iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 6篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 14:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

長期遭到濫用，Dropbox取消Advanced方案的無限空間政策
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.dropbox.com/topics/product/updates-to-our-storage-policy-on-dropbox-advanced" target="_blank">雲端儲存服務供應商Dropbox上周四（8/24）宣布</a>，有鑑於有愈來愈多購買該平臺Advanced方案的客戶，利用該方案的無限空間政策來挖礦，甚至是轉售，決定變更其政策，即日起該方案將僅提供15TB的儲存空間。</p> <p><a href="https://www.dropbox.com/plans?billing=monthly" target="_blank">過去Dropbox總計提供5種付費訂閱方案</a>，從個人使用（Plus）、自由職業者使用（Professional）、小型團隊使用（Standard），到供大型團隊使用的Advanced，以及供大型企業或組織使用的Enterprise，前三項的每月訂閱費率從11.99美元到18美元不等，儲存空間則是有限的2TB、3TB與5TB，而Advanced方案的每月價格則是30美元，供應無限儲存空間，同樣供應無限儲存空間的還有Enterprise方案，但這是個客製化方案，價格也依照需求而定。</p> <p>Dropbox表示，Advanced方案是因應商業需求而設計的，以讓業者不需擔心儲存空間的使用，然而，卻有愈來愈多購買該方案的客戶不是為了經營公司或組織，而是為了挖礦、作為呼朋引伴的共同儲存空間，甚至是轉售這些空間，而這類的客戶所使用的空間經常是其它正常商業客戶的數千倍。</p> <p>儘管Dropbox設下了禁止濫用的各種規定，但要不斷地更新或增加禁止事項並不容易，而且很難大規模強制執行，使得Dropbox決定取消Advanced方案的無限空間政策。</p> <p>即日起，擁有3個使用者授權的Advanced方案客戶將只能使用15TB的儲存空間，此一空間規模約可用來存放1億份文件，400萬張照片或是7,500小時的高清影片，每增加一名使用者則可再取得5TB的儲存空間。</p> <p>為了不對既有客戶帶來太大衝擊，用不到35TB的Advanced客戶將可保留目前所使用的所有空間，再加上5TB的儲存額度，且於未來5年都不會為此收取額外的費用。至於使用超過35TB的Advanced客戶，短期內一樣可持續使用，也會有一年有效的額外5TB儲存額度，但Dropbox團隊未來幾周就會聯繫這些客戶，以討論可行的其它儲存選項。</p> <p>目前Advanced的訂閱客戶有超過99%的儲存空間用量都未超過35TB。</p> <p>Dropbox預計於今年11月1日陸續將Advanced客戶移轉到新政策，屆時也會提供新的額外儲存空間購買服務，1TB的每月訂閱費用為10美元。</p> </div></div></div>
2023/8/28 13:08作者陳曉莉https://www.ithome.com.tw/news/158460
【資安週報】2023年8月21日到8月25日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一週有多個漏洞利用消息，其中併入Ivanti的MobileIron產品線與WinRAR的開發商Rarlab各修補了一項零時差漏洞。</p> <p>●Ivanti在8月21日修補行動裝置安全閘道Sentry的CVE-2023-38035漏洞，並表示已有部分用戶遭受相關漏洞攻擊。<br /> ●RARLab在7月20日修補WinRAR的CVE-2023-38831漏洞，不過近期有資安業者研究發現，今年4月已出現針對該漏洞的攻擊<br /> ●由Ignite Realtime社群開發的開源即時通訊系統Openfire，今年5月修補了主控臺路徑穿越漏洞CVE-2023-32315，最近出現有關攻擊手法<br /> ●Veeam今年3月修補Backup & Replication（VBR）備份解決方案的漏洞CVE-2023-27532，近日發現勒索軟體Cuba針對未修補的系統進行攻擊</p> <p>另外還有兩起漏洞成功利用狀況，本週收錄的資安日報新聞尚未提及，也必須要重視：<br /> ●Adobe在3月修補的ColdFusion反序列化漏洞（CVE-2023-26359）<br /> ●Citrix在6月修補Content Collaboration的漏洞（CVE-2023-24489）</p> <p>其他值得注意的漏洞消息，包括OpenNMS於8月9日修補一重大漏洞，以及Dell Compellent的vCenter整合工具DSITV有一資訊洩露漏洞的揭露，但由於產品生命週期已終止，廠商不再修補，可能成為駭客鎖定目標。</p> <p>在重要資安消息方面，有三起事件值得我們關切，包括：<br /> ●惡意軟體HiatusRAT攻擊的揭露，因為有資安業者指出該木馬程式原先3月駭客鎖定歐洲及拉丁美洲，但在今年6到8月間已將目標轉向臺灣及美國，並觀察到有臺灣半導體、化學製造廠與縣市政府遭鎖定情況。<br /> ●關於勒索軟體Akira的威脅態勢上，近日有新的研究調查結果，指出該組織很有可能鎖定思科VPN軟體的漏洞下手，繞過身分驗證流程以入侵目標系統。<br /> ●AT&T的資安研究團隊揭露名為ProxyNation的惡意活動，，攻擊者主要鎖定Windows電腦並部署代理伺服器應用程式（Proxyware）。</p> <p>其他值得關注的消息與事件，在國際間，我們看到丹麥主機代管業者CloudNordic、AzeroCloud遭遇勒索軟體攻擊，導致客戶資料遭破壞而未復原的情況，以及大型語言學習網站DuoLingo傳資料外洩，中國駭客鎖定東南亞賭博產業攻擊行動的揭露。</p> <p>關於攻擊手法上，在最近的資安新聞中我們看到幾個惡意活動也不容輕忽，例如，建置殭屍網路Smoke Loader的駭客，正散布名為Whiffy Recon的Wi-Fi掃描惡意程式，其特性是會向C2回傳受害電腦的無線網路與地理位置資訊；有攻擊者假冒網管工具Advanced IP Scanner名義，透過SEO Poisoning手法來散布惡意程式DarkGate；又有新一波針對Mac電腦攻擊的活動，是假借OfficeNote等生產力應用程式名義並帶有開發人員簽章，用以散布惡意軟體XLoader。</p> <p>至於防禦焦點上，近日我國鴻海研究院聯手美國麻省理工學院（MIT）多媒體實驗室（Media Lab）推出黑客松的競賽，相當難得，當中推出了更容易入門的輕型無人車車用平臺EVπ，盼推動電動車創新服務將Security by Design視為基礎。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/158378"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月21日】逾3千個安卓惡意軟體採用不支援的壓縮格式演算法，目的是防止被研究人員反組譯</span></strong></a></h3> <p>駭客鎖定安卓裝置散布惡意軟體的情況，近期可說是相當頻繁，但最近出現較為罕見的攻擊手法引起研究人員關注。因為，這種手法鎖定研究人員而來，防止他們利用各式的工具拆解惡意APK檔案。有資安業者進一步調查，發現市面上至少有3千個惡意App採用此類方法來打包安裝程式，從而影響各式靜態分析工具的運作。</p> <p>值得一提的是，上述手段並非新的攻擊手法，有研究人員指出，最早曾在2014年就出現類似的攻擊行動。</p> <h3><a href="https://www.ithome.com.tw/news/158398"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月22日】木馬程式HiatusRAT鎖定臺灣而來，半導體、化學製造業、縣市政府成為目標</span></strong></a></h3> <p>木馬程式HiatusRAT今年3月被揭露，當時研究人員發現駭客主要針對歐洲及拉丁美洲而來，但事隔3個月，現在這些駭客轉移目標，竟然針對臺灣的製造業、縣市政府，以及美國軍事採購系統而來，由於目標出現如此大幅度的轉變，使得研究人員推測這群攻擊者很可能與中國政府有關。</p> <p>另一起與地緣政治有關的攻擊行動，則是針對美韓進行的大規模軍事演習Ulchi Freedom Shield而來，傳出北韓駭客Kimsuky對參與演習的承包商發送釣魚郵件。</p> <h3><a href="https://www.ithome.com.tw/news/158411"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月23日】研究人員揭露勒索軟體Akira新攻擊手法，駭客鎖定思科VPN系統做為初始入侵管道</span></strong></a></h3> <p>有駭客使用了較為罕見的攻擊模式，使得研究人員難以找出其確切的作案手法和過程。例如，勒索軟體Akira的攻擊行動，最早是資安業者Sophos於5月發現跡象，直到最近有了新的進展。惡意軟體分析員Aura、資安業者SentinelOne指出，駭客鎖定特定廠牌的VPN系統入侵受害組織，但究竟他們如何成功通過身分驗證？兩組研究人員有不同的推測。</p> <p>另一方面，資安業者SentinelOne指出這些駭客還會利用開源的遠端桌面連線工具RustDesk存取受害組織網路，而這是他們首度看到有人濫用此工具來進行網路攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/158431"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月24日】DuoLingo用戶個資傳出在駭客論壇兜售，疑似因API臭蟲而外洩</span></strong></a></h3> <p>駭客透過網頁抓取手法收集網站使用者的資料，屢見不鮮，然而面對這類資料外洩行為，站方不易察覺，通常要等到駭客兜售之後，網站服務業者才意識到商譽嚴重受損，而開始著手進行調查，但為時已晚。例如，有人在駭客論壇BreachedForums宣稱取得260萬筆語言學習網站DuoLingo的用戶資料，該公司著手調查此事，並強調他們沒有遭到入侵。</p> <p>但值得留意的是，有資安新聞網站指出，駭客很可能是利用該公司曝露超過半年的API漏洞，取得相關資料，後續情況有待進一步觀察。</p> <h3><a href="https://www.ithome.com.tw/news/158448"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月25日】北韓駭客Lazarus鎖定歐洲、美國組織，利用Zoho ManageEngine服務臺系統漏洞發動攻擊</span></strong></a></h3> <p>北韓駭客Lazarus近期的動作頻頻，不時傳出對於臨近的韓國，以及位於地球另一端的歐洲國家發動攻擊，而最近研究人員揭露的新一波攻擊行動，是針對IT服務臺系統Zoho ManageEngine ServiceDesk而來。值得留意的是，駭客在漏洞公布的數天後，就將其用於攻擊行動，而讓尚未修補的企業組織措手不及。</p> <p>另一方面，研究人員發現駭客也改良了作案工具，使得在上述攻擊行動出現的惡意軟體行蹤更難察覺。</p> </div></div></div>
2023/8/28 09:38作者羅正漢https://www.ithome.com.tw/news/158454
Google Workspace新增AI安全功能，部份設定變更需2名管理員
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://workspace.google.com/blog/identity-and-security/accelerating-zero-trust-and-digital-sovereignty-ai" target="_blank">Google上周宣布</a>生產力服務Workspace新增AI為基礎的安全功能，以降低資料外洩風險及符合歐美法規。Google Workspace同時加入某些功能需2名管理員同意，以及強制某些用戶管理員帳號啟用2步驟驗證。</p> <p>Google引用第三方報告指出，Workspace加入企業安全功能後，在被濫用的已知漏洞、電子郵件安全事件，以及因資安事件衍生保險支出方面，和主流舊式（如微軟）方案相比都大幅減少。為此Google Workspace持續擴充以AI為基礎的零信任（zero-trust）、數位主權及威脅防護控制，以確保企業資料安全。</p> <p>在AI為基礎的零信任安全功能方面，首先，Google Drive將加入AI資料分類標籤及情境式資料外洩防護（DLP）。管理員可設定AI模型自動為Drive的檔案加標籤及分類，並且設定情境感知存取（context-aware access，CAA）政策，例如按裝置所在地點或安全狀態決定員工能否把敏感資料分享出去。之後AI即可按企業安全政策為資料分類、標籤，並實行資料外洩防護及資料存取管制。AI資料分類及標籤現在已經開放預覽版測試，情境式DLP則會在幾個月內開放測試。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/original_images/4_MB_AI_Classification_Labels_GIF_.gif" style="width: 600px;" /></p> <p>第三項則是為Gmail強化DLP，允許管理員控制員工對內、對外如何分享敏感資料，也將在幾個月後開放預覽測試。</p> <p>在資料主權（data sovereignty）功能方面，首先，Workspace將新增多項用戶端加密（client-side encryption，CSE）功能。CSE是指從用戶端即加密資料再傳送出去，只有發送者擁有加密金鑰，因此即使伺服器端或服務供應商都無法存取敏感資料。在最新的宣布中，Google Calendar、Gmail和Meet行動版App已正式支援CSE，現在正在測試於Workspace中讀取編輯Microsoft Excel檔案。此外Google預定今年內預覽3項CSE功能，包括特定組織單位預設啟用CSE、及Google Docs評論、外部用戶以Guest身分加入Meet通話時支援CSE。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0828-google%20workspace-email%20with%20CSE%20protection.png" style="width: 358px;" /></p> <p>Google也將允許CSE用戶選擇加密金鑰和資料儲存的位置。在前者中，Google和安全廠商Thales、Stormshield及Flowcrypt合作，讓CSE用戶得以選擇將加密金鑰儲存在屬意的國家以滿足法規。今年稍晚，Workspace也會以預覽版測試讓企業選擇資料處理（歐盟或美國），以及Workspace備份儲存的地點所在。</p> <p>另外，Workspace也讓企業控制Google技術支援可存取哪些資料、監控Google的行為，並讓美國企業設定只允許美國Google支援。今年稍晚則將允許歐盟企業限定歐盟地區的支援。</p> <p>最後，為防止管理員遭到釣魚攻擊致Workspace帳號被接管，Workspace將在今年內預覽一項新功能，Workspace允許管理員設定某些敏感行為，如變更2SV設定，需獲得另一名管理員同意。其次，Google也要求某些Workspace企業管理員帳號強制啟用兩步驟驗證（2-step verification，2SV），今年稍晚將從最大型企業用戶，以及Google經銷商開始執行。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0828-google%20workspace-multi-party%20approval.png" style="width: 600px;" /></p> <p>Google上周並另外發布2項預覽功能，包括以AI為基礎的Gmail電子郵件過濾或轉寄之防護，以及將Workspace log紀錄匯出到Chronicle，以判斷可能的異常活動。</p> <p>所有預告的Workspace安全功能，<a href="https://workspace.google.com/business/signup/welcome" target="_blank">現在已開放</a>企業管理員免費試用。Google並將在下個月的<a href="https://cloud.withgoogle.com/next/session-library#productivity-and-collaboration-apps" target="_blank">Next ' 23大會上</a>正式發表。</p> </div></div></div>
2023/8/28 12:12作者林妍溱https://www.ithome.com.tw/news/158457
科技巨頭爭相砸錢投資Hugging Face，最新一輪融資獲2.35億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Hugging Face在最新一輪由Salesforce主導的融資中，<a href="https://twitter.com/ClementDelangue/status/1694707996843196545?s=20">募集</a>到了2.35億美元的資金，目前該新創公司的估值已經達到45億美元。Hugging Face的共同創辦人與執行長Clem Delangue，開心地在社交平臺X中公開這項消息。Hugging Face將運用這筆新資金壯大團隊，並繼續投資人工智慧開源技術。</p> <p>Hugging Face是一家人工智慧新創公司，成立於2016年，專注在自然語言處理領域，發展Transformer與大型語言模型，Hugging Face最初僅是一家開發聊天機器人應用程式的公司，但是在後來轉變營運方向，致力發展開源自然語言工具。</p> <p>Hugging Face的知名開源專案Transformer模型庫，提供諸如BERT、GPT-2、T5和RoBERTa等大量流行Transformers模型，供開發者可以簡單使用和微調。另外，Hugging Face的Datasets庫更可讓使用者快速下載和使用許多自然語言資料集，加速自然語言研究和開發速度。</p> <p>不只如此，Hugging Face還創建了一個模型市集，讓開發者可以共享，或是使用其他人訓練好的模型，由於使用者不需要從頭開始訓練模型，可以基於他人的成果進一步發展，因此大幅促進了人工智慧社群的發展。Hugging Face的模型市集就像是人工智慧模型界的GitHub，現在平臺上已經有超過30萬個模型，</p> <p>這間新創公司的融資目前已經來到D輪，去年5月C輪融資才剛結束，募得1.6億美元，當時公司估值為20億美元，這次Hugging Face由Salesforce主導的D輪融資為2.35億美元，參與的投資者包括Google、Amazon、Nvidia、AMD、Intel、Qualcomm、IBM與Sound，目前Hugging Face的估值已經來到45億美元，可與Anthropic、Stability AI等知名人工智慧公司平起平坐。</p> <p>Hugging Face深耕人工智慧開源社群，除了上述開源專案，還包括在去年的時候，開源具有1,760億參數的語言模型BLOOM，在今年4月時開源聊天機器人HuggingChat，接著在5月，Hugging Face和ServiceNow研究院合作成立的BigCode，也開源150億參數的大型語言模型StarCoderBase等。</p> <p>同時，Hugging Face也持續與其他科技公司發展合作關係，像是在2月的時候，AWS與Hugging Face擴大合作，Hugging Face承諾使用AWS作為主要開發平臺，而AWS也會在機器學習服務上提供最新的Hugging Face模型。另外，IBM也與Hugging Face展開合作，開始在Watsonx.AI上提供Hugging Face模型，近期IBM、NASA與Hugging Face共同宣布開源地理空間基礎模型，也可見到合作的影子。</p> </div></div></div>
2023/8/28 08:24作者李建興https://www.ithome.com.tw/news/158447
用256顆自研異質融合晶片，輝達推144TB共享記憶體的AI系統
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/nvidia_dgx_gh200_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自從2016年Nvidia推出第一款整合式AI應用設備<a href="https://www.ithome.com.tw/review/112711">DGX-1</a>以來，隨著GPU架構世代更迭而<a href="https://www.ithome.com.tw/news/137617">推出新機型</a>之餘，也陸續開展出工作站<a href="https://www.ithome.com.tw/review/114383">DGX Workstation</a>，以及可堆疊10臺DGX系統的DGX BasePOD、串聯140臺DGX系統的DGX SuperPOD，陣容越來越壯大，而在今年5月底舉行的台北國際電腦展期間，他們宣布這個產品家族又將有新的成員，那就是運算能力與規模更加強大的AI超級電腦系統DGX GH200。</p> <p>為了突顯此套系統對於大型企業的吸引力，Nvidia也預告Google Cloud、Meta、微軟將是第一批存取這項技術的公司，以此探索用於生成式AI工作負載的功能，Nvidia後續將對雲端服務廠商與大型資料中心環境，提供DGX GH200的設計藍圖，以便針對他們本身的IT基礎架構環境進行相關的調整。</p> <p>除此之外，Nvidia本身正在建置的新一代超級電腦Helios，也將採用4套DGX GH200系統，它們之間是透過Nvidia Quantum-2 InfiniBand網路產品進行互連，預計今年底上線。這套系統將支援Nvidia發展的地球氣候模擬數位雙生雲服務Earth-2，在7月初舉行的<a href="https://blogs.nvidia.com/blog/2023/07/03/climate-research-next-wave/">柏林地球視覺化運算高峰會期間</a>，Nvidia表示，他們正在建置的三種超級電腦開始上線運作，DGX GH200系統正是其中之一，負責模擬物理特性。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-07-Nvidia Berlin Summit EVE-Earth2-DGX GH200.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-Nvidia%20Berlin%20Summit%20EVE-Earth2-DGX%20GH200.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>採用融合Arm架構CPU與Nvidia資料中心GPU的運算模組，搭配NVLink Switch System的I/O互連架構</strong></span></h3> <p>較於既有的DGX System產品都是採用x86架構處理器、獨立的Nvidia資料中心GPU，搭配Nvidia發展的NVLink、NVSwitch，以及現行的I/O介面與乙太網路、InfiniBand連線環境而成，DGX GH200最大的突破，是改用Nvidia研發的融合式晶片GH200 Grace Hopper Superchip，以及高速I/O交換系統NVLink Switch System而成，同樣可用於現行的資料中心網路環境。</p> <p>比起目前的整櫃式高效能運算叢集系統產品，DGX GH200另一個賣點是能夠更直接提供超大規模、高速存取的GPU共享記憶體空間，當中借助NVLink Switch System的架構，提供的NVLink頻寬可達到前代DGX系統的48倍，而能透過NVLink連結256顆GH200超級晶片，促使如此大規模系統所具備的運算資源，能以單一GPU的形式供應用戶操作。</p> <p>相較之下，前代DGX系統在多顆GPU以NVLink串聯成單一GPU使用，若不希望影響運算效能，最多只能同時連接8顆GPU。</p> <p>Nvidia表示，單臺DGX GH200系統可提供1 Exaflop的運算效能，以及144 TB的GPU共享記憶體，若以2020年推出的DGX A100（搭配40GB記憶體的A100）為基準，DGX GH200系統的GPU記憶體容量可達到近5百倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-Nvidia%20DGX%20gpu-memory-nvlink-1.jpg" style="width: 500px;" /></p> <p>若要了解DGX GH200何以提供如此強大的運算能力，需細部檢視其組成方式。根據Nvidia在網站公布的白皮書指出，它總共包含256臺運算模組插槽，以及1套NVLink Switch System，形成兩層式的NVLink連結架構。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-05-DGX GH200 Compute node.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-DGX%20GH200%20Compute%20node.jpg" style="width: 68px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-05-29-DGX GH200-NVSwitch.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-29-DGX%20GH200-NVSwitch.jpg" style="width: 178px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-29-DGX%20GH200-8-GPU%20chassis.jpg" style="width: 168px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-DGX%20GH200%20Rack%20with%202%20chassis.jpg" style="width: 140px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-06-NVIDIA NVLink Switch System connects upto 256 NVIDIA Grace Hopper Superchips.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-NVIDIA%20NVLink%20Switch%20System%20connects%20upto%20256%20NVIDIA%20Grace%20Hopper%20Superchips.png" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-05-DGX GH200 system.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-DGX%20GH200%20system.jpg" style="width: 600px;" /></a></p> <p>基本上，每臺運算模組包含單顆GH200 Grace Hopper晶片，網路元件（由Nvidia乙太網路或InfiniBand網路卡ConnectX-7，以及資料處理器BlueField-3組成）、伺服器管理系統（基板控制器）、用於存放資料與作業系統檔案的固態硬碟。接著再將8臺運算模組連接3臺第一層NVLink NVSwitch模組，形成一座容納8顆GH200的機箱，</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-05-Nvidia Computex Keynote-Grace Hopper MGX Server.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-Nvidia%20Computex%20Keynote-Grace%20Hopper%20MGX%20Server.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-06-8-Grace Hopper Superchip Chassis.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-8-Grace%20Hopper%20Superchip%20Chassis.jpg" style="width: 298px;" /></a></p> <p>值得注意的是，關於這部分運算堆疊設備的組成，是由ZT Systems這家伺服器廠商所設計出來的。Nvidia共同創辦人暨執行長黃仁勳在Computex主題演講當中，針對MGX模組化伺服器架構介紹多家合作廠商時，特別提到ZT Systems基於此架構而成的產品，正是Nvidia Grace Hopper人工智慧超級電腦的運算Pod，他的意思是ZT Systems的這類型產品就是DGX GH200的運算Pod，而在ServeTheHome的相關報導與ZT Systems的臉書與LinkedIn貼文，以及Nvidia公布的DGX GH200白皮書公布的照片，也與這個說法呼應。</p> <p>而每一臺NVLink NVSwitch模組可透過LinkX傳輸線材，連上盲接纜線連接器與第二層NVLink Switch。以DGX GH200整個系統而言，可透過36臺第二層NVLink Switch連接32座上述容納8顆GH200的機箱，因此，單臺系統總共可支配256顆GH200晶片。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-05-DGX GH200 Combination.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-DGX%20GH200%20Combination.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-06-8-Grace Hopper Superchip Chassis.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-8-Grace%20Hopper%20Superchip%20Chassis.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-05-diagram-topology-nvlink-switch-system-dgx-gh200.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-diagram-topology-nvlink-switch-system-dgx-gh200.jpg" style="width: 298px;" /></a></p> <p>而144 TB共享記憶體容量是從何得來的？根據Nvidia公布的Grace Hopper Superchip規格來看，每顆晶片包含中央處理器Grace，以及圖形處理器H100，前者是由72顆Arm Neoverse V2核心組成，最多可支援480 GB容量的LPDDR5X記憶體，後者最多可配置96 GB容量的HBM3記憶體，由於同處於單一晶片封裝的Grace與H100之間，可透過頻寬高達900 GB/s的NVLink-C2C介面連接，使得H100也能共享Grace所能存取的記憶體，因此，以單顆Grace Hopper Superchip晶片而言，最多可用到的記憶體容量達到576 GB，而串連256顆GH200晶片的DGX GH200，最多可存取的記憶體容量達到147,456 GB，也就是144 TB。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-Nvidia%20DGX%20GH200-GH200%20arch.png" style="width: 600px;" /></p> <p>由於同處於單一晶片封裝的Grace與H100之間，可經由NVLink-C2C介面連接，由於此介面具備7倍於PCIe 5.0的I/O頻寬（雙向頻寬為900 GB/s），以及耗電量僅需PCIe 5.0的五分之一等特性，使得H100能以高速，以及高能源效益的方式共享Grace所能存取的記憶體，因此，以單顆Grace Hopper Superchip晶片而言，最多可用到的記憶體容量達到576 GB，而串連256顆GH200晶片的DGX GH200，最多可存取的記憶體容量達到147,456 GB，也就是144 TB。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-Memory%20Accesses%20Across%20NVLink%20Connected%20Grace%20Hopper%20Superchips.png" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-05-performance-comparisons-giant-memory-ai-model-workloads.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-performance-comparisons-giant-memory-ai-model-workloads.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>沿用Nvidia長期發展的AI與資料應用軟體堆疊架構，以及SaaS雲端管理服務</strong></span></h3> <p>除了提供強大的運作性能與規模擴展特性，DGX GH200也受惠於Nvidia持續培養與開發的各種加速與不同領域應用的軟體解決方案，而能因應大型AI與資料分析的工作負載，用戶可搭配企業級軟體套餐Nvidia AI Enterprise，利用裡面提供超過100種框架、預先完成訓練的機器學習模型，以及開發工具，得以快速發展與部署電腦視覺、語文辨識處理與生成式AI等正式應用。</p> <p>在此同時，企業與組織也能運用Nvidia代管的雲端軟體平臺Base Command，管理AI工作流程、叢集環境運作、進行加速處理的儲存與網路程式庫、已針對AI工作負載完成效能調校的系統軟體。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-05-nvidia-dgx-gh200-ai-supercomputer-full-stack.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-nvidia-dgx-gh200-ai-supercomputer-full-stack.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>Nvidia DGX GH200<br /> ●原廠：Nvidia<br /> ●建議售價：廠商未提供<br /> ●整體架構：256臺GH200 Grace Hopper運算插槽（32座8-GPU機箱）、1座NVLink Switch System（96臺L1 NVLink NVSwitch、36臺L2 NVLink NVSwitch、2304 LinkX光纖纜線）<br /> ●8-GPU機箱規格：8臺GH200 Grace Hopper運算插槽、3臺NVLink NVSwitch插槽，機架高度15 OU<br /> ●運算插槽組成：1顆GH200 Grace Hopper Superchip晶片（72顆Arm Neoverse V2核心，Nvidia H100 GPU，GPU記憶體為576 GB，融合96 GB HBM3與480GB LPDDR5X）、網路元件（1張400 Gb InfiniBand網路介面卡ConnectX-7、1張資料處理器BlueField-3或ConnectX-7，提供頻內網路200GbE或儲存網路200 Gb InfiniBand）、1套管理系統（BMC）、4臺NVMe固態硬碟（2臺2.5吋U.2外形4TB容量，用來存放資料、RAID 0備援，2臺M.2外形2TB容量，用來存放作業系統、RAID 1備援）<br /> ●NVLink NVSwitch組成：2顆第三代NVSwitch ASIC晶片，支援第四代NVLink<br /> ●系統軟體組成：作業系統為Nvidia DGX OS、Ubuntu、Red Hat Enterprise Linux、Rocky，雲端管理平臺Nvidia Base Command、AI軟體套件為Nvidia Al Enterprise</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/8/26 17:12作者李宗翰https://www.ithome.com.tw/review/158165
零售IT雙周報第20期：天衍互動推出OMO遊戲咖啡機，將等待時間化為會員社群經營及數據蒐集機會
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0813~0826)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#OMO零售</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#會員社群經營</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#互動式購物體驗</span></span><br /> 天衍互動推出OMO遊戲咖啡機，將咖啡製作時間化為會員社群經營和數據蒐集機會</strong></p> <p>零售解決方案商天衍互動推出元宇宙遊戲咖啡機，消費者等待咖啡準備時，可以掃描咖啡機QR code，透過開始用手機當作「遙控器」，來遊玩咖啡機上的小遊戲。小遊戲獎勵可以回饋為會員點數，若遊戲具有一定挑戰性及重複遊玩價值，也更容易引起社群討論，成為會員社群經營一環。同時，系統後臺也會將蒐集而來的各式數據彙成報表用於分析，還會更新庫存管理系統通知補充原料。</p> <p>咖啡機小遊戲在手機端是一個Web app，會蒐集陀螺儀、手機指向、螢幕操作動作、會員身分、裝置ID等資料，與咖啡機透過雲端伺服器同步資料，達成手機操作遊戲效果。商家還可以於遊戲後設計問卷等進一步蒐集資訊的機制。天衍補充，手機操作與咖啡機反應的延遲時間低於0.5秒。</p> <p>零售業利用小遊戲來行銷已非新鮮事，不過這個模式與常見的小遊戲有個關鍵設計差異，就是同時和消費者手機以及零售場域設備互動。</p> <p>常見小遊戲通常只會動用到消費者手機，例如聊天室或App小遊戲，或是購物現場設備，例如POS機抽獎。用手機執行小遊戲，蒐集而來的資訊容易歸戶到消費者本人，不過如何讓消費者在非消費情境下主動拿出手機遊玩，是一大挑戰。用現場設備執行小遊戲，消費者體驗更容易與購物場景結合，遊玩意願通常較高，不過便無法蒐集到消費者裝置上各式資料。遊戲咖啡機則是嘗試結合兩者優勢，由咖啡機提示等待中的消費者拿起手機與商家互動，以期增加消費者遊玩小遊戲意願，同時也能蒐集到消費者裝置上的資訊。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#商品評論</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#過濾不實評論</span></span><br /> Amazon利用生成式AI摘要電商商品評論</strong></p> <p>Amazon開始<a href="http://https://www.aboutamazon.com/news/amazon-ai/amazon-improves-customer-reviews-with-generative-ai">利用生成式AI來摘要電商商品評論</a>，在商品資訊頁面加入一段簡短文字說明，匯總顧客評論中，經常提及的產品功能和情緒。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/amazon2-1.jpg?itok=x9pfaBd2" style="width: 600px;" /></p> <p>電商資訊頁面的商品評論是消費者重要資訊來源，過去一年有1.25億顧客在Amazon貢獻約15億條評論和評分，相當於每秒增加45條評論。不過，這之中有許多內容不具參考價值，例如惡意貶損評論、刻意正面宣傳等。Amazon表示，他們會運用機器學習模型，分析帳戶關聯、登入活動、評論歷史和各種異常行為，來阻擋虛假評論。另外，他們也設有專人，利用各式詐欺偵測工具，避免商店出現虛假評論。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電子支付</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#共用QRcode</span></span><br /> 通用電子支付QR code功能今年Q3上線，商家只須跟一家電支機構系統串接即能接受多家支付</strong></p> <p><a href="https://www.fsc.gov.tw/ch/home.jsp?id=96&parentpath=0,2&mcustomize=news_view.jsp&dataserno=202308240010&dtable=News">金管會宣布，</a>通用電子支付QR code功能即將上線，商家僅須與單一電子支付機構進行簽約及帳務核銷，即能接受臺灣9家電子支付及臺灣Pay的付款。無須負擔串接多家電支系統的成本。</p> <p>不過，雖然負責建置共用平臺的財金公司（FISC）技術已經準備完成，但要使用這個通用QR Code，還得等電支業者完成與平臺的串接，預計9月下旬會完成，屆時才會開始試營運。（<a href="https://www.ithome.com.tw/news/155303">延伸閱讀</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#跨通路數據整合</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#LineOA</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#多品牌經營</span></span><br /> Line企業管理平臺正式上線，能一站式管理跨品牌OA及廣告數據、受眾，還能匯入自有第一方數據</strong></p> <p><a href="https://tw.linebiz.com/service/account-solutions/line-business-manager/">Line正式推出企業管理平臺</a>，能同時管理多個官方帳號（ OA）及廣告投放。<a href="https://www.ithome.com.tw/news/154290">此平臺</a>彙整的數據來源包括同集團跨品牌OA、Line成效型與保證型廣告（LAP、MVP）、Line Points廣告、Line Beacon、品牌主IDFA、AAID、Email、Line Tag等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1692958584073.jpg" style="width: 600px;" /></p> <p>除此之外，品牌主還還可以透過管理平臺共享不同來源的受眾名單，用於投放各式Line廣告，以及支援跨通路多品牌OA對同一個消費者進行個人化互動。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#社群媒體電商</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#開店平臺</span></span><br /> Tiktok要取消連結到第三方電商平臺的功能，強制商家使用原生零售功能</strong></p> <p>短影音平臺<a href="https://ads.tiktok.com/help/article/faqs-for-storefront-sunset?lang=en">Tiktok宣布</a>，9/12要終止連結第三方電商商品目錄到Tiktok帳號的Storefront服務。商家不再能從Tiktok App中置入會跳轉到Shopify等外部開店平臺的商品連結，原本與第三方電商平臺同步的商品，也不能再連結到影片、直播或廣告中。</p> <p>取而代之是Tiktok原生零售功能Tiktok Shop，功能與原本Storefront類似，但商品行銷和購物流程都會留在App內。Tiktok表示，這種模式下，Tiktok和商家比較容易追蹤到行銷轉換率跟完整消費行為，電商功能也會更容易與其他短影音、直播、廣告及未來其他新功能整合。</p> <p>值得注意的是，Storefront商品目錄不會自動同步到新的Shop，商家需要重新上傳。另外，當若有需要備份Storefront資料，應完成備份後再行註冊Shop，否則註冊完成後Storefront會自動停用。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電商外部生態圈</span></span><br /> Amazon拓展電商產品廣告版位到Pinterest、Buzzfeed等外部高流量網站</strong></p> <p>廣告營收全球前5高的美國電商龍頭Amazon<a href="https://www.aboutamazon.com/news/company-news/pinterest-buzzfeed-and-more-apps-will-show-amazon-sponsored-product-ads-to-discover-relevant-products">開始於Pinterest、Buzzfeed等外部高流量網站設置電商商品廣告版位</a>。這是Amazon經營RMN的下一步，將廣告版位從自家網站和App等自有版位，拓展到外部網站。電商在其他網站打產品廣告不新奇，但Amazon這個做法，等於由產品供應商出廣告費，曝光商品的同時也曝光自家平臺。</p> <p>這與Amazon近期積極拓張自家電商生態圈的策略相符。近期他們積極將自家電商商品頁面、支付工具、商品評論和會員機制嵌入外部網站及App，現在則進一步拓展RMN到外部生態圈。</p> <p>資料來源：iThome整理，2023年8月</p> <p>責任編輯：郭又華</p> </div></div></div>
2023/8/26 00:50作者郭又華https://www.ithome.com.tw/news/158449
電子支付跨機構共用平臺「購物」功能9月將試營運，未來消費者可以同一電支App在其他業者的特約商家消費付款
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會周四宣布，由財金公司建置的電子支付跨機構共用平臺「購物」功能，將會在9月展開試營運，預計10月正式上線，未來只要電支業者加入並開通「購物」功能，消費者靠一款電支App，就能在其他電支業者的特約商家消費付款，打破目前電支業者商家通路無法彼此互通使用的限制。</p> <p>先前財金公司獲金管會同意，建置及營運電子支付跨機構共用平臺，讓不同電子支付帳戶透過跨機構共同平臺，能夠相互「轉帳」、「繳費」、「繳稅」，促進電子機構間的金流，讓消費者的電子支付帳戶，如同銀行帳戶一樣，可以跨機構移轉資金。</p> <p>跨機構共用平臺擴大到通路支付層面，「購物」功能將於9月試營運，金管會預告9家電支專營機構未來將會加入共同平臺的「購物」功能，包括街口、一卡通、全支付、全盈支付等等。電子支付帳戶不論綁定銀行帳戶、信用卡、現金，可以使用原本的電子支付App，在其他電子支付業者的特約商家消費。</p> <p>以現有600多萬用戶的街口支付為例，用戶可使用街口App在一卡通或全支付的特約商家消費付款，相反地，一卡通或全支付用戶也能在街口支付的特約商家付款，突破電子支付業者特約通路彼此不互通的限制。</p> <p>不過，要開通「購物」功能，因涉及不同電支業者之間、特約商家，需要與金管會、財金公司討論及研擬相關方案，完成系統介接、測試等，各家電支專營機構加入並啟用共用平臺的「購物」功能的時程上將有先後。</p> <p>特約商家通路要透過共同平臺互通，以消費者在商家消費掃碼方式，分為正掃及被掃兩種，正掃是指由消費者開啟電支App，掃描商家櫃檯放置的QR Code來完成付款，目前餐飲業者不少採用此種方式，未來如加入共用平臺「購物」功能，商家需要更換使用一致編碼格式的TW QR Code，消費者使用的電支App也需要更新，才能「讀懂」TW QR Code。</p> <p>至於被掃模式，目前常見在超商使用，消費者在付款時，開啟手機上的電支App，向商家出示QR Code，由商家使用掃碼槍掃描，未來如果加入共用平臺「購物」功能，則需要更換商家的掃碼槍。</p> <p>不論是正掃或被掃，皆需電子支付業者和特約合作商家更換合約內容，更新商家端的QR Code、掃碼槍，才能讓其他電支機構用戶，可在其特約商家消費付款。</p> <p>街口支付表示，未來將會加入共同平臺的「購物」功能，但目前尚未有明確上線時程，將和金管會討論及研擬相關方案，再進行系統介接。</p> <p>全支付則樂見「購物」功能提供消費者更好的支付體驗，將與相關單位討論作法及介接，目前相關作業正在安排中。</p> </div></div></div>
2023/8/25 19:26作者蘇文彬https://www.ithome.com.tw/news/158450
【資安日報】8月25日，北韓駭客Lazarus鎖定歐洲、美國組織，利用Zoho ManageEngine服務臺系統漏洞…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>北韓駭客Lazarus近期的動作頻頻，不時傳出對於臨近的韓國，以及位於地球另一端的歐洲國家發動攻擊，而最近研究人員揭露的新一波攻擊行動，是針對IT服務臺系統Zoho ManageEngine ServiceDesk而來。值得留意的是，駭客在漏洞公布的數天後，就將其用於攻擊行動，而讓尚未修補的企業組織措手不及。</p> <p>另一方面，研究人員發現駭客也改良了作案工具，使得在上述攻擊行動出現的惡意軟體行蹤更難察覺。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-use-public-manageengine-exploit-to-breach-internet-org/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Zoho ManageEngine服務臺系統漏洞遭到北韓駭客Lazarus鎖定，用於散布惡意程式QuiteRAT、CollectionRAT</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Lazarus-QuiteRAT.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Lazarus-QuiteRAT.jpg" style="width: 300px; float: right;" /></a>思科威脅情報團隊Talos發現，北韓駭客組織Lazarus鎖定IT服務臺系統Zoho ManageEngine ServiceDesk而來，他們利用重大漏洞CVE-2022-47966（CVSS風險評分為9.8）發動攻擊，目標是歐洲及美國的網際網路基礎設施供應商、醫療保健機構。</p> <p>研究人員在今年初看到駭客入侵歐洲網際網路基礎設施供應商，並成功於受害組織部署惡意程式QuiteRAT，後續他們調查駭客的基礎設施，發現這個攻擊團體同時打造另一款惡意程式CollectionRAT。</p> <p>分析它們的特性之後，研究人員指出，QuiteRAT可能是MagicRAT的改良版本，功能大致相同但程式碼較為精簡，且縮減使用的Qt程式庫，使得本體從18 MB降為4 MB；CollectionRAT則是從EarlyRAT衍生而來，其特色是整併了Microsoft Foundation Class（MFC）程式庫，而能動態解密並執行程式碼，進而迴避資安系統偵測。</p> <p>資料來源</p> <p>1. <a href="https://blog.talosintelligence.com/lazarus-quiterat/">https://blog.talosintelligence.com/lazarus-quiterat/</a><br /> 2. <a href="https://blog.talosintelligence.com/lazarus-collectionrat/">https://blog.talosintelligence.com/lazarus-collectionrat/</a></p> <p><a href="https://www.secureworks.com/blog/smoke-loader-drops-whiffy-recon-wi-fi-scanning-and-geolocation-malware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Whiffy Recon透過Wi-Fi無線網路追蹤受害者</span></strong></a></p> <p>資安業者Secureworks揭露名為Whiffy Recon的惡意程式，他們發現建置殭屍網路Smoke Loader的駭客，約自8月8日開始向感染病毒的電腦投放此Wi-Fi掃描工具，藉由電腦附近的Wi-Fi節點，並將相關資料透過Google的地理位置追蹤API進行定位。</p> <p>一旦電腦被植入Whiffy Recon，就會先偵測是否存在名為WLANSVC的服務，然後透過機器人程式向C2伺服器註冊，接著每分鐘執行一次Wi-Fi無線網路的掃描，濫用Windows作業系統的WLAN API收集所需資料，並向Google的地理位置定位API發送HTTPS POST請求，提供Wi-Fi節點的資料。待Google回傳對應的坐標位置後，該惡意程式會向C2回傳受害電腦的無線網路與地理位置資訊。</p> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/08/darkgate-reloaded-via-malvertising-campaigns"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客透過惡意廣告及SEO中毒攻擊，散布惡意程式DarkGate</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/easset_upload_file52601_275963_e.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/easset_upload_file52601_275963_e.png" style="width: 300px; float: right;" /></a>資安業者Malwarebytes揭露新一波的惡意軟體DarkGate攻擊行動，駭客透過惡意廣告及搜尋引擎最佳化中毒（SEO Poisoning）手法，假借提供網管工具Advanced IP Scanner的名義來散布DarkGate。</p> <p>一旦使用者從駭客的網站下載安裝程式並執行，就有可能在安安前述的網管工具過程中，電腦也被植入惡意程式。研究人員後來又看到數起DarkGate的攻擊行動，其共通點是駭客所提供的安裝程式當中，皆包含了Autoit指令碼，並將惡意酬載進行混淆處理而能迴避防毒軟體偵測。</p> <p><a href="https://www.welivesecurity.com/en/eset-research/telekopye-hunting-mammoths-using-telegram-bot/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客利用Telegram機器Telekopye發動網釣攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/telekopye-scam-overview-with-icon-edited.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/telekopye-scam-overview-with-icon-edited.png" style="width: 300px; float: right;" /></a>資安業者ESET揭露名為Telekopye的Telegram機器人，駭客將其用於發動自動化的網路釣魚攻擊，透過範本檔案產生釣魚網頁，然後寄送URL給目標使用者。</p> <p>研究人員找到多個版本的Telekopye，駭客很可能從2015年就開始使用這套機器人工具，捏造eBay、BlaBlaCar 、YULA、OLX的購物網頁，一旦使用者上鉤，在駭客的付款網頁上輸入信用卡或借記卡的資料，此機器人就會將其用來洗劫被害人，然後透過加密貨幣洗錢，最終統籌贓款。另一種釣魚手法則是鎖定賣家而來，說服他們必須支付押金才能收到貨款來行騙。</p> <p><a href="https://www.ic3.gov/Media/News/2023/230823.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國針對Barracuda郵件安全閘道用戶提出警告，已修補漏洞的設備仍可能遭到攻擊，因此呼籲用戶更換</span></strong></a></p> <p>資安業者Barracuda於5月20日派送更新程式，遠端修補郵件安全閘道ESG的重大漏洞CVE-2023-2868（CVSS風險評為10分），後來在6月7日呼籲用戶更換設備，現在美國政府也提出類似的看法。</p> <p>美國聯邦調查局（FBI）於8月23日發布資安通告，指出由於迄今中國駭客積極利用上述漏洞發動攻擊，再加上Barracuda提供的更新程式無法助緩解已遭到攻擊的系統，他們呼籲用戶應儘速隔離並更換所有受到影響的ESG系統，並掃描網路環境是否出現遭到入侵的跡象。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/rockwell-thinmanager-vulnerabilities-could-expose-industrial-hmis-to-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Rockwell的Thin Client設備管理系統被揭露漏洞，恐暴露工控環境的人機介面</span></strong></a></p> <p>資安業者Tenalbe在Rockwell Automation的精簡用戶端設備管理系統ThinManager上，發現CVE-2023-2914、CVE-2023-2915、CVE-2023-2917，CVSS風險評分介於7.5至9.8。這些漏洞出現在遠端桌面連線（RDP）伺服器的管理元件ThinServer上，由於未進行正確的輸入驗證，而可能導致該系統發生記憶體整數溢位，或是造成路徑穿越的情形，攻擊者有可能藉此來發動阻斷服務攻擊，或是利用系統權限刪除任意檔案，或是上傳檔案到部署ThinServer的磁碟。</p> <p>研究人員指出，利用這些漏洞必備條件是存取目標伺服器所在的網路環境，之後就有機會完全控制ThinServer。由於這套系統通常被用於監控OT環境的人機介面（HMI），攻擊者很有可能藉著漏洞入侵HMI，甚至進一步攻擊網路環境裡其他的設備。對此，美國網路安全暨基礎設施安全局（CISA）於8月22日發出警告，呼籲企業組織應儘速套用緩解措施。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.tenable.com/security/research/tra-2023-28" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--840132262" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://www.tenable.com/security/research/tra-2023-28</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.cisa.gov/news-events/ics-advisories/icsa-23-234-03" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--2063061449" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://www.cisa.gov/news-events/ics-advisories/icsa-23-234-03</span></a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.fsc.gov.tw/ch/home.jsp?id=2&parentpath=0&mcustomize=news_view.jsp&dataserno=202308240009&dtable=News"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">臺灣企業風險意識提高，2022年資安險保費突破4億元</span></span></strong></a></p> <p><a href="https://www.group-ib.com/blog/gigabud-banking-malware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">安卓金融木馬Gigabud RAT鎖定東南亞用戶下手</span></span></strong></a></p> <p><a href="https://www.recordedfuture.com/threat-actors-leverage-internet-services-to-enhance-data-theft-and-weaken-security-defenses"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">越來越多駭客利用Slack及Trello埋藏惡意軟體攻擊</span></span></strong></a></p> <p><a href="https://pentera.io/blog/the-lol-isnt-so-funny-when-it-bites-you-in-the-bas/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露可被用於寄生攻擊的11款可執行檔</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/158328"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">強化臺灣通訊網路韌性，數位部打算與中軌道衛星業者SES合作</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158431">【8月24日】 DuoLingo用戶個資傳出在駭客論壇兜售，疑似因API臭蟲而外洩</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158411">【8月23日】研究人員揭露勒索軟體Akira新攻擊手法，駭客鎖定思科VPN系統做為初始入侵管道</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158398">【8月22日】木馬程式HiatusRAT鎖定臺灣而來，半導體、化學製造業、縣市政府成為目標</a></strong></p> </div></div></div>
