iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 17篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 07:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Google Chrome修補今年第3個零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://chromereleases.googleblog.com/2023/06/stable-channel-update-for-desktop.html" target="_blank">Google本周稍早釋出Chrome桌機版更新</a>以修補一個，也是今年第3個已遭濫用的重大漏洞。</p> <p>最新釋出的更新是Linux、Mac版Chrome 114.0.5735.106以及Windows版114.0.5735.110，會在幾天到幾周內部署到用戶端。</p> <p>這次更新包含2個安全漏洞，包括一個重大風險漏洞CVE-2023-3079的修補程式。Google說已有針對本漏洞的攻擊程式在網上流傳。</p> <p>CVE-2023-3079是由Google威脅分析小組研究人員Clément Lecigne通報，它是存在V8 JavaScript引擎的型態混淆漏洞。根據<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-3079" target="_blank">美國國家標準暨技術研究院（NIST）漏洞資料庫</a>，本漏洞可能讓遠端攻擊者藉由引導用戶連向惡意HTML網頁引發記憶體堆積毁損。漏洞風險值不詳，Google僅說明為高風險漏洞。</p> <p>記憶體堆積毁損小則造成應用程式無法執行，大則造成資訊外洩、阻斷服務（DoS）攻擊，或是執行任意程式碼。</p> <p>CVE-2023-3079也是Google Chrome今年修補的第3個零時差漏洞。<a href="https://www.ithome.com.tw/news/156426" target="_blank">前二個</a>皆出現於<a href="https://www.ithome.com.tw/news/156486" target="_blank">今年四月</a>，其中的<a href="https://www.ithome.com.tw/news/156486" target="_blank">CVE-2023-2136</a>同為Clément Lecigne通報。</p> <p>最新漏洞影響所有Chromium-based瀏覽器，包括Chrome、Edge、Brave、Opera和Vivaldi等，用戶應及早更新到最新瀏覽器。微軟也在昨日釋出<a href="https://learn.microsoft.com/en-us/deployedge/microsoft-edge-relnotes-security" target="_blank">Edge更新114.0.1823.37</a>。</p> </div></div></div>
2023/6/7 09:58作者林妍溱https://www.ithome.com.tw/news/157215
Google雲端與Workspace開始支援通行密鑰無密碼登入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://workspace.google.com/blog/product-announcements/major-security-innovation-passkeys">Google宣布擴大通行密鑰（Passkey）支援</a>，現在用戶可以使用通行密鑰，以無密碼的方式登入Google Workspace和Google雲端帳戶。Google提到，他們是第一個支援通行密鑰登入的公有雲供應商。根據Google早期採用的資料顯示，通行密鑰的登入速度是密碼的兩倍快，錯誤率更是降低達4倍。</p> <p>除了Apple和微軟，Google也是推動通行密鑰的先鋒，在去年就承諾會擴大無密碼FIDO（Fast IDentity Online）的支援，加速無密碼時代的來臨。在今年5月的時候，Google先開放通行密鑰作為Google帳戶登入的附加選項，現在則進一步對企業開放，用戶不再需要使用密碼，可使用通行密鑰更安全地登入Workspace和雲端。</p> <p>通行密鑰是一種新的無密碼登入方法，讓用戶在手機、筆電和桌電上，使用指紋、臉部辨識和螢幕解鎖，方便地登入網站和應用程式。通行密鑰為一個產業標準，大多數常用的作業系統和瀏覽器皆已支援。</p> <p>接下來數周，Workspace管理員便會開始收到可啟用通行密鑰的通知，由管理員啟用，其組織成員便可在登入時預設跳過密碼登入的步驟，直接使用通行密鑰無密碼登入，未啟用的組織，使用者則依然可以創建通行密鑰作為雙因素驗證使用。</p> </div></div></div>
2023/6/7 08:21作者李建興https://www.ithome.com.tw/news/157209
【資安日報】6月6日，MFT檔案共享系統MOVEit Transfer出現零時差漏洞攻擊，微軟指出是駭客組織Clop所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對Accellion FTA、GoAnywhere等MFT檔案共享系統的零時差漏洞攻擊，勒索軟體駭客組織Clop皆有參與，最近另一套MFT系統MOVEit Transfer也傳出面臨網路攻擊，有不少人懷疑也是Clop所為。如今有研究人員印證這樣的推測，並指出漏洞攻擊、竊取資料、勒索手法相當雷同。</p> <p>殭屍網路病毒的攻擊也相當值得留意。最近研究人員揭露殭屍網路Horabot的行動，目標鎖定電子郵件信箱帳號，不僅竊取信件內容，還會利用這些帳號發送釣魚郵件。</p> <p>人力資源管理平臺Prosperix因雲端儲存桶配置不當，導致求職者的資料曝光，內容不只包含了駕照、履歷表、工作申請表、畢業證書、成績單等相關資料，甚至還有疫苗接種記錄。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/microsoft-links-clop-ransomware-gang-to-moveit-data-theft-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">發動MOVEit零時差漏洞攻擊的幕後黑手疑為駭客組織Clop</span></strong></a></p> <p>IT系統業者Progress於5月底發布資安通告，MFT檔案共享系統MOVEit Transfer存在零時差漏洞CVE-2023-34362，<a href="https://www.ithome.com.tw/news/157174#moveit">隨後有多家資安業者發現攻擊行動</a>，但攻擊者是誰？</p> <p><a href="https://twitter.com/MsftSecIntel/status/1665537730946670595">微軟威脅情報團隊表示</a>，根據他們的調查，很有可能就是勒索軟體駭客組織Clop（亦稱Lace Tempest）所為，理由是該組織也曾利用類似的漏洞來竊取資料，並向受害組織勒索。</p> <p>而這並非Clop第一次鎖定MFT系統的零時差漏洞發動攻擊，事實上，該組織分別於2020年、今年1月，利用Accellion FTA、GoAnywhere兩套MFT系統的零時差漏洞發動攻擊。</p> <p><a href="https://blog.talosintelligence.com/new-horabot-targets-americas/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Horabot挾持Gmail、Outlook電子郵件信箱</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/data-src-image-44dcc511-34b5-46ba-96b2-586723fbcdfc.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/data-src-image-44dcc511-34b5-46ba-96b2-586723fbcdfc.png" style="width: 300px; float: right;" /></a>思科旗下的Talos威脅情報團隊揭露殭屍網路病毒Horabot的攻擊行動，駭客至少從2020年11月開始，鎖定拉丁美洲使用西班牙語的用戶下手，散布銀行木馬，並以垃圾郵件進行感染。研究人員指出，大部分的受害者位於墨西哥，但烏拉圭、巴西、委內瑞拉、阿根廷、瓜地馬拉、巴拿馬也有人受害。</p> <p>此殭屍網路病毒的主要功能，就是讓駭客能控制受害電腦的Gmail、Outlook、Hotmail、Yahoo!電子郵件信箱帳號，並竊取信箱裡的資料，並濫用這些帳號發送釣魚郵件。</p> <p>而對於散布此殭屍網路的途徑，駭客假借發送付款收據的名義寄送釣魚郵件，一旦收信依照指示，就會下載RAR壓縮檔，內含CMD批次檔，若是執行就會下載PowerShell指令碼，進而從C2伺服器取得Horabot。</p> <p><a href="https://www.group-ib.com/blog/dark-pink-episode-2/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織Dark Pink鎖定亞太與歐洲的組織發動攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/modified-killchain-dark-pink-min.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/modified-killchain-dark-pink-min.png" style="width: 300px; float: right;" /></a>資安業者Group-IB於今年1月揭露駭客組織Dark Pink的攻擊行動，當時發現該組織自2021年開始，針對8個亞太地區組織、1個歐洲組織下手（其中一起未得逞）。</p> <p>但最近研究人員指出，受害範圍可能還會更大，因為，他們後來又確認5起該組織的攻擊行動，其中，有2起是2023年的攻擊行動，最近一次發生在4月，若以檔案蹤跡來看，他們5月曾出沒，這代表駭客的攻擊行動仍然持續進行。其中，這些攻擊大部分針對政府機關、軍事單位而來，但也有教育機構、非營利組織、宗教機構受害；而從發生國家來看，越南組織最多，目前發現4起。</p> <p>針對其攻擊的手法，駭客先是藉由網路釣魚攻擊散布ISO映像檔，進而在受害組織散布後門程式TelePowerBot、KamiKakaBot，並以DLL側載的方式啟動，於記憶體內執行，而不會在磁碟上留下蹤跡。</p> <p><a href="https://cybernews.com/security/prosperix-leaks-drivers-licenses-medical-records/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">人力資源管理平臺Prosperix的AWS S3儲存桶配置錯誤，曝露4.2萬個求職者檔案</span></strong></a></p> <p>資安新聞網站Cybernews的研究人員發現，美國人力資源管理系統Prosperix的AWS S3儲存桶配置錯誤，導致約有25萬個檔案曝露，任何人可透過網際網路存取。</p> <p>上述檔案當中，有4.2萬個檔案含有求職者的個資，包含他們的姓名、生日、資歷、居住地址、電話號碼、電子郵件信箱等，研究人員進一步指出，這些資料大部分是就職所用，文件類型包含了駕照、履歷表、工作申請表、畢業證書、成績單，值得留意的是部分含有疫苗接種、尿液檢測等醫療記錄資料。</p> <p>Prosperix接獲通報後，很快就修復其儲存桶的配置，但該公司不願進一步提出說明。</p> <p><a href="https://www.akamai.com/blog/security-research/new-magecart-hides-behind-legit-domains"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Magecart側錄攻擊出現新手法！駭客利用合法網站攻擊目標</span></strong></a></p> <p>CDN網路服務與資安業者Akamai揭露一起Magecart信用卡側錄攻擊行動，駭客針對美國、英國、巴西、西班牙、澳大利亞、愛沙尼亞、秘魯等國家的電商網站發動攻擊。</p> <p>但與過往的Magecart攻擊有所不同的是，駭客並非自行架設C2中繼站，而是將部分電商網站當作C2，用來代管惡意程式碼，並拿來對目標電商網站發動Magecart攻擊。其中亦有部分網站是不只被駭客當作C2，也受到Magecart攻擊。</p> <p>而對於這些網站被入侵的管道，研究人員表示仍不清楚，但很有可能是利用Magento、WooCommerce、WordPress、Shopify電子商務平臺的漏洞，或是網站上的第三方服務弱點來下手。</p> <p><a href="https://www.bleepingcomputer.com/news/security/online-sellers-targeted-by-new-information-stealing-malware-campaign/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客針對電商網站賣家下手，散布竊資軟體Vidar</span></strong></a></p> <p>資安新聞網站Bleeping Computer揭露鎖定網路賣家的惡意軟體攻擊，該新聞網站近期收到駭客的釣魚郵件，對方聲稱從收信人經營的購物網站購買價值逾550美元的商品，付款過程中出現錯誤，但他的銀行帳戶已經扣款，要求賣家儘速處理，並提供銀行對帳單的資料「佐證」確有其事。</p> <p>一旦收信人依照指示點選信裡的URL，就會從冒牌的Google雲端硬碟下載「對帳單」檔案，若是執行，電腦就有可能被植入竊資軟體Vidar。</p> <p><a href="https://isc.sans.edu/diary/Your%20Business%20Data%20and%20Machine%20Learning%20at%20Risk%3A%20Attacks%20Against%20Apache%20NiFi/29900"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資料流自動化處理系統Apache NiFi遭駭客鎖定，若被滲透恐被用於挖礦</span></strong></a></p> <p>美國系統網路安全研究院SANS Institute旗下的Internet Storm Center（ISC）提出警告，他們在5月19日發現，有人在網際網路大量掃描特定類型的主機，目的是尋找未妥善保護的資料流自動化處理系統Apache NiFi。企圖暗中部署挖礦程式Kinsing。</p> <p>研究人員發現駭客先是執行Shell指令碼，刪除系統事件記錄的檔案，並停用目標系統的防火牆、終止其他挖礦軟體，最終從遠端伺服器下載Kinsing並執行，並在伺服器上尋找SSH帳密進行橫向移動。值得留意的是，前述的指令碼只會出現在記憶體內，而不會在NiFi系統上留下蹤跡。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://securelist.com/find-the-triangulation-utility/109867/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對iOS裝置的間諜軟體攻擊Operation Triangulation，卡巴斯基提供檢測工具</span></strong></a></p> <p>資安業者卡巴斯基近期發現，該公司員工的iPhone手機遭到間諜軟體攻擊行動Operation Triangulation波及，並強調他們並非駭客的主要目標，且攻擊行動仍在持續。對此，該公司現在進一步提供檢測工具triangle_check，使用者可搭配執行Windows、macOS、Linux作業系統的電腦，藉由掃描備份檔案的方式，來確認iOS裝置是否遭到間諜軟體入侵。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://blogs.blackberry.com/en/2023/05/cmdstealer-targets-portugal-peru-and-mexico"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">巴西駭客發動寄生攻擊，並搭配命令列指令碼竊取銀行帳戶</span></span></strong></a></p> <p><a href="https://blogs.vmware.com/security/2023/06/carbon-blacks-truebot-detection.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體TureBot透過稽核軟體Netwrix重大漏洞感染受害電腦</span></span></strong></a></p> <p><a href="https://keepass.info/news/n230603_2.54.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">密碼管理器KeePass能從記憶體內竊取主控密碼的漏洞得到修補</span></span></strong></a></p> <p><a href="https://securityaffairs.com/147073/cyber-crime/globalcaja-confirms-play-ransomware-attack.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">西班牙銀行Globalcaja證實遭到勒索軟體Play攻擊</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/157183"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為防範NTLM Relay攻擊，微軟首度在開發版本Windows要求使用SMB簽章</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157192">【6月5日】中國駭客Camaro Dragon利用後門程式TinyNote攻擊外交單位</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157174">【6月2日】 MFT檔案共享系統MOVEit Transfer出現零時差漏洞，傳出駭客藉此竊取組織機密資料</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157153">【6月1日】技嘉主機板更新機制存在弱點，恐被用於供應鏈攻擊，研究人員呼籲IT人員封鎖相關更新功能</a></strong></p> </div></div></div>
2023/6/6 18:15作者周峻佑https://www.ithome.com.tw/news/157208
美國證券交易委員會控告幣安與趙長鵬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sec.gov/news/press-release/2023-101" target="_blank">美國證券交易委員會（SEC）周一（6/5）正式針對幣安與其創辦人趙長鵬提出13項指控</a>，包括經營未經註冊的證券交易所、券商與清算機構，誤導有關Binance.US上的交易控制與監督，以及提供未註冊的證券發行與銷售。</p> <p>幣安為全球最大的加密貨幣交易平臺，其全球主要交易網站為Binance.com，為了符合美國的法令規範，幣安在2019年宣布與BAM Trading Services合作，推出專供美國投資人使用的Binance.US網站。</p> <p>其實<a href="https://www.ithome.com.tw/news/151319" target="_blank">SEC去年便開始調查幣安</a>在2017年透過首次代幣發行（ICO）發行幣安幣（BNB）是否涉及違法，而美國商品期貨交易委員會（Commodity Futures Trading Commission，CFTC）<a href="https://www.ithome.com.tw/news/156167" target="_blank">今年3月已指控幣安及趙長鵬違反美國《商品交易法》（Commodity Exchange Act，CEA）與CFTC規定</a>。此次SEC提出的控告則涉及幣安、BAM Trading Services與趙長鵬。</p> <p>SEC指出，儘管趙長鵬與幣安曾公開表示Binance.US是專為美國投資人所創建的獨立交易平臺，但趙長鵬與幣安卻是Binance.US背後的主要操作者。此外，即使幣安及趙長鵬公開限制美國投資人於Binance.com上進行交易，但其實依舊允許美國投資人於該平臺上交易。</p> <p>另一方面，SEC還指控趙長鵬及幣安控制了這些平臺上的客戶資產，可隨意混合或轉移客戶資產，還人為操作Binance.US上的交易以製造大規模交易的假象。</p> <p>其它的指控還包括幣安與BAM Trading Services經營未註冊的證券交易所、券商與清算機構；提供未註冊的BNB、Binance USD與加密貨幣借貸產品，以及趙長鵬為這些未註冊服務或產品的主導者。</p> <p>SEC認為趙長鵬及幣安不僅知道這些規則，還故意規避這些規則，將投資人置於風險中以最大化自己的利潤，因而向法院提出了告訴。</p> </div></div></div>
2023/6/6 13:24作者陳曉莉https://www.ithome.com.tw/news/157203
微軟指出MOVEit Transfer零時差攻擊由Clop勒索集團駭客主使
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>MFT檔案共享系統MOVEit Transfer存在<a href="https://community.progress.com/s/article/MOVEit-Transfer-Critical-Vulnerability-31May2023">零時差漏洞CVE-2023-34362</a>，而多家資安公司皆已發出警告，提醒用戶已經有駭客利用MOVEit Transfer漏洞展開攻擊，而<a href="https://twitter.com/MsftSecIntel/status/1665537730946670595/photo/1">微軟經過調查</a>，認為MOVEit Transfer漏洞攻擊，與之前操作勒索軟體和運作Clop勒索網站的駭客Lace Tempest有關。</p> <p>MOVEit Transfer是美國軟體公司Progress子公司Ipswitch，所開發的MFT檔案共享系統，供企業安全地傳輸檔案。Progress在6月2日的時候發出資訊安全通知，警告用戶他們在MOVEit Transfer發現編號為CVE-2023-34362的SQL注入漏洞，可讓駭客執行特權提升，在未經授權的情況下存取環境。</p> <p>CVE-2023-34362漏洞允許未經身分驗證的攻擊者，存取MOVEit Transfer資料庫，而依據用戶所使用的MySQL、Microsoft SQL Server或Azure SQL資料庫引擎，攻擊者或能推斷出資料結構和內容等資訊，並執行更改或是刪除資料庫運算的SQL語句。</p> <p>目前駭客已經開始利用CVE-2023-34362漏洞發動攻擊，而微軟在推特發文表示，他們認為CVE-2023-34362的攻擊，與知名駭客Lace Tempest有關，因為過去Lace Tempest也曾使用類似的漏洞，竊取資料並且勒索受害者。</p> <p>所有MOVEit Transfer版本均受此漏洞影響，Progress給出了一些緩解建議，包括用戶可以停用MOVEit Transfer環境中的所有HTTP和HTTPs流量，藉由修改防火牆規則，拒絕連接埠80和443上MOVEit Transfer的HTTP和HTTPs流量，直到安裝完修補程式。Progress官方也提醒用戶應該要檢查並且刪除未經授權的檔案和使用者帳戶，同時檢視日誌記錄，尋找是否存在未經授權的存取。</p> </div></div></div>
2023/6/6 13:28作者李建興https://www.ithome.com.tw/news/157201
蘋果發表售價3,499美元的MR產品Apple Vision Pro，預計明年上半年上市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2023/06/introducing-apple-vision-pro/" target="_blank">蘋果周一（6/5）發表了</a>該公司首款混合實境（MR）頭戴式裝置Apple Vision Pro，它搭載了蘋果既有的M2晶片與全新開發的R1晶片，採用蘋果專為該裝置設計的visionOS作業系統，蘋果並不以VR、AR或MR裝置稱呼它，而將它定位為空間運算設備（Spatial Computer）。Apple Vision Pro的定價為3,499美元，預計於明年上半年率先於美國市場開賣，繼之再拓展至更多市場。</p> <p><a href="https://www.apple.com/apple-events/" target="_blank">根據蘋果的介紹</a>，Vision Pro可將數位內容無縫地融入實體世界，使用者身處的空間就是無邊的顯示器，得以在空間中呈現各種應用程式與數位內容，且透過眼睛、雙手與聲音就可控制。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0606-Apple%20Vision%20Pro-introduction-600.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0606-Apple%20Vision%20Pro-work-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_蘋果</span></span></p> <p>蘋果執行長Tim Cook表示，如同Mac將大家帶進個人運算時代，iPhone將人們帶進行動運算時代，Vision Pro將把大家帶進空間運算時代，它奠基於蘋果數十年的創新基礎，帶來革命性的新輸入系統與數以千計的創新。</p> <p>負責人機介面的蘋果副總裁Alan Dye解釋，這是蘋果首次設計全3D的互動介面，當使用者戴上Vision Pro時，可看到所處的空間及空間中的一切，同時裝置首頁與各種程式會出現在使用者的正前方，彷彿它們原本就存在於空間中，它們具備立體感，也有陰影，可自由地填滿使用者周圍的環境，不再有傳統螢幕的限制。</p> <p>此外，使用者可隨意地移動程式位置，任意縮放內容，甚至可讓內容超越真實的空間大小，利用美麗的風景填滿原本的空間，打開任何新的程式總能出現在以使用者為中心的位置。</p> <p>Dye說，蘋果會替各種裝置設計不同的輸入方式，Mac有滑鼠，iPod有Click Wheel，iPhone有多點觸控，而Vision Pro則只要利用眼睛、雙手及聲音就能控制，非常地直覺，呈現在空間中的程式會回應使用者眼睛的注視，捏合手指就能選擇，輕拂就能滾動，並以語音打字，利用Siri來打開/關閉程式，或是播放媒體內容。</p> <p>為了避免與人隔絕，Vision Pro有個稱為EyeSight的特殊設計，它的鏡片原本是全黑的，但有人靠近時便會逐漸透明，以與他人建立視線連結，此外，人也會在進入Vision Pro的虛擬空間時，出現於使用者的眼前。</p> <p>Vision Pro配備M2及R1雙晶片，新的R1負責處理12個相機、5個感應器與6個麥克風的資料，可在12毫秒內將新影像串流至顯示器，是眨眼的8倍快，可確保使用者眼前的即時內容沒有延遲。此外，Vision Pro以基於虹膜的Optic ID來辨識使用者身分並解鎖裝置，其Optic ID資訊僅存放於裝置上，並未存放於蘋果伺服器上，也無法被其它程式存取。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0606-Apple%20Vision%20Pro-M2%20R1%20chip-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p>除了<a href="https://www.ithome.com.tw/news/157162" target="_blank">價格遠高於市售的其它VR/MR產品</a>之外，蘋果所描述的Vision Pro非常美好，不過，它有一個特點與其它產品相當，就是電池續航力只有兩小時，大多數時間可能都要插電使用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0606-%20Apple%20Vision%20Pro-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> </div></div></div>
2023/6/6 12:39作者陳曉莉https://www.ithome.com.tw/news/157200
卡巴斯基釋出Triangulation間諜軟體偵測工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.kaspersky.com/about/press-releases/2023_operation-triangulation-kaspersky-releases-utility-for-malware-detection" target="_blank">安全廠商卡巴斯基公布一項偵測工具</a>，協助企業或個人用戶偵測本月稍早揭露的iPhone新間諜軟體。</p> <p><a href="https://www.ithome.com.tw/news/157164" target="_blank">本月初卡巴斯基揭露</a>公司員工遭到不知名組織透過iMessage傳送惡意檔案，旨在於手機植入之前未知的間諜軟體。卡巴斯基將這樁攻擊命名為Operation Triangulation。一旦間諜軟體被植入用戶iPhone，即會開始蒐集手機麥克風錄音、iMessage的相片、定位資訊及其他資料送到外部伺服器。</p> <p>基於蘋果的安全設計，iOS只能以備份型式加以分析。卡巴斯基一開始是以國際特赦組織開發的Mobile Verification Toolkit（MVT）偵測到該間諜軟體，但以MVT檢查iOS備份的過程相當耗時，且需要大量人工搜尋多種入侵指標。為了將這個過程自動化，卡巴斯基進一步釋出工具，名為triangle_check，讓用戶可在電腦如macOS、Windows與Linux下掃瞄iOS備份。它可自動搜尋惡意程式蹤跡，檢查iOS裝置是否遭到感染。</p> <p>在Windows和Linux上，<a href="https://securelist.com/find-the-triangulation-utility/109867/" target="_blank">triangle_check工具需要二進位程式下載</a>，而在macOS上則可以Python套件安裝。在安裝這些工具前，用戶必須先製作iOS裝置備份。<a href="https://securelist.com/find-the-triangulation-utility/109867/" target="_blank">卡巴斯基並提供了安裝使用指引</a>。</p> <p>等安裝好開始執行，一旦工具偵測到間諜軟體，會顯示DETECTED訊息，無法判定是否為間諜軟體則顯示SUSPICION。完全沒有偵測到入侵指標時則會顯示「No traces of compromise were identified」。</p> <p>這隻惡意程式相當狡猾，iPhone被感染時用戶也很難察覺，僅有幾個不太顯著的入侵指標，且還有諸多疑點未明。卡巴斯基鼓勵安全研究人員一起來研究這隻新的間諜軟體。該公司追查到最早感染時間為2019年，但到目前攻擊仍然在進行中，最新感染的iOS版本為15.7版。</p> </div></div></div>
2023/6/6 13:08作者林妍溱https://www.ithome.com.tw/news/157202
蘋果發表採用M2晶片的15吋MacBook Air，13吋版本降價
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2023/06/apple-introduces-the-15-inch-macbook-air/" target="_blank">蘋果在周一（6/5）舉行的WWDC全球開發者大會上發表了</a>首款15吋、採用M2晶片的MacBook Air，售價為1,299美元（42,900元新臺幣），同時間也調降M2版的13吋MacBook Air售價，從1,199美元降至1,099美元（35,900元新臺幣），基於M1晶片的13吋MacBook Air則維持999美元（30,900元新臺幣）。而上述產品皆有再折扣100美元的教育版價格。</p> <p>全新的15吋MacBook Air擁有15.3吋的Liquid Retina顯示器，搭載蘋果自行設計的M2處理器，採無風扇靜音設計，具備18小時的電池續航力，重約3.3磅（近1.5公斤），內建MagSafe充電埠、2個Thunderbolt連接埠，以及一個3.5mm的耳機插孔。</p> <p>根據蘋果的說法，M2版15吋MacBook Air的速度是Intel Core i7處理器PC筆電的2倍，電池續航力比PC筆電多了50%，亦比同級PC筆電輕薄，螢幕解析度是同級產品的2倍，亮度比同級產品高出25%。</p> <p>此外，M2版15吋MacBook Air盡其可能地環保，有多個印刷電路板使用百分之百的再生鍍金和錫焊料，所有磁鐵皆使用100%的再生稀土元素，MagSafe連接器採用100%的再生鈷，電池底座有90%的再生銅，超過99%的包裝材料是基於纖維。</p> <p>15吋MacBook Air有午夜色、星光色、太空灰及銀色可供選擇，其基本配備為8核心CPU、10核心GPU及8GB記憶體，內建256GB儲存裝置的版本售價為1,299美元（42,900元新臺幣），若為512GB儲存裝置則是1,499美元（48,900元新臺幣），亦可依需求選擇其它規格，預計於6月13日上架。臺灣蘋果官網目前已公開15吋MacBook Air的資訊，但尚未開放消費者購買。</p> </div></div></div>
2023/6/6 11:18作者陳曉莉https://www.ithome.com.tw/news/157197
iOS 17讓FaceTime支援Apple TV，為語音郵件加入即時字幕，iPhone充電待機畫面提供個人化設定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果於臺北時間周二（6/6）凌晨舉行WWDC 2023，除了宣布混合實境頭戴裝置Vision Pro之外，<a href="https://www.apple.com/newsroom/2023/06/ios-17-makes-iphone-more-personal-and-intuitive/" target="_blank">也公布最新版iOS 17新功能</a>，包含FaceTime支援Apple TV、Live Voicemail為語音產生字幕、新的待機（Standby）顯示、Message Check In安全功能等多項功能，也更強化隱私保護。</p> <p><a href="https://beta.apple.com/sp/betaprogram" target="_blank">iOS 17現在已經有開發人員測試版</a>，預計下個月會釋出公開測試版本，並於秋天推出正式版。</p> <p>作為下一個重大更新版iPhone作業系統，iOS包含多項以AI支援的新功能。蘋果軟體工程資深副總裁Craig Federighi表示，iOS 17加入每日所需的功能，讓iPhone更為個人化及直覺。主要功能更新包括Live Voicemail、待機顯示、FaceTime支援語音和影像留言、Message安全Check In功能、NameDrop交換通訊人資訊、自動校正與新的日誌功能等。</p> <p>Live Voicemail利用AI引擎Neural Engine為語音郵件加入即時字幕，並以大字體顯示於iPhone螢幕，所有語音轉錄過程都是在手機上執行，不會有隱私外洩問題。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Apple-WWDC23-iOS%2017-Live-Voicemail-600.png" style="width: 312px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_蘋果</span></span></p> <p>新版iOS上FaceTime支援語言和影像留言，即使對方無法接聽電話，也能稍後觀看友人的FaceTime留言（下圖以iPadOS 17作為相同功能示意），此外還支援Apple TV 4K播放，若配合Continuity Camera功能，用戶還可先以iPhone撥打視訊，再轉到Apple TV繼續通話。Center Stage功能則幫助用戶影像置中在螢幕正中央。另外，以手勢啟動即可在訊息中加入回應符號，如愛心、汽球或煙火等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/iOS%2017-iPad%20OS%2017-FaceTime%20Adds%20Audio%20and%20Video%20Messages-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p>iOS 17新增待機顯示（Standby Display）功能，能在iPhone充電遠離用戶時以全螢幕顯示資訊，並可個人化設定顯示時間、相片或widget，或是顯示Live Activities、Siri、來電或通知訊息。待機功能可輕觸螢幕叫出，在iPhone 14 Pro上可以Always-on功能長時間顯示，以MagSafe充電時，這項功能也會記住用戶偏好的讀取模式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Apple-WWDC23-iOS%2017-StandBy-when%20iPhone%20Charging-%E7%B5%84%E5%9C%96-600.png" style="width: 341px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p>iOS 17大幅改版Message功能，可讓用戶以通訊人或寵物相片建立即時大頭貼（Live Sticker），並可儲存在鍵盤上的小抽屜功能用於其他App。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0606-Apple-WWDC23-iOS%2017-Messages-Stickers-600.png" style="width: 535px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p>另一新功能是Check In，讓功能啟動後，當用戶抵達飯店，親友會接獲自動通知，若未抵達則設定的親友會透過全程加密訊息接獲用戶手機位置、電池電量及電信服務狀態等資訊。Message功能也強化了訊息搜尋、還可為語音郵件留下轉錄文字。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Apple-WWDC23-iOS%2017-Messages-Check-In-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p>新版iOS也讓iOS裝置用戶之間更容易交換相片。AirDrop新增名為NameDrop的功能，讓iPhone和iPhone或是iPhone與Apple Watch之間，能近距離將選定的信箱和電話號碼傳給對方。SharePlay則讓iPhone用戶之間共享音樂、影片或一起打手機遊戲。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0606-Apple-WWDC23-iOS%2017-NameDrop-3-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p>自動校正（Autocorrect）以新的transformer語言模型強化功能，可以更精準預測文字自動校正輸入，它還提供整句校正可修正文法上的錯誤。聽寫功能也因新的語音辨識模型而更為精準。</p> <p>iOS 17並新增具AI支援的日誌（Journal）應用程式。利用裝置端機器學習，它可根據用戶最新活動，如相片、聯絡人、運動、到過的地方等提供個人化建議撰寫內容，或是排程通知。日誌功能完全在手機上處理且支援全程加密。應用程式開發人員並可利用日誌建議API，將這款程式加入到其開發的App。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Apple-WWDC23-iOS-17-Journal%20App-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p>在隱私保護方面，iOS 17多所強化。Safari隱私上網（Private Browsing）增加裝置指紋追蹤，並在裝置閒置時上鎖以確保不被人偷看。密碼及通行密鑰（Passkey）可透過iCloud Keychain分享給一組受信任聯絡人。為確保隱私，Message通訊安全（Communication Safety）現在擴及以AirDrop、FaceTime訊息及Photos傳輸的影像內容，防止兒童接觸到不健康的內容。此外，新的敏感內容警告（Sensitive Content Warning）功能，則可確保成人不會看到令人不快的裸露圖片及影片。</p> <p>iOS 17其他功能包括Siri喚醒功能，現在只要簡單一個字Siri，不再需要說「Hey」。視覺查詢（Visual Look Up）支援靜止的影格或相片，能用來辨識食物、商家、招牌或任何圖像；<a href="https://www.apple.com/ios/ios-17-preview/" target="_blank">根據蘋果預覽網頁說明</a>，這功能的功用之一是拍攝食物相片後搜尋相關食譜。AirTag最多可分享給另外5個人，讓一群友人共同關注及定位同一件物品的位置，本功能也能用於其他Find My網路的物件。AirPlay現在支援飯店電視，讓用戶將手機音樂傳到下榻飯店的電視上。Health App的螢幕時間加入螢幕距離功能，以TrueDepth相機偵測，要用戶和手機保持12吋（30公分）距離。HomeKit的點選開啟及PIN code功能現在支援Matter規格的智慧鎖等。</p> </div></div></div>
