iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 4篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 16:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

MedTech醫療科技雙周報第23期：Google醫用生成式AI準確率92.6%與臨床醫師相當
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（0701～0715）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Med-PaLM </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google醫用生成式AI準確率92.6%與臨床醫師相當，成果登上Nature</strong></span></p> <p>權威期刊Nature在7月12日刊登Google研究成果，聚焦醫用生成式AI模型進展，經臨床醫師評估，Google醫用大模型Med-PaLM產出的長篇答案，有92.6%符合科學共識，與臨床醫師的92.9%相當。</p> <p>Google指出，大型語言模型雖已蓬勃發展，但臨床應用門檻很高，且要評估模型臨床知識是否足夠，還得仰賴自動化又不全面的基準測試。為此，Google先自建一套基準測試MultiMedQA，涵蓋6大醫學QA資料集，包括專業醫學、研究、病人詢問，以及一套線上醫療問題搜尋資料集HealthSearchQA。接著，Google建置一套人工評估框架，指標涵蓋事實程度、完整性、推理能力和可能的傷害與偏見，來讓專業人士評分模型表現。</p> <p>後來，團隊用MultiMedQA來評估5,400億參數的PaLM模型及其衍生模型Flan-PaLM，雖然後者在各項評測都達到SOTA水準，甚至在美國醫療執業類型題庫MedQA達到67.6%，比時下最佳模型高出17%，但在回答病人醫療問題時，表現差強人意。為解決問題，團隊用指令提示微調方法，打造醫療專用模型Med-PaLM，且在多個領域表現優秀。比如，臨床醫師小組評分，Flan-PaLM產出的長篇回答，只有61.9%符合科學共識，而Med-PaLM則是92.6%，與臨床醫師的92.9%相當。此外，29.7%的Flan-PaLM回答被評為可能有害，但Med-PaLM只有5.9%，與臨床醫師的5.7%相似。Google指出，雖然這些結果很有潛力，但醫療領域複雜，需要進一步評估，特別是在安全性、公平性和偏差部分。<a href="https://www.nature.com/articles/s41586-023-06291-2">（詳全文）</a></p> <p><img alt="" src="https://media.springernature.com/full/springer-static/image/art%3A10.1038%2Fs41586-023-06291-2/MediaObjects/41586_2023_6291_Fig1_HTML.png?as=webp" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 國科會 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 高齡科技 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 產業 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>國科會揭高齡科技產業行動計畫策略</strong></span></p> <p>日前，國科會主委吳政忠揭露高齡科技產業行動計畫，來因應臺灣將在2025年步入超高齡社會、成為全球老化速度最快的國家之一。該計畫涉及國科會、經濟部、衛福部、數位部、內政部、教育部、原民會和文化部等8部會，要用科技提升高齡照護效能、培養長者數位學習能力，並強化長者與社會連結，同時帶動高齡科技產業發展。</p> <p>進一步來說，該計畫的推動組織為國科會科技辦公室和高齡科技產業發展專家委員，由前者擔任幕僚，後者負責諮詢，來推動市場經濟、擴大數位賦能、提升照顧效能和優化高齡生活等4大目標。就第1項來說，發展策略是要對接高齡科技產品和服務供需，並完善產業發展，第2項則是要推動數位學習、整合服務場域應用，最後2項是發展照顧者輔助產品、完善高齡生活整合服務。國科會強調，該計畫瞄準普惠科技、場域應用、社會參與、產業發展等面向，要實際落地高齡科技產品和服務，用科技優化銀髮族生活日常，並放大產業效益。<a href="https://www.nstc.gov.tw/folksonomy/detail/434b0171-52dd-403e-9565-11a8542a1627?l=ch">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-07-20%20180829.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">衛福部 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 次世代HIS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IoT </span></strong></span></p> <p><span style="font-size:22px;"><strong>衛福部揭次世代HIS平臺架構雛形，還要建醫療器材平臺串IoT資料</strong></span></p> <p>衛福部資訊處處長龐一鳴在7月8日一場研討會上，揭露更詳細的次世代數位醫療平臺架構雛形圖，由容器化底層（IaaS）、共用中間層（Common PaaS）、由IT中臺和數據中臺構成的中間平臺（Middle Platform），以及應用層組成。其中，底層涵蓋網路、儲存、運算、安全和監控等模組，共用層包含各類醫療標準，不只有國際疾病分類編碼ICD-10，還有未來要導入的國際檢驗檢查編碼LOINC和臨床術語編碼SNOMED CT。此外，共用層還有醫療流程中的通用機制，如身分驗證系統、訊息交換系統、ETL系統、資料庫等。</p> <p>往上一層則是數據中臺和IT中臺，數據中臺包括資料湖、報告系統和資安分析系統，以及大數據分析和AI處理，IT中臺則有效能測試工具、DevOps工具和安全測試工具等。再來是應用層，包含各類HIS相關系統，如護理系統、病人管理系統、病床系統，以及各類行政系統。未來，應用層的運作方式會是呼叫次世代HIS平臺功能，來執行相關應用。</p> <p>另一方面，衛福部也要打造醫療器材平臺，來用閘道器（Getway）串接醫院IoT設備資料至次世代數位醫療平臺。不過，下一步，衛福部將與醫學中心、地區醫院等醫療機構和SI業者討論，架構雛形很快將會依據第一線需求來更新。<a href="https://www.ithome.com.tw/news/157801">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202023-07-15%20at%201_31_11%20AM.png" /><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 北榮 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 容器化 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>北榮揭露今年用雲策略，還要將5套系統先容器化</strong></span></strong></p> <p>臺北榮總揭露今年用雲方向，不只要用公雲服務優化流程，還要完善容器化環境，更選定5套系統先練兵。就用雲來說，臺北榮總資訊室主任郭振宗指出，北榮瞄準公雲服務，用公雲架構來打造管理儀表板，方便高層隨時隨地掌握醫院動態，不受地理位置限制。另一個例子是採用語音轉文字API服務，比如用來驅動護理語音記錄功能，此外，北榮IT最近還評估公雲Email服務，要讓使用者更有彈性地存取郵件。不只如此，北榮還規畫，遠距醫療、精準醫療（如基因服務平臺）等領域，甚至也採用公雲服務來使用生成式AI功能。</p> <p>另一方面，IT現代化也是北榮重要的年度工作。今年，他們要建置完整的容器和K8s平臺，包括開發、測試和正式上線的環境平臺，同時還要完成5個周邊系統的容器化，如行政類的押標金管理系統、預算管控系統，以及醫務類的住院管理、個案管理和排程系統。這些系統獨立性高，適合IT團隊練兵，不只可善用容器技術來提高系統可用性和穩定性，也可用來學習系統容器化後可能的問題與解法。<a href="https://www.ithome.com.tw/news/157786">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 新加坡</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IHiS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Secure GPT </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>新加坡衛生部要開發Secure GPT來產出洞察、自動執行任務</strong></span></strong></p> <p>由新加坡衛生部成立的國家級醫療IT公司IHiS日前與微軟簽署MOU，要用Azure OpenAI服務來發展醫療專用Secure GPT，來幫助醫護人員產出醫療洞察、自動執行特定任務。</p> <p>不只是Secure GPT，該MOU還有5大發展重點，首先是學習探索，IHiS和微軟將透過微型會議等方式，來強化醫療參與者對生成式AI和雲端的知識與技能。再來是創新全周期的合作，涵蓋發想、取得資格、孵化、發展、部署和擴大落地等環節。接著是使用Azure雲端服務和安全技術，大規模優化、自動化和現代化公衛醫療IT與安全基礎設施，讓公家醫療機構使用安全雲平臺的進階分析和AI。另一個是利用Azure資料平臺和Azure OpenAI服務來改善臨床和營運洞察，利用生成式AI來打造符合需求的應用程式、提高工作效率。最後一項是運用Microsoft 365雲端工具，來優化醫院協作。<a href="https://news.microsoft.com/en-sg/2023/07/07/ihis-inks-mou-with-microsoft-to-deepen-collaboration-and-trailblaze-generative-ai-and-cloud-innovation-in-healthcare/">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">牙科 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 牙位圖 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>臺灣牙科新創用生成式AI打造牙科HIS服務</strong></span></strong></p> <p>生成式AI產業用例再添一例，7月2日，專攻牙科醫療資訊系統（HIS）的牙科新創台灣牙e通揭露生成式AI新服務<a href="http://dentall.ai">dentall.ai</a>，用GPT-4、GPT-3.5等大型語言模型優化牙科HIS，使用者可直接在HIS頁面，快速查詢健保申報資訊、建議代碼、常用組合和申報建議，甚至還能根據病歷資訊，來生成牙位圖和治療建議。</p> <p>該服務採外掛形式，目前為Beta版，開放醫師公測，現支援Chrome和Edge瀏覽器，接下來還會擴大到Safari、Firefox等瀏覽器。台灣牙e通創辦人暨執行長陳欽章透露，團隊瞄準海外市場，接下來要推英文版系統，還要新添更多功能，如AI自動排班、自動化預約和更彈性的牙位圖與內容生成。<a href="https://www.ithome.com.tw/news/157585">（詳全文）</a></p> <p><img alt="" src="https://dentall.ai/assets/img/fn/one-click.png" /></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AT&T </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 邊緣運算 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 遠距急救 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>美國最大電信AT&T調查：今年醫療邊緣運算聚焦遠距急救</strong></span></strong></p> <p>美國最大的電信業者AT&T日前發布醫療邊緣運算報告，有別於去年單純的遠距照護服務，今年，醫療邊緣運算聚焦遠距急救照護，2個代表案例為在宅醫療和無人機/機器人的使用。</p> <p>報告指出，醫院希望透過遠距醫療和急救人員來加速診斷、為患者提供基礎緊急照護，並透過無人機和機器人來消毒病房、提供所需物資，報告稱，這是醫療邊緣運算正在起飛的領域。不過，研究人員也表示，醫院靠IoT設備遠距傳輸資料，也容易出現安全問題。他們建議，醫院可參考5項原則，包括建立邊緣運算發展檔案、制定投資策略、提高合規能力、合理分配資源給新出現的任務，以及提高韌性，以因應動態的變化。<a href="https://cybersecurity.att.com/resource-center/insights-reports/2023-edge-ecosystem-focus-on-healthcare">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 臺中榮總 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 重症預測 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 風險 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>臺中榮總揭12項重症預測AI成果</strong></span></strong></p> <p>臺中榮總日前揭露重症AI應用成果，打造12項疾病預測模組來即時掌握病人狀況，幫助醫護快速治療重症患者、提高存活率。為開發模組，臺中榮總重症醫學部先是與資訊室建立重症資料庫，收集2015年至2021年的成人加護病房臨床資料，涵蓋24類數值和影像，如病人基本資料、生化數值、輸血醫囑、X光片影像等共7,200萬筆資料。過程中，他們還開發了資料清理自動化工具，來加速資料處理工作。</p> <p>接著，臺中榮總用這些資料來打造疾病預測模組。他們聯手東海大學AI中心，訓練12項重症預測模組，包括急性呼吸窘迫症候群、急性腎損傷、菌血症、呼吸器拔管、急性呼吸窘迫症（ARDS）、24小時後和72小時後臨床惡化風險、腎恢復預測、出院後30天、90天和一年內存活率預測等，這些模組的AUROC鑑別率都達到8、9成以上。模型完成開發後，臺中榮總也打造疾病管理儀表板，來落地運用。這個重症疾病管理儀表板，涵蓋全院重症床位現況、重要設備（如葉克膜、呼吸器等）使用狀況，以及每位患者的各大疾病預測風險數值，每小時更新病人臨床資料，來供臨床醫護人員快速掌握病情。<a href="https://www.ithome.com.tw/news/157559">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%80%A5%E6%80%A7%E5%91%BC%E5%90%B8%E6%80%A5%E8%BF%AB.jpg" />圖片來源／Google、國科會、衛福部、微軟、台灣牙e通、臺中榮總</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></strong></p> <p><strong><strong>1. 自2020年來，<a href="https://www.healthcareitnews.com/news/asia/rpa-saves-singapore-general-hospital-over-50000-man-hours-2020">RPA替新加坡中央醫院節省5萬小時</a></strong></strong></p> <p><strong><strong>2. 生成式AI醫療供應聚落落腳高雄亞灣</strong></strong></p> <p>資料來源：iThome整理，2023年7月</p> </div></div></div>
2023/7/20 18:30作者王若樸https://www.ithome.com.tw/news/157887
微軟Teams加入Copliot，Google Meet以AI產生視訊通話背景
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟和Google分別為其協同軟體加入AI功能。Teams的通話和聊天功能整合Copilot，而Google Meet則以AI產生視訊通話的背景。</p> <p>微軟昨日除了<a href="https://www.ithome.com.tw/news/157859" target="_blank">宣布Microsoft 365 Copilot價格</a>外，也<a href="https://techcommunity.microsoft.com/t5/microsoft-teams-blog/the-next-wave-of-copilot-in-microsoft-teams/ba-p/3872842" target="_blank">公布為Teams Phone及Teams Chat加入AI助理</a>。Teams Phone加入Copilot後，用戶將能從任何裝置上的Teams app撥打及接聽電話，並且以自然語言讓Copilot即時整理重點，像是姓名、日期、電話號碼或工作。這用在客服上十分有用，例如能抓住客戶的產品功能、效能及價格等問題，還能紀錄客戶的回饋，並建議接下來的步驟。Teams Phone with Copilot支援VoIP及傳統PSTN，微軟說這使得Teams Phone成為第一個加入生成式AI的整合通訊即服務（UCaaS）方案。</p> <p>而Teams chat加入Copilot後，用戶可以叫AI聊天機器人整理出對話串的重點，幫助他管理不同對話，提升工作效率。Copilot提供過去1天、7天或30天的提示選項，讓用戶不需再拉回前面讀取落落長的對話。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0720-Microsoft%20365%20Copilot-Copilot%20in%20Teams%20chat.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_微軟</span></span></p> <p>一如企業版Microsoft 365 Copilot，Copilot for Teams Phone及for Team chat目前也僅提供Microsoft 365 Copilot付費早期試用計畫的企業用戶。</p> <p>對於認為Zoom視訊背景太陽春的用戶，<a href="https://support.google.com/meet/answer/13784433" target="_blank">Google正在測試一項AI功能</a>，讓你可輸入想要的風格產生視訊背景。這項功能目前僅提供給加入Google Workspace Labs測試計畫的用戶。不過這個方案僅提供美式英語地區用戶，外國地區還沒有。</p> <p>如果你成功加入了這項計畫，可以在桌機版Google Meet試用。在以Google Meet視訊通話時，在自己畫面視窗右下有一個「Apply visual effects」選單，當中有個「Generate a background」。點入後會出現輸入提示的選項，如同使用ChatGPT一樣。用戶可以輸入想要背景的描述文字，例如你可輸入「魔法森林的圖像」，這AI功能就能產出背景。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0720-Google%20Meet-Apply%20visual%20effects.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></p> <p>Google提醒，背景生成功能產出的圖片只是人類想像力的具像化，僅供Google Meet使用。此外，使用這功能產生背景時，Google會蒐集Workspace Labs的資料，包括提示或輸入內容、輸出結果，也會蒐集該功能的各項使用數據。這些資料用以開發Workspace Labs功能，因此也會被Google方面的評估員讀取及處理。</p> <p>這是Google Meet最近新增的多項功能之一。Google近日也為Workspace付費版Meet加入1080p解析度、子母畫面（picture in picture）模式、以及模糊、濾鏡及影像置中等功能。</p> </div></div></div>
2023/7/20 16:58作者林妍溱https://www.ithome.com.tw/news/157878
向有意打造AI雲端服務的業者招手，輝達推出網路整合平臺
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/nvidia_spectrum-x_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以GPU聞名全球的Nvidia，這幾年以來，積極拓展資料中心解決方案，2020年陸續併購Mellanox、Cumulus Networks這兩家公司之後，而涉足網路軟硬體產品的供應，其中又以帶動資料中心處理器（DPU）的崛起，最讓人津津樂道，除此之外，隨著他們開始推出整合式AI應用設備DGX系列，需要搭配更大而穩定傳輸的網路頻寬，也趁勢鼓吹企業多多採用源於Mellanox的網路解決方案，陸續將支援200Gb與400Gb InfiniBand的網路介面與網路交換器納入建置這類系統的參考架構，而使得網路環境的搭配成為提升整體系統效能的另一個重要關鍵。</p> <p>過去我們曾陸續介紹可支援乙太網路或InfiniBand的網路介面卡<a href="https://www.ithome.com.tw/review/133978">ConnectX-6</a>與<a href="https://www.ithome.com.tw/review/149714">ConnectX-7</a>，資料處理器<a href="https://www.ithome.com.tw/review/144740">BlueField-2</a>與<a href="https://www.ithome.com.tw/review/156209">BlueField-3</a>，專攻InfiniBand的網路交換器<a href="https://www.ithome.com.tw/review/146313">Quantum-2 QM9700</a>，這些都是出自Mellanox的手筆，但其實他們還有乙太網路交換器Spectrum系列、網路纜線與收發器等互連器材LinkX系列，可惜相關的產品發表資訊相對較少，然而這並不代表他們不重視兩條產品線。</p> <p>例如，在2020年5月舉行的GTC春季大會期間，Nvidia當時剛完成Mellanox的併購，創辦人暨執行長黃仁勳在線上主題演講影片開場10分鐘內，就特別向全球觀眾展示甫於同年3月問世的400GbE乙太網路交換器：Spectrum-3 SN4000系列，之後又秀出2月推出的資料處理器BlueField-2，以此歡迎Mellanox加入他們公司的行列。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2020-05-Nvidia GTC SN4000-BF2 DPU.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-05-Nvidia%20GTC%20SN4000-BF2%20DPU.jpg" style="width: 600px;" /></a></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/bOf2S7OzFEg" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p>到了2022年3月舉行的GTC春季大會，Nvidia終於推出下一代乙太網路平臺Spectrum-4，當中涵蓋網路卡ConnectX-7、資料處理器BlueField-3，以及採用ASIC晶片Spectrum-4的網路交換器SN5000系列，希望以此打造全面支援400GbE連線規格的網路平臺。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-03-21_GTC-Spectrum4-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-03-21_GTC-Spectrum4-1.jpg" style="width: 600px;" /></a></p> <p>根據當時發布的新聞稿指出，ConnectX-7已上市，BlueField-3資料處理器與Spectrum-4交換器預計同年稍晚上市。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-03-22_Nvidia Spectrum-4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-03-22_Nvidia%20Spectrum-4.png" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-03-21_GTC-Spectrum4-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-03-21_GTC-Spectrum4-2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-03-21_GTC-Spectrum4-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-03-21_GTC-Spectrum4-3.jpg" style="width: 600px;" /></a></p> <p>然而，到了今年3月舉行的GTC春季大會，Nvidia明確公開表示，BlueField-3已進入全面量產，而在5月24日發表的2024第一季財報時，他們透露多個產品正在生產當中，Spectrum-4網路平臺就是其中之一。</p> <p>事隔幾天後舉行的台北國際電腦展期間，令人意外的是，Nvidia又有網路解決方案的新消息，那就是推出名為Spectrum-X的網路平臺，他們表示，這是針對使用乙太網路的AI雲端環境、專為改善其效能與效率而設計的加速網路平臺，是一種新的乙太網路應用類型，能夠用於多種AI系統，它可以掃除新世代生成式AI工作負載的障礙，具有改變整個產業的潛能，而且完整採用標準乙太網路的規格，能與其他同樣基於乙太網路的技術堆疊互通。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-05-Compuex-Nvidia Spectrum-X-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-Compuex-Nvidia%20Spectrum-X-1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-05-Compuex-Nvidia Spectrum-X-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-Compuex-Nvidia%20Spectrum-X-2.png" style="width: 600px;" /></a></p> <p>而在導入成效的部分，Nvidia強調Spectrum-X對於整體AI效能與電力使用效益，改善的幅度可達到1.7倍，同時，此平臺也能用於多租戶環境，提供持續、可預期的效能輸出。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-Nvidia%20Networks-Relative%20AI%20Fabric%20Performance.png" style="width: 600px;" /></p> <h3><span style="color:#0000FF;"><strong>包含4大軟硬體技術，提供乙太網路產品線更多市場動能</strong></span></h3> <p>這套平臺是由哪些元件所組成？它涵蓋Spectrum-4交換器（圖1位置）、BlueField-3資料處理器（圖2位置）、LinkX光纖網路線材與收發器（圖4位置），以及網路作業系統與軟體開發套件（圖3位置），目前已開始供貨，可透過Dell Technologies、聯想、Supermicro這三家系統廠商取得。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20Spevtrum-X-Arch.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-05-29-nvidia-spectrum-4-typical-data-center-deployment-structure.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-29-nvidia-spectrum-4-typical-data-center-deployment-structure.jpg" style="width: 600px;" /></a></p> <p>以交換器而言，它採用的Spectrum-4晶片導入台積電4N製程，而且是基於1千億顆電晶體而成，網路交換容量最大可提供51.2 Tb/s，密碼學引擎可處理的流量為12.8 Tb/s，以此支援AI網路環境的應用需求；若是從交換器設備的角度來看，搭配Spectrum-4晶片的SN5000系列，可支援800GbE（SN5600系列，內建64個800GbE埠、可分接出128個400GbE埠），以及400GbE、200GbE、100GbE、50GbE、40GbE、25GbE、10GbE、1GbE（SN5600系列與SN5400系列），而且也提供進階RoCE延伸應用選項，能橫跨多臺Spectrum-4交換器使用。</p> <p>在資料處理器的部分，BlueField-3提供超高速網路介面與交換器承接之餘，更重要的是，它具有強大的運算力與能延伸多種用途的可程式化功能，可針對軟體定義網路、儲存、資安等應用，提供400 Gb/s線速處理效能，而在Spectrum-X平臺的架構下，可運用RoCE加速處理機制，支援多租戶、零信任資安，提供控制層（control plane）的重要功能。</p> <p>至於LinkX纜線與收發器的部分，在建構全面支援400GbE的網路環境，也和BlueField-3一樣扮演重要角色。因為這系列產品可提供直連銅質纜線（DAC）、主動式銅質纜線（ACC），以及光纖纜線，連接基於OSFP、QSFP而成的交織網路，而結合這些產品之後，可建立具有高能源使用效益的AI網路環境。</p> <p>除了實體層設備的配置，Spectrum-X可支援多種網路系統軟體與加速軟體應用。例如，Spectrum-4交換器可搭配開放式網路作業系統（NOS），像是源於Cumulus Networks公司的Cumulus Linux，或是Linux基金會管理的SONiC，無論是透過前者的採用或透過開放網路安裝環境（ONIE）部署至Spectrum-4交換器，都能運用Spectrum-X授權，企業可在購買交換器時一併納入，或事後以獨立的採購方式增添授權均可。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20ethernet-spectrum%20stack.png" style="width: 600px;" /></p> <p>而在加速軟體方面，Spectrum-X可支援同樣源於Cumulus Network公司的網路維運管理軟體NetQ，提供即時的流量透視、障礙排除與驗證功能；而在軟體開發套件的部分，Spectrum-X支援他們晚近發展但尚未完全公開的<a href="https://developer.nvidia.com/networking/ethernet-switch-sdk">Ethernet Switch SDK</a>，用戶能透過複雜的程式化機制實作各種網路交換與路由功能，善用交換器晶片內建的進階網路功能，而不會因此嚴重影響封包傳送率、頻寬、存取延遲的效能表現。</p> <p>同時，由於Spectrum-X本身也涵蓋資料處理器的使用，因此，這裡當然也支援可發揮此產品功能的DOCA框架與SDK，方便用戶建置以資料處理器加速執行、配備零信任防護的軟體定義服務，因應當代資料中心持續增加的效能與資安需求。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20DPU%20stack.png" style="width: 600px;" /></p> <h3><span style="color:#0000FF;"><strong>將InfiniBand獨有特色帶入，創造新型態的乙太網路環境</strong></span></h3> <p>為何現在要開始更重視資料中心的乙太網路環境配置？在今年台北國際電腦展舉行的Nvidia主題演講，黃仁勳特別提到幾個關鍵因素。</p> <p>在2020年GTC春季大會，他首次提出「資料中心就是新的運算單位（Data Center is the New Unit of Computing）」的論調，到了2022年GTC春季大會，他談到<a href="https://youtu.be/39ubNuxnrK8?t=5515">「資料中心正轉變為 AI工廠（data centers becoming AI Factories）」</a>，而在今年的台北國際電腦展演講，他基於上述兩種概念說出「資料中心的用途取決於網路（The network defines what that data center does）」，以此突顯網路對於資料中心的重要性。</p> <p>接著，黃仁勳花了一些時間解釋Nvidia現在看待網路的方式。</p> <p>他們將現行的資料中心分成兩種，一是用於超大執行規模（hyperscale）、需廣泛支援各種應用程式工作負載、租戶數量多的雲端服務環境，網路耗損大（lossy），著重快速恢復連線的韌性，一是用於超級電腦運算、工作負載之間緊密耦合、租戶數量少的AI工廠，網路耗損小（loss-less），著重高效能，而為了促成每個資料中心都能發展生成式AI，Nvidia決定發展新的乙太網路應用方式，不僅要相容既有的各種系統存取，也需要透過工程的角度找出路，達到所有資料中心都能有效承擔AI工作負載的目標，而這項策略的核心，就是推出全新的交換器，亦即Spectrum-4交換器，是專門為了實現新型乙太網路應用所設計的。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-1-THE%20NETWORK%20DEFINES%20THE%20DATA%20CENTER.jpg" style="width: 600px;" /> </p> <p>相較於InfiniBand每個環節是由少數廠商主導其發展，而能在交織網路運算（fabric computing）當中，做到隨需調整路由（adaptive routing）、流量壅塞控制、效能隔離，</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-2-THE%20NETWORK%20DEFINES%20THE%20DATA%20CENTER.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/NVIDIA Spectrum X Ethernet AI Platform.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/NVIDIA%20Spectrum%20X%20Ethernet%20AI%20Platform.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/NVIDIA Quantum InfiniBand Platform.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/NVIDIA%20Quantum%20InfiniBand%20Platform.png" style="width: 298px;" /></a></p> <p>黃仁勳表示，他們現在打算運用這樣的概念來打造新的資料中心乙太網路環境；而為了實踐這樣的理念，這套可用於支撐AI應用需求的乙太網路系統，不僅仰賴Spectrum-4交換器這個關鍵，還需要搭配資料處理器BlueField-3、LinkX系列纜線與收發器，使得這張加速運算卡與交換器彼此的400GbE埠能夠實體連接，再加上執行在兩種設備的網路作業系統與加速軟體開發套件，從而能更徹底地展現Spectrum-4的能耐。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-Nvidia%20Spectrum-X%20SW%20Stack.jpg" style="width: 600px;" /></p> <p>以上述架構建立高效能網路環境之餘，Nvidia也有意將此平臺推廣到全球雲端服務供應業者使用。黃仁勳說，大家對此都有很不錯的反應，理由也很清楚，因為他們都希望每一座資料中心都能轉型，升級為可充分支援生成式AI應用的資料中心。</p> <p>對於部分有這方面需求的公司而言，他們早已全面部署乙太網路，而且所維運的資料中心有許多用戶，如果想擁有InfiniBand網路環境才能運用的各種功能，做到更有效的用戶連網效能隔離，其實是相當困難的，因此，Nvidia決定率先將高效能網路的功能帶到乙太網路的市場應用中。</p> <p>若導入Spectrum-X平臺，乙太網路環境可獲得那些好處？首先是隨需調整路由（adaptive routing），能基於資料中心的整體流量來處理——若交換器的網路埠出現過度壅塞狀況，可通知BlueField-3從交換器的另一個網路埠進行傳輸，BlueField-3可對傳輸的資料進行重新組裝、將資料直接提供GPU，這些工作全部在遠端直接記憶體存取（RDMA）完成，而不需要中央處理器介入（先傳至中央處理器），再送至GPU。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Step 3 The Spectrum-4 leaf switch on the left uses RoCE Adaptive Routing.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Step%203%20The%20Spectrum-4%20leaf%20switch%20on%20the%20left%20uses%20RoCE%20Adaptive%20Routing.png" style="width: 600px;" /></a></p> <p>第二是流量壅塞控制，交換器可能有多個網路埠同時面臨流量嚴重堵塞的狀況</p> <p><a href="https://s4.itho.me/sites/default/files/images/Spectrum-X solves congestion with flow metering and congestion-Before.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Spectrum-X%20solves%20congestion%20with%20flow%20metering%20and%20congestion-Before.png" style="width: 600px;" /></a></p> <p>，而透過交換器的遙測（telemetry）機制，每臺交換器可得知網路目前的運作方式，並與流量發送者進行通訊溝通，請它們現在不要再傳送資料過來，因為此舉正在造成網路壅塞。</p> <p> <img alt="" src="https://s4.itho.me/sites/default/files/images/Spectrum-X%20solves%20congestion%20with%20flow%20metering%20and%20congestion-After.png" style="width: 600px;" /></p> <p>而這個控制方式的實現，基本上，是透過凌駕既有配置的系統（overriding system），從軟體到交換器之間均在它涵蓋的範圍之內，並與當中的所有端點一起合作，進而能以整體的方式來管理資料中心網路的壅塞，或是傳輸流量、吞吐量等狀態。</p> <p>黃仁勳強調，在一個高效能運算的應用系統當中，每顆GPU都必須完成它所負責的工作，應用系統之後才能繼續執行下個工作，在很多情況當中，必須要等到每一個結果出爐，才能完成全部的轉換處理，然而，如果其中一個節點耗費太久時間，將會導致每個節點都會連帶受到拖延，而有了Spectrum-X帶來的這些功能，將可大幅提升乙太網路的整體效能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia Spevtrum-X-efficient1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20Spevtrum-X-efficient1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia Spevtrum-X-efficient2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20Spevtrum-X-efficient2.jpg" style="width: 600px;" /></a></p> <p>關於雲端業者現行資料中心使用的網路環境配置，與能否支援生成式AI應用之間的關聯與必要性，在6月底由Piper Sandler 投資公司主持的「Networks For AI」線上研討會，Nvidia網路部門資深副總裁Gilad Shainer提出一套更詳細的說法。</p> <p>他將目前普遍使用的傳統乙太網路，與Nvidia發展的Spectrum-X乙太網路進行對比，目的是突顯該公司所主打的Spectrum-X，是最適合打造Ethernet for AI fabric、Ethernet fabric built for AI的解決方案。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-06-28-Nvidia Spectrum-X-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-28-Nvidia%20Spectrum-X-1.jpg" style="width: 600px;" /></a></p> <p>Nvidia認為，傳統乙太網路的架構與使用者存取網路的設計，是以支援南北向（縱向階層式存取）的網路流量傳輸為主，適合用於鬆散耦合的應用系統、低頻寬與低使用率，以及異質、多路徑的網路傳輸需求，而且對於流量的劇烈起伏（抖動）具有高度容錯的能力；而他們所打造的AI fabric乙太網路，除了能支援使用者與雲端服務之間的南北向網路存取，還能支援東西向（橫向扁平式存取）的處理，適合緊密耦合的分散式應用系統，可運用RoCE來提供更大的網路頻寬與更高使用率，能因應暴增的網路用量、提供可預期的傳輸效能，但對於流量抖動容忍力較低。</p> <p>而這樣的新型乙太網路平臺，之所以能實現，關鍵在於網路交換器與資料處理器之間的傳輸方式，能夠結合軟體進行最佳化調節，達到傳輸耗損更小、可控制流量壅塞，以及多租戶存取效能互不干擾（彼此隔離）的要求，Nvidia表示，若以傳統乙太網路為比較基準，Spectrum-X可提供1.6倍傳輸效能，而在有效頻寬的供應上，Spectrum-X可達到95％，乙太網路則是60％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-06-28-Two Type Ethernet.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-28-Two%20Type%20Ethernet.png" style="width: 600px;" /></a></p> <h3><strong><span style="color:#0000CD;">經歷兩次消息發布，Nvidia揭露更多Spectrum-4交換器規格</span></strong></h3> <p>作為Spectrum-X平臺的核心，Spectrum-4交換器本身的規格自然受到很大的矚目，而在去年GTC春季大會期間已揭露一些部分，除了上述我們提到的晶片製程與網路頻寬、處理能力、介面，Nvidia也強調比起前一代產品，提供4倍的網路交換吞吐能力（1臺抵4臺，可減少交換器設備的部署數量）、節省40％耗電量，也能針對RoCE網路傳輸模式進行最佳化調校，大幅加速資料中心網路效能。</p> <p>而在晶片層級的功能上，Spectrum-4也支援MACsec、VXLANsec等加密安全防護網路規格，並且搭配硬體信任根而能預設使用安全開機機制，確保資料流量與網路管理作業的完整性與機密性。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-03-Spectrum4-5-MACsec_VXLANSEC.jpg" style="width: 600px;" /></p> <p>在網路介面的支援上，Nvidia在新聞稿與大會主題演講，均提到Spectrum-4可提供128個400GbE埠，不過，在分場演講的產品細部介紹內容，我們看到搭配這款ASIC晶片的兩款交換器，其實都能支援更高規格的800GbE——SN5600內建64個800GbE埠，可分接成128個400GbE埠；SN5700內建32個800GbE埠，可分接成64個400GbE埠，而且這裡也可以看到這些交換器搭配Spectrum-4這顆交換器ASIC晶片之餘，也都搭配英特爾6核心Xeon處理器、32GB記憶體、256 GB固態硬碟，儼然就是一臺臺專門支援軟體定義網路服務的伺服器；</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-03-Spectrum4-2-SN5600.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-03-Spectrum4-2-SN5600.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-03-Spectrum4-1-SN5700.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-03-Spectrum4-1-SN5700.jpg" style="width: 600px;" /></a></p> <p>此外他們也趁機介紹何謂隨需調整路由，以及Spectrum晶片特有的全共享緩衝架構。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-03-Spectrum4-6-Adaptive Routing.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-03-Spectrum4-6-Adaptive%20Routing.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Nvidia Spectrum-X Adaptive Routing Performance.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20Spectrum-X%20Adaptive%20Routing%20Performance.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-03-Spectrum4-9-Buffer.jpg" style="width: 600px;" /></p> <p>到了今年台北國際電腦展的Nvidia主題演講，黃仁勳重申並揭露更多Spectrum-4晶片與交換器的規格。例如，他直接展示Spectrum-4晶片，長寬均為90公釐，底部有800個球柵陣列封裝（BGA），熱設計功耗為500瓦，而舞臺上展示搭配此晶片的整臺交換器，熱設計功耗為2800瓦，使用氣冷散熱，裡面總共有48張印刷電路板相互連接。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-Computex-Nvidia%20Spectrum-4.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2022-03-Spectrum4-4-ASIC-2.jpg" style="width: 298px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-Computex-Nvidia%20Spectrum-4-2.jpg" style="width: 600px;" /></p> <p> <span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>Nvidia Spectrum-X<br /> ●原廠：Nvidia<br /> ●建議售價：廠商未提供<br /> ●基本組成元件：<br /> SN5000系列乙太網路交換器（採用Spectrum-4晶片，可安裝Cumulus Linux或SONiC等兩種網路作業系統）、<br /> BlueField-3資料處理器、<br /> LinkX網路纜線與收發器（400GbE）、<br /> Spectrum-X使用授權（可部署Cumulus Linux系統或ONIE環境，訂閱期間有90天、3年業務標準支援或業務關鍵支援、5年業務標準支援或業務關鍵支援）<br /> ●RoCE擴充套件功能：自我調適路由、流量壅塞控制、傳輸效能隔離<br /> ●網路埠：最高為64個800GbE埠（SN5600），可分接為128個400GbE或40GbE埠、256個200GbE埠、100GbE埠、50GbE埠、25GbE埠、1個10GbE埠<br /> ●支援軟體平臺：NetQ、NCCL、Nsight、Bright Cluster Manager</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/7/20 17:07作者李宗翰https://www.ithome.com.tw/review/157770
