iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 5篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 15:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

DevOps如何再進化
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「王子和公主從此過著幸福快樂的生活。」只是一種美好童話故事的想像，現實生活中的世界，並非如此。</p> <p>全球影音巨頭Netflix早在2010年決定全面上公雲戰略，不再興建任何一座實體資料中心，一步步變成了一家科技公司，先追求速度，接著發展規模化，最後進行策略轉型，徹底將所有應用系統都搬上公雲。</p> <p>Netflix被譽為是最懂得用雲的企業，也是企業上雲的最佳典範，他們的上雲轉型經驗成為許多大型企業數位轉型借鏡的模範。但，這個上雲故事後來怎麼了？從此就一帆風順了嗎？其實不然。</p> <p>十年上雲發展，積極擁抱各種雲原生技術的Netflix，累積了大量開發債。Netflix為了追求快速成長，開發團隊常常為了解決特定一項需求，就想盡辦法，用各種創意手法來解決問題，快速開發出了各式各樣的專用元件或解法工具，來對症下藥。</p> <p>日積月累下來，這些開發元件越來越多，越來越繁雜，讓Netflix開發團隊的開發流程越來越碎片化，開發人員為了避免重新發明輪子，不要從頭打造元件，反而得到處搜羅已經開發好的可用元件，不斷嘗試、搭配不同元件組合流程，拖慢了開發團隊的生產力。為了高速成長而完全上雲的Netflix，因此累積了許多開發債。</p> <p>在2021年時，Netflix下定決心，將統一開發體驗列為開發戰略首要目標，要打造出一個涵蓋軟體開發生命周期各階段的開發者單一平臺，提供給所有軟體工程師和資料科學家使用。</p> <p>這正是一種平臺工程思維，為了提供更好的開發體驗，來打造一個內部開發者平臺。</p> <p>不過，Netflix這項工程，還沒有完成，目前只打造出了資源管理和流程探索功能。串接了來自9大技術供應商在軟體生命周期中的種種工具，提供單一管理介面，方便內部開發團隊選用。另外，也提供了套裝流程首頁，提供不同產品開發需求對應的開發流程範本，讓開發團隊更容易探索每個流程中常用的工具和解決方案，不用自己從頭模索。</p> <p>Netflix不是唯一一家因為上雲、擁抱雲原生而累積大量開發債的企業。歐洲快時尚巨頭Zalando、荷蘭保險集團ING、瑞典家用電器大廠伊萊克斯、美國航空、HBO MAX聯播網、加拿大電信公司Telus、英國體育臺DAZN，甚至是老牌軟體公司3D引擎巨頭Unity、設計軟體龍頭Adobe、ERP軟體巨頭SAP都是如此。</p> <p>在過去十年來，這些公司因為積極擁抱雲原生，推動IT現代化轉型，擁抱DevOps推動開發維運自動化，大幅提高了軟體交付速度。但是，越來越複雜的混合雲環境配置、龐大的DevOps工具鏈，再加上新興的軟體供應鏈安全威脅，都讓他們越來越難以不斷擴大DevOps規模和成效。</p> <p>連續調查全球DevOps發展趨勢超過10年的Puppet公司，從許多大型企業DevOps調查數據中歸納，設立平臺團隊、建立自助式的內部專用開發者平臺，都是DevOps成功規模化的關鍵，甚至形成了一股新的開發浪潮，也就是平臺工程（Platform Engineering）。</p> <p>不少國外大型企業，像是前面提到的這幾家企業都是如此，開始打造內部的開發者平臺，提供一站式、操作更流暢、管理更便利的開發體驗，來降低開發者的認知負載，進而再一次提高開發團隊的生產力。</p> <p>在2009年崛起的DevOps浪潮，發展將近14年，已經成了企業擁抱雲原生技術的重要開發方法論，但是，企業越是依賴DevOps，流程和模式越是高度自動化，就會面臨更大的開發複雜度挑戰，光是要管理的微服務可能累積多達上千支。</p> <p>再加上，雲原生技術高度發展後的新考驗，數千種開源雲原生技術和工具鏈、多雲混合雲運作環境各種配置的優化，容器架構、Serverless架構、最新的Functionless架構，還有生成式AI自動產生大量程式碼的品管問題、軟體供應鏈資安挑戰，都讓新一代的開發者，面臨前所未有的認知負載。</p> <p>追求更頂級，彷彿頭等艙般的開發體驗，才能讓開發者更有生產力，這正是平臺工程崛起的原因，也為DevOps如何邁向下一個階段，指出了新方向。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%9B%B2%E7%AB%AF">雲端</a></div><div class="field-item odd"><a href="/tags/netflix">Netflix</a></div><div class="field-item even"><a href="/tags/%E5%B9%B3%E8%87%BA%E5%B7%A5%E7%A8%8B">平臺工程</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B2%E5%8E%9F%E7%94%9F">雲原生</a></div><div class="field-item even"><a href="/tags/%E9%96%8B%E7%99%BC%E5%82%B5">開發債</a></div><div class="field-item odd"><a href="/tags/devops">DevOps</a></div></div></div>
2023/9/1 14:07作者王宏仁https://www.ithome.com.tw/voice/158543
中國駭客組織鎖定Barracuda郵件閘道漏洞攻擊政府機關、電信業者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月29日<a href="https://www.mandiant.com/resources/blog/unc4841-post-barracuda-zero-day-remediation">資安業者Mandiant揭露對於Barracuda郵件安全閘道（ESG）零時差漏洞攻擊的最新發現</a>，中國駭客組織UNC4841於去年10月至今年6月，利用CVE-2023-2868發動攻擊，並在11月上旬開始出現顯著升溫的情況，僅有農曆新年（1月20日至22日）略為下降。</p> <p>而到了5月23日Barracuda發布資安通告之後，這類攻擊行動又出現2波，第一次是在公告的數日之後，駭客重新調整攻擊的手段，第二次則是在6月上旬，攻擊者採用更多新的惡意程式，包括Skipjack、Depthcharge、Foxtrox、Foxglove等，目的是為了維持在特定受害組織持續進行活動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/barracuda-post-remediation-fig1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/barracuda-post-remediation-fig1.png" style="width: 580px;" /></a></p> <p>Skipjack主要被用於監聽特定的信件標頭及主旨，然後執行惡意內容；Depthcharge則是利用LD_PRELOAD環境參數，藉由Barracuda SMTP的Deamon處理程序載入、執行，接收加密的命令；比較值得留意的是Foxtrox與Foxglove，有別於研究人員發現的惡意程式，這兩個惡意軟體並非專門針對ESG而來，駭客可能以此攻擊其他應用系統。</p> <p><a href="https://s4.itho.me/sites/default/files/images/barracuda-post-remediation-fig4a.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/barracuda-post-remediation-fig4a.png" style="width: 580px;" /></a></p> <p>而對於這起攻擊的目標，研究人員指出近三分之一是政府機關、高科技產業及資訊業者、電信業者、製造業，而且，臺灣及香港的貿易辦公室與學術研究機構，以及東南亞國協的外交部，這些單位的網域名稱及使用者，都遭到鎖定，駭客利用Shell指令碼發動攻擊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/barracuda-post-remediation-fig13.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/barracuda-post-remediation-fig13.png" style="width: 580px;" /></a></p> </div></div></div>
2023/9/1 11:34作者周峻佑https://www.ithome.com.tw/news/158538
Google Chat與Mio結盟，以與Slack及Teams等第三方平臺互動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://workspaceupdates.googleblog.com/2023/08/goolge-chat-slack-interoperability-mio.html" target="_blank">Google本周宣布</a>，已與協作互動解決方案供應商Mio合作，讓Google Chat得以與Slack及Teams等第三方傳訊平臺互動，讓採用不同通訊平臺的使用者能夠進行跨平臺的無縫交流。目前此一服務仍為測試版，預計於明年初正式上線。</p> <p>創立於2016年的Mio原本便致力於開發跨傳訊服務的協作能力，扮演中介軟體的角色，以支援Google Chat、Microsoft Teams、Slack、Cisco Webex與Zoom等不同平臺之間的交流，在2021年的870萬美元A輪增資，更是由打造傳訊服務的Zoom與思科所主導。</p> <p><a href="https://dispatch.m.io/mio-launches-google-chat-interop-with-microsoft-teams-slack-webex-and-zoom-team-chat/" target="_blank">根據Mio的說明</a>，透過此一合作，Google Chat用戶將可保持在該平臺上，並與其他採用不同平臺的同事們私訊或進行群組聊天，亦支援檔案分享、編輯/移除訊息、表情符號、動畫檔、回應或子討論串等功能。</p> <p class="rtecenter"><img alt="" src="https://dispatch.m.io/wp-content/uploads/2023/08/Google-App-Store-p1-1-680x425.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Mio</span></span></p> <p>Mio在2019年所進行的一項調查顯示，有91%的企業使用至少2種的傳訊程式，代表跨平臺傳訊的確是個重要的企業功能。</p> <p>該服務將支援Google Workspace的各種版本，但必須另外取得Mio的服務授權。</p> </div></div></div>
2023/9/1 11:34作者陳曉莉https://www.ithome.com.tw/news/158539
AI在無人機競速比賽戰勝世界冠軍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘇黎世大學與英特爾研究人員<a href="https://www.news.uzh.ch/en/articles/media/2023/Drone-race.html">開發</a>一個人工智慧無人機操縱系統Swift，該系統在模擬環境密集訓練後，便可以在現實環境中靈活駕駛無人機，甚至在第一人稱視角無人機競賽中，勝過3名世界冠軍選手。</p> <p>人工智慧已經可以在圍棋或是電玩遊戲中勝過人類，而現在研究人員對於人工智慧技術的發展又往前邁進一步，開發了第一個可以在無人機競賽中擊敗人類冠軍的自動化系統。過去自動駕駛的無人機完成賽道的時間，是人類駕駛的2倍，除非仰賴外部追蹤系統，才能精確控制軌跡。</p> <p>而新開發的Swift系統厲害之處，便是可以仰賴機載攝影機所收集的資料，即時作出反應，就如同人類賽車手一樣，Swift系統整合了慣性測量單位測量加速度和速度，並使用人工神經網路計算相機資料，在空間中定位無人機，並同時偵測賽道閘門。</p> <p>也就是說，無人機除了可以感測自身運動狀態，透過人工智慧網路與攝影機，就可確定自己在空間中的位置和賽道上的物件。這些資訊被送往以深度神經網路技術為基礎的控制單元，即時選擇能夠盡快速完成賽道的最佳行動。</p> <p>Swift在模擬環境中，使用增強學習經過反覆試驗自學飛行，研究人員盡可能確保模擬環境的動作結果與現實世界一致，藉由利用外部位置追蹤系統提供的精確位置資訊，讓無人機在學習自主飛行時，可以比對攝影機的資料，自動糾正機載感測器解釋資料的錯誤。</p> <p>經過一個月的模擬訓練，Swift系統挑戰了2019年無人機競賽聯盟冠軍Alex Vanover、2019 MultiGP無人機競賽冠軍Thomas Bitmatta，還有獲得三次瑞士無人機競賽冠軍的Marvin Schaepper。他們在25x25公尺競賽場地中，一個由7個方形閘門組成的賽道比賽，無人機必須要按順序穿過所有閘門才算一圈，其中還必須完成Split-S這種可以快速改變飛行方向的特技動作。</p> <p>Swift系統以最快圈速完成比賽，比人類駕駛員最佳成績快半秒，但研究人員提到，目前人類操作員還是比無人機更具適應性，因為當實際條件和訓練條件不同，像是房間光線過多，無人機就會失效。</p> <p>挑戰無人機飛行速度的實際用處，研究人員提到，無人機的電池容量有限，飛得更快可以增加無人機的效用，像是在森林監測或是太空探索應用場景，快速飛行可以在有限時間覆蓋更大片的空間，而對於救援無人機也非常重要。</p> </div></div></div>
2023/9/1 12:13作者李建興https://www.ithome.com.tw/news/158541
Google雲端推出Memorystore for Redis叢集新服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google開始預覽<a href="https://cloud.google.com/blog/products/databases/memorystore-for-redis-cluster-launched">Memorystore for Redis Cluster</a>，新的Redis叢集服務提供微秒級延遲，較現有服務提供60倍以上的吞吐量，並且支援10倍以上的資料量。Memorystore for Redis Cluster是全託管服務，與開源專案完全相容，用戶可以藉由智慧節點區域分布，實現高可用性以及自動備份管理。</p> <p>用戶只需要透過Google雲端指令或是滑鼠點擊，就可以在零停機的情況下，將叢集擴展至TB等級，並達到Memorystore for Redis吞吐量的60倍。官方提到，因為他們改進Redis引擎的可擴展性，因此可以提供具差異化的Redis擴展體驗。</p> <p>Memorystore for Redis Cluster讓用戶不再需要於Compute Engine上，自行維護數十或是數百的Redis節點，也不用擔心高可用性區域分布，虛擬機器故障、Redis調校、備份管理或是擴展等繁瑣操作。由於Memorystore for Redis Cluster提供Memorystore for Redis原服務10倍以上的規模，因此用戶可以直接將較小的工作負載，整合到同一叢集中。</p> <p>Memorystore for Redis Cluster會自動跨區域分配Redis叢集節點，以實現最大的可用性和彈性，因此當用戶添加備份節點時，系統會自動將其放置在與主節點不同的區域中，以增加叢集的彈性，並保護資料不受區域中斷影響。</p> <p>同時，Memorystore for Redis Cluster還可以使用Private Service Connect（PSC），以私密安全連接確保流量不離開Google網路，而且PSC也可解決虛擬私有雲的對等限制，從任何雲端地區存取服務。</p> </div></div></div>
2023/9/1 08:16作者李建興https://www.ithome.com.tw/news/158527
中國駭客利用木馬化的Signal、Telegram應用程式散布間諜軟體BadBazaar
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者ESET揭露中國駭客組織GREF的攻擊行動，他們製作帶有間諜軟體BadBazaar的冒牌即時通訊軟體應用程式，名為FlyGram、Signal Plus Messenger，在Google Play市集、三星Galaxy Store上架，鎖定烏克蘭、波蘭、荷蘭、西班牙、葡萄牙、德國、香港、美國的Telegram及Signal使用者而來。</p> <p>而對於駭客發動攻擊的時間點，研究人員指出，駭客先是在2020年6月於Google Play市集上架FlyGram，後來Google在隔年1月將其下架，期間總共被下載超過5千次；Signal Plus Messenger則是在去年7月出現於Google Play市集，後來Google今年5月接獲ESET的通報後將其下架。</p> <p>研究人員指出，駭客也將上述兩款App上架到三星Galaxy Store，但截至8月30日，仍能從三星市集下載。</p> <p><a href="https://s4.itho.me/sites/default/files/images/badbazaar-figure-04.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/badbazaar-figure-04.png" style="width: 580px;" /></a></p> <p>除了將惡意App透過上述兩大安卓市集散布，駭客也架設專屬網站flygram[.]org、signalplus[.]org，來做為提供受害者下載的管道。</p> <p>然而，前述的3種管道之外，有鑑於BadBazaar曾被用於攻擊維吾爾族及突厥人，研究人員發現有人在2020年7月，透過超過1,300名成員的維吾爾Telegram頻道散布FlyGram。</p> <p>一旦使用者安裝了FlyGram，攻擊者就有可能取得設備的基本資訊，以及手機上的聯絡人名單、通話記錄、Google帳號等，同時也能盜取Telegram有關的部分配置資料（但不包括Telegram好友、對話內容或其他敏感資料）。然而，若是使用者透過FlyGram備份Telegram帳號，攻擊者就能得到這些資料，研究人員看到至少13,953個用戶啟用上述備份機制。</p> <p><a href="https://s4.itho.me/sites/default/files/images/badbazaar-figure-03.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/badbazaar-figure-03.jpeg" style="width: 280px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/badbazaar-figure-01-1-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/badbazaar-figure-01-1-2.png" style="width: 275px;" /></a></p> <p>若是使用者安裝了Signal Plus Messenger，攻擊者同樣能藉此取得手機資料，但有別於FlyGram的部分是，該惡意程式能監控受害者的Signal對話內容，並且竊取用於保護Signal帳號的PIN碼，以及濫用電腦版或iPad版應用程式與手機連結的功能。</p> <p><iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="602" src="https://www.youtube.com/embed/-CHGwdYEzVI" title="ESET research: Android users targeted by trojanized Signal and Telegram apps." width="339"></iframe></p> </div></div></div>
2023/8/31 23:46作者周峻佑https://www.ithome.com.tw/news/158537
駭客組織Earth Estries鎖定臺灣在內的多國政府機關、科技業者，從事網路間諜活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者趨勢科技揭露駭客組織Earth Estries的攻擊行動，該組織自今年初，開始針對臺灣、美國、德國、南非、馬來西亞、菲律賓的政府機關與科技業者下手，但也有印度、加拿大、新加坡組織受害。</p> <p>研究人員先是看到駭客成功入侵目標組織的伺服器，便利用管理者權限掌控既有的使用者帳號，然後部署Cobalt Strike來投放更多惡意程式，接著開始進行橫向移動，藉由網路資料夾共享（SMB）及WMI命令列工具（WMIC），在受害組織的其他電腦上，散布後門程式Zingdoor、HemiGate，竊資軟體TrillClient，以及其他作案工具。</p> <p>特別的是，駭客在每一輪攻擊工作當中，都會定期清除後門程式，然後在下一階段攻擊重新部署惡意程式，且將收集的資料進行歸檔，並使用curl.exe上傳至AnonFiles、File.io等檔案共用服務，駭客竊取資料的檔案類型，主要是PDF與DDF。</p> <p>根據駭客在這一波攻擊行動所使用的工具與手法來看，整體而言，研究人員認為Earth Estries背後的經營者握有高階資源，且在從事網路間諜具備複雜的技巧與豐富的經驗。而在攻擊行動所使用的戰術、技術、程序（TTP），Earth Estries與FamousSparrow存在共通之處。</p> <p>雖然這些駭客在攻擊過程，會使用多個後門程式與駭客工具來增加攻擊強度，但另一方面，他們也採取多種手法來減少行蹤曝露，像是使用PowerShell降級攻擊手法，來迴避Windows惡意軟體掃描介面（AMSI）的登入檢測機制，還有在下達命令或是竊取資料的過程裡，這些駭客濫用了GitHub、Gmail、AnonFiles、File.io等雲端服務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/earth-estries_figure01.jpg" style="width: 580px;" /></p> </div></div></div>
2023/8/31 23:38作者周峻佑https://www.ithome.com.tw/news/158536
【資安日報】8月31日，駭客組織Earth Estries從事網路間諜活動，包含臺灣在內的多國政府機關、科技業者成為目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客攻擊行動日益頻繁。幾乎每天都會出現在資安新聞當中，但今天更誇張，幾乎全部都與他們有關。這群駭客的攻擊目標從企業組織的應用系統、行動裝置應用程式、郵件安全閘道，甚至是透過社群網站來散布各式吹捧中國、批判西方國家的訊息。這樣的威脅態勢，可說是變得越來越險峻。值得留意的是，這些攻擊行動當中，大多都把臺灣視為主要目標，我們無法再置身事外。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.trendmicro.com/en_us/research/23/h/earth-estries-targets-government-tech-for-cyberespionage.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織Earth Estries鎖定臺灣在內的多國政府機關、科技業者，從事網路間諜活動</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/earth-estries_figure01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/earth-estries_figure01.jpg" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露駭客組織Earth Estries的攻擊行動，該組織自2020年開始活動，主要針對臺灣、美國、德國、南非、馬來西亞、菲律賓的政府機關與科技業者下手，但也有印度、加拿大、新加坡組織受害。</p> <p>研究人員先是看到駭客成功入侵目標組織的伺服器，便利用管理者權限掌控既有的使用者帳號，然後部署Cobalt Strike來投放更多惡意程式，接著開始進行橫向移動，藉由網路資料夾共享（SMB）及WMI命令列工具（WMIC），在受害組織的其他電腦後，散布後門程式Zingdoor、HemiGate，竊資軟體TrillClient，以及其他作案工具。</p> <p>特別的是，駭客在每一輪攻擊工作當中，都會定期清除後門程式，然後在下一階段攻擊重新部署惡意程式，且將收集的資料進行歸檔，並使用curl.exe上傳至AnonFiles、File.io等檔案共用服務，駭客竊取資料的檔案類型，主要是PDF與DDF。</p> <p><a href="http://www.welivesecurity.com/en/eset-research/badbazaar-espionage-tool-targets-android-users-trojanized-signal-telegram-apps/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客利用木馬化的Signal、Telegram應用程式散布間諜軟體BadBazaar</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/badbazaar-figure-01-1-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/badbazaar-figure-01-1-2.png" style="width: 300px; float: right;" /></a>資安業者ESET揭露中國駭客組織GREF的攻擊行動，他們製作帶有間諜軟體BadBazaar的冒牌即時通訊軟體應用程式，名為FlyGram、Signal Plus Messenger，在Google Play市集、三星Galaxy Store上架，鎖定烏克蘭、波蘭、荷蘭、西班牙、葡萄牙、德國、香港、美國的Telegram及Signal使用者而來。</p> <p>一旦使用者安裝了FlyGram，攻擊者就有可能取得設備的基本資訊，以及手機上的聯絡人名單、通話記錄、Google帳號等，同時也能盜取Telegram有關的部分配置資料（但不包括Telegram好友、對話內容或其他敏感資料）。然而，若是使用者透過FlyGram備份Telegram帳號，攻擊者就能得到這些資料，研究人員看到至少13,953個用戶啟用上述備份機制。</p> <p>若是使用者安裝了Signal Plus Messenger，攻擊者同樣能藉此取得手機資料，但有別於FlyGram的部分是，該惡意程式能監控受害者的Signal對話內容，並且竊取用於保護Signal帳號的PIN碼，以及濫用電腦版或iPad版應用程式與手機連結的功能。</p> <p><a href="https://www.mandiant.com/resources/blog/unc4841-post-barracuda-zero-day-remediation"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客組織鎖定Barracuda郵件閘道漏洞攻擊政府機關、電信業者</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/barracuda-post-remediation-fig4a.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/barracuda-post-remediation-fig4a.png" style="width: 300px; float: right;" /></a>8月29日資安業者Mandiant揭露對於Barracuda郵件安全閘道（ESG）零時差漏洞攻擊的最新發現，中國駭客組織UNC4841於去年10月至今年6月，利用CVE-2023-2868發動攻擊，並在11月上旬開始出現顯著升溫的情況，僅有農曆新年（1月20日至22日）略為下降。</p> <p>而到了5月23日Barracuda發布資安通告之後，這類攻擊行動又出現2波，第一次是在公告的數日之後，駭客重新調整攻擊的手段，第二次則是在6月上旬，攻擊者採用更多新的惡意程式，包括Skipjack、Depthcharge、Foxtrox、Foxglove等，目的是為了維持在特定受害組織持續進行活動。Skipjack主要被用於監聽特定的信件標頭及主旨，然後執行惡意內容；Depthcharge則是利用LD_PRELOAD環境參數，藉由Barracuda SMTP的Deamon處理程序載入、執行，接收加密的命令；比較值得留意的是Foxtrox與Foxglove，有別於研究人員發現的惡意程式，這兩個惡意軟體並非專門針對ESG而來，駭客可能以此攻擊其他應用系統。</p> <p>而對於這起攻擊的目標，研究人員指出近三分之一是政府機關、高科技產業及資訊業者、電信業者、製造業，而且，臺灣及香港的貿易辦公室與學術研究機構，以及東南亞國協的外交部，這些單位的網域名稱及使用者，都遭到鎖定，駭客利用Shell指令碼發動攻擊。</p> <p><a href="https://scontent.fomr1-1.fna.fbcdn.net/v/t39.8562-6/10000000_180063885098584_6098733693167598956_n.pdf?_nc_cat=110&ccb=1-7&_nc_sid=ae5e01&_nc_ohc=xfoti16XMyMAX-pqO0p&_nc_ht=scontent.fomr1-1.fna&oh=00_AfD06WIDvlYSGGZl5Qr59HvXtg3cvVeaMfm9Ehzu7PbL4g&oe=64F1F5AE"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Meta掃蕩近8千個散播垃圾訊息發送帳號，當中包含趁機刻意吹捧中國、仇視西方國家的駭客</span></strong></a></p> <p>8月28日Meta發布今年第二季的對抗威脅報告（Adversarial Threat Report），當中提及名為Spamouflage的大規模攻擊行動，駭客活躍於超過50個社群網站，包括：臉書、Instagram、抖音、YouTube、X（原推特），他們大力讚揚中國與新疆省、批判美國等西方國家的外交政策、轉載記者與研究人員對中國政府的批評。</p> <p>這些駭客主要目標是臺灣、美國、澳洲、英國、日本，以及其他使用中文的用戶，總共設置了超過7,700個臉書帳號、15個Instagram帳號來散布垃圾訊息，Meta表示，這是他們有史以來規模最大的掃蕩行動。而對於攻擊來源，該公司表示來自中國，他們找到該國執法部門人士與這起攻擊行動有關的跡象。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.vmware.com/security/advisories/VMSA-2023-0018.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">VMware修補虛擬化環境網路維運系統的身分驗證繞過漏洞</span></strong></a></p> <p>8月29日VMware針對旗下的Aria Operations for Networks（原名vRealize Network Insight）發布資安通告，指出該系統存在漏洞CVE-2023-34039、CVE-2023-20890，影響6.10以前的版本（6.11版不受影響）。</p> <p>上述漏洞最嚴重的是身分驗證繞過漏洞CVE-2023-34039，起因是該系統在驗證流程裡，使用相同的加密金鑰，攻擊者可用於繞過SSH身分驗證流程，進而存取該網路監控系統的命令列介面（CLI），CVSS風險評分為9.8。</p> <p>另一個漏洞CVE-2023-20890，與檔案任意寫入有關，攻擊者若是取得管理權限，就有機會藉此遠端執行任意程式碼（RCE），CVSS風險評為7.2分。對此，VMware針對6.2至6.10版Aria Operations for Networks，發布KB94152更新程式予以修補。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/158498"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資安院定義19類資安人才類別，首波培訓課程針對資安長而來</span></strong></a></p> <p>由於資安面向廣泛、技能需求多元，過去美國曾發布NICE網路安全人才框架，到了2022年10月，歐盟網路安全局（ENISA）亦發布ECSF網路人才技能框架，定義出資安團隊12種角色。2022年初，國家資通安全研究院開始積極行動，先從供給與需求面來調查臺灣資安人才現況；今年初接續打造適合我國的通用資安職能基準，強調以ECSF的12類人才為基礎，建構符合國需求的資安人才類別雛形。</p> <p>在8月24日舉行的研討會，資安院宣布最新的工作成果，當中揭露2023臺灣資安人才培力研究報告的藍皮書，資安院副院長林盈達表示，我國資安人才類別框架的發展，已定義「12+7」種類型，並完成政府與民間的資安課程開設調查，提出未來開課方向的建議，林盈達預告，培訓課程將從資安長的人才類別先啟動，預計最晚今年底就會開設。</p> <p>這19種資安工作的角色，包括與ECSF框架共通的12種，以及額外新增的資安系統規畫師、資安顧問師、資安專案經理、資安檢測工程師、資安系統維運員、資安監控防禦工程師、漏洞分析工程師等7種。</p> <p><a href="https://security.apple.com/blog/security-research-device-program-2024/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果開放2024年iPhone資安研究設備專案申請</span></strong></a></p> <p>8月30日蘋果宣布2024年度的iPhone安全研究設備專案（SRDP），研究人員可在10月31日前提出申請，若是通過審核，將能取得用於安全研究的專屬設備（SRD），這是停用安全功能且具備Shell存取權限的iPhone 14 Pro裝置，使得資安人員能進行更多有關的研究，如：安裝自製的核心並用來開機、在非沙箱環境以root權限執行任意程式碼、設定NVRAM參數、針對iOS 17的新功能Secure Page Table Monitor（SPTM）及Trusted Execution Monitor（TXM）部署自製韌體。</p> <p>而對於這項專案的執行成果，蘋果指出，自2019年發起至今，研究人員總共找出130個極具影響力的重大漏洞，近半年取得37個CVE編號，蘋果也為研究人員提供獎勵，最高達到50萬美元，中位數則為1.8萬美元。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://twitter.com/Shadowserver/status/1696512418036486246"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Juniper防火牆重大漏洞已出現攻擊行動</span></span></strong></a></p> <p><a href="http://blogs.juniper.net/en-us/threat-research/dreambus-botnet-resurfaces-targets-rocketmq-vulnerability"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">分散式資訊流平臺RocketMQ遭鎖定，被植入殭屍網路病毒DreamBus</span></span></strong></a></p> <p><a href="https://www.trendmicro.com/en_us/research/23/h/mmrat-carries-out-bank-fraud-via-fake-app-stores.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">安卓惡意軟體MMRat利用Protobuf通訊協定竊取資料</span></span></strong></a></p> <p><a href="https://www.deepinstinct.com/blog/contain-yourself-staying-undetected-using-the-windows-container-isolation-framework"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Windows的容器隔離框架有可能讓攻擊者繞過安全防護機制</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/158475"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">GitLab遠端呼叫元件Gitaly全面支援SHA-256</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158501">【8月30日】駭客在PDF檔案裡埋藏惡意Word文件來發動攻擊，藉此躲過資安系統偵測</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158482">【8月29日】勒索軟體LockBit製作工具外流，不到一年出現近400個變種</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158458">【8月28日】中國駭客Flax Typhoon鎖定臺灣組織而來，發動寄生攻擊</a></strong></p> </div></div></div>
2023/8/31 16:59作者周峻佑https://www.ithome.com.tw/news/158534
公務人員使用生成式AI有法可循，行政院通過所屬機關使用生成式AI參考指引
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行政院今天（8/31）通過由國科會所擬定的「行政院及所屬機關（構）使用生成式AI參考指引（草案）」，未來將由國科會持續觀察全球AI發展趨勢滾動調整。這份指引不只行政院所屬機關，也可供以外的其他機關參考，訂定自己的管理規範。</p> <p>行政院指示國科會未來持續觀察全球發展趨勢修正指引，供各機關參考，並請各部會依其業務需要，訂定使用生成式AI的規範或內控管理措施。數位部帶頭建立相關規範及訓練機制，讓政府部門運用AI提升行政效率。</p> <p>行政院長陳建仁指出，自去年ChatGPT推出之後，生成式AI可取代部分腦力，相關的應用的確非常重要，但是對個人、社會、國家安全帶來潛在的風險及衝擊，需由科技、產業發展、人才及治理等各方面積極布局，以正面因應挑戰，回應國內外社會挑戰、維持國家安全。參考指引的提出，將為各行政機關使用生成式AI建立基本原則，對生成式AI的使用有一致認知、正確使用。</p> <p>國科會表示，這份參考指引主要參依其他國家作法、AI技術發展、法制專家，以及12個部會擬定，先前參考指引草案先公布在公共政策平臺上，對外徵求各界意見進行調整，並送行政院裁定，政院通過後，後續由國科會簽核，函頒給各機關參考。</p> <p>國科會引用歐盟對生成式AI的定義，將其視為一種電腦程式，目的為學習人類製作（Human-made)的內容，其大量蒐集、學習、產生的資料，可能侵害智慧財產權、人權或業務機密，生成的內容，也因學習資料的品質、數量，導致真假難辨、虛造的訊息，需客觀評估帶來的衝擊及風險。</p> <p>國科會指出，參考指引是讓行政機關所有依循，各機關可視其業務需求，參考這份指引另訂使用規範、內控管理措施。各機關人員可使用生成式AI，但仍要抱持負責任、可信賴態度，掌握自主權、控制權，基於安全性、隱私性、資料治理及問責等原則，不可揭露未公開的公務資訊、個資，不能完全信任生成的資訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/guideline.jpg" style="width: 600px; height: 339px;" /></p> <p>參考指引適用於公營事業、公立學校、行政法人及政府捐助的財團法人，指引共計有10條，其中幾項重要的規範包括，使用生成式AI產生的內容，應由承辦人員依客觀及專業進行判斷，不可取代承辦人自主思維。機密文書應由人員親自撰寫，禁止使用生成式AI。</p> <p>另外，指引也要求承辦人員不可向生成式AI提供公務上應保密、未經個人或機關同意公開的資訊，也不能向生成式AI詢問涉及機密資料、個人資料的問題。另外，考量到生成式AI未來部署於地端的使用情境，需確認系統環境安全性，再依機密等級分級使用。</p> <p>各機關不可完全信賴生成的內容，在未經確認下，直接作為行政行為或當成公務決策的唯一依據。使用生成式AI作為業務執行的輔助工具，應適當揭露。授權各機關提出使用規範及內控措施。各機關進行採購，委託的法人、團體或個人也應注意參考指引，遵守機關訂定的內控規範。　</p> <p>除了先頒布公務機關使用生成式AI參考指引，讓公務相關人員有法可循，國科會主委吳政忠先前也透露，行政院正在規畫我國的AI基本法，為臺灣在研發及應用AI的整體規範。</p> </div></div></div>
