iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 26篇
近 7 天: 140篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/12 04:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 140 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】8月15日，臺灣等17個國家遭中國駭客RedHotel鎖定，進行網路攻擊行動長達3年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著國際局勢日趨緊張，不時傳出中國駭客發動攻擊的情況。其中，資安業者Recorded Future公布一起為期長達3年的網路間諜攻擊行動，由政府資助的中國駭客RedHotel發起，值得留意的是，受害組織的基礎設施、簽章，有可能被這些駭客拿去攻擊其他目標。</p> <p>關於臺灣遭遇相關攻擊的部分，該公司表示，駭客竊得臺灣電玩公司的簽章，並將其用於簽署惡意DLL檔案，最終還以此在其他目標組織側載惡意軟體。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.recordedfuture.com/redhotel-a-prolific-chinese-state-sponsored-group-operating-at-a-global-scale"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客RedHotel針對包括臺灣在內的17個國家，進行為期3年的網路攻擊行動</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023_redhotel_body_b22a0b5597.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023_redhotel_body_b22a0b5597.png" style="width: 300px; float: right;" /></a>長期觀察中國駭客行動的資安業者Recorded Future揭露，國家級駭客組織RedHotel（亦稱TAG-22）從2019年就開始滲透多個國家的政府及民間組織，特別是東南亞地區的國家，主要任務為情報蒐集及商業間諜，還會冒用其他組織的帳密與基礎設施來展開攻擊。到了2021年，這些駭客發起新一波攻擊行動，目前仍在進行中。</p> <p>根據駭客的C2基礎設施分布來看，受害組織遍及臺灣、香港、印度、寮國、馬來西亞、尼泊爾、巴勒斯坦、巴基斯坦、菲律賓、泰國、越南、美國、阿富汗、孟加拉、柬埔寨、捷克、不丹等17個國家，目標對象則涵蓋學術機構、航太、政府、媒體、電信及研發中心。</p> <p>其中一起受到高度關注的攻擊行動，就是這些駭客在去年底盜走屬於臺灣電玩公司的程式簽章，並用來簽署動態連結程式庫（DLL），目的是在攻擊行動裡載入滲透測試工具Brute Ratel C4（BRC4），此工具可與越南國家科學研究院的基礎設施進行通訊，顯示該組織也已被RedHotel攻陷，還被用來當作C2。</p> <p><a href="https://therecord.media/missouri-medicaid-health-info-moveit-breach"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">IBM資料處理業務遭MOVEit Transfer漏洞攻擊，數百萬美國人健康資訊外流</span></strong></a></p> <p>8月11日美國科羅拉多州健康政策與融資業務部（Colorado Department of Health Care Policy & Financing，HCPF）發布資安通告，他們接獲資料處理委外業者IBM通知，檔案共享系統MOVEit Transfer遭遇網路攻擊，導致約409萬民眾的健保計畫（Medicaid Program）資料外流。HCPF指出，IBM管理的檔案共享系統在5月28日遭到未經授權存取，外流的資料包含了姓名、社會安全碼、醫療資訊、保險資訊。</p> <p>但科羅拉多州並非唯一因IBM而資料外洩的地方政府，密蘇里州社會福利部（Missouri Department of Social Services，DSS）也在8月9日發布公告，他們於6月接獲IBM通知，健保計畫會員資訊外洩，包括姓名、會員編號、生日、承保範圍，以及理賠資料。</p> <p>資料來源</p> <p>1. <a href="https://apps.web.maine.gov/online/aeviewer/ME/40/5b434968-ff60-47f4-ac52-fb7946cf3bc6.shtml">https://apps.web.maine.gov/online/aeviewer/ME/40/5b434968-ff60-47f4-ac52-fb7946cf3bc6.shtml</a><br /> 2. <a href="https://web.archive.org/web/20230813142802/https://dss.mo.gov/press/pdf/dss-third-party-cyber-attack-protection.pdf">https://dss.mo.gov/press/pdf/dss-third-party-cyber-attack-protection.pdf</a></p> <p><a href="https://www.dhs.gov/news/2023/08/10/cyber-safety-review-board-releases-report-activities-global-extortion-focused"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國針對駭客組織Lapsus$的攻擊行動提出警告，企業組織應強化雙因素驗證措施</span></strong></a></p> <p>針對從2021年底至2022年橫行的駭客組織Lapsus$，美國國土安全部（DHS）旗下的網路安全審查委員會（Cyber Safety Review Board，CSRB）於8月10日發布了完整的調查報告，當中提及這些駭客入侵數十家知名企業的管道，涵蓋了社交工程、SIM卡挾持（SIM Swapping）、賄賂企業員工，或是直接向初始入侵管道掮客（Initial Access Brokers，IAB）業者購買相關帳密資料，僅有少部分情況會針對已知漏洞發動攻擊，此外，這些駭客未曾使用零時差漏洞。</p> <p>CSRB認為，這些駭客能多次得手的主要原因，在於受害企業在進行雙因素驗證的流程裡，採用了文字簡訊或語音通話等較不安全的做法，因此他們除呼籲企業組織應遷移更為安全的解決方案，也希望電信業者介入強化相關驗證、聯邦通訊委員會（FCC）與聯邦交易委員會（FTC）能制訂對抗SIM卡挾持威脅的最佳實踐，並透過法律層面要求企業組織執行。</p> <p><a href="https://www.ithome.com.tw/news/158233"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">網頁機器人解析圖靈驗證機制CAPTCHA能力優於人類，難以達到遏阻機器人的目的</span></strong></a></p> <p>圖靈驗證機制CAPTCHA是網站防範機器人（Bot）攻擊裡，相當普遍的做法，但道高一尺魔高一丈，防守方為因應機器人不斷突破，這種驗證機制也變得越來越複雜、種類更為多元，然而這樣的「軍備競賽」，人類真的勝出了嗎？</p> <p>美國加州大學艾爾文分校（University of California, Irvine）的研究人員<a href="https://arxiv.org/pdf/2307.12108.pdf">找來1,400人進行實驗</a>，要求他們解答Alexa前200大網站上的1.4萬個CAPTCHA題目，結果發現，無論是reCAPTCHA、遊戲式CAPTCHA、從圖片答題的hCAPTCHA、猜不同角度呈現的圖片（slider-based CAPTCHA），以及扭曲文字式的CAPTCHA等類型題目，機器人的速度和正確性皆明顯優於人類。</p> <p>美國加州大學主任研究員Gene Tsudik認為，這突顯了CAPTCHA圖靈驗證機制已影響使用者體驗，防堵機器人的效果卻極為有限的現象。</p> <p><a href="https://news.ltn.com.tw/news/society/breakingnews/4394895"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">小隊長將帳密資料張貼於公務電腦惹禍！三重分局員警盜用查詢逾20位名人個資</span></strong></a></p> <p>新北市政府警察局三重分局偵查隊李姓警員於2021年9月，發現陳姓小隊長將查詢系統的帳號密碼貼在公務電腦前後，便起歪心思，不斷使用自己的公務電腦登入系統，查詢藝人豆花妹、阿部瑪利亞、臺灣第一AV女優「娃娃」翁雨澄、網紅蕾拉等22人個資。由於查詢次數過於頻繁，警政署稽核查詢系統使用狀況時察覺異常，通報三重分局展開調查，經調閱監視器才發現查詢者為李姓警員。</p> <p>李姓警員被記2小過，陳姓小隊長因未妥善保管帳密，違反資通安全實施規定，加上督導不周被連帶懲處3支申誡，並暫停使用資訊設備及網路資源，偵查隊長也因考監不力被記1次申誡。</p> <p>陳姓小隊長向李員提告，新北地院審酌李員認罪並與陳男和解，因此依公務員假借職務上機會非法蒐集個人資料罪，判刑6個月，緩刑3年，並提供50小時義務勞務。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/ford-says-cars-with-wifi-vulnerability-still-safe-to-drive/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">福特證實車載資訊系統Sync3存在Wi-Fi元件漏洞</span></strong></a></p> <p>8月10日福特發布資安通告，有研究人員發現旗下部分2021年至2022年車款採用的Sync3車載資訊系統裡，採用的WL18xx MCP驅動程式，存在記憶體緩衝區溢位漏洞CVE-2023-29468，攻擊者若是在車載資訊系統Wi-Fi訊號範圍，就有可能藉由含有弱點的MCP驅動程式，取得覆寫主機記憶體的能力，CVSS風險評分介於8.8至9.6分，影響WILINK8-WIFI-MCP8的8.5_SP3以前版本。</p> <p>對此，福特表示，截至目前為止，尚未發現上述漏洞遭到利用，且攻擊者想要利用該漏洞必須在車輛引擎發動、車載資訊系統啟用Wi-Fi連線的情況下，才能在車輛附近發動攻擊；由於油門及控制車輛行進的系統受到防火牆保護，即使車載資訊系統遭到攻擊也不致影響行車安全。該公司正在製作修補程式，在此更新軟體尚未推出之前，車主可在車載資訊系統關閉Wi-Fi連線功能即可緩解上述漏洞帶來的風險。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://media.ford.com/content/fordmedia/fna/us/en/news/2023/08/10/ford_provides-customer-guidance-in-response-to-supplier-disclosu.html" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--1875257501" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://media.ford.com/content/fordmedia/fna/us/en/news/2023/08/10/ford_provides-customer-guidance-in-response-to-supplier-disclosu.html</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.ti.com/lit/er/swra773/swra773.pdf?ts=1691717352391&ref_url=https%253A%252F%252Fmedia.ford.com%252F" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-1976470121" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://www.ti.com/lit/er/swra773/swra773.pdf</span></a></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.checkpoint.com/press-releases/check-point-to-acquire-perimeter-81-to-deliver-the-fastest-and-most-secure-sase-solution-in-the-industry/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資安業者Check Point以4.9億美元買下零信任新創Perimeter 81</span></strong></a></p> <p>資安業者Check Point於8月10日宣布，他們與零信任資安新創業者Perimeter 81簽署併購協議，將以4.9億美元買下Perimeter 81，雙方預計於今年第三季完成交易。當天Check Point的股價上漲2.9%，以130.04美元作收。</p> <p>Check Point表示，混合工作型態已成為全球組織的標準，數位轉型亦不斷將資料轉移至雲端，這樣的改變需要採用先進的網路安全手法，才能無縫適應現代分散式企業的需求，而他們相中Perimeter 81的原因，即是該公司的解決方案得以讓分散在各地的員工能夠安全存取組織網路與應用，未來將整合Perimeter 81的解決方案至旗下的Infinity架構，藉此提供橫跨網路、雲端、遠端使用者的安全存取機制。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.theregister.com/2023/08/14/hactivitsts_claim_japanese_government_attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">日本政府網站傳出遭到駭客組織匿名者攻擊，起因是抗議福島排放核電廠廢水造成汙染</span></span></strong></a></p> <p><a href="https://securelist.com/focus-on-droxidat-systembc/110302/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體DroxiDat鎖定南非發電廠而來</span></span></strong></a></p> <p><a href="https://www.akamai.com/blog/security-research/new-sophisticated-magento-campaign-xurum-webshell"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">電子商務平臺Magento去年的重大漏洞被用於Xurum攻擊行動</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/dell-compellent-hardcoded-key-exposes-vmware-vcenter-admin-creds/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">企業儲存系統Dell Compellent存在寫死帳密漏洞，VMware vCenter管理員帳號曝險</span></span></strong></a></p> <p><a href="https://blog.syss.com/posts/zero-touch-pwn/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Zoom的零接觸設定功能存在漏洞，有可能被用於遠端發動攻擊</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158241">【8月14日】 DEF CON搶旗攻防賽臺灣勇奪第3</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158224">【8月11日】美國政府宣布發起為期2年的大型AI網路安全競賽，並資助想要投入的小型企業參加</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158207">【8月10日】駭客結合勒索軟體Mallox與木馬程式Remcos，透過加殼程式於受害電腦上發動攻擊</a></strong></p> </div></div></div>
2023/8/15 16:53作者周峻佑https://www.ithome.com.tw/news/158283
勒索軟體Knight隱身於偽造的Tripadvisor投訴釣魚信件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Uptycs在6月發現的勒索軟體即服務<a href="https://www.uptycs.com/blog/cyclops-ransomware-stealer-combo">Cyclops</a>，於7月經過品牌再造重新命名為Knight，並且推出資料洩漏網站，以及適合批次發布的Knight Lite精簡版。Sophos研究員Felix Weyne近期於一個垃圾郵件活動中，<a href="https://twitter.com/felixw3000/status/1689541933062868992?s=20">發現</a>Knight的蹤跡，而外國資安媒體<a href="https://www.bleepingcomputer.com/news/security/knight-ransomware-distributed-in-fake-tripadvisor-complaint-emails/">《BleepingComputer》</a>進一步分析，發現這些釣魚電子郵件包含了HTML附件，誘使受害者點擊並下載勒索軟體。不過，目前尚未有受害者的資料被公布在資料洩漏網站上，</p> <p>資安業者Uptycs在6月的時候發現了Cyclops，這款勒索軟體工具被以服務的形式銷售，當買家利用該工具發動攻擊並成功收取贖金，工具賣家將獲得贖金抽成。Cyclops的多項工具都是以Go語言開發而成，該勒索軟體的特別之處，在於能跨Windows、Linux、macOS作業系統發動攻擊。而在加密受害者系統檔案之前，還會偷偷先以竊資軟體將特定類型資料回傳伺服器，以便在之後進行雙重勒索。</p> <p>Sophos研究員Felix Weyne透過靜態方法偵測到Knight勒索軟體，Knight勒索軟體會注入到由VMWare簽署的7-zip二進位檔案，包裝在名為TripAdvisor Complaint的壓縮檔中，透過社交工程攻擊，試圖誘騙用戶點擊假冒為TripAdvisor投訴文件，實際上卻是包含勒索軟體的惡意網頁。</p> <p>《BleepingComputer》研究人員深入分析該釣魚活動，發現當用戶打開信件中夾帶的HTML檔案，該檔案會使用BitB （Browser-in-the-Browser）攻擊技術，在瀏覽器中嵌入一個偽造的TripAdvisor登入頁面，這個假瀏覽器視窗佯裝成由餐廳提交的投訴文件，並要求用戶查看，一旦用戶點擊閱讀投訴的按鈕，系統便會下載惡意Excel擴充檔案類型XLL檔案。</p> <p>用戶只要打開XLL檔案便會執行惡意軟體，當該擴充套件項目啟動，便會使Knight Lite勒索軟體加密器被注入到explorer.exe中，並開始加密電腦上的檔案。Knight在加密檔案時，會將.knight_l添加到加密檔案的文件名稱中，其中l可能代表著Lite。勒索軟體還會在每個資料夾創建一個名為How To Restore Your Files.txt的檔案，上面寫著受害者只需支付5,000美元的比特幣，便可救回遭加密的檔案。</p> <p>但是《BleepingComputer》發現，駭客在每個勒索信文件檔都使用同一個加密錢包，攻擊者可能不知道哪些受害者已經支付贖金，任何人都可以宣稱是款項的擁有人，因此即便受害者支付贖金，也可能無法收到解密器。</p> </div></div></div>
2023/8/15 17:00作者李建興https://www.ithome.com.tw/news/158281
中國駭客RedHotel針對包括臺灣在內的17個國家，進行為期3年的網路攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>長期觀察中國駭客行動的美國資安業者<a href="https://go.recordedfuture.com/hubfs/reports/cta-2023-0808.pdf" target="_blank">Recorded Future本周揭露</a>，有一由中國政府支持的國家級駭客組織RedHotel，從2019年就開始滲透不同國家的政府及民間組織，特別是東南亞地區的國家，主要任務為情報蒐集及商業間諜，還會冒用其它組織的憑證與基礎設施來展開攻擊。</p> <p>Recorded Future分析RedHotel的已知C2基礎設施，發現受害組織遍及阿富汗、孟加拉、柬埔寨、捷克、不丹、香港、印度、寮國、馬來西亞、尼泊爾、巴勒斯坦、巴基斯坦、菲律賓、泰國、越南、美國，以及臺灣等17個國家，目標對象則涵蓋學術機構、航太、政府、媒體、電信及研發中心。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0815-RedHotel-600(1).png" style="width: 500px;" /></p> <p>RedHotel絕大多數的攻擊目標為政府組織，像是總統辦公室、財政部長辦公室、立法機構、內政部等，以蒐集各種政治情報，但也曾攻擊臺灣的工研院或是有關COVID-19的研究。</p> <p>Recorded Future表示，在該公司所追蹤的中國駭客組織中，RedHotel所牽連的幅員最廣，強度最高，而且最為堅持，即使在遭到資安業者曝光之後，依舊作風大膽，而成為該公司的首個分析對象。</p> <p>RedHotel最值得一提的事蹟之一，就是在去年底盜走了一個屬於臺灣遊戲公司的程式簽章憑證，並簽署一個DLL以用來載入滲透測試工具Brute Ratel C4，此一工具可與越南國家級科學研究院的基礎設施進行通訊，顯示該越南組織也已被RedHotel攻陷，還被用來當作駭客的命令暨控制中心。此外，直至今年6月，RedHotel仍在使用越南教育及培訓部的TLS憑證。</p> <p>Recorded Future公布了RedHotel所使用的基礎設施以供外界參考，並建議各組織應該有效地配置偵測系統或網路防衛機制，阻擋可疑或位於名單上的IP，並定期修補安全漏洞，偵測系統內的各種可疑元件與活動，隔離機密系統，也應監控可疑流量及網域。</p> </div></div></div>
2023/8/15 15:18作者陳曉莉https://www.ithome.com.tw/news/158269
駭客組織Lapsus$僅利用諸如SIM卡挾持等簡單的技倆，就入侵數十家知名企業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.dhs.gov/news/2023/08/10/cyber-safety-review-board-releases-report-activities-global-extortion-focused" target="_blank">美國國土安全部本周發表</a>了有關Lapsus$駭客組織的網路安全審查委員會（Cyber Safety Review Board，CSRB）報告，指出Lapsus$駭客組織其實只利用了許多簡單的技倆就入侵了數十家的知名企業，包括社交工程、SIM卡挾持、招募線人、向IAB（Initial Access Brokers）業者購買憑證，只有少數時候會針對已知漏洞展開攻擊。此一CSRB報告亦列出了防範Lapsus$與相關手法的多項建議。</p> <p>Lapsus$活躍於2021年底至2022年，從微軟、三星、Nvidia、T-Mobile、Uber到身分認證管理業者Okta，都是該駭客組織的受駭者，Lapsus$並未於受害企業植入勒索軟體，僅是竊取這些企業的機密資料或原始碼，再以外洩這些資料作為威脅，向受害者勒索。Lapsus$據傳主要是由青少年組成，英國警方曾在去年逮捕了7個與Lapsus$駭客組織有關的嫌犯，他們的年紀介於16歲到21歲之間，而首腦現年只有17歲。</p> <p>可能由於還不那麼專業，Lapsus$在入侵企業之後所寄出的勒索信函，還曾直接被忽略。</p> <p><a href="https://www.cisa.gov/sites/default/files/2023-08/CSRB_Lapsus%24_508c.pdf" target="_blank">根據CSRB報告</a>，Lapsus$使用的入侵技倆相對簡單，例如透過社交媒體蒐集受害企業員工的個資，再偽裝其身分，或是採用網站、語音或簡訊等網釣攻擊；也常採用SIM卡挾持，同樣是先蒐集目標對象的公開資料，再向電信業者要求同樣號碼的新SIM卡，之後即可利用該號碼來接收雙因素認證資料；還會以金錢賄賂企業員工，使其幫忙駭進自家公司，或是成為駭客的線人，例如取得電信系統的存取權，以利展開SIM卡挾持；更方便的是在黑市向IAB業者購買服務存取憑證。</p> <p>在少數情況下Lapsus$會攻擊已知漏洞來滲透目標企業，根據資安專家的觀察，Lapsus$從未使用過零時差漏洞。</p> <p>Lapsus$多次的成功攻擊讓CSRB發現，這主要是因為受害企業並未考量到，採用文字簡訊或語音通話作為多因素身分認證的風險，因而呼籲應儘速遷移到更安全、更容易使用，也更不需要密碼的解決方案，同時也建議電信業者應該採用更嚴謹的身分認證方式來保護客戶，並要求美國聯邦通訊委員會（FCC）及美國聯邦交易委員會（FTC），應制定對抗SIM卡挾持的最佳實踐，將其標準化且強制執行。</p> <p>CSRB是在美國總統拜登（Joe Biden）的指示下，由美國國土安全部部長Alejandro Mayorkas在2022年2月所設立，它集結了數十位來自產、官、學界的資安專家，主要的任務為共同釐清重大的資安事件並提出建議。</p> </div></div></div>
2023/8/15 13:42作者陳曉莉https://www.ithome.com.tw/news/158266
Amazon消費性電子產品主管將下台，Alexa將加入生成式AI改造
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.wsj.com/articles/amazons-leader-on-alexa-echo-and-other-devices-plans-to-leave-cde4f689" target="_blank">《華爾街日報》報導</a>，Amazon負責Alexa、Echo及Fire平板等消費性電子產品的部門主管David Limp將在今年內下臺，Amazon預計將加速整合其AI助理Alexa及生成式AI以開發新產品。</p> <p><a href="https://www.aboutamazon.com/news/company-news/svp-dave-limp-to-retire-from-amazon" target="_blank">Amazon也發出正式公告證實這項消息</a>。Limp還會持續統領部門幾個月，未來幾周Amazon會公布繼任者。聲明中，Amazon執行長Andy Jassy指出，Amazon處於裝置開發的發軔，未來也將戮力打造新產品和服務。</p> <p>一如Google宣布Google Assistant要以生成式AI改造，<a href="https://voicebot.ai/2023/08/03/amazon-puts-alexa-leader-rohit-prasad-in-charge-of-generative-ai-program/" target="_blank">Amazon上周也宣布</a>帶領Alexa研發的首席科學家Rohit Prasad，其職掌範圍也將擴及生成式AI及LLM，並直接向Jassy報告。</p> <p>Limp擔任Amazon裝置與服務部門資深副總裁長達13年，統領Alexa、Amazon裝置智慧喇叭Echo、Kindle與平板Tablet、機器人Astro等業務。但是對新執行長Jassy而言，該部門表現並不及格。去年第三季《華爾街日報》報導，該部門每年虧損50億美元。《Business Insider》<a href="https://www.ithome.com.tw/news/154335" target="_blank">則報導</a>，AI語音助理Alexa雖然有很多受歡迎的功能，但未能創造獲利，是導致Amazon硬體部門鉅額虧損的主因。</p> <p>Amazon今年裁了1.8萬人後，今年初又再裁減9,000名員工。未能獲利的硬體與服務部門也成為成為數波裁員的主要目標。</p> <p>上周<a href="https://ir.aboutamazon.com/news-release/news-release-details/2023/Amazon.com-Announces-Second-Quarter-Results/" target="_blank">Amazon公布</a>截自6月30日為止的第二季營收財報。上季在電子商務和雲端成長帶動下，Amazon淨銷售額年增長11%，來到1,340億美元。其中AWS部門營收成長12%，來到221億美元。</p> <p>上季AWS宣布了多項生成式AI服務，包括開發AI應用的大型語言模型（LLM）平臺Bedrock、程式撰寫服務CodeWhisperer，以及執行和訓練模型的AI雲端加速器Trainium及Inferentia晶片。</p> </div></div></div>
2023/8/15 12:46作者林妍溱https://www.ithome.com.tw/news/158265
IBM遭MOVEit漏洞攻擊，致數百萬美國人健康資訊外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM成檔案傳輸平臺MOVEit Transfer攻擊事件最新受害者，也連帶影響至少美國2州的公民健保資訊外洩。</p> <p>科羅拉多州負責州政府健保業務資訊的健康政策與融資業務部（Colorado Department of Health Care Policy & Financing，HCPF）<a href="https://apps.web.maine.gov/online/aeviewer/ME/40/5b434968-ff60-47f4-ac52-fb7946cf3bc6.shtml" target="_blank">上周公布</a>，資料處理委外業者IBM通知，後者所使用的檔案傳輸服務MOVEit遭到駭客攻擊，連帶導致409萬州民的健保計畫（Medicaid program）資料被竊取。但該機構表示，經過調查該部門或科羅拉多州系統未受影響。</p> <p>IBM和該州的合約下，利用MOVEit Transfer平臺進行日常的資料傳輸。該州說明，IBM在得知事件後通知該部門並展開調查。根據調查，IBM使用的MOVEit所傳輸的部分HCPF檔案，於今年5月28日左右遭未經授權的攻擊者存取。被存取的檔案包含該州409萬餘人健保會員資訊，資料涵括姓名、社會安全號碼、醫療資訊、健康保險資訊等。IBM尚未就科羅拉多州事件做出聲明。</p> <p>MOVEit供應商Progress Software於5月31日公告，MOVEit Transfer的漏洞CVE-2023-34362遭零時差攻擊。之後微軟等安全業者推測是駭客組織Clop所為。</p> <p>科羅拉多州並非唯一因IBM的MOVEit系統攻擊被波及的州。<a href="https://therecord.media/missouri-medicaid-health-info-moveit-breach" target="_blank">上周美國密蘇里州社會福利部也公告</a>，6月間接獲IBM通知，該州Medicaid健保計畫會員資訊外洩，類型包括姓名、會員編號、生日、納保範圍及理賠資料。IBM對媒體宣稱MOVEit僅用於IBM顧問服務承攬該州業務的一小部分，當中只有一小部分包含個人資訊。</p> <p>密蘇里州政府並未公布外洩資料數量。<a href="https://techcrunch.com/2023/08/14/millions-americans-health-data-moveit-hackers-clop-ibm/" target="_blank">Techcrunch報導</a>，該州約有600萬人口。</p> <p>IBM是MOVEit軟體駭客攻擊的最新受害者。<a href="https://www.ithome.com.tw/news/158113" target="_blank">根據估計</a>，MOVEit攻擊事件受害企業組織將近600家，不乏IT或顧問業者如PwC、Deloitte、Enst & Young、<a href="https://www.pbinfo.com/faq-consumer/" target="_blank">PBI Research Services</a>等。承接美國多州健康與社會保險資料處理的大型IT委外商Maximus，也<a href="https://www.sec.gov/ix?doc=/Archives/edgar/data/1032220/000103222023000061/mms-20230726.htm" target="_blank">在7月底通報</a>使用的MOVEit系統發生資安事件，至少有800到1,100萬人的個資，包括社會安全碼及健康資訊遭存取。</p> <p><a href="https://ltgov.illinois.gov/news/press-release.26572.html" target="_blank">伊利諾州則在6月9日公布</a>自己有用MOVEit，並在接獲FBI安全公告後切斷所有連線進行調查，不過該州未公布資料外洩調查結果。</p> </div></div></div>
2023/8/15 11:35作者林妍溱https://www.ithome.com.tw/news/158262
TWCERT/CC首度舉辦企業資安演練，數位發展部領軍，邀來10家企業組隊參與
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣電腦網路危機處理暨協調中心（TWCERT/CC）於8月10日，首度<a href="https://moda.gov.tw/press/press-releases/6173">舉辦「2023企業資安演練」</a>，數位發展部、資安院組隊參與此次的演練活動，部長唐鳳也親自加入隊伍演練，以此彰顯政府對資安的重視，並邀請5家高科技公司日月光、台達電、合勤、華碩、啓碁科技，以及5大電信業者中華電信、台灣大哥大、遠傳電信、台灣之星、亞太電信參加，模擬駭客透過社交工程進行內部滲透，參演團隊需利用活動中提供之有限資訊，偵測駭客留下的軌跡，進行應變處理並阻斷攻擊，確保其資通系統持續營運不中斷。</p> <p><a href="https://s4.itho.me/sites/default/files/images/cat1ecgr_4rl.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/cat1ecgr_4rl.jpg" style="width: 580px;" /></a></p> <blockquote><p>臺灣電腦網路危機處理暨協調中心（TWCERT/CC）舉辦第一屆企業資安演練，特別的是，數位發展部部長親自加入隊伍參與演練，彰顯政府對於資安的重視。<span style="color:#808080;">（圖片來源／數位發展部）</span></p> </blockquote> <p>而對於舉辦資安演練的動機，數位部表示是為了提升企業偵測與及時因應駭客入侵的能力，他們去年開始指導TWCERT/CC，根據歷年參與亞太區電腦緊急事件回應小組（APCERT）活動之經驗，規畫相關的資安演練（Cyber Drill）。</p> <p>數位部表示，希望透過本次活動，讓各團隊實際演練資安攻防、累積相關經驗，進而更有信心面對詭譎多變的資安威脅。為擴大企業參與，TWCERT/CC預計今年第4季再度舉辦資安演練。</p> </div></div></div>
2023/8/14 22:54作者周峻佑https://www.ithome.com.tw/news/158242
【資安日報】8月14日，DEF CON搶旗攻防賽臺灣勇奪第3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國際資安大會DEF CON 31於8月10日至13日於美國拉斯維加斯登場，搶旗攻防賽（CTF）也在本週末如火如荼地舉行，臺灣CTF戰隊TWN 48也參與其中，並從12個參賽隊伍當中獲得第3名的優異成績，是臺灣第10次組隊參加此項競賽。</p> <p>另一個也幾乎同時進行的搶旗攻防賽也相當引人關注，那就是針對太空安全的Hack-A-Sat，因為，這次5組參賽隊伍的攻防標的，是實際於太空運作的衛星Moonlight。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://ics-cert.kaspersky.com/publications/reports/2023/08/10/common-ttps-of-attacks-against-industrial-organizations-implants-for-uploading-data/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客APT31利用Dropbox及其他雲端檔案共享服務外洩資料</span></strong></a></p> <p>資安業者卡巴斯基8月初揭露中國駭客APT31針對東歐工業組織的攻擊行動，駭客專門針對隔離網路環境（Air-gapped）進行竊密，過程中使用超過15種攻擊工具，但駭客究竟如何流出機密資料？現在研究人員透露進一步調查結果。</p> <p>他們發現，駭客在收集想要竊取的資料後，部署了3款惡意軟體所組成的攻擊套件（Malware Stack），其中一款軟體讓駭客維持於受害電腦上運作，另一個負責將檔案上傳至伺服器，第三個則是清理現場跡證。駭客之所以將攻擊流程畫分給不同惡意軟體模組進行，目的是後續可透過更換模組的方式，調整攻擊鏈的流程。</p> <p>在攻擊階段初期，駭客所用的第二階段惡意程式會將盜取的檔案上傳到Dropbox，但經過幾個月後，研究人員看到駭客更換新的手動檔案上傳程式模組，像是名為AuditSvc.exe程式可將檔案上傳到Yandex Disk；另一個名為transfer.exe的程式，則是一口氣支援ZippyImage、ImgBB等16種雲端檔案共享系統。值得留意的是，根據他們收集到的IP位址，研究人員發現駭客C2伺服器位於受害組織內部網路環境，這代表駭客是就近部署C2，將其做為代理伺服器。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/08/10/multiple-high-severity-vulnerabilities-in-codesys-v3-sdk-could-lead-to-rce-or-dos/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Codesys V3軟體開發套件存在高風險漏洞，可能導致全球PLC控制設備遭到RCE或DoS攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1_-CODESYS-devices-expose.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1_-CODESYS-devices-expose.png" style="width: 300px; float: right;" /></a>微軟揭露Codesys V3軟體開發套件（SDK）的15個漏洞，一旦攻擊者加以利用，就有可能於目標設備遠端執行任意程式碼（RCE），或是造成服務中斷（DoS），這些漏洞的CVSS風險評分介於7.5至8.8。</p> <p>由於上述的軟體開發套件廣泛運用於可程式化邏輯控制器（PLC），總共有超過500家製造商以此打造約1千種類型的控制設備，研究人員於2022年9月通報漏洞，Codesys於今年4月發布3.5.19.0版予以修補。</p> <p>值得留意的是，研究人員雖然表明利用上述漏洞需要通過身分驗證，但攻擊者有可能運用另一個漏洞CVE-2019-9013來繞過限制，因此該公司呼籲企業組織應儘速套用相關更新程式。</p> <p><a href="https://kb.cert.org/vuls/id/127587"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Python的URL解析漏洞可被用於執行任意命令</span></strong></a></p> <p>卡內基美隆大學電腦網路危機處理暨協調中心（CERT/CC）的研究人員於8月11日提出警告，他們發現在Python的URL解析功能存在高風險漏洞CVE-2023-24329，有可能在URL以空白字元為開頭時產生錯誤，導致主機名稱與通訊協定解析出錯，進而使得封鎖名單失效，CVSS風險評為7.5分。Python獲報後發布3.12版，並對於3.7版以上的版本提供修補程式。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/158240"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣CTF戰隊TWN 48獲DEF CON CTF全球第三</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fig_12-230813DAY3-TWN48.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig_12-230813DAY3-TWN48.jpg" style="width: 300px; float: right;" /></a>在美國拉斯維加斯、8月11日至13日舉辦的DEF CON搶旗攻防賽（CTF），臺灣派出CTF戰隊TWN 48參加，歷經3天的比賽，在全球12個隊伍脫穎而出，最終獲得全球第三名的好成績。本次競賽的第一名，是美國卡內基美隆大學PPP戰隊與韓國The Duck戰隊合組的The Parliament of Duck，至於第二名，則是名列CTFTime世界排行榜首位的Blue Water戰隊。</p> <p>這也是臺灣CTF戰隊第10次進入DEF CON CTF決賽，第3次拿到全球第三名的好成績，過去9年臺灣戰隊的成績，亦得到3次第二名、2次第四名、1次第五名、1次第九名。</p> <p><a href="https://hackasat.com/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客於DEF CON進行衛星搶旗賽Hack-A-Sat</span></strong></a></p> <p>由美國宇宙軍（U.S. Air Force ）舉辦的Hack-A-Sat搶旗攻防賽（CTF），今年邁入第4屆，於8月11日於DEF CON大會期間正式展開，為期2天。該競賽本次有5組隊伍參與，他們是Krautsat、mHackeroni、SpaceBitsRUs、Poland Can Into Space，以及jmp fs: [rcx]。</p> <p>本次競賽特別之處，在於上述隊伍將針對已發射至太空的實驗衛星Moonlighter，進行入侵。比賽結果出爐，第一名是義大利團隊mHackeroni，贏得5萬美元；第二名是上屆冠軍Poland Can Into Space，贏得3萬美元；第三名則是美國隊伍Krautsat，獲得2萬美元。</p> <p><a href="https://www.cybersecuritydive.com/news/nist-draft-overhaul-cybersecurity-framework/690381/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">NIST發布網路安全框架2.0版草案</span></strong></a></p> <p>8月8日美國國家標準暨技術研究院（NIST）發布了<a href="https://csrc.nist.gov/pubs/cswp/29/the-nist-cybersecurity-framework-20/ipd">網路安全框架（Cybersecurity Framework，CSF）2.0版草案</a>，2.0是該框架自2014年推出1.1版以來的重大改版。有別於現行版本主要聚焦於關鍵基礎設施（CI），新版CSF框架適用範圍更廣，涵蓋中小型企業、學術機構，以及其他類型的組織。</p> <p>CSF 2.0將納入組織內部治理而成為第6個層面，業界分析師認為是此框架的重大變更。草案公開後將於11月4日前收集各界的意見，NIST預計在2024年初正式發布CSF 2.0。</p> <p><a href="https://moda.gov.tw/press/press-releases/6173"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">TWCERT/CC首度舉辦企業資安演練，數位發展部領軍，邀來10家企業組隊參與</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2mqxzfvb_ozt.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2mqxzfvb_ozt.jpg" style="width: 300px; float: right;" /></a>臺灣電腦網路危機處理暨協調中心（TWCERT/CC）於8月10日，首度舉辦「2023企業資安演練」，數位發展部、資安院組隊參與此次的演練活動，部長唐鳳也親自加入隊伍演練，以此彰顯政府對資安的重視，並邀請5家高科技公司日月光、台達電、合勤、華碩、啓碁科技，以及5大電信業者中華電信、台灣大哥大、遠傳電信、台灣之星、亞太電信參加，模擬駭客透過社交工程進行內部滲透，參演團隊需利用活動中提供之有限資訊，偵測駭客留下的軌跡，進行應變處理並阻斷攻擊，確保其資通系統持續營運不中斷。</p> <p>數位部表示，希望透過本次活動，讓各團隊實際演練資安攻防、累積相關經驗，進而更有信心面對詭譎多變的資安威脅。為擴大企業參與，TWCERT/CC預計今年第4季再度舉辦資安演練。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://security.googleblog.com/2023/08/an-update-on-chrome-security-updates.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為減少修補時間落差，Google宣布加快瀏覽器更新週期，每週發布安全修補版本</span></span></strong></a></p> <p><a href="https://www.cisa.gov/news-events/analysis-reports/ar23-221a"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國CISA針對後門程式Whirlpool攻擊行動發出警告，駭客針對Barracuda郵件安全閘道而來</span></span></strong></a></p> <p><a href="https://www.recordedfuture.com/redhotel-a-prolific-chinese-state-sponsored-group-operating-at-a-global-scale"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國駭客RedHotel針對17個國家，進行3年的網路攻擊行動</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/knight-ransomware-distributed-in-fake-tripadvisor-complaint-emails/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體Knight假借旅遊評論網站Tripadvisor投訴信件散布</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/158234"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國政府祭出近2,000萬美元獎金，號召高手以AI尋找漏洞</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158224">【8月11日】美國政府宣布發起為期2年的大型AI網路安全競賽，並資助想要投入的小型企業參加</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158207">【8月10日】駭客結合勒索軟體Mallox與木馬程式Remcos，透過加殼程式於受害電腦上發動攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158187">【8月9日】駭客假好心提供作案工具，目的是把惡意軟體植入小白電腦</a></strong></p> </div></div></div>
2023/8/14 18:04作者周峻佑https://www.ithome.com.tw/news/158241
臺灣CTF戰隊TWN 48獲得DEF CON CTF全球第三名
