <p>但今日我們所居住的是初代智人所不能理解的世界。隨著時間的過去，身為一個物種的我們，從沒有名字與數字的世界來到大量仰賴名字與數字的世界、從一個以取得食物為優先考量的世界來到了食物過剩可能造成嚴重健康問題的世界、從一個只能以超自然力量「解釋」未知事物的時代來到了多數事物都能經由科學解釋的世界。然而，我們使用的依然是本質相同的同一套神經系統。雖然人類並非居住在原先設定的時間與空間中，但寫在我們DNA中用來建構大腦的那組指令還是跟十萬年前一樣。這就產生了一個問題，對於人類為自己建立出的數位化、無掠食者、大量含糖、充斥特殊效果、充滿抗生素、媒體充斥且人口稠密的世界中，由演化建立的神經操作系統究竟能適應到什麼樣的程度？</p> <p>大腦臭蟲影響的範圍從對人類生活無害，到會產生嚴重後果的各種情況皆有。大腦關聯結構造成了錯誤的記憶，也讓政治人物與廠商容易左右我們的行為與信仰。人類笨拙的數字能力與不正確的時間感，讓我們容易做出不明智的財務決定、也造成了不健康且不環保的政策。人類容易對非我族類害怕的天性會混亂我們所做的決定，影響到的不只是要把票投給哪位候選人，甚至連發動戰爭與否也包括在內。人類生性似乎就有迷信超自然力量的傾向，這種情況常會壓制大腦較理性的區域，有時就會造成悲慘後果。</p> <p>這些大腦臭蟲在某些情況中明顯可見；不過在多數情況下，大腦並不會放大這些缺陷。就像父母小心翼翼地過濾自家小孩可能接收到的資訊一樣，大腦也會編審進入我們心智的的許多資訊。如同你的大腦可能會剔除上個句子中多出來的那個「的」一樣，人類常常不知道掌握自己決定與行為的那些任意且非理性的因素。藉由探討大腦瑕疵，我們更可以激發自我的天生能力與瞭解自我缺點，好讓我們能加以改善。探索人類認知極限與心智盲點也是人類追求自我認知的簡單作法。因為西班牙卓越神經學家拉蒙卡哈（Santiago Ramon y Cajal）曾說過：「只要大腦仍是個謎團，那麼其所反映出的大腦構造，也依然是個謎團。」<strong><span style="color:#696969;">（本文摘錄整理自《大腦有問題？！修訂版</span></strong><strong><span style="color:#696969;">》前言，商周出版提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-1P-%E5%A4%A7%E8%85%A6%E6%9C%89%E5%95%8F%E9%A1%8C-500-V2.png" style="width: 500px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_商周出版</span></span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> <span style="color:#3399ff;">大腦有問題?!──大腦瑕疵如何影響你我的生活</span></strong></span><span style="font-size:18px;"><span style="color:#3399ff;"><strong>（修訂版）</strong></span></span></p> <p>汀．布諾曼諾（Dean Buonomano）／著；蕭秀姍、黎敏中／譯</p> <p>商周出版</p> <p>定價：420元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><a href="http://www.buonomanolab.com/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-1P-%E5%A4%A7%E8%85%A6%E6%9C%89%E5%95%8F%E9%A1%8C-500-2.jpg" style="width: 129px;" /></a></p> <p><strong>汀．布諾曼諾（Dean Buonomano）</strong></p> <p>加州大學洛杉磯分校神經生理學暨心理學教授，以及加州大學洛杉磯分校大腦研究所研究員。他的研究曾獲得美國國家衞生研究（the National Institutes of Health）與國家科學基金會（the National Science Foundation）的贊助。<a href="http://www.buonomanolab.com/" target="_blank"><span style="color:#808080;"><span style="font-size:14px;">圖片來源_Dean Buonomano</span></span></a></p> </div></div></div>
2023/5/26 07:00未署名https://www.ithome.com.tw/article/156984
千億營收的下一個目標，Momo新B2B戰略曝光，發揮衛星倉儲優勢提供小店家訂單履行全程業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>富邦集團大董蔡明忠去年接任Momo富邦媒董事長後，首次在股東會（5月19日）上亮相便透露了重磅消息，他表示，2022年突破千億營收後，考慮效仿Amazon做Fulfillment（訂單履行），來維持營收成長。</p> <p><strong>B2C</strong><strong>流量紅利終結，</strong><strong>Momo</strong><strong>開始展現進軍</strong><strong>B2B</strong><strong>市場意圖</strong></p> <p>儘管Momo營收持續成長，2022年還突破了千億里程碑，但細看他們2023年Q1顧客行為指標，可以發現不重複訪客數開始停滯，甚至微幅衰退。不論原因是網路流量紅利結束，還是消費者持續回流實體通路，疫情過後，已經不能保證電商人流量會持續成長。不過，Momo消費者的客單價、消費頻率、及總貢獻收入都持續增長，也反映出深度經營會員見效，攻佔了更大的口袋占有率，亦即占消費者總支出的比例。</p> <p>Momo在股東會中強調，近期積極發展的重心是直播電商、零售媒體廣告業務、會員點數生態圈擴張等策略，但是，<a href="http://www.ithome.com.tw/news/156025">Momo也開始用B2C累積的龐大規模和數據</a>，來布局新業務型態。今年第一季就宣布要用會員點數Mo幣來做企業福利電商，以及結合會員數據和供應商數據來做RMN廣告業務，展現積極進軍B2B市場的意圖。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1(109).jpg" style="width: 600px;" /></p> <p><strong>Momo</strong><strong>發展</strong><strong>B2B</strong><strong>模式的</strong><strong>3</strong><strong>大優勢：自家物流團隊，衛星倉儲分布全臺、集團取貨據點多</strong></p> <p>訂單履行是顧客下單後，從倉儲揀貨、出貨，配送到顧客手上的過程，<a href="https://www.ithome.com.tw/news/154864">Amazon則將自家倉儲和物流發展成一套B2B的訂單履行服務</a>，商家可以將訂單分揀、包裝、跨國配送、退貨等物流工作，委託給Amazon。他們還為此開發了一系列的物流管理App。</p> <p>Momo發展訂單履行業務，不僅符合他們拓展B2B商機的戰略方向，他們的自有車隊布局、倉儲架構和集團實體門市規模，也有利於發展此類業務。蔡明忠有意發展訂單履行的B2B新戰略，在去年Momo總經理谷元宏說明自家物流發展期許時，透露了端倪。</p> <p>Momo旗下有一家100%持股的富昇物流，目前幾乎只服務母公司電商物流。去年，Momo總經理谷元宏便表示，希望自有車隊不要只做自家生意，還能承接外部物流訂單。若Momo開始提供訂單履行業務，由自有車隊承接，這是不改變現有作業模式（從自家倉儲出貨）來承接更多外部物流業務的作法，不只可以將自有車隊從成本中心轉為收入中心，也有助於壓低訂單履行成本。</p> <p>Momo採取分散式衛倉儲的策略，有助於發展更複雜的B2B分散式配送模式。截至2022年底，Momo全臺有18座主倉及35座衛星倉，2023年預計再增加1座主倉和11座衛星倉，籌備中的南部物流中心及中部物流中心，也分別於2024和2026年啟用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2(78).jpg" style="width: 600px;" /></p> <p>不只倉儲布局有優勢，定點取貨是訂單履行的最後一哩，除了與超商合作取貨之外，Momo集團早在2019年就開始利用全臺約800家台灣大哥大實體門市，作為電商取貨據點。800家門市規模有多大？超商老四OK超商分店數約為850家。也就是說，Momo已有相當於第5大超商量級的取貨據點數。</p> <p>近年Momo不斷與台哥大有業務合作，嘗試發揮集團跨企業綜效。訂單履行服務有機會將更多消費者導向台哥大門市，來深化兩家企業合作。Momo若用台哥大門市做第三方貨品的取貨服務，不用設立新實體據點，可以大幅降低訂單履行服務的成本，可以有更大的配送定價調整空間，但也會考驗台哥大門市容納取貨商品的能力。</p> <p>圖片來源：Momo</p> </div></div></div>
2023/5/25 18:29作者郭又華https://www.ithome.com.tw/news/157054
勒索軟體防不勝防，掌握威脅情資才能聚焦防禦行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體是企業不得不重視的資安風險，TeamT5杜浦數位安全執行長蔡松廷（網路暱稱TT）在今年資安大會中表示，勒索軟體是最難對抗的攻擊種類，偏偏勒索軟體攻擊事故越來越多，資安長不得不重視此類風險。</p> <p><strong>更多駭客投入勒索軟體攻擊，形成成熟犯罪生態圈</strong><br /> 蔡松廷觀察，勒索軟體攻擊上升原因是，「這種模式對駭客而言太好賺了。」因此，駭客只要有足夠能力，多會往勒索軟體模式發展，形成一個網路犯罪生態圈。</p> <p>這是一個勒索軟體服務化RaaS（Ransomware as a Service）的網路犯罪生態圈，其中，手握企業漏洞、憑證，甚至是內部存取權的駭客，會將這些內容賣給開發勒索軟體的駭客。漏洞及勒索軟體，會再被轉手到專門負責攻擊、談判及收款的駭客，用來攻擊受害企業。</p> <p>整個過程，駭客利用加密貨幣、Tor等匿名瀏覽器，以及點對點加密的即時通訊軟體，來隱藏金流和談判紀錄等行蹤。蔡松廷坦言，這些方法相當有效，目前資安界沒有有效的反制手段。因此，企業想辦法降低駭客入侵風險，比事後追蹤更實際。</p> <p><strong>做好防禦基本功，可從NIST資安框架下手</strong></p> <p>要降低駭客入侵風險，蔡松廷表示，企業最好的做法是從基本功做起。他認為，光是將美國國家標準與技術研究所NIST發布的網路安全框架（CSF）內容扎扎實實做好，便是好的防禦。</p> <p>NIST CSF分為五個階段，分別是識別（Identify）、保護（Protect）、偵測（Detect）、回應（Respond）與復原（Recover）。</p> <p>蔡松廷分別解釋，識別階段，企業應以資料會被入侵、加密或公開為前提，來盤點風險，整理特殊權限、財產跟軟體清單。而在保護階段，則要防堵入侵管道。企業應以最低權限原則來管理各式各樣的權限，並設置各式防護措施，包括導入防禦工具。</p> <p>用於偵測階段的作法，要監控可疑行為。企業應加強所有IT相關環節的可視性，完整蒐集並保存各式紀錄檔、部署可疑流量跟行為的監控機制、辨認出重要警報，並從警報中了解攻擊趨勢。</p> <p>而針對回應階段的作法，則要為已經遭受攻擊的情況做準備。企業應確認損害範圍、整理並備份好完整紀錄檔，聯繫法務部門、公關部門、保險公司、主管機關等單位，並設立好事件應變（IR）團隊編制、權責及工作流程。蔡松廷建議，企業應假設已經被入侵一段時間、備份已損毀、資料或密碼已經外洩，且有可能被公開的情況。</p> <p>至於復原階段的作法上，企業應設立好資料備份、系統復原及服務復原機制與工作流程。要做到這點，除了事先設立好災難復原計畫（DRP）及營運持續計畫（BCP），還需要不斷演習，來確保相關人員在真正遇到災害時，能盡早讓服務重新上線。不僅如此，企業也應了解，倘若走到與駭客交涉的地步，應如何談判，如何準備贖金並付款。</p> <p>要防禦勒索軟體攻擊，蔡松廷說，沒有絕招，只有基本功。但是，資安防護選項太多，資安長常無從判斷從何開始做起。因此，企業應從掌握威脅情資開始，知己知彼，再決定優先設立的資安防線。</p> <p><strong>掌握3大類威脅情資，將資安資源花在刀口上</strong></p> <p>蔡松廷說明，攻擊者情資可以分為3種面向，分別是入侵威脅指標（IOC）、攻擊手法及攻擊者背景。</p> <p>IOC包括惡意中繼站IP或網域，或惡意程式的Hash雜湊值等。攻擊手法則包括入侵技巧、惡意程式行為、內網滲透技術、攻擊者最新或最常用漏洞。掌握這些資訊，企業便能優先修補相關漏洞，尋找攻擊足跡時也能更聚焦。還有一個容易被忽略的項目是，攻擊者過去談判情況。蔡松廷舉例，這包括對方談判套路、可殺價幅度等，知道了這些，才能爭取談判最大利益。</p> <p>企業也要想辦法蒐集攻擊背景情報，包括駭客攻擊意圖或標的、近期與未來攻擊範圍或產業、攻擊者可能身分、及攻擊者擁有的資料。蔡松廷一一說明，掌握攻擊意圖或標的，企業便能推測哪些資產風險最高，應優先保護；了解駭客攻擊範圍或產業，就能在駭客針對自身產業時，特別加強警戒；掌握攻擊者可能身分，例如知名駭客組織，便能長期追蹤他們動態。</p> <p>另外還要預先推測攻擊者可能擁有的資料，除了內部資料如企業有哪些憑證或密碼有可能洩漏，還有外部資料，例如大型網站個資外洩等，可能造成員工個資或企業資料流入駭客手中。了解這些情資後，企業便能密切監控可能受影響的密碼，並警告員工近期提防社交工程。文⊙郭又華</p> <p> </p> </div></div></div>
2023/5/25 17:32作者郭又華https://www.ithome.com.tw/news/157043
如何當好資安長？永豐銀行資安長揭4大必備技能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如何當一位合格的資安長，是近年許多高階主管面臨的挑戰。永豐銀行資訊安全處副總經理高大宇分享第一手經驗，點出資安長識人術、4大必備技能，以及資安長落實企業資安的實務建議，像是如何強化資安3道防線、調查網路犯罪的3大黃金守則。</p> <p><span style="font-size:24px;"><strong>盤點資安長職涯輪廓，不同專業背景的CISO開始出現</strong></span></p> <p>高大宇的身分很特別，他當過20年網路犯罪警察，專攻資安駭客調查，後來在警察大學任教7年半，因緣際會進入金融業擔任資安主管，掌管資安事宜。他也是臺灣資安主管聯盟副會長，協助推動各產業和金融業資安交流，來提高整體資安防護能力。</p> <p>資安長（CISO）是這幾年興起的職位，但許多企業仍在探索資安長職涯發展和技能。高大宇引用國際調研機構海德思哲（Heidrick & Struggles）的《2022年全球資安長調查》報告，他們訪問全球327名資安長，盤點出資安長職涯軌跡，發現金融業CISO通常具備金融服務和技術行業的近期經驗，且多半來自IT、軟體工程背景。有趣的是，具其他專業背景的CISO也不斷湧現。</p> <p>報告也指出，超過半數的CISO填答者，是從一家企業的CISO再到另一家擔任CISO角色，退休後就轉任董事。這意味著，在不同企業間擔任資安主管，是多數CISO的職涯發展路徑。</p> <p>這份報告還歸納出CISO日常的3大工作重心，包括落實組織的安全設計（Security by design），也就是將資安原則嵌入業務流程和核心軟體的開發，在程式設計的邏輯中納入資安機制，在源頭就做好資安把關。</p> <p>另一個重心是匯報關係，特別是金融業，不只要向上級匯報，也要向稽法風等單位報告，甚至是其他組織，如全體董事會或其它委員會。高大宇舉例，尤其是新聞事件發生或新技術出現時，如ChatGPT、雲端，CISO就得向不同單位匯報狀況、潛在風險和應對策略，這是資安長的重要工作之一。</p> <p>CISO還有個工作重心，也就是識才、選才、育才、用才和留才，並增加投資來招募一流人才、儲備力量，來因應不斷擴大的團隊規模。簡單來說，建立和維持優質的團隊，也是CISO每一天的重要工作。高大宇以從這三大工作重心來分享他的資安長經驗。</p> <h1><strong>資安長要會識人，也要建立良好的工作環境</strong></h1> <p>首先，資安長得具備挑選人才的眼光。但，好人才要有哪些特質？</p> <p>高大宇指出，好人才要反應快、能舉一反三且思考周延，還要能因應困境，更要誠信、可靠、有紀律，能讓人信任，並要擁有工程師的技術和生意人的頭腦。此外，好人才也要能尊重他人，要有良好的情緒管理能力，願意傾聽、釋出善意，並傳遞正能量。</p> <p>除了要有識人眼光，資安長也得塑造良好的工作環境，來留住人才。高大宇坦言，通常好員工離開一家公司，並非離開工作，而是離開主管和老闆。根本原因不外乎是主管不在乎員工、無法實現承諾，或是雇用、升職了不對的人。為避免人才離開，他提醒，主管得留意員工感受和自己開出的承諾，並雇用合適的人才。</p> <p>而好員工可能不好相處，但他們擁有才能而有很多就職選擇。如何留才，得靠主管接納員工創意、賦予員工挑戰，以及認清員工的貢獻並給予獎勵。不只如此，主管還得讓好員工願意為公司工作，得引導員工追尋熱情、發展員工技能，避免員工工作負荷過重。</p> <p>高大宇分析，在執行資安工作上，資安長還要做到4件事，才能與團隊落實資安策略。一是默默吸引合適的人才、形成團隊，二是洞悉人性，對公司基層人員到上級長官都能寒暄、保持友好關係。再來，資安長還要隱藏智慧，要能聽取意見、謙虛接受不同看法。最重要的是，資安長要給予下屬犯錯的機會，做到「有錯一肩扛、有功不霸占，」鼓勵團隊成員發揮所長。</p> <h1><strong>資安長必備4大技能</strong></h1> <p>這樣還不夠，高大宇進一步點出，資安長還得有4大必備技能。因為，面對新興科技日益複雜的現況，有許多程式變動的風險，第一線資安人員常面臨過多警報，導致對告警疲勞，而資安長的究責需求也日益重要。</p> <p>高大宇指出，此時資安長要有清楚的理念、設立清楚的目標，尤其是金融機構講求安全、便利、不中斷，執行計畫時也講究如期、如質、如預算，「要有明確理念目標，才能定位問題和發展方向」，這是資安長必須具備的第1項技能。</p> <p>再來，資安長要擅長溝通，特別是要有說故事般的溝通技巧，把生硬的資安知識、數字和代號等轉為白話，來與上級溝通，更有效率解釋問題。這項技能，仰賴資安長的資安知識廣度，以及尋找問題、面對問題的能力。</p> <p>第三，資安長得有領導執行力，比如，團隊面對爆增的駭客即服務威脅，資安長以零信任為核心來推動資安任務時，要避免成為負面焦點，也要熱情跨域協調，而且要承擔決策責任，讓下屬安心執行任務。最後，資安長還要具備「內外部性格」，得兼具社交韌性的外向影響力，以及認真盡責的內部執行力。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-05-25%20161635(1).png" /></p> <p><span style="font-size:24px;"><strong>用三道防線把關內部安全</strong></span></p> <p>資安長不只要有軟實力，實務上則要有硬實力。高大宇分享，落實企業資安有三道防線，第一道是內部控制、管理控制，也就是業務單位根據指標，來自行查核、衡量風險，發揮最大預防效益。這裡的自行查核是指，根據過往辦理法規和更新的法令修正辦法，來了解內部控制的有效性。這道防線直接面對分散在不同單位的風險人員，資安長得要規畫提升人員的內部控制意識和判斷能力，比如業務單位要開放例外需求時，資安長可提醒潛在風險。</p> <p>第二道防線比較複雜，需要法遵、風管、資安和防治洗錢等單位聯手把關資安風險，這就得靠跨域協調，來達到事先防範效果。由於涉及單位多，高大宇建議擁抱KISS原則，將複雜事務簡化，讓各單位容易理解，來促進溝通合作。第三道防線則是透過內部獨立監督的稽核單位把關資安，得靠協調合作來取代究責、衝突。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-05-25%20162337(1).png" /></p> <h1><strong>從數位鑑識角度思考資安事件應變方式</strong></h1> <p>擔任資安長一定會遇到資安事件，事件發生時，有不同面向的應變和處理程序。高大宇從企業角度和數位鑑識角度分析，以企業而言，資安措施大多遵照美國NIST提出的IPDRR資安框架來規畫，先做好辨識（Identify）、保護（Protect）、防禦（Defense），接著才是事件發生時應變（Respond）和復原（Recover）。</p> <p>然而，數位鑑識意味著要走法院程序，因此，第一步該做的反而是計畫（Plan）和準備（Prepare），並採用數位鑑識工具來收集、分析證據，接著才是應變、辨識，以及法律意義上的收集、保存證據，並做成報告，進行法院鑑識。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-05-25%20162358(1).png" /></p> <p>高大宇提醒，發生資安事件後，不論企業是否交由公部門調查，在執行企業私部門調查時，還是得以「最終會上法院」的原則來進行調查，這樣才會要求自己遵守嚴格的調查程序，同時還能保障企業內部的私有資產。</p> <p>他更引用國際知名的資安教戰手冊《Cyber Crime and Cyber Terrorism Investigator's Handbook》，建議資安長處理網路犯罪調查時，可參考3條黃金守則，包括不預設任何立場、不相信任何事物，以及質疑並檢視所有事物，如此才能透過證據，推導出正確的結論。</p> <p>不只有實務守則，資安長接下來該注意的資安趨勢也很重要。國際知名資安專家Rafeeq Rehman發表《CISO MindMap 2023》，羅列了今、明兩年的資安趨勢發展，高大宇點出其中6點，包括CISO要更注重韌性、減少並整合資安工具、打造資安團隊的品牌形象、拆解網頁應用程式元件，甚至也要強化新興科技的專業知識，並建立資安自動化角色，也就是利用資安工具，來協助CISO處理資安任務。掌握這些趨勢，才能提高企業資安應變能力。</p> </div></div></div>
2023/5/25 18:01作者王若樸https://www.ithome.com.tw/news/157048
【資安日報】5月25日，伊朗駭客部署後門程式PowerExchange，將受害組織的郵件伺服器當作C2來隱匿行蹤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客組織建置C2中繼站又有新的手法，那就是濫用受害組織的郵件伺服器！資安業者Fortinet揭露利用惡意程式PowerExchange的攻擊行動，當中最特別的部分是：駭客既非自行架設C2中繼站，也沒有濫用雲端服務，而是透過前述的惡意程式，把受害組織的Exchange伺服器變成C2。</p> <p>中國駭客組織Volt Typhoon針對關鍵基礎設施而來的攻擊行動也相當值得注意，微軟揭露針對美國而來的攻擊行動，並指出駭客幾乎沒有使用自行打造的惡意軟體，且透過適用於SOHO族的網路邊界設備將流量導向受害組織。</p> <p>於今年初完成修補的WordPress外掛程式近期也出現攻擊行動。資安業者Wordfence揭露針對外掛程式Beautiful Cookie Consent Banner而來的攻擊行動，呼籲網站管理者應儘速安裝更新。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.fortinet.com/blog/threat-research/operation-total-exchange-backdoor-discovered"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Exchange伺服器遭到惡意軟體PowerExchange攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/02-infection-chain-backdoor.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/02-infection-chain-backdoor.png" style="width: 300px; float: right;" /></a>資安業者Fortinet揭露伊朗駭客APT34於2022年的攻擊行動，這些駭客主要是針對阿拉伯聯合大公國的政府機關而來，先是透過釣魚郵件的方式散布帶有惡意軟體的壓縮檔Brochure.zip，其內容是偽裝成型錄的可執行檔，一旦收信人開啟，電腦就會載入惡意酬載，然後部署後門程式PowerExchange，並連線到受害組織的Exchange伺服器部署名為ExchangeLeech的Web Shell，攻擊者利用此伺服器發送、接收駭客的指令，充當C2伺服器的角色。</p> <p>研究人員指出，駭客這麼做的目的，就是看上Exchange伺服器會連上網際網路，而且此伺服器的流量通常會被視為合法，能夠隱匿行蹤。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/05/24/volt-typhoon-targets-us-critical-infrastructure-with-living-off-the-land-techniques/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國關鍵基礎設施遭到中國駭客Volt Typhoon鎖定</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-storm-0391-attack-diagr.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-storm-0391-attack-diagr.png" style="width: 300px; float: right;" /></a>微軟威脅情報團隊揭露中國駭客組織Volt Typhoon的攻擊行動，這些駭客自2021年中旬，藉寄生攻擊（LOLBins）與手動鍵盤操作的方式，針對美國各項關鍵基礎設施（CI）而來，目標涵蓋政府、海運、電信、製造、科技、交通運輸、營造、教育產業。</p> <p>研究人員看到駭客先是利用Fortinet網頁安全閘道設備FortiGuard的零時差漏洞入侵目標組織，成功進入網路環境並提升權限之後，將從前述網頁安全閘道取得的帳密資料用於存取AD帳號，並入侵網路環境裡的其他設備。