iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 5篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 15:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Check Point以4.9億美元買下資安新創Perimeter 81
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://siliconangle.com/2023/08/10/check-point-software-buys-secure-networking-startup-perimeter-81-490m/" target="_blank">網路安全解決方案供應商Check Point Software周四（8/10）宣布</a>，已與新創資安業者Perimeter 81簽署併購協議，將以4.9億美元買下Perimeter 81，雙方預計於今年第三季完成交易。當天Check Point的股價上漲了2.9%，以130.04美元作收。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0811-Check%20Point%20buys%20Perimeter%2081-3.png" style="width: 400px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Perimeter 81</span></span></p> <p>Check Point成立於1993年，為美國及以色列的跨國資安供應商，在兩地都設有總部，主要提供網路安全、端點安全、雲端安全、行動安全、資料安全與安全管理等軟、硬體解決方案，為美國那斯達克的上市公司，全球約有6,000名員工。至於Perimeter 81則創立於2018年，目前有超過200名員工，專注於開發零信任網路存取（Zero Trust Network Access，ZTNA）及安全存取服務邊緣（Secure Access Service Edge，SASE）解決方案。</p> <p>Check Point表示，混合工作型態已成為全球組織的標準，數位轉型亦不斷將資料轉移至雲端，這樣的改變需要採用先進的網路安全手法，才能無縫適應現代分散式企業的需求，而Gartner即曾預估SASE的市場規模到2026年，將達到200億美元。</p> <p>而Check Point相中Perimeter 81的原因，即是該公司的服務得以讓分散在各地的員工能夠安全存取組織網路與應用，而且相較於傳統需要耗費幾周的部署模式，Perimeter 81只需要一小時的部署時間。</p> <p>未來Check Point打算將Perimeter 81的能力整合到旗下的Infinity架構中，以提供橫跨網路、雲端及遠端使用者的統一安全解決方案。</p> <p>Perimeter 81在去年6月對外融資1億美元時，其估值已達10億美元。</p> </div></div></div>
2023/8/11 15:17作者陳曉莉https://www.ithome.com.tw/news/158221
甲骨文、SUSE與CIQ共組Open Enterprise Linux協會，提供相容於RHEL的企業版Linux原始碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在<a href="https://www.ithome.com.tw/news/157514" target="_blank">紅帽（Red Hat）宣布</a>不再對外公開Red Hat Enterprise Linux（RHEL）原始碼之後，同屬Linux領域的甲骨文、SUSE及CIQ於本周四（8/10）<a href="https://www.suse.com/news/OpenELA-for-a-Collaborative-and-Open-Future/" target="_blank">成立了Open Enterprise Linux Association（OpenELA）</a>，將藉由提供開放且免費的Enterprise Linux（EL）原始碼，來鼓勵外界開發相容於RHEL的Linux版本。</p> <p>紅帽是在今年6月決定不再公開提供RHEL原始碼，僅開放外界存取屬於RHEL測試版的CentOS Stream原始碼，未來的RHEL原始碼將藉由Red Hat Customer Portal，直接供應給紅帽客戶與合作夥伴。</p> <p>此舉惹來Linux社群的憤怒及反彈，質疑紅帽的行為違反了包括GPL在內的各種開源授權。<a href="https://www.redhat.com/en/blog/red-hats-commitment-open-source-response-gitcentosorg-changes" target="_blank">負責紅帽核心平臺工程的副總裁Mike McGrath曾出面解釋</a>，紅帽花了許多時間與精力在開發與維護RHEL，而且會把相關的成果提交給Fedora、CentOS Stream或Linux Kernel等上游專案，未來也會如此，遵守了紅帽產品所使用的各種開源授權。</p> <p>McGrath也提出有許多表達憤怒的人士是來自下游業者，它們不花太多力氣就直接利用RHEL原始碼來重建自己的版本，而紅帽並沒有義務讓這些重建者的工作更為輕鬆。此外，McGrath更指責，只是簡單地重建程式碼，卻未增加其價值或以任何方式改變它，是對開源的真正威脅，有可能讓開源重新成為業餘愛好者與駭客的活動。</p> <p>不過，開源社群顯然有不同的看法。OpenELA的主要功能為提供Enterprise Linux發行版的一致性與安全的上游，以讓任何人都能建立及推出基於該來源的下游版本。</p> <p>此外，<a href="https://openela.org/about/" target="_blank">OpenELA還在官網上開宗明義地寫著</a>，開源與社群是OpenELA的DNA，將以開源社群及所有下游衍生版本的最大利益為出發點，鼓勵更廣泛的社群參與，也歡迎所有的貢獻者及「貪小便宜」者。</p> <p>OpenELA的任務包括提供各種來源與工具，以及開源的EL版本，以供開發者得以建立及維護幾乎一樣的EL下游版本，也鼓勵上游社群作出額外的貢獻。</p> <p>OpenELA計畫今年就會提供讓下游版本相容於RHEL的必要資源，初期將鎖定RHEL的EL 8與EL 9，也可能包括EL 7。目前並不確定OpenELA所提供的原始碼是否會與RHEL完全相同，新聞稿中所指的EL也許是為了避免違反紅帽商標而採用的文字。</p> </div></div></div>
2023/8/11 15:01作者陳曉莉https://www.ithome.com.tw/news/158220
國內產業開始推動PQC遷徙，池安成立量子安全遷移中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>量子破密的威脅持續進逼，後量子密碼學（PQC）標準的發展與推行備受關注，<a href="https://www.ithome.com.tw/tech/151925">去年7月，美國國家標準暨技術研究院（NIST）已公布首批入選的4款演算法</a>，預定標準將在2024年出爐。後續我們也看到<a href="https://www.ithome.com.tw/tech/150922">美國政府已經下令，要求各政府機構使用的密碼系統，未來需遷移到可對抗量子電腦威脅的密碼學系統</a>。</p> <p>現階段已有少數國際企業持續為PQC遷移做準備，也就是要將現今普遍的公鑰基礎架構升級，將現行的RSA或ECC密碼標準，更換成可抗量子破密的PQC密碼標準。</p> <p>對於臺灣而言，學界有不少人參與PQC標準化的競賽，但僅有少數本土廠商發表這方面的產品，像是匯智安全科技打造支援後量子密碼標準的HSM商用平臺，國內企業與組織更是稀少，尚未聽聞有公司、公部門提出計畫，宣布要將使用設備的密碼系統遷移至PQC。</p> <p>今年可能會有較明顯的進展，有新創公司想要推廣這方面的應用。原名池安科技、3月更名的池安量子資安，在8月1日宣布成立「量子安全遷移中心」，希望結合國內學界之力，發展量子安全生態圈，同時他們也在啟動儀式上，邀集中研院、工研院與學界專家共同參與，並與資策會共同簽訂了一份合作協議書，促進雙方在量子安全領域上的合作。</p> <h2><strong>PQC遷移影響廣泛，及早建立學界與業界合作平臺迎商機</strong></h2> <p>對於PQC的推動態勢，池安量子資安董事長暨量子安全遷移中心執行長池明洋表示，近期美國白宮宣布全美進入量子安全遷移時代，要求所有供應鏈要在2025年完成量子安全遷移規畫，加上今年國際密碼學會議在臺舉行，PQC標準議題備受關注，在此局勢之下，他提出三個重要的觀察：一、量子安全有急迫性；二，所有論文發表都是國際合作、團隊作戰；三、將研究成果帶進產業看似相當困難。他們之所以成立量子安全遷移中心，就是希望加速量子安全可快速普及到產業間，甚至帶領臺灣團隊合作到東南亞、北美等地拓展更大商機。</p> <p>在這場啟動儀式上，有多位國內專家現身說明PQC遷移的影響，因為我們日常使用的許多系統，都是利用公開金鑰密碼（非對稱式密碼），如ECDSA、RSA等進行密鑰交換與數位簽章認證，這些演算法未來將受量子破密影響，必須轉移升級到PQC密碼學的版本。</p> <p>例如，中研院資訊所研究員楊柏因是臺灣後量子密碼學的專家，他舉出最簡單的例子，一般網頁、電子郵件經常使用的TLS傳輸加密技術，以及Android系統的全硬碟加密等，就是使用公開金鑰密碼，需轉換為使用PQC後量子密碼學演算法。</p> <p>關於有哪些系統受影響？工研院資訊與通訊研究所副所長黃維中表示，包括：數位錢包、電子公文簽署，以及可抗網路釣魚的FIDO技術，其背後也都使用公開金鑰密碼，因此同樣受影響，甚至未來關鍵技術的零知識證明、同態加密技術，更是特別需要PQC。</p> <p>對於金融產業而言，也要積極因應。政治大學資訊科學系特聘教授左瑞麟指出，以財金公司與各銀行之間透過對稱式密碼（如AES）進行機密通訊為例，儘管對稱式密碼在未來量子電腦時代，還是可以使用，只是金鑰長度必須更長才會安全。</p> <p>而且，在金鑰產生之外，還要關注金鑰的產品與管理如何抵抗量子電腦攻擊，以及其他延伸議題，包括後量子憑證、金鑰儲存的HSM硬體加密器等，都要有升級到PQC的版本。</p> <p>再者，區塊鏈技術背後其數位簽章也是採用ECDSA，還有比特幣、以太幣等去中心化數位貨幣，以及央行數位貨幣的研發，都會受到影響。</p> <p>綜觀上述面向，迎接量子電腦時代來臨的同時，對於伴隨而來的量子破密威脅，我們必須體認有相當廣泛的系統需要進行PQC遷移。</p> <p>池明洋表示，他們的目標將朝向綜合性的平臺，為組織與企業，提供一站式的量子安全遷移服務，有如針對PQC遷移的SI業者。例如，將協助產業盤點現有所有使用的密碼系統，提供一連串的計畫，讓不同產業可以得到專家團隊的建議，也可以知道市面上有哪些產品，協助企業做到量子安全。</p> <p>同時，他們也將聚焦建立專業人才庫與社群，以及形式驗證與實作方式，還有抗量子晶片研發，期許打造量子安全生態圈。他並透露，目前該中心設於池安量子資安之下，預計年底將會法人化。</p> <p>對於量子安全遷移中心的發展，他們的副執行長呂佳諺也特別強調，拓展國際市場將會是中心的另一大重點。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230801_023359402.jpg" style="width: 600px;" /></p> <p>在數位發展部數位產業署副署長林俊秀的見證之下，量子安全遷移中心與資策會簽定合作協議書（MOU），促進雙方在量子安全領域上的合作。目前，量子安全遷移中心已經與中山大學、政治大學等學術機構合作，成立工作小組，並希望透過中心這樣的平臺，讓這方面領域專家學者將對量子安全、後量子密碼的多年的經驗傳遞出去，包括實作、產學合作、人才教育、國際學術影響力等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230801_024316751.jpg" style="width: 600px;" /></p> <p>在這場啟動儀式上，身為量子安全遷移中心金融產業應用工作小組顧問，也是政治大學資訊科學系特聘教授、資安科技研究中心專案計畫主持人的左瑞麟表示，今年政大新成立資安科技研究中心，對於金融產業量子安全發展已有4大規畫，包括量子安全金融FIDO、量字安全金鑰管理與通訊安全、量子安全區塊鏈應用，以及量子安全數位貨幣。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230801_030100653.jpg" style="width: 600px;" /></p> <p>對於抗量子遷移，工研院資訊與通訊研究所副所長黃維中也展示了一張投影片，當中說明了抗量子運算技術與應用的發展，可從標準面、技術面與應用程式面來看待整個生態的應用發展。</p> <p> </p> </div></div></div>
2023/8/11 12:27作者羅正漢https://www.ithome.com.tw/news/158213
Google公布AI多平臺程式開發平臺Project IDX
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了提升對開發人員的吸引力，在多項雲端開發工具後，<a href="https://developers.googleblog.com/2023/08/introducing-project-idx-experiment-to-improve-full-stack-multiplatform-app-development.html" target="_blank">Google本周再宣布</a>，可開發多平臺App的實驗性雲端整合開發環境計畫Project IDX，整合了Codey基礎模型及其他AI功能，讓開發人員打開瀏覽器就能開發程式。</p> <p>Google這幾年已陸續推出了數個多平臺App開發平臺產品，包括Angular、Flutter、雲端Google Colab、Firebase，但他們認為有必要使整個多平臺App開發流程更順暢、更快，<a href="https://idx.dev/" target="_blank">而在幾個月前啟動Project IDX實驗</a>。</p> <p>Project IDX是在Google Cloud上打造的Web開發服務，以瀏覽器就能使用，整合了Codey基礎AI模型，後者以程式碼及PaLM 2訓練而成。Project IDX目的是簡化開發、管理及部署完整堆疊的Web與多平臺應用程式，且具備熱門框架及支援多種語言，也提供AI輔助開發與預覽、發布工具。Google說，Project IDX也可以<a href="https://github.com/microsoft/vscode" target="_blank">微軟Code OSS</a>為開發底層，因此習於微軟工具的開發人員應該都能嫻熟上手。</p> <p>這新服務可望讓Google有更強實力，和Amazon CodeWhisperer或 GitHub Copilot競爭。</p> <p>Google今天公布Project IDX初期開發成果，<a href="https://idx.dev/" target="_blank">希望吸引開發人員加入</a>並提供回饋意見。為了使Project IDX打開瀏覽器就能存取使用，每個Project IDX工作空間都具有Linux VM的完整功能，可代管在雲端或其他資料中心。Project IDX允許用戶從GitHub匯入現有專案，或是新開專案，它預建熱門框架（如Angular、Flutter、Next.js、React、Svelte、Vue）範本，支援JavaScript、Dart，之後還會支援Python、Go等等程式語言。Google表示正在加緊籌備以支援更多專案類型和框架，也歡迎用戶提供意見。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0811-Google-Project%20IDX(1).png" style="width: 600px;" /></p> <p>Google強調Project IDX整合其多項AI技術，除了前述的Codey基礎模型，也包含AI程式撰寫輔助工具，包括可補全程式碼、AI聊天機器人Studio Bot，以及情境化的程式指令，像是「加入註解」、「解釋這段程式」。Google說，目前Project IDX的AI功能還很簡單，團隊正在加緊強化。</p> <p>Project IDX也內建Web預覽工具，供預覽開發完成的App，不久後也將有完整的Android仿真器（emulator）及嵌入式iOS模擬器（simulator），全部都能直接在瀏覽器環境下開啟。最後，為簡化App部署麻煩，Project IDX整合了Firebase Hosting代管平臺，使開發人員可快速部署到生產環境並和他人共享預覽Web App。由於Firebase Hosting支援Google Cloud Functions提供的動態後臺管理功能，相當適合全堆疊的框架，如Next.js。</p> </div></div></div>
2023/8/11 12:48作者林妍溱https://www.ithome.com.tw/news/158215
VS Code開發者也可用到Visual Studio新的CMake除錯器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於新的CMake版本合併了微軟的<a href="https://devblogs.microsoft.com/cppblog/introducing-cmake-debugger-in-vs-code-debug-your-cmake-scripts-using-open-source-cmake-debugger/">CMake除錯器（CMake Debugger）</a>實作，因此原本在Visual Studio才用得到的CMake除錯器，現在VS Code開發者也可以使用。開發者只要在VS Code安裝CMake擴充套件，便可以使用CMake除錯器對CMakeLists.txt腳本進行除錯，自訂專案建置方法。</p> <p>微軟在2月的時候，與維護CMake的公司Kitware合作，將微軟的CMake除錯器實作合併到CMake專案上游，使得除錯器可被更廣泛地使用。而現在這個CMake除錯器實作已經在CMake 3.27版本中提供，並將會隨附在Visual Studio 17.8之後的版本中。</p> <p>CMake除錯器提供類似普通除錯器的功能，只是除錯對象是CMakeLists.txt檔案。對CMakeLists.txt檔案進行除錯，可以確保CMake正確解析和生成建置系統，並使專案正確地被編譯和連結。</p> <p>透過使用CMake除錯器，開發者可以在CMakeLists.txt檔案中，依據檔案名稱、行號，或是在CMake發出錯誤或是警告觸發時設置中斷點，其操作方法如同一般程式碼檔案除錯，點擊行號左側空白處，或是使用中斷點和例外設定進行配置，開發者也可以單步執行、跳過或是退出中斷點。開發者可以透過CMake除錯器的呼叫堆疊，查看和除錯過程相關連的檔案名稱和程式碼，同時也可以決定除錯器自動中斷的錯誤和警告。</p> <p>微軟提到，由於該除錯器使用廣受支援的除錯配接協定（Debug Adapter Protocol，DAP），因此與許多開發環境相容。DAP是一個開放協定，用於IDE和除錯器之間的通訊，採用DAP也就代表，只要對特定IDE開發除錯器擴充套件，就可以在多種IDE中重用。</p> </div></div></div>
2023/8/11 13:22作者李建興https://www.ithome.com.tw/news/158214
港務公司善用IT整併強化營運，更要靠數據力推動港口智慧化
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三年前疫情，不僅加速了宅經濟的發展，也迫使航運業加速轉型，臺灣港務公司（以下稱港務公司）負責經營和管理在臺灣重要港口進出口的航運，橫跨北至南共七個國際商港。港務公司早在5年前開始運用資訊化科技，積極推動商港轉型，不只讓它成功渡過了疫情考驗，還將運用大數據優化港口營運，來因應後疫新常態、不確定經濟局勢及海運市場變動，甚至2030年要將各商港轉型成為智慧港口。</p> <p>臺灣港務公司未來要能夠加速轉型成智慧港口的關鍵，正是靠IT。</p> <p>身為海島國家，港口是臺灣對外重要的航運樞紐，單是高雄、基隆、臺中、花蓮共四大商港每年有超過6萬艘大型船舶進出港口，上千萬個貨櫃出入，每年入出境人口數更超過10萬人次。無論是船舶的進港、靠泊、貨櫃的裝卸，還是出港的作業，都是靠一套港棧資訊系統來運作。</p> <p>臺灣港務公司資訊處資深處長張登訓表示，過去各港口的營運主要依賴港棧資訊系統，提供船、貨與旅客相關的港灣、棧埠、倉儲及旅運作業所需的資訊服務，但是，不同商港各自採用了不同款的港棧系統。</p> <p><span style="font-size:28px;"><strong>港務局公司化後，IT優先目標是整併各港核心系統</strong></span></p> <p>到了2012年時，由於港政分離政策而成立臺灣港務公司，原本的四個港務局改制為港務分公司。公司成立初期，管理高層就毅然決定展開港棧系統的整併，將各港務分公司的港棧系統合併為一套統一的系統，整合到總公司統一管理，再提供各分公司使用，不再使用各自獨立的系統。</p> <p>張登訓表示，整合的好處是，一方面能夠確保航運作業一致性，讓所有作業流程和費用計算，都能採用統一標準來處理，不再存有差異，同時能夠更快取得各港口的營運資訊，讓總公司管理者可以根據這些數據下達決策。</p> <p>但要用一套統一系統提供全商港的航運資訊服務並不容易，尤其，不同商港特點和作業量差異很大。舉例來說，高雄港是最大港，船舶進出最多，運作規模和需求複雜度遠超過其他港口，而臺中港在棧埠作業應用範圍較廣且複雜，需要更高控管程度。相比之下，花蓮港進出的船舶數量較少，所以不需要像高雄港那樣複雜的系統。</p> <p>為了解決這個問題，港務公司資訊團隊採用模組化方式來開發系統的功能，藉此來解決不同商港需求差異的問題。張登訓強調，這種設計方式的好處在於，相同功能可以共用同一個模組，同時又能根據各自商港的特定需求來增加需要的模組，從而提供客製化功能。「核心原則就是透過同中求異、異中求同，達成系統整合的目標」他說。</p> <p>港務公司從2013年開始規畫整併和導入新港棧系統，採取分階段上線的方式。基隆分公司的臺北、蘇澳、花蓮與基隆港是首批上線的港口，接著是臺中港導入，最後則是高雄港，直到2020年才全部上線完成。</p> <p>不只整合港棧資訊系統，港務公司資訊團隊在新公司成立後，逐步將分公司各港資訊系統整合集中到總公司，包括自動化門哨系統、影像監控系統、公文系統及人事系統等，同時還導入ERP等新系統，來提升營運管理的效率。</p> <p><span style="font-size:28px;"><strong>結合IoT強化港口海陸面的智慧化應用</strong></span></p> <p>整合內部系統的過程中，港務公司開始擴大運用IT推動港口服務智慧化和自動化發展，並以「Trans-SMART」為主軸，展開港口的轉型與升級計畫。資訊團隊從2018年開始推動這項轉型計畫，接著在2020年陸續完成示範港口的應用建置，包含海側、陸側相關系統。</p> <p>以港區海側系統為例，港務公司後來在高雄港建置了船舶操航智慧警示輔助系統，來改善過去貨船靠泊港口時容易發生碰撞事件的情形，透過這套系統，能夠追蹤所有進港船舶的航行軌跡，一旦偵測到船速過快時，系統就會立即示警，由塔臺人員採取必要的措施，例如通知船方採取避碰措施，降低事故發生的機率。</p> <p>結合IoT技術打造一套物聯網海氣象即時系統，是港務公司另一個重要海側應用例子。資訊團隊部署多個IoT感測器，來蒐集海氣象監測資料，包括風力、波浪、海流、潮位等，以此追蹤海況變化，讓港口在面對不同的海氣象變化時能夠更快速應變，如調整港口運作和船舶進出安排。</p> <p>不僅如此，港務公司在港口管理方面導入不少智慧化應用，智慧監控管理系統是其中之一，這也是港務公司在陸側系統方面建置一大應用。</p> <p>在過去，各商港的安全管理，除了依賴港務警察及港區現場人員的定期巡查，對於港口的關鍵區域通常會設置CCTV監控攝影機，以便將所拍攝的影像傳送至各港區的監控中心，以進行持續的監控管理。</p> <p><span style="font-size:28px;"><strong>用上千支CCTV加強全港監控，還結合AI影像辨識提前預警</strong></span></p> <p>為了提高監控效率，港務公司後來導入智慧監控管理系統，可以將全港區的CCTV影像整合到監控中心的大型電視牆上，中心人員從電視牆就能迅速掌握港口現場情況，而且還能即時調閱監視器畫面，查看更詳細的資訊。不僅如此，該系統還可結合電子地圖呈現，方便管理者更好地掌握港區狀況，從而提高應變指揮和管理效率。</p> <p>這套系統不僅整合了CCTV影像，還具有AI影像辨識功能，可以偵測異常事件並提供預警。例如人員進入禁釣區或落海、車輛誤闖管制區或違規停留等違規或危險行為都是屬於異常事件，系統會自動告警，通知負責人員到場處理，防止事態擴大。</p> <p>此外，該系統還能透過人流統計來判斷是否有群聚事件發生，並及早介入。並支援跨平臺訊息通報，包含簡訊、傳真、Line通訊群組等。</p> <p>為了更快速地回應異常情況，資訊團隊還透過一臺閘道器在本地端完成即時影像分類與辨識，而不需要將影像資料回傳到資訊機房，讓異常事件的處理和反應更加即時。</p> <p>張登訓表示，目前已經在港口部署約2,700支CCTV，其中15支具備AI影像辨識功能。</p> <p>不只是進出港口船舶和貨物管理，車輛及人員入出境的管制同樣重要。尤其近半年來，所有商港每月平均進出總人數將近400萬人次，等於一天就有超過10萬人進出，管理這麼龐大的人流，成了資訊部門的另一項IT挑戰。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%87%BA%E7%81%A3%E6%B8%AF%E5%8B%99%E5%85%AC%E5%8F%B8CIO-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span><br /> <span style="color:#3399ff;"><span style="font-size:24px;"><strong>臺灣港務公司資訊處資深處長張登訓表示，港務公司未來將朝向智慧港口來轉型，其中數據應用是驅動港口智慧化發展重要關鍵。</strong></span></span></p> <p><span style="font-size:28px;"><strong>導入智慧車流系統，優化港區交通運輸網絡</strong></span></p> <p>為了應對龐大人流的挑戰，港務公司早在多年前就導入自動化門哨系統，在港區各查驗站設置自動化車道，結合車牌辨識，提供人、車、貨櫃進出商港管制區及自由貿易港區全天不中斷的自動通關查驗服務。</p> <p>在疫情期間，資訊團隊建置了E化車道，全面採用無接觸方式記錄人車進出港區的時間和身分，成了港務公司IT抗疫的重要實例之一。有別於傳統的人工車道管制，在這個E化車道中整合了不同感應設備，例如透過RFID讀取器可感應RFID通行證或eTag，或是利用OCR辨識器辨識車牌及櫃號，針對非持有RFID通行證的人員現場也能操作無人KIOSK機來完成身分確認。這麼做的目的，在於確保所有進出港區的人員和車輛都留下記錄，可供日後追溯。</p> <p>不僅如此，港務公司在2022年以高雄港為示範場域導入智慧車流系統，優化港區交通運輸網絡。這套系統中使用GIS製作的港區地圖，整合各式路況資訊，方便進出港區的載貨車輛或相關人員查看港區內相關交通、車行動態或港區作業狀況。</p> <p>甚至還結合AI提供車流量的預測，讓使用者可以提前規畫路線，避開擁擠路段和尖峰車潮，並選擇最佳的行車路徑進入港區，藉由這種方式，改善港口交通狀況與提高整體運輸效率。</p> <p>臺灣港務公司過去10年歷經三次IT大轉型，從系統整合到發展智慧化應用，未來更朝向AI、大數據、雲端來發展。長遠來看，「港務公司將朝向智慧港口來轉型，其中數據應用是驅動港口智慧化發展重要關鍵。」張登訓這樣說道。</p> <p><span style="font-size:28px;"><strong>發展港務營運大數據</strong></span></p> <p>為了打造智慧商港，港務公司自去年開始積極展開內部營運數據蒐集和彙整工作，為此，他們甚至計畫建立自己的大數據平臺，用於港口營運分析和優化，但尚未包含航運大數據。</p> <p>資訊團隊還規畫建立數據交換整合管理平臺，負責蒐整關鍵的營運資料，這些資料經過清洗過程後，將匯整到營運數據資料庫中，用來發展港務公司的智慧商情平臺，透過這套平臺，可以將分析取得的重要商情資訊以視覺化方式呈現，不僅讓決策者能夠即時掌握港口營運動態，還能根據數據分析結果來下達決策。張登訓表示，預計今年10月完成建置智慧商情平臺及營運數據庫，目前累積的資料量已達約百GB。</p> <p>除了針對數據進行分析，港務公司也開始重視資料治理制度的建立，規畫導入資料字典系統，協助相關人員更快速地了解營運資料間的關聯，利用這些高品質資料支援決策和營運優化。</p> <p><span style="font-size:28px;"><strong>今年開始規畫上雲，將優先建立雲地異地備援機制</strong></span></p> <p>鑒於烏克蘭戰爭的經驗，越來越多國家開始重視關鍵基礎設施相關系統上雲，不只金融系統，重要港口也是交通關鍵基礎設施之一，如何確保航運IT服務不中斷，是建立商港營運韌性很重要的關鍵。</p> <p>目前港務公司是採取異地備援策略，在臺北和高雄兩地機房互為備援，但張登訓認為，這樣的作法不僅耗時，增加資料庫維護的複雜度，因此，今年開始規畫上雲。港務公司在未來的兩年內，將建立雲地異地備援機制，優先完成港棧系統的上雲。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>臺灣港務公司資訊處資深處長張登訓</strong></p> <p>學歷：東華大學資工碩士</p> <p>經歷：2000年進到花蓮港務局IT工作，2012年港務局公司化後，轉任到臺灣港務公司臺中分公司擔任資訊處經理，主導臺中港IT的發展。2020年擔任港務公司資訊處資深副處長，並在2年後升任資深處長，負責帶領IT團隊，加速推動港務公司轉型</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>臺灣港務公司</strong></p> <p>成立時間：2012年</p> <p>地址：高雄市鼓山區蓬萊路10號</p> <p>網址：<a href="http://www.twport.com.tw">www.twport.com.tw</a></p> <p>主要業務：統轄基隆、臺中、高雄及花蓮分公司的港灣與港埠業務規畫、營運與管理工作</p> <p>員工數：2,200人</p> <p>董事長：李賢義</p> <p>總經理：陳劭良</p> <p>資本額：700億元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：資訊處資深處長</p> <p>資訊部門主管姓名：張登訓</p> <p>資訊部門人數：30人</p> <p>IT預算：約5億元（含資安）</p> <p>資訊部門分工：資訊規劃科、資安及建設科、應用服務科</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2013年：規畫將各港務分公司的港棧系統合併為一套統一的系統，整合到總公司統一管理，再提供各分公司使用</p> <p>2016年：完成ERP系統上線、開始整合商港自動化門哨系統資料中心，持續精進自動化車道及E化車道機制、建置港區危險物品管理系統</p> <p>2018年：推動Trans-SMART臺灣港群智慧轉型計畫，提出海側和陸側兩大構面及各項具體行動方案</p> <p>2020年：完成臺灣港棧服務網（TPNet）系統整合作業</p> <p>2021年：提出Trans-SMART 2.0＋升級計畫，持續推動港口的轉型與升級</p> <p>2022年：建置新公文系統及港務168─高雄港區即時路況資訊網</p> <p>2023年：推動全球資訊網改版計畫、規畫建立雲地異地備援機制</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/tai_wan_gang_wu_gong_si_cio-960.jpg" width="960" height="420" alt="" title="臺灣港務公司資訊處資深處長張登訓　（攝影／洪政偉）" /></div></div></div>
2023/8/11 13:44作者余至浩https://www.ithome.com.tw/people/158217
頂尖運動員如何調節壓力
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-duo_biao_xin_tai_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>職業運動員即使是成功的運動員，也會輸，有時還會不斷地輸。運動員也很容易犯錯，像是傳球失誤、投籃失誤和犯規出界。這也是為什麼我們在日常中經常用體育術語來表示失敗，例如失誤、三振出局、壓力下失常。</p> <p>對於運動員來說，失敗和調適都是家常便飯。如果他們不吸收和利用這些經驗，他們的運動生涯就會終結。正因如此，運動是學習進步、成功和適應的絕妙途徑。</p> <p>在你的職場和生活中，每個人都期待你能成為最好的自己，而壓力是阻礙你前進的日常敵人，但是你用什麼來對抗它？好吧，也許我們可以換個角度思考：你做了什麼來邀請它？</p> <p>要知道，壓力是一種選擇。我知道你在想什麼：「這傢伙到底算哪根蔥啊？難道是我自己選擇在離開辦公室之前必須做五件事嗎？我的老闆現在要我做X，我太太叫我做Y，而我小孩求我做Z，你是這個意思嗎？」</p> <p>相信我，壓力必須首先通過我們的大腦，而事件本身不是壓力，我們對事件的反應才是壓力。事件本身在本質上是中性的，它們不過是承擔了我們賦予它們的意義、感覺和情感。請記住這一點。你的想法是產生壓力的要素，壓力不會憑空出現。</p> <p>你的一天將充斥著你無法控制的事情，但你的反應是百分之百你的選擇。你可能無法完全控制自己的處境或情況，事實上，我們能控制的狀況少之又少，但是你一定能控制自己的反應。</p> <p><span style="font-size:28px;"><strong>全神貫注，定期清空心理白板</strong></span></p> <p>在一篇關於NBA傳奇人物柯比．布萊恩的文章中，心理學家哈迪（Benjamin Hardy）指出了一件柯比最厲害的特質，不是他的投籃或跳躍能力，也不是他在球場上的敏捷度，而是他的健忘。柯比有超人般的專注力，他可以清空心理白板，這個能力確實讓哈迪驚艷，他把研究這些特質作為畢生的工作。柯比沒有被過去的事和可能發生的事壓垮。在籃球場上，每次控球權通常不到二十秒，這給了他優勢。</p> <p>有些人稱這就像擁有一塊記憶白板，你可以快速清空腦袋。「你愈快放下錯誤或痛苦的經歷，你就愈能適應情況，並發揮能力實現你的目標而」哈迪寫道，「過去發生的事情不會影響你接下來要做的事情，也不會阻止你此刻完全處在當下。」籃球運動員必須能不去想失誤、投籃不中和搞砸的比賽，否則他就會喪失球感。球場上的動作太快了，即使是最厲害的球員也會經常犯錯和投籃不中，比賽就是如此。我在德瑪莎天主教高中（DeMatha Catholic）共事過的麥克．瓊斯教練曾經也採用過這種策略，這所強校培養出眾多的NBA球星。瓊斯教練最喜歡喊的一句話是，「下一球！」尤其是在失誤或投籃失誤之後會這樣大喊，這是他的球員會理解的簡短說法，這意味著：沒事繼續。</p> <p>處理我們的過去和規畫我們的未來都是極為重要的事，但如果你沒有正視當下的狀態，這兩者都沒有意義。在你需要知道的事和可以等待的事，兩者之間取得平衡。如果你的注意力過於偏向過去或未來，那麼你就辜負了這一刻，而這一刻也會讓你失望的。</p> <p><span style="font-size:28px;"><strong>釐清當下的狀況是遇到熊，還是塞車？</strong></span></p> <p>管理壓力的關鍵策略並不複雜，它們可能會很困難，但那是因為我們自己的習慣和臆測罷了，要了解基本道理非常容易。我是在意基本道理的人：對我來說，打籃球是這樣，在演講和個人生活的方面也是如此。</p> <p>如果是你能控制的事情，就改變它；如果是你不能控制的事情，那就放手。</p> <p>身處車陣中就是這個想法的範例，如果你和大多數人一樣，可以肯定地說，當你被困在其他汽車後面無處可去時，你的血液會沸騰起來。這讓幾乎所有人都抓狂，這很奇怪，因為我們對此無能為力。德國的一項研究甚至發現，身處車陣中「在接下來的一個小時內，心臟病發作的機率增加三倍以上」。聽著，如果壓力是你感覺自己的資源負荷不了，那麼就說不通了。當你身處車陣中時，你不需要做任何事情。你沒有選擇可以比較，也沒有決定可以做：對於這種情況，你完全無能為力。你實際上是坐著不動，周圍都是其他坐著不動的人。</p> <p>在《放輕鬆的藝術》（The Art of Taking It Easy）一書裡，金（Brian King）博士用交通來代表，我們生活中所有無法控制、但仍然給我們帶來壓力的事，金解釋說：「塞車是真實的，但是你自己的信念、價值觀和期望會讓你感到壓力很大。」他把所有值得擔心的事情稱為「熊」，把所有其他小煩惱稱為「塞車」。</p> <p>因此，管理壓力就是要知道哪些是熊，哪些是塞車，我相信你知道如何分辨。金認為，「我們經歷的絕大多數壓力都是自己引起的，」這意味著我們經常對交通等事物做出反應，就好像它們是熊一樣。如果我們要誠實地看待我們所面臨的問題，那麼主要會是塞車類的問題。如果你接受這一點，那麼當熊出現時，你就會準備地更妥當。</p> <p><span style="font-size:28px;"><strong>聚焦此刻的方法</strong></span></p> <p>兩屆金牌得主、美國女子足球中場球員琳賽．塔普利．斯諾（Lindsay Tarpley Snow）告訴我，讓她最能專注的方法，是把大目標分割成小目標，然後確保一切都方向一致。這樣她就可以留心於當下，同時注意大局。</p> <p>「為了確保我能夠處理和管理日常事務，我會查看那些短期目標，即我想要完成的事情，」她告訴我，「我會列出清單，並按優先順序知道哪些需要先完成，然後我照著順序逐步完成。對我來說，這真的幫助我擺脫不堪負荷的感覺。」這是一個完美的折衷作法，既可以讓我們不至於沉浸於當下而失去方向，也不至於過於按部就班而錯過眼前的事物。她告訴我：「透過日復一日地查看清單，〔使用〕短期願景，你可以完成這麼多事情，這一點令人吃驚，最終會讓你達成長期的目標。」</p> <p><span style="color:#B22222;"><strong>給自己三十秒</strong></span></p> <p>心理上的自我調適能力已經成為體育界公認的重要環節，超過一半的NBA球隊都有專門負責這方面的教練。史坦福（Paddy Steinfort）與奧運選手和其他專業人士一起合作，他幫助印第安那溜馬隊（Indiana Pacers）後衛T．J．麥康奈爾（T. J. McConnell）解決賽前的緊張情緒。史坦福教麥康奈爾一種簡單、但有效的方式，來保持他現在的水準。他的建議是什麼？在唱國歌和宣布先發陣容的期間，麥康奈爾應該專注於懸掛在體育場椽樑上的標語和旗幟，並讀出來。</p> <p>看起來很簡單對吧？簡直很傻？但這個方法奏效了。「這讓我進入了一種禪境，」麥康奈爾說。這讓他重新調整自己的方向，並忘掉緊張，讓他明確之到：這就是我所在的地方，這就是我在做的事情。</p> <p>你的家中或工作場所，是否有可以變成「椽樑上懸掛旗幟」的空間？有什麼東西能把你拉回到當下？當你感到壓力或無法集中注意力時，嘗試讓眼睛注視那個空間三十秒，並呼吸，請這樣練習一週，看看這麼做是否能把你拉回到當下。</p> <p>史坦福對洛磯隊（Rockies）的外野手凱文．皮拉（Kevin Pillar）也有類似的建議，皮拉對本壘板感到焦慮。史坦福教皮拉，當他踏入擊球區時，他應該專注於後腳踏入擊球區泥土的情況。無論他的思緒飄到哪裡，他都應該回到那個視覺和觸覺提示，來感受當下。感受那個畫面，專注於那個畫面，其他一切都會迎刃而解。</p> <p>專注是一種習慣，需要下功夫。你必須提醒自己接受每件發生的事情，解決你面前的問題。這就是世界上最優秀的運動員，在面對大多數人甚至無法想像的壓力時，他們所採取的處理方法。<strong><span style="color:#696969;">（本文摘錄整理自《奪標心態》，感電出版提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E5%A5%AA%E6%A8%99%E5%BF%83%E6%85%8B.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_感電出版</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> <span style="color:#3399ff;">奪標心態：戰勝壓力、克服停滯、打敗倦怠</span></strong></p> <p><strong>小亞倫．史坦、喬恩．斯特恩菲爾德（Alan Stein Jr. ＆ Jon Sternfeld）／著；黃庭敏／譯</strong></p> <p><strong>感電出版</strong></p> <p><strong>定價：480元</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E5%A5%AA%E6%A8%99%E5%BF%83%E6%85%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Alan%20Stein%20Jr.png" style="width: 120px;" /></p> <p><a href="https://alansteinjr.com/" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Alan Stein Jr</span></span></a></p> <p><span style="color:#3399ff;"><strong>小亞倫．史坦（Alan Stein Jr.）</strong></span></p> <p>國際知名的企業績效教練，也是知名的NBA教練，包括史蒂芬．柯瑞（Stephen Curry）、凱文．杜蘭特（Kevin Durant）、柯比．布萊恩（Kobe Bryant）等巨星，都曾受過他指導。在執教十五年的歲月中，執教的球員四度拿下NBA年度MVP球員。他擅長引導人發揮最大潛能，透過建立奪標心態，養成紀律、習慣以改善個人與組織的表現。百事可樂（Pepsi）、美國運通（Amex）、星巴克（STARBUCKS）、蔡司（Zeiss）等國際企業指定講師。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E5%A5%AA%E6%A8%99%E5%BF%83%E6%85%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon_com.jpg" style="width: 120px;" /></p> <p><a href="https://www.amazon.com/stores/Jon-Sternfeld/author/B08JQMN6PD?ref=ap_rdr&store_ref=ap_rdr&isDramIntegrated=true&shoppingPortalEnabled=true" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Amazon.com</span></span></a></p> <p><span style="color:#3399ff;"><strong>喬恩．斯特恩菲爾德（Jon Sternfeld）</strong></span></p> <p>作家，曾撰寫《措手不及》（Unprepared）一書；並曾與小亞倫．史坦合著《高績效表現力》，也與多位名作家合著非虛構作品。</p> </div></div></div>
2023/8/11 12:00未署名https://www.ithome.com.tw/article/158131
