iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 5篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 15:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

用專家默會知識強化AI需求預測力
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0724-itshu_zhai_-1p-aixu_qiu_yu_ce_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">商周出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>運用需求預測AI應該以新產品為目標。</p> <p>根據我的感覺，現有的商品存在著過去的數據，因此應用統計學的時間序列模型就足以預測其需求。這是基於預測精確度的事實依據。</p> <p>當然，前所未有的大型行銷活動、社群媒體的話題傳播、疫情之類的劇烈環境變化無法預測，之後的需求預測很難只靠時間序列模型也是事實。但許多商品的短期需求預測，只要能夠確實管理統計學的需求模型，就有機會達到足夠的精確度。畢竟AI也很難應付這些突如其來且前所未有的環境變化與策略，時間序列模型的精確度極有可能遠勝於AI。</p> <p>至於沒有過去數據的新商品，各個業界都以因果模型處理。他們整理出哪些要素影響需求，並參考擁有類似要素的基準商品的銷售實績，這種方法具有預測精確度較高的傾向。</p> <p>然而整理出需求的因果關係，需要擁有該商業領域的深入知識。至少也必須具備足以理解多元迴歸分析的統計學知識。因此根據我的印象，在很多行業中，建立自己公司因果模型的企業仍然不多。</p> <p>除了時間序列模型與因果模型之外還有判斷性模型。譬如應用德菲法或AHP的模型，以及預測市場等，這些都是嚴謹的方法，在某些商品上的預測精確度甚至有可能超越因果模型，然而就花費與技術需求的觀點來看，能夠運用這種預測模型的企業非常之少。廣泛使用的判斷性模型不是由上而下的數字目標，就是將業務負責人報告的數字往上疊加的思考邏輯，這些方法往往具有主觀性高、精確度低的問題。</p> <p>從這些企業的實際狀況來看，新商品的需求預測，尤其在發售之前仍有很大的改善空間。</p> <p>即使是AI，在學習資料的選擇與創建，也必須參考背後的因果關係。不過，只要能夠準備一定數量的數據，可能並不需要像統計模型那樣，把因果關係整理得那麼完備。</p> <p>不斷地有人指出，AI預測存在有根據不明確的缺點，但隨著新的演算法逐漸開發出來，透明度也愈來愈高。我想，日後AI有可能會發現人類尚未察覺的需求法則。</p> <p>綜合以上所述，我認為如果想要引進需求預測AI，建議優先考慮用在新商品上，尤其是在發售之前。不過，以AI取代現有的預測模型沒有意義，最好兩者併用。</p> <p>關於預測根據的說明力，統計模型較占優勢。此外，如果擁有許多要素類似的基準商品的銷售實績，譬如商品在改版前的銷售狀況，時間序列模型或因果模型就有機會達到極高的精確度。</p> <p>採取先進需求預測的全球性企業，使用的是三角測量式概念（Triangulation），以多種預測模型評估各預測值的合理性，考慮如何透過SCM與庫存計畫進行風險管理。我認為AI在這方面可以得到有效的應用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_AI%E9%9C%80%E6%B1%82%E9%A0%90%E6%B8%AC_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%95%86%E5%91%A8%E5%87%BA%E7%89%88-600-2.png" style="width: 436px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_商周出版</span></p> <p><span style="font-size:28px;"><strong>成功實現商品訂購自動化的食品超市</strong></span></p> <p>我從二○一七年開始參與需求預測AI的開發，原本以為只要讓AI學習來自公司內外的大量數據，就能提高AI的預測精確度。</p> <p>但這個方法卻行不通。因為一家企業的新商品相關數據頂多只有數百個樣本，不足以作為AI的學習資料。離開實驗室來到現實的商業環境後，經常出現像這樣的數據量限制，這時候「學習資料的管理」就變得相當重要。</p> <p>評估不同商品的AI預測結果，就會發現有的精確度高，有的精確度低。由此推測在需求的因果關係方面缺乏某些資訊。想要有效解決這個問題就不能只是蒐集分散公司內部各處的數據，如果有必要也必須感測或創造新的數據。</p> <p>舉例來說，如果缺乏關於顏色的資訊，就去研究室尋找。為了表現外國旅客的喜好，分析過去受歡迎的商品特徵，並設計指數也能順利發揮作用。公司內部的BI（Business Intelligence）沒有需求預測觀點的數據，因此需要由該領域的商業專家創造數據以表現需求的因果關係，我稱之為「假設驅動的數據管理」。</p> <p>像這樣創造AI的學習資料，在其他行業似乎也變得同樣重要。分店遍及全日本的食品超市集團LIFE Corporation，在全國分店引進需求預測AI的自動化訂購。他們從需求預測的角度，整合以箱為單位訂購和散裝訂購的商品編碼、考量早晨與傍晚等不同時段的需求特性，充分運用只有零售現場的專家才能想到的智慧。</p> <p>這樣的數據建立工作花費了將近一年半的時間，而這種AI的預測精確度，也達到傳統主觀預測的訂購負責人同樣的程度。</p> <p><span style="font-size:28px;"><strong>累積符合商業課題的數據</strong></span></p> <p>人類在數據分析的速度與準確性方面比不上AI。但人類擁有靈活的發想力，唯有人類才能蒐集並創造有效的學習資料，因此AI與商業人士協作時的重點就在這裡。人類的其中一項優勢就在於，即使數據模糊或不完整，依然能夠根據這樣的資訊進行預測。</p> <p>但這樣的預測含有偏誤及雜訊，導致預測精確度降低。需求預測必須考量的要素由人類設定，至於要素的比重或許可交由AI決定。</p> <p>開發AI的商業人士，需要具備思考「利用AI可以解決哪些商業課題，而解決這些課題又需要累積什麼數據」的能力。</p> <p>以需求預測為例，需要思考的就是：</p> <p><span style="color:#B22222;"><strong>● 哪些因素可能影響需求？</strong></span></p> <p><span style="color:#B22222;"><strong>● 這些因素具體來說該衡量哪些數據？</strong></span></p> <p><span style="font-size:28px;"><strong>利用專家的默會知識設計AI學習資料</strong></span></p> <p>常有人戲稱，不使用統計學的需求預測，靠的是直覺、經驗與膽量，但隨著AI開始被應用於需求預測的實務當中，我覺得人們將再次開始重新評估這樣的作法。</p> <p>在目前的階段，先不論只靠基本數據、銷售實績、庫存資訊以及少許外部環境因素（譬如天氣和人口動態等）就能進行預測的商品，許多商品（服務）的需求，大幅受到宣傳、賣場魅力、銷售員的商品說明等難以定量化的市場因素影響，這些商品就很難開發預測精確度高的AI。</p> <p>舉例來說，現在已經知道高價化妝品與服飾的需求，大幅受到店內銷售員對商品的介紹影響，卻很少有企業對此進行定量評估，並累積充分數量的體系化數據。如果是該領域的專家，應該能夠從經驗中得知哪些要素會影響這項商品的介紹。設計一個機制將這些要素化為數據，並在盡量不增加負擔的情況下持續累積，就變得非常重要。</p> <p>這時，找出過去的需求預測專家所使用的、來自經驗的直覺到底是什麼，就變成一件重要的事情。</p> <p>這樣的直覺不應該是胡亂猜測，而是立基於來自經驗的默會知識，所以才能在實務當中擁有一定程度的精確度。</p> <p>問題不在於預測邏輯，而是這樣的思考歷程一直以來都沒有被視覺化。</p> <p>商業中的需求預測，並非培養或聘雇一名頂尖的規劃師即可。擁有一個組織，能夠擴大預測的技術、並磨練維持技術的能力相當重要，這就是組織學習。</p> <p>換句話說，有必要設計出能夠長期持續的流程或機制，並建立起重視需求預測的組織文化。</p> <p>這方面可以參考一橋大學榮譽教授野中郁次郎提出的知識創造理論。默會知識是知識間的碰撞，而我對這句話的解釋是，商業領域的專業人士之間，針對彼此的假說認真議論，並藉由這樣的過程所形成的形式化知識。</p> <p>這可以想像成，精通自家公司商品需求背後的市場、消費者、競爭者等的商業人士，彼此分享與實際銷售數據相關的各種數據，並且討論這些數據的解釋。</p> <p>實際上，我在二○一四年，也就是從事需求預測的第四年，就開始將這樣的過程體系化，現在已經有一套固定的機制。我們以這個過程中累積的知識為基礎，蒐集並創造AI的學習資料。此外也在AI的學習反饋迴圈運作的過程中，持續同樣的碰撞。這就是需求預測的知識管理。<span style="color:#696969;"><strong>（摘錄整理自《驚人的AI需求預測》第二章，商周出版提供）</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_AI%E9%9C%80%E6%B1%82%E9%A0%90%E6%B8%AC_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%95%86%E5%91%A8%E5%87%BA%E7%89%88-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_商周出版</span></span></p> <p><span style="font-size:24px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> <span style="color:#3399ff;">驚人的AI需求預測</span></strong></span></p> <p><strong>山口雄大（Yamaguchi Yudai）／著；林詠純／譯</strong></p> <p><strong>商周出版</strong></p> <p><strong>定價：400元</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%20AI%E9%9C%80%E6%B1%82%E9%A0%90%E6%B8%AC_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.jpg" style="width: 120px;" /></p> <p><a href="https://www.amazon.co.jp/%E5%B1%B1%E5%8F%A3-%E9%9B%84%E5%A4%A7/e/B0887X68FD/ref=aufs_dp_fta_dsk" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Amazon</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>山口雄大（Yamaguchi Yudai）</strong></p> <p>NEC AI．分析事業總部需求預測技術傳教士。於青山學院大學擔任兼職講師（Supply Chain Management）。YCP Solidiance需求預測顧問。</p> <p>畢業於東京工業大學社會理工學研究科，早稻田大學經營管理研究科。在資生堂股份有限公司負責各種化妝品品牌的需求預測，曾擔任S&OP團隊經理，現任職於NEC。日本物流系統協會「將SCM與行銷結合！需求預測的基礎」講師。在《Journal of Business Forecasting》（Institute of Business Forecasting & Planning）等刊物發表需求預測的論文。</p> </div></div></div>
2023/7/28 12:00未署名https://www.ithome.com.tw/article/157910
上雲之後，需重新審視架構與成本
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於企業而言，當面臨IT基礎架構轉換平臺的時機，往往也會面臨類似價值觀須跟著改變的衝擊。</p> <p>以伺服器為例，從原本企業在機房自行管理改成放置到其他業者機房代管，甚至改用主機租賃服務，我們很快就會發現成本結構的變化——雖然管理負擔變輕了，能夠省下更多機房空間、設備電力、溫溼度環境維持費用，以及維護這些設備與環境的人力與時間，比起長期聘用專人負責設定管理維護、採購建置合適的機型，以及最終需要處理汰換、轉移等程序，相關支出可能得以精簡、趨於單純。</p> <p>然而，如果企業需要對這些不在直接控管範圍內的伺服器，進行細部處理時，勢必要犧牲一些原本大家不太在意的彈性與便利性，像是：企業或廠商提供的設備規格會受到機房環境的限制，而可能無法完全滿足客戶對於特定組態配置的偏好；系統管理人員無法馬上到設備前操作，而必須跨越實體距離，可能要搭乘交通工具，或經由網路對該設備進行遠端存取，或委託業者的人員就近操作。</p> <p>到了伺服器虛擬化平臺、軟體定義資料中心席捲企業IT基礎架構時，所涉及的IT服務能量調度，已不僅止於實體的伺服器、儲存系統、網路交換器等設備，而是同時夾雜經由虛擬化技術轉換而成的運算、儲存、網路資源，該如何決定各種應用系統該放在伺服器虛擬化平臺，進行系統與資源整併，或是交由獨立實體設備來承載，也成為關鍵考量。以企業自行管理機房的狀況而言，此時權衡整體IT成本的因素，還必須涵蓋到系統軟體使用授權的計價方式，因為不同廠牌、版本的伺服器虛擬化平臺、伺服器作業系統，以及使用的處理器核心數量、記憶體容量，可能影響IT支出，而為了避免過度負擔所謂的虛擬稅（vTax），企業在這些平臺執行的應用系統，勢必要進行某種程度的調整。</p> <p>而隨著雲端服務、容器化的浪潮崛起，企業導入這些技術的風氣越來越盛行，從單體走向分散式、微服務等架構的應用系統越來越多，再加上這幾年經歷COVID-19疫情、烏俄戰爭衝突，企業與組織都面臨數位轉型需加速推動的沈重壓力，使得各界對於「上雲」已不再像過去那麼排斥，然而，對於實際使用雲端服務的單位而言，除了因此更快取得可用的IT環境或應用系統服務，更大的規模擴充彈性，是否會出現預期之外的成本支出，仍是大家所擔心的部分。</p> <p>在7月19日舉行的2023 iThome 臺灣雲端大會，國泰世華銀行資深副總王志峰在主題演講中，提到他們將一套內部系統上雲時，就曾遇到這樣的成本衝擊與調整模式的經驗，<a href="https://www.ithome.com.tw/news/157921" target="_blank"><span style="color:#3399ff;">我們的採訪主任余至浩也在後續發布的報導談及此事經過</span></a>。</p> <p>他們起初是在公有雲服務設置一臺虛擬機器，將執行在虛擬機器的系統搬到這臺雲端虛擬機器執行，所有組態都沿用原本虛擬機器的設定，但他們後來發現這臺虛擬機器／應用系統的使用頻率並不高，每月只有一兩百次，卻要花上5萬元；後來他們決定將此系統搬回企業內部資料中心執行，並將其改寫為支援雲端原生架構的應用程式，之後再放到公有雲執行，若需要使用此系統時，才會啟動承載應用程式的雲端服務，平時沒用到就關閉、不啟動。當他們把這個系統調整成這樣的模式之後，他們觀察到相關雲端服務費用大幅縮減，相較於先前持續以整臺虛擬機器的方式執行，節省了一半以上。</p> <p>上述使用經驗的分享，其實只是該場演講內容的一小段，副總只講了3分鐘，很多人可能不一定注意到，我們卻覺得這十分寶貴，相當具有啟發性。因為過去我們聽過很多公有雲業者與協力廠商積極宣傳上雲好處，也聽過系統廠商提醒大家關注上雲成本，其實並不低，雙方各執一詞。企業與組織夾在中間無所適從，卻很少聽到大家討論如何調整既有系統的使用方式，以獲得最大好處，希望未來能有更多企業與專家現身說法，讓所有人了解興利除弊的關鍵概念與具體作為。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E4%B8%8A%E9%9B%B2%E6%88%90%E6%9C%AC">上雲成本</a></div></div></div>
2023/7/28 12:00作者李宗翰https://www.ithome.com.tw/voice/157944
不惜重構支付系統掌握技術力，全盈支付靠IT服務過百萬用戶
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾年在疫情影響下，為避免接觸傳染，國內非現金支付快速成長，根據金管會今年5月統計，國內電子支付帳戶總數破2,440萬個，比臺灣總人口數還多。去年電支市場迎來新變化，2家具有零售背景的新進業者跨足電子支付，挾龐大雲售通路會員基礎切入市場，吸引更多人使用電子支付。</p> <p>其中一家新進業者是全盈支付金融科技（簡稱全盈），由超商、銀行和電商等三方投資成立，去年4月正式推出全盈+Pay，靠著大股東超商打下的零售通路基礎，在其龐大會員數及點數助攻下，全盈現已有超過10萬個消費合作支付點，開業1年達到150萬用戶，截至今年5月為止成長至超過160萬用戶，為市場後起之秀。</p> <p>全盈支付從公司成立，到正式推出電支服務，不到2年時間迅速累積100多萬用戶，背後打造IT系統支援業務發展的是全盈支付金融科技資訊科技處資訊長鍾明峰，他曾在遠傳電信加值服務部門任職，負責加值服務開發、系統維運。</p> <p>回憶過去在電信產業的工作經驗，電信產業相當注重服務高度穩定，核心業務以通話為主，以秒收費，如果服務系統出現異常，就會立刻造成營收的損失，手機無法通話、收發簡訊、無法上網，都可能產生客訴，並受到主管機關關切。讓他印象深刻的是，當時如果服務系統一出現異常，維護團隊就要立刻用跑的到現場維修，設法排除問題恢復正常服務，因為只要晚一秒恢復服務，都會造成營收的損失。</p> <p>然而，電信產業強調服務的穩定，到跨入金融科技領域，面對瞬息萬變的消費市場，需要快速反應消費需求、上線新功能，鍾明峰如何去適應IT工作角色及心態的劇變？</p> <p>在加入全盈之前，他進入國內老牌會員點數行銷公司任職，首次從電信產業進入消費零售產業，讓他體會到行銷零售需要和消費者站在一起，清楚掌握消費需求及體驗，才能提高銷售增加營收，會員點數行銷公司需要善用消費數據、會員點數，讓消費者使用點數折抵來刺激消費。</p> <p>過去他在電信業講求穩健、完美，新服務或功能的開發要考慮相當多因素，一個簡單功能，開發到100分後才會上線，往往要3到6個月後才會上線，開發出來的新服務或功能不一定受到用戶的青睞。但是，在零售行銷產業為了在短時間內趕上稍縱即逝的市場需求，必需加快開發的步調才能適應變化，「必需因應消費市場競爭，先做到70或80分，當新的服務成功後，再將它提升至100分」，鍾明峰說。</p> <p>從電信業要求的服務穩定、緊急應變，到零售行銷產業，站在消費第一線，隨時因應市場需求加速開發，讓鍾明峰深深感受到過去10年IT工作的明顯變化，以更豐富的IT經驗挑戰金融科技領域。</p> <p><span style="font-size:28px;"><strong>將支付工具化嵌入其他業者的服務</strong></span></p> <p>相較於其他電支業者，以電子支付為中心，推出獨立支付App，串接各種消費通路，全盈在經營策略上，不以支付為中心，因此沒有推出獨立App，而是將電子支付工具化，嵌入到其他業者服務裡，例如成為超商會員App的支付選項之一，也進入社區生活管理、職場等其他場域。</p> <p>此外，過去電支業者投入大量的行銷補貼，祭出各種消費優惠、折扣來吸引消費者，快速衝高用戶數，全盈雖然也提供補貼，但相比於競爭對手，到去年12月為止，全盈投入的行銷金額僅有將近5千萬元。儘管不以大筆金額補貼消費，其用戶數仍穩定成長突破百萬，合作支付點總數超過10萬，這項成績的背後少不了IT團隊的付出。</p> <p><span style="font-size:28px;"><strong>自己重構核心支付系統掌握技術力</strong></span></p> <p>身為電支生力軍，全盈必需從無到有建立系統，剛開始在籌備時期，他們選擇由金流資服業者為其客製化的電子支付系統，這套系統原先是為第三方支付所設計，經過效能測試發現無法滿足短時間內大量交易的需求，在後續調校過程裡，發現要改動調整之處愈來愈多，加上全盈的策略需要嵌入第三方服務，還有代發、代扣、Account Link尚待開發，最後決定以這套系統為基礎，改由自家技術團隊來重構系統，針對其中的部分模組進行優化。</p> <p>「我們希望IT核心競爭力掌握在自家公司技術部門，自己掌握整個交易支付的核心，也能將Know How留下來」，鍾明峰表示，這樣也能讓工程師學習整個系統，知道每個系統的內涵，如何針對每個模組改寫，對IT團隊是一項考驗，自己重構系統，也能增加對系統管理的信心。</p> <p>全盈重構系統時，首重改善效能，在資料庫方面，原本所有運算邏輯集中於一個SQL DB處理，一項功能的處理可能要花費較多的時間，資料運算都仰賴一個資料庫處理，資料庫只要效能降低，就可能造成全國的交易都因此變慢，服務風險相當高。因此團隊重構時，逐步把集中式的資料庫，改為由不同的功能性資料庫來處理，例如負責交易處理的DB、Log管理的DB、管理帳戶會員的DB等等，將各個功能分工到不同的DB處理。</p> <p>「這麼一來，即使出現狀況就能降低風險，也能讓系統輕量化，進一步提升韌性」，鍾明峰表示，全盈重構優化的工作直到今年1月告一段落，將各個運算功能分散到不同功能性的資料庫處理，現在單位時間內可承受流量是原本的5倍以上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/CIO-2P-%E6%96%87%E5%BD%AC-%E5%85%A8%E7%9B%88-600.png" style="width: 600px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">攝影／洪政偉</span></span></p> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 24px;"><strong>全盈支付資訊科技處資訊長鍾明峰表示，透過基礎服務的平臺化，讓IT來服務IT，才能同時兼顧底層系統的穩定性，以及上層應用所需的擴充性。</strong></span></span></p> <p><span style="font-size:28px;"><strong>支付場域從線下到線上</strong></span></p> <p>電子支付為了增加支付點，業務端與零售商家談好合作後，由IT團隊負責將支付系統和商家POS系統串接，不只是線下的支付場域，目前電子支付也逐漸往線上交易發展。</p> <p>以全盈為例，除了擴大零售支付點，也透過SDK將自家的電子支付嵌入到第三方服務App，成為其他業者的金流服務工具，擴大線上支付應用。</p> <p>鍾明峰表示，透過SDK嵌入第三方業者的App中，「等於將SDK當成數位POS機」，提供App所需的交易服務，換言之，全盈的策略是，當SDK有愈來愈多樣的功能，就能賦能第三方業者，達到與合作業者雙贏的局面。不只是提供支付，因全盈是金融科技業者，甚至可進一步提供第三方業者無法做到，但金融業者能夠提供的應用，例如代發或金融串接服務。</p> <p><span style="font-size:28px;"><strong>改善電支使用體驗</strong></span></p> <p>全盈掌握技術力的結果，特別會反應到一個有意思的指標上。由於金融業受到高度監管，民眾會寫陳情信給主管機關，金融業者就會收到主管機關轉發的陳情信，全盈對陳情信的重視，鍾明峰笑稱，公司內部甚至將收到陳情信的多寡視為KPI，也就是「績效」，去年約每個月會收到一封陳情信，但今年到6月為止，僅收到2封，相當於IT的「績效」成長3倍。</p> <p>這個IT「績效」顯著提升的背後，是IT團隊努力的結果。鍾明峰舉例說明陳情案例，民眾在店家使用電子支付結帳時，可能因交易過程逾時，店員告知民眾交易失敗，但過了不久，民眾卻從手機收到銀行通知交易成功，店家因交易失敗無法順利結帳，銀行通知交易成功，民眾可能重新再操作一次交易，甚至質疑該電子支付服務出現問題或是懷疑遭駭，向主管機關陳情。</p> <p>他解釋，由於電子支付交易過程涉及店家、電子支付業者及綁定的銀行，從店家掃碼，經過電子支付到後端銀行扣款，有時可能會因為銀行內部處理交易，需經過多個系統，每個系統處理花費時間雖然不多，但最後完成處理需要花費比較多的時間，前端的店家交易系統因為逾時顯示交易失敗，但銀行最終仍會完成扣款，發送交易成功通知消費者。</p> <p>對IT來說，容易理解交易過程為何產生這樣的結果，但對消費者而言，並不是很好的使用體驗，甚至可能改用手機內的其他行動支付服務，因此，全盈IT重視負面使用體驗，他們花費相當多時間優化用戶體驗，當一方顯示交易失敗，另一方交易成功時，如何調整整個交易體驗，讓消費者感到安心。</p> <p>如果短時間內湧入大筆交易，對整個交易體驗更是一項考驗，例如全盈支付和超商合作，針對超商會員日祭出咖啡優惠價格，會員日開始的第1分鐘就吸引上千筆訂單，由於民眾的搶購心理，會員日活動剛一開始，不少訂單甚至在前10秒湧入，為內部系統複雜的銀行帶來不小的壓力，需要較長的時間處理大量交易。為避免再出現塞車的情形，全盈對整個交易過程建立監控機制，透過觀測或是從指標監控端到端的交易流量，對卡住的交易額外進行處理。</p> <p>除了優化使用體驗之外，支付產業必需和多樣化的零售通路業者合作，才能建立龐大的支付生態系，讓更多商家、場所支援電子支付，同時也吸引更多消費者願意使用，全盈發展嵌入式金融，IT同樣需要配合第三方業者的需求進行客製化，例如會員身分、串接金融服務等等。</p> <p>為了應付和多元消費通路、支付場域合作，目前全盈共有70多位員工，其中將近一半為IT技術人員，並有15個開發專案，鍾明峰坦言，扣除基礎、QA、PM等員工後，相當於1個人就負責1個專案，開發人力相當吃緊，雖然委託外部開發公司派遣人員協助開發，但未來仍希望逐步縮減專案數量，收斂在需求度更高的工作上。</p> <p>另外，目前全盈在程式設計的邏輯上，並沒有將電支的交易、帳務、行銷3個系統作好邏輯區隔，在同一個環境內，同一個程式裡系統彼此串接錯綜複雜，當配合行銷業務需要改動行銷系統，IT就需要擔心牽動其他系統，或是當新的功能上線，需要驗證帳務系統產生的會計科目正確與否。這對IT團隊造成龐大的工作負擔，因此他們接下來的目標，準備在明年下半年作好3個系統的區隔，並準備以微服務建立新的系統。</p> <p>另外，為了改善IT部門的工作效率、提升系統穩定性，他們也準備導入IT基礎服務的平臺化工程。鍾明峰表示，未來會在IT部門建立平臺工程，由一支負責平臺化團隊來服務其他開發人員，這群人維護底層的基礎平臺，例如共同的帳務、交易系統平臺化，其他開發人員可根據商業邏輯開發上面的應用。</p> <p>「透過基礎服務的平臺化，讓IT來服務IT，才能同時兼顧底層系統的穩定性，以及上層應用所需的擴充性」，鍾明峰說。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><span style="color:#3399ff;"><strong>全盈支付資訊科技處資訊長鍾明峰</strong></span></p> <p>學歷：中山大學電機研究所</p> <p>經歷：2004年進入遠傳電信，任職於加值服務部門，具有加值服務技術開發、維運緊急應變經驗，2011年進入Happy Go點數行銷的鼎鼎聯合行銷資訊部，從經理、協理到資訊部長，並兼任資安官。2022年1月加入全盈支付擔任資訊長，帶領開發、維運、數據及系統等工作。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%87%E5%BD%AC-%E5%85%A8%E7%9B%88-%E5%9C%963-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%85%A8%E7%9B%88%E6%94%AF%E4%BB%98-300.jpg" style="width: 350px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／全盈支付</span></span></p> <p><span style="color:#3399ff;"><strong>全盈支付金融科技</strong></span></p> <p>地址：臺北市中山區中山北路二段96號5樓503室</p> <p>成立時間：2021年</p> <p>主要業務：電子支付</p> <p>員工數：72人</p> <p>年營收：1,700萬元（2022年）</p> <p>董事長：薛東都</p> <p>總經理：劉美玲</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：資訊科技處資訊長</p> <p>資訊部門主管姓名：鍾明峰</p> <p>資訊部門人數：31人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2022年4月：全盈+PAY正式上線，支付SDK嵌入零售場景「全家便利商店」與社區場景「智生活」App</p> <p>2022年12月：支付SDK正式嵌入職場場景員工福利整合平台「STAYFUN」App</p> <p>2023年1月：智生活App內全盈+PAY「跨機構轉帳」服務正式上線</p> <p>2023年4月至7月：完成15家主要銀行帳戶串接；完成超過10萬個支付點的關鍵通路場景串接上線</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cio-2p-wen_bin_-quan_ying_-960.jpg" width="960" height="420" alt="" title="全盈支付資訊科技處資訊長鍾明峰。　（攝影／洪政偉）" /></div></div></div>
2023/7/28 12:00作者蘇文彬https://www.ithome.com.tw/people/157946
【iThome CIO大調查：新興技術篇】2023年整體產業新興技術雷達圖
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1140-feng_mian_-zheng_ti_chan_ye_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年是iThome CIO大調查連續第二年，發表「企業新興技術雷達圖」。去年我們首度發表了整體產業的採用熱度雷達圖，今年更進一步，發表了6大產業各自的新興技術採用熱度雷達圖。這是第一份用來揭露臺灣大型企業對於新興科技採用熱度的技術決策參考，希望逐漸成為企業CIO們，評估新興技術時的參考，可以用來了解同一產業或整體臺灣企業對不同新興科技的採用決定。</p> <p>在今年大調查中的新興科技項目，和去年略有不同，調查總數從去年的31項，移除了2項，但增加了5項熱門和值得關注的新興技術，總數達到34項之多，並和去年一樣最後分為四大類來分析，包括「IT基礎架構」、「AP架構與開發」、「Data與AI」和「新興科技」等四類。IT基礎架構有8項，包括了多雲混合雲架構、K8s與容器技術、AIOps（用AI優化IT維運）、5G專網、邊緣運算架構、無伺服器技術、SDDC（軟體定義資料中心）、並將新興維運浪潮SRE（網站可靠性工程）也納入IT基礎架構的項目中。AP架構與開發包括了中臺架構設計、微服務架構、Open API架構、DevOps、敏捷開發、DevSecOps、LowCode/NoCode開發、GitOps，並且納入了以改善開發者體驗（DX）和發展內部開發者平臺的平臺工程（Platform Engineering ），並將去年的CI/CD項目併入了DevOps，不再單獨列出。這一類共有9項。</p> <p>Data與AI類和去年的項目相比，今年有比較大的變化，除了延續去年的AI/ML應用、RPA流程自動化、行動AI應用、MLOps（ML流程自動化）、資料湖、AIoT、數據網格（Data Mesh），特別新增加了爆紅的ChatGPT/GPT類LLM、負責任AI、小資料（Small Data）和臺灣電商、零售開始重視的顧客數據平臺（CDP），不過，也將BigData大數據移除，不在列入新興科技的追蹤項目。Data與AI類今年有11項。</p> <p>無法歸類到上述三類的都是納入最後一類新興科技類別，包括了持續火熱的碳足跡儀表板、SBOM（軟體物料清單）、FIDO（網路身分識別）、混沌工程、今年回溫的區塊鏈和熱度下滑的AR/VR（元宇宙）共有6項。</p> <p>今年的新興技術雷達圖，延續了去年的作法，同樣參考了業界知名企業IT顧問公司Thoughtworks的技術雷達圖設計形式來設計。不過，Thoughtworks的做法是，找來一群技術專家評審多項技術，來決定這項技術的推薦推薦等級，而我們的作法則是，改讓數據說話，同樣在今年CIO大調查中，由IT主管自填，2022年已經採用和2023年想要採用的技術，再依據每一項新興技術的企業採用率高低和技術採用率排名變化，來設計這份雷達圖，並每一項技術歸類到四個等級，爆紅、退燒、主流和崛起，來供企業參考。</p> <p>如何將34項新興技術分類到這四類？今年同樣延續了去年的作法，最核心的「爆紅技術層」是指，連續2年，該年的新興技術排名暴增超過5名（以今年為例，就是2022年的排名超越5項技術，2023年的排名也超越了5項技術，如果去年超越5項，而今年只超越了4項，那就不會列入爆紅層）的新興技術，位於雷達圖中的最內層。反之，連續2年，每年都是排名掉了5名的技術，就會列入「退燒技術層」的技術。今年有許多新興技術，出現了反轉現象，例如去年落入退燒技術的區塊鏈，今年反而又開始熱了起來，但是採用率還不夠多，因此，改分類到「崛起技術圈」。</p> <p>除了最內圈的「爆紅技術層」和最外圈的「退燒技術層」，中間的「主流技術層」和「崛起技術層」如何區分？會以新興科技整體採用率平均值約24%，因此，今年的「主流技術層」和「崛起技術層」的分界線標準是12%，今年預估採用率超過了12%的新興技術就會列入主流技術層，而低於12%則列為崛起技術層。在新興科技雷達圖中，每項技術只會出現一次，除了已經列入爆紅和退燒之外，其餘則按照主流分界線標準12％，來區分。不過，去年的分界線標準是15%，今年整體平均採用率略低於去年，降低的原因，來自今年新增了多項更多項臺灣企業還在發展中的新興科技，例如平臺工程、負責任AI、小資料等。</p> <p>未來我們還會針對熱門技術趨勢，另外以調查專題形式，揭露ChatGTP、雲原生、DevOps等熱門技術浪潮的臺灣企業趨勢。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1140-%E5%B0%81%E9%9D%A2-%E6%95%B4%E9%AB%94%E7%94%A2%E6%A5%AD-600-%E5%8E%9F%E5%9C%96-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1140-%E5%B0%81%E9%9D%A2-%E6%95%B4%E9%AB%94%E7%94%A2%E6%A5%AD-600-%E5%B0%8F%E5%9C%96-PNG.png" style="width: 600px;" /></a></p> <p><strong><span style="color:#696969;">圖表說明：34項新興技術分為四類，包括了「IT基礎架構」、「AP架構與開發」、「Data與AI」和「新興科技」，再按照近兩年熱門程度變化，分為四個圈，每個圈中的技術代表不同的等級：爆紅技術（連續兩年排名上升5名者）、主流技術（今年預估採用率超過12%）、崛起技術（今年預估採用率低於12%）和最外圈是退燒技術（連續兩年排名下滑5名者）。同一圈中2023年預估採用率越高者越靠近核心。紅色三角形代表今年採用率增加（增加超過50%者2個紅三角，超過100%者3個紅三角，破200%以上則標示4個紅三角），綠色三角代表該項今年採用率下滑（下滑超過20%者2個綠三角，下滑幅度破40%則標記3個綠三角）。位於第四圈外者今年採用率0%，並標記黑三角。<br /> 資料來源：2023 iThome CIO大調查，2023年7月。</span></strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#FFA07A;"> 執行說明 </span></span></strong> 大調查執行期間從2023年4月20日到5月10日，對臺灣2千大規模大型企業、iThome歷屆CIO大調查企業、政府機關、大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 68.5%填答者為企業IT最高主管。</p> </div></div></div>
2023/7/28 12:12作者王宏仁https://www.ithome.com.tw/article/157975
LLM模型調校積百少成多的成本課題？捷豹路虎怎解
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>捷豹路虎在今年初一場活動中，公開了擁抱生成式AI的經驗，展示如何只訓練一套內部用的客製化LLM模型，來通吃不同任務的做法，以節省日後大量微調小任務專屬模型訓練的後續費用。</p> <p>他們有一個服務車主的車用系統Pivi Pro，可提供對談式的互動介面，來查詢車主休旅車的各項操作設定，例如車主會問：「假日要到阿爾貝斯山健行，想到達山上小木屋，但路面都是很深的軟雪，要怎麼設定休旅車的駕駛模式。」不過，真正的挑戰是，就這樣一句話，車主會有百百種講法。</p> <p>捷豹路虎提供的車主手冊，內有非常詳細的操控文件，也都可以透過這個車上App來查詢，但是，車主得問對問題，用對關鍵字，才能搜尋得到。捷豹路虎不希望提供查詢的對話服務亂講與開車無關的空話，只能提供車主參考文件範圍的內容。</p> <p>所以，捷豹路虎將大量文件變成嵌入向量，連車主查詢文字也轉換成嵌入向量，來進行相似度比對，再提估最接近的內容給車主。他們先用BERT模型來做，效果還不錯，蒐集一些技術文件，車主資料，顧客意見調查的資料等，訓練出一款自己的模型稱為CarBERT。但還不夠好，因為當時他們所用的BERT參數量只有3.4億個參數，他們想要用1,750億參數的GPT 3來試看看。</p> <p>但是，這兩者的參數量差了500倍，他們評估，自己不可能重頭訓練出一套自己的NLP模型。而且這個作法還有一個課題，今天是車主文件的微調，如果是另一個主題的內容，或是另一種任務就得再微調一份新的模型。因為微調後的LLM模型，是客製化的專屬模型，無法用於其他用途，換句話說，微調後的客製化LLM模型，沒有通用性。</p> <p>捷豹路虎的擔心是，日後若想要將SaaS形式ChatGPT類技術服務，客製運用到不同的任務用途，每一次，只要需求、任務有些微不同，就需要一筆少少的微調費用，看似不多，但積數百個「少」會變成真的「多」，這個不可預估總成本的不確定感，讓他們轉而思考，能不能從Prompt提示問題下手。後來，他們嘗試了另一種提示工程的優化做法，不是微調語言模型，而是靠「微調提示文字（Prompts）」，來提高準確度和限定回答領域</p> <p>例如，車況設定有4種，a,b,c,d，a用於沙地，b用於雨天，c用於軟雪，d用於結冰，現在車主想問深軟雪的設定，若可以將整套車主文件都輸入，作為提示文字，再來比對車主的問題就可以比較準確的比對出更合適的車主文件內容。<br /> 可是，當時捷豹路虎遇到的技術困難是，提示文字的上限是4千個Token，大概3千多個中文字，放不下那麼多字的車主文件內容，怎麼解？</p> <p>捷豹路虎用了Nvidia的大型語言模型框架Nemo，提供的13億參數GPT3預訓練模型，但是這次他們用了P-Tuning作法，輸入的是一個「提示向量」，而不只是提示文字。<br /> 因為提示文字實際放到模型中來進行推論時，還是得先轉換成一個嵌入向量矩陣來進行推論計算。</p> <p>捷豹路虎所用的P-TUNING作法就是，直接將想要輸入的提示文字，先來訓練出一個輸入用的提示向量矩陣，這個方法也是業界會用的作法，稱為Ｐ-Tuning調校。換句話說，不是微調模型，而是透過優化提示向量的做法，來提高準確度。模型微調和Ｐ-Tuning調校，兩者也可以搭配使用。</p> <p>使用Ｐ-Tuning調校最大的好處是，捷豹路虎認為，可以先用大量企業內部資料，微調出一個內部客製化的GPT，然後再針對不同的小任務，改用提示向量優化作法P-tuning，微調輸入的提示向量來達到一套小任務的客製化模型，來實現，一套內部模型，通吃不同任務的做法，來省下日後大量微調小任務專屬模型訓練的費用。</p> <p> </p> </div></div></div>
2023/7/28 11:00作者王宏仁https://www.ithome.com.tw/news/157976
【廠商永續支援度盤點：IBM】最新一代z16大型主機產開始揭露生產的碳足跡資訊，還能透過碳排放資料平臺進行碳核算並自動…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，不少伺服器廠商都開始強化自身IT產品碳足跡透明度，甚至將其生產過程的產品碳足跡資訊列為必備的項目，IBM也是其中一家，早在2年前就開始揭露產品碳足跡資訊，一方面，要讓企業用戶可以更容易評估該產品生命周期的碳排放量對於企業的影響，來擬定減碳策略；另一方面，也因應歐盟CBAM碳關稅政策，未來對於企業出口到歐盟的高碳排商品可能實施碳稅要求。</p> <p>不只針對旗下新一代LinuxONE 4單機櫃伺服器、或FlashSystem儲存陣列等產品提供了碳足跡資訊，IBM在2022年推出的新一代大型主機z16也開始揭露其產品的碳足跡資訊，涵蓋了該產品生產製造、用戶使用、回收廢棄等過程中所預估的碳排放當量。</p> <p>臺灣目前不少金融業者採用其大型主機作為其核心系統，未來更加需要掌握這些大型主機產品碳足跡資訊。尤其，對金融業而言，比起較難以掌握範疇<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: "Helvetica Neue";">3</span>碳排放資訊（以投融資組合為主），不少金融業者選擇先從範疇<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: "Helvetica Neue";">2</span>間接能源的碳盤查和減量著手，其中IT機房也是高碳排來源之一，特別是大型主機每天需要應付頻繁且大量的金融交易處理，因此具有較高的能耗與更高的利用率，也帶來相對高的碳排放量，成為了主要減碳的重點。</p> <p>除了提供生產過程的產品碳足跡資訊，IBM去年推出了一個碳排放資料平臺Envizi，能用來蒐集和監控用戶使用大型主機產生的碳排放量。Envizi是IBM於2022年所收購的一家ESG數據和分析公司，並在併購後推出了同名產品。除了應用IBM大型主機外，Envizi也能用於計算和<wbr></wbr>管理自家伺服器、儲存等產品使用的碳排放數據，且不僅限於<wbr></wbr>IBM產品，其他第三方的IT或OT設備也可以使用。</p> <p> </p> <p><strong><span style="font-size: 28px;">內建碳排放計算引擎，能根據碳排係數進行碳核算，並能自動產出相關報表</span></strong></p> <p>為了準確計算其碳排放量，達到金融業的合規核算需求，Envizi平臺內建了一個碳排放計算引擎，可以根據使用者所在的電力公司或電力市場基準的碳排係數進行計算，將這些大型主機的電力消耗轉為二氧化碳當量，統一計算出其碳排放量。</p> <p>使用者匯入相關排放源數據到平臺中計算時，不僅可以使用電子表格、看板、網頁等形式手動匯入數據，還支援了電子郵件或FTP等自動化數據匯入方式，或是直接透過介接電錶API方式取得用電數據。</p> <p>在這套碳排放資料平臺中，不只提供碳核算功能，還內建有排放儀表板功能，IT維運人員或管理者可以透過儀表板察看使用大型主機在內的IBM產品的碳排放情況，同時也能根據不同年、月的排放量趨勢變化或分布情況進行比較和分析，還可以按照地理位置畫分，或依據不同核心業務功能來呈現這些資訊，來協助管理者擬定減碳方案。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/3(52).png" style="width: 600px;" /></p> <p><strong style="color: rgb(105, 105, 105);">在這套碳排放資料平臺中，不只提供碳核算功能，還內建有排放儀表板功能，讓企業可以察看其使用大型主機在內的IBM產品的整體碳排放情況，還能根據不同年、月的排放量的變化進行比較和分析。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_IBM</span></p> <p><strong><span style="font-size:28px;">可即時察看單臺大型主機每日的碳排變化情形，但需要搭配另一套應用資源管理平臺</span></strong></p> <p>Envizi平臺進一步能與IBM的機房應用資源管理平臺Turbonomic結合，來取得每臺大型主機更詳細的電力使用數據，並在Turbonomic平臺上呈現計算後的碳排放結果。</p> <p>台灣IBM科技事業部永續軟體資深技術顧問林裕隆指出，Envizi平臺雖然可蒐集和監控整體IB<wbr></wbr>M IT設備的碳排數據，不過，若用戶想要即時察看每臺大型主機在不同時段的碳排變化情形，則需要搭配Turbonomic監控平臺，才能夠取得個別IT設備更即時且詳細的碳排資訊，例如能呈現每日離峰或尖峰時段的碳排分布趨勢等。</p> <p>此外，Envizi結合Turbonomic後，使用者還能進一步考慮到每個實體（如 VM 或容器）對於設備本身碳排的影響，進而優化能源使用，降低其碳排。</p> <p>這套碳排放數據平臺還支援多種報告工具。舉例來說，企業可以透過其內建的PowerReport功能，自動產生圖形報表，並能將這些數據匯出，結合其他相關的碳盤資訊做分析和運用，另外也支援了視覺化儀表板和自訂Excel報告製作方式。</p> <p>Envizi還提供了更自動化匯出方式，推出網頁API，讓企業可以將這些碳排資料數據彙整到自己的碳資訊整合平臺中，建立相關碳盤查報告，且支援第三方的平臺，如Power BI、Tableau數據分析平臺等。</p> <p>除了提供範疇2的碳數據核算和報告，Envizi同樣能應用於範疇1和範疇3。林裕隆表示，該平臺目前可管理500多種數據類型和40,000個排放係數，來確保計算出碳排放結果的合規性和正確性。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1(64).png" style="width: 600px;" /></p> <p><strong style="color: rgb(105, 105, 105);">從Envizi平臺架構來看，分為三大類9大模組，整合了排放管理、ESG報告和脫碳分析的功能，其中在排放管理方面，提供包含範疇1 、2 、3的溫室氣體核算與報告，並支援目標設定和追蹤功能。在ESG報告方面，Envizi則提供多個主要的ESG報告框架，並支援建築評級基準及價值鏈調查和評估。在脫碳分析方面，則提供水電費等公用事業帳單分析、區間儀表分析及永續發展計畫的追蹤功能。 </strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_IBM</span></p> <p>在這套碳數據平臺中，還提供多個不同功能儀表板，其中包含了費率分析儀表板和性能分析儀表板。費率分析儀表板可以用來追蹤消耗的碳排放情況，並評估脫碳目標達成進度，而性能分析儀表板則可以將碳排放數據和營業績效、目標及預算進行比較，讓管理者可以更清楚地了解碳排放對營業績效的影響。</p> <p>Envizi除了提供碳排管理之外，還有ESG報告和脫碳分析兩大功能，其中在ESG報告方面，可以支援如GRI、SASB、CDP等常見的ESG報告框架，方便企業根據所需框架來進行ESG報告製作，還推出永續發展報告管理器工具，可進一步協助使用者管理ESG資訊揭露的相關問題、工作流程等。另外，在脫碳分析上，則能透過分析間隔儀表、水電費等公用事業帳單，來優化或提升用電效率，進而降低碳排。</p> <div class="notranslate" style="all: initial;"> </div> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2023/7/28 11:12作者余至浩https://www.ithome.com.tw/news/157851