2023/6/6 11:51作者林妍溱https://www.ithome.com.tw/news/157198
AWS推出可自動配置搬遷資源的DMS無伺服器服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/new-aws-dms-serverless-automatically-provisions-and-scales-capacity-for-migration-and-data-replication/">AWS資料庫搬遷服務DMS（Database Migration Service）現在推出無伺服器版本</a>，用戶不需要手動配置複製執行個體或是監控容量，DMS Serverless會自動配置、監控搬遷資源，擴展所需要的最佳容量，不只簡化搬遷過程，也消除過去為應付高峰流量，必須過度配置資源的成本。</p> <p>AWS DMS雲端搬遷服務可以自動執行資料庫搬遷專案，用戶只要在控制臺以滑鼠點擊，就能簡單啟動搬遷工作負載。不過，即便搬遷過程有自動化協助，但是仍有部分環節有其困難度，像是在搬遷之前，用戶需要先規畫需要的容量，當有許多工作負載需要搬遷，或是持續複製資料時，要估算正確的容量並不容易，而且用戶也需要持續監控使用狀況，並手動擴展容量以維持系統效能。</p> <p>AWS新推出的DMS Serverless能夠簡化這些繁瑣的工作，自動配置、擴展和管理搬遷資源，讓資料庫搬遷更容易，最大程度降低用戶的監督工作量。過去在DMS可以執行的工作，包括連續資料複製、資料庫整合與搬遷，即便是來源和目標的資料庫引擎不同，都能夠由DMS Serverless完成。</p> <p>DMS Serverless能夠協助用戶完成複雜的工作負載搬遷任務，官方提到，該無伺服器服務可以同時搬遷數十個，甚至是數百個工作負載。DMS Serverless目前支援SQL Server、PostgreSQL、MySQL和Oracle資料來源，而搬遷目標則支援Amazon Aurora、RDS、S3、Redshift和DynamoDB等資料庫服務。</p> </div></div></div>
2023/6/6 09:57作者李建興https://www.ithome.com.tw/news/157191
【資安日報】6月5日，中國駭客Camaro Dragon利用後門程式TinyNote攻擊外交單位
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客在攻擊行動裡繞過防毒軟體（或EDR系統）偵測的情況，可說是相當常見，但大多針對Windows內建的Microsoft Defender，或是趨勢科技、Sophos、卡巴斯基等全球知名廠牌的產品。近期駭客組織Camaro Dragon的攻擊裡，他們鎖定印尼防毒軟體Smadav而來，突顯其攻擊行動相當具有針對性。</p> <p>另一起由中國駭客PostalFurious發起的網釣簡訊攻擊行動也值得留意，攻擊者原本鎖定的目標是新加坡、馬來西亞、澳洲，但自4月中旬開始也針對阿拉伯聯合大公國而來，將攻擊範圍擴及中東地區。</p> <p>兆勤（Zyxel）防火牆遭到攻擊的態勢很可能有擴大的跡象，該公司最近發出資安通告，駭客不只利用CVE-2023-28771，也利用他們在5月底修補的另外2個漏洞。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://research.checkpoint.com/2023/malware-spotlight-camaro-dragons-tinynote-backdoor/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客Camaro Dragon利用後門程式TinyNote，鎖定東南亞外交單位收集情報</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/IQUL58EINF-image3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/IQUL58EINF-image3.png" style="width: 300px; float: right;" /></a>資安業者Check Point揭露中國駭客Camaro Dragon的攻擊行動，駭客利用以Go語言打造的後門程式TinyNote，鎖定東南亞、東亞的外交大使館而來，此後門程式主要被用於第一階段攻擊，讓駭客能在受害電腦上持續從事相關行動，並可使用PowerShell或Goroutines，列出目標組織的電腦。攻擊者假借提供外交事務相關的文件，散布該後門程式。</p> <p>比較特別的是，TinyNote能繞過名為Smadav的防毒軟體偵測，此產品的主要用戶位於印尼，亦有東南亞與非洲的使用者，突顯此後門程式的攻擊相當有針對性。</p> <p>研究人員也發現，為了降低目標對象的戒心，駭客冒用緬甸軍事設施的網域名稱，進一步追查其使用的基礎設施之後，他們表示，駭客可能對臺灣政府機關也相當感興趣。</p> <p><a href="https://www.group-ib.com/media-center/press-releases/postalfurious/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">阿拉伯聯合大公國、星、馬等國遭到中國駭客組織PostalFurious網釣簡訊攻擊，目標可能是竊取個資或支付資料</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-2-Spam-email-containing-malicious-doc-attachment.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-2-Spam-email-containing-malicious-doc-attachment.jpg" style="width: 300px; float: right;" /></a>資安業者Group-IB指出，主要針對亞太地區、擅長使用中文的中國駭客組織PostalFurious，在攻擊新加坡、馬來西亞、澳洲之後，今年5月將目標擴及中東地區，攻擊阿拉伯聯合大公國民眾。</p> <p>研究人員先是看到駭客假借收取道路通行費的名義，發送釣魚簡訊，要求手機用戶趕緊透過線上支付去付清積欠的費用，若照對方指示去做，就可能上當，被騙走信用卡相關資料。在另一起攻擊行動裡，駭客則是冒充中東的郵政機構，但其他攻擊手法則與上述網路釣魚行為雷同。</p> <p>研究人員指出，駭客透過馬來西亞及泰國的電話號碼，對阿拉伯聯合大公國電信業者的用戶寄送簡訊，或是發出iMessage訊息。</p> <p><a href="https://blog.cyble.com/2023/06/01/sharppanda-apt-campaign-expands-its-arsenal-targeting-g20-nations/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">G20國家遭到中國駭客SharpPanda鎖定，透過Office方程式編輯工具漏洞發動攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-Infection-chain.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-Infection-chain.jpg" style="width: 300px; float: right;" /></a>資安業者Cyble揭露中國駭客組織SharpPanda近期的攻擊行動，這些駭客鎖定二十大工業國（G20）的政府機關下手，假借提供本次會議相關資料的名義，實際卻是釣魚郵件攻擊。在電子郵件附加的Word檔案裡，研究員發現駭客運用了遠端注入手法，從C2伺服器接收、下載RTF檔案，於受害電腦部署第2階段的惡意軟體。</p> <p>這個RTF檔案是透過名為RoyalRoad的工具打造而成，該工具利用Office方程式編輯器漏洞CVE-2018-0802、CVE-2018-0798、CVE-2017-11882來進行滲透。除此之外，RTF檔也嵌入經過加密的惡意酬載及Shell Code，能以此下載後門程式。</p> <p>研究人員指出，這起攻擊行動代表駭客將攻擊的範圍，從原本的東南亞移轉到歐洲、北美、南亞國家。</p> <p><a href="https://www.zyxel.com/global/en/support/security-advisories/zyxels-guidance-for-the-recent-attacks-on-the-zywall-devices"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">兆勤針對近期修補的防火牆重大漏洞提出警告，並指出有更多漏洞被用於攻擊行動</span></strong></a></p> <p>5月底多家資安業者、非營利組織Shadowserver基金會提出警告，駭客針對兆勤（Zyxel）於4月底修補的防火牆重大漏洞CVE-2023-28771，發動大規模攻擊，如今態勢變得更加嚴重。</p> <p>兆勤於6月2日發布資安通告指出，駭客不只利用CVE-2023-28771，5月底修補的兩個重大漏洞CVE-2023-33009、CVE-2023-33010，也出現遭到利用的現象，該公司呼籲用戶應儘速套用最新版本韌體，或是暫時停用WAN連接埠的HTTP及HTTPS服務來因應。</p> <p><a href="https://www.cib.npa.gov.tw/ch/app/news/view?module=news&id=1887&serno=bed71cfe-be00-424d-9e1d-fa4ce127a191"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">刑事局針對釣魚簡訊提出警告，駭客以包裹寄送地址有誤為由騙取信用卡資料</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/image-your-code-852537.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-your-code-852537.jpg" style="width: 300px; float: right;" /></a>內政部警政署刑事警察局提出警告，他們發現大量釣魚簡訊，偽冒物流業者順豐速運的名義，聲稱包裹因故暫停運送，並提供追蹤碼、查詢網站的連結，讓收信人得知送貨的進度而信以為真。然而若是照做，使用者就會看到配送地址錯誤的訊息，要求透過信用卡付款恢復運送，但實際上，駭客會收集相關資訊以便用於犯罪，甚至會盜刷信用卡。</p> <p>刑事警察局呼籲民眾要檢查網站的網域名稱進行確認，若是不慎上當導致信用卡被盜刷，應撥打信用卡客服申請止付，並向警方報案。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/high-severity-vulnerabilities-patched-in-splunk-enterprise/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Splunk公告修補高風險漏洞</span></strong></a></p> <p>6月1日大數據分析系統Splunk發布Splunk Enterprise 9.0.5、8.2.11、8.1.14，當中修補了高風險漏洞CVE-2023-32706、CVE-2023-32707、CVE-2023-32708，其中最嚴重的是權限提升漏洞CVE-2023-32707，允許能夠存取edit_user的低權限使用者，藉由偽造的網頁請求，取得管理員權限，CVSS風險評分為8.8。</p> <p>CVE-2023-32706屬於阻斷服務（DoS）類型的漏洞，攻擊者可發送偽造的SAML身分驗證訊息，以觸發XML解析器，CVSS風險評分7.7；CVE-2023-32708則與HTTP回應分裂有關，攻擊者在具備低權限的情況下，可藉此存取其他的REST端點，並檢視受管制的內容，CVSS風險評分為7.2。</p> <p><a href="https://www.gigabyte.com/tw/Press/News/2091"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">技嘉公告主機版韌體更新相關事宜</span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/157153#gigabyte">資安業者Eclypsium在5月底發布一份報告</a>，指出他們自今年4月，發現搭載技嘉主機板的電腦出現「類似後門的行為」，相關弱點可被用於攻擊。對此，技嘉於6月1日提出說明，並未直接回應相關質疑，僅表明他們已針對新版BIOS進行全面測試並進行驗證，降低潛在風險，將提供Intel 700、600系列，以及AMD 500、400系列的測試版BIOS。至於這些韌體的推出，是否與該份報告有關，從這份公告的內容也無法判斷。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/157186"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">衛星網路沙箱Moonlighter即將升空，成為第一個太空網路安全的測試環境</span></strong></a></p> <p>美國太空業者SpaceX預計於美國東部夏令時間（EDT）6月5日的晚上11點47分（臺灣時間6月6日上午11點47分）發射Falcon 9火箭，執行美國太空總署（NASA）的SpaceX CRS-28補給任務，其中最受到矚目的部分，包含了由非營利組織Aerospace所設計的太空沙箱設備Moonlighter。Moonlighter的功能，主要是讓研究人員能實際在太空軌道上進行衛星的網路安全測試，並能用於制訂戰術、技巧、程序（TTP）。</p> <p>美國空軍研究實驗室已於今年4月舉行第4屆Hack-A-Sat衛星駭客競賽活動，最終打算選出5組人馬，參與今年8月11日至13日舉行的DEF CON 31，決賽的內容就是針對Moonlighter進行攻擊。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.akamai.com/blog/security-research/new-magecart-hides-behind-legit-domains"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Magecart側錄攻擊出現新手法！駭客利用合法網站攻擊目標</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/online-sellers-targeted-by-new-information-stealing-malware-campaign/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客入侵電商網站，向使用者散布竊資軟體Vidar</span></span></strong></a></p> <p><a href="https://blog.avast.com/malicious-extensions-chrome-web-store"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意Chrome延伸套件現身市集，已被下載7,500萬次</span></span></strong></a></p> <p><a href="https://blog.cyble.com/2023/06/01/noescape-ransomware-as-a-service-raas/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體NoEscape透過Windows安全模式植入受害電腦</span></span></strong></a></p> <p><a href="https://www.trendmicro.com/en_us/research/23/e/investigating-blacksuit-ransomwares-similarities-to-royal.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體BlackSuit疑從Royal發展而來</span></span></strong></a></p> <p> </p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157174">【6月2日】 MFT檔案共享系統MOVEit Transfer出現零時差漏洞，傳出駭客藉此竊取組織機密資料</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157153">【6月1日】技嘉主機板更新機制存在弱點，恐被用於供應鏈攻擊，研究人員呼籲IT人員封鎖相關更新功能</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157143">【5月31日】圖靈驗證CAPTCHA出現人工破解服務</a></strong></p> </div></div></div>
2023/6/5 18:14作者周峻佑https://www.ithome.com.tw/news/157192
從淨零到創造正效益的永續轉型2.0
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-zheng_xiao_yi_mo_shi_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下雜誌出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>我們正生活在一個獨特的時代，手握難以置信的大好機會，可以重新構想我們的世界，並將商業轉型成淨正效益。</p> <p>關於淨正效益，永續設計大師麥唐諾（Bill McDonough）和布朗嘉（Michael Braungart）在合著的《升級再造》（The Upcycle）中建議，將環境衝擊減少至0（淨零），以達到「沒那麼糟糕」的狀態，企圖只做到這樣的目標將會帶領我們走上錯誤道路；反之，我們應該創造「更多善果」。所以，請把意外事故、資源浪費或二氧化碳之類你想要歸零的任何衝擊納入考慮。</p> <p>正常來說，你會繪製顯示指標下降的進度表；但兩位大師說反過來才對，畫一條從負值上升到0的直線，這樣一來，0就「不會變成最頂點，而是交會點」；接著請繼續往上畫進入正值區域。上升進入正值區域的安全指標不僅代表零事故，更會創造一處「促進健康的工作場域」。</p> <p>再進一步，這家組織可能也會帶動社區和顧客更健康。這些正面效應促成許多人所說的增加企業「手印」（handprint），它有別於內含更強烈負面意義的「足跡」。</p> <p>淨正效益企業是在服務他人。它遵循我們所擁有的最古老道德指導原則——「己所不欲，勿施於人」，淨正效益企業奉為圭臬，因此謹守大自然邊界或範疇，以示尊重地球及所有住民。它遵守我們應該如何對待彼此的道德界線，並試圖修復、復原、重振然後再生。</p> <p>我們將這套架構放在心中，描繪淨正效益的願景是改善它所影響的每個人的福祉，而且不計規格，即每一樣產品、每一場交易、每一個地區和國家，以及每一位利害關係人，包括員工、供應商、社區、顧客，甚至後代子孫和地球本身。</p> <p>淨正效益企業的經營手段將非常不同。</p> <p>舉例來說，它減除的碳量將會多於產生的碳量；只會採用再生能源以及來源可以再生的材料；不造成浪費，而且秉持完全循環的原則製造所有產品；它取用水資源後會自行補充並讓它更潔淨。它身為一家以人為本的企業，將確保在價值鏈上工作的每個人都保有賺取生活工資的尊嚴。它將會包容所有種族和不同能力的人，提供其大量機會，並在管理和薪酬公平方面求取性別平衡。消費者使用它的產品、服務和以目的為導向的專案計畫，將會變得更好，但絕不是打著慈善事業的形式。</p> <p>想像一下，當企業解決最艱鉅的挑戰，而非製造出最嚴重的麻煩，淨正效益看起來會是怎樣。或許像是這樣：</p> <p>●　食品和農業公司張臂擁抱再生的實踐之道，因而讓土壤更肥沃、保護生物多樣性並封存數百萬噸碳。</p> <p>●　鋁金屬、水泥和鋼鐵造商開發出無碳產品並排除空氣中的碳。</p> <p>●　消費品生產商販售的每一樣物品都會提升人類和地球的福祉。</p> <p>●　自然資源和材料公司回饋地球並改善受到它們衝擊的原住民社區的生活。</p> <p>●　社群媒體公司協助人們發現真相並強化民主進程。</p> <p>●　成衣商把自家業務成長和進一步使用資源脫勾，提供生活工資、恢復尊嚴並協助遍布全球的供應鏈上的社區發展。</p> <p>●　金融公司只會融資潔淨科技，並善待貧窮階級勝過富有階級，還會向人們伸出援手並為所有人創造平等機會。</p> <p><span style="font-size:28px;"><strong>加速ESG轉型，淨正效益模式培養永續成長的韌性</strong></span></p> <p>你若想產生巨大而且可能是淨正效益的影響力，就必須為更大的生命週期碳足跡制定目標。你針對產品設計和交付服務做出的選擇，會創造波及整條價值鏈的漣漪效果。</p> <p>舉例來說，蘋果已經承諾在整條價值鏈中實現碳中和，但是同時也針對材料使用制定一個不尋常的目標。它為金屬的線性系統進入電子產品領域而且成為電子廢棄物深表痛惜，因此希望打造一條封閉式的環狀供應鏈，「挑戰自己，有一天可以終結我們對採礦的依賴。」</p> <p>淨正效益企業需要為供應商和顧客制定激進目標，但是聚焦在哪一方面則是因產業而異。生產耗能產品的企業往下游尋找商機。市值440億美元的詮宏科技是大型的氣候控制設備製造商，承諾在2030年將顧客足跡中的碳排放量減少10億噸。科技大廠也傾向於往下游設定目標，說是它們的產品可以為顧客營運或是為全世界減少排放，遠超過自己直接生產的排放量。它們指出，虛擬會議如何消除代表碳密集的旅行的需求，或是大數據和分析結果如何讓交通或建物更有效率。英國電信集團（BT Group）和戴爾都是這些「賦能」目標的早期採用者，最近西班牙電信（Telefónica）制定目標，截至2025年，將自家顧客的排放量減少10倍。</p> <p>金融商則有不同的挑戰和機會。它們的辦公室和員工的商務旅遊雖然製造足跡，但實際影響卻遠遠比不上它們資助的企業（不妨想像一下，銀行為一系列能源計畫組合提供融資或是貸款）。這些所謂的「財務碳排放（financed emissions）」是銀行本身直接排放量的700倍。有些銀行最終是將煤炭排除在融資業務之外，而且最近多數大型銀行紛紛趕著公告，制定自己的投資組合目標。摩根士丹利（Morgan Stanley）和美國銀行承諾，截至2050年實現淨零排放，正如花旗集團執行長范潔恩（Jane Fraser）上任第一天就宣布這是最優先事項。有一個大型投資人聯盟名為淨零資產擁有者聯盟（Net-Zero Asset Owner Alliance, NZAOA），也承諾將它們的5.5兆美元放進2050年轉成淨零的投資組合中。</p> <p>這些做法都很好，不過從基本門檻的角度來看為時已晚。如果截至2049年之前你都在為基礎設施融資，那麼就算2050年全球終止日期（global drop-dead date）生效，你還是可以趕在這個日期之前興建使用個幾十年的碳排放設施。有個做得比較好的實例就是澳洲保險商托普（Suncorp），它停止承保原油和天然氣的新投資案，許諾要在2025年終止現有的保險專案，並宣誓在2040年完全停止投資這門產業。30個擁有5兆美元資產的大型金主同意，截至2025年實現投資組合脫碳目標。諸如此類的目標將會加速轉向清潔能源經濟。</p> <p>供應鏈目標更普遍，跨國企業日益施壓供應商實現科學基礎減量目標。食物大廠是早期採用者，因為工業化農業主導它們的生命週期足跡。美國通用磨坊（General Mills）、家樂氏和金寶湯（Campbell’s Soup）全都為它們採購的農場和農業相關企業制定碳的科學基礎減量目標。來自各行各業的其他公司，包括荷商製藥廠葛蘭素史克（GlaxoSmithKline, GSK）、瑞典零售品牌H&M、施耐德電機和沃爾瑪以及它的「10億噸大挑戰」（Gigaton Challenge）等，都為它們的整條價值鏈制定碳中和目標。或者是，你不用為供應商制定目標，而是敦促它們自己掌握所有權。零售商塔吉特（Target）制定的目標就是，要讓80%的供應商自定科學基礎減量目標。</p> <p>領先企業正採用創新方式祭出蘿蔔和棍子兩面手法，向供應商的生產施加壓力，特別是在氣候方面。雜貨零售商特易購和西班牙桑坦德銀行（Santander）合作，為那些針對氣候議題整體表現強勁的供應商提供優惠融資條款，包括設定激進的目標。在棍子部分，Salesforce針對氣候問題行動為供應商制定嚴格標準，內容看起來就和正式合約一模一樣，所以它們稱為永續發展大展（Sustainability Exhibit）。供應商必須衡量自己整條價值鏈的排放量，並基於「碳中和基礎」提供產品和服務。如果它們辦不到，那就算是「氣候違規」，Salesforce將會向它們收取一筆可觀的「補救費」。就我們所知，這是業界獨創的舉措。<strong><span style="color:#696969;">（本文摘錄整理自《正效益模式》，天下雜誌出版提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E6%AD%A3%E6%95%88%E7%9B%8A%E6%A8%A1%E5%BC%8F_500.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_天下雜誌出版</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> <span style="color:#3399ff;">正效益模式（Net Positive）</span></strong></p> <p>保羅．波曼（Paul Polman）、安德魯．溫斯頓（Andrew Winston）／著；吳慕書／譯</p> <p>天下雜誌出版</p> <p>定價：600元</p> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WEB-%E5%9C%962_%20%E6%AD%A3%E6%95%88%E7%9B%8A%E6%A8%A1%E5%BC%8F_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Paul%20Polman.png" style="width: 200px;" /></p> <p><span style="color:#3399ff;"><strong>保羅．波曼（Paul Polman）</strong></span></p> <p>商業領袖、活動家，2009至2019年擔任聯合利華執行長，現為聯合國全球盟約組織副董事長、共益組織想像（IMAGINE）共同創辦人。致力於敦促企業界加快行動，實現他協助制定的聯合國全球目標（即17項永續發展目標SDGs）。<span style="color:#696969;"><a href="https://www.paulpolman.com/" target="_blank">圖片來源_Paul Polman</a></span></p> <p> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WEB-%E5%9C%963_%E6%AD%A3%E6%95%88%E7%9B%8A%E6%A8%A1%E5%BC%8F_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Andrew%20Winston.jpg" style="width: 200px;" /></p> <p><strong><span style="color:#3399ff;">安德魯．溫斯頓（Andrew Winston）</span></strong></p> <p>名列Thinkers50全球頂級管理思想家之一。溫斯頓是廣受歡迎的諮詢顧問和講者，專長永續企業策略、如何打造一間藉由造福世界而盈利的公司，同時也是《綠色商機》（Green to Gold）和《大轉變》（The Big Pivot）的作者。<span style="font-size:14px;"><span style="color:#696969;"><a href="https://andrewwinston.com/" target="_blank">圖片來源_Andrew Winston</a></span></span></p> </div></div></div>
2023/6/5 17:05未署名https://www.ithome.com.tw/article/157190
Windows今年底不再支援Cortana
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著Windows已逐漸藉由加入AI變得更好用，<a href="https://support.microsoft.com/en-us/topic/end-of-support-for-cortana-in-windows-d025b39f-ee5b-4836-a954-0ab646ee1efa" target="_blank">微軟宣布</a>今年內將不再支援獨立的Cortana App。</p> <p>Cortana是由微軟開發的智慧型個人助理，該公司在2014年4月Build開發者大會首次宣布，號稱「全球首款跨平台智慧型個人助理」，後於2015年底釋出Android及iOS版本。不過Cortana用戶一直遠不如Google Assistant、蘋果Siri及Amazon Alexa，支援Cortana的第三方應用程式及裝置也少。<a href="https://www.ithome.com.tw/news/136093" target="_blank">微軟2020年宣布</a>關閉開關空調、播放音樂等消費性以及第三方廠商開發的功能，著重整合Windows上的應用程式。iOS、Android和Harman Kardon Invoke智慧喇叭的Cortana也在2021年2月停止服務。</p> <p><a href="https://twitter.com/PerBylund/status/1664689681005441026" target="_blank">推特用戶發現</a>從今年底開始，微軟將不再支援獨立的Cortana App。Cortana可以設定提醒、辨識語音，代用戶執行Windows App，像是以Bing搜尋引擎提供的資訊回答用戶問題，用戶無需鍵盤輸入。微軟說，即使關閉Cortana，用戶仍然可以存取已增強了AI能力的Windows和Edge內的強大生產力功能，像是執行任務、行事曆、電子郵件。</p> <p>今天的宣布僅影響Windows內的Cortana App，Outlook及Teams手機版、Teams顯示器（display）與Teams聊天室的Cortana功能仍然持續可以作用。雖然影響有限，不過微軟還是建議了替代性的功能，包括新版Bing、Microsoft 365與Windows中的Copilot。此外還有Windows 11的語音輸入功能，方便用戶語音輸入指令以操作PC或文字輸入，包括撰寫與讀取郵件、上網或在不同App之間切換，也能離線操作。</p> <p>微軟自今年2月底宣布整合GPT-4的Bing後，已經陸續宣布整合這個AI模型能力的自家產品，從<a href="https://www.ithome.com.tw/news/155983" target="_blank">Microsoft 365</a>、Edge、Power System及<a href="https://www.ithome.com.tw/news/157018" target="_blank">Windows</a>等。</p> </div></div></div>
2023/6/5 11:57作者林妍溱https://www.ithome.com.tw/news/157185
全球首個駭客沙箱衛星Moonlighter即將升空
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Aerospace Corporation所打造的首個駭客沙箱衛星，即將於今日（6/5）隨著SpaceX CRS-28商業補給任務而被傳送到國際太空站（SSI），成為全球首個且唯一一個位於太空中的駭客沙箱，供資安社群用來測試衛星的安全性。</p> <p>SpaceX預計於美國東部夏令時間（EDT）6月5日的晚上11點47分（臺灣時間6月6日上午11點47分）發射Falcon 9火箭，以執行美國太空總署（NASA）的SpaceX CRS-28補給任務，主要裝載的是NASA預計於SSI上安裝的新型太陽能電池陣列。不過，隨著SpaceX CRS-28任務升空的還有由美國大學生打造的SC-ODIN地球觀測衛星、多個研究機構共同開發的太空感應器RADSAT-SK，以及由Aerospace所設計的Moonlighter。</p> <p>其中，<a href="https://aerospace.org/sites/default/files/2023-04/AK23_114_Fact%20Sheet_Moonlighter_REVB.pdf" target="_blank">Moonlighter是個3U大小的立方衛星</a>，尺寸為34x11x11公分，上有34x30公分的太陽能電池陣列，內建各種太空應用與地球應用，並有一防火牆以與子系統隔離，像是部飛行電腦。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0605-Aerospace-photo%20by%20Aerospace-2.jpg" style="width: 450px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Aerospace</span></span></p> <p>Moonlighter整合一個網路監控器，可用來監控傳輸流量，並有多個感應器來協助監控，亦能於網路事件偵測演算法中導入人工智慧與機器學習，還可快速重置環境。</p> <p>Aerospace為一非營利的美國組織，主要提供各種航空任務的技術指南與建議，從軍事、民用到商業任務，其員工人數超過4,500名，該組織與美國太空系統指揮部（Space Systems Command）及美國空軍研究實驗室（Air Force Research Laboratory）共同打造了Moonlighter。</p> <p>Moonlighter讓安全研究人員首次可在太空軌道上進行衛星的即時網路安全測試，Aerospace則說研發Moonlighter的目的在於促進對太空系統網路安全的理解，以讓它在實施防禦性網路作戰中發揮關鍵性的作用，也能用來制定攻擊戰術流程（TTP），驗證太空中的網路安全評估與預防。</p> <p>過去資安研究人員通常是在實驗室或地面上的模擬環境中執行太空網路的安全測試，而Moonlighter將成為第一個真正位於太空的資安測試平臺。</p> <p>美國空軍研究實驗室針對衛星已連續舉辦3屆的<a href="https://afresearchlab.com/technology/hack-a-sat/" target="_blank">Hack-A-Sat駭客競賽活動</a>，並於今年4月展開第4屆的Moonlighter資格賽，最終打算邀請5組人馬參與今年8月11日~13日舉行的DEF CON 31，藉由攻擊已開始於太空中運行的Moonlighter進行決賽。</p> <p>Moonlighter預計會在今年8月開始運行。<a href="https://hackasat.com/faqs/" target="_blank">根據Hack-A-Sat官網上的說明</a>，要成功攻擊太空衛星通常需要同時具備網路與太空領域的技能，目前進入決選的名單尚未出爐。</p> </div></div></div>
2023/6/5 12:33作者陳曉莉https://www.ithome.com.tw/news/157186
美國科技產業今年前5個月裁撤逾13萬名員工，創下2001年以來的新紀錄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://omscgcinc.wpenginepowered.com/wp-content/uploads/2023/06/The-Challenger-Report-May23.pdf" target="_blank">美國獵人頭公司Challenger, Gray & Christmas近日公布</a>了美國在今年5月的裁員報告，顯示美國科技產業在今年前5個月總計裁撤了136,831人，創下2001年以來的新高。</p> <p>Challenger, Gray & Christmas的資料顯示，全美今年5月的裁員人數為80,089人，比去年同期多出287%，今年前5個月的裁員總數為417,500人，比去年同期多了315%。</p> <p>整體而言，美國今年前5個月的裁員人數，並未超過2020年COVID-19疫情爆發時的1,414,828人。</p> <p>但從科技產業來看，疫情並未讓太多的科技從業人員失業，反倒是該產業在今年5月裁撤了22,887人，前5個月裁撤了136,831人，今年前5個月所裁撤的人數比去年同期的4,503人多出了2,939% ，不僅是美國裁員人數最多的產業，也是2001年以來的新高。目前並不確定科技產業在今年所裁撤的人員是否會超越2001年，當年一整年被裁掉的科技人才有168,395人。</p> <p>自Challenger, Gray & Christmas所提供的圖表可看出，科技產業的裁員潮從2022年的10月開始大幅攀升。</p> <p>至於美國組織裁員的前五大原因依序是市場狀況、節省成本、倒閉、重組及財務損失等。而人工智慧（Artificial Intelligence）也成為美國組織裁員的第十大原因，總計讓3,900名員工失業。</p> </div></div></div>
2023/6/5 12:54作者陳曉莉https://www.ithome.com.tw/news/157189
微軟針對雲端遊戲需求推出NGads V620虛擬機器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟推出了雲端遊戲環境專用的<a href="https://azure.microsoft.com/en-us/blog/increase-gaming-performance-with-ngads-v620-series-virtual-machines/">NGads V620虛擬機器公開預覽</a>，這個虛擬機器搭載AMD的GPU和CPU，提供均衡的運算資源，用於生成和串流高品質圖形，供遊戲開發者將遊戲環境託管在Azure雲端，提供可靠性服務。</p> <p>NGads V620是支援GPU的虛擬機器，使用AMD Radeon PRO V620 GPU和AMD EPYC 7763 CPU。V620 GPU的最大影格快取容量為32 GB，能夠以硬體分區或是多使用者共享切分為四部分。每個AMD Radeon PRO V620 GPU擁有32 MB的GDDR6專用記憶體，並且配有72個光線加速器，4,608個串流處理器，以及峰值達到2.2 GHz運作頻率的核心。</p> <p>AMD EPYC 7763 CPU使用7 nm工藝技術建構，具有AMD Zen 3核心、Infinity架構和AMD Infinity Guard安全功能套件。AMD EPYC CPU的基本時脈2.45 GHz為，超頻可達3.5 GHz，微軟提到，虛擬機器使用完整的核心，而非只是執行緒，因此用戶可以完整存取Zen 3核心。</p> <p>目前NGads提供四種大小，供用戶依據遊戲環境大小選擇，最小的兩個執行個體，使用標準SR-IOV技術，將GPU切分成為四分之一和二分之一的執行個體，微軟表示，共享同一物理顯示卡的用戶之間，不會出現干擾或是安全問題。</p> <p>而較大的執行個體則是標準版和記憶體加大版NGads，標準NGads具有32 vCPU、32 GiB GPU記憶體，以及64 GiB的記憶體，記憶體加大版與標準規格相似，只是記憶體提升到176 GiB。</p> <p>NGads V620可滿足遊戲工作負載遠端圖形高速運算的需求，透過網際網路傳輸圖像，供用戶互動操作，並使用各種遊戲、連接類型和解析度等。不只遊戲，NGads的GPU也能夠用於加速工作站應用程式、VDI和虛擬渲染等應用。</p> </div></div></div>