ChatGPT客製化指令擴及英國及歐盟以外的免費版用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://help.openai.com/en/articles/6825453-chatgpt-release-notes" target="_blank">OpenAI宣布</a>7月底開放給ChatGPT付費用戶的可客製化指令功能，即日起推向免費版用戶。</p> <p><a href="https://www.ithome.com.tw/news/157894" target="_blank">ChatGPT可客製化指令功能</a>之前僅提供ChatGPT Plus用戶beta測試。這項功能目的在讓AI助理能記住用戶的偏好，提供更個人化的建議或內容，並減少未來與ChatGPT互動的時間。OpenAI說也會很快部署到英國及歐盟用戶。</p> <p>這功能是以外掛方式實作，用戶可在與ChatGPT對話時，輸入希望ChatGPT記憶的獨特偏好或要求，像是其職業為小學自然科學教師、購物偏好家庭包、或是只想要GoLang的程式開發建議等。之後ChatGPT在產生回應時，即會呼叫外掛以加入用戶輸入的偏好，提供更符合需要的輸出結果，用戶未來也不必再下同樣的條件。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0811-ChatGPT-Custom%20instructions%20available%20to%20free%20users%20(August%209%2C%202023)-600.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_OpenAI</span></span></p> <p>使用方法很簡單，只要點入用戶帳號名稱>「客製化指令」輸入需要的內容後按「儲存」。只要刪掉內容再儲存就能移除指令。</p> <p>OpenAI本周可望為ChatGPT增加提示範例與回答的建議、維持登入狀態，並以「Ctrl+Shift+;」快速鍵複製最後一段程式碼。而針對ChatGPT Plus付費服務，則會全面升級底層模型到GPT-4，並為Code Interpreter加入多檔案上傳支援。</p> </div></div></div>
2023/8/11 13:09作者林妍溱https://www.ithome.com.tw/news/158216
Google Docs、Google Drive擴大測試支援電子簽章
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://workspaceupdates.googleblog.com/2023/08/esignature-google-docs-google-drive.html" target="_blank">Google本周宣布</a>Google Docs與Google Drive支援電子簽章（eSignature）的功能，以Beta版開放給個人及企業用戶。</p> <p>對中小企業和個人創業者而言，追蹤合約、客戶協議或其他有法律約束力的文件相當麻煩，為簡化作業，Google將電子簽章的功能整合到Google Docs中，方便用戶檢視簽章狀態，整理已簽好名的合約，並要求他人在需要的文件上簽名。用戶可直接在Google Drive簽署正式合約，不需轉換到其他App，像是Adobe PDF。此外，這功能也允許用戶為要人簽名的文件製作新複本，以此為範本，再要求其他人簽名。</p> <p>去年6月Google開始對Google Docs中呼叫與擷取電子簽章的alpha測試。經過一年的用戶意見回饋，現在Google現在將把這功能以Beta版推向Google Workspace一般個人用戶或企業版用戶。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0811-eSignature%20in%20Google%20Docs.png" style="width: 500px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0811-eSignature%20in%20Google%20Drive.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></p> <p>Google預告，今年下半還會增加新的電子簽章功能，包括加入稽核追蹤（trail），所有完成簽章的合約都會自動產生稽核報告。這功能也將支援多名簽章者，方便用於多人簽章的文件。未來幾個月內這功能也將可要求非Gmail用戶簽名。此外，除了現有Google Docs文件，今年底前也將擴及儲存在Google Drive中的PDF文件。</p> <p>Google是在對Workspace企業版用戶啟動更廣泛的Beta測試中包含電子簽章功能，<a href="https://docs.google.com/forms/d/e/1FAIpQLSeLyjTyUbm9cJ4f-IhWMte6w3ESyGYKmKPA8kKXhEbKSKGbJw/viewform" target="_blank">企業用戶可以填具線上表單申請使用本功能</a>。Google更廣泛的Beta測試也包含Gmail新的版型，允許用戶自訂或再利用現有範本、或從頭設計自有版型。企業用戶註冊申請後幾個星期內，就會看到電子簽章及新的Gmail功能。</p> <p>至於個人用戶，新電子簽章功能全面以beta版開放給Google Workspace Individual 方案訂閱用戶，不需註冊也能使用。</p> </div></div></div>
2023/8/11 12:11作者林妍溱https://www.ithome.com.tw/news/158212
IBM計畫在Watsonx.AI平臺提供Meta的Llama 2模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM<a href="https://newsroom.ibm.com/2023-08-09-IBM-Plans-to-Make-Llama-2-Available-within-its-Watsonx-AI-and-Data-Platform">宣布</a>在其人工智慧開發平臺Watsonx.AI提供<a href="https://www.ithome.com.tw/news/157854">Llama 2</a>模型，使企業能夠簡單地取用Llama 2模型，訓練專屬模型用於開發自家人工智慧應用。Watsonx.AI是Watsonx平臺的一部分，可讓企業簡單地訓練、驗證、調校和部署人工智慧模型，該平臺包括預先打包的人工智慧模型目錄，還有可用於模型訓練的資料集。 Llama 2是Meta在7月甫對外釋出的大型語言模型，相較於今年2月Meta發表，僅開發給人工智慧研究社群申請使用的Llama 1，Llama 2採用一種稱為Llama 2的授權，雖然並非典型的開源授權，但是只要企業產品和服務不超過7億活躍使用者，都可以自由地用於研究和商業目的。</p> <p>Llama 2預訓練模型總共使用2兆Token訓練，具有處理長上下文內容的能力，而經調校的指令遵循模型Llama 2-Chat，其可用性已經與ChatGPT相當。Llama 2模型有三個大小的版本，分別為70億、130億和700億參數的模型，IBM在Watsonx.AI平臺中託管的則是Llama 2-chat 700億參數模型版本。</p> <p>IBM在Watsonx.AI中提供Llama 2模型，是延續過去與Meta在多個開源專案合作的基礎，之前的合作包括PyTorch機器學習框架，以及在watsonx.data中使用Presto查詢引擎等。IBM提到，他們目前的人工智慧戰略，是向用戶提供第三方和自家的模型。因此在Watsonx.AI中，用戶可以使用到IBM和Hugging Face社群的模型，解決各種自然語言處理任務。</p> <p>除了整合Llama 2之外，IBM也揭露接下來的生成式人工智慧路線圖，之後將會發布AI Tuning Studio，繼續在Watsonx.AI加入其他人工智慧模型，並且在生成式智慧工具整合FactSheets資料治理服務。</p> </div></div></div>
2023/8/11 10:54作者李建興https://www.ithome.com.tw/news/158204
【資安日報】8月10日，駭客結合勒索軟體Mallox與木馬程式Remcos，透過加殼程式於受害電腦上發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了增加破壞能力，有些駭客為勒索軟體加入竊資軟體的功能，但現在也出現有人直接與其他類型的惡意程式搭配使用的情況。例如，研究人員看到駭客在勒索軟體Mallox（亦稱TargetCompany）的攻擊行動裡，運用惡名昭彰的RAT木馬程式Remcos來控制受害的SQL Server伺服器，然後以寄生攻擊的手法操作勒索軟體。</p> <p>開發工具Visual Studio Code的漏洞，有可能透過擴充套件觸發而造成危害！研究人員揭露此程式碼編輯器的API漏洞，攻擊者可打造惡意套件來竊取開發環境存放的各式帳密資料，且無論是Windows、macOS、Linux作業系統的電腦都有可能曝險。</p> <p>網路設備NAS的雲端管理介面也有可能遭到利用，而讓攻擊者有機可乘。去年漏洞挖掘競賽Pwn2Own Toronto中，找到WD與群輝NAS的漏洞，研究人員公開更多細節，攻擊者可用相同手法攻入這些存在弱點的系統，例如，皆能針對雲端管理介面下手，進而竊取NAS的資料，或是執行任意程式碼。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.trendmicro.com/en_us/research/23/h/targetcompany-ransomware-abuses-fud-obfuscator-packers.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Mallox結合木馬及加殼工具，攻擊微軟SQL Server</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure1-targetcompany-ransomware-abuses-fud-obfuscator-packers.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure1-targetcompany-ransomware-abuses-fud-obfuscator-packers.jpg" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露勒索軟體Mallox（亦稱TargetCompany）近期的攻擊行動，與之前的手法雷同之處，駭客先是鎖定存在弱點的微軟SQL Server入侵目標組織，但不同的地方在於，新的攻擊行動結合了RAT木馬程式Remcos，以及防毒軟體不易偵測（FUD）的加殼程式BatCloak。</p> <p>攻擊者在成功入侵目標組織的網路環境後，試圖部署Remcos並執行，然後濫用滲透測試工具Metasploit，進一步在電腦新增本機帳號，並部署GMER、IObit Unlocker、PowerTool（或PowTool）進行寄生攻擊（LOLBins），最終利用Remcos下載勒索軟體並執行檔案加密。</p> <p>研究人員指出，為了繞過資安防護措施並順利執行，駭客對木馬程式及勒索軟體，都透過BatCloak加殼來規避偵測。</p> <p><a href="https://cycode.com/blog/exposing-vscode-secrets/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">攻擊者可利用惡意擴充套件觸發Visual Studio Code弱點，竊取開發者的帳密資料</span></strong></a></p> <p>先前已有研究人員提供警告，微軟的市集出現疑似惡意的擴充套件，鎖定採用Visual Studio Code（VS Code）的開發環境發動攻擊，現在有新手法出現，對方能盜取開發者的各式帳密資料。</p> <p>資安業者Cycode指出，VS Code程式碼編輯器有個名為Secret Storage的API，有資安弱點，起因是對於存放於作業系統裡的Token缺乏充分的隔離，使得任何擴充套件都有可能藉由Keytar模組，存取所有存放於Windows、macOS、Linux作業系統的Token。研究人員指出，除了內建的GitHub與微軟帳號，其他VS Code儲存的Token都與擴充套件有關，如此一來，他們發現這個漏洞的影響範圍變得相當廣泛。</p> <p>研究人員2個月前通報此事，但微軟的工程師以該弱點非安全問題為由不予處理。</p> <p><a href="https://www.electoralcommission.org.uk/privacy-policy/public-notification-cyber-attack-electoral-commission-systems"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">英國選舉委員會證實遭駭客入侵2年，2014至2022年選民資料曝光</span></strong></a></p> <p>8月8日英國選舉委員會（Electoral Commission）坦承在去年10月，發現遭到駭客入侵的跡象，而有可能自2021年8月開始，存取2014年至2022年所有當地及海外選民的資料，這些資料包含了姓名、地址，以及到達投票年齡的日期。除了選民資料，該單位的電子郵件、控制系統、電子名冊副本亦遭到存取。不過，該單位並未透露受到影響的民眾人數。</p> <p>英國選舉委員會指出，根據該國資訊專員辦公室（ICO）進行的風險評估，姓名及地址的曝露對選民的威脅有限，且不影響選舉流程、投票權利、候選人登記，但上述兩項個資駭客有可能與其他的外部資料整合，進而透過使用者行為模式的推測，識別或分析特定人士。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/western-digital-synology-nas-vulnerabilities-exposed-millions-of-users-files/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露WD、群暉NAS漏洞細節，駭客有可能竊取資料或是發動RCE攻擊</span></strong></a></p> <p>去年冬季，資安業者Claroty參與Pwn2Own Toronto 2022漏洞挖掘競賽，找到Western Digital（WD）、群暉（Synology）NAS設備的漏洞，最近揭露細節。</p> <p>以WD產品而言，研究人員在MyCloud PR4100設備上，發現了命令注入漏洞CVE-2022-29841、路徑穿越漏洞CVE-2022-36327及CVE-2022-36328、身分驗證繞過漏洞CVE-2022-36331（CVSS風險評分為8.8至9.8），並用來列舉所有連接雲端服務MyCloud的NAS設備，然後模擬這些NAS並能存取相關資訊及檔案，甚至遠端執行任意程式碼。</p> <p>而在群暉的產品上，研究人員在DS920+找到CVE-2022-45188漏洞，該漏洞存在於NAS作業系統DiskStation Manager（DSM），包含了特定PHP元件的身分驗證繞過弱點，以及資訊洩露弱點，CVSS風險評分為8.8，攻擊者有可能假冒該廠牌NAS設備，並強制雲端服務QuickConnect將使用者重新導向至攻擊者控制的設備，進而竊取帳密資料或存取使用者的資訊、遠端執行任意程式碼，亦有可能控制受害的NAS發起進一步攻擊。</p> <p>資料來源</p> <p>1. <a href="https://claroty.com/team82/research/a-pain-in-the-nas-exploiting-cloud-connectivity-to-pwn-your-nas-wd-pr4100-edition">https://claroty.com/team82/research/a-pain-in-the-nas-exploiting-cloud-connectivity-to-pwn-your-nas-wd-pr4100-edition</a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://claroty.com/team82/research/a-pain-in-the-nas-exploiting-cloud-connectivity-to-pwn-your-nas-synology-ds920-edition" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-1076900850" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://claroty.com/team82/research/a-pain-in-the-nas-exploiting-cloud-connectivity-to-pwn-your-nas-synology-ds920-edition</span></a></p> <p><a href="https://www.securityweek.com/sap-patches-critical-vulnerability-in-powerdesigner-product/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">SAP修補業務流程與資料建模系統PowerDesigner的重大漏洞</span></strong></a></p> <p>本週二（8日）SAP發布8月份例行更新，總共修補了16個漏洞。其中最嚴重的漏洞是CVE-2023-37483，存在於業務流程與資料建模系統PowerDesigner，屬於存取控制的缺陷，未經身分驗證的攻擊者一旦利用該漏洞，可對後臺的資料庫執行任意查詢，CVSS風險評為9.8分。</p> <p>此外，該公司認為還有2個企業應優先處理的漏洞，一個是商業智慧軟體BusinessObjects安裝程式漏洞CVE-2023-37490，另一個是ERP系統Business One的跨網站指令碼漏洞CVE-2023-39437，CVSS風險評分皆為7.6。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://blogs.sap.com/2023/08/08/sap-security-patch-day-august-2023/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--208372876" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://blogs.sap.com/2023/08/08/sap-security-patch-day-august-2023/</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://onapsis.com/blog/sap-security-patch-day-august-2023" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-851839746" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://onapsis.com/blog/sap-security-patch-day-august-2023</span></a></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://security.googleblog.com/2023/08/android-14-introduces-first-of-its-kind.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Android 14將針對行動網路安全提供IT管理政策，網管可禁用2G網路</span></strong></a></p> <p>Google宣布於下一代行動裝置作業系統Android 14當中，正式加入與行動網路相關的安全功能，包括限制手機使用2G訊號及空暗碼（Null Cipher）網路連線的能力。</p> <p>該公司表示，他們這麼做的目的，主要是解決2G等舊式行動網路長久以來的安全問題，尤其是許多攻擊手法就是利用2G網路安全性不佳的特性，如：假基地臺（False Base Station，FBS）、IMSI Catcher（亦稱Stingray），暗中將手機行動網路降級為2G來進行相關攻擊。Google在Android 12首度提供使用者關閉2G網路的功能，而在Android 14，該公司進一步讓企業能全面停用公務手機的2G網路。</p> <p><a href="https://blog.pypi.org/posts/2023-08-08-2fa-enforcement-for-new-users/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">新註冊的PyPI開發者必須啟用雙因素驗證，才能上傳套件、建置專案</span></strong></a></p> <p>8月8日PyPI維護團隊表示，新註冊的開發者帳號若要執行任何管理工作，必須先啟用雙因素驗證（2FA）的功能，才能進行相關操作，同時，該團隊也要求用戶需要使用通過驗證的電子郵件地址。</p> <p>這些管理工作包含了建立及管理專案、新增或移除API的Token、上傳與移除發布的版本、新增或移除協作者、申請及管理組織帳號、新增及管理受信任的發布者功能。PyPI團隊指出，他們計畫在今年底所有使用者全面啟用雙因素驗證，而本次的措施就是該計畫的具體作為之一。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="http://www.interpol.int/News-and-Events/News/2023/Notorious-phishing-platform-shut-down-arrests-in-international-police-operation"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">歐洲刑警組織撤下網釣攻擊服務平臺16shop</span></span></strong></a></p> <p><a href="https://securityaffairs.com/149307/cyber-crime/varian-medical-systems-lockbit-ransomware.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit聲稱攻擊了醫療器材業者Varian Medical Systems</span></span></strong></a></p> <p><a href="https://www.securityweek.com/cisa-unveils-cybersecurity-strategic-plan-for-next-3-years/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國CISA公布未來3年的網路安全戰略</span></span></strong></a></p> <p><a href="https://www.bankinfosecurity.com/white-house-pushes-cybersecurity-defense-for-k-12-schools-a-22745"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國推動K-12學校的網路安全防禦措施</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/missouri-warns-that-health-info-was-stolen-in-ibm-moveit-data-breach/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國密蘇里州民眾的健康資訊外洩，起因是MOVEit Transfer遭駭</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158187">【8月9日】駭客假好心提供作案工具，目的是把惡意軟體植入小白電腦</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158173">【8月8日】殭屍網路病毒SkidMap出現變種，鎖定Redis伺服器而來</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158162">【8月7日】韓國Linux主機遭到惡意程式Reptile鎖定</a></strong></p> </div></div></div>
2023/8/10 17:31作者周峻佑https://www.ithome.com.tw/news/158207
美10多家金融機構違法使用個人WhatsApp等交易又未備份，遭罰5.5億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國13家銀行、證券業者因使用WhatsApp等消費性即時通訊平臺進行金融交易，又未做好備份，遭主管機關罰款5.5億美元。</p> <p>針對11家銀行及證券業者員工長期使用「非核可管道」（Off-channel）的通訊交易行為，美國證管會（SEC）開罰總計2.89億美元。<a href="https://www.sec.gov/news/press-release/2023-149" target="_blank">SEC發現</a>，至少從2019年起，這些金融機構的員工以其個人裝置上的多種訊息平臺，包括WhatsApp、iMessage、Signal等進行商業交易。這些公司對這些非核可管道的通訊，大半也未能保留或備份紀錄，違反美國證券法的規定。這些金融機構已經坦承有違法情事，同意支付罰金。</p> <p>這11家金融機構包括富國銀行集團（Wells Fargo）、法國巴黎銀行（BNP Paribas）、瑞穗證券、SMBC日興證券（Nikko Securities America）、華利安（Houlihan Lokey Capital）、SG Americas Securities、BMO Capital Markets等。2.89億美元中，以富國銀行集團的1.25億美元罰款占比最大。</p> <p>此外<a href="https://www.cftc.gov/PressRoom/PressReleases/8762-23" target="_blank">，美國商品期貨交易委員會（Commodity Futures Trading Commission）</a>也以金融機構使用未獲許可的通訊軟體如WhatsApp、文字簡訊，進行內或對外溝通且未備份，宣布對富國銀行、法國興業銀行（Société Générale）、加拿大蒙特婁銀行各開罰3,500萬到7,500萬美元不等，總計2.6億美元。</p> </div></div></div>
2023/8/10 14:49作者林妍溱https://www.ithome.com.tw/news/158200
迪士尼擴大Disney+ 廣告方案市場，準備打擊帳號共享
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://thewaltdisneycompany.com/disney-to-launch-ad-supported-subscription-offering-in-several-countries-across-europe-and-in-canada-on-november-1/" target="_blank">迪士尼公司（The Walt Disney Company，Disney）於本周宣布</a>，從今年10月12日起，將提高美國市場Disney+與Hulu的訂閱費用；且自11月1日起，則會把低價廣告方案的市場從美國擴大到加拿大與歐洲；另根據媒體報導，迪士尼將追隨網飛（Netflix）的腳步，開始解決帳號共享現象。</p> <p><a href="https://www.ithome.com.tw/news/152431" target="_blank">迪士尼去年於美國推出Disney+的低價廣告方案</a>，於串流服務中夾帶廣告，月租費為7.99美元，無廣告的月租方案則是10.99美元。預計於今年11月1日起，便會將該服務擴張到加拿大與歐洲市場，在加拿大的廣告版月租費將是7.99元加幣，而在歐洲的費用則是4.99元英鎊或是5.99歐元。</p> <p>而迪士尼也準備再度調高美國的訂閱費用，從10月12日起，無廣告的Disney+將從10.99美元調漲至13.99美元，Hulu將從14.99美元調漲至17.99美元。此外，迪士尼計畫在今年9月於美國推出新的方案，若同時訂閱Disney+與Hulu的每月費率為19.99美元，比各自單獨訂閱划算許多。</p> <p>迪士尼旗下的內容服務眾多，訂閱方案也令人眼花撩亂，但最受到消費者關注的是該公司也將向網飛看齊，開始打擊帳號共享。</p> <p><a href="https://www.theverge.com/2023/8/9/23826310/disney-plus-password-sharing-earnings-q3-2023?mid=1" target="_blank">根據《The Verge》的報導</a>，迪士尼執行長Bob Iger於財報會議中透露，該公司正積極尋求解決帳號共享問題的各種方法，今年將會著手更新其訂閱協議，新增共享政策，並計畫於明年採取行動以推動營收。</p> <p>Iger僅說有很多用戶分享帳號，並未公布實際數字，還說迪士尼擁有監控用戶登入的技術能力，即將於2024年解決此一問題。</p> <p>身為全球最大串流平臺的網飛去年就開始限制帳號共享，今年第二季更將此一政策<a href="https://www.ithome.com.tw/news/156466" target="_blank">擴大部署到包括美國與臺灣在內的逾100個市場</a>，若用戶要分享帳號予非同住的親友，必須額外支付費用，例如臺灣為100元新臺幣。在限制帳號共享之後，網飛第二季新增了580萬名會員，高於第一季的175萬名。</p> </div></div></div>
2023/8/10 15:07作者陳曉莉https://www.ithome.com.tw/news/158201
Chrome安全更新周期從每兩周縮短成每周
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2023/08/an-update-on-chrome-security-updates.html" target="_blank">Google Chrome安全團隊於本周宣布</a>，從周三（8/9）釋出的Chrome 116開始，Chrome穩定版的安全更新周期便將從每兩周縮短成每周，以減少Chrome與Chromium專案之間的修補落差，提高駭客利用這些已知安全漏洞的難度。</p> <p>Chromium開源專案支援包括Chrome在內的許多瀏覽器，每個人都能夠檢視它的原始碼、提交變更或看到安全漏洞與臭蟲的修補，而Canary或Beta頻道的使用者則可提前收到更新，並提供相容性及效能上的建議，然而，這也讓駭客有機可趁，利用這些尚未部署於穩定版的漏洞修補來展開n-day攻擊。</p> <p>於是，原本Chrome的安全更新是隨著每四周穩定版的出爐而進行，但從2020年的Chrome 77開始，Chrome安全團隊啟用了每兩周的安全更新節奏，亦即在每個穩定版之間，會有另一次的安全更新。在Chrome 77以前，Chromium與Chrome的平均修補落差是35天，啟用每兩周的更新頻率之後，落差減少至15天。</p> <p>在進入了每周的安全更新節奏之後，Chrome安全團隊預期可再減少3.5天的修補落差，縮小安全漏洞的修補空窗，以提高駭客利用此一空窗期研究並開發漏洞攻擊程式的難度。</p> <p>以往Chrome安全團隊經常會針對已被利用的安全漏洞緊急更新Chrome瀏覽器，在啟用每周安全更新之後，可望減少這些意外的更新活動。</p> <p>Chrome安全團隊說明，並非所有的安全漏洞都會被用來進行n-day攻擊，但他們並不知道哪些漏洞會實際遭駭客利用，因此將所有的重大與高風險漏洞都視為將遭到濫用而儘速修補。</p> <p>不過，也由於安全更新頻率變高了，未來一有安全更新，Chrome瀏覽器即會跳出更新通知，同時Google也建議使用者應該立即重啟Chrome以進行更新，重啟後的Chrome會保留先前已開啟的分頁。</p> </div></div></div>
2023/8/10 15:19作者陳曉莉https://www.ithome.com.tw/news/158202
Aptos Labs與微軟合作以建置AI區塊鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>致力於打造第一層（Layer-1）區塊鏈的Web3新創<a href="https://www.prnewswire.com/news-releases/aptos-labs-partners-with-microsoft-to-drive-web3-into-the-mainstream-301896350.html" target="_blank">Aptos Labs於周三（8/9）宣布</a>，已與微軟簽署多年合作協議，將於Aptos網路上整合Azure OpenAI服務，利用AI來解答該區塊鏈上的使用者與開發者的疑問，推動Aptos網路的普及。</p> <p class="rtecenter"><img alt="" src="https://mma.prnewswire.com/media/2171935/Aptos_Labs__Aptos_Labs_x_Microsoft.jpg?p=publish" style="width: 400px;" /></p> <p>Aptos Labs是由Meta之前負責Diem區塊鏈的員工在去年所創辦，在<a href="https://www.ithome.com.tw/news/149170" target="_blank">Diem協會宣布</a>縮編並出售資產之後，部分員工以Diem為了打造區塊鏈所開發的Move語言建立了Aptos網路。在區塊鏈的分層結構中，Layer 0為運行在區塊鏈之下的網路框架，可連結不同的協定；而 Layer-1則是個分散式帳本技術，指的是區塊鏈網路協定；Layer 2主要是提高擴展性與交易吞吐量，而Aptos Labs或以太坊皆屬於Layer-1業者。</p> <p>在與微軟合作之後，Aptos Labs準備推出Aptos Assistant，允許使用者以自然語言詢問有關Aptos區塊鏈生態體系的任何問題，同時也可用來指導開發者如何建立智慧合約與分散式應用，並指引他們尋找各種資源。</p> <p>此外，Aptos Labs與微軟也將攜手探索各種區塊鏈的創新應用，從資產代幣化、支付到由中央銀行所發行的數位貨幣，藉以推動金融服務業者採用Web3。</p> <p>負責AI與新興技術的微軟總經理Rashmi Misra表示，AI與區塊鏈的交叉將成為新興技術中最有趣的結合，可能會產生變革性的使用案例，整合Aptos Labs技術與Microsoft Azure Open AI服務，將可推動使用者無縫加入Web3，並讓創新者得以利用AI來開發分散式應用。</p> <p>Aptos Labs也說出了區塊鏈或Web3現階段最大的困境，就在開發者或媒體圍繞著熱門的區塊鏈議題時，使用者卻經常不得其門而入，有些新的Web3用戶在準備涉足區塊鏈生態體系時便遇到問題，從理解區塊鏈與去中心化如何造福個人，到建立數位錢包以加入Web3，或是將法定貨幣轉換成加密貨幣等，因而希望藉由AI的協助來加速Web3的全球採用。</p> </div></div></div>
2023/8/10 15:50作者陳曉莉https://www.ithome.com.tw/news/158203
【廠商永續支援度盤點：HPE】GreenLake訂閱年底推出雲端永續儀表板，可監測每一臺HPE伺服器個別碳排放
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>伺服器廠商HPE積極搶攻IT永續市場，不僅在今年上半年推出智慧節能管理平臺，可以蒐集、管理和分析機房IT設備或其他OT設備的能耗及碳排放數據，甚至今年底還將推出一個雲端永續儀表板功能，不只能提供各營運據點IT整體能耗和總碳排放量，還能細緻地放大查看每個據點中個別HPE IT設備的碳排狀況，方便企業用戶監控和管理這些IT設備的碳排放，但得採用GreenLake訂閱制方案才能用。</p> <p>近年來，各大伺服器廠商不只持續優化IT產品設計提高能源使用效率，同時也開始強調碳排放數據整合與管理，讓企業可以蒐集和管理這些IT設備使用的碳排數據，來因應永續發展和法遵要求。HPE也是積極搶進的其中一家業者，最近還因此收購OpsRamp這家IT維運管理公司，而推出了全新的雲端永續儀表板功能。不過初期僅為預覽版，正式版本年底才推出。</p> <p><strong><span style="font-size:28px;">透過永續儀表板不只能監看每個業務據點的整體IT碳排，連每臺伺服器每月消耗多少能耗和碳排都知道</span></strong></p> <p>從這個永續儀表板預覽畫面中，企業可以快速察看所使用HPE IT設備在全球不同的營業據點的IT整體能耗和總碳排放量，還能根據利用率、效率和能源成本等指標的呈現，顯示各自目前的狀態，並以不同的顏色標示，讓使用者更容易掌握各據點的整體能耗及碳排的狀況。</p> <p>進一步還可以放大每個營業據點，查看其所部署的所有HPE IT設備的更詳細資訊，這些資訊包含了近一個月來平均CPU利用率、運轉時間、記憶體使用率、能耗、二氧化碳排放總量等資訊，讓用戶可以更細緻的了解每臺IT設備的能耗和碳排狀況，來制定減碳方針。</p> <p>甚至還能透過快速篩選功能，優先列出CPU利用率過低和過高的IT設備，例如，使用者可以勾選列表僅顯示CPU低於21%且高於71%的設備，查看近一個月來，哪些設備CPU利用率過低和過高，並針對這些設備來個別進行改善，降低其碳排放。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%E6%B0%B8%E7%BA%8C%E5%84%80%E8%A1%A8%E6%9D%BF%EF%BC%92.png" style="width: 600px;" /></p> <blockquote><p dir="ltr" style="line-height:1.7999999999999998;margin-top:0pt;margin-bottom:0pt;"><span class="notion-enable-hover" data-token-index="0" style="font-style:italic">HPE預計今年底正式推出雲端永續儀表板功能，從</span>HPE提供的永續儀表板預覽畫面中<span class="notion-enable-hover" data-token-index="0" style="font-style:italic">，大型企業用戶不只可以透過該功能快速察看各營運據點的整體IT碳排放和能耗，也能進一步看各據點機房中各個HPE機體的碳排資訊，</span>可以更細緻的了解每臺IT設備的能耗和碳排狀況，來制定減碳方針<span class="notion-enable-hover" data-token-index="0" style="font-style:italic">。</span></p> </blockquote> <div> </div> <p><strong><span style="font-size:28px;">僅開放Greenlake訂閱服務方案能加購永續儀表板功能，非預設提供的內建功能</span></strong></p> <p>不過，企業得特別留意，HPE目前只開放Greenlake訂閱服務方案可以加購永續儀表板功能，而不會是預設提供的內建功能，這意味著，企業得多花一筆費用額外購買才能開通，另外，非採用訂閱而是直接買斷伺服器的企業，也將無法加購永續儀表板功能。</p> <p dir="ltr">GreenLake原本有提供本地、私有雲和混合雲共三種部署方式，HPE技術服務事業處技術協理許鈞湞表示，這三種部署的形式皆需要HPE設備作為媒介才能支援該儀表板功能，舉例來說，用戶可以透過Aruba Central管理控制臺、Storage DSCC儲存管理介面或伺服器運算維運管理控制臺，獲取在HPE設備上的相關數據，再匯入到儀表板中呈現。</p> <p dir="ltr"><strong><span style="font-size:28px;">新推出智慧節能管理平臺，不僅能監控機房IT能源或碳排數據，還能擴大應用於OT場域設備碳追蹤和管理</span></strong></p> <p dir="ltr">除了年底將上線的永續儀表板，HPE今年上半還推出了一個智慧節能管理平臺，稱為Ecolink，同樣也能夠用來蒐集和管理機房IT設備的碳排放數據，但可以應用範圍更廣，不只可以將Ecolink部署到企業內部IT機房，提供非採用訂閱方案的使用者對於HPE IT設備進行碳排蒐集，還可以擴大支援工廠端OT設備的能源或碳排相關數據進行監控及管理，包含第三方OT設備等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE-ecolink.png" style="width: 600px;" /></p> <blockquote><p dir="ltr" style="line-height:1.7999999999999998;margin-top:0pt;margin-bottom:0pt;"><span class="notion-enable-hover" data-token-index="0" style="font-style:italic">透過Ecolink</span>智慧節能管理平臺<span class="notion-enable-hover" data-token-index="0" style="font-style:italic">平臺，</span>提供了不同的視覺化儀表版功能，方便管理者監看與追蹤這些設備能耗與碳排變化情況，像是從<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">碳排監控儀表板中，</span><span class="notion-enable-hover" data-token-index="0" style="font-style:italic">可以查看機房的用電量和碳排放，包含了電源供應器、UPS不斷電系統、監測系統等。圖片來源：HPE</span></p> </blockquote> <div> </div> <p>Ecolink平臺提供攝取、檢核、管理和分析共4大功能，將整個碳排放數據建立、管理及分析集中到一個平臺中完成，還提供了不同的視覺化儀表版功能呈現這些使用消耗數據，其中包含能源監控儀表板、碳排監控儀表板。舉例來說，機房中不論是電源供應器、UPS不斷電系統、監測系統的用電量和碳排放情況都能透過碳排監控儀表板呈現，讓It管理者可以迅速握機房IT整體碳排趨勢，並作出相應的減碳策略和優化措施。</p> <p>為了快速取得各種碳排放源的排放數據，HPE提供自動化的數據匯入方式，企業不需要手動匯入，而是可以透過其提供的API或SDK套件，就可將HPE或第三方IT或OT設備排放源數據自動匯入到Ecolink平臺中，以便進行後續碳盤查計算和分析，」。</p> <p>除了蒐集和管理碳排放數據外，Ecolink還提供ISO標準盤查資料及報表管理服務，其中包含了溫室氣體盤查整合、資訊服務碳足跡及能源管理等功能，此外，企業還以使用其提供的盤查與鑑別資料管理工具，建立佐證和排放源鑑別管理機制。</p> <p>Ecolink還能自動產生報告。舉例來說，Ecolink透過蒐集工廠或建築物的感知器取得機臺或設備資料，並計算出相關碳排資訊後，可自動產出可視化碳排報告，其中包含了能耗與碳排儀錶板、重大能耗分析、能源指標及碳排基線分析等資訊，此外，該報告能夠顯示工廠或建築物整體用電量和總碳排放，同時也能記錄每月用電量和鑑別設定方法。</p> <p>這幾年，HPE也積極推動生產製造的產品碳足跡資訊揭露。目前在HPE官網上，各產品規格表中詳細列出產品生命週期各階段所產生的溫室氣體排放總量。此外，許鈞湞表示，針對範疇三的碳足跡盤查，他們要求硬體、物流服務等供應商每年透過CDP碳揭露計畫報告，以追踪這些供應商在減碳方面的進展。</p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2023/8/10 14:18作者李昀璇https://www.ithome.com.tw/news/157999