</p> <p>值得留意的是，駭客會濫用路由器等SOHO族的網路邊界裝置做為代理伺服器，將他們的網路流量導向目標組織，這些設備的廠牌涵蓋華碩、思科、D-Link、Netgear、兆勤，這麼做的目的是讓攻擊行動更加隱密。</p> <p><a href="https://www.wordfence.com/blog/2023/05/wordfence-firewall-blocks-bizarre-large-scale-xss-campaign/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">徵求使用者Cookie存取權限的WordPress外掛程式出現XSS漏洞，150萬網站曝險</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cookie-consent-attacks-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cookie-consent-attacks-1.png" style="width: 300px; float: right;" /></a>資安業者Wordfence對於名為Beautiful Cookie Consent Banner的WordPress外掛程式用戶提出警告，指出一項開發商於今年1月完成修補的跨網站指令碼（XSS）漏洞（未取得CVE編號），已出現攻擊行動。</p> <p>這項漏洞存在於此外掛程式的2.10.1以前版本，未通過身分驗證的攻擊者就有可能在網站上植入惡意JavaScript指令碼，進而將瀏覽網站的使用者重新導向至惡意網站，或是在受害網站上建立管理者帳號，CVSS風險評分為7.2，開發商發布2.10.2版予以修補。</p> <p>但研究人員發現，攻擊者自2月5日開始針對該漏洞發動攻擊，截至5月23日，他們從1.4萬個IP位址封鎖了300萬次攻擊，這些攻擊針對逾150萬個網站而來，而且攻擊仍在持續進行。</p> <p><a href="https://www.cadosecurity.com/updates-to-legion-a-cloud-credential-harvester-and-smtp-hijacker/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Legion鎖定SSH伺服器與AWS帳密而來</span></strong></a></p> <p>資安業者Cado針對近期的惡意軟體Legion攻擊行動提出警告，他們在4月首次發現該惡意軟體行蹤之後，駭客在新版本納入了進階功能，可藉由名為Paramiko的模組入侵SSH伺服器，並從Laravel網頁應用程式當中，盜取與DynamoDB資料庫、Amazon CloudWatch、AWS Owl監控系統有關的AWS帳密資料。</p> <p><a href="https://serocu.police.uk/man-convicted-of-blackmail-and-other-offences/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">英國企業遭勒索軟體攻擊，傳出有員工趁火打劫，向高階主管勒索</span></strong></a></p> <p>英國的東南地區組織犯罪調查聯盟（SEROCU）指出，現年28歲的英國男子Ashley Liles曾在一家總部位於牛津的公司擔任IT安全分析師職務，該公司於2018年2月遭到勒索軟體攻擊，此名男子參與了內部調查及事件回應的工作，但他卻向公司發動第2次攻擊，欺騙雇主將贖金轉到他的戶頭，企圖中飽私囊。</p> <p>SEROCU指控這名分析師存取其中一名董事的私人電子郵件超過300次，並竄改原本駭客勒索信裡的付款網址，然後透過與駭客寄信電子郵件信箱雷同的帳號，寄信向雇主施壓。在該公司內部調查發現分析師透過住家的IP位址，未經授權存取私人電子郵件而東窗事發，如今該分析師Ashley Liles在5年後終於認罪，雷丁皇家法院將於7月11日對其宣判，此人最重有可能面臨14年刑期。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://about.gitlab.com/releases/2023/05/23/critical-security-release-gitlab-16-0-1-released/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">GitLab修補CVSS滿分的重大漏洞</span></strong></a></p> <p>5月23日GitLab發布重大安全更新16.0.1，當中修補漏洞CVE-2023-2825，此為路徑穿越漏洞，影響16.0.0版用戶（舊版本不受影響），且無論是社群版（CE）或企業版（EE）都會曝險，CVSS風險評分為10.0。</p> <p>一旦遭到利用，GitLab伺服器上可供5個（或以上）群組存取的公開專案裡若是存在附件，未通過身分驗證的惡意使用者就可藉著上述漏洞，讀取伺服器當中的任何檔案。由於沒有其他的緩解措施，GitLab呼籲受影響的用戶儘速更新程式。</p> <p><a href="https://status.barracuda.com/incidents/34kx82j5n4q9"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Barracuda郵件安全閘道遭到零時差漏洞攻擊</span></strong></a></p> <p>5月23日資安業者Barracuda發布資安通告，指出該公司於19日在旗下的郵件安全閘道系統（ESG）裡，找到了CVE-2023-2868漏洞，這項漏洞起因是該系統對於TAR檔案的消毒流程裡，出現輸入驗證不完整的情況，遠端攻擊者可透過特定格式的檔案名稱來執行系統層級的命令，CVSS風險評分為9.4。</p> <p>該公司先後於20日、21日向所有的ESG系統派送修補程式，並指出此漏洞已造成部分郵件安全閘道出現未經授權存取的攻擊行動。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://salt.security/blog/a-new-oauth-vulnerability-that-may-impact-hundreds-of-online-services"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">應用程式框架Expo出現OAuth漏洞，恐導致帳號遭到接管</span></span></strong></a></p> <p><a href="https://asec.ahnlab.com/en/53132/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">IIS網頁伺服器遭到北韓駭客Lazarus鎖定</span></span></strong></a></p> <p><a href="https://research.checkpoint.com/2023/agrius-deploys-moneybird-in-targeted-attacks-against-israeli-organizations/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">以色列組織遭到勒索軟體Moneybird攻擊</span></span></strong></a></p> <p><a href="https://www.proofpoint.com/us/blog/threat-insight/small-and-medium-business-APT-phishing-landscape-in-2023"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中小企業成APT駭客組織重要目標，其MSP也遭到鎖定</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/157026"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">【2023臺灣資安大會】警政署揭中國網軍攻臺演進轉變，更提出資安事件調查5步驟</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/157027"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">【2023臺灣資安大會】企業如何導入零信任架構？專家由淺入深剖析上手關鍵</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/157025"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">【2023臺灣資安大會】如何幫助研發部門形塑資安文化，Line資安團隊從三面向來實踐</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/157038"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">【2023臺灣資安大會】資安治理成趨勢，資安長得具備哪些能力？</span></span></strong></a></p> <p> </p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157021">【5月24日】研究人員針對Zyxel防火牆漏洞提出警告，至少有4.2萬臺設備尚未修補而可能曝險</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157011">【5月23日】勒索軟體駭客BlackCat利用惡意驅動程式Poortry發動攻擊，繞過防毒軟體偵測</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156982">【5月22日】 YouBike證實遭到網路攻擊，2.1萬用戶資料外洩</a></strong></p> </div></div></div>
2023/5/25 16:08作者周峻佑https://www.ithome.com.tw/news/157039
讓科技幫忙說人話
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/tags/2023%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83" target="_blank"><span style="color:#3366ff;">今年臺灣資安大會</span></a>順利舉行，總統蔡英文偕同所有政府與資安相關的部會首長或副首長，親自到場參加活動開幕式，她特別期勉大家：「我們不僅要Bring Security to Taiwan，更要Bring Security to the World。」不僅呼應了這次大會主題，也讓我們想起COVID-19疫情期間，開拓出「Taiwan Can Help, and Taiwan is Helping!」外交路線，而對於資安領域而言，除了對內積極在產、官、學界發展先進技術，也必須盡己所能，對外幫助世界維持民主自由與經濟繁榮。</p> <p>臺灣資安大會這次也邀請前美國國土安全部長Janet Napolitano，她的演講也啟發資安推動的不同作法，尤其是談到美國政府過去推動的「If You See Something, Say Something」的國家公共安全意識提升運動，並解釋與網路安全防護之間的共通處，對於國人來說，可從中以另一種角度理解何謂「安全」。</p> <p>乍看之下，多數人會覺得這兩句話很理所當然，甚至覺得很無厘頭，其真正的意思是什麼呢？美國國土安全部為此設立的專屬網頁是這樣描述的：為了維護社區安全，每個人都扮演重要角色，雖然我們每天忙於制式固定的工作、上課、購物，很容易分心、失神（而忽略周遭環境的變化），因此，如果你看到了某件（不尋常的）事情，切勿沈默，而是要把它說出來、通報給大家知道。</p> <p>對此，從<a href="https://twitter.com/CISACyber" target="_blank"><span style="color:#3366ff;">美國國土安全部網路安全及關鍵基礎設施安全署（CISA）的社交媒體</span></a>內容，其實，也可以了解到他們的訊息傳達策略具有類似風格，相當平易近人。例如，用詼諧但不失莊重的插圖、動畫，宣傳各種網路衛生與資安意識，<a href="https://www.ithome.com.tw/article/150240" target="_blank"><span style="color:#3366ff;">去年我們也曾介紹他們推動全國組織網路安全防衛行動「Shields Up」</span></a>，其名顯然來自許多科幻星艦或星戰影集為了強化防禦而用的一句臺詞「升起防護罩」。</p> <p>過去我們以為這可能與美國社會特有的影視文化氛圍有關，<a href="https://www.ithome.com.tw/news/156803" target="_blank"><span style="color:#3366ff;">而在Janet Napolitano的演講裡面</span></a>，我們認為這種不唱高調、與你我生活緊密相連的國家安全宣導，就跟「If You See Something, Say Something」任何人一看就懂的論調是一脈相承的。</p> <p>如果要讓資安的意識與行動能夠更為普及、落實，如何使普羅大眾、各種領域的專業人士都能夠接收與理解相關訊息，是非常重要的，然而，在科技演進與傳播的過程中，這一直是很困難的工作，以資通訊領域而言，充滿了各種術語，而且，有時候同一個詞彙在不同語言、脈絡或使用者社群當中，又會產生其他意思與用法，使得大家所表達的內容都不太像任何人皆能理解的「人話」，而產生各種溝通的障礙。</p> <p>舉例來說，「零信任（Zero Trust）」可能讓不熟悉資安的人產生很大困惑，意思原本應是滿足特定條件才給予信任，但可能有人誤以為任何資安都不值得信任，而拒用所有科技；漏洞「Exploit」的行為，對防守方而言，所認知的意義應是「濫用」，但對攻擊方而言，是「利用」、「挖掘」、「開採」，以此講述的人或許是懶得區分，卻令人困惑其扮演的角色究竟是哪一方。</p> <p>「Code」有時是指程式碼，有時是指代號或是密碼、驗證碼，然而，受到中國用語大量充斥在商業與電腦書籍，以及各大網站論壇，臺灣有很多人習以為常而統稱為「代碼」，無視不同意義混為一談的亂象。</p> <p>除了用語的歧義，許多IT人員也將撰寫文件與報告視為苦差事，也使得相關資訊的傳達產生很大的障礙。不過，種種溝通不良的狀況，未來有可能借助人工智慧技術的突飛猛進而獲得改善。</p> <p>隨著今年上半<a href="https://www.ithome.com.tw/article/155981" target="_blank"><span style="color:#3366ff;">ChatGPT</span></a>等大型語言模型的走紅，將這樣的技術整合到既有產品與服務的業者，不只是幾家知名的全球大型科技廠商，也激發各種領域的IT創新。</p> <p>以今年臺灣資安大會為例，我們看到出身臺灣的新創廠商奧義智慧，也展現呼應這方面技術突破的最新進展，令人印象深刻。他們運用基於自家累積的惡意活動數據，以及專家資安知識而成的AI模型，不僅列出以「中文」寫成、內容通順的案情摘要，還能提供符合當代資安實務經驗水準的處置建議，做到更自動、更省人工的資安事件調查，以因應時間日益緊湊的事件通報要求。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/2023%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83">2023臺灣資安大會</a></div></div></div>
2023/5/25 16:52作者李宗翰https://www.ithome.com.tw/voice/157042
資安治理成趨勢，資安長得具備哪些能力？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鴻海集團旗下有6大事業群、每一事業群年收都破兆，如何掌管龐大且複雜的集團資安，是鴻海集團資安長李維斌近來面對的挑戰。他整理第一線經驗，點出權威資安框架CSF將新添治理元素，資安治理已然成為趨勢，資安長也應轉變思維，來提高組織面對不確定性的冒險本錢。</p> <p><span style="font-size:24px;"><strong>資安趨勢轉變，講究治理</strong></span></p> <p>IT出身的李維斌，曾任逢甲大學資訊處資訊長、臺北市資訊局局長，後來進入鴻海集團擔任鴻海研究院執行長，以及研究所旗下資安所所長，去年開始還多了個集團資安長的身分。</p> <p>他點出，要做好資安工作，資安長（CISO）得先了解大環境的變化。比如，過去資安人常談VUCA，根據易變性（Volatility）、不確定性（Uncertainty）、複雜性（Complexity）和模糊性（Ambiguity）來思考資安做法。但近年，哈佛商學院教授Bill George提出VUCA 2.0，聚焦願景（Vision）、理解（Understanding）、勇氣（Courage）和適應（Adaptability），資安長一樣可從該角度思考資安策略。李維斌說明，在這變動的環境，資安長得要定義出堅實的願景，才能因應環境波動，同時保持開放心態，來理解新技術、法規和需求，才能有效溝通。而且，資安長也要有勇氣面對複雜事物和挫折，才能適應新狀況。</p> <p>李維斌還觀察到，資安文化在轉變，從最初聚焦的技術層面，亦即講求防火牆、入侵偵測系統等設備採購，轉為管理層面，重視認證資格（如ISO 27001）的取得。但近期，資安文化焦點悄悄轉向治理層面，講究當責，要企業整體營運更順暢。</p> <p>不只如此，最明顯的大環境變化是，國際資安權威機構美國NIST今年開會，要改版各界奉為圭臬的資安框架CSF，將在IDPRR五大元素中，進一步納入治理（Governance）。李維斌點出新版的改變，包括資安治理、供應鏈管理、持續性風險管控、基礎建設韌性，以及善用人才、程序和科技來實現資安防護等。他也透露，NIST已在今年4月擬定2.0版本的核心內容，明年初預計釋出CSF 2.0版。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-05-25%20155451.png" /></p> <p><span style="font-size:24px;"><strong>轉變思維聚焦服務、業務和創新</strong></span></p> <p>那，什麼是資安治理？</p> <p>李維斌引用國際資訊安全稽核員（CISA）證照的說明，舉出5大資安治理特點，包括要有當責框架、要有決策制定的階層，還有清楚定義的業務目標相關風險。重要的是，資安治理還要有風險緩解計畫和策略，更要有監管處理流程和詳細程序。</p> <p>面對大環境改變，資安長和負責資安業務的資訊長（CIO）也得「轉變思維。」李維斌舉例，不論是資訊長還是資安長，都得從過去談系統（System）的習慣，改以服務（Service）為中心，來與業務單位更好地溝通。同樣地，過去以IT敏捷為中心，現在資安應思考的是業務敏捷，維持業務快速迭代。還有一個重要的思維轉變是，將資訊轉換為創新，來替企業創造價值。</p> <p>「唯有思維轉型，你才有辦法看見不一樣的事。」李維斌進一步指出，資訊長得把自己定位為「業務夥伴」，而不是IT提供方，應從業務角度思考，IT能如何運用、如何創新，並將這個運用能力帶給業務單位。</p> <p>同理，資安長也應將自己視為業務夥伴，而非「安全警察」，才能順利將資安觀念帶到第一線業務單位，提高全體資安意識。李維斌強調，資安長的一大任務是提高組織面對不確定性的冒險本錢，帶領組織在變幻莫測的環境中，順利走出一條路。另一個重要任務是「調和」維持競爭力下的衝突，而非「妥協」，亦即要理解雙方處境和需求，找出可行的第三條路，而非各退一步、妥協於中間點。這項任務，「也是我對自己的期許，」李維斌說。</p> <p>面對轉型，資安長和資訊長如何協調分工？他總結，資安長該做的是治理，也就是「Doing the right thing」，比如授權給資訊長來做決策、負責戰略規畫、扛起當責性、分配資源，而資訊長該做的則是管理，也就是「Doing things right」，比如經授權來決策、負責專案規畫，以及善用資源來完成專案。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-05-25%20155633.png" /></p> <p><span style="font-size:24px;"><strong>鴻海集團靠4關鍵組織推資安</strong></span></p> <p>李維斌也以鴻海集團為例，來說明大型企業資安治理模式。鴻海集團內部有4個關鍵資安組織，包括資安治理工作小組、資安維運工作小組、由集團董事長為首的資安治理委員會，以及由資安長領導的秘書處。</p> <p>其中，資安治理工作小組和資安維運工作小組相互監督、指導和評估，後者還會與集團6大事業群的資安執行單位共事，並與鴻海資安情資分享聯盟互通，來進行通報和交換情資。</p> <p>資安治理委員會除了由董事長領軍，成員還來自各事業群的總經理，聚焦於資安治理方向與策略。秘書處除了向資安治理委員會報告，也肩負2項重要任務。一是提供資安治理和管理相關資料給IR、PR和負責年報的單位，來將成果轉換為可對外發布的訊息，另一項任務是協助稽核單位，來落實集團內部資安稽核。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-05-25%20155613.png" /></p> <p><span style="font-size:24px;"><strong>資安3要素CIA的新解讀</strong></span></p> <p>早年擔任資訊長的經歷，以及在鴻海集團的資安磨練，讓李維斌對業界熟悉的資安3要素CIA框架，有了新的解讀。CIA是指機密性（Confidentiality）、完整性（Integrity）和可用性（Availability），但對李維斌來說，CIA還有更廣泛的意義。</p> <p>他指出，其中的C代表同理的過程，透過傾聽（Contact）、融入（Context）情境和影響（Content）對方，來產生信任。接著是形成組織文化的I，亦即找出不會被拒絕的切入點、從好的開始（Initiative）來產生影響，和平地重新詮釋分工與合作。最後的A則是改變的過程，透過改變工作方式，來讓組織行為模式發生改變，比如企業遭遇危機，於是導入新系統因應（Adopt），接著使用者熟能生巧（Adept），並將這個工具融入業務流程，進一步適應（Adapt）、實現改變。</p> <p>最後，李維斌也總結資安長工作心法，「資安長是一個持續進化的角色，」他表示，外在環境不斷變化，因此資安長得「Stay informed，」比如理解不斷新增的監管規範和法遵，以及不斷改變的威脅環境和使用環境。再來，資安長得要讓企業有能力擁抱過去認為風險太高的機會，同時因應治理階層不斷被要求的資安責任與義務，來分憂解勞。更重要的是，資安長要能「From team to teaming！」李維斌解釋，資安長不會只與一個固定團隊共事；每當不同事件發生，資安長得尋找有領域知識的專家參與，並組合不同職員、形成有默契的團隊來解決問題，如此才能優化企業資安體質。</p> </div></div></div>
2023/5/25 16:03作者王若樸https://www.ithome.com.tw/news/157038
Nvidia營收下滑13%，股價卻大漲20%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://nvidianews.nvidia.com/news/nvidia-announces-financial-results-for-first-quarter-fiscal-2024" target="_blank">全球GPU大廠輝達（Nvidia）本周三（5/24）公布了截至今年4月30日的2024財年第一季財報</a>，該季Nvidia創下71.9億美元的營收，比去年同期減少了13%，不過，身為全球AI軟/硬體主要供應商，Nvidia受惠於全球對AI的需求大增，當天盤後股價大漲了24.63%，一下飆升到380.6美元。</p> <p>在71.9億美元的營收中，占比最大的是資料中心，該季營收為42.8億美元，成長14%；遊戲營收為22.4億美元，下滑了38%；專業視覺化營收為2.95億美元，下滑53%；汽車營收為2.96億美元，成長114%。</p> <p>Nvidia創辦人暨執行長黃仁勳表示，電腦產業正同時經歷兩項轉變，分別為加速運算與生成式AI。當企業爭相把生成式AI應用到每一個產品、服務與企業程序中之際，全球的資料中心基礎設施也將從通用運算遷移到加速運算，該公司全系列的資料中心家族產品，從H100、Grace CPU、Grace Hopper Superchip、NVLink、Quantum 400 InfiniBand到BlueField-3 DPU，都正在生產中，而且正式大幅擴大供應，以滿足激增的市場需求。</p> <p>即使Nvidia今年第一季的營收下滑13%，但每股盈餘卻成長28%，達0.82美元，再加上下一季的展望樂觀，預期可創下110億美元的營收，比華爾街分析師所預估的第二季營收還要高出50%，也讓Nvidia當天的盤後股價衝上歷史新高。</p> </div></div></div>
2023/5/25 16:10作者陳曉莉https://www.ithome.com.tw/news/157040