微軟更新Visual Studio擴充套件管理器，瀏覽、安裝套件更方便
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟發布新版Visual Studio擴充套件管理器，讓用戶可更簡單地安裝和管理擴充套件。當前用戶雖然可以從Visual Studio Marketplace下載各式各樣的擴充套件，但是從舊的擴充套件管理器，卻很難清楚瀏覽擴充套件評分或是完整敘述等重要訊息。</p> <p>而微軟在新版本Visual Studio擴充套件管理器解決了這些問題，用戶使用Visual Studio 17.7 Preview 3，就可以啟用新版本擴充套件管理器，該管理器將更突出顯示詳細資訊，並且讓用戶方便探索套件。用戶不需要打開瀏覽器存取擴充套件的儲存庫，在不離開IDE的情況下，就能夠查看擴充套件的進一步資訊。</p> <p>在管理器中，擴充套件會被更有條理的分類，例如用戶可以在分類中選擇工具，並且進入建置、資料或是文件等子分類，明確地找到目標擴充套件，或是探索需要的套件功能。用戶想要啟用這個新的擴充套件瀏覽器，需要安裝Visual Studio 17.7 Preview 3以上版本，並且在工具選單下的預覽功能選項，啟用擴充套件UI刷新，之後重新啟動Visual Studio，便可以在管理擴充套件功能中，看到新的管理器。</p> </div></div></div>
2023/7/20 14:05作者李建興https://www.ithome.com.tw/news/157873
網飛財報出爐，移除美國與英國的廣告版方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://s22.q4cdn.com/959853165/files/doc_financials/2023/q2/FINAL-Q2-23-Shareholder-Letter.pdf" target="_blank">全球最大影片串流平臺網飛（Netflix）周三（7/19）公布今年第二季營收</a>，該季創下了81.87億美元的營收，比去年同期成長2.7%。由於網飛今年5月於全球超過100個國家推出付費分享方案，促使該季的付費訂閱會員數成長了8%，單季增加589萬名新會員，達到2.38億。同一天網飛也宣布將取消美國與英國的廣告版方案。</p> <p>為了吸引更多的訂閱用戶，網飛去年11月於全球12個國家<a href="https://www.ithome.com.tw/news/153633" target="_blank">推出Basic with Ads方案</a>，在影片開始前及影片中間播放廣告，月租費為6.99美元，低於最便宜的無廣告方案（9.99美元）。此外，為了抑制用戶分享帳號給未同住親友，網飛在今年5月24日正式於全球超過100個國家<a href="https://about.netflix.com/en/news/update-on-sharing-may-us" target="_blank">推出付費分享政策</a>，期望把超過1億名免費觀賞Netflix節目的使用者轉換成營收。</p> <p>這兩個政策讓網飛的股價從去年底低於300美元一路成長到昨天（7/19），周三網飛的收盤價為477.59美元，卻在財報發表後，因表現不如分析師預期，或是對下一季的展望不符預期，而在盤後下滑了8.14%，跌至438.7美元。</p> <p>另一方面，網飛也在周三調整了廣告版方案策略。指出定價與方案策略是提高營收的關鍵，今年第一季該公司調降某些滲透率較低的市場價格，並在第二季取消了加拿大的Basic with Ads方案，也即將取消美國與英國的相關方案，但不管是在哪個市場，已經加入Basic with Ads方案的使用者皆不受影響。</p> </div></div></div>
2023/7/20 14:18作者陳曉莉https://www.ithome.com.tw/news/157875
挽救美軍百億訂單，微軟送測改良版軍用HoloLens裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2023-07-19/microsoft-is-on-track-to-deliver-improved-goggles-us-army-says?sref=10lNAhZ9" target="_blank">《彭博》（Bloomberg）</a>報導，在被抱怨造成頭暈、噁心等症狀近一年後，微軟最近改善了軍用HoloLens頭戴裝置，以減輕美國士兵配戴時的不舒適感，將決定微軟是否還能固守百億美元訂單。</p> <p>報導指出，微軟計畫在7月底交付20臺以HoloLens打造的整合式視覺擴增系統（Integrated Visual Augmentation System，IVAS）1.2版原型給美國陸軍，預計8月中交由2個班的士兵測試。這次測試將用於決定，微軟是否守得住美國軍方百億美元採購案合約。</p> <p>微軟<a href="https://www.ithome.com.tw/news/143585" target="_blank">2021年拿下美國陸軍</a>220億美元以HoloLens打造整合式視覺擴增系統（IVAS），以支援軍事訓練及作戰用途。IVAS具備抬頭顯示器、高解析度夜視、熱感測及穿戴式感測數據、以及AR/MR，並整合微軟雲端提供的機器學習等技術。本合約下，微軟預計在10年內提供12萬頂IVAS裝置。但是<a href="https://twitter.com/BrettCallow/status/1681428306254790663" target="_blank">去年秋天媒體報導</a>，美國大兵測試後，出現噁心、頭痛、眼睛疲勞等不適狀況。此外，HoloLens的鏡面反光可能曝露作戰士兵行蹤引發危險，軟體運作也不穩定。</p> <p><a href="https://www.ithome.com.tw/news/155175" target="_blank">美國陸軍當時的解決方案是再花5千萬美元</a>，讓微軟開發IVAS 1.2版修正初代產品的問題。1.2版會比初代IVAS改善低光源感測、減輕重量、改善對人體的不適、耗電及提升軟體穩定性。美軍軍方預計今年9月測試IVAS 1.2，再決定下單量。</p> <p>過去微軟是高階AR/MR眼鏡的少數供應商，但今年將出現一個潛在競爭者。蘋果推出的Vision Pro在解析度、空間感知、動作追蹤、運作效能令媒體讚賞，且重量不到500公克，其3,499美元的價格也和HoloLens相當。若美軍測試結果不佳，這筆訂單可能將被蘋果搶走。</p> <p>而這也不是微軟第一次讓蘋果撿走政府合約。2016年紐約警方採購了3.6萬支Windows手機，但隔年微軟宣布終止Windows Phone的支援計畫，<a href="https://www.ithome.com.tw/news/117319" target="_blank">讓紐約警察只好改用iPhone</a>。</p> </div></div></div>
2023/7/20 14:46作者林妍溱https://www.ithome.com.tw/news/157876
挪威將封鎖臉書與IG的行為追蹤廣告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.datatilsynet.no/en/news/aktuelle-nyheter-2023/temporary-ban-of-behavioural-advertising-on-facebook-and-instagram/" target="_blank">挪威的資料保護局（Datatilsynet）日前宣布</a>，即將於8月4日暫時封鎖Meta旗下臉書（Facebook）與IG（Instagram）服務上的行為追蹤廣告，為期3個月。</p> <p>Datatilsynet端出此一決定是順應愛爾蘭資料保護委員會（Data Protection Commission，DPC）與歐盟法院的判決。DPC率先於去年底代表歐盟經濟區的所有資料保護組織發出一項命令，指出Meta於當地執行了非法的行為追蹤廣告（Behavioural Advertising），之後Meta即根據DPC的考量變更了作法，然而，<a href="https://curia.europa.eu/jcms/upload/docs/application/pdf/2023-07/cp230113en.pdf" target="_blank">歐盟法院本月初判決</a>，Meta依舊違反當地的GDPR隱私法令。</p> <p>所謂的行為追蹤廣告指的是平臺根據使用者的位置、感到興趣的內容，以及他們所張貼的文章來遞送廣告。歐盟的資料保護組織認為相關的追蹤行動可能用來窺探使用者的私生活，個性或興趣，Datatilsynet主管Tobias Judin則說，侵入性的商業監控是現今網路資料保護的最大風險之一，還可能危及言論與資訊自由。</p> <p>調查顯示，臉書與IG在挪威非常普及，當地有超過82%的成年人擁有臉書帳號，有65%擁有IG帳號。不過，此次的禁令僅限於行為追蹤廣告，使用者依舊可如常使用這兩個平臺，也未禁止Meta於這兩個平臺上進行個人化廣告，此一廣告模式是針對用戶的個人檔案資料來遞送廣告，也允許Meta針對已明確同意的使用者遞送行為追蹤廣告。</p> <p>此一禁令初步預計會長達3個月，或是直至Meta證明該公司可遵守法令為止，若Meta持續違法，每天將面臨高達100萬挪威克朗（約310萬元新臺幣）的強制罰款。</p> </div></div></div>
2023/7/20 14:56作者陳曉莉https://www.ithome.com.tw/news/157877
GovTech月報第20期：歐盟準備為數位歐元立法；國科會主導國產AI對話引擎亮相
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0608~0714)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位貨幣</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">歐元</span></font></strong></p> <p><span style="font-size:22px;"><strong><span id="docs-internal-guid-24c9363d-7fff-a873-b7bb-fdcabda6e8fc"><span style="font-family: Arial, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; vertical-align: baseline; white-space-collapse: preserve;">擁抱數位貨幣，歐盟擬為數位歐元立法</span></span></strong></span></p> <p>歐盟準備擁抱數位貨幣，歐盟執委會近期公布兩項提案，除了確保現金在歐盟地區的地位，另一提案是設定框架，供歐洲央行發行數位歐元，並說明現金與數位歐元地位。</p> <p>第一項提案是確保歐元現金作為廣泛被接的支付工具地位，現金為歐元地區的法定貨幣，歐盟成員國必需確保歐元現金取得及支付的能力，使現金不致被數位貨幣完全取代，確保金融工具的包融性，讓習慣使用現金的年長或弱勢族群也能使用。</p> <p>另一項提案則是迎合潮流，建立框架，使數位歐元可和信用卡、支付程式並存，成為數位錢包的一部分，讓使用者可隨時使用數位歐元支付，不論線上或是離線狀態。值得注意的是，歐盟的這項提案還包括，歐盟區的銀行、支付服務商可發給數位歐元給民眾或企業使用，使用基本的數位歐元服務為免費，即使沒有銀行帳戶也能擁有數位歐元帳戶。</p> <p> </p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">生成式AI</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">國科會</span></font></strong></p> <p><span style="font-size:22px;"><strong>國科會秀國產AI對話引擎研發成果，能產生摘要、翻譯，還能寫信、文章</strong></span></p> <p>ChatGPT帶動生成式AI風潮，但以外國語言為主，並且使用上可能有資料外洩疑慮，因為臺灣準備打造自己的AI對話引擎，國科會近期展示國產AI對話引擎（TAIDE）專案打造生成式AI的初步成果，該對話引擎具有70億參數，現場展示可透過對話，要求AI為你產生摘要、翻譯，甚至是寫信件、文章。</p> <p>TAIDE專案的目的是發展出可信任AI對話引擎，發展臺灣自己的LLM大型語言模型，在國科會的主導下，集結國內研究團隊、國科會底下機構，經過嘗試後選擇以LLaMA為基礎，使用中文資料，該專案分為三階段，近期國科會公布第一階段初步成果，接下來的第二階段要把參數擴大到130億，具備更多臺灣的知識，能應答考試及事實查核能力，第三階段目標為具備多輪對話能力，並建立AI的可信任，避免產生不適當回應，考慮倫理因素問答。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/taide.jpg" style="width: 600px; height: 333px;" /></p> <p>國科會更預告，今年將會以商用授權LLM，來打造小型企業版本，供商業使用。今年10月，研究團隊準備啟用H100 GPU來訓練模型，並將汰換下來的GPU用於訓練小型商用LLM，對於未來開放企業使用會如何計費，目前並未公布任何規畫。</p> <p> </p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位部</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">雲端</span></font></strong></p> <p><span style="font-size:22px;"><strong>加速政府機關轉型，數位部協助8月將成立的環境資源部上雲</strong></span></p> <p>由環保署升格的環境資源部組織法在今年5月三讀通過後，預期今年8月將正式成立，數位發展部（簡稱數位部）近期透露，為推動政府數位服務雲端化，結合數位部自身實戰經驗，目前已和環境資源部合作，運用容器化技術，讓資訊系統遷移至雲端。</p> <p>數位部自去年成立之後，因全新成立的部會，加上肩負政府數位轉型推手的角色，部內以雲端服務架構為基礎，不要有落地機房、本地端目錄與伺服器，並導入雲信任機制，所有身分驗證、裝置都透過雲端進行管理，一方面確保使用者不論在何處都能使用數位部資源，同時確保身分安全。</p> <p>數位部將自身經驗，以「技轉」方式向其他部會推廣，鎖定8月將掛牌的環境資源部，加上從國發會推動的雲世代雲端基礎建設計畫轉到數位部數位政府司，擬定政府上雲項目、政府公有雲服務商檢核等指引，準備在2025年前將29項民眾服務改造為雲端特色，並且上雲。目前已完成5項民眾服務移轉到公有雲。</p> <p>數位部表示，借鏡國際經驗，規劃借助公有雲服務提升國家整體的數位韌性，除了提供技術諮詢、資源，也將引導政府機關採用雲原生技術打造數位服務，透過資料加密分持、多雲備份，結合雲原生、零信任架構，提升韌性及資安。</p> <p> </p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">澳洲</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>澳洲政府頒布公部門AI使用指南，教公務人員如何降低AI使用風險</strong></span></p> <p>生成式AI在全球引發風潮，不只民間企業，政府機關也關心如何運用生成式AI。澳洲數位轉型機構（DTA）近期向公務人員公布生成式AI使用指南，為該國政府政府首次嘗試對 ChatGPT、Google Bard等生成式AI工具的使用設定規範。</p> <p>DTA提出的規範，目的在支持負責任、安全的使用技術，最小化造成的傷害，為所有澳洲民眾實現更安全、更可靠、更公平的結果。此外，還試圖降低AI對人們造成的負面影響風險，為AI使用建立最高的道德標準。</p> <p>該指引建議公眾服務的領導者監控AI工具的使用，先從給予公務人員帳號使用這些工具開始，並且將登入帳戶的使用資訊納入正式紀錄。並以3種常見的公務使用情境，說明如何依照指引作好管理，包括利用生成式AI檢查專案計畫發展、產生簡報文稿，以及利用AI確認招標文件的技術要求。針對每種使用情境，避免將專案計畫內容或敏感資訊輸入到公共AI平臺。</p> <p> </p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位部</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">衛星</span></font></strong></p> <p><span style="font-size:22px;"><strong>數位部長唐鳳拜訪英國OneWeb總部，盼臺灣與英國建立數位韌性合作</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2(79).jpg" style="width: 600px; height: 399px;" /></p> <p>數位發展部部長唐鳳近期參訪英國，並參訪低軌衛星業者OneWeb總部，了解低軌衛星運作及應用，她表示，臺灣正測試以低軌衛星備援網路，盼透過交流，促成臺灣與英國在數位韌性的合作。</p> <p>唐鳳表示，我國長年面臨地震等災害及境外勢力的威脅，如果發生緊急危難事件，很可能因海纜遭到破壞發生通訊中斷危機。俄烏戰爭爆發，全球低軌衛星應用興起，數位部期盼和國際業者合作，以多元與異質方案強化通訊韌性。</p> <p>唐鳳接受國內媒體訪問時指出，OneWeb的低軌衛星目前尚未覆蓋臺灣，但預計在今年底可望覆蓋臺灣地區，屆時成為可運用的低軌衛星選項。數位部不會獨厚衛星服務商，將測試不同的中軌、低軌衛星通訊設備及服務。</p> <p>去年數位部成立即提出新的前瞻計畫，為提升臺灣的數位韌性為目標，應變或戰時應用新興科技強化通訊網路數位韌性驗證計畫，其中就包括要以非同步軌道衛星通訊作為災害或戰爭時的備援網路，在國內700多處、境外3處，測試以非同步衛星作為緊急應變通訊服務的可能性。此外，數位部也在今年開放低軌衛星頻率申請，已有2家業者獲得通過。</p> <p> </p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">身分識別</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位錢包</span></font></strong></p> <p><strong><span style="font-size:22px;">新南威爾斯州要用數位錢包提供民眾身分識別、資訊共享</span></strong></p> <p>澳洲政府推動數位身分計畫之際，澳洲的新南威爾斯州正在推動一項數位錢包計畫，該州民眾未來憑手機上的Service NSW App，就能透過共享資料，來提供個人身分識別、數位證件。</p> <p>新南威爾斯州政府已開始和平臺服務商合作，共同設計這個數位錢包，並強調民眾將來透過數位錢包，便能以簡單、安全的方式分享資料。州政府指出，數位錢包可以簡單的方式，證明各種數位身分或專業證件，例如證明個人通過急救培訓的急救證書，過去多為紙本證書，未來數位化後，透過數位錢包就能授權企業或機關存取個人的急救證書。</p> <p>州政府強調使用者對透過數位錢包共享資訊擁有控制權，數位錢包會紀錄共享哪些資訊、和誰共享、何時共享，可以變更共享設定，增加、調整，撤銷或刪除共享憑證。儘管州政府推動數位錢包，但民眾仍能選擇繼續使用傳統身分證件，政府也會持續發放傳統證件。</p> <p> </p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">無人機</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>紐約州派遣無人機空中巡邏監視水域，監控鯊魚行蹤降低遊客遭受攻擊風險</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/beach.jpg" style="width: 600px; height: 420px;" /></p> <p>為避免鯊魚攻擊遊客事件發生，紐約州政府先前決定以無人機，在海邊從空中監控鯊魚動向，7月中紐約州長Kathy Hochul宣布，將派遣新的鯊魚監控無人機，前往紐約市、長島、威徹斯特等地的沿海地區，共計60處海灘，從空中監控、追蹤鯊魚行蹤。</p> <p>在7月4日後傳出鯊魚目擊事件之後，當地已加強對水域的監控，但是新的無人機進一步補強了防範措施。Kathy Hochul表示，在夏天，人們到紐約州海灘遊玩，透過這些新型無人機在空中增加「眼睛」，無人機可以協助我們掃描水面，以確保當地海灘的安全。</p> <p>在紐約州之前，澳洲政府很早在2017年就開始運用無人機改善遊客在海上從事活動的安全，從空中巡邏監視水面，利用AI辨識水面可疑的鯊魚影像，一旦發現鯊魚時，無人機就會在空中徘徊，並以語音廣播提醒附近遊客注意，並發送警報給救生員、緊急服務中心。</p> <p> </p> <p>圖片來源／New York State、數位部、國科會</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.科技執法普及，桃園市啟用交通科技執法中心</strong></p> <p><strong>2.政府研擬AI基本法，吳政忠：仍在研議中，但會先釋出公務機關使用指引</strong></p> <p>資料來源：iThome整理，2023年6月</p> </div></div></div>
2023/7/20 15:27作者蘇文彬https://www.ithome.com.tw/news/157867
傳聞蘋果也在打造Apple GPT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不讓Open AI的Chat GPT與Google Bard專美於前，<a href="https://www.bloomberg.com/news/articles/2023-07-19/apple-preps-ajax-generative-ai-apple-gpt-to-rival-openai-and-google" target="_blank">《彭博社》（Bloomberg）</a>本周引述消息來源報導，蘋果內部已經打造了名為Ajax的內部框架，並據此建立了聊天機器人Apple GPT。</p> <p>根據報導，AI為蘋果最近這幾個月的發展重心，有不同的團隊參與，而Ajax則是蘋果在去年底集結內部所有機器學習的成果所建立的，作為所有AI服務的基礎。此外，蘋果也已於搜尋、Siri及地圖等服務上導入了AI，並正利用Ajax來建立各種大型語言模型以創造聊天機器人。</p> <p>被許多蘋果工程師暱稱為Apple GPT是去年底才出爐，目前仍處實驗階段，僅有部分員工可存取該服務，已可用來建立原型，回答問題，或是摘錄文章。不過，現在的Apple GPT看起來只是ChatGPT與Bard的複製品，並未有其它新奇的能力。</p> <p>向《彭博社》爆料的員工也預期蘋果要到明年，才會正式對外發表該公司的AI服務或進展。</p> <p>今年來AI已成為科技產業最新也最強的推動力，只要是牽涉到AI技術或應用的業者，股價都跟著起飛，從製造AI晶片的Nvidia與AMD，採用Open AI技術的微軟，到任何強調使用AI的上市公司，而蘋果顯然也無法置身事外。</p> </div></div></div>
2023/7/20 11:58作者陳曉莉https://www.ithome.com.tw/news/157871
雅詩蘭黛遭BlackCat、Clop勒索軟體駭客攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國化妝保養品業者雅詩蘭黛（Estée Lauder）近日遭到分別來自Clop及BlackCat二個組織以勒索軟體攻擊勒索。</p> <p><a href="https://www.elcompanies.com/en/news-and-media/newsroom/press-releases/2023/07-19-2023-024305426" target="_blank">雅詩蘭黛本周稍早公告發生網路安全事件</a>，一個未經授權的第三方組織存取了公司某些系統。該公司立即關閉系統，並和外部專家展開調查。這家美容保養品業者相信這個組織已經從系統取得一些資料，但資料類型及範疇則還在了解中。此外，雅詩蘭黛也坦承，這次事件已經造成部分公司業務運作中斷，而且可能會持續一段時間。</p> <p>不確定雅詩蘭黛所指是哪一個事件，<a href="https://twitter.com/BrettCallow/status/1681428306254790663" target="_blank">因為有研究人員發現</a>二個不同的網路犯罪組織分別將雅詩蘭黛列為受害者。Clop本周在其暗網網站公告取得雅詩蘭黛131GB的公司資料的勒索信件。Clop可能取得了雅詩蘭黛的客戶資料，因為駭客在暗網上宣稱該公司不在乎客戶也不重視安全性。</p> <p>雅詩蘭黛很有可能是MOVEit Transfer漏洞攻擊事件的受害者。5月底檔案共享及傳輸服務MOVEit Transfer一項漏洞遭到Clop勒索軟體駭客組織濫用以存取用戶網路，後者也公布受害企業及政府用戶，包括殼牌石油、美國能源部、英航、BBC、藥妝連鎖Boots等。</p> <p>差不多同一時間，另一勒索軟體駭客BlackCat也公布，為了向這家美國化妝保養品大廠勒索，7月15日聯繫雅詩蘭黛主管的公司及個人電子郵件信箱，但未獲得回應。駭客還嘲弄他們雖然使用了微軟和Google Mandiant的安全偵測服務，但仍被他們突破。BlackCat暗示取得了雅詩蘭黛的客戶、供應商及公司員工資料。</p> <p>雖然雅詩蘭黛稱安全事件影響其運作，但根據<a href="https://www.bleepingcomputer.com/news/security/est-e-lauder-beauty-giant-breached-by-two-ransomware-gangs/" target="_blank">《Bleeping Computer》</a>報導，駭客說並未加密受害者的公司網路，不過，若雅詩蘭黛再無回應，他們將公布竊來的資料。</p> </div></div></div>
2023/7/20 12:15作者林妍溱https://www.ithome.com.tw/news/157872
Line Bank揭露新平臺策略要用API提供「快金融」服務，更將瞄準開放銀行第三階段交易面API來布局
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>純網銀Line Bank宣布新平臺策略主打「快金融」，將透過既有API平臺串連多項金融服務，助用戶快速取得或完成金融服務，如保險、聯名信用卡、證券交割、生活支付、分期信貸等。Line Bank總經理黃以孟表示，新平臺策略早在開放銀行第三階段時程公布前就擬定，但交易面資訊API開放有助於平臺服務更到位，例如擴展一鍵轉帳功能。因此，他表示，將藉由開放銀行第三階段開放來發揮自家平臺效用。</p> <p>Line Bank以趁聯名信用卡和證券交割服務發布之際，也宣布要發展成一個快金融平臺，來擴展多元金融服務。黃以孟表示，我們注重開放性，不只要提供金融服務，也要讓合作企業共享平臺入口。例如，從同集團的Line錢包中登入網銀，在網銀上申請交割戶與證券戶。</p> <p>黃以孟解釋，快速的服務能夠有效提升用戶體驗，將主打可讓用戶快速取得與快速完成服務，其中一項發展重點是轉帳。Line Bank去年五月達到單月跨行轉帳筆數超過179萬，黃以孟表示，我們已經是轉帳品牌，未來將持續發展快速轉帳服務。</p> <p>看好金管會最近宣布，開放銀行第三階段最快明年初就能上路，黃以孟表示，新平臺策略早在這項政策公布前就擬定，但新政策時機將有助他們的平臺服務更到位。他提到，藉由開放銀行第三階段「交易面資訊」API的開放，可以在平臺實現交易。例如，目前Line Bank無法進行跨行一鍵轉帳，但在第三階段開放後就有機會實現。因此，他表示一定會藉由開放銀行第三階段開放發揮平臺效用。</p> <p>Line Bank開業以來，透過異業結盟、交易綁定推行不少日常生活相關服務。去年四月，Line Bank啟動快點生活圈，專攻點數、場景和服務等3大生態圈。為了推出更多元的場景金融服務，也開發了一個高度靈活的API平臺，來加速綁定服務的串接，也是新平臺策略背後的技術基礎。</p> </div></div></div>
2023/7/20 10:41作者李昀璇https://www.ithome.com.tw/news/157868
法院判定蘋果App Store不需開放用戶使用第三方支付
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.documentcloud.org/documents/23879162-transportroom" target="_blank">本周美國第9巡迴上訴法院裁定</a>，可暫緩實施要求蘋果允許開發商提供App Store用戶第三方支付的命令，引發遊戲開發商Epic Games的不滿。</p> <p>此事起於App開發商因Google Play Store及蘋果App Store強制他們使用Google及Apple的程式內支付（in-app payment）機制，抱怨他們藉其平臺權力徵收30%的分潤費，又稱為「Google稅」或「蘋果稅」，並以「限制引導」（anti-steering）條款不許他們提供用戶連結，導向第三方支付或訂閱機制。遊戲開發商Epic因此在App中使用自家支付機制，企圖繞過兩大平臺，被雙雙下架。<a href="https://www.ithome.com.tw/news/139405" target="_blank">Epic於2020年8月向法院控告</a>Google及蘋果違反反托拉斯法。</p> <p>加州地方法院法官於2021年判決，Epic需支付欠蘋果的分潤，但也要求蘋果移除不讓開發商提供第三方支付連結或資訊的「限制引導」條款。兩公司雙雙提出上訴。今年4月，第9巡迴上訴法院判決蘋果App Store以安全為由採封閉管理並未違法，但是也要求不得維持「限制引導」條款。雖然<a href="https://twitter.com/TimSweeneyEpic/status/1650592345111273484" target="_blank">Epic創辦人暨執行長Tim Sweeney對上訴法院判決不儘滿意</a>，認為是對蘋果的一大勝利。</p> <p>但蘋果並不滿意，並在7月初向第9上訴巡迴法院聲請動議，要求法院重審。上訴法院本周一拒絕再審，但同意暫緩命令90天，給蘋果更多時間上訴到最高法院。</p> <p>對Epic而言，這可以說是一種拖延戰術，因為一旦蘋果提出申請就無法要求蘋果履行命令，直到最高法院受理且做出判決。<a href="https://twitter.com/TimSweeneyEpic/status/1681055675315568640" target="_blank">Sweeney對此表達失望</a>，他說地方法院及上訴巡迴法院都認為不合法的條款，在此禁制令之下得以持續。他說正義又再一次遭到耽擱。</p> <p>蘋果4月間讚揚巡迴上訴法院的判決，認為App Store推動創新、促進競爭的努力獲得地方及巡迴法院的肯定。</p> <p>其他開發商和兩巨人抗爭各有不同的成果。2022年5月，在面臨官司及行政壓力下<a href="https://www.ithome.com.tw/news/150076" target="_blank">Google同意讓Spotify使用第三方支付系統</a>，雖然其他主要App開發商，如<a href="https://www.ithome.com.tw/news/150838" target="_blank">約會程式開發商Match批評</a>Google根本虛應故事、打假球。<a href="https://www.ithome.com.tw/news/148939" target="_blank">蘋果則在去年2月同意Match</a>在荷蘭當地實作蘋果以外的支付系統。</p> </div></div></div>
2023/7/20 11:33作者林妍溱https://www.ithome.com.tw/news/157870
AWS高效能運算添新戰力，導入新款Arm CPU與Nitro加速卡
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/aws_hpc7g-main.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>公有雲龍頭業者AWS在去年11月底的年度用戶大會，發表3款EC2執行個體服務，共通特色是各自採用AWS新研發的晶片，其中搭配機器學習加速推論晶片Amazon Inferentia2的執行個體服務Inf2，今年4月正式推出，到了6月底，另外兩款也宣告上市，它們都採用新款Arm架構處理器Graviton3E，我們先來介紹專攻高效能運算（HPC）應用的執行個體服務Hpc7g。</p> <p>針對用來解決學術、科學、商業等領域複雜問題的高效能運算需求，AWS在Amazon EC2執行個體服務中，過去提供多種選擇，像是：採用Intel第一代Xeon Scalable處理器的C5n，採用Intel第二代Xeon Scalable處理器的R5n、M5n，以及採用AWS Graviton2處理器的C6gn；到了2022年，先是在1月推出基於AMD第三代EPYC處理器的Hpc6a，11月底推出基於Intel第三代Xeon Scalable處理器的Hpc6id，而在同一天，AWS也發表採用Graviton3E處理器的Hpc7g，同樣是針對高效能運算工作負載的執行個體服務，而且標榜可提供最佳性價比。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-11-30-AWS-Keynote-HPC instances.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-30-AWS-Keynote-HPC%20instances.jpg" style="width: 600px;" /></a></p> <p>根據當時公布的資訊，以向量處理效能而言，若以Graviton3為基準，Graviton3E提升了35％。AWS表示，這些晶片都是為了提供最佳性價比而設計出來的，可因應緊密耦合的運算密集型HPC應用，以及分散式運算工作負載。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-AWS%20Lfe%20science-3.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-11-29-AWS Graviton3E-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-29-AWS%20Graviton3E-1.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-29-AWS%20Graviton3E-0.jpg" style="width: 600px;" /></p> <p>除此之外，根據AWS公用運算資深副總裁Peter DeSantis主題演講的透露，Hpc7g也搭配最新推出的網路加速晶片第五代Nitro v5。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-11-29-Nitro v5-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-29-Nitro%20v5-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2022-11-29-Nitro v5-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-29-Nitro%20v5-2.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-29-Nitro%20v5-Z.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/2022-11-29-AWS HPC7g-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-29-AWS%20HPC7g-1.jpg" style="width: 298px;" /></a></p> <p>相較於同樣採用Arm架構處理器的C6gn，AWS最新發表的Hpc7g號稱可提供2倍的浮點運算效能；若與Hpc6a相比，Hpc7g的效能領先幅度為20％，</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-ec2-hpc7g-instances-info.jpg" style="width: 600px;" /></p> <p>用戶能以此實現橫跨多個高效能運算叢集複雜的運算，運用數萬個處理器核心的資源。而在記憶體與網路環境的配置上，Hpc7g搭配具有高存取頻寬的記憶體，以及最高可支援200 Gbps專屬連網頻寬的EFA網路介面卡，而能在更短時間完成高效能運算應用系統的處理，或是在同一個虛擬私有雲環境當中，獲得網路流量最佳化處理。關於不同的使用規模需求，AWS預告Hpc7g將提供多種預先配置組態選擇，用戶最大可租用搭配64顆虛擬處理器與128 GB記憶體的執行個體服務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-12-03-CMP222-Hpc7g.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-12-03-CMP201-AWS%20C7-Graviton2%20and%203.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/2022-12-03-CMP201-AWS C7-Graviton3_firther comparison jpg.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-12-03-CMP201-AWS%20C7-Graviton3_firther%20comparison%20jpg.jpg" style="width: 298px;" /></a></p> <p>除此之外，用戶還可以使用AWS發展開放原始碼的叢集管理工具ParallelCluster，一起建置多個Hpc7g執行個體與其他類型的執行個體，提供用戶更多部署彈性，能在同一個高效能運算叢集執行不同類型工作負載。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-12-03-CMP225-Hpc7g.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-12-03-CMP225-Hpc7g.jpg" style="width: 600px;" /></a></p> <p>而在今年6月正式推出Hpc7g之後，AWS揭露更多使用效益。舉例來說，若用於氣象模擬、計算流體力學等運算密集型工作負載，將前一代高效能運算執行個體服務作為比較對象，Hpc7g效能可領先60％至70％，性價比可提升至3倍；用於密碼學工作負載的處理，以採用Graviton2的執行個體服務為基準，採用Graviton3E的執行個體服務可提供2倍效能；就能源使用量而言，Hpc7g可減少60％。</p> <p>在組態選擇上，Hpc7g可支援3種配置，最大差異在於處理器實體核心數量，有64顆、32顆、16顆，而在記憶體、網路、儲存方面，均搭配128 GB DDR5記憶體、200 Gbps的EFA網路卡，以及存取效能20 Gbps的EBS區塊儲存服務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-Hpc7g%20spec.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-09-AWS%20Silicon%20Innovation%20Day-Arm%20CPU-.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-AWS%20Arm%20CPU%20Comparison.jpg" style="width: 600px;" /></p> <p>值得注意的是，Graviton3E採用的Arm架構運算核心仍同於Graviton3E，都是Neoverse V1，這部分資訊目前公布在設置在<a href="https://github.com/aws/aws-graviton-getting-started/blob/main/README.md">GitHub的AWS Graviton Technical Guide文件專區</a>，7月中，在Arm的社群部落格平臺上，該公司高效能運算與開發工具部門資深總監<a href="https://community.arm.com/arm-community-blogs/b/high-performance-computing-blog/posts/arm-neoverse-hpc-leadership">David Lecomber也特別發文</a>，介紹剛上市不久的AWS Hpc7g，當中提到這款雲端服務採用的Graviton3E處理器內建64顆Neoverse V1核心，以及8個DDR5記憶體控制器。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-AWS%20Graviton3%20interconnect.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20Graviton1-2-3%20summary.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>AWS Amazon EC2 Hpc7g<br /> ●原廠：AWS<br /> ●建議售價：廠商未提供<br /> ●處理器：AWS Graviton 3E<br /> ●提供服務規模選擇：<br /> hpc7g.4xlarge（16顆實體核心）、<br /> hpc7g.8xlarge（32顆實體核心）、<br /> hpc7g.16xlarge（64顆實體核心），<br /> 記憶體均為128 GB DDR5，網路頻寬為25 Gbps，節點互連頻寬為200 Gbps，儲存裝置限用AWS區塊儲存服務EBS</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/7/20 01:15作者李宗翰https://www.ithome.com.tw/review/157822
【資安日報】7月19日，惡意程式分析平臺VirusTotal驚傳資料外洩，恐曝露歐美多個政府機關的資安人員身分