2023/8/25 17:50作者周峻佑https://www.ithome.com.tw/news/158448
Meta釋出可商用程式開發語言模型Code Llama
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta利用之前所發布的可商用大型語言模型<a href="https://www.ithome.com.tw/news/157854">Llama 2</a>做為基礎，推出程式開發用的語言模型<a href="https://ai.meta.com/blog/code-llama-large-language-model-coding/">Code Llama</a>。Code Llama總共有三種變體，第一種是基礎程式碼模型，第二種是針對Python微調的模型，第三種則是針對自然語言指令進行微調的模型變體。與Llama 2相同，Code Llama也是可免費用於研究和商業用途。</p> <p>Code Llama使用更多程式碼資料集訓練，並且從該資料集擷取更多資料，進行長時間的訓練而成，是專門處理程式碼的Llama 2模型。因此Code Llama具有更強的程式碼編寫能力，可以根據程式以及自然語言提示，生成程式碼或是有關程式碼的自然語言回應，執行程式碼完成和除錯任務，支援的程式語言包括Python、C++、Java、PHP、Typescript、C#和Bash。</p> <p>根據不同服務和延遲需求，Meta推出三種大小的Code Llama模型，分別具有70億、130億和340億參數，70億參數的版本可以在單個GPU上運作，最大的340億模型則能夠回傳最佳結果，因此用戶可以依據需求選用不同大小的模型，針對需要諸如即時程式碼完成這類低延遲任務，選用70億、130億參數的模型更為適合。</p> <p>這三種大小的模型，皆經過5,000億程式碼和相關內容的Token訓練，官方提到，70億、130億基礎模型和指令模型具有FIM（Fill-In-The-Middle）能力，因此能夠生成可插入至現有程式碼中的程式碼。</p> <p>FIM使模型能夠在現有的文字和程式碼中插入和填充內容，類似程式開發環境中程式碼自動完成，或是程式碼建議功能。而70億、130億基礎模型和指令模型具有FIM功能，也就是說使用者不需要額外訓練或是調整，就可以直接使用該功能。</p> <p>Code Llama具有處理長序列內容的能力，能夠穩定生成10萬Token的內容，並且也能夠處理高達10萬Token的輸入。處理長輸入序列的Code Llama能夠支援更多的使用情境，像是使用者可以提供更多來自程式碼庫的上下文，並且對更大的程式碼庫進行除錯。</p> <p>由於Python是經過許多程式碼生成基準測試的語言，而且Python也在人工智慧社群扮演重要角色，因此Meta針對Python，額外以1,000億Python程式碼Token進行微調，生成Python程式開發專用的Code Llama - Python模型。另外，Code Llama - Instruct則是針對指令進行微調的模型版本，能夠處理自然語言指令輸入和輸出，更好地理解使用者所給出的指令。</p> <p>Meta使用目前兩種流行的程式開發基準來測試Code Llama模型，分別是HumanEval與MBPP（Mostly Basic Python Programming），HumanEval可以測試模型根據文件字串完成程式碼的能力，而MBPP則可以測試模型根據描述編寫程式碼的能力。</p> <p>經測試，Code Llama程式開發的能力優於其他開源，且同樣針對程式碼生成的大型語言模型，Code Llama 340億參數模型版本，在HumanEval得分53.7％，而在MBPP的得分則是56.2%，較其他開源解決方案更高。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/369682932_681515836750953_6337320211215231153_n.jpg" style="width: 580px; height: 708px;" /></p> </div></div></div>
2023/8/25 14:36作者李建興https://www.ithome.com.tw/news/158436
【臺灣政府零信任戰略正式啟動】從驗證、採購兩大角度出發，身分鑑別先行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路安全零信任轉型受全球關注，近年臺灣政府已率先付諸行動，推動A級公務機關逐步導入，同時希望帶動本土商用解決方案的發展，讓國內資安產業能在零信任風潮下，擁有一席之地。而這也呼應總統蔡英文任內不斷提及的「資安即國安」戰略，促進臺灣資安產業自主研發能力。</p> <p>回顧2022年7月，當時的行政院國家資通安全會報技術服務中心（現已納入國家資通安全研究院），首度揭露政府零信任架構網路安全戰略的規畫，說明政府零信任架構將分三大階段進行，第一年聚焦「身分鑑別」，第二年是「設備鑑別」，第三年是「信任推斷」，藉此順序，循序建立起零信任架構中決策引擎的3大核心機制，接下來，數位發展部部長唐鳳在11月公開說明這項計畫，展現政府推動的決心。</p> <p>轉眼一年過去，如今，我們看到臺灣零信任推動有了更多具體的發展，例如，第一階段身分鑑別驗證，有多家廠商投入，以及相關共同供應契約發布。</p> <p>同時，我國政府推行強化無密碼登入的態勢，也在持續發酵，自從2019年內政部打造Taiwan FidO臺灣行動身分識別，2021年金管會與金融業及相關單位，共同成立「金融行動身分識別聯盟」（金融FIDO），之後數位發展部在2022年成立，現今這方面的推動情形，更是有著朝向產業擴張的態勢。</p> <p>顯然，無論網路安全的零信任轉型，以及解決傳統密碼登入安全問題，我國在2023年都有著實質的進展。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1144-%E5%B0%81%E9%9D%A2-%E6%94%BF%E5%BA%9C%E9%9B%B6%E4%BF%A1%E4%BB%BB-600-3.png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>醞釀兩年的金融FIDO服務，今年已經完成部署</strong></span><br /> <span style="color: rgb(105, 105, 105);"><strong>在金管會「金融科技發展路徑圖」推動之下，「金融FIDO聯盟」在兩年前成立，如今由財金公司與聯合徵信中心協同金融機構導入的「金融FIDO」服務，已在2023年6月正式上線，將串聯金融產業帶動更多元創新應用。</strong></span></p> <p><span style="font-size:28px;"><strong>領先國際腳步，臺灣從決策引擎驗證做起</strong></span></p> <p>近年來，各界幾乎都在推廣零信任架構的網路安全策略。最重要原因，就是隨著APT攻擊更加猖獗，以及企業網路環境的改變，傳統網路安全策略作法聚焦於邊界防護，屢屢遭受不同形式的突破，而且越來越常發生。</p> <p>於是，經過多年演進的零信任網路安全策略，如今成為主要的因應之道，並廣受認可。其終極目標，就是要大幅降低企業資料外洩災情的發生，以及減少橫向移動攻擊的影響。</p> <p>自從2020年8月，美國國家標準暨技術研究院（NIST）公布SP 800-207標準文件，幾年以來，我們看到國際間已出現許多具體行動，但臺灣能否重視並跟上這股潮流，成為我們持續密切關注的焦點。</p> <p>例如，2021年5月，美國拜登總統開始下令，在美國聯邦政府網路安全現代化工程中，祭出導入零信任架構的網路安全策略，兩個月後，美國NIST旗下國家網路安全卓越中心（NCCoE）也開始行動，挑選出當地18家資安科技業者，來幫助設計與演示實施零信任架構的各種方法，如今更是增至24家以上。</p> <p>最近兩三年，我們看到更多國際科技大廠積極行動支持與響應號召，一方面他們提出自家零信任架構策略，一方面說明自家產品如何朝零信任架構設計，以及這些產品會對應到整個零信任架構的特定環節。</p> <p>而臺灣本身在2023年有何最新進展？</p> <p>首先，在政府零信任架構的推動上，根據行政法人國家資通安全研究院資安院（以下簡稱資安院）最新公布資訊，在第一階段的「身分鑑別」方案功能符合性驗證，通過的廠商方案有明顯增加。去年8月，只有2家廠商提供的方案通過驗證，經過這一年下來，已增加到11個方案。</p> <p>在此當中，前8家均為本土廠商，提供了自家的產品方案，包括：全景軟體、安碁（與歐生全合作）、臺灣網路認證、來毅數位科技、偉康科技、中華資安國際、凌網科技、中華電信。</p> <p>後續則有外商產品通過驗證，包括：奧登資訊提供OKTA的方案，台灣微軟提供自家方案，以及數聯資安提供Cloudflare的方案。</p> <p>目前，我們也得知安碁資訊正改以OpenText（Micro Focus去年被併入該公司）的方案，向資安院申請驗證。</p> <p>因此，單從身分鑑別驗證的現況進展，我們可觀察三個重點：</p> <p>首先，這些方案將會成為日後政府機關導入的重要參考依據；</p> <p>第二，政府希望帶動本土商用解決方案發展，但目前出現新變化，因為通過的第9個方案開始出現外商產品。</p> <p>第三，儘管第二階段的「設備鑑別」驗證已開始啟動，不過目前「身分鑑別」的功能驗證仍在進行。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1144-%E5%B0%81%E9%9D%A2-%E6%94%BF%E5%BA%9C%E9%9B%B6%E4%BF%A1%E4%BB%BB-600.png" style="text-align: center; width: 600px;" /></p> <p><span style="font-size:28px;"><strong>今年政府採購新增零信任方案項目</strong></span></p> <p>特別的是，政府零信任架構的推動不僅止於此，近期我們詢問相關廠商時，了解到另一面向的進展。</p> <p>例如，在2023年2月，數位產業署軟體採購辦公室展開行動，他們在「112年第三次電腦軟體共同供應契約採購－資通安全服務」標案發布新的組別，名為「零信任網路架構導入及維護服務」。這意味著，政府已經將零信任架構相關納入共同供應契約。</p> <p>簡單而言，除各單位獨立公開招標，共同供應契約是各級公家機關查詢各式標案或提供採購的平臺，因此，在此替零信任設立獨立組別，具有重大意義。</p> <p>我們實際檢視該項目的共同供應契約，已有多家廠商參與投標，例如：全景軟體、偉康科技、數聯資安、安碁資訊、中華資安國際、凌網科技，還有自由系統、智域國際、華電聯網、新加坡商網達先進科技、漢昕科技等。</p> <p>以偉康科技、全景軟體為例，主要提供自家身分鑑別方面產品，凌網提供自家與臺灣網路認證的身分鑑別產品；也有廠商提供多品牌、多類型資安產品，如華電連網提供Darktrace、來毅數位科技、VMware、Palo Alto Networks、Fortinet、F5、CyberArk、Cisco、微軟等廠牌的多項產品，漢昕科技提供高達40多家不同類型廠商產品。</p> <p>當然，在這波零信任架構轉型之下，不只是政府機關採取行動，金融領域也在鼓勵之列。在2022年12月底，金融監督管理委員會（金管會）正式發表金融資安行動方案2.0，當中一項內容，就是關於這方面的推行，希望金融業能參考資安院的政府零信任架構，建構新世代的網路安全策略。</p> <p>數位發展部的政策同樣重視零信任，因為部長唐鳳公布年度施政重要目標時，特別強調2023年就是要以推動零信任架構為主要目標。</p> <p>儘管資安界提倡零信任架構的網路安全策略已持續幾年，至今仍有不少人對此毫無概念。我們認為，現階段最大的轉變與意義在於，隨著政府公開喊出「零信任」的旗幟，並已有實際動作，將能夠讓我國能有更多產業都關注、重視這方面議題，並且知道很多企業、產業都在往這方向推進。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1144-%E5%B0%81%E9%9D%A2-%E6%94%BF%E5%BA%9C%E9%9B%B6%E4%BF%A1%E4%BB%BB-2-600.png" style="width: 600px;" /></p> <p><span style="font-size:28px;"><strong>臺灣無密碼登入有望今年爆發，推向金融與更多產業</strong></span></p> <p>除了政府零信任架構推動從「身分鑑別」開始，關於FIDO技術的應用，也開始朝向產業擴展。</p> <p>基本上，資安院在政府零信任架構的決策引擎設計主要考量，採用FIDO技術的無密碼雙因子方式達到身分鑑別。</p> <p>另一方面，關於我國政府在FIDO技術的應用，前幾年就已經開始採取這方面的行動。</p> <p>在2019年10月，內政部資訊中心規畫Taiwan FidO臺灣行動身分識別（簡稱TW FidO），也就是依循FIDO標準，來幫助做到政府網站與服務登入的安全與簡化。</p> <p>就當時的應用而言，在政府便民服務登入方面，初期已有財政部地方稅的民眾網路申報最早啟用；而在政府機關人員系統登入方面，2020年率先有文化部單一簽入入口網支援，後續支援的系統，還有新竹市政府地理圖資倉儲決策支援應用平臺、行政院人事行政總處的人事服務網系統、衛生福利部的精神照護資訊系統，以及法務部的全國公職人員財產生申報系統。</p> <p>2022年，內政部再推自然人憑證行動化，進一步將原本FIDO無密碼登入與自然人憑證整合，因此，不只是用於便民服務登入、機關人員系統登入，也能運用到公文簽核，年底已有83個機關、127個系統支援。</p> <p>到了2023年，我們看到最明顯進展在於，隨著2022年數位發展部成立，政府在這方面的推動更是日益積極，例如，打算推廣更多產業採用FIDO標準。</p> <p>首先，1月數位部宣布加入FIDO國際標準組織，成為內政部之後，第二個加入該聯盟的我國政府機關。</p> <p>接下來，6月13日，財金資訊公司宣布「金融FIDO」服務上線，這是兩年前金管會宣布成立「金融行動身分識別聯盟」後，正式開始提供泛金融產業共通的行動身分識別工具。</p> <p>這意味著，過去金融業可能各自在其服務導入FIDO技術，他們發展腳步較快，而在金融FIDO機制建立之下，將大幅增加普遍應用的可能性，並也更容易串聯金融產業、帶動多元創新。</p> <p>8月15日，在數位發展部數位產業署舉辦的網路信賴基礎環境應用論壇上，部長唐鳳在此場合的談話與採訪，更是透露出三大新重點：</p> <p>（一）數位部目前內部系統都已經採免密碼登入，像是採用TW FidO搭配行動自然人憑證，登入機關內部網站，在系統上簽署公文，因此，未來會更積極廣泛推廣到其他機關單位。</p> <p>（二）內政部近日通過「內政部行動自然人憑證系統介接申請要點」修正，最大改變在於，讓TW FidO的服務對象，從原本只有開放電信、醫療產業應用，擴大到只要適用個人資料保護法的機關或非公務機關，都能夠申請串接。</p> <p>（三）電商產業的用戶安全登入保護機制，也是政府關注重點，希望在FIDO聯盟新推Passkey無密碼登入之下，以及TW FidO串接產業開放之下，盼國內業者要有更多作為。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1144-%E5%B0%81%E9%9D%A2-%E6%94%BF%E5%BA%9C%E9%9B%B6%E4%BF%A1%E4%BB%BB-600-2(1).png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>政府TW FIDO擴大開放到各行業，可促使無密碼登入日漸普及</strong></span><br /> <span style="color: rgb(105, 105, 105);"><strong>今年8月中旬，「內政部行動自然人憑證系統介接申請要點」已通過修正，將服務對象擴大為，適用個人資料保護法之公務機關或非公務機關，也就是說，最初這項服務只有政府單位適用，現在民間企業也能申請，等於加速國內無密碼登入的普及。</strong></span></p> <p><span style="font-size:28px;"><strong>各界認同政府積極推動，但需體認零信任並非單一解決方案</strong></span></p> <p>綜觀上述今年新進展，在網路安全策略上，我國正積極推動零信任架構的導入，並規畫從「身分鑑別」、「設備鑑別」開始做起，而驗證通過名單已陸續增至11家，在政府採購的共同供應契約方面，資通安全服務方面，也新增零信任架構導入的組別；而在網路身分識別上，FIDO無密碼的應用也持續擴張，不只是有數十個政府機關系統支援，甚至數位發展部已宣布全面採用，甚至對民間單位也大開介接之門，促使所有受到個資法規範的非公務機關也能申請。</p> <p>我們也期盼，隨著政府對於零信任、無密碼的推動，已有更高調且實質的推動，將能帶動更多國內產業投入這方面的發展，不論是產品提供或是導入。</p> <p>特別的是，對於政府零信任架構的推動，我們這次也詢問幾家本土業者，他們有什麼樣的看法？</p> <p>身為最早參與政府零信任架構方案研發兩家廠商之一的安碁資訊表示，與資安院（前技服中心）的會議討論上，重點主要圍繞在，此項計畫未來是否能順利成功的推行到機關單位。畢竟現有許多資訊系統的系統框架、資料交換與系統應用關聯性錯綜複雜，因此，如何協助機關規畫、建置與採購零信任方案，更是主要焦點，遠多於技術面的細節。</p> <p>他們認為，今年數發部相當快速地責成軟體採購辦公室做出了相關的規畫，發布新的「零信任網路架構導入及維護服務」共同供應契約項目，相當值得肯定，這代表政府在此項政策推動的決心，因為過去沒有這樣的先例。</p> <p>同時，此舉也對市場投入一股強心劑，讓產業正面看待此項方案的未來與持續研發，後續就看機關單位編列的預算，是否能夠順利到位，以落實政策的執行與實踐。</p> <p>另一方面，對於政府推動商用產品投入發展，我們也詢問推出入選零信任架構的3家本土身分安全產品業者，包括：幫助內政部資訊中心建立TW FidO的臺灣網路認證，產品行銷全球16國的來毅數位科技，以及今年剛興櫃、正向印度市場拓展的偉康科技，他們均認為，有政府帶頭推動是好事，畢竟從過去經驗來看，政府的一舉一動是重要指標，能讓更多產業重視。</p> <p>這是因為，過去廠商其實已經做了很多市場教育，提倡這方面的觀念，但一直不容易被客戶買單，而這兩年在政府鼓吹之下，企業對於這方面的認知的確有所增加；長期以來，許多國內企業多半只會關心同產業間的動作，只要沒有人帶頭，整個產業都會抱持著觀望態度，而不願揭露自己正在使用這樣的資安解決方案。</p> <p>不過，他們也認為，儘管資安院提出政府零信任架構，但他們在產品開發設計上，主要還是會依照自己的步調來進行，畢竟企業與國際市場的需求與環境不同，而政府零信任架構的設計，是考量我國政府機關現有環境與政策而成，因此，這些廠商仍會依據身分鑑別的驗證項目，提供相應、符合的解決方案。</p> <p>而且，基於整個零信任架構來看，他們還會關注的重點在於，能否與其他零信任環節產品整合與相容，尤其是後續網路等層面，畢竟各產品業者擅長的技術領域不盡相同，但如果本身有能力，他們也會發展到身分以外的層面。</p> <p>畢竟，零信任架構並不是只有身分識別這一面向，無法靠單一產品或解決方案就能完成。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1144-%E5%B0%81%E9%9D%A2-%E6%94%BF%E5%BA%9C%E9%9B%B6%E4%BF%A1%E4%BB%BB-600-4.png" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><strong>從美國國防部零信任執行構面，檢視我國當前「政府零信任架構」涵蓋範圍</strong></span><br /> <span style="color:#696969;"><strong>機關或企業導入零信任方案並非依靠單一產品即可完成，為了解我國政府零信任架構身分鑑別的涵蓋面，我們以美國國防部制定零信任能力執行路線圖的內容為參照，並請安碁資訊協助指認。安碁資訊表示，圖中紅色方塊即為政府零信任架構之身分鑑別所涵蓋的範圍，我們顯然還有很大的努力空間。</strong></span></p> <p><a href="https://www.ithome.com.tw/article/158417" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1144-feng_mian_p1-open-zheng_han_-960x420_kao_bei_0.jpg?itok=Z1cAPIEo" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2023/8/25 12:00作者羅正漢https://www.ithome.com.tw/news/158415
擁抱零信任架構商機，本土身分安全產品業者具有多種競爭優勢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一年來，政府積極推動零信任架構實踐，根據去年技服中心（現已併入國家資通安全研究院）的規畫，我國的政府零信任架構聚焦決策引擎、存取閘道的打造，從身分鑑別、設備鑑別、信任推斷這三大核心，依序做起，以利未來的動態身分存取管控，做到持續驗證，因此，身分鑑別就是2023年最主要的推動目標。</p> <p>尤其政府近年強調厚植臺灣資安產業自主研發能力，因此，在零信任架構的推動上，預告將結合政府網路向上集中防護需求，採取資源門戶的部署方式，也參考美國國家資安卓越中心（NCCoE）作法，推動國內廠商能積極參與開發，以及整合出能符合政府零信任架構需求的解決方案。</p> <p>如今，這項計畫有11家廠商的身分安全產品，通過「身分鑑別」功能符合性驗證，當中有8個是基於本土廠商的產品。</p> <p>以臺灣資安廠商而言，精研身分安全技術而入選的業者不少，我們找來其中3家現身說法，瞭解國內廠商在身分安全技術的產品發展，以及如何看待政府零信任架構推動下的商機。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-%E6%9C%AC%E5%9C%9F%E8%BA%AB%E5%88%86%E5%AE%89%E5%85%A8-600-1.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／國家資通安全研究院</span></span><br /> <span style="color:#3399ff;"><strong>去年臺灣政府零信任架構成形，同時推動商用產品符合NIST零信任架構，規畫採取資源門戶的部署方式打造決策引擎的三大核心機制，同時提出完成零信任登入流程，其中身分鑑別產品驗證是最先啟動的一環。</strong></span></p> <p><span style="font-size:28px;"><strong>來毅數位科技：臺灣推動身分安全時機剛好，其實不算太慢</strong></span></p> <p>首先，在2012年成立的來毅數位科技（Lydsec，原名來誼數位科技），他們的發展相當特別。</p> <p>該公司董事長林政毅表示，他們最早的發展可追溯至1987年，家族長輩Maw-Tsong Lin在瑞典創辦的Todos，當時就是專注於身分安全產品，開發可產生OTP碼的硬體式網路身分認證產品，不論是可獨立運作，或是連接電腦、整合讀卡機、按鍵式等幾十款產品，直到2010年Todos被當時的Gemalto收購。</p> <p>2012年後，他們注意到行動裝置普及的態勢，繼而開始聚焦於軟體式網路身分認證產品的發展，一方面，Maw-Tsong Lin在瑞典成立Keypasco公司，另一方面，林政毅也在臺灣成立來誼數位科技，雙邊共同研究發展這方面的解決方案，並在全球16國銷售Keypasco系列產品，2016年改名為來毅數位科技，2019年他們併購Keypasco的資安業務。</p> <p>關於政府推動零信任架構，並從身分鑑別開始著手，林政毅表示，對於他們這類身分安全產品廠商而言，確實起了推波助瀾的效果，畢竟，他們在11年前提倡多因素身分驗證（MFA），當時很多人還不知道MFA是什麼，因此花了相當多時間，在持續對市場進行教育。</p> <p>最近這兩年，在政府大力鼓吹零信任之下，由於第一個議題就是涉及身分認證的環節，因此算是第一個成為受惠的產業。再者，近年政府促進產業資安政策的推動，也喚起臺灣企業資安意識，尤其是這兩年上市櫃公司都在設置資安長，資安長上任後也將進行資安防護盤點或健檢，進而尋找相應的方案，這都是利基點。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-%E6%9C%AC%E5%9C%9F%E8%BA%AB%E5%88%86%E5%AE%89%E5%85%A8-600-2.png" style="width: 550px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>來毅數位科技董事長林政毅表表示，十年前他們在提倡MFA時，需要花相當多時間做市場教育，現在政府推動零信任架構，並從身分鑑別開始做起，有望帶動政府、金融以外產業重視身分安全議題。</strong></span></p> <p>而且，過去產業間，金融業一直是受到高度監管的單位，因此過去對於身分安全方面就有一定的需求，例如，早年就有企業與組織採用硬體Token產品，因為這是Must to have，但對於其他產業而言，多半則是Nice to have，如今隨著政府機關推動無密碼登入、政府零信任架構，有了政府帶頭，可以更容易擴散到其他產業，擴散到企業端。</p> <p>特別的是，由於來毅數位科技已將產品推向全球多國市場，根據他們的觀察，相較於其他國家，臺灣在身分安全方面的推動腳步是否會太慢？</p> <p>他認為，如果是跟美國相比，臺灣的確比較慢，但與鄰近國家相比，我們的腳步走得其實算前面。例如日本比臺灣慢一些，若是越南、泰國等東南亞國家，進度更慢，由於這些國家沒有相關規範去帶動，因此在這波浪潮之下，就會推動得較慢。</p> <p>從硬體發展到軟體，歷經兩大階段，回顧這些年來，林政毅表示，身分認證技術的基本邏輯，其實很相似，基本的知識也都大同小異，重點在於如何能夠適應整個時代的消費者，或使用者習慣。</p> <p>以Keypasco的產品設計來看，最初他們的思考點，就是如何在不安全的裝置上，提供安全的身分認證，因此，將MFA列為必要功能，如今大致可畫分出兩種類型的產品：一種是API模式，可適用B2B2C及B2B的場景，另一種是Proxy模式，專門用於B2B的場景，對於市面上普遍存在的應用系統，能夠予以整合。</p> <p>而在這些年來，林政毅表示，他們已經開發出雙通道認證架構，藉由第二條通道驗證登入資訊，避免中間人攻擊及釣魚攻擊，而且，產品本身具備獲取設備特徵值的能力，同時，還結合了地理位置、時間條件存取限制，以及風險引擎、監控設備的健康狀況等特性。</p> <p>在這10年間，他們持續因應各種產業需求，其實已經處理過各種不同的情境，所以能提供相應方案與版本，而對於這次政府零信任架構的驗證，由於規範當中希望採用FIDO架構，因此，他們也依據這樣的需求，調整出能夠相應的版本。</p> <p>特別的是，除了政府推動確實可以幫助到產業，他認為，國際間全球大廠開始要求，要求自家的供應商能符合相應的資安規範，而這樣的氛圍也是促進產業商機的關鍵之一，因為，他們手上就有一個光電業案子已經這麼做，用戶先將供應商平臺應用API模式身分認證，後續這家公司也進一步採用Proxy模式，讓內部員工的身分認證也都能夠強化。</p> <p><span style="font-size:28px;"><strong>偉康科技：不只政策加持，供應鏈也成推力</strong></span></p> <p>於1998年成立的偉康科技，過去主要發展數位金融解決方案，雖然非一開始就從身分安全技術研發起家，但該公司總經理陳怡良表示，隨著2017年行動應用發達，帳密安全問題備受關注，讓公司技術單位開始發展生物辨識解決方案，接著2018年，由於FIDO標準受到更多國際重視，這時他們開始研發基於FIDO標準的解決方案，也為了保護FIDO技術的安全，設計白箱加密演算法，讓加密金鑰碎片化、不易被竊取。因此，他們大概是在6年前，跨入身分識別的技術領域，一開始是主要鎖定B2B2C的應用，讓他們金融企業的客戶有更好的身分認證方式。</p> <p>對於今日政府零信任架構的推動，從身分識別做起，是否帶動了相關資安需求與商機，陳怡良認為，這可以分成幾個階段談起，就他的觀察，主要是在三年前，也就是2020年之後，有了明顯的變化。</p> <p>首先，是在2020年疫情爆發期間，這時居家上班風潮，VPN使用情形增加，這也讓金融業對於內部人員身分安全更加重視，他們看到金融業居家上班，因此產生更安全身分登入的需求；其次，是VDI遠端桌面也同樣要有更安全的無密碼登入需求；第三個新浪潮，則是隨著供應鏈而起，由於國內許多製造業身處美國科技大廠的供應鏈體系，在受到供應鏈的稽核規範下，因此有企業開始將FIDO技術綁定VDI遠端桌面的需求。由於有這些市場需求的帶動之下，也促進著他們的產品研發。</p> <p>而以政府推動上來看，陳怡良認為，真正在市場上獲得較大迴響的關鍵事件，是2021年金管會宣布金融FIDO成立，當時感受到很多金融業者都很關切這方面議題，之後2022年政府零信任架構發布，算是新一波帶動。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-%E6%9C%AC%E5%9C%9F%E8%BA%AB%E5%88%86%E5%AE%89%E5%85%A8-600-3.png" style="width: 550px;" /></p> <p><span style="color:#3399ff;"><strong>偉康科技總經理陳怡良指出，從產業類型來看，對於身分安全強化最早會是金融業與政府，第三他們認為是製造業，主要是受到供應鏈資安稽核的驅動，第四則會是近期政府點名的電商產業。</strong></span></p> <p>陳怡良表示，2021年與2022年是他們感受最深的時期。而且，偉康在2021年，已將FIDO技術方面的產品核心，變成雲端服務提供給企業，推出基於SaaS服務的OAuth身分認證平臺，因此對於偉康而言，政府這方面的推動確實帶來很大的動力。最近，他們也將上述平臺重新設計為OETH One。</p> <p>關於政府零信任架構的身分鑑別驗證，陳怡良表示，對於投入研發的資訊廠商有好處，因為政府有政策支持，市場有熱度，大家投入的程度也會更高，而且驗證過程也都很嚴格，因此他們依照資安檢核面向與條款，提供對應版本，以滿足技服中心的驗證規範。</p> <p>例如，規範主要依據臺灣政府現況強調的向上集中而進行，但他們原先是採分散式設計。陳怡良表示，他們既然能「分散」，也就能「集中」，關鍵主要是複雜度問題，而一般產業的需求可以是分散，也可以是集中，因此，他們也能對應資安院要求，提供合適的產品。</p> <p>若從更廣角度來看，像是美國政府推動零信任架構，會聚焦在身分、裝置、網路、應用程式與資料等不同面向。</p> <p>因此，以他們目前的方案而言，是從身分到裝置之間的範圍，但在網路這一層面，由於市場上已有很多外商產品，這也不會是他們目前擅長的領域，因此之前就與外商產品進行整合。</p> <p>較特別的是，他們認為應用程式與資料的層面，將牽扯存取權限的細膩度，因此他們也會朝這方向去研發。因為他們的研發中心也涵蓋AI與資料的應用，先從資料控制著手，再往前做回來，他覺得這樣的發展也很不錯。</p> <p>至於國際市場的拓展，偉康科技也正開始行動。他們從2022年開始布局，在2023年5月宣布採國際策略合作方式，與大宇資訊旗下的安瑞科技（Array Networks）進軍印度市場，希望結合偉康FIDO技術與安瑞的SSL VPN，可以較容易地快速切入國際市場發展，而且不只是印度，在泰國、日本等市場，雙方都會有共同合作來推動。</p> <p><span style="font-size:28px;"><strong>台灣網路認證：看好PKIoT領域將投入發展</strong></span></p> <p>作為很早就通過身分鑑別的廠商之一的台灣網路認證，從1999年成立就鎖定身分識別領域的電子憑證發展。該公司策略發展部產品總監連子清表示，他們在2016年開始看重免臨櫃的商機，成立TWID身分識別中心多元整合服務，打造多元身分識別解決方案，發展跨產業應用的客戶身分識別，後續到了2019年，也協助內政部建置Taiwan FidO臺灣行動身分識別。</p> <p>而在原有的電子憑證方面，隨著電子文件、合約的需求，電子簽章的應用也持續擴增，包括電子文件簽署、電子保單認證等。綜合而言，其產品服務已經涵蓋4項，分別是：多元身分識別服務、信物管理服務、電子文件簽署服務，以及資料共享。</p> <p>如今，隨著2022年政府零信任分為三階段開始推動，他們也將原有的身分識別技術，轉化成相應的解決方案。</p> <p>對於資安院提出政府零信任架構的驗證，他們認同這對身分安全廠商是一大利多，同時也提供其他更深刻的觀察。</p> <p>連子清表示，資安院目前畫分三階段進行，從身分鑑別、設備鑑別，到信任推斷，由於通過身分鑑別認證多在去年年底，因此，今年商機可能才會發酵。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-%E6%9C%AC%E5%9C%9F%E8%BA%AB%E5%88%86%E5%AE%89%E5%85%A8-600-4.png" style="width: 550px;" /></p> <p><span style="color:#3399ff;"><strong>台灣網路認證策略發展部產品總監連子清認為，這一年來政府零信任架構的推動，2023年雖然不是一個轉捩點，但可說是一個挺好的時機，尤其是烏克蘭的事件後，政府大力推動網路安全，也促使產業間變得更加重視。</strong></span></p> <p>另一方面，雖然現在剛進入第二階段的設備鑑別，可卻會面臨一些尷尬的局面，主要原因在於，這三階段並非同時進行，因此，前面階段身分鑑別的方案，與位處後面階段的設備鑑別、信任推斷的方案是否相容，是必須注意的。</p> <p>具體而言，因為資安院目前相關規範還沒全部完成，像是設備鑑別才剛開始，信任推斷的驗證內容尚未發布，因此，如果此時要與客戶去談政府零信任的產品與服務規畫，容易面臨現在無法提供全套方案的情況。</p> <p>整體而言，2023年會是好時機，但可能還要再過一段時間，等PoC做完或是與後續階段一起推動之後，才會更有感。畢竟，政府帶頭做，還是要有實際的應用落地，因此可能還要再等等。</p> <p>他還觀察到一些值得留意的狀況，像是：若要參與第二階段產品的驗證，似乎也要通過第一階段驗證，但有些廠商可能有擅長領域不同的狀況。觀察國外的作法來看，其實會有各階段分屬不同廠商的搭配方式。此外，由於第二階段：設備鑑別的涵蓋範圍其實不小，目前在設備健康管理方面，可能會出現到下個階段執行的可能性。</p> <p>就台灣網路認證的方案而言，擅長的是身分鑑別與設備鑑別前半段的部分。單就身分鑑別方面，連子清也提出更多說明，這是因為，以國際標準而言，身分識別分為註冊階段、信物管理、信物驗證，這也是他們涵蓋的部分，不過，資安院提出政府零信任架構的身分鑑別，其實並未涵蓋到定義註冊階段的部分，他認為未來仍應顧及這方面需求。</p> <p>此外，政府共同供應契約新增「零信任網路平台安裝建置服務」的標案，對廠商而言，除了要通過政府零信任架構驗證，也要申請共同供應契約。廠商可能會憂心目前這樣的提供無強制性，公部門若要建置零信任環境，不一定要從通過資安院驗證的廠商去選擇，因此能否帶來顯著市場成效，仍有待觀察。</p> <p>至於未來會有哪些發展焦點？除了跟上政府零信任架構的腳步，台灣網路數位也看好PKIoT的發展，也就是將憑證與IoT做結合，這會是他們未來將發展的重點，目前國外已開始有廠商在做這一塊，至於KYC方面的應用也會是他們接下來的目標，補強身分識別的應用。</p> <p><span style="font-size:28px;"><strong>期盼臺灣資安產品版圖也能擴大</strong></span></p> <p>無論如何，身分安全在零信任架構的重要性不言而喻，像是國際大廠Google與微軟，都公開強調這樣的關係。</p> <p>例如，<a href="https://www.ithome.com.tw/news/154735" target="_blank"><span style="color:#3366ff;">去年底Google Cloud台灣技術副總經理林書平在一場演說中</span></a>，就提到Google零信任的做法，強調以身分取代網路作為存取控制的安全邊界，他們的零信任安全模型，是從身分角度來看信任，共分成五大要素，包含了使用者的身分、裝置的身分，機器的身分、服務的身分，以及程式碼的身分。</p> <p>今年初，我們拜訪微軟了解其零信任發展概況時，該公司專家技術部資安副總經理周彥儒表示，微軟就是以Azure AD（現改名Entra ID）為基礎，達成零信任在身分驗證環節的要求。</p> <p>臺灣開發資安產品的業者不少，在身分安全領域已存在一些業者，如今在零信任架構推動的風潮之下，雖然有蓬勃發展的機會，但很難在短時間內像國際大廠，擁有豐富的產品線、建構完整、全面的零信任解決方案，因此，如何能在零信任產業鏈獲得一席之地，並拓展至全球市場，整合或許是一大關鍵，也是接下來資安界必須持續關注的重點。</p> <p><a href="https://www.ithome.com.tw/article/158417" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1144-feng_mian_p1-open-zheng_han_-960x420_kao_bei_0.jpg?itok=Z1cAPIEo" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2023/8/25 12:00作者羅正漢https://www.ithome.com.tw/news/158416
零信任是概念而非特定解決方案
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在我國政府大力推動零信任之下，我們樂見政府在網路安全策略積極行動，重視這樣的資安界潮流與國際趨勢，但我們也憂心，在目前的政府零信任架構規畫上，只從打造零信任架構的決策引擎、從身分鑑別一項開始，足夠嗎？</p> <p>這幾年我們整理零信任架構進展時，看到美國網路安全暨基礎設施安全局（CISA），以及美國國防部提出相應藍圖。例如，在CISA提出的零信任成熟模型中，是從五大支柱做起，包括身分、裝置、網路、應用服務及工作流、負責，分別定義4種階段的成熟度供評估參考。</p> <p>美國國防部在今年1月提出自身單位的「零信任能力執行路線圖」，當中擬定將從7個層面做起，包括：使用者、裝置、應用程式與工作流、資料、網路及環境、自動化與協調、可視性與分析，並預計要到2027財年，才會達到零信任架構最基本的基準線。</p> <p>而且，我們從目前共同供應契約的零信任採購項目來看，有些廠商在標案中提供的產品，可說是包山包海的資安類型產品。</p> <p>對此問題，大型資安廠商怎麼看待？出身臺灣的國際資安廠商趨勢科技認為，雖然市場上喊出零信任解決方案，但大家在推動零信任架構時可以有一個觀念──零信任是一個框架、是一個概念，不要將零信任架構定位成特定解決方案，要用概念的角度去看待，一步步從各層面去強化成熟度。</p> <p>趨勢科技台灣區暨香港區總經理洪偉淦表示，臺灣從身分識別開始做起，並不是壞事，因為我們很難一開始就設定完美的架構，或是一開始就有很大筆的預算，能夠用來完成所有的事情。</p> <p>但要注意的是，對於零信任架構推動，美國NIST提到要兼顧可用性與安全性，因此，不要為了符合零信任，而去刻意做一套很特殊的系統。再者，用戶對於既有設備不要重複投資，應選擇從最關鍵的地方開始做起，全面去做，可能會變成不分輕重緩急。</p> <p>過去曾擔任美國政府官員、現為趨勢科技技術策略長的David Chow也指出，從美國的推動經驗來看，聯邦政府曾遇到很大的挑戰，因為導入時間很長，根本無法符合白宮要求，而能在短時間內達一定目標。這也顯示出，零信任不是一件容易的事。</p> <p>但David認為，美國政府有個作法值得借鏡。政府將零信任架構整個框架宣布後，主要是給出一個大方向，接下來就是讓各個聯邦政府去制定組織計畫，之後再交由政府來確認，是否可以符合框架的目標，再撥放預算供組織來發展。</p> <p>他認為，美國提出的這些策略其實很多都是風險評估──從風險評估角度切入，掌握需要保護的資訊，從成熟度角度看起，在不同面向提升。</p> <p>例如，美國聯邦政府在2005年啟動個人身分驗證（PIV）計畫，要求員工使用智慧卡（Smart Card）進行身分驗證，後續也衍生PIV-D憑證，因此早就有MFA的機制存在。當組織本身已經有這方面機制，可以繼續用來符合零信任架構，這時就應該把錢放在刀口上，做風險評估，看哪些面向是有效提升其成熟度，並且能夠符合零信任架構所需。</p> <p>洪偉淦也強調，具體實踐就是要從零信任架構的概念，一步步疊加上去，因為我們的預算不可能是無限的，只能一步步做好疊加的動作，但重點在於，疊加的東西需要能夠彼此配合，相容性要疊得出來，才能夠做到真正的整合。</p> <p>畢竟，企業實際導入還會考量成本，以及是否影響日常營運，操作是否會變得困難，若是如此，導入順序也會一直被遞延。在此考量之下，零信任架構才有辦法一步步往前推動。</p> <p><a href="https://www.ithome.com.tw/article/158417" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:22px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1144-feng_mian_p1-open-zheng_han_-960x420_kao_bei_0.jpg?itok=Z1cAPIEo" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%9B%B6%E4%BF%A1%E4%BB%BB">零信任</a></div></div></div>
2023/8/25 12:00作者羅正漢https://www.ithome.com.tw/voice/158418
如何實踐智慧醫院目標？臺大醫院揭新技術流程改造心法
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>早在今年3月14日，臺大醫院就悄悄上線了ChatGPT驅動的就醫推薦系統，能根據患者提供的基本訊息，如症狀描述，來推薦掛號科別，「不只減少民眾不知道要掛哪一科的困惑，也加速醫院科部間和科部內的工作分流，」臺大醫院醫務秘書陳信希說。</p> <p><span style="font-size:28px;"><strong>拆解流程3步驟思考智慧醫療應用</strong></span></p> <p>這是臺大醫院用科技改善醫療流程的一例，也是陳信希推動的一項成果。對許多人來說，醫務秘書是個神秘角色，卻是臺大醫院中關鍵的職位。陳信希解釋，他的職務是協調醫院資訊室和智慧醫療中心2大單位，將IT和AI等新技術，實際落地於醫療場域。他能勝任這個角色，不只因為他是電腦科學家，長年耕耘自然語言處理（NLP）、資訊檢索和AI領域，身兼臺大教職同時，還獲多項國家級獎項，是站在新技術浪尖的第一線研究者。臺大醫院想要借重他，將新技術融入醫療場域。</p> <p>但，如何有效將新技術整合至醫院場景，是許多醫院正面臨的挑戰。陳信希也不例外，他參考自己在電腦科學界解題的經驗，利用問題拆解方式，將臺大醫院的智慧醫院目標，切分為流程數位化、流程優化和流程智慧化3大步驟，再分別以醫護角度和病人角度，來找出新技術導入的突破口。</p> <p>以急診就醫為例，急診流程涵蓋了檢傷、掛號、診斷，以及病人進行檢驗檢查，比如抽血驗尿、超音波或心電圖等。在這期間，護理師會定時照護、量測生命徵象，隨著流程推進，病人的病歷記錄也不斷增加，醫師也得開始規畫，病人離開急診部的動向，比如返家還是住院。這些步驟，再加上後續批價、領藥，就形成了急診就醫整體流程。這些流程，可以套用上述的流程數位化、優化和智慧化3階段，來導入新技術改善。</p> <p>比如在檢傷環節，臺大醫院訓練出AI輔助模型，可預測病人的檢傷等級、住院機率和留院時間，用數位化和智慧化方式加速醫師判斷。再來，他們也開發預測模型，來根據病人病史，分析潛在病癥、相對應的ICD-10疾病分類碼，以及建議醫師的處置方式。</p> <p>在病人離部動向階段，還有AI模型來輔助醫師判斷，比如預測病人3日內回診率、留院觀察期間死亡風險、住院可能性、留院超過24小時機率等。醫師除了能用來安排動向，還能提早規畫病人候床，或在病人離部前，先衛教、引導病人後續到門診追蹤治療等說明。這些就是運用流程拆解和3步驟的改善案例。</p> <p><span style="font-size:28px;"><strong>自行開發系統20年打下基礎</strong></span></p> <p>臺大醫院現在能大力發展智慧醫療應用，還有賴於早年奠基的IT基礎。</p> <p>比如，自2004年開始，臺大醫院資訊室就陸續開發核心系統，像是2006年1月上線的門診系統、2007年2月完成的住院系統、同年5月上線的行政管理系統，還有2009年的急診系統、2011年的電子病歷系統、2012年的檢驗系統等。隨著時間推進，醫院系統也越建越完整，涵蓋了醫院各個作業範圍，舉凡電子病歷、醫療影像、醫療行政管理、教學和研究，甚至是這幾年興起的行動醫療、醫療AI應用等都包括在內。</p> <p>這期間形塑了他們的開發策略，也就是自組團隊，來打造核心醫療資訊系統（HIS）和行政作業系統，比如門診、急診和住院系統，其餘周邊系統則委外開發，兩者並行。</p> <p>不只如此，在這期間，臺大醫院總院IT多了個重要任務，要肩負自家和5家分院的IT維運工作。他們統一總院和分院的軟硬體技術平臺，也支援總分院的系統擴充，來滿足整個體系的醫療和行政需求。這個任務並不簡單，因為，總院和全臺5家分院橫跨了醫學中心、區域醫院和地區醫院等3個等級，這些醫院層級的差異，意味著流程和需求差異。要統一系統，就得顧及這些不同，對IT開發和新技術導入而言，就得多想一步。</p> <p>為統一管理總院和分院IT系統，臺大醫院採資料中心架構模式，來集中管理。他們自建機房，將總院和分院系統都建置在總院機房的同一平臺，來節省維護作業時間。團隊也以關聯式資料庫為基礎，來打造醫院的網頁應用。</p> <p>雖自建機房，陳信希指出，臺大醫院近年也開始討論上雲策略。他們展開幾次策略會議，以成本、安全性、隱私性和發展趨勢等指標，來分析雲端服務和自建落地服務的優缺點。最後得出，醫院適合採用成熟雲服務，來處理不含個資的領域，比如語音辨識、影像辨識等來優化醫療流程。不只臨床作業，他們也用雲服務改善辦公作業，如法傳系統COVID-19通報自動化RPA作業，來提高自動化程度。</p> <p><span style="font-size:28px;"><strong>打造新一代IT系統有7要點，還制定管理辦法助AI落地</strong></span></p> <p>自2004年開始自建系統和維運至今，臺大醫院也累積了20年經驗，期間歷經不少新技術的衝擊和新服務需求。比如行動化醫療出現時，臺大醫院導入不少行動裝置、開發App應用，IoT興起後，他們啟動數個設備連網專案，來優化報到、生理量測資料上傳和繳費等作業。</p> <p>這幾年，AI大浪掀起，臺大醫院在2020年成立智慧醫療中心，建置龐大的醫療整合資料庫，來推進醫療AI發展。如何面對新技術衝擊、打造新一代IT系統，陳信希給出7大要點：「改善使用者體驗、資訊安全內化、服務模組化、資料標準化、系統可商品化和AI應用快速化，」是臺大醫院醫院建置新一代IT系統的方向。</p> <p>他們也在這些方向下，開發、上線不少醫療AI應用，像是全血球自動分析儀、骨髓抹片細胞計數分類AI、心血管疾病輔助判讀軟體、胰臟癌輔助偵測AI和糖尿病視網膜病變篩檢等。</p> <p>在發展醫療AI期間，他們也摸索出一套方法，來鼓勵模型落地醫療場域。這就是臺大醫院智慧醫療中心特別擬訂的人工智慧／機器學習醫療器材軟體試用管理辦法，來確保醫材軟體在兼顧資安、隱私且不影響醫院IT系統運作的前提下，有效執行。</p> <p>其中一個落地成果，是耗時2年完成的胃癌風險預測AI軟體。該軟體由臺大醫院內科部主治醫師李宜家發起，利用大量胃鏡影像訓練而成，AI只要看一眼患者胃鏡影像，9秒就能判斷幽門螺旋桿菌感染或胃癌風險，準確率可達9成以上。這項軟體，也應用於偏遠地區的馬祖醫院，來改善傳統胃相判讀所需的組織切片、切片運送和病理科醫師判讀的冗長流程。其他落地的AI例子還有傷口自動判讀系統、國際疾病分類智慧編碼系統等，來讓醫療流程更智慧化。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/CXO-2P-%E8%8B%A5%E6%A8%B8-500.png" style="width: 513px;" /></p> <div> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>要實現智慧醫院目標，可將問題拆解為流程數位化、流程優化和流程智慧化3大步驟，再以醫護角度和病人角度找出新技術導入的突破口。──臺大醫院醫務秘書陳信希</strong></span></span><span style="color:#696969;">　<span style="font-size:14px;">攝影／洪政偉</span></span></p> </div> <p><span style="font-size:28px;"><strong>生成式AI爆紅，同步採用商用軟體和開源模型</strong></span></p> <p>AI技術總是推陳出新。陳信希指出，去年11月底，ChatGPT橫空出世，成為各行各業競相擁抱的技術，醫療業也不例外。就在ChatGPT問世後不久，去年12月底，臺大醫院院長吳明賢就指示，要將大型語言模型導入至醫院場域。</p> <p>於是，臺大醫院的智慧醫療中心從2方面下手推動，一是舉辦AI技術大躍進系列演講，來介紹大型語言模型、影像基礎模型和互動科技等概念和應用。其中，在ChatGPT場次，臺大醫院還說明醫院視角的ChatGPT機會與挑戰，以及它在智慧醫療領域的研究與應用，甚至是ChatGPT可能引發的研究倫理和法律議題。光是那場研討會，就吸引了臺大醫療體系和外部近600人參與，埋下日後醫院發展生成式AI應用的伏筆。</p> <p>與此同時，智慧醫療中心也從應用面下手，來發展生成式模型驅動的相關系統。比如文初提到的推薦系統，就是透過ChatGPT來設計診別和醫師推薦功能，藉由分析病患提供的症狀問題描述，來推薦患者掛號科別。</p> <p>不只如此，臺大醫院也同步研究開源、可商用的語言模型，如Falcon、Llama 2等，要利用自家資料微調，來發展生成式語言模型，提供院內服務和教學研究使用，如用於流程自動化、疾病進展預測等。另一方面，陳信希自己也帶領學生，進行生成式語言模型研究，其中一個主題是標準化病人，也就是用生成式AI打造出病人角色，來讓醫學生練習問診。陳信希指出，這種問診技能，在醫師的養成中「是一個很重要的過程，」而透過標準化病人練習，可累積醫學生問診經驗。</p> <p>不過，由於大型語言模型仍有其缺陷，如可能產生幻覺、影響準確率等，也是臺大醫院持續研究的另一課題。</p> <p><span style="font-size:28px;"><strong>人才是智慧醫療發展關鍵</strong></span></p> <p>要實現智慧醫院目標，不只要有開發和新技術導入策略，「人才也是關鍵之一。」陳信希點出，臺大醫院從育才、攬才和留才3大層面下手，在育才部分，臺大本身有項電機資訊學院和醫學院聯合設置的智慧醫療學分學程，來讓不同領域的學生跨域學習，畢業後可直接融入醫院場域。陳信希擔任過該學程的主任，他自豪地說，該學程在臺大57項學程中排名前三，教學成效特別好。</p> <p>另外，臺大還設置智慧醫療與健康資訊碩士學位學程，結合ICT工程和生醫健康兩大領域，主題涵蓋AI、個人化智慧醫療和生醫數位訊號處理等領域，來培養跨領域人才。</p> <p>而臺大醫院內部的做法，則是透過醫院的醫療IT專案，集結醫療專業人員和IT人員，建立工作小組，來讓醫師、藥師、護理師等醫療專家與IT領域互相溝通，跨領域學習。這是院內培養人才的做法。就攬才和留才來說，陳信希不諱言，薪資和工作環境是很重要的條件，臺大醫院一方面提高IT人員待遇來留才，同時也會依據領域證照來加薪，加深IT人員投入醫療IT領域的動力。</p> <p>另一方面，身為臺灣重要的醫學中心，臺大醫院對於衛福部今年力推的次世代數位醫療平臺（即次世代HIS平臺）政策，也有些想法。比如，導入國際醫療資料交換標準FHIR是該政策的亮點之一，陳信希點出，訂立資料交換標準（如FHIR）非常重要，但要建立用標準交換資料的IT系統，才會產生結構性的影響。</p> <p>然而，醫療資料是特種個資，平時，醫療院所間不會互相交換資料，常見的交換場景反而是健保申報、醫院與主管機關的資料上傳等。陳信希建議，從這些系統著手、訂好標準，讓醫院遵循規格來配合上傳，是比較容易推動FHIR的方式。</p> <p>再來，這項政策仍在規畫中，目前揭露的資訊還不多，如系統開發最關鍵的系統範圍、規模、功能規格、時程、經費、人力和所提計畫間的連接與整合，還沒有明朗的資訊。因此，他建議，若衛福部能與國內有建置、維運醫院系統經驗的團隊深入討論，更容易擬訂出可行的方案。而臺大醫院已有20多年IT開發維運經驗，非常願意貢獻一己之力，來協助推動政府政策。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CXO小檔案 </span></strong></span></p> <p><strong>陳信希　臺大醫院醫務秘書</strong></p> <p>學歷：臺大電機工程學系博士畢業</p> <p>經歷：1988年臺大電機工程學系博士畢業後，便擔任該學系副教授，1995年升為正教授、2018年起為特聘教授。教職之餘，也在2006年擔任臺大計算機及資訊網路中心主任，2015年至2018年接任臺大電機資訊學院副院長，2019年起擔任臺大醫院醫務秘書、臺大醫院智慧醫療中心主任，2020年開始也擔任臺大智慧醫療學分學程主任</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CXO-2P-%E8%8B%A5%E6%A8%B8-300.jpg" style="width: 300px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫院檔案 </span></strong></span></p> <p><strong>臺大醫院</strong></p> <p>地址：台北市中山南路7號</p> <p>成立時間：1895年</p> <p>主要業務：提供急重症醫療與社區照護</p> <p>員工數：約6,700人</p> <p>院長：吳明賢</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫院大事記 </span></strong></span></p> <p>1982年：資訊室成立</p> <p>2006年：門診系統上線</p> <p>2007年：住院系統上線、行政管理系統上線</p> <p>2009年：急診系統上線，隔年BI分析平臺上線</p> <p>2011年：電子病歷系統上線</p> <p>2012年：實驗室資訊系統和檢驗系統上線，開放總、分院醫師跨院查詢門診、住院、急診檢驗檢查報告及各項紀錄</p> <p>2015年：入口網行動版正式上線，隔年病安通報系統大改版</p> <p>2017年：居護系統上線、癌症資訊系統上線</p> <p>2019年：醫病共享決策上線</p> <p>2020年：智慧醫療中心成立、智慧門診看診資訊系統上線，開發糖尿病視網膜病變判讀AI</p> <p>2021年：建置AI醫療雲運算整合平臺，開發骨髓抹片細胞計數分類AI</p> <p>2022年：疾病分類系統-AI代碼預測上線、法傳系統COVID-19通報自動化RPA作業上線，開發大腸鏡息肉即時偵測AI、胰臟癌偵測AI</p> <p>2023年：開始試用AI智慧急診、胃癌風險預測AI上線，ChatGPT掛號推薦系統上線</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cxo-2p-ruo_pu_-960.jpg" width="960" height="420" alt="" title="臺大醫院醫務秘書陳信希　（攝影／洪政偉）" /></div></div></div>