2023/8/31 17:25作者蘇文彬https://www.ithome.com.tw/news/158533
美國著作權局針對生成式AI所衍生的版權問題徵求公眾意見
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國著作權局（U.S. Copyright Office）周三（8/30）針對生成式AI的版權問題，<a href="https://www.govinfo.gov/content/pkg/FR-2023-08-30/pdf/2023-18624.pdf" target="_blank">於《聯邦公報》（Federal Register）上發布了意見諮詢通告（Notice of Inquiry，NOI）</a>，打算蒐集公眾意見及回應，以作為制定AI版權政策與法規的參考。</p> <p>此一NOI企圖理解與生成式AI有關的各種版權問題，涵蓋以具版權的資料來訓練AI模型，使用這些版權資料應有的透明度與披露程度，AI作品的法律地位，也將討論那些模仿人類藝術家的個人特質，卻是由AI生成的作品該如何被對待。</p> <p>在OpenAI去年底以ChatGPT引爆生成式AI的話題之後，美國著作權局即於今年3月成立AI倡議（Artificial Intelligence Initiative），為的便是解決由生成式AI所衍生的複雜版權問題，迄今已舉行4場公聽會與2場網路研討會，NOI則為官方針對特定議題的意見蒐集。</p> <p>接受評論與意見的截止日為10月18日，針對這些評論/意見的回應截止日則是11月15日。</p> </div></div></div>
2023/8/31 15:48作者陳曉莉https://www.ithome.com.tw/news/158526
IEEE Spectrum年度頂尖程式語言排名Python穩坐第一
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IEEE旗艦刊物<a href="https://spectrum.ieee.org/the-top-programming-languages-2023">IEEE Spectrum公開2023年最新的頂尖程式語言（TPL）排名</a>，Python不意外地在Spectrum排名中位居第一名，並且繼續擴大領先優勢，而在工作職能需求的排名上，SQL則排名第一位。</p> <p>IEEE Spectrum 2023年頂尖程式語言排名有三個類別，分別是Spectrum、工作和趨勢。Spectrum的排名反應了典型IEEE成員對程式語言的需求，而工作類別顯示當前相關工作所需要的程式語言技能，趨勢則代表著當代特別流行或受到重視的程式語言。</p> <p>在不少程式語言排名，都可看到Python的強勢表現，頂尖程式語言排名也不例外，IEEE Spectrum官方提到，Python程式語言的主宰地位，似乎主要是犧牲較小和更專門化的語言作為代價。也就是說，Python各種強大並廣泛的函式庫，且在人工智慧領域扮演不可或缺的角色，隨著Python使用率和受歡迎程度上升，更小且具特定用途的語言使用率隨之下降。</p> <p>官方指出，雖然高階運算的摩爾定律效應正在衰退，但是低階微控制器的運算能力正逐漸提升，因此當前低價的CPU只要具有足夠的運算能力，即便執行Python需要多出直譯器的運算成本開銷，Python仍可成為嵌入式開發的競爭者。</p> <p>由於Python容易學習和資源豐富，官方提到許多兒童與青少年都以Python，當作學寫第一個程式的語言，如此之後便可使用同一語言開發更進階的程式，甚至用於工作，而這將有助於Python鞏固其地位。</p> <p>而在工作需求上SQL排名第一，但官方表示，通常沒有單純SQL程式開發者的工作，因此仍需要結合Java或是C++程式開發技能，同時也提醒，無論是第一名的SQL還是第二名的Python，在程式開發領域都尚未形成單一文化，各類C語言受歡迎程度綜合起來還是超過Python，Python直譯器在效能上仍然影響很大，對於高效能或是低資源需求的任務，仍需要C語言。</p> <p>雖然Python強勢，不過IEEE Spectrum調查也發現，有部分語言仍保有一定的優勢，不被Python龐大的生態系吸收，像是資料科學家愛用語言R，雖然Python函式庫提供了相似分析和圖形功能，但是R仍然備受歡迎。官方表示，R語言在語法和函式的特殊性，使得R腳本難以移植，所以如果要移植或是更換語言，研究人員就必須重新學習一個語言並重建所有工作，這也就是大部分研究人員繼續使用R，而非轉用其他語言的原因。</p> <p>而早期程式語言Fortran、Cobol也有同樣的情況，許多物理模擬和科學運算仍然需要Fortran程式開發者，即便是當前銀行招聘金融科技開發人員，更需要的職能是Cobol語言而非是加密專長。</p> <p>IEEE Spectrum的頂尖程式語言排名，是將多個流行指標組合在一起，反映出不同受眾的不同需求，其<a href="https://spectrum.ieee.org/top-programming-languages-methodology">參考的資料來源</a>包含Google、Stack Overflow、IEEE Xplore Digital Library、IEEE求才網站、CareerBuilder求職網站、GitHub、三一學院圖書館與Discord。</p> </div></div></div>
2023/8/31 15:57作者李建興https://www.ithome.com.tw/news/158524
Mac版Visual Studio將在明年退役
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/visualstudio/visual-studio-for-mac-retirement-announcement/" target="_blank">微軟於周三（8/30）宣布</a>，Visual Studio for Mac整合開發環境（IDE）即將退役，微軟只會支援Visual Studio for Mac 17.6到2024年的8月31日，建議使用Mac的開發者可以改用其它工具，或者是透過Mac與雲端上的虛擬機器來執行Visual Studio IDE。</p> <p>根據微軟的規畫，該公司將不會再對Visual Studio for Mac添增新的框架、Runtime或所支援的語言，但在明年8月31日之前，仍會持續提供必要的更新，諸如修補臭蟲與安全漏洞的服務更新，或者是來自蘋果的平臺更新，也會繼續更新Runtime與工作負載，以讓開發者能持續建置與遞送採用.NET 6、.NET 7及Mono框架的應用程式。</p> <p>此外，儘管是非正式的，微軟也會在Visual Studio for Mac中啟用對.NET 8的基本支援，以協助開發者建置程式及替程式除錯。</p> <p>但自明年的8月31日開始，就只有Visual Studio訂閱用戶可自my.visualstudio.com下載舊版Visual Studio for Mac，即便仍可安裝與使用，但已無任何服務或維護。</p> <p>微軟也提出了許多替代方案供Mac開發者參考，其中之一為採用C# Dev Kit、.NET MAUI 及Unity等Visual Studio Code（VS Code）的擴充套件，這些擴充套件是專為.NET及C# 開發者強化VS Code能力而設計的，雖然皆仍處於預覽階段，但其功能與體驗將會隨著正式版的問世而改善，而且它們也可直接於macOS上執行。</p> <p>此外，Mac用戶也能藉由於Mac上安裝虛擬機器，以執行Windows與Visual Studio IDE，或是透過Microsoft Dev Box雲端開發箱的虛擬機器來執行Visual Studio IDE。</p> </div></div></div>
2023/8/31 15:00作者陳曉莉https://www.ithome.com.tw/news/158523
Google推出Workspace碳足跡儀表板，能追蹤Gmail、Docs等辦公室生產力服務碳排數據
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年NEXT大會上，Google Cloud不僅推出了許多生成式AI的雲端新服務外，還宣布不少與永續發展相關的計畫，其中之一是開始支援追蹤Google生產力服務Workspace的碳排放數據，包括Gmail、Meet、Docs等，這將使得企業未來在Gmail或Google文件使用的碳排放數據將能一併追蹤和管理，以因應組織碳盤查需求。</p> <p>Google Cloud早在3年前就開始在雲端服務中提供碳足跡儀表板（Carbon Footprint）工具，當時透過這套工具，可追蹤每個帳戶的碳排放用量，使企業用戶能夠根據排放量來評估遷雲所節省的排放量，並採取相關措施，以降低碳排放。</p> <p>現在，Google Cloud進一步將這個儀表板帶進Google的Workspace生產力服務中，推出了Google Workspace碳足跡儀表板工具，進一步擴大對於產品碳足跡支援範圍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap42(3).png" style="width: 600px; height: 394px;" /></p> <p>透過這個碳足跡儀表板工具，管理者只需從主控臺便可察看Workspace服務的碳足跡和總排放量，還能進行不同年、月份分析比較，了解碳排量在不同時段的變化趨勢，此外，還能查看個別生產力工具的排放影響，包括Gmail、Meet、Docs等，讓企業可以依據排放量高低來擬定減量計畫。</p> <p>不只企業用戶可以追蹤Google的Workspace碳排數據，另一家企業辦公室應用巨頭微軟在這之前已有推出排放影響儀表板，可以追蹤其辦公室應用Microsoft 365使用的相關排放量，包含Word、Excel、PowerPoint、Outlook等服務。</p> <p>除了提供產品碳足跡之外，Google Cloud還有推出氣候變遷相關工具，例如在Google地圖平臺中釋出三個新的環境API，分別提供太陽能、花粉和空氣品質的環境數據，開發人員、企業可以使用API取得這些環境數據，然後將其運用在環境改善，降低對氣候變遷的影響。例如太陽能板安裝人員可以利用太陽能 API 獲取有關建築物日照情況的數據，來幫助他們找到適合安裝太陽能板的建築物或位置。</p> <p>另外，在Google Earth Engine地球引擎中，還新增了BigQuery資料倉儲連接器，使企業更容易地將Google Earth表格數據匯入到BigQuery服務中進行分析，了解公司營運對環境的影響，制定改善對策。</p> </div></div></div>
2023/8/31 12:24作者余至浩https://www.ithome.com.tw/news/158517
有25%的惡意程式會濫用合法網路服務，Pastebin及Telegram最受駭客青睞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有愈來愈多的駭客利用合法網路服務來展開攻擊，於合法流量中暗藏惡意行為，以削弱傳統的防禦能力，並提高攻擊行動的效率，<a href="https://go.recordedfuture.com/hubfs/reports/cta-2023-0816.pdf" target="_blank">美國資安業者Recorded Future分析</a>了全球逾400款惡意程式家族，顯示有高達25%會濫用合法網路服務，當中更有68.5%使用超過一種的合法網路服務。最常遭到濫用的雲端儲存服務為Pastebin，而最常被駭客利用的傳訊程式則是Telegram。</p> <p>研究人員指出，以合法網路服務充當駭客的命令暨控制（C2）基礎設施，好處除了閃避偵測之外，還可因簡化C2安裝程序與代管費用來減少成本，亦能依賴合法服務的可靠及穩定性，而讓駭客趨之若鶩。</p> <p>駭客以這些合法服務充當完整的C2基礎設施，有時也將它們當作取得真正C2的中繼站，或是以它們來遞送惡意負載，以及作為滲出（Exfiltration）之用。</p> <p>最常利用合法網路服務的惡意程式類別為資訊竊取程式，占了37%，其它依序是行動惡意程式（17%）、RAT/木馬程式（15%）與Loaders/Droppers（14%）。</p> <p>至於最常遭到濫用的服務類別前五名依序是雲端儲存（43%）、即時傳訊（30%）、電子郵件服務（14%）、社交媒體（13%）及程式碼儲存庫（9%）。在被濫用的雲端儲存中，居冠的是原始碼分享平臺Pastebin，占了26.4%，Google Drive以24.5%緊追其後，Dropbox也以7.5%排名第三。</p> <p>在被濫用的即時傳訊程式中，Telegram以高達66.7%的比例遙遙領先第二名的Discord（27.8%），而Firebase Cloud Messaging與Slack則各占2.8%。有趣的是，不管是利用Telegram或Discord的惡意程式，都有超過8成屬於資訊竊取程式。</p> <p>對於這些濫用合法服務展開攻擊的防禦上，Recorded Future建議組織可以考慮於企業網路中封鎖特定服務，或是調查特定服務的使用，使用包含YARA及Sigma規則的偵測類型，實施TLS網路監聽，探取主動威脅偵測，以及在攻擊模擬中加入濫用合法服務的場景等。</p> </div></div></div>
2023/8/31 12:14作者陳曉莉https://www.ithome.com.tw/news/158520
蘋果讓研究人員找出130多項iPhone重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iPhone 15公布在即，蘋果再次強調iPhone的安全性，<a href="https://security.apple.com/blog/security-research-device-program-2024/" target="_blank">昨（30）日公布過去4年來</a>，蘋果在和安全研究人員合作下，修補了iPhone超過130項重大漏洞。</p> <p>蘋果從2019年起，<a href="https://www.ithome.com.tw/news/141843" target="_blank">在安全研究裝置方案（Security Research Device Program）下提供特別準備的iPhone給參與計畫的研究人員</a>，允許他們找出iOS安全漏洞而無需苦苦繞過種種安全防護。最重要的是，在這計畫下通報的任何漏洞，都會列入蘋果安全獎勵方案給予獎金。蘋果指出，自4年前推行以來，SRDP研究人員共發現130項高影響性的重大安全漏洞，研究發現使蘋果得以實作緩解方案以保護iOS平臺。單單在過去6個月內，研究人員發現就有36項列為漏洞，受影響元件涵括XNU核心、核心擴充程式、XPC服務。</p> <p>有些在本方案找到的安全漏洞也拿到了蘋果頒發的抓漏獎勵。歷來透過SRDP，蘋果共針對100多項漏洞頒發50萬美元獎金，獎金中位數約為1.8萬美元。</p> <p>今年SRDP計畫又開始了。今年SRDP的核心主體是一為安全研究特製的iPhone 14 Pro，加上一些相關工具，供研究人員可以使用，他們可以選擇任何策略來設定或關閉iOS的進階安全防護，這些防護在平常iPhone上是不可能為一般用戶關閉的。</p> <p>在這項方案中，蘋果允許研究人員安裝和啟用核心快取、以任何權限執行任意程式碼，包括以平臺或以根權限。他們也可以設定SNVRAM變項、安裝和啟動iOS 17上的SPTM（Secure Page Table Monitor）及TXM（Trusted Execution Monitor）。而即使一些通報的漏洞已經先行修補過，參與者仍然可以在特製的iPhone上持續其研究。</p> <p>每年他們會根據過去在iPhone以外的研究成果邀請一些安全研究人員加入SRDP，寄發這些特製iPhone，也讓大學教師參與本計畫作為電腦資安教學之用。老師可申請授權，以便在課堂或實驗室使用這些iPhone。</p> <p>今年SRDP即日起接受報名至10月31日為止。<a href="https://security.apple.com/research-device" target="_blank">有意參加者可透過報名網址報名</a>，蘋果會在今年年底前審查所有提交的研究報告，並在2024年初通知優異的參賽者。</p> </div></div></div>
2023/8/31 10:54作者林妍溱https://www.ithome.com.tw/news/158514
Google推企業級Colab筆記本，強化安全與法遵功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google針對生成式人工智慧應用程式開發，<a href="https://cloud.google.com/blog/products/ai-machine-learning/vertex-ai-colab-enterprise-and-mlops">釋出諸多新工具與功能</a>，而這包含新的企業版Colab，並在全託管機器學習工具Vertex AI支援分散式運算框架Ray，同時還推出一系列MLOps功能，簡化模型調校、評估與使用。</p> <p>Google新推出企業版Colab公共預覽版，企業版Colab是一個全託管服務，除了原先Google Colab筆記本的功能之外，還添加企業級安全性和法遵支援。Google Colab是由Google研究院開發的熱門雲端Jupyter筆記本，每月活躍使用者達700萬人，Colab讓使用者可以在瀏覽器中執行Python程式碼，支援圖表、圖像、HTML與LaTeX等多元內容，並且能夠方便地在團隊中共享專案。</p> <p>企業版Colab加入Vertex AI支援，可以存取Vertex AI ePlatform上各式模型、調校工具、運算資源和機器類型，還有各種資料科學和MLOps工具。特別的是，企業版Colab有一個新的協作工作區，能夠探索、分享和預測BigQuery中的資料，官方提到，企業版Colab可以供用戶在BigQuery中啟動筆記本，以探索和準備資料，並且在Vertex AI打開同一筆記本，繼續使用專門的人工智慧基礎設施和工具工作，團隊間可透過企業版Colab高度協作，消除資料和人工智慧工作負載間的界限。</p> <p>已經支援TensorFlow、PyTorch、scikit-learn和XGBoost等諸多框架的Vertex AI，現在進一步新增Ray框架。Ray是一個開源分散式運算框架，主要用來建置、執行大規模分散式人工智慧與Python應用程式。由於Vertex AI上包括企業版Colab、訓練、預測和MLOps功能等跨工具整合，用戶可以在現有Vertex AI工作流程應用Ray框架。</p> <p>資料科學家的工作流程，可從Vertex AI目錄中選擇模型開始，選用像是Llama 2、Dolly、Falcon、Stable Diffusion等模型，並在企業版Colab中開啟，進行實驗、調整和原型設計，接著Ray框架便可充分運用運算資源，訓練生成式人工智慧模型。</p> <p>除此之外，Google也針對生成式人工智慧推出新的MLOps功能，提供跨模式調校功能，PaLM 2 Text現在能以監督式調校之外，可根據人類回饋進行增強學習的RLHF（Reinforcement Learning from Human Feedback）功能也在預覽階段。還在文生圖模型Imagen加入Style Tuning調校方法，用戶只要提供10個參照圖像，Imagen就能創建符合品牌形象的圖像。</p> <p>另外，用戶也可以透過自訂義指標，來評估模型的品質，以利後續迭代與改進，而Automatic Side by Side功能，則是運用大型模型評估正在測試的模型輸出，以擴大人類評估的規模。Google更在多個儲存服務中添加向量支援，使開發者可以更簡單地操作嵌入，強化人工智慧應用。</p> </div></div></div>
2023/8/31 08:33作者李建興https://www.ithome.com.tw/news/158502
直播平臺17Live指控綠界科技金流系統出現漏洞，導致他們面臨大量欠款，因而要求綠界還錢，目前雙方各執一詞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>線上支付業者綠界科技於8月29日於股市公開觀測站發布重大訊息，針對直播平臺17Live聲稱他們的支付平臺出現漏洞，導致該直播平臺用戶交易資料出現被竄改的情況做出說明，指出起因是17Live在7月25日詢問撥款事宜，他們當天確認後緊急調整程式邏輯判斷因應，兩家公司共同決定報請警察單位協助調查，綠界強調程此式邏輯瑕疵，非屬綠界核心系統，為單一個案、未影響其他會員之權益，綠界判斷這非屬重大資安事件。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ecpay-17live_20230830.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ecpay-17live_20230830.png" style="width: 580px;" /></a></p> <p>根據綠界發布的重大訊息，他們並未正面說明支付平臺是否存在漏洞，僅承認程式邏輯出現瑕疵，並強調因為非屬公司核心系統、僅有個案為由，聲稱本起事件並非重大資安事件。</p> <p>對此，17Live指控這份重大訊息的說明並非事實，該公司指出此支付系統去年5月就出現異常，綠界當時就察覺，直到他們在今年7月察覺前月帳款有誤並要求對帳，才發現數個月都出現短收的情況，累計金額超過1千萬元，光是異常交易就超過400筆，而非綠界所說的單一個案。</p> <p>此外，他們也與綠界多次協商，綠界都告知該公司是駭客入侵竄改資料，強調他們沒有責任，這樣的說法也與重大訊息提到的程式邏輯瑕疵不同。17Live認為，綠界事發後迴避契約的責任，不願支付超過千萬元的帳款，他們將提起訴訟，要求綠界履約。</p> </div></div></div>
2023/8/30 23:45作者周峻佑https://www.ithome.com.tw/news/158504
BTC建議：整合FHIR標準、成立國家級中心來推動生醫大數據資料治理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年度行政院生技產業策略諮議委員（BTC）會議今日（8/30）閉幕，BTC委員楊泮池代表BTC總結5大領域建議，比如在智慧醫療和醫療IT系統領域，政府應跨部會推動醫療體系的HIS和FHIR標準整合，而衛福部展開的次世代數位醫療平臺計畫，應衡量是否符合「次世代」和「公私協力」兩大原則。BTC也針對生醫大數據領域，建議政府成立國家級健康資料研究中心，來完備健康資料治理和應用研發，特別是推動資料互通性和可用性。</p> <p><span style="font-size:22px;"><strong>智慧醫療建議：商品應重跨院／跨國驗證，次世代HIS政策應符合次世代和PPP原則</strong></span></p> <p>BTC有如國家智庫，他們提出的建議，常成為政府各部會推動新政策的重要參考。這次，BTC提出的建議涵蓋5大領域，包括智慧醫療與醫療資訊系統、生醫大數據／生成式AI、給付獎勵、國際鏈結和產業基本面等。</p> <p>就智慧醫療與醫療IT系統來說，BTC委員楊泮池指出，委員會認為，智慧醫療的產業發展，不只要從教育、產學合作、跨域組國家隊等面向著手，也要瞄準媒和機制、智慧醫材（SaMD）取證，甚至是智慧醫材納入健保和商業保險等領域，來推動智慧醫療產業發展。</p> <p>而且，智慧醫療商品也要重視以醫療大數據為基礎的醫療AI服務，以及以人為本的創新產品。這些智慧醫療服務和產品，得經過跨院或跨國驗證，來提高適用性。</p> <p>就智慧醫療與醫療IT系統的基本盤而言，BTC建議，政府應要有跨部會的合作機制，來推動醫療體系的醫療資訊系統（HIS）和國際醫療資料交換標準FHIR的整合，如此才有利於智慧醫療產業進展。</p> <p>再來，衛福部針對去年BTC提出的次世代醫療資訊系統，已有初步規畫，但BTC建議，衛福部接下來應衡量，計畫執行是否符合「次世代」與「公私協力（PPP）」這兩大原則，以避免預算過度投資於特定醫院的硬體設備。</p> <p><span style="font-size:22px;"><strong>生醫大數據建議：成立國家級中心來推動資料治理</strong></span></p> <p>不只如此，生醫大數據是發展智慧醫療的重要元素，BTC也給出資料治理建議。進一步來說，自2010年通過《人體生物資料管理條例》後，許多人體生物資料庫（Biobank）相繼出現，至2021年，就有35家機構成立衛福部核准的人體生物資料庫。為將這些資料整合在同一平臺上，2018年，行政院政委吳政忠推動國家級人體生物資料庫整合平臺建置計畫，隔年平臺正式成立，由國衛院執行。</p> <p>這些資料是推進智慧醫療發展的重要資產。但如何合法合規運用，BTC建議，政府應儘速修正《人體生物資料庫管理條例》，並建立獨立的監理機制，來讓健康資料合法合規二次利用和商化應用。</p> <p>此外，BTC也建議政府成立國家級健康資料研究中心（Health Data Research Center, HDRC），來完備健康資料治理和相關應用的研發。也就是說，這個中心負責推動資料互通性和可用性，來確保現在和未來的科技計畫資料互通機制，包括中研院、衛福部、經濟部、國科會等單位蒐集的生醫數據和各醫學中心EMR資料能互通、可用，而後續產生的新資料，也要能匯入這個新成立的國家級健康資料研究中心。</p> <p>與此同時，楊泮池點出，政府也應建立嚴謹的資料保護制度，來保護民眾的醫療資訊隱私。</p> <p>與醫療大數據息息相關，隨著生成式AI百花齊放，BTC也建議，政府應為生醫產業，建立生成式AI應用的教育機制，來推動更廣泛的生成式AI應用。</p> <p><span style="font-size:22px;"><strong>給付建議：提出健保以外的預算來支持產業發展</strong></span></p> <p>智慧醫療發展還有賴於充足的金流，針對去年BTC提出的健保沙盒、暫時性健保支付和新藥基金等建議，衛福部已有完整規畫，但今年BTC認為，產業進入市場仍缺最後一哩路，因此建議，政府應參考OECD國家，將醫療保健支付占GDP的比重提升至8%以上。另一個建議是，提供健保以外的預算，來支持新藥基金和健保沙盒發展。同樣地，BTC今年也建議政府，協助國內研發製造具外銷實力的新藥、優質學名藥、創新醫療器材，並且優先納入健保，給予健保從優核價。</p> <p>不過，BTC也點出，不只靠健保，商業保險也可用來支持創新醫材等產品發展，來補足健保。</p> <p>另一方面，國際市場鏈結是科技發展的重要目標之一，如何將國產智慧醫療、新藥等商品銷往海外，BTC也建議以臺灣做為首發市場，健全場域驗證、輔導取證、落地應用和市場准入等各流程機制，也可配合新南向政策，來拓展市場。</p> <p>另一項國際鏈結建議是，成立國際大數據公司，也就是政府鼓勵具有合法合規人體生物資料，以及去識別化醫療健康資料的單位，來成立兼具公益與營利的全球性健康大數據公司。</p> <p><span style="font-size:22px;"><strong>產業基盤建議：持續鼓勵創新醫材和數位醫療研製</strong></span></p> <p>最後，BTC也針對產業基本面給予不少建議，比如政府應鼓勵研發、製造並重，並支持創新創業和策略性投資，包含新藥、創新醫療器材、創新生物製造和數位醫療等領域。他們也建議，政府可參考美國國防產業DARPA經驗，來研究補助突破性生醫和健康解決方案發展的ARPA-H機制。</p> <p>BTC建議之完整簡報<a href="https://drive.google.com/file/d/1QysF5g8ENcQPvmJ1tYXEDTNb8dSz94vb/view">於此</a>。</p> </div></div></div>
2023/8/30 18:38作者王若樸https://www.ithome.com.tw/news/158503
【資安日報】8月30日，駭客在PDF檔案裡埋藏惡意Word文件來發動攻擊，藉此躲過資安系統偵測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>迴避資安系統偵測的網路威脅滲透方式千變萬化，過去曾出現運用兩種以上檔案格式／多型態（Polyglot）檔案來散布惡意程式的手法，最近類似的攻擊行動再度出現。例如，日本電腦網路危機處理暨協調中心（JPCERT/CC）揭露的攻擊手法MalDoc in PDF，駭客製作同時擁有PDF及DOC檔案特徵的惡意文件，企圖混淆網路威脅偵測技術的判斷，研究人員指出，大部分防毒軟體會將這類內容視為PDF檔案進行解析，而無法察覺駭客在Word檔案埋藏的惡意巨集。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blogs.jpcert.or.jp/en/2023/08/maldocinpdf.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為了繞過資安系統制式的檔案格式偵測，駭客在PDF檔案埋藏惡意Word文件，有可能造成嚴重威脅</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/maldocpdf-fig3-640wri.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/maldocpdf-fig3-640wri.png" style="width: 300px; float: right;" /></a>日本電腦網路危機處理暨協調中心（JPCERT/CC）揭露名為MalDoc in PDF的新型態攻擊手法，駭客製作多型態（Polyglot）的惡意文件檔案，大多數的防毒引擎因為檔案的標頭，會將其當作PDF檔案進行分析，但電腦會將其視為Word檔案（.DOC），以對應的辦公室文書處理軟體開啟。</p> <p>在研究人員看到的檔案當中，駭客在PDF檔案挾帶MHT檔案，此檔由Word產生、本身帶有巨集，而具備可程式化運作特性，而可能被置入惡意程式碼。一旦使用者透過微軟Office軟體開啟這類混合文件，電腦可能會依照巨集指令內容去下載非法MSI安裝檔案，並部署惡意程式。</p> <p>研究人員透過PDF解析工具pdfid檢查，結果顯示此為無害的PDF檔案，直到他們換用另一款名為OLEVBA程式進行分析，才能識別當中的惡意內容。對此研究人員認為，企業組織應該採用多層次資安內容防禦機制來因應此類威脅。</p> <p><a href="http://twitter.com/SophosXOps/status/1695143572272738790"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">鎖定Citrix NetScaler的重大漏洞攻擊行動，攻擊者身分很可能與勒索軟體有關</span></strong></a></p> <p>Citrix於7月下旬修補已被用於攻擊行動的NetScaler ADC、NetScaler Gateway重大漏洞CVE-2023-3519（CVSS風險評分為9.8），有研究人員找到新的證據，認為發動攻擊的駭客可能與另一起攻擊事件有關。</p> <p>根據資安業者Sophos的調查，發動攻擊的駭客組織STAC4663，在成功入侵NetScaler主機後，往往會將惡意酬載注入wuauclt.exe、wmiprvse.exe，並利用網站代管服務BlueVPS代管惡意程式，過程裡駭客亦使用具備高度混淆的PowerShell指令碼。研究人員指出，他們在今年夏天初期，看到具有類似特徵或手法（TTP）的攻擊行動，駭客雖然未利用上述Citrix漏洞，但其多種行為，像是網域探索、採用BlueVPS代管、不尋常的PowerShell指令碼，以及濫用PuTTY Secure Copy（PSCP）的手法，都相當雷同。</p> <p>研究人員指出，這2起攻擊行動很有可能與駭客組織FIN8有所關聯，再加上這些駭客專門從事勒索軟體攻擊，他們推測，上述2起攻擊最終的目的可能也與散布勒索軟體有關。</p> <p><a href="https://www.reliaquest.com/blog/the-3-malware-loaders-behind-80-of-incidents/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">QBot、SocGholish、Raspberry Robin是駭客偏好用來投放惡意程式的作案工具</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Malware-loader1-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Malware-loader1-1.png" style="width: 300px; float: right;" /></a>資安業者ReliaQuest指出，他們針對駭客利用惡意程式載入工具（Malware Loader）的態勢進行調查，結果發現，從今年1月至7月，最多駭客使用的載入工具為QBot、SocGholish、Raspberry Robin，從所有利用此種工具的攻擊行動來看，使用上述3種工具的占比，分別是30%、27%、23%。</p> <p>不過，其他幾款惡意程式，如：Gootloader、Guloader、Chromeloader、Ursnif，所帶來的威脅也相當值得留意。</p> <p><a href="https://www.cna.com.tw/news/afe/202308290402.aspx"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">直播平臺17Live指控綠界科技金流系統出現漏洞，導致他們面臨大量欠款，因而要求綠界還錢，目前雙方各執一詞</span></strong></a></p> <p>線上支付業者綠界科技於8月29日於股市公開觀測站發布重大訊息，針對直播平臺17Live聲稱他們的支付平臺出現漏洞，導致該直播平臺用戶交易資料出現被竄改的情況做出說明，指出起因是17Live在7月25日詢問撥款事宜，他們當天確認後緊急調整程式邏輯判斷因應，兩家公司共同決定報請警察單位協助調查，綠界強調程此式邏輯瑕疵，非屬綠界核心系統，為單一個案、未影響其他會員之權益，綠界判斷這非屬重大資安事件。</p> <p>對此，17Live指控這份重大訊息的說明並非事實，該公司指出此支付系統去年5月就出現異常，導致面臨大量欠款，要求綠界根據契約返還超過1千萬元的差額，而非綠界所說的單一個案。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.secureworks.com/research/power-platform-privilege-escalation"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露利用Microsoft Entra ID提升權限的手法</span></strong></a></p> <p>資安業者Secureworks揭露透過Microsoft Entra ID（原名Azure Active Directory）來提升權限的攻擊手法，攻擊者可藉由已棄用的回覆URL（亦稱重新導向URI），將授權碼重新導向給自己，進而用來獲得存取權限的Token，再利用中間層服務Power Platform的API，達到提升權限的目的。研究人員於4月5日通報，微軟隔日發布更新程式予以修補。</p> <p>而對於發現上述漏洞的原因，研究人員指出，他們在已棄用的Dynamics Data整合應用程式裡，發現與Azure Traffic Manager設定檔有關的回覆URL，而且能夠透過中間層服務呼叫Power Platform的API，竄改環境組態。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.fbi.gov/news/stories/fbi-partners-dismantle-qakbot-infrastructure-in-multinational-cyber-takedown"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國帶頭進行Duck Hunt執法行動，清除70萬臺電腦的惡意程式QBot，扣押860萬美元不法獲利</span></strong></a></p> <p>8月29日美國聯邦調查局（FBI）與司法部（DOJ）宣布，他們與法國、德國、荷蘭、羅馬尼亞、拉脫維亞、英國合作進行執法行動Duck Hunt，破壞由70萬臺電腦組成的殭屍網路QBot（其中逾20萬臺在美國），他們重新將殭屍網路的流量導向FBI控制的伺服器，並派送能移除QBot的程式。</p> <p>由於QBot最近幾年被駭客用於散布Conti、ProLock、Egregor、REvil、MegaCortex、Black Basta等多種勒索軟體，FBI局長Christopher Wray認為，這次執法行動能有效重挫網路犯罪的供應鏈。司法部指出，從2021年10月至今年4月，QBot背後的駭客不法所得，約為5,800萬美元，他們也扣押了860萬美元的加密貨幣。</p> <p><a href="https://techcommunity.microsoft.com/t5/exchange-team-blog/coming-soon-enabling-extended-protection-on-exchange-server-by/ba-p/3911849"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟將於今年秋季預設啟用Exchange Server的延伸防護機制</span></strong></a></p> <p>8月28日微軟宣布，他們計畫將在今年秋季推出的Exchange Server 2019更新2023 H2（即CU14）當中，將原本提供Windows的延伸防護（Extended Protection，EP）機制，在Exchange伺服器上成為預設啟用的功能。</p> <p>這項防護機制原本是為了強化Windows Server既有的身分驗證功能，目的是減緩中間人（MitM）攻擊的威脅，微軟在去年8月提供給Exchange Server 2013以上版本，IT人員可手動啟用，而微軟現在打算將其變成預設開啟的功能，只是這項措施僅有尚在主流支援階段的2019版提供，2013、2016版伺服器在部署2022年8月更新後，也具備這項功能，只是必須手動開啟。</p> <p>值得留意的是，無論上述那個版本的Exchange Server，只要尚未部署去年8月的更新程式，就有可能無法與已啟用EP的郵件伺服器正常進行通訊。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.404media.co/hackers-find-your-skype-ip-address-microsoft-wont-fix/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">攻擊者對於行動裝置版Skype發送URL，有機會得到用戶裝置的IP位址</span></span></strong></a></p> <p><a href="https://www.akamai.com/blog/security-research/updated-kmsdbot-binary-targeting-iot"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">鎖定物聯網裝置的殭屍網路KmsdBot擴大攻擊範圍，掃描Telnet連線</span></span></strong></a></p> <p><a href="https://www.securityweek.com/meta-fights-sprawling-chinese-spamouflage-operation/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Meta對抗中國駭客的Spamouflage攻擊行動</span></span></strong></a></p> <p><a href="https://www.vmware.com/security/advisories/VMSA-2023-0018.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">VMware修補網路監控系統的SSH身分驗證繞過漏洞</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/university-of-michigan-shuts-down-network-after-cyberattack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國密西根大學遭遇網路攻擊，部分服務被迫中斷</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158482">【8月29日】勒索軟體LockBit製作工具外流，不到一年出現近400個變種</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158458">【8月28日】中國駭客Flax Typhoon鎖定臺灣組織而來，發動寄生攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158448">【8月25日】北韓駭客Lazarus鎖定歐洲、美國組織，利用Zoho ManageEngine服務臺系統漏洞發動攻擊</a></strong></p> </div></div></div>