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供分析惡意軟體的知名網站VirusTotal竟出現了資安事故，而引發全球關注。而這份外洩的資料是逾5千筆使用者的姓名與電子郵件帳號，值得留意的是，此處列出的資安人員，來自歐美多個公私部門，亦有臺灣政府機構。後續效應需觀察。</p> <p>攻擊者針對安卓手機發動惡意軟體攻擊的管道，多半是在Google Play市集上架App的方式進行，但最近又有新的手法能夠繞過該市集的審核機制。資安業者RIFFsec、電腦資安事件應變小組CSIRT KNF揭露利用WebAPK技術的攻擊行動，而能突破上述市集與作業系統的防護機制，於使用者手機部署惡意軟體。</p> <p>有勒索軟體駭客將腦筋動到了資安業者身上，想要嫁禍給這類公司。研究人員發現了名為SophosEncrypt的勒索軟體，一度以為是資安業者Sophos用於紅隊演線的工具，但該公司對此表示否認。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.spiegel.de/netzwelt/web/virustotal-datenleck-offenbart-kunden-der-google-sicherheitsplattform-a-abc16326-ddff-4a11-b149-d96be7f3bdbd"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體分析平臺VirusTotal驚傳資料外洩，逾5千用戶個資受影響</span></strong></a></p> <p>根據明鏡周刊的報導，Google旗下的惡意軟體分析平臺VirusTotal曝露了大小僅有313 KB的檔案，並於6月底在網際網路上公開，其內容是含有約5,600筆用戶姓名的名單，包含了美國國家安全局（NSA）、德國情報單位的成員，以及臺灣、荷蘭、英國的政府機構。</p> <p>該新聞媒體已經確認上述名單的真實性，並指出若是有人掌握其中的20個帳號，就有機會存取美國網路作戰司令部（US Cyber Command）。這次外洩的資料內容，雖然僅有用戶的姓名和電子郵件信箱，但公開的是專門負責組織資安的人員身分，而有可能遭到濫用，駭客有可能用來進行社交工程或是網路釣魚攻擊。</p> <p>對此，Google Cloud坦承確有此事，原因是VirusTotal員工作業過程不小心而導致資料外流，該公司在上傳資料的1小時內就刪除檔案，並檢討、改進內部流程，來防止類似情況再度發生。</p> <p><a href="https://thehackernews.com/2023/07/hackers-exploit-webapk-to-deceive.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客濫用WebAPK誘騙安卓用戶安裝惡意程式</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/F0S0bwoX0AQyBpD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/F0S0bwoX0AQyBpD.jpg" style="width: 300px; float: right;" /></a>資安業者RIFFsec提出警告，有人製作冒牌網站hxxps://ikopl[.]online，假冒波蘭大型金融機構PKO Bank Polski發動攻擊，當地的金融業電腦資安事件應變小組CSIRT KNF循線調查，結果發現駭客在這起網路釣魚攻擊行動裡，濫用名為WebAPK的技術，意圖在安卓設備部署惡意程式。</p> <p>此攻擊行動先對目標發送簡訊，內容聲稱用戶的手機版銀行App需要更新，並提供安裝軟體的URL，一旦使用者依照指示操作，攻擊者便能透過WebAPK的技術，從使用者手機瀏覽器到手機系統當中安裝惡意的應用程式，進行騙取使用者登入網路銀行的詳細資料。</p> <p>研究人員指出，開發者可直接散布WebAPK應用程式，而無須通過Google Play市集的審核流程，因此，不會觸發作業系統顯示「來自不受信任來源App」的相關警告。由於此惡意程式於受害手機的部署過程裡，是採用Chrome核心引擎動態產生，導致難以透過入侵指標（IoC）識別其攻擊特徵。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/getriffsec/status/1676663509617131520">https://twitter.com/getriffsec/status/1676663509617131520</a><br /> 2. <a href="https://www.linkedin.com/pulse/using-webapk-technology-phishing-attacks-csirt-knf/">https://www.linkedin.com/pulse/using-webapk-technology-phishing-attacks-csirt-knf/</a></p> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/syssphinx-fin8-backdoor"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織FIN8透過後門程式Sardoinc部署勒索軟體BlackCat</span></strong></a></p> <p>資安業者賽門鐵克揭露駭客組織FIN8（亦稱Syssphinx）近期的攻擊行動，該駭客組織在2016年首度被發現時，主要是針對PoS系統竊取金融卡資料，從2021年起，他們又陸續發動勒索軟體Ragnar Locker、White Rabbit攻擊，但到了2022年12月，駭客改用BlackCat（亦稱Alphv、Noberus）發動勒索軟體攻擊。</p> <p>而這些勒索軟體攻擊行動之間有共通點，那就是都用名為Sardonic的後門程式，但不同之處在於，新版後門程式大部分的程式碼已經重新改寫，不再採用C++標準程式庫，且多數物件導向的功能改以C語言開發。研究人員指出，駭客如此大費周章改寫，是為了避免新後門程式存在過往可供辨識的特徵。</p> <p><a href="https://www.bleepingcomputer.com/news/security/cybersecurity-firm-sophos-impersonated-by-new-sophosencrypt-ransomware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體SophosEncrypt假冒資安業者Sophos發動攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/F1Q8yamWAAIkVwB.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/F1Q8yamWAAIkVwB.jpg" style="width: 300px; float: right;" /></a>資安研究團隊MalwareHunterTeam於7月18日發現名為SophosEncrypt的勒索軟體，駭客疑似假借資安業者Sophos的名義犯案。</p> <p>此勒索軟體是使用程式語言Rust打造而成，研究人員對其進分析後發現，惡意軟體一旦執行，若要啟動檔案加密的程序須具備幾個條件：一、攻擊者須輸入與受害者相關的Token，二、該程式會連線特定IP位址進行驗證，完成後才會執行（但研究人員Michael Gillespie發現，可停用網路卡，以繞過相關驗證）。在檔案加密完成後，駭客留下HTA檔案的勒索訊息，並將桌布更換成帶有Sophos字樣的圖片。</p> <p>對此，Sophos表示上述勒索軟體並非他們製作，該公司也在惡意軟體分析平臺VirusTotal發現SophosEncrypt的檔案，並著手調查。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/new-critical-citrix-adc-and-gateway-flaw-exploited-as-zero-day/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Citrix修補應用程式交付控制器、SSL VPN系統的零時差漏洞</span></strong></a></p> <p>7月18日Citrix發布資安通報，針對旗下的應用程式交付控制器NetScaler ADC（原名Citrix ADC）、SSL VPN系統NetScaler Gateway（原名Citrix Gateway）發布新版本，當中修補了CVE-2023-3519、CVE-2023-3466、CVE-2023-3467，CVSS風險評分為8.0至9.8。其中最為嚴重的漏洞是CVE-2023-3519，攻擊者可在尚未通過身分驗證的情況下，利用此漏洞遠端執行任意程式碼，該公司指出，已有駭客將其用於攻擊行動。</p> <p>根據資安新聞網站Bleeping Computer的報導，有人7月初於駭客論壇聲稱掌握了NetScaler ADC的零時差漏洞，根據該新聞網站掌握的資訊，Citrix得知上述駭客論壇的兜售漏洞的廣告，並著手開發修補程式，而駭客提及的漏洞，很可能與Citrix本次的資安通告有關。</p> <p><a href="https://www.hackread.com/exploitable-flaws-quickblox-expose-user-records/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">即時通訊框架QuickBlox存在漏洞，恐曝露數百萬使用者資料</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/77HRJDELJJ-image8-1.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/77HRJDELJJ-image8-1.jpeg" style="width: 300px; float: right;" /></a>資安業者Check Point、Claroty指出，廣泛用於物聯網裝置的即時通訊服務框架QuickBlox存在漏洞，一旦攻擊者加以利用，就有可能輕易存取應用程式的使用者資料庫，從而導致數百萬用戶記錄資料可能被曝露和利用。</p> <p>研究人員找出這些漏洞的原因，是針對以色列業者Rozcom對講機行動應用程式進行檢查而得知，而這項應用程式就是以QuickBlox框架為基礎開發而成。當時研究人員能藉由相關漏洞下載所有使用者的資料庫、挾持所有使用者帳號及Rozcom的對講機裝置，並能完全存取裝置的視訊鏡頭及麥克風。研究人員進一步調查QuickBlox的軟體開發套件（SDK）及API，並通報開發商，而QuickBlox也為此開發新的安全架構及API修補相關漏洞。</p> <p>資料來源</p> <p>1. <a href="https://research.checkpoint.com/2023/major-security-flaws-in-popular-quickblox-chat-and-video-framework-expose-sensitive-data-of-millions/">https://research.checkpoint.com/2023/major-security-flaws-in-popular-quickblox-chat-and-video-framework-expose-sensitive-data-of-millions/</a><br /> 2. <a href="https://claroty.com/team82/research/major-security-flaws-in-popular-quickblox-chat-and-video-framework-expose-sensitive-data-of-millions">https://claroty.com/team82/research/major-security-flaws-in-popular-quickblox-chat-and-video-framework-expose-sensitive-data-of-millions</a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.cisa.gov/resources-tools/resources/free-tools-cloud-environments"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國CISA發布保護雲端環境安全的工具</span></strong></a></p> <p>7月17日美國網路安全暨基礎設施安全局（CISA）介紹了5款能用於保護雲端服務的免費工具，這些工具大部分都是由CISA提供，其中有1款是日本電腦網路危機處理暨協調中心（JPCERT/CC）貢獻，讓企業組織也可用這些工具強化資安。</p> <p>這些工具包含了用於評估網路安全的Cybersecurity Evaluation Tool（CSET）、協助採取安全配置的SCuBAGear、可針對微軟雲端環境偵測惡意活動的Untitled Goose Tool、用於理解駭客行為並對應MITRE ATT&CK的Decider Tool，以及記憶體鑑識環境建置工具Memory Forensic on Cloud。</p> <p><a href="https://www.whitehouse.gov/wp-content/uploads/2023/07/National-Cybersecurity-Strategy-Implementation-Plan-WH.gov_.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國公布國家網路安全戰略實施計畫</span></strong></a></p> <p>美國總統拜登3月提出國家網路安全戰略的框架，本週提出如何執行的進一步規畫──他們在7月13日，發布了國家網路安全戰略實施計畫（National Cybersecurity Strategy Implementation Plan，NCSIP），目的是讓聯邦政府機關能夠理解上述戰略設定的目標，確保資訊的透明度並讓各機關能通力合作。此戰略的目標是從本質上調整美國政府在網路環境分配角色、責任、資源的方式，並鼓勵長期投資網路安全。</p> <p>NCSIP總共提出逾65項具有高度影響力的任務，並指明負責單位及預計完成的時間表。上述工作環繞國家網路安全戰略的5大支柱，分別是保衛關鍵基礎設施、瓦解攻擊者、藉由市場力量推動安全與韌性、投資未來韌體，以及尋求國際間的合作等。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/07/criminals-target-businesses-with-malicious-extension-for-metas-ads-manager-and-accidentally-leak-stolen-accounts"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">冒牌廣告管理程式、瀏覽器延伸套件鎖定臉書用戶而來</span></span></strong></a></p> <p><a href="https://www.securityweek.com/hackers-target-reddit-alternative-lemmy-via-zero-day-vulnerability/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">社群網站建置工具Lemmy遭到零時差漏洞攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/google-cloud-build-bug-lets-hackers-launch-supply-chain-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">CI/CD代管服務Google Cloud Build存在漏洞，恐讓攻擊者用來提升權限</span></span></strong></a></p> <p><a href="https://cert.gov.ua/article/5160737"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Gamaredon入侵受害電腦1小時內外洩資料</span></span></strong></a></p> <p><a href="https://ec.ltn.com.tw/article/paper/1594609"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">數位部揭露2022年政府資安情勢，資安事件達765件，近5年新高</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157850">【7月18日】駭客組織TeamTNT將鎖定雲端竊取帳號的攻擊行動，企圖從AWS延伸至其他兩大公有雲</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157828">【7月17日】駭客打造專門用於網路犯罪的AI語言模型WormGPT，可製作更具說服力的惡意郵件</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157789">【7月14日】 Windows舊版驅動程式簽章相容性政策遭濫用，駭客拿來打造惡意驅動程式，突破端點電腦資安防護</a></strong></p> </div></div></div>
2023/7/19 16:40作者周峻佑https://www.ithome.com.tw/news/157865
駭客攻陷Adobe ColdFusion與Citrix NetScaler的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Rapid7於本周提醒，駭客已經攻陷了Adobe ColdFusion與Citrix NetScaler的零時差漏洞，呼籲使用者應提高警覺。</p> <p>其中，<a href="https://support.citrix.com/article/CTX561482/citrix-adc-and-citrix-gateway-security-bulletin-for-cve20233519-cve20233466-cve20233467" target="_blank">Citrix是在本周二（7/18）修補了NetScaler ADC與NetScaler Gateway裝置上的3個安全漏</a>洞，分別是跨站攻擊漏洞CVE-2023-3466、權限擴張漏洞CVE-2023-3467，以及未經身分認證的遠端程式攻擊漏洞CVE-2023-3519，而CVE-2023-3519的CVSS風險評分高達9.8，也已遭到駭客攻陷。</p> <p class="rtecenter"><a href="http://support.citrix.com/article/CTX561482/citrix-adc-and-citrix-gateway-security-bulletin-for-cve20233519-cve20233466-cve20233467" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0719-citrix%20patch%20cyber%20bulletin-600-1.png" style="width: 600px;" /></a></p> <p>此外，已結束生命周期的NetScaler ADC與NetScaler Gateway 12.1版本也受到波及，使得Citrix呼籲用戶應升級裝置以修補漏洞。</p> <p><a href="https://www.rapid7.com/blog/post/2023/07/18/etr-critical-zero-day-vulnerability-in-citrix-netscaler-adc-and-netscaler-gateway/" target="_blank">Rapid7指出</a>，只要是配置為Gateway或AAA虛擬伺服器，都將受到CVE-2023-3519漏洞的影響，而且它將成為各種等級駭客的熱門攻擊目標，預期攻擊行動將迅速增加，強烈建議使用者緊急更新。</p> <p>至於Adobe的狀況則相對複雜。Adobe在今年7月11日針對旗下<a href="https://helpx.adobe.com/security/products/coldfusion/apsb23-40.html" target="_blank">應用程式快速開發平臺ColdFusion釋出了安全更新</a>，修補存取控制漏洞CVE-2023-29298（CVSS 7.5），可造成程式攻擊的反序列化漏洞CVE-2023-29300（CVSS 9.8），以及另一個涉及可繞過安全功能的CVE-2023-29301漏洞（CVSS 5.9）。而Project Discovery隔天就發布了CVE-2023-29300漏洞的細節與概念性驗證攻擊程式。</p> <p class="rtecenter"><a href="http://helpx.adobe.com/security/products/coldfusion/apsb23-40.html" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0719-Adobe%20fixes%20ColdFusion%20July%2011-600.png" style="width: 600px;" /></a></p> <p>然而，Rapid7在今年的7月13日觀察到，某些客戶環境中的Adobe ColdFusion遭到駭客攻擊，駭客串連了Adobe於7月11日修補的CVE-2023-29298及另一個不明漏洞展開攻擊，Rapid7發現針對該不明漏洞的攻擊行為與Project Discovery的描述一致。</p> <p>駭客得以成功攻擊的原因有二，一是Adobe針對CVE-2023-29298的修補並不完全，駭客只要稍微修改攻擊程式就能攻陷最新版的ColdFusion。</p> <p>其次則與第二個安全漏洞有關。Rapid7相信Project Discovery在解釋CVE-2023-29300時，無意中揭露了一個新的零時差漏洞CVE-2023-38203，它與CVE-2023-29300同樣屬於反序列化漏洞，允許任意程式攻擊，其CVSS風險評分也高達9.8。而Adobe則是在7月14日修補了CVE-2023-38203。</p> <p>目前Adobe正在重新打造CVE-2023-29298的修補程式，<a href="https://www.rapid7.com/blog/post/2023/07/17/etr-active-exploitation-of-multiple-adobe-coldfusion-vulnerabilities/" target="_blank">而Rapid7則說</a>，現階段所看到的攻擊行動都必須仰賴CVE-2023-38203以於受害系統上執行程式，ColdFusion用戶只要部署了CVE-2023-38203修補程式應可避免駭客串連這兩個漏洞。</p> </div></div></div>
2023/7/19 15:32作者陳曉莉https://www.ithome.com.tw/news/157863
統一超商攜手工研院打造科技概念店X-Store 7號店，主打商品拿了就走，實現免排隊結帳
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>統一超商最新科技概念店X-Store 7號店亮相，這次最大亮點是利用工研院技術實現拿了就走（Grab and Go），消費者拿取商品後不須手動掃描任何商品，也不用經過自助結帳機。X-Store 7 整個店面都是無人區域，不須相鄰母店店員看顧，減少人力成本。不僅如此，工研院還透過特殊設計，來節省拿了就走科技背後的運算效能需求，進而降低店面建置成本。</p> <p>本次發表，統一超強調無人商店模式的可複製性，積極考量建置成本，以降低未來開設更多無人店的門檻，不過小小10坪店面中，就安裝了30多座影像追蹤感應器、15臺IOT智能貨架、1,300以上個重量感測器，以及超過3,000組多重感測器。</p> <p><strong>從入店到出店，消費體驗背後科技解析</strong></p> <p>消費者從會員App中呼叫出Web App介面，來進行X-Store店內所有操作。走到門口，是每個X-Store都有的會員入店機制。與上次X-Store不同，這次是掃描Web App上生成的入店QR Code，而非輸入會員手機。<br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/946223.jpg" style="height: 500px;" /></p> <p>入店後，天花板的攝影鏡頭會開始追蹤入店消費者。追蹤方法是，利用AI物件辨識技術，將消費者上視圖登記為入店者。拿取商品時，系統會辨認消費者伸手動作，以連結拿取行為與消費者身分。</p> <p>這個技術還支援「偕同入店」情境。例如親子偕同進入商店時，系統會辨認出1個會員，2個消費者。這2名消費者拿取的商品都會歸戶到同1名會員購物車中。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/946224.jpg" style="width: 600px;" /></p> <p>商品貨架上有3種感應裝置：紅外線光柵、攝影機、重量感測器。1排貨架上有3個攝影機，後臺也是AI物件辨識系統，與重量感測器共同判斷消費者拿取的商品種類。工研院表示，店內貨架攝影機眾多，若常態運行物件辨識系統，會產生不必要的運算成本。因此，他們加上紅外線光柵作為攝影機啟動裝置，只有當光柵感應到消費者伸手取貨，攝影機才會從待機甦醒。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/946231.jpg" style="width: 600px;" /></p> <p>若消費者在無人商店中有疑問，結帳處有虛擬店員，目前會針對基礎Q&A播放說明影片。統一超表示，未來還能利用AI來應答無人商店操作流程、商品、服務、活動等基本問題。虛擬店員無法回答時，也能選擇聯絡真人客服。<br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/946229.jpg" style="height: 500px;" /></p> <p>消費者拿完所需商品後，可以選擇直接在線上利用統一超支付工具結帳後離店。若沒有統一超支付工具，則能由Web App生成購物車QR Code，在自助結帳機掃描後用電子票證或第三方支付工具來結帳。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/946227.jpg" style="width: 600px;" /></p> <p><strong>支援貨架情況分析、人流分析，來優化營運</strong></p> <p>X-Store 7號店沒有店員在場，因此貨架情況、消費者動線等店內資訊，完全靠店內科技來記錄。</p> <p>天花板攝影機追蹤的消費者位置和拿取商品行為，會記錄於統一超後臺，用熱力圖的方式呈現。統一超表示，他們會綜合消費者動線紀錄與商品銷售情況來分析，判斷是否需要調整商品陳列位置，來疏通動線，或促銷商品。</p> <p>貨架各式感應器則能辨認商品缺貨、商品錯位等情況，供工作人員到店補貨和維護時參考。</p> <p><strong>不只求示範效果，更注重消費體驗和店面建置的可複製性</strong></p> <p>過往統一超X-Store展示的科技，雖然少數有實驗成功後，推廣到一般店面的案例。不過也有部分是為了一次性示範用。例如，X-Store 6號店的AR體驗，需要下載一個專門App，且體驗設計明顯都是為了該店面量身打造，因此複製不易。</p> <p>這次，統一超則從消費體驗到店面建置，都特別強調可複製性。舉例來說，這次X-Store消費體驗，是從既有會員App為起點，再連線到外部的Web App。統一超刻意在會員App開設一道體驗入口，意味著未來無人店普及度更高時，全臺1,600萬會員將能更簡單的開始在無人商店購物。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/946555.jpg" style="height: 500px;" /></p> <p>店面建置上，這次X-Store也特別強調節約成本。利用紅外線光柵來節省物件辨識運算成本即是一例。另外，工研院表示，這次的各式感應器特別使用了規格較基礎、價格較低的設備，並透過軟體和機制設計來克服部分硬體限制。例如，若商品物件太小，消費者的手可能會完全遮掩住商品，造成物件辨識系統難以判斷取或情形，此時就會用重量感測器來輔助研判。</p> <p>統一超一直都在探索無人商店的做法，且每次推出新科技概念店，他們都逐步增加無人區的店面占比，6號店時有8成面積是無人區，2成是相鄰「母店」的店員駐守區。這次的7號店則達成100%無人，可由遠端母店管理。雖然統一超沒有明確揭露無人店展店規畫，不過這家新X-Store設計，體現出他們已經開始考量日後如何複製無人店模式，而非不惜成本的將科技做到最尖端。</p> <p> </p> </div></div></div>
2023/7/19 15:42作者郭又華https://www.ithome.com.tw/news/157861
美國FCC將針對智慧裝置祭出US Cyber Trust Mark安全標章
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有鑑於美國家庭使用愈來愈多連網的IoT與智慧裝置，美國聯邦通訊委員會（Federal Communications Commission，FCC）主席Jessica Rosenworcel本周二（7/18）針對在美國銷售的智慧裝置，<a href="https://docs.fcc.gov/public/attachments/DOC-395185A1.pdf" target="_blank">提出了US Cyber Trust Mark安全標章計畫</a>，以讓消費者得以辨識那些符合更高網路安全標準的相關裝置，此一提案還得經過FCC委員會的同意並蒐集公眾意見，最快會在2024年實施。</p> <p class="rtecenter"><img alt="" src="https://www.fcc.gov/sites/default/files/US-Cyber-Trust-Mark-Aqua-Gradient.png" style="width: 300px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_FCC</span></span></p> <p>根據估計，2021年上半年全球就有15億次針對IoT裝置的攻擊行動，且到了2030年，全球的IoT裝置數量更將達到250億個，這些IoT裝置的功能不同，採用不同的技術，也帶來各自的安全挑戰。</p> <p>於是Rosenworcel提出了「法規命令訂定通知」（Notice of proposed rulemaking，NPRM），打算根據美國國家標準暨技術研究院（NIST）所制定的標準來監管無線通訊裝置，同時這是一項自願性的計畫，業者得以自行決定是否申請認證標準，但消費者則能據此作出購買決定。</p> <p>此一提案將尋求對特定問題的各種意見，包括有資格納入標章計畫的裝置範圍，由誰負責計畫的監督與管理，如何制定不同類型裝置的安全標準，如何證明與遵守相關標準，如何防範標章遭到未經授權的使用，以及如何向大眾宣導等。</p> <p>Rosenworcel認為，此一計畫將協助消費者作出更明智的購買決定，區分市場上值得信賴的產品，同時也可激勵製造商迎合更高的網路安全標準。</p> <p>FCC也已向美國專利暨商標辦公室（USPTO）提交US Cyber Trust Mark安全標章的商標申請，除了標章之外，產品包裝上也會出現二維條碼，消費者掃描之後就能取得有關該裝置的更多安全訊息。</p> <p><a href="https://www.whitehouse.gov/briefing-room/statements-releases/2023/07/18/biden-harris-administration-announces-cybersecurity-labeling-program-for-smart-devices-to-protect-american-consumers/" target="_blank">不少IoT與智慧裝置製造商在同一天就宣布將支持該計畫</a>，涵蓋Amazon、Best Buy、Google、LG、羅技與三星等。</p> </div></div></div>
2023/7/19 13:19作者陳曉莉https://www.ithome.com.tw/news/157860
Meta和微軟聯手發表可免費商用的大型語言模型Llama 2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.meta.com/blog/llama-2/">Meta宣布</a>開源可免費商用大型語言模型Llama 2，並找來微軟當作首批發表合作夥伴，展示雙方於人工智慧領域的擴大合作。用戶現在能夠方便地在Azure和Windows上部署Llama 2模型，而這有望使企業開發人工智慧應用的成本與障礙大幅降低。Meta和微軟在人工智慧領域的合作，從ONNX Runtime與PyTorch的整合開始，而現在進一步拓展至語言模型開源，展示雙方長期合作的決心。</p> <p>Meta在今年2月的時候發表LLaMA 1，而這個第一代LLaMA語言模型僅開放給人工智慧研究社群申請使用。LLaMA 1提供各種規模的版本，分別有70億、130億、330億及650億個參數等，這些基礎模型以大量未標註的資料訓練，用戶適合針對各種任務進行微調。</p> <p>LLaMA 1一公開便受到研究人員的歡迎，Meta總共收到10萬個針對LLaMA 1的存取請求，而現在Meta開源Llama 2不限研究用途，更免費提供商業使用，開源的內容包括預訓練模型以及經調校模型的權重與起始訓練程式碼，Llama 2模型有70億、130億和700億參數三個版本。</p> <p>Llama 2用於訓練的資料量，比LLaMA 1還多了40％，Llama 2預訓練模型總共使用2兆Token訓練，而且其上下文長度（Context Length）是LLaMA 1的兩倍。所謂的上下文長度，是指模型在生成文字時可以參考的文字長度，擁有更長的上下文長度，代表著模型能夠理解和生成更長的文字序列，有助於提升模型理解複雜文字結構和遠距的語義關係。Llama 2經調校的版本，則使用了超過100萬個由人類標註的資料訓練。</p> <p>這次開源很值得注意的是經調校模型Llama 2-Chat，該模型運用人類回饋增強學習（Reinforcement Learning from Human Feedback，RLHF），針對對話應用最佳化，在廣泛可用性和安全基準上，Llama 2-Chat的表現已經比大多數開放模型還要好，而且根據人類的評估，其可用性已經和ChatGPT相當。Llama 2-Chat同樣也使用Llama 2授權，也就是說可用於學術和商業目的。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/llama-rlhf.png" style="width: 580px; height: 275px;" /><br /> 圖片來源 <a href="https://huggingface.co/blog/llama2">Hugging Face</a></p> <p>當前用戶在商用大型語言模型的選擇並不多，即便不少企業或是學術單位釋出各種自己訓練的指令遵循模型，但多數模型可能無法商用，以Dolly 1.0模型來說，該指令遵循模型是Databricks以史丹佛大學的Alpaca模型，使用OpenAI API所產生的指令遵循資料集訓練而成，而OpenAI的使用條款，明確禁止用戶將其用於開發和OpenAI競爭的模型。</p> <p>因此當一個語言模型的訓練資料來自另一個商用語言模型，那其商業用途便會受到限制，要開發一個可商用的語言模型，需要使用全新乾淨的指令遵循資料集，完全不能夠從ChatGPT或是網路等其他來源複製，否則便會污染資料集，也是因為這樣，當初Databricks才傾全公司5,000名員工之力，共同編寫指令遵循資料集，創建並開源可供商用與學術使用的Dolly 2.0。</p> <p>而現在Meta開源可商用的Llama 2模型，以及可用性與ChatGPT相當的Llama 2-Chat模型，無疑是增加商用語言模型選擇，Llama 2-Chat也有望成為閉源聊天機器人的開放替代之一。</p> <p>用戶現在可以在Azure AI模型目錄上選用Llama 2，並使用雲端原生工具設置內容過濾與安全功能，Llama 2也針對Windows本地端執行進行最佳化，但不只在微軟的Azure上，用戶也可以從AWS以及<a href="https://huggingface.co/blog/llama2">Hugging Face</a>等其他平臺獲取Llama 2模型。</p> <p>不過，雖然Meta稱Llama 2為開源模型，並可供研究與商業使用，但是Llama 2使用一個由Meta自創名為Llama 2的授權，從授權協議看起來<a href="https://huggingface.co/TheBloke/Llama-2-13B-chat-GPTQ/blob/main/LICENSE">Llama 2授權</a>並非典型的開源授權，除了限制Llama 2的輸出不可用於改進其他大型語言模型之外，還附帶了特殊的商業用途條款，當公司的產品和服務超過700萬活躍使用者，就必須向Meta申請授權，因此用戶在使用上仍需多加注意。</p> </div></div></div>
2023/7/19 13:38作者李建興https://www.ithome.com.tw/news/157854
微軟Bing Chat邁入企業，公布商用Microsoft 365 Copilot價格
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼今年陸續將GPT-4為基礎的聊天機器人推向消費者用的Bing Chat及整合Windows及Office/Microsoft 365的Copilot後，微軟昨（18）日在Inspire大會上，<a href="https://blogs.microsoft.com/blog/2023/07/18/furthering-our-ai-ambitions-announcing-bing-chat-enterprise-and-microsoft-365-copilot-pricing/" target="_blank">宣布強調資料安全性的Bing Chat Enterprise</a>，並且公布企業用Microsoft 365 Copilot的收費標準。</p> <p>為企業運作而設計的Bing Chat Enterprise昨日以預覽版上線，微軟預計可支援1.6億用戶的工作。和Bing Chat一樣，Bing Chat Enterprise也會蒐集公開網路的資料，提供引用來源，也能支援圖表及圖片的輸入與產出。</p> <p>但微軟強調Bing Chat Enterprise更著重企業個人及公司資料防護，輸入AI聊天機器人或它輸出的資料獲得傳輸過程（in-transit）加密。用戶的對話記錄不會儲存，微軟也看不到，而且和消費版Bing Chat不同，企業版用戶對話不會被用於訓練語言模型。此外，不論是研究產業、分析資料、或是激發創意，Bing Chat Enterprise也號稱會提供品質更好的答案、以提升生產力及創新。</p> <p>凡是購買Microsoft 365 E3、E5及Business Standard、Business Premium授權的企業組織，可免費獲得Bing Chat。未來正式上市時，Bing Chat Enterprise將可單獨銷售，費用為每月每名用戶5美元。用戶可透過支援Bing Chat的工作帳號從Bing.com/chat及Edge側邊欄啟用這項服務，未來也可以從Windows Copilot存取。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0719-Bing%20Chat%20Enterprise-3.jpg" style="text-align: center; width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_微軟</span></span></p> <p>同時微軟也繼<a href="https://www.ithome.com.tw/news/156342" target="_blank">3月公布Microsoft 365 Copilot以及局部測試</a>後，於本周公布Microsoft 365 Copilot正式上線時的收費標準。針對Microsoft 365 E3、E5、Business Standard、Business Premium用戶，費用為每人每月30美元。</p> <p>微軟強調Microsoft 365包含Bing Chat Enterprise所有功能，再加上Microsoft 365的安全隱私功能。Copilot可執行數千項指令，理解各種內容和情境，結合跨M365服務資料存取平臺Microsoft Graph，Copilot能搜尋公司電子郵件、行事曆、聊天對話、文件等資料，例如將早上會議、郵件和聊天訊息更新給全團隊、根據上周專案進度提醒用戶，或是以內部檔案及網路資料製作SWOT分析。微軟也說明，M365 Copilot提供M365的安全隱私設定、身分與法遵政策。Copilot也會尊重用戶個人及群組的許可政策。所有用戶資料都儲存在Microsoft 365租戶中，完全由用戶控管。</p> <p>5月時已有600多家企業用戶透過付費的早期試用方案使用M365 Copilot，包括KPMG、電信公司Lumen、阿聯酋杜拜國家銀行（Emirates NBD）。正式上線預定在未來幾個月內，微軟日後會再說明。</p> <p>最後，微軟今天也公布Bing Chat增加視覺搜尋。這新功能能辨識圖片、解釋並回答用戶問題。例如回答用戶上傳冰箱內的照片，請Bing Chat建議能做什麼料理。視覺搜尋功能現在已部署至Bing桌機及手機版，之後也會推向Bing Chat Enterprise版。</p> </div></div></div>
2023/7/19 12:46作者林妍溱https://www.ithome.com.tw/news/157859
作家連署要求AI使用版權內容生成作品時應提供補償
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://actionnetwork.org/petitions/authors-guild-open-letter-to-generative-ai-leaders" target="_blank">逾8,000名作家在近日簽署了由紐約著作人協會（Authors Guild）所發表的一封公開信</a>，要求OpenAI、Alphabet、Meta、Stability AI與IBM等生成式AI領導業者的執行長們，在使用受到版權保護的內容訓練AI時，應取得作家的同意，承認這些作家/作品的價值，並提供補償。</p> <p>這些作家認為，基於大型語言模型的生成式AI技術之所以存在，應歸功於他們的著作，這些技術照本宣科或模仿他們所使用的語言、故事、風格與想法，以數百萬具版權的書籍、文章、論文及詩歌來餵養這些AI系統，卻沒有支付半毛錢。</p> <p>因此，他們呼籲OpenAI執行長Sam Altman、Alphabet執行長Sundar Pichai、Meta執行長Mark Zuckerberg、Stability AI執行長Emad Mostaque、IBM執行長Arvind Krishna，以及微軟執行長Satya Nadella在斥資數十億美元以開發AI技術的當下，應該公平地補償作家，因為沒有他們的貢獻，AI將變得平庸且有限。</p> <p>此外，作家們也認為，當市場充斥著由AI撰寫的書籍、故事與新聞時，將會威脅到他們的職業，在過去的10年來，作家的收入下滑了40%，去年全職作家的收入中位數只有2.3萬美元，而AI的現身將會使得他們無法謀生或變得更困難。</p> <p>該公開信的三大訴求為在生成式AI中使用版權內容時取得作家的同意，公平補償生成式AI在過去與現在所使用之著作的所有人，若AI的輸出使用了這些版權內容，也應提供補償。</p> </div></div></div>
2023/7/19 12:06作者陳曉莉https://www.ithome.com.tw/news/157853
