iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 32篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 23:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】8月7日，韓國Linux主機遭到惡意程式Reptile鎖定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定Linux主機而來的惡意程式攻擊，近期出現顯著增加的現象，例如，上週末資安業者AhnLab針對惡意軟體Reptile的攻擊行動，就特別提出警告，並指出這款惡意程式的可怕之處，在於結合Rootkit及反向Shell的特性，駭客可將其當作後門運用。</p> <p>駭客偏好利用已知漏洞發動攻擊，早已成為資安威脅常態，最近五眼聯盟公布2022年最常遭利用的漏洞，當中最受到關注的，是Fortinet設備的SSL VPN漏洞CVE-2018-13379，該漏洞自揭露以來，已連續4年名列榜中。</p> <p>勒索軟體對於醫療體系的發動攻擊，也相當值得留意。最近醫療保健系統Prospect Medical Holdings傳出遭遇這類攻擊，而導致旗下的醫療機構運作受到衝擊，許多醫護人員被迫使用紙本整理病歷。這起事故也引起美國政府重視。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://asec.ahnlab.com/en/55785/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">韓國Linux主機遭到鎖定，駭客企圖植入名為Reptile的Rootkit</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Reptile-47.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Reptile-47.png" style="width: 300px; float: right;" /></a>資安業者AhnLab提出警告，名為Reptile的Rootkit工具被用於攻擊韓國Linux主機，其特色是具備反向Shell的功能，使得攻擊者能輕鬆控制受害電腦。</p> <p>研究人員在其中一起攻擊行動裡，根據惡意程式部署的路徑及資料夾名稱，發現駭客所使用的戰術與另一款惡意程式Mélofée有些雷同；再者，則是駭客在Reptile當中，同時運用了惡意程式ISH，這是透過ICMP協定連線的Shell程式，有別於一般的反向Shell採用TCP或HTTP通訊協定，駭客這麼做的目的，很有可能是為了迴避針對上述通訊協定的網路流量檢查。</p> <p><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-215a"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">五眼聯盟公布2022年最常被利用的漏洞，Fortinet SSL VPN、微軟Exchange漏洞上榜</span></strong></a></p> <p>美國、澳洲、加拿大、紐西蘭、英國等5個國家聯手，公布2022年最常被利用的12個漏洞，其中最「資深」的漏洞是CVE-2018-13379，該漏洞存在於防火牆作業系統FortiOS、上網安全閘道FortiProxy，從2019年至2022年都是駭客愛用的漏洞之一，五眼聯盟認為，該漏洞能連續4年入榜，主要原因是許多組織尚未修補所致。</p> <p>該名單列入的漏洞名單裡，還有Exchange漏洞ProxyShell（CVE-2021-34473、CVE-2021-31207、CVE-2021-34523）、Log4j程式庫漏洞Log4Shell（CVE-2021-44228）、微軟支援診斷工具（MSDT）漏洞Follina（CVE-2022-30190）、DevOps協作平臺Atlassian Confluence的CVE-2021-26084及CVE-2022-26134、VMware Workspace ONE Access的CVE-2022-22954、 CVE-2022-22960，以及F5 BIG-IP的CVE-2022-1388。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體破壞Prospect Medical Holdings醫療體系的資訊系統，部分醫院改以紙本作業、暫停急診業務</span></strong></p> <p>根據美聯社、NBC News、紐約時報等多家媒體報導，醫療保健系統Prospect Medical Holdings傳出遭到勒索軟體攻擊，波及旗下部分醫療機構的IT系統，傳出有些被迫暫停收治急診病人，亦有暫停抽血、醫療影像拍攝，或是採用紙本作業的情況。</p> <p>該醫療集團旗下的Eastern Connecticut Health Network發言人Nina Kruse最早向媒體證實此事，該集團察覺勒索軟體攻擊後，於8月1日將美國境內的電腦系統離線，目前醫生與護理人員使用紙筆製作病歷。Prospect Medical Holdings並未透露事件的進一步資訊，也沒揭露受害規模。美國國家安全委員會發言人Adrienne Watson表示，白宮正在監控這起資安事件的後續處理情形。</p> <p>資料來源</p> <p>1. <a href="https://www.nbcnews.com/tech/security/hackers-force-hospital-system-take-national-computer-system-offline-rcna98212">https://www.nbcnews.com/tech/security/hackers-force-hospital-system-take-national-computer-system-offline-rcna98212</a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://apnews.com/article/cyberattack-hospital-emergency-outage-4c808c1dad8686458ecbeababd08fecf" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-1993903253" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://apnews.com/article/cyberattack-hospital-emergency-outage-4c808c1dad8686458ecbeababd08fecf</span></a><br /> 3. <a href="https://www.nytimes.com/2023/08/05/us/cyberattack-hospitals-california.html">https://www.nytimes.com/2023/08/05/us/cyberattack-hospitals-california.html</a></p> <p><a href="https://blog.sonatype.com/malicious-pypi-package-vmconnect-imitates-vmware-vsphere-connector-module"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意PyPI套件假冒VMware vSphere連接器元件散布</span></strong></a></p> <p>資安業者Sonatype揭露新一波的惡意PyPI套件攻擊行動PaperPin，駭客假借提供VMware vSphere連接器模組vConnector的名義，在7月28日上傳名為VMConnect的套件，截至下架之前已被下載了237次。研究人員後來也發現另外2個與VMConnect程式碼相同的惡意套件，它們名為ether、quantiumbase，兩者也分別被下載了251、212次。</p> <p>值得留意的是，這些冒牌套件的說明都很完整，駭客甚至建立對應的GitHub儲存庫，而難以分辨真假。研究解析惡意套件的程式碼，發現一旦開發人員依照指示安裝，開發環境的電腦就有可能每分鐘向外部IP位址發送訊號，下載、執行惡意程式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/VMConnect.png" style="width: 580px;" /></p> <p><a href="https://blogs.infoblox.com/cyber-threat-intelligence/decoy-dog-is-no-ordinary-pupy-distinguishing-malware-via-dns/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體DecoyDog濫用DNS與C2進行通訊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/infoblox-blog-decoy-dog-is-no-ordinary-pupy-figure_02_dd_client_count_timeline.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/infoblox-blog-decoy-dog-is-no-ordinary-pupy-figure_02_dd_client_count_timeline.png" style="width: 300px; float: right;" /></a>資安業者Infoblox對於他們4月揭露的DNS惡意軟體Decoy Dog進一步調查，結果發現，約在2022年3月下旬至4月初，駭客的基礎設施就開始運作，迄今至少有4組駭客在利用此惡意軟體發動攻擊，範圍主要為俄羅斯與東歐。</p> <p>研究人員比對另一款DNS惡意軟體Pupy，認為Decoy Dog就是Pupy的大改版，兩者的共通之處在於，通訊過程會產生隨機亂數，用來識別受害電腦建立的連線，並對於訊息進行工作排程。但相較於Pupy，新的DNS惡意軟體改善了記憶體內的運作方式，以及對於Windows作業系統的相容性，並納入了多項新的通訊模組，能對於DNS查詢的重放進行回應，此外，攻擊者可透過Decoy Dog注入任意的Java程式碼，進而在受害電腦持續進行攻擊行動。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/new-papercut-critical-bug-exposes-unpatched-servers-to-rce-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">列印管理系統PaperCut修補重大漏洞</span></strong></a></p> <p>資安業者Horizon3在列印管理系統PaperCut發現路徑穿越漏洞CVE-2023-39143，一旦遭到利用，攻擊者可讀取、刪除、上傳任意檔案至目標系統，其手法複雜程度極低，且無須使用者互動，CVSS風險評為7.4分，上述弱點存在於22.1.1版以前的版本，影響在Windows作業系統執行的PaperCut NG（或MF）伺服器。</p> <p>研究人員指出，這項漏洞影響啟用外部裝置整合功能的伺服器，而該功能在PaperCut NG商業版、PaperCut MF為預設開啟。對此，PaperCut發布了7月更新予以修補。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.horizon3.ai/cve-2023-39143-papercut-path-traversal-file-upload-rce-vulnerability/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-2133858822" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://www.horizon3.ai/cve-2023-39143-papercut-path-traversal-file-upload-rce-vulnerability/</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.papercut.com/kb/Main/securitybulletinjuly2023/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--1122685325" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://www.papercut.com/kb/Main/securitybulletinjuly2023/</span></a></p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">工業路由器Milesight UR32L存在重大漏洞，可被用於執行任意程式碼</span></strong></p> <p>思科旗下的Talos威脅情報團隊針對惡意軟體VPNFilter的攻擊行動，調查多個廠牌的路由器，結果發現，工業用路由器Milesight UR32L，以及該廠商提供的VPN服務MilesightVPN，存在69個CVE漏洞（路由器63個、VPN服務6個），研究人員指出，雖然上述VPN服務就是為了讓UR32L減少在網際網路上曝露的機會，但攻擊者可利用VPN軟體的身分驗證繞過漏洞CVE-2023-22319（CVSS風險評分為7.3），然後透過CVE-2023-23902（CVSS風險評為9.8分）在路由器上執行任意程式碼。</p> <p>值得留意的是，研究人員在今年2月通報上述漏洞，但Milesight迄今尚未發布修補程式。對此，該公司向資安新聞網站SecurityWeek進行說明，表示他們正在製作新版韌體，並與Talos進行相關測試。</p> <p>資料來源</p> <p>1. <a href="https://blog.talosintelligence.com/router-researcher-vulnerability-spotlight-23/">https://blog.talosintelligence.com/router-researcher-vulnerability-spotlight-23/</a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.securityweek.com/dozens-of-rce-vulnerabilities-impact-milesight-industrial-router/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-343621836" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://www.securityweek.com/dozens-of-rce-vulnerabilities-impact-milesight-industrial-router/</span></a></p> <p><a href="https://www.vectra.ai/blogpost/microsoft-cross-tenant-synchronization"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Entra ID跨租戶同步功能有可能被用於橫向移動</span></strong></a></p> <p>微軟於今年6月針對Azure AD（現更名Microsoft Entra ID）推出跨租戶同步（Cross-Tenant Synchronization，CTS）功能，但現在有研究人員發現，駭客很可能將其用於攻擊行動。資安業者Vectra發現，若是在攻擊者能夠存取Azure AD特權帳號的情況下，可透過對外同步（Outbound Sync）找尋攻擊目標，並利用CTS的同步功能竄改其組態配置，進而存取受到同步的租戶，而能夠在不需收集其他使用者帳密的情況下，達到橫向移動的目的。</p> <p>而在另一種濫用CTS的手法當中，研究人員藉由部署新政策，啟用對內同步（Inbound Sync）、自動使用者同意（Automatic User Consent）功能，進而能隨時透過外部帳號來存取目標租戶，值得留意的是，就算惡意帳號遭到刪除，攻擊者還是可以重新建立、推送新使用者帳號，對此，研究人員認為其危害如同後門程式。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-213a"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國、挪威公布Ivanti行動裝置管理平臺零時差漏洞攻擊細節</span></span></strong></a></p> <p><a href="http://www.blackhat.com/us-23/briefings/schedule/#jailbreaking-an-electric-vehicle-in--or-what-it-means-to-hotwire-teslas-x-based-seat-heater-33049"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員發現特斯拉車載系統有可能被破解並解鎖付費功能</span></span></strong></a></p> <p><a href="https://blog.phylum.io/targeted-npm-malware-attempts-to-steal-developers-source-code-and-secrets/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客透過惡意NPM套件，鎖定加密貨幣用戶散布竊資軟體，目的是竊取組織的原始碼及機密資料</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/us-govt-contractor-serco-discloses-data-breach-after-moveit-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國政府承包商Serco證實遭到MOVEit Transfer零時差攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/clop-ransomware-now-uses-torrents-to-leak-data-and-evade-takedowns/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客Clop透過Torrent洩露竊得資料</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158111">【8月4日】駭客利用Salesforce零時差漏洞發動網釣攻擊，目的是竊取企業的臉書帳號</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158077">【8月2日】美國針對軍事補給相關系統進行清查，中國駭客埋入可能干擾軍事行動的惡意軟體</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158058">【8月1日】 Google彙整2022年零時差漏洞攻擊態勢，並指出駭客透過已知漏洞找出新漏洞的現象變得更加氾濫</a></strong></p> </div></div></div>
2023/8/7 17:18作者周峻佑https://www.ithome.com.tw/news/158162
微軟修補資安業者揭露數月的Power Platform跨租戶資料外洩漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過一次修補失敗後，<a href="https://msrc.microsoft.com/blog/2023/08/microsoft-mitigates-power-platform-custom-code-information-disclosure-vulnerability/" target="_blank">微軟在上周終於成功修補</a>了一個可讓駭客跨租戶竊取程式碼開發平臺Power Platform別家公司重要資訊的漏洞，不過是在資安廠商批判後才加速完成。</p> <p>這漏洞是由資安廠商Tenable發現並通報，影響Power Platform的自訂連接器（Custom Connector）。微軟修補作業完全在Azure主機端，客戶不需採取任何行動，也不會影響Azure用戶。</p> <p><a href="https://www.tenable.com/security/research/tra-2023-25" target="_blank">Tenable解釋</a>，Power Platform（包括Power Apps、Power Automation）允許使用者從自訂連接器撰寫C#程式碼存取其他Azure主機，以便和其他服務串接或溝通。正常情況下，部署C#程式的用戶是經由API端點將HTTP呼叫，將程式部署到微軟控制的Azure Function主機完成這任務，這段過程是不需驗證的。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0807-Unauthorized%20Access%20to%20Cross-Tenant%20Applications%20in%20Microsoft%20Power%20Platform%20by%20Tenable.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_</span><a href="https://www.tenable.com/security/research/tra-2023-25" target="_blank"><span style="color:#696969;">Tenable</span></a></span></p> <p>但研究人員發現，駭客可以傳送呼叫，觸發取得custom C# code，從中判斷出和目標自訂連接器（Custom Connector）相關的Azure Function主機名稱，以及其他連接器的Azure Function主機名稱，因為都依整數排序。他們測試發現，許多連接器作用是傳送Power Platform和第三方服務的身份驗證資訊。只要存取防護不周的Azure Function主機，就可能攔截OAuth用戶ID及金鑰、密碼等資訊，也就能存取第三方服務和應用程式。</p> <p>研究人員指出，其研究只能確定該漏洞可外洩資料，但也指出，視自訂連接器可觸發的行為而定，後果可能不只是資料外洩，可能有其他後果，例如執行程式碼。Tenable並說明，其概念驗證程式顯示可以發送POST呼叫，從custom C# code找出Azure Function主機，以及他們也取得一家銀行的Azure服務的存取憑證。</p> <p>因此Tenable判斷該漏洞屬重大風險，並於3月底通報微軟。但<a href="https://www.linkedin.com/pulse/microsoftthe-truth-even-worse-than-you-think-amit-yoran/" target="_blank">Tenable執行長Amit Yoran批評</a>該公司3月底就通知，微軟卻修補牛步化。</p> <p><a href="https://www.tenable.com/security/research/tra-2023-25" target="_blank">根據Tenable說法</a>，該公司於3月底通報微軟，後者曾在7月6日修補（註：微軟的文件是寫6月7日）。但Tenable發現微軟修補不全，而於4天後重新通報，並應微軟要求延後公告漏洞。微軟原本預計要到9月28日完成修補，不過在安全廠商於7月底發出部分安全公告的壓力下，微軟提前在8月3日對受影響的Azure主機部署修補程式。</p> </div></div></div>
2023/8/7 14:50作者林妍溱https://www.ithome.com.tw/news/158135
五眼聯盟公布去年最常被利用的12個安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-215a" target="_blank">美國、澳洲、加拿大、紐西蘭與英國等5個國家的網路安全機構上周連袂公布了2022年最常遭到駭客利用的安全漏洞</a>，相較於新漏洞，駭客更青睞舊漏洞，而且專注於尋找那些可透過網路存取且未被修補的漏洞。</p> <p>在這12個最常被利用的安全漏洞中，有6個屬於遠端程式攻擊漏洞，分別是存在於微軟Exchange Server的<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-34473" target="_blank">CVE-2021-34473</a>，位於Zoho ManageEngine ADSelfService Plus的<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-40539" target="_blank">CVE-2021-40539</a>，出現在Apache Log4j2的<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-44228" target="_blank">CVE-2021- 44228</a>，現身於VMware Workspace ONE存取暨身分管理功能中的<a href="https://nvd.nist.gov/vuln/detail/CVE-2022-22954" target="_blank">CVE-2022-22954</a>，微軟多個產品中的<a href="https://nvd.nist.gov/vuln/detail/CVE-2022-30190" target="_blank">CVE-2022-30190</a>，以及Atlassian Confluence Server and Data Center的CVE-<a href="https://nvd.nist.gov/vuln/detail/CVE-2022-26134" target="_blank">2022-26134</a>。</p> <p>當中最老的漏洞是出現在FortiOS與FortiProxy中的CVE-2018-13379，它是個SSL VPN憑證曝露漏洞，早在2018年就被揭露與修補，它在2020年、2021年及2022年都是最受駭客青睞的漏洞之一，且<a href="https://www.ithome.com.tw/news/146620" target="_blank">駭客也曾公布來自全球74個國家、近50萬組的Fortinet VPN登入憑證</a>。</p> <p>五眼聯盟認為，CVE-2018-13379之所以能夠連續幾年高居排行榜，應是因為許多組織仍未修補該漏洞所致。</p> <p>其它的5個漏洞還包括微軟Exchange Server的安全功能繞過漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-31207" target="_blank">CVE-2021-31207</a>，Exchange Server的權限擴張漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-34523" target="_blank">CVE-2021-34523</a>，VMware Workspace ONE的權限管理不當漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2022-22960" target="_blank">CVE-2022-22960</a>，以及F5 Networks BIG-IP的缺少身分認證漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2022-1388" target="_blank">CVE-2022-1388</a>。</p> <p>根據五眼聯盟的歸納，駭客攻擊最近兩年揭露漏洞的成功率最高，此外，駭客也傾向於鎖定嚴重且部署廣泛的系統漏洞，開發這些漏洞的攻擊程式成本相對較低，造成的影響更大，還可沿用許多年。</p> <p>至於各組織維持安全的注意事項則包括完善的漏洞與配置管理，身分認證及存取管理，維持受保護的控制權與架構，以及注重供應鏈的安全性等。</p> </div></div></div>
2023/8/7 15:14作者陳曉莉https://www.ithome.com.tw/news/158136
【資安週報】2023年7月31日到8月4日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一週的漏洞利用消息，最重要的就是行動裝置管理平臺Ivanti Endpoint Manager Mobile（原名MobileIron Core）的漏洞又有新消息，繼前一周挪威12個政府遭入侵，發現是利用CVE-2023-35078零時差漏洞攻擊，後續查出同一起攻擊還利用了CVE-2023-35081的零時差漏洞。該公司與美國CISA均呼籲用戶應儘速套用修補更新程式。另外，Citrix在6月修補檔案共享系統ShareFile的CVE-2023-24489漏洞，近期發現已針對未修補該漏洞系統的濫用攻擊行動。</p> <p>另一值得企業警惕的消息是，Canon PSIRT發布產品安全公告，指出初始化過程不會清除印表機Wi-Fi連線設定的漏洞問題，建議用戶在淘汰或送修產品前，應清除這方面的資訊。而3個月前ESET也指出企業淘汰的不同品牌路由器設備，存在未徹底銷毀企業網路組態資訊、企業帳密與應用程式資料的情形。</p> <p>在最新國際威脅焦點方面，有三大消息值得關注，首先是IDOR這類漏洞導致「Web應用程序存取控制濫用」的風險；其次是微軟今年5月揭露中國駭客組織Volt Typhoon鎖定關島及其他地區的電信系統，近期傳出美國政府有相關後續因應行動的消息；第三是中國駭客APT31鎖定東歐的揭露。</p> <p>●澳洲ACSC、美國CISA、NSA聯手發布安全公告，呼籲注意不安全直接物件參照（IDOR）這類漏洞，導致「Web應用程序存取控制濫用」的風險，最值得關注，當中說明了相關技術細節與影響，並且提供具體的開發防護建議。</p> <p>●近期紐約時報指出美國政府官員透露，美國政府正在針對各種軍事防禦系統進行清查，主要就是針對微軟5月揭露的事件而來，同時美國白宮也針對此惡意程式召開一系列會議，討論更多因應方式。</p> <p>●卡巴斯基揭露中國駭客組織APT31從去年4月開始，針對東歐ICS及關鍵CI的受隔離網路環境發動攻擊，初期藉由植入惡意軟體以遠端存取與偵察，接著散布透過USB裝置入侵隔離網路的工具，最後將收集到的資料回傳至C2伺服器。</p> <p>其他值得注意的消息，包括蠕蟲程式P2PInfect有新的揭露，不僅會竄改伺服器的OpenSSH設定，還會透過Redis的複寫（replication）功能來達到自我散布；竊資軟體NodeStealer 2.0的攻擊揭露中，新版具有盜取企業的臉書帳號等更多能力，並使用FodHelper UAC繞過的技術。</p> <p>關於資安防護焦點方面，在國內以AI與後量子的消息受注目。資安院與工研院在7月31日簽訂MOU，預計今年底正式成立「AI產品與系統評測中心」；池安量子資安在8月1日成立量子安全遷移中心，看好相關商機並期望結合學術機構等能量。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/158049"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月31日】Ivanti再度修補行動裝置管理平臺的零時差漏洞，並指出其危險之處在於與另一個漏洞串連使用</span></strong></a></h3> <p>上週挪威政府的資訊系統遭到攻擊，並點名駭客鎖定第三方軟體Ivanti Endpoint Manager Mobile的零時差漏洞CVE-2023-35078而來，呼籲所有用戶應儘速套用更新程式修補。但事隔數日，Ivanti再度修補另一個高風險漏洞CVE-2023-35081，並強調在前述的漏洞攻擊行動裡，駭客也同時運用了這個漏洞。是否還有其他可被攻擊濫用的漏洞？有待進一步觀察。</p> <p>利用Windows搜尋功能網路釣魚攻擊行動，也相當值得留意，有研究人員發現駭客利用Windows搜尋存取遠端伺服器上的惡意檔案，目的是讓使用者誤以為開啟存放於自己電腦的PDF文件，降低戒心而導致電腦被植入木馬程式。</p> <p>Google威脅情報小組（TAG）針對2022年零時差漏洞公布其觀察的結果，最引人注目的部分，就是點名自家行動裝置作業系統的N-day漏洞現象，因為駭客不需自行尋找零時差漏洞，就能進行這類濫用弱點的攻擊行動。</p> <h3><a href="https://www.ithome.com.tw/news/158058"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月1日】Google彙整2022年零時差漏洞攻擊態勢，並指出駭客透過已知漏洞找出新漏洞的現象變得更加氾濫</span></strong></a></h3> <p>漏洞修補不全、安卓生態圈修補時程漫長，已是長久已來的現象，但這樣的情況去年變得更加嚴重。Google近日在針對2022年零時差漏洞的分析當中，特別提及上述情形，其中，對於漏洞修補不全的而衍生的零時差漏洞，過往僅約占2成，但到了去年一舉增加到4成的比例。研究人員認為，這有兩種情況，一是駭客找到了更多的漏洞變形，另一種就是礙於發布更新程式的時間壓力，產生修補不完整的現象。</p> <p>針對安卓裝置的惡意軟體攻擊，近期變得更加氾濫，在今天的資安新聞裡，惡意軟體CherryBlos的攻擊行動特別值得留意，因為，該竊資軟體能對受害裝置裡存放的圖片進行搜括，找出使用者拍下的加密貨幣錢包帳密資料、通關密語，再回傳給駭客。</p> <p>專門鎖定Redis伺服器的惡意軟體P2PInfect攻擊行動，有研究人員公布新的調查結果，並指出該惡意軟體橫向感染的方式，竟是透過Redis的複寫（replication）功能來進行。</p> <h3><a href="https://www.ithome.com.tw/news/158077"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月2日】美國針對軍事補給相關系統進行清查，中國駭客埋入可能干擾軍事行動的惡意軟體</span></strong></a></h3> <p>中國駭客滲透美國政府的情況，在先前有美國政府向微軟通報逾20個組織電子郵件遭竊的情況，最近傳出當局對軍事設施進行調查的消息，原因是他們發現中國駭客2022年部署的惡意軟體，可能會在臺海未來發生戰爭時，防礙美國出兵援助臺灣。美國政府官員認為，這樣的惡意軟體不只影響軍事行動，還有可能波及民間企業及民眾，造成社會恐慌。</p> <p>專門竊取臉書企業帳號的竊資軟體NodeStealer，其動態也相當值得留意。研究人員發現，有人以Python語言重新改寫，使得這個惡意軟體不僅功能變得更加強大，也更難進行反組譯。</p> <p>連網設備恢復原廠初始設定，竟然會遺留部分機敏資料而曝險！Canon上週發布資安通告，指出旗下逾200款噴墨印表機在恢復原廠設定之後，Wi-Fi無線網路組態仍留存，而這些資訊有可能被用來入侵家庭或企業的內部網路環境。</p> <h3><a href="https://www.ithome.com.tw/news/158111"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月4日】駭客利用Salesforce零時差漏洞發動網釣攻擊，目的是竊取企業的臉書帳號</span></strong></a></h3> <p>近期駭客挾持企業的臉書帳號的攻擊行動，有不少是透過臉書廣告、打著提供生成式AI機器人應用程式的名義，散布竊資軟體來進行，但最近出現了更為複雜的手法。有人透過雲端CRM平臺Salesforce的漏洞下手，並將釣魚網站架設於臉書臉書內嵌應用程式平臺的網域（Meta已停止提供相關服務）上，從而迴避資安系統的偵測，並騙取受害組織的臉書帳號。</p> <p>雲端平臺的系統管理工具有可能遭到濫用，而成為駭客的「木馬程式」！研究人員揭露利用AWS EC2系統管理工具System Manager的攻擊手法，攻擊者有可能透過這項工具「管理」其他組織的AWS EC2實體。</p> <p>已被用於攻擊Citrix NetScaler系統存在的零時差漏洞CVE-2023-3519，有研究人員揭露初步調查結果，他們找到640臺伺服器已被部署了後門，並強調這可能僅是受害範圍的冰山一角。</p> <p> </p> </div></div></div>
2023/8/7 10:42作者羅正漢https://www.ithome.com.tw/news/158128
美國醫療集團Prospect Medical Holdings遭網路攻擊，多州醫院受波及
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在美國5個州經營16家醫院的Prospect Medical Holdings上周四（8/3）傳出遭到駭客攻擊，影響旗下多家醫院的IT系統，有些暫停收受急診病人，有些暫停抽血或醫療影像拍攝，並改採傳統的紙筆記錄。</p> <p>Prospect Medical Holdings在美國南加州、康乃迪克州、紐澤西州、賓州與羅德島經營16家醫院，涵蓋三級醫療中心、教學醫院、行為健康機構、社區醫院與長期照護機構等，以及166個門診診所，聘雇逾1.1萬名醫生。</p> <p><a href="https://www.cbsnews.com/news/prospect-medical-cyberattack-california-pennsylvania-hospital/" target="_blank">此一醫療照護集團向《CBS NEWS》證實</a>，它們遇到了危害運作的資料安全意外，已緊急撤下系統，並已在第三方安全專家的協助下展開調查，期望可盡快恢復正常運作。而美國聯邦調查局（FBI）也在隔天介入調查。</p> <p>Prospect Medical Holdings並未公布受駭細節或規模，有部分媒體報導該集團是受到勒索軟體攻擊，另有部分受到波及的醫院自行發布了公告，例如位於康州的<a href="https://tinyurl.com/25v74mpc" target="_blank">ECHN Medical Group便說</a>該意外影響ECHN部分地區的營運與服務，導致某些手術暫停執行，醫療影像與抽血服務也暫停。</p> <p>另一家同樣位於康州的Waterbury Hospital也說它們的電腦系統因遭到網路攻擊而當機，影響所有的住院與門診業務，<a href="https://www.facebook.com/WaterburyHospital/posts/pfbid0cd1w94bxy2md8N4vo12XZxqmX7gECU18tDPYcryL14Uv5krYMz79iuiDaKEvEBi7l" target="_blank">隨後更說</a>發生在Prospect Medical Holdings的這場意外，讓所有的附屬機構的系統都下線，以保護系統及進行調查，而Waterbury則啟動離線程序來因應，除了必須採用紙筆之外，同樣的，醫療影像及抽血服務也都暫停了。</p> <p>根據<a href="https://therecord.media/hospital-network-facing-cyberattack" target="_blank">《Recorded Future News》</a>的報導，除了康州之外，加州、賓州與羅德島的地方媒體都在上周陸續揭露當地Prospect Medical Holdings旗下醫院轉移病患的消息。</p> <p>迄今尚無駭客集團出面承認此事。</p> <p><a href="https://www.tgh.org/cybersecurity-notice" target="_blank">佛州醫療中心Tampa hospital今年也曾遭到勒索軟體攻擊</a>，並外洩了逾120萬名病患資料，除了基本的姓名、電話、住址及社會安全碼之外，少數的病患醫療資訊也被盜走。</p> </div></div></div>
2023/8/7 14:01作者陳曉莉https://www.ithome.com.tw/news/158132
ChatGPT預告本周將大改版，升級GPT-4、Code Interpreter支援上傳多檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI上周預告將在本周改版聊天機器人ChatGPT，底層升級使用GPT-4，並新增提示輸入範例，程式碼解析外掛Code Interpreter支援多檔案上傳。</p> <p><a href="https://twitter.com/OfficialLoganK/status/1687151401523089408" target="_blank">OpenAI技術傳教士暨開發社群關係主管Logan Kilpatrick說明</a>，ChatGPT將增加「一大堆」更新。其中最重要的是，底層AI模型將預設執行GPT-4。付費版ChatGPT Plus服務登入開啟對話後，ChatGPT會記住用戶上次選擇的模型，不必再重覆設定，有助提升生產力。熱門外掛Code Interpreter beta版將支援上傳多個檔案。</p> <p class="rtecenter"><a href="http://twitter.com/OfficialLoganK/status/1687151401523089408" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0807-chatgpt-Logan%20Kilpatrick-600.png" style="width: 438px;" /></a></p> <p>其他加入了使用體驗的相關功能，包括首頁不再一片空白，增加提示範例，OpenAI也會自動合成接續問題作為用戶建議。此外，用戶能長保登入，也不會被每2周登出再登入一次。如果用戶重新登入，也會有新的歡迎頁。最後，ChatGPT增加鍵盤捷徑，按「Ctrl+/」可顯示完整清單。</p> <p>也有用戶提出願望清單，包括<a href="https://help.openai.com/en/articles/8077698-how-do-i-use-chatgpt-browse-with-bing-to-search-the-web" target="_blank">7月因被濫用而遭OpenAI關閉的網頁搜尋功能Browse with Bing</a> 、以及提示紀錄搜尋等。</p> <p>OpenAI另外還宣布<a href="https://twitter.com/OfficialLoganK/status/1686788266886942720" target="_blank">開發者文件區加入搜尋功能</a>（下圖），這也是用戶喊了一年多的功能需求。</p> <p class="rtecenter"><a href="https://twitter.com/OfficialLoganK/status/1686788266886942720/photo/2" target="_blank"><img alt="" src="https://pbs.twimg.com/media/F2isdurXUAAx0Wg?format=jpg&name=large" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><a href="https://twitter.com/OfficialLoganK/status/1686788266886942720/photo/2" target="_blank"><span style="color:#696969;">圖片來源_Logan Kilpatrick</span></a></span></p> </div></div></div>
2023/8/7 10:56作者林妍溱https://www.ithome.com.tw/news/158129
Google邀請員工免通勤住廠區，利誘回公司上班
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為提升回公司上班的意願，<a href="https://www.cnbc.com/2023/08/04/google-offers-on-campus-hotel-special-to-lure-workers-back-in.html" target="_blank">CNBC報導</a>，Google提供了住房補助方案，讓員工上班期間住在距公司較近的飯店，免除來回通勤之苦。但部分員工似乎不買帳。</p> <p>CNBC取得的Google一份名為「夏日特惠」方案，特惠期間到9月30日為止，以一晚99美元的代價住在廠區內的飯店。主打員工不用長途通勤。根據報導，該方案提供的對象是加州山景市去年新啟用的新Google廠區的正職員工，主要使用者是開發廣告產品的4,000名員工。</p> <p>這份方案僅主要是讓遠距員工回公司述職。2020年新冠疫情爆發，Google、微軟、Meta、蘋果等大廠啟動長期在家辦公的措施。2022年疫情趨緩後這些大廠重啟辦公室，也開啟居家與公司並行的混合作業型態，像是Google要求員工一周回公司上班至少3天。但由於員工已習於遠距辦公，即使公司軟性宣導，員工仍然不願回公司，迫使這些大型科技公司祭出誘因。</p> <p>不過部分員工表現興趣缺缺。在Google員工討論區，一名員工表示，自家環境好太多了。另一名員工表示，這下子有部分薪資要還給Google了。還有員工說，住在公司附近才會破壞工作和生活的平衡。</p> <p>社群平臺X及特斯拉執行長馬斯克（Elon Musk）即是強烈要求員工到公司工作的一派。他要求員工一周在公司上班至少40小時，只有針對極端優秀的員工他才會同意遠距辦公的要求。去年<a href="https://www.forbes.com/sites/cyrusfarivar/2022/12/05/elon-musk-twitter-bedrooms/?sh=6c1a94cbd791" target="_blank">《Forbes》</a>報導，馬斯克將當時還叫推特的公司部分辦公區改造成頗為舒適的房間，<a href="https://twitter.com/hashtag/SleepWhereYouWork?src=hashtag_click" target="_blank">而不用再打地舖</a>，要求核心員工住在公司以強化團隊協同。</p> </div></div></div>
2023/8/7 11:29作者林妍溱https://www.ithome.com.tw/news/158130