零售IT雙周報第19期：Amazon徹底翻新物流模式，半年內高達18億張訂單一天內送達
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0730~0812)</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 102, 255);">#短鏈物流</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 102, 255);">#AI貨物分配分析</span></span><br /> Amazon半年18億件商品一天內送達，關鍵是翻新物流模式，用AI消費需求分析助攻</strong></p> <p>電商龍頭Amazon今年的會員購物節賣出了3.75億件商品，達到歷史新高。業績火熱的同時，<a href="https://www.aboutamazon.com/news/operations/doug-herrington-amazon-prime-delivery-speed">Amazon全球商店業務執行長Doug Herrington表示</a>，他們訂單履行能力也達到史上最快。美國面積是臺灣270倍以上，不過2023上半年，Amazon有超過18億張訂單在當日或隔日送達，這個數字是2019年的4倍。箇中原因是，他們翻新了物流布局及科技，來增強快物流能力。</p> <p>過往，Amazon訂單會從全美物流中心出發，也就是說，一個包裹甚至可能橫跨數千公里才會抵達消費者家中。不過今年，他們將美國劃分為8個分區，並設置鄰近大都會區的衛星倉儲，來各自履行區域內訂單。他們還會利用深度學習模型來預測分區消費需求，來決定貨物存放於各倉儲的種類與數量。如今，有76%訂單會由分區內物流中心履行，只有2成多會從外部分區調貨。</p> <p>Doug Herrington表示，Amazon未來會持續提升各倉儲的補貨量能，來支援更多、更分散的物流據點。他們還有意翻倍衛星倉儲數量，不過沒有提到完成時程。近日，他們也在底特律開設了大型物流中心。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;">#OMO零售</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;">#快物流</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;">#會員數據</span></span><br /> 家樂福外送App推出智能食譜功能，用生成式AI進攻生鮮快物流商機</strong></p> <p>生成式AI又一應用，家樂福於自家外送App推出AI智能食譜功能。消費者選擇主要食材、菜色風格，AI便會自動生成推薦菜色與食譜，並根據食譜中所用食材，來推銷家樂福相關商品。此功能由家樂福與Microsoft、凌群電腦合作開發而成，背後是Azure Open AI的技術。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/C2.jpg" style="width: 600px;" /></p> <p>家樂福去年推出快物流生鮮外送服務家速配，喊出最快1小時內到貨口號，與原本最快隔天到貨的家樂福線上購物做出區別。現推出食譜推薦功能，不僅有望強化家速配對自煮族的吸引力，更能獲得自煮族客群的消費偏好資料，用於未來再行銷。</p> <p>美中不足的是，消費者是用點擊選項的方法來與聊天機器人互動，無法手動輸入指令。2個月前，法國家樂福也推出了類似功能，同樣是用微軟和Open AI技術，不過消費者能輸入文字指令，還能根據預算等條件來要求AI推薦商品。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;">#拿了就走</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;">#物件辨識</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;">#無人超商</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;">#顧客旅途追蹤</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;">#會員經營</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;">#OMO零售</span></span><br /> 統一超拿了就走無人店開幕，加速結帳流程還能追蹤消費者店內購物旅途</strong></p> <p>歷經6年實驗，<a href="https://www.ithome.com.tw/news/157861">統一超今年新開的科技概念店X-Store 7號店</a>終於達到無人區占比100%，並採用拿了就走（Grab and Go）結帳技術，來加速消費者結帳效率。</p> <p>為了達成拿了就走，統一超採用工研院技術，在店內安裝了30多座影像追蹤感應器、15臺IOT智能貨架、1,300以上個重量感測器，以及超過3,000組多重感測器，來蒐集消費者在店內的位置及行為。後臺收到這些資料，會再根據AI物件辨識、重量變化計算等結果綜合分析，判斷出每個消費者購買的商品，以及貨架狀態，再分別更新消費者購物車以及統一超臺帳系統。</p> <p><a href="https://s4.itho.me/sites/default/files/images/WEB-流程3-圖片來源-統一超商.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/WEB-%E6%B5%81%E7%A8%8B3-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B5%B1%E4%B8%80%E8%B6%85%E5%95%86.png" style="width: 600px;" /></a></p> <p>拿了就走技術不僅是一個結帳技術，更是一個實體店面消費者旅途（User journey）追蹤技術。統一超能從拿了就走技術蒐集到消費者動線、進場人數、停留時間、取放行為等資料，來優化商品陳列，以及深度了解消費者喜好。這也是少數實體店面能如此細緻蒐集到銷售時點（POS）以外資訊的營運模式。（<a href="https://www.ithome.com.tw/article/158109">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;">#會員經營</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;">#OMO零售</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;">#門市人力管理</span></span><br /> 全家會員App推出包裹預約自取功能，會員數據又多一面向，門市人員還能更有效安排工作</strong></p> <p>全家於自家會員App推出包裹預約自取功能，會員能預先選擇取貨門市和時間，讓店員能於指定時間準備好包裹。這不是第一次全家在會員App上強化包裹取貨功能，過去他們還推出了跨電商平臺包裹動態追蹤，以及包裹快取條碼功能。消費者於超商領取包裹取貨，原本不需要報出會員身分，也因此是超商難以細緻分析的行為。不過若他們使用這些App功能來輔助取貨，全家便能歸戶取貨行為，來綜合分析會員取貨與其他消費行為的關係。</p> <p>此功能延伸自今年推出的鮮食咖啡預約取貨功能FamiNow。全家表示，6成會員用過FamiNow後會重覆使用，且此服務No-show率低於1成，說明這類功能可以算是一種消費者到店的保證。</p> <p>另外，尋找包裹也是超商店員很花時間的一項工作。全家表示，若店員能確定取貨時間，在空檔時先準備好包裹，巔峰時段時較不易因尋找包裹，而減緩人流消化效率。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;">#生物辨識</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;">#非現金支付</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;">#會員經營</span></span><br /> 全美Whole Foods生鮮超市年底前將導入生物辨識支付技術Amazon One</strong></p> <p><a href="https://www.aboutamazon.com/news/retail/amazon-one-whole-foods-market-palm-scanning">電商龍頭Amazon旗下的大型連鎖生鮮超市Whole Foods將全面採用生物辨識支付技術Amazon One</a>，預計年底前完成建置。Amazon One能根據掌紋及血管細節來辨識消費者身分。消費者事先綁定結帳方式後，便能於進入賣場時刷入門禁，結帳時也只需讓機器掃描自己的手，便能完成付款。</p> <p><img alt="" src="https://assets.aboutamazon.com/dims4/default/1385002/2147483647/strip/true/crop/1597x900+2+0/resize/660x372!/format/webp/quality/90/?url=https%3A%2F%2Famazon-blogs-brightspot.s3.amazonaws.com%2Faf%2F02%2F7aea630c4cc38099f7f368cf6bbb%2Finline-001-customer-checkout-closeup-palmscan-04-04-22-001-00-00-24-19-still002-so-copy.JPG" /></p> <p>此技術目前應用於部分Whole Foods以及Amazon自家生鮮超市Amazon Fresh，能綁定Amazon Prime會員身分，於結帳時套用會員折扣及其他會員機制。其他應用此技術的第三方零售商，甚至會用來檢查消費者年齡，而不用檢查政府發放證件。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;">#物件辨識</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;">#社群媒體電商</span></span><br /> Instagram測試新電商功能，根據商品目錄自動為限動圖片加上商品標籤</strong></p> <p>社群媒體Instagram正在測試<a href="https://twitter.com/ahmedghanem/status/1679144202934931457">新電子商務功能</a>，利用物件辨識技術，根據IG商家上傳的商品目錄，來偵測限時動態圖像，並自動為商品加上標籤與連結。商家能再手動調整、移除或更新該標籤。</p> <p><img alt="" src="https://pbs.twimg.com/media/F02EphCX0AAwi46?format=jpg&name=large" style="width: 600px;" /></p> <p>這是Meta持續嘗試於自家社群媒體平臺化為電商平臺的一環。今年年初，Meta移除了IG首頁商城功能，以及FB、IG的直播電商功能，不過仍保留在貼文、限時動態、短影音Reels等地方標註商品的探索功能，以及在聊天室中直接結帳的金流功能。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;">#補貨機器人</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;">#無人商店</span></span><br /> 鴻海將投資並生產日本全家無人店所用的次世代補貨機器人，未來有望導入臺灣超商</strong></p> <p>鴻海要投資並生產日本自動化技術新創Telexistence（TX），並生產他們的次世代補貨機器人。這個企業的機器人會於固定路徑上巡邏，一旦透過影像辨識技術判斷需補貨品項，就會規劃補貨路徑，並自動補充飲料上架。</p> <p><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/jpfamirob.jpg?itok=5MLpWaqj" style="width: 600px;" /></p> <p>當世代TX機器人一天能補貨約1,000瓶冷藏櫃飲料，<a href="https://www.ithome.com.tw/news/152610">目前於日本全家上百間高人流門市服</a>役，鴻海要生產的次世代機器人則能補2倍的量。日本全家表示2024年前要開設1,000家無人商店，並於2025年前導入TX機器人到300家分。由於成本相當高，會優先部署此機器人至日營收超過50萬日圓（約11萬元新臺幣）的店面，以及偏遠地區的無人門市。<a href="https://asia.nikkei.com/Business/Technology/SoftBank-Foxconn-buy-into-Japan-shelf-stocking-robot-startup">據日經報導</a>，鴻海2024年將生產3,000臺該機器人，還會有部分交付給臺灣統一超。不過，目前鴻海與統一超官方沒有證實此消息。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0066ff;">更多零售IT動態：</span></strong></span></p> <p>1. Ikea將導入可動態調整標價及顯示內容的IoT智慧貨架到歐洲110家分店。</p> <p>圖片來源：家樂福、統一超商、Amazon</p> <p>資料來源：iThome整理，2023年8月</p> <p>責任編輯：郭又華</p> </div></div></div>
2023/8/10 13:13作者郭又華https://www.ithome.com.tw/news/158195
流通教父的行銷關鍵字
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-tai_wan_liu_tong_ge_ming_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下雜誌出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「我一直認為『沒人做過的事就值得一試』。商機不會從天上掉下來，而是要靠自己去找出來。如果自己認為『這個事業不會再成長了』、『景氣這麼差，真的無能為力』，任何事業都會走到終點。」徐重仁在上任統一流通集團總經理的第一天，就在思考市場飽和的問題，而這正是他突圍式經營策略的思考原點。</p> <p>他一直相信，市場不會消失，商機一直都在，因此在面對業績持續疲弱的子公司，他一樣能從目前的市場看見新機會，幫助企業重生。</p> <p><span style="font-size: 28px;"><strong>讓統一藥品轉虧為盈的傳奇式翻轉</strong></span></p> <p>一九九三年統一企業成立「統一藥品」，製造銷售中藥和強身健體的營養補給品，可是這個經營方向讓公司持續虧損。徐重仁分析，「中藥價格高，年輕一代很少人吃中藥，所以經營大不易。可是命令高會長成立統一藥品公司的人，是他的老闆吳修齊，所以就算虧損也不能說解散就解散。」這使得統一藥品到了後期，每年虧損近兩億元。</p> <p>後來高清愿會長將統一藥品移交流通次集團管理，徐重仁義不容辭接下統一藥品的重生計畫，當時，他毅然決然放棄中藥事業，並注意到美容面膜。那時候許多台灣女性都很憧憬SK-II的面膜。可是SK-II的商品很貴，不是一般女性想買就買得起的產品。</p> <p>「所以我就在想，假設SK-II的面膜要價一千元，我們用五百元賣效果差不多的面膜，就有更多人可以負擔得起，應該會很受歡迎。」</p> <p>徐重仁為了驗證自己的想法，立刻指示統一藥品開發面膜，創立品牌「我的美麗日記」，在流通次集團的7-ELEVEn和藥妝店「康是美（COSMED）」販售。</p> <p>徐重仁很自豪地表示，「『我的美麗日記』上市兩至三年後，統一藥品的業績每年都有近三億元的盈餘」。除了讓統一藥品起死回生，徐重仁總共讓五家業績不佳的公司重生，成為流通次集團的戰力。</p> <p><span style="font-size: 28px;"><strong>切入市場空隙，催生出新事業機會</strong></span></p> <p>而7-ELEVEn之所以能持續成功，也是因為徐重仁在流通市場的百貨公司和超市的縫隙間，找到了機會。在某次會議上，統一企業高層下達指令，「開發全新流通事業，進軍可以持續成長的市場！」但在場幹部沒有人知道，有什麼方法能跨入早已廝殺慘烈，成為紅海的百貨公司和超市等流通市場？</p> <p>參加會議的徐重仁於是拿起桌上的水杯，開口說了。</p> <p>「有某種程度經濟規模的零售業大餅，就像是這個水杯裝滿的水一樣。假設我們把小石頭丟入這個水杯裡，直到石頭堆滿水杯，這些石頭就像是在流通市場激烈交鋒的百貨公司或超市。」</p> <p>周遭的高層們都盯著水杯，傾聽徐重仁的話。他用沉穩的聲調繼續說。</p> <p>「乍看之下，水杯裡好像沒有空間了，可是仔細看看，你會發現其中其實還有很多空隙。我們只要在那些空隙裡，塞入形狀不同於百貨公司或超市的小石頭，也就是投入全新開發的新事業即可。在大石頭之間的縫隙再放入新的小石頭，愈放愈多，水杯裡的水位就會愈來愈高。也就是說，新事業的加入，會讓流通市場變大。」</p> <p>筆者詢問徐重仁，當時他這席話的真正含意，他笑著回答，「空隙就像是沒人想做的利基型事業。在空隙投入新事業，市場相對就會隨之變大，並催生出新的事業機會……我想告訴大家的是這種想法」。</p> <p>如同他所說的「水杯投石」，第一階段他採取的多角化策略，就是選擇成立商店規模比百貨公司或超市小，業態也不同的B2C零售、流通、服務事業公司，啟動全新的事業。後來，徐重仁仍持續導入美日成功的各種流通事業，截至二○一一年八月止他卸任為止，流通次集團旗下零售業的門市，包含康是美、SMILE加油站、無印良品、Pet Plus、星巴克、Mister Donut、酷聖石、21風味館、聖娜多堡烘焙、和食SATO、健身房BEING，統一阪急等，在台灣總計有八百七十七家零售、餐飲、流通服務的商店，加上7-ELEVEn約五千家門市，他透過多角化經營，讓流通次集團成長為「台灣最大的流通複合企業」。</p> <p><span style="font-size: 28px;"><strong>咖啡沒人買，有裂痕的茶葉蛋反而暢銷？開發商品最重要的一件事</strong></span></p> <p>關於商品開發，徐重仁則有一個絕對不能退讓的原則。</p> <p>「商品開發必須站在『顧客需求』的角度。顧客想要什麼、需要什麼？顧客追求的是好吃，還是方便？重要的是能否站在顧客的立場去思考，是否能讓顧客想經常上門。」徐重仁之所以堅持這個原則，其實也是經過許多試錯的結果。</p> <p>因為虧損連連，統一超商一度被降級為母公司旗下的所屬部門，在徐重仁的努力與堅持之下，一九八六年開出第一百家門市，也讓超商事業獲利首度由黑翻紅，隔年得以獨立成為一家企業。這個成績也讓他在公司工作未滿十年，就當上公司的總經理。徐重仁已經繳出如此優秀的成績單，但他沒有因此停下腳步，徐重仁開始著手開發台灣7-ELEVEn的獨家商品。</p> <p>徐重仁首先鎖定增加「餐飲品項」。正如同美國的7-ELEVEn也銷售三明治和漢堡等，不過，當時台灣的外食文化還不普及，也很少有人會買三明治或漢堡、三角飯糰等速食作為主餐。因此，徐重仁一開始先推出「茶葉蛋」。</p> <p>煮茶葉蛋時要先將蛋殼敲出裂縫，然後加入香片、烏龍茶、紅茶、普洱茶等茶葉，以及酒、醬油、味醂、辛香料等燉煮。在台灣這是許多街邊的小攤販會賣的經典商品，不過蛋殼有裂縫的蛋和獨特的氣味，與歐美人士的飲食習慣與口味都有很大的落差，因此遭到美國Southland Ice公司的督導大力反對。即使如此，徐重仁也毫不退讓。</p> <p>督導要求「你們反而應該賣咖啡」。當時在美國的7-ELEVEn，卡車司機來買早餐的三明治或熱狗時，就會順道買杯自助式的咖啡。徐重仁雖然覺得美國和台灣的客層不同，但幾經思考後，「想東想西，不踏出第一步也不知道結果如何。就先試試看，真的不行就撤退就好。我也還是商品開發的新人，如果在美國都會受到歡迎的話……」，他決心採納督導的建議。</p> <p>結果茶葉蛋大受歡迎，咖啡卻完全賣不出去。「所以咖啡只賣了一年就停賣了。」有了這次經驗，繼展店策略之後，他也學到商品開發要配合地區需求，所謂「在地化」的重要性。</p> <p>一九九○年，在茶葉蛋開賣三年後，他開賣熱狗大亨堡，而Southland Ice公司則不斷要求他推出美國7-ELEVEn的暢銷商品三明治和漢堡等，不過徐重仁沒有立刻答應。</p> <p>「我們雖然開賣大亨堡，但因為當時的台灣幾乎沒有人吃三明治和漢堡，我們知道美式食物在台灣賣不出去，和咖啡一樣。」徐重仁補充說明。</p> <p>即使如此，他還是注意到日本7-ELEVEn獨家開發的主力商品餐飲品項。</p> <p>「日本和台灣的飲食習慣相近，我想更容易讓台灣人接受」。徐重仁也在計算推出時機。他認為要讓台灣民眾接受平常很少接觸的食品，就必須等到台灣的消費水準提升，民眾生活更富裕後。</p> <p>等到門市數量突破一千五百家，統一超商股票上市的一九九七年，徐重仁在台灣7-ELEVEn的餐飲品項中，新加入「御飯糰」和「關東煮」。</p> <p>「御飯糰和關東煮都不是西式食物，日本和台灣都以米食為主食的國家，所以飲食習慣上較接近，調理方式和口味上也會比較相似。」徐重仁說明他當時推出這兩項產品背後的決策。</p> <p>「過去台灣人絕對不會吃生的魚肉。現在幾乎一○○％的台灣人都會吃生魚片。一開始雖然陌生，但只要一步一步來，讓商品逐步進化並嘗試，消費者慢慢就會習慣，有一天就會成為日常。」</p> <p>徐重仁實踐的商品開發策略，不是去因應現有的顧客需求，而是參考日本7-ELEVEn的成功事例，發掘潛在需求，提供顧客全新的價值，進而降低失敗率。<strong><span style="color: rgb(105, 105, 105);">（本文摘錄整理自《台灣流通革命》，天下雜誌出版提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600_%E5%8F%B0%E7%81%A3%E6%B5%81%E9%80%9A%E9%9D%A9%E5%91%BD.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源_天下雜誌出版</span></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 書名 </span></span> 台灣流通革命</strong></p> <p><strong>佐宮圭／著；李貞慧／譯</strong></p> <p><strong>天下雜誌出版</strong></p> <p><strong>定價：450元</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 作者簡介 </span></strong></span></p> <p><strong>佐宮圭</strong></p> <p>1964年出生於兵庫縣尼崎市。早稻田大學第一文學部畢業後，經歷各種職務，1993年成為寫手。為學研社《大人的科學漫畫》等科學內容撰文，也為日經BP社『日經Business』、日本經濟新聞社『日本經濟新聞電子版』等媒體上連載專欄至今。2010年其報導《鶴田錦史傳―大正、昭和、平成時代頂尖男装天才女琵琶師的一生》獲得第17屆小學館非文學大獎優秀獎並刊載於《觸摸》雜誌。</p> </div></div></div>
2023/8/10 12:00未署名https://www.ithome.com.tw/article/158167
研究顯示ChatGPT寫程式的問題解答正確率不到五成，但很容易被採信
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>許多人已經發現AI模型幻覺問題，導致AI聊天機器人給的答案充滿謬誤，但是錯得有多離譜則不得而知。<a href="https://arxiv.org/abs/2308.02312" target="_blank">美國大學一項研究顯示</a>，OpenAI ChatGPT在程式撰寫上給的建議，正確率竟不到5成，但有4成時候人類無法察覺。</p> <p>過去軟體工程師在寫程式遇到問題時，多半是向Stack Overflow這類Q&A平臺求助。但這類平臺在ChatGPT出現後遇到極大挑戰，因為工程師都轉向ChatGPT。美國普度大學（Purdue University）一群研究人員於是想了解ChatGPT對軟工的答案是否是真的有用，以及有什麼特色。</p> <p>他們針對ChatGPT對Q&A平臺Stack Overflow（SO）上517道程式撰寫問題給出的答案，分析正確性、一致性、完整性及簡明性。此外也對使用ChatGPT建議進行語言及情感分析，以了解ChatGPT的答案有何特色，以及人類用戶對AI給的答案建議的接受度。</p> <p>根據分析，研究人員發現52%的問題上，ChatGPT給的答案是不正確的，62%的答案過於冗長。此外，研究人員還發現AI答案有高達78%和人類答案不一致。研究人員深入分析ChatGPT的答案，還發現有大量概念及邏輯錯誤的問題。</p> <p>研究人又以2,000道SO上的寫程式問題分析ChatGPT答案的語言特色。研究顯示，ChatGPT的答案使用正式、漂亮用詞、甚少出現不禮貌的負面情感，而且語氣神似真人說話，這使得它容易取得用戶的信任。雖然用戶認為SO上其他人給的答案品質較高，但有4成（39.34%）題目會不小心相信ChatGPT給的錯誤答案，只有6成的人能察覺到它的答案是不正確的。</p> <p>結論是，想靠AI幫忙寫法律判例、寫程式或論文提升工作效率，可能還得等一陣子。研究人員提醒，由於ChatGPT講話有條理且充滿肯定語氣，很具說服力，但至少現在，在軟體工程中使用ChatGPT的答案要十分小心謹慎。</p> </div></div></div>
2023/8/10 11:51作者林妍溱https://www.ithome.com.tw/news/158196
微軟公測可切換雲端和桌機Windows的Windows 365 Switch
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/windows-365-switch-now-available-in-public-preview/ba-p/3891857" target="_blank">微軟本周宣布Windows 365 Switch公開預覽版</a>，讓用戶測試在同一臺電腦上自由切換Windows 11和Windows 365雲端作業系統。</p> <p><a href="https://www.ithome.com.tw/news/150269" target="_blank">Windows 365 Switch為微軟去年公布Windows 11專屬的雲端功能之一</a>。Windows 365 Switch讓Windows 11用戶可在「工作檢視」（Task View）中，切換Windows 11使用雲端Windows 365 Cloud PC。當PC上已有Windows 365端點，所有相關元素都會自動顯示於工作檢視中，方便用戶以熟悉的鍵盤指令、滑鼠或滑動手勢操作或存取。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0810-Windows%20365%20Switch-Windows%20365%20Cloud%20PC-Windows%2011-(3A).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_微軟</span></span></p> <p>「工作檢視」功能是首先於Windows 10加入的新功能，可讓用戶一覽桌機及虛擬桌面系統的工作切換器，可在Windows工作列中的「搜尋」鍵旁找到。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0810-Screenshot%20of%20Cloud%20PC%20icon%20in%20taskbar.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_微軟</span></p> <p>目前Windows 365 Switch已包含在Windows Insider Program（Beta Channel）推出。微軟說，Windows 365 Switch新增的輪替（round tripping）功能特別適合BYOD（bring your own device）的作業型態，用戶可以在工作時切換到公司Windows 365 Cloud PC，下班後切回自己的Windows 11，尤其是在需要節省支出的企業。</p> <p>要試用這項功能，用戶PC必須具備Windows 11 Pro或Enterprise版，再將電腦註冊登入Windows Insider Program（Beta Channel），當然也必須有Windows 365 Cloud PC授權。之後PC需到Microsoft Store下載安裝Windows 365 App（1.3.177.0 以後版本）。Windows 365 App也可以由企業IT管理員以Intune部署。</p> <p>微軟說，第一次使用Switch的用戶可能要花一點時間，在系統引導下連結Windows 365，而等Switch在裝置完全啟動，需要花數小時。</p> <p>去年微軟另外宣布的Windows 365功能為Windows 365 Boot App，可讓用戶一啟動PC即可登入Windows 365 Cloud PC，方便部署於短期約聘人員、客服或是BYOD的電腦。<a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/windows-365-boot-deploy-the-public-preview-today/ba-p/3827937" target="_blank">微軟今年5月透過Windows Insider program（Dev Channel）釋出包含Windows 365 Boot App的Windows 11 22H2更新</a>，提供給開發商或早期測試用戶。</p> </div></div></div>
2023/8/10 12:15作者林妍溱https://www.ithome.com.tw/news/158199
PyPI新帳號現需要啟用雙因素驗證才能執行管理操作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Python第三方套件儲存庫PyPI實施強制雙因素驗證政策，強化平臺安全性，現在PyPI<a href="https://blog.pypi.org/posts/2023-08-08-2fa-enforcement-for-new-users/">要求</a>所有新用戶在執行任意管理操作，包括上傳套件和修改套件資訊之前，都必須啟用雙因素驗證，同時，還要求用戶需要使用經過驗證的主要電子郵件地址。</p> <p>PyPI從2019年開始支援雙因素驗證，並在今年5月的時候，宣布今年底前所有用戶都必須啟用雙因素驗證，而現在對新用戶的雙因素驗證要求，正是這項政策的具體作為。新用戶在創建/管理專案、添加/刪除API權杖、添加/刪除協作者，以及添加/管理受信任發布者等操作，都會需要先啟用雙因素驗證。</p> <p>不過，對於只是想瀏覽PyPI網頁，下載和安裝套件的使用者，並不需要額外申請PyPI帳號，因此這項雙因素驗證要求也就不會產生影響。未啟用雙因素驗證的新註冊帳號，在嘗試執行管理操作時，用戶會在頁面頂端看到紅色橫幅，點擊後便會被重新定向到雙因素驗證設定頁面。</p> <p>PyPI在今年5月爆出大量惡意帳戶和專案，在安全審核人力吃緊下，官方緊急停止接受新用戶和專案，以緩解惡意程式碼的威脅。官方提到，攻擊者可能透過網路釣魚或是憑證填充等攻擊手法，取得電子郵件和密碼非法存取使用者的帳號，並使用這些帳號上傳惡意Python套件，以竊取各種憑證、加密貨幣錢包或是敏感資訊。</p> <p>當PyPI帳號啟用雙因素驗證，即便用戶的電子郵件帳戶受到入侵，攻擊者成功請求更換密碼，仍需要通過雙因素驗證，如此便能大幅提高帳號安全性。</p> </div></div></div>
2023/8/10 08:30作者李建興https://www.ithome.com.tw/news/158189
臺大醫院揭手術模擬平臺進展，能將平面醫學影像轉換為3D影像、簡化複雜手術溝通
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺大醫院8月9日揭露元宇宙手術模擬平臺進展，該平臺由外科部與臺大電資學院聯手研發，能以3D影像虛擬實境（VR）技術，將病人的電腦斷層或磁振造影等平面醫學影像，即時轉換為3D影像，來呈現病灶和周遭組織，甚至還能對不同器官組織進一步解析。這麼做，比傳統方法更省時，還有助於醫病溝通。臺大醫院指出，就算位於國外，醫師、家屬也能用手機掃描QR Code，來同步參與討論。臺大醫院不只將該平臺用於醫療行為，也要用於教學，將高難度手術做成教案，來讓年輕外科醫師和醫學生學習、累積知識。</p> <p><strong><span style="font-size:24px;">將平面醫學影像立體化，讓臨床團隊、病患更容易了解病灶和治療策略</span></strong></p> <p>進一步來說，這款手術模擬平臺，是由臺大醫院外科部主任陳晉興和臺大電資學院教授洪一平組隊研發，是國科會智慧醫療產學聯盟計畫之一。該平臺瞄準跨科別、高難度手術，要用3D影像重建技術，來將電腦斷層、磁振造影等平面的醫學影像立體化，轉換為3D影像，方便跨專科團隊討論病情、術前模擬，以及醫病溝通和教育訓練。</p> <p>陳晉興解釋，X光、電腦斷層、磁振造影等影像學檢查，常用於術前評估和病情解釋。但這些初階影像，在電腦螢幕上都以二維顯示，若遇上病情複雜的案例，對不同專科醫師、團隊成員，和病患、家屬都不易理解。</p> <p>不只如此，相較於目前許多醫學中心將二維影像，以3D列印出模型來解釋病情、研擬手術策略，如神經外科、整形外科、口腔外科、骨科等領域，雖能達到簡化溝通的效果，但客製化模型製作得要7到10個工作天，且每套模型只適用一位病人，還要價25萬元左右。臺大醫院這款3D手術模擬平臺，可即時提供立體模擬影像、查看病灶和周圍組織，還能進一步更細緻地檢視不同器官和組織，成本低且快速。</p> <p>此外，該平臺也能打破地理位置限制，讓在外地的醫師、家屬，掃描QR Code就能參與病情討論。</p> <p><span style="font-size:24px;"><strong>實用於高難度手術，接下來要用於教學</strong></span></p> <p>這款平臺也實際用於手術中，來協助醫療團隊模擬手術、與患者解釋病況。其中一例是患有一顆直徑5.1公分纖維樣瘤（Desmoid tumor）的旅美僑民，由於病灶位於右側胸壁頂端、靠近肩關節處，緊貼通往右手的鎖骨下動、靜脈和臂神經叢，經美國醫師評估，手術非常困難，且右手有癱瘓風險。</p> <p>該病患後來找上臺大醫院，陳晉興看診後便與神經外科教授王國川合組醫療團隊，用該平臺將患者的電腦斷層和磁振造影像，組合成3D立體影像，透過電腦動畫向病患和家屬解釋，並進行術前模擬、評估腫瘤位置及與神經、血管的關係。也因此，他們決定全程使用神經監測，來保護右手功能。最終，團隊順利切除腫瘤，並未損傷任何神經血管，病人術後也順利恢復，沒有右手癱瘓無力的後遺症，還能正常彈鋼琴、活動。</p> <p>另一例是高難度的縱膈腔類癌病灶切除手術。由於該患者腫瘤龐大、超過10公分，還包圍住心臟旁的大血管和氣管，需立即手術。於是，陳晉興看診後馬上與心臟外科教授紀乃新組隊，並用該平臺，將病患電腦斷層影像重組合為3D立體影像，來進行術前模擬。在跨專科團隊治療下，手術也成功完成。</p> <p>這個元宇宙手術模擬平臺，不只能用於手術，臺大醫院也將這些病例製作成教學個案，作為訓練外科年輕醫師和醫學生的教材。接下來，臺大醫院會繼續導入使用者互動模式，來讓臺灣醫療團隊和年輕醫師，在平臺上反覆模擬手術情境、練習手術技巧，還能與國際醫學機構交流。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2(80).jpg" /></p> </div></div></div>
2023/8/10 00:49作者王若樸https://www.ithome.com.tw/news/158191
【資安日報】8月9日，駭客假好心提供作案工具，目的是把惡意軟體植入小白電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客之間黑吃黑、互相爭奪攻擊目標的情況可說是相當常見，但現在出現以提供新手作案工具為誘餌的惡意程式攻擊。資安業者Kasada揭露提供滲透測試工具OpenBullet組態檔案的攻擊，鎖定缺乏相關技能，無力自行編寫相關組態程式碼的新手，目的是搜括這些人的瀏覽器帳密資料及加密貨幣錢包。</p> <p>昨天（8日）有許多廠商發布8月份例行更新，微軟也是其中之一，他們公告2個已遭利用的零時差漏洞，其中一個與上個月修補的CVE-2023-36884有關，已有駭客繞過更新程式碼而能利用該漏洞。</p> <p>Intel處理器漏洞Downfall也受到矚目，原因是影響範圍涵蓋Core處理器的第6代（Skylake）至11代（Tiger Lake），可能有數十億臺電腦曝險。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.kasada.io/threat-intel-openbullet-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">小白駭客成為其他駭客網路攻擊目標！假借提供OpenBullet的組態檔案名義，目的是引誘他們植入惡意程式</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/OpenBullet-Config.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/OpenBullet-Config.png" style="width: 300px; float: right;" /></a>資安業者Kasada揭露針對新手駭客的惡意軟體攻擊，這些攻擊者針對網路犯罪圈常用於帳號填充攻擊的滲透測試工具OpenBullet，假借提供組態檔案的名義，在相關社群、加密通訊軟體Telegram散布惡意軟體。</p> <p>根據資安人員的研究，其中有一個惡意組態檔案，攻擊者宣稱能夠繞過圖靈驗證機制reCAPTCHA，然而一旦新手駭客套用此組態檔案，電腦就有可能回傳網址不存在的404訊息，然後從文字共用服務Pastebin取得URL，存取名為GetChromeUpdates的GitHub儲存庫，下載、竄改OpenBullet當中的ChromeWebDriver元件，進而於受害電腦植入惡意酬載Ocean與Patent。</p> <p>這個Ocean為惡意程式下載工具，Patent則是以Python打造的RAT木馬程式，可透過Telegram機器人的API與駭客連線，並能對受害電腦拍下螢幕截圖、竊取Chromium瀏覽器的帳密資料及Cookie，以及挾持加密貨幣錢包。</p> <p><a href="https://blog.talosintelligence.com/new-threat-actor-using-yashma-ransomware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Yashma針對保加利亞、中國、越南等國家而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Yashma-ransom-note-cn.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Yashma-ransom-note-cn.png" style="width: 300px; float: right;" /></a>思科旗下威脅情報團隊Talos針對勒索軟體Yashma變種的攻擊行動提出警告，駭客從6月4日開始鎖定保加利亞、中國、越南，以及使用英語的國家發動攻擊，一旦電腦感染該勒索軟體，駭客就會要求受害者向指定加密貨幣錢包支付比特幣，若是在3天內沒有完成付款，贖金就會加倍。</p> <p>研究人員指出，Yashma是去年5月出現的另一款勒索軟體Chaos（V5）的變種，駭客打著WannaCry的名義犯案。但特別的是，駭客並未直接在程式裡加入勒索訊息，而是在檔案加密完成後，以批次檔連線到指定的GitHub儲存庫下載勒索訊息，這麼做的目的，很可能是要迴避防毒軟體會檢查可執行檔是否存在勒索訊息的內容。研究人員根據勒索訊息的內容、GitHub帳號名稱，推測攻擊者來自越南。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客傳出曾於3年前滲透日本國防網路環境，恐影響美日軍事情資共享</span></strong></p> <p>根據華盛頓郵報的報導，美國國家安全局（NSA）在2020年秋季，發現日本的軍事機密防禦網路遭到中國駭客入侵，有可能破壞美日情資共享及戰略部署。3位不具名的美國前資深官員向該媒體透露，駭客取得上述網路「深度、持續性」的存取權限，並企圖搜括日本的軍事戰略計畫、能力分析、弱點評估等各式機密資料。</p> <p>當時事態極為嚴重，美國國家安全局局長暨網路作戰司令部（U.S. Cyber Command）司令Paul Nakasone、時任副白宮國家安全顧問Matthew Pottinger，隨即前往東京向日本國防部提出警告，並驚動日本首相。到了2021年初拜登政府上臺，相關官員發現日本機密防禦網路的問題惡化，在美方壓力之下，日本承諾強化網路安全，並在5年內將資安預算增加10倍、網路安全人力擴增至4千人。</p> <p>這些人士透露，美國曾打算派出網路偵察團隊協助日本清除中國駭客的惡意軟體，但遭到日方回絕，最終日本政府尋求當地資安業者來找尋網路弱點，後續美國國家安全局與網路作戰司令部檢視成果並提供建議。對此，在8日召開的記者會，日本內閣官房長官松野博一、防衛大臣濱田靖一表示，目前尚未發現軍事機密情報因網路攻擊遭到洩露的證據。</p> <p>資料來源</p> <p>1. <a href="https://www.washingtonpost.com/national-security/2023/08/07/china-japan-hack-pentagon/">https://www.washingtonpost.com/national-security/2023/08/07/china-japan-hack-pentagon/</a><br /> 2. <a href="https://www.rfi.fr/tw/中國/20230808-日本政府否定-華盛頓郵報-有關中國黑客竊取日本防衛機密的報道">https://www.rfi.fr/tw/中國/20230808-日本政府否定-華盛頓郵報-有關中國黑客竊取日本防衛機密的報道</a></p> <p><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-213a"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國、挪威公布Ivanti行動裝置管理平臺零時差漏洞攻擊事故的細節</span></strong></a></p> <p>上週美國網路安全暨基礎設施安全局（CISA）、挪威國家網路安全中心（NCSC-NO）聯手，對於駭客利用Ivanti行動裝置管理平臺Endpoint Manager Mobile（EPMM）零時差漏洞，對挪威政府機關攻擊的事件，公布進一步的細節。駭客組織很可能從今年4月，就開始利用零時差漏洞CVE-2023-35078入侵EPMM，並查詢AD與LDAP端點裝置、列出EPMM管理的裝置，竄改EPMM組態，從數個挪威企業或組織收集資料，進而能夠存取該國政府機關的網路環境。