【資安日報】7月18日，駭客組織TeamTNT將鎖定雲端竊取帳號的攻擊行動，企圖從AWS延伸至其他兩大公有雲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客組織TeamTNT的攻擊行動Silentbob引起研究人員高度關注，先是有資安業者Aqua Security揭露攻擊行動的部分樣貌，駭客的殭屍網路擊範圍不只包含了Docker、Kubernetes環境，還有多種資料庫及網頁伺服器的伺服器，現在有另外2家資安業者也公布他們的調查結果，指出這些駭客原本的攻擊範圍是AWS，但現在也打算擴及Azure與Google Cloud Platform（GCP）。</p> <p>針對應用程式開發系統而來的攻擊行動，也相當值得留意。資安業者Rapid7指出，他們發現有人針對Adobe ColdFusion伺服器發動攻擊，利用的就是上週才修補的漏洞CVE-2023-29298。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.darkreading.com/cloud/aws-cloud-credential-stealing-campaign-spreads-azure-google"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對AWS的雲端帳密盜竊攻擊Silentbob蔓延，駭客也開發Azure、GCP攻擊工具</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/silentbob_campaign.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/silentbob_campaign.png" style="width: 300px; float: right;" /></a>資安業者SentinelOne與Permiso聯手，針對駭客組織TeamTNT攻擊行動Silentbob著手進行調查，原先這些駭客<a href="https://www.ithome.com.tw/news/157828#silentbob">鎖定暴露在網際網路的雲端JupyterLab伺服器和Docker API</a>，主要針對是AWS雲端環境而來，但研究人員發現，自6月下旬，駭客也將Azure與Google Cloud Platform（GCP）納入攻擊範圍，一旦找到曝露在網際網路的Docker服務，就會先執行新的Shell指令碼進行偵察，確認所處的雲端環境、分析系統資訊、搜括帳密資料。</p> <p>他們在6月24日的攻擊工具裡，看到駭客首度加入了Azure帳密資料收集的模組。此外，研究人員也發現駭客使用了針對AWS雲端環境的蠕蟲，目標是竊取雲端帳密及資料，並於受害環境植入Tsunami後門程式。此蠕蟲以Go語言打造、透過UPX加殼的ELF執行檔，其功能是投放並執行Shell指令碼，針對攻擊者指定的範圍進行掃描，然後散布至其他攻擊標的。</p> <p>資料來源</p> <p>1. <a href="https://www.sentinelone.com/labs/cloudy-with-a-chance-of-credentials-aws-targeting-cred-stealer-expands-to-azure-gcp/">https://www.sentinelone.com/labs/cloudy-with-a-chance-of-credentials-aws-targeting-cred-stealer-expands-to-azure-gcp/</a><br /> 2. <a href="https://permiso.io/blog/s/agile-approach-to-mass-cloud-cred-harvesting-and-cryptomining/">https://permiso.io/blog/s/agile-approach-to-mass-cloud-cred-harvesting-and-cryptomining/</a></p> <p><a href="https://www.bleepingcomputer.com/news/security/critical-coldfusion-flaws-exploited-in-attacks-to-drop-webshells/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Adobe ColdFusion漏洞出現攻擊行動，駭客用來投放Web Shell</span></strong></a></p> <p>7月11日Adobe針對旗下老牌網站應用程式快速開發平臺ColdFusion發布更新軟體，其中修補漏洞CVE-2023-29300、CVE-2023-29298（CVSS風險評分9.8、7.5），不過，本次揭露與修補的漏洞，現在傳出部分被駭客用於攻擊行動。</p> <p>資安業者Project Discovery比對修補程式的內容，於12日公布CVE-2023-29300漏洞細節及概念性驗證（PoC）程式碼，並指出駭客可將其與CVE-2023-29298結合，造成更大的威脅（現已移除）。但另一家資安業者Rapid7發現，Project Discovery提及的漏洞細節與PoC程式碼，很可能並非是針對CVE-2023-29300，而是新的零時差漏洞CVE-2023-38203（CVSS風險評分9.8），他們在Project Discovery發布漏洞細節的隔天，已看到攻擊者利用CVE-2023-29298發動攻擊，並於存在相關弱點的ColdFusion伺服器部署Web Shell，藉此取得遠端存取權限。</p> <p>Rapid7的研究人員認為，Adobe對於CVE-2023-29298的修補並不完整，用戶即使安裝相關更新，還是有可能曝險。</p> <p>資料來源</p> <p>1. <a href="https://www.rapid7.com/blog/post/2023/07/17/etr-active-exploitation-of-multiple-adobe-coldfusion-vulnerabilities/">https://www.rapid7.com/blog/post/2023/07/17/etr-active-exploitation-of-multiple-adobe-coldfusion-vulnerabilities/</a><br /> 2. <a href="https://webcache.googleusercontent.com/search?q=cache:ZY3xxeBiSEoJ:https://blog.projectdiscovery.io/adobe-coldfusion-rce/&cd=10&hl=en&ct=clnk&gl=us">https://webcache.googleusercontent.com/search?q=cache:ZY3xxeBiSEoJ:https://blog.projectdiscovery.io/adobe-coldfusion-rce/&cd=10&hl=en&ct=clnk&gl=us</a></p> <p><a href="https://www.bleepingcomputer.com/news/security/zimbra-urges-admins-to-manually-fix-zero-day-exploited-in-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">郵件伺服器系統Zimbra出現零時差漏洞，此漏洞已被用於攻擊行動</span></strong></a></p> <p>電子郵件及協作平臺Zimbra指出，他們發現8.8.15版軟體存在安全漏洞（尚未取得CVE編號），有可能影響資料的機密性與完整性，並將於7月份的更新程式進行修補。在更新程式推出之前，該公司也提供緩解措施，呼籲IT人員應儘速套用來因應此弱點。</p> <p>雖然Zimbra沒有進一步說明漏洞細節，但通報此漏洞的Google威脅情報小組（TAG）透露，這是跨網站指令碼（XSS）漏洞，研究人員是在調查一起針對性攻擊事件得知，換言之，它已是被用於攻擊行動的零時差漏洞。</p> <p>資料來源</p> <p>1. <a href="https://info.zimbra.com/security-update-zimbra-collaboration-suite-version-8.8.15-important">https://info.zimbra.com/security-update-zimbra-collaboration-suite-version-8.8.15-important</a><br /> 2. <a href="https://twitter.com/maddiestone/status/1679542322772721664">https://twitter.com/maddiestone/status/1679542322772721664</a></p> <p><a href="https://www.mandiant.com/resources/blog/infected-usb-steal-secrets"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Sogu、Snowydrive透過USB裝置散布</span></strong></a></p> <p>資安業者Mandiant揭露惡意軟體Sogu及Snowydrive的攻擊行動，其共通點是透過USB儲存裝置來進行散布。</p> <p>散布Sogu的是中國駭客組織Mustang Panda（該公司稱為TEMP.Hex），他們鎖定歐洲、亞洲、美國的營造、商業服務、政府機關、公共衛生、交通、零售業而來，一旦使用者不慎將惡意USB裝置連接電腦，電腦就會執行惡意程式PlugX，解密後門程式Sogu，然後竊取受害電腦機密檔案、輸入的按鍵內容，並截取螢幕截圖。</p> <p>而在另一起使用Snowydrive的攻擊行動裡，駭客組織UNC4698針對亞洲石油與天然氣業者而來，目的是在受害系統執行惡意酬載。研究人員指出，一旦目標電腦載入了Snowydrive，該惡意程式就會在電腦部署後門程式，讓攻擊者可遠端下達系統層級的命令。此外，該惡意程式還會透過其他USB儲存裝置散布。</p> <p><a href="https://arxiv.org/pdf/2307.03958.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">8.5%的Docker映像檔含有私鑰、API密鑰或其他敏感資訊</span></strong></a></p> <p>德國亞琛工業大學（RWTH Aachen University）研究人員分析了來自Docker Hub及其他8,076個私有Docker倉庫的337,171個映像檔，發現當中有28,621個映像檔含有機密資訊，包括52,107個有效私鑰、3,158個API密鑰，以及其他的敏感資訊，這些曝險的映像檔占總數8.5%。</p> <p>其中，Docker Hub映像檔外洩機密資訊的比例為9.0%，私有儲存庫則是6.3%。而在這些曝露的機密資訊當中，95%私鑰與90%的API密鑰僅出現於單一使用者的映像檔，研究人員推測很有可能是無意造成的洩露。</p> <p>而對於這些資料曝露所影響的範圍，研究人員指出，他們發現有22,082個憑證與前述曝光的私鑰有關，其中有7,546個是CA簽署的私有憑證，1,060個為該單位簽署的公共憑證。</p> <p><a href="https://www.ft.com/content/ab62af67-ed2a-42d0-87eb-c762ac163cf0"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">一字之差！逾10萬原應寄至美國軍方的電子郵件，恐因網域名稱錯誤而傳至敵對的馬利共和國</span></strong></a></p> <p>根據金融時報的報導，近10年寄給美國軍方的電子郵件當中，不斷出現有人誤植收信人的電子郵件信箱而可能外洩機密。因為有很多人將頂級網域名稱.mil誤用.ml，所以，不慎把相關機密寄給與俄羅斯關係密切的西非國家馬利共和國，而這些寄錯的電子郵件數量累計近11.7萬封。</p> <p>荷蘭企業家Johannes Zuurbier指出，他與馬利共和國於2013年簽署合約，取得此網域名稱10年控制權，近日即將歸還，他這10年收到寄錯的信件裡，雖然沒有被列為機密等級的郵件，但部分信件內含敏感資料，例如：X光片或醫療資料、身分證明文件、船員名單、基地的員工名單、基地照片、設施地圖、海軍檢查報告，或是官員行程等。他今年還收到美國陸軍參謀長James McConville參訪印尼的行程資料，信中列出了隨行人員及住宿房間號碼。</p> <p>對此，美國國防部發言人向金融時報坦承此事，他們將對內部人員進行相關教育訓練，並攔截所有寄送到.ml網域的信件，但此舉仍無法防範合作廠商出錯的情形。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.wordfence.com/blog/2023/07/massive-targeted-exploit-campaign-against-woocommerce-payments-underway/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">WordPress電子商城付款外掛WooCommerce Payments漏洞出現攻擊行動</span></span></strong></a></p> <p><a href="https://thehackernews.com/2023/07/hackers-exploit-webapk-to-deceive.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客濫用WebAPK誘騙安卓用戶安裝惡意程式</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/jumpcloud-discloses-breach-by-state-backed-apt-hacking-group/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">企業軟體業者JumpCloud證實遭到國家級駭客入侵</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/fake-linux-vulnerability-exploit-drops-data-stealing-malware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體NoEscape一個月有10個組織受害，疑為Avaddon東山再起</span></span></strong></a></p> <p><a href="https://www.cna.com.tw/news/aipl/202307110164.aspx"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為因應可能會出現的網路攻擊，國防部將動員民間資安人才參與漢光演習</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157828">【7月17日】駭客打造專門用於網路犯罪的AI語言模型WormGPT，可製作更具說服力的惡意郵件</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157789">【7月14日】 Windows舊版驅動程式簽章相容性政策遭濫用，駭客拿來打造惡意驅動程式，突破端點電腦資安防護</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157762">【7月13日】惡意軟體PyLoose挾持雲端工作負載的運算資源，挖掘門羅幣</a></strong></p> </div></div></div>
2023/7/18 18:07作者周峻佑https://www.ithome.com.tw/news/157850
金管會正式公布開放銀行第三階段最新進度，最快明年初開放上路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會今天宣布，目前，銀行公會和財金公司已分別函報開放銀行第三階段相關規範，金管會預計今年底前完成核備，開放業者申請，開放銀行第三階段最快明年初就能上路。</p> <p>銀行局副局長林志吉表示，考量第一階段及第二階段資料查詢量已穩定成長，今年一月中請銀行公會洽商財金資訊公司，研議第三階段業務面相關自律規範和技術及資安標準。目前，銀行公會已函報第三方服務業者合作的自律規範，財金公司也已函報Open API的技術及資安標準。金管會表示，相關規範預計年底核備完成，之後取決銀行與合作方相關測試連線步調，最快明年初就能開放服務上線。</p> <p>依照財金公司規畫第三階段「交易面資訊」API的開放，規畫將提供消費者存款、貸款、信用卡、支付、手機門號轉帳等五大類服務，共35項服務內容。和第二階段差別在於，現今消費者僅能在TSP的App上查詢銀行存款帳戶餘額、交易明細等資訊。第三階段上路後，消費者將能在第三方服務提供者（TSP）的App，透過相關身分認證及授權同意程序進行交易與支付。</p> <p>林志吉表示，目前已確定財金公司規畫的資安技術標準可以配合時程，傾向要求TSP業者依照相關技術標準申請加入第三階段服務。由於第三階段開放項目涉及客戶資金移轉，個資保護更為重要，未來若發生資安事件，對客戶權益影響更勝於前兩階段。因此，金管會表示，將會審慎檢討銀行公會和財金公司提出的相關規範。</p> </div></div></div>
2023/7/18 17:31作者李昀璇https://www.ithome.com.tw/news/157843
如何提升SOC防護水準？可借助SOC-CMM成熟度評估，從5大領域面向著手分析
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，資安監控維運中心（SOC）的重要性已不言而喻，因應網路威脅的持續演進，現代SOC的能力也隨之提升，從傳統針對日誌記錄收集與規則示警，朝向更積極監控、快速偵測、預防與回應發展，如今各界建置或使用SOC的需求，也越來越明朗。</p> <p>例如，我國政府積極建置領域SOC，大型企業同樣因應安全威脅而自建SOC，對於力有未逮的中型或小型企業而言，也能透過SOC協同維運或是SOC委外方式，來做到資安威脅監控與檢測，資安風險評估與管理，威脅情報分析與處理，以及資安事件反應與管理。</p> <p>更重要的是，這幾年，不論上市上櫃公司資通安全管控指引與金融資安行動方案，都開始要求公司必須建立SOC，然而，有SOC就夠了嗎？許多人思考這議題時，可能會聯想到政府近年要求設置資安長的情形，因為，實務上，規範不只是為了能找人來擔任資安長一職，大家還會關心如何幫助提升資安長的稱職度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E4%B8%BB%E5%9C%96%EF%BC%89SOC-CMM_%E6%94%9D%E5%BD%B1iThome.jpg" style="width: 280px; float: right;" /></p> <p>關於SOC成效與水準該如何看待，資誠智能風險管理諮詢執行董事唐雍為在今年5月臺灣資安大會演講，談到檢視狀態的方法。他認為，SOC並不只是有了就好，同時，也必須要有SOC成熟度評估的概念，若能善用可幫助企業提升SOC防護水準的參考工具，大家面對建置SOC的風險與挑戰時，可以更有方向，而這個工具就是SOC-CMM模型。</p> <p>6月中旬，我們注意到SOC-CMM模型發布新版本v2.3，顯示該模型亦在持續發展更新。</p> <h2><strong>有益於檢視SOC成效，找出瓶頸與改進方向</strong></h2> <p>究竟了解SOC成熟度有何好處？SOC-CMM模型又是什麼？唐雍為指出，對於重視資訊安全風險的企業而言，規畫SOC建置已是必需，但建立SOC又會面臨許多挑戰，因此，藉由SOC成熟度評估，最大助益就能夠幫助企業了解現況，知道現有SOC做得如何，確認本身已達到的成熟度階段，有助於確定未來發展與提升的方向。</p> <p>接下來，企業就可以評估目標、評估優先處理的問題。因為掌握現況後，就能得知本身SOC的強項與弱點，藉此確定目標，從人員、流程、技術和管理等方面，制定出適合自身的SOC建立策略，然後評估存在問題的風險，決定出優先處理的關鍵，以提高防護水準。</p> <p>不僅如此，在SOC成熟度評估的應用上，還能用於找出SOC目前存在的無效率活動，提升安全營運效率。</p> <p>唐雍為表示，SOC-CMM模型與大家普遍熟知的CMMI之間，有些共通的地方，因為都採用類似的評量方式，可評估我們建立的SOC的有效運作與效益。基本上，這套模型是從CMMI模型衍伸出來，CMMI是美國卡內基美隆大學軟體工程學院（Software Engineering Institute，SEI）提出。</p> <p>為了更進一步理解當中的內容，而我們也趁報導這項議題的機會，仔細閱讀SOC-CMM的文件，看到裡面有相當充分的說明。</p> <p>例如，我們因此更清楚地知道，SOC-CMM源自瑞典呂勒奧理工大學（LTU）資訊安全碩士Rob van Os，他依據CMMI模型而衍生發展這個模型，目前SOC-CMM已發布7年之久，從原本的論文研究項目，後續發展成功能完善SOC自我評估工具，Rob van Os也為此設立<a href="https://www.soc-cmm.com/products/soc-cmm/">專屬的網站介紹該模型，並提供工具與白皮書的下載</a>。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89SOC-CMM_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p><strong>SOC-CMM模型存在的主要目的，是幫助組織評估和提高SOC的成熟度，當中定義5個成熟度階段，從Level 1到Level 5來看，依序是初始、重視、定義、管理，以及優化階段。（攝影／羅正漢）</strong></p> <h2><strong>定義5個成熟度等級，促進SOC往更高層次邁進</strong></h2> <p>基本上，SOC-CMM如同成熟度與能力的自我評估表，畫分5個成熟度等級與階段，分別為初始階段、重視階段、定義階段、管理階段，以及最高Level 5的優化階段。</p> <p>關於SOC-CMM成熟度評估的階段定義，唐雍為提出更清楚的說明。</p> <p>以「初始階段」而言，組織對安全事件的應對和管理，多數是有刺激才有反應的，也就是「發生一個資安事件、處理一個資安事件」這樣的因應模式。</p> <p>而在「重視階段」，組織開始構建SOC、建立基礎的事件應對流程。這時期或許不見得有SIEM的導入，可能還停留在口述指派作業的階段，例如老鳥將過去調查方法與經驗，交接給菜鳥，去做基本的Log調查，查不到就沒有事情了。</p> <p>到了「定義階段」，開始建立出明確的安全事件管理流程，SOC開始自動化和標準化關鍵的應對流程。</p> <p>也就是說，這時公司已經定義出明確的標準作業流程（SOP），以後若發生類似的事件或是發生事件，就按照SOP來作基本調查與處裡；然後是「管理階段」，SOC已實現更高度的自動化和標準化，有更好的分析和監控技術和解決方案，等於已發展出控制架構，有一定程度的自動化和標準化。</p> <p>至於最高的「優化階段」，就是透過AI引擎、數據分析與預測模型等技術手段，達到主動預測與發現安全威脅。唐雍為認為，以最高階段而言，目前不容易達到，可能要非常頂尖的公司或單位，才能勉強達到此階段的邊界。</p> <h2><strong>如何評估SoC能力？從5大領域與26個構面完整分析</strong></h2> <p>針對SOC-CMM的細部內容，唐雍為也做出簡要說明。</p> <p>從這個模型的成熟度評估問卷內容也可以看出端倪，當中主要由5大領域與26個構面題組組成。具體而言，此評估從5大領域面向著手，包括：業務、人員、流程、技術，以及服務。而在每個評估領域之下，包含4到7個題組項目，以及72個到177個回答細項。</p> <p>唐雍為表示，透過每個構面題組中的多個問題，不只能讓大家了解這套模型的評估方式，同時，也能幫助企業更深入理解，掌握邁向高成熟度SOC所需重視的各個環節。</p> <p>若能實際檢視SOC-CMM評估表內容，我們認為，大家對於SOC強化能有更清楚的瞭解。單就領域與構面的項目而言，可看出應考量的多個層面，而從每個評估問題，將可以看出應該要做的事情，或是該注意的情形。換言之，如同一份檢視SOC運作能力的檢查清單。</p> <p>特別的是，由於整體評估問題相當多，因此唐雍為挑出一些重點，讓大家快速了解此評估模型的重點。</p> <h3><strong><span style="color:#B22222;">1.業務領域</span></strong></h3> <p>這部分有5個題組（構面）：業務驅動、客戶、章程、治理、隱私管理。唐雍為指出，這方面的重點在於，了解業務是SOC的第一步。</p> <p>例如，在業務驅動項目的問題中，其中一項就是「是否記錄主要業務驅動因素？」意思是：SOC是否監控到核心的商業流程。畢竟SOC所要監控保護的對象，就是公司核心業務，若監控目標有誤，等於沒有意義。</p> <p>此外，他還列出一些常見的不足之處或現況，提醒大家重視。包括：未妥善了解SOC與業務的關係，委外SOC產出的報告沒有透過合約定義，SOC運作成本規畫未妥善定義，SOC與法律部門沒能合作，以及SOC相關資安政策未制定等。</p> <h3><span style="color:#B22222;"><strong>2.人員領域</strong></span></h3> <p>當中有5個題組：員工、角色及組織架構、人力資源管理、知識管理、訓練及教育。唐雍為直言，這評估顯示了人力資源配置是一門藝術。</p> <p>例如，員工題組的第一個問題，就是「SOC中有多少正職員工？」這是因為，組織採用的正職員工、外部員工數量，其實多少都會影響到SOC的狀況；工作輪換計畫、職業發展流程的制定也要特別注意，因為組織訓練好的專家，若是日後不願意7x24輪班，未來能提供什麼樣的工作輪換，以及職涯發展等，都必須先能夠考量，否則容易出現人員離職、跳槽的情況。</p> <p>其他需留意的情形，包括：資安單位人員與SOC人員角色混亂，部分SOC職能未分派職位說明書，以及未定義各SOC角色應有的技能。</p> <h3><span style="color:#B22222;"><strong>3.流程領域</strong></span></h3> <p>此處有5個題組：管理、維運與設施、匯報、使用案例管理、偵測工程與驗證。</p> <p>簡單來說，流程面的最大重點是，SOC需要獨立於公司環境，不論是實體環境，甚至網路環境，他都建議要跟公司的標準環境切開。</p> <p>同時，還要注意下面幾種狀況，像是SOC管理流程不夠健全或過於分散，未採用Mitre ATT&CK架構進行分析，資訊安全測試不在測試計畫中。</p> <h3><span style="color:#B22222;"><strong>4.技術領域</strong></span></h3> <p>這裡的評估題組涵蓋4大工具使用情形，包含：資安事件管理工具（SIEM Tooling）、入侵偵測防禦系統工具（IDPS Tooling）、資安事件分析工具（Security Analytics Tooling）、自動化與整合工具（Automation & Orchestration Tooling）。</p> <p>值得注意的是，我們在評估表的介紹中，發現裡面也會將上述這4大工具，分別對應為SIEM/UEBA、NDR、EDR，以及SOAR。</p> <p>基本上，資安設備管理是技術面的最大重點，唐雍為指出有兩點需特別注意。</p> <p>例如，所有解決方案的配置跟資料都應該要有備份。他表示，像是將本身的日誌記錄提供給廠商進行分析，若廠商遭駭而使資料被刪除，恐導致日誌無法分析，所以，日誌也是需要備份，但臺灣的企業與組織能做到這點的比例算低；再者，關於訂定解決方案的災難復原計畫，大部分企業可能是涉及業務的ERP這類系統有災難復原計畫，但對於SIEM的使用，可能並沒有災難復原計畫。</p> <p>同時，也要注意，是否存在SIEM管理者不明的狀況？是交由資訊還是資安單位或人員負責？以及支援廠商無法提供訓練證明？是否單位本身營運持續計畫（BCP）的演練有將SOC相關委外廠商納入等。</p> <h3><span style="color:#B22222;"><strong>5.服務領域</strong></span></h3> <p>這部分有7個題組，包含：安全監控、資安事件管理、安全分析與鑑識、威脅情資、威脅獵捕、弱點管理、日誌管理。</p> <p>服務面的最大重點，就是服務水準的評估。唐雍為解釋，是否定出標準而能證明自身的SOC水準足夠、達到設定目標，相當重要。</p> <p>還有一些狀況也都是服務面常見缺乏的元素，應盡早納入規畫與考量，像是威脅情報營業時間的定義，外部單位營業時間不符合需求的狀況，與外部單位間缺乏明確合約定義服務水準，沒有定義安全分析的標準流程及品質管理，以及系統上線沒有考慮對於日誌管理的衝擊，缺乏內外部威脅追蹤的執行單位等。</p> <p><a href="https://s4.itho.me/sites/default/files/images/資誠說明SOC-CMM_05_圖片來源資誠.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E8%AA%A0%E8%AA%AA%E6%98%8ESOC-CMM_05_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E8%B3%87%E8%AA%A0.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/資誠說明SOC-CMM_01_圖片來源資誠.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E8%AA%A0%E8%AA%AA%E6%98%8ESOC-CMM_01_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E8%B3%87%E8%AA%A0.jpg" style="width: 145px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/資誠說明SOC-CMM_02_圖片來源資誠.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E8%AA%A0%E8%AA%AA%E6%98%8ESOC-CMM_02_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E8%B3%87%E8%AA%A0.jpg" style="width: 145px;" /></a><a href="https://s4.itho.me/sites/default/files/images/資誠說明SOC-CMM_03_圖片來源資誠.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E8%AA%A0%E8%AA%AA%E6%98%8ESOC-CMM_03_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E8%B3%87%E8%AA%A0.jpg" style="width: 145px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/資誠說明SOC-CMM_04_圖片來源資誠.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E8%AA%A0%E8%AA%AA%E6%98%8ESOC-CMM_04_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E8%B3%87%E8%AA%A0.jpg" style="width: 145px;" /></a> </p> <p><strong>關於SOC-CMM的問題項目，資誠智能風險管理諮詢執行董事</strong><strong>唐雍為特別節錄部分內容，讓大家能快速了解評估項目，以「服務」領域為例：是否採用安全事件管理的成熟度評估方法？是否定義威脅情報的營業時間？是否定義弱點管理的服務輸出？SOC與客戶間是否有合約協議？同時他也特別點出常見欠缺元素。（圖片來源／資誠）</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3s）SOC-CMM.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963s%EF%BC%89SOC-CMM.jpg" style="width: 600px;" /></a></p> <p><strong>我們也實際檢視SOC-CMM成熟度評估表的內容，用戶可在SOC-CMM官方網站下載這樣的評估表，當中提供了Excel檔案格式可直接下載使用，答題時可藉由可以下拉式選單或輸入來回應。 </strong><strong>目前此評估表最新為2023年6月中旬發布的2.3版，並分為廣泛適用的SOC-CMM basic，以及適合有經驗用戶使用的SOC-CMM advanced，後者可對優先級別排序。</strong></p> <h3><strong>根據評估結果改進與優化，以提高安全營運能力</strong></h3> <p>過去SOC的衡量偏重在事件處理效率，可能有失焦問題存在。唐雍為指出，從5大領域26個構面評估SOC成熟度後，最大價值就是讓我們有目標，有助於某種程度上的量化，知道未來SOC強化的下一步在哪裡，或是做什麼最有效益。最簡單的例子，像是上述問項之前有些回答是NO，未來如何改進讓回答變成YES，以及從評估結果發現落差最大的構面，知曉自身改進最有效益之處等。</p> <p>最後，唐雍為提醒，在完成SOC成熟度評估之後，我們需要做的事很簡單，就是制定改進計畫、實施改進計畫，以及建立持續改進機制。而這樣的過程，其實，是與ISMS架構戴明的PDCA循環追求的目標一致，才能讓我們的SOC朝向更高層次邁進，以應對不斷增長的資安威脅，甚至有助於重塑企業資訊安全策略。</p> <p>同時，組織也可藉助第三方平臺來執行成熟度評估，這麼做的用意也就是運用「相對分數」的觀念——除了自身持續精進，也要了解自己是否處於業界前段班，或是與同產業其他業者的差距。</p> <p> </p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）SOC-CMM.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89SOC-CMM.jpg" style="width: 600px;" /></a></p> <p><strong>SOC-CMM評估表涵蓋5大領域與26個構面，作答完後將得到量化後的結果，並會將每一構面的成熟度分數以雷達圖方式來呈現。另外也能根據NIST CSF網路安全框架，輸出SOC-CMM測量的SOC成熟度的結果。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89SOC-CMM_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90IGLOO%20Security.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89SOC-CMM_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90IGLOO%20Security.jpg" style="width: 600px;" /></p> <p><strong>關於SOC-CMM的使用範例，我們在網路上找到韓國資訊安全管理公司IGLOO Security曾發布上述圖片，說明SOC-CMM評估後的結果樣貌，進而以可視化展現成熟度改進的構面。（圖片來源／IGLOO Security）</strong></p> <p> </p> <p> </p> <h2 class="rtecenter"><span style="color:#0099ff;"><strong>SOC運作面臨的5大挑戰</strong></span></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88BOX1%E5%9C%96%EF%BC%89SOC-CMM.jpg" style="width: 280px; float: right;" /></p> <p>關於SOC運作的難題，資誠智能風險管理諮詢執行董事唐雍為列出5大挑戰，分別是：錯誤警報與實際事件被錯誤地排除，攻擊者使用大量垃圾訊息與攻擊來混淆SOC的視線，同時，隨威脅演進需要保持對最新的威脅情報的關注，建立專業安全團隊與人才培訓，導入最新的安全技術來檢測和防禦威脅，這些都需要有一定程度的投資，畢竟情報並不是免費，人員培訓也要大量的時間與資源，即便外包也要面對新的風險與挑戰，而最新安全技術導入也要有足夠專業知識來運用。（圖片來源／資誠）</p> <p> </p> <h2 class="rtecenter"><span style="color:#0099ff;"><strong>外包SOC的考量</strong></span></h2> <p><a href="https://s4.itho.me/sites/default/files/images/（BOX2表格）SOC-CMM.jpg" style="text-align: center;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88BOX2%E8%A1%A8%E6%A0%BC%EF%BC%89SOC-CMM.jpg" style="width: 480px; float: right;" /></a></p> <p>資誠智能風險管理諮詢執行董事唐雍為指出，企業在考慮外包SOC時，除了瞭解外包所帶來的多項優點，例如專業知識、即時響應、成本效益等，但是，企業也該有所認知的是，外包同時會帶來不少風險。畢竟，管理議題與風險威脅不會隨著外包不見，只是轉換成不同的面向。</p> <p>對於企業組織而言，需考量面向涵蓋五大風險類型：資料安全風險、合規風險、管理風險、服務水準風險，以及供應商風險。因此，不論仔細評估供應商的能力與信譽，確保契約細節清晰明確，以及資料隱私保護等方面的風險管理策略的落實，都是必要考量。</p> <p>我們會後也繼續向唐雍為請教，他再強調一點，企業組織必須要有委外的責任意識，必須了解不是委外後就沒有責任，而且，挑選服務供應商亦可從成熟度出發，像是從SOC-CMM的評估要素來看，某些項目一定要達到自己最低要求，才會合格成為挑選標的，而不是只有從價碼來考量。</p> </div></div></div>
2023/7/18 16:00作者羅正漢https://www.ithome.com.tw/news/157820
CISA發表可協助保護雲端環境的5項免費工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cisa.gov/resources-tools/resources/free-tools-cloud-environments" target="_blank">美國網路安全暨基礎設施安全局（CISA）本周發表了5項免費工具</a>，以協助組織捍衛雲端環境的安全，涵蓋用來評估網路安全的The Cybersecurity Evaluation Tool（CSET），協助安全配置的SCuBAGear，於微軟環境中進行防禦的Untitled Goose Tool，用來理解駭客行為的Decider Tool，以及由JPCERT所開發的記憶體鑑識環境建置工具Memory Forensic on Cloud。</p> <p>CISA指出，在衡量組織的安全狀態時，資產評估與管理非常重要，且在混合雲的環境中，組織與雲端服務供應商將同時擔負保護這些重要資產的責任，雲端服務供應商皆已內建安全能力以讓客戶強化雲端環境的安全性，組織除了應該利用這些內建功能外，也可利用由CISA及其合作夥伴共同打造的免費工具來補充現有的安全功能。</p> <p>簡單地說，CISA本周釋出的工具是用來與雲端服務內建的安全機制互補的。</p> <p>其中，<a href="https://github.com/cisagov/cset" target="_blank">CSET</a>是基於產業標準、框架與建議，以協助組織衡量其企業與資產的安全狀態，它會詢問組織所使用的系統元件、架構、營運政策與程序，接著產生報告並提出安全建議。</p> <p class="rtecenter"><a href="http://github.com/cisagov/cset" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0718-CISA-CSET-Cyber%20Security%20Evaluation%20Tool-1.png" style="width: 450px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_CISA</span></span></p> <p><a href="https://github.com/cisagov/ScubaGear" target="_blank">SCuBAGear</a>原本是用來比較美國聯邦文職行政部門（Federal Civilian Executive Branch，FCEB）及CISA的Microsoft 365配置基準建議，以指導這些FCEB機構如何設定安全的雲端應用環境。CISA說，雖然SCuBAGear原本是為了FCEB量身打造的，但它所提供的安全指南適用於所有處於雲端環境中的組織。</p> <p class="rtecenter"><a href="http://github.com/cisagov/ScubaGear" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0718-CISA-SCuBAGear.png" style="width: 600px;" /></a></p> <p><a href="http://github.com/cisagov/cset" target="_blank"></a><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源_CISA</span></span></p> <p><a href="https://github.com/cisagov/untitledgoosetool" target="_blank">Untitled Goose Tool</a>專門用來偵測Microsoft Azure、Azure Active Directory（AAD）與Microsoft 365等微軟雲端環境中的潛在惡意活動。<a href="https://github.com/cisagov/decider" target="_blank">Decider Tool</a>可用來將攻擊行為與MITRE ATT&CK框架進行比對，引導並協助組織找到正確的策略與技術。</p> <p class="rtecenter"><a href="http://github.com/cisagov/untitledgoosetool" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0718-CISA-Untitled%20Goose%20Tool-600.png" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px; text-align: center;">圖片來源_CISA</span></p> <p><a href="https://github.com/JPCERTCC/MemoryForensic-on-Cloud" target="_blank">Memory Forensic on Cloud</a>則是來自日本JPCERT Coordination Center的貢獻，它可在AWS上建置一個記憶體鑑識環境，它利用AWS資源與Volatility 3開源框架來分析Windows作業系統的記憶體映像。</p> <p class="rtecenter"><a href="github.com/JPCERTCC/MemoryForensic-on-Cloud" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0718-CISA-Memory%20Forensic%20on%20Cloud.png" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px; text-align: center;">圖片來源_CISA</span></p> </div></div></div>
2023/7/18 16:25作者陳曉莉https://www.ithome.com.tw/news/157840
臺灣終於有統一的企業ESG資訊查詢平臺！證交所推出ESG InfoHub，可以統一查詢各家上市公司的ESG數據
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>證交所近日正式推出ESG資訊平臺ESG InfoHub，讓投資人或企業可以更容易查詢產業、個別上市公司的相關ESG資訊，不需要到個別公司官網才能查詢。這意味著，臺灣終於有一個統一企業ESG資訊查詢平臺了，而且還可以很容易跨產業、跨公司別進行比較，以此作為持續改善ESG的依據。不過目前該平臺主要收錄了2021-2022年上市公司提交的永續報告書的資訊，還沒包含2023年的資訊</p> <p>證交所新推出的ESG InfoHub平臺，現在已經可以透過（<a href="https://esg.twse.com.tw/">https://esg.twse.com.tw/</a> ）這個網址來使用。證交所將各家申報編制的永續報告書轉為統一格式的數位化資訊，並集中到這個平臺來提供，這些資訊包含了溫室氣體排放、減量以及相關ESG資訊，方便投資者、其他利害關係者或企業方便查找和比較公司的ESG資訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap36.png" style="width: 600px;" /></p> <blockquote><p>在ESG資料庫中，還提供了一個上市公司ESG儀表板，可以依據年分、產業來比較上市櫃公司2021和2022年的ESG數據，包括個別公司在ESG方面數據，也能跨產業、跨公司進行比較，且且可以針對E、S和G的資訊各別查詢及比較。</p> </blockquote> <p>在ESG InfoHub平臺中主要提供了4大功能，分別為Market Highlights 、ESG資料庫、ESG商品資訊，與溫室氣體盤查。其中透過Market Highlights，可以看到臺灣上市公司近期在ESG發展的重點變化，包括永續報告書、溫室氣體、公司治理、平等與多元、盡職治理及綠色金融等。例如，2022年編製永續報告書上市公司有327家，占整體市場的33.68％，至於已揭露範疇一與範疇二排放量之企業家數則有573家，占整體市場的59.01％。</p> <p>在ESG資料庫中，還提供了一個上市公司ESG儀表板，可以依據年分、產業別來比較上市公司2021和2022年的ESG數據，包括個別公司在ESG方面數據，也能跨產業、跨公司進行比較，且且可以針對E、S和G的資訊各別查詢及比較。</p> <p>像是跨產業比較時，還可進一步選擇排碳大戶的產業，或是自選產業，來了解不同產業之間在溫室氣體排放量的差異，包括直接溫室氣體(範疇一)排放量或能源間接溫室氣體(範疇二)，但不包含範疇三的資訊，另外還可以按照優先度進行排序。</p> <p>除了碳排放量的資訊外，使用者也能查看用水量及廢棄物等環境資訊，或是社會面向的資訊，如女性主管比例、職業災害人數、員工薪資等，以及公私治理方面的資訊等<br /> 訊</p> <p>ESG InfoHub還提供了ESG商品的專頁，可以快速查看企業永續相關指數或是ESG指數化商品，另外還有提供國內外資源、溫室氣體盤查規範及相關指引，協助投資人和企業更容易了解和使用ESG相關資訊，作為ESG投資及永續轉型的參考資料。</p> </div></div></div>
2023/7/18 15:03作者余至浩https://www.ithome.com.tw/news/157835
打錯字！10年來有超過11萬封要寄給美國軍方.mil的郵件寄到了.ml
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ft.com/content/ab62af67-ed2a-42d0-87eb-c762ac163cf0" target="_blank">《金融時報》（Financial Times，FT）</a>本周報導，這10年來不斷地有人把要寄給美國軍方.mil的郵件寄到了.ml，明顯是打錯字，這些寄錯的郵件有些來自與美國軍方合作的旅行社，有些來自美國軍方的承包商，內容從公事到私事都有，總數接近11.7萬封。</p> <p>.ml為西非國家馬利共和國（Mali）的頂級網域名稱，荷蘭企業家Johannes Zuurbier在2013年與該國簽署合約，取得了該網域名稱的10年控制權，Zuurbier手上也握有其它非洲國家的頂級網域名稱管理權。</p> <p>Zuurbier之所以會向《金融時報》爆料，是因為他在這10年來持續地嘗試向美國提出警告，卻仍一直收到寄錯的郵件，最近還在一天之內收到近千封，且Zuurbier本周就會把.ml的所有權交還給馬利共和國，而該國與俄羅斯關係密切，擔心這些寄錯的郵件會落入對方手中。</p> <p>Zuurbier收到各種原本要寄給美國軍方的郵件，雖然當中的絕大多數是垃圾郵件，也沒有被列為機密等級的郵件，但有些郵件還是內含敏感資訊，例如X光片或醫療數據、身分文件、船員名單、基地的員工名單、基地照片、設施地圖、海軍檢查報告，或是官員的旅行行程等。今年還收到美國陸軍參謀長James McConville參訪印尼的行程，該郵件亦列出了隨行人員與房間號碼。</p> <p>至於美國國防部發言人則向《金融時報》表示，他們已得知此事，並在內部進行教育訓練，同時也採取了預防措施，只要是從.mil網域要寄至.ml的信件都會被攔截，同時提醒寄件人確認收件信箱。不過，美國國防部可能無法控制合作廠商把收件者郵件信箱打錯的問題。</p> </div></div></div>
2023/7/18 12:20作者陳曉莉https://www.ithome.com.tw/news/157833
研究人員分析逾33萬個Docker映像檔，發現當中的8.5%含有秘密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://arxiv.org/pdf/2307.03958.pdf" target="_blank">來自德國亞琛工業大學（RWTH Aachen University）的4名研究人員在近日發布的論文中指出</a>，他們分析了來自公共倉庫Docker Hub及其它8,076個私有Docker倉庫的337,171個映像檔，發現當中的28,621個映像檔含有秘密，包括私鑰、API秘密與其它敏感資訊等，占所分析總數的8.5%。其中，Docker Hub映像檔外洩秘密的比例為9.0%，私有倉庫則是6.3%。</p> <p>研究人員自這些倉庫中總計發現了52,107個私鑰及3,158個外洩的API秘密，同時它們也帶來了真正的安全威脅。</p> <p>調查顯示，在外洩的3,158個不同API秘密中，有2,920個隸屬於雲端服務供應商，包括AWS API（1,213個秘密）、Alibaba API（177個秘密），還有超過200個API秘密涉及社交網站，另有25個秘密與Stripe API有關。這些API秘密或許是身分認證憑證，或許是存取權杖，將允許駭客假冒使用者身分、任意操縱資料、濫用服務、執行憑證填充攻擊，或者是注入惡意程式等。</p> <p>在外洩的私鑰中，由通用憑證管理中心所發行的1,060個憑證便仰賴其中的某些私鑰，另有超過27萬臺的主機正在使用這些外洩私鑰，以於TLS及SSH協定環境中進行身分認證。</p> <p>值得注意的是，有許多私鑰是在建立容器映像檔的程序中，因為安裝封包而自動產生的。由於容器映像檔既可攜，又能於不同的環境中分享，使得同樣的金鑰也會被複製到不同的容器中，倘若駭客於其中一個容器取得金鑰，便有機會危害所有使用同樣金鑰的容器。</p> <p>除了自動產生的私鑰之外，部分缺乏危機意識的使用者是故意將秘密置放於映像檔中，亦有些第三方封包預設即含有秘密，則很容易被使用者忽略。此外，有些私有倉庫的映像檔含有敏感軟體，還有些私有倉庫沒有限制寫入權限。</p> </div></div></div>
2023/7/18 10:56作者陳曉莉https://www.ithome.com.tw/news/157831