2023/8/25 12:00作者王若樸https://www.ithome.com.tw/people/158419
Windows最新更新引發BSOD，微軟緊急撤回
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周稍早釋出的Windows 10及Windows 11更新，因處理器不支援影響引發藍色死亡螢幕（Blue Screen of Death，BSOD），微軟已經將之撤回。</p> <p>微軟於8月22日分別針對Windows 10及Windows 11釋出<a href="https://tinyurl.com/22gc5gpe" target="_blank">KB5029331</a>及<a href="https://tinyurl.com/2yd89auj" target="_blank">KB5029351</a>更新。前者在開始功能表新增備份App，並加強用戶地點偵測以顯示氣象。後者則強化搜尋介面並修正搜尋App無法顯示等問題。這波更新屬於選擇性更新。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0825-KB5029351-error.png" style="width: 600px;" /></p> <p>部分用戶安裝更新後反映災情。用戶安裝再重開機後出現BSOD，錯誤訊息顯示為「UNSUPPORTED_PROCESSOR」。該公司在接獲問題通報時，已經緊急撤回這2個更新版。</p> <p>和微軟的說法有點不同，<a href="https://www.windowslatest.com/2023/08/25/microsoft-pulls-botched-windows-11-update-causing-blue-screen-errors/" target="_blank">《Windows Latest》</a>報導，受害的PC涵括搭載Intel、AMD處理器，但皆為使用微星主機板的機器。至於確切原因，微軟表示已展開調查以判斷原因何在。</p> </div></div></div>
2023/8/25 12:34作者林妍溱https://www.ithome.com.tw/news/158435
拓展零信任應用，臺灣啟動資安採購商機
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1144-feng_mian_p1-open-zheng_han_-960x420_kao_bei_0.jpg?itok=Z1cAPIEo" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2022年臺灣政府零信任架構初步成形，2023年邁入全新階段，不只第一階段「身分識別」驗證通過方案增至11個，政府採購標案也開出零信任的類型，連帶將影響全國重視並落實零信任，朝向新世代網路安全策略推進。</p> </div></div></div>
2023/8/25 12:56作者羅正漢https://www.ithome.com.tw/article/158417
Threads Web版上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一度掀起用戶下載熱潮的Meta文字社交平臺Threads，<a href="https://www.threads.net/@mosseri/post/CwVfB2ohqNa" target="_blank">昨（24）日Instagram（IG）主管Adam Mosseri正式公告</a>Web版推出。</p> <p><a href="https://about.fb.com/news/2023/07/introducing-threads-new-app-text-sharing/" target="_blank">本周稍早Meta執行長祖克柏（Mark Zuckerberg）已預告此事</a>。Web版目前僅具備基本功能，讓用戶從桌機瀏覽器登入後貼文、讀取訊息並和他人互動。Meta表示正加緊趕工讓Web版功能趕上手機版本，未來幾周內會再增加其他功能。</p> <p>Threads 7月6日正式上線後即短暫引發廣大迴響。Threads因與IG帳號綁定，上線7小時後註冊人數超過千萬，5天破億。根據市調公司Sensor Tower估計，最尖峰時，Threads每日經常用戶數達4,400萬，不過到7月底已跌了82%。剩下800萬。一般相信Threads未能開發獨特功能是人氣迅速回落，未能取代X（原Twitter）的關鍵。</p> <p>也有用戶指出Threads連基本的功能都還很不齊全，像是對動態.gif及hashtag、拖拉附圖／影片都還未能支援，雙因素驗證（2FA）也常出錯。</p> <p>Meta方面則認為一切在預期中，該公司也持續開發新功能，像是8月初新增了以時序顯示貼文、私訊、@mention鍵等。</p> <p>另一方面，X雖然改品牌及組織變動引發批評，還有<a href="https://www.cnbc.com/2023/08/18/elon-musk-says-x-users-will-be-losing-the-ability-to-block-content-.html" target="_blank">移除了封鎖關注者</a>等令人不解的功能變更，但使用量相對穩定，<a href="https://twitter.com/elonmusk/status/1684978651857596429" target="_blank">技術長馬斯克（Elon Musk）於8月宣布</a>平臺用戶數創下新高，每月經常用戶數來到5.4億。</p> </div></div></div>
2023/8/25 12:12作者林妍溱https://www.ithome.com.tw/news/158434
知名圖資料庫Neo4j加入可增強生成式AI的向量搜尋功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>財富100有超過75家企業使用的熱門圖資料庫Neo4j，推出了一項名為<a href="https://neo4j.com/blog/vector-search-deeper-insights/">向量搜尋（Vector Search）</a>的新功能，能夠快速搜尋上下文相關的資訊，找出隱藏在資料點中的隱藏關係，官方提到，透過向量搜尋所找到的資料不是單純比對關鍵字，而是能進一步理解單詞背後的意義，因此使用者可以從生成式人工智慧中獲得更豐富的資訊。</p> <p>結合Neo4j所提供的知識圖譜和向量搜尋功能，使用者能夠以Grounding技術，進一步改善大型語言模型回應的精確度。Grounding在語言模型中的意義，是將模型的知識或回答，與具體且可信的資料相關聯，Grounding可以視作一個橋樑，將大型語言模型和資料庫或是知識圖譜相連接，以提供基於事實，並且與上下文相關的回應。</p> <p>開發者可以利用特定的機器學習模型，將各種資料型態，像是文件、影片、音訊和圖像編碼成向量，接著以Neo4j創建向量索引，選擇使用餘弦相似度或是歐幾里德相似度，快速執行近似K-近鄰演算法（KNN），找到與特定向量相似的向量。</p> <p>官方提到， Neo4j提供了一種新的分層可導航小世界（Hierarchical Navigable Small World，HNSW）演算法，能夠很有效率地找到相似的向量。在Neo4j圖資料庫中，用戶可以在節點屬性中，利用非結構化資料的嵌入表示來創建向量索引。</p> <p>使用Neo4j進行語言模型的Grounding，可以提升人工智慧應用的精確度，像是強化詐欺偵測，透過向量搜尋捕捉尚未建模的隱藏關系，增加詐欺偵測的廣度，而個人化推薦方面，向量搜尋則會考慮用戶查詢和偏好，因此能夠推薦更相關的項目。</p> </div></div></div>
2023/8/25 08:24作者李建興https://www.ithome.com.tw/news/158429
【資安日報】8月24日，DuoLingo用戶個資傳出在駭客論壇兜售，疑似因API臭蟲而外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客透過網頁抓取手法收集網站使用者的資料，屢見不鮮，然而面對這類資料外洩行為，站方不易察覺，通常要等到駭客兜售之後，網站服務業者才意識到商譽嚴重受損，而開始著手進行調查，但為時已晚。例如，有人在駭客論壇BreachedForums宣稱取得260萬筆語言學習網站DuoLingo的用戶資料，該公司著手調查此事，並強調他們沒有遭到入侵。</p> <p>但值得留意的是，有資安新聞網站指出，駭客很可能是利用該公司曝露超過半年的API漏洞，取得相關資料，後續情況有待進一步觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">大型語言學習網站DuoLingo驚傳資料外洩，有人在駭客論壇兜售用戶個資</span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/FnNUF5NXEAEXPx7.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FnNUF5NXEAEXPx7.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站The Record的報導，大型語言學習網站DuoLingo著手調查駭客論壇上的文章，其內容是有人兜售260萬名使用者帳號的資料，開價1,500美元。</p> <p>一名發言人表示，他們得知上述的廣告是在8月22日出現，賣家宣稱資料內容包含用戶的電子郵件信箱、電話號碼、報名的課程，以及其他使用者個資，並提供1千筆資料供買家檢驗。而對於賣家取得這些資料的管道，該公司指出是透過網頁抓取而得，他們並未遭遇駭客攻擊，也沒有發生資料外洩的事故，這樣的說法與賣家聲稱是透過公開API收集，其實並不衝突，因為這的確可能不是典型的暴力搶奪或搜刮，而是因為API存取問題而導致。</p> <p>資安研究團隊VX-underground指出，駭客是發現DuoLingo的API臭蟲，進而發送電子郵件信箱資料，使得此API回傳用戶的帳號資訊。資安新聞網站Bleeping Computer指出，有人再度在駭客論壇BreachedForums提供這批資料，用戶只需花費8個論壇幣（2.13美元）就能取得。而對於這項API臭蟲，Bleeping Computer指出有人曾在今年1月就濫用，但到目前為止DuoLingo並未著手處理。</p> <p>資料來源</p> <p>1. <a href="https://therecord.media/duolingo-investigating-dark-web-post-offering-data-from-2-6-million-accounts">https://therecord.media/duolingo-investigating-dark-web-post-offering-data-from-2-6-million-accounts</a><br /> 2. <a href="https://twitter.com/FalconFeedsio/status/1617735519194214413">https://twitter.com/FalconFeedsio/status/1617735519194214413</a><br /> 3. <a href="https://twitter.com/vxunderground/status/1693742275145150927">https://twitter.com/vxunderground/status/1693742275145150927</a><br /> 4. <a href="https://www.bleepingcomputer.com/news/security/scraped-data-of-26-million-duolingo-users-released-on-hacking-forum/">https://www.bleepingcomputer.com/news/security/scraped-data-of-26-million-duolingo-users-released-on-hacking-forum/</a></p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">丹麥主機代管業者CloudNordic、AzeroCloud遭遇勒索軟體攻擊，客戶資料尚未復原</span></strong></p> <p>根據資安新聞網站Bleeping Computer的報導，丹麥主機代管業者CloudNordic、AzeroCloud於8月18日凌晨遭遇勒索軟體攻擊。駭客關閉了大部分的系統，包含網站、電子郵件系統、客戶管理系統，以及客戶代管的網站等，導致兩家公司的營運面臨全面癱瘓，並表示他們無法恢復大部分遭到加密的檔案，同時強調不會向駭客低頭而被迫支付贖金。</p> <p>而對於他們遭到攻擊的原因，兩家公司認為與資料中心遷移有關，駭客已事先在部分伺服器部署惡意程式，兩家公司在移轉的過程中曾將這些伺服器與公司內部環境連接，使得攻擊者有機可乘，存取重要的管理系統，以及所有的資料儲存系統和備份系統，進而加密伺服器的資料，當中包含了主要及次要備份檔案。當地媒體Radio FM4指出，這起勒索軟體攻擊影響數百家丹麥的中小企業。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/security/hosting-firm-says-it-lost-all-customer-data-after-ransomware-attack/">https://www.bleepingcomputer.com/news/security/hosting-firm-says-it-lost-all-customer-data-after-ransomware-attack/</a><br /> 2. <a href="https://www.radio4.dk/nyheder/mange-danske-virksomheder-er-ramt-af-hackerangreb-der-er-ingen-virksomhed-tilbage/">https://www.radio4.dk/nyheder/mange-danske-virksomheder-er-ramt-af-hackerangreb-der-er-ingen-virksomhed-tilbage/</a></p> <p><a href="https://www.reversinglabs.com/blog/fake-roblox-api-packages-luna-grabber-npm"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Roblox開發人員遭惡意軟體Luna Grabber鎖定，藉由NPM套件發動攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/luna-grabber-figure_2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/luna-grabber-figure_2.png" style="width: 300px; float: right;" /></a>資安業者ReversingLabs揭露鎖定電玩遊戲Roblox開發者而來的惡意NPM套件攻擊行動，駭客約自8月初，假借提供Roblox的API封裝器noblox.js的名義，將noblox.js-ssh、noblox.js-secure等名稱相近的惡意套件，發布到NPM公共儲存庫。</p> <p>駭客複製了正牌套件的程式碼，然後加入惡意內容，目的是散布竊資軟體Luna Grabber，這些套件被NPM撤銷之前已被下載近1,000次，一旦開發人員下載到開發環境，該套件會先偵測是否於Windows作業系統運作，然後從即時通訊軟體Discord的CDN下載Luna Grabber。</p> <p>研究人員指出，鎖定Roblox開發者而來的攻擊行動已有前例，2021年，<a href="https://blog.sonatype.com/fake-npm-roblox-api-package-installs-ransomware-spooky-surprise">資安業者Sonatype發現有人假冒noblox.js-proxied</a>，提供Noblox.js-proxy、Noblox.js-proxies惡意套件，目的是竊取開發人員的Discord、瀏覽器、電腦的各式帳密資料。</p> <p><a href="https://www.group-ib.com/blog/cve-2023-38831-winrar-zero-day/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客自4月就利用WinRAR零時差漏洞發動攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2023-38831_9-4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2023-38831_9-4.png" style="width: 300px; float: right;" /></a>資安業者Group-IB在調查惡意軟體DarkMe的過程當中，發現駭客自今年4月開始，製作惡意的ZIP、RAR壓縮檔，並在網路犯罪交易論壇上兜售。這些壓縮檔內有看似無害的JPG圖檔，或是PDF、TXT文件檔案，然而一旦使用者透過WinRAR開啟，攻擊者就會藉由零時差漏洞CVE-2023-38831執行指令碼，於電腦部署惡意軟體DarkMe、GuLoader、Remcos RAT。</p> <p>研究人員看到駭客利用上述手法，在加密貨幣論壇、股票交易論壇發動攻擊，聲稱要分享投資策略，他們看到至少有8個論壇出現相關攻擊，130個投資人的電腦遭惡意程式感染，但實際受害人數、損失金額有待進一步釐清。</p> <p>一旦投資人依照指示開啟對方提供的RAR或ZIP檔，並檢視壓縮檔裡面的文件檔案，駭客便利用CVE-2023-38831執行惡意指令碼並部署惡意軟體。研究人員通報RARLab，該公司於7月20日發布的6.23版WinRAR予以修補。</p> <p><a href="https://www.sentinelone.com/labs/chinese-entanglement-dll-hijacking-in-the-asian-gambling-sector/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客濫用含有漏洞的瀏覽器、防毒軟體檔案，透過DLL挾持部署Cobalt Strike</span></strong></a></p> <p>資安業者SentinelOne揭露中國駭客鎖定東南亞賭博產業的攻擊行動，駭客先透過agentupdate_plugins.exe與AdventureQuest.exe部署.NET可執行檔，進而從阿里雲的儲存桶下載第二階段的作案工具，駭客透過ZIP壓縮檔打包，並加上密碼保護措施。接著，駭客利用Adobe Creative Cloud、Microsoft Edge、McAfee VirusScan的可執行檔，以DLL挾持的手法於目標電腦部署Cobalt Strike的Beacon。</p> <p>值得一提的是，駭客運用了Ivacy VPN軟體供應商PMG的遭竊證書，來為AdventureQuest.exe簽章。此外，駭客利用了HUI Loader的惡意程式載入工具來進行DLL挾持工作。</p> <p>而根據駭客所使用的基礎設施，研究人員推測攻擊者的身分是中國駭客組織Bronze Starlight（亦稱DEV-0401），並認為他們的發現與另一家資安業者ESET於5月揭露的攻擊行動Operation ChattyGoblin有關。</p> <p><a href="https://www.bleepingcomputer.com/news/security/over-3-000-openfire-servers-vulnerable-to-takover-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾3千臺開源即時通訊系統Openfire尚未修補路徑穿越漏洞，未經身分驗證的攻擊者可建立新的管理員帳號而奪取這些系統</span></strong></a></p> <p>5月23日開源即時通訊系統Openfire修補主控臺路徑穿越漏洞CVE-2023-32315，此漏洞允許攻擊者利用不驗證身分的安裝環境存取主控臺，進而存取主控臺當中受限制的網頁，CVSS風險評分為8.6，影響2015年推出的3.10.0版及後續版本，開發團隊推出4.6.8、4.7.5、4.8.0版Openfire予以修補。</p> <p>但資安業者VulCheck發現，迄今仍有超過3千臺伺服器尚未套用更新軟體。研究人員透過物聯網搜尋引擎Shodan尋找曝露上述弱點的伺服器，他們看到總共有6.324臺能透過網際網路存取的Openfire伺服器，其中約有半數存在漏洞、五分之一套用更新程式、四分之一採用不受影響的舊版本。雪上加霜的是，研研究人員發現與此漏洞有關的新攻擊手法，可在沒有建立管理者帳號的情況下，利用漏洞上傳外掛程式，很有可能讓相關攻擊行動更難察覺。</p> <p>資料來源</p> <p>1. <a href="https://vulncheck.com/blog/openfire-cve-2023-32315">https://vulncheck.com/blog/openfire-cve-2023-32315</a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://github.com/igniterealtime/Openfire/security/advisories/GHSA-gw42-f939-fhvm" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--1501226460" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://github.com/igniterealtime/Openfire/security/advisories/GHSA-gw42-f939-fhvm</span></a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://moda.gov.tw/press/press-releases/6237"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為強化政府網站韌性，數位部帶頭採用雲原生技術</span></strong></a></p> <p>8月18日數位發展部表示，為有效因應境外網路攻擊，並提升網站穩定度與數位服務品質，他們率先示範導入網站韌性強化技術及雲原生架構，並協助將相關經驗移轉給其他政府機關使用，達到推動數位韌性的目標。所謂的雲原生架構，指的是將服務元件包裝成執行時較不耗運算資源的容器，快速部署運行在公有雲上，如遇突發性大量資訊系統使用需求時，即可運用雲端資源快速擴展服務量能，避免服務中斷。</p> <p>除數位部自己的網站，未來，數位部也計畫在政府開放資料平臺（data.gov.tw）、數位通傳資源管理系統，陸續導入這項作法。而這是他們繼採用全網站靜態化、導入星際檔案系統（IPFS）之後，強化網站數位韌性的最新措施。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.securityweek.com/australian-energy-software-firm-energy-one-hit-by-cyberattack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">澳洲能源軟體業者Energy One遭遇網路攻擊</span></span></strong></a></p> <p><a href="https://www.securityweek.com/first-weekly-chrome-security-update-patches-high-severity-vulnerabilities/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google首度發布Chrome每週更新，修補4個高風險漏洞</span></span></strong></a></p> <p><a href="https://apps.web.maine.gov/online/aeviewer/ME/40/723efb4f-1987-4731-84ad-3c98a5afcf45.shtml"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Discord針對今年3月發生的資料外洩事故進行說明</span></span></strong></a></p> <p><a href="https://www.hudsonrock.com/blog/100-000-hackers-exposed-from-top-cybercrime-forums"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">10萬網路犯罪論壇用戶帳密資料曝光</span></span></strong></a></p> <p><a href="https://www.group-ib.com/media-center/press-releases/africa-cyber-surge-ii/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">國際刑警組織逮捕14名竊取4千萬美元的嫌犯</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158411">【8月23日】研究人員揭露勒索軟體Akira新攻擊手法，駭客鎖定思科VPN系統做為初始入侵管道</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158398">【8月22日】木馬程式HiatusRAT鎖定臺灣而來，半導體、化學製造業、縣市政府成為目標</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158378">【8月21日】逾3千個安卓惡意軟體採用不支援的壓縮格式演算法，目的是防止被研究人員反組譯</a></strong></p> </div></div></div>
2023/8/24 17:16作者周峻佑https://www.ithome.com.tw/news/158431
AI趨勢周報第225期：DeepMind發表新演算法ReST，不需人為介入強化學習
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0818～0824)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">強化學習 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DeepMind </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ReST </span></strong></span></p> <p><span style="font-size: 22px;"><strong>DeepMind發表新演算法ReST，不需人為介入強化學習了</strong></span></p> <p>DeepMind最近發表強化自我訓練演算法ReST，可望改變大型語言模型（LLM）訓練方法。進一步來說，人類回饋強化學習（RLHF）是大型語言模型常用的強化學習方法，透過人類提出的回饋來優化模型，讓大型語言模型的產出與人類偏好一致、給出高品質回覆。但DeepMind開發一種簡單的演算法，不需人類回饋，就能讓模型的產出與人類偏好一致。</p> <p>只要給定初始LLM策略，ReST就會根據策略產生樣本，這些樣本累積成一個資料集，再加上離線強化學習演算法，就能一起用來改善LLM策略。經測試，團隊發現ReST比典型的線上RLHF還要有效，因為訓練資料集是離線產生，有助於資料重複使用。雖然ReST適用於所有生成式學習模型，但團隊用它來改善機器翻譯，並發現，ReST大幅改善翻譯品質，在自動基準測試和人工評測，結果都是如此。這證明了，ReST克服線上RLHF的局限性，能降低在訓練過程中持續產生新樣本的運算成本。<a href="https://chrome-extension://efaidnbmnnnibpcajpcglclefindmkaj/https://arxiv.org/pdf/2308.08998.pdf">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Hugging Face </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 多模態 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Flamingo </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Hugging Face發布圖文通吃的多模態模型，媲美DeepMind的Flamingo</strong></span></p> <p>最近，專攻自然語言處理的Hugging Face團隊發表800億參數多模態模型IDEFICS，可處理文字和圖像輸入，並能產出文字結果，比如回答關於圖片的問題、產生圖說、根據多張圖片說故事等。進一步來說，IDEFICS完全以開放資料和模型打造而成，採用的模型包括LLaMA v1和OpenCLIP，訓練資料則來自維基百科、公開多模態資料集、LAION，以及他們開源的OBELICS資料集，含1,115億Token，由網路抓取的1.41億個圖文檔案組成。</p> <p>Hugging Face開放存取IDEFICS，包含基礎版和指令調校版，各版本皆有90億參數和800億參數兩種大小的模型，同時提供經微調、適合對話應用的版本idefics-80B-instruct和idefics-9B-instruct。團隊表示，IDEFICS是仿DeepMind的語言-視覺模型Flamingo而成，Flamingo表現優越（SOTA），但未開源。經測試，IDEFICS在各項圖文基準測試的表現，都與Flamingo相媲美。Hugging Face表示，由於IDEFICS使用Meta的LLaMA v1，使用者若要使用IDEFICS，得向Meta申請許可。<a href="https://huggingface.co/blog/idefics">（詳全文）</a></p> <p><img alt="" src="https://huggingface.co/datasets/huggingface/documentation-images/resolve/main/blog/idefics/woodstock_ai.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Meta </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 翻譯 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語音 </span></strong></span></p> <p><span style="font-size:22px;"><strong>文字、語音都能懂！Meta開源多語言翻譯模型</strong></span></p> <p>Meta最近宣布釋出多語言、多模態翻譯模型SeamlessM4T，支援將近100種語言的文字和語音翻譯。SeamlessM4T是Meta打造單一翻譯工具計畫的最新成果。2020年，Meta就發表支援100種語言的翻譯模型M2M-100，去年又釋出文字轉文字翻譯模型NLLB 200，支援200種語言，今年上半年則發布大量多語語音（MMS）模型，可提供1,100多種語言的語音辨識和語音合成。</p> <p>SeamlessM4T整合了這些計畫的技術，用多種語音資料訓練，將多語言、多模翻譯能力整合至單一模型中。就技術而言，Meta小組重新設計序列建模工具fairseq，增加建模和資料載入API，並用支援語音辨識、聽寫、語音合成、文字對文字的多任務UnitY架構為基礎模型，再以自監督語音編碼器w2v-BERT 2.0進行語音資料預處理，並採用NLLB模型的文字編碼器。在語音合成方面，則用UnitY模型的語音生成元件T2U和HiFi-GAN unit vocoder，來產出翻譯後的語音。為訓練SeamlessM4T，專案小組使用了44.3萬小時的語音/文字對，還有2.9萬小時的語音/語音對，支援36種語言，統稱為SeamlessAlign。Meta宣稱，從數量和涵括的語言來看，這組資料集都是當今之冠。<a href="https://ai.meta.com/blog/seamless-m4t/">（詳全文）</a></p> <p><img alt="" src="https://scontent.ftpe7-1.fna.fbcdn.net/v/t39.2365-6/369889300_946056619819708_693331134612217694_n.jpg?_nc_cat=106&ccb=1-7&_nc_sid=ad8a9d&_nc_ohc=jDk0KbGwPqQAX-Tgctt&_nc_oc=AQl-QHpkmQ00G6gfwiyHg19jw3TeGk2U9d8wCIYg3Xd7KZmqoze5aRHHJfpcG5unvBI&_nc_ht=scontent.ftpe7-1.fna&oh=00_AfBx2xNiB_8O_tfzlK1kmM2kR2qdA2oCSOY2H7vipiZvpw&oe=65017420" /><span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> Excel </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> Python </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟在Excel加入Python支援</strong></span></p> <p>日前，微軟宣布在Excel加入Python支援，讓同一個Excel工作簿能同時執行Python程式和Excel公式，如機器學習、資料清洗或預測式分析，目前為公開預覽版。</p> <p>進一步來說，Excel加入Python支援，可讓用戶在Excel資料格內，輸入Python腳本程式語言，並在雲端執行運算，再將包含圖表或視覺化物件的結果回傳到工作表。Python in Excel可和Excel現有工具如公式、PivotTables、Excel圖表相容，且配合Excel內建的連接器和Power Query，使用者還可將資料抓進Python in Excel。微軟表示，Python開發者可用Excel完成資料視覺化、資料清洗，或執行預測式分析、機器學習等任務。<a href="https://techcommunity.microsoft.com/t5/excel-blog/announcing-python-in-excel-combining-the-power-of-python-and-the/ba-p/3893439">（詳全文）</a></p> <p><img alt="" src="https://techcommunity.microsoft.com/t5/image/serverpage/image-id/499445i1C5AC2F0ECD89B1C/image-size/large?v=v2&px=999" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微調 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GPT-3.5 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OpenAI </span></strong></span></p> <p><span style="font-size:22px;"><strong>GPT-3.5 Turbo開放微調了</strong></span></p> <p>OpenAI開放自家大型語言模型GPT-3.5 Turbo的微調功能，使用者可自定義模型，來滿足特殊用例需求。語言模型微調是指，用特定資料集來訓練一套預訓練模型，來強化模型對特定任務或應用的表現。OpenAI測試發現，GPT-3.5 Turbo微調，在特定任務上的表現甚至超過GPT-4的基礎能力。</p> <p>微調不只讓模型適應特殊任務，還能讓使用者用較短的提示語，得到不錯的效能。OpenAI指出，早期測試者可將提示長度縮短90％，API的呼叫也會更快速，更節省成本。現在微調後的GPT-3.5-Turbo模型，可處理的Token數多達4,000，是之前微調模型的2倍。至於微調價格，主要分為初始訓練成本和使用成本，使用10萬Token的檔案微調gpt-3.5-turbo，經3次完整訓練，成本約為2.4美元。今年稍晚，OpenAI還會推出新功能，允許使用者針對函式呼叫與gpt-3.5-turbo-16k模型微調。<a href="https://openai.com/blog/gpt-3-5-turbo-fine-tuning-and-api-updates">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> VMware </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 離線部署 </span></strong></span></p> <p><span style="font-size:22px;"><strong>VMware推出多項生成式AI服務，也有離線部署方案</strong></span></p> <p>在今年VMware Explore大會中，VMware發表跨雲新服務<a href="https://news.vmware.com/releases/vmware-explore-2023-private-ai-foundation">Private AI</a>，可支援多雲的企業生成式AI模型訓練、測試和部署，另也與Nvidia聯手，推出可於離線環境中使用的方案，來協助企業開發和客製化自己的LLM模型，降低內部資料外洩風險。</p> <p>進一步來說，Private AI是VMware的第6大跨雲服務，可確保企業數據隱私和權限控管，並整合資安和管理機制，可協助企業在複雜多雲環境中，執行、微調或進行LLM模型推論，並應用於各場景，如程式碼生成或使用生成式AI Chatbot。同時，VMware也與Nvidia推出可地端部署的一站式生成式AI平臺，企業只需在自家資料中心內部署這套平臺，就能進行生成式AI基礎模型的訓練和推論，屬於離線部署方案。最後，VMware也將生成式AI融入多雲產品，像是在VMware Tanzu、Workspace ONE、NSX+等服務中，加入用Private AI開發的生成式AI智慧助手功能。<a href="https://www.ithome.com.tw/news/158401">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Hugging Face </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 程式開發 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SafeCoder </span></strong></span></p> <p><span style="font-size:22px;"><strong>資料不外洩！Hugging Face推出企業級自託管程式開發助手</strong></span></p> <p>企業可用的程式開發助手又多一例，Hugging Face最近推出SafeCoder，強調更安全、自託管，就像是企業地端的GitHub Copilot一樣。Hugging Face說明，SafeCoder並不是一個模型，而是完整的端到端商業解決方案，並以安全和隱私為核心原則打造，也就是說，程式碼在訓練或推論過程中，都不會離開企業的虛擬私有雲（VPC）。</p> <p>企業可透過SafeCoder，在自家基礎設施上建立自己的程式碼大型語言模型，不需與Hugging Face或其他第三方共享程式碼，免除用自家資料微調閉源模型的資料外洩風險。<a href="https://huggingface.co/blog/safecoder">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> YouTube </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 孵化器 </span></strong></span></p> <p><span style="font-size:22px;"><strong>YouTube成立音樂AI孵化器，鼓勵創作者用AI做音樂</strong></span></p> <p>日前，YouTube成立音樂AI孵化器（Music AI Incubator），要深究AI在音樂創作的潛力，並鼓勵作詞、作曲等領域的創作者參與，使用AI工具來創作。為順利推動這項計畫，YouTube也聯手環球音樂集團（UMG），透過旗下藝人來測試生成式AI於音樂創作的應用，並給出洞察。此外，YouTube也會在這項計畫下，利用生成式AI來保護作品，比如找出濫用AI生成的錯誤內容、商標等，來保障創作者社群。<a href="https://blog.youtube/inside-youtube/partnering-with-the-music-industry-on-ai/">（詳全文）</a></p> <p>圖片來源／Hugging Face、Meta、微軟</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 麥肯錫用生成式AI打造企業資料搜尋工具Lilli</strong></p> <p><strong>2. 吳恩達<a href="https://twitter.com/AndrewYNg/status/1691833398959186085?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1691833398959186085%7Ctwgr%5E6dce44dc8a7a0376e649f80e039db0f59f12bd7b%7Ctwcon%5Es1_&ref_url=https%3A%2F%2Fanalyticsindiamag.com%2Fandrew-ng-cohere-unveil-free-course-on-llms-with-semantic-search%2F">推出語義搜尋LLM免費課程</a></strong></p> <p>資料來源：iThome整理，2023年8月</p> </div></div></div>
2023/8/24 18:19作者王若樸https://www.ithome.com.tw/news/158432
引入雲端原生兼容伺服器虛擬環境，VMware拓展災難復原服務