企業如何導入零信任架構？專家由淺入深剖析上手關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自2010年由John Kindervag提出Zero Trust Model，提倡一種安全的模型、策略或模式，後來Google在2014年也發表Beyond Corp的零信任概念及實作，Google、Netflix、微軟等科技大廠紛紛導入，美國國家標準與技術研究院（National Institute of Standards and Technology）也在2020年發表NIST SP800-207標準，作為實踐的參考，更在2023年發表雲原生服務如何實作零信任。</p> <p>不只民間業者，美國政府也大力推動，例如白宮在2021年發表零信任戰略，推廣聯邦政府採用零信任架構，美國國防部則是提出零信任能力藍圖。</p> <p style="margin-left:-.1pt;">臺灣方面，從總統府、行政院、數位部到金管會也開始動起來，政府計畫在T-Road全面導入零信任管理制度，並在2年內輔導A級機關導入零信任，之後再擴大到B級機關及地方政府。去年數位部成立，以2年內針對資通安全等級A級機關輔導優先導入零信任網路架構為目標，為鼓勵擴大參用，資安院則進一步提出身分鑑別、設備鑑別、信任推斷三階段導入。金管會也在2022年底推動金融資安行動方案2.0，鼓勵金融產業採用零信任架構，來強化連線驗證及授權管控。</p> <p style="margin-left:-.1pt;">零信任受到各界關注，但企業要導入應從何處下手，中華資安國際經理邱品仁在今年臺灣資安大會說明零信任概念及實作，供想要導入零信任的企業參考。</p> <p>首先，他以NIST SP800-207提出的零信任架構（Zero Trust Architecture）作說明，零信任的核心是將企業內部資料、服務視為資源。過去作法是，登入VPN後等同內網，預設可使用企業內部資源的觀念，而在零信任架構中，在要求存取的裝置、企業資源之間，應設置政策落實的控管節點（Policy Decision/Enforcement Point, PDP/PEP），以盡可能完整、精細的落實存取控管。</p> <p>NIST提出零信任的邏輯架構，PDP/PEP扮演關鍵的存取控管元件：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/NIST%20SP800-207(1).jpg" style="width: 600px; height: 336px;" /></p> <p>例如使用帳號密碼登入企業電子郵件，傳統上，不論是在職或離職員工、約聘員工或合作廠商，任何人只要知道帳號密碼就能登入，為等同原則，零信任架構則對身分定義要求更完整的控制，對登入請求區分身分信任區間、信任程度有多少，像是工讀生能不能存取ERP或研發資料庫，在零信任架構中需要進一步思考、落實控管，不只是身分識別，請求存取的連線裝置也應被納管，連線裝置是否有足夠的安全保護完整性也需要納入考量。</p> <p>另外，傳統在VPN連線登入後，在隱性信任區內預設可連線存取企業內部資源，但在零信任架構則要儘可能縮小隱性信任區（Implicit trust zone），換言之，更嚴格的控制存取企業資源。</p> <p>組織導入零信任架構的7項原則，幾項重點包括，企業內部資料與服務均視為資源，需要進一步落實控管的標的。其次，不論網路所在位置，都要確保通訊是安全的，不只是授權，包括網路傳輸的安全性，連線需以加密進行傳輸。還有，企業資源存取的授權應以單次請求單次授權為主。</p> <p>企業也應採取動態政策（Dynamic Policy）控管資源的存取，動態政策根據終端用戶的身分、應用及服務、資產狀態，包含行為或環境的改變而動態調整。邱品仁指出，企業必需清楚員工或訪客使用什麼裝置，是企業納管的裝置或是個人的裝置，定義對應的管理監控機制，企業資源的授權存取也要呼應動態政策，應該有一套信任歸納演算法，NIST SP800-207中定義信任歸納演算法應該納入哪些資訊、如何演算，要強制在資源存取授權之前執行。企業應該儘量蒐集資訊，包含身分、登入後的活動，持續性的驗證行為是否有異常，例如發現異常存取大量的資料，應該撤除授權、發出告警。</p> <p><span style="color:#B22222;"><strong>6個假設前提</strong></span></p> <p>零信任落實到網路管理有6項假設前提。邱品仁指出，首先企業要假設網路內任何地方都是有風險的，要假設已有攻擊者潛伏在企業網路內，這意謂著，所有連線要通過認證，以及加密傳輸。以Netflix為例，不論員工是否在辦公室，假設員工是在星巴克上班，以此來建構他們的零信任防護策略。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/6principle-600.jpg" style="width: 600px; height: 416px;" /></p> <p>其次是，包括員工裝置、員工BYOD裝置、合作夥伴、承包商、訪客使用的裝置，企業應該都要有對應管控方式。而當裝置要存取企業資源之前，也需要評估這些裝置的安全狀態（Security posture）。邱品仁指出，當員工在外面的星巴克上班，透過網際網路連線時，除了提供DNS解析等基本網路能力，還需要通過零信任控管機制，管理員工在外存取企業資源的授權。</p> <p>在零信任的架構下，需假設遠端存取企業資源，即使是來自本地端網路的存取也有風險，可能遭竊聽或是中間人攻擊，所有存取的需求都應該被認證、授權確認，以確保通訊的安全及完整。最後，考量到存取裝置移動的可能性，例如出差或旅行，需維持持續的安全政策及確保裝置的安全狀態。</p> <p>儘管NIST SP800-207描繪出理想中零信任的架構設計，邱品仁認為，企業不需要因為內部現況和NIST的架構設計不同，急於找廠商規畫導入，企業可以檢視所使用嚴格遠端存取機制，對照是否與零信任框架、精神相符合。「企業很可能已做到零信任的6成或7成，只是企業自己並不知道」。</p> <p><strong><span style="color:#B22222;">零信任架構的10項網路需求</span></strong></p> <p>NIST SP800-207也列出零信任架構的10個基礎網路需求，例如對於企業的資產提供基礎的網路連線，例如LAN、DNS等；應該能區分裝置的安全狀態，是屬於企業的資產或是應該被納管的員工資產，給予不同的存取策略及授權；企業要能掌握所有網路的流量，同時對存取行為保持可視性。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/10%E9%9C%80%E6%B1%82-600.jpg" style="width: 600px; height: 331px;" /></p> <p>為了加強對企業資源的保護，零信任架構也要求資源不應在沒有PEP（Policy Enforcement Point）存取閘道的存取控管下提供存取。邱品仁指出，部分的企業可能會擔心內部沒有PEP政策執行節點，實務上每家企業做法不同，他建議可對照現有存取管控做法，有些企業是以VPN作為PEP。10項需求中，其他還包括Data Plane和Control Plane要落實邏輯上的區分，必需確保企業的資產可以連到PEP；在所有流程中，只有PEP可以存取、觸碰等等。</p> <p>在零信任架構中，PEP扮演使用者或設備來存取企業資源時的閘道控管角色，而PEP負責政策執行，其中的決策引擎仰賴信任演算法。邱品仁表示，所有的資產裝置清冊、政策管理等等，都應該被納入信任演算法之中，和政策關聯後再落實執行，「每一次存取請求都要被妥善檢查，確保安全性比以往只依靠帳號密碼或2FA驗證要來得高很多」。</p> <p><span style="color:#B22222;"><strong>大廠怎麼做</strong></span></p> <p>假設企業希望一個應用系統只提供財務部門存取，在妥善控管的裝置上存取，地理位置上限制只有臺灣地區能存取，要有足夠強度的認證機制及加密傳輸，應該如何做？</p> <p>邱品仁以Google的BeyondCorp說明零信任概念及基礎實作，在BeyondCorp的元件及存取流程示意圖Access Control Engine，相當於NISP SP800-207的PEP政策執行節點的PDP決策引擎，透過信任演算法，持續從各管道取得資料，包括安全識別及驗證裝置的Device Inventory Database、端點防護資料等等，將Access Control Engine引入至Access Proxy，作為存取放行與否決策的參考，員工不論在內部或是外部，透過SSO單一簽入或內網透過RADIUS進行網路存取的資訊派發。</p> <p>在BeyondCorp有幾項關鍵的基礎原則與實作，首先是對存取裝置進行識別與驗證，建立Device Inventory Database來納管裝置及裝置的狀態。其次是對人的識別及驗證，包括建立使用者（User）與群組（Group）資料庫，並整合SSO單一簽入系統，邱品仁指出，如同NIST要求企業盡量將身分識別系統集中作有效的管控，而非讓不同的團隊各自有自己的身分識別系統，否則將影響零信任策略執行的完整性。</p> <p>另外，在BeyondCorp去除了預設信任特定網路的原則，不再採用邊界的概念，預設將所有人放在沒有特權的網路（Unprivileged Network），建立基礎低權限存取網路，透過Access Porxy存取企業服務。為了方便從外部存取，更將企業服務註冊到外部的Public DNS Entry，使用者只要連到對應網址，就會被導入Access Proxy進行SSO，通過驗證後才放行。Google建立基於Inventory的存取控管機制，基於對人與設備，執行動態政策（Dynamic Policy）及落實執行。</p> <p>Netflix在2018年分享他們的作法，稱為LISA原則，邱品仁表示，其主要精神包括信任身分及健康度，並且去除原本對辦公網路（Office Network）的預設信任，裝置之間彼此隔離，禁止裝置間的溝通，他們假設使用者在咖啡店存取網路，當辦公室有一臺裝置被入侵，雖然可以存取Internet，但裝置彼此之間隔離，當被入侵的裝置要存取AWS的企業資源時，就會受到管控。</p> <p>在LISA網路架構下，使用者通過Switch Private VLANs，經由Firewall ACLs存取控管，從LISA網路欲連至AWS或資料中心，需進一步通過VPN檢查裝置健康狀態，再進行身分及多因子驗證、進行流量側錄後，才允許裝置存取企業的資源。網路存取落實嚴格控管，盡量減少控管例外，對於少數的例外情形，基於安全僅開放有限存取。</p> <p>另一家科技大廠微軟在落實零信任提出4種情境，首先，應用系統及服務有能力作多因子驗證、檢查裝置安全狀態，其次是員工可以註冊自己的裝置接受納管，確保裝置安全裝置，可獲得的對應資源存取權限，第3是即使員工或訪客使用未納管裝置仍可存取企業資源，但要定立存取控管機制，第4是存取權限最小化，甚至精確到特定功能。</p> <p>當使用者透過裝置存取時，需通過MFA、所在位置、使用何種裝置、存取何種資源、是否有風險、例外規則。微軟將內部員工經常使用的資源，例如Microsoft 365導入零信任，並延伸到合作夥伴及廠商。針對存取公司資源的裝置，不論是公司或是個人使用的裝置，都要由微軟的裝置管理系統納管。</p> <p>企業導入零信任架構，可參考NIST SP800-207對遷移ZTA架構的建議（下圖），以及CISA提出的零信任成熟模型，其中CISA對資料、裝置、身分、網路、應用服務及工作負責，分別定義4種階段的成熟度，讓企業自行評估現況，逐步推動零信任成熟度。此外，美國國防部（DoD）也提出自己的零信任策略，同時提出DoD如何從現有的IT架構，慢慢引導往零信任目標發展的3個行動方案。邱品仁認為，企業導入零信任可參考相關的標準及框架，但導入零信任並非毀減性的IT作法，而應該循序漸進的引導。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/NIST%20SP800-207-ZTA.jpg" style="width: 600px; height: 346px;" /></p> <p style="margin-left:-.1pt;">「零信任是資安的策略或原則，並非產品」，邱品仁指出，企業可以參考零信任架構ZTA，但不能只是依據架構的項目，一一比對自家作法列出還沒做的事，而忽略了ZTA是一套標準的框架及架構，企業應該辨識出自己和這個架構的落差來補強。當企業要導入零信任，3到6個月內可先選出需要先應用的關鍵服務及區域、使用情境，對照零信任架構，從資產等級、風險等級、必要性，列出引導零信任的順序，確認現況和目標的落差，爭取預算強化。</p> <p>在6到12個月進入POC，包括強化現有管控機制，或是建立Greenfield或Brownfield區遷移驗證，測試是否影響到正常營運，網路架構進行調整，南北向及東西向的網路架構隔離及防護，強化身分、存取控管機制，建立集中統一的管理機制。特別是，企業對裝置的納管，應列入資產管理作業流程、風險管理評鑑流程，最後到授權存取原則。<span lang="EN-US" xml:lang="EN-US"><p></p></span></p> </div></div></div>
2023/5/25 13:28作者蘇文彬https://www.ithome.com.tw/news/157027
微軟點名中國駭客入侵美國重大基礎設施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/05/24/volt-typhoon-targets-us-critical-infrastructure-with-living-off-the-land-techniques/" target="_blank">微軟本周揭露了一個中國駭客組織Volt Typhoon</a>，指出Volt Typhoon自2021年來便鎖定位於美國本土及關島的重大基礎設施組織展開攻擊，涵蓋通訊、製造、公用、運輸、建造、海洋、政府、資訊科技及教育類別等，目的是為了進行間諜行動，而且手法非常隱蔽，以盡可能不被發現。</p> <p>分析顯示，Volt Typhoon幾乎僅仰賴被害者既有環境的技術（living-off-the-land techniques），以及由駭客精心策畫（hands-on-keyboard）並輸入命令的攻擊模式，以躲避防毒軟體的偵測，同時可更準確地達到目的。</p> <p>駭客透過命令列來發布命令，以蒐集網路系統上的資料與憑證，再將資料置入一個封存檔案中以利汲取，並使用所盜來的憑證來維持存在。</p> <p>為了避免被發現，Volt Typhoon先行感染各種網路設備，從路由器、防火牆到VPN硬碟等，且使用的是開源工具的客製化版本，透過代理人建立一個C&C頻道。</p> <p>根據微軟的調查，Volt Typhoon最初鎖定的是Fortinet FortiGuard設備，企圖利用該設備上的任何特權，取得設備AD帳戶的憑證，再以相關憑證授權網路上的其它裝置，因此所有的流量都透過這些被危害的設備傳遞，上述設備的製造商遍及華碩、思科、D-Link、NETGEAR及Zyxel，只要具備連網管理介面的設備都是Volt Typhoon的目標。</p> <p>在進入目標環境之後，Volt Typhoon即透過命令列來蒐集系統上的資訊，尋找網路上的其它設備再竊取資料。駭客有興趣的資料包括檔案系統類型、硬碟狀態、所執行的程序及開放網路，並充分利用被害系統上的各種工具來搜查系統。</p> <p>微軟表示，受害組織可觀察到不尋常IP位址的成功登入，建議組織應該變更所有被危害帳戶的憑證，檢查這些帳戶先前的行為及所曝露的資料，亦應強制實施多因素驗證政策並使用硬體安全金鑰，降少攻擊表面，啟用雲端保護，以及於封鎖模式中執行端點偵測及回應等。</p> </div></div></div>
2023/5/25 13:53作者陳曉莉https://www.ithome.com.tw/news/157037
Meta 6個月內第三度裁員
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體報導，本周Meta再度裁減人數不詳的人力，是自去年11月以來啟動的第三度人事精簡。</p> <p><a href="https://www.reuters.com/technology/facebook-owner-meta-starts-final-round-layoffs-2023-05-24/" target="_blank">《路透社》</a>首先報導此事後，<a href="https://www.cnbc.com/2023/05/24/meta-layoffs-latest-round-of-cuts-focuses-on-business-groups.html" target="_blank">CNBC緊接報導</a>，若干Meta行銷、聘僱、使用者體驗及工程部門人員周三透過LinkedIn公布遭到解聘的消息。路透社另外報導指出，Meta愛爾蘭辦公室也裁減了將近500人，占了該公司約1/5的人力。</p> <p>不過這波裁員影響幅度不明，Meta也拒絕對此評論。</p> <p>這也是這家社群龍頭近半年來第三波裁員。去年11月，Meta砍了1.1萬人，執行長祖克柏（Mark Zuckerberg）坦承自己因疫情期間營收高漲而錯估情勢，造成公司員額擴充過快，以致於當經濟情勢急凍，公司被迫下此決策。今年初祖克柏宣布2023年為效率之年，將公司組織扁平化、加速運作效率、並著重能提升「工作品質和速度」的專案。3月間Meta又再宣布裁減1萬人，影響硬體、行銷及各種應用服務部門。</p> <p>雪上加霜的是，除去大環境因素，Meta還面臨歐美主管機關的行政裁罰。本周稍早Meta因為將歐洲用戶個資傳送到美國，<a href="https://www.ithome.com.tw/news/157007" target="_blank">遭歐盟隱私主管機關重罰</a>12億歐元。</p> </div></div></div>
2023/5/25 13:01作者林妍溱https://www.ithome.com.tw/news/157036
如何幫助研發部門形塑資安文化，Line資安團隊從三面向來實踐
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安及個資隱私安全保護，不僅僅是資安團隊、管理階層的責任，更是企業內每個人的責任。然而，要將資安內化成組織文化的一環，並不是件容易的事。最近，Line資安團隊首度揭露了，3年來從三面向推動研發部門建立資安文化的經驗。</p> <p>早幾年前，Line就意識到既有縱深防禦機制的不足，因此重新擬定了新的資安策略，聚焦於建立資安的數位韌性，不再一味依賴防禦措施。2020年，Line更進一步提出了名為全方位資安的新數位資安架構，以技術、文化、人作為主軸，制訂出10項資安戰略。</p> <p>Line臺灣資深資安工程師劉威成表示，新架構推行一段時間後，Line內部更加強調文化的形塑，「只有當每個人都把資訊安全納入日常工作和思考過程，才能降低彼此在資安的投入成本，也才不會將資安視為一項額外成本。」</p> <p>在發生資安事件時，關鍵是要能夠在最短時間內迅速復原，並限制攻擊所造成的範圍，以降低可能產生的深遠影響，從這個角度來看，劉威成指出，資訊安全不應該變成是開發部門的負擔，而要減少因處理資安事件產生的不必要成本，使他們能夠專注於產品的開發，為公司創造產值。</p> <p>如何避免資安成為負擔？劉威成指出，關鍵在於建立文化，讓組織內的成員都能相互受益，發揮各自專業領域的價值。</p> <h3><span style="font-size:28px;"><strong>協助開發部門培養資安文化，首先需要改變舊有的工作思維</strong></span></h3> <p>在各部門取得共識之後，Line資安團隊不只展開流程的改善，更重新定位自己的角色，擔任工作團隊的協力者，幫助他們發展其稱之為高效且精實的團隊（Lean & Mean Teams），進一步培養資安文化。</p> <p>但要打造這個團隊之前，需要改變舊有的工作思維。因此，他們從三個面向改變開始著手，包括建立開放溝通與垂直決策、確保團隊成員資訊保持同步，以及凝聚彼此共識迎接挑戰。</p> <p>首先，為了強化開放透明的溝通和決策，Line臺灣資安團隊在Security by Design的管理流程中設立一個架構審查小組，由資安部門、產品研發部門、QA等部門所組成，負責維護和建立一份系統實作指引（ System Implementation<br /> Guideline）的文件，記載工程師在系統設計時需要遵循的基本要求。這些基本要求參考了多方來源，包含NIST/ ISO資安標準、資安事件、漏洞回報，還有工程師實踐經驗等。</p> <p>劉威成表示，在開發過程中，會有相應的組態基準必須遵循，確保開發安全一致性，以帳號系統開發為例，在開發的組態文件中，除了明確定義出一般使用者、管理者的角色，還要求必須設置日誌審查者（Log Auditor），以便在資安事件發生時，可以由Log Auditor進一步查看和搜尋Log日誌進行後續調查與分析。對於Log資料應包含哪些用戶行為或活動，都要事先定義清楚。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BF%AE-701F%EF%BC%8C15%EF%BC%9A45%EF%BD%9E15%EF%BC%9A15%20%E5%8A%89%E5%A8%81%E6%88%90%EF%BC%88david%20liu%EF%BC%89_230512_2.jpg" style="width: 600px;" /></p> <blockquote><p>Line臺灣資深資安工程師劉威成表示，Line的資安策略核心，就是創造資安文化，讓資訊安全可以為工程師帶來價值，而非增加他們的負擔，並使其免於被迫從事不想做的事。</p> </blockquote> <p>一旦建立組態基準以後，研發工程師開發到對應的功能時可以根據文件上需遵循的安全要求來執行。他表示，這樣的做法，不僅能夠讓工程師在產品設計過程中落實資安要求，也能減輕了資安部門的負擔，只要確認工程師是否按照要求執行。</p> <p>或像是加解密設計，資安團隊也會制定出相關標準，例如若涉及敏感性的資料，需要採用哪種加密防護機制，包含金鑰交換方式、演算法都要有清楚說明，研發工程師才能夠有明確依循的指引，避免發生誤用的情形。</p> <p>不僅如此，資安團隊還會將這些程式撰寫相關的資安要求轉變成對應的程式碼範例，使研發工程師可以根據參考範例將相關資安設計要求整合到其程式碼中，避免直接使用其他不明來源的程式碼，從而減少資安風險。「與工程師進行溝通時，使用程式碼是最快速且有效的方式」他說。</p> <p>另外，資安團隊針對開發者常用的程式語言提供相關參考指引，讓他們可以學習使用更安全的程式碼進行開發，舉例來說，對於Java工程師會指出不應該使用的函數如Java.utaL. Random()，並建議改用Java,security.SecureRandom函數，以此提高程式碼的安全性。</p> <p>維持各團隊間的資訊同步是協助研發部門培養資安文化另一個重要的面向。過去，Line研發團隊專注於產品開發，缺少與外界接觸的經驗，因此難以快速從使用者回饋中改善產品設計，遇到不斷推陳出新的駭客攻擊手法，他們很難快速反應，來降低遭駭的風險。</p> <p>為了克服這個挑戰，自2017年起，Line內部不僅定期舉辦研討會，找來工程、客服、公關部門參與，共同討論如何在產品面上落實當前所需關注的資安議題或法規相關要求，同時，還透過每年舉辦BECKS.IO資安技術講座，增加與資安研究者當面交流的機會，透過這樣的方式，工程師能夠不斷學習和更新資安知識，並將其應用於產品開發中。</p> <p>另外，Line也透過專案，如BUG LINE專案，來處理一些程式開發過程中容易出現的安全漏洞，並在工程師面前完整重現攻擊流程，讓他們能夠更好地理解其嚴重性並逐一修正這樣的問題，避免類似的問題再發生。</p> <p>最後，為了凝聚所有人共識並共同應對資安挑戰，Line推出了資安小學堂計畫，每月都會選擇一個日常資安相關的主題，與所有員工分享正確的觀念。為了吸引大家注意，還搭配有趣的文案，增加閱讀的趣味性，藉由提高員工對於資安議題的認識，促使他們在日常工作中更加重視和遵守相關的資安要求。</p> <p><span style="font-size:28px;"><strong>Line資安文化的未來發展</strong></span></p> <p>劉威成表示：「Line的資安策略核心，就是創造資安文化，讓資訊安全可以為工程師帶來價值，而非增加他們的負擔，並使其免於被迫從事不想做的事。」</p> <p>他提到說，Line資安文化的未來發展，除了將資訊安全內化到每個員工的自我察覺中，也要確保這些資訊都能夠被廣泛傳播並輕易取得，同時資安設計也應該要更加易於實踐。</p> </div></div></div>
2023/5/25 10:42作者余至浩https://www.ithome.com.tw/news/157025
