iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/11 01:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【快速了解蘋果AR應用程式的開發】圖解如何建立一支visionOS App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>蘋果AR設置環境Xcode，搭配各種開發工具可快速建立AR App所需的3D內容、動畫、渲染效果及互動場景，我們分為12個步驟的圖解，來介紹如何建立一支visionOS App，從開發全新AR應用程式到將現有行動應用程式變成可以相容的App，並上架到新品牌App Store上。</strong></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 步驟1 </span></span> <span style="color:#3366ff;">設置AR開發環境</span></strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#3366ff;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0629-%E6%AD%A5%E9%A9%9F1.png" style="width: 600px;" /></span></strong></span></p> <p><strong>開始開發visionOS App要做的第一件事，就是需要準備IDE開發環境，這是開發者用來管理和發布visionOS專案很重要的關鍵。Xcode是蘋果開發者使用的IDE工具，但必須要升級更新到第15版beta2，才能夠支援在visionOS平臺上的開發和測試。並且macOS必須更新到13.4版本或以上。</strong><span style="color:#696969;"><span style="font-size:14px;">圖片來源_蘋果</span></span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 步驟2 </span></span> <span style="color:#3366ff;">建立Xcode專案</span></strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0629-%E6%AD%A5%E9%A9%9F2-V2.png" style="width: 600px;" /></p> <p><strong>有了新的Xcode後，若要開始建立一個新專案並進行App開發工作，開發者可以在Xcode的專案建立視窗中選擇xrOS（編按：已更名為visionOS）當作目標平臺，接著指定使用預設的App圖示作為開發樣板，就可以進行相關的開發工作。不過需要注意的是，要確保你的開發環境中已經配置了xrOS相關的檔案，才能夠順利使用xrOS的App樣板來進行開發。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 步驟3 </span></span> <span style="color:#3366ff;">建立使用者AR介面</span></strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0629-%E6%AD%A5%E9%A9%9F3-V2.png" style="width: 600px;" /></p> <p><strong>建立Xcode專案並選擇xrOS App樣板，接著就開始進入到App設計工作，其中使用者介面設計是App開發的重要環節之一，開發者若是希望在未來的App視窗介面中建立具有高度立體感和沉浸式效果的設計，就需要使用SwiftUI框架。這是只有在SwiftUI框架中才提供的功能。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 步驟4 </span></span> <span style="color:#3366ff;">指定3D視窗介面形式</span></strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#3366ff;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0629-%E6%AD%A5%E9%A9%9F4.png" style="width: 600px;" /></span></strong></span></p> <p><strong>接著必須在App樣板中指定初始場景類型，如果想要設計出全三維的App視窗介面，必須確保在App樣板中指定App起始場景為「Volume」，而非預設的「Window」，才能夠讓App視窗介面呈現出更加立體和逼真的外觀效果。值得注意的是，使用volume當作App起始場景時，設計結構上一樣會使用與iOS相同的WindowGroup { }，來管理SwiftUI視圖層次結構，進行Volume介面的程式開發。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 步驟5 </span></span> <span style="color:#3366ff;">設定沉浸空間模式</span></strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#3366ff;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0629-%E6%AD%A5%E9%A9%9F5.png" style="width: 600px;" /></span></strong></span></p> <p><strong>除了選擇Volume作為AR應用程式視窗介面外，開發者在建立介面的過程中還可以根據需要指定後續應用程式開啟後，能夠使用的沉浸式空間類型，來為App所處的3D空間增加不同程度的沉浸式效果。共有混合式沉浸（mixed）、漸進式沉浸（progressive）、完全沉浸（Full）三種風格供開發者選擇。若選擇預設的Space類型，則App會在非沉浸式的共享空間（Shared Spce）中進行呈現。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 步驟6 </span></span> <span style="color:#3366ff;">撰寫AR App程式碼</span></strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#3366ff;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0629-%E6%AD%A5%E9%A9%9F6.png" style="width: 600px;" /></span></strong></span></p> <p><strong>確定App介面設計類型和沉浸模式後，Xcode會根據選擇的是Window或Volume樣板，自動生成相應的程式碼，讓開發者能夠以此為基礎進行開發工作。在編寫過程中，若是需要設計介面或物體表面材質時，可以使用Reality Composer Pro工具平臺所提供的關聯式節點圖，就可以很容易設計所需的材質，而無需進行程式碼撰寫。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 步驟7 </span></span> <span style="color:#3366ff;">程式碼除錯</span></strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#3366ff;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0629-%E6%AD%A5%E9%A9%9F7.png" style="width: 600px;" /></span></strong></span></p> <p><strong>除了直接從程式碼中進行偵錯外，透過Xcode提供的視覺化runtime功能，可以方便開發者更快速追蹤和尋找程式碼中的錯誤。編寫程式碼的同時，這些程式碼會即時轉換為視覺化的3D內容，讓開發者可以即時查看其外觀形狀或表面呈現效果，以確認是否符合原始設計的目的，也就更容易找出程式中有錯誤或不正確的地方，進行即時修正。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 步驟8 </span></span> <span style="color:#3366ff;">使用AR模擬器測試</span></strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#3366ff;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0629-%E6%AD%A5%E9%A9%9F8.png" style="width: 600px;" /></span></strong></span></p> <p><strong>App程式寫完後，需要使用Xcode模擬器測試App在Vision Pro設備上的執行情況，除了可以操作實體鍵盤或滑鼠從不同角度來查看，也可以使用模擬的系統手勢與App進行互動。模擬器提供了3種不同模擬場景（包括客廳、廚房、博物館），每個場景都有白天或夜間照明模式，開發者可以觀看App在不同條件下呈現的效果。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 步驟9 </span></span> <span style="color:#3366ff;">送至AR實體設備測試</span></strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#3366ff;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0629-%E6%AD%A5%E9%A9%9F9.png" style="width: 600px;" /></span></strong></span></p> <p><strong>除了模擬測試以外，開發者可以直接在實體Vision Pro設備中預覽App局部功能（如3D場景）並進行測試，不需要等到完成所有App功能後才能接著測試。測試前須將該實體設備連到蘋果電腦，然後在Reality Composer Pro工具中切換預覽按鈕到「設備預覽」模式，這樣一來，開發者就能夠在這臺設備中進行功能預覽，並測試其外觀和功能的正確性。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 步驟10 </span></span> <span style="color:#3366ff;">App效能優化</span></strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#3366ff;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0629-%E6%AD%A5%E9%A9%9F10.png" style="width: 600px;" /></span></strong></span></p> <p><strong>在測試過程中，開發者可以利用效能分析工具Instruments中的RealityKit Trace功能進行評估和測試。這個功能可以提供關於AR App在頭戴設備上執行所消耗的運算資源相關資訊（如CPU、GPU和電力消耗等），並且能夠標識出可能導致App效能瓶頸的環節。開發者可以追蹤和分析App效能表現，並回頭檢視相關數據，優化App的3D模型。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 步驟11 </span></span> <span style="color:#3366ff;">AR App上架至新品牌App Store</span></strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#3366ff;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0629-%E6%AD%A5%E9%A9%9F11.png" style="width: 600px;" /></span></strong></span></p> <p><strong>除了內部測試以外，在將AR App上架到蘋果新品牌App Store之前，需要將該App打包為測試版本，並利用Xcode或Store Connect將你的測試版本提交到蘋果TestFlight測試服務中，供測試人員下載，以便在Vision Pro設備上進行相關測試，進一步優化和改進問題。完成後，開發者就可以將正式版提交App Store進行審核，接著將通過審核的App上架到App Store供用戶下載。就如同上架一支行動App流程一樣。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 步驟12 </span></span> <span style="color:#3366ff;">將行動App變成AR App</span></strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0629-%E6%AD%A5%E9%A9%9F12-V2.png" style="width: 600px;" /></p> <p><strong>上架到App Store的App不僅限於新開發的AR App，還可以上架這些把現有行動App變成是相容的App。開發者可以透過重新編譯將現有行動App轉成相容於visionOS平臺的應用程式，因此具有與visionOS App相同的空間外觀和質感。做法上也相當簡單，只要在Xcode專案中指定xOS裝置為轉換的目標平臺，然後透過xOS模擬器重新編譯和執行即可。接著開發者還可以對轉換後的App進行視窗大小和布局微調，或加入其他相關沉浸功能。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> </div></div></div>
2023/6/29 12:07作者余至浩https://www.ithome.com.tw/news/157542
鎖定平臺韌體保護，信驊科技展示具成本優勢的PFR伺服器安全晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在信驊科技目前的伺服器解決方案中，除了舉世皆知的伺服器管理晶片「基板管理控制器（BMC）」產品，還有橋接晶片（BIC），特別的是，該公司近年也鎖定韌體安全領域，提出解決方案。</p> <p>在今年Computex台北國際電腦展中，信驊科技就特別公布了這款產品－－AST1060，並說明PFR的重要性。其實，這款產品在去年3月已經生產發布，但隨著疫情趨緩、國境解封，因此該公司才在今年Computex展覽中首度公開展出這款產品。</p> <p>基本上，近年由於韌體與供應鏈漸成常見網路攻擊面向，因此，在2018年，美國國家標準暨技術研究院（NIST）發布NIST SP 800-193平臺韌體保護恢復標準，全名為Platform Firmware Resiliency（PFR），目的就是要防止未授權入侵與修改，確認平臺韌體的正當與合法性，並且還能在平臺韌體被破壞時，透過可信的方式來恢復。</p> <p>後續幾年以來，Intel、萊迪思半導體等業者，都陸續推出PFR的解決方案，<a href="https://www.ithome.com.tw/news/139902">之前我們也曾經介紹過這類產品</a>。信驊科技當然也沒有缺席，該公司行銷業務處協理關超成指出，去年他們推出採用硬體信任根（Root of Trust，RoT），並能與BMC晶片搭配的PFR解決方案AST1060，已通過NIST的CAVP（Cryptographic Algorithm Validation Program）認證。</p> <p>最大不同之處在於，過去這類解決方案都是基於FPGA設計，信驊科技推出的AST1060，是全球首款單晶片設計（SoC），相當別具意義。</p> <p>關超成指出，由於SoC成本要比FPGA成本低很多，有助於客戶更願意採用信驊PFR解決方案，進而促使他們的產品增加這方面的資安防護。</p> <p>AST1060雖然是在2022年3月開始生產，在Computex公開展示卻是第一次，預計今年第二季量產，他們也看好其成本優勢，因此認為需求會逐漸放大，成為BMC產品之外的另一重點產品。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E4%BF%A1%E9%A9%8A%E6%8E%A8PFR%20SoC_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E4%BF%A1%E9%A9%8A.jpg" style="width: 600px;" /></p> <p><strong>對於PFR的重要性，信驊科技行銷業務處協理關超成表示，像是2017年的BrickerBot病毒，就是鎖定硬體裝置的漏洞，破壞平臺上的韌體，而美國NIST在2018年則發布PFR平臺韌體保護恢復標準（NIST SP 800-193），提供在不同平臺韌體應遵循的安全措施。同時他也說明，這次展示的AST1060，最大不同之處是單晶片設計（SoC）的PFR解決方案，不同於以往是FPGA的PFR解決方案，將更具成本優勢。（攝影／羅正漢）</strong></p> <p> </p> </div></div></div>
2023/6/28 16:32作者羅正漢https://www.ithome.com.tw/news/157530
Windows 11測試以臉部或指紋辨識的通行密鑰登入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://blogs.windows.com/windows-insider/2023/06/22/announcing-windows-11-insider-preview-build-23486/" target="_blank">最新Windows 11測試版</a>加入通行密鑰（passkey）功能，允許用戶以臉部、指紋或PIN碼驗證登入網站或應用程式。</p> <p>微軟本周釋出到Dev頻道的Insider預覽版Build 23486加入最新安全功能，讓用戶可以透過Windows Hello製作通行密鑰，未來用戶即可以Windows Hello設定的臉部、指紋或PIN碼登入網站或App。用戶也可以手機完成App登入過程。</p> <p>設定方法如同其他密鑰管理產品。用戶可以先從Windows PC連到支援通行密鑰的網站，如bestbuy.com、ebay.com、google.com等在其帳號設定頁下建立通行密鑰，之後登出、再以通行密鑰登入。</p> <p>即使用戶將通行密鑰存在手機上，也可以從Windows登入。方法是以上述方法登入網站，並將通行密鑰儲存在手機上，之後以Windows PC連到網站時，再以手機上的通行密鑰驗證登入。</p> <p>Windows 11測試版也提供簡單的通行密鑰管理。這功能位於「設定」>「帳號」>「通行密鑰」下，用戶會看到儲存在PC上的所有通行密鑰，即可查看相關資訊或刪除密鑰。</p> <p>主要瀏覽器，包括蘋果的Safari、微軟Edge或Google Chrome瀏覽器都已先後支援通行密鑰登入。Windows Hello支援意謂著使用者可以從作業系統層，更方便管理及使用通行密鑰。蘋果的<a href="https://www.ithome.com.tw/news/151318" target="_blank">macOS</a>、iOS、iPadOS及<a href="https://www.ithome.com.tw/news/153615" target="_blank">Google Android</a>也都加入支援通行密鑰。</p> <p>在Edge和Chrome中，要啟用通行密鑰需點選「Windows Hello或外部安全金鑰」選項來開啟。微軟說，如果用戶還沒看到這個選項，會在最新的Chrome測試版Canary看到，由於Edge同屬Chromium核心瀏覽器，之後這功能也會部署到Edge。</p> </div></div></div>
2023/6/29 10:58作者林妍溱https://www.ithome.com.tw/news/157541
從臺灣第一線教學現場實驗，看教育界如何擁抱ChatGPT浪潮
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「ChatGPT禁用與否」儼然成為教育界這半年來的熱門議題。ChatGPT不只能隨時回應學生問題，甚至還能直接幫學生代寫作業，這些強大功能，讓全世界師長產生恐慌，今年初，美國許多學校就陸續禁用該軟體，認為ChatGPT將會對學生的學習造成負面影響。</p> <p>然而，在教育界，不是人人都反對ChatGPT。今年三月，隨著OpenAI推出GPT4，全球最大非營利線上教育平臺可汗學院創辦人Sal Khan更宣布，採用GPT4打造教學助理Khanmigo，試圖打破ChatGPT在教育應用上的負面印象。</p> <h3>生成式AI教學助理進入課堂實測</h3> <p>這個以GPT4打造的教學助理，不僅會是學生課後使用的學習工具，更要進入實體教室，幫助教師進行課程教學。</p> <p>不只展示，Sal Khan也在矽谷實際找來一間中小學實驗學校，展開千人規模的Khanmigo實測，包估老師、學生和行政人員。在今年五月一場演講中，他更預告了接下來Khanmigo將發展的新功能，例如互動式閱讀理解、論文起草回饋工具和語音互動等，顯現他持續開發GPT應用於教育的企圖心。</p> <p>Sal Khan表示，Khanmigo能對學生、教師，甚至是家長都能帶來幫助。作為一對一教學導師，Khanmigo可提供學生學習英文、數學、寫作和電腦程式、與歷史人物對話和進行辯論活動等功能。</p> <p>此外，Khanmigo還能協助教師擬定課綱，減少行政時間，教師也可以檢視學生與聊天機器人的對話過程，掌握學生學習狀況。當對話含有暴力和色情言論時，Khanmigo會發通知提醒教師和家長。</p> <p>Khanmigo有一個關鍵設計是，透過提示指令設定GPT-4模型扮演不能揭露答案的教師角色之後，無論學生如何提問，Khanmigo都不會提供答案，而是藉由對話一步步引導學生思考。這個功能破除了學生使用ChatGPT作弊的疑慮，甚至有機會對學生的學習帶來效益。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/khanmigo%E6%93%8D%E4%BD%9C%E7%95%AB%E9%9D%A2.jpg" style="width: 600px;" /></p> <blockquote><p>透過提示指令可以設定<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">GPT扮演</span>不能揭露答案的教師角色，當使用者詢問答案時，Khanmigo不會直接提供答案，而是一步步引導使用者解題。</p> </blockquote> <h3>臺灣教師肯定生成式AI教學助理將帶來正面效益</h3> <p>雖然Khanmigo目前仍在測試階段，短時間不會在臺灣落地，但在臺灣，有一群教育工作者十分關注這項教學工具，甚至是高度期待。</p> <p>「我看到後來簡直在顫抖，想說如果學生可以馬上使用，我們到底可以怎麼幫助孩子？」一位在資訊教育現場做了十多年的資訊組長林穎俊，回憶起第一次看到Khanmogo的感受，十分震撼。</p> <p>這位在宜蘭縣中山國小任職的資訊組長林穎俊，長期關注數位工具如何有效提升教學與學習效率，熟稔數位教學工具，承辦過縣市科技輔助自主學習計畫。</p> <h3>臺灣教師實際將ChatGPT融入課程教學</h3> <p>早在去年底ChatGPT浪潮出現後，林穎俊就開始思考如何運用到課堂上，今年二月，林穎俊決定先用自然課程來測試ChatGPT，以實際經驗驗證ChatGPT對教育帶來的改變。</p> <p>起初，他讓學生直接與ChatGPT對話，發現學生不擅長描述問題而學習效果不好。因此，他轉而改變策略，改使用ChatGPT出考題。然而，最終在檢討對答案時，有學生向他反應ChatGPT提供的答案有誤。林穎俊坦言，一開始將生成式AI想得太簡單，經過測試後，他發現要讓學生和ChatGPT一起合作，才能增加學習效率，「學生學著跟ChatGPT協作、評價跟調整答案前，應該先自行擁有答案，並且瞭解不能全部相信ChatGPT的回答。」</p> <p>經過調整，林穎俊在課程使用ChatGPT時會以分組進行，學生觀看兩張照片或文章後，小組需要討論出一個最好的問題，接著將問題寫進共編簡報。透過簡報展示各組問題後，林穎俊會從中選出一個和自己預設較接近的題目，再和學生討論，修正問題後放入ChatGPT，最後一同討論回應。</p> <p>這麼一來，不僅可以訓練學生描述問題的能力，也可以教會學生思考ChatGPT提供的資訊正確性。只不過，ChatGPT融入課堂教學十分耗時，免不了引起家長抱怨，因此，林穎俊坦言，自己仍需要取捨和調整教學內容，讓學生既能學得好，又能符合未來教學需求。</p> <p>下一步，林穎俊決定在暑假帶著學生使用AI學習Python，探索AI是否有可能幫助學生進行跨越年齡限制的學習。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AE%9C%E8%98%AD%E4%B8%AD%E5%B1%B1%E5%9C%8B%E5%B0%8F%E8%80%81%E5%B8%AB%E6%9E%97%E7%A9%8E%E4%BF%8A%E4%BD%BF%E7%94%A8GPT%E6%95%99%E8%AA%B2.jpeg" style="width: 600px;" /></p> <blockquote><p class="rtejustify" dir="ltr" style="line-height: 1.8; margin-top: 0pt; margin-bottom: 0pt;"><span style="color: rgb(105, 105, 105);">林穎俊將ChatGPT融入課堂教學，先以分組方式進行討論，再共同討論ChatGPT的回覆。圖片來源／林穎俊提供</span></p> </blockquote> <p>經過這個學期在課堂上的ChatGPT教學實測，林穎俊認為，Khanmigo能為學生學習帶來幫助，因為這個AI助手能將所有課程單元的難度降到幾乎為零，「所有學生只要想學，他都可以學會。」因此，面對ChatGPT浪潮，林穎俊認為，教育應回歸核心問題：探討如何引發學生的學習動機，幫助學生大腦升級為更有效的學習者。</p> <p>傳統教學型態以講述和直接教學法為主，林穎俊舉例說明，教師透過講述課本知識，在臺上進行解題，依序帶著學生作答，最後再讓學生自己寫出答案。但是，ChatGPT進入課堂後，他認為，教學型態可能逐漸轉為高互動、直接教學與問題解決，例如學生和學生間、小組和小組間，或是老師和小組間研討如何運用知識解決生活上的問題，透過與AI協作，討論和修正成果。</p> <p>此外，傳統教學型態的檢驗方式僅是以考試評量學生知識，但在未來，林穎俊指出，評量內容可能轉為學習過程與技能，例如評量學生與AI協作過程，以及學生是否能將知識內化為技能，運用在和AI討論問題解方。</p> <p>林穎俊認為，ChatGPT可能將改變以往獨自的學習型態，逐漸轉換為師生一同討論學習的學習環境。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AE%9C%E8%98%AD%E7%B8%A3%E4%B8%AD%E5%B1%B1%E5%9C%8B%E5%B0%8F%E8%B3%87%E8%A8%8A%E7%B5%84%E9%95%B7%E6%9E%97%E7%A9%8E%E4%BF%8A.jpg" style="width: 600px;" /></p> <blockquote><p><span style="color:#696969;">宜蘭縣中山國小資訊組長林穎俊關注數位教學工具的發展，他認為ChatGPT可能改變原有的教育型態。攝影／李昀璇</span></p> </blockquote> <h3>AI融入臺灣教育現場前，使用者適應數位教學仍是挑戰</h3> <p>AI融入教育能創造個人化教學，例如根據學生能力、興趣和性格訂定學習大綱，更能幫助教師了解學生學習狀況，但要在教育現場融入AI，就必須端看行動載具數量與無線網路在校內建置是否完備。</p> <p>教育部2021年宣布，預計在2022年至2025年內投入近200億元預算在「推動中小學數位學習精進方案」，其中一項政策正是配發行動載具，和提升教室無線網路環境。</p> <p>為達到「班班有網路，生生有平板」的目標，教育部以偏遠地區學校師生一人一機，非偏遠地區每六班補助一班的方式配發行動載具，除原有各縣市約20萬臺行動載具外，教育部另外配發約61萬臺學習載具。</p> <p>但計畫實行近一年，身在教育現場的林穎俊卻看見不少計畫推行困境。</p> <p>雖然目前行動載具數量已經足夠，但使用量卻始終不高。以中山國小為例，校內約有七至八組載具，即便教育部已規定所有老師在2025年前至少須完成六小時的數位研習，以讓教師適應數位教學，「但是使用量一直沒有滿載。」林穎俊說道。</p> <p>而在數據方面，雖然教育部在數位學習精進方案有規劃建置教育大數據資料庫，但是，要能蒐集足夠數據，師生就須長時間使用行動載具。</p> <p>林穎俊回想所屬學校使用平板的頻率，掐指一算，「大概兩個禮拜一次。」他認為，要讓數位載具廣泛使用，關鍵仍在教師是否願意使用科技輔助教學。「一般老師還是比較習慣傳統式教學。」林穎俊提到，教師的教學習慣及年齡因素，都可能是計畫推行阻礙，再加上課堂時間常常不足，即便老師願意使用，通常僅會在總複習等非正式授課時進行。</p> <p>可是要說服更多老師願意使用科技，林穎俊認為，仍需足夠數據論證，如能否有效提升學生成績，或增加學習動機等，才能說服教師轉換原有教學模式。</p> <p>雖然教育部標榜學習數據資料庫整合了載具管理系統、數位學習平臺及學生學習紀錄，以作為學習成效、教學模式、政策研擬和改善數位內容的參考資料。但看似完善的規劃，在教育現場第一線的林穎俊卻表示，目前尚無管道得知相關數據資料。</p> <p>眼看著各縣市政府積極部署署AI融入教育的政策，如臺南市教育局三月底宣布將研發ChatGPT教學模組，臺北市教育局也正在開發ChatGPT協助教師出題，林穎俊建議政府現階段應回過頭來著重搜集學習數據。</p> <p>「太多工具不見得會提升學生學習成效。」林穎俊過去帶著不少學生使用教學網，他發現最難的挑戰仍是如何讓學生主動使用教學資源。因此，他建議政府應積極搜集學習資料，建立完整學習資料庫，「例如知道學生可能什麼地方比較學不會，哪些特徵的學生比較會有學習困難，甚至知道哪裡需要投入更多經費。」才能在系統推出後，更有效、精準地幫助學生，甚至是推動他們積極學習。</p> <h3>面臨AI衝擊，林穎俊鼓勵教師一同思考因應之道</h3> <p>對比傳統教學模式，ChatGPT到底是威脅？還是轉機？現今教師工作除了在課堂期間進行知識傳授，課餘時間更須重視學生的品性、常規表現和學習情形。如今AI漸漸進入校園，林穎俊認為，以Khanmigo為例，證實AI有能力取代教師的知識傳授工作，因此，未來教師的角色會有所轉變，知識傳遞的工作會逐漸減少，教師需要找到新的工具或教學幫助學生學習。</p> <p>因應AI時代，教師到底該如何應對這些挑戰？林穎俊坦言，自己尚未有明確解方。但是，他仍期望所有教師應落實教學，一同思考如何將AI融入教育。</p> <p>所以，林穎俊才建議，政府應蒐集大規模學習數據，以支援系統開發，再增加獲取數據的便利性，才有機會提升數位教學的廣泛性，最終以AI工具實現個人化學習，成就更多學生的學習。</p> <p>「ChatGPT有點像新冠肺炎造成遠距教學，大家慢慢會意識到這個衝擊，只是早晚而已。」雖然AI目前對臺灣教育環境造成的波動不大，但林穎俊認為，當教育平臺開始整合生成式AI時，傳統教學方式勢必要有所轉變。</p> </div></div></div>
2023/6/29 09:36作者李昀璇https://www.ithome.com.tw/news/157509
AWS推出全託管服務AppFabric方便企業連接和管理SaaS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對SaaS應用程式監控需求AWS推出<a href="https://aws.amazon.com/tw/blogs/aws/new-aws-appfabric-improves-application-observability-for-saas-applications/">AppFabric</a>，這是一個全託管服務，能夠聚合和標準化SaaS應用程式中的安全資料，提高應用程式的可見性。AppFabric可簡單整合企業常用的SaaS應用程式，過程不需要編寫自定義程式碼或是進行點對點整合。</p> <p>由於不少企業大量在業務流程中使用SaaS應用程式，隨著使用規模擴大，隨之而來的，便是主動辨識和解決潛在安全威脅的需求，以維持業務不間斷，不過，要將SaaS應用程式與企業現有安全工具整合，需要花費人力資源建置、管理和維護點對點整合，如此安全團隊才能夠監控事件日誌，了解每一個應用程式的使用者和系統活動。</p> <p>而AppFabric提供了一個解決方案，讓企業可以簡單連接SaaS應用程式，只要獲得授權後，AppFabric便能夠擷取並且標準化，諸如用戶活動日誌等安全資料。AWS提到，AppFabric是以開放網路安全架構框架（OCSF）為基礎，這是AWS與其他公司共同創立的產業標準架構，其提供一個開發架構與無關供應商的核心安全架構。</p> <p>IT人員可以增加使用者識別碼使資料更加完整，透過全面了解每個事件的用戶資料，縮短安全事件的回應時間。IT人員利用AppFabric將資料擷取到安全工具中，便能夠設置通用政策、標準化安全警示，集中管理跨多個應用程式的用戶存取。</p> <p>目前AppFabric可連結的SaaS應用程式，包括Asana、Atlassian Jira suite、Dropbox、Okta、Slack、Webex、Zendesk和Zoom等。AppFabric已在美東、歐洲，以及亞太東京上線，官方還預告，AppFabric將會加入生成式人工智慧功能，生成自然語言查詢的答案，並自動執行任務管理，產生跨SaaS應用程式分析。</p> </div></div></div>
2023/6/28 20:45作者李建興https://www.ithome.com.tw/news/157529
IBM宣布以46億美元買下企業IT資源管理解決方案供應商Apptio
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.ibm.com/2023-06-26-IBM-to-Acquire-Apptio-Inc-,-Providing-Actionable-Financial-and-Operational-Insights-Across-Enterprise-IT" target="_blank">IBM在26日宣布</a>，已與私募基金Vista Equity Partners簽署併購協議，將以46億美元的現金買下該基金旗下的企業IT資源管理解決方案供應商Apptio。雙方預計於今年底以前完成交易。</p> <p>IBM稱Apptio為金融及經營IT管理解決與最佳化（Financial and Operational IT management and Optimization，FinOps）軟體的領導業者，此一併購將可加速強化IBM的IT自動化能力，以及讓各個企業得以藉由各種技術投資來提高商業價值。</p> <p><a href="https://www.apptio.com/" target="_blank">根據Apptio官網上的介紹</a>，該公司主要提供四大領域的解決方案，涵蓋技術金融管理、雲端金融管理、企業敏捷規畫與公共部門的IT技術。至於IBM則強調Apptio的三大SaaS服務：ApptioOne、Apptio Cloudability與Apptio Targetprocess，其中，ApptioOne提供混合雲的支出管理與最佳化能力，Apptio Cloudability則鎖定公有雲的支出管理及最佳化能力，Apptio Targetprocess著重在敏捷投資規畫。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0628-Apptio%20Cloudability(2).png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;"><strong>Apptio Cloudability</strong>（圖片來源_Apptio）</span></span></p> <p class="rtecenter"><span style="font-size:14px;"><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0628-Apptio%20Targetprocess.png" style="width: 600px;" /></span></span></p> <p><span style="font-size:14px;"><span style="color:#696969;"><strong>Apptio Targetprocess</strong>（圖片來源_Apptio）</span></span></p> <p>IBM說明，全球各大組織正快速地展開數位轉型，使得它們的IT環境橫跨公有雲與私有雲，也涉及不同的業者，為了管理這些急劇增加的複雜性，客戶採用了Apptio解決方案來理解及簡化相關資源的配置。</p> <p>目前Apptio在全球已有超過1,500家客戶，囊括Fortune 100的一半以上，且Apptio的合作夥伴皆為知名服務，從AWS、Microsoft Azure、Google Cloud Platform、Salesforce、ServiceNow、Oracle到SAP等。</p> <p>IBM執行長Arvind Krishna表示，Apptio的產品再加上IBM的IT自動化軟體與watsonx AI平臺，將可替客戶的技術投資帶來更全面的管理能力。</p> <p>Vista Equity Partners是在2018年底以19.4億美元買下Apptio，顯示Apptio這幾年的身價漲了一倍以上。</p> </div></div></div>
2023/6/28 20:45作者陳曉莉https://www.ithome.com.tw/news/157535
台灣二版引進遠端控制軟體新品牌，支援多種OS與狀態監控
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/supremo_main.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了維持資訊工作的正常運作，長達三年的COVID-19疫情，迫使企業不得不開放使用各種便於遠端存取電腦與伺服器的解決方案，市面上也充斥著許多相關的應用軟體與雲端服務，希望能夠搶下企業市場。以臺灣資安大會這幾年的活動而言，就有多款專攻遠端登入與控制電腦功能的產品廠商參展，如TeamViewer、Splashtop、Remote.It。此外，我們還可以找到AnyDesk、LogMeIn、GoToAssist、GoToMyPC等產品，當然也能使用Microsoft Remote Desktop、Chrome Remote Desktop，分別由微軟與Google這兩大IT廠商供應的免費軟體。</p> <p>去年底以代理防毒軟體ESET著稱的台灣二版，引進新的遠端控制軟體SupRemo，為其遠端應用類型解決方案增添更多選擇。開發這款產品的廠商，是一家成立超過30年的義大利IT廠商Nanosystems，他們在2013年推出SupRemo，用戶可從網站下載軟體、將其安裝在個人電腦與伺服器，提供可從遠端操控作業系統的桌面共享功能。</p> <p>相隔3年，該公司發表雲端管理與監控平臺USilio，用來統籌該公司2006年推出的備份軟體Uranium Backup用戶端程式，以及SupRemo聯絡人的同步、管理與控制，2017年開始支援iOS與Android兩大平臺，提供名為「Supremo Remote Desktop」的行動App，可連至個人電腦或伺服器桌面進行遠端控制，後續USilio也改名為SupRemo Console。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SupRemo Console1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SupRemo%20Console1.jpg" style="width: 600px;" /></a></p> <p>在今年1月，Nanosystems推出SupRemo Mobile Assist的應用，Android智慧型手機或平板電腦安裝這支行動App之後，其他人可透過安裝在Windows、macOS、Linux、iOS、Android的SupRemo應用程式，連接到這臺行動裝置進行遠端控制，以便即時解決使用者當下的操作問題。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SupRemo iOS-1x.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SupRemo%20iOS-1x.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/SupRemo iOS-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SupRemo%20iOS-2.jpg" style="width: 148px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/SupRemo iOS-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SupRemo%20iOS-3.jpg" style="width: 148px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/SupRemo iOS-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SupRemo%20iOS-4.jpg" style="width: 148px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/SupRemo iOS-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SupRemo%20iOS-5.jpg" style="width: 148px;" /></a></p> <p>以設定、下載、安裝等方式而言，SupRemo使用起來算是頗為簡單，從桌面應用程式的角度來看，與TeamViewer頗為類似，同樣會秀出連接ID與密碼，連入受控端電腦之後，除了能進到作業系統桌面進行各項操作，在連接程式的上緣，提供檔案管理員、線上文字交談、各種控制細項、全螢幕顯示、調整顯示模式、中斷連線等6種主要功能，可協助主控端快速操作。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SupRemo W7-mark.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SupRemo%20W7-mark.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/SupRemo Password-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SupRemo%20Password-1.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/SupRemo%20Password-2.jpg" style="width: 298px;" /></p> <p>在密碼設定上，SupRemo在用戶端程式提供相當豐富的設定選項，可設置第二層密碼，須輸入指定密碼才能調整密碼相關設定（如上圖右），而允許外部連入此電腦的主密碼，預設為動態變換，且長度為6個字元，我們也能改為8或10個字元，或是停用動態更換密碼。這裡也能限制可登入的SupRemo使用者帳號，提供類似白名單的管制方式，若以不同帳號登入用戶端程式，可看到能遠端存取的電腦群組清單。</p> <p>而在網頁主控臺SupRemo Console當中，提供地址簿的功能，管理者可快速檢視目前已註冊的多臺受控端電腦，判斷目前是否屬於上線、可連接的狀態，若是專業版的服務訂閱用戶，可獲得更多功能，像是：遠端管理，可協助監控遠端的裝置系統是否正常運作，若有作業系統更新未安裝、防毒軟體停用，都會在此標示出來，提醒管理者注意。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SupRemo Device Management.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SupRemo%20Device%20Management.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>SupRemo 4<br /> ●原廠：Nanosystems<br /> ●代理商：台灣二版<br /> ●建議售價：3人同時上線、1年授權為16,600元<br /> ●用戶端作業系統支援：Windows（XP SP3至11、Server 2003 R2至2022）、macOS（10.12至13.0）、iOS（11以上）、Android（6.0以上）、Linux（Ubuntu 18.04至20.04 LTS）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/6/28 19:39作者李宗翰https://www.ithome.com.tw/review/157488