2023/8/30 17:28作者周峻佑https://www.ithome.com.tw/news/158501
FBI瓦解由70萬臺受駭電腦組成的Qakbot殭屍網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.fbi.gov/news/stories/fbi-partners-dismantle-qakbot-infrastructure-in-multinational-cyber-takedown" target="_blank">美國聯邦調查局</a>（FBI）及<a href="https://www.justice.gov/opa/pr/qakbot-malware-disrupted-international-cyber-takedown" target="_blank">司法部（DOJ）</a>周二（8/29）宣布，已與多個國家聯手，共同瓦解了由全球70萬部受駭電腦組成的Qakbot殭屍網路，另也扣押了價值約860萬美元的加密貨幣不法所得。</p> <p>Qakbot現身於2007年，初期只是個金融木馬程式，主要是竊取受害者的金融憑證與其它財務資訊，之後的變種發展出類似蠕蟲的能力，還能用來下載其它惡意程式，以記錄使用者的鍵盤輸入、建立系統後門，或是植入勒索軟體，並具備躲避偵測及避免反向分析的功能。</p> <p>Qakbot主要是藉由於垃圾郵件中夾帶惡意附加檔案或連結來散布，使用者一旦開啟檔案或點選連結，它便會傳送其它的惡意程式，而受駭電腦也會立刻成為殭屍網路的成員，允許駭客自遠端操控。</p> <p>FBI局長Christopher Wray指出，他們徹底掃蕩與Qakbot有關的大規模犯罪供應鏈，而事實上，最近幾年曾利用Qakbot的勒索軟體便涵蓋了Conti、ProLock、Egregor、REvil、MegaCortex與Black Basta，受害者除了個人之外，也包含一般企業、健康照護供應商，以及政府機關。</p> <p>在70萬臺感染Qakbot的受駭電腦中，有超過20萬臺位於美國。此次與美國聯手的國家則有法國、德國、紐西蘭、羅馬尼亞、拉脫維亞與英國。</p> <p>各國執法機關瓦解Qakbot的方式，是將Qakbot的流量移轉到由FBI所控制的伺服器上，並指示受駭電腦下載一個反安裝檔案，以於電腦上移除Qakbot。值得注意的是，該反安裝檔案只能移除Qakbot，並不能移除其它已被安裝在受駭電腦上的惡意程式。</p> <p>由於受害者多半不知道自己感染了Qakbot，DOJ建議使用者可透過<a href="https://haveibeenpwned.com/" target="_blank">Have I Been Pwned</a>或<a href="https://www.politie.nl/en/information/checkyourhack.html" target="_blank">荷蘭警方所設立的網站</a>來查詢。</p> </div></div></div>
2023/8/30 15:09作者陳曉莉https://www.ithome.com.tw/news/158499
Google AlloyDB資料庫服務新增嵌入支援可強化生成式AI應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google相容於PostgreSQL的資料庫服務AlloyDB，加入人工智慧新功能AlloyDB AI，透過內建向量嵌入端到端支援，使得企業可以更簡單地在大型語言模型中應用即時營運資料，建立高效能且可擴展的人工智慧應用程式。</p> <p>AlloyDB是Google針對高可擴展企業資料庫工作負載需求，所開發相容於PostgreSQL的資料庫服務，具有Google雲端基礎設施的優點，可橫向擴展運算與儲存，並支援AI/ML功能。AlloyDB處理交易工作負載的速度是標準PostgreSQL的4倍，分析性查詢的速度更是PostgreSQL的100倍。</p> <p>而現在AlloyDB也能夠支援生成式人工智慧應用，AlloyDB AI允許用戶使用簡單的SQL函式，在資料庫內生成向量嵌入，並且以標準PostgreSQL資料庫10倍的速度執行向量查詢。這項功能可以擴展大型語言模型的能力，提供準確且新穎的資訊。</p> <p>AlloyDB AI讓用戶能以簡單的PostgreSQL函式，對資料生成嵌入，官方強調，只需要一行SQL語法，便可以存取Google的嵌入模型，諸如資料庫內的嵌入生成模型，或是Vertex AI的各種遠端模型。這些模型可自動對資料列創建嵌入，或是即時生成嵌入回應用戶輸入。</p> <p>Google解釋，因為企業資料庫擁有最新來自用戶和應用程式的資料，透過像是RAG（Retrieval Augmented Generation）這類技術，可以將資料庫的即時資料帶入大型語言模型中，提高準確性並增加回應內容的豐富度，且也能夠針對終端使用者進行客製，同時，讓用戶根據語義相關性檢索資訊。</p> <p>因此資料庫支援嵌入，便可以作為大型語言模型與人工智慧應用的橋樑，供RAG工作流程運用嵌入查詢、過濾和表達相關資料，強化大型語言模型的提示語，另外，支援嵌入還可以強化即時產品推薦等體驗，允許用戶查詢最相關的項目。</p> <p>AlloyDB AI新功能現在已經在本地端版本AlloyDB Omni中預覽，而Google會在今年稍晚，在AlloyDB託管服務推出嵌入支援。</p> </div></div></div>
2023/8/30 15:51作者李建興https://www.ithome.com.tw/news/158500
臺灣通用資安人才類別定案，共12+7類別，資安長培訓課程將率先在12月底前啟動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應資安人才不足，建立人才職能框架，以利培訓課程與證照檢驗，是全球與臺灣都關注的議題。</p> <p>由於資安面向廣泛、技能需求多元，過去美國曾發布NICE網路安全人才框架，定義7大類別、33個專業領域，以及52個工作角色，到了2022年10月，歐盟網路安全局（ENISA）亦發布ECSF網路人才技能框架，定義出資安團隊12種角色。</p> <p>在臺灣，為了克服資安人才需求缺口持續擴大的挑戰，2022年初，國家資通安全研究院（資安院）開始積極行動，先從供給與需求面來調查我國資安人才現況，分析資安人才職缺情形；今年初接續打造適合我國的通用資安職能基準，強調以ECSF的12類人才為基礎，建構符合國需求的資安人才類別雛形。在我們今年3月開始進行<a href="https://www.ithome.com.tw/news/156621">這方面的報導</a>時，也已經提到這麼做的重要性。</p> <p>最近終於有重要的實質進展，因為在8月24日資安院舉行的研討會，宣布最新的工作成果，當中揭露2023臺灣資安人才培力研究報告的藍皮書，副院長林盈達表示，我國資安人才類別框架的發展，已定義「12+7」種類型，並完成政府與民間的資安課程開設調查，提出未來開課方向的建議，他預告，培訓課程將從資安長的人才類別先啟動，預計最晚今年底就會開設。</p> <p>之後明年，還將公布資安事件工程師的課程，也就是要幫助國內，培訓更多的安全維運中心（SOC）的第一線人員，甚至第二線的人員。</p> <h2><strong>將我國資安人才類型分為19種，廣泛企業皆可參考</strong></h2> <p>符合我國產業特色的19項資安工作角色有哪些？</p> <p>資安院人才培力中心主任鄭瑋表示，我們人才類型框架的規畫，主要依據先前技服中心提出資安人才類型層面，以策略類、管理類、技術類為基礎，參考美國、歐洲的作法，並納入國內產業長年存在一人身兼多職的情形，因此不用美國NICE框架的52種人才類別，而是設法與類別較簡易的歐洲ENISA ECSF框架進行介接，也就是以12種人才類別為主。</p> <p>不僅如此，他們也考量臺灣的國情與地緣政治因素，需要更多投入保護與防禦的人才，以及希望反映更多資安產業需求的工作角色，因此進一步擴充而增設了7大人才類別。</p> <p>具體而言，我國這19項資安工作角色，包括：</p> <p>● 與ECSF框架共通的12種：資安長、資安架構師、資安風險管理師、資安法遵師、資安稽核師、資安教育員、資安研究員、資安產品開發工程師、滲透測試工程師、資安事件工程師、威脅分析工程師，以及資安鑑識工程師。</p> <p>● 額外新增的7種：資安系統規畫師、資安顧問師、資安專案經理、資安檢測工程師、資安系統維運員、資安監控防禦工程師、漏洞分析工程師。</p> <p>這份藍皮書中，特別說明這樣的19種資安人才類別產出，並不代表一個組織同時需要那麼多元的工作角色，主要目的是讓組織在拓展資安業務時，能夠提供設立這些工作職務上的建議。</p> <p>實務上，有可能一人負責多種的工作職務，而且，有些是產業資安專屬職務，有些是資安產業專屬職務。例如，這裡設計的資安顧問師、資安專案經理、資安研究員，以及資安產品開發工程師，就是針對「資安產業」的獨有職務。</p> <p>還有一個需要注意的不同之處，鄭瑋表示，ECSF將資安開發跟維運工程師歸在同一類，因此資安院將之拆解為資安產品開發工程師，以及資安系統規畫師。</p> <p>總體而言，這19種人才類別，主要是參考國內外資源，同時顧及我國現況與通用性所制訂，希望重新調整資安人才類別的精細程度，瞭解資安職業職務涵蓋範圍，建立產業人才能力規格的職能基準。</p> <p>畢竟，過去我國勞動部勞動力發展署定義的職能基準，與資安相關的僅有4種，不僅未對不同職務內容予以細分，而且光是資安工程師一職，幾乎就囊括所有資安相關職務。</p> <p>如今有了更細膩畫分，等於建構出我國資安人才培訓、用才時的基礎，不只是可用於精準盤點人力資源，釐清人力的流向與缺口，也能便於推動後續的課程規畫。</p> <p>至於近年國內也有單位投入研究，發展針對政府機關、金融產業，以及新興資安產業的資安職務職能框架，但這些主要是領域專屬，非普遍通用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E5%9C%8B%E5%AE%B6%E8%B3%87%E9%80%9A%E5%AE%89%E5%85%A8%E7%A0%94%E7%A9%B6%E9%99%A2%E5%89%AF%E9%99%A2%E9%95%B7%E6%9E%97%E7%9B%88%E9%81%94.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(0, 153, 255);">國家資通安全研究院副院長林盈達表示，我國資安人才類別框架已有重要進展，提出適合我國產業的19類人才，而對應這些人才的培訓課程也在陸續規畫中，預計優先從資安長的人才類別啟動，最晚今年底就會開課，對於後續培訓面與證照面的發展，也持續邀集各方專家提供規畫上的建議。</span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E8%B3%87%E5%AE%89%E9%99%A2%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E5%9F%B9%E5%8A%9B%E7%A0%94%E7%A9%B6%E5%A0%B1%E5%91%8A%E8%97%8D%E7%9A%AE%E6%9B%B8_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(0, 153, 255);">國家資通安全研究院人才培力中心主任鄭瑋表示，我國資安人才類別框架已畫分出19類，主要以歐盟ENISA ECSF的12種人才類型為主，並顧及我國現況與通用性額外增加7種。另外，資安院也依據美國NICE框架的7大類別，將不同人才類型歸類，幫助外界瞭解這些人才類型的性質與定位。</span></p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖1）臺灣通用資安人才類別框架定案，共12%2B7類別.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%961%EF%BC%89%E8%87%BA%E7%81%A3%E9%80%9A%E7%94%A8%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E9%A1%9E%E5%88%A5%E6%A1%86%E6%9E%B6%E5%AE%9A%E6%A1%88%EF%BC%8C%E5%85%B112%2B7%E9%A1%9E%E5%88%A5.jpg" style="width: 600px;" /></a></p> <h2><strong>未來要擴大培訓課程，需積極推動種子教師培育</strong></h2> <p>完成定義我國資安人才類型後，將接續盤點所需技能與知識，訂定課綱和教材，來幫助國內培育最需要的資安人才。</p> <p>面對19種資安人才的培訓，推動優先順序成為關注焦點。</p> <p>現階段，由於近年金管會已要求上市櫃公司設置資安長，這些資安長該具備哪些職能與知識，以及如何與董事會與業務單位溝通，成為當今最受臺灣各界關注的部分。</p> <p>而從資安院人培中心2022年職缺調查結果來看，儘管臺灣對於維運型人才的需求最迫切，但考量國內市場「一人多工」的實務情形，我們不能只是培育維運人員需具備單一職能，也要擴及保護與防禦、安全交付的資安職能，才能對業界資安防護帶來更大助益。</p> <p>因此，目前根據資安院的規畫，今年12月底會先啟動資安長的培訓課程，明年再啟動資安事件工程師的培訓課程。</p> <p>對於我國在職培訓資安課程現況，鄭瑋表示，資安院人培中心在2022年9月進行相關調查，最後以15間開課單位，205堂培訓課程來觀察，以釐清課程與職能的對應關係。</p> <p>當中有哪些特殊發現？2022年職缺類型數量最多的，是運營與維護類型人才，但這方面的開課數量並非最多，只有37門，安全交付的職缺也不少，這方面的課程開設數量只有3門，相當稀缺。</p> <p>若依照我國資安人才類別來看，目前開課數量前三名，分別是：資安監控防禦工程師、資安系統維護員（學習資安業務運作與設備控管）、漏洞分析工程師。至於推動企業資安治理的資安長，以及資安事件回應能力的資安事件工程師，居於第四、第五。</p> <p>再與我國職缺需求等相互對照來考量，未來在開課的規畫上，除了資安長的課程，民間企業與組織的維運課程仍須持續開設，同時也考慮於維運課程加入防禦與安全交付方面的訓練，因為這將有助於第一線人員技術面的強化，對職涯多發展性也有幫助。</p> <p>整體而言，對於資安院所要推動的未來開課策略，鄭瑋指出下列三大重點。</p> <p>首先，需發展適合個資安人才類別的培訓。她強調要以一綱多本為發展，由資安院訂定職能課綱，並要與公家與民間訓練機構合作開發教材。</p> <p>第二，可以建立訓練機構與講師遴選機制。然而，這方面將遇到開課量能的挑戰。早年我國重視「拔尖」，也就是培養頂尖資安人才，如今重視普及的人才，需要培養更多具備實務經驗的資安人才，然而從過去開設培訓中心狀況來看，若每年只能開三個培訓班，頂多培育150人，無法滿足現在資安人才需求急遽擴大，所以，我們需要更彈性且量能可擴大的方式，並透過建立訓練機構跟講師遴選，顧及教學品質。</p> <p>第三，推動種子教師培育規畫。這樣才有機會持續擴大培訓講師的能力與數量，以滿足各個資安類型領域專長，與不斷增長的培訓需求。</p> <p>特別的是，根據藍皮書中的調查分析，針對19類人才類型而言，我們可以具體看到國內目前的開課單位與相關機構，如資安院、工業技術研究院、ACW資安網路學院、台灣金融研訓院、國家高速網路中心、安碁學苑、中華民國資訊軟體協會的CISA數位轉型大學，以及資展國際（iSpan）。</p> <p>換言之，除了建立訓練的組織機構，以及講師遴選制度，這些機構也都可能是培訓我國19類資安人才的重要支柱，但如何協助擴大講師與課程，需要多方合作。畢竟，有些人才類型需求最急迫，應有更多機構開設對應課程，有些人才類型更是無法對應到培訓課程。</p> <h2><strong>資安證照也是不可或缺的一環，目前已有初步進展</strong></h2> <p>最後一個部分是資安人才證照，目前資安院人培中心在這方面的研究分析，尚處於早期階段，僅針對資安署公告的104張資安證照作分類，並試著將19種資安人才類別所需證照，作出歸類，給予工作類別與職能上證照考取的建議。</p> <p>對於資安證照課程的開課單位，他們亦進行盤點，目前已知的機構，包含：恆逸教育訓練中心、全智網科技、中華民國電腦稽核協會、工研院產業學院、CISA數位轉型大學、緯育Tiba Me、領導力企管、巨匠電腦、資展國際、中華資安國際、台灣金融研訓院、國際商貿文化交流基金會等。</p> <p>還有幾項資安證照方面的議題，也是資安院關注重點。例如，考取國際資安證照的費用相當昂貴，如何用國內證照部分或完全替代國際證照體系，也成為關鍵議題，像是，近幾年來，經濟部推出iPAS資訊安全工程師中級或初級認證；此外，國際證照體系可能有供需缺口，如OSCP提供滲透測試實踐的認證，但這裡主要是培養紅隊技能，是否也能讓這些人員取得藍隊技能的證照，進而厚植人才基礎。</p> <p>整體而言，隨著我國資安人才類別框架成形，後續有很多發展可仰賴這個基礎來進行。例如建構各個人才類別的知識與技能需求，以及發展培訓課程，還能仿效美國CyberSeek開發資安人才的職涯路徑圖，以及根據地區別設計人才需求熱度計，即時呈現那些資安人才類別需求最高。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E6%87%89%E7%94%A8%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E9%A1%9E%E5%88%A5%E6%96%BC%E8%B3%87%E5%AE%89%E9%98%B2%E7%B7%9A.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(0, 102, 204);">【應用資安人才類別於資安防線】</span><span style="color: rgb(0, 153, 255);">對於應用資安人才類別於資安防線，鄭瑋也用三線防禦模型的概念來闡釋，並藉助不同情境來舉例說明。例如，以解決資安問題的流程為例，第一道防線就是聚焦日常SOC維運監控、資安事件應變與通報，這部分的資安工作角色包含：資訊系統維運人員、資安事件工程師、資安監控防禦工程師，第二道防線聚焦事件狀況後續分析，以及釐清事件根因，這部分的的資安工作角色可已有資安鑑識員、資安研究員、資安威脅分析師，第三道防線則是屬於長期的資安規畫與評估，像是資安長與資安風險管理師。</span></p> <p> </p> <h2> </h2> <h2 class="rtecenter"><span style="color: rgb(0, 153, 255);"><strong><span style="background-color: rgb(255, 215, 0);">從必修、通識做起，資安教育才能最快普及</span></strong></span></h2> <p>關於基礎資安教育的推展，同樣是各界熱烈關注的議題。8月底召開的臺灣資安人才培力研究報告研討會也討論此事，顯然大家都很重視。</p> <p>輔仁大學資訊工程系特聘教授許見章提出一些建議，引發很多迴響，從教育體系檢視學生修課歷程的資安專業科目，可得知學生在大學、研究所，最多只能修5門課、15學分，關鍵是老師開課能量不足，產業如何補足這部份資源很重要。他表示，想要大量培養資安人才，透過產業來彌補是其中一種作法，學生在校期間若能把資安專業科目納入必修課，會帶來更多幫助，然而現在這些科目卻是選修，效果有限。</p> <p>提升全民資安意識，其實也是學校教育可以努力的方向，許見章認為在通識課當中，如果能加入資安意識科目，或納入必修，甚至像軍訓課能折抵役期，將讓更多學生積極認識資安，或對資安專業產生興趣，這也呼應資安即國安。<br /> 對此國家資通安全研究院副院長林盈達表示，他們不僅要與教育部溝通，也要試著與國防部協商可行性。但如何有效推動更多跨部會的合作，也將是後續一大考驗。</p> <p>國家資通安全研究院人才培力中心主任鄭瑋表示，我國資安人才類別框架已畫分出19類，主要以歐盟ENISA ECSF的12種人才類型為主，並顧及我國現況與通用性額外增加7種。另外，資安院也依據美國NICE框架的7大類別，將不同人才類型歸類，幫助外界瞭解這些人才類型的性質與定位。</p> </div></div></div>
2023/8/30 14:36作者羅正漢https://www.ithome.com.tw/news/158498
臺灣通用資安人才類別框架定案，共12+7類別，資安長培訓課程將率先在12月底前啟動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應資安人才不足，建立人才職能框架，以利培訓課程與證照檢驗，是全球與臺灣都關注的議題。</p> <p>由於資安面向廣泛、技能需求多元，過去美國曾發布NICE網路安全人才框架，定義7大類別、33個專業領域，以及52個工作角色，到了2022年10月，歐盟網路安全局（ENISA）亦發布ECSF網路人才技能框架，定義出資安團隊12種角色。</p> <p>在臺灣，為了克服資安人才需求缺口持續擴大的挑戰，2022年初，國家資通安全研究院（資安院）開始積極行動，先從供給與需求面來調查我國資安人才現況，分析資安人才職缺情形；今年初接續打造適合我國的通用資安職能基準，強調以ECSF的12類人才為基礎，建構符合國需求的資安人才類別雛形。在我們今年3月開始進行<a href="https://www.ithome.com.tw/news/156621">這方面的報導</a>時，也已經提到這麼做的重要性。</p> <p>最近終於有重要的實質進展，因為在8月24日資安院舉行的研討會，宣布最新的工作成果，當中揭露2023臺灣資安人才培力研究報告的藍皮書，副院長林盈達表示，我國資安人才類別框架的發展，已定義「12+7」種類型，並完成政府與民間的資安課程開設調查，提出未來開課方向的建議，他預告，培訓課程將從資安長的人才類別先啟動，預計最晚今年底就會開設。</p> <p>之後明年，還將公布資安事件工程師的課程，也就是要幫助國內，培訓更多的安全維運中心（SOC）的第一線人員，甚至第二線的人員。</p> <h2><strong>將我國資安人才類型分為19種，廣泛企業皆可參考</strong></h2> <p>符合我國產業特色的19項資安工作角色有哪些？</p> <p>資安院人才培力中心主任鄭瑋表示，我們人才類型框架的規畫，主要依據先前技服中心提出資安人才類型層面，以策略類、管理類、技術類為基礎，參考美國、歐洲的作法，並納入國內產業長年存在一人身兼多職的情形，因此不用美國NICE框架的52種人才類別，而是設法與類別較簡易的歐洲ENISA ECSF框架進行介接，也就是以12種人才類別為主。</p> <p>不僅如此，他們也考量臺灣的國情與地緣政治因素，需要更多投入保護與防禦的人才，以及希望反映更多資安產業需求的工作角色，因此進一步擴充而增設了7大人才類別。</p> <p>具體而言，我國這19項資安工作角色，包括：</p> <p>● 與ECSF框架共通的12種：資安長、資安架構師、資安風險管理師、資安法遵師、資安稽核師、資安教育員、資安研究員、資安產品開發工程師、滲透測試工程師、資安事件工程師、威脅分析工程師，以及資安鑑識工程師。</p> <p>● 額外新增的7種：資安系統規畫師、資安顧問師、資安專案經理、資安檢測工程師、資安系統維運員、資安監控防禦工程師、漏洞分析工程師。</p> <p>這份藍皮書中，特別說明這樣的19種資安人才類別產出，並不代表一個組織同時需要那麼多元的工作角色，主要目的是讓組織在拓展資安業務時，能夠提供設立這些工作職務上的建議。</p> <p>實務上，有可能一人負責多種的工作職務，而且，有些是產業資安專屬職務，有些是資安產業專屬職務。例如，這裡設計的資安顧問師、資安專案經理、資安研究員，以及資安產品開發工程師，就是針對「資安產業」的獨有職務。</p> <p>還有一個需要注意的不同之處，鄭瑋表示，ECSF將資安開發跟維運工程師歸在同一類，因此資安院將之拆解為資安產品開發工程師，以及資安系統規畫師。</p> <p>總體而言，這19種人才類別，主要是參考國內外資源，同時顧及我國現況與通用性所制訂，希望重新調整資安人才類別的精細程度，瞭解資安職業職務涵蓋範圍，建立產業人才能力規格的職能基準。</p> <p>畢竟，過去我國勞動部勞動力發展署定義的職能基準，與資安相關的僅有4種，不僅未對不同職務內容予以細分，而且光是資安工程師一職，幾乎就囊括所有資安相關職務。</p> <p>如今有了更細膩畫分，等於建構出我國資安人才培訓、用才時的基礎，不只是可用於精準盤點人力資源，釐清人力的流向與缺口，也能便於推動後續的課程規畫。</p> <p>至於近年國內也有單位投入研究，發展針對政府機關、金融產業，以及新興資安產業的資安職務職能框架，但這些主要是領域專屬，非普遍通用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E5%9C%8B%E5%AE%B6%E8%B3%87%E9%80%9A%E5%AE%89%E5%85%A8%E7%A0%94%E7%A9%B6%E9%99%A2%E5%89%AF%E9%99%A2%E9%95%B7%E6%9E%97%E7%9B%88%E9%81%94.jpg" style="width: 600px;" /></p> <p><span style="color:#0099ff;">國家資通安全研究院副院長林盈達表示，我國資安人才類別框架已有重要進展，提出適合我國產業的19類人才，而對應這些人才的培訓課程也在陸續規畫中，預計優先從資安長的人才類別啟動，最晚今年底就會開課，對於後續培訓面與證照面的發展，也持續邀集各方專家提供規畫上的建議。</span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E8%B3%87%E5%AE%89%E9%99%A2%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E5%9F%B9%E5%8A%9B%E7%A0%94%E7%A9%B6%E5%A0%B1%E5%91%8A%E8%97%8D%E7%9A%AE%E6%9B%B8_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p><span style="color:#0099ff;">國家資通安全研究院人才培力中心主任鄭瑋表示，我國資安人才類別框架已畫分出19類，主要以歐盟ENISA ECSF的12種人才類型為主，並顧及我國現況與通用性額外增加7種。另外，資安院也依據美國NICE框架的7大類別，將不同人才類型歸類，幫助外界瞭解這些人才類型的性質與定位。</span></p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖1）臺灣通用資安人才類別框架定案，共12%2B7類別.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%961%EF%BC%89%E8%87%BA%E7%81%A3%E9%80%9A%E7%94%A8%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E9%A1%9E%E5%88%A5%E6%A1%86%E6%9E%B6%E5%AE%9A%E6%A1%88%EF%BC%8C%E5%85%B112%2B7%E9%A1%9E%E5%88%A5.jpg" style="width: 600px;" /></a></p> <h2><strong>未來要擴大培訓課程，需積極推動種子教師培育</strong></h2> <p>完成定義我國資安人才類型後，將接續盤點所需技能與知識，訂定課綱和教材，來幫助國內培育最需要的資安人才。</p> <p>面對19種資安人才的培訓，推動優先順序成為關注焦點。</p> <p>現階段，由於近年金管會已要求上市櫃公司設置資安長，這些資安長該具備哪些職能與知識，以及如何與董事會與業務單位溝通，成為當今最受臺灣各界關注的部分。</p> <p>而從資安院人培中心2022年職缺調查結果來看，儘管臺灣對於維運型人才的需求最迫切，但考量國內市場「一人多工」的實務情形，我們不能只是培育維運人員需具備單一職能，也要擴及保護與防禦、安全交付的資安職能，才能對業界資安防護帶來更大助益。</p> <p>因此，目前根據資安院的規畫，今年12月底會先啟動資安長的培訓課程，明年再啟動資安事件工程師的培訓課程。</p> <p>對於我國在職培訓資安課程現況，鄭瑋表示，資安院人培中心在2022年9月進行相關調查，最後以15間開課單位，205堂培訓課程來觀察，以釐清課程與職能的對應關係。</p> <p>當中有哪些特殊發現？2022年職缺類型數量最多的，是運營與維護類型人才，但這方面的開課數量並非最多，只有37門，安全交付的職缺也不少，這方面的課程開設數量只有3門，相當稀缺。</p> <p>若依照我國資安人才類別來看，目前開課數量前三名，分別是：資安監控防禦工程師、資安系統維護員（學習資安業務運作與設備控管）、漏洞分析工程師。至於推動企業資安治理的資安長，以及資安事件回應能力的資安事件工程師，居於第四、第五。</p> <p>再與我國職缺需求等相互對照來考量，未來在開課的規畫上，除了資安長的課程，民間企業與組織的維運課程仍須持續開設，同時也考慮於維運課程加入防禦與安全交付方面的訓練，因為這將有助於第一線人員技術面的強化，對職涯多發展性也有幫助。</p> <p>整體而言，對於資安院所要推動的未來開課策略，鄭瑋指出下列三大重點。</p> <p>首先，需發展適合個資安人才類別的培訓。她強調要以一綱多本為發展，由資安院訂定職能課綱，並要與公家與民間訓練機構合作開發教材。</p> <p>第二，可以建立訓練機構與講師遴選機制。然而，這方面將遇到開課量能的挑戰。早年我國重視「拔尖」，也就是培養頂尖資安人才，如今重視普及的人才，需要培養更多具備實務經驗的資安人才，然而從過去開設培訓中心狀況來看，若每年只能開三個培訓班，頂多培育150人，無法滿足現在資安人才需求急遽擴大，所以，我們需要更彈性且量能可擴大的方式，並透過建立訓練機構跟講師遴選，顧及教學品質。</p> <p>第三，推動種子教師培育規畫。這樣才有機會持續擴大培訓講師的能力與數量，以滿足各個資安類型領域專長，與不斷增長的培訓需求。</p> <p>特別的是，根據藍皮書中的調查分析，針對19類人才類型而言，我們可以具體看到國內目前的開課單位與相關機構，如資安院、工業技術研究院、ACW資安網路學院、台灣金融研訓院、國家高速網路中心、安碁學苑、中華民國資訊軟體協會的CISA數位轉型大學，以及資展國際（iSpan）。</p> <p>換言之，除了建立訓練的組織機構，以及講師遴選制度，這些機構也都可能是培訓我國19類資安人才的重要支柱，但如何協助擴大講師與課程，需要多方合作。畢竟，有些人才類型需求最急迫，應有更多機構開設對應課程，有些人才類型更是無法對應到培訓課程。</p> <h2><strong>資安證照也是不可或缺的一環，目前已有初步進展</strong></h2> <p>最後一個部分是資安人才證照，目前資安院人培中心在這方面的研究分析，尚處於早期階段，僅針對資安署公告的104張資安證照作分類，並試著將19種資安人才類別所需證照，作出歸類，給予工作類別與職能上證照考取的建議。</p> <p>對於資安證照課程的開課單位，他們亦進行盤點，目前已知的機構，包含：恆逸教育訓練中心、全智網科技、中華民國電腦稽核協會、工研院產業學院、CISA數位轉型大學、緯育Tiba Me、領導力企管、巨匠電腦、資展國際、中華資安國際、台灣金融研訓院、國際商貿文化交流基金會等。</p> <p>還有幾項資安證照方面的議題，也是資安院關注重點。例如，考取國際資安證照的費用相當昂貴，如何用國內證照部分或完全替代國際證照體系，也成為關鍵議題，像是，近幾年來，經濟部推出iPAS資訊安全工程師中級或初級認證；此外，國際證照體系可能有供需缺口，如OSCP提供滲透測試實踐的認證，但這裡主要是培養紅隊技能，是否也能讓這些人員取得藍隊技能的證照，進而厚植人才基礎。</p> <p>整體而言，隨著我國資安人才類別框架成形，後續有很多發展可仰賴這個基礎來進行。例如建構各個人才類別的知識與技能需求，以及發展培訓課程，還能仿效美國CyberSeek開發資安人才的職涯路徑圖，以及根據地區別設計人才需求熱度計，即時呈現那些資安人才類別需求最高。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E6%87%89%E7%94%A8%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E9%A1%9E%E5%88%A5%E6%96%BC%E8%B3%87%E5%AE%89%E9%98%B2%E7%B7%9A.jpg" style="width: 600px;" /></p> <p><span style="color:#0066cc;">【應用資安人才類別於資安防線】</span><span style="color:#0099ff;">對於應用資安人才類別於資安防線，鄭瑋也用三線防禦模型的概念來闡釋，並藉助不同情境來舉例說明。例如，以解決資安問題的流程為例，第一道防線就是聚焦日常SOC維運監控、資安事件應變與通報，這部分的資安工作角色包含：資訊系統維運人員、資安事件工程師、資安監控防禦工程師，第二道防線聚焦事件狀況後續分析，以及釐清事件根因，這部分的的資安工作角色可已有資安鑑識員、資安研究員、資安威脅分析師，第三道防線則是屬於長期的資安規畫與評估，像是資安長與資安風險管理師。</span></p> <p> </p> <h2> </h2> <h2 class="rtecenter"><span style="color:#0099ff;"><strong><span style="background-color:#FFD700;">從必修、通識做起，資安教育才能最快普及</span></strong></span></h2> <p>關於基礎資安教育的推展，同樣是各界熱烈關注的議題。8月底召開的臺灣資安人才培力研究報告研討會也討論此事，顯然大家都很重視。</p> <p>輔仁大學資訊工程系特聘教授許見章提出一些建議，引發很多迴響，從教育體系檢視學生修課歷程的資安專業科目，可得知學生在大學、研究所，最多只能修5門課、15學分，關鍵是老師開課能量不足，產業如何補足這部份資源很重要。他表示，想要大量培養資安人才，透過產業來彌補是其中一種作法，學生在校期間若能把資安專業科目納入必修課，會帶來更多幫助，然而現在這些科目卻是選修，效果有限。</p> <p>提升全民資安意識，其實也是學校教育可以努力的方向，許見章認為在通識課當中，如果能加入資安意識科目，或納入必修，甚至像軍訓課能折抵役期，將讓更多學生積極認識資安，或對資安專業產生興趣，這也呼應資安即國安。<br /> 對此國家資通安全研究院副院長林盈達表示，他們不僅要與教育部溝通，也要試著與國防部協商可行性。但如何有效推動更多跨部會的合作，也將是後續一大考驗。</p> <p>國家資通安全研究院人才培力中心主任鄭瑋表示，我國資安人才類別框架已畫分出19類，主要以歐盟ENISA ECSF的12種人才類型為主，並顧及我國現況與通用性額外增加7種。另外，資安院也依據美國NICE框架的7大類別，將不同人才類型歸類，幫助外界瞭解這些人才類型的性質與定位。</p> </div></div></div>
2023/8/30 09:47作者羅正漢https://www.ithome.com.tw/news/158483
DeepMind發表可用來創造及偵測AI生成圖片浮水印的SynthID
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.deepmind.com/blog/identifying-ai-generated-images-with-synthid" target="_blank">Alphabet旗下的人工智慧公司DeepMind於周二（8/29）發表了SynthID工具</a>，可用來於AI生成圖片中建立浮水印，或偵測AI生成圖片中的浮水印，以方便辨識AI生成的圖片，履行負責任AI的承諾。目前SynthID僅適用於DeepMind所開發的文字轉圖片模型Imagen，未來可望支援其它模型或開放第三方使用。</p> <p>浮水印是個舖設於圖片上的名稱或商標以供辨識，隨著時代的演進，它從紙上的物理印記到現在數位照片上的半透明文字或符號，不過，傳統浮水印並不足以用來辨識AI生成圖片，因為這些標記很容易就能利用編輯工具將之移除。</p> <p>DeepMind設計SynthID的兩個理念是希望它一方面不會影響圖片的美觀，儘量不要被人眼所察覺，另一方面則是維持它被偵測的能力，它所使用的兩個深度學習模型即分別是用來添增浮水印，以及用來辨識浮水印。</p> <p>而從DeepMind的展示圖片中，可發現的確不容易分辨含有浮水印的畫面，同時，就算這些AI生成圖片使用了不同的濾鏡、變更了顏色，甚至是以破壞性資料壓縮方式儲存，可供偵測的浮水印也不會消失。</p> <p class="rtecenter"><img alt="" src="https://assets-global.website-files.com/621e749a546b7592125f38ed/64e8abbb424b8a7e3b88b707_64e7629196215db21326c003_synthid_watermark_lo.gif" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_DeepMind</span></span></p> <p>目前的SynthID仍為測試版，初步將提供給Google Cloud上少數使用Imagen的Vertex AI客戶，現階段也僅支援以Imagen生成的圖片。</p> </div></div></div>
2023/8/30 12:57作者陳曉莉https://www.ithome.com.tw/news/158496
微軟測試Bing Chat Enterprise in Windows Copilot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟7月公布Bing Chat企業版（Bing Chat Enterprise）後，<a href="https://blogs.windows.com/windows-insider/2023/08/28/introducing-bing-chat-enterprise-in-the-windows-copilot-preview/" target="_blank">昨（29）日宣布以預覽版測試</a>透過Windows Copilot提供Bing Chat Enterprise。</p> <p><a href="https://www.ithome.com.tw/news/157859" target="_blank">7月Bing Chat Enterprise問世時</a>，是在Bing.com及Edge側邊欄提供，今天則是針對符合資格的企業客戶經由Dev頻道釋出。微軟已著手將之部署到Beta頻道，因此部分符合資格的企業客戶也可能已經看到。已在Bing.com預設啟用Bing Chat Enterprise的用戶，無需任何步驟，開啟Windows Copilot預覽版就能使用這個AI聊天機器人。</p> <p>Bing Chat Enterprise提供資料安全保證，用戶對話不會被儲存下來，微軟也無法存取，或用企業用戶資料來訓練底層模型。此外，Bing Chat Enterprise回覆用戶的是完整、可驗證，標明出處的資料，會包含圖表，且完全依循微軟的企業AI原則。</p> <p>和Bing.com相同，購買Microsoft 365 E3、E5、Business Standard、Business Premium授權的企業用戶，才能免費使用企業版Bing Chat，他們會在8月獲得Bing Chat Enterprise。而購買Microsoft 365 A3、A5 Faculty的教育用戶，其教師或學校行政人員會在9月預設開啟Bing Chat，但學生無法使用。</p> <p>若企業或學校管理員關閉Bing Chat Enterprise，微軟就不會啟用這項服務。一旦管理員關閉Bing Chat Enterprise，則用戶只會使用到消費版本的Bing Chat。</p> </div></div></div>
2023/8/30 11:22作者林妍溱https://www.ithome.com.tw/news/158486