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/vcdr-main.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>受到氣候變遷與地緣政治因素影響，全球天災人禍頻傳，IT層面如何做到災難復原（DR）、業務持續運作管理（BCM），再度成為企業重要議題，市面上相關的解決方案也隨著IT基礎架構的演進，而不斷推陳出新，像是基於VMware伺服器虛擬化環境而成的Site Recovery Manager（SRM），以及Acronis、Dell、Veeam、Veritas等眾多備份軟體廠商推出的DR方案，到了雲端服務當紅的時期，有多家廠商開始發展出災難復原即服務（DRaaS），以VMware而言，他們旗下目前有多款解決方案，其一是VMware Site Recovery，基於SRM與vSphere Replication遠端複製技術而成，另一是VMware Cloud Disaster Recovery（VCDR），是2020年7月併購雲端原生DRaaS服務新創廠商Datrium而來，同年9月發表這套解決方案，10月正式推出。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-11-MCLB3042EUR-VCDR1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-MCLB3042EUR-VCDR1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-11-MCLB3042EUR-VCDR2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-MCLB3042EUR-VCDR2.jpg" style="width: 450px;" /></a></p> <h3><span style="color:#0000FF;"><strong>提供隨需執行、易於使用，以及隨用量計費的彈性</strong></span></h3> <p>在併購之初，VMware表示，Datrium的DR服務加入之後，可擴展他們既有的災難復原即服務產品線——原先的VMware Site Recovery，著重在效能最佳化，Datrium的解決方案可提供成本最佳化的另一種選擇，而且能夠基於VMware Cloud on AWS（VMC on AWS），提供完全由雲服務驅動的DR用戶體驗，並且在復原資料的處理上，可運用增量型即時產生複本、兼具套用加密、重複資料刪除等處理，以及存放在雲端儲存服務Amazon S3等方式提供資料保護。</p> <p>為何VCDR能提供快速復原？VMware表示，用戶可在VMC on AWS的ESXi主機，直接掛載NFS儲存區，而不需將完整的資料從雲端儲存取出、放置在VMC on AWS；若要更快復原，用戶還可選用輕量導航（Pilot Light）部署模式，能預先建立與設置多個小型初始狀態主機。經由系統提供的工作流程指引，用戶可使用穩定狀態的遠端複製功能，也可以測試故障狀況發生之後的復原作業。</p> <p>基本上，受到DR保護的虛擬機器，都會處於原生vSphere虛擬機器格式的狀態存在，不需要受制於脆弱、耗時的虛擬機器硬碟格式轉換作業。此外，VCDR提供的虛擬機器快速啟動也是關鍵，對於勒索軟體攻擊後的復原這類應用場景很重要，因為可以藉此進行多個復原點（recovery points）的快速測試。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-11-MCLB3042EUR-VCDR3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-MCLB3042EUR-VCDR3.jpg" style="width: 600px;" /></a></p> <p>簡易使用也是VCDR的特色，提供軟體即服務（SaaS）型態的管理主控臺介面，簡化災難復原的操作，減輕用戶學習與管理DR軟體系統的負擔。以管理規模而言，可橫跨多個軟體定義資料中心叢集，最多能處理到1,500臺虛擬機器；而且，每隔30分鐘進行一次運作狀態正常與否的檢查，以確保DR計畫能隨時執行。對於政策與法規遵循需求的因應，VCDR也能自動產生統計報告，便於稽核。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-11-MCLB3042EUR-VCDR4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-MCLB3042EUR-VCDR4.png" style="width: 600px;" /></a></p> <p>用戶可在熟悉的VMware vCenter環境，同時管理雲端DR站點與生產環境站點（production sites），並且在容錯復原處理時，還能維持原本存取vSphere叢集、資源池、datastore、虛擬交換器、網路埠群組等元件的方式。</p> <p>關於成本節約的部分，比起自行建置、管理、維護第二座資料資料中心，作為災難復原之用，VCDR能夠善用雲端服務的特性，提供總體持有成本較低的解決方案。以運作方式而言，它是設置在VMC on AWS的雲端基礎架構而成，而且只在進行DR測試或發生故障事故的復原工作當中使用，企業可選用輕量導航模式，以加快復原速度，而不需支付大部分時間所衍生的運算容量費用。</p> <p>在穩定運作狀態時，這項服務可運用雲端儲存空間來存放各種備份資料，例如指定數量的復原點與保存資料的排程設定。而在DR站點與生產環境站點之間，僅傳輸有差異的資料內容，而得以減少網路費用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-11-MCLB3042EUR-VCDR5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-MCLB3042EUR-VCDR5.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/VCDR%20replication%20failback%20live%20mount.jpg" style="width: 600px;" /></p> <p>若要深入了解VCDR的能耐，我們必須先掌握其技術運作架構。VMware在VCDR上市之際，也特別詳列這部分資訊。基本上，VCDR根據所處的環境不同，而區分出雲端服務與內部網路等兩種類型的元件，前者包含兩個元件：一是SaaS Orchestrator，負責提供集中管理的儀表板介面、連結受保護站臺（Protected Sites）與雲端DR資源，可針對「保護群組（Protection Groups）」控管其排程運作，以便將資料安全送至雲端儲存空間，也能在此調度指揮DR的測試計畫或實際容錯處理的計畫，同時還能直接建立與管理VMC軟體定義資料中心，以簡化雲端站點管理的工作。</p> <p><a href="https://s4.itho.me/sites/default/files/images/VCDR-2023-07-17-Architecture.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/VCDR-2023-07-17-Architecture.png" style="width: 600px;" /></a></p> <p>另一是雲端檔案系統<a href="https://blogs.vmware.com/virtualblocks/2021/09/13/new-filesystem-rapid-ransomware-recovery/">Scale-out Cloud File System（SCFS）</a>，能存放虛擬機器多個即時資料複本（point-in-time copies），可透過線上掛載這些複本到軟體定義資料中心的作法，進行快速復原。</p> <p>值得注意的是，SCFS如同其他檔案系統，會需要用到中繼資料（指標）來記住資料儲存的區塊位置，但VCDR用了基於內容而成的密碼學雜湊（crypto-hashes）作為資料區塊的指標，而這樣的內容加密雜湊是難以被竄改的／不可變（immutable），因為每個備份都代表一串加密雜湊，而其根源也是加密雜湊，如此一來，也使得備份資料也連帶具備不可變的特性。在此同時，這些備份資料是隱藏且不能直接存取，因為用於復原作業時，SCFS會將需要的備份資料複製（clone）到一個新的物件當中，確保原本的備份副本不會被碰觸到，而且無論備份數量多寡或資料大小，這些複製作業都會同時進行。由於具備上述特性，VMware後續也特別強調VCDR能用於勒索軟體攻擊的資料復原。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2021-09-VCDR-SCFS-Picture1-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-09-VCDR-SCFS-Picture1-2.png" style="width: 600px;" /></a></p> <p>至於內部網路環境的部分，則有DRaaS Connector，可簡易部署OVA格式的虛擬應用設備封裝檔案，當中提供基本的vSphere快照遠端複製與異動資料區塊追蹤（CBT）功能，能將此處設置的虛擬機器資料傳至Scale-out Cloud File System，以便用於後續的DR。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/VCDR-DRaaS%20Connector2.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/VCDR-2023-07-17-Architecture2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/VCDR-2023-07-17-Architecture2.png" style="width: 600px;" /></a></p> <p> </p> <p>除了上述三個元件，VCDR也定義出三大管理對象，分別是：受保護站臺、保護群組、DR計畫。</p> <p>受保護站臺是指部署DRaaS Connector虛擬應用設備的內部vCenter環境，可透過連接器搭上位於VMware Cloud的VCDR執行個體，而能在DR端啟動受保護的虛擬機器，以及雲端檔案儲存系統；保護群組可提供基於政策而成的定義，以決定所要保護的虛擬機器對象、保護時機（快照產生頻率）、復原點保存時間長短，而這些資訊都會放在雲端環境，以因應短期DR（復原點時間4小時）或長期DR（數日、數週或是數月）使用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/VCDR%20PS_PG.jpg" style="width: 400px;" /></p> <p>DR計畫可提供站臺對站臺的備援計畫，對於需啟動這類保護的虛擬機器，能擷取細部組織層級的細節，像是事件的順序、IP位址變更等特殊處理，完成設定之後，DR狀態檢查每隔30分鐘會執行一次。若DR計畫執行，無論是為了測試，或實際發生故障而在DR端復原（failover），或因出現故障而在生產環境端還原（failback），均能依照DR計畫設置而自動產生稽核報告，以便符合公司內部政策或法規遵循要求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2020-10-Figure-2-VCDR-architecture.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-10-Figure-2-VCDR-architecture.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>持續擴充更多應用場景，針對勒索軟體攻擊所造成的破壞復原處理，成為近期主打特色</strong></span></h3> <p>隔年3月，VCDR增添新功能，可支援VMC on AWS不同區域資料中心之間的災難復原（Cloud-to-Cloud DR或Inter-region DR），以及多個執行個體服務（Multi-instance）的VCDR部署；10月VMware開放可透過代管服務商（MSP）購買VCDR，用戶可透過雲端合作夥伴導覽（Cloud Partner Navigator）的管道註冊，進而存取服務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-VCDR-SECB1237-VCDR1.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/VCDR Recovery in the Same AWS Region.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/VCDR%20Recovery%20in%20the%20Same%20AWS%20Region.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/VCDR Recovery in a Different AWS Region.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/VCDR%20Recovery%20in%20a%20Different%20AWS%20Region.png" style="width: 298px;" /></a></p> <p>到了2022年8月底舉行的VMware Explore年度用戶大會，他們發表VMware Ransomware Recovery for VMware Cloud DR，希望提供專屬的勒索軟體復原即服務解決方案，提供可安全進行復原作業、預防IT與業務應用系統工作負載再度感染勒索軟體的環境。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-VCDR-SECB1237-VCDR2.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-CEIB2721EUR-VCDR2.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-08-RWR-DR-Plan.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-RWR-DR-Plan.jpg" style="width: 600px;" /></a></p> <p>這當中運用設置在VMC on AWS的隔離復原環境（Isolated Recovery Environment，IRE），也提供復原工作流程的指引，能協助用戶快速識別可能會用到的復原點，同時，也會運用內嵌的行為分析技術驗證既有的還原點（restore points），之後再以此進行修復。同年10月，這套架設在VMC on AWS、附屬於VCDR的解決方案，也宣告正式推出。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/VCDR%20IRE.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/VCDR IRE1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/VCDR%20IRE1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/VCDR IRE2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/VCDR%20IRE2.jpg" style="width: 298px;" /></a></p> <p>在2023這一年，VCDR持續擴充多種功能，例如，可在Cloud Filesystem之上，執行復原的虛擬機器（recovered VMs）——先前只能仰賴Cloud Filesystem的磁碟，快速啟動位於災難復原端軟體定義資料中心（DR SDDC）的復原虛擬機器，現在復原的虛擬機器能以這種方式，持續在災難復原端軟體定義資料中心運作，無需進行儲存系統的線上遷移storage vMotion，資料不需從DR SDDC、Cloud Filesystem傳送過去，從而加快回復正常狀態的速度，在Cloud Filesystem執行的虛擬機器可獲得高可用性（HA）的保護，而且因為可做到更短暫的復原點目標（RPO）而受惠。</p> <p>另一項新特色則是與勒索軟體復原有關，在單一相關計畫的設定上，最多可囊括500臺虛擬機器，每次最多可同時進行50臺虛擬機器的自動復原，可大幅縮減復原所需時間、善用IT資源，在這樣的大量虛擬機器處理程序當中，可根據既有的勒索軟體復原處理流程去執行多種工作，例如，能夠橫跨不同的身分識別，並針對多個復原點進行驗證與回復的作業，以及執行線上的行為分析、從遭滲透的快照備份中清理潛藏的勒索軟體，從而發出資安警訊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2021-03-VCDR-Bulk Process Picture3_DR.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-03-VCDR-Bulk%20Process%20Picture3_DR.png" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-CEIB2721EUR-VCDR1.jpg" style="width: 600px;" /></p> <p> </p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>VMware Cloud Disaster Recovery<br /> ●原廠：VMware<br /> ●建議售價：亞太地區隨選訂閱每臺虛擬機器每小時為0.0437美元，1年訂閱每臺虛擬機器316美元<br /> ●架構組成元件：Scale-out Cloud File System、SaaS Orchestrator、DRaaS Connector、Protection groups、Recovery plan<br /> ●保護對象：內部網路執行的vSphere工作負載、VMware Cloud on AWS SDDC的vSphere工作負載</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/8/24 18:43作者李宗翰https://www.ithome.com.tw/review/158380
行政院明年科技預算編列增至1,569億元，國科會：結合半導體優勢強化IC設計、生成式AI帶動百業創新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行政院今天（8/24）拍板定案，明年將編列科技預算1,569億元，較前一年增加18%，未來除了持續5+2產業創新及智慧國家等科技項目，國科會表示，也將運用臺灣在半導體產業現有優勢，強化IC設計，並把握生成式AI趨勢，帶動未來臺灣產業發展。</p> <p>行政院政委兼國科會主委吳政忠表示，未來除了持續投入5+2產業創新、太空、淨零、高齡科技、6G等領域科研及產業發展，也將迎合全球的科技趨勢，啟動「晶片驅動臺灣產業創新計畫」，簡稱晶創臺灣計畫，以晶片驅動臺灣產業創新，把握臺灣在半導體製造、封測的領先優勢，強化IC設計，健全在整體半導體產業的拼圖。</p> <p>吳政忠強調，臺灣不能只有半導體晶製造，未來需結合IC設計、生成式AI，讓半導體外溢到其他產業，來帶動全產業的發展，並吸引創投創業、國際人才及資金挹注臺灣，帶動各行業創新應用遍地開花。從IC設計到產業應用的整體提升，布局我國未來10年百業創新。</p> <p>另外，政府投入的其他科技發展，包括迎合全球淨零趨勢，協助國內的淨零科技及產業進軍國際市場，還有因應高齡社會，投入高齡科技創新，促進相關產業發展，以及針對5G及低軌衛星，及早布局6G。</p> <p>明年編列的科技預算中，37%用於基礎科研，45%用於重點政策計畫，如晶創臺灣、淨零、高齡科技、太空、6G等。</p> </div></div></div>
2023/8/24 15:42作者蘇文彬https://www.ithome.com.tw/news/158425
【廠商永續支援度盤點：鼎新電腦】雲端碳總管平臺能整合第三方ERP擴大盤查，今年新增產品碳足跡讓企業追蹤自家產品碳排
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>商用ERP軟體商鼎新電腦在去年推出了雲端碳總管平臺，能夠結合鼎新ERP或其他第三方ERP資訊，協助企業進行組織碳排放盤查資料蒐集和計算，迅速生成碳盤查報告，今年鼎新更在該平臺中增加了產品碳足跡建置功能，企業可以快速匯整自家產品在生命周期各階段的碳排放詳細資訊，更容易追蹤這些數據，來估算明確碳成本和擬定減碳對策。這項新功能已經開放測試。</p> <p>臺灣許多大型上市企業自今年起，依法必須在每年年報中揭露與碳盤查相關的資訊，但在盤查過程中，企業所面臨的挑戰不僅僅是因應法規要求的範疇1、2在組織面的盤查，更大的考驗來自範疇3供應鏈的碳排資訊蒐集和管理，例如產品碳足跡等，這需要整合不同供應商的排放相關數據，尤其考慮到臺灣明年將實施碳費徵收和啟用碳交易機制後，企業得串接各種碳排放數據，才能清楚估算碳成本，這也成了許多企業CIO所面臨的挑戰之一。</p> <p>去年，國產ERP軟體商鼎新發表了一款新的雲端碳總管平臺，推出兩大應用工具，其中一個是組織碳總管工具，可用於組織碳盤查的蒐集、計算及管理，另一個則是產品碳履歷，則能夠建構產品生產過程各階段的碳足跡資訊。此外，該平臺還提供詳細指引，引導企業逐一完成盤查步驟，從邊界設定、排放源鑑別、活動數據蒐集，到最終產生盤查報告以及內外部查證，都能在平臺中完成。</p> <p><strong><span style="font-size:24px;">建構各排放源的資料抓取及計算模型，從ERP來迅速蒐集碳排計算所需的活動數據</span></strong></p> <p>在建立組織碳盤查過程中，鼎新提供了碳數據整合連結器工具，可以透過該工具從ERP系統蒐集碳盤查計算所需的活動數據，來計算出初步的碳排放資料，可匯整至雲端碳總管平臺中，提供日後碳盤查報告所用。</p> <p>舉例來說，ERP系統中部分營運活動資料可轉為碳排放計算，例如內部報銷核帳時留存的費用申請單或領料單，就是屬於營運活動資料，通常，這些資料記錄了範疇1的直接排放源相關數據，如燃油、冷媒、二氧化碳、乙炔等，可以從加油單發票、發料記錄表、採購發票等取得。同樣，像是電費帳單記錄了範疇2的間接排放源相關數據。</p> <p>鼎新電腦數字運營方案事業部副總黄盈彰表示，在這個碳數據整合工具中，內建有各排放源的資料抓取及計算的模型，這些模型可以從ERP系統中提取出與碳排相關的活動數據，然後將其傳送至雲端平臺進行後續的匯整和處理，有助於企業蒐集、計算和管理碳排放相關的數據，以滿足碳盤查的需求。</p> <p>另外，企業也可以透過系統介接第三方ERP，或以Excel檔案形式，將第三方ERP的活動資料匯入轉換模型工具中，進行碳排數據擷取與計算。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1(65).png" style="width: 600px;" /></p> <p><strong style="color: rgb(105, 105, 105);">在建立組織碳盤查過程中，鼎新提供了碳數據整合連結器工具，讓企業可以透過該工具從ERP系統中快速蒐集碳盤查計算所需的活動數據，作為初步的碳排放資料，再匯整至雲端碳總管平臺中，供後續碳盤查報告所用。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_鼎新</span></p> <p>黄盈彰表示，目前企業已經可以從該工具中使用超過50個轉換模型，來提取與計算各排放源的資料，而且不只支援範疇1和2，還能處理範疇3排放源相關的數據轉換，例如商務旅行的交通排放源資料等。</p> <p>採用這種做法，還有另一個好處是，由於這些活動數據的相關佐證文件本來就已經儲存在ERP系統中，因此不需要重新存儲這些佐證資料，就可以在後續的查驗過程中使用。</p> <p>不僅如此，企業還可利用自動排程功能，排定資料上傳時程，根據每年、每季，甚至是每月盤查需求，將這些碳排放活動的資料傳至雲端平臺，讓整個盤查過程變得更自動化，同時縮短了數據蒐集和匯整的時間。</p> <p>不過，企業必須留意的是，從ERP中的活動數據擷取的碳盤查數據，僅占整體的七至八成，黄盈彰表示，企業仍需針對其中缺少或遺漏的部分進行補正，才能建立詳細的碳盤查報告。</p> <p>在這個組織碳總管工具中，還提供視覺化儀表板，方便使用者察看這些蒐整和計算後的碳排數據的情形，不只能夠追蹤每年減碳情況和減量目標達成進度，還能觀看各營運據點的碳排放趨勢變化，進行不同年度的比較和分析，或者比較各地點的溫室氣體排放的差異，來制定減碳策略。</p> <p>針對跨國多區域排放系數來源的管理與擴充，企業能夠透過其提供的係數中心來完成，在係數中心中除了納入臺灣的環保署係數，也提供中國及東南亞的公開係數，黄盈彰表示，之後還將接入Ecoinvent國際係數中心資料庫，可因應國際供應鏈方面各種盤查場景的需求。</p> <p>此外，這些碳盤查清冊或溫室氣體盤查報告書可以一鍵自動生成。企業還可以在生成的報表中詳細呈現不同時段的碳排放數據的變化，以便根據這些排放熱點來擬定減碳計畫。</p> <p><strong><span style="font-size:24px;">結合ERP中的BOM表及供應商資訊，快速產生產品碳足跡所需的生命周期地圖</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/4(35).png" style="width: 600px;" /></p> <p><strong style="color: rgb(105, 105, 105);">鼎新今年在鼎新碳總管平臺中還新增了產品碳履歷功能，讓企業可以透過ERP中的BOM表及供應商資訊作整合，來取得產品的組成、用量、碳排係數及相關內容，作為碳足跡的活動數據基礎，快速產生碳足跡所需的生命周期地圖。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_鼎新</span></p> <p>除了從組織面蒐集碳排放資訊，鼎新在今年新增的碳總管產品碳履歷功能中，開始能夠讓企業蒐集和建立產品生產過程的碳足跡資訊。</p> <p>黄盈彰表示，企業用戶可依產品套用近似的PCR（產品類別規則）資料，迅速產生對應該產品的生命周期碳足跡圖表，目前在產品碳履歷功能中整合超過200組的行業PCR資料。企業還能根據需要自行調整圖表呈現方式，藉此評估該產品在生命周期中的溫室氣體排放對環境的影響，以及對碳帳和最終帳務的影響，來擬定改善的措施。</p> <p>遇到沒有PCR資料可供使用時，企業還可以利用ERP的BOM表及供應商資訊，來取得產品的詳細組成、用量、碳排係數及相關內容，作為碳足跡的活動數據基礎，藉此來縮短碳足跡生命周期地圖建置所需的時間。</p> <p>目前，鼎新採用郵件方式向供應商發送所需填寫的碳排係數等資訊，然後由供應商填寫完畢後再回傳。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2(57).png" style="width: 600px;" /></p> <p>在碳履歷功能中，還提供了產品生命周期碳足跡地圖，不僅可以察看每項產品生命周期的整體溫室氣體排放量，還能詳盡列出產品各階段盤查及組成，從原料取得、製造、配銷、使用、廢棄等不同階段各項目的排放量都能清楚掌握，包含了單位活動量、LCA排放係數、係數值和碳排當量，甚至還可依不同階段、製程、原料提供碳足跡多寡進行排名。</p> <p>這套碳總管平臺，不只可以用來建立組織碳盤查及產品碳足跡，還具備碳盤查管理和監控的功能，能夠從企業ERP、OT生產製造、物流運輸的相關數據中來進行排放和能耗的監測，並且可以利用這些數據改善能源耗用、生產製程和研發設計各方面，從而展開各自的減碳行動，以降低碳排。</p> </div></div></div>
2023/8/24 13:23作者余至浩https://www.ithome.com.tw/news/158208
Meta承諾FB Messenger年底前預設全程加密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta本周再為數百萬用戶Facebook Messenger一對一私訊加入預設全程加密（end to end encryption，E2EE），<a href="https://messengernews.fb.com/2023/08/22/expanding-testing-for-end-to-end-encryption-on-messenger/" target="_blank">並預告在今年底前完成部署到所有用戶的Messenger私訊中</a>。</p> <p>2019年Meta已開始為Messenger及Instagram（IG）私訊研發全程加密。<a href="https://www.ithome.com.tw/news/155261" target="_blank">今年1月Meta執行長Mark Zuckerberg宣布</a>擴大部署預設全程加密，包括私人聊天室。但是Meta產品經理Timothy Buck表示，目前部署工作落後，因為E2EE開發工作異常複雜而龐大。</p> <p>Meta的WhatsApp、Signal及Zoom等早已提供全程加密服務，但Meta表示，Messenger的工作更困難一點。Buck解釋，Messenger和IG DM一開始設計都是由伺服器來管理訊息傳送及驗證。但E2EE意謂著伺服器不能看到用戶的訊息，也不再由伺服器處理和驗證內容，因此整個系統必須重新設計。團隊也必須開發新方法讓用戶管理訊息紀錄，例如設定PIN。為了以PIN執行E2EE，Meta團隊又開發新的硬體安全模組（Hardware Security Modules）作為裝置端安全的基礎架構。</p> <p>除了轉到新的伺服器基礎架構外，Meta也必須改寫基準代碼（code base）以便能執行在多種不同裝置而非伺服器上。此外，WhatsApp工程團隊的經驗告訴他們，在訊息服務部署E2EE，要兼顧穩定、擴充性、又要儘可能簡單而輕量。</p> <p>根據種種考量，Meta團隊以用戶端為中心的思維改寫了100多項功能，像是在Messenger訊息中預覽YouTube影片連結。過去可由Meta伺服器處理預覽影片畫面的工作，現在得全部轉到手機上進行：發訊者的手機到YouTube取得預覽圖，再由其Messenger App加密整個封包送給對方。而且在開發E2EE的同時，原有的消費者功能也不能被犧牲，包括快速傳送訊息、貼圖等等。Meta說，這也是何以部署所需時間要較當初預期來得久。</p> <p>Meta將在剩下4個月內測試E2EE的效能，並在年底前完全部署。<a href="https://www.bankmycell.com/blog/number-of-facebook-messenger-users/" target="_blank">根據市調公司Bankmycell估計</a>，Facebook Messenger全球用戶有9.3億。</p> </div></div></div>
2023/8/24 13:45作者林妍溱https://www.ithome.com.tw/news/158424
Visual Studio 2022將更新HTTP檔案編輯器，並支援安全機密處理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟將會在Visual Studio 2022 17.8<a href="https://devblogs.microsoft.com/visualstudio/safely-use-secrets-in-http-requests-in-visual-studio-2022/">更新HTTP檔案編輯器</a>，供開發者能透過控制外部變數的方式，更輕鬆地跨不同環境測試Web API，並且透過此編輯器，還能夠安全地處理機密資訊。</p> <p>過去開發者要從Visual Studio中的HTTP檔案使用變數，就必須在HTTP檔案中定義該變數，微軟提到，這種方式會讓使用同一HTTP檔案的不同環境測試起來很麻煩，而且對於需要使用機密的Web API，實際操作起來也相當困難。</p> <p>在Visual Studio 2022使用多個HTTP檔案時，開發者可以定義多個由IDE執行的HTTP請求，在之前開發者定義能夠在整個檔案中使用的變數，而在最新的版本中，Visual Studio 2022透過外部化變數，方便用戶定義所要使用的不同數值集和環境，這種方式甚至可以讓用戶在同一個環境中，使用不同的HTTP檔案。</p> <p>允許開發者使用外部變數控制測試，而不需要在HTTP檔案本身直接定義變數，這樣的做法提供了極大的靈活性，特別是需要在不同環境進行測試的使用案例。</p> <p>而當開發者使用Web API測試時，通常會在請求中使用機密，像是API金鑰、密碼或是其他敏感資料，但是直接將這些機密寫死在HTTP檔案或是程式碼中並不安全，也不方便用於版本控制或是團隊協作，因此微軟現在提供三種不同的機密資訊存取方式，供開發者安全地處理這些機密。</p> <p>三種方式分別是使用ASP.NET Core用戶的機密、以Windows DPAPI加密的機密，還有Azure Key Vault中的機密。ASP.NET Core允許開發人員在本地環境存放機密，DPAPI則是Windows提供的資料加密機制，這兩種皆針對特定用戶，只有Azure Key Vault是唯一適合團隊使用，將機密存放雲端，透過安全的API取用。</p> <p>HTTP檔案編輯器與機密儲存方式整合，讓開發者在使用編輯器方便進行Web API測試時，也可以安全且方便地引用外部儲存的機密，在開發和部署等不同環境確保資料和機密的安全性。</p> </div></div></div>
2023/8/24 14:02作者李建興https://www.ithome.com.tw/news/158422
IBM出售Weather.com母公司給私募基金業者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.ibm.com/2023-08-22-Francisco-Partners-to-Acquire-The-Weather-Company-Assets-from-IBM" target="_blank">IBM本周宣布</a>將把天氣預報平臺業務The Weather Company大部分資產，出售給私募基金業者Francisco Partners。</p> <p><a href="https://www.ithome.com.tw/news/100490" target="_blank">2016年IBM以25億美元收購</a>的The Weather Company旗下的Weather.com為知名天氣預報服務，每個月透過The Weather Channel App、Weather.com等服務4.15億消費者，其企業服務也擁有2,000多家客戶。</p> <p>IBM將把The Weather Company大部分資產，以未公開金額出售給Francisco Partners，出售的業務包括Weather Channel網站Weather.com及行動App、Weather Underground、Storm Radar，及企業產品如廣播、媒體、飛航、廣告技術及其他產業的資料解決方案。新東家也會取得The Weather Company的預測科學及技術平臺。出售給私募基金業者的The Weather Company則會從單純的天氣預測轉型，整合新科技，提供消費者了解天氣對生活，包括健康、福祉的影響，也可協助企業制訂客戶服務，以因應天氣變化。</p> <p>不過IBM將保留永續性軟體業務，包括其環境智慧套件（Environmental Intelligence Suite，EIS）以協助客戶蒐集組織、量測、報告ESG資料，以提供企業決策支援、提升績效及滿足政府法規。IBM會繼續使用The Weather Company的天氣資料，包括氣候相關的應用案例作為EIS方案的一部分。此外，EIS也使用美國太空總署（NASA）衛星資料訓練成的地理空間基礎AI模型。</p> <p>IBM和NASA共同開發的地理空間模型，也是IBM AI與資料平臺watsonx的一部分，能提供多種應用，包括追蹤土地使用變化、監控自然災害及預測農作物收成等。<a href="https://www.ithome.com.tw/news/158112" target="_blank">IBM、NASA於8月初宣布</a>將合作開發的地理空間基礎模型透過Hugging Face平臺開源。</p> <p>Francisco Partners 7月才和資產管理業者TPG合作，<a href="https://www.franciscopartners.com/media/new-relic-to-be-acquired-by-francisco-partners-and-tpg-for-65-billion" target="_blank">以65億美元收購</a>雲端應用程式效能監控平臺New Relic，<a href="https://www.reuters.com/markets/deals/stg-francisco-partners-vie-avid-technology-sources-2023-08-03/" target="_blank">目前也正在競標</a>媒體剪輯軟體業者Avid Technology。</p> </div></div></div>
2023/8/24 11:44作者林妍溱https://www.ithome.com.tw/news/158420
WinRAR零時差漏洞已被濫用，受害者點擊無害檔案就安裝惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>檔案壓縮軟體WinRAR一項漏洞可讓用戶點擊無害檔案時遭安裝惡意程式，至少4月已經被用來攻擊加密貨幣投資人從帳號內竊取財物。</p> <p><a href="https://www.group-ib.com/blog/cve-2023-38831-winrar-zero-day/" target="_blank">安全廠商Group-IB 7月偵測到</a>，WinRAR一個之前未知的漏洞遭駭客濫用，用以散布DarkMe等惡意程式。這個編號CVE-2023-38831的漏洞位於ZIP檔案的處理過程，攻擊者可以製作惡意.ZIP或.RAR壓縮檔，當中包含無害檔案（例如.jpg、.txt或PDF檔等）及惡意執行檔，並以無害檔名為資料夾命名。當使用者點擊並試圖解壓縮看似合法的檔案時，即被安裝惡意程式。</p> <p>Group-IB研究，已有DarkMe、GuLoader、Remcos RAT等惡意程式經由惡意.ZIP挾帶散布，並以加密貨幣交易者為攻擊目標。至少在今年4月間，該漏洞已被濫用製作惡意壓縮檔在加密貨幣交易平臺論壇上散布，以感染受害者裝置，以DarkMe為例，攻擊者旨在從加密貨幣投資人交易帳號竊取財物。截至本周，研究人員發現還有130臺交易者的裝置感染該惡意程式。</p> <p><a href="https://www.bleepingcomputer.com/news/security/winrar-zero-day-exploited-since-april-to-hack-trading-accounts/" target="_blank">Bleeping Computer</a>報導，DarkMe過去和以金錢為目的的EvilNum組織有關，但不確定該群人是否也策畫了此次攻擊。</p> <p>WinRAR維護單位RARLab在接獲安全廠商通報後，已在7月20日發布WinRAR 6.23版本解決本漏洞。安全廠商建議有用戶應升級到最新版本。</p> <p>這是WinRAR近日揭露的第二項漏洞。上周Zero Day Initiative（ZDI）也揭露<a href="https://www.ithome.com.tw/news/157179" target="_blank">高風險漏洞CVE-2023-40477</a>，可讓遠端攻擊者傳送惡意RAR檔，受害者一旦開啟檔案，即可在其電腦上執行任意程式。兩項漏洞都是在WinRAR 6.23版修補完成。</p> </div></div></div>
2023/8/24 11:57作者林妍溱https://www.ithome.com.tw/news/158421
IBM推生成式AI工具將大型主機COBOL程式轉為Java
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM針對大型主機（Mainframe）COBOL應用程式現代化需求，宣布推出生成式人工智慧<a href="https://newsroom.ibm.com/2023-08-22-IBM-Unveils-watsonx-Generative-AI-Capabilities-to-Accelerate-Mainframe-Application-Modernization">Watsonx Code Assistant for Z</a>，該工具能夠將IBM Z上的COBOL應用程式，轉換成高品質Java程式碼，藉此增進開發人員開發效率，加速現代化大型主機應用。IBM預計這項工具將會於2023年第4季正式推出。</p> <p>COBOL語言被企業用於開發許多重要的商業、金融和行政系統上，但是目前因為諸多原因，COBOL程式語言遭遇到現代化的問題，包括舊的COBOL程式難以支援現代開發實踐，並且難以和現代雲端系統與儲存解決方案整合，而且COBOL專家越來越少，導致COBOL系統維護成本高昂且不易等問題。</p> <p>目前COBOL應用程式現代化有幾種方法，諸如重寫所有應用程式程式碼，或是透過封裝和服務化，使其能與現代應用程式和平臺互通，也可搬遷上雲或是增加中介層等。不過，如果想要保留使用IBM Z，使用自動轉換工具是一個快速的途徑，但官方提到，目前程式開發輔助人工智慧的部分重寫技術，缺乏對COBOL的支援，無法針對特定任務產生高品質Java程式碼。</p> <p>而Watsonx Code Assistant for Z借助生成式人工智慧技術，採取針對性的最佳化方法，快速且經確定針對IBM Z最佳化程式碼，其提供開發人員額外選擇，能夠靈活地將COBOL程式逐漸轉為架構良好的Java程式碼。</p> <p>Watsonx Code Assistant for Z是Watsonx Code Assistant系列成員之一，背後由IBM watsonx.ai程式碼模型支援，watsonx.ai模型經1.5兆個Token訓練，具有200億參數，能夠理解115種程式語言。Watsonx Code Assistant隨著時間發展擴大，理解的程式語言也更廣泛，被期望解決開發人員需要越學越多的技能挑戰。</p> <p>官方粗估目前市面上仍有數十億行潛在COBOL程式碼需要被轉換，並提到透過Watsonx Code Assistant for Z將COBOL轉換成Java的優點，包括開發人員可以更快地評估、更新、驗證和測試正確的程式碼，有效率地實現大型應用程式現代化，不只加速現代化生命周期，同時降低總成本、複雜性和風險，使得轉換後的程式碼更容易維護。</p> <p>該解決方案能夠生成物件導向的Java程式碼，IBM還在改進watsonx Code Assistant for Z，使其能夠與更多COBOL應用程式部分，以及CICS、IMS、DB2和其他z/OS Runtime等相關系統互通。</p> </div></div></div>
2023/8/24 09:12作者李建興https://www.ithome.com.tw/news/158414
勒索軟體Cuba利用Veeam備份系統漏洞發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>已橫行4年的勒索軟體Cuba，不時傳出對於企業組織發動攻擊，這樣的現象延續到今年上半，其中一起發生於6月的事故引起研究人員的高度關注。<a href="https://blogs.blackberry.com/en/2023/08/cuba-ransomware-deploys-new-tools-targets-critical-infrastructure-sector-in-the-usa-and-it-integrator-in-latin-america">BlackBerry威脅情報團隊指出</a>，今年6月起，勒索軟體駭客組織Cuba肆虐，鎖定Veeam Backup & Replication（VBR）備份解決方案的漏洞CVE-2023-27532發動攻擊，已有美國關鍵基礎設施業者、拉丁美洲系統服務商遭到攻擊。</p> <p>駭客疑似先取得外洩的遠端桌面連線管理者帳密資料，入侵目標組織，然後部署自行打造的下載工具BugHatch，並與C2伺服器連線，下載DLL檔案或是接收命令並執行，研究人員提及，駭客也經常拿這款下載工具於受害電腦植入PE檔案、PowerShell指令碼。</p> <p>接著，駭客利用滲透測試工具Metasploit的DNS stager元件，在記憶體內解密、執行Shell Code。</p> <p><a href="https://s4.itho.me/sites/default/files/images/cuba-fig02.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cuba-fig02.png" style="width: 580px;" /></a></p> <p>為了避免防毒軟體干擾檔案加密過程，駭客利用自帶驅動程式（BYOVD）的攻擊手法，利用Avast防毒軟體元件aswArPot.sys、Process Explorer元件procexp.sys，以及名為KApcHelper_x64.sys的惡意驅動程式，並使用名為BurntCigar的工具比對處理程序名單，來終止逾200種防毒軟體的相關處理程序。</p> <p>研究人員指出，這些駭客在攻擊過程裡，仍會利用Zerologon（CVE-2020-1472），在網域控制器上進行權限提升。但不同的是，這些駭客首度利用CVE-2023-27532，目的是為了取得受害電腦上的配置檔案，進一步挖掘當中儲存的帳密資料，來取得更多存取權限。</p> <p>利用這項VBR漏洞的攻擊行動，可追溯到<a href="https://labs.withsecure.com/publications/fin7-target-veeam-servers">今年3月，駭客組織Fin7將其用於攻擊能從網際網路存取的VBR系統</a>，並執行名為Powertrash的指令碼，進而於目標系統載入各種惡意酬載。</p> <p><a href="https://s4.itho.me/sites/default/files/images/cuba-fig05.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cuba-fig05.png" style="width: 580px;" /></a></p> </div></div></div>
2023/8/23 22:03作者周峻佑https://www.ithome.com.tw/news/158413
行動支付掃碼跨境支付平臺Hivex居中牽線，街口、玉山、全支付用戶未來可望在日本PayPay商家掃碼支付
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>TBCASoft旗下的跨境支付平臺Hivex正式進軍台灣，預計第4季上線，首波將為日本、臺灣的行動支付（MPSP）業者牽線，目前在日本方面，已和PayPay合作，臺灣則將和街口支付、全支付、玉山銀行3家電子支付業者合作，未來獲得金管會同意之後，以街口支付為例，街口用戶未來在日本旅遊，可使用街口支付App，掃描日本PayPay合作商家的QR Code，完成跨境非現金支付交易。</p> <p>TBCASoft總部位於美國矽谷，並獲得軟銀、Naver的投資，該公司以分散式帳本（DLT）技術開發跨境支付平臺Hivex，以行動支付MPSP業者為對象，促成行動支付App與其他支付業者的商家QR Code互通。</p> <p>Hivex首波以日本及臺灣為主，在日本和主要的支付公司PayPay合作，PayPay在日本已有5,800萬用戶，合作的商家數超過410萬，交易金額、筆數號稱為日本市占率最高；臺灣則與3家電支業者合作，合計電支用戶數超過1,200萬，涵蓋18歲到60歲的主要人口。</p> <p>TBCASoft創辦人兼執行長吳陵表示，Hivex提供安全、中立及互通的支付網路，將協助行動支付的成員擴大跨境商家的覆蓋率。儘管Hivex的角色類似VISA的信用卡跨境交易清算角色，但Hivex以行動支付業者的跨境支付為主，透過跨境支付交易平臺的高效率，TBCASoft並與合作業者間達成共識，未來在海外消費使用行動支付，免去信用卡的1.5%海外交易手續費，並以優惠匯率即時換算，以臺幣扣款，以日元付款給日本商家。</p> <p>為了提供跨境支付，Hivex必需完成業者間的交易清算，此外，TBCASoft也以專利的QR Code Bridging橋接技術，讓臺灣消費者可使用既有熟悉的電支App，在日本掃描PayPay合作商家的QR Code。</p> <p>但是，國內3家電支業者與TBCASoft的合作，尚需獲得主管機關的同意，目前3家業者已向主管機關申報。</p> <p>吳陵指出，Hivex在日本與PayPay合作，由於受到疫情影響，赴日的外國觀光客驟減，雙方花費約2年時間才獲得日本金融廳的同意，並完成Hivex與PayPay間的系統串接。由於日本方面合作的PayPay及主管機關已打通，未來臺灣方面，3家電支業者如獲得主管機關的同意，可提供臺日的跨境支付服務。除了臺日，未來也會以亞洲的行動支付業者為對象，擴大Hivex跨境支付的服務版圖。</p> <p>街口支付表示，街口早在2020年初，便提供用戶在日本的商家掃碼支付，目前合作的日本商家數已有上萬家通路，包括東京的羽田機場、晴空塔、BIC CAMERA，還有北海道的新千歲機場、大阪的海遊館等。街口支付將先瞄準日本設有PayPay收款QR code 的中小型街邊店家，待今年第4季正式上線之後，街口用戶在日本只要看到商家設置的PayPay付款QR code，就能使用街口App掃碼付款。未來看好疫情之後，臺灣人到日本旅遊的商機，將會繼續擴大在日本的支付服務據點。</p> <p>因先前推動日本的掃碼支付服務，街口當時已有送金管會同意，因此街口支付表示，這次合作在第4季正式上線後，街口需要於5個營業日內送金管會備查。</p> <p>玉山銀行則表示，未來用戶在日本旅遊時，將可以玉山Wallet App，開通App上的電子支付功能，就能在日本的PayPay合作商家掃碼支付。</p> <p>全支付也一樣，未來其用戶到日本旅遊，也可使用全支付App掃描日本商家的PayPay QR Code，完成跨境支付。</p> </div></div></div>
2023/8/23 19:54作者蘇文彬https://www.ithome.com.tw/news/158412
【資安日報】8月23日，研究人員揭露勒索軟體Akira新攻擊手法，駭客鎖定思科VPN系統做為初始入侵管道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有駭客使用了較為罕見的攻擊模式，使得研究人員難以找出其確切的作案手法和過程。例如，勒索軟體Akira的攻擊行動，最早是資安業者Sophos於5月發現跡象，直到最近有了新的進展。惡意軟體分析員Aura、資安業者SentinelOne指出，駭客鎖定特定廠牌的VPN系統入侵受害組織，但究竟他們如何成功通過身分驗證？兩組研究人員有不同的推測。</p> <p>另一方面，資安業者SentinelOne指出這些駭客還會利用開源的遠端桌面連線工具RustDesk存取受害組織網路，而這是他們首度看到有人濫用此工具來進行網路攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/akira-ransomware-targets-cisco-vpns-to-breach-organizations/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Akira鎖定思科VPN系統入侵企業組織</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/trait.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/trait.jpg" style="width: 300px; float: right;" /></a>資安業者Sophos於今年5月揭露勒索軟體Akira新的攻擊行動及手法，當中提到駭客針對其中一個目標組織的入侵管道，就是尚未採用雙因素驗證的VPN系統，到了最近，有研究人員找到更多細節。</p> <p>根據資安新聞網站Bleeping Computer的報導，惡意軟體分析員Aura發現，上述攻擊行動裡，駭客鎖定的VPN系統廠牌是思科，IT人員應儘速檢查AD的使用者身分驗證事件記錄，是否出現存取4624埠、4625埠的活動，再者，駭客使用了名稱為Win-開頭的電腦發動攻擊，但究竟駭客如何取得使用者的VPN帳密，則有待進一步釐清。</p> <p>資安業者SentinelOne也有類似的發現，他們認為駭客很有可能針對VPN軟體的漏洞下手，從而在不需進行雙因素驗證的情況下，繞過身分驗證流程，研究人員根據駭客的網站上公布的受害組織進行追查，迄今已有至少8起攻擊行動是透過此VPN系統入侵，他們也掌握駭客利用思科VPN閘道洩露資料的證據。此外，研究人員指出，駭客也濫用名為RustDesk的開源遠端桌面連線（RDP）工具來存取受害組織的網路，並且存取SQL Server資料庫系統，以及停用電腦的個人防火牆、防毒軟體Microsoft Defender、本機安全性授權（Local Security Authority，LSA）機制。</p> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/carderbee-software-supply-chain-certificate-abuse"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">香港企業組織成駭客集團Carderbee發動供應鏈攻擊的目標</span></strong></a></p> <p>資安業者賽門鐵克揭露駭客組織Carderbee的攻擊行動，他們在今年4月發現這群駭客活動的跡象，主要目標是香港，但也有攻擊亞洲其他地區的事故。</p> <p>駭客利用中國億賽通（EsafeNet）開發的加解密軟體Cobra DocGuard進行供應鏈攻擊，於100臺電腦上部署惡意程式PlugX，進而能在受害電腦上透過命令列（CMD）執行命令、列出電腦檔案清單、察看正在執行的處理程序、下載檔案、開啟防火牆特定的連接埠，以及側錄鍵盤輸入的內容。</p> <p>研究人員指出，駭客只將惡意酬載部署在少量電腦上，代表他們已經進行了一定程度的規畫及偵察，此外，駭客也對惡意程式進行簽章，避免資安系統察覺異狀。</p> <p><a href="https://www.sentinelone.com/blog/xloaders-latest-trick-new-macos-variant-disguised-as-signed-officenote-app/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客假借提供生產力應用程式，對Mac電腦用戶散布惡意軟體XLoader</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/XLoader_2023_7.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/XLoader_2023_7.jpg" style="width: 300px; float: right;" /></a>資安業者SentinelOne於今年7月，發現新一波針對Mac電腦而來的惡意軟體XLoader攻擊行動，駭客聲稱提供名為OfficeNote的辦公室軟體程式，一旦使用者下載、執行，電腦就會顯示無法開啟的錯誤訊息，但實際上，駭客於背景部署惡意程式XLoader，進而挾持受害電腦的剪貼簿，並竊取Chrome與Firefox有關的資料（不含Safari）。</p> <p>值得留意的是，這並非XLoader首度出現，他們曾於2021年就看到以Java應用程式打造的XLoader，但當時蘋果早已停止為Mac電腦提供JRE，使得此惡意程式並未造成顯著影響。</p> <p>而現在研究人員揭露的新版本惡意程式，駭客使用C與Objective-C等程式語言進行編譯，且帶有開發人員的簽章，而有可能迴避macOS內建的防毒程式XProtect偵測。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://forums.ivanti.com/s/article/CVE-2023-38035-API-Authentication-Bypass-on-Sentry-Administrator-Interface"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Ivanti修補旗下行動裝置管理平臺的API身分驗證繞過漏洞，並指出已出現攻擊行動</span></strong></a></p> <p>8月21日IT業者Ivanti修補旗下的行動裝置安全閘道Ivanti Sentry（原名MobileIron Sentry）漏洞CVE-2023-38035，起因是Apache HTTP伺服器元件HTTPD的組態，出現限制不夠充分的情況，使得未通過身分驗證的攻擊者能夠藉由8443埠，存取MobileIron組態服務（MICS）曝露的管理介面組態API，進而竄改Ivanti Sentry組態、執行系統層級命令，或是寫入任意檔案，CVSS風險評分為9.8，影響9.18版以前的Ivanti Sentry。</p> <p>該公司表示，這項漏洞不會影響旗下的其他解決方案，如Ivanti EPMM、MobileIron Cloud、Ivanti Neurons for MDM，但表示已有部分用戶受到相關漏洞攻擊。他們也呼籲用戶，IT人員應避免將Ivanti Sentry曝露於網際網路，同時也要限制內部環境的存取。</p> <p><a href="https://www.darkreading.com/application-security/patch-now-opennms-bug-steals-data-triggers-denial-of-service"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">開源網管軟體OpenNMS存在漏洞，有可能被用於竊取資料、發動DoS攻擊</span></strong></a></p> <p>資安業者Synopsys發現開源網管軟體OpenNMS存在漏洞CVE-2023-0871，此為XML外部實體（XXE）注入漏洞，起因是該軟體的XML解析器組態配置較為寬鬆所致，攻擊者可發送帶有XML酬載的惡意HTTP請求，進而從OpenNMS伺服器的檔案系統洩露資料，或是造成服務阻斷（DoS），也可能趁機發起伺服器端偽造請求（SSRF）攻擊，CVSS風險評為8.8分，社群版Horizon、企業版Meridian都有可能受到影響。</p> <p>對此，OpenNMS於8月9日，發布OpenMNS Horizon 32.0.2、Meridian 2023.1.6版予以修補。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.synopsys.com/blogs/software-security/cyrc-advisory-cve-2023-0871-opennms/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-2109492580" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://www.synopsys.com/blogs/software-security/cyrc-advisory-cve-2023-0871-opennms/</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://opennms.atlassian.net/browse/NMS-16069?jql=text%20~%20%22CVE-2023-0871%22" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--174450212" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://opennms.atlassian.net/browse/NMS-16069?jql=text ~ "CVE-2023-0871"</span></a></p> <p><a href="https://www.darkreading.com/threat-intelligence/dell-credentials-bug-vmware-environments-takeover"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">企業儲存系統Dell Compellent的整合工具存在寫死帳密漏洞，VMware vCenter管理員帳號曝險</span></strong></a></p> <p>8月11日Dell針對旗下企業儲存陣列服務Dell Compellent的vCenter整合工具Dell Storage Integration Tools for VMware（DSITV）發布資安通告，指出該工具存在資訊洩露漏洞CVE-2023-39250，有可能讓取得低權限的本機使用者取得加密金鑰，並用於進一步攻擊行動，CVSS風險評為7.8分，該公司並提出緩解措施。</p> <p>通報上述漏洞的資安業者LMG Security指出，該漏洞起因是Dell使用靜態的AES金鑰連線至vCenter，他們也在今年DEF CON大會展示如何截取、解密金鑰，進而取得vCenter的帳密資料。研究人員強調，所有用戶的AES金鑰都相同，再加上該系統的產品生命週期已終止（EOL），Dell並未提供修補程式，而有可能變成駭客用於攻擊的標的。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.dell.com/support/kbdoc/zh-tw/000216615/dsa-2023-282-security-update-for-dell-storage-integration-tools-for-vmware-dsitv-vulnerabilities" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-1384890906" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://www.dell.com/support/kbdoc/zh-tw/000216615/dsa-2023-282-security-update-for-dell-storage-integration-tools-for-vmware-dsitv-vulnerabilities</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://forum.defcon.org/node/245711" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-1798512817" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://forum.defcon.org/node/245711</span></a></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/158385"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">鴻海研究院聯手MIT推出黑客松，Security by Design成電動車創新服務基礎</span></strong></a></p> <p>自從g0v以黑客松作為各種創新服務發想的方式以來，許多機關企業也希望透過此種管道的創意發想，為自家產品服務找出新的可能性。由美國麻省理工學院（MIT）多媒體實驗室（Media Lab）與臺北科技大學共同成立的城市科學實驗室（CityScience Lab@ Taipei Tech），他們與鴻海研究院聯手，將於9月2日至3日舉辦AI on Wheels黑客松活動，參加者需在8月25日中午12時前完成報名，主辦單位會在8月28日公布入圍名單。</p> <p>鴻海研究院執行長李維斌表示，此黑客松活動主要發想的標的，是鴻海研究院資通安全、MIT與北科大共同打造的開放輕型無人車車用平臺EVπ，並導入由鴻海集團所推出的HHEV.OS車用作業系統，並且透過機器人開發作業系統ROS 2作為中介軟體，實現將軟體與硬體模組化的目標。李維斌指出，資安都是所有創意的基礎，希望所有發想的創意服務，都可以帶入Security by Design的概念。</p> <p><a href="https://developer.chrome.com/en/blog/extension-safety-hub/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google將於Chrome 117加入高風險擴充程式的警示機制</span></strong></a></p> <p>8月16日Google宣布將在Chrome加入新的惡意擴充程式的警示功能，分別在3種情況下對用戶發出警告，包含了擴充程式已被標記為惡意軟體、違反Chrome Web Store市集政策遭到下架，以及開發者取消發行的情況，並鼓勵使用者將其移除，該警示機制預計將於Chrome 117推出。</p> <p>該公司指出，這樣做法是在為了保障使用者的安全，並減少對正牌擴充程式造成的影響。此外，被標記為惡意軟體的擴充程式，Chrome也會自動停用。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://join.gov.tw/policies/detail/9f21a1e6-edd0-45e9-8ad6-b92354abb1fa"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">國科會公布運用生成式AI的指引草案</span></strong></a></p> <p>大型語言模型ChatGPT帶動生成式AI浪潮，但也伴隨一定的風險，究竟政府機關該如何運用？對此，國科會7月下旬公布公務機關生成式AI參考指引草案，指出為了保持執行公務的機密性、專業性，各機關使用上應具有一致的認知及管理原則，包括秉持負責任及可信賴的態度、掌握自主權及控制權，並掌握安全性、隱私、資料治理及問責，不可隨意揭露未公開的公務資訊，不可分享個人隱私資訊、不可完全信任生成內容。</p> <p>而對於生成式AI產出的資訊，仍應由業務承辦人就客觀、專業進行判斷，另外，國家機密文書、一般公務機密文書等機密性文書應由業務承辦人撰寫，禁止使用生成式AI。承辦人不得向生成式AI提供涉及公務應保密、個人及未經機關同意公開的資料，也不能向生成式AI詢問關於機密業務的問題，或是利用生成式AI蒐集或處理個資。此外，各機關不可完全信任生成式AI產出的資訊，亦不得以未經確認的產出內容，直接作成行政行為或公務決策的唯一依據。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://techcrunch.com/2023/08/16/this-70-device-can-spoof-an-apple-device-and-trick-you-into-sharing-your-password/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客可偽裝蘋果裝置引誘使用者透露敏感資料</span></span></strong></a></p> <p><a href="https://www.cyfirma.com/outofband/unmasking-evlf-dev-the-creator-of-cypherrat-and-craxsrat/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露惡意程式CypherRAT、CraxsRAT開發者的身分</span></span></strong></a></p> <p><a href="https://www.reversinglabs.com/blog/fake-roblox-api-packages-luna-grabber-npm"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體Luna Grabber鎖定Roblox開發人員，藉由NPM套件發動攻擊</span></span></strong></a></p> <p><a href="https://www.cisa.gov/topics/partnerships-and-collaboration/joint-cyber-defense-collaborative/jcdc-remote-monitoring-and-management-cyber-defense-plan"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">針對駭客在網路攻擊濫用遠端監控工具，CISA提出防禦計畫</span></span></strong></a></p> <p><a href="https://cert.gov.ua/article/5391805"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客利用後攻擊工具包Merlin對烏克蘭發動攻擊</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158398">【8月22日】木馬程式HiatusRAT鎖定臺灣而來，半導體、化學製造業、縣市政府成為目標</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158378">【8月21日】逾3千個安卓惡意軟體採用不支援的壓縮格式演算法，目的是防止被研究人員反組譯</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158332">【8月18日】駭客針對GitLab重大漏洞下手，將其容器環境用於挖礦及盜取網路頻寬</a></strong></p> </div></div></div>