2023/6/5 12:57作者李建興https://www.ithome.com.tw/news/157188
微軟Windows 11用戶端及伺服器將要求SMB簽章登入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windows-insider/2023/06/02/announcing-windows-11-insider-preview-build-25381/" target="_blank">微軟最新Windows 11更新測試版</a>將讓Windows裝置要求以SMB簽章登入才能連線，以防範NTLM Relay攻擊。但管理員需有網路效能降低的心理準備。</p> <p>最新的Windows 11 Insider Preview Build企業版25381上周釋出到Canary通道。從這個版本開始，Windows伺服器或用戶端都會預設要求所有連線都需使用SMB簽章。SMB簽章又稱安全性簽章（security signature）。</p> <p class="rtecenter"><a href="https://tinyurl.com/2jrahopo" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0605-SMB%20signing%20required%20by%20default%20in%20Windows%20Insider.png" style="width: 500px;" /></a></p> <p>SMB（Server Message Block）通訊協定是用於檔案與印表機共用，以及遠端Windows機器等網路環境的管理。為防止SMB封包傳輸時遭中間人攻擊（man-in-the-middle，MITM），SMB協定可支援SMB封包的簽章。啟用SMB簽章登入可防範攻擊者冒充合法用戶端電腦或伺服器，以攔截會話（session）取得重要用戶憑證接管網域，或在網路Windows用戶端植入惡意程式，像是2020年<a href="https://www.ithome.com.tw/news/140014" target="_blank">Zerologon</a>或是2021年稱為<a href="https://www.ithome.com.tw/news/146154" target="_blank">PetitPotam的Windows NTLM漏洞</a>。</p> <p>在最新宣布之前，管理員可設定（最低為SMBv2的）Windows用戶端及伺服器端是不是強制要求外部裝置以SMB簽章登入。Windows10或11原本預設，只有在連到名為Sysvol或Netlogon的網路磁碟機，以及AD網域控制器對欲連線的電腦才要求SMB安全登入。</p> <p>現在所有Windows用戶端及伺服器都已支援SMB簽章登入，但第三方伺服器或服務可能會關閉或不支援。如果用戶想登入不允許SMB登入的遠端共用服務，會接到錯誤訊息。微軟建議用戶最好設定第三方共用服務的SMB伺服器支援，而不應關閉Windows上的SMB簽章登入，或使用微軟已經不支援的SMB1。微軟警告，不支援SMB安全登入的裝置，會造成惡意人士攔截訊息或中繼攻擊（relay attack）。</p> <p>不過啟用SMB簽章讓每個SMB訊息都包含一個以會話金鑰（session key）產生的簽章，這也會造成網路效能下降。微軟建議管理員增加實體或虛擬CPU核心，或用更快、更新的CPU。</p> <p>雖然不建議用戶關閉Windows用戶端及伺服器的SMB簽章，但微軟還是提供了檢視SMB登入設定，以及在Windows用戶端及伺服器關閉SMB安全登入要求的PowerShell指令。</p> </div></div></div>
2023/6/5 11:27作者林妍溱https://www.ithome.com.tw/news/157183
Meta要求員工9月起一周進公司至少3天
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼Google、蘋果之後，<a href="https://www.cnbc.com/2023/06/01/meta-will-require-employees-to-return-to-the-office-three-days-a-week-starting-in-september.html" target="_blank">CNBC報導</a>，Meta要求員工從9月起1周至少進公司上班3天。</p> <p><a href="https://www.theinformation.com/articles/meta-calls-employees-back-to-office-three-days-a-week" target="_blank">《The Information》首先取得Meta官方聲明文件</a>，該公司致力支持分散式作業，有信心員工在辦公室和家中都能做出貢獻，但也致力於持續調整工作模式以促進有利員工工作的協同、工作關係及文化。</p> <p>以矽谷科技公司為主的歐美科技業者自2022年新冠疫情後，就逐漸採行混合作業模式，要求員工至少一周回公司2或3天。一開始科技公司員工並未乖乖回到公司，但在2022年下半起景氣衰退，龍頭科技公司從微軟、Google、Meta、Amazon到Dell、HP、IBM，無不裁員及縮減辦公室空間以尋求減少支出，也讓公司對員工態度轉趨強硬。</p> <p>Meta和許多其他科技公司一樣，2021年6月雖宣布恢復員工回公司（back to office）政策後並未能強制執行。但是去年以來，Meta對執行這類政策的要求更為急切。<a href="https://www.cnbc.com/2023/03/15/mark-zuckerberg-says-meta-employees-who-work-in-person-get-more-done.html" target="_blank">CNBC引述Meta執行長Mark Zuckerberg今年3月指出</a>，經過內部調查，面對面工作的工程師們工作效率會比遠距協同來得高。</p> <p>Zuckerberg今年初宣布今年為效率之年，將以提升工作效率及營收貢獻度為最高宗旨，手段包括公司組織扁平化、裁減中層主管及不必要的專案<a href="https://www.cnbc.com/2023/03/15/mark-zuckerberg-says-meta-employees-who-work-in-person-get-more-done.html" target="_blank">。Meta二周前才宣布</a>半年以來第三度裁員。</p> <p>蘋果迄今尚未大幅裁員，但也要求員工進公司工作以提高與協同生產力。<a href="https://www.ithome.com.tw/news/144802" target="_blank">蘋果去年</a>要求員工從9月起每周進公司至少3天，<a href="https://gizmodo.com/apple-remote-work-return-to-office-hybrid-work-1850256210" target="_blank">引發員工抗議及跳槽</a>。但今年稍早<a href="https://twitter.com/ZoeSchiffer/status/1638677318104408064" target="_blank">《The Platformer》</a>報導蘋果開始檢查員工證以確認他們是否按要求進公司作業，並且警告員工若仍不進公司上班可能會要求走人。</p> <p><a href="https://www.cnbc.com/2023/02/17/amazon-employees-asked-to-be-in-office-three-days-a-week-andy-jassy.html" target="_blank">Amazon和Google也宣布</a>了最少一周進公司3天的政策。</p> </div></div></div>
2023/6/5 11:41作者林妍溱https://www.ithome.com.tw/news/157184
【資安週報】2023年5月29日到6月2日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一周的漏洞消息中，有兩個漏洞利用情形需優先關注，包括Progress旗下MFT檔案共享系統MOVEit Transfer產品的SQL Injection漏洞CVE-2023-34362，已遭零時差漏洞攻擊，以及Zyxel在4月底修補旗下多款防火牆產品的OS Command Injection漏洞CVE-2023-28771，確認已有攻擊者針對此已知漏洞發動攻擊。另一漏洞關注焦點在於，有韌體安全業者警告技嘉主機板軟體更新機制不安全、存有供應鏈攻擊風險，後續我們整理這項消息時，<a href="https://www.gigabyte.com/Press/News/2091">技嘉在6月1日已宣布釋出新版BIOS</a>，增加簽名驗證與權限存取限制的增強保護，並呼籲用戶盡速更新。</p> <p>在攻擊活動與威脅態勢方面，首要關注兩大焦點，包括商業間諜軟體Predator的攻擊行動，當中串連了Google於2022年5月公開的5個安卓零時差漏洞及利用Alien惡意程式，以及新型間諜軟體鎖定iOS濫用iMessage發動攻擊。其他受關注的攻擊活動，包括：微軟加密附件RPMSG遭濫用於釣魚郵件攻擊，Google開放頂級網域名稱ZIP後有攻擊者將惡意網頁偽冒為WinRAR畫面，以及加殼程式AceCryptor打包惡意軟體威脅態勢的揭露。</p> <p>其他重要資安消息，包括工控大廠ABB傳出5月上旬即遭勒索軟體Black Basta攻擊並導致營運中斷的事故，以及我國數位部首度針對民間個資保護不力業者做出裁罰，主要是多次限期要求改善個資保護措施卻均未改善的蝦皮與誠品。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/157087"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月29日】微軟加密附件檔案遭到釣魚郵件濫用，鎖定企業收款部門而來</span></strong></a></h3> <p>駭客在釣魚攻擊行動裡，利用多種檔案格式的附件來迴避資安系統偵測的情況，包含了運用光碟映像檔（ISO、IMG、CDR），或是壓縮檔（ZIP、RAR）。但現在出現了另一種較為特別的檔案格式「RPMSG」，這是受到微軟權限管理服務（RMS）保護的檔案類型，只允許特定使用者存取，這樣的釣魚郵件攻擊顯得相當有針對性。</p> <p>另一個很可能被用於網釣攻擊的手法，則是與Google開放ZIP頂級網域名稱（TLD）有關。最近有研究人員公布了在瀏覽器裡打造解壓縮軟體WinRAR視窗的概念性驗證攻擊手法，並指出這樣的網頁若是搭配特定的ZIP網域，很有可能讓使用者以為自己在開啟WinRAR程式而上當。</p> <p>Google Cloud Platform（GCP）資料庫代管服務CloudSQL出現的漏洞也值得留意，這項漏洞與代管微軟SQL Server的部分配置不當有關，而使得攻擊者可取得SQL Server管理員權限並進行控制。</p> <h3><a href="https://www.ithome.com.tw/news/157121"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月30日】木馬程式GobRAT鎖定日本路由器而來</span></strong></a></h3> <p>針對路由器設備而來的惡意程式攻擊行動，這兩年不斷傳出相關事故。最近日本電腦網路危機處理暨協調中心（JPCERT/CC）揭露木馬程式GobRAT的攻擊行動，並指出該惡意程式具備多達22種通訊的功能，而能運用這些管道向C2通訊，或是進行橫向感染，且難以追溯其行蹤。</p> <p>行動裝置作業系統漏洞被商業間諜軟體利用的情況，日益嚴重，昨天我們報導間諜軟體Pegasus介入2020年的納戈爾諾卡拉巴赫戰爭，現在對於另一款間諜軟體Predator的行蹤，研究人員也有新的發現──駭客主要針對記者、歐洲政治人物，以及Meta的高階主管下手，並根據目標手機的廠牌來挖掘受害者的資料。</p> <p>加殼工具（Cryptor）被大肆用於混淆惡意軟體程式碼的情況，也相當值得留意。有資安業者揭露利用加殼程式AceCryptor的攻擊態勢，2年內有24萬個惡意程式以此工具打包，平均每個月就有1萬個惡意程式藉此增加研究人員反組譯的難度。</p> <h3><a href="https://www.ithome.com.tw/news/157143"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月31日】圖靈驗證CAPTCHA出現人工破解服務</span></strong></a></h3> <p>為了防範駭客運用機器人來存取網頁服務，透過圖靈驗證機制CAPTCHA可說是相當常見的做法，這樣的機制也從在圖片裡解讀文字內容，不斷增加難度來因應駭客透過自動化工具進行破解的情況。但現在網路犯罪圈卻出現了截然不同的做法，他們將解讀CAPTCHA內容的工作交由真實人類代打，完成後再交回駭客的機器人回應CAPTCHA挑戰，這樣的情況使得圖靈驗證機制面臨更為嚴峻的挑戰。</p> <p>鎖定企業而來的網路釣魚攻擊，不少都是針對財務部門與高層而來，但現在也有針對人資部門而來的攻擊行動。有資安業者揭露假借申請休假名義而來的網釣攻擊，並指出這樣的手法很有可能隨著許多人會在夏天放假出遊而變得更加頻繁。</p> <p>數位部首度針對民間企業個資保護不力祭出處罰的情況，也值得留意。數位發展部數位發展署針對蝦皮、誠品開罰，並指出他們在兩家公司查核的缺失。</p> <h3><a href="https://www.ithome.com.tw/news/157153"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月1日】技嘉主機板更新機制存在弱點，恐被用於供應鏈攻擊，研究人員呼籲IT人員封鎖相關更新功能</span></strong></a></h3> <p>資安業者Eclypsium針對技嘉主機板用戶提出警告，指出該公司規畫的軟體更新機制不安全，大致上有兩個層面，一個是UEFI韌體能被用於在Windows部署軟體，另一個部分則是不安全的更新機制，而這樣的情況使得研究人員呼籲用戶，先透過UEFI設定與網路管理，暫時停用相關的更新機制。</p> <p>木馬程式SeroXen的攻擊行動也相當值得留意，電信業者AT&T的資安研究員揭露這種攻擊升溫的情況，並認為雖然現在的受害者都是電玩玩家，但由於此惡意軟體的行蹤相當隱密，不排除日後會被用於攻擊大型企業。</p> <p>繼特斯拉傳出放任員工隨意瀏覽、取用使用者車輛鏡頭錄下的影片，又有其他業者也出現類似的情況！美國聯邦交易委員會（FTC）針對Amazon祭出裁罰，原因是該公司旗下的智慧家庭裝置子公司Ring放任員工存取監視器影像，並在未經使用者同意的情況下拿來改善其演算法。</p> <h3><a href="https://www.ithome.com.tw/news/157174"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月2日】MFT檔案共享系統MOVEit Transfer出現零時差漏洞，傳出駭客藉此竊取組織機密資料</span></strong></a></h3> <p>繼<a href="https://www.ithome.com.tw/news/143178">Accellion FTA</a>、Forta旗下的<a href="https://www.ithome.com.tw/news/156101">GoAnywhere</a>等MFT檔案共用系統遭受零時差漏洞攻擊，又有另一家系統的用戶成為駭客的攻擊目標！Rapid7、Huntress、TrustedSec等多家資安業者提出警告，近期Progress揭露的MOVEit Transfer漏洞已出現攻擊行動，這些資安業者也公布入侵指標（IoC），讓組織能防範相關攻擊。</p> <p>另一個也引起許多人關注的事故，則是發生在資安業者身上的手機間諜軟體攻擊行動。卡巴斯基最近公布一起有數十名員工iPhone手機遭間諜軟體攻擊的情況，並指出這起攻擊駭客很有可能在2018年就開始行動。</p> <p>開源套件庫被用於散布惡意程式的攻擊行動，近期也出現了新的手法。有人看上大部分PyPI套件檢測工具只檢查Python原始碼檔案的情況，將惡意程式碼置入編譯後而成的Python Bytecode檔案，再打包成PyPI散布。</p> </div></div></div>
2023/6/5 09:45作者羅正漢https://www.ithome.com.tw/news/157179
從徹底無紙化邁向智慧化法庭，AI掀起司法院IT第二次變革
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開庭中，檢辯方激烈的交叉詰問，發言字句忠實呈現於法庭螢幕。「請提示偵卷，第3頁。」審判長令下，文件應聲開啟，顯示在螢幕上的逐字稿旁。國民法官進入評議室，評議嫌犯是否有罪，碰到疑慮，國民法官開口詢問系統，相關法條隨即陳列出來。有罪，刑度如何衡量？系統分析同類罪行判決資料，給出常見量刑範圍。判決下來，法官將結果輸入系統，裁判書草稿便自動產生。這個法庭景象，最快在今年年底前就可能見到，且部分技術已經投入實務。</p> <p>每個環節，都是用司法院專門開發的AI技術，把累積多年的司法智慧結晶提取成簡單易懂的資訊。司法院資訊處處長賴武志說，「如果第1次司法院IT變革是為了無紙化，第2次就是引進AI應用，將科技法庭進一步發展為智慧法庭。」</p> <p>賴武志就是這些AI應用背後的推手。他同時具有司法、資訊、統計3種專業，有資訊技師、工業工程技師、統計人員、律師、司法人員多種資格，熟稔司法實務、資訊工程，以及發展AI不可或缺的數據科學。上任以來，他先推動老舊軟硬體翻新，再落實資料向上集中政策，並設置AI專職團隊，推動多項智慧法庭AI應用，以期加速案件審理效率。</p> <p><span style="font-size:28px;"><strong>針對司法業務需求發展專用AI模型及應用</strong></span></p> <p>賴武志直言：「司法流程會用到許多領域專門知識和用詞，以ChatGPT等通用型AI為基礎來打造司法AI應用，目前還不太可行。」因此資訊處和合作廠商根據實務場景及所需知識，自行打造出了適用於臺灣司法場景的AI應用。</p> <p>眾多AI應用中，賴武志認為最重要的是法庭語音辨識。他說，法庭開庭節奏時常會因書記官打字速度來不及紀錄發言內容，發言人陳述被迫打斷。尤其涉及多人的訴訟，發言內容更多，辨別不斷切換的發言者也成為一大挑戰。所以，司法院第一個AI應用就是語音辨識系統，2019年開始發展，2020年完成開發進入試辦。</p> <p>這套語音辨識系統，不僅能化發言為文字，還能自動斷句，加入標點符號，並自動刪除冗字。發展至今，法庭現場的中文平均辨識率已經達到92.7%，供法官在自己工作環境使用的離線版也可以達到90%左右的辨識率。今年，還計畫加入臺語辨識能力，以期減輕更多書記官手動紀錄工作。不過，賴武志坦言，在辨別臺語和口音較重的中文時，語辨系統準確率會略為下降。</p> <p>由於語音辨識準確率並非100%，因此書記官還是需要稍微修正原始逐字稿的錯別字。為了提升辨識率，在開庭前，還可以預先上傳預學習檔到系統中，訓練一個語意小模型，來補充原本的主模型未收錄或不熟悉的單字。預學習檔會包括案件涉及的人名、公司名、案件相關的專有名詞或法律名詞等。</p> <p>法庭語音辨識系統還能辨別出不同發言者，不過不是利用AI來分辨聲紋差異，而是利用輸入裝置來辨別。法庭內不同座位上的麥克風有標註身分標籤，例如證人、被告1號、國民法官1號等。系統接收音訊來源時，就能根據這些麥克風標籤來顯示對應發言者。</p> <p>目前支援語音辨識的法庭有28間，預計3年內完成150間法庭語辨系統建置。</p> <p>不只這一項，司法AI應用還有法庭電子卷證提示、電子卷證自動產生書籤及遮隱、過往量刑分析，以及AI客服等。這些應用，大多以司法院用司法資料去訓練的模型為基礎來展開，像是自動化標註出詢問問題、裁判書、筆錄及法條等文字內容的語意標籤，再依據需求提取或遮蔽資料。</p> <p>以卷證自動遮隱系統為例，如果訴訟當事人或律師向法院申請取得電子卷證，法院需要遮隱電子卷證中的個資、商業機密及其他敏感資訊，才能交給申請人。有了自動遮隱系統，法院人員便不用逐項手動處理，只需檢查系統處理後的文件。</p> <p>AI客服則是司法院第1個對外的人工智慧應用。過往，司法院AI客服主要是以關鍵字和Ruled-based的模式，讀取民眾需求，來進行簡單問答，或是提供民眾所需法律書狀格式。</p> <p>後來，運用自然語言處理模型強化後，這個AI客服開始更像是聊天機器人，可以處理口語對話。甚至，還可以記憶過往對話內容，在回答民眾問題時不僅考慮問題內容本身，還能納入過往對話情境，來提供更符合對話脈絡的解答。「連ChatGPT都是最近才開始開放這個記憶功能。」賴武志自豪的說。</p> <p>未來，司法院還要利用聲音辨識AI，讓電子卷證提示系統、法條檢索系統，跟客服系統，都能用聲音來控制。</p> <p>另一項計畫推出的進階應用是AI自動生成裁判書工具，能自動填入犯罪事實、判決理由等，生成裁判書草稿，來協助法官製作裁判書。初期可支援酒駕、幫助詐欺、毒品案件三種犯罪類型，預計年底能推出。</p> <p>司法院AI應用涵蓋審理前的線上客服、開庭間的卷證提示及筆錄生成、一路到判決後的裁判書生成。這些建置幾乎都在最近3年半內完成，不過，他坦言，這些建置，一路走來並非易事。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1132-CIO-500.jpg" style="width: 397px;" /></p> <p><span style="font-size:20px;"><span style="color:#3399ff;"><strong>司法院資訊處處長賴武志表示，如果第1次司法院IT變革是為了無紙化，第2次就是引進AI應用，將科技法庭進一步發展為智慧法庭。</strong></span></span><span style="color:#696969;"><span style="font-size:14px;">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>強化司法院基礎建設，再建立資料蒐集機制</strong></span></p> <p>基於政策和業務需求，賴武志並非一上任即開始發展AI，而是強化司法院IT基礎建設，發展IT現代化。</p> <p>司法院從2018年開始執行最新一期的數位發展政策，涵蓋了硬體、軟體、資安及智慧法庭建設等4大方向。隔年賴武志上任時，這項計畫正處於執行初期，他到職的同一日，也是審判系統20年以來最大改版的正式上線日。配合審判系統改版，他決定優先推動軟硬體和資安升級。</p> <p>第3代審判系統是司法體系處理許多文書和司法流程的系統，由於推出時間距離前代太久，發生了新舊版本銜接困難、使用者不適應，而且有些司法機關的硬體難以負荷軟體。面對這些問題，賴武志走訪全國各法院，聽取使用者意見來作為改善審判系統參考，同時也對使用者進行教育訓練。</p> <p>審判系統改善內容包括，強化文書編輯器等常用功能的使用者體驗、系統資訊安全，以及橫向系統連結，也就是串接審判系統以外的其他法院常用系統，讓使用者不必跳轉到其他程式。</p> <p>另一方面，他也持續執行5年計畫中的硬體更新方針，編列硬體更新預算，逐年汰換電腦設備，並強化網路環境。尤其疫情為了視訊開庭，大幅提升了網路建設和硬體設備規格。基礎軟硬體設備現代化後，司法院今年起要開始建置南部新機房，跟北部機房互為備援，進一步提升服務穩定度，來支援IT系統向上集中，以及下一階段的法院資料向上集中策略。</p> <p>由於每一個法院各有獨立的資料庫，雖然資料結構相同，但中央要蒐集資料時仍需花2至3天，來彙整各法院的資料。為了因應業務需求或開發AI應用，去年年底開始，司法院逐步推動資料向上集中，將分散於各處的資料整合進司法院資訊處，利用大數據平臺來管理、探勘、應用。</p> <p>第一階段，是蒐集多達上千萬份的各法院審判系統資料。這些資料格式接近於半結構化資料，可以用來分析、探勘，更能用於訓練開庭語音辨識、裁判書草稿生成等AI模型。下一階段，要集中歸檔電子卷證，搭配OCR和NLP來提取各式非結構化資料的語意標籤，來進一步豐富AI訓練資料。</p> <p><span style="font-size:28px;"><strong>發展AI應用挑戰多，專業人才不足、使用者接受度都是課題</strong></span></p> <p>雖然一開始的任務是翻新IT基礎建設，不過，上任一年後，賴武志決定調整資訊處的組織架構，新增2個專責小組，分別發展自動化及AI應用。其中特別有3個專責人力負責AI，但這樣的人力規模不足以開發所有AI應用，所以，賴武志的策略是，指派這個團隊，專門研究應用可能、管理開發專案，以及擔任司法業務相關人士和外部開發廠商間的溝通橋樑。像是訂定AI應用的驗收標準就是一大挑戰，傳統資訊系統招標，很容易訂定明確的驗收標準，但AI應用不然，需要廠商和使用者不斷溝通可接受的標準。</p> <p>就法庭語音辨識系統來說，若語音辨識準確率太低，書記官要手動校正太多錯字，就會影響使用意願；若要求太高，廠商又不願承擔違約風險，因而影響投標意願。再加上，司法類AI應用只有司法機關採用，沒有前例可參照，因此，雙方花了許多時間溝通驗收標準。最後，雖然理想中準確率要超過95%，在實驗室中也確實能達成，不過，驗收標準是採用法庭現場辨識率88%為基礎，逐年上調。</p> <p>不只打造創新應用是難題，說服使用者採用也是另一個重大挑戰。許多法院人員習慣傳統工作方法，使用智慧法庭新建置的意願相當低，甚至往往因為不熟悉操作方法而卻步。幸運的是，趁著國民法官制度的設立，帶來審理流程轉變，例如起訴卷證不併送和集中審理等模式，更凸顯了語音辨識等AI應用的重要性，因此，司法院選擇國民法官法庭成為新審理科技展示和實驗舞台，有望加速新科技推廣。</p> <p>賴武志說，資訊處無權強制任何人使用新科技，但他們會嘗試用資訊技術來減輕使用者的負擔，盡量縮短新舊交替的陣痛期。例如，資訊處開發了一套新的練習工具，讓書記官練習為自動生成的逐字稿改錯字，而非傳統聽打訓練。</p> <p>今年司法院要訂定下一個5年的數位發展政策。過往這個政策多為資訊處所草擬，不過這次，中研院研究員在研討會上和立法院在預算審查時，都對新的數位政策表達關注，希望能致力於訴訟程序的數位轉型，立法院甚至通過主決議，要求司法院提交制定數位政策過程的相關會議記錄或報告。</p> <p>賴武志表示，司法院資訊處會持續推動智慧法庭及各式司法程序數位化措施，不過未來有了更多方的關注及助力，不論是立法院配合數位政策制定相關法規，還是更多具法律領域知識的專業人士提供意見，甚至只是增加對數位政策的關注度，都有望讓臺灣司法在數位轉型的路上，跨出更大一步。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><span style="color:#3399ff;"><strong>賴武志　司法院資訊處處長</strong></span></p> <p>學歷：東吳大學巨量資料管理學院碩士</p> <p>經歷：曾任行政院主計總處專員、科員，後至臺北地方法院擔任法官及庭長。2019年，調至司法院資訊處處長，推動第3代審判系統優化、軟硬體及資安強化、備援機房建置、大數據平臺應用，並設立專職團隊，研究並管理各式司法AI應用專案的開發</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機關檔案 </span></strong></span></p> <p><span style="color:#3399ff;"><strong>司法院</strong></span></p> <p><span style="color:#3399ff;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1132-CIO-200.jpg" style="width: 250px;" /></strong></span></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／洪政偉</span></p> <p>地址：臺北市中正區重慶南路一段124號</p> <p>主要業務：為國家最高司法機關，設大法官審理解釋憲法與統一解釋法令、總統副總統彈劾及政黨違憲解散案件；另掌理與民事、刑事、行政訴訟審判與公務員懲戒等有關之行政事項。</p> <p>員工數：507人</p> <p>機關首長：許宗力</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門名稱：資訊處</p> <p>直屬主管：司法院秘書長林輝煌</p> <p>資訊部門人數：約30餘人</p> <p>每年IT預算：約6億元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2016年：民事訴訟線上起訴系統正式上線啟用</p> <p>2018年：建置本院及法務部所屬機關間電子卷證網路交換檔案機制</p> <p>2019年：法院第三代審判系統正式上線</p> <p>2021年：司法院官網「智慧客服小幫手」試營運</p> <p>2022年：智慧財產案件開放線上遞狀、收狀</p> <p>2020年：疫情期間開始建設遠距視訊法庭、建置國民法官法庭中文語音辨識系統</p> <p>2023年：預計審判書自動生成系統年底上線、開始規畫備援機房建置</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1132-cio-960-v2.jpg" width="960" height="420" alt="" title="司法院資訊處處長賴武志　（攝影／洪政偉）" /></div></div></div>
2023/6/5 00:00作者郭又華https://www.ithome.com.tw/people/157177
開啟臺灣通用資安職能基準之路，資安院人培中心積極展開行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著近年各國相繼推動資安人才技能框架，包括國際上知名的美國NICE網路安全人才框架，以及歐盟的ECSF網路安全技能框架，期望為當地資安人才培育，奠定更好的基礎，而臺灣政府同樣重視這樣的議題。</p> <p>在臺灣，除了在金融與新興資安產業等領域已有發展，更值得我們關注的是，在我國數位發展部監督下的行政法人國家資通安全研究院，旗下人才培力中心如今亦開始行動，將打造臺灣資安「職能參考基準」，並且是各產業都能通用的內容，提供更貼近於國內環境的資安職能資源。</p> <h3><strong>資安院將開發國內通用的「職能基準」，未來亦有政府機關版本</strong></h3> <p>關於這份資安「職能參考基準」如今的發展情形如何？是否針對國內資安人才培育能提出整體性的推動戰略？都是不少人非常想瞭解的。</p> <p>簡單來說，國家資通安全研究院前身是行政院國家資通安全會報技術服務中心（簡稱技服中心），與原國家實驗研究院資安卓越中心整併改制而成。</p> <p>對此，國家資通安全研究院人才培力中心鄭瑋表示，為了健全資安人才生態發展，目前人培中心已有整體規畫，將從需求出發，並以三大層面作為發展方向，分別是：基礎資安教育、中階在職培訓，以及進階專業培養，藉此建構出我國資安人才培育生態。</p> <p>而從具體行動目標來看，可分為4大步驟，包括：（一）辨別人才缺口，（二）打造資安人才職能框架，（三）發展資安培訓綱要與課程，（四）發展評量機制與鑑測指引。</p> <p>由此可見，打造資安人才職能框架，發展完整職能參考基準，就是整體發展的一個重要階段。</p> <p>在此之前，臺灣的各個公部門，針對不同範疇和對象，也已經形成了各式資安職能基準相關資源。例如，過去技服中心提出「資安職能訓練發展藍圖」，主要適用於公務機關人員，當中從策略、管理、技術（網路管理、事件處理、資安檢測、軟體安全）等面向出發，發展公務機關所需資安職能課程與教材。 </p> <p>此外，還有金管會的金融資安人才職能地圖，以及教育部針對新興資安產業人才的職能地圖等。</p> <p>在2023年，隨著全球各國發展資安人才技能框架的態勢，對於國內整體環境，不論產業資安、資安產業，如今的國家資通安全研究院人才培力中心（以下簡稱資安院人培中心），已經開始著手行動，將設計一個通用的資安職能參考基準，之後再由主責機關頒布為資安「職能基準」。另外，後續他們還將會與資安署合作，發展政府機關人才專用的版本。</p> <p>現階段，這份資安職能參考基準已有初步進展。鄭瑋表示，在評估國際間近年所推行的資安技能框架之後，包括美國、歐洲、加拿大、澳洲與新加坡等，他們認為，美國的NICE框架及歐洲ECSF框架，其實都提供很好的基礎，可以作為我國在發展職能參考基準時的基底，現在已決定以歐盟的ECSF框架，作為中心規畫的主要參考。</p> <p>之所以選擇ECSF，主要原因在於，ECSF所定義的12種人才類別，比起NICE框架的52類別來得簡明，亦可能較適合臺灣。</p> <p>畢竟，在臺灣的產業結構中，對於中型企業、小型企業或政府機關而言，通通常需要組建規模較小、但功能全面的資安團隊，因此，12個類別會是更容易推行與實施。</p> <p>不過，由於NICE對於資安專業能力的分類更為細膩，因此，他們會將其內容，也就是針對當中的知識、技術與能力（KSAs）描述進一步提煉，以便對應到12類的資安人才類別。</p> <p>簡言之，我國的資安職能參考基準，主要以ECSF的12類人才類別為主要參考，其細節則是借助NICE框架的定義來設計。不過，鄭瑋表示，這也將是目前開發資安職能標準上的一大挑戰。</p> <p>因為，如果要將ECSF框架對接到NICE框架，市場上還沒有出現較為可信且權威的版本，估計需要數年進行研究分析。</p> <p>以目前資安院人培中心的計畫來看，預計是每年選定2到3種人才類型，完成職能參考基準與課綱的規畫，而第一年首先聚焦的是「資安長」與「事件分析工程師」。換言之，這兩類人才也是現在國內環境最迫切的需要。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%961%EF%BC%892023%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E5%9C%B0%E5%9C%96%E7%99%BC%E5%B1%95%E6%85%8B%E5%8B%A2.png" style="width: 600px;" /></p> <p><strong>為了建立臺灣通用的資安職能參考基準，國家資通安全研究院人才培育中心展開行動，將以歐洲ECSF框架所定義的12種人才類別為主要參進階的層級。考，從美國NICE框架KSA知識體系提煉與對應，以建構一套客觀與嚴謹，且符合我國使用的職能基準</strong></p> <h3><strong>目前最欠缺維運防禦人才，有了職能基準，能使需求變得更精確</strong></h3> <p>為何各國都在積極推動資安人才框架？為何臺灣發展資安「職能基準」很重要？</p> <p>鄭瑋指出，過去，資通安全被認為是籠統的大專業，大家並未對「資安人才」的職能加以區分。</p> <p>而從多年來的人力供需狀況來看，企業實際上是缺人的，學校雖然是培養資安技術與架構的研發人才的主力，但這些人才畢業之後，有很大的比例可能會流向其他行業。</p> <p>特別的是，為了辨別資安人才缺口，資安院人培中心已先進行了一項調查，在2022年5月公布的需求調查結果中，他們發現我國企業的資安相關求職廣告中，懸缺最多的是在第一線進行維運防禦的人才，比例高達54.25%，從客觀角度來看，這結果很可能與學校近年積極培養的研發人才方向不太吻合。</p> <p>因此，如果能有一個通用的資安「職能基準」，其最大意義就是讓大家在溝通時，就能更精確地表述企業與組織本身培養哪些人才，以及自己需要哪類人才，讓需求可以更為精確。</p> <p>否則，縱然求職與求才的數字是逐年靠攏，但很可能仍然處於彼此無法良好匹配的情形。</p> <p>她並用一個場景來舉例說明：當一家雲端服務開發商需要一位前端工程師，並希望該人員要具備加解密、身份認證流程設計，以及實作的能力，然而，這家公司在徵才時，可能不清楚如何描述這些技能與知識的需求，因此，往往會在職缺項目當中，寫成：「有資安經驗佳」或「資訊安全相關設計」，在這樣的情況下，很可能導致具備這些專長的人才無法察覺到這個機會，而企業也很有可能因此找不到需要且適合的人才。以上述例子而言，如果雙方都知道徵求的職缺，其實，是與ECSF的CyberSecurityImplementer職能有關，如此一來，在媒合上將會更有效率。</p> <p>整體而言，從整體市場來看，未來有了資安職能基準，就能更快、更有機會達成「供需平衡」。同時，對於有意加強資安的企業，以及有意往資安專業發展的學生、轉職人士，都能更清楚要加強的面向。</p> <p>而從政府的角度來看，同樣也是會帶來好處。這是因為，有了職能參考基準，資安院人培中心將能更精準觀察國內整體人才培育的現況，包括：可精準盤點人力資源，釐清人力流向與缺口，並可以方便推動後續的課程規畫、開發課程、與發展鑑測指引。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%962%EF%BC%89%E5%9C%8B%E5%AE%B6%E8%B3%87%E9%80%9A%E5%AE%89%E5%85%A8%E7%A0%94%E7%A9%B6%E9%99%A2%E4%BA%BA%E6%89%8D%E5%9F%B9%E5%8A%9B%E4%B8%AD%E5%BF%83%E4%B8%BB%E4%BB%BB%E9%84%AD%E7%91%8B_%E6%94%9D%E5%BD%B1iThome.jpg" style="width: 600px;" /></p> <p><strong>國家資通安全研究院人才培力中心主任鄭瑋表示，發展資安領域的「職能基準」，是資安人才培育的一個開始，現在正在進行，2023年將先聚焦資安長與事件分析工程師的職務。另外，鄭瑋也特別提及，今年還有一項重點執行項目就是，全民資安意識的推廣，會在第二季緊鑼密鼓展開。而這正是多年來國內所一直欠缺的資安強化面向。</strong></p> <h3><strong>開發通用職能基準的挑戰很大，而且建構可重複研究方法很耗時</strong></h3> <p>由於資安院人培中心的資安「職能基準」還在開發階段，甚至要數年之久，我們不禁好奇，為何需要花上這麼久的時間?再開發職能基準的過程會面臨那些挑戰？</p> <p>儘管我們知道，以美國NICE框架而言，2008年提出概念，在該國多個機構的合力發展之下，也是2012年才發布，到了2020年還在持續改版。</p> <p>鄭瑋解釋，關於職能標準的研究分析與開發，若研究員是根據自身經驗、從主觀的角度出發，是可以很快完成這項工作，但若要秉持客觀與嚴謹性，將有很多嚴謹的資訊組織原則要考慮。</p> <p>更困難的一點在於，需要建立可重複的研究方法，讓未來大部分的專家都能按照該「方法」去匹配這些職能元素，這很可能會是最花時間的挑戰。</p> <p>為了讓外界容易理解這方面的挑戰，鄭瑋進一步說明。她表示，制定職能基準與其他制定標準的工作是一樣的，不只完成報告文件，而是要建立系統性的方法與規範。而資訊科學當中的有些原則，可以幫助人們在組織資訊的同時，顧及分類的嚴謹性、可靠性與實用性。</p> <p>以NICE框架的職能元素為例，關於知識、技能與能力的分類，總共有多達1千多項，要讓每一項產出的元素全部達到這些原則，需要非常細部的研究工作。至於詳細情形，鄭瑋特別用下列幾個例子來說明：</p> <p><strong>■減少用詞模糊性</strong></p> <p>在書寫或翻譯職能參考基準的元素時，需要避免使用讓人一眼看過去就無法看懂的項目，否則這份參考就不容易被使用。</p> <p><strong>■使用控制詞彙</strong></p> <p>不能隨意選擇「看似合理」、「看似就是這樣翻譯」、「研究員主觀覺得沒問題」的詞彙。基本上，所有的職能元素，包含工作角色、任務、知識、技能、能力使用的詞性、語法、語意都需要積極管理。舉例來說，NICE框架中的「知識」項目，便沒有使用動詞，而是使用名詞，因為知識是去理解一件事情，它本身就是一件事情（名詞）；同樣是運用和執行一項工具（英文的uptake），也不能因為中文的詞彙差不多，而隨心所欲地有時採取「使用」，有時又採取「利用」或「運用」，如果這麼任性而為，也就不是「標準」了。</p> <p><strong>■建立語彙之間的階層關係</strong></p> <p>以發展職能的細項來說，技能與知識的排列與區分，應該要由最基礎到最進階，由具體目標到抽象目標。具體來說，教育學者有提出很多和理解知識相關的詞彙框架，以一項知識為例，「暸解」、「識別」這些動詞應出現在較為基礎的知識層級，而「分析」與「應用」、「評估」則會出現在較為進階的層級。</p> <p><strong>■嚴謹規範元素之間的關係</strong></p> <p>之前學者專家曾提出NICE框架的缺失，例如有些KSA元素是孤懸的，也就是KSA項目制訂出來之後，卻沒有被任何工作角色對應承接，雖然後續NICE很快修正，但，這也是他們在開發上會需要注意的部分。</p> <p>對於我國資安「職能基準」未來將會具備的特性，鄭瑋也透露，將強調資訊組織方法、資訊公開與互動性等特色。具體而言，他們會希望公布分類方法與細部考量，這麼做的好處是，能夠達到可再現性與可擴充性，也就是說，讓未來國家資通安全研究院內或院外的相關研究人員，都能按照同樣的方法，去擴充與維護這個職能基準，或是客製化自己需要的版本。例如，各部會可用同樣的方法，去客製化自己需要的版本，無論是醫療、關鍵基礎設施等。</p> <p>當然，資料的互通性同樣有很多原則需要顧及，不論是否提供完整的，而他們也希望後期熟練後可以加快步調。</p> <p>無論如何，目前這項職能基準的發展已在進行，未來也希望資安院人培中心研究員在越來越熟練之下，可以加快開發的腳步，將12種人才類型的職能基準與課綱規畫陸續完成。</p> <h3><strong>建立整合就職調查的臺灣資安人才專屬網站，也是可行的方法</strong></h3> <p>值得一提的是，對於未來人才培訓的規畫，我們之前注意到美國CyberSeek或歐洲CyberHEAD的作法，這些也值得借鏡，透過成立資安人才專門的網站，整合就職調查與培訓資源，並提供就職的路線，形成資安人才入口網站，讓使用者可以在這個網站得到所需的資訊與資源。</p> <p>鄭瑋也對這種方式提出看法。她表示，NISTCyberseek的做法可以參考，不過，這樣的網站看來可能還是有點複雜，他們日後若要做，應該會讓網站更簡明一些。她還提到人培中心最近也在籌備翻新網站，未來的展望是讓我國的資安人才也能有這樣的入口，可以在上面得到所需的資訊與資源。</p> <p> </p> <h2 class="rtecenter"><span style="color:#0099ff;"><strong>推動國內資安人才培育，資安院從三大構面發力</strong></span></h2> <p>過去我國在國家資通安全發展方案等施政計畫之下，在資安人才培育方面依據各部會職掌，交由不同部會來處理對應的人才培育。例如，教育部主要負責大專院校人才培育、學程教育，因應資安人才培育需求形成各項計畫與子計畫（AIS3），最為著名，而經濟部也開設產業人才相關課程與在職培訓，過去的行政院國家資通安全會報技術服務中心，也長期針對政府機關，開發資安職能訓練課程教材，辦理資安系列競賽以挖掘潛在資安人才等。如今，隨著數位發展部國家資通安全研究院的設置，資安院旗下人才培力中心主任鄭瑋表示，他們將從三大層面著手推動。</p> <p><strong><span style="color:#B22222;">1.基礎資安教育　</span></strong>首先是全民資安意識的推廣，資安院人培中心將在2023年第二季投入能量，促進全民資安基礎智識與意識的養成，這是以往臺灣極度欠缺的一環，如今終於有所行動；再者，將培養國高中職學生對專業資安領域的啟蒙學習，並引介資安國手知能經驗；另外，將持續透過資安系列競賽（如舉辦多年的金盾獎），鼓勵更多學校學生投入。</p> <p><strong><span style="color:#B22222;">2. 中階在職培訓　</span></strong>此層面將是最重要的一環，當職能參考標準制定逐漸完善後，將發展課綱與指南供產官學參考使用，並藉此建立相應的課程，最後建立鑑測評量的引導建議。若能盡快完備此一層面，將有助於帶動整體資安人才生態，成為資安維運、開發的基石，再往上精進為高階人才。</p> <p><strong><span style="color:#B22222;">3. 進階專業培養　</span></strong>高階資安人才不可欠缺，過去在教育部先進資通安全實務人才培育計畫之下，不僅鼓舞學生對資訊安全的學習熱情，並有針對部分資安領域的高階人才的養成與培育，祭出多項計畫與措施，而國家資通安全研究院也希望藉由公法人身分，結合社群的技術能力與實戰經驗，多培育進階專業的資安人才。</p> <p>畢竟，高階的資安人才是我國強健的實力展現，目前資安願人培中心亦有初步計畫，例如，預計在2023年舉辦3場高階人才的訓練班，並以「事件分析工程師」人才類型為主。同時，國家資通安全研究院也將設法藉此訓練班，培養出更多種子師資，並建立專家人才資料庫，以累積未來計畫推動能量。</p> <p><strong style="font-size: small; vertical-align: top; background-color: rgb(247, 247, 247); color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif;"><span style="vertical-align: top; color: rgb(51, 153, 255);"><span style="vertical-align: top; font-size: 20px;">本文出自《CYBER TALENT 臺灣資安人才專刊》</span><img alt="" src="https://s4.itho.me/sites/default/files/images/CYBER%20TALENT%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E5%B0%88%E5%88%8A_%E7%B7%A8%E8%BC%AF%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 150px;" /></span></strong></p> </div></div></div>