Datadog推出Bits AI以大型語言模型改進企業系統可觀察性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Datadog將大型語言模型用於監控，建立一個稱為<a href="https://www.datadoghq.com/blog/datadog-bits-generative-ai/" target="_blank">Bits AI</a>的人工智慧助理，增加企業對系統的可觀察性。另外，針對如GPT或是BERT等預訓練大型語言模型，Datadog也推出可觀察性工具<a href="https://www.datadoghq.com/blog/dash-2023-new-feature-roundup/#llm-observability" target="_blank">LLM Observability</a>，用以監控生成式人工智慧應用程式，發現底層大型語言模型可能存在的問題。</p> <p>監控應用程式和基礎設施是一項負擔繁重的工作，需要篩選來自不同系統的大量資料和文件，Datadog開發Bits AI可觀察性助理，供用戶以自然語言指令處理端到端事件管理，加速問題診斷以及確認事件影響範圍。</p> <p>Bits AI提供單一對話介面，查詢和關聯整個Datadog平臺上的重要資料，監控範圍包括日誌、指標、追蹤、內部文件甚至是Slack對話等所有內容。Datadog採用了OpenAI的大型語言模型來強化Bits AI的功能，大幅降低系統監控的門檻，用戶能從Slack協調回應，Bits AI也會自動更新狀態給相關人士，而對於程式碼層級的錯誤，Bits AI甚至會提供簡單錯誤說明與修復建議，用戶只要滑鼠點擊就可以應用修復建議，並以單元測試驗證修復的正確性。</p> <p>當事件獲得解決後，Bits AI還將協助用戶編寫分析報告，除了提供事件發生時的系統狀態，同時也會分析事件對客戶的影響，以及紀錄最後採取的措施。</p> <p>Datadog並非第一家將大型語言模型用於監控工具的廠商，其競爭對手New Relic在今年5月就已經使用OpenAI多模態大型語言模型推出<a href="https://newrelic.com/blog/nerdlog/new-relic-grok" target="_blank">Grok</a>，同樣讓用戶可以使用自然語言對話，深入了解系統問題，並獲得相對應的建議。</p> <p>另外，針對企業大量在應用程式中整合預訓練大型語言模型，提供生成式人工智慧功能，Datadog也推出大型語言模型可觀察工具LLM Observability，供開發人員更深入了解底層大型語言模型的行為，Datadog提到，企業對模型的控制與了解不足，可能會導致模型表現不佳甚至不準確。</p> <p>LLM Observability供用戶觀察提示詞以及回應，方便追蹤模型效能並探索可改進的機會。該工具為一個可持續監控大型語言模型的解決方案，偵測有問題的叢集、模型飄移，以及可能影響模型效能的特殊提示詞和回應特徵。</p> </div></div></div>
2023/8/7 09:51作者李建興https://www.ithome.com.tw/news/158119
金融三業上雲大鬆綁來了！金管會正式公布相關修正辦法，兩周內上路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會今日宣布金融上雲鬆綁委外修正辦法，不只銀行局發布，保險局和證期局也同時發布委外修正規定。金管會主任秘書蔡福隆表示，修正辦法最快兩周內上路。</p> <p>金管會今日發布「金融機構作業委託他人處理內部作業制度及程序辦法」修正，以及「保險業作業委託他人處理應注意事項」修正，及「證券暨期貨市場各服務事業作業委託他人處理相關規定」，也就是金融三業的委外修正辦法公布。</p> <p>過去銀行委外使用雲端服務時，涉及重大性委外作業或是將作業委託到境外公雲，都得事先向金管會申請核准，需耗費不少時間。因此，今年三月，金管會發布金融機構委外辦法修正預告，並於今日發布修正辦法。</p> <p>這次的修正大幅鬆綁企業上雲規定，例如，銀行業者使用境內雲端服務，如處理一般性事務或辦公應用，不需要事先申請核准或備查。另外，部分委外作業項目首例經過金管會核定，其他金融機構也可以跟著使用，不須申請。針對跨境委外申請範圍，則限縮至重大性消費金融業務資訊系統委託到境外，應需要事先申請。</p> <p>針對重大性消費金融業務，業者仍需要事先申請。銀行局副局長林志吉說明，所謂重大性的定義包含委外項目涉及客戶的資安事件，可能對客戶權益有重大影響。例如，若有金融機構想將個人客戶的存款業務系統委託到境外，可以判定為重大性消金資料的資訊系統。</p> <p>針對境外定義，金管會說明，要以受委託機構實際辦理作業的地點，而非公司註冊地點。此外，同一集團內即便有受委託機構經過核准，若作業項目為重大消費金融資訊系統，仍需要再次進行申請。</p> </div></div></div>
2023/8/4 18:50作者李昀璇https://www.ithome.com.tw/news/158126
【資安日報】8月4日，駭客利用Salesforce零時差漏洞發動網釣攻擊，目的是竊取企業的臉書帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期駭客挾持企業的臉書帳號的攻擊行動，有不少是透過臉書廣告、打著提供生成式AI機器人應用程式的名義，散布竊資軟體來進行，但最近出現了更為複雜的手法。有人透過雲端CRM平臺Salesforce的漏洞下手，並將釣魚網站架設於臉書臉書內嵌應用程式平臺的網域（Meta已停止提供相關服務）上，從而迴避資安系統的偵測，並騙取受害組織的臉書帳號。</p> <p>雲端平臺的系統管理工具有可能遭到濫用，而成為駭客的「木馬程式」！研究人員揭露利用AWS EC2系統管理工具System Manager的攻擊手法，攻擊者有可能透過這項工具「管理」其他組織的AWS EC2實體。</p> <p>已被用於攻擊Citrix NetScaler系統存在的零時差漏洞CVE-2023-3519，有研究人員揭露初步調查結果，他們找到640臺伺服器已被部署了後門，並強調這可能僅是受害範圍的冰山一角。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://labs.guard.io/phishforce-vulnerability-uncovered-in-salesforces-email-services-exploited-for-phishing-32024ad4b5fa"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Salesforce零時差漏洞被用於臉書網釣攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1_6QQqMFWvWC_dym3GVgzdlA.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_6QQqMFWvWC_dym3GVgzdlA.png" style="width: 300px; float: right;" /></a>資安業者Guardio揭露雲端CRM平臺Salesforce的漏洞PhishForce，駭客藉此漏洞繞過該CRM平臺的寄件人驗證措施，並濫用臉書內嵌應用程式平臺，來大規模發送釣魚郵件。</p> <p>研究人員指出，駭客濫用了Email-to-Case的功能，該功能主要是讓組織能將客戶寄入的電子信件轉換為Salesfoce系統傳遞的處理工單，但駭客將其用來設置新的工作流程，進而控制Salesforce產生的電子郵件信箱，並產生salesforce.com網域的內部信箱，且將其設置為組織全域的電子郵件信箱，然後用於發送釣魚郵件，而能繞過Salesforce的驗證措施，以及組織設置的郵件安全系統。</p> <p>在其中一起攻擊行動裡，駭客假借Meta的名義，聲稱收信人的臉書帳號出現異常，一旦依照指示點選信中連結，就會被帶往架設在臉書內嵌應用程式平臺（apps.facebook.com）的釣魚網頁。對此，Salesforce獲報後著手修補漏洞，Meta移除釣魚網頁，並著手調查駭客如何濫用該臉書內嵌應用程式平臺。</p> <p><a href="https://www.mitiga.io/blog/mitiga-security-advisory-abusing-the-ssm-agent-as-a-remote-access-trojan"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">雲端服務寄生攻擊出現新手法，AWS EC2系統管理工具System Manager有機可乘，能被當作木馬程式利用</span></strong></a></p> <p>資安業者Mitiga發現針對AWS雲端服務的後漏洞利用攻擊手法，攻擊者一旦濫用該平臺的系統管理代理程式System Manager（SSM），就有可能將其當做RAT木馬程式，且難以被資安系統察覺。</p> <p>研究人員指出，由於SSM不只能在Amazon EC2上執行，也支援能在其他伺服器或虛擬機器（VM）上運作，首先，他們設置SSM為混合模式來執行，以便進一步將其用於攻擊行動，然後下達bash指令，讓SSM與EC2無關的AWS帳號進行通訊、執行命令。若因無法取得攻擊目標的相關權限而不能挾持SSM，攻擊者可透過執行另一個SSM，來存取目標AWS帳號的EC2環境。</p> <p>對此，AWS表示，IT人員可透過SSM的VPC端點功能，來限制EC2接收命令的來源；研究人員也建議IT人員在防毒軟體及EDR系統的白名單當中，移除SSM代理程式。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/08/02/midnight-blizzard-conducts-targeted-social-engineering-over-microsoft-teams/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客利用Teams鎖定政府機關進行網釣攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fig1-Midnight-Blizzard-request-M.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig1-Midnight-Blizzard-request-M.png" style="width: 300px; float: right;" /></a>微軟揭露俄羅斯駭客組織APT29（亦稱Midnight Blizzard、Nobelium）透過協作平臺Teams進行的網路釣魚攻擊，攻擊者先滲透小型企業的Microsoft 365管理員帳號，利用相關權限建立新的子網域，再透過Teams傳送訊息給目標對象，目的是騙取相關的帳密資料。</p> <p>自今年5月至今，已有接近40個組織遭受攻擊，這些目標涵蓋政府機關、非政府組織（NGO）、IT服務業者、科技業者、製造業、媒體產業。其中一起事故是駭客佯稱提供微軟身分驗證保護服務，一旦使用者接受Teams對話請求，駭客便會以各種方式引誘開啟動態密碼產生器Microsoft Authenticator，並要求依照指示產生動態密碼並提供給駭客，若是使用者照做，對方就能藉由Microsoft Entra ID（原Azure AD）新增裝置，以便進一步長期在受害組織進行後續攻擊行動。</p> <p><a href="https://www.bleepingcomputer.com/news/security/over-640-citrix-servers-backdoored-with-web-shells-in-ongoing-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾640臺存在重大漏洞的Citrix NetScaler伺服器被部署Web Shell「中國菜刀」</span></strong></a></p> <p>7月下旬Citrix針對旗下的Netscaler ADC、NetScaler Gateway，修補零時差漏洞CVE-2023-3519（CVSS風險評分為9.8），並表示該漏洞已被用於攻擊行動，如今有研究人員公布受害規模。</p> <p>根據非營利組織Shadowserver基金會的調查，截至7月30日，至少有640臺Netscaler伺服器遭到入侵，駭客得逞後便部署了名為中國菜刀（China Chopper）的Web Shell。研究人員認為，上述的發現遠低於他們認為的受害規模（截至8月2日尚未修補的伺服器數量仍接近1萬臺），並呼籲IT人員應認定尚未修補的伺服器已經遭到攻擊，來進行後續的處置。美國網路安全暨基礎設施安全局（CISA）證實，此漏洞已被用於攻擊該國的關鍵基礎設施（CI）。</p> <p><a href="https://www.cleafy.com/cleafy-labs/spynote-continues-to-attack-financial-institutions"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體SpyNote攻擊歐洲銀行客戶的安卓手機</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/64c3d0d8cc94f23cfc85dfe5_Screenshot 2023-07-28 at 16_25_50.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/64c3d0d8cc94f23cfc85dfe5_Screenshot%202023-07-28%20at%2016_25_50.png" style="width: 300px; float: right;" /></a>資安業者Cleafy針對安卓間諜軟體SpyNote近期的攻擊行動提出警告，他們在今年6月至7月，看到駭客鎖定歐洲銀行的客戶，發送釣魚簡訊，聲稱使用者必須部署通過驗證的新版銀行應用程式，才能正常使用App。</p> <p>接著，他們再向使用者發送第2封簡訊，這次是引導使用者從Google Play市集下載TeamViewer QuickSupport，目的是讓攻擊者後續假冒銀行的客服人員向受害者聯繫，並在手機上執行詐欺交易。</p> <p>有別於其他金融木馬，SpyNote同時具備間諜軟體的功能，不只能收集簡訊、聯絡人名單、側錄聲音及鍵盤輸入的內容、拍下螢幕畫面、利用GPS定位跟蹤用戶的地理位置、繞過雙因素驗證（2FA），還能透過螢幕投影（MediaProjection）API來側錄、傳出螢幕的內容。</p> <p><a href="https://checkmarx.com/blog/first-known-targeted-oss-supply-chain-attacks-against-the-banking-sector/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">NPM開源軟體供應鏈攻擊針對銀行產業而來，攻擊者利用NPM套件、在LinkedIn設立假履歷引誘開啟惡意連結</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/oss-image-5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/oss-image-5.png" style="width: 300px; float: right;" /></a>資安業者Checkmarx揭露針對銀行業的開源軟體供應鏈攻擊，其中一起約從4月開始，駭客在5日至7日，先上傳了數個NPM套件，並建立LinkedIn個人履歷，以此聯繫受害組織的員工，引誘他們下載前述的NPM套件。</p> <p>一旦員工依照指示下載並執行安裝，該惡意套件會先偵測受害電腦執行的作業系統，並使用含有銀行名稱的Azure CDN子網域，從遠端下載第二階段惡意程式Havoc Framework，此框架功能類似滲透測試工具Cobalt Strike、Brute Ratel C4、Silver。</p> <p>研究人員指出，駭客採用Havoc Framework的目的，就是迴避防毒軟體Microsoft Defender，以及Windows內建的安全機制。</p> <p><a href="https://thehackernews.com/2023/07/avrecon-botnet-leveraging-compromised.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">入侵家用路由器的殭屍網路AVRecon運作模式細節被揭露，證實駭客以此提供代理伺服器服務牟利</span></strong></a></p> <p>資安業者Lumen揭露Linux惡意軟體AVrecon的攻擊行動，駭客的主要目的，就是占用家用網路的路由器頻寬，並轉賣給他人做為非法的代理伺服器，現在研究人員又有新的發現。</p> <p>資安新聞網站Krebs On Security、資安業者Spur進行調查，根據AVrecon所使用的C2進行比對，結果發現，這些駭客專門挾持家用路由器，用於經營代理伺服器業務SocksEscort長達12年之久，此業者專門透過SOCKS通訊協定，讓使用者通過代理伺服器。資安業者Lumen表示，駭客在他們揭露AVrecon的隔日（7月13日），便將感染此惡意軟體的路由器連接至新的C2基礎設施。</p> <p>而對於這些駭客的來歷，Krebs On Security指出，根據他們的調查，SocksEscort與一家位於摩爾多瓦的VPN服務業者有關，該公司在蘋果的App Store及其他市集提供應用程式。威脅情報業者Inte 471指出，這些駭客曾在2009年，以SSC的使用者請求地下論壇測試網站的安全性。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://krebsonsecurity.com/2023/07/who-and-what-is-behind-the-malware-proxy-service-socksescort/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-1217145102" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://krebsonsecurity.com/2023/07/who-and-what-is-behind-the-malware-proxy-service-socksescort/</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://spur.us/2023/07/christmas-in-july-a-finely-wrapped-proxy-service/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-1890310271" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://spur.us/2023/07/christmas-in-july-a-finely-wrapped-proxy-service/</span></a></p> <p><a href="https://cofense.com/blog/google-amp-the-newest-of-evasive-phishing-tactic/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google行動裝置網頁框架AMP遭濫用，駭客用於繞過資安防護發送釣魚信</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure3-Featured-Image.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure3-Featured-Image.png" style="width: 300px; float: right;" /></a>資安業者Cofense發現新的網路釣魚攻擊手法，今年5月起，他們看到有些釣魚郵件，嵌入採用Google行動裝置網頁框架AMP服務的網址，其目的是繞過郵件安全系統的偵測機制，竊取企業員工的帳密資料。</p> <p>研究人員指出，駭客約在逾四分之三（77%）的攻擊行動裡，濫用google.com的網域，其餘則是google.co.uk。此外，這些駭客也同時濫用其他迴避偵測的手法，這些包含了URL重新導向、Cloudflare的CAPTCHA圖靈驗證機制，以及以圖片來呈現電子郵件內文等手法。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/ivanti-discloses-new-critical-auth-bypass-bug-in-mobileiron-core/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Ivanti再度針對行動裝置管理平臺公布重大漏洞</span></strong></a></p> <p>8月2日Ivanti針對旗下的行動裝置管理平臺MobileIron Core發布資安通告，指出該平臺存在重大漏洞CVE-2023-35082，此為身分驗證繞過漏洞，可讓未經身分驗證的使用者存取受到被限制的功能或是資源，CVSS風險評為10分，影響11.2版以前的MobileIron Core。</p> <p>對此，該公司表示此系統已於去年3月終止支援，他們不會提供修補程式，使用者應升級最新版本的Endpoint Manager Mobile（EPMM）來避免曝露相關風險。通報上述漏洞的資安業者Rapid7，也公布入侵指標（IoC），讓組織能檢查是否遭到相關攻擊。</p> <p>資料來源</p> <p>1. <a href="https://forums.ivanti.com/s/article/CVE-2023-35082-Remote-Unauthenticated-API-Access-Vulnerability-in-MobileIron-Core-11-2-and-older">https://forums.ivanti.com/s/article/CVE-2023-35082-Remote-Unauthenticated-API-Access-Vulnerability-in-MobileIron-Core-11-2-and-older</a><br /> 2. <a href="https://www.rapid7.com/blog/post/2023/08/02/cve-2023-35082-mobileiron-core-unauthenticated-api-access-vulnerability/">https://www.rapid7.com/blog/post/2023/08/02/cve-2023-35082-mobileiron-core-unauthenticated-api-access-vulnerability/</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://chromereleases.googleblog.com/2023/08/stable-channel-update-for-desktop.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google發布Chrome 115更新，修補排版引擎V8漏洞</span></span></strong></a></p> <p><a href="https://www.securityweek.com/firefox-116-patches-high-severity-vulnerabilities/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Mozilla發布Firefox 116，修補高風險記憶體安全漏洞</span></span></strong></a></p> <p><a href="https://guardz.com/blog/the-massive-macos-threats-trending-in-the-dark-web/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">針對Mac電腦的hVNC惡意軟體主要目標是中小企業</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/fake-flipperzero-sites-promise-free-devices-after-completing-offer/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客假借免費提供滲透測試設備Filpper Zero發動攻擊</span></span></strong></a></p> <p><a href="https://www.hackread.com/axis-a1001-flaw-facilities-unauthorized-access/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國針對Axis智慧門鎖的漏洞提出警告</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158077">【8月2日】美國針對軍事補給相關系統進行清查，中國駭客埋入可能干擾軍事行動的惡意軟體</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158058">【8月1日】 Google彙整2022年零時差漏洞攻擊態勢，並指出駭客透過已知漏洞找出新漏洞的現象變得更加氾濫</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158049">【7月31日】 Ivanti再度修補行動裝置管理平臺的零時差漏洞，並指出其危險之處在於與另一個漏洞串連使用</a></strong></p> </div></div></div>
2023/8/4 15:37作者周峻佑https://www.ithome.com.tw/news/158111
鎖定MFT系統MOVEit攻擊事件近六百家企業機構遭殃，且規模持續擴大（截至7月31日）
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾年以來，繼Accellion FTA、GoAnywhere等MFT檔案共用系統的用戶，傳出遭到大規模的零時差漏洞攻擊，導致使用者資料外洩，類似情況近期再度傳出。今年5月底，IT業者Progress發布公告，指出旗下的MFT解決方案出現零時差漏洞，且已有攻擊行動出現。</p> <p>這起事故發生迄今快2個月，從當初有資安業者指出攻擊者的身分，到駭客組織坦承犯案、公布受害組織名單，後來則有部分企業與公家機關證實遭遇相關攻擊。但相較於先前的事故，這次有許多不同的地方。</p> <p>首先，與前述的Accellion FTA、GoAnywhere事件相同，背後的攻擊者都是勒索軟體駭客Clop，但這次陸續浮出檯面的受害組織竟多達數百個，駭客分成多次公布名單，而且每次都引起不少關注。</p> <p><a href="https://s4.itho.me/sites/default/files/images/MOVEit-overview_cKArhktp85.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MOVEit-overview_cKArhktp85.png" style="width: 580px;" /></a></p> <blockquote><p>資料來源：Mandiant、Progress、Bleeping Computer、KonBriefing、Coveware，iThome整理，2023年8月</p> </blockquote> <p>另一方面，有別於過往事件證實受害的企業與政府機關，同時其檔案共用系統也遭遇攻擊，但這次出面公布遇害的組織，不少是因為IT服務供應商建置的MOVEit Transfer遭遇攻擊，導致自己的內部資料、客戶資料外洩而出面公告。</p> <p>再者，這次駭客利用的漏洞是CVE-2023-34362（CVSS風險評分為9.8），而Progress在攻擊事件發生之後，委由資安業者Huntress，協助檢視MOVEit Transfer的程式碼，後續在一個月內，數次發現新的重大漏洞，部分漏洞在公布當下甚至尚未取得CVE編號，如此紊亂的修補狀態，也是前述幾起MFT系統遭攻擊事件所沒有出現的情形。</p> <h3><span style="color:#0000FF;"><strong>事件的首度揭露源自零時差漏洞公告</strong></span></h3> <p>這起資安事件的曝光，主要與5月底Progress發布的漏洞公告有關。根據資安新聞網站Bleeping Computer的報導，駭客針對Progress公司旗下MFT檔案共享系統MOVEit Transfer的零時差漏洞，發動攻擊，竊取組織存放的檔案，且已有許多組織受害。</p> <p>該新聞網站認為，駭客利用的漏洞與Progress在5月31日公布的SQL注入漏洞有關──此漏洞能允許未經身分驗證的攻擊者取得資料庫權限，而能截取MOVEit所採用的資料庫內容。</p> <p>Progress呼籲IT人員，應暫時以防火牆停用該伺服器所有HTTP與HTTPS流量來因應。而根據Progress在該媒體提出的說明，雲端服務版本MOVEit Cloud也受到影響。當時，這個漏洞尚未取得CVE編號。</p> <p>6月1日， Rapid7、Huntress、TrustedSec等多家資安業者指出，在網際網路上，約有2,500臺MOVEit Transfer伺服器曝露於這個資安風險，已遭攻擊的伺服器都出現檔名為human2.aspx的Web Shell，此指令碼會找尋受害伺服器存放的資料、Azure Blob儲存桶的帳密資料，以及從伺服器下載檔案。研究人員亦公布攻擊來源IP位址等入侵指標（IoC），供組織防範相關攻擊。</p> <p>隨後，有其他資安業者提出更多細節。資安業者GreyNoise提出警告，在前述的資安通告裡，Progress呼籲IT人員檢查MOVEit Transfer近30天裡的事件記錄，確認是否出現未經授權的存取情形，但根據他們的觀察，在3月3日駭客就嘗試掃描該系統登入網頁的行動，因此，IT人員調查事件記錄的範圍，應至少延長至90天。資安業者Mandiant則認為，駭客開始利用零時差漏洞發動攻擊的時間點，是5月27日，當時是美國的陣亡將士紀念日假期。</p> <p>而對於攻擊者的身分，微軟威脅情報團隊於5日表示，根據他們的調查，很有可能就是勒索軟體駭客組織Clop（該公司稱做Lace Tempest）所為，理由是該組織也曾利用類似的漏洞來竊取資料，並向受害組織勒索。</p> <h3><strong><span style="color:#0000FF;">受害企業與組織不斷浮出檯面，表明受到攻擊</span></strong></h3> <p>在微軟懷疑攻擊者的身分後，駭客組織Clop開始有所行動，同時也有企業與政府單位表明受害。在這些組織當中，有不少MOVEit Transfer，是IT服務業者維護的系統。</p> <p>最早證實遭到攻擊的組織約於6月5日出現，包含了英國航空、英國廣播公司（BBC）、薪資系統服務供應商Zellis、加拿大新斯科舍省政府等。</p> <p>其中，英國航空發出聲明，表示他們受到了Zellis的資安事件波及，而該事故與MOVEit Transfer檔案傳輸系統有關。Zellis也證實遭到攻擊，該業者的事故不只影響英國航空，還有BBC、愛爾蘭航空（Aer Lingus）、藥妝連鎖業者Boots受害。</p> <p>而對於微軟的指控，Clop向資安新聞網站Bleeping Computer透露，這起攻擊行動就是他們所為，並宣稱開始發動攻擊的時間是5月27日，但不願透露入侵此種檔案共享系統伺服器的數量，僅表示他們即將向受害組織進行勒索，要求這些組織於6月14日前進行談判。</p> <p>特別的是，這次駭客強調不向政府機關、軍事單位、兒童醫院索討贖金，他們已將從這些組織竊得的資料刪除。然而，這項說法是否正確，該新聞網站表示無從判斷。根據另一家資安新聞網站The Record的報導，Clop宣稱受害組織有數百家，但實際規模仍不得而知。</p> <p>在駭客首度公布受害組織名單之前，還有IT服務業者PBI Research Services、美國羅徹斯特大學、英國電信主管機關Ofcom也表示遭駭，證實遭遇有關攻擊。</p> <h3><span style="color:#0000FF;"><strong>駭客多次公布受害組織名單</strong></span></h3> <p>隨著駭客組織Clop設下的談判期限到來，他們也開始在暗網上的網站公布部分受害組織。</p> <p>值得留意的是，雖然駭客聲稱有數百個組織受害，但他們分成多次公布部分名單，且初期每次的數量都不多，而使得遭到公布的組織都受到相當程度的關注。這樣分批揭露、細水長流的做法，也和這些駭客在GoAnywhere攻擊行動當中，一口氣將一百多個組織公布於網站的方式相當不同。</p> <p>根據資安新聞網站Bleeping Computer的報導，勒索軟體Clop於6月14日公布1份受害組織名單，總共列出13個對象，其中包含了石油公司殼牌、保險公司UnitedHealthcare Student Resources、喬治亞大學（UGA）、喬治亞大學系統（USG）、精密印刷機械業者海德堡（Heidelberger Druckmaschinen）、歐洲渡假村集團Landal Greenparks。</p> <p>對此，殼牌、Landal Greenparks證實有部分客戶資料外洩，海德堡則表示尚無資料外洩的跡象。此外，根據CNN的報導，美國能源部及多個聯邦機構也遭遇此次的零時差漏洞攻擊。</p> <p>根據資安業者ReliaQuest 的追蹤，6月15日，這些駭客又公布14個受害組織。這些單位大部分來自美國，其中有3個為歐洲組織，分別是位於法國、瑞士、盧林堡的組織，而且，主要是金融服務業、但也有醫療保健、製藥廠，以及科技產業。</p> <p>6月16日美國東部時間上午，又有10個受害組織被駭客列入名單，值得留意的是，這次開始有亞洲的組織出現。截至目前為止，駭客聲稱有37個組織遇害，其中美國組織最多，共有23個。而從這些企業的產業類型來看，有14個為金融服務業者，醫療保健業者、製藥及生物技術業者各有4家。</p> <p><a href="https://s4.itho.me/sites/default/files/images/616-4pm-regions.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/616-4pm-regions.png" style="width: 288px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/616-4pm-industries.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/616-4pm-industries.png" style="width: 320px; height: 232px;" /></a></p> <blockquote><p>資安業者ReliaQuest於6月16日，彙整已確認受害的組織，其中逾半數受害組織（63%）位於美國，而從所屬產業的領域而言，金融服務業的比例最高（37%），醫療保健、科技業次之。（圖片來源／<span style="font-style: italic;">ReliaQuest</span>）</p> </blockquote> <p>同日下午4時，研究人員看到駭客在網站新增3個組織。值得留意的是，他們發現其中一家企業向駭客表態拒絕妥協之後，駭客公布了該組織的遭竊資料。</p> <p>6月19日，勒索軟體駭客Clop公布11個新的受害組織，且開始有澳洲的組織被列入名單。此外，對於本次公布的名單，有1個組織的部分遭竊資料也被駭客洩露。</p> <p>隔日，駭客又再公布其中一家受害組織的資料，但研究人員指出，與前2家組織資料被公布的情況不同，駭客一口氣公布所有從該組織偷到的檔案。21日，駭客再公布2家受害組織的資料，並針對近期媒體的報導提出說明，表明他們是唯一利用這項零時差漏洞的駭客組織，他們的目的就是為了賺錢。</p> <p>6月22日，Clop於網站上增列4個組織，其中包含2家會計師事務所及1家科技公司。同時，駭客也洩露2個組織的資料。</p> <p>到了23日，這些駭客公布2個新的受害組織名稱，並洩露5個組織的資料。截至目前為止，有58個組織被列於駭客的網站上。</p> <p><a href="https://s4.itho.me/sites/default/files/images/MOVEit-list_5xS9mauSDP.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MOVEit-list_5xS9mauSDP.png" style="width: 580px;" /></a></p> <blockquote><p>資料來源：<span style="font-style: italic;">Bleeping Computer、SecurityWeek，iThome整理，2023年8月</span></p> </blockquote> <p>接下來，這些駭客陸續又增列一些受害組織，到了 7月5日，研究人員看到36個新列入的組織。截至28日，該駭客組織總共公布受害的企業、政府機關，累計超過250個。</p> <h3><strong><span style="color:#0000FF;">受害規模持續擴大，亦有不少組織受到第三方供應商牽連</span></strong></h3> <p>而針對這起事故的受害規模，我們也可以從另一家資安業者Emsisoft的說法，來看出影響程度不同以往。該公司指出，截至7月26日，有接近500個組織、近2,400萬人的資料因本次事件而曝險。</p> <p>研究人員看到駭客在網站公布206個組織，另一方面，有超過136個組織非MOVEit Transfer的用戶，是因第三方廠商而受波及。至於證實受到攻擊事件影響的組織，總共有286個，其中約有四分之一說明了個資受影響的人數。</p> <p>根據新聞報導、駭客公布的名單、受害組織發出的聲明，以及向美國地方政府或證券交易委員會（SEC）通報的資料，研究機構KonBriefing也公布他們彙整的資料，並設置專屬網頁不斷更新結果。截至7月31日，他們確認有545個組織受害，約有3,270萬至3,760萬人遭受波及，這些組織遍及至少31個國家。</p> <p>而根據這些組織所屬的國家，大多數（389個）是來自美國，其次是德國、加拿大、英國，分別有35個、25個、24個組織受害。值得留意的是，美國學術機構多達129個，占該國受害組織近三分之一，其次是公家機關，有25個聯邦單位受害。研究人員也提及，在加拿大的受害組織當中，13個是公家機關，也就是該國每2個受害組織就有1個是公部門。</p> <p><a href="https://s4.itho.me/sites/default/files/images/MOVEit-Affected-orgs-0731.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MOVEit-Affected-orgs-0731.png" style="width: 580px;" /></a></p> <blockquote><p>根據研究機構KonBriefing的統計，截至7月31日，共有545個組織證實受到攻擊事件影響，其中有389個位於美國，其次則是德國、加拿大、英國，各有超過20個組織受害。（圖片來源／KonBriefing）</p> </blockquote> <p>值得留意的是，資安業者Kroll發現，駭客早在2021年7月就找到CVE-2023-34362，並策畫在完成GoAnywhere攻擊之後，才進行本次的攻擊行動。這意味著該漏洞曝露長達快2年的時間，駭客可能已經過充分的模擬和測試，最後才決定下手。</p> <p>另一方面，資安業者Censys指出，在5月底Progress發布資安通告及修補程式之前，他們看到約有逾3千臺MOVEit Transfer伺服器曝露於網際網路上。根據這2家資安業者的發現，也代表現在被揭露的受害組織，很可能只是其中的一小部分。</p> <p>對於實際的受害規模，目前仍難以估計。美國網路安全暨基礎設施安全局（CISA）、聯邦調查局（FBI）推估，超過3千個當地組織受害，其他國家可能也有8千個組織遭受攻擊。</p> <p>不過，這起攻擊行動當中，駭客並未對存放於MOVEit Transfer的檔案進行加密，因此，受害組織會願意向駭客低頭，支付贖金換取資料不被外流嗎？</p> <p>資安業者Coveware指出，他們認為這起攻擊行動有超過1千個組織會直接受到影響，但僅有非常少數組織願意談判，更別說是支付贖金。</p> <p>然而，還是有組織選擇向駭客低頭，且付出代價極為高昂，遠超過勒索軟體駭客組織Clop其他攻擊行動的金額（平均約74萬美元）。研究人員估計，駭客總共從這些極為少數的受害組織，收到了7,500萬至1億美元的贖金。</p> <h3><strong><span style="color:#0000FF;">後續頻繁針對新發現的漏洞進行緊急公告</span></strong></h3> <p>雖然整起事件當中，駭客只有利用CVE-2023-34362，但這次Progress應變處理的可取之處在於，他們在事發之後隨即尋求資安業者協助，檢視MOVEit Transfer的程式碼來改善安全。不過，頻繁發布新漏洞的資安通告，也很可能讓IT人員無所適從，疲於採取緩解措施，或是安裝更新軟體。</p> <p>6月9日，Progress表示在資安業者Huntress的協助下，找到SQL注入漏洞CVE-2023-35036，CVSS風險評分為9.1，影響所有版本的MOVEit Transfer，該公司提供修補程式，並指出目前該漏洞尚未遭到利用。</p> <p>事隔不到一週，Progress於15日又再度發布公告，針對新漏洞CVE-2023- 35708 提出緩解措施，呼籲IT人員暫時停用所有HTTP與HTTPS流量，該公司在隔天發布了修補程式。此漏洞也是SQL注入漏洞，CVSS風險評分達到9.8。</p> <p>值得留意的是，無論是CVE-2023-34362還是CVE-2023- 35708，Progress首度公布漏洞的時候皆未取得CVE編號，也沒有提供CVSS評分，IT人員只能從公告的說明當中，得知該公司認定漏洞極為嚴重，難以判斷要如何安排修補順序。</p> <p>到了7月初，Progress發布新的資安通告，一口氣揭露3個漏洞CVE-2023-36932、CVE-2023-36933、CVE-2023-36934，這些漏洞主要與SQL注入有關。其中最嚴重的是CVE-2023-36934，CVSS風險評分達到9.1，另外2個漏洞也達到高風險等級。</p> <p>從事件發生之後，Progress總共修補了6個CVE漏洞，然而根據這些資安通告，不同程度的MOVEit Transfer修補層級，IT人員需要採取的更新步驟也不同，使得修補工作變得更為複雜。</p> </div></div></div>
2023/8/4 16:38作者周峻佑https://www.ithome.com.tw/news/158113
IBM、NASA與Hugging Face開源地理空間基礎模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.ibm.com/2023-08-03-IBM-and-NASA-Open-Source-Largest-Geospatial-AI-Foundation-Model-on-Hugging-Face" target="_blank">IBM本周宣布</a>，已於Hugging Face上開源基於美國國家航空及太空總署（NASA）衛星資料的watsonx.ai地理空間基礎模型，為全球首個與NASA合作的AI基礎模型。</p> <p><a href="https://www.earthdata.nasa.gov/news/nasa-ibm-ai-collaboration" target="_blank">IBM與NASA是在今年2月宣布結盟</a>，當時IBM即打算要利用NASA的地球觀測衛星資料來打造各種基礎模型，以供全球的研究人員更容易應用NASA的資料，其中一項專案是利用Harmonized Landsat Sentinel-2（HLS）的衛星資料（下圖）來訓練IBM的地理空間情報基礎模型，整合來自美國地質調查局（USGS）的Landsat，以及由歐洲太空總署（European Space Agency，ESA）主導的Sentinel-2衛星資料，來提供一致且連貫的衛星影像。</p> <p class="rtecenter"><a href="https://hls.gsfc.nasa.gov/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0804-NASA%20Harmonized%20Landsat%20Sentinel-2%20(HLS)%20Data-(2)-600.jpg" style="width: 600px;" /></a></p> <p>此一名為IBM NASA Geospatial的開源模型使用了包含HLS專案在內的大量衛星及遙測數據，<a href="https://huggingface.co/ibm-nasa-geospatial" target="_blank">使用者可透過機器學習模型分享平臺Hugging Face存取</a>。</p> <p class="rtecenter"><a href="http://huggingface.co/ibm-nasa-geospatial" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0804-IBM%20NASA%20Geospatial%20image%20by%20huggingface.png" style="width: 500px;" /></a></p> <p>IBM解釋，IBM NASA Geospatial是由IBM與NASA共同於HLS上展開為期一年的訓練，已根據洪水及大火的標記資料進行微調，僅使用一半的標記資料便改善了15%的效能，再藉由其它的微調將可重新部署基礎模型來執行追蹤森林砍伐、預測農作物產業，或是監控溫室氣體等任務。</p> <p>此外，該模型也借助了IBM的基礎模型技術，<a href="https://newsroom.ibm.com/IBM-watsonx-capabilities-are-now-available-to-help-meet-enterprises-AI-for-business-needs" target="_blank">IBM甫於今年7月發表</a>商業性的AI平臺 watsonx，也計畫於今年透過IBM Environmental Intelligence Suite推出商業化的地理空間模型。</p> </div></div></div>
2023/8/4 16:17作者陳曉莉https://www.ithome.com.tw/news/158112
Google允許用戶要求移除包含聯絡人資料的搜尋結果頁連結