警政署揭中國網軍攻臺演進轉變，更提出資安事件調查5步驟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年8月初，美國前聯邦眾議院議長裴洛西訪臺期間，不只總統府、國防部、外交部等網站接連遭到中國網軍的DDoS攻擊外，甚至連民眾生活常見的便利商店和大眾運輸工具都遭駭，其中包括7-11和臺鐵的數位看板，都被駭客入侵，置換各種抵毀的簡體內容。</p> <p>身為統一指揮及監督全國警察機關執行犯罪偵查任務的內政部警政署，當時緊急進入資安警戒，由內政部警政署資訊室主任林建隆坐陣指揮，要守住警察機關執法這道資安防線。</p> <p>然而，裴洛西抵臺的隔天晚上11時，全國警用M-Police行動裝置系統因不明原因突然無預警大中斷，導致第一線執勤員警無法使用該系統進行查詢，這套系統整合了警政17項查詢系統，包括查捕逃犯、失蹤人口、逃逸外勞、中輟學生、治安顧慮人口、大陸人士行方不<br /> 明、失竊汽機車等，在服務中斷期間，皆無法提供線上查詢，直到清晨才恢復正常運作。</p> <p>「M-Police當機的時機點敏感，當時所有人都以為是中國網軍所為」林建隆回憶這段過程仍心有餘悸地說，原以為警方的資安防線被駭客突破，調查後發現只是單純的設備故障，並非資安事件，才讓他如釋重負，但這起事件也凸顯出中國網軍對臺威脅正持續增長。</p> <p><strong><span style="font-size:28px;">中國網軍因裴洛西來訪增加對臺的攻擊行動</span></strong></p> <p>在刑事警察局任職多年的林建隆，曾偵破多起重大網路犯罪、參與過許多駭客攻擊與資安事件的調查，累積了豐富的辦案經驗。他表示，現今駭客攻擊目標和以前截然不同，任何人都可以成為其下手的對象，尤其當萬物聯網的時代來臨，也代表萬物皆可駭，進而影響每個人的生活。</p> <p>中國網軍存在已有相當長的時間，臺灣約2003年開始注意到中國網軍對網路安全、資訊戰的威脅，而開始重視這個議題。</p> <p>林建隆觀察，中國網軍初期多出自福建省、湖北省的解放軍成員，這群由駭客組成的網軍具備有很強的網路攻擊能力，以外交部、國防部、陸委會等特定政府機關作為攻擊目標，藉此獲取他們想要的情資。</p> <p>經過多年，中國駭客攻擊模式近年來開始出現改變，林建隆觀察他們攻擊目標更加多元、範圍也更大，不再局限於特定的政府機關，以取得更多情蒐資料，其中包含航空公司及飯店。</p> <p>另一方面，駭客攻擊手法近幾年出現了明顯的變化，過去主要針對個人電腦、郵件帳號進行攻擊，受駭範圍相對有限，然而，現在他們逐漸將目標對準更底層的郵件伺服器、網通設備及供應鏈發動攻擊，「目的在於從底層獲取更多情資，可能透過網通設備癱瘓整體網路。」他說。</p> <p>林建隆以國內一家大型電信商為例，來說明駭客攻擊手機手法的多樣化。他表示，這家電信商販售的手機在出廠時其實沒有木馬程式，然而，當手機連上網路後，系統會強制進行更新，才下載了帶有木馬程式的檔案。倘若一開始，調查人員沒有將更新版本納入檢測範圍，就很難發現手機中存在問題。</p> <p>不僅如此，駭客的動機這幾年也開始改變，除了過去的竊取資料、破壞行動外，他們越來越以獲取不法金錢為目的進行攻擊，例如勒索軟體攻擊就是一種常見的手段。在利益驅使下，駭客甚至發展出不同商業模式的黑色產業鏈，利用各種攻擊手段來從中獲取金錢。他表示，這種動機的轉變也表明，駭客活動有逐漸商業化的趨勢。</p> <p>林建隆進一步將駭客分為三個類型，第一種是孤狼式駭客，他們習慣單獨犯案，不屬於任何組織，這種人可能是出於炫技或個人意識型態的原因而採取攻擊行動。第二種是國家培養的駭客，比如中國網軍就是這一類，負責執行國家交付的攻擊任務。最後一種是民間駭客組織或是學術界中負責資安和研究駭客技術的人，這種人可能從事資安工作，同時也可能充當政府網軍的外圍組織。</p> <p>他強調資安的重要觀念：「沒有絕對安全。」除了駭客之外，他認為更大的威脅是，人為因素所造成的資安漏洞。他點出，提高人員資安意識的重要性，不僅對政府機關而言，對於企業來說，更是如此。</p> <p>有些企業遭遇資安事件時，會嘗試重新安裝系統或採取復原動作，但這可能導致相關Log記錄遺失，不只錯失找到攻擊來源的機會，也可能導致下一次攻擊的發生。他提醒，企業遭遇資安事件時，應該盡快尋求專家的協助，不要急於自行處理。</p> <p><strong><span style="font-size:28px;">警察機關資安事件調查5步驟</span></strong></p> <p>林建隆公布警察分析資安事件方法。當警察機關接到資安事件的案件時，通常會採取5步驟進行分析與調查，包括訪談、Log分類、關鍵字搜尋、合法行為過慮、進行IP調閱。從警方的應對及處理方式，也能提供企業作為參考。</p> <p>流程上，辦案人員一開始透過訪談，初步研判可能攻擊手法和發生時間，接著展開Log分類，確定Log類型（如防火牆、Apache或事件Log檔)，及是否存在特殊攔位，接下來第三步是建立關鍵字搜尋清單或攻擊特徵規則，用來尋找可能與資安事件相關的記錄，同時過濾一些合法活動，如例行掃描、滲透測試等，最後步驟是根據找到的可疑IP地址，進行後續的調查。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A%20%E5%9C%962-%E4%BF%AE-%E8%AD%A6%E6%94%BF%E7%BD%B2-%E6%94%9D%E5%BD%B1-%E4%BD%99%E8%87%B3%E6%B5%A9.jpg" style="width: 600px; height: 347px;" /></p> <blockquote><p>當警察機關接到資安事件的案件時，通常會採取5步驟進行分析與調查，包括訪談、Log分類、關鍵字搜尋、合法行為過慮、進行IP調閱。從警方對於資安事件處理與偵查方式，也能提供給企業作為參考。</p> </blockquote> <p>去年，臺灣遭受的詐騙金額高達數十億元，許多案件都跟個資外洩或資安相關，林建隆引用犯罪學的日常生活理論來解釋犯罪發生的要素，包括犯罪動機，合適的目標以及缺乏有效的監察者，當這三個要素同時存在時，犯罪機會便會增加。他指出，這個理論可以套用到企業的資安投資上，「一家公司資安水平至少得優於同業三分之一，甚至是一半，才能避免淪為駭客首要攻擊目標。」他說。</p> <p>由於科技進步，林建隆表示，企業更得重視資安可能帶來的衝擎，如何在安全性、便利性及成本與資訊安全之間找到平衡點是重要的課題。</p> </div></div></div>
2023/5/25 11:07作者余至浩https://www.ithome.com.tw/news/157026
Google開源Crate審查結果，促進Rust程式碼重用安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://opensource.googleblog.com/2023/05/open-sourcing-our-rust-crate-audits.html">Google在GitHub上開源對Rust Crate的審查結果</a>，開發者可以在專案中匯入這些審查結果，以證明所使用Rust crate的屬性。在Rust程式語言中，Crate是一種封裝程式碼的單位，其包含Rust程式碼和其他相關資源，可以被編譯成執行檔或是函式庫。</p> <p>Crate可以在不同的專案重用，Rust社群中名為Crates.io的註冊表服務，便是供開發者發布自己所開發的Crate，同時也能下載使用其他人所開發的Crate。但Google提到，所有第三方程式碼都帶有風險，因此Google內部專案開始使用新的Crate之前，一定會經過徹底審核。</p> <p>不過，各單位各自審查專案所使用的Crate，可能會浪費資源執行重複的工作，因此Google透過開源審查結果，以避免重複審查工作。Google將這些審查結果持續整合到供應鏈儲存庫中，並且使用cargo vet來快速驗證專案所使用的Crate。</p> <p>開發者可以將Google開源的審查結果，包括程式碼品質、安全性和測試要求等屬性，匯入到自己的專案中，並且根據這些Crate屬性，決定其是否符合專案需求。不同使用案例的需求不同，cargo vet讓用戶能夠對每一個相依項目獨立配置要求。</p> <p>像是對本地開發工具來說，對Crate的要求可能僅是不包含主動惡意程式碼，確保不會侵犯隱私、洩露資料或是安裝惡意軟體即可，但是供用戶部署的程式碼，就可能需要符合更嚴格的要求，像是確保沒有記憶體安全問題，並且需要使用最新的加密技術，還要符合標準和規範需求。</p> <p>Google的ChromeOS和Fuchsia專案都已經貢獻Crate審查結果，其他Google專案也會逐漸加入，如此便可覆蓋更多的Crate。目前這項工作仍在初期階段，包括cargo vet執行和共享審查的運作細節，之後可能還會有所變動。</p> </div></div></div>
2023/5/25 08:16作者李建興https://www.ithome.com.tw/news/157023
微軟推出以多雲資料湖為核心的單一整合資料分析平臺Fabric
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟推出一個稱為<a href="https://azure.microsoft.com/en-us/blog/introducing-microsoft-fabric-data-analytics-for-the-era-of-ai/">Fabric</a>的端到端統一分析平臺，其整合了各種資料和分析工具，將Azure Data Factory、Azure Synapse Analytics和Power BI技術都匯集到同一個平臺中，並且以多雲資料湖OneLake儲存分析服務需要用到的所有資料。</p> <p>微軟強調Fabric是一個完整的分析平臺，所有資料分析專案需要用到的工具，全部被整合到同一個產品。Fabric針對團隊中不同的角色，提供特定的功能體驗，因此資料工程師、資料科學家甚至是業務，都能夠以熟悉的工作方式使用Fabric。Fabric的核心工作負載包括Data Factory、Synapse Data Engineering、Synapse Data Warehousing、Synapse Real-Time Analytics和Power BI等。</p> <p>這些核心工作負載需要用到的資料，皆來自多雲資料湖OneLake，微軟解釋，這樣的概念就與Microsoft 365應用程式都會連接到OneDrive相同，資料會在同一處被組織並自動索引，供後續探索、共享、治理、法遵目的使用。</p> <p>每個Fabric租戶皆使用OneLake，以避免因不同使用者配置產生資料孤島，OneLake向所有用戶提供統一的儲存系統，並且統一應用策略和安全配置，進而使資料能夠更簡單地探索和共享。</p> <p>在API層，OneLake建立在Azure Data Lake Storage Gen2（ADLSg2）之上，因此可接上ADLSg2既有的應用程式、工具和開發人員生態系。OneLake有一個稱為Shortcuts的重要功能，能夠虛擬化ADLSg2、Amazon S3和Google雲端儲存的資料湖，供開發人員跨雲組合和分析資料，並讓用戶和應用程式更簡單地共用資料。</p> <p>OneLake採用以Parquet為基礎的開源檔案格式Delta，而這也是Fabric所有工作負載預設使用的格式，因此一旦資料被載入到OneLake中，所有工作負載就可直接操作該資料，不需要執行額外的擷取工作。</p> <p>Fabric還對OneLake應用通用安全模型，所有引擎在處理查詢和執行任務時，都將統一受該模型控制。Fabric大量整合Azure OpenAI服務Copilot，使用戶可以透過自然語言，創建資料流和資料工作管線，甚至生成程式碼和建置機器模型等工作。</p> </div></div></div>
2023/5/25 08:18作者李建興https://www.ithome.com.tw/news/157024
【資安日報】5月24日，研究人員針對Zyxel防火牆漏洞提出警告，至少有4.2萬臺設備尚未修補而可能曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一個月前修補的防火牆漏洞，近期有資安業者提出警告，有可能即將發生攻擊行動。資安業者Rapid7針對兆勤科技（Zyxel）上個月修補的重大漏洞CVE-2023-28771提出警告，原因是至少有4萬臺防火牆設備曝險，並認為即將會出現漏洞攻擊行動。巧合的是，今（24日）兆勤呼籲防火牆、VPN設備用戶儘速安裝新版韌體，但並未提及修補的漏洞資訊，是否與Rapid7警告的這項漏洞有關？有待進一步釐清。</p> <p>印度駭客默默濫用AWS EC2實體挖礦的攻擊行動也相當值得留意，因為，這些駭客之所以能入侵特定的EC2帳號，是從程式碼儲存庫GitHub、GitLab，以及文字共享服務Pastebin下手，找出曝露的AWS帳密資料而能得逞。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://attackerkb.com/topics/N3i8dxpFKS/cve-2023-28771/rapid7-analysis"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員針對Zyxel防火牆漏洞提出警告，至少有4.2萬臺設備可能曝險</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/13114.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/13114.jpg" style="width: 300px; float: right;" /></a>兆勤科技（Zyxel）於4月底修補旗下防火牆、VPN設備的漏洞CVE-2023-28771（CVSS風險評分9.8），但最近有資安業者對此提出警告，他們發現仍有很多設備尚未套用新版韌體而可能曝險。</p> <p>資安業者Rapid7上週提出警告，他們透過物聯網搜尋引擎Shodan，找到約4.2萬臺未修補CVE-2023-28771的Zyxel設備暴露在網際網路上，而這項數字，並不包含同樣未修補該漏洞且暴露在網際網路的VPN設備，因此實際可能成為駭客攻擊的目標數量遠大於此。研究人員指出，由於這項漏洞存在於網際網路金鑰交換（IKE）封包解密工具，此為Zyxel提供IPSec VPN服務的重要元件，即使IT人員並未啟用VPN功能也會曝險。研究人員指出，雖然截至5月19日尚未發現攻擊行動，但因為有大量設備存在上述漏洞，他們認為駭客很快就會對其下手。</p> <p>事隔不到一週，<a href="https://community.zyxel.com/tw/discussion/17101/%E8%BF%91%E6%9C%9F-%E9%98%B2%E7%81%AB%E7%89%86%E7%9A%84vpn-%E9%80%A3%E7%B7%9A%E6%96%B7%E7%B7%9A%E5%92%8C-web-%E7%AE%A1%E7%90%86%E7%95%8C%E9%9D%A2%E7%95%B0%E5%B8%B8-%E8%A7%A3%E6%B1%BA%E6%96%B9%E6%B3%95">兆勤於24日凌晨表示</a>，該公司防火牆設備23日遭遇大規模的記憶體緩衝區溢位攻擊，全球都受到影響，呼籲IT人員要儘速升級韌體因應，最好能斷開WAN或是重新開機再更新，後來，該公司又改口指出，相關的韌體緊急更新，是因應防火牆的VPN連線中斷、網頁管理介面異常的情況。不過，該公司沒有透露上述情形是否與CVE-2023-28771有關。</p> <p><a href="https://permiso.io/blog/s/unmasking-guivil-new-cloud-threat-actor/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度駭客濫用AWS EC2執行個體服務進行挖礦</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/guivil_ALC.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/guivil_ALC.png" style="width: 300px; float: right;" /></a>雲端安全業者Permiso揭露自2021年11月開始出現的挖礦攻擊行動，印度駭客組織GUI-vil針對AWS EC2執行個體服務下手，利用這些運算資源來進行挖礦，最近一起攻擊發生在今年4月。</p> <p>駭客先是從GitHub、Pastebin挖掘外洩的AWS帳密，或是針對存在弱點的GitLab執行個體下手（其中一個被利用的漏洞是CVE-2021-22205），一旦成功入侵AWS EC2的環境，這些駭客就會尋找可用來挖礦的S3儲存桶，並透過AWS的網頁主控臺進行控制。</p> <p>比較特別的是，這些駭客偏好利用具備使用者圖形介面（GUI）的工具來發動攻擊，其中一種工具是特定版本的S3 Browser。此外，駭客在攻擊的過程裡，會建立新的使用者，但為了避免被察覺，他們會刻意依照受害組織的命令規則設定使用者名稱。</p> <p><a href="https://www.sentinelone.com/labs/kimsuky-ongoing-campaign-using-tailored-reconnaissance-toolkit/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客Kimsuky透過惡意軟體RandomQuery發動攻擊</span></strong></a></p> <p>資安業者SentinelOne揭露北韓駭客組織Kimsuky近期的攻擊行動，主要針對追蹤北韓資訊的服務、人權鬥士，以及聲援北韓流亡人士的組織而來。駭客從5月5日開始，先是假借網路媒體每日北韓（Daily NK）的名義寄送釣魚郵件，並挾帶Windows說明檔案（CHM）的附件，一旦收信人開啟CHM檔案，電腦就會執行Visual Basic指令碼，發出HTTP GET請求下載第2階段惡意酬載RandomQuery，此惡意程式會收集目標系統的中繼資料、正在執行的處理程序、已安裝的應用程式等，並回傳C2中繼站。</p> <p>研究人員指出，駭客為了混淆視聽，也會在網域名稱裡，設置含有com或是kr等常被用於頂級網域（TLD）的字串。</p> <p><a href="https://www.fortinet.com/blog/threat-research/wintapix-kernal-driver-middle-east-countries"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意驅動程式Wintapix鎖定中東而來</span></strong></a></p> <p>資安業者Fortinet揭露惡意驅動程式Wintapix的攻擊行動，駭客自2020年5月，針對沙烏地阿拉伯、約旦、卡達、阿拉伯聯合大公國等中東國家下手，利用該驅動程式停用目標電腦的防毒軟體，並取得相關存取權限，然後透過Shell Code工具Donut發動第2階段攻擊。</p> <p>研究人員推測，利用上述驅動程式的駭客可能來自伊朗，並認為駭客也會針對Exchange下手。</p> <p><a href="https://cofense.com/blog/supermailer-abuse-explodes-now-responsible-for-14-of-all-credential-phish-discovered-in-inboxes/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">電子報發送軟體SuperMailer被用於網釣攻擊</span></strong></a></p> <p>資安業者Cofense指出，他們在今年5月上旬，發現駭客濫用電子報發送軟體SuperMailer寄送網路釣魚郵件的情況大幅增加，本月已有約14%用於竊取帳密的網釣郵件是透過上述的軟體製作、寄送，且廣泛攻擊多種產業，包含營造業、能源、金融服務、食品服務、政府、醫療、資訊與分析、保險、製造業等。</p> <p>駭客透過SuperMailer的客製化郵件及大量發送的功能，並藉由開放任意重新導向的弱點，以及URL網址隨機化等手法，來通過組織的郵件安全系統。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bankinfosecurity.com/samsung-patches-memory-address-randomization-bypass-flaw-a-22139"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">三星修補已被用於攻擊阿拉伯聯合大公國的手機漏洞</span></strong></a></p> <p>Google威脅分析小組（TAG）於3月底，揭露間諜軟體開發商Variston利用的多個零時差漏洞，駭客將購得的惡意程式用於攻擊阿拉伯聯合大公國。其中1個存在於三星手機的漏洞CVE-2023-21492（CVSS風險評分為4.4）近日得到修補。</p> <p>三星於5月份的例行更新裡修補上述漏洞，並指出該漏洞已出現攻擊行動，這項漏洞影響執行Android 11、12、13版作業系統的部分三星裝置，攻擊者可用來提升權限，進而繞過名為位址空間組態隨機載入（ASLR）的記憶體防護措施。美國網路安全暨基礎設施安全局（CISA）也於5月19日，將其列入已被利用的漏洞列表（KEV），要求聯邦機構於6月9日完成修補。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://arxiv.org/abs/2305.08596"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員打造大型語言機器學習模型DarkBERT，可自動化從暗網收集威脅情報</span></strong></a></p> <p>韓國科學技術院（KAIST）的研究人員與智慧資料業者S2W聯手，打造名為DarkBERT的客製化自然語言處理（NLP）模型，他們收集約610萬個暗網網頁的英文文字對此模型進行進行訓練，並將其成品與市面上2款知名的NLP模型進行比較，這些分別是Google推出的隱碼語言模型BERT，以及Meta開發的RoBERTa。</p> <p>根據上述機構與業者的測試結果而言，無論是在偵測勒索軟體外洩資料網站、需要特別留意的威脅偵測面向，以及找出威脅關鍵字等工作上，他們均發現DarkBERT的能力皆明顯優於BERT及RoBERTa。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="http://securelist.com/goldenjackal-apt-group/109677/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">國家級駭客GoldenJackal鎖定中東、南亞政府與外交機構下手</span></span></strong></a></p> <p><a href="https://www.welivesecurity.com/2023/05/23/android-app-breaking-bad-legitimate-screen-recording-file-exfiltration/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">木馬程式AhMyth透過安卓螢幕錄製App散布</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/cuba-ransomware-claims-cyberattack-on-philadelphia-inquirer/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">費城詢問報傳出遭到勒索軟體Cuba攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/arms-maker-rheinmetall-confirms-blackbasta-ransomware-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">德國軍武製造商Rheinmetall證實遭到勒索軟體BlackBasta攻擊</span></span></strong></a></p> <p><a href="https://twitter.com/GoogleVRP/status/1660580119574880257"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google針對安卓應用程式推出漏洞懸賞計畫</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/157009"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">【2023臺灣資安大會】避免資安意識培訓失敗3大主因，可混搭5種模式打造客製化課程</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/157014"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">【2023臺灣資安大會】今年要求1千4百多家公司設置專責資安單位，目前僅2成達標</span></span></strong></a></p> <p> </p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157011">【5月23日】勒索軟體駭客BlackCat利用惡意驅動程式Poortry發動攻擊，繞過防毒軟體偵測</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156982">【5月22日】 YouBike證實遭到網路攻擊，2.1萬用戶資料外洩</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156961">【5月19日】臺灣4月上旬出現惡意郵件、惡意軟體攻擊翻倍爆增的情況</a></strong></p> </div></div></div>
2023/5/24 16:04作者周峻佑https://www.ithome.com.tw/news/157021
Adobe將把AI圖片產生器加入Photoshop
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.adobe.com/news/news-details/2023/Adobe-Unveils-Future-of-Creative-Cloud-with-Generative-AI-as-a-Creative-Co-Pilot-in-Photoshop-default.aspx/default.aspx" target="_blank">Adobe昨（23）日宣布將推出名為Generative Fill的功能</a>，為旗下產品包括Photoshop加入其AI圖片產生器Firefly。</p> <p>Generative Fill類似Bing或ChatGPT的Copilot，旨在讓Adobe雲端平臺Creative Cloud可整合使用AI圖片產生器Firefly，是首個將co-pilot整合進創意及設計流程的助理服務。昨日該公司宣布的Generative Fill in Photoshop則是第一個整合Firefly的Creative Cloud產品，允許用戶以文字對話形式新增、擴增或移除圖片。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0524-photoshop-Generative%20Fill-Adobe%20Firefly-600(1).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Adobe</span></span></p> <p>Firefly三月間以預覽版上線。Adobe表示，Firefly第一個模型是以Adobe Stock圖庫的圖片、公開授權內容及其他公用圖片訓練而成，兩個月以來用戶已產生了超過1億幀圖片。企業用戶可以擴充使用Firefly，以產生公司圖像、品牌識別標識等內容。Adobe表示，未來Firefly也會擴及旗下PDF文件產品Document Cloud、行銷分析產品Experience Cloud及Web／手機版影片編輯產品Adobe Express等產品線。將Firefly整合到Adobe Experience Cloud的應用程式，則可以讓行銷部門用Firefly加速產製行銷內容。</p> <p>由於AI產生圖片品質愈來愈好，引發難以和真人創作分辨的疑慮，Adobe也讓Generative Fill支援內容憑證（Content Credentials）。內容憑證為非營利組織Content Authenticity Initiative發展，現有包括Adobe等1,000多個成員，它是一套標識體系，可協助用戶辨識圖片來歷，包括在哪產生、儲存或曾用於何處，減少使用的風險和疑慮。</p> <p><a href="https://www.adobe.com/products/photoshop/generative-fill.html" target="_blank">目前Generative Fill in Photoshop提供桌機預覽版</a>，預計2023年下半推出正式版，Generative Fill也可作為Firefly App的模組使用。</p> <p>Adobe昨日也宣布Photoshop新功能，包括調整預設值、情境任務工具列、移除工具及進階灰階（Enhanced Gradient）功能等。</p> </div></div></div>