【資安日報】7月17日，駭客打造專門用於網路犯罪的AI語言模型WormGPT，可製作更具說服力的惡意郵件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客利用生成式語言模型產生用於網路釣魚、商業郵件詐騙（BEC）攻擊的情況，不少是利用紅極一時的ChatGPT，產生相關信件的內容。但最近有人在網路犯罪論壇推出專為駭客量身打造的AI工具WormGPT，研究人員進行驗證後發現其威力極為強大，不僅產生出來的信件內容幾乎沒有什麼瑕疵，就連郵件安全系統也難以偵測出攻擊特徵。</p> <p>Meta甫推出的社交平臺Threads並未在歐洲地區提供服務，也成為駭客用來發動攻擊的目標。有開發人員發現，駭客假借提供此社交網站App的名義，在歐洲數個國家的蘋果App Store市集上架，且離譜的是，這冒牌App竟登上社交網站類型的第一名，顯然有不少使用者上當。</p> <p>有許多發動殭屍網路攻擊的駭客，會無所不用其極地壓榨受害電腦的各式資源，但也有人選擇低調行事，等到數年後被發現時，已形成大型殭屍網路，例如，有資安業者最近揭露的惡意軟體AVrecon攻擊行動就是如此，駭客感染逾7萬臺路由器，其規模迄今已超越惡名昭彰的QBot。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://slashnext.com/blog/wormgpt-the-generative-ai-tool-cybercriminals-are-using-to-launch-business-email-compromise-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客打造AI犯罪工具WormGPT發動商業郵件詐騙攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/WormGPT.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/WormGPT.png" style="width: 300px; float: right;" /></a>資安業者SlashNext發現，有人在網路犯罪論壇兜售名為WormGPT的工具，並聲稱是黑帽駭客界的GPT生成式語言模型，專為惡意活動設計。WormGPT是以2021年推出的大型語言模型GPT-J打造而成，此語言模型具備無限長度字數的支援、聊天內容保留在記憶體，以及程式碼會套用統一格式（code formatting）等特色。</p> <p>研究人員實際透過WormGPT產生用於商業郵件詐騙（BEC）的電子郵件，結果發現，該工具自動產生的信件極具說服力，且高度可信，再加上很收信人很容易信以為真，且郵件安全系統也不會將其視為有害。</p> <p><a href="https://www.hackread.com/fake-threads-app-apple-store-europe/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">冒牌Threads社交App竟登上歐洲蘋果App Store第一</span></strong></a></p> <p>Meta旗下的Instagram於7月初推出類推特社交平臺Threads，並在不到1個星期的時間內用戶數量突破1億，但因為個人資料保護的法規GDPR遵循考量，該公司尚未在歐盟地區提供服務，甚至限制歐洲使用者透過VPN存取，而這樣的情況也讓駭客有機可乘，散布惡意程式。</p> <p>iOS程式開發團隊Mysk發現，有個名為SocialKit LTD的開發者，將名為Threads for Insta的冒牌應用程式，上架到德國、法國、丹麥、西班牙的蘋果App Store市集，並登上社群網路類App第1名。蘋果獲報後，已將該開發者帳號停用，並移除其上架的多款App。</p> <p><a href="https://blog.lumen.com/routers-from-the-underground-exposing-avrecon/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體AVrecon感染逾7萬臺路由器</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AVrecon-Figure1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AVrecon-Figure1.jpg" style="width: 300px; float: right;" /></a>資安業者Lumen揭露名為AVrecon的Linux惡意軟體攻擊行動，駭客約自2021年5月開始，針對SOHO族所使用的路由器設備，植入上述的惡意程式，超過7萬臺遭到感染，其中約有4萬個IP位址（分散在超過20個國家）受到殭屍網路控制，攻擊者將這些設備用於建置家用網路代理伺服器服務，以便用於密碼噴灑攻擊、廣告詐欺、網路流量代理等行為。</p> <p>研究人員指出，攻擊者行蹤極為隱密，遭到控制的路由器，幾乎不會出現服務中斷，或是頻寬遭顯著占用的跡象，以致此惡意軟體到了2年後才再度被察覺。</p> <p>攻擊者能成功的主要原因，研究人員認為在於，使用這種路由器設備的人士往往沒有定期安裝修補程式，更不會採用EDR系統監控狀態，再加上駭客採取較為緩和的攻擊步調，而將其惡意軟體的勢力逐漸擴大，迄今規模已超越了QBot（亦稱QakBot）。</p> <p><a href="https://blog.aquasec.com/teamtnt-reemerged-with-new-aggressive-cloud-campaign"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織TeamTNT發起殭屍網路Silentbob攻擊行動</span></strong></a></p> <p>資安業者Aqua Security日前揭露了<a href="https://www.ithome.com.tw/news/157684#silentbob">針對雲端服務而來的攻擊行動Silentbob</a>，當時他們發現駭客鎖定暴露在網際網路的雲端JupyterLab伺服器和Docker API，但在研究人員深入調查後，得知駭客的攻擊範圍遠比先前更為廣泛。</p> <p>研究人員指出，發起這起攻擊的駭客組織就是TeamTNT，而且他們的殭屍網路攻擊目標，不只是Docker及Kubernetes環境，還包含了Redis記憶體資料庫、PostgreSQL資料庫、Hadoop叢集、Tomcat及Nginx網頁伺服器、微服務監控系統Weave Scope等，總共有196臺伺服器遭到感染。</p> <p>再者，攻擊者也不只有對其部署殭屍網路病毒Tsunami，研究人員還發現駭客利用Shell指令碼竊取帳密資料、部署SSH後門程式、下載額外的惡意酬載，以及濫用kubectl、Pacu、Peirates等工具於雲端環境進行偵察。此外，駭客也利用名為prochider的Rootkit隱匿挖礦的行為。</p> <p><a href="https://www.bleepingcomputer.com/news/security/source-code-for-blacklotus-windows-uefi-malware-leaked-on-github/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">UEFI惡意程式BlackLotus傳出原始碼外洩</span></strong></a></p> <p>根據資安新聞網站Bleping Computer的報導，針對執行Windows作業系統的電腦、名為BlackLotus的UEFI惡意啟動程式，有人將部分原始碼上傳到GitHub，使得研究人員有機會更進一步了解此惡意程式。</p> <p>公開原始碼的GitHub用戶Yukari指出，原始碼的內容已被修改，移除BlackLotus初期利用的安全功能繞過漏洞CVE-2022-21894（亦稱Baton Drop）程式碼，並納入UEFI Rootkit元件bootlicker。</p> <p>資安業者Binarly表示，雖然公開的原始碼並不完整，但已涵蓋了繞過安全開機（Secure Boot）機制的Bootkit程式碼，以及Rootkit元件的部分，這些外洩的程式碼很有可能被攻擊者重新改寫，與惡意程式載入工具結合，而帶來更嚴重的威脅。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.armis.com/blog/critix-9-vulnerabilities-discovered-in-honeywells-experionplatforms-for-distributed-control-systems-dcs/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Honeywell分散式控制系統DCS存在漏洞Crit.IX，若不修補恐被用於攻擊工控系統</span></strong></a></p> <p>資安業者Armis揭露名為Crit.IX的9個漏洞，CVE-2023-23585、CVE-2023-22435、CVE-2023-24474、CVE-2023-25078、CVE-2023-25178、CVE-2023-24480、CVE-2023-25948、CVE-2023-25770、CVE-2023-26597，這些漏洞存在於Honeywell旗下的Experion分散式控制系統（DCS），以及C300 DCS控制器，其中有7個達到重大風險等級，並且影響DCS當中的Experion Process Knowledge System（EPKS）、LX、PlantCruise等元件。Honeywell獲報後，已製作相關修補程式。</p> <p>研究人員主要是針對Honeywell Experion伺服器與C300控制器之間，所使用的專屬通訊協定CDA進行調查，並發現該通訊協定缺乏加密與適當的身分驗證機制，而使得任何能夠存取此種網路環境的人士，都有可能產生冒牌的控制器或是伺服器。此外，CDA協定的設計缺陷也導致資料邊界難以控制，從而導致記憶體緩衝區溢位。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.first.org/newsroom/releases/20230713"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">FIRST揭露CVSS風險評分4.0，首度針對工業控制系統與物聯網裝置提供額外評估指標</span></strong></a></p> <p>7月13日國際資安應變組織FIRST公布通用弱點評分系統（CVSS）4.0的預覽版本。相較於現行在2019年6月推出的3.1版，新版本CVSS主要是為了改善基本指標精細程度不足，且相關標準僅針對IT系統規畫，而沒有涵蓋操作科技（OT）、工業控制系統（ICS）、物聯網（IoT）裝置等面向。目前公布的4.0版FIRST將收集相關意見，並於8月31日前進行彙整，並計畫於10月1日正式啟用。</p> <p><a href="https://www.ithome.com.tw/news/157725"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Let's Encrypt將於2024年終止跨簽章支援</span></strong></a></p> <p>憑證頒發機構Let's Encrypt宣布，他們的跨簽章（Cross-Signing）即將於2024年9月30日到期，考量到該機構的根憑證已廣受信任，他們不再展延對於跨簽章的支援，提醒提醒行動裝置使用者、網站營運商與ACME用戶端作者，應該提早採取相關措施因應。該機構將於明年2月8日停止提供跨簽章，並於6月6日停止提供跨簽章鏈。</p> <p>對於執行Android 7.0版或舊版作業系統的裝置，使用者可透過Firefox Mobile繼續瀏覽採用該機構憑證的網站，而網站管理者、ACME用戶端作者的部分也要留意。Let's Encrypt表示，在移除跨簽章支援後，TLS交握所發送的憑證資料將減少40%。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-vmanage-unauthapi-sphCLYPA"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">思科SD-WAN vManage網路管理系統存在REST API漏洞</span></span></strong></a></p> <p><a href="https://https://support.citrix.com/article/CTX564169/citrix-secure-access-client-for-ubuntu-security-bulletin-for-cve202324492"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Citrix修補Ubuntu版VPN用戶端重大漏洞</span></span></strong></a></p> <p><a href="https://www.cisa.gov/news-events/alerts/2023/07/11/cisa-adds-five-known-vulnerabilities-catalog"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">CISA將Windows、Netwrix Auditor漏洞列入已遭利用名單</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/fake-linux-vulnerability-exploit-drops-data-stealing-malware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">竊資軟體假借Linux漏洞概念性驗證程式散布</span></span></strong></a></p> <p><a href="https://udn.com/news/story/7240/7293336"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為防範駭客假冒政府名義行騙，政府設置專屬簡訊平臺，預估9月底建置完成</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157789">【7月14日】 Windows舊版驅動程式簽章相容性政策遭濫用，駭客拿來打造惡意驅動程式，突破端點電腦資安防護</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157762">【7月13日】惡意軟體PyLoose挾持雲端工作負載的運算資源，挖掘門羅幣</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157742">【7月12日】微軟、Adobe、西門子、施耐德電機發布7月份例行修補</a></strong></p> </div></div></div>
2023/7/17 17:23作者周峻佑https://www.ithome.com.tw/news/157828
【資安週報】2023年7月10日到7月14日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一週漏洞利用消息中，有9個漏洞需特別關注，首先是微軟本月例行性安全性更新，這次修補的132個漏洞中，就有多達6個零時差漏洞，由於都已出現攻擊利用情形，用戶需盡速修補。蘋果這周也緊急修補一個已遭濫用的零時差漏洞，是今年修補的第10個零時差漏洞。</p> <p>而在前一週的攻擊活動揭露中，有關於針對太陽能發電監控系統SolarView漏洞，與鎖定資產管理工具Netwrix Auditor漏洞的消息，如今兩漏洞均被列入美國CISA的已知漏洞清單。上述漏洞清單如下：</p> <ul> <li>CVE-2023-32046（MSHTML）</li> <li>CVE-2023-36874（SmartScreen）</li> <li>CVE-2023-36874（Windows錯誤報告服務）</li> <li>CVE-2023-36884（Office與Windows HTML元件）</li> <li>CVE-2023-35311（Outlook）</li> <li>ADV230001公告（與惡意驅動程式含有簽章有關）</li> <li>CVE-2023-37450（存在於WebKit、影響macOS、iOS、iPadOS與Safari）</li> <li>CVE-2022-29303（SolarView Compact）</li> <li>CVE-2022-31199（Netwrix Auditor）</li> </ul> <p>另外，還有PDF檔案開源解析元件Ghostscript的重大漏洞修補要注意，以及多家科技大廠發布安全性更新修補公告，包括Progress、SAP、Adobe、西門子、施耐德電機等。</p> <p>在重要攻擊事件焦點方面，有3起事件受注目，包括：中國駭客利用Windows的相容性政策瑕疵，利用名為HookSignTool、FuckCertVerifyTimeValidity開源工具，竄改核心驅動程式的簽章日期，用來載入過期憑證或未經驗證的驅動程式，從而操縱受害電腦；以及中國駭客Storm-0558濫用微軟帳號（MSA）的簽章金鑰，利用偽造身分驗證Token，入侵使用OWA及Outlook.com服務的電子郵件帳戶，影響歐美地區的25個組織（包括政府機構）與相關個人；還有持續傳出鎖定北約國家高峰會的網釣攻擊的消息，駭客正利用新的Office零時差漏洞。</p> <p>在最新威脅焦點方面，近來挖礦攻擊行動出現新手法值得重視，包括使用Python指令碼PyLoose的無檔案惡意軟體，以及濫用AWS無伺服器運算服務Fargate來代管部分攻擊指令碼的情形，其他留意焦點包括木馬程式LokiBot攻擊行動的揭露，Wise Remote Stealer惡意軟體的揭露。另外，有大學研究人員研究出可繞過語音身分驗證的攻擊手法，可破解現有偵測Deepfake聲音的技術。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/157707"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月10日】勒索軟體BlackByte 2.0利用ProxyShell漏洞進行滲透，5天後向受害組織進行勒索</span></strong></a></h3> <p>勒索軟體攻擊行動不時傳出，但若是駭客出手極為迅速，有可能讓受害組織完全來不及反應，而嚴重影響營運，最近微軟揭露的勒索軟體BlackByte 2.0攻擊行動就是如此，駭客從入侵到向受害組織勒索，前後只有5天。</p> <p>竊資軟體結合其他惡意程式的情況，也再度出現。自我們<a href="https://www.ithome.com.tw/news/157657#redenergy">上週報導的RedEnergy Stealer</a>之後，又有結合RAT木馬程式的竊資軟體Wise Remote Stealer，這樣的惡意程式可讓攻擊者遠端下達指令，或是投放勒索軟體等惡意程式，而有可能帶來更大的破壞。</p> <p>自5月底出現零時差漏洞攻擊的檔案共享系統MOVEit Transfer，後續又揭露其他漏洞，直續引發外界的關注。上週此產品的供應商Progress又發布新一波資安通告，當中又修補了3個高風險等級的漏洞。</p> <h3><a href="https://www.ithome.com.tw/news/157736"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月11日】勒索軟體Big Head結合後門程式、竊資軟體或病毒，企圖對受害者造成更多破壞</span></strong></a></h3> <p>最近有些駭客似乎很熱中將竊資軟體結合其他惡意程式，像是我們先前報導的Wise Remote Stealer、RedEnergy Stealer。如今又有其他勒索軟體駭客採取這樣的做法，嘗試搭配不同的惡意程式來發動攻擊。例如，資安業者趨勢科技7月觀察到勒索軟體Big Head的變種，具有這樣的現象，他們發現駭客將該惡意程式結合後門程式、竊資軟體、病毒軟體。</p> <p>針對北約組織近期舉行的公開活動而來的網釣攻擊，也相當值得留意。駭客組織RomCom就對於本日舉行的高峰會，鎖定支持烏克蘭加入北約組織的人士發動攻擊，進而部署後門程式。</p> <h3><a href="https://www.ithome.com.tw/news/157742"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月12日】微軟、Adobe、西門子、施耐德電機發布7月份例行修補</span></strong></a></h3> <p>11日有許多廠商發布7月份的例行更新（Patch Tuesday），包含微軟、Adobe等軟體業者，以及西門子、施耐德電機等OT設備業者。其中最值得留意的，是微軟本次發布的公告，該公司一共修補了多達6個漏洞，是今年以來最多的一次，當中的CVE-2023-36884，更是被用於針對北約組織高峰會發動網釣攻擊。</p> <p>鎖定AWS雲端環境的挖礦攻擊行動Scarleteel，攻擊者使用了更為隱蔽的手法而值得留意。駭客運用新型態的寄生攻擊手法，並濫用AWS的無伺服器運算服務代管惡意指令碼。</p> <p>竊資軟體W4SP透過NPM、PyPI套件散布的情況，先前曾出現數起攻擊行動，如今出現有人利用此竊資軟體外流的程式碼，稍加修改進行犯案！這樣的情況，也突顯駭客要發動惡意套件攻擊的門檻不高，不需自行從頭開發作案工具。</p> <h3><a href="https://www.ithome.com.tw/news/157762"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月13日】惡意軟體PyLoose挾持雲端工作負載的運算資源，挖掘門羅幣</span></strong></a></h3> <p>鎖定雲端運算資源的挖礦攻擊，我們昨天報導了針對AWS的攻擊行動Scarleteel，今天又有另一起惡意軟體PyLoose的攻擊行動，駭客入侵雲端工作負載的管道，就是透過能在網路上公開存取的Jupyter Notebook服務。</p> <p>駭客利用含有WHQL簽章的惡意驅動程式發動攻擊，也相當值得留意。因為這幾天有資安業者揭露中國駭客鎖定電玩產業散布Rootkit的攻擊行動，並指出攻擊者藉由帶有簽章的驅動程式來繞過Windows作業系統的多項安全功能。</p> <p>7月初陸續有多家廠商發布安全更新與漏洞修補消息，今天我們會談到Fortinet與SAP，IT人員請仔細看看這方面的消息，及早確認是否要實施緩解作法，或是安裝對應的更新程式。</p> <h3><a href="https://www.ithome.com.tw/news/157789"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月14日】Windows舊版驅動程式簽章相容性政策遭濫用，駭客拿來打造惡意驅動程式，突破端點電腦資安防護</span></strong></a></h3> <p>打造帶有合法簽章、繞過Windows作業系統安全機制的驅動程式，我們昨天報導了中國駭客鎖定電玩產業、散布含有WHQL簽章的Rootkit惡意軟體，而針對微軟7月份例行更新（Patch Tuesday）的資安通告，思科威脅情報團隊Talos、資安業者Sophos揭露了另一種惡意驅動程式攻擊手法，使用簡體中文的駭客竄改驅動程式的簽章日期來繞過作業系統的安全機制。</p> <p>中國駭客鎖定美國政府機關下手的情況，最近又有新的攻擊事故引起關注。微軟揭露駭客組織Storm-0558鎖定25個組織竊取電子郵件帳號的事故，而根據美國各家媒體的報導、美國網路安全暨基礎設施安全局（CISA）的資安通告，向微軟通報該組織攻擊行動的單位就是美國政府。</p> <p>在前年、去年被用於許多攻擊行動的MSHTML重大漏洞CVE-2021-40444、Windows支援診斷工具（MSDT）漏洞CVE-2022-30190（亦稱Follina），最近又有駭客拿來利用。研究人員發現近期的惡意軟體攻擊行動裡，攻擊者串連上述漏洞於受害電腦植入木馬程式LokiBot。</p> </div></div></div>
2023/7/17 17:20作者羅正漢https://www.ithome.com.tw/news/157806
Meta發表也能產生圖說的圖像生成模型CM3Leon
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.meta.com/blog/generative-ai-text-images-cm3leon/" target="_blank">Meta上周發表了可同時支援文字與圖像生成的CM3Leon模型</a>，這是史上第一個由純文字語言模型配方所訓練的多模態模型，並宣稱其圖像生成所使用的訓練運算資源只要其它方法的1/5，即可達到先進效能。</p> <p>CM3Leon是個基於Token、檢索增強與decoder-only的模型，它採用因果隱蔽混合模態（Causal Masked Mixed-Modal，CM3）架構，代表該模型得以僅關注之前的元素來生成輸出序列，確保生成內容的連貫性，且於訓練過程中能夠忽視或隱蔽某些元件，以生成更好的結果，還可同時處理文字及圖像的輸入。</p> <p>Meta強調CM3Leon是個通用模型，透過單一模型即可處理許多不同的任務，像是以文字描述來生成圖像，也能以文字描述來編輯圖像，或者是要求該模型替圖像生成圖說等。</p> <p>例如以文字要求它生成「在撒哈拉沙漠的一株小仙人掌戴上了一頂鑲有霓虹太陽眼鏡的草帽」的圖像；也能利用文字幫《戴珍珠耳環的少女》戴上墨鏡，或是以文字調整天空的顏色；使用者還可要求CM3Leon替圖像生成圖說，以文字描繪圖像中的元素。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0717-%20CM3Leon%20by%20Meta-600-1.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0717-%20CM3Leon%20by%20Meta-600-2.png" style="width: 600px;" /></p> <p><a href="https://tinyurl.com/2hmzyglb" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Meta</span></span></a></p> <p>研究人員表示，CM3Leon僅使用30億個Token的文字資料進行訓練，大幅低於OpenFlamingo的400億個Token與Flamingo的1,000億個Token，但它卻能在替圖像產生圖說，以及回答圖像問題等兩個任務上，達到與OpenFlamingo相當的zero-shot效能等級。此外，它在回答VizWiz資料集中圖像問題的表現還勝過Flamingo。</p> <p>有別於今年5月大方<a href="https://www.ithome.com.tw/news/156819" target="_blank">開源整合文字、聲音與視覺資料的多模態AI模型ImageBind</a>，此次Meta並未公布是否或何時釋出CM3Leon。</p> </div></div></div>
2023/7/17 14:38作者陳曉莉https://www.ithome.com.tw/news/157821
Martech雙周報第38期：Deloitte盤點14種主流隱私技術，1張圖比較不同行銷場景如何更確保隱私
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0702~0715</strong><strong style="color: rgb(0, 0, 255);">)</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#PET</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#隱私權科技</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#第一方數據應用</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#DCR</span></strong></span><br /> <strong>Deloitte發布隱私強化科技（PET）報告，盤點14種主流數據驅動行銷時可以確保隱私的技術</strong></p> <p>Deloitte發布PET（隱私強化科技，Privacy Enhancement Technology）<a href="https://www2.deloitte.com/us/en/pages/chief-marketing-officer/articles/a-marketers-guide-to-privacy-enhancing-technologies.html">研究報告</a>，分析現今PET相關產品和作法，以及這些PET適用的行銷平臺與情境。這個報告免費公開於Deloitte網站，報告表示，研究用意在提供數位行銷界一個參考框架，運用科技來強化數位行銷隱私機制。</p> <p>現今數位廣告環境中，隱私權意識日益重要，不只融入了部分平臺政策，如iOS ATT或Chrome第三方Cookie退場，更入了法律條文中，例如GDPR。在CRM、CDP等數據行銷科技獲得高度重視後，以強化隱私為主的科技也開始崛起。</p> <p>這些PET強化隱私的方法，包括利用特殊技術、特殊數據處理方法、透過特殊硬體或運算環境。報告中列出了14種PET，以及部分PET如何應用於不同行銷目的和行銷環境。例如，要在行動裝置上進行成效轉換測量，可以利用Federated Analytics跟K-anonymity方法。前者是於裝置上執行分析用程式碼，讓使用者層級數據只在裝置端處理，廣告主只會看到集體資料，後者則是將多個Data set合併後再進行統一分析，以避免特定Data set中的特定人物或特定群體能被辨認出來。</p> <p>一個近期與隱私相關的熱門數據科技是數據無塵室（DCR，Data Clean Room）。此報告指出，DCR只能算一個數據交換平臺，廣告主使用DCR解決方案時，仍應了解DCR使用的相關隱私機制。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#社群媒體演算法</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#原生廣告</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#排序優化</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#AI演算法研究</span></strong></span><br /> <strong>Meta公布Facebook、Instagram貼文的AI排序原則，還要提供自家平臺上的公開內容資料庫作為學術研究資源</strong></p> <p>作為內容演算法透明化政策一環，Meta公布了22種Facebook和Instagram的內容排序原則，包括貼文、限時動態、通知、陌生貼文、推薦好友、搜尋結果等內容。他們也宣布未來會在短影音Reels、所有廣告內容、探索陌生內容等介面揭露內容呈現給使用者看的原因，並持續加入更多使用者可以客製化顯示內容的工具。</p> <p>22項排序原則中，Meta大多只有提供簡單的說明，沒有具體解釋演算法考慮哪些條件，或是哪些使用者行為更影響排序。不過，在揭露給使用者內容呈現原因的介面上，Meta會列出具體影響該次內容呈現的使用者行為，可以作為廣告主研究參考。</p> <p>此外，Meta還預告接下來幾周內會提供內容庫（Content Library）及API。內容庫包含臉書的公開貼文、粉絲專頁、社團和活動的相關資料，IG創作者、公司帳號資料與公開貼文。這個內容庫包含UI或API供搜尋和篩選，作為科學和公益研究之用。不過，目前還沒有提到這些資源使用條件或是否收費。（<a href="https://www.ithome.com.tw/news/157571">詳全文</a>）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#影音廣告投放</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#成效轉換追蹤</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#品牌安全</span></strong></span><br /> <strong>研究指出Google TrueView影音廣告很大比例從設計上就不符合承諾規格，轉換成效恐遠不如預期</strong></p> <p><a href="https://adalytics.io/blog/invalid-google-video-partner-trueview-ads">根據民間廣告分析組織Adalytics研究</a>，Google影音廣告TrueView有很大比例在設計上就沒有符合廣告成效及規格承諾，意味著全球上兆元行銷預算有可能花在成效遠不如預期的廣告上。</p> <p><a href="https://support.google.com/google-ads/editor/answer/6365848?hl=en">TrueView廣告是Google影音廣告的一種格式</a>，有幾個主要承諾。其一是會在主要內容畫面播放（in-stream），例如與使用者正在觀看的YouTube影片使用同一個播放器。其二是要可聽見，也就是影音廣告音量必須大到可聽見的程度。其三是以觀看次數計費，而非曝光數，因此必須要播放超過30秒或整個廣告結束，取短者。不過，Adalytics研究後發現，有許多TrueView廣告並未符合這些承諾。</p> <p>Adalytics是一個民間廣告分析組織，主要產品是一個瀏覽器Log分析外掛，用來顯示一般使用者平常受到哪些廣告鎖定，以及這些廣告背後的廣告主和行銷預算等細節。本次研究中，他們使用網站爬蟲和廣告訊號分析，來抓出部分有TrueView版位的網站，以及廣告背後的程式碼。接著，他們將得出的網站清單與Google明文規定排除廣告刊登資格的網站清單、美國財政部明文制裁網站的清單等可能危及品牌安全的網站清單對比。最後，調查廣告公司、廣告主的TrueView廣告投放情況，來跟研究結果比對，估算他們投資此格式廣告，有多少潛在損失。</p> <p>Adalytics找到了許多在程式碼中明確描述為TrueView廣告，卻不符合Google定義規格的廣告。不合規格的情況多為刊登於非主要畫面，以及程式碼中音量預設為0。此外，有許多TrueView廣告被刊登在疑似提供盜版內容的網站、政治宣傳用網站、內容農場、以及不合大型App市集上架規範的側載App上，成為品牌安全的一大疑慮。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/v%3D0.png" style="width: 600px;" /></p> <blockquote><p>從URL中可以看到，此廣告音量一開始就預設為0，不符合Google對TrueView影音廣告的規格定義。</p> </blockquote> <p>此研究中雖無明確指出Google是否對不符合TrueView規格描述及收費標準的廣告收費，也沒有列出不符合規格的TrueView廣告占整體比例，不過有分析多家廣告主和廣告公司的投放情況，發現這些公司有42%到75%的廣告預算花在不合規格的TrueView廣告上。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/cumulative-distribution-of-ineligible-trueview-spend_major-infrastructure-brand.png" style="width: 600px;" /></p> <blockquote><p>配合調查的企業中，其中一家企業的TrueView廣告投資有約73%是出現在不符合TrueView規格的網頁或手機App上。</p> </blockquote> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#精準行銷</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#自動化行銷</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#AI廣告投放</span></strong></span><br /> <strong>微軟推出AI精準自動化行銷功能，讀取廣告主行銷素材後便能自動投放廣告</strong></p> <p>微軟推出自動化行銷功能<a href="https://about.ads.microsoft.com/en-us/blog/post/june-2023/the-future-is-now-with-predictive-targeting">Predictive Targeting</a>，用AI分析使用者意圖及廣告主手上資料和行銷素材，再自動化投放廣告到MSN, Microsoft Start, Microsoft Edge, Outlook等微軟生態圈的環境。微軟表示，只要在建立行銷專案時點選開啟此功能，AI就會自動分析資料及接手廣告投放，廣告主不須提供其他資料，或選擇行銷策略。若廣告主有意願調整投放方向，此功能也有提供一定程度的客製化投放選項。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/blog-17226-image04.jpg" style="width: 600px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#應用程式市集廣告</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#第三方應用程式市集</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#社群媒體廣告</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#App行為追蹤</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#裝置追蹤</span></strong></span><br /> <strong>Meta有意開設手機應用程式市集，從自家社群媒體廣告平臺導流</strong></p> <p>社群媒體龍頭Meta要開設手機應用程式市集。未來Meta社群媒體中的App廣告，將能連結到同為Meta生態圈的市集，不只是Google Play Store及App Store。</p> <p>App市集廣告會連帶影響到App內廣告等廣告通路，是兵家必爭之地。從蘋果iOS 14.5 ATT（App Tracking Transparency，應用程式追蹤透明化）對數位廣告市場帶來的衝擊，可見一斑。Meta若開設App市集，不只意味著未來社群、App市集和App內廣告市場版圖會大幅變動，更意味著Meta也有權利制定自己的App追蹤及行動裝置追蹤機制與隱私權政策，而不用受限於本來壟斷著App市集和裝置廣告市場的Google和蘋果。</p> <p>2022年歐盟通過的《數位市場法》要求Google和蘋果等超大型網際網路服務及平臺作為「守門人」不得合併多種來源的用戶個資、必須和第三方通訊App互通，而且需允許用戶安裝第三方App。這個趨勢下，不只Meta有意設立手機App市集，微軟也有意在明年於歐盟地區推出iOS及Android遊戲App的平臺供Xbox訂閱戶下載。（<a href="https://www.ithome.com.tw/news/157589">詳全文</a>）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多MarTech動態：</span></strong></span></p> <p>1. 歐洲聯盟法院認定Meta確實未經使用者直接授權，就利用個資來強化精準廣告投放是違法的。</p> <p>2. 圖片類社群媒體Pinterest申請了一個技術專利，要在使用者同意的情況下分析Email來推薦內容及商品推薦。</p> <p>3. IAB正式推出了DCR產品的標準</p> <p>資料來源：iThome整理，2022年7月</p> <p>責任編輯：郭又華</p> </div></div></div>
2023/7/17 15:04作者郭又華https://www.ithome.com.tw/news/157759
Meta Threads使用量已見下降
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta子公司Instagram（IG）的Threads推出後，成為歷來使用人數成長最快的消費型App，不過能撐多久也是觀察重點。市調數據顯示，Threads用戶使用量已出現下降跡象，使用時間也縮短了。</p> <p>Threads於7月6日上線以來，立即引發一股旋風，加上註冊流程簡單，使用者短期內爆增。根據Meta執行長Mark Zuckerberg提供的數據，Threads用戶數7小時衝到1,000萬，<a href="https://www.ithome.com.tw/news/157728" target="_blank">24小時內突破7,000萬</a>，使它超越IG和ChatGPT成為成長最快的消費性App。此外在5天內，Threads註冊用戶數已突破1億。</p> <p>App市調業者<a href="https://www.cnbc.com/2023/07/13/meta-threads-engagement-has-dropped-off-sensor-tower-similarweb.html" target="_blank">SensorTower主管Anthony Bartolacci</a>在對《CNBC》的訪談中提到，Threads上線72小時內勢如破竹，的確是網際網路一大奇觀。</p> <p>但他同時也說，上線後隔周二、三，即7月11、12日他們觀察到平臺上的每日活躍用戶數已比前一個周六（7月8日）下滑20%，而用戶平均使用時間，也由20分鐘縮短為10分鐘。</p> <p>另一家市調公司Similarweb也有類似的觀察。<a href="https://www.similarweb.com/blog/insights/social-media-news/threads/" target="_blank">根據該公司追蹤Threads的用戶活動</a>，由於Meta很早就在App Store及Google Play Store推廣threads.net，因此6月第一周就有1,570萬人由threads.net被導向下載。到了正式上線，市調公司推測7月6、7日兩天，就有至少6,500萬用戶不但下載Android和iOS App，大量用戶流向Threads的結果，也讓Twitter.com流量這兩天較去年同一時間下跌11%。不過即使不計算Threads，市調公司也測得Twitter.com流量比去年下滑4%。</p> <p><a href="http://www.cnbc.com/2023/07/13/meta-threads-engagement-has-dropped-off-sensor-tower-similarweb.html" target="_blank">但是SimilarWeb也說</a>，從上線的第一個周末到周一（7/10），Threads Android App每日活躍用戶數減少了25%。美國用戶來看，同時間的平均使用時間也從20分鐘降為8分鐘。市調公司相信，這是因為不是所有用戶都已養成不時造訪Threads的習慣。</p> <p>分析師認為Threads有很大潛力挑戰推特的地位。不過Sensor Tower指出，整體而言，有Meta的支援，Threads用戶數還在上坡階段，但除了複製推特的文字型社交服務外，他們還需要有更強大的特色。</p> <p>不過人數下降似乎別有原因。<a href="https://twitter.com/y_molodtsov/status/1679782726654672898" target="_blank">一些位於歐盟用戶發現</a>，他們自上周五無法使用大部分功能，像是讀取貼文、通知或自己的個人資料，只能看到自己的時間軸，即使是透過VPN存取。</p> <p><a href="https://techcrunch.com/2023/07/14/meta-is-blocking-eu-based-users-from-accessing-threads-via-vpn/" target="_blank">IG已經對媒體證實</a>，他們的確因隱私保護疑慮，暫時封鎖了歐盟用戶存取。根據Meta的隱私條款公開，Threads App可能會蒐集多種個資，包括用戶健康、財務、精確位置、上網紀錄、聯絡人及搜尋紀錄，這抵觸了歐盟隱私法GDPR。</p> <p>Google Bard 5月上線之初也跳過歐盟地區，<a href="https://www.ithome.com.tw/news/157774" target="_blank">直到獲得歐盟當局許可才在上周於當地推出</a>。</p> </div></div></div>
2023/7/17 12:00作者林妍溱https://www.ithome.com.tw/news/157819
假資訊太多，美政府要調查ChatGPT的模型訓練及資料蒐集、安全方法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於AI幻覺造成輸出假資訊及毁人名譽，美國聯邦交易委員會（Federal Trade Commission，FTC）上周介入，要調查OpenAI如何訓練AI聊天機器人，以及相關的資訊安全、隱私保護作法。</p> <p><a href="https://www.washingtonpost.com/technology/2023/07/13/ftc-openai-chatgpt-sam-altman-lina-khan/" target="_blank">《華盛頓郵報》</a>首先報導，FTC向OpenAI寄發了20頁的行政文書，<a href="https://www.washingtonpost.com/documents/67a7081c-c770-4f05-a39e-9d02117e50e8.pdf" target="_blank">要求提供多種文件以協助調查</a>，包括ChatGPT AI模型的行銷計畫、廣告呈現、訓練方法、如何蒐集訓練AI模型的資料、如何防止假資料造成扭曲個人形象、防止模型被隱私或指令注入攻擊、以及如何整合API和外掛。FTC的調查期間由2020年6月迄今。</p> <p>這項調查是在OpenAI遭一連串指控後，當局的實際行動。6月底OpenAI在加州遭集體控告，其AI模型從社交媒體、部落格、Wikipedia大量掠取其留言或內容，侵犯其智慧財產及隱私。<a href="https://www.theregister.com/2023/07/13/ftc_openai_investigation/" target="_blank">此外還有多位個人指控ChatGPT產出不實的描述</a>，有人被說成是罪犯，有人涉入外國行賄事件，造成名譽受損。而控告ChatGPT未經告知使用了他們的程式碼、繪圖或文字創作的案例更是不勝枚舉。</p> <p><a href="https://twitter.com/sama/status/1679602638562918405" target="_blank">OpenAI執行長Sam Altman</a>對OpenAI是從新聞得知此事表達失望，認為此事無助建立雙方信任。但他仍表示，自家科技具高度安全性及以消費者為重，OpenAI將與FTC合作協助調查。</p> <p>FTC則未評論。不過<a href="https://www.theregister.com/2023/07/13/ftc_openai_investigation/" target="_blank">FTC主席Lina Khan上周在美國眾議員監管委員會答詢時指出</a>，FTC的工作重點是，在企業競爭部署及利用AI獲利之時，該局將審視如何同時確保公平競爭環境及保護美國消費者免受欺騙作法之害。</p> <p>事實上OpenAI已經著手解決AI引發的問題。早在今年Altman就參與聯署，呼籲全球政府要小心AI的強大能力及假資訊可能造成的文明及社會衝擊及危害。<a href="https://www.ithome.com.tw/news/157654" target="_blank">本月OpenAI也在創辦人IIya Sutskever率領下成立專門小組</a>，以發展能駕馭、管理AI超智慧（superintelligence）相關科學及科技。</p> </div></div></div>
2023/7/17 11:35作者林妍溱https://www.ithome.com.tw/news/157818