2023/6/4 12:00作者羅正漢https://www.ithome.com.tw/news/156621
臺灣積極建立資安職能的基準，因為國家網路安全的關鍵是人才數量與素質提升
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安人力不足、資安人力不易培育都是行之有年的全球議題，所涉及的部分，並不只是資安人才的供給能否能跟上需求，更重要的是，企業組織該如何培育資安人才，或是更有能力招聘擁有合適資安技能的人才。</p> <p>多年來，坊間一直都有培訓機構提供資安教育訓練課程，資安業者自身也有內部的培訓，而教育部從2015年開始，逐步啟動「資訊安全人才培育計畫」，並延續第二期計畫至今。</p> <p>在2018年，我們注意到，國內各界對於資安人力培育取得了更多進展。例如，當時行政院資通安全處曾經打算籌設資安學院；在學界，交通大學成立的「亥客書院」開發出資安職能地圖，以工作性質與資安領域切分資安職能，提出16種面向，希望提供拋磚引玉範例；同時，iThome從2018開始每年進行的iThomeCIO大調查，在瞭解企業資安災情、資安投資現況之餘，對於資安人力需求的現況，也持續是調查重點。</p> <p>特別的是，在2018年後，我們探討資安相關議題時，開始得知美國有一項NICE網路安全人才框架NICE，是資安人力培育可借鑑的參考資源。只是，當時鮮少有人公開提倡。</p> <p>2022年歐盟網路安全局（ENISA）發布ECSF歐洲網路人才技能框架後，我國恰巧在這段期間，設立以數位發展部為監督機關的國家資通安全研究院，正打造我國通用的資安人才技能框架。</p> <h2><strong>發展資安技能框架受多國重視，我國資安職能基準已在開發</strong></h2> <p>事實上，我們這幾年在關注資安人力議題時，除了注意到<a href="https://www.ithome.com.tw/news/156705">美國NICE框架</a>的發展，以及<a href="https://www.ithome.com.tw/news/156746">歐洲ECSF框架</a>的出現，最近兩年，我們也看到國內獲得一些進展，包括：金融監督管理委員會、教育部，已針對金融領域、新興資安產業，發展出個別領域的資安人才職能地圖。</p> <p>2023年初，我們得知國家資通安全研究院在這方面也開始展開行動。</p> <p>對於臺灣通用資安人才技能框架的發展情形，國家資通安全研究院人才培力中心主任鄭瑋表示，國內除了各部會針對轄下專屬領域有各自的計畫，之前在行政院技服中心方面，也有政府機關人員的《資安職能訓練發展藍圖》，如今，國家資通安全研究院人才培力中心將會站在整體角度，規畫出國內各產業都能通用的職能參考基準，也就是說，不論是資安產業、產業資安皆可適用，並待日後資安主責機關頒布，而成為我國的資安「職能基準」。</p> <p>不過，她也透露，這套職能標準的研析與開發，會需要幾年時間來完成，儘管實務上若從主觀角度出發，可以很快完成，但他們仍希望秉持客觀與嚴謹性，建立一套可重複的研究方法，因此需要花上不少時間，而之後也將公布分類方法與細部考量。目前，他們第一年將選定「資安長」與「事件分析工程師」這兩類職務來規畫，並希望後期熟練後可以加快步調。</p> <p>而在國際有哪些國家重視這方面議題？鄭瑋表示，他們研究這方面議題時，不只看到美國與歐洲支持，同時還檢視一些國家所制定的資安人力框架，包括：加拿大的<a href="https://itac.ca/wp-content/uploads/2020/06/June2020-Newsletter-Cybersecurity-Skills-Framework-Final.pdf">CanadianCybersecuritySkillsFramework</a>、澳洲的<a href="https://www.cyber.gov.au/acsc/view-all-content/publications/asd-cyber-skills-framework">ASD Cyber Skills Framework</a>，以及OT領域的新加坡<a href="https://www.csa.gov.sg/Tips-Resource/publications/2021/operational-technology-cybersecurity-competency-framework-(otccf)">Operational Technology Cybersecurity Competency Framework</a>。這或許也反映各國已日益積極面對資安人力不足，以及技能差距的問題，因為，在2020年之後，已有不少國家都在設法改善。發展臺灣資安職能的標準是否有必要？若沒有，又會怎樣呢？鄭瑋表示，如果有個通用的資安「職能基準」，大家溝通時，就能更精確地表述自己培養了哪些人才，以及自己需要哪類人才，從而更精確地滿足需求。</p> <p>否則，縱然找工作和找人才的數字逐年靠近，但仍可能出現無法匹配的情況。現階段，人培中心參考歐洲ECSF框架，並以美國NICE框架為輔助，建構適用於我國環境的通用職能基準。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89_%E9%84%AD%E7%91%8B_%E5%9C%8B%E5%AE%B6%E8%B3%87%E9%80%9A%E5%AE%89%E5%85%A8%E7%A0%94%E7%A9%B6%E9%99%A2_%E4%B8%BB%E4%BB%BB_20230418_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(255, 140, 0);"><strong>發展資安技能框架受多國重視，我國通用資安職能基準已在開發</strong></span>　<strong>因應資安人培育，隨著美國NICE網路安全人才框架與歐盟網路安全技能ECSF框架的推動，國家資通安全研究院人才培力中心主任鄭瑋表示，國內除了各部會針對轄下專屬領域有各自的計畫，之前在行政院技服中心方面，也有政府機關人員的《資安職能訓練發展藍圖》，如今，國家資通安全研究院人才培力中心正開發不論資安產業、產業資安都能適用的資安職能參考基準，日後則由資安主責機關頒布為資安「職能基準」。</strong></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%961)%E5%9C%8B%E9%9A%9B%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E6%A1%86%E6%9E%B6%E7%99%BC%E5%B1%95%E4%B8%80%E8%A6%BD.jpg" style="width: 600px;" /></strong></p> <h2><strong>對於金融與新興資安產業而言，臺灣目前已有可參考的職能地圖</strong></h2> <p>除了正在發展臺灣通用的資安職能基準，國內個別專屬領域的職能地圖發展動向，也備受關注。</p> <p>在我們進一步追蹤之下，除了已知的金融業領域、新興資安領域，同時我們還注意到，包括政府機關、半導體領域，未來也將有類似的發展。</p> <p>例如，以金管會而言，2021年6月正式發布《金融資安人才職能地圖》；在教育部先進資通安全人才培育計畫之下，其子計畫資安產業媒合與校友追蹤服務中，在2022年，也推出《臺灣資安職務地圖-2022新興資安產業版》。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962s%EF%BC%89%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%81%B7%E8%83%BD%E5%9C%B0%E5%9C%96%E4%B8%BB%E6%96%87_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(255, 140, 0);">建構金融資安人才職能地圖，幫助金融業招募與培訓 </span>金融監督管理委員會2021年發布《金融資安人才職能地圖》，該單位資訊服務處處長林裕泰表示，不僅金管會旗下訓練機構以此作為課程規畫的參照，這份職能地圖得到許多回饋，不只資安單位可用，企業的人資單位也都為了資安人力的培訓與招募來徵詢。攝影／羅正漢</strong></p> <p>之所以發展金融資安人才職能地圖，其實是金管會推動金融資安行動方案1.0時就有的計畫，因為金管會當時向金融業者徵詢意見時，就注意到金融機構面臨找不到適合人力的現況。</p> <p>如今，該職能地圖的發布已經快要兩年，因此，我們也想瞭解是否已有一些成效或回饋？金管會資訊服務處處長林裕泰表示，他們在這方面收到很多金融機構的諮詢，令他們印象深刻的是，對方不見得都是公司資安部門，人事部門的反應也相當熱烈，主要詢問的內容就是可否藉助金融資安人才職能地圖，用於培訓與招募。</p> <p>同時，金管會也會統計相關資訊，像是旗下培訓機構培訓人數，金融機構內考取資安證照的人數，這麼做主要是為了瞭解整個產業的人力應用趨勢。整體而言，目前他們的觀察是，培訓計畫具有正向帶動的效果。</p> <p>關於《臺灣資安職務地圖－2022新興資安產業版》，在2022年已發布，負責這項計畫的輔仁大學資訊工程系特聘教授許見章表示，基本上，透過臺灣資安職務地圖的指引，能讓不同角度的人了解資安人才需求；對於求職者而言，可依其興趣，由職務地圖規畫學涯及生涯學習路徑；對於產業界而言，將可依其需求，由職務職能地圖來檢視對求才職位的適合性；對於學校及資安訓練機構而言，則能依照教育目標與核心能力養成，開設對應的職能訓練課程。</p> <p>而在這份職能地圖發布後，許見章表示收到產官學的正向回饋，可應用在企業資安人才培育、篩選及團隊建立的依據，同時，在輔仁大學人工智慧與資訊安全學位學程中，也已經將其課程對應部分基本職能及專業職能，例如，安全程式設計、軟體工程概論的課程，對應職能地圖中的PC13安全系統開發。</p> <p>至於另兩個不同領域專屬的相關計畫也會進行，例如，經濟部工業局亦委託資策會執行半導體人才專業職能基準的規畫，預計在2023年發布；以國家資通安全研究院人才培力中心而言，之後將接續發展政府機關人才的版本。</p> <h2><strong>建構資安知識技能體系，是確保國家網路安全根本</strong></h2> <p>再從國際角度來看，讓我們將時間拉回過去，早期並無可參考的相關標準，事實上，面對資安人力與職能的挑戰，自2010年起，全球才有較具體的行動。</p> <p>例如，在國際間，主要帶領全球資訊科技發展的美國，對於資安科技發展也相當重視。大家都知道美國資安產業發展得相當蓬勃，但可能沒想過的是，該國政府其實很早就意識到，要確保國家網路安全，背後的資安人才亦是關鍵之一，但是當時對於網路安全人才一職，並沒有清楚的定義與評估。</p> <p>為了應對這一挑戰，美國聯邦資訊長委員會在2008年擔起了這項任務，希望在美國國土安全部建立IT安全基本知識體系（EBK）的基礎上，提供一個標準框架，以了解該國聯邦政府內的網路安全角色。最終目標，就是希望透過提高網路安全專業人員的數量與素質，來強化國家網路安全能力。</p> <p>於是該國政府2010年啟動國家網路安全教育倡議（NICE）計畫，匯集來自多個聯邦機構的專家小組意見，協助美國聯邦資訊長委員會製作研究報告，2012年9月正式發布NICE網路安全人才框架，2014年4月第二版出爐。</p> <p>這框架的用意很明顯，就是幫助組織建立能應對資安挑戰的工作人員團隊，並提供通用且一致的詞彙，建立詳盡的分類與描述，希望有助於識別、招募與發展安全人才時的溝通，甚至為企業雇主、既有與未來的資安人力，教育機構與培訓者，以及技術供應商帶來幫助。</p> <p>同樣地，我國政府在2010年亦重視這方面的議題，在行政院國家資通安全會報「國家資通訊安全發展方案（98-101）」的政策之下，由行政院國家資通安全會報技術服務中心負責，提出公務人員資安職能規畫，目標是以訓練、評量方式，規畫相對應的資安課程與評量制度，盼能建立長期適用的公務人員資安職能規畫。</p> <p>儘管當時的畫分較簡易，只以公務人員職務畫分4類型，包括一般主管、一般使用者、資訊人員、資安人員，再依據執行日常任務時所需的資安能力，提供訓練參考課程，但至少當時，資安職能問題已受關注。</p> <p>至於一般的企業組織，雖然當時已有少數懂得將資安風險納入營運風險考量，但多數仍在單純享受資訊數位化與雲端技術的好處，因此，並未審慎考量資安風險，而在當時資安需求不高的氛圍下，本土資安產業也才慢慢興起，因此我國資安人才的發展，自然也容易因此受限，而相關人才大多從自身經驗、資安證照體系而來，或以資安社群為出發。</p> <h2><strong>懂得盤點團隊所需人才與技能，成為最近三年的最夯議題</strong></h2> <p>近年來，NICE框架仍在進化中。尤其是在2017這年，美國國家標準與技術研究所（NIST）又有動作，NICE框架發布為NISTSP800-181標準，加上2020年修訂版推出，明顯帶動資安人才知識技能體系建構潮流。</p> <p>特別是去年2022年9月，歐洲也打造出他們專屬的資安人才框架ECSF，是由歐盟網路安全局（ENISA）發布。</p> <p>其設計用意與美國的NICE框架相當，都是為了建立資安工作技能的共通語言，當中並確定歐洲資安領域最需要的12大類工作職務，以及相關所需知識、技能，以幫助當地個人、企業主與培訓計畫提供者的之間溝通。</p> <p>因為，他們也認為，未來數位世界的安全，將大幅依賴有效且適當的資安人才能力，加上資安工作的市場預計將進一步蓬勃發展，因此，人員的資安技能該如何強化，以及網路安全培訓課程應如何設計，均能參考ECSF框架而獲得一些幫助，因為它不只是具體工具，也是加強歐洲網路安全文化的重要基礎。</p> <p>綜合來看，在國際與臺灣對於資安技能與職能的盤點之下，對於一般企業組織而言，過往可能對資安人力的職能培訓沒有方向，也無從評估其「稱職度」，現在有了這些人才技能框架、職務職能地圖，等於有了具體參考資源。同樣的，培訓機構在資安課程內容規畫方向的盤點，以及資安人員對職涯的探索，現在也有具體的參考資源能借鑑。</p> <p>不過，自從這類資安人才框架發布以來，有些資安界人士認為，資安職能的範疇不用畫分那麼細，甚至表示他們不知道有這麼多類型資安角色。</p> <p>但是，從整體角度來說，這些職務角色的區分仍然很有意義。像是金管會資訊服務處處長林裕泰就表示，他們會考慮到金融業有規模大小之別，以銀行、保險業而言，這些業者的資訊部門、資安部門可能就有幾十個人，而證券業的資訊資安技術部門人員明顯就少，可能只有2到3人。</p> <p>因此，儘管這些職能可以分得很細，對於小規模的公司適用性並非那麼貼切，但他們本身在設計職能地圖時，還是必須將一些職能拆解出來，這是因為大規模公司整體運用的資訊設備、技術較多，涵蓋的層面廣，需要不同人才。</p> <p>換言之，若只將資安工作角色數量定義太少，也不適當，因為若是分類的粒度太粗，對於需要細部進行分工的企業與組織而言，能夠參考的部分會受限。</p> <p>我們認為，對於企業應用而言，如果基於美國NICE框架與歐洲ECSF框架的發展來看，現在其實都會強調要如何彈性去應用，而非只有照本宣科一途，因此大家在看待這類資源所定義的人才類型時，應該要體認到，每個企業都可以根據自己需求，來參考這樣的基礎，並以此定義自家資安團隊所需的角色，以及所需要的知識技能。</p> <p><strong style="vertical-align: top; background-color: rgb(247, 247, 247); color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif; font-size: small;"><span style="vertical-align: top; color: rgb(51, 153, 255);"><span style="vertical-align: top; font-size: 20px;">本文出自《CYBER TALENT 臺灣資安人才專刊》</span><img alt="" src="https://s4.itho.me/sites/default/files/images/CYBER%20TALENT%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E5%B0%88%E5%88%8A_%E7%B7%A8%E8%BC%AF%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 150px;" /></span></strong></p> </div></div></div>
2023/6/4 12:00作者羅正漢https://www.ithome.com.tw/news/156757
微軟提供AI函式庫供企業在Teams開發自有Copilot應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟已在其Microsoft 365生產力工具加入Copilot擴充套件，運用大型語言模型協助用戶處理語言任務，而現在微軟要進一步擴展大型語言模型所能提供的支援，推出Teams AI函式庫。<a href="https://devblogs.microsoft.com/microsoft365dev/build-your-own-apps-copilot-on-microsoft-teams-with-the-new-teams-ai-library/">Teams AI函式庫</a>是一個開發工具，讓開發者可在Teams平臺上建構人工智慧應用程式。</p> <p>Microsoft 365 Copilot是一個針對Microsoft 365應用和服務所開發的人工智慧助理功能，以GPT-4大型語言模型為基礎，協助用戶完成複雜的語言任務，包括制訂銷售宣傳計畫、生成圖像或是快速跟上錯過的會議等。</p> <p>微軟現在推出Teams AI函式庫，便是要將Copilot強大的功能下放給開發者，使得開發者可根據需求，建置具有人工智慧功能的Teams應用程式。</p> <p>Teams AI函式庫內含進階人工智慧元件，包括對話式人工智慧、提示語管理和安全審查等功能，開發者可以創建高度互動的應用程式。官方提到，該函式庫的設計考慮開發的簡單性和靈活性，所以開發者不需要花費大量的時間，理解複雜的協定或是編寫自定義對話邏輯。</p> <p>開發者可以使用符合需求的提示語自定義機器人，而函式庫會記得對話中的上下文，提供用戶流暢的對話體驗，用戶也不需要遵循一套既定的操作方法。由於函式庫以GPT為基礎，因此能夠提供在地化服務，供開發者設計出能夠理解並回應各種語言對話的機器人。</p> <p>函式庫支援負責任人工智慧功能，提供審核Hooks、對話掃描和回饋循環，開發者可以在Teams中創建符合道德和負責任的機器人。</p> </div></div></div>
2023/6/2 23:07作者李建興https://www.ithome.com.tw/news/157176
【資安日報】6月2日，MFT檔案共享系統MOVEit Transfer出現零時差漏洞，傳出駭客藉此竊取組織機密資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼<a href="https://www.ithome.com.tw/news/143178">Accellion FTA</a>、Forta旗下的<a href="https://www.ithome.com.tw/news/156101">GoAnywhere</a>等MFT檔案共用系統遭受零時差漏洞攻擊，又有另一家系統的用戶成為駭客的攻擊目標！Rapid7、Huntress、TrustedSec等多家資安業者提出警告，近期Progress揭露的MOVEit Transfer漏洞已出現攻擊行動，這些資安業者也公布入侵指標（IoC），讓組織能防範相關攻擊。</p> <p>另一個也引起許多人關注的事故，則是發生在資安業者身上的手機間諜軟體攻擊行動。卡巴斯基最近公布一起有數十名員工iPhone手機遭間諜軟體攻擊的情況，並指出這起攻擊駭客很有可能在2018年就開始行動。</p> <p>開源套件庫被用於散布惡意程式的攻擊行動，近期也出現了新的手法。有人看上大部分PyPI套件檢測工具只檢查Python原始碼檔案的情況，將惡意程式碼置入編譯後而成的Python Bytecode檔案，再打包成PyPI散布。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/new-moveit-transfer-zero-day-mass-exploited-in-data-theft-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">MFT檔案傳輸系統MOVEit Transfer出現零時差漏洞攻擊，逾2,500臺伺服器恐成為目標</span></strong></a></p> <p>根據資安新聞網站Bleeping Computer的報導，駭客針對Progress公司旗下MFT檔案共享系統MOVEit Transfer的零時差漏洞，發動攻擊，竊取組織存放的檔案，且已有許多組織受害。</p> <p>該新聞網站認為，駭客利用的漏洞與<a href="https://community.progress.com/s/article/MOVEit-Transfer-Critical-Vulnerability-31May2023">Progress在5月31日公布的SQL注入漏洞（尚未取得CVE編號）</a>有關──此漏洞能允許未經身分驗證的攻擊者取得資料庫權限，而能截取MOVEit所採用的資料庫內容。Progress呼籲IT人員，應暫時透過防火牆停用該伺服器所有HTTP與HTTPS流量來因應。而根據Progress在該媒體提出的說明，雲端服務版本MOVEit Cloud也受到影響。</p> <p>資安業者<a href="https://www.rapid7.com/blog/post/2023/06/01/rapid7-observed-exploitation-of-critical-moveit-transfer-vulnerability/">Rapid7</a>、<a href="https://www.huntress.com/blog/moveit-transfer-critical-vulnerability-rapid-response">Huntress</a>、<a href="https://www.trustedsec.com/blog/critical-vulnerability-in-progress-moveit-transfer-technical-analysis-and-recommendations/">TrustedSec</a>指出，網際網路上約有2,500臺MOVEit Transfer伺服器曝露於上述風險，已遭攻擊的伺服器都出現檔名為<a href="https://www.virustotal.com/gui/file/e8012a15b6f6b404a33f293205b602ece486d01337b8b3ec331cd99ccadb562e">human2.aspx</a>的Web Shell，此指令碼會找尋受害伺服器存放的資料、Azure Blob儲存桶的帳密資料，以及從伺服器下載檔案。研究人員亦公布攻擊來源IP位址等入侵指標（IoC），供組織防範相關攻擊。</p> <p><a href="https://securelist.com/operation-triangulation/109842/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意程式鎖定iPhone用戶，濫用iMessage發動攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/operation-triangulation_02.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/operation-triangulation_02.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基在檢查本身內部無線網路環境時，察覺數十名員工的iPhone手機出現異常活動，他們透過國際特赦組織開發的Mobile Verification Toolkit（MVT）進行調查，找到入侵指標，並將這起攻擊行動稱做Operation Triangulation。</p> <p>根據初步調查的結果，駭客疑似先傳送含有惡意附件的iMessage訊息，該訊息會觸發零點擊漏洞（Zero-click）並執行程式碼，此程式碼便會從C2下載後續的作案工具及間諜軟體，一旦手機被植入間諜軟體，攻擊者就會開始蒐集iPhone的麥克風錄音、iMessage的相片、定位記錄，以及其他多種活動的資料，再送到外部伺服器，過程完全無須使用者互動。</p> <p>此攻擊行動最早可能出現於2019年，但至今仍在進行。卡巴斯基認為，該公司並非駭客的主要攻擊目標，公司作業流程與用戶資料並未受到影響。</p> <p><a href="https://www.reversinglabs.com/blog/when-python-bytecode-bites-back-who-checks-the-contents-of-compiled-python-files"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為迴避偵測，惡意PyPI套件導入Python組譯的程式碼檔案</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Who-checks-the-contents-of-compiled-python-files-Figure-9.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Who-checks-the-contents-of-compiled-python-files-Figure-9.png" style="width: 300px; float: right;" /></a>資安業者ReversingLabs揭露惡意PyPI套件fshec2的攻擊行動，這個套件不像過往採用大量混淆程式碼的方式來埋藏攻擊意圖，而是把惡意功能置入已經編譯的Python Bytecode檔案（PYC），一旦開發人員下載、執行，此套件就會從_init_.py元件開始執行，導入main.py的函式功能，最終運用名為Importlib的元件，載入full.pyc並執行。</p> <p>研究人員認為，駭客這麼做的原因，主要是大部分的檢測工具只會掃描Python原始碼檔案（PY），而且，經過編譯的PYC檔案必須透過反組譯進行轉換，才能分析其中的內容，如此使得攻擊工具被發現的機率大幅降低。</p> <p><a href="https://securityintelligence.com/posts/blackcat-ransomware-levels-up-stealth-speed-exfiltration/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體BlackCat出現新變種，更偏重規避偵測能力</span></strong></a></p> <p>IBM資安研究團隊揭露自今年2月出現的勒索軟體BlackCat變種Sphynx，駭客重新改寫BlackCat的程式碼，並標榜新版勒索軟體主要強化的方向，是降低被防毒軟體與EDR系統發現的機率。研究人員取得該勒索軟體並進行分析，指出駭客重新設計了命令列的參數，啟動此勒索軟體需要使用更為複雜的參數，而有可能要察覺的難度變高；再者，Sphynx的組態不再採用容易解讀的JSON格式，而是夾雜垃圾程式碼及數以千計的加密字串，駭客上述做法的用意，就要是妨礙程式碼靜態分析的偵測結果。</p> <p>研究人員指出，駭客透過遠端桌面連線（RDP）於受害組織網路移動，並竄改網域的群組原則物件（GPO），除用來散布、執行勒索軟體與竊資軟體（ExMatter），也藉此關閉系統監控與保護功能，並停用Microsoft Defender。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/moxa-patches-mxsecurity-vulnerabilities-that-could-be-exploited-in-ot-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Moxa修補網路安全管理系統MXsecurity漏洞</span></strong></a></p> <p>臺廠四零四科技（Moxa）發布網路安全管理系統MXsecurity 1.0.1版，當中修補了SSH命令列介面的RCE漏洞CVE-2023-33236（CVSS風險評分9.8），以及身分驗證漏洞CVE-2023-33235（CVSS風險評分7.2。</p> <p>通報上述漏洞的研究人員Simon Janz指出，CVE-2023-33236與網頁介面的組態存在寫死的JWT憑證有關，攻擊者可以利用此金鑰來偽造可用的JWT token，進而使用管理者權限存取網頁主控臺。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://cymetrics.io/en-us/latest/all/onedegree-global-and-microsoft-join-forces-to-drive-insurtech-and-cybersecurity-innovations-with-azure-openai"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資安新創OneDegree與微軟聯手，打造AI資安助理Cymetrics Copilot</span></strong></a></p> <p>保險科技暨資安新創OneDegree於新加坡InsureTech Connect Asia 2023大會上，宣布與微軟啟動策略合作，推出整合Azure OpenAI服務的資安助理Cymetrics Copilot，該機器人主要是用於改善組織的資安管理，安排相關工作的優先順序，以AI提供補救措施。該公司聲稱，透過此助理解決資安問題所需的時間，最多可降低50%。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://blog.talosintelligence.com/new-horabot-targets-americas/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體Horabot挾持Gmail、Outlook電子郵件信箱</span></span></strong></a></p> <p><a href="https://blog.lumen.com/qakbot-retool-reinfect-recycle/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體QBot濫用住家IP位址設置短期C2，行蹤更加難以捉摸</span></span></strong></a></p> <p><a href="https://threatmon.io/reverse-engineering-rokrat-a-closer-look-at-apt37s-onedrive-based-attack-vector/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">北韓駭客APT37濫用OneDrive散布木馬程式RokRAT</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/google/google-triples-rewards-for-chrome-sandbox-escape-chain-exploits/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google宣布加碼Chrome沙箱逃逸漏洞懸賞獎金</span></span></strong></a></p> <p><a href="https://www.jica.go.jp/english/news/field/2023/20230518_21.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">日本在G7高峰會承諾將協助開發中國家改善資安</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157153">【6月1日】技嘉主機板更新機制存在弱點，恐被用於供應鏈攻擊，研究人員呼籲IT人員封鎖相關更新功能</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157143">【5月31日】圖靈驗證CAPTCHA出現人工破解服務</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157121">【5月30日】木馬程式GobRAT鎖定日本路由器而來</a></strong></p> </div></div></div>
2023/6/2 16:29作者周峻佑https://www.ithome.com.tw/news/157174
國內5G專頻專網管理辦法正式上路，6/5受理申請
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位發展部（簡稱數位部）在6月正式公告5G專頻專網管理辦法，包括企業或機關5G專頻專網的申請方式、頻率使用費、審查及審驗方式等，從6月5日起開放申請，我國正式邁入5G專頻專網時代。</p> <p>專頻專網管理原為NCC規畫，去年數位部成立之後，對於專網管理辦法，曾短暫由數位部、NCC共同規畫，今年5月行政院明訂行動寬頻專用電信網路主管機關為數位部，作為產業轉型及發展的推手，數位部蒐集外界及產業意見，6月1日公告5G專頻專網管理辦法，並提供申請需知。</p> <p>配合管理辦法上路，數位部產業署也成立行動寬頻專網推動辦公室，輔導業者申請、協調、審查及審驗。6月6日到12日計畫在北中南舉辦4場輔導說明會。</p> <p><strong><span style="color:#B22222;">管理辦法3大重點</span></strong></p> <p>數位部產業發展署指出，在專頻專網管理辦法規畫期間，數位部蒐集產業界的意見，管理辦法規定申請者包括新申請、實驗移用申請者、短期設置申請者3類，管理辦法的3大重點，包括降低成本、應用開放、簡化申請。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/5G%20PN.jpg" style="width: 600px; height: 427px;" /></p> <p>首先在降低成本方面，網路開放共用，放寬組合核心網路、接取網路，至於頻率使用費，為降低業者使用專頻專網成本，調整計算公式係數，調降整體收費金額，並採場域實際使用面積作計算。另外，因專網初期建置成本高，提供前4年優惠。企業取得設備也更有彈性，可以自己名義建置、購置、租賃基地臺。</p> <p>開放應用方面，可連接本身其他基於同一目的設置的5G專頻專網，並開放專網連接雲端，但業者需提出資通安全維護計畫，由跨部會特別審查。此外，鑑於專網可能干擾其他應用及服務，要求業者先行評估潛在干擾情形，由推動辦公室協調處理干擾爭議。</p> <p>相較於電信業者向NCC申請無線頻段建置行動網路的複雜程序，數位部也簡化專頻專網申請程序，除了輔導業者提出申請、協助處理干擾，過去電信商申請無線頻段建置行動電信網路，分為基地臺審驗、網路審驗，5G專頻專網管理辦法則將基地臺審驗、網路審驗合而為一，並採書面審驗。</p> <p>除了一般申請，原先以實驗名義的專頻專網實驗，可申請既有實驗網路移用，如果實驗網路沒有變更場域、設備設置地點，可免拆除與重新審驗，對原本實驗5G專頻專網的業者而言，簡化實驗網路移用申請程序。另外，也開放申請短期5G專頻專網，使用期限為30天以內，適用於展演、活動等臨時性的需求。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/5GPN-1.jpg" style="width: 600px; height: 460px;" /></p> <p>提出申請後，程序為前置準備階段、審查階段、登錄／設置／測試階段，審驗階段。費用包含審查費、審驗費、執照費。審查通過後，數位部將發給核准及頻率使用證明，審驗通過後，5G專頻專網使用執照，最長為10年。</p> <p>管理辦法也要求申請5G專頻專網需落實專網管理、資安維護。其他限制還有申請者及設置者不得為陸資投資業者，不得連接公眾電信網路，應提出資安防護計畫等等。</p> <p><span style="color:#B22222;"><strong>頻率使用費計算方式出爐</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/5GPN-Fee.jpg" style="width: 600px; height: 459px;" /></p> <p>對於專頻專網每年頻率使用費用，管理辦法公布了計算公式及係數，以每平方公里每MHz頻率使用費、頻寬、場域型態調整係數、場域面積、年度調整係數等等，最後加上每個場域使用頻譜的行政管理費用33,000元，用以計算申請者每年頻率使用費用。</p> <p>數位部部長唐鳳表示，5G的高速、低延遲、廣連結，專網可協助不同產業轉型，但除了技術，5G專頻專網也需穩定性及安全性，數位部也是資安管理法的主管機關，因此重視安全及穩定性。管理辦法上路後，仰賴各產業創意運用5G專頻專網，未來在應用中發現管理辦法需要調整，數位部也會應產業需求滾動檢討調整。</p> </div></div></div>