</p> <p>NCSC-NO認為，駭客很有可能利用另一個零時差漏洞CVE-2023-35081，於EPMM設備上傳Web Shell並下達命令。此外，駭客也透過Ivanti Sentry上網安全閘道，將網路流量導向無法直接存取網際網路的Exchange伺服器。值得留意的是，駭客疑似利用已被入侵的家用路由器（其中一個廠牌是華碩）做為代理伺服器，來存取目標組織的網路基礎設施，藉此埋藏行蹤。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-august-2023-patch-tuesday-warns-of-2-zero-days-87-flaws/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟發布8月例行更新，修補Office、Visual Studio、.NET的零時差漏洞</span></strong></a></p> <p>8月8日微軟發布本月份例行修補（Patch Tuesday），總共針對87個漏洞發布資安通告，當中有18個權限提升漏洞、3個安全功能繞過漏洞、23個遠端程式碼執行（RCE）漏洞、10個資訊洩露漏洞、8個阻斷服務（DoS）漏洞，以及12個可被用於詐欺的漏洞，其中2個，是被用於攻擊行動的零時差漏洞。</p> <p>微軟針對其中一個漏洞提供名為Office Defense in Depth的更新（公告編號為ADV230003），主要是因為該公司上個月修補CVE-2023-36884之後，仍出現繞過更新程式利用漏洞的情形。</p> <p>另一個零時差漏洞是CVE-2023-38180，一旦遭到利用，有可能導致.NET應用程式與Visual Studio服務出現中斷的情形，CVSS風險評分為7.5。</p> <p><a href="https://www.bleepingcomputer.com/news/security/new-downfall-attacks-on-intel-cpus-steal-encryption-keys-data/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露Downfall漏洞，影響Skylake至Tiger Lake架構的Intel處理器</span></strong></a></p> <p>Google研究人員Daniel Moghimi在Intel處理器產品當中，發現存在資訊洩露漏洞CVE-2022-40982，並將其命名為Downfall，影響的產品相當廣泛，涵蓋Skylake以後的CPU家族，包括：Skylake、Cascade Lake、Cooper Lake、Amber Lake、Kaby Lake、Coffee Lake、Whiskey Lake、Comet Lake、Tiger Lake、Ice Lake、Rocket Lake。</p> <p>這項漏洞發生的原因在於，Intel處理器的記憶體最佳化功能會向軟體透露內部登記的硬體，因此，如果是未受信任的軟體，也可以藉此存取其他應用程式儲存的機敏資料，CVSS風險層級評為6.5。研究人員透過名為Gather Data Sampling（GDS）與Gather Value Injection（GVI）手法，進行該漏洞的概念性驗證。</p> <p>對此，Intel自去年8月接獲通報後，於今年8月8日發布修補程式，並指出較新的Alder Lake、Raptor Lake、Sapphire Rapids處理器不受影響。</p> <p>資料來源</p> <p>1. <a href="https://downfall.page/">https://downfall.page/</a><br /> 2. <a href="https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00828.html">https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00828.html</a></p> <p><a href="https://www.securityweek.com/ics-patch-tuesday-siemens-fixes-7-vulnerabilities-in-ruggedcom-products/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">西門子發布8月例行更新，修補RuggedCom工控網路系統漏洞</span></strong></a></p> <p>西門子、施耐德電機皆於8月8日發布本月的例行修補，其中西門子發布了十多則公告，公布逾30個漏洞；而施耐德電機僅公布1個漏洞。</p> <p>在西門子發布的公告裡，有3則與工控網路設備產品線RuggedCom有關，其中1則是針對安全存取管理系統RuggedCom CrossBow的5個漏洞而來，這些弱點可被用於發動阻斷服務（DoS）攻擊、提升權限、在資料庫執行任意SQL 查詢、將任意檔案寫入，CVSS風險評為9.8分。另外2則公告則與RuggedCom ROS作業系統有關，其中較為嚴重的是鏡像連接埠隔離漏洞CVE-2023-24845，CVSS風險評為9.1分。</p> <p>至於施耐德電機的部分，則是針對旗下的人機介面螢幕編器暨邏輯程式設計軟體Pro-face GP-Pro EX，公告CVE-2023-3953，該漏洞出現於WinGP的模組，CVSS風險評為5.3分。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-can-abuse-microsoft-office-executables-to-download-malware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員發現Office應用程式Outlook、Access、Publisher的執行檔可被用於寄生攻擊</span></span></strong></a></p> <p><a href="https://cycode.com/blog/exposing-vscode-secrets/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">攻擊者可利用惡意擴充套件觸發Visual Studio Code弱點，竊取開發者的帳密資料</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/new-inception-attack-leaks-sensitive-data-from-all-amd-zen-cpus/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">AMD處理器存在Inception、Phantom漏洞，可被用於竊取敏感資料，1至4代的Zen處理器都可能曝險</span></span></strong></a></p> <p><a href="https://www.guidepointsecurity.com/blog/tunnel-vision-cloudflared-abused-in-the-wild/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客濫用Cloudflare Tunnels服務的攻擊行動升溫</span></span></strong></a></p> <p><a href="https://www.group-ib.com/blog/mysterious-team-bangladesh/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織Mysterious Team Bangladesh鎖定印度、以色列網站下手，發動DDoS攻擊、竄改網頁內容</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158173">【8月8日】殭屍網路病毒SkidMap出現變種，鎖定Redis伺服器而來</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158162">【8月7日】韓國Linux主機遭到惡意程式Reptile鎖定</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158111">【8月4日】駭客利用Salesforce零時差漏洞發動網釣攻擊，目的是竊取企業的臉書帳號</a></strong></p> </div></div></div>
2023/8/9 17:17作者周峻佑https://www.ithome.com.tw/news/158187
資安專家從紅隊演剖實例剖析企業如何強化邊界、供應鏈安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「登上新聞報導的資安事件只是冰山一角，從資安業者的角度，真正發生的資安事件更多，正確妥善處理事件能夠避免擴散，產生災難性的結果」，中華資安國際檢測部經理林峰正在今年臺灣資安大會中表示。</p> <p>林峰正主要負責事前檢測部分，主要為紅隊檢測，他擅長從攻擊方角度，協助企業檢測防護上的弱點。在今年資安大會中，他以攻擊方的角度，分享如何看企業的邊界安全、供應鏈安全等等。</p> <p>他借用瑞士乳酪理論，嚴重事件的發生就像穿透每一層乳酪的孔洞，因此事件發生通常是一連串疏失導致的結果。從表面上看，通常會將事件發生的原因歸究於單一原因，但經過調查後往往會發現背後是一連串疏失導致的結果，資安事件也是如此。</p> <p>以發生勒索軟體攻擊為例，利用根因分析（Root Cause Analysis）發現一連串的疏失，駭客最初利用社交釣魚郵件，首先通過郵件防護偵測，在人員缺乏警覺心之下點擊信件，加上防毒軟體未能偵測攔截到變種勒索病毒，以及未做好網段主機隔離，主機在未更新下，致使攻擊擴散至各網段及服務主機，最後導致企業遭受勒索軟體加密攻擊。</p> <p>「解決資安事件時，我們希望將（乳酪）每一層的洞補起來，因為只要中間有一層斷開，事件就不會發生」，林峰正表示，以勒索軟體攻擊為例，即使前面幾層的防護都有疏失而未能攔下攻擊，但是網段主機如果作好隔離及更新，蠕蟲就不容易橫向移動，攻擊事件就不會發生。因此，資安事件調查，必需找出導致事件發生的多重因子，再進行多重修補。</p> <p>2022年中華資安在調查的上百件資安事件，惡意程式類型最多為WebShell（31%），駭客入侵手法，第1名是以對外服務的網站為主，第2名是取得有效帳號，林峰正指出，取得有效帳號在前幾年曾是入侵手法的第1名，因為受到疫情影響，不少企業使用VPN外部工作模式，從資安事件調查中發現，駭客取得有效帳號，在企業內部活動，即使降到第2名，但代表企業採用VPN遠端工作模式，難以辨別該帳號的使用者身分，需搭配身分安全保護方法，例如雙因子、裝置認證、FIDO等。</p> <p>林峰正表示，企業就像乳酪蓋成的城堡，邊界防禦如同一層一層的乳酪縱深防禦，上面有許多的孔洞，例如企業對外開放防火牆、開放部分服務、網站存在漏洞，內部使用弱密碼、網路隔離未落實等等，如果這些孔洞沒有被貫穿，攻擊事件就不會發生。企業作好防護的第一步是，先定義邊界，但現實的邊界可能比我們想像更廣闊，例如WFH將防禦邊界擴大到家庭的網路環境，但家用環境不會有DDoS、APT等防護機制，允許員工隨意攜帶辦公裝置、隨意插USB，造成風險大增。</p> <p><strong><span style="color:#B22222;">物聯網設備增加邊界的資安風險</span></strong></p> <p>林峰正表示，儘管企業委託資安業者每年檢測核心系統，例如官網、交易平臺安全，但是從資安事件調查的經驗來看，很多是從意想不到地方發生，邊界系統反而是脆弱點，這些邊界系統包括雲端空間、次級系統（例如訪客登錄、打卡系統）、IoT裝置（IP Cam、印表機、電視、視訊系統）、外包系統（員工訓練、公文系統）等等。</p> <p>物聯網為企業帶來新的入侵攻擊面，例如駭客利用電話線及傳真號碼攻陷印表機，或是從智慧溫度計的無線介面入侵取得賭場資料庫的資料，或是利用裝置的麥克風及揚聲器，利用聲音進行數據傳輸，還有從掃地機器人監聽特定的對象等。</p> <p>林峰正表示，駭客可以取得物聯網裝置，找出其系統韌體中的漏洞加以驗證。他所帶領的檢測團隊就曾經研究多媒體機，發現在特殊觸控模式下可進入除錯工程模式，搭配舊版系統已知漏洞升級權限，成功入侵系統底層，任意安裝App，並取得最高權限。供應鏈從作業系統底層、韌體到App，每一層由不同開發商負責，經過系統整合後提供給消費者，如果每一層埋下後門的工程模式，整個供應鏈留下多個後門。因此，企業作管理供應商時，應要求供應商不要留下後門，不要開啟除錯模式等等，否則最後的系統整合商並不清楚存在哪些後門。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20230511_103102600.jpg" style="width: 600px; height: 413px;" /></p> <p>另一個紅隊檢測的案例是，儘管保全人員就在一旁，仍可從櫃檯的訪客電腦入侵至內網。入侵的手法利用訪客電腦防護上的疏忽，先解鎖瀏覽器proxy、訪客模式限制，再利用另存新檔，瀏覽器功能寫入檔案，突破檔案瀏覽的封鎖，再執行命令列，進而發現公用電腦與企業內網連接，再以PowerShell或免安裝工具掃描網段，發現未設有身分驗證的檔案分享目錄，之後發現資產管理代理程式、維運用提權程式、Script，再從伺服器記憶體中取得OS密碼，成功以管理者身分登入其他內網主機的遠端桌面。</p> <p>「企業在安全防禦上難免會有盲點，透過檢測或駭客角度可以找出這些盲點」，林峰正說。</p> <p>其他類似的實體入侵手法也可用在ATM、機上娛樂系統、繳費機、門禁發卡系統、博物館導覽互動系統等等。除了有形的邊界，無形邊界也是容易被忽略的一部分，例如企業常用的Wi-Fi，因為無線網路溢波問題，駭客只要利用可攜式設備、高功率天線就可能從外部設法接取，無線AP、投影機、事務機等設備可能開放管理界面、較弱的SSID密碼保護，這些也讓駭客有可趁之機，其他無線通訊技術，如藍牙、LoRa也增加攻擊面及資料外洩管道。</p> <p>林峰正的團隊還曾發現，企業專門提供給訪客使用的Wi-Fi，曾有員工基於方便的原因也使用訪客Wi-Fi，該名員工為開發人員，在其電腦上架設CMS管理服務，使用預設帳號密碼，加上未修補CVE漏洞，在使用同一個訪客Wi-Fi之下，讓檢測團隊成功入侵取得企業官網的原始碼。「過去滲透測試選擇系統進行測試，不太可能測試到這樣的情境，需要從不一樣的角度去檢測」。</p> <p><span style="color:#B22222;"><strong>從紅隊檢測實例看供應鏈安全風險</strong></span></p> <p>無論企業為邊界築起的城牆有多高多厚，還是要打開城門開放進出，例如以VPN供外部員工、供應商使用，但如果供應商是豬隊友，可能為企業帶來更大的資安風險。其中軟體開發供應鏈風險不容輕忽。</p> <p>法務部調查局資安工作站在2020年曾發出警告，10個政府單位、4家資訊服務商受到中國駭客組織所滲透，駭客攻擊政府單位手法，利用資訊服務商的VPN特許帳號進入，或取得程式碼利用高風險漏洞進行攻擊。</p> <p>而從開發流程看APT攻擊手法（下圖），從過去的案例可以發現，從開發、更新、維護都可能遭受攻擊的風險，例如對開發工具加料，或是對開放原始碼加料，加入挖礦程式，在更新網站或是下載網站掛馬，或是對開發人員釣魚發動內部攻擊等等。駭客對軟體供應鏈進行攻擊，以駭入鎖定的目標，例如2020年底發生的SolarWinds事件，就是駭入網路監控產品SolarWinds Orion平臺，在Orion植入後門程式，通過軟體更新，入侵使用Orion的企業及政府單位，此一攻擊避開美國的網路攻擊防禦系統Einstein偵測，美國國土安全部以緊急指令，要求使用單位關閉SolarWinds。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/dev-apt.jpg" style="width: 600px; height: 434px;" /></p> <p>林峰正也分享紅隊的檢測實例，從測試環境找到漏洞，以入侵正式環境。檢測人員先蒐集供應鏈情資，選擇從目標（受測對象）的網站開發商著手，發現該開發商將A、B、C客戶的系統測試站都設在同一個Web主機，便利用入侵系統B測試站，取得同一主機上的系統C原始碼進行分析，再利用找到的系統C零時差漏洞，入侵系統C的正式站。甚至，還有開發商將客戶的程式碼放在GitLab，由於沒有做好控管，致使程式碼曝露在外網。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/redteamcase.jpg" style="width: 600px; height: 475px;" /></p> <p>他建議企業做供應鏈的安全管理，應該分層、區分責任，可以參考Cloud Security的SRM（Shared Responsibility Model）模型，企業委外時應區分不同層級，以及委外的工作類型畫分責任。從近10個紅隊檢測的實例來看，不少的入侵管道和程式開發有關，因此開發的安全性相當重要。</p> <p>根據中華資安2022年資安檢測統計，針對約290家機關或公司，1,500個以上系統的高風險漏洞類型統計，前10大高風險漏洞統計，前3名為XSS跨站腳本攻擊、SQL Injection、權限跨越。林峰正認為，前幾大漏洞類型的變動不大，對人員進行開發訓練時，掌握這些漏洞，約可杜絕8成的漏洞風險。此外，企業可以導入安全程式開發流程（SSDLC），從需求評估、標準文件、教育訓練、作業整合落地端，確保業務可以執行，例如訂定安全程式碼的開發範例。</p> <p>如下圖所示，紅隊檢測可為企業界定防禦的邊界，協助評估潛在面臨的風險：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/redteam-2.jpg" style="width: 600px; height: 391px;" /></p> <p>然而，林峰正也直言，企業必需認識到紅隊演練有其侷限性，由於是針對系統的深度測試，因此並非做完紅隊測試，代表所有系統都是安全的。有些企業期望紅隊演練來磨練自家藍隊的實力，他認為對等的交手才能使藍隊進步，此外，紅隊演練終究是黑箱測試，可能僅能發現外部表面的問題，加上由外而內的強化，內部的問題不一定修補。還有，紅隊演練的效益會逐次下降，企業不能過分倚重紅隊檢測，應該重視資安投資的平衡性。</p> <p>當企業界定好防護的邊界，並縮小攻擊面，採用安全設備、建立安全架構防護措施後，林峰正認為，人員是最後一道防線，只有透過定期教育訓練、事件案例分享、社交工程、紅隊演練等方法持續提高人員的資安認知。如同一開始提到的乳酪理論，透過加強各種縱深防護避免事件發生，如漏洞管理、改善SOC監控規則、端點安全強化、流量監控、增加可視性等等。</p> <p> </p> </div></div></div>
2023/8/9 17:56作者蘇文彬https://www.ithome.com.tw/news/158188
Google搜尋新增AI文法檢查功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自2019年起在<a href="https://workspaceupdates.googleblog.com/2019/08/improved-as-you-type-spelling-and-grammar.html" target="_blank">Gmail</a>、<a href="https://workspace.google.com/blog/ai-and-machine-learning/using-neural-machine-translation-to-correct-grammatical-in-google-docs" target="_blank">Google Docs</a>就有的文法檢查功能，本周網路媒體<a href="https://9to5google.com/2023/08/06/google-search-grammar-check/" target="_blank">《9to5Google》</a>首先發現，Google搜尋也增加以AI檢查文法的功能，將挑戰Grammarly等雲端寫作輔助服務業者。目前本功能只支援英語。</p> <p><a href="https://support.google.com/websearch/answer/13420782" target="_blank">根據Google的網頁說明</a>，文法檢查是以AI系統為基礎，使用者可用來檢查撰寫的字詞或句子文法是否正確，以及請它協助修正不正確的地方。</p> <p>使用方法是用戶在搜尋列加入「grammar check」、「check grammar」、「grammar checker」等類似詞語，確保本功能確實執行，Google搜尋若主動偵測到用戶需要時，也會執行文法檢查。執行動作後，它會檢查文法正確性，若偵測到問題也會建議修正的字詞或句子。如果完全正確，搜尋結果頁第一行會顯示有綠色勾勾的「Grammar Check」結果，否則即顯示建議的句子，並在增修處畫底線。當滑鼠過去會顯示「Copy」鍵方便用戶套用。</p> <p>除了文法，它也能檢查拼字錯誤。檢查結果頁右下方有回饋鍵，供用戶選擇有幫助、不相關、建議不正確或有冒犯意味的建議。</p> <p>目前這功能僅支援英文。Google沒有說明其他語言版的上線時程。</p> <p><a href="https://www.engadget.com/google-search-now-has-an-ai-powered-grammar-checker-144539934.html" target="_blank">媒體指出</a>，雖然Gmail和Google Docs都已能檢查文法和拼字，不過既然Google搜尋已提供字典功能，再增加文法及拼字檢查功能似乎也很合理。</p> <p>Google提醒，AI系統的檢查結果可能不是100%準確，特別是用戶輸入不完整的句子時。而為防止這項功能遭濫用或引發傷害，用戶輸入某些違反Google搜尋政策的內容時，文法檢查功能不會提供服務。這些內容包括危險、仇恨、騷擾、性露骨、恐怖主義、暴力、血腥，或是醫療內容等。</p> </div></div></div>
2023/8/9 16:01作者林妍溱https://www.ithome.com.tw/news/158184
Stability AI推出自家程式碼生成模型StableCode
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以文生圖模型Stable Diffusion聞名的人工智慧公司Stability AI，現在要進軍程式碼開發市場，釋出該公司第一個用於程式開發的大型語言模型<a href="https://stability.ai/blog/stablecode-llm-generative-ai-coding">StableCode</a>，該模型除了可以協助開發者完成日常工作，同時也能幫助開發者學習程式開發。</p> <p>StableCode模型的訓練總共分為三個階段，最初Stability AI使用來自BigCode專案的stack-dataset v1.2資料集，對基礎模型進行多語言訓練，接著針對熱門程式語言，諸如Python、Go、Java、Javascript、C、markdown和C++進行特化訓練，總共使用了5,600億個Token訓練模型。基礎模型建立完成後，官方進一步針對特定用途調校指令模型，以解決複雜的程式開發任務，在基礎模型上訓練了約12萬個Alpaca格式的程式碼指令和回應資料對。</p> <p>StableCode模型的特色在於，能夠理解和處理長篇幅上下文，也就是模型在做決策時，能夠更廣泛地考慮前後相鄰的資料，也就是具有一次處理更多程式碼Token的能力，進而提供更精確有用的建議，官方提到，StableCode一次可以處理的程式碼Token數量，約是32,000到64,000間，用戶能夠一次處理的檔案量，約是5份一般大小的Python檔案。</p> <p>Stability AI將StableCode與其他類似大小的模型相比，在HumanEval基準pass@1，模型回傳的第一個答案正確性，StableCode勝過replit-coder，但是略輸BigCode的Starcoder，而比較pass@10，也就是模型所生成的前10個答案中，是否包含正確答案的指標，StableCode則是勝過Starcoder和replit-coder。</p> </div></div></div>
2023/8/9 16:26作者李建興https://www.ithome.com.tw/news/158183
微軟8月Patch Tuesday修補2個零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟周二（8/8）修補了超過70個安全漏洞，包含兩個已遭到駭客利用的零時差漏洞CVE-2023-36884及CVE-2023-38180。</p> <p>其中的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36884" target="_blank">CVE-2023-36884</a>是個Windows Search遠端程式執行漏洞，在透過電子郵件或即時訊息的攻擊場景中，駭客只要傳遞一個特製的檔案予目標對象就能利用該漏洞，條件是受害者必須開啟該檔案。</p> <p>至於<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-38180" target="_blank">CVE-2023-38180</a>則為.NET與Visual Studio的服務阻斷漏洞，微軟僅說該漏洞已遭到駭客利用，並未說明漏洞細節。</p> <p>上述兩個漏洞皆僅被列為重要（Important）漏洞，微軟本月修補了6個被列為重大（Critical）的遠端程式攻擊漏洞，當中就有3個涉及微軟訊息佇列（Microsoft Message Queuing），包括<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-35385" target="_blank">CVE-2023-35385</a>、<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36910" target="_blank">CVE-2023-36910</a>與<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36911" target="_blank">CVE-2023-36911</a>，還有兩個是Microsoft Teams的遠端程式攻擊漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-29328" target="_blank">CVE-2023-29328</a>與<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-29330" target="_blank">CVE-2023-29330</a>，另一個則是Microsoft Outlook的遠端程式攻擊漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36895" target="_blank">CVE-2023-36895</a>。</p> <p>上述3個與微軟訊息佇列有關的CVSS風險評分皆高達9.8，微軟並未公布漏洞細節，僅說成功攻擊CVE-2023-35385與CVE-2023-36911，將允許未經身分認證的駭客自遠端於目標伺服器上執行程式，而要攻擊CVE-2023-36910則必須先傳送一個惡意的MSMQ封包至MSMQ伺服器上，同樣可自遠端執行程式。此外，微軟8月總計修補了11個位於訊息佇列的安全漏洞。</p> <p>至於兩個Microsoft Teams漏洞CVE-2023-29328及CVE-2023-29330則可在駭客邀請受害者加入Teams會議之後被利用，成功的攻擊允許駭客存取或變更受害者資訊，也可能造成對方的系統當機。</p> <p>至於趨勢科技Zero Day Initiative（ZDI）團隊則特別點名了Microsoft Exchange Server的<a href="https://www.zerodayinitiative.com/blog/2023/8/8/the-august-2023-security-update-review" target="_blank">CVE-2023-38181</a>漏洞，主要是因為它解決了CVE-2023-32031修補被繞過的漏洞，而CVE-2023-32031是為了解決CVE-2023-21529修補被繞過的漏洞，CVE-2023-21529又是為了解決CVE-2022-41082修補被繞過的漏洞，而CVE-2022-41082則是已遭到駭客濫用。</p> </div></div></div>
2023/8/9 15:34作者陳曉莉https://www.ithome.com.tw/news/158182
AWS第7代執行個體添x86新成員，導入英特爾最新伺服器CPU
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/aws_m7i_instance_x48-main.png" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在去年5月，公有雲業者AWS正式揭開Amazon EC2第7代執行個體服務系列的序幕，他們基於自行研發的第三代Arm架構處理器Graviton3，推出C7g運算服務。到了11月底的年度用戶大會，他們預告將推出C7gn、Hpc7g、R7iz等三款執行個體服務，前兩者預計採用進階的第三代Arm架構處理器Graviton3E，R7iz則搭配英特爾即將推出的第四代Xeon Scalable處理器（代號Sapphire Rapids）。</p> <p>今年上半，AWS先於2月推出基於Graviton3處理器而成的M7g與R7g，6月底陸續推出C7gn與Hpc7g，以及搭配Graviton3處理器與NVMe固態硬碟的C7gd、 M7gd、R7gd。至於採用x86架構新一代處理器的第7代執行個體服務，也在年中之後開始浮出檯面，例如6月中，AWS預告將推出執行個體服務M7a，採用AMD第四代EPYC處理器（代號為Genoa），開放用戶進行預覽測試；8月初，他們突然宣布推出執行個體服務M7i與M7i-Flex，採用英特爾第四代Xeon Scalable處理器，而先前預告的R7iz目前仍在預覽階段。</p> <p>值得注意的是，M7i與M7i-Flex採用的處理器，是依據AWS需求所製成（custom）的第四代Xeon Scalable，號稱可提供最佳效能，並已取得15%的領先幅度，超越其他採用相同運算平臺的雲端業者（此處所指廠商可能為GCP，因為他們今年3月率先推出採用第四代Xeon Scalable的執行個體服務C3）。</p> <p>雖然兩款運算服務的處理器是客製型產品，但目前公開在網路上的資訊，仍可得知更多資訊。例如，根據AWS網站公告規格資訊可得知處理器時脈為3.2 GHz，我們看到有些用戶<a href="https://openbenchmarking.org/result/2308034-NE-M7I4XLARG25">在網路揭露測試數據</a>，以及<a href="https://www.theregister.com/2023/08/03/aws_custom_xeon_m7i_instances/">部分科技媒體收到相關通報情況</a>，提到處理器型號應是Xeon Platinum 8488C。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20EC2%20CPU%20lists.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20M7I%20cpu.jpg" style="width: 600px;" /></p> <p>在硬碟儲存配置上，M7i系列的每個執行個體服務，最多可掛載的EBS區塊儲存服務volume是128個，M6i系列只能掛載28個。</p> <h3><strong><span style="color:#0000FF;">M7i系列提供9+2種組態選擇，最大可設置192顆處理器與768 GiB，支援怪獸級虛擬機器應用</span></strong></h3> <p>從個別產品的角度來看這兩款服務，有何特色？AWS表示，M7i系列有9種規模的組態選擇，相較於前一代的同位階英特爾執行個體服務（M6i系列），性價比提升了15％，並預告後續將推出兩種裸機型態的運算服務供應型態，能完整提供這一代英特爾伺服器CPU獨有的內建加速器應用——M7i系列與M7i-Flex系列均能使用AMX（Advanced Matrix Extensions）延伸指令集，可大幅改善深度學習與推論處理效能，但如果要使用可卸載加解密與壓縮處理的QAT（QuickAssist Technology）、加速處理記憶體內資料庫與分析工作負載的IAA（In-Memory Analytics Accelerator），以及可將一般資料搬移工作從不同存取環節卸載的DSA（Data Streaming Accelerator），則需要特別使用m7i.metal-24xl、m7i.metal-48xl這兩個裸機執行個體服務。</p> <p>令人好奇的是，除了上述技術，英特爾第四代Xeon Scalable處理器內建的加速器，還有動態負載平衡技術（Dynamic Load Balancer，DLB），且並非每款處理器款式都內建，而AWS與英特爾對於M7i系列與M7i-Flex系列所用的處理器是否支援DLB，並沒有提到，尚待釐清。</p> <p>就產品定位而言，M7i系列適用的工作負載類型相當廣泛，包含大型應用程式伺服器、資料庫系統、遊戲伺服器、使用CPU進行運算的機器學習應用，以及視訊串流服務，能因應處理器的高負載持續使用，或是提供最大規模的執行個體服務——新推出的m7i.48xlarge與即將上線的m7i.metal-48xl，可提供192顆虛擬處理器與768 GiB記憶體。對照既有的M6i系列，也可看出兩代差距，用戶最大只能選用128顆虛擬處理器與512 GiB記憶體（m6i.32xlarge、m6i.metal、m6id.32xlarge、m6id.metal）。若對照在企業內部環境普遍使用的伺服器虛擬化平臺VMware vSphere的單一虛擬機器規格，AWS的M7i系列雖然比不過近期版本，但部分已超出更早之前版本，足以支撐需要大量處理器與記憶體資源的應用。例如，vSphere 5.0最大可設置32顆虛擬處理器、1 TB記憶體；6.0版最大可設置128顆虛擬處理器、4 TB記憶體；7.0版與8.0版最大可設置768顆虛擬處理器、24 TB記憶體。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS M7i Spec.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20M7i%20Spec.png" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>M7i-Flex系列提供5種組態選擇，費用比M7i系列便宜5％，適合平時用量低、規模小的虛擬機器使用</strong></span></h3> <p>至於另一款M7i-Flex系列，AWS提供5種最常用的規模組態選擇，可說是M7i系列的低價版本，費用便宜5％，性價比提升幅度為5％，比起現行的M6i系列，M7i-Flex系列性價比的增長更顯著，幅度可達19％。</p> <p>為何M7i-Flex的價格較低廉？因為這系列的服務較適合不需持續耗用全部CPU運算資源的應用，可針對一般用途的工作負載執行，像是網站應用程式伺服器、虛擬桌面、批次處理、微服務、資料庫，以及企業應用系統。AWS認為，如果用戶目前所用的雲端運算服務，屬於他們在較早期的世代所推出的一般用途執行個體服務，可考慮改用M7i-Flex系列，而不需要修改應用程式或調整工作負載。</p> <p>上述AWS對此運算服務的產品應用定位考量，也反映在其規格的配置。</p> <p>例如，從AWS網站介紹M7i與M7i-Flex的專頁當中，M7i-Flex系列的規格表額外標示「每顆虛擬處理器的基礎效能」的欄位，數值均為40％，意思是預設僅提供40％的效能，而在AWS介紹這批執行個體服務的部落格文章，也提到M7i-Flex系列的CPU效能可縱向擴展執行規模，最高可增至95％。</p> <p>而在伺服器系統資源的組態安排上，M7i-Flex系列最大可提供32顆虛擬處理器，以及128 GiB記憶體（m7i-flex.8xlarge），相當於M7i系列執行個體服務最大組態的6分之1。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20M7i-Flex%20Spec.png" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>AWS Amazon EC2 M7i系列<br /> ●原廠：AWS<br /> ●建議售價：隨需定價模式，美國西部（奧勒岡）區域，m7i.large每小時0.1008美元（2顆虛擬處理器、8 GiB記憶體），m7i-flex.large為0.09576美元（2顆虛擬處理器、8 GiB記憶體）<br /> ●採用處理器：英特爾第四代Xeon Scalable系列 <br /> ●提供服務規模選擇與最大組態：<br /> m7i.48xlarge，192顆虛擬處理器、768 GiB記憶體、網路頻寬為50 Gbps，硬碟儲存搭配AWS雲端區塊儲存服務EBS，存取頻寬為40 Gbps<br /> m7i-flex.8xlarge，32顆虛擬處理器（基礎效能為40％）、128 GiB記憶體、網路頻寬為12.5 Gbps，硬碟儲存搭配AWS雲端區塊儲存服務EBS，存取頻寬為10 Gbps</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> <p> </p> <p> </p> <p> </p> </div></div></div>
2023/8/9 15:09作者李宗翰https://www.ithome.com.tw/review/158118
Android 14新增行動網路安全功能，可讓管理員關閉手機2G網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2023/08/android-14-introduces-first-of-its-kind.html" target="_blank">Google周二（8/8）宣布</a>，最新手機旗艦作業系統Android 14加入行動網路相關的安全功能，包括可允許限制手機降級使用2G及空密碼（Null Cipher）網路連線的功能。Google聲稱Android是首個加入進階行動網路安全防護技術的手機作業系統。</p> <p>Google說明，下一代Android希望解決舊式行動網路，像是2G網路由來以久的安全問題。以GSM（Global System for Mobile Communication）標準為基礎的2G網路缺乏收、發話端相互驗證，可能引發中間人攻擊。2010年起，安全研究人員也展示過，2G網路流量可輕易攔截及破解。</p> <p>由於全球手機提升到4G及5G，一些惡意攻擊手法，像是假基地臺（false base station，FBS）、IMSI截收器（IMSI Catcher）或稱Stingray，就是利用2G網路簡陋的安全性，加上智慧型手機網路連線可以被悄悄降級到2G網路這點，對不安全的手機網路造成威脅。</p> <p>為此，<a href="https://www.ithome.com.tw/news/148888" target="_blank">Android 12已新增</a>可從「設定」頁關閉2G行動網路的功能。Pixel 6是第一個採用該功能的裝置，現在所有採用Radio HAL 1.6以上介面的Android裝置也都支援這功能。在Android手機中關閉2G網路，可確保用戶在意外發生時還是可以撥打緊急求救電話。</p> <p>而在Android 14中，Google將再進一步，限制Android Enterprise裝置降級到2G網路。Android Enterprise裝置主要是政府發派的公務手機，或企業IT人員管理的公司手機。Google表示，Android 14的2G控管功能，IT管理員可強制列管手機啟用這道防護，關閉2G無線訊號，防止企業及公務人員手機遭到2G流量攔截或中間人攻擊。</p> <p>此外，Android 14還加入一項允許所有用戶關閉空密碼（null cipher）連線的功能選項，只要手機使用最新無線硬體抽象層（HAL）Radio HAL 1.6以上。傳統語音和簡訊的加密，是由電信業者在其手機網路上進行，用戶無從得知，也無法控制。然而一些市售假基地臺裝置可以欺騙手機相信行動網路不支援加密，因而降級到空密碼連線以明碼傳送訊息，進而被攔截。</p> <p>Android 14的空密碼（null cipher）連線控制功能可確保通訊隱私。Google相信未來幾年內隨著Android手機廠商實作到其新手機後，這安全技術會更普及。一如前面的2G安全控制，關閉這連線的手機也仍能利用未加密手機連線撥打緊急電話。</p> </div></div></div>
2023/8/9 13:33作者林妍溱https://www.ithome.com.tw/news/158180
英國選舉委員會遭駭客入侵，選民資料全曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.electoralcommission.org.uk/privacy-policy/public-notification-cyber-attack-electoral-commission-systems" target="_blank">英國的選舉委員會（Electoral Commission）在周二（8/8）坦承</a>，該委員會自2021年8月以來就遭到駭客入侵，而一直到去年10月才發現，在這期間，駭客已存取了其存有電子郵件、控制系統與選民登記名冊的伺服器。</p> <p>選舉委員會並未透露外洩名冊含有多少筆資料，僅說被存取的名冊涉及2014年至2022年之間所登記的當地及海外選民，且只含有他們的姓名、地址，以及到達投票年齡的日期。</p> <p>至於該伺服器上的電子郵件系統則存放了與該選舉委員會往來的通訊郵件，可能外洩的個資包括電子郵件帳號、姓名、地址、聯絡電話，以及在郵件內容中提及的個人資訊。</p> <p>另外還有一些名冊的副本，是該委員會為了研究目的，或是檢查政治捐獻的許可性而存放在遭到駭客存取的伺服器上。</p> <p>儘管這代表著這9年來英國選民的資料幾乎全都曝光了，但該委員會認為只有姓名與地址應該不致於對使用者帶來高風險，除非駭客還結合了許多於公眾領域可蒐集的資料，相關攻擊既不會影響選舉程序，也不會危害任何人參與民主程序的權利與機會，亦未波及任何人的選舉登記狀態。</p> <p>在此次的意外之後，英國選舉委員會採取了多項措施來強化系統安全，包括加強網路登入要求，改善了主動威脅的監控及警告系統，以及更新防火牆政策等。</p> </div></div></div>
2023/8/9 13:53作者陳曉莉https://www.ithome.com.tw/news/158181