【資安日報】7月27日，有人在暗網論壇兜售AI網路犯罪工具FraudGPT，號稱不到一週已有3千買家下單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>先前駭客嘗試將當紅的大型語言機器學習模型（LLM）ChatGPT用於網路犯罪，但後來開始有人製作專門用於攻擊的LLM，例如<a href="https://www.ithome.com.tw/news/157828#wormgpt">研究人員於7月中旬揭露的WormGPT</a>，而最近又有新的AI工具FraudGPT出現，值得留意的是，駭客標榜此工具不光能產生釣魚郵件的內容，還能製作多種類型作案工具，運用在不同型態的網路攻擊。</p> <p>隨著企業對於資安防護意識與認知的提升，越來越多受害組織不願付錢了事，對此，駭客也祭出過往未曾出現的施壓手法。例如，勒索軟體BlackCat（Alphv）就打算提供網站的API、爬蟲工具，促使有意購買資料的買家更輕鬆找到所需的檔案，並以此對受害組織施加更大壓力，迫使他們支付贖金。</p> <p>勒索軟體的威脅「不講武德」，再度出現同時針對相同目標下手的狀況！山葉音樂（Yamaha Music）加拿大分公司遭到網路攻擊，研究人員發現有兩組駭客Black Byte、Akira聲稱對其發動攻擊，先前也有類似的案例──<a href="https://www.ithome.com.tw/news/157880#esteelauder">勒索軟體駭客BlackCat、Clop皆表明對化妝品業者雅詩蘭黛下手</a>。</p> <p>, </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://netenrich.com/blog/fraudgpt-the-villain-avatar-of-chatgpt"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客製作AI網路犯罪工具FraudGPT，號稱不只能製作釣魚郵件，還能用於打造破解工具</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fraud-bot-dark-web.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fraud-bot-dark-web.png" style="width: 300px; float: right;" /></a>資安業者Netenrich揭露名為FraudGPT生成式AI網路犯罪工具，賣家CanadianKingpin在暗網論壇上以每個月200美元的價碼兜售，並標榜能夠用來產生惡意程式碼、打造無法被防毒軟體偵測的惡意程式、創造釣魚網頁、製作駭客工具、製作詐騙信件（或網頁）、找尋漏洞、可用於盜刷的網站（Cardable site）等，號稱已有超過3千個買家採用或是留下評價。</p> <p>比較特別的是，駭客不只設置Telegram頻道來經營FraudGPT的銷售業務，並表示已通過Empire、WHM、Torrez、Wolrd、Alphabay、Verssu等地下市集的驗證。研究人員指出，雖然賣家甫於22日開始兜售這個AI機器人工具，但其後續可能帶來的資安威脅值得觀察。</p> <p><a href="https://www.bleepingcomputer.com/news/security/alphv-ransomware-adds-data-leak-api-in-new-extortion-strategy/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為了向受害組織施加更多壓力，勒索軟體BlackCat為資料外洩網站加入API、Python爬蟲</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/F1zrqXSXgAE8y9o.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/F1zrqXSXgAE8y9o.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，有數名研究人員在勒索軟體駭客組織BlackCat（Alphv）公布受害者的網站上，發現新增了說明網頁，內容是關於如何透過API即時接收受害者資料的最新動態。</p> <p>資安研究團隊VX-Underground認為，此API似乎在數個月前就已上架，但並未對外開放。，研究人員還發現駭客提供以Python打造的爬蟲，可供他人找出該組織網站特定的外洩資料。</p> <p>而對於駭客提供上述工具的原因，該新聞網站認為，很有可能是願意支付贖金的受害組織越來越少，導致這些駭客決定提供更多資料洩露工具，進而對受害組織增加更大的壓力，以脅迫他們付錢。</p> <p><a href="https://therecord.media/yamaha-confirms-cyberattack-after-multiple-ransomware-gangs-claim"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加拿大山葉傳出遭勒索軟體Black Byte、Akira攻擊</span></strong></a></p> <p>7月20日山葉音樂（Yamaha Music）加拿大分公司證實遭到網路攻擊，導致內部環境遭到未經授權存取，面臨資料外洩的情況，該公司也正在通知受影響的人士。</p> <p>而對於攻擊者的身分，研究人員Dominic Alvieri指出，勒索軟體Black Byte、Akira先後在6月14日、7月21日，都將山葉列入受害組織名單。但這並非不同的勒索駭客組織表明攻擊相同企業的首例，知名化妝品業者雅詩蘭黛就是上週發生這類「群毆」事故，他們遭到Clop及BlackCat兩個勒索軟體駭客攻擊，Dominic Alvieri表示，他曾看到有3組駭客聲稱對同樣的組織發動攻擊。</p> <p><a href="https://www.hackread.com/siegedsec-hacktivist-hack-nato-data-leak/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織SiegedSec鎖定北約組織而來，外洩入口網站數百份文件</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/siegedsec-hack-nato-data-leak.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/siegedsec-hack-nato-data-leak.jpg" style="width: 300px; float: right;" /></a>資安業者Cyberint指出，駭客組織SiegedSec於Telegram頻道聲稱，他們針對北約組織（NATO）的入口網站COI發動網路攻擊，隨後洩露數百份與北約國家和合作夥伴有關的敏感文件，這些資料包含完整姓名、電子郵件信箱、電話號碼、辦公室地址，以及逾70個北約組織官員的職級。</p> <p>而對於犯案的動機，駭客聲稱是因為北約組織做了侵害人權的行為，而決定報復北約國家。</p> <p><a href="https://www.mandiant.com/resources/blog/north-korea-supply-chain"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員發現JumpCloud資安事故新證據，指出駭客與北韓軍情單位有關</span></strong></a></p> <p>IT服務業者JumpCloud於7月證實遭到網路攻擊，現在研究人員找到新的證據。資安業者Mandiant指出，這起事故幕後指使者是名為UNC4899的北韓駭客組織，原因是這些駭客一度在利用VPN服務隱匿攻擊行動的過程裡，不慎出現了違反操作安全（OpSec）的錯誤，而曝露了攻擊來源——出現來自平壤的IP位址。</p> <p>研究人員最早在6月27日，看到JumpCloud用戶的代理程式執行惡意Ruby指令碼，此指令碼主要功能是下載並執行第二階段攻擊的惡意酬載，攻擊者取得初始存取權限的24小時之內，便部署後門程式，然後利用macOS內建的應用程式plist，維持在受害電腦運作。駭客運用名為Fullhouse.doored、Stratofear、Tiedye後門程式來進行後續的攻擊行動。</p> <p>而對於這些駭客的來歷，研究人員指出，UNC4899隸屬於北韓人民軍總參謀偵察總部（RGB），專門攻擊加密貨幣相關產業，很可能與另一個北韓駭客組織TraderTraitor有所關連。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.wiz.io/blog/ubuntu-overlayfs-vulnerability"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Ubuntu存在權限提升漏洞，約4成用戶受到波及</span></strong></a></p> <p>資安業者Wiz針對Ubuntu用戶提出警告，他們發現該作業系統的OverlayFS檔案系統模組出現權限提升漏洞CVE-2023-2640，以及可被用於執行任意程式碼的漏洞CVE-2023-32629，CVSS風險評分介於5.4至7.8。</p> <p>研究人員指出，這些漏洞發生的原因，在於Canonical曾在2018年修改該作業系統搭配的OverlayFS元件，到了2019年、2022年，Linux基金會對於OverlayFS官方版本做出更動，而Canonical後續在導入新程式碼的過程，發生與2018年對OverlayFS更動的程式碼造成衝突的狀況。因此，上述OverlayFS漏洞皆為Ubuntu獨有，估計4成使用者可能受影響。</p> <p>由於目前已經出現利用這些漏洞的攻擊手法，用戶若不盡快完成修補，將淪為駭客下手目標。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.sec.gov/news/press-release/2023-139"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國證交所要求上市公司4天內揭露重大網路攻擊事件</span></strong></a></p> <p>7月26日美國證券交易委員會（SEC）通過新的規定，要求上市公司若是遭遇重大資安事件，必須在4個工作天之內透過8-K文件揭露，當中應詳細說明事件發生的時間、性質、規模，以及對公司的影響。不過，若是揭露資安事故可能對美國國家安全或公共安全帶來重大風險，企業可申請延後揭露。這項規定將在聯邦公報發布後的30天正式生效。</p> <p>目前該規定尚有爭議，例如：如何認定重大資安事件？而過早揭露資安事故，也有可能對公司或外界帶來更嚴重的危害。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.metabaseq.com/fenix-botnet/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">殭屍網路Fenix鎖定拉丁美洲使用者而來</span></span></strong></a></p> <p><a href="http://news.sophos.com/en-us/2023/07/26/into-the-tank-with-nitrogen/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客利用惡意軟體Nitrogen發動勒索軟體攻擊</span></span></strong></a></p> <p><a href="https://blog.sygnia.co/breaking-down-casbaneiro-infection-chain-part2"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">金融木馬Casbaneiro繞過使用者帳號控制機制發動攻擊</span></span></strong></a></p> <p><a href="https://checkmarx.com/blog/first-known-targeted-oss-supply-chain-attacks-against-the-banking-sector/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">開源軟體供應鏈攻擊針對銀行產業而來</span></span></strong></a></p> <p><a href="https://flare.io/learn/resources/stealer-logs-and-corporate-access/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">竊資軟體盜走逾40萬家公司的雲端服務帳密</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157947">【7月26日】駭客利用Ivanti行動裝置管理平臺的零時差漏洞，攻擊挪威政府的資訊系統</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157937">【7月25日】中華汽車發布重大訊息證實遭到網路攻擊，並著手恢復受影響系統</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157914">【7月24日】駭客假借日本水電公司名義，向當地安卓用戶散布惡意程式SpyNote</a></strong></p> </div></div></div>
2023/7/27 17:16作者周峻佑https://www.ithome.com.tw/news/157972
提供160萬IOPS與30TB，美光推高效能大容量SSD
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/micron_9400_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年5月起，多款TLC與QLC固態硬碟產品陸續上市，像是美光的<a href="https://www.ithome.com.tw/review/157275">XTR</a>、<a href="https://www.ithome.com.tw/review/157282">6500 ION</a>，以及Solidigm的<a href="https://www.ithome.com.tw/review/157477">D5-P5430</a>、<a href="https://www.ithome.com.tw/review/157892">D5-P5336</a>，然而在1月其實也有一款TLC固態硬碟產品悄悄推出，那就是最高階的Micron 9400。</p> <p>相較於前代產品<a href="https://www.ithome.com.tw/review/134506">Micron 9300</a>，美光這款在今年初推出的新產品，主要的賣點就是最大儲存容量提高1倍，來到30.72 TB，若在1臺2U尺寸、可安裝24臺2.5吋U.2固態硬碟的伺服器，全部使用Micron 9400，總共可提供737 TB的固態儲存空間。當儲存容量加大1倍，也意味著企業建置伺服器時，面對相同的資料儲存空間需求時，只需一半數量的伺服器即可。</p> <p>而在存取效能的規格上，Micron 9400在4K資料隨機讀取作業與能源使用效率方面，領先前代產品的幅度同樣相當顯著。舉例來說，Micron 9300為85萬IOPS，功耗為16瓦，每瓦效能為53,125 IOPS，Micron 9400為160萬IOPS，功耗為17瓦，每瓦效能為94,117 IOPS，因此，循序讀取效能提升88%，每瓦效能進步77％，美光為此特別自詡，強調這款產品替PCIe儲存立下新標竿。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Micron 9400 SSD Key Specifications-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%209400%20SSD%20Key%20Specifications-1.jpg" style="width: 600px;" /></a></p> <p>為了突顯這款產品面對混合工作負載時，同樣具有相當優異的表現，美光也在新聞稿提到不同情境下的效能領先差距。舉例來說，若是讀取70％、寫入30％的隨機工作負載，能達到94萬IOPS，超越競爭產品的幅度達69％；若是讀取90％、寫入10％的隨機工作負載，能達到100萬IOPS，超越競爭產品的幅度可達71％。</p> <p>關於存取延遲的規格，Micron 9400也有改善，其讀寫延遲分別為69微秒與10微秒，相較之下，前代產品Micron 9300的讀寫延遲分別為86微秒與11微秒。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Micron 9400 security-2023.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%209400%20security-2023.jpg" style="width: 600px;" /></a></p> <p>在不同使用情境下，Micron 9400的效能表現如何？美光公布4組測試結果，涵蓋資料庫、AI儲存，以及雲端服務等場景。首先是用於鍵值資料庫RocksDB，此系統通常用於垃圾郵件偵測或儲存觀看記錄等領域，對於延遲與使用者互動相當敏感，結果Micron 9400的效能超越競爭產品的比例是23％，而對於工作負載的反應能力高出34％。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%209400%20RocksDB-1.png" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Micron 9400 RocksDB-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%209400%20RocksDB-2.png" style="width: 600px;" /></a></p> <p>第二是在已針對快閃儲存最佳化的NoSQL資料庫Aerospike測試，此系統用於詐騙偵測、推薦引擎、即時支付處理、股票交易等網站系統，耗費時間的長短會嚴重影響用戶體驗，結果Micron 9400的尖峰效能達到競爭產品的2.1倍，而且能維持工作負載反應力。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Micron 9400 Aerospike.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%209400%20Aerospike.png" style="width: 600px;" /></a></p> <p>第三是用於GPU記憶體直通儲存系統的存取，也就是Nvidia發展的Magnum IO GPUDirect Storage（GDS），搭配Micron 9400的系統在面對運算密集型工作時，比起搭配其他競爭固態硬碟產品的系統，可以獲得25％的效能領先幅度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%209400%20GDS.png" style="width: 600px;" /></p> <p>第四則是用於同時承載多個租戶的雲端服務架構，且部分租戶需以更大粒度進行傳輸／寫入大量資料（Noisy Neighbors），搭配Micron 9400之後，整體效能（吞吐量）可達到搭配其他固態硬碟產品環境的兩倍，反應時間可縮短62％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Micron 9400 Noisy Neighbors-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%209400%20Noisy%20Neighbors-1.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Micron 9400 Noisy Neighbors-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%209400%20Noisy%20Neighbors-2.png" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>Micron 9400<br /> ●原廠：Micron<br /> ●建議售價：廠商未提供<br /> ●儲存容量：9400 Pro提供7.68 TB、15.36 TB、30.72 TB，9400 Max提供6.40 TB、12.80 TB、25.60 TB<br /> ●外形：2.5吋U.2 / U.3<br /> ●儲存媒體：3D NAND，TLC，176層<br /> ●最高讀寫速度：循序7,000 MB/s與7,000 MB/s，隨機160萬IOPS與60萬IOPS<br /> ●使用介面：PCIe 4.0 x4<br /> ●耐用度：每日寫入量9400 Pro為1，9400 Max為3<br /> ●可靠度：200萬小時MTBF<br /> ●保固期間：5年</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/7/27 16:47作者李宗翰https://www.ithome.com.tw/review/157964
電子地圖基金會Overture Maps發表首個開放資料集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在去年底<a href="https://www.ithome.com.tw/news/154753" target="_blank">由微軟、AWS、Meta、及荷蘭電子地圖公司Tomtom等4家業者共同創立</a>，以推動電子地圖資料共享的Overture地圖基金會（Overture Maps Foundation，OMF），<a href="https://overturemaps.org/overture-maps-foundation-releases-first-world-wide-open-map-dataset/" target="_blank">在本周三（7/26）發表了首個開放地圖資料集</a>，此一資料集由4個資料層組成，可望成為導航、在地搜尋及許多位置應用程式的基礎，<a href="https://overturemaps.org/download/" target="_blank">並已開放下載</a>。</p> <p>在成立半年多以來，該基金會已吸引了其它業者加入，包括ESRI、Cyient、InfraMappa、Nomoko、Precisely、PTV Group、SafeGraph、Sanborn及Sparkgeo，它們都同意讓地圖資料成為共享資產以支持未來的應用。Overture指出，有鑑於地圖對準確性、最新與歸因性的要求日益提升，收集與維護全球地圖資料的成本已經超越了任何單一組織的能力。</p> <p>本周發布的首個開放地圖資料集版本為Overture 2023-07-26-alpha.0，它的4個資料層分別是興趣點（Places of Interest，POI）、建築物、交通網路與行政邊界，涵蓋了全球逾5,900萬個POI，7.8億個建築物，從OpenStreetMap專案衍生的全球道路網路，以及採用當地名稱並支援逾40種語言的行政邊界。</p> <p>該基金會的執行董事Marc Prioleau指出，這是他們替不斷變化的世界，建立一個全面性市場等級開放地圖資料集的第一步，特別是之前未曾開放的POI資料集，將可用來繪製座落於全球各地，從大型商業到街頭市集的詳細地圖。</p> <p>此外，Prioleau也提醒，任何從事測繪的人都知道，初步的資料集只是個開端，未來的挑戰是在環境不斷的變化下還能維護資料來滿足使用者的期望，OMF的計畫是打造一個廣泛的合作體系，以建立及維護最新也最完整的POI資料。</p> <p><a href="https://docs.overturemaps.org/" target="_blank">所有的資料層皆已依照OMF近日發表的資料綱要格式化</a>，以讓地圖服務的開發者得以透過標準方式來注入或使用地圖資料。</p> </div></div></div>
2023/7/27 15:55作者陳曉莉https://www.ithome.com.tw/news/157970
確保負責任的AI模型開發，OpenAI、微軟及Google等業者成立前沿模型論壇
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI、微軟、Google及Anthropic在周三（7/26）<a href="https://openai.com/blog/frontier-model-forum" target="_blank">共同宣布成立前沿模型論壇（Frontier Model Forum）</a>，這是一個新的產業組織，將聚焦於確保安全及負責任地開發前沿的AI模型。</p> <p>該組織有四大核心目標，分別是促進人工智慧安全研究；負責任地開發及部署前沿模型，以協助大眾理解其性質、能力、限制與影響；與學術界、政策制定者、社會及企業協作，分享有關信任與風險的知識；以及支持可解決社會重大挑戰的應用開發等。</p> <p>未來幾年前沿模型論壇將致力於辨識最佳實作，推動AI的安全研究，並打造一個解決方案的公共資料庫，以提供該產業的最佳實作與標準。</p> <p>由於這是個剛成立的組織，預計幾個月後才會設立顧問委員會，同時歡迎其它正在開發前沿AI模型，並承諾模型安全的組織加入。</p> <p>在上述4個創辦組織中，外界較為陌生的Anthropic是在兩年前由幾名OpenAI成員所成立的，該公司是個營利的公益組織，主要開發通用型AI系統及語言模型。此外，<a href="https://www.ithome.com.tw/news/157911" target="_blank">它們也是日前向白宮承諾要協助AI安全的7大業者中的4家</a>，另外的3家，包括Amazon、Meta與Inflection並未或尚未加入前沿模型論壇。</p> </div></div></div>
2023/7/27 14:46作者陳曉莉https://www.ithome.com.tw/news/157968
美國SEC新規定：上市公司要在4天內披露重大資安事件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sec.gov/news/press-release/2023-139" target="_blank">美國證券交易委員會（Securities and Exchange Commission，SEC）周三（7/26）通過了新規定</a>，要求上市公司要在4個工作天內披露它們所面臨的任何重大資安事件，並將在《聯邦公報》（Federal Register）刊登的30天後生效。</p> <p>SEC主席Gary Gensler表示，不管是因為火災失去工廠，或是因為資安意外失去數百萬個檔案，對投資人來說都是重要的資訊，目前已有許多上市公司向投資人揭露資安意外，但相關的揭露若能更一致，投資人亦將因此而受益。</p> <p>因此，新的規定要求上市公司要在重大資安事件發生的4個工作天之內，透過 8-K 文件揭露，並應詳細說明事件的時間、性質與規模，以及對該公司的影響。8-K為美國上市公司用來提供各種重大事件予投資人的文件，如簽署或撤銷重要合約、更換高階主管、控制權的變更或股東權益的更動等。</p> <p>不過，若披露的時間點可能對美國國家安全或公共安全帶來重大風險，則可申請延後披露。</p> <p>目前該規定仍有部分爭議，包括如何判斷是否為重大資安事件，以及過早披露或許會對公司或外界帶來更嚴重的危害等。</p> </div></div></div>
2023/7/27 13:53作者陳曉莉https://www.ithome.com.tw/news/157967
Meta財報出爐，Reality Labs虧損擴大，員工人數減少14%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://investor.fb.com/investor-news/press-release-details/2023/Meta-Reports-Second-Quarter-2023-Results/default.aspx" target="_blank">Meta周三（7/26）公布今年第二季財報</a>，該季Meta創下320億美元的營收，比去年同期成長11%，即使該季專門開發混合實境技術與產品的Reality Labs部門持續虧損，且虧損金額從去年同期的28億美元擴大到37億美元，但由於程式家族（Family of Apps）的用戶持續增加，員工人數減少了14%，再加上財報表現優於分析師預期，而使得當天Meta盤後上漲了6.87%，股價達319.15美元。</p> <p>在320億美元的營收中，有317億美元來自Facebook、Instagram、Messenger與WhatsApp等程式家族，成長11.8%，另有2.76億美元來自Reality Labs，下滑了38.9%。程式家族的營業利潤為131億美元，高於去年的112億美元，而Reality Labs則虧損了37億美元，高於去年的28億美元。</p> <p>Meta的程式家族用戶數仍持續成長中，在第二季的每月用戶數為38.8億人，比去年同期增加了6%。若單獨觀察Facebook的每月用戶數，則是30.3億人，亦增加了3%。</p> <p>此外，Meta自2022年便展開了裁員計畫，進行數波的裁員，該計畫到今年第二季已告一段落，目前Meta的全球員工總數為71,469人，比去年同期減少了14%。不過，Meta也預期Reality Labs在今年至明年的虧損將會持續擴大。</p> </div></div></div>
2023/7/27 12:17作者陳曉莉https://www.ithome.com.tw/news/157965
Google Play Store將調降不適用大螢幕App的排序
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2023/07/introducing-new-play-store-for-large-screens.html" target="_blank">Google宣布</a>，未來不適合平板等大螢幕裝置顯示，或是執行不順的Android App，將被調降在Play Store的搜尋排序。</p> <p>Google是在最新Play Store變更的宣布中說明此事。Google表示，為了推廣適合大型螢幕的高品質App，新政策下，符合大螢幕應用品質指引的App及遊戲程式，將在這項類別的主頁搜尋中獲得較高的排序。這類應用程式能讓用戶更容易調整大小，不會在播放影片或畫面時上下留一大片黑邊，而且支援直式或橫式播放。新的調整能加速使用者搜尋，而未來編輯精選或重點介紹也會加入本條件，使這類App或遊戲更容易曝光。</p> <p>這是Google對App實施的最新品質要求。<a href="https://android-developers.googleblog.com/2022/10/raising-bar-on-technical-quality-on-google-play.html" target="_blank">去年11月Google宣布</a>針對App開發商必須確保在不同尺寸手機螢幕上執行的品質，一旦用戶報告應用程式執行當掉，以及無回應（App Not Responding，ANR）率超過8%的App，就會被調降在該機種用戶搜尋的排序。Google Play Store也會在該款App說明頁以紅字顯示App可能會在用戶裝置上暫停執行的警告，以「設定用戶使用經驗的期望」。</p> <p>最新宣布則是將原有規定推向大螢幕裝置，包括平板，同樣影響當掉及ANR率超過8%的App及遊戲程式。Google說，新規定將在8月底開始實施，開發商可以利用Play管理介面或API持續監控App的穩定性量測值。</p> <p>最後，為了讓用戶更容易了解App執行的樣態，Google Play Store也會使用新的預覽格式，顯示執行在特定form factor上的擷圖、影片和描述，幫助用戶決定是否安裝。Google說，符合其內容品質指引的大螢幕App更具有優勢，能在Play Store主頁上占用更大空間。</p> <p>此外，為了更方便用戶在大螢幕上使用Play Store，Google也為軟體程式商店小幅改版、增加新功能，像是多欄呈現App介紹的版型、將功能選單移到左手邊、以及分割螢幕搜尋以便能比較2個App，減少來回拉動的麻煩。</p> </div></div></div>
2023/7/27 12:28作者林妍溱https://www.ithome.com.tw/news/157966
山葉音樂加拿大遭勒索軟體攻擊，又有2個組織宣稱犯案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以生產鋼琴知名的山葉音樂（Yamaha Music）加拿大分公司遭到勒索軟體攻擊，導致特定資料被竊，而且又有2個駭客組織「認領」。</p> <p><a href="https://ca.yamaha.com/en/news_events/2023/0720_cyber_security.html" target="_blank">山葉音樂加拿大本周公告</a>近日遭遇網路攻擊，致使非授權存取系統及資料竊取。他們在發現此事時立即制止了攻擊，並和外部安全廠商合作，防止重大損害及惡意程式滲透，同時強化公司網路的防禦。他們也通知了受影響人士，提供他們信用監控服務。</p> <p>山葉並未說明攻擊者存取了什麼系統或資料型態，也沒說是何種安全事件。不過<a href="https://twitter.com/AlvieriD/status/1682368282693607428" target="_blank">安全研究人員Dominic Alvieri發現</a>，勒索軟體Akira宣稱攻入山葉音樂加拿大分公司（<em>註：研究人員寫成Akita，但疑為Akira的誤植</em>）。<a href="https://twitter.com/AlvieriD/status/1669108784906510336" target="_blank">Alvieri 6月也發現</a>，山葉音樂美國，以及生產機車引擎的山葉出現在另一勒索軟體Black Byte組織的受害者清單上。</p> <p>Black Byte出現時間較早，首見於2021年9月。早期寫得不好，後來出了第2版，並在<a href="https://www.bleepingcomputer.com/news/security/san-francisco-49ers-blackbyte-ransomware-gang-stole-info-of-20k-people/" target="_blank">去年2月美國超級盃期間侵襲舊金山49人隊</a>成名。Akira則首見於今年3月，但因和Conti多所相似處，研究人員相信，其成員可能來自Conti，或至少受其啟發。</p> <p>這是近來最新一家企業同時被不同2家勒索軟體組織列為受害者的事件。上周<a href="https://www.ithome.com.tw/news/157872" target="_blank">美國化妝保養品大廠雅詩蘭黛</a>也分別被Clop及Black Cat歹徒列為受害者。此外，《<a href="https://therecord.media/yamaha-confirms-cyberattack-after-multiple-ransomware-gangs-claim" target="_blank">The Record</a>》報導，年初美國奧克蘭市政府也分別被Play及LockBit列為「成功案例」。</p> <p>一家受害企業出現在多個駭客網站上，近日似乎成為一種新趨勢。安全專家相信，可能是不同勒索軟體使用同一個夥伴（affiliate）來攻擊同一家公司。另一些專家則認為，這純粹是同一個駭客組織輪流使用不同「勒索軟體品牌」的行為。此外，愈多平臺公布資訊，也更有助於擴大宣傳效果，對受害組織施壓支付贖金。</p> </div></div></div>
2023/7/27 11:14作者林妍溱https://www.ithome.com.tw/news/157963
ChatGPT Android版正式發布，4國先上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/157908" target="_blank">在現蹤一個星期後</a>，OpenAI宣布<a href="https://twitter.com/OpenAI/status/1683854695398522881" target="_blank">ChatGPT Android版正式開放下</a>載，本周先在美國、巴西、印度及孟加拉上線，下周會再擴大到更多市場。</p> <p>臺灣版Google Play目前也還未提供下載，但用戶可預先註冊，等ChatGPT上線後會自動安裝。</p> <p>這使得ChatGPT AI聊天機器人從去年11月以Web版上線以來，終於提供幾乎所有平臺的應用程式。ChatGPT發布後，用戶在2個月內衝高到1億，在Threads本月初上線之前，是所有消費性應用程式之冠，當時前一個最快達到這個門檻的是Tiktok，花了9個月。</p> <p>OpenAI希望Android版App的發布可延續消費者對AI聊天機器人的使用熱潮。ChatGPT桌機及iOS版App於5月發布，但分析機構估計，ChatGPT官網流量從6月開始已開始走跌，顯示大眾的興趣消退，分析師認為這也說明，AI聊天機器人需要提供更實質的價值。</p> <p>除了消費性App，OpenAI也廣結合作夥伴，包括以外掛型式整合微軟Bing、提供第三方程式的API存取，以增加ChatGPT的使用方便性及效益。為了強化ChatGPT的個人化效用，<a href="https://www.ithome.com.tw/news/157894" target="_blank">OpenAI上周推出可客製化的指令</a>，使其記住用戶偏好，以便產生更符合用戶需求的建議及資訊。</p> </div></div></div>
2023/7/27 10:02作者林妍溱https://www.ithome.com.tw/news/157961
發揮QLC優勢，Solidigm率先推出61TB超大容量SSD
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/solidigm_d5-p5336_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以資料中心單一儲存裝置的最大容量而言，這兩年來，固態硬碟已超過傳統硬碟，因為市面上出現越來越多可供應30.72 TB容量的企業級與資料中心固態硬碟產品，像是鎧俠（Kioxia）的PM6-R系列、PM7-R系列、<a href="https://www.ithome.com.tw/review/146812">CM6-R系列</a>、CM7-R系列，三星（Samsung）的PM1643系列，美光（Micron）的9400、<a href="https://www.ithome.com.tw/review/157282">6500 ION</a>。</p> <p>上述產品清一色都是以TLC快閃記憶體技術打造而成，而對於Solidigm而言，則是少數運用QLC快閃記憶體技術設計此類超大容量固態硬碟的廠商，他們在2021年上半推出D5-P5316，<a href="https://www.ithome.com.tw/review/157477">今年5月正式發表D5-P5430</a>。時隔兩個月的現在，他們又宣布推出D5-P5336，皆能供應如此巨大的固態儲存容量。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Solidigm QLC SSD Portfolio-2023.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Solidigm%20QLC%20SSD%20Portfolio-2023.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Solidigm QLC SSD Portfolio-2023-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Solidigm%20QLC%20SSD%20Portfolio-2023-4.jpg" style="width: 600px;" /></a></p> <p>在D5-P5336系列的出貨時序安排，Solidigm表示，目前先提供E1.L長尺形的15.36 TB與30.72 TB容量機型，今年稍晚將同時提供更普遍用於伺服器與儲存系統的2.5吋U.2外形，以及比30.72 TB多出一倍的儲存容量61.44 TB，到了2024年上半，他們預計提供E3.S外形的選擇，最大儲存容量為30.72 TB。</p> <p><a href="https://s4.itho.me/sites/default/files/images/D5-P5336-Form-Capacity.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/D5-P5336-Form-Capacity.png" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Solidigm QLC SSD Portfolio-2023-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Solidigm%20QLC%20SSD%20Portfolio-2023-2.jpg" style="width: 600px;" /></a></p> <p>基於這些外形與超大容量的提供，每臺伺服器或儲存系統可呈現那些組態？以1U尺寸的伺服器或儲存系統為例，若搭配E1.L外形的D5-P5336，最多可安裝32臺61.44TB容量固態硬碟，提供逼近2 PB的總儲存容量。</p> <p>若是2U尺寸的伺服器或儲存系統，搭配2.5吋U.2外形的D5-P5336，最多可安裝24臺61.44TB容量固態硬碟，提供逼近1.47 PB的總儲存容量；搭配E3.S外形的D5-P5336，最多可安裝36臺30.72 TB容量固態硬碟，提供逼近1.47 PB的總儲存容量。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Solidigm QLC SSD Portfolio-2023-Density.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Solidigm%20QLC%20SSD%20Portfolio-2023-Density.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/D5-P5336 Advantage.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/D5-P5336%20Advantage.jpg" style="width: 600px;" /></a></p> <p>在使用成效上，若以相同尺寸的設備、全部安裝傳統硬碟的儲存陣列為基準，搭配大量D5-P5336的全快閃儲存陣列可存放的資料量，能達到6倍以上（12臺3.5吋20 TB硬碟 vs. 24臺2.5吋U.2外形61.44 TB固態硬碟），不僅具有更快的存取速度，也在儲存容量大幅超前。</p> <p>由於D5-P5336是目前唯一能提供61.44 TB容量的固態硬碟，比起現行的純硬碟儲存陣列、混合儲存陣列、搭配TLC固態硬碟的全快閃儲存陣列，用戶能以更少量的儲存裝置，就能透過D5-P5336搭配到需要的固態儲存空間，進而負擔更低的總持有成本，也能藉此設置更支援全球環境永續發展的儲存基礎架構。</p> <p>為了證明D5-P5336能帶來這些成效，Solidigm提出一套可存放100 PB資料的物件儲存解決方案的部署需求，以此突顯儲存陣列全部採用D5-P5336具有更高的經濟效益。</p> <p>根據他們的比較，對比於混合使用TLC固態硬碟與傳統硬碟的儲存陣列，效益差距幅度最大，總持有成本可降低61％，耗電量與散熱成本縮減6倍，機櫃機架空間縮減14倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/D5-P5336%20100%20PB%20Storage%20Comparison.png" style="width: 600px;" /></p> <p>其次是對比全部搭配SAS介面硬碟的儲存陣列，全部採用D5-P5336的儲存陣列的總持有成本相對可降低47％，耗電量與散熱成本縮減4.9倍，機櫃機架空間縮減11.8倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Solidigm%20D5-P5336%20vs%20TLC%20SSD.jpg" style="width: 600px;" /></p> <p>對比於全部搭配TLC固態硬碟的儲存陣列，費用節約也是很可觀，全部採用D5-P5336的儲存陣列之後，總持有成本相對可降低17％，耗電量與散熱成本縮減1.25倍，機櫃機架空間縮減1.9倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Solidigm%20D5-P5336%20vs%20HDD.jpg" style="width: 600px;" /></p> <p>而從實際效能測試而言，Solidigm表示，D5-P5336的讀取效能可比照、甚至優於TLC固態硬碟。他們針對3款同樣提供15.36 TB容量的固態硬碟機型，將它們用於CDN工作負載來進行觀察，結果發現，代表入門級TLC固態硬碟產品的Kioxia CD8-R，讀取頻寬為5.6 GB/s，另一款代表主流層級TLC固態硬碟產品的Micron 7450，讀取頻寬為6.2 GB/s，至於最新發表的QLC固態硬碟產品Solidigm D5-P5336，讀取頻寬為7.5 GB/s，領先前面兩款產品的幅度分別為34％、21％。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Solidigm%20QLC%20SSD%20Portfolio-2023-D5336.jpg" style="width: 600px;" /></p> <p>對照Solidigm公布的產品規格比較資訊，也可看出D5-P5336與其他兩款TLC固態硬碟讀取效能相當，但寫入效能一如預期較低，而相較於稍早推出的QLC固態硬碟D5-P5430，循序寫入效能為3,000 MB/s，D5-P5336為3,300 MB/s，略勝一籌，但隨機寫入效能更低，只有3.8萬IOPS（D5-P5430為12萬IOPS）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/D5-P5336 delivers TLC-equivalent performance.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/D5-P5336%20delivers%20TLC-equivalent%20performance.png" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>Solidigm D5-P5336<br /> ●原廠：Solidigm<br /> ●建議售價：廠商未提供<br /> ●儲存容量：目前提供15.36 TB、30.72 TB，7.68TB、61.44 TB預計2023稍後推出<br /> ●外形：目前提供E1.L，U.2、E3.S預計2023稍後推出<br /> ●儲存媒體：3D NAND，QLC，192層<br /> ●最高讀寫速度：循序7,000 MB/s與3,300 MB/s，隨機100.5萬IOPS與3.8萬IOPS<br /> ●使用介面：PCIe 4.0 x4<br /> ●耐用度：每日寫入量最高為0.58，總寫入量為65.2 PBW<br /> ●可靠度：200萬小時MTBF<br /> ●保固期間：5年</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/7/26 22:49作者李宗翰https://www.ithome.com.tw/review/157892
【資安日報】7月26日，駭客利用Ivanti行動裝置管理平臺的零時差漏洞，攻擊挪威政府的資訊系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>週一挪威政府發布公告，表示他們廣受12個機關採用的ICT平臺遭到攻擊，而駭客利用的漏洞，就是Ivanti於週日針對行動裝置管理平臺Ivanti Endpoint Manager Mobile（EPMM，原名MobileIron Core）修補的CVE-2023-35078。Ivanti聲稱沒有發現該漏洞遭到利用的跡象，但已有研究人員發現相關攻擊行動。</p> <p>Atlassian上週修補的漏洞也相當值得留意，該公司針對企業協同開發軟體Confluence、持續整合與持續部署（CI/CD）系統Bamboo，修補了可被用於遠端執行任意程式碼（RCE）的高風險漏洞。</p> <p>VMware針對容器管理平臺Tanzu修補的資訊洩露漏洞，也值得IT人員留意，因為，攻擊者很可能用來推送帶有惡意功能的應用程式。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/norway-says-ivanti-zero-day-was-used-to-hack-govt-it-systems/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">挪威政府傳出遭到零時差漏洞攻擊，被駭客侵入的系統是Ivanti行動裝置管理平臺</span></strong></a></p> <p>7月24日挪威安全與服務組織（DSS）證實，駭客利用第三方軟體的零時差漏洞發動攻擊，導致有12個挪威政府機關採用的ICT平臺遭到入侵，DSS察覺攻擊行動後通報了挪威國家安全局（NSM），該國警方著手調查。</p> <p>挪威資料保護局也收到通報，當中提及駭客可能已從ICT系統竊得敏感資料。DSS強調政府機關的營運不受影響，但沒有提及被利用的零時差漏洞細節，以及攻擊者的身分、受害規模。針對這起攻擊行動，DSS表示他們啟動了多項防護措施，目前有12個部門的員工無法使用DSS的行動應用程式辦公，這些人員若能透過電腦存取相關服務，則不受影響。</p> <p>而對於前述的零時差漏洞，挪威國家安全局透露是CVE-2023-35078，該漏洞存在於行動裝置管理平臺Ivanti Endpoint Manager Mobile（EPMM，原名MobileIron Core），CVSS風險評為10分。</p> <p>資料來源</p> <p>1. <a href="https://www.dss.dep.no/aktuelle-saker/departementer-utsatt-for-dataangrep/">https://www.dss.dep.no/aktuelle-saker/departementer-utsatt-for-dataangrep/</a><br /> 2. <a href="https://nsm.no/aktuelt/nulldagssarbarhet-i-ivanti-endpoint-manager-mobileiron-core">https://nsm.no/aktuelt/nulldagssarbarhet-i-ivanti-endpoint-manager-mobileiron-core</a></p> <p><a href="https://blog.checkpoint.com/security/facebook-flooded-with-fake-ads-for-chatgpt-google-bard-and-other-ai-services-tricking-users-into-downloading-malware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊資軟體Doenerium假冒ChatGPT或其他AI工具，透過臉書貼文進行散布</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AI-Picture1-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AI-Picture1-2.png" style="width: 300px; float: right;" /></a>資安業者Check Point揭露竊資軟體Doenerium的攻擊行動，駭客假借提供ChatGPT、Google Bard、Midjourney、Jasper等生成式AI工具，透過臉書貼文吸引使用者上當，一旦使用者依照指示下載檔案，電腦就有可能被植入竊資軟體。</p> <p>此竊資軟體會先收集系統資訊並傳送到Discord，然後從瀏覽器搜括Cookie、書籤、上網記錄、密碼，並且洗劫Zcash、比特幣、以太坊等加密貨幣錢包，此外，駭客也攔截多種社群網站與遊戲平臺的連線階段（Session）資訊，並從Filezilla竊取FTP帳密資料。</p> <p>值得留意的是，駭客不只冒用的生成式AI工具品牌變得更為廣泛，他們的臉書專頁擁有數十萬或上百萬粉絲，且有許多人對貼文按讚、發表評論，使得使用者可能大幅降低戒心而上當。</p> <p><a href="https://asec.ahnlab.com/en/55369/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">韓國IIS網頁伺服器遭到北韓駭客Lazarus鎖定，將其用於散布惡意程式</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Lazarus-JuicyPotato-13.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Lazarus-JuicyPotato-13.png" style="width: 300px; float: right;" /></a>資安業者AhnLab揭露北韓駭客組織Lazarus近期的攻擊行動，駭客先是入侵韓國網站並竄改內容，然後利用含有弱點的Inisafe CrossWeb EX V6軟體，對目標使用者進行水坑式攻擊。一旦使用者透過上述應用程式搭配瀏覽器存取特定的網站，就會將Lazarus的惡意軟體SCSKAppLink.dll下載到受害電腦，並透過INISAFECrossWebEXSvc.exe的漏洞植入。</p> <p>在上述的惡意軟體攻擊行動裡，研究人員發現，駭客也針對IIS網頁伺服器下手，取得控制後將其用於散布惡意軟體。駭客先是針對目標伺服器存在的漏洞，部署對應的Web Shell或執行命令，其攻擊行動是透過處理程序w3wp.exe進行；接著，駭客透過惡意程式JuicyPotato（也有可能利用RottenPotato、SweetPotato）來提升權限，並執行惡意軟體載入工具usoshared.dat來進行控制。</p> <p>由於許多韓國公私部門都採用Inisafe CrossWeb EX系統來進行電子交易、身分驗證、網路銀行的用途，研究人員指出，針對該軟體已知漏洞而來的攻擊仍持續進行。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/ivanti-patches-mobileiron-zero-day-bug-exploited-in-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Ivanti修補行動裝置管理平臺的零時差漏洞</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Internet-exposed MobileIron user portals.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Internet-exposed%20MobileIron%20user%20portals.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，7月23日，Invanti修補旗下行動裝置管理平臺Ivanti Endpoint Manager Mobile（EPMM，原名MobileIron Core）的漏洞CVE-2023-35078，攻擊者可在未通過身分驗證的情況下，遠端利用該漏洞存取API，進而取用受限制的功能或是資源。</p> <p>該漏洞影響所有版本的EPMM，CVSS風險評分為10，該公司已發布更新軟體修補。值得留意的是，雖然Ivanti並未透露該漏洞是否遭到利用，但該資安新聞網站指出，有人聲稱向Ivanti通報已有攻擊行動，駭客針對極為少數的組織發動攻擊。</p> <p><a href="https://confluence.atlassian.com/security/security-bulletin-july-18-2023-1251417643.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Altassian修補旗下Confluence與Bamboo的高風險漏洞</span></strong></a></p> <p>7月18日Atlassian發布資安通告，針對旗下的企業協同開發軟體Confluence，以及持續整合與持續部署系統（CI/CD）Bamboo，修補CVE-2023-22505、CVE-2023-22506、CVE-2023-22508漏洞，CVSS風險評分介於7.5至8.5。</p> <p>這些漏洞有可能讓攻擊者在通過身分驗證的情況下，遠端執行任意程式碼（RCE）來影響系統的機密性、完整性、可用性，且無須使用者互動就能進行。</p> <p>其中，CVE-2023-22505、CVE-2023-22508存在於特定版本的Confluence Server與Data Center；另一個漏洞CVE-2023-22506，則是影響Bamboo Data Center。</p> <p><a href="https://www.vmware.com/security/advisories/VMSA-2023-0016.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">VMware修補容器管理平臺Tanzu的資訊洩露漏洞</span></strong></a></p> <p>7月25日VMware針對容器管理平臺Tanzu修補CVE-2023-20891，此為資訊洩露漏洞，影響Tanzu Application Service for VMs（TAS）、Isolation Segment等產品線，CVSS風險評分為6.5。</p> <p>漏洞發生的原因，在於此系統的稽核事件記錄裡，使用16位元的編碼（Hex）記錄管理員的帳密資料，使得未具備管理員權限的使用者能存取該平臺稽核事件記錄，拆解當中的CF API管理員帳密，從而推送惡意版本的應用程式。</p> <p><a href="https://vulncheck.com/blog/mikrotik-foisted-revisited"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">MikroTik路由器存在漏洞，恐讓攻擊者取得超級管理員權限</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/mt-web-shodan.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/mt-web-shodan.png" style="width: 300px; float: right;" /></a>資安業者VulnCheck針對MikroTik路由器用戶提出警告，他們發現該廠牌路由器作業系統RouterOS存在CVE-2023-30799（CVSS風險評分為9.1），此漏洞一旦遭到利用，攻擊者可在取得管理員帳號的情況下，遠端存取路由器的Winbox或網頁HTTP介面，將自己的權限提升為超級管理員，進而取得該作業系統完整的存取權限。</p> <p>研究人員指出，雖然攻擊者需要取得管理員的帳號才能利用這項漏洞，但是執行RouterOS作業系統的路由器都具備預設的admin帳號，且缺乏防範暴力破解的機制，而有機會讓攻擊者用來發動攻擊。</p> <p>對此，MikroTik於去年10月對穩定版本RouterOS發布6.49.7版修補，但對於長期支援版本的部分，則是在VulnCheck近期通報路由器硬體的新漏洞後，該公司才發布6.49.8版緩解該漏洞。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.thalesgroup.com/en/worldwide/security/press_release/thales-create-world-class-global-cybersecurity-leader-acquiring-us"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資安業者Thales以36億美元買下Imperva</span></strong></a></p> <p>7月25日資安業者Thales宣布，他們取得軟體投資公司Thoma Bravo的同意，以36億美元的價格，買下網路應用系統安全解決方案業者Imperva全部的股權。</p> <p>透過本次的併購，Thales將其網路安全業務提升到新的層次，併入後Imperva將進行資料安全領域的發展，並能讓Thales投入網路應用系統安全領域的市場，該公司預計其網路安全業務的整體營收將超過24億歐元。這項併購案將在通過主管機關的審核後，預計於2024年初完成。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.securityweek.com/moveit-hack-could-earn-cybercriminals-100m-as-number-of-confirmed-victims-grows/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客Clop傳出從MOVEit零時差漏洞攻擊的受害組織得到1億美元</span></span></strong></a></p> <p><a href="https://cyberint.com/blog/research/siegedsec-compromise-nato/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織SiegedSec鎖定北約組織而來，外洩入口網站數百份文件</span></span></strong></a></p> <p><a href="https://iamdeadlyz.gitbook.io/malware-research/july-2023/fake-blockchain-games-deliver-redline-stealer-and-realst-stealer-a-new-macos-infostealer-malware#realst-stealer-macos"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">竊資軟體Realst鎖定macOS用戶，目標是加密貨幣錢包</span></span></strong></a></p> <p><a href="https://blogs.infoblox.com/cyber-threat-intelligence/decoy-dog-is-no-ordinary-pupy-distinguishing-malware-via-dns/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體DecoyDog濫用DNS與C2進行通訊</span></span></strong></a></p> <p><a href="https://www.fortinet.com/blog/threat-research/microsoft-message-queuing-service-vulnerabilities"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員針對微軟MSMQ訊息佇列漏洞公布細節</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157937">【7月25日】中華汽車發布重大訊息證實遭到網路攻擊，並著手恢復受影響系統</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157914">【7月24日】駭客假借日本水電公司名義，向當地安卓用戶散布惡意程式SpyNote</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157901">【7月21日】兆勤設備遭到殭屍網路Dark.IoT鎖定，並將被控制的設備用於DDoS攻擊</a></strong></p> </div></div></div>