2023/6/2 17:41作者蘇文彬https://www.ithome.com.tw/news/157175
2023最新資安人才趨勢大公開
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1132-feng_mian_p1-open-zheng_han_-960x420_kao_bei_.jpg?itok=Rf8YrnaK" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大家都在關注資安人才不足的議題，今年國內人力缺口有多大？每10家企業就有近4家要招募資安人才，且欲招募人數更是佔現有人數8成，放眼全球，是否也有類似狀況，讓我們一起了解整體態勢</p> </div></div></div>
2023/6/2 15:17作者羅正漢https://www.ithome.com.tw/article/157173
WordPress.com開始支援電子報的付費訂閱功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>採用WordPress網路內容管理系統、由該系統開發者Automattic自行經營的WordPress.com部落格代管平臺，<a href="https://wordpress.com/blog/2023/06/01/newsletters-paid-subscriptions/" target="_blank">在周四（6/1）宣布開始支援電子報的付費訂閱功能</a>。</p> <p>電子報（Newsletter）原本就是WordPress.com的內建功能，當創作者開啟該功能時，使用者就能輸入自己的電子郵件信箱，以收到創作者所更新的內容與電子報，<a href="https://wordpress.com/blog/2022/12/19/write-and-publish-your-newsletter-on-wordpress-com/" target="_blank">去年12月WordPress.com開始推廣</a>及改善該功能，並於本周發表電子報的付費訂閱功能。</p> <p>WordPress.com已替創作者建立了許多電子報的範本，創作者亦可自行設計電子報的版型，而且不管是採用免費或付費服務的創作者，皆可啟用電子報及付費訂閱功能。</p> <p>根據WordPress.com的說明，當創作者設計好電子報的版型，以及設定好訂閱的費率之後，在出版內容時，有3個選項可以勾選，包括開放給所有使用者閱讀、僅開放給訂閱用戶閱讀，或是只開放給付費用戶閱讀。</p> <p>此外，WordPress.com會根據創作者在該平臺的等級來收取訂閱手續費，免費用戶的手續費最低為10%，付費用戶的手續費最低可能為0。至於WordPress.com的金流合作對象則是Stripe，代表意欲啟用付費訂閱服務的創作者必須擁有Stripe帳號，不過，Stripe目前所支援的46個市場中並未包括臺灣。</p> </div></div></div>
2023/6/2 14:33作者陳曉莉https://www.ithome.com.tw/news/157171
Nvidia公布能將2D影片轉成3D的AI模型Neuralangelo
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.nvidia.com/blog/2023/06/01/neuralangelo-ai-research-3d-reconstruction/" target="_blank">Nvidia本周公布</a>能將2D影片片段轉成3D的AI模型Neuralangelo。</p> <p>由Nvidia研究院發展的Neuralangelo利用神經網路，能將2D影片片段轉化成細節豐富、具備紋理的3D結構，像是建築、雕刻及其他真實物體，讓創作者可產生3D物件，匯入其設計應用、或進一步編輯用於藝術、電玩開發、機器人或產業數位分身（digital twins）。</p> <p>傳統重建3D場景的AI模型無法精確捕捉重覆性質地樣式、同質色彩及變化太大的色彩。Neuralangelo使用即時神經繪圖原語（instant neural graphics primitives）來捕捉這些微妙的細節。即時神經繪圖原語也是Nvidia圖像渲染技術Instant NeRF背後的技術。</p> <p>Nvidia強調，Neuralangelo最厲害之處在於在2D轉3D過程中，呈現複雜材料的質地如屋頂瓦片、玻璃窗格及平滑的大理石的能力。這使得專業及藝術創作者能以智慧型手機拍攝的影片為素材，產出可用物件整合到其專案中。</p> <p>Neuralangelo模型以不同角度拍攝的物件2D影片為素材，從中選擇多個不同角度的影格，過程和人類藝術家會以不同角度的畫面創造深度、大小及形狀相似。Neuralangelo一旦決定每個影格的相機位置後，就會產出初步的3D再現影像，再開始加入細節，一如人類雕刻家將素材變成雕像的作業方式。最後成果就是可用於VR應用、數位分身、機器人等的3D物件或場景。</p> <p>Neuralangelo是Nvidia研究院預定在6月18到22日舉行的電腦視覺與樣式辨識（Computer Vision and Pattern Recognition，CVPR）大會上發表的近30項專案之一。在預定發布的影片中，Nvidia展示Neuralangelo可重建上如米開朗基羅的著名雕刻《大衛》或下到平板拖車的普通物件，它也可以3D重現建築物室內裝潢或室外設計，如Nvidia灣區的辦公室。</p> <p class="rtecenter"> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/PQMNCXR-WF8" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p>除了Neuralangelo外，<a href="https://research.nvidia.com/labs/dir/diffcollage/" target="_blank">Nvidia還將展出名為DiffCollage模型</a>，它是一種可擴展的機率模型（probabilistic model），能生成360度全景圖或循環動態圖像等大尺寸圖像。在以標準長寬比的圖片為資料集訓練時，DiffCollage會將這些圖像視為大型拼貼畫的一部分。這種方法訓練出的模型能生成具連續感的大型圖像，但不需同等大小的訓練圖像。這方法也能用以將文字提示轉成一系列影片。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0602-DiffCollage%20CVPR%202023-by%20Nvidia.png" style="width: 550px;" /></p> </div></div></div>
2023/6/2 15:00作者林妍溱https://www.ithome.com.tw/news/157172
不知名的惡意程式利用iMessage攻擊iPhone用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://securelist.com/operation-triangulation/109842/" target="_blank">安全廠商卡巴斯基本周揭露</a>有人以一個全新、不知名的惡意程式攻擊iPhone用戶，並企圖蒐集用戶行為資訊，受害者包含卡巴斯基員工。</p> <p>該公司是在檢查公司內部無線網路時，發現員工iPhone有異常活動，隨後利用國際特赦組織開發的Mobile Verification Toolkit（MVT）發現特定入侵指標。該公司並將這起攻擊行動命名為Operation Triangulation。</p> <p><a href="https://twitter.com/e_kaspersky/status/1664264460306116608" target="_blank">卡巴斯基執行長Eugene Kaspersky指出</a>，調查分析才剛開始，尚無法得知這樁攻擊的完整面貌。目前僅知，攻擊行動是攻擊者傳送有惡意附件的iMessage給受害者，再利用多個已知iOS漏洞安裝惡意軟體。攻擊過程無需用戶任何動作，只要點選訊息即可安裝惡意程式，並啟動後續下載最終植入間諜軟體。<a href="https://techcrunch.com/2023/06/01/kaspersky-says-attackers-hacked-staff-iphones-with-unknown-malware/" target="_blank">該公司說</a>，其中一個漏洞是蘋果去年12月就修補的CVE-2022-46690，是一個中度風險越界寫入（out-of-bounds write）漏洞。</p> <p>一旦用戶iPhone被植入間諜軟體，就會開始蒐集iPhone中的麥克風錄音、iMessage的相片、定位及其他多種活動的資料，再送到外部伺服器上。卡巴斯基目前還在研究這間諜軟體，可以確定的是Operation Triangulation和之前已知的iOS間諜軟體，包括Pegasus、Predator或Reign都不同。</p> <p>雖然受限於iOS設計，這個惡意程式無法長期在iPhone內長期滲透，但是卡巴斯基分析多個受害手機顯示，可能手機重開機會再度感染惡意程式。他們追查到最早感染時間為2019年，但到2023年6月，攻擊仍在進行中。最新近被感染的iOS版本為15.7版。</p> <p>卡巴斯基也有數十名員工遭到感染，但該公司表示由於及早採取行動，公司作業流程和用戶資料都未受影響，也解決了威脅。執行長Kaspersky說，他們相信自己並非主要攻擊目標。</p> <p>遭到感染的用戶不易察覺，不過仍有跡可循。最明顯的感染指標是iPhone的「資料使用」項顯示有BackupAgent的行程。少部分受害iPhone會無法安裝iOS更新。</p> <p>雖然這樁攻擊行動尚有許多疑點待研究，但只要關閉iMessage就能防止Triangulation行動的攻擊。</p> </div></div></div>
2023/6/2 13:12作者林妍溱https://www.ithome.com.tw/news/157164
OpenAI新訓練方法可避免AI出現幻覺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/research/improving-mathematical-reasoning-with-process-supervision">OpenAI採用了一種稱為過程監督（Process Supervision）的訓練方法，</a>與單純獎勵最終答案正確性的結果監督（Outcome Supervision）不同，過程監督獎勵每個正確步驟的推理，使得模型能夠遵循人類認可的關聯思考（Chain-of-Thought），產生更可靠的結果。</p> <p>雖然近期大型語言模型的推理能力大幅度提高，但OpenAI提到，即便是最先進的模型，仍會產生邏輯錯誤，這種錯誤稱為幻覺（Hallucination），而解決幻覺則是建置通用人工智慧的關鍵。</p> <p>結果監督和過程監督都能夠獎勵模型偵測幻覺，結果監督是由最終結果提供回饋，而過程監督則是會在關聯思考的每一個步驟都提供回饋，根據OpenAI在MATH測試集上的試驗，過程監督能夠明顯取得較好的結果。</p> <p>過程監督的優點是獎勵模型關聯思考的一致性，過程中每個步驟都會受到精確的監督，而且過程監督因為被鼓勵遵循人類准許的過程，因此還能產生可解釋的推理。相比之下，結果監督可能會獎勵不一致的過程，而且也更難以審查。</p> <p>研究人員利用MATH測試集評估過程監督和結果監督，過程監督的效能表現較結果監督佳，而且當問題變得複雜，效能差距也會增加，整體來說，過程監督獎勵模型更加可靠。</p> <p>在人工智慧的領域中，讓人工智慧系統的行為，與人類價值觀一致的方法，被稱為對齊方法（Alignment Method），但通常更安全，且與人類價值觀更一致的方法，代表著可能導致效能下降，而這種副作用稱為對齊成本（Alignment Tax），研究人員提到，對齊成本會對模型部署產生壓力，因此會直接影響對齊方法的採用。</p> <p>幸運的是，根據實驗結果，在數學領域，過程監督的對齊成本為負，而這可能促使過程監督被積極採用。雖然目前研究人員還不確定這項研究可以多大程度擴展至數學領域之外，但是研究過程監督對於其他領域的工作相當重要，當這些研究結果具有普遍性，則過程監督便成為更高效且一致的方法。</p> </div></div></div>
2023/6/2 13:37作者李建興https://www.ithome.com.tw/news/157161
摩托羅拉發表兩款Razr雙螢幕折疊手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼於<a href="https://www.ithome.com.tw/news/134252" target="_blank">2019年發表</a>以Razr為名的首款雙螢幕摺疊手機之後，<a href="https://motorolanews.com/reimagine-the-possibilities-with-the-new-motorola-razr-family/" target="_blank">摩托羅拉在本周更新了該產品線</a>，推出Motorola Razr（國際版稱為Motorola Razr 40）與Motorola Razr+（國際版稱為Motorola Razr 40 Ultra），前者屬於入門級產品，尚未公布售價，外傳將落在769美元左右，後者屬於高階產品，在美國市場的售價為999.99美元，與三星的同類產品Galaxy Z Flip 4價格一致。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0602-motorola%20razr%2040.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Motorola</span></span></p> <p>Motorola Razr內部螢幕展開後為6.9吋，外部螢幕為1.5吋，可用來顯示簡單的通知或簡訊，後方有1,300萬畫素的超廣角鏡頭及6,400萬畫素主鏡頭，前方鏡頭為3,200萬畫素，採用第一代的Snapdragon 7晶片組，內建8GB記憶體與128GB儲存空間，電池規格為4,200 mAh。</p> <p>至於Motorola Razr+的內部螢幕同樣為6.9吋，但外部螢幕有3.6吋，後方具備1,300萬畫素的超廣角鏡頭，及1,200萬畫素的主鏡頭，前方鏡頭同樣為3,200萬畫素，採用第一代的Snapdragon 8 Plus晶片組，內建8GB處理器與256GB儲存空間，電池規格為3,800 mAh。</p> <p>可以發現Motorola Razr的主鏡頭畫素與電池規格反而優於Motorola Razr+。</p> <p>Motorola強調，Motorola Razr+採用全新的淚珠絞鏈，可最大化地減少系統尺寸，也讓Motorola Razr+成為全球雙螢幕手機中，閤上時厚度最薄，再加上該款手機搭配的是超薄玻璃，因此螢幕上幾無摺痕。</p> <p>Motorola Razr+預計在今年6月16日便會於美國上市，Motorola Razr則會在幾個月內開賣。</p> <p>目前全球雙螢幕摺疊手機的龍頭業者為三星，且三星近日所發表的Galaxy Z Flip 4與Galaxy Z Fold 4亦被視為摺疊手機裝置的黃金標準。<a href="https://www.idc.com/getdoc.jsp?containerId=prUS50531423" target="_blank">根據IDC今年3月的估計</a>，全球摺疊手機市場的出貨量將從去年的1,420萬支增加到今年的2,140萬支，成長幅度超過50%，在整體手機市場出貨量衰退的時刻，摺疊手機無疑是該市場的一道曙光。</p> <p>除了三星與摩托羅拉之外，<a href="https://www.ithome.com.tw/news/139376" target="_blank">微軟</a>與<a href="https://www.ithome.com.tw/news/156841" target="_blank">Google</a>也開始測試該市場的水溫，至於蘋果最快可能要到明年才會加入戰局。</p> <h1 class="style-scope ytd-watch-metadata" style="margin: 0px; padding: 0px; border: 0px; background-image: initial; background-position: initial; background-size: initial; background-repeat: initial; background-attachment: initial; background-origin: initial; background-clip: initial; word-break: break-word; font-family: "YouTube Sans", Roboto, sans-serif; font-size: 2rem; line-height: 2.8rem; font-weight: 600; overflow: hidden; max-height: 5.6rem; -webkit-line-clamp: 2; display: -webkit-box; -webkit-box-orient: vertical; text-overflow: ellipsis; color: rgb(15, 15, 15);"><yt-formatted-string class="style-scope ytd-watch-metadata" force-default-style=""></yt-formatted-string></h1> </div></div></div>
2023/6/2 13:59作者陳曉莉https://www.ithome.com.tw/news/157165
Wasmer發布涵蓋WASI與POSIX的超集合計畫WASIX
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Wasmer啟動了一項稱為<a href="https://wasmer.io/posts/announcing-wasix">WASIX</a>的計畫，以進一步推動WebAssembly在瀏覽器和伺服器上的應用，使得許多現有應用程式可以不需要修改程式碼，就可以將其編譯成WebAssembly，在更多環境中運作。WebAssembly是一個可在網頁瀏覽器中執行的二進位格式，而WASI則是標準化系統介面，讓WebAssembly能夠透過如Wasmer等WebAssembly Runtime，在其他執行環境中運作。</p> <p>WASIX可以說是WASI（WebAssembly System Interface）與可移植作業系統介面（Portable Operating System Interface，POSIX）的超集合。之所以Wasmer會需要另外發布WASIX計畫，除了<a href="https://twitter.com/solomonstre/status/1111004913222324225?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1111004913222324225%7Ctwgr%5E%7Ctwcon%5Es1_&ref_url=">WASI迭代過於緩慢</a>，阻礙了應用發展的腳步外，<a href="https://www.ithome.com.tw/news/153022">WASI的制定過程也為人詬病</a>，AssemblyScript專案在去年的時候就抨擊負責管理WASI的W3C子工作組過於霸道，其所追求的目標與WebAssembly的方向並不一致，在制定標準的過程反而造成生態系分裂。</p> <p>由於WASI並不支援所有POSIX，因此Wasmer希望透過推出WASIX，強化現有WASI ABI（Application Binary Interface），並增加額外非侵入式的syscall擴充，以填補現有缺口，使其與POSIX程式更加相容，讓更多的POSIX程式可以被編譯成WebAssembly，在各種環境中執行。</p> <p>開發團隊已經成功運用WASIX執行許多應用程式和函式庫，包括curl、bash和CPython等，這些應用幾乎不需要修改程式碼，就可以直接編譯為WASIX，供開發者將現有應用程式簡單轉為WebAssembly。</p> </div></div></div>
2023/6/2 12:19作者李建興https://www.ithome.com.tw/news/157154
Meta發表500美元的Quest 3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在外界預期蘋果很可能會在6月5日舉行的WWDC，發表該公司的首款高階混合實境（MR）頭戴式裝置的前夕，<a href="https://www.meta.com/en-gb/blog/quest/vr-hardware-news-quest-3-sneak-peek-price-drop/" target="_blank">Meta卻搶在周四（6/1）發表了Quest 3</a>，售價為499.99美元，預計於今年秋天出貨，將於包括臺灣在內的逾20個市場推出。</p> <p>Meta是在2020年9月發表Quest 2，定位為虛擬實境（VR）頭戴式裝置，而最新的Quest 3則宣稱可提供沈浸式的VR與突破性的Meta Reality體驗，可讓使用者無縫融合實體與虛擬世界，能夠理解與回應現實空間的物件，可自然地於該空間遨遊，超越現今的MR體驗。總之，Meta認為Quest 3是該公司首款同時具備VR及MR體驗的大眾市場產品。</p> <p class="rtecenter"><img alt="" src="https://scontent.ftpe7-4.fna.fbcdn.net/v/t39.2365-6/350812503_1151409086251816_8936690325210522869_n.png?_nc_cat=105&ccb=1-7&_nc_sid=a0c836&_nc_ohc=D-IDVNqwKMQAX8w_tS5&_nc_ht=scontent.ftpe7-4.fna&oh=00_AfBboPCzL4DV1GEisA30w9IYwSWOn3lfAl82m7po6216XQ&oe=647E5CC2" style="width: 550px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Meta</span></span></p> <p>Quest 3採用高通新一代的Snapdragon晶片組，繪圖效能是Quest 2所使用晶片組的兩倍，Quest 3有兩個400萬畫素的RGB彩色鏡頭，與一個深度感應器，於穿透模式（Passthrough）的畫素是Quest 2的10倍，得以想見Quest 3在環境、內容與流暢性都有更好的表現。此外，它的光學輪廓比Quest 2薄了40%，配戴也更舒適，也擁有全新設計的Touch Plus控制器。</p> <p>Quest 3可相容於開發者當初替Quest 2設計的逾500款VR遊戲、程式或體驗，在產品正式上市前，也會有更多VR/MR內容問世。</p> <p>Quest 3的基本配備為128GB的儲存空間，售價為499.99美元，但將有其它的儲存空間可供選擇，更多的細節將會在今年9月舉行的Meta Connect大會上公布。</p> <p>隨著Quest 3的問世，Meta自6月4日起將調降Quest 2的售價，128GB的版本降至299.99美元，256GB的版本則降至349.99美元，這是Meta第二次調整Quest 2的價格，<a href="https://www.ithome.com.tw/news/152140" target="_blank">漲價之後再降回來</a>。</p> <p>Meta也計畫藉由軟體更新改善Quest 2及Quest Pro的處理器效能，未來它們的CPU效能最多可提升26%，而GPU效能則分別可提升19%及11%。</p> </div></div></div>
2023/6/2 12:32作者陳曉莉https://www.ithome.com.tw/news/157162
豐田雲端系統資料外洩殃及日本及亞洲車主
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/156874" target="_blank">5月初日本汽車大廠豐田（Toyota）公布</a>雲端服務配置不當長達10年，致儲存的車主及車輛資訊外洩。<a href="https://global.toyota/en/newsroom/corporate/39241625.html" target="_blank">本周豐田公司指出</a>，這次事件導致包括日本及亞洲車主的個人及車輛資訊外洩。</p> <p>發生資料外洩的雲端環境是由Toyota Connected Corporation（TC）代管。經過將近一個月的調查，豐田得以進一步說明外洩情況。首先是上月初就公布資料外洩的系統，包括車載設備（導航終端）ID、地圖資料更新、和導航終端資料新增的日期可能被外部存取。這項服務僅涉及日本訂閱G-BOOK with a G-BOOK mX/G-BOOK mX Pro相容導航設備，以及2015年2月到2022年3月訂閱G-Link/G-Link Lite服務的日本10款車種的車主，人數約26萬人。曝險期間為2015年2月9日到2023年5月12日。目前這項服務已經關閉。</p> <p>不過豐田指出，即使外洩了，光是這些資料不會曝露車主身分，且這些資料也無法用於存取或影響車輛。</p> <p>其次是上月未發現到，屬於海外經銷商的系統維修和調查資訊，也可能因配置不當公開導致可由外部網路存取。目前這個系統已暫時封鎖外部存取。這部分資訊包括車主姓名、地址、客戶ID、電子郵件信箱、車身號碼（Vehicle Identification Number，VIN）等，資料曝險時間為2016年10月到2023年5月。受到影響的車主位於「部分」亞洲及大洋洲國家（不包含日本）。豐田已通知客戶及該國主管機關。不過豐田未說明受影響的車種類型或影響人數。</p> <p>這家汽車大廠調查了外洩資料是否遭再度利用，或在網路上留下第三方複製版本，表示迄今未發現有被濫用的證據，而車輛位置及車主信用卡資料也都未受影響。</p> <p>他們相信，這次事件是起於資料處理政策未能有效散布和執行，豐田說已導入監控雲端配置的系統，也正在全面檢查所有雲端環境的設定，豐田也正和TC合作向員工解釋並強制執行資料處理政策，並強化員工教育防止事件重演。</p> </div></div></div>
2023/6/2 12:44作者林妍溱https://www.ithome.com.tw/news/157163
快者生存
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每年5月底舉行的台北國際電腦展期間，吸引全球重要的資通訊廠商來臺展示最新產品技術，而今年邀來GPU大廠Nvidia執行長暨創辦人黃仁勳，親自來臺演講，展前他在臺灣大學畢業典禮的致詞，不過有一段話到底該怎麼理解，引發熱議。</p> <p>這段話，他是這麼說的，「Run, don't walk. Remember, either you're running for food, or you are running from becoming food. And oftentimes, you can't tell which. Either way, run.」光看中間的「either…,or」很多人可能會認為他是勉勵畢業生應成為獵食者，而非遭獵食者，而這樣的論調也不免讓大家聯想到蘋果電腦創辦人Steve Jobs的名言，他在2005年美國史丹佛大學畢業典禮曾說：「Stay hungry. Stay foolish」。</p> <p>所幸後來有人提出不同看法，也讓大家重新去了解黃仁勳當時演講所分享的經驗，從全文去看，的確他並非想要引發畢業生邁入下個人生階段的焦慮，或是重複向他們灌輸狼性思維、贏者才能生存、吃苦等於吃補，這類亞洲父母「虎爸虎媽」普遍對子女傳達的論調，我認為他想說的是：無論是前進或撤退，求取或放下、追逐或逃離，你都必須要積極以對、必須要快。</p> <p>後面他又說：「And for your journey, take along some of my learnings. That you will have the humility to confront failure, admit a mistake, and ask for help.」謙虛地面對失敗、承認錯誤，向他人求助，正是他最後分享的結論。</p> <p>依此脈絡來看，孰是孰非，答案已經很清楚了，而且就像電影「媽的多重宇宙」所提醒的，成功或失敗並非絕對，面對世界的無限可能與變化，能活在當下，有自知之明、與他人相知相惜更重要，而且時間有限，稍縱即逝，大家必須趕快進行該做的事情。</p> <p>「Run, don't walk.」這句話由黃仁勳說出的另一層意義，當然是與他所投身的運算產業有很大關係，隨著大型語言模型（LLM）這一波新的AI應用浪潮來襲，他所經營的Nvidia公司為此早有多重布局，後市可期。</p> <p>在資料中心GPU方面，他們2022年發表的H100內建Transformer Engine，有利於加速處理基於此模型而成的多種LLM，像是BERT、GPT-3，而歷經多種因素的影響之下，H100終於在9月進入完全生產階段，從今年第一季開始，搭配這款GPU的新一代伺服器與雲端執行個體服務，也陸續登場，順勢搭上這一波AI應用列車的出發。</p> <p>而在今年的台北國際電腦展期間，Nvidia也協同多家伺服器廠商展出搭配H100的伺服器，以及新型Arm伺服器，而當中採用的處理器正是該公司發展的Arm處理器Grace，以及整合Grace處理器與H100繪圖處理器的Grace Hopper。</p> <p>軟體方面，Nvidia的AI平臺，廣泛囊括各種技術領域，像是資料分析、資料科學的預測與預報、機器學習，以及深度學習的訓練、推論，到大型語言模型、對話式AI、語音AI、推薦系統，也涵蓋到多種產業應用領域，像是醫療、製造、電信、零售，而且積極推廣與發展這些軟體堆疊，並且大舉透過雲端服務（NGC）與企業級整合套件（AI Enterprise），持續提供這些生產就緒型環境，加快企業與組織採用之餘，當然也能鞏固與壯大自身的營運規模，增加用戶對其硬體產品的依賴度。</p> <p>然而，隨著AI市場的日漸清晰，許多廠商都想進場多分一杯羹，或是設法持續保住自己的優勢，因此，競爭相當激烈。然而，這三年的COVID-19疫情造成的晶片供應短缺、人才大量流失，印太地區美中臺對立衝突、烏俄戰爭等地緣政治因素的激化，以及全球面臨的氣候變遷危機，以及節能減碳與經濟發展的衝突，再加上嚴重而普遍的通貨膨脹，勢必對AI應用的未來發展產生極大衝擊，會是機會或挑戰，沒人說得準。</p> <p>Nvidia目前雖然是大家看好的IT廠商，但在各種不確定因素的夾擊之下，仍面臨許多挑戰，能否穩抓商機、繼續保持榮景，不僅要看Nvidia的「大腦」、「身手」是否夠明快，合作廠商能否穩定、及時地供應他們與用戶需要的配備，以及他們如何與整個世界的各種AI計畫合作、端出具體成效，將是關鍵。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/nvidia">Nvidia</a></div><div class="field-item odd"><a href="/tags/%E9%BB%83%E4%BB%81%E5%8B%B3">黃仁勳</a></div><div class="field-item even"><a href="/tags/ai">AI</a></div></div></div>
2023/6/2 00:00作者李宗翰https://www.ithome.com.tw/voice/157142
【資安日報】6月1日，技嘉主機板更新機制存在弱點，恐被用於供應鏈攻擊，研究人員呼籲IT人員封鎖相關更新功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Eclypsium針對技嘉主機板用戶提出警告，指出該公司規畫的軟體更新機制不安全，大致上有兩個層面，一個是UEFI韌體能被用於在Windows部署軟體，另一個部分則是不安全的更新機制，而這樣的情況使得研究人員呼籲用戶，先透過UEFI設定與網路管理，暫時停用相關的更新機制。</p> <p>木馬程式SeroXen的攻擊行動也相當值得留意，電信業者AT&T的資安研究員揭露這種攻擊升溫的情況，並認為雖然現在的受害者都是電玩玩家，但由於此惡意軟體的行蹤相當隱密，不排除日後會被用於攻擊大型企業。</p> <p>繼特斯拉傳出放任員工隨意瀏覽、取用使用者車輛鏡頭錄下的影片，又有其他業者也出現類似的情況！美國聯邦交易委員會（FTC）針對Amazon祭出裁罰，原因是該公司旗下的智慧家庭裝置子公司Ring放任員工存取監視器影像，並在未經使用者同意的情況下拿來改善其演算法。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://cybersecurity.att.com/blogs/labs-research/seroxen-rat-for-sale"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">無檔案木馬程式SeroXen鎖定遊戲玩家而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/SeroXen_timeline.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SeroXen_timeline.jpg" style="width: 300px; float: right;" /></a>電信業者AT&T旗下的資安團隊指出，他們自2022年9月看到駭客透過推特尋求無檔案（Fileless）木馬程式SeroXen的買家後，就持續追蹤相關行動，並發現近期相關攻擊升溫的現象。</p> <p>研究人員指出，此木馬程式是Quasar RAT的變種，駭客將其改寫並融合r77 rootkit、NirCmd等開源工具，不過，由於Quasar RAT是遭到濫用的遠端管理工具，且能從GitHub取得，而使得許多防毒軟體將Quasar RAT和SeroXen視為無害。</p> <p>研究人員看到駭客疑似透過釣魚郵件或Discord散布作案工具，針對電玩玩家而來，一旦進入目標電腦，攻擊者會先在C:\Windows \System32\資料夾（Windows後面有空格）部署竄改過的系統組態工具msconfig.exe，然後藉由批次檔部署惡意酬載InstallStager.exe（r77 rootkit），最終將SeroXen注入記憶體內執行，與C2連線接收攻擊者下達的命令。</p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-zyxel-firewall-flaw-in-ongoing-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員警告兆勤防火牆漏洞出現大量攻擊行動</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/statistics-tree-map.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/statistics-tree-map.png" style="width: 300px; float: right;" /></a>兆勤科技於4月底修補防火牆設備重大漏洞CVE-2023-28771，並於1個月後呼籲用戶儘速更新韌體，如今研究人員提出警告，已有駭客將其用於攻擊行動。美國網路安全暨基礎設施安全局（CISA）於31日將CVE-2023-28771列入已遭利用漏洞名單（KEV），並要求聯邦機構6月21日完成修補。</p> <p>資安研究員Kevin Beaumont於5月25日指出，殭屍網路Mirai已利用該漏洞散布，非營利組織Shadowserver基金會也有相關的發現，並指出26日出現公開的概念性驗證（PoC）攻擊程式，相關的惡意行動後續將會大幅增加。</p> <p>資安業者Rapid7也針對此事提出警告，並認為駭客可能還會運用兆勤於5月24日修補的新漏洞：CVE-2023-33009及CVE-2023-33010（CVSS風險評分皆為9.8），這是因為攻擊者可在未經身分驗證的情況下，藉由這兩項漏洞發動阻斷服務攻擊（DoS），或是執行任意程式碼，所以，這些漏洞的動態也同樣值得關注。</p> <p><a href="https://global.toyota/en/newsroom/corporate/39241625.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">豐田汽車再度揭露雲端配置不當的情況</span></strong></a></p> <p>日本汽車大廠豐田於5月31日表示，他們在12日發現有部分雲端環境的組態配置不當，導致車主的資料曝光，該公司決定針對旗下的Toyota Connected Corporation（TC）管理的雲端環境進行清查，結果發現另外兩個曝露用戶資料的情況。</p> <p>這些事故其中之一影響的範圍是亞洲及大洋洲（不含日本），出現在日本海外經銷商的維護與調查系統，導致部分亞洲及大洋洲國家車主的姓名、電話號碼、電子郵件信箱、客戶ID、車輛識別碼（VIN），從2016年10月至今年5月，可被公開存取，該公司已封鎖可從外部存取的管道。</p> <p>而另一個事件影響日本Lexus車主，關鍵在於該公司曾經提供的導航地圖訂閱服務G-BOOK有關（現已終止服務），自2015年2月9日至2023年5月12日可被公開存取，影響旗下Lexus LS、GS、HS、IS、IS F、IS C、LFA、SC、CT、RX車系約2.6萬名車主。該公司強調，曝露的資料無法用來識別車主，也無法存取車輛。</p> <p><a href="https://www.bleepingcomputer.com/news/technology/amazon-faces-30-million-fine-over-ring-alexa-privacy-violations/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">允許員工擅自存取Ring用戶監視影片，Amazon面臨3千萬美元罰款</span></strong></a></p> <p>美國聯邦交易委員會（FTC）於5月31日發出公告，Amazon旗下專營智慧家庭裝置的子公司Ring因放任員工存取用戶的監控影片，未善盡保護用戶的責任，且未取得用戶的同意下，用這些影片來訓練演算法。此外，Ring未能部署標準的安全措施，導致用戶帳號遭到帳號填充及暴力破解攻擊，駭客接管約5.5萬名美國用戶帳號，並利用監視器的影片來威脅受害者。對此，FTC要求Ring必須退款580萬美元給用戶。</p> <p>同一天也被要求Amazon支付2,500萬美元的罰款，原因是FTC及美國司法部因Amazon Alexa永久保存兒童的語音歷史紀錄，且不得使用已請求刪除的資料來改善產品。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://eclypsium.com/blog/supply-chain-risk-from-gigabyte-app-center-backdoor/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾360款技嘉主機板更新機制存在弱點，恐被植入惡意UEFI程式、發動供應鏈攻擊</span></strong></a></p> <p>以揭露電腦硬體、韌體漏洞聞名的資安業者Eclypsium發布一份報告，他們自今年4月，發現搭載技嘉主機板的電腦出現「類似後門的行為」，而使得攻擊者能在這些電腦的UEFI韌體植入Windows可執行檔，並在HTTP這種未加密的連線方式下載更新檔案的過程中，可發動供應鏈攻擊及中間人攻擊。受影響的主機板約有364款，粗估有7百萬臺電腦存在相關弱點。</p> <p>研究人員針對用戶提出以下建議措施，首先是更新經過驗證的韌體與相關軟體，再來是停用UEFI韌體當中的App下載與安裝（App Center Download & Install）功能，並且設定BIOS密碼，封鎖技嘉自動更新伺服器的網址來因應。</p> <p><a href="https://jetpack.com/blog/jetpack-12-1-1-critical-security-update/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WordPress安全外掛程式Jetpack存在嚴重漏洞，攻擊者可用於操弄網站上的檔案</span></strong></a></p> <p>開發WordPress安全套件Jetpack的Automattic發布公告，指出Jetpack存在重大漏洞，攻擊者一旦利用，有可能藉此控制網站上的檔案，該漏洞影響該套件2.0以上版本，該公司已推出12.1.1版（及其他101個分支的更新版本）予以修補。</p> <p>該公司亦與WordPress.org資安團隊合作，自動更新大部分網站上的外掛程式元件，截至目前為止，已有45%部署了12.1.1版。該公司表示，尚未出現漏洞被用於攻擊行動的跡象。</p> <p><a href="https://github.com/c53elyas/CVE-2023-33733"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">PDF程式庫ReportLab出現RCE漏洞</span></strong></a></p> <p>以Python打造的PDF程式庫Reportlab，最近有研究人員c53elyas針對<a href="https://docs.reportlab.com/releases/notes/whats-new-3613/">4月底修補的RCE漏洞CVE-2023-33733</a>（未有CVSS風險評分），發布概念性驗證（PoC）攻擊程式，並透露漏洞細節。</p> <p>研究人員表示，這項漏洞與此程式庫的沙箱元件rl_safe_eval有關，該元件的功能是防堵惡意程式碼執行，但研究人員藉由搜尋內建的type功能函式，並建立名為Word的類別，此類別繼承了另一個str類別，而能繞過該沙箱的安全檢查，並存取較為敏感的屬性如：code。接著，攻擊者利用type呼叫自己來進行安全檢查，繞過參數的計數限制，從而濫用該功能函式建立新的類別與物件，並發動RCE攻擊。</p> <p><a href="https://chromereleases.googleblog.com/2023/05/stable-channel-update-for-desktop_30.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google發布Chrome 114，修補18個漏洞</span></strong></a></p> <p>Google於5月30日發布電腦版Chrome 114（114.0.5735.90、114.0.5735.91），當中總共修補18個漏洞，其中有8個為高風險等級，且有6個與記憶體有關。</p> <p>根據Google給予的獎金多寡，最嚴重的是CVE-2023-2929，這是Swiftshader元件的記憶體越界寫入弱點，該公司頒給研究人員15,000美元獎勵。其次是延伸套件的記憶體釋放後濫用漏洞CVE-2023-2930，Google提供研究人員10,000美元獎金。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.group-ib.com/blog/dark-pink-episode-2/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織Dark Pink鎖定亞太與歐洲的組織發動攻擊</span></span></strong></a></p> <p><a href="https://isc.sans.edu/diary/Your%20Business%20Data%20and%20Machine%20Learning%20at%20Risk%3A%20Attacks%20Against%20Apache%20NiFi/29900"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">資料流系統Apache NiFi遭到鎖定，被用於挖礦</span></span></strong></a></p> <p><a href="https://cybernews.com/security/neho-real-estate-agency-data-leak/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">瑞士房仲業務Neho因網站配置不當，公開可接管內部系統的帳密資料</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/terminator-antivirus-killer-is-a-vulnerable-windows-driver-in-disguise/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客在俄文駭客論壇兜售能繞過防毒軟體的作案工具Terminator</span></span></strong></a></p> <p><a href="https://thehackernews.com/2023/05/hackers-win-105000-for-reporting.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員從Sonos One智慧音箱挖掘重大漏洞，可透過root權限執行任意程式碼</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157143">【5月31日】圖靈驗證CAPTCHA出現人工破解服務</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157121">【5月30日】木馬程式GobRAT鎖定日本路由器而來</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157087">【5月29日】微軟加密附件檔案遭到釣魚郵件濫用，鎖定企業收款部門而來</a></strong></p> </div></div></div>