2023/8/23 17:27作者周峻佑https://www.ithome.com.tw/news/158411
解決公司營收下降並提升企業競爭力，中華電信5年雲化轉型歷程大公開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中華電信是臺灣最大的電信業者，更是從國營企業成功轉成民營、順利上市櫃的企業。近年來，他們陸續面臨其他企業都遭遇到的重大挑戰，不論公司營收逐年下降，或是公司逐漸喪失市場競爭力，都使得他們必須重新面對新一波的市場競爭。</p> <p>然而，雖然大家都知道中華電信正在轉型的道路，但實際上，到底有那些地方不同於過往，外界一直都處於霧裡看花的狀態，最近我們終於有機會了解發展過程與目前狀態，在今年臺灣雲端大會上，中華電信資訊技術分公司科長鄭廉勳表示，他們從2018年就開始推動數位轉型，從趨勢、組織、願景和策略四個面向著手。</p> <p>中華電信為何轉型？鄭廉勳表示，當公司營收從二千多億元逐年下降，EPS（美股盈餘）也逐漸減少，企業開始數位轉型，不只是要提升企業競爭力，背後最關鍵的因素就是：求生存。</p> <p>他指出，中華電信是員工多達二萬一千人的大型企業，這次的數位轉型更直白地說，就是一種「雲化」轉型，最終的目標，就是要讓全公司從高階主管到基層員工，都能看得懂、學得會、用得好各種雲端服務。</p> <h2><strong>中華電信的數位轉型就是推動雲化轉型</strong></h2> <p>鄭廉勳也說，剛開始推動數位轉型不僅是要改變中華電信，後續還要做到啟動，才能真正做到他們公司對外不斷強調的訴求「永遠走在最前面」。他認為，因為該公司早在2018年就開始進行數位轉型，所以在2020年遇到臺灣疫情爆發時，中華電信才能夠臨危受命，協助政府建構相關的防疫系統與平臺。</p> <p>在疫情一開始爆發之際，中華電信的主管在大年初二就接到政府高層的電話，希望他們可以協助快速建置協助政府防疫的資訊系統，而該公司也在三天之內（大年初五），準備好相關的網路和資訊系統，協助成立1922疫情通報與諮詢的控制中心。</p> <p>鄭廉勳表示，如果中華電信2020年才開始轉型之路，可能就會因為還沒有部署與使用相關的雲端系統和服務，而無法在如此短暫時間完成這樣的任務，即便當時有心要協助政府因應疫情建置相關的資訊系統，也一定無法在三天內就完成任務。</p> <p>另外，公司之所以能動員全體員工協助政府防疫，背後其實有個重要的信念，那就是，大家都體認到自己同時肩負協助國家基礎建設的天職，畢竟中華電信是從國營企業轉成民營企業，這也是為什麼中華電信願意將累積的IT技術和研發能力，充分應用在政府的防疫系統上。</p> <p>鄭廉勳認為，數位轉型在提升企業競爭力的同時，也是為了求生存，中華電信的公司營收歷經2019年、2020年的低谷後，數位轉型也開始發揮效益，不只是公司營收，連帶EPS也同步增加。</p> <p>很多企業的數位轉型最重要的推手，其實就是COVID-19，疫情爆發改變許多企業的營運模式，須儘快透過各種資訊系統維持公司和員工的正常營運。而在2022年烏俄戰爭爆發之後，這種突發事件也讓許多企業開始發現臺灣縱深防禦不足，因此須思考如何確保企業的營運持續，同時加速許多企業的數位轉型，全面轉向各種雲端服務，做到「雲化轉型」，提升企業韌性和永續。「中華電信的數位轉型其實就是雲化轉型。」鄭廉勳說道。</p> <h2><strong>雲化改造第一步，推動組織改造</strong></h2> <p>中華電信轉型最重要的願景就是：打造卓越雲化資訊服務公司，加速公司及賦能客戶數位轉型。而推動雲化改造成功與否，背後與企業內部的溝通流程息息相關，而企業溝通瓶頸的關鍵就是「組織」。</p> <p>在推動數位轉型前，中華電信的組織是以產品服務為導向，所以會出現一些依照該公司產品而成立的組織單位，例如北區分公司、南區分公司、企客分公司、行動分公司、國際分公司和數位分公司，大家看公司名稱，就可以知道他們提供什麼樣的電信產品和服務：另外，還有總公司，以及電信研究所相關單位。</p> <p>鄭廉勳表示，這種以產品為主的組織型態，並不利於企業內部的溝通，而透過數位轉型帶來的機會，中華電信也將內部組織調整，成為以客戶為導向的組織型態。</p> <p>他表示，為了建立商業競爭力，該公司成立了三大事業群：個人家庭、企客，以及國際分公司；為了建立技術競爭力，也成立網路、資訊分公司，以及電信研究院等三個技術群；而總公司的目標就是建立策略競爭力，主要是肩負策略性功能。</p> <p>鄭廉勳指出，組織轉型絕非一蹴可幾，為此，中華電信董事長、總經理到基層，親自跟員工解說轉型的必要性，以及為什麼有相對應的組織重構，整整經歷三年的溝通，才讓中華電信完成組織轉型的最後一哩路。</p> <p>他表示，在這個轉型的過程中，成立了一個資訊分公司，這就是一個「雲化」的資訊分公司，目的就是要協助公司做轉型。</p> <p>當公司數位轉型的願景很清楚，轉型策略便從改造、加速和賦能這三個階段去執行，其中，改造的目的是做到「客戶為中心的標準、開放、敏捷的雲化營運即平臺系統」，加速則是為了「發展資訊服務產品，支持事業群集協同技術群建立數位服務生態」，最後的賦能就是要能夠「支持集團成為Digital Telco（數位化電信業者），資訊服務產業營收動能躍昇」。</p> <p>鄭廉勳指出，根據這三個策略隨之而來的，就有六大推進目標，包括：雲化改造、營運升級、能力發展、組織發展、市場發展、擴大能量，而外部經常提到的數位轉型，中華電信內部則稱之為「雲化改造」。</p> <p>在數位轉型過程中，也一定要使用數位化的工具，相關的IT基礎建設就要做到系統雲化和Infra（基礎建設）雲化，最後也要做到服務雲化的目標，包括：提供5G、雲端、網路和安全服務的數位化電信服務供應商（Digital Telco Provider）；提供數位服務API平臺和API生態圈的數位服務供應商（Digital Service Provide）；數位服務合作平臺、數位夥伴（Digital Partner）的數位服務推動者（Digital Service Enabler）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%BB%83%E5%BD%A5%E6%A3%BB-%E7%B5%84%E7%B9%94%E8%BD%89%E5%9E%8B-%E5%9C%961-%E4%B8%AD%E8%8F%AF%E9%9B%BB%E4%BF%A1%E6%8F%90%E4%BE%9B.png" style="width: 939px;" /></p> <blockquote><p>中華電信數位轉型就是朝向雲端轉型，企業組織架構涉及溝通流程，轉型第一步就是重新調整全公司的組織架構。</p> </blockquote> <h2><strong>雲化治理的核心：Cloud First及Cloud Smart</strong></h2> <p>根據調研公司IDC的臺灣雲端服務部署概況調查發現，臺灣內部的雲端部署（59％）已經超越了非雲端部署，預計在未來兩年內，有更多企業將採用雲端科技，估計到2024年，企業採用雲端服務的比例可望超過70％。</p> <p>至於這些臺灣企業選擇雲端服務的原因為何呢？有近6成（58％）的企業表示，雲端部署改善了業務流程；也有50％的企業表示，雲端科技帶來新興技術，協助企業加速創新速度並提高投資回報。</p> <p>鄭廉勳表示，中華電信要做到資訊系統落實雲化轉型的願景時，最重要的核心理念就是：Cloud First及Cloud Smart，目標就是做到：軟體現代化、發展數位經濟，以及落實數位治理，並且要實現業務驅動、雲端先行和持續精進。</p> <p>他強調，中華電信如果不是為了上雲而上雲，就是要做到Cloud Smart。而要怎麼Smart呢？最重要的是，因為中華電信是一家CT（通訊技術）的公司，本身就有許多熟悉傳統電信技術的人員，卻不夠了解IT技術。</p> <p>中華電信如果要轉型成ICT（資通訊技術）的公司，就必須將這群原本只熟知電信技術的員工，透過各式各樣的教育訓練課程，進行能力結構的轉型，將內部員工培養成了解雲，也看得懂、學得會、用得好各種雲端技術的員工。</p> <p>他也指出，相對應的推動策略，除了要做到多雲和混合雲的雲端環境，也必須秉持「入雲優先、智慧轉型」的信念，整合雲SaaS服務，更必須要同步做到雲技術人力結構轉型，未來也可以將這樣的雲端服務提供給外部客戶。</p> <p>因為中華電信著手推動雲化轉型，鄭廉勳表示，針對每一朵公雲都有一個雲端卓越中心（Cloud Center of Excellence，CCoE）團隊，而從公司治理來看，由技術長督導，位階是技術執行副總，下轄三個分工小組。</p> <p>「管理小組（Landing Zone）」負責雲基礎架構演進規畫、用戶入雲申請、零信任資安規畫與管控、費用管控、雲治理合規性管控，這個單位都是由處級、科級主管組成；「入雲共通流程與規範小組」也同樣由處級、科級主管組成，負責制定入雲管理辦法、入雲申請流程，以及制定雲治理合規性法遵。</p> <p>由資深架構師組成的「雲端架構師團隊」，則負責系統入雲輔導、彙整及宣傳入雲最佳實務與成功案例，以及推廣與教育訓練相關事宜；另外，他們也有「Cloud Steering Committee（雲端指導委員會）」，負責相關的財務、HR、法務、資安和行銷等相關事宜。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%BB%83%E5%BD%A5%E6%A3%BB-%E6%A0%B8%E5%BF%83%E7%90%86%E5%BF%B5-%E5%9C%962-%E4%B8%AD%E8%8F%AF%E9%9B%BB%E4%BF%A1%E6%8F%90%E4%BE%9B%20.png" style="width: 966px;" /></p> <blockquote><p>中華電信雲化轉型的核心理念就是：Cloud First和Cloud Smart，可以從願景、目標、核心理念和推動策略更了解該公司的雲化轉型策略步驟。</p> </blockquote> <h2> </h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%BB%83%E5%BD%A5%E6%A3%BB-CCoE%E9%9B%B2%E7%AB%AF%E5%8D%93%E8%B6%8A%E4%B8%AD%E5%BF%83-%E5%9C%963-%E4%B8%AD%E8%8F%AF%E9%9B%BB%E4%BF%A1%E6%8F%90%E4%BE%9B.png" style="width: 951px;" /></p> <blockquote><p>為了推動雲化轉型，中華電信打造雲端卓越中心（CCoE），以技術副總（CTO）作為推動雲化轉型的主導者，並制定相關組織人員與角色職掌。</p> </blockquote> <h2><strong>配合雲化改造策略，將大型主機降階為x86伺服器</strong></h2> <p>除了組織調整和安排相對應的人力配置外，鄭廉勳表示，更重要的是，公司要配合雲化轉型，從最底層資訊系統開始，制定全公司一致的資訊策略，所以，一開始地端的投資其實非常大。</p> <p>參考IDC《2022雲端趨勢有哪些重點？混合雲、IaaS市場成長最強勁》的報告可以發現，混合雲架構已經成為企業首選的最適模型，確保原有地端投資，便打造私有雲，並善用公有雲隨租即用、彈性規畫與按需調整的特色，串接公雲和私雲，可以達到私有雲的可靠性、自主性與安全性，也同時符合公有雲的快速性、延展性與多元性。</p> <p>中華電信要擁抱雲，採用的就是混合雲的架構，把地雲跟天雲透過網路連接起來，這個連接起來事實上就是一個雲的創新技術，成本相對較低。鄭廉勳表示，整個雲的導入，要呼應轉型的願景，各種資訊系統和服務都是入雲優先，也同時要減少傳統資訊系統的載入。</p> <p>由於中華電信是老牌、穩定的公司，有許多大型的資訊系統，常用的資訊系統也超過七百多個。他指出，電信公司以往會使用許多大型主機提供相關的電信服務，但大型主機已經不是市場主流，加上相關開發維護的成本也高，因此，確定雲端轉型的方向後，第一件事情就是把大型主機全部降階為x86伺服器，也將商用版資料庫都改用MySQL以及PostgreSQL資料庫。</p> <p>不過，雲化轉型是一個漫長的過程，開始轉向雲端服務後，接下來針對各種入雲的資訊系統，就把各種正式環境全部導入虛擬化，不管後續是入私雲或是上各種國際公雲，過程中也可以逐步評估相關的成本效益（TCO）</p> <p>對於一個大型組織要把系統入雲，第一件事情就是必須搞定資安，因為沒有做好雲端資安，一旦上雲，就導致各種資料在網路裸奔的話，沒有一間企業會願意再把資訊系統入雲。</p> <p>所以，鄭廉勳指出，該公司至少花了兩年釐清怎麼做好公雲資安，真正把資安放在第一位後，才開始看業務的效能、使用率以及相關的費用，中華電信也在這個過程中，累積很完整的能力。</p> <p>之後，也透過DevOps/CI/CD pipeline這些自動化的雲原生機制導入到企業裡面，進行自動化建置與自動化部署，成為標準化的作業程序，也透過生成式AI（AIGC）進行各種智慧化的應用。這就是中華電信所採用的雲端架構。</p> <p>「採用混合雲架構，除了保持地端既有投資，也可以善用雲端創新服務，用相對低的成本打造韌性的IT基礎環境。」鄭廉勳說道。</p> <h2><strong>資訊系統現代化關鍵，將核心能力變成API</strong></h2> <p>傳統的電信業者若想轉型為數位化電信服務供應商，就必須要將資訊系統朝向更開放的現代化目標前進，就是要做到快、好、穩、大四個目標，所謂的快就加快上市時間（time-to-market）、做好客戶信賴、做到品質穩定、做大數位生態，而做到數位化電信服務供應商最好的方式就是，讓系統與流程逐步走向開放架構：Open Digital Framework（開放數位框架），並且做到簡單化（simplification）、自動化（automation）及智慧化（intelligence）。</p> <p>這個開放數位框架採用虛擬化的底層架構，使用各種雲原生IT系統（Cloud Native IT），並且透過人工智慧賦能的即時操作（AI-Enabled Real-Time Operations），藉由零接觸合作（zero touch partnering）和零接觸相互操作（zero touch interoperability）的方式打造一個數位化的供應商。</p> <p>由於雲原生IT系統的使用是重中之重，透過公有雲、私有雲、OpenStack、Kubernetes打造混合雲的架構；不管是服務管理、資源管理、警示管理以及跨領域資料服務都轉成各種微服務，透過Open API的方式與API管理平臺介接，也透過Open API與各種現代化的App整合。</p> <p>鄭廉勳表示，中華電信將資訊系統轉成現代化架構，便是透過多雲架構進行彈性部署，也將各種核心能力微服務化以及API化，可以達到「敏前臺、大中臺、穩後臺」的彈性部署，最後就是希望可以透過API生態進行快速組裝。</p> <p>他強調，這些資訊系統一定要做的事情就是：把它的核心能力變成API、App，然後透過API的方式進行組裝。</p> <h2><strong>雲化轉型有成，世足賽轉播流暢進行</strong></h2> <p>當雲化轉型成為中華電信數位轉型的核心時，鄭廉勳表示，他們第一步就是先解決公司同仁最常使用的各種OA辦公室軟體只能使用傳統桌面端軟體、不夠彈性的痛點。</p> <p>所以，整個資訊系統導入的過程中，便是先從辦公室最需要的SaaS部份開始導入，在2020年7月的時候，成立一些Pilot試行計畫，將示範系統入雲，在過程中也積極了解相關的雲端資安議題。</p> <p>2021年5月則導入協作SaaS服務；2021年11月則決定擴大入雲系統的規模並設定時程，開始一個一個將資訊系統，從地端搬遷到雲端的過程，同步考量韌性和永續的重要議題；2022年7月，成立雲端卓越中心（CCoE）推動雲化改造；到2023年2月，全部75個要入公有雲的系統中，已經完成50個系統的導入。</p> <p>雲化轉型不只解決員工使用老舊OA系統的問題，更透過雲端技術解決業務痛點。鄭廉勳以MOD轉播世足賽為例，同時間有五十萬人同時上線，也造成系統大當機，導致世界盃冠軍賽的時候，無法順利轉播。他表示，當時該公司就在思考，為什麼只有五十萬人同時上線，中華電信的系統就會出現雲端爆量（Cloud Bursting）導致系統撐不住了呢？</p> <p>痛定思痛，中華電信決定採用雲端技術解決這個業務上的痛點，因此，在兩年前的世足賽轉播時，就已經把整個系統架構更新，地端投資雖然仍然持續，但資源仍舊不足，但因為當時已經開始懂得怎麼用雲端了，便將整個轉播伺服器的影音內容快取，透過動態調配vCDN資源，快速轉移到雲端上，讓整個世足賽的轉播服務不中斷。</p> <h2><strong>將障礙申告系統微服務化上雲，讓地端雲端架構一致</strong></h2> <p>中華電信陸續要把重要系統進駐公雲，其中一個關鍵的系統就是障礙申告系統，也是所有民眾如果遇到電信服務需要報修時，都必須打電話到客服中心進行障礙申告。</p> <p>鄭廉勳表示，障礙申告系統於2022年7月30日，正式從內部雲全部轉成國際公雲，而該公司在將系統雲化前，則必須將原先的系統都先轉換成各種微服務架構，這才有辦法支撐每年超過330萬件障礙派工單的處理，以及超過千萬人次的用量。</p> <p>他解釋，這個重新打造的障礙申告系統，便經過三年的雲化轉型。第一年是先把IBM主機降階轉成x86伺服器，也將IBM AIX作業系統轉成Linux作業系統，並且將資料庫從Infomix轉成MySQL。</p> <p>第二年就導入DevOps、建立自動化CI/CD（持續整合/持續部署）程序，並用Gradle和Junit整合測試後，便使用Docker將軟體封裝進行容器化，再將所有應用程式轉成各種微服務（Microservices）後，上到內部的私有雲環境先做各種驗證；確定沒有問題後，第三年則使用雲原生（Cloud Native）的IT技術k8s，讓相關的微服務都進駐到國際公雲。</p> <p>鄭廉勳認為，中華電信障礙申告系統經過雲化轉型後，未來包括客服人員、維運人員、專案經理、委外廠商或是內部私雲系統等，都可以透過單一入口受理窗口，動態存取包括：障礙申告、Web、約修、責任區、工單、流程引擎、腳本程序、事件收送、Log存取或是企業應用整合（Enterprise Application Integration，EAI）排程等微服務。</p> <p>他說，透過各個服務間獨立部署動態彈性調整資源配置，就可以避免資源不足、擴充受限造成系統效能不佳等情形。</p> <p>鄭廉勳表示，雖然中華電信將許多重要的系統陸續搬遷到公有雲，但還是有許多受到監管的行業，例如電信業、金融業等，某些系統還是不能上雲的。因此，中華電信便將企業內部的開發、上線和維運環境一致化，把公雲的落地方案放到企業內部，然後開發團隊再把開發好的成果上雲，做到讓地端及雲端都使用一致性的架構，可以降低營運、維運以及管理成本。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%BB%83%E5%BD%A5%E6%A3%BB-%E9%9A%9C%E7%A4%99%E7%94%B3%E5%91%8A%E7%B3%BB%E7%B5%B1-%E5%9C%964-%E4%B8%AD%E8%8F%AF%E9%9B%BB%E4%BF%A1%E6%8F%90%E4%BE%9B.png" style="width: 893px;" /></p> <blockquote><p>中華電信障礙申告系統是攸關客服品質的重要系統，於2022年7月底正式進駐公雲，並採取微服務的方式，可以更動態的彈性調整相關資源配置。</p> </blockquote> <h2><strong>雲化轉型有助落實企業永續發展</strong></h2> <p>「對中華電信而言，數位轉型、勢在必行。」鄭廉勳表示，對該公司而言，雲化的好處可以從成本、彈性、快速、維運和長遠旅程擘畫佈局等面向來看。</p> <p>他進一步解釋，善用公雲資源，可以節降雲化轉型投入成本（TCO）；調度公雲資源，因應短期爆量活動、解決業務痛點，讓系統調度更有彈性；透過雲原生技術，可以做到加速系統現代化演進；以自動化、一致化等新的IT技術，可以降低維運的人力負擔。</p> <p>「因為業務轉型伴隨著IT轉型，」鄭廉勳強調，IT轉型是一場長遠的旅程，需要做到提早佈局、積極穩步邁進，才能夠維持企業的競爭優勢。因此，中華電信也提早針對資料備份、異地備援、開發環境、重構系統以及大量遷移進行相關規畫，就是希望做到佈局未來、維持企業的競爭優勢。</p> <p>他也說，中華電信進行雲化轉型其中一個關鍵因素也跟電力消耗成本很高有關係。若以自建機房、租用IDC機房、以及租用公雲的成本做比較，鄭廉勳坦言，剛開始自建機房成本很大，但慢慢透過成本攤提，機房建置成本會最便宜，但這中間弔詭的環節是，許多企業光只攤提機房建置成本，但每個月要支付的機房水電、冷氣和監控與維運費用，卻沒有列在自建機房的成本中，造成成本計算上的盲點。</p> <p>如果不要自建機房，鄭廉勳說，企業也可以考慮成本較為便宜的租用IDC機房，但對中華電信而言，並不會減少地端包括機房的投資，長期而言，租用雲端服務的成本是直線上升，但他們仍會選擇以租用公有雲的方式，做到企業的節能省電並提高企業永續發展（ESG）的分數。</p> <p>因應雲端轉型，中華電信也積極推動5G綠色行動方案，推動綠色營運部分，該公司成為臺灣率先通過並取得ISO 14046國際水足跡認證的電信業者，針對企業營業據點也取得ISO 14001環境管理系統認證、ISO 50001能源管理系統認證、ISO 14064-1溫室氣體排放驗證，以及取得氣候相關財務揭露（TCFG）認證。</p> <p>在綠色能源行動上，中華電信透過自建太陽光電裝置，容量高達2,784 kWp（峰瓩），也同時取得105張T-REC（再生能源憑證，也稱綠電身分證）證書；而推動綠色商店行動上，則打造首家「零碳門市」，並取得服務型碳標籤及碳中和（PAS 2060）認證，同時推動單據無紙化服務，每年節紙量達5.9億張。</p> <p>至於，綠色供應鏈行動的推動上，則改用綠色採購，金額已經高達9.04億元，而年度綠色採購金額也達總採購量的1.08％。而最後也是最關鍵的綠色採購，中華電信也成為第一家推動供應鏈永續管理的電信業者，並且成為正式導入《ISO 20400 永續採購指南》的資通訊企業，也正式加入CDP（原碳揭露計畫）供應鏈平臺，並擴大碳管理的效能。</p> <h2><strong>中華電信打造的數位韌性框架</strong></h2> <p>鄭廉勳指出，中華電信啟動雲化轉型，不只是要做到重要系統上雲，經歷烏俄戰爭之後，更理會到數位韌性的重要性。</p> <p>因此，他說，中華電信在推動雲化轉型的過程中，所有的系統不僅要做到持續性（Continuity）、可用性（Availability）、回復性（Recovery）和安全性（Security）外，也會透過設施與維運（Facilities）、網路架構（Network Infrastructure）、雲端工作負載（Cloud workload）、應用與資料（Application and data）、組織流程（Organization processes）和策略與願景（Strategy and vision）等六個面向，真正做到系統的數位韌性。</p> <p>因此，鄭廉勳表示，每一個成就數位韌性的面向，都有許多更細部的作為必須落實。像是，設施與維運面向，至少要做到：門禁管制、個人電腦防毒防駭、消防與安檢和不斷電系統；網路架構面向則要做到：做到主、備直連線路、建置MPLS-VPN和IPsec VPN、維持行動網路和衛星網路的通暢並做到多雲交換平臺。</p> <p>而雲端工作負載面向，則要做到Well-architected（架構完善框架）、零信任機制（Zero Trust）、自動擴展以及可用性區域；應用與資料面向則需要落實高可用性設計、備份及備援以及做到確保應用和資料安全。</p> <p>至於組織流程的面向上，則要定義好角色與責任、進行跨部門協作、並制定營運持續計畫（BCM）與落實災難復原演練；最後，在訂定策略與願景面向上，並需要先訂出營運持續性目標、風險管理政策、資安政策、落實資料治理與法律遵循。</p> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-content"> </div> </div> </div></div></div>
2023/8/23 16:14作者黃彥棻https://www.ithome.com.tw/news/158410
Meta開源多語文字、語音翻譯的AI模型，支援近100種語言
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.meta.com/blog/seamless-m4t/" target="_blank">Meta昨（22）日宣布</a>，釋出首個多語多模AI翻譯模型SeamlessM4T，支援將近100種語言之間的文字和語音翻譯。</p> <p><a href="https://about.fb.com/news/2023/08/seamlessm4t-ai-translation-model/" target="_blank">Meta指出</a>，現有語音到語音，以及語音聽寫（speech-to-text）的AI翻譯工具僅能處理很少量的主流語言，以致於在不同任務上，用戶得使用多個不同的翻譯工具。SeamlessM4T目的在提供涵括多種語言翻譯的單一工具，以單一系統做法減少錯誤率及延遲、提升翻譯效率及品質，協助不同語言用戶更有效溝通。</p> <p>Meta宣稱，SeamlessM4T可支援近100種語言的語音辨識、語音聽寫翻譯（speech-to-text）、以及文字到文字翻譯。而在不同模式切換的翻譯任務中，語音到語音翻譯輸入／輸出端，可支援近100種/36種語言（包括英語）。文字到語音翻譯輸入／輸出端，則支援近100種/35種語言（包括英語）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0823-SeamlessM4T%20by%20Meta-600.png" style="width: 600px;" /></p> <p>SeamlessM4T是Meta打造單一翻譯工具的計畫下的最新成果。2020年，Meta釋出能支援100種語言的AI模型M2M-100，去年又釋出文字到文字機器翻譯模型<a href="https://www.ithome.com.tw/news/151819" target="_blank">NLLB（No Language Left Behind）200</a>，能支援200種語言。NLLB 200之後被Wikipedia列為翻譯工具供應商之一。之後，Meta展示<a href="https://www.ithome.com.tw/news/153722" target="_blank">通用語音翻譯計畫（Universal Speech Translator）</a>支援閩南語和英文直接口譯的能力，今年春天則公布<a href="https://www.ithome.com.tw/news/157005" target="_blank">大量多語語音（Massively Multilingual Speech，MMS）AI模型</a>，可提供1,100多種語言的語音辨識及語音合成。</p> <p>SeamlessM4T集結了之前計畫的技術元素，運用多種語音資料訓練，將多語言、多模翻譯能力整合至單一模型中。就技術而言，Meta小組重新設計其序列建模工具fairseq，增加建模及資料載入API，並使用能支援語音辨識、聽寫、語音合成、文字對文字的多任務UnitY模型架構為基礎模型，並使用自監督語音編碼器w2v-BERT 2.0進行語音資料預處理，並使用NLLB模型的文字編碼器。在語音合成方面，則運用UnitY模型的語音生成元件T2U（text-to-unit）及HiFi-GAN unit vocoder，產出翻譯後的語音。</p> <p>為訓練SeamlessM4T，需要大量語音及文字資料。最後專案小組使用了44.3萬小時的語音/文字對，以及2.9萬小時的語音/語音對，支援36種語言，統稱為SeamlessAlign。Meta聲稱，從數量及涵括的語言來看，這組資料集都是當今之冠。</p> <p>Meta也公開<a href="https://research.facebook.com/publications/no-language-left-behind/" target="_blank">SeamlessM4T模型論文</a>及<a href="https://github.com/facebookresearch/fairseq/tree/nllb" target="_blank">相關資源</a>，讓研究人員及開發人員也能開發自有語言翻譯應用。</p> </div></div></div>
2023/8/23 13:26作者林妍溱https://www.ithome.com.tw/news/158405
VMware推出Private AI，積極布局跨雲新一代企業生成式AI建置需求，更與Nvidia聯手搶推可應用於離線環…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【<strong>美國拉斯維加斯現場報導</strong>】在今年的VMware Explore大會中，VMware積極搶攻生成式AI新領域，不只發表了可支援多雲的企業生成式AI模型訓練、測試及部署的跨雲新服務Private AI，還與Nvidia聯手推出可應用於離線環境中使用的方案，來協助企業更容易開發與客製自己的LLM模型，降低內部資料外洩的風險。另外VMware還將生成式AI功能帶進多個跨雲服務中，加速實現多雲的Cloud Smart願景。</p> <p>生成式AI可以說是今年IT圈最火紅的技術之一，不只三大公雲相繼擁抱，在今年紛紛推出雲端生成式AI服務，虛擬化軟體龍頭VMware也緊跟在後，在今年VMware Explore大會中宣布將跨入生成式AI領域，來支援多雲環境中的企業生成式AI應用開發與部署。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/R0009854.JPG" style="width: 600px;" /></p> <blockquote><p>VMware目前有5大跨雲服務，分別為Tanzu、 Aria、VMware Cloud、Anyhere Workspace、Edge Compute Stack。新推出的Private AI Foundation服務，將成為VMware第6大跨服雲務。</p> </blockquote> <p>VMware執行長Raghu Raghuram在第一天主題演說中就明白表示，除了多雲產品更新外，今年活動另一大重點就是生成式AI。他在大會中更揭露他們未來多雲AI戰略，將圍繞生成式AI來發展，「我們的目標是透過AI大幅降低會影響企業團隊高效工作的複雜性，包括基礎設施的複雜性、智財和隱私的複雜性，以及數據科學團隊及開發人員的複雜性。」Raghu Raghuram在會後一場媒體聯訪中這樣表示。</p> <p>他指出，企業在多雲環境中發展Cloud Smart的核心原則是幫助企業確定所需的工作負載，找到適合的底層基礎架構，然後使用跨雲服務來構建、執行和安全管理這些工作負載。而企業在多雲環境中執行下一代生成式AI工作負載，也是其中之一，需要得到支援。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/R0009846.JPG" style="width: 600px;" /></p> <p><strong><span style="font-size:24px;">新推出跨雲生成式AI建置服務Private AI，克服多雲環境資料分散和隱私的挑戰</span></strong></p> <p>VMware針對企業生成式AI所推出第一個雲端產品，就是Private AI，這也是VMware的第6大跨雲服務，更是為了克服企業多雲環境資料分散和隱私的挑戰所推出的全新多雲AI解決方案。</p> <p>根據VMware的說明，Private AI是一種架構AI服務的方法，透過這種方式可以確保企業數據隱私與權限控管，同時提供商用和開源方案，並整合資安和管理機制。</p> <p>Raghu Raghuram進一步指出，Private AI就是一種Cloud Smart的實踐方法，協助企業在複雜多雲環境中來建立、執行企業級生成式AI模型，並且能夠符合隱私及安全管理的要求，而無需擔心資料存放的位置，就能取得所需運算資源和AI模型，不論是在企業資料中心、私有雲、公有雲還是邊緣。</p> <p>透過Private AI平臺，企業能夠在內部環境中來執行、微調或進行LLM模型推論，並應用於各種場景，例如可用於程式碼生成，協助開發人員改善程式品質，或是使用對話式生成式AI來協助客服中心處理客戶問題，此外，也可運用在IT維運，加強自動化管理與監控，或是協助人員快速完成檔案搜尋、改善相歌政策或處理程序，來提高人員作業效率。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/R0009852.JPG" style="width: 600px;" /></p> <p><strong><span style="font-size:24px;">VMware與Nvidia強強聯手，推出可於地端部署的一站式生成式AI平臺</span></strong></p> <p>不僅如此，VMware同一天還宣布了名為VMware Private AI Foundation with Nvidia的一站式生成式AI平臺，可以提供離線的部署方案，讓企業只需要在自有資料中心內部署這套平臺，就能進行生成式AI基礎模型的訓練和推論，VMware更找來了Nvidia執行長黃仁勳站臺，象徵兩家公司未來在生成式AI領域將有更緊密合作。</p> <p>在這套生成式AI平臺中，包含一套整合式AI工具，不只整合了VMware用VCF構建的Private AI架構和Nvidia AI Enterprise軟體，以及加速運算，來獲得更好的訓練和推理效能，還支援了如NeMo、Llama 2等基礎模型以及主流AI開發框架。Dell、HPE和Lenovo等硬體製造商將是首批推出該平臺的業者，預計明年初上市。</p> <p>除了與Nvidia的合作，VMware還釋出了Private AI的技術堆疊參考架構，企業可以自行透過該框架建構並客製化自己的Private AI基礎模型。該框架還提供各種開源AI軟體、Ray統一運算框架或Hugging Face模型，可供企業使用。</p> <p>VMware不只開始布局多雲生成式AI，還將生成式AI技術開始融入VMware的多雲產品中，像是以Private AI開發出一系列的生成式AI智慧助手功能，已經可以運用於VMware Tanzu、Workspace ONE、NSX+等服務中，舉例來說，在VMware Tanzu中新增Tanzu Hub中，結合了自然語言生成式AI的chatbot服務，可以根據數據與應用程式，迅速找到答案並回應使用者的提問。而在新推出的NSX+服務中，則能協助安全分析師分析各種安全事件調查結果的相關性，能更有效應對網路威脅。</p> <p><strong><span style="font-size:24px;">推出新的vSAN Max儲存服務，因應儲存密集型應用需求</span></strong></p> <p>除了生成式AI之外，VMware針對旗下雲端產品及服務也有推出不少更新，例如推出全新vSAN Max儲存服務，因應儲存密集型應用需求，這套儲存新服務以全新ESA儲存架構為基礎，可支援vSphere達到PB級的非聚合式儲存，每個vSAN叢集可支援到最多8.6 PB儲存容量，並且可跨多雲來集中管理。</p> <p>在Tanzu雲原生應用平臺方面也有更新，不只支援跨雲的Kubernetes叢集，包括AKS和EKS，還推出Tanzu Hub視覺化管理介面和應用程式引擎，來提高對於多雲容器應用開發和維運管理，此外，Tanzu還新增AI智慧分析功能，可協助企業優化成本、安全和相關性能。</p> <p>在混合雲產品方面，VMware這次推出了全新的NSX+服務，強調能夠簡化企業多雲環境的網路和安全管理。隨著NSX+新服務的亮相，意味著，VMware三大核心產品，vSphere 、vSAN 、NSX都已經提供雲端服務訂閱模式，將進一步加速VMware朝向雲端訂閱制的轉型。</p> <p>此外，去年推出VMware勒索軟體復原即服務方案，VMware在這次大會中亦有替它增加新功能，包括能夠支援複數VM並行復原操作的功能，還有提供正式環境的VM在雲端中來執行，以及提供與網路安全相結合的儲存機制，和加強對於GCP環境中的VM的保護等。</p> </div></div></div>
2023/8/23 12:00作者余至浩https://www.ithome.com.tw/news/158401
OpenAI對GPT-3.5 Turbo添加微調功能，允許用戶以自有資料調整模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI在其大型語言模型GPT-3.5 Turbo添加<a href="https://openai.com/blog/gpt-3-5-turbo-fine-tuning-and-api-updates">微調功能（Fine-Tuning）</a>，讓使用者能夠自定義模型，並且有能力大規模執行這些模型，以滿足自家特殊用例的需求。</p> <p>語言模型微調是指，在一個經預訓練的模型上，進一步使用特定資料集進行訓練，以適應某一特定任務或是應用的方法。官方提到，經過他們測試顯示GPT-3.5 Turbo經過微調之後，在特定任務上的表現，甚至可以超過GPT-4的基礎能力。</p> <p>模型微調可讓企業創造出具差異化的應用，提高模型的可操縱性，使模型更好地遵循指令，像是要求模型總是生成特定語言的回覆。在程式碼完成（Code Completion）或編寫API呼叫時，確保特定的回應格式更是重要，因此開發者也可以使用微調模型，將提示語轉換成JSON片段，並應用在自家系統中。模型微調也可以供企業調整想要表現的風格，知名品牌可以根據企業形象調整模型的輸出基調。</p> <p>微調的好處除了使其適應特殊任務之外，還能讓使用者的以較短的提示語，獲得類似的輸出效能，官方提到，早期測試者可以將提示語長度縮短90％，使每次API呼叫更快速，也更節省成本。而且現在微調後的GPT-3.5-Turbo模型，可以處理的Token數達4,000，是之前微調模型的兩倍。</p> <p>官方也公開了微調價格，花費主要分為初始訓練成本和使用成本，使用具有10萬Token的訓練檔案微調gpt-3.5-turbo，經過3次完整走訪訓練，預估成本約為2.4美元。今年稍晚，OpenAI還會推出新功能，允許使用者針對函式呼叫與gpt-3.5-turbo-16k模型微調。</p> <p>在7月時，OpenAI宣布GPT-3基礎模型，包括ada、babbage、curie和davinci都將於2024年1月4日退役，而OpenAI也預告將以替代模型babbage-002、davinci-002，作為基礎模型和微調模型，用戶可以使用Completions API查詢存取這些模型。</p> </div></div></div>
2023/8/23 13:08作者李建興https://www.ithome.com.tw/news/158404
微軟將在Excel加入Python支援，可用於預測分析、機器學習
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Excel是許多商務人士決策和整理資料的重要工具，<a href="https://techcommunity.microsoft.com/t5/excel-blog/announcing-python-in-excel-combining-the-power-of-python-and-the/ba-p/3893439" target="_blank">微軟本周宣布</a>，將以公開預覽版方式為Excel加入Python支援，讓同一個Excel工作簿能同時使用Python程式及Excel分析公式，允許開發人員利用Excel執行更多元任務，像是機器學習、資料清洗或預測式分析。</p> <p>Python in Excel目前已經由Beta頻道，釋出給Microsoft 365 Insiders方案成員。</p> <p>透過Excel加入Python支援，用戶可以在Excel資料格內，輸入Python腳本程式語言。Python in Excel不需設定將執行在Microsoft Cloud上，Python計算會在雲端上執行，然後再將結果包括圖表或視覺化物件回傳到工作表。</p> <p>Python in Excel可和Excel現有工具如公式、PivotTables、Excel圖表相容，而且配合Excel內建的連接器及Power Query，使用者還可以將資料抓進Python in Excel。微軟說，Python開發人員可利用Excel完成資料視覺化、清洗資料、或執行預測式分析、機器學習等。</p> <p>例如，使用者可以整合熱門的Python資料視覺化函式庫，如Matplotlib及seaborn製作多種圖表，如長條圖、折線圖，或熱點圖、小提琴圖或蜂群圖等。而在機器學習、預估及預測式分析應用上，Python in Excel也可以整合scikit-learn及statsmodel等函式庫，執行分析任務，如回歸分析、時間序列建模等。Python開發人員也可以用Excel執行進階的資料清洗，像是找出遺失值、格式標準化、移除重複資料、或是使用正規表示法（regular expression）等方法完成資料轉換。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0823-Python%20in%20Excel-2-ML%20model%20predicting%20using%20Python%20and%20Excel%20LAMBDA-%E5%BE%AE%E8%BB%9F%E5%AE%98%E6%96%B9%E5%9C%96.png" style="width: 500px;" /></p> <p>此外，微軟也和熱門的Python資料科學開發工具Anaconda合作，為Python in Excel加入強大工具。Python in Excel將整合可執行於Azure的Anaconda Python發行版，後者包含多種知名Python函式庫包括panda、Matplotlib、scikit-learn等，可支援多種分析，也獲得Anaconda測試及後續支援。</p> <p>Python in Excel的程式將會跑在Microsoft Cloud上，完全不需設定。這些程式會運用微軟的Azure容器執行個體及Anaconda的套件技術，在獨立的hypervisor中執行，可確保程式碼不被Azure雲上其他容器，或網際網路上的外部人士存取。而由於在微軟雲上，完成的分析也可運用M365協同工具如Teams和Outlook分享給同事，且支援M365協同功能，例如加評論、@提及、共同編修等，用戶也可以自訂敏感性標籤，使Excel中的Python程式也遵循企業組織的法規。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0823-Python%20in%20Excel-3-Python%20in%20Excel%20is%20built%20for%20teams-%E5%BE%AE%E8%BB%9F%E5%AE%98%E6%96%B9%E5%9C%96.png" style="width: 550px;" /></p> <p>目前已經使用的早期用戶包括教育出版商McGraw-Hill、工程、建築事務所McKinney、會計暨顧問公司KPMG等。</p> <p>在今天開放公測後，微軟預告還會增加多所改進，包括強化編輯功能（如autocomplete、標明語法）、預設的Reprs函式、改進錯誤修正、文件等等。此外，為了防止濫用，微軟暫時設定上傳資料量及運算限制，團隊也會持續評估。</p> </div></div></div>
2023/8/23 11:41作者林妍溱https://www.ithome.com.tw/news/158402
Chrome 117將在擴充程式移除或標示為惡意時通知用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://developer.chrome.com/en/blog/extension-safety-hub/" target="_blank">Google宣布</a>Chrome 117將加入一項功能，若用戶已安裝的擴充程式遭到開發者移除或被標示為惡意程式時將自動通知用戶，並鼓勵用戶移除。</p> <p>Chrome Web Store過去常被人詬病有太多垃圾軟體，包括內含廣告程式、木馬程式或會導向釣魚網站的惡意擴充程式。雖然Google會定期掃瞄Chrome Web Store並清除此類軟體，但是用戶已安裝的擴充程式卻會留在Chrome上。</p> <p>為確保用戶安全，Google Chrome從117版開始，會在用戶已安裝的擴充程式從Chrome Web Store移除時通知用戶。這會有三種情形，包括擴充程式的開發商主動下架、擴充程式違反Chrome Web Store政策而被下架，以及擴充程式被Google標示為惡意程式時。</p> <p>Google表示，最新變更是為了確保用戶安全，同時降低對正牌擴充程式的影響。Google發出通知後，用戶會在Chrome設定頁的「隱私和安全」下看到通知訊息，點入「Review（檢視）」鍵，用戶可選擇隱藏通知或移除該程式。一如之前版本，被標示為惡意程式的擴充程式第一時間已被自動停用。</p> <p>為防止有無辜擴充程式被用戶移除，Google說，一旦上述問題排除，通知訊息就會自動停止。此外，若只是擴充程式作者接獲可能違反政策，還有時間解決或提出申訴時，也不會顯示通知。</p> <p>根據<a href="https://developer.chrome.com/docs/webstore/program-policies/" target="_blank">Google Chrome Web Store政策</a>，危險的（如散布暴力仇恨內容）、欺騙的（如點擊詐騙、冒充知名App的程式）、以及沒用（如效果名不副實、沒有實質效用）的擴充程式，都可能遭到下架。</p> </div></div></div>
2023/8/23 11:51作者林妍溱https://www.ithome.com.tw/news/158403
哈佛教授利用Google Cloud超級電腦以進行醫療研究
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.prnewswire.com/news-releases/citadel-securities-and-google-cloud-announce-high-performance-computing-study-with-harvard-university-to-advance-heart-disease-research-301901714.html" target="_blank">Citadel Securities與Google Cloud上周宣布</a>，已共同贊助一項哈佛大學的尖端醫療研究計畫，藉由Google Cloud基礎設施來執行原本必須在超級電腦上才能進行的運算。</p> <p>主導此一計畫的是哈佛大學工程與應用科學學院教授Petros Koumoutsakos，其主要研究為利用磁性控制的人造細菌鞭毛（Artificial Bacterial Flagella，ABF）來攻擊與溶解人體血管系統中的血塊及腫瘤細胞，創造數位分身來模擬此一新療法的效果需要能夠準確呈現人體內血管的形狀、大小與排列，也必須具備逼真的血液流動與結構的相互作用，並能主動控制ABFs。</p> <p>然而，Koumoutsakos指出，目前全球只有少數的超級電腦，能夠提供運作如此複雜、且如此規模之模擬所需的運算能力，有了Citadel Securities與Google Cloud的支援，他們的目標是證明可以利用公有雲資源來處理大規模且逼真的醫療應用模擬，藉由輕鬆造訪公開的雲端資源來縮短解決時間，提高測試能力，並降低處理某些急迫問題的研究成本。</p> <p>Google Cloud高效能運算技術專家Bill Magro向《路透社》（Reuters）表示，人們正意識雲端在解決問題與科學工程運算上的潛力，但變更雲端運算基礎設施讓它更像超級電腦，必須改變軟體與網路，以及硬體設計。</p> <p>在Koumoutsakos及其團隊的初期測試中，使用Google Cloud的雲端資源已可達到專用超級電腦的8成運算效能。相關測試包括於GPU與CPU上部署兩款不同的程式碼，以進行高效能運算的最佳化，其中之一為入圍2015年超級電腦應用軟體設計獎Gordon Bell Prize決賽的先進程式碼，另一則是用以執行粒子模擬的開源程式碼LAMMPS。</p> <p>Google Cloud在超級電腦運算服務上明顯落後其它競爭對手，微軟與Amazon都已於雲端服務上提供超級電腦運算能力，<a href="https://www.top500.org/lists/top500/list/2023/06/" target="_blank">在今年6月發布的全球五百大超級電腦排行榜上</a>，微軟Azure有6個系統進入該榜單，Amazon Web Services也有一個，其中，Azure的Explorer-WUS3更排行全球第十一，運算效能達53.96 PFlop/s。</p> </div></div></div>
2023/8/22 19:31作者陳曉莉https://www.ithome.com.tw/news/158400
Swift語言工作組欲積極推廣結構化並行功能，列為下一年發展重點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>主導Swift伺服器應用發展的Swift伺服器工作組（SSWG），於官網說明了未來一年的<a href="https://www.swift.org/blog/sswg-update-2023/">發展路線方向</a>，除了繼續現有結構化並行（Structured Concurrency）等函式庫發展，促進結構化並行的採用外，也同時也會改進開發工具，並且完善文件以及開發指南。</p> <p>結構化並行是Swift平行處理和非同步程式設計的一個新模型，目的是要讓非同步程式碼更直觀、可管理，並且更安全。在之前Swift的並行性也面臨回呼地獄（Callback Hell）、資源競爭、以及任務生命周期等難以管理等問題，因此引入結構化並行。</p> <p>結構化並行是一個強調組織、結構，以創建和管理並行任務的並行模型，當一段程式碼啟動多個並行任務時，該程序會等待所有任務完成後才會退出，也就是說，結構化並行對任務生命周期有更好的控制，同時確保了資源與任務管理的正確性，減少並行運算會面臨到的相關錯誤。</p> <p>SSWG認為結構化並行是一個Swift的關鍵功能，可以讓Swift的伺服器應用脫穎而出，並且對生態系產生明顯的正面影響，因此接下來一年的發展路線，結構化並行在其中成為一大重點，藉此提升結構化並行的採用。SSWG接下來會制定結構化並行採用指南，提供Sendable、async/await、TaskGroup和Task API的使用最佳實踐，並且在諸如swift-service-lifecycle等核心生態系函式庫中，應用並行最佳實踐。</p> <p>SSWG也將針對開發工具進行更新，像是在Linux上越來越受歡迎的Swiftly，這是一個用Swift編寫的Swift工具鏈安裝程式與管理器，能夠方便地管理多個工具鏈，SSWG預計會將其移植到Windows和macOS。SSWG也正探索更多工具改進的可能性，像是使用可重用元件Swift Package來改善伺服器部署體驗，或是研究Canonical的Chiseled Containers，用於提供小型且安全的Swift容器。</p> </div></div></div>
2023/8/22 19:42作者李建興https://www.ithome.com.tw/news/158397