美議員質疑Google醫療AI模型訓練資料來源、病患保護措施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.warner.senate.gov/public/index.cfm/pressreleases?id=D22487BB-AE27-4384-B1FE-8EA78901B0FD" target="_blank">美參議院本周去信Google執行長Sundar Pichai</a>，針對Google醫療專用的AI模型Med-PaLM 2表達疑慮，並要求Google更清楚說明參與測試的醫院、Google如何訓練模型，以及如何保護病患自主及隱私權益。</p> <p>Med-PaLM 2是Google最新大型語言模型PaLM2用於醫療業的特化版本，今年Google I/O上也發表了相關報告。Google 4月已開始和一群客戶測試Med-PaLM 2，包括知名的Mayo Clinic，測試項目包括最新的聊天機器人，用以回答醫療問題、為文件重點摘要及整理健康資料。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0809-Google%20IO%202023-Med-PaLM%202(1).png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></p> <p><a href="https://tinyurl.com/23b4vzcr" target="_blank">美國參議院情報委員會主席Mark Warner在致Pichai的信件中說</a>，雖然AI科技號稱有極大幫助，但Google資深研究人員也對自家科技的成熟度態度保留。此外，Google對Med-PaLM 2是在哪裏測試、用以訓練的資料來源、病患知道多少、能不能拒絕AI，以及Google採取哪些措施防範AI偏差，這些外界大部分無所得知。</p> <p>雖然AI對改善病患照護及健康有很大潛力，但Warner擔心未經驗證的科技過早部署可能導致削減醫療機構與專家的信任、加深現有存在醫療治療效果的種族不平等，以及診斷和照護疏失風險增加。</p> <p>他並直指AI公司將搶占市場的考量置於病患福祉之前，也擔憂Google在未告知且獲得病患同意下，以其敏感資訊來訓練Med-PaLM 2。這早有前例：<a href="https://www.ithome.com.tw/news/134146" target="_blank">2019年《華爾街日報》報導</a>，Google和醫療體系Acension合作時，未經病患同意存取了上千萬病患姓名、診斷資料。</p> <p>Warner提出多個問題要Google回應。包括Med-PaLM 2如何避免大型語言模型的已知問題，像是「諂媚者」（sycophany，即模型會提供使用者偏好的答案）現象，後者可能導致醫療誤診。他並質疑，Google從未對外公開過Med-PaLM 2文件，包括訓練資料是否包含機密的健康資訊、也從未說明Google對Med-PaLM 2多久重新或部分再訓練一次。他希望Google提供參與Med-PaLM 2的醫院清單，以及Google是否提供Med-PaLM 2系統文件或測試資料給參與測試的醫院，包括Mayo Clinic。</p> <p>在病患權益問題上，Warner要求Google說明如何防範Med-PaLM 2濫用、誤用、或是模型部署中，如何防範病患資料外洩。另外，在醫院測試時，病患是否知情及知道多少，以及病患是否有opt-in或opt-out的權利，以確保不加入測試。</p> <p><a href="https://thehill.com/policy/healthcare/4143447-senator-warns-google-over-ai-use-in-hospitals/" target="_blank">Google官方初步回應</a>，Med-PaLM 2已提供給特定醫療機構進行少部分測試以探索使用場景及提供回饋意見，這些客戶擁有資料控管權。Google並指出Med-PaLM 2是PalM 2針對醫療應用微調出的版本，而Warner混淆了Med-PaLM 2和聊天機器人。但Google未說明，Pichai是否會正式回應議員的問題。</p> <p>Warner的動作反映美國行政當局規範AI的意圖，AI業者預計多半會從善如流。<a href="https://www.ithome.com.tw/news/157911" target="_blank">上個月包括OpenAI、微軟、Google等7大AI業者向白宮承諾</a>將協助AI的安全、可靠發展，包括安全為優先的產品開發、建置計畫、打造標記AI內容的技術，以及確保防範AI侵犯隱私、深化偏見及歧視等。</p> </div></div></div>
2023/8/9 12:00作者林妍溱https://www.ithome.com.tw/news/158177
英特爾修補波及Skylake、Tiger Lake與Ice Lake晶片及數十億裝置的安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00828.html" target="_blank">英特爾（Intel）周二（8/8）修補</a>了一個<a href="https://www.intel.com/content/www/us/en/developer/topic-technology/software-security-guidance/processors-affected-consolidated-product-cpu-model.html" target="_blank">波及Skylake、Tiger Lake、Ice Lake等眾多晶片系列的重大安全漏洞CVE-2022-40982</a>，這是一個資訊揭露漏洞，將允許駭客取得電腦上其它使用者的密碼、金鑰或個人資料，令全球數十億的雲端與個人電腦存在安全風險，使得發現該漏洞的Google安全研究人員Daniel Moghimi直接將它稱為「覆沒」（Downfall）漏洞。</p> <p><a href="https://downfall.page/" target="_blank">Moghimi解釋</a>，由於英特爾處理器中的記憶體最佳化功能無意中向軟體揭露了內部的硬體暫存器，而使得不可靠的軟體得以存取其它程式所儲存的資料，其用來加速存取記憶體零散資料的Gather指令，可在推測執行期間洩露暫存器檔案的內部向量內容。</p> <p>因此，駭客可誘導使用者下載一個惡意程式，以用來存取電腦上其它應用程式的機密資料，包括密碼、加密金鑰，或是銀行資訊、電子郵件或訊息等個人私有資料。若是攻擊雲端電腦，那麼駭客也有機會取得其它使用該電腦的客戶憑證。</p> <p>Moghimi已經打造出概念性驗證攻擊程式，並示範如何利用該漏洞竊取電腦上其它使用者的加密金鑰，或是竊取Linux Kernel中的任何資料。</p> <p>從第六代Skylake到第十一代Tiger Lake的Intel Core處理器都受到波及，再加上英特爾在全球伺服器市場的占有率超過70%，使得Moghimi估計絕大多數的電腦使用者應該都受到該漏洞的影響，而且該漏洞非常地實用，他只花了2周的時間就成功自OpenSSL竊取加密金鑰；相關攻擊的唯一條件是駭客與受害者共享同樣的處理器核心，而這是現代運算很常見的狀態。</p> <p>此一漏洞自2014年起便存在於英特爾處理器中，且攻擊程式可以偽裝成無害的應用程式，因此並不容易偵測，目前的防毒軟體亦無法偵測相關攻擊，理論上可以開發一個利用硬體效能計數器來偵測異常行為，此外，雖然Moghimi是利用所開發的新程式來進行攻擊，但他認為駭客也有可能利用系統上既有的瀏覽器來攻擊此一漏洞。</p> <p>Moghimi是在去年8月發現並向英特爾提報此一漏洞，英特爾則花了近一年的時間來更新所有受影響處理器的韌體，該漏洞的CVSS風險評分為6.5。</p> </div></div></div>
2023/8/9 12:50作者陳曉莉https://www.ithome.com.tw/news/158179
採用L3快取破1GB的AMD第四代EPYC，微軟新一代HPC運算服務正式上線
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/azure_hbv4-main.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從去年底到今年中，兩大伺服器處理器廠商陸續發表多款第四代產品，以AMD為例，2022年11月發表第四代EPYC 9004系列（代號Genoa），預告2023年上半將推出代號為Bergamo、Genoa-X的處理器，對應雲端原生與科技運算等兩大市場，下半則是代號為Siena的處理器，對應智慧型邊緣運算與電信領域的需求，到了今年6月中舉行的Data Center and AI Technology Premiere大會，他們宣布推出最多可提供128顆Zen 4c核心的EPYC 97X4系列，以及L3快取容量最大超過1 GB（3D-V Cache）、最多可提供96顆Zen 4核心的EPYC 9000X系列，並在美國西部區域的資料中心開放用戶預覽。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-13-AMD%20Azure%20HBv4_HX.jpg" style="width: 600px;" /></p> <p>而在率先採用這批新進處理器的廠商案例，微軟Azure在去年底AMD第四代EPYC發表會，預告新一代高效能運算（HPC）執行個體服務HBv4系列、HX系列將導入Genoa-X，等到今年6月AMD正式發表EPYC 9000X系列處理器之際，微軟宣布這兩個系列服務正式上線，公開更多細部規格，初期先開放美國東部區域使用（目前美國東部區域可用HBv4系列，美國東部2區域可用HX系列），之後將開放韓國中部（目前已開放HBv4系列）、美國中南部（目前已開放HBv4系列）、瑞士中部、東南亞等區域。若參照Azure網站公開的售價資訊，我們看到在美國東部、美國東部2、美國中南部、美國西部3、瑞士中部、西歐、韓國中部等區域，均可查到HBv4系列與HX系列的價格（美國中南部未列HX系列價格）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure HBv4_HX Offering zone.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20HBv4_HX%20Offering%20zone.jpg" style="width: 600px;" /></a></p> <p>根據去年11月微軟在Azure部落格揭露的資訊來看，這兩個即將推出的高效能運算服務，依據處理器核心數量的多寡，均區分為5個組態，提供24顆、48顆、96顆、144顆、176顆實體處理器核心，搭配DDR5記憶體、頻寬為800GB/s（HBv4系列均配置688 GB記憶體，HX系列系列均配置1,408GB記憶體），網路環境為400Gb InfiniBand（採用Nvidia Quantum-2交換器與ConnectX-7網路介面卡），以及80GbE（Azure加速網路）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure HBv4_HX zie.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20HBv4_HX%20zie.jpg" style="width: 600px;" /></a></p> <p>今年6月HBv4系列與HX系列正式登場之後，微軟揭露這些執行個體服務採用2顆AMD EPYC 9V33X處理器，每顆CPU內建96顆Zen4實體核心（停用SMT同時多執行緒功能），以及1,152 MB容量的L3快取，而在運作頻率上，9V33X的基礎時脈為2.4 GHz，尖峰時脈為3.7 GHz。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-06-Azure HBv4 SPEC-RachelPruitt_0-1686677735179.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-Azure%20HBv4%20SPEC-RachelPruitt_0-1686677735179.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-06-Azure HX SPEC-RachelPruitt_1-1686677784000.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-Azure%20HX%20SPEC-RachelPruitt_1-1686677784000.jpg" style="width: 298px;" /></a></p> <p>相較之下，AMD在6月中發表的3款Genoa-X處理器，規格與Azure這兩款服務所用的CPU大同小異。以處理器內建核心最多的9684X為例，實體核心一樣是96顆、L3快取為1,152 MB，時脈最高為3.7 GHz，但基礎時脈為2.55 GHz，也能啟用SMT而提供192個執行緒。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-06-AMD EPYC Genoa-X spec2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-AMD%20EPYC%20Genoa-X%20spec2.jpg" style="width: 600px;" /></a></p> <p>而在效能呈現上，微軟去年底公布的測試結果，以使用4年之久的高效能運算伺服器作為基準，觀察在9種軟體應用之下，HBv3系列（採用120核心的AMD EPYC 7V73X）、HBv4系列與HX系列（採用176核心的AMD EPYC “Genoa”）的提升幅度，前者可達到1.6倍至3.3倍，而HBv4系列與HX系列則是增長至4至5倍，甚至來到8.5倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure HBv4_HX-2022-11-969991b7-d595-46fe-a03c-92cba2a36248.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20HBv4_HX-2022-11-969991b7-d595-46fe-a03c-92cba2a36248.jpg" style="width: 600px;" /></a></p> <p>趁著AMD今年6月發表新款處理器，微軟針對正式上線的兩款HPC運算服務也公布新的效能測試結果，他們這次以HBv3系列比較基準進行8種應用的測試，而採用AMD EPYC 9V33X處理器的HBv4系列與HX系列，效能增長幅度達到1.6倍到5.7倍，</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure HBv4_HX-2023-06-Picture1-4-2048x1475.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20HBv4_HX-2023-06-Picture1-4-2048x1475.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，微軟這次針對記憶體容量配置比HBv4系列多一倍的HX系列，進行效能測試比較，在執行MSC Nastran車輛結構分析模擬中，HX系列的效能可達到HBv3系列的3倍，若以4年前推出、至今仍廣泛使用的HC系列為基準，新上市的HX系列可提供9.2倍的效能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20HX-2023-06-RachelPruitt_2-1686678980596.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>微軟Azure HBv4系列<br /> ●原廠：微軟<br /> ●建議售價：美國西部3，隨用隨付方案每月為5,256美元<br /> ●執行個體服務選擇：Standard_HB176-24rs_v4、Standard_HB176-48rs_v4、Standard_HB176-96rs_v4、Standard_HB176-144rs_v4、Standard_HB176rs_v4 <br /> ●搭配的處理器平臺：2顆AMD EPYC 9V33X，96核心，基礎時脈為2.4 GHz、尖峰時脈為3.7 GHz<br /> ●記憶體容量：656 GiB<br /> ●本機硬碟容量：2臺1.8 TB NVMe SSD<br /> ●網路：400 Gb InfiniBand（ConnectX-7）、40 GbE（Azure第二代SmartNIC）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/8/9 10:49作者李宗翰https://www.ithome.com.tw/review/158134
Zoom修正不經同意使用客戶影音、文字資料訓練AI的用戶政策
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在遭到媒體揭露將在不取得用戶同意情況下，運用用戶資料來訓練其AI模型後，<a href="https://blog.zoom.us/zooms-term-service-ai/" target="_blank">Zoom昨（7）日修正</a>，表示不會在未經用戶同意下動用用戶的影音、文字資料。</p> <p><a href="https://stackdiary.com/zoom-terms-now-allow-training-ai-on-user-content-with-no-opt-out/" target="_blank">周一《StackDiary》報導</a>，今年初Zoom在其用戶條款中，更新了2個章節，分別是關於使用Zoom服務自動產生的資料，以及用戶授權Zoom使用。前者說明，用戶同意Zoom有權存取、使用、蒐集、產生、修改、傳布、分享、處理、儲存和維護用戶使用該服務所產生的資料。這些資料包括遙測（telemetry）、產品使用、診斷等資料。</p> <p>後者內容則大意是指用戶提供Zoom免權利金、永久、全球、非獨家及可轉移的授權，以使用「用戶內容」（如影片、語音、文字對話）以作為產品研發、行銷、測試及支援服務等用途。Zoom更新條款增加了機器學習、人工智慧。這項用途也同樣擴及前述服務自動產生的資料及集體匿名資料。</p> <p>報導質疑新增的條文讓Zoom未來可在沒有明確告知用戶情況下，使用用戶內容及資料來訓練其AI模型。</p> <p><a href="https://blog.zoom.us/zooms-term-service-ai/" target="_blank">Zoom周一旋即澄清</a>，該公司變更條款是為了更清楚說明用戶資料的用途。Zoom表示，公司希望取得用戶授權，用這些影片、聲音和聊天內容開發加值服務，但用戶還是擁有內容的所有權。至於平台蒐集Zoom服務產生的遙測或診斷資料，則是為了改進用戶體驗。</p> <p>Zoom說明，為訓練機器學習而取得用戶授權，則是為了提供加值服務或改善服務。例如Zoom想自動掃瞄Webinar邀請／提醒，以確保他們這些通知並沒有被用於垃圾郵件或詐騙用戶。Zoom強調，在用戶內容方面，Zoom不會在未取得用戶同意前使用影像、聲音和聊天內容來訓練其AI模型。<a href="https://gizmodo.com/zoom-ai-privacy-policy-train-on-your-data-1850712655" target="_blank">不過也有媒體指出</a>，這段話並未包含服務自動產生的遙測及診斷資料。</p> <p>Zoom也積極在服務中加入以生成式AI強化功能。例如，Zoom近日推出IQ會議摘要及IQ Team Chat撰寫輔助2項功能供免費試用，可加速產出會議記錄及對話文字。但Zoom強調，帳號持有者及管理員都可以自行決定是否啟用。</p> </div></div></div>
2023/8/9 09:31作者林妍溱https://www.ithome.com.tw/news/158175
資料科學家愛用程式語言Julia首進Tiobe Index前20名
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>程式語言受歡迎排行榜<a href="https://www.tiobe.com/tiobe-index/">TIOBE Index發布最新8月排名</a>，排名出乎預期，資料科學家愛用程式語言Julia，初次擠身TIOBE Index前20名之列。</p> <p>Julia是一種高階程式語言，專門為科學和工程計算設計，由一群擁有科學運算專業的研究人員在2009年開始開發，並且於2012年的時候首次公開。Julia的特點在於高效能，其語言的設計目標是希望Julia能像是C或是Fortran一樣的高執行速度，因此使用JIT編譯來實現高效能，但又能保有動態語言的靈活性。</p> <p>Julia可以直接呼叫C和Fortran函式，同時也提供一套原生的並行運算工具，因此很適合在多核心或是分散式系統上執行。而Julia與資料科學家常用的工具Jupyter Notebook，或是其他互動式開發環境整合良好，方便資料分析與視覺化。</p> <p>但以資料科學和數學運算領域來說，在TIOBE Index前20名已經有許多前輩，像是Python、R和MATLAB，究竟Julia的優勢為何？TIOBE執行長Paul Jansen解釋，普遍來說，Julia運算速度比Python快，也比R更適合編寫大型系統，而且因為Matlab是商業軟體，因此企業使用Julia的開發成本會比Matlab低上不少。</p> <p>Julia的速度、可擴充性和開源特性，讓Julia逐漸受到資料科學家的關注，但是Julia是否能夠繼續維持排名，則還需要觀察。</p> <p><a href="http://www.ithome.com.tw/article/147584" target="_blank"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 相關報導 </span></span> <span style="color:#3399ff;">Julia資料科學新女神降臨</span> </strong></a><a href="http://www.ithome.com.tw/article/147584" target="_blank"><strong style="color: rgb(255, 255, 255);"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/juliazhu_tu_.png?itok=kCiJrvR6" style="width: 550px;" /></strong></a></p> </div></div></div>
2023/8/9 09:45作者李建興https://www.ithome.com.tw/news/158174
【資安日報】8月8日，殭屍網路病毒SkidMap出現變種，鎖定Redis伺服器而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>記憶體資料庫Redis近期經常傳出遭攻擊的事故，例如，上個月出現的惡意程式P2PInfect，就是針對這類資料庫而來。名為SkidMap的殭屍網路病毒同樣鎖定Redis，如今出現新的變種，但值得留意的是，駭客的主要目標是未設置密碼的Redis伺服器，而在不需暴力破解的情況下就能對其發動攻擊。</p> <p>駭客宣稱提供專屬網路犯罪圈的生成式AI語言模型，也相當值得留意。有有研究人員在地下論壇與兜售FraudGPT的賣家洽談，根據他們的對話觀察，駭客可能也開始用另一個生成式AI服務Google Bard為基礎，打造新的網路犯罪工具。</p> <p>另一種AI被用於網路攻擊的情況，是拿來分析使用者鍵盤輸入的帳密資料以便進行竊密。3名英國研究人員打造可識別逾9成使用者輸入內容的機器學習模型，他們發現甚至在視訊會議的過程也有機會運用此技術，而能側錄、解析這種類型的資訊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/honeypot-recon-new-variant-of-skidmap-targeting-redis/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Redis伺服器遭到殭屍網路SkidMap鎖定，用於挖礦牟利</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/SkidMap002.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SkidMap002.png" style="width: 300px; float: right;" /></a>有鑑於鎖定記憶體資料庫Redis的攻擊行動不斷出現，有更多研究人員進行相關調查，結果發現有新的殭屍網路病毒轉換攻擊目標，針對此類資料庫而來。資安業者Trustwave揭露殭屍網路SkidMap的變種病毒攻擊行動，他們在部署於歐洲中部的蜜罐陷阱（Honypot），看到駭客散布此惡意程式，主要目標是架設於Debian、Ubuntu、Red Hat Enterprise Linux、CentOS等Linux作業系統，且不需進行身分驗證就能存取的Redis伺服器。</p> <p>駭客先是透過GIF圖檔傳遞惡意程式的ELF可執行檔，一旦對方不慎開啟此檔，該殭屍網路病毒會停用SELinux防護機制，並設置反向Shell，每隔60分鐘會嘗試連接攻擊者的伺服器，成功連線後便根據Linux版本下載對應的攻擊工具，進而於受害主機部署挖礦機器人，以及名為mcpuinfo.ko、kmeminfo.ko的rootkit，以便埋藏挖礦行為，並竄改網路封包，而使得發現相關攻擊變得相當困難。</p> <p><a href="https://slashnext.com/blog/ai-based-cybercrime-tools-wormgpt-and-fraudgpt-could-be-the-tip-of-the-iceberg/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客打造AI網路犯罪工具DarkBART、DarkBERT</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/SlashNext-Research-and-FraudGPT-on-Telegram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SlashNext-Research-and-FraudGPT-on-Telegram.png" style="width: 300px; float: right;" /></a>繼WormGPT、FraudGPT等專門用於網路犯罪的生成式人工智慧聊天機器人出現，最近又有新的作案工具。資安業者SlashNext假扮買家，針對兜售FraudGPT的賣家CanadianKingpin12進行調查，結果駭客透露正在研發兩款新型的AI機器人DarkBART、DarkBERT，其特色是可存取網際網路，並且能與Google Lens進行整合，得以傳送帶有圖片的資料。</p> <p>駭客聲稱DarkBART是Google Bard的「黑暗」版本，先是表明他參與相關開發流程，但後來承認僅具備存取權限，研究人員判斷該賣家可能已將其用於攻擊行動；至於另一款AI工具DarkBERT，研究人員根據賣家提供的影片，認為駭客濫用了資料情資業者S2W事先訓練的同名語言模型，此為針對調查暗網情資打造，但這名駭客疑似取得存取權限，並聲稱是自己打造而成。</p> <p><a href="https://arxiv.org/pdf/2308.01074.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員利用AI模型收集鍵盤輸入的敲擊聲，號稱能成功辨識95%輸入的內容</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/keystrokes-recording.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/keystrokes-recording.jpg" style="width: 300px; float: right;" /></a>英國研究人員Joshua Harrison、Ehsan Toreini、Maryam Mehrnezhad表示，他們收集敲擊鍵盤上字母、數字鍵的按鍵聲音，訓練影像分類模型CoAtNet，然後用來識別使用者輸入的文字，結果發現相當準確。若是在筆電旁邊錄下的聲音，文字辨識率達到95%，假如藉由即時通訊軟體Zoom與Skype，是在遠端視訊或音訊會議期間錄下的聲音，辨識率略為下降，分別為93%、91.7%，但還是很高。</p> <p>研究人員指出，這種型態的旁路攻擊可被用於盜竊使用者輸入的密碼，即使被側錄方用的是靜音鍵盤，仍有一定效果，對此，他們呼籲使用者，可以嘗試調整敲擊鍵盤的方法、力道，或是採用動態密碼來減少上述側錄密碼攻擊帶來的危害。</p> <p><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/new-rilide-stealer-version-targets-banking-data-and-works-around-google-chrome-manifest-v3/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊資軟體Rilide透過瀏覽器延伸套件散布</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/d208b23a9a92088ad8601841948a1431bb63c9b0.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/d208b23a9a92088ad8601841948a1431bb63c9b0.png" style="width: 300px; float: right;" /></a>資安業者Trustwave揭露竊資軟體Rilide的攻擊行動，駭客透過瀏覽器延伸套件，鎖定Chrome、Edge、Brave、Opera等以Chromium為基礎開發的瀏覽器而來，並以Manifest V3新版格式開發，而能突破Google對於延伸套件的新規範。</p> <p>研究人員發現可能有多組駭客組織在兜售相關攻擊工具，其中一種型態的攻擊行動裡，透過指令碼注入的手法，主要鎖定澳洲及英國用戶而來。攻擊者假冒銀行、行動支付供應商、電子郵件服務業者、加密貨幣平臺、VPN服務、雲端服務業者，研究人員看到超過1,300個利用偽冒的網域架設釣魚網頁，並透過受信任的搜尋引擎及SEO中毒手法，引誘使用者上當輸入帳密資料，進而散布此竊資軟體。</p> <p>值得留意的是，有一起釣魚郵件是針對Zendesk員工而來，假借提供VPN服務及防火牆應用程式，當中包含了資安業者Palo Alto Networks的GlobalProtect，駭客透過PowerPoint的簡報來提供「安裝步驟」，一旦使用者依照指示操作，他們的瀏覽器就有可能被植入Rilide。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://14520070.fs1.hubspotusercontent-na1.net/hubfs/14520070/Collateral/SynSaber+ICS-Advisory-Project_ICS-Vulnerabilities_First-Half-2023.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員針對今年上半CISA公告的670個ICS、OT漏洞進行分析，逾三分之一缺少修補程式或緩解措施</span></strong></a></p> <p>針對美國網路安全暨基礎設施安全局（CISA），於今年上半對於工業控制系統（ICS）、操作科技（OT）系統發出的資安通告，資安業者SynSaber與ICS Advisory Project聯手進行分析，結果發現，CISA總共揭露了約670個漏洞，當中逾40%與軟體有關，26％影響硬體層面；而從漏洞的嚴重程度來看，88個為重大等級、349個為嚴重等級，對於利用漏洞的容易程度而言，有163個需要一定程度的使用者互動。</p> <p>值得留意的是，今年上半缺乏修補程式或是緩解措施的漏洞，比例竟然有34%，相較於2022年上半的13%高出許多，研究人員指出，起因是西門子今年揭露了逾100個影響Linux核心的漏洞，但尚未發布相關修補程式。</p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-fixes-flaw-after-being-called-irresponsible-by-tenable-ceo/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟修補Azure程式碼開發平臺Power Platform漏洞</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PowerPlatform-diag.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/PowerPlatform-diag.png" style="width: 300px; float: right;" /></a>微軟於8月4日宣布，他們成功修補資安業者Tenable於3月底通報的程式碼開發平臺Power Platform漏洞，該漏洞存在於其自訂連接器（Custom Connector），一旦攻擊者傳送特定的呼叫內容，觸發組織IT人員加入的C#程式碼，就有可能找到與目標組織有關的Azure Function主機名稱。</p> <p>資安業者Tenable指出，由於上述的連接器當中，有許多用於傳送Power Platform及第三方服務的身分驗證資訊，攻擊者若是存取防護不夠周全的Azure Function主機，就有機會取得OAuth用戶ID、密碼、金鑰等資訊，進而存取第三方服務和應用程式。研究人員指出，該漏洞遭到利用的後果有可能不只是造成資料外洩，攻擊者甚至能用來執行程式碼。</p> <p>微軟首度於6月7日嘗試修補漏洞，並於7月6日通知Tenable，卻被發現修補不全，在研究人員預告於7月底揭露漏洞的壓力之下，微軟於8月初完成修補，並強調該漏洞尚未出現遭到利用的跡象。</p> <p>資料來源</p> <p>1. <a href="https://msrc.microsoft.com/blog/2023/08/microsoft-mitigates-power-platform-custom-code-information-disclosure-vulnerability/">https://msrc.microsoft.com/blog/2023/08/microsoft-mitigates-power-platform-custom-code-information-disclosure-vulnerability/</a><br /> 2. <a href="https://www.tenable.com/security/research/tra-2023-25"><span class="link-annotation-unknown-block-id-343621836" style="border-bottom: 0.05em solid rgba(55, 53, 47, 0.4); border-top-color: rgba(55, 53, 47, 0.4); border-right-color: rgba(55, 53, 47, 0.4); border-left-color: rgba(55, 53, 47, 0.4); opacity: 0.7;">https://www.tenable.com/security/research/tra-2023-25</span></a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.rapid7.com/blog/post/2023/08/02/security-implications-improper-deacquisition-medical-infusion-pumps/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">已被淘汰、轉售的二手醫療輸液泵浦恐曝露醫療機構的Wi-Fi資料</span></span></strong></a></p> <p><a href="https://www.sentinelone.com/labs/comrades-in-arms-north-korea-compromises-sanctioned-russian-missile-engineering-company/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯導彈製造商遭北韓駭客ScarCruft入侵，植入後門程式OpenCarrot</span></span></strong></a></p> <p><a href="https://cdhe.colorado.gov/news-article/colorado-department-of-higher-education-provides-notice-of-data-incident"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國科羅拉多州教育機構證實遭到勒索軟體攻擊，師生資料外洩</span></span></strong></a></p> <p><a href="https://www.kasada.io/threat-intel-openbullet-malware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客假借提供OpenBullet的組態檔案，意圖散布竊資軟體</span></span></strong></a></p> <p><a href="https://eprint.iacr.org/2022/1228"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露攻擊處理器的手法Sacrf</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158162">【8月7日】韓國Linux主機遭到惡意程式Reptile鎖定</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158111">【8月4日】駭客利用Salesforce零時差漏洞發動網釣攻擊，目的是竊取企業的臉書帳號</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158077">【8月2日】美國針對軍事補給相關系統進行清查，中國駭客埋入可能干擾軍事行動的惡意軟體</a></strong></p> </div></div></div>
2023/8/8 18:30作者周峻佑https://www.ithome.com.tw/news/158173
強化程式開發流程與環境安全，紅帽打造可信賴的軟體供應鏈