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/search/new-privacy-tools/" target="_blank">Google宣布一項新隱私與安全功能</a>，可應用戶要求，從搜尋結果頁移除包含聯絡人資料的網頁連結。不過新功能目前僅在美國提供。</p> <p><a href="https://www.ithome.com.tw/news/150674" target="_blank">這項功能是去年5月宣布</a>的「Results about you」工具的最新擴充。這項功能可讓用戶以Google App或Google Search的任何入口，要求Google從其搜尋結果頁移除包含敏感個資，如個人手機、住家地址或電郵信箱的連結，以防範肉搜或被用於金錢詐騙。</p> <p>現在Google改良了這項工具，擴及用戶個人聯絡資訊。未來幾天內，Google會推出一個新的儀表板工具，用戶只要在此輸入聯絡人資訊，它會自動蒐集包含該資訊的網頁，而不需自己到Google Search中動手搜尋。若真的搜尋到，用戶可以直接在儀表板中要求Google從搜尋頁移除連結。若日後又有新的網頁出現在搜尋結果中，Google也會主動通知用戶。</p> <p>「Results about you」可從Google App帳號相片下方點入，或是直接點擊goo.gle/resultsaboutyou存取。</p> <p>目前這功能僅提供美國地區的英語用戶，該公司表示正在開發其他語言版本，未來也會推向其他市場。</p> <p>此外，Google Search同時改版了SafeSearch防範色情內容功能。SafeSearch可在搜尋結果頁出現露骨圖片時將之模糊化，以保護18歲以下的用戶。SafeSearch原本已提供給登入Google帳號的青少年用戶，今年2月，SafeSearch成為所有青少年用戶預設，即使他們沒有啟用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0804-Blurring_Setting_Google.png" style="width: 535px;" /></p> <p>現在，Google再進一步，使SafeSearch成為全球用戶的預設，<a href="https://support.google.com/websearch/answer/510?hl=en&co=GENIE.Platform%3DDesktop&oco=0" target="_blank">但也允許用戶將之關閉</a>，除非管理員將設定功能關閉。</p> <p>如果用戶自己的私密相片也出現在第三方網頁，未經用戶同意發布，也能循前述的儀表板，要求Google從搜尋頁移除。但是這政策不適用於用戶自己刊登或販售的網頁。</p> <p>最後，家長也能輕鬆找到家長控制子女上網的指引資訊。只要在Google上搜尋「Google家長控制」或「Google family link」等關鍵字，Google就會把管理家長控制的方法集中於單一區內顯示。</p> </div></div></div>
2023/8/4 15:23作者林妍溱https://www.ithome.com.tw/news/158110
蘋果營收連3季下滑，服務再創新高
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果周四（8/3）公布截至7月1日的2023財年第三季財報，顯示該季蘋果創下818億美元的營收，比去年同期下滑了1%，這已是蘋果連續3季的營收下滑，但下滑的主要是iPhone、Mac與iPad等產品，蘋果的服務營收則再創新高，該季蘋果每股盈餘為1.26美元，成長了5%。</p> <p>蘋果的兩大營收類別為產品及服務，在818億美元營收中，產品占了606億美元，下滑4.3%，而服務則占了212億美元，成長8.2%。若細分蘋果的產品，iPhone營收為396.7億美元，下滑2.4%，Mac為68.4億美元，下滑7.3%，iPad為57.9億美元，下滑19.8%，其它穿戴與家用裝置的營收為82.8億美元，是所有產品中唯一營收呈現正成長的，比去年同期增加了2.5%。</p> <p>至於212億美元的服務營收則再度刷新了蘋果的紀錄，亦比去年同期成長8.2%。</p> <p>蘋果執行長Tim Cook表示，有賴於逾10億名付費訂閱用戶的貢獻，該季蘋果服務營收寫下了新紀錄，而新興市場則在iPhone銷售的助益下日益強大。</p> <p>根據蘋果所公布的區域營收，美洲市場占了354億美元，下滑5.5%，歐洲市場為202億美元，成長4.8%，大中華區為158億美元，成長8%，日本與其它亞太地區的營收則分別為48億美元及56億美元，皆略低於去年數字。</p> </div></div></div>
2023/8/4 13:40作者陳曉莉https://www.ithome.com.tw/news/158107
微軟支援跨平臺Unity遊戲開發，在VS Code上推Unity擴充套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在VS Code上，以6月推出的C#開發工具包和C#擴充套件當作基礎，提供一個能夠跨Windows、macOS和Linux平臺的<a href="https://devblogs.microsoft.com/visualstudio/announcing-the-unity-extension-for-visual-studio-code/">Unity開發工具包</a>，方便遊戲開發者用於編寫和除錯Unity遊戲。參考自Visual Studio與Visual Studio Tools for Unity，C#開發工具包和Unity擴充套件也提供許多開發者熟悉的功能，使開發者在各個平臺，都能夠以C#開發Unity遊戲。</p> <p>微軟解釋，Unity擴充套件提供由Roslyn支援的C#程式碼編輯，因此開發者可以使用到完整的IntelliSense程式碼完成功能，和IntelliCode for C#開發工具包一起使用，便能獲得AI輔助功能，像是輸入時全行完成以及加註星標建議等，而且Unity擴充套件還包含了Unity Roslyn Analyzers專案，可以提供專屬Unity的自定義建議和程式碼修復功能。</p> <p>開發者要使用Unity擴充套件，至少需要安裝Unity 2021，VS Code會自動安裝所有Unity擴充套件的相依項目，包含C#開發工具包和C#擴充套件。</p> <p>值得注意的是，由於C#開發工具包和VS Code Unity擴充套件建立在與Visual Studio相同的基礎上，因此採用類似Visual Studio的授權條款，在個人、學術和開源開放上免費使用，但是企業使用，需要購買Visual Studio Professional、Enterprise訂閱，以及GitHub Codespaces。</p> </div></div></div>
2023/8/4 13:46作者李建興https://www.ithome.com.tw/news/158105
Amazon營收成長11%，股價大漲9%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businesswire.com/news/home/20230802612401/en/" target="_blank">Amazon周四（8/3）公布</a>今年第二季營收，該季Amazon創下1,344億美元的營收，比去年同期成長11%，該季淨收入為67億美元，優於去年同期的20億美元虧損，當天Amazon在盤後上漲了8.75%，股價為140.17美元。</p> <p>Amazon把營收分為北美電子商務、國際電子商務及AWS。該季北美電子商務的營收為825億美元，成長10.9%，也一改去年同期的虧損，創下了32億美元的營業利潤；國際電子商務營收則是297億美元，成長9.7%，虧損了近9億美元，但優於去年同期的17.7億美元虧損。</p> <p>至於AWS在今年第二季則創下221億美元的營收，成長12%，營業利潤為53.7億美元，略低於去年同期的57.2億美元。</p> <p>即使AWS的營收成長幅度已明顯趨緩，但因Amazon該季的營收與獲利都高於分析師預期，而推升了股價。</p> <p>值得注意的是，Amazon也以平臺之姿積極搭上生成式AI的列車，執行長Andy Jassy表示，AWS正釋出一系列的生成式AI服務，以讓客戶以更具成本效益、也更容易的方式來訓練與執行模型，包括客製化各種大型語言模型以推動生成式AI應用，以及利用CodeWhisperer來協助程式的撰寫。</p> </div></div></div>
2023/8/4 13:58作者陳曉莉https://www.ithome.com.tw/news/158108
無人超商新模式大剖析
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1141-feng_mian_gu_shi_-p1_open-you_hua_-960x420_kao_bei_0.jpg?itok=wCwDWI19" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>統一超商6年來持續實驗智慧零售營運模式，以及多種結帳技術應用可能。今年他們新推出拿了就走無人店模式，不只加速顧客購物速度，更提升了線下顧客購物行為蒐集的完整度。</p> </div></div></div>
2023/8/4 14:09作者郭又華https://www.ithome.com.tw/article/158109
【數據科技驅動無人超商模式新價值】統一超商無人店新模式，如何為會員經營戰略加分
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在5年前，統一超商展開了一場智慧零售創新實驗，打造名為X-Store的實驗場域，嘗試用各種科技來改造真實店面購物流程、零售模式、超商營運，甚至是店面設備的創新嘗試，累積超過了4千萬人次的真人顧客創新體驗數據。</p> <p>結帳，這是統一超嘗試了最多新技術的購物階段，也是貫穿了1號店到6號科技概念店的實驗重點。</p> <p>2018到2019年，他們嘗試用當時火紅的面部辨識與影像辨識來結帳。2020年，則改用成熟多年的RFID技術來辨識結帳商品；2021年，開始利用手機App掃描線下商品後，在線上結帳的OMO模式；2022年又回歸到傳統掃條碼式的自助結帳機。今年7月，剛在新竹啟用了最新的X-Store 7號店，這一次，統一超實現了「拿了就走」（Grab and Go）的快速結帳模式，這也是臺灣第一家真正實現拿了就走模式的100%無人超商。</p> <p>拿了就走模式下，結帳階段不再需要排隊或一一掃描商品。統一超科技店過往實驗的結帳技術，都無法同時做到這2點，7號店的拿了就走模式，是統一超創新結帳實驗的一大突破。</p> <p>實現拿了就走模式對零售產業的意義，不只是結帳模式的革新，更是消費者體驗、IT管理，乃至於整個店面營運模式的新變革。一項重要模式更新是，超商店面最核心的POS資訊系統不再只是處理銷售時點（Point of Sale）資訊，還可以完整追蹤、紀錄會員在店內四處瀏覽的購物行為，日後可以用來優化線下店面經營及線上會員行銷，這更是OMO數據整合的創新應用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WEB-%E5%BA%97%E9%9D%A2%E5%9C%96-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B5%B1%E4%B8%80%E8%B6%85%E5%95%86.png" style="width: 594px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>從外觀來看，X-Store 7號店的商品陳列模式及顧客店內走動模式與一般超商相同。因此統一超商在此蒐集的顧客旅途數據，也有機會作為全臺超過6,500家一般門市的參考。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／統一超商</span></p> <p><span style="font-size: 28px;"><strong>不只紀錄結帳階段，拿了就走能追蹤消費者店內完整旅途</strong></span></p> <p>同為結帳技術，自助結帳機或自動販賣機只會處理銷售時點資訊，而拿了就走更會處理結帳階段以外的顧客旅途。這是因為要達成結帳階段的「走」，它必須追蹤購物階段的「拿」。這個技術特色，使X-Store 7號店與一般超商，甚至臺灣主流無人店有諸多區別。</p> <p>X-Store 7號店如傳統超商一樣在貨架上陳列商品，顧客可以在店面中走動、取放商品，再統一結帳。但是，透過物件辨識技術來追蹤顧客移動軌跡和取放商品的行為，等於可以追蹤到消費者遊逛的動線和挑選商品的猶豫行為。就算最終沒有購買任何東西，還是可以蒐集多種消費者的行為資訊。這些都是單靠傳統POS機結帳的零售店面，難以紀錄到的細緻軌跡和行為資訊。</p> <p>由於7號店的商品陳列模式和消費者旅途設計，都與統一超典型的超商做法類似，靠「拿了就走」技術，分析後得到的營運或銷售優化做法，還能供全臺6,500家一般超商參考，例如動線改善建議及商品陳列優化做法。</p> <p>進一步推論，蒐集這些資訊，更有機會來類比和參考電商的做法，用於即時行銷和再行銷。例如，當顧客停留在特定商品前，就可以搭配會員App，即時推播促銷訊息，類似於顧客逛電商網站時，會即時跳出相關折價訊息的做法。甚至對入店顧客的行銷，也能根據顧客過往的猶豫行為來推銷相關商品，類似電商常見的購物車再行銷。</p> <p>近2年，統一超商大力發展會員經營，格外聚焦在消費數據蒐集與分析，企圖活化沉睡的百萬會員，並從活躍會員身上獲取更多價值。作為一個實體零售品牌，統一超會員數據蒐集管道是，以會員消費數據為主，會員App操作行為為輔。若統一超能在購物體驗的不同階段蒐集數據，甚至在實體店面中即時行銷，以望成為提升會員貢獻的新助力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WEB-%E5%85%A5%E5%8F%A3%E5%9C%96-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B5%B1%E4%B8%80%E8%B6%85%E5%95%86.png" style="width: 590px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>為了降低顧客適應新消費模式的摩擦力，統一超商在入口處放置立牌和電視螢幕，用圖文和影像形式詳細說明顧客如何在拿了就走店消費。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／統一超商</span></p> <p><span style="font-size: 28px;"><strong>消費新模式，帶起顧客體驗新設計</strong></span></p> <p>拿了就走消費模式不須一一掃描商品，不用在櫃檯或機臺排隊，因此結帳更有效率。不過，新消費模式也會反過來成為一定程度的入店消費門檻。</p> <p>消費者對拿了就走無人店的消費模式相對陌生，適應摩擦力較以自動販賣機為主的常見無人店大，這是統一超要開設此類店面的一大先天劣勢。為了提升拿了就走技術的商業可行性，統一超在自家無人店的消費者體驗設計下了功夫，來降低消費者適應難度。</p> <p>走到X-Store 7號店門口，能見到說明用的立牌和播放著示範影片的電視，解釋無人店消費方法。顧客得先登入統一超會員App，來打開X-Store Web App，作為入店到離店的操作媒介。顧客用App提供的門禁QR Code入店後，可以像到一般超商般，在店內走動、挑選商品。貨架上有著小立牌，說明店內各式鏡頭和感應器的功能，還有搭載ChatGPT模型的AI虛擬店員來回答店內的操作、商品、活動、優惠等問題。拿著商品走到出口附近，App便會生成購物清單，顧客若發現消費資訊有誤，可以使用出口附近的自助結帳櫃檯，掃描商品條碼來補登商品，或刪減購物清單品項。再次於App上確認無誤後，就可以進入結帳階段。</p> <p>目前結帳設計，顧客只能使用統一超生態系的支付工具才能於App介面快速結帳。若沒有前述工具，得用Web App中產生購物清單QR Code，再到自助結帳機上掃描才能帶入購物清單來付款。</p> <p>這家7號店不只是加上拿了就走科技的一般門市，店內處處提供使用說明文宣，更搭配AI虛擬店員、並接受多元結帳方式，來降低顧客對新模式的適應門檻。不過，要完整體驗X-Store 7號店的拿了就走功能，顧客須先實名註冊會員身分，還要用統一超自家支付工具。不論這是出於技術限制，還是統一超有意壯大自家會員及支付工具用戶規模，這2層身分限制無疑增加了顧客適應的門檻，也削弱了消費體驗的流暢感，有待市場驗證這個做法的普及可行性。</p> <p><span style="font-size: 28px;"><strong>營運新模式，從人力調度、進銷存到店面管理都不同</strong></span></p> <p>拿了就走店背後營運模式，也與一般店面有許多區別。X-Store 7號店商品選擇因為技術限制和營運成本等考量，販售商品種類較單純，服務類型更簡化到只剩下基礎的零售，沒有代收等常見超商功能。需要真人管理時，則由母店派出店員來支援。無常駐店員，使此店型的人員調度及訓練需求較一般門市少。</p> <p>母店對這家無人店的管理，最大宗的例行工作是進貨補貨。一般門市需要店員親自巡視店面，盤點貨架情形，拿了就走系統則會將貨架情況更新到臺帳系統，紀錄商品錯位和貨架缺貨情況。母店店長為X-Store 7號店下單進貨時，能從系統了解即時貨架情況。補貨店員也能從此系統了解當天補貨和整理需求。</p> <p>拿了就走無人店，並非是統一超商首創，這是Amazon Go早在7年前就讓全球驚艷的創新模式。不過，統一超商在X-Store七號店的拿了就走模式，已經和當年Amazon Go的模式有所差異，帶來後續規模化與發展策策略選擇的不同。這將用另一篇文章來介紹。</p> <p>為何統一超要在臺灣實驗這個問世多年的模式？統一超沒有揭露具體的實驗目的，不過，統一超從前端消費者體驗到後端營運，都做出技術與營運策略的改動、取捨，才能將拿了就走技術落地到真實的商業場景中，而非只是把一項陳年結帳技術導入一家尋常門市。</p> <p>從時空背景和統一超近年營運戰略，可以略推測一二。疫情解除後，零售市場更加重視OMO與會員數據經營，統一超近年也大力善用數據來優化會員經營及整體零售集團營運。打造無人店，來蒐集到消費者更完整的實體購物行為數據，有機會成為一種可以用來完善會員OMO數據不足的突破性做法。</p> <p><span style="font-size:28px;"><span style="color:#3399ff;"><strong>統一超無人店如何蒐集實體門市顧客全旅途數據</strong></span></span></p> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 階段1：進入門市 </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WEB-%E6%B5%81%E7%A8%8B1-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B5%B1%E4%B8%80%E8%B6%85%E5%95%86(1).png" style="width: 500px;" /></p> <p><strong><span style="color:#3399ff;">● 關鍵科技：</span>會員App、門禁系統<br /> <span style="color:#3399ff;">● 關鍵數據：</span>顧客身分、進出時間、同時進出人數<br /> <span style="color:#3399ff;">● 數據可能用途：</span><br /> » 辨認顧客身分，以在顧客取放商品時連結到同一人的購物車<br /> » 辨認顧客身分，以歸戶後續紀錄的購物旅途數據<br /> » 根據進出時間了解習慣消費時段及周期<br /> » 觀察同時進出人數是否影響消費內容</strong></p> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 階段2：走動瀏覽 </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WEB-%E6%B5%81%E7%A8%8B2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B5%B1%E4%B8%80%E8%B6%85%E5%95%86.png" style="width: 536px;" /></p> <p><strong><span style="color: rgb(51, 153, 255);">● 關鍵科技：</span>天花板鏡頭、AI物件辨識技術<br /> <span style="color: rgb(51, 153, 255);">● 關鍵數據：</span>顧客所在地點、動線、停留時間、取放行為<br /> <span style="color: rgb(51, 153, 255);">● 數據可能用途：</span><br /> » 根據顧客所在地點推播鄰近商品促銷訊息<br /> » 參考顧客動線來評估商品擺設位置及動線設計<br /> » 若顧客原地停留時間長，可推測為猶豫，即時推播行銷訊息<br /> » 交叉分析取放次數及實際購買商品來推測顧客習慣<br /> » 當顧客接近出口結帳區，提示結帳</strong></p> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 階段3：挑選商品 </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WEB-%E6%B5%81%E7%A8%8B3-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B5%B1%E4%B8%80%E8%B6%85%E5%95%86.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(51, 153, 255);">● 關鍵科技：</span>貨架鏡頭、AI物件辨識技術、重量感測器、紅外線光柵<br /> <span style="color: rgb(51, 153, 255);">● 關鍵數據：</span>取放商品行為、取放商品種類、貨架重量<br /> <span style="color: rgb(51, 153, 255);">● 數據可能用途：</span><br /> » 取放商品行為會觸發鏡頭，開始物件辨識<br /> » 根據拿取和放回商品種類來推測顧客興趣，並判別購買商品品項<br /> » 用貨架重量變化感應顧客扶靠貨架，間接推測身高或身體狀況<br /> » 用貨架重量變化來計算顧客拿取商品的數量</strong></p> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 階段4：結帳離店 </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WEB-%E6%B5%81%E7%A8%8B4-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B5%B1%E4%B8%80%E8%B6%85%E5%95%86.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(51, 153, 255);">● 關鍵科技：</span>Web App、自助結帳機<br /> <span style="color: rgb(51, 153, 255);">● 關鍵數據：</span>購買商品、支付工具、購物車商品刪減項目<br /> <span style="color: rgb(51, 153, 255);">● 數據可能用途：</span><br /> » 根據最終購買商品來推測顧客喜好<br /> » 可觀察無人店是否提升顧客使用統一超自家支付工具的比例<br /> » 將購物車商品刪減項目視為AI誤判案例，作為模型調整依據</strong></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／統一超商<br /> 資料來源：iThome整理，2023年7月</span></span></p> <p><a href="https://www.ithome.com.tw/article/158109" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a> <a href="https://www.ithome.com.tw/article/158109" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1141-feng_mian_gu_shi_-p1_open-you_hua_-960x420_kao_bei_0.jpg?itok=wCwDWI19" style="width: 550px;" /></a></p> </div></div></div>
2023/8/4 14:11作者郭又華https://www.ithome.com.tw/news/158071
【廠商永續支援度盤點：GCP】不只釋出碳排放感測套件能監測每個帳戶雲端服務碳排放變化，今年還將擴大支援追蹤Gmail等…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Cloud在2年前開始推出了碳足跡儀表板工具，可供企業用戶追蹤和管理他們使用雲端服務的碳排放量，後來還將這些會影響碳排放的環境因素，納入到企業用戶的雲端環境配置中，不只能從服務區域（Region）中選擇綠能程度最高的資料中心來使用，還能根據雲端環境設定或資源使用情況，來提供節能或省碳建議，進而降低其雲端服務的碳排放。Google Cloud今年還計畫擴大開始支援追蹤Google協作和生產力工具Workspace碳排放數據，包括Gmail、Google文件等。</p> <p>三大公有雲服務商近2年持續加強雲端服務的碳排放數據監測和管理，一方面要提高雲服務碳排放資訊揭露的透明度，強化對於雲端資料中心實現淨零碳排的承諾；另一方面，則是讓企業用戶能夠根據雲端服務的碳排放量<span data-contrast="auto">估算遷雲所節省的排放量，同時能</span>採取相關措施降低碳排放。</p> <p>Google Cloud雖然不是三家公雲業者中最早提供雲端服務碳足跡資訊的業者，但是GCP在臺設立資料中心相對較早，不少企業考慮到低延遲存取或資料落地的需求而採用。</p> <p><span style="font-size: 28px; font-weight: 700;">不僅能追蹤每個帳戶的碳排放用量，還能依個別產品、專案、地區來呈現各自碳排情況</span></p> <p>Google Cloud去年釋出了一個碳排放感測套件（Carbon Sense ），其中包含了碳足跡儀表板（Carbon Footprint）和雲端管理（Active Assist）兩大主要工具。</p> <p>碳足跡儀表板工具是Google Cloud在2年前所推出，可供用戶察看雲端服務的碳排放量，還提供了<a href="https://cloud.google.com/carbon-footprint/docs/methodology">完整的計算方法</a>，可提供審核人員或報告團隊確認這些碳排放資料有無符合GHG通訊協定標準格式。</p> <p>從這個視覺化的碳足跡儀表板中，企業IT人員或維運管理人員可以觀看每一個帳戶內所用的雲端服務產生的碳排放量，也能根據每個雲端專案或服務啟用所在區域來進行比較，還能呈現碳排放量在不同月分的變化趨勢，或依個別服務產品、專案、地區等來進行查看，進一步評估和調整服務採用策略。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/unnamed(3).png" style="width: 600px;" /></p> <p><strong style="color: rgb(105, 105, 105);">透過碳足跡儀表板報表功能，企業用戶從主控臺就能查看帳戶使用的整體碳排放情況，還可以根據個別服務產品、專案、地區等來進行查看各自碳排在不同時間變化，以此評估和調整服務採用策略，減少碳排。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Google Cloud</span></p> <p>但不是所有GCP服務都能支援碳足跡儀表板功能。例如，混合雲服務Anthos就無法使用。Google Cloud台灣技術副總林書平解釋，Anthos通常採用落地部署的方式，因此企業客戶使用的是自己的機房用電，而不是Google Cloud資料中心的，所以無法將Anthos的碳排放數據顯示在儀表板上。</p> <p>值得注意的是，遇到企業擁有多個帳戶的情況下，雖然可以從個別帳戶中查看各自雲端用量碳排放的情況，但目前還無法在同一個儀表板中顯示所有帳戶的整體碳排放量，林書平指出，如果一個組織擁有多個帳戶的情況下，則需要將所有數據匯出，然後整併在資料倉儲中以合併計算碳排放量。</p> <p><strong><span style="font-size:28px;">除了能監測用戶碳排放情形，還能根據資源使用優化雲端配置達成減量</span></strong></p> <p>在這個碳排放感測套件中，還有一個Active Assist雲端管理工具，能夠根據資源使用和專案項目等條件，來優化企業用戶的雲端配置，達成減量的目的。透過這個管理工具，維運人員在雲端維運過程中，能夠一併考慮減碳和環境等因素，還能回收和清理閒置的專案，減少不必要的資源浪費，進而降低碳排。</p> <p>GCP雖然免費提供碳排放感測套件，但是當用戶需要將這些碳排放資料匯出至BigQuery服務中，建立碳盤查報表，或結合內部營運數據進一步分析與運用，就可能需要使用付費服務。</p> <p>不光如此，Google Cloud在考慮永續IT與環境友善時，也將這些考量納入到用戶的雲端環境配置中，讓使用者可以選擇綠能程度最高的資料中心來使用，而不僅僅考慮到服務延遲和成本而已。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/image(2)(1).png" style="width: 600px;" /></p> <p>舉例來說，當選擇服務區域（Region）時，GCP提供了更多有關該Region的碳排放狀態的資訊，使用者可以察看其使用無碳能源的占比和電網碳強度。這些資訊是根據該Region年度無碳能源百分比和平均電力碳強度進行計算，通常會以葉子等圖案顯示在每個Region旁，葉子數越多代表該Region的無碳或低碳程度越高，使用再生能源比例較高。</p> <p>Google Cloud還將全球可用區（zone）與電網地圖結合，讓用戶進一步可透過電力地圖，來了解不同zone的電網使用狀況。由於各區不同時段的電價，會影響到雲端資料中心電力碳排放量的計算，因此企業也能根據不同時間的電價，來調整電力使用時間，進而減少電力消耗，降低的碳足跡。目前從這個電力地圖中，也能查看GCP在臺灣彰濱資料中心據點的電網使用資訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/unnamed%20(1)(1).png" style="width: 600px;" /></p> <p><strong style="color: rgb(105, 105, 105);">GCP還將全球可用區（zone）與電網地圖結合，讓用戶進一步可透過電力地圖，來了解不同zone的電網使用狀況，根據不同時間的電價，選擇對於碳排放量影響程度較低的zone，作為服務使用區域</strong><strong style="color: rgb(105, 105, 105);">。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Google Cloud</span></p> <p>除了雲端服務碳排資訊揭露之外，Google Cloud今年還計畫擴大開始支援追蹤Google生產力工具Workspace碳排放數據，意味著，企業在Gmail或Google文件使用的碳排放數據也將被一併追蹤和管理。</p> <div class="notranslate" style="all: initial;"> </div> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2023/8/4 14:41作者余至浩https://www.ithome.com.tw/news/157912
Google測試新生成式AI搜尋功能，強化影音內容、更快產生摘要
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/search/google-search-generative-ai-august-update/" target="_blank">Google本周宣布</a>其測試計畫Search Generative Engine（SGE）加入3項新功能，包括增加影音的搜尋結果、更快產生內容摘要，也為搜尋結果標註來源時間點。</p> <p>SGE是Google今年於Google I/O上宣布的用戶測試計畫，可讓用戶在Search Labs平臺上試用研發中的生成式AI搜尋技術。</p> <p>本周測試的3項新功能中，第一項是在搜尋結果增加圖片與影片內容。SGE已經開始在搜尋結果加入圖片，從下周起，SGE用戶查詢某些任務時，例如瑜珈動作示範、或是去除大理石髒污時，會看到影片。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0804-generative%20AI%20in%20Google%20Search-600-1.png" style="width: 573px;" /></p> <p>事實上，Google搜尋正式版早已經強化影片內容的搜尋結果。本周Google還在影片加註和使用者搜尋關鍵字相關「重要時間點」，讓使用者不需從頭看起，就能找到相關內容。</p> <p>第二項功能是加快產生AI內容摘要的時間。Google說，經過改善，生成AI摘要的時間縮短了一半，未來還會再繼續再加快其速度。最後，SGE也會在搜尋結果的簡介部分，加上網頁連結出版日期，方便使用者判斷。</p> <p>Google說他們也正在實驗其他方法來強化AI摘要內容的豐富性。該公司同時重申SGE還是會在特定版位上，展示搜尋廣告。</p> <p>用戶可以透過Android及iOS版Google App或Chrome桌機版，從Search Labs測試SGE新功能。</p> <p>Google積極將AI整合進其現有產品。除了搜尋外，<a href="https://support.google.com/youtube/thread/18138167" target="_blank">本周Google也開始針對YouTube少數英語影片測試以AI產生影片簡介</a>，幫助使用者更容易決定是否點選讀取。不過用戶需要在Youtube.com/new上註冊加入測試計畫。此外<a href="https://www.ithome.com.tw/news/158052" target="_blank">Google也正在啟動以生成式AI改造Google Assistant</a>，並為此進行組織重整。</p> </div></div></div>
2023/8/4 13:20作者林妍溱https://www.ithome.com.tw/news/158106
Dell發布PowerStore OS儲存系統軟體3.5版，安全性大進化
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0804-ji_shu_zhuan_ti_-dell_powerstore-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Dell</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>透過Dell日前發表的最新3.5版儲存平臺作業系統，PowerStore系列儲存陣列大幅強化了安全性，以及資料保護功能，同時，也具備緊密的整合Dell超融合產品線的能力，藉此獲得更靈活的基礎架構部署彈性。</p> <p>無論在產品定位或產品架構上，2020年5月問世的PowerStore，都可說是Dell近年來最具創新的儲存陣列產品。</p> <p>在產品定位方面，PowerStore在儲存陣列市場中，開創新的「中高階」儲存陣列類別，擴充能力屬於中階產品領域，但效能規格則能達到高階產品的門檻，可以視為「高階化」的中階儲存陣列，填補了以往高階與中階產品的間隙，提供效能接近高階，價格則接近中階的產品特性。。</p> <p>在產品架構方面，PowerStore引進了兩項儲存業界首見的嶄新特性，包括：導入完全Container化的PowerStore OS儲存系統軟體核心，以及利用儲存硬體執行虛擬化應用程式的AppON架構。另外，它也支援當前流行的新一代儲存媒體技術與I/O介面，並兼具Scale-Up與Scale-Out兩種擴充能力，堪稱新一代儲存陣列架構的標竿。</p> <p><span style="font-size:28px;"><strong>細數PowerStore家族的更新歷程</strong></span></p> <p>繼2020年的第1代PowerStore產品後，Dell在2021年4月推出這個產品線的首次重大更新，新增入門款式機型，並推出PowerStore OS作業系統2.0版，提供了IOPS效能與重複資料刪除效率的提升，以及新增支援基於32Gb FC的NVMe-oF協定等改進功能。</p> <p>接著Dell在2022年1月發布小幅改版的PowerStore OS 2.1版，進一步改善IOPS效能，並新增NVMe-TCP傳輸協定，以及AI應用與安全性的改善。半年後（2022年7月），Dell又推出全面改款的新一代PowerStore系列，包括大幅提高硬體核心規格的第2代硬體，以及PowerStore OS作業系統3.0版，提供強化的遠端複製功能與安全性，並深化與VMware環境的整合。</p> <p>相隔近一年後，Dell先在2023年4月發布小幅更新的PowerStore OS 3.2版，擴展硬體與網路連接支援，控制臺介面也有小幅改版。接著又在不久之前（6月），發布大幅更新的PowerStore OS 3.5版，強化了安全性與資料保護能力，並提供與PowerProtect DD與VxRail產品家族深度整合的能力。</p> <p><span style="font-size:28px;"><strong>安全性、資料保護、部署彈性是改版重點</strong></span></p> <p>根據Dell公布的PowerStore OS 3.5 Release Notes文件，一共列出15項主要新功能與既有功能更新，我們可將這些項目歸結為這3大面向：</p> <p><strong>● 安全性強化：</strong>包括：支援美國政府頒布的安全技術部署指引（Security Technical Implementation Guide，STIG），提供多因素身分驗證（Multi-Factor Authentication），支援區塊層級的不可變快照（Immutable Snapshot）功能等。</p> <p><strong>● 資料保護能力擴展：</strong>新增原生整合PowerProtect DD備份儲存伺服器，可藉此提供高效率的資料備份、還原應用能力。</p> <p><strong>● 改善部署彈性與韌性：</strong>對於VxRail超融合伺服器的環境，可支援純運算Dynamic節點的配置，並提高檔案儲存服務的擴展能力，以及具備強化的網路高可用性功能。</p> <p><span style="font-size:28px;"><strong>可因應國家級要求，增設多重安全</strong></span></p> <p>PowerStore OS 3.5在這方面最引人注目的更新特色，便是支援美國政府與國防部的STIG規範，具備足以列入美國國防部資訊網路核准產品清單（DoDIN APL）的安全性，雖然STIG不適用於一般企業環境，但單是符合STIG規範這一點，仍能夠彰顯PowerStore的安全性已能符合美國政府與軍方的嚴苛要求，有助於提高整體用戶信心。</p> <p>第2項安全性強化特色，是搭配RSA SecurID驗證工具的多因素身分驗證，對於PowerStore儲存叢集的存取與管理，能夠多一層的安全保障。</p> <p>另一項重要的安全性強化，是提供區塊層級的不可變快照功能。</p> <p>PowerStore本身是兼具區塊與檔案儲存服務能力的通用儲存陣列，可建立供區塊儲存使用的Volume儲存區，以及供檔案儲存服務使用的檔案系統，配合這2種服務類型，快照功能也分為區塊層級與檔案系統層級等2種形式。</p> <p>PowerStore OS目前的快照預設是唯讀的，可防止用戶端的刪改，然而管理者仍能刪除快照。而到了最新發布的3.5版，Dell引進稱作Secure Snapshot的不可變快照功能，可防止區塊層級快照遭到任何刪除，直到設定的保留期到期為止，但Secure Snapshot功能不適用於檔案服務層級。</p> <p>在檔案服務層級上，PowerStore OS所提供的這類特色，是針對檔案系統本身的不可變儲存功能，利用先前在3.0版引進的File Level Retention功能，可鎖住檔案系統中的指定檔案，在保存期限內可防止包括管理者在內的任何刪除動作。</p> <p>換言之，PowerStore OS在區塊與檔案儲存服務，分別提供不同類型的不可變儲存技術——針對區塊服務，提供不可變快照，針對檔案服務，則提供檔案系統本身的防寫鎖定。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20PowerStore%20OS%E4%B8%BB%E5%9C%961%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Dell.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>新增區塊層級不可變快照功能</strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>PowerStore OS 3.5版新增Secure Snapshot不可變快照，可防止區塊層級快照遭到修改或刪除，可作為對抗勒索軟體威脅的安全複本。</strong></span></p> <p><span style="font-size:28px;"><strong>強化資料保護能力</strong></span></p> <p>透過與PowerProtect DD系列備份儲存伺服器的原生整合，PowerStore OS 3.5能做到彼此無縫結合的資料備份，以及還原應用能力。</p> <p>藉由這項原生整合能力，無須備份伺服器的中介，就能直接將PowerStore的Volume儲存區，以快照的形式備份到實體或雲端上的虛擬PowerProtect DD裝置，Dell宣稱可透過增量備份作業，每天備份150TB資料，並利用PowerProtect DD高達65比1的資料縮減，以高效率的儲存空間耗用方式來存放這些備份複本，用戶能透過PowerStore Manager控制臺，或PowerProtect Data Manager控制臺來管理備份還原作業。</p> <p><span style="font-size:28px;"><strong>擴展部署彈性與韌性</strong></span></p> <p>首先，PowerStore OS 3.5增加了搭配VxRail超融合伺服器的「去融合」架構部署能力，用戶可透過Dynamic AppON功能，讓PowerStore儲存陣列作為純儲存節點，與VxRail的Dynamic純運算節點相互搭配，構成運算與儲存資源分離的部署架構。</p> <p>其次，新增容錯安全切換網路（Fail-Safe Networking，FSN）的保護功能，用戶可以將多個網路埠或鏈路聚合埠（Link aggregations），組成具備失效切換能力的高可用性網路連接，並在鏈路聚合之上，提供額外的網路失效保護能力——網路埠一旦突然失效，在鏈路聚合這層就能提供切換能力，但如果發生交換器故障，則可透過FSN來切換。</p> <p>第3，擴展了檔案服務的延展性，每臺陣列可建立的檔案系統數量增加4倍，可建立的NAS服務、SMB與NFS與共享區數量，也都大幅增加，可支援更大規模的檔案儲存服務。同時，檔案層級的快照數量上限也提高4倍，可建立更多的還原點。</p> <p>還有個值得一提的新功能，就是為區塊服務新增了資源回收桶（Recycle Bin）功能，被刪除的Volume、Volume群組，以及區塊層級的快照與Clone複本，都會先放到資源回收桶中，待設定的保存時間到期後才會實際刪除，當誤刪時仍有機會回收資料。</p> <p><span style="font-size:28px;"><strong>僅適用於T部署模式</strong></span></p> <p>從2023年6月起，Dell宣布PowerStore OS 3.5正式發布，因此，若是7月出貨的PowerStore產品，都已經安裝了3.5版，Dell向我們表示，既有客戶若採用2.0版以後的系統，也都能升級到3.5版。</p> <p>不過，要特別注意的是，3.5版目前只適用於PowerStore T模式機型（儲存作業系統採裸機部署），而不適用於PowerStore X模式機型（儲存作業系統透過ESXi平臺中介部署）。相較之下，稍早問世的3.2版，可同時適用於T模式與X模式機型。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/dell">Dell</a></div><div class="field-item odd"><a href="/tags/powerstore">PowerStore</a></div><div class="field-item even"><a href="/tags/powerstore-os-35">PowerStore OS 3.5</a></div></div></div>
2023/8/4 12:00作者張明德https://www.ithome.com.tw/tech/158064
【無人超商模式大比較】X-Store 7號店與Amazon Go的科技關鍵差異