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣CTF戰隊TWN 48參加在美國拉斯維加斯8月11日～8月13日舉辦的DEF CON CTF（搶旗攻防賽），歷經三天的比賽，在全球12個戰隊中脫穎而出，最終獲得全球第三名的好成績，僅次於獲得第一名、由美國卡內基美隆大學PPP戰隊與韓國The Duck戰隊合組的The Parliament of Duck，以及獲得第二名、現今CTFTime世界排行榜中排名首位Blue Water戰隊。</p> <p>TWN 48是由新生代TSJ和Balsn資安戰隊為核心主力，團隊成員來自各校學生、資安社群與業界的頂尖年輕好手，總計54人，其中在職19名、在學學生則有35名。臺灣戰隊於今年五月，歷經全球1,828隊報名、競爭激烈的預賽中脫穎而出，以第五名成績進入決賽。</p> <p>這也是臺灣CTF戰隊第十次進入DEF CON CTF決賽，第三次拿到全球第三名的好成績，過去九年臺灣戰隊的成績，則是拿過三次第二名、二次第四名、一次第五名和一次第九名的成績。</p> <h2><strong>TWN 48成員第二次合作默契佳，新設PM有利答題分工</strong></h2> <p>TWN 48隊長之一的林宇翔表示，2022年DEF CON CTF比賽算是這個團隊的第一次合作，很多人也都第一次打這種形式的比賽，所以導致分工上較沒效率。</p> <p>但林宇翔說，因為大家有了去年的比賽磨合經驗後，再加上今年首度引入PM制度，在不同題目中設置經理PM的角色，讓戰隊鎖定答題策略，同時配合各個成員的專長，也讓競賽過程人力資源運用更加有效率。不過，他指出，今年題目總共有12題，題數算是非常多，因為團隊合作過程中很順利，才能順利拿下不錯的成績。</p> <p>TWN 48隊員之一的尤理衡表示，今年比賽環境跟去年相比穩定很多，題目內容也都有在平均水準上，出題的形式一樣有Attack & Defense以及King Of Hill（KOH）的類型。</p> <p>此次TWN 48最後總分為6756分，其中，TWN 48拿下防禦項目最高分（208分）以及攻擊項目第二高分（5128分）其他KOH得分為758分。</p> <p>而從去年開始的Live CTF，是指定成員進行一對一捉對廝殺的現場比賽，也有像電競比賽一樣，提供專人現場實況講解和轉播。尤理衡覺得最可惜的是，一對一實況賽LiveCTF的部分，採用雙淘汰制，第一輪就遇上去年冠軍HypeBoy，第二場輸給ShellPhish無緣晉級，導致LiveCTF得分只有500分。</p> <h2><strong>CTF出題反映現實網路環境</strong></h2> <p>由於現在的CTF比賽賽制，已經不只是傳統的攻防（Attack and Defense）的題目，也有比較反映現實世界、類似搶灘遊戲的King of Hill（KOH），這是一種以占領服務時間多寡來決定分數高低的比賽。</p> <p>當參賽戰隊可以占領伺服器的服務時間越久時，得分也越高，這也類似現實世界的資安威脅，假若駭客可以長時間占領企業伺服器，對企業造成的威脅也就越高。</p> <p>觀察今年DEF CON CTF的題目就發現，主辦方明顯有因應實務需求進行題目設計，舉例而言，以往各種binary為主題的命題方式幾乎是主流，但今年主辦方特別回應與會者的要求，除了有一題web題目之外，在許多題目裡也同時有binary和web混合的題目。</p> <h2><strong>TWN 48團隊成員持續備戰，線上練功而實體練默契</strong></h2> <p>今年也是帶隊指導教授之一的資通安全署副署長鄭欣明表示，雖然今年的主辦單位競賽規則和環境相較於去年更為完善，不過會場也發生計分板、服務檢查和網路架構偶有不穩定的狀況，甚至還發生臨時新增規則，例如限制攻擊次數或是網路頻寬的問題，但因為團隊分工明確且有默契，加上領隊及與會協助的同仁都有一定的經驗，使得團隊可以即時實作出應對和解決方案。</p> <p>本次帶隊指導教授之一國立陽明交大資訊工程系教授黃俊穎表示，臺灣戰隊TWN48能取得本次榮耀，各個選手平時不斷練習以磨練實戰技能功不可沒，從五月入圍決賽開始，就開始自主進行兩周一次線上會議，開發競賽期間可能會使用到的工具，包括攻擊管理程式、封包分析工具、程式修正工具、計分統計工具等等。</p> <p>黃俊穎說，臺灣戰隊TWN 48在第一天比賽結束時，排名第五名；而第二天結束時，經歷選手們熬夜的奮戰，排名更爬升到第二名；第三天決賽時，能夠取得第三名好成績。</p> <h2><strong>資安署攜手資安院協助後勤備賽</strong></h2> <p>數位發展部資安署此次也攜手國家資通安全研究院，共同協助臺灣CTF戰隊TWN 48準備比賽，資安院人才培力中心主任鄭瑋表示，資安院為了強化參賽選手們的默契，特別舉辦賽前增能工作坊來達成實體見面交流，讓較少有同隊競賽經驗的戰隊成員培養合作默契。</p> <p>所有的國際賽事若要有好的成績表現，優秀的後勤支援是非常重要的助力，鄭瑋指出，此次資安院在院長何全德的大力支持下，由資安院董事尤暖霞以及人培中心主任鄭瑋帶領三位團隊成員，共同協助戰隊各種事前和現場事務的後勤支援，最終目的就是要讓參賽成員可以安心比賽、無後顧之憂。</p> <p>鄭瑋觀察到，在賽事期間，戰隊成員不論遇到什麼突發狀況，不管是規則變動或網路問題都能冷靜應對，都可以感受到選手們在比賽中彼此合作互動的氣氛，是非常熱絡、融洽與和諧的。</p> <p>她也說，前兩天的比賽皆在晚間六點結束，儘管選手們已經疲憊不堪，但他們仍打起精神進行本日檢討和人力調整，這樣的精神真的很讓人感動；加上今年帶隊的四位指導教授：資安署副署長也是臺科大資工系教授鄭欣明、陽明交大資工系教授黃俊穎、臺大資工系副教授蕭旭君、中正大學資工系助理教授王銘宏與往年一樣，提供了選手們指導與情感支持，也幫助選手們可以在比賽中發揮最佳狀態。</p> <h2><strong>臺灣CTF戰隊後繼有人，資安人才培育十年有成</strong></h2> <p>本次帶隊指導教授之一國立臺灣大學資訊工程系副教授蕭旭君表示，今年入圍決賽的隊伍多為各國社群聯合組成，實力不容小覷，臺灣戰隊能獲得此成績，實屬難能可貴。</p> <p>臺灣CTF戰隊自從2014年獲得DEF CON CTF比賽第二名以來，每年都順利入圍決賽，迄今已經第十年參賽，參與比賽的成員也從早期的HITCON戰隊加上217戰隊成員，逐步交棒給新生代戰隊成員，包括：Balsn戰隊和TSJ.tw戰隊，戰隊後繼有人，也展示臺灣資安人才培育有成。</p> <p>數位發展部也發新聞稿表示，希望透過推動參與國際資安大型競賽，讓我國資安年輕好手吸取寶貴的學習與實戰經驗，並將積極投入心力為培育在學及在職資安人才，進一步提升臺灣在國際上的能見度及整體競爭力。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/CTF%E5%90%8D%E6%AC%A1.jpg" /></p> </blockquote> <blockquote><p>臺灣CTF戰隊TWN 48自從五月確定入圍決賽後，便積極透過線上會議練功，實體工作坊培養默契，在今年8月11日～8月13日於美國拉斯維加斯舉辦的DEF CON CTF搶旗攻防賽中，最終獲得全球第三名的好成績。</p> </blockquote> <p> </p> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2023/8/14 17:56作者黃彥棻https://www.ithome.com.tw/news/158240
星展臺灣正式整併臺灣花旗消金業務，投入破千名IT人力和70億元推動整併工程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>星展銀行（臺灣）順利在8月12日至13日的周末，完成花旗消金業務的核心資料轉移，順利在今天（8月14日）正式接手花旗（臺灣）銀行消費金融業務。星展銀行（臺灣）總經理黃思翰表示，周末轉移的資料以客戶核心資料為主，未來，銀行會陸續移轉其他歷史資料，到星展的核心系統進行操作。</p> <p>在整併完成前，花旗的信用卡數量約270萬張，存款戶約60萬戶。整併後，星展銀行預估信用卡帳戶數將超過300萬戶，存款及財富管理客戶也將翻倍，達到110萬戶。</p> <p>黃思翰強調核心資料轉移的重要性，「在這週末轉移主要核心資料，未來對照顧顧客、開發產品的效益就會提升。」他表示，過去18個月來，內部曾進行多次演練，投入超過一千多名IT人力推動轉移工程，新加坡的IT部門也參與其中。</p> <p>不只IT人力投入，星展臺灣也投入龐大金額來推動這次整併，黃思翰估計，18個月整併期間，在人力、系統開發以及前端和產品端開發投入的金額，累計約新幣三億元（臺幣約70億元）。</p> <p>星展銀行從2014年展開數位轉型大改造，全力發展數位銀行，雲端技術正是星展數位轉型的關鍵技術。他們過去曾打造私有雲環境，更建置了一套完整的雲端環境管理工具集，也發展出自家的AP雲端市集，讓內部一萬名IT人員能自行訂閱需要的服務。針對這次整併，黃思翰表示，由於花旗的資料儲存於地端主機，因此將資料搬上私有雲也是資料系統整併工程之一。</p> </div></div></div>
2023/8/14 15:47作者李昀璇https://www.ithome.com.tw/news/158237
唱片業者控告Internet Archive數位化黑膠唱片的Great 78 Project侵權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據《<a href="https://www.reuters.com/legal/music-labels-sue-internet-archive-over-digitized-record-collection-2023-08-12/" target="_blank">路透社</a>》（Reuters）與《<a href="https://www.bloomberg.com/news/articles/2023-08-12/sony-other-music-labels-sue-over-sinatra-78s-stored-online#xj4y7vzkg" target="_blank">彭博社</a>》（Bloomberg）的報導，包括新力音樂（Sony Music）與環球唱片（Universal Music Group）等<a href="https://fingfx.thomsonreuters.com/gfx/legaldocs/jnpwwwejopw/INTERNET%20ARCHVIE%20RECORD%20LABELS%20LAWSUIT%20complaint.pdf" target="_blank">6大唱片業者在上周五（8/11）控告網際網路檔案館（Internet Archive）的Great 78專案</a>（Great 78 Project）侵犯了唱片版權，列出了2,749首侵權作品，並要求IA支付每首最高15萬美元的賠償金額，總賠償金額超過3億美元。</p> <p>由Internet Archive發起的Great 78 Project是個社群專案，鼓勵外界捐贈自1880年至1960年間出版的、每分鐘78轉的黑膠唱片，並由該組織負責數位化，以保留唱片上的內容並供研究及發現之用。</p> <p><a href="https://great78.archive.org/" target="_blank">該專案解釋</a>，78轉黑膠唱片多半是由蟲膠所製成，為密紋（LP）唱片（每分鐘33又1/3轉）的前身，這不但是個老舊的格式，而且可能光是拿起來就會造成它們碎裂，目前該專案正試圖同時保存黑膠唱片及其數位版，以確保它們能夠持續供後代子孫研究與欣賞。目前Great 78 Project已收集逾20萬張黑膠唱片，有超過40萬首音樂被數位化，<a href="https://archive.org/details/georgeblood?tab=collection" target="_blank">並開放大眾搜尋與存取</a>。</p> <p>然而，唱片業者形容Great 78 Project根本就像是個非法的唱片行，因為其中有許多音樂都能藉由合法的串流服務取得，並沒有遺失或毀壞的危險。</p> <p>業者在訴狀中列舉了許多仍具版權，卻被Great 78 Project收錄並免費供外界存取的唱片作品，包括Bing Crosby的《White Christmas》、Benny Goodman的《Sing, Sing, Sing》、Nat King Cole的《The Christmas Song》與Miles Davis的《Milestones》等。</p> <p>唱片業者指控Internet Archive搖著保護及研究的旗幟，但其專案卻遠遠超過這些有限的目的，只是個替所有人提供免費音樂的煙幕彈。</p> <p>這並非Internet Archive的首個版權爭議，<a href="https://www.ithome.com.tw/news/138017" target="_blank">該組織也在2020年遭到各國出版業者的聯合指控</a>，該訴訟案除了宣稱Internet Archive出借未經授權就自紙本書籍掃描的電子書之外，促進該訴訟的是Internet Archive為了因應COVID-19疫情，推出了國家緊急圖書館（National Emergency Library），允許使用者無限制地借閱並下載眾多仍具版權的電子書，而且美國法院已於今年3月裁決Internet Archive侵權。</p> </div></div></div>
2023/8/14 14:18作者陳曉莉https://www.ithome.com.tw/news/158235
美政府祭2000萬美元，邀高手以AI尋找漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.whitehouse.gov/briefing-room/statements-releases/2023/08/09/biden-harris-administration-launches-artificial-intelligence-cyber-challenge-to-protect-americas-critical-software/" target="_blank">美國白宮上周宣布啟動駭客大賽</a>，邀請高手以Google、微軟、OpenAI等大廠AI系統尋找基礎架構的軟體漏洞，還可取得明後年DEF CON駭客大賽的參賽資格。</p> <p>白宮本周在Black Hat USA大會上宣布，啟動這項名為AI Cyber Challenge（AIxCC）駭客大賽。為期2年的AIxCC大賽由國防高等研究計劃署（Defense Advanced Research Projects Agency，DARPA）主辦，總獎額高達2,000萬美金，開放所有人或隊伍報名。大賽將從今年秋天正式開始，參賽者將可在AI大廠Google、微軟、OpenAI、Anthropic的協助下，對基礎架構軟體，包括美國電網或運輸系統軟體發動紅隊演練攻擊，並由AI廠商提供工具。前20名可晉級參與明年的DEF CON 2024大賽。前5名隊伍每隊可獲得200萬美元獎金，參與DEF CON 2025大賽，第1名則可再獲得400萬美元獎金。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0814-AI%20Cyber%20Challenge%20Schedule%20by%20DARPA-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_DARPA</span></span></p> <p>白宮指出，藉由自動化尋找並修補漏洞，可展現AI確保網際網路及社會運作的潛力。為確保參與者的多元性，DARPA將贊助700萬美元支持7家中小企業參賽。</p> <p>開源安全基金會（Open Source Security Foundation，OpenSSF）將擔任這個大賽的顧問。它也將負責確保優勝隊伍需將其攻擊程式碼專案開源，以確保美國基礎架構軟體的安全性。</p> <p>這項活動是美國降低AI風險的長期計畫的一部分。<a href="https://www.whitehouse.gov/briefing-room/statements-releases/2023/05/04/fact-sheet-biden-harris-administration-announces-new-actions-to-promote-responsible-ai-innovation-that-protects-americans-rights-and-safety/" target="_blank">白宮5月宣布將發展AI規範</a>，以邀集AI龍頭開發符合倫理的AI技術，包括確保美國安全。上個月OpenAI、微軟、Amazon、Google、Meta、Anthropic等<a href="https://www.ithome.com.tw/news/157911" target="_blank">AI業者向美國白宮承諾</a>，將自願協助AI技術走向安全、可靠與透明化。將打造可標記AI生成內容的技術，說明其AI系統的能力、限制、避免有害的偏見與歧視，同時發展保護隱私的技術。</p> </div></div></div>
2023/8/14 13:59作者林妍溱https://www.ithome.com.tw/news/158234
研究顯示，網頁機器人解CAPTCHA能力優於人類
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>CAPTCHA是防範網頁機器人（Bot）破解網頁密碼而設計的安全機制，而且愈來愈複雜，<a href="https://arxiv.org/pdf/2307.12108.pdf" target="_blank">但是一項研究顯示</a>，網頁機器人解決CAPTCHA難題的能力，從速度或準確度來看都已超過人類。</p> <p>近幾年來，因應網頁機器人突破或繞過CAPTCHA的能力大幅提升，相應之下，CAPTCHA也變更複雜，種類也更多元，因而不論人類或機器（機器人）解決CAPTCHA的難度也漸漸增加，形成軍備競賽。為了解用戶解決CAPTCHA難題的速度，美國加州大學艾爾文分校（University of California, Irvine）一組研究人員進行一項研究，上個月並在國際研討會ICCCN 2023公布其研究發現。</p> <p>本研究找來1,400位人類受試者解答Alexa流量排行前200大網站的14,000道CAPTCHA題目，並評估解答的速度和準確性。CAPTCHA類型則涵括reCAPTCHA、遊戲式CAPTCHA、從矩陣式圖片找出主題（如汽車或交通號誌）的hCAPTCHA、猜不同角度呈現的圖片（slider-based CAPTCHA）以及扭曲文字式的CAPTCHA等。</p> <p>根據研究，在用戶喜好中，受試者整體偏好度最高者是點擊式reCAPTCHA，18.9%將之列為1或2。而最複雜的hCAPTCHA平均偏好度最低，31%的人列為4或5。</p> <p>而以測試結果來看，點擊式（打勾說我不是機器人）的reCAPTCHA中，人類受試者平均花3.1到4.9秒，準確率有71到85%。看來雖然不錯，不過機器人平均只需花1.4秒，且準確率為100%。在考慮大小寫的辨識扭曲文字中，人類表現（9-15.3秒/50-84%）明顯比機器人差（小於1秒/99.8%）。另外，難度最高，於圖片矩陣中找出特定主題圖片的hCAPTCHA中，機器人也擊敗人類：人類受試者結果為15-26秒、準確率81%，網頁機器人則為14.9秒，準確率98%。</p> <p>研究顯示，在幾乎所有CAPTCHA中，機器人所花時間都比人類短，唯獨在圖片式reCAPTCHA中，人類和機器人時間花費（15-25秒 vs 17.5秒）及準確率差不多（81% vs 85%），但研究人員也指出，若是在自然情境（即非測試環境下），人類解題的時間會花更長。</p> <p>最後，主任研究員Gene Tsudik提出，保護網頁不受攻擊而設計的CAPTCHA技術，目前已面臨人類用戶不太喜歡，又耗去相當多時間，但還是難以阻擋網頁機器人破解的挑戰。主任研究員指出，原因在於這些大公司是駱駝心態，不想承認CAPTCHA是無效，迫使用戶只好持續很差的使用經驗中消費或使用其服務。</p> </div></div></div>
2023/8/14 13:06作者林妍溱https://www.ithome.com.tw/news/158233
【資安週報】2023年8月7日到8月11日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一週的漏洞利用消息有兩起受關注，一是微軟本月例行性安全公告修補的70多個漏洞中，有一個涉及.NET與Visual Studio產品的服務阻斷漏洞CVE-2023-38180，已遭攻擊者成功利用，另一是Zyxel在五年前修補路由器P660HN-T1A的CVE-2017-18368漏洞，如今發現有攻擊者針對未修補用戶發動攻擊的情形。</p> <p>另外值得注意的是，微軟上月公布已遭成功利用的Office與Windows HTML元件漏洞（CVE-2023-36884），到了8月8日，終於釋出ADV230003深度防禦更新公告，並指出新修補可破壞針對該漏洞的攻擊鏈。</p> <p>在8月8日微軟終於釋出ADV230003深度防禦更新公告，並指出新修補可破壞針對該漏洞的攻擊鏈。其他漏洞消息方面，包括工業用路由器Milesight UR32L的漏洞問題，以及Intel修補處理器Downfall漏洞，後續需注意Milesight及電腦製造商的修補釋出狀況。</p> <p>在國際威脅焦點方面，有四大消息最受關注：<br /> ●美醫療保健系統Prospect Medical Holdings傳遭勒索軟體攻擊，多家醫院IT系統停擺，急診、住院與門診業務受影響。<br /> ●日本國防網路傳出前幾年遭中國駭客入侵，美國華盛頓郵報指出該事件發生於2020年秋季，曾影響美日軍事情資共享。<br /> ●7月下旬挪威政府因Ivanti零時差漏洞攻擊遭駭的後續，美國CISA與挪威國家網路安全中心（NCSC-NO）公布攻擊事故。<br /> ●日前傳出有駭客兜售FraudGPT，後續又有資安業者喬裝買家獲知駭客正打造DarkBART、DarkBERT。</p> <p>而在企業需重視的部分，我們看到下列幾個重點：關於網釣工具包EvilProxy的攻擊行動，今年3月到6月出現針對Microsoft 365帳號、針對高階主管下手的情形；五眼聯盟公布2022年最常被利用的12個漏洞，以及30個經常被利用的漏洞，突顯不少企業組織在廠商修補釋出後並未及時更新修補，而成為攻擊者積極鎖定目標。</p> <p>在防禦態勢上，美國官方與民間宣布將會舉辦競賽，Black Hat與DEFCON大會也在這一週舉行。<br /> ●美國白宮在10日宣布將由DARPA主辦名為AI Cyber Challenge（AIxCC）的競賽，活動目的聚焦於透過AI來發現及修復軟體漏洞，並祭出1,850萬美元的獎金，預計今年初賽、明年複賽，2025年總決賽。<br /> ●近日美國Black Hat與DEFCON 2023舉行，像是本期週報提及Downfall的漏洞，研究人員亦在Black Hat上公開說明，而AIxCC競賽也是有在Black Hat上宣布。預料近期將有更多漏洞細節及最新攻擊手法研究等消息釋出。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/158162"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月7日】韓國Linux主機遭到惡意程式Reptile鎖定</span></strong></a></h3> <p>鎖定Linux主機而來的惡意程式攻擊，近期出現顯著增加的現象，例如，上週末資安業者AhnLab針對惡意軟體Reptile的攻擊行動，就特別提出警告，並指出這款惡意程式的可怕之處，在於結合Rootkit及反向Shell的特性，駭客可將其當作後門運用。</p> <p>駭客偏好利用已知漏洞發動攻擊，早已成為資安威脅常態，最近五眼聯盟公布2022年最常遭利用的漏洞，當中最受到關注的，是Fortinet設備的SSL VPN漏洞CVE-2018-13379，該漏洞自揭露以來，已連續4年名列榜中。</p> <p>勒索軟體對於醫療體系的發動攻擊，也相當值得留意。最近醫療保健系統Prospect Medical Holdings傳出遭遇這類攻擊，而導致旗下的醫療機構運作受到衝擊，許多醫護人員被迫使用紙本整理病歷，這起事故也引起美國政府重視。</p> <h3><a href="https://www.ithome.com.tw/news/158173"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月8日】殭屍網路病毒SkidMap出現變種，鎖定Redis伺服器而來濫</span></strong></a></h3> <p>記憶體資料庫Redis近期經常傳出遭攻擊的事故，例如，上個月出現的惡意程式P2PInfect，就是針對這類資料庫而來。名為SkidMap的殭屍網路病毒同樣鎖定Redis，如今出現新的變種，但值得留意的是，駭客的主要目標是未設置密碼的Redis伺服器，而在不需暴力破解的情況下就能對其發動攻擊。</p> <p>駭客宣稱提供專屬網路犯罪圈的生成式AI語言模型，也相當值得留意。有研究人員在地下論壇與兜售FraudGPT的賣家洽談，根據他們的對話觀察，駭客可能也開始用另一個生成式AI服務Google Bard為基礎，打造新的網路犯罪工具。</p> <p>另一種AI被用於網路攻擊的情況，是拿來分析使用者鍵盤輸入的帳密資料以便進行竊密。3名英國研究人員打造可識別逾9成使用者輸入內容的機器學習模型，他們發現甚至在視訊會議的過程也有機會運用此技術，而能側錄、解析這種類型的資訊。</p> <h3><a href="https://www.ithome.com.tw/news/158187"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月9日】駭客假好心提供作案工具，目的是把惡意軟體植入小白電腦</span></strong></a></h3> <p>駭客之間黑吃黑、互相爭奪攻擊目標的情況可說是相當常見，但現在出現以提供新手作案工具為誘餌的惡意程式攻擊。資安業者Kasada揭露提供滲透測試工具OpenBullet組態檔案的攻擊，鎖定缺乏相關技能，無力自行編寫相關組態程式碼的新手，目的是搜括這些人的瀏覽器帳密資料及加密貨幣錢包。</p> <p>昨天（8日）有許多廠商發布8月份例行更新，微軟也是其中之一，他們公告2個已遭利用的零時差漏洞，其中一個與上個月修補的CVE-2023-36884有關，已有駭客繞過更新程式碼而能利用該漏洞。</p> <p>Intel處理器漏洞Downfall也受到矚目，原因是影響範圍涵蓋Core處理器的第6代（Skylake）至11代（Tiger Lake），可能有數十億臺電腦曝險。</p> <h3><a href="https://www.ithome.com.tw/news/158207"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月10日】駭客結合勒索軟體Mallox與木馬程式Remcos，透過加殼程式於受害電腦上發動攻擊</span></strong></a></h3> <p>為了增加破壞能力，有些駭客為勒索軟體加入竊資軟體的功能，但現在也出現有人直接與其他類型的惡意程式搭配使用的情況。例如，研究人員看到駭客在勒索軟體Mallox（亦稱TargetCompany）的攻擊行動裡，運用惡名昭彰的RAT木馬程式Remcos來控制受害的SQL Server伺服器，然後以寄生攻擊的手法操作勒索軟體。</p> <p>開發工具Visual Studio Code的漏洞，有可能透過擴充套件觸發而造成危害！研究人員揭露此程式碼編輯器的API漏洞，攻擊者可打造惡意套件來竊取開發環境存放的各式帳密資料，且無論是Windows、macOS、Linux作業系統的電腦都有可能曝險。</p> <p>網路設備NAS的雲端管理介面也有可能遭到利用，而讓攻擊者有機可乘。去年漏洞挖掘競賽Pwn2Own Toronto中，找到WD與群輝NAS的漏洞，研究人員公開更多細節，攻擊者可用相同手法攻入這些存在弱點的系統，例如，皆能針對雲端管理介面下手，進而竊取NAS的資料，或是執行任意程式碼。</p> <h3><a href="https://www.ithome.com.tw/news/158224"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月11日】美國政府宣布發起為期2年的大型AI網路安全競賽，並資助想要投入的小型企業參加</span></strong></a></h3> <p>美國政府近期對於強化網路安全的動作頻頻，像是推動K-12（5歲兒童至18歲青少年）學校的網路安全防禦措施、提出未來3年的戰略計畫等。本月10日他們宣布舉辦AI網路安全競賽，尋求利用人工智慧技術的好手，進一步強化美國關鍵基礎設施（CI）的安全，特別的是，競賽將為期長達2年，而且主辦單位也打算為部分隊伍提供參賽資金。</p> <p>除了資安競賽，針對5年前的兆勤（Zyxel）路由器漏洞攻擊也相當值得留意，雖然該公司提供了韌體進行修補，但迄今仍有不少路由器尚未套用而讓駭客有機可乘。</p> <p> </p> </div></div></div>
2023/8/14 10:29作者羅正漢https://www.ithome.com.tw/news/158230
微軟9月底將暫停為俄羅斯用戶更新授權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://tass.com/economy/1658923" target="_blank">俄羅斯媒體</a>報導，<a href="https://www.forbes.ru/tekhnologii/494299-zakolocennye-okna-kakie-problemy-vyzovet-otkaz-microsoft-prodlevat-licenzii" target="_blank">微軟上周通知</a>俄羅斯用戶將從9月30日起，暫停軟體授權更新，呼籲用戶及早因應準備。</p> <p>在這則通知中，微軟說明，從9月30日起，不再接受以電匯支付微軟服務收費，屆時用戶無法再更新現有訂閱。9月底終止日後，任何有效的訂閱還是持續有效直到訂閱期結束，只是已無法再更新授權。為此，微軟提供60天預告期，提醒用戶預先保護或移轉資料。同時基於這項措施，微軟也不會再收取任何費用。</p> <p>微軟尚未對此置評。</p> <p>俄烏戰爭已打了近1年半，這也是微軟最新一波宣布對俄國撤收服務。在俄烏戰後，響應美國政府的制裁行動，<a href="https://www.ithome.com.tw/news/151535" target="_blank">微軟去年3月宣布</a>暫停對俄國用戶提供Windows 10和11的軟體和工具更新。</p> <p>不過這種作法對俄羅斯用戶有多少影響不得而知。一來，<a href="https://www.ithome.com.tw/news/149747" target="_blank">俄羅斯去年已修法</a>，允許企業或政府機關在未獲得同意且不付費情況下，使用西方國家業者的軟、硬體授權，即使未獲其同意。二來，俄羅斯用戶使用盜版軟體的情形原本就很普遍，也不受限於本措施。</p> </div></div></div>
2023/8/14 10:34作者林妍溱https://www.ithome.com.tw/news/158232
不堪雲端供應商濫用，HashiCorp未來產品將改採BSL授權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>現在又有一家開源軟體公司，將自家產品從開源授權，轉為使用BSL（Business Source License）授權。Terraform、Vault與Consul等知名開源專案的開發公司HashiCorp，<a href="https://www.hashicorp.com/blog/hashicorp-adopts-business-source-license">宣布</a>其原始碼授權將從原本的MPL 2.0（Mozilla Public License v2.0），改為使用BSL v1.1，這項變更將在HashiCorp所有產品的未來版本生效。</p> <p>HashiCorp創辦人暨技術長Armon Dadgar表示，目前仍有供應商濫用純OSS模型獲利，卻又不提供實質貢獻，這已經不符開源精神。他提及HashiCorp公司當初創立的精神，是要基於開源讓使用者可以自由下載並檢視原始碼解決問題，並建構出一個圍繞產品的社群。</p> <p>過去十幾年HashiCorp產品採用開源授權，供社群自由開源社群，而這也養出了一個龐大的社群，而這個開源模型建構在其商業客戶上，使得他們能夠挹注龐大資源，持續開發新產品。但就如同現在各家開源軟體公司遭遇到的問題，開源軟體公司與社群投入開發資源的成果，可能被其他雲端供應商濫用。</p> <p>Armon Dadgar提到，當前的開源模型的複製創新門檻很低，其他供應商可以透過其發布通路簡單的銷售。他們認為，改進商業開源模型，才能繼續在生態系中提供開放且自由的軟體。因此HashiCorp決定結束十幾年來的開源政策，在未來的產品中使用BSL v1.1授權，不過值得注意的是，HashiCorp API、SDK以及大部分函式庫，皆繼續保留使用MPL 2.0授權。</p> <p><a href="https://mariadb.com/bsl11/">BSL</a>是一種相對較新的軟體授權模式，由MySQL創始人Michael Widenius主導發展，BSL授權的目標，是要在開源和商業軟體中找到一個平衡點。BSL授權有極大的彈性，允許創作者對軟體的使用情境定義不同的授權條款，而且最終也會自動轉成開源授權，但在成為開源授權之前，BSL具有一些商業使用限制，像是開發者可以僅允許非商業用途免費使用該軟體。</p> <p>BSL嚴格說起來並非一種開源授權，因為其具有一些專有授權的特性，但是在BSL條款中提到，當開發者設定的變更日期或是第四年開始，BSL授權就會轉為如GPL等真正的開源授權。目前已經有許多開源軟體公司轉採用BSL授權，如Couchbase、<a href="https://www.ithome.com.tw/news/131112">Cockroach Labs</a>和MariaDB，而像是Confluence、<a href="https://www.ithome.com.tw/news/126459">MongoDB</a>、<a href="https://www.ithome.com.tw/news/142257">Elastic</a>和<a href="https://www.ithome.com.tw/news/125482">Redis Labs</a>等公司，則採用了具有商業限制的授權。</p> <p>整體來說，目前開源軟體公司的原始碼授權，傾向限制軟體在商業上的使用，並希望對商業化有更多的控制權。</p> <p>雖然HashiCorp變更使用BSL授權，但官方提到，他們會繼續將HashiCorp產品的原始碼和更新發布至GitHub儲存庫和其他通路。終端用戶仍可以繼續複製、修改和重新發布程式碼，用於商業和非商業用途，只是不得提供與HashiCorp競爭性的產品。</p> </div></div></div>
2023/8/14 08:27作者李建興https://www.ithome.com.tw/news/158228
115位CIO看ChatGPT衝擊 (上)
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:22px;"><span style="color:#3399ff;"><strong>全球ChatGPT浪潮在臺灣各產業也掀起了一股生成式AI熱潮，有的企業看好發展大力擁抱，有的企業則戒慎憂慮高度管制，更多企業則在積極採用和警戒管控中來回擺盪。我們透過多種管道，搜集了115位，來自一般製造業、高科技業、服務業、金融業、醫療、政府機關與學校的IT和資安主管，分享他們對ChatGPT浪潮的第一手觀察和看法，可以作為資訊長和資安長決策的參考。</strong></span></span></p> <p><span style="font-size:20px;"><strong>變化加速，典範快速轉移，它</strong></span><span style="font-size:16px;"><span style="color:#696969;">（編按：IT）</span></span><span style="font-size:20px;"><strong>時代真的來了！<br /> <span style="color:#8B4513;">── 台灣大哥大資訊長蔡祈岩</span></strong></span></p> <p><strong><span style="font-size:20px;"><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 機會 </span></span> 1.透過自動生成AI智能，提供客戶個性化服務。2.強化詐騙偵測與預防能力。3.協助數據分析與決策之輔助。4.透過自動化提升效率與節省成本。<br /> <span style="color:#FFFFFF;"><span style="background-color:#B22222;"> 挑戰 </span></span> 1.客戶隱私與商業機密之確保。2.人工智能運用管理與維運。3.新興科技導入與法遵規範之平衡與拿捏。4.自動化帶來既有人力與職務之取代與轉型。<br /> <span style="color:#8B4513;">── 銀行IT副總</span></span></strong></p> <p><strong><span style="font-size:20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 102, 255);"> 機會 </span></span> 1. 能夠更快速的優化及提升程式開發的品質，降低開發的時間。<br /> 2. 讓團隊更專注於系統架構的設計。<br /> 3. 對於既有程式碼的解析與知識化，能大量的縮短時間。<br /> <span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 挑戰 </span></span> 1. 如何能讓員工使用此類工具，但又需要避免個資及公司機敏資料外洩 2. 為避免AIGC一本正經地胡說八道，商轉的進程有待觀察。<br /> <span style="color:#8B4513;">── 金融業IT兼資安最高主管</span></span></strong></p> <p><span style="font-size:20px;"><strong>ChatGPT的確帶來很大的改變，搜尋資料時，從關鍵字變為「聽得懂人話」，從沒有創造力變成有想像力，然而，這議題的回答，對不同產業別會有不同的答案。通常我們聽到AI可以取代一些分析性常態性的工作，其他產業，我無法評論，但是，就建築設計來說，要到好用易用的階段還有一段路要走。</strong></span></p> <p><span style="font-size:20px;"><strong>我們可以看見透過Midjourney可生成令人驚豔的作品，但生成式AI目前無法精準地產生設計上的成品，可能是我們這一行比較侷限，現階段對我們而言，只有提升一般基礎問題搜尋的容易度。不過，對企業而言可能在這一兩年內將會殺手級應用的出現，值得我們持續關注。</strong></span></p> <p><span style="font-size:20px;"><strong>PS.我覺得ChatGPT就是技術爆炸的典範。ChatGPT點燃了一個火花，在黑暗中特別明顯，終將造成全面燃燒。<br /> <span style="color:#8B4513;">── 服務業IT兼資安負責人</span></strong></span></p> <p><span style="font-size:20px;"><strong>ChatGPT的出現顛覆了傳統的網路科技公司發展模式，讓所有企業都能夠站在同一個起跑點，共享這項強大的語言模型技術。在競爭激烈的市場中，具備敏捷開發產品的團隊可以快速利用ChatGPT技術優勢，開發出更具有創新性和競爭力的產品和服務，提高市場佔有率和企業收益。以我們自家為例，在過去的每個月我們都上線了基於大型語言模型的新功能，持續的在市場創造聲量、也讓消費者能夠體驗到基於最新AI模型所打造出的產品服務。<br /> <span style="color:#8B4513;">── 愛料理技術長李致緯</span></strong></span></p> <p><strong><span style="font-size:20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 102, 255);"> 機會 </span></span> IT人員的職能從原本的系統開發與維運、系統分析與系統設計等，將轉變為「數位轉型師」，需更接近業務流程需求，並將資訊系統的開發與數據應用賦能予用戶。<br /> <span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 挑戰 </span></span> 生成式AI對系統開發維運的幫助，目前仍只是局部片段。因發展過程是漸進的，有待觀察與持續嘗試探索。<br /> <span style="color:#8B4513;">── 旭榮集團總管理處IT資深經理林宗霖</span></span></strong></p> <p><span style="font-size:20px;"><strong>改變AI的樣貌，變得更平易近人，End User可以更以非專業的角度來看待最新技術的可能性，並思考應用的價值；相對在如何讓內部同仁能夠勇敢擁抱創新，是重要的挑戰。<br /> <span style="color:#8B4513;">── 阿瘦實業智能發展處經理柴宏德</span></strong></span></p> <p class="rtecenter"><span style="font-size:20px;"><strong><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/ChatGPT%E8%A1%9D%E6%93%8A%20(%E4%B8%8A)-600-1(3).jpg" style="width: 600px;" /></span></strong></span></p> <p><span style="font-size:20px;"><strong>技術的鴻溝很快會縮減。傳統使用者將可以更有效利用資訊科技，而更懂得思考表達與提問者生產力將會大幅增加，CIO應讓員工盡速融入這波技術改革的浪潮。<br /> <span style="color:#8B4513;">── 聚陽實業資訊處謝孔超</span></strong></span></p> <p><span style="font-size:20px;"><strong>藉由人力與AI協同合作，加速作業效率並提升服務品質。尤其針對資訊部門，除了己身的努力，善用工具才能事半功倍！但相對而言，資訊安全的考量也不容小覷。<br /> <span style="color:#8B4513;">── 中菲行國際物流Director/BIT 陳立人</span></strong></span></p> <p><span style="font-size:20px;"><strong>攻擊方可運用ChatGPT進行更複雜更難以防禦的攻擊，譬如社交工程攻擊、ECB或釣魚攻擊。IT人員可善用工具加強工作品質與效率。<br /> <span style="color:#8B4513;">── 台灣世曦工程顧問資訊部副理張智欽</span></strong></span></p> <p><span style="font-size:20px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 好處 </span></span> 1. 大幅降低行銷工作的複雜度與負荷。2. 帶給客戶新鮮感。3. 更快速回應客戶，提高客戶滿意度。<br /> <span style="color:#8B4513;">── 遠傳電信執行副總經理暨資訊長胡德民</span></strong></span></p> <p><span style="font-size:20px;"><strong>善用ChatGPT這類的新應用，可以創造更多的商業價值。<br /> <span style="color:#8B4513;">── 家福數位資訊科技部協理丁平碩</span></strong></span></p> <p><strong><span style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 102, 255);"> 機會 </span></span> </span></strong><span style="font-size:20px;"><strong>AI發展快速。</strong></span><br /> <strong><span style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 挑戰 </span></span> </span></strong><span style="font-size:20px;"><strong>商業機密防護。<br /> <span style="color:#8B4513;">── 禾伸堂IT協理郭建中</span></strong></span></p> <p><span style="font-size:20px;"><strong>目前不導入，沒有相關資訊<br /> <span style="color:#8B4513;">── 中國製釉資訊室經理陳彥綜</span></strong></span></p> <p><span style="font-size:20px;"><strong>強化數位內容生產力。<br /> <span style="color:#8B4513;">── 雙橡園資訊總監王建文</span></strong></span></p> <p class="rtecenter"><span style="font-size:20px;"><strong><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/ChatGPT%E8%A1%9D%E6%93%8A%20(%E4%B8%8A)-600-2(1).jpg" style="width: 580px;" /></span></strong></span></p> <p><span style="font-size:20px;"><strong>ChatGPT在電腦相對於人類的高效率和精準的基礎上，又增加了使用自然語言與人互動的能力。這樣的能力解放了許多過去難以想像的應用，就好像每個人都有了數位高效且不間斷工作的助手。</strong></span></p> <p><span style="font-size:20px;"><strong>這樣的情況下，對企業來說，許多原本需要由人來處理的事務，可以漸漸解放到由電腦處理。許多過去需要大量人力的業務，也可能被解放出來。</strong></span></p> <p><span style="font-size:20px;"><strong>這給予了企業重新思考人力資源以及創造全新盈利模式的可能性（過去因人力成本高，而不可行的業務，開始有了可能性）。</strong></span></p> <p><span style="font-size:20px;"><strong>挑戰則是ChatGPT雖然能使用自然語言溝通，但其回應的正確性以及邏輯性，仍然未達成熟階段。若是無法準確地設定使用的場景、使用規範以及有效率地判斷是非的方式（人工或自動化），貿然採用ChatGPT，可能導致商譽的受損及實質金錢上的損失。<br /> <span style="color:#8B4513;">── 大型電商資安主管</span></strong></span></p> <p><span style="font-size:20px;"><strong>對企業而言，ChatGPT是全新的契機，尤其是以下三點：</strong></span></p> <p><span style="font-size:20px;"><strong>1. 提高業務效率：ChatGPT可協助公司自動化客戶服務、內部溝通等業務流程，大幅提升工作效率和客戶滿意度。</strong></span></p> <p><span style="font-size:20px;"><strong>2. 降低成本：ChatGPT可協助降低人力成本，使企業更有效地運用資源，提高競爭力。</strong></span></p> <p><span style="font-size:20px;"><strong>3. 加速數位轉型：ChatGPT協助企業實現數位轉型，提升企業整體的數位化能力。但也需要留意資安、法遵等問題，避免AI濫用或誤用。<br /> <span style="color:#8B4513;">── 百大製造業IT協理</span></strong></span></p> <p> </p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></p> <p><a href="https://www.ithome.com.tw/article/158226" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1142-feng_mian_gu_shi_-1_open-dou_zi_-960x420_gong_zuo_qu_yu_1_0.jpg?itok=thB2lsT-" style="width: 550px;" /></strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/article/156858" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1129-feng_mian_-open-dou_zi_-zi_an_da_diao_cha_-960x420_kao_bei_.jpg?itok=tCmrqsp6" style="width: 550px;" /></a></p> </div></div></div>
2023/8/13 21:40未署名https://www.ithome.com.tw/news/158222
115位CIO看ChatGPT衝擊 (中)