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/red_hat_trusted_software_supply_chain-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近幾年來，軟體供應鏈攻擊事件頻傳，無論是商用封閉軟體或開放原始碼軟體，都蒙受相當大程度的威脅，<a href="https://www.ithome.com.tw/news/150237">美國白宮持續呼籲各界並推動相關的政策</a>，號召微軟、Google、蘋果、Amazon及IBM等大型科技公司，促使他們承諾協力推動資安；在2022年2月，Linux基金會成立的開源軟體安全基金會（OpenSSF）也成立Alpha-Omega計畫，目標是改善1萬種開放原始碼軟體專案的軟體供應鏈安全。</p> <p>同年5月，<a href="https://www.ithome.com.tw/news/150970">Google</a>發表<a href="https://cloud.google.com/blog/products/identity-security/introducing-assured-open-source-software-service">Assured Open Source Software（Assured OSS）</a>的服務，為企業與政府機關提供Google內部開發人員在工作流程當中使用的開放原始碼軟體套件，這些都已通過他們定期執行的資安漏洞掃描、分析、模糊測試，以及簽署驗證，並遵循軟體製品供應鏈安全等級框架（SLSA）的規範，預計第三季開放預覽測試；10月他們發表代管服務型態的軟體供應鏈安全解決方案，稱為<a href="https://cloud.google.com/blog/products/devops-sre/introducing-software-delivery-shield-from-google-cloud">Software Delivery Shield</a>，Assured OSS是此服務的重要部分，並提到處於預覽狀態的Assured OSS，可提供超過250種橫跨Java和Python語言的軟體套件。到了<a href="https://cloud.google.com/blog/products/identity-security/google-cloud-assured-open-source-software-service-now-ga">今年4月，Assured OSS正式推出</a>，免費提供超過1千種常見的Java和Python軟體套件，涵蓋TensorFlow、Pandas、Scikit-learn等熱門的機器學習與人工智慧軟體專案。</p> <p>除了公有雲大廠Google帶頭推動軟體資安防護，作為長期推廣開放原始碼軟體產品與服務的主力系統平臺廠商紅帽，今年上半也正式投入這個領域的經營，他們在5月底舉行的年度用戶大會期間，宣布推出Red Hat Trusted Software Supply Chain，希望能藉此強化因應軟體供應鏈資安漏洞的韌性，促成企業與組織導入DevSecOps，吸引更多用戶採行應用程式安全開發與部署實務，將資安整合到軟體開發生命週期。</p> <p>在這套解決方案當中，紅帽秉持既有的系統映像防護軟體<a href="https://www.ithome.com.tw/review/129692">Red Hat Quay</a>、雲端原生防護服務<a href="https://www.ithome.com.tw/review/153906">Red Hat Advanced Cluster Security（ACS）</a>之餘，也將推出兩款新的雲端服務，分別是：Red Hat Trusted Application Pipeline（RHTAP）、RedHat Trusted Content（RHTC）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Red Hat Trusted Software Supply Chain Components.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Red%20Hat%20Trusted%20Software%20Supply%20Chain%20Components.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>針對程式碼組建，提供整合安全概念的CI/CD管線流程</strong></span></h3> <p>其中的RHTAP目前已開放用戶預覽，這套雲端服務發展的基礎，源於紅帽開發與維護的<a href="https://www.sigstore.dev/">開放原始碼軟體專案Sigstore</a>，可提供用於雲端原生環境簽署的免費標準，對於許多位處軟體開發流程上游的社群而言，也能從中獲得維繫共享資安基礎架構的關鍵部分，紅帽表示，這裡會供應朝向資安防護發展的軟體持續整合／持續交付（CI/CD）服務，結合他們組建自家商用軟體產品的專業知識，簡化採用相關流程與技術的程序，可提供一套能馬上使用且聚焦資安防護的開發管線流程（pipeline），改善調度指揮相關作業的安全性，以及遵循業界標準與法規要求的程度，而不會拖慢軟體開發生產速度與效率。</p> <p>具體而言，RHTAP會在開放原始碼軟體相依性的範圍之內，為開發人員提供已知資安漏洞與風險的即時知識，並提出矯正這些問題、大幅降低威脅的可行建議，協助減少開發時間與成本。開發人員能運用自動化、聚焦在資安的CI/CD流程來組件應用程式，當中會執行系統與容器映像的持續掃描，軟體的來源檢查、見證，以及自動產生遵循業界標準與法規要求的軟體物件清單，促使IT部分能夠精確掌握軟體元件的資產，同時改善開發效率與生產力。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-05-red-hat-trusted-software-supply-chain-img2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-red-hat-trusted-software-supply-chain-img2.jpg" style="width: 600px;" /></a></p> <blockquote><p>Red Hat Trusted Application Pipeline負責守護應用程式組建流程的安全性，提供自動化、聚焦在資安的CI/CD工作流程，可持續執行映像掃描、來源檢測、見證查核，以及SBOM的自動產生，以遵循業界標準與法規要求。</p> </blockquote> <p>而在整合CI/CD開發管線流程之後，RHTAP可協助用戶強化應用系統的軟體供應鏈安全，開發者能以更有效率的方式組建應用程式，透過簡便方式將軟體整合至Linux容器，之後僅需透過幾個點選的動作，即可部署到紅帽OpenShift或其他Kubernetes平臺。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHTAP-2023-05-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHTAP-2023-05-2.jpg" style="width: 600px;" /></a></p> <p>舉例來說，企業如要經由雲端服務匯入git儲存庫，設定容器原生程式持續執行組建、測試、部署的管線流程，相關的操作步驟數量能夠因此變得更少；在此同時，企業可進行程式原始碼與<a href="https://en.wikipedia.org/wiki/Transitive_dependency">遞移相依性</a>（Transitive dependencies，是指軟體元件之間存在著間接相依性）的檢測，而程式組建過程中，也能自動產生軟體物料清單（SBOM）；透過發行條件政策引擎的使用，可協助企業查驗與提升容器映像的安全性，RHTAP能確認這些環境能否遵循SLSA這類業界軟體安全框架的要求，維持一致性。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHTAP-2023-05-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHTAP-2023-05-4.jpg" style="width: 600px;" /></a></p> <p>紅帽表示，目前如果要實現上述的使用方式，往往需要大量人工作業處理，用戶必須事先撰寫數百行自動化處理程式碼，才能一口氣完成容器化應用程式的組建、測試、部署，而手動處理有可能導致潛在的動作摩擦與人為錯誤，從而衍生新的風險、拖慢完成整體程式開發產量的速度。</p> <p>基本上，RHTAP在守護應用程式組建系統安全性，以及整理說明全部套件與相依性的部分，預計將提供許多減輕人工負擔的功能，像是：可匯入用戶既有的GitHub儲存庫，也能使用紅帽提供的多種套裝樣本來處理；提供開發管線流程，用戶能在建立Java、Python、Node、Go等語言或開發平臺的應用程式時，將軟體整合到容器映像當中，並經由Kubernetes環境的自定資源定義（CRD）控制器<a href="https://github.com/tektoncd/chains">Tekton Chains</a>，將適當的見證、密碼學簽章，以及來源資訊，套用到容器映像。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHTAP-2023-05-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHTAP-2023-05-1.jpg" style="width: 600px;" /></a></p> <p>若需支援GitOps的持續部署作業（CD），RHTAP也能經由本身內嵌的宣告式工具ArgoCD（同樣是以Kubernetes控制器實作而成），而將應用程式部署至用戶的Kubernetes。</p> <p>在容器映像的發布上，RHTAP能提供企業級的契約驅動（contract-driven）軟體發行規畫，可提供超過43種以政策語言Rego寫成的規則，用來查驗用戶的容器映像是否符合SLSA指引的要求，例如，在自動產生的SBOM當中，需提供完成簽署的程式組建來源資訊，以及程式組建必須在網路隔離的狀態執行，基礎映像須從適當的容器映像登錄服務拉取。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHTAP-2023-05-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHTAP-2023-05-3.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>強化預防與識別惡意程式碼的能力</strong></span></h3> <p>至於RHTC的作用，能協助用戶在開發程式碼的階段，就能辨別遞移相依性與資安漏洞，促使企業與組織能夠在開發流程當中，及早掌握與緩解已知的軟體資安風險與漏洞暴露，可免除手動處理的困難、避免進行耗時耗力的重複作業。</p> <p>而有了RHTC之後，用戶可在此存取受信任的內容儲存庫：紅帽本身組建與精選的開放原始碼軟體內容，這些都是套用他們內部最佳實務而成，已完成簽署、來歷查核，並提供他們的見證，開發者可從中挑選可重複使用的元件。</p> <p>對於已經上線的應用程式，RHTC也能主動監控當中使用的開放原始碼軟體套件，其原始碼是否存在遞移相依性，以及潛在的資安漏洞而可能導致新興或正在崛起的威脅，若出現這類狀況，可發出警示，促使用戶可以更快矯正這些問題。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHTC-2023-06-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHTC-2023-06-2.jpg" style="width: 600px;" /></a></p> <p>上述識別機制可整合在開發者電腦使用的整合式開發環境（IDE），當中會執行即時的軟體組成分析（Software Composition Analysis，SCA）。除此之外，RHTC也將提供更容易查詢紅帽產品與套件相關的資安漏洞交換資訊（VEXs），以及軟體物料清單的功能，用戶也能上傳本身擁有的軟體物料清單進行分析，從而深入掌握相依性與漏洞。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHTC-2023-06-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHTC-2023-06-1.jpg" style="width: 600px;" /></a></p> <p>關於RHTC的發展，紅帽表示，它是建立在紅帽長期強化自家系統軟體安全的基礎而成，範圍涵蓋他們的企業級Linux作業系統軟體RHEL，以及多個重要的應用程式執行時期元件，橫跨Java、Node、Python軟體生態體系，可提供企業級、經過安全強化，而且是值得信任的軟體內容與專業知識，讓用戶開發應用程式時，能夠更安心搭配開放原始碼軟體套件。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-red-hat-trusted-software-supply-chain-img1.jpg" style="width: 600px;" /></p> <blockquote><p>在軟體開發流程當中，Red Hat Trusted Content負責守護程式碼層級的安全性，提供通過紅帽檢核的授信任軟體套件內容儲存庫，以及整合在整合式開發環境（IDE）的軟體組成分析工具，檢查使否存在已知資安漏洞與遞移相依性。</p> </blockquote> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>Red Hat Trusted Software Supply Chain<br /> ●原廠：Red Hat<br /> ●建議售價：廠商未提供<br /> ●解決方案型態：雲端服務<br /> ●涵蓋產品與服務：<br /> Red Hat Trusted Content負責程式碼管理<br /> Red Hat Trusted Application Pipeline負責組建管線流程調度指揮<br /> Red Hat Advanced Cluster Security Cloud Service負責執行階段監控<br /> Red Hat Quay負責系統映像管理<br /> ●功效：精進DevSecOps推動實務、將資安嵌入軟體開發生命週期</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/8/8 19:46作者李宗翰https://www.ithome.com.tw/review/158127
微軟生成式AI用Azure ND H100 v5 VM正式上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟今年3月宣布開放預覽的生成式人工智慧專用虛擬機器<a href="https://azure.microsoft.com/en-us/blog/scale-generative-ai-with-new-azure-ai-infrastructure-advancements-and-availability/">Azure ND H100 v5，現在正式上線</a>，該虛擬機器配備Nvidia H100 Tensor Core GPU與低延遲網路設備，可用於執行複雜的生成式人工智慧運算。另外，微軟也擴大Azure OpenAI服務規模，新增在澳洲、亞洲和歐洲雲端地區提供服務。</p> <p>Azure ND H100 v5的特色在於，配備8個Nvidia在2023年新推出的資料中心用H100 Tensor Core GPU，以及採用低延遲Quantum-2 ConnectX-7 InfiniBand網路設備，每個虛擬機器可擁有高達3.2 Tb/s的跨節點頻寬，相當於每個GPU可獲得400 Gb/s的頻寬，確保跨GPU的運算效能。</p> <p>Azure ND H100 v5的CPU使用第4代Intel Xeon Scalable處理器，而GPU與主機介面使用PCIe Gen5，每個GPU可以獲得64GB/s的頻寬，進一步減少CPU和GPU間的傳輸瓶頸。</p> <p>有了H100 Tensor Core GPU的加持，ND H100 v5運算效能較上一代的虛擬機器更好，由於H100支援FP8浮點數資料型別，因此ND H100 v5在矩陣運算上，效能可為上一代ND A100 v4的6倍，執行BLOOM 175B端到端大型語言模型推理，速度則是上一代的2倍。</p> <p>盤點Nvidia在其2022 GTC大會中，預告將會部署H100執行個體的雲端供應商，目前正式推出的服務有AWS的<a href="https://www.ithome.com.tw/review/158051">Amazon EC2 P5</a>，以及微軟Azure ND H100 v5，而<a href="https://cloud.google.com/blog/products/compute/introducing-a3-supercomputers-with-nvidia-h100-gpus">Google雲端的A3</a>，還有<a href="https://blogs.oracle.com/cloud-infrastructure/post/limited-availability-oci-compute-nvidia-h100">甲骨文OCI採用H100的執行個體</a>則仍在預覽測試階段。</p> <p>除了Azure ND H100 v5虛擬機器的正式推出外，微軟也宣布擴大提供OpenAI GPT-4和GPT-35-Turbo的Azure OpenAI服務，除了原本的美國東部、美國中南、法國中部和西歐，現在更增加了澳洲東部、加拿大東部、美國東部2、日本東部和英國南部地區。</p> </div></div></div>
2023/8/8 16:24作者李建興https://www.ithome.com.tw/news/158172
研究人員以AI模型竊聽鍵盤聲可達到95%的準確率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://arxiv.org/pdf/2308.01074.pdf" target="_blank">來自英國3所大學的3名研究人員Joshua Harrison、Ehsan Toreini與Maryam Mehrnezhad近日發表了一篇研究報告</a>，指出他們以使用者打擊鍵盤的聲音所開發的機器學習模型，可以準確地判斷使用者輸入的文字，若是以放在筆電旁的手機進行側錄以訓練模型，準確率高達95%，利用通訊軟體進行遠端攻擊也有超過90%的準確率。</p> <p>研究人員先是蒐集了筆電上36個按鍵的聲音，包括26個英文字與10個阿拉伯數字，每個按鍵都以不同的手指或壓力按了25次，之後把這些聲波視覺化，強化每個鍵擊的差異，產生梅爾頻譜，再以它們來訓練既有的影像分類模型CoAtNet，隨後即可利用CoAtNet來判斷使用者所輸入的文字。</p> <p>蒐集鍵擊聲的方式不同，準確率就不同。其中一項實驗是把一支iPhone 3 mini放在一臺蘋果M1 Pro版的MacBook Pro旁邊約17公分處，以蒐集打擊MacBook Pro鍵盤的聲音，所訓練出來的模型可達95%的準確率。</p> <p>研究人員還實驗了Zoom與Skype，他們藉由遠端會議來蒐集目標對象的鍵擊資料，再以這些資料來訓練模型，透過Zoom側錄的準確率有93%，透過Skype也有91.7%。</p> <p>這類的旁路攻擊主要是可獲得受害者所輸入的密碼，卻也不難破解，只要變更打字風格，模型的準確度就會降低，而且對於那些可以不看鍵盤就打字的使用者來說，辨識也較難，另一個防禦方法則是採用隨機密碼。</p> </div></div></div>
2023/8/8 14:48作者陳曉莉https://www.ithome.com.tw/news/158171
Bing Chat可支援第三方瀏覽器、新增多模圖片搜尋
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟以AI打造的Bing聊天機器人功能上市滿6個月，<a href="https://blogs.bing.com/search/august-2023/Celebrating-6-months-of-the-new-AI-powered-Bing" target="_blank">本周宣布將再新增功能</a>，包括支援Edge以外的手機及桌機版瀏覽器、允許輸入圖片搜尋、深色模式等功能。</p> <p><a href="https://www.ithome.com.tw/news/155429" target="_blank">微軟於2月8日公布</a>以GPT AI模型強化的Bing搜尋及Edge瀏覽器，也是首次採用類似ChatGPT聊天機器人的介面，讓用戶以自然語言下提示搜尋網頁資訊、或草擬郵件、整理文章重點。微軟指出，迄今用戶已在Bing上進行超過10億次對話，上傳了7.5億幅圖片，而Edge用量也呈現連續9季度成長。</p> <p>而在加入AI圖片生成功能Bing Image Creator、整合到桌機作業系統成為Windows Copilot、以及<a href="https://blogs.bing.com/search/april-2023/Easily-access-the-new-AI-powered-Bing-across-your-favorite-mobile-apps" target="_blank">整合手機鍵盤SwiftKey</a>後，微軟也宣布Bing Chat即將加入的新功能。首先是支援第三方瀏覽器。微軟說Bing很快就可以在第三方桌機及手機瀏覽器中使用，協助重點摘要、生成圖片等。但功能上，應該還是以Edge執行的Bing Chat較完整，微軟也鼓勵用戶在Edge中使用，可進行較多次詢問、具備聊天紀錄等。</p> <p>微軟並未說是哪些瀏覽器，不過上周微軟證實正在Windows 10及11上測試Chrome及Safari執行Bing Chat。報導指出，相較於Edge中一次最多可執行20次問答、輸入4,000個字元，在非Edge瀏覽器中，則只能執行最多5次問答及2,000個字元。</p> <p>Bing Chat也即將加入多模視覺搜尋，允許用戶在提示中輸入圖片及文字問題，Bing Chat可理解圖片上下文、解釋，並回覆關於這圖片的問題，例如用戶可輸入一幢建築物的圖片，問它結構問題，或上傳冰箱內容物照片，請它建議午餐菜單。</p> <p class="rtecenter"><img alt="" src="https://blogs.bing.com/getattachment/search/july-2023/Bing-Preview-Release-Notes-Multimodal-Visual-Search-in-Chat-and-Bing-Chat-Enterprise/multimodal-(1).gif.aspx" style="width: 450px;" /></p> <p><a href="https://www.ithome.com.tw/news/157859" target="_blank">微軟3個星期前宣布Bing Chat企業版預覽版</a>，正式版也即將上線。微軟強調企業版只會提供經驗證的答案，並提供引用來源，而且安全性更高；Bing Chat中的用戶及企業資料以加密傳輸，不會洩露到公司外，微軟看不到這些對話，因而也不會拿對話紀錄來訓練其AI模型。Bing Chat除了包含在企業授權Microsoft 365 E3、E5、Business Standard、Business Premium中，企業版Bing Chat將以每人每月5美元提供。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0808-Bing%20Chat%20Enterprise-data%20protect-600.png" style="width: 585px;" /></p> <p>最後，不論是消費版或企業版Bing Chat，桌機版本及Bing App，都會提供深色模式。微軟並預告，未來還會持續增加Bing Chat功能，例如現在積極開發的Bing Chat外掛，以及現有使用經驗的改良。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0808-Bing-New%20features-dark%20mode-PNG-600.png" style="text-align: center; width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_微軟</span></span></p> </div></div></div>
2023/8/8 12:18作者林妍溱https://www.ithome.com.tw/news/158168
OpenAI公布網頁爬蟲GPTBot，解決網頁資料擷取疑慮
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為解決從公開網站上掠取資料的隱私與智財權爭議，<a href="https://platform.openai.com/docs/gptbot" target="_blank">OpenAI本周一釋出網頁爬蟲技術GPTBot</a>，以更透明方式蒐集公開網頁資料來訓練其AI模型。</p> <p>OpenAI指出，GPTBot以明白的user agent token（GPTBot）及完整字串（Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; compatible; GPTBot/1.0; +<a href="https://openai.com/gptbot">https://openai.com/gptbot</a>)表明它是來自OpenAI。</p> <p>OpenAI表示，以GPTBot user agent抓取的網頁資料可能會用於改良未來模型，過程中會篩選掉需要付費的來源，但其中仍可能包含可辨識身份的資訊，或是違反OpenAI政策的文字。</p> <p>若網站管理員允許GPTBot存取網站，將可協助改進AI模型的精確度，提升其能力及安全。但若網站管理員不希望其網站被蒐集資料，OpenAI也提供了拒絕的方法說明。包括在網站robots.txt檔案中加入GPTBot（如圖），也可以自訂GPTBot存取網站部份內容（如圖）。此外，OpenAI也公布GPTBot使用（<a href="https://openai.com/gptbot-ranges.txt" target="_blank">https://openai.com/gptbot-ranges.txt</a>）的IP位址範圍，方便網站辨識與封鎖。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GPTbot1.JPG" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GPTbot2.JPG" style="width: 600px;" /></p> <p>此類透明化措施可說是OpenAI對媒體或內容網站對AI模型業者未經同意蒐集資料的批評的回應。現在普遍認為，業者未經同意蒐集公開網站的內容來訓練自己的AI模型，侵犯了智財權、隱私權；他們應該要提供opt-in或opt-out選項，讓網站或資料持有人決定是不是要提供自己網站上的內容。</p> <p>上周募資平臺<a href="https://www.ithome.com.tw/news/158080" target="_blank">Kickstarter也頒布一項AI相關規定</a>，其中一項規定是若新創專案使用了外部資料來源，應出具來源網站的許可政策及同意證明。無法提供的專案則無法通過審核在Kickstarter上架。</p> <p><a href="https://www.ithome.com.tw/news/158129" target="_blank">而本周OpenAI預計也將有大改版</a>，包括ChatGPT底層將升級為GPT-4，而外掛Code Interpreter也將支援上傳多個檔案到提示中。</p> </div></div></div>
2023/8/8 12:34作者林妍溱https://www.ithome.com.tw/news/158169
PayPal推出自家穩定幣PayPal USD
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.paypal-corp.com/2023-08-07-PayPal-Launches-U-S-Dollar-Stablecoin" target="_blank">PayPal周一（8/7）正式推出自家的穩定幣PayPal USD（PYUSD）</a>，這是個與美元掛鉤的穩定幣，可支援轉移、付款、結帳或轉換成其它加密貨幣，成為第一個由主要金融業者所推出的穩定幣，PayPal宣稱該公司將利用PYUSD來橋接法定貨幣與Web3世界。</p> <p>PYUSD奠基於以太坊區塊鏈，是由與PayPal長期合作的區塊鏈業者Paxos Trust Company負責發行，它與美元之間以1:1兌換，並有現金存款、短期美國債券及類似的約當現金作為支撐。</p> <p>PayPal執行長Dan Schulman表示，轉向數位貨幣需要一種穩定的工具，該工具既為數位原生貨幣，也可輕易連結法定貨幣，而PYUSD是PayPal網路唯一支援的穩定幣，允許消費者、商家與開發者無縫連結法幣與數位貨幣。</p> <p>此外，PYUSD的主要目的是減少虛擬環境中的支付障礙，可快速的轉帳予親朋好友，藉由匯款或國際支付來支持開發者與創作者，目前大多數的穩定幣都用於Web3環境中，PYUSD也會相容此一生態體系，而且很快就會支援旗下的行動支付服務Venmo。</p> <p>其實全球絕大多數的人們並未使用任何加密貨幣，PayPal也認定教育市場是推廣數位貨幣的關鍵，將致力於提高消費者與商家對加密貨幣、穩定幣及央行數位貨幣的理解。</p> <p><a href="https://financialservices.house.gov/news/documentsingle.aspx?DocumentID=408945" target="_blank">美國眾議院金融服務委員會主席Patrick McHenry認為</a>，PayPal此次的發表對於穩定幣而言是個清楚的訊號，倘若穩定幣是在一個明確的框架下發行，將可望成為21世紀支付系統的支柱。藉以呼籲美國國會儘速完成有關加密貨幣的立法任務。</p> <p>目前PYUSD主要於美國市場推出，只要擁有美國PayPal Balance帳戶就可於官網或程式中購買PYUSD，<a href="https://www.paypal.com/us/webapps/mpp/paypal-fees" target="_blank">大多數的交易</a>不需手續費，並提供4.3%的年利率，高於蘋果Apple Card的4.15%。</p> </div></div></div>
2023/8/8 13:01作者陳曉莉https://www.ithome.com.tw/news/158170
Salesforce發表Einstein Studio供用戶以Data Cloud資料訓練自定義模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Salesforce推出一個稱為<a href="https://www.salesforce.com/news/stories/einstein-studio-ai-news/">Einstein Studio</a>的人工智慧模型服務，用戶可以自帶模型（Bring Your Own Model，BYOM）並且使用Salesforce Data Cloud上的資料訓練模型，如此便能夠使用包括AWS Amazon SageMaker或是GCP Vertex AI上的模型，獲得更多元的生成式人工智慧模型服務。</p> <p>透過Einstein Studio這個BYOM解決方案，用戶便可以方便地使用Data Cloud資料訓練他們偏好的人工智慧模型。而Data Cloud是一個CRM即時資料平臺，連接各種客戶資料來源，該平臺會自動將資料整合到單一客戶檔案中，即時反應每個客戶的活動，供企業內各種環境和部門使用。</p> <p>用戶只需要透過滑鼠點擊，就可以取用Data Cloud中的資料，訓練自定義的人工智慧模型，並在Salesforce應用程式中提供服務。從Einstein Studio控制面板就可管理模型的使用，用戶還可以控制模型平臺取用訓練資料的方式。</p> <p>官方提到，由於Einstein Studio提供預建置和零ETL整合，降低平臺間移動資料的複雜性，使用戶能夠更快地訓練人工智慧模型。也就是說，用戶不需要擷取、轉換和載入程序，便可以將Data Cloud中的資料連接用於其他人工智慧工具。</p> <p>Einstein Studio能夠用於金融產業，創建自定義交叉銷售模型，或是零售業也能夠用來訓練推薦模型，根據客戶的興趣和行為，向用戶提供個人化定價或是商品建議。藉此高度個人化與客戶的互動。</p> </div></div></div>
2023/8/8 08:23作者李建興https://www.ithome.com.tw/news/158138
微軟開源ONNX Script函式庫，供開發者以Python簡單編寫ONNX模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟釋出開源函式庫<a href="https://cloudblogs.microsoft.com/opensource/2023/08/01/introducing-onnx-script-authoring-onnx-with-the-ease-of-python/">ONNX Script</a>，該工具可讓開發者直接以程式語言Python編寫ONNX模型，而這也是新PyTorch ONNX匯出工具的基礎，用以更好地支援PyTorch 2.0即時編譯器TorchDynamo。微軟計畫將ONNX Script貢獻給Linux基金會旗下的ONNX GitHub組織。</p> <p>微軟投資發展ONNX Script，便是為ONNX與PyTorch進一步深度整合鋪路。微軟從PyTorch 0.3.0時候開始在ONNX支援PyTorch，而現在PyTorch已經發展到2.0，甚至即將發布2.1，TorchDynamo加入代表著序列化模型工具TorchScript即將退役，因此原本的ONNX匯出工具也會需要大改。</p> <p>為此，微軟重新規畫了ONNX匯出的基礎，ONNX Script便是這項基礎的最新成果。微軟在去年底的時候開始這項工作，並且與PyTorch工程師密切合作，確保TorchDynamo能夠正確無誤地匯出ONNX模型。</p> <p>過去開發者在編寫ONNX模型時，需要對ONNX模型的規範和序列化格式有深入的理解，雖然微軟對此還釋出了簡化流程的API，在很大程度抽象化序列化格式，但是使用者仍需要非常熟悉ONNX的結構，才能夠順利完成工作。</p> <p>而微軟新釋出的ONNX Script採用了新方法，並透過開發者普遍對Python的理解，使編寫ONNX模型變得更加容易。ONNX Script對ONNX中的所有運算子，提供強型態API，因此現有的Python工具、語法檢查器以及IDE，都能夠提供有參考價值的回饋，並且確保執行正確性，而且因為ONNX Script支援Python語言結構，因此熟悉Python的開發者，便能夠更自然地編寫ONNX模型，包括條件、迴圈，還有一元或二元運算子等。</p> <p>ONNX Script融合了Python語言和ONNX模型的優點，不只擁有Python可讀性和生產力，也能利用現有Python和ONNX工具，對ONNX模型靜態推理，也就是說，用戶可以不實際執行模型，就可透過工具理解和最佳化模型行為。</p> <p>整體來說，ONNX Script提供一種新的Python程式開發模型，在開發者創建ONNX模型的時候，可以使用熟悉的Python語言，以獲得更好的開發體驗。</p> <p>微軟視ONNX Script為定義和擴展ONNX的手段，新的核心運算子和高階函式都已經能夠用ONNX Script編寫，而這也加速了ONNX標準的演進。在之後，微軟也會提供轉換ONNX到ONNX Script的支援，讓開發者可以無縫編輯既有模型，使得ONNX模型更容易最佳化和維護。</p> </div></div></div>
2023/8/8 08:32作者李建興https://www.ithome.com.tw/news/158164
【資安日報】8月7日，韓國Linux主機遭到惡意程式Reptile鎖定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定Linux主機而來的惡意程式攻擊，近期出現顯著增加的現象，例如，上週末資安業者AhnLab針對惡意軟體Reptile的攻擊行動，就特別提出警告，並指出這款惡意程式的可怕之處，在於結合Rootkit及反向Shell的特性，駭客可將其當作後門運用。</p> <p>駭客偏好利用已知漏洞發動攻擊，早已成為資安威脅常態，最近五眼聯盟公布2022年最常遭利用的漏洞，當中最受到關注的，是Fortinet設備的SSL VPN漏洞CVE-2018-13379，該漏洞自揭露以來，已連續4年名列榜中。</p> <p>勒索軟體對於醫療體系的發動攻擊，也相當值得留意。最近醫療保健系統Prospect Medical Holdings傳出遭遇這類攻擊，而導致旗下的醫療機構運作受到衝擊，許多醫護人員被迫使用紙本整理病歷。這起事故也引起美國政府重視。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://asec.ahnlab.com/en/55785/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">韓國Linux主機遭到鎖定，駭客企圖植入名為Reptile的Rootkit</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Reptile-47.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Reptile-47.png" style="width: 300px; float: right;" /></a>資安業者AhnLab提出警告，名為Reptile的Rootkit工具被用於攻擊韓國Linux主機，其特色是具備反向Shell的功能，使得攻擊者能輕鬆控制受害電腦。</p> <p>研究人員在其中一起攻擊行動裡，根據惡意程式部署的路徑及資料夾名稱，發現駭客所使用的戰術與另一款惡意程式Mélofée有些雷同；再者，則是駭客在Reptile當中，同時運用了惡意程式ISH，這是透過ICMP協定連線的Shell程式，有別於一般的反向Shell採用TCP或HTTP通訊協定，駭客這麼做的目的，很有可能是為了迴避針對上述通訊協定的網路流量檢查。</p> <p><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-215a"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">五眼聯盟公布2022年最常被利用的漏洞，Fortinet SSL VPN、微軟Exchange漏洞上榜</span></strong></a></p> <p>美國、澳洲、加拿大、紐西蘭、英國等5個國家聯手，公布2022年最常被利用的12個漏洞，其中最「資深」的漏洞是CVE-2018-13379，該漏洞存在於防火牆作業系統FortiOS、上網安全閘道FortiProxy，從2019年至2022年都是駭客愛用的漏洞之一，五眼聯盟認為，該漏洞能連續4年入榜，主要原因是許多組織尚未修補所致。</p> <p>該名單列入的漏洞名單裡，還有Exchange漏洞ProxyShell（CVE-2021-34473、CVE-2021-31207、CVE-2021-34523）、Log4j程式庫漏洞Log4Shell（CVE-2021-44228）、微軟支援診斷工具（MSDT）漏洞Follina（CVE-2022-30190）、DevOps協作平臺Atlassian Confluence的CVE-2021-26084及CVE-2022-26134、VMware Workspace ONE Access的CVE-2022-22954、 CVE-2022-22960，以及F5 BIG-IP的CVE-2022-1388。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體破壞Prospect Medical Holdings醫療體系的資訊系統，部分醫院改以紙本作業、暫停急診業務</span></strong></p> <p>根據美聯社、NBC News、紐約時報等多家媒體報導，醫療保健系統Prospect Medical Holdings傳出遭到勒索軟體攻擊，波及旗下部分醫療機構的IT系統，傳出有些被迫暫停收治急診病人，亦有暫停抽血、醫療影像拍攝，或是採用紙本作業的情況。</p> <p>該醫療集團旗下的Eastern Connecticut Health Network發言人Nina Kruse最早向媒體證實此事，該集團察覺勒索軟體攻擊後，於8月1日將美國境內的電腦系統離線，目前醫生與護理人員使用紙筆製作病歷。Prospect Medical Holdings並未透露事件的進一步資訊，也沒揭露受害規模。美國國家安全委員會發言人Adrienne Watson表示，白宮正在監控這起資安事件的後續處理情形。</p> <p>資料來源</p> <p>1. <a href="https://www.nbcnews.com/tech/security/hackers-force-hospital-system-take-national-computer-system-offline-rcna98212">https://www.nbcnews.com/tech/security/hackers-force-hospital-system-take-national-computer-system-offline-rcna98212</a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://apnews.com/article/cyberattack-hospital-emergency-outage-4c808c1dad8686458ecbeababd08fecf" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-1993903253" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://apnews.com/article/cyberattack-hospital-emergency-outage-4c808c1dad8686458ecbeababd08fecf</span></a><br /> 3. <a href="https://www.nytimes.com/2023/08/05/us/cyberattack-hospitals-california.html">https://www.nytimes.com/2023/08/05/us/cyberattack-hospitals-california.html</a></p> <p><a href="https://blog.sonatype.com/malicious-pypi-package-vmconnect-imitates-vmware-vsphere-connector-module"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意PyPI套件假冒VMware vSphere連接器元件散布</span></strong></a></p> <p>資安業者Sonatype揭露新一波的惡意PyPI套件攻擊行動PaperPin，駭客假借提供VMware vSphere連接器模組vConnector的名義，在7月28日上傳名為VMConnect的套件，截至下架之前已被下載了237次。研究人員後來也發現另外2個與VMConnect程式碼相同的惡意套件，它們名為ether、quantiumbase，兩者也分別被下載了251、212次。</p> <p>值得留意的是，這些冒牌套件的說明都很完整，駭客甚至建立對應的GitHub儲存庫，而難以分辨真假。研究解析惡意套件的程式碼，發現一旦開發人員依照指示安裝，開發環境的電腦就有可能每分鐘向外部IP位址發送訊號，下載、執行惡意程式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/VMConnect.png" style="width: 580px;" /></p> <p><a href="https://blogs.infoblox.com/cyber-threat-intelligence/decoy-dog-is-no-ordinary-pupy-distinguishing-malware-via-dns/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體DecoyDog濫用DNS與C2進行通訊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/infoblox-blog-decoy-dog-is-no-ordinary-pupy-figure_02_dd_client_count_timeline.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/infoblox-blog-decoy-dog-is-no-ordinary-pupy-figure_02_dd_client_count_timeline.png" style="width: 300px; float: right;" /></a>資安業者Infoblox對於他們4月揭露的DNS惡意軟體Decoy Dog進一步調查，結果發現，約在2022年3月下旬至4月初，駭客的基礎設施就開始運作，迄今至少有4組駭客在利用此惡意軟體發動攻擊，範圍主要為俄羅斯與東歐。</p> <p>研究人員比對另一款DNS惡意軟體Pupy，認為Decoy Dog就是Pupy的大改版，兩者的共通之處在於，通訊過程會產生隨機亂數，用來識別受害電腦建立的連線，並對於訊息進行工作排程。但相較於Pupy，新的DNS惡意軟體改善了記憶體內的運作方式，以及對於Windows作業系統的相容性，並納入了多項新的通訊模組，能對於DNS查詢的重放進行回應，此外，攻擊者可透過Decoy Dog注入任意的Java程式碼，進而在受害電腦持續進行攻擊行動。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/new-papercut-critical-bug-exposes-unpatched-servers-to-rce-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">列印管理系統PaperCut修補重大漏洞</span></strong></a></p> <p>資安業者Horizon3在列印管理系統PaperCut發現路徑穿越漏洞CVE-2023-39143，一旦遭到利用，攻擊者可讀取、刪除、上傳任意檔案至目標系統，其手法複雜程度極低，且無須使用者互動，CVSS風險評為7.4分，上述弱點存在於22.1.1版以前的版本，影響在Windows作業系統執行的PaperCut NG（或MF）伺服器。</p> <p>研究人員指出，這項漏洞影響啟用外部裝置整合功能的伺服器，而該功能在PaperCut NG商業版、PaperCut MF為預設開啟。對此，PaperCut發布了7月更新予以修補。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.horizon3.ai/cve-2023-39143-papercut-path-traversal-file-upload-rce-vulnerability/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-2133858822" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://www.horizon3.ai/cve-2023-39143-papercut-path-traversal-file-upload-rce-vulnerability/</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.papercut.com/kb/Main/securitybulletinjuly2023/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--1122685325" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://www.papercut.com/kb/Main/securitybulletinjuly2023/</span></a></p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">工業路由器Milesight UR32L存在重大漏洞，可被用於執行任意程式碼</span></strong></p> <p>思科旗下的Talos威脅情報團隊針對惡意軟體VPNFilter的攻擊行動，調查多個廠牌的路由器，結果發現，工業用路由器Milesight UR32L，以及該廠商提供的VPN服務MilesightVPN，存在69個CVE漏洞（路由器63個、VPN服務6個），研究人員指出，雖然上述VPN服務就是為了讓UR32L減少在網際網路上曝露的機會，但攻擊者可利用VPN軟體的身分驗證繞過漏洞CVE-2023-22319（CVSS風險評分為7.3），然後透過CVE-2023-23902（CVSS風險評為9.8分）在路由器上執行任意程式碼。</p> <p>值得留意的是，研究人員在今年2月通報上述漏洞，但Milesight迄今尚未發布修補程式。對此，該公司向資安新聞網站SecurityWeek進行說明，表示他們正在製作新版韌體，並與Talos進行相關測試。</p> <p>資料來源</p> <p>1. <a href="https://blog.talosintelligence.com/router-researcher-vulnerability-spotlight-23/">https://blog.talosintelligence.com/router-researcher-vulnerability-spotlight-23/</a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.securityweek.com/dozens-of-rce-vulnerabilities-impact-milesight-industrial-router/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-343621836" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://www.securityweek.com/dozens-of-rce-vulnerabilities-impact-milesight-industrial-router/</span></a></p> <p><a href="https://www.vectra.ai/blogpost/microsoft-cross-tenant-synchronization"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Entra ID跨租戶同步功能有可能被用於橫向移動</span></strong></a></p> <p>微軟於今年6月針對Azure AD（現更名Microsoft Entra ID）推出跨租戶同步（Cross-Tenant Synchronization，CTS）功能，但現在有研究人員發現，駭客很可能將其用於攻擊行動。資安業者Vectra發現，若是在攻擊者能夠存取Azure AD特權帳號的情況下，可透過對外同步（Outbound Sync）找尋攻擊目標，並利用CTS的同步功能竄改其組態配置，進而存取受到同步的租戶，而能夠在不需收集其他使用者帳密的情況下，達到橫向移動的目的。</p> <p>而在另一種濫用CTS的手法當中，研究人員藉由部署新政策，啟用對內同步（Inbound Sync）、自動使用者同意（Automatic User Consent）功能，進而能隨時透過外部帳號來存取目標租戶，值得留意的是，就算惡意帳號遭到刪除，攻擊者還是可以重新建立、推送新使用者帳號，對此，研究人員認為其危害如同後門程式。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-213a"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國、挪威公布Ivanti行動裝置管理平臺零時差漏洞攻擊細節</span></span></strong></a></p> <p><a href="http://www.blackhat.com/us-23/briefings/schedule/#jailbreaking-an-electric-vehicle-in--or-what-it-means-to-hotwire-teslas-x-based-seat-heater-33049"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員發現特斯拉車載系統有可能被破解並解鎖付費功能</span></span></strong></a></p> <p><a href="https://blog.phylum.io/targeted-npm-malware-attempts-to-steal-developers-source-code-and-secrets/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客透過惡意NPM套件，鎖定加密貨幣用戶散布竊資軟體，目的是竊取組織的原始碼及機密資料</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/us-govt-contractor-serco-discloses-data-breach-after-moveit-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國政府承包商Serco證實遭到MOVEit Transfer零時差攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/clop-ransomware-now-uses-torrents-to-leak-data-and-evade-takedowns/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客Clop透過Torrent洩露竊得資料</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158111">【8月4日】駭客利用Salesforce零時差漏洞發動網釣攻擊，目的是竊取企業的臉書帳號</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158077">【8月2日】美國針對軍事補給相關系統進行清查，中國駭客埋入可能干擾軍事行動的惡意軟體</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158058">【8月1日】 Google彙整2022年零時差漏洞攻擊態勢，並指出駭客透過已知漏洞找出新漏洞的現象變得更加氾濫</a></strong></p> </div></div></div>