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p> 拿了就走這個消費模式，從概念到技術都說不上新穎。最典型的案例是美國Amazon Go，第一家店2016年開始試營運，早了統一超商7年，去年甚至將此科技商品化，作為Just Walk Out解決方案販售給外部零售商。</p> <p>乍看之下，統一超商X-Store 7號店與Amazon Go消費模式幾乎雷同，不過，Amazon作為電商與科技公司，和統一超作為實體零售商，實驗無人店時看重的價值與背後戰略目的不盡相同，細究兩者差別，更會發現統一超商在技術採用及門市營運的決策上，與Amazon有數個關鍵差別。</p> <p><span style="font-size:28px;"><strong>結帳離店流程：先結帳再離店vs.</strong></span><span style="font-size:28px;"><strong>先離店再結帳</strong></span></p> <p>在Amazon Go，只要拿了商品，走出店面，過5到10分鐘就會收到完成結帳的帳單，若有誤，顧客能再行退貨。</p> <p>在統一超無人店，顧客則需於先確認購物清單，若有誤可以當場刪減購物車內容，接著結帳，才能離店。</p> <p>兩家無人店結帳流程的必經步驟相同，主要差別是順序──X-Store依序是確認、結帳、出店，Amazon Go則是出店、結帳、確認。Amazon Go的結帳流程好處是，出口處人員流動通暢，拿完商品真的可以馬上離去，似乎更符合「拿了就走」精神。</p> <p>既然如此，統一超商規定顧客必須在店內完成確認和結帳，有什麼好處？</p> <p>工研院說明，若AI誤判顧客購買商品，造成顧客必須手動更正購物車，該次案例就會作為失敗案例，回傳到後臺用來優化AI準確率。也就是說，顧客確認購物清單或帳單，具有優化AI精度的功能。</p> <p>若系統誤判顧客取放商品，便會影響庫存管理、貨架管理以及顧客數據分析等流程。未被糾正的錯誤不斷積累，造成的偏差幅度便會越大。統一超選擇讓顧客必須過目購物清單才能離店，雖然延遲了數秒出店時間，卻能確保大部分顧客有及時修正系統誤判的機會。也就是說，比起Amazon Go以動線流暢為優先的做法，統一超的結帳流程設計，更著重數據準確性。</p> <p><span style="font-size:28px;"><strong>店面規模：無人小型店面</strong></span><strong style="font-size: 28px;">vs.</strong><span style="font-size:28px;"><strong>有人大型店面</strong></span></p> <p>X-Store 7號店只有小小10坪空間、300件商品品項，就安裝了30多座影像追蹤感應器、15臺IoT智能貨架、1,300以上個重量感測器，以及超過3,000組多重感測器。可以見得，需要相當大量的硬體建設才能支援拿了就走。工研院資通所副組長王恩慈說，若要擴大店面規模，硬體元件大幅增加，各元件間溝通及AI運算資源分配便會是大難題。「因此拿了就走較適合小型店。」王恩慈評論。</p> <p>X-Store小店面採取純無人店模式，需要補貨時，會調度遠端母店人員到店進行。其他時候，店面管理完全依靠現場科技，引導顧客則由AI虛擬店員和遠端客服負責。</p> <p>Amazon Go則是從一開始便挑戰50坪店面、1,600件品項，後來甚至還開了高達300坪大小的門市，投入大量成本和技術力。不只如此，他們還在部分門市配置真人店員，來提供更多面向服務，例如引導或檢查購買菸酒者的年齡。</p> <p>不過，從後續採用Just Walk Out的其他零售商案例來看，大部分使用拿了就走科技的門市，也都選擇不配置現場人員，顯示出包括統一超在內的許多零售業者在採取此技術時，都選擇降低營運複雜度及成本。</p> <p><span style="font-size:28px;"><strong>技術限制對策：少賣商品</strong></span><strong style="font-size: 28px;">vs.</strong><span style="font-size:28px;"><strong>加入輔助設計</strong></span></p> <p>Amazon和統一超面對技術限制的做法也相當不同。拿了就走高度仰賴物件辨識技術來追蹤入場顧客及商品取放情況。此技術受限於鏡頭拍攝角度，且物品形狀差異大的商品也容易出錯，例如生鮮蔬果或肉品。</p> <p>另一個技術限制是重量感測器的感測誤差。工研院資通所副組長王恩慈解釋，工研院採用的重量感測器部分採用類比訊號，若環境溫度變化大，會產生電阻值浮動和電子雜訊干擾，降低感測精度。</p> <p>為了降低物件辨識錯誤率，統一超和Amazon都會限制人流，前者人口密度限制為2坪1人，後者則是約1坪2人。不過在商品品項及貨架環境上，兩家分別採取不同的策略。</p> <p>統一超依然選擇簡化營運情境，只賣非散裝、易辨識的商品，並控制貨架溫度環境。目前X-Store只有開放式冷藏架，沒有帶門冷凍冰櫃等溫度浮動較大的環境。工研院為了應對溫度變化造成的誤差，在重量感測分析後臺設計了誤差容忍區間，若環境造成的誤差小於5公克，都不會被視為異常。也因此，貨架上不能放置單顆糖果等過輕商品。</p> <p>相較於限制商品種類，Amazon選擇在難辨識商品的包裝或排列方法加入識別輔助設計。不僅如此，他們重量感測能力精度非常高，輕至一枝筆、一條巧克力的重量差異都能感測到。因此，物件辨識難以識別的小型商品，可以交由重量感測器來識別。也因為重量感測精度夠高，Amazon Go店內可以見到帶門的冷凍櫃。</p> <p><span style="font-size:26px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#008000;"> 統一超店無人店（X Store 7號店）</span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WEB-600--xstore7-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B5%B1%E4%B8%80%E8%B6%85%E5%95%86.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_統一超商</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 運作模式 </span></strong></span> <span style="color:#008000;"><strong>拿了就走模式（店內結帳）</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 結帳流程設計 </span> </strong></span><strong><span style="color:#008000;">先確認結帳內容、再付款、後離店</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 效益與發展 </span></strong></span> <strong><span style="color:#008000;">1. 蒐集顧客完整旅途數據，對會員數據經營有加分效果<br /> 2. 累積無人店經營經驗及店面管理數據，可用於優化實體零售營運</span></strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#696969;"> 首店啟用時間</span><span style="white-space: pre;"><span style="background-color:#696969;"> </span> </span></span><span style="color:#008000;">2023年7月</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 可用店面型態 </span> </strong></span><span style="color:#008000;"><strong>10坪迷你超商</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 銷售品項數 </span></strong></span> <strong><span style="color:#008000;">300種</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 關鍵硬體設備 </span></strong></span> <span style="color:#008000;"><strong>天花板鏡頭、貨架紅外線光柵、貨架鏡頭、貨架重量感測器</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 真人店員配置 </span></strong></span> <span style="color:#008000;"><strong>母店支援補貨人力，現場不須店員</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 年齡合規對策 </span></strong></span> <span style="color:#008000;"><strong>不銷售有年齡限制的商品</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 技術限制對策 </span></strong></span> <span style="color:#008000;"><strong>1. 物件辨識能力有限，盡量不賣太小或無標準型狀商品<br /> 2. 重量感測有誤差容忍區，不賣低於5公克的商品以避免誤判<br /> 3. 類比式重量感測器易受溫差影響，店內不用帶門冷凍櫃</strong></span></p> <p><span style="font-size:26px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#FF8C00;"> Amazon Go </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WEB-600-amazon%20go-%E6%94%9D%E5%BD%B1-%E4%BD%99%E8%87%B3%E6%B5%A9.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／余至浩</span></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(105, 105, 105);"> 運作模式 </span></strong></span> <span style="color:#FF8C00;"><strong>拿了就走模式（店外結帳）</strong></span></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> 結帳流程設計 </span> </strong><span style="color:#FF8C00;"><strong>先離店、再付款、後確認結帳內容</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(105, 105, 105);"> 效益與發展 </span></strong></span> <span style="color:#FF8C00;"><strong>1. 將技術商品化販售給外部零售業者使用</strong></span></p> <p><span style="color:#FF8C00;"><strong>2. 於旗下大型量販店、生鮮超市和超商持續實驗更多應用可能</strong></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> 首店啟用時間</span><span style="white-space: pre;"><span style="background-color: rgb(105, 105, 105);"> </span> </span></span><span style="color:#FF8C00;">2016年12月試營運，2018年1月正式對外營運</span></strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> 可用店面型態</span><span style="white-space: pre;"><span style="background-color: rgb(105, 105, 105);"> </span> </span></span><span style="color:#FF8C00;">從12坪迷你超商到500坪大型超市各式店型</span></strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(105, 105, 105);"> 銷售品項數 </span></strong></span> <span style="color:#FF8C00;"><strong>超過5,000種</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(105, 105, 105);"> 關鍵硬體設備 </span></strong></span> <span style="color:#FF8C00;"><strong>高解析天花板鏡頭、高精度貨架重量感測器</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(105, 105, 105);"> 真人店員配置 </span></strong></span> <span style="color:#FF8C00;"><strong>現場有出入口支援人力，以及補貨與查驗購買菸酒身分的店員</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(105, 105, 105);"> 年齡合規對策 </span></strong></span> <span style="color:#FF8C00;"><strong>真人店員檢查年齡</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(105, 105, 105);"> 技術限制對策 </span></strong></span> <span style="color:#FF8C00;"><strong>1. 物件辨識能力有限，於難辨識商品加上辨識輔助</strong></span></p> <p><span style="color:#FF8C00;"><strong>2. 為避免重量感測誤差，採用昂貴的高精度重量感測元件，可偵測小至一枝筆的重量變化，也不怕高溫差環境</strong></span></p> <p><span style="font-size:14px;"><span style="color:#696969;">備註說明：臺灣常見超商面積為40至50坪，品項數約2,000至3,000種。<br /> 資料來源：iThome整理，2023年8月</span></span></p> </div></div></div>
2023/8/4 12:00作者郭又華https://www.ithome.com.tw/news/158070
老技術也能創造新模式
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「為什麼要複製7年前Amazon Go的拿了就走模式？」這是不少人，看到統一超在今年7月中最新發表的科技概念店X-Store 7號店之後，心裡的第一個疑問。我看到照片後的第一個念頭也這樣想。</p> <p>真的一樣嗎？我請零售線記者細細比較一番，到底Amazon Go和小七Go（我這樣簡稱X-Store 7號店）有何技術和模式上的差異，還真的發現了不少差異，甚至可說，是兩種在消費流程、發展策略、甚至是技術決策上有根本性差異的兩種「拿了就走」（Grab & Go）模式。</p> <p>Amazon在2016年底發表了第一間拿了就走無人店雛形，吸引了全球目光，背後靠的是的大量攝影機、影像辨識AI技術的整合創新，重新定義出了一種全新的無人店模式，顧客走進店，拿了商品，直接離店，完全不需要傳統零售門市的「真人店員結帳」過程，驚艷全球。</p> <p>直到1年多後，2018年初，Amazon Go正式在西雅圖對外營運，大家才發現，這個「無人店」還是需要不少店員在場，補貨、菸酒商品年齡檢查、入口支援等，不是真正100%無人，只是顧客不需要接觸到店員的「免接觸人購物」模式。雖然，落地時仍需要真人輔助，但是，Amazon Go的拿了就走模式，已經成為一種無人店模式的概念典型。</p> <p>Amazon後來把這家無人店模式背後的技術，發展成一套無人店解決方案Just Walk Out整套輸出（也許還搭配客製化服務），開始出現在旅遊用品快速店，大樓內廣場的貨櫃式快食零售店、球場飲料零食快速店等，大多是可以滿足大量人潮，快速購買零食、飲料、快餐食品的場景。</p> <p>但是，統一超商X-Store7 號店的拿了就走模式，是一家真正100%的無人店。在竹東工研院宿舍大樓一樓的這間10坪大迷你超商，安裝了30多座影像追蹤感應器、15臺IoT智能貨架，超過1,300個重量感測器、超過3,000組多重感測器。如此龐大的幕後技術搭配，才能做到，遠處的母店只需指派一名店員，搭配廠商定期補貨，就可以銷售300種商品，給上千人規模的宿舍大樓住戶。為了引導顧客習慣這間無人店的消費流程，還結合了AI虛擬店員和遠端客服來支援。</p> <p>統一超商沒有像Amazon Go選擇了高精度的攝影機，也沒有搭配精密的數位式重量感測器，而是為了降低後續營運的複雜度和成本，或者可以說，就是為了提高日後整店複製的可能性，採用了比較低成本的攝影機以及精度低但業界運用多年的類比式重量感測器，再搭配銷售策略的調整，例如放棄太小或沒有標準形狀的商品，也不能賣小於5公克容易誤判重量的商品（無法像Amazon Go可以賣原子筆或冷凍商品），更不能賣需要檢查年齡的菸酒。</p> <p>雖然小七Go用的大多是現成的老（成熟）技術，但也實現了連Amazon Go當年（現在的Just Walk Out技術可以）沒做到的，完全無店員在場的新超商模式。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/x-store-7%E8%99%9F%E5%BA%97">X-Store 7號店</a></div><div class="field-item odd"><a href="/tags/%E7%B5%B1%E4%B8%80%E8%B6%85">統一超</a></div><div class="field-item even"><a href="/tags/amazon-go">Amazon Go</a></div><div class="field-item odd"><a href="/tags/%E7%84%A1%E4%BA%BA%E5%BA%97">無人店</a></div><div class="field-item even"><a href="/tags/%E6%8B%BF%E4%BA%86%E5%B0%B1%E8%B5%B0">拿了就走</a></div></div></div>
2023/8/4 12:00作者王宏仁https://www.ithome.com.tw/voice/158084
ChromeOS可能即將不再內建Chrome瀏覽器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google即將把ChromeOS與Chrome瀏覽器切分開來；<a href="https://www.aboutchromebooks.com/news/chromeos-116-may-begin-the-lacros-browser-push-to-chromebooks/?expand_article=1" target="_blank">本周有媒體報導</a>，Google可能最快從ChromeOS 116起不再整合Chrome瀏覽器，以加快Chromebook瀏覽器的更新。</p> <p>《Aboutchromebooks》報導，Google正在以Lacros專案取代整合式的Chrome瀏覽器。<a href="https://chromium.googlesource.com/chromium/src/+/main/docs/lacros.md" target="_blank">一個Chromium專案網頁說明</a>，Lacros為切分Chrome瀏覽器和Chrome OS視窗管理員及系統UI的架構專案，其名稱來自<strong>L</strong>inux <strong>A</strong>nd <strong>C</strong>h<strong>R</strong>ome <strong>OS</strong>。切開ChromeOS及瀏覽器的目的是，瀏覽器更新可以更快推送到Chromebook電腦，而不需等一整包ChromeOS更新。</p> <p>媒體發現到的最新Lacros文件變更，顯示Google可能將在Chrome OS 116中加入啟動Lacros的選項。報導指出，之前Lacros文件並未說明哪個版本。</p> <p>根據Google說明，Lacros可以被視為「具備更強Wayland通訊協定支援的Linux版Chrome」，它使用Ozone為圖形及事件處理的抽象層。此外，ChromeOS內建名為exosphere的Wayland實作，Lacros則使用exo為圖形及事件處理的Wayland伺服器。專案小組也公布了具備ARC（執行Android app）及Crostini（執行Linux app）容器的Wayland協定擴充程式。</p> <p>不過媒體也發現，一臺使用ChromeOS 116 Beta版的Chromebook並未看到Lacros-support的flag。因此推測Google可能還未決定何時將Lacros部署到Chromebook裝置。</p> </div></div></div>
2023/8/4 12:30作者林妍溱https://www.ithome.com.tw/news/158104
微軟Arm架構運算雲服務成軍，提供與擴增多款VM選擇
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/ms_azure_arm_vm-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2022年6月我們製作<a href="https://www.ithome.com.tw/article/151380">封面故事《Arm走入公有雲世界》</a>，當時提到兩大公有雲業者都已經或即將開始提供Arm架構雲端服務。以AWS為例，從2018年底起，他們基於自行研發設計的Arm架構處理器Graviton，推出執行個體服務，後續已發展到第三代晶片，並推出十多款執行個體服務，而旗下主攻資料庫、資料分析、檔案儲存等特定用途的雲端服務，底層也能搭配這些基於Arm架構而成的執行個體服務，作為運算平臺。</p> <p>另一家雲端業者微軟Azure，採取了不同策略。他們在2022年4月宣布將推出3大系列共6款Arm架構執行個體服務，開放用戶登記預覽測試，採用市售的Arm架構伺服器處理器：Ampere Computing公司的Altra系列，到了9月正式推出。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-11-OCP-Sustainability at the Core with Cloud Native Processors-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-OCP-Sustainability%20at%20the%20Core%20with%20Cloud%20Native%20Processors-2.jpg" style="width: 600px;" /></a></p> <p>事實上，這幾年以來，還有多家雲端業者宣布推出Arm架構執行個體服務，也都是採用基於Arm Neoverse N1架構而成的Ampere Altra系列處理器。例如，在2021年5月，OCI發表Ampere A1 Compute，提供虛擬機器與裸機等兩種部署選擇；在2021年10月，騰訊雲推出Cloud Virtual Machine系列標準型SR1(Standard SR1)服務；在2022年4月，阿里雲推出ECS g8m系列；在2022年7月，Google Cloud推出Tau T2A。</p> <p>截至目前為止，除了AWS，微軟Azure是目前提供最多Arm架構執行個體的公有雲。在最初發表之際，他們預告將推出支援一般用途的Dpsv5系列、Dplsv5系列，以及支援記憶體最佳化用途的Epsv5系列，相較於x86架構的虛擬機器服務，在性價比的表現上，領先幅度可達到50％。微軟表示，這批虛擬機器服務適合執行可橫向擴展規模的工作負載，舉凡網站伺服器、應用程式伺服器、開放原始碼資料庫系統、雲端原生系統，以及.NET應用系統、Java應用系統、遊戲伺服器、多媒體伺服器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Arm Cloud Provider-overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Cloud%20Provider-overview.jpg" style="width: 600px;" /></a></p> <p>在系統資源的配置上，這三大系列執行個體服務，均採用3.0 GHz的Ampere Altra處理器，每一臺虛擬機器搭配的虛擬處理器，最多可提供64顆（Epsv5系列提供32顆），記憶體最多可提供208 GiB（Dplsv5系列提供128 GiB），以每顆虛擬處理器搭配的記憶體容量而言，Dplsv5系列提供2 GiB，Dpsv5系列提供4 GiB，Epsv5系列提供8 GiB。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-05-Azure Arm VMs-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-Azure%20Arm%20VMs-1.jpg" style="width: 600px;" /></a></p> <p>而在網路裝置上，這三大系列執行個體服務最多可搭配8張網路介面，網路頻寬最大為40,000 Mbps（Epsv5系列為16,000 Mbps）；</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure Dpsv5-series spec.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Dpsv5-series%20spec.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Azure Epsv5-series spec.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Epsv5-series%20spec.png" style="width: 298px;" /></a></p> <p>關於儲存裝置，均可搭配資料硬碟，最多可設置32臺，但細分為搭配遠端儲存與暫存固態硬碟。以Dpsv5系列為例，標示為同名的Dpsv5系列執行個體服務僅限搭配遠端儲存，標示多了「d」稱為Dpdsv5系列的執行個體服務，搭配暫存固態硬碟，最大容量為2,400 GiB（Epdsv5系列最大容量為1,200 GiB）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure Dpldsv5-series spec.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Dpldsv5-series%20spec.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Azure Epdsv5-series spec.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Epdsv5-series%20spec.png" style="width: 298px;" /></a></p> <p>在作業系統的支援上，微軟在這些服務發表之初的預覽版將提供多種平臺，像是Ubuntu、CentOS等兩大Linux系統，以及Windows 11專業版與企業版，後續將涵蓋Red Hat Enterprise Linux、SUSE Linux Enterprise Server、Debian、AlmaLinux，以及Flatcar Container Linux，而以目前來看Azure雲端市集提供的Arm64系統映像，SUSE平臺選擇最多，SUSE Linux Enterprise Server占了6項，再加上openSUSE Leap 15.5，但CentOS、Debian尚未出現。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure Marketplace VM images Arm64.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Marketplace%20VM%20images%20Arm64.jpg" style="width: 600px;" /></a></p> <p>而在應用程式平臺的部分，從.NET 5就已原生支援Arm架構執行的Linux系統，近期推出的.NET 6也延續這個基礎而繼續支援。此外，2022年8月釋出預覽版本的.NET Framework 4.8.1，對於Arm架構也提供原生支援，已整合在Windows 11社群內部預覽版，以及Visual Studio 2022 17.3。</p> <p>到了2022年8月釋出預覽版本、11月正式推出的17.4版，微軟也宣布Visual Studio 2022原生支援Arm架構應用程式的執行與組建。</p> <p>而由於許多開發平臺與語言近年來都已陸續提供Arm架構的支援，微軟也在2022年宣布Arm執行個體服務的開放預覽與正式推出的消息當中，趁機宣傳他們<a href="https://www.ithome.com.tw/news/144651">2021年5月推出的OpenJDK版本（Microsoft Build of OpenJDK）</a>，但實質成效與衍生的整合應用狀況並未揭露。</p> <p>在2023年5月，微軟宣布旗下Java工程團隊（JEG）打造的<a href="https://techcommunity.microsoft.com/t5/blogs/blogarticleprintpage/blog-id/AzureCompute/article-id/207#_ftn1">Microsoft Build of OpenJDK，已針對Azure的Arm執行個體服務完成最佳化調校</a>，可善用處理器架構Neoverse N1內建的多種特色，如密碼學演算法、大型系統延伸（LSE），而能改善大型伺服器系統的延展性，並且發揮每顆虛擬處理器就是實體核心的特性，確保JVM應用程式得以擴展執行規模與運用其他最佳化處理機制。同時，他們也說明使用Microsoft Build of OpenJDK 17.0.3+7 LTS、Parallel GC、G1 GC，對這些執行個體服務進行處理器功能測試——Java Microbenchmark Harness（JMH）、SPECJVM2008，以及處理器與系統記憶體的規模擴展測試——SPECjbb2015、HyperAlloc、YCSB/Cassandra。</p> <p>關於這批雲端運算服務效能的展現上，我們在網路上能找到的資訊並不多，今年7月底處理器廠商Ampere Computing公司在部落格發布使用案例文章，終於揭露一些可參考的相關數據，當中提到<a href="https://amperecomputing.com/blogs/amadeus-cloud-migration-on-ampere-altra-Instances">旅遊科技公司Amadeus想要透過效能測試去驗證某些假設</a>，結果呈現採用Arm雲端運算服務的成效，後續開始移植一些元件，以便執行實際的應用系統，該公司已完成平臺的整合測試與驗證，預計將在多個Azure區域建置正式使用環境。</p> <p>他們使用32個虛擬處理器的Standard_D32ps_v5執行個體服務，相較於同等級的英特爾處理器執行個體服務，原始吞吐量可具有20％的增長幅度，性價比則提升了50％，比起同等級的AMD處理器執行個體服務，原始吞吐量與性價比分別領先13％與27％。</p> <p>而在另一個實際的購物應用程式效能測試當中，他們看到這些Arm虛擬機器對照英特爾處理器執行個體服務，性價比改善47％，平均反應時間縮短11％，對照AMD處理器執行個體服務，性價比改善37％，平均反應時間縮短9％。</p> <p>除了鎖定一般用途的上述3大系列共6款D系列執行個體服務，在今年7月，微軟宣布即將推出新一代經濟蓄發型 (Economical burstable) 執行個體服務（亦即Bs系列VM產品線），開放用戶預覽測試，裡面也將涵蓋Arm架構的運算服務，他們將分別針對Intel Xeon Platinum 8370C、AMD EPYC 7763，以及Ampere Altra等三種處理器，分別推出Bsv2系列、Basv2系列、Bpsv2系列。相較於現行的B系列，新登場的Bs v2系列的性價比將提升15％，並且提供5倍網路頻寬與10倍遠端儲存吞吐量。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-Azrue%20Bs%20v2-rishabv90_1-1688969921528.jpg" style="width: 600px;" /></p> <p>對此，Arm首席解決方案工程師Pranay Bakre也特別在他們公司的部落格發文，說明推出這項運算服務的意義。他提到，Bpsv2系列提供基礎的處理器效能，並在工作負載大幅增加時，可擴展（暴增）至更高的效能，適合平時不需要持續使用完整效能的應用，像是系統開發與測試、流量低的網站伺服器、小型資料庫、微服務、概念驗證、系統組建、儲存程式碼；而在文章後半段，他也展示將這系列服務用於以GitHub Actions進行程式碼CI/CD流程的方式，可在應用程式組建與測試過程中，因應資源需求規模的變化，而能管理效能需求的激增。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Bpsv2-series%20spec.jpg" style="width: 600px;" /></p> <p><strong style="color: rgb(0, 128, 128);">產品資訊</strong></p> <p>微軟Azure Arm-based VMs<br /> ●原廠：微軟<br /> ●建議售價：東亞區域，Dpsv5的D2ps v5（2顆虛擬處理器、8 GiB記憶體）隨用隨付方案每月77.38美元<br /> ●執行個體服務選擇：Dpsv5系列與Dpdsv5系列、Dplsv5系列與Dpldsv5系列、Epsv5系列與Epdsv5系列、Bpsv2系列<br /> ●搭配的處理器平臺：Ampere Altra系列3.0 GHz<br /> ●運算資源最大配置：<br /> Dpsv5系列與Dpdsv5系列提供64顆vCPU、128 GiB記憶體<br /> Dplsv5系列與Dpldsv5系列提供64顆vCPU、208 GiB記憶體<br /> Epsv5系列與Epdsv5系列提供32顆vCPU、208 GiB記憶體<br /> Bpsv2系列提供16顆vCPU、64 GiB記憶體</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/8/4 11:33作者李宗翰https://www.ithome.com.tw/review/157971
Amazon EC2最新通用執行個體M7i上線，還有低價版M7i-Flex
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS發布最新通用執行個體，現在的用戶已經可以用到搭載客製第四代Intel Xeon Scalable處理器（代號為Sapphire Rapids）的執行個體<a href="https://aws.amazon.com/tw/blogs/aws/new-seventh-generation-general-purpose-amazon-ec2-instances-m7i-flex-and-m7i/">M7i</a>，官方提到，其性價比較前一代M6i執行個體還高出15％。這次推出的執行個體除了M7i之外，還有其低價版M7i-Flex，價格更是降低了5％。</p> <p>M7i總共有9種尺寸，之後還會有2種裸機尺寸。M7i適用於大型應用程式、遊戲伺服器，還有基於CPU的機器學習，以及高CPU負載的影片串流等任務，用戶最多可以附加128個EBS磁碟區到每個M7i執行個體，相較之下，前一代M6i執行個體少上許多，僅能附加28個EBS磁碟區。</p> <p>M7i的低價版M7i-Flex執行個體則提供5種常見的大小，M7i-Flex執行個體的特色是價格較便宜，但提供40％的CPU效能基準，只保證在95％的使用時間可達到最大效能。適合用於未充分使用CPU效能的應用程式，像是網頁和應用程式伺服器、虛擬桌面、批次處理或是微服務等工作負載。</p> <p>要將應用程式從一般執行個體，搬遷使用M7i-Flex執行個體也很容易，用戶不需要修改應用程式或是工作負載，就能夠直接應用這類具彈性的新執行個體降低營運成本。</p> <p>第四代Intel Xeon Scalable處理器內建四種加速器，每種加速器都可對特定工作負載，提供硬體加速，包括可改進深度學習和推論，並支援自然語言處理和圖像辨識等工作的AMX（Advanced Matrix Extensions），而DSA（Intel Data Streaming Accelerator）則可加速資料移動和轉換操作，IAA（Intel In-Memory Analytics Accelerator）能提高資料庫和分析工作負載的效率，最後QAT（Intel QuickAssist Technology）則可減輕加密、解密和壓縮的處理器負擔。</p> <p>M7i和M7i-Flex執行個體皆支援AMX，不過QAT、IAA和DSA三個加速器，則需要在m7i.metal-24xl和m7i.metal-48xl裸機執行個體才可使用。目前M7i和M7i-Flex已經在美東、美西和歐洲愛爾蘭地區推出，其他地區則會在2023年下半年陸續上線。</p> </div></div></div>
2023/8/4 07:30作者李建興https://www.ithome.com.tw/news/158088
俄羅斯駭客利用Microsoft Teams展開網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/08/02/midnight-blizzard-conducts-targeted-social-engineering-over-microsoft-teams/" target="_blank">微軟本周揭露</a>了俄羅斯駭客組織Midnight Blizzard最新的網釣手法，駭客先是滲透了多個Microsoft 365小型企業租戶，利用這些租戶的權限建立新的且合法的子網域，再透過Microsoft Teams傳訊給目標組織的對象，以騙取權杖。自今年5月以來，已有超過30個組織受到影響。</p> <p>在駭客滲透了Microsoft 365租戶之後，便以它們的名義建立新的onmicrosoft.com子網域，這些子網域多半是以安全或是產品名稱為主題，再新增使用者以傳送Microsoft Teams訊息。</p> <p>其中一個例子是假冒為微軟身分認證保護服務，當目標對象接受了透過Microsoft Teams聊天的要求之後，駭客就會以各種方式誘導使用者開啟Microsoft Authenticator程式，並輸入一個號碼以產生一次性密碼，並將它提供給駭客，駭客就能存取該名使用者的Microsoft 365帳號，進而嘗試新增裝置。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0803-Midnight-Blizzard-request-Microsoft-Teams.png" style="width: 600px;" /></p> <p>Midnight Blizzard主要的攻擊對象為政府組織、外交單位、非政府組織，以及IT服務供應商，目的為間諜行動。</p> <p>資安社群自2018年初就開始追蹤Midnight Blizzard，為了滲透目標對象，Midnight Blizzard採用了各種手法，涵蓋竊取憑證、供應鏈攻擊、先滲透本地端環境再延伸至雲端、利用對服務供應商的信任來接觸下游客戶，以及使用Active Directory Federation Service（AD FS）惡意程式等。</p> <p>微軟則建議客戶應部署反網釣機制，限制與外部網域的通訊，僅開放已知裝置，以及教育使用者關於社交工程的風險，也應教育Microsoft Teams使用者如何辨識來自外部的標記。</p> </div></div></div>
2023/8/3 15:23作者陳曉莉https://www.ithome.com.tw/news/158086
皮克斯、蘋果、Adobe與Nvidia成立OpenUSD聯盟以推動3D內容的開放標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>皮克斯動畫工作室（Pixar Animation Studios）、Adobe、蘋果、Autodesk、Nvidia，以及Linux基金會旗下的聯合開發基金會（Joint Development Foundation，JDF）<a href="https://www.apple.com/newsroom/2023/08/pixar-adobe-apple-autodesk-and-nvidia-form-alliance-for-openusd/" target="_blank">周二（8/1）宣布成立OpenUSD聯盟（Alliance for OpenUSD，AOUSD）</a>，以推動通用場景描述（Universal Scene Description）的標準化與未來發展。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Apple-Alliance-for-OpenUSD-AOUSD-logo.jpg" style="width: 600px;" /></p> <p>通用場景描述是皮克斯在2016年所發表的開源3D圖像資料交換框架，著重於協作、非破壞性編輯，支援工具、資料與流程之間的互通，已被應用在視覺效果、建築、設計、機器人及電腦輔助設計（CAD）等領域。</p> <p>此一聯盟則打算進一步強化OpenUSD的能力，以建立3D生態體系的標準化，讓開發者與內容創作者得以描述、編寫及模擬大型的3D專案，以建置應用範圍愈來愈廣泛的3D產品及服務。</p> <p>因此，OpenUSD聯盟的下一步將是發展OpenUSD詳細功能的規格書，促進業界對此一架構的採用，亦允許其它標準組織將它納入規範。此一專案將由JDF代管，以替成為ISO標準舖路。</p> <p>該聯盟的創始成員指出，OpenUSD已經擴展到電影、視覺效果及動畫之外的應用，可望成為藝術家在不同裝置上呈現作品的解決方案，也可協助實現新一代的AR體驗，成為跨產業數位化與3D世界的標準。</p> <p>OpenUSD除了將設立論壇以供產業討論功能與技術上的定義之外，亦歡迎其它業者及組織加入以共襄盛舉。</p> </div></div></div>
2023/8/3 15:32作者陳曉莉https://www.ithome.com.tw/news/158087
MedTech醫療科技雙周報第24期：美前段班醫院AdventHealth揭醫療AI心得：做好MLOps