2023/7/26 17:53作者周峻佑https://www.ithome.com.tw/news/157947
The Browser Company釋出Arc 1.0瀏覽器，率先支援macOS與iOS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新創瀏覽器公司<a href="https://twitter.com/browsercompany/status/1516432026668257294" target="_blank">The Browser Company在2022年4月發表</a>的全新瀏覽器Arc，終於<a href="https://arc.net/" target="_blank">在本周二（7/25）釋出Arc 1.0</a>，並開放macOS與iOS用戶下載，至於Windows版也預計會在今年出爐。</p> <p>其實Arc瀏覽器自2021年便展開封閉測試，隔年才進入邀請測試，但一直到本周，使用者都必須等待邀請才能下載Arc，Arc 1.0是首個開放大眾下載的版本。</p> <p>Arc瀏覽器奠基在Chromium專案上，預設搜尋引擎為Google，但它的介面迥異於其它瀏覽器，其上方沒有網址列，卻有一個側邊欄，整合了網址列、分頁、書籤與其它功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0726-The%20Browser%20Company-Arc-3-600.png" style="width: 600px;" /></p> <p>更特別的是它有各種實用的內建功能，包括筆記功能Notes，或是可塗鴨與貼上網頁截圖的畫架功能Easels，不管是筆記或畫架都會有自己的網址以利分享與協作；還有一個可依據使用者需求或主題，組織各種內容的Spaces功能；以及允許使用者變更網頁樣貌的<a href="https://arc.net/boosts" target="_blank">Boosts功能</a>。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/The%20Browser%20Company-Arc-Boosts-600.jpg" style="width: 500px;" /></p> <p><a href="https://thebrowser.company/privacy/" target="_blank">Arc亦已建立隱私政策</a>，強調未存放使用者所造訪的網站或所輸入的內容，也不會將用戶資料出售給第三方，並說明所蒐集資料的方式與用途。</p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_The Browser Company</span></p> </div></div></div>
2023/7/26 16:40作者陳曉莉https://www.ithome.com.tw/news/157945
微軟營收成長8%，AI快速成長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/Investor/earnings/FY-2023-Q4/press-release-webcast" target="_blank">微軟周二（7/25）公布</a>了該公司截至6月30日的2023財年第四季財報，顯示微軟締造了652億美元的營收，成長8%，淨收入達到201億美元，成長20%。該季微軟的每股盈餘為2.69美元，亦成長21%。此外，整合OpenAI服務的Azure OpenAI、GitHub Copilot及Bing在該季都有出色的用戶成長。</p> <p>在652億美元的營收中，智慧雲端（Intelligent Cloud）占了240億美元，成長15%，生產力與業務流程（Productivity and Business Processes）為183億美元，成長10%，而更多個人運算（More Personal Computing）營收則下滑了4%，為139億美元。</p> <p>觀察個別的微軟產品，營收成長最多的是Dynamics 365的26%，Azure與其它雲端服務亦成長26%，Microsoft Cloud 成長21%，Dynamics產品與雲端服務成長19%，Office 365 Commercial亦成長15%。</p> <p>反之，營收下滑的則有Windows OEM，下滑了12%，裝置營收更下滑了20%，主要原因來自於PC市場的疲軟。</p> <p>另一方面，微軟執行長Satya Nadella於財報會議中表示，微軟將繼續專注於主導新的AI平臺的遷移，協助客戶利用Microsoft Cloud來發揮其數位支出的最大價值。</p> <p>事實上，身為OpenAI大股東的微軟，企圖將OpenAI的相關技術應用在所有微軟服務中，目前已有超過1.1萬個組織使用Azure OpenAI服務，涵蓋Ikea、Volvo、與蘇黎士保險等，而且Mercedes-Benz正透過Azure OpenAI將ChatGPT服務傳送到美國90萬輛的汽車上，而Azure OpenAI上一季每天平均新增100名客戶。</p> <p>此外，迄今已有超過2.7萬個組織利用GitHub Copilot for Business來提高開發人員的生產力，包括Airbnb與Dell等，此一數字是上一季的2倍。</p> <p>整合了ChatGPT並成為OpenAI ChatGPT預設搜尋引擎的Bing，迄今已進行逾10億次的聊天，使用者利用Bing Image Creator所建立的圖片超過7.5億張，而Microsoft Edge的市占率亦因此連續成長9季。</p> <p>另一方面，全面擁抱AI的微軟亦宣布將加快對雲端基礎設施的投資，以滿足市場對AI與雲端的需求，預期未來每一季的資本支出都將持續增加。</p> <p>雖然微軟表現不錯，但因華爾街分析師原本對微軟的期待更高，使得財報當天的微軟盤後股價下挫了3.7%，跌至338美元。</p> </div></div></div>
2023/7/26 13:37作者陳曉莉https://www.ithome.com.tw/news/157943
說來容易做來難，OpenAI悄悄關閉辨識AI或人類創作的服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI功能日愈強大，產出的文字或圖像幾可亂真，連AI工具自己都無法判斷。OpenAI上周悄悄關閉了用以分辨AI或人類生成內容的工具，因為它做不到自己宣稱的事。</p> <p>今年2月初，<a href="https://www.ithome.com.tw/news/155328" target="_blank">OpenAI公布</a>名為AI分類器（AI Classifier）的服務，用以辨別由人類編寫或是AI生成的文字，以協助解決學生使用AI寫論文或報告的欺騙行為。該公司宣稱只要輸入最少1,000個字元，約為150到250英文單字，這工具就能判斷該文本是由人類編寫還是AI產生。當時該公司說其模型判斷AI生成英文文字的正確判讀率為26%，錯誤判讀率（將AI生成文字判讀為人類所寫）為9%。</p> <p>不過上周OpenAI在當初宣布這工具的官方部落格上，<a href="https://openai.com/blog/new-ai-classifier-for-indicating-ai-written-text" target="_blank">以一小行聲明公告</a>，AI分類器已不再提升，原因是準確性太低。</p> <p>但OpenAI並未放棄，開發小組已蒐集這工具使用半年來得到的反饋，目前正在研究更有效的文字判讀技術，並將投入開發與部署協助使用者判斷是否為AI生成的聲音和視覺內容。</p> <p>這也顯示AI功能愈來愈強大，足以產生難以區分真假的AI內容。這也呼應了一份由<a href="https://www.ithome.com.tw/news/157743" target="_blank">史丹佛大學教授的研究</a>結論。該研究發現，母語非英語的使用者撰寫的英文文章，超過一半會被AI偵測工具誤判為AI撰寫的產物。</p> </div></div></div>
2023/7/26 12:34作者林妍溱https://www.ithome.com.tw/news/157942
加入Twitter用戶爭奪，TikTok支援純文字貼文，Meta Threads加入時序性顯示
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在推特（Twitter）改名X，全面移除小鳥logo的同一天，以短影片風靡年輕用戶的<a href="https://newsroom.tiktok.com/en-us/text-posts" target="_blank">TikTok宣布</a>，支援純文字形式的貼文（test post）。同時間Threads則加入時序顯示功能，也預告多項功能即將推出，爭取推特用戶的意圖明顯。</p> <p>在此之前，TikTok支援即時串流影片、相片、不同2個創作者影片並陳（Duets）及將他人影片編織入自己影片（Stitch）等工具。新增的文字格式讓創作者可以分享故事、詩、食譜和其他書寫內容。TikTok表示，新增的內容格式拓展創作者意見分享及創意表達的選擇，讓所有人都能在TikTok分享內容。</p> <p>TikTok上張貼文字內容的流程如下：用戶存取「相機」頁，會看見3種選項，包括相片、影片和文字。選擇文字後，他會被導向文字創作頁撰寫文字。在完成文字後的「貼文」頁則提供增加音效、標註地點、評論、加貼圖、hashtag、背景色彩或允許Duet等格式內容，增加文字貼文的豐富度。此外，和影片及照片內容一樣，文字貼文也能先打草稿、儲存日後再編輯，或整個放棄。</p> <p>此外，Meta執行長祖克柏（Mark Zuckerberg）周二在其IG廣播頻道宣布，Threads加入追蹤中（Following）的貼文顯示功能。這是呼聲最高的功能需求之一，可依時間順序顯示追蹤帳號的新訊息。不過這功能並非預設，Threads預設還是以演算法排序的「為你推薦」（For You）顯示這些內容。用戶必須點到Threads主頁找到切換鍵，以切換到「追蹤中」顯示模式。<a href="https://www.theverge.com/2023/7/25/23807340/threads-following-feed-for-you-default-instagram-meta" target="_blank">而且媒體發現</a>，關閉App下次再開，偶爾還是會再跳回舊有的「為你推薦」模式。</p> <p>此外Threads也加入翻譯功能，用戶可按下貼文右下角的翻譯鍵可立即看到譯文。<a href="https://www.engadget.com/threads-adds-a-chronological-feed-as-twitter-burns-to-the-ground-152817251.html" target="_blank">祖克柏還預告</a>Threads正在開發其他新功能，包括Web版、私訊、輔助功能、搜尋及類似TweetDeck的客製化儀表板等。</p> <p>藉由增加過去不支援的文字貼文或複製推特新功能，可望有助TikTok及Threads吸引想從推特跳槽的用戶。<a href="https://www.ithome.com.tw/news/157922" target="_blank">推特在馬斯克治理下於本周一（7/24）走入歷史</a>，服務品牌改名為X，全面換掉小鳥logo。</p> </div></div></div>
2023/7/26 11:38作者林妍溱https://www.ithome.com.tw/news/157940
Alphabet第二季成長7%，新設投資長來管理新創事業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://abc.xyz/assets/20/ef/844a05b84b6f9dbf2c3592e7d9c7/2023q2-alphabet-earnings-release.pdf" target="_blank">Alphabet周二（7/25）公布</a>截至今年6月底的第二季財報，該季創下746億美元的營收，比去年同期成長7%，其中，Google服務占了663億美元，成長5.5%，Google Cloud占了80.3億美元，成長28%，新創事業（Other Bets）營收為2.85億美元，成長48%。</p> <p>Alphabet暨Google執行長Sundar Pichai表示，該公司將持續利用人工智慧（AI）來改善搜尋及所有的服務，目前該公司旗下有15種產品的用戶數超過5億，有6種產品的用戶數超過20億，有很多機會來履行此一任務。</p> <p><a href="https://www.ithome.com.tw/news/156498" target="_blank">該公司在今年4月整併</a>了Alphabet旗下的DeepMind，以及Google研究院的Google Brain部門，成立了新的AI事業群Google DeepMind，因此，自今年第二季起，Google DeepMind的財務已被計入Alphabet的未分配企業成本中。</p> <p>此外，Alphabet宣布新設投資長一職，並由擔任Alphabet/Google財務長的Ruth Porat兼任，於今年9月1日生效。</p> <p>Porat擔任投資長的主要任務為管理Other Bets的投資，再加上於全球市場及社群的新投資，亦將負責與各國政策制定者及監管機構的合作。</p> <p>Alphabet今年第二季的每股盈餘為1.44美元，超越華爾街分析師所預期的1.34美元，財報發表當天，Alphabet在盤後上漲了5.76%，股價為129.86美元。</p> </div></div></div>
2023/7/26 12:08作者陳曉莉https://www.ithome.com.tw/news/157941
微軟正在測試Bing Chat執行於Chrome、Safari等瀏覽器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟證實，正在小範圍測試可在Google Chrome、蘋果Safari上執行的Bing Chat服務。</p> <p>本周稍早網路媒體《<a href="https://www.windowslatest.com/2023/07/24/windows-11s-bing-ai-rolls-out-for-chrome-with-native-dark-mode-safari-support-next/" target="_blank">Windows Latest</a>》發現，Windows 10及11上顯示跳出視窗，邀請用戶在Google Chrome試用Bing.com AI聊天機器人。<a href="https://www.windowslatest.com/2023/06/04/microsoft-tests-bing-ai-on-safari-and-chrome-teases-new-features/" target="_blank">上個月甚至有人發現</a>可在Safari使用Bing Chat服務的通知。</p> <p>微軟官方也證實，已經將由Safari及Chrome存取Bing Chat的功能部署給特定用戶，作為該公司測試第三方瀏覽器的一環。</p> <p>根據媒體測試，Chrome版執行的Bing Chat支援深色背景模式，可透過Bing的三橫線漢堡選單選取白色模式、深色模式及系統預設（即自動偵測作業系統背景）。但是功能上，Chrome版Bing Chat一次對話只支援5個問題，一個問題的輸入字元上限是2000，較Edge版支援20個問題及4000字元來得受限。Safari版本的問答功能和Chrome版相同。兩種瀏覽器的用戶都必須登入微軟帳號才能使用Bing Chat。</p> <p>有趣的是，當Chrome用戶真的使用Bing Chat，又會不斷看到以Edge使用Bing Chat的提示視窗。一旦按下「Chat now」即會啟動Edge瀏覽器。</p> <p>Bing Chat對兩種或其他種瀏覽器的支援，何時會全面部署，微軟並未說明。</p> <p>微軟為拉抬自家產品，自然從功能上差別待遇。微軟出資支持的OpenAI的<a href="https://www.ithome.com.tw/news/157524" target="_blank">ChatGPT 6月開始支援搜尋網際網路</a>，也是只能使用Bing搜尋。</p> </div></div></div>
2023/7/26 10:03作者林妍溱https://www.ithome.com.tw/news/157938
Nvidia新款融合加速卡搭配BF3，拓展5G Open RAN應用
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/nvidia_ax800_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年5月底Nvidia共同創辦人暨執行長黃仁勳來臺演講，在台北國際電腦展颳起一陣AI旋風，該公司這段期間最受矚目的產品之一，正是結合CPU與GPU的Grace Hopper，首度在臺公開亮相，事實上，Nvidia先前就有類似這樣融合兩種運算平臺的產品，他們稱之為融合式加速器（Converged Accelerators），是結合GPU與DPU的產品，在2021年11月GTC秋季大會期間推出A100X和A30X，到了今年，或許是因為他們最新款 DPU產品BlueField-3（BF3）進入大量生產階段，於是，Nvidia也悄悄宣布推出新款融合式加速器AX800，當中結合代號為GA100的GPU（A100），以及BlueField-3 DPU，希望能藉此提供能在任何雲端服務環境部署使用的市售硬體設備，成為真正支援雲端原生與高效能應用的5G加速解決方案，方便企業在各種雲端業者或電信邊緣設備環境，進行5G Open RAN環境的部署。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia CNA overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20CNA%20overview.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20CA_Aerial-5-case.jpg" style="width: 600px;" /></p> <p>對於雲端與電信服務業者而言，Nvidia認為AX800可支援多種應用方式，以及多租戶架構，透過相同的IT基礎架構，以及通用而非專屬設計的設備，就能同時支援5G 與AI工作負載，並且兼具資源使用率高，以及能動態擴展這些加速處理的執行規模等特色。</p> <p>基本上，憑藉著這系列產品整合的Ampere架構資料中心GPU，由於內建GPU多執行個體分割（MIG）的技術，因此，能透過共用的GPU硬體資源池，同時處理多個虛擬化5G基站與邊緣AI應用程式，並確保每項功能得以一致、善用能源的方式，執行在同一臺伺服器與加速卡；若需要擴充使用規模，除了透過上述方式在加速卡當中進行動態擴充，也能在伺服器搭配多張融合加速卡，採購多臺搭配融合加速卡的伺服器，以及建置採用上述配置伺服器的資料中心，從不同層級來進行擴充。</p> <p>而在使用成效上，Nvidia表示，若是在1臺2U尺寸伺服器搭配AX800，並且執行基於該公司5G vRAN軟體開發框架與套件Aerial而成的系統，吞吐量可達36 Gbps，能大幅改善軟體定義型態5G Open RAN解決方案的效能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/5G vRAN Topology.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/5G%20vRAN%20Topology.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/NVIDIA CloudRAN Topology.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NVIDIA%20CloudRAN%20Topology.jpg" style="width: 298px;" /></a></p> <p>相較於現行Open RAN解決方案典型的尖峰吞吐量表現，上述的搭配可提升10 Gbps，對比以傳統方式建置的5G網路服務，可藉此提供超過30 Gbps的尖峰吞吐量。</p> <p>之所以能達成如此顯著的效能提升，源於Aerial 5G vRAN技術堆疊架構中的實體層（L1）能獲得加速，不久之後，AX800加速的範圍將涵蓋整個技術堆疊，能針對更多處理流程的環節進行最佳化，屆時可望帶來更大的效能突破。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia CA_Aerial-2-Offload.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20CA_Aerial-2-Offload.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-06-nvidia-ax800-L1-nvidia-aeria-5g-vran-stack.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-nvidia-ax800-L1-nvidia-aeria-5g-vran-stack.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-06-full-stack-acceleration-nvidia-aerial-5g-ran.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-full-stack-acceleration-nvidia-aerial-5g-ran.png" style="width: 298px;" /></a></p> <p>值得注意的是，除了GPU與DPU本身具有強大的運算能力，AX800也受益於這兩種加速器的細部規格，例如，此處搭配的Ampere架構GPU記憶體頻寬逼近2 TB/s，以及BlueField-3支援256個執行緒——內建可程式化資料路徑加速器（Programmable Datapath Accelerator），足以應付I/O密集型工作負載，像是5G vRAN在L1層的處理作業。</p> <p>而在AX800與Aerial的搭配效能表現上，Nvidia也揭露一些數據。例如，在分時雙工（TDD）傳輸模式下，若使用100 MHz頻率、4個下載與2個上傳，而且是100％實體資源區塊（PRB）的狀態下，最多可支援10個4T4R的基地臺，而基於這樣的配置，能讓系統各自達到下載36.56 Gbps，以及上傳4.794 Gbps的網路吞吐效能。</p> <p>對於無線網路的通訊應用上，這樣的解決方案可廣泛支援多種規模，小至2T2R——頻率低於1GHz的微型部署，大至64T64R——巨型的多進多出（MIMO）部署。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia Aerial cuPHY Cell Capacity Over Time.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20Aerial%20cuPHY%20Cell%20Capacity%20Over%20Time.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>Nvidia AX800<br /> ●原廠：Nvidia<br /> ●建議售價：廠商未提供<br /> ●外型：雙寬全高全長介面卡（PCIe 5.0 x16）<br /> ●運算架構：Ampere架構GPU搭配BlueField-3資料處理器<br /> ●GPU架構：Ampere<br /> ●GPU記憶體：80 GB HBM2e<br /> ●GPU記憶體頻寬：2,039 GB/s<br /> ●GPU互連介面：3個NVLink橋接器<br /> ●多執行個體GPU切割數量：7個<br /> ●網路介面：2個200 Gb/s乙太網路埠或InfiniBand埠<br /> ●熱設計功耗：350瓦</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/7/26 10:28作者李宗翰https://www.ithome.com.tw/review/157909
防護四大公有雲使用，思科推出主打單一控制特色的資安服務
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cisco_md-main.png" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年6月思科舉行全球年度用戶大會Cisco Live!，活動期間發表多款資安產品，像是安全服務邊緣（SSE）解決方案Cisco Secure Access、次世代網路防火牆Cisco Secure Firewall 4200系列、雲端原生安全系統Panoptica，以及接下來我們介紹的Cisco Multicloud Defense。</p> <p>此項產品源於他們3月底完成併購的雲端安全新創廠商Valtix，思科看重他們能以簡易方式提供橫跨多雲環境的資安防護，因此決定買下這家公司，而且在短短3個月後登場的Cisco Live!大會，正式向大家介紹相關技術整併之後的新面貌。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20MCD-2023-06-Keynote-1.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20MCD-2023-06-Keynote-2.jpg" style="width: 600px;" /></p> <p>有了Multicloud Defense，能將傳統網路防火牆的防護概念延伸至服務導向、多雲的環境，資安維運團隊可透過單一的軟體即服務（SaaS）平臺，而能橫跨AWS、Azure、GCP、OCI這四大公有雲服務，進行統一政策的即時控管，同時，也能快速提高雲端環境的安全性，增強防護力與效率。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CiscoMCD Arch.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CiscoMCD%20Arch.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco MCD-Dashboard3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20MCD-Dashboard3.jpg" style="width: 600px;" /></a></p> <p>Multicloud Defense目前可提供相當多種功能，像是分散式網路應用層（L7）防護、網站應用程式防火牆（WAF）、資料外洩預防（DLP），資安團隊均可運用統一、動態執行的政策進行管理，</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco MD-Sec Profile.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20MD-Sec%20Profile.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco MD-Sec View.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20MD-Sec%20View.jpg" style="width: 600px;" /></a></p> <p>而在實際運作的方式上，它能橫跨多種雲端服務來進行查核，並透過分散在用戶掌管的各個虛擬私有雲（VPC）環境運作的閘道，強制執行資安政策，以此阻擋針對特定應用系統而來的威脅、攔下攻擊者與殭屍網路對遭駭電腦的命令與控制（command & control）通訊、預防敏感與機密資料發生滲漏外洩，以及緩解駭客與惡意軟體的橫向移動。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20MCD-Centralized%20Protection%20Model.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20MCD-Multicloud%20Use.jpg" style="width: 600px;" /></p> <p>在此同時，Multicloud Defense也具備雲端服務的特性，具有靈活度、彈性，以及可擴充性，能幫助用戶防護雲端環境，並且提供單一控制層（single control plane），便於企業資安團隊進行自動化處理與調度指揮工作，從而減少人員訓練成本、專屬資源的耗用，更快實現資安解決方案的價值。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco MCD-Scalable.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20MCD-Scalable.jpg" style="width: 600px;" /></a></p> <p>細部而言，Multicloud Defense的架構，採用一套能在公有雲與軟體定義網路環境的共通原則來進行設計，當中將控制層與資料層予以解耦，轉換為下列兩個主要元件：</p> <p>一個是以平臺即服務（PaaS）型態提供的閘道Multicloud Defense Gateways，運作在四大公有雲環境當中，本身是由一群具有自動擴展規模能力的資安軟體所組成，搭配彈性、單一回合的管線處理流架構。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20MCD-Distributed%20Protection%20Model.jpg" style="width: 600px;" /></p> <p>另一個則是以軟體即服務（PaaS）型態提供的控制器Multicloud Defense Controller，由思科代管，本身是具有高可靠性與擴充性的集中控制器（控制層），能夠針對多雲基礎架構進行自動處理、調度指揮、防護等工作，用戶可透過網站入口介面操作這套控制器，或是透過Terraform將資安防護整合到DevOps或DevSecOps的流程當中。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco MCD-Multicloud Terraform.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20MCD-Multicloud%20Terraform.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco MCD-Multicloud API.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20MCD-Multicloud%20API.jpg" style="width: 400px;" /></a></p> <p>Multicloud Defense Controller也會負責Multicloud Defense Gateway的交付、管理、調度。從實際的防護架構而言，企業與組織可運用控制器，將進入閘道（Ingress Gateways）與外出閘道（Egress Gateways），部署到自家公有雲服務帳號管轄的環境，藉此提供更全面、進階的線上安全防護，能夠對抗來自外部的攻擊，阻擋對外的資料洩漏活動，以及預防攻擊的橫向移動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco MCD-GW.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20MCD-GW.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco MCD-Multicloud GW2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20MCD-Multicloud%20GW2.jpg" style="width: 198px;" /></a><a href="https://s4.itho.me/sites/default/files/images/Cisco MCD-Multicloud GW1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20MCD-Multicloud%20GW1.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Cisco MCD-Multicloud GW3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20MCD-Multicloud%20GW3.jpg" style="width: 198px;" /></a></p> <p><strong style="color: rgb(0, 128, 128);">產品資訊</strong></p> <p>Cisco Multicloud Defense<br /> ●原廠：Cisco<br /> ●建議售價：廠商未提供<br /> ●解決方案型態：SaaS雲端服務<br /> ●支援公有雲環境：AWS、微軟Azure、GCP、OCI<br /> ●組成元件：Multicloud Defense Controller（從Cisco Defense Orchestrator啟動）、Multicloud Defense Gateway、Multicloud Defense Terraform Provider<br /> ●防護功能：Egress Gateway提供外對內與橫向流量保護，功能包括：FQDN過濾、URL網址過濾、DLP、IPS/IDS、防毒、正向代理、TLS解密；Ingress Gateway提供外對內流量保護，功能包括：WAF、IDS/IPS、Layer-7防護、DoS防護、防毒、反向代理、TLS解密</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/7/26 01:25作者李宗翰https://www.ithome.com.tw/review/157920
【資安日報】7月25日，中華汽車發布重大訊息證實遭到網路攻擊，並著手恢復受影響系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內製造業近期陸續傳出遭到攻擊的情況，有些影響到供應商，有些則攻入企業環境，例如，先前有勒索軟體駭客LockBit聲稱竊得台積電內部資料的事故（台積電否認遭到入侵），但今天傳出有其他公司遭遇網路攻擊，甚至影響正常營運。昨日中華汽車在股市公開觀測站發布重大訊息，表示遭遇資安事故，有資安專家認為很可能就是勒索軟體攻擊，且疑似關閉防火牆而讓駭客有可乘之機。</p> <p>蘋果針對行動裝置、電腦、穿戴裝置發布作業系統更新也相當值得留意，因為，其中一項零時差漏洞涉及卡巴斯基6月揭露的零點擊攻擊行動Operation Triangulation。</p> <p>廣泛受到警消單位運用的無線電，有資安業者發現其通訊協定存在一系列漏洞TETRA:Burst，並指出他們已向多個國家的相關單位，以及無線電設備製造商進行通報。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ftvnews.com.tw/news/detail/2023724F06M1"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中華汽車遭遇網路攻擊，傳出部分產線停工</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CMC_J9RJnj5wx6-.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CMC_J9RJnj5wx6-.png" style="width: 300px; float: right;" /></a>7月24日中華汽車於股市公開觀測站發布重大訊息，表示部分資訊系統遭到惡意攻擊，該公司資訊部門啟動防禦機制，並進行復原作業，協同外部資安專家後續處理，而對於營運帶來的影響，該公司表示尚在釐清。根據民視新聞的報導，有資安專家認為，此起事故很有可能是駭客勒索事件，並指出中華汽車已出現部分產線停工的情況，現正全面針對相關系統及設備進行檢修。</p> <p>而對於本次事故發生的原因，有資安專家推測，可能是因為資訊部門在系統整修或更新期間，為便於遠端連線操作，短暫關閉防火牆而釀禍，駭客趁機入侵並取得控制權，並索討高額解鎖費用。截至目前為止，該公司尚未出現個資外洩的跡象。</p> <p><a href="https://www.securityweek.com/two-jira-plugin-vulnerabilities-in-attacker-crosshairs/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">軟體開發問題追蹤系統Jira的外掛程式路徑穿越漏洞被用於攻擊行動</span></strong></a></p> <p>美國系統網路安全協會（SANS Institute）旗下的Internet Storm Center（ISC）提出警告，他們看到來自中國的IP位址，針對軟體開發問題追蹤系統Jira的外掛程式Stagil navigation for Jira發動攻擊，駭客鎖定今年2月底被揭露的高風險漏洞CVE-2023-26255、CVE-2023-26256（CVSS風險評分皆為7.5）而來，這些漏洞為路徑穿越漏洞，攻擊者可藉此竄改snjCustomDesignConfig及snjFooterNavigationConfig的fileName參數，而能在檔案系統進行讀取或是穿越，外掛程式開發商於同月發布2.0.52版予以修補。</p> <p>研究人員指出，針對上述漏洞的攻擊行動並非首度出現，今年3月底已有相關攻擊，且疑為相同的駭客所為。</p> <p><a href="https://therecord.media/dhl-moveit-breach-investigation"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">物流業者DHL證實遭到MOVEit Transfer零時差漏洞攻擊波及</span></strong></a></p> <p>根據資安新聞網站The Record的報導，物流業者DHL的英國分公司正在調查資料外洩事件，原因是MOVEit Transfer系統遭遇零時差漏洞攻擊，而遭到波及。該公司確認他們的其中一家軟體供應商，受到MOVEit Transfer的漏洞影響，但並未透露受害規模及範圍。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果修補瀏覽器排版引擎WebKit、系統核心的零時差漏洞</span></strong></p> <p>7月24日蘋果針對旗下的電腦、行動裝置、穿戴裝置，推出iOS 16.6與15.7.8、iPadOS 16.6與15.7.8、macOS Ventura 13.5、macOS Monterey 12.6.8、macOS Big Sur 11.7.9、tvOS 16.6、watchOS 9.6，以及電腦版Safari 16.6，當中修補了兩個已被用於攻擊行動的零時差漏洞CVE-2023-37450、CVE-2023-38606。</p> <p>CVE-2023-37450為10日該公司在快速安全回應（RSR）公告的WebKit排版引擎漏洞，該漏洞起因是在處理網頁內容的過程出現異常，而有可能被用於執行任意程式碼。</p> <p>另一個漏洞CVE-2023-38606則是存在於作業系統核心，已有攻擊者針對執行iOS 15.7.1以下版本的行動裝置利用該漏洞。卡巴斯基研究人員指出，CVE-2023-38606是Operation Triangulation間諜軟體的零點擊攻擊鏈的其中一部分，呼籲使用者應儘速更新所有的蘋果裝置。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/apple/apple-fixes-new-zero-day-used-in-attacks-against-iphones-macs/">https://www.bleepingcomputer.com/news/apple/apple-fixes-new-zero-day-used-in-attacks-against-iphones-macs/</a><br /> 2. <a href="https://twitter.com/oct0xor/status/1683563098571931648">https://twitter.com/oct0xor/status/1683563098571931648</a></p> <p><a href="https://www.amd.com/en/resources/product-security/bulletin/amd-sb-7008.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露AMD處理器漏洞Zenbleed，攻擊者可攔截處理器的敏感資訊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/zb-vpmovmskb.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/zb-vpmovmskb.png" style="width: 300px; float: right;" /></a>7月24日AMD發布資安通告，修補名為Zenbleed的記憶體釋放後濫用（UAF）漏洞CVE-2023-20593，一旦攻擊者利用這項漏洞，就有機會從部分搭載Ryzen及EPYC處理器的電腦取得密碼、金鑰等機密資訊。</p> <p>該漏洞出現於處理器執行推測執行（speculative execution）的過程中，處理vzeroupper指令不當所致，而有可能導致資料被儲存在YMM暫存器，未依照程序刪除，使得攻擊者有機會存取相關內容，影響Ryzen 3000、Threadripper 3000、4000、PRO 4000 、5000、7020、EPYC Rome等型號的Zen 2系列處理器，對此，該公司發布新版韌體予以修補。</p> <p><a href="https://blog.qualys.com/vulnerabilities-threat-research/2023/07/19/cve-2023-38408-remote-code-execution-in-opensshs-forwarded-ssh-agent"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">遠端登入工具OpenSSH存在漏洞，可能讓攻擊者對於Linux作業系統發動命令注入攻擊</span></strong></a></p> <p>資安業者Qualys揭露OpenSSH的RCE漏洞CVE-2023-38408，此漏洞存在於金鑰暫存元件ssh-agent，影響9.3p1及之前版本的OpenSSH。攻擊者一旦利用該漏洞，就有可能藉由轉發SSH金鑰（SSH agent forwarding）的機制，遠端下達任意命令。</p> <p>研究人員在執行Ubuntu Desktop 22.04、21.10的電腦上成功進行概念性驗證攻擊（PoC），研判其他Linux作業系統也可能會存在相關風險。對此，OpenSSH開發團隊獲報後，發布了9.3p2修補這項漏洞。</p> <p><a href="https://tetraburst.com/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">廣受軍警單位採用的無線電通訊協定TETRA加密機制存在漏洞，恐被攻擊者用於干擾通訊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/tetra-burst_44GFydknSL.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/tetra-burst_44GFydknSL.png" style="width: 300px; float: right;" /></a>資安業者Midnight Blue揭露無線通訊標準協定Terrestrial Trunked Radio（TETRA）的安全漏洞，這些漏洞分別是CVE-2022-24401、CVE-2022-24402、CVE-2022-24404、CVE-2022-24403、CVE-2022-24400，統稱TETRA:Burst。</p> <p>其中，CVE-2022-24401與CVE-2022-24402為重大等級，CVE-2022-24401發生的原因與產生無線通訊的加密金鑰Air Interface Encryption（AIE）有關，而有可能遭到解密並引發Decryption Oracle攻擊；CVE-2022-24402則存在於TETRA的其中一種加密演算法TEA1，可在數分鐘內暴力破解當中使用的80位元金鑰。</p> <p>研究人員指出，CVE-2022-24401或CVE-2022-24404都能被用來攔截全程加密（E2EE）保護的流量，或是注入惡意內容，而有可能讓駭客干擾警察或是軍方的無線通訊。這些漏洞的發現源自於該資安業者在2021年啟動的研究，過程中，他們也通報各國執法機關、資安機構、設備製造商，但尚不清楚這些漏洞是否遭到利用。</p> <p>資料來源</p> <p>1. <a href="https://www.vice.com/en/article/4a3n3j/backdoor-in-police-radios-tetra-burst">https://www.vice.com/en/article/4a3n3j/backdoor-in-police-radios-tetra-burst</a><br /> 2. <a href="https://www.theregister.com/2023/07/24/tetra_hardware_backdoor_opened_by/">https://www.theregister.com/2023/07/24/tetra_hardware_backdoor_opened_by/</a></p> <p><a href="https://eclypsium.com/research/bmcc-lights-out-forever/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">AMI基板管理控制器MegaRAC出現重大漏洞，恐導致伺服器服務中斷</span></strong></a></p> <p>資安業者Eclypsium揭露American Megatrends International（AMI）的MegaRAC基版管理控制器（BMC）漏洞CVE-2023-34329、CVE-2023-34330（CVSS風險評分9.9、8.2），並指出攻擊者若是串連這些漏洞，其危險程度即達到CVSS風險評分10分。</p> <p>CVE-2023-34329為透過HTTP標頭欺騙的身分驗證繞過漏洞，CVE-2023-34330則是能藉由Dynamic Redfish Extension介面進行程式碼注入的漏洞，一旦攻擊者將兩者搭配運用，就能在取得BMC管理介面存取權限、但不知道帳密的情況下，在伺服器上執行任意程式碼、阻斷伺服器運作。由於上述的漏洞利用，是欺騙BMC將HTTP請求視為來自內部的網路連接埠而達成，若是相關的連接埠曝露於網際網路，攻擊者可直接從遠端上傳或執行任意程式碼。</p> <p>而對於上述漏洞的發現，研究人員表示，技嘉2021年遭勒索軟體RansomEXX攻擊時，駭客外流了一批機密資料，他們最近取得這些資訊之後，進行調查，因此才發現這些漏洞。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.dss.dep.no/aktuelle-saker/departementer-utsatt-for-dataangrep/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">挪威政府傳出遭到零時差漏洞攻擊</span></span></strong></a></p> <p><a href="https://www.mandiant.com/resources/blog/north-korea-supply-chain"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員發現JumpCloud資安事故新證據，指出駭客與北韓軍情單位有關</span></span></strong></a></p> <p><a href="https://asec.ahnlab.com/en/55369/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">韓國IIS網頁伺服器遭到北韓駭客Lazarus鎖定，對其散布惡意程式</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/ivanti-patches-mobileiron-zero-day-bug-exploited-in-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Ivanti修補行動裝置管理平臺的零時差漏洞</span></span></strong></a></p> <p><a href="https://www.mandiant.com/resources/blog/privileges-third-party-windows-installers"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">遠端管理工具Atera的安裝程式出現漏洞，恐被攻擊者用於提升權限</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157914">【7月24日】駭客假借日本水電公司名義，向當地安卓用戶散布惡意程式SpyNote</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157901">【7月21日】兆勤設備遭到殭屍網路Dark.IoT鎖定，並將被控制的設備用於DDoS攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157880">【7月20日】 Google旗下CI/CD代管服務存在提升權限漏洞，恐被用於發動供應鏈攻擊</a></strong></p> </div></div></div>
2023/7/25 17:48作者周峻佑https://www.ithome.com.tw/news/157937