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(51, 153, 255); font-size: 22px;">全球ChatGPT浪潮在臺灣各產業也掀起了一股生成式AI熱潮，有的企業看好發展大力擁抱，有的企業則戒慎憂慮高度管制，更多企業則在積極採用和警戒管控中來回擺盪。我們透過多種管道，搜集了115位，來自一般製造業、高科技業、服務業、金融業、醫療、政府機關與學校的IT和資安主管，分享他們對ChatGPT浪潮的第一手觀察和看法，可以作為資訊長和資安長決策的參考。</strong></p> <p><span style="font-size:20px;"><strong>ChatGPT的出現為CIO的夢想《一切皆可軟體定義、AI決策及數據驅動的數位Nirvana》提前帶來了曙光。但技術黎明前總是黑暗，企業還是需要一再複習駕馭對新技術的野心及相應而生的暗夜風險。<br /> <span style="color:#8B4513;">──第一商業銀行執行副總兼資安長劉培文</span></strong></span><br /> （編按：Nirvana是涅槃的音譯，數位涅槃是指企業數位化到最極致、無所不在的形式。）</p> <p><span style="font-size:20px;"><strong>1. ChatGPT可以幫助企業提高客戶體驗，可以使用ChatGPT開發智能客服機器人，讓客戶能夠更快速地獲得問題解決方案。同時，ChatGPT還可以實現更好的內部溝通和協作，例如使用語言模型來自動化電子郵件回覆和語音識別技術來優化會議記錄和工作流程。<br /> 2. ChatGPT帶來的挑戰是企業需要投入大量的資源來開發、訓練和實現ChatGPT，這需要極高的技術和成本。此外，企業需要保護客戶隱私，確保使用ChatGPT時不會洩漏機敏資訊。<br /> <span style="color:#8B4513;">── 淡江大學資訊處網路管理組組長張維廷</span></strong></span></p> <p><span style="font-size:20px;"><strong>提供人員思考問題解決的可能答案，以及文案撰寫上的思維及用詞，但也因為愈深入使用，極有可能造成資安上的自我揭露風險，如程式語法、資料庫語法、個資等，都很有可能在不經意地狀況上，人員就在ChatGPT進行，貼上資料尋求解決方式。另外，行銷與業務也很有可能無意貼上個資的機敏資料，這是目前ChatGPT在企業內部是把雙面刃的原因。 <br /> <span style="color:#8B4513;">── 連鎖食品業資訊主管</span></strong></span></p> <p><span style="font-size:20px;"><strong>ChatGPT能否真正整合到工作中是最大挑戰，企業一方面希望員工多利用ChatGPT提高生產力，一方面又擔心發生洩密事件。在這情境下，ChatGPT無法發揮更強大的效益，終將曇花一現。若能保證企業秘密不外洩的狀況，ChatGPT 的整合應用將如雨後春筍般迸發，數位賦能下，能加速企業數位轉型。<br /> <span style="color:#8B4513;">── 老牌製造業IT協理</span></strong></span></p> <p><span style="font-size:20px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 機會 </span></span> 提供新的Coding模式，可以讓更多非資訊人才投入，加快研究開發速度；開發更多客服、衛教、健管類的創新服務；導入課程，提供教師更多教學資源。</strong></span><br /> <strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 挑戰 </span></span> </strong><span style="font-size:20px;"><strong> 無法適用於演繹或推導類的問題模型；資料的智財權歸屬；資料引用的正確性；引用內容是否涉及學術倫理。<br /> <span style="color:#8B4513;">── 大學計中主任</span></strong></span></p> <p><span style="font-size:20px;"><strong>ChatGPT可帶來許多的創意亮點，而同時水能載舟亦能覆舟，CIO及企業必須深入去學習及了解ChatGPT工具的特色及應用，不能夠止於表面了解，如何藉由AI工具來提升企業內部的及人員涵養的本質，避免引發未知的風險，導致企業面臨另一層面的危機。<br /> <span style="color:#8B4513;">── 老牌製造業資訊副理</span></strong></span></p> <p><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 102, 255);"> 機會 </span></span> </strong><span style="font-size:20px;"><strong>可做為未來企業內部生產或技術問題輔助或診斷的利器，若無資料外洩疑慮未來有機會成為企業「動態」的KM（相較以往KM以「靜態」檔案形式存在，或是以搜尋引擎方式存在）</strong></span><br /> <strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 挑戰 </span></span> </strong><span style="font-size:20px;"><strong>資料外洩，隱私保護問題，成為助長網路攻擊犯罪的工具<br /> <span style="color:#8B4513;">── 大型製造業資安長</span></strong></span></p> <p><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 102, 255);"> 機會 </span></span> </strong><span style="font-size:20px;"><strong>AI的發展已是不可逆的趨勢，透過ChatGPT可讓經營高層了解AI的發展，爭取預算，選擇最適合的AI工具。</strong></span><br /> <strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 挑戰 </span></span> </strong><span style="font-size:20px;"><strong>隱私權保護、機敏資料外洩、AI答案的正確性無法掌握，均可能對公司造成極大傷害，如何管理是一個很大的議題要克服。<br /> <span style="color:#8B4513;">── 壽險業IT資深協理</span></strong></span></p> <p><span style="font-size:20px;"><strong>我們工程師利用ChatGPT查詢程式語言寫法，很有幫助！<br /> <span style="color:#8B4513;">── 本土軟體公司研發副總</span></strong></span></p> <p><span style="font-size:20px;"><strong>最大衝擊是生產型態轉變。<br /> <span style="color:#8B4513;">── 老牌資服業總經理</span></strong></span></p> <p><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 102, 255);"> 機會 </span></span> </strong><span style="font-size:20px;"><strong>人員學習曲線變短，</strong></span><br /> <strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 挑戰 </span></span> </strong><span style="font-size:20px;"><strong> 離職率變高。<br /> <span style="color:#8B4513;">── 大型製造業資訊處長</span></strong></span></p> <p><span style="font-size:20px;"><strong>Copilot應用應加速導入，提升員工生產力<br /> <span style="color:#8B4513;">── 大型化工廠資訊部長</span></strong></span></p> <p class="rtecenter"><span style="font-size:20px;"><strong><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/ChatGPT%E8%A1%9D%E6%93%8A%20(%E4%B8%AD)-600-1.png" style="width: 600px;" /></span></strong></span></p> <p><span style="font-size:20px;"><strong>幫助員工處理日常工作，減少人力成本，提高工作效率甚至於幫助決策，與現有應用系統整合（例如KM、Call Center）等，都是ChatGPT浪潮帶給CIO與企業的機會。最重要的挑戰則在於資料隱私和安全的防護以及資訊安全的強化。<br /> <span style="color:#8B4513;">── 關鍵基礎設施機構資訊主管</span></strong></span></p> <p><span style="font-size:20px;"><strong>如何防阻員工於ChatGPT上外洩公司敏感資訊，提高員工意識僅為初步防護，ChatGPT 回答可以被引導對公司有利或危害，以醫藥公司而言，須非常慎重產品資訊的揭露，避免民眾得到不正確訊息。<br /> <span style="color:#8B4513;">── 老字號藥廠IT</span></strong></span></p> <p><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 102, 255);"> 機會 </span></span> </strong><span style="font-size:20px;"><strong>能有更多的創新應用場域，在服務效益的提升與優化流程與更好的效率產出。挑戰如何兼顧資安及個資的保護議題，及不輕信生成式AI的結果的宣導與教育。<br /> <span style="color:#8B4513;">── 電腦周邊製造業IT副總</span></strong></span></p> <p><span style="font-size:20px;"><strong>三星開放員工使用ChatGPT，不料20天內連爆3起機密資訊外洩事件，帶給我們省思，在享受科技帶來優勢與便利的同時，也要呼籲組織員工重視資料保護與資安風險！<br /> <span style="color:#8B4513;">── 化工業IT兼資安主管</span></strong></span></p> <p><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 102, 255);"> 機會 </span></span> </strong><span style="font-size:20px;"><strong>無需系統化導入、一些可運用的業務可以馬上提升效率，甚至可能可以</strong></span><strong style="font-size: 20px;">減</strong><span style="font-size:20px;"><strong>低人力。</strong></span><br /> <strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 挑戰 </span></span> </strong><span style="font-size:20px;"><strong>公司重要機密的資料有外洩的風險、需要作資安的強化 <br /> <span style="color:#8B4513;">── 百億營收製造業IT主管</span></strong></span></p> <p><span style="font-size:20px;"><strong>ChatGPT的智慧不斷提升，水能載舟亦能覆舟，正確的使用可以帶來很多利益，但相對的，如果不正當的使用，也會招來許多衝擊，我們應該審慎因應。<br /> <span style="color:#8B4513;">── 老字號區域醫院資訊主任</span></strong></span></p> <p><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 挑戰 </span></span> </strong><span style="font-size:20px;"><strong>機密資料的資安考量。</strong></span><br /> <strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 102, 255);"> 機會 </span></span> </strong><span style="font-size:20px;"><strong>支援RD/IT/CS和其他部門的開發。<br /> <span style="color:#8B4513;">── 網路公司技術總監</span></strong></span></p> <p><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 102, 255);"> 機會 </span></span> </strong><span style="font-size:20px;"><strong>是比BI更好用，對使用者更人性。</strong></span><br /> <strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 挑戰 </span></span> </strong><span style="font-size:20px;"><strong>是將公司內部資料給AI分析，當然有外洩問題。(畢竟要使用外部電腦算力處理）<br /> <span style="color:#8B4513;">── 金屬工具業IT副課長</span></strong></span></p> <p><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 102, 255);"> 機會 </span></span> </strong><span style="font-size:20px;"><strong>可擴大IT應用範圍，可加速IT應用普及化，IT應用門檻可大幅降低。</strong></span><br /> <strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 挑戰 </span></span> </strong><span style="font-size:20px;"><strong>有效的、有意義的與企業專業結合。<br /> <span style="color:#8B4513;">── 大型顧問公司IT協理</span></strong></span></p> <p><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 102, 255);"> 機會 </span></span> </strong><span style="font-size:20px;"><strong>提高生產力、降低運營成本、優化客戶體驗。<br /> <span style="color:#FFFFFF;"><span style="background-color:#B22222;"> 挑戰 </span></span> 資料安全與隱私、運營相關的技術整合、人才及技能培訓。<br /> <span style="color:#8B4513;">── 高科技製造業資安長</span></strong></span></p> <p><span style="font-size:20px;"><strong>善用ChatGPT快速生成文件的能力，取代重複性的日常工作，挑戰是生成文件的真實性及GPT領域知識的再訓練。<br /> <span style="color:#8B4513;">── 醫學中心IT最高主管</span></strong></span></p> <p><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 102, 255);"> 機會 </span></span> </strong><span style="font-size:20px;"><strong>提供產品設計方向、改善生產製造流程、提高客戶售後服務。</strong></span><br /> <strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 挑戰 </span></span> </strong><span style="font-size:20px;"><strong>客戶隱私數據外洩、公司機密外洩。<br /> <span style="color:#8B4513;">── 老牌鋼鐵業資訊課長</span></strong></span></p> <p><span style="font-size:20px;"><strong>ChatGPT的生產力驚人，但在公司各層級業務中的應用，仍無法明確看來助益為何，需就實務案例來討論。<br /> <span style="color:#8B4513;">── 旅遊業資訊經理</span></strong></span></p> <p><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 102, 255);"> 機會 </span></span> </strong><span style="font-size:20px;"><strong>大大提高對話或圖片解讀與摘要總結等服務可用性。</strong></span><br /> <strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 挑戰 </span></span></strong><span style="font-size:20px;"><strong> 需了解如何防範不當內容及資料權限。<br /> <span style="color:#8B4513;">── 高科技製造業IT副總</span></strong></span></p> <p><span style="font-size:20px;"><strong>可盤點企業業務場景，運用生成式AI技術，訓練落地模型以簡化內外部作業流程增進作業效率。<br /> <span style="color:#8B4513;">── 銀行資訊部門協理</span></strong></span></p> <p><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 102, 255);"> 機會 </span></span> </strong><span style="font-size:20px;"><strong>提升作業效率及服務滿意度。</strong></span><br /> <strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 挑戰 </span></span> </strong><span style="font-size:20px;"><strong>如何確保生成資料正確性與品質，以及敏感資料保護。<br /> <span style="color:#8B4513;">── 大型金控資安長</span></strong></span></p> <p><span style="font-size:20px;"><strong>適時的採用ChatGPT也許可以提升工作效能，但何種工作項目及型態可利用，還需評估及觀察。<br /> <span style="color:#8B4513;">── 連鎖餐飲集團IT經理</span></strong></span></p> <p class="rtecenter"><strong style="font-size: 20px; text-align: center;"><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/ChatGPT%E8%A1%9D%E6%93%8A%20(%E4%B8%AD)-600-2.png" style="width: 600px;" /></span></strong></p> <p><span style="font-size:20px;"><strong>AI帶給企業的機會是加速對工作簡化的迫切性，而挑戰是目前無具體規範與資安配套。<br /> <span style="color:#8B4513;">── 紡織業IT主管</span></strong></span></p> <p><strong><span style="font-size: 20px;">IT組織對於新技術的使用及相對風險的評估須更快速，以迅速反映新技術帶來的衝擊。<br /> <span style="color: rgb(139, 69, 19);">── 大型醫院資訊主管</span></span></strong></p> <p><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 102, 255);"> 機會 </span></span> </strong><strong><span style="font-size: 20px;">快速整理資訊，提供決策參考。</span></strong><br /> <strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 挑戰 </span></span> </strong><strong><span style="font-size: 20px;">同業服務品質可能因此快速升級或多樣化。<br /> <span style="color: rgb(139, 69, 19);">── 運輸公司資訊課長</span></span></strong></p> <p><strong><span style="font-size: 20px;">可以協助專案初步的規畫建議，快速取得工作的方向及規畫。善用工具是好的。<br /> <span style="color: rgb(139, 69, 19);">── 老牌倉儲物流業資訊經理</span></span></strong></p> <p><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 102, 255);"> 機會 </span></span> </strong><strong><span style="font-size: 20px;">降低成本、提升效率、優化產出品質。</span></strong><br /> <strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 挑戰 </span></span> </strong><strong><span style="font-size: 20px;">人力汰換調整、組織流程重整。<br /> <span style="color: rgb(139, 69, 19);">── 大型網路公司資訊協理</span></span></strong></p> <p><strong><span style="font-size: 20px;">水能載舟亦能覆舟，端看對ChatGPT的了解，唯有了解才能用其優點避開缺失。<br /> <span style="color: rgb(139, 69, 19);">── 電子零組件業IT副總</span></span></strong></p> <p><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 102, 255);"> 機會 </span></span> </strong><strong><span style="font-size: 20px;">運用新科技，加速數位轉型。</span></strong><br /> <strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 挑戰 </span></span> </strong><strong><span style="font-size: 20px;">兼顧資安防護與新科技應用。<br /> <span style="color: rgb(139, 69, 19);">── 證券業資訊部門副總經理</span></span></strong></p> <p><strong><span style="font-size: 20px;">資安事件判定運用AI/ML可望更精確，亦能輔助資安人員切實了解環境現況<br /> <span style="color: rgb(139, 69, 19);">── 老牌化工廠資訊處主管</span></span></strong></p> <p><strong><span style="font-size: 20px;">可以更加了解客戶需求，提供意見及幫助決策率，但要注意保護資料安全<br /> <span style="color: rgb(139, 69, 19);">── 金屬製造業資訊課長</span></span></strong></p> <p><strong><span style="font-size: 20px;">如何確保資安風險下，同時還能利用ChatGPT提升相關人員的工作效率？<br /> <span style="color: rgb(139, 69, 19);">── 大學資訊中心主任</span></span></strong></p> <p><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 102, 255);"> 機會 </span></span> </strong><strong><span style="font-size: 20px;">加快開發速度。</span></strong><br /> <strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 挑戰 </span></span> </strong><strong><span style="font-size: 20px;">資料外洩及相關的操作不當造成的資安危害<br /> <span style="color: rgb(139, 69, 19);">── 電子業資訊經理</span></span></strong></p> <p><strong><span style="font-size: 20px;">機會是提升生產力，優化工作效能。挑戰是強大功能難以預測訊息的真假。<br /> <span style="color: rgb(139, 69, 19);">── 大型零售商場資安主管</span></span></strong></p> <p><strong><span style="font-size: 20px;">市場需要更多高端的AI晶片需求。提高員工生產力。洩密與侵權問題。<br /> <span style="color: rgb(139, 69, 19);">── 半導體製造業IT副處長</span></span></strong></p> <p><strong><span style="font-size: 20px;">ChatGPT將繼續發揮巨大作用，成為人類智慧的重要輔助工具。<br /> <span style="color: rgb(139, 69, 19);">── 署級政府部門IT主管</span></span></strong></p> <p><strong><span style="font-size: 20px;">ChatGPT的正確性有待考驗，另外如何確保公司機密不外洩亦是一大挑戰。<br /> <span style="color:#8B4513;">── 政府機關資安人員</span></span></strong></p> <p><strong><span style="font-size: 20px;">快速提高人員生產力，挑戰是如何能兼顧資訊安全與用於進行報表分析。<br /> <span style="color: rgb(139, 69, 19);">── 食品公司資訊處長</span></span></strong></p> <p><strong><span style="font-size: 20px;">挑戰是降低攻擊者的技術門檻。機會是提高資安區域聯防的反應能力。<br /> <span style="color: rgb(139, 69, 19);">── 上市製造業電腦高專</span></span></strong></p> <p><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 102, 255);"> 機會 </span></span> </strong><strong><span style="font-size: 20px;">客戶服務、行銷、營運效率。</span></strong><br /> <strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 挑戰 </span></span> </strong><strong><span style="font-size: 20px;">機敏資料外洩、惡意攻擊。<br /> <span style="color: rgb(139, 69, 19);">── 跨國製造業資安主管</span></span></strong></p> <p><strong><span style="font-size: 20px;">快速的知識取得及資訊公開，員工的工作價值要聚焦在企業的核心。<br /> <span style="color: rgb(139, 69, 19);">── 老字號食品加工業資訊協理</span></span></strong></p> <p><strong><span style="font-size: 20px;">創新的機會，因DLP非IT能處理的，所以，機敏資料的外洩很難預防。<br /> <span style="color: rgb(139, 69, 19);">── 零售業資訊長</span></span></strong></p> <p><strong><span style="font-size: 20px;">善用AI技術做為企業升級的重要工具，ChatGPT的資料外洩風險。<br /> <span style="color: rgb(139, 69, 19);">── 印刷電路廠資訊主管</span></span></strong></p> </div></div></div>
2023/8/13 21:40未署名https://www.ithome.com.tw/news/158223
115位CIO看ChatGPT衝擊 (下)
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(51, 153, 255); font-size: 22px;">全球ChatGPT浪潮在臺灣各產業也掀起了一股生成式AI熱潮，有的企業看好發展大力擁抱，有的企業則戒慎憂慮高度管制，更多企業則在積極採用和警戒管控中來回擺盪。我們透過多種管道，搜集了115位，來自一般製造業、高科技業、服務業、金融業、醫療、政府機關與學校的IT和資安主管，分享他們對ChatGPT浪潮的第一手觀察和看法，可以作為資訊長和資安長決策的參考。</strong></p> <p><strong><span style="font-size:20px;">對於我們這種需要大量輸出文字稿的公司，可以提升輸出能力。<br /> <span style="color:#8B4513;">── 大型媒體公司IT兼資安主管</span></span></strong></p> <p><strong><span style="font-size:20px;">幫助企業以更聰明、更有效率的方式來完成工作＆創造營收。<br /> <span style="color:#8B4513;">── 老牌經銷商資訊主管</span></span></strong></p> <p><strong><span style="font-size:20px;">提高消費者的服務品質，但驗證真實度鑑別度可能會降低。<br /> <span style="color:#8B4513;">── 連鎖餐飲業資訊最高主管</span></span></strong></p> <p><strong><span style="font-size:20px;">評估並驗證有效的應用場景，定義並監控使用的限制。<br /> <span style="color:#8B4513;">── 電子支付業資安主管</span></span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 機會 </span></span> 帶給企業新思維、新技術。<br /> <span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 挑戰 </span></span> 資安的考量。<br /> <span style="color:#8B4513;">── 資訊設備經銷商營運主管</span></span></strong></p> <p><strong><span style="font-size:20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 102, 255);"> 機會 </span></span> 大幅提高生產力。<br /> <span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 挑戰 </span></span> 員工組成的重新調整。<br /> <span style="color:#8B4513;">── 高科技集團IT研發處長</span></span></strong></p> <p><strong><span style="font-size:20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 102, 255);"> 機會 </span></span> 嘗試運用ChatGPT執行部分決策，與軟體開發Q&A。<br /> <span style="color:#8B4513;">── 影音媒體業IT經理</span></span></strong></p> <p class="rtecenter"><strong style="text-align: center;"><span style="font-size: 20px;"><span style="color: rgb(139, 69, 19);"><img alt="" src="https://s4.itho.me/sites/default/files/images/ChatGPT%E8%A1%9D%E6%93%8A%20(%E4%B8%8B)-600-1.png" style="width: 600px;" /></span></span></strong></p> <p><strong><span style="font-size:20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 挑戰 </span></span> 每個人都說自己懂IT。<br /> <span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 102, 255);"> 機會 </span></span> 加速數位轉型。<br /> <span style="color:#8B4513;">── 上市公司資訊中心主管</span></span></strong></p> <p><strong><span style="font-size:20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 挑戰 </span></span> AI的失控。<br /> <span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 102, 255);"> 機會 </span></span> 增加生產力，取代部分人力。<br /> <span style="color:#8B4513;">── 區域醫院資訊室主任</span></span></strong></p> <p><strong><span style="font-size:20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 102, 255);"> 機會 </span></span> 提升人員作業效率。<br /> <span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 挑戰 </span></span> 企業機敏資料外洩<br /> <span style="color:#8B4513;">── 工具機製造業資訊經理</span></span></strong></p> <p><strong><span style="font-size:20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 102, 255);"> 機會 </span></span> 增加效率優化產品。<br /> <span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 挑戰 </span></span> 資料外洩及管控紀錄<br /> <span style="color:#8B4513;">── 上市公司資訊服務經理</span></span></strong></p> <p><strong><span style="font-size:20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 102, 255);"> 機會 </span></span> 擁抱AI者得天下！<br /> <span style="color:#FFFFFF;"><span style="background-color:#B22222;"> 挑戰 </span></span> 速度與風險！<br /> <span style="color:#8B4513;">── 運輸業資管部門主管</span></span></strong></p> <p><strong><span style="font-size:20px;">簡化人員例行性作業流程，優化系統UI/XI介面。<br /> <span style="color:#8B4513;">── 一級政府機關資訊處高分</span></span></strong></p> <p class="rtecenter"><strong style="text-align: center;"><span style="font-size: 20px;"><span style="color: rgb(139, 69, 19);"><img alt="" src="https://s4.itho.me/sites/default/files/images/ChatGPT%E8%A1%9D%E6%93%8A%20(%E4%B8%8B)-600-2.png" style="width: 600px;" /></span></span></strong></p> <p><strong><span style="font-size:20px;">增加效率有機會減少人力，但正確性要驗證。<br /> <span style="color:#8B4513;">── 電子支付業資訊副總</span></span></strong></p> <p><strong><span style="font-size:20px;">用其優點轉型企業，避其弱點降低風險。<br /> <span style="color:#8B4513;">── 光電產業IT課長</span></span></strong></p> <p><strong><span style="font-size:20px;">尚未成熟、實用度低，而硬要去使用。<br /> <span style="color:#8B4513;">── 化工產業資訊部經理</span></span></strong></p> <p><strong><span style="font-size:20px;">加速企業腳步，提升員工工作效率。<br /> <span style="color:#8B4513;">── 電腦設備製造商資安長</span></span></strong></p> <p><strong><span style="font-size:20px;">敏捷性，部份人力協助，資料取得。<br /> <span style="color:#8B4513;">── 紡織業電腦高專</span></span></strong></p> <p><strong><span style="font-size:20px;">資訊正確性與真實實用性與浪潮不符。<br /> <span style="color:#8B4513;">── 生化產業資訊經理</span></span></strong></p> <p><strong><span style="font-size:20px;">檢視內部相關漏洞，提升相關經驗。<br /> <span style="color:#8B4513;">── 電腦零組件生產商MIS經理</span></span></strong></p> <p><strong><span style="font-size:20px;">新技術，待觀察，可運用，須管控！<br /> <span style="color:#8B4513;">── 光電產業資訊副理</span></span></strong></p> <p class="rtecenter"><strong style="text-align: center;"><span style="font-size: 20px;"><span style="color: rgb(139, 69, 19);"><img alt="" src="https://s4.itho.me/sites/default/files/images/ChatGPT%E8%A1%9D%E6%93%8A%20(%E4%B8%8B)-600-3.png" style="width: 600px;" /></span></span></strong></p> <p><strong><span style="font-size:20px;">看你如何對待，是機會也是危機。<br /> <span style="color:#8B4513;">── 運輸公司資深IT</span></span></strong></p> <p><strong><span style="font-size:20px;">加速生成技術的關注與應用。<br /> <span style="color:#8B4513;">── 高科技業行政資深處長</span></span></strong></p> <p><strong><span style="font-size:20px;">好幫手，仍需管制應用定位。<br /> <span style="color:#8B4513;">── 物流運輸產業資訊長</span></span></strong></p> <p><strong><span style="font-size:20px;">資訊應用及改善現有流程。<br /> <span style="color:#8B4513;">── 大學附設醫院資訊室主任</span></span></strong></p> <p><strong><span style="font-size:20px;">如何運用以提升競爭力。<br /> <span style="color:#8B4513;">── 區域醫院資訊室主任</span></span></strong></p> <p><strong><span style="font-size:20px;">能有新的觀點可供參考。<br /> <span style="color:#8B4513;">── 老牌軟體公司IT管理經理</span></span></strong></p> <p><strong><span style="font-size:20px;">提升員工教育訓練程度。<br /> <span style="color:#8B4513;">── 金屬製造業MIS</span></span></strong></p> <p><strong><span style="font-size:20px;">解決品質與更自動化。<br /> <span style="color:#8B4513;">── 南部大型醫院IT主管</span></span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/ChatGPT%E8%A1%9D%E6%93%8A%20(%E4%B8%8B)-600-4.png" style="width: 600px;" /></p> <p><strong><span style="font-size:20px;">審慎面對，樂觀其成！<br /> <span style="color:#8B4513;">── 老牌製造業集團資訊處長</span></span></strong></p> <p><strong><span style="font-size:20px;">幫助與可能損害均有。<br /> <span style="color:#8B4513;">── 醫學中心資訊主任</span></span></strong></p> <p><strong><span style="font-size:20px;">員工使用上的認知。<br /> <span style="color:#8B4513;">── 上市電子業資訊部經理</span></span></strong></p> <p><strong><span style="font-size:20px;">是機會也是危機。<br /> <span style="color:#8B4513;">── 大學資訊中心IT</span></span></strong></p> <p><strong><span style="font-size:20px;">工作處理加速。<br /> <span style="color:#8B4513;">── 批發物流業資訊主管</span></span></strong></p> <p><strong><span style="font-size:20px;">AI人才不足。<br /> <span style="color:#8B4513;">── 傳統製造業資訊中心協理</span></span></strong></p> <p><strong><span style="font-size:20px;">ChatGPT降低人力需求。<br /> <span style="color:#8B4513;">── 電腦週邊製造商資訊課長</span></span></strong></p> <p><strong><span style="font-size:20px;">ChatGPT有資安風險。<br /> <span style="color:#8B4513;">── 南部區域醫院IT主管</span></span></strong></p> <p><strong><span style="font-size:20px;">ChatGPT暫不會有影響。<br /> <span style="color:#8B4513;">── 北部區域醫院資訊主任</span></span></strong></p> <p><strong><span style="font-size:20px;">再觀察。<br /> <span style="color:#8B4513;">── 金屬製造業資訊經理</span></span></strong></p> <p><strong><span style="font-size:20px;">觀察中。<br /> <span style="color:#8B4513;">── 銀行IT技術主管</span></span></strong></p> <p><strong><span style="font-size:20px;">取代低階不具複雜性與創意型工作<br /> <span style="color:#8B4513;">── 證券CIO</span></span></strong></p> </div></div></div>
2023/8/13 21:40未署名https://www.ithome.com.tw/news/158225
IT第一線的心聲