Google Workspace AI助理Duet AI正式上線，企業版每人每月30美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://workspace.google.com/blog/product-announcements/duet-ai-in-workspace-now-available" target="_blank">Google昨（29）日在Cloud Next '23大會上宣布</a>，整合在Workspace企業生產力套件的AI助理Duet AI正式上線，企業版訂閱費為每人每月30美元。</p> <p>Google是在今年5月Google I/O首次公開整合在Workspace的生成式AI工具，品牌名Duet AI，作為付費版生產力套件，包括Gmail、Google Docs、Drive、Meet、Slides 的即時協同助理，提供功能包括來撰寫或潤飾Gmail信件、Google Docs文件、為Google Slides製作原創圖片、或製作Google Sheets簡報、為Google Meet視訊電話生成背景等。Google表示，Workspace現有千萬家付費客戶，用戶超過30億，而自5月開放Duet AI試用以來，迄今已有上百萬人透過信賴測試員（Trusted Tester）方案測試。</p> <p>Duet AI in Google Workspace 6月接受預購，並在昨日正式向所有付費用戶開放。除了之前宣布第一波功能，Google也宣布新增功能，包括在Google Meet視訊會議中，Duet AI可記筆記、傳送會議重點，即時翻譯18種語言，還加入專業錄音室等級的影像、燈光及聲音效果，並能臉部辨識為與會者提供個別視窗。其次，在文字溝通的Google Chat中，除了改版提供新介面外，用戶可直接和Duet AI對話（下圖），詢問會議內容，請它為共享文件提供重點，並快速說明使用者錯過的對話。而在需要講話溝通時，用戶也可以臨時開啟語音聊天室（huddle）切換成語音溝通。此外，Duet in Gmail也在此次強化了智慧回覆功能，允許它幫用戶撰寫更長的個人化回覆信件，而Duet AI in Google Docs的AI校訂功能也取代現有文法及拼字檢查，能幫助用戶寫出更簡明、流暢的商務文件。</p> <p class="rtecenter"><a href="https://storage.googleapis.com/gweb-cloudblog-publish/original_images/Google_Chat_Duet_AI.gif" target="_blank"><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/original_images/Google_Chat_Duet_AI.gif" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Google</span></p> <p>作為企業用AI工具，Google強調沒有人能取得Duet AI in Workspace上的企業通訊或文件內容，Google也不會「在未經用戶允許下」使用這些資料訓練其模型。Google也強調新服務包含Google的零信任控制、數位主權控制工具，以確保資料隱私與安全性。此外，Google也和第三方廠商合作增加Workspace能力，例如和Typeface及Jasper合作，讓行銷公司可運用生成式AI建立個人化行銷內容。</p> <p>Duet AI for Workspace企業版費用為每人每月30美元，<a href="https://www.ithome.com.tw/news/157859" target="_blank">與微軟Microsoft 365 Copilot服務上個月宣布的價位相同</a>。Google表示消費者及小型企業版Duet AI in Workspace定價也會在幾個月內宣布。微軟M365 Copilot服務預計很快就會正式上線。</p> </div></div></div>
2023/8/30 11:48作者林妍溱https://www.ithome.com.tw/news/158487
K8s自動縮放器KEDA歷經3年開發從CNCF畢業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>用戶包括Grafana Labs、微軟、紅帽、Reddit等企業的Kubernetes自動縮放器<a href="https://cloudblogs.microsoft.com/opensource/2023/08/24/scaling-workloads-on-microsoft-azure-with-kubernetes-event-driven-autoscaling/">KEDA</a>，現在正式從雲端原生運算基金會（Cloud Native Computing Foundation，CNCF）畢業。目前KEDA 2.11提供的縮放器數量達60種，是當初加入CNCF時的2倍。</p> <p>微軟與紅帽在2019年的時候推出了KEDA 1.0，開發這個專案的目的，是要滿足Kubernetes用戶對於自動縮放的需求。Kubernetes作為一個容器調度平臺，僅能根據CPU和記憶體等系統指標進行縮放，而這可能在縮放上不夠敏感，趕不上流量變化，如果可以同時參考外部指標，將可大幅降低縮放延遲。</p> <p>而KEDA是個以Kubernetes為基礎的事件驅動自動縮放器，用戶可以評估來自Azure、AWS、GCP、Redis和Kafka等服務的事件數量，作為驅動Kubernetes容器縮放的依據。</p> <p>由於加入KEDA的廠商越來越多，因此微軟和紅帽決定在2020年，將KEDA貢獻給CNCF作為沙盒專案，KEDA在2021年進入孵化階段，而現在經過多年發展終於從CNCF畢業。KEDA在這個過程增加了許多功能，現在KEDA可以使用60多種縮放器縮放應用程式，而這個數量是當初沙盒專案的2倍。</p> <p>微軟的Xbox與多項Azure服務都有應用KEDA，像是供開發人員建置、執行、縮放和運作容器工作負載的服務Azure Container Apps，背後便是利用KEDA支援容器自動縮放，容器規模會根據HTTP請求、TCP連接和各種自定義指標數量縮放。微軟的無伺服器服務Azure Functions也同樣應用KEDA縮放工作負載，在沒有事件時縮小至0個執行個體，並在高峰流量無縫擴展至n個執行個體。</p> <p>隨著KEDA專案從CNCF畢業，微軟也推出Azure Kubernetes服務（AKS）的KEDA擴充套件，雖然開源KEDA原本就容易安裝，但是AKS專用的KEDA擴充套件可以進一步簡化這個過程，用戶可以在Kubernetes叢集上簡單部署，並且以KEDA來縮放應用程式。</p> </div></div></div>
2023/8/30 08:34作者李建興https://www.ithome.com.tw/news/158478
Google推出環境API可用於監控日照、空氣品質和花粉
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google推出一系列包括日照、花粉和空氣品質的<a href="https://cloud.google.com/blog/products/maps-platform/going-beyond-map-introducing-environment-apis">環境API</a>，使用戶得以發展更多永續環境應用。這些環境API以Google Maps平臺作為基礎，向用戶提供日照強度、花粉量以及空氣品質等視覺化資訊。</p> <p>太陽能是能夠減少排放溫室氣體的能源，而針對促進太陽能板採用和部署的需求，Google推出Solar API，該API是以Project Sunroof作為基礎，而Project Sunroof是運用Google Earth圖像，提供個人化太陽能節能評估器，Google提到，這項專案運用人工智慧技術，能夠計算出比LIDAR或是雷達更加準確的光照資料。</p> <p>Solar API提供的資訊包括影響太陽能系統的遮蔽資訊，以及房子屋頂的數位表面模型，涵蓋全球40多個國家，共超過3.2億棟建築物，可供太陽能公司更方便地提供屋主自家光照強度資訊，協助屋主做出安裝太陽能板的決定。</p> <p>另一個環境API則是針對空氣品質，空氣品質API讓企業可擷取空氣品質資料，透過熱圖視覺化空氣污染，向目標受眾提供深入的污染物詳細資訊和建議。Google提到，藉由結合多個資料源，諸如政府偵測站、低成本感測器、氣象資料、衛星、土地覆蓋和即時通訊資訊，他們每小時驗證和組織數TB資料，可獲得特定位置的空氣品質資訊。</p> <p>而針對常見過敏原花粉，Google也提供花粉API，協助用戶能夠降低接觸過敏花粉的風險，在氣候變遷下適應更長和更嚴重的過敏季節。花粉API提供在地化花粉計量、熱圖視覺化、詳細的植物過敏原資訊，還有過敏患者暴露限制提示資訊。</p> <p>花粉API所提供的資訊，是Google運用模型計算出全球超過65個國家，每平方公里網格中季節性每日花粉粒數量，支援長達5天的預測，並涵蓋3種植物類型和15種不同的植物物種。Google解釋，該模型使用土地覆蓋、氣候、每株植物的年花粉量等資訊，預測當地花粉量與暴露風險等資訊。</p> </div></div></div>
2023/8/30 08:37作者李建興https://www.ithome.com.tw/news/158479
【資安日報】8月29日，勒索軟體LockBit製作工具外流，不到一年出現近400個變種
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>惡意昭彰的勒索軟體LockBit 3.0，去年有人將製作工具流出，當時研究人員認為可能會被其他駭客用於大量產生所需的勒索軟體，這樣的情況本週終於得到證實。資安業者卡巴斯基近期透露，他們一共看到396個LockBit變種，並確認至少有四分之三是該工具產生。</p> <p>值得留意的是，雖然駭客多半是應付緊急需求才使用此製作工具產生攻擊程式，大部分皆採用預設配置，但同時也貝備橫向感染的能力。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://securelist.com/lockbit-ransomware-builder-analysis/110370/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客利用LockBit 3.0產生器打造近4百個勒索軟體變種</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/LockBit_build_analysis_04.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/LockBit_build_analysis_04.png" style="width: 300px; float: right;" /></a>勒索軟體LockBit 3.0（LockBit Black）於去年9月傳出製作工具（Builder）外流，使得任何人取得後都能打造專屬的勒索軟體，上週有研究人員揭露該工具被利用的情形。資安業者卡巴斯基根據遙測的資料進行分析，總共找到396個版本的LockBit，其中有312個是利用上述外洩的製作工具打造而成，77個的勒索訊息已完全清除LockBit的名稱。</p> <p>這些勒索軟體大部分採用製作工具的預設配置，僅有小幅更動，研究人員推測駭客很有可能是為了應付緊急需求。再者，這些駭客製作的勒索軟體通常會針對本機磁碟及網路共用資料夾進行檔案加密，但會略過隱藏資料夾。</p> <p>而對於橫向感染的手法，有90%會利用PSEXEC執行，有72%會濫用群組原則物件（GPO）。此外，這些勒索軟體僅有少數會向C2伺服器進行通訊。</p> <p><a href="https://blog.phylum.io/rust-malware-staged-on-crates-io/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Rust開發者當心！出現惡意套件，若不慎誤用，可能會將電腦OS資訊外洩至Telegram頻道</span></strong></a></p> <p>資安業者Phylum揭露鎖定程式語言Rust開發者的攻擊行動，駭客於8月14日至16日，在Crate.io套件庫上傳了惡意Crate套件postgress、if-cfg、xrvrv、serd、oncecell、lazystatic、envlogger，這些套件一開始沒有惡意內容，但後來駭客上架新的版本，就帶有行跡可疑的模組，能收集Windows、Linux、macOS等作業系統的資訊，並透過API將資料傳送至特定的Telegram頻道。</p> <p>研究人員推測，這起攻擊行動很可能處於早期階段，攻擊者打算先引誘開發者上鉤，將套件部署於開發環境，然後進一步推送「新版」來竊取受害電腦的資料。</p> <p><a href="https://www.thetimes.co.uk/article/chinese-spy-linkedin-investigation-dxtq8mz7w"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國間諜利用LinkedIn收集英國機密資料</span></strong></a></p> <p>英國國家安全局（軍情五處）曾提出警告，網路間諜可能利用職場社群網站LinkedIn，鎖定能夠存取國家機密的人士下手，這樣的情況如今真實上演。根據泰晤士報的報導，隸屬中國國家安全部的一名間諜，在5年內使用多個假名，假借向英國或其他官員提供商業機會，從而取得敏感資訊，其中一個最常使用的名字是Robin Zhang。</p> <p>根據消息來源透露，若是成為對方聘用的顧問，且提供從事情報工作人士的細節資訊，有可能拿到8千歐元作為酬勞，其中部分遭到鎖定的目標，已被收買並邀請到中國進行演講，其他人則被要求提供情報，這名間諜會根據這些資訊索討更多機密文件。</p> <p>英國議會情資及安全委員會在一份關於中國的報告裡，也特別提及間諜如何利用上述手法接觸官員。英國秘密情報局（軍情六處）的人士指出，假如官員被帶到中國，情報員會針對官員的弱點逼迫，利用各種手法進行敲詐。</p> <p><a href="https://www.ohiohistory.org/breach/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國歷史保護機構Ohio History Connection傳出資料外洩</span></strong></a></p> <p>8月24日美國俄亥俄州的歷史保護機構Ohio History Connection（OHC）證實，他們在7月初遭遇勒索軟體攻擊，駭客加密了檔案並盜取有關資料，並向該組織索討數百萬美元的贖金。OHC試圖與駭客交涉，但在8月7日談判破局，駭客疑似公布部分資料，使得某些人士的資料可被存取。</p> <p>這些外流的資料內容，涵蓋2009年至2023年在OHC任職的員工姓名、地址、社會安全碼（SSN），以及W-9表單和其他資料，這些資料有可能曝露服務供應商承辦人員的姓名與SSN。再者，自2020年起部分捐款人與成員姓名也可能因洩露的支票照片而曝光。對於受害規模，該組織估計總共有7,600人的資訊可能被曝光。</p> <p>究竟這起事故如何造成？OHC認為駭客應該是藉由挾帶惡意附件的電子郵件發動釣魚攻擊，將使用者帶往受感染的網站，自動下載、部署惡意軟體於受害電腦所致。</p> <p><a href="https://www.hackread.com/it-contractor-data-breach-met-police-personnel/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">倫敦警局因IT承包商資料外洩而受害，波及近5萬警員</span></strong></a></p> <p>根據資安新聞網站HackRead報導，英國倫敦警察局因IT系統承包商遭遇網路攻擊，導致所有4.7萬名警官與員工的個人資訊，包含姓名、照片、職稱、身分證號碼遭到洩露。這起事故之所以發生，主要是專門提供列印通行證及授權卡的供應商遭駭，他們的IT系統遭到駭客入侵所致。</p> <p>這次的資料外洩事故影響相當廣泛，可能會曝露許多警察人員的身分，尤其是參與秘密行動的警官、負責保護王室的反恐單位、便衣警察，而有可能影響他們執行的各項工作。由於這些資料有可能被網路犯罪組織甚至是恐怖分子利用，傳出英國國家犯罪局（NCA）介入調查此事。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">波蘭傳出著手調查鐵路系統遭到駭客攻擊的事件</span></strong></p> <p>根據波蘭新聞社（PAP）於8月26日的報導，該國情報部門著手調查鎖定當地鐵路的網路攻擊事件，25日晚間，駭客在西北部城市斯德丁（Szczecin）對波蘭國家鐵路（PKP）的無線電通訊網路下手，他們惡意發出多次停車訊號，結果造成約20班火車停駛或是延誤。PAP指出，這些訊號裡穿插俄羅斯國歌及該國總統普丁演講的聲音，所幸沒有造成人員傷亡。</p> <p>波蘭特勤部門官員Stanislaw Zaryn透露，他們得知這幾個月有人企圖破壞國家安全，背後是俄羅斯與白俄羅斯共同策畫。資安研究員Lukasz Olejnik指出，這起事故可能只是攻擊者向火車發出停止的命令造成，任何人只需透過30美元的無線電設備就能向該國的火車下達命令。</p> <p>但這並非首度有人針對此鐵路無線電系統下手，Lukasz Olejnik指出，當地火車論壇與YouTube頻道多年來一直探討這項問題，且攻擊難度很低，常常有青少年以此進行惡作劇，波蘭計畫在2025年前，全面升級使用GSM電信網路的無線電。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.pap.pl/en/news/abw-probe-recent-railway-incidents-poland-says-security-official" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--1579413808" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.pap.pl/en/news/abw-probe-recent-railway-incidents-poland-says-security-official</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://twitter.com/PKP_PLK_SA/status/1695244539819090343" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--1737295533" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://twitter.com/PKP_PLK_SA/status/1695244539819090343</span></a><br /> 3. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.wired.com/story/poland-train-radio-stop-attack/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-673880377" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.wired.com/story/poland-train-radio-stop-attack/</span></a><br /> 4. <a href="https://www.bbc.com/news/world-europe-66630260">https://www.bbc.com/news/world-europe-66630260</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.policia.es/_es/comunicacion_prensa_detalle.php?ID=15872"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">西班牙建築公司傳出遭到勒索軟體駭客LockBit網釣攻擊</span></span></strong></a></p> <p><a href="https://www.purfoods.com/notice-of-data-event/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">醫療送餐服務Mom's Meals傳出資料外洩，120萬人受到影響</span></span></strong></a></p> <p><a href="https://cyberscoop.com/kittensec-hacktivism-corruption/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織KittenSec聲稱對多個北約國家下手</span></span></strong></a></p> <p><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-nxos-remoteauth-dos-XB6pv74m"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">思科網路設備作業系統NX-OS存在高風險漏洞，恐導致服務受到阻斷</span></span></strong></a></p> <p><a href="https://www.cisa.gov/news-events/news/vdp-platform-2022-annual-report-showcases-platforms-success"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國CISA發布漏洞揭露政策平臺2022年執行成果</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158458">【8月28日】中國駭客Flax Typhoon鎖定臺灣組織而來，發動寄生攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158448">【8月25日】北韓駭客Lazarus鎖定歐洲、美國組織，利用Zoho ManageEngine服務臺系統漏洞發動攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158431">【8月24日】 DuoLingo用戶個資傳出在駭客論壇兜售，疑似因API臭蟲而外洩</a></strong></p> </div></div></div>
2023/8/29 18:36作者周峻佑https://www.ithome.com.tw/news/158482
強化存取效能、提供更小容量選擇，WD發表新款NVMe SSD
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/wd_ultrastar_dc_sn655_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年8月快閃記憶體高峰會進行期間，WD發表新款NVMe固態硬碟Ultrastar DC SN655，相較於2022年5月推出的Ultrastar DC SN650，兩者大部分規格都相似，例如，皆採用PCIe 4.0介面，導入自家開發、支援NVMe 1.4b標準的控制器，以及112層堆疊設計的BiCS5 TLC 3D NAND快閃記憶體，每日寫入量為1，外形為2.5吋U.3（可相容於U.2），以及提供5年有限保固。</p> <p>而在企業級產品功能的部分，兩款產品均內建斷電保護（Power Loss Protection）、資料路徑全程保護（End-to-End data Path Protection）、可變式儲存區塊（Variable Sector Sizes），以及支援NVMe管理介面標準NVMe-MI 1.1b。</p> <p><a href="https://s4.itho.me/sites/default/files/images/WD Datacenter SSD-2023-08-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Datacenter%20SSD-2023-08-3.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ultrastar-dc-sn655-nvme-ssd-feature2.jpg" style="width: 200px;" /></p> <p>關於支援的應用場景類型，兩者也相同，例如，可用於雲端資料中心、橫向擴展或軟體定義解決方案、大數據、NoSQL或分散式資料庫、AI/ML深度學習、資料歸檔。</p> <p><a href="https://s4.itho.me/sites/default/files/images/WD Datacenter SSD-2023-08.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Datacenter%20SSD-2023-08.jpg" style="width: 600px;" /></a></p> <p>但SN655在部分項目的配置，略勝SN650一籌。例如，儲存容量有7.68 TB、15.36 TB等選擇，還提供3.84 TB的規格，可靠性／平均故障間隔時間（MTBF）達到250萬小時（SN650為200萬小時），而且本身也提供兩個連接埠（dual-port），具有更高的備援與容錯能力。</p> <p>就存取效能方面而言，15.36 TB機型的SN655循序讀寫最高為6.8 GB/s與3.7 GB/s（SN650為6600 MB/s與2800 MB/s），隨機讀寫最高為110萬IOPS與12.5萬IOPS（SN650為97萬IOPS與10.9萬IOPS），讀寫延遲為100微秒與10微秒（SN650為120微秒與20微秒）。</p> <p>在安全銷毀等級的搭配上，SN655針對3種儲存容量，均提供SE（Secure Erase）、ISE（Instant Secure Erase），以及TCG-Ruby。前兩種安全銷毀規格在傳統硬碟與固態硬碟相當常見，SE不加密資料，ISE則會加密資料，SN650也不例外；至於後者，則是信賴運算組織（TCG）儲存工作小組訂定的一種安全子系統類別（SSC），主要針對的是NVMe與採用其他新技術而成的儲存裝置，過去硬碟產品較常見的這類規格是TCG Enterprise與TCG Opal。</p> <p><a href="https://s4.itho.me/sites/default/files/images/WD Security Types.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Security%20Types.png" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>WD Ultrastar DC SN655<br /> ●原廠：WD<br /> ●建議售價：廠商未提供<br /> ●儲存容量：3.84、7.68 TB、15.36 TB<br /> ●耐寫度：每日寫入量為1<br /> ●外形：2.5吋U.3（厚度為15公釐）<br /> ●儲存媒體：3D NAND，TLC（BiCS5）<br /> ●最高讀寫速度：循序6.8 GB/s與3.7 GB/s，隨機110萬IOPS與12.5萬IOPS<br /> ●使用介面：PCIe 4.0 x4/NVMe 1.4<br /> ●可靠度：250萬小時MTBF<br /> ●保固期間：5年</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/8/29 18:51作者李宗翰https://www.ithome.com.tw/review/158451
驗證延伸保護將在今年秋天成為Exchange Server的預設功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/exchange-team-blog/coming-soon-enabling-extended-protection-on-exchange-server-by/ba-p/3911849" target="_blank">微軟周一（8/28）宣布</a>，自今年秋天釋出Exchange Server 2019的2023 H2累積更新（CU 14）之後，原本專為Windows所設計的身分驗證延伸保護（Extended Protection，EP）即會成為Exchange Server的預設功能。</p> <p>EP是用來加強Windows Server上既有的身分驗證功能，以減緩身分驗證的中間人（MitM）攻擊，它允許於IIS中的Windows Authentication建立綁定，連結應用程式層的驗證資訊與較低通訊協定級別的TLS加密，另也藉由於連結中添加客戶正在存取的命名空間來補強，因此，倘若一個MitM並非代表伺服器所預期的命名空間，或是企圖竄改客戶端與伺服器端之間的TLS資訊，那麼綁定便會失效，而無法通過身分驗證。</p> <p>微軟是在去年8月藉由安全更新於Exchange Server中<a href="https://microsoft.github.io/CSS-Exchange/Security/Extended-Protection/" target="_blank">新增EP功能</a>，支援Exchange Server 2013、Exchange Server 2016及Exchange Server 2019，但必須手動啟用，不過，微軟現在打算透過CU 14讓EP成為Exchange Server的預設功能，不過，只有仍處主流支援階段的Exchange Server 2019才能接收CU 14，意謂著其它的Exchange Server版本皆需手動啟用EP。</p> <p>儘管微軟建議所有的Exchange Server客戶都應該於自家環境中啟用EP，但也表示這只是個預設設定，管理人員仍能將它關閉。</p> <p>微軟亦警告，那些並未安裝August 2022安全更新的舊版Exchange Server都被視為持續含有安全漏洞，皆應立即更新，此外，這些舊版Exchange Server也無法與那些啟用EP的新版伺服器正常通訊。</p> </div></div></div>
2023/8/29 14:33作者陳曉莉https://www.ithome.com.tw/news/158476
GitLab Gitaly現已完全支援SHA-256雜湊演算法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在2017年，與荷蘭的數學暨電腦科學研究機構CWI Amsterdam合作，成功破解SHA1雜湊演算法，實現SHA1碰撞，這證明SHA1在當前電腦強大的運算能力面前已經不再可靠，現在已有許多供應商開始提供更安全的加密選項。</p> <p>而版本控制系統Git所使用的加密雜湊函式，也是企業與開發者關注的重點，最近的<a href="https://lore.kernel.org/lkml/[email protected]/">Git 2.42</a>更新，已經將SHA-256支援的實驗性標籤移除，而GitLab也緊接著<a href="https://about.gitlab.com/blog/2023/08/28/sha256-support-in-gitaly/">宣布</a>其Git遠端程序呼叫元件Gitaly開始完全支援SHA-256。</p> <p>SHA1在Git系統扮演重要角色，每個提交到Git的內容，都會透過SHA1演算法生成一個40字元長度的16進位雜湊值，這個值可作為唯一標示，而Git也會用這個唯一數值，作為資料儲存位置的參考，當兩個檔案和資料夾的內容完全相同，則會有相同的SHA1雜湊值，Git可以用這個特性高效率地儲存重複的內容。</p> <p>在2017年Google生成雜湊碰撞後，證明SHA1不再絕對安全，雖然Git專案因為其儲存物件的方式，目前未受此類攻擊，但是Git提到，針對SHA-1的攻擊也會影響Git，而這只是時間上的問題。當SHA1發生碰撞時，代表著不同資料會對應到相同的雜湊值，對Git系統產生多項安全性衝擊，當不同的兩個資料具有相同的雜湊值，遭惡意攻擊者竄改的資料便可佯裝成合法檔案資料，使變更看起來與正常資料無異。</p> <p>雖然實際發生有意義的SHA-1碰撞機會非常少，而有意義的SHA-1碰撞機會是指，在Git中創建兩個有意義且不同的提交，卻具有相同雜湊值的情況，需要相對高的運算資源和特定條件，因此目前大多數Git使用者所面對的實際風險仍然偏低，但考量運算能力日益提升，而且美國聯邦單位諸如NIST和CISA的指導方針，也都明確設定了2030年SHA-1退場時間，因此各單位也都開始規畫將SHA-1轉移至更安全的SHA-256等演算法，而Git目前則已經完成這項工作。</p> <p>SHA-256同樣是一種雜湊演算法，會對給定的資料生成固定長度64位元的16進位雜湊值，Git同樣可使用SHA-256演算法生成提交和Git物件的ID。SHA-256在2020年推出的Git 2.29，以實驗性功能加入，但是在最近剛發布的Git 2.42版本，官方決定拿掉實驗性標籤。</p> <p>而隨即GitLab宣布其處理Git儲存庫的元件Gitaly，開始完全支援SHA-256，官方提到，雖然在正式提供SHA-256儲存庫之前，還需要對GitLab應用程式進行調整，但這是一個重要的里程碑。從可用性角度來看，SHA-256和SHA-1沒有顯著差異，GitLab認為個人專案可以使用SHA-1就好，但考量安全理由，公司與組織可以改用SHA-256儲存庫。</p> <p>事實上，過去<a href="https://gitlab.com/groups/gitlab-org/-/epics/794#note_1236055264">GitLab官方認為</a>，支援SHA-256並非他們需要優先提供給用戶的功能，但隨著距離聯邦機構禁用SHA-1的期限將至，GitLab官方才提到要盡快支援SHA-256。不過值得注意的是，SHA-256儲存庫目前並沒有辦法與SHA1儲存庫互通，而Git預設值仍是使用SHA1。</p> <p><a href="https://github.com/orgs/community/discussions/12490">GitHub對此則沒有明確的動作</a>，GitHub在2021年的時候將SHA-256支援列進發展路線中，但是目前對SHA-256支援沒有給出官方的回應。</p> </div></div></div>
2023/8/29 13:25作者李建興https://www.ithome.com.tw/news/158475
OpenAI推出ChatGPT Enterprise服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI本周一（8/29）正式發表了ChatGPT Enterprise，提供基於GPT-4的企業等級ChatGPT服務，除了支援無限的GPT-4存取能力，更長的輸入/輸出，以及進階的資料分析能力之外，它還具備企業所需的安全及隱私功能。</p> <p>OpenAI於去年11月發表的ChatGPT為一基於大型語言模型的聊天機器人，<a href="https://www.ithome.com.tw/news/155395" target="_blank">它不僅在上線兩個月就吸引了全球逾1億用戶</a>，迄今也有超過8成的財星500強（Fortune 500）企業採用了ChatGPT。</p> <p>不過，免費版的ChatGPT並沒有任何的服務保證，在尖峰時段可能無法存取，或是反應變慢，並有輸入限制，<a href="https://www.ithome.com.tw/news/155347" target="_blank">今年2月上線的付費版ChatGPT Plus移除了相關限制</a>，本周的ChatGPT Enterprise則嵌入了企業所需的安全、隱私與其它進階功能。</p> <p>根據OpenAI的說明，ChatGPT Enterprise具備大規模部署能力，將移除所有使用限制，且執行速度可達免費版的兩倍快，並支援長達32k Token的輸入，是免費版的4倍，可無限存取先前稱為Code Interpreter的資料分析服務，可共享的聊天範本，以及免費的APIs使用額度。</p> <p>此外，OpenAI也承諾不會使用ChatGPT Enterprise客戶的資料來訓練模型，不管是靜態或傳輸中的資料都是加密的，亦符合系統與組織控制的SOC 2標準。</p> <p><a href="https://www.ithome.com.tw/news/157859" target="_blank">微軟在今年7月也發表</a>了基於GPT-4的Bing Chat Enterprise，現為Microsoft 365 E3、E5及Business Standard、Business Premium版本的內建功能，並計畫推出可單獨訂閱的Bing Chat Enterprise，每月訂閱費用為5美元。至於OpenAI則尚未公布ChatGPT Enterprise的價格。</p> </div></div></div>
2023/8/29 12:06作者陳曉莉https://www.ithome.com.tw/news/158474
Google現在也可以搜尋到.CSV檔
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google搜尋可以搜到的檔案類型愈來愈多。<a href="https://developers.google.com/search/docs/crawling-indexing/indexable-file-types" target="_blank">Google近日更新搜尋的技術文件</a>，將支援的檔案類型擴及.CSV檔。</p> <p>本周<a href="https://searchengineland.com/google-search-can-now-index-csv-files-431184" target="_blank">Searchengineland記者首先發現</a>Google文件在「可建立索引的檔案類型」中加入了這之前沒有的類型（<a href="https://developers.google.com/search/docs/crawling-indexing/indexable-file-types?hl=zh-tw" target="_blank">中文版還未更新</a>）。<a href="https://twitter.com/rustybrick/status/1695044167540310248" target="_blank">微軟用戶端暨體驗部門首席計畫經理John Mueller則證實</a>，不僅是文件最新變更，也是剛剛才加入Google搜尋的新功能。</p> <p>CSV（comma-separated values）檔是一種試算表的檔案格式，其中的字母和格式以逗號分隔。這類檔案通常用於不同應用程式之間交換大量資料，例如連絡人、客戶、訂單或人口統計資料。一般資料庫、分析軟體或應用程式都支援CSV，有多種用途，例如學術單位取得政府人口統計資料來分析，或線上商店轉換電商平臺匯入客戶帳號等。</p> <p>這讓Google搜尋可以搜尋的網路資源更多。Google近年陸續將<a href="https://www.ithome.com.tw/news/98296" target="_blank">推特即時貼文</a>、IG與<a href="https://www.ithome.com.tw/news/142004" target="_blank">TikTok影片</a>及討論區、<a href="https://www.ithome.com.tw/news/153343" target="_blank">論壇</a>納入搜尋範圍。今年5月又加入<a href="https://www.ithome.com.tw/news/156833" target="_blank">Perspective篩選</a>，著重找出其他人的心得或經驗分享及意見。<a href="https://www.ithome.com.tw/news/158106" target="_blank">Google最近則是積極實驗以AI為搜尋加值</a>，例如為搜尋內容生成摘要等。</p> </div></div></div>
2023/8/29 10:55作者林妍溱https://www.ithome.com.tw/news/158471
微軟已悄悄終止了商務版OneDrive無上限儲存方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>除了Dropbox要終止無限量的儲存方案，微軟也在今年稍早悄悄喊停了不限空間版本的商用版OneDrive（OneDrive for Business）方案。</p> <p><a href="https://www.ithome.com.tw/news/158460" target="_blank">上周Dropbox宣布</a>，為近來發現少數用戶濫用其原提供給企業的Dropbox Advanced無限量儲存空間服務，作為挖礦及和他人共用等非企業用途、甚至轉售空間獲利，該公司決定取消這項服務，而轉為定量計價方案，3個授權只能使用15TB儲存空間。在上周的說明中，Dropbox提及，這些濫用行為是在近日其他雲端儲存業者取消無上限儲存後大增。但之前並沒有雲端廠商宣布此事。</p> <p><a href="https://www.techradar.com/pro/exclusive-microsoft-quietly-ends-unlimited-cloud-storage-option-on-onedrive" target="_blank">上周Techradar首先報導</a>原因可能是微軟。他們發現微軟上個月悄悄終結了OneDrive for Business（商務用OneDrive）方案2，這個方案以每授權每月10美元提供不限量的雲端儲存空間。依據Archive.org暫存網頁的紀錄，時間可能是在<a href="https://web.archive.org/web/20230628230525/https://www.microsoft.com/en-us/microsoft-365/onedrive/compare-onedrive-plans?activetab=tab%3Aprimaryr2" target="_blank">6月28日</a>到<a href="https://web.archive.org/web/20230714220922/https://www.microsoft.com/en-us/microsoft-365/onedrive/compare-onedrive-plans?activetab=tab:primaryr2" target="_blank">7月14日</a>之間。</p> <p>現在商務用OneDrive僅剩方案1，每授權5美元，配置1TB空間。<a href="https://www.microsoft.com/zh-tw/microsoft-365/onedrive/compare-onedrive-plans#xeb2a58a249984e1d98470fcebeeac086" target="_blank">目前台灣微軟網頁也只剩下商務用OneDrive方案1的選項</a>，費用為每人每月150臺幣。</p> <p>微軟向媒體證實此事。微軟的說法是為了回應客戶需求，因此決定簡化商務用OneDrive方案的客戶採購流程。微軟表示這些方案的用戶還是可以依人數單獨採購並更新授權。</p> <p>再不然用戶就得改買包含M365、Exchange、SharePoint及Teams等雲端應用的Microsoft 365 Business Basic（商務基本版）或Business Standard（商務標準版），每授權月費各為6美元及12.5美元，但也都只配置了1TB OneDrive空間。</p> </div></div></div>