Spotify調漲美國等數十個國家的訂閱費率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.spotify.com/2023-07-24/adjusting-our-spotify-premium-prices/" target="_blank">全球音樂串流龍頭Spotify周一（7/24）宣布</a>，即日起調漲包括美國在內的數十個市場的訂閱費率，這是Spotify自2011年發表以來，首次調漲美國市場的費率，把個人月租費從9.99美元調漲至10.99美元，雙人月租費從12.99美元調漲至14.99美元，適用於6人的家庭方案從15.99美元漲至16.99美元。在Spotify列出的漲價市場中，並未包含臺灣。</p> <p>Spotify提供基於廣告的免費方案，以及不同組成的付費訂閱方案，付費用戶得以享受無廣告的音樂播放，也能離線下載音樂，並支援更高品質的音樂串流服務，目前在全球擁有超過2億的付費訂閱用戶。</p> <p>2020年Spotify即曾變更費率，<a href="https://www.ithome.com.tw/news/140850" target="_blank">但當時僅調高7個市場的家庭方案費率</a>，這次則擴大漲價範圍，除了美國之外，還包括澳洲、英國、丹麥、西班牙、法國、香港、義大利、荷蘭、新加坡與泰國等數十個市場。</p> <p>而臺灣的Spotify訂閱價格則未見更動，個人每月為149元新臺幣，兩人為198元新臺幣，家庭方案則是268元新臺幣。</p> </div></div></div>
2023/7/25 16:26作者陳曉莉https://www.ithome.com.tw/news/157928
Google資安維運經驗大公開，克服5大常見挑戰，從人、流程、技術等層面思考
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了確保資安，熟練且專業的人力不足，已成為企業營運的重大議題，然而，隨著資安威脅日趨複雜，企業也必須化被動而主動，才能提升防禦與應變能力，因此該如何做到更理想的自動化與整合，是當務之急。</p> <p>在7月中舉行的2023臺灣雲端大會，恰巧探討現代資安維運挑戰，這也是SecOps領域的重點。活動中，Google Cloud客戶解決方案架構師鄭家明提出自動化資安維運實踐與建議，並揭露他們的應對方式。亦即所謂的SecOps</p> <h2><strong>威脅加劇，安全維運模式需有現代化思維</strong></h2> <p>對於資安維運的發展，鄭家明提及2個值得關注的威脅現況。根據Google旗下資安業者Mandiant最新報告數據指出，駭客從入侵開始到發動攻擊，時間是越來越短，在2011年，平均是416天，而到了2021年、2022年，已縮短至21天、16天。</p> <p>為何他們現在能在這麼短的時間發動攻擊？可能是近期攻擊者越來越懂得利用自動化程式幫助他們從事犯罪活動，使得攻擊速度變快，因此，對於資安監控人員及團隊而言，這是相當大的挑戰。</p> <p>而從監控端的狀況來看，又面臨另一個層面的挑戰，那就是自我察覺威脅的能力普遍不足。從Mandiant另一項調查數據顯示，在2022年有63%資安事件，是由外部人員通報，像是經由道德駭客或是用戶通報，也就是說，只有不到4成是內部資安人員發現。</p> <p>面對資安事件的偵測與調查，鄭家明指出，現在不論ISO 27001、PCI DSS等標準與規範，都已經將活動監控納入控制項目要求，這意味著，組織內部必須要有SOC機制運作；而威脅情資也被納入控制要求，因為這樣才能更準確了解威脅，並採取有效行動。</p> <p>對於現代化安全維運應該要有的模式，鄭家明具體描繪了樣貌。</p> <p>基本上，如同很多企業導入SIEM，需要有基本的日誌／事件統一收容能力，並要促使分散各地的稽核日誌、網路、端點、資安設備的警示，能夠做到集中管理。</p> <p>接著，在持續監控的狀態下，會面臨接收與處理大量警告的情形，因此，企業與組織的資安人員與團隊對於流程與事件的管理，不僅要制定監控規則，同時，也需要結合機器學習，建立自動化回應的機制，像是導入SOAR解決方案。</p> <p>同時，這樣的自動管理過程容易有誤判情形發生，所以需透過威脅情資的結合，監控異常存取行為或網路連線，讓監控規則可以達到更有效的管理。</p> <p>後續，在事件調查及回應與復原上，也要能夠快速反應，減少影響範圍及時間。</p> <p>更重要的是，整個維運模式也要跟著資通訊環境的狀態而演進。這是因為，對於資安團隊而言，企業與組織的環境一直都在變化，像是新的應用程式部署作法，新技術與新框架的採用，以及新漏洞、新攻擊手法的出現，因此，整個維運的循環需持續迭代演進。</p> <p>整體來看，SIEM、SOAR、威脅情資是三大關鍵，自動化科技的採用，也是隱含的一大要素。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Google%20SecOps_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p><strong>Google Cloud客戶解決方案架構師鄭家明指出，Google監控的資料7年內已成長30倍，所需人力僅只需擴充3倍，背後的關鍵在於，高效率的自動化科技，以及持續的流程優化。這樣的統計數據與成效揭露相當難得，讓外界更了解到</strong><strong>Google在資安監控進程上，自動化科技的助益。<span style="color:#696969;">（攝影／羅正漢）</span></strong></p> <h2><strong>想克服當前資安維運挑戰，可從3大面向、11項重點出發</strong></h2> <p>儘管上述資安維運概念勢在必行，但實際推動上，仍面臨諸多挑戰，Google Cloud認為關鍵的問題，包含下列這些：警報疲勞與誤報、多種工具整合、可視性，以及人工處理流程、人才短缺。</p> <p>鄭家明表示，前三大都可藉由技術去解決，但其餘兩個問題則與人力有關，不易克服。雖然大家看重AI的發展，但現在AI仍扮演輔助角色居多，無法完整取代人力。</p> <p>不只是一般企業與組織會遭遇到上述挑戰，Google其實也面臨這些問題，甚至需要防護的對象與範圍更廣泛。例如，他們擁有眾多雲端服務，每天收集與分析的資安日誌超過300億筆，以Gmail為例，每天阻擋超過1億次釣魚郵件攻擊，而在Google帳號的防護上，他們每天也會對10億個儲存的密碼進行密碼外洩安全檢查。</p> <p>但這些都是長期發展與改良的結果，難得的是，鄭家明也帶著大家回顧Google資安監控的發展進程。在2015年到2017年，Google的資安監控大多透過人力方式分析，找出攻擊事件的關聯，不過，在這之後，自動化逐漸開始扮演重要角色。</p> <p>例如，2022年已有超過8成比例是透過自動化方式分析，不到2成是用人力分析。而在此同時，Google監控資料卻已經成長達30倍的規模，投入這些工作的人力卻僅成長3倍。</p> <p>鄭家明指出，透過自動化的方式，將有限的人力投入需要專注的重要事情，是相當必要的。</p> <p>該如何克服現代化安全維運的挑戰？鄭家明建議，可從人、流程、技術這三大面向來思考。</p> <h3><span style="color:#B22222;"><strong>人力面</strong></span></h3> <p>這部分有兩大重點，首先是人才培育不可或缺，同時，也要聚焦，將有限人力用於關鍵活動。</p> <p>他提到，目標式的訓練很重要，有些公司每年可能都有教育訓練，但若訓練結果未反映在工作當中，會是不足之處。</p> <p>以Google為例，內部的教育訓練區分為4個等級，培訓內容會以人員的任務為目標，像是在初階課程，他們會針對Log、網路安全、應用程式方面的能力，進行培養與訓練。</p> <p>公司方面，也要給予人員的輪調與訓練計畫。他並認為，對Google資安維運人員而言，本身必須要有工程師的思維，需有足夠能力去建構監控規則，否則，只是每天處理Alert、分析Log，工作會變得乏味，也無益於整個資安監控的提升。</p> <h3><span style="color:#B22222;"><strong>流程面</strong></span></h3> <p>在流程方面，重點可以放在工作流程的改善，包括：情資、獵捕、自動化、腳本（Playbook）、驗證有效性。</p> <p>簡單來說，自動化無疑是最大關鍵，鄭家明特別強調腳本的重要性，一旦遇到資安事件，需妥善訂定各個角色該做的事情，定期進行演練也是不可或缺的流程管理，當然，有效性的驗證是相當必要的工作。</p> <p>以Google而言，為了促進採用自動化資安維運（ASO），他們在這個層面最重視的，是導入「持續偵測」與「持續回應」的工作流程，並將焦點放在4項工作，包括：增加資料可視性，資安分析結合威脅情資、自動化回應即事件管理，以及做到持續優化。</p> <h3><span style="color:#B22222;"><strong>技術面</strong></span></h3> <p>關鍵是監控工具的強化，有4個重點，包括：考量整合多重環境、雲原生SaaS、資料可視性，以及AI。</p> <p>鄭家明強調，在人力有限的情形下，組織需將資源放在監控，而不是基礎設施的維運。這項考量不僅突顯監控工具往雲端發展的態勢，環境整合亦是大勢所趨，不論是雲端、地端與終端，以及不同廠商產品等，都必須進行彙整。</p> <p>同時，他建議，短期策略可聚焦於SIEM、EDR、NDR，並測試與實驗使用SOAR，長期則是採用SaaS雲端工具，部署SOAR腳本，以及實施UEBA。</p> <p>對於Google而言，在技術層面，他們已建立Google Cloud安全維運的SecOps整合架構，並將這些工具打造成產品，讓客戶使用。</p> <p>例如，在日誌管理與監控上，他們提供Chronicle SIEM，可以統一收容各方資訊，不論是Google Cloud雲端資安防護服務，或是透過Security Command Center（SCC）偵測到的威脅，以及地端、其他公有雲，以及不同廠商EDR的日誌、警告與變動；在自動化回應與整合上，他們提供Chronicle SOAR；而在威脅情資的整合，除了基於GCP本身的威脅情資，也能涵蓋Google旗下Virustotal與Mandiant的情資。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89Google%20SecOps_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /> </p> <p><strong>要克服現代化安全維運的挑戰，鄭家明建議可從人、流程、技術這三大面向來著手，而Google本身也是這麼做，在這三大面向均有施力。<span style="color: rgb(105, 105, 105);">（攝影／羅正漢）</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89Google%20SecOps_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p><strong>為了達到自動化資安維運（Autonomic Security Operations，ASO），這將要求在持續檢測與回應 (CD/CR) 的整個工作流程中，做出基於威脅情報的決策。因此，Google在流程面的對策，就是聚焦於持續偵測與持續回應，當中並有4大重點，包括：增加資料可視性，資安分析結合威脅情資、自動化回應即事件管理，以及做到持續優化。<span style="color: rgb(105, 105, 105);">（攝影／羅正漢）</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89Google%20SecOps_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p><strong>要解決可視性、多種工具整合、大量事件警告的挑戰，需讓日誌統一收容，讓雲端、地端、終端及不同廠商產品可以整合，用威脅情資幫助決策</strong>，<strong>在技術面，Google也建立起Google Cloud安全維運的SecOps整合架構，在這樣的雲端SOC之下，當中涵蓋可統一收容日誌的Chronicle SIEM，可自動化回應與整合的Chronicle SOAR，以及威脅情資面有來自GCP本身及自家旗下Virustotal與Mandiant的情資。<span style="color: rgb(105, 105, 105);">（攝影／羅正漢）</span></strong></p> <h2 class="rtecenter"><span style="color:#0099ff;"><strong>資安維運進入AI協力新世代</strong></span></h2> <p>整合生成式AI是當前資安維運作法的重大突破，兩大雲端服務業者紛紛發表解決方案，例如，微軟3月發布Security Copilot，相隔一個月後，Google也提出Sec-PaLM。</p> <p>這類應用可為企業與組織資安維運帶來何種效益？鄭家明指鄭家明指出，目前Sec-PaLM可用於總結、分類、產出等三個層面。</p> <p>在總結能力上，其訓練是以事件敘述加上專業術語，因此AI可清楚說明惡意腳本的行為，並且總結威脅情資的資訊，以及可實施的控制流程；在分類能力上，其訓練內容是惡意軟體及漏動程式碼，可辨識惡意軟體、識別程式碼的漏洞等；在產出能力上，其訓練將根據監控規則的特殊語法，以及事件日誌的資料結構，藉此產生YARA-L監控規則，以及產生SOAR腳本等。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5）Google SecOps_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89Google%20SecOps_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><strong>對於資安監控維運中心（SOC）的強化，Google Cloud客戶解決方案架構師鄭家明從人、流程與技術的角度，分享如何在短、中、長期強化企業安全運維及管理。<span style="color: rgb(105, 105, 105);">（攝影／羅正漢）</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89Google%20SecOps_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p><strong>對於SOC監控能力成熟度的展現，Google定義了4階段來說明，從最早的各自為政，進入到整合階段、自動化階段，最終朝向主動監控。<span style="color: rgb(105, 105, 105);">（攝影／羅正漢）</span></strong></p> </div></div></div>
2023/7/25 16:40作者羅正漢https://www.ithome.com.tw/news/157923
AMD修補可造成Zen 2 CPU資料外洩的Zenbleed漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.amd.com/en/resources/product-security/bulletin/amd-sb-7008.html" target="_blank">AMD昨日發出安全公告</a>，以修補可讓攻擊者從數款Ryzon及EPYC處理器取得密碼、金鑰等機密資訊的Zenbleed漏洞。</p> <p>這項漏洞正式編號為CVE-2023-20593，是影響AMD Zen 2 CPU的使用已釋放記憶體（use-after-free）類型瑕疵。它是知名Google安全研究人員<a href="https://twitter.com/taviso/status/1683484820817444866" target="_blank">Tavis Ormandy發現與通報</a>。</p> <p>這項漏洞出在AMD CPU在現代處理器進行推測執行（speculative execution）過程中，處理vzeroupper指令不當，而給攻擊者引發資訊洩露的機會。正常的處理器執行vzeroupper時，若發現其推測錯誤，會將YMM暫存器置零，以便把暫存器用作其他運算之用。<a href="https://lock.cmpxchg8b.com/zenbleed.html" target="_blank">Ormandy解釋</a>，因為AMD的這個臭蟲，攻擊者在精準排程下，使用某些程式引發可造成指令無法正確將暫存器置零，也就是當中還留有資料，以致於被後來其他使用YMM暫存器的應用程式存取，可能造成敏感資訊外洩。Ormandy將之稱為Zenbleed。</p> <p>Google研究人員發現，受到這漏洞影響的AMD產品包括Ryzen 3000、Threadripper 3000、4000、PRO 4000、5000、7020處理器及EPYC Rome處理器等8項產品。AMD將這項漏洞風險值列為中度，並已釋出更新版微碼加以解決。</p> <p>研究人員在其概念驗證攻擊中，觸發XMM暫存器合併優化（XMM Register Merge Optimization）暫存器重新命名及vzeroupper錯誤推測等情境，造成AMD處理器以每秒每核心30kb的速度外洩資料。他說，這速度就足以在用戶登入時竊取加密金鑰和密碼。</p> <p>研究人員也將完整安全公告及相關程式碼全數在<a href="https://github.com/google/security-research/tree/master/pocs/cpus" target="_blank">GitHub上的Google安全儲存庫上公開</a>，包括<a href="https://lock.cmpxchg8b.com/files/zenbleed-v5.tar.gz" target="_blank">攻擊程式</a>。雖然這程式碼是執行於Linux平臺，但研究人員警告漏洞影響所有作業系統。</p> </div></div></div>
2023/7/25 15:19作者林妍溱https://www.ithome.com.tw/news/157925
Google Play Services將終止支援Android KitKat
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2023/07/google-play-services-discontinuing-updates-for-kitkat.html" target="_blank">Google本周宣布</a>，Play Services將從8月起終止支援10年前推出的Android 4.4 KitKat。</p> <p>KitKat是在2013年秋天釋出。Google表示，從那之後Android已經增加許多新功能，這些KitKat上都沒有。而且，隨著新款智慧型手機不斷推出，用戶裝置已漸漸採用更新版本的Android，截自今年7月，KitKat市占率已低於1%，因此未來Google Play Service的應用及功能將不支援KitKat。執行這個版本的裝置從Play Service APK 23.30.99版本之後，下個月開始不會再接到更新的版本。</p> <p><a href="https://www.appbrain.com/stats/top-android-sdk-versions" target="_blank">根據市調機構App Brain的估計</a>，目前在所有Android版本中，KitKat占比為0.5%。占比最大版本為Android 11（24.5%），其次為Android 12（18.3%），以及Android 13（16.8%）和Android 10（16.5%）。</p> </div></div></div>
2023/7/25 15:34作者林妍溱https://www.ithome.com.tw/news/157926
Worldcoin釋出World加密貨幣錢包
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由OpenAI執行長Sam Altman共同創辦的<a href="https://twitter.com/worldcoin/status/1683372181428793344/photo/1" target="_blank">Worldcoin在本周一（7/24）正式發表了World加密貨幣錢包</a>，而包括幣安（Binance）與OKX等加密貨幣交易平臺，也<a href="https://www.binance.com/en/support/announcement/binance-will-list-worldcoin-wld-9bc08522433c44b1b0b9978d65c4f5e5" target="_blank">宣布開放Worldcoin代幣（WLD）的交易</a>。</p> <p><a href="https://www.ithome.com.tw/news/147437" target="_blank">Altman早在2021年就發表了Worldcoin</a>，企圖建立普及的加密貨幣生態體系，宣稱為了區隔AI與人類的差別，以虹膜辨識來確認地球上每一個人的獨特身分，使用者只要掃描自己的虹膜，便能換取25個WLD，同時獲得World ID。</p> <p>Worldcoin在全球招攬虹膜掃描機器Orb的營運商，以協助該專案擴大用戶，迄今已於全球逾30個國家部署了大量的Orb營運商，並有超過200萬名使用者取得World ID，當中有32.1%位於亞洲，31.6%位於非洲，18.8%位於拉丁美洲，歐洲也占了17.1%。</p> <p>目前幣安平臺上列出的每枚WLD價格為2個USDT，約等於2美元。</p> <p>儘管Worldcoin強調使用者的隱私受到保障，且確認身分且擁有World ID將可推動全球性的應用，然而，外界對於貢獻自己的虹膜資料仍有不少疑慮，亦傳出Worldcoin鎖定開發中國家進行推廣，或是有使用者向開發中國家的民眾購買虹膜資料以建立World ID的爭議。</p> </div></div></div>
2023/7/25 16:02作者陳曉莉https://www.ithome.com.tw/news/157927
研究人員發現軍警專用的TETRA無線通訊標準含有多個安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://tetraburst.com/" target="_blank">荷蘭資安業者Midnight Blue本周指出</a>，他們在專為軍警、政府機構、緊急服務及鐵路運輸等服務設計的無線通訊標準Terrestrial Trunked Radio（TETRA）發現了5個安全漏洞，它們將允許駭客干預軍警或關鍵基礎設施的無線通訊，而這也是20年來首個針對TETRA標準的安全研究。</p> <p>TETRA是在1995年由歐洲電信標準協會（European Telecommunications Standards Institute，ETSI）所訂定的無線通訊標準，被應用在全球逾100個國家，也是美國地區之外最普及的警用無線電通訊系統。TETRA奠基在許多密碼學演算法之上，涵蓋TETRA身分認證演算法TAA1，以及從TEA1到TEA4的TETRA加密演算法套件，其中的TEA1與TEA4可供商業使用，TEA2與TEA3則是專供緊急服務使用。</p> <p>Midnight Blue總計在TETRA中發現5個安全漏洞，分別是CVE-2022-24401、CVE-2022-24402、CVE-2022-24404、CVE-2022-24403與CVE-2022-24400。前兩個屬於重大（Critical）漏洞，CVE-2022-24401漏洞肇因於用來生成無線通訊空中介面加密金鑰的Air Interface Encryption（AIE）系統，所依賴的網路時間是公開廣播的，可能引發解密預言攻擊；涉及TEA1演算法的CVE-2022-24402漏洞則可將原本80位元的金鑰，縮短成可於幾分鐘之內成功暴力破解的長度。</p> <p>至於CVE-2022-24404漏洞則源自AIE缺乏密碼身分認證，可導致延展性攻擊；CVE-2022-24403是因用來混淆無線電身分的加密設計太薄弱，而讓駭客可得知使用者身分並進行追蹤；CVE-2022-24400屬於身分認證演算法的缺陷，讓駭客得以擺布Derived Cypher Key，讓系統的安全機制失效。</p> <p>研究人員指出，不管是CVE-2022-24401或CVE-2022-24404漏洞，都可用來攔截缺乏端對端加密（E2EE）保護的通訊流量，或是於相關流量中注入惡意訊息，意謂著它們將讓駭客干預警方或軍方的無線通訊。</p> <p>而若CVE-2022-24402被攻陷了，駭客將可攔截許多私人安全服務的無線通訊，包括港口、機場或鐵路等，還能注入資料流量以干預設備的運作。</p> <p>Midnight Blue針對上述漏洞提出了許多緩解建議，包括部署韌體更新，採用端對端加密，以及切換至TAA2等。</p> <p>其實Midnight Blue自2021年1月便啟動了TETRA專案，期間陸續通知各國的資安機構、執法機關與製造商，一直到本周才公開漏洞細節，目前並不確定相關漏洞是否曾遭到利用。</p> </div></div></div>
2023/7/25 15:00作者陳曉莉https://www.ithome.com.tw/news/157924
國泰世華銀行揭露3年上雲經驗，分階段已完成10多套系統遷雲，更要朝向多公雲策略發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以往企業上雲方式，許多都只是把地端VM搬上公雲，其他幾乎沒有改動，這樣的上雲模式，雖然系統開發成本最低、上雲相較容易，但日後雲端維運需要付出額外的成本開銷可能比你我想像中更多。國泰世華銀行副總王志峰近日在一場活動中分享了3年來國泰世華銀行上雲經驗時這樣點出。</p> <p>國泰世華銀行很早就展開雲端轉型旅程，更是國泰金控集團中第一家開始上雲的金融機構。上雲也是國泰世華銀行的資訊轉型重要策略之一，通過瘦核心、強中台，達到上雲的目標。「現在不上雲，以後可能來不及」王志峰這樣表示。</p> <p>決定要上雲後，第一步是要定義出雲端發展框架，並決定哪些系統該上雲，或哪些系統維持在地端不上雲，王志峰表示，國泰世華銀行單是內部資訊系統，就有300多套，因此不是所有系統都會上雲。</p> <p>但金融業上雲，如何確保資安是一大考量，尤其雲端資安和地端的資安，需要考慮不同環節，因此，他們花了2年，建立相關的雲端安全控管制度、治理規範，及資安措施，接著才逐步展開系統上雲搬遷作業。</p> <p>由於金融業是高度監管的行業，上雲需要遵守相關委外規範，因此，國泰世華銀行一開始展開系統測試搬移作業前，不只要董事會通過，還需要經過主管機關同意，才能放行，因此作業上耗費不少時間。</p> <p>不過，王志峰表示，近年來金融業上雲法規逐漸鬆綁，甚至今年8～9月還有另一場法規鬆綁說明會即將召開，將使得金融業者以後很多上雲採用更容易，但相對地，需要承擔更大責任，來強化雲端維運、資安防護等，確保提供安全便利不中斷的金融服務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/R0009627.jpg" style="width: 600px;" /></p> <p>國泰世華銀行從3年前上雲，迄今完成了約10多個系統上雲，包含關鍵或非關鍵系統。這3年上雲經驗，讓王志峰體會到，雲端雖然有其效益，但這並不意味著，上雲一定會比用企業自己的機房省錢，關鍵在於企業採用何種上雲模式，這將可能影響到日後上雲的維運成本，是否造成不必要的成本浪費。</p> <p>王志峰舉例，剛上雲時，其中有個類似總務相關登記系統上雲，它是一個很簡單的程式，所以上雲方式也很單純，就是直接在雲端開了一個VM，然後將本地VM搬上雲，因為這是國泰世華銀行第一次上雲，所以雲端VM設定的參數照著地端的實體機設定，結果發現，一個月下來，系統每月的使用次數只有100～200次，可是，一個月的雲端費用就要燒掉5萬元。</p> <p>後來他們發現這樣下去不行，而決定把這套系統從雲端又搬回地端，並重新改寫，變成是雲原生架構的容器應用程式，再將它搬上雲。這次上雲模式，就不是整個VM搬上雲，而是以Cloud Native方式在公雲環境中運作，因此只有需要使用服務時才會開啟，不需要時則會關閉。他表示，透過上雲模式的轉變，讓該服務的使用費用因此大幅下降了幾乎一半以上。</p> <p>國泰世華銀行將這段上雲旅程分4階段，第一階段是在2020年啟動公有雲旅程，開始規畫和評估，到2022年則進到公雲採用階段，開始將資訊系統搬上公雲，這是第2階段，第三階段則是從2023年起持續優化並確保雲端服務安全及提升效率與效力，最後階段更要朝向多公雲策略發展，打造現代化雲原生應用，達到金融業的轉型。</p> <p>王志峰表示，國泰世華銀行的雲端策略的願景，是透過建立穩固的雲端基礎，包含資安基礎、架構基礎，來推動金融業轉型，以此打造成為一家高效的雲端數位企業，讓這家公司不論是金融創新或數位創新領域都能夠有不一樣的應用，「這是我們的核心精神」他說。</p> </div></div></div>
2023/7/25 10:41作者余至浩https://www.ithome.com.tw/news/157921
推特退位，X正式問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在馬斯克（Elon Musk）<a href="https://www.ithome.com.tw/news/157907" target="_blank">預告變更品牌和logo</a>不到一天，社交平臺推持在周一（7/24）全面改頭換面，撤除了青鳥logo，改名為X。</p> <p><a href="https://twitter.com/elonmusk/status/1683171310388535296" target="_blank">馬斯克宣布</a>，X.com將指向twitter.com，而過渡性的X logo於今天上線。馬斯克的簡介欄也寫上X.com。之後他正式<a href="https://twitter.com/elonmusk/status/1682978324375543808" target="_blank">張貼出新的「X」logo</a>及以燈光打上新logo的<a href="https://twitter.com/elonmusk/status/1683378289031761920" target="_blank">舊金山辦公室大樓外觀</a>。</p> <p>X.com是Paypal的舊名X.com，馬斯克在2002年將Paypal賣給了eBay，他後來於2017年向Paypal買回這個網域名，用於新問世的社交平臺。雖然X.com還保有顯示帳號認證過的藍底白勾勾，但經典的小鳥logo已不復見，網頁上的藍色調也大幅讓位給了X的黑色調。<a href="https://twitter.com/elonmusk/status/1645266104351178752" target="_blank">周一一名用戶也貼出</a>工程人員正在拆除@twitter和青鳥的公司招牌的景像。</p> <p><a href="https://twitter.com/lindayacc/status/1683213895463215104" target="_blank">X公司執行長Linda Yaccrino指出</a>，X是無限互動性的未來狀態，以影片、音訊、訊息、支付為中心創造出創新點子、商品、服務和商機的全球交易市場。X以AI驅動，將以各種嶄新方式將人們串連在一起。她並說，推特曾經掀起風潮和改變人們溝通的方式，現在X將更進一步改造全球論壇的面貌。</p> <p>截至本文發布前，<a href="https://apps.apple.com/tw/app/twitter/id333903271" target="_blank">Twitter iOS</a>及<a href="https://play.google.com/store/apps/details?id=com.twitter.android&hl=zh_TW&gl=US" target="_blank">Android App</a>都還掛在蘋果App Store及Google Play Store上，顯示X.com的App尚未準備就緒，但依據馬斯克的高效率作風，應該不久後就能下載新App了。</p> <p>變身效果如何有待時間證明，不過至少有部份媒體似乎不看好，<a href="https://techcrunch.com/2023/07/24/as-twitter-destroys-its-brand-by-renaming-itself-x-mastodon-usage-numbers-are-again-soaring/" target="_blank">《Techcrunch》</a>稱此舉為「摧毁自己的品牌」，<a href="https://twitter.com/cb_doge/status/1683002922999877632" target="_blank">也有用戶不喜歡新logo</a>，批評X.com logo來自1999年（Paypal在1998年成立），意指來自舊時代。</p> <p>推特變更品牌及logo是否會再激發一波用戶出走潮值得觀察，不過競爭App都小有斬獲。<a href="https://www.ithome.com.tw/news/157728" target="_blank">市調公司估計</a>Bluesky累計了110萬App下載次數。<a href="https://mastodon.social/@Gargron/110758117937490286" target="_blank">Mastodon主持人Eugen Rochko上周宣布</a>過去幾周每月平均用戶數來到210萬，距離最高峰不遠。</p> <p>Meta的Threads是最有潛力挑戰X的另類服務，該App 7月6日上線後5天用戶數衝到1.05億，儘管已從高峰下滑。</p> </div></div></div>
2023/7/25 09:39作者林妍溱https://www.ithome.com.tw/news/157922
【資安日報】7月24日，駭客假借日本水電公司名義，向當地安卓用戶散布惡意程式SpyNote
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了方便民眾繳納規費，許多公營事業都在積極提供並推廣行動裝置App，有駭客假借這些資訊來散布手機惡意軟體，例如，<a href="https://www.ithome.com.tw/news/156783#fluhorse">5月資安業者Check Point發現名為FluHorse的安卓惡意軟體</a>，就是假借遠通電收ETC的App對臺灣民眾下手。而類似的攻擊行動，最近也在日本出現。資安業者McAfee揭露針對日本民眾的惡意軟體SpyNote，攻擊者聲稱手機用戶的電費或水費欠繳，要求依照指示下載App進行處理。</p> <p>勒索軟體Mallox的攻擊行動也相當值得留意，因為出現大幅增加的現象，駭客初期入侵受害組織的管道，就是針對微軟SQL Server而來。</p> <p>中國駭客組織Storm-0558濫用微軟帳號（MSA）金鑰挾持25個組織的電子郵件，微軟已做出緊急處置，但有資安業者發現，駭客濫用的金鑰不僅能存取雲端電子郵件服務Outlook.com，還能登入其他微軟的服務。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/android-spynote-attacks-electric-and-water-public-utility-users-in-japan/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">日本安卓用戶遭遇惡意軟體SpyNote攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/SpyNote-2023-07-21.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SpyNote-2023-07-21.jpg" style="width: 300px; float: right;" /></a>資安業者McAfee揭露針對日本安卓用戶而來的惡意軟體SpyNote攻擊行動，駭客自6月7日開始，假冒東京電力公司、東京都水道局（東京都自來水公司）的名義寄送簡訊，聲稱使用者因支付電費或水費出現異常，即將面臨斷電、斷水的情況，並附上網址要求用戶確認。一旦使用者點選連結，手機就會透過網頁瀏覽器下載冒牌的東京電力公司、東京都水道局App，若是安裝這些應用程式，手機就有可能感染惡意軟體SpyNote。</p> <p>此惡意軟體濫用安卓作業系統的輔助功能及裝置管理員權限，竊取手機裡的使用者敏感個資，例如裝置資訊、聯絡人名單、寄送及收到的簡訊，以及通話記錄等，此外，還能竊取Google Authenticator的動態密碼，以及Gmail與臉書資料。</p> <p>透過使用者授權啟用輔助功能的權限，此惡意程式能夠在背景運作，並開啟能從Google Play市集以外的來源安裝應用程式的權限，以便進一步部署其他惡意軟體。</p> <p><a href="https://unit42.paloaltonetworks.com/mallox-ransomware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Mallox鎖定微軟SQL Server而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-129264-8.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-129264-8.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks提出警告，他們今年上半看到勒索軟體Mallox的攻擊行動大幅增加，較2022年下半增加了174%。</p> <p>研究人員指出，這些駭客自2021年出沒，主要的入侵的管道都是透過微軟SQL Server，駭客藉由暴力破解來取得權限，成功後便使用命令列工具與PowerShell，從遠端伺服器下載勒索軟體檔案，然後利用WMI來執行Mallox，來進行檔案加密的工作。</p> <p>為了讓檔案加密的流程順利，駭客會先利用一系列Windows內建程式，來阻斷處理程序，或是刪除備份資料，例如：透過sc.exe和net.exe，來終止並刪除SQL有關的服務；然後清除磁碟區陰影複製（Volume Shadow Copy）的備份資料、以wevtutil命令列工具清除系統的事件記錄、以takeown.exe竄改重要處理程序（如cmd.exe）的存取權限、以taskkill.exe終止防毒軟體有關的處理程序與服務等。比較特別的是，攻擊者也特別對於名為Raccine的勒索軟體反制工具，竄改電腦的機碼讓其功能失效。</p> <p><a href="https://www.bleepingcomputer.com/news/security/over-15k-citrix-servers-vulnerable-to-cve-2023-3519-rce-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾1.5萬臺Citrix Netscaler伺服器曝露於CVE-2023-3519的風險當中</span></strong></a></p> <p>7月18日Citrix針對旗下的應用程式交付控制器NetScaler ADC（原名Citrix ADC）、SSL VPN系統NetScaler Gateway（原名Citrix Gateway）修補重大漏洞CVE-2023-3519（CVSS風險評分9.8），該公司表示已有人用於攻擊。但仍有不少IT人員尚未部署更新程式，而導致這些NetsScaler設備仍然曝露於上述漏洞的風險。</p> <p>Shadowserver基金會的研究人員著手進行調查，發現至少有1.5萬臺伺服器存在上述漏洞，其中約有三分之一（5,700臺）在美國，德國、英國各有約1,500臺、1,000臺曝險。研究人員指出，部分存在漏洞的版本並未提供版本資訊，他們統計的數字可能遠低於實際曝險數量。</p> <p><a href="https://blog.virustotal.com/2023/07/apology-and-update-on-recent-accidental.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體分析平臺VirusTotal對於資料外洩事件進行公開說明</span></strong></a></p> <p>上週惡意軟體分析平臺VirusTotal傳出資料外洩的事故，導致約有5,600筆用戶姓名的名單在網際網路上公開，包含了美國國家安全局（NSA）、德國情報單位的成員，以及臺灣、荷蘭、英國的政府機構。Google Cloud坦承確有此事，是VirusTotal員工作業過程不慎所致，現在他們對此提出進一步說明。</p> <p>VirusTotal於7月21日發布公告，指出6月29日有員工不小心將CSV檔案上傳至VirusTotal網站，此CSV檔案的內容包含了進階用戶的部分資料，像是所屬公司、與VirusTotal有關的群組名稱、組織管理員的電子郵件信箱等。VirusTotal強調這起事故是人為疏失，他們沒有遭到網路攻擊。</p> <p><a href="https://www.wiz.io/blog/storm-0558-compromised-microsoft-key-enables-authentication-of-countless-micr"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對中國駭客濫用的微軟帳號簽章，有研究人員警告影響範圍廣泛，攻擊者能用來存取其他微軟服務</span></strong></a></p> <p>7月中傳出中國駭客組織Storm-0558濫用微軟帳號（MSA）的簽章金鑰，偽造用於身分驗證的Token，進而取得約25個組織的電子郵件帳號，其中受害者不乏美國聯邦機構與政府官員，而引起當地媒體高度關注。對此，微軟已撤銷外洩的金鑰因應，並表示只會影響雲端電子郵件服務Outlook.com、Outlook Web Access in Exchange Online（OWA），但有研究人員認為影響範圍不只於此。</p> <p>資安業者Wiz提出警告，駭客只要藉此MSA金鑰就能偽造Azure AD應用程式的Token，還能存取其他以微軟帳號登入的服務，例如：SharePoint、Teams、OneDrive等。研究人員認為，即使微軟已經撤銷此金鑰，組織的IT人員還是難以確認相關應用程式是否出現偽造Token的情況。</p> <p><a href="https://www.bleepingcomputer.com/news/security/clop-now-leaks-data-stolen-in-moveit-attacks-on-clearweb-sites/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客Clop建置可透過網際網路存取的網站，公布受害組織的內部資料</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/clop-clearweb.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/clop-clearweb.jpg" style="width: 300px; float: right;" /></a>勒索軟體駭客Clop疑似索討贖金不成，傳出竟在網際網路上公布部分受害組織遭竊資料。根據資安新聞網站Bleeping Computer的報導，研究人員Dominic Alvieri看到駭客開始模仿勒索軟體駭客BlackCat的手法，在網際網路架設數個公開網站，洩露普華永道（PwC）會計師事務所、怡安（Aon）、安永會計師事務所（Ernst & Young）、好市多旗下品牌科克蘭（Kirkland）、線上股市交易平臺TD Ameritrade的資料。但有別於BlackCat建置了受害組織的查詢資料庫，Clop的網站僅提供外洩資料下載。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.whitehouse.gov/briefing-room/statements-releases/2023/07/21/fact-sheet-biden-harris-administration-secures-voluntary-commitments-from-leading-artificial-intelligence-companies-to-manage-the-risks-posed-by-ai/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">7大業者承諾促進AI安全</span></strong></a></p> <p>包含OpenAI在內，微軟、Amazon、Google、Meta、Anthropic、Inflection等7家大型人工智慧業者，在7月21日一起向美國白宮提出安全承諾，將協助AI技術朝向安全、可靠、更為透明的方向進行發展。這些業者將在推出相關產品之前確保其安全，亦會以安全為優先來建置系統。</p> <p>公開向政府承諾之餘，上述業者也表示，會與業界、政府、社會、學術界分享AI管理的資訊，也將投注網路安全及內部威脅管理，保護私有及尚未公布的機器學習語言模型；在此同時，他們也會尋求與第三方單位合作，以找出AI系統的漏洞。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://ais3.org/Home/Course"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">2023年AIS3新型態資安實務暑期課程將於7月24日開跑</span></span></strong></a></p> <p><a href="https://decoded.avast.io/martinchlumecky/hotrat-the-risks-of-illegal-software-downloads-and-hidden-autohotkey-script-within/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體HotRat透過盜版軟體散布</span></span></strong></a></p> <p><a href="https://blog.checkpoint.com/security/facebook-flooded-with-fake-ads-for-chatgpt-google-bard-and-other-ai-services-tricking-users-into-downloading-malware"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">竊資軟體假冒ChatGPT或其他AI工具，透過臉書貼文散播</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157901">【7月21日】兆勤設備遭到殭屍網路Dark.IoT鎖定，並將被控制的設備用於DDoS攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157880">【7月20日】 Google旗下CI/CD代管服務存在提升權限漏洞，恐被用於發動供應鏈攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157865">【7月19日】惡意程式分析平臺VirusTotal驚傳資料外洩，恐曝露歐美多個政府機關的資安人員身分</a></strong></p> </div></div></div>
2023/7/24 16:31作者周峻佑https://www.ithome.com.tw/news/157914
8月起微軟將自動把Windows Mail與Windows Calendar切換成Outlook for Windows
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟近日透過Microsoft 365 MC650424公告向用戶宣布，自今年8月起，將自動把Windows用戶系統上的Windows Mail與Windows Calendar置換成新的Outlook for Windows，但之後使用者仍可自行切換回原來的版本。</p> <p><a href="https://insider.microsoft365.com/en-us/blog/new-outlook-for-windows-available-to-all-office-insiders" target="_blank">微軟是自去年9月開始測試Outlook for Windows</a>，打算以它來取代Windows中的電子郵件（Mail）、行事曆（Calendar）及通訊錄（People）程式，<a href="https://support.microsoft.com/en-us/office/outlook-for-windows-the-future-of-mail-calendar-and-people-on-windows-11-715fc27c-e0f4-4652-9174-47faa751b199" target="_blank">且根據微軟的規畫</a>，從2024年起，所有新的Windows 11裝置都會內建Outlook for Windows作為該平臺的預設郵件程式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0724-Outlook%20for%20Windows-by%20Microsoft%20Design-600-3%2B4.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_微軟</span></span></p> <p>此外，微軟於Microsoft Store中供應Mail與Calendar程式的最後期限，為2024年年底。</p> <p>即將成為Windows 11的預設程式的Outlook for Windows支援第三方郵件信箱，包括熱門的Yahoo!Mail與Gmail，同時也整合了行事曆與通訊錄功能，內建了微軟的網釣與詐騙預防機制，只要一鍵就能連至各種Microsoft 365服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0724-Outlook%20for%20Windows-by%20Microsoft%20Design-600-2-V2(1).png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_微軟</span></p> <p>專門訓練微軟產品人才的<a href="https://techcommunity.microsoft.com/t5/outlook/new-outlook-for-windows-is-coming-september-2024/m-p/3850309" target="_blank">Teresa B. Cyrus則在微軟的科技社群中引用微軟的公告</a>，指出Outlook for Windows正式取代Mail/Calendar程式的時間點為2024年的9月。</p> </div></div></div>
2023/7/24 15:29作者陳曉莉https://www.ithome.com.tw/news/157913
OpenAI、微軟與Google等7大AI業者向白宮承諾將維護AI安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如同眾多業者在2021年<a href="https://www.ithome.com.tw/news/146396" target="_blank">對美國網路安全所作出的承諾</a>，上周五（7/21）<a href="https://www.whitehouse.gov/briefing-room/statements-releases/2023/07/21/fact-sheet-biden-harris-administration-secures-voluntary-commitments-from-leading-artificial-intelligence-companies-to-manage-the-risks-posed-by-ai/" target="_blank">7大人工智慧（AI）業者也對如何控管AI所帶來的風險作出了安全承諾</a>，涵蓋OpenAI、微軟、Amazon、Google、Meta、Anthropic與Inflection，它們向美國白宮承諾，將自願協助AI技術走向安全、可靠與透明的發展。</p> <p>白宮指出，開發這些新興技術的企業有責任確保它們的產品是安全的，為了發揮AI的絕大部分潛力，拜登政府鼓勵該產業堅持最高標準，不讓美國人的權利與安全成為創新的代價。</p> <p>這7家業者同意在推出產品前確保其安全，也會在建置系統前以安全為優先考量，包括會在AI系統釋出前進行內部與外部的安全測試；願意與該產業、政府、社會及學術界分享AI管理的資訊；將投資網路安全與內部威脅防護機制，以保護私有及未發表的模型權重；將與第三方合作以找出AI系統的漏洞。</p> <p>此外，為了贏得大眾對AI系統的信任，上述企業亦將打造可標記AI生成內容的技術，像是浮水印系統；也會公開對外說明其AI系統的能力、限制，以及適用或不適用的領域；將針對AI系統可能帶來的社會風險展開研究，諸如避免有害的偏見與歧視，同時保護隱私；將發展與部署可協助解決社會關鍵挑戰的先進AI系統，如預防癌症或減緩氣候變遷。</p> <p>拜登政府一方面凝聚美國AI企業，亦正於美國制定一項行政命令，以尋求立法，另一方面則與國際合作，企圖建立一個國際框架，來管理AI的開發與使用，目前已與澳洲、加拿大、巴西、德國、印度、新加坡、韓國等逾20個國家就自願承諾進行了協商，同時將藉由在各國舉行的重要AI會議上推動全球共識。</p> </div></div></div>
2023/7/24 13:33作者陳曉莉https://www.ithome.com.tw/news/157911