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「以前，你們每年都有CIO建言的專題報導，去年怎麼沒看到？」一位認識了十多年的IT主管在電話那頭這樣問我。今年4、5月執行今年CIO大調查時，我照例也會聯繫一些年年支持大調查的IT主管，問問他們對今年大調查的期待和建議。他突然問了我這件事。「那是我最期待的封面之一。」他特別強調。</p> <p>每年我們在CIO大調查中都會詢問IT主管一個開放題目，請教他們對於特定一項IT新趨勢、CIO挑戰的看法，也不只是透過大調查的線上問卷來搜集，同一個題目，也會成為在調查執行時期，我們透過不同方式，到處請教第一線IT主管，搜集第一線聲音的常問問題，像是直接在研討會場遇到熟識的IT主管，我就會順便請教他們的看法。最後，每年總會集結了上百位CIO的看法，可能願意具名或不具名的方式，來呈現IT第一線主管，對同一個問題的觀察。</p> <p>去年因為疫情，雖然搜集了不少第一線的聲音，但我總覺還不夠，後來就沒有完成這個年度例行的封面故事，沒想到，竟有IT主管念念不忘。</p> <p>與這位任職於服務業的IT主管認識多年，十多年前，參觀完他在仁愛圓環附近大樓的辦公室後，在樓下餐廳聊了2個多小時的IT經，大談特談各種精彩的IT現場故事和軼事。他在電話那頭說，雖然他是服務業，但是他很好奇，不同產業同樣是IT主管職，對同一個IT趨勢或挑戰的看法，就算產業不同，但同樣從IT管理角度來思考，頗有參考性，因此，他每年都很期待這個封面，直問我，今年會不會做？</p> <p>來了，<a href="https://www.ithome.com.tw/article/158226" target="_blank"><span style="color:#3399ff;">iThome 1142期封面故事</span></a>，集結了115位來自六大產業，一般製造、高科技製造、服務、金融、醫療、政府機關與學校的IT和資安主管的看法，同樣不只大調查，也包括多種管道，搜集而來的CIO第一線的觀察和看法。</p> <p>今年大家最關心的話題之一正是ChatGPT浪潮的衝擊，這正是我們今年給CIO們的大哉問。</p> <p>從我們今年大調查數據來看，ChatGPT浪潮吹進臺灣企業後，2成企業鼓勵員工使用，<a href="https://www.ithome.com.tw/article/156835" target="_blank"><span style="color:#3399ff;">但有4成企業也第一時間強化員工資安意識，甚至12.8%企業直接在內網禁用ChatGPT</span></a>。尤其，金融業高達45.8%禁止在內網連結到ChatGPT，也有銀行發布了禁用令。</p> <p>可是，也有積極擁抱ChatGPT的企業，有企業成立種子團隊開始嘗試，有些則積極將內部服務串接到ChatGPT，甚至有12%企業調整現有AI發展策略，7%企業也因為ChatGPT而決定加碼今年度的AI預算。更有少數企業不只是使用現成的公版模型，5.7%企業正在準備訓練資料，計畫要微調出自己產業所屬的客製ChatGPT。這是企業對生成式AI浪潮的第一波行動，但是，臺灣企業的CIO，怎麼看這個新AI典範、新技術浪潮的短期、長期發展呢？</p> <p>一位服務業身兼IT與資安的負責人說得很好，他說：「<a href="https://www.ithome.com.tw/news/158222" target="_blank"><span style="color:#3399ff;">ChatGPT就是技術爆炸的典範。ChatGPT點燃了一個火花，在黑暗中特別明顯，終將造成全面燃燒。</span></a>」</p> <p>另一位金融IT副總的觀察，恰好能互相呼應，他認為：「<a href="https://www.ithome.com.tw/news/158223" target="_blank"><span style="color:#3399ff;">ChatGPT的出現為CIO的夢想《一切皆可軟體定義、AI決策及數據驅動的數位Nirvana》提前帶來了曙光。但技術黎明前總是黑暗，企業還是需要一再複習駕馭對新技術的野心及相應而生的暗夜風險。</span></a>」</p> <p>這兩位IT主管不約而同的點出了，當前ChatGPT浪潮對第一線IT的其中一種共同的感受，我們在這期封面有更多來自第一線最真實的體會。</p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span></strong></span></span></p> <p><a href="https://www.ithome.com.tw/article/158226" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1142-feng_mian_gu_shi_-1_open-dou_zi_-960x420_gong_zuo_qu_yu_1_0.jpg?itok=thB2lsT-" style="width: 550px;" /></strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/article/156858" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1129-feng_mian_-open-dou_zi_-zi_an_da_diao_cha_-960x420_kao_bei_.jpg?itok=tCmrqsp6" style="width: 550px;" /></a></p> <p><a href="https://www.ithome.com.tw/article/157479" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1135-feng_mian_p1-open-960x420_gong_zuo_qu_yu_1.jpg?itok=armGimP-" style="width: 550px;" /></a></p> <p><a href="https://www.ithome.com.tw/article/157785" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1138-feng_mian_p1-open-2023_cioda_diao_cha_xi_lie_4-960x420_kao_bei_.jpg?itok=Yhul5Rad" style="width: 550px;" /></a></p> <p><a href="https://www.ithome.com.tw/article/157682" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1137-feng_mian_-open-cioda_diao_cha_xi_lie_3-960x420_kao_bei_.jpg?itok=njsdA-EF" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/cio%E5%A4%A7%E8%AA%BF%E6%9F%A5">CIO大調查</a></div><div class="field-item odd"><a href="/tags/chatgpt">ChatGPT</a></div><div class="field-item even"><a href="/tags/cio">CIO</a></div><div class="field-item odd"><a href="/tags/cto">CTO</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E8%A8%8A%E9%95%B7">資訊長</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89%E9%95%B7">資安長</a></div><div class="field-item even"><a href="/tags/cio%E7%9C%8Bchatgpt%E7%9A%84%E6%8C%91%E6%88%B0%E5%92%8C%E8%A1%9D%E6%93%8A">CIO看ChatGPT的挑戰和衝擊</a></div></div></div>
2023/8/13 21:40作者王宏仁https://www.ithome.com.tw/voice/158192
CIO看ChatGPT的挑戰和衝擊
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1142-feng_mian_gu_shi_-1_open-dou_zi_-960x420_gong_zuo_qu_yu_1_0.jpg?itok=thB2lsT-" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>ChatGPT浪潮依舊火熱，但企業不是一昧地相信新典範帶來的機會，而更深思和看重新典範伴隨而來的風險與挑戰。生成式AI內容可信度和不確定性，依舊是技術短期難解的課題，LLM模型龐大訓練成本和SaaS服務的資料風險也仍舊是企業擔心的議題。我們從多個管道，找來115位，不同產業的IT主管和資安長，分享IT第一線對ChatGPT衝擊最真實的聲音</p> </div></div></div>
2023/8/13 21:48未署名https://www.ithome.com.tw/article/158226
【資安日報】8月11日，美國政府宣布發起為期2年的大型AI網路安全競賽，並資助想要投入的小型企業參加
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國政府近期對於強化網路安全的動作頻頻，像是推動K-12（5歲兒童至18歲青少年）學校的網路安全防禦措施、提出未來3年的戰略計畫等。本月10日他們宣布舉辦AI網路安全競賽，尋求利用人工智慧技術的好手，進一步強化美國關鍵基礎設施（CI）的安全，特別的是，競賽將為期長達2年，而且主辦單位也打算為部分隊伍提供參賽資金。</p> <p>除了資安競賽，針對5年前的兆勤（Zyxel）路由器漏洞攻擊也相當值得留意，雖然該公司提供了韌體進行修補，但迄今仍有不少路由器尚未套用而讓駭客有機可乘。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/gafgyt-malware-exploits-five-years-old-flaw-in-eol-zyxel-router/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">老舊兆勤路由器漏洞遭到殭屍網路Gafgyt鎖定</span></strong></a></p> <p>資安業者Fortinet對於近期的Gafgyt殭屍網路攻擊行動提出警告，駭客鎖定生命週期已經結束（EOL）的兆勤（Zyxel）路由器P660HN-T1A，利用重大漏洞CVE-2017-18368（CVSS風險評分為9.8），研究人員指出，雖然兆勤早在2017年就提供新版韌體予以修補，但是他們持續發現駭客的利用這項漏洞發動攻擊，並在上個月阻止數千起對於IPS設備的漏洞嘗試利用。</p> <p>對此，美國網路安全暨基礎設施安全局（CISA）也於8月7日發布資安通告，並將上述漏洞列入已被利用的漏洞列表（KEV），要求聯邦機構於28日前修補上述路由器漏洞。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://fortiguard.fortinet.com/outbreak-alert/zyxel-router-command-injection" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-296259080" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://fortiguard.fortinet.com/outbreak-alert/zyxel-router-command-injection</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.cisa.gov/news-events/alerts/2023/08/07/cisa-adds-one-known-exploited-vulnerability-catalog" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--1740113688" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://www.cisa.gov/news-events/alerts/2023/08/07/cisa-adds-one-known-exploited-vulnerability-catalog</span></a></p> <p><a href="https://www.proofpoint.com/us/blog/email-and-cloud-threats/cloud-account-takeover-campaign-leveraging-evilproxy-targets-top-level"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">網釣工具包EvilProxy針對高階主管的Microsoft 365帳號而來</span></strong></a></p> <p>資安業者Proofpoint揭露針對Microsoft 365帳號而來的網釣工具包EvilProxy攻擊行動，駭客發出約12萬封釣魚郵件，數百家企業組織成為目標。研究人員從今年3月至6月，看到駭客利用上述的網釣工具包，假冒Adobe、DocuSign、Concur等品牌的名義，寄送釣魚郵件，一旦收信人點選信件的連結，駭客會透過影音網站YouTube、購物比價網站Slickdeals進行開放重新導向（Open Redirection）攻擊，經過一連串重新導向之後才將收信人帶往EvilProxy釣魚網頁。</p> <p>此釣魚網頁做為反向代理伺服器，並偽裝成第三方身分驗證供應商，向Microsoft 365登入頁面傳送受害者輸入的帳密資訊，而使得登入行為被視為合法。為了迴避資安系統的偵測，駭客為釣魚信件進行特殊編碼，然後在已被入侵的合法網站植入PHP程式碼，用來解碼釣魚網站的網址。</p> <p>研究人員指出，駭客很可能來自土耳其，且優先挑選高階主管下手，在Microsoft 365帳號遭竊的受害者裡，39%是C級的高階主管、17%為財務長、6%為副總裁、3%為執行長，其餘是能夠接觸組織財務或是機密資訊的員工。</p> <p><a href="https://s4.itho.me/sites/default/files/images/EvilProxy_P2_2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/EvilProxy_P2_2.png" style="width: 580px;" /></a></p> <p><a href="https://www.team-cymru.com/post/visualizing-qakbot-infrastructure-part-ii-uncharted-territory"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體QBot擴大攻擊規模，架設15個新的C2伺服器</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/6283c5_6889e2f05bc14154b4f65208a93f9b28~mv2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/6283c5_6889e2f05bc14154b4f65208a93f9b28~mv2.png" style="width: 300px; float: right;" /></a>針對惡意軟體QBot的動態，研究人員多半是揭露其攻擊行動，但近期這些駭客休兵之後，傳出正在整頓其基礎設施，準備接下來擴大攻擊規模。</p> <p>根據資安業者Team Cymru從5月1日至7月20日收集的資料指出，此惡意程式與駭客的第2層基礎設施的連線顯著變少，僅剩下8個C2中繼站，在6月2日的時候，架設於美國的C2幾乎撤除，連至印度C2的流量也大幅減少，約6月22日停止發送用於散布QBot的垃圾郵件。研究人員認為，上述現象很有可能與資安業者Lumen在5月採取的反制措施有關。</p> <p>然而，此惡意軟體看似在6月減緩攻擊力道，Team Cymru發現，駭客在同月下旬部署了15臺新的C2伺服器，並搭配既有的8臺伺服器於7月再度發起攻擊。研究人員認為，駭客先入侵目標裝置，然後再藉由連線至第2層基礎設施將這些受害裝置當作C2，造成二度傷害。</p> <p><a href="https://flare.io/learn/resources/stealer-logs-and-corporate-access/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊資軟體已盜走逾40萬組企業組織的雲端服務帳密</span></strong></a></p> <p>針對暗網與Telegram頻道上，駭客兜售由竊資軟體（Infostealer）取得的資料，資安業者Flare進行調查，結果發現，竊資軟體橫行的情況極為嚴重，在上述管道流通的1,960萬筆資料裡，約有37.5萬筆包含了能夠存取Salesforce、Hubspot、Quickbooks、AWS、GCP、Okta、DocuSign的帳密資料，其中約有17.9萬個AWS主控臺帳密、2,300個Google Cloud帳密、6.4萬個DocuSign帳密、1.5萬個QuickBooks帳密、2.3萬個Salesforce帳密，以及6.6萬個CRM帳密，此外，另有4.8萬筆資料含有存取Okta.com的帳密資料、20萬筆包含Open AI帳密資料。</p> <p>而對於駭客銷贓的管道，大部分的駭客偏好透過加密通訊軟體Telegram──有74%透過Telegram出售，有25%於暗網市集Russian Market，僅有不到1％出現在Genesis Market。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/patch-tuesday-adobe-patches-30-acrobat-reader-vulns/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Adobe於8月例行更新修補30個Acrobat及Reader漏洞</span></strong></a></p> <p>8月8日Adobe發布每月例行更新，對於Acrobat、Adobe Reader、電子商務平臺Adobe Commerce、3D渲染設計軟體Adobe Dimension、XMP Toolkit SDK進行修補。</p> <p>其中最值得留意的是Acrobat、Adobe Reader的修補，當中一共修補逾30個漏洞，有近半數屬於重大層級。這些漏洞可被用於安全功能繞過、記憶體釋放後濫用（UAF）攻擊、越界讀取或是寫入（OBR、OBW），從而有可能讓攻擊者執行任意程式碼，或是資訊洩露。當中最嚴重的是安全功能繞過漏洞CVE-2023-29320，這項功能與存取控制措施不當有關，CVSS風險評分為8.6。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://fedscoop.com/white-house-ai-cyber-challenge-def-con/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國白宮發起為期2年的大型AI網路安全競賽</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AIxCC_Schedule-940.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AIxCC_Schedule-940.jpg" style="width: 300px; float: right;" /></a>8月10日美國白宮宣布舉辦一場為期2年的大型競賽AI Cyber Challenge（AIxCC），目的是希望透過人工智慧（AI）來發現及修復軟體漏洞，進而保護該國的關鍵基礎設施（CI）、網路環境裡的程式碼，獎金高達1,850萬美元。本次競賽由國防高等研究計劃署（Defense Advanced Research Projects Agency，DARPA）主辦，並與Anthropic、Google、微軟、OpenAI等AI領域的業界龍頭合作。</p> <p>DARPA指出，AIxCC將分成兩個組別進行，分別是贊助組（Funded Track）及開放組（Open Track），贊助組是鼓勵小型企業參與的組別，參賽者將從申請小型企業發明研究的團隊挑戰，其中7組有機會獲得700萬美元的參賽資金。初賽將於今年舉行，並選出20個隊伍參與明年的複賽，最終於2025年8月的DEF CON大會上，由5組隊伍進行總決賽。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.darpa.mil/news-events/2023-08-09" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-667241961" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://www.darpa.mil/news-events/2023-08-09</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.whitehouse.gov/briefing-room/statements-releases/2023/08/09/biden-harris-administration-launches-artificial-intelligence-cyber-challenge-to-protect-americas-critical-software/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-1155944087" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://www.whitehouse.gov/briefing-room/statements-releases/2023/08/09/biden-harris-administration-launches-artificial-intelligence-cyber-challenge-to-protect-americas-critical-software/</span></a></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/158213"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣資安新創池安量子資安成立亞洲首座量子安全遷移中心</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20230801_023359402.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230801_023359402.jpg" style="width: 300px; float: right;" /></a>量子破密的威脅持續進逼，後量子密碼學（PQC）標準的發展與推行備受關注，近期有新創公司想要推廣這方面的應用。池安量子資安（原名池安科技）<a href="https://www.qsmc.org/zh/post/亞洲首座「量子安全遷移中心」正式成立">在8月1日宣布成立「量子安全遷移中心（Quantum Safe Migration Center，QSMC）」</a>，以量子安全與其相關研究與成果為核心，並與中山大學、政治大學等學術機構合作，成立工作小組，共同推動量子安全人才培育、國際人才引進、促成相關研究者、產業社群的發展。該中心也與資策會於啟動儀式簽署合作協議，促進雙方在量子安全領域上的合作。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.rubrik.com/company/newsroom/press-releases/23/rubrik-acquires-dspm-leader-laminar-to-accelerate-cloud-data-security"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">資料管理業者Rubrik斥資1億美元，買下新創業者Laminar，強化企業與Saas雲端資料安全</span></span></strong></a></p> <p><a href="https://www.securityweek.com/40-vulnerabilities-patched-in-android-with-august-2023-security-updates/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google發布安卓8月例行更新，修補4個零時差漏洞</span></span></strong></a></p> <p><a href="https://therecord.media/dhs-grants-millions-to-local-governments"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國國土安全部投注3.75億美元提升地方政府資安</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/rhysida-ransomware-behind-recent-attacks-on-healthcare/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體Rhysida鎖定醫療產業下手</span></span></strong></a></p> <p><a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/invisible-adware-unveiling-ad-fraud-targeting-android-users/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">廣告詐欺App鎖定韓國安卓使用者，在待機狀態擅自顯示廣告</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158207">【8月10日】駭客結合勒索軟體Mallox與木馬程式Remcos，透過加殼程式於受害電腦上發動攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158187">【8月9日】駭客假好心提供作案工具，目的是把惡意軟體植入小白電腦</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158173">【8月8日】殭屍網路病毒SkidMap出現變種，鎖定Redis伺服器而來</a></strong></p> </div></div></div>
2023/8/11 16:43作者周峻佑https://www.ithome.com.tw/news/158224
Check Point以4.9億美元買下資安新創Perimeter 81
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://siliconangle.com/2023/08/10/check-point-software-buys-secure-networking-startup-perimeter-81-490m/" target="_blank">網路安全解決方案供應商Check Point Software周四（8/10）宣布</a>，已與新創資安業者Perimeter 81簽署併購協議，將以4.9億美元買下Perimeter 81，雙方預計於今年第三季完成交易。當天Check Point的股價上漲了2.9%，以130.04美元作收。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0811-Check%20Point%20buys%20Perimeter%2081-3.png" style="width: 400px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Perimeter 81</span></span></p> <p>Check Point成立於1993年，為美國及以色列的跨國資安供應商，在兩地都設有總部，主要提供網路安全、端點安全、雲端安全、行動安全、資料安全與安全管理等軟、硬體解決方案，為美國那斯達克的上市公司，全球約有6,000名員工。至於Perimeter 81則創立於2018年，目前有超過200名員工，專注於開發零信任網路存取（Zero Trust Network Access，ZTNA）及安全存取服務邊緣（Secure Access Service Edge，SASE）解決方案。</p> <p>Check Point表示，混合工作型態已成為全球組織的標準，數位轉型亦不斷將資料轉移至雲端，這樣的改變需要採用先進的網路安全手法，才能無縫適應現代分散式企業的需求，而Gartner即曾預估SASE的市場規模到2026年，將達到200億美元。</p> <p>而Check Point相中Perimeter 81的原因，即是該公司的服務得以讓分散在各地的員工能夠安全存取組織網路與應用，而且相較於傳統需要耗費幾周的部署模式，Perimeter 81只需要一小時的部署時間。</p> <p>未來Check Point打算將Perimeter 81的能力整合到旗下的Infinity架構中，以提供橫跨網路、雲端及遠端使用者的統一安全解決方案。</p> <p>Perimeter 81在去年6月對外融資1億美元時，其估值已達10億美元。</p> </div></div></div>
2023/8/11 15:17作者陳曉莉https://www.ithome.com.tw/news/158221
甲骨文、SUSE與CIQ共組Open Enterprise Linux協會，提供相容於RHEL的企業版Linux原始碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在<a href="https://www.ithome.com.tw/news/157514" target="_blank">紅帽（Red Hat）宣布</a>不再對外公開Red Hat Enterprise Linux（RHEL）原始碼之後，同屬Linux領域的甲骨文、SUSE及CIQ於本周四（8/10）<a href="https://www.suse.com/news/OpenELA-for-a-Collaborative-and-Open-Future/" target="_blank">成立了Open Enterprise Linux Association（OpenELA）</a>，將藉由提供開放且免費的Enterprise Linux（EL）原始碼，來鼓勵外界開發相容於RHEL的Linux版本。</p> <p>紅帽是在今年6月決定不再公開提供RHEL原始碼，僅開放外界存取屬於RHEL測試版的CentOS Stream原始碼，未來的RHEL原始碼將藉由Red Hat Customer Portal，直接供應給紅帽客戶與合作夥伴。</p> <p>此舉惹來Linux社群的憤怒及反彈，質疑紅帽的行為違反了包括GPL在內的各種開源授權。<a href="https://www.redhat.com/en/blog/red-hats-commitment-open-source-response-gitcentosorg-changes" target="_blank">負責紅帽核心平臺工程的副總裁Mike McGrath曾出面解釋</a>，紅帽花了許多時間與精力在開發與維護RHEL，而且會把相關的成果提交給Fedora、CentOS Stream或Linux Kernel等上游專案，未來也會如此，遵守了紅帽產品所使用的各種開源授權。</p> <p>McGrath也提出有許多表達憤怒的人士是來自下游業者，它們不花太多力氣就直接利用RHEL原始碼來重建自己的版本，而紅帽並沒有義務讓這些重建者的工作更為輕鬆。此外，McGrath更指責，只是簡單地重建程式碼，卻未增加其價值或以任何方式改變它，是對開源的真正威脅，有可能讓開源重新成為業餘愛好者與駭客的活動。</p> <p>不過，開源社群顯然有不同的看法。OpenELA的主要功能為提供Enterprise Linux發行版的一致性與安全的上游，以讓任何人都能建立及推出基於該來源的下游版本。</p> <p>此外，<a href="https://openela.org/about/" target="_blank">OpenELA還在官網上開宗明義地寫著</a>，開源與社群是OpenELA的DNA，將以開源社群及所有下游衍生版本的最大利益為出發點，鼓勵更廣泛的社群參與，也歡迎所有的貢獻者及「貪小便宜」者。</p> <p>OpenELA的任務包括提供各種來源與工具，以及開源的EL版本，以供開發者得以建立及維護幾乎一樣的EL下游版本，也鼓勵上游社群作出額外的貢獻。</p> <p>OpenELA計畫今年就會提供讓下游版本相容於RHEL的必要資源，初期將鎖定RHEL的EL 8與EL 9，也可能包括EL 7。目前並不確定OpenELA所提供的原始碼是否會與RHEL完全相同，新聞稿中所指的EL也許是為了避免違反紅帽商標而採用的文字。</p> </div></div></div>
2023/8/11 15:01作者陳曉莉https://www.ithome.com.tw/news/158220
國內產業開始推動PQC遷徙，池安成立量子安全遷移中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>量子破密的威脅持續進逼，後量子密碼學（PQC）標準的發展與推行備受關注，<a href="https://www.ithome.com.tw/tech/151925">去年7月，美國國家標準暨技術研究院（NIST）已公布首批入選的4款演算法</a>，預定標準將在2024年出爐。後續我們也看到<a href="https://www.ithome.com.tw/tech/150922">美國政府已經下令，要求各政府機構使用的密碼系統，未來需遷移到可對抗量子電腦威脅的密碼學系統</a>。</p> <p>現階段已有少數國際企業持續為PQC遷移做準備，也就是要將現今普遍的公鑰基礎架構升級，將現行的RSA或ECC密碼標準，更換成可抗量子破密的PQC密碼標準。</p> <p>對於臺灣而言，學界有不少人參與PQC標準化的競賽，但僅有少數本土廠商發表這方面的產品，像是匯智安全科技打造支援後量子密碼標準的HSM商用平臺，國內企業與組織更是稀少，尚未聽聞有公司、公部門提出計畫，宣布要將使用設備的密碼系統遷移至PQC。</p> <p>今年可能會有較明顯的進展，有新創公司想要推廣這方面的應用。原名池安科技、3月更名的池安量子資安，在8月1日宣布成立「量子安全遷移中心」，希望結合國內學界之力，發展量子安全生態圈，同時他們也在啟動儀式上，邀集中研院、工研院與學界專家共同參與，並與資策會共同簽訂了一份合作協議書，促進雙方在量子安全領域上的合作。</p> <h2><strong>PQC遷移影響廣泛，及早建立學界與業界合作平臺迎商機</strong></h2> <p>對於PQC的推動態勢，池安量子資安董事長暨量子安全遷移中心執行長池明洋表示，近期美國白宮宣布全美進入量子安全遷移時代，要求所有供應鏈要在2025年完成量子安全遷移規畫，加上今年國際密碼學會議在臺舉行，PQC標準議題備受關注，在此局勢之下，他提出三個重要的觀察：一、量子安全有急迫性；二，所有論文發表都是國際合作、團隊作戰；三、將研究成果帶進產業看似相當困難。他們之所以成立量子安全遷移中心，就是希望加速量子安全可快速普及到產業間，甚至帶領臺灣團隊合作到東南亞、北美等地拓展更大商機。</p> <p>在這場啟動儀式上，有多位國內專家現身說明PQC遷移的影響，因為我們日常使用的許多系統，都是利用公開金鑰密碼（非對稱式密碼），如ECDSA、RSA等進行密鑰交換與數位簽章認證，這些演算法未來將受量子破密影響，必須轉移升級到PQC密碼學的版本。</p> <p>例如，中研院資訊所研究員楊柏因是臺灣後量子密碼學的專家，他舉出最簡單的例子，一般網頁、電子郵件經常使用的TLS傳輸加密技術，以及Android系統的全硬碟加密等，就是使用公開金鑰密碼，需轉換為使用PQC後量子密碼學演算法。</p> <p>關於有哪些系統受影響？工研院資訊與通訊研究所副所長黃維中表示，包括：數位錢包、電子公文簽署，以及可抗網路釣魚的FIDO技術，其背後也都使用公開金鑰密碼，因此同樣受影響，甚至未來關鍵技術的零知識證明、同態加密技術，更是特別需要PQC。</p> <p>對於金融產業而言，也要積極因應。政治大學資訊科學系特聘教授左瑞麟指出，以財金公司與各銀行之間透過對稱式密碼（如AES）進行機密通訊為例，儘管對稱式密碼在未來量子電腦時代，還是可以使用，只是金鑰長度必須更長才會安全。</p> <p>而且，在金鑰產生之外，還要關注金鑰的產品與管理如何抵抗量子電腦攻擊，以及其他延伸議題，包括後量子憑證、金鑰儲存的HSM硬體加密器等，都要有升級到PQC的版本。</p> <p>再者，區塊鏈技術背後其數位簽章也是採用ECDSA，還有比特幣、以太幣等去中心化數位貨幣，以及央行數位貨幣的研發，都會受到影響。</p> <p>綜觀上述面向，迎接量子電腦時代來臨的同時，對於伴隨而來的量子破密威脅，我們必須體認有相當廣泛的系統需要進行PQC遷移。</p> <p>池明洋表示，他們的目標將朝向綜合性的平臺，為組織與企業，提供一站式的量子安全遷移服務，有如針對PQC遷移的SI業者。例如，將協助產業盤點現有所有使用的密碼系統，提供一連串的計畫，讓不同產業可以得到專家團隊的建議，也可以知道市面上有哪些產品，協助企業做到量子安全。</p> <p>同時，他們也將聚焦建立專業人才庫與社群，以及形式驗證與實作方式，還有抗量子晶片研發，期許打造量子安全生態圈。他並透露，目前該中心設於池安量子資安之下，預計年底將會法人化。</p> <p>對於量子安全遷移中心的發展，他們的副執行長呂佳諺也特別強調，拓展國際市場將會是中心的另一大重點。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230801_023359402.jpg" style="width: 600px;" /></p> <p>在數位發展部數位產業署副署長林俊秀的見證之下，量子安全遷移中心與資策會簽定合作協議書（MOU），促進雙方在量子安全領域上的合作。目前，量子安全遷移中心已經與中山大學、政治大學等學術機構合作，成立工作小組，並希望透過中心這樣的平臺，讓這方面領域專家學者將對量子安全、後量子密碼的多年的經驗傳遞出去，包括實作、產學合作、人才教育、國際學術影響力等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230801_024316751.jpg" style="width: 600px;" /></p> <p>在這場啟動儀式上，身為量子安全遷移中心金融產業應用工作小組顧問，也是政治大學資訊科學系特聘教授、資安科技研究中心專案計畫主持人的左瑞麟表示，今年政大新成立資安科技研究中心，對於金融產業量子安全發展已有4大規畫，包括量子安全金融FIDO、量字安全金鑰管理與通訊安全、量子安全區塊鏈應用，以及量子安全數位貨幣。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230801_030100653.jpg" style="width: 600px;" /></p> <p>對於抗量子遷移，工研院資訊與通訊研究所副所長黃維中也展示了一張投影片，當中說明了抗量子運算技術與應用的發展，可從標準面、技術面與應用程式面來看待整個生態的應用發展。</p> <p> </p> </div></div></div>
2023/8/11 12:27作者羅正漢https://www.ithome.com.tw/news/158213
Google公布AI多平臺程式開發平臺Project IDX
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了提升對開發人員的吸引力，在多項雲端開發工具後，<a href="https://developers.googleblog.com/2023/08/introducing-project-idx-experiment-to-improve-full-stack-multiplatform-app-development.html" target="_blank">Google本周再宣布</a>，可開發多平臺App的實驗性雲端整合開發環境計畫Project IDX，整合了Codey基礎模型及其他AI功能，讓開發人員打開瀏覽器就能開發程式。</p> <p>Google這幾年已陸續推出了數個多平臺App開發平臺產品，包括Angular、Flutter、雲端Google Colab、Firebase，但他們認為有必要使整個多平臺App開發流程更順暢、更快，<a href="https://idx.dev/" target="_blank">而在幾個月前啟動Project IDX實驗</a>。</p> <p>Project IDX是在Google Cloud上打造的Web開發服務，以瀏覽器就能使用，整合了Codey基礎AI模型，後者以程式碼及PaLM 2訓練而成。Project IDX目的是簡化開發、管理及部署完整堆疊的Web與多平臺應用程式，且具備熱門框架及支援多種語言，也提供AI輔助開發與預覽、發布工具。Google說，Project IDX也可以<a href="https://github.com/microsoft/vscode" target="_blank">微軟Code OSS</a>為開發底層，因此習於微軟工具的開發人員應該都能嫻熟上手。</p> <p>這新服務可望讓Google有更強實力，和Amazon CodeWhisperer或 GitHub Copilot競爭。</p> <p>Google今天公布Project IDX初期開發成果，<a href="https://idx.dev/" target="_blank">希望吸引開發人員加入</a>並提供回饋意見。為了使Project IDX打開瀏覽器就能存取使用，每個Project IDX工作空間都具有Linux VM的完整功能，可代管在雲端或其他資料中心。Project IDX允許用戶從GitHub匯入現有專案，或是新開專案，它預建熱門框架（如Angular、Flutter、Next.js、React、Svelte、Vue）範本，支援JavaScript、Dart，之後還會支援Python、Go等等程式語言。Google表示正在加緊籌備以支援更多專案類型和框架，也歡迎用戶提供意見。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0811-Google-Project%20IDX(1).png" style="width: 600px;" /></p> <p>Google強調Project IDX整合其多項AI技術，除了前述的Codey基礎模型，也包含AI程式撰寫輔助工具，包括可補全程式碼、AI聊天機器人Studio Bot，以及情境化的程式指令，像是「加入註解」、「解釋這段程式」。Google說，目前Project IDX的AI功能還很簡單，團隊正在加緊強化。</p> <p>Project IDX也內建Web預覽工具，供預覽開發完成的App，不久後也將有完整的Android仿真器（emulator）及嵌入式iOS模擬器（simulator），全部都能直接在瀏覽器環境下開啟。最後，為簡化App部署麻煩，Project IDX整合了Firebase Hosting代管平臺，使開發人員可快速部署到生產環境並和他人共享預覽Web App。由於Firebase Hosting支援Google Cloud Functions提供的動態後臺管理功能，相當適合全堆疊的框架，如Next.js。</p> </div></div></div>
2023/8/11 12:48作者林妍溱https://www.ithome.com.tw/news/158215
VS Code開發者也可用到Visual Studio新的CMake除錯器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於新的CMake版本合併了微軟的<a href="https://devblogs.microsoft.com/cppblog/introducing-cmake-debugger-in-vs-code-debug-your-cmake-scripts-using-open-source-cmake-debugger/">CMake除錯器（CMake Debugger）</a>實作，因此原本在Visual Studio才用得到的CMake除錯器，現在VS Code開發者也可以使用。開發者只要在VS Code安裝CMake擴充套件，便可以使用CMake除錯器對CMakeLists.txt腳本進行除錯，自訂專案建置方法。</p> <p>微軟在2月的時候，與維護CMake的公司Kitware合作，將微軟的CMake除錯器實作合併到CMake專案上游，使得除錯器可被更廣泛地使用。而現在這個CMake除錯器實作已經在CMake 3.27版本中提供，並將會隨附在Visual Studio 17.8之後的版本中。</p> <p>CMake除錯器提供類似普通除錯器的功能，只是除錯對象是CMakeLists.txt檔案。對CMakeLists.txt檔案進行除錯，可以確保CMake正確解析和生成建置系統，並使專案正確地被編譯和連結。</p> <p>透過使用CMake除錯器，開發者可以在CMakeLists.txt檔案中，依據檔案名稱、行號，或是在CMake發出錯誤或是警告觸發時設置中斷點，其操作方法如同一般程式碼檔案除錯，點擊行號左側空白處，或是使用中斷點和例外設定進行配置，開發者也可以單步執行、跳過或是退出中斷點。開發者可以透過CMake除錯器的呼叫堆疊，查看和除錯過程相關連的檔案名稱和程式碼，同時也可以決定除錯器自動中斷的錯誤和警告。</p> <p>微軟提到，由於該除錯器使用廣受支援的除錯配接協定（Debug Adapter Protocol，DAP），因此與許多開發環境相容。DAP是一個開放協定，用於IDE和除錯器之間的通訊，採用DAP也就代表，只要對特定IDE開發除錯器擴充套件，就可以在多種IDE中重用。</p> </div></div></div>
2023/8/11 13:22作者李建興https://www.ithome.com.tw/news/158214
港務公司善用IT整併強化營運，更要靠數據力推動港口智慧化
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三年前疫情，不僅加速了宅經濟的發展，也迫使航運業加速轉型，臺灣港務公司（以下稱港務公司）負責經營和管理在臺灣重要港口進出口的航運，橫跨北至南共七個國際商港。港務公司早在5年前開始運用資訊化科技，積極推動商港轉型，不只讓它成功渡過了疫情考驗，還將運用大數據優化港口營運，來因應後疫新常態、不確定經濟局勢及海運市場變動，甚至2030年要將各商港轉型成為智慧港口。</p> <p>臺灣港務公司未來要能夠加速轉型成智慧港口的關鍵，正是靠IT。</p> <p>身為海島國家，港口是臺灣對外重要的航運樞紐，單是高雄、基隆、臺中、花蓮共四大商港每年有超過6萬艘大型船舶進出港口，上千萬個貨櫃出入，每年入出境人口數更超過10萬人次。無論是船舶的進港、靠泊、貨櫃的裝卸，還是出港的作業，都是靠一套港棧資訊系統來運作。</p> <p>臺灣港務公司資訊處資深處長張登訓表示，過去各港口的營運主要依賴港棧資訊系統，提供船、貨與旅客相關的港灣、棧埠、倉儲及旅運作業所需的資訊服務，但是，不同商港各自採用了不同款的港棧系統。</p> <p><span style="font-size:28px;"><strong>港務局公司化後，IT優先目標是整併各港核心系統</strong></span></p> <p>到了2012年時，由於港政分離政策而成立臺灣港務公司，原本的四個港務局改制為港務分公司。公司成立初期，管理高層就毅然決定展開港棧系統的整併，將各港務分公司的港棧系統合併為一套統一的系統，整合到總公司統一管理，再提供各分公司使用，不再使用各自獨立的系統。</p> <p>張登訓表示，整合的好處是，一方面能夠確保航運作業一致性，讓所有作業流程和費用計算，都能採用統一標準來處理，不再存有差異，同時能夠更快取得各港口的營運資訊，讓總公司管理者可以根據這些數據下達決策。</p> <p>但要用一套統一系統提供全商港的航運資訊服務並不容易，尤其，不同商港特點和作業量差異很大。舉例來說，高雄港是最大港，船舶進出最多，運作規模和需求複雜度遠超過其他港口，而臺中港在棧埠作業應用範圍較廣且複雜，需要更高控管程度。相比之下，花蓮港進出的船舶數量較少，所以不需要像高雄港那樣複雜的系統。</p> <p>為了解決這個問題，港務公司資訊團隊採用模組化方式來開發系統的功能，藉此來解決不同商港需求差異的問題。張登訓強調，這種設計方式的好處在於，相同功能可以共用同一個模組，同時又能根據各自商港的特定需求來增加需要的模組，從而提供客製化功能。「核心原則就是透過同中求異、異中求同，達成系統整合的目標」他說。</p> <p>港務公司從2013年開始規畫整併和導入新港棧系統，採取分階段上線的方式。基隆分公司的臺北、蘇澳、花蓮與基隆港是首批上線的港口，接著是臺中港導入，最後則是高雄港，直到2020年才全部上線完成。</p> <p>不只整合港棧資訊系統，港務公司資訊團隊在新公司成立後，逐步將分公司各港資訊系統整合集中到總公司，包括自動化門哨系統、影像監控系統、公文系統及人事系統等，同時還導入ERP等新系統，來提升營運管理的效率。</p> <p><span style="font-size:28px;"><strong>結合IoT強化港口海陸面的智慧化應用</strong></span></p> <p>整合內部系統的過程中，港務公司開始擴大運用IT推動港口服務智慧化和自動化發展，並以「Trans-SMART」為主軸，展開港口的轉型與升級計畫。資訊團隊從2018年開始推動這項轉型計畫，接著在2020年陸續完成示範港口的應用建置，包含海側、陸側相關系統。</p> <p>以港區海側系統為例，港務公司後來在高雄港建置了船舶操航智慧警示輔助系統，來改善過去貨船靠泊港口時容易發生碰撞事件的情形，透過這套系統，能夠追蹤所有進港船舶的航行軌跡，一旦偵測到船速過快時，系統就會立即示警，由塔臺人員採取必要的措施，例如通知船方採取避碰措施，降低事故發生的機率。</p> <p>結合IoT技術打造一套物聯網海氣象即時系統，是港務公司另一個重要海側應用例子。資訊團隊部署多個IoT感測器，來蒐集海氣象監測資料，包括風力、波浪、海流、潮位等，以此追蹤海況變化，讓港口在面對不同的海氣象變化時能夠更快速應變，如調整港口運作和船舶進出安排。</p> <p>不僅如此，港務公司在港口管理方面導入不少智慧化應用，智慧監控管理系統是其中之一，這也是港務公司在陸側系統方面建置一大應用。</p> <p>在過去，各商港的安全管理，除了依賴港務警察及港區現場人員的定期巡查，對於港口的關鍵區域通常會設置CCTV監控攝影機，以便將所拍攝的影像傳送至各港區的監控中心，以進行持續的監控管理。</p> <p><span style="font-size:28px;"><strong>用上千支CCTV加強全港監控，還結合AI影像辨識提前預警</strong></span></p> <p>為了提高監控效率，港務公司後來導入智慧監控管理系統，可以將全港區的CCTV影像整合到監控中心的大型電視牆上，中心人員從電視牆就能迅速掌握港口現場情況，而且還能即時調閱監視器畫面，查看更詳細的資訊。不僅如此，該系統還可結合電子地圖呈現，方便管理者更好地掌握港區狀況，從而提高應變指揮和管理效率。</p> <p>這套系統不僅整合了CCTV影像，還具有AI影像辨識功能，可以偵測異常事件並提供預警。例如人員進入禁釣區或落海、車輛誤闖管制區或違規停留等違規或危險行為都是屬於異常事件，系統會自動告警，通知負責人員到場處理，防止事態擴大。</p> <p>此外，該系統還能透過人流統計來判斷是否有群聚事件發生，並及早介入。並支援跨平臺訊息通報，包含簡訊、傳真、Line通訊群組等。</p> <p>為了更快速地回應異常情況，資訊團隊還透過一臺閘道器在本地端完成即時影像分類與辨識，而不需要將影像資料回傳到資訊機房，讓異常事件的處理和反應更加即時。</p> <p>張登訓表示，目前已經在港口部署約2,700支CCTV，其中15支具備AI影像辨識功能。</p> <p>不只是進出港口船舶和貨物管理，車輛及人員入出境的管制同樣重要。尤其近半年來，所有商港每月平均進出總人數將近400萬人次，等於一天就有超過10萬人進出，管理這麼龐大的人流，成了資訊部門的另一項IT挑戰。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%87%BA%E7%81%A3%E6%B8%AF%E5%8B%99%E5%85%AC%E5%8F%B8CIO-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span><br /> <span style="color:#3399ff;"><span style="font-size:24px;"><strong>臺灣港務公司資訊處資深處長張登訓表示，港務公司未來將朝向智慧港口來轉型，其中數據應用是驅動港口智慧化發展重要關鍵。</strong></span></span></p> <p><span style="font-size:28px;"><strong>導入智慧車流系統，優化港區交通運輸網絡</strong></span></p> <p>為了應對龐大人流的挑戰，港務公司早在多年前就導入自動化門哨系統，在港區各查驗站設置自動化車道，結合車牌辨識，提供人、車、貨櫃進出商港管制區及自由貿易港區全天不中斷的自動通關查驗服務。</p> <p>在疫情期間，資訊團隊建置了E化車道，全面採用無接觸方式記錄人車進出港區的時間和身分，成了港務公司IT抗疫的重要實例之一。有別於傳統的人工車道管制，在這個E化車道中整合了不同感應設備，例如透過RFID讀取器可感應RFID通行證或eTag，或是利用OCR辨識器辨識車牌及櫃號，針對非持有RFID通行證的人員現場也能操作無人KIOSK機來完成身分確認。這麼做的目的，在於確保所有進出港區的人員和車輛都留下記錄，可供日後追溯。</p> <p>不僅如此，港務公司在2022年以高雄港為示範場域導入智慧車流系統，優化港區交通運輸網絡。這套系統中使用GIS製作的港區地圖，整合各式路況資訊，方便進出港區的載貨車輛或相關人員查看港區內相關交通、車行動態或港區作業狀況。</p> <p>甚至還結合AI提供車流量的預測，讓使用者可以提前規畫路線，避開擁擠路段和尖峰車潮，並選擇最佳的行車路徑進入港區，藉由這種方式，改善港口交通狀況與提高整體運輸效率。</p> <p>臺灣港務公司過去10年歷經三次IT大轉型，從系統整合到發展智慧化應用，未來更朝向AI、大數據、雲端來發展。長遠來看，「港務公司將朝向智慧港口來轉型，其中數據應用是驅動港口智慧化發展重要關鍵。」張登訓這樣說道。</p> <p><span style="font-size:28px;"><strong>發展港務營運大數據</strong></span></p> <p>為了打造智慧商港，港務公司自去年開始積極展開內部營運數據蒐集和彙整工作，為此，他們甚至計畫建立自己的大數據平臺，用於港口營運分析和優化，但尚未包含航運大數據。</p> <p>資訊團隊還規畫建立數據交換整合管理平臺，負責蒐整關鍵的營運資料，這些資料經過清洗過程後，將匯整到營運數據資料庫中，用來發展港務公司的智慧商情平臺，透過這套平臺，可以將分析取得的重要商情資訊以視覺化方式呈現，不僅讓決策者能夠即時掌握港口營運動態，還能根據數據分析結果來下達決策。張登訓表示，預計今年10月完成建置智慧商情平臺及營運數據庫，目前累積的資料量已達約百GB。</p> <p>除了針對數據進行分析，港務公司也開始重視資料治理制度的建立，規畫導入資料字典系統，協助相關人員更快速地了解營運資料間的關聯，利用這些高品質資料支援決策和營運優化。</p> <p><span style="font-size:28px;"><strong>今年開始規畫上雲，將優先建立雲地異地備援機制</strong></span></p> <p>鑒於烏克蘭戰爭的經驗，越來越多國家開始重視關鍵基礎設施相關系統上雲，不只金融系統，重要港口也是交通關鍵基礎設施之一，如何確保航運IT服務不中斷，是建立商港營運韌性很重要的關鍵。</p> <p>目前港務公司是採取異地備援策略，在臺北和高雄兩地機房互為備援，但張登訓認為，這樣的作法不僅耗時，增加資料庫維護的複雜度，因此，今年開始規畫上雲。港務公司在未來的兩年內，將建立雲地異地備援機制，優先完成港棧系統的上雲。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>臺灣港務公司資訊處資深處長張登訓</strong></p> <p>學歷：東華大學資工碩士</p> <p>經歷：2000年進到花蓮港務局IT工作，2012年港務局公司化後，轉任到臺灣港務公司臺中分公司擔任資訊處經理，主導臺中港IT的發展。2020年擔任港務公司資訊處資深副處長，並在2年後升任資深處長，負責帶領IT團隊，加速推動港務公司轉型</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>臺灣港務公司</strong></p> <p>成立時間：2012年</p> <p>地址：高雄市鼓山區蓬萊路10號</p> <p>網址：<a href="http://www.twport.com.tw">www.twport.com.tw</a></p> <p>主要業務：統轄基隆、臺中、高雄及花蓮分公司的港灣與港埠業務規畫、營運與管理工作</p> <p>員工數：2,200人</p> <p>董事長：李賢義</p> <p>總經理：陳劭良</p> <p>資本額：700億元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：資訊處資深處長</p> <p>資訊部門主管姓名：張登訓</p> <p>資訊部門人數：30人</p> <p>IT預算：約5億元（含資安）</p> <p>資訊部門分工：資訊規劃科、資安及建設科、應用服務科</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2013年：規畫將各港務分公司的港棧系統合併為一套統一的系統，整合到總公司統一管理，再提供各分公司使用</p> <p>2016年：完成ERP系統上線、開始整合商港自動化門哨系統資料中心，持續精進自動化車道及E化車道機制、建置港區危險物品管理系統</p> <p>2018年：推動Trans-SMART臺灣港群智慧轉型計畫，提出海側和陸側兩大構面及各項具體行動方案</p> <p>2020年：完成臺灣港棧服務網（TPNet）系統整合作業</p> <p>2021年：提出Trans-SMART 2.0＋升級計畫，持續推動港口的轉型與升級</p> <p>2022年：建置新公文系統及港務168─高雄港區即時路況資訊網</p> <p>2023年：推動全球資訊網改版計畫、規畫建立雲地異地備援機制</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/tai_wan_gang_wu_gong_si_cio-960.jpg" width="960" height="420" alt="" title="臺灣港務公司資訊處資深處長張登訓　（攝影／洪政偉）" /></div></div></div>