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（0716～0731）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">AdventHealth </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MLOps </span></strong></span></p> <p><span style="font-size: 22px;"><strong>美前段班醫院AdventHealth成立AI諮詢委員會，重要心得是做好MLOps</strong></span></p> <p>AdventHealth是美國第15大的體系醫院，旗下有52家醫院、橫跨9州。他們今年成立AI諮詢委員會，要根據安全、倫理、可擴展性和病患福祉等原則來審查AI工具能否落地，委員會成員有醫師、IT、資料科學家和廠商代表，如微軟、Premier和Vizient等。</p> <p>根據HIMSS旗下媒體Healthcare IT報導，AdventHealth的AI諮詢委員會負責人Rob Purinton指出，委員會審查AI工具的方法採漏斗式思考，先從一個問題陳述開始，再納入AI和非AI解法，最後縮小到1項他們最想採用的工具。其中，他們會考慮原則性問題，比如該工具是否符合醫院願景、在現有技術框架內是否可行，又或是否夠安全、透明、可擴展且可持續評估，且對臨床醫師預期的工作流程，有哪些好處等。</p> <p>他也表示，隨著美國對醫療AI工具的標準和規格要求越來越詳細，委員會預期，未來對AI工具和廠商的審查流程將更簡單。不過，提到建立內部AI工具最重要的一課，Rob Purinton直言機器學習開發維運（MLOps）很重要，因為做好MLOps，就可避免資料品質出問題和模型漂移等問題，進而確保AI模型日常運作的正常。為做好MLOps，AdventHealth資料工程師和資料科學家正與微軟、Snowflake等廠商合作，來學習、改進內部AI措施。<a href="https://www.googlecloudpresscorner.com/2022-01-12-U-S-Department-of-Veterans-Affairs-Partners-with-Google-Cloud-to-Improve-Veteran-Access-to-Benefits-and-Services">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 麻省總醫院 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位轉型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料互通 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>美頂尖醫學中心如何推動數位轉型？麻省總醫院內科主任揭第一手經驗</strong></span></p> <p>美國頂尖醫學體系麻省總醫院暨布萊根婦女醫院（Mass General Brigham，簡稱MGB）內科主任David W. Bates日前來臺分享數位轉型經驗和進展。一直以來，MGB自建系統來支援日常工作，但隨著數位醫療興起，他們計畫推動數位轉型，首先盤點院內系統、發現系統老舊且資料互通性不足。於是，他們展開評估，若要自建系統、轉換成本太高，於是決定採用現成商用系統，在2016年導入美國市佔率最高的Epic系統至旗下所有醫院和診所。</p> <p>這麼做雖解決資料互通性問題，但David W. Bates坦言，MGB也有些問題要克服，比如系統難以精煉、臨床決策輔助功能不如舊系統好，需額外採購系統來補強等。不過，商用系統也為MGB日後AI發展打下基礎，能收集大量、標準化的臨床資料，讓團隊建置許多資料庫來供醫護和研究人員即時存取。此外，MGB也利用醫學影像數位化的基礎，打造許多醫學影像AI，不過，David W. Bates也點出目前MGB面臨的挑戰，像是即時AI預測所需的資料串聯、如何運用工具來確保AI產出的洞察，能給正確的醫護人員審閱。</p> <p>David W. Bates總結，醫院推動數位轉型時，必須投資基礎建設、確保資料互通性，並持續嘗試新技術和創新應用。他也建議，醫院若要找出高成本患者族群、降低醫院成本，可從心理健康狀態、社經地位、婚姻狀態和生活狀態等因子下手。MGB就因此找出這群高成本患者，他們占整體患者人數的5%，但卻耗費醫院50%的支出，MGB也根據這群患者調整措施，來提高成本效益。<a href="https://www.ithome.com.tw/news/158054">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/ying_mu_xie_qu_hua_mian_2023-08-01_123310.png?itok=817txGcU" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">新加坡 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫療影像 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開發 </span></strong></span></p> <p><span style="font-size:22px;"><strong>新加坡國家醫療IT公司更名Synapxe，還打造國家級醫療AI開發平臺</strong></span></p> <p>由新加坡衛生部在2008年成立的國家醫療IT公司IHiS，最近在成立15周年之際更名為Synapxe，同時揭露更多醫療AI應用，要給新加坡國內40多家公立醫療機構使用。自IHiS成立以來，就肩負設計、開發醫療IT解決方案的責任，來支援新加坡46家公立醫療機構、7萬多名職員工作，IHiS同時還管理了600個醫療IT系統、8萬多個終端設備。</p> <p>Synapxe執行長Ngiam Siew Ying指出，他們要用生成式AI和雲端技術，來推動更多解決方案和計畫，其一就是今年7月剛與衛生部展開的Healthier SG計畫，他們用開放式架構和國家醫療資訊網格，來實現跨體系的資料互通和交換，以支援完善的照護。目前，Synapxe也打造了新加坡首個慢性病輔助解釋AI（ACE-AI），該AI採用深度學習演算法，來計算民眾罹患慢性病的早期風險，有助於預防醫學，並計畫在今年底展開全國測試。此外，[Synapxe也建置了新加坡首個醫療影像AI開發平臺AIM.SG，可接受各種類型和來源的醫學影像，來加速AI模型的開發、測試和部署。另一個Synapxe打造的AI系統是藥物遵從性影片分析器（AV-MED），該系統是Synapxe與新加坡綜合診所集團共同開發的原型，透過AI分析影片畫面，來提高患者的服藥性。<a href="https://www.synapxe.sg/mediadata/media-releases/singapore-healthtech-agency-synapxe/">（詳全文）</a></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CareCloud </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>美醫資大廠CareCloud也採用公雲生成式AI服務了</strong></span></strong></p> <p>美國醫資廠商CareCloud最近宣布採用Google Cloud生成式AI服務，要來打造醫療系統服務，提供給美國中小型醫院和診所使用。進一步來說，CareCloud本來就採用Google Cloud來協助日常營運，這次要用生成式AI和企業搜尋功能來驅動自家產品，也就是採用Google的全託管機器學習平臺Vertex AI 和生成式AI應用程式建置工具（Generative AI App Builder）的搜尋功能，來打造臨床應用，讓醫師能即時存取資料。</p> <p>CareCloud說明，他們接下來要推出的解決方案，能在兼顧隱私法規的前提下，同時分析大量患者數據、提出問題，來根據回答得到洞察和基於事實的照護建議。CareCloud舉例，該解決方案適合用於患者進入醫院或診所時，先用生成式AI摘要患者相關訊息，並協助醫師制定照護計畫，包括藥物、實驗室檢驗檢查項目，以及根據患者病史和當下症狀來建議治療程序。而且，該解決方案還能根據建議的診斷、患者保險和其他訊息，來向診所和患者說明保險給付項目與待付金額。<a href="https://ir.carecloud.com/news-events/press-releases/detail/590/carecloud-and-google-cloud-collaborate-to-bring-the">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">中國附醫 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 病歷紀錄 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>口述10秒就完成病歷記錄，中國附醫推醫療生成式AI系統</strong></span></p> <p>中國附醫採用微軟生成式AI服務，開發出智海系統（gHi system），是首套以華文建立的生成式語音智慧醫療系統，能根據醫護口述，快速轉換為文字，來完成病歷的撰寫，減少醫護人員輸入病歷75％的時間，讓醫護人員更專注於患者照護。</p> <p>進一步來說，傳統手寫或鍵盤輸入病歷資訊，不只耗時，還容易出錯。為克服語音轉文字的準確度，中國附醫AI中心找來微軟，利用微軟Azure平臺上語音轉文字服務，辨識口述內容，再用同平臺提供的GPT-4模型，來摘要、分析，提取關鍵資訊，10秒就能自動生成專業醫療術語和建議。中國附醫指出，該應用可用於新病人面談問診、護理語音記錄、住院病歷撰寫、專業檢查報告輸出，甚至還能客製化生成等，大幅縮短撰寫醫療報告的時間。<a href="https://news.microsoft.com/zh-tw/generativeai-medical/">（詳全文）</a></p> <p><img alt="" src="https://news.microsoft.com/wp-content/uploads/prod/sites/74/2023/07/MicrosoftTeams-image-6-1536x1153.jpg" /></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">聯合學習 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 高雄 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧醫療 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>高雄聯合學習智慧醫療聯盟揭亮點成果</strong></span></strong></p> <p>由臺灣人工智慧實驗室（Taiwan AI Labs）推動成立的高雄聯合學習智慧醫療聯盟日前展示研究成果，包括高醫附醫副院長黃尚志團隊用AI分析糖尿病人眼底攝影影像與生理數據，來預測腎病變的發生和惡化風險，同時也利用聯合學習平臺收集近萬筆圖像，來訓練模型、統計分析其中關係，來進行連動性預測發病風險，以便醫護及早介入治療。（如下圖）</p> <p><img src="https://lh3.googleusercontent.com/BoYcGi8v4nF2Sv1IAKMidXV2XBEMpZa9rwAca9Z1SoI0D6jCqZCTdUF7GkCsnIwhBcCVf2q_dKKn6mqXYdT0Po1gXpbt7plKDzYAqW2tjDP2m1BjkMVdHPqzBEJAxWRJJZ511dBdLXuC" style="color: rgb(0, 0, 0); font-family: "Microsoft JhengHei"; font-size: 16px; white-space-collapse: preserve; margin-left: 0px; margin-top: 0px;" /></p> <p>高雄長庚也是聯盟一員，他們是全臺蒐集腦部中風電腦斷層影像最多的醫學中心，該院放射診斷科副教授林偉哲就透過跨院資料，再用聯合學習平臺打造腦缺血性中風診療預後AI輔助系統，來快速找出需要緊急處置的病人，縮短治療等待時間（如下圖）。</p> <p><img src="https://lh5.googleusercontent.com/TTP1_4ytr8IP9n1BehvxPpi9Qc90FCPamClQ8tlqfhRTulFQ1YMpiCZClD0rq_6Zve9CAWyRo7ypY9T_asrtf5J603wdg_x2pzy4ouVQti2xfwWfYzDqQPrJNSK4jKLoeIq5H0MEwLyZ" style="background-color: transparent; color: rgb(0, 0, 0); font-family: "Microsoft JhengHei"; font-size: 12pt; white-space-collapse: preserve; margin-left: 0px; margin-top: 0px;" /></p> <p>此外，聯盟成員之一的高雄榮總也有相關應用，運用聯合學習平臺來訓練「院前心跳停止早期警示預測AI模型」，來讓急診和重症團隊及早介入治療。（如下圖）</p> <p><span id="docs-internal-guid-5aa289f7-7fff-fbcb-c9a2-3a15e9c1ad64"><span style="font-size: 12pt; font-family: "Microsoft JhengHei"; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; vertical-align: baseline; white-space-collapse: preserve;"><span style="border:none;display:inline-block;overflow:hidden;width:650px;height:233px;"><img height="237.07051050662994" src="https://lh6.googleusercontent.com/Rksra3__D0gs7GeaxXMHs35c5RTt7UBkxUJXiqqPs5SphExbw_N9K-FJXMb3qhHN73by41Xx2NJWugc_m2hXJ_honUoF6SytNOdk4PlSh6WArDoDg439u8pXvdsKoBjVhBgUSPLv06Cj" style="margin-left:0px;margin-top:-4.070500524714589px;" width="650" /></span></span></span></p> <p>另一個聯盟成員義大醫院則展開骨質密度預測系統計畫，預計要輸出一萬組資料來訓練、驗證骨密度預測模型，要藉此篩選出骨質疏鬆症高風險個案，提供治療來降低脆弱性骨折的發生。此外，義大醫院也要用聯合學習方法打造All-in-One藥物智慧辨識系統，預計要會辨識6千項藥物品項，來輔助臨床醫師和照護團隊準確判斷病人用藥現狀。（如下圖）<a href="https://docs.google.com/document/d/1DtWihfKCkw3PXA3WPzLRlwX3A5H5Ocf-/edit?usp=sharing&ouid=111412338141324079990&rtpof=true&sd=true">（詳全文）</a></p> <p><span id="docs-internal-guid-f428fa85-7fff-d7d7-efbd-9e6a4f69956a"><span style="font-size: 10pt; font-family: DFKai-SB; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; vertical-align: baseline; white-space-collapse: preserve;"><span style="border:none;display:inline-block;overflow:hidden;width:650px;height:303px;"><img height="310.58449244499207" src="https://lh4.googleusercontent.com/jNYNSrAAX18GbUixecyc4SXrZ5mqr7zmaNwb3pr2IN2bJGEn8VqIGYadj4IgjLJhaOaKVWXnh5xFFAnapAXI2q6WZVZVtu7Vnpn68BErDdSzo0XKXERuufoI63otdX3W7Tjq-HL6dAGh" style="margin-left:0px;margin-top:0px;" width="650" /></span></span></span></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AWS </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 應用程式 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>AWS推出新服務，用生成式AI加速開發醫療應用程式</strong></span></strong></p> <p>7月底，AWS推出醫療專用生成式AI開發服務預覽版Amazon HealthScribe，符合美國醫療安全法規HIPAA，能加速醫療軟體供應商用來打造臨床應用程式。比如，開發者可使用文字識別和生成式AI技術來生成臨床文件，節省醫生時間。此外，醫療軟體供應商可用單一個API，來自動建立臨床記錄、提取文件關鍵訊息（如醫學術語和藥物），並根據醫病對話建立摘要，然後將這些資料輸入到電子健康紀錄（EHR）系統。Amazon HealthScribe由Amazon Bedrock提供支援，讓醫療軟體供應商能更快、更輕鬆將生成式AI功能整合到其應用程式中。在普通醫學和骨科這兩個常見專科，也有醫療軟體供應商開始使用Amazon HealthScribe了，不必自建LLM等基礎設施。<a href="https://aws.amazon.com/about-aws/whats-new/2023/07/aws-healthscribe-preview/">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 自動化 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 遠距監測 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IDC </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>IDC：醫院未來2年將加碼第三方技術投資，著重RPM計畫</strong></span></strong></p> <p>市調機構IDC和Redox聯手發布一項調查報告《買方心態：臨床主管和IT主管的醫療技術觀點》，該調查訪問全美205位中大型醫院的臨床主管和IT主管，88%受訪者表示，將在2023、2024年增加第三方技術投資，一大原因是要推動數位轉型。進一步來說，調查顯示，超過半數受訪者將數位轉型視為醫院最重要的目標，而部署新IT解決方案的首要目的是更自動化（47%）、降低成本（35%），再來是提高照護品質和病人安全（31%）、將資料作為醫院戰略資產（30%）。</p> <p>第三方技術投資大宗為自動化工具和遠距照護工具，因為，近7成受訪者認為遠距醫療和其他虛擬照護解決方案，是解決醫護人力短缺的關鍵，另也有6成以上受訪者認為，RPM（遠距病人監測）計畫至關重要，而4成多受訪者認為，自動預約排程工具比過去更有價值。報告指出，43%受訪者已制定RPM計畫或正進行額外投資來推動RPM，另也有55%受訪者指出，他們使用RPM平臺來管理慢性病患，或用來即時警示、進行臨床處置，還有45%受訪者點出，他們打算用RPM來輔助高風險患者儘早出院。甚至，將近8成受訪者表示，在今年結束前，他們將實現5到20個RPM計畫，有些醫院還打算擴大範圍，要涵蓋行為治療。<a href="https://www.redoxengine.com/blog/88-of-u-s-providers-plan-to-increase-third-party-technology-spending/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202023-08-03%20at%201_15_06%20AM.png" /></p> <p>圖片來源／國科會、臺灣人工智慧實驗室、微軟、IDC</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></strong></p> <p><strong><strong>1. 美國國家醫療IT協調辦公室ONC要求醫院使用社會決定因素（SDOH）資料</strong></strong></p> <p><strong><strong>2. Accenture著手打造紐西蘭國家級一站式健康資料平臺</strong></strong></p> <p>資料來源：iThome整理，2023年7月</p> </div></div></div>
2023/8/2 18:53作者王若樸https://www.ithome.com.tw/news/158078
肯亞出手封鎖虹膜掃描加密貨幣Worldcoin
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.facebook.com/InteriorMinistryKenya/posts/pfbid02ZR8xxiwtFfDctHLYeD17zPJq6BWJChbSMcNJq3XsLpsjxwwEKNY6yWAuXF9mZ23Kl" target="_blank">肯亞內政部周三（8/2）宣布</a>，由於擔心Worldcoin可能造成的安全及隱私問題，將立即中止Worldcoin於該國境內的所有活動。</p> <p>Worldcoin是由OpenAI執行長Sam Altman共同創辦的加密貨幣公司，企圖藉由掃描地球上每一個人的虹膜來建立普及的加密貨幣生態體系，成功掃描的使用者可獲得一組World ID，還能換得免費的Worldcoin代幣（WLD）。目前Worldcoin已於全球18個國家部署虹膜掃描機器Orb，<a href="https://worldcoin.org/blog/announcements/worldcoin-begins-rollout-orbs-meet-global-demand-world-id" target="_blank">根據該公司今年7月下旬的統計</a>，全球已有超過200萬人取得World ID。</p> <p>至於肯亞則是Worldcoin的主要市場之一，在Altman於去年底甫發表Worldcoin之際，當地就有超過25萬人掃描了自己的虹膜，取得World ID，而且提供虹膜掃描機器Orb的據點還經常大排長龍。</p> <p>肯亞內政部表示，該國的安全、金融服務及資料保護機構都開始調查相關活動的合法性，它們擔心Worldcoin取得及使用民眾資料的方式，對於涉及大量該國公民的活動，應該要先能夠保證金融交易的完整性與公共安全。</p> <p>因此，肯亞政府決定出手阻止Worldcoin於該國境內的任何活動，直至相關機構完成調查，證明Worldcoin不會對大眾帶來任何風險為止。</p> <p>Worldcoin現有的市場除了肯亞、智利、印度、巴西及阿根廷之外，也包括日本、新加坡、英國、德國及法國等，<a href="https://ico.org.uk/about-the-ico/media-centre/news-and-blogs/2023/07/ico-statement-on-worldcoin/" target="_blank">而英國資料保護組織ICO已警告境內民眾</a>，提供生物辨識資料予業者是個高風險活動，將會對Worldcoin展開調查，而法國與德國的資料保護組織也已攜手共同調查Worldcoin。</p> </div></div></div>
2023/8/3 15:04作者陳曉莉https://www.ithome.com.tw/news/158085
Apple Silicon的Mac也可執行Fedora！8月底第一個正式版即將到來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://asahilinux.org/2023/08/fedora-asahi-remix/">Asahi Linux專案在8月底時，將會正式發布Fedora Asahi Remix</a>，而這將會是一個支援Apple Silicon的Linux，讓用戶也可以在Mac上順暢運作Linux。</p> <p>Asahi Linux在去年3月的時候釋出第一個公開Alpha版本，但由於是一個很早期的版本，因此功能也不齊全，僅有Wi-Fi、Ethernet、鍵盤和顯示器等基本硬體功能，諸如圖形加速、TouchBar、藍牙和神經網路引擎等皆不支援。</p> <p>在Apple Silicon的Mac上執行Linux，連Linux之父Linus Torvalds都有興趣的事，實際執行卻相當困難，Asahi Linux官方提到，要在Apple Silicon這樣相對新的硬體上，提供完整的Linux支援並不容易，需要大量的逆向工程和開發工作，整體工作量非常大。</p> <p>Asahi Linux專案一開始將開發能量集中在Bootloader和核心，這些可在各Linux發行版本共用的工作。不過，就算核心已經達到基本可用的程度，但是要跟Linux發行版結合，仍然有許多細緻的整合工作需要進行，而且也需要在使用者空間專案合作，添加需要的功能。官方希望Asahi Linux能夠與市面上所有Linux發行版整合，讓用戶可以在Mac上任意選擇使用不同的Linux，由於這個宏大的目標，因此Asahi Linux需要先自行開發一個整合原型，呈現Linux發行版整合Asahi Linux應該呈現的樣子。</p> <p>最初Asahi Linux利用Arch Linux ARM，加入自己的套件打包成Asahi Linux Arch Linux ARM remix，雖然這個方法可行，但因為缺乏與上游的合作，Asahi Linux始終無法透過官方平臺提供更廣泛的支援。而Fedora專案這時候向Asahi Linux伸手，於是雙方一拍即合密切合作，Asahi Linux將Apple Silicon完全整合到Fedora，這包括了所有的自定義套件、核心等。</p> <p>直接與上游合作，使得Asahi Linux能夠與核心發行版更緊密的整合，也能迅速修復各種軟體套件的問題。由雙方合作的Fedora Asahi是一個上游優先專案，因此所有Asahi Linux特殊工具，像是m1n1低階Bootloader以及Asahi腳本工具，都存在上游的Fedora儲存庫中，可以直接供所有Fedora用戶使用，而Fedora Asahi硬體支援套件，存放在由Fedora Asahi工作組維護的個人套件建置系統COPR中，直接由Fedora基礎設施建置和供應。</p> <p>雖然Asahi Linux許多工作已經整合到Fedora上游，但是官方暫時決定以Remix版本發行，提供更好的硬體整合彈性，不過官方預告，最終Apple Silicon支援還是會整合到Fedora Workstation和Fedora Server中。Fedora Asahi Remix的第一個正式版，將會在8月底的時候釋出，目前開發者已經可以先下載開發版本試用。</p> </div></div></div>
2023/8/3 13:04作者李建興https://www.ithome.com.tw/news/158082
Kickstarter要求新創專案揭露AI使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著愈來愈多新創團隊以AI來強化專案，<a href="https://updates.kickstarter.com/introducing-our-new-ai-policy/" target="_blank">產品募資平臺Kickstarter本周宣布新規定</a>，從8月底開始將要求使用AI的專案必須清楚揭露使用方式，並確實取得創作者的創作使用許可。</p> <p>Kickstarter表示，有些專案利用AI改得更好，但另一些人的創作則被用以訓練這些AI模型，這些創作者應該獲得彰顯、尊重。經過和創作者、投資人、平臺同業的意見交換後，Kickstarter形成了AI使用的揭露政策，將在8月29日上路。Kickstarter強調，新政策不是要禁止專案團隊使用AI，而是希望平臺上募資的專案仍然應包含人類原創性，且專案團隊應清楚說明專案中如何使用AI；若專案參考了任何其他人的藝術作品，應適當表彰（give credit）且取得其同意。</p> <p>從8月29日起，如果專案涉及AI，會在專案提交過程中被要求詳細說明。新政策影響包括二類專案：以AI工具產生圖片、文字或任何內容的專案，以及開發AI技術、工具或軟體的專案。</p> <p>根據新政策，第一類，以AI工具產生圖片、文字或任何輸出的專案應在產品頁揭露資訊，包括他們計畫專案中如何使用AI內容，以及專案中哪些部份是人類創作，哪些是用到AI輸出的內容。</p> <p>第二類，開發AI技術、工具或軟體的專案團隊應說明他們使用了、或計畫使用的所有資料庫及資料來源，也應說明這些資料來源的使用許可政策。若這些來源沒有管理許可的政策，或獲得自我保護的機制，像是opt-in或opt-out，則Kickstarter不會同意募資專案的提交。</p> <p>若是專案提交過程中未依規定揭露AI使用，之後該專案可能會遭到停權。有規避或不實說明者，可能導致未來禁止在Kickstarter提交的後果。</p> <p>新政策將在8月29日生效實施，但對在此日期前已提交的專案則不溯及既往。新政策上路後也會公布在其<a href="https://www.kickstarter.com/rules" target="_blank">規定頁</a>及<a href="https://help.kickstarter.com/hc/en-us/categories/115000492154-Creator-questions" target="_blank">Help Center</a>頁。</p> </div></div></div>
2023/8/3 11:32作者林妍溱https://www.ithome.com.tw/news/158080
Meta開源文字轉音效、配樂的AI框架AudioCraft
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.meta.com/blog/audiocraft-musicgen-audiogen-encodec-generative-ai-audio/" target="_blank">Meta周三宣布</a>開源可以輸入文字生成音樂的AI框架AudioCraft，讓不會譜曲或不懂音樂的遊戲或VR開發人員，也能製作精彩的音效或配樂。</p> <p>AudioCraft是一個開發框架。經訓練後，就能根據使用者輸入的文字，產生高品質及逼真的聲音或音樂。AudioCraft包含三個模型，<a href="https://huggingface.co/spaces/facebook/MusicGen" target="_blank">MusicGen</a>、<a href="https://felixkreuk.github.io/audiogen/" target="_blank">AudioGen</a>和EnCodec。其中MusicGen以Meta自有及專屬授權音樂訓練而成，可以文字生成音樂，AudioGen是以公開聲音資料集訓練，能生成音效。MusicGen和AudioGen是Meta去年分別於<a href="https://www.ithome.com.tw/news/157281" target="_blank">6月</a>及<a href="https://the-decoder.com/audiogen-meta-ai-generates-audio-from-text/" target="_blank">10月</a>發表的模型。</p> <p><a href="https://www.ithome.com.tw/news/153985" target="_blank">Encodec則是去年11月發表的聲音壓縮技術</a>，號稱壓縮效果是MP3的10倍。AudioCraft包含的Encodec解碼技術為新版本，較前版減少壓縮失真率。</p> <p>經過預訓練的AudioGen模型可產生環境音效及聲音，如狗吠、汽車喇叭、木階梯上樓聲等。Meta指出，開源AudioGen旨在提供研究並促進產業界的了解，允許開發商以自有資料集訓練自己的模型。</p> <p>Meta也說明AudioGen和傳統生成音樂的AI模型不同。傳統訓練音樂生成AI模型，是透過音樂的象徵表現方式，如MIDI或鋼琴打孔紙卷。但是此類方法無法完全掌握音樂表現的細微差異及風格元素。進階一點的是用自我監督式音頻表示法學習（audio representation learning）及多種階層式（cascaded model）模型來產生音樂，將原始音樂輸入複雜系統以抓取訊號較長範圍的結構，以利生成高品質聲音，但效果仍然有待改進。</p> <p>Meta表示，AudioCraft家族模型則簡化音訊生成模型的整體設計，讓用戶以自然語言輸入，不需寫程式，而生成高品質且品質穩定的聲音，涵括音效及配樂，不但生成音訊容易、快速、也能重覆使用，還具有壓縮音訊演算法，適合不同需求的用戶。</p> <p>Meta的競爭對手也推出了音訊生成AI模型。<a href="https://www.ithome.com.tw/news/137371" target="_blank">OpenAI 2020年發表音樂生成的機器學習框架Jukebox</a>，而<a href="https://www.ithome.com.tw/news/156832" target="_blank">Google今年5月也公布了MusicLM</a>。而一個<a href="https://www.riffusion.com/" target="_blank">AI平臺Riffusion則以Stable Diffusion的AI模型為基礎</a>，提供以文字生成音樂的服務。</p> <p>這是Meta開放使用的最新AI模型。上周Meta也聯手微軟公布了<a href="https://www.ithome.com.tw/news/157854" target="_blank">可免費商用的大型文字語言模型（Large Language Model）Llama-2</a>。</p> </div></div></div>
2023/8/3 11:46作者林妍溱https://www.ithome.com.tw/news/158081
【資安日報】8月2日，美國針對軍事補給相關系統進行清查，中國駭客埋入可能干擾軍事行動的惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客滲透美國政府的情況，在先前有美國政府向微軟通報逾20個組織電子郵件遭竊的情況，最近傳出當局對軍事設施進行調查的消息，原因是他們發現中國駭客2022年部署的惡意軟體，可能會在臺海未來發生戰爭時，防礙美國出兵援助臺灣。美國政府官員認為，這樣的惡意軟體不只影響軍事行動，還有可能波及民間企業及民眾，造成社會恐慌。</p> <p>專門竊取臉書企業帳號的竊資軟體NodeStealer，其動態也相當值得留意。研究人員發現，有人以Python語言重新改寫，使得這個惡意軟體不僅功能變得更加強大，也更難進行反組譯。</p> <p>連網設備恢復原廠初始設定，竟然會遺留部分機敏資料而曝險！Canon上週發布資安通告，指出旗下逾200款噴墨印表機在恢復原廠設定之後，Wi-Fi無線網路組態仍留存，而這些資訊有可能被用來入侵家庭或企業的內部網路環境。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.nytimes.com/2023/07/29/us/politics/china-malware-us-military-bases-taiwan.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國傳出找尋埋藏於軍事系統中國惡意軟體</span></strong></a></p> <p>根據紐約時報的報導，美國正在針對各種軍事防禦系統進行清查，認為當中可能存在來自中國的惡意軟體，而有可能導致軍事通訊與補給行動遭到干擾。有官員向泰晤士報透露，政府認為惡意程式碼埋藏於軍事基地使用的電網、通訊系統、供水系統。也有國會官員認為，此惡意軟體有如定時炸彈，讓中國有能力切斷美國軍事基地的電力、水利、通訊，延緩軍事部署與補給行動，甚至造成中斷的情況，可能在中國未來對臺灣採取軍事行動的時候，干預美國軍方的運作。</p> <p>該國政府官員認為其影響極為廣泛，因為軍事基地通常與民間共用相同的基礎設施，企業與民眾也可能受到該惡意程式衝擊，而導致社會動盪。</p> <p>這項惡意軟體攻擊行動最初被揭露的時間，是在今年5月，當時微軟在關島及其他地區的電信系統偵測出神秘的程式碼，並指出攻擊者的身分是中國資助的駭客組織Volt Typhoon，但現在有十多名美國官員與業界專家認為，中國駭客的攻擊範圍超出電信系統，且至少在2022年5月就開始從事相關攻擊，美國政府追查此惡意程式已進行一段時間，由於這些程式碼埋藏得極為隱密，目前仍無法得知完整的攻擊範圍。近幾個月以來，美國白宮也針對此惡意程式召開一系列會議，討論因應方式，並向各州州長及公營事業公司透露調查結果，有官員透露，上述惡意程式碼的調查，最初集中於該國的軍事基地。</p> <p><a href="https://www.ithome.com.tw/news/158068"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">主機代管業者Cloudzy被資安廠商指控包庇駭客組織，為其提供C2代管服務</span></strong></a></p> <p>資安業者Halcyon揭露被用於代管C2的虛擬專用伺服器（VPS）供應商Cloudzy，此業者於美國、歐洲、亞洲建立15個資料中心（其中10個在美國），其VPS支援Windows及Linux作業系統，也提供遠端桌面連線（RDP）功能，但有別於一般的VPS業者，任何人只要提供企業的電子郵件信箱就能租用，而且該公司接受以加密貨幣支付相關費用，攻擊者因此偏好使用該公司的服務。</p> <p>研究人員指出，他們起初是在調查勒索軟體附屬機構Ghost Clown與Space Kook的攻擊行動中，察覺兩組駭客都透過Cloudzy架設C2，進一步追查有不少駭客組織也使用Cloudzy，如勒索軟體駭客UNC2352與FIN12、犯罪集團TA505、以色列間諜軟體公司Candiru，以及來自中國、印度、伊朗、北韓、巴基斯坦、俄羅斯、越南的17個國家級APT駭客組織，進而確認Cloudzy是C2供應商（C2P）。</p> <p>根據Halcyon的調查，由Cloudzy代管的伺服器當中，保守估計約有4成至6成被用於網路攻擊，而且，雖然該公司在美國登記，但實際上主要業務都是在伊朗首都德黑蘭進行。針對上述指控，Cloudzy執行長Hannan Nozari向路透社聲稱，他們公司不應對客戶的行為負責，並認為其中僅有2%客戶從事惡意活動。</p> <p>資料來源</p> <p>1. <a href="https://www.halcyon.ai/blog/report-ransomware-command-and-control-providers-unmasked-by-halcyon-researchers">https://www.halcyon.ai/blog/report-ransomware-command-and-control-providers-unmasked-by-halcyon-researchers</a><br /> 2. <a href="https://www.reuters.com/technology/cloud-company-assisted-17-different-government-hacking-groups-us-researchers-2023-08-01/">https://www.reuters.com/technology/cloud-company-assisted-17-different-government-hacking-groups-us-researchers-2023-08-01/</a></p> <p><a href="https://usa.kaspersky.com/about/press-releases/2023_kaspersky-uncovers-malware-for-targeted-data-exfiltration-from-air-gapped-environments"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客APT31鎖定東歐工控環境與關鍵基礎設施，企圖從被隔離的網路環境竊取機密</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/230731-ttps-p2-picd2-en.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/230731-ttps-p2-picd2-en.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基揭露中國駭客組織APT31（亦稱Zircium）的攻擊行動，駭客從去年4月，鎖定東歐的工業控制系統（ICS）及關鍵基礎設施（CI）的受隔離網路環境而來，於其過程中總共至少使用了15種攻擊工具，最終在目標電腦部署惡意軟體FourteenHi。研究人員指出，駭客的攻擊行動可分3個階段，初期，先對目標系統植入惡意軟體，以便讓攻擊者能遠端存取，並進行偵察工作。到了第2階段，駭客散布能透過USB裝置入侵隔離網路的工具；在第3階段，則是將收集到的資料回傳至C2伺服器。</p> <p>駭客使用的惡意軟體，包含四種工具：（一）偵測連接到電腦的外接式儲存裝置，並用來收集檔案、截取螢幕截圖、投放額外的惡意酬載；（二）使用含有弱點的McAfee可執行檔，藉由DLL挾持的手法來感染外接式儲存裝置；（三）執行批次檔收集裝置上的資料，並輸出到名為$RECYCLE.BIN的資料夾；（四）類似第一種工具，也具備偵測連接到電腦的外接式儲存裝置，並能用來收集檔案、截取螢幕截圖，但沒有感染外接式裝置的能力。</p> <p>不過，事情後來有了變化。去年5月，研究人員發現駭客在攻擊行動使用額外的工具，目的是從遭到感染的電腦收集本機檔案，並使用WinRAR打包，然後傳送至Dropbox。</p> <p><a href="https://unit42.paloaltonetworks.com/nodestealer-2-targets-facebook-business/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">有人以Python重新改寫竊資軟體NodeStealer，並假借提供Excel及Google Sheets範本的名義散布</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-129362-10.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-129362-10.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露新一波的竊資軟體NodeStealer 2.0攻擊行動，駭客先是透過臉書發送廣告訊息，表示免費提供可追蹤預算的Excel及Google Sheets的專業範本，引誘使用者從Google Drive下載特定的ZIP壓縮檔，一旦依照指示開啟裡面的可執行檔案，電腦就有可能被植入NodeStealer 2.0。此竊資軟體主要的功能為接管臉書的企業帳號，並能盜取加密貨幣、搜括瀏覽器的帳密資料，甚至能讓攻擊者下載BitRAT、XWorm等惡意程式到受害電腦上。與今年5月Meta揭露的NodeStealer相比，這個竊資軟體的2.0版改以程式語言Python重新打造，目標也不再只是針對臉書的企業帳號，而駭客這麼做，也使得新版竊資軟體難以反組講，威脅也更加嚴重。</p> <p>研究人員指出，上述NodeStealer 2.0的惡意程式下載功能裡，攻擊者利用名為fodhelper.exe的處理程序執行PowerShell指令碼，從遠端伺服器接收ZIP壓縮檔，目的是繞過Windows作業系統的使用者帳號控制（UAC）功能。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/158066"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Canon呼籲用戶送修、汰換印表機前，應手動移除Wi-Fi組態</span></strong></a></p> <p><a href="https://psirt.canon/advisory-information/cp2023-003/">7月31日Canon發布資安通告</a>，指出該公司旗下的噴墨印表機存在漏洞，第三方人士有可能藉此得知Wi-Fi無線網路的組態，進而發動攻擊，約有200款機型會受到影響，這些印表機涵蓋家用、企業級噴墨印表機，以及大圖輸出機。呼籲使用者如果要將印表機送修，或是要進行淘汰，必須清空印表機的Wi-Fi設定。</p> <p>該公司並未透露漏洞的名稱或CVE編號，但指出上述存在弱點的印表機裡，儲存的Wi-Fi設定不會在回復初始組態的過程刪除，而使得他人有機會存取敏感資料，例如：SSID、密碼、Wi-Fi網路通訊協定（如WPA3、WEP）、IP位址、MAC位址等，進而入侵家用網路或是企業網路的環境。對此，他們呼籲用戶應在重設所有組態後，接著開啟WLAN，然後再次進行所有組態重設的命令，來避免Wi-Fi組態外洩的情況。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.moea.gov.tw/MNS/populace/news/News.aspx?kind=1&menu_id=40&news_id=110737"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為強化零售業對於個人資料的保護，經濟部發布綜合商品零售業個人資料檔案安全維護管理辦法</span></strong></a></p> <p>經濟部根據個人資料保護法第27條第3項規定，制定的綜合商品零售業個人資料檔案安全維護管理辦法，於8月1日正式發布、施行，對於資本額達新臺幣1千萬元以上、且有招募會員，或是能取得交易對象個資的零售業者，必須在6個內訂定安全維護計畫。此計畫內容需包含個人資料蒐集、處理及利用之內部管理程序、界定個人資料之範圍及項目、資訊安全管理及人員管理、實施教育訓練，及事故之預防、通報及應變機制等，並應配置相當資源，落實個人資料檔案之安全維護及管理，防止個人資料被竊取、竄改、毀損、滅失或洩露。經濟部也預告將舉辦有關的宣導說明會，輔導業者訂立上述的維護管理計畫。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://money.udn.com/money/story/5612/7340009"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">臺灣資安新創池安量子資安成立亞洲首座量子安全遷移中心</span></span></strong></a></p> <p><a href="https://www.proofpoint.com/us/blog/threat-insight/out-sandbox-wikiloader-digs-sophisticated-evasion"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">義大利組織遭惡意軟體WikiLoader鎖定，於受害電腦部署金融木馬及竊資軟體</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/retail-chain-hot-topic-discloses-wave-of-credential-stuffing-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國服飾零售業者Hot Topic遭遇網路攻擊，用戶資料可能外洩</span></span></strong></a></p> <p><a href="https://blog.checkpoint.com/security/is-your-peloton-attracting-security-threats/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Peloton智慧健身器材存在漏洞，攻擊者有可能存取系統資訊、部署惡意軟體</span></span></strong></a></p> <p><a href="https://www.securityweek.com/nearly-all-modern-cpus-leak-data-to-new-collidepower-side-channel-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露名為Collide+Power的處理器漏洞</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158058">【8月1日】 Google彙整2022年零時差漏洞攻擊態勢，並指出駭客透過已知漏洞找出新漏洞的現象變得更加氾濫</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158049">【7月31日】 Ivanti再度修補行動裝置管理平臺的零時差漏洞，並指出其危險之處在於與另一個漏洞串連使用</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157996">【7月28日】惡意軟體Nitrogen被用於勒索軟體攻擊，並透過Google、Bing廣告散布</a></strong></p> </div></div></div>
2023/8/2 17:55作者周峻佑https://www.ithome.com.tw/news/158077