【資安週報】2023年7月17日到7月21日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一週漏洞消息中，有3個漏洞利用情形最受關注，主要是Citrix在18日修補影響NetScaler ADC、NetScaler Gateway的CVE-2023-3519漏洞，當時已獲報遭鎖定利用，而Adobe在11日修補ColdFusion產品CVE-2023-29298後，資安業者發現開始出現駭客針對該漏洞與另一零時差漏洞的攻擊情形，後續Adobe又在17日修補CVE-2023-38205漏洞。此外，郵件伺服器系統Zimbra被發現遭用於攻擊的零時差漏洞，要注意後續更新修補釋出，還有物聯網裝置的即時通訊服務框架QuickBlox存在漏洞，AMI的基板管理控制器MegaRAC的重大漏洞揭露，以及CI/CD代管服務Google Cloud Build的設計缺陷揭露，需要留意。</p> <p>在最新威脅與攻擊活動上，有三大焦點受關注，首先是駭客組織TeamTNT發起殭屍網路Silentbob攻擊行動，受到多家資安業者揭露，其目標是眾多類型伺服器，甚至Azure與GCP也再其攻擊範圍；其次是惡意軟體AVrecon針對SOHO族路由器設備的揭露，研究人員指出其規模更甚於Qakbot，並在近年兩年多時間內一直未被發現；第三是中國駭客組織Mustang Panda透過USB裝置散布惡意軟體Sogu，以及UNC4698針對亞洲石油與天然氣業者散布惡意軟體Snowydrive的揭露。</p> <p>而在資安事件方面，以IT管理服務業者JumpCloud遭國家級駭客網路攻擊，雅詩蘭黛同時被BlackCat、Clop勒索軟體宣稱為其受害者，最受關注。此外，還有惡意程式分析平臺VirusTotal驚傳資料外洩的消息。</p> <p>這段期間，有多個新興威脅活動也引發資安界的注目，例如，有網路犯罪論壇兜售專為惡意活動設計的WormGPT工具；勒索軟體故意用資安業者名義、取名SophosEncrypt，不知是為了挑釁或是混淆資安人員辨識；UEFI惡意程式BlackLotus傳出原始碼外洩；尚未登陸歐洲的Meta社交平臺Threads，其冒牌App竟登上蘋果App Store該地區第一名。另有一項資安研究也值得我們警惕，德國亞琛工業大學研究人員指出有2萬8千多個（佔整體調查8.5%）的Docker映像檔，包含不該洩露外界的私鑰、API密鑰與其他敏感資訊。</p> <p>在防護焦點方面，近日FIRST公布CVSS風險評分4.0預覽版本，目前徵集意見中，新變化在於改進精細程度，並是首度針對OT、ICS、IoT提供額外評估指標。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/157828"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月17日】駭客打造專門用於網路犯罪的AI語言模型WormGPT，可製作更具說服力的惡意郵件</span></strong></a></h3> <p>駭客利用生成式語言模型產生用於網路釣魚、商業郵件詐騙（BEC）攻擊的情況，不少是利用紅極一時的ChatGPT，產生相關信件的內容。但最近有人在網路犯罪論壇推出專為駭客量身打造的AI工具WormGPT，研究人員進行驗證後發現其威力極為強大，不僅產生出來的信件內容幾乎沒有什麼瑕疵，就連郵件安全系統也難以偵測出攻擊特徵。</p> <p>Meta甫推出的社交平臺Threads並未在歐洲地區提供服務，也成為駭客用來發動攻擊的目標。有開發人員發現，駭客假借提供此社交網站App的名義，在歐洲數個國家的蘋果App Store市集上架，且離譜的是，這冒牌App竟登上社交網站類型的第一名，顯然有不少使用者上當。</p> <p>有許多發動殭屍網路攻擊的駭客，會無所不用其極地壓榨受害電腦的各式資源，但也有人選擇低調行事，等到數年後被發現時，已形成大型殭屍網路，例如，有資安業者最近揭露的惡意軟體AVrecon攻擊行動就是如此，駭客感染逾7萬臺路由器，其規模迄今已超越惡名昭彰的QBot。</p> <h3><a href="https://www.ithome.com.tw/news/157850"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月18日】駭客組織TeamTNT將鎖定雲端竊取帳號的攻擊行動，企圖從AWS延伸至其他兩大公有雲</span></strong></a></h3> <p>駭客組織TeamTNT的攻擊行動Silentbob引起研究人員高度關注，先是有資安業者Aqua Security揭露攻擊行動的部分樣貌，駭客的殭屍網路攻擊範圍不只包含了Docker、Kubernetes環境，還有多種資料庫及網頁伺服器的伺服器，現在有另外2家資安業者也公布他們的調查結果，指出這些駭客原本的攻擊範圍是AWS，但現在也打算擴及Azure與Google Cloud Platform（GCP）。</p> <p>針對應用程式開發系統而來的攻擊行動，也相當值得留意。資安業者Rapid7指出，他們發現有人針對Adobe ColdFusion伺服器發動攻擊，利用的就是上週才修補的漏洞CVE-2023-29298。</p> <h3><a href="https://www.ithome.com.tw/news/157865"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月19日】惡意程式分析平臺VirusTotal驚傳資料外洩，恐曝露歐美多個政府機關的資安人員身分</span></strong></a></h3> <p>專門提供分析惡意軟體的知名網站VirusTotal竟出現了資安事故，而引發全球關注。而這份外洩的資料是逾5千筆使用者的姓名與電子郵件帳號，值得留意的是，此處列出的資安人員，來自歐美多個公私部門，亦有臺灣政府機構。後續效應需觀察。</p> <p>攻擊者針對安卓手機發動惡意軟體攻擊的管道，多半是在Google Play市集上架App的方式進行，但最近又有新的手法能夠繞過該市集的審核機制。資安業者RIFFsec、電腦資安事件應變小組CSIRT KNF揭露利用WebAPK技術的攻擊行動，而能突破上述市集與作業系統的防護機制，於使用者手機部署惡意軟體。</p> <p>有勒索軟體駭客將腦筋動到了資安業者身上，想要嫁禍給這類公司。研究人員發現了名為SophosEncrypt的勒索軟體，一度以為是資安業者Sophos用於紅隊演線的工具，但該公司對此表示否認。</p> <h3><a href="https://www.ithome.com.tw/news/157880"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月20日】Google旗下CI/CD代管服務存在提升權限漏洞，恐被用於發動供應鏈攻擊</span></strong></a></h3> <p>開發環境的相關應用系統出現漏洞，所帶來的威脅很有可能連帶波及用戶。例如，資安業者Orca、Rhino Security Labs對於Google旗下的CI/CD代管服務Cloud Build提出警告，當中存在權限提升漏洞Bad.Build，駭客可趁機在該服務代管的映像檔植入惡意程式碼，危害取用這些映像檔進行組建程序的應用系統。</p> <p>這幾天，知名的化妝保養品業者雅詩蘭黛證實遭到網路攻擊，但目前遇害情況仍相當混亂，因為該公司可能同時受到兩個勒索軟體團體的攻擊。因為，同時有2個勒索軟體駭客組織Clop、BlackCat（Alphv）聲稱對其下手，且突破該公司採用的微軟及Mandiant資安防護服務。後續情況有待進一步追蹤。</p> <p>中國駭客APT41的攻擊行動相當值得留意，資安業者Lookout針對間諜軟體WyrmSpy及DragonEgg進行調查，找出攻擊者的身分就是APT41，並指出該組織的攻擊標的已從電腦逐漸轉向行動裝置。</p> <h3><a href="https://www.ithome.com.tw/news/157901"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月21日】兆勤設備遭到殭屍網路Dark.IoT鎖定，並將被控制的設備用於DDoS攻擊</span></strong></a></h3> <p>兆勤科技（Zyxel）於4月下旬，針對旗下多款防火牆及VPN設備產品線，修補重大漏洞CVE-2023-28771，<a href="https://www.ithome.com.tw/news/157192#zyxel">並於6月初證實已出現攻擊行動</a>，而且駭客還有可能利用另外2個5月底修補的漏洞。但相關漏洞的攻擊行動，似乎沒有減緩的跡象。資安業者Fortinet揭露從6月出現的殭屍網路Dark.IoT攻擊行動，並表示他們已經看到多個殭屍網路也透過CVE-2023-28771發動攻擊。</p> <p>鎖定加密貨幣廠商開發人員的攻擊行動DangerousPassword，也同樣相當值得留意，因為，這些開發者無論使用Windows、macOS、Linux作業系統，都可能成為駭客下手的目標。</p> <p>元老級駭客Kevin Mitnick過世的消息相當令人震驚，此人曾是美國聯邦調查局（FBI）首位通緝的駭客，後來成為白帽駭客為資安界做出貢獻。</p> </div></div></div>
2023/7/24 09:34作者羅正漢https://www.ithome.com.tw/news/157905
馬斯克說推特即將改品牌、Logo
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>推特技術長及真正的老闆<a href="https://twitter.com/elonmusk/status/1682965462886535168" target="_blank">馬斯克（Elon Musk）昨（23）日透過推特預告</a>，將把推特的品牌名及青鳥圖示，換成X，最快在當地時間的7月24日全球實施。</p> <p></p><div class="media_embed"> <blockquote class="twitter-tweet" height="" width=""><p dir="ltr" lang="zxx" xml:lang="zxx"><a href="https://t.co/IwcbqMnQtA">pic.twitter.com/IwcbqMnQtA</a></p> <p>— Elon Musk (@elonmusk) <a href="https://twitter.com/elonmusk/status/1682978324375543808?ref_src=twsrc%5Etfw">July 23, 2023</a></p></blockquote> <script async="" charset="utf-8" height="" src="https://platform.twitter.com/widgets.js" width=""></script></div> <p><a href="https://twitter.com/elonmusk/status/1682964919325724673" target="_blank">他說</a>此後很快就會和推特（twitter）品牌名稱說再見，漸次也會換掉小鳥logo。</p> <p>《The Verge》報導，馬斯克其實周日都透過推特不斷預告此事。最後在語音聊天室Twitter Spaces宣布會在今（24）日更換推特logo，且正在拆除辦公室大樓外牆上的舊Twitter logo。此外<a href="https://www.threads.net/t/CvCuOMwrNco/?igshid=NTc4MTIwNjQ2YQ==" target="_blank">《Platformer》報導</a>馬斯克周六發信給推特員工宣布公司將更名為X，這是他最後一次從Twitter.com的電子郵件發信。</p> <p>其實馬斯克想把推特公司改名為X由來已久。早在<a href="https://www.ithome.com.tw/news/156393" target="_blank">今年初一份法院文件就顯示</a>推特已經併入到名為X的公司中，作為一家公司，推特早就不在了。</p> <p>至於新Logo長怎樣馬斯克並未公布，但<a href="https://twitter.com/SawyerMerritt/status/1682971056397512705?s=1" target="_blank">一名用戶</a>貼出一個X圖示，暗示可能是推特新logo。</p> <p>事實上，馬斯克對X這個字母情有獨衷。他早期創立的Paypal原名X.com，他後來在公司出售後，再向Paypal買回這個網域名。X也是特斯拉電動車最主要的車種。此外，馬斯克的火箭及衛星通訊公司則叫SpaceX。</p> <p>對成為X公司的推特，馬斯克希望它像騰訊一樣，以X App成為集結影音、社交、購物、支付等所有線上活動的平台。為此新的推特開始收取驗證帳號月費、API存取方案、以及可張貼長文章的Articles服務，<a href="https://www.ithome.com.tw/news/156873" target="_blank">並找來具豐富銷售廣告經驗的執行長</a>。</p> <p>然而激烈改革及縮減人事的結果是用戶出走。市調公司估計推特今年用戶數將從去年底的3.5億下滑到3.35億。</p> <p>另一方面，競爭者也希望趁推特動盪之際，推出新服務取而代之，包括Meta Threads、Bluesky、Mastodon及Substack Notes等。其中<a href="https://www.ithome.com.tw/news/157728" target="_blank">Threads用戶數已經破億</a>，Meta執行長祖克柏也說會持續增加Threads的新功能。不過新服務是否能在熱潮後挑戰推特/X霸主地位，仍待時間證明。</p> </div></div></div>
2023/7/24 10:45作者林妍溱https://www.ithome.com.tw/news/157907
ChatGPT Android App即將開放下載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>ChatGPT iOS App<a href="https://www.ithome.com.tw/news/157079" target="_blank">上線2個月後</a>，Android手機用戶也即將可從Google Play Store下載AI聊天機器人App。</p> <p><a href="https://play.google.com/store/apps/details?id=com.openai.chatgpt" target="_blank">ChatGPT Android App</a>已在上周四出現在Google Play Store，但還未開放下載，不過用戶已可以預先註冊。<a href="https://techcrunch.com/2023/07/21/chatgpt-comes-to-android-next-week-but-you-can-sign-up-today/" target="_blank">媒體推測</a>應該本周就能正式開放下載。</p> <p>iOS版是先開放美國市場，再開放其他國家下載，Android版不確定是否也會分階段實施開放。</p> <p>根據網頁的螢幕擷圖，Android App版ChatGPT功能與iOS版相同，回答各種查詢、草擬信件或訊息、修飾文句、或幫忙重點摘要等等。</p> <p>自5月底開放iOS App以來，OpenAI陸續加強其他功能，包括<a href="https://www.ithome.com.tw/news/157524" target="_blank">用Bing瀏覽器搜尋網際網路</a>。上周OpenAI則再提供<a href="https://www.ithome.com.tw/news/157894" target="_blank">ChatGPT客製化指令</a>，允許用戶輸入個人偏好或要求，讓ChatGPT客製出更符合需求的輸出結果，減少用戶要求AI修正的次數。本功能目前僅提供付費的Plus用戶，但最後會推向所有用戶。Android App版本的推出將有助於維持這個聊天機器人的成長態勢。</p> <p><a href="https://explodingtopics.com/blog/chatgpt-users" target="_blank">根據報導</a>，在今年1、2月ChatGPT桌機版App推出3個月後突破1億用戶。<a href="https://www.mlyearning.org/chatgpt-statistics/" target="_blank">Openai.com</a>流量截至6月，單月約有16到18億人次造訪。</p> <p>而後<a href="https://www.similarweb.com/blog/insights/ai-news/chatgpt-traffic-drops/" target="_blank">SimilarWeb</a>的數據顯示，ChatGPT iOS版App在5月19日上線曾引發下載熱潮，不過6月已顯現疲態。包括桌機及iOS版，6月chat.openai.com全球流量跌了9.7%，不重覆用戶數則縮水5.7%。雖然6月間ChatGPT推出API使連到platform.openai.com的流量，仍較5月微幅上升，但分析師認為，這突顯大眾對AI聊天的熱度已經消褪，AI聊天機器人還需要證明其價值。</p> </div></div></div>
2023/7/24 10:58作者林妍溱https://www.ithome.com.tw/news/157908
馬斯克說推特即將改品牌、Logo
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>推特技術長及真正的老闆<a href="https://twitter.com/elonmusk/status/1682965462886535168" target="_blank">馬斯克（Elon Musk）昨（23）日透過推特預告</a>，將把推特的品牌名及青鳥圖示，換成X，最快在當地時間的7月24日全球實施。</p> <p><a href="https://twitter.com/elonmusk/status/1682964919325724673" target="_blank">他說</a>此後很快就會和推特（twitter）品牌名稱說再見，漸次也會換掉小鳥logo。</p> <p>《The Verge》報導，馬斯克其實周日都透過推特不斷預告此事。最後在語音聊天室Twitter Spaces宣布會在今（24）日更換推特logo，且正在拆除辦公室大樓外牆上的舊Twitter logo。此外<a href="https://www.threads.net/t/CvCuOMwrNco/?igshid=NTc4MTIwNjQ2YQ==" target="_blank">《Platformer》報導</a>馬斯克周六發信給推特員工宣布公司將更名為X，這是他最後一次從Twitter.com的電子郵件發信。</p> <p>其實馬斯克想把推特公司改名為X由來已久。早在<a href="https://www.ithome.com.tw/news/156393" target="_blank">今年初一份法院文件就顯示</a>推特已經併入到名為X的公司中，作為一家公司，推特早就不在了。</p> <p>至於新Logo長怎樣馬斯克並未公布，但<a href="https://twitter.com/SawyerMerritt/status/1682971056397512705?s=1" target="_blank">一名用戶</a>貼出一個X圖示，暗示可能是推特新logo。</p> <p>事實上，馬斯克對X這個字母情有獨衷。他早期創立的Paypal原名X.com，他後來在公司出售後，再向Paypal買回這個網域名。X也是特斯拉電動車最主要的車種。此外，馬斯克的火箭及衛星通訊公司則叫SpaceX。</p> <p>對成為X公司的推特，馬斯克希望它像騰訊一樣，以X App成為集結影音、社交、購物、支付等所有線上活動的平台。為此新的推特開始收取驗證帳號月費、API存取方案、以及可張貼長文章的Articles服務，<a href="https://www.ithome.com.tw/news/156873" target="_blank">並找來具豐富銷售廣告經驗的執行長</a>。</p> <p>然而激烈改革及縮減人事的結果是用戶出走。市調公司估計推特今年用戶數將從去年底的3.5億下滑到3.35億。</p> <p>另一方面，競爭者也希望趁推特動盪之際，推出新服務取而代之，包括Meta Threads、Bluesky、Mastodon及Substack Notes等。其中<a href="https://www.ithome.com.tw/news/157728" target="_blank">Threads用戶數已經破億</a>，Meta執行長祖克柏也說會持續增加Threads的新功能。不過新服務是否能在熱潮後挑戰推特/X霸主地位，仍待時間證明。</p> </div></div></div>
2023/7/24 09:57作者林妍溱https://www.ithome.com.tw/news/157906
研究人員宣稱外洩的MSA金鑰可用來存取其它微軟服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/157763" target="_blank">微軟日前發現</a>中國駭客組織Storm-0558利用一個微軟帳戶（MSA）消費者簽章金鑰來偽造身分認證權杖，以存取Outlook Web Access in Exchange Online（OWA）及Outlook.com用戶的電子郵件帳戶，波及25個組織及與這些組織有關的個人，<a href="https://www.wiz.io/blog/storm-0558-compromised-microsoft-key-enables-authentication-of-countless-micr" target="_blank">雲端資安業者Wiz則在21日指出</a>，此一金鑰外洩事件的影響超乎原先想像，不僅是Outlook，駭客亦可利用所偽造的權杖來存取SharePoint、Teams、OneDrive或任何支援以微軟帳戶登入的服務。</p> <p>MSA是由使用者在微軟消費者身分認證帳戶系統上所建立與存放的微軟帳戶，至於MSA消費者簽章金鑰則是個私鑰，可用來產生不同使用者登入各種服務的身分認證權杖，亦由微軟保管。迄今微軟僅說駭客取得了一個MSA消費者簽章金鑰，並未解釋該金鑰如何外洩。</p> <p>此外，根據微軟的說法，此一MSA金鑰及偽造的權杖，只被用來攻擊OWA與Outlook.com，並未有其它服務受駭，之後也已置換該金鑰，同時封鎖了所有以該金鑰簽署的權杖。</p> <p>不過，Wiz指出，該團隊的研究顯示，遭竊的MSA允許駭客偽造許多Azure Active Directory應用的存取權杖，包括支援個人帳戶身分認證的所有應用，如SharePoint、Teams與OneDrive，以及支援以微軟帳戶登入的各種應用，再加上特定情況下的多租戶應用。</p> <p class="rtecenter"><a href="http://www.wiz.io/blog/storm-0558-compromised-microsoft-key-enables-authentication-of-countless-micr" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0724-Compromised%20Microsoft%20Key-by%20Wiz-600.jpg" style="width: 600px;" /></a></p> <p>此外，即便微軟已經撤銷了該金鑰與相關的權杖，但Wiz認為客戶很難偵測是否有人在它們的各種應用中使用偽造的權杖，駭客亦可能藉由先前的入侵機會植入了惡意程式或是發布了專用的應用程式存取金鑰，而建立永久進駐能力。另一個風險是仰賴本地憑證商店或快取金鑰的應用，可能還信任那些已被撤銷的權杖。</p> <p>Wiz建議Azure用戶應該搜尋環境中的偽造金鑰，利用<a href="https://tinyurl.com/28rz5km6" target="_blank">微軟所提供的入侵指標（Indicators of Compromise，IOC）</a>來查找任何可疑活動，並更新各種應用的憑證快取版本。</p> <p class="rtecenter"><a href="https://tinyurl.com/2qm8kxeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0724-IOC-Analysis%20of%20Storm-0558%20techniques%20for%20unauthorized%20email%20access-by%20%E5%BE%AE%E8%BB%9F.png" style="width: 600px;" /></a></p> </div></div></div>
2023/7/24 08:51作者陳曉莉https://www.ithome.com.tw/news/157904
AI趨勢周報第222期：一次可處理8千個Token，MosaicML開源新語言模型還可商用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0714～0720)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">MosaicLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 文長 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MPT-7B-8k </span></strong></span></p> <p><span style="font-size: 22px;"><strong>一次可處理8千個Token，MosaicML開源新語言模型還可商用</strong></span></p> <p>生成式AI新創公司MosaicML最近開源一款70億參數的語言模型MPT-7B-8K，且一次可消化的文長達到8千個Token，擅長處理長文重點摘要和問答，還能在MosaicML平臺上根據特定任務，進一步微調。</p> <p>進一步來說，該模型用1.5兆個Token（通常指單字或單位更小的詞根、詞綴）訓練而成，並以256個H100 GPU花3天完成模型訓練。這次釋出的模型有3個版本，包括MPT-7B-8k、MPT-7B-8k-Instruct和MPT-7B-8k-Chat，其中，第一個版本是以Transformer解碼器為基礎，並以FlashAttention和FasterTransformer機制來加速訓練與推論，能處理上下文長8千個Token的輸入，目前開源、允許商用。第2個版本是以第1個微調而成，可處理長篇指令，特別是摘要和問答，一樣開源且可商用。第3個版本則是Chatbot類的生成式模型，是額外用15億個聊天數據Token微調第1版模型而成，開源但不允許商用。<a href="https://www.mosaicml.com/blog/long-context-mpt-7b-8k">（詳全文）</a></p> <p><img alt="" src="https://assets-global.website-files.com/61fd4eb76a8d78bc0676b47d/64b676d9e0d6a949481e54b8_Frame%201%20(1).png" /></p> <p><img alt="" src="https://assets-global.website-files.com/61fd4eb76a8d78bc0676b47d/64b674a67445c8249cd6d14a_Screenshot%202023-07-18%20at%207.09.57%20AM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Llama 2 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Meta </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Meta和微軟聯手發表可免費商用的大型語言模型Llama 2</strong></span></p> <p>最近，Meta開源可免費商用大型語言模型Llama 2，並找來微軟當作首批發表合作夥伴。用戶現能在Azure和Windows上部署Llama 2模型，可降低企業開發AI應用的成本和障礙。</p> <p>今年2月，Meta發表第一代LLaMA，僅開放AI研究社群申請使用。LLaMA以大量未標註的資料訓練而成，有70億、130億、330億及650億個參數等版本，用戶可針對各種任務進行微調。現在，Meta開源Llama 2不限研究用途，免費提供商用，但若用戶開發的應用程式月活躍使用者超過7億人，就得另外取得Meta的模型使用同意授權。Llama 2的訓練資料量比第一代多出40%，共使用2兆Token，且其文章上下文長度（即模型生成文本時參考的文章長度）是第一代的2倍，可生成更長的回覆。此外，Llama 2經調校的版本，使用了超過100萬個人類標註的資料訓練。Llama 2開源內容包括預訓練模型、經調校模型的權重和起始訓練程式碼，並有70億、130億和700億參數等版本。<a href="https://about.fb.com/news/2023/07/llama-2/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 電腦視覺 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CM3Leon </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta發表通用生成模型，文生圖、圖生文都可以</strong></span></p> <p>Meta日前發表可同時支援文字和圖像生成的通用模型CM3Leon，是一款由純文字語言模型配方所訓練的多模態模型，號稱圖像生成所使用的訓練運算資源是其它方法的1/5，就能達到進階表現，但Meta並未開源該模型。</p> <p>CM3Leon是個基於Token、檢索增強和解碼器的模型，它採用因果隱蔽混合模態（CM3）架構，也就是模型可以只關注之前的元素，來生成輸出序列，確保生成內容的連貫性，還能在訓練過程中忽視或隱蔽某些元件，來產出更好的結果，還能同時處理文字和圖像的輸入。該模型只用了30億個Token文字資料訓練而成，比現有同類模型OpenFlamingo的400億個Token與Flamingo的1,000億個Token要少，還能執行更多任務。</p> <p>Meta強調CM3Leon是個通用模型，單一模型就能處理多種任務，如以文字描述來生成圖像、以文字描述來編輯圖像，或是要求該模型替圖像生成圖說等，比如替《戴珍珠耳環的少女》戴上墨鏡，或輸入文字調整圖片天空的顏色。<a href="https://ai.meta.com/blog/generative-ai-text-images-cm3leon/">（詳全文）</a></p> <p><img alt="" src="https://scontent-tpe1-1.xx.fbcdn.net/v/t39.2365-6/355350269_735396441693973_7081320402844920765_n.png?_nc_cat=111&ccb=1-7&_nc_sid=ad8a9d&_nc_ohc=_8l1OuHZO0wAX8erLkO&_nc_ht=scontent-tpe1-1.xx&oh=00_AfDQvPW6Q886dPqTU2mp4DZ1FAgnw2z3dEIfusx0FUJciQ&oe=64D70B2F" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SIGIR </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資訊檢索 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>AI頂級會議SIGIR在臺舉辦，Google、微軟兩大巨頭分享生成式IR新進展</strong></span></p> <p>國際頂級AI學術會議又來臺舉辦，資訊檢索領域（IR）的AI頂級會議<a href="https://sigir.org/sigir2023/">ACM SIGIR</a>自7月23日起在臺北展開，由Google DeepMind 、微軟研究院的重量級科學家開場，分享生成式檢索、Copilot搜尋等AI新典範浪潮下的研究進展，多家跨國企業像摩根大通集團都派出研發副總來臺分享業界第一手研究。</p> <p>ACM SIGIR是全球13個頂級AI會議之一，是資訊檢索領域公認最重要的學術會議，今年有將近500篇論文，論文接受率平均只有20％，議題涵蓋各種資訊檢索技術和議題，例如搜尋、排序、評估、NLP、推薦系統、內容分析、FATE（公平透明倫理、可解釋性）等。而傳統的IR技術，正是電商、企業常用推薦技術背後的基礎，此外也有業界研發成果專場，不只學術界重視，連科技巨頭、跨國企業，如摩根大通集團都有數篇論文發表，派出研發副總親自登臺。2019年7月臺大人工智慧研究中心陳信希主任在向SIGIR組織提出申請，與三國競爭後勝出。這是46年來首次來臺舉辦，也是2019年電腦視覺頂級會議ICIP登臺，帶來卷積神經網路之父Yann LeCun訪臺後的另一場AI頂級會議。<a href="https://www.ithome.com.tw/news/157888">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GitHub </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Copilot Chat </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 寫程式 </span></strong></span></p> <p><span style="font-size:22px;"><strong>GitHub Copilot Chat開放企業測試</strong></span></p> <p>GitHub在20日宣布，以GPT-4為基礎的程式開發助理Copilot Chat，正式開放給GitHub Copilot for Business的企業用戶測試。今年3月，GitHub發表Copilot X開發輔助工具，Copilot Chat就是其中一項。GitHub Copilot X是GitHub Copilot的升級版，整合了最新大型語言模型GPT-4，最大特色是加入Copilot Chat聊天介面和語音寫程式能力，以及更強的程式開發輔助。</p> <p>這次宣布則是將Copilot X推向企業，提供GitHub Copilot for Business用戶測試，可在開發環境Visual Studio和VS Code中，用Copilot Chat輔助撰寫程式。GitHub表示這讓Copilot IDE具備情境感知能力的對話助理，開發人員以自然語言輸入提示，即可執行困難的開發或除錯工作。<a href="https://github.blog/2023-07-20-github-copilot-chat-beta-now-available-for-every-organization/">（詳全文）</a></p> <p><img alt="" src="https://github.blog/wp-content/uploads/2023/07/blog-cover.png?resize=1200%2C630" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Teams </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 摘要 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Copilot </span></strong></span></p> <p><span style="font-size:22px;"><strong>可自動摘要會議內容！微軟Teams加入Copliot</strong></span></p> <p>微軟在Teams通話和聊天功能整合AI助理Copilot，使用者能從任何裝置上的Teams app撥打和接聽電話，還能以自然語言下指令，讓Copilot即時整理重點，如姓名、日期、電話號碼或工作等。</p> <p>這個功能在客服上十分有用，像是能抓住客戶的產品功能、效能和價格等問題，還能紀錄客戶的回饋，並建議接下來的步驟。而Teams chat加入Copilot後，用戶可指示AI聊天機器人整理出對話串重點，幫助管理不同對話、提高工作效率。Copilot提供過去1天、7天或30天的提示選項，讓用戶不需再拉回前面讀取落落長的對話。<a href="https://techcommunity.microsoft.com/t5/microsoft-teams-blog/the-next-wave-of-copilot-in-microsoft-teams/ba-p/3872842">（詳全文）</a></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/_fn9vmk0tyE?controls=0" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Hugging Face </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI WebTV </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>Hugging Face推出AI WebTV平臺，幫你測試影片、音樂生成AI的表現</strong></span></p> <p>AI新創Hugging Face最近推出一款平臺AI WebTV，可用來測試開源的生成式AI模型表現，像是文字生成影片模型Zeroscope和音樂合成模型MusicGen，使用者也可在Hugging Face Hub中心找到這些開源模型（即zeroscope_v2_576、Zeroscope_v2_XL和musicgen-melody）。</p> <p>AI WebTV的運作方式是，由人輸入鏡頭提示，比如「生成一個有夕陽和日光的尋寶電影」，接著，該提示會傳送到大型語言模型（目前使用的是ChatGPT），由模型轉化、生成較專業的鏡頭提示，再將這些提示傳送給影片生成模型，來產出一個個鏡頭畫面。影片生成後，系統還會進入post-production階段，來添加音樂或特效。最後，完成品就會呈現給使用者。<a href="https://huggingface.co/blog/ai-webtv">（詳全文）</a></p> <p><img alt="" src="https://huggingface.co/datasets/huggingface/documentation-images/resolve/main/blog/156_ai_webtv/diagram.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 音訊合成 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SoundStorm </span></strong></span></p> <p><span style="font-size:22px;"><strong>3秒就能合成完美人聲，Google推高效能音檔生成模型</strong></span></p> <p>Google日前發表一項音檔合成模型SoundStorm，用2種方法來解決生成冗長音訊Token序列的問題，與現有主流的自回歸模型AudioLM相比，生成速度快了100倍，且只需3秒範本音檔，模型就能快速生成栩栩如生的人聲或音樂等音訊。</p> <p>進一步來說，大多數音訊生成方法採用自回歸解碼器，會一一產生Token，雖然能保證音訊品質，但運算速度很慢，尤其是處理長序列。而SoundStorm採用的新方法，包含一個為SoundStream神經編碼器（用來生成音訊Token）量身打造的架構，以及根據自家圖像生成模型MaskGIT而改良的解碼方法，用來更有效率處理音訊Token。因為這些改良方法，SoundStorm可以平行生成音訊Token，也因此，SoundStorm推論長序列的速度比AudioLM快上100倍，還能產出相同品質的音檔，其語音和聲學還有更高的一致性。此外，團隊還將SoundStorm與文字轉語音模型SPEAR-TTS結合，能產出更高品質、更自然的對話。<a href="https://ai.googleblog.com/2023/06/soundstorm-efficient-parallel-audio.html">（詳全文）</a></p> <p>圖片來源／MosaicML、Meta、GitHub、微軟、Hugging Face</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. ChatGPT推出可客製化的指令，先供付費用戶試用</strong></p> <p><strong>2. <a href="https://imagebind.metademolab.com/">Meta AI推出ImageBind專案</a>，可整合圖像、聲音、文字、影片、熱、深度和慣性等6種模態來訓練更智慧的AI模型</strong></p> <p>資料來源：iThome整理，2023年7月</p> </div></div></div>
2023/7/23 16:35作者王若樸https://www.ithome.com.tw/news/157903
【資安日報】7月21日，兆勤設備遭到殭屍網路Dark.IoT鎖定，並將被控制的設備用於DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兆勤科技（Zyxel）於4月下旬，針對旗下多款防火牆及VPN設備產品線，修補重大漏洞CVE-2023-28771，<a href="https://www.ithome.com.tw/news/157192#zyxel">並於6月初證實已出現攻擊行動</a>，而且駭客還有可能利用另外2個5月底修補的漏洞。但相關漏洞的攻擊行動，似乎沒有減緩的跡象。資安業者Fortinet揭露從6月出現的殭屍網路Dark.IoT攻擊行動，並表示他們已經看到多個殭屍網路也透過CVE-2023-28771發動攻擊。</p> <p>鎖定加密貨幣廠商開發人員的攻擊行動DangerousPassword，也同樣相當值得留意，因為，這些開發者無論使用Windows、macOS、Linux作業系統，都可能成為駭客下手的目標。</p> <p>元老級駭客Kevin Mitnick過世的消息相當令人震驚，此人曾是美國聯邦調查局（FBI）首位通緝的駭客，後來成為白帽駭客為資安界做出貢獻。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.fortinet.com/blog/threat-research/ddos-botnets-target-zyxel-vulnerability-cve-2023-28771"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">殭屍網路Dark.IoT鎖定兆勤防火牆、VPN設備的重大漏洞而來</span></strong></a></p> <p>資安業者Fortinet揭露Mirai殭屍網路變種Dark.IoT最新一波的攻擊行動，他們在今年6月看到鎖定兆勤科技（Zyxel）的防火牆及VPN設備而來的情況，攻擊者利用CVE-2023-28771（CVSS風險評分為9.8）來入侵目標系統，並使用curl或wget來下載指令碼並執行，以便下載專為MIPS架構打造的攻擊工具，最終目的是散播殭屍網路病毒Dark.IoT、綁架資安設備、將它們用於DDoS攻擊。</p> <p>研究人員指出，在兆勤於4月底修補上述漏洞之後，他們便於5月發現相關的攻擊顯著增加的現象，且有多個殭屍網路在利用這項漏洞。</p> <p><a href="https://blogs.jpcert.or.jp/en/2023/07/dangerouspassword_dev.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">攻擊行動DangerousPassword鎖定開發人員而來，Windows、macOS、Linux用戶都是目標</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/dangerouspassword_dev-fig8-800wri.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/dangerouspassword_dev-fig8-800wri.png" style="width: 300px; float: right;" /></a>日本電腦網路危機處理暨協調中心（JPCERT/CC）揭露今年5月下旬出現的DangerousPassword（亦稱CryptoMimic、SnatchCrypto）攻擊行動，鎖定加密貨幣交易所的開發人員而來，這些駭客自2019年6月就開始從事相關攻擊，但最近這波行動很特別，因為駭客利用Python、Node.js惡意程式，同時針對Windows、macOS、Linux作業系統的開發環境下手。</p> <p>在使用Python惡意軟體的攻擊行動裡，駭客先是偵測目標電腦執行的作業系統，</p> <p>若這些電腦採用Windows系統，就從外部下載MSI安裝程式檔案並執行，進而投放PowerShell指令碼，以便部署更多MSI檔案，最終透過遠端桌面剪貼簿程式rdpclip.exe側載DLL檔案，來啟動惡意程式。</p> <p>假如目標電腦執行macOS或Linux作業系統，此Python惡意程式便會解析被插入builder.py的BASE64編碼字串，將其內容儲存為log.tmp的檔案並執行。</p> <p>而在Node.js惡意程式的攻擊行動裡，駭客將惡意程式碼插入Express程式庫當中的route.js，然後藉此執行另一個檔案request.js，從C2下載的惡意程式儲存為server.js並執行。</p> <p><a href="https://www.bleepingcomputer.com/news/security/new-p2pinfect-worm-malware-targets-linux-and-windows-redis-servers/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蠕蟲程式P2PInfect鎖定Redis伺服器而來</span></strong></a></p> <p>資安業者Palo Alto Networks於本月11日發現名為P2PInfect的蠕蟲程式，駭客的目標是部署在Windows或Linux主機的Redis記憶體資料庫伺服器，他們從網際網路上尋找存在CVE-2022-0543（CVSS風險評分為10.0）的伺服器，一旦成功入侵，就有可能將其加入駭客的P2P網路，部署更多惡意程式。研究人員指出，他們在網際網路上找到逾30萬臺曝露的Redis伺服器，約有934臺可能會受到相關攻擊。</p> <p>對此，Redis開發團隊表示，CVE-2022-0543並非存在於Redis的全部版本，僅有部分Debian Linux內含的Redis套件存在這項漏洞，Redis企業版本不受影響，他們呼籲使用者採用Redis提供的版本。</p> <p><a href="https://research.checkpoint.com/2023/byos-bundle-your-own-stealer/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊資軟體BundleBot假借提供Google的AI機器人的名義散布，目的是挾持臉書帳號</span></strong></a></p> <p>資安業者Check Point發現惡意軟體BundleBot的攻擊行動，駭客透過惡意廣告，以及利用遭到入侵臉書的帳號來發布貼文，假借提供應用程式、遊戲、AI相關的工具，如：Google AI、PDF Reader、Canva、Chaturbate、Smart Miner、Super Mario 3D World，來引誘使用者上當。</p> <p>一旦使用者依照指示下載這些軟體的安裝程式，就會從Dropbox、Google Drive等雲端檔共享服務，下載RAR壓縮檔案，其內容是.NET可執行檔，使用者執行後會再從雲端檔共享服務下載另一個ZIP壓縮檔，若是依照指示執行，電腦就有可能感染BundleBot，此惡意軟體的用途是竊取受害者的臉書帳號。</p> <p>研究人員指出，駭客打包BundleBot時，因為同時加入所需的各種.NET相依程式庫，導致該惡意程式的檔案大小達到數十MB，有可能影響防毒軟體的分析。</p> <p><a href="https://thehackernews.com/2023/07/north-korean-state-sponsored-hackers.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">JumpCloud供應鏈攻擊疑為北韓駭客所為</span></strong></a></p> <p>7月初IT管理服務業者JumpCloud證實遭到網路攻擊，強制輪換所有用戶的管理API私鑰，後來透露攻擊者的身分是國家級駭客。對此，有研究人員公布新的發現。資安業者SentinelOne根據該公司提供的入侵指標（IoC）循線追查，指出駭客來自北韓，他們採用多種手法滲透開發者環境。</p> <p>根據路透社報導，JumpCloud尋求CrowdStrike協助調查，認為攻擊者是Lazarus旗下的團體Labyrinth Chollima，在攻擊的過程裡，駭客疑似將JumpCloud視為「跳板」，目標是加密貨幣業者。</p> <p>GitHub的資安研究團隊指出，攻擊者是名為Jade Sleet（亦稱TraderTraitor）的北韓駭客組織，過程中駭客在GitHub、LinkedIn、Slack、Telegram利用假帳號或是遭竊的帳號，引誘目標人士拉取特定GitHub儲存庫的內容並進行協作。</p> <p>資料來源</p> <p>1. <a href="https://www.sentinelone.com/labs/jumpcloud-intrusion-attacker-infrastructure-links-compromise-to-north-korean-apt-activity/">https://www.sentinelone.com/labs/jumpcloud-intrusion-attacker-infrastructure-links-compromise-to-north-korean-apt-activity/</a><br /> 2. <a href="https://www.reuters.com/technology/n-korea-hackers-breached-us-it-company-bid-steal-crypto-sources-2023-07-20/">https://www.reuters.com/technology/n-korea-hackers-breached-us-it-company-bid-steal-crypto-sources-2023-07-20/</a><br /> 3. <a href="https://github.blog/2023-07-18-security-alert-social-engineering-campaign-targets-technology-industry-employees/">https://github.blog/2023-07-18-security-alert-social-engineering-campaign-targets-technology-industry-employees/</a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/adobe-fixes-patch-bypass-for-exploited-coldfusion-cve-2023-29298-flaw/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Adobe針對ColdFusion漏洞CVE-2023-29298再度修補</span></strong></a></p> <p>7月19日Adobe再度對於應用程式開發平臺ColdFusion發布更新，修補CVE-2023-38204、CVE-2023-38205、CVE-2023-38206，CVSS風險評分為5.3至9.8，並指出CVE-2023-38205已在有限的攻擊行動裡遭到利用。資安新聞網站Bleeping Computer指出，CVE-2023-38205就是先前CVE-2023-29298修補不全的漏洞。</p> <p> </p> <h3><strong>【駭客名人堂】</strong></h3> <p><a href="https://www.ithome.com.tw/news/157889"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">元老級駭客Kevin Mitnick過世，享年59歲</span></strong></a></p> <p>被視為網路社交工程始祖之一的Kevin Mitnick，1970年代起以尋求刺激為由，駭入多家知名企業，從Sun Microsystems、Nokia到Motorola，他竊取這些公司的程式碼與密碼、變更其電腦網路、存取電子郵件，而成為美國的頭號通緝犯，1995年被FBI逮捕，入獄服刑5年。</p> <p>出獄後，Kevin Mitnick在2000年改以白帽駭客身分，經營電腦安全顧問公司Mitnick Security Consulting，針對社交工程與滲透測試領域，提供安全顧問服務，他也開始寫作與演講，主題多為社交工程及滲透測試，部分著作曾在臺灣出版。他在7月16日因胰腺癌過世，享年59歲。</p> <p>資料來源</p> <p>1. <a href="https://www.dignitymemorial.com/obituaries/las-vegas-nv/kevin-mitnick-11371668">https://www.dignitymemorial.com/obituaries/las-vegas-nv/kevin-mitnick-11371668</a><br /> 2. <a href="https://twitter.com/kminx/status/1682027234796924928">https://twitter.com/kminx/status/1682027234796924928</a><br /> 3. <a href="https://www.nytimes.com/2023/07/20/technology/kevin-mitnick-dead-hacker.html">https://www.nytimes.com/2023/07/20/technology/kevin-mitnick-dead-hacker.html</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.securityweek.com/two-jira-plugin-vulnerabilities-in-attacker-crosshairs/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">缺陷追蹤管理系統Jira的外掛程式路徑穿越漏洞被用於攻擊行動</span></span></strong></a></p> <p><a href="https://eclypsium.com/research/bmcc-lights-out-forever/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">AMI基板管理控制器MegaRAC出現重大漏洞，恐導致伺服器服務中斷</span></span></strong></a></p> <p><a href="https://www.sonarsource.com/blog/a-twist-in-the-code-openmeetings-vulnerabilities-through-unexpected-application-state/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Apache視訊會議解決方案OpenMeetings存在漏洞，恐被攻擊者執行惡意程式碼</span></span></strong></a></p> <p><a href="https://unit42.paloaltonetworks.com/mallox-ransomware"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體Mallox鎖定微軟SQL Server而來</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157880">【7月20日】 Google旗下CI/CD代管服務存在提升權限漏洞，恐被用於發動供應鏈攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157865">【7月19日】惡意程式分析平臺VirusTotal驚傳資料外洩，恐曝露歐美多個政府機關的資安人員身分</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157850">【7月18日】駭客組織TeamTNT將鎖定雲端竊取帳號的攻擊行動，企圖從AWS延伸至其他兩大公有雲</a></strong></p> </div></div></div>