2023/8/11 13:44作者余至浩https://www.ithome.com.tw/people/158217
頂尖運動員如何調節壓力
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-duo_biao_xin_tai_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>職業運動員即使是成功的運動員，也會輸，有時還會不斷地輸。運動員也很容易犯錯，像是傳球失誤、投籃失誤和犯規出界。這也是為什麼我們在日常中經常用體育術語來表示失敗，例如失誤、三振出局、壓力下失常。</p> <p>對於運動員來說，失敗和調適都是家常便飯。如果他們不吸收和利用這些經驗，他們的運動生涯就會終結。正因如此，運動是學習進步、成功和適應的絕妙途徑。</p> <p>在你的職場和生活中，每個人都期待你能成為最好的自己，而壓力是阻礙你前進的日常敵人，但是你用什麼來對抗它？好吧，也許我們可以換個角度思考：你做了什麼來邀請它？</p> <p>要知道，壓力是一種選擇。我知道你在想什麼：「這傢伙到底算哪根蔥啊？難道是我自己選擇在離開辦公室之前必須做五件事嗎？我的老闆現在要我做X，我太太叫我做Y，而我小孩求我做Z，你是這個意思嗎？」</p> <p>相信我，壓力必須首先通過我們的大腦，而事件本身不是壓力，我們對事件的反應才是壓力。事件本身在本質上是中性的，它們不過是承擔了我們賦予它們的意義、感覺和情感。請記住這一點。你的想法是產生壓力的要素，壓力不會憑空出現。</p> <p>你的一天將充斥著你無法控制的事情，但你的反應是百分之百你的選擇。你可能無法完全控制自己的處境或情況，事實上，我們能控制的狀況少之又少，但是你一定能控制自己的反應。</p> <p><span style="font-size:28px;"><strong>全神貫注，定期清空心理白板</strong></span></p> <p>在一篇關於NBA傳奇人物柯比．布萊恩的文章中，心理學家哈迪（Benjamin Hardy）指出了一件柯比最厲害的特質，不是他的投籃或跳躍能力，也不是他在球場上的敏捷度，而是他的健忘。柯比有超人般的專注力，他可以清空心理白板，這個能力確實讓哈迪驚艷，他把研究這些特質作為畢生的工作。柯比沒有被過去的事和可能發生的事壓垮。在籃球場上，每次控球權通常不到二十秒，這給了他優勢。</p> <p>有些人稱這就像擁有一塊記憶白板，你可以快速清空腦袋。「你愈快放下錯誤或痛苦的經歷，你就愈能適應情況，並發揮能力實現你的目標而」哈迪寫道，「過去發生的事情不會影響你接下來要做的事情，也不會阻止你此刻完全處在當下。」籃球運動員必須能不去想失誤、投籃不中和搞砸的比賽，否則他就會喪失球感。球場上的動作太快了，即使是最厲害的球員也會經常犯錯和投籃不中，比賽就是如此。我在德瑪莎天主教高中（DeMatha Catholic）共事過的麥克．瓊斯教練曾經也採用過這種策略，這所強校培養出眾多的NBA球星。瓊斯教練最喜歡喊的一句話是，「下一球！」尤其是在失誤或投籃失誤之後會這樣大喊，這是他的球員會理解的簡短說法，這意味著：沒事繼續。</p> <p>處理我們的過去和規畫我們的未來都是極為重要的事，但如果你沒有正視當下的狀態，這兩者都沒有意義。在你需要知道的事和可以等待的事，兩者之間取得平衡。如果你的注意力過於偏向過去或未來，那麼你就辜負了這一刻，而這一刻也會讓你失望的。</p> <p><span style="font-size:28px;"><strong>釐清當下的狀況是遇到熊，還是塞車？</strong></span></p> <p>管理壓力的關鍵策略並不複雜，它們可能會很困難，但那是因為我們自己的習慣和臆測罷了，要了解基本道理非常容易。我是在意基本道理的人：對我來說，打籃球是這樣，在演講和個人生活的方面也是如此。</p> <p>如果是你能控制的事情，就改變它；如果是你不能控制的事情，那就放手。</p> <p>身處車陣中就是這個想法的範例，如果你和大多數人一樣，可以肯定地說，當你被困在其他汽車後面無處可去時，你的血液會沸騰起來。這讓幾乎所有人都抓狂，這很奇怪，因為我們對此無能為力。德國的一項研究甚至發現，身處車陣中「在接下來的一個小時內，心臟病發作的機率增加三倍以上」。聽著，如果壓力是你感覺自己的資源負荷不了，那麼就說不通了。當你身處車陣中時，你不需要做任何事情。你沒有選擇可以比較，也沒有決定可以做：對於這種情況，你完全無能為力。你實際上是坐著不動，周圍都是其他坐著不動的人。</p> <p>在《放輕鬆的藝術》（The Art of Taking It Easy）一書裡，金（Brian King）博士用交通來代表，我們生活中所有無法控制、但仍然給我們帶來壓力的事，金解釋說：「塞車是真實的，但是你自己的信念、價值觀和期望會讓你感到壓力很大。」他把所有值得擔心的事情稱為「熊」，把所有其他小煩惱稱為「塞車」。</p> <p>因此，管理壓力就是要知道哪些是熊，哪些是塞車，我相信你知道如何分辨。金認為，「我們經歷的絕大多數壓力都是自己引起的，」這意味著我們經常對交通等事物做出反應，就好像它們是熊一樣。如果我們要誠實地看待我們所面臨的問題，那麼主要會是塞車類的問題。如果你接受這一點，那麼當熊出現時，你就會準備地更妥當。</p> <p><span style="font-size:28px;"><strong>聚焦此刻的方法</strong></span></p> <p>兩屆金牌得主、美國女子足球中場球員琳賽．塔普利．斯諾（Lindsay Tarpley Snow）告訴我，讓她最能專注的方法，是把大目標分割成小目標，然後確保一切都方向一致。這樣她就可以留心於當下，同時注意大局。</p> <p>「為了確保我能夠處理和管理日常事務，我會查看那些短期目標，即我想要完成的事情，」她告訴我，「我會列出清單，並按優先順序知道哪些需要先完成，然後我照著順序逐步完成。對我來說，這真的幫助我擺脫不堪負荷的感覺。」這是一個完美的折衷作法，既可以讓我們不至於沉浸於當下而失去方向，也不至於過於按部就班而錯過眼前的事物。她告訴我：「透過日復一日地查看清單，〔使用〕短期願景，你可以完成這麼多事情，這一點令人吃驚，最終會讓你達成長期的目標。」</p> <p><span style="color:#B22222;"><strong>給自己三十秒</strong></span></p> <p>心理上的自我調適能力已經成為體育界公認的重要環節，超過一半的NBA球隊都有專門負責這方面的教練。史坦福（Paddy Steinfort）與奧運選手和其他專業人士一起合作，他幫助印第安那溜馬隊（Indiana Pacers）後衛T．J．麥康奈爾（T. J. McConnell）解決賽前的緊張情緒。史坦福教麥康奈爾一種簡單、但有效的方式，來保持他現在的水準。他的建議是什麼？在唱國歌和宣布先發陣容的期間，麥康奈爾應該專注於懸掛在體育場椽樑上的標語和旗幟，並讀出來。</p> <p>看起來很簡單對吧？簡直很傻？但這個方法奏效了。「這讓我進入了一種禪境，」麥康奈爾說。這讓他重新調整自己的方向，並忘掉緊張，讓他明確之到：這就是我所在的地方，這就是我在做的事情。</p> <p>你的家中或工作場所，是否有可以變成「椽樑上懸掛旗幟」的空間？有什麼東西能把你拉回到當下？當你感到壓力或無法集中注意力時，嘗試讓眼睛注視那個空間三十秒，並呼吸，請這樣練習一週，看看這麼做是否能把你拉回到當下。</p> <p>史坦福對洛磯隊（Rockies）的外野手凱文．皮拉（Kevin Pillar）也有類似的建議，皮拉對本壘板感到焦慮。史坦福教皮拉，當他踏入擊球區時，他應該專注於後腳踏入擊球區泥土的情況。無論他的思緒飄到哪裡，他都應該回到那個視覺和觸覺提示，來感受當下。感受那個畫面，專注於那個畫面，其他一切都會迎刃而解。</p> <p>專注是一種習慣，需要下功夫。你必須提醒自己接受每件發生的事情，解決你面前的問題。這就是世界上最優秀的運動員，在面對大多數人甚至無法想像的壓力時，他們所採取的處理方法。<strong><span style="color:#696969;">（本文摘錄整理自《奪標心態》，感電出版提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E5%A5%AA%E6%A8%99%E5%BF%83%E6%85%8B.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_感電出版</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> <span style="color:#3399ff;">奪標心態：戰勝壓力、克服停滯、打敗倦怠</span></strong></p> <p><strong>小亞倫．史坦、喬恩．斯特恩菲爾德（Alan Stein Jr. ＆ Jon Sternfeld）／著；黃庭敏／譯</strong></p> <p><strong>感電出版</strong></p> <p><strong>定價：480元</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E5%A5%AA%E6%A8%99%E5%BF%83%E6%85%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Alan%20Stein%20Jr.png" style="width: 120px;" /></p> <p><a href="https://alansteinjr.com/" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Alan Stein Jr</span></span></a></p> <p><span style="color:#3399ff;"><strong>小亞倫．史坦（Alan Stein Jr.）</strong></span></p> <p>國際知名的企業績效教練，也是知名的NBA教練，包括史蒂芬．柯瑞（Stephen Curry）、凱文．杜蘭特（Kevin Durant）、柯比．布萊恩（Kobe Bryant）等巨星，都曾受過他指導。在執教十五年的歲月中，執教的球員四度拿下NBA年度MVP球員。他擅長引導人發揮最大潛能，透過建立奪標心態，養成紀律、習慣以改善個人與組織的表現。百事可樂（Pepsi）、美國運通（Amex）、星巴克（STARBUCKS）、蔡司（Zeiss）等國際企業指定講師。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E5%A5%AA%E6%A8%99%E5%BF%83%E6%85%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon_com.jpg" style="width: 120px;" /></p> <p><a href="https://www.amazon.com/stores/Jon-Sternfeld/author/B08JQMN6PD?ref=ap_rdr&store_ref=ap_rdr&isDramIntegrated=true&shoppingPortalEnabled=true" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Amazon.com</span></span></a></p> <p><span style="color:#3399ff;"><strong>喬恩．斯特恩菲爾德（Jon Sternfeld）</strong></span></p> <p>作家，曾撰寫《措手不及》（Unprepared）一書；並曾與小亞倫．史坦合著《高績效表現力》，也與多位名作家合著非虛構作品。</p> </div></div></div>
2023/8/11 12:00未署名https://www.ithome.com.tw/article/158131
ChatGPT客製化指令擴及英國及歐盟以外的免費版用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://help.openai.com/en/articles/6825453-chatgpt-release-notes" target="_blank">OpenAI宣布</a>7月底開放給ChatGPT付費用戶的可客製化指令功能，即日起推向免費版用戶。</p> <p><a href="https://www.ithome.com.tw/news/157894" target="_blank">ChatGPT可客製化指令功能</a>之前僅提供ChatGPT Plus用戶beta測試。這項功能目的在讓AI助理能記住用戶的偏好，提供更個人化的建議或內容，並減少未來與ChatGPT互動的時間。OpenAI說也會很快部署到英國及歐盟用戶。</p> <p>這功能是以外掛方式實作，用戶可在與ChatGPT對話時，輸入希望ChatGPT記憶的獨特偏好或要求，像是其職業為小學自然科學教師、購物偏好家庭包、或是只想要GoLang的程式開發建議等。之後ChatGPT在產生回應時，即會呼叫外掛以加入用戶輸入的偏好，提供更符合需要的輸出結果，用戶未來也不必再下同樣的條件。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0811-ChatGPT-Custom%20instructions%20available%20to%20free%20users%20(August%209%2C%202023)-600.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_OpenAI</span></span></p> <p>使用方法很簡單，只要點入用戶帳號名稱>「客製化指令」輸入需要的內容後按「儲存」。只要刪掉內容再儲存就能移除指令。</p> <p>OpenAI本周可望為ChatGPT增加提示範例與回答的建議、維持登入狀態，並以「Ctrl+Shift+;」快速鍵複製最後一段程式碼。而針對ChatGPT Plus付費服務，則會全面升級底層模型到GPT-4，並為Code Interpreter加入多檔案上傳支援。</p> </div></div></div>
2023/8/11 13:09作者林妍溱https://www.ithome.com.tw/news/158216
Google Docs、Google Drive擴大測試支援電子簽章
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://workspaceupdates.googleblog.com/2023/08/esignature-google-docs-google-drive.html" target="_blank">Google本周宣布</a>Google Docs與Google Drive支援電子簽章（eSignature）的功能，以Beta版開放給個人及企業用戶。</p> <p>對中小企業和個人創業者而言，追蹤合約、客戶協議或其他有法律約束力的文件相當麻煩，為簡化作業，Google將電子簽章的功能整合到Google Docs中，方便用戶檢視簽章狀態，整理已簽好名的合約，並要求他人在需要的文件上簽名。用戶可直接在Google Drive簽署正式合約，不需轉換到其他App，像是Adobe PDF。此外，這功能也允許用戶為要人簽名的文件製作新複本，以此為範本，再要求其他人簽名。</p> <p>去年6月Google開始對Google Docs中呼叫與擷取電子簽章的alpha測試。經過一年的用戶意見回饋，現在Google現在將把這功能以Beta版推向Google Workspace一般個人用戶或企業版用戶。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0811-eSignature%20in%20Google%20Docs.png" style="width: 500px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0811-eSignature%20in%20Google%20Drive.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></p> <p>Google預告，今年下半還會增加新的電子簽章功能，包括加入稽核追蹤（trail），所有完成簽章的合約都會自動產生稽核報告。這功能也將支援多名簽章者，方便用於多人簽章的文件。未來幾個月內這功能也將可要求非Gmail用戶簽名。此外，除了現有Google Docs文件，今年底前也將擴及儲存在Google Drive中的PDF文件。</p> <p>Google是在對Workspace企業版用戶啟動更廣泛的Beta測試中包含電子簽章功能，<a href="https://docs.google.com/forms/d/e/1FAIpQLSeLyjTyUbm9cJ4f-IhWMte6w3ESyGYKmKPA8kKXhEbKSKGbJw/viewform" target="_blank">企業用戶可以填具線上表單申請使用本功能</a>。Google更廣泛的Beta測試也包含Gmail新的版型，允許用戶自訂或再利用現有範本、或從頭設計自有版型。企業用戶註冊申請後幾個星期內，就會看到電子簽章及新的Gmail功能。</p> <p>至於個人用戶，新電子簽章功能全面以beta版開放給Google Workspace Individual 方案訂閱用戶，不需註冊也能使用。</p> </div></div></div>
2023/8/11 12:11作者林妍溱https://www.ithome.com.tw/news/158212
IBM計畫在Watsonx.AI平臺提供Meta的Llama 2模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM<a href="https://newsroom.ibm.com/2023-08-09-IBM-Plans-to-Make-Llama-2-Available-within-its-Watsonx-AI-and-Data-Platform">宣布</a>在其人工智慧開發平臺Watsonx.AI提供<a href="https://www.ithome.com.tw/news/157854">Llama 2</a>模型，使企業能夠簡單地取用Llama 2模型，訓練專屬模型用於開發自家人工智慧應用。Watsonx.AI是Watsonx平臺的一部分，可讓企業簡單地訓練、驗證、調校和部署人工智慧模型，該平臺包括預先打包的人工智慧模型目錄，還有可用於模型訓練的資料集。 Llama 2是Meta在7月甫對外釋出的大型語言模型，相較於今年2月Meta發表，僅開發給人工智慧研究社群申請使用的Llama 1，Llama 2採用一種稱為Llama 2的授權，雖然並非典型的開源授權，但是只要企業產品和服務不超過7億活躍使用者，都可以自由地用於研究和商業目的。</p> <p>Llama 2預訓練模型總共使用2兆Token訓練，具有處理長上下文內容的能力，而經調校的指令遵循模型Llama 2-Chat，其可用性已經與ChatGPT相當。Llama 2模型有三個大小的版本，分別為70億、130億和700億參數的模型，IBM在Watsonx.AI平臺中託管的則是Llama 2-chat 700億參數模型版本。</p> <p>IBM在Watsonx.AI中提供Llama 2模型，是延續過去與Meta在多個開源專案合作的基礎，之前的合作包括PyTorch機器學習框架，以及在watsonx.data中使用Presto查詢引擎等。IBM提到，他們目前的人工智慧戰略，是向用戶提供第三方和自家的模型。因此在Watsonx.AI中，用戶可以使用到IBM和Hugging Face社群的模型，解決各種自然語言處理任務。</p> <p>除了整合Llama 2之外，IBM也揭露接下來的生成式人工智慧路線圖，之後將會發布AI Tuning Studio，繼續在Watsonx.AI加入其他人工智慧模型，並且在生成式智慧工具整合FactSheets資料治理服務。</p> </div></div></div>
2023/8/11 10:54作者李建興https://www.ithome.com.tw/news/158204
【資安日報】8月10日，駭客結合勒索軟體Mallox與木馬程式Remcos，透過加殼程式於受害電腦上發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了增加破壞能力，有些駭客為勒索軟體加入竊資軟體的功能，但現在也出現有人直接與其他類型的惡意程式搭配使用的情況。例如，研究人員看到駭客在勒索軟體Mallox（亦稱TargetCompany）的攻擊行動裡，運用惡名昭彰的RAT木馬程式Remcos來控制受害的SQL Server伺服器，然後以寄生攻擊的手法操作勒索軟體。</p> <p>開發工具Visual Studio Code的漏洞，有可能透過擴充套件觸發而造成危害！研究人員揭露此程式碼編輯器的API漏洞，攻擊者可打造惡意套件來竊取開發環境存放的各式帳密資料，且無論是Windows、macOS、Linux作業系統的電腦都有可能曝險。</p> <p>網路設備NAS的雲端管理介面也有可能遭到利用，而讓攻擊者有機可乘。去年漏洞挖掘競賽Pwn2Own Toronto中，找到WD與群輝NAS的漏洞，研究人員公開更多細節，攻擊者可用相同手法攻入這些存在弱點的系統，例如，皆能針對雲端管理介面下手，進而竊取NAS的資料，或是執行任意程式碼。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.trendmicro.com/en_us/research/23/h/targetcompany-ransomware-abuses-fud-obfuscator-packers.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Mallox結合木馬及加殼工具，攻擊微軟SQL Server</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure1-targetcompany-ransomware-abuses-fud-obfuscator-packers.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure1-targetcompany-ransomware-abuses-fud-obfuscator-packers.jpg" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露勒索軟體Mallox（亦稱TargetCompany）近期的攻擊行動，與之前的手法雷同之處，駭客先是鎖定存在弱點的微軟SQL Server入侵目標組織，但不同的地方在於，新的攻擊行動結合了RAT木馬程式Remcos，以及防毒軟體不易偵測（FUD）的加殼程式BatCloak。</p> <p>攻擊者在成功入侵目標組織的網路環境後，試圖部署Remcos並執行，然後濫用滲透測試工具Metasploit，進一步在電腦新增本機帳號，並部署GMER、IObit Unlocker、PowerTool（或PowTool）進行寄生攻擊（LOLBins），最終利用Remcos下載勒索軟體並執行檔案加密。</p> <p>研究人員指出，為了繞過資安防護措施並順利執行，駭客對木馬程式及勒索軟體，都透過BatCloak加殼來規避偵測。</p> <p><a href="https://cycode.com/blog/exposing-vscode-secrets/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">攻擊者可利用惡意擴充套件觸發Visual Studio Code弱點，竊取開發者的帳密資料</span></strong></a></p> <p>先前已有研究人員提供警告，微軟的市集出現疑似惡意的擴充套件，鎖定採用Visual Studio Code（VS Code）的開發環境發動攻擊，現在有新手法出現，對方能盜取開發者的各式帳密資料。</p> <p>資安業者Cycode指出，VS Code程式碼編輯器有個名為Secret Storage的API，有資安弱點，起因是對於存放於作業系統裡的Token缺乏充分的隔離，使得任何擴充套件都有可能藉由Keytar模組，存取所有存放於Windows、macOS、Linux作業系統的Token。研究人員指出，除了內建的GitHub與微軟帳號，其他VS Code儲存的Token都與擴充套件有關，如此一來，他們發現這個漏洞的影響範圍變得相當廣泛。</p> <p>研究人員2個月前通報此事，但微軟的工程師以該弱點非安全問題為由不予處理。</p> <p><a href="https://www.electoralcommission.org.uk/privacy-policy/public-notification-cyber-attack-electoral-commission-systems"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">英國選舉委員會證實遭駭客入侵2年，2014至2022年選民資料曝光</span></strong></a></p> <p>8月8日英國選舉委員會（Electoral Commission）坦承在去年10月，發現遭到駭客入侵的跡象，而有可能自2021年8月開始，存取2014年至2022年所有當地及海外選民的資料，這些資料包含了姓名、地址，以及到達投票年齡的日期。除了選民資料，該單位的電子郵件、控制系統、電子名冊副本亦遭到存取。不過，該單位並未透露受到影響的民眾人數。</p> <p>英國選舉委員會指出，根據該國資訊專員辦公室（ICO）進行的風險評估，姓名及地址的曝露對選民的威脅有限，且不影響選舉流程、投票權利、候選人登記，但上述兩項個資駭客有可能與其他的外部資料整合，進而透過使用者行為模式的推測，識別或分析特定人士。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/western-digital-synology-nas-vulnerabilities-exposed-millions-of-users-files/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露WD、群暉NAS漏洞細節，駭客有可能竊取資料或是發動RCE攻擊</span></strong></a></p> <p>去年冬季，資安業者Claroty參與Pwn2Own Toronto 2022漏洞挖掘競賽，找到Western Digital（WD）、群暉（Synology）NAS設備的漏洞，最近揭露細節。</p> <p>以WD產品而言，研究人員在MyCloud PR4100設備上，發現了命令注入漏洞CVE-2022-29841、路徑穿越漏洞CVE-2022-36327及CVE-2022-36328、身分驗證繞過漏洞CVE-2022-36331（CVSS風險評分為8.8至9.8），並用來列舉所有連接雲端服務MyCloud的NAS設備，然後模擬這些NAS並能存取相關資訊及檔案，甚至遠端執行任意程式碼。</p> <p>而在群暉的產品上，研究人員在DS920+找到CVE-2022-45188漏洞，該漏洞存在於NAS作業系統DiskStation Manager（DSM），包含了特定PHP元件的身分驗證繞過弱點，以及資訊洩露弱點，CVSS風險評分為8.8，攻擊者有可能假冒該廠牌NAS設備，並強制雲端服務QuickConnect將使用者重新導向至攻擊者控制的設備，進而竊取帳密資料或存取使用者的資訊、遠端執行任意程式碼，亦有可能控制受害的NAS發起進一步攻擊。</p> <p>資料來源</p> <p>1. <a href="https://claroty.com/team82/research/a-pain-in-the-nas-exploiting-cloud-connectivity-to-pwn-your-nas-wd-pr4100-edition">https://claroty.com/team82/research/a-pain-in-the-nas-exploiting-cloud-connectivity-to-pwn-your-nas-wd-pr4100-edition</a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://claroty.com/team82/research/a-pain-in-the-nas-exploiting-cloud-connectivity-to-pwn-your-nas-synology-ds920-edition" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-1076900850" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://claroty.com/team82/research/a-pain-in-the-nas-exploiting-cloud-connectivity-to-pwn-your-nas-synology-ds920-edition</span></a></p> <p><a href="https://www.securityweek.com/sap-patches-critical-vulnerability-in-powerdesigner-product/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">SAP修補業務流程與資料建模系統PowerDesigner的重大漏洞</span></strong></a></p> <p>本週二（8日）SAP發布8月份例行更新，總共修補了16個漏洞。其中最嚴重的漏洞是CVE-2023-37483，存在於業務流程與資料建模系統PowerDesigner，屬於存取控制的缺陷，未經身分驗證的攻擊者一旦利用該漏洞，可對後臺的資料庫執行任意查詢，CVSS風險評為9.8分。</p> <p>此外，該公司認為還有2個企業應優先處理的漏洞，一個是商業智慧軟體BusinessObjects安裝程式漏洞CVE-2023-37490，另一個是ERP系統Business One的跨網站指令碼漏洞CVE-2023-39437，CVSS風險評分皆為7.6。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://blogs.sap.com/2023/08/08/sap-security-patch-day-august-2023/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--208372876" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://blogs.sap.com/2023/08/08/sap-security-patch-day-august-2023/</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://onapsis.com/blog/sap-security-patch-day-august-2023" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-851839746" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://onapsis.com/blog/sap-security-patch-day-august-2023</span></a></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://security.googleblog.com/2023/08/android-14-introduces-first-of-its-kind.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Android 14將針對行動網路安全提供IT管理政策，網管可禁用2G網路</span></strong></a></p> <p>Google宣布於下一代行動裝置作業系統Android 14當中，正式加入與行動網路相關的安全功能，包括限制手機使用2G訊號及空暗碼（Null Cipher）網路連線的能力。</p> <p>該公司表示，他們這麼做的目的，主要是解決2G等舊式行動網路長久以來的安全問題，尤其是許多攻擊手法就是利用2G網路安全性不佳的特性，如：假基地臺（False Base Station，FBS）、IMSI Catcher（亦稱Stingray），暗中將手機行動網路降級為2G來進行相關攻擊。Google在Android 12首度提供使用者關閉2G網路的功能，而在Android 14，該公司進一步讓企業能全面停用公務手機的2G網路。</p> <p><a href="https://blog.pypi.org/posts/2023-08-08-2fa-enforcement-for-new-users/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">新註冊的PyPI開發者必須啟用雙因素驗證，才能上傳套件、建置專案</span></strong></a></p> <p>8月8日PyPI維護團隊表示，新註冊的開發者帳號若要執行任何管理工作，必須先啟用雙因素驗證（2FA）的功能，才能進行相關操作，同時，該團隊也要求用戶需要使用通過驗證的電子郵件地址。</p> <p>這些管理工作包含了建立及管理專案、新增或移除API的Token、上傳與移除發布的版本、新增或移除協作者、申請及管理組織帳號、新增及管理受信任的發布者功能。PyPI團隊指出，他們計畫在今年底所有使用者全面啟用雙因素驗證，而本次的措施就是該計畫的具體作為之一。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="http://www.interpol.int/News-and-Events/News/2023/Notorious-phishing-platform-shut-down-arrests-in-international-police-operation"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">歐洲刑警組織撤下網釣攻擊服務平臺16shop</span></span></strong></a></p> <p><a href="https://securityaffairs.com/149307/cyber-crime/varian-medical-systems-lockbit-ransomware.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit聲稱攻擊了醫療器材業者Varian Medical Systems</span></span></strong></a></p> <p><a href="https://www.securityweek.com/cisa-unveils-cybersecurity-strategic-plan-for-next-3-years/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國CISA公布未來3年的網路安全戰略</span></span></strong></a></p> <p><a href="https://www.bankinfosecurity.com/white-house-pushes-cybersecurity-defense-for-k-12-schools-a-22745"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國推動K-12學校的網路安全防禦措施</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/missouri-warns-that-health-info-was-stolen-in-ibm-moveit-data-breach/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國密蘇里州民眾的健康資訊外洩，起因是MOVEit Transfer遭駭</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158187">【8月9日】駭客假好心提供作案工具，目的是把惡意軟體植入小白電腦</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158173">【8月8日】殭屍網路病毒SkidMap出現變種，鎖定Redis伺服器而來</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158162">【8月7日】韓國Linux主機遭到惡意程式Reptile鎖定</a></strong></p> </div></div></div>
2023/8/10 17:31作者周峻佑https://www.ithome.com.tw/news/158207
美10多家金融機構違法使用個人WhatsApp等交易又未備份，遭罰5.5億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國13家銀行、證券業者因使用WhatsApp等消費性即時通訊平臺進行金融交易，又未做好備份，遭主管機關罰款5.5億美元。</p> <p>針對11家銀行及證券業者員工長期使用「非核可管道」（Off-channel）的通訊交易行為，美國證管會（SEC）開罰總計2.89億美元。<a href="https://www.sec.gov/news/press-release/2023-149" target="_blank">SEC發現</a>，至少從2019年起，這些金融機構的員工以其個人裝置上的多種訊息平臺，包括WhatsApp、iMessage、Signal等進行商業交易。這些公司對這些非核可管道的通訊，大半也未能保留或備份紀錄，違反美國證券法的規定。這些金融機構已經坦承有違法情事，同意支付罰金。</p> <p>這11家金融機構包括富國銀行集團（Wells Fargo）、法國巴黎銀行（BNP Paribas）、瑞穗證券、SMBC日興證券（Nikko Securities America）、華利安（Houlihan Lokey Capital）、SG Americas Securities、BMO Capital Markets等。2.89億美元中，以富國銀行集團的1.25億美元罰款占比最大。</p> <p>此外<a href="https://www.cftc.gov/PressRoom/PressReleases/8762-23" target="_blank">，美國商品期貨交易委員會（Commodity Futures Trading Commission）</a>也以金融機構使用未獲許可的通訊軟體如WhatsApp、文字簡訊，進行內或對外溝通且未備份，宣布對富國銀行、法國興業銀行（Société Générale）、加拿大蒙特婁銀行各開罰3,500萬到7,500萬美元不等，總計2.6億美元。</p> </div></div></div>
2023/8/10 14:49作者林妍溱https://www.ithome.com.tw/news/158200
迪士尼擴大Disney+ 廣告方案市場，準備打擊帳號共享
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://thewaltdisneycompany.com/disney-to-launch-ad-supported-subscription-offering-in-several-countries-across-europe-and-in-canada-on-november-1/" target="_blank">迪士尼公司（The Walt Disney Company，Disney）於本周宣布</a>，從今年10月12日起，將提高美國市場Disney+與Hulu的訂閱費用；且自11月1日起，則會把低價廣告方案的市場從美國擴大到加拿大與歐洲；另根據媒體報導，迪士尼將追隨網飛（Netflix）的腳步，開始解決帳號共享現象。</p> <p><a href="https://www.ithome.com.tw/news/152431" target="_blank">迪士尼去年於美國推出Disney+的低價廣告方案</a>，於串流服務中夾帶廣告，月租費為7.99美元，無廣告的月租方案則是10.99美元。預計於今年11月1日起，便會將該服務擴張到加拿大與歐洲市場，在加拿大的廣告版月租費將是7.99元加幣，而在歐洲的費用則是4.99元英鎊或是5.99歐元。</p> <p>而迪士尼也準備再度調高美國的訂閱費用，從10月12日起，無廣告的Disney+將從10.99美元調漲至13.99美元，Hulu將從14.99美元調漲至17.99美元。此外，迪士尼計畫在今年9月於美國推出新的方案，若同時訂閱Disney+與Hulu的每月費率為19.99美元，比各自單獨訂閱划算許多。</p> <p>迪士尼旗下的內容服務眾多，訂閱方案也令人眼花撩亂，但最受到消費者關注的是該公司也將向網飛看齊，開始打擊帳號共享。</p> <p><a href="https://www.theverge.com/2023/8/9/23826310/disney-plus-password-sharing-earnings-q3-2023?mid=1" target="_blank">根據《The Verge》的報導</a>，迪士尼執行長Bob Iger於財報會議中透露，該公司正積極尋求解決帳號共享問題的各種方法，今年將會著手更新其訂閱協議，新增共享政策，並計畫於明年採取行動以推動營收。</p> <p>Iger僅說有很多用戶分享帳號，並未公布實際數字，還說迪士尼擁有監控用戶登入的技術能力，即將於2024年解決此一問題。</p> <p>身為全球最大串流平臺的網飛去年就開始限制帳號共享，今年第二季更將此一政策<a href="https://www.ithome.com.tw/news/156466" target="_blank">擴大部署到包括美國與臺灣在內的逾100個市場</a>，若用戶要分享帳號予非同住的親友，必須額外支付費用，例如臺灣為100元新臺幣。在限制帳號共享之後，網飛第二季新增了580萬名會員，高於第一季的175萬名。</p> </div></div></div>
2023/8/10 15:07作者陳曉莉https://www.ithome.com.tw/news/158201
Chrome安全更新周期從每兩周縮短成每周
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2023/08/an-update-on-chrome-security-updates.html" target="_blank">Google Chrome安全團隊於本周宣布</a>，從周三（8/9）釋出的Chrome 116開始，Chrome穩定版的安全更新周期便將從每兩周縮短成每周，以減少Chrome與Chromium專案之間的修補落差，提高駭客利用這些已知安全漏洞的難度。</p> <p>Chromium開源專案支援包括Chrome在內的許多瀏覽器，每個人都能夠檢視它的原始碼、提交變更或看到安全漏洞與臭蟲的修補，而Canary或Beta頻道的使用者則可提前收到更新，並提供相容性及效能上的建議，然而，這也讓駭客有機可趁，利用這些尚未部署於穩定版的漏洞修補來展開n-day攻擊。</p> <p>於是，原本Chrome的安全更新是隨著每四周穩定版的出爐而進行，但從2020年的Chrome 77開始，Chrome安全團隊啟用了每兩周的安全更新節奏，亦即在每個穩定版之間，會有另一次的安全更新。在Chrome 77以前，Chromium與Chrome的平均修補落差是35天，啟用每兩周的更新頻率之後，落差減少至15天。</p> <p>在進入了每周的安全更新節奏之後，Chrome安全團隊預期可再減少3.5天的修補落差，縮小安全漏洞的修補空窗，以提高駭客利用此一空窗期研究並開發漏洞攻擊程式的難度。</p> <p>以往Chrome安全團隊經常會針對已被利用的安全漏洞緊急更新Chrome瀏覽器，在啟用每周安全更新之後，可望減少這些意外的更新活動。</p> <p>Chrome安全團隊說明，並非所有的安全漏洞都會被用來進行n-day攻擊，但他們並不知道哪些漏洞會實際遭駭客利用，因此將所有的重大與高風險漏洞都視為將遭到濫用而儘速修補。</p> <p>不過，也由於安全更新頻率變高了，未來一有安全更新，Chrome瀏覽器即會跳出更新通知，同時Google也建議使用者應該立即重啟Chrome以進行更新，重啟後的Chrome會保留先前已開啟的分頁。</p> </div></div></div>
2023/8/10 15:19作者陳曉莉https://www.ithome.com.tw/news/158202
Aptos Labs與微軟合作以建置AI區塊鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>致力於打造第一層（Layer-1）區塊鏈的Web3新創<a href="https://www.prnewswire.com/news-releases/aptos-labs-partners-with-microsoft-to-drive-web3-into-the-mainstream-301896350.html" target="_blank">Aptos Labs於周三（8/9）宣布</a>，已與微軟簽署多年合作協議，將於Aptos網路上整合Azure OpenAI服務，利用AI來解答該區塊鏈上的使用者與開發者的疑問，推動Aptos網路的普及。</p> <p class="rtecenter"><img alt="" src="https://mma.prnewswire.com/media/2171935/Aptos_Labs__Aptos_Labs_x_Microsoft.jpg?p=publish" style="width: 400px;" /></p> <p>Aptos Labs是由Meta之前負責Diem區塊鏈的員工在去年所創辦，在<a href="https://www.ithome.com.tw/news/149170" target="_blank">Diem協會宣布</a>縮編並出售資產之後，部分員工以Diem為了打造區塊鏈所開發的Move語言建立了Aptos網路。在區塊鏈的分層結構中，Layer 0為運行在區塊鏈之下的網路框架，可連結不同的協定；而 Layer-1則是個分散式帳本技術，指的是區塊鏈網路協定；Layer 2主要是提高擴展性與交易吞吐量，而Aptos Labs或以太坊皆屬於Layer-1業者。</p> <p>在與微軟合作之後，Aptos Labs準備推出Aptos Assistant，允許使用者以自然語言詢問有關Aptos區塊鏈生態體系的任何問題，同時也可用來指導開發者如何建立智慧合約與分散式應用，並指引他們尋找各種資源。</p> <p>此外，Aptos Labs與微軟也將攜手探索各種區塊鏈的創新應用，從資產代幣化、支付到由中央銀行所發行的數位貨幣，藉以推動金融服務業者採用Web3。</p> <p>負責AI與新興技術的微軟總經理Rashmi Misra表示，AI與區塊鏈的交叉將成為新興技術中最有趣的結合，可能會產生變革性的使用案例，整合Aptos Labs技術與Microsoft Azure Open AI服務，將可推動使用者無縫加入Web3，並讓創新者得以利用AI來開發分散式應用。</p> <p>Aptos Labs也說出了區塊鏈或Web3現階段最大的困境，就在開發者或媒體圍繞著熱門的區塊鏈議題時，使用者卻經常不得其門而入，有些新的Web3用戶在準備涉足區塊鏈生態體系時便遇到問題，從理解區塊鏈與去中心化如何造福個人，到建立數位錢包以加入Web3，或是將法定貨幣轉換成加密貨幣等，因而希望藉由AI的協助來加速Web3的全球採用。</p> </div></div></div>