2023/8/29 11:08作者林妍溱https://www.ithome.com.tw/news/158473
雲端資料倉儲BigQuery現可生成文字嵌入強化自然語言應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端資料倉儲服務BigQuery加入<a href="https://cloud.google.com/blog/products/data-analytics/introducing-bigquery-text-embeddings">文字嵌入（Text Embedding）生成</a>功能，開發者將可以透過熟悉的SQL指令擷取文字嵌入，並將其應用到下游應用程式中。目前BigQuery所支援的文字嵌入，可由textembedding-gecko、BERT、NNLM以及SWIVEL模型所生成。</p> <p>這項新功能的使用流程，由註冊需要的模型成為遠端模型開始，接著用戶就可以使用生成文字嵌入函式來生成嵌入，而這些操作都僅使用BigQuery SQL就可以完成。文字嵌入是一個由文字轉化而來的向量，可用來尋找相似的項目，像是語義搜尋、分類、分群、異常偵測和或是對話式介面等應用。</p> <p>BigQuery新支援的4種模型嵌入，其中textembedding-gecko是運用Google語言模型PaLM生成嵌入，其他三個模型BERT、NNLM以及SWIVEL，則都可以從TensorFlow Hub選用。BERT是Transformer架構的深度預訓練網路，可針對自然語言生成密集的向量表示，NNLM與SWIVEL則是以英文Google新聞語料庫訓練而成。</p> <p>同時，官方也宣布開始支援array<numeric>特徵類型結構，使這些生成出來的嵌入，可被其他BigQuery支援的機器學習模型所使用，並根據向量空間的鄰近度與距離進行資料分析。</p> </div></div></div>
2023/8/29 08:28作者李建興https://www.ithome.com.tw/news/158466
臺灣企業組織遭到中國駭客Flax Typhoon寄生攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟揭露<a href="https://www.microsoft.com/en-us/security/blog/2023/08/24/flax-typhoon-using-legitimate-software-to-quietly-access-taiwanese-organizations/">中國駭客組織Flax Typhoon約自2021年中發起的攻擊行動</a>，其主要目標是臺灣的政府機關、教育機構、重要製造商、資訊科技組織等數十個單位，但研究人員也有看到東南亞、北美、非洲的組織受害。</p> <p>這些駭客鎖定可透過網際網路存取的伺服器，例如：VPN主機、網頁伺服器、SQL Server資料庫等，利用已知漏洞取得初期存取的權限，然後部署大小僅有4 KB的Web Shell中國菜刀（China Chopper），以便遠端執行命令，過程中駭客可能為了提升權限，他們會透過開源程式Juicy Potato或BadPotato來利用系統的已知漏洞，取得管理者層級的權限。</p> <p>接著，駭客利用登錄檔關閉網路層身分驗證（NLA），且透過粘滯鍵（Sticky Keys）建立遠端桌面連線（RDP），而能夠持續存取受害伺服器，甚至取得啟動終端機、導出記憶體內容的能力。</p> <h3><span style="color:#0000FF;"><strong>濫用開源VPN應用程式建立新的存取管道，並進一步用來攻擊其他受害電腦</strong></span></h3> <p>特別的是，駭客為了跳脫他們設計的RDP只能存取內部網路的限制，再度透過寄生攻擊（LOLBins）手法，利用名為Invoke-WebRequest的PowerShell指令碼，或是Bitsadmin、certutil，部署SoftEther的VPN用戶端程式。再者，駭客也透過WinRM、WMIC來進行橫向移動。</p> <p>攻擊者為了避免建立的VPN連線被發現，他們採取了多種措施。在部署之前，駭客會調查企業環境裡存在的VPN應用程式；再者，在大部分的攻擊行動裡，駭客會將VPN應用程式的可執行檔重新命名成Windows元件的名稱，如：conhost.exe或dllhost.exe，這些分別是名為Console Window Host Process、Component Object Model Surrogate元件的檔案名稱。其次，他們濫用SoftEther的VPN-over-HTTPS操作模式，使得相關網路流量被封裝成相容於HTTPS的資料，並透過TCP通訊協定443埠進行傳輸。如此一來，企業組織難以識別這種VPN連線與一般的HTTPS流量。</p> <p>而上述的VPN連線駭客還進一步加以利用，透過SoftEther的VPN橋接功能，將網路攻擊流量路由到其他的受害系統，這些流量被用於網路掃描、漏洞掃描、弱點嘗試利用等。</p> <p>一旦駭客成功建立上述的VPN存取管道，通常他們就會利用Mimikatz，鎖定本機安全認證子系統服務（LSASS）處理程序占用的記憶體內容、安全性帳號管理員（SAM）登錄檔配置的內容，來竊取本機用戶的密碼雜湊值，然後進一步存取受害組織網路環境的其他資源。此外，駭客還會列舉系統還原功能的還原點，目的是從中了解受害電腦狀態，或是抹除惡意活動的跡象。</p> </div></div></div>
2023/8/28 22:43作者周峻佑https://www.ithome.com.tw/news/158467
提供更多Ada架構產品，輝達補足中階專業繪圖加速卡選擇
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/nvidia_rtx_5000_ada_generation_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一年來，Nvidia陸續推出多款導入Ada Lovelace架構的專業繪圖加速卡，首先是去年9月GTC秋季大會登場的<a href="https://www.ithome.com.tw/review/155388">RTX 6000 Ada Generation</a>，到了今年3月GTC春季大會，<a href="https://nvidianews.nvidia.com/news/nvidia-redefines-workstations-to-power-new-era-of-ai-design-industrial-metaverse">該公司發表更多採用此架構的GPU產品</a>，像是：可安裝在桌上型電腦工作站的RTX 4000 SFF Ada Generation，以及整合在筆電工作站的多款獨立GPU晶片，例如，名稱後段冠上Ada Generation的RTX 5000、RTX 4000、RTX 3500、RTX 3000、RTX 2000。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20GTC-Pro%20Graphics-2023-03-20_122244.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20GTC-Pro%20Graphics-2023-03-20_1220421.jpg" style="width: 600px;" /></p> <p>在8月上半舉行的Siggraph大會，Nvidia繼續推出3款桌上型電腦工作站專業繪圖GPU，分別是：RTX 5000、RTX 4500、RTX 4000，都採用Ada Lovelace架構，因此，產品全名後段均標示Ada Generation，強調可提供最新AI、繪圖處理，以及即時渲染等技術。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-08-08-Nvidia Pro Graphics update1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-08-Nvidia%20Pro%20Graphics%20update1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-Nvidia RTX Ada Generation Desktop.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-Nvidia%20RTX%20Ada%20Generation%20Desktop.png" style="width: 600px;" /></a>\</p> <p>相較於上一代採用Ampere架構的專業繪圖加速卡，這批產品在運算效能最高可提升1倍。針對單精度浮點運算處理，配置新架構的CUDA核心，可提供2倍的效能，舉例來說，既有的RTX A5000為27.8 TFLOPS，新進的RTX 5000 Ada Generation為65.3 TFLOPS。</p> <p>針對AI訓練工作，搭配第四代Tensor核心的新產品，能達到2倍效能，而且也因為擴充支援FP8運算處理，在同時使用寬鬆處理的作法之下，效能還能再提升。例如，現行RTX A5000的Tensor效能為222.2 TFLOPS， RTX 5000 Ada Generation的Tensor效能為1044.4 TFLOPS。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-08-Nvidia%20Pro%20Graphics%20update2.jpg" style="width: 600px;" /></p> <p>在同時執行光線追蹤搭配著色或降噪功能時，這批配置第三代RT核心的新產品，可提供2倍吞吐量。而對於搭配AI運算的即時圖形處理，由於Ada Lovelace架構採用全新的光學流動加速器（Optical Flow Accelerator），以及AI影格產生（AI frame generation），而能支援Nvidia發展的第三代深度學習超高取樣技術（DLSS 3）運算，將影像的逼真度與可互動性提升至新的境界。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia DLSS3 and Optical Flow Accelerator.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20DLSS3%20and%20Optical%20Flow%20Accelerator.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia DLSS3 Engine Motion Vectors and Optical Flow.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20DLSS3%20Engine%20Motion%20Vectors%20and%20Optical%20Flow.jpg" style="width: 600px;" /></a></p> <p>關於多媒體編碼標準的運用，因為Ada Lovelace架構針對日益普及的<a href="https://developer.nvidia.com/blog/av1-encoding-and-fruc-video-performance-boosts-and-higher-fidelity-on-the-nvidia-ada-architecture/">AV1提供更完整的支援</a>，連帶使得這一批新款專業繪圖加速卡受惠。像是RTX A5000內建AV1解碼引擎，RTX 5000 Ada Generation同時提供AV1的編碼與解碼引擎。</p> <p>在GPU記憶體配置上，Ada Generation產品也提供較大容量。例如，同為5000等級的款式，RTX A5000與RTX A5500均內建24 GB記憶體，RTX 5000 Ada Generation則是32 GB；同屬4000等級的款式，RTX A4500與RTX A4000分別搭配20 GB與16 GB記憶體，RTX 4500 Ada Generation搭配24 GB，RTX 4000 Ada Generation與RTX 4000 SFF Ada Generation搭配20 GB。</p> <p>然而，若以GPU記憶體存取規格比較兩代產品，我們可以發現不一定呈現新品較強的配置。例如，RTX A5500、RTX A5000的記憶體介面為384位元、頻寬為768 GB/s，但RTX 5000 Ada Generation為256位元、576GB/s；RTX A4500的記憶體介面為320位元、頻寬為640 GB/s，RTX 4500 Ada Generation為192位元、432 GB/s；RTX A4000的記憶體介面為256位元、頻寬為448 GB/s，RTX 4000 Ada Generation為160位元、360 GB/s。</p> <p>唯一例外的是，RTX A6000 與RTX 6000 Ada Generation這個位階的款式，它們皆採用384位元介面，頻寬各為768 GB/s、960 GB/s。</p> <p><a href="https://s4.itho.me/sites/default/files/images/NVIDIA Professional Graphics Solutions-2023-08-25.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NVIDIA%20Professional%20Graphics%20Solutions-2023-08-25.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>Nvidia RTX 5000 Ada Generation<br /> ●原廠：Nvidia<br /> ●建議售價：4,000美元起<br /> ●CUDA處理核心數量：12,800個<br /> ●Tensor Core數量：400個<br /> ●RT Core數量：100個<br /> ●內建記憶體容量：32 GB GDDR6<br /> ●記憶體頻寬：576 GB/s<br /> ●連接介面：PCIe 4.0 x16<br /> ●支援NVLink：否<br /> ●單精度運算效能：65.3 TFLOPS<br /> ●外觀尺寸：雙槽全高<br /> ●DisplayPort埠：1.4a版規格，4個<br /> ●耗電量：250瓦<br /> ●支援繪圖處理API：Shader Model 6.7、OpenGL 4.6、DirectX 12、Vulkan 1.3<br /> ●支援運算處理API：CUDA 12.2、DirectCompute、OpenCL 3.0</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/8/28 23:34作者李宗翰https://www.ithome.com.tw/review/158433
Dell新推電信邊緣伺服器，搭配內建vRAN加速的英特爾處理器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/dell_poweredge_xr5610_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年2月底舉行的世界行動通訊大會（MWC 2023），英特爾發表內建vRAN Boost技術的<a href="https://www.ithome.com.tw/tech/155638">第四代Xeon Scalable處理器</a>，針對5G核心網路的軟體應用工作負載而來，相較於採用上一代Xeon Scalable處理器的設備，能在相同功耗範圍當中，提供兩倍的處理容量，而且由於提供vRAN Boost技術（處理器內建vRAN加速器），毋須搭配獨立的加速運算卡，因此能節省20％的耗電量。</p> <p>到了8月，<a href="https://community.intel.com/t5/Blogs/Tech-Innovation/Edge-5G/Intel-Brings-to-Market-World-s-First-vRAN-Processor-with-Fully/post/1510974">英特爾宣布這批處理器的供應進入商業部署階段</a>，也連帶引發外界好奇，想了解目前有哪些市售伺服器產品可與其搭配。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-H1-Dell Server Next.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-H1-Dell%20Server%20Next.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-H1-Telecom Server.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-H1-Telecom%20Server.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-H1-Enterprise Edge Server.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-H1-Enterprise%20Edge%20Server.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-02-DELL_12959_XR-rugged-server.jpg" style="width: 300px;" /></p> <p>據我們所知，Dell的XR5610與XR8000應該是最早公開宣布支援這批處理器的事售專屬伺服器機型，從該公司在今年MWC大會期間展示的產品，以及發表的部落格文章表示，這兩款機型都是專為邊緣與Open RAN部署環境需求而設計，其中的XR5610為單節點單路硬體強固型伺服器，通過軍規MIL-STD-810H與電信機房等級的NEBS Level 3測試，採用1U尺寸短機身的機箱，可設置在瀰漫灰塵與極端溫濕度的環境，適用於電信、國防、企業等領域的邊緣運算。</p> <p>另一款XR8000是多節點伺服器，提供高密度的運算配置，可安裝多個1U與2U高度的運算模組，對於Open RAN環境的部署，可提供更理想的總持有成本與效能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-02-Dell Telecom Edge Server2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-02-Dell%20Telecom%20Edge%20Server2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-02-Dell Telecom Edge Server1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-02-Dell%20Telecom%20Edge%20Server1.jpg" style="width: 600px;" /></a></p> <p>截至目前為主，這兩款伺服器已陸續推出，Dell在4月底揭露XR5610的細部規格表與產品技術指南，至於XR8000的這兩份技術資訊則是8月公開。</p> <p>以稍早上市的XR5610來看，Dell強調，這款新一代的機型，是繼承2021年第一款專為電信邊緣環境設計的伺服器XR11，所能運用的環境溫度範圍均為攝氏零下5度到55度。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-02-Dell XR5610-front.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-02-Dell%20XR5610-front.jpg" style="width: 600px;" /></a></p> <p>兩款機型的機箱尺寸大同小異，長度與寬度皆為42.8公釐、482.6公釐，但XR5610的深度略大——在移除面板的狀態下，XR11無論採用機箱的前方存取（Front Accessed）或後方存取（Rear Accessed）的組態，深度均為463公釐，XR5610採用前方或後方存取時，深度各為472.7公釐、463公釐。就硬碟儲存裝置而言，受限於機箱尺寸同樣狹隘，XR5610與XR11最多可安裝4臺2.5吋固態硬碟。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/poweredge-xr-5610-pdp-mod03-4SSD.jpg" style="width: 600px;" /></p> <p>值得注意的是，XR5610開始導入14代PowerEdge開始採用系統散熱技術：Multi Vector cooling 3.0，提升冷卻設計，使伺服器機箱內部的氣流通道更順暢，將空氣傳送至需要散熱的部位，並且能在不犧牲系統冷卻基準的需求之下，提供自定散熱的選項，以減少風扇與整體系統的耗電量。若粗略對照XR5610與XR11的相關規格，我們可以看到前者採用6臺標準型風扇，後者則用6臺高效能風扇，耗電量應有明顯差異。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell XR5610_XR11-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20XR5610_XR11-1.png" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-02-Dell%20XR5610-back.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/XR5600-Inside%20view%20of%20the%20system.jpg" style="width: 298px;" /></p> <p>在系統運算規格方面，Dell新一代電信邊緣伺服器產品有較大幅度的改良。首先是處理器，XR11搭配的英特爾第三代Xeon Scalable系列，XR5610則是採用2023年最新發表的第四代Xeon Scalable系列，第一階段可選用單路通用型的3408U、5412U，儲存與超融合最佳化型的5416S，以及5G或網路最佳化型的6421N，隨著英特爾8月宣布內建vRAN加速器款式的CPU進入商用部署階段，Dell也正式開放4款vRAN最佳型款式的搭配，分別是：6433 N、5423 N、6423 N、6403 N，供應有意發揮這方面晶片整合特色的用戶。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-02-Intel%20MWC-Xeon%20With%20vRAN%20Boost2.jpg" style="width: 198px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-02-Intel%20MWC-Xeon%20With%20vRAN%20Boost.jpg" style="width: 398px;" /></p> <p>伴隨著處理器平臺更新而來的特色，則是XR5610可搭配頻寬加倍與時脈更高的DDR5記憶體，以及傳輸速率更高的新一代I/O介面PCIe 5.0。基於這樣的介面，這款產品能安裝2張GPU、加速網路L1層處理的運算卡，以及可擴充使用更多SATA/SAS/NVMe裝置的儲存控制卡等功能擴充卡（XR11可安裝3張支援PCIe 4.0規格的介面卡）。</p> <p>而在其他周邊I/O規格方面，兩款機型均內建4個25GbE網路埠，XR5610還可選購OCP 3.0規格的夾層卡；就加速運算卡的搭配數量而言，XR5610最多可安裝2張熱設計功耗為75瓦或150瓦的GPU，XR11同樣能安裝2張GPU，但功耗需為70瓦以下。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell XR5610_XR11-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20XR5610_XR11-2.png" style="width: 600px;" /></a></p> <p>關於連接埠的部分，XR5610無論採用前方或後端存取，不僅提供USB 2.0與3.0埠，也設置獨立的RJ45埠用於乾接點（dry contact）信號的接入，Dell表示，透過這樣的輸入介面，可連接環境感測器，以獲取邊緣設備機箱的各種狀態，像是機箱開啟警報、濕度偵測，協助遠端管理者判斷伺服器目前所在環境的變化。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20XR5610-7620-8000-2023.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>Dell PowerEdge XR5610<br /> ●原廠：Dell<br /> ●建議售價：7,457.64美元起<br /> ●機箱尺寸：1U<br /> ●處理器：1顆英特爾第4代Xeon Scalable系列（最多32核心）<br /> ●記憶體：8個DDR5-4800插槽，最大可安裝至1 TB<br /> ●硬碟容量：前端可容納4臺2.5吋SATA/SAS/NVMe固態硬碟（最大30.72 TB）<br /> ●PCIe擴充介面：2個5.0 x16，可安裝2張全高半長介面卡（熱功耗為75瓦的GPU）<br /> ●電源供應器：1800/1400/1100/800瓦（1+1備援）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/8/28 18:39作者李宗翰https://www.ithome.com.tw/review/158455
【資安日報】8月28日，中國駭客Flax Typhoon鎖定臺灣組織而來，發動寄生攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面對臺海的緊張局勢，中國駭客鎖定臺灣的任何攻擊行動格外受到關注。上週微軟揭露的新駭客組織Flax Typhoon，就鎖定臺灣數十個企業組織下手，進行長時間的網路間諜行動，值得一提的是，駭客為了隱匿攻擊行動，大量就地取材，運用寄生攻擊（LOLBins）手法，儘可能使用最少的惡意軟體來達成目的。</p> <p>無論是提升權限、建立遠端存取的管道，或是在受害組織的內部網路進行橫向移動，這些駭客大部分都利用Windows作業系統內建元件來進行，使得資安人員難以察覺異狀。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/08/24/flax-typhoon-using-legitimate-software-to-quietly-access-taiwanese-organizations/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣企業組織遭到中國駭客Flax Typhoon寄生攻擊</span></strong></a></p> <p>微軟揭露中國駭客組織Flax Typhoon約自2021年中發起的攻擊行動，其主要目標是臺灣的政府機關、教育機構、重要製造商、資訊科技組織等數十個單位，但研究人員也有看到東南亞、北美、非洲的組織受害。</p> <p>這些駭客鎖定可透過網際網路存取的伺服器，例如：VPN主機、網頁伺服器、SQL Server資料庫等，利用已知漏洞取得初期存取的權限，然後部署大小僅有4 KB的Web Shell中國菜刀（China Chopper），以便遠端執行命令，過程中駭客可能為了提升權限，他們會透過開源程式Juicy Potato或BadPotato來利用系統的已知漏洞，取得管理者層級的權限。接著駭客利用登錄檔關閉網路層身分驗證（NLA），且透過粘滯鍵（Sticky Keys）建立遠端桌面連線（RDP），而能夠持續存取受害伺服器，甚至取得啟動終端機、導出記憶體內容的能力。</p> <p>特別的是，駭客為了跳脫他們設計的RDP只能存取內部網路的限制，再度透過寄生攻擊（LOLBins）手法，利用名為Invoke-WebRequest的PowerShell指令碼，或是Bitsadmin、certutil，部署SoftEther的VPN用戶端程式。再者，駭客也透過WinRM、WMIC來進行橫向移動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1_-Flax-Typhoon-attack-ch.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1_-Flax-Typhoon-attack-ch.png" style="width: 580px;" /></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/kroll-data-breach-exposes-info-of-ftx-blockfi-genesis-creditors/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">風險控管業者Kroll員工遭遇SIM卡挾持攻擊，破產申請人資料恐外洩</span></strong></a></p> <p>根據Bleeping Computer、<a href="https://thehackernews.com/2023/08/kroll-suffers-data-breach-employee.html">Hacker News</a>、<a href="https://krebsonsecurity.com/2023/08/kroll-employee-sim-swapped-for-crypto-investor-data/">Krebs on Security</a>等多家資安新聞網站報導，正在協助已宣布破產的加密貨幣業者FTX、BlockFi、Genesis清償債務的風險控管業者Kroll，傳出遭未經授權的外部人士存取內部系統的資料外洩事故，FTX、BlockFi透露此事，並表示曝露的個資為部分債權人的非敏感資料，兩家公司的系統沒有直接遭到破壞，他們用戶的密碼及資金未受到波及。</p> <p>Kroll也在8月25日發出聲明證實此事，並指出是19日有人對其中一名員工的T-Mobile帳號發動攻擊所致，導致該電信業者依照這位假裝是用戶本人的駭客指示，將該手機門號移轉到駭客名下，過程中並未獲得員工的授權。駭客疑似藉此存取部分BlockFi、FTX、Genesis債權人的資料，該公司已針對3個受到影響的帳號採取保護行動，並寄送電子郵件通知受影響的人士。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/FTX_Official/status/1694899217326608611">https://twitter.com/FTX_Official/status/1694899217326608611</a><br /> 2. <a href="https://twitter.com/BlockFi/status/1694844414294704547">https://twitter.com/BlockFi/status/1694844414294704547</a><br /> 3. <a href="https://www.kroll.com/en/about-us/news/security-incident">https://www.kroll.com/en/about-us/news/security-incident</a></p> <p><a href="https://www.welivesecurity.com/en/eset-research/scarabs-colon-izing-vulnerable-servers/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意工具組Spacecolon被用於散布勒索軟體Scarab</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CosmicBeetle-5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CosmicBeetle-5.png" style="width: 300px; float: right;" /></a>資安業者ESET揭露土耳其駭客組織CosmicBeetle的攻擊行動，駭客從2020年5月，利用名為Spacecolon的惡意工具包，鎖定存在ZeroLogon漏洞的電腦，或是能夠暴力破解的遠端桌面連線（RDP）伺服器下手，一旦成功入侵便會部署攻擊工具包的ScHackTool元件，進而透過其他工具來停用防毒軟體或資安防護元件，並收集敏感資料以便獲得進一步的存取權限。</p> <p>接著，駭客部署工具包的另一個元件ScInstaller，並將其用於安裝遠端存取工具ScService，最終植入勒索軟體Scarab。在部分攻擊行動裡，駭客透過開源的網路掃描工具Impacket取代ScInstaller，不過，也有未用ScHackTool的情況。此外，在研究人員看到的勒索軟體當中，內含了名為ClipBanker的剪貼簿挾持軟體，該惡意程式竄改使用者複製的加密貨幣錢包地址，將資金轉到攻擊者的錢包。</p> <p>特別的是，研究人員發現在部分情境裡，駭客還會執行.NET程式ScPatcher，修補受害系統的特定漏洞，但目前無人知道他們為何這麼做。</p> <p><a href="https://adlumin.com/post/playcrypt-ransomware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Play鎖定安全服務代管業者下手，利用已知漏洞發動攻擊</span></strong></a></p> <p>資安業者Adlumin揭露勒索軟體Play近期的攻擊行動，主要標的是美國、澳洲、英國、義大利的地方政府，以及金融、軟體產業、法律事務所、航運公司、物流業等中端企業，駭客先是針對上述企業組織的代管服務供應商（MSP）下手，然後利用遠端監控及管理（RMM）軟體，進而繞過大部分的資安系統，取得目標組織完整的存取權限。</p> <p>除了上述的供應鏈攻擊手法，駭客也有可能透過其他應用系統的漏洞，例如：FortiOS防火牆作業系統的SSL VPN漏洞CVE-2018-13379、CVE-2020-12812，以及Exchange漏洞ProxyNotShell、OWASSRF等。此外，為了防範資安系統察覺整個檔案遭到竄改，駭客利用間歇性加密手法來迴避偵測。</p> <p><a href="https://tw.nextapple.com/local/20230825/93A44888325E141E344987CC1A090A49"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣大型加密貨幣交易業者麒點科技因工程師報復，部分程式交易出現鉅額虧損，法院判決出爐</span></strong></a></p> <p>2020年臺灣大型加密貨幣交易業者麒點科技（Kronos Research）發生部分程式交易出現鉅額虧損，經過調查是陳姓、許姓2名工程師於同年5月1日、9日，疑似不滿公司並未依照約定發出獎金，在12日離職前共謀於交易程式Zeus當中埋入錯誤的參數，造成多筆交易執行最差的交易策略，導致該公司粗估虧損140萬美元（相當於新臺幣4,451萬元）。</p> <p>臺北地檢署於2022年1月27日起訴2人，近期判決出爐，臺北地方法院認為，2人當時仍任職，但沒有忠實執行職務，濫用資訊專業導致公司受到損害，審酌2人坦承部分犯行、沒有前科，依無故變更、刪除他人電腦電磁紀錄罪，判陳男8月徒刑，另依偽造文書、無故入侵電腦罪，合併判陳男8月徒刑，得易科罰金24萬元；許男則被依無故變更、刪除他人電腦電磁紀錄、偽造文書罪，合併判刑10月得易科罰金30萬元，全案仍可上訴。究竟這2名工程師造成損失的規模如何？判決中並未提及，麒點科技已向2人提起附帶民事求償。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.cna.com.tw/news/afe/202308240374.aspx"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">企業風險意識提高，2022年資安險保費破4億元</span></strong></a></p> <p>8月24日金融監督管理委員會公布2022年企業投保資安保險的情況，全年投保件數累計達到604件，較去年增加6.15%；簽章保費達到4.02億元，年增68.96%，無論簽單保費或投保件數，皆創下統計新高。而對於今年上半的部分，簽單保費為2.05億元，較去年同期增加36.67%，金管會認為，若下半年維持上半年的投保意願，今年有望再創資安險簽單保費新紀錄。</p> <p>金管會保險局副局長林志憲指出，產險公司資安險保費收入從2018年8,908萬元，穩定成長至2022年的4.02億元，顯示近年企業透過資安險移轉資安風險意識提高。金管會指出，除了針對大型企業資安需求提供的客製化保單，產險業者近年也推出3類險種較適合中小企業投保的險種，讓資安保險投保門檻降低，分別是資訊系統不法行為險、資料保護責任險、資訊安全綜合險。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.cna.com.tw/news/afe/202308270019.aspx"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">2022年智慧型手機資安抽測結果出爐，數位部表示今年將增加測試項目</span></strong></a></p> <p>數位發展部去年承接國家通訊傳播委員會（NCC）的智慧型手機內建軟體資安檢測業務，針對蘋果iPhone 13、三星Galaxy S22 Ultra、Sony Xperia 1 IV、Google Pixel 6等12款高銷量手機，以及5款中國品牌手機進行檢驗，8月27日公布結果，17款手機全數過關。</p> <p>今年數位部從8月開始新一輪的手機資安檢測作業，同樣挑選12款高銷量手機、5款中國品牌手機檢查，並預計在2024年5月前完成，但有別於過往從臺灣資通產業標準協會（TAICS）測試規範挑選項目進行檢驗，有鑑於愈來愈多使用者透過手機消費，數位部今年調整部分檢驗項目，並表示曝露的個資為部分債權人的非敏感資料，兩家公司的系統沒有直接遭到破壞，他們用戶的密碼及資金未受到波及。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.leparisien.fr/economie/six-millions-de-personnes-pourraient-etre-concernees-par-un-vol-de-donnees-a-pole-emploi-23-08-2023-VWPYOMBSWZDPVDW7LWHJA2KIGU.php"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">法國政府失業救濟機構資料外洩，曝露千萬人個資</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/leaseweb-is-restoring-critical-systems-after-security-breach/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">雲端服務業者Leaseweb疑似遭到入侵，部分客戶停機</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/rhysida-claims-ransomware-attack-on-prospect-medical-threatens-to-sell-data/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">針對Prospect Medical Holdings遭到攻擊面臨服務中斷，勒索軟體Rhysida聲稱是他們所為，竊走1 TB檔案及1.3 TB的SQL資料庫</span></span></strong></a></p> <p><a href="https://www.darkreading.com/dr-tech/nist-publishes-first-draft-standards-for-post-quantum-cryptography"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">NIST發布後量子加密標準草案</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/jupiter-x-core-wordpress-plugin-could-let-hackers-hijack-sites/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">WordPress外掛程式Jupiter X Core存在漏洞，攻擊者可用來挾持網站</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158448">【8月25日】北韓駭客Lazarus鎖定歐洲、美國組織，利用Zoho ManageEngine服務臺系統漏洞發動攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158431">【8月24日】 DuoLingo用戶個資傳出在駭客論壇兜售，疑似因API臭蟲而外洩</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158411">【8月23日】研究人員揭露勒索軟體Akira新攻擊手法，駭客鎖定思科VPN系統做為初始入侵管道</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158398">【8月22日】木馬程式HiatusRAT鎖定臺灣而來，半導體、化學製造業、縣市政府成為目標</a></strong></p> </div></div></div>