2023/7/21 16:53作者周峻佑https://www.ithome.com.tw/news/157901
星期五不應該部署？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0728-shu_zhai_srezhi_nan_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">博碩文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在軟體業界，有個普遍不成文的共識：「星期五不要部署、更版」。大部分是為了避免因為星期五部署影響系統的穩定性，造成週末要加班處理問題，出發點是風險管理。這議題在研討會上，業界專家提出前衛的思考：「Testing in Production, Deploy on Fridays」，隨後引發很多討論。</p> <p>贊成可以星期五部署的人說：「一個團隊當要能夠在任何時間部署，這跟哪一天沒關係，理由是敏捷團隊應該如何、身為一個開發者應該如何（省略3000字）…」；反對在星期五部署的大部分出發點：「會以風險角度考慮事情，普遍認為時間會影響之後的生活或者士氣（省略30000字）…」。</p> <p>雙方各有各的立場，各有各的道理，誰也不想退讓，最後變成是非題或比拳頭大小。</p> <p><span style="font-size:28px;"><strong>典型的現象</strong></span></p> <p>這樣的討論反映出一個典型的現象：</p> <p><strong><span style="color:#B22222;">「把『能不能』（Can Be）和『應不應該』（Should Be）混在一起談。」</span></strong></p> <p>因為這個問題在討論時，負責執行的「主詞」完全不一樣，如立場、觀點、著眼點、背景都不一樣，所以結果當然不一樣。在戲劇與文學裡最常見的說法是：</p> <p>「每個反派在自己的故事裡，都是英雄。」</p> <p>體現的是立場不同形成觀點的落差，最後形成衝突，結果就是所謂的「史詩」、「悲愴」。</p> <p>這樣的現象在「維運」領域中還有其他類似的案例，像是：</p> <p>1. 資料庫能不能在Internet裸奔？資料庫應不應該在Internet裸奔？</p> <p>2. 程式碼（輪子）能不能提高可重用性？程式碼（輪子）應不應該高可重用性？</p> <p>3. 系統架構能不能微服務化？系統架構應不應該微服務化？</p> <p>4. 上班日能不能在辦公室喝酒？上班日應不應該在辦公室喝酒？</p> <p>5. 系統能不能有多個認證機制？系統應不應該有多個認證機制？</p> <p>6. 省略100條…</p> <p><span style="font-size:28px;"><strong>衝突點</strong></span></p> <p>「星期五能不能部署」這樣的問題，贊同者的背景大多是敏捷團隊（團隊不分開發、測試、維運角色）、高階技術主管、團隊管理者、技術傳教士，這些角色大多認為部署時間不能被時間限制，而這些角色大多也能做到這樣，隨時隨地都具備能夠部署的能力，甚至以一天能部署的次數當作關鍵指標，然後因此感到自豪，他們在乎的是「能不能」，理所當然的也就「應該要」。</p> <p>反對的背景大多都是開發與維運分開的維運團隊，這種狀況的維運團隊在組織裡大多屬於開發流程的下游、承擔風險的那一方、資訊落差很大的一端，更多的是比較缺乏軟體工程能力與專業知識，在這些因素的考量之下，會以降低風險、提高可靠度考量為第一，他們在乎的是「應不應該」，而不是「能不能」。</p> <p>當雙方的層次不在同一個認知水平線上，加上沒有背景資訊，這個問題很容易陷入筆戰，就像產品團隊與業務團隊也常會有類似的狀況，業務團隊更在乎的是業績目標，產品團隊在乎的是功能交付的價值。</p> <p>這個現象把理想、現實兩個對立面的問題點出來：</p> <p>1. 理想派：期待理想能實踐，但忽略現實派長期的感受。</p> <p>2. 現實派：被困在現實無法突破，對理想失去信心。</p> <p>雙方的想法則是基於「是與非」的出發點，最後不是你死就是我亡。</p> <p><span style="font-size:28px;"><strong>觀點與看法</strong></span></p> <p>筆者的經驗來看，真實狀況會是比例原則，不是零或一的問題。基於八二法則概念是這樣的：</p> <p><span style="color:#B22222;"><strong>「儘量（80%）不要在星期五部署，但需要時（20%）團隊也不會擔心，因為團隊有能力駕馭自己負責系統的能力與信心。」</strong></span></p> <p>實務經驗也是如此，必要的時候星期五也會部署，依照該次部署功能的範圍、大小，判斷是否需要有額外的配套措施，像是隔天必須加強監控、週末需要有人排班定時回報狀況。</p> <p>另外，要看團隊運作的模式，例如：成熟的敏捷團隊，「理所當然」就是自己的服務自己部署、自己服務炸鍋自己扛，做好決定、想清楚風險承擔能力就好。因為對於一個成熟的敏捷團隊，往往不只是裡子（能力）問題，更多的是面子（榮譽）問題，因為不能部署代表「不夠敏捷」，那就沒資格叫「敏捷團隊」，所以這是面子問題，背後更深層的是人性問題。</p> <p>如果團隊運作是傳統的開發、維運分開，通常會選擇儘量避免，因為星期五部署的風險是衝突的來源，而開發團隊不是承擔責任的一方，維運團隊卻要去背負這種責任，累積到最後就是雙方失去信任，結果就是勢不兩立。這種狀況下，因為維運是下游單位，資訊落差與風險往往會造成團隊的壓力鍋，最後人心不定。維運方通常不會有面子問題，基於責任都會默默地吞下，但大多都有長期不平造成的心理壓力問題。</p> <p>筆者觀察到的現象：「說贊成的人，往往無法體會反對的人長期累積的壓力鍋，累積出來的厭世感。反對的人，也無法了解那種被需求壓著時程，然後學習不完的新技術，卻要如期交付的心理壓力」。</p> <p><span style="font-size:28px;"><strong>理解彼此</strong></span></p> <p>回到一開說的「能不能」與「應不應該」兩個，前者是技能（Skills）問題，像是駕馭某個系統架構、程式熟練等；後者是能力（Ability）問題，更多的是掌握「局勢」的決策與判斷力問題，與時空背景（Timeline）、政策（Policy）與態度（Attitude）有關係。</p> <p>做軟體設計、架構設計要做到及要滿足的是「能不能」的問題，能不能很有彈性的滿足業務需求、能不能有很高的擴展性、能不能達到安全管理、能不能節省成本？但做設計出來的東西怎麼運用，則是政策問題、階段性問題。架構有很高的擴展性，但是現階段基於成本考量，先不使用；業務發展到下個階段，應該要能高擴展的能力。</p> <p>「資料庫能不能在Internet裸奔？資料庫應不應該在Internet裸奔？」理論上不應該在Internet裸奔，它會有資安的問題。能不能裸奔？很多開發團隊（特別是剛草創階段的新創團隊）沒有自己的專屬SRE，也沒時間去規劃資訊網路架構，為了讓大家方便存取AWS RDS，都是直接讓RDS裸奔，這是很常見的實際案例。能啊，當然能，應不應該？看狀況。所有的問題都不是零或一這種是非題，問題都需要具備前提與背景，然後依照當下狀況，有最適合的作法。</p> <p>關於「資料庫能不能裸奔？應不應該裸奔？星期五能不能部署？應不應該部署？」要先問問主詞是誰，並問問時空背景，再來下定論。沒有這些背景資訊（Context）的討論，其實是沒有意義的。</p> <p><strong><span style="font-size:28px;">非黑即白的二元論</span></strong></p> <p>這問題其實跟「Agile是否一定比Waterfall好」差不多。Agile約莫從2015年開始被廣泛推廣，但總是拿著Waterfall打，推廣一個理念時，找個墊背的也是理所當然的，這是典型的「拿著錘子，看到什麼都是釘子」的現象。但後來發現好像不太對，不能用一套方法論，然後從頭吃到尾，所以這幾年也看到一些敏捷的人說法有所改變。另外，類似的Scrum及看板這兩個方法也是一樣，不能一套從頭吃到尾。</p> <p>所以，「星期五能不能部署」的問題不應該落入二元論、非黑即白，而是從了解彼此的背景、困難來換位思考，然後相互諒解與學習，這才是「DevOps」要強調的合作精神，不是嗎？</p> <p>網路上的論點、筆戰很容易以自己環境的背景或自己的立場切入，但是討論時沒有了解彼此的背景與經驗，直接這樣二元論的討論，並不容易找到平衡點，也不太會有交集。再多的列舉與論證，都不會有交集。</p> <p>「星期五應不應該部署」的問題通常需要從組織結構、團隊運作、系統架構等層次來切入，然後再來討論「是否、應不應該」的問題。<strong><span style="color:#696969;">（本文摘錄整理自《SRE實踐與開發平台指南》第一章，博碩文化提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0728-%E6%9B%B8%E6%91%98_SRE%E6%8C%87%E5%8D%97-600.png" style="width: 600px;" /></p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> <span style="color:#3399ff;">SRE實踐與開發平台指南</span></strong></span></p> <p><strong>黃冠元（Rick Hwang）／著</strong></p> <p><strong>博碩文化出版</strong></p> <p><strong>定價：620元</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%20SRE%E6%8C%87%E5%8D%97_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_AWS.jpg" style="width: 100px;" /></p> <p><a href="https://aws.amazon.com/tw/developer/community/heroes/rick-hwang/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_AWS</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>黃冠元（Rick Hwang）</strong></p> <p>軟體開發者、音樂愛好者，擁有超過20年專業軟體工程經驗、10年主管經驗，曾任翔威國際駐IBM資深軟體工程師、Oplink SQA Manager / SDET Lead、91APP Operation and Infrastructure Manager / Architect，且2021年獲得AWS授予「Community Hero」榮譽稱號。</p> <p>專注分散式系統架構設計、系統分析與設計、軟體測試、AWS、DevOps、SRE、經營管理等領域，著有技術部落格「Complete Think」、共同著作《軟體測試實務》、《分散式系統設計》（譯著）。</p> </div></div></div>
2023/7/21 17:02未署名https://www.ithome.com.tw/article/157902
因應英國監控法案，蘋果暗示可能停止該國iMessage、FaceTime功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果本周針對英國一項強化行政監控權力的法案提出反對意見，並說必要時可能會在英國停止提供iMessage、FaceTime等功能。</p> <p><a href="https://www.gov.uk/government/consultations/revised-investigatory-powers-act-notices-regimes-consultation/consultation-on-revised-notices-regimes-in-the-investigatory-powers-act-2016-accessible-version" target="_blank">英國希望對《2016年調查權力法Investigatory Powers Act 2016》進行修法</a>，旨在加強英國主管機關侵入式調查的權力，必要時也能侵犯人民隱私。本法案和通訊軟體相關的規定包括：非英國通訊軟體公司任何軟體功能變更在發布前告知英國內政部、內政部也能要求業者在不公告大眾情況下變更安全功能（例如在全程加密功能中加入後門），而且一旦軟體公司接獲英國內政部要求關閉或封鎖特定功能，業者必須立即行動。此外，新法也允許英國政府大量儲存用戶12個月上網紀錄以檢查有無非法內容，像是兒童色情等。</p> <p>本法案直接影響主要通訊軟體供應商，如蘋果、Meta WhatsApp及Signal等。<a href="https://www.bbc.co.uk/news/technology-66256081" target="_blank">《BBC》</a>及<a href="https://www.theguardian.com/technology/2023/jul/20/uk-surveillance-law-changes-could-force-apple-to-withdraw-security-features" target="_blank">《衛報》</a>報導，蘋果本周公布9頁的意見書，反對讓內政部特別且私下要求變更功能、關閉安全功能，或是不給業者要求覆議或陳情的時間。蘋果表示，不會為單一國家變更安全功能，因為這可能會弱化全球所有用戶的安全性，此外，這也有技術上的困難，因為某些變更需要發布軟體更新，不可能隱而不為人知。蘋果暗示，如果新法依此上路，蘋果將把FaceTime及iMessage等服務從英國移除。</p> <p>這並不是美國通訊軟體業者因應其他國家加強監控，第一次做出退出市場的實際行動或意願表達。今年3月，英國另一個以淨化網路內容的監管法案《線上安全法案》（Online Safety Act）<a href="https://www.ithome.com.tw/news/155894" target="_blank">遭到Meta WhatsApp及Signal表態反對</a>，他們聲稱若未能和英國立法機構取得共識，將會退出該國市場。本法案推遲到今年秋天生效。</p> <p>此外，2022年印度要求VPN業者需蒐集用戶資訊，引發業者反彈，包括<a href="https://www.ithome.com.tw/news/153227" target="_blank">Proton VPN</a>、ExpressVPN、Surfshark、NordVPN等都宣布撤出印度市場。</p> </div></div></div>
2023/7/21 16:14作者林妍溱https://www.ithome.com.tw/news/157900
微軟Teams企業版加入美妝用AI，讓用戶亮麗上鏡頭視訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>和同事視訊時常有用戶擔心臉上痘斑、黑眼圈太明顯或氣色不好不想開鏡頭，現在微軟Teams可啟用美妝特效，讓用戶都能光鮮動人參加線上會議。</p> <p>新功能是在Teams企業版整合化妝品牌業者萊雅（L'Oreal）子公司媚比琳（Maybelline）的Maybelline Beauty App。這款App提供12種風格及模糊功能供用戶選擇，預覽滿意後再按下「Apply」套用在視訊中。Maybelline Beauty App使用萊雅2018年收購的AR業者Modiface技術。Modiface AI的AR化妝功能可以AI辨識用戶臉部70多個特徵點，以無縫套用數位濾鏡、創造虛擬化妝效果。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0721-Maybelline%20Beauty%20App%20Microsoft%20Teams-600.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_萊雅</span></span></p> <p>該App稍早是提供預覽模式，今天開始陸續推向Teams全球企業版客戶。</p> <p>啟用方法是，當用戶加入會議前，點入「影像效果」>「更多影像效果」，從右方選單選擇「濾鏡」>「Maybelline」，再從中選用喜歡的風格，最後再按「立即加入」。已經在會議中的用戶不需退出會議，可以在會議視窗上方的「更多」>「影像效果」，再找到「濾鏡」>「Maybelline」選擇想要的效果。他們可按「預覽」先看看滿不滿意，滿意後再按「套用」將效果加入視訊。</p> <p>這是Teams加入的最新AI功能。<a href="https://www.ithome.com.tw/news/157878" target="_blank">本周微軟才宣布為Teams Phone和Teams chat加入AI助理Copilot</a>，前者可以在接聽來電時，即時整理重點，像是姓名、日期、電話號碼或工作內容，後者則可快速為眾多聊天內容整理出重點，不用再拉回前面細讀。</p> </div></div></div>
2023/7/21 13:04作者林妍溱https://www.ithome.com.tw/news/157895
如何發展多元異質超高彈性系統，企業福利網龍頭靠模組化IT設計
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電商生態圈的競賽，開放不是唯一選項，PayEasy去年大膽地選了一條截然不一樣的轉型路——只服務企業客戶，不對一般消費者開放的封閉式電商。</p> <p>「我們的業務遠不只有B2B2C電商。」PayEasy技術長盧聖宜解釋，不同於純電商，他們的平臺涵蓋更多種業務，例如票券、禮贈、旅遊、津貼審核，甚至未來要打造社群服務。不只如此，金流處理也比純電商更複雜，有現金交易，還需要配合數百家企業各自的福利制度，來提供現金、點數及票券等不同支付方式背後的金流和核銷機制。</p> <p>維運如此複雜系統時，PayEasy還有餘裕持續打造更多型態的產品。盧聖宜揭露4個秘訣，包括了模組化、系統邊界明確、低耦合資訊系統架構，以及高效率的溝通與工作模式。</p> <p><span style="font-size:28px;"><strong>用模組化架構，來提供客製化機制及多元異質系統需求</strong></span></p> <p>盧聖宜指出，顧客體驗類似電商，但面對更複雜的營運型態，IT部門，尤其是系統架構師，需要非常熟悉自家商業邏輯。其中高度複雜的一項業務是點數機制，這是企業用來提供給員工支付消費用的企業福利津貼。</p> <p>企業福利津貼。企業福利津貼通常依據補助方式分為現金類與商品類，後者可透過商業合作讓員工進行商品購買，企業並依據津貼預算的屬性來制定款項發送規則，所有的補助都是經過申請、審查、核銷的繁瑣流程盧聖宜表示：「更理想的方法是，設計一套系統，企業員工消費時也順便達到核銷、審核用途。」</p> <p>不過，每個企業都會有不同形式和用途的福利組合，因此，PayEasy需要因應不同組合來客製福利津貼核銷、用途控管及報表生成的機制。這便會牽涉到金流系統、津貼審核系統、點數系統、財會系統，以及所有需要使用點數或福利金消費的系統。</p> <p>不只最基礎的企業福利津貼組合複雜帶來大量工作負荷，PayEasy有許多功能需要和外部系統串接，例如禮贈和票券系統，便需要串接旅遊業者、訂房系統、交通業者，以及許多外部零售業者的系統。</p> <p>PayEasy維運和開發需求量大、型態複雜，且常有非預期的更動，因此他們採用了模組化、解構化的IT系統設計，盡可能將系統解構成一個個功能單一、低耦合、高內聚、系統邊界明確的模組，再依照當下業務需求來交付功能或串接外部系統。「系統解構成容易重新組合的模組，層層堆疊出符合個別客戶需求的成品，才能節省大量重工。」盧聖宜說明。</p> <p>要建構這種IT架構，盧聖宜解釋，首先要區別出不同系統或模組的功能，以此來定義出系統邊界。每當導入新技術時，要徹底了解新舊系統架構間的互動關係、資訊流、串接方法、影響範圍等，才能嵌入既有系統架構。因此，PayEasy的系統架構師，不只要具備IT工程能力，更要對自家對外服務及對內營運模式熟稔，從企業高度來設計IT系統架構。</p> <p>除了更清楚定義出模組功能，PayEasy還將模組分為核心系統及非核心系統，前一類需要高穩定度，例如金流系統，後一類則是要求能快速變更。當核心系統需要和外部系統互動，PayEasy透過API來串接，將外部系統的請求，在Web Service層轉成內部核心系統用的功能性程式碼或API程式碼。非核心系統則自2022年起，逐步導入微服務架構、也擁抱容器化與Kubernetes技術，以求進一步發揮模組化IT架構的高彈性特質，部分模組委外給集團旗下SI廠商協助開發和維運，以快速發展更多功能。</p> <p><span style="font-size:28px;"><strong>導入高效溝通及工作模式，強調產品思維</strong></span></p> <p>盧聖宜直接與同集團旗下廠商技術長5分鐘能談完的事，「交辦下去可能要5天才能完成。」盧聖宜說，要縮短這個交付期，關鍵是高效率溝通，因此，必須要引進能促成溝通的工作模式。他選擇的工作模式是敏捷工作方法Scrum。</p> <p>盧聖宜來到PayEasy前，他曾服務於富智康、趨勢科技等大型企業，也在中小企業和新創任職過，擔任過手機製造、資安、遊戲直播、影音串流、音樂等不同產業的IT人員。他說，從14年開發及IT管理經驗中，他深刻體會到，IT部門常面臨的問題往往不是技術力不足，而是溝通和工作方法效率不夠。盧聖宜坦言，技術力上，PayEasy資訊團隊已經足夠優秀，「反而是我要向我們的IT人員學習。」而他帶給資訊團隊的價值是，疏通溝通流程，以及帶入敏捷思維及工作方法。</p> <p>盧聖宜麾下資訊處不只有5個IT團隊，還有PM、PD團隊，從產品設計、管理、開發到維運，都由他統一管理。因此，他更能將Scrum落實到產品開發流程的不同角色。「這樣一來，產品開發的需求方和供給方能更有效溝通，也能培養產品思維。」</p> <p>他進一步說明，產品思維是開發產品時，參與者不只清楚自己負責的職責，還要從產品高度來思考，產品功能對需求者帶來的價值，以及背後實現方法。他提到，Scrum有2個機制尤其利於培養產品思維。</p> <p>第1個是Scrum工作流程中有PO（Product Owner，產品負責人）角色，需要釐清權益關係人需求、開發團隊職責、管控開發項目優先度及成本等。這些資訊，會由PO彙整成產品待辦清單（Product backlog），紀錄各種開發項目的用戶故事（User story）、優先度、測試方法、最低合格標準等。盧聖宜說，這有助於開發團隊從產品高度來思考，如何給出最符合產品客戶需求的成果，「也就是價值交付導向的思維，而非只在意如期如質交付的專案導向。」</p> <p>第2個機制是進一步釐清產品代辦清單的精煉會議（Refinement meeting），將PM和IT齊聚，深度溝通需求跟做法，讓彼此了解開發項目的重要性、可行性、對客戶帶來的價值，以及執行方針。「這樣一來，IT開發成果，通常不會太偏離PM的想像。」他說。</p> <p>盧聖宜補充，他目前仍然會擔任Scrum Master，主持IT部門開發時的會議。不過，他認為這項職務其實不應由高階主管來擔當。</p> <p>「工作時如果有高階主管在旁邊，人都會感受到壓力，言行舉止變得保守。」因此，盧聖宜主持Scrum會議時，會盡可能減少自己的發言，使員工能更放心表達想法，而不用顧慮是否與高階主管意見衝突。同時，他也希望盡快培養出能擔任Scrum Master的中階主管，自己則回歸到更上層的管理職務，只過問IT決策的大方向。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1139-CTO-600.png" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>系統解構成容易重新組合的模組，層層堆疊出符合個別客戶需求的成品，才能節省大量重工。── PayEasy技術長盧聖宜</strong></span></span></p> <p><span style="font-size:28px;"><strong>不只要敏捷還要精實，IT開發應具價值交付導向思維</strong></span></p> <p>搭配敏捷思維和開發方法，PayEasy導入了DevOps和CI/CD（持續整合／持續部署）模式，來提升產品發布與驗收速度。</p> <p>盧聖宜表示，不只要敏捷，他們開發還要精實。「完成比完美更重要。」因此，他要求開發團隊優先辨認出客戶核心需求，才能快速開發、測試、發布最小可行性產品（MVP）。</p> <p>盧聖宜認為，敏捷與精實開發模式帶來的效率提升不只能體現於縮短交付期這種量化改變。</p> <p>透過培養產品思維，開發團隊還能更快辨認出客戶核心需求，優先交付MVP。盧聖宜將這個過程稱為「快速失敗」。</p> <p>他解釋，在遊戲直播新創任職時，公司必須要根據每一輪投資挹注的資源，快速做出成果，才能維持公司生存，及提起投資者持續加碼的意願。要做到這件事情，就需要快速失敗，也就是快速開發出MVP，立即在市場測試，辨認出產品失敗後及時止損，不斷重複，直到找出最佳解的過程。</p> <p>「直到現在，我們當初新創創業夥伴們相聚時，還是會思考，當初是否是試錯的速度不夠迅速，才讓很多令人興奮的創意沒有機會實現。」盧聖宜追憶。</p> <p>盧聖宜也將PayEasy IT團隊視為服務PM和外部企業客戶的新創，將這個快速失敗的思維模式導入日常工作流程中，期待在高頻溝通、開發、測試的過程中，帶著自己的產品思維，不斷動態調整開發方向，來降低開發成果不符合內部PM或外部客戶需求，因而需要重作的風險。</p> <p><span style="font-size:28px;"><strong>用長期服務考量取代專案思維，找出IT優先順序和開發新方向</strong></span></p> <p>透過敏捷和精實開發模式，盧聖宜希望IT團隊開發產品時，能帶有產品思維。決策IT整體策略方向時，盧聖宜也遵循著類似的哲學，同樣從公司滿足外部顧客核心需求為出發點來做IT決策，而不是專案式的思考，單純完成受託任務。從他加入PayEasy後做的第一件事，可見一斑。</p> <p>論及企業採用雲端供應商最大的顧慮，盧聖宜說：「一定是資安。」確保資訊安全，企業才能放心要將員工資料及大量福利津貼交由供應商保管。因此，他加入PayEasy後，首要之務就是強化資安相關流程，導入主流國際資安標準ISO 27001及ISO 27701，更規定第一時間要向企業顧客通報資安事件，也同步對自家系統、供應商與企業顧客展開調查，還要向事故受災人員釐清可能遭到攻擊的途徑，若問題出在供應商，則下架商品，要求供應商提出資安報告。</p> <p>不只如此，盧聖宜更要求，IT部門不用等待業務部門提出，要自行思考，未來應該開發哪些新產品，來符合外部顧客潛在需求。他舉例，IT部門前一陣子發現，有顧客買了許多長照商品。「是否其他企業的員工有同樣的需求？」IT部門便開始思考，如何蒐集資訊，更了解顧客的需求，也回頭評估如何改良自家平臺設計，優化供應商資訊的串接。</p> <p>這些思考後來催生出一項計畫，要強化社群與電商功能的連結，讓上站消費的企業員工交流更多生活中的需求，例如職涯發展、家庭關係、老人照護、幼兒成長發展等，讓這些需求連結到自家平臺上的實體或虛擬商品等。「IT部門要主動想，為了更好的提供顧客服務，自己能扮演什麼角色。」盧聖宜強調。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>封閉式電商以物找人的數據驅動行銷模式</strong></span></span></p> <p><strong>數位行銷經常借重龐大的使用者數據，但走向封閉式電商的B2B2C模式，要如何用數據來驅動行銷？PayEasy技術長盧聖宜透露，封閉平臺上的消費者，同樣是以個人為單位購物，因此蒐集、分析顧客數據的手法與一般B2C電商類似，可以利用年紀、消費紀錄、購買力等數據，結合市場熱門議題來綜合分析。</strong></p> <p><strong>不過，封閉式電商進貨模式接近Outlet商場，擁有許多少量多樣、價格特殊的短檔期商品。這與銷售大量長尾商品的一般零售業者差別相當大，也會造成數據驅動行銷模式有所不同。其一是，PayEasy難以長期累積消費偏好、購物周期等數據，等累積到足量數據，可能商品已經售罄。其二是，行銷模式上，PayEasy更傾向「以物找人」，從一款短檔期商品，來找到欲購買的消費者，而非因為消費者有特定喜好，而推薦相關商品。</strong></p> <p><strong>在這種短檔期、少量多樣的特殊銷售模式下，PayEasy無法用一般B2C電商的模式，訓練出AI模型來進行自動化行銷，而是利用統計方法得出顧客行為分析後，結合Rule-based推薦系統，媒合商品與消費者。盧聖宜也計畫用B2B2C電商的「2B」階段，在企業端蒐集特定資料來進行企業員工側寫，以強化精準行銷。不過，他沒有透露具體作法。</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CTO小檔案 </span></strong></span></p> <p><strong>PayEasy技術長盧聖宜</strong></p> <p>學歷：元智大學電機工程所</p> <p>經歷：曾服務於富智康、趨勢科技、群攜科技、KKStream、及PositiveGrid，擔任過手機製造、軟體開發、遊戲直播、影音串流、音樂產業等不同業界、不同企業規模的工程師及技術主管。現任PayEasy技術長，擔任IT及PM團隊主管。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>PayEasy</strong></p> <p>成立時間：2000年</p> <p>業務介紹：提供企業福利使用、消費和核銷的平臺</p> <p>董事長：詹宏志</p> <p>總經理：李易騰</p> <p>營收：20 億元</p> <p>員工人數：110人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2002年：發展B2C電商平臺</p> <p>2017年：IT系統雲地整合</p> <p>2019年：轉型企業福利網</p> <p>2020年：建置禮贈平臺、津貼審核中心</p> <p>2022年：轉型為封閉式企業福利平臺</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1139-cto-960.jpg" width="960" height="420" alt="" title="PayEasy技術長盧聖宜　（攝影／洪政偉）" /></div></div></div>
2023/7/21 12:00作者郭又華https://www.ithome.com.tw/people/157834
【擺脫效能與耐用性疑慮，全面普及已是大勢所趨】QLC大舉進入企業儲存應用
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1139-feng_mian_-zhu_wen_1-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Intel</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近2年多來，QLC NAND快閃記憶體逐漸滲透主流儲存陣列領域。由於耐用性與效能方面的疑慮，QLC以往的定位經常局限在低成本類型應用，主要訴求停留在取代機械式硬碟，不過，現在這種情況正在改變。</p> <p>3年前，我們曾在技術專題「QLC快閃記憶體開始進入企業儲存應用」中，介紹當時剛問世的第一波QLC儲存陣列產品，時至今日，已有越來越多廠商推出基於QLC快閃記憶體的儲存陣列，包括Dell、Pure Storage、NetApp、IBM等一線大廠，以及VAST Data、WekaIO、StorOne等重要新創廠商，應用面向涵蓋了低成本儲存應用，到高效能運算領域，反映QLC快閃記憶體的發展已趨於成熟，不僅擴展了應用範圍，也將改變企業儲存系統的儲存媒體應用型態。</p> <p><span style="font-size:28px;"><strong>QLC快閃記憶體的疑慮</strong></span></p> <p>QLC即四層單元（Quad-Level Cell）快閃記憶體，每個單元可記錄4個位元的資料，比TLC高出33%，更比MLC高出一倍，製造成本卻沒有增加太多，因而既可提供更高的儲存密度，減少空間占用與能耗，也有助減少單位儲存成本。</p> <p>但QLC提高儲存密度的代價，則是讀寫機制更為複雜與緩慢，因而在可靠性、壽命與效能等方面，先天上就存在局限。</p> <p>這也導致QLC SSD產品問世以來，一直給人可靠性欠佳、不耐用、效能低落的刻板印象。儘管QLC SSD上市已有5年之久，但無論消費端或企業端用戶，對於引進QLC SSD依舊有很大的疑慮。</p> <p>由於耐用性與效能明顯不如MLC與TLC，導致QLC SSD的應用範圍受到很大的局限，被認為較適合以讀取為主、不需要頻繁寫入、相對靜態的應用。</p> <p>2016年我們報導Flash Memory Summit大會相關訊息，開始追蹤QLC發展時，也是抱持這種看法。當時整個企業IT領域都認為容量大、成本低，但效能與耐用性有限的QLC SSD，並不適合一般儲存應用情境使用，但適合用於長期保存大量資料的冷儲存應用。</p> <p>但到了最近2、3年，這種情況已經有了巨大的改變，隨著技術的演進，QLC在效能與耐用性方面的限制已獲得顯著的緩解，也促使應用面向大幅擴展，讓QLC SSD在儲存設備逐步普及。</p> <p><span style="font-size:28px;"><strong>邁向普及的QLC應用</strong></span></p> <p>QLC應用何以能獲得突破？我們認為可以歸結為這2個因素：</p> <p>首先，QLC快閃記憶體本身的持續改進，已有遠超過早期階段的表現。</p> <p>過去大家對於QLC為何會產生耐用性低落的刻板印象？許多都是源自QLC開發階段較為保守的預測所致。</p> <p>我們2016年開始追蹤QLC的發展之際，當時業界預測QLC的寫入與抹除循環次數僅僅只有150次，還不到TLC的1/5。但一年多以後，在首批QLC SSD上市前夕的2018年，儲存業界估計的抹寫壽命就提高到500次。而在QLC SSD產品正式上市後，此時的實際抹寫壽命已達到1,000次，遠高於幾年前的預測。</p> <p>其次，除了QLC快閃記憶體本身的技術持續獲得改進，其面臨的耐用性與效能問題，也能透過SSD裝置層級與儲存系統層級的存取控制，來得到緩解。</p> <p>快閃記憶體只是SSD裝置的一部分，而SSD又只是儲存陣列系統的一部分，因此QLC本身的效能與耐用性，只是影響SSD與儲存陣列系統的一部分因素。</p> <p>就最基本的Cell儲存單元層級來看，QLC快閃記憶體的耐用性與效能確實遠不如TLC。但是，在QLC SSD裝置的層級，仍然可以透過製程與3D堆疊技術的改進，以及多通道技術與控制器的升級，搭配超額容量（Over-rovisioning）的配置，以及、損耗均衡錯誤修正等存取機制的改進，改善QLC SSD裝置的可靠性、耐用性與效能。</p> <p>而在儲存陣列的層級，則能透過儲存陣列控制器的快取與緩衝機制，傳輸介面的升級，以及跨SSD模組的動態損耗均衡等技術，來緩解QLC的壽命與存取效能問題。</p> <p>因此，從記憶體單元層級來看，QLC無論效能或耐用性確實都不如TLC，但是到了SSD裝置的層級，QLC SSD便未必遜於TLC SSD。而在儲存陣列系統的層級，基於QLC的系統，表現已能與基於TLC的系統並駕齊驅，甚至略佳。</p> <p><span style="font-size:28px;"><strong>迅速進步中的QLC SSD產品</strong></span></p> <p>從過去5年來的QLC SSD產品發展，我們便可觀察到壽命與效能方面的顯著改善。</p> <p>以最早推出QLC SSD產品的Intel為例（現在屬於Solidigm），先後在2018年、2019年與2021年，推出3個世代的個人端QLC SSD產品660p、665p、670p，製程從最初的64層3D NAND技術進步到96層與144層，耐用性與效能也呈現大幅的增長。</p> <p>就耐用性的方面而言，以總寫入資料量（TBW）為基準，第2代665p的耐用性比提高第1代660p高出50%，而第3代670p又比第2代提升23%，短短3個世代的產品，寫入耐用性便提升了85%。</p> <p>在效能方面，第3代670p的循序讀取與寫入效能，分別比第1代670p提高95%與50%，隨機讀取與寫入效能也提高40%與54%，改進同樣十分顯著。</p> <p>事實上，憑藉製程技術方面的「後發優勢」，較新世代的QLC SSD，耐用性還能超越較舊製程的TLC SSD，效能表現也達到與其不相上下的水準。</p> <p>舉例來說，美光的個人端QLC SSD產品2210，推出時間比個人端TLC SSD 產品2200晚了一年，但憑藉製程與其他方面的改進（96層對64層3D NAND技術），耐用性反而超過後者，效能方面也達到同級水準。QLC版本的TBW寫入耐用性規格比TLC版本還要高出20%，而在效能規格方面，QLC版本的循序與隨機讀取效能較TLC版本略低了26%與5%，但循序與隨機寫入效能則高出12.5%與52%。</p> <p>即便與同世代TLC SSD相比，當前的QLC SSD通常也只有在隨機寫入效能方面有較大差距，但已縮小到50%左右，不像早期有著最大達到5、6倍的落差。</p> <p>也就是說，當前的QLC SSD早已不是以往印象中「壽命短、效能差」的產品，因此，我們現在已不能僅僅憑藉所用的快閃記憶體類型是QLC或TLC，來評價SSD產品的優劣。</p> <p><span style="font-size:28px;"><strong>QLC已備妥在企業儲存大量應用</strong></span></p> <p>而在儲存陣列系統層級，QLC也沒有成為企業級儲存系統持續進化的障礙，許多產品採用QLC儲存單元後，依然能夠透過整體架構的改進，獲得效能方面的提升。</p> <p>舉例來說，IBM在2020年發表用於搭配FlashSystem儲存陣列，基於QLC的第2代FCM儲存模組時，IBM承認QLC雖能讓儲存模組容量翻倍，但性能不如TLC，寫入延遲慢了3倍，讀取延遲慢2、3倍，耐久性與資料保持能力都較低，但透過在FCM儲存模組上結合一系列改進措施，包括專門訂製的FPGA控制器、多傳輸通道，動態SLC快取模式與更高效率的壓縮功能，讓第2代FCM模組擁有與基於TLC的第1代FCM同等耐用性，效能甚至還有所提高。</p> <p>類似的，Dell去年為PowerScale系列部分機型引進QLC SSD選項，搭配針對QLC最佳化的存取機制後，相較於使用TLC SSD組態，採用QLC SSD組態時，依然能維持同等級的整體效能表現。</p> <p>因此，我們可以認為，現在已是可以擺脫對QLC的疑慮，迎接QLC在企業儲存大量應用的時刻。</p> <p><span style="font-size:28px;"><strong>既有QLC儲存陣列產品總覽</strong></span></p> <p>當第一批QLC SSD於2018年中推出後，不過半年多時間，市場上便出現第一波基於QLC SSD的儲存陣列產品，接下來，自2021年迄今，又有更多基於QLC SSD的全新儲存陣列產品線問世，也有更多既有儲存平臺將QLC SSD納入支援。</p> <p>根據我們的觀察，最早推出QLC儲存平臺的是新創公司VAST Data，2019年初率先發表採用QLC的Universal Storage儲存平臺。快閃儲存設備大廠Pure Storage也緊隨其後，在2019年中發表了FlashArray//C系列。</p> <p>2020年後，更多廠商跟進推出QLC儲存陣列產品，如Nexsan的E-Series的18F與32F，Beast Elite系列的Beast Elite F，以及StorOne的S1 : AFAn，Pure Storage也在下半年推出第2代FlashArray//C，年底時IBM與NetApp等兩大廠也加入QLC應用潮流——IBM為FlashSystem發表基於QLC的第2代FCM儲存模組（FlashCore Module），NetApp也發表基於QLC SSD的FAS500f。</p> <p>接著在2021年初，Pure Storage又推出第3代FlashArray//C。值得注意的是，除了儲存陣列產品，伺服器產品也在這個時候開始支援QLC SSD，業界最具代表性的幾款伺服器家族，包括Dell的PowerEdge系列，以及HPE的ProLiant系列、Apollo系列，與 Synergy平臺，都在2021年初宣布支援QLC SSD。</p> <p>在2022年，QLC應用又有關鍵進展。因為儲存業界龍頭Dell這年終於加入導入QLC的風潮，Dell為其PowerScale家族中的F900與F600，引進QLC SSD的配置選項。另外，IBM也推出基於QLC的第3代FCM儲存模組。</p> <p>至於一貫非常積極支援QLC應用的Pure Storage，亦在2022年中為FlashBlade物件儲存家族，新增基於QLC的FlashBlade//S系列。另外，Weka的WekaFS，以及Scality RING這2種分散式儲存平臺，也在2022年下半年推出的新版本支援QLC SSD。</p> <p>而今年（2023）剛過一半，市場出現一連串基於QLC的儲存陣列新品，包括NetApp的AFF C系列，Pure Storage的2個新系列：FlashBlade//E、FlashArray//E，還有DDN的AI400X2 QLC版。</p> <p>經過3、4年的發展後，QLC快閃記憶體的應用，已經從SSD裝置層級，滲透到主流企業級儲存陣列中，有超過10家廠商與近20個產品線採用，其中包含老牌一線大廠，如Dell、NetApp、IBM、Pure Storage，也有VAST Data、Weka與StorOne這些引人注目的新創廠商。應用的產品類型，包含SAN儲存陣列、NAS、Scale-Out NAS、分散式檔案系統與物件儲存平臺等，幾乎涵蓋企業儲存設備的所有主要類型。</p> <p>至於在產品的市場位階上，多數QLC儲存陣列產品，都是訴求高儲存密度與低單位儲存成本，但也有高效能應用類型產品採用QLC SSD。</p> <p>接下來，我們針對較具代表性的QLC儲存陣列產品，作簡要的介紹。</p> <p><span style="color:#B22222;"><strong>Pure Storage</strong></span></p> <p>Pure Storage堪稱當前最積極推動QLC應用的儲存陣列廠商。</p> <p>首先，Pure Storage是最早將QLC應用於企業及儲存陣列的廠商之一，他們的FlashArray//C系列，是市場上第一批QLC儲存陣列產品。</p> <p>其次，Pure Storage旗下擁有最多的QLC儲存陣列產品線，對QLC的應用最為廣泛，除了最初的FlashArray//C以外，後來又陸續推出一系列基於QLC的產品線，包括FlashBlade//S、FlashBlade//E與FlashArray//E。</p> <p>Pure Storage目前的主力儲存產品中，只剩主打高效能應用路線的FlashArray//X與FlashArray//XL，仍維持採用TLC，其餘產品線都已全面採用QLC。</p> <p>第3，Pure Storage對QLC的應用，採用深度的垂直整合形式。對於多數QLC儲存陣列廠商而言，都是直接使用SSD供應商提供的QLC SSD模組，但對於Pure Storage而言，則是使用自己專屬的DFM儲存模組（DirectFlash Module）。</p> <p>DFM模組是單純只提供「裸」儲存空間的特製固態儲存模組，沒有一般SSD的快閃記憶體翻譯層（Flash Translation Layer，FTL），Pure Storage儲存陣列控制器運行的Purity儲存作業系統，可透過NVMe協定直接控制與存取DFM模組上的快閃記憶體單元，並執行原本由FTL層負責的空間映射、錯誤校正、寫入均衡等背景管理功能。</p> <p>比起一般的SSD，Pure Storage宣稱採用DFM模組既可降低延遲、提高效能，由於DFM不執行垃圾收集，也能大幅減少寫入放大，比一般SSD改善幅度達10倍，有助於提升QLC耐用性與效能。</p> <p><span style="color:#B22222;"><strong>VAST Data</strong></span></p> <p>VAST Data是最早將QLC引進企業儲存平臺的先驅，他們的Universal Storage儲存平臺發表時間，還比Pure Storage的FlashArray//C系列早了幾個月。</p> <p>Universal Storage是訴求高效能NAS與物件儲存應用的分散式儲存平臺，一反多數人對於QLC只適用於大容量低成本儲存、而不適合高效能應用的看法，大膽採用單一QLC SSD儲存層的架構，再結合高速的儲存級記憶體（SCM）作為存取緩衝與metadata存取，從而兼顧成本與效能。</p> <p>當VAST Data在QLC應用取得成功之後，去年又傳出這家公司正在評估採用儲存密度更高的PLC快閃記憶體消息，希望藉此帶來額外20%儲存密度提升，以及進一步的儲存成本降低。</p> <p><span style="color:#B22222;"><strong>NetApp</strong></span></p> <p>NetApp是以「硬碟替代者」的路線，為其FAS與AFF兩大產品線先後導入了QLC SSD。</p> <p>首先是在2020年底，NetApp在其FAS系列混合儲存陣列系列，推出採用QLC SSD的款式FAS500f。FAS原本是基於傳統硬碟與SSD的混合陣列，但FAS500f改以QLC SSD來取代1萬轉機械式硬碟，轉型成為全快閃組態，一方面因應1萬轉硬碟供貨逐漸減少的形勢，另一方面，改用QLC SSD也能提供更高的儲存密度與效能。</p> <p>接著在2023年初，NetApp也在其AFF全快閃儲存陣列系列中，新增採用QLC SSD的AFF C系列，主要訴求是取代混合式陣列，比起基於硬碟與SSD混合架構的混合式陣列，可大幅節省儲存空間與能源消耗，成本則仍接近混合架構。</p> <p>與同樣採用QLC SSD的FAS500f相比，AFF C系列擁有更高的擴展上限，但訴求的應用領域相近，若未來NetApp持續擴大QLC SSD的使用範圍，FAS與AFF系列的應用面向也會有更大重疊，最終可能會帶來進一步產品線重整。</p> <p><span style="color:#B22222;"><strong>IBM</strong></span></p> <p>IBM在2020年底舉行的Flash Memory Summit大會中，發表了旗下第1款應用QLC的產品，也就是用於搭配FlashSystem的第2代FCM儲存模組。接著在2022年初的FlashSystem產品線更新時，IBM又引進同樣基於QLC的第3代FCM儲存模組。</p> <p>FCM是IBM專門訂製的固態儲存模組，與Pure Storage的DFM模組，並列為當前極少見的專屬儲存模組。憑藉專門訂製的優勢，IBM在FCM模組上採用了專屬的硬體架構，除了內含作為儲存空間的快閃記憶體，還搭載由內含Arm處理器的FPGA晶片、與MRAM記憶體構成的運算單元，不僅可緩解QLC的效能與耐用性，還能提供與FlashSystem深度整合的I/O加速與運算卸載功能。</p> <p>第2代與第3代FCM儲存模組的基本配置基本相同，都是由QLC記憶體加上FPGA運算單元組成。</p> <p>兩者規格上的主要差別是傳輸介面，第3代FCM的傳輸介面從PCIe 3.0升級為PCIe 4.0，存取架構也針對QLC進一步最佳化，搭配升級的FPGA運算單元，還能將壓縮與解壓縮效能，分別提升一倍與50%。</p> <p>第2代FCM與第3代FCM模組都提供基於SLC模式的動態快取區域，並藉由與FlashSystem的Spectrum Virtualize儲存軟體整合，可利用SLC單元提供高效率讀取快取，並利用運算單元提供壓縮與加密運算卸載，得以兼顧提高效能、減少延遲、降低單位儲存成本等需求。</p> <p><span style="color:#B22222;"><strong>Dell</strong></span></p> <p>Dell對於QLC的應用相對比較保守，目前只在PowerScale系列NAS（前身是Isilon系列）的F900與F600等2款全快閃組態機型，提供QLC SSD的選項。</p> <p>之所以為PowerScale系列引進QLC SSD，Dell的訴求，是在保持原有效能表現的前提下，提供更高的儲存密度、儲存容量，以及更低的成本、空間與功耗需求。Dell宣稱，改用QLC SSD以後，可以讓F900與F600提高2倍的擴展容量、2倍的儲存密度，以及減少一半的空間占用與每TB功耗，每TB單位儲存成本也降低19%。</p> <p>除此之外，PowerScale對QLC SSD的寫入是透過緩衝記憶體的中介，以確保可靠性與耐用性。</p> <p>Dell承認QLC的單位儲存成本仍高於近線型硬碟，不過若考慮儲存系統的整體持有成本（包括資料減量技術應用），他們認為QLC的單位成本其實已低於硬碟。這也賦予F900、F600等成本相對高昂的全快閃機型，具有與混合陣列機型競爭成本的能力。</p> <p><span style="color:#B22222;"><strong>DDN</strong></span></p> <p>不久前，DDN為A3I系列AI專用儲存陣列家族的旗艦機型AI400X2，新增改用QLC SSD的版本。DDN的QLC應用路線，與Dell比較接近，都是利用QLC提高既有全快閃儲存陣列的擴展能力、儲存密度與經濟性。</p> <p>透過搭配使用最大容量達60TB的QLC SSD模組，使得AI400X2單一系統的有效容量提升15倍以上，占用空間則縮減2倍。</p> <p>DDN表示，原本的TLC SSD版本AI400X2，擁有較佳的單位容量效能，QLC版的AI400X2則有較佳的單位容量成本，在相同容量時，成本比TLC SSD版本低了80%。</p> <p>另一方面，AI400X2 QLC版雖然單位容量效能遜於AI400X2，但能「以量取勝」，憑藉提高15倍的總容量，總體效能比起TLC版仍提升10倍，讓QLC版AI400X2成為兼具效能與容量的選擇。</p> <p><span style="color:#B22222;"><strong>StorOne</strong></span></p> <p>StoreOne的QLC應用型態與VAST Data相似，他們的S1 : AFAn全快閃儲存平臺，同時結合SCM與QLC SSD（分別採用Intel Optane與Intel的QLC SSD），由基於SCM的DirectWrite寫入緩衝技術，取代以往儲存陣列基於DRAM的寫入快取，再結合QLC SSD做為後端的永久儲存層。</p> <p>他們認為，透過SCM可確保寫入效能與安全性，寫入資料會透過循序方式轉存到QLC SSD，讀取則直接由QLC SSD來執行，透過這種架構，可利用SCM獲得高寫入效能，由QLC SSD提供充分的讀取效能與更低的儲存成本。</p> <p><span style="color:#B22222;"><strong>Nexsan</strong></span></p> <p>目前屬於StorCentric旗下的Nexsan，在QLC方面的應用走的是「硬碟替代」路線，Nextsan一向強調高儲存密度，他們最初便是以SATABoy、SATABeast等高密度儲存陣列在市場上成名，目前的主力產品E-Series與Beast系列儲存陣列家族，也都是主要強調高密度與低成本的入門級SAN儲存陣列產品線，支援TLC SSD與7200轉硬碟的混合架構。</p> <p>而Nexsan在2020年初接連推出的E18F與E32F，以及Beast Elite F等3款機型，則以QLC SSD取代原本的7200轉機械式硬碟，從而顯著提高了儲存密度、效能與功耗。</p> <p><span style="color:#B22222;"><strong>Weka</strong></span></p> <p>Weka發展的WekaFS，原本是基於NVMe SSD打造而成的高效能分散式儲存平臺，WekaFS儲存節點本身配置NVMe SSD，以確保效能，但另可搭配外部的S3物件儲存空間，構成分層式儲存架構，實現空間配置的最佳化。而從去年年中發布的WekaFS 4.0起，則透過新增支援低成本的QLC NVMe SSD，無須掛載外部儲存空間，在本地端就能構成分層儲存架構。</p> <p><span style="color:#B22222;"><strong>Scality</strong></span></p> <p>Scality的RING分散式物件儲存平臺，是從2022年底發表的9.0版開始支援QLC SSD，提供更精細的分層儲存架構。</p> <p>目前RING平臺可提供4個儲存層級，包括：NVMe SSD、高儲存密度SSD（如QLC）、傳統硬碟，以及雲端儲存層（磁帶或公有雲）。另外還能透過新的「儲存加速器（Storage Accelerator）」功能，將高效能的NVMe SSD，與低成本的QLC SSD、傳統硬碟，共同組成動態的分層儲存與資料保護架構，將不同類型儲存媒體與基於不同保護等級的儲存區（即不同的多複本複製與Erasure Coding設定），結合成具備不同效能與成本的本地端儲存層。至於雲端儲存層，主要作為長期備份與歸檔使用。