2023/5/24 16:30作者林妍溱https://www.ithome.com.tw/news/157022
微軟宣布Windows Copilot、更多Bing第三方外掛、也將與ChatGPT互通
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.microsoft.com/source/features/ai/microsoft-outlines-framework-for-building-ai-apps-and-copilots-expands-ai-plugin-ecosystem/" target="_blank">微軟本周在Build開發人員大會上宣布多項新功能</a>，包括PowerBI及Windows Copilot助理，以及Bing Chat與Copilot將與OpenAI的ChatGPT相容互通。</p> <p>微軟自大約二年前宣布結對工程師GitHub Copilot，今年2月初宣布Bing後，又接連宣布整合於其多項產品的Copilot，包括Microsoft 365、Dynamic 365、Viva、Sharepoint及安全工具。周三在Build開發者大會上，微軟宣布擴大其Copilot系列，像是內建於PowerBI及Power Pages的Copilot將以預覽版上線，整合其分析平臺Fabric的Copilot不久後會有預覽版。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0524-Copilot%20in%20Microsoft%20Power%20BI-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_微軟</span></span></p> <p><a href="https://blogs.windows.com/windowsdeveloper/2023/05/23/bringing-the-power-of-ai-to-windows-11-unlocking-a-new-era-of-productivity-for-customers-and-developers-with-windows-copilot-and-dev-home/" target="_blank">微軟並將在6月以預覽版推出Windows Copilot for Windows 11</a>，使後者成為第一個提供copilot助理的PC作業系統。微軟也會讓使用者透過Windows Copilot和Bing外掛及ChatGPT互動。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0524-Windows%20Copilot%20for%20Windows%2011-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_微軟</span></p> <p>微軟同時介紹協助開發人員自行打造Copilot及次世代新AI應用的工具，包括外掛，它能讓眾多copilot與其他軟體及服務互動，而放大其效用，例如3月間，微軟宣布OpenTable等第三方服務的合作。昨日微軟也示範了開發自有copilot的AI開發框架。</p> <p>而繼<a href="https://www.ithome.com.tw/news/156095" target="_blank">3月OpenAI推出ChatGPT外掛支援</a>後，昨日微軟也宣布禮尚往來，允許ChatGPT和微軟各種copilot互通，允許開發人員可以用單一平臺開發提供企業和消費者服務的外掛，包括ChatGPT與Bing、Dynamics 365、M365與Windows Copilot。另外，微軟的Bing也會成為ChatGPT預設搜尋工具。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0524-Bing%20search%20default%20experience%20in%20ChatGPT.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_微軟</span></p> <p>因此，目前Bing支援的外掛包括之前宣布的OpenTable、Kayak、Instacart、Wolfram及可汗學院（Khan Academy），以及昨日宣布的ChatGPT、Redfin、TripAdvisor及Zillow等。而即將加入外掛陣容的第三方服務包括Bandsintown、Bohita、Cloudflare、Coupert、Fareportal、FiscalNote、Golden、Lexi Shopper、Likewise、Notable、One Word Domains、PromptPerfect、Shopify、Skyscanner、Spotify、Spotnana、Trip.com。</p> <p>另外，M365的Copilot現在也允許開發外掛了。目前只有Bing、Teams、Power Platform及ChatGPT。微軟並提供Teams Toolkit for Visual Studio Code及Visual Studio讓開發人員開發外掛。</p> </div></div></div>
2023/5/24 13:19作者林妍溱https://www.ithome.com.tw/news/157018
Google將於廣告中整合生成式AI，提供商家可自動打造產品照片的Product Studio
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>儘管AI可謂無所不在，但在ChatGPT打響生成式AI名氣之後，各家業者紛紛發表各項基於生成式AI的服務，<a href="https://blog.google/products/ads-commerce/ai-powered-ads-google-marketing-live/" target="_blank">Google本周宣布</a>將把生成式AI整合至廣告服務中，<a href="https://blog.google/products/shopping/google-product-studio-generative-ai-product-photos/" target="_blank">並發表新的Product Studio工具</a>，利用生成式AI協助Merchant Center的商家建立產品照片。</p> <p>在Google Ads廣告服務中，Google提供了新的自然語言對話經驗，利用Google AI協助廣告主建立搜尋廣告。廣告主只要在網站上新增所偏好的廣告登陸頁面，Google AI即會自動摘錄該頁面，接著自動生成廣告活動所需的關鍵字、標題、描述、圖片或其它資產，還能與Google AI討論其它的想法。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0524-Google%20ads-AI-600-2.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源_Google</span></span></p> <p>此外，去年Google就已針對搜尋廣告推出自動化建立的資產（ACA）功能，利用登陸頁面的內容與既有的廣告來產生標題及描述，現在Google將以生成式AI來強化此一功能，得以根據使用者的查詢來建立及調整搜尋廣告。</p> <p>例如當使用者查詢「如何保護乾性敏感肌膚」時，Google AI會根據廣告登陸頁面上的內容，以及既有的廣告，重新建立一個更符合該查詢的廣告標題，如「舒緩你的乾性敏感肌膚」。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/aca_new.width-1000.format-webp.webp" style="width: 230px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Google</span></p> <p>另也以生成式AI來強化Performance Max服務。Performance Max是個目標導向的廣告活動，為了達成特定廣告的目標，廣告主得以存取所有的Google Ads庫存，包括YouTube、Display、Search、Discover、Gmail及Maps等不同的廣告平臺，在整合生成式AI之後，廣告主將更容易建立與擴大客製化的廣告資產。</p> <p>廣告主只要提供網址，Google AI就能自動學習該品牌的內涵，並自動以文字或其它資產來填補廣告內容，包括自動替活動生成圖片。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0524-Google%20ads-Performance%20Max.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Google</span></p> <p>Google亦將實驗新的生成式AI廣告，例如倘若有使用者先搜尋「毛伊島的戶外活動，繼之搜尋「兒童活動」與「衝浪」之後，使用者可能會看到一個完全依照該搜尋內容量身打造的廣告，像是一個由旅遊品牌提供的兒童衝浪課程。</p> <p>即便所有的廣告可能愈來愈客製化，愈難分辨究竟是廣告還是搜尋結果，但Google強調，依舊會在各種廣告貼上「贊助」（Sponsored）標籤，以免誤導使用者。</p> <p>除了廣告之外，Google也將生成式AI應用在Merchant Center商家服務上。Merchant Center將提供一個全新的Product Studio工具，以AI來協助商家建立新的產品圖片，例如可根據季節來變換產品圖片的背景，或是完全移除產品背景，以及快速改善圖片的解析度等。</p> </div></div></div>
2023/5/24 14:03作者陳曉莉https://www.ithome.com.tw/news/157020
Windows 11將新增對7-ZIP與RAR的原生支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟周二（5/23）舉行一年一度的Microsoft Build 2023開發者大會，今年微軟將重點放在熱門的AI議題上，<a href="https://blogs.windows.com/windowsdeveloper/2023/05/23/bringing-the-power-of-ai-to-windows-11-unlocking-a-new-era-of-productivity-for-customers-and-developers-with-windows-copilot-and-dev-home/" target="_blank">發表了可協助Windows 11用戶完成任務的AI助理Windows Copilot</a>，此外，Windows 11即將新增對多個封存格式的支援，包括Tar、7-ZIP、RAR與GZ等，以改善Windows上的封存效能。</p> <p>先前微軟已於Windows中整合了對ZIP封存格式的支援，但若要處理其它格式，使用者必須額外安裝第三方程式，<a href="https://www.libarchive.org/" target="_blank">此次微軟則計畫整合libarchive開源專案</a>，以讓Windows可直接支援各種封存格式。</p> <p>libarchive是個多元格式的封存與壓縮函式庫，可用來讀取及寫入不同的格式，涵蓋上述的Tar、7-ZIP、RAR與GZ，以及Pax、Cpio、ISO9660 、Mtree、Ar及WARC等。</p> <p><a href="https://www.theverge.com/2023/5/23/23734625/microsoft-windows-11-rar-support-native" target="_blank">微軟向《The Verge》透露</a>，Windows 11對新格式的支援將會出現於本周釋出的新版本中。</p> </div></div></div>
2023/5/24 11:48作者陳曉莉https://www.ithome.com.tw/news/157017
Google推出多種AI行銷功能，廣告主和電商商家將能於Google一站式完成文案設計、圖文廣告素材生成等行銷工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google I/O開發者大會日前落幕，緊接而來的Google行銷與電商科技大會Marketing Live延續了前者主題，主打用AI改善數位購物及數位行銷。今年，他們要用生成式AI來推出行銷文案、圖片素材編輯、廣告投放及SEO關鍵字、以及行銷建議功能。</p> <p>以ChatGPT為首的生成式AI爆紅已經半年，利用生成式AI來協助行銷，在Martech界已經不是新概念。不過由全球數位廣告及搜尋引擎龍頭Google來做，意味著成千上萬的廣告主及商家，能直接受益於這些功能，且不用煩惱外部Martech系統串接，在Google平臺上完成操作，就能直接投放廣告。</p> <p><strong>用生成式AI來強化數位行銷</strong></p> <p>過往，Google已經大量利用AI在行銷和電商功能中，包括全AI廣告投放方案Performance Max、AI商品360度視圖生成、AI定價建議，以及利用機器學習技術蒐集整理而成的巨大電商商品資料庫Shopping Graph。</p> <p>今年新推出的AI行銷功能，則更聚焦於生成式AI。例如新型態搜尋廣告中，商家或產品文案會根據搜尋關鍵字自動生成。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/image3(20).png" style="width: 600px;" /><img alt="" src="https://s4.itho.me/sites/default/files/images/i7.png" style="width: 600px;" /></p> <p>或者，在Google Ads投放廣告時，背後有LLM和生成式AI技術的AI行銷幫手功能，會建議投放關鍵字、標題、商品描述，還會從Google及商家素材庫中挑選出推薦行銷素材，並用自然語言與行銷人員討論如何設計廣告。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/image2(28).png" style="width: 600px;" /></p> <p>還有一項既有功能，今年利用生成式AI獲得大幅強化，那就是素材自動產生功能（Automaticcal Created Assets, ACA）功能。過往，這個功能是用於文字素材生成，只能根據關鍵字詞生成出非常簡短的標題和描述。今年更新，不僅能生成更豐富的文案，還可以生成AI配音。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/image1(27).png" style="width: 600px;" /></p> <p>除了文字，今年生成式AI也開始支援圖片生成及編輯功能，可以基於簡單的素材圖片，利用AI來去背或強化解析度。甚至，行銷人員可以用簡單的自然語言指令，要求AI為素材圖生成背景圖樣。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/image4(9).png" style="width: 600px;" /></p> <p><strong>強調跨通路行銷，將使用第一方數據及更多非Cookie類數據來做成效追蹤及獲客留客</strong></p> <p>Google表示，亞太地區有70%消費者喜歡用手機App與品牌互動，勝過實體店面和品牌網站，說明跨通路成效追蹤的重要性。今年，Google開始強調行動裝置成效追蹤，要使用Email、手機號碼及其他第一方數據作為識別方法，來追蹤更多瀏覽器以外通路的廣告成效。</p> <p>第一方數據除了用來追蹤成效，還能用來獲客和留客。今年，Google在Performance Max新增AI獲客和留客功能，根據商家第一方數據分析結果，智慧投放廣告給可能對品牌有興趣的陌生消費者，及沉睡中的既有消費者。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/image5(11).png" style="width: 600px;" /></p> </div></div></div>
2023/5/24 10:47作者郭又華https://www.ithome.com.tw/news/157016
怕資料外洩？所以企業該選擇Azure OpenAI ChatGPT做生成式AI應用
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>ChatGPT寫下使用者最快破億的新記錄，引發許多產業的高度興趣。但同時，義大利以隱私保障為由率先禁止使用ChatGPT，除了不少國家考慮跟進，從跨國企業到大學院校也都紛紛祭出禁令，禁止員工或學生使用ChatGPT。</p> <p>面對生成式AI技術的大勢所趨，如何在搶佔先機與保護機敏隱私資料之間權衡，關鍵第一步就是確認使用模式與可用解決方案，逐一釐清疑慮，包括穩定度、延展性、安全防護、管理能力、擴充性及合規法遵。而考量這些指標，正是全球多數企業選擇Azure OpenAI打造企業ChatGPT及其他生成式AI應用的關鍵原因。</p> <p><strong>Azure OpenAI與OpenAI超級比一比</strong></p> <p>早在2019年，微軟就投資當時仍是矽谷新創實驗室的OpenAI公司，OpenAI公司一路以來開發GPT的過程，也完全使用Azure的算力。微軟於2020年開始取得GPT模型獨家授權，於2023年開始在微軟自家雲端平台以Azure OpenAI（AOAI）服務為名稱提供給企業客戶使用。</p> <p>相對於OpenAI公司的原廠角色，微軟就如同發行商，兩家公司提供給客戶的GPT模型完全相同，一旦GPT模型有版本更新，微軟也會在第一時間上架Azure雲端平台。</p> <p>但從兩家公司不同的使命願景來考量，即使提供相同模型，仍有各自的配套作法。OpenAI公司的企業使命是確保通用人工智慧（GAI）造福全人類，微軟則是要賦能地球上的每一個人和每一個組織，因此對於商用市場，微軟擁有更深厚的經驗、更豐富的方案與更到位的資安措施。</p> <p>舉例來說，兩家公司對於模型的維運策略就大不相同。OpenAI公司在GPT模型主版本之下，持續釋出不同編號的次版本程式如GPT 3.5.4.1、GPT 3.5.5.2，但微軟只會選擇最穩定的版本編號提供給企業客戶使用。另一個不同則是服務的持續性，OpenAI公司先前以GPT模型功能已臻完整為由，停止提供Codex模型，但客戶在Azure仍可持續使用Codex模型，因為事涉客戶的應用規劃，微軟不會突然中止服務。</p> <p><strong>Azure OpenAI將企業資料隱私作為最大前提</strong></p> <p>網頁版ChatGPT問答內容的流暢和專業度令人驚艷，但對於有意使用GPT技術的企業而言，也引發了攸關資料的疑慮：企業與GPT模型問答所提及的企業資訊是否會外流？或是GPT是否會使用企業的資料去優化模型？</p> <p>OpenAI公司在GPT模型推出之初，並未承諾不使用問答資料來調校及改進模型。相反地，保護客戶資料是Azure的原生DNA，從Azure問世至今累積了4千多項服務，每項服務都適用相同的資料保護聲明與條款，也就是微軟完全不會使用客戶資料，當然也不會使用客戶資料來訓練GPT模型。</p> <p>舉例來說，比GPT模型更早開始提供服務的Azure機器學習服務也適用相同準則，百分之百確保企業自有資料不外流，全球許多客戶多年來持續使用Azure AI服務，不但可享有Azure平台強化的安全機制如VNet，還能獲得與資料隱私相關的產業合規支援如HIPAA、GDPR和SOC2。</p> <p><strong>確保資料不外洩的GPT使用模式</strong></p> <p>進一步探討企業如何使用Azure的GPT模型，第一種作法是直接使用GPT模型，微軟對所有客戶都提供相同的GPT模型，使用者與GPT模型的資料問答不會被用來優化模型本身，不會改變微軟提供給其他企業的GPT模型，當然也阻絶了資料外流的可能性。</p> <p>第二種作法是將GPT模型結合企業知識庫，讓內部員工或外部客戶的發問與答案，能獲得與企業相關的資訊。在這種作法下，企業的資訊也不會被用來優化模型，同樣不會改變微軟放在Azure上提供給其他企業的GPT模型。</p> <p>第三種作法是企業將Azure的GPT模型調校 (Fine-tuning) 成自己的GPT模型，例如：更符合企業文化的客服對話風格、結合商品或服務的行銷推薦，訓練及改進過程都在企業自己的Azure訂閱內進行，而調教好的模型也僅供企業自己所使用，並不會被公開給其他企業，理所當然不會有訓練歷程或訓練數據外洩的風險。</p> <p>除此之外，企業可以進一步選用搭配Azure的資安服務如端點保護、動態監控，確保使用者端在訓練或應用過程，不會因為錯誤的操作及使用方式而導致資料外洩。</p> <p><strong>企業級的SLA承諾和應用潛能</strong></p> <p>跨入商用市場的OpenAI公司目前提供99.5%的服務等級保證（SLA），相較之下，Azure一直都提供99.9%的SLA，而且針對故障或中斷導致無法使用的意外事件，還依合約提供了企業級的賠償條款。此外，Azure OpenAI客戶還可根據需求申請提高RPM（Request Per Minute），避免流量激增而影響使用品質，甚至造成服務中斷。</p> <p>值得一提的是，以Azure OpenAI打造生成式AI應用，也同時開啟了串連整合其他Azure服務的可能性。在商用場景裡，聊天機器人只是服務功能之一，完整的AI應用必須串接其他應用程式、作業流程與企業知識庫，只靠GPT模型無法提供所有支援，但結合Azure原有的AI服務如文字轉語音，就能發揮如虎添翼的效果，這也是OpenAI無法提供的附加價值。</p> <p>此外，除了提供GPT技術，微軟也進一步將其整合到旗下產品，並以SaaS或PaaS形式提供使用，例如：Bing Search，或是Microsoft 365 Copilot、GitHub Copilot。</p> <p>目前全球已有超過上千家組織正在使用Azure OpenAI服務，從新創公司到跨國集團皆涵蓋在內。舉例來說，德國西門子和Bosch等公司，以Azure OpenAI的生成式AI服務整合產業應用，可匯集生產線機台的非結構化資料並在彈指間提供即時的生產報告。</p> <p>值得一提的是，全球使用Azure OpenAI的教育應用首例就在台灣，教育部委外建置的酷英（Cool Englsih英語線上學習平台）以Azure OpenAI結合微軟的語音辨識及語音合成技術來開發CoolE Bot英語聊天機器人，提供學習者情境式對話環境。</p> <p>此外，對資安高度敏感的半導體、商用電腦和工業電腦龍頭，以及零售新創甚或金融業，都有意以非敏感性資料發展Azure OpenAI應用，台灣各產業都展現了不落人後的積極態度。換言之，無論是國內外的應用實例，或是企業最關注的資料安全、穩定度、合規法遵等應用指標，Azure OpenAI毫無疑問都是企業組織發展生成式AI應用的首選解決方案平台。</p> <p> </p> <p>--</p> <p><strong>想瞭解更多？</strong></p> <p>隨選隨看線上研討會：<a href="https://info.microsoft.com/GC-ADAI-VDEO-FY23-03Mar-23-Azure-OpenAI-service-From-Zero-to-Hero-takes-you-through-the-mysteries-of-AI-SRGCM9618_LP01-Registration---Form-in-Body.html" target="_blank">Azure OpenAI 服務： From Zero to Hero 帶您揭開 AI 神秘面紗 (microsoft.com)</a></p> <p>2023 AI EXPO 精彩回放：<a href="https://www.facebook.com/watch/live/?ref=watch_permalink&v=188640063548791" target="_blank">從 Azure AI 平台與 GPT-4 前瞻 AI 科技</a></p> <p> </p> <p><strong>用聲音了解生成式 AI：</strong></p> <p>微軟重押，ChatGPT 商機會怎麼發展？</p> <ul> <li>Apple Podcast：<a href="https://aka.ms/AOAI_Podcast1_0321" target="_blank">https://aka.ms/AOAI_Podcast1_0321</a></li> <li>Google Podcast：<a href="https://aka.ms/AOAI_Podcast2_0321" target="_blank">https://aka.ms/AOAI_Podcast2_0321</a></li> <li>Spotify：<a href="https://aka.ms/AOAI_Podcast3_0321" target="_blank">https://aka.ms/AOAI_Podcast3_0321</a></li> </ul> <div> </div> <p>生成式 AI 如何成為神隊友，為產業帶來新契機</p> <ul> <li>Apple Podcast：<a href="https://aka.ms/AOAI_Podcast1_0331" target="_blank">https://aka.ms/AOAI_Podcast1_0331</a></li> <li>Google Podcast：<a href="https://aka.ms/AOAI_Podcast2_0331" target="_blank">https://aka.ms/AOAI_Podcast2_0331</a></li> <li>Spotify：<a href="https://aka.ms/AOAI_Podcast3_0331" target="_blank">https://aka.ms/AOAI_Podcast3_0331</a></li> </ul> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/openai-microsoft-960x420.jpg?itok=yEwUBvSs" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Microsoft</p> </div></div></div>
2023/5/24 00:00機構署名廠商新聞稿https://www.ithome.com.tw/pr/156999