【資安日報】6月28日，兩大工業控制系統解決方案業者傳出遭遇MOVEit Transfer零時差漏洞攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月底MFT檔案傳輸系統MOVEit Transfer的零時差漏洞攻擊事故發生至今，已經過了一個月，駭客於6月中旬公布了部分受害組織的名單，也有組織證實遭到攻擊而外洩資料。最近駭客公布更多受害組織而引發關注，當中有兩家大型的工業控制系統業者。</p> <p>駭客企圖繞過防毒軟體與EDR偵測的情況不時出現，例如，使用自帶驅動程式（BYOVD）的方法，但如今有研究人員發現能繞過這類系統偵測的新型態攻擊手法。</p> <p>鎖定業務外包業者的攻擊行動，也相當值得注意。過往相關的攻擊行動裡，駭客往往將此類業者視為他們攻擊目標組織的跳板，被針對的業務外包業者較為單一，但如今出現了專門針對這類產業下手的駭客組織。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">西門子能源公司、施耐德電機傳出遭到MOVEit Transfer零時差漏洞攻擊</span></strong></p> <p>根據資安新聞網站SecurityAffairs、Bleeping Computer的報導，勒索軟體駭客組織Clop再度公布新的受害組織名單，當中提及了5個組織，其中最受到關注的部分，就是工業控制系統（ICS）解決方案業者西門子能源公司與施耐德電機。</p> <p>對此，兩家公司都提出說法。西門子能源公司證實遭遇了MOVEit Transfer零時差漏洞攻擊，但沒有重要資料遭竊，營運並未受到影響。</p> <p>施耐德電機則表示他們知悉駭客的說法，網路安全團隊正著手調查，該公司在5月30日已採取相關緩解措施並嚴密監控狀態。</p> <p>資料來源</p> <p>1. <a href="https://securityaffairs.com/147865/data-breach/schneider-electric-siemens-energy-moveit.html">https://securityaffairs.com/147865/data-breach/schneider-electric-siemens-energy-moveit.html</a><br /> 2. <a href="https://www.bleepingcomputer.com/news/security/siemens-energy-confirms-data-breach-after-moveit-data-theft-attack/">https://www.bleepingcomputer.com/news/security/siemens-energy-confirms-data-breach-after-moveit-data-theft-attack/</a></p> <p><a href="https://www.securityjoes.com/post/process-mockingjay-echoing-rwx-in-userland-to-achieve-code-execution"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露處理程序注入新手法Mockingjay，聲稱能繞過EDR偵測且行蹤更為隱密</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/d03b6f_ab1b76ede6df4928a671e984f1bf11b2~mv2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/d03b6f_ab1b76ede6df4928a671e984f1bf11b2~mv2.png" style="width: 300px; float: right;" /></a>資安業者Security Joes發現新的攻擊手法Mockingjay，這種方法可讓攻擊者繞過EDR等端點防護產品的偵測，進而在受害電腦上暗中執行惡意程式碼。研究人員藉由同時具備讀取、寫入、執行權限（RWX）的DLL程式庫，來迴避EDR系統的掛鉤機制，並且將惡意程式碼注入處理程序。</p> <p>他們使用微軟Visual Studio 2022社群版裡面的元件msys-2.0.dll進行測試，然後使用自身注入及遠端注入兩種手法，而在不建立新的處理程序、分配記憶體位置、設置權限等狀態下，得以繞過EDR系統的監控並執行任意程式碼。</p> <p>研究人員指出，大部分的EDR系統會監控一般注入攻擊常會使用的特定API，而Mockingjay則是利用Windows本身的API，來載入配置錯誤的DLL檔案，並找尋RWX部分的位址，使得EDR系統不會將此種手法視為異常並發出警報。</p> <p><a href="https://unit42.paloaltonetworks.com/muddled-libra/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織Muddled Libra鎖定業務流程外包業者下手</span></strong></a></p> <p>資安業者Palo Alto Networks揭露駭客組織Muddled Libra的攻擊行動，研究人員針對該組織自2022年6月至今年初的6起攻擊行動進行調查，發現這些駭客利用名為0ktapus的網釣工具包，來入侵受害組織並建立初期的存取權限，這些目標組織主要是業務外包業者（BPO）。</p> <p>值得留意的是，駭客還會收集員工名單、職務、手機號碼，以便進行網路詐騙甚至會透過目標組織的IT服務臺系統（Service Desk Applications，如Zendesk、Jira）註冊新的雙因素驗證（MFA）設備，最終從Confluence、Jira、Git、Elastic、Microsoft 365，以及內部資訊傳送系統竊取資料。</p> <p><a href="https://asec.ahnlab.com/en/54349/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客APT37散布竊資軟體FadeStealer進行攻擊</span></strong></a></p> <p>資安業者AhnLab揭露北韓駭客APT37的間諜攻擊，駭客先是透過釣魚郵件夾帶受到密碼保護的Word（.DOCX）或Hancom Office文件（.HWP）文件檔案，並以Windows說明檔案（.CHM）提供密碼，一旦收信人依照指示開啟CHM檔案取得密碼，此說明檔案便會在背景下載含有後門功能的PowerShell指令碼，此指令碼再從C2下載以Go語言開發的後門程式AblyGo，最終駭客透過AblyGo於受害電腦部署竊資軟體FadeStealer。</p> <p><a href="https://s4.itho.me/sites/default/files/images/FadeStealer_attack-procedure2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FadeStealer_attack-procedure2.png" style="width: 600px;" /></a></p> <p>研究人員指出，此竊資軟體執行的方式，是透過Internet Explorer（IE）瀏覽器的處理程序ieinstall.exe，以DLL側載的手法執行，側錄螢幕畫面、鍵盤輸入內容，並且針對連接電腦的手機與外接裝置檔案，進行竊取。</p> <p>罕見的是，此竊資軟體可藉由連結的手機進行錄音，而使得攻擊者可藉此監聽目標人士的對話內容。值得一提的是，AblyGo濫用名為Ably的API服務充當C2，使得相關流量可能被資安系統視為合法而放行。</p> <p><a href="https://www.bankinfosecurity.com/chinese-hackers-targeted-g7-summit-through-ms-office-flaw-a-22344"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客組織利用Office漏洞，鎖定參與日本廣島G7高峰會的國家而來</span></strong></a></p> <p>資安業者SentinelOne針對中國駭客組織近期的攻擊行動提出警告，駭客自今年5月，鎖定參與日本廣島G7高峰會的法國、英國、印度、新加坡、澳洲政府官員，假冒印尼的外交部或是經濟部發送釣魚郵件，內容包含了名為「全球食物安全韌性的廣島行動宣言」的RTF附件檔案，研究人員指出這些惡意郵件幾可亂真，內容也符合5月20日該會議宣布的主張。</p> <p>研究人員針對RTF檔案進行分析，發現此文件駭客是使用了攻擊套件RoyalRoad製作，當中運用微軟Office的記憶體中斷漏洞CVE-2017-11882（CVSS風險評分7.8），一旦成功觸發漏洞，攻擊者就有可能執行任意程式碼。</p> <p><a href="https://www.threatfabric.com/blogs/anatsa-hits-uk-and-dach-with-new-campaign"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國、歐洲銀行用戶遭安卓木馬Anatsa鎖定</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/anatsa_killchain.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/anatsa_killchain.jpeg" style="width: 300px; float: right;" /></a>資安業者ThreatFabric揭露安卓惡意程式Anatsa新一波的攻擊行動，鎖定美國、英國、德奧瑞（DACH）國家而來。駭客自2023年3月，在Google Play市集先上架看似無害的PDF檢視程式、辦公室軟體App，後續趁著軟體改版發布更新時，再將惡意程式碼植入App、散播到已安裝的用戶裝置，一旦安裝，惡意程式碼就會從GitHub下載偽裝成Adobe Illustrator附加元件的Anatsa酬載。</p> <p>舉例來說，當受害者執行這種「後期黑化」的銀行的App時，惡意程式就會在前臺顯示釣魚網頁，並透過側錄使用者鍵盤輸入的內容，收集銀行帳密資料、信用卡資料、付款資料等，進而盜走受害者的存款。研究人員表示，由於相關的交易是從使用者經常操作的設備執行，銀行的反詐欺系統難以察覺有異。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/chrome-114-update-patches-high-severity-vulnerabilities/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google修補Chrome 114高風險漏洞</span></strong></a></p> <p>Google於6月26日發布電腦版Chrome 114更新版本114.0.5735.198、114.0.5735.199，當中總共修補3個高風險漏洞CVE-2023-3420、CVE-2023-3421、CVE-2023-3422。根據獎金的多寡，最嚴重的是CVE-2023-3420，這是V8的類型混淆漏洞，該公司給予研究人員2萬美元獎勵。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.mirrormedia.mg/story/20230626inv002/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">光學鏡頭龍頭廠大立光工程師帶槍投靠先進光，纏訟11年判決出爐</span></span></strong></a></p> <p><a href="https://thehackernews.com/2023/06/japanese-cryptocurrency-exchange-falls.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">日本加密貨幣交易所遭到macOS後門程式JokerSpy鎖定</span></span></strong></a></p> <p><a href="https://www.crowdstrike.com/blog/falcon-complete-thwarts-vanguard-panda-tradecraft/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國駭客組織Volt Typhoon鎖定關鍵基礎設施發動攻擊</span></span></strong></a></p> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/flea-backdoor-microsoft-graph-apt15"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國駭客APT15散布惡意軟體Graphican</span></span></strong></a></p> <p><a href="https://twitter.com/MsftSecIntel/status/1671579358031486991"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客APT29發動大規模帳密盜竊攻擊</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157513">【6月27日】駭客散布植入木馬程式的瑪利歐電玩安裝軟體，目的將玩家電腦高性能的CPU與GPU運算資源用於挖礦</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157498">【6月26日】殭屍網路Mirai變種鎖定D-Link、Zyxel、Netgear網路設備而來</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157467">【6月21日】微軟Azure AD傳出存在OAuth漏洞，可被用於帳號挾持</a></strong></p> </div></div></div>
2023/6/28 17:12作者周峻佑https://www.ithome.com.tw/news/157532
金管會8月公布金融科技發展路徑圖2.0，也將揭露金融業運用AI的指引
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對金融業運用ChatGPT，目前國內尚未有相關規範和指引。金管會綜合規劃處副處長林羲聖昨日（6/27）在例行記者會上表示，未來將會先制定內部政策，再研議訂定運用AI指引或指導原則，預計納入將在八月發布的金融科技發展路徑圖2.0中。</p> <p>林羲聖說明，目前國際監理機關針對金融業使用AI的做法主要是訂定指引或原則，因此，金管會將參考這項作法，先制定內部政策，再研議訂定金融業運用AI的指引或指導原則。</p> <p>此外，金管會也針對金融機構運用ChatGPT情形進行說明。金管會表示，根據四月進行的問卷調查，目前尚未有金融機構正式導入ChatGPT，但其中有兩家正在規劃，八十家處評估階段。金管會綜合規劃處副處長林羲聖說明，金融機構評估應用ChatGPT的領域主要有三，分別為智能客服、內部行政作業與風險管理。</p> <p>林羲聖表示，今天三月，金管會曾發函銀行公會評估生成式AI對銀行產業可能衍生的風險，並要求研議納入「金融機構運用新興科技作業規範」或其他金融業自律規範。此外，F-ISAC也曾針對ChatGPT進行資安威脅分析，並在今年3月30日發布資安防護建議，包括落實漏洞管理機制和、與使用者宣導並實施教育訓練、落實系統安全修補、防堵軟體更新，禁止輸入個人或企業機敏資料，以及驗證此類工具產生的資料或程式碼正確與否。</p> <p>林羲聖提醒，未來進行金融檢查時，將注意金融機構的客戶資料保護相關控管機制。同時，金管會將與時俱進運用監理科技優化檢查作業。</p> <p>此外，今年三月，金管會宣布金融業委外辦法將有重大鬆綁，尤其放寬金融業上雲規定，昨日（6/27）金管會也在例行記者會上宣布，保險局、證期局也將參考銀行局委外作業辦法的修正方式，跟進放寬金融上雲。</p> </div></div></div>
2023/6/28 17:51作者李昀璇https://www.ithome.com.tw/news/157534
加密通訊網路EncroChat被破解3年後，已有逾6,000名嫌犯遭到逮捕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國與荷蘭在歐洲刑警組織Europol與歐洲司法組織Eurojust的協助下，於2020年摧毀及破解了受到犯罪集團青睞的加密網路EncroChat，在進一步分析該加密網路中的1.15億則通訊之後，<a href="https://www.europol.europa.eu/media-press/newsroom/news/dismantling-encrypted-criminal-encrochat-communications-leads-to-over-6-500-arrests-and-close-to-eur-900-million-seized" target="_blank">3年來</a>已於全球逮捕了6,658名嫌犯，扣押或凍結近9億歐元的不法所得。</p> <p>2016年成立的EncroChat為一通訊網路與服務供應商，該公司會改造Android手機與黑莓手機，在裝置上內建各種加密應用程式，從文字傳訊、語音通話到筆記程式等，且裝置上的GPS、攝影機及麥克風都被禁用，還設有緊急按鍵以刪除所有資料。每支EncroChat手機的售價為1,000歐元，6個月的服務合約為1,500歐元。</p> <p class="rtecenter"><img alt="" src="https://www.europol.europa.eu/cms/sites/default/files/styles/900x/public/images/encrochat.png.webp?itok=4jEaHbxZ" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_歐洲刑警組織</span></span></p> <p>法國憲兵隊在2017年發現犯罪集團經常利用EncroChat手機作為加密通訊工具，於是通知了Eurojust與荷蘭，並與荷蘭建立了共同調查小組，再由Europol擔任協商各國調查與逮捕行動的角色。法國在2020年取得了法官的同意，於設於境內的EncroChat伺服器上安裝了惡意程式，可攔截藉由伺服器送出的訊息並記錄用戶密碼，4月即開始監控EncroChat用戶的通訊。</p> <p>EncroChat一直到6月才發現該公司的伺服器遭到滲透，當月即宣布關閉營運，當時EncroChat約有6萬名用戶。</p> <p>這3年來各國警方與司法組織陸續分析了透過EncroChat平臺通訊的內容，於全球逮捕了6,658名嫌犯，其中有197名被列為高價值目標，扣押與凍結了近9億歐元，也查扣了數百公噸的各式毒品、逾900輛汽車、超過270筆的房地產、83艘船、40架飛機，以及大量的武器與彈藥。</p> <p class="rtecenter"><img alt="" src="https://www.europol.europa.eu/cms/sites/default/files/styles/800x/public/images/Website%20-EncroChat_Conf_Social_Media_1600x900%20-%20Numbers.jpg?itok=2g7o2Qbw" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_歐洲刑警組織</span></p> <p>在利用EncroChat的違法行動中，有接近35%屬於組織型犯罪，33.3%為毒品交易，14%為洗錢，謀殺占了11.46%，槍枝交易亦占了6.45%。</p> </div></div></div>
2023/6/28 17:48作者陳曉莉https://www.ithome.com.tw/news/157533
Databricks 13億美元收購生成性AI平臺業者MosaicML
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端資料Lakehouse基礎架構暨AI平臺商<a href="https://www.prnewswire.com/news-releases/databricks-signs-definitive-agreement-to-acquire-mosaicml-a-leading-generative-ai-platform-301863046.html" target="_blank">Databricks昨日宣布和生成性AI平臺MosaicML達成收購協議</a>。雙方將結合彼此強項協助企業打造及執行自有生成性AI模型。本交易金額近13億美元。</p> <p>創立於2021年的MosaicML最有名的是開源大型語言模型（LLM）MPT-30B及訓練演算法，可供企業下載自行開發訓練語言模型。其MPT-7B版本及最新的MPT-30B下載量達330萬次。AI新創公司包括AI2（Allen Institute for AI）、Generally Intelligent、Hippocratic AI、Replit及Scatter Labs用Mosaic ML開發多種生成性AI解決方案。</p> <p class="rtecenter"><img alt="" src="https://assets-global.website-files.com/61fd4eb76a8d78bc0676b47d/649299a07abed2b0fdeb591f_IMG_1587.jpg" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_MosaicML</span></span></p> <p><a href="https://techcrunch.com/2023/06/26/databricks-picks-up-mosaicml-an-openai-competitor-for-1-3b/" target="_blank">Techcrunch報導</a>，MosaicML最初募資金額僅6,400萬美金，最新一輪募得了2.2億美金。而這樁收購使其市值成長了6倍。</p> <p>Databricks指出，企業為了想兼顧使用AI模型及資料安全，往往選擇自行打造、管理及維護自有AI模型。透過Databricks和MosaicML的合併，將可結合Databricks Lakehouse平臺及MosaicML的技術滿足企業需求。根據MosaicML的數據，模型訓練經過自動最佳化，可較標準訓練方式加快2倍到7倍的訓練速度，若再加上幾近直線的資源擴充，數十億參數的模型訓練時間也可從幾天縮短到幾小時。因此結合Databricks及MosaicLM，將可使LLM訓練及使用成本由數百萬降至幾萬美元。</p> <p>雙方表示，結合Databricks整合資料與AI平臺及Mosaic生成性AI訓練功能的平臺，可承載全球最大型企業的資料量，其彈性也能符合各種AI應用場景的需求。</p> <p>在合併後，MosaicML團隊，包括機器學習及神經網路專家都將加入Databricks。而其平臺也會持續獲得Databricks的支援及擴充，長期而言也會整合到Databricks的AI平臺，供企業以自有資料打造和訓練獨有的模型。</p> <p>關於合併時程，雙方表示須依主管機關核准而定。</p> </div></div></div>
2023/6/28 12:27作者林妍溱https://www.ithome.com.tw/news/157525
Google傳放棄開發AR智慧眼鏡，改專注軟體平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>正當<a href="https://www.ithome.com.tw/news/157200" target="_blank">蘋果以混合實境（MR）頭戴式裝置Vision Pro被期待</a>再度帶動擴增實境（AR）應用風潮，<a href="https://www.businessinsider.com/google-ar-iris-augmented-reality-smart-glasses-2023-6?ref=uploadvr.com" target="_blank">《Insider》</a>報導，Google已終止名為Project Iris的AR智慧眼鏡的開發計畫，而改為專注開發底層軟體平臺，以授權硬體廠商生產。</p> <p>Google Glass計畫失敗數年後，Google在去年I/O大會上，<a href="https://www.ithome.com.tw/news/150876" target="_blank">以影片展示</a>了最新的AR眼鏡開發計畫。這款眼鏡號稱可以為用戶即時翻譯不同語言，並即時以字幕顯示在AR影像的疊加層上，協助跨語言人士交流，甚至支援手語翻譯。<a href="https://www.theverge.com/2022/7/19/23270219/google-ar-prototypes-test-public" target="_blank">《The Verge》去年7月報導</a>，Google計畫2022年7月公開測試這名為Project Iris的專案，還計畫2024年上市。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0628-google%20ar%20glasses%20at%202022-may.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></p> <p>或許能即時翻譯、轉錄文字的眼鏡好到不太真實。本周《Insider》引述消息人士報導，Project Iris已經取消；專案小組將縮減計畫野心，將專注開發「微型XR」平臺，並授權硬體廠商生產，一如Android手機生態體系的運作方式。消息人士指出，在新方向下，Google原先規畫的一些設計，如滑雪護目鏡般的智慧眼鏡，仍然會持續開發。</p> <p>Project Iris在去年與今年Google大幅裁員下被迫縮減組織和專案規模，而數名研發大將也離開，包括<a href="https://www.theverge.com/2023/2/8/23591447/google-clay-bavor-head-of-vr-ar-labs-ai-company-bret-taylor" target="_blank">VR/AR主管Clay Bavor今年初離開</a>，和Salesforce共同執行長Bret Taylor共創AI公司。</p> <p>改變策略的決定今年初就可見端倪。今年1月Google Android部門及高通主管<a href="https://www.cnet.com/tech/mobile/samsung-google-and-qualcomm-team-up-on-a-new-mixed-reality-platform/" target="_blank">現身三星Unpacked產品發表大會</a>，宣布三家大廠將合作下一代MR眼鏡，但是產品外觀、規格、推出時程等細節皆未說明。迄今Google MR/AR眼鏡的開發進展曖昧不明；Google高層在今年I/O大會上說，今年下半年會再說明和三星的合作進度。</p> <p>蘋果的Vision Pro雖然獲得媒體及早期試用者稱讚，以及產業界的期盼，但是3,499美元的定價，以及缺乏有力關鍵應用，加上今年景氣持續低迷，一般相信，蘋果能帶動多少AR/MR頭戴式裝置銷量有待觀察。</p> </div></div></div>
2023/6/28 12:41作者林妍溱https://www.ithome.com.tw/news/157526
ChatGPT Plus將可搜尋網際網路，但僅使用微軟Bing
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://help.openai.com/en/articles/6825453-chatgpt-release-notes" target="_blank">OpenAI昨（27）日宣布</a>付費版服務ChatGPT Plus的功能強化，將讓ChatGPT搜尋網際網路，不過僅使用微軟的Bing進行搜尋。</p> <p>OpenAI將為ChatGPT App新增數項功能。一為瀏覽（Browsing）功能，提供Plus版本用戶搜尋網際網路。這項功能會出現在App設定頁中的「新功能」中，用戶啟動後，再於模型切換器中選擇GPT-4，於下拉式選單中選擇「以Bing瀏覽」，即可以Bing搜尋網路上最新資訊。</p> <p>這是ChatGPT最新一項擴充功能。<a href="https://www.ithome.com.tw/news/156095" target="_blank">3月初ChatGPT支援外掛</a>，可使用第三方服務搜尋股價、賽事分數或氣象等即時資訊後，而後在5月下旬，<a href="https://www.ithome.com.tw/news/157018" target="_blank">ChatGPT首度以外掛形式</a>整合到Bing。這些擴充可讓ChatGPT的回應不受限於GPT-4模型訓練資料集。</p> <p>由於<a href="https://www.ithome.com.tw/news/155259" target="_blank">微軟今年1月對OpenAI投資數十億美元</a>，強化微軟產品和OpenAI，因此ChatGPT整合Bing可以理解。微軟5月初全面開放Bing Chat時表示從年初以來，Bing每日經常用戶超過1億人，Bing手機版App安裝量成長了4倍。</p> <p>只是，大部分用戶對ChatGPT使用Bing搜尋可能不會太滿意，畢竟根據<a href="https://gs.statcounter.com/search-engine-market-share/mobile/worldwide" target="_blank">市調公司GlobalStats的統計</a>，截至2023年5月，手機App的搜尋中，Google佔了96.12%，Bing只佔了0.51%，落在Yandex（0.96%）、Yahoo!（0.59%）及百度（0.58%）之後。</p> </div></div></div>
2023/6/28 11:34作者林妍溱https://www.ithome.com.tw/news/157524
Martech雙周報第37期：蘋果進一步限縮自家瀏覽器和App環境身分追蹤可能，進一步增加生態圈精準行銷難度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0611~0624</strong><strong style="color: rgb(0, 0, 255);">)</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#瀏覽器隱私</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#Fingerprinting</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#App隱私</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#第3方SDK隱私</span></strong></span></p> <p><strong>蘋果推出瀏覽器和App Store新隱私政策，進一步限制身分追蹤功能</strong></p> <p>今年WWDC，蘋果宣布了2項重大隱私權政策更新，分別針對瀏覽器和App環境祭出更多身分追蹤限制，進一步增加外部廣告主在蘋果生態圈進行精準行銷的難度。</p> <p>蘋果自家瀏覽器Safari現在有了隱私瀏覽模式，可以阻擋已知身分追蹤和Fingerprinting資源讀取，以防止網站利用可能侵犯隱私的方法跨域追蹤使用者身分。另外，Safari也會移除URL中具識別功能的追蹤指令，只留下去識別化追蹤。例如，若URL中有身分識別碼跟行銷活動識別碼兩個部分，Safari便會刪掉前者。</p> <p>App隱私方面，蘋果則於自家IDE Xcode中加入隱私清單功能，能讀取開發人員使用的第3方SDK中有哪些隱私相關操作，並整理成一份完整清單。另外，若App有呼叫可能會使用Fingerprinting資源的API，蘋果會強制要求開發者在隱私聲明中說明API用途。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#成效追蹤</span></span></strong></p> <p><strong>全美第二大連鎖超市Albertsons聯合全球廣告巨頭Omnicom、美國互動廣告協會（IAB）發表RMN廣告最佳實踐框架草案</strong></p> <p>零售媒體是近年崛起的一大廣告通路，不過目前沒有統一成效測量標準及建議最佳實踐方法，是行銷業界公認最大挑戰。<a href="https://www.ithome.com.tw/news/154958">儘管美國互動廣告協會（IAB）已經預訂在2024年推出統一標準</a>，但顯然業界已經等不下去了。</p> <p>近日，<a href="https://www.albertsonscompanies.com/newsroom/press-releases/news-details/2023/Albertsons-Media-Collective-Debuts-Preliminary-Standardization-Framework-to-Improve-Transparency-in-Retail-Media-and-Remove-Points-of-Friction-for-Advertisers/default.aspx">全美第二大連鎖超市Albertsons聯合全球廣告巨頭Omnicom和美國互動廣告協會（IAB）等行銷相關的業界代表，發表RMN廣告最佳實踐框架草案</a>，針對廣告規格、成效測量、第3方認證標準、RMN能力指標等4大領域列出建議標準。</p> <p>廣告規格方面，此框架建議RMN廣告規格在能遵照既有IAB廣告格式標準時，就直接準用。這包括展示型廣告、原生廣告、新媒體廣告、數位影像廣告及CTV廣告等。其他獨有格式，例如店面內廣告，再另作規範。</p> <p>成效測量方面，此框架沒有給出具體測量單位，而是建議應規範項目，及訂定正式單位時，應包含顆粒度、格式、歸因時間長度等資訊。成效測量分為2大類規範，分別是廣告遞送和互動（Delivery and Engagement）和轉換及銷售（Conversion and Sales）。前者包括曝光數、曝光頻率、點擊數、完整觀看程度等，後者則有ROAS、新客獲取、舊客活躍、直接銷售轉換等。</p> <p>第3方認證方面，則是建議可以由公正第3方單位提供背書的項目，例如品牌安全、詐騙防治、廣告能見度、與其他同類型廣告放在接近版位的情況等。</p> <p>能力指標方面，此框架列出RMN版位商應揭露的指標，包括精準投放能力、自助式投放能力、行銷活動管理能力、素材管理能力等。</p> <p>Albertsons表示，希望RMN相關的權益關係人加入討論，審視及壓力測試這些標準，以求盡快決議出最終標準並投入業界實務。（<a href="https://s29.q4cdn.com/239956855/files/doc_downloads/2023/FINAL_TheCollective_Whitepaper.pdf">見草案全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Topics API</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#精準行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#使用者隱私</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#網頁開發</span></span></strong></p> <p><strong>Google將大幅更新Topics API分眾類別，並提升嵌入Topics網站的讀取速度</strong></p> <p><a href="https://developer.chrome.com/blog/topics-enhancements/">Google要大幅更新瀏覽器隱私計畫Privacy Sandobx的分眾行銷功能Topics API分眾類別</a>，並提升瀏覽器使用者對自己身上的Topics標籤管控權，及提供開發者更不影響網站讀取速度的API呼叫方法。</p> <p>第1個改動是Topics分類調整。Google表示，原本分類中有些標籤與一般廣告會推銷的商品較無關，因此這次移除了160個行銷上低關聯性標籤，例如公民工程，並增加了280個廣告投放可能用到的標籤，如運動服飾。調整後，總Topics分類數有469個。</p> <p>這些分類會有不同從屬關係。過往，API呼叫者必須直接觀察到瀏覽器使用者有造訪過單一標籤相關的網站，才能得知他們對該標籤有興趣，現在則能向上追溯所有上層標籤。例如，靴子上層有購物、服飾、鞋襪等標籤。過往使用者若沒有直接造訪貼上購物或服飾標籤的網站，便不會知道他們身上有這些標籤。現在，只要使用者看過有靴子標籤的產品，就會同時被貼上購物、服飾、鞋襪標籤。這樣一來，廣告主便能更有效的推測使用者購物意圖。</p> <p>另一個更新是，使用者未來將能阻擋特定標籤，來隱藏不願見到的廣告，並使自己身上標籤更準確符合自己喜好。此功能預計明年初推出。</p> <p><a href="https://developer.chrome.com/docs/privacy-sandbox/topics/integration-guide/#call-the-topics-api">開發方面，過往Topics API要在網站中置入有Javascript程式碼的Cross-origin iframe來呼叫，但這有可能降低整體網頁內容讀取速度。近期Google則陸續支援於Header使用Fetch來呼叫Topics API，或直接在Header新增iframe來呼叫API。</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#去識別化追蹤</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#RMN</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#進站途徑分析</span></strong></span></p> <p><strong>OneAD推出產品訊號演算法，能根據廣告版面特性和進站途徑來優化廣告投放</strong></p> <p>廣告技術商OneAD推出名為ProductKey的演算法，可以根據商品特性、廣告版面環境及使用者旅途，來優化網站廣告精準投放。</p> <p>這個演算法的作法是，利用OneAD累積的商品文本字詞庫，來分析商品名稱、通路名稱、功能敘述、潛在使用需求，進而判斷哪些環境與品牌商品高度相關。評估完頁面內容相關度後，演算法會再利用參考使用者進入廣告版位頁面的前一頁，進一步推測使用者意圖。</p> <p>舉例來說，A頁面有許多與汽車相關的字詞，如 SUV、座椅、馬力、油電混合等，因此適合投放汽車廣告。不過，使用者有可能從美妝開箱文、汽車論壇，或新聞網頁點進來A頁面，不同進站途徑代表著不同程度的使用者興趣。</p> <p>此演算法會綜合評估A頁面與前一個頁面，當2個頁面與汽車的綜合關聯性夠高，才會在A頁面呈現出汽車廣告。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#廣告投放</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CTV</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN</span></span></strong></p> <p><strong>The Trade Desk推出新數位媒體購買平臺，用AI優化預算及預測成效，還會測量零售媒體及CTV成效</strong></p> <p>全球最大獨立DSP The Trade Desk推出新的<a href="https://www.thetradedesk.com/us/news/press-room/the-trade-desk-launches-kokai-a-new-media-buying-platform-that-brings-the-full-power-of-ai-to-digital-marketing">數位媒體廣告購買平臺Kokai</a>，主打用AI優化廣告投放多個環節，還延續TTD力推CTV（聯網電視，Connected Television）和零售媒體廣告的戰略，新增跨通路廣告投放測量功能。</p> <p>過往，TTD會用AI來分析廣告投放後的成效，來優化後續投放策略及預算。Kokai則會用AI來分析識別化和去識別化資料，並預測版面曝光成效，以求投放前便能優化行銷預算分配。</p> <p>此平臺也針對近年崛起的2種廣告通路新增了測量功能。其一是可以分析跨CTV和串流媒體廣告成效的功能，其二則是交叉分析線上線下零售通路的銷售金額與廣告主投入的行銷金額，來評估行銷成效。</p> <p>Kokai還推出了新操作介面，用類似於元素週期表的形式來呈現行銷不同階段的操作和資料，以期讓行銷人員更容易找到所需功能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PTT.png" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Google廣告</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#DSP</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#SSP</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Ad Exchange</span></span></strong></p> <p><strong>歐盟擬要求Google拆分廣告業務，以避免濫用數位廣告獨霸地位獲得不當營利</strong></p> <p>歐盟執委會認為Google在數位廣告生態系中地位過於強大，且涉嫌利用獨占地位來創造不公平競爭環境，因此建議拆分旗下不同廣告業務，以避免利益衝突。</p> <p>Google從DSP（需求方平臺）、SSP（供應方平臺）到Ad Exchange（雙方交易平臺）都有相關服務，包含2項廣告購買工具Google Ads與DV 360，一個出版商廣告伺服器DoubleClick For Publishers（DFP），以及廣告交易平臺AdX。歐盟懷疑，Google利用這種全面性優勢，暗地讓這些服務非法互惠，若最終執委會認定Google違反公平競爭規定，便會要求依據需求方和供應方拆分廣告業務。（<a href="http://ttps://ec.europa.eu/commission/presscorner/detail/en/ip_23_3207">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#LLM</span></span></strong><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;"> #B2B</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CRM</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong></p> <p><strong>Salesforce推出CRM AI雲服務，同時支援自有及第三方LLM</strong></p> <p>雲端CRM業者Salesforce推出AI雲服務，功能包含行銷端的客戶專屬電子郵件、直銷訊息或廣告撰寫，電商銷售端的個人化推薦生成及顧客購物助理，客服端的客服回答生成及客服紀錄摘要，以及開發端的寫程式、抓Bug等。</p> <p>此AI雲除了支援Saleforce自有的LLM Eistein GPT，還支援第三方LLM，包括AWS、Anthropic、Cohere及ChatGPT。Salesforce也和OpenAI合作聯合內容仲裁，結合使用Salesforce Einstein GPT信任層、OpenAI的企業API和其他安全工具，確保企業資料不會被儲存在Salesforce中，以期降低企業資料外洩疑慮。（<a href="https://www.ithome.com.tw/news/157315">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#UA</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#GA4</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#視覺化分析</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Looker Studio</span></span></strong></p> <p><strong>Google視覺化分析工具Looker Studio新支援上百項GA 4數據類型</strong></p> <p>隨著行銷分析工具Universal Analytics（UA）7月退場在即，<a href="https://support.google.com/looker-studio/answer/11521624?hl=en#jun-16-2023">Google視覺化分析工具Looker Studio新增了170項UA繼任者GA 4（Google Analytics 4）的支援數據</a>類型，讓企業能在此對網站和App流量等數據進行視覺化分析。</p> <p>Looker Studio是Google自家視覺化數據分析工具，由於GA4和UA的介面和資料呈現邏輯相當不同，有些企業會習慣導入Looker Studio來自行分析。</p> <p>UA自今年7月起會停止蒐集數據，明年7月起便不能再匯出數據。不過，根據網站分析工具BuiltWith，全球使用UA追蹤的網站仍有近3千萬家，而使用GA 4的只有1千萬家。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多MarTech動態：</span></strong></span></p> <p>1. <a href="https://www.businessinsider.com/snowflake-is-building-a-marketplace-for-retail-media-data-2023-6">數據技術商Snowflake要導入RMN用的數據市場，用資料無塵室來交換以確保資料隱私。</a></p> <p>資料來源：iThome整理，2022年6月</p> <p>責任編輯：郭又華</p> </div></div></div>