企業強化供應鏈安全怎麼做？專家剖析NIST 800-161r1 C-SCRM管理框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「資安在供應鏈上可視性相當低，大家可能還沒意識到，或是不知道如何評斷」，資誠智能風險管理諮詢風險與控制服務執行董事張晉瑞在今年臺灣資安大會活動上說。</p> <p>在企業營運管理上，供應鏈管理相當重要，相關的風險管理也受到重視，但是除了營運、商譽等供應鏈的風險之外，對供應鏈衍生的安全風險管理也開始受到重視，但仍有不少企業不知道如何系統化、邏輯化的加強供應鏈安全風險管理，甚至不知道如何採取行動。</p> <p>根據PwC全球調查結果，只有約4成的企業掌握第三方或供應鏈帶來的風險，換言之，過半數的企業無法掌握供應商、雲端等第三方業者的相關風險，受訪者無法回答公司針對第三方或是供應鏈的風險採取何種行動。甚至有的企業僅僅因為和第三方業者合作，信任第三方業者，沒有採取行動，「這樣是對的嗎？」，張晉瑞反問。</p> <p>因此為了降低第三方或供應鏈的資安風險，他歸納出現今的趨勢是，儘量降低供應商數量，同時強化監控能力，「因為風險如同水庫理論，水會從最弱的那一點流進來，不應該讓供應商成為最弱的那一點」。因此和供應商建立安全生態系相當重要，面對資安威脅下，合作是安全生態系的關鍵，例如分享情資、提升員工教育訓練、訂定共同責任條款等等。</p> <p><span style="color:#B22222;"><strong>企業應該如何去管理供應鏈的資安風險？</strong></span></p> <p>張晉瑞以去年美國發布的NIST 800-161r1 C-SCRM（Cybersecurity Supply Chain Risk Management）網路安全供應鏈風險管理指南為例，企業對於供應鏈的風險透視度及掌握是低的，SP800-161r1是從企業自身擁有供應鏈的甲方思維來看，而SP800-171/172則是從第三方業者，想要打進供應鏈的乙方角度，例如要打進美國軍工產業供應鏈的CMMC Model 2.0，分為Level 1、2、3三級，Level 1屬於自評，Level 2需符合NIST SP800-171，Level 3則需達到NIST SP800-172。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/SP800-161.jpg" style="width: 600px; height: 443px;" /></p> <p>張晉瑞表示，當企業開始要求供應商達到其要求，想要成為別人的供應商，也要重視達到別人的安全水準，因此如果企業是乙方，提供產品及服務，就要符合SP800-171、172。總而言之，不論是甲方或乙方，對供應鏈安全的要求愈來愈重要。</p> <p>進一步檢視NIST 800-161r1提出的供應鏈風險管理，以邏輯的方式提出各層級的風險管理面向，張晉瑞指出，對於各個角色、面向提出定義，包括網路安全專家、風險管理者、系統工程師、採購人員、使用單位，各個不同角色應該重視的重點是什麼。此外，還分為3個層級，例如全公司對於供應鏈管理層級應注意的事項，個別流程或專案應注意的事項，以及營運作業上應做到的事項，分門別類定出20個風險控管的大項目、共293個子項目，企業可以據此檢視哪裡已做的很好，繼續保持，哪裡則需要加強改進。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/matrix-600.jpg" style="width: 600px; height: 437px;" /></p> <p>這20個風險控管的大項目，例如存取控制、認知及訓練、稽核與問責、安全評估授權與監控、識別與認證、維護、事件回應等等，每個大項目底下包含數個子項目。</p> <p>至於一般的風險評估和供應鏈風險評估有何不同？張晉瑞認為，兩者方法、邏輯相似，但最大的不同在於供應鏈的風險評估需要專家、工具，例如紅軍、藍軍、紫軍、Code Review等工具，將看不到的資安具象化表現出來，讓企業進一步評估風險。</p> <p><strong><span style="color:#B22222;">使用開源軟體常見的挑戰</span></strong></p> <p>以供應鏈中可能使用到的開源軟體為例，企業對開源軟體的掌握度有多少？他分享曾經在一項委託對OSS進行C-SCRM的專案中，經過盤點後，企業內使用10種以上的框架，近百種元件。「企業如果不了解供應鏈使用什麼套件，很難掌握它帶來的漏洞風險」。</p> <p>開源軟體在供應鏈安全風險常見的挑戰，如果以20個供應鏈風險控管的大項目來看，例如在存取控制項目上，由於每個套件存取控管方式不同，有的套件只有簡易的存取控管，有的套件則有相當細緻的存取控管，難以建立一體適用存取控管機制，套用在所有的套件上。在稽核與問責的大項目中，日誌紀錄的格式、細緻度不一樣，也不容易符合企業的商業需求。在安全評估授權與監控大項目中，需要考慮到軟體檢測工具能不能支援開源軟體等等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/OSS-600.jpg" style="width: 600px; height: 437px;" /></p> <p>另外，在計畫管理的大項目中，企業使用開源軟體大多非用於核心的資訊系統，因此較少針對開源軟體擬定資訊系統安全計畫，以及落實檢查。至於維護方面，由於專門提供開源軟體維護的廠商較少，仰賴企業內部人才或是論壇資源，都需要考量相關的風險。</p> <p>張晉瑞指出，企業如果為乙方角色，必需對使用開源軟體的挑戰或潛在風險有更深的瞭解及應對，才能符合甲方大客戶的要求，否則可能危及企業的經營根本。</p> <p><span style="color:#B22222;"><strong>臺灣也有供應鏈風險管理規範</strong></span></p> <p>供應鏈安全風險管理已受到重視，加拿大、美國、英國、瑞士、歐盟、澳洲、新加坡都提出相關規範，對風險評估、責任歸屬釐清相當重視，如果企業的產品或服務提供給國外市場，就會面臨當地法規的要求。</p> <p>臺灣也有相似的供應鏈風險管理規範，金管會在2023年3月底公告「金融機構資通系統與服務供應鏈風險管理規範」，該規範即是參考NIST 800-161r1 C-SCRM訂定，規範內容共有9條，涵蓋委外前、選商前、委託契約中應約定事項、契約存續期間應注意事項，還有服務變更或契約終止應符合事項。</p> <p>張晉瑞指出，雖然金融機構風險管理規範的條文僅僅9條，但因為參考NIST 800-161r1，企業委外如果需要更完整的風險管理細節也可以參考NIST 800-161r1。不只是金融機構，半導體產業也有SEMI E187/188規範，對供應鏈安全也有相關的規範。未來，愈是強勢、愈大規模的企業或客戶，愈有他們對應的要求，供應商難以針對不同客戶訂定個別的風險管理，因此要有一套根本的風險管理框架，足以管理所有供應鏈的元件及安全，並應付絕大部分客戶的要求，例如 SP800-161r1或SP800-171/172的CMMC管理框架，「這樣才能穿一套衣服，足以應付各種派對，而不需要經常換裝」。</p> <p>他也分享PwC對於第三方及供應鏈的風險管理框架，其中對供應商就區分8類角色（如下圖所示），包括產品廠商、服務供應商、合資企業、商業通路、經紀人或經銷商等等，對不同類型的企業而言，每種供應商的角色重要性不同，企業可自己評估風險管理的優先性。對於衍生的風險則分為12類，包括信譽、營運、財務、業務連續性、國家、網路安全、隱私、技術、過度集中、分包等等，資安為其中的風險之一。此外，框架也將簽約前到簽約之後分為5個階段循環，包含風險規畫、評估、議約、持續監督、終止。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20230511_095123-1.jpg" style="width: 600px; height: 407px;" /></p> <p>張晉瑞指出，不論使用哪種管理框架、方法，重點是對第三方或供應鏈安全風險有沒有一套方式管理。你（企業）不能保護你（企業）看不到的，因此對企業及供應商來說，建議應辨識企業、第三方或供應商之間的系統資料流向，利用資訊科技找出供應鏈的弱資安鏈結。企業也可嘗試要求供應商夥伴提高防護機制強度，以和企業自身的管理要求切齊，雖然這和企業的規模大小、在供應鏈關係的強勢與否有關，但為了加強管理供應鏈安全，仍可以嘗試要求供應商和企業的標準切齊。</p> <p>另外，如同剛開始所說的供應鏈管理趨勢，企業可以從風險評估，嘗試合併或簡化，降低供應鏈的複雜度，因為供應鏈愈多愈複雜，會增加管理上的難度。</p> <p>從資安長角度來看，是否有即時監控應用系統、弱點的能力；可以建立第三方或供應鏈的管理部門，為第三方或供應鏈管理當責。檢視資料流過程，確保每個過程有相對應的保護。最後，將風險管理的結果，依規定每年彙報給董事會。</p> </div></div></div>
2023/8/2 18:44作者蘇文彬https://www.ithome.com.tw/news/158076
資策會揭軟體委外開發管理關鍵，幫助委外承辦人即時掌控開發進度與資安問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去對於軟體開發與程式設計的資訊委外管理，普遍的作法，多是從清楚定義委外範圍、合約詳實記錄的角度出發，以履約管理約束委外供應商的品質，然而，大家時常還是會擔心外包商的技術與人力狀況。例如，廠商了解需求嗎？能否如期交付？是否已通過功能與安全測試？因為可能曾經遭遇無法如期驗收，品質低落不符需求的問題。</p> <p>在7月舉行的臺灣雲端大會上，我們看到資策會發展出用一站式DevSecOps整合平臺，實踐委外管理的應用模式。為何開發這樣的系統可用於委外？他們表示，因為委外軟體開發期間往往缺乏透明度，需建立開放與透明的溝通管道，要求定期進度報告，以及定期稽查與回饋，而他們基於這些需求所開發的這套系統，不只內部開發團隊適用，也能解決委外開發透明度不足的問題，讓專案執行進度、各項資安檢測，都能在驗收前做到更好的即時掌控。</p> <h2><strong>企業軟體開發委外，需面對驗收時出現不合預期的焦慮</strong></h2> <p>基本上，資訊委外分為5大類型，包括：軟體開發與程式設計、資訊系統營運與維護、技術支援與客戶服務、數據管理與資料中心營運，以及雲端服務。</p> <p>以軟體開發與程式設計的委外而言，資策會專案經理組長林君容表示，委外的確帶來許多好處，例如，現在企業可能為了增加競爭力，將非核心技術委外，讓自家人力可專注於核心業務，就是好處之一，但也有諸多管理議題與風險要注意，尤其是溝通與協調。</p> <p>例如，從委外管理作業程序來看，首先是委外項目選擇與可行性分析，像是哪些專案適合委外？可不可以委外？以及供應商能力評估與選擇。接下來，除了簽約要確保契約細節清晰明確，並考量各種風險，在簽約流程之後的履約執行控制，又是另一重點。</p> <p>畢竟，不論案子大小，在委外簽約之後，對於承辦人與經手人而言，還是會擔心各種層面的問題，包括：廠商進度及能否準時交付，以及交付成果可能存在落差，像是不確定外包商對需求的理解程度，甚至於系統臭蟲的妥善處理，資安檢測報告的真實度。</p> <p>而在資策會與一些機關單位洽談的實際經驗中，他們也收集到很多抱怨。例如：「廠商說好的功能卻沒作到，他們會推託表示先前我們沒講，不然就是說好的交期一拖再拖，甚至做出跟當初要求的明顯不同。」林君容表示，這些情況的發生，對身兼數職的委外承辦人來說，實在苦不堪言。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%961%EF%BC%89%E8%B3%87%E7%AD%96%E6%9C%83%E8%BB%9F%E9%AB%94%E9%96%8B%E7%99%BC%E5%A7%94%E5%A4%96%E7%AE%A1%E7%90%86%E9%80%8F%E6%98%8E_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p><strong>對於軟體開發委外簽約後的履約執行控制，資策會專案經理組長林君容表示，過往存在最後交付才見真章的風險，如何讓委外專案進度檢查透明化？借助DevSecOps一站式整合工具來管控是一種方式。</strong></p> <h2><strong>透過一站式整合平臺，即時掌握委外開發進度與細節</strong></h2> <p>關於如何因應上述委外痛點，以及履約執行控制難題，林君容也趁機介紹自家打造的DevSecOps一站式整合工具，並說明此平臺的特殊應用，可讓委外開發過程「看」得到、「管」得到、「摸」得到。</p> <p>該平臺是資策會兩年前打造，以開源解決方案為基礎並整合既有工具，而成為資安檢測掃描的敏捷開發平臺，當中整合了Redmine、GitLab、Harbor等CI/CD工具軟體，程式碼品質與風險檢測工具SonarQube，網站安全弱點掃描工具OWASPZAP，API整合測試工具Postman，網頁行為錄製與自動化測試工具SideeX，以及測試實證環境。</p> <p>由於市面上的DevSecOps相關工具，幾乎都是外商產品的天下，因此這次資策會說明他們開發的平臺框架內容之餘，對於想自行開發DevSecOps平臺的國內企業開發團隊而言，也帶來可從中借鏡的機會。</p> <p>這樣的平臺對委外開發管理的具體幫助是？林君容表示，過去委外承辦人員要等到最後一刻，交期來臨才會收到外包商提供的光碟，此舉可能造成準備上線的成品，缺乏足夠時間修改。因此承辦人員更希望委外開發的程式碼，能做到自行管理，看得到專案進度，確認程式開發或檢測報告真假。</p> <p>實務上，資策會如何運用這套平臺來管理委外程式開發？他們設法促使委外開發的整個環境與流程，都集中到企業能夠檢視的這個整合性平臺上。林君容表示，對於組織的委外承辦人而言，可透過此平臺提供的儀表板，看到專案執行進度、專案規畫、議題走向與溯源，以及需求開發歷程等。同時，在這平臺上，也能管到各項資安檢測。</p> <p>基本上，專案程式碼一上傳，就會自動資安掃描測試，快速知道提交的程式是否存在問題，讓軟體開發專案從過程的一開始，就能依據檢測報告，進行資安強化。</p> <p>至於備受各界關注的軟體物料清單（SBOM）平臺，資策會的這套DevSecOps系統也具備。林君容指出，去年底平臺新增這方面功能，讓第三方套件安全問題也能受管理。</p> <p>因此，即便負責承辦人員沒有資訊背景，同樣能在此看到外包廠商開發成果——可在此執行驗測，並檢視資安報告的真實產出，也就是能掌握開發環境與開發交付成果，而非所有開發成果都隱藏在委外廠商端，難以確認狀態。相反地，承辦人本身如果有資訊背景，可從中檢視外包工程師處理每個議題，新增或更動的程式碼，另一方面，這也如同專家在側，可以學習廠商程式撰寫技巧。</p> <p>林君容強調，在委外開發時，由於兩間公司具有不同文化背景，可能常因基於禮貌，詢問一次進度之後，之後就不好意思問第二次，或是問到第三次、覺得打擾對方而作罷，但委外業務的執行，可能會遇到對方缺乏當責觀念與行動，且未落實監督機制，因此如能建立開放、透明的溝通管道，將可以帶來相當大幫助。</p> <p>綜觀上述應用方式，等於替企業進行委外開發管理作業，提供了新的思路，讓有能力的企業也能參考，進而自行設計打造自家的DevSecOps平臺，而資源不足的企業，也能採用這類型的應用服務，促使委外開發管理變得更容易與透明。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%962%EF%BC%89%E8%B3%87%E7%AD%96%E6%9C%83%E8%BB%9F%E9%AB%94%E9%96%8B%E7%99%BC%E5%A7%94%E5%A4%96%E7%AE%A1%E7%90%86%E9%80%8F%E6%98%8E_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p><strong>資策會展示自家DevSecOps整合工具，當中整合了Redmine、GitLab、Harbor等CI/CD工具軟體，程式碼品質與風險檢測工具SonarQube，網站安全弱點掃描工具OWASPZAP，API整合測試工具Postman，網頁行為錄製與自動化測試工具SideeX，以及測試實證環境。</strong></p> <h2><strong>打破傳統委外開發管理的透明度不足的枷鎖</strong></h2> <p>關於委外管理，過去大家都談到要透明，但如果能即時監看進度、內容、歷程，顯然又提升到更易了解的程度，讓透明化做到更即時、深入，以及全面的狀態。</p> <p>對此，林君容表示，過往的資訊委外管理透明，通常是指程序透明，例如，在執行選案選商應秉持公開、公正、透明等原則，對於資策會而言，他們開發的DevSecOps整合工具的委外管理應用，讓交付成品生動，所有交付可分散在不同迭代產生，讓承辦人及業務單位人員即時掌握進度與內容，不再是等到交期到了，才會看到的死板板光碟，或是已經沒有足夠時間可修改準備上線的成品。</p> <p>另一個我們好奇的問題是，乍看這套工具，初期應該不是針對委外應用而來。林君容表示，資策會DevSecOps整合工具原是因應內部需求而打造。由於坊間工具相當多，加上資策會內部的團隊有上百個，而每個團隊都想自建CI/CD，但每個人的方法不同，且每次開設新專案就要重新做，這不僅是重工（重複工作）且將衍生難維護的問題，因此，他們決定建構出這樣的平臺，幫助同仁提升工作效率與程式品質。</p> <p>後續資策會在內部推動此平臺的應用時，他們的委外廠商也一同加入，過程中他們發現，原來資訊委外管理的需求，並不亞於內部開發管理的需求，此時外包管理的應用才在內部發酵。而且，後續與其他機關單位互動時，也遇到對方指出外包管理是其痛點的情形。</p> <p>綜合來說，這個平臺起初並非針對委外應用，但資策會從實務經驗中，注意到可為委外開發管理帶來助益的情形。同時，他們也將這樣的成果，以服務形式提供外界使用，林均容表示，資策會目前提供地端與雲端的解決方案，並有開源免費Lite版與付費企業版之分，如果你是小型團隊，或初次導入DevOps的企業開發團隊，可下載開源的Lite版本使用。</p> <p>至於平臺是否為了委外應用，而增添更多相應管理功能？她表示，目前主要以查核點進度作為監控依據，未來將全面資訊管理儀表化，讓平臺可以更符合資訊委外承辦人員的需求。</p> </div></div></div>
2023/8/2 15:15作者羅正漢https://www.ithome.com.tw/news/158069
Amazon Clinic遠距醫療服務推向全美
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/retail/amazon-clinic-available-nationwide" target="_blank">Amazon昨（1）日宣布</a>其遠距醫療平臺服務Amazon Clinic將擴大於全美各州推出。</p> <p><a href="https://www.ithome.com.tw/news/154211" target="_blank">Amazon Clinic於2022年11月公布的虛擬健康市集</a>，提供多項健康問題的專業諮詢，讓消費者無需預約或保險，能迅速找到合法醫師經由文字訊息、相片提供診斷，並可由醫師開立處方箋。</p> <p>去年這項服務在32州推出，本周起擴及全美50州及華盛頓特區，而且也終於提供文字訊息或視訊看診。這項服務在34州提供文字訊息諮詢外，現在也支援全美50州視訊看診。用戶可透過Amazon.com或Amazon App提供24x7的專業醫師諮詢服務。Amazon Clinic能提供的健康問題項目，也由原本的20多項增加為30多項，包括泌尿道感染、結膜炎及男性勃起障礙等。</p> <p>Amazon是和線上醫療業者包括Wheel、Curai Health、Hello Alpha及SteadyMD合作提供Amazon Clinic服務，目前不接受保險，但保險可涵蓋這裏的處方藥費用。Amazon Clinic強調符合HIPAA隱私保護規定，不會使用消費者的健康訊息。</p> <p>Amazon Clinic上的文字訊息服務起價約為30到40元，視訊看診服務則為70到100美元，消費者可自行到藥局購買或在Amazon線上藥局填寫表格，由Amazon遞送藥物到家。</p> <p>這項服務使Amazon Clinic得以擴大遠距健康照護的市場實力，挑戰主要專業線上醫療業者如MDLive、Teladoc Health、GoodRx、SoYoung等。</p> <p>為了推出健康照護服務，Amazon分別於2018年買下<a href="https://www.ithome.com.tw/news/124224" target="_blank">線上藥局PillPack</a>、2022年買下診所及線上醫療服務商<a href="https://www.ithome.com.tw/news/152071" target="_blank">OneMedical</a>。此前Amazon也曾和巴菲特及摩根大通合組健康照護公司Haven，不過由於想法不同，<a href="https://www.ithome.com.tw/news/142039" target="_blank">三者於2021年初拆夥</a>，並關閉Haven。</p> </div></div></div>
2023/8/2 13:11作者林妍溱https://www.ithome.com.tw/news/158067
Halcyon指控Cloudzy替逾20個駭客組織提供命令暨控制服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.halcyon.ai/blog/report-ransomware-command-and-control-providers-unmasked-by-halcyon-researchers" target="_blank">資安業者Halcyon本周揭露</a>，駭客生態體系中出現了一個新產業，有眾多的駭客組織利用同一家虛擬私有伺服器（Virtual Private Server，VPS）供應商的服務來充當命令暨控制伺服器，其中，成立於美國，卻在伊朗經營的Cloudzy便至少服務來自全球的逾20個駭客組織。</p> <p>Cloudzy在美國、歐洲及亞洲建立了15個資料中心以提供VPS服務，光是美國就占了10個，它支援Windows與Linux平臺，也支援遠端桌面協定（RDP），還支援外匯交易，官網首頁就直接列出了VPS價目表，而且得以加密貨幣支付。</p> <p>Halcyon說，傳統的勒索軟體即服務（Ransomware as a Service，RaaS）領域由不同的產業組成，從負責滲透被駭網路的Initial Access Broker（IAB）、專門建置勒索軟體服務的RaaS供應商，以及真正執行攻擊的RaaS聯盟夥伴，而現在則新增了諸如Cloudzy的控制暨命令供應商（Command-and-Control Provider，C2P），這些供應商可能是無心，也可能是有意提供相關服務予全球的駭客組織。</p> <p>Halcyon是在調查Ghost Clown與Space Kook兩個新興RaaS攻擊事件時，察覺它們都使用了Cloudzy服務來充當命令暨控制伺服器，進一步分析後發現，Cloudzy先前即是眾多駭客組織的C2P，包括勒索軟體集團UNC2352與FIN12，組織型犯罪集團TA505，以色列間諜軟體公司Candiru，以及來自中國、印度、伊朗、北韓、巴基斯坦、俄羅斯及越南的17個國家級APT駭客組織。</p> <p>此外，根據Halcyon的估計，由Cloudzy代管的伺服器中，大約有4成到6成直接支援潛在的惡意行動，而Cloudzy的費用不僅便宜，容易使用，而且只需要一個電子郵件信箱，不需認證用戶身分，完全符合駭客的需求。</p> <p>於是Halcyon公布了與Cloudzy有關的網路入侵指標（IOC），以便在環境中出現相關的RDP主機名稱時，察覺各種惡意行為。</p> </div></div></div>
2023/8/2 13:48作者陳曉莉https://www.ithome.com.tw/news/158068
Meta傳最快下月推出具備人格的AI助理服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ft.com/content/fa76c8ce-cdfd-458c-baec-73dceb2d2ad5" target="_blank">英國《金融時報》報導</a>，Meta正在積極開發其AI聊天機器人技術，將整合在旗下服務成為AI助理，最快在下個月問世。</p> <p>報導引述消息人士指出，這聊天機器人將整合在Instagram（IG）、Facebook Messenger及WhatsApp中，可提供搜尋、建議、整理資訊等服務，以及和用戶對話互動。而和其他聊天機器人最大的不同在於，Meta的AI助理具備不同人格，例如一個AI助理以衝浪高手角色幫用戶規畫旅行，另一個則能模仿美國總統林肯聲音說話。</p> <p>報導指出，為了提供個人化服務，這聊天機器人也會蒐集用戶資料，以便提供個人化內容，還會顯示廣告。</p> <p><a href="https://twitter.com/alex193a/status/1665825192398995469" target="_blank">一名App研究人員Alessandro Paluzzi上個月發現</a>，IG正在測試中的AI助理，可回答用戶問題、提供建議、激發靈感，而且還提供30種人格角色選擇。</p> <p class="rtecenter"><a href="http://twitter.com/alex193a/status/1665825192398995469" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0802-IG-AI-image%20by%20Alessandro%20Paluzzi%20on%20X-600.jpg" style="width: 399px;" /></a></p> <p>對於最新的AI聊天機器人服務報導，Meta並未評論。</p> <p>不過Meta在其服務中整合AI能力絕不令人意外，因為Meta是AI技術開發的先行者之一，像是機器學習框架PyTorch、自我監督學習電腦視覺模型DINO到大型語言模型Llama。<a href="https://www.ithome.com.tw/news/157854" target="_blank">Meta上個月還和微軟共同宣布新一代Llama-2的開源計畫</a>，並協助企業在Azure和Windows上部署。</p> <p><a href="https://seekingalpha.com/article/4620268-meta-platforms-inc-meta-q2-2023-earnings-call-transcript" target="_blank">Meta執行長祖克柏在上個月的財報會議中也說明</a>，正利用Llama開發多項可用在其所有服務的新產品。他當時僅說今年下半會再披露細節，但預告在其App中AI可以有很多種應用，協助用戶彼此連繫、分享內容或自我表達，像是助理、教練，或是以代理人角色和店家、企業與創作者互動。他說，這些新產品可改善App或元宇宙的使用者體驗，幫助他們打造虛擬世界、Avatar或物件。</p> <p>上一季，Meta終於重返獲利，營收較去年同期成長11%。在線上App方面，Meta 7月宣布的Twitter殺手服務Threads雖然1億註冊用戶數流失一半，但<a href="https://www.ithome.com.tw/news/158053" target="_blank">Meta相信</a>增加新功能有助於提高用戶黏著度。</p> </div></div></div>
2023/8/2 12:00作者林妍溱https://www.ithome.com.tw/news/158065
Canon噴墨印表機Wi-Fi設定漏洞可能洩露用戶資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://psirt.canon/advisory-information/cp2023-003/" target="_blank">Canon本周發出安全公告</a>，警告噴墨印表機漏洞可能被第三方人士獲取消費者及企業用戶的Wi-Fi設定資訊進而發動攻擊，影響約200款產品，呼籲用戶應在不再使用或送修前，清空印表機Wi-Fi設定。</p> <p>Canon並未提供漏洞名稱，但說明，儲存在印表機記憶體中Wi-Fi連線設定，在一般初始化過程中不會刪除，而使他人得以存取用戶的敏感資訊。這些資訊可能包括網路SSID、密碼、網路型態（如WPA3、WEP）、指派的IP位址、MAC位址等，可使他人藉此存取這些印表機用戶的家用或企業網路。</p> <p><a href="https://canon.a.bigcontent.io/v1/static/affected-models_20230731_d04c0d9895124b65acd21ca68357dcdc" target="_blank">受到影響的產品包括</a>200款家用、企業用噴墨印表機及大圖輸出機。</p> <p>Canon提醒當用戶送修、出租他人或汰換印表機之前，應重設所有設定，再開啟WLAN功能，再次重設所有設定。如果不想重設所有設定者，可以只重設LAN設定、啟用WLAN後，再次重設LAN設定。</p> <p>這是Canon兩周內再一次發出漏洞公告。<a href="https://tinyurl.com/28nyjlyy" target="_blank">該公司7月底才公告</a>多項緩衝溢位及驗證不當漏洞，可造成攻擊者對印表機發動阻斷服務（DoS）攻擊或執行惡意程式。這批漏洞影響大批噴墨、雷射印表機及多功能事務機。</p> </div></div></div>
2023/8/2 12:27作者林妍溱https://www.ithome.com.tw/news/158066
採用Nvidia頂級資料中心GPU，AWS新執行個體上陣
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/aws_amazon_ec2_p5-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當前最受全球矚目的資料中心GPU產品，莫過於Nvidia在2022年3月GTC春季大會發表的H100，當時除了眾多伺服器廠商表示將搭配這款GPU，也預告各大公有雲業者提供搭配H100的執行個體服務，打算這麼做的廠商有阿里雲、AWS、百度智能雲、Google Cloud、微軟Azure、Oracle Cloud Infrastructure（OCI）、騰訊雲。</p> <p>同年9月GTC秋季大會期間，<a href="http://nvidianews.nvidia.com/news/nvidia-hopper-in-full-production">Nvidia宣布H100進入完全生產狀態</a>，他們表示，雲端業者2023年會開始部署搭配H100的執行個體服務，此時列出的廠商有4家，分別是：AWS、Google Cloud、微軟Azure、OCI。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-09-Nvidia%20Platform%20and%20Partners.jpg" style="width: 600px;" /></p> <p>到了2023年3月GTC春季大會，Nvidia揭露雲端業者相關服務的提供狀態與進度，例如，Cirrascale、CoreWeave這兩家的H100執行個體服務已經正式上線，<a href="https://azure.microsoft.com/en-us/blog/azure-previews-powerful-and-scalable-virtual-machine-series-to-accelerate-generative-ai/">微軟Azure已開放ND H100 v5系列服務的私密預覽</a>，<a href="https://blogs.oracle.com/cloud-infrastructure/post/limited-availability-oci-compute-nvidia-h100">OCI限量提供搭配H100的運算裸機GPU執行個體服務</a>，</p> <p>AWS表示接下來幾週將開放特定用戶預覽，主角是Amazon EC2執行個體服務當中P5將會使用H100，最大可提供20 Exaflops的運算效能，可用來組建與訓練最大的深度學習模型，此款雲端服務也將導入AWS第二代EFA（Elastic Fabric Adapter）網路卡，可能提供3,200 Gbps的網路頻寬與吞吐能力，若需要更大運算規模，可在EC2 UltraClusters這套雲端運算叢集服務當中，擴展使用2萬臺H100 GPU彼此連接，以因應超級電腦等級效能的AI隨需存取應用。此外，Google Cloud、Lambda、Paperspace、Vult這幾家雲端廠商，也計畫推出搭載H100的雲端服務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-03-Nvidia%20H100%20System%20partners.jpg" style="width: 600px;" /></p> <p>在這段期間，ChatGPT引領全球人工智慧熱潮，推動相關技術發展的OpenAI與微軟成為舉世矚目的焦點，微軟也趁機在Nvidia GTC春季大會與自家Build開發者大會，宣傳他們發展的Azure AI基礎架構，ND H100 v5系列當然也被提到，外界預期這個執行個體服務就快要正式推出。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-03-Nvidia%20GTC-Azure%20H100%20instances%20preview.jpg" style="width: 600px;" /></p> <p>然而，到了6月底，AWS突然宣布推出Amazon EC2 P5，搶先微軟Azure推出搭配Nvidia H100的執行個體服務，全名為p5.48xlarge，單個執行個體服務，最多可搭配8張內建HBM3記憶體80 GB的Nvidia H100，此服務目前僅在兩座資料中心區域供應，分別是：美國西部（奧勒岡），以及美國東部（維吉尼亞北部）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-27-AWS%20P5%20GA1.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-27-AWS%20P5%20GA2.jpg" style="width: 600px;" /></p> <p>關於使用效益的差異，AWS表示，相較於採用Nvidia上一代資料中心GPU（A100）的執行個體服務P4，若改用P5執行深度學習模型的訓練處理，時間縮減幅度可達到6倍之多，原本要好幾天才能完成，現在只需幾個小時，而這樣的效能突飛猛進，也帶來降低AI訓練成本的效益，可節省40％的費用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-ec2-p5-instances-infographic2.jpg" style="width: 600px;" /></p> <p> </p> <p>除了GPU帶來顯著的運算效能提升，P5在伺服器運算效能與資源的配置上，也優於P4。舉例來說，處理器效能增加1倍（AMD第三代EPYC、192顆虛擬處理器，對上英特爾第二代Xeon Scalable、96顆虛擬處理器），系統記憶體容量提升7成（2,048 GiB對上1,152 GiB），本機硬碟存容量增加至4倍（30 TB對上8 TB）。</p> <p>而在網路頻寬的部分，P5因為導入AWS本身發展的第二代EFA網路加速技術，傳輸效能可達3,200 Gbps（P4為400 Gbps），可提供強大的橫向擴展規模能力，有利於承擔分散式AI訓練，以及處於緊耦合狀態的高效能運算工作負載。</p> <p> <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-AWS%20P4%20P5%20Comparison.png" style="width: 500px;" /></p> <p>若要支援更大規模的人工智慧與高效能運算處理，用戶可建置Amazon EC2 UltraCluster，並在這個叢集環境部署P5執行個體服務，提供 Pbps等級的網路互連能力，最多可連接2萬張Nvidia H100，匯集運算容量可達到20 Exaflops的規模。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-ec2-p5-instances-ultracluster2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-ec2-p5-instances-ultracluster2.jpg" style="width: 600px;" /></a></p> <p> <strong><span style="color:#008080;">產品資訊</span></strong></p> <p>AWS Amazon EC2 P5<br /> ●原廠：AWS<br /> ●建議售價：On-Demand Linux方案每小時98.32美元<br /> ●基礎運算規格：AMD第三代EPYC處理器、2 TB記憶體、30 TB NVMe儲存空間<br /> ●提供服務規模選擇與最大組態：p5.48xlarge，192顆虛擬處理器、2048 GiB記憶體、8臺3.84 TB本機儲存、8張Nvidia H100 GPU、網路頻寬為3,200 Gbps，網路儲存：使用AWS區塊儲存服務EBS，存取頻寬為80 Gbps</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/8/2 01:56作者李宗翰https://www.ithome.com.tw/review/158051
【資安日報】8月1日，Google彙整2022年零時差漏洞攻擊態勢，並指出駭客透過已知漏洞找出新漏洞的現象變得更加氾濫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>漏洞修補不全、安卓生態圈修補時程漫長，已是長久已來的現象，但這樣的情況去年變得更加嚴重。Google近日在針對2022年零時差漏洞的分析當中，特別提及上述情形，其中，對於漏洞修補不全的而衍生的零時差漏洞，過往僅約占2成，但到了去年一舉增加到4成的比例。研究人員認為，這有兩種情況，一是駭客找到了更多的漏洞變形，另一種就是礙於發布更新程式的時間壓力，產生修補不完整的現象。</p> <p>針對安卓裝置的惡意軟體攻擊，近期變得更加氾濫，在今天的資安新聞裡，惡意軟體CherryBlos的攻擊行動特別值得留意，因為，該竊資軟體能對受害裝置裡存放的圖片進行搜括，找出使用者拍下的加密貨幣錢包帳密資料、通關密語，再回傳給駭客。</p> <p>專門鎖定Redis伺服器的惡意軟體P2PInfect攻擊行動，有研究人員公布新的調查結果，並指出該惡意軟體橫向感染的方式，竟是透過Redis的複寫（replication）功能來進行。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://security.googleblog.com/2023/07/the-ups-and-downs-of-0-days-year-in.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">2022年零時差漏洞超過4成來自已知漏洞修補不全，安卓生態圈長期面臨較高的攻擊風險情況加劇</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/imageLikeEmbed.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/imageLikeEmbed.png" style="width: 300px; float: right;" /></a>Google威脅情報小組（TAG）針對去年出現的零時差漏洞攻擊進行分析，他們總共發現41個被駭客利用的漏洞，較2021年的69個顯著下降。但研究人員提出警告，去年有逾4成（17個）的零時差漏洞，與過往曾揭露的漏洞修補不全有關，對照2021年有2成漏洞存在這類情況來看，2022年增加至4成，嚴重程度顯然有增無減。</p> <p>另外一個值得留意的是，TAG這次特別點名安卓系統上的N-day漏洞現象，由於Google對於安卓作業系統進行修補後，還要經過裝置製造商打造更新程式，相關的修補軟體才會套用到使用者的裝置上，而這樣的時程過於漫長，導致駭客無須挖掘零時差漏洞，而是利用Google或晶片製造商已經公布、修補，但裝置製造商尚未派送更新軟體的N-day漏洞，就能達到相同的目的。</p> <p>研究人員舉出去年7月發現的Mali GPU顯示晶片漏洞CVE-2022-38181為例，Arm在同年10月予以修補，但直到今年4月的安卓安全更新公告，相關的修補程式才納入該作業系統，換言之，即使是Google自家的Pixel手機，竟然也曝險長達半年，更遑論其他廠牌的安卓裝置。而且，針對該漏洞的攻擊程式，去年11月就已經出現，可見這個風險缺口有多大。</p> <p><a href="https://www.trendmicro.com/en_us/research/23/g/cherryblos-and-faketrade-android-malware-involved-in-scam-campai.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">安卓惡意軟體CherryBlos藉由OCR盜取圖片裡的加密貨幣錢包帳密資料</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CherryBlos-4a.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CherryBlos-4a.png" style="width: 300px; float: right;" /></a>資安業者趨勢科技在今年4月，發現鎖定安卓裝置的惡意軟體CherryBlos、FakeTrade，前者是透過釣魚網站散布的竊密程式，後者則是上架Google Play市集的詐騙軟體。研究人員指出，駭客散布CherryBlos的途徑，主要是透過社群網站推特、抖音、即時通訊軟體Telegram，假借提供挖礦軟體、即時通訊軟體、AI機器人App的名義，透過廣告連結將使用者導向釣魚網站，進而於目標裝置部署此竊密軟體，而能夠以此竊取加密貨幣帳密，並在使用者提款、轉帳時，趁機置換錢包的網址，再順勢掏空受害者的加密貨幣錢包。</p> <p>特別的是，此竊密軟體盜取帳密資料的手段，除了模仿加密貨幣錢包的使用者介面，引誘使用者輸入相關資料並進行竊取，還能透過光學字元辨識（OCR）的方式，從存放在裝置上的圖片挖掘帳密資料，並定時回傳至C2。</p> <p>另一方面，研究人員也在Google Play市集裡，看到31款詐騙應用程式FakeTrade，引誘使用者觀看廣告、訂閱付費服務、儲值應用程式的錢包，但直到使用者想要兌現這些有價物資時，才驚覺上當。FakeTrade與CherryBlos使用相同的C2基礎設施、金鑰，研究人員認為這些惡意軟體背後的攻擊者可能是相同駭客組織。</p> <p><a href="https://www.cyfirma.com/outofband/apt-bahamut-targets-individuals-with-android-malware-using-spear-messaging/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">冒牌即時通訊軟體SafeChat鎖定安卓用戶而來，竊取Telegram、WhatsApp、Facebook Messenger資料</span></strong></a></p> <p>資安業者Cyfirma揭露印度駭客組織Bahamut的攻擊行動，他們先是使用WhatsApp尋找攻擊目標，然後以更加安全、隱密為由，提供名為SafeChat的即時通訊軟體為幌子，目的是進行間諜軟體攻擊，進而竊取手機通話記錄、簡訊、GPS位置資訊，以及即時通訊軟體Telegram、WhatsApp、Facebook Messenger的用戶資料，主要目標是南亞使用者。</p> <p>研究人員指出，此惡意程式前身是Coverlm，且具備類似即時通訊軟體的介面，用戶操作時會要求各式權限，以便能夠截取螢幕截圖和鍵盤輸入的內容，或是讓該惡意程式能在後臺持續運作，而在使用者將App關閉後，C2仍繼續與此惡意軟體保持通訊。</p> <p><a href="https://www.cadosecurity.com/redis-p2pinfect/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體P2Pinfect濫用Redis複寫功能進行橫向感染</span></strong></a></p> <p>上個月資安業者Palo Alto Networks發現鎖定Redis伺服器的蠕蟲程式P2PInfect，駭客針對存在Lua沙箱逃逸漏洞CVE-2022-0543的伺服器下手，現在也有其他研究人員公布進一步的調查結果。</p> <p>資安業者Cado Security也在他們部署的蜜罐陷阱（Honeypot）看到P2PInfect，並指出駭客製作了Windows版、Linux版本的攻擊工具，在攻擊行動中，駭客透過以C及Rust組合語言編寫的ELF檔案，竄改伺服器的OpenSSH設定，調整成近乎預設的組態，隨後攻擊者就會重新啟動SSH服務，並部署新的金鑰，然後將wget及curl改名並用來進行後續的攻擊行動，並新增iptables規則來避免其他攻擊者對Redis伺服器下手。最終駭客透過P2PInfect將已感染的伺服器視為節點，形成點對點（P2P）的殭屍網路。</p> <p>值得留意的是，駭客透過Redis的複寫（replication）功能，來達到蠕蟲程式自我散布的目的。此外，駭客也運用多個Redis已知漏洞，來做為初步入侵此種伺服器的管道。</p> <p><a href="https://www.bleepingcomputer.com/news/security/cisa-new-submarine-malware-found-on-hacked-barracuda-esg-appliances/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Submarine針對Barracuda郵件安全閘道而來</span></strong></a></p> <p>7月28日美國網路安全暨基礎設施安全局（CISA）提出警告，聯邦機構的Barracuda郵件安全閘道（ESG）遭到攻擊，駭客利用漏洞CVE-2023-2868，於這些閘道設備部署名為Submarine的後門程式（亦稱為DepthCharge），用來迴避偵測、收集資料，並以便於持續在受害組織活動。CISA指出，駭客將此後門程式植入ESG設備的SQL資料庫，該惡意程式具備數個模組，並能使用root權限執行、與C2進行通訊、清理作案留下的痕跡。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.nics.nat.gov.tw/NewInfoDetail.htm?seq=1706"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資安院與工研院簽訂MOU，預計年底成立AI產品與系統的評測機構</span></strong></a></p> <p>7月31日國家資通安全研究院（資安院）與工業技術研究院簽署合作備忘錄（MOU），他們將結合資安院的資安防護技術研發，以及工研院AI創新應用的專業能力，合作建立可信任的AI評測機制，並預定於今年底正式成立「AI產品與系統評測中心」，共同打造臺灣的資安韌性環境。</p> <p>為確保評測機制的公正、客觀、獨立性，並且符合國際規範，資安院與工研院將優先研析國際AI安全框架與標準，在國家科學及技術委員會與數位發展部、數位產業署等機關指導下，執行「推動可信任生成式AI發展先期計畫」，進而提出符合臺灣AI政策推動、產業發展、應用方向的評測項目與執行方法。</p> <p><a href="https://blog.google/products/android/unknown-tracker-alert-google-android/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google針對安卓裝置部署不明追蹤警告功能，防範用戶遭到未知藍牙裝置跟蹤</span></strong></a></p> <p>7月27日Google宣布，將針對執行Android 6.0以上版本作業系統的裝置，部署不明追蹤警告（Unknown Tracker Alert）的功能，目的是讓使用者能察覺可能被用來跟蹤他們、來路不明的未知藍牙追蹤器，進而採取行動，例如要求追蹤器發出聲音、檢視追蹤器的部分資訊，或是嘗試關閉該追蹤裝置。此功能初期支援蘋果的AirTag，但Google將與其他追蹤器製造商合作，擴大該功能可支援的裝置品牌。</p> <p><a href="https://www.ithome.com.tw/news/158017"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為保護使用者隱私，蘋果採取新的App Store管理政策，要求App開發商說明使用API追蹤用戶的理由</span></strong></a></p> <p>蘋果在2021年祭出應用程式追蹤透明度（App Tracking Transparency，ATT）的要求，規範應用程式開發商必須在使用者安裝App的過程中，以明顯方式告知用戶會蒐集用戶資訊，並賦予用戶同意或拒絕的權力。然而，部分開發商為繞過上述的管理政策，改以API讀取裝置資訊來追蹤使用者的行動。</p> <p>對此，近期蘋果祭出新的App Store管理政策，表示他們將限制應用程式利用API來追蹤用戶裝置的資訊，未來開發商想要使用能讀取檔案時戳、系統開機時間、磁碟空間、使用者預設組態等可能侵犯用戶隱私的API，必須填寫App隱私表單，若未說明將從2024年春季無法上架應用程式。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://usa.kaspersky.com/about/press-releases/2023_kaspersky-uncovers-malware-for-targeted-data-exfiltration-from-air-gapped-environments"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體鎖定東歐工控環境與關鍵基礎設施，企圖從隔離網路竊取機密</span></span></strong></a></p> <p><a href="https://medium.com/@knownsec404team/patchworks-new-assault-weapons-report-eyeshell-weapons-disclosure-181833f434be"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國學術機構遭駭客組織Patchwork鎖定，植入後門程式EyeShell</span></span></strong></a></p> <p><a href="https://krebsonsecurity.com/2023/07/who-and-what-is-behind-the-malware-proxy-service-socksescort/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">殭屍網路AVRecon入侵路由器進行控制，將其用來提供非法的代理伺服器服務</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/israels-largest-oil-refinery-website-offline-after-ddos-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">以色列大型煉油廠Bazan網站遭到DDoS攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-bleedingpipe-rce-to-target-minecraft-servers-players/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">電玩遊戲Minecraft伺服器遭到鎖定，駭客利用漏洞BleedingPipe來掌控系統</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158049">【7月31日】 Ivanti再度修補行動裝置管理平臺的零時差漏洞，並指出其危險之處在於與另一個漏洞串連使用</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157996">【7月28日】惡意軟體Nitrogen被用於勒索軟體攻擊，並透過Google、Bing廣告散布</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157972">【7月27日】有人在暗網論壇兜售AI網路犯罪工具FraudGPT，號稱不到一週已有3千買家下單</a></strong></p> </div></div></div>