英國CMA將延後公布微軟與動視暴雪的併購調查決定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>價值687億美元的微軟與動視暴雪（Activision Blizzard）併購案的截止日（7/18）將屆，但美國聯邦交易委員會（FTC）及英國競爭與市場管理局（CMA）都尚未點頭同意該交易，而讓微軟動作頻頻，這兩天不僅宣布已與Sony達成協議，更傳出有意讓出微軟在英國的雲端遊戲業務控制權，而<a href="https://assets.publishing.service.gov.uk/media/64ae72e0fe36e0000d6fa75f/Notice_of_extension_.pdf" target="_blank">CMA也在上周五（7/14）宣布</a>把該針對該交易的最終決定日期從7月18日延後至8月29日。</p> <p>在美國法院駁回FTC的提議，拒絕針對該交易祭出初步禁制令之後，微軟即轉身向CMA妥協，同意根據CMA的考量變更交易條款，力求儘速完成與動視暴雪的併購案。但FTC準備提出上訴，而CMA也說萬一變更交易條件，將會重啟併購調查。</p> <p>CMA原本計畫要在7月18日發布對該交易的最終命令，但在上周五指出，由於所剩時間不足以適當及充分考慮微軟所提出的內容，因而將該期限延長6周，最晚將在8月29日發布，也可能提早發布。</p> <p>另一方面，主導Xbox的微軟副總裁<a href="https://twitter.com/XboxP3/status/1680578783718383616" target="_blank">Phil Spencer則透過Twitter宣布</a>，已與Sony簽署具約束力的協議，在買下動視暴雪之後將持續於PlayStation上提供《決勝時刻》（Call of Duty）。</p> <p>其實微軟之前也曾對Sony祭出類似的提議，只是遭到Sony拒絕，Sony擔心的並不只是能否於PlayStation上執行動視暴雪的遊戲，而是更廣泛的，牽涉到雙方於遊戲市場上的競爭。此一協議代表Sony某種程度接受了微軟的條件。</p> <p>此外，<a href="https://www.bloomberg.com/news/articles/2023-07-13/microsoft-activision-weigh-sale-of-some-uk-cloud-gaming-rights" target="_blank">《彭博社》</a>（Bloomberg）亦引述消息來源報導，微軟與動視暴雪正在考慮把它們在英國市場的雲端遊戲控制權，讓渡給當地業者，以期滿足CMA的要求並順利完成併購。</p> <p>倘若微軟與動視暴雪未能於期限內完成併購，微軟必須支付30億美元的終止費用予動視暴雪，不過，<a href="https://www.gamesindustry.biz/uk-regulator-extends-deadline-on-final-decision-over-microsofts-acquisition-of-activision-blizzard" target="_blank">《GamesIndustry.biz》</a>報導，這是兩家公司自行設定的併購截止日期，應可協商延期。</p> </div></div></div>
2023/7/17 10:02作者陳曉莉https://www.ithome.com.tw/news/157807
架構細節首度揭露！衛福部揭次世代HIS平臺架構雛形，還要建醫療器材平臺串IoT資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>衛福部資訊處處長龐一鳴在7月8日一場研討會上，揭露更詳細的次世代數位醫療平臺架構雛形圖，由容器化底層（IaaS）、共用中間層（Common PaaS）、由IT中臺和數據中臺構成的中間平臺（Middle Platform），以及應用層組成。其中，共用層包含各類醫療標準，不只有國際疾病分類編碼ICD-10，還有未來要導入的國際檢驗檢查編碼LOINC和臨床術語編碼SNOMED CT。另一方面，衛福部也要打造醫療器材平臺，來用閘道器（Getway）串接醫院IoT設備資料至次世代數位醫療平臺。不過，下一步，衛福部將與醫學中心、地區醫院等醫療機構和SI業者討論，架構雛形很快將會依據第一線需求來更新。</p> <p><span style="font-size:26px;"><strong>主流國家次世代HIS發展皆採國際標準，衛福部分析國際醫資大廠系統策略</strong></span></p> <p>「DICOM是個很好的案例，」龐一鳴指出，目前臺灣醫療AI能商品化、推行到國際的，大多是醫學影像相關，而這些影像都採國際DICOM標準。醫學影像是資訊處理中難度較高的類別，早年臺灣對該領域的處理能力不好，因此直接採用國際醫學影像設備大廠標配的DICOM標準，「才發展出今日的醫療影像AI，國際化程度非常好。」</p> <p>然而，這幾年臺灣發展其他領域的醫療AI，常面臨「A醫院訓練完、B醫院沒辦法用，」這是因為，影像類以外的其他類型資料，並未採用統一的國際標準。因此龐一鳴點出：「所以國際化、標準化很重要，」衛福部在今年展開的次世代數位醫療平臺計畫，就是要將臺灣醫療資料交換標準，改用國際通用的HL7 FHIR，好讓醫療應用和研究都能接軌國際。</p> <p>為展開計畫，衛福部先是在去年底成立次世代數位醫療平臺專案辦公室，首要工作是盤點主流國家如何設計各自次世代HIS平臺。他們發現，不論是美國、歐盟，還是亞洲的日本、新加坡和興起之秀印尼，都採用HL7、FHIR、IHE和DICOM標準，且多數國家都將「加強數據交換與互操性」、「利用AI增加決策支援和分析」納入發展目標。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202023-07-15%20at%202_04_51%20AM.png" /><br /> <span style="color:#696969;">（圖片來源：衛福部）</span></p> <p>不只如此，專案辦公室團隊也研究國際醫資大廠的系統策略。他們挑選美國Epic和Oracle Cerner來研究，這是因為，在2023年世界20大智慧醫院評選中，有14家就用Epic系統（如德國、法國、丹麥、瑞典、以色列和新加坡等），而Oracle Cerner則是全球市占最高的廠商，根據KLAS 2022年全球EMR市場報告，Oracle Cerner在全球共有近2,400家醫院使用，其中1,052家為非美國醫院，遍布中東、英國、澳洲和加拿大。</p> <p>就策略來說，Oracle Cerner的策略是，由Oracle用雲端架構全面整合各種模組，並由Oracle持續併購，來讓系統生態系更完善（Cerner本身就是被Oracle併購的電子病歷廠商）。以更細的系統策略來說，Cerner EHR平臺提供一站式服務，包括患者管理記錄、自動化工作流程，著重醫療團隊的溝通和寫作，來改善整體照護服務。</p> <p>而Epic採垂直整合思維，逐步採用先進技術、雲端資源（如Google、AWS和微軟）和AI來解決實務需求。他們的HIS系統設計以病人為中心，將病人本身的資訊和家屬病歷共同呈現，也將這些資訊和醫護互動、預約等功能整合於單一App，可按照自己的需求調整進度條，來掌握看診、住院和追蹤治療等資訊。</p> <p>那麼，臺灣有辦法做出以病人為中心、完整歸戶的HIS（醫療資訊系統）嗎？</p> <p><span style="font-size:26px;"><strong>次世代數位醫療平臺雛形出爐，還將打造一套醫療器材平臺來串聯資料</strong></span></p> <p>「一定有，」龐一鳴認為，臺灣既然有能力在早年做出自己的標準，就有辦法集眾人之力，聯手產官學打造新一代符合國際標準的HIS平臺。</p> <p>於是，他分析臺灣現有HIS服務面痛點，就目的來說，國內HIS系統都是為健保申報和評鑑而設計，服務範圍也以健保申報、評鑑為優先，醫護需求反而成為次要。這種作法雖滿足健保申報和評鑑要求，卻缺乏醫院整體考量。</p> <p>因此，衛福部專案辦公室根據臺灣現況和國際主流醫療平臺架構，設計一套次世代數位醫療平臺架構雛形，以雲端概念來規畫，包括容器化底層（IaaS）、共用中間層（Common PaaS）、由IT中臺和數據中臺構成的中間平臺（Middle Platform），以及最上方的應用層。進一步來說，底層涵蓋網路、儲存、運算、安全和監控等模組，共用層則有各類醫療標準，像是臨床術語（如國際疾病分類碼ICD-10），以及衛福部計畫導入的國際檢驗檢查編碼LOINC和臨床術語編碼SNOMED CT。此外，共用層還有醫療流程中的通用機制，如身分驗證系統、訊息交換系統、ETL系統、資料庫等。</p> <p>往上一層則是數據中臺和IT中臺，數據中臺包括資料湖、報告系統和資安分析系統，以及大數據分析和AI處理，IT中臺則有效能測試工具、DevOps工具和安全測試工具等。再來是應用層，包含各類HIS相關系統，如護理系統、病人管理系統、病床系統，以及各類行政系統。未來，應用層的運作方式會是呼叫次世代HIS平臺功能，來執行相關應用。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202023-07-15%20at%201_31_11%20AM.png" /><br /> <span style="color: rgb(105, 105, 105);">（圖片來源：衛福部）</span></p> <p>龐一鳴說明，在IaaS部分，目前國內廠商都有現成套件可參考，往上一層的Common PaaS也是，而衛福部的工作就是要挑選出最適合的套件。</p> <p>不只如此，他們也規畫建置一套醫療器材平臺，透過Getway來串起醫院IoT設備和次世代數位醫療平臺。而需要移動的設備，如救護車、巡迴醫療車和儀器等，就會透過邊緣雲（Edge Cloud）來處理資料。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202023-07-15%20at%201_32_30%20AM.png" /><br /> <span style="color: rgb(105, 105, 105);">（圖片來源：衛福部）</span></p> <p>龐一鳴也強調，衛福部接下來將與醫學中心、區域醫院、SI業者和電子五哥一一討論次世代數位醫療平臺架構，因此這次秀出的平臺架構雛形圖，很快又會更新。</p> </div></div></div>
2023/7/15 02:16作者王若樸https://www.ithome.com.tw/news/157801
【資安日報】7月14日，Windows舊版驅動程式簽章相容性政策遭濫用，駭客拿來打造惡意驅動程式，突破端點電腦資安防護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>打造帶有合法簽章、繞過Windows作業系統安全機制的驅動程式，我們昨天報導了中國駭客鎖定電玩產業、散布含有WHQL簽章的Rootkit惡意軟體，而針對微軟7月份例行更新（Patch Tuesday）的資安通告，思科威脅情報團隊Talos、資安業者Sophos揭露了另一種惡意驅動程式攻擊手法，使用簡體中文的駭客竄改驅動程式的簽章日期來繞過作業系統的安全機制。</p> <p>中國駭客鎖定美國政府機關下手的情況，最近又有新的攻擊事故引起關注。微軟揭露駭客組織Storm-0558鎖定25個組織竊取電子郵件帳號的事故，而根據美國各家媒體的報導、美國網路安全暨基礎設施安全局（CISA）的資安通告，向微軟通報該組織攻擊行動的單位就是美國政府。</p> <p>在前年、去年被用於許多攻擊行動的MSHTML重大漏洞CVE-2021-40444、Windows支援診斷工具（MSDT）漏洞CVE-2022-30190（亦稱Follina），最近又有駭客拿來利用。研究人員發現近期的惡意軟體攻擊行動裡，攻擊者串連上述漏洞於受害電腦植入木馬程式LokiBot。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://thehackernews.com/2023/07/hackers-exploit-windows-policy-loophole.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客利用Windows的相容性政策瑕疵，打造核心層級的驅動程式簽章</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/UniversalRootkitLoader-Figure03.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/UniversalRootkitLoader-Figure03.jpg" style="width: 300px; float: right;" /></a>思科威脅情報團隊Talos、資安業者Sophos指出，有中國駭客濫用開源工具竄改核心驅動程式的簽章日期，用來載入使用過期憑證簽署，或是沒有經過驗證的驅動程式，從而操縱受害電腦。</p> <p>由於微軟在Windows 10 1607版調整的驅動程式簽署政策當中，對於舊版驅動程式相容性提供例外放行的情況，也就是在BIOS的安全開機功能關閉的情況下，對於使用2015年7月29日之前頒發的證書簽章的驅動程式，將不受上述政策規範，駭客便濫用上述的相容性政策，利用名為HookSignTool、FuckCertVerifyTimeValidity的工具，來竄改惡意驅動程式的簽章日期。</p> <p>思科看到數千個帶有此種簽章的惡意驅動程式，並舉出其中一種能挾持受害電腦瀏覽器的RedDriver，駭客鎖定了中國網路咖啡廳而來，此惡意驅動程式利用Windows過濾平臺（WFP）攔截瀏覽器的流量。Sophos則指出，這類驅動程式被用於破壞目標電腦的資安防護系統，該公司的端點防護產品也是遭到鎖定的目標。研究人員總共找到約133個惡意驅動程式，駭客主要的用途可區分2種，除了讓端點資安防護失效，也有將其作為Rootkit的情況。</p> <p>資料來源</p> <p>1. <a href="https://blog.talosintelligence.com/old-certificate-new-signature/">https://blog.talosintelligence.com/old-certificate-new-signature/</a><br /> 2. <a href="https://blog.talosintelligence.com/undocumented-reddriver/">https://blog.talosintelligence.com/undocumented-reddriver/</a><br /> 3. <a href="https://news.sophos.com/en-us/2023/07/11/microsoft-revokes-malicious-drivers-in-patch-tuesday-culling/">https://news.sophos.com/en-us/2023/07/11/microsoft-revokes-malicious-drivers-in-patch-tuesday-culling/</a></p> <p><a href="http://www.wiz.io/blog/pyloose-first-python-based-fileless-attack-on-cloud-workloads"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客入侵美國政府機關的電子郵件帳號</span></strong></a></p> <p>微軟於6月中旬接獲通報，對於異常郵件活動進行調查，結果發現，中國駭客組織Storm-0558自今年5月15日開始，取得約25個組織的電子郵件帳號，以及少量疑似與受害組織有關的個人帳號，受害組織包含政府機關。駭客濫用微軟帳號（MSA）的簽章金鑰，偽造用於身分驗證的Token，進而存取使用者的電子郵件。</p> <p>根據華盛頓郵報、有線電視新聞網（CNN）、ABC News等美國媒體報導，向微軟通報的就是美國政府。知情人士透露，最早察覺中國駭客行蹤的是美國國務院，另有人透露美國商務部長Gina Raimondo的電子郵件帳號遭到駭客挾持。美國網路安全暨基礎設施安全局（CISA）指出，駭客存取了政府機關非機密的電子郵件資料。</p> <p>資料來源</p> <p>1. <a href="https://blogs.microsoft.com/on-the-issues/2023/07/11/mitigation-china-based-threat-actor/">https://blogs.microsoft.com/on-the-issues/2023/07/11/mitigation-china-based-threat-actor/</a><br /> 2. <a href="https://www.washingtonpost.com/national-security/2023/07/12/microsoft-hack-china/">https://www.washingtonpost.com/national-security/2023/07/12/microsoft-hack-china/</a><br /> 3. <a href="https://edition.cnn.com/2023/07/12/politics/china-based-hackers-us-government-email-intl-hnk/index.html">https://edition.cnn.com/2023/07/12/politics/china-based-hackers-us-government-email-intl-hnk/index.html</a><br /> 4. <a href="https://abcnews.go.com/Politics/commerce-secretary-gina-raimondos-emails-hacked-microsoft-cyber/story?id=101201179">https://abcnews.go.com/Politics/commerce-secretary-gina-raimondos-emails-hacked-microsoft-cyber/story?id=101201179</a><br /> 5. <a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-193a">https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-193a</a></p> <p><a href="https://www.fortinet.com/blog/threat-research/lokibot-targets-microsoft-office-document-using-vulnerabilities-and-macros"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">木馬程式LokiBot透過MSHTML漏洞和Follina散布</span></strong></a></p> <p>資安業者揭露木馬程式LokiBot（亦稱Loki PWS）近期的攻擊行動，駭客藉由散布惡意Word檔案，利用巨集、MSHTML重大漏洞CVE-2021-40444、Windows支援診斷工具（MSDT）漏洞CVE-2022-30190（亦稱Follina），於受害電腦植入惡意程式。</p> <p>研究人員主要看到兩種攻擊手法，其中一種是能夠利用CVE-2021-40444的Word檔案，一旦使用者開啟，該檔案就會透過內部的document.xml.rels元件，存取外部的MHTML檔案，進而透過短網址服務Cutty，從雲端檔案共享服務GoFile下載含有Follina的HTML檔案，最終在受害電腦植入LokiBot。</p> <p>另一種攻擊手法則是使用內嵌VBA指令碼的Word檔案，使用者一旦開啟，此指令碼就會自動執行，然後從遭入侵的網站下載惡意程式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/fig16-lokibot-attack-chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig16-lokibot-attack-chain.png" style="width: 580px;" /></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/juniper-networks-patches-high-severity-vulnerabilities-in-junos-os/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Juniper修補網路設備作業系統高風險漏洞</span></strong></a></p> <p>7月12日資安業者Juniper Networks發布本月份例行更新，總共公告17則資安通告，修補近60個漏洞，這些公告大部分都與網路設備作業系統Junos OS、Junos OS Evolved、Junos Space有關，但其中有一則是針對網路功能虛擬化架構Contrail Cloud而來。</p> <p>針對Junos OS的部分，最為嚴重的是網頁管理介面J-Web所使用的PHP元件漏洞CVE-2021-21708、CVE-2022-31627、CVE-2022-31625，CVSS風險評分介於8.8至9.8分；對於Junos Space而言，CVSS風險評分最高的是CVE-2022-42898，此為第三方元件MIT Kerberos 5的整數溢位漏洞，CVSS風險評分為8.8。</p> <p>而對於Contrail Cloud的部分，則是第三方元件Rack的漏洞CVE-2022-30123最為嚴重，CVSS風險評分達到10分，其次是Puppet的命令注入漏洞CVE-2022-3276，CVSS風險評分為8.8。該公司推出Junos OS 23.2R1、Junos Space 23.1R1、Contrail Cloud 16.3.0修補上述漏洞。</p> <p><a href="https://www.dragos.com/blog/mitigating-cves-impacting-rockwell-automation-controllogix-firmware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Rockwell Automation控制系統ControlLogix漏洞恐導致工控系統曝露於遠端攻擊風險</span></strong></a></p> <p>資安業者Dragos揭露Rockwell Automation控制系統ControlLogix的越界寫入（OBW）漏洞CVE-2023-3595、CVE-2023-3596，這些漏洞存在於1756-EN2、1756-EN3、1756-EN4等型號的EtherNet/IP（ENIP）通訊模組，攻擊者可藉此遠端執行任意程式碼（RCE），或是發動阻斷服務攻擊（DoS），CVSS風險評分為9.8、7.5。</p> <p>研究人員指出，這些漏洞發生的原因，主要出現在該自動化控制系統實作的通用工業協定（CIP），從而導致駭客能用來發動攻擊。而對於這些漏洞的嚴重程度，研究人員提及CVE-2023-3595可提供駭客存取的管道類型，與2017年鎖定施耐德電機Triconex安全儀表系統（SIS）的惡意軟體攻擊Trisis雷同，能讓攻擊者操縱韌體的記憶體<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">任意位址</span>。值得留意的是，有尚未列管的APT駭客組織嘗試利用這些漏洞，但是否有組織受害仍不明朗。</p> <p><a href="https://www.kroll.com/en/insights/publications/cyber/ghostscript-cve-2023-36664-remote-code-execution-vulnerability"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">開源程式庫Ghostscript存在重大漏洞</span></strong></a></p> <p>資安業者Kroll揭露PDF檔案開源解析元件Ghostscript的重大漏洞CVE-2023-3664，此漏洞涉及作業系統通道（OS pipe），起因是權限驗證的處理不當，而導致攻擊者可用於遠端執行任意程式碼（RCE），CVSS風險評分為9.8，影響10.01.1版之前的Ghostscript。</p> <p>研究人員指出，該解析工具是許多Linux發行版的預設安裝元件，且也有LibreOffice、GIMP、Inkscape、Scribus、ImageMagick等跨平臺的開源軟體採用，這項漏洞也可能影響使用上述應用程式的Windows用戶。對此，開發團隊於6月27日推出10.01.2版修補前述漏洞。</p> <p><a href="https://www.sonicwall.com/support/notices/urgent-security-notice-sonicwall-gms-analytics-impacted-by-suite-of-vulnerabilities/230710150218060/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">SoincWall修補防火牆管理系統的重大漏洞</span></strong></a></p> <p>7月12日資安業者SonicWall針對旗下的防火牆管理系統Global Management System（GMS）、網路管理及通報系統SonicWall Analytics，發布新版軟體GMS 9.3.3及SonicWall Analytics 2.5.2，當中總共修補了15個漏洞，其中4個是重大等級。</p> <p>這些漏洞包含了網路服務驗證繞過漏洞CVE-2023-34124、未經身分驗證的SQL注入弱點及安全過濾繞過漏洞CVE-2023-34133、透過網路服務讀取密碼雜湊值漏洞CVE-2023-34134、CAS身分驗證繞過漏洞CVE-2023-34137，CVSS風險評分介於9.4至9.8。稍微值得慶幸的是，該公司尚未發現上述漏洞遭到利用的跡象。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/07/11/microsoft-entra-expands-into-security-service-edge-and-azure-ad-becomes-microsoft-entra-id/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Azure AD更名為Microsoft Entra ID</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/EntraT1_RenameHalfpg_NoLogo_Social_1920x1080.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/EntraT1_RenameHalfpg_NoLogo_Social_1920x1080.png" style="width: 300px; float: right;" /></a></p> <p>微軟於7月11日宣布，為簡化產品命名，他們將隸屬於身分驗證解決方案Microsoft Entra旗下的Microsoft Azure Active Directory（Azure AD），更名為Microsoft Entra ID，並預計在2023年底完成產品更名作業。</p> <p>該公司指出，除了名稱更改，所有的功能、授權方案、登入URL和API都維持不變，使用者將會從管理員入口網站、文件，以及其他Azure AD的操作介面，看到更名通知。</p> <p>此外，其他的Azure AD相關服務也隨之調整名稱。例如，Azure AD External Identities改稱Microsoft Entra External ID、Azure AD Identity Protection則叫做Microsoft Entra ID Protection。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://blog.talosintelligence.com/malicious-campaigns-target-entities-in-ukraine-poland/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體PicassoLoader鎖定烏克蘭及波蘭而來</span></span></strong></a></p> <p><a href="https://info.zimbra.com/security-update-zimbra-collaboration-suite-version-8.8.15-important"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">郵件伺服器系統Zimbra修補已被用於攻擊行動的零時差漏洞</span></span></strong></a></p> <p><a href="https://www.hackread.com/exploitable-flaws-quickblox-expose-user-records/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">即時通訊框架QuickBlox存在漏洞，恐曝露數百萬使用者資料</span></span></strong></a></p> <p><a href="https://www.securityweek.com/popular-wordpress-security-plugin-caught-logging-plaintext-passwords/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">WordPress外掛程式All-In-One Security出現曝露明文密碼的漏洞</span></span></strong></a></p> <p><a href="https://bccnews.com.tw/archives/458814"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">桃園市政府消防局緊急救護平臺傳出遭駭</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157762">【7月13日】惡意軟體PyLoose挾持雲端工作負載的運算資源，挖掘門羅幣</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157742">【7月12日】微軟、Adobe、西門子、施耐德電機發布7月份例行修補</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157736">【7月11日】勒索軟體Big Head結合後門程式、竊資軟體或病毒，企圖對受害者造成更多破壞</a></strong></p> </div></div></div>
2023/7/14 17:06作者周峻佑https://www.ithome.com.tw/news/157789
【2023 CIO大調查：政府學校IT趨勢1】疫後IT預算成長幅度最高，資安、數位韌性、AI為3大目標
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1138-feng_mian_zheng_fu_xue_xiao_1-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>政府及學校方面，2020年受到COVID-19疫情在全球大流行，政府及學校IT預算一度縮減0.5%，染疫的風險大增，對傳統面對面的生活型態帶來影響，為了降低染疫的風險，遠距工作、遠距學習成為抗疫的重要手段，考驗IT的支援能力，增加IT投資成為政府或產業對抗疫情的策略，故而從2021年開始增加IT預算，相較於前2年，2023年預算成長率為8.9%，約2億903萬元。</p> <p>在政府及學校數位轉型的過程，當IT基礎架構無法配合，勢必需要調整IT基礎，朝向資源能夠更靈活運用的現代化IT發展。調查發現，約6成CIO表示，數位轉型已採取行動，其中在雲原生方面，如果我們從AP上雲、容器化比例2大指標來看，政府及學校產業上雲比例，從2022年的14.4%，到2023年預估將提高至21.7%。相較之下，容器化比例，則從2022年的20.6%，預估2023年微幅降至19.2%，小幅度的起伏變化。從整體來看，AP上雲比例及容器化比例，在2023年將達到2成左右。</p> <p><span style="font-size:28px;"><strong>近2年提高DevOps投資規模</strong></span></p> <p>從八大重點IT投資來看，2023年政府及學校對數位轉型、資安的投資規模，仍維持在2,400至2,600萬元左右，為八大重點投資中，每年常態的穩定投資項目。比較特別的是，近幾年政府機關強化資安、國家韌性的策略下，推動零信任安全架構，連帶提高對DevOps的投資，除了重視更快的軟體開發，也重視安全開發，換言之，對DevSecOps更為重視，因此對DevOps的投資規模在這2年顯著提高，儘管2023年對DevOps投資規模略微下降9%，但其投資規模仍達5,857萬元，高於數位轉型、資安兩項投資規模的加總。</p> <p>其他幾項重點IT投資中，除了對AI機器學習投資大幅下滑3成7，對雲端、大數據的投資則有增無減，特別是對邊緣運算IoT的投資一口氣增加4成，可能與政府機關提升數據蒐集、分析決策有關。</p> <p>從去年到今年，政府部門迎來新的變化，行政院成立新的數位發展部，鑑於過去幾年疫情帶來的衝擊，數位發展部推動政府及產業強化數位韌性，在轉型過程中，因兩岸特殊的情勢下，我國遭受網路攻擊頻繁，力推零信任架構，以強化政府機關的資安防護。</p> <p>從政府及學校在2023年年度十大目標來看，強化資安、數位韌性為前2大目標，呼應數位發展部的政策目標。以AI創新應用及服務躍升至第3名。其它還包括法規遵循、推動數位轉型、風險管理等，確保IT穩定與一致、IT現代化也是重點。另外，強化數據利用與分析、用AI強化分析與決策也是接下來的目標之一。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1138-%E5%B0%81%E9%9D%A2%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A11-600-1(2).png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1138-%E5%B0%81%E9%9D%A2%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A11-600-2(2).png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1138-%E5%B0%81%E9%9D%A2%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A11-600-3(1).png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1138-%E5%B0%81%E9%9D%A2%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A11-600-4.png" style="width: 600px;" /></p> <p><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 165, 0);"> 執行說明 </span></span> </strong><strong><span style="color: rgb(105, 105, 105);"><span style="font-size: 20px;">2023年4月20日到5月10日線上調查臺灣大型企業，有效樣本407家，68.5%填答者為企業IT最高主管。</span></span></strong></p> <p><a href="https://www.ithome.com.tw/article/157785" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="font-size: 20px;"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span></strong></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1138-feng_mian_p1-open-2023_cioda_diao_cha_xi_lie_4-960x420_kao_bei_.jpg?itok=Yhul5Rad" style="width: 500px;" /></a></p> </div></div></div>
2023/7/14 16:00作者蘇文彬https://www.ithome.com.tw/article/157783
【2023 CIO大調查：政府學校IT趨勢2】ESG及新常態加速政府學校轉型，謹慎擁抱ChatGPT
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1138-zheng_fu_xue_xiao_2-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著環境保護的意識抬頭，各國訂定節能減碳的目標，ESG也受到重視，政府及學校也因應ESG尋找對策，今年大調查顯示，政府及學校產業因應ESG的IT對策，超過7成6以提升機房的節能省電效率作為首要的IT對策，其次有過半的比例，加速內部作業無紙化、注重IT永續（綠色IT採購）。</p> <p>值得注意的是，除了內部機房、作業流程，也借助外部資源的力量，近4成的比例提高上雲比重，換言之，積極透過外部雲端服務，一方面提高資源使用的效率及彈性，另方面達到ESG的目標。此外，超過3成將數位轉型計畫和ESG目標對齊，並促成更多產品及服務的數位化。</p> <p>不僅是ESG促使企業加速轉型，過去COVID-19疫情在全球大爆發，儘管現在已逐漸回歸常態，這場全球性疫情帶來的深刻衝擊，對組織日常營運造成的挑戰，驅使CIO們對疫後新常態的IT對策。</p> <p>調查顯示，過半的CIO們會加速內部流程數位化及自動化，並且加速推動數位轉型。此外，也有4成比例會提高IT上雲比例，同時為提升遠距工作的能力，強化職場工作場所數位化，以及IT部門的遠端工作能力、IT現代化。</p> <p><span style="font-size:28px;"><strong>ChatGPT受到政府及學校CIO青睞</strong></span></p> <p>對於新興科技方面，AI在ChatGPT、LLM帶動下，獲得政府及學校CIO青睞，在政府及學校CIO的前十大新興科技中，ChatGPT/GPT類LLM的採用，從前一年的2.2%提高至26.1%，位居前十大新興科技的第一位。接下來的第2、3、4名採用比例相同，分別是AI與ML應用、DevOps及FIDO身分識別，其中FIDO隨著行動自然人憑證、零信任機制導入，採用比例和前一年相比顯著提升。</p> <p>其它上榜的有不少為現代化IT相關的技術，例如DevOps、DevSecOps、微服務架構、Open API、多雲混合雲、敏捷開發，顯示政府及學校希望透過新的現代化IT技術，以提高資源使用效率、彈性靈活架構。</p> <p>對於ChatGPT掀起的生成式AI浪潮，調查顯示，4.3%在內網限制／禁用ChatGPT，更多CIO選擇擁抱ChatGPT，約有4成的比例強化員工使用ChatGPT的資安意識，開始評估各種生成式AI工具，約3成強化機敏資料保護機制，其它對策包括調整AI策略，先成立種子團隊小規模嘗試，1成5鼓勵員工使用。調查也發現，已有6.5%在內部系統嘗試串接ChatGPT。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1138-%E5%B0%81%E9%9D%A2-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A12-600-1-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1138-%E5%B0%81%E9%9D%A2-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A12-600-2-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1138-%E5%B0%81%E9%9D%A2-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A12-600-3-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1138-%E5%B0%81%E9%9D%A2-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A12-600-4-PNG.png" style="width: 600px;" /></p> <p><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 165, 0);"> 執行說明 </span></span> </strong><strong><span style="color: rgb(105, 105, 105);"><span style="font-size: 20px;">2023年4月20日到5月10日線上調查臺灣大型企業，有效樣本407家，68.5%填答者為企業IT最高主管。</span></span></strong></p> <p><a href="https://www.ithome.com.tw/article/157785" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="font-size: 20px;"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span></strong></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1138-feng_mian_p1-open-2023_cioda_diao_cha_xi_lie_4-960x420_kao_bei_.jpg?itok=Yhul5Rad" style="width: 500px;" /></a></p> </div></div></div>
2023/7/14 16:02作者蘇文彬https://www.ithome.com.tw/article/157784
【2023 CIO大調查：CIO觀點】北榮揭今年度用雲策略，還鎖定5套系統先容器化練兵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年正式告別疫情衝擊，醫界如何布局IT策略？臺北榮總揭露，今年不只要用公雲服務來優化流程，還要完善容器化環境，更選定5套系統先練兵。就用雲來說，臺北榮總資訊室主任郭振宗分析，公雲應用分為雲儲存、雲運算和雲服務三種，雲儲存常見的用法是資料異地備份，但北榮長年有套完善的備份做法，短期內不會借助雲儲存。再來，北榮近期展開北榮聯邦雲計畫，要藉聯邦學習只交換模型參數、不交換資料的模式，來集多家醫院之力，強化醫療AI適應力。為此，北榮正建置GPU叢集，也不需要雲運算輔助。</p> <p>於是，他們將目光轉向雲服務，要用發展成熟的資源來優化現有流程。郭振宗指出，他們考量使用者存取需求，比如在院內院外都會使用到，且不涉及機密資料和隱私，就會採用雲服務。例如，北榮就用公雲架構來打造管理儀表板，方便高層隨時隨地掌握醫院動態。另一個例子是採用語音轉文字API服務，用來打造護理語音記錄功能，甚至，北榮IT最近還評估公雲Email服務，要讓使用者更有彈性地存取郵件。不只如此，北榮還規畫在遠距醫療、精準醫療和生成式AI等領域，採用公雲服務。</p> <p>不只是雲，IT現代化也是北榮重要的年度工作。今年，他們要建置完整的容器和K8s平臺，包括開發、測試和正式上線的環境平臺，同時還要完成5個周邊系統的容器化，如行政類的押標金管理系統、預算管控系統，以及醫務類的住院管理、個案管理和排程系統。這些系統獨立性高，適合IT團隊練兵，不只可善用容器技術來提高系統可用性和穩定性，也能用來學習系統容器化後可能的問題與解法。累積這些經驗後，北榮才會進一步擴大容器化範圍。至於核心系統容器化，北榮IT會先將跨門診、急診、住院系統的核心服務拆分出來，打造成一個個微服務，透過呼叫方式來執行，並不會一次更動所有系統。畢竟「改系統就像穿衣改衣，」郭振宗強調，北榮一天就醫人次已恢復1萬左右，業務繁忙，「系統不能出錯！」</p> <p>另一方面，數位轉型依舊是北榮持續推動的核心工作，鎖定無紙化和結構化兩大策略。就無紙化來說，北榮病歷無紙化程度已達99.5%，目前聚焦行政單張數位化，已將160種單張數位化，正在精進剩餘的10幾種。另一個無紙化重點是電子同意書，在考量簽署便利性、設計出完整流程後，才能有效推動。</p> <p>「這是最後一哩路。」郭振宗點出，同意書數位化不單單是無紙化，而是為了後續流程把關。因為同意書數位化簽署後，才能整合到系統中來勾稽，比如病人未簽署手術或麻醉同意書，系統就不會將病人納入麻醉或手術排程。這麼做，更能即時確保臨床流程正確性。</p> <p>類似概念的還有結構化，包括記錄、報告和表單的結構化。結構化是指，將過去自由書寫方式，改為勾選式或固定欄位格式，來統一書寫和資訊表達形式，更有利於後續應用。比如勾選特殊疾病時，系統就能即時通知醫護人，又或是利於後續AI模型訓練與預測，這是北榮數位轉型的2大任務。</p> <p><a href="https://www.ithome.com.tw/article/157785" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="font-size: 20px;"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span></strong></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1138-feng_mian_p1-open-2023_cioda_diao_cha_xi_lie_4-960x420_kao_bei_.jpg?itok=Yhul5Rad" style="width: 500px;" /></a></p> </div></div></div>
2023/7/14 16:31作者王若樸https://www.ithome.com.tw/news/157786
【2023 CIO大調查：CIO觀點】爭取經費強化核心業務韌性，電子發票及稅務系統未來汰換將納入ESG考量