2023/6/28 10:26作者郭又華https://www.ithome.com.tw/news/157516
紅帽不再公開RHEL原始碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼紅帽（Red Hat）在2020年底決定停止CentOS Linux更新之後，現在Linux發行政策又有重大變更，紅帽上星期<a href="https://www.redhat.com/en/blog/furthering-evolution-centos-stream">宣布</a>不會再將RHEL的程式碼公開到git.centos.org，並且把開源社群的協作能量，轉移到上游的CentOS Stream。紅帽這項政策目的，在於打擊那些單純重新建置RHEL程式碼的Linux發行版。</p> <p>過去整個紅帽Linux生態從上游到下游，依序為Fedora、CentOS Stream、RHEL和CentOS Linux。CentOS最一開始是獨立的開源專案，CentOS Linux的主要來源，來自於RHEL的程式碼，因此又被視為免費的RHEL，紅帽在2014年買下CentOS讓其獨立運作，並在之後才又推出CentOS Stream。</p> <p>紅帽決定停止更新CentOS Linux，使得許多老用戶十分憤怒，認為紅帽摧毀了使用者的信任，而紅帽上周發布決定不再公開RHEL程式碼的消息，紅帽又再次受到網路輿論猛烈抨擊，不只被稱作邪惡，並且認為紅帽轉向閉源軟體。</p> <p>這項政策變動代表紅帽將不再維護git.centos.org上的儲存庫，CentOS Stream將會成為RHEL相關唯一的公開原始碼儲存庫，但這並不影響CentOS專案或是CentOS Stream原始碼的可用性，而紅帽的客戶和合作夥伴，仍可以依據訂閱協議獲取RHEL原始碼，因此對於紅帽客戶沒有太大的影響。</p> <p>由於CentOS Stream是RHEL的上游專案，因此紅帽對於RHEL的更新，也會率先更新到至CentOS Stream，使用者可以更早的看到新功能與更新，但這也意味著CentOS Stream中的程式碼較RHEL更不穩定，畢竟CentOS Stream還是RHEL開發過程的一個環節，需要穩定和成熟程式碼的使用者，便需要更小心地選擇程式碼版本。</p> <p>紅帽在最新的<a href="https://www.redhat.com/en/blog/red-hats-commitment-open-source-response-gitcentosorg-changes">部落格文章</a>，回應用戶對於紅帽不再公開RHEL原始碼的意見，重申紅帽採用開源開發模型的立場，他們會將所有更新程式碼貢獻給上游專案，並且遵守專案所使用包括GPL等開源授權規範。</p> <p>同時紅帽也指出對於此新政策的怒火，來自於想要免費取用RHEL資源，但是又不投入時間、努力與資源的使用者，他們認為用這種態度取用RHEL原始碼有失厚道，如果僅是打包原始碼轉售，沒有在其中增添價值，將無法使開源軟體永續發展。</p> <p>對於直接重建RHEL專案的發行版，紅帽直指這些作為沒有價值，就如同CentOS Linux一樣。這些下游專案皆是從公開的RHEL原始碼建置一個發行版，其使用者便不需要購買RHEL訂閱，就可以獲得RHEL穩定與安全性功能。</p> <p>當初紅帽便是在確認CentOS Linux這樣的RHEL重建版本沒有價值，才選擇關掉停止支援CentOS Linux之後，而諸如AlmaLinux和Rocky Linux這類號稱企業級的Linux發布版，其實也都是RHEL的重新建置版。紅帽停止公開RHEL原始碼也就相當於切斷這些專案的原始碼來源，重點打擊單純重建程式碼的專案。</p> </div></div></div>
2023/6/28 09:26作者李建興https://www.ithome.com.tw/news/157514
【資安日報】6月27日，駭客散布植入木馬程式的瑪利歐電玩安裝軟體，目的將玩家電腦高性能的CPU與GPU運算資源用於挖礦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客發動挖礦攻擊的事故近期出現數起，其共通點是主要針對執行Linux作業系統的裝置而來，但Windows電腦的使用者也不能掉以輕心。因為最近出現以提供電玩遊戲為誘餌的攻擊行動，駭客看上玩家電腦往往會是採用運算效能較佳的硬體，而打算將其電腦資源用於挖礦而牟利。</p> <p>圖像化資料分析解決方案Grafana最近修補的漏洞也相當值得留意，這項漏洞與Azure AD有關，一旦遭到利用，攻擊者就有可能透過OAuth身分驗證流程接管使用者的Azure AD帳號，使得開發團隊呼籲用戶要儘速採取緩解措施。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.cyble.com/2023/06/23/trojanized-super-mario-game-installer-spreads-supremebot-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客藉由提供超級瑪利歐遊戲的名義，利用受害電腦運算資源挖礦</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-6-Mario-game-installation-wizard.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-6-Mario-game-installation-wizard.jpg" style="width: 300px; float: right;" /></a>資安業者Cyble揭露以提供電玩遊戲超級瑪利歐（Super Mario）的挖礦攻擊行動，駭客重新打包名為Super Mario Forever的遊戲安裝程式，一旦使用者下載執行，在安裝遊戲的過程裡，電腦就會被植入挖礦程式XMR miner、挖礦用戶端程式SupremeBot，以及竊資軟體Umbral Stealer。</p> <p>研究人員指出這起挖礦攻擊並非首例，過往駭客就鎖定電腦玩家，假借提供Enlisted、Afterburner、FiveM Spoofer等遊戲相關的應用程式，其共通點就是看上遊戲玩家電腦具有優於一般使用者電腦的運算資源，用來進行挖礦牟利。</p> <p><a href="https://www.theregister.com/2023/06/22/japan_my_number_security_review/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">日本數位身分證傳出資料外洩，首相下令進行緊急調查</span></strong></a></p> <p>根據日本時報（Japan Times）報導，日本數位身分證My Number 系統傳出實體卡片寄送錯誤，有2起因姓名相同而被弄錯的情況。總務省表示這些卡片並未遭到濫用，甚至收到新式身分證的民眾也可能不知情，數位大臣河野太郎要求徹底清查此事。</p> <p>對此，日本首相岸田文雄於6月21日發表公開談話時，要求下令政府不只要緊急對My Number資料的正確性進行檢查，並於今年秋天調整相關法令，以及在現行醫療卡廢除過程的寬限期裡，消除民眾對數位身分證的疑慮。</p> <p>資料來源</p> <p>1. <a href="https://www.kantei.go.jp/jp/101_kishida/statement/2023/0621kaiken.html">https://www.kantei.go.jp/jp/101_kishida/statement/2023/0621kaiken.html</a><br /> 2. <a href="https://www.japantimes.co.jp/news/2023/06/20/national/my-number-card-delivery-error/">https://www.japantimes.co.jp/news/2023/06/20/national/my-number-card-delivery-error/</a><br /> 3. <a href="https://www.asahi.com/ajw/articles/14906469">https://www.asahi.com/ajw/articles/14906469</a></p> <p><a href="https://www.cisa.gov/news-events/alerts/2023/06/23/cisa-adds-five-known-exploited-vulnerabilities-catalog"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">兆勤NAS重大漏洞傳出攻擊行動</span></strong></a></p> <p>6月20日兆勤（Zyxel）針對旗下3款NAS設備修補CVE-2023-27992（CVSS風險評分9.8），很快就傳出被用於攻擊行動的情況。美國網路安全及基礎架構安全署（CISA）於23日發布公告，將上述漏洞列入已遭利用漏洞名單（KEV），要求美國聯邦政府及國營企業組織，需在7月14日修補完成。</p> <p>同日CISA也將另外4個漏洞也列入KEV，這些漏洞分別是存在於蘋果裝置的CVE-2023-32434、CVE-2034-32435、CVE-2023-32439，以及存在於VMware Tools的身分驗證繞過漏洞CVE-2023-20867。</p> <p><a href="https://www.bleepingcomputer.com/news/security/lastpass-users-furious-after-being-locked-out-due-to-mfa-resets/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">密碼管理服務LastPass雙因素驗證流程出錯，用戶遭到登出</span></strong></a></p> <p>根據資安新聞網站Bleeping Computer的報導，自5月上旬開始，密碼管理系統LastPass的部分用戶帳號遭到鎖定，使用者即使依照指示重置動態密碼產生器App（如Microsoft Authenticator、Google Authenticator），仍然無法存取他們的密碼保管庫。</p> <p>由於聯繫客服需要登入LastPass帳號，使用者一直看到要求重設動態密碼產生器App組態的錯誤訊息，因而陸續上網抱怨無法使用。然而，上述情況發生的原因，其實與LastPass在5月9日表明進行的系統升級有關，該公司近日也提出重新登入系統的解決方法。</p> <p><a href="https://www.bankinfosecurity.com/sec-alleges-solarwinds-cfo-ciso-violated-us-securities-laws-a-22367"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國證券交易委員會傳出打算對SolarWinds財務長、資安長提告，追究2020年軟體供應鏈攻擊事故的責任</span></strong></a></p> <p>根據新聞網站BankInfoSecurity的報導，美國證券交易委員會（SEC）打算對SolarWindws財務長Bart Kalsu、資安長Tim Brown提出告訴，指控在2020年供應鏈攻擊事件中，兩人的因應過程違反證交法。SolarWinds也在6月23日發布8-K表單，明確指出這兩位就是當局追究Orion網路監控系統事件被鎖定的「現任及前任的高階主管與員工」。</p> <p>若是上述的消息屬實，SEC持續採取相關的執法行動，那麼Bart Kalsu、Tim Brown，或其他有關人士有可能面臨罰款，或是面臨禁止擔任上市公司的高階主管及董事的處罰。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://grafana.com/blog/2023/06/22/grafana-security-release-for-cve-2023-3128/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">圖像化資料分析解決方案Grafana出現重大漏洞，若不修補可被用於挾持Azure AD帳號</span></strong></a></p> <p>6月22日圖像化資料分析解決方案Grafana發布資安通告，主要是針對重大漏洞CVE-2023-3128推出更新版本8.5.27、9.2.20、9.3.16、9.4.13、9.5.5、10.0.1版，開發團隊也對於雲端版本Grafana Cloud完成相關修補。</p> <p>這項漏洞起因是Grafana根據電子郵件信箱來驗證Azure AD帳號，一旦攻擊者加以利用，就能在採用Azure AD的OAuth身分驗證的Grafana環境當中，且在缺乏allowed_groups的組態設定下，進行身分驗證繞過並接管Azure AD的使用者帳號，CVSS風險評分為9.4，影響6.7.0版以上的Grafana，而對於暫時無法套用更新程式的用戶，他們也提出緩解措施。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://labs.jumpsec.com/advisory-idor-in-microsoft-teams-allows-for-external-tenants-to-introduce-malware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟Teams出現漏洞，恐被攻擊者以外部帳號傳送惡意軟體</span></span></strong></a></p> <p><a href="https://www.fortiguard.com/psirt/FG-IR-23-096"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Fortinet修補NAC系統的重大漏洞</span></span></strong></a></p> <p><a href="https://blog.aquasec.com/github-dataset-research-reveals-millions-potentially-vulnerable-to-repojacking"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">GitHub儲存庫有可能遭到相依性套件挾持攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/american-airlines-southwest-airlines-disclose-data-breaches-affecting-pilots/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國航空、西南航空資料外洩，起因是遭遇供應鏈攻擊</span></span></strong></a></p> <p><a href="https://media.defense.gov/2023/Jun/22/2003245723/-1/-1/0/CSI_BlackLotus_Mitigation_Guide.PDF"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國國家安全局推出防禦UEFI惡意軟體BlackLotus的指南</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157498">【6月26日】殭屍網路Mirai變種鎖定D-Link、Zyxel、Netgear網路設備而來</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157467">【6月21日】微軟Azure AD傳出存在OAuth漏洞，可被用於帳號挾持</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157445">【6月20日】竊資軟體Mystic針對瀏覽器、加密貨幣錢包、密碼管理器等應用程式而來</a></strong></p> </div></div></div>
2023/6/27 18:03作者周峻佑https://www.ithome.com.tw/news/157513
臺北市資訊局揭露資安部署策略：資安是智慧城市能否成功數位轉型的關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣許多直轄市努力打造智慧城市，臺北市很早就積極規畫、推動，已獲得不錯的成果，舉世聞名。</p> <p>根據瑞士洛桑管理學院（IMD）與新加坡科技設計大學（SUTD）合作的調查，2021年10月公布2021智慧城市指數（Smart City Index），在全球118座城市當中，臺北市全球排名第四，亞洲排名第二，僅次於新加坡、瑞士的蘇黎士、挪威的奧斯陸。</p> <p>臺北市資訊局局長趙式隆表示，打造智慧城市非一朝一夕的任務，需要一棒接一棒地傳承，他也觀察到，智慧城市的發展都會面臨數位轉型階段，過程中推動的數位轉型就是；讓臺北市政府把許多線下的服務都轉成線上服務，這些線上服務的運作仰賴資安的健全，因此，「做好資安」就成為數位轉型能否成功的重要關鍵。</p> <h2><strong>智慧城市的數位轉型三階段</strong></h2> <p>臺北市政府為了推動智慧城市的數位轉型，成立專責的臺北智慧城市推動小組，在智慧政府、智慧安防、智慧建築、智慧交通、智慧教育、智慧健康、智慧環境，以及智慧經濟等八大領域，打造智慧城市的內涵，並成立臺北智慧城市的專案管理辦公室（TPMO），由資訊局、警察局、都發局、交通局、教育局、衛生局、環保局、產業局擔任八大領域的主政單位。</p> <p>趙式隆表示，這個專責小組主要任務就是：盤點八大領域發展現況，前瞻未來願景並共同形塑「臺北市智慧城市未來規劃藍圖」；並且積極推動智慧城市八大領域由上而下的政策，透過由下而上的方案相互串聯；推動「臺北市數據中樞整合計畫」，共同定義「大數據中心」應用情境與數據分析模型。</p> <p>他認為，這個推動小組最重要的目的就是，把相關的新應用，真正帶進政府部門裡面，可以和政府部門講相同的語言，進一步消弭與公務機關的隔閡。</p> <p>所以，臺北市推動智慧城市的數位轉型，也分成三個階段。</p> <p>第一階段概念驗證（PoC），即「臺北市智慧城市產業場域實驗試辦計畫」，所有想法和創意可由上而下（Top-down）也可由下而上（Bottom-up）產生，一旦完成概念驗證階段的專案，可參加智慧城市小組TPMO年度創新獎活動，將擇優給予獎勵。</p> <p>接下來就是第二階段：前導（Pilot），臺北市政府會先編列預算、做小規模的採購，藉由透過小規模驗證，確認未來擴大的商業可行性，同時也會在這階段進行成本效益評估。</p> <p>第三階段就是擴大（Scale-up），會編列正式預算交由局處進行採購，或由產業自負盈虧的商業模式，這時候，相關計畫會視為成熟方案，將可以進行大規模推動。</p> <p>趙式隆表示，有些公司對於臺北智慧城市的未來有些不同的想像，資訊局就會扮演翻譯者的角色，把產業的創意和想法轉譯成局處單位聽得懂的語言，協助局處單位可以理解這其中的奧妙之處，資訊局就可以作為整合廠商和政府局處單位的橋樑。</p> <p>他舉例，像臺北市政府為了實現智慧停車格，就會先在市府附近找一個約有五十個停車位的停車場進行測試，類似沙盒（Sandbox）做法，在測試過程中，找出窒礙難行之處，確定問題都能解決後，之後就可以擴大辦理，局處單位也能編列預算進行採購。</p> <p>趙式隆也認為，智慧城市的數位轉型，應該是指：政府要如何適應未來的智慧網路，而且，所謂的進步，絕對不是一個人走百步，而是一百個人各走一步，這才是真正的進步。</p> <p>他對數位轉型的理念是「科技體會、無限臺北」，透過科技的方式，降低年齡、職業、經濟和各種因素造成的數位落差，並做到連結每一位臺北市民、一起創造無限的可能。</p> <p>例如，向市政府申請文件，以往需親自前往機關申請，現在民眾可坐在電腦前完成申請。但剛開始數位化時，必須掃描證件、申請許可等，若是幫多人申請時，效率可能比臨櫃還慢，但等到後端系統整合完畢後，如何進行網路認證，以及中間需要掃描證件的程序該如何簡化，兼顧便利與安全，則需要進一步針對流程進行調整和改善。</p> <p>趙式隆認為，臺北市政府已經完成數位轉型的第一步，形式上已經做到數位化，但接下來，怎麼做到流程上真正做到便民，又同時可以確認民眾身分，這才是真正的數位轉型。</p> <h2><strong>北市府成立三大資安組織，落實資安治理</strong></h2> <p>趙式隆強調，臺北市是成功的智慧城市，不過，面對數位轉型的關鍵：「資安」，卻是路遙知馬力的任務。</p> <p>他表示，臺北市政府在前兩年，就已經拿到ISO 27701資安認證，以及ISO 27701的個資和隱私保護認證，但只有認證並不夠，還必須從其他角度完善資安。</p> <p>他認為，市府對於資安的重視，可以反映在臺北市政府資訊安全治理理念，可以從四個面向來看，分別是：管理關注、可視性管理、曝險最小化，以及是否可量測。</p> <p>以管理關注來看，臺北市主要成立了三個資安管理單位，分別是：臺北市政府資訊安全委員會、臺北市政府資安事件通報及應變組織，以及臺北市政府資通安全稽核委員會，透過成立組織、制定並執行相關的資安任務。</p> <p>若以「臺北市政府資訊安全委員會」為例，是由副市長李四川擔任府資安長，資訊局長則擔任府副資安長，各個一級機關的資安長為當然委員，每半年召開府級資安會議。</p> <p>他表示，從2020這一年開始，每年辦兩場臺北市政府的資安長會議，管考各項資安應辦與配合事項，並請發生重大資安事件機關進行專案報告。</p> <p>另外，負責處理和通報相關資安事件的「臺北市政府資安事件通報及應變組織」，依據行政院資通安全處「資通安全事件通報及應變辦法」辦理。</p> <p>趙式隆指出，三級以上的資安事件都必須通報給府資安長（副市長）知道，也要同時告知臺北市其他資安主管機關。</p> <p>基本上，北市府的資安主管機關負責資安事件通報審核，以及協助事件處理，資訊局資安事件應變小組（IR Team）也進行數位鑑識，以及改善輔導工作；至於北市府各機關的資安長，則會針對三級以上的資安事件召開會議。</p> <p>但趙式隆強調，臺北市各級學校、事業機構等並不屬於北市府資通安全事件通報體系。事實上，各級學校的通報單位是教育部，臺北捷運公司通報單位是交通部，動產質借處會通報內政部，至於花卉、農產、漁產、畜產公司，則通報到農委會。</p> <p>第三個重要的資安組織就是「臺北市政府資通安全稽核委員會」，依據「臺北市政府資通安全管理規定」、「臺北市政府及所屬各機關辦理資訊使用管理稽核作業規定」辦理。</p> <p>他表示，稽核小組由政風處、資訊局、外部資安與技術顧問（主機安全與系統安全）、各機關稽核委員組成，負責稽核一級機關；一級機關負責稽核二級機關；但不論一級或二級機關本身，也都需要對所屬機關進行內稽，而內稽的次數，依據資安等級規定辦理，B級機關一年內稽核一次，C級機關兩年內稽核一次；另外，每半年都需要辦理審查會議，審查各機關缺失矯正情形。</p> <h2><strong>從四個面向落實資安可視性管理</strong></h2> <p>趙式隆認為，可視性管理對資安而言，是非常重要的事情，可分成四個面向來討論，分別是：紅藍隊架構、資安向上集中、服務監控儀表板，以及弱點威脅管考平臺。</p> <p>他提到，會出現所謂的紅藍隊架構，最主要是因為，資安做得好不好，往往不是自己說了算，因為球員兼裁判無法獲得公信的情況下，就必須透過外部的第三方驗證，證明臺北市政府的資安做得好不好，例如透過模擬攻擊的方式，看看臺北市政府能防禦到什麼程度，都是可作為參考的指標。</p> <p>趙式隆說，如果要驗證紅隊演練的成果，可以透過第三方驗證，或是獨立的驗證和確認（IV&V）來了解。</p> <p>若要驗證藍隊的成效，他認為，除了從制度輔導來看，也可以從端點、網路安全防護進行檢視。</p> <p>成立資安威脅監控與分析雙中心，成立資安事件調查應變（IR）小組，成立資安威脅情資（CTI）小組，打造威脅與弱點管理平臺，以及符合其他資安法遵的合規工作，都可以驗證藍隊的成果。</p> <p>為了讓資安資源可以更有效利用，政府機關都走向「資安向上集中」，趙式隆坦言，大部分的機關單位都使用電腦，卻不是所有機關單位都具備資安能力，畢竟只要連網就有資安疑慮和風險。</p> <p>面對多數不知道該如何因應的機關單位時，就把資安風險集中到特別有能力處理的單位來負責，而這就是所謂的資安向上集中。</p> <p>關於資安向上集中的運用面向，他建議，可參考美國NIST的網路安全框架（CSF），當中已涵蓋：識別（Identity）、保護（Protect）、偵測（Detect）、回應（Response），以及復原（Recover）等五個構面，針對裝置（Device）、應用程式（Applications）、網路（Networks）、資料（Data）及使用者（User）五個層次，逐一對照出所需要的規畫和設計，可以做到資安向上集中的可視化管理。</p> <p>關於可視性的呈現，最理想的狀況就是能有一套功能完善的儀表板，專門監控各項資安服務的執行狀況。</p> <p>趙式隆表示，臺北市政府本身就有服務監控儀表板，像是主機部分，就能夠監控處理器、記憶體、磁區，以及網路服務等情況，並涵蓋虛擬機（VM）、資料庫、網路儲存硬碟（NAS）備份，或是異地備援的情況。</p> <p>這當中，也能同時監控登入（Login）、設定（Config）是否有異動，並且監控防火牆、目錄服務伺服器（AD）、網域伺服器（DNS）異常，並且掌握主機安全基準、更新、防毒軟體和端點偵測回應（EDR）產品是否資安合規。</p> <p>同時，這個儀表板也能夠觀察並分析報表、歷史資料、警訊等資料，以及監看SSL加密憑證是否有效、TLS網路傳輸使用哪一個版本等，許多資安相關的狀態，都能夠在這個服務監控平臺進行全面的監控。</p> <p>趙式隆說，臺北市政府目前已設立弱點威脅管考平臺，這也是可視化管理重點之一，而且，此平臺最重要的任務是，能夠精確掌握每個資安事件來源脈絡。</p> <p>例如，我們作為資產的保管人，必須先盤點有哪些資產，包括IP位址、URL和虛擬資產等，而這些資產又面臨哪些弱點與威脅。</p> <p>不論主機或是網站的弱點、源碼弱點、威脅警報、資安事件處置、情資因應等，透過這個平臺，可以做到管制時效，以及處理是否落實的審查，並將這樣的處理歷程做成報表，進行可視化的管理。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%84%A6%E9%BB%9E-%E5%BD%A5%E6%A3%BB-%E5%8F%B0%E5%8C%97%E5%B8%82%E8%B6%99%E5%BC%8F%E9%9A%86-%E5%9C%963.png" /></p> <blockquote><p>臺北市資訊局採用美國NIST網路安全框架(CSF)，並從識別、保護、偵測、回應和復原等五個構面，搭配裝置、應用程式、網路、資料和使用者去填補所需要的資安作為。圖片來源／臺北市資訊局</p> </blockquote> <h2><strong>曝險最小化就是限縮風險在最小範圍內</strong></h2> <p>「要做好資安，就必須要盡可能做到曝險最小化，透過各式各樣的管理，讓風險的發生可限縮在最小的範圍裡面，」趙式隆說，要做到曝險最小化，可以從四個範疇下手，分別是：特權分層架構、防火牆風險審查、預設安全，以及持續交付管理。</p> <p>若以特權分層架構來看，大家都知道權限管理是非常重要的事情，如果每一個使用者都賦予最高的權限，例如，對於技術能力最差的人，如果都給予最高的權限的話，因為他可能不太知道怎麼樣保護這個系統，就會是一個漏洞。</p> <p>因此，臺北市政府認真研究每個使用者應具備何種權限，而且，考量關鍵在於，這個人是否具備足夠相對應的能力，去搭配應該有的權限。換句話說，當使用者在這個權限裡面發生風險的時候，要有能力保護他自己和保護這個系統。</p> <p>另外，就是要進行防火牆風險審查。趙式隆表示，防火牆是人跟機器，以及軟硬體協作的共同成果，當有人希望能夠開通更多防火牆權限的時候，都必須要認真檢視權限和能力是否相符，相關的申請和會談都必須按照一定的程序進行，確認每一次的申請，都是在最安全的範圍下，且使用者符合一定能力要求才行。</p> <p>他強調，對於每一份防火牆申請單的核准，負責人員均應審查，確認其是否符合臺北市政府訂定的防火牆連線政策，如有違反或例外管理的情形，則需由資安單位進行審查與提供風控佐證。趙式隆說：「這樣的作法，不只是保障臺北市政府，也是保障臺北市的基礎建設。」</p> <p>另外，預設安全（Secure by Default）也很重要，他指出，市府裡面絕大部分的軟體或系統都是市府的軟體建設，但每一個系統廠商的資安能力不盡相同，所採用的資安認定標準可能也和市府不同。</p> <p>他說，如果直接使用整套系統，可能會遇到相容性不足的情況。因此，市府在採購與使用相關的軟體或系統時，不僅要確認這些是可用的，還必須與市府對資安的要求一致。</p> <p>例如，每月要檢核出廠的VM版本，是否符合最新資安要求與安裝最新版安控軟體，並確保各機關使用資訊局機房的VM都符合北市府的資安要求，舉例，像是VM範本、GCB檢核、版本與修補檢核、安控檢核、弱點檢核，以及矯正與持續更新檢核基準等，都必須符合市府的資安規定。</p> <p>至於持續交付管理的部份，趙式隆指出，大家會擔心，當我們建立一個新系統，後面接手的人是否可以維持該系統的部署和後續的維運，除了要符合規範，也必須對中間的各種版本做好管控，尤其，版本管控和資安也有直接相關。</p> <p>他表示，北市府在開發與軟體交付上版做到職權分離，採用DevOps平臺統一管理源碼，要做到自動部署與流程審核。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%84%A6%E9%BB%9E-%E5%BD%A5%E6%A3%BB-%E5%8F%B0%E5%8C%97%E5%B8%82%E8%B6%99%E5%BC%8F%E9%9A%86-%E5%9C%962.png" /></p> <blockquote><p>臺北市政府為了做到曝險最小化，針對持續交付管理的部份，不僅在開發測試環境落實版本控管，並採用DevOps平臺統一管理源碼、自動部署與流程的審核。圖片來源／臺北市資訊局</p> </blockquote> <h2><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%84%A6%E9%BB%9E-%E5%BD%A5%E6%A3%BB-%E5%8F%B0%E5%8C%97%E5%B8%82%E8%B6%99%E5%BC%8F%E9%9A%86-%E5%9C%964.png" style="width: 824px; height: 530px;" /></h2> <blockquote><p>臺北市資訊局局長趙式隆表示，針對每一次的防火牆權限申請，不僅要符合臺北市連線政策外，申請者也必須同時具備相對應的能力才行。圖片來源／臺北市資訊局</p> </blockquote> <h2><strong>讓日常業務流程符合資安量測標準</strong></h2> <p>趙式隆坦言，要如何做到可量測，的確是很困難的事情，大致可以從網站可靠性工程監控，以及如何重建資安量測指標來看。</p> <p>他以網站可靠性工程監控來說，希望可以知道資安服務做得好不好，在工程上，能有一個公認的標準或理論依據來評估，而且，當攻擊手段持續進化的同時，防禦手法也必須跟著進步，同樣地，資安的量測指標也必須跟著時代一起進步才行。</p> <p>他表示，臺北市政府也為此建立一個資安量測指標，包括：量測項目、檢核標的、工作細項、量測工具、量測方式、正常目標值、服務水準、時間區間、偵測頻率、佐證資料、報告格式，以及其他要求等項目。</p> <p>如果我們要知道VM運作是否正常，可以從幾個資安量測指標來看，像是在工作細項的部分，就要知道VM總共配置的儲存空間是否高於安全值；如果是從量測的方式來檢視，可以看看所需的儲存空間是否大於20％。</p> <p>若從偵測頻率來看，就要看是否做到每10分鐘偵測一次；若不是固定的量測項目，也可以從其他的資安量測標準來看VM運作是否正常。</p> <p>例如：當容量使用超過60％時，資訊局就要提出擴充規畫；在已使用容量達到75％時，就要進行擴充系統容量，以維持可用容量永遠高於20％。</p> <p>趙式隆認為，臺北市政府資訊安全治理需要持續的精進，而資安更是臺北市智慧城市朝向數位轉型過程中，必須要關注的核心。</p> </div></div></div>
2023/6/27 18:21作者黃彥棻https://www.ithome.com.tw/news/157515
金融3業第3季同步上雲規範大鬆綁，保險局和證期局將跟進銀行局，同步放寬委外作業規範
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會今天（6/27）宣布，保險局、證期局也將參考銀行局委外作業辦法的修正方式，跟進放寬金融上雲，預計同步都在今年第3季一起公布。</p> <p>銀行局在<a href="https://www.ithome.com.tw/news/155815">今年3月時宣布</a>，將在今年修正2019年的「金融機構作業委託他人處理內部作業制度及程序辦法」，也就是銀行委外作業辦法，尤其要放寬銀行上雲的規範。</p> <p>銀行局當時揭露，這次修正重點包括了，建立以風險為基礎的委外管理架構，強化金融機構對緊急事件的應變能力，簡化委外申請程序及文件，採風險為本的監理，來調整跨境委外及雲端委外申請範圍，建立完整委外作業申報機制，也會同步強化主管機關的監理措施。</p> <p>當時最受矚目的是鬆綁上雲委外的申請規定，例如，以後銀行業者使用境內雲端服務，處理一般性事務或辦公應用，不需要事先申請核准，另外首例經過金管會核定，其他金融機構也可以跟著使用，不用申請。這次修正也更明確修正了跨境委外的應申請範圍，只有重大性消費金融業務資訊系統委託到境外，應需要事先申請。</p> <p>銀行局副局長童政彰在今天金管會例行記者會中表示，銀行局在今年3月完成修正法規的預告，也在4月7日舉辦公聽會蒐集各界意見，預計在第三季發布實施。</p> <p>不只銀行局更明確宣布上雲鬆綁時程，保險局和證期局在例行記者會中也宣布，將參考銀行的委外作業規範鬆綁，採取一致的委外鬆綁策略，像是上雲申請規範，正在加快相關作業，預計在第三季銀行局同時實施。</p> <p>不過，金管會主秘蔡福隆提醒，由於金融三業的產業特性不同，對上雲規範仍會參考各產業特性而有所差異，例如對銀行重大性消費金融業務資訊系統的境外委外規範，就不一定能完全適用到其他兩個產業，屆時仍會有所調整。</p> </div></div></div>
2023/6/27 17:51作者王宏仁https://www.ithome.com.tw/news/157511
資安菜鳥如何選ISC2證照？20年老手建議：第一張直接考取CISSP證照是關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「當脫下所有裝備，公司頭銜和名片拿掉，你剩下的是肉身還是知識？」ISC2台北分會會員主席、登豐數位科技總經理黃建笙強調，身體學來的知識搶不走，即便是公司老闆，每年他仍會考取新的證照，累積了20年的考照經驗。他鼓勵資安人員應持續精進，才不會被時代洪流淘汰。</p> <p>在資安界證照中，CISSP不只是標竿，也是國際公認具權威性的資安證照，政府近年也相當重視這項證照。目前全球超過15萬人通過CISSP認證，但在台灣卻僅約500位資安人員通過認證。隨著，CISSP認證台灣逐漸受到重視，2020年成立了ISC2台北分會，去年底更組成台灣國際認證資安專家協會的本土協會。</p> <p>黃建笙指出，ISC2認證架構有四等級，分為入門、專業、專精和菁英等級，包含入門的CC證照、專業的SSCP證照，及難度較高的專精等級CISSP證照，最後的菁英等級則是CISSP的專項加強認證。其中，CC證照是去年才剛推出，全球就有近一萬五千人通過，而SSCP僅約七千五百人通過。</p> <p>黃建笙建議，已經取得CC證照的資安人員，可以考慮SSCP，ISC2正積極推廣入門認證，同屬初階程度的SSCP勢必會獲得各地ISC分會重視。</p> <blockquote><p dir="ltr" style="line-height:1.7999999999999998;margin-top:0pt;margin-bottom:0pt;"><span><span style="font-size: 11pt; font-family: Arial; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; vertical-align: baseline; white-space: pre-wrap;"><img alt="" src="https://s4.itho.me/sites/default/files/images/ISC2%E8%AD%89%E7%85%A71.png" style="width: 512px;" /></span></span></p> <p dir="ltr" style="line-height:1.7999999999999998;margin-top:0pt;margin-bottom:0pt;"><span style="color:#696969;"><span id="docs-internal-guid-13fc3d98-7fff-0c59-faf8-06494a9c1ad1"><span style="font-size: 11pt; font-family: Arial; background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; vertical-align: baseline; white-space: pre-wrap;">目前ISC2認證架構</span><span style="font-size: 12pt; font-family: Arial; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; vertical-align: baseline; white-space: pre-wrap;">。資料來源：</span><span style="font-size: 11pt; font-family: Arial; background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; vertical-align: baseline; white-space: pre-wrap;">黃建笙</span><span style="font-size: 12pt; font-family: Arial; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; vertical-align: baseline; white-space: pre-wrap;">。</span></span></span></p> </blockquote> <p>但一張ISC2認證的資安人員，黃建笙反而建議，可以直接挑戰CISSP，「因為你會在短時間內，馬上洗腦成功。」他認為，備考CISSP期間，可以幫助資安人員接觸從未研究過的資安知識，並在考試期限內快速吸收。他以二十年考照經驗指出，考取CISSP證照，等同取得業界廣泛的專業認證。</p> <p>可是，ISC2證照設有專業工作經驗的資格限制，如SSCP為一年，CISSP及其專項認證則有五年以上的工作經驗門檻，這個門檻成為許多資安菜鳥卻步的原因，黃建笙提出解決辦法。他指出，年限不符的資安人員可先報考ISC2候選人，待六年內累積足夠經驗，同樣能取得正式證照。</p> <p>除了CISSP，黃建笙認為OSCP、CPENT和PenTest+同樣可被視為廣泛的專業認證，若要進一步取得專精的專業認證，可以選擇考取OSCE、ISSxP或GAIC證照。而相對專業認證，黃建笙認為CEH、CC和Security+證照屬基礎認證，僅能等同獲得進入業界的身分，較難以被視為加薪條件。</p> <blockquote><p dir="ltr" style="line-height:1.7999999999999998;margin-top:0pt;margin-bottom:0pt;"><span><span style="font-size: 11pt; font-family: Arial; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; vertical-align: baseline; white-space: pre-wrap;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E8%AD%89%E7%85%A7%E8%80%83%E7%85%A7%E5%BB%BA%E8%AD%B0.png" style="width: 512px;" /></span></span></p> <p dir="ltr" style="line-height:1.7999999999999998;margin-top:0pt;margin-bottom:0pt;"><span style="color:#696969;"><span style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-size: 12pt; font-family: Arial; vertical-align: baseline; white-space: pre-wrap;">資料來源：</span><span style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; background-color: transparent; font-size: 11pt; font-family: Arial; vertical-align: baseline; white-space: pre-wrap;">黃建笙</span><span style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-size: 12pt; font-family: Arial; vertical-align: baseline; white-space: pre-wrap;">。</span></span></p> </blockquote> <p dir="ltr" style="line-height:1.7999999999999998;margin-top:0pt;margin-bottom:0pt;">黃建笙提醒，目前ISC2認證有臺北和高雄考場，應試除須備妥身份證件，也須持有八個月以上效期之護照。此外，目前ISC2官網也提供免費的CC課程，不論資格皆可自由索取。</p> <div> </div> <div> </div> <div> </div> </div></div></div>
2023/6/27 14:22作者李昀璇https://www.ithome.com.tw/news/157508
合勤NAS重大安全漏洞已有濫用情形