2023/8/10 15:50作者陳曉莉https://www.ithome.com.tw/news/158203
【廠商永續支援度盤點：HPE】GreenLake訂閱年底推出雲端永續儀表板，可監測每一臺HPE伺服器個別碳排放
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>伺服器廠商HPE積極搶攻IT永續市場，不僅在今年上半年推出智慧節能管理平臺，可以蒐集、管理和分析機房IT設備或其他OT設備的能耗及碳排放數據，甚至今年底還將推出一個雲端永續儀表板功能，不只能提供各營運據點IT整體能耗和總碳排放量，還能細緻地放大查看每個據點中個別HPE IT設備的碳排狀況，方便企業用戶監控和管理這些IT設備的碳排放，但得採用GreenLake訂閱制方案才能用。</p> <p>近年來，各大伺服器廠商不只持續優化IT產品設計提高能源使用效率，同時也開始強調碳排放數據整合與管理，讓企業可以蒐集和管理這些IT設備使用的碳排數據，來因應永續發展和法遵要求。HPE也是積極搶進的其中一家業者，最近還因此收購OpsRamp這家IT維運管理公司，而推出了全新的雲端永續儀表板功能。不過初期僅為預覽版，正式版本年底才推出。</p> <p><strong><span style="font-size:28px;">透過永續儀表板不只能監看每個業務據點的整體IT碳排，連每臺伺服器每月消耗多少能耗和碳排都知道</span></strong></p> <p>從這個永續儀表板預覽畫面中，企業可以快速察看所使用HPE IT設備在全球不同的營業據點的IT整體能耗和總碳排放量，還能根據利用率、效率和能源成本等指標的呈現，顯示各自目前的狀態，並以不同的顏色標示，讓使用者更容易掌握各據點的整體能耗及碳排的狀況。</p> <p>進一步還可以放大每個營業據點，查看其所部署的所有HPE IT設備的更詳細資訊，這些資訊包含了近一個月來平均CPU利用率、運轉時間、記憶體使用率、能耗、二氧化碳排放總量等資訊，讓用戶可以更細緻的了解每臺IT設備的能耗和碳排狀況，來制定減碳方針。</p> <p>甚至還能透過快速篩選功能，優先列出CPU利用率過低和過高的IT設備，例如，使用者可以勾選列表僅顯示CPU低於21%且高於71%的設備，查看近一個月來，哪些設備CPU利用率過低和過高，並針對這些設備來個別進行改善，降低其碳排放。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%E6%B0%B8%E7%BA%8C%E5%84%80%E8%A1%A8%E6%9D%BF%EF%BC%92.png" style="width: 600px;" /></p> <blockquote><p dir="ltr" style="line-height:1.7999999999999998;margin-top:0pt;margin-bottom:0pt;"><span class="notion-enable-hover" data-token-index="0" style="font-style:italic">HPE預計今年底正式推出雲端永續儀表板功能，從</span>HPE提供的永續儀表板預覽畫面中<span class="notion-enable-hover" data-token-index="0" style="font-style:italic">，大型企業用戶不只可以透過該功能快速察看各營運據點的整體IT碳排放和能耗，也能進一步看各據點機房中各個HPE機體的碳排資訊，</span>可以更細緻的了解每臺IT設備的能耗和碳排狀況，來制定減碳方針<span class="notion-enable-hover" data-token-index="0" style="font-style:italic">。</span></p> </blockquote> <div> </div> <p><strong><span style="font-size:28px;">僅開放Greenlake訂閱服務方案能加購永續儀表板功能，非預設提供的內建功能</span></strong></p> <p>不過，企業得特別留意，HPE目前只開放Greenlake訂閱服務方案可以加購永續儀表板功能，而不會是預設提供的內建功能，這意味著，企業得多花一筆費用額外購買才能開通，另外，非採用訂閱而是直接買斷伺服器的企業，也將無法加購永續儀表板功能。</p> <p dir="ltr">GreenLake原本有提供本地、私有雲和混合雲共三種部署方式，HPE技術服務事業處技術協理許鈞湞表示，這三種部署的形式皆需要HPE設備作為媒介才能支援該儀表板功能，舉例來說，用戶可以透過Aruba Central管理控制臺、Storage DSCC儲存管理介面或伺服器運算維運管理控制臺，獲取在HPE設備上的相關數據，再匯入到儀表板中呈現。</p> <p dir="ltr"><strong><span style="font-size:28px;">新推出智慧節能管理平臺，不僅能監控機房IT能源或碳排數據，還能擴大應用於OT場域設備碳追蹤和管理</span></strong></p> <p dir="ltr">除了年底將上線的永續儀表板，HPE今年上半還推出了一個智慧節能管理平臺，稱為Ecolink，同樣也能夠用來蒐集和管理機房IT設備的碳排放數據，但可以應用範圍更廣，不只可以將Ecolink部署到企業內部IT機房，提供非採用訂閱方案的使用者對於HPE IT設備進行碳排蒐集，還可以擴大支援工廠端OT設備的能源或碳排相關數據進行監控及管理，包含第三方OT設備等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE-ecolink.png" style="width: 600px;" /></p> <blockquote><p dir="ltr" style="line-height:1.7999999999999998;margin-top:0pt;margin-bottom:0pt;"><span class="notion-enable-hover" data-token-index="0" style="font-style:italic">透過Ecolink</span>智慧節能管理平臺<span class="notion-enable-hover" data-token-index="0" style="font-style:italic">平臺，</span>提供了不同的視覺化儀表版功能，方便管理者監看與追蹤這些設備能耗與碳排變化情況，像是從<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">碳排監控儀表板中，</span><span class="notion-enable-hover" data-token-index="0" style="font-style:italic">可以查看機房的用電量和碳排放，包含了電源供應器、UPS不斷電系統、監測系統等。圖片來源：HPE</span></p> </blockquote> <div> </div> <p>Ecolink平臺提供攝取、檢核、管理和分析共4大功能，將整個碳排放數據建立、管理及分析集中到一個平臺中完成，還提供了不同的視覺化儀表版功能呈現這些使用消耗數據，其中包含能源監控儀表板、碳排監控儀表板。舉例來說，機房中不論是電源供應器、UPS不斷電系統、監測系統的用電量和碳排放情況都能透過碳排監控儀表板呈現，讓It管理者可以迅速握機房IT整體碳排趨勢，並作出相應的減碳策略和優化措施。</p> <p>為了快速取得各種碳排放源的排放數據，HPE提供自動化的數據匯入方式，企業不需要手動匯入，而是可以透過其提供的API或SDK套件，就可將HPE或第三方IT或OT設備排放源數據自動匯入到Ecolink平臺中，以便進行後續碳盤查計算和分析，」。</p> <p>除了蒐集和管理碳排放數據外，Ecolink還提供ISO標準盤查資料及報表管理服務，其中包含了溫室氣體盤查整合、資訊服務碳足跡及能源管理等功能，此外，企業還以使用其提供的盤查與鑑別資料管理工具，建立佐證和排放源鑑別管理機制。</p> <p>Ecolink還能自動產生報告。舉例來說，Ecolink透過蒐集工廠或建築物的感知器取得機臺或設備資料，並計算出相關碳排資訊後，可自動產出可視化碳排報告，其中包含了能耗與碳排儀錶板、重大能耗分析、能源指標及碳排基線分析等資訊，此外，該報告能夠顯示工廠或建築物整體用電量和總碳排放，同時也能記錄每月用電量和鑑別設定方法。</p> <p>這幾年，HPE也積極推動生產製造的產品碳足跡資訊揭露。目前在HPE官網上，各產品規格表中詳細列出產品生命週期各階段所產生的溫室氣體排放總量。此外，許鈞湞表示，針對範疇三的碳足跡盤查，他們要求硬體、物流服務等供應商每年透過CDP碳揭露計畫報告，以追踪這些供應商在減碳方面的進展。</p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2023/8/10 14:18作者李昀璇https://www.ithome.com.tw/news/157999
零售IT雙周報第19期：Amazon徹底翻新物流模式，半年內高達18億張訂單一天內送達
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0730~0812)</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 102, 255);">#短鏈物流</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 102, 255);">#AI貨物分配分析</span></span><br /> Amazon半年18億件商品一天內送達，關鍵是翻新物流模式，用AI消費需求分析助攻</strong></p> <p>電商龍頭Amazon今年的會員購物節賣出了3.75億件商品，達到歷史新高。業績火熱的同時，<a href="https://www.aboutamazon.com/news/operations/doug-herrington-amazon-prime-delivery-speed">Amazon全球商店業務執行長Doug Herrington表示</a>，他們訂單履行能力也達到史上最快。美國面積是臺灣270倍以上，不過2023上半年，Amazon有超過18億張訂單在當日或隔日送達，這個數字是2019年的4倍。箇中原因是，他們翻新了物流布局及科技，來增強快物流能力。</p> <p>過往，Amazon訂單會從全美物流中心出發，也就是說，一個包裹甚至可能橫跨數千公里才會抵達消費者家中。不過今年，他們將美國劃分為8個分區，並設置鄰近大都會區的衛星倉儲，來各自履行區域內訂單。他們還會利用深度學習模型來預測分區消費需求，來決定貨物存放於各倉儲的種類與數量。如今，有76%訂單會由分區內物流中心履行，只有2成多會從外部分區調貨。</p> <p>Doug Herrington表示，Amazon未來會持續提升各倉儲的補貨量能，來支援更多、更分散的物流據點。他們還有意翻倍衛星倉儲數量，不過沒有提到完成時程。近日，他們也在底特律開設了大型物流中心。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;">#OMO零售</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;">#快物流</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;">#會員數據</span></span><br /> 家樂福外送App推出智能食譜功能，用生成式AI進攻生鮮快物流商機</strong></p> <p>生成式AI又一應用，家樂福於自家外送App推出AI智能食譜功能。消費者選擇主要食材、菜色風格，AI便會自動生成推薦菜色與食譜，並根據食譜中所用食材，來推銷家樂福相關商品。此功能由家樂福與Microsoft、凌群電腦合作開發而成，背後是Azure Open AI的技術。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/C2.jpg" style="width: 600px;" /></p> <p>家樂福去年推出快物流生鮮外送服務家速配，喊出最快1小時內到貨口號，與原本最快隔天到貨的家樂福線上購物做出區別。現推出食譜推薦功能，不僅有望強化家速配對自煮族的吸引力，更能獲得自煮族客群的消費偏好資料，用於未來再行銷。</p> <p>美中不足的是，消費者是用點擊選項的方法來與聊天機器人互動，無法手動輸入指令。2個月前，法國家樂福也推出了類似功能，同樣是用微軟和Open AI技術，不過消費者能輸入文字指令，還能根據預算等條件來要求AI推薦商品。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;">#拿了就走</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;">#物件辨識</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;">#無人超商</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;">#顧客旅途追蹤</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;">#會員經營</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;">#OMO零售</span></span><br /> 統一超拿了就走無人店開幕，加速結帳流程還能追蹤消費者店內購物旅途</strong></p> <p>歷經6年實驗，<a href="https://www.ithome.com.tw/news/157861">統一超今年新開的科技概念店X-Store 7號店</a>終於達到無人區占比100%，並採用拿了就走（Grab and Go）結帳技術，來加速消費者結帳效率。</p> <p>為了達成拿了就走，統一超採用工研院技術，在店內安裝了30多座影像追蹤感應器、15臺IOT智能貨架、1,300以上個重量感測器，以及超過3,000組多重感測器，來蒐集消費者在店內的位置及行為。後臺收到這些資料，會再根據AI物件辨識、重量變化計算等結果綜合分析，判斷出每個消費者購買的商品，以及貨架狀態，再分別更新消費者購物車以及統一超臺帳系統。</p> <p><a href="https://s4.itho.me/sites/default/files/images/WEB-流程3-圖片來源-統一超商.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/WEB-%E6%B5%81%E7%A8%8B3-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B5%B1%E4%B8%80%E8%B6%85%E5%95%86.png" style="width: 600px;" /></a></p> <p>拿了就走技術不僅是一個結帳技術，更是一個實體店面消費者旅途（User journey）追蹤技術。統一超能從拿了就走技術蒐集到消費者動線、進場人數、停留時間、取放行為等資料，來優化商品陳列，以及深度了解消費者喜好。這也是少數實體店面能如此細緻蒐集到銷售時點（POS）以外資訊的營運模式。（<a href="https://www.ithome.com.tw/article/158109">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;">#會員經營</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;">#OMO零售</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;">#門市人力管理</span></span><br /> 全家會員App推出包裹預約自取功能，會員數據又多一面向，門市人員還能更有效安排工作</strong></p> <p>全家於自家會員App推出包裹預約自取功能，會員能預先選擇取貨門市和時間，讓店員能於指定時間準備好包裹。這不是第一次全家在會員App上強化包裹取貨功能，過去他們還推出了跨電商平臺包裹動態追蹤，以及包裹快取條碼功能。消費者於超商領取包裹取貨，原本不需要報出會員身分，也因此是超商難以細緻分析的行為。不過若他們使用這些App功能來輔助取貨，全家便能歸戶取貨行為，來綜合分析會員取貨與其他消費行為的關係。</p> <p>此功能延伸自今年推出的鮮食咖啡預約取貨功能FamiNow。全家表示，6成會員用過FamiNow後會重覆使用，且此服務No-show率低於1成，說明這類功能可以算是一種消費者到店的保證。</p> <p>另外，尋找包裹也是超商店員很花時間的一項工作。全家表示，若店員能確定取貨時間，在空檔時先準備好包裹，巔峰時段時較不易因尋找包裹，而減緩人流消化效率。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;">#生物辨識</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;">#非現金支付</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;">#會員經營</span></span><br /> 全美Whole Foods生鮮超市年底前將導入生物辨識支付技術Amazon One</strong></p> <p><a href="https://www.aboutamazon.com/news/retail/amazon-one-whole-foods-market-palm-scanning">電商龍頭Amazon旗下的大型連鎖生鮮超市Whole Foods將全面採用生物辨識支付技術Amazon One</a>，預計年底前完成建置。Amazon One能根據掌紋及血管細節來辨識消費者身分。消費者事先綁定結帳方式後，便能於進入賣場時刷入門禁，結帳時也只需讓機器掃描自己的手，便能完成付款。</p> <p><img alt="" src="https://assets.aboutamazon.com/dims4/default/1385002/2147483647/strip/true/crop/1597x900+2+0/resize/660x372!/format/webp/quality/90/?url=https%3A%2F%2Famazon-blogs-brightspot.s3.amazonaws.com%2Faf%2F02%2F7aea630c4cc38099f7f368cf6bbb%2Finline-001-customer-checkout-closeup-palmscan-04-04-22-001-00-00-24-19-still002-so-copy.JPG" /></p> <p>此技術目前應用於部分Whole Foods以及Amazon自家生鮮超市Amazon Fresh，能綁定Amazon Prime會員身分，於結帳時套用會員折扣及其他會員機制。其他應用此技術的第三方零售商，甚至會用來檢查消費者年齡，而不用檢查政府發放證件。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;">#物件辨識</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;">#社群媒體電商</span></span><br /> Instagram測試新電商功能，根據商品目錄自動為限動圖片加上商品標籤</strong></p> <p>社群媒體Instagram正在測試<a href="https://twitter.com/ahmedghanem/status/1679144202934931457">新電子商務功能</a>，利用物件辨識技術，根據IG商家上傳的商品目錄，來偵測限時動態圖像，並自動為商品加上標籤與連結。商家能再手動調整、移除或更新該標籤。</p> <p><img alt="" src="https://pbs.twimg.com/media/F02EphCX0AAwi46?format=jpg&name=large" style="width: 600px;" /></p> <p>這是Meta持續嘗試於自家社群媒體平臺化為電商平臺的一環。今年年初，Meta移除了IG首頁商城功能，以及FB、IG的直播電商功能，不過仍保留在貼文、限時動態、短影音Reels等地方標註商品的探索功能，以及在聊天室中直接結帳的金流功能。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;">#補貨機器人</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;">#無人商店</span></span><br /> 鴻海將投資並生產日本全家無人店所用的次世代補貨機器人，未來有望導入臺灣超商</strong></p> <p>鴻海要投資並生產日本自動化技術新創Telexistence（TX），並生產他們的次世代補貨機器人。這個企業的機器人會於固定路徑上巡邏，一旦透過影像辨識技術判斷需補貨品項，就會規劃補貨路徑，並自動補充飲料上架。</p> <p><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/jpfamirob.jpg?itok=5MLpWaqj" style="width: 600px;" /></p> <p>當世代TX機器人一天能補貨約1,000瓶冷藏櫃飲料，<a href="https://www.ithome.com.tw/news/152610">目前於日本全家上百間高人流門市服</a>役，鴻海要生產的次世代機器人則能補2倍的量。日本全家表示2024年前要開設1,000家無人商店，並於2025年前導入TX機器人到300家分。由於成本相當高，會優先部署此機器人至日營收超過50萬日圓（約11萬元新臺幣）的店面，以及偏遠地區的無人門市。<a href="https://asia.nikkei.com/Business/Technology/SoftBank-Foxconn-buy-into-Japan-shelf-stocking-robot-startup">據日經報導</a>，鴻海2024年將生產3,000臺該機器人，還會有部分交付給臺灣統一超。不過，目前鴻海與統一超官方沒有證實此消息。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0066ff;">更多零售IT動態：</span></strong></span></p> <p>1. Ikea將導入可動態調整標價及顯示內容的IoT智慧貨架到歐洲110家分店。</p> <p>圖片來源：家樂福、統一超商、Amazon</p> <p>資料來源：iThome整理，2023年8月</p> <p>責任編輯：郭又華</p> </div></div></div>
2023/8/10 13:13作者郭又華https://www.ithome.com.tw/news/158195
流通教父的行銷關鍵字
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-tai_wan_liu_tong_ge_ming_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下雜誌出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「我一直認為『沒人做過的事就值得一試』。商機不會從天上掉下來，而是要靠自己去找出來。如果自己認為『這個事業不會再成長了』、『景氣這麼差，真的無能為力』，任何事業都會走到終點。」徐重仁在上任統一流通集團總經理的第一天，就在思考市場飽和的問題，而這正是他突圍式經營策略的思考原點。</p> <p>他一直相信，市場不會消失，商機一直都在，因此在面對業績持續疲弱的子公司，他一樣能從目前的市場看見新機會，幫助企業重生。</p> <p><span style="font-size: 28px;"><strong>讓統一藥品轉虧為盈的傳奇式翻轉</strong></span></p> <p>一九九三年統一企業成立「統一藥品」，製造銷售中藥和強身健體的營養補給品，可是這個經營方向讓公司持續虧損。徐重仁分析，「中藥價格高，年輕一代很少人吃中藥，所以經營大不易。可是命令高會長成立統一藥品公司的人，是他的老闆吳修齊，所以就算虧損也不能說解散就解散。」這使得統一藥品到了後期，每年虧損近兩億元。</p> <p>後來高清愿會長將統一藥品移交流通次集團管理，徐重仁義不容辭接下統一藥品的重生計畫，當時，他毅然決然放棄中藥事業，並注意到美容面膜。那時候許多台灣女性都很憧憬SK-II的面膜。可是SK-II的商品很貴，不是一般女性想買就買得起的產品。</p> <p>「所以我就在想，假設SK-II的面膜要價一千元，我們用五百元賣效果差不多的面膜，就有更多人可以負擔得起，應該會很受歡迎。」</p> <p>徐重仁為了驗證自己的想法，立刻指示統一藥品開發面膜，創立品牌「我的美麗日記」，在流通次集團的7-ELEVEn和藥妝店「康是美（COSMED）」販售。</p> <p>徐重仁很自豪地表示，「『我的美麗日記』上市兩至三年後，統一藥品的業績每年都有近三億元的盈餘」。除了讓統一藥品起死回生，徐重仁總共讓五家業績不佳的公司重生，成為流通次集團的戰力。</p> <p><span style="font-size: 28px;"><strong>切入市場空隙，催生出新事業機會</strong></span></p> <p>而7-ELEVEn之所以能持續成功，也是因為徐重仁在流通市場的百貨公司和超市的縫隙間，找到了機會。在某次會議上，統一企業高層下達指令，「開發全新流通事業，進軍可以持續成長的市場！」但在場幹部沒有人知道，有什麼方法能跨入早已廝殺慘烈，成為紅海的百貨公司和超市等流通市場？</p> <p>參加會議的徐重仁於是拿起桌上的水杯，開口說了。</p> <p>「有某種程度經濟規模的零售業大餅，就像是這個水杯裝滿的水一樣。假設我們把小石頭丟入這個水杯裡，直到石頭堆滿水杯，這些石頭就像是在流通市場激烈交鋒的百貨公司或超市。」</p> <p>周遭的高層們都盯著水杯，傾聽徐重仁的話。他用沉穩的聲調繼續說。</p> <p>「乍看之下，水杯裡好像沒有空間了，可是仔細看看，你會發現其中其實還有很多空隙。我們只要在那些空隙裡，塞入形狀不同於百貨公司或超市的小石頭，也就是投入全新開發的新事業即可。在大石頭之間的縫隙再放入新的小石頭，愈放愈多，水杯裡的水位就會愈來愈高。也就是說，新事業的加入，會讓流通市場變大。」</p> <p>筆者詢問徐重仁，當時他這席話的真正含意，他笑著回答，「空隙就像是沒人想做的利基型事業。在空隙投入新事業，市場相對就會隨之變大，並催生出新的事業機會……我想告訴大家的是這種想法」。</p> <p>如同他所說的「水杯投石」，第一階段他採取的多角化策略，就是選擇成立商店規模比百貨公司或超市小，業態也不同的B2C零售、流通、服務事業公司，啟動全新的事業。後來，徐重仁仍持續導入美日成功的各種流通事業，截至二○一一年八月止他卸任為止，流通次集團旗下零售業的門市，包含康是美、SMILE加油站、無印良品、Pet Plus、星巴克、Mister Donut、酷聖石、21風味館、聖娜多堡烘焙、和食SATO、健身房BEING，統一阪急等，在台灣總計有八百七十七家零售、餐飲、流通服務的商店，加上7-ELEVEn約五千家門市，他透過多角化經營，讓流通次集團成長為「台灣最大的流通複合企業」。</p> <p><span style="font-size: 28px;"><strong>咖啡沒人買，有裂痕的茶葉蛋反而暢銷？開發商品最重要的一件事</strong></span></p> <p>關於商品開發，徐重仁則有一個絕對不能退讓的原則。</p> <p>「商品開發必須站在『顧客需求』的角度。顧客想要什麼、需要什麼？顧客追求的是好吃，還是方便？重要的是能否站在顧客的立場去思考，是否能讓顧客想經常上門。」徐重仁之所以堅持這個原則，其實也是經過許多試錯的結果。</p> <p>因為虧損連連，統一超商一度被降級為母公司旗下的所屬部門，在徐重仁的努力與堅持之下，一九八六年開出第一百家門市，也讓超商事業獲利首度由黑翻紅，隔年得以獨立成為一家企業。這個成績也讓他在公司工作未滿十年，就當上公司的總經理。徐重仁已經繳出如此優秀的成績單，但他沒有因此停下腳步，徐重仁開始著手開發台灣7-ELEVEn的獨家商品。</p> <p>徐重仁首先鎖定增加「餐飲品項」。正如同美國的7-ELEVEn也銷售三明治和漢堡等，不過，當時台灣的外食文化還不普及，也很少有人會買三明治或漢堡、三角飯糰等速食作為主餐。因此，徐重仁一開始先推出「茶葉蛋」。</p> <p>煮茶葉蛋時要先將蛋殼敲出裂縫，然後加入香片、烏龍茶、紅茶、普洱茶等茶葉，以及酒、醬油、味醂、辛香料等燉煮。在台灣這是許多街邊的小攤販會賣的經典商品，不過蛋殼有裂縫的蛋和獨特的氣味，與歐美人士的飲食習慣與口味都有很大的落差，因此遭到美國Southland Ice公司的督導大力反對。即使如此，徐重仁也毫不退讓。</p> <p>督導要求「你們反而應該賣咖啡」。當時在美國的7-ELEVEn，卡車司機來買早餐的三明治或熱狗時，就會順道買杯自助式的咖啡。徐重仁雖然覺得美國和台灣的客層不同，但幾經思考後，「想東想西，不踏出第一步也不知道結果如何。就先試試看，真的不行就撤退就好。我也還是商品開發的新人，如果在美國都會受到歡迎的話……」，他決心採納督導的建議。</p> <p>結果茶葉蛋大受歡迎，咖啡卻完全賣不出去。「所以咖啡只賣了一年就停賣了。」有了這次經驗，繼展店策略之後，他也學到商品開發要配合地區需求，所謂「在地化」的重要性。</p> <p>一九九○年，在茶葉蛋開賣三年後，他開賣熱狗大亨堡，而Southland Ice公司則不斷要求他推出美國7-ELEVEn的暢銷商品三明治和漢堡等，不過徐重仁沒有立刻答應。</p> <p>「我們雖然開賣大亨堡，但因為當時的台灣幾乎沒有人吃三明治和漢堡，我們知道美式食物在台灣賣不出去，和咖啡一樣。」徐重仁補充說明。</p> <p>即使如此，他還是注意到日本7-ELEVEn獨家開發的主力商品餐飲品項。</p> <p>「日本和台灣的飲食習慣相近，我想更容易讓台灣人接受」。徐重仁也在計算推出時機。他認為要讓台灣民眾接受平常很少接觸的食品，就必須等到台灣的消費水準提升，民眾生活更富裕後。</p> <p>等到門市數量突破一千五百家，統一超商股票上市的一九九七年，徐重仁在台灣7-ELEVEn的餐飲品項中，新加入「御飯糰」和「關東煮」。</p> <p>「御飯糰和關東煮都不是西式食物，日本和台灣都以米食為主食的國家，所以飲食習慣上較接近，調理方式和口味上也會比較相似。」徐重仁說明他當時推出這兩項產品背後的決策。</p> <p>「過去台灣人絕對不會吃生的魚肉。現在幾乎一○○％的台灣人都會吃生魚片。一開始雖然陌生，但只要一步一步來，讓商品逐步進化並嘗試，消費者慢慢就會習慣，有一天就會成為日常。」</p> <p>徐重仁實踐的商品開發策略，不是去因應現有的顧客需求，而是參考日本7-ELEVEn的成功事例，發掘潛在需求，提供顧客全新的價值，進而降低失敗率。<strong><span style="color: rgb(105, 105, 105);">（本文摘錄整理自《台灣流通革命》，天下雜誌出版提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600_%E5%8F%B0%E7%81%A3%E6%B5%81%E9%80%9A%E9%9D%A9%E5%91%BD.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源_天下雜誌出版</span></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 書名 </span></span> 台灣流通革命</strong></p> <p><strong>佐宮圭／著；李貞慧／譯</strong></p> <p><strong>天下雜誌出版</strong></p> <p><strong>定價：450元</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 作者簡介 </span></strong></span></p> <p><strong>佐宮圭</strong></p> <p>1964年出生於兵庫縣尼崎市。早稻田大學第一文學部畢業後，經歷各種職務，1993年成為寫手。為學研社《大人的科學漫畫》等科學內容撰文，也為日經BP社『日經Business』、日本經濟新聞社『日本經濟新聞電子版』等媒體上連載專欄至今。2010年其報導《鶴田錦史傳―大正、昭和、平成時代頂尖男装天才女琵琶師的一生》獲得第17屆小學館非文學大獎優秀獎並刊載於《觸摸》雜誌。</p> </div></div></div>
2023/8/10 12:00未署名https://www.ithome.com.tw/article/158167
研究顯示ChatGPT寫程式的問題解答正確率不到五成，但很容易被採信
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>許多人已經發現AI模型幻覺問題，導致AI聊天機器人給的答案充滿謬誤，但是錯得有多離譜則不得而知。<a href="https://arxiv.org/abs/2308.02312" target="_blank">美國大學一項研究顯示</a>，OpenAI ChatGPT在程式撰寫上給的建議，正確率竟不到5成，但有4成時候人類無法察覺。</p> <p>過去軟體工程師在寫程式遇到問題時，多半是向Stack Overflow這類Q&A平臺求助。但這類平臺在ChatGPT出現後遇到極大挑戰，因為工程師都轉向ChatGPT。美國普度大學（Purdue University）一群研究人員於是想了解ChatGPT對軟工的答案是否是真的有用，以及有什麼特色。</p> <p>他們針對ChatGPT對Q&A平臺Stack Overflow（SO）上517道程式撰寫問題給出的答案，分析正確性、一致性、完整性及簡明性。此外也對使用ChatGPT建議進行語言及情感分析，以了解ChatGPT的答案有何特色，以及人類用戶對AI給的答案建議的接受度。</p> <p>根據分析，研究人員發現52%的問題上，ChatGPT給的答案是不正確的，62%的答案過於冗長。此外，研究人員還發現AI答案有高達78%和人類答案不一致。研究人員深入分析ChatGPT的答案，還發現有大量概念及邏輯錯誤的問題。</p> <p>研究人又以2,000道SO上的寫程式問題分析ChatGPT答案的語言特色。研究顯示，ChatGPT的答案使用正式、漂亮用詞、甚少出現不禮貌的負面情感，而且語氣神似真人說話，這使得它容易取得用戶的信任。雖然用戶認為SO上其他人給的答案品質較高，但有4成（39.34%）題目會不小心相信ChatGPT給的錯誤答案，只有6成的人能察覺到它的答案是不正確的。</p> <p>結論是，想靠AI幫忙寫法律判例、寫程式或論文提升工作效率，可能還得等一陣子。研究人員提醒，由於ChatGPT講話有條理且充滿肯定語氣，很具說服力，但至少現在，在軟體工程中使用ChatGPT的答案要十分小心謹慎。</p> </div></div></div>
2023/8/10 11:51作者林妍溱https://www.ithome.com.tw/news/158196
微軟公測可切換雲端和桌機Windows的Windows 365 Switch
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/windows-365-switch-now-available-in-public-preview/ba-p/3891857" target="_blank">微軟本周宣布Windows 365 Switch公開預覽版</a>，讓用戶測試在同一臺電腦上自由切換Windows 11和Windows 365雲端作業系統。</p> <p><a href="https://www.ithome.com.tw/news/150269" target="_blank">Windows 365 Switch為微軟去年公布Windows 11專屬的雲端功能之一</a>。Windows 365 Switch讓Windows 11用戶可在「工作檢視」（Task View）中，切換Windows 11使用雲端Windows 365 Cloud PC。當PC上已有Windows 365端點，所有相關元素都會自動顯示於工作檢視中，方便用戶以熟悉的鍵盤指令、滑鼠或滑動手勢操作或存取。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0810-Windows%20365%20Switch-Windows%20365%20Cloud%20PC-Windows%2011-(3A).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_微軟</span></span></p> <p>「工作檢視」功能是首先於Windows 10加入的新功能，可讓用戶一覽桌機及虛擬桌面系統的工作切換器，可在Windows工作列中的「搜尋」鍵旁找到。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0810-Screenshot%20of%20Cloud%20PC%20icon%20in%20taskbar.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_微軟</span></p> <p>目前Windows 365 Switch已包含在Windows Insider Program（Beta Channel）推出。微軟說，Windows 365 Switch新增的輪替（round tripping）功能特別適合BYOD（bring your own device）的作業型態，用戶可以在工作時切換到公司Windows 365 Cloud PC，下班後切回自己的Windows 11，尤其是在需要節省支出的企業。</p> <p>要試用這項功能，用戶PC必須具備Windows 11 Pro或Enterprise版，再將電腦註冊登入Windows Insider Program（Beta Channel），當然也必須有Windows 365 Cloud PC授權。之後PC需到Microsoft Store下載安裝Windows 365 App（1.3.177.0 以後版本）。Windows 365 App也可以由企業IT管理員以Intune部署。</p> <p>微軟說，第一次使用Switch的用戶可能要花一點時間，在系統引導下連結Windows 365，而等Switch在裝置完全啟動，需要花數小時。</p> <p>去年微軟另外宣布的Windows 365功能為Windows 365 Boot App，可讓用戶一啟動PC即可登入Windows 365 Cloud PC，方便部署於短期約聘人員、客服或是BYOD的電腦。<a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/windows-365-boot-deploy-the-public-preview-today/ba-p/3827937" target="_blank">微軟今年5月透過Windows Insider program（Dev Channel）釋出包含Windows 365 Boot App的Windows 11 22H2更新</a>，提供給開發商或早期測試用戶。</p> </div></div></div>
2023/8/10 12:15作者林妍溱https://www.ithome.com.tw/news/158199
PyPI新帳號現需要啟用雙因素驗證才能執行管理操作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Python第三方套件儲存庫PyPI實施強制雙因素驗證政策，強化平臺安全性，現在PyPI<a href="https://blog.pypi.org/posts/2023-08-08-2fa-enforcement-for-new-users/">要求</a>所有新用戶在執行任意管理操作，包括上傳套件和修改套件資訊之前，都必須啟用雙因素驗證，同時，還要求用戶需要使用經過驗證的主要電子郵件地址。</p> <p>PyPI從2019年開始支援雙因素驗證，並在今年5月的時候，宣布今年底前所有用戶都必須啟用雙因素驗證，而現在對新用戶的雙因素驗證要求，正是這項政策的具體作為。新用戶在創建/管理專案、添加/刪除API權杖、添加/刪除協作者，以及添加/管理受信任發布者等操作，都會需要先啟用雙因素驗證。</p> <p>不過，對於只是想瀏覽PyPI網頁，下載和安裝套件的使用者，並不需要額外申請PyPI帳號，因此這項雙因素驗證要求也就不會產生影響。未啟用雙因素驗證的新註冊帳號，在嘗試執行管理操作時，用戶會在頁面頂端看到紅色橫幅，點擊後便會被重新定向到雙因素驗證設定頁面。</p> <p>PyPI在今年5月爆出大量惡意帳戶和專案，在安全審核人力吃緊下，官方緊急停止接受新用戶和專案，以緩解惡意程式碼的威脅。官方提到，攻擊者可能透過網路釣魚或是憑證填充等攻擊手法，取得電子郵件和密碼非法存取使用者的帳號，並使用這些帳號上傳惡意Python套件，以竊取各種憑證、加密貨幣錢包或是敏感資訊。</p> <p>當PyPI帳號啟用雙因素驗證，即便用戶的電子郵件帳戶受到入侵，攻擊者成功請求更換密碼，仍需要通過雙因素驗證，如此便能大幅提高帳號安全性。</p> </div></div></div>
2023/8/10 08:30作者李建興https://www.ithome.com.tw/news/158189
臺大醫院揭手術模擬平臺進展，能將平面醫學影像轉換為3D影像、簡化複雜手術溝通
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺大醫院8月9日揭露元宇宙手術模擬平臺進展，該平臺由外科部與臺大電資學院聯手研發，能以3D影像虛擬實境（VR）技術，將病人的電腦斷層或磁振造影等平面醫學影像，即時轉換為3D影像，來呈現病灶和周遭組織，甚至還能對不同器官組織進一步解析。這麼做，比傳統方法更省時，還有助於醫病溝通。臺大醫院指出，就算位於國外，醫師、家屬也能用手機掃描QR Code，來同步參與討論。臺大醫院不只將該平臺用於醫療行為，也要用於教學，將高難度手術做成教案，來讓年輕外科醫師和醫學生學習、累積知識。</p> <p><strong><span style="font-size:24px;">將平面醫學影像立體化，讓臨床團隊、病患更容易了解病灶和治療策略</span></strong></p> <p>進一步來說，這款手術模擬平臺，是由臺大醫院外科部主任陳晉興和臺大電資學院教授洪一平組隊研發，是國科會智慧醫療產學聯盟計畫之一。該平臺瞄準跨科別、高難度手術，要用3D影像重建技術，來將電腦斷層、磁振造影等平面的醫學影像立體化，轉換為3D影像，方便跨專科團隊討論病情、術前模擬，以及醫病溝通和教育訓練。</p> <p>陳晉興解釋，X光、電腦斷層、磁振造影等影像學檢查，常用於術前評估和病情解釋。但這些初階影像，在電腦螢幕上都以二維顯示，若遇上病情複雜的案例，對不同專科醫師、團隊成員，和病患、家屬都不易理解。</p> <p>不只如此，相較於目前許多醫學中心將二維影像，以3D列印出模型來解釋病情、研擬手術策略，如神經外科、整形外科、口腔外科、骨科等領域，雖能達到簡化溝通的效果，但客製化模型製作得要7到10個工作天，且每套模型只適用一位病人，還要價25萬元左右。臺大醫院這款3D手術模擬平臺，可即時提供立體模擬影像、查看病灶和周圍組織，還能進一步更細緻地檢視不同器官和組織，成本低且快速。</p> <p>此外，該平臺也能打破地理位置限制，讓在外地的醫師、家屬，掃描QR Code就能參與病情討論。</p> <p><span style="font-size:24px;"><strong>實用於高難度手術，接下來要用於教學</strong></span></p> <p>這款平臺也實際用於手術中，來協助醫療團隊模擬手術、與患者解釋病況。其中一例是患有一顆直徑5.1公分纖維樣瘤（Desmoid tumor）的旅美僑民，由於病灶位於右側胸壁頂端、靠近肩關節處，緊貼通往右手的鎖骨下動、靜脈和臂神經叢，經美國醫師評估，手術非常困難，且右手有癱瘓風險。</p> <p>該病患後來找上臺大醫院，陳晉興看診後便與神經外科教授王國川合組醫療團隊，用該平臺將患者的電腦斷層和磁振造影像，組合成3D立體影像，透過電腦動畫向病患和家屬解釋，並進行術前模擬、評估腫瘤位置及與神經、血管的關係。也因此，他們決定全程使用神經監測，來保護右手功能。最終，團隊順利切除腫瘤，並未損傷任何神經血管，病人術後也順利恢復，沒有右手癱瘓無力的後遺症，還能正常彈鋼琴、活動。</p> <p>另一例是高難度的縱膈腔類癌病灶切除手術。由於該患者腫瘤龐大、超過10公分，還包圍住心臟旁的大血管和氣管，需立即手術。於是，陳晉興看診後馬上與心臟外科教授紀乃新組隊，並用該平臺，將病患電腦斷層影像重組合為3D立體影像，來進行術前模擬。在跨專科團隊治療下，手術也成功完成。</p> <p>這個元宇宙手術模擬平臺，不只能用於手術，臺大醫院也將這些病例製作成教學個案，作為訓練外科年輕醫師和醫學生的教材。接下來，臺大醫院會繼續導入使用者互動模式，來讓臺灣醫療團隊和年輕醫師，在平臺上反覆模擬手術情境、練習手術技巧，還能與國際醫學機構交流。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2(80).jpg" /></p> </div></div></div>
2023/8/10 00:49作者王若樸https://www.ithome.com.tw/news/158191