Google開源雲端醫療影像檢索函式庫，加速數位病理AI應用開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google開源可快速從醫療數位影像傳輸協定（Digital Imaging and Communications in Medicine，DICOM）儲存檢索全玻片影像（Whole Slide Image，WSI）的<a href="https://opensource.googleblog.com/2023/05/accelerate-ai-development-for-digital-pathology-ez-wsi-dicomweb-python-library.html">EZ WSI DICOMWeb函式庫</a>，以促進數位病理學應用的發展。</p> <p>WSI是一項將傳統病理學切片數位化的技術，而病理切片則是將組織樣本切成非常薄的薄片，進行染色後在顯微鏡下觀察，這是醫學診斷的一部分，供醫療人員觀察癌症和各種病理狀態。將病理切片數位化，就能夠儲存在數位裝置並在電腦上查看，更方便地用於共享、遠端診斷、教育和研究等目的，同時還能作為人工智慧和機器學習的資料來源。</p> <p>但是WSI同時也存在資料管理挑戰，因為高解析度圖像容量非常龐大，要從DICOM儲存中，以DICOMweb檢索特定WSI區塊（Patch）並不是一件簡單的事，除了過程相當複雜，還需要擁有對DICOM格式的專業知識。DICOMweb是DICOM的網頁標準，用於存取、檢索和管理醫學圖像資料。</p> <p>因此Google開發EZ WSI DICOMWeb Python函式庫的目的，便是要簡化這些操作，高效且簡單地存取WSI區塊圖像，進一步使WSI方便共享和存取，促進協作和知識傳遞，同時讓研究人員更簡單地將這些資料用於機器學習技術，在醫療保健領域推動人工智慧應用。</p> <p>相較傳統方法，需要從DICOM儲存下載完整的WSI，在本地端擷取區塊圖像，如此不只增加網路流量使用，也會產生更多延遲，並占用大量儲存空間，EZ WSI DICOMWeb函式庫直接透過DICOMweb API檢索需要的WSI區塊圖像，可以直覺且簡潔的使用圖像資料，開發人員也不需要深入了解DICOM的資料結構和API，而能更專注於應用開發上。</p> <p>使用EZ WSI DICOMWeb函式庫，開發者可以操作雲端DICOM儲存中的WSI，簡單擷取特定區塊圖像，加速各種病理學工作流程，Google現在透過開源此函式庫，來加速數位病理學的人工智慧應用發展。</p> </div></div></div>
2023/5/24 08:17作者李建興https://www.ithome.com.tw/news/157010
今年要求1千4百多家公司設置專責資安單位，目前僅2成達標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這兩年，我國政府聚焦於推動產業落實資安，不論是規範企業揭露資安事件重大訊息，以及要求公司年報記載資安管理作為，成為不同產業上市櫃公司必要之務，還有逐年規範符合條件公司配置相應資安人力，例如，去年底要求113家上市櫃公司需設置資安長。</p> <p>2023年還有哪些重要目標？臺灣證券交易所（證交所）公布最新推動現況，例如，要求1,443家第二級公司需在年底前，完成資安主管及至少1名專責人員的設置，而且，個資保護將是下一重點。</p> <h2><strong>今年第二級公司要設置專責資安單位，已有270多家做到</strong></h2> <p>為了強化上市櫃公司資安治理能力，金管會證期局與證交所之前已有公開說明，他們主要從資訊公開、公司治理、監理協助的角度出發，提出多項幫助上市櫃公司資安防護的措施。</p> <p>關於這一年來的推動情形，從臺灣證券交易所副經理汪厚燊的說明來看，以資訊公開的推動面向而言，不論是重大訊息、年報上的資安揭露，以及內控度措施的資安檢查，都早已完成推動。</p> <p>不過，在公司治理的推動面向上，我們注意到有兩大新進展受關注，分別是：資安長、資安專責單位及資安人員的設置狀況，以及公司治理評鑑項目的調整。</p> <p>首先，目前各界最關切的焦點，就是要求上市櫃公司設置相關資安人力。</p> <p>以2022年底對於第一級公司的要求而言，汪厚燊表示，目前這些被要求的102家上市及13家上櫃公司，均已完成資安長、資安專責主管及至少2名資安專責人員的設置。</p> <p>而今年的重要進度，就是針對第二級公司的要求。值得我們關注的是，今年受規範的上市櫃公司數量龐大，共有1,443家需在2023年底達目標，完成資安主管及至少1名專責人員的配置。</p> <p>目前這方面進度如何？汪厚燊指出，根據最新統計顯示（至4月30日止），國內已有270多家公司提早完成目標，比例將近2成，不過，此一進度算是偏慢，畢竟今年已經過去三分之一，仍有8成比例的公司還未行動。</p> <p>同時，汪厚燊公布了更具體的統計資料，目前還有618家上市公司與553加上櫃公司，尚未完整設置專責資安主管及資安人員。其中，尚未設置資安主管的公司，有上市602家與上櫃546家，尚未設置資安人員的有602家上市與533家上櫃。</p> <p>整體而言，還有大約1,100多家的上市櫃公司，要在接下來的8個月內，做好填補專責資安人力的工作。對於這樣的結果，我們認為，也反映普遍上市櫃內部缺乏專責資安團隊的現況。</p> <p><strong><a href="https://s4.itho.me/sites/default/files/images/（圖4）2023強化上市櫃公司資安措施進度大公開_圖片來源證券交易所.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%892023%E5%BC%B7%E5%8C%96%E4%B8%8A%E5%B8%82%E6%AB%83%E5%85%AC%E5%8F%B8%E8%B3%87%E5%AE%89%E6%8E%AA%E6%96%BD%E9%80%B2%E5%BA%A6%E5%A4%A7%E5%85%AC%E9%96%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E8%AD%89%E5%88%B8%E4%BA%A4%E6%98%93%E6%89%80.jpg" style="width: 600px;" /></a><br /> <span style="color:#696969;">圖片來源／臺灣證券交易所</span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/fix-（主圖）臺灣資安大會封面故事證交所s_汪厚燊_攝影iThome.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/fix-%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B%E8%AD%89%E4%BA%A4%E6%89%80s_%E6%B1%AA%E5%8E%9A%E7%87%8A_%E6%94%9D%E5%BD%B1iThome.jpg" style="width: 600px;" /></a></p> <p><strong>為了提升上市櫃公司對資訊安全的重視，臺灣證券交易所副經理汪厚燊表示，今年重點是在第二級公司,目前尚有1,100多家上市櫃公司要完成資安主管及至少1名專責人員的配置，同時，政府也鼓勵這些公司能加入領域ISAC，或TWCERT等資通安全情資分享平臺，以達資安聯防之效。攝影／iThome</strong></p> <h2><strong>公司治理評鑑加分項目，今年新增導入資安標準並取得驗證</strong></h2> <p>第二個新焦點，是在公司治理評鑑的修正，將完成導入「國際資安標準」並取得外部驗證，納為加分項目，可在公司治理評鑑的總分另加1分。</p> <p>事實上，我們在2019年即注意到，治理評鑑項目首度新增資安相關內容：「2.24 公司是否建置資訊安全風險管理架構，訂定資訊安全政策及具體管理方案，並揭露於公司網站或年報？」。而在最新第九屆資安治理評鑑中，除了將上述指標的文字做調整，以符合「公開發行公司年報應行記載事項準則」修訂的內容，並特別將導入ISO27001、CNS27001或同等以上的資訊安全管理系統標準，並取得第三方驗證，納為公司治理評鑑的加分項目。</p> <p>不過，汪厚燊強調，比起國外的公司治理評鑑所設定的資安指標來看，我們還有很大的提升空間。基本上，公司治理評鑑的目的，是促進公司本身主動增進治理水準與動力，藉由每年度自評逐步導引企業採用良善公司治理措施，而在國際間的公司治理評鑑中，資安評鑑指標項目的內容，還會涵蓋更廣。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖6）2023強化上市櫃公司資安措施進度大公開.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%892023%E5%BC%B7%E5%8C%96%E4%B8%8A%E5%B8%82%E6%AB%83%E5%85%AC%E5%8F%B8%E8%B3%87%E5%AE%89%E6%8E%AA%E6%96%BD%E9%80%B2%E5%BA%A6%E5%A4%A7%E5%85%AC%E9%96%8B.jpg" style="width: 600px;" /></a></p> <p><strong><span style="color: rgb(105, 105, 105);">圖片來源／臺灣證券交易所</span></strong></p> <p>以我國公司治理評鑑的資安指標而言，目前主要涵蓋面向是在：政策與機制、流程與基礎架構、引用國際標準，以及第三方驗證。但以道瓊永續指數（DJSI）、明晟永續指數（MSCI ESG）而言，其涵蓋範圍更是包括：定期弱點分析、事件因應、收集與留存資料最小化、政策涵蓋供應鏈及合作伙伴、資安教育訓練。</p> <p>換言之，儘管國內還沒有將這些方面訂為評鑑項目內容，但企業也可從國際發展態勢作為借鑑，視為增加公司資安治理的要項。</p> <h2><strong>促進資安訊息分享，第一級公司加入ISAC、TWCERT達8成</strong></h2> <p>關於監理協助推動面向的新進展，主要焦點就是著重於資安訊息的分享。去年金管會證期局已開始鼓勵上市櫃公司，加入資通安全情資分享平臺，包括國內各領域ISAC（金融、科技、醫療、能源、通訊、交通），沒有產業限制的TWCERT，以促進上市櫃公司的資安情資分享與聯防。</p> <p>這方面的進度如何？汪厚燊表示，截至今年3月7日為止，以第一級公司而言，102家上市公司中有91家加入，比例達近9成，13家上櫃公司有10家加入，比例達7成6。</p> <p>以第二級公司而言，在772家的上市公司中，已經有242家加入，比例為3成1，在671家的上櫃公司中，已經有187家加入，比例為2成7。</p> <p>總體而言，第一級公司的加入狀況還算不錯，平均在8成左右，但第二級公司還不夠積極。</p> <p>因此，證交所與櫃買中心希望在2023年底前，能促進更多上市櫃公司加入這類平臺，取得資安預警情資、資安威脅與弱點資訊，以達資安聯防之效。</p> <h2><strong>個資保護將成下一重點，內控查核將新增個資檢查項目</strong></h2> <p>至於2023年下半，主管機關可能提出哪些新規範，汪厚燊透露，個資議題會是一大重點。</p> <p>關於個資保護，不只是上市櫃公司，所有公司都應該要有所重視，因為近期政府動作連連。例如，在今年5月，國發會祭出防止非公務機關個資外洩的精進措施，就是針對個資而來。而且，個人資料保護法部分條文修正草案通過，將設立「個人資料保護委員會」，並將限期未改善或情節重大的最高罰責提高至1,500萬元。</p> <p>而針對上市櫃公司，他們也將在監理協助的內控查核方面，新增加個資查核項目，需要關注的重點。</p> <h2><span style="font-size: 13px;">另外，汪厚燊表示，政府為了鼓勵企業重視資安規畫，除了祭出裁罰措施，也有提供獎勵計畫，例如，去年經濟部與財政部發布「公司或有限合夥事業投資智慧機械與第五代行動通訊系統及資通安全產品或服務抵減辦法」，首度將資安投資納入抵稅範圍，為期三年，今年將可開始申請2022年的資安投資抵稅，最晚申請時間是5月底。</span><br /> </h2> <h2><span style="color:#0099ff;"><strong>針對三大資安作為揭露，證交所增加參考範例</strong></span></h2> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5）2023強化上市櫃公司資安措施進度大公開.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%892023%E5%BC%B7%E5%8C%96%E4%B8%8A%E5%B8%82%E6%AB%83%E5%85%AC%E5%8F%B8%E8%B3%87%E5%AE%89%E6%8E%AA%E6%96%BD%E9%80%B2%E5%BA%A6%E5%A4%A7%E5%85%AC%E9%96%8B.jpg" style="width: 280px; float: right;" /></a></p> <p>近年來，我國強化上市櫃資安從資訊公開、公司治理，以及監理協助著手，自2023年推動概況來看，資訊公開方面新動向較少，因為多數都已完成，但我們最近發現，證交所在2021年12月底發布針對<a href="https://cgc.twse.com.tw/lawReport/listCh">資安管理的股東會年報最佳實務參考範例，在2023年有新的版本</a>，因此，我們在大會演說結束後詢問汪厚燊，目前看來，新版本是在2023年2月發布，當中對於資通安全風險管理架構、重大資通安全事件、資通安全風險與因應措施等層面的範例數量，將原本的1個變成2個，希望幫助上市櫃公司編製年報的人員有更多參考依據，符合主管機關、產業投資人的期望。</p> <p> </p> </div></div></div>
2023/5/23 22:06作者羅正漢https://www.ithome.com.tw/news/157014
【資安日報】5月23日，勒索軟體駭客BlackCat利用惡意驅動程式Poortry發動攻擊，繞過防毒軟體偵測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體BlackCat再度傳出新的攻擊行動，但值得留意的是，駭客運用的作案工具當中，包含了去年年底被揭露的惡意驅動程式Poortry，而有機會停用電腦防毒軟體的處理程序，免於遭到偵測。</p> <p>於上週末發生資料外洩事故的共享單車服務YouBike，現在又有新的發展，桃園市政府交通局指出，該公司在公布資安事故後二度遭到攻擊，受影響人數也增加快一倍。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="http://www.trendmicro.com/en_us/research/23/e/blackcat-ransomware-deploys-new-signed-kernel-driver.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體BlackCat利用惡意驅動程式Poortry繞過防毒軟體偵測</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/blackcat-2-4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/blackcat-2-4.png" style="width: 300px; float: right;" /></a>資安業者Mandiant、Sophos、SentinelOne去年底揭露，有人透過微軟的硬體開發人員帳號，打造了含有微軟簽章（現在已註銷）的惡意驅動程式Poortry並用於攻擊行動，現在傳出駭客再度將其用於勒索軟體攻擊。</p> <p>資安業者趨勢科技指出，他們在今年2月看到勒索軟體BlackCat的攻擊行動裡，駭客利用惡意驅動程式Poortry（檔案名稱為ktgn.sys），並將其部署於目標電腦的暫存資料夾（%Temp%），再透過tjr.exe可執行檔載入，最終執行勒索軟體BlackCat。</p> <p><a href="https://www.linkedin.com/posts/yelisey-bohuslavskiy-214a02bb_royal-ransomware-apt-activity-7064301345599565824-EwaW/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Royal著手打造惡意軟體載入工具</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1684260687953.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/1684260687953.jpg" style="width: 300px; float: right;" /></a>研究人員Yelisey Bohuslavskiy發現，勒索軟體駭客組織Royal改變其攻擊手法，著手開發自己專屬的惡意程式載入工具，其主要特徵是檔案很小（不到250 KB），以及僅具備部署Cobalt Strike的單一用途。研究人員指出，駭客將入侵目標電腦的工具獨立於勒索軟體之外，主要目的就是能讓駭客在攻擊行動中，自由搭配自己偏好的勒索軟體來進行。</p> <p>而對於該惡意程式載入工具與其他駭客之前的關連，研究人員指出該工具當中含有另一款惡意程式Anubis的主要功能，而Anubis是勒索軟體駭客Conti打造的IcedID變種。</p> <p><a href="https://www.cybersecuritydive.com/news/dallas-ransomware-data-leak-threat/650883/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國達拉斯市遭勒索軟體Royal攻擊，駭客要脅要公布竊得的員工個資及法院資料</span></strong></a></p> <p>美國德州第3大城市達拉斯於5月初，傳出遭到勒索軟體Royal攻擊，導致市政府的部分業務中斷，當地法庭休庭、警察局網站出現503錯誤訊息。現在傳出駭客打算公布竊得的資料，他們聲稱握有達拉斯大量市政府員工個資，以及法庭案件的資料，並指出員工個資包括了社會安全碼（SSN）、護照資料、信用卡號碼、聯絡方式等；而法庭資料的部分則則含有被監禁人士的個資、醫療資訊、用戶資料，此外，還有數以千計的政府文件。</p> <p>對此，達拉斯市政府於19日表示，他們得知駭客組織要脅要公布相關資料的情況，但沒有資料外洩的跡象，他們將進行監控。到了22日，市政府指出法院將在30日重新開放。</p> <p><a href="https://arxiv.org/pdf/2305.10791.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">暴力破解手法不僅用於密碼猜測，有人找出可用於破解手機指紋驗證的作法</span></strong></a></p> <p>騰訊實驗室與浙江大學的研究人員揭露名為BrutePrint的攻擊手法，藉由暴力破解的方式通過智慧型手機的指紋辨識，進而控制手機。研究人員發現2個可被用於上述攻擊的零時差漏洞，他們將其命名為Cancel-After-Match-Fail（CAMF），以及Match-After-Lock（MAL），並指出這類手法可針對所有的安卓、HarmonyOS、iOS裝置發動攻擊。</p> <p>攻擊者事先取得用於學術的指紋資料庫及相關設備，就有機會利用上述的2個漏洞，持續比對指紋資料，且不會記錄失敗的情況而不致遭到封鎖。</p> <p>值得留意的是，如果使用者註冊了多個指紋，暴力破解所需的時間會大幅降低，從1個指紋需2.9至13.9個小時，降至0.66至2.78個小時。研究人員指出，這種手法雖然需要長時間接觸手機，但小偷和執法單位很可能藉此破解指紋辨識機制而控制目標裝置。</p> <p><a href="https://securelist.com/cloudwizard-apt/109722/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織Bad Magic埋伏在烏克蘭恐超過十年</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CloudWizard_APT_the_bad_magic_story_goes_on_03.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CloudWizard_APT_the_bad_magic_story_goes_on_03.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基揭露駭客組織Bad Magic（亦稱Red Stinger）的攻擊行動，此駭客組織原本的主要目標，是烏克蘭境內的頓內茨克、盧甘斯克、克里米亞半島，但現在範圍擴及烏克蘭的西部及中部，針對其個人、外交單位、研究機構而來。</p> <p>研究人員指出，這些駭客攻擊行動的特徵，就是使用模組化的惡意框架CloudWizard，而能截取受害電腦螢幕截圖、錄下麥克風聲音、側錄鍵盤輸入的內容、截取帳密資料、收集Gmail信箱的能力。</p> <p>在他們進一步針對CloudWizard進行分析後，發現利用此工具發動攻擊的駭客，也曾參與Operation Groundbait和Operation BugDrop攻擊行動，並曾經使用名為Prikormka的惡意程式，研判這些駭客至少從2008年就開始活動。</p> <p><a href="https://drops.scamsniffer.io/post/5-9-million-stolen-by-scam-as-a-service-provider-called-inferno-drainer/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加密貨幣網釣攻擊也出現服務化的現象，Inferno Drainer從近5千人盜取加密貨幣</span></strong></a></p> <p>資安業者Scam Sniffer指出，他們看到有人自今年2月，提供名為Inferno Drainer的加密貨幣網釣工具服務，該服務自3月27日開始，建置了約689個可用於攻擊的冒牌網站，這些網站模仿229個加密貨幣業者，如 Pepe、Bob、MetaMask、OpenSea，供買家向使用者進行網路釣魚或是詐騙。</p> <p>研究人員指出，提供該服務的賣家以抽成的方式向買家收費，他們在買家成功竊得加密貨幣後收取2至3成的傭金，截至目標為止，研究人員總共發現有4,888人受害，約有590萬美元的加密貨幣被盜。</p> <p><a href="https://traffic.tycg.gov.tw/businessD/post/upt.aspx?p0=104908"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">YouBike資料外洩範圍擴大，受害人數超過4萬名</span></strong></a></p> <p>上週末共享單車服務YouBike遭到境外網路攻擊，該公司亦暫時停用會員登入系統，並傳出約有2.1萬交易資料遭竊，但如今這起事故的受害範圍恐有擴大的趨勢。</p> <p>桃園市政府交通局於5月22日會同臺北市政府、新北市政府對YouBike進行查核並進行初步了解，得知該公司分別於19日及21日，先後遭到境外及境內的網路攻擊，總共約有4萬多名會員的交易資料遭竊。對此，桃園市政府要求YouBike於26日前完成加強網路管制措施及改善事項，並提出會員通案性的賠償方案。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://techcrunch.com/2023/05/22/linkedin-verification-tools-job-posts-adds-message-warnings-potential-scams/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為防範應徵者上當，LinkedIn針對徵才貼文提供認證機制</span></strong></a></p> <p>職場社群網站LinkedIn於5月22日宣布，他們將正式推出職位驗證工具和反詐騙機制，目的是提升該平臺安全，並保護用戶免於徵才詐騙的情況。該公司也針對使用者收到的工作邀請或私人訊息，透過機器學習的技術進行自動辨識，若是發現疑似不安全的情況，就會顯示紅色警示文字。</p> <p>而對於該公司採取上述措施的動機，科技新聞網站Engadget認為，很有可能與近期發布的透明度報告有關──該公司於2022年下半封鎖5,800萬個詐騙帳號，較上半年的2,200萬個翻倍，此外，該公司也看到利用AI產生的假照片及個人資料。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.group-ib.com/blog/qilin-ransomware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體Qilin改以程式語言Rust開發，鎖定教育、醫療、金融產業而來</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/pentagon-explosion-hoax-goes-viral-after-verified-twitter-accounts-push/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客透過AI產生五角大廈爆炸影片，假冒知名媒體散布訊息，導致美國股市應聲下跌</span></span></strong></a></p> <p><a href="https://permiso.io/blog/s/unmasking-guivil-new-cloud-threat-actor/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">印度駭客濫用AWS EC2進行挖礦</span></span></strong></a></p> <p><a href="https://arxiv.org/abs/2305.08596"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員打造大型語言機器學習模型DarkBERT，可自動化從暗網收集威脅情報</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156982">【5月22日】 YouBike證實遭到網路攻擊，2.1萬用戶資料外洩</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156961">【5月19日】臺灣4月上旬出現惡意郵件、惡意軟體攻擊翻倍爆增的情況</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156942">【5月18日】要求受害組織作公益的勒索軟體再度出現，這次是鎖定Zimbra郵件系統而來</a></strong></p> </div></div></div>