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對上周合勤網路附加儲存（network attached storage，NAS）系統安全漏洞，<a href="https://www.cisa.gov/news-events/alerts/2023/06/23/cisa-adds-five-known-exploited-vulnerabilities-catalog" target="_blank">美國網路安全及基礎架構安全署（CISA）上周五（6/23）公告</a>，該漏洞已發生濫用情形，<a href="https://www.cisa.gov/news-events/directives/binding-operational-directive-22-01" target="_blank">要求美國聯邦政府及國營企業組織，需在7月14日以前修補完成</a>。</p> <p>遭到濫用的CVE-2023-27992漏洞位於合勤部分網路附加儲存（Network-Attached Storage，NAS）系統，屬於授權前指令注入漏洞。這個漏洞可讓未經驗證的攻擊者傳送惡意HTTP呼叫，而在NAS裝置OS上遠端執行指令。漏洞風險值達9.8。</p> <p>受到CVE-2023-27992影響的產品包括NAS326、NAS540及NAS542。<a href="https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-pre-authentication-command-injection-vulnerability-in-nas-products" target="_blank">合勤已經釋出更新版韌體解決問題</a>。</p> <p>CVE-2023-27992名列入<a href="https://www.cisa.gov/news-events/alerts/2023/06/23/cisa-adds-five-known-exploited-vulnerabilities-catalog" target="_blank">CISA上周五（6/23）發布的5項已知遭濫用漏洞清單</a>中<span style="color:#696969;">（註）</span>。除了Zyxel NAS系統漏洞外，另外4項漏洞包括影響VMware的、以及<a href="https://www.ithome.com.tw/news/157482" target="_blank">蘋果3項漏洞</a>：CVE-2023-32434、CVE-2034-32435及CVE-2023-32439，其中CVE-2034-32435及CVE-2023-32439遭到卡巴斯基發現的<a href="https://www.ithome.com.tw/news/157482" target="_blank">Operation Triangulation</a>濫用。影響iOS/iPad 15.7以前版本，以及macOS Ventura。</p> <p><a href="https://nvd.nist.gov/vuln/detail/CVE-2023-32434" target="_blank">CVE-2023-32434</a>則為可允許攻擊者以核心權限執行任意程式碼的整數溢位漏洞，影響macOS Big Sur/Monterey/Ventura、watchOS及iOS/iPadOS 15.7以前版本，CVSS風險值不明。蘋果已釋出iOS/ iPadOS 16.5.1、iOS/ iPadOS 15.7.7、macOS Big Sur 11.7.8、macOS Monterey 12.6.7、macOS Ventura 13.4.1及watchOS 8.8.1及9.5.2修補。</p> <p><a href="https://www.vmware.com/security/advisories/VMSA-2023-0013.html" target="_blank">CVE-2023-20867</a>則為驗證繞過漏洞，影響vSphere上guestOS的效能管理工具VMWare Tools，造成它無法驗證連線，使攻擊者得以危及guest VM的安全及資訊完整性，CVSS風險值3.9。本漏洞也在本月獲得修補。</p> <p><span style="font-size:14px;"><span style="color:#696969;">註：</span></span><span style="color: rgb(105, 105, 105); font-size: 14px;">截至本文發布前，</span><span style="font-size:14px;"><span style="color:#696969;"><a href="http://www.cisa.gov/news-events/alerts/2023/06/23/cisa-adds-five-known-exploited-vulnerabilities-catalog" target="_blank">CISA於6/23發布的已知遭利用漏洞清單公告</a>網頁，將CVE-2023-27992漏洞說明，誤植為Mozilla Firefox漏洞，正確應為合勤Zyxel NAS系統漏洞。</span></span></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0627-zyxel%E7%A2%BA%E8%AA%8D-2.png" style="width: 600px;" /></span></p> </div></div></div>
2023/6/27 14:04作者林妍溱https://www.ithome.com.tw/news/157507
LastPass MFA驗證搞烏龍，害用戶被登出無法使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>密碼管理服務商LastPass 5月間實施的多因素驗證（MFA）措施出錯，讓多名用戶遭登出後無法再登入。</p> <p>事情源於LastPass 5月初的MFA安全設定。<a href="https://twitter.com/LastPassHelp/status/1655716360574337024" target="_blank">該公司5月9日通知用戶將進行安全升級</a>，已經先強制登出用戶。用戶必須重新登入LastPass、並重設想要接收MFA的App（例如LastPass Authenticator、Microsoft Authenticator、Google Authenticator等等）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/lastpass%20login.png" style="width: 475px;" /><img alt="" src="https://lastpass-be-prod.zoominsoftware.io/bundle/lastpass/page/LastPass/Images/reset_authenticator_pairing.png?token=ZlFCU2tWTE1UcXpzQlZpdGdnOVpyK2pnLys3VzU4Q0p4OFV2UlBzc29kZE1tQ2RGV0RxTmVqQjRoZWFSUVBSckZNaS9FRTA2Z2wyb2FuQ3hieEcwNE90cWsrS1ZOT2hXM2w0M2lrZFp2RjFqUkhVVjFqVEthcVFIeUFNY0RiZDBPbDlwWWtlL0x4QkEzVFd2NC9FL1lSZ3ZlazQ9&_LANG=enus" style="width: 475px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_LastPass</span></span></p> <p>為重設MFA，LastPass發送電子郵件給用戶以驗證IP位址或裝置。但問題是，被登出LastPass後他們無法存取電子郵件信箱。即使一名用戶利用家人的密碼登入郵件帳號，並重設了MFA，但卻再次接到重設MFA的要求。<a href="https://www.ithome.com.tw/news/155011" target="_blank">這名用戶失望地表示</a>，去年8月LastPass鬧出外洩客戶資料，他仍然持續支持，但這次這種令人挫折的使用經驗，已經讓他準備跳槽其它密碼管理方案。另一用戶形容被困在重設MFA的鬼打牆中。還有一些用戶則是從未接到MFA的重設信件。</p> <p>更糟的是許多用戶無法再登入LastPass帳號，想要聯絡技術支援，無奈LastPass的技術支援卻必須登入LastPass才能使用。有用戶嘗試從推特官方帳號留言求助，卻遲遲不見回音。</p> <p>由於被登出帳號加上不斷重設MFA的要求，使大批LastPass用戶被鎖在LastPass帳號之外無法使用其密碼管理庫。事實上，早在5月9日LastPass的公告後，就有用戶抱怨被鎖在帳號外直到近日。</p> <p>LastPass對<a href="https://www.bleepingcomputer.com/news/security/lastpass-users-furious-after-being-locked-out-due-to-mfa-resets/" target="_blank">《Bleeping Computer》</a>說明，最新的MFA重設要求是在<a href="https://www.ithome.com.tw/news/152730" target="_blank">去年8月被駭</a>，程式碼及客戶個資、密碼庫資料外洩後，該服務採行的安全措施。</p> <p>針對用戶無法登入一事，LastPass提供的解決方法是，如果MFA驗證信已過期，就再嘗試登入以觸發新驗證信件。如果因忘記LastPass帳號密碼而無法登入者，可以在<a href="https://support.lastpass.com/s/document-item?language=en_US&bundleId=lastpass&topicId=LastPass%2Frecover-master-password.html&_LANG=enus" target="_blank">回復Master Password頁</a>中點擊「聯絡」鍵建立客戶支援工單。因無法同步MFA而無法登入者，<a href="https://support.lastpass.com/s/document-item?language=en_US&bundleId=lastpass&topicId=LastPass%2FLastPass_Authenticator_disable_lpa.html&_LANG=enus" target="_blank">LastPass建議從此頁點擊「聯絡」鍵</a>，以呼叫再發送驗證信件。</p> </div></div></div>
2023/6/27 12:45作者林妍溱https://www.ithome.com.tw/news/157506
由AI生成的內容農場正在瓜分廣告收入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門評估新聞網站可信度並追蹤不實資訊的NewsGuard，從今年開始追蹤由AI生成的內容網站，<a href="https://www.newsguardtech.com/special-reports/newsbots-ai-generated-news-websites-proliferating/" target="_blank">今年4月時發現了</a>49個相關網站，到了6月則已超過200個，而這些「AI內容農場」不僅傳播不實資訊，同時也<a href="https://www.newsguardtech.com/misinformation-monitor/june-2023/" target="_blank">瓜分了其它網站的廣告收入</a>，且這些網站上所刊登的廣告亦不乏知名品牌。</p> <p>NewsGuard將這類的網站稱為「不可靠的人工智慧生成新聞」（Unreliable Artificial Intelligence-Generated News，UAIN）網站，它們絕大多數都是在很少或是缺乏人類監督的狀態下運作，而且所出版的新聞幾乎完全是由機器人撰寫的。截至今年的6月26日，NewsGuard已發現了277個UAIN網站，它們以13種語言散布，涵蓋中文、英文、阿拉伯文、捷克文、荷蘭文、法文、印尼文、義大利文、韓文、葡萄牙文、他加祿語（菲律賓）、泰文及土耳其文等。</p> <p class="rtecenter"><img alt="" src="https://www.newsguardtech.com/wp-content/uploads/2023/04/NG-TNN-heading.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_NewsGuard</span></span></p> <p>除了追蹤UAIN之外，NewsGuard也發現這些UAIN內容農場瓜分了線上廣告。</p> <p>NewsGuard的調查顯示，某些UAIN製作了大量可以置放廣告的文章，其中一個網站甚至每天可生成逾1,200篇文章，相較之下，《紐約時報》（New York Times）每天平均僅出版150篇文章。儘管許多廣告主或是廣告代理商都會列出一些令品牌不安全的廣告排除名單，但其名單卻無法跟上激增的UAIN網站。</p> <p>在今年的5月與6月間，NewsGuard即發現有393個來自141個知名品牌的自動化廣告，登上了55個UAIN網站，它們是銀行、金融服務、百貨公司、運動服飾、家電製造商、消費科技公司、全球電商、寬頻服務業者、串流服務業者，以及歐洲的連鎖超市。</p> <p>這393個廣告全數出現在含有錯誤訊息的文章中，顯示這些文章都是由AI生成的，而且缺乏人類的監督，此外，它們都是透過程式進行自動化散布的，並有356個來自Google Ads。</p> <p>其實Google的廣告政策明確限制特定的出版平臺，包括那些自動生成的內容網站，然而，Google Ads似乎還是遭到UAIN滲透了。目前Google尚未對此提出回應。</p> <p>NewsGuard指出，現階段的追蹤顯示，平均每周會出現25個新的UAIN網站，但猜想真正的UAIN網站數量應該更多，因為該平臺只有在發現網站所張貼的文章含有AI語言模型中的錯誤訊息時，才將其標示為UAIN。</p> </div></div></div>
2023/6/27 11:25作者陳曉莉https://www.ithome.com.tw/news/157505
微軟D3D12加入工作圖新功能，將解除GPU通用運算天花板
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟計劃在3D圖形程式開發介面D3D12加入<a href="https://devblogs.microsoft.com/directx/d3d12-work-graphs-preview/">工作圖（Work Graphs）</a>，微軟提到，這項功能可解除目前GPU程式開發模型中的限制，讓GPU通用運算能夠處理更多的工作負載，更廣泛地被應用。AMD、Nvidia、英特爾和高通四大晶片廠商都參與工作圖的設計。</p> <p>不少的GPU工作負載，由之前其他GPU的工作所衍伸，傳統上，當GPU工作負載的行為，需要根據之前的GPU運算結果決定，則系統還是必須先將GPU運算結果回傳CPU，交由CPU解讀之後重新發派工作給GPU。</p> <p>像是Epic Games所開發的虛幻引擎5，裡面所提供的兩項新技術，虛擬化幾何技術Nanite以及全局光照解決方案Lumen，就因為傳統CPU與GPU架構的限制，使得當前運算著色器範式已經碰觸到架構的極限，因為Nanite和Lumen所使用的範式，需要由CPU發出一系列獨立的調度。</p> <p>雖然這種模式在多種情況運作良好，但是卻會增加GPU和CPU之間的通訊開銷，且在等待CPU的時間，GPU可能出現閒置，因此如果存在一個機制可以直接由GPU重新發派工作，那運算將會更有效率，也能最大化GPU的利用率。這樣的概念之前在D3D12就已經被使用過，一個稱為ExecuteIndirect的指令，就允許GPU在不需要CPU介入的情況下下，依據先前GPU的運算結果，決定所要執行的工作負載。</p> <p>新的工作圖（Work Graphs）是讓GPU上運作的著色器執行緒（生產者），也可以請求執行其他工作（消費者），而一旦GPU有空，系統便可以安排這些重新請求的工作給GPU，系統也能管理資料流所使用的記憶體。工作圖可以被看作是一種結構，其中的節點由著色器程式碼組成，每個節點都可以重新請求其他節點。</p> <p>工作圖可以表達出開發者所設計的演算法意圖和結構，但又不會過度造成開發人員的負擔，開發人員不會具體知道特定程式碼會在哪個硬體上執行，微軟提到，這種模型的非同步性，讓系統擁有更大的自由度，決定執行工作的最佳方法。</p> <p>不過也並非所有應用程式的工作負載，皆適用工作圖模型，依據工作的特性和硬體的複雜度，現有方法可能更適合。而目前工作圖模型的設計，主要把重點擺在生產者與消費者之間的運作，沒有特別設計同步等待的概念，因此讓消費者啟動等待生產者節點完成所有工作，雖然可以巧妙安排著色器邏輯來達成這項目的，但是目前尚未有原生同步支援。</p> <p>AMD、Nvidia、英特爾和高通都加入協助設計工作圖，雖然目前工作圖還在早期預覽階段，但AMD顯示卡驅動程式則率先支援工作圖，他們已在AMD Radeon RX 7000系列顯示卡的Adrenalin版本驅動程式實作工作圖API，同時也有相對應的文件供開發者閱讀。</p> </div></div></div>
2023/6/27 10:21作者李建興https://www.ithome.com.tw/news/157501
【資安日報】6月26日，殭屍網路Mirai變種鎖定D-Link、Zyxel、Netgear網路設備而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>殭屍網路的攻擊行動，最近幾個星期又有再度增加的情況，大都是針對單一機種的網路設備而來，而最近資安業者Palo Alto Networks揭露的Mirai殭屍網路攻擊當中，駭客自今年3月開始，運用多個廠牌網路設備的漏洞來發動攻擊，截至目前為止，駭客已鎖定22款設備的漏洞下手，且攻擊行動仍在持續。</p> <p>另一起針對Linux設備的挖礦攻擊也相當值得留意，因為，駭客罕見地竄改了開源加密程式庫OpenSSH，並拿來竊取SSH連線的帳密資料。</p> <p>卡巴斯基日前揭露的iOS零點擊攻擊行動Operation Triangulation，駭客透過零時差漏洞攻擊該公司員工的iPhone手機。到了最近，蘋果針對上述的零時差漏洞發布修補程式，但值得留意的是，該公司不光針對iOS，也對於Mac電腦、穿戴裝置的作業系統進行修補。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://unit42.paloaltonetworks.com/mirai-variant-targets-iot-exploits/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">殭屍網路Mirai變種鎖定22個網路設備漏洞而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-128774-2-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-128774-2-1.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露自今年3月中旬出現的殭屍網路Mirai變種攻擊行動，駭客鎖定D-Link、Arris、兆勤（Zyxel）、TP-Link、騰達（Tenda）、Netgear、聯發科（MediaTek）的22個網路設備漏洞而來，對這些設備進行控制並用於DDoS攻擊。這些設備的類型涵蓋了路由器、數位視訊監視器（DVR）、網路視訊監視器（NVR）、Wi-Fi無線網路接收器、存取控制系統、太陽能發電監控系統等。駭客先是利用漏洞入侵目標設備，並透過Shell指令碼偵測系統架構、下載對應的殭屍網路病毒。</p> <p>值得留意的是，其中一個遭到利用的TP-Link Archer A21漏洞CVE-2023-1389（CVSS風險評分8.8），漏洞懸賞專案Zero Day Initiative曾揭露有人在4月用於散布Mirai，兩起攻擊行動是否為相同駭客所為？仍有待後續進一步的調查。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/06/22/iot-devices-and-linux-based-systems-targeted-by-openssh-trojan-campaign/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客透過惡意OpenSSH元件攻擊Linux設備</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-openssh-trojan-attack-c.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-openssh-trojan-attack-c.png" style="width: 300px; float: right;" /></a>微軟揭露濫用開源加密程式庫OpenSSH的挖礦攻擊，駭客鎖定配置錯誤、曝露於網際網路的Linux裝置，透過暴力破解的方式入侵，一旦成功後就會停用Shell的事件記錄，並從遠端伺服器下載遭到竄改的OpenSSH檔案，然後部署以Shell指令碼打造的後門程式，該後門程式啟動時會偵測是否在蜜罐誘捕系統（Honeypot）的環境，以免遭到研究人員分析。</p> <p>一旦受害裝置通過檢測，上述的後門程式就會從GitHub下載Rootkit軟體Reptile、Diamorphine，並於受害裝置部署殭屍網路機器人ZiggyStarTux，接收攻擊者的命令，進行挖礦攻擊。</p> <p>值得留意的是，駭客也透過「修補」的方式，在OpenSSH元件套用惡意程式碼，進而攔截SSH連線的帳密資料，並允許攻擊者透過root登入系統。</p> <p><a href="https://twitter.com/BrettCallow/status/1671532524705570818"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">物流業者UPS資料外洩，警告加拿大用戶釣魚簡訊攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/FzJ5hzEWwAAqTqH.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FzJ5hzEWwAAqTqH.jpg" style="width: 300px; float: right;" /></a>資安業者Emsisoft的研究人員Brett Callow透露，他最近收到物流業者UPS加拿大分公司的通知信，表示要用戶留意網釣簡訊及電子郵件。</p> <p>但這封信件的內容，其實是告知用戶該公司出現資料外洩事故，導致用戶收到網釣簡訊。駭客從2022年2月1日至2023年4月24日，濫用UPS的包裏搜尋工具來存取包含寄件人聯絡資訊的詳細寄件資料。</p> <p>研究人員認為，UPS在通知信裡沒有直接開門見山表達是資料外洩事故資訊，很可能讓用戶誤以為是資安宣導而未提高警覺。</p> <p><a href="https://www.ithome.com.tw/news/157491"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">暴雪娛樂遭到DDoS攻擊，旗下多款遊戲的玩家面臨連線異常</span></strong></a></p> <p>暴雪娛樂（Blizzard）於臺北時間6月25日下午約10點透過推特發出公告，他們旗下的電玩平臺Battle.net遭到DDoS攻擊，導致暗黑破壞神IV、魔獸世界、星海爭霸、爐石戰記等多款遊戲的玩家無法正常連線，出現無法登入、連線緩慢等問題，有部分用戶反映，無法連線時間至少有10到12小時之久。</p> <p>直到臺北時間26日凌晨約1時20分，暴雪才表示相關攻擊已經結束。根據服務運作狀態偵測網站Down Detector的資料，受這波連線影響的用戶分布美國、歐洲，以及部分亞洲地區。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/157482"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果修補Operation Triangulation攻擊行動遭到利用的零時差漏洞</span></strong></a></p> <p>蘋果於6月21日發布iOS 16.5.1、iPadOS 16.5.1、macOS Ventura 13.4.1，主要是修補卡巴斯基揭露的攻擊行動Operation Triangulation裡，駭客所使用的零時差漏洞CVE-2023-32434、CVE-2023-32439。</p> <p>CVE-2023-32434為作業系統核心的整數溢位漏洞，攻擊者可藉此讓惡意程式以核心權限執行任意程式碼；CVE-2023-32439則是Safari瀏覽器排版引擎WebKit的型態混淆漏洞，攻擊者可傳送網頁連結並誘使用戶點擊，進而執行任意程式碼。蘋果也針對舊版iOS、iPadOS，推出15.7.7版修補上述漏洞，此外，該公司也發布watchOS 8.8.1修補CVE-2023-32434。</p> <p>資料來源</p> <p>1. <a href="https://support.apple.com/HT213814">https://support.apple.com/HT213814</a><br /> 2. <a href="https://support.apple.com/HT213813">https://support.apple.com/HT213813</a><br /> 3. <a href="https://support.apple.com/HT213811">https://support.apple.com/HT213811</a><br /> 4. <a href="https://support.apple.com/HT213808">https://support.apple.com/HT213808</a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://moda.gov.tw/press/press-releases/5539"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歐洲議會訪團拜會數位部，針對資安、數位韌性進行交流</span></strong></a></p> <p>數位發展部政務次長闕河鳴於6月20日，會見歐洲議會外委會安全暨防衛小組（SEDE）副主席茱娜薇（Rasa Juknevičienė）帶領的訪問團，分享臺灣的數位韌性規劃。</p> <p>闕河鳴表示，「資安即國安」為臺灣當前重要政策，數位部積極推動跨境備援，確保緊急事件發生時，公部門系統仍可維持運作；此外，各政府機關透過介接政府資料傳輸平臺進行點對點資料傳輸，運用零信任架構，以「永不信任，持續驗證」原則強化資安。</p> <p><a href="https://www.facebook.com/te.nics.tw/posts/pfbid0VxwB8E9vKrApLtCmASifJN9sbGS7mphFHXc7TdGWQum7gzSnpkqCPMFL1ox2H9Fzl"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為增進高階資安人才技術，資安院首度推出菁英培訓課程</span></strong></a></p> <p>國家資通安全研究院今年首度推出以資安事件工程師為主的培訓課程，第一梯次受訓期間自7月15日至8月27日，為期5週、共9天（54小時）的內容，主要對象是企業、政府單位、資安公司等在職資安技術及研發人員，目的是因應國內產業需求、增進高階資安人才防護技術，資安院表示課程的費用將由政府全額補助，他們預計將錄取正取60名、備取25名學員。</p> <p>此外，資安院亦透露，他們計畫在臺北推出第二梯次培訓，也會在臺南舉辦相關課程。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://labs.jumpsec.com/advisory-idor-in-microsoft-teams-allows-for-external-tenants-to-introduce-malware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟Teams出現漏洞，恐被攻擊者以外部帳號傳送惡意軟體</span></span></strong></a></p> <p><a href="https://www.fortiguard.com/psirt/FG-IR-23-096"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Fortinet修補NAC系統的重大漏洞</span></span></strong></a></p> <p><a href="https://blog.aquasec.com/github-dataset-research-reveals-millions-potentially-vulnerable-to-repojacking"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">GitHub儲存庫有可能遭到相依性套件挾持攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/american-airlines-southwest-airlines-disclose-data-breaches-affecting-pilots/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國航空、西南航空資料外洩，起因是遭遇供應鏈攻擊</span></span></strong></a></p> <p><a href="https://media.defense.gov/2023/Jun/22/2003245723/-1/-1/0/CSI_BlackLotus_Mitigation_Guide.PDF"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國國家安全局推出防禦UEFI惡意軟體BlackLotus的指南</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157467">【6月21日】微軟Azure AD傳出存在OAuth漏洞，可被用於帳號挾持</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157445">【6月20日】竊資軟體Mystic針對瀏覽器、加密貨幣錢包、密碼管理器等應用程式而來</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157420">【6月19日】微軟證實旗下多項服務遭到DDoS攻擊而癱瘓</a></strong></p> </div></div></div>
2023/6/26 18:01作者周峻佑https://www.ithome.com.tw/news/157498
駭客利用《超級瑪利歐》遊戲來散布Windows惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.cyble.com/2023/06/23/trojanized-super-mario-game-installer-spreads-supremebot-malware/" target="_blank">資安業者Cyble近日發現</a>，繼《應徵入伍》（Enlisted）、《MSI Afterburner》與《FiveM Spoofer》等遊戲之後，《超級瑪利歐》（Super Mario）遊戲的安裝程式已成為駭客散布惡意程式最新跳板，駭客的動機一致，都是想要利用遊戲玩家的高階硬體設備來替它們挖礦。</p> <p>Cyble所分析的惡意程式樣本為Super-Mario-Bros.exe，它是個32位元的Nullsoft Installer（NSIS）自動解壓縮執行檔案，內含《Super Mario 3 : Mario Forever》執行檔，也暗中夾帶了XMR miner、SupremeBot挖礦客戶端程式，及開源的Umbral Stealer資訊竊取程式。</p> <p class="rtecenter"><img alt="" src="https://i0.wp.com/blog.cyble.com/wp-content/uploads/2023/06/Figure-6-Mario-game-installation-wizard.jpg?w=773&ssl=1" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://i0.wp.com/blog.cyble.com/wp-content/uploads/2023/06/Figure-8-Dropped-malware-files-with-genuine-Super-Mario-installer-in-appdata.jpg?w=996&ssl=1" style="width: 600px;" /></p> <p>受害者執行該安裝程式之後，可正常展開《超級瑪利歐》遊戲，但它同時也會於背景安裝用來開挖門羅幣的XMR Miner，連結礦工網路、接收挖礦任務，以及管理挖礦過程的SupremeBot，此外，SupremeBot還會另外下載Umbral Stealer。</p> <p>Umbral Stealer是個開源的Windows資訊竊取程式，作者在今年4月將它張貼在GitHub且持續更新，它能夠捕捉螢幕畫面，捕捉攝影機畫面，汲取瀏覽器密碼與Cookie，取得Telegram期間檔案，取得Roblox相關Cookie及Minecraft期間檔案，還能蒐集與加密貨幣錢包有關的檔案。</p> <p>此外，Umbral Stealer適用於Chrome、Edge、Chromium、Brave、Opera及Vivaldi等各式瀏覽器（沒有Firefox），並鎖定Zcash、Armory及Bytecoin等10款加密貨幣錢包。</p> <p>顯然駭客除了想利用受害者的硬體資源之外，亦企圖蒐集受害者的機密資訊以進一步謀財，為了避免自己的系統淪為駭客的挖礦工具，Cyble建議使用者應定期檢查自己的系統效能與CPU使用率，啟用軟體自動更新配置，以及安裝可靠的防毒軟體等。</p> </div></div></div>
2023/6/26 17:12作者陳曉莉https://www.ithome.com.tw/news/157497
科技產業的遠端工作趨勢正在發生變化，新創以純遠端來吸引人才
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>科技產業通常引領著許多新趨勢，但有些趨勢的力道不見得能夠持續，像是遠端工作。專門觀察全球職場彈性的<a href="https://www.canva.com/design/DAFj7XvIHaQ/vbrcN32sS_mnGF2-NQ0iOQ/view#5" target="_blank">Flex Index在最近的報告</a>中發現，由科技產業帶動的遠端工作趨勢正在發生變化，大型與中小型的科技企業對此逐漸產生分歧，擁有2.5萬名員工以上的大型企業開始走向混合型架構（Structured Hybrid），要求特定的辦公室上班時間，而500人以下的科技公司則有88%提供全彈性（Fully Flexible）工作模式，可能成為招攬人才的利器。</p> <p>所謂的全彈性工作模式是讓員工自由選擇是否進辦公室工作或是純遠端工作（Fully Remote），至於混合型架構則對員工有特定的進辦公室要求，像是每周至少要進辦公室兩天，或是在特定時間必須進辦公室工作，或是每周/每月必須有一定比例的時間進辦公室工作。</p> <p>COVID-19疫情的隔離政策令許多產業都實施了遠端或彈性上班措施，最具彈性的前五大產業依序是科技、媒體/娛樂、專業服務、金融服務及非營利/宗教組織。Flex Index今年5月的調查顯示，全球產業實施全彈性工作模式的比例是28%，但科技產業實施全彈性工作模式的比例卻高達75%，儘管遠高於全球產業，卻已比今年2月下滑了4個百分點。</p> <p>今年2月時，科技產業有79%採用全彈性工作模式，12%採用混合型架構工作模式，還有9%要求員工要完全於辦公室上班。但到了5月，全彈性工作模式下滑到75%，混合型架構增加至17%，辦公室則下滑至8%。在17%採用混合型架構的科技企業中，最多（10%）的是要求員工每周至少有幾天進辨公室。</p> <p>值得觀察的是，愈大型的科技企業愈傾向於混合型架構工作模式，在員工人數超過2.5萬名的科技企業中，有高達65%的比例採用混合型架構，5,000名員工以上的企業有39%，500人以上的企業有27%，但500人以下的科技企業採用全彈性工作模型的比例則達到88%，僅有6%採用混合型架構。此外，很明顯地可以看到大型科技企業的全彈性工作模式比例正在減少，而混合型架構比例增加了。</p> <p class="rtecenter"><a href="https://www.canva.com/design/DAFj7XvIHaQ/vbrcN32sS_mnGF2-NQ0iOQ/view#8" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0626-flex%20index-600.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_</span><a href="https://www.canva.com/design/DAFj7XvIHaQ/vbrcN32sS_mnGF2-NQ0iOQ/view#5" target="_blank"><span style="color:#696969;">Flex Index</span></a></span></p> <p>不管是蘋果、Google、Meta或Amazon都採用混合型架構工作模式。</p> <p>因此，Flex Index建議，科技人才若想要有全彈性的工作安排，那麼最佳管道即是搜尋少於500人的公司。</p> </div></div></div>
2023/6/26 16:17作者陳曉莉https://www.ithome.com.tw/news/157495
【資安週報】2023年6月19日到6月21日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一週的漏洞消息方面，有兩大焦點，蘋果在21日針對較早版本iOS、iPadOS（16.5.1、15.7.7），共修補3個已獲報遭鎖定利用的零時差漏洞，而微軟Azure AD的OAuth身分驗證機制被揭露其實作存在缺陷，微軟正著手修補。其他還有兆勤修補NAS漏洞，施耐德電機、Wago設備修補的消息，以及WD將針對未修補重大漏洞的設備，限制存取其雲端服務。</p> <p>在威脅態勢方面，以路由器安全漏洞消息與殭屍網路動向最受關注，首先是19日華碩發布路由器的韌體更新，修補了9個漏洞，其中3個是今年的新漏洞，6個是早年就揭露的已知漏洞，其中CVE-2022-26376和CVE-2018-1160是重大漏洞；接著是20日TP-Link路由器3月修補的一項漏洞遭新殭屍網路Condi Network鎖定，而我們整理這週資訊時，由於端午連假期間還有一起相關事件，因此這裡也特別補充，那就是<a href="https://unit42.paloaltonetworks.com/mirai-variant-targets-iot-exploits/">Mirai殭屍網路鎖定多家路由器去年或今年上半修補的已知漏洞，針對未修補用戶發動攻擊的情形</a>。</p> <p>其他攻擊與威脅焦點中，有兩大活動揭露值得注意，一是用戶刪除的AWS S3儲存桶竟遭非法人士占用並散布惡意軟體，另一是針對釣魚工具包去年普遍納入MFA Bypass能力的揭露。其他焦點包括：殭屍網路Tsunami鎖定SSH伺服器，竊資軟體RDStealer透過RDP向C2傳送竊取資料，以及竊資軟體Vidar、Mystic均有攻擊升溫的揭露。</p> <p>另外，MOVEit Transfer零時差漏洞攻擊持續有後續消息，包括美國有兩個州政府公告民眾個資外洩，以及旗下擁有Avast、Avira、AVG、Norton、LifeLock多家防毒品牌的資安業者Gen Digital也受害，而美國國務院外交安全局更宣布，在其正義獎勵計畫祭出千萬美元懸賞，鼓勵外界舉報幕後Clop勒索軟體集團的資訊。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/157420"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月19日】微軟證實旗下多項服務遭到DDoS攻擊而癱瘓</span></strong></a></h3> <p>微軟旗下有幾個雲端服務自6月初出現中斷、無法存取的狀況，該公司雖然證實存在服務停擺的事故，但始終沒有正面說明發生的原因。直到上週末，該公司終於表明這些是因為遭到DDoS攻擊造成，並指出攻擊者的身分是Storm-1359。</p> <p>有越來越多組織出面證實遭到MOVEit Transfer零時差漏洞攻擊，而在上週末，美國路易斯安那州、奧勒岡州的交通部門皆發布公告，表示民眾的駕照資料可能外洩，並指出影響範圍。</p> <p>遭到棄置的AWS S3儲存桶有可能成為駭客散布惡意軟體的管道！有資安業者針對GitHub發布的資安通告進行追查，結果發現，有不少惡意軟體也利用這種方式代管。</p> <h3><a href="https://www.ithome.com.tw/news/157445"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月20日】竊資軟體Mystic針對瀏覽器、加密貨幣錢包、密碼管理器等應用程式而來</span></strong></a></h3> <p>新的竊資軟體攻擊行動引發研究人員關注而提出警告，資安業者Zscaler、Cyfirma不約而同公布竊資軟體Mystic的調查結果，並指出該惡意程式雖然從4月才首度現身，但相關功能非常完整，所造成的威脅程度不容小覷。</p> <p>駭客濫用社群網站散布惡意程式的情況，過往大多是臉書、推特，但最近也有利用不同類型社群網站的情況。例如，在木馬程式DcRAT的攻擊行動裡，就是利用名為OnlyFans的網站對用戶下手。</p> <h3><a href="https://www.ithome.com.tw/news/157467"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月21日】微軟Azure AD傳出存在OAuth漏洞，可被用於帳號挾持</span></strong></a></h3> <p>OAuth身分驗證機制的應用越來越普遍，然而這類機制一旦實作上出現不足之處，有可能造成嚴重的後果。例如，近期資安業者Descope揭露雲端目錄服務Azure AD有個漏洞，取名為nOAuth，並認為攻擊者可輕易利用，將其用於挾持使用者的Azure AD帳號。</p> <p>駭客鎖定Linux伺服器並透過暴力破解嘗試SSH帳密的攻擊，最近又有一起行動。殭屍網路Tsunami藉由這種手法劫持Linux伺服器，目的綁架這些伺服器用於DDoS攻擊與挖礦。</p> <p>新的竊資軟體最近也不斷出現，而現在有一支名為RDStealer的這類惡意程式，引起研究人員關注，因為當中外洩資料的手法很特別：他們濫用遠端桌面連線（RDP）向C2傳送檔案。</p> </div></div></div>
2023/6/26 09:38作者羅正漢https://www.ithome.com.tw/news/157490
YouTube測試AI多語言配音功能Aloud
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aloud.area120.google.com/" target="_blank">Google部門上周宣布</a>一項能以AI技術為YouTube影片配上外國聲音的功能提供試用版，名為Aloud。</p> <p>Google表示，這項功能可為影片配上外國配音而配合Google搜尋，增加曝光度。目前<a href="https://docs.google.com/forms/d/e/1FAIpQLScCi309lXh2DDIMZlr-qJIqGO4eDlbQG9cuLqDQBUtf39usPw/viewform?pli=1" target="_blank">該功能已經開放用戶報名等候清單</a>。用戶需年滿18歲，填寫YouTube頻道URL、頻道類別、國籍及使用Aloud理由等，俟通過Google審核後方可試用。</p> <p>Aloud網站說明，Aloud會先以AI技術將影片轉錄成文字，供用戶審核、編輯。之後它會將文字翻譯成外國語音再轉成聲音，用戶只需將配好音的影片發布出去即可。</p> <p><a href="https://www.theverge.com/2023/6/22/23769881/youtube-ai-dubbing-aloud" target="_blank">Google表示</a>，現在正和數百名創作者合作測試Aloud功能。目前Aloud可支援翻譯英文、西語及葡萄牙語，但之後還會增加其他語言。</p> <p>但如果用戶自己已具備多國語言的聲音檔，則可直接使用Google的<a href="https://support.google.com/youtube/answer/13338784?hl=en" target="_blank">多語言聲音功能</a>，支援聲音檔包括MP3、PCM、AAC及FLAC。</p> </div></div></div>
2023/6/26 12:19作者林妍溱https://www.ithome.com.tw/news/157492
LG推出首款支援飯店AirPlay的商用電視
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.prnewswire.com/news-releases/lg-first-to-bring-apple-airplay-to-hotel-room-tvs-301858034.html" target="_blank">LG本周宣布</a>，其新款餐旅用電視將內建Apple AirPlay支援，成為第一款支援這項新功能的商用電視。</p> <p>蘋果今年WWDC上發表的<a href="https://www.ithome.com.tw/news/157198" target="_blank">iOS 17其AirPlay加入飯店電視的支援</a>，允許用戶可將iPhone或iPad中的音樂、影片、相片或其他檔案傳送到飯店電視上播放。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0626-iOS%2017-Airplay-Hotel%20TV%EF%BC%8Dimage%EF%BC%9AApple.png" style="width: 450px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_蘋果</span></span></p> <p>LG預計在下周於加拿大多倫多舉行的餐旅業大展HITEC上，展出第一款具備本功能的<a href="https://www.lg.com/us/business/hospitality-tvs/hotel-tvs/pro-centric-smart" target="_blank">LG Pro:Centric Smart Hotel TV</a>，後者為50吋到75吋的4K及超高畫質電視。使用時，用戶不必下載額外的App，也無需登入或輸入密碼，只需掃瞄QR碼即可連接iPhone或iPad和LG電視使用這項功能。商務客除了用LG電視觀看Apple TV+影片，也能在房間電視彩排簡報。</p> <p>LG美洲餐旅業事業群副總裁Michael Kosla表示，新款電視將從今年下半部署到特定飯店中。</p> </div></div></div>
2023/6/26 13:14作者林妍溱https://www.ithome.com.tw/news/157493