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一般政府機關的首要工作是確保核心業務系統的正常維運，核心業務系統的維運、開發也是經費支出的大宗，對於新興科技發展的關注，唯有當系統運作達到汰換的時間，才考慮採用哪種新興技術處理。另外，開發新的功能時，利用新的環境上進行開發，當作新技術採用的前導測試，例如將新增的查詢服務移到外部的雲端，評估帶來的效益。</p> <p>財政部財政資訊中心主任張文熙認為，政府機關受限於預算經費，不論是核心業務系統維運或是新技術測試，都是在原本的預算分配中進行調整，由於核心系統正常維運、開發是政府機關運作首要目標，大多數經費用於核心系統上，有限的經費投入新興技術的測試。</p> <p>以強化核心業務系統的韌性為例，張文熙表示，如果要全面強化核心系統的韌性，需在國外建立3個備分，需要大筆經費，在大多數經費用於核心系統維運及開發，比較可行的方式是核心資料備分，討論核心資料的範圍，以有限的經費可做到的規模，再進行技術性、可行性評估，經過小規模實做，如果評估成效良好，再擴大編列預算。行政院去年成立數位發展部，推動政府部門強化數位韌性、導入零信任機制，受惠於數位部的額外經費補助，協助政府機關對核心系統強化韌性測試評估。</p> <p><span style="font-size:28px;"><strong>電子發票、稅務等系統面臨汰換</strong></span></p> <p>張文熙表示，接下來幾年，電子發票在明年，地方稅將在2025年，國稅將在2026年，設備會陸續到期需要進行汰換，新設備採購需求也會列入整體ESG考量。從各方面來思考ESG，例如從列印紙張到使用手機報稅，能減少多少碳，處理過程的耗電配置可減少多少碳，紙張使用到整體空調水電計算通盤考量節能減碳效益。未來設備汰換，新設備節能設計、綠色規格都會考慮。</p> <p>以明年1月將汰換的電子發票為例，電子發票對ESG而言帶來直接的效益，過去不列印的雲端發票比例尚低，現在個人部分已超過52%，然而雲端發票張數的增加，已超出十多年前的原先預估，當時一年約2億張發票，現在達到約85億張，相差40多倍，面臨的壓力相當大，先前雖然增加儲存空間，但主機卻沒有變更，尖峰時間需要排程處理，電子發票系統需要汰換，設備汰換、程式重新設計、測試，整體汰換工程浩大。</p> <p>此外，財政部也利用雲端服務，主要以民眾服務為主，例如地方稅的查詢服務上雲，還有發票兌獎服務。相較之下，由於稅務資料比較敏感，個人稅務資料不會公開上雲。「對民眾的服務優先上雲是我們的政策」，張文熙說。至於興起的ChatGPT浪潮，雖然無法使用內網敏感稅務資料，但仍可以用在比較不機敏的行政資料，例如消化技術知識，現在正在測試客服系統或是法律諮詢的客服資料，以比較白話的方式呈現。未來期待臺灣版的GPT推出後，生成式AI能夠落地，就能在生成式AI上使用業務性資料。</p> <p><a href="https://www.ithome.com.tw/article/157785" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="font-size: 20px;"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span></strong></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1138-feng_mian_p1-open-2023_cioda_diao_cha_xi_lie_4-960x420_kao_bei_.jpg?itok=Yhul5Rad" style="width: 500px;" /></a></p> </div></div></div>
2023/7/14 16:37作者蘇文彬https://www.ithome.com.tw/news/157787
【2023 CIO大調查：CIO觀點】不要以為花錢就是做轉型，IT建置完成後的挑戰是整體變革
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從iThome 2023年CIO大調查可以觀察到，金融產業數位轉型的成熟度，明顯跟其他產業拉開差距。因為不少金控、銀行逐漸邁入數位轉型後半段，不只是擴大規模，更開始進入收穫和精煉的階段，這也意味著，數位轉型前期所展開的大型開發專案、龐大IT軟硬體投資專案，逐漸完成。可是，從大調查可以看到另一個趨勢是，金融業數位轉型投資規模大幅緊縮，甚至比去年減少了2成多。</p> <p>第一銀行是公股銀行中的數位轉型領先者，這不是一條容易的路，尤其在擅長穩健發展的公股銀行中，更為難得。</p> <p>從一銀數位轉型的先行經驗中，第一銀行執行副總經理兼資安長劉培文指出，實質資訊建置完成後的挑戰，是整體變革的課題。他說：「每投資一塊錢到資本門的投資，後期要投入對應另外一塊錢，來推動整體流程改造、人員培訓，這種後期投資是看不見的投入。」</p> <p>舉例來說，新的業務中臺、數據中臺建置完成之後，後續挑戰是，他認為，企業得思考先將多少流程、多少產品、多少應用系統轉移到新的平臺上，這又涉及了，業務單位改變的意願，願意設計新服務、新產品、新流程。另一方面，資訊部門相對應的應用開發團隊，也要學會如何善用這些新建置的平臺。</p> <p>國外數位轉型浪潮比臺灣走得更早，許多跨國大企業早在疫情前，甚至五、六年前就啟動轉型，到了今年，逐漸出現了一股長期轉型後的衝擊，Gartner稱為轉型疲勞的跡象。</p> <p>劉培文日前遠赴雪梨參加海外實體Gartner研討會，他不只觀察到，分析機構歸納出數位轉型領先企業專注的三件事，一切作為的起點都以客戶為中心、推動產品導向的融合團隊，以及展現數位轉型的成果。另一方面，Gartner也提醒企業，要開始注意轉型疲勞問題。</p> <p>喜歡走路的劉培文這樣比喻，每天一口氣走完1萬步，或是改用一趟2千步的短距離走5圈，「兩者花費的體力一樣，但心理疲勞感差很多，數位轉型也是如此。」劉培文說，轉型是一個長達數年的辛苦旅程，一定會出現疲勞，但是改用迭代方式，讓眾人更快看到投入轉型後的產出，就能發揮效果來降低疲憊感。尤其，當轉型發展進入企業日常流程、文化的變革時，更容易出現疲勞感，需要用新的方法來因應轉型後半段的挑戰。</p> <p>劉培文強調，數位轉型發展到最終，每一家企業所有的產品、服務和流程都會變成軟體定義的形式，如何擴大轉型成果的規模，得讓業務團隊擁有善用數位的野心，能夠自己分析、思考數位技術的可能運用形式，甚至打破原有的業務框架來思考。</p> <p>所以，他期望累積更多IT敏捷成功經驗，擴大到銀行所有產品、流程都能擁抱敏捷團隊，借助迭代方式，以短時間周期來交付價值給顧客，這是第一銀行正在進行中的龐大「人的工程」。</p> <p>「不要以為花錢就是做轉型，這是一種錯誤的安全感。」劉培文強調。這一句話不只是對金融產業，更是他對所有展開轉型企業的提醒。</p> <p><a href="https://www.ithome.com.tw/article/157785" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="font-size: 20px;"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span></strong></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1138-feng_mian_p1-open-2023_cioda_diao_cha_xi_lie_4-960x420_kao_bei_.jpg?itok=Yhul5Rad" style="width: 500px;" /></a></p> </div></div></div>
2023/7/14 16:43作者王宏仁https://www.ithome.com.tw/news/157788
【iThome大調查系列4】2023 CIO大調查產業趨勢篇（下）
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1138-feng_mian_p1-open-2023_cioda_diao_cha_xi_lie_4-960x420_kao_bei_.jpg?itok=Yhul5Rad" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位轉型領先的金融業，開始進入後半段更難課題，上雲大鬆綁加速了醫院擁抱雲原生的腳步，零信任資安則帶給政府全新的開發挑戰。各產業數位轉型之路，更邁向不同的方向</p> </div></div></div>
2023/7/14 16:45未署名https://www.ithome.com.tw/article/157785
【廠商永續支援度盤點：SAP】下一版S/4 HANA ERP將內建碳會計功能，但目前不支援舊版ERP或落地部署
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>ERP廠商SAP預計將在下一版的S/4 HANA ERP中，開始內建碳會計的功能，讓企業開始可以在系統中建立和計算自己的碳成本，並自動產生碳報表，未來甚至還可以跟財務資訊整合，查看不同交易活動相關的碳成本，讓企業可以在營運決策中更全面地考慮永續發展和環境因素的影響。不只碳會計處理，SAP未來還希望能夠將BOM表和差旅等功能與將排資訊結合，來提供更詳盡的碳數據管理。</p> <p>從iThome 2023年CIO大調查可以觀察到，越來越多企業的CIO今年開始將ESG碳盤查資訊蒐集納入ERP系統的支援範疇中，尤其是一般製造業，超過2成的CIO將其列為ESG推動優先IT策略，反映出，財務系統與碳排放數據的結合，變得越來越重要，以便更好地追蹤和評估內外部碳排放成本的情況。</p> <p>尤其，臺灣今年底開始有了明確碳費徵收的碳定價或碳交易機制之後，碳排放的會計處理將變得更加重要，這需要與ERP更緊密的整合，串接各種碳排放數據，建立更明確的碳成本，才能正確計算其碳帳。</p> <p><strong><span style="font-size:28px;">新版S/4 HANA將內建碳會計功能，可以在系統中查看碳排情形並掌握碳帳</span></strong></p> <p>SAP在今年開始加強其ERP產品與碳成本的整合。目前，SAP主要ERP產品是S/4 HANA ，在臺灣不少大型製造業有用。SAP表示，在下一個版本的更新中，他們將新增一個名為「綠色帳本（Green Ledger）」的碳會計功能，讓企業開始可以透過財務帳方式來管理碳帳。</p> <p>也就是說，在新版ERP系統中，除了傳統的會計總帳以外，還將新增一本專門用來記錄和管理碳帳的綠色帳本，這意味著企業可以直接透過ERP系統中查看碳帳，並產生碳財務報表，不需要依賴外部系統來處理。</p> <p>SAP臺灣區客戶諮詢負責人吳孟穎表示，隨著後續版本的更新，還能夠將碳盤查數據與財務報表相結合，使企業用戶可以在財務報表中查看不同業務或交易活動相關的碳成本，包含採購、製造、運輸、銷售等等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1(62).png" style="width: 600px;" /></p> <p><strong style="color: rgb(105, 105, 105);">根據SAP提供的預覽展示畫面，可以看到碳盤查數據和財務資訊結合之後，不僅可以在系統中同時查看整體營收狀況及碳排放數據和其碳成本，還能提供每單位營收的碳排放資訊，並且能將這些碳排資訊根據不同地區，或是依不同產品線來呈現。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_SAP</span></p> <p>吳孟穎表示，SAP的目標是讓企業在每項交易完成時，系統就能自動產生相應的碳排放數據並計算碳成本，然後將其轉換成碳帳放進ERP財務系統中。就像在ERP系統中可以通過交易完成情況來預估毛利一樣，未來每筆交易完成時，企業將能夠同時查看整個碳數據和碳的財務狀況。</p> <p>根據SAP提供的預覽展示畫面，可以看到碳盤查數據和財務資訊結合之後，不僅可以在系統中同時查看整體營收狀況及碳排放數據和其碳成本，還能提供每單位營收的碳排放資訊，並且能將這些碳排資訊根據不同地區，或是依不同產品線來呈現。</p> <p>進一步還可以將財務資訊分配到各個細部的碳盤查項目（範疇1到3），來追蹤和管理不同業務活動相關的碳成本，甚至可以比較每季或每個月的營業利益和碳排放量的趨勢變化，讓企業可以在營運決策中更全面地考慮永續發展和環境影響的因素。</p> <p>SAP預計在2308版的S/4 HANA開始提供碳會計功能，該版本也將是SAP第一個內建綠色帳本的ERP版本。不過，目前只有這個版本的雲端版S/4 HANA有提供此功能。如果企業是採用地端部署的方式，或是使用其他早期ERP版本，如ECC等，官方尚未公開提到是否會在之後版本更新中提供此功能。</p> <p><strong><span style="font-size:28px;">未來將以生產製造BOM表和差旅功能結合碳排資訊為目標</span></strong></p> <p>除了財務模組以外，ERP系統本身還包含多個功能模組與碳排放相關。SAP資深解決方案經理賴勃森表示，SAP短期目標將提供碳會計功能，而長期目標則是希望將這些功能模組底層的數據加上碳因子，以便追蹤和管理相關的碳排放數據。</p> <p>舉例來說，在生產製造模組中的BOM物料清單，可以加入碳資訊，這樣可以追蹤和管理每個產品所使用的原物料和其相應的碳排放量，同樣地在人資模組中，可以記錄和管理員工的差旅和交通方式，進而計算並追蹤其相關的碳排。</p> <p>SAP展示未來企業ERP系統與供應商和碳足跡管理平臺的運作過程，將碳數據流納入整個業務流程中，包含從供應商獲取碳數據，到將其與企業ERP系統內部的相關碳數據進行匯總、分析和計算，以獲得碳排放量和碳成本的資訊，這些過程需要透過API完成碳數據的交換和整合，還得建立一個碳數據網路，作為碳數據交換的統一平臺，並能通過這個碳數據網路，將這些碳排放數據提供給其客戶，作為其碳盤查和管理使用。</p> <p>除了整合碳排放資訊到旗下ERP產品外，SAP還提供了相應的解決方案，來建立和管理企業碳盤查數據，其中一個解決方案是SAP Sustainability Control Tower，可以用來記錄和追蹤企業組織碳排放，並且能夠跟ERP系統，取得相關數據，來計算碳排。此外，還提供碳排放熱點的異常監測和管理功能，讓企業能夠隨時監看不同廠區的排放情況，同時，也能提供相關資訊揭露與自動產生永續相關報告。</p> <p>針對產品碳足跡，SAP還推出另一套管理產品稱為SAP Sustainability Footprint Management（前身為Product Footprint Management），可以透過系統化、流程化方式來計算產品的碳足跡，涵蓋原物料、製造、運輸/配銷、使用階段、丟棄或回收等過程，讓企業可以更能掌握各項產品碳足跡，並評估其對碳帳和最終帳務的影響。</p> <p>就目前SAP提供的永續產品而言，其中，S/4 HANA已經可以提供符合ISO 14064 -2018標準的企業碳管理需求，幾乎涵蓋範疇1~5的碳排資訊，此外，SAP還提供相關的管理模組，包含了組織環境、運輸、差旅、廢棄及回收利用和產品碳足跡，來提供更細緻的碳排數據管理，對應到範疇1~6的企業碳盤查管理和減碳需求。</p> </div></div></div>
2023/7/14 15:21作者余至浩https://www.ithome.com.tw/news/157756
微軟著手以Aptos取代Calibri，成為Microsoft 365下一個預設字型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://medium.com/microsoft-design/a-change-of-typeface-microsofts-new-default-font-has-arrived-f200eb16718d" target="_blank">微軟本周宣布</a>，將以Aptos取代Calibri，作為Microsoft 365的下一個預設字型，同時已開始於Word、Outlook、PowerPoint及Excel等應用中以Aptos字型作為預設值，預計於未來幾個月於全球部署完畢。</p> <p>微軟在Microsoft Office中最早使用的預設字型為 Times New Roman，在2007年時以Calibri取代了Times New Roman，<a href="https://medium.com/microsoft-design/beyond-calibri-finding-the-next-microsoft-365-default-font-5ef83f028be2" target="_blank">在2021年的4月開放</a>使用者投票選擇下一代的微軟預設字型，選項包括Tenorite、Bierstadt、Skeena、Seaford與Grandview，當中又以Bierstadt最能獲得使用者共鳴而雀屏中選。只是Bierstadt作者Steve Matteson之後將它更名為Aptos。</p> <p>字型牽涉到品牌的形象、個性、視覺層次、情感、文化、用戶體驗，也涉及文字的可讀性。Matteson曾開發原始的Windows TrueType核心字型，把Bierstadt更名為Aptos是為了紀念他最喜歡的同名城鎮，位於加州Santa Cruz城的Aptos是個多霧且擁有沙灘、紅杉樹與山脈的小鎮，象徵該字型的多樣化；Matteson還希望Aptos具備已故NPR主播Stephen Colbert的精明語氣，擁有一些人性，不再那麼機械化，讓Aptos得以取得人們的信任，並吸引閱讀。</p> <p class="rtecenter"><img alt="" src="https://miro.medium.com/v2/resize:fit:1100/format:webp/1*65ANc0-f6aC9jcR8bEIwmQ.jpeg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_微軟</span></span></p> <p>Aptos是個無襯線的字型，因而相對簡潔，也有更高的可讀性，也更適合數位媒體與小型螢幕。微軟則說，Aptos還有不同的粗細可設定，既清晰又豐富，有別於Calibri的小寫i與j的兩點細看之下是方形，Aptos則是採用圓形設計。</p> <p>此外，即便Aptos已成為Microsoft 365各種應用的預設字型，使用者依然可以自行變更預設，選擇其它字型，涵蓋供使用者投票的其它4種字型，以及現有的Calibri等。</p> </div></div></div>
2023/7/14 15:28作者陳曉莉https://www.ithome.com.tw/news/157782
Google推出筆記用AI模型NotebookLM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發布了一個稱為<a href="https://blog.google/technology/ai/notebooklm-google-ai/">NotebookLM</a>的實驗性產品，這是Google I/O上發表的Project Tailwind更名而來，目的是要運用人工智慧，協助用戶更好地從筆記中擷取必要的資訊，主要功能包括獲取摘要、回答提問和產生新想法。目前Google僅先向美國用戶開放NotebookLM。</p> <p>NotebookLM這款筆記用人工智慧模型的開發想法，是要透過結合語言模型與現有內容，使用戶可以從中進一步獲取重要資訊，用戶可以將這款產品視為虛擬研究助理，用以總結事實、解釋複雜的想法，甚至是集思廣益。</p> <p>NotebookLM和一般人工智慧聊天機器人的區別，在於NotebookLM資料錨定（Source-grounding）的特性，讓用戶可以限制語言模型僅使用像是Google文件等特定資料來源，比起一般人工智慧模型仰賴大型訓練資料庫中的知識，NotebookLM可專注理解和學習用戶的個人化資訊，以及特定領域專業知識，相當於NotebookLM將用戶選定的來源，作為人工智慧的基礎知識，而這將能夠更有效地回答與這些來源相關的問題。</p> <p>目前NotebookLM僅支援Google文件，用戶可以在Google文件中添加NotebookLM，自動生成摘要，並點出關鍵主題，使用戶能夠更好地理解該文件。不僅如此，NotebookLM也能夠針對文件內容回答問題，針對特定文件創建專有名詞表，或是總結傳記回答統整性問題。用戶還可以要求NotebookLM根據文件內容，產生新的內容，像是產生與文件相關的影片腳本，甚至是針對投資計畫模擬潛在投資者的提問等。</p> <p>Google解釋，由於NotebookLM資料錨定的特性，因此降低模型產生幻覺的風險，更能根據原始資料回應事實，當NotebookLM的答案參照多個來源，也會附上原始引文供用戶簡單查證。</p> </div></div></div>
2023/7/14 12:39作者李建興https://www.ithome.com.tw/news/157776
【2023 CIO大調查：醫療業IT趨勢1】醫療業AP上雲比例近翻倍，數位轉型是CIO第2重要工作
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1138-yi_liao_ye_1-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年是特別的一年，各產業正式告別疫情衝擊，疫後新常態措施有些留下，有些淡出。在這個背景下，年度IT預算反映出產業對局勢轉變的心態，醫療業2023年IT預算成長力道減半，從去年的12.5%降為6.2%，是一般製造業、高科技製造業、服務業、金融業和政府與學校等6大產業中力道最弱的。這意味著，醫療業從疫情特殊時期回歸正常作業，IT預算重新聚焦既有重點，如資安。</p> <p>儘管年度IT預算成長力道減緩，醫療業今年更積極看待IT現代化，尤其是上雲。醫院CIO自評去年AP上雲的比例為7.9%，預估今年底會有14.2%的AP完成上雲，幾乎翻倍。這是因為，衛福部近2年力推醫療上雲，去年7月正式祭出新版電子病歷製作及管理辦法，允許醫院將電子病歷上雲，鼓勵醫院用雲。這代表，醫院已經用公雲來備份資料、使用運算資源或成熟的AI服務，來優化既有作業。這項法規大鬆綁的效果，在今年開始發酵。</p> <p>另一個IT現代化指標是容器化技術，醫療業去年AP容器化占比是16%，今年底預計達到17.4%，進展幅度雖小，但與整體產業漲幅相當。這是因為，醫院核心系統龐大且錯綜複雜，要擁抱容器技術，得先從少數周邊系統或獨立性高的系統練兵，才能逐步擴大。不只IT現代化工作，近半數醫院CIO還看重「提高IT敏捷性、模組化和彈性化」，是疫後新常態沿襲至今的首要IT對策。</p> <p>因疫情加速的數位轉型，今年腳步並未放緩，反而成為醫療業CIO的第2優先工作目標。甚至，醫療業今年數位轉型平均預算達2,094萬元，比去年的1,573萬元成長了33%，在6大產業中名列第2，僅次於成長131.9%的高科技製造業。醫療業重視數位轉型，這包含醫院長年推動的無紙化工作，可細分為完成度高的病歷無紙化，以及多數醫院進行中的同意書、行政類表單數位化工作。甚至，一些醫院開始將這些單張結構化，規畫特定欄位格式，來統一各類資訊描述格式，以利於未來加值應用，如AI分析和預測。不過這種結構化工作，還得仰賴第一線醫護使用者改變原有書寫習慣，需要一段磨合適應期。</p> <p>進一步拆解醫療業數位轉型程度，我們發現，15.1%的醫療業者屬於計畫階段，正在規畫數位轉型工作方向與應用領域，是6大產業中占比最高的產業。另也有71.7%屬於轉型領先者，包括3.8%今年開始推動轉型專案、37.7%持續進行轉型工作，以及22.6%擴大轉型範圍、7.5%持續精進和優化轉型成果，占比位居6大產業第3。</p> <p>不只數位轉型位居醫療業CIO今年度目標Top 2，風險管理和用AI創新應用與服務也分別從去年的28.3%、26.4%，大幅提升到今年的39.6%和37.7%，進入重點工作Top 7排行榜，部分原因推估為生成式AI帶來的機會與挑戰。此外，受全球和臺灣政策影響，ESG企業永續也成為醫療業CIO今年第6重視的目標。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1138-%E9%86%AB%E7%99%82%E6%A5%AD1-600-1.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1138-%E9%86%AB%E7%99%82%E6%A5%AD1-600-2.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1138-%E9%86%AB%E7%99%82%E6%A5%AD1-600-3.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1138-%E9%86%AB%E7%99%82%E6%A5%AD1-600-4.png" style="width: 600px;" /></p> <p><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 165, 0);"> 執行說明 </span></span> </strong><strong><span style="color: rgb(105, 105, 105);"><span style="font-size: 20px;">2023年4月20日到5月10日線上調查臺灣大型企業，有效樣本407家，68.5%填答者為企業IT最高主管。</span></span></strong></p> </div></div></div>
2023/7/14 13:12作者王若樸https://www.ithome.com.tw/article/157778
【2023 CIO大調查：醫療業IT趨勢2】醫療業ESG永續聚焦無紙化，AI預算成長率是6大產業之冠
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1138-yi_liao_ye_2-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>除了資安穩坐第一，醫療業CIO今年度目標Top 7排行重新洗牌，ESG企業永續重要性大增，從去年的13.2%躍升至今年的32.1%，成為醫療業排名第6重要的年度工作。細究醫療業ESG永續任務子項，排行第一的是加速內部無紙化，超過64%的醫院CIO將無紙化視為ESG永續重要工作。再來是提高機房節能省電效率（45.3%），要透過改善機房效能來實現永續，其他重要任務還有注重IT永續（如採用綠能機房）、數位轉型計畫對齊ESG目標，以及將更多對外服務和產品數位化。</p> <p>不只如此，今年，IT在醫院推動ESG永續中的角色比過去更重要，近2成醫療CIO表示，IT會參與企業ESG績效指標設計，另也有1成5醫院將提高上雲比重，列為ESG永續的Top 7工作，要藉雲端服務來降低耗能。</p> <p>不只ESG企業永續擠進2023年醫療業CIO的Top 7工作排行，去年排名第8的「用AI創新應用與服務」，還從26.4%增加至今年的37.7%，名列醫療業CIO第4重要的年度工作。我們也發現，醫療業今年聚焦AIoT、行動AI應用等AI技術，在2023年醫療業Top 7新興技術採用中，這兩者占比大增，分別從去年的18.9%和7.5%上升為今年的24.5%與18.9%，位居Top 2和Top 6，儘管AI/ML應用較去年少了約4%，仍名列第3。AI之餘，醫療業也同步推進IT現代化，微服務架構與K8s/容器技術拿下第1和第2，從去年的22.6%、18.9%增加至今年的34%和24.5%。</p> <p>回過頭來，今年醫療業的AI預算成長，更證明醫療AI的重要。今年醫療業AI預算平均為2千多萬，成長率9.7%，居一般製造業、高科技製造業、服務業、金融業、政府與學校等6大產業之冠，是唯二正成長的產業。這意味著，今年醫院開始擴大AI運算的基礎設施建置，或加碼投資更多AIoT應用，來優化流程、改良既有服務。</p> <p>有趣的是，即使投入更多AI預算，2023年醫療業AI領先企業占比反而是近4年新低，只有50.1%，相比去年、前年和2020年的53.2%、61.5%、62.9%，下降許多。AI領先企業是指導入和驗證階段者、正式上線階段者、擴大採用階段和深化內化階段者，與去年相比，醫療業僅有正式上線（19.6%）、擴大採用（10.9%）和深化階段（2.2%）稍高，導入和驗證階段則從去年的29.8%跌至17.4%，意味著醫療業驗證發現，AI要落地、擴大應用仍具挑戰性。不過，與去年不同，更多醫療業者要在今年展開AI計畫，比例從19.1%上升至26.1%，代表更多醫院想嘗試用AI解決問題。</p> <p>至於今年的熱門關鍵字生成式AI，也有近2成醫療CIO將ChatGPT／GPT類LLM視為重要工作，要用來創新和改善現有工作流程。但生成式AI也帶來新衝擊，醫療業CIO公認，在大力擁抱技術前，得先強化員工ChatGPT資安意識，以及強化機敏資料的保護機制，並調整現有AI發展策略，再來才是鼓勵員工使用、成立種子團隊小規模試做，禁用比例反而很低。可以說，醫療業對新技術持開放心態。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1138-%E9%86%AB%E7%99%82%E6%A5%AD2-600-1-PNG-V2.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1138-%E9%86%AB%E7%99%82%E6%A5%AD2-600-2-PNG-V2.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1138-%E9%86%AB%E7%99%82%E6%A5%AD2-600-3-PNG-V2.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1138-%E9%86%AB%E7%99%82%E6%A5%AD2-600-4-PNG-V2.png" style="width: 600px;" /></p> <p><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 165, 0);"> 執行說明 </span></span> </strong><strong><span style="color: rgb(105, 105, 105);"><span style="font-size: 20px;">2023年4月20日到5月10日線上調查臺灣大型企業，有效樣本407家，68.5%填答者為企業IT最高主管。</span></span></strong></p> </div></div></div>
2023/7/14 13:36作者王若樸https://www.ithome.com.tw/article/157779
資源有限，取之要有道
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>熱炒店因白飯供應被學生一星負評事件，引發全國熱議，有些人認為白飯免費供應不該等同於吃到飽，有些人認為這是賣點，顧客支付的價格已包含這些成本，老闆不會做賠錢生意，眾說紛紜。</p> <p>而在職場多年，大家應該也曾在工作場合看過一些類似的爭議行為，最常見的應該是濫用資源，我們應該要引以為戒，弭平這樣的認知差異，讓每個資源都能獲得合理的運用，而非因個人不需支付這些成本而浪費。</p> <p>以紙張耗用而言，這幾年來因為COVID-19疫情，許多人在家辦公或彈性辦公，不得不改變既有習慣，盡可能使用線上作業來進行協同運作，然而，當大家全都回到辦公室作業時，濫用列印資源狀況似乎又重新上演。</p> <p>事實上，這類狀況相當常見，有些企業或組織會導入較嚴格的列印管理方案，然而，可能並沒有辦法投入額外人力與時間，長期注意個人或部門的列印用量是否合理，去提醒使用者應該注意與思考列印成紙本的必要性，使得有些人養成浪費習慣，甚至是公器私用，而引發爭議。試想一個工作表現十分傑出的人，若因此遭非議，應該很划不來。</p> <p>而在公共衛生方面，很多公司可能會在辦公室、茶水間、廁所等地方，通常會提供衛生紙、擦手紙，然而，有些人可能使用起來沒有節制、甚至會多拿一些帶回家用，使得負責人員需要更頻繁地增添這些用品，而這樣的行為應該都是大多數人所不能接受的。</p> <p>有形的資源浪費尚且有跡可尋，無形的資源浪費同樣是大家需要關注的，尤其在多人協作的工作場合當中，多數人都不想浪費時間、做白工，或被迫臨時放下手邊工作去幫忙其他同事，如何更精確地掌握工作進度與人力時間的調配，會讓大家更樂於面對各種挑戰，做好事前預估、事中修正配置、事後補償，顯然都是必須的。</p> <p>例如，6月上檔的動畫電影《蜘蛛人：穿越新宇宙》獲得極高評價，全球票房7月初已突破6億美元，然而，6月底我們看到一些媒體開始報導幕後的混亂工作狀況，反映了內容製作產業的困境與挑戰。</p> <p><a href="https://www.vulture.com/2023/06/spider-verse-animation-four-artists-on-making-the-sequel.html" target="_blank">根據Vulture網站的報導</a>，在製作動畫過程中，總共有超過1百位工作人員離開這個專案，當中有成員表示，頻繁地進行重大修改在動畫界司空見慣，這些異動通常會發生在初期的故事內容發展與分鏡製作階段，但此電影的團隊表示，他們經常被要求更改已經被批准的動畫連續畫面，而為了這些片段，已產生跨多個後期部門的繁重工作；有些動畫師在2021年被聘入團隊之後，卻空等工作3到6個月，直到身兼編劇和製片的主事者在構圖階段進行粗修之後，也就是第一張以3D方式呈現的分鏡建立。</p> <p>而因為這樣的延宕，導致動畫師被要求每天工作11小時、每週沒有休息，以這樣的頻率持續超過一年，以彌補先前失去的時間，而且到了最終渲染上色階段，還被迫重回圖板繪製階段有5次之多。</p> <p>有位工作人員提到，多次重作同一個畫面且每個部門都要接觸這些內容，代價相當昂貴，因為「牽一髮而動全身」，任何一個異動往往會影響許多工作人員，他請大家想像一下，這些工作如果是以永無止盡的方式持續進行，會是什麼樣的情景。</p> <p>例如，故事內容情節若需改變，會影響構圖、動畫、最終呈現，過程中需調整攝影機與環境中的事物位置，隨著動畫內容改變，衣著與頭髮的視覺特效也要不斷重新製作。</p> <p>正如撰寫這篇報導的記者一開始的自問自答：「為什麼沒有出現更多這麼好看的動畫電影呢？」「……因為要產製這樣的藝術作品所需要的工作條件，是難以保持的（not sustainable）」。</p> <p>而人力資源的寶貴與善用，也是永續議題（Sustainability）不能忽略的面向，我們希望別人勿把努力與工作成果視為理所當然，相對地，我們也不該如此看待別人的付出。為避免爭議或認知差異，對外我們可能需要明確畫清界線以求自保，積極留下相關的證據與確認，免得事後對方翻臉、被反咬一口控訴我們交代不清；對內也需自我克制，無論是免費或付費資源都要體認這些是有限的，替自己、對方、其他使用者留餘地，而非自己佔盡便宜，卻使別人受委屈。若能創造共好局面，未來大家當然樂於持續合作。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E6%B0%B8%E7%BA%8C">永續</a></div><div class="field-item odd"><a href="/tags/sustainability">Sustainability</a></div><div class="field-item even"><a href="/tags/%E4%BA%BA%E5%8A%9B%E8%B3%87%E6%BA%90">人力資源</a></div></div></div>
2023/7/14 13:47作者李宗翰https://www.ithome.com.tw/voice/157780
法官說消費者交易瑞波幣不算證券，讓瑞波幣幣值大漲60%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國證券交易委員會（SEC）在2020年12月<a href="https://www.ithome.com.tw/news/141826" target="_blank">控告瑞波幣（XRP）發行商Ripple Labs違反美國《證券法》</a>（Securities Act），<a href="https://www.courtlistener.com/docket/19857399/874/securities-and-exchange-commission-v-ripple-labs-inc/" target="_blank">美國紐約南區法院的法官Analisa Torres在周四（7/13）指出</a>，消費者透過加密貨幣交易平臺的交易不受《證券法》規範，而讓瑞波幣在24小時內上漲超過60%，從0.47美元漲到0.76美元。</p> <p>於2012年創立的Ripple發行了1,000億個瑞波幣，由於SEC將瑞波幣視為證券，因而在2020年控告Ripple與其兩任執行長違反美國《證券法》，未經註冊便擅自發行。</p> <p>而法官Torres則指出，來自機構的瑞波幣交易應受《證券法》管轄，但一般消費者透過加密貨幣交易平臺的買賣則否。</p> <p>這是因為Ripple創立之初便以投資為口號來吸引機構，機構買進XRP是看好Ripple的管理能力以便自XRP獲利，而機構出售XRP也是屬於投資而非消費用途，有些機構還同意根據XRP的交易量來設定鎖定條款或轉售限制。這使得Torres認為Ripple與機構之間的XRP交易構成了未經註冊的投資合約，違反《證券法》規定。</p> <p>有別於機構買家期待Ripple會利用所獲得的資金來改善XRP生態體系並提高XRP的價格，一般消費者使用了程式化銷售（Programmatic Sales）平臺來交易XRP，並不知道自己的交易對象，且絕大多數自加密貨幣交易平臺購買XRP的消費者並未投資Ripple，還有許多人購買XRP時根本不知Ripple的存在。</p> <p>總之，Torres的結論是透過程式化銷售進行交易的活動並未構成投資合約，因而不受《證券法》管轄。</p> <p>目前XRP的市值為410億美元，位居全球第四大加密貨幣，前三名依序是比特幣（BTC）的6,090億美元，以太幣（ETH）的2,410億美元，以及泰達幣（USDT）的834億美元。</p> </div></div></div>
2023/7/14 13:59作者陳曉莉https://www.ithome.com.tw/news/157781
Cloud周報第183期：GCP透露未來生成式AI服務發展持續聚焦雲端，但不排除開發可應用於離線環境中使用的方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（07/07～07/12）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GCP </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI模型 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">GCP透露未來生成式AI服務發展，不排除開發可應用於離線或邊緣環境使用的方案</span></strong></p> <p>目前，三大公雲業者都競相推出自家的生成式AI模型服務，讓企業能夠使用其生成式AI模型來進行調校或訓練，建立自己的生成式AI模型，但這些AI模型服務主要集中在雲端來提供，因此，許多企業在考慮數據安全或法規遵循等因素時，往往遲遲無法採取行動。</p> <p>在近日一場亞太區線上媒體活動中，Google Cloud人工智慧與產業解決方案副總裁June Yang明白指出，目前雲端仍然是該公司主要提供生成式AI服務的重點，但他們不排除未來推出可以在邊緣或離線環境中使用的方案。她進一步表示，目前已經可以在一些小型Android設備上執行生成式AI模型，她提到，只要客戶有這樣的需求或希望滿足本地和邊緣應用，「這是未來有可能實現的事」她說。不過，她沒有具體提到是否包含模型調校或訓練。</p> <p>目前在Vertex AI的生成式AI模型服務中，提供逾60個基礎模型，其中包括Google生成式AI聊天機器人Bard使用的PaLM 2、文字嵌入API等。考慮到模型大小的問題，她也指出，未來可透過知識蒸餾（distill ）方式將雲端這些生成式AI大模型轉化為較小的AI模型，以便在邊緣等環境中執行。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Oracle </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 人資雲 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">搶搭生成式AI熱潮，Oracle人資雲服務率先整合生成式AI功能</span></strong></p> <p>不讓微軟、Google專美與前，雲端資料庫巨頭甲骨文近日宣布將在Oracle Fusion Cloud HCM雲端人資管理服務中結合生成式AI技術，來提高人員生產力和人力資本管理，以及簡化HR流程。這也是甲骨文在雲端服務產品中所推出第一個生成式AI功能。</p> <p>在雲端HCM中新增的生成式AI功能，可以提供多項輔助創作功能，例如可以協助人資主管編寫職位描述和申請、自動建立員工績效目標和衡量標準，並能給予建議，根據正在設計的調查問卷推薦適合題目等。此外也能從各種內部數據中歸納出重點摘要，方便整理和提報使用。</p> <p>Oracle表示，目前生成式AI已經可以應用到100多個HR場景。除了將生成式AI整合到自家雲端產品中，最近Oracle還與AI新創Cohere聯手，開始在OCI公雲上提供生成式AI商用服務。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">IDC </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端市場調查 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">IDC調查：2022年全球公有雲服務市場成長強勁破2成，達5,458億美元</span></strong></p> <p>近日，Google母公司Alphabet公布今年第一季財報，顯示該季Google雲端部門終於成功獲利，盈餘1.91億美元，走出連年虧損的經營困境。這也是該公司自2020年揭露雲端營收以來首次單季盈利。</p> <p>市場調查機構IDC近日發布了2022年全球公有雲服務市場調查報告，顯示2022年全球公有雲服務市場的規模增長22.9%，達到5,458億美元，反應出公雲市場成長依舊強勁。以應用類型來看，SaaS應用為最大宗，依然是推動公雲市場增長的主要驅力，占了整體市場45%比例，達到2,463億美元。其次是IaaS的21.2%和PaaS的17.0%，分別為1,155億美元和926億美元的規模。</p> <p>IDC觀察，該年雲端市場成長有很大一部分跟企業數位優先策略有關。即使進到疫情尾聲，IDC認為，許多企業還是積極上雲加速其內部轉型，進而帶動以IaaS和PaaS為主的應用服務類型，將在未來更加快速增長。</p> <p>從公雲服務業者的市占來看，微軟Azure排第一，占了16.8%，小幅領先第二名的AWS有3.3%，AWS市占為13.5%。統計市占前5名公雲業者去年的收入合計，就占了整體市場41%以上。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端應用開發服務 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">微軟正式推出Dev Box雲端開發箱服務</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(15).png" style="width: 600px;" /></p> <p>經過1年預覽測試後，微軟近日正式推出Dev Box雲端開發箱服務，透過該服務，開發團隊可以更容易在以虛擬機建立的統一遠端桌面開發環境下共同開發，能使用Windows上常見的IDE工具、SDK及各種內部開發工具等，用於開發桌面、行動、物聯網和遊戲等相關應用。</p> <p>正式版Dev Box除了能夠與Windows 365和Microsoft Intune服務緊密整合，提供開發團隊協作與身分安全管控功能外，還增加了與Visual Studio的結合，使得開發人員可以更容易地使用他們熟悉的開發工具進行開發，並把自訂配置即程式碼帶進Dev Box中，來與現有的Git工作流程保持一致。</p> <p>微軟表示，開發者可以選擇使用具有更高效能的Dev Box，來執行需要複雜且大量運算的工作，也可以用它建立隔離環境，用於實驗或概念性驗證。微軟指出，目前內部已有1萬名開發人員使用Dev Box。而在收費機制上，Dev Box將提供按需付費及固定月費的兩種訂閱方案。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Salesforce </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 銷售雲 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Salesforce銷售雲和服務雲推出結合GPT大型語言模型的生成式AI功能</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%963-%E5%9C%963_Cloud%E5%91%A8%E5%A0%B1(8).png" style="width: 600px;" /></p> <p>雲端CRM廠商Salesforce近日宣布將在銷售雲和服務雲中推出結合GPT的生成式AI功能，來提供用戶更好的生產力和與個人化的顧客互動體驗。這也是繼6月中旬在商務雲和行銷雲後，Salesforce更進一步擴大生成式AI在雲端服務應用範圍。</p> <p>這次推出的銷售雲GPT和服務雲GPT，都是基於Salesforce的Einstein GPT大型語言模型為基礎所開發，其中，使用銷售雲GPT服務，能夠根據銷售人員與客戶往來過程自動生成包含數據在內的電子郵件內容，還能摘要語音通話內容，或是擔任助理協助客戶研究等。服務雲GPT服務的功能也不少，例如能根據即時數據自動生成回覆，協助顧客解決問題，或是自動整理客戶互動過程，轉為可供服務團隊使用的知識內容等。銷售雲和服務雲這兩項生成式AI功能預計今年推出。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">混合雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IBM </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">積極布局混合雲市場， IBM以46億美元收購混合雲軟體商Apptio</span></strong></p> <p>近日， IBM宣布已與私募基金Vista Equity Partners簽署併購協議，將以46億美元的現金買下該基金旗下混合雲軟體商Apptio。雙方預計於今年底以前完成交易。</p> <p>成立2007年的Apptio，以提供雲端維運財務管理FinOps相關的SaaS服務為主。Apptio目前擁有1,800多家客戶，其中超過6成是財富100強的公司，且Apptio的合作夥伴皆為知名IT服務商，從AWS、Azure、Google CloudPlatform、Salesforce、ServiceNow、Oracle到SAP等。</p> <p>IBM表示， Apptio的加入，將有助於拓展其在混合雲和AI領域的發展，例如該公司IT自動化軟體及其生成式AI服務watsonx AI未來將與Apptio產品結合，加強企業IT支出管理和優化。</p> <p> </p> <p>圖片來源／Salesforce、Azure、GCP</p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.IBM宣布結束教育雲服務，將在年底前關閉</strong></p> <p><strong>2.雲端筆記軟體商Evernote將裁掉美洲員工，將營運據點遷至歐洲</strong></p> <p><strong>3.AWS推出全託管雲端服務AppFabric，可以將不同SaaS應用集中統一管理</strong></p> <p><strong>4.美國政府傳出將祭出新禁令，限制向中國提供雲端服務</strong></p> <p><strong>5.Google雲端推出可用Hive存取BigQuery資料的開源連接器</strong></p> <p><strong>資料來源：iThome整理，2023年7月</strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2023/7/14 12:07作者余至浩https://www.ithome.com.tw/news/157773
蘋果已釋出最新iOS、iPadOS及macOS Ventura安全更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過更新解決前版修補程式的臭蟲後，蘋果已在昨日釋出最新版iOS、iPadOS 16.5.1及macOS Ventura 13.4.1更新。</p> <p>本周稍早蘋果針對iOS、iPadOS及macOS Ventura<a href="https://www.ithome.com.tw/news/157723" target="_blank">釋出的快速安全回應</a>（Rapid Security Response，RSR）軟體，包括iOS 16.5.1(a)與iPadOS 16.5.1(a)、macOS Ventura 13.4.1(a)，以修補已經發生濫用事件的WebKit程式碼執行漏洞CVE-2023-37450。不過用戶安裝後，發生Safari在瀏覽具有Facebook、Instagram及Zoom等user agent的網站時當掉。這只發生在用Safari時瀏覽網站時，使用Chrome就沒這問題。</p> <p><a href="https://support.apple.com/en-us/HT213827" target="_blank">蘋果緊急撤回並預告要重發</a>。周三蘋果已釋出<a href="https://support.apple.com/en-us/HT213823" target="_blank">iOS 16.5.1(c)與iPadOS 16.5.1(c)</a>、<a href="https://support.apple.com/en-us/HT213825" target="_blank">macOS Ventura 13.4.1(c)</a>。蘋果表示，這波RSR已修復造成部分網站無法適當顯示的問題。</p> <p>手動安裝可以從「設定」>「一般」>「軟體更新」下載安裝最新RSR。未開啟或安裝RSR者，可以等待下一次蘋果正規的iOS/iPad及macOS安全更新，也會包含這次的修補程式。</p> </div></div></div>