2023/8/28 12:15作者周峻佑https://www.ithome.com.tw/news/158458
社群分叉Terraform創建OpenTF專案，準備申請進入Linux基金會
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端基礎設施軟體公司HashiCorp日前<a href="https://www.ithome.com.tw/news/158228">宣布</a>，將旗下產品從原本的MPL 2.0（Mozilla Public License v2.0）開源授權，改為BSL（Business Source License） v1.1，此舉引來眾多企業與用戶反彈，畢竟BSL並不是OSI（Open Source Initiative）認可的開源授權。為此社群分叉Terraform創立OpenTF專案，<a href="https://opentf.org/announcement">預計將會在近期公開儲存庫</a>，同時已經準備申請進入Linux基金會。</p> <p>HashiCorp的熱門專案Terraform在2014年開源，經過約9年的發展，已經累積成一個由許多使用者、貢獻者、客戶、廠商和認證業者共同組成的龐大生態系，而HashiCorp創辦人暨技術長Armon Dadgar在8月中的時候發文提到，HashiCorp旗下產品都將轉為採用BSL授權，目的是要限制供應商不得以HashiCorp的專案發展與之相競爭的產品，打擊濫用開源軟體的情況。</p> <p>但是社群顯然對這項決定不開心，而且感到備受威脅，雖然HashiCorp所使用的BSL v1.1在不開發與之競爭的產品前提下，用戶仍可自由使用專案與程式碼，但是<a href="https://opentf.org/">OpenTF專案宣言</a>提到，一旦HashiCorp變更授權，所有用戶便需要重新檢視自家專案是否違反授權，而且需顧慮HashiCorp對於競爭產品的定義，是否可能隨著時間改變。</p> <p>同時，OpenTF宣言也認為Armon Dadgar在部落格文章中，對供應商濫用的HashiCorp開源專案的描述有誤，因為許多受BSL變更影響的供應商，同樣也對Terraform社群做出貢獻，文章舉例像是Terraform核心貢獻者有1,700位，Terraform AWS Provider則有2,800位貢獻者，Azure Provider也有1,300位貢獻者，而這些貢獻者絕大多數非HashiCorp員工。</p> <p>另外，包括Terraform註冊表中的1.4萬個模組以及數百種工具，還有各種學習資源，也都並非HashiCorp官方所創建。OpenTF認為，如果Terraform當初並非開源專案，Terraform工作流程許多工具也不會存在。</p> <p>因此Terraform社群聯合發布OpenTF宣言，要求HashiCorp收回決定，恢復旗下產品繼續使用開源授權，但是這個宣言並沒有獲得預期的回應，因此OpenTF專案現在分叉Terraform，創建一個開源且由社群驅動開發的版本，官方也特別強調，OpenTF往後不會突然變更授權，並且也會讓新版本程式碼向後相容。</p> <p>現在OpenTF專案已經完成部分申請進入Linux基金會的文件，而他們最終目標是要讓OpenTF進入雲端原生運算基金會（CNCF），官方認為，唯有找一個能夠負責該專案的基金會，才能確保該工具永遠開源。</p> <p>OpenTF最快就會在一到兩週內公開分叉版本儲存庫，第一個版本將會是最新一個MPL授權的版本1.6.0-alpha，OpenTF官方提到，這個版本將可直接成為舊版本的替代，同時所有Provider和模組都可直接適用，而且OpenTF也將能與未來的Terraform版本完全互通。</p> </div></div></div>
2023/8/28 16:06作者李建興https://www.ithome.com.tw/news/158462
WordPress.com發表長達100年的網域名稱訂閱及代管服務，要價3.8萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Automattic旗下的網頁建置與部落格平臺<a href="https://wordpress.com/blog/2023/08/25/introducing-the-100-year-plan/" target="_blank">WordPress.com上周五（8/25）發表</a>了長達100年的代管方案，<a href="https://wordpress.com/100-year/" target="_blank">要價3.8萬美元</a>，強調此一方案是針對那些尋求終極安全性與長期數位存在的使用者所設計。</p> <p>根據此一方案的設計，它將允許使用者註冊一個網域名稱長達1世紀之久，一般而言，註冊一個網域名稱的最長期限是10年；它也會在不同的資料中心存放數位資產的備份，並自動將公開的內容提交至網際網路檔案館（Internet Archive）以永久儲存，亦支援鎖住模式；允許使用者轉讓所有權；另有頂級的WordPress代管及專用的技術支援服務。</p> <p>至於該方案的銷售對象則包括想要保留數位資產的家族，想要維護企業歷史與紀錄的創辦人，以及希望在網路上有一個穩定、彈性與個人化空間、還能因應未來所有技術變化的使用者。</p> <p>在推出100年方案的同時，或者也是2005年才成立的WordPress.com，希望自己能再持續一個世紀的期許。</p> </div></div></div>
2023/8/28 13:34作者陳曉莉https://www.ithome.com.tw/news/158461
丹麥雲端服務商遭勒索軟體攻擊，絕大部分用戶資料無法回復
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cloudnordic.com/" target="_blank">丹麥雲端服務供應商CloudNordic上周公告遭勒索軟體攻擊</a>，導致大部分用戶的資料無法回復。</p> <p>CloudNordic在8月18日凌晨遭到勒索軟體攻擊，當時他們正在進行伺服器實體搬移。該公司懷疑潛藏在某臺伺服器上的惡意程式感染CloudNordic伺服器基礎架構，導致所有系統包括網站、電子郵件、客戶系統、客戶網站等無法運作。駭客加密了所有伺服器磁碟，包括主要和次要備份系統，使所有機器崩潰無法運作。</p> <p>該公司不願支付6個比特幣（約16萬美金）的贖金，於是在自有及外部專家的協助下試圖回復資料。評估結果顯示所有系統和伺服器都無法回復，在其伺服器上儲存的大部分客戶資料已經佚失，不可能重建。但好消息是所有資料也都未外傳出去。</p> <p>CloudNordic已經報警。但由於事件切斷該公司對外聯繫的系統，使其尚無法一一通知受影響的客戶。<a href="https://azero.cloud/" target="_blank">這家北歐業者的姐妹公司Azero Cloud也遭到同樣攻擊</a>，並發布同樣的公告。</p> <p>業者目前已重建全新、空白的網域名（DNS）伺服器、網頁伺服器及郵件伺服器，供用戶重新啟用，並提供客戶聯絡該公司的管道。</p> </div></div></div>
2023/8/28 12:45作者林妍溱https://www.ithome.com.tw/news/158459
長期遭到濫用，Dropbox取消Advanced方案的無限空間政策
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.dropbox.com/topics/product/updates-to-our-storage-policy-on-dropbox-advanced" target="_blank">雲端儲存服務供應商Dropbox上周四（8/24）宣布</a>，有鑑於有愈來愈多購買該平臺Advanced方案的客戶，利用該方案的無限空間政策來挖礦，甚至是轉售，決定變更其政策，即日起該方案將僅提供15TB的儲存空間。</p> <p><a href="https://www.dropbox.com/plans?billing=monthly" target="_blank">過去Dropbox總計提供5種付費訂閱方案</a>，從個人使用（Plus）、自由職業者使用（Professional）、小型團隊使用（Standard），到供大型團隊使用的Advanced，以及供大型企業或組織使用的Enterprise，前三項的每月訂閱費率從11.99美元到18美元不等，儲存空間則是有限的2TB、3TB與5TB，而Advanced方案的每月價格則是30美元，供應無限儲存空間，同樣供應無限儲存空間的還有Enterprise方案，但這是個客製化方案，價格也依照需求而定。</p> <p>Dropbox表示，Advanced方案是因應商業需求而設計的，以讓業者不需擔心儲存空間的使用，然而，卻有愈來愈多購買該方案的客戶不是為了經營公司或組織，而是為了挖礦、作為呼朋引伴的共同儲存空間，甚至是轉售這些空間，而這類的客戶所使用的空間經常是其它正常商業客戶的數千倍。</p> <p>儘管Dropbox設下了禁止濫用的各種規定，但要不斷地更新或增加禁止事項並不容易，而且很難大規模強制執行，使得Dropbox決定取消Advanced方案的無限空間政策。</p> <p>即日起，擁有3個使用者授權的Advanced方案客戶將只能使用15TB的儲存空間，此一空間規模約可用來存放1億份文件，400萬張照片或是7,500小時的高清影片，每增加一名使用者則可再取得5TB的儲存空間。</p> <p>為了不對既有客戶帶來太大衝擊，用不到35TB的Advanced客戶將可保留目前所使用的所有空間，再加上5TB的儲存額度，且於未來5年都不會為此收取額外的費用。至於使用超過35TB的Advanced客戶，短期內一樣可持續使用，也會有一年有效的額外5TB儲存額度，但Dropbox團隊未來幾周就會聯繫這些客戶，以討論可行的其它儲存選項。</p> <p>目前Advanced的訂閱客戶有超過99%的儲存空間用量都未超過35TB。</p> <p>Dropbox預計於今年11月1日陸續將Advanced客戶移轉到新政策，屆時也會提供新的額外儲存空間購買服務，1TB的每月訂閱費用為10美元。</p> </div></div></div>
2023/8/28 13:08作者陳曉莉https://www.ithome.com.tw/news/158460
【資安週報】2023年8月21日到8月25日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一週有多個漏洞利用消息，其中併入Ivanti的MobileIron產品線與WinRAR的開發商Rarlab各修補了一項零時差漏洞。</p> <p>●Ivanti在8月21日修補行動裝置安全閘道Sentry的CVE-2023-38035漏洞，並表示已有部分用戶遭受相關漏洞攻擊。<br /> ●RARLab在7月20日修補WinRAR的CVE-2023-38831漏洞，不過近期有資安業者研究發現，今年4月已出現針對該漏洞的攻擊<br /> ●由Ignite Realtime社群開發的開源即時通訊系統Openfire，今年5月修補了主控臺路徑穿越漏洞CVE-2023-32315，最近出現有關攻擊手法<br /> ●Veeam今年3月修補Backup & Replication（VBR）備份解決方案的漏洞CVE-2023-27532，近日發現勒索軟體Cuba針對未修補的系統進行攻擊</p> <p>另外還有兩起漏洞成功利用狀況，本週收錄的資安日報新聞尚未提及，也必須要重視：<br /> ●Adobe在3月修補的ColdFusion反序列化漏洞（CVE-2023-26359）<br /> ●Citrix在6月修補Content Collaboration的漏洞（CVE-2023-24489）</p> <p>其他值得注意的漏洞消息，包括OpenNMS於8月9日修補一重大漏洞，以及Dell Compellent的vCenter整合工具DSITV有一資訊洩露漏洞的揭露，但由於產品生命週期已終止，廠商不再修補，可能成為駭客鎖定目標。</p> <p>在重要資安消息方面，有三起事件值得我們關切，包括：<br /> ●惡意軟體HiatusRAT攻擊的揭露，因為有資安業者指出該木馬程式原先3月駭客鎖定歐洲及拉丁美洲，但在今年6到8月間已將目標轉向臺灣及美國，並觀察到有臺灣半導體、化學製造廠與縣市政府遭鎖定情況。<br /> ●關於勒索軟體Akira的威脅態勢上，近日有新的研究調查結果，指出該組織很有可能鎖定思科VPN軟體的漏洞下手，繞過身分驗證流程以入侵目標系統。<br /> ●AT&T的資安研究團隊揭露名為ProxyNation的惡意活動，，攻擊者主要鎖定Windows電腦並部署代理伺服器應用程式（Proxyware）。</p> <p>其他值得關注的消息與事件，在國際間，我們看到丹麥主機代管業者CloudNordic、AzeroCloud遭遇勒索軟體攻擊，導致客戶資料遭破壞而未復原的情況，以及大型語言學習網站DuoLingo傳資料外洩，中國駭客鎖定東南亞賭博產業攻擊行動的揭露。</p> <p>關於攻擊手法上，在最近的資安新聞中我們看到幾個惡意活動也不容輕忽，例如，建置殭屍網路Smoke Loader的駭客，正散布名為Whiffy Recon的Wi-Fi掃描惡意程式，其特性是會向C2回傳受害電腦的無線網路與地理位置資訊；有攻擊者假冒網管工具Advanced IP Scanner名義，透過SEO Poisoning手法來散布惡意程式DarkGate；又有新一波針對Mac電腦攻擊的活動，是假借OfficeNote等生產力應用程式名義並帶有開發人員簽章，用以散布惡意軟體XLoader。</p> <p>至於防禦焦點上，近日我國鴻海研究院聯手美國麻省理工學院（MIT）多媒體實驗室（Media Lab）推出黑客松的競賽，相當難得，當中推出了更容易入門的輕型無人車車用平臺EVπ，盼推動電動車創新服務將Security by Design視為基礎。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/158378"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月21日】逾3千個安卓惡意軟體採用不支援的壓縮格式演算法，目的是防止被研究人員反組譯</span></strong></a></h3> <p>駭客鎖定安卓裝置散布惡意軟體的情況，近期可說是相當頻繁，但最近出現較為罕見的攻擊手法引起研究人員關注。因為，這種手法鎖定研究人員而來，防止他們利用各式的工具拆解惡意APK檔案。有資安業者進一步調查，發現市面上至少有3千個惡意App採用此類方法來打包安裝程式，從而影響各式靜態分析工具的運作。</p> <p>值得一提的是，上述手段並非新的攻擊手法，有研究人員指出，最早曾在2014年就出現類似的攻擊行動。</p> <h3><a href="https://www.ithome.com.tw/news/158398"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月22日】木馬程式HiatusRAT鎖定臺灣而來，半導體、化學製造業、縣市政府成為目標</span></strong></a></h3> <p>木馬程式HiatusRAT今年3月被揭露，當時研究人員發現駭客主要針對歐洲及拉丁美洲而來，但事隔3個月，現在這些駭客轉移目標，竟然針對臺灣的製造業、縣市政府，以及美國軍事採購系統而來，由於目標出現如此大幅度的轉變，使得研究人員推測這群攻擊者很可能與中國政府有關。</p> <p>另一起與地緣政治有關的攻擊行動，則是針對美韓進行的大規模軍事演習Ulchi Freedom Shield而來，傳出北韓駭客Kimsuky對參與演習的承包商發送釣魚郵件。</p> <h3><a href="https://www.ithome.com.tw/news/158411"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月23日】研究人員揭露勒索軟體Akira新攻擊手法，駭客鎖定思科VPN系統做為初始入侵管道</span></strong></a></h3> <p>有駭客使用了較為罕見的攻擊模式，使得研究人員難以找出其確切的作案手法和過程。例如，勒索軟體Akira的攻擊行動，最早是資安業者Sophos於5月發現跡象，直到最近有了新的進展。惡意軟體分析員Aura、資安業者SentinelOne指出，駭客鎖定特定廠牌的VPN系統入侵受害組織，但究竟他們如何成功通過身分驗證？兩組研究人員有不同的推測。</p> <p>另一方面，資安業者SentinelOne指出這些駭客還會利用開源的遠端桌面連線工具RustDesk存取受害組織網路，而這是他們首度看到有人濫用此工具來進行網路攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/158431"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月24日】DuoLingo用戶個資傳出在駭客論壇兜售，疑似因API臭蟲而外洩</span></strong></a></h3> <p>駭客透過網頁抓取手法收集網站使用者的資料，屢見不鮮，然而面對這類資料外洩行為，站方不易察覺，通常要等到駭客兜售之後，網站服務業者才意識到商譽嚴重受損，而開始著手進行調查，但為時已晚。例如，有人在駭客論壇BreachedForums宣稱取得260萬筆語言學習網站DuoLingo的用戶資料，該公司著手調查此事，並強調他們沒有遭到入侵。</p> <p>但值得留意的是，有資安新聞網站指出，駭客很可能是利用該公司曝露超過半年的API漏洞，取得相關資料，後續情況有待進一步觀察。</p> <h3><a href="https://www.ithome.com.tw/news/158448"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月25日】北韓駭客Lazarus鎖定歐洲、美國組織，利用Zoho ManageEngine服務臺系統漏洞發動攻擊</span></strong></a></h3> <p>北韓駭客Lazarus近期的動作頻頻，不時傳出對於臨近的韓國，以及位於地球另一端的歐洲國家發動攻擊，而最近研究人員揭露的新一波攻擊行動，是針對IT服務臺系統Zoho ManageEngine ServiceDesk而來。值得留意的是，駭客在漏洞公布的數天後，就將其用於攻擊行動，而讓尚未修補的企業組織措手不及。</p> <p>另一方面，研究人員發現駭客也改良了作案工具，使得在上述攻擊行動出現的惡意軟體行蹤更難察覺。</p> </div></div></div>
2023/8/28 09:38作者羅正漢https://www.ithome.com.tw/news/158454
Google Workspace新增AI安全功能，部份設定變更需2名管理員
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://workspace.google.com/blog/identity-and-security/accelerating-zero-trust-and-digital-sovereignty-ai" target="_blank">Google上周宣布</a>生產力服務Workspace新增AI為基礎的安全功能，以降低資料外洩風險及符合歐美法規。Google Workspace同時加入某些功能需2名管理員同意，以及強制某些用戶管理員帳號啟用2步驟驗證。</p> <p>Google引用第三方報告指出，Workspace加入企業安全功能後，在被濫用的已知漏洞、電子郵件安全事件，以及因資安事件衍生保險支出方面，和主流舊式（如微軟）方案相比都大幅減少。為此Google Workspace持續擴充以AI為基礎的零信任（zero-trust）、數位主權及威脅防護控制，以確保企業資料安全。</p> <p>在AI為基礎的零信任安全功能方面，首先，Google Drive將加入AI資料分類標籤及情境式資料外洩防護（DLP）。管理員可設定AI模型自動為Drive的檔案加標籤及分類，並且設定情境感知存取（context-aware access，CAA）政策，例如按裝置所在地點或安全狀態決定員工能否把敏感資料分享出去。之後AI即可按企業安全政策為資料分類、標籤，並實行資料外洩防護及資料存取管制。AI資料分類及標籤現在已經開放預覽版測試，情境式DLP則會在幾個月內開放測試。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/original_images/4_MB_AI_Classification_Labels_GIF_.gif" style="width: 600px;" /></p> <p>第三項則是為Gmail強化DLP，允許管理員控制員工對內、對外如何分享敏感資料，也將在幾個月後開放預覽測試。</p> <p>在資料主權（data sovereignty）功能方面，首先，Workspace將新增多項用戶端加密（client-side encryption，CSE）功能。CSE是指從用戶端即加密資料再傳送出去，只有發送者擁有加密金鑰，因此即使伺服器端或服務供應商都無法存取敏感資料。在最新的宣布中，Google Calendar、Gmail和Meet行動版App已正式支援CSE，現在正在測試於Workspace中讀取編輯Microsoft Excel檔案。此外Google預定今年內預覽3項CSE功能，包括特定組織單位預設啟用CSE、及Google Docs評論、外部用戶以Guest身分加入Meet通話時支援CSE。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0828-google%20workspace-email%20with%20CSE%20protection.png" style="width: 358px;" /></p> <p>Google也將允許CSE用戶選擇加密金鑰和資料儲存的位置。在前者中，Google和安全廠商Thales、Stormshield及Flowcrypt合作，讓CSE用戶得以選擇將加密金鑰儲存在屬意的國家以滿足法規。今年稍晚，Workspace也會以預覽版測試讓企業選擇資料處理（歐盟或美國），以及Workspace備份儲存的地點所在。</p> <p>另外，Workspace也讓企業控制Google技術支援可存取哪些資料、監控Google的行為，並讓美國企業設定只允許美國Google支援。今年稍晚則將允許歐盟企業限定歐盟地區的支援。</p> <p>最後，為防止管理員遭到釣魚攻擊致Workspace帳號被接管，Workspace將在今年內預覽一項新功能，Workspace允許管理員設定某些敏感行為，如變更2SV設定，需獲得另一名管理員同意。其次，Google也要求某些Workspace企業管理員帳號強制啟用兩步驟驗證（2-step verification，2SV），今年稍晚將從最大型企業用戶，以及Google經銷商開始執行。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0828-google%20workspace-multi-party%20approval.png" style="width: 600px;" /></p> <p>Google上周並另外發布2項預覽功能，包括以AI為基礎的Gmail電子郵件過濾或轉寄之防護，以及將Workspace log紀錄匯出到Chronicle，以判斷可能的異常活動。</p> <p>所有預告的Workspace安全功能，<a href="https://workspace.google.com/business/signup/welcome" target="_blank">現在已開放</a>企業管理員免費試用。Google並將在下個月的<a href="https://cloud.withgoogle.com/next/session-library#productivity-and-collaboration-apps" target="_blank">Next ' 23大會上</a>正式發表。</p> </div></div></div>
2023/8/28 12:12作者林妍溱https://www.ithome.com.tw/news/158457
科技巨頭爭相砸錢投資Hugging Face，最新一輪融資獲2.35億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Hugging Face在最新一輪由Salesforce主導的融資中，<a href="https://twitter.com/ClementDelangue/status/1694707996843196545?s=20">募集</a>到了2.35億美元的資金，目前該新創公司的估值已經達到45億美元。Hugging Face的共同創辦人與執行長Clem Delangue，開心地在社交平臺X中公開這項消息。Hugging Face將運用這筆新資金壯大團隊，並繼續投資人工智慧開源技術。</p> <p>Hugging Face是一家人工智慧新創公司，成立於2016年，專注在自然語言處理領域，發展Transformer與大型語言模型，Hugging Face最初僅是一家開發聊天機器人應用程式的公司，但是在後來轉變營運方向，致力發展開源自然語言工具。</p> <p>Hugging Face的知名開源專案Transformer模型庫，提供諸如BERT、GPT-2、T5和RoBERTa等大量流行Transformers模型，供開發者可以簡單使用和微調。另外，Hugging Face的Datasets庫更可讓使用者快速下載和使用許多自然語言資料集，加速自然語言研究和開發速度。</p> <p>不只如此，Hugging Face還創建了一個模型市集，讓開發者可以共享，或是使用其他人訓練好的模型，由於使用者不需要從頭開始訓練模型，可以基於他人的成果進一步發展，因此大幅促進了人工智慧社群的發展。Hugging Face的模型市集就像是人工智慧模型界的GitHub，現在平臺上已經有超過30萬個模型，</p> <p>這間新創公司的融資目前已經來到D輪，去年5月C輪融資才剛結束，募得1.6億美元，當時公司估值為20億美元，這次Hugging Face由Salesforce主導的D輪融資為2.35億美元，參與的投資者包括Google、Amazon、Nvidia、AMD、Intel、Qualcomm、IBM與Sound，目前Hugging Face的估值已經來到45億美元，可與Anthropic、Stability AI等知名人工智慧公司平起平坐。</p> <p>Hugging Face深耕人工智慧開源社群，除了上述開源專案，還包括在去年的時候，開源具有1,760億參數的語言模型BLOOM，在今年4月時開源聊天機器人HuggingChat，接著在5月，Hugging Face和ServiceNow研究院合作成立的BigCode，也開源150億參數的大型語言模型StarCoderBase等。</p> <p>同時，Hugging Face也持續與其他科技公司發展合作關係，像是在2月的時候，AWS與Hugging Face擴大合作，Hugging Face承諾使用AWS作為主要開發平臺，而AWS也會在機器學習服務上提供最新的Hugging Face模型。另外，IBM也與Hugging Face展開合作，開始在Watsonx.AI上提供Hugging Face模型，近期IBM、NASA與Hugging Face共同宣布開源地理空間基礎模型，也可見到合作的影子。</p> </div></div></div>
2023/8/28 08:24作者李建興https://www.ithome.com.tw/news/158447
用256顆自研異質融合晶片，輝達推144TB共享記憶體的AI系統
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/nvidia_dgx_gh200_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自從2016年Nvidia推出第一款整合式AI應用設備<a href="https://www.ithome.com.tw/review/112711">DGX-1</a>以來，隨著GPU架構世代更迭而<a href="https://www.ithome.com.tw/news/137617">推出新機型</a>之餘，也陸續開展出工作站<a href="https://www.ithome.com.tw/review/114383">DGX Workstation</a>，以及可堆疊10臺DGX系統的DGX BasePOD、串聯140臺DGX系統的DGX SuperPOD，陣容越來越壯大，而在今年5月底舉行的台北國際電腦展期間，他們宣布這個產品家族又將有新的成員，那就是運算能力與規模更加強大的AI超級電腦系統DGX GH200。</p> <p>為了突顯此套系統對於大型企業的吸引力，Nvidia也預告Google Cloud、Meta、微軟將是第一批存取這項技術的公司，以此探索用於生成式AI工作負載的功能，Nvidia後續將對雲端服務廠商與大型資料中心環境，提供DGX GH200的設計藍圖，以便針對他們本身的IT基礎架構環境進行相關的調整。</p> <p>除此之外，Nvidia本身正在建置的新一代超級電腦Helios，也將採用4套DGX GH200系統，它們之間是透過Nvidia Quantum-2 InfiniBand網路產品進行互連，預計今年底上線。這套系統將支援Nvidia發展的地球氣候模擬數位雙生雲服務Earth-2，在7月初舉行的<a href="https://blogs.nvidia.com/blog/2023/07/03/climate-research-next-wave/">柏林地球視覺化運算高峰會期間</a>，Nvidia表示，他們正在建置的三種超級電腦開始上線運作，DGX GH200系統正是其中之一，負責模擬物理特性。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-07-Nvidia Berlin Summit EVE-Earth2-DGX GH200.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-Nvidia%20Berlin%20Summit%20EVE-Earth2-DGX%20GH200.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>採用融合Arm架構CPU與Nvidia資料中心GPU的運算模組，搭配NVLink Switch System的I/O互連架構</strong></span></h3> <p>較於既有的DGX System產品都是採用x86架構處理器、獨立的Nvidia資料中心GPU，搭配Nvidia發展的NVLink、NVSwitch，以及現行的I/O介面與乙太網路、InfiniBand連線環境而成，DGX GH200最大的突破，是改用Nvidia研發的融合式晶片GH200 Grace Hopper Superchip，以及高速I/O交換系統NVLink Switch System而成，同樣可用於現行的資料中心網路環境。</p> <p>比起目前的整櫃式高效能運算叢集系統產品，DGX GH200另一個賣點是能夠更直接提供超大規模、高速存取的GPU共享記憶體空間，當中借助NVLink Switch System的架構，提供的NVLink頻寬可達到前代DGX系統的48倍，而能透過NVLink連結256顆GH200超級晶片，促使如此大規模系統所具備的運算資源，能以單一GPU的形式供應用戶操作。</p> <p>相較之下，前代DGX系統在多顆GPU以NVLink串聯成單一GPU使用，若不希望影響運算效能，最多只能同時連接8顆GPU。</p> <p>Nvidia表示，單臺DGX GH200系統可提供1 Exaflop的運算效能，以及144 TB的GPU共享記憶體，若以2020年推出的DGX A100（搭配40GB記憶體的A100）為基準，DGX GH200系統的GPU記憶體容量可達到近5百倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-Nvidia%20DGX%20gpu-memory-nvlink-1.jpg" style="width: 500px;" /></p> <p>若要了解DGX GH200何以提供如此強大的運算能力，需細部檢視其組成方式。根據Nvidia在網站公布的白皮書指出，它總共包含256臺運算模組插槽，以及1套NVLink Switch System，形成兩層式的NVLink連結架構。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-05-DGX GH200 Compute node.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-DGX%20GH200%20Compute%20node.jpg" style="width: 68px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-05-29-DGX GH200-NVSwitch.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-29-DGX%20GH200-NVSwitch.jpg" style="width: 178px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-29-DGX%20GH200-8-GPU%20chassis.jpg" style="width: 168px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-DGX%20GH200%20Rack%20with%202%20chassis.jpg" style="width: 140px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-06-NVIDIA NVLink Switch System connects upto 256 NVIDIA Grace Hopper Superchips.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-NVIDIA%20NVLink%20Switch%20System%20connects%20upto%20256%20NVIDIA%20Grace%20Hopper%20Superchips.png" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-05-DGX GH200 system.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-DGX%20GH200%20system.jpg" style="width: 600px;" /></a></p> <p>基本上，每臺運算模組包含單顆GH200 Grace Hopper晶片，網路元件（由Nvidia乙太網路或InfiniBand網路卡ConnectX-7，以及資料處理器BlueField-3組成）、伺服器管理系統（基板控制器）、用於存放資料與作業系統檔案的固態硬碟。接著再將8臺運算模組連接3臺第一層NVLink NVSwitch模組，形成一座容納8顆GH200的機箱，</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-05-Nvidia Computex Keynote-Grace Hopper MGX Server.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-Nvidia%20Computex%20Keynote-Grace%20Hopper%20MGX%20Server.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-06-8-Grace Hopper Superchip Chassis.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-8-Grace%20Hopper%20Superchip%20Chassis.jpg" style="width: 298px;" /></a></p> <p>值得注意的是，關於這部分運算堆疊設備的組成，是由ZT Systems這家伺服器廠商所設計出來的。Nvidia共同創辦人暨執行長黃仁勳在Computex主題演講當中，針對MGX模組化伺服器架構介紹多家合作廠商時，特別提到ZT Systems基於此架構而成的產品，正是Nvidia Grace Hopper人工智慧超級電腦的運算Pod，他的意思是ZT Systems的這類型產品就是DGX GH200的運算Pod，而在ServeTheHome的相關報導與ZT Systems的臉書與LinkedIn貼文，以及Nvidia公布的DGX GH200白皮書公布的照片，也與這個說法呼應。</p> <p>而每一臺NVLink NVSwitch模組可透過LinkX傳輸線材，連上盲接纜線連接器與第二層NVLink Switch。以DGX GH200整個系統而言，可透過36臺第二層NVLink Switch連接32座上述容納8顆GH200的機箱，因此，單臺系統總共可支配256顆GH200晶片。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-05-DGX GH200 Combination.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-DGX%20GH200%20Combination.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-06-8-Grace Hopper Superchip Chassis.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-8-Grace%20Hopper%20Superchip%20Chassis.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-05-diagram-topology-nvlink-switch-system-dgx-gh200.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-diagram-topology-nvlink-switch-system-dgx-gh200.jpg" style="width: 298px;" /></a></p> <p>而144 TB共享記憶體容量是從何得來的？根據Nvidia公布的Grace Hopper Superchip規格來看，每顆晶片包含中央處理器Grace，以及圖形處理器H100，前者是由72顆Arm Neoverse V2核心組成，最多可支援480 GB容量的LPDDR5X記憶體，後者最多可配置96 GB容量的HBM3記憶體，由於同處於單一晶片封裝的Grace與H100之間，可透過頻寬高達900 GB/s的NVLink-C2C介面連接，使得H100也能共享Grace所能存取的記憶體，因此，以單顆Grace Hopper Superchip晶片而言，最多可用到的記憶體容量達到576 GB，而串連256顆GH200晶片的DGX GH200，最多可存取的記憶體容量達到147,456 GB，也就是144 TB。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-Nvidia%20DGX%20GH200-GH200%20arch.png" style="width: 600px;" /></p> <p>由於同處於單一晶片封裝的Grace與H100之間，可經由NVLink-C2C介面連接，由於此介面具備7倍於PCIe 5.0的I/O頻寬（雙向頻寬為900 GB/s），以及耗電量僅需PCIe 5.0的五分之一等特性，使得H100能以高速，以及高能源效益的方式共享Grace所能存取的記憶體，因此，以單顆Grace Hopper Superchip晶片而言，最多可用到的記憶體容量達到576 GB，而串連256顆GH200晶片的DGX GH200，最多可存取的記憶體容量達到147,456 GB，也就是144 TB。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-Memory%20Accesses%20Across%20NVLink%20Connected%20Grace%20Hopper%20Superchips.png" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-05-performance-comparisons-giant-memory-ai-model-workloads.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-performance-comparisons-giant-memory-ai-model-workloads.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>沿用Nvidia長期發展的AI與資料應用軟體堆疊架構，以及SaaS雲端管理服務</strong></span></h3> <p>除了提供強大的運作性能與規模擴展特性，DGX GH200也受惠於Nvidia持續培養與開發的各種加速與不同領域應用的軟體解決方案，而能因應大型AI與資料分析的工作負載，用戶可搭配企業級軟體套餐Nvidia AI Enterprise，利用裡面提供超過100種框架、預先完成訓練的機器學習模型，以及開發工具，得以快速發展與部署電腦視覺、語文辨識處理與生成式AI等正式應用。</p> <p>在此同時，企業與組織也能運用Nvidia代管的雲端軟體平臺Base Command，管理AI工作流程、叢集環境運作、進行加速處理的儲存與網路程式庫、已針對AI工作負載完成效能調校的系統軟體。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-05-nvidia-dgx-gh200-ai-supercomputer-full-stack.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-nvidia-dgx-gh200-ai-supercomputer-full-stack.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>Nvidia DGX GH200<br /> ●原廠：Nvidia<br /> ●建議售價：廠商未提供<br /> ●整體架構：256臺GH200 Grace Hopper運算插槽（32座8-GPU機箱）、1座NVLink Switch System（96臺L1 NVLink NVSwitch、36臺L2 NVLink NVSwitch、2304 LinkX光纖纜線）<br /> ●8-GPU機箱規格：8臺GH200 Grace Hopper運算插槽、3臺NVLink NVSwitch插槽，機架高度15 OU<br /> ●運算插槽組成：1顆GH200 Grace Hopper Superchip晶片（72顆Arm Neoverse V2核心，Nvidia H100 GPU，GPU記憶體為576 GB，融合96 GB HBM3與480GB LPDDR5X）、網路元件（1張400 Gb InfiniBand網路介面卡ConnectX-7、1張資料處理器BlueField-3或ConnectX-7，提供頻內網路200GbE或儲存網路200 Gb InfiniBand）、1套管理系統（BMC）、4臺NVMe固態硬碟（2臺2.5吋U.2外形4TB容量，用來存放資料、RAID 0備援，2臺M.2外形2TB容量，用來存放作業系統、RAID 1備援）<br /> ●NVLink NVSwitch組成：2顆第三代NVSwitch ASIC晶片，支援第四代NVLink<br /> ●系統軟體組成：作業系統為Nvidia DGX OS、Ubuntu、Red Hat Enterprise Linux、Rocky，雲端管理平臺Nvidia Base Command、AI軟體套件為Nvidia Al Enterprise</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/8/26 17:12作者李宗翰https://www.ithome.com.tw/review/158165