2023/5/23 18:19作者周峻佑https://www.ithome.com.tw/news/157011
避免資安意識培訓失敗3大主因，可混搭5種模式打造客製化課程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「資訊安全3大要素是人員、技術及流程，人員往往是最脆弱的一環。」安永企管副總經理陳志明直言。許多企業會推動資安意識計畫，希望強化員工資安意識，並協助他們實踐安全行為，來限制人為資安風險。不過，多年從事資安顧問的他指出，大多數資安意識計畫都不算成功，往往歸咎於3個原因：員工參與度低、受訓者無法持續實踐安全行為、課程沒有依照組織情況設計。</p> <p><strong>資安意識計畫失敗的三大原因</strong></p> <p>陳志明進一步說明這3個問題。首先是員工參與積極度過低。他觀察，企業制定資安意識計畫時，常過度聚焦於公司政策，沒有告訴培訓對象，這些安全行為如何使自己或所屬部門受益。無法體會資安重要性，企業員工便不會積極參與。</p> <p>第2個常見問題是，將資安培訓視為一次性練習，員工不會將安全行為納入工作習慣。許多企業進行員工資安培訓時，只會重複使用主題和測驗方法一成不變的線上課程，讓員工逐漸失去興趣。甚至會演變成，員工開始流傳課程測驗答案，培訓時任由影片播完，待測驗時照抄答案交差了事。</p> <p>第3個問題是，企業擬定資安意識培訓計畫時，常因法規或公司政策規定要有資安培訓內容，便匆匆找來講師或線上課程，讓相關人員參與。由於沒有針對自身業務環境和面臨威脅來選擇培訓教材。培訓後，仍難以看見課程對企業帶來哪些具體成效。</p> <p>如何避免這些問題，陳志明建議，首先，資安培訓不能只是一次性進修或考試，還要為受訓者訂定日常安全行為的執行標準。再來，執行計畫前，承辦人員應分析不同受訓者的業務如何受益於安全行為，與講師積極溝通培訓內容，量身打造溝通方法與教材。例如，若欲對高階主管傳達特定觀念，甚至希望引導高階主管加碼投資資安，承辦人員都應與講師協調。</p> <p>至於如何決定培訓受眾，陳志明強調，除了企業內部人員，企業會接觸到的利害關係方，例如合作廠商、客戶、主管機關、會計師、律師等，也必須納入資安意識計畫，培養出相對應的資安意識及程序。</p> <p>資安意識計畫另一項重點是，要有明確培訓目標，才能引起參與人員學習動機。陳志明舉例，他曾替一家國內企業授課，培訓一開始就表明，結束後會替企業選拔資安長，資安長還得在一定時限內提出公司資安藍圖，向總經理匯報。有了明確目標和時限，學員不僅積極學習，還會主動思考自己需要哪些知識來達成目標，積極請教講師。</p> <p><strong>資安培訓應因才施教，採用多元培訓模式</strong></p> <p>陳志明表示，既然要根據不同受訓者設計不同課程，承辦人員設計教材時，也需要綜合使用不同培訓工具和模式。根據形式和對象，他提出5種可混搭的訓練模式，包括了數位課程、釣魚攻擊演練、駭客實際演練、駭客工具展現、及遊戲化訓練等。</p> <p>數位課程是最通用且常用的形式，陳志明認為，數位課程固然簡單好用，但課程主題跟測驗方法要力求多元，避免變成員工只想背測驗答案，應付了事。</p> <p>釣魚攻擊演練則是由培訓方對員工進行釣魚攻擊，來提升員工對此類攻擊的戒心。陳志明建議，攻擊方可以多種攻擊型態並用，例如電子郵件、語音呼叫、文字簡訊，也要捕鯨和魚叉式攻擊並用。這樣一來，才能更好模擬駭客多樣化的攻擊手法。</p> <p>駭客實際演練是請道德駭客扮演攻擊者和受害者，直接展現駭客如何輕易突破人和系統漏洞，再回顧駭客攻擊步驟，說明駭客思維及防禦方法。陳志明說，實際演練過程能引導受訓者思考如何應對，同時能產生一定震撼，加深印象。</p> <p>駭客工具展現則是各種駭客工具，例如惡意充電線、感染USB、Proxmark IC卡破解器、RFID複製卡等，用電腦以外的呈現媒介來刺激受訓者好奇心，同時意識到資訊安全不只是政策和培訓，而是真實會發生於生活中的議題。</p> <p>最後一種，陳志明建議，遊戲化訓練模式可以參考商業遊戲、網路戰爭（紅藍隊演練）遊戲、密室逃脫等遊戲形式，分別針對高階主管、資安人員及一般人員，將他們置於特定情境中，要求在時限內做出資安相關決策。商業遊戲強調業務目標與資運安全的交集，意圖使玩家能從企業營運角度來思考資安重要性；網路戰爭遊戲能訓練資安人員危機處理能力；密室逃脫則是將資安事件跟意識融入團隊遊戲中，以遊戲和團隊合作的形式來嘗試提升員工參與度。陳志明表示，遊戲化訓練雖然需要投入更多資源來設計教材，但跳脫了教條式教學形式，讓學員沉浸在情境中思考如何行動，因此通常教學成果會較好。</p> </div></div></div>
2023/5/23 17:31作者郭又華https://www.ithome.com.tw/news/157009
把歐洲民眾資料傳送到美國，Meta遭重罰12億歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.dataprotection.ie/en/news-media/press-releases/Data-Protection-Commission-announces-conclusion-of-inquiry-into-Meta-Ireland" target="_blank">愛爾蘭資料保護委員會（Data Protection Commission，DPC）周一（5/22）宣布</a>，已結束對Meta Ireland將歐洲經濟區（EEA）的個人資料傳送至美國以提供臉書服務的調查，認為Meta的行為違反了《歐盟通用資料保護規則》（GDPR），判罰12億歐元，創下GDPR的最高罰款紀錄。<a href="https://about.fb.com/news/2023/05/our-response-to-the-decision-on-facebooks-eu-us-data-transfers/" target="_blank">Meta則說</a>這是個不正當且沒必要的處分，將提出上訴。</p> <p>歐盟與美國在2016年建立《隱私盾》（Privacy Shield）資料傳輸保護協議，簡化美國企業將歐洲民眾資料傳送到美國的流程，以推動跨大西洋的貿易，但2018年時奧地利一名隱私捍衛人士Max Schrems控告臉書侵犯他的隱私，指稱《隱私盾》無法完全保障歐洲民眾的隱私權，這使得歐盟於2020年廢除了《隱私盾》，Meta繼而採用歐盟與他國之間的《標準合約條款》（Standard Contractual Clauses，SCCs），來傳輸資料。</p> <p>不過，愛爾蘭DPC在2020年8月時初步認為Meta使用SCCs並不符合GDPR規範，展開了進一步的調查，之後Meta切換至歐盟執委會（EC）所通過的新版SCCs，並實施了其它的補救措施，惟DPC發現這些安排都無法解決資料風險問題。</p> <p>因此，愛爾蘭DPC認為Meta的資料傳輸違反GDPR，要求Meta必須中止這類的行為，並判罰12億歐元。</p> <p>Meta則直指這是歐盟資料保護委員會（European Data Protection Board，EDPB）從中作梗的結果。</p> <p>Meta全球事務總裁Nick Clegg及法務長Jennifer Newstead指出，僅管DPC知道Meta的臉書用戶資料傳輸是基於善意，且沒必要罰款，卻在最後一刻被EDPB推翻，事實上，Meta所使用的是與其它在歐盟提供服務的數千家企業同樣的法令機制，此一決定不僅不正當且有缺陷，對其它於歐盟及美國之間傳輸資料的企業而言，更是一個危險的先例。</p> <p>另一方面，<a href="https://about.fb.com/news/2023/05/our-response-to-the-decision-on-facebooks-eu-us-data-transfers/" target="_blank">EDPB主席Andrea Jelinek則認為</a>，Meta的侵權行為非常嚴重，臉書在歐洲擁有眾多用戶，因而傳輸了大量資料，罰款計算基準採用了最高金額的20~80%。而12億歐元則是GDPR自2018年上線以來金額最大的一筆罰款。之前的GDPR罰款紀錄保持者為<a href="https://www.ithome.com.tw/news/145975" target="_blank">Amazon在2021年被判罰7.46億歐元</a>。</p> <p>Meta則計畫提出上訴，採取拖延戰術，直至美國與歐盟之間新擬定的《資料隱私架構》（Data Privacy Framework，DPF）生效，以避免對使用者造成影響。</p> </div></div></div>
2023/5/23 15:25作者陳曉莉https://www.ithome.com.tw/news/157007
Meta運用聖經譯本與錄音改進語音模型，現可支援超過千種語言
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta大幅推進語音辨識技術，釋出的單一<a href="https://ai.facebook.com/blog/multilingual-model-speech-recognition/">多語言語音辨識模型MMS（Massively Multilingual Speech）模型</a>，能夠辨識超過4,000種的口說語言，而這個數量是目前已知技術的40倍。MMS也使得文字轉語音，以及語音轉文字技術，從原本只能用於約100種語言，現在擴展到1,107種。</p> <p>要訓練出能夠辨識大量語言的模型，Meta第一個遭遇到的困難是收集各種語言的音訊資料，目前最大的語音資料集，也只不過涵蓋100種語言而已，研究人員想到一個克服難題的方法，是利用聖經等宗教文本，這些文本已經被大量翻譯成各種不同的語言，而且聖經翻譯本也被廣泛地用在文字語言翻譯研究上。</p> <p>這些宗教文本翻譯也有公開的錄音，因此Meta研究人員利用這些錄音，創建出1,100多種語言的新約聖經音訊資料集，每種語言平均有32小時的錄音資料。除了聖經之外，還有許多基督教宗教讀物無標籤錄音，也能夠被拿來訓練模型，使Meta得以將可用語言數量擴增至4,000多種。</p> <p>Meta研究人員提到，經過他們的分析，雖然這些錄音資料主要都是男性說話者的聲音，但MMS模型處理男性和女性聲音的效能表現一致，另外，訓練資料內容來自於宗教，不過這並不會使模型產生更多的宗教語言。</p> <p>語音技術被大量用在虛擬以及增強實境上，目的是讓每個使用者透過母語，理解網路上其他人的話語，官方也表示，目前地球已知有7,000多種語言，許多語言正不斷的消失，更強大的語言技術將有助於保護這些語言。Meta現在<a href="https://github.com/facebookresearch/fairseq/tree/main/examples/mms">開源MMS模型以及程式碼</a>，供研究社群能夠以這些基礎進行後續研究。</p> </div></div></div>
2023/5/23 12:59作者李建興https://www.ithome.com.tw/news/157005
Meta揭露自家設計的推理晶片MTIA和下一代AI資料中心設計
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了滿足未來10年人工智慧研究的需求，<a href="https://about.fb.com/news/2023/05/metas-infrastructure-for-ai/">Meta規畫下一代人工智慧基礎設施</a>。專為人工智慧設計的基礎設施主幹，包括使用Meta自己設計的人工智慧加速晶片<a href="https://ai.facebook.com/blog/meta-training-inference-accelerator-AI-MTIA/">MTIA</a>，並採用新的資料中心設計。另外，在RSC（Research SuperCluster）計畫第二階段，Meta還將完成具有16,000個GPU的超級電腦，以支援人工智慧研究。</p> <p>簡稱為MTIA（Meta Training and Inference Accelerator）的晶片，是Meta最新針對推理工作負載所設計的加速晶片，Meta表示，MTIA針對內部的工作負載，具有比CPU更強的計算能力和效率，透過部署MTIA和GPU，Meta能夠以更高效能和更低的延遲執行工作負載。</p> <p>由於Meta認為，他們特有的推薦工作負載規模，GPU無法總是提供需要的運算效率。因此特別開發了MTIA，這是一個全堆疊解決方案，包含了晶片、PyTorch和推薦模型。MTIA和PyTorch完全整合，因此開發者能夠以與CPU和GPU相同的方式，在MTIA上開發程式，除了使用PyTorch，開發者也能以C/C++最佳化運算核心。MTIA之後也會整合PyTorch 2.0。</p> <p>最新的資料中心也是針對人工智慧工作負載設計，具有液冷式人工智慧硬體，以及將數千個MTIA人工智慧晶片連結在一起的高效能人工智慧網路，可建立起資料中心規模的人工智慧訓練叢集。新設計將使建置更快更具成本效益，並且與其他ASIC解決方案MSVP等現有硬體互補。</p> <p>除此之外，Meta也將完成超級電腦RSC的第二階段升級，這個專門用來訓練大型人工智慧模型的超級電腦，將會擁有16,000個GPU，並且所有GPU都可以使用3階段Clos網路（Clos Network），以高流量網路支援2,000個訓練系統。</p> <p>除了硬體的升級，Meta也透過部署人工智慧程式開發助理CodeCompose，改進內部開發方法，依據Meta的描述，CodeCompose就像GitHub Copilot，是一個生成式人工智慧程式開發助理，能夠加速開發人員工作效率。</p> </div></div></div>
2023/5/23 11:20作者李建興https://www.ithome.com.tw/news/156986
JetBrains在跨平臺UI開發框架Compose Multiplatform加入iOS支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JetBrains更新自家跨平臺UI開發框架<a href="https://blog.jetbrains.com/kotlin/2023/05/compose-multiplatform-for-ios-is-in-alpha/">Compose Multiplatform</a>，新增支援iOS，現在開發者可以實作一次使用者介面，就在Android、iOS、桌面和網頁之間共用。Compose Multiplatform是JetBrains推出的跨平臺開發框架，以Jetpack Compose為基礎，而Jetpack Compose則是Google為Android開發，以Kotlin編寫的現代化使用者介面工具包。</p> <p>Compose Multiplatform提供了統一開發方法，讓開發者能夠使用同一套程式碼庫，對多個平臺開發應用程式，以大幅減少維護成本和開發時間，且因為Compose Multiplatform是以Kotlin開發，因此也繼承了Kotlin語言包括簡潔語法、空值安全，以及豐富標準函式庫等優點。</p> <p>Compose Multiplatform的開發團隊與Google緊密合作，會定期提交變更至上游的Jetpack Compose專案，且由於兩者的API相同，因此Jetpack Compose的開發者，可以熟悉地使用Compose Multiplatform編寫共用使用者介面。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/architecture(2).png" style="width: 580px;" /></p> <p>官方提到，因為iOS上的Compose Multiplatform是基於畫布渲染，因此預設情況iOS和Android應用程式看起來會是相同的。在iOS上Compose Multiplatform使用者介面以Skiko圖形函式庫的畫布實作渲染，而在Android上，Compose Multiplatform則是透過使用Jetpack Compose，Android開發者想要移植應用程式到iOS的使用者介面，便不需要改變任何編寫的程式碼。</p> <p>Compose Multiplatform也提供了與SwiftUI和UIKitView的互通性，透過使用UIKitView，開發者可以在共用的使用者介面嵌入地圖、網頁、媒體播放器和攝影機等複雜的平臺特定小工具，而在ComposeUIViewController，開發者也可以在SwiftUI應用程式中嵌入Compose Multiplatform畫面，使開發者逐漸在iOS應用程式中加入Compose Multiplatform。</p> <p>Compose Multiplatform在所有平臺，提供開箱即用的Material和 Material 3小工具，開發者可以調整這些小工具的外觀和感覺，以搭配整體設計風格。由於目前Compose Multiplatform對iOS的支援，還只在Alpha測試階段，因此開發團隊仍在進行調整，並且與Kotlin/Native團隊合作，目標是提高iOS共用介面的效能。</p> </div></div></div>
2023/5/23 11:23作者李建興https://www.ithome.com.tw/news/156994
LinkedIn正式推出身分驗證服務，提升平臺安全預防應聘者受騙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>LinkedIn近日（22日）<a href="https://www.linkedin.com/pulse/new-tools-help-job-seekers-feel-safe-confident-search-rohan-rajiv%3FtrackingId=3t6Ywq2YT3mDmA9ZRejptA%253D%253D/?trackingId=3t6Ywq2YT3mDmA9ZRejptA%3D%3D">宣布</a>正式推出職位驗證工具和反詐騙機制，以提升平臺安全並保護用戶不受工作應徵公告或是其公司詐騙。</p> <p>LinkedIn正式推出的驗證工具會在用戶點選應聘貼文時看到公司官方網站是否有相關訊息，例如職位發布者可藉由公司電子郵件來驗證目前所任職的公司，全球目前有超過4,000家公司支援此驗證，另外職位發布者也可以用一個安全身分驗證平臺CLEAR來驗證自己的身分，使用者只需要利用美國政府的正式身分證件，如駕照、工作證等，加上美國電話號碼即可進行認證。</p> <p>LinkedIn表示這些認證都是為了提升求職者對職位的信任，讓求職者在申請職位時的頁面就能清楚地看到這個職位以及公司的真實性，而從企業的角度，也希望企業以更容易且免費的方法驗證以吸引到有潛力的申請者。上個月（4/12）LinkedIn已經先發表了這些多項身分驗證服務。</p> <p>此外，LinkedIn也推出了新的警告功能，當用戶收到可疑的工作邀請或私人訊息時，系統採用機器學習技術自動辨識，如果偵測可能不安全即會發出紅色字樣的警示。</p> <p>據Yahoo!<a href="https://www.yahoo.com/news/linkedin-starts-rolling-out-new-verification-and-anti-scam-features-133539818.html?guccounter=1">報導</a>這一系列新功能的推出都是在LinkedIn最新的<a href="https://about.linkedin.com/transparency/community-report#fake-accounts-2022-jul-dec">透明度報告</a>（transparency report）之後，該報告顯示出詐騙帳號於其平臺大幅增加。從2022年7月至12月，LinkedIn封鎖了超過5,800萬個帳號，比其前六個月封鎖的2,200萬個帳號增加了超過兩倍。LinkedIn 甚至發現一些利用 AI 生成的假照片和個人資料。</p> <p>LinkedIn指出，這些驗證新功能剛推出，隨著各個公司使用而擴大範圍將讓它們普及化。</p> <p>透明度報告為公司定期發布的公開聲明，內容主要為與用戶相關的數據和紀錄。</p> </div></div></div>
2023/5/23 11:40作者洪予揚https://www.ithome.com.tw/news/156998
全球500大超級電腦由Frontier蟬連冠軍，AMD占了121臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://top500.org/news/frontier-remains-sole-exaflop-machine-and-retains-top-spot-improving-upon-its-previous-hpl-score/" target="_blank">第61屆的全球500大超級電腦排行榜於本周出爐</a>，依舊由橡樹嶺國家實驗室（ORNL）的Frontier奪冠，其HPL（High-Performance Linpack）標竿測試分數為1.194 Eflop/s，仍是該排行榜上唯一的Exascale等級超級電腦。</p> <p>排名第二的是安裝於日本RIKEN中心的Fugaku，其HPL分數為442 Pflop/s，第三則是芬蘭EuroHPC中心 LUMI，HPL分數是309.1 Pflop/s。</p> <p>前10大超級電腦有4臺採用AMD處理器，英特爾及IBM處理器分別占了2臺；而前500大超級電腦主要採用英特爾、AMD與IBM處理器，其中，基於英特爾處理器的占了6成以上，AMD則有121臺，比去年同期增加了29%，占500臺的24%。</p> <p>擁有最多前500大超級電腦的國家為美國，占30%，居次的是中國的26.8%，日本占了14.8%。</p> <p>令人好奇的是，<a href="https://www.ithome.com.tw/news/115060" target="_blank">在2017年曾囊括排行榜前兩名</a>，且<a href="https://www.ithome.com.tw/news/118247" target="_blank">進榜量甚至超越美國的中國</a>，近來顯得異常安靜，此次只有兩臺入榜前10，分別是排名第7的神威太湖之光（Sunway TaihuLight），以及排名第十的Tianhe-2A。</p> <p>專門報導超級電腦消息的<a href="https://www.nextplatform.com/2021/10/26/china-has-already-reached-exascale-on-two-separate-systems/" target="_blank">《The Next Platform》在2021年時指出</a>，就在美國與中國之間的關係愈來愈緊張之後，中國開始不再大肆宣揚自家的系統飛躍進度，然而，中國當年就有兩臺基於不同架構的超級電腦達到Exascale等級，包括Sunway Oceanlite及Tianhe-3，居全球之先，卻未對外揭露。</p> <p><a href="https://www.theregister.com/2023/05/22/us_china_top500_may_2023/" target="_blank">《The Register》</a>則分析，500大超級電腦這幾年愈來愈少看到由中國所提交的系統，原因很可能是中國不想進一步激怒美國，避免引來更多的制裁行動，而選擇隱藏實力。</p> </div></div></div>
2023/5/23 12:03作者陳曉莉https://www.ithome.com.tw/news/157000
蘋果找生成性AI人才，改善裝置體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>正當所有IT龍頭業者如微軟、Google及Meta相繼推出生成性AI服務，蘋果也加緊尋找此類人才，以生成性AI改善iPhone或Apple TV等裝置的使用者互動。</p> <p><a href="https://techcrunch.com/2023/05/19/apple-generative-ai-jobs/" target="_blank">Techcrunch</a>首先發現蘋果近日張貼的徵才啟事。<a href="https://jobs.apple.com/en-us/details/200475178/visual-generative-modeling-research-engineer" target="_blank">這則徵才啟事中</a>，蘋果軟體事業群的智慧系統體驗（Intelligence System Experience，ISE）部門要找一位視覺生成性模型研究工程師，將駐在加州聖地牙哥辦公室。這個單位的工作內容橫跨系統體驗和多模機器學習，像是以機器學習（machine learning，ML）改良鍵盤、Pencil & Paper、捷徑、設定等「系統體驗」，目前這個部門工作目標包括開發對人臉、文字、手寫筆跡及場景的電腦視覺、撰寫流程與「知識汲取」的多語言自然語言處理（NLP）、提供預判式建議的行為模型、以及確保隱私的機器學習等專案。</p> <p>這ISE單位要找一位具有訓練和部署大型ML功能/流程經驗的工程師。根據上周貼出的徵人啟事，這個職位內容主要是演算法設計及實作、將研究落實、並和產品部門合作，工作目標包括訓練出執行於分散式後端上的視覺生成式模型、在裝置上部署transformer等神經架構，該模型還要能學習用戶個人化的隱私偏好，並具備品質、公平及完整性。他訓練出的視覺生成模型將用於推動視覺方面的應用，例如相片生成、圖像與影片編輯、3D形狀及動作重建、虛擬分身（avatar）生成等。</p> <p>視應徵者的經驗、能力和資格及居住地，蘋果給這職位底薪為20.6萬到34萬美元年薪，另有其他加給及股票選擇權。</p> <p>這徵才啟事顯示蘋果希望能迎頭趕上Google及微軟、Meta等。<a href="https://www.ithome.com.tw/news/156631" target="_blank">目前僅有一些報導</a>指稱蘋果希望強化大型語言模型（LLM）以改良Apple TV上的Siri。至於官方說法，<a href="https://seekingalpha.com/article/4600254-apple-aapl-q2-2023-earnings-call-transcript）" target="_blank">蘋果執行長庫克（Cook）僅在本月初的分析師會議上提及</a>，生成式AI很有趣，但蘋果將採取審慎而周詳的策略切入。</p> </div></div></div>