【資安日報】8月22日，木馬程式HiatusRAT鎖定臺灣而來，半導體、化學製造業、縣市政府成為目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>木馬程式HiatusRAT今年3月被揭露，當時研究人員發現駭客主要針對歐洲及拉丁美洲而來，但事隔3個月，現在這些駭客轉移目標，竟然針對臺灣的製造業、縣市政府，以及美國軍事採購系統而來，由於目標出現如此大幅度的轉變，使得研究人員推測這群攻擊者很可能與中國政府有關。</p> <p>另一起與地緣政治有關的攻擊行動，則是針對美韓進行的大規模軍事演習Ulchi Freedom Shield而來，傳出北韓駭客Kimsuky對參與演習的承包商發送釣魚郵件。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.lumen.com/hiatusrat-takes-little-time-off-in-a-return-to-action/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣政府企業組織、美軍事採購系統遭到惡意軟體HiatusRAT攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/HiatusRAT-2023-08-09.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HiatusRAT-2023-08-09.jpg" style="width: 300px; float: right;" /></a>資安業者Lumen旗下實驗室揭露自6月中旬新一波的木馬程式HiatusRAT攻擊行動，原先3月駭客鎖定歐洲及拉丁美洲，但這次他們將目標轉向臺灣及美國，研究人員推測，這波攻擊行動很可能與中國政府有關。</p> <p>分析代管HiatusRAT的虛擬專用伺服器（VPS）流量之後，研究人員看到當中有超過九成鎖定臺灣組織，也有針對美國國防部，還有與軍事採購有關的伺服器的流量。對於臺灣組織的部分，遭到鎖定的產業包括半導體、化學製造業、縣市政府，而且，駭客偏好對於Ruckus的網路邊際設備下手。</p> <p>這家資安業者也觀察到HiatusRAT採用的攻擊基礎架構，他們發現有地緣因素，因為其中1個節點在中國、3個在美國。研究人員推測，駭客的目標之一，是藉由招標文件，探聽美國軍事需求，以及美國國防產業的相關企業組織。</p> <p><a href="https://www.bleepingcomputer.com/news/security/japanese-watchmaker-seiko-breached-by-blackcat-ransomware-gang/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">日本手錶製造商Seiko傳出遭到勒索軟體BlackCat攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ALPHV-Seiko.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ALPHV-Seiko.jpg" style="width: 300px; float: right;" /></a>8月10日日本手錶製造商Seiko發布資安通告，<a href="https://www.sii.co.jp/en/news/topics/2023/08/10/12208/">表示他們在7月28日遭遇資料外洩事件</a>，至少有1臺伺服器遭到未經授權的存取，該公司於8月2日委由外部資安專家進行調查，確認受害情形。</p> <p>這次攻擊是由誰發起的？勒索軟體駭客BlackCat（Alphv）於8月21日聲稱是他們所為，並於網站上列出竊得資料清單，當中包含該公司的生產計畫、員工識別證掃描檔案、新產品上市計畫、實驗室測試結果，駭客並於網站上公布部分竊得資料，如：機密技術原理圖、手錶的設計圖等。</p> <p>究竟駭客如何入侵Seiko？威脅情報業者Curated Intelligence向資安新聞網站Bleeping Computer透露，駭客很有可能在發動攻擊的前一天，向初始入侵管道掮客（IAB）購買帳密資料，而能成功進入該公司內部網路環境。</p> <p><a href="https://blogs.blackberry.com/en/2023/08/cuba-ransomware-deploys-new-tools-targets-critical-infrastructure-sector-in-the-usa-and-it-integrator-in-latin-america"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Cuba利用Veeam備份系統漏洞發動攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/cuba-fig05.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cuba-fig05.png" style="width: 300px; float: right;" /></a>BlackBerry威脅情報團隊指出，今年6月起，勒索軟體駭客組織Cuba肆虐，鎖定Veeam Backup & Replication（VBR）備份解決方案的漏洞CVE-2023-27532發動攻擊，已有美國關鍵基礎設施業者、拉丁美洲系統服務商遭到攻擊。</p> <p>駭客疑似先取得外洩的遠端桌面連線管理者帳密資料，入侵目標組織，然後部署自行打造的下載工具BugHatch，並與C2伺服器連線，下載DLL檔案或是接收命令並執行，接著駭客利用滲透測試工具Metasploit的DNS stager元件，在記憶體內解密、執行Shell Code。</p> <p>為了避免防毒軟體干擾檔案加密過程，駭客利用自帶驅動程式（BYOVD）的攻擊手法，並使用名為BurntCigar的工具來終止防毒軟體的相關處理程序。研究人員指出，駭客首度利用CVE-2023-27532，但他們在攻擊過程裡，仍會利用Zerologon（CVE-2020-1472）。</p> <p><a href="https://www.reuters.com/world/north-korean-hackers-target-us-south-korea-military-drills-police-say-2023-08-20/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客Kimsuky傳出針對美韓軍事演習下手</span></strong></a></p> <p>為因應北韓核武及導彈的威脅，美國、韓國自8月21日，舉辦為期11天的大規模軍事演習Ulchi Freedom Shield，但傳出北韓駭客作亂。根據路透社的報導，韓國警方於20日發現，北韓駭客組織Kimsuky鎖定參與戰爭模擬中心工作的韓國承包商下手，發動釣魚郵件攻擊，所幸軍機機密並未遭竊。</p> <p>韓國警方與美軍聯手進行調查，發現駭客所使用的IP位址，其中一個曾被用於2014年的攻擊行動。</p> <p><a href="https://apps.web.maine.gov/online/aeviewer/ME/40/014ae6db-4cb7-464b-b827-5d73f0bbc911.shtml"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">特斯拉指控內賊流出7.5萬名員工個資</span></strong></a></p> <p>8月18日特斯拉向美國緬因州通報重大資料外洩事件，當中提及2名前員工違反公司IT安全及資料保護政策，洩露75,735人個資，並試圖提供給媒體。這些資料包含了員工姓名、社會安全碼（SSN），以及住家地址、電話、電子郵件信箱等聯絡資訊。</p> <p>而他們得知員工洩露內部資料的管道，是德國媒體商報（Handelsblatt）於5月10日通知該公司，有人向他們提供100GB的機密資料，目的是想反映特斯拉自動駕駛系統的技術問題，因為對方認為這些狀況遠比外界所知的嚴重，當中包含2,400例自動加速問題事件、1,500件煞車問題事件客訴。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/tp-link-smart-bulbs-can-let-hackers-steal-your-wifi-password/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">TP-Link智慧燈泡存在漏洞，攻擊者可用來竊取網路環境的Wi-Fi密碼</span></strong></a></p> <p>卡塔尼亞大學與倫敦大學的研究人員聯手，發現TP-Link智慧燈泡Tapo L530E、手機應用程式存在4項漏洞，其中風險層級最高的漏洞，是燈泡與手機App之間缺乏相關的身分驗證造成，CVSS風險評為8.8；另一個高風險漏洞則是與寫死的密碼有關，CVSS風險評為7.6。</p> <p>研究人員指出，一旦攻擊者將上述兩個漏洞串連，就有可能冒充燈泡裝置，然後取得Tapo使用者帳號資料，進而存取手機的App，找出受害裝置連上的Wi-Fi網路，並利用SSID及密碼資料來進一步存取無線網路上的其他裝置。除上述攻擊手法，研究人員認為，駭客也有可能將漏洞用於發動中間人攻擊（MitM），截取用於一連串燈泡與App資料交換工作的RSA加密金鑰。</p> <p>對此，研究人員向TP-Link通報上述漏洞，該公司也承諾會著手修補，但尚未提供更新軟體。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.theregister.com/2023/08/15/clorox_cleans_up_security_breach/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">清潔用品製造商Clorox遭到入侵，部分IT系統被迫離線</span></span></strong></a></p> <p><a href="https://forums.ivanti.com/s/article/CVE-2023-38035-API-Authentication-Bypass-on-Sentry-Administrator-Interface"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Ivanti修補旗下行動裝置管理平臺的API身分驗證繞過漏洞</span></span></strong></a></p> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/08/wooflocker2"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客透過WoofLocker工具包，假借客服的名義進行詐騙</span></span></strong></a></p> <p><a href="https://www.fortinet.com/blog/threat-research/malware-distributed-via-freezers-and-syk-crypter"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意程式XWorm透過紅隊演練工具注入受害電腦</span></span></strong></a></p> <p><a href="https://www.sentinelone.com/labs/chinese-entanglement-dll-hijacking-in-the-asian-gambling-sector/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國駭客濫用含有漏洞的瀏覽器、防毒軟體檔案，透過DLL挾持部署Cobalt Strike</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158378">【8月21日】逾3千個安卓惡意軟體採用不支援的壓縮格式演算法，目的是防止被研究人員反組譯</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158332">【8月18日】駭客針對GitLab重大漏洞下手，將其容器環境用於挖礦及盜取網路頻寬</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158313">【8月17日】 Cloudflare物件儲存服務成駭客寄放釣魚網頁的溫床，半年內相關的攻擊流量暴增60倍</a></strong></p> </div></div></div>
2023/8/22 18:19作者周峻佑https://www.ithome.com.tw/news/158398
Arm正式提出上市申請
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.arm.com/zh-TW/company/news/2023/08/arm-announces-public-filing-of-registration-statement-for-proposed-initial-public-offering" target="_blank">半導體設計業者Arm周一（8/21）宣布</a>，已向美國證券交易委員會（SEC）申請首次公開發行（IPO），準備以ARM為代號登上美國那斯達克股市。</p> <p>Arm的總部位於英國，主要開發半導體的架構與設計，以授權給各領域的業者，涵蓋智慧型手機、平板電腦、汽車輔助駕駛系統與資料中心等，它在2016年以320億美元賣給日本軟體銀行，2020年時原本要再以400億美元賣給Nvidia，卻同時遭到英國、美國及歐盟的反對，擔心失去中立角色的Arm將嚴重影響市場競爭，之後Arm即決定朝IPO邁進。</p> <p><a href="https://www.sec.gov/Archives/edgar/data/1973239/000119312523216983/d393891df1.htm" target="_blank">根據Arm所提交的上市申請文件</a>，該公司認為支援所有電子設備的半導體已成為世界最重要的資產之一，這些設備的核心是CPU，而Arm已是CPU產業的領導業者，設計、開發及授權許多高效能、低成本與節能CPU的產品與技術。</p> <p>Arm統計，截至2022年底，全球有超過99%的智慧型手機都以Arm CPU執行先進運算，所授權的晶片超過2,500億個，被安裝在感應器至超級電腦上，可執行全球絕大多數的軟體，包括於手機、平板、個人電腦、資料中心、網路設備與汽車上的作業系統及應用程式，估計全球7成的人口都使用著基於Arm的各種產品。</p> <p>Arm主要的產品為CPU，而Arm CPU架構也是全球使用最廣泛的CPU架構，該公司認為，隨著全球愈來愈轉趨支持人工智慧及機器學習運算，Arm可望成為此一轉變的核心。Arm強調該公司是一家以工程為主的企業，在5,963名全球員工中，有高達80%專注於研究、設計及技術創新。</p> <p>截至今年3月底的Arm年度收入為26.79億美元，略低於去年同期的27.03億美元，其持續營運淨利潤為5.24億美元，亦低於去年同期的6.76億美元。</p> <p>Arm並未公布其IPO的每股價格，因此無法估算其價值，但外傳軟體銀行期望對Arm的投資能至少取回翻倍的報酬，意味著其上市市值可能直接衝上600億美元。</p> </div></div></div>
2023/8/22 15:57作者陳曉莉https://www.ithome.com.tw/news/158395
Flutter 3.13最佳化iOS Impeller渲染引擎效能，Android版今年稍晚預覽
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源UI軟體開發工具包Flutter，近期更新主要圍繞在其新的Impeller渲染引擎上，在最新的Flutter 3.13，官方也對Impeller進行多項改進，同時針對可折疊裝置支援添加Engine API。在介面外觀上，官方對Material Framework有不少功能調整，使開發者能夠更靈活地設計應用程式介面。</p> <p>Impeller是Flutter上最新的渲染引擎，用來取代之前的Skia，Impeller的優點是能夠善用硬體加速繪圖API，像是iOS的Metal以及Android上的Vulkan，藉以提供順暢的UI效果。從Flutter 3.10開始，新建立的iOS應用程式便會預設使用Impeller，使介面卡頓情況減少，且在記憶體使用上更有效率。</p> <p>Flutter 3.13上的Impeller更是經過一連串最佳化，完全消除著色器編譯的卡頓問題，且在部分基準測試中，達到更高的平均吞吐量，在官方flutter/gallery過渡效能基準測試中，平均影格的光柵化時間大幅降低，現在約可達到Skia的一半。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0_ivWbcnIt-1Mln5Lx.png" style="width: 580px; height: 353px;" /></p> <p><span style="color:#696969;">以iPhone 11測試，從Flutter 3.10版本分支到3.13版本分支之間，在官方flutter/gallery過渡效能基準測試，平均影格的光柵化時間大幅降低。</span></p> <p>Flutter 3.10加入對廣色域的支援，廣色域比傳統RGB色域更廣，可呈現更豐富的顏色，讓圖像看起來更鮮艷逼真。但是在Flutter 3.10中，雖然在iOS上的Flutter應用程式，已經可以顯示廣色域圖片，但是預設仍是使用RGB色域，在開發者的回饋後，Impeller現在於iOS上將預設使用廣色域。</p> <p>至於Android上的Impeller則需要再等等，雖然過去一年已經有許多進展，官方對Impeller的硬體抽象層做了許多最佳化，完善OpenGL和Vulkan後端功能，這讓Android平均影格繪製時間在flutter/gallery過渡效能基準測試中已有大幅度提升。不過，目前還未達到預期的水準，官方希望在Android上Impeller預覽時，能達到穩定版本的程度。Impeller目前也已開始在macOS上進行預覽。</p> <p>Flutter 3.13加入新的引擎API，更好地支援可折疊裝置，新API能夠擷取顯示螢幕各種屬性，包括顯示器的實際尺寸、像素比和更新頻率等資訊。Flutter 3.13還對Material Framework進行多項改進，主要更新方向是要提升更多平臺的適用性，並且讓使用者有更多的自定義空間，並加入許多新功能，像是現在於iOS中，可以使用裝置相機辨識文字，並將文字輸入到文字欄位中等。</p> <p>值得注意的是，Flutter將在下一個穩定版本預設使用Material 3，應用程式將會預設使用Material 3顏色、文字樣式和其他視覺效果。另外，Flutter不再支援Android Jelly Bean，包括API等級16、17 和18。</p> </div></div></div>
2023/8/22 13:42作者李建興https://www.ithome.com.tw/news/158394
HiatusRAT攻擊臺灣市府、民間企業，也瞄準美國軍事採購系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.lumen.com/hiatusrat-takes-little-time-off-in-a-return-to-action/" target="_blank">資安廠商發現</a>一項名為HiatusRAT的木馬程式攻擊行動，近日復出大舉攻擊臺灣半導體、化學等企業、地方政府及美國軍方採購相關的伺服器，懷疑可能和中國有關。</p> <p>資安業者Lumen旗下Black Lotus Labs實驗室今年3月，觀察到名為HiatusRAT的木馬程式感染全球超過100多臺邊緣網路裝置。它寄生在邊緣路由器上，被動蒐集流量並當作C&C伺服器執行。在消失一段時間後，Black Lotus研究人員於6月中再度發現HiatusRAT攻擊活動的跡象。有別於原本外界認為的拉丁美洲及歐洲，研究人員發現HiatusRAT這波攻擊鎖定臺灣，也對一個美國軍事採購單位發動偵察。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0822-new%20HiatusRAT%20network%20by%20Lumen%20Black%20Lotus%20Labs.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0822-new%20HiatusRAT%20network%20by%20Lumen%20Black%20Lotus%20Labs.jpg" style="width: 350px;" /></a></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Lumen Black Lotus Labs</span></span></p> <p>這波攻擊期間是從6月初到8月。研究人員觀察到HiatusRAT代管在虛擬私有伺服器（virtual private server，VPS），超過九成流量是鎖定臺灣組織，而且似乎偏好Ruckus邊緣網路裝置。遭到鎖定的臺灣組織，包括半導體、化學製造廠，以及至少一個縣市政府。研究人員追查攻擊架構，發現到其中一個節點位於中國，並有3臺位於美國。</p> <p>Black Lotus Labs還發現到，攻擊者的目標也包含美國國防部和軍事採購合約、招標有關的伺服器。6月13日僅2小時就有超過11MB的雙向資料傳輸，研究人員懷疑攻擊者可能藉由尋找公開的招標文件，了解美國軍事需求以及和美國國防產業（Defense Industrial Base）有關的組織。</p> <p>根據技術分析，HiatusRAT可能和已知對美國政府發動的其他中國駭客，如<a href="https://www.ithome.com.tw/news/157763" target="_blank">Storm-0558</a>及<a href="https://www.ithome.com.tw/news/157037" target="_blank">Volt Typhoon</a>是不同的活動叢集。不過Black Lotus Labs相信，這波攻擊顯示以較小型的美國國防設備供應商，以及支持臺灣的組織為對象進行情蒐，也符合美國國家情報總監辦公室（ODNI）威脅評估反映的中國戰略目標。</p> <p>安全廠商建議企業應有安全上網服務邊緣（secure access service edge，SASE）架構或VPN連線，並開啟安全連線如SSL/TLS以保護傳輸中的資訊。消費者則應定期安裝安全更新，並汰換已過服務生命周期的設備。</p> </div></div></div>
2023/8/22 11:39作者林妍溱https://www.ithome.com.tw/news/158387
前員工意圖爆料，特斯拉7.5萬員工個資外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>特斯拉遭前員工洩露近100GB文件意圖向媒體爆料自駕系統技術問題，也外洩了該公司7.5萬員工個資。</p> <p><a href="https://apps.web.maine.gov/online/aeviewer/ME/40/014ae6db-4cb7-464b-b827-5d73f0bbc911.shtml" target="_blank">特斯拉（Tesla）本周通報</a>公司重大資料外洩事件，超過7.5萬名員工個資遭2名前員工外洩。根據特斯拉向美國緬因州提交的文件，受影響的員工有75,735人。</p> <p>特斯拉指出，德國媒體《商報》（Handelsblatt）於5月10日通知他們取得這家車廠一份機密資訊。經過調查，為兩名前員工違反公司IT安全及資料保護政策存取這份資訊，並試圖提供給媒體。</p> <p>這家電動車大廠已經對2名前員工提告，扣留可能存有這份資訊的電子裝置，也取得法院命令，禁止被告使用、存取或散布這些資訊。</p> <p>特斯拉外洩的員工個資包括現任及前任員工的姓名、特定聯絡資訊（如住址、電話與電子郵件信箱）及社會安全號碼等。特斯拉已經對受影響的員工、前員工發出通知，也提供12個月的信用監控及身分資料失竊服務。德國媒體指出，特斯拉執行長馬斯克（Elon Musk）的社會安全號碼也在外洩名單之列。</p> <p><a href="https://www.handelsblatt.com/unternehmen/industrie/elektromobilitaet-mein-autopilot-hat-mich-fast-umgebracht-tesla-files-naehren-zweifel-an-elon-musks-versprechen/29166564.html" target="_blank">《商報》報導</a>，提供特斯拉100GB內部資料給他們的人士，目的是想反映特斯拉自動駕駛系統「技術問題遠較外界所知的嚴重」。</p> <p>雖然《商報》表示，他們並不打算公開這些個資，依法也不得不當使用，但<a href="https://www.theverge.com/2023/8/21/23839940/tesla-data-leak-inside-job-handelsblatt" target="_blank">《The Verge》</a>報導，這家德國媒體還是公開了前員工外洩關於特斯拉全自動駕駛（Full Self-Driving）系統的客訴問題。車主抱怨特斯拉的自動加速問題事件達2,400例，煞車問題事件則有1,500件。</p> <p>特斯拉目前身陷多起交通事故官司，美國國家公路交通管理局（NHTSA）也介入調查。</p> <p>這不是特斯拉第一次遭前員工外洩公司資料。<a href="https://www.ithome.com.tw/news/124008" target="_blank">2018年特斯拉電池廠員工Martin Tripp撰寫軟體駭入公司及產線電腦</a>，取得數GB資料，包括機密相片及影片，並外洩給了別家公司及媒體。這名員工也遭到了特斯拉控告。</p> </div></div></div>
2023/8/22 12:16作者林妍溱https://www.ithome.com.tw/news/158390
玉山金控將藉上雲加速金融創新，實現端對端數位化願景
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>玉山金控董事長黃男州昨天在法說會前記者會強調，未來將投入更多資源投入數位化的願景，玉山未來希望達到端對端的數位化，顧客端服務和銀行端業務皆數位化，達到業務擴充和產品串聯的益處，甚至是透過數位化，讓玉山更容易嵌入生態圈。</p> <p>黃男州表示，目前玉山消費金融業務大多在數位通路上進行，但他的目標是，達到端對端的數位化。不只在顧客端以數位方式完成服務，銀行內部作業也盡量數位化，讓同樣的人力可以服務更多顧客。此外，數位化也可以讓產品線間的串連更便利，強化範疇經濟。甚至，他認為，數位化可以讓企業更容易進入生態圈，例如透過API串聯資訊，來進行企業間的合作。</p> <p>要邁向這項願景，上雲正是加速金融創新的作法之一。黃男州提到，全球先進應用軟體大多已經上雲，甚至有業者不提供地端服務，上雲事關銀行的創新速度。</p> <p>玉山金控暨玉山銀行資訊長謝萬禮解釋，當新技術出現時，上雲的好處是可以快速實驗新資源，不需要經過傳統的採購準備，而能直接在雲端找到平臺或空間來實驗，快速驗證效果。例如，某些雲端業者提供了AI模組套裝，若能快速上雲，就能更快速實驗AI技術。</p> <p>對此，玉山也早有準備。謝萬禮表示，公司自2016年起，就開始將內部系統現代化，並進行核心系統轉型。2020年新核心系統上線後，內部也持續展開重要核心業務系統和關鍵業務系統現代化。他表示，目前，包含核心系統和關鍵業務系統，玉山約七成以上系統已具備上公有雲的準備。</p> <p>「投入這些資源就是希望打通尚未數位化的最後一哩路。」黃男州表示，未來，玉山在數位化工作會投入更多資源，讓人工作業越來越少，來實現端對端的數位化。</p> </div></div></div>
2023/8/22 12:37作者李昀璇https://www.ithome.com.tw/news/158393
SUSE將下市成為私有企業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SLE（SUSE Linux Enterprise）、Rancher與NeuVector的開發廠商SUSE，其背後大股東Marcel （Marcel LUX III SARL）打算將SUSE從法蘭克福證券交易所下市（Delisting）讓<a href="https://www.suse.com/news/EQT-announces-voluntary-public-purchase-offer-and-intention-to-delist-SUSE/">公司私有化</a>，使其不再成為可公開交易的公司，而根據該官方說法，此舉主要目的是要專注在營運重要目標，以及長期戰略的執行。</p> <p>Marcel是一家受EQT VIII基金控制的控股公司，目前擁有SUSE與79％的股份，Marcel與EQT VIII基金被合稱為EQT Private Equity，而EQT VIII基金則是瑞典斯德哥爾摩EQT AB的子公司。在發出SUSE準備下市的消息，EQT Private Equity，也向股東發出公開購股意願，希望在下市之前，從其他股東那以每股16歐元的價格，購入SUSE的股票。同時，SUSE也與Marcel簽署交易架構協議（TFA），內容包括支付給所有股東股息等內容。</p> <p>SUSE是一家總部在德國的公司，以提供企業級Linux為其主要業務，SUSE在1992年成立以來經過多次併購，在2004年被Novell收購，由於2011年Attachmate收購了Novell，因此SUSE也成為Attachmate集團旗下部門，2014年Micro Focus與Attachmate合併，所以SUSE也加入Micro Focus，而在2019年，EQT從Micro Focus手上買走SUSE，SUSE就此成為獨立企業。</p> <p>SUSE私有化後的發展也備受矚目，SUSE執行長Dirk-Peter van Leeuwen認為，公司私有化是一個策略性的機會，能夠讓公司在新的領導團隊帶領下，實現業務成長與戰略目標。</p> <p>SUSE近期動作頻頻，今年指派了已在紅帽服務超過18年的<a href="https://ch.linkedin.com/in/dpvanleeuwen?original_referer=https%3A%2F%2Fwww.google.com%2F">Dirk-Peter van Leeuwen</a>，成為SUSE新任執行長。紅帽在今年6月的時候，<a href="https://www.ithome.com.tw/news/157514">決定不再於git.centos.org公開RHEL原始碼</a>，SUSE之後便與甲骨文和CIQ共組<a href="https://www.ithome.com.tw/news/158220">Open Enterprise Linux協會（OpenELA）</a>，目標是提供工具以及企業級Linux等資源，供開發者得以簡單建立和維護與RHEL相容的Linux版本，並且在官網強調歡迎所有貢獻者與「貪小便宜」者，意圖相當明顯是衝著紅帽而來。</p> </div></div></div>
2023/8/22 08:33作者李建興https://www.ithome.com.tw/news/158379
Python預計加入Immortal Objects，可提升記憶體效率並解除平行運算限制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://engineering.fb.com/2023/08/15/developer-tools/immortal-objects-for-python-instagram-meta/">Meta</a>在程式語言Python提出<a href="https://peps.python.org/pep-0683/">PEP-683</a>以加入Immortal Objects，使得物件可以繞過參照計數檢查，成為在執行時持續存活的不朽物件，透過增加共享記憶體使用量，進而提高記憶體的使用效率，而這將有助於解除Python語言本身在平行運算上的局限。目前PEP-683已經被接受。</p> <p>Meta使用Python網頁框架Django開發Instagram前端伺服器，並且使用多程序架構以及Python標準函式庫asyncio，以達到每個程序並行處理的目標，但因為Instagram無論是在業務邏輯還是處理的請求量，規模都十分龐大，這個方法對記憶體的大量需求，成為了系統的效能瓶頸。</p> <p>隨著系統運作，每個伺服器程序的私有記憶體使用增加，而共享記憶體減少，這樣的現象造成記憶體效率不彰。開發人員分析發現，即便許多Python物件在整個執行時不可變，但是Python的參照計數和垃圾回收機制，仍然會試圖管理並修改這些物件，在每次讀取和垃圾回收周期仍會執行寫入時複製（Copy-On-Write，COW），使得原本共享的記憶體分頁變成私有，如此便減少了共享記憶體的效益，增加了不必要的CPU和記憶體開銷。</p> <p>PEP-683的出現便是為了解決這個問題，Immortal Objects在物件的參照計數欄位中，標記特殊值以創建不朽物件，也就是核心物件狀態永遠不會改變的物件，Runtime會知道什麼時候可以或是不可以改變參照計數欄位和垃圾回收標頭。</p> <p>不過，由於Immortal Objects的核心實作，在參照計數增加和減少的程序中添加了明確的檢查，這兩個程序是Runtime被頻繁執行的程式碼，因此無法避免地造成程式碼效能下降，經過特殊的暫存器分配策略，可以最大程度減少效能降低，但是仍有約2％的效能影響。</p> <p>在Instagram中，本來是透過減少寫入時複製操作，提高處理請求記憶體和CPU效率，而由於Immortal Objects的加入，Instagram便可以透過增加共享記憶體使用量，來大幅減少私有記憶體的使用。由於Immortal Objects可以跨執行緒共享物件，不在需要GIL（Global Interpreter Lock）達到執行緒安全性，Meta提到，這項功能影響了Python語言的發展，由於Immortal Objects保證堆物件真正的不可變性，因此也解除Python在平行運算的限制。</p> </div></div></div>
2023/8/22 08:51作者李建興https://www.ithome.com.tw/news/158384
鴻海研究院聯手MIT首推黑客松，Security by Design成電動車創新服務基礎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自從g0v以黑客松作為各種創新服務發想的方式以來，許多機關企業也希望透過黑客松的創意發想，為自家產品服務找出新的可能性。鴻海研究院、美國麻省理工學院（MIT）多媒體實驗室（Media Lab）與國立臺北科技大學共同合作的城市科學實驗室（City Science Lab @ Taipei Tech），則於日前首度聯手，推出<a href="https://www.csltaipeitech.com/cslx"><span style="color:#0000FF;">AI on Wheels黑客松活動</span></a>，於8月25日中午12點前<a href="https://forms.gle/vbsFqm9nDGoka3sLA"><span style="color:#0000FF;">報名</span></a>，入圍名單於8月28日公布，並在9月2日、3日舉辦黑客松活動。</p> <p>鴻海研究院執行長李維斌表示，AI on Wheels黑客松活動主要是針對由鴻海研究院資通安全、MIT與北科大共同打造的開放輕型無人車車用平臺EVπ，所有參賽者可以發想各種與電動車相關的各種服務。</p> <p>從車輛到基礎設施通訊（V2I）到自駕車技術，李維斌表示，電動車正經歷著一場技術革命，因此，「無人車的各種服務都必須確保安全無虞，」而這次舉辦的黑客松比賽，更是首度要求，不管是從創意發想到服務設計時，都必須落實資訊安全Security by Design（預設資安）策略，真正做到結合創新與資安。</p> <p>此次共同合作的麻省理工學院城市科學實驗室亞洲區主任林家樑（Michael Lin）表示，這個EVπ是開放源碼的平臺，而只要在這個開放平臺有新的服務，都可以MIT在全世界的創新中心分享到世界各地。</p> <h2><strong>在無人車開放平臺EVπ，進行以資安為核心的創意發想</strong></h2> <p>李維斌坦言，和MIT合作的EVπ不同於商用的MIH（Mobility In Harmony Open EV Platform，電動車開放平臺），希望透過比較低的門檻，讓更多人可以更快的接觸無人車，該臺無人車上所有使用的元件，都是可以實際運作的產品。</p> <p>李維斌指出，無人車原本就是一個新興議題，加上傳統汽車數位化後，又有許多想像的空間，因此，他希望可以在這樣的平臺上發揮不一樣的創意。加上他本身就是資安出身的背景，更希望在所有無人車創意發想的基礎上，可以做到：資安都是所有創意的基礎，才希望所有發想的創意服務，都可以帶入Security by Design的概念。</p> <p>他坦言，一臺電動車要上路，資安一定要先做好，畢竟，一臺無人車若因為資安問題必須要亡羊補牢，是一件很恐怖的事情。因此，他也想透過舉辦黑客松這樣的活動，藉由帶入無人車的情境，改變所有做服務、做創意的人的想法（Mindset）。李維斌認為，因為資安不是只有跟做技術、做資安的人才有相關，包括各種創意和服務如果要可以真正安全上線，如果無法在發想初期就做到預設資安的話，所有的創意服務都只會淪為紙上談兵而已。</p> <h2><strong>MIT聯手鴻海打造EVπ基礎平臺，創意服務是1到100的加分</strong></h2> <p>林家樑表示，MIT一直以來都很重視開放原始碼（Open Source），也很重視知識的分享，深信「Sharing makes us stronger」，和鴻海共同打造的EVπ這樣的平臺，讓對無人車有興趣的人，不需要從零開始。</p> <p>「MIT和鴻海做好了從0到1的基礎工程後，」他認為，後面的從0到100，就可以讓更多臺灣有創意的學生一起參與，MIT也重視相關的人才培育，如果有其他的具體成果，MIT也會幫忙分享到世界各地。</p> <p>林家樑強調，這次的黑客松是以輕型無人車EVπ作為實驗的硬體平臺，並導入由鴻海集團所推出的HHEV.OS車用作業系統，並且透過機器人開發作業系統ROS 2作為中介軟體，實現將軟體與硬體模組化的目標。</p> <p>他表示，黑客松活動現場也會有相關經驗的專家提供整合協助，讓所有黑客松的參賽者，可以在24小時內落實相關創意與服務，並打造出最小可行性原型（MVP）。</p> <p>李維斌表示，因為這次黑客松是在EVπ這樣的開放平臺上進行發想，他也希望可以聚焦在如何結合都市中的智慧基礎設施與AI（人工智慧），來提高電動車的通訊安全與路人的交通安全的智慧連線項目上；另外，也可以藉由結合都市永續發展與Mobility as a Service（MaaS），來解決都市最後一哩路的問題；最後，有機會也可以結合XR（擴增實境）、AI、新世代通訊以及新型載具等創新技術，來打造未來交通服務。</p> <p> </p> <p> </p> <div id="gtx-trans" style="position: absolute; left: 463px; top: 224.208px;"> <div class="gtx-trans-icon"> </div> </div> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2023/8/21 19:13作者黃彥棻https://www.ithome.com.tw/news/158385
【資安日報】8月21日，逾3千個安卓惡意軟體採用不支援的壓縮格式演算法，目的是防止被研究人員反組譯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客鎖定安卓裝置散布惡意軟體的情況，近期可說是相當頻繁，但最近出現較為罕見的攻擊手法引起研究人員關注。因為，這種手法鎖定研究人員而來，防止他們利用各式的工具拆解惡意APK檔案。有資安業者進一步調查，發現市面上至少有3千個惡意App採用此類方法來打包安裝程式，從而影響各式靜態分析工具的運作。</p> <p>值得一提的是，上述手段並非新的攻擊手法，有研究人員指出，最早曾在2014年就出現類似的攻擊行動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/thousands-of-android-apks-use-compression-trick-to-thwart-analysis/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">3千個安卓App安裝程式透過壓縮演算法來對抗研究人員反組譯</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/FztkypNWAAIhtcj.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FztkypNWAAIhtcj.png" style="width: 300px; float: right;" /></a>研究人員Joe Sandbox於6月底發現有問題的安卓套件檔案（APK），其特點是只能部署於執行Android 9以上版本作業系統的裝置，且大部分的反組譯工具無法解析。資安業者Zimperium指出，這是因為駭客為了迴避偵測，刻意採用不受支援的壓縮演算法來打包APK檔案，根據他們進一步的調查，總共找到超過3千個惡意APK檔案利用類似的手法封裝，其中僅有71個能在安卓裝置上正常執行，而這些APK檔案皆未出現於Google Play市集，研究人員推測，駭客有可能是透過第三方市集，或是藉由社交工程、網路釣魚等手法來側載應用程式。</p> <p>研究人員表示，除了在安裝程式打包的壓縮演算法上動手腳，駭客也可能運用其他手法，例如檔案名稱超過256個位元、格式錯誤的應用程式資訊清單（AndroidManifest.xml）、格式錯誤的字串池（String Pool），導致研究人員的分析工具無法正常運作。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/joe4security/status/1674042511969468418?s=46&t=8iDWtqgX0z4LwOwqYr8JWA">https://twitter.com/joe4security/status/1674042511969468418?s=46&t=8iDWtqgX0z4LwOwqYr8JWA</a><br /> 2. <a href="https://www.zimperium.com/blog/over-3000-android-malware-samples-using-multiple-techniques-to-bypass-detection/">https://www.zimperium.com/blog/over-3000-android-malware-samples-using-multiple-techniques-to-bypass-detection/</a></p> <p><a href="https://www.zerodayinitiative.com/advisories/ZDI-23-1152/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WinRAR存在RCE漏洞，8月發布6.23版進行修補</span></strong></a></p> <p>漏洞懸賞計畫Zero Day Initiative揭露WinRAR漏洞CVE-2023-40477，攻擊者一旦觸發，就有機會在使用者開啟特定的RAR壓縮檔之後，遠端執行任意程式碼，CVSS風險評分為7.8。</p> <p>該漏洞出現的原因在於，此應用程式在處理還原區資訊過程存在弱點，對於使用者提供的資料缺乏充分的驗證，使得記憶體存取超出原本分配的緩衝區。研究人員6月8日向RARLab通報，該廠商於8月2日推出6.23版WinRAR予以修補。</p> <p><a href="https://cybersecurity.att.com/blogs/labs-research/proxynation-the-dark-nexus-between-proxy-apps-and-malware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">40萬臺電腦組成殭屍網路，被拿來提供代理伺服器服務牟利</span></strong></a></p> <p>AT&T的資安研究團隊發現大規模的攻擊行動ProxyNation，駭客鎖定Windows電腦，部署代理伺服器應用程式（Proxyware），估計至少有40萬臺電腦遭到挾持，這些電腦在使用者不知情的情況下被充當代理伺服器，網路流量遭到這類軟體濫用。駭客假借提供破解軟體或是遊戲的名義來進行流量挾持攻擊，一旦使用者依照指示下載應用程式並執行，攻擊者便會在後臺擅自下載代理伺服器軟體，並自動部署，過程中不會顯示使用者介面。</p> <p>在部署上述用戶端軟體的過程裡，駭客的惡意程式會向C2發出特定參數，將受害電腦併入殭屍網路。而對於攻擊者的身分，研究人員指出很可能是先前使用惡意程式AdLoad攻擊Mac電腦的那批駭客，經比對兩種惡意程式，發現攻擊者都是採用Go語言打造，主要差別在於Windows版本的軟體帶有簽章，來迴避資安系統的偵測。</p> <p><a href="https://www.bleepingcomputer.com/news/security/maginotdns-attacks-exploit-weak-checks-for-dns-cache-poisoning/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露DNS中毒攻擊手法MaginotDNS，有可能破壞整個頂級網域名稱</span></strong></a></p> <p>加州大學爾灣分校、清華大學的研究人員聯手，揭露新的DNS快取中毒攻擊手法MaginotDNS，鎖定條件式DNS（CDNS）解析器下手，能藉此接管整個DNS區域，甚至可能危害整個頂級網域名稱（TLD）。</p> <p>這樣的攻擊手法出現，主要是因為不同的DNS軟體及伺服器模式（遞迴解析器及轉發器）之間，所採取的安全查核機制不一致，市面上熱門的DNS軟體，如BIND、Microsoft DNS都有可能曝險，研究人員初估，約有35.5%的CDNS伺服器存在相關風險。</p> <p>對此，他們向DNS軟體開發商進行通報，這些漏洞已取得了CVE編號，包含了BIND9的CVE-2021-25220、Knot Resolver的CVE-2022-32983，以及Microsoft DNS和Technitium的CVE-2021-43105。</p> <p><a href="https://cofense.com/blog/major-energy-company-targeted-in-large-qr-code-campaign/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國能源業者遭到鎖定，駭客透過QR Code發動網釣攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure1-sample3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure1-sample3.png" style="width: 300px; float: right;" /></a>郵件安全業者Cofense揭露一起釣魚郵件攻擊行動，其主要目標是美國大型能源業者，但也有製造業、保險業、科技業、金融服務業遭到鎖定，自今年5月以來相關攻擊增加超過24倍。</p> <p>駭客聲稱收信人若要確保Microsoft帳號的安全，必須採取信中建議的方法。這些信件帶有PNG圖檔或是PDF附件，內有QR Code，並要求收信人必須在2至3天的期限內依照指示操作。</p> <p>研究人員指出，為了防止郵件安全系統察覺異狀，駭客在URL採用搜尋引擎Bing的重新導向網址，但也利用與Salesforce應用程式相關的krxd[.]com，或是Cloudflare旗下Web3服務cf-ipfs[.]com等網域。</p> <p><a href="https://www.deepinstinct.com/blog/nofilter-abusing-windows-filtering-platform-for-privilege-escalation"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露繞過Windows安全機制的攻擊手法NoFilter，進而在受害電腦提升權限</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/NoFilter8.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/NoFilter8.png" style="width: 300px; float: right;" /></a>資安業者Deep Instinct於資安大會DEF CON 2023揭露名為NoFilter的攻擊手法，濫用視窗作業系統的Windows Filtering Platform（WFP）元件，於目標電腦提升權限。</p> <p>研究人員起初是對於該公司的內部工具RPC Mapper進行分析，該工具的主要用途，是映射遠端程序呼叫（RPC）的方法（Method），尤其是會呼叫WinAPI的方法，從而發現隸屬WFP的BfeRpcOpenToken。他們後來又找到名為NtQueryInformationProcess的方法，來搜尋特定處理程序的Token，並將其複製於其他處理程序並提升權限為SYSTEM。</p> <p>雖然上述Token被用於識別執行具備特殊權限工作時的相關使用者，不過在一般使用者模式執行的惡意軟體，可以透過DuplicateToken或DuplicateHandle等功能函式，來存取其他處理程序的Token，進而用於以SYSTEM權限來執行子處理程序。研究人員結合上述手法，將惡意軟體處理程序透過WFP在系統核層級進行複製，進而在幾乎不會留下任何跡證及事件記錄的情況下運作，並指出這樣做能迴避防毒軟體監控的API。</p> <p><a href="https://blog.eclecticiq.com/german-embassy-lure-likely-part-of-campaign-against-nato-aligned-ministries-of-foreign-affairs"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客APT29利用即時通訊軟體Zulip來隱匿C2</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/German Embassy Lure_image5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/German%20Embassy%20Lure_image5.png" style="width: 300px; float: right;" /></a>威脅情報業者EclecticIQ鎖定北約國家（NATO）的釣魚郵件攻擊，俄羅斯駭客組織APT29（亦稱Cozy Bear、Midnight Blizzard）聲稱是德國大使館的名義，散布帶有PDF檔案的郵件。</p> <p>一旦收信人開啟附件檔案，就有可能觸發內嵌的JavaScript程式碼，啟動HTML檔案來進行挾持（HTML Smuggling），解壓縮ZIP檔案裡的HTA檔，執行後續的攻擊行動，於電腦植入惡意軟體Duke，並透過DLL側載的方式執行。</p> <p>值得留意的是，為了迴避偵測，駭客透過即時通訊軟體Zulip的API，將受害者的資訊傳送到特定的聊天室，將此通訊軟體的基礎設施充當C2中繼站。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://money.udn.com/money/story/5612/7380920"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">自行車零件廠日馳證實遭遇網路攻擊</span></span></strong></a></p> <p><a href="https://www.juniper.net/documentation/us/en/software/jweb-ex/jweb-ex-application-package/topics/concept/ex-series-j-web-interface-overview-App.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Juniper修補網路設備作業系統的RCE漏洞</span></span></strong></a></p> <p><a href="https://www.securityweek.com/jenkins-patches-high-severity-vulnerabilities-in-multiple-plugins/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Jenkins修補外掛程式的CSRF及XSS漏洞</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/158341"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google藉由大型語言模型改善開源軟體模糊測試計畫OSS-Fuzz的檢測能力</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/158350"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">開源資安業者ProjectDiscovery募得2,500萬美元</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158332">【8月18日】駭客針對GitLab重大漏洞下手，將其容器環境用於挖礦及盜取網路頻寬</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158313">【8月17日】 Cloudflare物件儲存服務成駭客寄放釣魚網頁的溫床，半年內相關的攻擊流量暴增60倍</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158300">【8月16日】 Citrix NetScaler零時差漏洞攻擊受害範圍再度擴大，近2千臺伺服器遭挾持</a></strong></p> </div></div></div>
2023/8/21 16:58作者周峻佑https://www.ithome.com.tw/news/158378