零售IT雙周報第20期：天衍互動推出OMO遊戲咖啡機，將等待時間化為會員社群經營及數據蒐集機會
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0813~0826)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#OMO零售</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#會員社群經營</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#互動式購物體驗</span></span><br /> 天衍互動推出OMO遊戲咖啡機，將咖啡製作時間化為會員社群經營和數據蒐集機會</strong></p> <p>零售解決方案商天衍互動推出元宇宙遊戲咖啡機，消費者等待咖啡準備時，可以掃描咖啡機QR code，透過開始用手機當作「遙控器」，來遊玩咖啡機上的小遊戲。小遊戲獎勵可以回饋為會員點數，若遊戲具有一定挑戰性及重複遊玩價值，也更容易引起社群討論，成為會員社群經營一環。同時，系統後臺也會將蒐集而來的各式數據彙成報表用於分析，還會更新庫存管理系統通知補充原料。</p> <p>咖啡機小遊戲在手機端是一個Web app，會蒐集陀螺儀、手機指向、螢幕操作動作、會員身分、裝置ID等資料，與咖啡機透過雲端伺服器同步資料，達成手機操作遊戲效果。商家還可以於遊戲後設計問卷等進一步蒐集資訊的機制。天衍補充，手機操作與咖啡機反應的延遲時間低於0.5秒。</p> <p>零售業利用小遊戲來行銷已非新鮮事，不過這個模式與常見的小遊戲有個關鍵設計差異，就是同時和消費者手機以及零售場域設備互動。</p> <p>常見小遊戲通常只會動用到消費者手機，例如聊天室或App小遊戲，或是購物現場設備，例如POS機抽獎。用手機執行小遊戲，蒐集而來的資訊容易歸戶到消費者本人，不過如何讓消費者在非消費情境下主動拿出手機遊玩，是一大挑戰。用現場設備執行小遊戲，消費者體驗更容易與購物場景結合，遊玩意願通常較高，不過便無法蒐集到消費者裝置上各式資料。遊戲咖啡機則是嘗試結合兩者優勢，由咖啡機提示等待中的消費者拿起手機與商家互動，以期增加消費者遊玩小遊戲意願，同時也能蒐集到消費者裝置上的資訊。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#商品評論</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#過濾不實評論</span></span><br /> Amazon利用生成式AI摘要電商商品評論</strong></p> <p>Amazon開始<a href="http://https://www.aboutamazon.com/news/amazon-ai/amazon-improves-customer-reviews-with-generative-ai">利用生成式AI來摘要電商商品評論</a>，在商品資訊頁面加入一段簡短文字說明，匯總顧客評論中，經常提及的產品功能和情緒。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/amazon2-1.jpg?itok=x9pfaBd2" style="width: 600px;" /></p> <p>電商資訊頁面的商品評論是消費者重要資訊來源，過去一年有1.25億顧客在Amazon貢獻約15億條評論和評分，相當於每秒增加45條評論。不過，這之中有許多內容不具參考價值，例如惡意貶損評論、刻意正面宣傳等。Amazon表示，他們會運用機器學習模型，分析帳戶關聯、登入活動、評論歷史和各種異常行為，來阻擋虛假評論。另外，他們也設有專人，利用各式詐欺偵測工具，避免商店出現虛假評論。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電子支付</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#共用QRcode</span></span><br /> 通用電子支付QR code功能今年Q3上線，商家只須跟一家電支機構系統串接即能接受多家支付</strong></p> <p><a href="https://www.fsc.gov.tw/ch/home.jsp?id=96&parentpath=0,2&mcustomize=news_view.jsp&dataserno=202308240010&dtable=News">金管會宣布，</a>通用電子支付QR code功能即將上線，商家僅須與單一電子支付機構進行簽約及帳務核銷，即能接受臺灣9家電子支付及臺灣Pay的付款。無須負擔串接多家電支系統的成本。</p> <p>不過，雖然負責建置共用平臺的財金公司（FISC）技術已經準備完成，但要使用這個通用QR Code，還得等電支業者完成與平臺的串接，預計9月下旬會完成，屆時才會開始試營運。（<a href="https://www.ithome.com.tw/news/155303">延伸閱讀</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#跨通路數據整合</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#LineOA</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#多品牌經營</span></span><br /> Line企業管理平臺正式上線，能一站式管理跨品牌OA及廣告數據、受眾，還能匯入自有第一方數據</strong></p> <p><a href="https://tw.linebiz.com/service/account-solutions/line-business-manager/">Line正式推出企業管理平臺</a>，能同時管理多個官方帳號（ OA）及廣告投放。<a href="https://www.ithome.com.tw/news/154290">此平臺</a>彙整的數據來源包括同集團跨品牌OA、Line成效型與保證型廣告（LAP、MVP）、Line Points廣告、Line Beacon、品牌主IDFA、AAID、Email、Line Tag等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1692958584073.jpg" style="width: 600px;" /></p> <p>除此之外，品牌主還還可以透過管理平臺共享不同來源的受眾名單，用於投放各式Line廣告，以及支援跨通路多品牌OA對同一個消費者進行個人化互動。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#社群媒體電商</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#開店平臺</span></span><br /> Tiktok要取消連結到第三方電商平臺的功能，強制商家使用原生零售功能</strong></p> <p>短影音平臺<a href="https://ads.tiktok.com/help/article/faqs-for-storefront-sunset?lang=en">Tiktok宣布</a>，9/12要終止連結第三方電商商品目錄到Tiktok帳號的Storefront服務。商家不再能從Tiktok App中置入會跳轉到Shopify等外部開店平臺的商品連結，原本與第三方電商平臺同步的商品，也不能再連結到影片、直播或廣告中。</p> <p>取而代之是Tiktok原生零售功能Tiktok Shop，功能與原本Storefront類似，但商品行銷和購物流程都會留在App內。Tiktok表示，這種模式下，Tiktok和商家比較容易追蹤到行銷轉換率跟完整消費行為，電商功能也會更容易與其他短影音、直播、廣告及未來其他新功能整合。</p> <p>值得注意的是，Storefront商品目錄不會自動同步到新的Shop，商家需要重新上傳。另外，當若有需要備份Storefront資料，應完成備份後再行註冊Shop，否則註冊完成後Storefront會自動停用。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電商外部生態圈</span></span><br /> Amazon拓展電商產品廣告版位到Pinterest、Buzzfeed等外部高流量網站</strong></p> <p>廣告營收全球前5高的美國電商龍頭Amazon<a href="https://www.aboutamazon.com/news/company-news/pinterest-buzzfeed-and-more-apps-will-show-amazon-sponsored-product-ads-to-discover-relevant-products">開始於Pinterest、Buzzfeed等外部高流量網站設置電商商品廣告版位</a>。這是Amazon經營RMN的下一步，將廣告版位從自家網站和App等自有版位，拓展到外部網站。電商在其他網站打產品廣告不新奇，但Amazon這個做法，等於由產品供應商出廣告費，曝光商品的同時也曝光自家平臺。</p> <p>這與Amazon近期積極拓張自家電商生態圈的策略相符。近期他們積極將自家電商商品頁面、支付工具、商品評論和會員機制嵌入外部網站及App，現在則進一步拓展RMN到外部生態圈。</p> <p>資料來源：iThome整理，2023年8月</p> <p>責任編輯：郭又華</p> </div></div></div>
2023/8/26 00:50作者郭又華https://www.ithome.com.tw/news/158449
電子支付跨機構共用平臺「購物」功能9月將試營運，未來消費者可以同一電支App在其他業者的特約商家消費付款
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會周四宣布，由財金公司建置的電子支付跨機構共用平臺「購物」功能，將會在9月展開試營運，預計10月正式上線，未來只要電支業者加入並開通「購物」功能，消費者靠一款電支App，就能在其他電支業者的特約商家消費付款，打破目前電支業者商家通路無法彼此互通使用的限制。</p> <p>先前財金公司獲金管會同意，建置及營運電子支付跨機構共用平臺，讓不同電子支付帳戶透過跨機構共同平臺，能夠相互「轉帳」、「繳費」、「繳稅」，促進電子機構間的金流，讓消費者的電子支付帳戶，如同銀行帳戶一樣，可以跨機構移轉資金。</p> <p>跨機構共用平臺擴大到通路支付層面，「購物」功能將於9月試營運，金管會預告9家電支專營機構未來將會加入共同平臺的「購物」功能，包括街口、一卡通、全支付、全盈支付等等。電子支付帳戶不論綁定銀行帳戶、信用卡、現金，可以使用原本的電子支付App，在其他電子支付業者的特約商家消費。</p> <p>以現有600多萬用戶的街口支付為例，用戶可使用街口App在一卡通或全支付的特約商家消費付款，相反地，一卡通或全支付用戶也能在街口支付的特約商家付款，突破電子支付業者特約通路彼此不互通的限制。</p> <p>不過，要開通「購物」功能，因涉及不同電支業者之間、特約商家，需要與金管會、財金公司討論及研擬相關方案，完成系統介接、測試等，各家電支專營機構加入並啟用共用平臺的「購物」功能的時程上將有先後。</p> <p>特約商家通路要透過共同平臺互通，以消費者在商家消費掃碼方式，分為正掃及被掃兩種，正掃是指由消費者開啟電支App，掃描商家櫃檯放置的QR Code來完成付款，目前餐飲業者不少採用此種方式，未來如加入共用平臺「購物」功能，商家需要更換使用一致編碼格式的TW QR Code，消費者使用的電支App也需要更新，才能「讀懂」TW QR Code。</p> <p>至於被掃模式，目前常見在超商使用，消費者在付款時，開啟手機上的電支App，向商家出示QR Code，由商家使用掃碼槍掃描，未來如果加入共用平臺「購物」功能，則需要更換商家的掃碼槍。</p> <p>不論是正掃或被掃，皆需電子支付業者和特約合作商家更換合約內容，更新商家端的QR Code、掃碼槍，才能讓其他電支機構用戶，可在其特約商家消費付款。</p> <p>街口支付表示，未來將會加入共同平臺的「購物」功能，但目前尚未有明確上線時程，將和金管會討論及研擬相關方案，再進行系統介接。</p> <p>全支付則樂見「購物」功能提供消費者更好的支付體驗，將與相關單位討論作法及介接，目前相關作業正在安排中。</p> </div></div></div>
2023/8/25 19:26作者蘇文彬https://www.ithome.com.tw/news/158450
【資安日報】8月25日，北韓駭客Lazarus鎖定歐洲、美國組織，利用Zoho ManageEngine服務臺系統漏洞…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>北韓駭客Lazarus近期的動作頻頻，不時傳出對於臨近的韓國，以及位於地球另一端的歐洲國家發動攻擊，而最近研究人員揭露的新一波攻擊行動，是針對IT服務臺系統Zoho ManageEngine ServiceDesk而來。值得留意的是，駭客在漏洞公布的數天後，就將其用於攻擊行動，而讓尚未修補的企業組織措手不及。</p> <p>另一方面，研究人員發現駭客也改良了作案工具，使得在上述攻擊行動出現的惡意軟體行蹤更難察覺。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-use-public-manageengine-exploit-to-breach-internet-org/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Zoho ManageEngine服務臺系統漏洞遭到北韓駭客Lazarus鎖定，用於散布惡意程式QuiteRAT、CollectionRAT</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Lazarus-QuiteRAT.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Lazarus-QuiteRAT.jpg" style="width: 300px; float: right;" /></a>思科威脅情報團隊Talos發現，北韓駭客組織Lazarus鎖定IT服務臺系統Zoho ManageEngine ServiceDesk而來，他們利用重大漏洞CVE-2022-47966（CVSS風險評分為9.8）發動攻擊，目標是歐洲及美國的網際網路基礎設施供應商、醫療保健機構。</p> <p>研究人員在今年初看到駭客入侵歐洲網際網路基礎設施供應商，並成功於受害組織部署惡意程式QuiteRAT，後續他們調查駭客的基礎設施，發現這個攻擊團體同時打造另一款惡意程式CollectionRAT。</p> <p>分析它們的特性之後，研究人員指出，QuiteRAT可能是MagicRAT的改良版本，功能大致相同但程式碼較為精簡，且縮減使用的Qt程式庫，使得本體從18 MB降為4 MB；CollectionRAT則是從EarlyRAT衍生而來，其特色是整併了Microsoft Foundation Class（MFC）程式庫，而能動態解密並執行程式碼，進而迴避資安系統偵測。</p> <p>資料來源</p> <p>1. <a href="https://blog.talosintelligence.com/lazarus-quiterat/">https://blog.talosintelligence.com/lazarus-quiterat/</a><br /> 2. <a href="https://blog.talosintelligence.com/lazarus-collectionrat/">https://blog.talosintelligence.com/lazarus-collectionrat/</a></p> <p><a href="https://www.secureworks.com/blog/smoke-loader-drops-whiffy-recon-wi-fi-scanning-and-geolocation-malware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Whiffy Recon透過Wi-Fi無線網路追蹤受害者</span></strong></a></p> <p>資安業者Secureworks揭露名為Whiffy Recon的惡意程式，他們發現建置殭屍網路Smoke Loader的駭客，約自8月8日開始向感染病毒的電腦投放此Wi-Fi掃描工具，藉由電腦附近的Wi-Fi節點，並將相關資料透過Google的地理位置追蹤API進行定位。</p> <p>一旦電腦被植入Whiffy Recon，就會先偵測是否存在名為WLANSVC的服務，然後透過機器人程式向C2伺服器註冊，接著每分鐘執行一次Wi-Fi無線網路的掃描，濫用Windows作業系統的WLAN API收集所需資料，並向Google的地理位置定位API發送HTTPS POST請求，提供Wi-Fi節點的資料。待Google回傳對應的坐標位置後，該惡意程式會向C2回傳受害電腦的無線網路與地理位置資訊。</p> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/08/darkgate-reloaded-via-malvertising-campaigns"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客透過惡意廣告及SEO中毒攻擊，散布惡意程式DarkGate</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/easset_upload_file52601_275963_e.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/easset_upload_file52601_275963_e.png" style="width: 300px; float: right;" /></a>資安業者Malwarebytes揭露新一波的惡意軟體DarkGate攻擊行動，駭客透過惡意廣告及搜尋引擎最佳化中毒（SEO Poisoning）手法，假借提供網管工具Advanced IP Scanner的名義來散布DarkGate。</p> <p>一旦使用者從駭客的網站下載安裝程式並執行，就有可能在安安前述的網管工具過程中，電腦也被植入惡意程式。研究人員後來又看到數起DarkGate的攻擊行動，其共通點是駭客所提供的安裝程式當中，皆包含了Autoit指令碼，並將惡意酬載進行混淆處理而能迴避防毒軟體偵測。</p> <p><a href="https://www.welivesecurity.com/en/eset-research/telekopye-hunting-mammoths-using-telegram-bot/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客利用Telegram機器Telekopye發動網釣攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/telekopye-scam-overview-with-icon-edited.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/telekopye-scam-overview-with-icon-edited.png" style="width: 300px; float: right;" /></a>資安業者ESET揭露名為Telekopye的Telegram機器人，駭客將其用於發動自動化的網路釣魚攻擊，透過範本檔案產生釣魚網頁，然後寄送URL給目標使用者。</p> <p>研究人員找到多個版本的Telekopye，駭客很可能從2015年就開始使用這套機器人工具，捏造eBay、BlaBlaCar 、YULA、OLX的購物網頁，一旦使用者上鉤，在駭客的付款網頁上輸入信用卡或借記卡的資料，此機器人就會將其用來洗劫被害人，然後透過加密貨幣洗錢，最終統籌贓款。另一種釣魚手法則是鎖定賣家而來，說服他們必須支付押金才能收到貨款來行騙。</p> <p><a href="https://www.ic3.gov/Media/News/2023/230823.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國針對Barracuda郵件安全閘道用戶提出警告，已修補漏洞的設備仍可能遭到攻擊，因此呼籲用戶更換</span></strong></a></p> <p>資安業者Barracuda於5月20日派送更新程式，遠端修補郵件安全閘道ESG的重大漏洞CVE-2023-2868（CVSS風險評為10分），後來在6月7日呼籲用戶更換設備，現在美國政府也提出類似的看法。</p> <p>美國聯邦調查局（FBI）於8月23日發布資安通告，指出由於迄今中國駭客積極利用上述漏洞發動攻擊，再加上Barracuda提供的更新程式無法助緩解已遭到攻擊的系統，他們呼籲用戶應儘速隔離並更換所有受到影響的ESG系統，並掃描網路環境是否出現遭到入侵的跡象。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/rockwell-thinmanager-vulnerabilities-could-expose-industrial-hmis-to-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Rockwell的Thin Client設備管理系統被揭露漏洞，恐暴露工控環境的人機介面</span></strong></a></p> <p>資安業者Tenalbe在Rockwell Automation的精簡用戶端設備管理系統ThinManager上，發現CVE-2023-2914、CVE-2023-2915、CVE-2023-2917，CVSS風險評分介於7.5至9.8。這些漏洞出現在遠端桌面連線（RDP）伺服器的管理元件ThinServer上，由於未進行正確的輸入驗證，而可能導致該系統發生記憶體整數溢位，或是造成路徑穿越的情形，攻擊者有可能藉此來發動阻斷服務攻擊，或是利用系統權限刪除任意檔案，或是上傳檔案到部署ThinServer的磁碟。</p> <p>研究人員指出，利用這些漏洞必備條件是存取目標伺服器所在的網路環境，之後就有機會完全控制ThinServer。由於這套系統通常被用於監控OT環境的人機介面（HMI），攻擊者很有可能藉著漏洞入侵HMI，甚至進一步攻擊網路環境裡其他的設備。對此，美國網路安全暨基礎設施安全局（CISA）於8月22日發出警告，呼籲企業組織應儘速套用緩解措施。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.tenable.com/security/research/tra-2023-28" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--840132262" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://www.tenable.com/security/research/tra-2023-28</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.cisa.gov/news-events/ics-advisories/icsa-23-234-03" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--2063061449" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://www.cisa.gov/news-events/ics-advisories/icsa-23-234-03</span></a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.fsc.gov.tw/ch/home.jsp?id=2&parentpath=0&mcustomize=news_view.jsp&dataserno=202308240009&dtable=News"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">臺灣企業風險意識提高，2022年資安險保費突破4億元</span></span></strong></a></p> <p><a href="https://www.group-ib.com/blog/gigabud-banking-malware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">安卓金融木馬Gigabud RAT鎖定東南亞用戶下手</span></span></strong></a></p> <p><a href="https://www.recordedfuture.com/threat-actors-leverage-internet-services-to-enhance-data-theft-and-weaken-security-defenses"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">越來越多駭客利用Slack及Trello埋藏惡意軟體攻擊</span></span></strong></a></p> <p><a href="https://pentera.io/blog/the-lol-isnt-so-funny-when-it-bites-you-in-the-bas/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露可被用於寄生攻擊的11款可執行檔</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/158328"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">強化臺灣通訊網路韌性，數位部打算與中軌道衛星業者SES合作</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158431">【8月24日】 DuoLingo用戶個資傳出在駭客論壇兜售，疑似因API臭蟲而外洩</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158411">【8月23日】研究人員揭露勒索軟體Akira新攻擊手法，駭客鎖定思科VPN系統做為初始入侵管道</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158398">【8月22日】木馬程式HiatusRAT鎖定臺灣而來，半導體、化學製造業、縣市政府成為目標</a></strong></p> </div></div></div>
2023/8/25 17:50作者周峻佑https://www.ithome.com.tw/news/158448
Meta釋出可商用程式開發語言模型Code Llama
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta利用之前所發布的可商用大型語言模型<a href="https://www.ithome.com.tw/news/157854">Llama 2</a>做為基礎，推出程式開發用的語言模型<a href="https://ai.meta.com/blog/code-llama-large-language-model-coding/">Code Llama</a>。Code Llama總共有三種變體，第一種是基礎程式碼模型，第二種是針對Python微調的模型，第三種則是針對自然語言指令進行微調的模型變體。與Llama 2相同，Code Llama也是可免費用於研究和商業用途。</p> <p>Code Llama使用更多程式碼資料集訓練，並且從該資料集擷取更多資料，進行長時間的訓練而成，是專門處理程式碼的Llama 2模型。因此Code Llama具有更強的程式碼編寫能力，可以根據程式以及自然語言提示，生成程式碼或是有關程式碼的自然語言回應，執行程式碼完成和除錯任務，支援的程式語言包括Python、C++、Java、PHP、Typescript、C#和Bash。</p> <p>根據不同服務和延遲需求，Meta推出三種大小的Code Llama模型，分別具有70億、130億和340億參數，70億參數的版本可以在單個GPU上運作，最大的340億模型則能夠回傳最佳結果，因此用戶可以依據需求選用不同大小的模型，針對需要諸如即時程式碼完成這類低延遲任務，選用70億、130億參數的模型更為適合。</p> <p>這三種大小的模型，皆經過5,000億程式碼和相關內容的Token訓練，官方提到，70億、130億基礎模型和指令模型具有FIM（Fill-In-The-Middle）能力，因此能夠生成可插入至現有程式碼中的程式碼。</p> <p>FIM使模型能夠在現有的文字和程式碼中插入和填充內容，類似程式開發環境中程式碼自動完成，或是程式碼建議功能。而70億、130億基礎模型和指令模型具有FIM功能，也就是說使用者不需要額外訓練或是調整，就可以直接使用該功能。</p> <p>Code Llama具有處理長序列內容的能力，能夠穩定生成10萬Token的內容，並且也能夠處理高達10萬Token的輸入。處理長輸入序列的Code Llama能夠支援更多的使用情境，像是使用者可以提供更多來自程式碼庫的上下文，並且對更大的程式碼庫進行除錯。</p> <p>由於Python是經過許多程式碼生成基準測試的語言，而且Python也在人工智慧社群扮演重要角色，因此Meta針對Python，額外以1,000億Python程式碼Token進行微調，生成Python程式開發專用的Code Llama - Python模型。另外，Code Llama - Instruct則是針對指令進行微調的模型版本，能夠處理自然語言指令輸入和輸出，更好地理解使用者所給出的指令。</p> <p>Meta使用目前兩種流行的程式開發基準來測試Code Llama模型，分別是HumanEval與MBPP（Mostly Basic Python Programming），HumanEval可以測試模型根據文件字串完成程式碼的能力，而MBPP則可以測試模型根據描述編寫程式碼的能力。</p> <p>經測試，Code Llama程式開發的能力優於其他開源，且同樣針對程式碼生成的大型語言模型，Code Llama 340億參數模型版本，在HumanEval得分53.7％，而在MBPP的得分則是56.2%，較其他開源解決方案更高。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/369682932_681515836750953_6337320211215231153_n.jpg" style="width: 580px; height: 708px;" /></p> </div></div></div>
2023/8/25 14:36作者李建興https://www.ithome.com.tw/news/158436