暴雪娛樂電玩遭DDoS攻擊，影響《暗黑破壞神》等多款遊戲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>暴雪娛樂（Blizzard）的電玩平臺周日遭遇分散式阻斷服務（DDoS）攻擊，導致周末假期許多用戶無法連上最新的《暗黑破壞神IV》（Diablo IV）或《魔獸》等線上遊戲。</p> <p>暴雪於臺北時間6月25日下午約10點<a href="https://twitter.com/BlizzardCS/status/1672974145368227841" target="_blank">透過官方推特帳號公告</a>，其電玩平臺Battle.net遭到DDoS攻擊，導致線上遊戲連線遲緩甚至無法連上。除了美國站，<a href="https://twitter.com/BlizzardCSEU_EN/status/1672974323655557121" target="_blank">歐洲站點</a>也發出了DDoS攻擊公告。直到臺北時間今（26）日凌晨約1:20，<a href="https://twitter.com/BlizzardCS/status/1672974145368227841" target="_blank">暴雪官方推特宣布</a>DDoS已經結束。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0626-Blizzard-600-2.png" style="width: 500px;" /></p> <p><a href="https://today.line.me/hk/v2/article/yzPjNG1" target="_blank">媒體報導</a>，本月初上市的《暗黑破壞神IV》於周五發生重大伺服器連線錯誤，致各地用戶接到錯誤代碼。根據Down Detector的統計，至少從臺北時間25日上午11:00起即已用戶發生連線問題，包括無法登入、連線緩慢及網站問題。在Reddit上，<a href="https://www.reddit.com/r/Diablo/comments/14igl9a/6hrs_downtime_in_a_lifeservice_game_by_a_multi/" target="_blank">有用戶表示</a>至少有10到12小時無法存取該平臺。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0626-blizzard-ddos-%40darlim911%20via%20twitter.png" style="width: 500px;" /></p> <p><a href="https://twitter.com/darlim911/status/1672969969838227457" style="font-size: 14px;" target="_blank">圖片來源_@darlim911 via twitter</a></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0626-blizzard-ddos-%40CaptC0KE%20via%20twitter-500.png" style="width: 500px;" /></p> <p><a href="https://twitter.com/CaptC0KE/status/1672971950392594433" target="_blank"><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_@CaptC0KE via twitter</span></a></p> <p>根據<a href="https://downdetector.com/status/battle-net/" target="_blank">Down Detector</a>，影響的遊戲除了《暗黑破壞神》及《魔獸》外，還包括《星海爭霸StarCraft》、《爐石戰記Heartstone》、《暴雪英霸Heroes of the Storm》等。受這波連線影響的用戶分布美國、歐洲，及部分亞洲地區。</p> <p class="rtecenter"><a href="http://downdetector.com/status/battle-net/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0626-Down%20Detector-Blizzard.png" style="width: 600px;" /></a></p> </div></div></div>
2023/6/26 11:48作者林妍溱https://www.ithome.com.tw/news/157491
AI趨勢周報第219期：微軟打造13億參數小型LLM，表現勝千億參數GPT-3.5
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0616～0622)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> phi-1 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size: 22px;"><strong>微軟打造13億參數小型LLM，人類評估表現勝過千億參數的GPT-3.5</strong></span></p> <p>微軟最近揭露一款13參數的語言模型phi-1，以Transformer架構為基礎，採用「教科書等級」的高品質資料集訓練而成，包括來自網路的資料（60億Token）和以GPT-3.5合成的資料（10億Token），用8個A100 GPU在短短4天內完成訓練。他們預告，phi-1接下來會在NLP社群HuggingFace中上架。</p> <p>最近，越來越多小型LLM，如LLaMA和阿聯酋打造的Falcon。微軟團隊思考，比起增加模型的參數量，透過提高模型的訓練資料集品質，也許更能強化模型的準確率和效率。於是，他們利用高品質資料來訓練phi-1，在人為評測中，phi-1的分數達到50.6%，比起1,750億參數的GPT-3.5（47%）還要好。這不是微軟第一次開發小型LLM，此前，他們打造一款130億參數的Orca，使用了GPT-4合成的數據訓練而成，表現比ChatGPT好。不過，也有學者認為，利用LLM產出的資料來訓練新模型，反而會降低新模型產出的質量，比如來自劍橋大學、牛津大學學者在5月發表的《<a href="http://chrome-extension://efaidnbmnnnibpcajpcglclefindmkaj/https://arxiv.org/pdf/2305.17493.pdf">遞迴歸的詛咒</a>》論文（The Curse of Recursion: Training on Generated Data Makes Model Forgets）。<a href="https://chrome-extension://efaidnbmnnnibpcajpcglclefindmkaj/https://arxiv.org/pdf/2306.11644.pdf">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202023-06-26%20at%2012_28_53%20AM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google Cloud </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 反洗錢 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google結合生成式AI推新反洗錢工具</strong></span></p> <p>Google Cloud最近推出一款反洗錢工具AML AI，整合生成式AI功能，可用來辨識可疑行為，並生成符合監管規範的報告。Google Cloud指出，傳統反洗錢偵測系統仰賴手動定義的規則，導致可疑行為識別率低，甚至「在第一階段的審查時，會發現這些系統產生的警報，超過95%是錯誤的，而且將近98%最終不會出現在可疑活動報告（SAR）中，」Google Cloud在官方新聞稿中寫道。</p> <p>這款AML AI工具整合Google Cloud的ML工具，如資料分析工具BigQuery和ML開發平臺Vertex AI，可大規模處理複雜的AI運算，也能提供解釋，可望加速金融機構的調查工作。Google Cloud點出，該工具經匯豐銀行測試，偵測到真正洗錢活動的準確率提高2至4倍，還減少60%的錯誤警報量。此外，AML AI工具還提供可審查和可解釋的說明，方便金融機構進行內部風險管理。<a href="https://www.googlecloudpresscorner.com/2023-06-21-Google-Cloud-Launches-AI-Powered-Anti-Money-Laundering-Product-for-Financial-Institutions">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 量子超級電腦 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Copilot </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 量子位元 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟揭露量子超級電腦藍圖，還把Copilot帶進Azure量子服務</strong></span></p> <p>微軟日前在一場線上活動中揭露量子超級電腦發展時程表，包括開發出基於馬約拉納（Majoranas）的量子位元，這種量子位元更穩定、更容易擴展，是量子電腦的重要組成。他們現在已能開發、控制這種量子位元，接下來要實現的里程碑有開發硬體保護的量子位元（用來防錯、縮小量子電腦體積和加速運算）、多量子位元系統（用來執行多種演算法）、韌性量子位元系統（用來執行更高品質的運算），以及打造量子超級電腦，用來解決經典超級電腦無法解決的問題，且錯誤率要小於兆分之一。</p> <p>此外，微軟還在Azure Quantum服務中新添Copilot助理功能，要讓使用者以自然語言提問，來獲得複雜化學和材料科學相關問題的解答。使用者也能透過Copilot下指令，來完成複雜任務，像是完成基礎計算和模擬，或查詢並視覺化複雜數據，又或是用來撰寫量子運算程式碼。<a href="https://cloudblogs.microsoft.com/quantum/2023/06/21/microsoft-achieves-first-milestone-towards-a-quantum-supercomputer/">（詳全文）</a></p> <p><img alt="" src="https://cloudblogs.microsoft.com/quantum/wp-content/uploads/sites/7/2023/06/Picture2q-1.webp" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Meta </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Voicebox </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語音生成 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta揭新語音生成模型Voicebox，但不開源</strong></span></p> <p>Meta以5萬小時的語音錄音，訓練出語音生成模型Voicebox，在英語·在內的6種語言語音生成、去噪和內容編輯等各式語音任務表現非常好，能生成高品質語音，還是第一個未針對特定任務訓練，就能泛化處理各式語音生成任務的模型。由於模型過於強大，存在遭濫用風險，因此Meta不公開Voicebox模型和程式碼，僅公開音訊樣本和論文供學術參考。</p> <p>該模型的原理類似文字生成模型，只不過Voicebox生成的是語音訊號。Meta指出，Voicebox使用Flow Matching新方法，可直接從原始音訊和轉錄文字中學習，不必進行針對性的訓練。有別於自迴歸模型，Voicebox可修改樣本的任意部分，而不只有音訊片段的結尾，因此更擅長編輯音訊和建立長且連續的音訊內容，可用來替換被噪音破壞的語音片段。同時，Meta還打造一款分類器，能分辨Voicebox生成的語音和真實語音。<a href="https://ai.facebook.com/blog/voicebox-generative-ai-model-speech/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 歐洲議會 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI草案 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 風險 </span></strong></span></p> <p><span style="font-size:22px;"><strong>歐洲議會通過AI草案，規範AI風險等級和應用範圍</strong></span></p> <p>歐洲議會在最近通過了AI草案（AI Act），來保障在歐洲開發、使用的AI完全符合歐盟權利與價值觀，包括人類監督、安全、隱私、透明化、非歧視，以及社會與環境福址，成為西方世界第一個全面性的AI法規。</p> <p>這項草案是根據AI風險等級，來規定AI供應商和部署者的各種義務，同時禁止某些可能對人類安全造成高風險的AI系統，包括不得於公共空間設立即時的遠端生物辨識系統；不得以敏感特徵來建立生物分類系統，如性別、種族、民族、公民身分、宗教或政治取向；不得根據側寫、位置或過去的犯罪紀錄來打造警務預測系統；不得無針對性地利用網路及監視影像中的臉部，來建立人臉辨識資料庫等。此外，AI Act也建立高風險AI應用列表，包括在重大基礎設施、教育/職業訓練、招募/員工管理系統、必要的私人與公共服務、執法、移民/庇護/邊境管制管理，以及司法與民主程序等應用，都必須遵守嚴格義務。<a href="https://www.europarl.europa.eu/news/en/press-room/20230609IPR96212/meps-ready-to-negotiate-first-ever-rules-for-safe-and-transparent-ai">（詳全文）</a></p> <p><img alt="" src="https://www.europarl.europa.eu/resources/library/images/20230613PHT98324/20230613PHT98324_original.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 電腦視覺 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Transformer </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> I-JEPA </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta揭效能超越生成式方法的電腦視覺模型I-JEPA</strong></span></p> <p>Meta用一種新AI架構，打造一款6.32億參數的Transformer電腦視覺模型I-JEPA，能關注真正的圖像重點，以更少的GPU訓練時間來得到更好的效能，而且在多項電腦視覺任務的表現，還比主流電腦視覺模型好許多。I-JEPA模型所學習的資料表示（Representation），也不需大量微調，就能用於多種應用程式。在機器學習中，表示是指輸入資料被轉化成機器可理解和處理的形式，也就是所捕捉到原始資料的特徵和模式。</p> <p>I-JEPA高效能的秘訣，在於能以更像人類理解抽象表示的方式，來預測缺失的資訊。一般生成式模型的預測發生在像素空間，而I-JEPA則使用抽象的預測目標，消除了像素空間中不必要的細節，進而使模型學習更多語義特徵。I-JEPA的另一個重要設計是多區塊遮蔽策略，也就是在處理圖像複雜輸入時，不只關注一小部分，而是放眼更大的範圍，來理解、學習更多的語義資訊，透過豐富的上下文資訊來預測。<a href="https://ai.facebook.com/blog/yann-lecun-ai-model-i-jepa/">（詳全文）</a></p> <p><img alt="" src="https://scontent-tpe1-1.xx.fbcdn.net/v/t39.2365-6/352104339_981916789891681_1602903627307879922_n.png?_nc_cat=107&ccb=1-7&_nc_sid=ad8a9d&_nc_ohc=cJi4hohUXFIAX_RO3lY&_nc_ht=scontent-tpe1-1.xx&oh=00_AfATrWWkWjremHKgpgbH2BzR6ECiUekc0rizY2sDgZf2Fg&oe=649D6EF3" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GPT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 降價 </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI更新2大GPT模型，還調降價格</strong></span></p> <p>OpenAI日前發布新版GPT-4-0613和GPT-3.5-Turbo-0613兩大模型，在Chat Completions API中新添了新的函式呼叫能力。也就是說，新的函式呼叫功能可向GPT-4-0613、GPT-3.5-Turbo-0613描述函式，能更可靠地從模型中取得結構化資料，開發者可建立一個呼叫外部工具來回答問題的聊天機器人，或將自然語言轉換成API呼叫或資料庫查詢。</p> <p>此外，OpenAI也提供具更多Token的GPT-4-32K-0613和GPT-3.5-Turbo-16K版本，讓它們能處理更大量的文字。至於舊版GPT-3.5-Turbo、GPT-4和GPT-4-32K，則將在6月27日自動升級為新模型。同時，OpenAI也調降部分模型費用，其中最熱門的嵌入模型Text-Embedding-ada-002新價格為每1,000個Toekn為0.0001美元，降幅達75%。<a href="https://openai.com/blog/function-calling-and-other-api-updates">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Salesforce </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CRM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI雲服務 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Salesforce推出CRM AI雲服務</strong></span></p> <p>雲端CRM業者Salesforce日前推出AI雲（AI Cloud）服務，主打企業行銷和業務專用的生成式AI模型與資料管理分析工具。這款AI雲是以自家CRM專用的大型語言模型Einstein為核心，整合自家資料雲、資料視覺化分析平臺Tableau、API平臺MuleSoft和工作流程平臺Flow，來提供生成式AI服務，如撰寫客戶郵件、產生個人化行銷郵件、直銷訊息或廣告，在電商網站上產生個人化推薦、協助顧客完成購物流程，也能替開發人員寫程式、抓bug等。</p> <p>這套AI雲還有個特別之處，也就是Einstein GPT信任層，可將資料及模型切開，防止語言模型保留敏感的企業資料。同時，AI雲還支援第三方LLM，如AWS、Anthropic、Cohere和OpenAI的ChatGPT，都可在Salesforce基礎架構上使用。<a href="https://www.salesforce.com/news/press-releases/2023/06/12/ai-cloud-news/">（詳全文）</a></p> <p>圖片來源／微軟、歐洲議會、Meta</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. DeepMind新AlphaDev模型可加速資料中心運算效率</strong></p> <p><strong>2. Bing Chat桌機版可以說話了，還支援圖片生成、一次回答最多30次</strong></p> <p><strong>3. 新版Google Lens可檢測皮膚症狀、將整合Bard</strong></p> <p>資料來源：iThome整理，2023年6月</p> </div></div></div>
2023/6/26 00:31作者王若樸https://www.ithome.com.tw/news/157489
蘋果釋出visionOS SDK
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2023/06/developer-tools-to-create-spatial-experiences-for-apple-vision-pro-now-available/" target="_blank">蘋果周三（6/21）釋出）visionOS SDK</a>，以協助開發者打造支援Apple Vision Pro空間運算設備的各種應用。</p> <p><a href="https://www.ithome.com.tw/news/157200" target="_blank">蘋果於本月初發表</a>的Apple Vision Pro堪稱是全球最先進的混合實境（MR）頭戴裝置，除了可無縫融合數位及實體世界之外，只要利用眼睛、手勢及聲音就可操控。Apple Vision Pro預計於明年上半年率先於美國市場推出，售價高達3,499美元。</p> <p class="rtecenter"><img alt="" src="https://www.apple.com/newsroom/videos/media/rotation/posters/Apple-WWCD23-Vision-Pro-rotation-230605.jpg.large_2x.jpg" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_蘋果</span></span></p> <p>visionOS則是蘋果專為Apple Vision Pro設計的作業系統，也是蘋果首個空間運算作業系統，visionOS SDK提供了許多可用來建置相關應用的工具，包括可於程式中建置一個或多個視窗的Windows，可賦予程式深度以創造3D樣貌的Volumes，以及設定程式所處的空間（Spaces）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0623-Shared%20Space%20Window%20Volume.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p>程式空間的預設是會於共享空間（Shared Space）中啟動，與其它程式並列，利用視窗與Volumes來展示內容，使用者可隨意移動任何元素的位置，開發者也可讓程式於專有的Full Space空間中開啟，在此一空間發揮無限的創意，創造沈浸的環境。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0623-visionOS%20and%20Shared%20Space.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p>開發者可利用蘋果的各種既有框架來打造visionOS程式，涵蓋Xcode、SwiftUI、RealityKit、ARKit及TestFlight等。為了協助開發者最佳化visionOS程式的3D內容，蘋果於Xcode中建置了一個新工具Reality Composer Pro，以用來預覽及微調於Vision Pro上所呈現的3D模型、動畫、圖像與聲音。visionOS模擬器則可用來測試不同的房間布局與照明狀況。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0623-visionOS-2.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0623-Reality%20Composer%20Pro-1.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p>蘋果下個月即會在加州Cupertino、倫敦、慕尼黑、上海、新加坡與東京啟用開發者實驗室，以讓開發者可直接於Apple Vision Pro硬體上測試應用，還能得到蘋果工程師的支援，開發團隊也能申請開發者套件，以便於Apple Vision Pro上建置及測試應用。此外，以Unity工具建置3D程式與遊戲的開發者，自下個月起也能將其Unity程式移植到Apple Vision Pro上。</p> </div></div></div>
2023/6/23 16:26作者陳曉莉https://www.ithome.com.tw/news/157483
Windows版DuckDuckGo瀏覽器邁入公測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://spreadprivacy.com/windows-browser-open-beta/" target="_blank">隱私搜尋引擎DuckDuckGo本周釋出</a>了DuckDuckGo for Windows瀏覽器公開測試版，在<a href="https://www.ithome.com.tw/news/148580" target="_blank">DuckDuckGo宣布</a>踩進瀏覽器市場之後，已陸續支援Android、iOS、macOS及Windows。</p> <p>與其它平臺的版本一樣，DuckDuckGo for Windows內建及預設隱私保護，可在載入網頁之前封鎖各種追蹤器，其桌面瀏覽器所使用的資料便比Chrome少了60%，也可匯入來自其它瀏覽器的密碼與書籤。</p> <p>目前DuckDuckGo for Windows並不支援瀏覽器擴充程式，但內建許多基本的隱私功能，包括可用來播放YouTube影片的Duck Player，它可主動攔截侵入式廣告；可在載入網頁前封鎖追蹤器的Tracker blocking；以及可用來管理與隱藏Cookie同意彈出窗口的Cookie Pop-up Management（下圖）；只要一鍵就能銷毀瀏覽資源的Fire Button；以及可在登入網路服務時，隱藏真實電子郵件位址，並以@duck.com郵件位址取代的Email Protection。</p> <p class="rtecenter"><img alt="" src="https://spreadprivacy.com/content/images/size/w1000/2023/06/DDG-Windows---Cooke-Pop-up-Manager.jpg" style="width: 500px;" /></p> <p>DuckDuckGo打造瀏覽器的宗旨是以各個作業系統內建的渲染引擎為基礎，於是，它的Android版本是基於WebView ，iOS與macOS版是基於WebKit，而Windows版則是基於WebView2，因而比其它發展多年的瀏覽器更為簡潔，執行速度也更快。</p> <p>2008年就創立的DuckDuckGo迄今於全球搜尋引擎市場的占有率仍不到1%，除了很難與Google匹敵之外，前面還有Bing、Yandex、Yahoo及百度，至於其瀏覽器市占率可能也因數值太小而無法估算，DuckDuckGo亦未公布相關的用戶數量。</p> </div></div></div>
2023/6/23 16:35作者陳曉莉https://www.ithome.com.tw/news/157484
Meta更新Quest韌體，Quest 2與Quest Pro效能升級
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.meta.com/zh-tw/blog/quest/v55-software-update-cpu-gpu-performance-boost-improved-explore/" target="_blank">Meta於本周四（6/22）釋出</a>Quest v55，以更新Quest 2及Quest Pro虛擬實境頭戴裝置的韌體，該版本最受矚目的功能在於改善了26%的裝置CPU效能，且GPU效能亦分別提高了19%及11%。</p> <p>蘋果在本月初發表的Apple Vision Pro空間運算設備儘管要價3,499美元，<a href="https://www.ithome.com.tw/news/157260" target="_blank">但獲得了廣大的好評</a>，當時Meta創辦人暨執行長祖克柏（Mark Zuckerberg）即曾評論，Vision Pro只是配備了更高解析度的顯示器，並利用所有的技術來推動它。</p> <p>此次Quest韌體升級的主要目的之一顯然也是為了推動Quest裝置的效能。根據Meta的說法，該韌體更新將可帶來更流暢的遊戲表現，更靈敏的使用者介面，以及更豐富的內容，此外，它們也將啟用動態解析度縮放功能，以讓VR遊戲及程式得以在不減少每秒圖片數量的情況下增加像素密度。</p> <p>新版本也提供了獨立的Messenger程式（下圖），該程式同時支援2D與3D，亦可選用客製化造型的虛擬化身；用來探索虛擬世界的Explore則可用來尋找各種短影片或媒體內容，或是遨遊於Meta Horizon Worlds中的新世界；Meta Quest Browser新增對多重觸控的支援（下圖），讓使用者可利用手勢來與瀏覽器上的內容進行更多互動，例如縮放。</p> <p class="rtecenter"><img alt="" src="https://scontent.ftpe8-3.fna.fbcdn.net/v/t39.2365-6/355520731_222589884002471_2284938064463433972_n.png?_nc_cat=106&ccb=1-7&_nc_sid=a0c836&_nc_ohc=0-VbkBTX9vcAX9XnunB&_nc_ht=scontent.ftpe8-3.fna&oh=00_AfAIeoP3-b9zV1rKJzH4TsaZ8ZCivvFjm1xTPgxc55uXCQ&oe=649B3397" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://scontent.ftpe8-2.fna.fbcdn.net/v/t39.2365-6/10000000_6649110238453171_6324611140333054527_n.gif?_nc_cat=101&ccb=1-7&_nc_sid=a0c836&_nc_ohc=MiBi3hjIcoIAX9SDR5x&_nc_ht=scontent.ftpe8-2.fna&oh=00_AfCavCQ-obndoeWmv1TMV2vtEnRzcfuFdEqWlaxbH45Gpw&oe=64999C26" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Meta</span></span></p> <p>為了減少升級可能會遇上的問題，Quest v55更新將會逐步進行，而不會一次部署至所有裝置上。</p> </div></div></div>
2023/6/23 16:46作者陳曉莉https://www.ithome.com.tw/news/157485
Meta宣布將封鎖加拿大臉書與IG上的新聞內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了因應<a href="http://www.canada.ca/en/canadian-heritage/news/2023/06/online-news-act-receives-royal-assent.html" target="_blank">加拿大於本周四（6/22）通過的《線上新聞法令》</a>（Online News Act），<a href="https://about.fb.com/news/2023/06/changes-to-news-availability-on-our-platforms-in-canada/" target="_blank">Meta同一天宣布</a>，將在該法案正式生效前，封鎖加拿大臉書（Facebook）與Instagram（IG）上的新聞內容。</p> <p>加拿大是在去年4月提出《線上新聞法令》，主旨是為了保護當地的新聞產業，要求藉由新聞內容獲取流量及營收的數位平臺必須補償新聞業者。</p> <p>根據加拿大的統計，從2008年到2020年間，該國境內的電視、廣播、報紙及雜誌產業的營收下滑了60億元加拿大幣，而在2010年至2016年間，有1/3與新聞相關的職缺蒸發了，且自2008年來，有474家新聞媒體倒閉了。</p> <p>加拿大當局認為，這些數位平臺因於平臺上分享新聞內容而受益，不管是直接獲得廣告收入，或者是間接得到使用者流量或資料，而《線上新聞法令》即是要求這些大型平臺能夠藉由雙方的談判，公平地補償新聞產業。此一《線上新聞法令》已於本周四獲得王室同意（Royal Assent），預計於6個月後生效。</p> <p>不過，Meta顯然並不打算分潤予加拿大新聞業者，並說為了遵循該法令，將封鎖當地臉書與IG上的新聞內容，未來該國境內的用戶無法再存取任何來自新聞出版商或廣播業者的內容。此外，Meta今年6月初已開始於當地測試刪去新聞內容的臉書與IG服務。</p> <p>Meta亦強調，此一變更只影響新聞內容，並不會波及Meta於加拿大所提供的其它產品及服務。</p> </div></div></div>
2023/6/23 16:54作者陳曉莉https://www.ithome.com.tw/news/157486
AWS投入1億美元挹注生成性AI計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businesswire.com/news/home/20230622131589/en/AWS-Announces-Generative-AI-Innovation-Center" target="_blank">Amazon Web Services（AWS）本周宣布</a>投入1億美元的生成性AI促進計畫，協助企業客戶及合作夥伴規畫及部署AI技術。</p> <p>AWS希望透過這項技術推廣其AI雲端服務，以追趕微軟及Google等對手。微軟和Google分別透過Bing Chat及Bard整合其生產力工具（如Office、Workspace）及搜尋服務，擴大對企業的吸引力。</p> <p>在這項計畫中，AWS成立生成性AI創新中心（Generative AI Innovation Center），提供AI的顧問服務、資料科學家、工程師和解決方案架構師等資源，協助不同產業的客戶利用AWS的機器學習及AI服務建立AI方案，例如為醫療和生技業加速藥物研究、開發，為製造業改進設計和製程，為金融業的客戶提供個人化金融建議和資訊。</p> <p>AWS表示，在AWS的資金挹注下，其客戶可獲得免費相關教育訓練、學習工作坊、規畫等費用。創新中心團隊會提供專案最佳典範（best practice），協助部署負責任（即符合AI倫理）的生成性AI、優化機器學習運作，以降低專案的整體成本。規畫階段可協助客戶使用AWS生成性AI服務，包括程式撰寫助理Amazon CodeWhisper、Amazon Bedrock（AI模型平臺），<a href="https://www.ithome.com.tw/news/156411" target="_blank">後者</a>可提供Amazon Titan或以API使用AI21 Labs、Anthropic及Stability AI的第三方AI模型，協助客戶在AWS的雲端服務如EC2執行個體上，訓練、執行及部署AI服務。另外，客戶也可以運用機器學習代管服務Amazon SageMaker或SageMaker Jumpstart部署現今最多人使用的因式分解機（factorization machine）模型，包括Cohere的大型語言模型、Hugging Face的BLOOM及科技創新研究所（Technology Innovation Institute）的Falcon 40B等。</p> <p>目前已經有AI銷售工具商Highspot、旅遊出版業者Lonely Planet、Ryanair航空及專案管理平臺Twilio加入本計畫，以發展生成性AI解決方案。</p> </div></div></div>
2023/6/23 15:20作者林妍溱https://www.ithome.com.tw/news/157481
蘋果修補舊版iPhone、iPad 2個Triangulation零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果本周針對較早版本iOS、iPadOS裝置釋出更新版本，修補已被Operation Triangulation駭客濫用的2個安全漏洞。</p> <p>這波釋出的是<a href="https://support.apple.com/en-us/HT213814" target="_blank">iOS/iPadOS 16.5.1</a>及<a href="https://support.apple.com/en-us/HT213811" target="_blank">iOS/iPadOS 15.7.7</a>。這波更新包含2個安全漏洞的修補程式。其中一個是CVE-2023-32434，是一個影響作業系統核心的整數溢位漏洞，能讓惡意程式以核心權限執行任意程式碼。另一個是CVE-2023-32439，為Safari瀏覽器引擎WebKit中的型態混淆漏洞，可讓攻擊者傳送網頁連結，誘使用戶點擊造訪，引發任意程式碼執行。蘋果說已接獲通報這2個漏洞遭到積極濫用。</p> <p>發現該漏洞的安全業者之一<a href="https://securelist.com/operation-triangulation/109842/" target="_blank">卡巴斯基6月首先公告</a>這波攻擊，並將這波攻擊稱為Operation Triangulation。卡巴斯基發現攻擊者傳送附有惡意附件的iMessage給受害者，用戶無需任何動作，只要點選訊息即可觸發漏洞安裝惡意程式，並啟動後續下載，最終植入間諜軟體。卡巴斯基的員工也因此中招。</p> <p>卡巴斯基追查到最早感染時間為2019年，到目前攻擊仍然在進行中，最後受影響的iOS版本為15.7版，意謂受影響的只有iOS 15.7以前版本的裝置。</p> <p>以產品而言，則為iPhone 8、iPad Air 3、iPad 5、iPad mini 5及以後版本，以及iPad Pro所有機種。</p> <p>這波攻擊的主謀為誰仍不得而知，但同一天<a href="https://therecord.media/russia-accusses-us-of-hacking-apple-devices-to-spy-on-diplomats" target="_blank">俄羅斯聯邦安全局（Federal Security Service,FSB）指控</a>美國發動攻擊，以惡意程式感染數千名俄國iPhone用戶，受害者包括一般人民及外交官員，且蘋果知情卻坐視不理。</p> <p>但卡巴斯基以缺乏證據為由，表示無法證實此事。</p> <p>蘋果同時釋出<a href="https://support.apple.com/en-us/HT213813" target="_blank">macOS Ventura 13.4.1</a>修補這2個漏洞。<a href="https://support.apple.com/en-us/HT213808" target="_blank">watchOS 8.8.1</a>則只修補了CVE-2023-32434。</p> </div></div></div>
2023/6/23 15:34作者林妍溱https://www.ithome.com.tw/news/157482
Solidigm第四代QLC SSD登場，提供E3.S外形與30.72 TB
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/solidigm_d5-p5430_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2023台北國際電腦展舉行的前夕，美光（Micron）、Solidigm這兩大記憶體廠商不約而同，均選在5月發表最新款資料中心固態硬碟產品，前者基於TLC NAND快閃記憶體技術，推出每日寫入量高達35次的高耐寫度產品XTR系列，以及採用232層NAND技術的超大容量產品6500 ION系列，後者則是繼2022年4月發表兩款TLC資料中心固態硬碟：D7-P5520、D7-P5620，相隔一年多，終於針對這類型用途的市場需求推出新產品：D5-P5430。</p> <p><a href="https://s4.itho.me/sites/default/files/images/P5430-1_1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/P5430-1_1.jpg" style="width: 600px;" /></a></p> <p>就外形而言，D5-P5430提供U.2、E3.S、E1.S，其中的前兩種先上市，儲存容量有3.84 TB、7.68 TB、15.36 TB、30.72 TB之分，可分別供應搭配2.5吋固態硬碟的既有伺服器機型，以及標榜支援E3.S，近期隨著英特爾、AMD推出第四代處理器平臺而上市的新進伺服器機型；至於採用E1.S外形的產品，預計今年第四季才會廣泛供貨，儲存容量有3.84 TB、7.68 TB、15.36 TB之分。</p> <p><a href="https://s4.itho.me/sites/default/files/images/P5430-2_1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/P5430-2_1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/solidigm-d5-p5430-e3s-in server-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/solidigm-d5-p5430-e3s-in%20server-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/solidigm-d5-p5430-e3s-in server-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/solidigm-d5-p5430-e3s-in%20server-2.jpg" style="width: 298px;" /></a></p> <p>關於採用的快閃記憶體技術與產品定位，Solidigm表示，D5-P5430是他們的第四代QLC固態硬碟產品，採用192層堆疊設計，所針對的儲存應用需求，涵蓋了主流工作負載，如電子郵件或整合通訊系統、決策支援系統、物件儲存系統、虛擬化桌面基礎架構（VDI），以及讀取密集型工作負載，如網站內容遞送網路（CDN）、資料湖或資料工作流程管線、隨選視訊播放。</p> <p>相較於目前受到廣泛採用的資料中心TLC固態硬碟產品，多數的最大儲存容量只到15.36 TB，如果改用可提供30.72 TB的產品，在資料中心環境大規模採用時，具有較高的儲存密度配置優勢。</p> <p>據Solidigm的估算，一套由3臺機櫃組成的物件儲存系統，原本全部採用U.3外形、15.36 TB容量的TLC固態硬碟Micron 7450 Pro，需設置40臺伺服器、960臺固態硬碟，若以QLC固態硬碟Solidigm D5-P5430取而代之，僅需2座機櫃、20臺伺服器、480臺固態硬碟，機櫃佔地空間可節省3成（機櫃密度增長至1.5倍），伺服器與固態硬碟數量也只需要一半，能源成本節省幅度為18％，總體持有成本可減少27％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/P5430-3_cost.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/P5430-3_cost.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/P5430-4_1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/P5430-4_1.jpg" style="width: 600px;" /></a></p> <p>而在資料耐寫程度上，Solidigm D5-P5430受惠於儲存容量較大的優勢，在總寫入量（PBW）的規格略勝一籌。因為Solidigm D5-P5430受限於本身採用QLC，每日寫入量只有0.58次，但由於最大儲存容量為30.72 TB，總寫入量可達到31.92 PBW。相較之下，採用TLC的Micron 7450 Pro，每日寫入量為1次，但因為最大儲存容量為15.36 TB，Solidigm估計其總寫入量為28 PBW，這意味著，Solidigm D5-P5430的寫入壽命領先14％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/P5430-Spec Comparison1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/P5430-Spec%20Comparison1.jpg" style="width: 600px;" /></a></p> <p>接下來，我們從效能規格來檢視新產品的改善程度。在D5-P5430推出之前，Solidigm在QLC資料中心固態硬碟產品，主要是2021年在英特爾麾下推出的D5-P5316，提供15.36TB、30.72TB等兩種儲存容量，採用144層堆疊設計，循序讀寫效能分別為7,000 MB/s與3,600 MB/s，隨機讀寫效能分別為80萬IOPS與7800 IOPS。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/P5430-5.jpg" style="width: 600px;" /></p> <p>到了最新發表的D5-P5430，循序讀寫速度是7,000 MB/s與3,000 MB/s，隨機讀寫速度是97.1萬IOPS與12萬IOPS，顯然在隨機寫入速度有了很大突破。若是與其他廠牌的TLC固態硬碟相比，在循序讀取與隨機讀取方面，所差無幾，但在循序寫入與隨機寫入方面的落後幅度較大，仍有一半的差距需追趕。</p> <p><a href="https://s4.itho.me/sites/default/files/images/P5430-Spec Comparison2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/P5430-Spec%20Comparison2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-qlc-vs-tlc-performance-endurance-capacity.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-qlc-vs-tlc-performance-endurance-capacity.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，去年第三季，Solidigm就已經釋出相關消息。</p> <p>例如，在10月舉行OCP全球高峰會期間，他們預告將推出192層堆疊設計的第四代QLC固態硬碟，外形會有U.2、E3.S、E1.S，而且會是在D5系列的產品線，同時，也以圖解方式呈現E3.S用於2U尺寸伺服器時，能以24臺固態硬碟搭配8臺儲存級記憶體或加速運算模組的配置。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-10-Solidigm-4th Gen QLC-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-10-Solidigm-4th%20Gen%20QLC-1.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-10-Solidigm-4th%20Gen%20QLC-2.jpg" style="width: 299px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2022-10-Solidigm-4th%20Gen%20QLC-3.jpg" style="width: 299px;" /></p> <p>同年，11月在Tech Field Day舉行的Storage Field Day 24活動當中，他們更進一步描述192層堆疊第四代QLC固態硬碟產品面貌，像是分成QLC基礎耐用型、QLC超值耐用型，前者就是上述先揭露的部分，而對照今年發表的最新產品特色來看，它就是D5-P5430，後者提供的最大儲存容量將達到61.44 TB，總寫入量是65 PBW（D5-P5316為23 PBW）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/TFD-Solidigm-4th Gen QLC SSD0.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TFD-Solidigm-4th%20Gen%20QLC%20SSD0.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/TFD-Solidigm-4th Gen QLC SSD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TFD-Solidigm-4th%20Gen%20QLC%20SSD.jpg" style="width: 600px;" /></a></p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p>Solidigm D5-P5430<br /> ●原廠：Solidigm<br /> ●建議售價：廠商未提供<br /> ●儲存容量：3.84 TB、7.68 TB、15.36 TB、30.72 TB<br /> ●外形：U.2、E3.S，E1.S（預計2023Q4廣泛供應，不提供30.72 TB）<br /> ●儲存媒體：3D NAND，QLC，192層<br /> ●最高讀寫速度：循序7,000 MB/s與3,000 MB/s，隨機97.1萬IOPS與12萬IOPS<br /> ●使用介面：PCIe 4.0 x4<br /> ●耐用度：每日寫入量為0.58，總寫入量為31.92 PBW<br /> ●可靠度：廠商未公開相關資訊<br /> ●保固期間：5年</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/6/23 15:46作者李宗翰https://www.ithome.com.tw/review/157477