2023/6/1 17:30作者周峻佑https://www.ithome.com.tw/news/157153
【2023臺灣資安人才趨勢】臺灣現有資安人力吃緊，2023年預期還要再找近8成人力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於資安人才不足的議題，各界都在關注，現在臺灣市場的企業資安人力需求缺口多大？</p> <p>根據iThome公布的2023年資安大調查結果，企業對資安人才的需求持續強勁，有3成7企業都要招募資安人才，等於每10家就有近4家開出相關職缺。</p> <p>這樣的結果，已經呈現逐年攀升趨勢，從2成1的比例，到突破3成的比例，今年又再上升7個百分點。</p> <h2><strong>臺灣資安人才需求擴張，更多企業有意招聘</strong></h2> <p>自2018年以來，iThome每年針對臺灣2千大規模的企業持續進行資安大調查，當中不只了解他們面臨的資安災情現況，以及資安防護設備與技術的投資，對於他們所面對資安人才的挑戰，也是我們持續關心的重點議題。</p> <p>儘管與整體IT人才需求相比，資安仍算少數，但近年來，資安人才市場每年確實呈現相當大的需求，有越多的企業採取主動積極、主動方式，或是在這兩年的法規政策下，依循主管機關要求，建立專責資安團隊或設立專責資安人員。值得關注的是，從臺灣2022年整體資安人才市場來看，在企業從事資安工作的人力，約7千人，但以當時召募需求來看，對資安人才的需求高達近5千人之多，仍有很大的不足。</p> <p>特別的是，根據iThome在2023年的資安大調查結果，以臺灣大型企業而言，現有平均資安人力約3.4人，希望擴編到6.1人，這意味著，2023年整體還要多招募7成9才夠用。</p> <p>儘管每年能否如期補滿是一大挑戰，畢竟，從往年的現有資安人數比例變化來看，其實沒有顯著提升，但從每年要多招募的比例變化來看，今年需求有更放大的趨勢。</p> <p>進一步從產業面來看，2023年金融業對資安人力的需求依然最高。事實上，從近三年的調查平均結果來看，金融業的既有資安人力，已經從2021年的7.8人，2022年的9.5人，提升為2023年的10.2人，但在人力已經明顯提升之下，2023年時還打算再多聘4.2人。</p> <p>顯然，即便是被認為已經很重視資安的金融業，對於資安人力的需求，仍然相當高。</p> <p>人數需求第二多的是政府與學校，現有資安人力為4.9人，但2022年還要多找5.6人，綜合而言，這產業不僅需求的人數不少，其資安人才缺口更是最大。</p> <p>還有醫療業與服務業的狀況也引發關注，儘管醫療業現有資安人力為1.6人，一般製造為1.4人，但這兩個產業今年打算招募的人數，都超過平均現有人數。換言之，這兩個產業的資安人才缺口，僅次政府與學校的產業，更關鍵的是，今年有三個產業的所要招募人力大於現有人力，創歷年之最。</p> <p>至於服務業、高科技業，現有資安人力分別為3.2人、2.3人，而他們所要多招募的人力，也相當於現有資安人力的6成到9成之間。</p> <p>整體來看，2023年各產業要招募資安人力的企業比例，整體為3成7，比起前兩年的3成出頭，又有顯著提升。</p> <p>在此當中，金融業仍是最積極，比例高達6成7，但比之前2022年的7成2低。換言之，儘管金融業招募人數更多，需求尚未放緩，但招募的家數開始下降。</p> <p>特別要關注的是，今年服務業、醫療業與政府與學校，都有更高比例的企業要擴編資安團隊，其比例都接近4成。至於高科技業仍維持在3成以上，一般製造業為2成5。</p> <p>若進一步從其他觀察面來看，自2021年開始我們就已經注意到一個現象，那就是，企業可能更重視優秀資安人才的培育與招募，這是因為，在企業自評難以阻擋駭客的原因中，有一項正是缺乏熟練人員，而此項調查結果的排名與比例，從2021年之後有明顯攀升。因此，企業除了期望補充更多資安人力，對優秀資安人才的重視程度也變得更大。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖）iThome_2023資安大調查_資安人力現況01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89iThome_2023%E8%B3%87%E5%AE%89%E5%A4%A7%E8%AA%BF%E6%9F%A5_%E8%B3%87%E5%AE%89%E4%BA%BA%E5%8A%9B%E7%8F%BE%E6%B3%8101.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖）iThome_2023資安大調查_資安人力現況02.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89iThome_2023%E8%B3%87%E5%AE%89%E5%A4%A7%E8%AA%BF%E6%9F%A5_%E8%B3%87%E5%AE%89%E4%BA%BA%E5%8A%9B%E7%8F%BE%E6%B3%8102.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖）iThome_2023資安大調查_資安人力現況03.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89iThome_2023%E8%B3%87%E5%AE%89%E5%A4%A7%E8%AA%BF%E6%9F%A5_%E8%B3%87%E5%AE%89%E4%BA%BA%E5%8A%9B%E7%8F%BE%E6%B3%8103.jpg" style="width: 600px;" /></a></p> <h2><strong>有那些類型資安人才需求最大？</strong></h2> <p>從上述這項超過400家臺灣2千大規模企業的調查，我們不難發現，企業對資安人才有迫切需求，但是，市場上我們的供給量能足夠嗎？有哪些資安人才需求特別欠缺？</p> <p>在2022年iThome臺灣資安大會期間的活動，時任資安卓越中心規畫建議計畫的共同主持人鄭瑋，在Cyber Talent資安人才論壇特別提到這方面的研究結果。</p> <p>她表示，根據教育部統計處公開資料，我國2021年資訊領域畢業生有17,680人，但在他們教師訪談及自身學界觀察綜合研判後，進入資安工作市場的畢業生，粗估1年恐怕不到2,000人。</p> <p>接下來，他們分析資安相關職缺，在隨機抽樣30%，人工排除非資安職缺，並依美國NICE網路安全人才框架的七大職能分類後，針對706筆職缺內容進行分析。結果顯示，在臺灣資安人才的職缺類型中，最熱門的營運與維護（MIS）人員，占了54%，其次依序為監管與治理、保護與防禦、安全交付、分析，以及鑑識，蒐集與行動類則無相關職缺。</p> <p>若對比美國徵才情況，資安卓越中心發現：臺灣安全交付類人才需求優先度較低，其餘需求類別排序則大致相同。</p> <p>另一項值得關注的差異在於，臺灣是營運與維護的需求獨大，其占比甚至較第二名的監管與治理高出40%，而美國各種類需求分布明顯較為平均，多數類別占比在10%到25%間。</p> <p>不過，就算目前臺灣市場職缺以營運與維護類人才為主，但在過去資安卓越中心與產學界交流之下，業界人士及資安專家均認為，資安人員職務上的學習需求仍以防禦能力為主。換言之，這些維運人員需要的進修內容，並不只是營運與維護相關能力，還要同時提升進階的保護與防禦，以及威脅與漏洞分析與資安鑑識等專業技術。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖）2023台灣資安人才趨勢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%892023%E5%8F%B0%E7%81%A3%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%B6%A8%E5%8B%A2.jpg" style="width: 600px;" /></a></p> <p>除了iThome與政府方面進行的調查，在2021年臺灣資安大會的資安人才論壇，104人力銀行公開他們觀察的資安人才需求趨勢。當時，104獵才招聘事業群資深經理劉俊鴻直言，資安人才供應遠不及需求，例如，以網路安全系統分析師的職務來看，光是第一季，平均每3家企業要搶1個求職者。</p> <p>這也意味著，由於供應量的不足，資安工程師在市場上屬於待價而沽的狀態，薪水更有商議空間；但對企業來說，容易面臨找不到人才的處境。</p> <p>我們再對照104人力銀行在2022年新公布的資料，當中顯示，2021全年的平均每月資安工作機會達1,326 個，比起2017年的539個，增長幅度達1.5倍。而這些工作機會中，2021年要求資訊工程相關科系的比例為44.5%，要求資訊管理相關科系為39.7%。不過，也有 44.5% 是不限科系。在薪資方面，2021年的薪資中位數為 5.3萬，比5 年前成長12%，並且比整體工作者薪資增幅高出 3％。</p> <p>另外，以2021年最缺資安人才類型而言，網路安全分析師最高（28%)，其次為網路管理工程師（15%）、以及資安顧問（11%）。無論如何，從國內的資安人才需求市況來看，近幾年來確實已有大幅攀升的情況，但供給面仍令人憂心。如今，我國也正期望擴大促進資安人才的供給、培訓，以及建構職能基準或職能地圖，幫助企業組織在求才時，可以更容易找到適合的人選。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖X）2023台灣資安人才趨勢01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96X%EF%BC%892023%E5%8F%B0%E7%81%A3%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%B6%A8%E5%8B%A201.jpg" style="width: 450px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖7）臺灣資安人才趨勢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%B6%A8%E5%8B%A2.jpg" style="width: 600px;" /></a></p> <p><strong>關於求職求才薪資方面的資訊，在104人力銀行的網站上，使用者將可以依據職務檢視薪資級距，例如搜尋網路安全分析師一職，可以在該職務經歷頁面之下檢視工作年資與薪資範圍。圖片來源／擷取自 104 人力銀行</strong></p> <p class="rtecenter"><strong>繼續閱讀：<a href="https://www.ithome.com.tw/news/156872"><span style="color: rgb(0, 0, 255);">【2023資安人才趨勢總覽】資安人才需求大，內訓與自動化成關鍵</span></a></strong></p> </div></div></div>
2023/6/1 18:30作者羅正漢https://www.ithome.com.tw/news/157152
【2023資安人才趨勢總覽】資安人才需求大，內訓與自動化成關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在數位與網路的高速發展之下，近年來面臨的資安威脅日益嚴重，若從世界經濟論壇（WEF）的全球風險報告來看，近十年來的全球前五大長期風險，種類已從「經濟問題」類型逐漸轉變成「環境問題」類型，而關於「科技問題」類型的風險，也呈現逐年竄升的情形，更是IT界無法迴避的挑戰。</p> <p>WEF全球風險報告特別指出，從2012年開始，網路攻擊的風險就竄升至第4名，到了2015年，還有資料詐騙與資料外洩的風險、關鍵基礎建設中斷的風險，以及科技濫用的風險，排名也都在迅速竄升至前20。 </p> <p>然而，為了應對日益增加的網路安全威脅和攻擊，不只要有資安產品與技術的研發、加密演算法的設計，也仰賴資安人員去治理、規畫、導入與實作，並負責防禦建設與應變。因此，在這種種工作的背後，都需要仰賴各類型資安人才，始能完成每一塊拼圖。</p> <p>甚至我們在整體環境的發展上，在法規制定、產業標準制定，以及政策與執法單位等不同層面，也都要有資安人才實際付諸行動，才能對應整體國家社會經濟發展。</p> <p>事實上，十多年前，網路安全屬於新興的職業類型，但由於它過於龐大與複雜，因此，面臨許多挑戰，例如，如何因應市場需求提供更多資安人才供給？如何使合適的人擁有合適的資安技能？如何盤點出網路安全相關的所有知識技能？如何幫助資安從業人員，以系統化的方式學習資安知識？事實上，直到2023年的此刻，這些需求已然成為全球與各界關注的重大議題。</p> <h2><strong>資安關鍵戰力在於人才，政府法規要求增多，也帶動資安人才需求</strong></h2> <p>隨著網路攻擊威脅日益嚴峻，在資安事件頻頻傳出的威脅態勢之下，不僅全球都在強調資安的重要性，政府機關與民間企業也更加重視資安建設與投資，在此同時，其實也帶動了資安人力的需求，畢竟事在人為，有「人」才能推動與落實資安。</p> <p>以臺灣而言，政府長期持續推動本土資安產業發展，促使資安人才需求逐年上漲，再加上企業面臨資安威脅衝擊營運風險，迫使更多企業須主動強化資安，並希望招攬更多資安人才。</p> <p>根據iThome在2018年進行的資安大調查，當時招募資安人員而開出職缺的企業占21.4％，而接下來5年，開出資安職缺的企業比例持續增加——2019年是23.6％，2020年是22.5％，到2021年的31.3％，2022年的30.5％，如今2023年更是來到37.5%。這不僅顯示出，我國對於資安人力的需求，有逐年攀升的趨勢。換言之，原本每5家公司有1家公司招募資安人才，現在變成每3家公司就就有1家公司要招募資安人才。</p> <p>這當中，以2021年後成長幅度顯著，而此一變化很可能也與臺灣推行的法令、政策有關。</p> <p>因為，近幾年我國政府為促進產業資安強化與治理，從法規面出發，具體要求資安人力的配置，像是資通安全法對於公務機關及特定非公務機關（八大關鍵基礎設施），以及金管會對於第一級與第二級上市櫃公司的要求，均規範了需配置相應的資安專屬人力。</p> <p>從這些政府機關到民間企業的規範，我們認為，這等於是在市場上創造了更多資安人才需求，同時也期盼能借助市場之力，帶動資安產業薪資增加，以及帶動資安人才的供給。</p> <h2><strong>因應人力不足的難題，資安產業也積極發展自動化應用</strong></h2> <p>除了政府機關與企業重視資安，要求配置相關人力的舉措，大家也面臨人力不足的困境。</p> <p>例如，2018年iThome報導MDR服務興起，當時有些業者表示，企業欲強化及時的威脅檢測與事件處理能力，但也面臨資安管理層面的挑戰，例如，在資源有限情況下，公司的資安人員處於編制不足的狀態，或者是本身設置的資安監控中心收到大量的資安警示，卻沒有足夠人才，去判斷優先處理順序及深入分析處理。因此，當時市場上就預期，可能會有更多資安服務代管業者（MSSP）提供MDR的類型服務。</p> <p>在這之後，我們接續看到SOAR、ADR，以及新世代SOC、SIEM等資安解決方案的發展，當中也聚焦自動處理技術的突破，很多廠商不僅強調具有更即時偵測與應變的能力，也藉此間接降低本身的資安人力負擔。</p> <p>當然，現在全球正處於大型語言模型（LLM）、ChatGPT等技術當紅之際，不僅有望帶動許多工作領域生產力上升，延伸而出的資安面應用也受關注。</p> <p>回顧過去資安產品與服務，早在2014年，我們看到新創公司Tanium的資安軟體產品，提供結合自然語言處理技術進行事件查詢的用法，吸引眾人目光，而隨著技術不斷進化，每年都出現重要突破，尤其是在2023這一年最具代表性。</p> <p>例如，GitHub與OpenAI合作開發的智慧工具Copilot，新加入基於AI的漏洞過濾系統，能夠及早阻擋憑證寫死、SQL注入等不安全程式碼的產生；微軟推出的Security Copilot，可幫助網路安全人員提供資料關聯分析，並供應變建議，或是透過上傳程式碼、Log記錄檔，就能產生資安漏洞總結。</p> <p>有了上述這類更聰明的輔助工具，對於新進人員來說，如果必須在短時間內處理不擅長領域的應用，AI可以是減少工作負擔的得力助手。不過，隨著整體資安人力市場的需求高漲，如何促進人才培育更符合市場需求期待，以及如何健全資安人才生態系，仍是資安技術能否持續茁壯的長期發展重點。</p> <h2><strong>比起過去資安人才養成面臨的困難，現在有更多資源可帶來幫助</strong></h2> <p>面對人力不足的挑戰，現階段是否有好的應對方式？儘管大家仍在持續探究，除了期望政府帶動，以及企業、學校、社群、資安界能通力合作，但同時，我們該如何抓住這樣的機會，發揮自己的優勢，也將會是更好的思考點。</p> <p>例如，對於企業組織而言，積極爭取更多優秀資安人才已是常態，從內部人力養出資安團隊與留才更受看重。</p> <p>更重要的是，相較於過去，大家培育人才時，單從即刻需求出發而受限，如今，不僅是資安解決方案朝向自動化減輕人力負擔，幫助投入資安工作的門檻降低，而且，如今在人力團隊規畫與技能需求上，有更多參考資源可供借鏡。</p> <p>回顧過去，由於每個組織看待資安人才時，都有共通與各自的特殊考量，這也造就大家對於資安人才的詮釋方式，存在很大的落差。不僅是各自所提出的工作職務名稱不同，對於工作所需的資安技能，也都有各自的闡釋方式。</p> <p>因此企業面臨的一大問題就是，如何掌握人才需具備的知識技能，才能更有效地幫助招聘與培訓。而對於培訓機構與有志從事資安工作的人，也需要有方向能夠依循，才能讓資安勞動力市場形成正向循環，並縮小產學落差的鴻溝。</p> <p>現在，對於內部培訓單位、培訓機構與有志從事資安工作的人而言，如今有了更多職能框架參照，要建立培訓目標達成表的九宮格，比過去容易許多；對於既有資安從業人員而言，如何不讓自己落於人後，開發新技能或盤點自身技能缺口，同樣也比過去簡單。</p> <p>只是，即便現在比過去容易找出方向，但重點還是在於行動。正如我們在前面說的「事在人為」，企業與組織迎接資安人才挑戰的同時，也應看看內部是否能利用現有資源來強化人才養成。</p> <p>另外，應對資安挑戰，除了人才培育，組織也需實行全員資安意識教育，相對地，這方面的教育人才同樣需要滿足，甚至對於國家政府而言，一般民眾、高中、大學教育也該有相應的通識課程計畫，提升基本網路風險認知，這項問題多年前就已經受到呼籲要重視，希望2023年後能有更多進展。而且，在資安意識變得更普及之下，或許也能讓更多人因產生興趣而跨入資安領域。</p> <p> </p> <h2 class="rtecenter"><span style="color:#0099ff;"><strong>資安人才專區已成臺灣資安大會重點活動</strong></span></h2> <p><a href="https://s4.itho.me/sites/default/files/images/(2023臺灣資安人才專刊-資安人才趨勢總攬)3J4A2288s-攝影iThome.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(2023%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E5%B0%88%E5%88%8A-%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%B6%A8%E5%8B%A2%E7%B8%BD%E6%94%AC)3J4A2288s-%E6%94%9D%E5%BD%B1iThome.jpg" style="width: 600px;" /></a></p> <p><strong>由iThome主辦的臺灣資安大會，連續三年都舉行了Cyber Talent資安人才專區的活動，藉由數十位資安職場上的專家，帶來資安職涯的經驗分享，資安人才成長的攻略盤點。攝影／iThome</strong></p> </div></div></div>
2023/6/1 15:00作者羅正漢https://www.ithome.com.tw/news/156872
美法官要求以生成性AI產製的法律文件需人類審查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為防止生成性AI幻覺（hallucination）引發混亂，美國德州一名法官要求，在其審理的所有法律文件若是由ChatGPT草擬或撰寫，必須宣告且經過人類審查準確性。</p> <p>著名法律學者Eugene Volokh在其部格格<a href="https://reason.com/volokh/2023/05/30/federal-judge-requires-all-lawyers-to-file-certificates-related-to-use-of-generative-ai/#online_news" target="_blank">《Volokh Conspiracy》</a>報導，德州聯邦法官Brantley Starr本周公告名為《關於生成性人工智慧的必要證明》（Mandatory Certification Regarding Generative Artificial Intelligence）的命令，要求任何律師在其法庭中提出的文件，必須具備證明，其文件若非完全未經生成性人工智慧（ChatGPT、Harvey.AI或Google Bard或任何生成性AI）草擬，或是生成性AI草擬的語言，必須經過人類利用印刷資料或傳統法律資料庫檢查精確性。</p> <p>法官指出，雖然AI平台在草擬文件、尋找答案及提供錯誤修正、提供口頭辯論問答方面很強大，但卻不得用於案件摘要，原因是目前AI容易出現幻覺和偏見。在AI幻覺方面，AI可能憑空杜撰內容，包括引用說話或來源。此外，不像人類律師宣誓摒除個人偏見，生成性AI是人類編碼產品，沒有宣誓、對客戶、法治及憲法沒有忠誠，也沒有正義、榮耀、義務的原則，因此也不會有可信賴度（reliability）的保證。</p> <p>為此，Starr法官命令，任何律師在庭上交付的文件不論是否經生成性AI草擬任何一部份，都需提交簽章表格作為證明。</p> <p>這也呼應了近日發生AI胡謅法律文件的事。<a href="https://www.ithome.com.tw/news/157103" target="_blank">上周紐約州一名律師Steven Schwartz在ChatGPT幫忙「補充法律研究」下，完成一份案件摘要文件</a>。ChatGPT提供了6個判例全部都是憑空捏造的，以致於對方律師完全找不到案例。Schwartz坦言從未使用過ChatGPT，並不知道它所提供的內容可能是假的或錯的。</p> <p>不過也有法官傾向相信AI。<a href="https://www.ithome.com.tw/news/155419" target="_blank">哥倫比亞一名法官今年在審理一宗官司時</a>，採信ChatGPT提供的答案，連同其個人想法，加入法院文件作為判決基礎。</p> </div></div></div>
2023/6/1 15:29作者林妍溱https://www.ithome.com.tw/news/157149
研究人員公布鎖定ReportLab的概念性驗證攻擊程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一名來自Cure53的安全研究人員Elyas Damej周三（5/31）透過GitHub，<a href="https://github.com/c53elyas/CVE-2023-33733" target="_blank">公布了一個攸關Reportlab開源專案的漏洞概念性驗證攻擊程式</a>，還詳細說明該漏洞的技術細節，此一編號為<a href="https://docs.reportlab.com/releases/notes/whats-new-3613/" target="_blank">CVE-2023-33733的安全漏洞雖然已於今年4月底修補</a>，但有鑑於Reportlab的熱門程度，外界推測該漏洞很快就會遭到駭客利用。</p> <p>Reportlab為一專門用來建立PDF檔案的Python函式庫，也能用來製造各種圖表，<a href="https://pepy.tech/project/reportlab" target="_blank">它的每月下載量超過300萬次</a>，可以想見的是，CVE-2023-33733漏洞波及了各種利用Reportlab來處理PDF檔案的應用與工具。</p> <p>Damej說明，他們是在稽核一個網頁應用時，發現該應用程式採用了Reportlab函式庫，以將HTML轉成PDF檔案，有鑑於Reportlab過去曾經修補一個與此有關、且可導致遠端程式執行的安全漏洞，促使他們興起找出如何繞過該修補的念頭。</p> <p>當時Reportlab修補的方式是嵌入一個與其它Python函式隔離的沙箱，它擁有許多覆蓋的內建函式，可允許安全程式碼的執行，並避免其存取危險函式，企圖建立一個消毒的執行環境。然而，Damej發現其中一個名為"type"的內建類別若與一個引數一起被呼叫，便會回應一個該類別的物件，但若是與3個引數一同被呼叫，卻會建立一個源自其它類別的新類別，即可繞過原先的檢查。</p> <p>當發現可繞過修補的方式時，Damej即打造了概念性驗證攻擊程式，而且只需要一行的程式碼。</p> <p>Damej提醒，各種利用Reportlab的程式及函式庫都會受到該漏洞的影響，在將惡意HTML轉成PDF時面臨遠端程式執行的攻擊風險。</p> </div></div></div>
2023/6/1 16:06作者陳曉莉https://www.ithome.com.tw/news/157151
AI21 Labs完成迄今最大型的圖靈測試，三分之一參與者無法分辨AI還是人類
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人工智慧公司<a href="https://www.ai21.com/blog/human-or-not-results">AI21 Labs進行了有史以來最大型的圖靈測試（Turing Test）</a>，讓參與者與先進語言模型或是其他參與者交談，並要求參與者猜測對談者是人工智慧還是人類，研究結果發現，有超過30％的人無法正確分辨兩者。</p> <p>AI21 Labs進行名為Human or Not?的圖靈測試實驗，由於這個實驗以遊戲化的方式進行，因此廣受網路使用者歡迎，研究人員最終分析了200萬次的對話和猜測，得出幾項主要結論。有68％的參與者正確猜出交談者是人工智慧或是人類，不過，交談對象是人工智慧抑或是人類，影響參與者猜測的正確度（下圖），人類更容易辨識出人類，因此在與人類交談時，參與者猜對的正確率達73％，但在與機器人交談時，正確率僅剩60％。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%8B%E8%BC%89(4).png" style="width: 300px; height: 300px;" /><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%8B%E8%BC%89%20(1)(1).png" style="width: 300px; height: 300px;" /></p> <p>不同國家的猜測正確率也有差異，法國猜對機率達71％，高於平均68％，而印度的分數則最低為63.5％。男女正確率相似，但女性猜測正確率略高，而以年齡組別區分的話，和年齡較大的組別相比，較年經的年齡組猜對機率略高。</p> <p>參與者傾向利用對人類與機器人的既定印象，制定區分兩者的對話策略。不少參與者認為有拼寫和語法錯誤，而且會使用俚語的交談者是人類，但在這個測試中，模型都經過訓練，因此也會犯錯並且使用俚語。</p> <p>參與者會透過提出像是「你在做什麼？」「你叫什麼名字」等私人問題，以評估交談者，是否能給出像人類一樣地獨特的見解、經驗和故事，但事實上，大多數機器人因為在訓練資料中看過很多個人故事，因此皆能夠生動地回應這些問題。</p> <p>參與者認為語言模型訓練資料有嚴格的截止日期，因此不會知道近期發生的事件，但由於這個遊戲中，所有模型都連接到網際網路，因此機器人也知道新聞中出現的近期事件。研究人員提到，區分人類和機器人最有效的方法，是利用模型處理文字的限制，像是人類可以輕易讀懂「?siht daer uoy naC」這樣的句子，但是這對人工智慧來說是無法理解的。</p> <p>在人工智慧學習人類說話方式的同時，研究人員也觀察到，人類也會學習像是ChatGPT這類大型語言模型的行為，使用「As an AI language model」這樣的語句，評估交談對象的反應。</p> <p>AI21 Labs計畫深入這些發現，並且根據實驗資料展開科學研究，研究人員提到，人工智慧作為人類網路世界的未來成員，特別是當前人類對質疑人工智慧在未來科技的實現，因此有必要讓公眾、研究人員和政策制定者了解人工智慧的狀態，清楚理解2023年人工智慧的能力。</p> </div></div></div>
2023/6/1 16:43作者李建興https://www.ithome.com.tw/news/157150
安全廠商偵測到逾200款技嘉產品有類似後門程式下載活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://eclypsium.com/blog/supply-chain-risk-from-gigabyte-app-center-backdoor/" target="_blank">安全廠商警告</a>，超過200款技嘉主機板等產品因不安全實作出現類似後門程式運作功能，有被用於惡意下載程式到用戶電腦的風險。</p> <p>安全廠商Eclypsium最近透過啟發式偵測法，在技嘉產品App Center功能偵測到疑似後門程式的行為。技嘉產品在用戶電腦的Windows啟動過程中，植入一個二進位程式，而後這個二進位程式以較不安全的HTTP連線，從技嘉伺服器下載其他程式。</p> <p>要說明的是，研究人員並非指技嘉電腦產品用戶已經被植入惡意程式，而是指技嘉電腦軟體更新的這個過程可能被用以下載惡意程式。第一個過程中，下載的二進位檔.NET應用程式會由韌體寫入系統開機行程。這是UEFI嵌入程式和後門程式常見的手法，見於之前UEFI韌體嵌入程式如Sednit LoJax、MosiacRegressor、MoonBounce及Vector-EDK。</p> <p>而在第二部分過程中，.NET應用程式以HTTP連線從技嘉數個網站的LiveUpdate路徑下載程式。研究人員指出，HTTP連線不應用於更新重要程式碼，因為可能被駭客以中間人攻擊（machine-in-the-middle，MITM），但即使是使用HTTPS連線，技嘉的遠端伺服器憑證的驗證也未能正確實作，也可能會發生MITM情形。另一方面，技嘉韌體也未實作數位簽章的驗證來驗證執行檔。雖然技嘉下載的執行檔或其他工具的確有技嘉加密簽章，滿足Windows的程式碼簽章要求，但並無法遏止像是離地攻擊（living-off-the-land）手法等惡意使用，因此駭客仍可利用MITM或入侵基礎架構途徑來感染受害者電腦。</p> <p>研究人員並指出，藏匿於UEFI或其他韌體的惡意程式很難移除，而且即使後門程式執行檔移除，下次開機時韌體還是能再次下載。這在2015年及2018年被發現的聯想筆電的Superfish和Computrace LoJack就展現其難纏程度。</p> <p><a href="https://eclypsium.com/wp-content/uploads/Gigabyte-Affected-Models.pdf" target="_blank">受到影響的技嘉產品如網站所示</a>。</p> </div></div></div>
2023/6/1 12:55作者林妍溱https://www.ithome.com.tw/news/157146
Uber Eats在美將採用2000臺機器人送餐
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Uber Eats計畫在美國數個城市以高達2,000臺機器人提供遞送餐點的服務。</p> <p><a href="https://www.serverobotics.com/uber-scaling" target="_blank">Uber Eats是和一家自動人行道遞送（autonomous sidewalk delivery）系統業者Serve Robotics合作這項計畫</a>。根據雙方的合作，Serve將在美國多個城市部署其機器人，為Uber Eats提供送餐或送貨服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0601-Serve_robot_01_Uber-600.png" style="width: 450px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Serve Robotics</span></span></p> <p>Serve的送餐機器人是一個類似購物推車大小，具備攝影機及顯示平板的四輪裝置。自2022年提供以機器人遞送服務以來，遞送量每月成長30%，目前洛杉磯已有200多家餐廳加入。該公司表示，使用機器人送餐具有減少交通流量及加速遞送最後一哩流程的效率，同時提升對顧客及店家的服務。<a href="https://spectrumnews1.com/ca/la-west/business/2023/05/31/serve-robotics-plans-to-deploy-up-to-2-000-sidewalk-delivery-robots" target="_blank">媒體報導</a>，從去年開始Uber Eats和Serve已經在好萊塢、西好萊塢、費爾法克斯（Fairfax District）及洛杉磯其他地區展開送餐測試。</p> <p>從5月起，洛杉磯「特定」用戶可利用Uber Eats App下單，由Serve機器人送餐到府。下單後，用戶會看到確認畫面、接收通知，並以此追蹤機器所在位置。機器人來到門前時，客戶可以Uber Eats App開啟機器人的上蓋取貨完成交易。</p> <p><a href="https://www.serverobotics.com/uber-eats" target="_blank">Serve表示</a>，雙方計畫之後再擴展到其他城市。<a href="https://techcrunch.com/2023/05/30/serve-robotics-to-deploy-up-to-2000-sidewalk-delivery-bots-on-uber-eats/" target="_blank">《Techcrunch》</a>則報導，該公司展望2026年其服務會擴展到聖荷西、達拉斯及溫哥華等地。</p> <p><a href="https://me.mashable.com/tech/28727/thousands-of-delivery-robots-are-being-deployed-for-uber-eats" target="_blank">《Mashable》</a>報導，Serve目前也和Walmart、Pizza Hut等零售業者展開自動化送餐的測試。</p> <p><a href="https://tinyurl.com/2z9zacvg" target="_blank">上周Uber也和無人車業者Waymo宣布一項多年合作</a>，將從鳯凰城市開始，由Waymo的無人車提供Uber載客服務。</p> </div></div></div>
2023/6/1 13:09作者林妍溱https://www.ithome.com.tw/news/157147
【2023全球資安人才趨勢】全球缺少343萬資安人才，雲端安全與資安分析職務需求最高