Container周報第154期：K8s新版強化硬體當機復原力，微軟加入Istio陣營，KubeVirt則釋出1.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>2023/7/1～8/21 精選容器新聞：</strong></p> <p><span style="color:#0000FF;"><strong>#Sidecar模式、#版本更新、#K8s</strong></span><br /> <strong>K8s發布第1.28新版，強化硬體當機復原能力，也開始支援SideCar容器</strong></p> <p>一年多次改版的Kubernetes，在8月中釋出了第28次的新版本1.28版。這是今年第二個版本，包括了45項強化，其中有19項新功能還處於Alpha測試版，14項則進入更成熟的Beta，另有12項進入穩定版本階段。</p> <p>1.28版有一項重要改變是，像kube-apiserver、kube-scheduler、kube-controller-manager、cloud-controller-manager等控制面板元件和叢集中節點所用的K8s版本差異，從過去只能差2個小版本，增加到可以支援3個小版本的落差，這個版本相容落差，可以提高K8s維運團隊的升級彈性。例如，為了跟上資安更新，控制面板元件通常會跟著更新到最新版，但是K8s一年發布4次小改版，若只支援2個版本差，每個節點至少一年要更新2次，才能跟上控制面板每次更新的落差，現在支援3個版本落差，每個節點可以拉長更新周期到一年更新一次，有助於減少對需要長期啟動節點的重開次數。</p> <p>另外，在這次改版中，強化了非預期節點關機（例如硬體故障或OS損壞的節點當機）的回復能力，可以讓保留狀態資訊的運算工作在另一個K8s節點中重啟。還有一個值得關注的新功能是開始支援Sidecar容器，讓一個主要容器，搭配支援的附屬Sidecar容器，共享同一份儲存空間。服務網格專案Itsio就常部署在Sidecar容器中來運作。</p> <p><strong><span style="color:#0000FF;">#服務網格、#微服務、#微軟</span><br /> 開源服務網格專案Istio正式從CNCF畢業，微軟也正式加入維護社群</strong></p> <p>在2016年發起的開源服務網格專案Istio，日前正式從CNCF孵育專案清單中畢業，成了具有獨立發展社群的開源專案，距離Google放手交給CNCF孵化，不到一年時間。微軟也正式加入了Istio維護社群，這代表了Istio成了業界主流的服務網格平臺，甚至可以通吃到微軟Azure平臺上的AKS微服務管理。Istio在今年6月初釋出了1.18版，可以支援更大規模落地部署用的Ambient模式，這是Istio一次很大的架構變革，可以將Istio的功能，分成兩層來運作，一層是在L7提供的Istio完整功能，另一層是在L4網路層提供的零信任通道，用來處理像是可觀察性監控、mTLS等功能，可以用更少資源來提高這些功能的運作效能，不用透過L7網路層解析HTTP來實現。Istio預計在1.19版中支援K8s新版1.28新增的Sidecar容器，更容易支援這種Istio在K8s慣用的部署設計模式。</p> <p><strong><span style="color:#0000FF;">#虛擬機器管理、#紅帽</span><br /> KubeVirt釋出1.0正式版，K8s也能提供企業級VM管理</strong></p> <p>紅帽日前正式宣布KubeVirt正式釋出1.0版，這是OpenShfit提供虛擬化的關鍵基礎元件，可以讓K8s環境管理虛擬機器。紅帽強調，KubeVirt可以讓維運團隊用一套管理工具，來管理在虛擬機器上的傳統應用程式，以及部署在容器中的現代化應用。而對開發者而言，也可以將容器化應用程式的開發流程和自動化機制，套用到原本虛擬機器上的老舊系統開發流程，不用再像過去一樣得分成兩套流程。正式發布1.0版，意味著這箱功能達到企業級的穩定程度。除了紅帽OpenShift，SuSe Rancher、Google、Oracle等都在自家相關軟體產品上內建KubeVirt。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/KubeVirt-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B4%85%E5%B8%BD.png" /></p> <p><strong><span style="color:#0000FF;">#Flux、#GitOps</span><br /> GitOps工具Flux正式發布2.0版，支援上萬AP水平擴張和控制器切片分割</strong></p> <p>用來建立GitOps自動化維運流程的Flux，日前釋出了2.0正式版，最大新功能是可以支援控制器切片分割（Sharding）和水平擴充功能。當Flux所管理的應用程式超過上萬支時，會逐漸影響GitOps自動化維運的效率，現在可以事先設定分割策略，來指定控制器的分片數量，將要管理的應用程式，分散到不同的Flux控制器實例上來分流管理，也可以在配置檔中個別指定不同控制器分片可用的資源，甚至設定Flux資源的群組規模來提高管理彈性。微軟、AWS、GitLab、D2iQ等業者都支援Flux來提供GitOps功能，例如EKS Anywhere部署模式就是透過Flux來提供GitOps部署能力。Flux預計在今年第三季發布的2.2版中，正式釋出Flux Helm Api和相關Helm功能，來強化與Helm打包K8s應用的部署和維運能力。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Flux%E7%9B%B8%E9%97%9C%E6%95%B8%E6%93%9A.jpg" /></p> <p><strong><span style="color:#0000FF;">#Tanzu、#K8s管理平臺</span><br /> VMware揭露更多部署文件，介紹如何在企業私有雲中自建Tanzu控制平臺</strong></p> <p>為了管理多雲跨雲的K8s叢集，VMware早在2019年就推出了Tanzu Mission Control雲端服務，以SaaS形式來提供跨企業內部私有K8s叢集和外部不同公雲K8s的集中式管理服務，不只可以集中控管不同K8s叢集的政策、權限，還能在單一平臺上監控不同環境下K8s叢集的運作和健康狀態。維運團隊可以透過政策套用，統一管理不同公雲或私有雲上的K8s資源利用方式，簡化跨雲多雲管理的複雜度，甚至Tanzu Mission Control甚至可以整合到GitOps流程來建立自動化的開發維運流程。不過，過去幾年，VMware只提供SaaS訂閱模式，直到最近，越來越多大型企業受限於法遵考量，想要在私有雲或指定地點的主權雲中，管理自家的資料和執行環境，VMware才決定推出自建版本，讓企業可以自行部署，8月中更釋出詳細的自建說明文件，向企業說明，如何在自家私有雲中部署Tanzu Mission Control，統一管理分散在不同公雲上的K8s叢集。</p> <p><strong><span style="color:#0000FF;">#GPT、#K8s管理</span><br /> 用生成式AI支援DevOps維運團隊，D2iQ新版K8s平臺新增Chatbot維運幫手</strong></p> <p>K8s軟體工具商D2iQ宣布8月發布的新版K8s平臺DKP 2.6版中，利用GPT-3.5模型，打造了一款AI Navigator的Chatbot小幫手，可以協助DevOps維運團隊解決問題。D2iQ將內部用來排除問題的知識庫和企業用戶常見問題的排除作法的資料，以及DKP平臺的所有參考文件，來訓練出這一款Chatbot維運小幫手，可以回答像是如何修復叢集配置錯誤、解決升級失敗問題、辨識和修正YAML檔程式碼錯誤，甚至可以協助追蹤和修正系統錯誤，也可以用自然語言提問來查詢DKP的相關產品文件說明內容。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AI%E7%B6%AD%E4%BF%AE-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-D2iQ.jpg" /></p> <p><strong><span style="color:#0000FF;">#K8s控制平臺、#ClusterAPI</span><br /> K8s管理平臺有新選擇，雲原生軟體商Mirantis發布開源K8s控制平臺</strong></p> <p>Mirantis早從2012年原本重心是OpenStack系統整合，後來轉而押寶K8s，在2019年買下Docker企業產品和業務團隊，最近推出了開源的K8s管理平臺k0xmotron控制平臺專案，利用ClusterAPI來提供跨K8s叢集的集中式管理平臺。這個控制平臺要先部署在企業既有的K8s平臺上，作為主要的上層K8s（作為母管理叢集），來管理其他的K8s叢集，等於是採用K8s管理K8s叢集的設計架構。</p> <p>Mirantis官方指出，這個管理平臺不只可以管理跨不同公雲上的K8s叢集，還可以用來管理部署在邊緣裝置、遠端分公司或IoT設備上的工作節點（Worker Node），等於可以統一管理大型雲端叢集和小型邊緣節點上的K8s應用。Mirantis官方更表示，k0xmotron專案下一步發展目標是，可以支援到虛擬機器的調度管理，來建立一個更高度自動化，更簡化複雜的雲端原生基礎架構的管理，不過，Mirantis沒有透露，目前k0xmotron專案可以管理到多大規模的K8s叢集。</p> <p><strong>#變更開源授權、#HashiCorp<br /> 知名IaC平臺商HashiCorp未來版本全面改採BSL授權，避免遭雲端業者濫用不付錢</strong></p> <p>知名IaC工具Terraform和多項重量級開源專案Vault與Consul的開發公司HashiCorp，宣布其原始碼授權將從原本的MPL 2.0（Mozilla Public License v2.0），改為使用BSL v1.1，這項變更將在HashiCorp所有產品的未來版本生效。HashiCorp創辦人暨技術長Armon Dadgar解釋，目前仍有供應商濫用純OSS模型獲利，卻又不提供實質貢獻。</p> <p>MySQL創始人Michael Widenius主導發展的BSL授權，允許創作者對軟體的使用情境定義不同的授權條款，甚至要求，開發者設定的變更日期或是第四年開始，BSL授權就會轉為如GPL等真正的開源授權。有意商用化的業者，必須另外取得授權，否則就得開源自家程式碼。在成為開源授權之前，BSL允許開發者在非商業用途下免費使用該軟體。</p> <p><strong><span style="color:#0000FF;">#Linux、#RHEL原始碼爭議</span><br /> RHEL的企業版Linux原始碼有新下載管道，甲骨文聯手SUSE與CIQ另找出路</strong></p> <p>在紅帽宣布不再對外公開RHEL原始碼而改採具名申請下載制之後，引發了Linux社群的抗議，批評紅帽違反了開源的精神。看上龐大企業級Linux需求，同屬Linux領域的甲骨文、SUSE及CIQ在8月初另外成立了一個新的基金會Open Enterprise Linux Association（OpenELA），將提供開放且免費的Enterprise Linux（EL）原始碼，來鼓勵外界開發相容於RHEL的Linux版本。</p> <p>OpenELA的任務包括提供各種來源與工具，以及開源的EL版本，以供開發者得以建立及維護幾乎一樣的EL下游版本，也鼓勵上游社群作出額外的貢獻。計畫今年就會提供讓下游版本相容於RHEL的必要資源，初期將鎖定RHEL的EL 8與EL 9，也可能包括EL 7。目前並不確定OpenELA所提供的原始碼是否會與RHEL完全相同。紅帽是在今年6月僅開放外界存取屬於RHEL測試版的CentOS Stream原始碼，未來的RHEL原始碼將藉由Red Hat Customer Portal，直接供應給紅帽客戶與合作夥伴。</p> <p><strong>更多新聞</strong></p> <ul> <li>去年採用率大增51％的開源容器調度引擎CRI-O專案，正式從CNCF孵化專案中畢業</li> <li>IaC服務商Pulumi發表新版Kubernetes 4.0，預設採用SSA模式更容易更新各項資源</li> </ul> <p><strong>@資料來源：iThome整理，2023年8月</strong></p> <p>責任編輯：王宏仁</p> </div></div></div>
2023/8/21 13:10作者王宏仁https://www.ithome.com.tw/news/158349
南韓政府將打造兩座基於當地AI晶片的資料中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>南韓媒體報導，南韓政府在上周舉行的緊急經濟首長會議中決定，將由政府主導建置兩座採用當地AI晶片的資料中心，一來得以推動南韓AI晶片的應用，二來這兩座資料中心將用以發展新興技術。</p> <p>根據《韓國時報》（<a href="https://www.koreatimes.co.kr/www/biz/2023/08/602_357270.html" target="_blank">The Korea Times</a>）與《<a href="https://www.news1.kr/articles/5142477" target="_blank">News1</a>》的報導，這兩座資料中心將分別於2024年及2025年設立於光州及京畿道，亦將專門用來發展各種新興技術，包括城市的空中運輸、氫能、自駕車，以及電動汽車電池。</p> <p>這只是南韓政府K-Cloud專案中的其中一環。該國政府在去年12月發表了K-Cloud專案，計畫在2030年以前利用當地研發的高階AI晶片，建設一個完整的AI生態體系，整個專案的預算高達6.3億美元。K-Cloud有三個階段，今年正式啟動的第一階段是在2025年以前，開發供所有資料中心使用的神經處理單元，以建置一個可帶來39.9 petaflops運算能力的資料中心叢集，供公、私領域使用。</p> <p>第二階段則是在2028年開發基於DRAM，但具備運算能力的記憶體晶片（Processing-In-Memory，PIM），藉由整合記憶體及處理能力來減少延遲，同時解決與匯流排速度有關的馮紐曼瓶頸（Von Neumann Bottleneck）。最後一個階段即是升級PIM至非揮發性記憶體與再度降低電力損耗，預計於2030年前完成。</p> <p>南韓財政部部長秋慶鎬向《韓國時報》表示，該國政府將採取積極措施，來鬆綁那些阻礙投資及新興產業成長力道的法規，也會加強對半導體新創公司於原型製作上的支持。</p> </div></div></div>
2023/8/21 14:51作者陳曉莉https://www.ithome.com.tw/news/158371
開源資安業者ProjectDiscovery募得2,500萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.projectdiscovery.io/announcing-projectdiscovery-cloud-platform-25-million-series-a-2/" target="_blank">開源資安業者ProjectDiscovery上周宣布</a>，已完成2,500萬美元的A輪增資。</p> <p>ProjectDiscovery原本只是個由幾個資安開發人員閒暇時所從事的業餘專案，主要理念為「最好的防禦是一個良好的攻擊性安全計畫」，認為當前組織的資安系統設計多是著重於滿足審核的需求，而無法真正抵擋攻擊，於是，他們自兩年前開始打造各種開源工具，以讓資安工程師更容易設計及管理漏洞的工作流程，由於大受歡迎而決定在2021年募集種子資金，並成為全職專案。</p> <p><a href="https://github.com/projectdiscovery" target="_blank">迄今ProjectDiscovery已提供了</a>超過20種開源工具，較為知名的包括可用來集中管理多雲資產的<a href="https://github.com/projectdiscovery/cloudlist" target="_blank">Cloudlist</a>，以及可用來掃描涵蓋TCP、DNS、HTTP、SSL、File、Whois、Websocket及Headless等各種協定的<a href="https://github.com/projectdiscovery/nuclei?ref=blog.projectdiscovery.io" target="_blank">Nuclei</a>。</p> <p>接著ProjectDiscovery建立了基於Nuclei專案的Nuclei Cloud服務，並在今年2月納入更多工具，更名為ProjectDiscovery Cloud Platform，提供企業等級的SaaS服務，新平臺強化Nuclei專案的自動化與協作能力，供應遠端掃描、掃描歷史紀錄、掃描調度、共享儲存或自動化漏洞確認等功能。</p> <p>創辦人之一的Rishiraj Sharma表示，ProjectDiscovery Cloud Platform是個集結該專案近4年來所有成果的商業化版本，主要目標是確保它能方便地進行大規模部署，同時滿足所有的安全要求以成為企業的可行選擇。</p> <p>對於坊間的私有安全工具，Sharma的觀點是它們產生太多的誤報，使其難以判斷漏洞的優先順序，也缺乏客製化能力，並誇大許多漏洞的嚴重性，亦不容易執行跨團隊與部門的合作，至於開源的資安公司或許不常見，但ProjectDiscovery找到了那些相信開源得以推動創新，也讓所有人更容易存取安全工具的投資人。</p> <p>現在ProjectDiscovery將利用此一A輪資金來建置更可靠的開源安全軟體，以讓大型企業也能受惠於開源工具的透明度與應對速度。</p> </div></div></div>
2023/8/21 13:21作者陳曉莉https://www.ithome.com.tw/news/158350
Google證實LLM可改善開源軟體漏洞測試計畫OSS-Fuzz
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2023/08/ai-powered-fuzzing-breaking-bug-hunting.html" target="_blank">Google指出</a>，善用大型語言模型（Large Language Model，LLM）可自動化開源軟體漏洞模糊測試計畫OSS-Fuzz，進而使程式碼的檢查範圍平均提升1.5%到31%。Google計畫之後釋出工具，讓其他開發人員也能用LLM對開源碼專案自行模糊測試。</p> <p>模糊測試（fuzz testing）為於軟體中輸入無效或隨機資料，來快速及全面監控程式的反應，經常被用來檢測軟體或電腦系統的安全漏洞。<a href="https://www.ithome.com.tw/news/110052" target="_blank">Google 2016年釋出</a>針對開源碼軟體的模糊測試專案OSS-Fuzz，以協助開發人員尋找軟體中的瑕疵或安全漏洞。一開始支援C與C++語言，<a href="https://www.ithome.com.tw/news/143151" target="_blank">幾年下來擴大到JVM/Java </a>、Rust、Go與Python，也可以用於LLVM支援的語言。幾個月前，Google OSS-Fuzz專案小組做了一項實驗，使用Google大型模型語言（LLM）來提升OSS-Fuzz的效能。他們發現LLM可有效擴大OSS-Fuzz服務對專案程式碼覆蓋率，且不需撰寫新的程式碼。</p> <p>OSS-Fuzz自2016年迄今，已辨識出超過1,000個安全漏洞，但是Google認為可以再更多。目前OSS-Fuzz一項開源碼專案程式碼的平均覆蓋率僅為30%，即大部分程式碼都被遺漏了，因此專案小組相信，如果擴大fuzz target，可以找到更多漏洞。Fuzz target是發送隨機輸入值測試程式碼的函式，但是撰寫fuzz target得依不同專案進行，且需要人力花時間撰寫，問題是這些專案維護人員通常是志工，吃力又不討好。</p> <p>為此Google 訓練LLM來撰寫模糊測試fuzz target函式。專案小組寫了一個評估框架架在OSS-Fuzz的檢查工具和LLM之間並展開實驗。他們Fuzz檢查工具（Introspector tool）找出樣本專案的程式碼未經模糊測試的部分，將程式碼送到評估框架。評估框架發出一項提示，包含一些專案必要資訊，要求LLM撰寫新的fuzz target。之後評估框架以LLM撰寫的fuzz target執行模糊測試，再觀察執行結果及覆蓋率。如果fuzz target無法組譯，評估框架就會要求LLM修改fuzz target直到修正錯誤。</p> <p>一開始，LLM撰寫的fuzz target程式碼的確無法組譯，但重覆幾次並測試新的fuzz target後，研究人員發現，開源專案程式碼覆蓋率平均增加了1.5%到31%。Google的樣本專案之一tinyxml2的程式碼覆蓋率則由38%上升到69%，專案小組完全零介入。研究人員說，若以人力撰寫來複製tinyxml2的結果，至少需要一天時間。這意味著，整個OSS-Fuzz現有處理的1,000多個專案，要以人力來擴大覆蓋率，得花好幾年。</p> <p>Google以LLM測試OpenSSL專案時，撰寫了一個新的target，在之前沒測試的程式碼又發現了CVE-2022-3602。這雖非新漏洞，但也顯示，只要擴大程式碼覆蓋率，就可能找出更多漏洞。</p> <p>基於tinyxml2實驗的成功證明，加入LLM可望能大幅提升程式碼覆蓋，Google希望把LLM的自動化技術正式用在其他OSS-Fuzz專案上。</p> <p>幾個月後，Google會將其評估框架開源，讓其他研究人員測試其LLM撰寫的fuzz target。Google也會持續改善其LLM撰寫fuzz target的能力及基礎架構，並且和Google Assured OSS部門合作，以便確保Google Cloud客戶拿到更安全的開源軟體。</p> </div></div></div>
2023/8/21 11:44作者林妍溱https://www.ithome.com.tw/news/158341
微軟將和Databricks合作，生成式AI工具不獨鍾OpenAI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theinformation.com/articles/microsoft-plans-ai-service-with-databricks-that-could-hurt-openai" target="_blank">《The Information》報導</a>，雖然微軟投資OpenAI超過百億美元，但其Azure生成式AI服務並不想只提供單一技術，近日又預計再引進OpenAI競爭者Databricks作為合作夥伴。</p> <p>報導引述消息人士指出，微軟Azure計畫很快會銷售Databricks AI服務。這項服務可讓用戶從頭打造AI模型，或重覆使用其開源AI模型，也能取代OpenAI的專屬授權模型。</p> <p>Databricks原本提供雲端開源資料及AI平臺服務，包括資料湖Delta Lake、機器學習框架MLflow及分析引擎Spark等，原本微軟就已提供Azure Databricks的雲端服務選項，包括<a href="https://learn.microsoft.com/en-us/azure/databricks/machine-learning/" target="_blank">Azure Machine Learning</a>、<a href="https://learn.microsoft.com/zh-tw/azure/databricks/spark/" target="_blank">Azure Sparks</a>服務等。雙方也正在開發機密運算（confidential computing）產品，以確保AI產出的結果未經惡意操弄或竄改。</p> <p>Databricks本來就已提供生成式AI模型Dolly，<a href="https://www.ithome.com.tw/news/157525" target="_blank">7月間宣布</a>以13億美元收購生成式AI平臺MosaicML，結合Databricks Lakehouse平臺幾近直線的資源擴充能力，使數十億參數的生成式AI模型訓練時程從幾天縮短到幾小時，成本也可從數百萬降到數萬美元。最新收購也讓Databricks成為OpenAI直接競爭者。</p> <p><a href="https://accelerationeconomy.com/cloud-wars/cloud-wars-minute/microsofts-satya-nadella-databricks-ali-ghodsi-detail-partnership-for-ai-governance-security/" target="_blank">6月間Databricks用戶大會Databricks Data + AI Summit上</a>，微軟執行長Satya Nadella站臺時透露正在進行一項整合Azure、OpenAI和Databricks的聯合計畫。《The Information》報導指出，微軟和Databricks生成式AI的合作顯示，微軟希望能拓展OpenAI以外的業者，以提供客戶更多元的AI方案選擇。</p> <p>微軟作為雲端大廠提供多元AI模型並不意外。AWS今年4月推出AI模型平臺服務Amazon Bedrock，提供Anthropic、AI21、Stable Diffusion及Cohere等業者的AI模型選擇，不限於AWS自有模型Titan。</p> <p>這項宣布讓OpenAI面臨新一波挑戰。<a href="https://www.ithome.com.tw/news/158327" target="_blank">近日一份研究顯示OpenAI承受極大營運壓力</a>，光是ChatGPT一天就要花掉它70萬美金。OpenAI若再無法大幅提升其營收，可能很快就會面臨財務危機。</p> <p><a href="https://www.npr.org/2023/08/16/1194202562/new-york-times-considers-legal-action-against-openai-as-copyright-tensions-swirl" target="_blank">報載</a>，《紐約時報》因和OpenAI使用其新聞內容訓練AI模型的付費授權陷入爭議，紐時考慮控告OpenAI，並要求從其訓練資料集移除其報導內容。一旦雙方上法院且OpenAI敗訴，後者不但得支付每報導15萬美元的罰款，還得變更資料並重製GPT模型。</p> <p>此外美國聯邦貿易委員會（FTC）也正在調查，OpenAI是否有危害消費者隱私及名譽等情事。</p> </div></div></div>
2023/8/21 11:57作者林妍溱https://www.ithome.com.tw/news/158344
【資安週報】2023年8月14日到8月18日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一週有兩個漏洞利用狀況要注意，首先，GitLab在2021年4月修補影響CE與EE版本的CVE-2021-22205重大漏洞，近期發現有鎖定未修補該漏洞系統的Labrat攻擊行動；第二，關於Adobe旗下的Magento Open Source在去年2月修補的CVE-2022-24086漏洞，發現今年1月有駭客針對未修補該漏洞的電子商務網站下手。</p> <p>其他漏洞消息方面，重要的包括：CyberPower資料中心基礎設施管理平臺的多項漏洞揭露與修補，視訊會議Zoom零接觸設定功能漏洞的揭露與緩解，以及軟體開發套件Codesys V3高風險漏洞恐影響全球PLC安全的揭露。關於於微軟PowerShell Gallery存在3個缺陷的揭露也不容輕忽，恐引發供應鏈攻擊。</p> <p>在防禦發展態勢上，有兩大重要消息，除了NIST網路安全框架（NIST CSF）近期有2.0版草案發布的消息，關於及早啟動PQC轉換的最新進展，亦受極大重視，Google去年底部署PQC演算法於其雲端內部後，最近他們宣布新進展，那就是針對3年前開源的FIDO實體安全金鑰OpenSK，以及Chrome瀏覽器116版，採混合方式導入PQC演算法。而在IThome最新一期GovTech月報，也提到臺灣政府發布公務人員安全使用ChatGPT指引草案，及政府為提升官網韌性如今正擴大採用雲原生技術的消息。</p> <p>在攻擊事件焦點方面，我們看到有4起事件需關切，尤其是企業組織面對零時差漏洞攻擊，除了修補因應，同時也該清查入侵狀況。從最新研究來看，出現已修補漏洞，卻嚴重疏於確認伺服器是否已遭入侵的事故，以下是本週重大攻擊事件：</p> <p>●關於上個月出現鎖定Citrix NetScaler伺服器零時差漏洞的攻擊活動，儘管後續廠商修補釋出、多數企業組織著手修補，但有研究人員從這場攻擊行動使用的Web Shell來追蹤，發現有6成8比例的伺服器已被植入後門程式。<br /> ●今年5月開始出現對於利用QRcode的大型網釣活動，有一美國大型能源公司在1千多封電子郵件中，有近3成比例的郵件包含惡意QRcode，而當中的釣魚連結是採用Bing重導URL所組成。<br /> ●中國政府支持的國家級駭客組織RedHotel近年攻擊活動被揭露，主要鎖定臺、美、捷克及東南亞多國的政府、學術、航太、媒體、電信與研發中心，臺灣也是目標之一，包括工研院與一家國內遊戲公司。<br /> ●勒索軟體BlackCat更名升級為Sphynx後，近期發現新納入駭客工具Remcom，並開始聚焦橫向感染能力，整合網路通訊框架Impacket針對NTLM Relay攻擊。</p> <p>至於其他可留意的威脅態勢，包括：DNS中毒攻擊手法MaginotDNS的揭露，近半年駭客濫用Cloudflare R2代管釣魚網頁的狀況出現暴增61倍的態勢，還有美國新發布駭客組織Lapsus$攻擊報告，呼籲企業組織應強化雙因素驗證。</p> <p>在臺灣方面，資安相關活動接連舉辦，像是臺灣駭客年會HITCON Community 2023登場，以及TWCERT/CC舉辦企業資安演練，邀集國內高科技與電信業，但也有5起消息引起大眾關心：</p> <p>●門諾公益捐款公告資料外洩，說明去年5月中國駭客攻擊導致均款人資料疑遭竊<br /> ●Google今年3月推出的Dark Web Report功能，最近臺灣用戶可以開始使用<br /> ●國內資安業者發布網域檢測報告，全臺7成五星飯店未妥善管理電子郵件安全<br /> ●發生警員將帳密資料張貼公務電腦，其他警員濫用其帳密查詢女藝人個資的事件，兩人分別因違反資通安全被懲處，及妨害電腦使用、違反個資法被起訴。<br /> ●我們在週末盤點相關消息時，新發現一起先前資安日報尚未提及的事件：專注於自行車傳動器組件製造的上市公司<a href="https://s4.itho.me/sites/default/files/images/2023-08-20_093124_iThome%E8%B3%87%E5%AE%89%E5%91%A8%E5%A0%B1.jpg"><span style="color:#0066ff;">日馳企業，在8月19日傍晚6時發布資安事件重大訊息</span></a>，說明部份資訊系統遭受網路攻擊事件。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/158241"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月14日】DEF CON搶旗攻防賽臺灣勇奪第3</span></strong></a></h3> <p>國際資安大會DEF CON 31於8月10日至13日於美國拉斯維加斯登場，搶旗攻防賽（CTF）也在本週末如火如荼地舉行，臺灣CTF戰隊TWN 48也參與其中，並從12個參賽隊伍當中獲得第3名的優異成績，是臺灣第10次組隊參加此項競賽。</p> <p>另一個也幾乎同時進行的搶旗攻防賽也相當引人關注，那就是針對太空安全的Hack-A-Sat，因為，這次5組參賽隊伍的攻防標的，是實際於太空運作的衛星Moonlighter。</p> <h3><a href="https://www.ithome.com.tw/news/158283"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月15日】臺灣等17個國家遭中國駭客RedHotel鎖定，進行網路攻擊行動長達3年</span></strong></a></h3> <p>隨著國際局勢日趨緊張，不時傳出中國駭客發動攻擊的情況。其中，資安業者Recorded Future公布一起為期長達3年的網路間諜攻擊行動，由政府資助的中國駭客RedHotel發起，值得留意的是，受害組織的基礎設施、簽章，有可能被這些駭客拿去攻擊其他目標。</p> <p>關於臺灣遭遇相關攻擊的部分，該公司表示，駭客竊得臺灣電玩公司的簽章，並將其用於簽署惡意DLL檔案，最終還以此在其他目標組織側載惡意軟體。</p> <h3><a href="https://www.ithome.com.tw/news/158300"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月16日】Citrix NetScaler零時差漏洞攻擊受害範圍再度擴大，近2千臺伺服器遭挾持</span></strong></a></h3> <p>一個月前Citrix修補NetScaler零時差漏洞CVE-2023-3519，並透露當時已出現攻擊行動，但究竟有多少伺服器受害？繼Shadowserver基金會本月初找到有640臺伺服器被入侵之後，最近這幾天有研究人員公布新的調查結果，遭駭伺服器數量逼近2千臺。</p> <p>值得留意的是，雖然有很多IT人員套用了更新程式，但並未檢查伺服器是否在尚未修補的時候就被入侵，而使得這些系統仍然受到攻擊者的擺布。</p> <h3><a href="https://www.ithome.com.tw/news/158313"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月17日】Cloudflare物件儲存服務成駭客寄放釣魚網頁的溫床，半年內相關的攻擊流量暴增60倍</span></strong></a></h3> <p>為了避免被資安系統察覺異狀，駭客使用合法雲端服務來「代管」釣魚網站的情況，算是相當常見，有不少是利用Google Drive、微軟OneDrive、Dropbox等檔案共用服務來進行。而最近一波網釣攻擊引起研究人員關注，因為今年有越來越多駭客運用Cloudflare物件儲存服務R2存放釣魚網頁內容，以此企圖蒙混過關，企圖竊取使用者的微軟帳號，以及Adobe、Dropbox等雲端服務的帳密資料。</p> <p>另一起由駭客組織MoustachedBouncer發起的網路釣魚攻擊行動，也相當特別，因為目標竟然是特定國家的網際網路服務供應商（ISP）。</p> <h3><a href="https://www.ithome.com.tw/news/158332"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月18日】駭客針對GitLab重大漏洞下手，將其容器環境用於挖礦及盜取網路頻寬</span></strong></a></h3> <p>駭客剝削電腦資源並用來獲利的情況，除了挖取加密貨幣，將受害電腦當作代理伺服器轉賣頻寬的手法（Proxyjacking）也不時傳出，但過往這類攻擊大多是針對個人電腦而來，現在有人鎖定企業組織的開發環境下手。資安業者Sysdig揭露名為Labrat的攻擊行動，攻擊者就是鎖定尚未修補重大漏洞CVE-2021-22205的GitLab伺服器下手，進而在容器部署挖礦軟體、代理伺服器軟體（Proxyware）。</p> <p>此外，許多流量挾持攻擊是針對Windows電腦而來，但近期也有鎖定Mac電腦的惡意軟體攻擊行動AdLoad，每週有數千個IP位址與代理伺服器連線。</p> </div></div></div>
2023/8/21 10:10作者羅正漢https://www.ithome.com.tw/news/158337
AI趨勢周報第224期：波士頓大學發布大型語言模型Platypus，占排行榜第一
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0811～0817)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">波士頓大學 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Platypus </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span></p> <p><span style="font-size: 22px;"><strong>波士頓大學發布大型語言模型Platypus，占排行榜第一</strong></span></p> <p>最近，波士頓大學發布一系列大型語言模型（LLM）Platypus，包含不同參數版本。它們表現優異，在Hugging Face全球Open LLM排行榜上位居第一，所需的微調資料和訓練資源還不多。尤其，用單個A100 GPU、2萬5千個問題，就能在5小時內訓練出130億參數的Platypus模型。這是因為，Platypus採用自建的資料集Open-Platypus，該資料集是團隊從11個開放資料集中，特別編輯而成，著重改善LLM的STEM跨學科知識和邏輯能力。資料集中大部分問題為人工設計，只有10%是LLM生成，目前已開源。</p> <p>完善資料集後，團隊在模型開發上著重2大方法：低秩近似（LoRA）訓練和參數有效微調（PEFT）函式庫。有別於完整的微調，LoRA保留了預訓練模型權重，整合了Transformer層的秩分解矩陣，進而降低可訓練參數，節省訓練時間和成本。經過一系列LoRA模塊的微調和組合，團隊發現模型訓練更有效率，所擁有的知識也更完整。另一方面，團隊也花不少心力把關資料集的污染和完整性，還設置一套驗證方法，來確保資料集的品質。<a href="https://platypus-llm.github.io/">（詳全文）</a></p> <p><img alt="" src="https://platypus-llm.github.io/Platypus_files/HF.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 濫用 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 使用限制 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>9月底將正式上路！微軟頒布AI使用限制，將收集用戶對話防止濫用</strong></span></p> <p>為防止AI被用於侵權、傳播deepfake影片或惡意程式等行為，微軟9月30日將實行AI服務政策，防範使用者濫用或惡意使用AI服務，也將監控用戶的輸入和使用行為。微軟先是在7月30日公布新版微軟服務協議，新增5項AI服務相關規定，包含不得逆向工程、汲取資料、濫用AI服務的產出，以及用戶的法律責任等，這些規定預計9月30日正式實施。</p> <p>進一步來說，微軟規定使用者不得以其AI服務來探詢其底層元件，包括模型、演算法和系統，他們也不得判斷或改變模型的權重。此外，除特別准許，使用者不能用網頁爬蟲、網頁抓取或網頁資料擷取手法，從AI服務取得資料。微軟還禁止用戶利用AI服務或其產生的資料，來訓練、打造或改進其他AI服務。微軟還強調，未來將處理、儲存用戶輸入的提示和其產出，以監控和防範濫用。，若用戶使用微軟的AI服務，結果導致第三方單位追究，如侵害版權或其他與內容有關的責任，一律由用戶負起所有法律責任。<a href="https://www.microsoft.com/en-us/servicesagreement/upcoming.aspx">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GPT-4 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 內容審查 </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI用GPT-4來加速內容審查工作</strong></span></p> <p>OpenAI宣布大型語言模型GPT-4又有新用途，可協助社群網站或論壇管理員審查平臺上的大量內容，將內容審查政策更新周期從幾個月，縮短為幾小時，來減輕人力負擔、降低對審查員的心理傷害。社群平臺常態性的網頁內容仲裁和審查工作，大都仰賴人力檢視大量內容，不但慢，還對人類審查員造成心理壓力或傷害。為此，OpenAI展開研究，要用LLM解決上述挑戰。他們測試發現，用GPT-4於內容管理系統，有幾大優點，包括可加速審查政策的更新，且GPT-4能解讀冗長政策文件中的規則，甚至是不同規則間細微的差異，並立即套用到政策更新，使其標註更為一致化。</p> <p>OpenAI也分享實作方法，平臺管理員可先撰寫出政策指引，並以幾個範例、加上政策要求的標註，作為標準訓練資料集。再來是讓GPT-4讀取政策，來自動為資料集加標註（不看人類寫的正確答案）。第三步是讓GPT-4比較自己和人類的答案，政策專家可叫GPT-4說明它標註的理由，分析政策定義中模稜兩可的地方、釐清模糊不清之處，再建議更清楚的政策用語。最後，第2、3步驟可反覆執行，直到人類滿意為止。OpenAI指出，這種迭代流程可提升審查政策品質，以此設定分類器，可讓政策和內容審查作業擴大應用更多內容。<a href="https://openai.com/blog/using-gpt-4-for-content-moderation">（詳全文）</a></p> <p><img alt="" src="https://images.openai.com/blob/3d69d379-568e-45f9-9caa-9bf03890fd26/fact-factory-blog-diagram.jpg?trim=0,0,0,0&width=2600" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 程式開發 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Project IDX </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google推出AI多平臺程式開發平臺Project IDX</strong></span></p> <p>為提升對開發人員的吸引力，Google發布可開發多平臺App的實驗性雲端整合開發環境計畫Project IDX，整合了Codey基礎模型和AI輔助程式撰寫等功能，讓開發人員打開瀏覽器就能開發程式。</p> <p>Google這幾年推出不少多平臺App開發平臺，如Angular、Flutter、雲端Google Colab、Firebase，但他們認為，整個多平臺App開發流程得要更順暢、更快才行，因此在幾個月前啟動Project IDX實驗。Project IDX是在Google雲平臺上打造的Web開發服務，打開瀏覽器就能用。Project IDX目的是簡化開發、管理及部署完整堆疊的Web與多平臺應用程式，且具備熱門框架及支援多種語言（如JavaScript、Dart），也提供AI輔助開發與預覽、發布工具。Google指出，Project IDX也可以微軟Code OSS為開發底層，就算是習慣微軟工具的開發者，也能快速上手。<a href="https://developers.googleblog.com/2023/08/introducing-project-idx-experiment-to-improve-full-stack-multiplatform-app-development.html">（詳全文）</a></p> <p><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEiAxmbUfoHYSOAYXGMKwUcsM9lvq_UI01LieKKMmyDPcEM5f5TX4rLcRMsyJmIQCSNd1Yyea8Xz6jPiiA5uQ0JQpVAjg2AAdRY736CRNhNYDq0b_-ODRNh5RVn1CnRK7Dhb26wDMFC4Kd_5TJQksvn3nDADZe307TBvhsfDtpBQgz_U69mIYL-Ripfmhic/s1600/image4.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI開發 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Llama 2 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IBM </span></strong></span></p> <p><span style="font-size:22px;"><strong>IBM在自家AI開發平臺提供Meta的Llama 2模型</strong></span></p> <p>IBM宣布在AI開發平臺Watsonx.AI提供Llama 2模型，讓企業用戶能簡單取用Llama 2模型，訓練為專屬模型、開發自家AI應用。Watsonx.AI是Watsonx平臺的一部分，可讓企業簡單地訓練、驗證、調校和部署AI模型，該平臺包括預先打包的人工智慧模型目錄，還有可用於模型訓練的資料集。</p> <p>而Llama 2是Meta在7月對外釋出的大型語言模型，IBM在Watsonx.AI中提供該模型，是延續過去與Meta在多個開源專案合作的基礎。IBM指出，他們目前的AI戰略是向用戶提供第三方和自家的模型。因此，在Watsonx.AI中，用戶可以使用到IBM和Hugging Face社群的模型，解決各種自然語言處理任務。接下來，IBM還計畫發布AI Tuning Studio，並在生成式智慧工具整合FactSheets資料治理服務。<a href="https://newsroom.ibm.com/2023-08-09-IBM-Plans-to-Make-Llama-2-Available-within-its-Watsonx-AI-and-Data-Platform">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Amazon </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 線上購物 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 摘要 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Amazon用生成式AI摘要線上購物商品評論</strong></span></p> <p>Amazon指出，光是2022年，就有1.25億名顧客在線上商店貢獻15億條評論和評分，相當於每秒就有45條評論。於是，Amazon打造一套AI工具，可摘要線上購物商品評論，來產生評論亮點，在產品資訊頁面提供簡短說明文字，突出顯示顧客評論中最常提及的產品功能和情緒。</p> <p>其中，評論亮點功能會先在Amazon美國行動購物上線。此外，Amazon也指出，他們用機器學習模型分析了帳戶關聯、登入活動、評論歷史和各種異常行為，來阻擋虛假評論，專業調查員也會用複雜的詐欺偵測工具，來避免商店出現虛假評論。<a href="https://www.aboutamazon.com/news/amazon-ai/amazon-improves-customer-reviews-with-generative-ai">（詳全文）</a></p> <p><img alt="" src="https://assets.aboutamazon.com/dims4/default/689a4e4/2147483647/strip/true/crop/1600x900+0+0/resize/2640x1486!/format/webp/quality/90/?url=https%3A%2F%2Famazon-blogs-brightspot.s3.amazonaws.com%2F27%2F37%2Ff1c218b44efcb753d04186ae7e77%2Finline-01-height-select.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Line </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>Line日本開源自有大型語言模型</strong></span></p> <p>日前，Line日本總部開源一套日語大型語言模型japanese-large-lm，以Apache License 2.0授權開源，包含36億及17億個參數2個版本，允許商業用途，兩項專案都可以在HuggingFace Hub存取。</p> <p>Line自2020年11月起，就專注開發大型語言模型HyperCLOVA，還啟動多項應用計畫。Line在2021年5月開發者大會上，首次公開2,040億參數訓練而成的韓文版LLM HyperCLOVA，11月則公布日語特化版，擁有850億參數，並宣稱將以其發展一系列自然語言處理服務。這次開源的japanese-large-lm模型由Massive LM團隊開發，團隊指出，本模型是用了Line自己的日語大型Web文本為基礎來訓練，並利用成員自行開發的HojiChar開源函式庫，來過濾大量原始碼及非日語文字等雜訊，最後用了650GB資料集來訓練。<a href="https://engineering.linecorp.com/ja/blog/3.6-billion-parameter-japanese-language-model">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GPTBot </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 網路爬蟲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 封鎖 </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI開源網路爬蟲工具GPTBot，網管可禁止抓取</strong></span></p> <p>OpenAI日前開源一款網路爬蟲工具GPTBot，可自動抓取網路上公開的大量資料，用來訓練下一代大型語言模型、提高精準度。OpenAI開發這套工具的原因，是要解決從公開網站上擷取資料的隱私與智財權爭議，也因此，該工具能過濾刪除需要付費的網站，不抓取這些網站內容，但還是可能抓到能辨識身份的資訊，或違反OpenAI政策的內容。</p> <p>因此，OpenAI指出，網站管理員也可禁止GPTBot存取內容，比如在網站robots.txt檔案中加入GPTBot，或是自訂GPTBot存取網站部分內容。此外，OpenAI也公布GPTBot使用的IP位址範圍，方便網站辨識與封鎖。<a href="https://platform.openai.com/docs/gptbot">（詳全文）</a></p> <p>圖片來源／波士頓大學、OpenAI、Google、Amazon</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Google再測試生成式AI，讓Chrome協助使用者摘錄重點</strong></p> <p><strong>2. Stability AI推出自家程式碼生成模型StableCode</strong></p> <p><strong>3. 資料科學家愛用程式語言Julia首進TIOBE Index前20名</strong></p> <p>資料來源：iThome整理，2023年8月</p> </div></div></div>
2023/8/20 02:12作者王若樸https://www.ithome.com.tw/news/158338
提供多種遠端控制功能，英特爾持續發展商用PC管理平臺EMA