逆思考，迎接截然不同的全球體系
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-shi_jie_bu_zai_shi_ping_de_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">感電出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當有團體僱用我時，很少是他們想思考安哥拉或烏茲別克的未來。他們的需求和問題都與國內和他們的荷包比較有關，包裝在一系列有關貿易、市場和通路的經濟問題中。我的工作是把地緣政治學和人口學應用在他們的問題、夢想、憂慮。我剝開我的「大圖像」相應的部分，用在東南亞的電力需求，或威斯康辛州的精密製造業，或南非的金融流動性等問題上。</p> <p>本書除了探討這些和其他主題外，也涵蓋遠為廣泛的主題。我再度運用我可靠的地緣政治學和人口學工具來預測未來的全球經濟結構，和說明不久以後的世界會是什麼情況。</p> <p><span style="font-size:28px;"><strong>未來大圖像</strong></span></p> <p>我們在地緣政治和人口結構上面對的難題是，在過去七十五年來的大部分時候我們一直生活在那個完美的時刻。</p> <p>美國人在第二次世界大戰後創造了有史以來最強大的軍事聯盟，藉以阻止、壓制和打敗蘇聯。不過，人們經常忘記的是這個聯盟只是全盤計畫的一半。為了鞏固這個新聯盟，美國人也建立一個全球性的安全環境，以便任何夥伴可以隨時通達任何地方，以任何方式與任何國家經濟交流，參與任何供應鏈和獲得任何原物料投入──完全不需要軍事的護航。美國的槍砲與奶油（gun-and-butter）協議的奶油面，創造了我們今日所知的自由貿易和全球化。</p> <p>全球化首次為世界的廣大地區帶來發展和工業化，創造出大眾消費社會和緊密的貿易關係，以及我們都很熟悉的飛躍的技術進步。而這一切重新塑造了全球的人口結構。大規模的發展和工業化延長了壽命，同時鼓勵了都市化。數十年來這意味更多的勞工和消費者──為經濟提供動力的人。其中一個結果是人類從未見過的快速經濟成長。</p> <p>美國人制定的戰後秩序觸發了條件的改變。藉由改變遊戲規則，使經濟情勢出現了全球性、國家性、地方性的轉變。這種條件的改變創造出我們所知的世界。一個擁有先進的運輸和金融、不虞匱乏的食物與能源、永不停止改進和難以置信速度的世界。</p> <p>但所有事物都會逝去。現在我們面對一個新的條件的改變。</p> <p>冷戰結束的三十年後，美國人已回歸自己的國家。沒有一個國家擁有能支持全球安全和伴隨而來的全球貿易的軍事能力。美國領導的秩序已讓位給脫序（Disorder）。在我們達到那種完美的成長時刻的同時，全球老齡化並沒有停止，而且持續至今。在我們急速的都市化中，接棒的世代並沒有出生。</p> <p>一九四五年以來世界一直保持著歷來最好的狀況，保持著未來無法再更好的狀況。這是以詩意的方式來描述這個時代──我們的世界──注定要衰敗。二○二○年代將見證世界幾乎每個地方的消費與生產和投資與貿易的大幅滑落。全球化將崩解為碎片，變成區域化、國家化或小型化。這將帶來重大損失。這將使生活變緩慢，更重要的是，這將使生活水準下降。沒有一個經濟體系能在我們即將面對的這種未來中運作。</p> <p>輕描淡寫地說，這種去全球化的情況將不太妙。我們經歷數十年的承平日子才打造出我們的美好世界，要想像我們能輕易或快速適應這種巨大的崩解，將需要我所沒有的樂觀。</p> <p>但這並不是說我不能提供一些路標。</p> <p><span style="font-size:28px;"><strong>美國還有優勢嗎？</strong></span></p> <p>第一是我稱之為「成功地理學」的東西。地方很重要，非常重要。在前工業時代，埃及城市的存在是因為它們擁有水和沙漠緩衝區的完美組合。類似的，西班牙人和葡萄牙人的崛起不只是因為他們很早就掌握大洋航海技術，而是因為他們居住的半島地點避免他們捲入歐洲大陸的混戰。</p> <p>當工業技術加入這個組合後，故事就不同了。大量應用煤、水泥、鐵路和鋼筋需要很多錢，而只有擁有許多能創造資本的可航行水道的地方拿得出龐大資金。在歐洲各國中，德國是最具備這項條件的國家，因此德國的崛起也是理所當然的事。但在世界範圍內，美國比任何其他國家更具備這項條件──因此德國的衰敗也無可避免。</p> <p>第二，雖然你自己也可能已經想到，成功的地理區也無法倖免於失敗。隨著技術演進，贏家與輸家的清單也跟著輪轉。工業革命把西班牙打入邊緣地位，開啟大英帝國的興起。即將發生的全球脫序和人口結構崩解，造成的影響將不只是把許多國家掃入歷史垃圾堆，它也預告了其他國家將崛起。</p> <p>第三，變數的轉移將衝擊幾乎每一件事。畢竟，全球化的世界意味全球性的影響。全球化世界只有一套經濟地理學：一個整體的地理區。不管是貿易或產品，幾乎每一個程序至少會跨越一條國際邊界，較複雜的程序甚至跨越數千條邊界。在我們正要踏進的世界秩序裡，那是極其不智的作法。去全球化的世界不但有不同的經濟地理學，而且有數千個不同且分隔的地理區。從經濟的觀點看，整體因為包容所有的部分而更強大，那是我們一直以來獲得財富、進步和加速的原因。但現在那些部分將因為分離而變衰弱。</p> <p>第四，儘管全球情勢劇烈變動並惡化，美國將大體上躲過即將來臨的災劫。這可能觸發你的鬼話偵測器。我憑什麼宣稱美國將輕鬆度過這場大變動？美國不斷升高的經濟不平等、日益緊繃的社會結構，和愈來愈惡毒和自我毀滅的政治惡鬥又會如何？</p> <p>我了解這種反射性的不相信。我在臥倒並掩護（duck-and-cover，注：《臥倒並掩護》是一部由美國聯邦政府民防管理局於一九五一年製作的宣導影片，用以教導民眾應對原子彈攻擊）的年代長大，我為像是大學裡的「安全空間」（safe spaces）這類太過政治正確而排斥不同觀點的情況、變性人洗手間政策，以及疫苗的利弊等議題已進入所謂的城鎮廣場感到憂心，當然不只是因為它們也排擠了像核武擴散或美國在全世界的地位等議題。有時候感覺好像美國的政策只是隨機想像和拼湊黏貼的產物。</p> <p>我的答案？很簡單：問題與他們無關。問題從來就與他們無關。我說「他們」指的不只是當代美國的激進左派和右派不受節制的政壇怪咖，我指的是整體的美國政治人物。二○二○年代將不是美國第一次經歷政治體制的全面重組。對歷史感興趣的人應該知道這是第七次。美國人過去享有的昌盛繁榮是因為他們的地理區與世界大部分地方隔絕，同時美國的人口結構比其他地方年輕。現在基於類似的原因，他們也將繼續昌盛繁榮。美國的優勢容許它辯論自己可能變得弱小，但這些辯論絲毫不影響它的優勢。</p> <p>也許不久以後將發生的最奇怪的事是，在美國人為他們的衰弱和國內的分歧惋嘆時，他們幾乎沒有注意到世界其他地方正在毀滅！明燈將開始閃爍，然後熄滅。饑饉的利爪將深深刺入並抓緊。造就現代世界的投入──資本、原料和勞動力──的來源將逐漸枯竭，使現代生活難以為繼。過去七十五年將成為人們記憶中的黃金時代，一個持續得不夠久的黃金時代。</p> <p>本書的中心主題不只是有關世界的每個經濟部門的每個面向即將面對的改變有多深和多廣。本書真正的焦點是描繪從這個大改變的另一面看一切事物會是什麼模樣。未來的可能性的新變數是什麼？在一個去全球化的世界，新的成功地理學是什麼？<span style="color:#696969;">（摘錄整理自《世界不再是平的》前言，感電出版提供）</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E4%B8%96%E7%95%8C%E4%B8%8D%E5%86%8D%E6%98%AF%E5%B9%B3%E7%9A%84_600.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_感電出版</span></span></p> <p><span style="font-size:18px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 世界不再是平的：後全球化時代的供應鏈重組與地緣政治預測（The End of the World Is Just the Beginning）</strong></span></p> <p><strong>彼得．澤汗（Peter Zeihan）／著；吳國卿／譯</strong></p> <p><strong>感電出版</strong></p> <p><strong>定價：700元</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%96%E7%95%8C%E4%B8%8D%E5%86%8D%E6%98%AF%E5%B9%B3%E7%9A%84_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Peter%20Zeihan.png" style="width: 170px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span> </strong></span><strong>彼得．澤汗（Peter Zeihan）</strong></p> <p>地緣政治戰略家，也是地緣政治諮詢公司Zeihan on Geopolitics創始人。他的客戶包括能源公司、金融機構、商業協會、農業利益集團、大學和美國軍方。另著有《意外的超級大國》（The Accidental Superpower）和《缺席的超級大國》（The Absent Superpower）。<a href="https://zeihan.com/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Peter Zeihan</span></span></a></p> </div></div></div>
2023/6/23 00:00未署名https://www.ithome.com.tw/article/157298
【iThome大調查系列2】ESG成為CIO年度主要目標
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1135-feng_mian_p1-open-960x420_gong_zuo_qu_yu_1.jpg?itok=armGimP-" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>疫情解除後，企業數位轉型腳步持續加速，但是，CIO今年目標開始轉變。資安依舊首要，IT穩定和遠距工作需求下降，ChatGPT浪潮才剛起飛，反倒是ESG企業永續的優先度排名大舉提升，甚至超越了數位轉型</p> </div></div></div>
2023/6/22 17:33未署名https://www.ithome.com.tw/article/157479
其實你沒自己想像得那麼不同
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在6月中一場記者會正式開始進行之前，和同業與廠商的高層談到臺灣和中國IT詞彙混雜使用的狀況，我說，明明Code在不同情境之下，應該用對應的詞彙去表達，有時是指程式碼，有時是指代號，有時是指密碼，但現在許多人都用「代碼」來稱呼，簡直太離譜了。但這種多元與複雜的面貌，顯示軟體在IT領域扮演了多種角色，以及本身的重要性。</p> <p>恰巧最近我們有篇新聞編譯，介紹基礎設施即程式碼（Iac）工具Pulumi的消息，讓我聯想到近期的IT架構變革從伺服器虛擬化、軟體定義資料中心，一路走向Infrastructure as Code／新一代系統組態管理、容器化／微服務化／雲端原生，以致當前走紅的人工智慧／機器學習，都跟軟體開發的快速發展與演進有著密不可分的關係，因此，後來有人提出一切即程式碼（Everything as Code，EaC），這樣的論調完全不意外，基礎架構、環境、組態、資料處理流程、政策等層面，幾乎都能用軟體、程式碼來定義，而這也意味著：各種IT技術之間的共通性越來越多，因此，我們逐漸能用少量、甚至單一的作法來進行IT系統的指揮、調度，而非逐一操作，分頭進行處理。</p> <p>以前我們是用一整個軟體系統來感受這樣的變化，但現在這些細部的處理，未必都必須在同一套系統當中實現，而能憑藉程式碼的層級，就能橫跨不同系統與服務進行各種作業的方法。</p> <p>我最早意識到這種可能性，是從接觸伺服器虛擬化技術開始。事實上，一個系統平臺同時執行多臺可裝載、執行應用程式的虛擬機器，並不足為奇，就像一臺電腦可執行多支應用程式，而在Java、.NET等環境可執行多臺虛擬機器。然而，基於虛擬硬體而成的伺服器虛擬化技術，帶給我最大的震撼是：若以存放在電腦或伺服器硬碟的形態而言，這些全虛擬或半虛擬的虛擬機器，本體居然是由多種檔案所組成，像是：虛擬硬碟檔、虛擬機器組態檔、虛擬記憶體檔與快照檔。</p> <p>因此，如果我們要將一臺臺虛擬機器搬移到另一臺電腦或伺服器，在離線狀況下，只需針對這些檔案進行適當的處理即可，例如可複製所存放的資料夾，透過網路或外接儲存裝置，傳送至所要運行的電腦或伺服器。</p> <p>容器技術崛起之後，因為幾秒之內就能完成應用系統的組建與部署，而在軟體開發環境大量採用，因而促成多種技術創新，像是微服務、Kubernetes、IaC、組態管理與自動化腳本，也形塑現今IT界經常會討論到的DevOps文化。</p> <p>在此同時，機器學習技術的發展已取得重大突破，繼電腦視覺重新崛起，許多公司導入、將其用於產品瑕疵檢測，從去年下半開始，大型語言模型（LLM）、多模態AI模型，使得生成式AI、AI生成內容（AIGC）成為當前最被看好的IT應用，但在眾所期待的另一面則是面臨嚴重焦慮，當很多人都看到、親自體驗ChatGPT的具體成效，以及媒體報導的推波助瀾，大家都擔心自己的飯碗不保，因為有許多工作都可能會被AI取代。</p> <p>然而，時代終究是要進步的，許多我們現在認為獨一無二、非用手動方法親自去處理的工作，其實，在大部分狀況下，並非只有一種解法或出路，而所需要達到的水準與提供的服務等級，也應該有多種配置，而非抱持著「盡己所能（Best Efforts）」這樣的思維與行動模式，實現「以客為尊」並非只有客製化、投入更多人力，更何況AI技術的到來，顯然不僅能提供更具規模的服務能力，也有機會同時提供量身打造的互動體驗，當AI做到質與量兼具，死守傳統模式的我們又該如何自處？</p> <p>而從眾人對於ChatGPT的表現感到驚艷的狀況來看，雖然有人認為做的不夠好，但有更多人覺得這樣已經很好，認為機器的回應已能符合他們的要求，甚至分不出機器與真人的差異，此舉應該也讓一些人感到挫折，因為多數人並不在乎互動的獨特性與差異，他們只在意自己當下有限的需求是否即時獲得滿足或回應，而作為產品與服務提供方的我們，應該也認清這個殘酷的事實，重新尋找自己的價值。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ai">AI</a></div></div></div>
2023/6/22 17:38作者李宗翰https://www.ithome.com.tw/voice/157480
今年溫布頓網球賽將導入AI球評、勝負預測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年12月舉行的<a href="https://www.ithome.com.tw/news/151740" target="_blank">卡達足球世界盃運用AI及感測器提供越位判決</a>，今年科技業者則進一步使用生成性AI。<a href="https://www.prnewswire.com/news-releases/ibm-brings-generative-ai-commentary-and-ai-draw-analysis-to-the-wimbledon-digital-experience-301856210.html" target="_blank">全英草地網球俱樂部（The All England Lawn Tennis Club，簡稱全英俱樂部）和IBM宣布</a>，今年即將開打的網球四大公開賽之一的溫布頓（Wimbledon）網球錦標賽，將以AI技術提供球賽評論及球員贏球機率預測分析。</p> <p>這項服務是由IBM諮詢事業群中的設計部門iX與全英俱樂部合作開發。這次合作將為Wimbledon App和wmbledon.com增加二項新功能。第一項是AI球評，將會為比賽精華影片提供AI聲音轉播及字幕，使App及線上觀眾可以更深入理解比賽。他們也能自由開啟或關閉這些資訊。</p> <p>為了提供AI比賽評論，watsonx.ai團隊以將近1.3億份文件為訓練資料集，利用IBM企業AI和資料平臺watsonx的底層AI模型，以溫布敦錦標賽的專門術語來訓練出30億參數的生成性AI模型。這個模型可使用多種句型結構及字彙來產生敍述、旁白，提升影片片段的內容豐富性及可看性。</p> <p><a href="https://www.ibm.com/blog/enhancing-the-wimbledon-fan-experience-with-ai-from-watsonx/" target="_blank">IBM說明</a>，球場上設置感測器追蹤球的路線、速度及落點等資料並送到IBM平臺上，經過平臺上的AI模型處理，最後以生成式AI處理技術產出自然語言的轉播文字，並由聲音合成AI系統產出幾近即時的聲音旁白。</p> <p>第二項功能是AI抽籤分析（draw analysis）。這功能可提供每位球員進到決賽（最後一輪）的機率分析。<a href="https://www.ibm.com/blog/enhancing-the-wimbledon-fan-experience-with-ai-from-watsonx/" target="_blank">IBM說明</a>，AI抽籤分析是以IBM之前為全英俱樂部開發的2種指標為基礎發展而成。一是IBM Power Index，指的是球員最近的球賽表現，加上以自然語言處理（NLP）技術蒐集、分析球員媒體公開發言展現的狀態。</p> <p class="rtecenter"><img alt="" src="https://developer.ibm.com/developer/default/articles/trusted-ai-generated-content-at-the-2022-championships/images/leaderboard.png" style="text-align: center; width: 243px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_IBM</span></p> <p>另一個則是球員和籤表其他人相對的贏球機率（名為Likelihood to Win），因素包括其世界排名及對手實力等。每位球員的抽籤分析預測會以尺標刻度和級別顯示，每天更新一次，直到他輸球被淘汰。IBM表示，運用AI技術，可協助觀眾發現光以排名無法提供的洞見，為觀賽增添樂趣。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0622-IBM-Winbledon-4.png" style="width: 480px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_IBM</span></span></p> <p>今年溫布頓網球錦標賽將從7月3日起到7月16日開打。</p> </div></div></div>
2023/6/22 16:51作者林妍溱https://www.ithome.com.tw/news/157478
谷歌之前那些催生安卓的科技公司
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-androidkai_fa_mi_xin_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最一開始，Android公司的目標是打造一個名為FotoFram的數位相機平台。</p> <p>2003年的數位相機技術變得越來越有趣；數位單眼相機（DSLR）將高品質鏡頭結合越來越大的感測器，捕捉數位影像檔案中的更多細節。但是，這些相機的軟體……差強人意。</p> <p>安迪‧魯賓最近剛剛離開他創辦的手機製造公司Danger，正在尋找一個新的專案。他與WebTV的前同事克里斯‧懷特一起創辦了一家新公司，致力開發更好的相機軟體。安迪擔任執行長（CEO），而克里斯是技術長（CTO），他們在2003年底創辦了FotoFarm這家公司，為數位相機提供作業系統。他們所設想的軟體能夠帶來更好的UI和網路，以及執行應用程式的能力。與優質相機硬體兩相結合，他們將在攝影與影像功能與體驗的領域中開闢新的疆土。</p> <p><span style="font-size:28px;"><strong>Android…相機的作業系統？</strong></span></p> <p>克里斯告訴安迪，他們應該可以想出一個比FotoFarm更好聽、更有吸引力的名字。而這時的安迪擁有一個名為Android.com的網域，所以他們把公司名字改為Android。</p> <p>讓投資人相信他們對於Android相機平台的願景，正是他們所需要的。但是，沒有人關心相機；當時的每個人只想談論手機。</p> <p>安迪邀請尼克‧席爾斯到Android位於加州帕羅奧圖的辦公室作客，為後者推銷相機作業系統的商業點子。這兩人曾在Danger的手機「T-Mobile Sidekick」上有過密切合作。尼克已經決定離開T-Mobile，但會繼續從事手機相關業務。他想要打造一款面向消費者的智慧型手機，超越他們過去在Danger開發過的東西。</p> <p>尼克認為，Danger的表現之所以不如預期，原因之一是裝置本身的介面和形狀：「每個人都認為這是一款具有標誌性的裝置，但我們知道這款手機的形狀還不夠小巧，人們不想把它拿在手中。它仍然是一個很笨重的裝置，它的螢幕像是另一個單獨存在的東西。」</p> <p>Android的願景並沒有吸引到尼克；他對相機不感興趣。手機領域才是他的經歷與興趣所在。他告訴安迪：「如果你改變主意決定做手機，再聯絡我吧。」</p> <p>那次對話的不久之後，安迪與另一位在Danger共事過的同事里奇‧麥拿聊了起來。作為他的雇主、行動通訊商Orange的代表，里奇是Danger的早期投資人。透過這樣的緣分，讓他與安迪有著深入瞭解，里奇一直與他保持聯絡，想看看安迪未來打算做些什麼。</p> <p>里奇和尼克一樣，建議安迪的新創公司考慮開發手機，而不是相機。里奇在手機市場中深耕多年，他看到了Android於此有所作為的潛在機會。克里斯也和安迪提過這種可能性。但是安迪仍然有些抗拒。</p> <p>安迪不想再做手機了。他為當時在Danger的經驗感到灰心，因為最後結果不如預期。然而，與此同時，他向風險投資人推銷相機作業系統的創業計畫，卻沒有激起任何水花。此外，他還觀察了相機市場的現實情勢，發現當時相機銷量正在下滑，因為製造商開始在手機上搭載相機功能。</p> <p>2004年11月，安迪參加了另一場風投會議。他的相機作業系統依舊無法引發任何投資人的興趣。所以安迪將話鋒一轉，提到了手機作為另一種可能性，然後看到了會議室裡的耳朵紛紛豎了起來。</p> <p>安迪終於投降了。他回頭聯繫了尼克與里奇，並告訴他們，他現在準備好開發一個手機的作業系統。</p> <p><span style="font-size:28px;"><strong>農場團隊</strong></span></p> <p>和其他科技一樣，Android與其說是一種產品，或是一種發布版本，倒不如說是打造Android背後的人們，以及在打造這項東西的過程中所凝聚的集體經驗。因此，Android（手機作業系統）的發展源起，甚至比這家新創公司的創辦日期還要早得多，我們必須追溯到Android團隊成員的共同經歷。</p> <p>Android的奇蹟之所以發生，是因為其他許多努力的成果率先出現。或者，更準確地說，Android之所以存在，是因為開發它的人們以前曾在各式各樣的公司中一起共事過，它存在於一個各家手機平台與桌機平台公司之間不斷變動的文氏圖。正是在這些其他公司的經歷，讓Android的早期先鋒累積了他們的知識、技能以及與同行的合作經驗。當他們加入Android團隊時，能夠在相對較短的時間裡迅速進入狀態，從零開始構建新的作業系統。</p> <p>對於早期Android團隊影響最大的公司包含Be/PalmSource1、WebTV/微軟，以及Danger。他們都沒有直接成為Android系統的一部分，而且大多數公司都沒有在市場上獲得顯著進展。但它們提供了一個無比肥沃的試驗場，幫助工程師們習得關鍵技能，在日後開發Android作業系統時加以發揮。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_Android%E9%96%8B%E7%99%BC%E7%A7%98%E8%BE%9B_%E4%B8%8D%E9%9C%80%E6%A8%99%E7%A4%BA%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>早在Android本身成立之前，它的故事已經展開篇章，可以追溯到那些促成其早期團隊所有公司的發展歷史。</strong></span></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>Be, Inc.</strong></span></span></p> <p>Be作業系統（BeOS）現在已是電子計算機歷史的一個註解。事實上，你可能甚至沒有聽說過Be或是BeOS，更別說使用過這家公司的軟體或硬體了。但是，Be對於運算平台的深遠影響毋庸置疑，姑且不論其他原因，光是這家公司聚齊了許多後來打造出Android系統3的員工、狂熱使用者及開發者這一點，其影響力可見一斑。</p> <p>Be是桌上型電腦大戰的後起之秀，在1990年代推出新的作業系統，試圖與深耕多年的微軟與蘋果桌機系統一競高下。而結果並不令人滿意。</p> <p>Be在這一路上做了各種嘗試。他們推出自己的電腦硬體（BeBox）。他們將BeOS移植到PC和Mac的硬體上，並試著銷售這套作業系統。到了2000年，已經沒有人購買Be的硬體或作業系統了，這時這家公司嘗試採取團隊口中的「重心轉移」，為網路設備打造作業系統，卻依舊沒有引起人們的興趣。</p> <p>最後，Be於2001年被Palm收購（Palm隨後將該部門獨立出來，成立另一家名為PalmSource的新公司），為未來的Palm裝置打造作業系統。具體而言，Palm收購的是Be的智慧財產權（IP），並僱用了Be的許多員工。</p> <p>Be對於Android的發展歷史意義重大，這有幾個原因。首先，Be聚集了一群有志於作業系統開發的方方面面的工程師，從使用者介面到圖形化，到裝置驅動程式（讓作業系統與硬體進行通訊，例如印表機和顯示器），再到核心（處理平台所需基礎的底層系統軟體）。這些項目恰恰創造了打造出像是Android作業系統所需的一切技能。</p> <p>此外，BeOS成為了作業系統中的「另類經典」。世界各地的工程師在大學期間或是業餘專案中偶然遇見了Be，開始與這個系統結下不解之緣。Be在多媒體、多處理、和多執行緒方面的先進能力，使它成為志在作業系統開發的工程師們的遊樂場。許多不曾在Be公司工作過的Android工程師也自己擺弄過BeOS，並燃起了作業系統開發的熱情，後來把這份熱情帶到了Android團隊。</p> <p>當Be公司被收購後，有一半的公司去了Palm（不久之後的PalmSource）工作。在那兒，他們繼續從事作業系統的開發工作，打造PalmOS Cobalt，最終這個作業系統並未搭載於任何裝置。在這個過程中，工程師團隊持續磨練他們在作業系統開發方面的技能，同時也獲得了行動裝置方面的經驗，這是他們當時開發Palm OS 的目標。PalmSource公司在2005年末被ACCESS收購。由於對新公司的發展方向缺乏共鳴，許多前Be工程師另闢蹊徑，找到了Google的Android專案。到了2006年中，前Be員工佔了Android團隊的三分之一。</p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>WebTV/Microsoft</strong></span></span></p> <p>WebTV成立於1995年中，在不到兩年後即1997年4月被微軟收購。早年從微軟公司加入Android的人主要來自WebTV團隊，以及同部門的其他電視／網路團隊，如IPTV。</p> <p>WebTV是將網際網路引入電視的首批系統之一。這在今天看來很愚蠢，因為我們早就透過電視上的網路服務來觀看大部分或全部影視內容。但在當時，這兩者是截然不同的世界，當時大多數人透過個人電腦來存取網際網路。</p> <p>當時WebTV的團隊正在為使用者打造一個平台，讓他們觀賞除了電視節目以外的內容，因此他們需要建立一個執行在硬體上的軟體平台、一個用於構建應用程式的使用者介面層，以及運作於該平台的應用程式。這個團隊構建了一個作業系統、一個UI工具組（負責應用程式中使用者互動的系統）、一個用於編寫應用程式的程式設計層，以及供網路裝置使用的應用程式。這些工作成果為人們帶來了實務經驗，對於後來發現自己在Android上構建非常相似的東西的人們來說，這些經驗都派上了用場。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>Danger, Inc.</strong></span></span></p> <p>Danger公司由安迪‧魯賓、麥特‧赫申森（Matt Hershenson）和喬‧布里特（Joe Britt）於1999年12月創立。最初，這家公司生產一種可隨行的數據交換裝置，這個產品的綽號為「堅果奶油」（Nutter Butter），因其形狀像同名的餅乾。</p> <p>在2000年至2001年的網際網路泡沫期間，這家公司轉而生產一種能夠以無線方式自動同步數據的裝置。但這個裝置還不是手機。接著，在2001年1月，安迪在消費電子展（CES）上遇見了T-Mobile的尼克‧席爾斯。</p> <p>尼克將他的電腦技能與商業學位兩相結合，並於在1980年代後期加入McCaw Communications公司。借助該公司於產業的優勢戰略位置，他觀察了未來十年行動通訊產業和網際網路的發展趨勢。到了2000年，他以副總裁身分加入T-Mobile公司，擔綱該公司的無線數據發展策略。</p> <p>當時T-Mobile剛成立了一個專門研究無線網路的團隊，他們對此寄予厚望。他們是美國唯一採用GPRS技術的通訊商，他們的行動網路比其他通訊商還要早一年到位。尼克的任務就是將無線網路變為現實。這意味著要出發去尋找，或者在必要時創造出需要和使用這種新型網路的裝置。</p> <p>尼克和他的團隊發現，如果沒有更好的鍵盤體驗，就不可能有更豐富多彩的網際網路體驗。在當時，使用12鍵的傳統手機撥號鍵盤到網路上找點樂子都是一件不可行、甚至是不愉快的事。因此，該團隊專注於尋找具有QWERTY鍵盤的潛在裝置。</p> <p>當時T-Mobile已與黑莓手機的製造商Researcn in Motion合作，並說服他們在以前只有電信網路功能的BlackBerry手機上增加無線網路功能。但這些手機的外型（尤其受用戶青睞的皮帶夾）不怎麼能夠吸引那些非商務導向的消費者。</p> <p>尼克參加了2001年的消費電子展，尋找消費電子產品的可能性。他見到了Danger的執行長安迪‧魯賓，後者向他展示了Danger最新的產品模型。就像BlackBerry一樣，它也是純電信網路的。不過，就像BlackBerry一樣，尼克告訴安迪，T-Mobile需要它成為一部「手機」，因此Danger轉而增加電話功能，並與T-Mobile合作開發第一款智慧型手機。尼克回想了T-Mobile促成這些具全新數據功能的手機的努力，他說：「我們是將手機放進智慧型手機的人。」</p> <p>2002年10月，Danger發布了他們的Hiptop手機……但是T-Mobile堅持為它重新命名。正如尼克的解釋：「企業經理人和工程師將BlackBerry配戴在臀部，就好像帶著一台HP計算機一樣，但我們不認為消費者會用手機這麼做。」最後，這個產品在上市後被命名為「T-Mobile SideKick」。</p> <p>這款裝置介於當時的2G手機和未來的智慧型手機之間。比方說Hiptop提供了一個真正的網路瀏覽器（相形之下，當時手機上的瀏覽器屈指可數）。此外，Danger手機有自己的應用程式商店，這是同類產品中的首例。但這個應用程式商店的內容是由T-Mobile主導的。當時，通訊商掌控著讓哪些應用程式在其網路上執行的生殺大權，被稱為圍牆花園（walled garden）。</p> <p>這些功能，以及雲端／網路功能，包括Hiptop的即時電子郵件和聊天通訊的持續連線功能，以及無線更新功能，都可見於日後的Android手機，正如一些開發人員在Danger手機上，實現了這些功能一樣。</p> <p>最終，Danger手機始終沒有從小眾圈子走向大眾市場。網路電子郵件、訊息和瀏覽的結合，加上T-Mobile極其強勢的網路吃到飽方案定價，共同促成了當時功能強大的手機。</p> <p>Danger的手機獲得了很多注目，特別是在科技圈和流行文化圈（包括2006年電影《穿著Prada的惡魔》中亮相的第二款Hiptop手機）。然而，這些手機並沒有獲得消費者與其錢包的青睞。儘管如此，這些手機在推動行動網路領域的發展方面，從創造這些裝置的技術，到這些裝置所帶來的全新體驗，再到這一路上受Danger手機所啟發的工程師團隊，在在發揮了極大的影響力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_Android%E9%96%8B%E7%99%BC%E7%A7%98%E8%BE%9B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Unsplash.png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><span style="color:#3399ff;"><strong>對早期Android團隊影響最大的幾家公司，多數都沒有在市場上獲得顯著進展。但它們提供了試驗場，幫助工程師們習得關鍵技能，在日後開發Android時加以發揮。</strong></span></span></p> <p><span style="font-size:28px;"><strong>整合</strong></span></p> <p>早期Android團隊的大多數人們都曾在這些公司中的一家或多家工作過：Be/PalmSource、WebTV/微軟和Danger。在2006年中期，這些人至少佔整個Android團隊的70%，而且一直是團隊的大多數，直到2007年。</p> <p>在科技業，尤其是在矽谷，一個不爭的事實就是人們在各家公司之間流動，而在一個人的職涯中，他最終可能和其他人在不同的地方和背景下再度共事。當你離開公司時，過河拆橋從來都不是一個好主意。首先，待人得體是你應該做的事情。在矽谷，燒掉這些橋是一個非常糟糕的主意，因為未來的你很有可能需要和同樣的一群人一起過橋；如果當時的橋沒有著火，事情就好辦許多。</p> <p>以Android的例子來看，人們兜兜轉轉之後在同一家公司工作，並不止是簡單的機緣與巧合。早期團隊在很大程度上仰賴他們之前的公司經驗，並引入了（a）他們已經有過工作關係的人和（b）在Android所需領域中有工作經驗的人，例如作業系統、嵌入式裝置與開發人員平台。</p> <p>早期加入Android的這些人很快地凝聚起一個共識，清楚知道他們正在做些什麼，並形成互動緊密的同事團隊，迅速打造這個新的作業系統。</p> <p>2007年加入，負責工具（tools）相關工作的薩維爾‧杜克羅海特觀察到：「第一批人來自其他地方；很少人來自Google。開發並交付過作業系統的人。有多少人有過這種經驗？他們推出了小型作業系統，並從錯誤中學習教訓。」</p> <p>丹‧伊格諾爾也於2007年加入無線更新系統（over-the-air update system），他注意到Android團隊早已形成一種默契：「共同的歷史經驗賦予人們一種非常深刻的認知：人們認識彼此，他們深知自己對於對方的哪些部分感到不滿，也尊重對方的哪些部分，可以信任哪些人來完成任務，而且人們擁有明確的所有權範圍。人們會脫口而出幾個名字，即使這些人只在團隊裡待了幾個月。人們深刻地知道，別人做了什麼，以及他們是怎麼做的。」</p> <p>並非這所有的其他公司或他們的產品都大獲成功。但是在構建這些產品的過程中所獲得的知識，對Android團隊日後打造一個成功的平台，有著非常深遠的影響力。史蒂夫‧霍羅偉茲曾在Be和微軟的WebTV團隊工作，日後管理Android工程團隊，他說：「這是這個世界的一部分：你從失敗中學到的，可能遠比從成功中學到的更多。」<span style="color:#696969;"><strong>（本文摘錄整理自《Android開發秘辛大公開》第一章，碁峰資訊提供）</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_Android%E9%96%8B%E7%99%BC%E7%A7%98%E8%BE%9B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%A2%81%E5%B3%B0%E8%B3%87%E8%A8%8A.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_碁峰資訊</span></span></p> <p><span style="font-size:18px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> Android開發秘辛大公開（Androids: The Team That Built the Android Operating System）</strong></span></p> <p>Chet Haase／著；沈佩誼／譯</p> <p>碁峰資訊出版</p> <p>定價：600元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_Android%E9%96%8B%E7%99%BC%E7%A7%98%E8%BE%9B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Chet%20Haase(1).png" style="width: 170px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 作者簡介 </span></span> Chet Haase</strong></p> <p>在矽谷工作多年，專精於圖形化軟體領域。於2010年加入Google的Android團隊，編寫了UI及動畫的軟體程序，帶領UI toolkit團隊，擔任Android開發者關係方面的首席倡導大使，現在是圖形化團隊的工程師。他的創作包含文章與書籍著作、影片以及分享簡報，主題包含幽默與技術（通常兩者兼之）。本書為切特的第六本書，之前出版過兩本程式設計書、兩本幽默短文書，以及一本關於甜甜圈的小詩集。<a href="https://www.chethaase.com" target="_blank"><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Chet Haase</span></a></p> </div></div></div>
2023/6/22 00:00未署名https://www.ithome.com.tw/article/157289
【2023 CIO大調查：ESG轉型篇】企業加強在不同營運管理層面納入IT，支持ESG發展目標
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/feng_mian_1p-zhi_hao_-esgzhuan_xing_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年1月，立法院三讀通過了《氣候變遷因應法》，正式將2050年淨零排放目標入法，不僅宣示政府對於淨零目標的承諾，也為企業在推動ESG永續發展上提供了明確的法規依據。</p> <p>許多大型企業在今年6月公布的2022年ESG報告中，已經依法必須包含了溫室氣體排放和氣候資訊揭露內容，甚至對於金融業也有相同要求，意味著，企業必須更加積極行動，全面展開碳盤查、推動ESG減碳，並將其轉化為可衡量和可報告的數據，來應對法規的要求。</p> <p><span style="font-size:28px;"><strong>近4成CIO將ESG列為年度目標，高科技製造更超過5成</strong></span></p> <p>在今年的CIO大調查中，反映了這股趨勢，企業CIO們比去年更加重視ESG議題，將其列為年度的第三大目標，僅次於資安和IT穩定，甚至超越了數位轉型。</p> <p>整體產業來看，今年有近4成的企業CIO將ESG列為年度工作目標，高科技和一般製造業更是超過了5成，而金融業也有4成7的比例列入優先目標。</p> <p>企業對於ESG永續發展的重視程度更甚去年，也反應在不同的經營管理層面，例如有23.1%的企業數位轉型重要策略開始對齊ESG目標，將ESG發展指標納入數位轉型策略布局的重要環節來思考。</p> <p>碳盤查資訊揭露是企業IT對齊ESG目標的優先任務，來支持未來的碳盤查需求。尤其，金管會3月發布了永續發展行動方案，進一步加強了對企業ESG永續政策的揭露要求，不只涵蓋了更多上市櫃企業，也要求受規範的企業必須積極制定和執行相應的措施，減少碳排放並加速達成淨零目標，對於沒達成其要求的企業，未來將依據碳排放量多寡來要求其繳納碳費。</p> <p>為了達到法規要求的溫室氣體排放和氣候資訊相關揭露，企業對於IT需求比去年提升不少，超過2成的企業讓CIO參與企業ESG績效指標設計，方便在資訊系統來部署各種感測器或監測機制來蒐集各項數據，這個比例比起去年增加了2成。</p> <p>進一步將資訊架構對齊ESG目標的企業增加了不少，去年僅有只有17.1%企業採用這個作法，今年則是突破2成，反應出，不少企業CIO開始用ESG永續思維來考慮未來資訊架構，將ESG納入其資訊架構的發展和設計，確保能夠更有彈性因應ESG帶來各項的挑戰。</p> <p>在ESG永續浪潮下，許多企業今年更加意識到將CIO納入經營高層組成的永續發展委員會的重要性，例如今年15%的CIO已經加入，比去年增加近2成。不僅如此，企業今年在永續科技應用方面出現了重要的改變，凸顯出CIO在2023年面臨的新挑戰不同於以往，更要從IT自身改變，開始重視IT的永續性。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A21p-%E8%87%B3%E6%B5%A9-ESG%E8%BD%89%E5%9E%8B-600-1.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A21p-%E8%87%B3%E6%B5%A9-ESG%E8%BD%89%E5%9E%8B-600-2.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A21p-%E8%87%B3%E6%B5%A9-ESG%E8%BD%89%E5%9E%8B-600-3(2)-WEB.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A21p-%E8%87%B3%E6%B5%A9-ESG%E8%BD%89%E5%9E%8B-600-4.png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FFA500;"> 問卷說明 </span></span> <span style="color:#696969;">大調查執行期間從2023年4月20日到5月10日，對臺灣2千大規模大型企業、iThome歷屆CIO大調查企業、政府機關、大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 68.5%填答者為企業IT最高主管。</span></strong></span></p> </div></div></div>