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>培植資安人力是全球重視的議題，了解臺灣本身的需求之餘，國際間的現況也影響整體供需發展。為了瞭解全球的態勢，我們特別統整數個重要的資安人才調查報告。</p> <h2><strong>最大技能需求並非硬性技術，而是溝通領導等軟性技能</strong></h2> <p>首先，在資安人力需求方面，從國際資訊系統安全認證協會（ISC）²的資安人力研究報告來看，2022年10月底的最新報告顯示，估計2022年全球資安勞動力規模，已增至465萬人，相較於前一年度報告中指出，2021年全球資安勞動力規模為419萬人，明顯多出1成；不僅如此，在資安人力缺口方面，2022年已達343萬人，比2021年公布的272萬人，更加擴大。</p> <p>在這份數據當中，亦呈現近年全球資安勞動力的發展規模。以2020到2021年間為例，全球呈現20%的增長，當中除了美國、歐洲、亞太都有顯著增長，受關注的是，德國、新加坡的成長幅度更是高達165%與61%，顯示兩國資安人力市場有明顯的擴大。</p> <p>在多份資安人力相關的報告與調查中，還呈現了幾個重要的態勢。例如，在國際電腦稽核協會（ISACA）2022網路安全狀況報告中，指出資安人才最大技能缺口，第一是溝通、靈活性、領導等的軟性技能，其次是雲端運算、資安控制。顯然，資安人才需要的不只是技術上的硬實力，軟實力更受看重。</p> <p>在資安業者Fortinet的2022年網路安全技能差距調查報告則顯示，全球企業找尋的資安人才中，有半數組織表示，最需要雲端安全方面的資安工作角色，其次為安全維運分析師、資安管理人員、資安架構師。</p> <p>特別一提的是，資安意識與訓練管理者排名第五，比起網路架構師、DevSecOps專家、事件應變專家的排名還高。</p> <p>而從Cyberseek資料來看，儘管主要針對美國市場統計，但也相當具參考性。具體而言，在美國國家安全教育倡議組織（NICE）及LighCast、CompTIA共同推動的CyberSeek網站上，以互動式圖表列出美國當地資安就業市場的現況，特別的是，當中顯示全國與各州當地市場企業招募的資安職務數量排名。若以該國整體市場來看，需求較高的前三大工作職缺，分別是：資安分析師、軟體開發人員、滲透測試與弱點測試人員，是目前當地最受歡迎的資安職務。</p> <p>此外，在不同調查報告中，我們認為顯示了下列四大態勢。</p> <p><strong>一、近年企業更重視多元化團隊，因此招聘新畢業生，對女性、少數族群，甚至是退伍軍人，都變得更加積極。</strong></p> <p>根據資安業者Fortinet發布的2022 cybersecurity skills gap報告指出，過去3年有87%比例的組織表示，當招聘新畢業生時，積極尋求實現多元化團隊的目標。另外，有88%的企業積極招聘更多女性，有67%積極招聘少數族群，有53%刻意尋找退伍軍人。整體而言，臺灣近年已逐漸在強調資安女力的崛起，但對於少數族群、軍人的招聘議題，在國內是較少聽聞。</p> <p><strong>二、企業評定資安人選符合資格的重要因素，仍以先前有實務經驗為主，顯示資安防護急迫，因此偏好資安熟手。</strong></p> <p>在ISACA的2022網路安全狀況報告中，關於企業如何識別資安人員是否有資格的調查結果中，最主要的因素仍是「先前的資安實務經驗」（認為非常重要占73%），「證明專業能力的學歷、文件或證書」排第二（認為非常重要占36%，有一些重要佔52%），「實際操作訓練」排第三（認為非常重要占25%，有一些重要佔56%），其他依序為：員工推薦、大學學位與協會會員。</p> <p><strong>三、雖然企業挑選人才看重實務經驗，證照居次，但其實要找到有證照的資安人才，並不容易。</strong></p> <p>根據資安業者Fortinet的報告指出，有90%的企業表示，更願意雇用擁有技術證照的人，但也有73%企業表示，很難找到擁有這些證照的人。而這也是為何有90%組織願意為員工的培訓和認證付費的原因。</p> <p><strong>四、一位資安專業人員要花多少時間，職能才能趨於熟練？普遍認為需耗費3至5年才能養成。</strong></p> <p>根據Enterprise Strategy Group（ESG）、資訊系統安全協會（ISSA）的2021年資安專業人士生涯時代報告，一位資安專業人員需要多久時間才能熟練掌握相關技能？在受訪者的看法中，回答需要5年以上的比例有17%，需3至5年為35%，需要2至3年為25%，另外回答至少1年為3%。</p> <h2><strong>填補雲端資安人才是當前大難題，求才、留才不易也是挑戰</strong></h2> <p>特別的是，還有其他資安人力調查呈現的結果同樣值得關注。例如，在ISC²的2022網路安全人力研究報告提到，自動化在資安領域越普及，有57%的組織，已經採用自動化，並有26%企業表示，有意在未來採用。</p> <p>我們可以想見，自動化不太可能取代資安人員，但如果能將高度重複、可規則化的流程自動化後，能夠釋放更多員工的時間，讓他們專注於更高層次的任務。</p> <p>該報告也指出，高達7成企業表示資安人才短缺，然而，要解決這樣的問題並不容易，該怎麼做？</p> <p>他們在調查中發現一些組織可著重的三大關鍵。第一，公司決策者應積極聆聽員工的聲音，才能瞭解人員短缺的具體情況；第二，重視內部培訓，包括工作輪調、指導計畫，以及鼓勵非IT員工學習網路安全，他們發現有這三項措施的組織，最不容易出現人員短缺的情形；第三，招聘資安人才時，應與人力資源部門合作，而在此項調查中顯示，僅有52%受訪者表示，雙方有良好工作關係。</p> <p>此外，公司文化對於員工的工作體驗，也會帶來很大程度的影響，而這將反映在留才的挑戰上。</p> <p>值得一提的是，2023年我們看到資安業者Fortinet，在臺灣突然公開表達他們的觀察。該公司針對全球資安技能差距的議題，特別在臺灣舉辦記者會說明，以外商而言相當少見。</p> <p>一方面是該公司先前曾發布相關的調查報告，再加上該公司本身在臺設有研發團隊，綜合這些因素之後，可能促使他們決定在臺公開揭露這方面的見解，表現他們對於臺灣資安人才招募與培育的重視。</p> <p>其中一項調查結果，相當引人注目，那就是：資安能力短缺是否會為企業組織帶來額外的風險？Fortinet北亞區技術總監劉乙表示，全球有68%比例的企業表示肯定，然而，有56%的企業認為難以招聘人才，54%企業認為難以留住資安人才。</p> <p>關於企業組織最需要哪些資安能力？在最多選擇三種的情況下，第一名是雲端安全，這顯示雲端資安人員目前相當欠缺，大家都搶著招募，第二名是威脅情資，其次為惡意程式分析、安全系統維運，以及資安基礎建設。</p> <p>至於企業目前最難填補的資安人才角色，以雲端安全與安全維運這兩類的需求最高，其次為網路安全、軟體開發安全與風險管理。</p> <p class="rtecenter"> </p> <p> </p> <p> </p> <p> </p> <p> </p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖2）2023全球資安人才趨勢現況.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%962%EF%BC%892023%E5%85%A8%E7%90%83%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%B6%A8%E5%8B%A2%E7%8F%BE%E6%B3%81.png" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖3）2023全球資安人才趨勢現況.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%963%EF%BC%892023%E5%85%A8%E7%90%83%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%B6%A8%E5%8B%A2%E7%8F%BE%E6%B3%81.png" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖4）2023全球資安人才趨勢現況.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%964%EF%BC%892023%E5%85%A8%E7%90%83%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%B6%A8%E5%8B%A2%E7%8F%BE%E6%B3%81.png" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖5）2023全球資安人才趨勢現況.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%965%EF%BC%892023%E5%85%A8%E7%90%83%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%B6%A8%E5%8B%A2%E7%8F%BE%E6%B3%81.png" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖6）2023全球資安人才趨勢現況.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%966%EF%BC%892023%E5%85%A8%E7%90%83%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%B6%A8%E5%8B%A2%E7%8F%BE%E6%B3%81.png" style="width: 600px;" /></a></p> <p> </p> <div> </div> <div> </div> <div> </div> </div></div></div>
2023/6/1 10:00作者羅正漢https://www.ithome.com.tw/news/156620
Amazon旗下的Ring與Alexa因侵犯用戶隱私，而被判罰逾3,000萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ftc.gov/news-events/news/press-releases/2023/05/ftc-says-ring-employees-illegally-surveilled-customers-failed-stop-hackers-taking-control-users" target="_blank">美國聯邦交易委員會（Federal Trade Commission，FTC）周三（5/31）指出</a>，Amazon旗下專營智慧家庭裝置的子公司Ring因允許任意員工存取用戶的監控影片，且未善盡保護用戶的責任，必須退款580萬美元予用戶，同一天FTC及美國司法部也因Amazon Alexa永久保存兒童的語音歷史紀錄，<a href="https://www.ftc.gov/news-events/news/press-releases/2023/05/ftc-doj-charge-amazon-violating-childrens-privacy-law-keeping-kids-alexa-voice-recordings-forever" target="_blank">而要求Amazon支付2,500萬美元的罰款</a>。</p> <p>2018年被Amazon買下的Ring專門生產連網的家用監視器或門鈴等智慧家庭裝置與服務，根據FTC的訴狀，Ring並未嚴格限制員工或約聘人員存取用戶的影片，還在未取得用戶的同意下，利用這些影片來訓練演算法。例如有一名員工曾觀看許多女性用戶的家用監視器內容，包括她們放在臥室及浴室的監視器，且時間長達數月。</p> <p>此外，FTC也指控Ring未能部署標準的安全措施以保護用戶的資訊，而讓用戶帳號可輕易遭到憑證填充與暴力破解攻擊，駭客成功接管了約5.5萬名美國用戶的Ring帳號，還用所取得的影片來威脅受害者。</p> <p>FTC要求Ring必須支付580萬美元以退款給用戶，以及刪除2018年以前的用戶影片及自用戶臉部所蒐集的資料，移除任何衍生自相關影片的產品。</p> <p>同一天，FTC及美國司法部亦指責Amazon Alexa語音助理服務違法存放兒童的語音資料，儘管對外宣稱只要家長提出要求，便會刪除相關資料，但Amazon並未於所有的資料庫中刪除這些來自兒童的語音文字檔，而且存放時間長達數年。</p> <p>Amazon Alexa的侵權行為除了被判罰2,500萬美元之外，FTC與司法部還要求Amazon不得以用戶已提出刪除請求的資料來建立或改善任何產品，也必須刪除不活躍的Alexa兒童帳號。</p> </div></div></div>
2023/6/1 11:03作者陳曉莉https://www.ithome.com.tw/news/157144
【資安日報】5月31日，圖靈驗證CAPTCHA出現人工破解服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了防範駭客運用機器人來存取網頁服務，透過圖靈驗證機制CAPTCHA可說是相當常見的做法，這樣的機制也從在圖片裡解讀文字內容，不斷增加難度來因應駭客透過自動化工具進行破解的情況。但現在網路犯罪圈卻出現了截然不同的做法，他們將解讀CAPTCHA內容的工作交由真實人類代打，完成後再交回駭客的機器人回應CAPTCHA挑戰，這樣的情況使得圖靈驗證機制面臨更為嚴峻的挑戰。</p> <p>鎖定企業而來的網路釣魚攻擊，不少都是針對財務部門與高層而來，但現在也有針對人資部門而來的攻擊行動。有資安業者揭露假借申請休假名義而來的網釣攻擊，並指出這樣的手法很有可能隨著許多人會在夏天放假出遊而變得更加頻繁。</p> <p>數位部首度針對民間企業個資保護不力祭出處罰的情況，也值得留意。數位發展部數位發展署針對蝦皮、誠品開罰，並指出他們在兩家公司查核的缺失。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.trendmicro.com/en_us/research/23/e/abusing-web-services-using-automated-captcha-breaking-services-and-residential-proxies.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">圖靈驗證CAPTCHA出現真人與機器人協作的服務，恐被濫用</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fig2_busing Web Services Using Automated CAPTCHA-Breaking Services and Residential Proxies.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig2_busing%20Web%20Services%20Using%20Automated%20CAPTCHA-Breaking%20Services%20and%20Residential%20Proxies.jpg" style="width: 300px; float: right;" /></a>為了驗證使用者是人類，許多網站透過圖靈驗證機制CAPTCHA來進行檢驗，但駭客也不斷藉由各式手法來進行突破，從採用光學字元辨識（OCR），到後來透過機器學習自動解析題目，然而現在駭客卻反其道而行，透過人類「客服」解析CAPTCHA的內容。</p> <p>資安業者趨勢科技揭露網路犯罪圈出現的新興CAPTCHA破解服務，這樣的服務在客戶遇到這類驗證流程時，提供破解服務的業者收到需求後，由人類解出答案再提供給客戶並完成挑戰。</p> <p>研究人員指出，駭客往往會透過API存取上述解題服務，進而讓整個攻擊流程自動化，他們已看到這類服務被用於機器人在社交拍賣網站Poshmark搶標、低價搶購名為Mukramami.Flowers的非同質化代幣（NFT）、賺取Crypto faucets網站的加密貨幣獎勵等。</p> <p><a href="https://cofense.com/blog/summer-time-scams-the-return-of-vacation-request-phishing-emails/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">假借員工申請旅遊休假的通知網路釣魚出現，鎖定人資單位而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/pto-figure1-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/pto-figure1-2.png" style="width: 300px; float: right;" /></a>隨著夏天的到來，許多人會向公司申請有薪休假（PTO），但在此同時駭客也藉機發動攻擊。資安業者Cofense指出，駭客假借員工申請年休假的名義發出「通知」，向組織的人力資源部門發送釣魚信。</p> <p>一旦收信人依照指示點選連結，「審核」寄信人的休假申請，他們就會被重新導向到冒牌的Cofense網站，該網頁聲稱收信人的連線階段逾期，需重新登入，然而若是輸入帳密資料，前2次都會顯示登入失敗，第3次才會重新導向至公司首頁。</p> <p>研究人員指出，駭客會刻意讓網站顯示登入失敗，目的是確保收信人會輸入正確的帳密資料。</p> <p><a href="https://news.drweb.com/show/?i=14705"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">安卓惡意程式SpinOk透過遊戲App散布，被下載逾4億次</span></strong></a></p> <p>防毒業者Dr. Web揭露惡意安卓軟體開發套件（SDK）模組SpinOk的攻擊行動，駭客將其埋入應用程式或遊戲當中。</p> <p>此SDK會假借提供每日小遊戲或獎勵的名義，吸引使用者執行，但實際上該模組會先在系統的背景，檢查執行環境本身是否有陀螺儀、磁力計等感應器，來避免在沙箱環境運作，然後，前景在提供使用者小遊戲的同時，該軟體會在背景執行惡意功能，例如：上傳設備裡的檔案，或是置換剪貼簿的內容。</p> <p>研究人員總共在Google Play市集裡，發現101款含有此惡意模組的App，這些App總共被下載了421,290,300次，其中的影音編輯軟體Noizz、檔案傳輸軟體Zapya下載各達到1百萬次。Google獲報後已下架上述App。</p> <p><a href="https://www.barracuda.com/company/legal/esg-vulnerability"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Barracuda郵件安全閘道傳出零時差漏洞攻擊，且在半年前就發生</span></strong></a></p> <p>資安業者Barracuda於5月20日、21日修補郵件安全閘道系統（ESG）零時差漏洞CVE-2023-2868（CVSS風險評分9.4），到了30日該公司公布了漏洞相關細節。</p> <p>該公司指出，駭客早在去年10月開始利用此漏洞發動攻擊，於目標系統部署多種惡意程式，如：Saltwater、Seaspy、Seaside，但他們直到今年5月18日，才收到相關異常流量的警報，尋求資安業者Mandiant協助，並於19日確認是CVE-2023-2868。該公司已主動通知遭到攻擊的用戶。</p> <p><a href="https://moda.gov.tw/ADI/news/latest-news/5273"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">處罰民間企業個資保護缺失首例！數位部針對蝦皮、誠品個資外洩事故開罰</span></strong></a></p> <p>數位發展部數位發展署於5月30日發布公告，針對蝦皮、誠品、旋轉拍賣涉及消費者個資外洩事件，經他們進行行政檢查並要求限期改正，蝦皮與誠品未依個資法規定採行適當之安全措施，且屆期仍未改正，違反個資法第27條第1項規定，因此，數位部依據個資法第48條第4款併第50條規定，分別對於蝦皮、誠品處以20萬元、10萬元罰鍰。至於旋轉拍賣則因已配合改正，強化網站防詐警示、採用雙重驗證機制等措施，惟未提供針對委外廠商整體制度稽核，數位部要求再行補正。</p> <p>關於蝦皮與誠品被罰款的原因，數位部指出，經多次要求改善個人資料保護措施，蝦皮卻僅能提供4筆個資盤點內容，且並未對委外廠商落實稽核；而誠品則是帳號管理未確實執行，個資盤點資料不完整，且針對委外廠商監督管理未落實執行，因此他們決定對這2家公司進行裁罰。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/05/30/new-macos-vulnerability-migraine-could-bypass-system-integrity-protection/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果Mac電腦出現漏洞Migraine，可被攻擊者繞過SIP防護機制</span></strong></a></p> <p>微軟揭露向蘋果通報的macOS漏洞Migraine（CVE-2023-32369），此漏洞允許攻擊者在取得root權限的情況下，濫用macOS內建的電腦遷移助理（Migration Assistant）應用程式，自動繞過系統完整性防護（SIP）機制，而能夠執行任意命令，因此得以執行惡意酬載。</p> <p>蘋果獲報後，於5月18日發布的macOS Ventura 13.4、macOS Monterey 12.6.6、macOS Big Sur 11.7.7予以修補。</p> <p><a href="https://arxiv.org/abs/2305.12784"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露Hot Pixels攻擊手法，藉由偵測Arm處理器與GPU的溫度、功率變化，竊取瀏覽器資料</span></strong></a></p> <p>喬治亞理工學院、密西根大學、波鴻魯爾大學的研究人員揭露名為Hot Pixels的攻擊手法，這是利用Arm系統單晶片處理器（SoC）與圖形處理器（GPU）對於資料運算導致功耗、溫度、處理器時脈的變化，進而從Chrome和Safari瀏覽器中，採用以JavaScript為基礎的手法進行像素竊取，或是嗅探使用者的上網記錄。而且，這樣的攻擊手法能夠繞過現有的微架構旁路攻擊防護措施。</p> <p>研究人員指出，這是因為時下的處理器難以在功耗要求、散熱、執行速度取得平衡，導致特定的指令與工作會出現相同的行為特徵，而且這些SoC和GPU的運作狀態，可透過裝置內部的感應器來偵測，經由這種方式收集的資料，準確度高達94%。研究人員於今年3月向蘋果、Nvidia、AMD、高通、Intel、Google通報，這些廠商正在研擬相關對策。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.trendmicro.com/en_us/research/23/e/void-rabisu-s-use-of-romcom-backdoor-shows-a-growing-shift-in-th.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">烏克蘭能源與水資源組織遭後門程式RomCom攻擊</span></span></strong></a></p> <p><a href="https://cloudsek.com/blog/dogerat-the-android-malware-campaign-targeting-users-across-multiple-industries"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">印度安卓用戶遭到木馬程式DogeRAT鎖定，假借付費版App的名義散布</span></span></strong></a></p> <p><a href="https://jetpack.com/blog/jetpack-12-1-1-critical-security-update/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">WordPress安全外掛程式Jetpack存在嚴重漏洞，攻擊者可用於操弄網站上的檔案</span></span></strong></a></p> <p><a href="https://patchstack.com/articles/unauthenticated-php-object-injection-in-gravity-forms-plugin/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">WordPress表單外掛程式Gravity Forms存在PHP物件注入漏洞</span></span></strong></a></p> <p><a href="https://seclists.org/fulldisclosure/2023/May/16"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">印表機管理系統PrinterLogic存在漏洞，可被用於繞過身分驗證、SQL注入、XSS攻擊</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157121">【5月30日】木馬程式GobRAT鎖定日本路由器而來</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157087">【5月29日】微軟加密附件檔案遭到釣魚郵件濫用，鎖定企業收款部門而來</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157069">【5月26日】模擬紅隊演練的工具傳出遭到濫用，駭客拿來攻擊電網的工控設備</a></strong></p> </div></div></div>
2023/5/31 16:49作者周峻佑https://www.ithome.com.tw/news/157143
投資機構認為推特價值只剩馬斯克收購價的1/3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2023-05-30/twitter-is-worth-33-of-musk-s-purchase-price-fidelity-says?sref=M8H6LjUF#xj4y7vzkg" target="_blank">《彭博》報導</a>，推特的投資機構估計，社交平臺推特（Twitter）的價值只剩馬斯克（Elon Musk）半年前收購時的三分之一。</p> <p><a href="https://twitter.com/Kantrowitz/status/1663625261701578753" target="_blank">報導引述投資機構富達（Fidelity）的分析</a>，指出推特價值只剩去年10月馬斯克收購價440億美元的1/3，意謂著它現在只值150億美元。</p> <p>而富達身為推特的投資人也已逐步減少對這平臺持有的股權。在馬斯克收購前，富達持有約2,000萬美元的股權，去年11月減少56%，剩下860萬美元。根據該公司4月份的申報，其持股為650萬美元。但該機構預計下個月還會再減少9.6%。</p> <p>去年馬斯克在不甘願情況下入主推特後，為求提升營收而啟動激烈的裁員及服務變革。雖然馬斯克認為其改革有助於建立更開放的自由言論平臺，但其過於偏激的立場引發廣告主憂心平臺品質惡化而暫緩合作。<a href="https://tinyurl.com/2e98k46l" target="_blank">《富比士》報導</a>，馬斯克收購推特以來，推特營收驟減50%，且其股價也大幅下滑，導致馬斯克4月間將推特下市，<a href="https://www.ithome.com.tw/news/156393" target="_blank">併入新成立的X公司</a>。</p> <p>馬斯克在收購推特時，曾承諾可將這平臺改造成類似騰訊的全方位服務平臺，並擴大營收到百億美元。目前推特已經啟動新的Twitter Blue每月8美元的訂閱服務，以及<a href="https://www.ithome.com.tw/news/156200" target="_blank">收費API服務</a>；按照馬斯克的想像，可能還會推出自有支付及影片服務。</p> <p>不過馬斯克終究需要有業務高手來創造公司營收。<a href="https://www.ithome.com.tw/news/156873" target="_blank">馬斯克5月初公布</a>找來NBCUniversal廣告業務主管Linda Yaccarino擔任執行長，他本人則將轉任技術長、擔任產品開發及系統維運。</p> </div></div></div>
2023/5/31 13:35作者林妍溱https://www.ithome.com.tw/news/157132
AI重量級人物簽署聲明以警告AI可能帶來的滅絕風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門研究人工智慧（AI）安全性的非營利組織Center for AI Safety（CAIS），<a href="https://www.safe.ai/statement-on-ai-risk#open-letter" target="_blank">在本周發表了一份由眾多AI專家所簽署的聲明</a>，代表AI社群同意「減輕AI可能帶來的人類滅絕（extinction）風險應是全球的首要之務」，因為AI堪比諸如流行疾病與核子戰爭等其它社會規模的風險。</p> <p class="rtecenter"><a href="http://www.safe.ai/statement-on-ai-risk#open-letter" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0531-Statement%20on%20AI%20Risk-Center%20for%20AI%20Safety.png" style="width: 500px;" /></a></p> <p>簽署該聲明的都是現階段AI領域的重量級人物，例如來自OpenAI的十多名高階主管，包括創辦人Ilya Sutskever與John Schulman、執行長Sam Altman、技術或研究的負責人等，以及來自DeepMind的數十名高階主管，涵蓋創辦人Shane Legg、執行長Demis Hassabis與眾多科學家，還有各大學研究相關領域的教授等。</p> <p>CAIS為一位於舊金山的非營利研究組織，該組織相信若能安全開發與使用AI，便有可能造福世界，但與AI的巨大進步相較，AI的許多基本安全問題尚未被解決，因此，它們的任務便是藉由安全研究、建立AI安全研究人員領域，以及推動安全標準，以減少AI可能帶來的社會規模風險。</p> <p>CAIS表示，大家都愈來愈擔心AI的風險，卻很難表達對高階AI某些最嚴重風險的疑慮，此次的聲明便是用來克服此一障礙，並促進討論，同時可替這些認真看待AI風險的業界專家們建立共識。</p> <p>造成人類滅絕應是各界最擔心的AI風險，除此之外，<a href="https://www.safe.ai/ai-risk" target="_blank">CAIS也列出了AI的8大風險</a>，涵蓋武器化、不實資訊、目的化訓練可能造成它犧牲個人與社會價值、過於依賴AI而讓人類退化與失去控制、遭到少數人把持並設定AI價值、AI強大到超越人類的控制、得以欺騙人類，以及追逐權力的AI等。</p> <p>CAIS的目的在於警告AI的最終風險，同時計畫展開各項研究來制定相關的安全標準，但其實在今年3月，<a href="https://www.ithome.com.tw/news/156198" target="_blank">另一非營利組織未來生活研究院（Future of Life Institute）也曾發表一份更具體的聲明</a>，直接公開呼籲各界暫停開發比OpenAI的GPT-4高階的AI系統至少6個月。</p> <p>仔細觀察可發現，簽署兩份聲明的AI專家並不一致，要求暫停開發高階AI的聲明主要由特斯拉執行長馬斯克（Elon Musk）與蘋果共同創辦人Steve Wozniak領軍，其他來自OpenAI或DeepMind的支持者全都是研究人員，並未有高階主管入列，反之，AI領域的重量級人物都簽署了CAIS的聲明，而Musk與Wozniak目前在此一聲明中是缺席的。</p> </div></div></div>
2023/5/31 13:59作者陳曉莉https://www.ithome.com.tw/news/157134
駭客去年10月就利用Barracuda電子郵件安全閘道漏洞來植入木馬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供安全、網路與儲存設備及服務的<a href="https://www.ithome.com.tw/news/157106" target="_blank">Barracuda繼於日前修補</a>其電子郵件安全閘道器（Email Security Gateway，ESG）設備的零時差漏洞CVE-2023-2868之後，<a href="https://www.barracuda.com/company/legal/esg-vulnerability#:~:text=the%20section%20below.-,Endpoint%20IOCs,-Table%204%20lists" target="_blank">本周二（5/30）公布</a>了該漏洞遭到攻擊的細節，指出駭客自去年10月便開始利用該漏洞於受駭系統上部署了各式惡意程式，包括Saltwater、Seaspy、與Seaside，Barracuda也列出了端點設備的網路入侵指標（IOC）供用戶參考。</p> <p>CVE-2023-2868漏洞存在於收到郵件時，用來過濾附加檔案的模組，成功利用該漏洞的駭客可自遠端於受駭系統上執行系統命令，且Barracuda的調查發現，已有一個第三方在去年10月便針對該漏洞展開攻擊，未經用戶授權存取ESG設備的子集，並部署惡意程式。</p> <p>目前已知駭客所部署的惡意程式包括Saltwater、Seaspy、與Seaside，其中，Saltwater是個具備後門功能的Barracuda SMTP守護進程木馬化模組，它能上傳或下載任何檔案，執行命令，亦擁有代理與隧道能力。</p> <p>Seaspy則是一個偽裝成合法Barracuda Networks服務的木馬程式，為一PCAC過濾器，可用來監控SMTP流量，且是個可長期進駐的後門。Seaside為一由Lua語言撰寫的模組，專為Barracuda SMTP守護進程所設計，可監控SMTP HELO/EHLO命令以接收C&C的IP位址。</p> <p>Barracuda已主動通知遭到攻擊的用戶，建議用戶確保其ESG設備已部署最新的安全更新，並停止使用已受到危害的ESG設備，聯繫Barracuda以取得新的ESG虛擬或硬體設備，也應更新任何可連結至ESG設備的憑證。</p> <p>儘管駭客在去年10月便展開攻擊行動，但Barracuda是在今年的5月18日才收到來自ESG設備的異常流量警報，當天立即請求資安業者Mandiant協助調查，並在19日確認CVE-2023-2868漏洞，於20/21日進行修補。目前Barracuda已在規畫一系列的修補策略以強化其所有設備的安全性。</p> </div></div></div>
2023/5/31 12:18作者陳曉莉https://www.ithome.com.tw/news/157131
才被警告有攻擊隱憂，兆勤設備遭Mirai病毒大規模感染
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周兆勤（Zyxel）網路設備才被安全廠商公布漏洞，本周就傳出多款防火牆/VPN設備遭到殭屍網路惡意程式Mirai大規模攻擊。</p> <p><a href="https://cyberplace.social/@GossiTheDog/110428080243894672" target="_blank">安全專家Kevin Beaumont本周指出</a>，兆勤設備漏洞<a href="https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-remote-command-injection-vulnerability-of-firewalls" target="_blank">CVE-2023-28771</a>遭Mirai殭屍網路程式濫用，使整個網際網路成為攻擊目標。VirusTotal平臺多個掃毒軟體皆偵測到Mirai程式的活動，顯示受攻擊裝置分布面及數量之大。</p> <p><a href="https://www.ithome.com.tw/news/157021" target="_blank">兆勤科技（Zyxel）4月間修補防火牆、VPN設備產品的重大漏洞CVE-2023-28771</a>，呼籲用戶儘速安裝新版韌體。該漏洞源於韌體中IKE封包解密元件，可能讓未經授權的攻擊者傳送惡意封包以遠端執行OS指令，屬於風險值9.8的重大漏洞。上周資安業者Rapid7也警告，至少有4萬臺防火牆設備因尚未更新而曝險，認為即將會出現漏洞攻擊行動。</p> <p class="rtecenter"><a href="http://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-remote-command-injection-vulnerability-of-firewalls" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0531-CVE-2023-28771-Zyxel%20security%20advisory.png" style="width: 500px;" /></a></p> <p>安全非營利機構<a href="https://infosec.exchange/@shadowserver/110442626213838177" target="_blank">The ShadowServer基金會設置的誘捕系統</a>從5月26日以來，有700多臺偵測到約3,773次攻擊活動。<a href="https://dashboard.shadowserver.org/statistics/iot-devices/tree/?day=2023-05-25&vendor=zyxel&type=firewall&geo=all&data_set=count&scale=log" target="_blank">根據基金會統計</a>，兆勤的防火牆及VPN產品使用者眾，以法國（1.38萬臺）、義大利（1.31萬）、美國（9,300臺）、瑞士（7,800臺）為最多，此外<a href="https://dashboard.shadowserver.org/statistics/honeypot/monitoring/vendor/?category=anomaly&statistic=unique_ips&d2=2023-05-27" target="_blank">他們也偵測到多臺兆勤設備已經被用於發動攻擊</a>。由於濫用的PoC程式已經公開，<a href="https://infosec.exchange/@shadowserver/110442626213838177" target="_blank">基金會也預期攻擊還會再升高</a>。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0531-Zyxel-Zywall%20devices-CVE-2023-28771-image%20by%20The%20Shadowserver%20Foundation-2.png" style="width: 600px;" /></p> <p><a href="https://infosec.exchange/@shadowserver/110442626213838177" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_The Shadowserver Foundation</span></span></a></p> <p><a href="https://www.zyxel.com/tw/zh/support/security-advisories/zyxel-security-advisory-for-multiple-buffer-overflow-vulnerabilities-of-firewalls" target="_blank">兆勤上周（5/24）還另外修補</a>二個產品重大漏洞，分別是CVE-2023-33009及CVE-2023-33010，都可讓未經驗證的攻擊者發動阻斷服務（DoS）攻擊或遠端執行指令，兩者都是風險值9.8的重大漏洞，皆影響Zyxel ATP系列。</p> </div></div></div>
2023/5/31 10:49作者林妍溱https://www.ithome.com.tw/news/157129