2023/7/14 12:27作者林妍溱https://www.ithome.com.tw/news/157777
【廠商永續支援度盤點：VMware】單一VM叢集的碳排放數據變化能立即掌握，但得搭配特定機房IT維運管理產品才能用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>目前，企業已經可以使用特定機房IT維運管理產品，來監控和管理伺服器設備中使用VMware虛擬機器（VM）所消耗的碳排放量，不僅可以觀察整體碳排放數據和能耗在不同時段的變化，還能精細地追蹤單一VM運算叢集每天甚至每小時的碳排趨勢或分布情況，甚至不只VM，未來也能夠查詢容器化應用的碳排放數據。</p> <p>伺服器虛擬化是企業機房常用的IT技術，利用VM提供原有的應用服務，來達到運算資源有效利用，而在這些伺服器設備中使用VM所產生的溫室氣體，雖不如機房冷卻空調設備那樣顯著，但考慮到那些因為發展新AI應用，必須使用算力更強的伺服器硬體、或是大容量儲存設備存取大數據間接產生的碳排，對於這些虛擬化應用執行所造成的碳排放數據進行蒐集和管理，已成了企業IT主管或CIO未來擬定IT機房減碳措施的重要參考之一，甚至是邁向IT永續的關鍵。</p> <p>一般而言，企業採購伺服器設備，除了關注伺服器廠商提供的硬體規格之外，現在還會額外參考其碳足跡報告，以便對於該設備的碳排情況有基本的了解，但是這些數據無法直接反應實際使用中每天、每月因為能源消耗所帶來的碳排，也無法進一步評估每個虛擬化應用服務在伺服器中所占的碳排放比例，來了解不同VM在一段期間內所消耗的碳排放情形，作為日後改善其碳排的依據。</p> <p><strong><span style="font-size:28px;">結合VM碳排放視覺化儀表板，可提供視覺化的用電量及碳足跡資訊</span></strong></p> <p>要計算VM的實際碳排放數據，除了實際監測VM所在伺服器能源消耗來估算其碳排情況外，對於採用VMware vSphere虛擬化方案的企業用戶而言，VMware現在也提供了VM的碳排放數據管理和監控功能，方便使用者掌握其所消耗的碳排放量，但得搭配一套機房IT維運管理產品Aria Operations，才能使用這個功能，這並不包含在VMware原有的vSphere虛擬機器管理方案中。</p> <p>Aria Operations前身是vRealize Operations，以提供企業用戶維運和管理機房虛擬化IT環境的工作負載，後來VMware進一步在Aria Operations中增加了VM的碳排監控和管理功能。</p> <p>在Aria Operations manager管理平臺中，還提供了一個VM碳排放視覺化儀表板，企業用戶可以透過它來觀看使用VM所消耗的耗電量和碳足跡資訊，從儀表板中，不僅可以看到當月消耗的VM總碳排放量，還可以查看閒置VM的碳排情況。這些碳排放數據的呈現方式，可以根據用戶所在地理位置或地區，以及不同的業務類型來顯示。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Aria%20Operation%20%E5%8F%AF%E8%A6%96%E5%8C%96%E7%95%8C%E9%9D%A2-2.jpg" style="width: 600px;" /></p> <p><strong style="color: rgb(105, 105, 105);">在Aria Operations中還提供VM工作負載功耗熱點圖，來了解各個VM目前資源運用的狀況。從熱點圖中，可以很容易分辨出哪些VM是屬於高碳排的狀態，以此擬定減量措施。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_VMware</span></p> <p><strong><span style="font-size:28px;">單一VM cluster完整碳排放資訊能迅速呈現，還能查看不同時段碳排數據的變化</span></strong></p> <p>進一步還能透過一個VM工作負載功耗熱點圖，來了解各個VM目前資源運用的狀況。從熱點圖中，可以很容易分辨出哪些VM是屬於高碳排的狀態，以此擬定減量措施。</p> <p>熱點圖中每個VM的工作負載以不同大小的方格呈現，大方格表示配置的資源較多（如更多CPU核心），系統根據分配給每個VM的資源和其實際使用情況之間的差異，來決定其所處的工作狀態。例如，當VM的承載率超過其分配的資源配額一定程度時，該VM的格子會以紅顏色顯示，代表相對其他VM處於工作量高的狀態，同時產生較多的功耗和碳排放。而閒置中的VM則以綠格子表示，代表它們處於閒置狀態，持續耗用運算資源與電力。<a href="https://docs.vmware.com/tw/vRealize-Operations/8.6/com.vmware.vcom.config.doc/GUID-4CE2F406-C36A-47B7-89E5-240454B421CF.html">根據Aria Operations的說明文件</a>，如果一個閒置VM的碳排放量達到臨界值705公斤，該VM的格子就會變為紅色。</p> <p>Aria Operations的VM碳排計算方式，是利用蒐集ESXi主機和虛擬機客體的功耗，來計算其整體碳排放量。<a href="https://blogs.vmware.com/management/2021/10/sustainability-dashboards-in-vrealize-operations-8-6.html">在預設配置下</a>，一臺配備10核處理器、32 GB記憶體的單路伺服器功耗被設為0.1 千瓦（KW）。而每千瓦小時的碳排放量則為0.709 公斤，電力成本則是0.106美元。</p> <p>VMware臺灣副總暨技術長吳子強表示，針對所使用的每一個VM，使用者還可以查看更詳細的workload資訊，其中包含碳排放資訊，不過，他提到，目前只有VM cluster有提供完整的碳排資訊，如果是單一VM，就沒有碳排，僅有部分能耗資訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Aria%20Operation-1.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>除了提供能耗熱點圖，使用者還可以透過Aria Operations查看更詳細的VM碳排放資訊，不僅可以觀察不同時段碳排放數據的變化，還能查看每天甚至每小時的碳排放趨勢，不過，目前僅限於VM cluster有提供完整的碳排資訊。</strong><span style="font-size: 14px;">圖片來源_VMware</span></span></p> <p>以目前來說，Aria Operations分為標準版、進階版，以及企業版，吳子強表示，若企業用戶希望依需求自行設計客製儀表板，來做不同的ESG碳排數據呈現，就需要進階版本以上。對於所用的每一個VM的碳消耗量，除了可以透過儀表板形式來呈現碳消耗的變化趨勢，也可以直接匯出完整原始數據檔，結合企業IT機房其他設備的碳排，建立自己的碳數據報表。</p> <p>如果想要在Aria Operations中使用VM碳排放視覺化儀表板，需要將系统升級更新到8.2或更高版本。在8.10版本還新增了綠色分數（Green Score）的功能，可用來評估企業用戶在不同方面的指標對於綠色IT營運的影響程度，並給出評分，讓企業可以根據評分結果進行改進和優化。這些指標包含了工作負載效率、資源利用率、虛擬化比例、電力來源及硬體效率。</p> <p>不過，目前這套系統僅能用來監控和管理使用VM所產生的碳排放數據，對於使用儲存虛擬化軟體vSAN建立的虛擬儲存池，以及使用網路虛擬化軟體NSX建立的存取網路服務所消耗的碳排，目前還未納入到這個系統中來管理和監控。吳子強表示，目前正在努力朝這個方向發展。</p> <p><strong><span style="font-size:28px;">不只VM，未來連容器化應用的碳排放數據也能查</span></strong></p> <p>VMware近期並揭露了未來幾年永續即服務產品布局，包括將提高Aria 、vSphere產品碳透明度，提供更詳細能耗與碳排報告及分析，涵蓋應用程式、容器、VM、Host、叢集和DC等範圍，另外也將提升在Aria 、vSphere、Tanzu上工作負載的碳效率，並針對這些工作負載進行優化和改進，來降低其碳排量。</p> <p>VMware未來還計畫與大型公雲業者聯手，共同打造一個零碳雲（Zero Carbon Cloud），將使用可再生能源並進行碳抵消，來提供一個完全無碳排的營運環境。</p> </div></div></div>
2023/7/14 11:14作者余至浩https://www.ithome.com.tw/news/157694
【2023 CIO大調查：金融業IT趨勢1】金融業數位轉型持續但力道緊縮，上雲和AI是新挑戰
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1138-jin_rong_ye_1-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年是金融業深蹲蓄力的一年，為了高度不確定的局勢，得保有隨時應急應變的能力。</p> <p>雖然臺灣疫情在今年正式降階解除，但早在去年底，金融業就開始未雨綢繆，思考如何因應全球不確定的新常態局勢，儲備更多資源來應急，許多金融業者都採取了這個戰略。因此，早在去年底規畫來年預算時，許多金融業者就開始要求各部門緊縮2023年的預算，IT部門也不例外。</p> <p>從iThome 2023年的CIO大調查結果，可以察覺，這一股為了應變而做的蓄力，開始影響了企業IT投資的決策，在金融業更是明顯。金融業今年的IT預算成長率雖然高達9.7%，平均IT預算依舊遠勝各產業，高達14億4千多萬元。但是，從3年變化來看，IT預算的成長力道逐漸減少。</p> <p>甚至，向來是數位轉型先行產業的金融業，往年都是大舉投資數位轉型的金融業，今年一反常態，大幅減少了數位轉型的投資，一口氣減少了24.9%。</p> <p>為何轉型領頭羊，反而大舉緊縮轉型的投資規模？可是，IT預算又持續正成長？可以從CIO年度目標的變化來看到一些端倪。</p> <p>在疫情期間，善用IT抗疫成了企業的重要對策，早一步投入數位轉型發展的金融業，更是因為疫情而加快了原本既定的數位轉型腳步，越來越多金融CIO將數位轉型納入年度工作重點，去年高達47.5%的CIO，將數位轉型視為年度目標。數位轉型成了CIO重要且急迫的任務。</p> <p>可是，今年將數位轉型列入年度目標的CIO，不到4成，只有39.6%，進一步比較CIO在2022和2023年的年度目標清單時，數位轉型竟然是少數負成長的工作目標，這和2023年數位轉型預算大幅縮減情況一樣。這正反映出，一方面，為了因應不確定性的資源緊縮策略的影響，影響了金融業過去幾年對數位轉型投資的挹注。</p> <p>可是，CIO手上可用的IT資源，沒有明顯減少，而是轉向新的目標，ESG企業永續是檯面上最熱門的話題，但對金融業來說，ESG主要影響來自範疇3溫室氣體的衝擊，但這是業務面的課題，而非純IT的課題。對CIO來說，ESG議題高度重要，但可著墨的地方有限。</p> <p>CIO新的目標轉向了強化數位韌性、用AI創新應用與服務、推動資料驅動決策，這三項都是今年CIO優先度提升很多的目標。一方面，早在2019年的金融業上雲法規鬆綁，金融業開始大力擁抱雲原生技術，來推動IT現代化工程，隨著這些基礎工程、平臺逐漸完成建置，金融接下來的課題是如何善用這些新的雲原生平臺，而剛爆紅的生成式AI浪潮，也帶來金融業創新應用的可能，這都讓金融業仍須持續投入更多IT資源來推動。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1138-%E9%87%91%E8%9E%8D%E6%A5%AD1-600-1.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1138-%E9%87%91%E8%9E%8D%E6%A5%AD1-600-2.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1138-%E9%87%91%E8%9E%8D%E6%A5%AD1-600-3.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1138-%E9%87%91%E8%9E%8D%E6%A5%AD1-600-4.png" style="width: 600px;" /></p> <p><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 165, 0);"> 執行說明 </span></span> </strong><strong><span style="color: rgb(105, 105, 105);"><span style="font-size: 20px;">2023年4月20日到5月10日線上調查臺灣大型企業，有效樣本407家，68.5%填答者為企業IT最高主管。</span></span></strong></p> </div></div></div>
2023/7/14 11:14作者王宏仁https://www.ithome.com.tw/article/157771
【2023 CIO大調查：金融業IT趨勢2】金融業更積極擁抱各類雲原生技術，評估生成式AI尋找適用場景
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1138-feng_mian_-jin_rong_ye_2-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位轉型走得早的金融業，在疫情期間更加速了轉型腳步，也有更多金融業者跨入數位轉型後半段，這個發展影響了金融業疫後擁抱新興科技的布局。</p> <p>根據iThome 2023年CIO大調查結果，高達85.4%金融業者是數位轉型領先者，遠高於各產業，不只如此，今年要擴大轉型規模的金融業高達25％，比整體產業平均20.2%還要高，進入數位轉型後期收穫與精煉階段的金融業者，更是達到16.7%，幾乎是整體產業比例9.1%的2倍。這意味著，越來越多金融業者邁向數位轉型的後半段，前期以IT現代化為重的轉型規畫，逐漸完成各項轉型系統建置，這一群轉型領先者轉而聚焦數位轉型後的運用。</p> <p>金融業者在疫情期間，為了IT抗疫的加碼投資、加速對策，隨著今年5月疫情逐漸解除，理應逐漸收尾，但從大調查結果可以發現，就算疫情解除，金融業者仍持續，甚至加碼多項IT抗疫對策，這是在疫後值得注意的金融業IT動向。</p> <p>在金融業持續加碼的10大IT對策中，想要繼續提升DevOps能力的金融業者增加最多，今年高達45.8%金融業者要繼續強化DevOps能力，比去年的27.3%比例多了不少，甚至可以說，今年近半數金融業者要強化DevOps能力。</p> <p>除此之外，另一項更多金融業者持續加碼的重點是IT上雲比重，去年只有27.3%的金融業者要擴大上雲，但是今年超過了4成金融業決定擴大上雲。一方面金管會決定簡化上雲的行政作業流程，讓更多金融業者願意將更多系統或服務搬上雲端。</p> <p>另一方面，以SaaS形式提供的ChatGPT浪潮，迫使金融業者，必須在投入龐大資源自建算力池，或是可按需計價的AI雲端服務形式之間，做出選擇。從我們對新興科技採用動向的調查可以看到，今年有高達18.8%的金融業者要採用ChatGPT或GPT類的大型語言模型技術，換句話說，這2成金融業者決定，直接嘗試用雲端AI來探索生成式AI的應用可行性，以加快尋找適用場景的速度，這更有助於帶動金融業者嘗試其他類型的AI服務，或商用IT雲端服務，有助於進一步帶動企業將更多AP上雲的發展，對金融業者上雲的發展，形成一股正向循環的推力。</p> <p>不過，金融業者的內稽、內控等規範，向來比其他產業繁多，要將更多AP上雲，不只是技術問題，還得配套調整相關制度的合規作業。這是一項不難，但需要時間處理的水磨工作，這也是許多金融業者長說正在強化雲原生準備度，但還沒到大舉運用雲原生技術的緣故。等到，金融業明年更完善各項雲原生合規機制之後，值得期待的是，臺灣將會迎來新一波金融雲原生應用的爆發潮。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1138-%E9%87%91%E8%9E%8D%E6%A5%AD2-600-1-V2.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1138-%E9%87%91%E8%9E%8D%E6%A5%AD2-600-2-V2.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1138-%E9%87%91%E8%9E%8D%E6%A5%AD2-600-3-V2.png" style="width: 600px;" /></p> <p><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 165, 0);"> 執行說明 </span></span> </strong><strong><span style="color: rgb(105, 105, 105);"><span style="font-size: 20px;">2023年4月20日到5月10日線上調查臺灣大型企業，有效樣本407家，68.5%填答者為企業IT最高主管。</span></span></strong></p> </div></div></div>
2023/7/14 12:00作者王宏仁https://www.ithome.com.tw/article/157772
Google Bard現在懂中文等40種語言、會說話、也在歐盟推出了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周四（7/13）宣布更新AI聊天機器人Bard，使它能理解中文等40多種語言、會說話，也在歐盟、巴西等地上線。</p> <p><a href="https://www.ithome.com.tw/news/156829" target="_blank">5月Google僅在180餘國推出Bard</a>。本來Google預計6月中在歐盟推出，但因歐盟主管機關要求補件，使這個AI聊天機器人<a href="https://www.ithome.com.tw/news/157327" target="_blank">未能如願上線</a>。本周Bard終於在更多地方，包括歐盟、巴西、越南及沙烏地阿拉伯等地上線。</p> <p>除了在新市場上線，Bard也加入多項新功能，包括能辨識40多種語言、理解圖像等視覺輸入，還能說話等。從今天起Bard能理解中文、印地語（北印度方言）、德語、西語、阿拉伯語，Google說還會再持續加入新語言。而Bard除了以文字顯示查詢結果，也能開口說話；用戶只要輸入提示，再按下聲音圖示，Bard就會將答案講出來。</p> <p>其他功能方面，Bard還在側邊欄加入允許用戶釘選對話、重新命名及日後再接續的功能，例如叫Bard比較夏天運動比賽，日後再叫出之前對話，也能將Bard回應的內容分享給他人。Bard第1版就能輔助用戶撰寫程式碼，不過當時僅支援將結果匯出到Google Colab，現在，Google允許用戶將Python程式碼匯出到Replit。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Bard_SN014a_A001_ExportToReplit_Product_Feature_1920x1080_EN_US_1.gif" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Google</span></p> <p>包括Bard開口說話、釘選／重新命名／日後再續、分享Bard回應，以及將程式碼匯出到Replit等功能，現在都能支援40多種語言。</p> <p>另外，Bard也加入5種語氣調整設定及支援圖片辨識。現在用戶可選擇Bard的回應語氣或風格，有簡單、長、短、專業或輕鬆模式。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Bard_SN012a_A001_Modify_Product_Feature_1920x1080_EN_US_1_1.gif" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></p> <p>此外，5月的Google I/O大會上，Google宣布Bard具備多模（文字、圖片、聲音等）支援，<a href="https://www.ithome.com.tw/news/157359" target="_blank">並預告將把Google智慧鏡頭（Google Lens）功能整進Bard</a>。現在這些承諾已經實現，用戶可在Bard提示列中上傳圖片查詢相關資訊、或純粹標示物品名。透過結合智慧鏡頭及Bard，用戶可以上傳例如涼鞋照片問Bard產品名稱，叫它提供穿搭建議、或是透過Bard導購上網買下新鞋。</p> <p>目前這2項功能僅支援英文，但Google承諾很快會加入其他語言。</p> </div></div></div>
2023/7/14 12:08作者林妍溱https://www.ithome.com.tw/news/157774
Google允許區塊鏈及遊戲類Android App整合NFT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2023/07/new-blockchain-based-content-opportunities-google-play.html" target="_blank">Google本周更新Google Play Store政策</a>，允許區塊鏈及遊戲App開發商在其App加入NFT交易的機制以創新服務。</p> <p>Google Play產品部門經理Joseph Mills指出，Google Play上有許多區塊鏈應用程式，也知道開發商都想整合代幣化（tokenized）的數位資產如NFT（non-tangible token）以創造更引人入勝的體驗。為了確保創新及使用者保護，Google經過和遊戲開發商及Reddit等業者討論後，更新了程式內（in-app）使用NFT的規定以及相關管理政策。</p> <p>在最新的Google Play Store政策下，區塊鏈App及遊戲開發商可加入NFT機制，讓用戶進行程式內NFT交易、獲取NFT回饋，以提升用戶忠誠度。</p> <p>但同時Google也要求開發商必須明白對用戶說明代幣化數位資產。例如如果App開發商會銷售NFT或讓用戶賺取NFT，開發商必須清楚宣告。雖然NFT可提供更具沈浸感及樂趣的體驗，但為保護用戶，開發商不得宣傳或美化這類交易的獲利。</p> <p>此外，根據Google政策，未能符合資格的App開發商，不得收取用戶金錢以提供真實世界價值不明的資產，例如銷售時價格不確定的NFT，開發商就不能銷售給用戶，包括提供隨機區塊鏈的物件，例如虛擬抽獎（loot box）、虛擬扭蛋等。</p> <p>Google接下來會和App開發商討論要怎麼強化區塊鏈應用，例如次級市場等的支援。</p> </div></div></div>
2023/7/14 12:14作者林妍溱https://www.ithome.com.tw/news/157775
Azure AD將更名為Microsoft Entra ID
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在2022年的時候，擴展身分和存取管理產品線發表Microsoft Entra，該產品線包含Microsoft Azure Active Directory（Azure AD）、Microsoft Entra權限管理和Microsoft Entra Verified ID，而現在微軟為了統一產品命名，<a href="https://www.microsoft.com/en-us/security/blog/2023/07/11/microsoft-entra-expands-into-security-service-edge-and-azure-ad-becomes-microsoft-entra-id/">Azure AD將會更名為Microsoft Entra ID</a>，功能、授權方案、登入URL和API都維持不變。另外，Microsoft Entra還加入了Internet Access和Private Access兩款存取控制新產品。</p> <p>微軟預計在2023年底，完成Azure AD產品更名為Microsoft Entra ID，除了名稱更改，所有功能、部署、配置和整合都不變，用戶將會從管理員入口網站、文件和其他Azure AD操作介面看到更改通知。</p> <p>Microsoft Entra ID治理功能正式推出，這是一個完整的身分治理解決方案，可自動化員工身分生命周期，減少IT手動操作，並且提供基於機器學習的身分和應用程式權限，協助企業符合法遵與安全要求，並且更有效率地提高員工效率。</p> <p>Microsoft Entra ID Protection（原Azure AD Identity Protection）將會獲得更新，能夠更即時地防止用戶身分遭盜用，微軟解釋，這項ID防護更新，並非僅根據歷史資料被動撤銷存取，而是運用機器學習技術來辨識登入異常，以及異常用戶行為，進而即時阻止和限制存取。</p> <p>在發布Azure AD更名消息的同時，微軟也宣布Microsoft Entra產品線加入兩個新產品，分別是Internet Access和Private Access。Internet Access是一個以身分為中心的安全網頁閘道器，可保護SaaS、Microsoft 365應用程式與資源的存取，阻擋來自網際網路的惡意流量。而Private Access則是一種身分零信任網路存取產品，用以取代舊版VPN的存取方式，使用戶可以在任何地方並利用任意裝置，連接到混合雲和多雲環境。</p> <p>Internet Access、Private Access與Microsoft Defender for Cloud Apps，將會共同成為微軟Security Service Edge解決方案。微軟解釋，隨著網路攻擊越來越複雜，僅靠身分和網路安全已經無法保護現代企業廣泛的存取點和場景，因此需要透過整合身分和網路存取控制，提供用戶統一的條件存取政策，保護和治理所有身分和資源。</p> </div></div></div>
2023/7/14 09:17作者李建興https://www.ithome.com.tw/news/157769
【資安日報】7月13日，惡意軟體PyLoose挾持雲端工作負載的運算資源，挖掘門羅幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定雲端運算資源的挖礦攻擊，我們昨天報導了針對AWS的攻擊行動Scarleteel，今天又有另一起惡意軟體PyLoose的攻擊行動，駭客入侵雲端工作負載的管道，就是透過能在網路上公開存取的Jupyter Notebook服務。</p> <p>駭客利用含有WHQL簽章的惡意驅動程式發動攻擊，也相當值得留意。因為這幾天有資安業者揭露中國駭客鎖定電玩產業散布Rootkit的攻擊行動，並指出攻擊者藉由帶有簽章的驅動程式來繞過Windows作業系統的多項安全功能。</p> <p>7月初陸續有多家廠商發布安全更新與漏洞修補消息，今天我們會談到Fortinet與SAP，IT人員請仔細看看這方面的消息，及早確認是否要實施緩解作法，或是安裝對應的更新程式。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="http://www.wiz.io/blog/pyloose-first-python-based-fileless-attack-on-cloud-workloads"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體PyLoose挾持雲端工作負載挖掘門羅幣</span></strong></a></p> <p>資安業者Wiz揭露名為PyLoose的無檔案惡意軟體，此為Python指令碼，內含事先編譯完成的XMRig挖礦軟體，駭客主要的攻擊目標是雲端的工作負載，並將其用於挖礦模利。</p> <p>研究人員先是發現，駭客找尋可公開存取的Jupyter Notebook服務，從文字代管服務paste.c-net.org下載惡意酬載PyLoose，並於記憶體內執行。</p> <p>此指令碼啟動後就會對挖礦軟體進行解碼、解壓縮，然後利用Linux應用程式memfd將其載入電腦的記憶體執行。研究人員自6月22日首度發現該惡意軟體的攻擊行動，隨後找到逾200起類似的挖礦攻擊。</p> <p><a href="https://www.trendmicro.com/en_us/research/23/g/hunting-for-a-new-stealthy-universal-rootkit-loader.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客鎖定電玩產業，散布含有微軟WHQL簽章的Rootkit</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/UniversalRootkitLoader-Figure03.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/UniversalRootkitLoader-Figure03.jpg" style="width: 300px; float: right;" /></a>資安業者趨勢科技指出，曾經使用惡意程式FiveSys的中國駭客，近期再度發起新的Rootkit攻擊行動，目標是中國電玩產業。研究人員總共發現8群惡意程式，每一群被發現的樣本數量落差很大，最少2個，最多26個，當中駭客於2022至2023年，濫用微軟的WHQL簽章製作了約75個惡意驅動程式。</p> <p>一旦這些惡意程式執行，就會先透過第一階段的驅動程式，來停用電腦的使用者帳號控制（UAC），以及安全桌面模式（Security Desktop Mode）等防護功能，然後啟動WinSock核心物件（WSK）與遠端伺服器進行通訊，進而於受害電腦下載更多惡意酬載，並直接在記憶體內解碼、執行。</p> <p>而在第二階段攻擊當中，駭客透過可執行檔來當作載入工具，目的是執行未經簽署驗證的核心模組，而這些模組是專門為目標電腦打造，有的能停用Microsoft Defender防護、部署代理伺服器，然後將上網流量重新導向到遠端的伺服器。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.fortiguard.com/psirt/FG-IR-23-183"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Fortinet修補防火牆、網頁安全閘道RCE漏洞</span></strong></a></p> <p>7月11日資安業者Frotinet發布資安通告，指出旗下的防火牆作業系統FortiOS、網頁安全閘道系統FortiProxy存在RCE漏洞CVE-2023-33308，此為記憶體堆疊溢位漏洞，攻擊者可藉由偽造的封包，觸及代理伺服器的政策，或是與SSL流量深層封包檢測功能有關的防火牆政策，進而遠端執行任意程式碼或是命令，CVSS風險評分為9.8，影響7.0.0版至7.2.3版的FortiOS，以及7.0.0版至7.2.2版的FortiProxy（舊版本不受影響）。</p> <p>該公司發布新版程式予以修補，若是IT人員無法升級，可先從代理伺服器、防火牆的政策著手，將SSL流量檢查組態的HTTP/2支援功能暫時停用。</p> <p><a href="https://www.securityweek.com/sap-patches-critical-vulnerability-in-ecc-and-s-4hana-products/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">SAP發布7月例行更新，修補ECC、S/4HANA漏洞</span></strong></a></p> <p>7月11日SAP發布本月份例行修補，總共發布16則新公告。當中最為危險的漏洞是CVE-2023-36922，受影響的產品，主要是SAP的企業核心元件（ECC），以及ERP系統S/4HANA，攻擊者一旦利用這項漏洞，就有可能在通過身分驗證的情況下，將任意的作業系統命令注入目標系統，CVSS風險評分為9.1。</p> <p>另一個SAP呼籲企業重視的部分，則是SAP Business Client用戶端程式的第三方元件更新，該公司導入114版Chromium元件，總共修補了2個重大漏洞、35個高風險漏洞，漏洞CVSS風險評分最高達到9.6。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果重新發布緊急安全更新，原因是瀏覽部分網站可能會出錯</span></strong></p> <p>7月10日蘋果發布快速安全更新（RSR）iOS 16.5.1(a)、iPadOS 16.5.1(a)、macOS 13.4.1(a)，以及Safari 16.5.2，修補了已被利用的零時差漏洞CVE-2023-37450，但有些套用相關更新的用戶，發生網站無法正常顯示的問題。對此，蘋果於12日發布iOS 16.5.1(c)、iPadOS 16.5.1(c)、macOS 13.4.1(c)更新修正上述情形。</p> <p>而對於前述問題發生的原因，資安新聞網站Bleeping Computer指出，很有可能是10日的RSR更新更動了Safari瀏覽器的使用者代理字串（User Agent），在其中加上(a)，而導致部分網站在解析瀏覽器版本的過程出錯，用戶會看到「不支援的瀏覽器」錯誤訊息。</p> <p>資料來源</p> <p>1. <a href="https://support.apple.com/en-us/HT213823">https://support.apple.com/en-us/HT213823</a><br /> 2. <a href="https://support.apple.com/en-us/HT213825">https://support.apple.com/en-us/HT213825</a><br /> 3. <a href="https://www.bleepingcomputer.com/news/apple/apple-re-releases-zero-day-patch-after-fixing-browsing-issue/">https://www.bleepingcomputer.com/news/apple/apple-re-releases-zero-day-patch-after-fixing-browsing-issue/</a></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://moda.gov.tw/ADI/news/latest-news/5701"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣半導體產業推動資安標準SEMI E187，獲SEMI國際標準貢獻獎</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2qwrjed5_dmc.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2qwrjed5_dmc.jpg" style="width: 200px; float: right;" /></a></p> <p>數位發展部數位產業署指出，由台積電與工研院號召臺灣多家半導體與資安業者，制定的半導體資安標準SEMI E187，獲頒2023年SEMI國際標準貢獻獎，工研院資通所團隊及台積電代表工作小組前往於美國舊金山舉行的SEMICON West 2023授獎典禮。</p> <p>此獎項的意義，在於肯定臺灣制訂的資安標準，對於全球半導體與其供應鏈產業之重要影響及卓越貢獻。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://hitcon.org/2023/CMT/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">2023台灣駭客年會HITCON社群場將於8月18日、19日舉行</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/HITCON-CMT2023-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HITCON-CMT2023-1.jpg" style="width: 300px; float: right;" /></a></p> <p>台灣駭客協會於7月11日宣布，台灣駭客年會社群場HITCON Community 2023將於8月18日、19日，於中央研究院舉行，本次的主題是「AI在資安領域的進化」，針對全球各地持續引爆的AI風潮，對於資安的環境帶來的演變進行探討。</p> <p>本次將有近20篇資安研究與技術將於年會發表，議題涵蓋多個呼應AI主題的漏洞揭露及分析、智慧音箱漏洞、VPN防火牆及資安產品自身的安全議題等。</p> <p>而對於AI的探討，台灣駭客協會表示，他們將規畫2個方向，包含了利用AI進行攻擊，以及攻擊AI系統的層面，討論如何對攻擊者與防禦方創造那些機會與挑戰。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://blogs.microsoft.com/on-the-issues/2023/07/11/mitigation-china-based-threat-actor/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國駭客入侵美、歐政府機關的電子郵件帳號</span></span></strong></a></p> <p><a href="https://www.bankinfosecurity.com/clop-crime-group-adds-62-ernst-young-clients-to-leak-sites-a-22514"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客Clop將62個安永會計師事務所客戶列入受害組織名單</span></span></strong></a></p> <p><a href="https://thehackernews.com/2023/07/hackers-exploit-windows-policy-loophole.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客利用Windows政策瑕疵，打造可用於驅動程式的簽章</span></span></strong></a></p> <p><a href="https://unit42.paloaltonetworks.com/cloaked-ursa-phishing/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客APT29假借拋售BMW汽車的名義，對烏克蘭外交官發動釣魚攻擊</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157742">【7月12日】微軟、Adobe、西門子、施耐德電機發布7月份例行修補</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157736">【7月11日】勒索軟體Big Head結合後門程式、竊資軟體或病毒，企圖對受害者造成更多破壞</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157707">【7月10日】勒索軟體BlackByte 2.0利用ProxyShell漏洞進行滲透，5天後向受害組織進行勒索</a></strong></p> </div></div></div>
2023/7/13 17:02作者周峻佑https://www.ithome.com.tw/news/157762
微軟發現中國駭客非法存取歐美政府組織的電子郵件帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://msrc.microsoft.com/blog/2023/07/microsoft-mitigates-china-based-threat-actor-storm-0558-targeting-of-customer-email/" target="_blank">微軟本周揭露</a>，該公司發現一源自中國的駭客組織Storm-0558自今年5月中開始，利用所獲得的一個微軟帳號（MSA）消費者簽章金鑰來偽造身分認證權杖，以存取使用Outlook Web Access in Exchange Online（OWA）及Outlook.com的電子郵件用戶，估計約影響歐美地區的25個政府組織，以及與這些組織有關的個人。</p> <p>微軟是在今年6月中旬收到美國聯邦文職行政部門（Federal Civilian Executive Branch，FCEB）的通知之後才展開調查，當時FCEB在該機構所使用的Microsoft 365雲端服務中，有可疑的AppId存取郵件信箱，於是主動通報微軟與美國網路安全暨基礎設施安全局（CISA）。</p> <p>根據微軟的解釋，MSA（消費者）金鑰及 Azure AD（企業）金鑰是由不同的系統發行與管理，而且應該只在各自的系統上有效，但駭客利用一個權杖驗證問題來假冒Azure AD用戶以存取企業郵件，目前尚無跡象顯示有任何Azure AD金鑰或其它的MSA金鑰遭到駭客利用。</p> <p>此外，此一MSA金鑰及偽造的權杖也只被用來攻擊OWA與Outlook.com，並未有其它服務受駭。</p> <p>在查明原因後，微軟改善了MSA金鑰管理系統的安全性，置換了該金鑰，並封鎖了所有以該金鑰簽署的權杖。</p> <p>Storm-0558的目的在於間諜活動、竊取資料與憑證，<a href="https://www.ithome.com.tw/news/157415" target="_blank">與6月初造成Outlook.com當機的事件不同</a>。6月的攻擊是由另一駭客組織Storm-1359所主導，主要發動DDoS攻擊，不僅影響Outlook.com，亦波及了Microsoft Teams、SharePoint Online與OneDrive for Business等微軟服務。</p> </div></div></div>
2023/7/13 17:06作者陳曉莉https://www.ithome.com.tw/news/157763
安全修補程式影響特定網站，蘋果要撤回重發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/157723" target="_blank">本周稍早釋出</a>修補WebKit零時差漏洞的更新軟體造成Safari在瀏覽某些網站時當掉，蘋果緊急撤回，<a href="https://support.apple.com/en-us/HT213827" target="_blank">並預告很快會重發</a>。</p> <p>蘋果周一釋出快速安全回應（Rapid Security Response，RSR）以緊急修補瀏覽器引擎WebKit中，一個已經遭到濫用的漏洞。受到影響的產品包括iOS與iPadOS 16.5.1、macOS Ventura 13.4.1及Safari 16.5.2。攻擊者可設立惡意網頁並傳送連結誘使用戶造訪。用戶裝置處理該網頁內容後，會引發任意程式碼執行。</p> <p><a href="https://forums.macrumors.com/threads/apple-releases-rapid-security-response-updates-for[…]1-to-fix-actively-exploited-vulnerability-updated.2395527/" target="_blank">但是一些用戶反映</a>，安裝最新版RSR後，在以Safari造訪某些user agent的網站，包含Facebook、Zoom、Instagram等，會出現「瀏覽器不支援」的錯誤訊息，而無法順利使用網頁。而關閉Safari外掛、清理設定都無法排除。只有Safari會引發無法瀏覽網頁，若使用Chrome就沒有上述問題。</p> <p>發生這些問題的用戶似乎不少，<a href="https://support.apple.com/en-us/HT213827" target="_blank">蘋果周二表示</a>接獲通報，最新RSR可能造成某些網站無法適當顯示。</p> <p>蘋果已經撤回<a href="https://support.apple.com/zh-tw/HT213823" target="_blank">iOS/iPadOS 16.5.1 (a)</a>及<a href="https://support.apple.com/zh-tw/HT213825" target="_blank">macOS 13.4.1 (a)</a>的安全更新，且預告很快會釋出iOS/iPadOS 16.5.1 (b)及macOS 13.4.1(b)。</p> <p><a href="http://support.apple.com/zh-tw/HT213823" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0713-iOS%2016_5_1%20(a)%20%E5%92%8C%20iPadOS%2016_5_1%20(a)-CVE-2023-37450.png" style="width: 600px;" /></a></p> <p><a href="https://support.apple.com/zh-tw/HT213825" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0713-macOS%20Ventura%2013_4_1%20(a)-CVE-2023-37450.png" style="width: 600px;" /></a></p> <p>如果已經安裝RSR的用戶，蘋果也提供移除的指示。iPhone或iPad方面，可以循「設定」>「關於」>「iOS版本」，點入「移除安全回應」後確認。至於Mac電腦則是從「蘋果選單」>「關於這台Mac」，點擊「更多資訊」，再從「macOS」版本號處點擊「資訊」>「移除與重新啟動」再確認。</p> <p>若為了安全性不想移除，<a href="https://forums.macrumors.com/threads/apple-releases-rapid-security-response-updates-for[…]1-to-fix-actively-exploited-vulnerability-updated.2395527/" target="_blank">MacRumors討論區有用戶建議</a>將執行user agent的預設瀏覽器改成macOS版Chrome。方法是從Safari「設定」的「進階」頁開啟「在工具列顯示Develop選單」，然後從該選單將user agent改成Chrome，即可順利執行網頁。</p> </div></div></div>
2023/7/13 14:19作者林妍溱https://www.ithome.com.tw/news/157760