2023/6/22 00:00作者余至浩https://www.ithome.com.tw/article/157421
【2023 CIO大調查：IT永續篇】因應碳盤查和碳成本挑戰，CIO更看重永續科技
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/feng_mian_1p-zhi_hao_-ityong_xu_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>相比去年，企業CIO今年更加重視永續科技的採用，來支持ESG的發展需求。</p> <p>進一步來看永續科技採用動向，企業CIO心目中最熱門的前六項永續科技中，幾乎一半都是與碳盤查或碳足跡的蒐集、追蹤和管理有關，尤其，企業今年更看重碳數據監測相關系統及其管理應用的導入，使得建立系統化的碳盤查或碳足跡監測機制就包辦其中一、三名，比起去年有不少成長。</p> <p>2成CIO今年開始加大對於碳盤查或碳足跡監測系統的投資力道，以此建立一套系統化方式來追蹤和管理組織內部碳盤查資訊，或者是產品碳足跡相關資訊。</p> <p>去年，少部分企業開始提前導入碳盤查系統，然而，到了今年，企業CIO現在不得不採用系統化的方法來因應未來法規的要求，甚至為了應付未來越來越複雜的碳盤查蒐集和管理的挑戰，企業更必須要有一套系統化的方式執行，取代過去人工彙整的方式，也才能夠因應明年碳盤排查確信的要求，提供更準確的碳盤查資料，提高碳確信的可靠性。</p> <p>正是透過系統化的方式，讓企業不只能夠更即時蒐集這些碳排放資料，並且提高資料正確性，也能因此減少出錯的可能，避免因不合規遭到主管機關處罰。</p> <p>甚至當今年開始有了更明確碳費徵收的碳定價或碳交易機制後，企業利用系統化的碳盤查或碳足跡資訊蒐集和管理方式，也就更能夠根據這些碳定價或交易的價格，準確計算出生產過程的碳成本，同時還能根據變動的碳價格，相應調整其碳成本。</p> <p>想要建立明確碳成本，就需要能夠串接碳排放各種數據，因此對於CIO來說，開始加強財務系統與碳排數據的結合，也變得越來越重要，來幫助他們能更好追蹤和評估碳排放的成本。甚至透過整合ERP，企業也能夠加強內部碳定價系統的管理，能夠有效地監控和管理不同部門的碳排放情況，進而推動各部門的減碳行動。</p> <p>不僅對於系統化碳盤查數據蒐集和管理方式的需求增加，今年企業碳足跡儀表板的採用率也翻倍成長，達到9.1%，顯示出企業越來越需要透過視覺化儀表板呈現數據，以便管理階層能夠掌握公司各項產品的碳排放情況，來擬定減碳策略。</p> <p>導入這些永續科技，除了對於企業IT帶來重要影響之外，也促使不少企業CIO們因此從IT自身做起，開始強調IT永續的重要性。</p> <p>今年越來越多企業CIO開始重視內部IT對碳排的影響，轉而採取各種對環境友善的措施來降低IT機房或伺服器運作和設備生產過程中產生碳足跡，來滿足企業減碳的目標。這也讓IT永續的做法，超越了上雲，成了企業今年因應ESG的第三大IT做法。反倒是，智慧化能源管理這項做法，從排名第4，跌到了第10，採用這項作法的CIO不再像過去那麼多。</p> <p>IT永續從過去被企業輕忽到現在逐漸受到越來越多的重視。從今年CIO大調查中，也能反應出此一趨勢。</p> <p>從整體產業來看，超過3成企業採用IT永續做法來因應ESG的挑戰，其中，政府與學校以5成比例為最多，其次也有34.6%高科技製造業以及31.3％金融業CIO們也開始推動。</p> <p>在推動IT永續的過程中，不少企業因此開始優先採購低碳的伺服器硬體，以減少機房能源消耗和降低對環境的影響，甚至會考慮採用高度節能的IT基礎設施，或者改在綠色或低碳公雲環境中部署，進一步減少碳排。</p> <p>值得注意的是，這些推動永續IT的企業中，也有少部分企業開始採取低碳的方式來進行應用開發，不只在新應用開發中會考慮能源耗用與環境影響，提出有效低碳設計方案，也會針對現有應用優化或是重構，以減少其對環境的影響。例如將近1成的企業今年開始在IT軟體開發中納入減碳設計的原則和要求。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A21p-%E8%87%B3%E6%B5%A9-IT%E6%B0%B8%E7%BA%8C-600-1.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A21p-%E8%87%B3%E6%B5%A9-IT%E6%B0%B8%E7%BA%8C-600-2(2)-WEB.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A21p-%E8%87%B3%E6%B5%A9-IT%E6%B0%B8%E7%BA%8C-600-3(2)-WEB.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A21p-%E8%87%B3%E6%B5%A9-IT%E6%B0%B8%E7%BA%8C-600-4(3)-WEB.png" style="width: 600px;" /></p> <p><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 165, 0);"> 問卷說明 </span></span> <span style="color: rgb(105, 105, 105);">大調查執行期間從2023年4月20日到5月10日，對臺灣2千大規模大型企業、iThome歷屆CIO大調查企業、政府機關、大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 68.5%填答者為企業IT最高主管。</span></strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2023/6/22 00:00作者余至浩https://www.ithome.com.tw/article/157422
【2023 CIO大調查：企業IT投資總論】IT抗疫趨緩遇上AI和ESG浪潮加碼，各產業IT重心大不同
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/feng_mian_1p-dou_zi_-ittou_zi_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著臺灣疫情解除，企業IT投資力道也慢慢回穩。從過去2年連年破10％的超高成長率，今年些微下降，IT投資成長率回到個位數的9.2％，但仍高於歷年平均6～7%的成長率。甚至服務業今年依舊維持2位數的IT投資成長力道，高科技以及金融業也幾乎有接近2位數的加碼。疫情對企業數位轉型帶來的加速效應，還沒有停止。</p> <p>在年年高成長率的支持下，整體產業IT投資平均值也首度超過了2億元，今年達到了2億3千多萬元，金融業平均IT投資更是達到14億4千多萬元。政府學校、服務業、醫療業今年也有破億元的IT預算，只有製造業資訊投資相對偏低。</p> <p>進一步來看8大IT重點投資，各項差異頗大，不是每一類今年的投資規模都是正成長。資安、上雲和行動應用都是今年大幅成長的IT重點，企業在疫情期間緊急加碼這三項，就算疫情過後，企業仍然持續投資，甚至持續提高。</p> <p>出人意外的是AI機器學習的投資，今年不增反減，而且大幅減少了10.7%。ChatGPT浪潮雖然席捲全球，也吹進臺灣，但還沒有反應到企業實質的AI投資上，一方面，不少企業過去幾年挹注不少資源發展AI，但遲遲沒有感受到相匹配的效益，另一方面，資料品質不足、資料治理困難等課題，也讓企業得回頭償還過去的資料技術債。因此，不少企業對新一波ChatGPT浪潮，仍處於觀望態度。</p> <p>進一步來看各產業，不同產業的IT投資布局差異很大。各產業都有成長率超過2位數的重點投資，有些是40％、50%，甚至高科技製造業的數位轉型預算成長了131.9%，等於是比翻倍還要多三成。高科技業技術轉型的重點是IT現代化，也帶動了在上雲和DevOps這兩項的投資，今年都有近4成預算的加碼。醫療在邊緣運算的投資成長今年破5成，在資安、DevOps和上雲的投資都成長超過3成，醫療業今年更加速推動雲原生的IT現代化。而政府與學校今年同樣聚焦IoT，加碼4成預算，但在大數據上的投資也有不少加碼。金融業則對行動應用的投資加碼力道最強，增加逼近3成。服務業繼續擴大上雲，預算也增加了近2成，一般製造業則在上雲和大數據兩項IT投資都增加了近2成。</p> <p>在COVID-19疫情解除後的第一年，數位轉型的浪潮雖然繼續發酵、加速，但是，不同產業各自走向不一樣的轉型路。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A21p-%E8%B1%86%E5%AD%90-IT%E6%8A%95%E8%B3%87-600-1.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A21p-%E8%B1%86%E5%AD%90-IT%E6%8A%95%E8%B3%87-600-2.png" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/files/%E5%B0%81%E9%9D%A21p-%E8%B1%86%E5%AD%90-IT%E6%8A%95%E8%B3%87-600-3-%E5%8E%9F%E5%9C%96.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A21p-%E8%B1%86%E5%AD%90-IT%E6%8A%95%E8%B3%87-600-3.png" style="width: 600px;" /></a></p> <p><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 165, 0);"> 問卷說明 </span></span> <span style="color: rgb(105, 105, 105);">大調查執行期間從2023年4月20日到5月10日，對臺灣2千大規模大型企業、iThome歷屆CIO大調查企業、政府機關、大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 68.5%填答者為企業IT最高主管。</span></strong></p> </div></div></div>
2023/6/22 00:00作者王宏仁https://www.ithome.com.tw/article/157446
【2023 CIO大調查：IT策略篇】疫情解除後企業加碼上雲，IT與業務也更密切合作
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1135-feng_mian_1p-dou_zi_-itce_lue_-960-web.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣是全球防疫模範生，但也在2021年進入疫情高峰，開始感受到疫情催生數位轉型的迫切和必要性。這一場疫情也提高了企業高層對IT必要性和重要性的認知。CIO也比過去更受到高層和各業務部門的重視。</p> <p>隨著，臺灣防疫在今年5月降階，解除疫情警戒，疫情帶來的數位轉型衝擊，如何影響企業下一階段的發展策略，這正是今年CIO大調查想要回答的問題之一。</p> <p>一起抗疫靠IT，是所有企業的共識，我們也持續第三年觀察企業疫情對9大IT策略發展的影響，每年都有超過3成企業CIO，因為疫情而決定加速原本既定的數位轉型腳步，今年也不例外，甚至，隨著疫情解除，仍有高達36.9%的CIO，要繼續加速推動數位轉型。數位轉型已經不只是為了抗疫，而是為了企業更長遠的發展。</p> <p>疫情不止帶來技術上的加速度，也提高了IT部門與業務部門的合作更密切，不少企業的業務部門在疫情間感受到與IT團隊的協作威力，疫後更多企業擴大雙方的合作，高達3成企業今年繼續強化聯手。</p> <p>而數位轉型帶動的IT現代化工程持續進行，上雲腳步今年更有大幅度的加速，高達35.4%的企業決定提高內部應用上雲的比重，尤其醫療業者和高科技業者。防疫零接觸帶來的視訊看診需求，加速衛福部鬆綁醫院上雲的法規，進而帶動整體醫療業上雲的轉型，邁向雲原生新架構的發展，而高科技製造則是因為在疫情間感受到數位轉型帶來的好處，也加快擁抱雲原生架構。</p> <p>這兩個產業今年都非常積極上雲。疫情營運中斷風險，更迫使許多製造業者強化供應鏈的數位化管理，這個腳步持續，甚至多了一倍企業加速，從去年6.5%，今年翻倍成長到12.3%。</p> <p>疫情不只改變企業，也改變了人們的生活習慣，在疫情時，人們為了零接觸而盡可能線上消費的習慣，在疫情解除後，仍然沒有消失，反而習慣在線上與線下之間遊走，這也讓面對民眾的金融和服務業者，比過去更加重視顧客經驗和管理，帶動了顧客大數據的投資，今年有11.1%企業要加碼，比去年的7%提高了不少。</p> <p><span style="font-size:28px;"><strong>3個重要的IT管理指標</strong></span></p> <p>對CIO來說，因應9大IT策略的發展，需要向企業高層爭取更多資源，我們在大調查中也彙整了3個重要的IT管理指標，IT預算占營收的比例、數位轉型預算占IT預算的比例，以及IT人力在企業員工人數中的比例。這三個數值分別反應了企業營運中的IT投資，IT戰略中的數位轉型比重，以及企業人力資源中的技術能量比重。可以作CIO參考的同產業水準，來衡量自家的比例，作為爭取更多資源的業界參考。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1135-%E5%B0%81%E9%9D%A21p-%E8%B1%86%E5%AD%90-IT%E7%AD%96%E7%95%A5-600-1-web.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1135-%E5%B0%81%E9%9D%A21p-%E8%B1%86%E5%AD%90-IT%E7%AD%96%E7%95%A5-600-2-web.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1135-%E5%B0%81%E9%9D%A21p-%E8%B1%86%E5%AD%90-IT%E7%AD%96%E7%95%A5-600-3(V2)-WEB.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1135-%E5%B0%81%E9%9D%A21p-%E8%B1%86%E5%AD%90-IT%E7%AD%96%E7%95%A5-600-4-WEB-V3.png" style="width: 600px;" /></p> <p><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 165, 0);"> 問卷說明 </span></span> <span style="color: rgb(105, 105, 105);">大調查執行期間從2023年4月20日到5月10日，對臺灣2千大規模大型企業、iThome歷屆CIO大調查企業、政府機關、大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 68.5%填答者為企業IT最高主管。</span></strong></p> </div></div></div>
2023/6/22 00:00作者王宏仁https://www.ithome.com.tw/article/157449
【2023 CIO大調查：IT目標篇】ESG優先度今年超越數位轉型，3成CIO還重視AI創新
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/feng_mian_1p-dou_zi_-ciomu_biao_-9603-web.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年CIO年度目標的排名，出現了很大的變化。ESG企業永續目標，從去年排名第14名，今年一口氣躍進了11名，成為第三名，甚至擠下了原本名列第三的數位轉型目標，僅次於資安、確保IT穩定。</p> <p>資安每一年都是CIO目標排名中優先度最高的一項，每年都有超過7成CIO列為年度目標，而在疫情期間，為了確保企業營運不中斷，許多企業CIO都高度重視IT的穩定，因此連續幾年都與資安並列一、二名。</p> <p>不少企業在疫情前就展開數位轉型的腳步，超過3成企業因為疫情而加速轉型，而風險管理、數位韌性、這幾項也是近2年，格外受到CIO重視的項目，都有超過3、4成CIO列入年度目標。</p> <p>數位轉型的基礎工程是IT現代化，為了擺脫過去的技術債、資料債，也有超過3成企業CIO特別關注，過去2年也反應企業對IT現代化主要技術的採用，也就是雲原生相關技術的投資，不論是在上雲、容器化技術、微服務架構，這幾年都有顯著的成長，只是各產業掀起IT現代化浪潮的腳步不一，金融業最快，政府與服務業其次，醫療和高科技製造業最慢。</p> <p>數據驅動決策，AI強化分析決策，這兩項目標則是越來越重視的新興科技應用，在各產業都獲得不少CIO的重視。因為去年底全球爆紅的ChatGPT浪潮，今年我們在CIO目標中，增加了用AI創新應用和服務的項目，也有3成CIO列為今年度的目標。</p> <p>單看CIO今年優先目標排名Top25清單，可以看到不少年度目標排名有很大的變動，若進一步聚焦6大CIO優先目標，在過去3年的變化，更可以發現，CIO的戰略布局開始出現根本性的改變。</p> <p>過去3年的CIO大調查，分別在臺灣疫情開始嚴峻，剛進入第3級前後的2021年5月，以及剛降為第二級後的2022年7月，以及今年則是在疫情解除前後的2023年5月，剛好可以反映出，CIO們在疫情嚴峻、疫情緩解、一直到疫情解除三階段的年度目標策略變化。</p> <p>可以明顯看到，CIO對資安的重視程度不變，但確保IT穩定的需求年年下滑，今年和年年持續緩緩上揚的數位轉型目標並重，IT現代化則持續維持。ESG企業永續目標快速崛起，開始超越數位轉型，正要逼近IT穩定需求，而AI強化分析則從疫情趨緩後開始加速，正在急起直追。隨著疫情解除，確保IT穩定的階段性目標開始告一段落，CIO的目光，開始聚焦到新的目標，也就是ESG永續和AI。</p> <p><a href="https://s4.itho.me/sites/default/files/files/%E5%B0%81%E9%9D%A21p-%E8%B1%86%E5%AD%90-CIO%E7%9B%AE%E6%A8%99-600-1-v4-%E5%8E%9F%E5%9C%96-web.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A21p-%E8%B1%86%E5%AD%90-CIO%E7%9B%AE%E6%A8%99-600-1-v2-web.png" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A21p-%E8%B1%86%E5%AD%90-CIO%E7%9B%AE%E6%A8%99-600-2.png" style="width: 600px;" /></p> <p><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 165, 0);"> 問卷說明 </span></span> <span style="color: rgb(105, 105, 105);">大調查執行期間從2023年4月20日到5月10日，對臺灣2千大規模大型企業、iThome歷屆CIO大調查企業、政府機關、大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 68.5%填答者為企業IT最高主管。</span></strong></p> </div></div></div>
2023/6/22 00:00作者王宏仁https://www.ithome.com.tw/article/157450
【資安日報】6月21日，微軟Azure AD傳出存在OAuth漏洞，可被用於帳號挾持
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OAuth身分驗證機制的應用越來越普遍，然而這類機制一旦實作上出現不足之處，有可能造成嚴重的後果。例如，近期資安業者Descope揭露雲端目錄服務Azure AD有個漏洞，取名為nOAuth，並認為攻擊者可輕易利用，將其用於挾持使用者的Azure AD帳號。</p> <p>駭客鎖定Linux伺服器並透過暴力破解嘗試SSH帳密的攻擊，最近又有一起行動。殭屍網路Tsunami藉由這種手法劫持Linux伺服器，目的綁架這些伺服器用於DDoS攻擊與挖礦。</p> <p>新的竊資軟體最近也不斷出現，而現在有一支名為RDStealer的這類惡意程式，引起研究人員關注，因為當中外洩資料的手法很特別：他們濫用遠端桌面連線（RDP）向C2傳送檔案。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://asec.ahnlab.com/en/54647/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">殭屍網路Tsunami鎖定SSH伺服器而來</span></strong></a></p> <p>資安業者AhnLab揭露鎖定Linux伺服器而來的殭屍網路Tsunami攻擊行動，駭客透過暴力破解的方式，鎖定能透過SSH協定存取的伺服器下手，使用特定的帳密資料來嘗試登入，目的是要將其用於發動DDoS攻擊，同時也利用其運算資源挖掘門羅幣。</p> <p>研究人員指出，他們看到駭客不只使用Tsunami，還部署了ShellBot機器人、事件記錄清理程式、權限提升工具、挖礦軟體（XMRig）等。</p> <p><a href="https://www.fortinet.com/blog/threat-research/condi-ddos-botnet-spreads-via-tp-links-cve-2023-1389"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">TP-Link路由器重大漏洞遭殭屍網路Condi鎖定</span></strong></a></p> <p>資安業者Fortinet揭露殭屍網路Condi的攻擊行動，駭客專門鎖定TP-Link Archer AX21路由器的漏洞CVE-2023-1389（CVSS風險評分為8.8）下手，散播殭屍網路病毒，然後透過Telegram頻道兜售其DDoS攻擊服務，這樣的情況在5月底明顯增加。</p> <p>研究人員指出，為了讓此病毒能長期在受害路由器上運作，駭客刪除了用於關機與重開機的執行檔，同時清除其他競爭對手的殭屍網路病毒及工具。而Condi並非首度利用CVE-2023-1389發動攻擊的殭屍網路，今年4月，也傳出有人濫用此漏洞散布Mirai的惡意活動。</p> <p><a href="https://www.bitdefender.com/blog/businessinsights/unpacking-rdstealer-an-exfiltration-malware-targeting-rdp-workloads/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊資軟體RDStealer透過遠端桌面流出受害電腦資料</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/undefined-Jun-15-2023-02-14-44-1532-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/undefined-Jun-15-2023-02-14-44-1532-PM.png" style="width: 300px; float: right;" /></a>防毒業者Bitdefender揭露自2022年出現的竊資軟體RDStealer攻擊行動，國家資助的駭客鎖定東南亞地區從事間諜活動，過程中，運用兩種以Go語言打造而成的工具，分別是後門程式Logutil、竊資軟體RDStealer，後者特別引發研究人員的注意。</p> <p>他們發現，若是受害組織啟用了用戶端磁碟映射（Client Drive Mapping）功能，駭客就能監控流入的遠端桌面連線（RDP）流量，然後向C2傳送竊得的資料，並接收後門程式Logutil部署於受害電腦，以便持續行動。。</p> <p><a href="https://www.team-cymru.com/post/darth-vidar-the-aesir-strike-back"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊資軟體Vidar輪替後端的基礎設施，攻擊行動更為隱匿</span></strong></a></p> <p>資安業者Team Cymru揭露竊資軟體Vidar攻擊行動的態勢，駭客在3月、4月、5月大幅調整其使用的基礎設施，利用俄羅斯、摩爾多瓦的主機代管服務架設，且規模有擴大的趨勢。</p> <p><a href="https://www.group-ib.com/media-center/press-releases/stealers-chatgpt-credentials/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">10萬臺電腦遭竊資軟體入侵，ChatGPT帳密資料流入暗網</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/blog1-1-min-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/blog1-1-min-1.png" style="width: 300px; float: right;" /></a>資安業者Group-IB統計這一年以來的ChatGPT帳號遭竊情況，觀察的時間範圍是2022年6月至2023年5月，他們發現，總共有101,134臺電腦遭到竊資軟體入侵，導致ChatGPT帳密外洩並流入暗網兜售，且這樣的態勢在今年5月達到高峰（26,802臺遇害）。</p> <p>研究人員指出，駭客用於盜取這種資料的工具，大部分是竊資軟體Raccoon（78,348臺），其次是Vidar（12,984臺）、RedLine（6,773臺）。而從受害電腦所在的地區而言，亞太地區最多，有40,999臺，其次則是東亞及非洲，有24,925臺，以及歐洲16,951臺、拉丁美洲12,314臺。</p> <p><a href="https://www.securityweek.com/norton-parent-says-employee-data-stolen-in-moveit-ransomware-attack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">旗下擁有小紅傘、諾頓等防毒品牌的廠商，傳出遭遇MOVEit Transfer零時差漏洞攻擊</span></strong></a></p> <p>根據資安新聞網站SecurityWeek的報導，旗下擁有Avast、Avira、AVG、Norton、LifeLock多家防毒品牌的資安業者Gen Digital，遭遇勒索駭客組織Clop發動的MOVEit Transfer零時差漏洞攻擊。</p> <p>這起事故最早是在6月20日被察覺，研究人員Dominic Alvieri發現駭客將NortonLifeLock列入受害組織名單，該新聞網站進一步向Gen Digital確認而證實此事。Gen Digital表示他們已修補MOVEit Transfer的漏洞，並確認核心IT系統及服務並未受到影響，但部分員工的個資遭到駭客存取，包括姓名、電子郵件信箱、員工編號等資料。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.descope.com/blog/post/noauth"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟Azure AD出現能被用於帳號挾持的漏洞nOAuth</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/nOAuth_attack_flow.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/nOAuth_attack_flow.png" style="width: 300px; float: right;" /></a>資安業者Descope揭露名為nOAuth的漏洞，這項漏洞與微軟Azure AD的OAuth身分驗證機制實作缺陷有關，而有可能影響該系統多租戶OAuth應用程式運作。</p> <p>這項弱點之所以存在，是因為Azure AD將電子郵件信箱視為帳號的主要辨識依據，攻擊者只要將Azure AD管理員帳號的電子郵件信箱資料，變更為與目標使用者的相同信箱，就能利用「以微軟帳號登入」的功能，登入網頁應用程式或是網站，進而挾持受害者的Azure AD帳號。</p> <p>研究人員指出，在部分情況下，即使受害者沒有微軟帳號，攻擊者也能利用上述弱點發動攻擊。目前研究人員已將此問題通報微軟，也通知可能無法抵禦這類攻擊手法的大型網頁應用程式業者，以及2家身分驗證系統供應商。對此，微軟已著手修補。</p> <p><a href="https://www.forescout.com/blog/ot-icefall-ot-security-design-and-patching/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露施耐德電機、Wago設備的漏洞</span></strong></a></p> <p>資安業者Forescout揭露多個OT設備漏洞CVE-2022-46680、CVE-2023-1619、CVE-2023-1620，影響施耐德電機PowerLogic ION電力監控設備，以及WAGO 750控制器。</p> <p>上述3個漏洞當中，最嚴重的是CVE-2022-46680，原因是PowerLogic ION電力監控設備在ION與TCP通訊協定中，以明文的方式傳輸帳密資料，而讓攻擊者有機可乘，竊得上述帳密資料通過身分驗證，進而竄改設備的配置，甚至有可能更動韌體，CVSS風險評分為8.8。</p> <p><a href="https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-pre-authentication-command-injection-vulnerability-in-nas-products"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">兆勤修補NAS重大漏洞</span></strong></a></p> <p>6月20日兆勤（Zyxel）發布資安通告，旗下3款NAS網路儲存設備存在漏洞CVE-2023-27992，此為預先驗證身分的命令注入漏洞，攻擊者可在未經身分驗證的情況下，發送偽造的HTTP請求，藉此漏洞遠端執行作業系統層級的部分命令，CVSS風險評分為9.8，影響NAS326、NAS540、NAS542等機種。對此，該公司發布5.21版韌體修補上述漏洞。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/vmware-warns-of-critical-vrealize-flaw-exploited-in-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">VMware網路分析工具重大漏洞已出現攻擊行動</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/russian-apt28-hackers-breach-ukrainian-govt-email-servers/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客APT28鎖定烏克蘭政府機關的郵件伺服器下手</span></span></strong></a></p> <p><a href="https://www.paloaltonetworks.com/blog/security-operations/through-the-cortex-xdr-lens-uncovering-a-new-activity-group-targeting-governments-in-the-middle-east-and-africa/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中東及非洲政府機關遭到國家級駭客組織鎖定</span></span></strong></a></p> <p><a href="https://blog.virustotal.com/2023/06/inside-of-wasps-nest-deep-dive-into.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">竊資軟體WASP透過PyPI套件散布</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157445">【6月20日】竊資軟體Mystic針對瀏覽器、加密貨幣錢包、密碼管理器等應用程式而來</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157420">【6月19日】微軟證實旗下多項服務遭到DDoS攻擊而癱瘓</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157402">【6月17日】中國駭客鎖定Linux系統，散布惡意軟體ChamelDoH</a></strong></p> </div></div></div>
2023/6/21 18:23作者周峻佑https://www.ithome.com.tw/news/157467
Cloudflare發布網站效能監控服務Observatory，提供一鍵改善建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Cloudflare推出網站效能監控服務<a href="https://blog.cloudflare.com/cloudflare-observatory-generally-available/">Observatory</a>，其結合真實使用者監控（Real User Monitoring，RUM），還能夠定期從不同地區進行測試，供用戶掌握網站效能表現，而當Observatory發現網頁存在效能問題，也會提供客製化建議，讓用戶只要透過滑鼠點擊就能最佳化網站效能。</p> <p>Observatory的設計目標，是要讓使用者能夠更完整地掌握網站的效能，因此整合了RUM，透過真實使用者的資料，Observatory能夠對網站效能進行分析，並且向用戶展示可以解決效能問題的方法。此外，Observatory還整合網頁自動化稽核工具Google Lighthouse工具，能夠以產業標準綜合評估網頁效能。</p> <p>官方提到，Observatory主要支援的兩種效能測試方法，其一是綜合測試，另一種則是RUM。綜合測試是在受控的環境中，模擬用戶的互動以監控效能，這類測試提供了測量基準，能夠在網站部署之前發現潛在的問題，而RUM測試則是直接在真實用戶與網站互動時收集資料，RUM提供了一個真實終端用戶視角的效能監控。</p> <p>由於網頁的效能表現依據存取者的所在位置而有差異，因此Observatory也會透過模擬不同地區的網站效能，測試網頁在特定國家和地區的效能表現，使用戶有辦法對全球的受眾進行最佳化，提供更一致的瀏覽體驗。</p> <p>收集自Lighthouse和RUM測試的分析資料，Observatory便能夠提供用戶更為精準的效能改進建議，像是當Lighthouse分析用戶網站需要圖像最佳化，則Observatory便會推薦自家圖像最佳化工具Cloudflare Polish，或是網頁存在協定效能問題，Observatory便會建議用戶啟用最新的HTTP/3，用戶透過滑鼠點擊就可直接提高網站效能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/image4(4).jpg" style="width: 580px;" /></p> </div></div></div>
2023/6/21 19:34作者李建興https://www.ithome.com.tw/news/157462
Databricks推出Lakehouse原生應用，還在商店引入AI模型共享機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.databricks.com/company/newsroom/press-releases/databricks-announces-lakehouse-apps-and-expands-databricks">Databricks擴展其資料生態系</a>推出資料湖倉（Lakehouse）應用程式，讓開發人員可以建置在Lakehouse中運作的原生應用程式，另外，應用程式商店Databricks在Marketplace還加入新的人工智慧模型共享機制，使用戶能夠更容易地發展人工智慧應用。</p> <p>Lakehouse應用程式是一種可以簡化資料使用的新形式，在用戶使用資料的同時，能以安全的方式運作。Lakehouse應用程式完全在Lakehouse執行個體中運作，並且使用組織內部的資料，這些資料操作繼承來自Databricks的安全、隱私和法遵控制。開發人員可以使用熟悉的技術和語言建置Lakehouse應用程式，而不受限於專有框架，並且在Databricks商店簡單發布這些應用。</p> <p>另外，Databricks還在商店中提供人工智慧模型共享的機制，使資料提供者可以方便提供模型服務，而資料消費者也能方便探索並發展資料解決方案。官方也開源常用案例的模型，供用戶可以快速地將模型應用在資料中，並且最佳化這些模型在Databricks上的運作和部署。</p> <p>Databricks商店將會在本月28日結束預覽全面推出，而Lakehouse應用程式和人工智慧共享模型，則會在明年推出預覽。</p> </div></div></div>
2023/6/21 12:53作者李建興https://www.ithome.com.tw/news/157460
專門研究語音技術的AI新創ElevenLabs完成1,900萬美元的A輪融資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI的浪潮正在席捲全球，去年4月才於美國成立，<a href="https://www.ithome.com.tw/news/155185" target="_blank">甫於今年1月發表</a>語音AI測試平臺的ElevenLabs，<a href="https://beta.elevenlabs.io/blog/elevenlabs-launches-new-generative-voice-ai-products-and-announces-19m-series-a-round-led-by-nat-friedman-daniel-gross-and-andreessen-horowitz/" target="_blank">本周宣布</a>已完成1,900萬美元的A輪融資，根據外電報導，此次融資所估算的ElevenLabs市值約為9,900萬美元。</p> <p>主導此波ElevenLabs融資活動的包括曾擔任GitHub執行長的Nat Friedman，曾主導蘋果AI發展的Daniel Gross，以及創投業者Andreessen Horowitz（a16z）。還有許多知名的科技人士也成為天使投資人，像是Instagram共同創辦人Mike Krieger與Oculus VR 共同創辦人Brendan Iribe等。</p> <p>ElevenLabs定位為語音技術研究公司，主要替創作者與出版商開發AI語音軟體，能夠將文字轉成語音，再利用生成式AI技術以複製使用者的聲音或創造全新的合成聲音，並利用這些聲音說出任何語言，目前已提供免費與付費服務。</p> <p>從今年1月測試版上線迄今，全球已有超過100萬使用者註冊ElevenLabs服務，並已生成逾10年的語音內容。</p> <p>ElevenLabs表示，該公司所打造的各種工具得以將任何文字轉成演講，並能選擇合成聲音、複製的聲音，或者是依照性別、年齡或口音等參數所建立的全新聲音，而且現在所提供的聲音品質與真人幾無差別。</p> <p>儘管有人擔心ElevenLabs的平臺會遭到濫用，包括複製名人的聲音以說出偽造的內容，但ElevenLabs也看到許多正面的應用，包括獨立作家以它來創作有聲書，或是開發者用它來替遊戲角色配音，讓視障人士得以存取文字內容，也被應用在全球第一個AI廣播頻道上。</p> <p>新一波的資金將用來持續研發相關技術與垂直應用，如出版、遊戲、娛樂或對話等。</p> </div></div></div>
2023/6/21 17:19作者陳曉莉https://www.ithome.com.tw/news/157463