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/intel_ema_server-main.png" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了提升企業積極採購與汰換商用個人電腦意願，今年7月初英特爾難得針對他們發展17年的vPro平臺，舉辦媒體說明會，<a href="https://www.ithome.com.tw/news/157727">活動現場展出多種功能</a>，其中針對管理多臺電腦的需求，他們介紹一套自行發展的軟體解決方案，稱為Endpoint Management Assistant（EMA），最新版1.11於8月10日推出。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-08-16-Intel EMA 1_11.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-16-Intel%20EMA%201_11.jpg" style="width: 500px;" /></a></p> <p>EMA最初於<a href="https://download.intel.com/newsroom/2021/archive/2019-11-05-news-intel-endpoint-management-assistant-makes-managing-remote-intel-vpro-platform-based-devices-easier.pdf">2019年11月發表</a>，這一年的5月底英特爾宣布推出第10代Core個人電腦處理器，到了年底EMA正式登場之際，他們提到這是vPro平臺的一部分，能將英特爾長期發展的主動式管理技術（AMT），以現代化的架構呈現，對於有意從雲端環境管理多臺配備此平臺技術的端點設備，提供簡易的操作方式、不會打斷既有的處理流程，減少IT部門管理這些設備所需耗費的成本。</p> <p>整體而言，EMA提供哪些功能？企業可透過設置於雲端服務的環境，進而能從遠端、安全地連接支援Intel AMT技術的設備，基本上，對於身處任何地區的員工，IT人員可經由EMA提供軟體或韌體更新，以及重新啟動個人電腦系統的技術支援；EMA本身也能整合AMT技術的存取，使其可經由RESTful API的中介與轉接，而能在用戶自行開發或第三方廠商開發的管理主控臺，進行相關的操控；這項解決方案同時具備進階的大量個人電腦監控功能，可協助用戶從遠端進行集中管理。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2020-Intel EMA 1_3-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-Intel%20EMA%201_3-1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2020-Intel EMA 1_3-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-Intel%20EMA%201_3-2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2020-Intel EMA 1_3-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-Intel%20EMA%201_3-3.jpg" style="width: 298px;" /></a></p> <p>根據英特爾最新公告的EMA相關技術文件，我們可以更具體了解其運作架構與功能特色。在系統建置的方式上，EMA採用主從式架構，可區分為兩大部分：EMA Server與EMA Agent，前者負責提供管理主控臺與API介面，後者則安裝在列管的個人電腦，協助這些裝置連上EMA Server，使其能夠執行集中管理。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-06-Intel%20EMA%20overview.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2021-Intel%20EMA%20Client-Server.jpg" style="width: 298px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-08-Intel EMA limits.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-Intel%20EMA%20limits.jpg" style="width: 600px;" /></a></p> <p>基本上，EMA Server可設置在企業內部網路或是雲端服務環境，需安裝在Windows Server 2019或2022作業系統；EMA Agent目前可安裝在Windows 10或11作業系統的實體個人電腦上；</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-Intel%20EMA%20Deployment%20location.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20EMA%20Deployment.jpg" style="width: 600px;" /></p> <p>EMA若用於控管配備vPro平臺、AMT技術的電腦，可提供頻外（out-of-band）、硬體層級的管理，由於這裡搭配軟體的代理程式，因此也能涵蓋非vPro平臺的個人電腦，若這些裝置處於完成開機、啟動作業系統狀態，也能橫跨網路防火牆進行遠端安全控管，實現頻內（in-band）控管。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-08--Intel EMA 1_8 Server generation client files.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08--Intel%20EMA%201_8%20Server%20generation%20client%20files.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2022-08--Intel EMA 1_8 Agent install.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08--Intel%20EMA%201_8%20Agent%20install.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2022-08-Intel EMA vPro 1_8.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-Intel%20EMA%20vPro%201_8.jpg" style="width: 198px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-Intel%20EMA%20OOB.jpg" style="width: 600px;" /></p> <p>在管理多臺個人電腦的作法上，EMA Server採用階層式概念來區隔不同業務實體，例如，最上層的實體稱為租戶（tenant），可代表一家公司、一個部門單位，或是一個地區辦公室，而在每個租戶之中，可包含使用者（帳號、角色、群組）、端點（裝置、群組）、組態（AMT、Wi-Fi等設定）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel EMA tenant.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20EMA%20tenant.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-08--Intel EMA 1_8 AMT Profile.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08--Intel%20EMA%201_8%20AMT%20Profile.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2022-08--Intel EMA 1_8 endpoint groups.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08--Intel%20EMA%201_8%20endpoint%20groups.jpg" style="width: 298px;" /></a></p> <p>導入EMA系統之後，IT人員能對列管的個人電腦執行哪些動作？</p> <p>英特爾目前已發展出多種功能，像是：網路喚醒（Wake-On-LAN，僅支援vPro平臺）、設定警報鬧鐘、睡眠（Sleep）／休眠（Hibernate）／關機（Power off）／重新啟動（Restart）、傳送警示訊息、檔案存取、終止端點管理作業、操控多臺電腦桌面畫面（可提供頻內或頻外KVM）、</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-08-Intel EMA Remote KVM 1_8.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-Intel%20EMA%20Remote%20KVM%201_8.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2022-08-Intel EMA Remote KVM2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-Intel%20EMA%20Remote%20KVM2.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2022-08-Intel EMA Remote KVM3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-Intel%20EMA%20Remote%20KVM3.jpg" style="width: 198px;" /></a></p> <p>掛載IMG或ISO映像檔，以及電腦系統清除：<a href="https://software.intel.com/sites/manageability/AMT_Implementation_and_Reference_Guide/default.htm?turl=WordDocuments%2FSecure_Remote_Platform_Erase.htm">Remote Platform Erase（RPE）</a>、<a href="https://www.intel.com/content/www/us/en/docs/active-management-technology/developer-guide/2021/remote-secure-erase.html">Remote Secure Erase（RSE）</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2021-Intel EMA RSE1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-Intel%20EMA%20RSE1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2021-Intel EMA RSE3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-Intel%20EMA%20RSE3.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2021-Intel EMA RSE4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-Intel%20EMA%20RSE4.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2021-Intel EMA RSE5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-Intel%20EMA%20RSE5.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2021-Intel EMA RSE6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-Intel%20EMA%20RSE6.jpg" style="width: 198px;" /></a></p> <p>若以資安預防的角度而言，EMA提供的遠端喚醒與重開機的功能，可協助企業在下班或休假期間，遠端進行電腦系統診斷、排程部署修補與更新程式，以免因系統需重新開機而影響業務持續運作，以及人員生產力；</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-08-Intel EMA alarm1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-Intel%20EMA%20alarm1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-08-Intel EMA alarm2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-Intel%20EMA%20alarm2.jpg" style="width: 298px;" /></a></p> <p>另一個很實用的功能則是系統清除RPE，在個人電腦汰換、重新使用、因故障修復或遺失而取回時，企業依據資安政策需執行資料抹除的作業，透過EMA的幫忙，可進行多種處理程序，像是抹除固態硬碟資料、將硬碟回復到出廠預設值、清除BIOS記憶體內容、將BIOS設定重設至出廠預設值，以及將TPM執行狀態重設、清除裡面存放的所有金鑰，也能將電腦製造商自行增添的所有設定進行抹除，甚至能強制使用者不能設定融合式安全與管理引擎（CSME），使得用於遠端管理的AMT技術無法重建使用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-08-Intel EMA vPro.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-Intel%20EMA%20vPro.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20RSE%20process.png" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>Intel Endpoint Management Assistant 1.11<br /> ●原廠：英特爾<br /> ●建議售價：廠商未提供<br /> ●個人端作業系統需求：Windows 10、Windows 11<br /> ●伺服器作業系統需求：Windows Server 2019、Windows Server 2022，網站伺服器IIS 10<br /> ●伺服器硬體需求：2顆8核心16個執行緒Xeon處理器、24GB記憶體、2臺1TB硬碟，可支援2萬個連線<br /> ●伺服器資料庫系統需求：SQL Server 2017、SQL Server 2019、SQL Server 2022<br /> ●支援AMT技術世代：11到16</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/8/19 16:54作者李宗翰https://www.ithome.com.tw/review/158304
Fintech周報第214期：金融科技發展路徑圖2.0正式發布，星展銀行投入千名IT人力進行資訊系統整併
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color:#8B4513;"><span style="font-size:16px;"><strong>2023/8/2~8/16金融科技精選新聞</strong></span></span></h3> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">金管會 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融科技發展路徑圖 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span></h3> <h3>金融科技發展路徑圖2.0正式發布</h3> <p>金管會近日正式發布<a href="https://www.fsc.gov.tw/ch/home.jsp?id=96&parentpath=0,2&mcustomize=news_view.jsp&dataserno=202308150002&dtable=News">金融科技發展路徑圖2.0</a>，從1.0奠定的金融科技生態圈發展基礎，以包容、公平、永續和國際化作為四大目標，推出共65項推動事項，包括訂定金融業應用AI指引、發布跨市場資料共享的資料治理指引、金融FIDO V2計畫及委外研究「金融科技發展與創新實驗條例」修法可行性等事項。</p> <p>金管會綜合規劃處處長胡則華進一步說明，路徑圖2.0以優化法制、深化資源、推廣技術及提升包容四大推動策略，從四大面向推動，分別為優化金融科技法制與政策、深化輔導資源及人才培育、推廣金融科技技術與應用和提升金融包容性及數位金融普及。（<a href="https://www.ithome.com.tw/news/158287">詳全文</a>）</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 星展銀行</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 花旗銀行 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資訊系統整併 </span></strong></span></h3> <h3>星展投入破千名IT人力推動和花旗消金業務的資訊系統整併</h3> <p>星展銀行（臺灣）順利在8月14日正式接手花旗（臺灣）銀行消費金融業務，並在上周末完成花旗消金業務的核心資料轉移。星展銀行（臺灣）總經理黃思翰表示，未來，銀行會陸續移轉其他歷史資料，並到星展的核心系統進行操作。</p> <p>他表示，過去18個月來，內部曾進行多次演練，投入超過一千多名IT人力推動轉移工程，新加坡的IT部門也參與其中。不只IT人力投入，星展臺灣也投入龐大金額來推動這次整併，黃思翰估計，18個月整併期間，在人力、系統開發以及前端和產品端開發投入的金額，累計約新幣3億元（約臺幣70億元）。（<a href="https://www.ithome.com.tw/news/158237">詳全文</a>）</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">金管會 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span></h3> <h3>金管會公布金融業使用AI核心原則，最快今年12月發布金融業使用AI指引</h3> <p>金管會在8月15日公布<a href="https://www.fsc.gov.tw/ch/home.jsp?id=96&parentpath=0,2&mcustomize=news_view.jsp&dataserno=202308150001&dtable=News">「金融業運用人工智慧(AI)之原則及政策草案」</a>，共計六項核心原則，包括「建立治理及問責機制」、「保護隱私及客戶權益」和「確保系統穩健性與安全性」等原則。金管會綜合規劃處處長胡則華表示，預計今年12月底前會發布金融業使用AI指引，後續也會審查金融業工會訂定的相關自律規範。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">金管會 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融上雲 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span></h3> <h3>金管會正式公布金融三業上雲大鬆綁相關修正辦法，目前保險業委外修正事項已上路</h3> <p>金管會近日發布「金融機構作業委託他人處理內部作業制度及程序辦法」修正，保險局和證期局也同時發布委外修正規定，其中，保險局已在8月10日公布委外修正規定，並在發布當日開始生效。</p> <p>過去銀行委外使用雲端服務時，涉及重大性委外作業或是將作業委託到境外公雲，都得事先向金管會申請核准，需耗費不少時間。此次修法縮減境外委託上雲需申請核准的範圍，僅限重大性消金業務。其他非常規委外項目，只要首例獲金管會批准，其他金融機構可跟進使用，無需再次申請核准。（<a href="https://www.ithome.com.tw/news/158126">詳全文</a>）</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新加坡金管局</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 穩定幣 </span></strong></span></h3> <h3>新加坡金管局公布穩定幣監管架構</h3> <p>新加坡金管局近日公布<a href="https://www.mas.gov.sg/news/media-releases/2023/mas-finalises-stablecoin-regulatory-framework#">穩定幣監管架構</a>，規範在新加坡發行的穩定幣僅能與新幣或G10國家的貨幣掛鉤，例如美金、日幣和英鎊等。穩定幣發行商必須滿足四項關鍵要求，包括儲備資產必須維持100萬新幣（約臺幣2,350萬元）的最低資本規模和足以負擔營運費用的最低流動資產，以降低破產風險，並且必須在提出贖回後，五個工作天內將穩定幣的幣值退還給持有人。此外，發行商還必須向用戶提供適當的揭露，例如穩定幣的價值穩定機制、穩定幣持有者全力及儲備資產審計結果等事項。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-08-18%20174434.png" style="width: 600px;" /></p> <blockquote><p>新加坡金管局近日公布穩定幣監管架構‵，要求穩定幣發行商需同時符合四項關鍵要求。</p> </blockquote> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新加坡金管局</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> FSTI </span></strong></span></h3> <h3>新加坡金管局展開金融創新推動計畫3.0，將加碼約臺幣34億元促進金融創新</h3> <p>新加坡金管局在2022年宣布了一項金融創新推動計畫3.0（FSTI 3.0），承諾將在2023年至2026年內提供新幣1.5億元（約臺幣34億元）促進新加坡的金融創新。近日，新加坡金管局宣布8月開始推動FSTI 3.0，並揭露了更多細項。包括將支持企業風險投資（CVC）公司、使用Web3.0技術的相關企業，以及開發ESG與金融科技解決方案的企業。此外，FSTI 3.0也繼續支持人工智能和數據分析（AIDA）和監管科技等技術開發和採用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-08-18%20180210.png" style="width: 600px;" /></p> <blockquote><p>新加坡金管局近日開始啟動FSTI 3.0計畫，將投入約臺幣34億元促進金融創新，其中包括支持Web3.0技術、AIDA和監理科技相關技術。</p> </blockquote> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 支出管理平臺</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span></h3> <h3>美國金融科技新創Brex將AI應用於支出管理平臺，協助企業快速追蹤及核准應付賬款</h3> <p>近日，鎖定新創企業發行企業信用卡的科技新創Brex推出應付帳款（AP）系統Brex payables，在發票接收、匹配、審核到付款過程中，結合AI技術，來分析、整理發票內容，甚至是自動核准。例如，系統收到發票後，自動辨識內容，彙整出賣家公司資訊、應付金額和預算專案，再提供給使用者確認後，自動通知各層級主管進行批准，完成核准後，系統會依照使用者設定，自動匹配繳款來源和賣家，甚至進行自動轉帳，可依據使用者根據轉帳金額上限、預算專案和賣家等項目設定，決定執行自動轉帳抑或是手動轉帳，最後再將資料傳回ERP系統。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-08-18%20191558.png" style="width: 600px;" /></p> <blockquote><p>鎖定新創企業發行企業信用卡的科技新創Brex將AI應用於支付管理平臺，瞄準企業採購批准流程往往耗時超過一周的痛點<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">，將應付帳款流程自動化</span>。</p> </blockquote> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位轉型</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融上雲 </span></strong></span></h3> <h3>芬蘭200年老牌銀行投入約臺幣34億元啟動轉型，要將系統100%搬上Azure公雲</h3> <p>面臨金融業激烈競爭，已成立200年的芬蘭儲蓄銀行Savings Banks Group（SBG）宣布，將斥資1億歐元（約臺幣34億元）展開數位轉型，為該公司成立以來最大的一次投資。而根據《Data Centre Dynamics》的報導，SBG正是要將該集團的資料與系統，全面搬上微軟公有雲服務Azure，計畫第一階段的系統部署預計於2026年展開。</p> <p>SBG執行長Karri Alameri表示，這不僅是個IT專案，更涉及SBG旗下所有銀行的業務更新。這項轉型計畫的合作對象包括微軟、Tietoevry、Samlink與twoday，其中，Tietoevry將負責交付貸款系統，基於Microsoft Dynamics 365的客戶關係管理系統則由twoday擔綱，Samlink負責整合現有環境中的系統，再偕同Solita以於Azure環境中提供持續性服務。</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">攝影／李昀璇圖片來源／新加坡金管局、金管會</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong>責任編輯／李昀璇</strong></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2023年8月</p> </div></div></div>
2023/8/19 09:49作者李昀璇https://www.ithome.com.tw/news/158335
MedTech醫療科技雙周報第25期：美公立醫院用SDOH數據分析降低再住院率，月省90萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（0801～0815）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">SDOH </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 再住院率 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 成本 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>美公立醫院：SDOH數據可降低再住院率，月省90萬美元</strong></span></p> <p>北岸大學附設醫院是美國公立醫院，其心臟部門與醫療AI新創Languna Health聯手，用醫院收集的健康社會決定因素（SDOH）數據和心理健康數據，找出30天內再住院機率高的患者群，並聯合Languana Health開發虛擬照護平臺，搭配專科醫師和教練來強化這些患者出院後的行為和情緒照護。經過1月實驗，他們發現干預組和對照組的總再住院費用分別是110萬美元和200萬美元，降低了90萬美元，且每人平均再住院費用也降低了，分別是4萬4美元和9萬1美元。</p> <p>進一步來說，SDOH是指影響民眾健康的社會性因子，涵蓋環境、文化、教育、交通、社經地位等面向，是美國近年鼓勵醫院收集、研究和應用的資料。美國國家醫療IT協調辦公室（ONC）日前就針對全美醫院，調查SDOH數據的收集狀況和應用情境，<a href="https://www.healthit.gov/data/data-briefs/social-needs-screening-among-non-federal-acute-care-hospitals-2022">他們發現</a>，83%急性照護醫院會收集SDOH數據，而54%的醫院定期收集這類數據。ONC統計發現，醫院收集SDOH數據的前3大用意是要輔助臨床決策、安排出院計畫以及轉診參考，但目前仍有些問題要解決，比如SDOH數據的標準化和互通性。<a href="https://journals.lww.com/jhmonline/fulltext/2023/07000/personalized_postacute_hospitalization_recovery__a.8.aspx">（詳全文）</a></p> <p><img alt="" src="https://images.journals.lww.com/jhmonline/Original.00115514-202307000-00008.F2.jpeg" /><img alt="" src="https://images.journals.lww.com/jhmonline/Original.00115514-202307000-00008.F2.jpeg" /><img alt="" src="https://s4.itho.me/sites/default/files/images/Original_00115514-202307000-00008_F2.jpeg" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 成大 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 腹部肌肉 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SaMD </span></strong></span></p> <p><span style="font-size: 22px;"><strong>成大開發腹部肌肉量AI偵測工具</strong></span></p> <p>國內臨床資料AI應用又一例，成功大學研發「腹部肌群醫療影像分割軟體」（iMbody），可評量病患的肌肉量、辨識肌少症狀，作為癌症治療的預後評估。該軟體目前也獲衛福部食藥署醫療器材軟體（SaMD）上市許可，進入商業應用。</p> <p>成大臨床創新研發中心主任蔡依珊表示，癌症患者若肌肉組成較少，其預後較差差，且做化療時，身體對化療劑量的耐受度也較差，尚未打到治療需要的劑量，可能就會出現血液、神經等副作用。而癌症患者大多使用電腦斷層追蹤身體狀況，過去是用半自動軟體處理影像，最快也要20分鐘。因此，研發團隊思考用AI來辨識患者腹部電腦斷層影像，來更快偵測癌症患者是否肌少。</p> <p>於是，團隊以現有的病人照護資料為基礎，先從成大醫療資料庫中4,600多位健康病人（車禍或其他原因），來建立臺灣的健康肌肉量常模，並導入AI工具來加速資料標註，只要1天就能完成。團隊建立了男、女性從20到80多歲的肌肉量常模，不只用來辨識，還能作為後續與患者解釋的參考資料。比如，同性別、同年齡或同種族的健康民眾相比值。腹部肌群醫療影像分割軟體除用於癌症患者照護上，未來也可能用在健康檢查中心，來降低腹部脂肪量。<a href="https://www.ithome.com.tw/news/158286">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/20230815_141657-1.jpg?itok=Tf96jj9S" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">Data Hub </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 數位轉型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Ramsay Health Care </span></strong></span></p> <p><span style="font-size:22px;"><strong>澳洲最大醫療集團要建集中式資料中樞，拼2030年數位轉型</strong></span></p> <p>Ramsay Health Care是澳洲最大的私人醫療集團，擁有70多家醫院、診所和手術中心，由於醫療需求不斷增加，所產生的資料也越來越多。於是，Ramsay Health Care發起2030年數位轉型計畫，要建立一個集中式的資料中樞（Data hub），來統一散落在各地的行政數據和患者資訊，以利後續資料分析和洞察。</p> <p>該集團找上Google雲端，來建立這個資料中樞。他們將採用Google雲端的企業級資料倉儲平臺BigQuery，來整合各地資料、提高連結性並產出能輔助臨床決策的新洞察。不只如此，該集團數位長暨資料長Rachna Gandhi指出，他們還能使用平臺附帶的AI和ML工具，來簡化臨床工作流程。他舉例，AI可用來緩解醫護的行政工作壓力，或是用來幫醫生找出高風險患者。Ramsay Health Care也打算用AI來優化臨床編碼，好降低病歷人員的工作壓力；另一個應用情境是，用AI預測人力需求，來更有效率分配人力資源。<a href="https://www.ramsaynews.com.au/sitecore/content/MD/Home/News/General-News/Ramsay-Health-Care-Joins-Forces-with-Google-Cloud-to-Help-Support-Its-2030-Digital-Strategy">（詳全文）</a></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺大醫院 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 手術模擬 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 3D影像 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>臺大醫院揭手術模擬平臺進展</strong></span></strong></p> <p>日前，臺大醫院揭露元宇宙手術模擬平臺進展，該平臺由外科部與臺大電資學院聯手研發，能以3D影像虛擬實境（VR）技術，將病人的電腦斷層或磁振造影等平面醫學影像，即時轉換為3D影像，來呈現病灶和周遭組織，甚至還能對不同器官組織進一步解析。</p> <p>這種用3D影像重建技術，來將電腦斷層、磁振造影等平面的醫學影像立體化的方法，有助於跨專科團隊討論病情、術前模擬，以及醫病溝通和教育訓練。臺大醫院外科部主任陳晉興解釋，X光、電腦斷層、磁振造影等影像學檢查，常用於術前評估和病情解釋。但這些初階影像，在電腦螢幕上都以二維顯示，若遇上病情複雜的案例，對不同專科醫師、團隊成員，和病患、家屬都不易理解。</p> <p>於是團隊開發該平臺，來用於高難度、跨科別手術，簡化溝通成本，並實際用於纖維樣瘤、縱膈腔類癌病灶切除等手術。另一方面，該平臺也支援外地討論，醫師、家屬用手機掃描QR Code，就能同步參與病情討論和治療規畫。不只用於手術，該平臺接下來也要用於教學，將高難度手術做成教案，來讓年輕外科醫師和醫學生學習、累積知識。<a href="https://www.ntuh.gov.tw/ntuh/News.action?q_type=A01&q_itemCode=13748&agroup=a">（詳全文）</a></p> <p><img alt="" src="https://www.ntuh.gov.tw/ckfinder_file/ntuh/images/2023%E6%9C%80%E6%96%B0%E6%B6%88%E6%81%AF/20230809%E5%92%8C%E6%AD%BB%E7%A5%9E%E6%8B%94%E6%B2%B3%E6%90%B6%E5%91%BD%EF%BC%81%E8%87%BA%E5%A4%A7%E9%86%AB%E9%99%A2%E3%80%8C%E5%85%83%E5%AE%87%E5%AE%99%E6%89%8B%E8%A1%93%E6%A8%A1%E6%93%AC%E5%B9%B3%E5%8F%B0%E3%80%8D%E8%99%9B%E6%93%AC3D%E5%88%97%E5%8D%B0%E6%95%B8%E4%BD%8D%E5%AD%BF%E7%94%9F%E5%99%A8%E5%AE%98%20%E8%B7%A8%E7%A7%91%E5%88%A5%E9%AB%98%E9%9B%A3%E5%BA%A6%E6%89%8B%E8%A1%93%E6%96%B0%E9%87%8C%E7%A8%8B%E8%A8%98%E8%80%85%E6%9C%83-%E6%95%99%E5%AD%B8%E9%83%A8%E6%B1%9F%E6%97%B4%E6%81%92%E9%86%AB%E5%B8%ABVR%E5%AF%A6%E5%A2%83%E7%A4%BA%E7%AF%84.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">中國附醫 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 病歷紀錄 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>紐西蘭空中救護隊採用新創協作App</strong></span></p> <p>最近，紐西蘭空中救護隊宣布部署Celo公司開發的溝通協作平臺，來提高空中救護與第三方的溝通效率。紐西蘭空中救護隊擁有11架固定機翼的醫療飛機，在境內設有6個空中救護基地，活動範圍涵蓋紐西蘭各地醫院，是該國最大的航空醫療機隊。</p> <p>在執行任務時，醫療團隊、航空救護團隊和協調人員的即時溝通很重要，因此採用專為航空救護設計的Celo溝通平臺，在確保安全性（符合ISO27001和HIPAA規範）的前提下，來即時溝通。該平臺也獲無國界醫生組織採用，在全球80多國使用。<a href="https://www.celohealth.com/press-news/nz-air-ambulance">（詳全文）</a></p> <p><img alt="" src="https://celoassets.blob.core.windows.net/$web/features(600)-opt.gif" /></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資料來源 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>美議員質疑Google醫療AI訓練資料來源</strong></span></strong></p> <p>美參議院最近去信Google執行長Sundar Pichai，針對Google醫療專用的AI模型Med-PaLM 2表達疑慮，並要求Google更清楚說明參與測試的醫院、Google如何訓練模型，以及如何保護病患自主及隱私權益。</p> <p>美國參議院情報委員會主席Mark Warner指出，Google資深研究人員對自家科技的成熟度態度保留，且Google對Med-PaLM 2在何處測試、訓練資料來源、病患知情程度和能否拒絕AI，以及Google採取哪些措施防範AI偏差，這些是外界難以得知的。雖然AI對改善病患照護及健康有很大潛力，但Warner擔心，未經驗證的科技過早部署，可能導致削減醫療機構與專家的信任、加深不平等現象，以及診斷和照護疏失風險增加。<a href="https://www.warner.senate.gov/public/index.cfm/pressreleases?id=D22487BB-AE27-4384-B1FE-8EA78901B0FD">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AWS </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 互動式 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>AWS推出醫療雲端互動平臺，要用遊戲互動關卡提高雲端技能</strong></span></strong></p> <p>為強化醫療人員的雲端技能，AWS和自家培訓暨認證（T&C）團隊聯手拉丁美洲、加拿大和加勒比海地區醫療機構和廠商，共同開發並推出一款遊戲互動式醫療培訓平臺AWS Industry Quest: Healthcare，可教導使用者如何打造有效的醫療雲解決方案。</p> <p>進一步來說，該平臺提供30個關卡，內容涵蓋醫療監測、示警、重整不符合醫療安全規範HIPAA的應用，以及實現資料互通、簡化和自動化授權表格，甚至是從醫療資料中，透過AI和ML應用找出洞察等。過關的KPI指標則有整體病患滿意度、醫療設備運用、平均病患等待時間等。KPI的分數越高，使用者也能解鎖新設備，如X光機、MRI設備和等候區的座椅等。<a href="https://aws.amazon.com/blogs/publicsector/new-immersive-cloud-training-advance-public-sector-healthcare-beyond/">（詳全文）</a></p> <p> </p> <div class="media_embed" height="281px" width="500px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="281px" src="https://www.youtube.com/embed/an_I_gfE9fM" title="AWS Industry Quest: Healthcare | Amazon Web Services" width="500px"></iframe></div> <p> </p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資安 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 急診 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 攻擊 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>美醫療集團遭網路攻擊，多州醫院受波及</strong></span></strong></p> <p>在美國5個州經營16家醫院的Prospect Medical Holdings在8月初傳遭駭客攻擊，影響旗下多家醫院的IT系統，有些暫停收受急診病人，有些暫停抽血或醫療影像拍攝，並改採傳統的紙筆記錄。Prospect Medical Holdings在美國涵蓋多種等級醫療機構，包括三級醫學中心、教學醫院、行為健康機構、社區醫院與長期照護機構等，共有166個門診診所、近1.1萬名醫生。該集團向《CBS NEWS》證實，他們遭遇資安意外，已緊急撤下系統，並在第三方安全專家的協助下展開調查，美國FBI也在隔天介入調查。</p> <p>另一家同樣位於康州的Waterbury Hospital，也說電腦系統遭到網路攻擊而當機，影響所有的住院與門診業務，並啟動離線程序來因應。除必須採用紙筆之外，醫療影像及抽血服務也都暫停了。此外，佛州醫療中心Tampa hospital今年也曾遭勒索軟體攻擊，外洩了逾120萬名病患資料，除姓名、電話、住址和社會安全碼之外，少數的病患醫療資訊也被盜走。<a href="https://www.cbsnews.com/news/prospect-medical-cyberattack-california-pennsylvania-hospital/">（詳全文）</a></p> <p>圖片來源／北岸大學附設醫院、臺大醫院、Celo、AWS</p> <p>攝影／蘇文彬</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></strong></p> <p><strong><strong>1. 美國國家醫療IT協調辦公室ONC揭露全美醫院SDOH數據運用狀態</strong></strong></p> <p>資料來源：iThome整理，2023年8月</p> </div></div></div>
2023/8/18 22:18作者王若樸https://www.ithome.com.tw/news/158336
【資安日報】8月18日，駭客針對GitLab重大漏洞下手，將其容器環境用於挖礦及盜取網路頻寬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客剝削電腦資源並用來獲利的情況，除了挖取加密貨幣，將受害電腦當作代理伺服器轉賣頻寬的手法（Proxyjacking）也不時傳出，但過往這類攻擊大多是針對個人電腦而來，現在有人鎖定企業組織的開發環境下手。資安業者Sysdig揭露名為Labrat的攻擊行動，攻擊者就是鎖定尚未修補重大漏洞CVE-2021-22205的GitLab伺服器下手，進而在容器部署挖礦軟體、代理伺服器軟體（Proxyware）。</p> <p>此外，許多流量挾持攻擊是針對Windows電腦而來，但近期也有鎖定Mac電腦的惡意軟體攻擊行動AdLoad，每週有數千個IP位址與代理伺服器連線。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://sysdig.com/blog/labrat-cryptojacking-proxyjacking-campaign/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">攻擊行動Labrat鎖定GitLab而來，目的是挾持程式碼儲存庫進行挖礦或是盜取網路頻寬</span></strong></a></p> <p>資安業者Sysdig揭露名為Labrat的攻擊行動，駭客先是利用GitLab漏洞CVE-2021-22205（CVSS風險評分為10），取得初期入侵容器的管道，並植入後門程式Global Socket（GSocket），從C2下載惡意指令碼到GitLab伺服器，刪除名為watchdog的處理程序，並停用騰訊雲、阿里雲的代理程式，然後竄改多個cron檔案以便能持續於容器環境內活動，此外，駭客還會收集SSH金鑰來進行橫向移動。</p> <p>值得留意的是，駭客為了隱匿C2伺服器，他們濫用了名為Argo Tunnel的網路應用程式防護服務（Try Cloudflare），在攻擊行動裡，駭客將其用來將流量重新導向，存取受到密碼保護的網頁伺服器，進而取得惡意的Shell指令碼，最終部署以Go語言或.NET開發的惡意程式，將容器用於挖礦，或是進行流量挾持（Proxyjacking）攻擊。</p> <p>在另一起攻擊行動裡，駭客沒有使用Argo Tunnel，而是採用企業搜尋平臺Solr的伺服器來進行Labrat攻擊行動，再者，為了提升權限，駭客也下載能利用PwnKit漏洞（CVE-2021-4034）的惡意程式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/TryCloudflare1-73.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/TryCloudflare1-73.png" style="width: 580px;" /></a></p> <p><a href="https://cybersecurity.att.com/blogs/labs-research/mac-systems-turned-into-proxy-exit-nodes-by-adload"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Mac電腦遭惡意軟體AdLoad鎖定，被用來架設殭屍網路</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/adload_samples.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/adload_samples.jpg" style="width: 300px; float: right;" /></a>AT&T威脅情報團隊揭露惡意軟體AdLoad的攻擊行動，駭客主要針對Mac電腦而來，目的是將受害電腦用於架設殭屍網路，然後進行流量挾持（Proxyjacking），提供常駐型代理伺服器服務。</p> <p>研究人員一共找到超過150個AdLoad檔案，每週有數千個IP位址與代理伺服器連線，一旦受害電腦感染AdLoad，就會先收集系統資訊並傳送至C2，以便後續執行下一階段的攻擊行動。此外，他們也發現駭客也打造 Windows版的惡意軟體。</p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-blackcats-sphynx-ransomware-embeds-impacket-remcom/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織BlackCat打造新的勒索軟體Sphynx，整合Impacket、Remcom在網路上橫向感染</span></strong></a></p> <p>資安研究團隊VX-Underground在今年4月，看到勒索軟體BlackCat更名為Sphynx，駭客聲稱將程式碼重新改寫，主要工作是強化迴避防毒軟體與EDR系統的偵測能力，最近這些駭客有了新的動作。<a href="https://twitter.com/MsftSecIntel/status/1692212191536066800">微軟威脅情報團隊針對新版的勒索軟體Sphynx進行分析</a>，發現這次駭客整合2個網路犯罪圈常見的作案工具，而能造成更大的危害。</p> <p>其中一個是網路通訊框架Impacket，而使得駭客能從處理程序挖掘帳密資料，用來進行NTLM Relay攻擊，研究人員認為，駭客的主要目的是將其用於勒索軟體的橫向感染，在目標企業組織整個網路加密檔案。另一個被納入的是駭客工具Remcom，這是遠端Shell程式，而使得駭客能在網路上的其他設備遠端執行任意命令（RCE）。</p> <p>研究人員向資安新聞網站Bleeping Computer透露，他們在上個月，看到BlackCat旗下的組織Storm-0875將此勒索軟體用於攻擊行動。</p> <p><a href="https://blog.aquasec.com/powerhell-active-flaws-in-powershell-gallery-expose-users-to-attacks"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟程式碼儲存庫PowerShell Gallery弱點可被用於供應鏈攻擊</span></strong></a></p> <p>資安業者Aqua Security揭露名為PowerHell的漏洞，存在於PowerShell指令碼資源庫PowerShell Gallery，一旦遭到利用，攻擊者可發動供應鏈攻擊。研究人員總共找出3個缺陷，其中一個是套件名稱的管控相當寬鬆，而使得攻擊者有機可乘，上傳與現有套件名稱極為相似的套件，發動名稱誤植（TypoSquatting）攻擊，他們舉出下載量超過1千萬次的套件AzTable為例，攻擊者可提供名為Az.Table的套件來引誘使用者上當。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PowerHell-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PowerHell-5.jpg" style="width: 580px;" /></a></p> <p>再者，則是套件的說明資料可輕易偽造，攻擊者可透過版權宣告（Copyright）、作者的資訊來欺騙使用者，更糟的是PowerShell Gallery套件資訊網頁預設會隱藏作者名稱，使用者很有可能透過版權宣告說明來判斷來源是否可靠。</p> <p>但除了攻擊者能偽造幾可亂真的套件說明，上架冒牌套件，研究人員還發現另一個弱點，而能讓攻擊者找到所有的PowerShell Gallery套件，即使開發者設置為不公開、已移除的套件也無法倖免，使得攻擊者有機會挖掘存放於非公開套件當中的機密。研究人員去年9月進行通報，微軟於今年1月、3月著手修補，但研究人員發現，迄今上述的缺陷仍能被用於攻擊行動。</p> <p><a href="https://www.jamf.com/blog/fake-airplane-mode-a-mobile-tampering-technique-to-maintain-connectivity/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">iOS 16出現假飛航模式的攻擊手法，可讓攻擊者欺騙用戶並暗中遠端存取手機</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/spoofed-airplane-mode.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/spoofed-airplane-mode.jpeg" style="width: 300px; float: right;" /></a>資安業者Jamf揭露鎖定iPhone的新型態攻擊手法，駭客試圖讓使用者以為手機處於飛航模式的狀態，而有機會暗中使用行動網路存取目標裝置。</p> <p>研究人員指出，在iOS作業系統裡，有兩個處理程序負責處理飛航模式的切換工作，其中名為SpringBoard的處理程序負責使用者介面（UI）上的狀態顯示，CommCenter則是實際管控作業系統底層的網路介面。他們首先調查手機的事件記錄，捏造假的飛行模式事件函式，使得用戶開啟飛航模式的時候，手機不會切斷電信網路的連接。</p> <p>接著，他們掛鉤兩個Objective-C程式碼的方法（method），並注入一段程式碼，讓使用者按下飛航模式開關後，手機會顯示沒有電信網路、無線網路，或是藍牙連線。另一方面，研究人員會在手機保持網路通訊的情況下，設法讓使用者以為手機因開啟飛航模式而無法上網——這時候，系統會「顯示」要求關閉飛航模式才能恢復連線的錯誤訊息。對此，<a href="https://thehackernews.com/2023/08/new-apple-ios-16-exploit-enables.html">蘋果向Hacker News指出</a>，上述的攻擊手法沒有涉及漏洞，並認為是攻擊者成功入侵之後，維持於受害手機運作的方法。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://hitcon.org/2023/CMT/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣駭客年會HITCON Community 2023於8月18日正式登場，聚焦AI資安議題</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CMT2023-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CMT2023-2.jpg" style="width: 300px; float: right;" /></a>臺灣大型駭客與資安技術研討會HITCON Community 2023於8月18日、19日於中央研究院舉行，吸引近2千名駭客與資安技術人員共襄盛舉。本次大會以「AI在資安領域的進化」為主題，探討在全世界越來越依賴AI的情況下，對於資訊安全態勢帶來的轉變。</p> <p>本次有23篇呼應大會主題的漏洞揭露及分析等研究，包含混合反編譯器和AI進行現代逆向工程、用自行開發的生成式AI 模型進行鑑識分析、AI及自動化紅藍隊演練中的實際成果，以及OpenAI、ChatGPT運用個人資料訓練AI而衍生的資安議題等。</p> <p>值得一提的是，本次大會亦舉辦Badge大亂鬥活動，主辦單位將讀卡機與遊戲散布各攤位與會場，與會者可使用識別證進行互動，破解密碼、領取積分。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google在臺推出暗網通報的個資追蹤功能</span></strong></p> <p>整合網路郵件、相簿和硬碟的付費服務Google One，在今年3月推出暗網通報（Dark Web Report）的功能，可幫使用者監控自己的姓名、地址、電話號碼、電子郵件地址、使用者名稱、密碼等個資，是否流入暗網。</p> <p>當時這項功能僅提供美國的使用者運用，8月18日臺灣有不少用戶都收到通知信，表示開始提供這項功能，引起不少使用者討論此事，並分享自己的檢測結果。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.deepinstinct.com/blog/nofilter-abusing-windows-filtering-platform-for-privilege-escalation"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露繞過Windows安全機制的攻擊手法NoFilter，進而在受害電腦提升權限</span></span></strong></a></p> <p><a href="https://www.welivesecurity.com/en/eset-research/mass-spreading-campaign-targeting-zimbra-users/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">使用Zimbra的企業組織遭鎖定，駭客企圖竊取用戶的電子郵件帳密資料</span></span></strong></a></p> <p><a href="https://blog.eclecticiq.com/german-embassy-lure-likely-part-of-campaign-against-nato-aligned-ministries-of-foreign-affairs"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客APT29利用即時通訊軟體Zulip來隱匿C2</span></span></strong></a></p> <p><a href="https://cofense.com/blog/major-energy-company-targeted-in-large-qr-code-campaign/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國能源業者遭到鎖定，駭客透過QR Code發動網釣攻擊</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/158330"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為強化資料安全，MongoDB支援查詢受到加密保護的資料</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158313">【8月17日】 Cloudflare物件儲存服務成駭客寄放釣魚網頁的溫床，半年內相關的攻擊流量暴增60倍</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158300">【8月16日】 Citrix NetScaler零時差漏洞攻擊受害範圍再度擴大，近2千臺伺服器遭挾持</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158283">【8月15日】臺灣等17個國家遭中國駭客RedHotel鎖定，進行網路攻擊行動長達3年</a></strong></p> </div></div></div>
2023/8/18 18:03作者周峻佑https://www.ithome.com.tw/news/158332
微軟將允許移除Windows 11內建自家Photos、Remote Desktop App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windows-insider/2023/08/16/announcing-windows-11-insider-preview-build-25931-canary-channel/" target="_blank">微軟本周稍早宣布</a>將Insider Preview Build 25931發布到Canary頻道，可允許用戶移除數個Windows內建的微軟App，作為微軟為Windows 11瘦身的最新一步。</p> <p><a href="https://blogs.windows.com/windows-insider/2023/08/16/announcing-windows-11-insider-preview-build-25931-canary-channel/" target="_blank">根據這個版本的說明</a>，現在用戶可以移除Photos、People及Remote Desktop用戶端。這是最新一批被微軟鬆綁的自家App。今年5月，微軟允許用戶移除Camera App。</p> <p>而在本月初釋出的<a href="https://support.microsoft.com/en-au/topic/end-of-support-for-cortana-in-windows-and-teams-d025b39f-ee5b-4836-a954-0ab646ee1efa" target="_blank">Build 25291</a>中，微軟讓用戶移除已經被Copilot取代的Cortana。事實上，微軟自己都要砍掉Cortana App。<a href="https://support.microsoft.com/en-au/topic/end-of-support-for-cortana-in-windows-and-teams-d025b39f-ee5b-4836-a954-0ab646ee1efa" target="_blank">Windows一份文件說明</a>，從本月起，Windows 11不再支援獨立的Cortana App，而且<a href="https://www.windowslatest.com/2023/08/06/after-windows-11-cortana-now-stops-working-on-windows-10/" target="_blank">微軟證實</a>再過不久也會停用Windows 10中的Cortana。</p> <p>此外，<a href="https://www.windowslatest.com/2023/08/06/you-can-install-windows-11-without-the-third-party-bloatware-in-two-clicks/" target="_blank">Windows Latest發現</a>，微軟也允許移除第三方腫脹程式（bloatware），例如Candy Crush。方法是以.ISO檔或Media Creation Tools安裝時，將地區設定為「World English」或「European English」，即可移除這類腫脹軟體。</p> </div></div></div>
2023/8/18 19:17作者林妍溱https://www.ithome.com.tw/news/158334