2023/5/23 09:39作者林妍溱https://www.ithome.com.tw/news/156997
微軟6月將強迫Windows 10用戶升級到22H2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://learn.microsoft.com/en-us/windows/release-health/windows-message-center" target="_blank">微軟本周宣布</a>，由於舊版Windows 10技術支援到期，下月起，將強制家用、個人及中小企業版Windows 10升級到22H2。</p> <p>根據微軟支援網頁，2023年6月13日，Home、Pro、Pro Education及Pro for Workstation版Windows 10 21H2將抵達支援服務生命周期終點。今年6月13日釋出的安全更新，也會是21H2的最後一次安全更新。在此之後，這些Windows 10裝置就不會再接獲每月安全更新，或預覽下次安全更新內容。而為了確保用戶裝置安全性，微軟說，Windows Update將自動針對消費版及非列管的Windows企業版PC發送安全更新。用戶可以決定何時重啟Windows PC以完成安裝。不過微軟同時也說，這個功能更新再幾個月內也會來到技術支援終點。</p> <p>這個功能更新正是22H2。22H2並非主要更新，只需幾分鐘加上一次重開機就能完成更新。</p> <p>有趣的是，<a href="https://www.ithome.com.tw/news/156606" target="_blank">微軟上個月已提早宣布</a>，除了長期服務通道（Long-Term Servicing Channel，LTSC）上的某些版本外，不論是哪個版本的Windows 10，22H2都會是最後一版，且在2025年10月14日來到生命周期終點。也就是說，即使微軟強制將用戶PC升級到22H2，用戶也無法安寧太久，2年多後，這些Windows PC會再次遇到技術支援終止的問題。為此，微軟再次呼籲消費者或企業用戶升級到Windows 11。</p> <p class="rtecenter"><a href="https://learn.microsoft.com/en-us/lifecycle/products/windows-10-home-and-pro" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0523-windows%2010%20support-600.jpg" style="width: 450px;" /></a></p> <p>由於Windows 11有安裝的硬體規格門檻，太舊的裝置將無法安裝。這意謂著用戶可能被迫汰換現有電腦，才能持續接獲安全更新。</p> </div></div></div>
2023/5/23 09:06作者林妍溱https://www.ithome.com.tw/news/156996
【資安日報】5月22日，YouBike證實遭到網路攻擊，2.1萬用戶資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週末臺灣再度傳出與車輛共享服務有關的資安事故，共享單車服務業者YouBike於週六（19日）證實，因遭到攻擊而導致用戶資料外洩，呼籲使用者要防範相關的詐騙攻擊，以及悠遊卡、信用卡可能會遭到盜刷的情形。值得留意的是，21日該公司關閉會員登入功能，後續情形有待進一步觀察。</p> <p>各國政府對於可能會竊取用戶資料、並將其提供給敵對國家政府的應用程式下達禁令，然而，有些使用者無視這些管制，仍設法想要取得這類應用程式，使得這些亟欲使用的人可能成為駭客下手的對象！最近有研究人員揭露假冒影片剪輯軟體CapCut的惡意軟體攻擊行動，並認為攻擊者針對此應用程式的原因，是有許多國家封殺了這款由字節跳動（ByteDance）出品的應用程式，想要取得此軟體的使用者很可能會透過該公司網站以外的管道下載。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://news.ltn.com.tw/news/Taichung/breakingnews/4307663"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">共享單車服務YouBike遭境外攻擊，2.1萬筆用戶資料恐外洩</span></strong></a></p> <p>共享單車服務業者YouBike於<a href="https://www.youbike.com.tw/region/main/news/service/6466fa1bc14d3a099e376943/">5月19日證實</a>，該公司網站於17日遭到網路攻擊，有人透過境外IP位址嘗試取得YouBike的會員帳號、密碼，該公司已向相關政府機關通報，並指出騎乘記錄與使用者帳號所登記的金融卡資料可能曝險，要用戶留意是否帳號出現異常的卡片、交易記錄。</p> <p>臺北市政府交通局<a href="https://www.dot.gov.taipei/News_Content.aspx?n=D739A9F6B5C0AB95&sms=72544237BBE4C5F6&s=2CA9B84D5AEDB95F">也證實確有此事</a>，並指出全國約有2.1萬用戶的資料可能遭到竊取。</p> <p>YouBike<a href="https://www.youbike.com.tw/region/main/news/service/646959a862da755d7f62abb3/">於21日再度發布公告</a>，表示因網路攻擊，他們暫時關閉網站與YouBike行動應用程式的會員登入功能，但使用者仍可透過已登記的卡片租借單車，而已經登入系統的App使用者，也可以藉由掃描條碼來租車。</p> <p><a href="https://blog.cyble.com/2023/05/19/capcut-users-under-fire/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">抖音影片剪輯軟體CapCut遭冒用，駭客假借提供工具的名義散布竊密軟體</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-11-Process-Flow-of-BATLoader-Execution.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-11-Process-Flow-of-BATLoader-Execution.png" style="width: 300px; height: 130px; float: right;" /></a>資安業者Cyble揭露假借提供影音編輯軟體CapCut的名義，散布惡意軟體攻擊行動。</p> <p>在其中一起攻擊行動裡，駭客意圖散布竊資軟體Offx Stealer，一旦使用者依照指示下載、執行駭客網站上的影音編輯軟體安裝程式，他們的電腦就會顯示錯誤訊息，聲稱應用程式啟動失敗，但實際上Offx Stealer已在背景執行，從電腦裡的瀏覽器、加密即時通訊軟體、加密貨幣錢包、遠端桌面軟體盜取各種帳密資料、Cookie，再竊取受害電腦桌面上的特定類型檔案。</p> <p>而在另一種散布BATLoader的攻擊行動裡，使用者一旦依照指示下載及執行駭客提供的BAT批次檔，電腦就有可能被植入竊資軟體RedLine。</p> <p><a href="https://www.ithome.com.tw/news/156975"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">PyPI暫停新專案及使用者註冊，原因是難以招架駭客大肆濫用的情況</span></strong></a></p> <p>Python套件庫<a href="https://status.python.org/incidents/qy2t9mjjcc7g">PyPI的維護團隊於5月21日發出公告</a>，表示他們暫停新的使用者與專案申請，原因是該團隊在過去一個星期當中，收到大量惡意使用者與惡意專案的申請，更糟的是，這段期間他們有數名管理人員休假，導致難以因應如此規模的工作量。</p> <p>對此，該維護團隊於週末進行重新編組人力編制，目前已於21日恢復相關申請業務。</p> <p><a href="https://www.reversinglabs.com/blog/rats-found-hiding-in-the-npm-attic"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意NPM套件被用於散布竊資軟體TurkoRAT</span></strong></a></p> <p>資安業者ReversingLabs發現有人在NPM套件庫上架了3個惡意套件，分別是：nodejs-encrypt-agent、nodejs-cookie-proxy-agent、axios-proxy，在2個月裡，這些套件的下載人數超過1,200個。</p> <p>研究人員指出，這些套件被用於散布名為TurkoRAT的竊資軟體，攻擊者利用木馬程式竊取受害電腦的機密資料，包括使用者登入的帳密資料，以及加密貨幣錢包等，此外，該竊資軟體亦會愚弄研究人員的沙箱環境。</p> <p><a href="https://twitter.com/MsftSecIntel/status/1659347803989057541"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織FIN7利用Clop勒索軟體發動攻擊</span></strong></a></p> <p>微軟威脅情報中心發現，沉寂已久的金融駭客組織FIN7（亦稱Sangria Tempest）再度出現攻擊行動，研究人員在今年4月，看到這些駭客透過PowerShell指令碼Powertrash，載入後開發攻擊工具Lizar，目的是潛伏在受害組織的網路環境當中。接著，駭客透過OpenSSH、Impacket等開源軟體進行橫向移動，進而部署勒索軟體Clop。</p> <p>這並非該組織首度發動勒索軟體攻擊──2020年至2021年，這些駭客曾在攻擊行動裡利用勒索軟體Maze、Ryuk、BlackCat（Alphv）。</p> <p><a href="https://www.bleepingcomputer.com/news/security/luxottica-confirms-2021-data-breach-after-info-of-70m-leaks-online/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">雷朋眼鏡母公司Luxottica證實2021年資料外洩，7千萬筆資料被公布</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Luxottica-52.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Luxottica-52.png" style="width: 300px; float: right;" /></a>研究人員Andrea Draghetti發現，擁有雷朋（Ray-Ban）、歐克利（Oakley）、香奈兒（Chanel）等知名品牌的眼鏡供應商Luxottica，逾7千萬筆客戶的姓名、生日等資料，自4月30日至5月12日期間，有逾7千萬位客戶的資料被人公開於駭客網站，並免費供人下載，這批資料包含3億筆記錄、7,440萬個電子郵件信箱，最初流出時間可能是2021年3月。</p> <p>對此，Luxottica表示這些資料外流與第三方供應商遭駭有關，內容包含了客戶姓名、地址、電話、電子郵件信箱、出生日期，但不含財務資料、社會安全碼（SSN）、帳號與密碼等。該公司亦透露，他們是在2022年11月得知資料外洩的情況。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/hardware/asus-routers-knocked-offline-worldwide-by-bad-security-update/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">華碩路由器疑收到有問題的安全更新資訊而造成故障</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/cisa-warns-of-samsung-aslr-bypass-flaw-exploited-in-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國警告三星ASLR繞過漏洞已出現攻擊行動</span></span></strong></a></p> <p><a href="https://www.microsoft.com/en-us/security/business/security-insider/reports/shifting-tactics-fuel-surge-in-business-email-compromise/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">商業郵件詐騙也出現攻擊服務化的情況！研究人員揭露BEC攻擊工具服務BulletProftLink</span></span></strong></a></p> <p><a href="https://www.secureworks.com/resources/rp-irs-learning-from-incident-response-team-2022-year-in-review"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">商業郵件詐騙攻擊數量2022年較前年翻倍成長</span></span></strong></a></p> <p><a href="https://security.googleblog.com/2023/05/new-android-google-device-VRP.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">針對旗下產品的漏洞懸賞專案，Google提出新的漏洞風險評估機制</span></span></strong></a></p> <p><a href="https://blog.qualys.com/vulnerabilities-threat-research/2023/05/17/new-strain-of-sotdas-malware-discovered"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體Sotdas監控處理器的使用率來避免被發現行蹤</span></span></strong></a></p> <p><a href="https://www.recordedfuture.com/oilalpha-likely-pro-houthi-group-targeting-arabian-peninsula"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">支持反政府武裝組織胡塞的駭客盯上協助葉門的人士，監控其手機</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156961">【5月19日】臺灣4月上旬出現惡意郵件、惡意軟體攻擊翻倍爆增的情況</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156942">【5月18日】要求受害組織作公益的勒索軟體再度出現，這次是鎖定Zimbra郵件系統而來</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156930">【5月17日】駭客利用Go語言開發的Cobalt Strike發動攻擊的情況升溫</a></strong></p> </div></div></div>
2023/5/22 15:38作者周峻佑https://www.ithome.com.tw/news/156982
經濟學家給未來人的區塊鏈發展史
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-qu_dong_wei_lai_jing_ji_de_fa_ming_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">木馬文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>長島冰茶公司顧名思義，做的是飲料生意。但他們賣出去的量不盡人意就是了：二○一七年的第三季，他們虧損了將近四百萬美元。這之後公司做了一個相當豪氣但也有點謎樣的決定，他們此後要更名為「長區塊鏈公司」。這表示他們不賣飲料了嗎？呃，沒有。他們還是會繼續賣喝的。那是他們要用區塊鏈技術來賣飲料嗎？嗯，也許。他們有可能做點什麼跟區塊鏈有關的事情。大概啦。細節交代不清，但那並沒有讓興奮的投資者卻步。公司的股價一口氣翻了快三倍。</p> <p>在一系列創造現代經濟的事物當中，你可以很合理地質疑區塊鏈資歷有長到可以用過去式介紹嗎？但創投迄今已經投入數十億美元到比長島冰茶公司的企劃聽來可行許多的新創公司中。此外還有數十億美元經由屬於法規灰色地的「首次代幣發行」募得。熱中此道的人說區塊鏈會跟網際網路一樣創造新的時代。確實，區塊鏈常被比作一九九○年代的全球資訊網（World Wide Web）：網路會愈來愈重要確實是當時的共識，但也沒幾個人真正了解網路，更沒幾個人預見到網路的潛能與局限。</p> <p>所以就讓我們來動動腦，試著搞懂區塊鏈。首先我們可以試著回答一個看似簡單的問題：同一筆錢我們為什麼不能花了又花？</p> <p>當錢指的是錢幣的時候，這個問題很好回答，我不可能把一枚錢幣交給兩個人。但我們早就意識到把沉甸甸的硬幣帶來帶去不是發展經濟的好辦法。比較輕鬆的辦法應該是由某種中介方去記錄誰擁有多少錢或什麼東西。你給我商品，我就指示記錄方調整相應的數字給你。你怎麼知道我沒把同一筆錢承諾給別人呢？那是因為你信任銀行、信任萬事達卡，信任PayPal會保證這種事發生不了，因為他們的系統設定不容許這種情形，又或者是他們願意相信我不是會腳踏兩條船的那種人。</p> <p>這一套看起來運作得很順暢。但它還是有它的問題。這些中介者不是免費的，他們是要賺錢的服務業。網路效應會賦予中介者市場的控制力。他們對我們的了解多過我們對彼此的了解，這些個資又是另一種力量來源。萬一身為中介者的他們砸鍋，整個經濟體系就會全盤崩塌。</p> <p>但如果我們不需要這些中介者呢？如果作為經濟潤滑油的金融記錄可以透過某種手段由整體社會共同擁有、共同維護呢？</p> <p>二○○八年，有個化名中本聰的傢伙提出了一種「新錢」：比特幣。</p> <p>這種新錢的交易不由可信賴的中介方認證，而是由一個針對加密密碼進行解題的電腦網路來認證。如果有人可以將這個網路中大部分的電腦納入其麾下，那他就可以竄改記錄來進行一幣兩花的詐欺，但只要夠多的人分攤這個電腦網路的算力並逐題進行驗算，這種事情就不會發生。而且來自比特幣的隨機獎勵會給人動機貢獻計算力。</p> <p>這一招非常新穎。而且眾人很快就發現比特幣底層的科技或許有更廣大的應用潛力。這提供了一種嶄新的方式讓陌生人可以彼此合作，但不需要以有共同信任的中介方或中心化權威為前提。「一切從此不同」跟「改變世界」等說法開始在我們耳邊傳開。</p> <p>這種底層的科技，就是所謂的區塊鏈，因為各個區塊的交易會定期由網路進行確認後加入公眾的紀錄鏈中。區塊鏈的別名是「分散式帳本」，因為它會把「帳本」「分散」出去：每個參與者都保有他們的一份帳本。經濟學者克里斯琛．卡塔里尼（Christian Catalini）與約書亞．岡斯（Joshua Gans）形容區塊鏈是一種可以降低確認交易成本、降低新市場創立門檻的泛用技術。原則上，任何一種我們如今為了能進行互動而將個資交由某種主體來管理的處境，都有區塊鏈可以發揮作用的空間。</p> <p>仔細想想，符合這種描述的處境還真不少。臉書、優步與亞馬遜不都是在協助我們互動的一種資料庫嗎？區塊鏈能否有朝一日建構出新的網路模型供我們掌握自己的資料，或我們可以跳過中介方直接出售我們的注意力呢？有些人相當樂觀。還有些人在研究如何利用區塊鏈去追蹤供應鏈中的商品或數位世界中的智慧產權，讓合約管理更有效率，或讓投票機制更滴水不漏。你想得到的，都有某個角落的某個人想放上區塊鏈。</p> <p>但明人不說暗話：我們大多數人都不知道上面這一串說的是什麼碗糕吧。就算某些人懂，我們也很難想像區塊鏈將來會在現實中扮演什麼樣的角色。果不其然，強大的話題性與難以掌握的科技加在一起，讓某些人面對區塊鏈失去原本應有的思辨能力。這群人爭先恐後地跑去成為一家虧損飲料公司的股東，只因為該公司放了區塊鏈一詞在它的名字裡面。也是同一種人砸了六點六億美元到一種名叫Pincoin的加密貨幣上，但那玩意怎麼看都只存在於一個閃閃發光且充斥關鍵字的網站上，<a href="https://www.ithome.com.tw/news/122468" target="_blank"><span style="color:#3399ff;">Pincoin幌子</span></a>後面的詐騙分子恐怕早已捲款跑路。</p> <p>究竟我們對區塊鏈的瘋狂要停在什麼程度，才算健康呢？經濟學者泰勒．考文（Tyler Cowen）看法很保守：他認為「比起一頭熱，抱持懷疑才是比較務實的態度」，至少現階段是如此。他這麼認為的其中一個理由是區塊鏈有速度偏慢的問題，而且還是隻吃電怪獸。以比特幣為例，它每秒只能慢吞吞地完成三到四筆交易，Visa卡平均每秒可以進行一千六百筆。有估計顯示為了核實這些交易，電腦需要耗費不下於愛爾蘭全國用電量，以針對比特幣的加密內容進行解題。</p> <p><span style="font-size:28px;"><strong>搞丟網銀密碼可以申請重發，但遺失比特幣錢包密碼？</strong></span></p> <p>這樣的數據遭到某些人的質疑，但想放大區塊鏈規模的挑戰似乎無庸置疑。同樣真切的另一個問題是，如何把資料跟現實世界中的人或物進行一對一的對應。比特幣的「非實名制」特性，亦即你的比特幣錢包跟你是誰毫無關聯，原本應該是一大賣點，尤其如果你要買一些羞於啟齒的東西的話。但如果我們今天是想要用區塊鏈去儲存個人病歷，就得想辦法讓資料不會連結到錯誤的病人。</p> <p>在把對中介的需求移除掉的過程中，區塊鏈似乎也偶爾讓我們想起付費使用這些中介服務的初衷。中介端可以修正錯誤：搞丟你的網路銀行密碼，你的銀行會給你重發一個；搞丟你的比特幣錢包密碼，你跟錢錢就此生無緣了。中介端可以解決爭端；但區塊鏈的「智慧合約」一旦產生糾紛該如何處理，至今眾說紛紜。</p> <p>而且不信任中介端，不代表我們可以什麼都不信任，我們還是得嘗試信任一些別的東西，我們必須相信軟體沒有漏洞，必須相信獎勵機制不會在意想不到的狀況下崩潰。但稽查程式碼絕非易事：以太坊區塊鏈的先驅投資基金去中心化自治組織（DAO）募得一億五千萬美金，卻慘遭有心人駭入竊走五千萬美元。經濟學者艾瑞克．布迪許（Eric Budish）曾主張比特幣的價值一旦突破某個臨界點，目前還有理由收斂的攻擊者就會產生出手的動機。</p> <p>不過話說回來，區塊鏈誕生也不過就十年。我們難道不該給它一些時間犯錯跟重啟，讓它摸索出自己的長才嗎？全球資訊網還在區塊鏈如今的年紀時，投資人曾經把錢丟到像Webvan、Flooz與Pets.com等失敗的標的上，後來才有像亞馬遜這樣的成功案例。我們不該驚訝於長區塊鏈公司的股價會一口氣崩跌百分之九十六，但我們也不應該因此就一竿子打翻一船人，覺得區塊鏈永遠不會有出人頭地的一天。（摘錄整理自《驅動未來經濟的發明》，木馬文化提供）</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-1P-%E9%A9%85%E5%8B%95%E6%9C%AA%E4%BE%86%E7%B6%93%E6%BF%9F%E7%9A%84%E7%99%BC%E6%98%8E-500.png" style="width: 450px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_木馬文化</span></span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> <span style="color:#3399ff;">驅動未來經濟的發明：從工業0.0到5.0，翻轉觀念的51種創新</span></strong></span></p> <p>提姆．哈福特（Tim Harford）／著；鄭煥昇／譯</p> <p>木馬文化出版</p> <p>定價：450元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><a href="https://timharford.com/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-1P-%E9%A9%85%E5%8B%95%E6%9C%AA%E4%BE%86%E7%B6%93%E6%BF%9F%E7%9A%84%E7%99%BC%E6%98%8E-150.png" /></a></p> <p><strong>提姆．哈福特（Tim Harford）</strong></p> <p>經濟學家，《金融時報》最受歡迎專欄「臥底經濟學家」作者，同時也是記者，牛津大學納菲爾德學院（Nuffield College）訪問學者，及英國皇家統計學會榮譽院士。擅長以幽默風趣的說故事手法，為大眾揭示日常生活經驗背後的經濟學觀念。著有《誰賺走了你的咖啡錢》、《親愛的臥底經濟學家》、《迎變世代》、《亂，但是更好》、《形塑現代經濟的發明》、《驅動未來經濟的發明》等書。</p> <p>提姆．哈福特曾獲2015年皇家統計學會獎（Royal Statistical Society prize），2009、2016年巴斯夏經濟新聞獎（Bastiat Prize for Economic Journalism），2021年溫科特基金會（Wincott Foundation）的年度記者獎。<a href="https://timharford.com/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Tim Harford</span></span></a></p> </div></div></div>
2023/5/22 16:15未署名https://www.ithome.com.tw/article/156983