【資安日報】8月9日，駭客假好心提供作案工具，目的是把惡意軟體植入小白電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客之間黑吃黑、互相爭奪攻擊目標的情況可說是相當常見，但現在出現以提供新手作案工具為誘餌的惡意程式攻擊。資安業者Kasada揭露提供滲透測試工具OpenBullet組態檔案的攻擊，鎖定缺乏相關技能，無力自行編寫相關組態程式碼的新手，目的是搜括這些人的瀏覽器帳密資料及加密貨幣錢包。</p> <p>昨天（8日）有許多廠商發布8月份例行更新，微軟也是其中之一，他們公告2個已遭利用的零時差漏洞，其中一個與上個月修補的CVE-2023-36884有關，已有駭客繞過更新程式碼而能利用該漏洞。</p> <p>Intel處理器漏洞Downfall也受到矚目，原因是影響範圍涵蓋Core處理器的第6代（Skylake）至11代（Tiger Lake），可能有數十億臺電腦曝險。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.kasada.io/threat-intel-openbullet-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">小白駭客成為其他駭客網路攻擊目標！假借提供OpenBullet的組態檔案名義，目的是引誘他們植入惡意程式</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/OpenBullet-Config.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/OpenBullet-Config.png" style="width: 300px; float: right;" /></a>資安業者Kasada揭露針對新手駭客的惡意軟體攻擊，這些攻擊者針對網路犯罪圈常用於帳號填充攻擊的滲透測試工具OpenBullet，假借提供組態檔案的名義，在相關社群、加密通訊軟體Telegram散布惡意軟體。</p> <p>根據資安人員的研究，其中有一個惡意組態檔案，攻擊者宣稱能夠繞過圖靈驗證機制reCAPTCHA，然而一旦新手駭客套用此組態檔案，電腦就有可能回傳網址不存在的404訊息，然後從文字共用服務Pastebin取得URL，存取名為GetChromeUpdates的GitHub儲存庫，下載、竄改OpenBullet當中的ChromeWebDriver元件，進而於受害電腦植入惡意酬載Ocean與Patent。</p> <p>這個Ocean為惡意程式下載工具，Patent則是以Python打造的RAT木馬程式，可透過Telegram機器人的API與駭客連線，並能對受害電腦拍下螢幕截圖、竊取Chromium瀏覽器的帳密資料及Cookie，以及挾持加密貨幣錢包。</p> <p><a href="https://blog.talosintelligence.com/new-threat-actor-using-yashma-ransomware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Yashma針對保加利亞、中國、越南等國家而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Yashma-ransom-note-cn.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Yashma-ransom-note-cn.png" style="width: 300px; float: right;" /></a>思科旗下威脅情報團隊Talos針對勒索軟體Yashma變種的攻擊行動提出警告，駭客從6月4日開始鎖定保加利亞、中國、越南，以及使用英語的國家發動攻擊，一旦電腦感染該勒索軟體，駭客就會要求受害者向指定加密貨幣錢包支付比特幣，若是在3天內沒有完成付款，贖金就會加倍。</p> <p>研究人員指出，Yashma是去年5月出現的另一款勒索軟體Chaos（V5）的變種，駭客打著WannaCry的名義犯案。但特別的是，駭客並未直接在程式裡加入勒索訊息，而是在檔案加密完成後，以批次檔連線到指定的GitHub儲存庫下載勒索訊息，這麼做的目的，很可能是要迴避防毒軟體會檢查可執行檔是否存在勒索訊息的內容。研究人員根據勒索訊息的內容、GitHub帳號名稱，推測攻擊者來自越南。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客傳出曾於3年前滲透日本國防網路環境，恐影響美日軍事情資共享</span></strong></p> <p>根據華盛頓郵報的報導，美國國家安全局（NSA）在2020年秋季，發現日本的軍事機密防禦網路遭到中國駭客入侵，有可能破壞美日情資共享及戰略部署。3位不具名的美國前資深官員向該媒體透露，駭客取得上述網路「深度、持續性」的存取權限，並企圖搜括日本的軍事戰略計畫、能力分析、弱點評估等各式機密資料。</p> <p>當時事態極為嚴重，美國國家安全局局長暨網路作戰司令部（U.S. Cyber Command）司令Paul Nakasone、時任副白宮國家安全顧問Matthew Pottinger，隨即前往東京向日本國防部提出警告，並驚動日本首相。到了2021年初拜登政府上臺，相關官員發現日本機密防禦網路的問題惡化，在美方壓力之下，日本承諾強化網路安全，並在5年內將資安預算增加10倍、網路安全人力擴增至4千人。</p> <p>這些人士透露，美國曾打算派出網路偵察團隊協助日本清除中國駭客的惡意軟體，但遭到日方回絕，最終日本政府尋求當地資安業者來找尋網路弱點，後續美國國家安全局與網路作戰司令部檢視成果並提供建議。對此，在8日召開的記者會，日本內閣官房長官松野博一、防衛大臣濱田靖一表示，目前尚未發現軍事機密情報因網路攻擊遭到洩露的證據。</p> <p>資料來源</p> <p>1. <a href="https://www.washingtonpost.com/national-security/2023/08/07/china-japan-hack-pentagon/">https://www.washingtonpost.com/national-security/2023/08/07/china-japan-hack-pentagon/</a><br /> 2. <a href="https://www.rfi.fr/tw/中國/20230808-日本政府否定-華盛頓郵報-有關中國黑客竊取日本防衛機密的報道">https://www.rfi.fr/tw/中國/20230808-日本政府否定-華盛頓郵報-有關中國黑客竊取日本防衛機密的報道</a></p> <p><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-213a"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國、挪威公布Ivanti行動裝置管理平臺零時差漏洞攻擊事故的細節</span></strong></a></p> <p>上週美國網路安全暨基礎設施安全局（CISA）、挪威國家網路安全中心（NCSC-NO）聯手，對於駭客利用Ivanti行動裝置管理平臺Endpoint Manager Mobile（EPMM）零時差漏洞，對挪威政府機關攻擊的事件，公布進一步的細節。駭客組織很可能從今年4月，就開始利用零時差漏洞CVE-2023-35078入侵EPMM，並查詢AD與LDAP端點裝置、列出EPMM管理的裝置，竄改EPMM組態，從數個挪威企業或組織收集資料，進而能夠存取該國政府機關的網路環境。</p> <p>NCSC-NO認為，駭客很有可能利用另一個零時差漏洞CVE-2023-35081，於EPMM設備上傳Web Shell並下達命令。此外，駭客也透過Ivanti Sentry上網安全閘道，將網路流量導向無法直接存取網際網路的Exchange伺服器。值得留意的是，駭客疑似利用已被入侵的家用路由器（其中一個廠牌是華碩）做為代理伺服器，來存取目標組織的網路基礎設施，藉此埋藏行蹤。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-august-2023-patch-tuesday-warns-of-2-zero-days-87-flaws/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟發布8月例行更新，修補Office、Visual Studio、.NET的零時差漏洞</span></strong></a></p> <p>8月8日微軟發布本月份例行修補（Patch Tuesday），總共針對87個漏洞發布資安通告，當中有18個權限提升漏洞、3個安全功能繞過漏洞、23個遠端程式碼執行（RCE）漏洞、10個資訊洩露漏洞、8個阻斷服務（DoS）漏洞，以及12個可被用於詐欺的漏洞，其中2個，是被用於攻擊行動的零時差漏洞。</p> <p>微軟針對其中一個漏洞提供名為Office Defense in Depth的更新（公告編號為ADV230003），主要是因為該公司上個月修補CVE-2023-36884之後，仍出現繞過更新程式利用漏洞的情形。</p> <p>另一個零時差漏洞是CVE-2023-38180，一旦遭到利用，有可能導致.NET應用程式與Visual Studio服務出現中斷的情形，CVSS風險評分為7.5。</p> <p><a href="https://www.bleepingcomputer.com/news/security/new-downfall-attacks-on-intel-cpus-steal-encryption-keys-data/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露Downfall漏洞，影響Skylake至Tiger Lake架構的Intel處理器</span></strong></a></p> <p>Google研究人員Daniel Moghimi在Intel處理器產品當中，發現存在資訊洩露漏洞CVE-2022-40982，並將其命名為Downfall，影響的產品相當廣泛，涵蓋Skylake以後的CPU家族，包括：Skylake、Cascade Lake、Cooper Lake、Amber Lake、Kaby Lake、Coffee Lake、Whiskey Lake、Comet Lake、Tiger Lake、Ice Lake、Rocket Lake。</p> <p>這項漏洞發生的原因在於，Intel處理器的記憶體最佳化功能會向軟體透露內部登記的硬體，因此，如果是未受信任的軟體，也可以藉此存取其他應用程式儲存的機敏資料，CVSS風險層級評為6.5。研究人員透過名為Gather Data Sampling（GDS）與Gather Value Injection（GVI）手法，進行該漏洞的概念性驗證。</p> <p>對此，Intel自去年8月接獲通報後，於今年8月8日發布修補程式，並指出較新的Alder Lake、Raptor Lake、Sapphire Rapids處理器不受影響。</p> <p>資料來源</p> <p>1. <a href="https://downfall.page/">https://downfall.page/</a><br /> 2. <a href="https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00828.html">https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00828.html</a></p> <p><a href="https://www.securityweek.com/ics-patch-tuesday-siemens-fixes-7-vulnerabilities-in-ruggedcom-products/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">西門子發布8月例行更新，修補RuggedCom工控網路系統漏洞</span></strong></a></p> <p>西門子、施耐德電機皆於8月8日發布本月的例行修補，其中西門子發布了十多則公告，公布逾30個漏洞；而施耐德電機僅公布1個漏洞。</p> <p>在西門子發布的公告裡，有3則與工控網路設備產品線RuggedCom有關，其中1則是針對安全存取管理系統RuggedCom CrossBow的5個漏洞而來，這些弱點可被用於發動阻斷服務（DoS）攻擊、提升權限、在資料庫執行任意SQL 查詢、將任意檔案寫入，CVSS風險評為9.8分。另外2則公告則與RuggedCom ROS作業系統有關，其中較為嚴重的是鏡像連接埠隔離漏洞CVE-2023-24845，CVSS風險評為9.1分。</p> <p>至於施耐德電機的部分，則是針對旗下的人機介面螢幕編器暨邏輯程式設計軟體Pro-face GP-Pro EX，公告CVE-2023-3953，該漏洞出現於WinGP的模組，CVSS風險評為5.3分。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-can-abuse-microsoft-office-executables-to-download-malware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員發現Office應用程式Outlook、Access、Publisher的執行檔可被用於寄生攻擊</span></span></strong></a></p> <p><a href="https://cycode.com/blog/exposing-vscode-secrets/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">攻擊者可利用惡意擴充套件觸發Visual Studio Code弱點，竊取開發者的帳密資料</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/new-inception-attack-leaks-sensitive-data-from-all-amd-zen-cpus/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">AMD處理器存在Inception、Phantom漏洞，可被用於竊取敏感資料，1至4代的Zen處理器都可能曝險</span></span></strong></a></p> <p><a href="https://www.guidepointsecurity.com/blog/tunnel-vision-cloudflared-abused-in-the-wild/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客濫用Cloudflare Tunnels服務的攻擊行動升溫</span></span></strong></a></p> <p><a href="https://www.group-ib.com/blog/mysterious-team-bangladesh/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織Mysterious Team Bangladesh鎖定印度、以色列網站下手，發動DDoS攻擊、竄改網頁內容</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158173">【8月8日】殭屍網路病毒SkidMap出現變種，鎖定Redis伺服器而來</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158162">【8月7日】韓國Linux主機遭到惡意程式Reptile鎖定</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158111">【8月4日】駭客利用Salesforce零時差漏洞發動網釣攻擊，目的是竊取企業的臉書帳號</a></strong></p> </div></div></div>
2023/8/9 17:17作者周峻佑https://www.ithome.com.tw/news/158187
資安專家從紅隊演剖實例剖析企業如何強化邊界、供應鏈安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「登上新聞報導的資安事件只是冰山一角，從資安業者的角度，真正發生的資安事件更多，正確妥善處理事件能夠避免擴散，產生災難性的結果」，中華資安國際檢測部經理林峰正在今年臺灣資安大會中表示。</p> <p>林峰正主要負責事前檢測部分，主要為紅隊檢測，他擅長從攻擊方角度，協助企業檢測防護上的弱點。在今年資安大會中，他以攻擊方的角度，分享如何看企業的邊界安全、供應鏈安全等等。</p> <p>他借用瑞士乳酪理論，嚴重事件的發生就像穿透每一層乳酪的孔洞，因此事件發生通常是一連串疏失導致的結果。從表面上看，通常會將事件發生的原因歸究於單一原因，但經過調查後往往會發現背後是一連串疏失導致的結果，資安事件也是如此。</p> <p>以發生勒索軟體攻擊為例，利用根因分析（Root Cause Analysis）發現一連串的疏失，駭客最初利用社交釣魚郵件，首先通過郵件防護偵測，在人員缺乏警覺心之下點擊信件，加上防毒軟體未能偵測攔截到變種勒索病毒，以及未做好網段主機隔離，主機在未更新下，致使攻擊擴散至各網段及服務主機，最後導致企業遭受勒索軟體加密攻擊。</p> <p>「解決資安事件時，我們希望將（乳酪）每一層的洞補起來，因為只要中間有一層斷開，事件就不會發生」，林峰正表示，以勒索軟體攻擊為例，即使前面幾層的防護都有疏失而未能攔下攻擊，但是網段主機如果作好隔離及更新，蠕蟲就不容易橫向移動，攻擊事件就不會發生。因此，資安事件調查，必需找出導致事件發生的多重因子，再進行多重修補。</p> <p>2022年中華資安在調查的上百件資安事件，惡意程式類型最多為WebShell（31%），駭客入侵手法，第1名是以對外服務的網站為主，第2名是取得有效帳號，林峰正指出，取得有效帳號在前幾年曾是入侵手法的第1名，因為受到疫情影響，不少企業使用VPN外部工作模式，從資安事件調查中發現，駭客取得有效帳號，在企業內部活動，即使降到第2名，但代表企業採用VPN遠端工作模式，難以辨別該帳號的使用者身分，需搭配身分安全保護方法，例如雙因子、裝置認證、FIDO等。</p> <p>林峰正表示，企業就像乳酪蓋成的城堡，邊界防禦如同一層一層的乳酪縱深防禦，上面有許多的孔洞，例如企業對外開放防火牆、開放部分服務、網站存在漏洞，內部使用弱密碼、網路隔離未落實等等，如果這些孔洞沒有被貫穿，攻擊事件就不會發生。企業作好防護的第一步是，先定義邊界，但現實的邊界可能比我們想像更廣闊，例如WFH將防禦邊界擴大到家庭的網路環境，但家用環境不會有DDoS、APT等防護機制，允許員工隨意攜帶辦公裝置、隨意插USB，造成風險大增。</p> <p><strong><span style="color:#B22222;">物聯網設備增加邊界的資安風險</span></strong></p> <p>林峰正表示，儘管企業委託資安業者每年檢測核心系統，例如官網、交易平臺安全，但是從資安事件調查的經驗來看，很多是從意想不到地方發生，邊界系統反而是脆弱點，這些邊界系統包括雲端空間、次級系統（例如訪客登錄、打卡系統）、IoT裝置（IP Cam、印表機、電視、視訊系統）、外包系統（員工訓練、公文系統）等等。</p> <p>物聯網為企業帶來新的入侵攻擊面，例如駭客利用電話線及傳真號碼攻陷印表機，或是從智慧溫度計的無線介面入侵取得賭場資料庫的資料，或是利用裝置的麥克風及揚聲器，利用聲音進行數據傳輸，還有從掃地機器人監聽特定的對象等。</p> <p>林峰正表示，駭客可以取得物聯網裝置，找出其系統韌體中的漏洞加以驗證。他所帶領的檢測團隊就曾經研究多媒體機，發現在特殊觸控模式下可進入除錯工程模式，搭配舊版系統已知漏洞升級權限，成功入侵系統底層，任意安裝App，並取得最高權限。供應鏈從作業系統底層、韌體到App，每一層由不同開發商負責，經過系統整合後提供給消費者，如果每一層埋下後門的工程模式，整個供應鏈留下多個後門。因此，企業作管理供應商時，應要求供應商不要留下後門，不要開啟除錯模式等等，否則最後的系統整合商並不清楚存在哪些後門。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20230511_103102600.jpg" style="width: 600px; height: 413px;" /></p> <p>另一個紅隊檢測的案例是，儘管保全人員就在一旁，仍可從櫃檯的訪客電腦入侵至內網。入侵的手法利用訪客電腦防護上的疏忽，先解鎖瀏覽器proxy、訪客模式限制，再利用另存新檔，瀏覽器功能寫入檔案，突破檔案瀏覽的封鎖，再執行命令列，進而發現公用電腦與企業內網連接，再以PowerShell或免安裝工具掃描網段，發現未設有身分驗證的檔案分享目錄，之後發現資產管理代理程式、維運用提權程式、Script，再從伺服器記憶體中取得OS密碼，成功以管理者身分登入其他內網主機的遠端桌面。</p> <p>「企業在安全防禦上難免會有盲點，透過檢測或駭客角度可以找出這些盲點」，林峰正說。</p> <p>其他類似的實體入侵手法也可用在ATM、機上娛樂系統、繳費機、門禁發卡系統、博物館導覽互動系統等等。除了有形的邊界，無形邊界也是容易被忽略的一部分，例如企業常用的Wi-Fi，因為無線網路溢波問題，駭客只要利用可攜式設備、高功率天線就可能從外部設法接取，無線AP、投影機、事務機等設備可能開放管理界面、較弱的SSID密碼保護，這些也讓駭客有可趁之機，其他無線通訊技術，如藍牙、LoRa也增加攻擊面及資料外洩管道。</p> <p>林峰正的團隊還曾發現，企業專門提供給訪客使用的Wi-Fi，曾有員工基於方便的原因也使用訪客Wi-Fi，該名員工為開發人員，在其電腦上架設CMS管理服務，使用預設帳號密碼，加上未修補CVE漏洞，在使用同一個訪客Wi-Fi之下，讓檢測團隊成功入侵取得企業官網的原始碼。「過去滲透測試選擇系統進行測試，不太可能測試到這樣的情境，需要從不一樣的角度去檢測」。</p> <p><span style="color:#B22222;"><strong>從紅隊檢測實例看供應鏈安全風險</strong></span></p> <p>無論企業為邊界築起的城牆有多高多厚，還是要打開城門開放進出，例如以VPN供外部員工、供應商使用，但如果供應商是豬隊友，可能為企業帶來更大的資安風險。其中軟體開發供應鏈風險不容輕忽。</p> <p>法務部調查局資安工作站在2020年曾發出警告，10個政府單位、4家資訊服務商受到中國駭客組織所滲透，駭客攻擊政府單位手法，利用資訊服務商的VPN特許帳號進入，或取得程式碼利用高風險漏洞進行攻擊。</p> <p>而從開發流程看APT攻擊手法（下圖），從過去的案例可以發現，從開發、更新、維護都可能遭受攻擊的風險，例如對開發工具加料，或是對開放原始碼加料，加入挖礦程式，在更新網站或是下載網站掛馬，或是對開發人員釣魚發動內部攻擊等等。駭客對軟體供應鏈進行攻擊，以駭入鎖定的目標，例如2020年底發生的SolarWinds事件，就是駭入網路監控產品SolarWinds Orion平臺，在Orion植入後門程式，通過軟體更新，入侵使用Orion的企業及政府單位，此一攻擊避開美國的網路攻擊防禦系統Einstein偵測，美國國土安全部以緊急指令，要求使用單位關閉SolarWinds。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/dev-apt.jpg" style="width: 600px; height: 434px;" /></p> <p>林峰正也分享紅隊的檢測實例，從測試環境找到漏洞，以入侵正式環境。檢測人員先蒐集供應鏈情資，選擇從目標（受測對象）的網站開發商著手，發現該開發商將A、B、C客戶的系統測試站都設在同一個Web主機，便利用入侵系統B測試站，取得同一主機上的系統C原始碼進行分析，再利用找到的系統C零時差漏洞，入侵系統C的正式站。甚至，還有開發商將客戶的程式碼放在GitLab，由於沒有做好控管，致使程式碼曝露在外網。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/redteamcase.jpg" style="width: 600px; height: 475px;" /></p> <p>他建議企業做供應鏈的安全管理，應該分層、區分責任，可以參考Cloud Security的SRM（Shared Responsibility Model）模型，企業委外時應區分不同層級，以及委外的工作類型畫分責任。從近10個紅隊檢測的實例來看，不少的入侵管道和程式開發有關，因此開發的安全性相當重要。</p> <p>根據中華資安2022年資安檢測統計，針對約290家機關或公司，1,500個以上系統的高風險漏洞類型統計，前10大高風險漏洞統計，前3名為XSS跨站腳本攻擊、SQL Injection、權限跨越。林峰正認為，前幾大漏洞類型的變動不大，對人員進行開發訓練時，掌握這些漏洞，約可杜絕8成的漏洞風險。此外，企業可以導入安全程式開發流程（SSDLC），從需求評估、標準文件、教育訓練、作業整合落地端，確保業務可以執行，例如訂定安全程式碼的開發範例。</p> <p>如下圖所示，紅隊檢測可為企業界定防禦的邊界，協助評估潛在面臨的風險：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/redteam-2.jpg" style="width: 600px; height: 391px;" /></p> <p>然而，林峰正也直言，企業必需認識到紅隊演練有其侷限性，由於是針對系統的深度測試，因此並非做完紅隊測試，代表所有系統都是安全的。有些企業期望紅隊演練來磨練自家藍隊的實力，他認為對等的交手才能使藍隊進步，此外，紅隊演練終究是黑箱測試，可能僅能發現外部表面的問題，加上由外而內的強化，內部的問題不一定修補。還有，紅隊演練的效益會逐次下降，企業不能過分倚重紅隊檢測，應該重視資安投資的平衡性。</p> <p>當企業界定好防護的邊界，並縮小攻擊面，採用安全設備、建立安全架構防護措施後，林峰正認為，人員是最後一道防線，只有透過定期教育訓練、事件案例分享、社交工程、紅隊演練等方法持續提高人員的資安認知。如同一開始提到的乳酪理論，透過加強各種縱深防護避免事件發生，如漏洞管理、改善SOC監控規則、端點安全強化、流量監控、增加可視性等等。</p> <p> </p> </div></div></div>
2023/8/9 17:56作者蘇文彬https://www.ithome.com.tw/news/158188
Google搜尋新增AI文法檢查功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自2019年起在<a href="https://workspaceupdates.googleblog.com/2019/08/improved-as-you-type-spelling-and-grammar.html" target="_blank">Gmail</a>、<a href="https://workspace.google.com/blog/ai-and-machine-learning/using-neural-machine-translation-to-correct-grammatical-in-google-docs" target="_blank">Google Docs</a>就有的文法檢查功能，本周網路媒體<a href="https://9to5google.com/2023/08/06/google-search-grammar-check/" target="_blank">《9to5Google》</a>首先發現，Google搜尋也增加以AI檢查文法的功能，將挑戰Grammarly等雲端寫作輔助服務業者。目前本功能只支援英語。</p> <p><a href="https://support.google.com/websearch/answer/13420782" target="_blank">根據Google的網頁說明</a>，文法檢查是以AI系統為基礎，使用者可用來檢查撰寫的字詞或句子文法是否正確，以及請它協助修正不正確的地方。</p> <p>使用方法是用戶在搜尋列加入「grammar check」、「check grammar」、「grammar checker」等類似詞語，確保本功能確實執行，Google搜尋若主動偵測到用戶需要時，也會執行文法檢查。執行動作後，它會檢查文法正確性，若偵測到問題也會建議修正的字詞或句子。如果完全正確，搜尋結果頁第一行會顯示有綠色勾勾的「Grammar Check」結果，否則即顯示建議的句子，並在增修處畫底線。當滑鼠過去會顯示「Copy」鍵方便用戶套用。</p> <p>除了文法，它也能檢查拼字錯誤。檢查結果頁右下方有回饋鍵，供用戶選擇有幫助、不相關、建議不正確或有冒犯意味的建議。</p> <p>目前這功能僅支援英文。Google沒有說明其他語言版的上線時程。</p> <p><a href="https://www.engadget.com/google-search-now-has-an-ai-powered-grammar-checker-144539934.html" target="_blank">媒體指出</a>，雖然Gmail和Google Docs都已能檢查文法和拼字，不過既然Google搜尋已提供字典功能，再增加文法及拼字檢查功能似乎也很合理。</p> <p>Google提醒，AI系統的檢查結果可能不是100%準確，特別是用戶輸入不完整的句子時。而為防止這項功能遭濫用或引發傷害，用戶輸入某些違反Google搜尋政策的內容時，文法檢查功能不會提供服務。這些內容包括危險、仇恨、騷擾、性露骨、恐怖主義、暴力、血腥，或是醫療內容等。</p> </div></div></div>
2023/8/9 16:01作者林妍溱https://www.ithome.com.tw/news/158184
Stability AI推出自家程式碼生成模型StableCode
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以文生圖模型Stable Diffusion聞名的人工智慧公司Stability AI，現在要進軍程式碼開發市場，釋出該公司第一個用於程式開發的大型語言模型<a href="https://stability.ai/blog/stablecode-llm-generative-ai-coding">StableCode</a>，該模型除了可以協助開發者完成日常工作，同時也能幫助開發者學習程式開發。</p> <p>StableCode模型的訓練總共分為三個階段，最初Stability AI使用來自BigCode專案的stack-dataset v1.2資料集，對基礎模型進行多語言訓練，接著針對熱門程式語言，諸如Python、Go、Java、Javascript、C、markdown和C++進行特化訓練，總共使用了5,600億個Token訓練模型。基礎模型建立完成後，官方進一步針對特定用途調校指令模型，以解決複雜的程式開發任務，在基礎模型上訓練了約12萬個Alpaca格式的程式碼指令和回應資料對。</p> <p>StableCode模型的特色在於，能夠理解和處理長篇幅上下文，也就是模型在做決策時，能夠更廣泛地考慮前後相鄰的資料，也就是具有一次處理更多程式碼Token的能力，進而提供更精確有用的建議，官方提到，StableCode一次可以處理的程式碼Token數量，約是32,000到64,000間，用戶能夠一次處理的檔案量，約是5份一般大小的Python檔案。</p> <p>Stability AI將StableCode與其他類似大小的模型相比，在HumanEval基準pass@1，模型回傳的第一個答案正確性，StableCode勝過replit-coder，但是略輸BigCode的Starcoder，而比較pass@10，也就是模型所生成的前10個答案中，是否包含正確答案的指標，StableCode則是勝過Starcoder和replit-coder。</p> </div></div></div>
2023/8/9 16:26作者李建興https://www.ithome.com.tw/news/158183
微軟8月Patch Tuesday修補2個零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟周二（8/8）修補了超過70個安全漏洞，包含兩個已遭到駭客利用的零時差漏洞CVE-2023-36884及CVE-2023-38180。</p> <p>其中的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36884" target="_blank">CVE-2023-36884</a>是個Windows Search遠端程式執行漏洞，在透過電子郵件或即時訊息的攻擊場景中，駭客只要傳遞一個特製的檔案予目標對象就能利用該漏洞，條件是受害者必須開啟該檔案。</p> <p>至於<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-38180" target="_blank">CVE-2023-38180</a>則為.NET與Visual Studio的服務阻斷漏洞，微軟僅說該漏洞已遭到駭客利用，並未說明漏洞細節。</p> <p>上述兩個漏洞皆僅被列為重要（Important）漏洞，微軟本月修補了6個被列為重大（Critical）的遠端程式攻擊漏洞，當中就有3個涉及微軟訊息佇列（Microsoft Message Queuing），包括<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-35385" target="_blank">CVE-2023-35385</a>、<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36910" target="_blank">CVE-2023-36910</a>與<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36911" target="_blank">CVE-2023-36911</a>，還有兩個是Microsoft Teams的遠端程式攻擊漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-29328" target="_blank">CVE-2023-29328</a>與<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-29330" target="_blank">CVE-2023-29330</a>，另一個則是Microsoft Outlook的遠端程式攻擊漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36895" target="_blank">CVE-2023-36895</a>。</p> <p>上述3個與微軟訊息佇列有關的CVSS風險評分皆高達9.8，微軟並未公布漏洞細節，僅說成功攻擊CVE-2023-35385與CVE-2023-36911，將允許未經身分認證的駭客自遠端於目標伺服器上執行程式，而要攻擊CVE-2023-36910則必須先傳送一個惡意的MSMQ封包至MSMQ伺服器上，同樣可自遠端執行程式。此外，微軟8月總計修補了11個位於訊息佇列的安全漏洞。</p> <p>至於兩個Microsoft Teams漏洞CVE-2023-29328及CVE-2023-29330則可在駭客邀請受害者加入Teams會議之後被利用，成功的攻擊允許駭客存取或變更受害者資訊，也可能造成對方的系統當機。</p> <p>至於趨勢科技Zero Day Initiative（ZDI）團隊則特別點名了Microsoft Exchange Server的<a href="https://www.zerodayinitiative.com/blog/2023/8/8/the-august-2023-security-update-review" target="_blank">CVE-2023-38181</a>漏洞，主要是因為它解決了CVE-2023-32031修補被繞過的漏洞，而CVE-2023-32031是為了解決CVE-2023-21529修補被繞過的漏洞，CVE-2023-21529又是為了解決CVE-2022-41082修補被繞過的漏洞，而CVE-2022-41082則是已遭到駭客濫用。</p> </div></div></div>
2023/8/9 15:34作者陳曉莉https://www.ithome.com.tw/news/158182
AWS第7代執行個體添x86新成員，導入英特爾最新伺服器CPU
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/aws_m7i_instance_x48-main.png" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在去年5月，公有雲業者AWS正式揭開Amazon EC2第7代執行個體服務系列的序幕，他們基於自行研發的第三代Arm架構處理器Graviton3，推出C7g運算服務。到了11月底的年度用戶大會，他們預告將推出C7gn、Hpc7g、R7iz等三款執行個體服務，前兩者預計採用進階的第三代Arm架構處理器Graviton3E，R7iz則搭配英特爾即將推出的第四代Xeon Scalable處理器（代號Sapphire Rapids）。</p> <p>今年上半，AWS先於2月推出基於Graviton3處理器而成的M7g與R7g，6月底陸續推出C7gn與Hpc7g，以及搭配Graviton3處理器與NVMe固態硬碟的C7gd、 M7gd、R7gd。至於採用x86架構新一代處理器的第7代執行個體服務，也在年中之後開始浮出檯面，例如6月中，AWS預告將推出執行個體服務M7a，採用AMD第四代EPYC處理器（代號為Genoa），開放用戶進行預覽測試；8月初，他們突然宣布推出執行個體服務M7i與M7i-Flex，採用英特爾第四代Xeon Scalable處理器，而先前預告的R7iz目前仍在預覽階段。</p> <p>值得注意的是，M7i與M7i-Flex採用的處理器，是依據AWS需求所製成（custom）的第四代Xeon Scalable，號稱可提供最佳效能，並已取得15%的領先幅度，超越其他採用相同運算平臺的雲端業者（此處所指廠商可能為GCP，因為他們今年3月率先推出採用第四代Xeon Scalable的執行個體服務C3）。</p> <p>雖然兩款運算服務的處理器是客製型產品，但目前公開在網路上的資訊，仍可得知更多資訊。例如，根據AWS網站公告規格資訊可得知處理器時脈為3.2 GHz，我們看到有些用戶<a href="https://openbenchmarking.org/result/2308034-NE-M7I4XLARG25">在網路揭露測試數據</a>，以及<a href="https://www.theregister.com/2023/08/03/aws_custom_xeon_m7i_instances/">部分科技媒體收到相關通報情況</a>，提到處理器型號應是Xeon Platinum 8488C。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20EC2%20CPU%20lists.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20M7I%20cpu.jpg" style="width: 600px;" /></p> <p>在硬碟儲存配置上，M7i系列的每個執行個體服務，最多可掛載的EBS區塊儲存服務volume是128個，M6i系列只能掛載28個。</p> <h3><strong><span style="color:#0000FF;">M7i系列提供9+2種組態選擇，最大可設置192顆處理器與768 GiB，支援怪獸級虛擬機器應用</span></strong></h3> <p>從個別產品的角度來看這兩款服務，有何特色？AWS表示，M7i系列有9種規模的組態選擇，相較於前一代的同位階英特爾執行個體服務（M6i系列），性價比提升了15％，並預告後續將推出兩種裸機型態的運算服務供應型態，能完整提供這一代英特爾伺服器CPU獨有的內建加速器應用——M7i系列與M7i-Flex系列均能使用AMX（Advanced Matrix Extensions）延伸指令集，可大幅改善深度學習與推論處理效能，但如果要使用可卸載加解密與壓縮處理的QAT（QuickAssist Technology）、加速處理記憶體內資料庫與分析工作負載的IAA（In-Memory Analytics Accelerator），以及可將一般資料搬移工作從不同存取環節卸載的DSA（Data Streaming Accelerator），則需要特別使用m7i.metal-24xl、m7i.metal-48xl這兩個裸機執行個體服務。</p> <p>令人好奇的是，除了上述技術，英特爾第四代Xeon Scalable處理器內建的加速器，還有動態負載平衡技術（Dynamic Load Balancer，DLB），且並非每款處理器款式都內建，而AWS與英特爾對於M7i系列與M7i-Flex系列所用的處理器是否支援DLB，並沒有提到，尚待釐清。</p> <p>就產品定位而言，M7i系列適用的工作負載類型相當廣泛，包含大型應用程式伺服器、資料庫系統、遊戲伺服器、使用CPU進行運算的機器學習應用，以及視訊串流服務，能因應處理器的高負載持續使用，或是提供最大規模的執行個體服務——新推出的m7i.48xlarge與即將上線的m7i.metal-48xl，可提供192顆虛擬處理器與768 GiB記憶體。對照既有的M6i系列，也可看出兩代差距，用戶最大只能選用128顆虛擬處理器與512 GiB記憶體（m6i.32xlarge、m6i.metal、m6id.32xlarge、m6id.metal）。若對照在企業內部環境普遍使用的伺服器虛擬化平臺VMware vSphere的單一虛擬機器規格，AWS的M7i系列雖然比不過近期版本，但部分已超出更早之前版本，足以支撐需要大量處理器與記憶體資源的應用。例如，vSphere 5.0最大可設置32顆虛擬處理器、1 TB記憶體；6.0版最大可設置128顆虛擬處理器、4 TB記憶體；7.0版與8.0版最大可設置768顆虛擬處理器、24 TB記憶體。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS M7i Spec.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20M7i%20Spec.png" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>M7i-Flex系列提供5種組態選擇，費用比M7i系列便宜5％，適合平時用量低、規模小的虛擬機器使用</strong></span></h3> <p>至於另一款M7i-Flex系列，AWS提供5種最常用的規模組態選擇，可說是M7i系列的低價版本，費用便宜5％，性價比提升幅度為5％，比起現行的M6i系列，M7i-Flex系列性價比的增長更顯著，幅度可達19％。</p> <p>為何M7i-Flex的價格較低廉？因為這系列的服務較適合不需持續耗用全部CPU運算資源的應用，可針對一般用途的工作負載執行，像是網站應用程式伺服器、虛擬桌面、批次處理、微服務、資料庫，以及企業應用系統。AWS認為，如果用戶目前所用的雲端運算服務，屬於他們在較早期的世代所推出的一般用途執行個體服務，可考慮改用M7i-Flex系列，而不需要修改應用程式或調整工作負載。</p> <p>上述AWS對此運算服務的產品應用定位考量，也反映在其規格的配置。</p> <p>例如，從AWS網站介紹M7i與M7i-Flex的專頁當中，M7i-Flex系列的規格表額外標示「每顆虛擬處理器的基礎效能」的欄位，數值均為40％，意思是預設僅提供40％的效能，而在AWS介紹這批執行個體服務的部落格文章，也提到M7i-Flex系列的CPU效能可縱向擴展執行規模，最高可增至95％。</p> <p>而在伺服器系統資源的組態安排上，M7i-Flex系列最大可提供32顆虛擬處理器，以及128 GiB記憶體（m7i-flex.8xlarge），相當於M7i系列執行個體服務最大組態的6分之1。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20M7i-Flex%20Spec.png" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>AWS Amazon EC2 M7i系列<br /> ●原廠：AWS<br /> ●建議售價：隨需定價模式，美國西部（奧勒岡）區域，m7i.large每小時0.1008美元（2顆虛擬處理器、8 GiB記憶體），m7i-flex.large為0.09576美元（2顆虛擬處理器、8 GiB記憶體）<br /> ●採用處理器：英特爾第四代Xeon Scalable系列 <br /> ●提供服務規模選擇與最大組態：<br /> m7i.48xlarge，192顆虛擬處理器、768 GiB記憶體、網路頻寬為50 Gbps，硬碟儲存搭配AWS雲端區塊儲存服務EBS，存取頻寬為40 Gbps<br /> m7i-flex.8xlarge，32顆虛擬處理器（基礎效能為40％）、128 GiB記憶體、網路頻寬為12.5 Gbps，硬碟儲存搭配AWS雲端區塊儲存服務EBS，存取頻寬為10 Gbps</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> <p> </p> <p> </p> <p> </p> </div></div></div>
2023/8/9 15:09作者李宗翰https://www.ithome.com.tw/review/158118
Android 14新增行動網路安全功能，可讓管理員關閉手機2G網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2023/08/android-14-introduces-first-of-its-kind.html" target="_blank">Google周二（8/8）宣布</a>，最新手機旗艦作業系統Android 14加入行動網路相關的安全功能，包括可允許限制手機降級使用2G及空密碼（Null Cipher）網路連線的功能。Google聲稱Android是首個加入進階行動網路安全防護技術的手機作業系統。</p> <p>Google說明，下一代Android希望解決舊式行動網路，像是2G網路由來以久的安全問題。以GSM（Global System for Mobile Communication）標準為基礎的2G網路缺乏收、發話端相互驗證，可能引發中間人攻擊。2010年起，安全研究人員也展示過，2G網路流量可輕易攔截及破解。</p> <p>由於全球手機提升到4G及5G，一些惡意攻擊手法，像是假基地臺（false base station，FBS）、IMSI截收器（IMSI Catcher）或稱Stingray，就是利用2G網路簡陋的安全性，加上智慧型手機網路連線可以被悄悄降級到2G網路這點，對不安全的手機網路造成威脅。</p> <p>為此，<a href="https://www.ithome.com.tw/news/148888" target="_blank">Android 12已新增</a>可從「設定」頁關閉2G行動網路的功能。Pixel 6是第一個採用該功能的裝置，現在所有採用Radio HAL 1.6以上介面的Android裝置也都支援這功能。在Android手機中關閉2G網路，可確保用戶在意外發生時還是可以撥打緊急求救電話。</p> <p>而在Android 14中，Google將再進一步，限制Android Enterprise裝置降級到2G網路。Android Enterprise裝置主要是政府發派的公務手機，或企業IT人員管理的公司手機。Google表示，Android 14的2G控管功能，IT管理員可強制列管手機啟用這道防護，關閉2G無線訊號，防止企業及公務人員手機遭到2G流量攔截或中間人攻擊。</p> <p>此外，Android 14還加入一項允許所有用戶關閉空密碼（null cipher）連線的功能選項，只要手機使用最新無線硬體抽象層（HAL）Radio HAL 1.6以上。傳統語音和簡訊的加密，是由電信業者在其手機網路上進行，用戶無從得知，也無法控制。然而一些市售假基地臺裝置可以欺騙手機相信行動網路不支援加密，因而降級到空密碼連線以明碼傳送訊息，進而被攔截。</p> <p>Android 14的空密碼（null cipher）連線控制功能可確保通訊隱私。Google相信未來幾年內隨著Android手機廠商實作到其新手機後，這安全技術會更普及。一如前面的2G安全控制，關閉這連線的手機也仍能利用未加密手機連線撥打緊急電話。</p> </div></div></div>
2023/8/9 13:33作者林妍溱https://www.ithome.com.tw/news/158180
英國選舉委員會遭駭客入侵，選民資料全曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.electoralcommission.org.uk/privacy-policy/public-notification-cyber-attack-electoral-commission-systems" target="_blank">英國的選舉委員會（Electoral Commission）在周二（8/8）坦承</a>，該委員會自2021年8月以來就遭到駭客入侵，而一直到去年10月才發現，在這期間，駭客已存取了其存有電子郵件、控制系統與選民登記名冊的伺服器。</p> <p>選舉委員會並未透露外洩名冊含有多少筆資料，僅說被存取的名冊涉及2014年至2022年之間所登記的當地及海外選民，且只含有他們的姓名、地址，以及到達投票年齡的日期。</p> <p>至於該伺服器上的電子郵件系統則存放了與該選舉委員會往來的通訊郵件，可能外洩的個資包括電子郵件帳號、姓名、地址、聯絡電話，以及在郵件內容中提及的個人資訊。</p> <p>另外還有一些名冊的副本，是該委員會為了研究目的，或是檢查政治捐獻的許可性而存放在遭到駭客存取的伺服器上。</p> <p>儘管這代表著這9年來英國選民的資料幾乎全都曝光了，但該委員會認為只有姓名與地址應該不致於對使用者帶來高風險，除非駭客還結合了許多於公眾領域可蒐集的資料，相關攻擊既不會影響選舉程序，也不會危害任何人參與民主程序的權利與機會，亦未波及任何人的選舉登記狀態。</p> <p>在此次的意外之後，英國選舉委員會採取了多項措施來強化系統安全，包括加強網路登入要求，改善了主動威脅的監控及警告系統，以及更新防火牆政策等。</p> </div></div></div>
2023/8/9 13:53作者陳曉莉https://www.ithome.com.tw/news/158181
美議員質疑Google醫療AI模型訓練資料來源、病患保護措施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.warner.senate.gov/public/index.cfm/pressreleases?id=D22487BB-AE27-4384-B1FE-8EA78901B0FD" target="_blank">美參議院本周去信Google執行長Sundar Pichai</a>，針對Google醫療專用的AI模型Med-PaLM 2表達疑慮，並要求Google更清楚說明參與測試的醫院、Google如何訓練模型，以及如何保護病患自主及隱私權益。</p> <p>Med-PaLM 2是Google最新大型語言模型PaLM2用於醫療業的特化版本，今年Google I/O上也發表了相關報告。Google 4月已開始和一群客戶測試Med-PaLM 2，包括知名的Mayo Clinic，測試項目包括最新的聊天機器人，用以回答醫療問題、為文件重點摘要及整理健康資料。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0809-Google%20IO%202023-Med-PaLM%202(1).png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></p> <p><a href="https://tinyurl.com/23b4vzcr" target="_blank">美國參議院情報委員會主席Mark Warner在致Pichai的信件中說</a>，雖然AI科技號稱有極大幫助，但Google資深研究人員也對自家科技的成熟度態度保留。此外，Google對Med-PaLM 2是在哪裏測試、用以訓練的資料來源、病患知道多少、能不能拒絕AI，以及Google採取哪些措施防範AI偏差，這些外界大部分無所得知。</p> <p>雖然AI對改善病患照護及健康有很大潛力，但Warner擔心未經驗證的科技過早部署可能導致削減醫療機構與專家的信任、加深現有存在醫療治療效果的種族不平等，以及診斷和照護疏失風險增加。</p> <p>他並直指AI公司將搶占市場的考量置於病患福祉之前，也擔憂Google在未告知且獲得病患同意下，以其敏感資訊來訓練Med-PaLM 2。這早有前例：<a href="https://www.ithome.com.tw/news/134146" target="_blank">2019年《華爾街日報》報導</a>，Google和醫療體系Acension合作時，未經病患同意存取了上千萬病患姓名、診斷資料。</p> <p>Warner提出多個問題要Google回應。包括Med-PaLM 2如何避免大型語言模型的已知問題，像是「諂媚者」（sycophany，即模型會提供使用者偏好的答案）現象，後者可能導致醫療誤診。他並質疑，Google從未對外公開過Med-PaLM 2文件，包括訓練資料是否包含機密的健康資訊、也從未說明Google對Med-PaLM 2多久重新或部分再訓練一次。他希望Google提供參與Med-PaLM 2的醫院清單，以及Google是否提供Med-PaLM 2系統文件或測試資料給參與測試的醫院，包括Mayo Clinic。</p> <p>在病患權益問題上，Warner要求Google說明如何防範Med-PaLM 2濫用、誤用、或是模型部署中，如何防範病患資料外洩。另外，在醫院測試時，病患是否知情及知道多少，以及病患是否有opt-in或opt-out的權利，以確保不加入測試。</p> <p><a href="https://thehill.com/policy/healthcare/4143447-senator-warns-google-over-ai-use-in-hospitals/" target="_blank">Google官方初步回應</a>，Med-PaLM 2已提供給特定醫療機構進行少部分測試以探索使用場景及提供回饋意見，這些客戶擁有資料控管權。Google並指出Med-PaLM 2是PalM 2針對醫療應用微調出的版本，而Warner混淆了Med-PaLM 2和聊天機器人。但Google未說明，Pichai是否會正式回應議員的問題。</p> <p>Warner的動作反映美國行政當局規範AI的意圖，AI業者預計多半會從善如流。<a href="https://www.ithome.com.tw/news/157911" target="_blank">上個月包括OpenAI、微軟、Google等7大AI業者向白宮承諾</a>將協助AI的安全、可靠發展，包括安全為優先的產品開發、建置計畫、打造標記AI內容的技術，以及確保防範AI侵犯隱私、深化偏見及歧視等。</p> </div></div></div>
2023/8/9 12:00作者林妍溱https://www.ithome.com.tw/news/158177