2023/8/1 17:57作者周峻佑https://www.ithome.com.tw/news/158058
蘋果的家長控制功能Screen Time有臭蟲，設定會突然消失
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.wsj.com/articles/apples-parental-controls-are-broken-55a2aa52?mod=djemalertNEWS" target="_blank">《華爾街日報》</a>（Wall Street Journal，WSJ）本周踢爆，蘋果裝置的家長控制功能自去年9月釋出iOS 16之後就出現了臭蟲，家長替小孩裝置所設定的螢幕或程式使用時間經常會消失，且就算蘋果已透過iOS 16.5修補了該臭蟲，同樣的問題依然出現在最新的iOS 17測試版上。而蘋果也已承認此一問題的存在。</p> <p>為了不讓小孩過度沈迷遊戲、程式或手機上，或是為了避免小孩觸及不當內容，蘋果開發了家長控制功能，可透過螢幕使用時間（Screen Time）來管理孩子的蘋果裝置，包括設定可使用的程式與使用時間，或是限制可通訊的對象，封鎖特定內容，以及設定裝置的停用時間（Downtime）等。</p> <p>不過，<a href="https://discussions.apple.com/thread/254480754" target="_blank">最近幾個月以來持續有家長抱怨</a>，他們對螢幕使用時間的設定偶爾會忽然消失，這是過去多年來不曾出現過的問題。</p> <p>《華爾街日報》指出，該問題似乎源自於蘋果所釋出的iOS 16，但<a href="https://support.apple.com/en-us/HT213407#165" target="_blank">蘋果在iOS 16.5中曾經修補螢幕使用時間</a>，指出該功能的設定可能會跑掉或是無法於所有裝置上同步，只是該問題一直存在，包括最新的iOS 17測試版。</p> <p>蘋果也向該報證實，有些使用者可能會遭遇螢幕使用時間重設的問題，將繼續藉由更新來改善此一情況。</p> </div></div></div>
2023/8/1 16:47作者陳曉莉https://www.ithome.com.tw/news/158057
惡意程式CherryBlos利用OCR技術竊取帳號密碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.trendmicro.com/en_be/research/23/g/cherryblos-and-faketrade-android-malware-involved-in-scam-campai.html" target="_blank">安全廠商趨勢科技近日發現</a>一隻Android竊密程式，能利用光學辨識（OCR）技術萃取出手機螢幕的文字，以竊取帳號密碼。</p> <p>趨勢科技今年4月發現二波有關的惡意程式攻擊。其中一波是透過釣魚網站散布名為CherryBlos的竊密程式，另一波則是存在Google Play Store上的詐騙App。</p> <p>其中CherryBlos具備使用OCR圖像辨識工具的進階能力。今年4月CherryBlos嵌入於挖礦軟體的App中，透過推特、TikTok、Telegram等傳播，廣告連結將用戶導向釣魚網站下載到其Android手機上。CherryBlos目的在竊取加密貨幣帳號的憑證，並在用戶提款時置換錢包網址為攻擊者所控制的網址，以掏空用戶錢包。</p> <p>研究人員發現，CherryBlos具有多種高明技倆以避免偵測。為躲避靜態偵測，惡意程式作者以強大的市售封裝工具Jiagubao（360加固保）內建加密技術封裝，以加密CherryBlos大部分字串，減少被偵測的機率，也會以WebView顯示官網以免受害者起疑心。</p> <p>CherryBlos和金融木馬程式很像，會要求輔助功能的存取許可。它在用戶開啟電子錢包App後顯示對話提示窗，要求使用者同意給予許可。CherryBlos還會假造電子錢包App啟用活動，以誘使用戶輸入密碼片語（passphrase）。很特別的是，取得輔助功能存取許可後，當用戶在螢幕上輸入密碼時，CherryBlos會先拍下螢幕擷圖，以OCR翻譯成文字格式後，將密碼片語、連同植入的電子錢包App套件名稱等資訊，傳送給駭客控制的C&C伺服器。此外，當用戶從交易平臺提款存到自己的線上電子錢包時，CherryBlos會將錢包網址置換成攻擊者所控制的網域，以便竊取加密貨幣。</p> <p>研究人員還在Google Play Store上發現不含CherryBlos的同樣的App。他們相信是由同一個團隊開發。</p> <p>此外，除了CherryBlos外，研究人員也在Google Play上發現疑似和CherryBlos有關的惡意App，因其使用相同的網路基礎架構及App憑證。這些App 謊稱用戶可經由導流量賺取獲利，但受害者最後是提不出錢的，故其中的惡意程式被研究人員稱為FakeTrade。倒楣的用戶下載安裝這些App後大量給予負評。</p> <p>這類詐騙App共有31款上傳Google Play Store，現已全數為Google移除。</p> <p>安全廠商提醒，用戶應避免從第三方網站下載不熟悉的App。且安裝前應仔細審閱其他用戶的評論，看看是否有提及可能是惡意程式。此外也應留心App要求的許可，特別是要求輔助功能存取權限。</p> </div></div></div>
2023/8/1 15:46作者林妍溱https://www.ithome.com.tw/news/158056
美頂尖醫學中心如何推動數位轉型？麻省總醫院內科主任揭第一手經驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國頂尖醫學體系麻省總醫院暨布萊根婦女醫院（Mass General Brigham）內科主任David W. Bates日前來臺分享數位轉型經驗和進展，為推動轉型，他們先是盤點院內系統、發現系統老舊互通性不足，於是展開評估，決定在2016年導入現成商用系統至旗下所有醫院和診所。這麼做雖解決互通性問題，卻也有些問題要克服，比如系統難以精煉、需採購額外系統來補強臨床決策輔助功能等。</p> <p>不過，商用系統也為醫院日後AI發展打下基礎，能收集大量、標準化的臨床資料，供醫護和研究人員即時存取。David W. Bates總結，醫院推動數位轉型時，必須投資基礎建設、確保資料互通性，並持續嘗試新技術和創新應用。他也建議，醫院若要找出高成本患者族群、降低醫院成本，可從心理健康狀態、社經地位、婚姻狀態和生活狀態等因子下手。</p> <p><span style="font-size:24px;"><strong>數位轉型2階段：盤點既有系統、針對弱點導入合適HIS系統</strong></span></p> <p>麻省總醫院暨布萊根婦女醫院（Mass General Brigham，簡稱MGB）是美國頂尖的體系醫院，旗下不只有著名的麻省總醫院（Mass General Hospital）和布萊根婦女醫院（Brigham and Women’s Hospital）等醫學中心，還有10多家社區醫院與診所。其中，David W. Bates不只在MGB擔任內科主任，也是MGB的病安研究中心主任，同時還是哈佛醫學院的醫學教授。</p> <p>David W. Bates點出，MGB體系推動醫療照護數位轉型，共有2大階段，一是盤點院內既有系統，另一是導入合適的HIS系統。就第1點來說，MGB體系醫院長年來採用自行開發的系統，醫護第一線使用者也對自家系統很是滿意。但隨著數位醫療發展，他們發現，這些系統沒法滿足所有需求，特別是「許多老舊系統無法互通（Interoperate），」比如在院外累積的臨床資料，無法整合至院內系統。</p> <p>當時，美國政府正好鼓吹醫院採用資料可互通的系統，並設置大筆補助，來鼓勵醫院汰換HIS系統。於是MGB評估，若要自行開發新一代系統來滿足互通需求，太費工耗時，因此決定採購現成系統，在2016年導入美國市占率最高的Epic系統至MGB旗下每間醫院和診所。</p> <p>這是他們數位轉型的第2階段。這麼做「對醫療資料交換非常有幫助，」解決了資料互通性問題。但David W. Bates坦言，這種通用型系統雖有立竿見影的成效，但醫院沒有足夠資源，來讓系統更精煉。</p> <p><span style="font-size:24px;"><strong>導入後也不要輕忽小問題，因為那是使用者的大困擾</strong></span></p> <p>比如，在系統導入的第一年，David W. Bates為病人看診時，系統往往將他定位錯誤，顯示錯的分院地點，他得手動修改才行。雖然是個不足為奇的小錯誤，但對他這樣的執業醫師來說，卻很惱人。</p> <p>另一方面，導入新系統後也得有相容性問題。舉例來說，實驗室系統（LIS）是醫院的核心系統之一，但MGB體系並未採用Epic系統，而是另一家廠商的LIS。因此，在不同系統的使用介面上，難免出現操作問題。</p> <p>此外，導入新系統還有另一個問題，也就是臨床輔助決策功能，需要時間來增強。David W. Bates指出，採用新系統雖讓MGB體系的所有文件記錄（不論院內院外）數位化，但臨床決策輔助功能仍不如舊系統好，還在逐步到位中。他舉例，當醫師每開2次藥，系統就會跳出警示，「這很煩人，」但他也指出，新系統還在穩定進步中，MGB也正採購其他系統來補強。David W. Bates強調，好的決策輔助功能，是保障病人安全的重要一步。</p> <p>他也建議，任何醫院在轉換系統時，得考慮新系統是否能發展創新應用，來讓醫護工作更簡單順暢。</p> <p>話鋒一轉，David W. Bates認為，在這場數位轉型中，進展最多的領域莫屬遠距醫療。「在COVID-19疫情爆發前，我們遠距醫療做得不多，但疫情爆發後，我們幾乎一夜間就切換為遠距醫療模式。」他回憶，起初醫護和病人雖然都不太知道怎麼使用系統，但後來熟能生巧，現在，精神科和睡眠醫學部門幾乎都用遠距醫療來與病人互動。</p> <p>不過，即便疫情間累積不少遠距醫療經驗，他還是點出，現在他在診間看診時，還是會不清楚下一位病人是實體看診，還是線上看診。因此，「我們還需要良好的工具，來幫助醫護釐清病人看診方式，」這也是MGB目前正在改善的地方。David W. Bates也不諱言，MGB也仍在學習，使用遠距醫療的最佳時機以及何時不該使用。</p> <p><span style="font-size:24px;"><strong>影像數位化還能用來打造自動通知與後續追蹤系統</strong></span></p> <p>談起醫院數位轉型，一大領域是醫學影像數位化。他指出，MGB所有的醫學影像目前都已數位化，還因此建立許多大型資料庫，來推進醫學研究。比如，早在2014年，MGB就發展出一套<a href="https://pubmed.ncbi.nlm.nih.gov/25341163/">重症檢驗警示通知系統（Alert Notification of Critical Results，ANCR）</a>，能自動通知醫護，病人的重症醫學影像報告結果，來加速醫護溝通與患者治療。David W. Bates說明，當放射線醫師在病人醫學影像中標示出問題，系統會自動通知主治醫師，並連動安排後續的檢驗檢查，大大提高病人後續追蹤與照護品質，「這是過去我們做不到的，」他強調。</p> <p>他也指出，MGB並非早早就將所有類型的醫學影像數位化，而是到了2010年，才將CT、MRI、超音波、X光片、骨密度、乳房攝影等多種類型的醫學影像數位化。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-08-01%20123229.png" /></p> <p>AI也是MGB數位轉型的重點之一。要發展AI，得要有龐大且可存取的資料才行，David W. Bates點出，Epic系統在累積資料、存取資料這方面表現出色，每天都會自動收集資料一次，但對於收集頻率較高的情境（如每分鐘收集一次資料），表現就不理想，這是MGB正在解決的問題。</p> <p>另一個要解決的挑戰是運用工具，來確保AI產出的洞察，是給正確的醫護人員審閱。</p> <p>目前，MGB發展最成熟的AI領域是放射線影像，如乳房攝影、X光片判讀等。在這個領域，AI加速醫師的判讀時間，也降低反覆檢查的工作。David W. Bates指出，接下來，MGB要將這些成功經驗擴展到更多臨床領域，也要用來改善行政工作。</p> <p>但他坦言，機器人技術是MGB數位轉型中，發展速度和力道最弱的一環。他指出，雖然機器人技術在特定領域有所發揮，比如手術（特別是義肢、婦科）、藥品管理等，但「證據顯示，運用機器人技術產生的價值是醫療系統、遠距醫療、數位影像、AI和機器人等5大領域中最弱的，」David W. Bates舉例，一支達文西手臂要價200百萬美元，但能否帶來更好的成效，仍有待觀察。</p> <p><span style="font-size:24px;"><strong>從MGB數位轉型學到的一課：必須投資基礎設施</strong></span></p> <p>回顧MGB將近10年的數位轉型歷程，David W. Bates點出，這場轉型仍在進行中，成效也越來越好。他總結這些經驗，建議要推動數位轉型的醫院，一定要「投資基礎建設，」比如要發展即時性的醫療AI，就得確保資料資源足夠且可用。再來是，院內系統要能分析、處理外部系統資料，畢竟，「病人不會只在一家醫院看診，」因此系統要具備資料互通性，這也是MGB持續面臨的挑戰。</p> <p>最後，他點出，創新也是轉型的關鍵，因為，大家尚不確定哪些技術對醫療最有幫助，因此得不斷嘗試、創新，才能找出答案。這也是MGB轉型的原則之一。</p> <p><span style="color:#0000FF;"><strong>如何找出高成本病患：從心理健康、社經地位和生活狀態來觀察</strong></span></p> <p><span style="color:#808080;"><strong>不只是技術發展，和大多數醫院一樣，降低成本也是MGB的重要目標。他們發展一套方法，鎖定出高成本患者，「我們有5%的患者，耗費了醫院50%的成本。」David W. Bates表示，找出這群人是管控成本的第一步。</strong></span></p> <p><span style="color:#808080;"><strong>MGB的方法是，從病患的心理健康狀態（Mental health status）、社經狀態（Socioeconomic status）、婚姻狀態（Marital status）和生活狀態（Living status）等因素來找出這群人。David W. Bates強調，這些因素很重要，因為對醫院成本有著「極大影響。」他也指出，找出可行的需求和差距也很重要，如此才能提高這些患者的成本效益。MGB也透過這些調查，來找出這群病患，還成功降低這群患者的住院人次。（如下圖）</strong></span></p> <p><span style="color:#808080;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-08-01%20123149.png" /></strong></span></p> </div></div></div>
2023/8/1 13:47作者王若樸https://www.ithome.com.tw/news/158054
挪用投資人的錢買555克拉的鑽石，加密貨幣負責人Richard Heart遭SEC控告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sec.gov/news/press-release/2023-143" target="_blank">美國證券交易委員會（SEC）周一（7/31）控告了Richard Heart，</a>以及他所控制的3家加密貨幣公司Hex、PulseChain與PulseX。SEC除了指控這3家公司未經註冊即發行加密貨幣證券，向投資人募集了超過10億美元的加密貨幣資產之外，還指控Heart將投資人的資金用來購買昂貴的跑車、手錶，以及據傳是世界上最大的黑鑽Enigma，重達555克拉，花費超過1,200萬美元。</p> <p>調查顯示，Heart是在2018年開始對外行銷Hex，宣稱它是全球第一個高收益的區塊鏈定存，並發行聲稱可讓人們致富的Hex代幣，質押收益可高達38%。自2019年12月到2020年11月，Heart藉由出售Hex代幣，換得了逾230萬個以太幣（ETH）。</p> <p>接著Heart還在2021年7月到2022年3月間，以開發加密貨幣網路PulseChain及加密貨幣交易平臺PulseX的名義，分別發行PLS與PLSX代幣，各自對外募集了數億美元的資金。</p> <p>SEC沃思堡地區辦事處主任Eric Werner指出，Heart鼓勵投資人購買未經註冊的加密貨幣證券，並以這些哄騙而來的加密貨幣資產購買昂貴商品，SEC想要保護投資人並將Heart繩之以法。</p> <p>SEC認為Heart與相關業者違反了美國證券法規中的註冊及反詐欺規定，因而提出訴訟，要求被告歸還非法所得且不得再從事非法行為。</p> <p>其實SEC的新聞稿並沒有揭露太多的細節，<a href="https://www.sec.gov/files/litigation/complaints/2023/comp-pr2023-143.pdf" target="_blank">但在訴狀中詳述了Heart的行為</a>，包括對外宣傳發展PulseChain區塊鏈是為了保護言論自由，並要求投資人若相信此事便應該作出犧牲；還經常以誇大且不實的言論來誤導投資人，例如於Hex官網上宣稱Hex在兩年內成長了1萬倍，其目標是超越比特幣及以太幣，成為全球最強大的加密貨幣等。</p> <p>此外，SEC認為Heart挪用了PulseChain的投資人資產，直接把其中超過2億美元的資產轉移到某個私人錢包，再藉由Mixer工具執行混淆來源的交易。</p> <p>而Heart挪用PulseChain投資人資產所購買的奢侈品除了價值428萬美元的Enigma黑鑽之外，還有價值近54萬美元的麥拉倫跑車，超過31萬美元的白色法拉利，以及多款勞力士手錶等。</p> </div></div></div>
2023/8/1 14:36作者陳曉莉https://www.ithome.com.tw/news/158055
Google Assistant部門裁員，將以生成性AI改造
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.axios.com/2023/07/31/google-assistant-artificial-intelligence-news" target="_blank">媒體報導</a>，Google近日內將再改組Google Assistant，包括裁減職位，並將使用新的生成性AI模型來改造這個AI助理。</p> <p>《Axios》上周取得Google Assistant副總裁Peeyush Ranjan和產品部門主任Duke Dukellis的對內公開信報導此事。這也是3月間<a href="https://www.ithome.com.tw/news/156221" target="_blank">《CNBC》報導Google Assistant部門人事異動</a>後再一次調整。配合新策略，原Assistant開發工程主管去職，而由原先負責Google商務部門業務主管Ranjan接任。</p> <p>Ranjan上周信中內容則說明在此策略方向下的後續改組。他說明生成性AI有極大潛力改變人類生活，而以最新大型語言模型（LLM）加持的Assistant有很大機會，在此方向下，Google Assistant新的組織調整包括合併服務和介面開發團隊，獨立出行動（Mobile）部門，其他團隊還包括自然語言處理（NLP）、基礎架構及語音開發部門。他指出，行動部門已經首先啟動以LLM改造Google Assistant的計畫。</p> <p>Ranjan強調公司會持續投入Assistant的開發，但伴隨這次改組，他說也將裁減「少部份」職位。Google對<a href="https://www.theverge.com/2023/7/31/23814702/google-assistant-ai-features-layoffs-bard" target="_blank">《The Verge》</a>證實Assistant部門將裁減10多名員工。</p> <p>在信中Google並未說明LLM會如何協助Assistant的改造，不過今年3月的改組中，Google對Assistant的定位由整合在Google Maps等Android手機應用或是Google硬體的語音介面，轉為和Google Bard整合。Google部門預計本周於美、歐等分公司內部會議中說明公司計畫。</p> <p>至於Google Bard和Assistant整合會發生在哪目前還不得而知，不過很少談論AI的蘋果，<a href="https://www.ithome.com.tw/news/156997" target="_blank">據報也在找生成性AI人才</a>，希望強化Siri以及iOS上捷徑、Pencil& Paper、軟體鍵盤等「系統體驗」。</p> </div></div></div>
2023/8/1 12:30作者林妍溱https://www.ithome.com.tw/news/158052
Threads App用戶大跌6成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>推特改名為X令人爭議，但Meta的Threads是否能取而代之還很難說，因為根據市調公司數據，推出將近1個月以來，Threads App用戶數已跌掉60%。Meta執行長祖克柏（Mark Zuckerberg）則承認，已有一半用戶流失。</p> <p>Threads於7月6日正式上線後引起大眾強烈好奇心，且Threads帳號基於IG資料，很容易註冊。這個類似推特的文字社交平臺App在上線5天內用戶數飆至1.05億，速度超過ChatGPT及IG。</p> <p>不過好景不常，早在上線第二周用戶就興趣缺缺，Threads使用量表現出現疲態。<a href="https://www.similarweb.com/blog/insights/social-media-news/twitter-threads/" target="_blank">根據市調機構SimilarWeb上周公布的最新數據</a>，Threads Android App使用量最尖峰落在7月7日，當時每日經常用戶數（Daily active user，DAU）超過4,900萬。但到了7月23日，其DAU只剩1,260萬，僅Twitter的12%。此外，用戶在Threads App上的平均使用時間也縮短了。剛上線時，美國用戶一天使用將近21分鐘，但到7月23日當周已縮短為不到5分鐘。相較之下，Twitter用戶使用時間還有25分鐘。</p> <p>這份數據不包含Threads iOS App的數據，不過市調公司相信應該也呈現暴起暴落的情形。</p> <p>同時期，Twitter雖然改名X飽受批評，但流量表現相對穩定。這家市調公司估計6月份Twitter.com，以及Twitter廣告入口網站的流量，只比去年同期各跌了10%及10.4%。而Twitter iOS及Android版App每月經常用戶數比去年僅下跌8.4%，還優於競爭者IG、Snapchat、及TitTok。</p> <p>Threads上線時，遭批評只是複製Twitter的作品。分析師指出，如果Threads希望用戶每天來此報到，Meta必須補上還缺失的功能，並且加入新開發、有特色的功能。</p> <p>對此Meta執行長祖克柏認為這很正常。<a href="https://www.reuters.com/business/media-telecom/meta-plans-retention-hooks-threads-more-than-half-users-leave-app-2023-07-28/" target="_blank">根據《路透社》報導</a>，祖克柏在內部會議中表示，對一個註冊用戶數超過1億的服務來說，不要說全部，就算只有一半人留下來都算是很厲害的，Threads「也沒到那程度」。但他指出Threads用戶留存情況優於公司預期，而且他相信，隨著App功能愈來愈完整，包括桌機版及搜尋功能的加入，用戶留存情況會再改善。</p> <p>上周Threads加入時序性顯示貼文的功能，讓用戶不必非依演算法來讀取貼文，也加入翻譯功能。Threads還預告正在開發Web版、私訊、搜尋及方便視覺或說話不便用戶的輔助功能等。</p> <p>Twitter已在上周全面改成X，拿掉小鳥logo，<a href="https://www.theverge.com/2023/7/29/23812780/tweet-change-name-post-x" target="_blank">本周也將App中用以表達貼文動作的「tweet」改成了「post」</a>，進一步消除小鳥的意象。</p> </div></div></div>
2023/8/1 12:53作者林妍溱https://www.ithome.com.tw/news/158053
Stack Overflow推出OverflowAI專案，試圖以生成式AI挽回流量
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>線上程式開發問答平臺Stack Overflow發布了人工智慧專案<a href="https://stackoverflow.blog/2023/07/27/announcing-overflowai/">OverflowAI</a>，試圖藉助生成式人工智慧的力量，重新找回逐漸流失的流量。OverflowAI是一個將生成式人工智慧整合到Stack Overflow平臺的專案，其釋出的一系列整合人工智慧的新功能，包括強化搜尋、增強Stack Overflow for Teams和全新IDE擴充套件等。</p> <p>Stack Overflow網站上的搜尋功能將獲得重大更新，過去Stack Overflow都是仰賴關鍵字搜尋，找出符合用戶問題和解答，而官方現在建置了一個向量資料庫添加語義搜尋，使得搜尋功能可以更智慧地回應用戶的提問。Stack Overflow上目前有5,800萬個問題和答案，官方也正在研究如何運用這些問答生成回覆，產生個人化結果。</p> <p>OverflowAI專案範疇也涵蓋了各式第三方應用程式整合，像是Stack Overflow for Teams擴充套件，在原本的基礎上加入人工智慧搜尋功能，讓企業用戶方便地從可信的來源Stack Overflow for Teams、Stack Overflow公開平臺、Confluence和GitHub上找到相關的知識。官方還開發了一個名為StackPlusOne的聊天機器人，供用戶可以直接在Slack中提問並且獲得解答。</p> <p>不只在協作軟體，Stack Overflow官方也開發具有人工智慧能力的VS Code IDE擴充套件，讓用戶不需要中斷開發流程，可以從IDE操作直接獲得公開平臺與私有的Stack Overflow for Teams實例中的知識，解決程式開發相關的問題。<br /> <br /> 由於ChatGPT、Bard等各種語言模型聊天機器人興起，直接詢問機器人就可獲得程式開發相關問題解答，這使得開發人員不再需要像過去一樣搜尋並瀏覽網站尋找答案。Stack Overflow也從ChatGPT上線以來，流量逐月衰退股價暴跌，而現在他們試圖在平臺整合生成式人工智慧重振頹勢。</p> </div></div></div>
2023/8/1 08:29作者李建興https://www.ithome.com.tw/news/158048
以DPI跨入OT網路安全防護市場，鴻璟推出超小型工業防火牆
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hong_jing_tera-utm_12_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以網路防火牆起家、至今仍在資安市場活躍的臺灣本土廠商，屈指可數，鴻璟科技（Lionic）正是其中之一，2021年我們曾報導他們發展的Pico-UTM 100，一般家用或小型環境用戶可到網路購物平臺直接下單，或是到電信服務廠商，以及與其合作的資安服務廠商訂購相關的服務，而在2023臺灣資安大會期間，他們也在臺灣資安館的半導體資安特展，發表適用於工業環境的網路防火牆設備Tera-UTM 12，並與竣盟科技（Billows）的資通安全威脅偵測管理平臺（Unified Compliance Management，UCM），合作展示提升機臺防護的作法。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cybersec-Tera-UTM%2012_%E5%B1%95%E5%A0%B4%E7%85%A702.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Tera%20UTM%2012%20comparison.png" style="width: 600px;" /></p> <p>單就產品特色而言，鴻璟新推出的Tera-UTM 12有許多部分與Pico-UTM 100是共通的，像是基於該公司長期發展的深度封包檢測（DPI）技術而成，具備防火牆、網頁過濾等上網安全防護、惡意程式掃描、網路入侵偵測、針對背後連接的端點設備提供漏洞虛擬修補機制，以及SSL/TLS加密流量，並且提供簡易操作的網頁操作介面，</p> <p><a href="https://s4.itho.me/sites/default/files/images/Tera UTM 12-001 Dashboard 1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Tera%20UTM%2012-001%20Dashboard%201.jpg" style="width: 600px;" /></a></p> <p>同時，可搭配中央管理系統（CMS）支援多臺集中控管。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Lionic%20CMS-1.jpg" style="width: 600px;" /></p> <p>兩者主要差異在於，Pico-UTM 100負責辦公室IT網路，可適用於攝氏0度到40度的環境，最多能保護50臺裝置上網，Tera-UTM 12專攻產線、廠務監控等連網應用，可適用於攝氏0度到60度的環境，橫跨維運科技（OT），以及物聯網（IoT）等場域，額外提供特定地理區域的網路連線來源偵測與封鎖，以及工業控制系統（ICS）常用通訊協定的威脅偵測、異常偵測，用戶也能自定這類通訊協定的存取控制清單，關於虛擬修補；而在確保內外連線的可用性方面，這款網路安全設備的網路埠也支援硬體旁路（Hardware Bypass），若設備本身突然發生當機、斷電，或是因系統更新／維護等狀況而停擺，已架設這款防火牆的產線網路環境仍然可以繼續維持連線，不會因此導致堵塞。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Tera UTM 12-AV.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Tera%20UTM%2012-AV.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Tera UTM 12-IPS.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Tera%20UTM%2012-IPS.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Tera UTM 12-SSL inspection.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Tera%20UTM%2012-SSL%20inspection.jpg" style="width: 298px;" /></a><a href="https://s4.itho.me/sites/default/files/images/Tera UTM 12-018 Anti-WebThreat Log.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Tera%20UTM%2012-018%20Anti-WebThreat%20Log.jpg" style="width: 298px;" /></a></p> <p>而在網路介面與處理效能的規格方面，Tera-UTM 12若啟用防病毒、防駭客、防惡意網站等安全過濾功能，吞吐量為890 Mbps，若再啟用SSL/TLS加密流量掃描功能，吞吐量為355 Mbps，而在硬體運算資源配備上，它也採用更高的規格，例如，處理器為恩智浦（NXP）的i.MX 8M Plus（內建4顆64位元Arm架構Cortex-A53核心、1顆Cortex-M7核心、1顆GPU核心GC7000UL）、系統記憶體為4 GB的DDR4-4000、儲存為8GB的eMMC快閃記憶體。</p> <p>相較之下，Pico-UTM 100的防火牆吞吐量為813 Mbps，防毒為738 Mbps，入侵偵測為685 Mbps，啟用各項防護功能之後，效能為616 Mbps（此處應該不包含SSL或TLS加密流量掃描）。而在硬體運算資源方面，它的處理器為高通（Qualcomm）的IPQ4018（內建4顆32位元Arm7架構核心、256 MB的DDR3L記憶體），儲存為512 MB的快閃記憶體。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Tera%20UTM%2012%20HW.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p>鴻璟Tera-UTM 12<br /> ●原廠：鴻璟科技<br /> ●建議售價：主機加上硬體7萬元（未稅）<br /> ●網路埠：2個GbE埠（RJ-45埠），支援硬體旁路<br /> ●防火牆吞吐量：安全功能全部啟用（防病毒、防駭客、防惡意網站）為890 Mbps，安全功能全部啟用、搭配SSL或TLS加密連線掃描為355 Mbps<br /> ●支援工業通訊協定：Modbus、DNP/3等<br /> ●硬體運算規格：NXP i.MX 8M Plus處理器、4GB LPDDR4記憶體、8GB eMMC快閃記憶體（儲存作業系統）<br /> ●運作環境溫度：攝氏-40度到60度<br /> ●外觀：10.8 x 7.2 x 3.8公分</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/7/31 22:07作者李宗翰https://www.ithome.com.tw/review/157584