2023/8/7 17:18作者周峻佑https://www.ithome.com.tw/news/158162
微軟修補資安業者揭露數月的Power Platform跨租戶資料外洩漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過一次修補失敗後，<a href="https://msrc.microsoft.com/blog/2023/08/microsoft-mitigates-power-platform-custom-code-information-disclosure-vulnerability/" target="_blank">微軟在上周終於成功修補</a>了一個可讓駭客跨租戶竊取程式碼開發平臺Power Platform別家公司重要資訊的漏洞，不過是在資安廠商批判後才加速完成。</p> <p>這漏洞是由資安廠商Tenable發現並通報，影響Power Platform的自訂連接器（Custom Connector）。微軟修補作業完全在Azure主機端，客戶不需採取任何行動，也不會影響Azure用戶。</p> <p><a href="https://www.tenable.com/security/research/tra-2023-25" target="_blank">Tenable解釋</a>，Power Platform（包括Power Apps、Power Automation）允許使用者從自訂連接器撰寫C#程式碼存取其他Azure主機，以便和其他服務串接或溝通。正常情況下，部署C#程式的用戶是經由API端點將HTTP呼叫，將程式部署到微軟控制的Azure Function主機完成這任務，這段過程是不需驗證的。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0807-Unauthorized%20Access%20to%20Cross-Tenant%20Applications%20in%20Microsoft%20Power%20Platform%20by%20Tenable.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_</span><a href="https://www.tenable.com/security/research/tra-2023-25" target="_blank"><span style="color:#696969;">Tenable</span></a></span></p> <p>但研究人員發現，駭客可以傳送呼叫，觸發取得custom C# code，從中判斷出和目標自訂連接器（Custom Connector）相關的Azure Function主機名稱，以及其他連接器的Azure Function主機名稱，因為都依整數排序。他們測試發現，許多連接器作用是傳送Power Platform和第三方服務的身份驗證資訊。只要存取防護不周的Azure Function主機，就可能攔截OAuth用戶ID及金鑰、密碼等資訊，也就能存取第三方服務和應用程式。</p> <p>研究人員指出，其研究只能確定該漏洞可外洩資料，但也指出，視自訂連接器可觸發的行為而定，後果可能不只是資料外洩，可能有其他後果，例如執行程式碼。Tenable並說明，其概念驗證程式顯示可以發送POST呼叫，從custom C# code找出Azure Function主機，以及他們也取得一家銀行的Azure服務的存取憑證。</p> <p>因此Tenable判斷該漏洞屬重大風險，並於3月底通報微軟。但<a href="https://www.linkedin.com/pulse/microsoftthe-truth-even-worse-than-you-think-amit-yoran/" target="_blank">Tenable執行長Amit Yoran批評</a>該公司3月底就通知，微軟卻修補牛步化。</p> <p><a href="https://www.tenable.com/security/research/tra-2023-25" target="_blank">根據Tenable說法</a>，該公司於3月底通報微軟，後者曾在7月6日修補（註：微軟的文件是寫6月7日）。但Tenable發現微軟修補不全，而於4天後重新通報，並應微軟要求延後公告漏洞。微軟原本預計要到9月28日完成修補，不過在安全廠商於7月底發出部分安全公告的壓力下，微軟提前在8月3日對受影響的Azure主機部署修補程式。</p> </div></div></div>
2023/8/7 14:50作者林妍溱https://www.ithome.com.tw/news/158135
五眼聯盟公布去年最常被利用的12個安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-215a" target="_blank">美國、澳洲、加拿大、紐西蘭與英國等5個國家的網路安全機構上周連袂公布了2022年最常遭到駭客利用的安全漏洞</a>，相較於新漏洞，駭客更青睞舊漏洞，而且專注於尋找那些可透過網路存取且未被修補的漏洞。</p> <p>在這12個最常被利用的安全漏洞中，有6個屬於遠端程式攻擊漏洞，分別是存在於微軟Exchange Server的<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-34473" target="_blank">CVE-2021-34473</a>，位於Zoho ManageEngine ADSelfService Plus的<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-40539" target="_blank">CVE-2021-40539</a>，出現在Apache Log4j2的<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-44228" target="_blank">CVE-2021- 44228</a>，現身於VMware Workspace ONE存取暨身分管理功能中的<a href="https://nvd.nist.gov/vuln/detail/CVE-2022-22954" target="_blank">CVE-2022-22954</a>，微軟多個產品中的<a href="https://nvd.nist.gov/vuln/detail/CVE-2022-30190" target="_blank">CVE-2022-30190</a>，以及Atlassian Confluence Server and Data Center的CVE-<a href="https://nvd.nist.gov/vuln/detail/CVE-2022-26134" target="_blank">2022-26134</a>。</p> <p>當中最老的漏洞是出現在FortiOS與FortiProxy中的CVE-2018-13379，它是個SSL VPN憑證曝露漏洞，早在2018年就被揭露與修補，它在2020年、2021年及2022年都是最受駭客青睞的漏洞之一，且<a href="https://www.ithome.com.tw/news/146620" target="_blank">駭客也曾公布來自全球74個國家、近50萬組的Fortinet VPN登入憑證</a>。</p> <p>五眼聯盟認為，CVE-2018-13379之所以能夠連續幾年高居排行榜，應是因為許多組織仍未修補該漏洞所致。</p> <p>其它的5個漏洞還包括微軟Exchange Server的安全功能繞過漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-31207" target="_blank">CVE-2021-31207</a>，Exchange Server的權限擴張漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-34523" target="_blank">CVE-2021-34523</a>，VMware Workspace ONE的權限管理不當漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2022-22960" target="_blank">CVE-2022-22960</a>，以及F5 Networks BIG-IP的缺少身分認證漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2022-1388" target="_blank">CVE-2022-1388</a>。</p> <p>根據五眼聯盟的歸納，駭客攻擊最近兩年揭露漏洞的成功率最高，此外，駭客也傾向於鎖定嚴重且部署廣泛的系統漏洞，開發這些漏洞的攻擊程式成本相對較低，造成的影響更大，還可沿用許多年。</p> <p>至於各組織維持安全的注意事項則包括完善的漏洞與配置管理，身分認證及存取管理，維持受保護的控制權與架構，以及注重供應鏈的安全性等。</p> </div></div></div>
2023/8/7 15:14作者陳曉莉https://www.ithome.com.tw/news/158136
【資安週報】2023年7月31日到8月4日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一週的漏洞利用消息，最重要的就是行動裝置管理平臺Ivanti Endpoint Manager Mobile（原名MobileIron Core）的漏洞又有新消息，繼前一周挪威12個政府遭入侵，發現是利用CVE-2023-35078零時差漏洞攻擊，後續查出同一起攻擊還利用了CVE-2023-35081的零時差漏洞。該公司與美國CISA均呼籲用戶應儘速套用修補更新程式。另外，Citrix在6月修補檔案共享系統ShareFile的CVE-2023-24489漏洞，近期發現已針對未修補該漏洞系統的濫用攻擊行動。</p> <p>另一值得企業警惕的消息是，Canon PSIRT發布產品安全公告，指出初始化過程不會清除印表機Wi-Fi連線設定的漏洞問題，建議用戶在淘汰或送修產品前，應清除這方面的資訊。而3個月前ESET也指出企業淘汰的不同品牌路由器設備，存在未徹底銷毀企業網路組態資訊、企業帳密與應用程式資料的情形。</p> <p>在最新國際威脅焦點方面，有三大消息值得關注，首先是IDOR這類漏洞導致「Web應用程序存取控制濫用」的風險；其次是微軟今年5月揭露中國駭客組織Volt Typhoon鎖定關島及其他地區的電信系統，近期傳出美國政府有相關後續因應行動的消息；第三是中國駭客APT31鎖定東歐的揭露。</p> <p>●澳洲ACSC、美國CISA、NSA聯手發布安全公告，呼籲注意不安全直接物件參照（IDOR）這類漏洞，導致「Web應用程序存取控制濫用」的風險，最值得關注，當中說明了相關技術細節與影響，並且提供具體的開發防護建議。</p> <p>●近期紐約時報指出美國政府官員透露，美國政府正在針對各種軍事防禦系統進行清查，主要就是針對微軟5月揭露的事件而來，同時美國白宮也針對此惡意程式召開一系列會議，討論更多因應方式。</p> <p>●卡巴斯基揭露中國駭客組織APT31從去年4月開始，針對東歐ICS及關鍵CI的受隔離網路環境發動攻擊，初期藉由植入惡意軟體以遠端存取與偵察，接著散布透過USB裝置入侵隔離網路的工具，最後將收集到的資料回傳至C2伺服器。</p> <p>其他值得注意的消息，包括蠕蟲程式P2PInfect有新的揭露，不僅會竄改伺服器的OpenSSH設定，還會透過Redis的複寫（replication）功能來達到自我散布；竊資軟體NodeStealer 2.0的攻擊揭露中，新版具有盜取企業的臉書帳號等更多能力，並使用FodHelper UAC繞過的技術。</p> <p>關於資安防護焦點方面，在國內以AI與後量子的消息受注目。資安院與工研院在7月31日簽訂MOU，預計今年底正式成立「AI產品與系統評測中心」；池安量子資安在8月1日成立量子安全遷移中心，看好相關商機並期望結合學術機構等能量。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/158049"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月31日】Ivanti再度修補行動裝置管理平臺的零時差漏洞，並指出其危險之處在於與另一個漏洞串連使用</span></strong></a></h3> <p>上週挪威政府的資訊系統遭到攻擊，並點名駭客鎖定第三方軟體Ivanti Endpoint Manager Mobile的零時差漏洞CVE-2023-35078而來，呼籲所有用戶應儘速套用更新程式修補。但事隔數日，Ivanti再度修補另一個高風險漏洞CVE-2023-35081，並強調在前述的漏洞攻擊行動裡，駭客也同時運用了這個漏洞。是否還有其他可被攻擊濫用的漏洞？有待進一步觀察。</p> <p>利用Windows搜尋功能網路釣魚攻擊行動，也相當值得留意，有研究人員發現駭客利用Windows搜尋存取遠端伺服器上的惡意檔案，目的是讓使用者誤以為開啟存放於自己電腦的PDF文件，降低戒心而導致電腦被植入木馬程式。</p> <p>Google威脅情報小組（TAG）針對2022年零時差漏洞公布其觀察的結果，最引人注目的部分，就是點名自家行動裝置作業系統的N-day漏洞現象，因為駭客不需自行尋找零時差漏洞，就能進行這類濫用弱點的攻擊行動。</p> <h3><a href="https://www.ithome.com.tw/news/158058"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月1日】Google彙整2022年零時差漏洞攻擊態勢，並指出駭客透過已知漏洞找出新漏洞的現象變得更加氾濫</span></strong></a></h3> <p>漏洞修補不全、安卓生態圈修補時程漫長，已是長久已來的現象，但這樣的情況去年變得更加嚴重。Google近日在針對2022年零時差漏洞的分析當中，特別提及上述情形，其中，對於漏洞修補不全的而衍生的零時差漏洞，過往僅約占2成，但到了去年一舉增加到4成的比例。研究人員認為，這有兩種情況，一是駭客找到了更多的漏洞變形，另一種就是礙於發布更新程式的時間壓力，產生修補不完整的現象。</p> <p>針對安卓裝置的惡意軟體攻擊，近期變得更加氾濫，在今天的資安新聞裡，惡意軟體CherryBlos的攻擊行動特別值得留意，因為，該竊資軟體能對受害裝置裡存放的圖片進行搜括，找出使用者拍下的加密貨幣錢包帳密資料、通關密語，再回傳給駭客。</p> <p>專門鎖定Redis伺服器的惡意軟體P2PInfect攻擊行動，有研究人員公布新的調查結果，並指出該惡意軟體橫向感染的方式，竟是透過Redis的複寫（replication）功能來進行。</p> <h3><a href="https://www.ithome.com.tw/news/158077"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月2日】美國針對軍事補給相關系統進行清查，中國駭客埋入可能干擾軍事行動的惡意軟體</span></strong></a></h3> <p>中國駭客滲透美國政府的情況，在先前有美國政府向微軟通報逾20個組織電子郵件遭竊的情況，最近傳出當局對軍事設施進行調查的消息，原因是他們發現中國駭客2022年部署的惡意軟體，可能會在臺海未來發生戰爭時，防礙美國出兵援助臺灣。美國政府官員認為，這樣的惡意軟體不只影響軍事行動，還有可能波及民間企業及民眾，造成社會恐慌。</p> <p>專門竊取臉書企業帳號的竊資軟體NodeStealer，其動態也相當值得留意。研究人員發現，有人以Python語言重新改寫，使得這個惡意軟體不僅功能變得更加強大，也更難進行反組譯。</p> <p>連網設備恢復原廠初始設定，竟然會遺留部分機敏資料而曝險！Canon上週發布資安通告，指出旗下逾200款噴墨印表機在恢復原廠設定之後，Wi-Fi無線網路組態仍留存，而這些資訊有可能被用來入侵家庭或企業的內部網路環境。</p> <h3><a href="https://www.ithome.com.tw/news/158111"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月4日】駭客利用Salesforce零時差漏洞發動網釣攻擊，目的是竊取企業的臉書帳號</span></strong></a></h3> <p>近期駭客挾持企業的臉書帳號的攻擊行動，有不少是透過臉書廣告、打著提供生成式AI機器人應用程式的名義，散布竊資軟體來進行，但最近出現了更為複雜的手法。有人透過雲端CRM平臺Salesforce的漏洞下手，並將釣魚網站架設於臉書臉書內嵌應用程式平臺的網域（Meta已停止提供相關服務）上，從而迴避資安系統的偵測，並騙取受害組織的臉書帳號。</p> <p>雲端平臺的系統管理工具有可能遭到濫用，而成為駭客的「木馬程式」！研究人員揭露利用AWS EC2系統管理工具System Manager的攻擊手法，攻擊者有可能透過這項工具「管理」其他組織的AWS EC2實體。</p> <p>已被用於攻擊Citrix NetScaler系統存在的零時差漏洞CVE-2023-3519，有研究人員揭露初步調查結果，他們找到640臺伺服器已被部署了後門，並強調這可能僅是受害範圍的冰山一角。</p> <p> </p> </div></div></div>
2023/8/7 10:42作者羅正漢https://www.ithome.com.tw/news/158128
美國醫療集團Prospect Medical Holdings遭網路攻擊，多州醫院受波及
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在美國5個州經營16家醫院的Prospect Medical Holdings上周四（8/3）傳出遭到駭客攻擊，影響旗下多家醫院的IT系統，有些暫停收受急診病人，有些暫停抽血或醫療影像拍攝，並改採傳統的紙筆記錄。</p> <p>Prospect Medical Holdings在美國南加州、康乃迪克州、紐澤西州、賓州與羅德島經營16家醫院，涵蓋三級醫療中心、教學醫院、行為健康機構、社區醫院與長期照護機構等，以及166個門診診所，聘雇逾1.1萬名醫生。</p> <p><a href="https://www.cbsnews.com/news/prospect-medical-cyberattack-california-pennsylvania-hospital/" target="_blank">此一醫療照護集團向《CBS NEWS》證實</a>，它們遇到了危害運作的資料安全意外，已緊急撤下系統，並已在第三方安全專家的協助下展開調查，期望可盡快恢復正常運作。而美國聯邦調查局（FBI）也在隔天介入調查。</p> <p>Prospect Medical Holdings並未公布受駭細節或規模，有部分媒體報導該集團是受到勒索軟體攻擊，另有部分受到波及的醫院自行發布了公告，例如位於康州的<a href="https://tinyurl.com/25v74mpc" target="_blank">ECHN Medical Group便說</a>該意外影響ECHN部分地區的營運與服務，導致某些手術暫停執行，醫療影像與抽血服務也暫停。</p> <p>另一家同樣位於康州的Waterbury Hospital也說它們的電腦系統因遭到網路攻擊而當機，影響所有的住院與門診業務，<a href="https://www.facebook.com/WaterburyHospital/posts/pfbid0cd1w94bxy2md8N4vo12XZxqmX7gECU18tDPYcryL14Uv5krYMz79iuiDaKEvEBi7l" target="_blank">隨後更說</a>發生在Prospect Medical Holdings的這場意外，讓所有的附屬機構的系統都下線，以保護系統及進行調查，而Waterbury則啟動離線程序來因應，除了必須採用紙筆之外，同樣的，醫療影像及抽血服務也都暫停了。</p> <p>根據<a href="https://therecord.media/hospital-network-facing-cyberattack" target="_blank">《Recorded Future News》</a>的報導，除了康州之外，加州、賓州與羅德島的地方媒體都在上周陸續揭露當地Prospect Medical Holdings旗下醫院轉移病患的消息。</p> <p>迄今尚無駭客集團出面承認此事。</p> <p><a href="https://www.tgh.org/cybersecurity-notice" target="_blank">佛州醫療中心Tampa hospital今年也曾遭到勒索軟體攻擊</a>，並外洩了逾120萬名病患資料，除了基本的姓名、電話、住址及社會安全碼之外，少數的病患醫療資訊也被盜走。</p> </div></div></div>
2023/8/7 14:01作者陳曉莉https://www.ithome.com.tw/news/158132
ChatGPT預告本周將大改版，升級GPT-4、Code Interpreter支援上傳多檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI上周預告將在本周改版聊天機器人ChatGPT，底層升級使用GPT-4，並新增提示輸入範例，程式碼解析外掛Code Interpreter支援多檔案上傳。</p> <p><a href="https://twitter.com/OfficialLoganK/status/1687151401523089408" target="_blank">OpenAI技術傳教士暨開發社群關係主管Logan Kilpatrick說明</a>，ChatGPT將增加「一大堆」更新。其中最重要的是，底層AI模型將預設執行GPT-4。付費版ChatGPT Plus服務登入開啟對話後，ChatGPT會記住用戶上次選擇的模型，不必再重覆設定，有助提升生產力。熱門外掛Code Interpreter beta版將支援上傳多個檔案。</p> <p class="rtecenter"><a href="http://twitter.com/OfficialLoganK/status/1687151401523089408" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0807-chatgpt-Logan%20Kilpatrick-600.png" style="width: 438px;" /></a></p> <p>其他加入了使用體驗的相關功能，包括首頁不再一片空白，增加提示範例，OpenAI也會自動合成接續問題作為用戶建議。此外，用戶能長保登入，也不會被每2周登出再登入一次。如果用戶重新登入，也會有新的歡迎頁。最後，ChatGPT增加鍵盤捷徑，按「Ctrl+/」可顯示完整清單。</p> <p>也有用戶提出願望清單，包括<a href="https://help.openai.com/en/articles/8077698-how-do-i-use-chatgpt-browse-with-bing-to-search-the-web" target="_blank">7月因被濫用而遭OpenAI關閉的網頁搜尋功能Browse with Bing</a> 、以及提示紀錄搜尋等。</p> <p>OpenAI另外還宣布<a href="https://twitter.com/OfficialLoganK/status/1686788266886942720" target="_blank">開發者文件區加入搜尋功能</a>（下圖），這也是用戶喊了一年多的功能需求。</p> <p class="rtecenter"><a href="https://twitter.com/OfficialLoganK/status/1686788266886942720/photo/2" target="_blank"><img alt="" src="https://pbs.twimg.com/media/F2isdurXUAAx0Wg?format=jpg&name=large" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><a href="https://twitter.com/OfficialLoganK/status/1686788266886942720/photo/2" target="_blank"><span style="color:#696969;">圖片來源_Logan Kilpatrick</span></a></span></p> </div></div></div>
2023/8/7 10:56作者林妍溱https://www.ithome.com.tw/news/158129
Google邀請員工免通勤住廠區，利誘回公司上班
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為提升回公司上班的意願，<a href="https://www.cnbc.com/2023/08/04/google-offers-on-campus-hotel-special-to-lure-workers-back-in.html" target="_blank">CNBC報導</a>，Google提供了住房補助方案，讓員工上班期間住在距公司較近的飯店，免除來回通勤之苦。但部分員工似乎不買帳。</p> <p>CNBC取得的Google一份名為「夏日特惠」方案，特惠期間到9月30日為止，以一晚99美元的代價住在廠區內的飯店。主打員工不用長途通勤。根據報導，該方案提供的對象是加州山景市去年新啟用的新Google廠區的正職員工，主要使用者是開發廣告產品的4,000名員工。</p> <p>這份方案僅主要是讓遠距員工回公司述職。2020年新冠疫情爆發，Google、微軟、Meta、蘋果等大廠啟動長期在家辦公的措施。2022年疫情趨緩後這些大廠重啟辦公室，也開啟居家與公司並行的混合作業型態，像是Google要求員工一周回公司上班至少3天。但由於員工已習於遠距辦公，即使公司軟性宣導，員工仍然不願回公司，迫使這些大型科技公司祭出誘因。</p> <p>不過部分員工表現興趣缺缺。在Google員工討論區，一名員工表示，自家環境好太多了。另一名員工表示，這下子有部分薪資要還給Google了。還有員工說，住在公司附近才會破壞工作和生活的平衡。</p> <p>社群平臺X及特斯拉執行長馬斯克（Elon Musk）即是強烈要求員工到公司工作的一派。他要求員工一周在公司上班至少40小時，只有針對極端優秀的員工他才會同意遠距辦公的要求。去年<a href="https://www.forbes.com/sites/cyrusfarivar/2022/12/05/elon-musk-twitter-bedrooms/?sh=6c1a94cbd791" target="_blank">《Forbes》</a>報導，馬斯克將當時還叫推特的公司部分辦公區改造成頗為舒適的房間，<a href="https://twitter.com/hashtag/SleepWhereYouWork?src=hashtag_click" target="_blank">而不用再打地舖</a>，要求核心員工住在公司以強化團隊協同。</p> </div></div></div>
2023/8/7 11:29作者林妍溱https://www.ithome.com.tw/news/158130
Datadog推出Bits AI以大型語言模型改進企業系統可觀察性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Datadog將大型語言模型用於監控，建立一個稱為<a href="https://www.datadoghq.com/blog/datadog-bits-generative-ai/" target="_blank">Bits AI</a>的人工智慧助理，增加企業對系統的可觀察性。另外，針對如GPT或是BERT等預訓練大型語言模型，Datadog也推出可觀察性工具<a href="https://www.datadoghq.com/blog/dash-2023-new-feature-roundup/#llm-observability" target="_blank">LLM Observability</a>，用以監控生成式人工智慧應用程式，發現底層大型語言模型可能存在的問題。</p> <p>監控應用程式和基礎設施是一項負擔繁重的工作，需要篩選來自不同系統的大量資料和文件，Datadog開發Bits AI可觀察性助理，供用戶以自然語言指令處理端到端事件管理，加速問題診斷以及確認事件影響範圍。</p> <p>Bits AI提供單一對話介面，查詢和關聯整個Datadog平臺上的重要資料，監控範圍包括日誌、指標、追蹤、內部文件甚至是Slack對話等所有內容。Datadog採用了OpenAI的大型語言模型來強化Bits AI的功能，大幅降低系統監控的門檻，用戶能從Slack協調回應，Bits AI也會自動更新狀態給相關人士，而對於程式碼層級的錯誤，Bits AI甚至會提供簡單錯誤說明與修復建議，用戶只要滑鼠點擊就可以應用修復建議，並以單元測試驗證修復的正確性。</p> <p>當事件獲得解決後，Bits AI還將協助用戶編寫分析報告，除了提供事件發生時的系統狀態，同時也會分析事件對客戶的影響，以及紀錄最後採取的措施。</p> <p>Datadog並非第一家將大型語言模型用於監控工具的廠商，其競爭對手New Relic在今年5月就已經使用OpenAI多模態大型語言模型推出<a href="https://newrelic.com/blog/nerdlog/new-relic-grok" target="_blank">Grok</a>，同樣讓用戶可以使用自然語言對話，深入了解系統問題，並獲得相對應的建議。</p> <p>另外，針對企業大量在應用程式中整合預訓練大型語言模型，提供生成式人工智慧功能，Datadog也推出大型語言模型可觀察工具LLM Observability，供開發人員更深入了解底層大型語言模型的行為，Datadog提到，企業對模型的控制與了解不足，可能會導致模型表現不佳甚至不準確。</p> <p>LLM Observability供用戶觀察提示詞以及回應，方便追蹤模型效能並探索可改進的機會。該工具為一個可持續監控大型語言模型的解決方案，偵測有問題的叢集、模型飄移，以及可能影響模型效能的特殊提示詞和回應特徵。</p> </div></div></div>
2023/8/7 09:51作者李建興https://www.ithome.com.tw/news/158119
金融三業上雲大鬆綁來了！金管會正式公布相關修正辦法，兩周內上路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會今日宣布金融上雲鬆綁委外修正辦法，不只銀行局發布，保險局和證期局也同時發布委外修正規定。金管會主任秘書蔡福隆表示，修正辦法最快兩周內上路。</p> <p>金管會今日發布「金融機構作業委託他人處理內部作業制度及程序辦法」修正，以及「保險業作業委託他人處理應注意事項」修正，及「證券暨期貨市場各服務事業作業委託他人處理相關規定」，也就是金融三業的委外修正辦法公布。</p> <p>過去銀行委外使用雲端服務時，涉及重大性委外作業或是將作業委託到境外公雲，都得事先向金管會申請核准，需耗費不少時間。因此，今年三月，金管會發布金融機構委外辦法修正預告，並於今日發布修正辦法。</p> <p>這次的修正大幅鬆綁企業上雲規定，例如，銀行業者使用境內雲端服務，如處理一般性事務或辦公應用，不需要事先申請核准或備查。另外，部分委外作業項目首例經過金管會核定，其他金融機構也可以跟著使用，不須申請。針對跨境委外申請範圍，則限縮至重大性消費金融業務資訊系統委託到境外，應需要事先申請。</p> <p>針對重大性消費金融業務，業者仍需要事先申請。銀行局副局長林志吉說明，所謂重大性的定義包含委外項目涉及客戶的資安事件，可能對客戶權益有重大影響。例如，若有金融機構想將個人客戶的存款業務系統委託到境外，可以判定為重大性消金資料的資訊系統。</p> <p>針對境外定義，金管會說明，要以受委託機構實際辦理作業的地點，而非公司註冊地點。此外，同一集團內即便有受委託機構經過核准，若作業項目為重大消費金融資訊系統，仍需要再次進行申請。</p> </div></div></div>
2023/8/4 18:50作者李昀璇https://www.ithome.com.tw/news/158126