英特爾修補波及Skylake、Tiger Lake與Ice Lake晶片及數十億裝置的安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00828.html" target="_blank">英特爾（Intel）周二（8/8）修補</a>了一個<a href="https://www.intel.com/content/www/us/en/developer/topic-technology/software-security-guidance/processors-affected-consolidated-product-cpu-model.html" target="_blank">波及Skylake、Tiger Lake、Ice Lake等眾多晶片系列的重大安全漏洞CVE-2022-40982</a>，這是一個資訊揭露漏洞，將允許駭客取得電腦上其它使用者的密碼、金鑰或個人資料，令全球數十億的雲端與個人電腦存在安全風險，使得發現該漏洞的Google安全研究人員Daniel Moghimi直接將它稱為「覆沒」（Downfall）漏洞。</p> <p><a href="https://downfall.page/" target="_blank">Moghimi解釋</a>，由於英特爾處理器中的記憶體最佳化功能無意中向軟體揭露了內部的硬體暫存器，而使得不可靠的軟體得以存取其它程式所儲存的資料，其用來加速存取記憶體零散資料的Gather指令，可在推測執行期間洩露暫存器檔案的內部向量內容。</p> <p>因此，駭客可誘導使用者下載一個惡意程式，以用來存取電腦上其它應用程式的機密資料，包括密碼、加密金鑰，或是銀行資訊、電子郵件或訊息等個人私有資料。若是攻擊雲端電腦，那麼駭客也有機會取得其它使用該電腦的客戶憑證。</p> <p>Moghimi已經打造出概念性驗證攻擊程式，並示範如何利用該漏洞竊取電腦上其它使用者的加密金鑰，或是竊取Linux Kernel中的任何資料。</p> <p>從第六代Skylake到第十一代Tiger Lake的Intel Core處理器都受到波及，再加上英特爾在全球伺服器市場的占有率超過70%，使得Moghimi估計絕大多數的電腦使用者應該都受到該漏洞的影響，而且該漏洞非常地實用，他只花了2周的時間就成功自OpenSSL竊取加密金鑰；相關攻擊的唯一條件是駭客與受害者共享同樣的處理器核心，而這是現代運算很常見的狀態。</p> <p>此一漏洞自2014年起便存在於英特爾處理器中，且攻擊程式可以偽裝成無害的應用程式，因此並不容易偵測，目前的防毒軟體亦無法偵測相關攻擊，理論上可以開發一個利用硬體效能計數器來偵測異常行為，此外，雖然Moghimi是利用所開發的新程式來進行攻擊，但他認為駭客也有可能利用系統上既有的瀏覽器來攻擊此一漏洞。</p> <p>Moghimi是在去年8月發現並向英特爾提報此一漏洞，英特爾則花了近一年的時間來更新所有受影響處理器的韌體，該漏洞的CVSS風險評分為6.5。</p> </div></div></div>
2023/8/9 12:50作者陳曉莉https://www.ithome.com.tw/news/158179
採用L3快取破1GB的AMD第四代EPYC，微軟新一代HPC運算服務正式上線
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/azure_hbv4-main.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從去年底到今年中，兩大伺服器處理器廠商陸續發表多款第四代產品，以AMD為例，2022年11月發表第四代EPYC 9004系列（代號Genoa），預告2023年上半將推出代號為Bergamo、Genoa-X的處理器，對應雲端原生與科技運算等兩大市場，下半則是代號為Siena的處理器，對應智慧型邊緣運算與電信領域的需求，到了今年6月中舉行的Data Center and AI Technology Premiere大會，他們宣布推出最多可提供128顆Zen 4c核心的EPYC 97X4系列，以及L3快取容量最大超過1 GB（3D-V Cache）、最多可提供96顆Zen 4核心的EPYC 9000X系列，並在美國西部區域的資料中心開放用戶預覽。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-13-AMD%20Azure%20HBv4_HX.jpg" style="width: 600px;" /></p> <p>而在率先採用這批新進處理器的廠商案例，微軟Azure在去年底AMD第四代EPYC發表會，預告新一代高效能運算（HPC）執行個體服務HBv4系列、HX系列將導入Genoa-X，等到今年6月AMD正式發表EPYC 9000X系列處理器之際，微軟宣布這兩個系列服務正式上線，公開更多細部規格，初期先開放美國東部區域使用（目前美國東部區域可用HBv4系列，美國東部2區域可用HX系列），之後將開放韓國中部（目前已開放HBv4系列）、美國中南部（目前已開放HBv4系列）、瑞士中部、東南亞等區域。若參照Azure網站公開的售價資訊，我們看到在美國東部、美國東部2、美國中南部、美國西部3、瑞士中部、西歐、韓國中部等區域，均可查到HBv4系列與HX系列的價格（美國中南部未列HX系列價格）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure HBv4_HX Offering zone.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20HBv4_HX%20Offering%20zone.jpg" style="width: 600px;" /></a></p> <p>根據去年11月微軟在Azure部落格揭露的資訊來看，這兩個即將推出的高效能運算服務，依據處理器核心數量的多寡，均區分為5個組態，提供24顆、48顆、96顆、144顆、176顆實體處理器核心，搭配DDR5記憶體、頻寬為800GB/s（HBv4系列均配置688 GB記憶體，HX系列系列均配置1,408GB記憶體），網路環境為400Gb InfiniBand（採用Nvidia Quantum-2交換器與ConnectX-7網路介面卡），以及80GbE（Azure加速網路）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure HBv4_HX zie.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20HBv4_HX%20zie.jpg" style="width: 600px;" /></a></p> <p>今年6月HBv4系列與HX系列正式登場之後，微軟揭露這些執行個體服務採用2顆AMD EPYC 9V33X處理器，每顆CPU內建96顆Zen4實體核心（停用SMT同時多執行緒功能），以及1,152 MB容量的L3快取，而在運作頻率上，9V33X的基礎時脈為2.4 GHz，尖峰時脈為3.7 GHz。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-06-Azure HBv4 SPEC-RachelPruitt_0-1686677735179.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-Azure%20HBv4%20SPEC-RachelPruitt_0-1686677735179.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-06-Azure HX SPEC-RachelPruitt_1-1686677784000.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-Azure%20HX%20SPEC-RachelPruitt_1-1686677784000.jpg" style="width: 298px;" /></a></p> <p>相較之下，AMD在6月中發表的3款Genoa-X處理器，規格與Azure這兩款服務所用的CPU大同小異。以處理器內建核心最多的9684X為例，實體核心一樣是96顆、L3快取為1,152 MB，時脈最高為3.7 GHz，但基礎時脈為2.55 GHz，也能啟用SMT而提供192個執行緒。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-06-AMD EPYC Genoa-X spec2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-AMD%20EPYC%20Genoa-X%20spec2.jpg" style="width: 600px;" /></a></p> <p>而在效能呈現上，微軟去年底公布的測試結果，以使用4年之久的高效能運算伺服器作為基準，觀察在9種軟體應用之下，HBv3系列（採用120核心的AMD EPYC 7V73X）、HBv4系列與HX系列（採用176核心的AMD EPYC “Genoa”）的提升幅度，前者可達到1.6倍至3.3倍，而HBv4系列與HX系列則是增長至4至5倍，甚至來到8.5倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure HBv4_HX-2022-11-969991b7-d595-46fe-a03c-92cba2a36248.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20HBv4_HX-2022-11-969991b7-d595-46fe-a03c-92cba2a36248.jpg" style="width: 600px;" /></a></p> <p>趁著AMD今年6月發表新款處理器，微軟針對正式上線的兩款HPC運算服務也公布新的效能測試結果，他們這次以HBv3系列比較基準進行8種應用的測試，而採用AMD EPYC 9V33X處理器的HBv4系列與HX系列，效能增長幅度達到1.6倍到5.7倍，</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure HBv4_HX-2023-06-Picture1-4-2048x1475.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20HBv4_HX-2023-06-Picture1-4-2048x1475.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，微軟這次針對記憶體容量配置比HBv4系列多一倍的HX系列，進行效能測試比較，在執行MSC Nastran車輛結構分析模擬中，HX系列的效能可達到HBv3系列的3倍，若以4年前推出、至今仍廣泛使用的HC系列為基準，新上市的HX系列可提供9.2倍的效能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20HX-2023-06-RachelPruitt_2-1686678980596.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>微軟Azure HBv4系列<br /> ●原廠：微軟<br /> ●建議售價：美國西部3，隨用隨付方案每月為5,256美元<br /> ●執行個體服務選擇：Standard_HB176-24rs_v4、Standard_HB176-48rs_v4、Standard_HB176-96rs_v4、Standard_HB176-144rs_v4、Standard_HB176rs_v4 <br /> ●搭配的處理器平臺：2顆AMD EPYC 9V33X，96核心，基礎時脈為2.4 GHz、尖峰時脈為3.7 GHz<br /> ●記憶體容量：656 GiB<br /> ●本機硬碟容量：2臺1.8 TB NVMe SSD<br /> ●網路：400 Gb InfiniBand（ConnectX-7）、40 GbE（Azure第二代SmartNIC）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/8/9 10:49作者李宗翰https://www.ithome.com.tw/review/158134
Zoom修正不經同意使用客戶影音、文字資料訓練AI的用戶政策
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在遭到媒體揭露將在不取得用戶同意情況下，運用用戶資料來訓練其AI模型後，<a href="https://blog.zoom.us/zooms-term-service-ai/" target="_blank">Zoom昨（7）日修正</a>，表示不會在未經用戶同意下動用用戶的影音、文字資料。</p> <p><a href="https://stackdiary.com/zoom-terms-now-allow-training-ai-on-user-content-with-no-opt-out/" target="_blank">周一《StackDiary》報導</a>，今年初Zoom在其用戶條款中，更新了2個章節，分別是關於使用Zoom服務自動產生的資料，以及用戶授權Zoom使用。前者說明，用戶同意Zoom有權存取、使用、蒐集、產生、修改、傳布、分享、處理、儲存和維護用戶使用該服務所產生的資料。這些資料包括遙測（telemetry）、產品使用、診斷等資料。</p> <p>後者內容則大意是指用戶提供Zoom免權利金、永久、全球、非獨家及可轉移的授權，以使用「用戶內容」（如影片、語音、文字對話）以作為產品研發、行銷、測試及支援服務等用途。Zoom更新條款增加了機器學習、人工智慧。這項用途也同樣擴及前述服務自動產生的資料及集體匿名資料。</p> <p>報導質疑新增的條文讓Zoom未來可在沒有明確告知用戶情況下，使用用戶內容及資料來訓練其AI模型。</p> <p><a href="https://blog.zoom.us/zooms-term-service-ai/" target="_blank">Zoom周一旋即澄清</a>，該公司變更條款是為了更清楚說明用戶資料的用途。Zoom表示，公司希望取得用戶授權，用這些影片、聲音和聊天內容開發加值服務，但用戶還是擁有內容的所有權。至於平台蒐集Zoom服務產生的遙測或診斷資料，則是為了改進用戶體驗。</p> <p>Zoom說明，為訓練機器學習而取得用戶授權，則是為了提供加值服務或改善服務。例如Zoom想自動掃瞄Webinar邀請／提醒，以確保他們這些通知並沒有被用於垃圾郵件或詐騙用戶。Zoom強調，在用戶內容方面，Zoom不會在未取得用戶同意前使用影像、聲音和聊天內容來訓練其AI模型。<a href="https://gizmodo.com/zoom-ai-privacy-policy-train-on-your-data-1850712655" target="_blank">不過也有媒體指出</a>，這段話並未包含服務自動產生的遙測及診斷資料。</p> <p>Zoom也積極在服務中加入以生成式AI強化功能。例如，Zoom近日推出IQ會議摘要及IQ Team Chat撰寫輔助2項功能供免費試用，可加速產出會議記錄及對話文字。但Zoom強調，帳號持有者及管理員都可以自行決定是否啟用。</p> </div></div></div>
2023/8/9 09:31作者林妍溱https://www.ithome.com.tw/news/158175
資料科學家愛用程式語言Julia首進Tiobe Index前20名
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>程式語言受歡迎排行榜<a href="https://www.tiobe.com/tiobe-index/">TIOBE Index發布最新8月排名</a>，排名出乎預期，資料科學家愛用程式語言Julia，初次擠身TIOBE Index前20名之列。</p> <p>Julia是一種高階程式語言，專門為科學和工程計算設計，由一群擁有科學運算專業的研究人員在2009年開始開發，並且於2012年的時候首次公開。Julia的特點在於高效能，其語言的設計目標是希望Julia能像是C或是Fortran一樣的高執行速度，因此使用JIT編譯來實現高效能，但又能保有動態語言的靈活性。</p> <p>Julia可以直接呼叫C和Fortran函式，同時也提供一套原生的並行運算工具，因此很適合在多核心或是分散式系統上執行。而Julia與資料科學家常用的工具Jupyter Notebook，或是其他互動式開發環境整合良好，方便資料分析與視覺化。</p> <p>但以資料科學和數學運算領域來說，在TIOBE Index前20名已經有許多前輩，像是Python、R和MATLAB，究竟Julia的優勢為何？TIOBE執行長Paul Jansen解釋，普遍來說，Julia運算速度比Python快，也比R更適合編寫大型系統，而且因為Matlab是商業軟體，因此企業使用Julia的開發成本會比Matlab低上不少。</p> <p>Julia的速度、可擴充性和開源特性，讓Julia逐漸受到資料科學家的關注，但是Julia是否能夠繼續維持排名，則還需要觀察。</p> <p><a href="http://www.ithome.com.tw/article/147584" target="_blank"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 相關報導 </span></span> <span style="color:#3399ff;">Julia資料科學新女神降臨</span> </strong></a><a href="http://www.ithome.com.tw/article/147584" target="_blank"><strong style="color: rgb(255, 255, 255);"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/juliazhu_tu_.png?itok=kCiJrvR6" style="width: 550px;" /></strong></a></p> </div></div></div>
2023/8/9 09:45作者李建興https://www.ithome.com.tw/news/158174
【資安日報】8月8日，殭屍網路病毒SkidMap出現變種，鎖定Redis伺服器而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>記憶體資料庫Redis近期經常傳出遭攻擊的事故，例如，上個月出現的惡意程式P2PInfect，就是針對這類資料庫而來。名為SkidMap的殭屍網路病毒同樣鎖定Redis，如今出現新的變種，但值得留意的是，駭客的主要目標是未設置密碼的Redis伺服器，而在不需暴力破解的情況下就能對其發動攻擊。</p> <p>駭客宣稱提供專屬網路犯罪圈的生成式AI語言模型，也相當值得留意。有有研究人員在地下論壇與兜售FraudGPT的賣家洽談，根據他們的對話觀察，駭客可能也開始用另一個生成式AI服務Google Bard為基礎，打造新的網路犯罪工具。</p> <p>另一種AI被用於網路攻擊的情況，是拿來分析使用者鍵盤輸入的帳密資料以便進行竊密。3名英國研究人員打造可識別逾9成使用者輸入內容的機器學習模型，他們發現甚至在視訊會議的過程也有機會運用此技術，而能側錄、解析這種類型的資訊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/honeypot-recon-new-variant-of-skidmap-targeting-redis/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Redis伺服器遭到殭屍網路SkidMap鎖定，用於挖礦牟利</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/SkidMap002.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SkidMap002.png" style="width: 300px; float: right;" /></a>有鑑於鎖定記憶體資料庫Redis的攻擊行動不斷出現，有更多研究人員進行相關調查，結果發現有新的殭屍網路病毒轉換攻擊目標，針對此類資料庫而來。資安業者Trustwave揭露殭屍網路SkidMap的變種病毒攻擊行動，他們在部署於歐洲中部的蜜罐陷阱（Honypot），看到駭客散布此惡意程式，主要目標是架設於Debian、Ubuntu、Red Hat Enterprise Linux、CentOS等Linux作業系統，且不需進行身分驗證就能存取的Redis伺服器。</p> <p>駭客先是透過GIF圖檔傳遞惡意程式的ELF可執行檔，一旦對方不慎開啟此檔，該殭屍網路病毒會停用SELinux防護機制，並設置反向Shell，每隔60分鐘會嘗試連接攻擊者的伺服器，成功連線後便根據Linux版本下載對應的攻擊工具，進而於受害主機部署挖礦機器人，以及名為mcpuinfo.ko、kmeminfo.ko的rootkit，以便埋藏挖礦行為，並竄改網路封包，而使得發現相關攻擊變得相當困難。</p> <p><a href="https://slashnext.com/blog/ai-based-cybercrime-tools-wormgpt-and-fraudgpt-could-be-the-tip-of-the-iceberg/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客打造AI網路犯罪工具DarkBART、DarkBERT</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/SlashNext-Research-and-FraudGPT-on-Telegram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SlashNext-Research-and-FraudGPT-on-Telegram.png" style="width: 300px; float: right;" /></a>繼WormGPT、FraudGPT等專門用於網路犯罪的生成式人工智慧聊天機器人出現，最近又有新的作案工具。資安業者SlashNext假扮買家，針對兜售FraudGPT的賣家CanadianKingpin12進行調查，結果駭客透露正在研發兩款新型的AI機器人DarkBART、DarkBERT，其特色是可存取網際網路，並且能與Google Lens進行整合，得以傳送帶有圖片的資料。</p> <p>駭客聲稱DarkBART是Google Bard的「黑暗」版本，先是表明他參與相關開發流程，但後來承認僅具備存取權限，研究人員判斷該賣家可能已將其用於攻擊行動；至於另一款AI工具DarkBERT，研究人員根據賣家提供的影片，認為駭客濫用了資料情資業者S2W事先訓練的同名語言模型，此為針對調查暗網情資打造，但這名駭客疑似取得存取權限，並聲稱是自己打造而成。</p> <p><a href="https://arxiv.org/pdf/2308.01074.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員利用AI模型收集鍵盤輸入的敲擊聲，號稱能成功辨識95%輸入的內容</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/keystrokes-recording.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/keystrokes-recording.jpg" style="width: 300px; float: right;" /></a>英國研究人員Joshua Harrison、Ehsan Toreini、Maryam Mehrnezhad表示，他們收集敲擊鍵盤上字母、數字鍵的按鍵聲音，訓練影像分類模型CoAtNet，然後用來識別使用者輸入的文字，結果發現相當準確。若是在筆電旁邊錄下的聲音，文字辨識率達到95%，假如藉由即時通訊軟體Zoom與Skype，是在遠端視訊或音訊會議期間錄下的聲音，辨識率略為下降，分別為93%、91.7%，但還是很高。</p> <p>研究人員指出，這種型態的旁路攻擊可被用於盜竊使用者輸入的密碼，即使被側錄方用的是靜音鍵盤，仍有一定效果，對此，他們呼籲使用者，可以嘗試調整敲擊鍵盤的方法、力道，或是採用動態密碼來減少上述側錄密碼攻擊帶來的危害。</p> <p><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/new-rilide-stealer-version-targets-banking-data-and-works-around-google-chrome-manifest-v3/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊資軟體Rilide透過瀏覽器延伸套件散布</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/d208b23a9a92088ad8601841948a1431bb63c9b0.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/d208b23a9a92088ad8601841948a1431bb63c9b0.png" style="width: 300px; float: right;" /></a>資安業者Trustwave揭露竊資軟體Rilide的攻擊行動，駭客透過瀏覽器延伸套件，鎖定Chrome、Edge、Brave、Opera等以Chromium為基礎開發的瀏覽器而來，並以Manifest V3新版格式開發，而能突破Google對於延伸套件的新規範。</p> <p>研究人員發現可能有多組駭客組織在兜售相關攻擊工具，其中一種型態的攻擊行動裡，透過指令碼注入的手法，主要鎖定澳洲及英國用戶而來。攻擊者假冒銀行、行動支付供應商、電子郵件服務業者、加密貨幣平臺、VPN服務、雲端服務業者，研究人員看到超過1,300個利用偽冒的網域架設釣魚網頁，並透過受信任的搜尋引擎及SEO中毒手法，引誘使用者上當輸入帳密資料，進而散布此竊資軟體。</p> <p>值得留意的是，有一起釣魚郵件是針對Zendesk員工而來，假借提供VPN服務及防火牆應用程式，當中包含了資安業者Palo Alto Networks的GlobalProtect，駭客透過PowerPoint的簡報來提供「安裝步驟」，一旦使用者依照指示操作，他們的瀏覽器就有可能被植入Rilide。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://14520070.fs1.hubspotusercontent-na1.net/hubfs/14520070/Collateral/SynSaber+ICS-Advisory-Project_ICS-Vulnerabilities_First-Half-2023.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員針對今年上半CISA公告的670個ICS、OT漏洞進行分析，逾三分之一缺少修補程式或緩解措施</span></strong></a></p> <p>針對美國網路安全暨基礎設施安全局（CISA），於今年上半對於工業控制系統（ICS）、操作科技（OT）系統發出的資安通告，資安業者SynSaber與ICS Advisory Project聯手進行分析，結果發現，CISA總共揭露了約670個漏洞，當中逾40%與軟體有關，26％影響硬體層面；而從漏洞的嚴重程度來看，88個為重大等級、349個為嚴重等級，對於利用漏洞的容易程度而言，有163個需要一定程度的使用者互動。</p> <p>值得留意的是，今年上半缺乏修補程式或是緩解措施的漏洞，比例竟然有34%，相較於2022年上半的13%高出許多，研究人員指出，起因是西門子今年揭露了逾100個影響Linux核心的漏洞，但尚未發布相關修補程式。</p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-fixes-flaw-after-being-called-irresponsible-by-tenable-ceo/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟修補Azure程式碼開發平臺Power Platform漏洞</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PowerPlatform-diag.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/PowerPlatform-diag.png" style="width: 300px; float: right;" /></a>微軟於8月4日宣布，他們成功修補資安業者Tenable於3月底通報的程式碼開發平臺Power Platform漏洞，該漏洞存在於其自訂連接器（Custom Connector），一旦攻擊者傳送特定的呼叫內容，觸發組織IT人員加入的C#程式碼，就有可能找到與目標組織有關的Azure Function主機名稱。</p> <p>資安業者Tenable指出，由於上述的連接器當中，有許多用於傳送Power Platform及第三方服務的身分驗證資訊，攻擊者若是存取防護不夠周全的Azure Function主機，就有機會取得OAuth用戶ID、密碼、金鑰等資訊，進而存取第三方服務和應用程式。研究人員指出，該漏洞遭到利用的後果有可能不只是造成資料外洩，攻擊者甚至能用來執行程式碼。</p> <p>微軟首度於6月7日嘗試修補漏洞，並於7月6日通知Tenable，卻被發現修補不全，在研究人員預告於7月底揭露漏洞的壓力之下，微軟於8月初完成修補，並強調該漏洞尚未出現遭到利用的跡象。</p> <p>資料來源</p> <p>1. <a href="https://msrc.microsoft.com/blog/2023/08/microsoft-mitigates-power-platform-custom-code-information-disclosure-vulnerability/">https://msrc.microsoft.com/blog/2023/08/microsoft-mitigates-power-platform-custom-code-information-disclosure-vulnerability/</a><br /> 2. <a href="https://www.tenable.com/security/research/tra-2023-25"><span class="link-annotation-unknown-block-id-343621836" style="border-bottom: 0.05em solid rgba(55, 53, 47, 0.4); border-top-color: rgba(55, 53, 47, 0.4); border-right-color: rgba(55, 53, 47, 0.4); border-left-color: rgba(55, 53, 47, 0.4); opacity: 0.7;">https://www.tenable.com/security/research/tra-2023-25</span></a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.rapid7.com/blog/post/2023/08/02/security-implications-improper-deacquisition-medical-infusion-pumps/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">已被淘汰、轉售的二手醫療輸液泵浦恐曝露醫療機構的Wi-Fi資料</span></span></strong></a></p> <p><a href="https://www.sentinelone.com/labs/comrades-in-arms-north-korea-compromises-sanctioned-russian-missile-engineering-company/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯導彈製造商遭北韓駭客ScarCruft入侵，植入後門程式OpenCarrot</span></span></strong></a></p> <p><a href="https://cdhe.colorado.gov/news-article/colorado-department-of-higher-education-provides-notice-of-data-incident"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國科羅拉多州教育機構證實遭到勒索軟體攻擊，師生資料外洩</span></span></strong></a></p> <p><a href="https://www.kasada.io/threat-intel-openbullet-malware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客假借提供OpenBullet的組態檔案，意圖散布竊資軟體</span></span></strong></a></p> <p><a href="https://eprint.iacr.org/2022/1228"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露攻擊處理器的手法Sacrf</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158162">【8月7日】韓國Linux主機遭到惡意程式Reptile鎖定</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158111">【8月4日】駭客利用Salesforce零時差漏洞發動網釣攻擊，目的是竊取企業的臉書帳號</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158077">【8月2日】美國針對軍事補給相關系統進行清查，中國駭客埋入可能干擾軍事行動的惡意軟體</a></strong></p> </div></div></div>
2023/8/8 18:30作者周峻佑https://www.ithome.com.tw/news/158173
強化程式開發流程與環境安全，紅帽打造可信賴的軟體供應鏈
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/red_hat_trusted_software_supply_chain-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近幾年來，軟體供應鏈攻擊事件頻傳，無論是商用封閉軟體或開放原始碼軟體，都蒙受相當大程度的威脅，<a href="https://www.ithome.com.tw/news/150237">美國白宮持續呼籲各界並推動相關的政策</a>，號召微軟、Google、蘋果、Amazon及IBM等大型科技公司，促使他們承諾協力推動資安；在2022年2月，Linux基金會成立的開源軟體安全基金會（OpenSSF）也成立Alpha-Omega計畫，目標是改善1萬種開放原始碼軟體專案的軟體供應鏈安全。</p> <p>同年5月，<a href="https://www.ithome.com.tw/news/150970">Google</a>發表<a href="https://cloud.google.com/blog/products/identity-security/introducing-assured-open-source-software-service">Assured Open Source Software（Assured OSS）</a>的服務，為企業與政府機關提供Google內部開發人員在工作流程當中使用的開放原始碼軟體套件，這些都已通過他們定期執行的資安漏洞掃描、分析、模糊測試，以及簽署驗證，並遵循軟體製品供應鏈安全等級框架（SLSA）的規範，預計第三季開放預覽測試；10月他們發表代管服務型態的軟體供應鏈安全解決方案，稱為<a href="https://cloud.google.com/blog/products/devops-sre/introducing-software-delivery-shield-from-google-cloud">Software Delivery Shield</a>，Assured OSS是此服務的重要部分，並提到處於預覽狀態的Assured OSS，可提供超過250種橫跨Java和Python語言的軟體套件。到了<a href="https://cloud.google.com/blog/products/identity-security/google-cloud-assured-open-source-software-service-now-ga">今年4月，Assured OSS正式推出</a>，免費提供超過1千種常見的Java和Python軟體套件，涵蓋TensorFlow、Pandas、Scikit-learn等熱門的機器學習與人工智慧軟體專案。</p> <p>除了公有雲大廠Google帶頭推動軟體資安防護，作為長期推廣開放原始碼軟體產品與服務的主力系統平臺廠商紅帽，今年上半也正式投入這個領域的經營，他們在5月底舉行的年度用戶大會期間，宣布推出Red Hat Trusted Software Supply Chain，希望能藉此強化因應軟體供應鏈資安漏洞的韌性，促成企業與組織導入DevSecOps，吸引更多用戶採行應用程式安全開發與部署實務，將資安整合到軟體開發生命週期。</p> <p>在這套解決方案當中，紅帽秉持既有的系統映像防護軟體<a href="https://www.ithome.com.tw/review/129692">Red Hat Quay</a>、雲端原生防護服務<a href="https://www.ithome.com.tw/review/153906">Red Hat Advanced Cluster Security（ACS）</a>之餘，也將推出兩款新的雲端服務，分別是：Red Hat Trusted Application Pipeline（RHTAP）、RedHat Trusted Content（RHTC）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Red Hat Trusted Software Supply Chain Components.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Red%20Hat%20Trusted%20Software%20Supply%20Chain%20Components.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>針對程式碼組建，提供整合安全概念的CI/CD管線流程</strong></span></h3> <p>其中的RHTAP目前已開放用戶預覽，這套雲端服務發展的基礎，源於紅帽開發與維護的<a href="https://www.sigstore.dev/">開放原始碼軟體專案Sigstore</a>，可提供用於雲端原生環境簽署的免費標準，對於許多位處軟體開發流程上游的社群而言，也能從中獲得維繫共享資安基礎架構的關鍵部分，紅帽表示，這裡會供應朝向資安防護發展的軟體持續整合／持續交付（CI/CD）服務，結合他們組建自家商用軟體產品的專業知識，簡化採用相關流程與技術的程序，可提供一套能馬上使用且聚焦資安防護的開發管線流程（pipeline），改善調度指揮相關作業的安全性，以及遵循業界標準與法規要求的程度，而不會拖慢軟體開發生產速度與效率。</p> <p>具體而言，RHTAP會在開放原始碼軟體相依性的範圍之內，為開發人員提供已知資安漏洞與風險的即時知識，並提出矯正這些問題、大幅降低威脅的可行建議，協助減少開發時間與成本。開發人員能運用自動化、聚焦在資安的CI/CD流程來組件應用程式，當中會執行系統與容器映像的持續掃描，軟體的來源檢查、見證，以及自動產生遵循業界標準與法規要求的軟體物件清單，促使IT部分能夠精確掌握軟體元件的資產，同時改善開發效率與生產力。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-05-red-hat-trusted-software-supply-chain-img2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-red-hat-trusted-software-supply-chain-img2.jpg" style="width: 600px;" /></a></p> <blockquote><p>Red Hat Trusted Application Pipeline負責守護應用程式組建流程的安全性，提供自動化、聚焦在資安的CI/CD工作流程，可持續執行映像掃描、來源檢測、見證查核，以及SBOM的自動產生，以遵循業界標準與法規要求。</p> </blockquote> <p>而在整合CI/CD開發管線流程之後，RHTAP可協助用戶強化應用系統的軟體供應鏈安全，開發者能以更有效率的方式組建應用程式，透過簡便方式將軟體整合至Linux容器，之後僅需透過幾個點選的動作，即可部署到紅帽OpenShift或其他Kubernetes平臺。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHTAP-2023-05-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHTAP-2023-05-2.jpg" style="width: 600px;" /></a></p> <p>舉例來說，企業如要經由雲端服務匯入git儲存庫，設定容器原生程式持續執行組建、測試、部署的管線流程，相關的操作步驟數量能夠因此變得更少；在此同時，企業可進行程式原始碼與<a href="https://en.wikipedia.org/wiki/Transitive_dependency">遞移相依性</a>（Transitive dependencies，是指軟體元件之間存在著間接相依性）的檢測，而程式組建過程中，也能自動產生軟體物料清單（SBOM）；透過發行條件政策引擎的使用，可協助企業查驗與提升容器映像的安全性，RHTAP能確認這些環境能否遵循SLSA這類業界軟體安全框架的要求，維持一致性。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHTAP-2023-05-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHTAP-2023-05-4.jpg" style="width: 600px;" /></a></p> <p>紅帽表示，目前如果要實現上述的使用方式，往往需要大量人工作業處理，用戶必須事先撰寫數百行自動化處理程式碼，才能一口氣完成容器化應用程式的組建、測試、部署，而手動處理有可能導致潛在的動作摩擦與人為錯誤，從而衍生新的風險、拖慢完成整體程式開發產量的速度。</p> <p>基本上，RHTAP在守護應用程式組建系統安全性，以及整理說明全部套件與相依性的部分，預計將提供許多減輕人工負擔的功能，像是：可匯入用戶既有的GitHub儲存庫，也能使用紅帽提供的多種套裝樣本來處理；提供開發管線流程，用戶能在建立Java、Python、Node、Go等語言或開發平臺的應用程式時，將軟體整合到容器映像當中，並經由Kubernetes環境的自定資源定義（CRD）控制器<a href="https://github.com/tektoncd/chains">Tekton Chains</a>，將適當的見證、密碼學簽章，以及來源資訊，套用到容器映像。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHTAP-2023-05-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHTAP-2023-05-1.jpg" style="width: 600px;" /></a></p> <p>若需支援GitOps的持續部署作業（CD），RHTAP也能經由本身內嵌的宣告式工具ArgoCD（同樣是以Kubernetes控制器實作而成），而將應用程式部署至用戶的Kubernetes。</p> <p>在容器映像的發布上，RHTAP能提供企業級的契約驅動（contract-driven）軟體發行規畫，可提供超過43種以政策語言Rego寫成的規則，用來查驗用戶的容器映像是否符合SLSA指引的要求，例如，在自動產生的SBOM當中，需提供完成簽署的程式組建來源資訊，以及程式組建必須在網路隔離的狀態執行，基礎映像須從適當的容器映像登錄服務拉取。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHTAP-2023-05-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHTAP-2023-05-3.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>強化預防與識別惡意程式碼的能力</strong></span></h3> <p>至於RHTC的作用，能協助用戶在開發程式碼的階段，就能辨別遞移相依性與資安漏洞，促使企業與組織能夠在開發流程當中，及早掌握與緩解已知的軟體資安風險與漏洞暴露，可免除手動處理的困難、避免進行耗時耗力的重複作業。</p> <p>而有了RHTC之後，用戶可在此存取受信任的內容儲存庫：紅帽本身組建與精選的開放原始碼軟體內容，這些都是套用他們內部最佳實務而成，已完成簽署、來歷查核，並提供他們的見證，開發者可從中挑選可重複使用的元件。</p> <p>對於已經上線的應用程式，RHTC也能主動監控當中使用的開放原始碼軟體套件，其原始碼是否存在遞移相依性，以及潛在的資安漏洞而可能導致新興或正在崛起的威脅，若出現這類狀況，可發出警示，促使用戶可以更快矯正這些問題。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHTC-2023-06-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHTC-2023-06-2.jpg" style="width: 600px;" /></a></p> <p>上述識別機制可整合在開發者電腦使用的整合式開發環境（IDE），當中會執行即時的軟體組成分析（Software Composition Analysis，SCA）。除此之外，RHTC也將提供更容易查詢紅帽產品與套件相關的資安漏洞交換資訊（VEXs），以及軟體物料清單的功能，用戶也能上傳本身擁有的軟體物料清單進行分析，從而深入掌握相依性與漏洞。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHTC-2023-06-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHTC-2023-06-1.jpg" style="width: 600px;" /></a></p> <p>關於RHTC的發展，紅帽表示，它是建立在紅帽長期強化自家系統軟體安全的基礎而成，範圍涵蓋他們的企業級Linux作業系統軟體RHEL，以及多個重要的應用程式執行時期元件，橫跨Java、Node、Python軟體生態體系，可提供企業級、經過安全強化，而且是值得信任的軟體內容與專業知識，讓用戶開發應用程式時，能夠更安心搭配開放原始碼軟體套件。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-red-hat-trusted-software-supply-chain-img1.jpg" style="width: 600px;" /></p> <blockquote><p>在軟體開發流程當中，Red Hat Trusted Content負責守護程式碼層級的安全性，提供通過紅帽檢核的授信任軟體套件內容儲存庫，以及整合在整合式開發環境（IDE）的軟體組成分析工具，檢查使否存在已知資安漏洞與遞移相依性。</p> </blockquote> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>Red Hat Trusted Software Supply Chain<br /> ●原廠：Red Hat<br /> ●建議售價：廠商未提供<br /> ●解決方案型態：雲端服務<br /> ●涵蓋產品與服務：<br /> Red Hat Trusted Content負責程式碼管理<br /> Red Hat Trusted Application Pipeline負責組建管線流程調度指揮<br /> Red Hat Advanced Cluster Security Cloud Service負責執行階段監控<br /> Red Hat Quay負責系統映像管理<br /> ●功效：精進DevSecOps推動實務、將資安嵌入軟體開發生命週期</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/8/8 19:46作者李宗翰https://www.ithome.com.tw/review/158127
微軟生成式AI用Azure ND H100 v5 VM正式上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟今年3月宣布開放預覽的生成式人工智慧專用虛擬機器<a href="https://azure.microsoft.com/en-us/blog/scale-generative-ai-with-new-azure-ai-infrastructure-advancements-and-availability/">Azure ND H100 v5，現在正式上線</a>，該虛擬機器配備Nvidia H100 Tensor Core GPU與低延遲網路設備，可用於執行複雜的生成式人工智慧運算。另外，微軟也擴大Azure OpenAI服務規模，新增在澳洲、亞洲和歐洲雲端地區提供服務。</p> <p>Azure ND H100 v5的特色在於，配備8個Nvidia在2023年新推出的資料中心用H100 Tensor Core GPU，以及採用低延遲Quantum-2 ConnectX-7 InfiniBand網路設備，每個虛擬機器可擁有高達3.2 Tb/s的跨節點頻寬，相當於每個GPU可獲得400 Gb/s的頻寬，確保跨GPU的運算效能。</p> <p>Azure ND H100 v5的CPU使用第4代Intel Xeon Scalable處理器，而GPU與主機介面使用PCIe Gen5，每個GPU可以獲得64GB/s的頻寬，進一步減少CPU和GPU間的傳輸瓶頸。</p> <p>有了H100 Tensor Core GPU的加持，ND H100 v5運算效能較上一代的虛擬機器更好，由於H100支援FP8浮點數資料型別，因此ND H100 v5在矩陣運算上，效能可為上一代ND A100 v4的6倍，執行BLOOM 175B端到端大型語言模型推理，速度則是上一代的2倍。</p> <p>盤點Nvidia在其2022 GTC大會中，預告將會部署H100執行個體的雲端供應商，目前正式推出的服務有AWS的<a href="https://www.ithome.com.tw/review/158051">Amazon EC2 P5</a>，以及微軟Azure ND H100 v5，而<a href="https://cloud.google.com/blog/products/compute/introducing-a3-supercomputers-with-nvidia-h100-gpus">Google雲端的A3</a>，還有<a href="https://blogs.oracle.com/cloud-infrastructure/post/limited-availability-oci-compute-nvidia-h100">甲骨文OCI採用H100的執行個體</a>則仍在預覽測試階段。</p> <p>除了Azure ND H100 v5虛擬機器的正式推出外，微軟也宣布擴大提供OpenAI GPT-4和GPT-35-Turbo的Azure OpenAI服務，除了原本的美國東部、美國中南、法國中部和西歐，現在更增加了澳洲東部、加拿大東部、美國東部2、日本東部和英國南部地區。</p> </div></div></div>
2023/8/8 16:24作者李建興https://www.ithome.com.tw/news/158172