</p> <p><span style="font-size:28px;"><strong>兩種應用路線帶來全快閃化未來</strong></span></p> <p>除了VAST Data這種一開始就是基於QLC打造的平臺，我們可以將既有企業級儲存陣列產品對QLC的引進，區分為2種發展路線。</p> <p>一為「全快閃儲存產品的擴展」，例如Pure Storage、Dell、IBM、NetApp AFF C系列與DDN等，都是在原本全快閃儲存產品架構引進QLC，藉此提高容量、密度，並增強成本競爭力。</p> <p>另一為「混合陣列的硬碟替代」，如NetApp FAS系列、Nexsan、Weka與Scality等，都是在原本的SSD+硬碟混合架構中，以QLC取代硬碟，藉此改善儲存密度與效能。</p> <p>在這兩條發展路線的共同作用下，一方面，我們可以見到既有全快閃產品透過低成本的QLC，擴大應用面向與用戶接受度，而既有的混合陣列產品藉由QLC轉向全快閃化，最終促使企業儲存應用邁向全面的快閃化。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1139-%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%871-600-3.png" style="width: 600px;" /></p> <p><span style="font-size:24px;"><span style="color:#3399ff;"><strong>QLC的儲存密度與耐用性</strong></span></span></p> <p><span style="color:#696969;"><strong>QLC快閃記憶體每個單元可記錄4個位元的資料，儲存密度較MLC與TLC分別高出一倍與33%，但代價是寫入/抹除循環（P/E Cycles）壽命遠低於MLC與TLC。</strong><span style="font-size:14px;">圖片來源／Intel</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1139-%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%871-600-1.png" style="width: 594px;" /></p> <p><span style="font-size:24px;"><span style="color:#3399ff;"><strong>進步迅速的QLC SSD</strong></span></span></p> <p><span style="color:#696969;"><strong>我們以Intel的個人端QLC SSD產品660p、665p與670p為例，經過3個世代的發展後，這個系列的改進十分顯著，寫入耐用性提升85%，循序讀取與寫入效能提高95%與50%，隨機讀取與寫入效能也提高40%與54%。</strong><span style="font-size:14px;">＊以2TB款式為比較基準。資料來源：Intel/Solidigm，iThome整理</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1139-%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%871-600-%20NAND%20Flash_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E9%98%BF%E9%87%8C%E9%9B%B2.png" style="width: 600px;" /></p> <p><span style="font-size:24px;"><span style="color:#3399ff;"><strong>快閃記憶體並非決定儲存系統效能唯一因素</strong></span></span></p> <p><strong><span style="color:#696969;">快閃記憶體只是SSD裝置的一部分，SSD也是儲存陣列系統的一部分，所以QLC本身的特性，只是影響SSD與儲存陣列系統的因素之一。</span></strong></p> <p><strong><span style="color:#696969;">如上圖的SSD基本組成架構所示，影響SSD效能的因素，包括了前端PCIe傳輸通道，SSD控制器的效能與韌體設計，以及SSD控制器與快閃記憶體單元的後端傳輸通道，然後才是快閃記憶體單元。所以QLC記憶體的效能與耐用性問題，在SSD層級上可透過多種機制來緩解。</span></strong><span style="font-size:14px;"><span style="color:#696969;">圖片來源／阿里雲</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1139-%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%871-600-2.png" style="width: 450px;" /></p> <p><span style="color:#3399ff;"><span style="font-size:24px;"><strong>IBM基於QLC的FCM儲存模組</strong></span></span><br /> <span style="color:#696969;"><strong>IBM是積極支援QLC快閃記憶體的儲存陣列廠商之一，2020年底發表的第2代FCM儲存模組開始採用QLC，2022年初又推出同樣採用QLC的第3代FCM模組。照片為第2代FCM模組的實際構成，左側為QLC快閃記憶體構成的儲存單元，右側是FPGA控制器與MRAM記憶體構成的運算單元。</strong><span style="font-size:14px;">圖片來源／IBM</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="font-size:24px;"><span style="background-color:#B22222;"> 企業級儲存系統產品陸續導入QLC的時序 </span></span></span></strong></p> <p><strong>自Intel與美光於2018年5月發表首款QLC SSD後，自2019年初起，開始有廠商推出基於QLC的企業級儲存設備產品，2022年QLC儲存陣列產品開始增加，在2022年以後有了爆發性的增長。迄今已有超過10家廠商推出基於QLC的企業級儲存產品，相關產品已超過20款。</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> 2018年5月 </span></span>　Intel與美光發表第1款QLC SSD</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> 2019年2月 </span></span>　VAST Data發表Universal Storage儲存平臺</strong></p> <p><strong><span style="color: rgb(255, 255, 255); background-color: rgb(178, 34, 34);"> 2019年9月 </span>　Pure Storage發表FlashArray//C儲存陣列</strong></p> <p><strong><span style="color: rgb(255, 255, 255); background-color: rgb(178, 34, 34);"> 2020年2月 </span>　Nexsan推出E18F儲存陣列</strong></p> <p><strong><span style="color: rgb(255, 255, 255); background-color: rgb(178, 34, 34);"> 2020年3月 </span>　Nexsan推出BEAST Elite F儲存陣列</strong></p> <p><strong><span style="color: rgb(255, 255, 255); background-color: rgb(178, 34, 34);"> 2020年5月 </span>　Nexsan推出E32F儲存陣列</strong></p> <p><strong><span style="color: rgb(255, 255, 255); background-color: rgb(178, 34, 34);"> 2020年6月 </span>　StorOne推出S1 : AFAn儲存陣列</strong></p> <p><strong><span style="color: rgb(255, 255, 255); background-color: rgb(178, 34, 34);"> 2020年8月 </span>　Pure Storage發表第2代FlashArray//C儲存陣列</strong></p> <p><strong><span style="color: rgb(255, 255, 255); background-color: rgb(178, 34, 34);"> 2020年10月 </span>　NetApp推出FAS500f儲存陣列</strong></p> <p><strong><span style="color: rgb(255, 255, 255); background-color: rgb(178, 34, 34);"> 2020年11月 </span>　IBM發表搭配FlashSystem儲存陣列的第2代FCM模組</strong></p> <p><strong><span style="color: rgb(255, 255, 255); background-color: rgb(178, 34, 34);"> 2021年3月 </span>　Pure Storage發表第3代FlashArray//C儲存陣列</strong></p> <p><strong><span style="color: rgb(255, 255, 255); background-color: rgb(178, 34, 34);"> 2022年2月 </span>　IBM推出FlashSystem 7300/9500與第3代FCM模組</strong></p> <p><strong><span style="color: rgb(255, 255, 255); background-color: rgb(178, 34, 34);"> 2022年3月 </span>　Dell為PowerScale系列NAS的F600/F900新增支援QLC SSD</strong></p> <p><strong><span style="color: rgb(255, 255, 255); background-color: rgb(178, 34, 34);"> 2022年6月 </span>　Pure Storage發表FlashBlade//S物件儲存系統</strong></p> <p><strong><span style="color: rgb(255, 255, 255); background-color: rgb(178, 34, 34);"> 2022年6月 </span>　</strong><strong>Weka推出WekaFS 4.0版儲存軟體平臺新增支援QLC SSD</strong></p> <p><strong><span style="color: rgb(255, 255, 255); background-color: rgb(178, 34, 34);"> 2022年11月 </span>　</strong><strong>Scality推出RING 9.0版儲存軟體平臺新增支援QLC SSD</strong></p> <p><strong><span style="color: rgb(255, 255, 255); background-color: rgb(178, 34, 34);"> 2023年2月 </span>　NetApp推出AFF C系列儲存陣列</strong></p> <p><strong><span style="color: rgb(255, 255, 255); background-color: rgb(178, 34, 34);"> 2023年3月 </span>　Pure Storage發表FlashBlade//E物件儲存系統</strong></p> <p><strong><span style="color: rgb(255, 255, 255); background-color: rgb(178, 34, 34);"> 2023年5月 </span>　DDN發表AI400X2分散式儲存系統QLC版本</strong></p> <p><strong><span style="color: rgb(255, 255, 255); background-color: rgb(178, 34, 34);"> 2023年6月 </span>　</strong><strong>Pure Storage發表FlashArray//E儲存陣列</strong></p> <p><span style="font-size:14px;"><span style="color:#696969;">資料來源：iThome整理，2023年7月</span></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/qlc">QLC</a></div><div class="field-item odd"><a href="/tags/qlc%E5%BF%AB%E9%96%83%E8%A8%98%E6%86%B6%E9%AB%94">QLC快閃記憶體</a></div><div class="field-item even"><a href="/tags/qlc%E5%84%B2%E5%AD%98%E9%99%A3%E5%88%97">QLC儲存陣列</a></div></div></div>
2023/7/21 12:00作者張明德https://www.ithome.com.tw/tech/157837
【從製程、控制器、SSD裝置到儲存系統層級多管齊下】克服QLC快閃記憶體的先天限制
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1139-feng_mian_-zhu_wen_2-960-jpg_0.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了在儲存單元記錄更多資料，QLC快閃記憶體的讀寫機制先天上更為複雜與緩慢，也更不可靠，對磨損更為敏感，進而形成可靠性、耐用性與效能方面的先天缺陷，也導致用戶對於QLC充滿疑慮。</p> <p>但另一方面，快閃記憶體只是SSD裝置與儲存系統的一部分，因而QLC快閃記憶體本身的缺陷，都能透過SSD控制器、SSD儲存裝置與儲存陣列系統層級的不同管理與控制手段，而得到緩解，從而讓用戶獲得QLC在降低成本、提高儲存密度方面的優點，又能迴避QLC可用性、耐用性與效能方面的不足。</p> <p>要理解QLC種種問題的由來，以及克服這些問題的方法，必須先對NAND快閃記憶體的基本構造與運作方式，有一定理解，我們先解釋QLC固有問題的由來，然後再介紹解決這些問題的手段。</p> <p><span style="font-size:28px;"><strong>QLC快閃記憶體的固有問題</strong></span></p> <p>先天上，NAND快閃記憶體就存在著寫入抹除磨損、讀取干擾（Read Disturbance）、寫入干擾（Program Disturb），以及資料保持（Data Retention）等問題，這些狀況大都與快閃記憶體儲存單元氧化層的磨損有關。</p> <p>在快閃記憶體儲存單元中，氧化層提供了絕緣、隔離的作用，讓浮動閘內的電荷不會輕易地逸散，即便斷電也能保存資料，實現「非揮發性儲存」的能力。但氧化層的隔離作用並不是絕對的，只要在控制閘或源極施加足夠的電壓，便能吸引電荷藉由穿隧效應穿透氧化層，進入或排出浮動閘，達到寫入與抹除資料的目的。</p> <p>氧化層對於快閃記憶體的可靠性與壽命，有著決定性的影響。隨著抹除與寫入次數的增加，會給氧化層帶來不可逆的副作用：</p> <p>當抹除與寫入次數增加後，電荷在浮動閘與底層矽基板間的進進出出，會讓浮動閘下方的氧化層逐漸「磨損」或「老化」，導致絕緣效果減弱（實際上是氧化層的化學鍵退化，造成絕緣能力減弱）。而當氧化層磨損後，會導致部分通過的電荷滯留在氧化層，同時也因絕緣效果減弱，讓浮動閘更難以留住電荷，電荷更容易流失，造成儲存單元的閾值電壓逐漸偏移，偏移量越大、就越難以正確判讀位元狀態。</p> <p>而QLC的特性又進一步加劇前述的問題，事實上，QLC最大優勢——更高的儲存密度，正是一連串問題起因。</p> <p>快閃記憶體是以電壓狀態來表徵儲存單元的位元狀態，TLC、MLC與SLC每個儲存單元雖然只記錄3個、2個與1個位元，但分別也只須控制8種、4種與2種電壓狀態，相較下，QLC每個儲存單元能記錄4個位元的資料，儲存密度更高，但連帶也需要區分與控制16種閾值電壓狀態，給QLC帶來更複雜、困難的存取程序，並最終導致抹寫耐用性更差，更困難的讀取作業與資料保存，以及更不可靠的寫入程序等問題。</p> <p><span style="color:#B22222;"><strong>更低的抹寫耐用性</strong></span></p> <p>QLC為人詬病的頭號問題，便是遠低於TLC、MLC與SLC的寫入與抹除壽命，但這個問題，其實是儲存單元氧化層磨損與閾值電壓偏移所導致。</p> <p>如同前面提到的，快閃記憶體寫入抹除次數增加後，會有氧化層老化磨損與閾值電壓偏移的現象。對於SLC來說，閾值電壓只需維持2種狀態，2種電壓狀態可以區隔的很遠，即便出現較大幅度的閾值電壓偏移，也仍能很容易地判別儲存單元的位元狀態，所以SLC可容許更多次的抹寫循環，而無需顧慮由此帶來的閾值電壓偏移。</p> <p>相較下，MLC、TLC與QLC為了記錄更多位元的資料，將閾值電壓區分為更精細、更多種的狀態，不同電壓狀態彼此更為接近，所以對閾值電壓的偏移容許幅度越小，而解決這個問題的辦法，就是限制儲存單元的寫入與抹除次數，藉此減緩氧化絕緣層的磨損，從而抑制閾值電壓偏移的程度。</p> <p>舉例來說，TLC須控制與量測8種閾值電壓狀態，對儲存單元電壓狀態的變化，較只需控制4種電壓狀態的MLC更為敏感，因而對寫入與抹除次數的限制也更大；而QLC須控制多達16種電壓狀態，對儲存單元的電壓狀態變化又較TLC更為敏感，只要出現少許閾值電壓偏移，就會干擾與影響到位元狀態的判讀，因而也必須進一步限制抹除次數，以減少絕緣層磨損與閾值電壓偏移。</p> <p>這也就是SLC、MLC、TLC與QLC不同耐用性與寫入壽命的由來。以寫入／抹除循環（Program Erase Cycle，P/E Cycle）計算，SLC快閃記憶體可允許10萬次以上，MLC降到1萬次，TLC又降到3,000次左右，而QLC更進一步降到1,000次以下，只有TLC的1/3不到。</p> <p><span style="color:#B22222;"><strong>更容易受干擾的讀取作業</strong></span></p> <p>QLC快閃記憶體的讀取作業，先天就更為複雜與緩慢。</p> <p>隨著NAND快閃記憶體儲存單元的閾值電壓狀態區分越多、越精細，讀取程序將會越複雜，越緩慢。SLC每個儲存單元只有2種狀態，只需施加1個讀取電壓就能判別狀態。MLC每個儲存單元有4種狀態，必須依序施加3個參考電壓，才能完整判讀出儲存單元狀態。依此類推，QLC需要依序施加15個參考電壓才能完整判讀儲存單元的狀態，所以讀取作業先天上就更為複雜與緩慢。</p> <p>除了讀取程序複雜外，QLC還有讀取更不精確、更易受干擾的問題。</p> <p>NAND快閃記憶體是透過量測儲存單元的閾值電壓狀態，來判斷資料位元狀態，因此儲存單元維持閾值電壓狀態的能力，直接影響到資料讀取的正確性。</p> <p>除了氧化層老化磨損導致閾值電壓偏移外，NAND快閃記憶體的讀取運作過程，也會造成儲存單元預期外的閾值電壓偏移，進而導致判讀位元狀態出錯。</p> <p>快閃記憶體的讀取作業是以分頁（Page）為單位，如果要讀取某個分頁的資料時，需要對該分頁所在區塊（Block）的字元線（Word-Line）施加導通電壓，並對被選取的分頁施加參考電壓。而這也造成除了被選取的分頁之外，鄰近的分頁也都會被施加電壓，可能導致少許電荷被吸入這些鄰近分頁儲存單元的浮動閘，形成「輕微的寫入」，讓這些儲存單元的閾值電壓「悄悄地」增大，長此以往，便會導致這些儲存單元閾值電壓逐漸累積增大，造成位元狀態翻轉，變成「真正的寫入」，形成錯誤資料，這就是讀取干擾——為了讀取選定的儲存單元，卻影響、連累鄰近的儲存單元狀態。</p> <p>讀取干擾會導致儲存單元閾值電壓逐漸變大，偏移出原本的範圍，如果控制器仍依照原本的閾值電壓範圍，去判讀儲存單元狀態，必然會發生誤判，以致讀取錯誤。而儲存單元閾值電壓偏移的幅度，則與讀取次數有關——讀取次數越多，偏移越大。</p> <p>透過Refresh程序——也就是先讀出資料、經ECC修正後再將資料重新寫回到另一區塊，並抹除原有區塊資料，可修正讀取干擾的問題，但這項作業會影響效能，還需趕在讀取干擾超過ECC修正能力之前，就完成Refresh作業。</p> <p>在SLC與MLC時代，對閾值電壓偏移容忍程度較高，因而讀取干擾屬於學術性問題，還不致對現實作業帶來困擾。</p> <p>不過，到了TLC崛起之後的時代，隨著閾值電壓狀態增加到8種，電壓區間被分為更精細的8份，不同狀態的電壓彼此更為接近，讀取干擾開始成為要擔心的問題，而到了必須區分16種閾值電壓狀態的QLC時代，這更成為一個不妥善處理就會成為災難的問題。</p> <p><span style="color:#B22222;"><strong>更不可靠的資料寫入程序</strong></span></p> <p>QLC快閃記憶體的寫入作業，同樣也是先天上就更為複雜與緩慢。</p> <p>因為NAND快閃記憶體是透過向儲存單元控制閘施加寫入電壓，藉此向浮動閘注入不同數量的電荷，改變儲存單元的閾值電壓，讓儲存單元呈現不同的位元狀態，達到寫入資料的目的。</p> <p>而QLC儲存單元具備多達16種閾值電壓狀態，必須更為緩慢與仔細地控制寫入電壓與寫入程序，才能確保正確寫入資料，難度比起SLC、MLC、TLC可說是指數性的增加，這也導致QLC的寫入延遲遠高於SLC、MLC與TLC。</p> <p>根據快閃儲存陣列供應商Pure Storage提供的資料顯示，SLC的寫入延遲低於0.5 ms，MLC約為1.2 ms，TLC也還有2.4 ms左右，相差都不大，而QLC的寫入延遲便大幅拉長到10到20 ms，整整增加了10倍。</p> <p>NAND快閃記憶體的寫入也有寫入干擾問題。向某個分頁執行寫入作業時，除了被選中寫入的儲存單元外，同一條字元線上的鄰近儲存單元電壓也會跟著升高，導致輕微寫入，最終導致這些被干擾的儲存單元位元狀態翻轉，成為錯誤資料狀態。隨著QLC儲存單元的電壓狀態區分越多、越精細，這個問題的影響也更嚴重。透過Refresh同樣能修復寫入干擾，但連帶也有影響效能的問題。</p> <p><span style="color:#B22222;"><strong>更低的資料保持能力</strong></span></p> <p>隨著抹除次數增加，快閃記憶體儲存單元氧化層磨損導致絕緣效果減弱，會造成浮動閘更不易保存電荷，隨時間逐漸洩漏，儲存單元電壓也逐漸降低，到達一定限度後，將導致資料遺失。事實上，即便抹寫次數很少，靜置的快閃記憶體儲存單元，也會慢慢洩漏電荷，所以，快閃記憶體雖被歸類於無須供電也能保存資料的「非揮發性」儲存媒體，但其保存資料的能力是有期限的。</p> <p>作業環境溫度與寫入與抹除循環次數（P/E），是影響NAND快閃記憶體資料保存能力的兩大因素。</p> <p>溫度升高將會加劇儲存單元中的電荷運動與振動，使其更容易穿透氧化層，加劇浮動閘的漏電現象，在攝氏50度以上便會有顯著影響，導致資料保持時間大幅衰減。</p> <p>依照快閃記憶體產品製造商宜鼎的資料，當溫度從40到50度區間升高到50到60度區間，快閃記憶體資料流失速度將提高10倍，保存資料的期限大幅降低，若溫度進一步升高到60到70度間，資料流失速度更將提高30倍。而QLC對儲存單元的閾值電壓變化更為敏感，連帶也對高溫更敏感。</p> <p>更多的抹寫次數，則會導致與氧化層更嚴重的磨損，當磨損越大，電荷越容易從浮動閘中洩漏，導致資料遺失。因而快閃記憶體的資料保持時間（retention）長短，與寫入/抹除次數成反比。隨著抹寫次數增加，有效的資料保持時間變得越短，這對於抹寫壽命較短的QLC也更為不利。透過Refresh雖能延長保存時間，但也有其副作用。</p> <p><span style="font-size:28px;"><strong>克服QLC弱點的手段</strong></span></p> <p>QLC快閃記憶體的種種問題，是先天的運作架構所致，難以在儲存單元或區塊這個層級解決，但可以透過SSD裝置層級，或儲存系統層級的管理手段，來克服或緩解。</p> <p>既有MLC、TLC SSD產品用於改善耐用性、可靠性與效能的技術，如超額容量配置（Over-Provisioning）、損耗均衡（Wear-Leveling）與故障區塊管理（Bad Block Management），預防性Refresh與資料搬離（Early Move），以及ECC錯誤修正校驗等等同樣也能用於改善QLC SSD產品的耐用性、可靠性與效能。</p> <p>但由於QLC比MLC、TLC更不可靠、更不耐用，所以單單只是沿用既有錯誤修正與故障區塊處理機制，仍不足以克服QLC問題，必須予以進一步增強。目前被採用的改善方式，涵蓋了從製程、控制器與SSD裝置等多個面向：</p> <p><strong>● 記憶體製程層級</strong></p> <p>在記憶體製程方面，常見的改良手段，是透過3D堆疊技術搭配較老的製程（如40nm），設法讓QLC能兼顧耐用性與儲存密度。使用較老的製程雖然會增加快閃記憶體單元的尺寸，但可讓獲得物理上較厚、也較耐磨損的氧化層，再結合3D堆疊技術來提高儲存密度，彌補較老製程所損失的儲存密度。</p> <p>另外，再結合浮動閘與氧化層材料的改進，也改善了保存電荷與絕緣能力，有助於提高QLC的耐用性。</p> <p><strong>● SSD控制器層級</strong></p> <p>在SSD控制器方面，針對QLC更不可靠的存取，一些SSD控制器廠商發展了專門針對QLC的LDPC（低密度奇偶校驗）錯誤修正演算法，提高存取錯誤修正能力；另外還結合了動態區塊掃描功能，可視風險程度提高區塊掃描頻率，更頻繁地檢測各區塊的狀況，及早修正有風險的區塊，並更積極、更頻繁地執行Refresh，與替換潛藏問題的區塊。</p> <p><strong>● SSD裝置層級</strong></p> <p>在SSD裝置方面，則能利用模擬SLC模式，與更高的超額容量配置，來改善QLC效能與耐用性。</p> <p>透過SLC模擬模式來改善效能，早在TLC SSD上便已廣獲採用，QLC SSD自然也能跟進採用，例如三星的QLC SSD，便提供了稱作TurboWrite的SLC模擬寫入緩衝技術，Intel的QLC SSD也擁有SLC快取功能。</p> <p>而所謂的SLC模擬模式，是將TLC與QLC SSD的部分空間或全部空間，模擬使用SLC的寫入模式，在每個儲存單元只記錄1個位元的資料，因而存取速度較標準的TLC與QLC模式快了許多，可作為讀取快取與寫入緩衝使用，加速SSD整體的存取效能，讓QLC SSD擁有不亞於TLC SSD的效能表現。</p> <p>而在SSD上採用更高比例的超額容量配置，利用預留更多的備用區塊，作為磨損區塊的替補，可大幅減緩QLC SSD整體的磨損，延長使用壽命。</p> <p>前述改善方式，都已普遍被應用在當前QLC SSD產品上，並取得顯著的成效，相較於5年前問世的第一代QLC SSD，新一代QLC SSD的耐用性提升近一倍——以總寫入資料量（TBW）為基準，存取效能則提高50%以上。</p> <p>但另一方面，這些改進方式也各有其代價，例如，採用增強的ECC演算法、更頻繁的掃描區塊，都會給SSD控制器帶來更高的處理負荷與功耗。模擬SLC模式的快取機制，則會增加特定區域的抹寫損耗（使用部分空間作為SLC快取），或是減損整體的儲存密度（使用全部空間作為SLC快取），需要超額容量配置來彌補。更頻繁的Refresh與預防性搬移資料，會在背景耗用更多資源，影響SSD效能，並需要占用更多額外區塊空間，同樣需要超額容量來抵銷。</p> <p>多數SSD都提供7%的超額容量配置，一些強調寫入應用的企業級SSD甚至提供了20到25%的超額容量配置。然而，超額容量是以成本為代價，越高比例的超額容量配置，成本也越高，如果因此造成QLC SSD成本過高，反而本末倒置，失去導入QLC的初衷。</p> <p>對此，率先將QLC應用於企業級儲存陣列的Pure Storage，認為不應過於依賴超額容量配置來解決QLC的問題，他們表示，透過結合從儲存模組到儲存陣列的一系列管理與控制機制，將能更有效改善QLC的固有弱點。</p> <p><span style="font-size:28px;"><strong>儲存陣列層級的解決方案</strong></span></p> <p>大多數用於克服QLC問題的手段，都是在SSD控制器與SSD裝置層級進行。</p> <p>而儲存陣列廠商則能從儲存陣列系統層級，提供其他的解決方式。</p> <p>例如Pure Storage的快閃儲存陣列QLC解決方案，便利用儲存陣列層級的快取與緩衝，來緩解QLC的問題，例如藉此讀取快取來減緩QLC的讀取干擾，利用緩衝記憶體來幫助改善寫入作業的可靠性，還會藉由將metadata盡可能快取到快取記憶體中，不需要在底層QLC快閃記憶體儲存模組上存取metadata，藉此迴避QLC的效能問題，並減少磨損。</p> <p>除了Pure Storage以外，Dell、StorOne等儲存陣列廠商，在使用QLC時也都採取類似的存取架構，透過儲存陣列層級的緩衝記憶體，來輔助資料寫入作業，藉此避開QLC的寫入效能問題。</p> <p>以往機械式硬碟當道的時代，為了填補硬碟與處理器之間的效能與延遲落差，快取與緩衝記憶體是儲存陣列最關鍵的環節之一，透過優化快取演算法，提高快取命中率，盡可能讓快取來回應讀取負載，而無須到底層硬碟上讀取資料；寫入時則由緩衝記憶體來承接與回應寫入負載，然後在背景將寫入區塊累積成固定的大小，再循序寫入硬碟，藉此不僅能以記憶體等級的速度來回應寫入需求，還能將隨機小區塊寫入，轉為循序大區塊寫入，迴避硬碟不擅長隨機寫入的弱點。</p> <p>到了全快閃儲存時代，由於SSD存取速度遠高於硬碟，快取與緩衝的作用便不像以前那樣顯著，即便快取沒有命中，直接讓讀取負載落入底層SSD，或是不經緩衝記憶體，直接讓寫入負載進入SSD，儲存陣列整體也仍然能擁有足夠高的效能，藉此還能節省讀取快取在昂貴DRAM中的占用量，或是節省更為昂貴、由NVRAM構成的寫入緩衝區。</p> <p>然而隨著快閃儲存進入QLC時代，QLC同樣是延遲較大、且不擅長隨機寫入的儲存媒體，快取與緩衝記憶體的作用，也可望重新抬頭。如果可以妥善利用儲存陣列的快取與緩衝記憶體，將能相當程度地迴避與緩解QLC的弱點。</p> <p>對讀取作業來說，只要快取命中率夠高，大多數讀取負載都將落在快取，前端將能得到快取記憶體等級的讀取回應速度，可減少讀取底層QLC SSD頻率，QLC SSD將不致影響儲存陣列整體的回應速度，同時也減緩讀取干擾問題。</p> <p>而對寫入作業來說，由緩衝記憶體先行承接寫入負載，後續再於背景將寫入I/O實際寫入底層QLC SSD ，只要緩衝記憶體夠大，前端將能得到記憶體層級的寫入效能，同時也迴避QLC SSD的隨機寫入效能弱點。</p> <p>因而我們認為，一些強調高效率快取與緩衝機制的儲存陣列平臺，在QLC時代將大有可為，既可利用QLC降低成本，同時又迴避QLC效能與耐用性問題。藉由這種架構，QLC不僅能用於一般企業環境，高效能領域也不成問題。</p> <p>VAST Data的Universal Storage平臺便是一個例證，同時結合了高效能的儲存級記憶體（SCM），以及低成本的QLC SSD，利用SCM作為存取緩衝與存放metadata，QLC SSD則用於最終的資料儲存。所以儘管VAST Data底層架構是基於QLC SSD，整個平臺卻是定位於高效能運算的儲存應用，打破一般認為QLC不適合高效能應用的刻板印象。</p> <p>不過，也有部分廠商持相反的看法，例如Infinidat與HPE。</p> <p>Infinidat與HPE旗下的Nimble產品線，都以高效率快取機制著稱，Infinidat的神經快取演算法（neural caching）號稱擁有當前市場上最高的快取命中率，寫入快取通常為100％，讀取快取也達到93％至99％；HPE Nimble的快取加速循序布局（CASL）技術，則宣稱只需4%的快取容量比率，就能實現90%快取命中率，8%快取容量比率就能達到近100%快取命中。</p> <p>所以Infinidat與HPE Nimble過往都宣稱，他們只須採用SSD搭配硬碟的混合架構，就能提供同等甚至超過全快閃陣列的效能，絕大多數I/O都落在快取層，不會直接進入底層硬碟。依循相同思路，QLC在Infinidat與HPE Nimble架構中，應該也能得到很好表現。</p> <p>但Infinidat與HPE同樣以QLC還不夠便宜的理由，否定引進QLC的必要，認為維持使用硬碟更具成本效益。</p> <p>不過我們也要注意，Infinidat與HPE發表否定QLC言論時間是2019與2021年，隨著QLC製程的進步，不僅成本終將降低到足以與硬碟相比的程度，儲存密度更將提升到硬碟遠遠無法比擬的層次，單一SSD就擁有100TB容量時代，很快就會到來，屆時這兩家廠商恐怕最終還是必須接受QLC——就像他們過去也曾否定全快閃組態的必要，認為以混合陣列就足以滿足用戶的效能需求，但最終還是抵擋不了市場趨勢，而推出全快閃組態產品。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%BB%E5%9C%961%20%20NAND%20Flash%20Vth_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FAnandTech%20(1).PNG" style="width: 490px;" /></p> <p><span style="color:#3399ff;"><span style="font-size:24px;"><strong>QLC問題的根源：儲存密度與可靠性的兩難</strong></span></span></p> <p><span style="color:#696969;"><strong>SLC是透過2種電壓狀態來表徵1個位元狀態，2種電壓狀態的區間相隔很遠。MLC則使用4種電壓狀態來表徵2個位元狀態，電壓區間被分為更細的4等分，不同狀態的電壓差也縮小許多。TLC又進一步以8種電壓狀態來表徵3個位元狀態，不同狀態的電壓差再度縮小。</strong></span></p> <p><span style="color:#696969;"><strong>到了QLC，電壓狀態增加到16種，用於表徵4個位元狀態，雖然提高資料儲存密度，但各個不同狀態的電壓差也縮到更小，因而讀取與寫入的電壓控制更為困難，對閾值電壓偏移更為敏感，少許電壓偏移，就會干擾到存取正確性，連帶也對儲存單元的氧化層磨損更為敏感，必須大幅限縮儲存單元抹寫次數，來抑制氧化層磨損帶來的閾值電壓偏移幅度。</strong><span style="font-size:14px;">圖片來源／AnandTech</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1139-%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%872-600-1(1).png" style="width: 581px;" /></p> <p><span style="color:#3399ff;"><span style="font-size:24px;"><strong>QLC的效能與耐用性對比</strong></span></span></p> <p><span style="color:#696969;"><strong>較大的寫入延遲，以及更低的耐用性，是QLC為人詬病的2大缺陷。</strong></span></p> <p><span style="color:#696969;"><strong>目前主流的TLC快閃記憶體，寫入延遲與耐用性雖然低於MLC，但差距只有2、3倍。而QLC的延遲與耐用性，卻又比TLC更低了好幾個層次，寫入延遲大了5到10倍，耐用性則只有TLC的1/3。</strong><span style="font-size:14px;">資料來源：Pure Storage，iThome整理</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%BB%E5%9C%962%20QLCF%20lash%20Problem_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FPure%20Storage.png" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><span style="font-size:24px;"><strong>QLC的讀取問題</strong></span></span></p> <p><span style="color:#696969;"><strong>更困難的資料讀取過程，是影響QLC效能的原因之一。根據這張Pure Storage提供的圖表顯示，QLC的原始位元錯誤率（RBER）明顯比TLC更高，抹寫磨損後的閾值電壓偏移也更大，這意味著QLC的讀取更不可靠，需要強度更高的ECC機制來修正錯誤。</strong><span style="font-size:14px;">圖片來源／Pure Storage</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%BB%E5%9C%963%20VAST-Fabric_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FVAST%20Data.png" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><span style="font-size:24px;"><strong>透過快取與緩衝緩解QLC效能問題</strong></span></span></p> <p><span style="color:#696969;"><strong>在儲存陣列層級，若能妥善利用快取與緩衝記憶體作為讀寫負載的中介，將能相當程度迴避與緩解QLC的弱點。VAST Data的架構便是典型，利用SCM作為存取緩衝與存放metadata，QLC SSD則用於最終的資料儲存，利用SCM來提高效能，並搭配QLC來降低儲存成本。</strong><span style="font-size:14px;">圖片來源／VAST Data</span></span></p> <p><span style="font-size:36px;"><span style="color:#B22222;"><strong>NAND快閃記憶體的基本運作</strong></span></span></p> <p><strong>NAND快閃記憶體的基本儲存單元（Cell），是由浮動閘（floating gate）、控制閘（Control gate），上下包夾住浮動閘的氧化層（Oxide Layer），加上源極（Source）與汲極（Drain），以及底層矽基板組成的電晶體（transistor），其中，控制閘與浮動閘連接著字元線（Word-Line），源極則透過位元線（Bit-Line）與鄰接儲存單元的汲極連通。</strong></p> <p><strong>而不同儲存單元再藉由字元線與位元線的連通，構成一個矩陣的結構。同一條字元線串聯多個儲存單元組成分頁（Page），這是讀取與寫入作業的基本單位；多個分頁再組成區塊（Block），這是抹除作業（Erase）的基本單位。</strong></p> <p><strong>而透過字元線與位元線來控制施加給儲存單元的電壓，便能讓儲存單元進行寫入、讀取與抹除等3項存取作業。</strong></p> <p><strong>向儲存單元寫入資料的動作稱為編程（Programming），藉由控制閘施加電壓，將電荷（electrical charge）從底層矽基板吸入浮動閘，浮動閘則藉由捕獲與蓄積電荷，來改變儲存單元的閾值電壓（Threshold voltage，Vt）。</strong></p> <p><strong>控制閘施加的不同電壓，會影響穿過氧化層、進入浮動閘內的電荷數量，進而讓儲存單元擁有不同的閾值電壓，代表儲存單元的位元狀態。</strong></p> <p><strong>而要讀取儲存單元中的資料時，則藉由控制閘施加不同的參考電壓，來量測源極與汲極間的電流，從而判斷浮動閘內蓄積的電荷量，從而判讀出儲存單元的位元狀態。</strong></p> <p><strong>而要抹除儲存單元中的資料時，則是向源極施加電壓，將浮動閘內的電荷吸出、穿過氧化層，排放到底層矽基板中。</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1139-%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%872-600-2.png" style="width: 586px;" /></p> <p><span style="color:#3399ff;"><span style="font-size:24px;"><strong>NAND快閃記憶體儲存單元基本構造與運作</strong></span></span></p> <p><span style="color:#696969;"><strong>利用浮動閘（Floating Gate）內保存的電荷來紀錄資料，並透過在控制閘（Control Gate）與源極（Source）施加電壓，來控制電荷在浮動閘與矽基板（P-substrate）間的流動與進出，從而達到寫入、抹除與讀取資料的目的。上下包覆住浮動閘的氧化層（Oxide Layer），則能將電荷拘束在浮動閘中，防止電荷逸散出去。</strong></span></p> <p><span style="color:#696969;"><strong>快閃記憶體的資料寫入作業，就是將電荷從矽基板吸入到浮動閘，抹除作業則是將電荷從浮動閘中排出，而讀取作業則是藉由量測浮動閘內保存的電荷數量，來判定資料位元狀態。</strong><span style="font-size:14px;">圖片來源／Western Digital</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%BB%E5%9C%965_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%9AWestern%20Digital.png" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><span style="font-size:24px;"><strong>NAND快閃記憶體分頁與區塊組成</strong></span></span></p> <p><span style="color:#696969;"><strong>NAND快閃記憶體是以儲存單元（Cell）作為基本組成單元，然後多個儲存單元再透過字元線（Word-Line）與位元線(Bit-Line)，彼此串聯成為矩陣結構。</strong></span></p> <p><span style="color:#696969;"><strong>以左圖為例，4個4K的儲存單元，利用字元線串聯成一個16K的分頁（Page），這NAND是快閃記憶體執行資料讀取與寫入作業的基本單位。</strong></span></p> <p><span style="color:#696969;"><strong>然後，以256個分頁再組成1個4096K的區塊（Block），這是NAND快閃記體執行資料抹除作業的基本單位。</strong><span style="font-size:14px;">圖片來源／Western Digital</span></span></p> <p><span style="font-size:36px;"><span style="color:#B22222;"><strong>Pure Storage的QLC解決方案</strong></span></span></p> <p><strong>在2020年Storage Field Day 20研討會影片中，我們看到Pure Storage的工程副總裁暨首席硬體架構師Pete Kirkpatrick，介紹該公司基於QLC的儲存陣列產品FlashArray//C系列時，也說明了該公司解決QLC問題的一系列方法。</strong></p> <p><strong>記憶體製造商與SSD廠商，是在快閃記憶體製程、SSD控制器與SSD裝置層級，來設法改善QLC的弱點。儲存陣列廠商則是從儲存系統層級，來著手緩解QLC的問題。</strong></p> <p><strong>而Pure Storage則同時結合了從快閃儲存模組到儲存陣列層級的一系列手段，來克服QLC的先天缺陷。</strong></p> <p><strong>首先，Pure Storage並不採用一般的SSD，而是採用該公司特製的DFM儲存模組，並沒有一般SSD所普遍內建的FTL層，由儲存陣列控制器運行的Purity儲存作業系統，直接控制DFM模組上的快閃記憶體單元，並執行原本由FTL層負責的空間映射、錯誤校正、寫入均衡等背景管理功能。</strong></p> <p><strong>Pure Storage宣稱透過專門設計的DFM模組，既可降低延遲、提高效能，由於DFM不執行垃圾收集作業，也能大幅減少寫入放大，而有助於提升QLC的耐用性與效能表現。</strong></p> <p><strong>其次，針對QLC面臨的讀取可靠性、讀取干擾、資料保存、寫入可靠性等問題，Pure Storage採取了下列因應措施：</strong></p> <p><span style="color:#8B4513;"><strong>● 改善讀取正確性的讀取最佳化</strong></span></p> <p><strong>為了因應QLC更嚴重的閾值電壓偏移，儲存狀態更大的變化、更高的原始位元錯誤率（Raw Bit Error Rate，RBER），導致讀取困難的問題，Pure Storage採用更深、更廣的存取特性描述（Deep/wide characterization），結合適應性調整（adaptive tuning）技術，以及軟體式LDPC解碼，來改善QLC的讀取效率。</strong></p> <p><strong>Pete Kirkpatrick當時並沒有進一步解釋這些技術的運作方式，依據我們的推測，應該是藉由更深、更廣的存取特性描述，搭配適應性調整技術，來收集更多的存取狀態資訊，從而計算出最佳的讀取電壓，可因應QLC更嚴重的閾值電壓偏移，提高讀取成功的機率，減少反覆讀取嘗試導致的延遲。</strong></p> <p><strong>至於由儲存陣列控制器執行的軟體LDPC，則是Pure Storage慣用的做法，雖然速度較慢，但可以獲取更多的存取狀態資訊，更仔細、更有效的糾正讀取錯誤，提高讀取成功的機率。</strong></p> <p><span style="color:#8B4513;"><strong>● 減緩讀取干擾</strong></span></p> <p><strong>透過專門針對讀取干擾問題而設計的快取機制，盡可能從快取讀取資料，減少讀取底層QLC快閃記憶體的次數，從而減緩讀取干擾的發生。</strong></p> <p><span style="color:#8B4513;"><strong>● 改善資料保持壽命</strong></span></p> <p><strong>Pure Storage的基本原則是盡可能減少磨損，並將資料搬移卸載到儲存模組層級。</strong></p> <p><span style="color:#8B4513;"><strong>● 多重寫入</strong></span></p> <p><strong>針對QLC更不可靠的寫入機制，Pure Storage採用搭配緩衝區的多重寫入程序（Multi-pass programming），確保資料被正確的寫入底層QLC。</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%BB%E5%9C%966%20Pure%20QLC%20Solve_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FPure%20Storage.png" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><span style="font-size:24px;"><strong>Pure Storage的QLC解決方案</strong></span></span></p> <p><span style="color:#696969;"><strong>Pure Storage採用了4種方法，提升QLC的效能與可靠性，包括：改善讀取正確性的讀取最佳化，緩解讀取干擾的快取機制，提高資料保存期的減緩磨損與資料搬移損耗技術，還有改進寫入正確性的多重寫入技術。</strong><span style="font-size:14px;">圖片來源／Pure Storage</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%BB%E5%9C%967%20DFM_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%9APure%20Storage.png" style="width: 600px;" /></p> <p><span style="font-size:24px;"><span style="color:#3399ff;"><strong>基於專屬DFM模組的QLC應用架構</strong></span></span></p> <p><span style="color:#696969;"><strong>在FlashArray//C儲存陣列上，Pure Storage結合從儲存模組到儲存陣列的一系列手段，以此來克服QLC快閃記憶體面臨的各種先天限制。最特別的是，他們在自家的產品當中，使用了沒有FTL層的專屬DFM儲存模組，由儲存陣列控制器運行的Purity作業系統，直接控制DFM模組上的快閃記憶體存取。</strong><span style="font-size:14px;">圖片來源／Pure Storage</span></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/qlc">QLC</a></div><div class="field-item odd"><a href="/tags/qlc%E5%BF%AB%E9%96%83%E8%A8%98%E6%86%B6%E9%AB%94">QLC快閃記憶體</a></div><div class="field-item even"><a href="/tags/qlc%E5%84%B2%E5%AD%98%E9%99%A3%E5%88%97">QLC儲存陣列</a></div></div></div>
2023/7/21 12:00作者張明德https://www.ithome.com.tw/tech/157852
損有餘而補不足
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這期iThome電腦報週刊的封面故事主角是QLC NAND快閃記憶體，為何挑中這個主題來報導？原因是今年我們陸續看到更多此類技術受到更普遍應用的現象，技術主筆張明德費了好大一番功夫，針對企業級儲存裝置與儲存產品供應商，整理出他們陸續推出、採納或支援QLC的時間表，橫跨5年之久，方便大家了解先後順序與相關的產品對應，同時，也聚焦在10家廠商，細部介紹他們採用狀況。</p> <p>為了方便大家更深入了解當中的技術變革意義，封面故事的後半段也深入描述QLC的特性，不僅談到面臨的挑戰，以及廠商們如何突破、克服先天限制，找到應用的出路，從而形成可大量建置的儲存解決方案。</p> <p>回顧過去，我們看待QLC的發展，態度其實很保留，因為幾乎所有人都認為它有許多技術層面的關卡需要克服，而且，多數廠商對於這類儲存媒介的發展與採用，也相當謹慎，因為他們雖然很看好它能在每個單元記錄更多資料而能帶來成本優勢，但遲遲不敢貿然將其放在支撐關鍵儲存應用的位置。</p> <p>直到幾年前，我們看到一些企業級儲存系統廠商，如Pure Storage、NetApp，決定將QLC用於入門級全快閃儲存陣列，並且以取代純硬碟或混合傳統硬碟與固態硬碟的大容量儲存陣列產品，作為主要訴求；這段期間，也有一些新創儲存系統廠商，如VAST Data、StorOne，則是採用儲存級記憶體（SCM）與QLC固態儲存的混合架構，推出儲存陣列產品。在這之後，又有更多廠商加入採用QLC行列，像是IBM、Dell、Weka、DDN、Scality，紛紛推出搭配QLC固態儲存的選項、機型，甚至增設系列機型或提供新一代模組。由此可見，有越來越多儲存系統廠商，對QLC的使用抱持著認可、接受的態度，相對而言，我們也相信這麼多廠商絕不會自找麻煩，應該都經過審慎評估，而認為採用QLC有利可圖。</p> <p>而在本期封面故事的後半部分，也提供從系統面檢視這項儲存技術發展的思維。因為我們不僅從中看到這項技術存在著先天的挑戰，也注意到業界的持續努力，因此，從製程、控制器、SSD裝置，一直到儲存系統層級，陸續出現了精彩的解法，也讓人得以用更寬廣的方式來看待技術的推陳出新。事實上，先天限制並非總是無藥可解，而從後天的角度，仍有辦法進行持續改良，另外，大家也能改變使用的模式，而能避開不足與弱點，進而發揮其應有的優勢。</p> <p>其實這樣的歷程，也曾發生在其他IT技術變革上，現今我們行之有年的各種系統平臺，在進入市場的初期，也曾面臨種種不可靠、難以承擔重任的質疑，然而，如今卻成為承擔企業與組織關鍵應用的重要基石。</p> <p>以近期而言，伺服器虛擬化技術就是一個非常經典的例子。一開始出現時，大家只敢將它用在非核心應用的系統，而隨著廠商的不斷改良，它成長為可同時承擔多種關鍵應用系統的平臺，躍升為開放系統架構推倒大型主機的最終關鍵，而後又陸續開啟雲端服務、容器化、微服務，以致雲端原生這一系列IT基礎架構轉型。</p> <p>而在伺服器虛擬化普及之前，x86個人電腦、開放原始碼軟體、Linux、網站系統，過去也經歷難當重任的質疑，然而其開放的特性，吸引無數人投入，後續成為支撐IT發展的要角。試想如果所有人都緊抓著「可靠性至上」的考量，而不願給予新技術發展的空間的機會，現在的IT、數位化應用，恐怕不易發展成現在這樣百花齊放的局面。基於這樣的經驗，我們在謹守工作本分與專業之餘，也要意識到技術時時刻刻都在進步，不要輕忽新出現的議題與觀念，也不要忘記我們如何從過去走到現在，新與舊之間，並非只有彼此對立與取代，而是存在著累積與合作的可能性，我們要多多了解與溝通，才能發揮各自所擅長的部分，避開先天的局限。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/qlc-nand%E5%BF%AB%E9%96%83%E8%A8%98%E6%86%B6%E9%AB%94">QLC NAND快閃記憶體</a></div><div class="field-item odd"><a href="/tags/qlc">QLC</a></div></div></div>