【資安日報】8月4日，駭客利用Salesforce零時差漏洞發動網釣攻擊，目的是竊取企業的臉書帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期駭客挾持企業的臉書帳號的攻擊行動，有不少是透過臉書廣告、打著提供生成式AI機器人應用程式的名義，散布竊資軟體來進行，但最近出現了更為複雜的手法。有人透過雲端CRM平臺Salesforce的漏洞下手，並將釣魚網站架設於臉書臉書內嵌應用程式平臺的網域（Meta已停止提供相關服務）上，從而迴避資安系統的偵測，並騙取受害組織的臉書帳號。</p> <p>雲端平臺的系統管理工具有可能遭到濫用，而成為駭客的「木馬程式」！研究人員揭露利用AWS EC2系統管理工具System Manager的攻擊手法，攻擊者有可能透過這項工具「管理」其他組織的AWS EC2實體。</p> <p>已被用於攻擊Citrix NetScaler系統存在的零時差漏洞CVE-2023-3519，有研究人員揭露初步調查結果，他們找到640臺伺服器已被部署了後門，並強調這可能僅是受害範圍的冰山一角。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://labs.guard.io/phishforce-vulnerability-uncovered-in-salesforces-email-services-exploited-for-phishing-32024ad4b5fa"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Salesforce零時差漏洞被用於臉書網釣攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1_6QQqMFWvWC_dym3GVgzdlA.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_6QQqMFWvWC_dym3GVgzdlA.png" style="width: 300px; float: right;" /></a>資安業者Guardio揭露雲端CRM平臺Salesforce的漏洞PhishForce，駭客藉此漏洞繞過該CRM平臺的寄件人驗證措施，並濫用臉書內嵌應用程式平臺，來大規模發送釣魚郵件。</p> <p>研究人員指出，駭客濫用了Email-to-Case的功能，該功能主要是讓組織能將客戶寄入的電子信件轉換為Salesfoce系統傳遞的處理工單，但駭客將其用來設置新的工作流程，進而控制Salesforce產生的電子郵件信箱，並產生salesforce.com網域的內部信箱，且將其設置為組織全域的電子郵件信箱，然後用於發送釣魚郵件，而能繞過Salesforce的驗證措施，以及組織設置的郵件安全系統。</p> <p>在其中一起攻擊行動裡，駭客假借Meta的名義，聲稱收信人的臉書帳號出現異常，一旦依照指示點選信中連結，就會被帶往架設在臉書內嵌應用程式平臺（apps.facebook.com）的釣魚網頁。對此，Salesforce獲報後著手修補漏洞，Meta移除釣魚網頁，並著手調查駭客如何濫用該臉書內嵌應用程式平臺。</p> <p><a href="https://www.mitiga.io/blog/mitiga-security-advisory-abusing-the-ssm-agent-as-a-remote-access-trojan"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">雲端服務寄生攻擊出現新手法，AWS EC2系統管理工具System Manager有機可乘，能被當作木馬程式利用</span></strong></a></p> <p>資安業者Mitiga發現針對AWS雲端服務的後漏洞利用攻擊手法，攻擊者一旦濫用該平臺的系統管理代理程式System Manager（SSM），就有可能將其當做RAT木馬程式，且難以被資安系統察覺。</p> <p>研究人員指出，由於SSM不只能在Amazon EC2上執行，也支援能在其他伺服器或虛擬機器（VM）上運作，首先，他們設置SSM為混合模式來執行，以便進一步將其用於攻擊行動，然後下達bash指令，讓SSM與EC2無關的AWS帳號進行通訊、執行命令。若因無法取得攻擊目標的相關權限而不能挾持SSM，攻擊者可透過執行另一個SSM，來存取目標AWS帳號的EC2環境。</p> <p>對此，AWS表示，IT人員可透過SSM的VPC端點功能，來限制EC2接收命令的來源；研究人員也建議IT人員在防毒軟體及EDR系統的白名單當中，移除SSM代理程式。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/08/02/midnight-blizzard-conducts-targeted-social-engineering-over-microsoft-teams/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客利用Teams鎖定政府機關進行網釣攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fig1-Midnight-Blizzard-request-M.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig1-Midnight-Blizzard-request-M.png" style="width: 300px; float: right;" /></a>微軟揭露俄羅斯駭客組織APT29（亦稱Midnight Blizzard、Nobelium）透過協作平臺Teams進行的網路釣魚攻擊，攻擊者先滲透小型企業的Microsoft 365管理員帳號，利用相關權限建立新的子網域，再透過Teams傳送訊息給目標對象，目的是騙取相關的帳密資料。</p> <p>自今年5月至今，已有接近40個組織遭受攻擊，這些目標涵蓋政府機關、非政府組織（NGO）、IT服務業者、科技業者、製造業、媒體產業。其中一起事故是駭客佯稱提供微軟身分驗證保護服務，一旦使用者接受Teams對話請求，駭客便會以各種方式引誘開啟動態密碼產生器Microsoft Authenticator，並要求依照指示產生動態密碼並提供給駭客，若是使用者照做，對方就能藉由Microsoft Entra ID（原Azure AD）新增裝置，以便進一步長期在受害組織進行後續攻擊行動。</p> <p><a href="https://www.bleepingcomputer.com/news/security/over-640-citrix-servers-backdoored-with-web-shells-in-ongoing-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾640臺存在重大漏洞的Citrix NetScaler伺服器被部署Web Shell「中國菜刀」</span></strong></a></p> <p>7月下旬Citrix針對旗下的Netscaler ADC、NetScaler Gateway，修補零時差漏洞CVE-2023-3519（CVSS風險評分為9.8），並表示該漏洞已被用於攻擊行動，如今有研究人員公布受害規模。</p> <p>根據非營利組織Shadowserver基金會的調查，截至7月30日，至少有640臺Netscaler伺服器遭到入侵，駭客得逞後便部署了名為中國菜刀（China Chopper）的Web Shell。研究人員認為，上述的發現遠低於他們認為的受害規模（截至8月2日尚未修補的伺服器數量仍接近1萬臺），並呼籲IT人員應認定尚未修補的伺服器已經遭到攻擊，來進行後續的處置。美國網路安全暨基礎設施安全局（CISA）證實，此漏洞已被用於攻擊該國的關鍵基礎設施（CI）。</p> <p><a href="https://www.cleafy.com/cleafy-labs/spynote-continues-to-attack-financial-institutions"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體SpyNote攻擊歐洲銀行客戶的安卓手機</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/64c3d0d8cc94f23cfc85dfe5_Screenshot 2023-07-28 at 16_25_50.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/64c3d0d8cc94f23cfc85dfe5_Screenshot%202023-07-28%20at%2016_25_50.png" style="width: 300px; float: right;" /></a>資安業者Cleafy針對安卓間諜軟體SpyNote近期的攻擊行動提出警告，他們在今年6月至7月，看到駭客鎖定歐洲銀行的客戶，發送釣魚簡訊，聲稱使用者必須部署通過驗證的新版銀行應用程式，才能正常使用App。</p> <p>接著，他們再向使用者發送第2封簡訊，這次是引導使用者從Google Play市集下載TeamViewer QuickSupport，目的是讓攻擊者後續假冒銀行的客服人員向受害者聯繫，並在手機上執行詐欺交易。</p> <p>有別於其他金融木馬，SpyNote同時具備間諜軟體的功能，不只能收集簡訊、聯絡人名單、側錄聲音及鍵盤輸入的內容、拍下螢幕畫面、利用GPS定位跟蹤用戶的地理位置、繞過雙因素驗證（2FA），還能透過螢幕投影（MediaProjection）API來側錄、傳出螢幕的內容。</p> <p><a href="https://checkmarx.com/blog/first-known-targeted-oss-supply-chain-attacks-against-the-banking-sector/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">NPM開源軟體供應鏈攻擊針對銀行產業而來，攻擊者利用NPM套件、在LinkedIn設立假履歷引誘開啟惡意連結</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/oss-image-5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/oss-image-5.png" style="width: 300px; float: right;" /></a>資安業者Checkmarx揭露針對銀行業的開源軟體供應鏈攻擊，其中一起約從4月開始，駭客在5日至7日，先上傳了數個NPM套件，並建立LinkedIn個人履歷，以此聯繫受害組織的員工，引誘他們下載前述的NPM套件。</p> <p>一旦員工依照指示下載並執行安裝，該惡意套件會先偵測受害電腦執行的作業系統，並使用含有銀行名稱的Azure CDN子網域，從遠端下載第二階段惡意程式Havoc Framework，此框架功能類似滲透測試工具Cobalt Strike、Brute Ratel C4、Silver。</p> <p>研究人員指出，駭客採用Havoc Framework的目的，就是迴避防毒軟體Microsoft Defender，以及Windows內建的安全機制。</p> <p><a href="https://thehackernews.com/2023/07/avrecon-botnet-leveraging-compromised.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">入侵家用路由器的殭屍網路AVRecon運作模式細節被揭露，證實駭客以此提供代理伺服器服務牟利</span></strong></a></p> <p>資安業者Lumen揭露Linux惡意軟體AVrecon的攻擊行動，駭客的主要目的，就是占用家用網路的路由器頻寬，並轉賣給他人做為非法的代理伺服器，現在研究人員又有新的發現。</p> <p>資安新聞網站Krebs On Security、資安業者Spur進行調查，根據AVrecon所使用的C2進行比對，結果發現，這些駭客專門挾持家用路由器，用於經營代理伺服器業務SocksEscort長達12年之久，此業者專門透過SOCKS通訊協定，讓使用者通過代理伺服器。資安業者Lumen表示，駭客在他們揭露AVrecon的隔日（7月13日），便將感染此惡意軟體的路由器連接至新的C2基礎設施。</p> <p>而對於這些駭客的來歷，Krebs On Security指出，根據他們的調查，SocksEscort與一家位於摩爾多瓦的VPN服務業者有關，該公司在蘋果的App Store及其他市集提供應用程式。威脅情報業者Inte 471指出，這些駭客曾在2009年，以SSC的使用者請求地下論壇測試網站的安全性。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://krebsonsecurity.com/2023/07/who-and-what-is-behind-the-malware-proxy-service-socksescort/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-1217145102" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://krebsonsecurity.com/2023/07/who-and-what-is-behind-the-malware-proxy-service-socksescort/</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://spur.us/2023/07/christmas-in-july-a-finely-wrapped-proxy-service/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-1890310271" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://spur.us/2023/07/christmas-in-july-a-finely-wrapped-proxy-service/</span></a></p> <p><a href="https://cofense.com/blog/google-amp-the-newest-of-evasive-phishing-tactic/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google行動裝置網頁框架AMP遭濫用，駭客用於繞過資安防護發送釣魚信</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure3-Featured-Image.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure3-Featured-Image.png" style="width: 300px; float: right;" /></a>資安業者Cofense發現新的網路釣魚攻擊手法，今年5月起，他們看到有些釣魚郵件，嵌入採用Google行動裝置網頁框架AMP服務的網址，其目的是繞過郵件安全系統的偵測機制，竊取企業員工的帳密資料。</p> <p>研究人員指出，駭客約在逾四分之三（77%）的攻擊行動裡，濫用google.com的網域，其餘則是google.co.uk。此外，這些駭客也同時濫用其他迴避偵測的手法，這些包含了URL重新導向、Cloudflare的CAPTCHA圖靈驗證機制，以及以圖片來呈現電子郵件內文等手法。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/ivanti-discloses-new-critical-auth-bypass-bug-in-mobileiron-core/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Ivanti再度針對行動裝置管理平臺公布重大漏洞</span></strong></a></p> <p>8月2日Ivanti針對旗下的行動裝置管理平臺MobileIron Core發布資安通告，指出該平臺存在重大漏洞CVE-2023-35082，此為身分驗證繞過漏洞，可讓未經身分驗證的使用者存取受到被限制的功能或是資源，CVSS風險評為10分，影響11.2版以前的MobileIron Core。</p> <p>對此，該公司表示此系統已於去年3月終止支援，他們不會提供修補程式，使用者應升級最新版本的Endpoint Manager Mobile（EPMM）來避免曝露相關風險。通報上述漏洞的資安業者Rapid7，也公布入侵指標（IoC），讓組織能檢查是否遭到相關攻擊。</p> <p>資料來源</p> <p>1. <a href="https://forums.ivanti.com/s/article/CVE-2023-35082-Remote-Unauthenticated-API-Access-Vulnerability-in-MobileIron-Core-11-2-and-older">https://forums.ivanti.com/s/article/CVE-2023-35082-Remote-Unauthenticated-API-Access-Vulnerability-in-MobileIron-Core-11-2-and-older</a><br /> 2. <a href="https://www.rapid7.com/blog/post/2023/08/02/cve-2023-35082-mobileiron-core-unauthenticated-api-access-vulnerability/">https://www.rapid7.com/blog/post/2023/08/02/cve-2023-35082-mobileiron-core-unauthenticated-api-access-vulnerability/</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://chromereleases.googleblog.com/2023/08/stable-channel-update-for-desktop.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google發布Chrome 115更新，修補排版引擎V8漏洞</span></span></strong></a></p> <p><a href="https://www.securityweek.com/firefox-116-patches-high-severity-vulnerabilities/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Mozilla發布Firefox 116，修補高風險記憶體安全漏洞</span></span></strong></a></p> <p><a href="https://guardz.com/blog/the-massive-macos-threats-trending-in-the-dark-web/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">針對Mac電腦的hVNC惡意軟體主要目標是中小企業</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/fake-flipperzero-sites-promise-free-devices-after-completing-offer/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客假借免費提供滲透測試設備Filpper Zero發動攻擊</span></span></strong></a></p> <p><a href="https://www.hackread.com/axis-a1001-flaw-facilities-unauthorized-access/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國針對Axis智慧門鎖的漏洞提出警告</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158077">【8月2日】美國針對軍事補給相關系統進行清查，中國駭客埋入可能干擾軍事行動的惡意軟體</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158058">【8月1日】 Google彙整2022年零時差漏洞攻擊態勢，並指出駭客透過已知漏洞找出新漏洞的現象變得更加氾濫</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158049">【7月31日】 Ivanti再度修補行動裝置管理平臺的零時差漏洞，並指出其危險之處在於與另一個漏洞串連使用</a></strong></p> </div></div></div>
2023/8/4 15:37作者周峻佑https://www.ithome.com.tw/news/158111
鎖定MFT系統MOVEit攻擊事件近六百家企業機構遭殃，且規模持續擴大（截至7月31日）
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾年以來，繼Accellion FTA、GoAnywhere等MFT檔案共用系統的用戶，傳出遭到大規模的零時差漏洞攻擊，導致使用者資料外洩，類似情況近期再度傳出。今年5月底，IT業者Progress發布公告，指出旗下的MFT解決方案出現零時差漏洞，且已有攻擊行動出現。</p> <p>這起事故發生迄今快2個月，從當初有資安業者指出攻擊者的身分，到駭客組織坦承犯案、公布受害組織名單，後來則有部分企業與公家機關證實遭遇相關攻擊。但相較於先前的事故，這次有許多不同的地方。</p> <p>首先，與前述的Accellion FTA、GoAnywhere事件相同，背後的攻擊者都是勒索軟體駭客Clop，但這次陸續浮出檯面的受害組織竟多達數百個，駭客分成多次公布名單，而且每次都引起不少關注。</p> <p><a href="https://s4.itho.me/sites/default/files/images/MOVEit-overview_cKArhktp85.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MOVEit-overview_cKArhktp85.png" style="width: 580px;" /></a></p> <blockquote><p>資料來源：Mandiant、Progress、Bleeping Computer、KonBriefing、Coveware，iThome整理，2023年8月</p> </blockquote> <p>另一方面，有別於過往事件證實受害的企業與政府機關，同時其檔案共用系統也遭遇攻擊，但這次出面公布遇害的組織，不少是因為IT服務供應商建置的MOVEit Transfer遭遇攻擊，導致自己的內部資料、客戶資料外洩而出面公告。</p> <p>再者，這次駭客利用的漏洞是CVE-2023-34362（CVSS風險評分為9.8），而Progress在攻擊事件發生之後，委由資安業者Huntress，協助檢視MOVEit Transfer的程式碼，後續在一個月內，數次發現新的重大漏洞，部分漏洞在公布當下甚至尚未取得CVE編號，如此紊亂的修補狀態，也是前述幾起MFT系統遭攻擊事件所沒有出現的情形。</p> <h3><span style="color:#0000FF;"><strong>事件的首度揭露源自零時差漏洞公告</strong></span></h3> <p>這起資安事件的曝光，主要與5月底Progress發布的漏洞公告有關。根據資安新聞網站Bleeping Computer的報導，駭客針對Progress公司旗下MFT檔案共享系統MOVEit Transfer的零時差漏洞，發動攻擊，竊取組織存放的檔案，且已有許多組織受害。</p> <p>該新聞網站認為，駭客利用的漏洞與Progress在5月31日公布的SQL注入漏洞有關──此漏洞能允許未經身分驗證的攻擊者取得資料庫權限，而能截取MOVEit所採用的資料庫內容。</p> <p>Progress呼籲IT人員，應暫時以防火牆停用該伺服器所有HTTP與HTTPS流量來因應。而根據Progress在該媒體提出的說明，雲端服務版本MOVEit Cloud也受到影響。當時，這個漏洞尚未取得CVE編號。</p> <p>6月1日， Rapid7、Huntress、TrustedSec等多家資安業者指出，在網際網路上，約有2,500臺MOVEit Transfer伺服器曝露於這個資安風險，已遭攻擊的伺服器都出現檔名為human2.aspx的Web Shell，此指令碼會找尋受害伺服器存放的資料、Azure Blob儲存桶的帳密資料，以及從伺服器下載檔案。研究人員亦公布攻擊來源IP位址等入侵指標（IoC），供組織防範相關攻擊。</p> <p>隨後，有其他資安業者提出更多細節。資安業者GreyNoise提出警告，在前述的資安通告裡，Progress呼籲IT人員檢查MOVEit Transfer近30天裡的事件記錄，確認是否出現未經授權的存取情形，但根據他們的觀察，在3月3日駭客就嘗試掃描該系統登入網頁的行動，因此，IT人員調查事件記錄的範圍，應至少延長至90天。資安業者Mandiant則認為，駭客開始利用零時差漏洞發動攻擊的時間點，是5月27日，當時是美國的陣亡將士紀念日假期。</p> <p>而對於攻擊者的身分，微軟威脅情報團隊於5日表示，根據他們的調查，很有可能就是勒索軟體駭客組織Clop（該公司稱做Lace Tempest）所為，理由是該組織也曾利用類似的漏洞來竊取資料，並向受害組織勒索。</p> <h3><strong><span style="color:#0000FF;">受害企業與組織不斷浮出檯面，表明受到攻擊</span></strong></h3> <p>在微軟懷疑攻擊者的身分後，駭客組織Clop開始有所行動，同時也有企業與政府單位表明受害。在這些組織當中，有不少MOVEit Transfer，是IT服務業者維護的系統。</p> <p>最早證實遭到攻擊的組織約於6月5日出現，包含了英國航空、英國廣播公司（BBC）、薪資系統服務供應商Zellis、加拿大新斯科舍省政府等。</p> <p>其中，英國航空發出聲明，表示他們受到了Zellis的資安事件波及，而該事故與MOVEit Transfer檔案傳輸系統有關。Zellis也證實遭到攻擊，該業者的事故不只影響英國航空，還有BBC、愛爾蘭航空（Aer Lingus）、藥妝連鎖業者Boots受害。</p> <p>而對於微軟的指控，Clop向資安新聞網站Bleeping Computer透露，這起攻擊行動就是他們所為，並宣稱開始發動攻擊的時間是5月27日，但不願透露入侵此種檔案共享系統伺服器的數量，僅表示他們即將向受害組織進行勒索，要求這些組織於6月14日前進行談判。</p> <p>特別的是，這次駭客強調不向政府機關、軍事單位、兒童醫院索討贖金，他們已將從這些組織竊得的資料刪除。然而，這項說法是否正確，該新聞網站表示無從判斷。根據另一家資安新聞網站The Record的報導，Clop宣稱受害組織有數百家，但實際規模仍不得而知。</p> <p>在駭客首度公布受害組織名單之前，還有IT服務業者PBI Research Services、美國羅徹斯特大學、英國電信主管機關Ofcom也表示遭駭，證實遭遇有關攻擊。</p> <h3><span style="color:#0000FF;"><strong>駭客多次公布受害組織名單</strong></span></h3> <p>隨著駭客組織Clop設下的談判期限到來，他們也開始在暗網上的網站公布部分受害組織。</p> <p>值得留意的是，雖然駭客聲稱有數百個組織受害，但他們分成多次公布部分名單，且初期每次的數量都不多，而使得遭到公布的組織都受到相當程度的關注。這樣分批揭露、細水長流的做法，也和這些駭客在GoAnywhere攻擊行動當中，一口氣將一百多個組織公布於網站的方式相當不同。</p> <p>根據資安新聞網站Bleeping Computer的報導，勒索軟體Clop於6月14日公布1份受害組織名單，總共列出13個對象，其中包含了石油公司殼牌、保險公司UnitedHealthcare Student Resources、喬治亞大學（UGA）、喬治亞大學系統（USG）、精密印刷機械業者海德堡（Heidelberger Druckmaschinen）、歐洲渡假村集團Landal Greenparks。</p> <p>對此，殼牌、Landal Greenparks證實有部分客戶資料外洩，海德堡則表示尚無資料外洩的跡象。此外，根據CNN的報導，美國能源部及多個聯邦機構也遭遇此次的零時差漏洞攻擊。</p> <p>根據資安業者ReliaQuest 的追蹤，6月15日，這些駭客又公布14個受害組織。這些單位大部分來自美國，其中有3個為歐洲組織，分別是位於法國、瑞士、盧林堡的組織，而且，主要是金融服務業、但也有醫療保健、製藥廠，以及科技產業。</p> <p>6月16日美國東部時間上午，又有10個受害組織被駭客列入名單，值得留意的是，這次開始有亞洲的組織出現。截至目前為止，駭客聲稱有37個組織遇害，其中美國組織最多，共有23個。而從這些企業的產業類型來看，有14個為金融服務業者，醫療保健業者、製藥及生物技術業者各有4家。</p> <p><a href="https://s4.itho.me/sites/default/files/images/616-4pm-regions.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/616-4pm-regions.png" style="width: 288px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/616-4pm-industries.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/616-4pm-industries.png" style="width: 320px; height: 232px;" /></a></p> <blockquote><p>資安業者ReliaQuest於6月16日，彙整已確認受害的組織，其中逾半數受害組織（63%）位於美國，而從所屬產業的領域而言，金融服務業的比例最高（37%），醫療保健、科技業次之。（圖片來源／<span style="font-style: italic;">ReliaQuest</span>）</p> </blockquote> <p>同日下午4時，研究人員看到駭客在網站新增3個組織。值得留意的是，他們發現其中一家企業向駭客表態拒絕妥協之後，駭客公布了該組織的遭竊資料。</p> <p>6月19日，勒索軟體駭客Clop公布11個新的受害組織，且開始有澳洲的組織被列入名單。此外，對於本次公布的名單，有1個組織的部分遭竊資料也被駭客洩露。</p> <p>隔日，駭客又再公布其中一家受害組織的資料，但研究人員指出，與前2家組織資料被公布的情況不同，駭客一口氣公布所有從該組織偷到的檔案。21日，駭客再公布2家受害組織的資料，並針對近期媒體的報導提出說明，表明他們是唯一利用這項零時差漏洞的駭客組織，他們的目的就是為了賺錢。</p> <p>6月22日，Clop於網站上增列4個組織，其中包含2家會計師事務所及1家科技公司。同時，駭客也洩露2個組織的資料。</p> <p>到了23日，這些駭客公布2個新的受害組織名稱，並洩露5個組織的資料。截至目前為止，有58個組織被列於駭客的網站上。</p> <p><a href="https://s4.itho.me/sites/default/files/images/MOVEit-list_5xS9mauSDP.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MOVEit-list_5xS9mauSDP.png" style="width: 580px;" /></a></p> <blockquote><p>資料來源：<span style="font-style: italic;">Bleeping Computer、SecurityWeek，iThome整理，2023年8月</span></p> </blockquote> <p>接下來，這些駭客陸續又增列一些受害組織，到了 7月5日，研究人員看到36個新列入的組織。截至28日，該駭客組織總共公布受害的企業、政府機關，累計超過250個。</p> <h3><strong><span style="color:#0000FF;">受害規模持續擴大，亦有不少組織受到第三方供應商牽連</span></strong></h3> <p>而針對這起事故的受害規模，我們也可以從另一家資安業者Emsisoft的說法，來看出影響程度不同以往。該公司指出，截至7月26日，有接近500個組織、近2,400萬人的資料因本次事件而曝險。</p> <p>研究人員看到駭客在網站公布206個組織，另一方面，有超過136個組織非MOVEit Transfer的用戶，是因第三方廠商而受波及。至於證實受到攻擊事件影響的組織，總共有286個，其中約有四分之一說明了個資受影響的人數。</p> <p>根據新聞報導、駭客公布的名單、受害組織發出的聲明，以及向美國地方政府或證券交易委員會（SEC）通報的資料，研究機構KonBriefing也公布他們彙整的資料，並設置專屬網頁不斷更新結果。截至7月31日，他們確認有545個組織受害，約有3,270萬至3,760萬人遭受波及，這些組織遍及至少31個國家。</p> <p>而根據這些組織所屬的國家，大多數（389個）是來自美國，其次是德國、加拿大、英國，分別有35個、25個、24個組織受害。值得留意的是，美國學術機構多達129個，占該國受害組織近三分之一，其次是公家機關，有25個聯邦單位受害。研究人員也提及，在加拿大的受害組織當中，13個是公家機關，也就是該國每2個受害組織就有1個是公部門。</p> <p><a href="https://s4.itho.me/sites/default/files/images/MOVEit-Affected-orgs-0731.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MOVEit-Affected-orgs-0731.png" style="width: 580px;" /></a></p> <blockquote><p>根據研究機構KonBriefing的統計，截至7月31日，共有545個組織證實受到攻擊事件影響，其中有389個位於美國，其次則是德國、加拿大、英國，各有超過20個組織受害。（圖片來源／KonBriefing）</p> </blockquote> <p>值得留意的是，資安業者Kroll發現，駭客早在2021年7月就找到CVE-2023-34362，並策畫在完成GoAnywhere攻擊之後，才進行本次的攻擊行動。這意味著該漏洞曝露長達快2年的時間，駭客可能已經過充分的模擬和測試，最後才決定下手。</p> <p>另一方面，資安業者Censys指出，在5月底Progress發布資安通告及修補程式之前，他們看到約有逾3千臺MOVEit Transfer伺服器曝露於網際網路上。根據這2家資安業者的發現，也代表現在被揭露的受害組織，很可能只是其中的一小部分。</p> <p>對於實際的受害規模，目前仍難以估計。美國網路安全暨基礎設施安全局（CISA）、聯邦調查局（FBI）推估，超過3千個當地組織受害，其他國家可能也有8千個組織遭受攻擊。</p> <p>不過，這起攻擊行動當中，駭客並未對存放於MOVEit Transfer的檔案進行加密，因此，受害組織會願意向駭客低頭，支付贖金換取資料不被外流嗎？</p> <p>資安業者Coveware指出，他們認為這起攻擊行動有超過1千個組織會直接受到影響，但僅有非常少數組織願意談判，更別說是支付贖金。</p> <p>然而，還是有組織選擇向駭客低頭，且付出代價極為高昂，遠超過勒索軟體駭客組織Clop其他攻擊行動的金額（平均約74萬美元）。研究人員估計，駭客總共從這些極為少數的受害組織，收到了7,500萬至1億美元的贖金。</p> <h3><strong><span style="color:#0000FF;">後續頻繁針對新發現的漏洞進行緊急公告</span></strong></h3> <p>雖然整起事件當中，駭客只有利用CVE-2023-34362，但這次Progress應變處理的可取之處在於，他們在事發之後隨即尋求資安業者協助，檢視MOVEit Transfer的程式碼來改善安全。不過，頻繁發布新漏洞的資安通告，也很可能讓IT人員無所適從，疲於採取緩解措施，或是安裝更新軟體。</p> <p>6月9日，Progress表示在資安業者Huntress的協助下，找到SQL注入漏洞CVE-2023-35036，CVSS風險評分為9.1，影響所有版本的MOVEit Transfer，該公司提供修補程式，並指出目前該漏洞尚未遭到利用。</p> <p>事隔不到一週，Progress於15日又再度發布公告，針對新漏洞CVE-2023- 35708 提出緩解措施，呼籲IT人員暫時停用所有HTTP與HTTPS流量，該公司在隔天發布了修補程式。此漏洞也是SQL注入漏洞，CVSS風險評分達到9.8。</p> <p>值得留意的是，無論是CVE-2023-34362還是CVE-2023- 35708，Progress首度公布漏洞的時候皆未取得CVE編號，也沒有提供CVSS評分，IT人員只能從公告的說明當中，得知該公司認定漏洞極為嚴重，難以判斷要如何安排修補順序。</p> <p>到了7月初，Progress發布新的資安通告，一口氣揭露3個漏洞CVE-2023-36932、CVE-2023-36933、CVE-2023-36934，這些漏洞主要與SQL注入有關。其中最嚴重的是CVE-2023-36934，CVSS風險評分達到9.1，另外2個漏洞也達到高風險等級。</p> <p>從事件發生之後，Progress總共修補了6個CVE漏洞，然而根據這些資安通告，不同程度的MOVEit Transfer修補層級，IT人員需要採取的更新步驟也不同，使得修補工作變得更為複雜。</p> </div></div></div>
2023/8/4 16:38作者周峻佑https://www.ithome.com.tw/news/158113
IBM、NASA與Hugging Face開源地理空間基礎模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.ibm.com/2023-08-03-IBM-and-NASA-Open-Source-Largest-Geospatial-AI-Foundation-Model-on-Hugging-Face" target="_blank">IBM本周宣布</a>，已於Hugging Face上開源基於美國國家航空及太空總署（NASA）衛星資料的watsonx.ai地理空間基礎模型，為全球首個與NASA合作的AI基礎模型。</p> <p><a href="https://www.earthdata.nasa.gov/news/nasa-ibm-ai-collaboration" target="_blank">IBM與NASA是在今年2月宣布結盟</a>，當時IBM即打算要利用NASA的地球觀測衛星資料來打造各種基礎模型，以供全球的研究人員更容易應用NASA的資料，其中一項專案是利用Harmonized Landsat Sentinel-2（HLS）的衛星資料（下圖）來訓練IBM的地理空間情報基礎模型，整合來自美國地質調查局（USGS）的Landsat，以及由歐洲太空總署（European Space Agency，ESA）主導的Sentinel-2衛星資料，來提供一致且連貫的衛星影像。</p> <p class="rtecenter"><a href="https://hls.gsfc.nasa.gov/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0804-NASA%20Harmonized%20Landsat%20Sentinel-2%20(HLS)%20Data-(2)-600.jpg" style="width: 600px;" /></a></p> <p>此一名為IBM NASA Geospatial的開源模型使用了包含HLS專案在內的大量衛星及遙測數據，<a href="https://huggingface.co/ibm-nasa-geospatial" target="_blank">使用者可透過機器學習模型分享平臺Hugging Face存取</a>。</p> <p class="rtecenter"><a href="http://huggingface.co/ibm-nasa-geospatial" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0804-IBM%20NASA%20Geospatial%20image%20by%20huggingface.png" style="width: 500px;" /></a></p> <p>IBM解釋，IBM NASA Geospatial是由IBM與NASA共同於HLS上展開為期一年的訓練，已根據洪水及大火的標記資料進行微調，僅使用一半的標記資料便改善了15%的效能，再藉由其它的微調將可重新部署基礎模型來執行追蹤森林砍伐、預測農作物產業，或是監控溫室氣體等任務。</p> <p>此外，該模型也借助了IBM的基礎模型技術，<a href="https://newsroom.ibm.com/IBM-watsonx-capabilities-are-now-available-to-help-meet-enterprises-AI-for-business-needs" target="_blank">IBM甫於今年7月發表</a>商業性的AI平臺 watsonx，也計畫於今年透過IBM Environmental Intelligence Suite推出商業化的地理空間模型。</p> </div></div></div>
2023/8/4 16:17作者陳曉莉https://www.ithome.com.tw/news/158112
Google允許用戶要求移除包含聯絡人資料的搜尋結果頁連結
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/search/new-privacy-tools/" target="_blank">Google宣布一項新隱私與安全功能</a>，可應用戶要求，從搜尋結果頁移除包含聯絡人資料的網頁連結。不過新功能目前僅在美國提供。</p> <p><a href="https://www.ithome.com.tw/news/150674" target="_blank">這項功能是去年5月宣布</a>的「Results about you」工具的最新擴充。這項功能可讓用戶以Google App或Google Search的任何入口，要求Google從其搜尋結果頁移除包含敏感個資，如個人手機、住家地址或電郵信箱的連結，以防範肉搜或被用於金錢詐騙。</p> <p>現在Google改良了這項工具，擴及用戶個人聯絡資訊。未來幾天內，Google會推出一個新的儀表板工具，用戶只要在此輸入聯絡人資訊，它會自動蒐集包含該資訊的網頁，而不需自己到Google Search中動手搜尋。若真的搜尋到，用戶可以直接在儀表板中要求Google從搜尋頁移除連結。若日後又有新的網頁出現在搜尋結果中，Google也會主動通知用戶。</p> <p>「Results about you」可從Google App帳號相片下方點入，或是直接點擊goo.gle/resultsaboutyou存取。</p> <p>目前這功能僅提供美國地區的英語用戶，該公司表示正在開發其他語言版本，未來也會推向其他市場。</p> <p>此外，Google Search同時改版了SafeSearch防範色情內容功能。SafeSearch可在搜尋結果頁出現露骨圖片時將之模糊化，以保護18歲以下的用戶。SafeSearch原本已提供給登入Google帳號的青少年用戶，今年2月，SafeSearch成為所有青少年用戶預設，即使他們沒有啟用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0804-Blurring_Setting_Google.png" style="width: 535px;" /></p> <p>現在，Google再進一步，使SafeSearch成為全球用戶的預設，<a href="https://support.google.com/websearch/answer/510?hl=en&co=GENIE.Platform%3DDesktop&oco=0" target="_blank">但也允許用戶將之關閉</a>，除非管理員將設定功能關閉。</p> <p>如果用戶自己的私密相片也出現在第三方網頁，未經用戶同意發布，也能循前述的儀表板，要求Google從搜尋頁移除。但是這政策不適用於用戶自己刊登或販售的網頁。</p> <p>最後，家長也能輕鬆找到家長控制子女上網的指引資訊。只要在Google上搜尋「Google家長控制」或「Google family link」等關鍵字，Google就會把管理家長控制的方法集中於單一區內顯示。</p> </div></div></div>
2023/8/4 15:23作者林妍溱https://www.ithome.com.tw/news/158110
蘋果營收連3季下滑，服務再創新高
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果周四（8/3）公布截至7月1日的2023財年第三季財報，顯示該季蘋果創下818億美元的營收，比去年同期下滑了1%，這已是蘋果連續3季的營收下滑，但下滑的主要是iPhone、Mac與iPad等產品，蘋果的服務營收則再創新高，該季蘋果每股盈餘為1.26美元，成長了5%。</p> <p>蘋果的兩大營收類別為產品及服務，在818億美元營收中，產品占了606億美元，下滑4.3%，而服務則占了212億美元，成長8.2%。若細分蘋果的產品，iPhone營收為396.7億美元，下滑2.4%，Mac為68.4億美元，下滑7.3%，iPad為57.9億美元，下滑19.8%，其它穿戴與家用裝置的營收為82.8億美元，是所有產品中唯一營收呈現正成長的，比去年同期增加了2.5%。</p> <p>至於212億美元的服務營收則再度刷新了蘋果的紀錄，亦比去年同期成長8.2%。</p> <p>蘋果執行長Tim Cook表示，有賴於逾10億名付費訂閱用戶的貢獻，該季蘋果服務營收寫下了新紀錄，而新興市場則在iPhone銷售的助益下日益強大。</p> <p>根據蘋果所公布的區域營收，美洲市場占了354億美元，下滑5.5%，歐洲市場為202億美元，成長4.8%，大中華區為158億美元，成長8%，日本與其它亞太地區的營收則分別為48億美元及56億美元，皆略低於去年數字。</p> </div></div></div>
2023/8/4 13:40作者陳曉莉https://www.ithome.com.tw/news/158107
微軟支援跨平臺Unity遊戲開發，在VS Code上推Unity擴充套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在VS Code上，以6月推出的C#開發工具包和C#擴充套件當作基礎，提供一個能夠跨Windows、macOS和Linux平臺的<a href="https://devblogs.microsoft.com/visualstudio/announcing-the-unity-extension-for-visual-studio-code/">Unity開發工具包</a>，方便遊戲開發者用於編寫和除錯Unity遊戲。參考自Visual Studio與Visual Studio Tools for Unity，C#開發工具包和Unity擴充套件也提供許多開發者熟悉的功能，使開發者在各個平臺，都能夠以C#開發Unity遊戲。</p> <p>微軟解釋，Unity擴充套件提供由Roslyn支援的C#程式碼編輯，因此開發者可以使用到完整的IntelliSense程式碼完成功能，和IntelliCode for C#開發工具包一起使用，便能獲得AI輔助功能，像是輸入時全行完成以及加註星標建議等，而且Unity擴充套件還包含了Unity Roslyn Analyzers專案，可以提供專屬Unity的自定義建議和程式碼修復功能。</p> <p>開發者要使用Unity擴充套件，至少需要安裝Unity 2021，VS Code會自動安裝所有Unity擴充套件的相依項目，包含C#開發工具包和C#擴充套件。</p> <p>值得注意的是，由於C#開發工具包和VS Code Unity擴充套件建立在與Visual Studio相同的基礎上，因此採用類似Visual Studio的授權條款，在個人、學術和開源開放上免費使用，但是企業使用，需要購買Visual Studio Professional、Enterprise訂閱，以及GitHub Codespaces。</p> </div></div></div>
2023/8/4 13:46作者李建興https://www.ithome.com.tw/news/158105
Amazon營收成長11%，股價大漲9%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businesswire.com/news/home/20230802612401/en/" target="_blank">Amazon周四（8/3）公布</a>今年第二季營收，該季Amazon創下1,344億美元的營收，比去年同期成長11%，該季淨收入為67億美元，優於去年同期的20億美元虧損，當天Amazon在盤後上漲了8.75%，股價為140.17美元。</p> <p>Amazon把營收分為北美電子商務、國際電子商務及AWS。該季北美電子商務的營收為825億美元，成長10.9%，也一改去年同期的虧損，創下了32億美元的營業利潤；國際電子商務營收則是297億美元，成長9.7%，虧損了近9億美元，但優於去年同期的17.7億美元虧損。</p> <p>至於AWS在今年第二季則創下221億美元的營收，成長12%，營業利潤為53.7億美元，略低於去年同期的57.2億美元。</p> <p>即使AWS的營收成長幅度已明顯趨緩，但因Amazon該季的營收與獲利都高於分析師預期，而推升了股價。</p> <p>值得注意的是，Amazon也以平臺之姿積極搭上生成式AI的列車，執行長Andy Jassy表示，AWS正釋出一系列的生成式AI服務，以讓客戶以更具成本效益、也更容易的方式來訓練與執行模型，包括客製化各種大型語言模型以推動生成式AI應用，以及利用CodeWhisperer來協助程式的撰寫。</p> </div></div></div>
2023/8/4 13:58作者陳曉莉https://www.ithome.com.tw/news/158108