Gogolook跨入企業市場，鎖定信任商機，主打商用數位防詐服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>成立逾10年的Gogolook（走著瞧），早年因開發出陌生來電辨識Whoscall的行動App而廣為人知，後續該公司歷經韓商Naver收購，之後2017年拿回經營權，2018年開始思考針對企業市場布局，建構出全新的產品視野。</p> <p>在2020年後，該公司陸續推出Identity Suite數位身分驗證解決方案，以及Watchmen商譽保護服務，並發布袋鼠金融平臺商業服務。而在今年5月臺灣資安大會期間，他們更是首度參展設攤公開展出這些產品。</p> <p>如今，隨著該公司近三年營收結構的優化，不再像過去依賴數位廣告，這家擁有160位員工、平均年齡33歲的軟體公司，去年底已於國內創新板申請上市，6月舉行上市前業績發表會，宣布預計最快在2023年第3季上市掛牌。</p> <p>這樣的發展，不僅顯現該公司經營信任科技（Trustech）領域取得具體成果，證明市場對相關技術服務的需求，也為國內新興軟體公司帶來更大的信心。</p> <h2><strong>解決身分識別、雙向信任問題，以兩大方案攻入企業市場</strong></h2> <p>Gogolook共同創辦人暨執行長郭建甫表示，2012年創立公司時，沒有人認為防詐騙是一個市場，他自己也不是那麼確定，但現在，大家都注意到這方面有相當大的需求，不論在數位身分認證或法遵科技的議題，都顯示這是高度成長的市場。</p> <p>而他們提供的數位防詐及風險管理服務，不僅設立了30多種語言服務全球，並成為「落地」到7國市場的生意，不只是臺灣，還包括韓國、日本、香港、馬來西亞、泰國，以及巴西。同時，他們也與多國政府執法機構合作，並在今年加入全球防詐聯盟（GASA）成為創始會員。</p> <p>或許仍有許多人對Gogolook的印象停留在Whoscall，但其實該公司現在已有三大產品線，除了原本的消費端信任雲服務，還有企業端的信任雲服務，以及商業服務，因此，應用對象不僅涵蓋廣大消費者，更涵蓋電信、金融、電商與支付等產業。</p> <p>對於企業用戶而言，當然最關心的部分，是Gogolook企業端信任雲服務所能帶來的幫助。郭建甫提到，他們所發展出的兩種型態產品，一種是因應詐騙與人頭戶，企業可允許或拒絕對方使用自家的服務，名為Identity Suite數位身分驗證解決方案；另一種是反向的信任驗證，因應偽冒企業的詐騙電話與簡訊氾濫，幫助客戶驗證對方是真實且安全的公司，名為Watchmen商譽保護服務。</p> <p>以Identity Suite而言，目前Gogolook與超過10家國銀與金融機構合作，而一卡通公司是他們首間合作的電支客戶，特別的是，他們在2022年併購了臺灣新創公司：治略資訊（Crowdinsight），強化以姓名聲譽調查為基礎的AI能力與技術，等於也將Gogolook的技術從電話號碼延伸到姓名。</p> <p>關於詐騙電話簡訊，更是民眾與企業特別在意的問題，他們如何提供保護？郭建甫指出，另一款Watchmen就是這樣的解決方案，它具有兩大特性，包括商家訂閱服務取得Whoscall認證號碼後，其來電或是簡訊通知將顯示為經認證的綠色勾勾，其次是透過偽冒偵測系統，不僅識別偽冒企業的電話號碼、簡訊，也涵蓋偽冒網站，並將在第一時間偵測到後，透過系統通知企業其商譽正被濫用，同時將進行阻斷。</p> <p>由於近期民眾接到的假造來電顯示號碼的方式很多，因此我們在這場發表會上，向他們詢問詳情，Gogolook表示，近年特別多見是+886的變造號碼，這類型Whoscall有能力做出區分，同時他們也說明，iOS與Android在儲存號碼格式的底層技術不一樣，因此來電顯示方式略有不同；而像是透過第二類電信業者機房竄改，將來電號碼顯示完全相同的手法，目前由警方辦案為主，另也有VoIP機房藏身海外的模式，此竄改方式相對容易被警方查獲。</p> <p>至於詐騙電話及簡訊的概況，郭建甫說明他們近三年的觀察，最嚴重的並不是詐騙電話，而是詐騙簡訊及其所夾帶的惡意網址，其比例從2020年的61%，到2021的69%，2022年76%。</p> <p>根據Gogolook 2022年度詐騙報告指出，經Watchmen分析，全臺詐騙網域平均每月有逾2千個新生成的詐騙網域，依詐騙主題來看，近6成比例是偽冒來自銀行及金融機構的假投資、假貸款等。</p> <p>另一個值得注意的焦點是，今年初我們看到國際間出現不少AI語音詐騙的案例，Gogolook有何防護建議？創辦人暨董事長鄭勝丰表示，家人之間最好設定通關密語，以便於識破對方假冒，如何從來電就能分辨詐騙，也會變得更顯重要。</p> <p>就商業服務方面而言，郭建甫強調，消費者與企業之間的信任問題，變得越來越重要，因此他們不只提供防詐技術，也建構了袋鼠金融平臺（舊名貸鼠先生），與20家以上金融機構合作，打造主打安全性、集中處理的商業服務平臺，供民眾尋找合適的金融知識與方案。而其中AI與創新亦是關鍵，對於袋鼠金融平臺新提供的Roo AI問答服務，他們很自豪地表示，這是全臺灣第一個推出以深層式AI結合問答的技術，能提供在地的金融資訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Gogolook%E5%8D%B3%E5%B0%87%E4%B8%8A%E5%B8%82_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p><strong>根據Whoscall全球詐騙號碼查詢辨識量顯示，以近三年而言，詐騙簡訊及其夾帶的惡意網址的威脅，要比詐騙電話問題更趨嚴重，而經Watchmen分析，假投資的詐騙主題佔比最高。（攝影／羅正漢）</strong></p> <h2><strong>專注信任科技並建立創新文化，成為業務發展新動能</strong></h2> <p>綜觀Gogolook在信任科技的發展成果與未來，郭建甫透露更多關於公司發展的後續動向。例如，在消費端信任雲服務方面，除了2010年推出的Whoscall，以及2018年推出的訊息查證Line聊天機器人「美玉姨」，最近，他們還將有兩個新的解決方案。</p> <p>其中，Moonkat是區塊鏈防詐的產品，由Gogolook招募的學生團隊所研發，目前正在試營運驗證中；Message Checker是訊息管理與防詐的App，在2022年已於巴西市場推出，目前累積下載量達60萬，預計最快在下半年於合適的亞洲市場進行驗證。</p> <p>特別的是，郭建甫還提及該公司的創新文化，也就是在既有商業模式穩定的業務單位（BU）之外，他們建立一個名為TF（Task Force）的項目，可發展不受限於既有BU單位所專注的議題，這也是他們公司很重要的成長動能。例如，上述Moonkat、Message Checker目前就是TF，而袋鼠金融則已經從TF轉化成為穩定的BU單位。</p> <h2><strong>從身分識別角度切入，這三年企業市場與商業服務成長快速</strong></h2> <p>大家都相當看好Gogolook目前的發展，國內軟體界、資安界也都很關注他們的市場營運成績。事實上，該公司幾年前就開始轉型，郭建甫表示，過去他們的商業模式只有靠數位廣告來獲利，近三年已有很大改變。</p> <p>例如，早期Whoscall依賴數位廣告帶來的收入，隨著訂閱制服務營收增長，像是從2020年營收佔比從25%、到2021年35%，以及2022年49%。</p> <p>而若以整體來看，包括消費與企業的信任雲服務，以及商業服務，最近三年其營收佔比同樣是持續增長。以信任雲服務的營收而言，佔比從2020年的33%，2022年達到42%，以商業服務而言，佔比更是從4%增加至18%，至於數位廣告帶來的營收，則是從63%降至40%，這顯示出其營收結構的優化。</p> <p>不僅如此，從2023年第一季表現來看，相較於去年同期，這三類營收的表現持續增長，其中又以商業服務成長2.6倍最大，信任雲服務也有5成6的增幅。</p> <p>另一方面，海外市場的成長幅度也是顯著。以近兩年的年增率來看，海外市場分別是52%、79%，而國內市場近兩年的年增率為44%、56%。</p> <p>整體而言，2022年該公司營收為4.2億，臺灣市場營收佔比是59%，海外佔比41%，且過去三年毛利率維持在85%至90%之間，與一般純軟體業的表現相比一致。另外，在該公司既有業務方面，從2021年開始已達損益兩平。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89Gogolook%E5%8D%B3%E5%B0%87%E4%B8%8A%E5%B8%82_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p><strong>Gogolook過去從企業客戶需求體認到，電話號碼不只是通訊用的媒介，而是一種身分識別，該公司共同創辦人暨執行長郭建甫表示，隨著這三年切入企業信任雲服務市場有成，加上消費端信任雲市場積極推動訂閱制，如今公司營收結構明顯優化，依賴數位廣告的營收佔比有顯著減少。（攝影／羅正漢）</strong></p> </div></div></div>
2023/6/21 14:11作者羅正漢https://www.ithome.com.tw/news/157461
零售IT雙周報第17期：美國超市一哥大規模導入智慧冰箱門，提供類電商購物體驗，還能分析互動及銷售情況
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0604~0620)</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#OMO零售</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#RMN</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#動態定價</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#銷售分析</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#冰箱門</span></strong></span></p> <p><strong>美國超市一哥Kroger在500家分店設置智慧冰箱門，能呈現電商感消費體驗，還能分析螢幕互動和銷售情況</strong></p> <p>結束長達3年實驗期後，<a href="https://www.einpresswire.com/article/635446062/cooler-screens-announces-expansion-with-kroger-to-bring-digital-smart-screens-into-stores">美國超市一哥Kroger決定大規模導入智慧冰箱門到500家分店中</a>，前端呈現出有如電商購物的體驗，後端能提供門市互動及銷售情況分析資訊，還有自動提醒補貨等管理功能。</p> <p>這個智慧冰箱門背後是新創Cooler Screens的技術。冰箱門上，會陳列出有如一般冰櫃的商品擺設和價格標籤，點擊則會顯示出商品營養資訊、顧客評價等訊息。此系統與店舖後臺串聯，能隨時調整訂價，也能彙整商品銷售情況，一方面通知店員補貨，另一方面提供給店鋪分析。</p> <p>除了購物功能，此螢幕還能充當廣告版位，從小型廣告到大至橫跨多個冰櫃大小的超大廣告。此螢幕還能將螢幕互動情況製成熱力圖，讓店家和廣告主能在最多互動處放置廣告。不過，此螢幕系統設計上強調隱私權，因此刻意不搭載任何可以處理個人會員資料或讀取個人身分的機制，而是透過銷售情況、當天天氣、廣告主行銷意圖等資訊，來推薦商品。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/cs2.png" style="width: 600px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#0099ff;">#訂閱制</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#0099ff;">#會員社交圈經營</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#0099ff;">#團購</span></strong></span></p> <p><strong>全家會員App商品共享機制更新，一名會員最多能與3,000人共享商品，強化家庭式需求及團購商模</strong></p> <p>全家便利商店去年推出會員App跨店隨買取共享機制，1名會員最多能與3名親友綁定，共享「訂閱型商品」──也就是會員周期性預購的吐司、鮮乳等商品。透過綁定共享者的機制，全家也能將會員以小群體為單位，經營家庭式定期回購需求，而非只以個人消費需求為單位。</p> <p>近日，全家擴大此共享機制，不再限制共享品項，只要是跨店隨買取都能共享，且共享模式更彈性，會員可以選擇與特定會員共享全帳戶商品，也能依每一個商品來選擇共享對象。1項商品能選擇10名共享會員，跨店隨買取有超過300項商品，意即1名會員最多可能與3,000名其他會員共享商品。這意味著，全家有信心底層IT架構能支援超複雜的共享情境。</p> <p>從限定3人共享，到開放更多商品、更多共享人數，全家便有機會從單一會員身上看到更多經營團購需求的機會，以及觀察到更多可以搭賣的熱門商品組合。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#跨境會員點數生態圈</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#點數歸戶 </span></strong></span></p> <p><strong>統一超會員點數生態圈與日本大型點數生態圈合作，單一會員帳號能累積雙方點數，還能在點數間轉換</strong></p> <p>統一超推出Open Point跨境旅遊集點護照會員App功能，讓臺灣會員可以在App上綁定境外點數生態圈會員後，用同一帳號來累積點數，還能在點數間轉換。</p> <p>此功能第一個跨點數生態圈合作對象是，日本有逾1億會員、特約商店數十萬間的大型點數生態圈Ponta點數。統一超會員到日本時，可以用原本的Open Point App和帳戶累積Ponta點數，用不完的點數，回台後能用一定比例轉換成Open Point。統一超表示，未來日本旅客來臺消費時，也會有類似待遇，形成雙向會員點數生態圈導流。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#電商Fintech生態圈</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#B2B Fintech</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#第三方倉儲</span></strong></span></p> <p><strong>PChome用電商生態圈來經營獨特Fintech商業模式，強化供應商在自家平臺的營運狀況</strong></p> <p>2022年PChome年報出爐，電子商務銷售部門收入總計428億元，營業損益負3,100萬元，金融科技部門收入為13億元，部門營業損益6,200萬元，一口氣從去年營業損益負3億相比，轉虧為盈。雖然電子商務銷售部門獲利表現不佳，但龐大電商生態圈累積而來的數據，成為PChome推動新金融科技服務的關鍵，也有望成為自家電商平臺成長的推動力。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/pchome%E8%B2%A1%E5%A0%B1.jpg" style="width: 557px;" /></p> <p> </p> <p>PChome董事長詹宏志說，基於2022年國際市場情勢，電商蓬勃發展，但時常有塞港等拉長供應商資金周轉期的情況，因此供應商融資需求更高。因應此需求，PChome和渣打銀行攜手推出了一個B2B的金融服務，名為PChome幫手貸，向自家電商供應商提供融資服務。</p> <p>PChome推出幫手貸，一方面發展金融服務，另一方面也透過改善融資流程，來維持供應商在電商平臺上的營運及發展。這個服務的特別之處是，除了常見信用資料外，供應商能根據銷售額、庫存情況、毛利等資料來申請融資，申請完成後，未來便能一鍵申請動撥款，最快5分鐘入帳。供應商營運數據作為信用資料，更容易讓營運狀況反映在融資額度上，因此供應商能更加放心擴大營運規模，PChome作為平臺方也能得利。</p> <p>未來除了積極優化既有業務，PChome還有一項發展重點是，將今年啟用的林口A7智慧物流園區納入全臺物流布局考量，提升整體倉庫作業效率，同時加強自有車隊配送運能及涵蓋率，擴大中南部的配送網絡。此外，他們還要積極拓展第三方倉儲業務，將自家倉儲量能販售給其他小型電商。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#短鏈物流</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#RMN</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#IT人才</span></strong></span></p> <p><strong>Momo因應新戰略開出500名職缺，尤其重視廣告、物流及IT領域人才</strong></p> <p>2023年，電商龍頭Momo釋出逾300項職缺，預計招募約500名員工。<a href="https://www.ithome.com.tw/news/157054">因應今年新發展戰略</a>，他們新增多項數位媒體廣告相關職缺，並持續招募物流及IT相關人才。</p> <p>今年Momo要開始積極發展零售媒體聯播網（RMN）廣告業務，結合會員數據和供應商數據，於App和電商網站版面進行精準廣告投放，因此今年他們開始積極招募數位廣告人才。</p> <p>Momo今年也持續強化短鏈物流，預計年底前物流據點新增至61座，還要擴大配送車隊與服務範圍，甚至可能開始規畫第三方訂單履行業務。因此，Momo有意延攬物流相關的IT及非IT人才，包括物流系統規劃分析、運輸管理營運分析、廠務設備工程、建築工程規劃等人才。</p> <p>此外，Momo也今年也開出更多電商IT人才職缺，包含App程式開發工程師、雲端系統服務工程師、軟體開發工程師、網站開發工程師等，來支援電商系統維運及新功能開發。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#AI搜尋</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#線上購物</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#生成式AI</span></strong></span></p> <p><strong>Google搜尋結果頁新增2項服飾類電商功能：AI模擬試穿和AI相近商品搜尋</strong></p> <p><a href="https://blog.google/products/shopping/ai-virtual-try-on-google-shopping/">Google搜尋結果頁面的服飾類電商功能再強化</a>，現在消費者能在搜尋頁面套用服飾類商品到不同體型、膚色的模特兒上，並觀看不同姿勢及角度，來參考是否圖中商品呈現是否符合心中想像。此功能是利用生成式AI技術，來模擬出服飾細部材質、皺褶和光影。目前，此功能只支援特定品牌的女裝上衣，不過Google表示，搭配他們蒐集了350億件電商商品資訊的Shopping Graph資料集，此功能未來將能支援多品牌和品項。</p> <p><img src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/try-on-blog-post_1.gif" style="background-color: rgb(230, 230, 230); height: 500px;" /></p> <p>同樣利用了Shopping Graph資料的另一個新功能是AI相近商品搜尋功能。消費者可以根據價位、顏色、風格、裝飾圖像等條件，來搜尋相近商品。Google表示，此功能利用機器學習和AI圖像辨識技術來強化搜尋結果，因此能交叉比對Shopping Graph內超大量的商品，提供多元但準確的選項。</p> <p><img src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Guidedrefinementsmp4_1.gif" style="background-color: rgb(230, 230, 230); height: 500px;" /></p> <p>目前這2項功能都只適用於美國地區使用者，Google未揭露推廣到其他地區的時程規畫。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#3D素材生成</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#模擬試穿</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#AR購物體驗</span></strong></span></p> <p><strong>Amazon推出商家生成3D商品素材圖的功能</strong></p> <p>電商龍頭Amazon與3D視覺化處理技術商Hexa合作推出商品<a href="https://www.prnewswire.com/news-releases/hexa-delivers-immersive-retail-experiences-at-scale-for-amazon-selling-partners-301842566.html">3D素材生成功能</a>。商家只要將商品識別碼（ASIN，Amazon Standard Identification Number）上傳到Hexa的CMS（內容管理系統，Content Management System），就能得到商品3D模型。這些模型，便能用於360度視角呈現、模擬試穿功能，或其他AR購物體驗等商品展示方法。</p> <p>雖然此3D素材生成功能操作相當簡單，不過，根據AWS市集上的標價，光是使用Hexa CMS，一個月收費就要500美元，加上3D素材處理則要再加上1000美元，因此此功能應是面向具有一定規模，或有能力用3D素材創造高附加價值的商家。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1. Walmart在印第安那州開設超過6萬坪的訂單履行中心，來消化自家電商及第三方訂單履行服務的物流需求</p> <p>2. Google將出售Google Domain業務給Squarespace，包括許多品牌和電商在內的千萬網域預計今年Q3須遷移服務</p> <p>資料來源：iThome整理，2022年6月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Google、Cooler Screens</p> </div></div></div>
2023/6/21 14:55作者郭又華https://www.ithome.com.tw/news/157454
利用TP-Link路由器漏洞的新殭屍網路Condi Network現身
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.fortinet.com/blog/threat-research/condi-ddos-botnet-spreads-via-tp-links-cve-2023-1389" target="_blank">資安業者FortiGuard近日揭露了</a>一個新的殭屍網路Condi Network，它利用已於今年3月修補的TP-Link Archer AX21漏洞CVE-2023-1389進行散布，在擴大感染規模的同時，也已推出DDoS服務。</p> <p>CVE-2023-1389是個位於TP-Link路由器的安全漏洞，允許未經授權的駭客藉由其網路管理介面注入命令，TP-Link在今年1月收到通知，<a href="https://www.tp-link.com/us/support/download/archer-ax21/v3/#Firmware" target="_blank">3月便藉由韌體更新修補了該漏洞</a>，然而，<a href="https://www.ithome.com.tw/news/156573" target="_blank">駭客4月就利用該漏洞部署了Mirai殭屍網路病毒</a>，Condi Network則是第二個利用該漏洞的殭屍網路。</p> <p>FortiGuard表示，它們自今年5月底便觀察到愈來愈多的Condi樣本數，同時發現駭客透過Telegram頻道來推廣基於Condi Network的DDoS服務，也銷售Condi及其它殭屍網路的程式碼及工具。</p> <p>Condi採用了多種技巧來讓它常駐於被駭系統上，例如由於它無法在系統重啟後存活，於是它便刪除了可用來關閉或重啟系統的二進位檔案，也會刪除與其它殭屍網路有關的程序及檔案，以獨占受駭系統。</p> <p>安全研究人員指出，諸如殭屍網路等惡意程式活動通常會持續探索擴張的方法，而最新的漏洞一直是最受駭客青睞的途徑之一，強烈建議使用者應儘快部署安全更新。</p> </div></div></div>
2023/6/21 12:16作者陳曉莉https://www.ithome.com.tw/news/157458
GitHub調查大型公司開發人員，AI工具使用普及率達92％
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub與民調公司Wakefield Research合作，對美國500名開發者進行<a href="https://github.blog/2023-06-13-survey-reveals-ais-impact-on-the-developer-experience/">調查</a>，以綜合了解開發、協作和人工智慧程式編寫工具，對生產力所造成的影響，這些開發者皆來自擁有千名以上員工的大型公司。調查結果發現，92％的受訪者在工作或私人項目中，已經大量使用人工智慧程式開發工具，並且開發者期望能夠加速程式碼的建置與測試流程。</p> <p>大多數開發人員都嘗試在工作場合使用人工智慧工具，而使用的出發點並非僅是因為興趣，而是因為他們認為人工智慧工具可以有效提高程式開發效能、提高程式碼品質，甚至是降低程式在生產環境中可能出現的問題。</p> <p>開發人員對人工智慧開發工具的態度多為正面，有57％的開發人員認為，人工智慧工具可以提升程式開發能力，且在考量人的心智能力與時間資源有限的情況下，41％開發人員則認為人工智慧工具可以避免工作倦怠。</p> <p>由於開發工具與技術日新月異，約有三分之一的開發者認為，在整日工作完，學習新技術成了額外的負擔，而人工智慧工具則可以幫助開發者，在工作時學習新技能，開發者認為這可以避免讓學習成為一件額外的工作。</p> <p>在這份調查研究中，有70％的開發者肯定人工智慧工具所帶來的好處，並有81％的開發人員期望人工智慧可讓團隊協作更容易。由於在企業中，開發者平均要與21個開發人員合作，這也凸顯出提升協作能力的重要性。</p> <p>調查結果顯示，開發人員每日花最多時間的任務，便是編寫程式碼，以及建置、測試程式碼，這兩件事情所花的時間相同皆為27％。GitHub提到，即便過去十年，企業在DevOps工具投注資源，但是建置和測試的等待時間，仍是當前存在的長期問題。開發人員依然需漫長等待程式碼審查、建置和測試運作等任務，而這些時間花費也阻礙了開發者學習新技能，或是解決問題。</p> <p>根據研究結果，GitHub建議工程領導人三個要點，第一是使用工具、流程和最佳實踐，協助開發人員進入心流狀態，使他們能更具工作效率，並且有餘力展開具創造性和有意義的工作。第二則是要打破組織孤島，向開發人員提供有效的溝通方法以促進協作。最後則是透過投資人工智慧工具，讓開發人員有餘力提升自身能力，這將有助組織未來進行實驗性專案與創新。</p> </div></div></div>
2023/6/21 12:28作者李建興https://www.ithome.com.tw/news/157452
Opera最新版瀏覽器原生整合ChatGPT等AI功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://press.opera.com/2023/06/20/introducing-opera-one/" target="_blank">挪威瀏覽器業者Opera昨（20）日釋出</a>Windows、Linux及Mac版最新瀏覽器Opera One正式版，號稱是第一個整合原生AI技術的瀏覽器，整合ChatGPT及AI助理，並且採全新模組化設計、使瀏覽器介面更清爽。</p> <p>Opera One是Opera進入100版的名稱。<a href="https://press.opera.com/2023/06/20/introducing-opera-one/" target="_blank">Opera 4月間公布測試版時</a>介紹，其新架構加入Multithreaded Compositor（多線排版）可加速網頁及動畫內容載入速度及順暢感。而全新的模組化設計的精神在於整合AI功能，可依使用者需求動態調整，只將最重要的功能置於介面上，以免去瀏覽器介面擠滿功能且限制使用空間的問題。在Opera One上，預設顯示的功能為生成性AI功能，包括ChatGPT、ChatSonic（ChatGPT競爭者）及AI提示。此外Opera One還會加入分頁島（Tab Island），它會將眾多開啟的分頁由AI自動依主題分群，並且以不同色彩及清楚界限區隔開來。用戶也可以搬移、最小化或將分頁群組儲存成書籤或釘在釘頁板（pingboard）上。</p> <p>Opera One正式版則首度內建瀏覽器AI功能，名為Aria。基本上Aria為一個AI助理介面，方便用戶使用ChatGPT、AI提示及網頁查詢／搜尋、產生文字、或程式碼。但它比較特別的是，可以瀏覽器側邊欄，也可以從新的指令行介面叫出。使用者可以由ctrl + Windows按鍵，或是cmd+/快捷鍵叫出。不過正式版就不再提供ChatSonic了。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0621-Opera%20One-Aria%20Browser%20AI-600.png" style="width: 500px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源_Opera</span></span></p> <p>Opera One現可供<a href="https://opr.as/opera-one">下載</a>。</p> <p>根據市調機構<a href="https://gs.statcounter.com/browser-market-share" target="_blank">GlobalStats</a>，截至今年5月Opera全球市場佔為2.82%，僅次於Chrome（62.85%）、Safari（20.72%）和Edge（5.31%）。</p> </div></div></div>
2023/6/21 12:40作者林妍溱https://www.ithome.com.tw/news/157459
合勤緊急修補NAS重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-pre-authentication-command-injection-vulnerability-in-nas-products" target="_blank">合勤（Zyxel）本周發布安全公告</a>，以修補一個風險值9.8的安全漏洞。</p> <p>合勤這次修補的漏洞編號CVE-2023-27992，位於該公司部分網路附加儲存（Network-Attached Storage，NAS）系統，屬於授權前指令注入漏洞。這個漏洞可讓未經驗證的攻擊者傳送惡意HTTP呼叫，而在NAS裝置OS上遠端執行指令。漏洞風險值達9.8。</p> <p>受到CVE-2023-27992影響的產品包括NAS326、NAS540及NAS542。合勤已經釋出更新版韌體解決問題，也呼籲用戶儘速更新。</p> <p class="rtecenter"><a href="http://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-pre-authentication-command-injection-vulnerability-in-nas-products" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0621-%20CVE-2023-27992-Zyxel-Affected%20model.png" style="width: 600px;" /></a></p> <p>本項漏洞分別由安全研究人員Andrej Zaujec及Maxim Suslov，以及芬蘭國家網路安全中心（National Cyber Security Center，NCSC-FI）通報業者。</p> <p>這項漏洞是合勤二個月以來第二次發布修補程式。<a href="https://www.ithome.com.tw/news/157129" target="_blank">合勤5月底才修補</a>了防火牆/VPN設備的多項漏洞，包括已經遭Mirai濫用的CVE-2023-28771。</p> </div></div></div>
2023/6/21 11:27作者林妍溱https://www.ithome.com.tw/news/157456
逾10萬個ChatGPT帳號憑證被放上暗網兜售
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.group-ib.com/media-center/press-releases/stealers-chatgpt-credentials/" target="_blank">安全廠商Group-IB發現</a>，有超過10萬個被駭的ChatGPT帳號之憑證遭人放上暗網交易市場銷售。</p> <p>Group-IB去年發現到暗網上銷售的這101,134個ChatGPT帳號，都帶有竊密惡意程式的log，顯示是因ChatGPT帳號主人的裝置因安裝了竊密程式被駭，致使帳號外洩。</p> <p>研究人員蒐集的資料顯示，包含被駭ChatGPT帳號的竊密軟體log，從去年6月的74個成長到2023年5月的26,802個，總計超過10萬個。在這些竊密程式中，超過7成是惡名昭彰的Raccoon，其次Vidar及Redline。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0621-Compromised%20ChatGPT%20Accounts%20on%20Dark%20Web%20Marketplaces%20image%20by%20Group-IB%2C%202023-06-20-600.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0621-Compromised%20ChatGPT%20Accounts%20on%20Dark%20Web%20Marketplaces%20image%20by%20Group-IB%2C%202023-06-20-600.png" style="width: 450px;" /></a></p> <p><a href="http://www.group-ib.com/media-center/press-releases/stealers-chatgpt-credentials/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Group-IB</span></span></a></p> <p>以受害裝置所在區域來看，以亞太地區超過4萬臺最多，比例達4成，其次是中東與非洲，將近2.5萬臺，歐洲及拉丁美洲約為1.7萬及1.2萬臺。若論國家，則以印度（1.2萬）、巴基斯坦（9,217）及巴西（6,531）居冠。</p> <p>研究人員指出，ChatGPT預設會儲存使用者查詢內容和AI助理的回應。因此若ChatGPT帳號被非法登入，可能讓使用者的機密或敏感資訊曝光，後者可能被用來對企業或員工發動精準攻擊。</p> <p>Group-IB最新研究顯示，ChatGPT帳號已成為駭客社群的熱門目標。竊密程式以其簡單、好用、有效，成為駭客們蒐集此類資訊最受歡迎的方法之一。竊密程式多半透過釣魚信件或其他方法以最大化感染裝置數量，研究人員提醒用戶應小心來路不明的信件、附檔或連結。</p> </div></div></div>
2023/6/21 12:03作者林妍溱https://www.ithome.com.tw/news/157457
FAIR定量風險分析模型實用性高受重視，量化資安風險有助溝通風險問題、確定資安投資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安風險管理一直是企業很重視的議題，在多年前，已發展出一種量化評估資安風險的方法，稱之為FAIR模型，如今正受到關注與重視，例如，近期這幾屆臺灣資安大會有講者談到此議題，今年大會更有兩位專家不約而同聚焦於此一個模型的介紹，一位是達信保險經紀人資深資安風險顧問李彥民，另一位是合勤投資控股資安長游政卿，藉由深入淺出說明，幫助企業認識FAIR模型，並了解此一資安風險分析量化的應用發展。</p> <h2><strong>可將ISO 27005風險管理標準與FAIR模型結合使用</strong></h2> <p>談到資訊安全風險管理，大家可能較熟悉的是ISO 27005資安風險管理指引，當中提供了定義管理風險的方法，第一版發布於2008年，最新為2022年10月的第四版。</p> <p>而FAIR模型，其全名為Factor Analysis of Information Risk，當中主要是提供對於風險分析的方法，此一模型是由Jack Jones在2005年正式提出，隨著企業這幾年逐漸認識到風險量化的重要性，FAIR也漸成國際間廣泛使用的指標，國內已有少數業者開始跟上此一潮流。</p> <p>關於ISO/IEC 27005與FAIR的應用，李彥民表示，以大家熟知的ISO 27001而言，是可以認證的框架標準，ISO 27002是對應的實施指引，說明了控制措施應該如何具體實施，而ISO 27005訂定風險管理的原則，是風險管理框架與建構資訊安全的基礎，可用於幫助ISO 27001做到風險評估。</p> <p>基本上，ISO 27005也是指引性質，提供管理風險的方法，但並未規範必須要使用何種風險分析方法，而FAIR就是可用的方法之一。換言之，在風險分析層面，FAIR可以幫助ISO 27005做到風險量化。因此，ISO 27005可與FAIR結合應用。</p> <p>為了增進大家對於風險及風險量化的認知，在去年臺灣資安大會已經介紹FAIR模型的李彥民，這次用開車來比喻。當我們趕著要從臺北開車到桃園，煞車是否重要？風險管控是否重要？一臺沒有剎車系統的超跑，跟一臺有剎車系統的50萬元小轎車，誰會先開到桃園？試想，一間公司如果在沒有風險控制狀況下，能到達目標嗎？</p> <p>此外，他也用一段在高速公路飆車的影片，來說明風險隨時都在變動。以車子性能而言，直線與過彎的速度上限並不相同，而以道路規範而言，高速公路的內側、外側與其他車道的最低速限也不同，同時，也受到情境的影響，像是下雨天風險高，大家可能會行駛得比較慢，一旦路上車多，就算我們想開到最低速限，環境也不允許。但是，終究，我們還是需要有一個標準，告訴自己多快或多慢才能符合所需。</p> <p>而在公司決定風險偏好（Risk Appetite）時，如果能夠做到量化，將有助於知道公司的資安風險程度，這也就是量化資安風險的好處。</p> <p>基本上，FAIR是一種資訊安全風險的評估方法，透過因素分析來量化資安風險。李彥民表示，以FAIR風險公式而言，就是「風險是未來損失的可能頻率和可能大小」。</p> <p>因此，若要評估風險，預測此風險的年度損失金額，就要計算事件損失頻率（LEF），以及損失幅度（LM）。</p> <p>簡單來說，以計算事件損失頻率而言，涵蓋的是威脅事件頻率（TEF，包含接觸頻率、攻擊機率）與脆弱度（VUL，包含威脅能力、防禦強度）；以損失幅度計算而言，涵蓋的是主要損失（PL）與次要損失（LM，包含事件損失頻率、損失幅度）。</p> <p>其中，在防禦強度方面，早年他以Cyber Kill Chain、Mitre Attack、Application Attack Kill Chain來將攻擊手法做對照，如今已有FAIR-CAM的模型可以幫助分析，他推薦給大家使用；而在主要損失估算部分，他特別強調一點，需客戶或專家支援你的邏輯與源由，加上數據的校驗，估算才有意義。</p> <p>綜合而言，李彥民指出，FAIR的好處在於，是以金錢為單位來量化資安風險，可以明確的定義風險，帶來較客觀的資安分析與模型建立，並且是結合了質化分析與量化分析。同時也簡化了統計與蒐集，改善風險管理專案的修先順序，更重要的是，讓資安能支援風險分析成本，讓管理資安風險也能像管理其他風險。</p> <p>令我們好奇的是，目前使用FAIR的企業多嗎？我們在會後詢問李彥民，他表示，國際上有許多大型企業都在使用，包括知名科技業者Netflix，就使用包括FAIR等定量分析模型來做出決策，全球航運物流巨擘馬士基（Maersk）也已經導入，根據我們在網路上尋找採用的企業與組織，發現HPE、美國NSAS都是。就李彥民的觀察而言，FAIR的應用在美國市場是相對成熟，近年亞太地區的案子有顯著增加，但對於臺灣而言，他認為仍然算是比較新的概念。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖）FAIR.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89FAIR.jpg" style="width: 600px;" /></a></p> <p><strong>關於FAIR風險公式，李彥民指出，就是「風險是未來損失的可能頻率和可能大小」，也就是要得出事件損失頻率（LEF）及損失幅度（LM）以計算出風險。</strong></p> <p><strong><a href="https://s4.itho.me/sites/default/files/images/（圖0）FAIR.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%960%EF%BC%89FAIR.jpg" style="width: 600px;" /></a></strong></p> <p><strong>基本上，ISO 27005風險管理框架可用於幫助ISO 27001做到風險評估，而FAIR可以幫助ISO 27005做到風險量化。</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）FAIR.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89FAIR.jpg" style="width: 600px;" /></a></p> <p><strong>在ISO 27005風險管理標準框架之中，條文中8.2是「風險分析」、8.3「風險評估」，李彥民表示，ISO 27005為指引性質，並未規範必須要使用何種風險分析方法，而FAIR就是可用的方法之一，可幫助ISO 27005做到風險量化。</strong></p> <h2><strong>將風險程度量化成「金額」好處多，易於溝通與理解</strong></h2> <p>國內是否也有企業使用FAIR？在去年臺灣資安大會，合勤投控資安長游政卿揭露自家公司轉化資安投資的6個策略中，曾提到他們採用資安風險量化工具FAIR模型，並將業務營運中斷、勒索贖金、法律費用、名譽受損、法規罰金、個資外洩等，都列入模型參數。今年他更是直接以FAIR為題，特別從資安長與董事會溝通的角度，來說明量化安全價值的重要性。</p> <p>「在董事會報告，只有錢能夠觸動這些高階主管的神經。」游政卿說。他打趣著說，向董事會報告資安有多麼重要時，所有人的頭是低的，向董事會報告這個風險值16萬美元，大家的頭就抬起來，表示他們很關注此事。</p> <p>如果我們只是說威脅很重要、我們需要投資資安，這樣的溝通效果並不顯著；事實上，我們可以將調整報告內容，例如，提到有哪些資安防護如果沒有做，可能會損失多少錢，因此，若能拿出估計損失金額的十分之一來投資這方面的資安，是划得來的，而這樣的說法，往往較能讓董事們認為合理而接受。而這就是一個量化安全價值的最簡單例子，有助於跨部門溝通。</p> <p>游政卿表示，他首次接觸FAIR，是因為合勤要併購一家公司而要做盡職調查（Due Diligence）。基本上，FAIR的主要目的，是為企業提供客觀、可靠的風險評估方法，以支持風險管理決策，其特點有三，分別是：定量分析、易於理解，以及有助於跨部門溝通。</p> <p>重要的是，FAIR模型不僅是金額量化網路與營運風險，透過標準模型將資訊風險分析與量化，將可根據風險，實現更佳的決策制定與資源分配。</p> <p>但游政卿也強調，如果FAIR真的那麼好用，國內現在應該也有很多企業採用才是，但實際情形並非如此。因此，他在最近這次的演說中，除了讓大家理解FAIR在國際受到很大的重視，而具體描述了定性與定量的差異與實例，他更是指出FAIR的挑戰，幫助國內未來能善用FAIR。</p> <p>以定量風險評估的局限來看，游政卿整理出4大面向。</p> <p>首先是主觀性，FAIR方法的部分輸入值，是來自於專家判斷，因此可能導致主觀性與偏見；其次是複雜性，FAIR方法的風險分析過程相對複雜，需要對多個因素進行詳細的分析，因此，對於缺乏風險管理經驗的人而言，要搞懂FAIR模型是有一定的挑戰；第三是資料不足，以FAIR方法評估風險，依賴足夠的歷史資料和專家知識，若缺乏足夠資料，將影響分析結果準確性；最後是跨行業通用性，受高度監管的產業更適合用FAIR，包括金融、醫療、電信、能源與國防等，但應用於其他不同產業則需一定的調整與客製。</p> <p>此外，FAIR的採用並非單靠本身的內容，游政卿強調，FAIR可與其他量化風險框架，不論是ISO 27005，或是與NIST 800-37框架、OCTAVE風險評估方法結合，達到更全面的風險管理。還有像是CIS RAM框架是以FAIR為核心組成，ISACA的CRISC認證涵蓋FAIR方法，FAIR可與其風險管理知識結合。</p> <p>至於未來，游政卿認為，隨著教育與培訓機構開設FAIR課程，其他風險管理工具與FAIR整合，以及更多企業認識到風險量化的重要性，FAIR將在更多領域獲得應用。</p> <p> </p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）FAIR.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89FAIR.jpg" style="width: 600px;" /></a> </p> <p><a href="https://s4.itho.me/sites/default/files/images/fix_（圖1）FAIR_合勤投資控股資安長游政卿s.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/fix_%EF%BC%88%E5%9C%961%EF%BC%89FAIR_%E5%90%88%E5%8B%A4%E6%8A%95%E8%B3%87%E6%8E%A7%E8%82%A1%E8%B3%87%E5%AE%89%E9%95%B7%E6%B8%B8%E6%94%BF%E5%8D%BFs.jpg" style="width: 280px; float: right;" /></a></p> <p><strong>合勤投資控股資安長游政卿去年在臺灣資安大會，曾表示該公司曾提到他們公司採用FAIR模型，今年他特別以此為題，說明量化安全價值的好處與重要性，同時他也介紹了FAIR的發展歷程，並分享定量風險分析的企業實際案例，在其<a href="https://s.itho.me/ccms_slides/2023/5/18/96e3a773-3f5a-4103-9177-43981471295e.pdf">簡報</a>中也針對FAIR模型中的各項因子及其算式做出闡釋。</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5）FAIR.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89FAIR.jpg" style="width: 600px;" /></a></p> <p><strong>說明可運用定量風險分析來決定安全投資策略之餘，合勤投控資安長游政卿</strong><strong>也介紹一些FAIR的相關資源及工具，供大家參考。例如FAIR Institute，這是Jack Jones在2006年為了推廣FAIR創立的非營利組織，主要促進FAIR方法的普及與應用，提供教育訓練、案例研究與網路研討會等資源；還有像是The Open Group 所開發的OpenFAIR標準。</strong></p> <p><strong>此外，Jack Jones現為Risklens公司首席風險科學家，而該公司除了推出基於FAIR的風險管理軟體，幫助企業量外與管理資安風險，並在2019年提供基於FAIR方法的免費分析工具，打造FAIR-U的網站應用程式，供初學者熟悉FAIR框架與概念。（上圖為FAIR-U的介面）</strong></p> </div></div></div>
2023/6/20 21:35作者羅正漢https://www.ithome.com.tw/news/157441