知名螢幕錄製Android App內含RAT會監看用戶竊取文件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.welivesecurity.com/2023/05/23/android-app-breaking-bad-legitimate-screen-recording-file-exfiltration/" target="_blank">安全研究人員發現</a>一款下載超過5萬次的Android螢幕錄製App iRecorder內含木馬程式，會暗中錄製用戶環境及竊取其手機檔案。</p> <p>iRecorder在2021年9月首次上架Google Play，安全廠商ESET研究人員Lukas Stefanko指出當時還不包含惡意程式，但似乎到了2022年8月的1.3.8版時就開始內藏禍心，研究人員將該惡意程式命名為AhRat，是以開源Android RAT AhMyth為基礎改寫的版本。截至今年3月，iRecorder下載次數超過5萬次。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0531-iRecorder-trojanized%20Android%20app-google%20play-image%20by%20ESET-600.png" style="width: 302px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_ESET</span></span></p> <p>內含AhRat的iRecorder除了會行使合法的螢幕錄製功能，還會存取用戶手機的麥克風，錄下周遭環境的聲音，再上傳到攻擊者的C&C伺服器。它還會以特定附檔名外傳手機儲存的網頁、圖片、影音及文件檔、壓縮檔等等。</p> <p>研究人員相信這是一樁大規模間諜行動的一部分，但還未掌握確切行為組織的證據。AhRAT的源頭AhMyth曾被Transparent Tribe組織使用，後者以善用社交工程手法及瞄準南亞政府及軍事組織聞名，但研究人員無法斷定AhRAT和該組織的關聯。</p> <p>在接獲安全廠商通報後，Google已將iRecorder下架。</p> <p>目前研究人員僅發現一例iRecorder被感染AhMyth變種的案例，但是AhMyth早已經染指過Google Play Store其他Android App，包括2019年的嵌入廣播串流App Radio Balouch/RB Music，並二度成功躲過Google審查上架。</p> <p>至於iRecorder為何藏有RAT程式而未被發現，開發商尚未回應。但研究人員表示，該廠商提供的其他Android App並沒有惡意程式碼。</p> </div></div></div>
2023/5/31 11:15作者林妍溱https://www.ithome.com.tw/news/157130
【資安日報】5月30日，木馬程式GobRAT鎖定日本路由器而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對路由器設備而來的惡意程式攻擊行動，這兩年不斷傳出相關事故。最近日本電腦網路危機處理暨協調中心（JPCERT/CC）揭露木馬程式GobRAT的攻擊行動，並指出該惡意程式具備多達22種通訊的功能，而能運用這些管道向C2通訊，或是進行橫向感染，且難以追溯其行蹤。</p> <p>行動裝置作業系統漏洞被商業間諜軟體利用的情況，日益嚴重，昨天我們報導間諜軟體Pegasus介入2020年的納戈爾諾卡拉巴赫戰爭，現在對於另一款間諜軟體Predator的行蹤，研究人員也有新的發現──駭客主要針對記者、歐洲政治人物，以及Meta的高階主管下手，並根據目標手機的廠牌來挖掘受害者的資料。</p> <p>加殼工具（Cryptor）被大肆用於混淆惡意軟體程式碼的情況，也相當值得留意。有資安業者揭露利用加殼程式AceCryptor的攻擊態勢，2年內有24萬個惡意程式以此工具打包，平均每個月就有1萬個惡意程式藉此增加研究人員反組譯的難度。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blogs.jpcert.or.jp/en/2023/05/gobrat.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">日本Linux路由器設備遭到木馬程式GobRAT鎖定</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/gobrat-fig1-800wri.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/gobrat-fig1-800wri.png" style="width: 300px; float: right;" /></a>日本電腦網路危機處理暨協調中心（JPCERT/CC）揭露發生於2月的木馬程式GobRAT攻擊行動，駭客鎖定網頁管理介面（WEBUI）能透過網際網路存取、執行Linux作業系統的路由器，疑似利用其漏洞入侵，然後藉由惡意程式載入器Loader Script來執行GobRAT，過程中此載入器會停用目標設備的防火牆，然後產生另外2個指令碼Start Script、Daemon Script，而能讓駭客持續在受害設備執行攻擊行動。</p> <p>針對GobRAT的功能，研究人員找到22種指令，且大部分與通訊有關，包括重新設定C2的配置與通訊協定，以及使用frpc、socks5等通訊協定等。研究人員公布GobRAT的檢測工具，讓IT人員能檢查企業是否遭到入侵。</p> <p><a href="http://blog.talosintelligence.com/mercenary-intellexa-predator/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">安卓間諜軟體Predator鎖定媒體、政治人物、Meta高階主管而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/data-src-image-9689921c-d6e9-4f27-9e8c-b3b9c94cb5f3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/data-src-image-9689921c-d6e9-4f27-9e8c-b3b9c94cb5f3.png" style="width: 300px; float: right;" /></a>思科的威脅情報團隊Talos與加拿大公民實驗室（Citizen Lab）聯手，揭露利用商業間諜軟體Predator的攻擊行動，駭客針對記者、歐洲政治人物，以及Meta的高階主管而來，該間諜軟體串連了Google於2022年5月公開的5個安卓零時差漏洞，並透過名為Alien的惡意程式載入工具執行，繞過SELinux安全防護機制，使得上述間諜軟體竊取資料的行為不會被作業系統察覺。</p> <p>此外，Alien也會偵測目標手機的廠牌是否為三星、華為、Oppo、小米，並根據這些廠牌的配置來挖掘使用者的資料。值得留意的是，Predator也會利用憑證中毒的手法，藉由TLS加密的網路通訊來進行中間人攻擊。</p> <p><a href="https://www.welivesecurity.com/2023/05/25/shedding-light-acecryptor-operation/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加殼工具AceCryptor在2年內被用於逾24萬起惡意軟體攻擊行動</span></strong></a></p> <p>資安業者ESET揭露利用加殼程式AceCryptor打包惡意軟體的攻擊態勢，自2021年至2022年，研究人員總共偵測到24萬個以此工具打包的惡意程式，這些惡意程式家族包含了SmokeLoader、RedLine Stealer、RanumBot、Raccoon Stealer、Stop ransomware等。</p> <p>由於有許多惡意軟體家族採用AceCryptor進行混淆處理，研究人員推測，提供相關工具的賣家很可能以服務的型式銷售（Cryptor-as–a-Service），並企圖持續維護此加殼程式的程式碼，使其打包的惡意程式完全無法被資安系統察覺（Fully Undetectable，FUD）。</p> <p><a href="https://www.bleepingcomputer.com/news/security/qbot-malware-abuses-windows-wordpad-exe-to-infect-devices/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體QBot濫用Windows內建的WordPad應用程式側載執行</span></strong></a></p> <p>研究人員ProxyLife揭露惡意程式QBot近期的攻擊行動，駭客疑似透過網路釣魚的手法，引誘使用者從特定URL下載含有惡意程式的ZIP檔案。</p> <p>一旦使用者執行壓縮檔裡的可執行檔document.exe，攻擊者就能藉由另一個DLL檔案edputil.dll，進行DLL挾持攻擊，然後執行curl.exe下載偽裝成PNG圖檔的DLL檔案，也就是QBot的惡意酬載，並利用rundll32.exe執行，QBot就會於背景運作，竊取受害電腦的電子郵件以便進行下個階段的攻擊，或是部署其他惡意程式。</p> <p>研究人員指出，前述的document.exe實際上就是Windows內建的WordPad（Write.exe）更名而成，攻擊者的目的，就是想要籍此應用程式掩蓋行蹤。</p> <p><a href="https://www.trendmicro.com/en_us/research/23/e/new-info-stealer-bandit-stealer-targets-browsers-wallets.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊資軟體Bandit鎖定瀏覽器及加密貨幣錢包而來</span></strong></a></p> <p>資安業者趨勢科技揭露名為Bandit的竊資軟體，此惡意程式是由Go語言開發而成，主要是透過命令列工具Runas來執行，而能在駭客取得具備足夠權限的帳號之下，以非現在登入的使用者帳號執行惡意程式。</p> <p>一旦執行，此竊資軟體就會針對9種虛擬化環境的特徵進行檢查，確認是否在沙箱環境運作。駭客藉由此竊資軟體盜取受害電腦上的網頁瀏覽器組態，以及加密貨幣錢包的帳密。</p> <p>研究人員指出，雖然這款竊資軟體針對Windows電腦而來，但他們在當中發現了Linux的檔案路徑，研判駭客可能也打算開發對於這類作業系統的竊資軟體。</p> <p><a href="https://www.handelsblatt.com/unternehmen/industrie/tesla-files-was-sie-ueber-die-recherchen-zu-den-geheimen-tesla-files-wissen-muessen/29167070.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">有人向德國媒體洩露特斯拉內部資料，自動駕駛Autopilot的投訴資料因此曝光</span></strong></a></p> <p>有知情人士向德國媒體Handelsbatt公布一批特斯拉的內部資料，期間涵蓋2015年至2022年，總共有2.3萬個檔案，大小約為100 GB，其中最引人注意的部分，就是這家電動車廠最近幾年收到的自動駕駛功能Autopilot相關投訴資料。</p> <p>就資料組成方式而言，當中的3,900份，是緊急剎車、碰撞警示誤報等車輛自動加速與剎車的問題，以及逾1,000份碰撞報告。此外，這裡還有與3,000起事件有關的表格，內容包含了司機對於特斯拉的駕駛輔助系統提出的安全疑慮。上述的事故大部分發生在美國，但也有歐洲與亞洲的事故。再者，上述資料亦涵括超過10萬名該公司現任及前任員工的個資。</p> <p>這些資料的外流，傳出荷蘭資料保護監管機關已著手調查。但上述資料究竟從何流出？特斯拉並未發表公開聲明。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://securityaffairs.com/146804/data-breach/mcna-data-breach.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國醫療保險業者MCNA傳出遭勒索軟體LockBit攻擊，890萬人資料外洩</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/157106"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客攻陷Barracuda郵件安全閘道的零時差漏洞</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/157104"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google Cloud用戶可使用免費ACME API，自動獲取和更新受信任的TLS憑證</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/157088"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">PyPI強制所有的套件開發者採用雙因素驗證</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/157063"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">應用程式框架Expo出現能劫持帳號的OAuth重大漏洞</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157087">【5月29日】微軟加密附件檔案遭到釣魚郵件濫用，鎖定企業收款部門而來</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157069">【5月26日】模擬紅隊演練的工具傳出遭到濫用，駭客拿來攻擊電網的工控設備</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157039">【5月25日】伊朗駭客部署後門程式PowerExchange，將受害組織的郵件伺服器當作C2來隱匿行蹤</a></strong></p> </div></div></div>
2023/5/30 18:13作者周峻佑https://www.ithome.com.tw/news/157121
駭客攻陷Barracuda電子郵件安全閘道的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供安全、網路與儲存設備及服務的<a href="https://www.barracuda.com/company/legal/esg-vulnerability" target="_blank">Barracuda日前修補了一個已遭駭客攻陷的零時差漏洞CVE-2023-2868</a>，此一漏洞位於該公司所打造的電子郵件安全閘道器（Email Security Gateway，ESG）設備上，允許遠端駭客注入命令，Barracuda已藉由兩次的自動更新修補了該漏洞。</p> <p>根據Barracuda的說明，CVE-2023-2868漏洞存在於收到郵件時，用來過濾附加檔案的模組，只影響ESG設備，並未波及其它產品。而<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-2868" target="_blank">美國國家標準暨技術研究院（NIST）</a>則進一步解釋，該漏洞起因於無法完整驗證使用者所提供的.tar封存檔案，駭客只要以特定手法設計相關檔案的名稱，就能自遠端執行系統命令。</p> <p>Barracuda是在5月19日發現該漏洞，20日便修補所有的ESG設備，於21日進行第二次修補，Barracuda已通知受影響的用戶，而修補行動則會自動進行。</p> <p>不過，Barracuda也提醒該公司的調查僅限於ESG設備本身，而非用戶的環境，遭到入侵或攻擊的用戶應該檢查自己的環境以判斷是否必須採取其它行動。</p> </div></div></div>
2023/5/30 14:59作者陳曉莉https://www.ithome.com.tw/news/157106
新BigQuery推薦器可提供用戶表格分區與分群最佳化建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/data-analytics/new-bigquery-partitioning-and-clustering-recommendations">Google雲端推出BigQuery推薦器</a>，透過分析工作負載和表格，協助用戶對表格進行分區（Partitioning）或是分群（Clustering），以最佳化成本支出。</p> <p>所謂的資料表分區，是將大表格分為多個區段，每個區段可包含特定時窗的資料，因此像是針對特定時間範圍的資料查詢，BigQuery就僅需要查詢該時間範圍的分區，而不需要掃描整個表格。而分群則是根據用戶定義的欄位，對表格進行排序，因此當用戶在查詢特定值的資料時，BigQuery就可以快速定位包含該數值的資料區塊。</p> <p>這兩種方法都可以提高特定類型的查詢效能，像是使用過濾條件的查詢，和對資料進行聚合的查詢。</p> <p>不過，決定資料分區或是分群的最佳策略並不容易，尤其在大型資料庫中，最佳化查詢工作變得非常複雜，每個表格可能包含數百萬和數十億筆資料，要人工決定分區還是分類，不只需要專業知識，還會耗費大量時間。而且資料庫使用者具有不同的查詢需求，查詢觸及表格的不同部分和欄位，要預測查詢模式進行最佳化，是一件困難的事。</p> <p>BigQuery推薦器會分析過去30天每個專案的工作負載執行情況，並尋找表格資料缺乏效率的掃描，透過減少不必要的資料掃描，減少成本並增加查詢速度。推薦器會運用機器學習技術，提供可以最佳化資料存取的建議。</p> <p>推薦器主要會對大於100 Gb的表格分區，10 Gb以上的表格則是提供分類建議，官方提到，過小的表格的最佳化效益不彰，且成效難以預測。用戶要使用推薦器有幾種方式，除了直接在UI上操作，也可以在推薦器整合中心Recommendation Hub中以控制臺操作，或是使用推薦器API。</p> </div></div></div>
2023/5/30 15:08作者李建興https://www.ithome.com.tw/news/157107
Google雲端用戶可使用免費ACME API，自動獲取和更新公開受信任的TLS憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google自家的憑證頒發機構Google Trust Services，向所有Google雲端用戶，<a href="https://security.googleblog.com/2023/05/google-trust-services-acme-api_0503894189.html">正式提供ACME（Automatic Certificate Management Environment）API</a>，供用戶的網站能夠自動獲取和更新公開信任的TLS正數，透過使用ACME標準來自動化憑證生命周期。此外，Google Trust Services也提供ACME續訂資訊（ARI）和多視角網域驗證（Multi-Perspective Domain Validation，MPDV）兩個新功能，進一步強化憑證安全。</p> <p>ACME是一種通訊協定，由網際網路工程任務組（IETF）制定，目的是要自動化數位憑證的管理過程，包括憑證的申請、驗證、發行，以及之後的更新。由於數位憑證可以確保網站身份，並保護網站和用戶間的資訊交換，是網路安全非常重要的一環。傳統憑證申請和管理過程複雜且費時，ACME解決了這些麻煩，並使過程能夠自動化，因此也減少了管理成本，以及因憑證過期所產生的安全風險。</p> <p>Google現在釋出ACME API正式版，並且新增兩個能夠強化憑證生態系安全的的功能，包括ACME ARI和MPDV。ARI是一種新興標準，滿足了透過API在標準續定期之前，必須更換憑證的需求。ARI是由Let’s Encrypt所編寫的草案，作為ACME協定的擴充，協助服務營運商自動更換憑證，以應付過期之前就必須要撤回憑證的狀況。</p> <p>而MPDV則能夠強化憑證頒發的驗證過程，像是Google Trust Services這類公開受信任的憑證頒發機構，會<a href="https://www.ithome.com.tw/news/154782">驗證請求者對網域的控制權</a>，確保只有經授權的請求者，才能獲得頒發給特定網域的憑證，Google提到，雖然網域驗證在一般情況下，都能夠提供高強度的驗證，但是網域控制驗證方法容易受到DNS快取污染，和邊界閘道器協定劫持等攻擊。</p> <p>透過MPDV，網域控制驗證就會從多個位置執行，防止駭客透過本地化攻擊欺騙驗證檢查，使用多個視角可以顯著提高驗證的可靠性。<a href="https://letsencrypt.org/2020/02/19/multi-perspective-validation.html">Let's Encrypt</a>的服務會由三個不同的網路視角進行驗證，而Google表示，因為他們的基礎設施規模，能夠從成千上萬的出口點進行驗證，確保攻擊者不會因為控制夠多的目標導致驗證無效。</p> </div></div></div>
2023/5/30 12:07作者李建興https://www.ithome.com.tw/news/157104
Windows XP啟用驗證演算法遭破解，可離線使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟已經在2014年1月13日終止對Windows XP的支援，不過仍然受到用戶的懷念。在多名使用者前仆後繼下成功找出方法，讓XP可在離線環境下啟動。</p> <p>微軟為了防止用戶使用盜版或不再支援的Windows而設計的啟用驗證方法，歷來不斷有人嘗試突破。<a href="https://tinyapps.org/blog/202304230700_xp_wpa.html" target="_blank">部落格tinyapps報導</a>，2005年首先有人破解了這個啟用驗證的演算法。而在2019年Windows XP正式終止支援走入歷史5年後，<a href="https://www.licenturion.com/xp/fully-licensed-wpa.txt" target="_blank">有人開發了WindowsXPKg的工具</a>在GitHub平臺上公布了可產生Windows產品驗證金鑰以啟動XP。</p> <p>不過這個方法仍仰賴外部伺服器回傳驗證ID，還是有點麻煩。去年<a href="https://old.reddit.com/r/windowsxp/comments/wwjy5j/windows_xp_web_activation_is_finally_dead/" target="_blank">一名Reddit用戶retroreviewyt</a>發現，一名不知名的高手透過逆向工程，將產品啟動演算法打包成方便、名為xp_activate32.exe的程式，它能計算安裝ID並產生相應的認證ID可在離線的機器上啟動XP。更好的是，移除XP再重新安裝，也能以同樣的安裝ID和認證ID重覆啟動及安裝完成。<a href="https://github.com/TheMCHK/WindowsXPKg" target="_blank">用戶Neo-Desktop</a>則將WindowsXPKg改寫成能在Linux上執行，<a href="https://github.com/TheMCHK/WindowsXPKg/issues/3#issuecomment-1563551188" target="_blank">同時也試圖拆解</a>xp_activate32.exe。</p> <p>這些新工具在微軟關閉XP啟動伺服器後，可造福仍想要執行XP的用戶。雖然微軟一直以安全為由，要用戶不要再使用XP，但這些用戶也有充份的理由：他們是在離線、受保護的環境下使用，只為了使用無法在更新Windows版本上執行的應用程式。</p> <p>合法管道上，其實用戶還是可透過電話啟動服務來啟動Windows XP。不過，一如微軟和媒體呼籲，由於官方已經不再提供安全更新，在連網環境下最好還是不要再使用XP。</p> </div></div></div>
2023/5/30 12:19作者林妍溱https://www.ithome.com.tw/news/157105
Nvidia新一代生成式AI運算引擎DGX GH200亮相，不只記憶體頻寬增長破百倍，效能更媲美全球超級電腦Top1突…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日，GPU大廠Nvidia股價大漲，再創新高，關鍵因素是ChatGPT帶來的生成式AI浪潮，使得大型企業與雲端資料中心對於生成式AI的運算需求不斷增長，進而帶動對新一波超級電腦的需求。</p> <p>在30日Computex展覽舉行前一天，Nvidia執行長黃仁勳發表主題演講，他在長達近2小時的演講中不僅大談加速運算和生成式AI如何改變電腦產業，更展示用生成式AI技術來進行影音與歌曲創作的應用，此外，還推出了DGX GH200，這是一款採用Grace Hopper加速運算卡所打造的新一代生成式AI超級電腦，也是Nvidia首款Exaflop等級的DGX超級電腦產品。</p> <p>值得一提的是，目前全球百大超級電腦排行榜上<a href="https://www.ithome.com.tw/news/157000">僅有橡樹嶺國家實驗室的Frontier，達到1.194 Eflop/s</a>，突破exaflop效能的大關。不過，DGX GH200是一款商用超級電腦系統，預計今年稍晚上市，但價格尚未公布。</p> <p>「毫無疑問，我們正處於一個新的運算時代」黃仁勳在會中表示，這個新的運算時代有三大特色，其一是不只能夠理解文本和數位訊息，還可以理解多模態的訊息，並為每個行業帶來深遠影響，其次，大型語言模型的出現，使得電腦具備了理解使用者語言並執行相應指令的能力，從而降低程式撰寫的門檻。最後，這種電腦還能夠革新現有的應用，使得這些應用程式都因為AI的介入變得更優異。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230529_034917450.jpg" style="width: 600px; height: 288px;" /></p> <p>他也透露，他們目前已與 1,600家生成式AI新創展開合作，將生成式AI技術應用於不同領域，包括語言處理、影音媒體生成、生物科學等。從早期採用者，到財富500強的企業，都已經開始利用生成式AI的自動化和共創能力來創造新的應用。他強調：「當今，生成式AI無疑是我們這個時代最重要的運算平臺。」</p> <p>自2016年起，Nvidia每隔兩年推出一代新的AI超級電腦DGX產品，從最初採用Pascal架構的DGX-1和DGX-2，到後來使用Ampere架構的DGX A100 ，再到去年推出基於Hopper新架構的DGX H100，以及以H100所建構大規模運算叢集DGX SuperPod。</p> <p>生成式AI技術核心是大型語言模型（LLM），為了提升大型語言模型的加速運算處理能力，在會中，Nvidia發表了最新一代DGX GH200超級電腦系統，作為新一代生成式AI的加速運算引擎，該系統使用了256片Grace Hopper加速運算卡所打造。在每個Grace Hopper運算卡中，都同時採用基於Arm架構的Grace CPU與Hopper架構GPU的整合設計，來達到比現有PCIe Gen 5快７倍的資料料傳輸和查詢速度。</p> <p>每塊Grace Hopper加速運算卡擁有2,000億顆電晶體，可提供4 PetaFLOPS的運算效能，可有效支援ML模型訓練等高運算作業，以自然語言處理模型訓練為例，相較於使用x86架構CPU搭配Hopper GPU的伺服器，採用Grace Hopper的伺服器可以使NLP模型訓練速度提升4倍。</p> <p><span style="font-size:26px;"><strong>以32個pod</strong></span><strong style="font-size: 26px;">運算叢集</strong><span style="font-size:26px;"><strong>組成的DGX GH200系統，可提供高達1 Exaflops的AI運算效能</strong></span></p> <p>不僅如此，各Grace Hopper運算卡之間可以使用NVLink互連，每8個Grace Hopper相連形成一個pod運算叢集，最多可以支援256個Grace Hopper建立32個pods，以組成一個完整的DGX GH200系統，如此一來，在FP8精度下可提供高達1 Exaflops的AI運算效能。這樣的運算效能足以媲美全球超級電腦排行第一的美國樹嶺國家實驗室Frontier。</p> <p>DGX GH200不僅提供Exaflops級的運算效能，還大幅擴充了記憶體容量。相比幾年前的DGX A100，DGX GH200的GPU記憶體容量增加了近500倍，甚至比DGX H100的640GB記憶體容量更高出許多，達到了驚人的144 TB的共享記憶體空間，對於需要大量記憶體的生成式AI等各種應用場景將會非常有用。</p> <p>根據內部測試，在處理需要大量記憶體的AI工作負載方面，DGX GH200系統顯示出比DGX H100更好表現，平均可獲得2~6倍不等的效能提升，例如，在使用1TB的記憶體容量用於GPT3模型訓練時，DGX GH200的處理速度快上1倍，若以40TB記憶體處理深度學習推薦模型（DLRM）時，速度則有多達4倍的提升，甚至在圖形神經網路處理方面速度更快上許多，足足有5倍之多。</p> <p>目前已有少數大型雲端或科技業者決定採用DGX GH200，包括Google Cloud、Meta和微軟。</p> <p>Nvidia目前並未公開DGX GH200的售價，但如果根據去年出貨的DGX H100作為參考，一臺搭載8組H100 GPU的8U GPU伺服器機櫃約為20萬美元（相當於臺幣6,100萬元），考慮到DGX GH200擁有最多256個Grace Hopper，其價格可能會高於這個範圍，但具體售價仍需待官方公布。</p> <p>此外，黃仁勳也透露，未來考慮推出採用GH200系統的雲端服務，讓缺乏足夠資源與預算的企業，以後能更容易使用這項技術進行生成式AI應用開發與部署，以加快生成式AI和加速運算的發展。</p> <p>除此之外，Nvidia和SoftBank展開合作，將使用Grace Hopper在其5G網路中建構生成式AI 和軟體定義的5G 堆疊架構方案。</p> <p>除了推出針對生成式AI的專用硬體平臺，Nvidia發表了可適用於資料中心網路的乙太網路平臺Spectrum X，結合了Spectrum-4 乙太網路交換器和BlueField-3 DPU資料處理器，以提供大規模頻寬和更低延遲。相較於傳統乙太網路，Nvidia強調，Spectrum X不論在效能或節能方面都足足提高了1.7倍，可用於加速生成式AI模型的開發與部署。</p> <p>考慮到不同規模大小的企業資料中心，對運算需求各有不同，Nvidia也推出加速伺服器的模組化參考架構Nvidia MGX，讓伺服器系統業者可以根據這個參考架構，來開發出不同配置的伺服器產品，以配合各種AI運算、HPC和模擬應用的需求。雲達和Super Micro將會是首批採用的廠商，使用MGX 來打造下一代加速運算伺服器，永擎電子、華碩、技嘉與和碩後續將跟進採用，開發相應的產品。</p> </div></div></div>
2023/5/30 11:31作者余至浩https://www.ithome.com.tw/news/157093
被諮詢的ChatGPT杜撰了法院判決，律師可能面臨處罰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.nytimes.com/2023/05/27/nyregion/avianca-airline-lawsuit-chatgpt.html" target="_blank">根據《紐約時報》（The New York Time）的報導</a>，一名紐約州律師Steven Schwartz在替客戶撰寫案件摘要時，利用ChatGPT來協助整理相關的有利判決，結果被發現這些判決都是ChatGPT杜撰的，面對此一前所未有的事件，法官決定舉行聽證會來討論可能的處罰條款。</p> <p>控方Roberto Mata是在2019年搭乘哥倫比亞航空（Avianca）公司的飛機，在機上因被飛機餐車撞到而受傷，並委託Schwartz提告，而Avianca則以該案件已過了時效性而要求撤告，擔任Mata律師的Schwartz在撰寫案件摘要時，利用ChatGPT來蒐集其它航空公司的類似案件，Schwartz便於案件摘用中提供了6個來自ChatGPT的案例，以支持其仍具時效的論點。</p> <p>然而，Avianca的律師群怎樣都找不到這些案例，更遑論案例中的意見。</p> <p>Schwartz之後坦承他諮詢了ChatGPT，但過去他從未使用過ChatGPT，並不知道它所提供的內容可能是假的，更何況他還向ChatGPT確認過，ChatGPT告訴他這些案件都是真實的。Schwartz並向法院提交了他與ChatGPT的對話過程作為佐證。</p> <p>其實不僅是ChatGPT，Google所發表的Bard也被發現會提供杜撰或錯誤的答案，意謂著目前的聊天機器人並沒有想像中的可靠，已執業三十多年的Schwartz可能沒想過，自己會是以這樣的烏龍事件敗在人工智慧產品手上。</p> </div></div></div>
2023/5/30 11:43作者陳曉莉https://www.ithome.com.tw/news/157103
Nvidia遊戲AI服務ACE for Games可生成栩栩如生的電玩角色
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://nvidianews.nvidia.com/news/nvidia-ace-for-games-sparks-life-into-virtual-characters-with-generative-ai" target="_blank">Nvidia本周在臺北國際電腦展（Computex 2023）上發表</a>新的雲端AI生成服務Avatar Cloud Engine for Games（ACE for Games），以人工智慧創造更栩栩如生的電玩角色，還能和玩家對答如流。</p> <p>Nvidia執行長黃仁勳在Computex的開幕演說中展示了ACE for Games。這個AI平臺是為電玩產業開發人員設計，號稱中介軟體、工具和遊戲開發人員可在這個平臺上打造和部署客製化的AI模型，產生逼真的電玩非玩家角色（non-player character，NPC）口語、對話、表情及動作。</p> <p>黃仁勳指出，AI不僅可用於數位內容環境的渲染和合成，也能為角色賦予生命，AI將是未來電玩遊戲製作的關鍵元素。</p> <p><a href="https://www.youtube.com/watch?v=5R8xZb6J3r0" target="_blank">他在大會上也展示了一段由Nvidia Inception育成計畫扶植的新創電玩製作公司Convai製作的影片</a>，目的在展示Nvidia ACE for Games的能耐。影片中，人類玩家和一名經營日本拉麵店的電玩角色Jin能來回對話，ACE for Games的AI技術不但能生成字幕和角色聲音，還能聽懂人類玩家說的話並以自然語言流暢回應，還讓角色做出和聲音相符的表情。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/5R8xZb6J3r0?start=63" title="YouTube video player" width="560px"></iframe></div> <p>ACE for Games是以Nvidia Omniverse 3D圖形設計及協同平臺為底層，包含三項主要元素。首先，NeMo是利用專屬資料開發、訓練和部署語言模型的平臺，打造出來的模型可以根據角色背景故事客製化。它並具備一套規範指引NeMo Guardrail防止模型產生不適切或不安全的對話。</p> <p>其次是Riva，負責自動語音辨識及文字轉語音，前者可聽懂玩家說話，並將語音轉成文字送入語言模型來產生文字對話，再以文字轉語音技術合成角色人聲。最後，Omniverse Audio2Face則可即時產生電玩角色的臉部動畫以搭配音軌。Audio2Face具備遊戲引擎Unreal Engine 5的Connectors讓開發人員能即時產生虛擬角色的動畫。</p> <p><a href="https://www.youtube.com/watch?v=-R4PWIkgOSk&t=1s" target="_blank">Convai展示的影片</a>展示人類玩家能以語音和電玩角色互動，例如玩家要求角色將一把桌上的槍遞給他。另一個人則要電玩中的士兵射擊位於某地的目標。</p> <p>開發人員可整套使用ACE for Games，或是只使用其中的單一元件。</p> <p><a href="https://www.tomshardware.com/news/nvidia-ace-brings-npcs-to-life" target="_blank">Tom's Hardware</a>測試過認為，Nvidia ACE for Games能為角色賦予情境察知能力，這點優於微軟《當個創世神》（Minecraft）AI外掛功能，後者雖讓用戶和遊戲角色對話，但卻出現角色死了還和玩家對話的糗事。</p> <p>Nvidia並宣布已有數家新創及遊戲開發商將生成式AI技術整合在其工作流程中，包括捷克電玩開發商GSC Game World、波蘭遊戲工作室Fall Leaf Studio及英國AI虛擬人物工作室Charisma.ai等。</p> </div></div></div>
2023/5/30 10:22作者林妍溱https://www.ithome.com.tw/news/157095
HP韌體更新讓用非原廠碳粉匣的印表機變磚頭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>HP本月韌體更新讓使用非原廠碳粉匣的特定印表機無法使用，引發用戶抱怨。HP則釋出韌體更新解決問題。</p> <p><a href="https://twitter.com/Lazecapri/status/1655665642014384141" target="_blank">5月起有不少用戶透過推特等平臺反映</a>，原本好好的HP印表機忽然無法列印。元兇來自韌體中的動態安全（Dynamic Security）功能。<a href="https://support.hp.com/tw-zh/product/hp-officejet-pro-6830-e-all-in-one-printerserie/5390307/document/c05309726" target="_blank">根據HP網站</a>，若用戶使用非HP墨水匣時看到墨水匣問題錯誤訊息，可能是動態安全性功能造成印表機拒絕非HP墨水匣。</p> <p>「動態安全」首出現於2016年，是HP墨水匣驗證流程的一項元件，HP聲稱「可確保客戶體驗、維護印表機系的完整性及保護HP的智慧財產」，其作用是若HP印表機感測到墨水匣未具備全新或重覆使用的HP晶片，就會無法列印。官網列出受影響的機種包括HP OfficeJet 6950、OfficeJet Pro 6230、6810、6820、6830、6970、7740、8210、8610、8620、8630、8640、8660、8700、X451dn/dw、X476dn/dw、X551dw、X576dw、PageWide 300、400和500印表機。</p> <p>這種手法已經讓HP挨告一次。歐洲消費組織對HP提出集體告訴，HP 2022年9月同意以135萬美元和解。或許是為了避免再陷爭議，HP已提供移除動態安全功能的韌體更新，<a href="https://support.hp.com/tw-zh/drivers/selfservice/hp-officejet-pro-6830-e-all-in-one-printer-series/5390307" target="_blank">需要用戶到HP專門網頁下載</a>，但僅供明列的機種。</p> <p>今年5月初HP韌體也曾造成部份OfficeJet機種出現藍色死亡螢幕及83CooooB的錯誤訊息；一些用戶表示，在產品安裝5月自動下載的韌體，一下載就當機。<a href="https://www.bleepingcomputer.com/news/technology/hp-rushes-to-fix-bricked-printers-after-faulty-firmware-update/" target="_blank">HP對媒體證實</a>，「少部分」HP OfficeJet印表機受影響，該公司建議用戶和HP技術支援部門聯絡解決。這起事件影響產品包括OfficeJet Pro 902x印表機系列，包括OfficeJet Pro 9022e、9025e、9020e All-in-One及9025e All-in-One等機種。二起事件是否關聯不得而知。</p> </div></div></div>
2023/5/30 10:40作者林妍溱https://www.ithome.com.tw/news/157098