【資安日報】7月31日，Ivanti再度修補行動裝置管理平臺的零時差漏洞，並指出其危險之處在於與另一個漏洞串連使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週挪威政府的資訊系統遭到攻擊，並點名駭客鎖定第三方軟體Ivanti Endpoint Manager Mobile的零時差漏洞CVE-2023-35078而來，呼籲所有用戶應儘速套用更新程式修補。但事隔數日，Ivanti再度修補另一個高風險漏洞CVE-2023-35081，並強調在前述的漏洞攻擊行動裡，駭客也同時運用了這個漏洞。是否還有其他可被攻擊濫用的漏洞？有待進一步觀察。</p> <p>利用Windows搜尋功能網路釣魚攻擊行動，也相當值得留意，有研究人員發現駭客利用Windows搜尋存取遠端伺服器上的惡意檔案，目的是讓使用者誤以為開啟存放於自己電腦的PDF文件，降低戒心而導致電腦被植入木馬程式。</p> <p>Google威脅情報小組（TAG）針對2022年零時差漏洞公布其觀察的結果，最引人注目的部分，就是點名自家行動裝置作業系統的N-day漏洞現象，因為駭客不需自行尋找零時差漏洞，就能進行這類濫用弱點的攻擊行動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.trellix.com/en-us/about/newsroom/stories/research/beyond-file-search-a-novel-method.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Windows搜尋功能遭到濫用，駭客用來部署RAT木馬程式</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/beyond-file-search-a-novel-method-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/beyond-file-search-a-novel-method-2.jpg" style="width: 300px; float: right;" /></a>資安業者Trellix揭露濫用Windows搜尋功能的攻擊行動，駭客先是透過帶有URL或是惡意HTML附件的釣魚郵件，將使用者引導到釣魚網站，觸發該網站的JavaScript指令碼執行，然後利用URI協定，於攻擊者控制的伺服器進行資料或檔案搜尋的工作。</p> <p>使用者若是依照指示開啟Windows檔案總管，很有可能會誤以為在自己電腦找到PDF檔案，若不慎開啟會觸發惡意程式碼，或是執行捷徑檔案執行惡意程式庫，最終導致攻擊者於電腦部署RAT木馬程式，如AsyncRAT、Remcos RAT。</p> <p><a href="https://www.team-cymru.com/post/inside-the-icedid-backconnect-protocol-part-2"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體IcedID翻新BackConnect模組，對受害電腦帶來更嚴重的威脅</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/6283c5_78c50f321a7e4292840f72df814497e6~mv2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/6283c5_78c50f321a7e4292840f72df814497e6~mv2.png" style="width: 300px; float: right;" /></a>資安業者Cymru指出，自今年初起，駭客針對惡意軟體IcedID的C2通訊模組BackConnect，以及對應的C2基礎設施進行強化，使得此惡意軟體的行蹤更加隱匿，駭客透過C2與其通訊的時間大幅縮短，可能更難察覺。</p> <p>研究人員指出，資安業者Palo Alto Networks看到駭客將BackConnect使用的連接埠，今年4月開始將原本TCP的8080埠，更換成443埠（使用HTTPS加密流量），導致該惡意軟體與C2的通訊難以發現。但Cymru的研究人員發現，駭客早在今年1月就開始準備，首先，他們在1月23日看到對應BackConnect的C2伺服器數量，從原本的11臺增加至34臺，而這些伺服器運作的時間，從原本的28天縮短為8天。</p> <p>此外，研究人員看到駭客透過2個靜態的VPN節點來管理C2。比較特別的是，部分感染IcedID的電腦啟用SOCKS功能，它們也扮演代理伺服器角色，被用於發動垃圾郵件攻擊。</p> <p><a href="https://www.bleepingcomputer.com/news/security/linux-version-of-abyss-locker-ransomware-targets-vmware-esxi-servers/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Abyss Locker鎖定VMware ESXi伺服器而來</span></strong></a></p> <p>資安研究團隊MalwareHunterTeam發現，自今年3月出現的勒索軟體Abyss Locker，攻擊目標從Windows電腦延伸到VMware虛擬化平臺ESXi。研究人員看到駭客使用Linux版的勒索軟體，經分析後，確認此惡意軟體專門針對上述虛擬化平臺打造，啟用後，會先列出所有的虛擬機器（VM），並執行3種不同程度的命令，以終止VM的運作，然後將虛擬磁碟、快照、中繼資料，以及其他類型的檔案進行加密。</p> <p>研究人員Michael Gillespie認為，這些駭客是利用另一款叫做HelloKitty的勒索軟體為基礎，打造Linux版Abyss Locker，並改用ChaCha編碼進行加密，但究竟Abyss Locker是有人模仿HelloKitty的手法犯案，還是HelloKitty東山再起？目前仍不得而知。</p> <p><a href="https://www.securityweek.com/exploitation-of-recent-citrix-sharefile-rce-vulnerability-begins/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Citrix檔案協作雲服務ShareFile在6月被揭露RCE漏洞，7月底已出現攻擊行動</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Greynoise-ShareFile-IPs.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Greynoise-ShareFile-IPs.png" style="width: 300px; float: right;" /></a>資安業者Greynoise提出警告，Citrix於6月中旬修補的檔案共享系統ShareFile漏洞CVE-2023-24489（CVSS風險評為9.1至9.8分），近期已出現攻擊行動，研究人員約於7月25日看到有來自3個IP位址的攻擊行動，其中2個IP位址過往未曾出現。由於這項漏洞出現在ShareFile的儲存區域控制器，攻擊者可在未經授權的情況下，遠端入侵組織自行管理的儲存區域控制器，進而上傳任意檔案，從而發動RCE攻擊。</p> <p>根據資安業者Assetnote於7月初的調查，他們找到可能有1千個至6千個ShareFile系統曝露在網際網路，再加上網路上已有該漏洞相關的概念性驗證攻擊（PoC）程式碼，Greynoise認為，相關的攻擊行動很可能還會再出現。</p> <p>資料來源</p> <p>1. <a href="https://www.greynoise.io/blog/introducing-cve-2023-24489-a-critical-citrix-sharefile-rce-vulnerability">https://www.greynoise.io/blog/introducing-cve-2023-24489-a-critical-citrix-sharefile-rce-vulnerability</a><br /> 2. <a href="https://support.citrix.com/article/CTX559517/sharefile-storagezones-controller-security-update-for-cve202324489">https://support.citrix.com/article/CTX559517/sharefile-storagezones-controller-security-update-for-cve202324489</a><br /> 3. <a href="https://blog.assetnote.io/2023/07/04/citrix-sharefile-rce/">https://blog.assetnote.io/2023/07/04/citrix-sharefile-rce/</a></p> <p><a href="https://www.ithome.com.tw/news/158015"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國、澳洲警告網頁應用系統的竊密漏洞IDOR恐遭大量利用</span></strong></a></p> <p>7月27日澳洲網路安全中心（ACSC）、美國網路安全暨基礎設施安全局（CISA）聯手提出警告，影響網頁應用程式的不安全直接物件參照（Insecure Direct Object Reference，IDOR）弱點，有可能被攻擊者大肆利用，進而繞過應用程式的存取控制，導致外部用戶可傳送惡意檔案給內部員工。</p> <p>而這項公告當中雖然沒有表明那些應用程式受到IDOR波及，但多家資安新聞網站指出，其中一個存在該漏洞的應用系統就是微軟協作平臺Teams。Teams的IDOR漏洞是在資安業者Jumpsec揭露細節後，引起資安圈的關切，美國海軍的資安人員也藉由該類型漏洞開發滲透測試工具TeamsPhisher。CISA指出，這類弱點難以防範，原因是Teams的使用情境眾多，無法透過單一程式庫或是安全功能緩解，再者，則是駭客可運用自動化工具發動攻擊，而有可能引發大規模資料外洩。值得留意的是，並非只有Teams存在IDOR，伊頓、AT&T、美國第一商業銀行的應用系統都曾出現類似弱點。</p> <p>資料來源</p> <p>1. <a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-208a">https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-208a</a><br /> 2. <a href="https://therecord.media/cisa-australia-warn-of-idor-vulnerabilities">https://therecord.media/cisa-australia-warn-of-idor-vulnerabilities</a><br /> 3. <a href="https://labs.jumpsec.com/advisory-idor-in-microsoft-teams-allows-for-external-tenants-to-introduce-malware/">https://labs.jumpsec.com/advisory-idor-in-microsoft-teams-allows-for-external-tenants-to-introduce-malware/</a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://forums.ivanti.com/s/article/CVE-2023-35081-Arbitrary-File-Write?language=en_US"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Ivanti再度修補行動裝置管理平臺的零時差漏洞，該漏洞也曾用於攻擊挪威政府</span></strong></a></p> <p>上週挪威政府的資訊系統遭到攻擊，而駭客入侵的管道，就是針對此平臺採用的第三方軟體Ivanti Endpoint Manager Mobile（EPMM，原名MobileIron Core），利用零時差漏洞CVE-2023-35078下手，但現在發現駭客利用的漏洞可能不只一個。Ivanti於7月28日發布EPMM更新軟體，當中修補另一項漏洞CVE-2023-35081（CVSS風險評為7.2分），此為路徑穿越漏洞，通過身分驗證的管理員能用來對EPMM伺服器寫入任意檔案。</p> <p>值得留意的是，該公司提及這項漏洞能與CVE-2023-35078搭配使用，進一步繞過管理員的身分驗證程序，以及存取控制列表（ACL）的管制。成功同時利用上述2項漏洞，攻擊者就能對EPMM實體寫入惡意檔案，進而透過名為tomcat的使用者來執行作業系統層級的命令。對此，該公司呼籲用戶應儘速套用更新程式，並透露遭受CVE-2023-35078漏洞攻擊的客戶，攻擊者也同樣利用了CVE-2023-35081對其下手。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.trendmicro.com/en_us/research/23/g/cherryblos-and-faketrade-android-malware-involved-in-scam-campai.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">安卓惡意軟體CherryBlos、FakeTrade藉由OCR盜取圖片裡的帳密資料</span></span></strong></a></p> <p><a href="https://www.recordedfuture.com/bluebravo-adapts-to-target-diplomatic-entities-with-graphicalproton-malware"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客APT29鎖定東歐外交單位，散布後門程式GraphicalProton</span></span></strong></a></p> <p><a href="https://www.securonix.com/blog/detecting-ongoing-starkmule-attack-campaign-targeting-victims-using-us-military-document-lures/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">攻擊行動Stark#Mule鎖定韓國而來，假借提供美軍募兵資料散布惡意軟體</span></span></strong></a></p> <p><a href="https://udn.com/news/story/7241/7332429"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">大樹醫藥證實遭到網路攻擊，以簡訊提醒消費者慎防詐騙</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157996">【7月28日】惡意軟體Nitrogen被用於勒索軟體攻擊，並透過Google、Bing廣告散布</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157972">【7月27日】有人在暗網論壇兜售AI網路犯罪工具FraudGPT，號稱不到一週已有3千買家下單</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157947">【7月26日】駭客利用Ivanti行動裝置管理平臺的零時差漏洞，攻擊挪威政府的資訊系統</a></strong></p> </div></div></div>
2023/7/31 18:57作者周峻佑https://www.ithome.com.tw/news/158049
去年發現41個遭到攻擊的零時差漏洞，Android上的n-days漏洞跟0-days漏洞一樣危險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2023/07/the-ups-and-downs-of-0-days-year-in.html" target="_blank">Google威脅分析小組（Threat Analysis Group，TAG）本周公布了2022年的零時差攻擊漏洞報</a>告，指出去年總計發現了41個遭到駭客攻擊的零時差漏洞，其中有超過40%與過去曾公開揭露的漏洞有關，也有愈來愈多的駭客鎖定同樣的零時差漏洞，另外值得注意的是，由於Android平臺上的漏洞修補時程太長，導致該平臺的n-days漏洞跟零時差（0-days）漏洞一樣危險。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0731-0-days%20Exploited%20In-the-Wild%20in%202022-by%20Google-960.jpg" style="width: 600px;" /></p> <p>去年所發現的零時差漏洞有8個出現在Windows平臺上，4個為iOS平臺，3個為Android平臺，2個為macOS平臺，也有2個是在Exchange Server上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0731-0-days%20Exploited%20In-the-Wild%20in%202022%20by%20platform-by%20Google-2.png" style="width: 500px;" /></p> <p>這41個零時差漏洞是由18個不同的組織所發現，2021年的58個零時差漏洞則是由20個組織所發現，Google認為這是個好現象，代表資安社群共同努力辨識並找出遭到駭客攻擊的零時差漏洞，且歡迎更多的研究人員加入。</p> <p>此外，當中有17個零時差漏洞似曾相識，因為它們是從過去公開揭露的漏洞所衍生的，其比例從2020年的25%，增加到去年的41%。TAG認為此一趨勢的原因有很多，也許是駭客正在利用更多的變種，或者是資安社群偵測或辨識變種的能力變好了，比較令人擔心的是這些漏洞沒有被完整的修補因而出現更多的變種。</p> <p>而縱使駭客並不會分享所發現的零時差漏洞，但這些漏洞並非獨家的，研究顯示不同的駭客也會攻擊同樣的零時差漏洞，如同不同單位的研究人員也會找到同樣的零時差漏洞。</p> <p>此次的報告最引人注目的莫過於TAG對Android平臺上n-days漏洞的警告。TAG指出，由於修補的時程太長，鎖定Android平臺的駭客根本不需利用零時差漏洞，只要鎖定那些早就被揭露的n-days就可以達到同樣的效果了。</p> <p>Android平臺上的安全空窗期源自於它必須經歷元件或韌體供應商的修補、Google的修補到製造商的修補，最後才能到達使用者的Android裝置上，有些例子很令人咋舌，例如在2022年7月由安全研究人員Man Yue Mo於ARM Mali GPU所發現的CVE-2022-38181漏洞。</p> <p>這名研究人員在2022年7月向Android安全團隊通報漏洞，由於該漏洞僅會發生在特定的裝置上，於是Android安全團隊8月向ARM表明不必修補，但ARM還是在10月修補了漏洞，11月就出現了攻擊程式，但一直到今年4月，它才出現在Android的安全公告中，整個歷程長達9個月，從修補到現身於公告也花了6個月。</p> <p>看起來TAG對於同門的Android安全團隊並不留情，另一個例子是三星的Samsung Internet browser在2022年12月遭到零時差攻擊，駭客利用了分別位於Chromium的2022-3038與ARM Mali GPU的CVE-2022-22706兩個零時差漏洞，但其實ARM早就在2022年的1月修補了該漏洞，而且修補當時漏洞就已遭到攻擊，然而它卻一直到2023年的6月才被納入Android安全公告中。</p> </div></div></div>
2023/7/31 16:39作者陳曉莉https://www.ithome.com.tw/news/158044
美自駕AI新創Comma.ai更新開源自駕車軟體，內建自動輔助導航自駕功能，讓即使非高階的市售車也能開始測試地圖導航自駕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不讓電動車龍頭特斯拉專美於前，以開源自駕車軟體而聞名的美國自駕AI新創Comma.ai近日在<a href="https://youtu.be/ZEMPQjK1ZPw">自家技術年會</a>中，宣布在最新一版的自駕車軟體Openpilot中，開始內建自動輔助導航自駕功能，讓即使非高階車款的市售車款，現在也能通過在車上安裝這套軟體，來實現地圖導航自駕，就像是特斯拉電動車的自動輔助導航自駕一樣，而且改裝費不用2千美元。不過該功能目前還是實驗版本。</p> <p>Comma.ai是由美國知名駭客George Hotz在2016年成立的自駕AI新創，以面向自駕車後裝市場為主，讓非高階的一般市售車，也能夠透過安裝一套開源自駕車軟體Openpilot，搭配客製硬體，就能具備有先進駕駛輔助（ADAS）的功能。</p> <p>Openpilot推出短短幾年，已經支援逾250款市售車，並且用戶更遍布美國、中國、韓國、日本及臺灣等。這些年來，Openpilot軟體歷經多次改版更新，增加不少新功能，讓它的自駕功能的表現越來越好。例如，其中一個重要功能是交通號誌辨識，讓自駕車行駛時遇到前方紅燈時會自動停車等待，直到轉為綠燈後繼續行駛。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202023-07-31%20%E4%B8%8B%E5%8D%882_55_45.png" style="width: 600px; height: 264px;" /></p> <p>在今年技術年會中，Comma.ai宣布在新釋出的0.9.4版Openpilot更新中，推出實驗的自動輔助導航自駕功能，透過這項新功能，將使得以後汽車開啟自駕模式時，不只是在道路上穩定行駛而已，還能進一步決定行駛路線，可以根據原先設定的導航地圖路線來行駛，減少人為的介入。</p> <p>早在去年底一場Taco Bell技術挑戰賽中，Comma.ai工程師就曾展示用一臺裝有Openpilot軟體和Comma 3硬體的市售車，成功將車開到指定的地點，全程沒有人為介入，完全依靠導航自駕的方式來開車。</p> <p>在新推出的自動輔助導航自駕功能中，使用者輸入目的地後，Openpilot會根據Google地圖規畫的行駛路線來控制汽車沿著綠色的導航線行駛。做法上，是透過將Comma 3裝置兩顆鏡頭的前車影像畫面和導航地圖輸入到AI自駕模型中，來預測接下來的行駛路線。為了方便AI自駕模型擷取地圖資訊，地圖輸入模型前，會先經過重新渲染並壓縮成每米256x256像素的圖像，並與GPS的經緯度資訊，一起輸入到推論模型中進行預測。</p> <p>在訓練方面，Comma.ai自駕車團隊以大量60秒的行車影像片段，搭配地圖圖資建立訓練資料庫，提供自駕模型進行訓練學習，讓模型能夠預測在特定地圖路線上的行駛情況，並學習如何像人類一樣開車。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230729_082421091.jpg" style="width: 600px;" /></p> <blockquote><p>Comma.ai在新釋出的0.9.4版Openpilot更新中，推出實驗模式的自動輔助導航自駕功能，透過這項新功能，將使得汽車開啟自駕模式同時，也能根據原先設定的導航地圖路線來行駛，減少人為的介入。攝影：余至浩</p> </blockquote> <p>這項導航自駕功能目前已能運用在如高速公路等場景中，可以輔助駕駛完成上下交流道的導航自駕。不過記者實際測試當接近要駛離交流道時，Openpilot會控車自動變換到外車道，但仍需要使用者手動打方向燈並輕碰方向盤，才能進行切換。出交流道遇岔路則會依綠色的導航自駕路線走，不會呈現迷航狀態而開錯路。不過，目前在市區裡導航自駕仍有難度，較需人為介入，這需要靠後續的版本更新，透過持續優化讓它在各種市區場景的表現越來越好。</p> <p>Comma.ai還更新硬體，推出改良的Comma 3X版本，升級了電源架構和加入立體式喇叭，處理器則是與前一代Comma 3使用相同的處理器，並搭配2160x1080解析度的OLED螢幕，但價格更便宜，每款售價1,250美元，約臺幣3.9萬元。</p> </div></div></div>
2023/7/31 15:35作者余至浩https://www.ithome.com.tw/news/158018
NASA整併數位資源，推出免費隨選串流服務NASA+
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.nasa.gov/press-release/nasa-launches-beta-site-on-demand-streaming-app-update-coming-soon" target="_blank">美國國家航空及太空總署（NASA）上周五（7/28）宣布</a>，其官方網站將全面改版，也計畫在今年底前更新NASA程式，提供免費的隨選串流服務。</p> <p>NASA原本就建立了NASA TV，於<a href="https://www.nasa.gov/multimedia/nasatv/#public" target="_blank">官網</a>及<a href="https://www.youtube.com/nasa" target="_blank">YouTube</a>上提供許多有關太空的新聞、影片與直播節目，該平臺在2019年的3月2日曾直播與SpaceX合作，藉由可載人的Dragon 2太空船進行無人發射試射，於船艙中置放了一名假人以前往國際太空站，以用來記錄真實太空人所承受的各項數據，它在3月8日回到地球。</p> <p>由於這是美國自2011年以來，第一艘從美國本土升空的太空船，其直播服務吸引了全球的媒體與社群，造成廣泛的討論，獲得了2019年艾美獎的最佳互動節目。</p> <p>現在NASA也迎向了最新的串流趨勢，所打造的NASA+將同時支援桌面、Android與iOS平臺，以及Roku、Apple TV與Fire TV等串流裝置。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0731-NASA%20App-Screenshot%20of%20iPhone.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0731-NASA%20App-Screenshot%20of%20the%20NASA%20app%20for%20Amazon%20Fire%20TV-960.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_NASA</span></span></p> <p>另一方面，NASA新的官網將整合不同NASA旗下網站的內容，朝向主題性的規畫，目前<a href="https://beta.nasa.gov/" target="_blank">測試版已上線</a>供用戶試用並提供意見。</p> <p>NASA依據數位時代的需求，重新整併與呈現既有的資源，並指出這樣的轉變將能更好地向外界描繪NASA如何探索太空中的未知事物，如何藉由這些發現產生靈感，以及各種為了替人類謀福利所帶來的創新。</p> </div></div></div>
2023/7/31 14:38作者陳曉莉https://www.ithome.com.tw/news/158020
Google發表首個可同時理解文字與視覺，並完成任務的Robotic Transformer 2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.deepmind.com/blog/rt-2-new-model-translates-vision-and-language-into-action" target="_blank">Google在上周五（7/28）發表了新一代的AI機器人模型Robotic Transformer 2（RT-2）</a>，它以來自網路的文字與圖像（visual-language model，VLM）進行訓練，再結合上一代Robotic Transformer 1（RT-1）機器人的訓練資料，成為全球第一個視覺-語言-行動（vision-language-action，VLA）模型，讓機器人更能理解與執行人類所要求的任務。</p> <p>Google在<a href="https://ai.googleblog.com/2022/12/rt-1-robotics-transformer-for-real.html" target="_blank">去年12月發表的RT-1模型</a>主要是仰賴於實體世界操作的機器人資料進行訓練，所蒐集的資料是13個機器人在17個月之間，於13萬個場景中所執行的逾700種任務。</p> <p>而RT-2最大的改變就是引進了VLM，讓機器人模型得以透過大量來自網路的文字與影像來學習真實世界，再輔以上述的機器人訓練資料來執行各種行動。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig1%5B1%5D.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Google</span></span></p> <p><a href="https://blog.google/technology/ai/google-deepmind-rt2-robotics-vla-model/" target="_blank">Google DeepMind負責機器人的科學家Vincent Vanhoucke表示</a>，過去的機器人都是一個口號一個動作，想像人們想執行一件事時，必須拆解每一個動作並指使身體移動，但RT-2不僅能理解複雜的推理，還能直接輸出動作，只要輸入少量的機器人訓練資料，系統就能把蘊藏於語言與視覺訓練資料中的概念，轉成直接的機器人行動，包括未曾接受過訓練的任務。</p> <p>舉例來說，過去若想要機器人系統丟棄某個垃圾，那麼必須先明確地訓練機器人辨識垃圾，再訓練它們撿起垃圾，以及將垃圾丟棄，但被餵入大量網路資料的RT-2，已經知道什麼是垃圾，而且就算未經特別訓練也知道該如何把垃圾丟掉，例如RT-2可以辨識香蕉皮與吃光的零食袋是垃圾。</p> <p>Google DeepMind比較了RT-2與自家的RT-1、Reusable Representations for Robotic Manipulation（R3M），以及來自Meta的Manipulation of Open-World Objects（MOO）在曾訓練與不曾訓練上的任務表現，顯示RT-2與RT-1於前者的表現相當，成功率都有90%左右，而在那些機器人未曾見過的背景、物件或環境的狀態下，RT-2具備明顯的優勢，效能達62%，遠高於RT-1的32%。至於Meta的MOO在已知場景的效能則有75%，未知則略高於RT-1。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0731-RT-2-Google%20DeepMind.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></p> </div></div></div>
2023/7/31 13:59作者陳曉莉https://www.ithome.com.tw/news/158019
【資安週報】2023年7月24日到7月28日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一週漏洞消息中，有3個漏洞利用消息需要優先關注，包括：（一）行動裝置管理平臺Ivanti Endpoint Manager Mobile（原名MobileIron Core）的CVE-2023-35078零時差漏洞遭利用，已導致挪威12個政府遭入侵；（二）Apple緊急修補一個零時差漏洞CVE-2023-37450，該漏洞存在於作業系統的核心內，該公司指出已得知有攻擊者利用此漏洞；（三）Zimbra前一週被發現有零時差漏洞攻擊，如今公布Zimbra Collaboration（ZCS）的CVE-2023-37580漏洞已遭利用。其他可留意的漏洞消息，包括：首度出現無線通訊標準協定Terrestrial Trunked Radio（TETRA）的研究與漏洞揭露，還有AMD處理器漏洞Zenbleed，OpenSSH的RCE漏洞，以及WordPress外掛程式Ninja Forms漏洞的揭露。</p> <p>在威脅態勢方面，近日勒索軟體的動向引發關注，其中Mallox威脅擴大值得留意，另外我們注意到近日Clop、BlackCat勒索軟體駭客變得更為囂張的情形。</p> <p>　●勒索軟體Mallox的攻擊行動在今年上半出現大幅增加的情況，研究人員並指出其入侵管道是鎖定微軟SQL Server，並以暴力破解來獲取權限<br /> 　●Clop駭客將竊取自受害者的外洩資料，發布到可透過網際網路存取的網站，而非暗網<br /> 　●lackCat駭客為資料外洩網站加入API、Python爬蟲，這些舉動顯然是向受害組織施加更多壓力</p> <p>其他值得關注的消息與事件，以網路犯罪工具FraudGPT的出現最受關注，另一個則是惡意簡訊App攻擊，近期臺灣時常傳出這類惡意活動，日本近來也有這類事件發生：</p> <p>　●有駭客製作出FraudGPT，號稱能用AI製作釣魚郵件及打造破解工具<br /> 　●中華汽車遭遇網路攻擊事件，因產線配合系統檢修而發生局部停止生產情況<br /> 　●日本傳出惡意簡訊App攻擊，攻擊者發布簡訊假冒當地東京電力公司、東京都水道局名義，聲稱支付電費或水費出現異常並留下網址，使用者若誤信點擊，將安裝包含惡意軟體SpyNote的App<br /> 　●本月中有資安業者揭露中國駭客濫用的微軟帳號簽章的事件，後續又有研究人員警告，指出其影響可能更為範圍廣泛</p> <p>關於資安防護焦點方面，國際間對資安事件訊息的公開揭露是更為重視，美國證券交易委員會（SEC）在一年多前提案，規定上市公司要在4天內披露重大資安事件，如今這項新規定已正式通過。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/157914"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月24日】駭客假借日本水電公司名義，向當地安卓用戶散布惡意程式SpyNote</span></strong></a></h3> <p>為了方便民眾繳納規費，許多公營事業都在積極提供並推廣行動裝置App，有駭客假借這些資訊來散布手機惡意軟體，例如，<a href="https://www.ithome.com.tw/news/156783#fluhorse">5月資安業者Check Point發現名為FluHorse的安卓惡意軟體</a>，就是假借遠通電收ETC的App對臺灣民眾下手。而類似的攻擊行動，最近也在日本出現。資安業者McAfee揭露針對日本民眾的惡意軟體SpyNote，攻擊者聲稱手機用戶的電費或水費欠繳，要求依照指示下載App進行處理。</p> <p>勒索軟體Mallox的攻擊行動也相當值得留意，因為出現大幅增加的現象，駭客初期入侵受害組織的管道，就是針對微軟SQL Server而來。</p> <p>中國駭客組織Storm-0558濫用微軟帳號（MSA）金鑰挾持25個組織的電子郵件，微軟已做出緊急處置，但有資安業者發現，駭客濫用的金鑰不僅能存取雲端電子郵件服務Outlook.com，還能登入其他微軟的服務。</p> <h3><a href="https://www.ithome.com.tw/news/157937"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月25日】中華汽車發布重大訊息證實遭到網路攻擊，並著手恢復受影響系統</span></strong></a></h3> <p>國內製造業近期陸續傳出遭到攻擊的情況，有些影響到供應商，有些則攻入企業環境，例如，先前有勒索軟體駭客LockBit聲稱竊得台積電內部資料的事故（台積電否認遭到入侵），但今天傳出有其他公司遭遇網路攻擊，甚至影響正常營運。昨日中華汽車在股市公開觀測站發布重大訊息，表示遭遇資安事故，有資安專家認為很可能就是勒索軟體攻擊，且疑似關閉防火牆而讓駭客有可乘之機。</p> <p>蘋果針對行動裝置、電腦、穿戴裝置發布作業系統更新也相當值得留意，因為，其中一項零時差漏洞涉及卡巴斯基6月揭露的零點擊攻擊行動Operation Triangulation。</p> <p>廣泛受到警消單位運用的無線電，有資安業者發現其通訊協定存在一系列漏洞TETRA:Burst，並指出他們已向多個國家的相關單位，以及無線電設備製造商進行通報。</p> <h3><a href="https://www.ithome.com.tw/news/157947"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月26日】駭客利用Ivanti行動裝置管理平臺的零時差漏洞，攻擊挪威政府的資訊系統</span></strong></a></h3> <p>週一挪威政府發布公告，表示他們廣受12個機關採用的ICT平臺遭到攻擊，而駭客利用的漏洞，就是Ivanti於週日針對行動裝置管理平臺Ivanti Endpoint Manager Mobile（EPMM，原名MobileIron Core）修補的CVE-2023-35078。Ivanti聲稱沒有發現該漏洞遭到利用的跡象，但已有研究人員發現相關攻擊行動。</p> <p>Atlassian上週修補的漏洞也相當值得留意，該公司針對企業協同開發軟體Confluence、持續整合與持續部署（CI/CD）系統Bamboo，修補了可被用於遠端執行任意程式碼（RCE）的高風險漏洞。</p> <p>VMware針對容器管理平臺Tanzu修補的資訊洩露漏洞，也值得IT人員留意，因為，攻擊者很可能用來推送帶有惡意功能的應用程式。</p> <h3><a href="https://www.ithome.com.tw/news/157972"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月27日】有人在暗網論壇兜售AI網路犯罪工具FraudGPT，號稱不到一週已有3千買家下單</span></strong></a></h3> <p>先前駭客嘗試將當紅的大型語言機器學習模型（LLM）ChatGPT用於網路犯罪，但後來開始有人製作專門用於攻擊的LLM，例如<a href="https://www.ithome.com.tw/news/157828#wormgpt">研究人員於7月中旬揭露的WormGPT</a>，而最近又有新的AI工具FraudGPT出現，值得留意的是，駭客標榜此工具不光能產生釣魚郵件的內容，還能製作多種類型作案工具，運用在不同型態的網路攻擊。</p> <p>隨著企業對於資安防護意識與認知的提升，越來越多受害組織不願付錢了事，對此，駭客也祭出過往未曾出現的施壓手法。例如，勒索軟體BlackCat（Alphv）就打算提供網站的API、爬蟲工具，促使有意購買資料的買家更輕鬆找到所需的檔案，並以此對受害組織施加更大壓力，迫使他們支付贖金。</p> <p>勒索軟體的威脅「不講武德」，再度出現同時針對相同目標下手的狀況！山葉音樂（Yamaha Music）加拿大分公司遭到網路攻擊，研究人員發現有兩組駭客Black Byte、Akira聲稱對其發動攻擊，先前也有類似的案例──<a href="https://www.ithome.com.tw/news/157880#esteelauder">勒索軟體駭客BlackCat、Clop皆表明對化妝品業者雅詩蘭黛下手</a>。</p> <h3><a href="https://www.ithome.com.tw/news/157996"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月28日】惡意軟體Nitrogen被用於勒索軟體攻擊，並透過Google、Bing廣告散布</span></strong></a></h3> <p>先前有<a href="https://www.trendmicro.com/en_us/research/23/f/malvertising-used-as-entry-vector-for-blackcat-actors-also-lever.html">資安業者趨勢科技揭露勒索軟體BlackCat（Alphv）的攻擊行動</a>，駭客假借提供WinSCP等知名應用程式的名義，透過惡意廣告引誘受害者上當。現在資安業者Sophos有新的發現，攻擊者用來入侵受害電腦的惡意軟體，是另一家<a href="https://www.esentire.com/blog/persistent-connection-established-nitrogen-campaign-leverages-dll-side-loading-technique-for-c2-communication">資安業者eSentire於1個月前發現的惡意程式Nitrogen</a>，並指出駭客的目標是北美的科技產業及非營利組織。</p> <p>網頁伺服器Tomcat遭到駭客鎖定的現象，也值得IT人員留意。資安業者Aqua Security揭露長達2年的攻擊行動，並指出駭客運用多達12種Web Shell來作案，但大部分的攻擊行動都是在網頁伺服器植入殭屍網路Mirai。</p> </div></div></div>
2023/7/31 10:08作者羅正漢https://www.ithome.com.tw/news/158011
蘋果新API政策要求使用Fingerprint技術的App需說明理由
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://developer.apple.com/documentation/bundleresources/privacy_manifest_files/describing_use_of_required_reason_api" target="_blank">蘋果上周頒布App Store新管理政策</a>，將限制App濫用追蹤用戶裝置資訊的API，以確保用戶隱私。</p> <p>這是繼蘋果2021年的App追蹤透明度（App Tracking Transparency，ATT）後，最新增加的管理政策。<a href="https://www.ithome.com.tw/news/144059" target="_blank">ATT要求</a>App必須在用戶安裝時，以明顯方式告知用戶會蒐集用戶資訊，並提供一個按鍵，賦予用戶同意或拒絕的權力。</p> <p>一些App開發商為繞過限制，改利用API來讀取裝置資訊藉此追蹤用戶活動。這也是蘋果最新政策欲防堵的對象。</p> <p>蘋果指出，有部分API可被用於蒐集用戶裝置資訊以跟蹤用戶行蹤，此類行為稱為fingerprinting，為蘋果開發者計畫授權協議所禁止。<a href="https://developer.apple.com/documentation/bundleresources/privacy_manifest_files/describing_use_of_required_reason_api" target="_blank">蘋果列出的API包括可讀取以下4類裝置資訊</a>：檔案時戳、系統開機時間、磁碟空間、活動中的鍵盤、使用者預設設定等。</p> <p>為防止這些API被誤用，蘋果於今年WWDC宣布，開發商如果App想使用這些API，必須在App隱私清單中宣告理由，以確保只在預定用途中使用這些API。在最新政策下，開發商必須在清單中選擇1個或多個使用API的理由，且該App也只能在其提供的理由下使用API。</p> <p>政策實施後，今年秋天起，當開發商準備上傳使用API（包括經由第三方SDK使用）的App、或App更新到App Store Connect時，若開發商隱私宣告（privacy manifest）未說明已經許可的理由，就會接獲需補充理由的通知。從2024年春天起，未提供經許可理由的App，就會被拒絕上傳。</p> <p>而如果開發商的理由未出現在App Store列出的清單中，<a href="https://developer.apple.com/contact/request/privacy-manifest-reason/" target="_blank">蘋果呼籲開發商填寫線上表單</a>，以要求核准新理由。</p> </div></div></div>
2023/7/31 12:31作者林妍溱https://www.ithome.com.tw/news/158017
GCP整合Tecton平臺強化機器學習特徵管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/topics/partners/announcing-tecton-on-google-cloud">Google雲端加入一個稱為Tecton的功能平臺</a>，可自動執行生產環境中，建置和管理機器學習特徵的步驟，Tecton是一個全託管特徵建置和調度服務，可完整管理機器學習特徵生命周期，降低組織建構、管理和共享機器學習特徵的障礙，並提高模型效能和可靠性，控制機器學習應用程式的開發和維護成本。</p> <p>目前不少企業開始將機器學習功能整合進應用程式中，但是機器學習模型需要高品質的資料，經過轉換建立機器學習特徵，才能做出精準預測，而Google提到，建置和管理生產環境機器學習特徵資料工作管線並不容易，這些工作管線的資料來自批次處理或是串流傳輸等不同來源，在將這些資料轉換成為機器學習特徵之後，才能用於訓練和服務上。</p> <p>而Tecton的目標是要能自動處理機器學習特徵的建置、處理、共享和供給工作，資料團隊可以使用Tecton的宣告式框架，將特徵定義為程式碼，在底層會由Tecton調度轉換與實現機器學習特徵所需要的實際工作管線。透過Google Cloud Build這類CI/CD工具，開發者可以將Tecton特徵當作程式碼進行管理，集中管理程式碼方便共享和協作，就像是管理基礎設施即程式碼，或是模型即程式碼一樣。</p> <p>Tecton可自動連接和維護Google雲端批次處理和串流服務的新資料，同時Tecton也支援來自包括Redshift、Snowflake和Apache Kafka等非GCP的資料。Tecton在Google雲端上，會使用Databricks或Dataproc分散式運算平臺聚合和轉換資料，將傳入的資料轉換成為特徵，放到線上與離線特徵商店中。資料特徵存放在Tecton低延遲線上儲存，服務即時供給需求，同時也會存放在離線儲存，以用於產生訓練資料集和離線推理用途。</p> </div></div></div>
2023/7/31 12:39作者李建興https://www.ithome.com.tw/news/158016
美澳政府警告影響微軟Teams的IDOR竊密漏洞可能被大量濫用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-208a" target="_blank">美國與澳州資訊安全主管機關上周警告</a>，影響微軟Teams等Web應用的不安全直接物件參照（insecure direct object reference，IDOR）漏洞可能遭大量濫用，繞過用戶端安全控制，使外部租戶可傳送惡意檔案給企業員工。</p> <p>美國網路安全暨基礎架構管理署（CISA）、國安局（CSA）及澳洲國防情報局的澳洲網路安全中心（ACSC）上周四發布聯合網路安全諮詢，對此類漏洞發出警告，呼籲用戶、開發人員及廠商留意。</p> <p>IDOR漏洞是一種存取控制的漏洞，可讓攻擊者對網站或Web應用API發送由其控制的參數（包括ID號碼、名稱或金鑰等）的呼叫，使其可直接存取Web應用某些物件（如檔案或個人資訊），在Web應用未能執行充分驗證及授權檢查時會發生這種存取權漏洞。</p> <p>美、澳政府是在6月底<a href="https://labs.jumpsec.com/advisory-idor-in-microsoft-teams-allows-for-external-tenants-to-introduce-malware/" target="_blank">英國安全廠商Jumpsec揭露Microsoft Teams發生IDOR漏洞</a>，可能讓惡意程式利用Teams預設配置，被植入企業網路。研究人員指出，每個企業組織在Teams擁有自己的租戶，但一個微軟帳號也能與外部租戶連繫。這使得特定租戶也能傳送檔案或訊息到其他租戶的用戶。研究人員發現，使用傳統的IDOR漏洞濫用方法，在外部租戶傳送的訊息中包含POST呼叫，並將內部與外部租戶的收信人ID互換，即能引導內部用戶連到指定的網域下載惡意檔案。</p> <p>而<a href="https://www.ithome.com.tw/news/157657" target="_blank">在7月初美國海軍研究人員也發布名為TeamsPhisher的工具</a>，利用Teams的IDOR漏洞，從外部傳送附件給一個組織的整個Teams群組。</p> <p>Teams並非存在IDOR漏洞的產品。<a href="https://therecord.media/cisa-australia-warn-of-idor-vulnerabilities" target="_blank">The Records報導</a>，WordPress、AT&T、或是電源管理業者伊頓（Eaton）也出現過這類瑕疵。<a href="https://support.microsoft.com/en-us/topic/update-for-idor-vulnerability-in-system-center-operations-manager-kb5006871-0e3a513a-ad80-4830-8984-2fc5a40ee7f7" target="_blank">微軟也修補過影響System Center Operations Manager的IDOR問題</a>。</p> <p>CISA及ACSC指出，依IDOR種類，外部攻擊者可讀取、修改、存取企業網路的檔案、資訊等物件或是存取某些功能。外部攻擊者可濫用以下技巧，像是修改POST呼叫訊息本體中的HTML表格欄位，修改連向目標紀錄的URL、修改傳給對方的cookie ID、或使用Web代理服器攔截或修改HTTP/JSON物件呼叫。</p> <p>CISA指出，這類漏洞攻擊難以防範，一來是因為Teams的使用情境眾多，無法以單一函式庫或安全功能解決，二來是攻擊者可能大規模使用自動化工具。這些特性可能引發小至個人資料外洩，大到大規模資料被竊。</p> <p>針對企業開發人員，或開發商，CISA及ACSC建議採用安全開發原則，包括檢查和測試程式碼、實施驗證及授權檢查、啟用CAPTCHA等技巧。針對用戶，美澳政府則建議慎用Web應用程式、定期安裝修補程式、啟用log以警示傳送的訊息曾遭到變更。</p> <p>JumpSec則建議企業管理員，如果平常沒用Teams和公司外部成員聯繫，也可以考慮關閉。方法是從「管理員中心」點入「外部存取」將之關閉。</p> </div></div></div>
2023/7/31 12:10作者林妍溱https://www.ithome.com.tw/news/158015
歐盟將調查微軟Office、Teams綑綁行為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_23_3991" target="_blank">歐盟上周宣布</a>將調查微軟綑綁Office 365與Teams的行為是否涉及市場壟斷，危害協同軟體產業競爭。</p> <p>歐盟指出，新冠疫情爆發促成遠端作業及企業加速轉向雲端，及擁抱雲端通訊與協同軟體，也造就提供用戶不同廠商的多種軟體的新興商業模式，以及新型雲端業者。這類軟體多半採用訂閱付費制，包括視訊會議及線上協同軟體。</p> <p>但微軟卻將它的Teams整合在其獨大的Office 365及Microsoft 365生產力應用。歐盟執委會擔心微軟可能限制通訊協同產品競爭，以鞏固其生產力軟體的市場地位。</p> <p>執委會懷疑微軟在客戶訂閱Office時，不給他們訂閱其他通訊協同軟體的選擇權利，或是限制這些軟體和Office套件的相容性，藉此獨厚Teams。歐盟認為，這些作法可能涉及限制競爭的綑綁行為，削弱其他通訊與協同工具供應商的競爭力，而損害歐洲經濟區客戶的權益。</p> <p>歐盟是在Salesforce旗下<a href="https://www.ithome.com.tw/news/138979" target="_blank">Slack於2020年7月控告</a>下，著手調查。後者稱微軟將Teams整合到Office中，迫使數百萬Office用戶安裝、阻撓他們移除，微軟還對企業用戶隱藏真正的成本。</p> <p>對此，微軟表示尊重歐盟的作業，也正視自己的責任，該公司將持續與歐盟合作，並將致力於解決歐盟的疑慮。</p> <p>今年3月<a href="https://arstechnica.com/tech-policy/2023/07/microsoft-teams-office-bundle-leads-to-official-eu-antitrust-probe/" target="_blank">《金融時報》</a>引述消息人士報導，為了解決歐盟的產品搭售疑慮，微軟正在改寫產品，使客戶能依其意願買到內建與不含Teams的Office產品，不過詳細運作方式不得而知。</p> <p>不過歐盟發言人周四也說，在通知微軟後還沒接到該公司提出什麼回應，討論解決方案為時過早。</p> </div></div></div>
2023/7/31 09:54作者林妍溱https://www.ithome.com.tw/news/158010