2023/7/21 12:00作者李宗翰https://www.ithome.com.tw/voice/157864
QLC快閃記憶體全面進軍企業儲存
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1139-feng_mian_gu_shi_-1_open-ming_de_-960x420_kao_bei_.jpg?itok=Eg5jdsf3" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>基於QLC快閃記憶體的SSD上市已有5年時間，隨著製程與相關技術的進步，逐漸擺脫效能與耐用性不堪長期使用的疑慮，並憑藉低成本與高密度的優勢，迅速進入企業儲存領域，在這2年來開始成為企業級儲存陣列快閃記憶體應用的主要類型之一</p> </div></div></div>
2023/7/21 12:00作者張明德https://www.ithome.com.tw/article/157866
GitHub Copilot Chat開放企業測試
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.blog/2023-07-20-github-copilot-chat-beta-now-available-for-every-organization/" target="_blank">GitHub昨（20）日宣布</a>以GPT-4為基礎的程式開發輔助聊天機器人Copilot Chat，正式開放GitHub Copilot for Business的企業用戶測試。</p> <p>Copilot Chat是包含在<a href="https://www.ithome.com.tw/news/156070" target="_blank">今年3月GitHub發表的Copilot X</a>開發輔助工具的一環。GitHub Copilot X是GitHub Copilot的升級版，在整個開發環境中整合最新的大型語言模型GPT-4，最大特色是加入Copilot Chat的聊天介面及語音寫程式能力，以及更強化的程式開發輔助。</p> <p>最新宣布則是將Copilot X推向企業，提供GitHub Copilot for Business用戶測試以Copilot Chat用Visual Studio及VS Code撰寫程式。GitHub表示這讓Copilot IDE具備情境感知能力的對話助理，開發人員以自然語言輸入提示即可執行困難的開發或除錯工作，進而縮短程式上線的時程。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0721-GitHub%20Copilot%20Chat%20in%20Visual%20Studio%202022-3.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_GitHub</span></span></p> <p>GitHub 強調Copilot Chat並非單純的聊天視窗而已，它會隨時察覺開發人員輸入的程式碼，或顯示什麼錯誤訊息。和一般通用式生成式AI助理不同，Copilot Chat是整合在IDE中，專為開發人員設計的效率提升工具。它的主要功能之一是個人化助理：不論工程師卡在某段程式碼上，或特定編程概念需要指引，Copilot Chat都可以立即協助。其次是即時指引，能在撰寫程式即時建議該種程式的最佳實作、祕訣或解決方案。Copilot Chat還能掃瞄安全性，並提供修補建議、減少漏洞。此外，若不知道某段程式碼的作用，Copilot Chat也會提供程式碼分解說明、解釋其用途。Copilot Chat也能用於除錯，找出問題所在並提供解釋和建議。</p> <p>要測試這項新功能，GitHub Copilot for Business管理員可在「政策」頁選擇「Copilot」。他可以選擇允許或關閉員工的Copilot Chat使用權，或選擇「無政策（No policy）」將決定權交給部門管理員。</p> </div></div></div>
2023/7/21 12:13作者林妍溱https://www.ithome.com.tw/news/157893
ChatGPT推出可客製化的指令，先供付費用戶試用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/blog/custom-instructions-for-chatgpt" target="_blank">OpenAI昨（20）日宣布可客製化的ChatGPT指令功能</a>，讓AI助理能記住用戶的偏好，提供更個人化的建議或內容，並節省未來與之互動的時間。這項功能目前針對ChatGPT Plus用戶提供beta測試，未來幾個星期會推向所有用戶。</p> <p>因應隱私法限制，這項功能暫時不會在英國和歐盟地區上線。</p> <p>OpenAI表示，客製化指令經過參酌22個國家用戶的意見，該公司強化使其模型進一步反映不同用戶的環境及獨特需求的結果。這新功能是以外掛呈現，允許用戶在與ChatGPT對話時，輸入獨特偏好或要求，ChatGPT在產生回應時，即會呼叫外掛以加入用戶輸入的內容，以提供更符合需要的輸出結果，用戶未來也不必再下同樣的條件。</p> <p><a href="https://help.openai.com/en/articles/8096356-custom-instructions-for-chatgpt" target="_blank">根據OpenAI網站</a>，ChatGPT客製化指令像是：「What would you like ChatGPT to know about you to provide better responses?（你希望ChatGPT記住你哪一點，以便能提供更好的回應）」及「How would you like ChatGPT to respond?（你希望ChatGPT如何回應）」。</p> <p>例如針對第1個問題，一名老師準備教學計畫時，他可以說明自己是小學3年級自然科學老師，針對第2個問題，可要求ChatGPT建議教學主題、並以表格列出優、缺點協助決策。開發人員可說明自己只用Golang不用Python，並且要求ChatGPT以後提供程式碼時，選擇最有效率的方案，且不用解釋程式碼如何運作。消費者可說明自己是家庭主婦，有4個小孩，住在北卡羅萊納州，並且指定ChatGPT建議食譜時，都要提供6人份且容易再增量的餐點。</p> <p>客製化指令需用戶自行啟用。在iOS App上，需到帳號設定頁，啟用「客製化指令」。Web版則是點入用戶名稱>「客製化指令」>在上述2個欄位輸入需要的內容>按「儲存」。Web版的關閉方式是到chat.openai.com移除2個欄位的內容再儲存，以關閉對話偏好。</p> <p>OpenAI強調目前這功能只是beta版，ChatGPT有時可能理解錯誤、指令不產生作用、或產生不是用戶要的輸出內容。而為了安全考量，對於違反OpenAI使用政策的指令，ChatGPT的Moderation API可能不會儲存，或甚至拒絕不執行。</p> <p>此外，OpenAI還是會使用用戶的客製化指令來訓練其模型，會前先移除某些可辨識個人身份的資訊，用戶若有疑慮，<a href="https://help.openai.com/en/articles/7730893-data-controls-faq" target="_blank">也可以透過資料控制項關閉這項運作</a>。</p> </div></div></div>
2023/7/21 12:32作者林妍溱https://www.ithome.com.tw/news/157894
AMD更新資料中心產品布局，最高128核心EPYC處理器搶攻高密度雲原生需求，新款GPU攻生成式AI市場（上）
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【舊金山現場直擊】今年6月ISC 2023國際超級電腦大會，全球最新的500大超級電腦排名剛剛熱騰騰出爐，採用AMD產品上榜的超級電腦共有121個。連續3屆位居全球超級電腦第1的美國橡樹嶺國家實驗室旗下超級電腦Frontier，採用AMD EPYC處理器、Instinct加速器，以超過Exaflops效能領先其他對手。</p> <p>緊接在超級電腦大會之後不久，AMD揭露了資料中心及AI一系列的新產品，展現對資料中心市場的最新布局。首先，在第4代EPYC處理器方面擴大產品線，特別針對雲原生需求，發表代號為Bergamo的EPYC處理器，一舉將現有代號為Genoa的第4代EPYC處理器核心數從96核心、192執行緒，提高至128核心、256執行緒，處理器核心、執行緒數量增加，滿足需要更高密度的雲原生應用需求。</p> <p>相較於Bergamo鎖定雲原生，另一個第4代EPYC處理器生力軍則是Genoa-X，定位為資料中心流體力學、產品設計、工程模擬等技術型運算需求，支援3D V-Cache技術，最多擁有1.1GB的L3快取記憶體，相容於SP5插槽。緊接在後，2023年下半年還會推出同為第4代EPYC處理器的Siena，專門鎖定電信及邊緣運算需要。</p> <p>去年AMD推出第4代EPYC處理器，作為第3代處理器的接班人，首批搶先登場的第4代EPYC處理器為Genoa產品線，今年則一口氣增加了鎖定雲原生的Bergamo、技術運算的Genoa-X及電信邊緣運算的Siena，讓這批進攻資料中心的第4代EPYC大軍，產品陣容更為完整。不論是Genoa、Bergamo、Genoa-X或是Siena，這些第4代EPYC處理器皆相容於目前EPYC 9004系列插槽，可無縫升級。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/position-600.jpg" style="width: 600px; height: 332px;" /></p> <p>事實上，CPU僅是AMD整個資料中心拼圖中的一塊，AMD看到CPU以外更大的商機，以500億美元大手筆買下Xilinx，取得的FPGA處理器相關技術，為其增添在資料中心市場的競爭籌碼。2022年，AMD再以19億美元買下Pensando，取得DPU相關技術。</p> <p>現在，除了CPU，AMD也針對資料中心內各種工作負載優化，提供對應的運算產品，例如在資料中心協助卸載CPU工作的DPU方面，AMD推出新的P4 DPU，減輕CPU虛擬化的工作負載，並推出Pensando SmartNIC。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD-workload.jpg" style="width: 600px; height: 331px;" /></p> <p>隨著生成式AI帶動更多AI應用需求，針對資料中心興起的AI加速運算，AMD先前已推出GPU加速器Instinct 200系列，今年Instinct加速器推出Instinct MI300系列，包含採用APU設計的MI300A，定位為HPC及AI加速運算，還有更進階的MI300X，強調為生成式AI設計，以更大容量的記憶體，支援最高400億個參數的大型語言模型。</p> <p><strong><span style="color:#B22222;">最高128核心第4代EPYC處理器問世</span></strong></p> <p>去年AMD推出第4代EPYC處理器首批產品Genoa，採用Zen 4微架構、5奈米製程，包含900億顆電晶體，產品型號為9004系列，內建CPU核心數從16個核心到最高的96核心，L3快取記憶體從64MB到384MB，並有不同的熱功耗設計，在整個第4代EPYC處理器家族中定位在通用計算需求的Genoa，共推出18款產品，以滿足不同的處理器規格需求，例如追求大量工作負載處理的多核心，或是追求處理器及I/O間的平衡、成本最佳化等等。</p> <p>Genoa能夠推出這麼多款規格，在於將CPU核心、I/O拆分為不同的模組，CPU核心模組稱為CCD（Core Complex Die），每個處理器有12個CCD，每個CCD內有8個核心，以此達到最多96個核心，至於I/O模組（I/O Die）則是整合外部晶片組的I/O控制功能，內建12個 DDR5 記憶體控制器、SATA控制器、PCIe Gen5控制器、Infinity Fabric控制器、CXL控制器等。</p> <p>這樣的設計也在Bergamo身上，同樣採用5奈米製程，相較於Genoa的Zen 4架構，Bergamo為Zen 4c架構，處理器面積要比Genoa更小35%，共有820億電晶體，在CCD及CPU核心數量上，Bergamo雖然只有8個CCD，但每個CCD擁有的CPU核心數增至16核心，因此最多可達到128個核心。至於I/O模組則和Genoa一樣採用6奈米製程。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/bergamo.jpg" style="width: 600px; height: 333px;" /></p> <p>Bergamo追求更高核心數密度，共推出3款型號，包括9734、9754S、9754，除了9734為112個核心、224執行緒，9754S與9754都是128個核心，不同的是，9754S關閉SMT功能，且只有128執行緒規格，而9754則擁有256個執行緒。TDP方面，9734的320瓦設計，而9754S與9754則是360瓦，3款型號L3快取都是256MB。</p> <p>以Zen 4和Zen 4c架構對比，Zen 4每個CPU核心有4MB的L3快取記憶體，但是在Zen 4c部分，每核心的L3快取降至2MB。這是因為在雲端運算中，AMD認為對雲原生應用的優化，更重於L3快取記憶體大小。</p> <p>在舊金山發表會上，AMD執行長蘇姿丰形容Bergamo使用的Zen 4c是Genoa的Zen 4加強版，當初設計Zen 4時，以每核心的最高效能進行優化，Zen 4c則是針對性能與功率平衡點作優化，達到更高的密度、能源效率。為此，AMD還重新設計Bergamo的L3快取記憶體，將每個CCD內的CPU核心提高為Genoa的2倍。</p> <p>AMD以Bergamo中的128個核心第4代EPYC 9754，來和60核心的英特爾第4代Xeon 8490H相比，在網站前端、記憶體內分析，或是繁重的交易工作負載。AMD宣稱，Bergamo在各種雲原生應用中，比這款CPU高出2.6倍效能。以每臺伺服器的容器密度來看，也可以提高到2.1倍，而在執行Java工作負載的每瓦效率則有2倍。Bergamo現在已開始針對超大型資料中心業者開始供貨。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD-Stage.jpg" style="width: 600px; height: 307px;" /></p> <p>即使和同樣擁有128個核心，但採用Arm架構的Ampere Altra Max M128-30,128c處理器相比，AMD稱在每系統瓦特的效能方面，EPYC 9754也高出2.7倍，降低伺服器能源成本。</p> <p>若以NGINX每秒傳送3.75億筆請求的相同的條件，AMD比較Ampere與EPYC 9754所需的1P伺服器數量，採用Ampere處理器需要65臺伺服器，而採用EPYC 9754僅需29臺伺服器，減少55%的伺服器數量，一年累計能耗可降低最多39%。相同的處理器換成2P伺服器，採用Ampere處理器需要43臺伺服器，採用EPYC 9754需要18臺伺服器，減少58%伺服器數量，一年累計能耗預期減少最多39%。</p> <p>新推出的Bergamo和現有的Genoa，不論是軟體、插槽的相容性均為百分百。目前支援第4代EPYC處理器9004系列的作業環境，包括作業系統Ubuntu 22.04及SUSE Linux Enterprise 15 SP4，VMware也已在官網公告支援。</p> <p>至於鎖定HPC高效能運算的新成員Genoa-X，採用Zen 4架構，搭配高效能核心，支援第二代3D V-Cache技術，L3快取記憶體最多到1,152MB；Genoa-X共有3款型號，包括9184X、9384X、9684X，16核心到最高96核心、192執行緒，TDP分為320瓦及400瓦。</p> <p><span style="color:#B22222;"><strong>超多核心處理器支援更多雲原生應用、改善穩定性</strong></span></p> <p>英特爾也不落人後，除了2024年將推出採用Intel 3製程節點，內含P-Core效能核心的Granite Rapids處理器，在同一年也會推出採用Intel 3製程節點，但採用E-Core效率核心的Sierra Forest，最多擁有144個核心，強調專為超大規模資料中心所設計，為雲端運算工作負載最佳化核心，有更高的密度及每瓦效能效率表現。</p> <p>如下圖所示，英特爾預計在2024年推出Sierra Forest，根據先前的資料，最高擁有144個E-Core效率核心：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel-roadmap.jpg" style="width: 600px; height: 400px;" /></p> <p>兩大X86處理器業者推進資料中心CPU往更多核心發展，進入破百核心競爭，順應愈來愈多的雲原生應用發展。</p> <p>特別是隨著DevOps越來越普及，開發者可以快速開發、部署新功能，針對不同的應用、功能進行優化。這種快速開發維運的概念，對運算資源的運用也帶來很大的影響。</p> <p>傳統做法上，大型應用部署在實體伺服器上執行，隨著虛擬化技術的成熟，伺服器運算資源可以進行分割，另一方面，單一大型應用也習慣分拆為多個小應用，這些分割的運算資源被用來執行小應用，以提高資源使用效率及彈性，隨後進入容器化時代後，可以更細緻的切分運算資源，來以執行多個小型應用或拆分的微服務，甚至是將複雜功能拆分數百個或數千個各別執行的小功能。</p> <p>因此，從傳統向現代化的雲原生應用發展，應用愈多，密度也愈來愈高。因此，AMD認為，鎖定雲原生應用計算優化的處理器特性，要具有相容於X86 ISA、高效能核心、最高的核心數量及密度、廣泛的軟體生態相容性。</p> <p>從企業IT維運管理來看，處理器朝超多核心發展，有助於提高資料中心的使用效率，由於資料中心空間有限，運算需求增加，過去處理器核心數有限時，企業大多透過增加伺服器的數量，以多臺伺服器增加運算的核心資源，但也衍生出大量伺服器管理、能耗等問題。</p> <p>處理器內建更多核心數，例如一臺採用128核心的1P伺服器，相當於4臺採用32核心的1P伺服器總核心數，或是8臺採用16核心的1P伺服器總核心數，節省伺服器數量，有效的利用資料中心的空間，相較於管理多臺伺服器，單一伺服器在管理上相對簡化不少。</p> <p>更多的CPU核心數，對企業而言，能夠執行更多的應用，或是在原本的應用數量下，提升關鍵應用執行時的穩定度。例如採用微服務架構，可能執行數百、上千個微服務，較少的處理器核心數，每個核心可能以分時執行好幾個微服務，當一個核心發生問題，就可能影響多個微服務，或是當一個微服務當機，可能會影響到共用核心的其他多個微服務。</p> <p>當CPU核心數增加，微服務有機會被分配單一核心執行，或減少共用的情形，當單一核心發生問題時，不致影響其他微服務，或某個微服務當機，減少影響共用核心的其他微服務。換言之，處理器有更多核心數，在現代化IT架構中，支援企業雲原生運算需求的擴充，為企業採用新的超多核心處理器帶來更大的誘因。</p> <p>但是，除了破百核心滿足企業的需求，支援記憶體容量也需要大幅提升，例如每個容器分配的記憶體有限，影響每個容器可使用的資料量，當遇到需要大量記憶體才能執行的應用，可能出現分配到的記憶體不敷應用所需的問題。</p> <p> </p> <p><a href="https://www.ithome.com.tw/news/157891" target="_blank"><span style="color:#0000FF;">AMD更新資料中心產品布局，最高128核心EPYC處理器搶攻高密度雲原生需求，新款GPU攻生成式AI市場（下）</span></a></p> <p> </p> </div></div></div>
2023/7/21 12:33作者蘇文彬https://www.ithome.com.tw/news/157829
AMD更新資料中心產品布局，最高128核心EPYC處理器搶攻高密度雲原生需求，新款GPU攻生成式AI市場（下）
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/157829" target="_blank"><span style="color:#0000FF;">AMD更新資料中心產品布局，最高128核心EPYC處理器搶攻高密度雲原生需求，新款GPU攻生成式AI市場（上）</span></a></p> <p>【舊金山現場直擊】隨著AI應用興起，AI或機器學習模型在資料中心訓練、推論需求增加，以及ChatGPT生成式AI更帶動新的AI浪潮，背後需要大量的運算資料，提高資料中心內的AI加速運算。</p> <p>Nvidia在HPC高效能運算、AI運算耕耘已久，看準生成式AI運算市場，今年稍早發表生成式AI運算引擎DGX GH200，採用Grace Hopper加速卡。</p> <p>外界也期待AMD如何端出牛肉與其競爭AI市場。6月在美國舊金山發表會中，AMD執行長蘇姿丰指出，全球資料中心AI加速運算規模還只是開始，市場商機仍在成長之中，她相信資料中心的AI加速運算總規模，將從現在300億美元，成長到2027年超過1500億美元。</p> <p>AMD在AI的3大策略，首先是旗下高效能CPU、GPU產品，從資料中心、邊緣運算到智慧終端裝置具備AI訓練或推論的能力，其次是結合開源、經驗證的軟體平臺，讓硬體更容易被部署及使用，最後是和AI產業的夥伴的合作及共同創新，來深化生態系發展。</p> <p>在產品部分，AMD正式發表了新的資料中心GPU產品Instinct MI300系列，和前一代採用CDNA 2 GPU架構的Insinct MI200系列不同，MI300系列採用CDNA 3架構，包括APU架構的MI300A，另一款MI300X強調專為生成式AI設計，頗有和Nvidia互別苗頭的意味。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD-3.jpg" style="width: 600px; height: 321px;" /></p> <p>在新的MI300系列中，MI300A為AMD首款資料中心APU，過去AMD在PC個人運算導入APU已有好幾年時間，MI300A將APU帶到資料中心市場，MI300A內含1,400億電晶體，鎖定AI及HPC運算，支援第4代AMD Infinity 3D封裝技術，包括24個Zen 4 CPU核心，混合GPU核心。</p> <p>MI300A支援128GB的HBM3記憶體，在效能表現上，比先前的Instinct MI250提升8倍的效能，在能源效率方面也提升5倍。MI300A已開始送樣。德國Max Planck Society計畫打造的超級電腦Atos，已準備採用第4代EPYC處理器及MI300加速器，應用在天文物理、AI、生命科學、材料等研究。</p> <p>MI300X同樣為CDNA 3 GPU架構，針對LLM大型語言模型、生成式AI計算所需要的更高計算能力、記憶體資料吞吐效率，MI300X最高可支援192GB HBM3記憶體，記憶體頻寬可達每秒5.2TB，若搭配AMD Infinity fabric，記憶體頻寬可達每秒896GB，更大的記憶體容量、更高記憶體頻寬，使得MI300X得以支援大型語言模型。MI300X預計在第3季送樣。</p> <p>AMD也現場展示400億個參數的Falcon-40B，能夠安裝在一個MI300X加速器的系統中執行，蘇姿丰表示，MI300X最高可支援800億個參數的LLM。同時，她也不忘拿競爭對手作比較，以MI300X和Nvidia H100相比，MI300X在HBM密度上高於對手1.4倍，記憶體頻寬則是1.6倍。更大容量的記憶體、更高的記憶體頻寬，意謂執行LLM推論需要更少的GPU，降低生成式AI加速的TCO成本。此外，透過AMD Infinity連接8個MI300X組成Instinct平臺，支援1.5TB的HBM 3記憶體，打造更大的生成式AI訓練及推論環境。</p> <p><span style="color: rgb(178, 34, 34);"><strong>推廣AI軟體平臺以拉攏更多AI、HPC社群</strong></span></p> <p>在資料中心興起的AI運算方面，光有運算硬體還不夠，AMD也提供軟體平臺，強調開放、經過驗證、可立即使用的特色，希望能吸引更多的AI、HPC社群應用，逐漸壯大AMD在AI、HPC市場的生態發展，趕上Nvidia。</p> <p>AMD在AI的戰略是，在各種裝置上提供AI運算功能，從資料中心CPU與GPU、邊緣運算到智慧終端裝置使用的CPU與GPU，搭配各種軟體平臺，包括EPYC處理器搭配的ZenDNN，Instinct加速器搭配的ROCm軟體平臺，邊緣及終端運算裝置的Vitis AI。</p> <p>其中針對AMD Instinct加速器提供的ROCm軟體平臺，目前已推出第5代ROCm軟體平臺，近期宣布和PyTorch基金會合作，目前AMD Instinct加速器與ROCm 5.4.2版本已支援PyTorch 2.0，提供Day-0支援。</p> <p>日前更釋出ROCm 5.6版，增加PyTorch 2.0模式下對OpenAI Triton的支援。另外，還對PyTorch、TensorFlow和JAX提供OpenXLA支援，支援更廣泛的AI社群。讓PyTorch社群使用AMD加速器，可立即使用相關的AI模型。</p> <p>目前已有超級電腦的專案利用Instinct加速器及ROCm進行研究。此外，AMD也和AI模型平臺Hugging Face合作，針對EPYC處理器、Instinct加速器、Radeon等裝置最佳化Hugging Face的平臺。</p> <p>儘管AMD開始在AI、HPC生態上急起直追，以硬體加速計算、軟體平臺，希望壯大自家的AI、HPC生態系，為搶攻相關市場奠定基礎，但相較於在這些領域已經營多年的Nvidia，目前仍有不小的距離需要追趕。</p> </div></div></div>
2023/7/21 12:33作者蘇文彬https://www.ithome.com.tw/news/157891
申請技術社群攤位@MWC 2023
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/seminar/960x420-she_qun_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-conf-date field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">10/02(一) 截止</div></div></div><div class="field field-name-field-conf-site field-type-link-field field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://forms.gle/erqXQHUqbKeJNTEg8" target="_blank">瞭解詳情</a></div></div></div><div class="field field-name-field-conf-register field-type-link-field field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://forms.gle/erqXQHUqbKeJNTEg8" target="_blank">線上報名</a></div></div></div><div class="field field-name-field-conf-type field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/ithome%E7%A0%94%E8%A8%8E%E6%9C%83">iThome研討會</a></div></div></div><div class="field field-name-field-conf-place field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">瓶蓋工廠台北製造所</div></div></div><div class="field field-name-field-conf-summary field-type-text-long field-label-hidden"><div class="field-items"><div class="field-item even">很榮幸 2023 年可以一起促成技術的擴散、討論與發展，MWC (Modern Web Conference) 將在 11 月以實體大會的形式回歸，誠摯邀請技術社群成為大會的技術推廣夥伴！</div></div></div><div class="field field-name-field-conf-host field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">iThome</div></div></div>
2023/7/21 11:23作者黃博修https://www.ithome.com.tw/seminar/申請技術社群攤位mwc-2023
元老級駭客Kevin Mitnick過世，享年59歲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>曾是美國頭號通緝犯的元老級駭客Kevin Mitnick，在7月16日因胰腺癌過世，享年59歲。</p> <p>出生於1963年的Mitnick從小就對科技著迷，不管是電話或是電腦，他被視為是社交工程的始祖之一，打電話給各個目標組織的員工來獲取組織內的重要資訊，而這也成為他駭進不同公司的主要媒介。</p> <p>他第一次被定罪是在1988年，原因是入侵現已結束營業的美國電腦業者Digital Equipment Corporation，並複製了該公司的軟體，他服刑1年與3年的監督釋放，卻在監督釋放到期前駭進了Pacific Bell的語音郵件電腦，在法院發出逮捕令之後，Mitnick潛逃了兩年半。</p> <p>在這兩年半間，Mitnick駭進了數十家企業，從Sun Microsystems、Nokia到Motorola，他竊取它們的程式碼與密碼，變更它們的電腦網路，存取它們的電子郵件，而一度成為美國的頭號通緝犯。</p> <p>Mitnick在1995年被FBI逮捕，入獄服刑5年。不過，許多支持者認為那些被駭的企業高估了損失金額，法院判刑太重，陸續透過陳情或<a href="https://www.ithome.com.tw/news/4920" target="_blank">駭客行動</a>來要求美國司法部放人。</p> <p>2000年出獄的Mitnick從黑帽駭客轉為白帽駭客，<a href="https://www.pbs.org/wgbh/pages/frontline/shows/hackers/whoare/testimony.html" target="_blank">他曾在一場公聽會上透露</a>，他駭進眾多企業的動機是對知識的追求，智力上的挑戰與刺激，以及對現實的逃避，盡其可能地了解這些企業的安全漏洞，他並不想造成任何傷害，也未從中賺到任何錢。</p> <p>Mitnick在出獄隔年開始經營Mitnick Security Consulting電腦安全顧問公司，並開始寫作與演講，主題多為社交工程與滲透測試。他所撰寫的其中一本書<a href="https://www.ithome.com.tw/article/86412" target="_blank">《駭客人生: 全球頂尖駭客的真實告白》</a>（Ghost in the Wires: My Adventures as the World's Most Wanted Hacker）還曾在臺灣出版，惟目前該書於臺灣已絕版。</p> </div></div></div>
2023/7/21 09:08作者陳曉莉https://www.ithome.com.tw/news/157889
AI頂級會議又在臺舉辦，兩大巨頭分享生成式AI新進展，連摩根大通研發副總都將來臺北分享
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國際頂級AI學術會議又來臺舉辦，資訊檢索領域（IR）的AI頂級會議<a href="https://sigir.org/sigir2023/">ACM SIGIR近日（7月23日）將在臺北舉辦</a>，由Google DeepMind 、微軟研究院的重量級科學家開場，分享生成式檢索、Copilot搜尋等AI新典範浪潮下的研究進展，多家跨國企業像摩根大通集團都派出研發副總來臺分享業界第一手研究。</p> <p>ACM SIGIR是全球13個頂級AI會議之一，是資訊檢索領域公認最重要的學術會議，今年有將近500篇論文，論文接受率平均只有20％，議題涵蓋了各種資訊檢索技術和議題，例如搜尋、排序、評估、NLP、推薦系統、內容分析、FATE（公平透明倫理、可解釋性）等，傳統的IR技術，正是電商、企業常用推薦技術背後的基礎。另外也有業界研發成果專場，發表數十篇業界第一線論文。不只學術界重視，連科技巨頭，跨國企業，如摩根大通集團都有數篇論文發表，派出研發副總親自登臺。</p> <p>2019年7月臺大人工智慧研究中心陳信希主任在向SIGIR組織提出申請，與三國競爭後勝出。這是46年來首次來臺舉辦，由臺灣大學人工智慧研究中心與中華民國計算語言學學會負責。這是<a href="https://www.ithome.com.tw/news/132825">2019年電腦視覺頂級會議ICIP登臺</a>，帶來卷積神經網路之父Yann LeCun訪臺後的另一場AI頂級會議。</p> <p>臺灣大學人工智慧研究中心執行長杜維洲指出，AI技術演進太快，競爭非常激烈，研究者為了怕競爭者搶先發表類似成果，往往選擇到舉辦時間最近的國際會議上發表，而非像其他領域透過重要期刊曝光。不只學術圈，科技巨頭一有新進展，也會想在最近的AI頂級會議上發表，換句話說，「在AI頂級會議，有機會看到全球最新的重大AI研究成果。」他強調，不只IR，更會吸引各領域AI的國際一流研究人員來臺交流。</p> <p><strong>Google DeepMind、微軟研究院重量級科學家、臺灣國際級ML專家揭露最新發展</strong></p> <p>「光是主場演講就非常值得期待，」杜維洲推薦。學界業界都高度知名的Google DeepMind傑出研究科學家Marc Najork，在Google率領了70人規模的研發團隊，他也是IEEE院士，將介紹最熱門的生成式模型如何影響IR領域的發展，尤其是這個新典範伴隨的衝擊和困難。</p> <p>而微軟研究院實驗室副總監兼總經理Ryen White在微軟總部率領了多個重量級議題團隊，包括NLP倫理、Cortana等主題。微軟近來大舉將Copilot的人機協作AI思維落實到各產品和研發層面。Ryen White將分享Copilot趨勢對搜尋和IR領域的最新進展和衝擊。而因ML演算法論文破5萬次引用揚名全球的臺灣大學資工系教授林智仁則會分享一個重要的ML模型研發新思維，要有不要等到夠準才敢試的態度。</p> <p>主辦單位特別找來伊利諾大學使用者測試首席研究科學家Ranjitha Kumar擔任主場演講，分享使用者體驗研究時，如何整合量化和無法量化的質性資料，來進行使用者實驗的方式，「這位一路參與新創公司第一線研究的學者，可以帶給IR領域新觀點而邀請她。」杜維洲。</p> <p><strong>將數百位AI學界、業界一流人才帶來臺灣交流</strong></p> <p>另一個在臺舉辦的意義是，杜維洲表示，臺灣越來越多本土研究人才，但不見得人人都有機會出國擴大視野，爭取頂級國際會議來臺，就能將數百外國際專家帶來臺灣交流。為了讓臺灣新一代學術人才和國際一流AI人才交流，臺大也招募了近50位碩博士生擔任工作志工，就近與這些國際專家接觸。</p> <p>去年ACM SIGIR會議在熱到42度的西班牙舉辦，眾人最疲累的最後一天末尾，臺灣主辦人上場介紹今年活動時，直接播放了3分鐘影片，一播完夜市各類美食，全場歡呼，大家都問，能不能喝到道地的珍珠奶茶。杜維洲打趣的說，去哪吃臺灣美食，成了這群國際AI人才來臺，最常問他的一件事。</p> <p> </p> </div></div></div>
2023/7/21 07:57作者王宏仁https://www.ithome.com.tw/news/157888
【資安日報】7月20日，Google旗下CI/CD代管服務存在提升權限漏洞，恐被用於發動供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發環境的相關應用系統出現漏洞，所帶來的威脅很有可能連帶波及用戶。例如，資安業者Orca、Rhino Security Labs對於Google旗下的CI/CD代管服務Cloud Build提出警告，當中存在權限提升漏洞Bad.Build，駭客可趁機在該服務代管的映像檔植入惡意程式碼，危害取用這些映像檔進行組建程序的應用系統。</p> <p>這幾天，知名的化妝保養品業者雅詩蘭黛證實遭到網路攻擊，但目前遇害情況仍相當混亂，因為該公司可能同時受到兩個勒索軟體團體的攻擊。因為，同時有2個勒索軟體駭客組織Clop、BlackCat（Alphv）聲稱對其下手，且突破該公司採用的微軟及Mandiant資安防護服務。後續情況有待進一步追蹤。</p> <p>中國駭客APT41的攻擊行動相當值得留意，資安業者Lookout針對間諜軟體WyrmSpy及DragonEgg進行調查，找出攻擊者的身分就是APT41，並指出該組織的攻擊標的已從電腦逐漸轉向行動裝置。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://therecord.media/blackcat-clop-claim-cyberattack-on-estee-lauder"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">化妝品業者雅詩蘭黛傳出遭BlackCat、Clop勒索軟體攻擊</span></strong></a></p> <p>7月18日化妝保養品業者雅詩蘭黛（Estée Lauder）發布聲明，表示公司部分系統遭到未經授權的第三方組織異常存取，他們察覺後隨即關閉部分系統，並尋求外部資安專家展開調查。根據初步調查的結果，該公司內部系統的部分資料遭竊，但他們將進一步確認受影響的範圍。而對於公司的營運，他們正在復原受到攻擊的系統與服務，並預期會對部分業務造成衝擊。</p> <p>而對於攻擊者的身分，研究人員Brett Callow發現，勒索軟體駭客Clop與BlackCat（Alphv）皆聲稱攻擊了雅詩蘭黛：Clop表示取得了131 GB內部資料；BlackCat聯繫雅詩蘭黛主管進行勒索未果，並指出該公司使用了微軟及Mandiant的資安服務，並表示沒有加密該公司的系統。資安新聞網站Bleeping Computer指出，雅詩蘭黛很可能也遭遇MOVEit Transfer零時差漏洞攻擊。</p> <p><a href="https://www.lookout.com/threat-intelligence/article/wyrmspy-dragonegg-surveillanceware-apt41"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客APT41鎖定行動裝置散布間諜軟體WyrmSpy、DragonEgg</span></strong></a></p> <p>資安業者Lookout揭露WyrmSpy及DragonEgg的間諜軟體攻擊行動，主要目標是安卓手機的用戶。</p> <p>早期版本的WyrmSpy通常假冒預設的系統應用程式，向使用者發送「通知」，但後來的變種藉由散布色情影片，或是聲稱提供百度外賣、Adobe Flash等App的名義，來引誘使用者上當。而到了2021年，這些駭客又假借提供第三方鍵盤App或即時通訊軟體，散布另一支間諜軟體DragonEgg，而這個惡意程式今年4月又出現新的變種。值得留意的是，具有惡意程式的App未曾在Google Play上架，駭客很可能是透過社交工程手法來散布。</p> <p>根據上述惡意程式所使用的簽章，以及C2伺服器的IP位址與一家名為「成都404」的網路科技公司有關，研究人員認為攻擊者的身分就是中國駭客組織APT41。</p> <p><a href="https://www.trendmicro.com/en_us/research/23/g/supply-chain-attack-targeting-pakistani-government-delivers-shad.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">巴基斯坦組織遭到惡意軟體ShadowPad攻擊</span></strong></a></p> <p>資安業者趨勢科技揭露針對巴基斯坦組織的惡意軟體ShadowPad攻擊行動，自2022年2月中旬至9月，已有當地政府機關、公營銀行、電信業者受害。駭客竄改該國政府維護的辦公室軟體E-Office安裝程式，藉此散布ShadowPad。</p> <p>究竟上述遭竄改的安裝程式如何傳送至受害電腦，目前仍不得而知，而在供應E-Office的巴基斯坦政府機構方面，他們在此軟體產品的開發環境中，尚未發現遭到入侵的跡象，研判駭客可能是在安裝程式植入惡意軟體，並透過社交工程手法引誘使用者執行。</p> <p><a href="https://www.bleepingcomputer.com/news/security/microsoft-hackers-turn-exchange-servers-into-malware-control-centers/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Turla鎖定國防產業的Exchange伺服器，並將其當作C2伺服器</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Turla-XLSM_.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Turla-XLSM_.png" style="width: 300px; float: right;" /></a>微軟威脅情報中心、烏克蘭電腦緊急應變小組（CERT-UA）指出，俄羅斯駭客組織Turla（亦稱Secret Blizzard、UAC-0003）近期利用名為DeliveryCheck的後門程式，鎖定烏克蘭、東歐國家的國防產業，對其Exchange伺服器發動攻擊。</p> <p>駭客寄送帶有Excel巨集檔案（XLSM）的釣魚郵件，一旦收信人依照指示開啟附件，該巨集便會執行PowerShell命令，建立看似更新Firefox瀏覽器的工作排程，但實際上，該排程會下載DeliveryCheck，並於電腦的記憶體內執行。此後門程式會連線至C2，接收駭客的命令，且在受害電腦部署更多惡意程式。</p> <p>微軟指出，該後門程式的特別之處在於，能將Exchange伺服器端的元件轉換成駭客的C2伺服器，並部署PowerShell模組Desired State Configuration，把這臺成功滲透進去的Exchange伺服器用於散布惡意程式。此外，駭客在攻擊過程也利用間諜程式Kazuar，竊取事件記錄檔案、系統資訊、應用程式存放的帳密資料等。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/google-cloud-build-bug-lets-hackers-launch-supply-chain-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">CI/CD代管服務Google Cloud Build存在漏洞Bad.Build，恐讓攻擊者用來提升權限</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/BadBuild.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/BadBuild.png" style="width: 300px; float: right;" /></a>資安業者Orca揭露CI/CD代管服務Google Cloud Build的重大漏洞Bad.Build，這項漏洞能讓攻擊者用於提升權限，並能對程式碼儲存庫Google ArtifactRegistry進行未經授權的存取。攻擊者可利用該漏洞冒用Google Cloud Build的服務帳號，呼叫API來操弄應用程式的映像檔，進而注入惡意程式碼，有可能藉此發動供應鏈攻擊，導致應用程式遭受阻斷服務攻擊（DoS）、資料盜竊，或是向使用者散布惡意軟體。</p> <p>資安業者Rhino Security Labs也找到相同漏洞，並公布了概念性驗證攻擊手法（PoC），以及漏洞利用指令碼。Google接獲Orca及Rhino Security Labs的通報，撒銷預設Google Cloud Build服務帳號的部分權限，來減少漏洞遭到利用的機會。對此，Orca的研究人員認為，此舉沒有真正緩解Bad.Build，組織仍要對相關帳號採取監控措施、落實最小權限政策等措施來進行防堵。</p> <p>資料來源</p> <p>1. <a href="https://orca.security/resources/blog/bad-build-google-cloud-build-potential-supply-chain-attack-vulnerability/">https://orca.security/resources/blog/bad-build-google-cloud-build-potential-supply-chain-attack-vulnerability/</a><br /> 2. <a href="https://rhinosecuritylabs.com/gcp/iam-privilege-escalation-gcp-cloudbuild/">https://rhinosecuritylabs.com/gcp/iam-privilege-escalation-gcp-cloudbuild/</a></p> <p><a href="https://www.securityweek.com/oracle-releases-508-new-security-patches-with-july-2023-cpu/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Oracle發布7月例行更新，提供508個修補程式</span></strong></a></p> <p>7月18日Oracle發布今年第3季的重大修補及更新（CPU），一共推出508個更新程式，當中有超過75個是因應重大層級的漏洞。這些修補程式所緩解的漏洞當中，至少有350個與可被遠端利用的漏洞有關，且攻擊者無須通過身分驗證。</p> <p>該公司發布最多修補程式的解決方案是Financial Services，他們總共提供了147個更新軟體，其中有115個涉及的漏洞，攻擊者可在未經身分驗證的情況下，遠端觸發漏洞。此外，該公司也對於Communications通訊平臺、Fusion Middleware，發布了77個及60個更新程式。</p> <p><a href="https://chromereleases.googleblog.com/2023/07/stable-channel-update-for-desktop.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google發布Chrome 115，修補20個漏洞</span></strong></a></p> <p>7月18日Goolge發布電腦版Chrome 115，總共修補20個漏洞，其中4個被判定為高風險，且與記憶體濫用有關。</p> <p>根據該公司頒發給通報者的獎金多寡，最嚴重的是CVE-2023-3727、CVE-2023-3728，這兩個漏洞都與WebRTC元件有關，為記憶體釋放後濫用（UAF）漏洞，研究人員各得到7千美元獎勵。</p> <p>另一個高風險漏洞CVE-2023-3730也與記憶體釋放後濫用有關，出現於分頁群組（Tab Groups）功能，該公司頒發2千美元給研究人員。第4個高風險漏洞CVE-2023-3732出現於Mojo元件，為記憶體越界存取漏洞。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.fcc.gov/cybersecurity-certification-mark"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為強化物聯網裝置安全，美國打算推出資安信任標章</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/US-Cyber-Trust-Mark-Aqua-Gradient.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/US-Cyber-Trust-Mark-Aqua-Gradient.png" style="width: 300px; float: right;" /></a>7月18日美國聯邦通訊委員會（FCC）提出連網設備安全認證標章計畫，名為US Cyber Trust Mark，目的是讓消費者能識別符合較高網路安全標準的連網裝置，此計畫目前得到設備製造商及零售業者的支持，如Amazon、Best Buy、Google、LG、羅技、三星等，預計2024年正式啟動。</p> <p>這項標章的認證標準審核，將採用美國國家標準暨技術研究院（NIST）提出的規範，由業者自主申請並於裝置外觀包裝張貼此標章。特別的是，在標章之外，廠商也能透過QR Code提供相關的安全資訊。</p> <p>NIST打算訂定家用路由器的網路安全需求規範，預計年底完成；美國能源部也宣布與國家實驗室及業界合作，將制訂智慧電表與變壓器的網路安全要求。</p> <p>資料來源</p> <p>1. <a href="https://www.whitehouse.gov/briefing-room/statements-releases/2023/07/18/biden-harris-administration-announces-cybersecurity-labeling-program-for-smart-devices-to-protect-american-consumers/">https://www.whitehouse.gov/briefing-room/statements-releases/2023/07/18/biden-harris-administration-announces-cybersecurity-labeling-program-for-smart-devices-to-protect-american-consumers/</a><br /> 2. <a href="https://www.fcc.gov/document/rosenworcel-announces-cybersecurity-labeling-program-smart-devices">https://www.fcc.gov/document/rosenworcel-announces-cybersecurity-labeling-program-smart-devices</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://blog.avast.com/mario-movie-malware"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">盜版瑪利歐電影暗藏惡意軟體，駭客意圖竊取用戶瀏覽器的密碼及信用卡資料</span></span></strong></a></p> <p><a href="https://www.fortinet.com/blog/industry-trends/threat-actors-add-zip-domains-to-phishing-arsenals"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露濫用ZIP頂級網域的網釣攻擊行動</span></span></strong></a></p> <p><a href="https://www.securityweek.com/recycling-giant-tomra-takes-systems-offline-following-cyberattack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">挪威資源回收業者Tomra遭到網路攻擊，關閉內部系統</span></span></strong></a></p> <p><a href="https://www.securityweek.com/recently-patched-ge-cimplicity-vulnerabilities-reminiscent-of-russian-ics-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">GE人機介面與SCADA產品Cimplicity存在漏洞，恐被攻擊者用於執行任意程式碼</span></span></strong></a></p> <p><a href="https://www.taipower.com.tw/tc/news_info.aspx?id=6594&chk=177ddec6-3ea0-4839-8dc7-ceb107080249&mid=5563"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">台電針對以電費帳單為幌子的釣魚郵件攻擊提出警告</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157865">【7月19日】惡意程式分析平臺VirusTotal驚傳資料外洩，恐曝露歐美多個政府機關的資安人員身分</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157850">【7月18日】駭客組織TeamTNT將鎖定雲端竊取帳號的攻擊行動，企圖從AWS延伸至其他兩大公有雲</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157828">【7月17日】駭客打造專門用於網路犯罪的AI語言模型WormGPT，可製作更具說服力的惡意郵件</a></strong></p> </div></div></div>
2023/7/20 17:46作者周峻佑https://www.ithome.com.tw/news/157880