【臺灣政府零信任戰略正式啟動】從驗證、採購兩大角度出發，身分鑑別先行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路安全零信任轉型受全球關注，近年臺灣政府已率先付諸行動，推動A級公務機關逐步導入，同時希望帶動本土商用解決方案的發展，讓國內資安產業能在零信任風潮下，擁有一席之地。而這也呼應總統蔡英文任內不斷提及的「資安即國安」戰略，促進臺灣資安產業自主研發能力。</p> <p>回顧2022年7月，當時的行政院國家資通安全會報技術服務中心（現已納入國家資通安全研究院），首度揭露政府零信任架構網路安全戰略的規畫，說明政府零信任架構將分三大階段進行，第一年聚焦「身分鑑別」，第二年是「設備鑑別」，第三年是「信任推斷」，藉此順序，循序建立起零信任架構中決策引擎的3大核心機制，接下來，數位發展部部長唐鳳在11月公開說明這項計畫，展現政府推動的決心。</p> <p>轉眼一年過去，如今，我們看到臺灣零信任推動有了更多具體的發展，例如，第一階段身分鑑別驗證，有多家廠商投入，以及相關共同供應契約發布。</p> <p>同時，我國政府推行強化無密碼登入的態勢，也在持續發酵，自從2019年內政部打造Taiwan FidO臺灣行動身分識別，2021年金管會與金融業及相關單位，共同成立「金融行動身分識別聯盟」（金融FIDO），之後數位發展部在2022年成立，現今這方面的推動情形，更是有著朝向產業擴張的態勢。</p> <p>顯然，無論網路安全的零信任轉型，以及解決傳統密碼登入安全問題，我國在2023年都有著實質的進展。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1144-%E5%B0%81%E9%9D%A2-%E6%94%BF%E5%BA%9C%E9%9B%B6%E4%BF%A1%E4%BB%BB-600-3.png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>醞釀兩年的金融FIDO服務，今年已經完成部署</strong></span><br /> <span style="color: rgb(105, 105, 105);"><strong>在金管會「金融科技發展路徑圖」推動之下，「金融FIDO聯盟」在兩年前成立，如今由財金公司與聯合徵信中心協同金融機構導入的「金融FIDO」服務，已在2023年6月正式上線，將串聯金融產業帶動更多元創新應用。</strong></span></p> <p><span style="font-size:28px;"><strong>領先國際腳步，臺灣從決策引擎驗證做起</strong></span></p> <p>近年來，各界幾乎都在推廣零信任架構的網路安全策略。最重要原因，就是隨著APT攻擊更加猖獗，以及企業網路環境的改變，傳統網路安全策略作法聚焦於邊界防護，屢屢遭受不同形式的突破，而且越來越常發生。</p> <p>於是，經過多年演進的零信任網路安全策略，如今成為主要的因應之道，並廣受認可。其終極目標，就是要大幅降低企業資料外洩災情的發生，以及減少橫向移動攻擊的影響。</p> <p>自從2020年8月，美國國家標準暨技術研究院（NIST）公布SP 800-207標準文件，幾年以來，我們看到國際間已出現許多具體行動，但臺灣能否重視並跟上這股潮流，成為我們持續密切關注的焦點。</p> <p>例如，2021年5月，美國拜登總統開始下令，在美國聯邦政府網路安全現代化工程中，祭出導入零信任架構的網路安全策略，兩個月後，美國NIST旗下國家網路安全卓越中心（NCCoE）也開始行動，挑選出當地18家資安科技業者，來幫助設計與演示實施零信任架構的各種方法，如今更是增至24家以上。</p> <p>最近兩三年，我們看到更多國際科技大廠積極行動支持與響應號召，一方面他們提出自家零信任架構策略，一方面說明自家產品如何朝零信任架構設計，以及這些產品會對應到整個零信任架構的特定環節。</p> <p>而臺灣本身在2023年有何最新進展？</p> <p>首先，在政府零信任架構的推動上，根據行政法人國家資通安全研究院資安院（以下簡稱資安院）最新公布資訊，在第一階段的「身分鑑別」方案功能符合性驗證，通過的廠商方案有明顯增加。去年8月，只有2家廠商提供的方案通過驗證，經過這一年下來，已增加到11個方案。</p> <p>在此當中，前8家均為本土廠商，提供了自家的產品方案，包括：全景軟體、安碁（與歐生全合作）、臺灣網路認證、來毅數位科技、偉康科技、中華資安國際、凌網科技、中華電信。</p> <p>後續則有外商產品通過驗證，包括：奧登資訊提供OKTA的方案，台灣微軟提供自家方案，以及數聯資安提供Cloudflare的方案。</p> <p>目前，我們也得知安碁資訊正改以OpenText（Micro Focus去年被併入該公司）的方案，向資安院申請驗證。</p> <p>因此，單從身分鑑別驗證的現況進展，我們可觀察三個重點：</p> <p>首先，這些方案將會成為日後政府機關導入的重要參考依據；</p> <p>第二，政府希望帶動本土商用解決方案發展，但目前出現新變化，因為通過的第9個方案開始出現外商產品。</p> <p>第三，儘管第二階段的「設備鑑別」驗證已開始啟動，不過目前「身分鑑別」的功能驗證仍在進行。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1144-%E5%B0%81%E9%9D%A2-%E6%94%BF%E5%BA%9C%E9%9B%B6%E4%BF%A1%E4%BB%BB-600.png" style="text-align: center; width: 600px;" /></p> <p><span style="font-size:28px;"><strong>今年政府採購新增零信任方案項目</strong></span></p> <p>特別的是，政府零信任架構的推動不僅止於此，近期我們詢問相關廠商時，了解到另一面向的進展。</p> <p>例如，在2023年2月，數位產業署軟體採購辦公室展開行動，他們在「112年第三次電腦軟體共同供應契約採購－資通安全服務」標案發布新的組別，名為「零信任網路架構導入及維護服務」。這意味著，政府已經將零信任架構相關納入共同供應契約。</p> <p>簡單而言，除各單位獨立公開招標，共同供應契約是各級公家機關查詢各式標案或提供採購的平臺，因此，在此替零信任設立獨立組別，具有重大意義。</p> <p>我們實際檢視該項目的共同供應契約，已有多家廠商參與投標，例如：全景軟體、偉康科技、數聯資安、安碁資訊、中華資安國際、凌網科技，還有自由系統、智域國際、華電聯網、新加坡商網達先進科技、漢昕科技等。</p> <p>以偉康科技、全景軟體為例，主要提供自家身分鑑別方面產品，凌網提供自家與臺灣網路認證的身分鑑別產品；也有廠商提供多品牌、多類型資安產品，如華電連網提供Darktrace、來毅數位科技、VMware、Palo Alto Networks、Fortinet、F5、CyberArk、Cisco、微軟等廠牌的多項產品，漢昕科技提供高達40多家不同類型廠商產品。</p> <p>當然，在這波零信任架構轉型之下，不只是政府機關採取行動，金融領域也在鼓勵之列。在2022年12月底，金融監督管理委員會（金管會）正式發表金融資安行動方案2.0，當中一項內容，就是關於這方面的推行，希望金融業能參考資安院的政府零信任架構，建構新世代的網路安全策略。</p> <p>數位發展部的政策同樣重視零信任，因為部長唐鳳公布年度施政重要目標時，特別強調2023年就是要以推動零信任架構為主要目標。</p> <p>儘管資安界提倡零信任架構的網路安全策略已持續幾年，至今仍有不少人對此毫無概念。我們認為，現階段最大的轉變與意義在於，隨著政府公開喊出「零信任」的旗幟，並已有實際動作，將能夠讓我國能有更多產業都關注、重視這方面議題，並且知道很多企業、產業都在往這方向推進。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1144-%E5%B0%81%E9%9D%A2-%E6%94%BF%E5%BA%9C%E9%9B%B6%E4%BF%A1%E4%BB%BB-2-600.png" style="width: 600px;" /></p> <p><span style="font-size:28px;"><strong>臺灣無密碼登入有望今年爆發，推向金融與更多產業</strong></span></p> <p>除了政府零信任架構推動從「身分鑑別」開始，關於FIDO技術的應用，也開始朝向產業擴展。</p> <p>基本上，資安院在政府零信任架構的決策引擎設計主要考量，採用FIDO技術的無密碼雙因子方式達到身分鑑別。</p> <p>另一方面，關於我國政府在FIDO技術的應用，前幾年就已經開始採取這方面的行動。</p> <p>在2019年10月，內政部資訊中心規畫Taiwan FidO臺灣行動身分識別（簡稱TW FidO），也就是依循FIDO標準，來幫助做到政府網站與服務登入的安全與簡化。</p> <p>就當時的應用而言，在政府便民服務登入方面，初期已有財政部地方稅的民眾網路申報最早啟用；而在政府機關人員系統登入方面，2020年率先有文化部單一簽入入口網支援，後續支援的系統，還有新竹市政府地理圖資倉儲決策支援應用平臺、行政院人事行政總處的人事服務網系統、衛生福利部的精神照護資訊系統，以及法務部的全國公職人員財產生申報系統。</p> <p>2022年，內政部再推自然人憑證行動化，進一步將原本FIDO無密碼登入與自然人憑證整合，因此，不只是用於便民服務登入、機關人員系統登入，也能運用到公文簽核，年底已有83個機關、127個系統支援。</p> <p>到了2023年，我們看到最明顯進展在於，隨著2022年數位發展部成立，政府在這方面的推動更是日益積極，例如，打算推廣更多產業採用FIDO標準。</p> <p>首先，1月數位部宣布加入FIDO國際標準組織，成為內政部之後，第二個加入該聯盟的我國政府機關。</p> <p>接下來，6月13日，財金資訊公司宣布「金融FIDO」服務上線，這是兩年前金管會宣布成立「金融行動身分識別聯盟」後，正式開始提供泛金融產業共通的行動身分識別工具。</p> <p>這意味著，過去金融業可能各自在其服務導入FIDO技術，他們發展腳步較快，而在金融FIDO機制建立之下，將大幅增加普遍應用的可能性，並也更容易串聯金融產業、帶動多元創新。</p> <p>8月15日，在數位發展部數位產業署舉辦的網路信賴基礎環境應用論壇上，部長唐鳳在此場合的談話與採訪，更是透露出三大新重點：</p> <p>（一）數位部目前內部系統都已經採免密碼登入，像是採用TW FidO搭配行動自然人憑證，登入機關內部網站，在系統上簽署公文，因此，未來會更積極廣泛推廣到其他機關單位。</p> <p>（二）內政部近日通過「內政部行動自然人憑證系統介接申請要點」修正，最大改變在於，讓TW FidO的服務對象，從原本只有開放電信、醫療產業應用，擴大到只要適用個人資料保護法的機關或非公務機關，都能夠申請串接。</p> <p>（三）電商產業的用戶安全登入保護機制，也是政府關注重點，希望在FIDO聯盟新推Passkey無密碼登入之下，以及TW FidO串接產業開放之下，盼國內業者要有更多作為。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1144-%E5%B0%81%E9%9D%A2-%E6%94%BF%E5%BA%9C%E9%9B%B6%E4%BF%A1%E4%BB%BB-600-2(1).png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>政府TW FIDO擴大開放到各行業，可促使無密碼登入日漸普及</strong></span><br /> <span style="color: rgb(105, 105, 105);"><strong>今年8月中旬，「內政部行動自然人憑證系統介接申請要點」已通過修正，將服務對象擴大為，適用個人資料保護法之公務機關或非公務機關，也就是說，最初這項服務只有政府單位適用，現在民間企業也能申請，等於加速國內無密碼登入的普及。</strong></span></p> <p><span style="font-size:28px;"><strong>各界認同政府積極推動，但需體認零信任並非單一解決方案</strong></span></p> <p>綜觀上述今年新進展，在網路安全策略上，我國正積極推動零信任架構的導入，並規畫從「身分鑑別」、「設備鑑別」開始做起，而驗證通過名單已陸續增至11家，在政府採購的共同供應契約方面，資通安全服務方面，也新增零信任架構導入的組別；而在網路身分識別上，FIDO無密碼的應用也持續擴張，不只是有數十個政府機關系統支援，甚至數位發展部已宣布全面採用，甚至對民間單位也大開介接之門，促使所有受到個資法規範的非公務機關也能申請。</p> <p>我們也期盼，隨著政府對於零信任、無密碼的推動，已有更高調且實質的推動，將能帶動更多國內產業投入這方面的發展，不論是產品提供或是導入。</p> <p>特別的是，對於政府零信任架構的推動，我們這次也詢問幾家本土業者，他們有什麼樣的看法？</p> <p>身為最早參與政府零信任架構方案研發兩家廠商之一的安碁資訊表示，與資安院（前技服中心）的會議討論上，重點主要圍繞在，此項計畫未來是否能順利成功的推行到機關單位。畢竟現有許多資訊系統的系統框架、資料交換與系統應用關聯性錯綜複雜，因此，如何協助機關規畫、建置與採購零信任方案，更是主要焦點，遠多於技術面的細節。</p> <p>他們認為，今年數發部相當快速地責成軟體採購辦公室做出了相關的規畫，發布新的「零信任網路架構導入及維護服務」共同供應契約項目，相當值得肯定，這代表政府在此項政策推動的決心，因為過去沒有這樣的先例。</p> <p>同時，此舉也對市場投入一股強心劑，讓產業正面看待此項方案的未來與持續研發，後續就看機關單位編列的預算，是否能夠順利到位，以落實政策的執行與實踐。</p> <p>另一方面，對於政府推動商用產品投入發展，我們也詢問推出入選零信任架構的3家本土身分安全產品業者，包括：幫助內政部資訊中心建立TW FidO的臺灣網路認證，產品行銷全球16國的來毅數位科技，以及今年剛興櫃、正向印度市場拓展的偉康科技，他們均認為，有政府帶頭推動是好事，畢竟從過去經驗來看，政府的一舉一動是重要指標，能讓更多產業重視。</p> <p>這是因為，過去廠商其實已經做了很多市場教育，提倡這方面的觀念，但一直不容易被客戶買單，而這兩年在政府鼓吹之下，企業對於這方面的認知的確有所增加；長期以來，許多國內企業多半只會關心同產業間的動作，只要沒有人帶頭，整個產業都會抱持著觀望態度，而不願揭露自己正在使用這樣的資安解決方案。</p> <p>不過，他們也認為，儘管資安院提出政府零信任架構，但他們在產品開發設計上，主要還是會依照自己的步調來進行，畢竟企業與國際市場的需求與環境不同，而政府零信任架構的設計，是考量我國政府機關現有環境與政策而成，因此，這些廠商仍會依據身分鑑別的驗證項目，提供相應、符合的解決方案。</p> <p>而且，基於整個零信任架構來看，他們還會關注的重點在於，能否與其他零信任環節產品整合與相容，尤其是後續網路等層面，畢竟各產品業者擅長的技術領域不盡相同，但如果本身有能力，他們也會發展到身分以外的層面。</p> <p>畢竟，零信任架構並不是只有身分識別這一面向，無法靠單一產品或解決方案就能完成。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1144-%E5%B0%81%E9%9D%A2-%E6%94%BF%E5%BA%9C%E9%9B%B6%E4%BF%A1%E4%BB%BB-600-4.png" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><strong>從美國國防部零信任執行構面，檢視我國當前「政府零信任架構」涵蓋範圍</strong></span><br /> <span style="color:#696969;"><strong>機關或企業導入零信任方案並非依靠單一產品即可完成，為了解我國政府零信任架構身分鑑別的涵蓋面，我們以美國國防部制定零信任能力執行路線圖的內容為參照，並請安碁資訊協助指認。安碁資訊表示，圖中紅色方塊即為政府零信任架構之身分鑑別所涵蓋的範圍，我們顯然還有很大的努力空間。</strong></span></p> <p><a href="https://www.ithome.com.tw/article/158417" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1144-feng_mian_p1-open-zheng_han_-960x420_kao_bei_0.jpg?itok=Z1cAPIEo" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2023/8/25 12:00作者羅正漢https://www.ithome.com.tw/news/158415
擁抱零信任架構商機，本土身分安全產品業者具有多種競爭優勢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一年來，政府積極推動零信任架構實踐，根據去年技服中心（現已併入國家資通安全研究院）的規畫，我國的政府零信任架構聚焦決策引擎、存取閘道的打造，從身分鑑別、設備鑑別、信任推斷這三大核心，依序做起，以利未來的動態身分存取管控，做到持續驗證，因此，身分鑑別就是2023年最主要的推動目標。</p> <p>尤其政府近年強調厚植臺灣資安產業自主研發能力，因此，在零信任架構的推動上，預告將結合政府網路向上集中防護需求，採取資源門戶的部署方式，也參考美國國家資安卓越中心（NCCoE）作法，推動國內廠商能積極參與開發，以及整合出能符合政府零信任架構需求的解決方案。</p> <p>如今，這項計畫有11家廠商的身分安全產品，通過「身分鑑別」功能符合性驗證，當中有8個是基於本土廠商的產品。</p> <p>以臺灣資安廠商而言，精研身分安全技術而入選的業者不少，我們找來其中3家現身說法，瞭解國內廠商在身分安全技術的產品發展，以及如何看待政府零信任架構推動下的商機。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-%E6%9C%AC%E5%9C%9F%E8%BA%AB%E5%88%86%E5%AE%89%E5%85%A8-600-1.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／國家資通安全研究院</span></span><br /> <span style="color:#3399ff;"><strong>去年臺灣政府零信任架構成形，同時推動商用產品符合NIST零信任架構，規畫採取資源門戶的部署方式打造決策引擎的三大核心機制，同時提出完成零信任登入流程，其中身分鑑別產品驗證是最先啟動的一環。</strong></span></p> <p><span style="font-size:28px;"><strong>來毅數位科技：臺灣推動身分安全時機剛好，其實不算太慢</strong></span></p> <p>首先，在2012年成立的來毅數位科技（Lydsec，原名來誼數位科技），他們的發展相當特別。</p> <p>該公司董事長林政毅表示，他們最早的發展可追溯至1987年，家族長輩Maw-Tsong Lin在瑞典創辦的Todos，當時就是專注於身分安全產品，開發可產生OTP碼的硬體式網路身分認證產品，不論是可獨立運作，或是連接電腦、整合讀卡機、按鍵式等幾十款產品，直到2010年Todos被當時的Gemalto收購。</p> <p>2012年後，他們注意到行動裝置普及的態勢，繼而開始聚焦於軟體式網路身分認證產品的發展，一方面，Maw-Tsong Lin在瑞典成立Keypasco公司，另一方面，林政毅也在臺灣成立來誼數位科技，雙邊共同研究發展這方面的解決方案，並在全球16國銷售Keypasco系列產品，2016年改名為來毅數位科技，2019年他們併購Keypasco的資安業務。</p> <p>關於政府推動零信任架構，並從身分鑑別開始著手，林政毅表示，對於他們這類身分安全產品廠商而言，確實起了推波助瀾的效果，畢竟，他們在11年前提倡多因素身分驗證（MFA），當時很多人還不知道MFA是什麼，因此花了相當多時間，在持續對市場進行教育。</p> <p>最近這兩年，在政府大力鼓吹零信任之下，由於第一個議題就是涉及身分認證的環節，因此算是第一個成為受惠的產業。再者，近年政府促進產業資安政策的推動，也喚起臺灣企業資安意識，尤其是這兩年上市櫃公司都在設置資安長，資安長上任後也將進行資安防護盤點或健檢，進而尋找相應的方案，這都是利基點。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-%E6%9C%AC%E5%9C%9F%E8%BA%AB%E5%88%86%E5%AE%89%E5%85%A8-600-2.png" style="width: 550px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>來毅數位科技董事長林政毅表表示，十年前他們在提倡MFA時，需要花相當多時間做市場教育，現在政府推動零信任架構，並從身分鑑別開始做起，有望帶動政府、金融以外產業重視身分安全議題。</strong></span></p> <p>而且，過去產業間，金融業一直是受到高度監管的單位，因此過去對於身分安全方面就有一定的需求，例如，早年就有企業與組織採用硬體Token產品，因為這是Must to have，但對於其他產業而言，多半則是Nice to have，如今隨著政府機關推動無密碼登入、政府零信任架構，有了政府帶頭，可以更容易擴散到其他產業，擴散到企業端。</p> <p>特別的是，由於來毅數位科技已將產品推向全球多國市場，根據他們的觀察，相較於其他國家，臺灣在身分安全方面的推動腳步是否會太慢？</p> <p>他認為，如果是跟美國相比，臺灣的確比較慢，但與鄰近國家相比，我們的腳步走得其實算前面。例如日本比臺灣慢一些，若是越南、泰國等東南亞國家，進度更慢，由於這些國家沒有相關規範去帶動，因此在這波浪潮之下，就會推動得較慢。</p> <p>從硬體發展到軟體，歷經兩大階段，回顧這些年來，林政毅表示，身分認證技術的基本邏輯，其實很相似，基本的知識也都大同小異，重點在於如何能夠適應整個時代的消費者，或使用者習慣。</p> <p>以Keypasco的產品設計來看，最初他們的思考點，就是如何在不安全的裝置上，提供安全的身分認證，因此，將MFA列為必要功能，如今大致可畫分出兩種類型的產品：一種是API模式，可適用B2B2C及B2B的場景，另一種是Proxy模式，專門用於B2B的場景，對於市面上普遍存在的應用系統，能夠予以整合。</p> <p>而在這些年來，林政毅表示，他們已經開發出雙通道認證架構，藉由第二條通道驗證登入資訊，避免中間人攻擊及釣魚攻擊，而且，產品本身具備獲取設備特徵值的能力，同時，還結合了地理位置、時間條件存取限制，以及風險引擎、監控設備的健康狀況等特性。</p> <p>在這10年間，他們持續因應各種產業需求，其實已經處理過各種不同的情境，所以能提供相應方案與版本，而對於這次政府零信任架構的驗證，由於規範當中希望採用FIDO架構，因此，他們也依據這樣的需求，調整出能夠相應的版本。</p> <p>特別的是，除了政府推動確實可以幫助到產業，他認為，國際間全球大廠開始要求，要求自家的供應商能符合相應的資安規範，而這樣的氛圍也是促進產業商機的關鍵之一，因為，他們手上就有一個光電業案子已經這麼做，用戶先將供應商平臺應用API模式身分認證，後續這家公司也進一步採用Proxy模式，讓內部員工的身分認證也都能夠強化。</p> <p><span style="font-size:28px;"><strong>偉康科技：不只政策加持，供應鏈也成推力</strong></span></p> <p>於1998年成立的偉康科技，過去主要發展數位金融解決方案，雖然非一開始就從身分安全技術研發起家，但該公司總經理陳怡良表示，隨著2017年行動應用發達，帳密安全問題備受關注，讓公司技術單位開始發展生物辨識解決方案，接著2018年，由於FIDO標準受到更多國際重視，這時他們開始研發基於FIDO標準的解決方案，也為了保護FIDO技術的安全，設計白箱加密演算法，讓加密金鑰碎片化、不易被竊取。因此，他們大概是在6年前，跨入身分識別的技術領域，一開始是主要鎖定B2B2C的應用，讓他們金融企業的客戶有更好的身分認證方式。</p> <p>對於今日政府零信任架構的推動，從身分識別做起，是否帶動了相關資安需求與商機，陳怡良認為，這可以分成幾個階段談起，就他的觀察，主要是在三年前，也就是2020年之後，有了明顯的變化。</p> <p>首先，是在2020年疫情爆發期間，這時居家上班風潮，VPN使用情形增加，這也讓金融業對於內部人員身分安全更加重視，他們看到金融業居家上班，因此產生更安全身分登入的需求；其次，是VDI遠端桌面也同樣要有更安全的無密碼登入需求；第三個新浪潮，則是隨著供應鏈而起，由於國內許多製造業身處美國科技大廠的供應鏈體系，在受到供應鏈的稽核規範下，因此有企業開始將FIDO技術綁定VDI遠端桌面的需求。由於有這些市場需求的帶動之下，也促進著他們的產品研發。</p> <p>而以政府推動上來看，陳怡良認為，真正在市場上獲得較大迴響的關鍵事件，是2021年金管會宣布金融FIDO成立，當時感受到很多金融業者都很關切這方面議題，之後2022年政府零信任架構發布，算是新一波帶動。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-%E6%9C%AC%E5%9C%9F%E8%BA%AB%E5%88%86%E5%AE%89%E5%85%A8-600-3.png" style="width: 550px;" /></p> <p><span style="color:#3399ff;"><strong>偉康科技總經理陳怡良指出，從產業類型來看，對於身分安全強化最早會是金融業與政府，第三他們認為是製造業，主要是受到供應鏈資安稽核的驅動，第四則會是近期政府點名的電商產業。</strong></span></p> <p>陳怡良表示，2021年與2022年是他們感受最深的時期。而且，偉康在2021年，已將FIDO技術方面的產品核心，變成雲端服務提供給企業，推出基於SaaS服務的OAuth身分認證平臺，因此對於偉康而言，政府這方面的推動確實帶來很大的動力。最近，他們也將上述平臺重新設計為OETH One。</p> <p>關於政府零信任架構的身分鑑別驗證，陳怡良表示，對於投入研發的資訊廠商有好處，因為政府有政策支持，市場有熱度，大家投入的程度也會更高，而且驗證過程也都很嚴格，因此他們依照資安檢核面向與條款，提供對應版本，以滿足技服中心的驗證規範。</p> <p>例如，規範主要依據臺灣政府現況強調的向上集中而進行，但他們原先是採分散式設計。陳怡良表示，他們既然能「分散」，也就能「集中」，關鍵主要是複雜度問題，而一般產業的需求可以是分散，也可以是集中，因此，他們也能對應資安院要求，提供合適的產品。</p> <p>若從更廣角度來看，像是美國政府推動零信任架構，會聚焦在身分、裝置、網路、應用程式與資料等不同面向。</p> <p>因此，以他們目前的方案而言，是從身分到裝置之間的範圍，但在網路這一層面，由於市場上已有很多外商產品，這也不會是他們目前擅長的領域，因此之前就與外商產品進行整合。</p> <p>較特別的是，他們認為應用程式與資料的層面，將牽扯存取權限的細膩度，因此他們也會朝這方向去研發。因為他們的研發中心也涵蓋AI與資料的應用，先從資料控制著手，再往前做回來，他覺得這樣的發展也很不錯。</p> <p>至於國際市場的拓展，偉康科技也正開始行動。他們從2022年開始布局，在2023年5月宣布採國際策略合作方式，與大宇資訊旗下的安瑞科技（Array Networks）進軍印度市場，希望結合偉康FIDO技術與安瑞的SSL VPN，可以較容易地快速切入國際市場發展，而且不只是印度，在泰國、日本等市場，雙方都會有共同合作來推動。</p> <p><span style="font-size:28px;"><strong>台灣網路認證：看好PKIoT領域將投入發展</strong></span></p> <p>作為很早就通過身分鑑別的廠商之一的台灣網路認證，從1999年成立就鎖定身分識別領域的電子憑證發展。該公司策略發展部產品總監連子清表示，他們在2016年開始看重免臨櫃的商機，成立TWID身分識別中心多元整合服務，打造多元身分識別解決方案，發展跨產業應用的客戶身分識別，後續到了2019年，也協助內政部建置Taiwan FidO臺灣行動身分識別。</p> <p>而在原有的電子憑證方面，隨著電子文件、合約的需求，電子簽章的應用也持續擴增，包括電子文件簽署、電子保單認證等。綜合而言，其產品服務已經涵蓋4項，分別是：多元身分識別服務、信物管理服務、電子文件簽署服務，以及資料共享。</p> <p>如今，隨著2022年政府零信任分為三階段開始推動，他們也將原有的身分識別技術，轉化成相應的解決方案。</p> <p>對於資安院提出政府零信任架構的驗證，他們認同這對身分安全廠商是一大利多，同時也提供其他更深刻的觀察。</p> <p>連子清表示，資安院目前畫分三階段進行，從身分鑑別、設備鑑別，到信任推斷，由於通過身分鑑別認證多在去年年底，因此，今年商機可能才會發酵。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-%E6%9C%AC%E5%9C%9F%E8%BA%AB%E5%88%86%E5%AE%89%E5%85%A8-600-4.png" style="width: 550px;" /></p> <p><span style="color:#3399ff;"><strong>台灣網路認證策略發展部產品總監連子清認為，這一年來政府零信任架構的推動，2023年雖然不是一個轉捩點，但可說是一個挺好的時機，尤其是烏克蘭的事件後，政府大力推動網路安全，也促使產業間變得更加重視。</strong></span></p> <p>另一方面，雖然現在剛進入第二階段的設備鑑別，可卻會面臨一些尷尬的局面，主要原因在於，這三階段並非同時進行，因此，前面階段身分鑑別的方案，與位處後面階段的設備鑑別、信任推斷的方案是否相容，是必須注意的。</p> <p>具體而言，因為資安院目前相關規範還沒全部完成，像是設備鑑別才剛開始，信任推斷的驗證內容尚未發布，因此，如果此時要與客戶去談政府零信任的產品與服務規畫，容易面臨現在無法提供全套方案的情況。</p> <p>整體而言，2023年會是好時機，但可能還要再過一段時間，等PoC做完或是與後續階段一起推動之後，才會更有感。畢竟，政府帶頭做，還是要有實際的應用落地，因此可能還要再等等。</p> <p>他還觀察到一些值得留意的狀況，像是：若要參與第二階段產品的驗證，似乎也要通過第一階段驗證，但有些廠商可能有擅長領域不同的狀況。觀察國外的作法來看，其實會有各階段分屬不同廠商的搭配方式。此外，由於第二階段：設備鑑別的涵蓋範圍其實不小，目前在設備健康管理方面，可能會出現到下個階段執行的可能性。</p> <p>就台灣網路認證的方案而言，擅長的是身分鑑別與設備鑑別前半段的部分。單就身分鑑別方面，連子清也提出更多說明，這是因為，以國際標準而言，身分識別分為註冊階段、信物管理、信物驗證，這也是他們涵蓋的部分，不過，資安院提出政府零信任架構的身分鑑別，其實並未涵蓋到定義註冊階段的部分，他認為未來仍應顧及這方面需求。</p> <p>此外，政府共同供應契約新增「零信任網路平台安裝建置服務」的標案，對廠商而言，除了要通過政府零信任架構驗證，也要申請共同供應契約。廠商可能會憂心目前這樣的提供無強制性，公部門若要建置零信任環境，不一定要從通過資安院驗證的廠商去選擇，因此能否帶來顯著市場成效，仍有待觀察。</p> <p>至於未來會有哪些發展焦點？除了跟上政府零信任架構的腳步，台灣網路數位也看好PKIoT的發展，也就是將憑證與IoT做結合，這會是他們未來將發展的重點，目前國外已開始有廠商在做這一塊，至於KYC方面的應用也會是他們接下來的目標，補強身分識別的應用。</p> <p><span style="font-size:28px;"><strong>期盼臺灣資安產品版圖也能擴大</strong></span></p> <p>無論如何，身分安全在零信任架構的重要性不言而喻，像是國際大廠Google與微軟，都公開強調這樣的關係。</p> <p>例如，<a href="https://www.ithome.com.tw/news/154735" target="_blank"><span style="color:#3366ff;">去年底Google Cloud台灣技術副總經理林書平在一場演說中</span></a>，就提到Google零信任的做法，強調以身分取代網路作為存取控制的安全邊界，他們的零信任安全模型，是從身分角度來看信任，共分成五大要素，包含了使用者的身分、裝置的身分，機器的身分、服務的身分，以及程式碼的身分。</p> <p>今年初，我們拜訪微軟了解其零信任發展概況時，該公司專家技術部資安副總經理周彥儒表示，微軟就是以Azure AD（現改名Entra ID）為基礎，達成零信任在身分驗證環節的要求。</p> <p>臺灣開發資安產品的業者不少，在身分安全領域已存在一些業者，如今在零信任架構推動的風潮之下，雖然有蓬勃發展的機會，但很難在短時間內像國際大廠，擁有豐富的產品線、建構完整、全面的零信任解決方案，因此，如何能在零信任產業鏈獲得一席之地，並拓展至全球市場，整合或許是一大關鍵，也是接下來資安界必須持續關注的重點。</p> <p><a href="https://www.ithome.com.tw/article/158417" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1144-feng_mian_p1-open-zheng_han_-960x420_kao_bei_0.jpg?itok=Z1cAPIEo" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2023/8/25 12:00作者羅正漢https://www.ithome.com.tw/news/158416
零信任是概念而非特定解決方案
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在我國政府大力推動零信任之下，我們樂見政府在網路安全策略積極行動，重視這樣的資安界潮流與國際趨勢，但我們也憂心，在目前的政府零信任架構規畫上，只從打造零信任架構的決策引擎、從身分鑑別一項開始，足夠嗎？</p> <p>這幾年我們整理零信任架構進展時，看到美國網路安全暨基礎設施安全局（CISA），以及美國國防部提出相應藍圖。例如，在CISA提出的零信任成熟模型中，是從五大支柱做起，包括身分、裝置、網路、應用服務及工作流、負責，分別定義4種階段的成熟度供評估參考。</p> <p>美國國防部在今年1月提出自身單位的「零信任能力執行路線圖」，當中擬定將從7個層面做起，包括：使用者、裝置、應用程式與工作流、資料、網路及環境、自動化與協調、可視性與分析，並預計要到2027財年，才會達到零信任架構最基本的基準線。</p> <p>而且，我們從目前共同供應契約的零信任採購項目來看，有些廠商在標案中提供的產品，可說是包山包海的資安類型產品。</p> <p>對此問題，大型資安廠商怎麼看待？出身臺灣的國際資安廠商趨勢科技認為，雖然市場上喊出零信任解決方案，但大家在推動零信任架構時可以有一個觀念──零信任是一個框架、是一個概念，不要將零信任架構定位成特定解決方案，要用概念的角度去看待，一步步從各層面去強化成熟度。</p> <p>趨勢科技台灣區暨香港區總經理洪偉淦表示，臺灣從身分識別開始做起，並不是壞事，因為我們很難一開始就設定完美的架構，或是一開始就有很大筆的預算，能夠用來完成所有的事情。</p> <p>但要注意的是，對於零信任架構推動，美國NIST提到要兼顧可用性與安全性，因此，不要為了符合零信任，而去刻意做一套很特殊的系統。再者，用戶對於既有設備不要重複投資，應選擇從最關鍵的地方開始做起，全面去做，可能會變成不分輕重緩急。</p> <p>過去曾擔任美國政府官員、現為趨勢科技技術策略長的David Chow也指出，從美國的推動經驗來看，聯邦政府曾遇到很大的挑戰，因為導入時間很長，根本無法符合白宮要求，而能在短時間內達一定目標。這也顯示出，零信任不是一件容易的事。</p> <p>但David認為，美國政府有個作法值得借鏡。政府將零信任架構整個框架宣布後，主要是給出一個大方向，接下來就是讓各個聯邦政府去制定組織計畫，之後再交由政府來確認，是否可以符合框架的目標，再撥放預算供組織來發展。</p> <p>他認為，美國提出的這些策略其實很多都是風險評估──從風險評估角度切入，掌握需要保護的資訊，從成熟度角度看起，在不同面向提升。</p> <p>例如，美國聯邦政府在2005年啟動個人身分驗證（PIV）計畫，要求員工使用智慧卡（Smart Card）進行身分驗證，後續也衍生PIV-D憑證，因此早就有MFA的機制存在。當組織本身已經有這方面機制，可以繼續用來符合零信任架構，這時就應該把錢放在刀口上，做風險評估，看哪些面向是有效提升其成熟度，並且能夠符合零信任架構所需。</p> <p>洪偉淦也強調，具體實踐就是要從零信任架構的概念，一步步疊加上去，因為我們的預算不可能是無限的，只能一步步做好疊加的動作，但重點在於，疊加的東西需要能夠彼此配合，相容性要疊得出來，才能夠做到真正的整合。</p> <p>畢竟，企業實際導入還會考量成本，以及是否影響日常營運，操作是否會變得困難，若是如此，導入順序也會一直被遞延。在此考量之下，零信任架構才有辦法一步步往前推動。</p> <p><a href="https://www.ithome.com.tw/article/158417" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:22px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1144-feng_mian_p1-open-zheng_han_-960x420_kao_bei_0.jpg?itok=Z1cAPIEo" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%9B%B6%E4%BF%A1%E4%BB%BB">零信任</a></div></div></div>
2023/8/25 12:00作者羅正漢https://www.ithome.com.tw/voice/158418
如何實踐智慧醫院目標？臺大醫院揭新技術流程改造心法
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>早在今年3月14日，臺大醫院就悄悄上線了ChatGPT驅動的就醫推薦系統，能根據患者提供的基本訊息，如症狀描述，來推薦掛號科別，「不只減少民眾不知道要掛哪一科的困惑，也加速醫院科部間和科部內的工作分流，」臺大醫院醫務秘書陳信希說。</p> <p><span style="font-size:28px;"><strong>拆解流程3步驟思考智慧醫療應用</strong></span></p> <p>這是臺大醫院用科技改善醫療流程的一例，也是陳信希推動的一項成果。對許多人來說，醫務秘書是個神秘角色，卻是臺大醫院中關鍵的職位。陳信希解釋，他的職務是協調醫院資訊室和智慧醫療中心2大單位，將IT和AI等新技術，實際落地於醫療場域。他能勝任這個角色，不只因為他是電腦科學家，長年耕耘自然語言處理（NLP）、資訊檢索和AI領域，身兼臺大教職同時，還獲多項國家級獎項，是站在新技術浪尖的第一線研究者。臺大醫院想要借重他，將新技術融入醫療場域。</p> <p>但，如何有效將新技術整合至醫院場景，是許多醫院正面臨的挑戰。陳信希也不例外，他參考自己在電腦科學界解題的經驗，利用問題拆解方式，將臺大醫院的智慧醫院目標，切分為流程數位化、流程優化和流程智慧化3大步驟，再分別以醫護角度和病人角度，來找出新技術導入的突破口。</p> <p>以急診就醫為例，急診流程涵蓋了檢傷、掛號、診斷，以及病人進行檢驗檢查，比如抽血驗尿、超音波或心電圖等。在這期間，護理師會定時照護、量測生命徵象，隨著流程推進，病人的病歷記錄也不斷增加，醫師也得開始規畫，病人離開急診部的動向，比如返家還是住院。這些步驟，再加上後續批價、領藥，就形成了急診就醫整體流程。這些流程，可以套用上述的流程數位化、優化和智慧化3階段，來導入新技術改善。</p> <p>比如在檢傷環節，臺大醫院訓練出AI輔助模型，可預測病人的檢傷等級、住院機率和留院時間，用數位化和智慧化方式加速醫師判斷。再來，他們也開發預測模型，來根據病人病史，分析潛在病癥、相對應的ICD-10疾病分類碼，以及建議醫師的處置方式。</p> <p>在病人離部動向階段，還有AI模型來輔助醫師判斷，比如預測病人3日內回診率、留院觀察期間死亡風險、住院可能性、留院超過24小時機率等。醫師除了能用來安排動向，還能提早規畫病人候床，或在病人離部前，先衛教、引導病人後續到門診追蹤治療等說明。這些就是運用流程拆解和3步驟的改善案例。</p> <p><span style="font-size:28px;"><strong>自行開發系統20年打下基礎</strong></span></p> <p>臺大醫院現在能大力發展智慧醫療應用，還有賴於早年奠基的IT基礎。</p> <p>比如，自2004年開始，臺大醫院資訊室就陸續開發核心系統，像是2006年1月上線的門診系統、2007年2月完成的住院系統、同年5月上線的行政管理系統，還有2009年的急診系統、2011年的電子病歷系統、2012年的檢驗系統等。隨著時間推進，醫院系統也越建越完整，涵蓋了醫院各個作業範圍，舉凡電子病歷、醫療影像、醫療行政管理、教學和研究，甚至是這幾年興起的行動醫療、醫療AI應用等都包括在內。</p> <p>這期間形塑了他們的開發策略，也就是自組團隊，來打造核心醫療資訊系統（HIS）和行政作業系統，比如門診、急診和住院系統，其餘周邊系統則委外開發，兩者並行。</p> <p>不只如此，在這期間，臺大醫院總院IT多了個重要任務，要肩負自家和5家分院的IT維運工作。他們統一總院和分院的軟硬體技術平臺，也支援總分院的系統擴充，來滿足整個體系的醫療和行政需求。這個任務並不簡單，因為，總院和全臺5家分院橫跨了醫學中心、區域醫院和地區醫院等3個等級，這些醫院層級的差異，意味著流程和需求差異。要統一系統，就得顧及這些不同，對IT開發和新技術導入而言，就得多想一步。</p> <p>為統一管理總院和分院IT系統，臺大醫院採資料中心架構模式，來集中管理。他們自建機房，將總院和分院系統都建置在總院機房的同一平臺，來節省維護作業時間。團隊也以關聯式資料庫為基礎，來打造醫院的網頁應用。</p> <p>雖自建機房，陳信希指出，臺大醫院近年也開始討論上雲策略。他們展開幾次策略會議，以成本、安全性、隱私性和發展趨勢等指標，來分析雲端服務和自建落地服務的優缺點。最後得出，醫院適合採用成熟雲服務，來處理不含個資的領域，比如語音辨識、影像辨識等來優化醫療流程。不只臨床作業，他們也用雲服務改善辦公作業，如法傳系統COVID-19通報自動化RPA作業，來提高自動化程度。</p> <p><span style="font-size:28px;"><strong>打造新一代IT系統有7要點，還制定管理辦法助AI落地</strong></span></p> <p>自2004年開始自建系統和維運至今，臺大醫院也累積了20年經驗，期間歷經不少新技術的衝擊和新服務需求。比如行動化醫療出現時，臺大醫院導入不少行動裝置、開發App應用，IoT興起後，他們啟動數個設備連網專案，來優化報到、生理量測資料上傳和繳費等作業。</p> <p>這幾年，AI大浪掀起，臺大醫院在2020年成立智慧醫療中心，建置龐大的醫療整合資料庫，來推進醫療AI發展。如何面對新技術衝擊、打造新一代IT系統，陳信希給出7大要點：「改善使用者體驗、資訊安全內化、服務模組化、資料標準化、系統可商品化和AI應用快速化，」是臺大醫院醫院建置新一代IT系統的方向。</p> <p>他們也在這些方向下，開發、上線不少醫療AI應用，像是全血球自動分析儀、骨髓抹片細胞計數分類AI、心血管疾病輔助判讀軟體、胰臟癌輔助偵測AI和糖尿病視網膜病變篩檢等。</p> <p>在發展醫療AI期間，他們也摸索出一套方法，來鼓勵模型落地醫療場域。這就是臺大醫院智慧醫療中心特別擬訂的人工智慧／機器學習醫療器材軟體試用管理辦法，來確保醫材軟體在兼顧資安、隱私且不影響醫院IT系統運作的前提下，有效執行。</p> <p>其中一個落地成果，是耗時2年完成的胃癌風險預測AI軟體。該軟體由臺大醫院內科部主治醫師李宜家發起，利用大量胃鏡影像訓練而成，AI只要看一眼患者胃鏡影像，9秒就能判斷幽門螺旋桿菌感染或胃癌風險，準確率可達9成以上。這項軟體，也應用於偏遠地區的馬祖醫院，來改善傳統胃相判讀所需的組織切片、切片運送和病理科醫師判讀的冗長流程。其他落地的AI例子還有傷口自動判讀系統、國際疾病分類智慧編碼系統等，來讓醫療流程更智慧化。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/CXO-2P-%E8%8B%A5%E6%A8%B8-500.png" style="width: 513px;" /></p> <div> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>要實現智慧醫院目標，可將問題拆解為流程數位化、流程優化和流程智慧化3大步驟，再以醫護角度和病人角度找出新技術導入的突破口。──臺大醫院醫務秘書陳信希</strong></span></span><span style="color:#696969;">　<span style="font-size:14px;">攝影／洪政偉</span></span></p> </div> <p><span style="font-size:28px;"><strong>生成式AI爆紅，同步採用商用軟體和開源模型</strong></span></p> <p>AI技術總是推陳出新。陳信希指出，去年11月底，ChatGPT橫空出世，成為各行各業競相擁抱的技術，醫療業也不例外。就在ChatGPT問世後不久，去年12月底，臺大醫院院長吳明賢就指示，要將大型語言模型導入至醫院場域。</p> <p>於是，臺大醫院的智慧醫療中心從2方面下手推動，一是舉辦AI技術大躍進系列演講，來介紹大型語言模型、影像基礎模型和互動科技等概念和應用。其中，在ChatGPT場次，臺大醫院還說明醫院視角的ChatGPT機會與挑戰，以及它在智慧醫療領域的研究與應用，甚至是ChatGPT可能引發的研究倫理和法律議題。光是那場研討會，就吸引了臺大醫療體系和外部近600人參與，埋下日後醫院發展生成式AI應用的伏筆。</p> <p>與此同時，智慧醫療中心也從應用面下手，來發展生成式模型驅動的相關系統。比如文初提到的推薦系統，就是透過ChatGPT來設計診別和醫師推薦功能，藉由分析病患提供的症狀問題描述，來推薦患者掛號科別。</p> <p>不只如此，臺大醫院也同步研究開源、可商用的語言模型，如Falcon、Llama 2等，要利用自家資料微調，來發展生成式語言模型，提供院內服務和教學研究使用，如用於流程自動化、疾病進展預測等。另一方面，陳信希自己也帶領學生，進行生成式語言模型研究，其中一個主題是標準化病人，也就是用生成式AI打造出病人角色，來讓醫學生練習問診。陳信希指出，這種問診技能，在醫師的養成中「是一個很重要的過程，」而透過標準化病人練習，可累積醫學生問診經驗。</p> <p>不過，由於大型語言模型仍有其缺陷，如可能產生幻覺、影響準確率等，也是臺大醫院持續研究的另一課題。</p> <p><span style="font-size:28px;"><strong>人才是智慧醫療發展關鍵</strong></span></p> <p>要實現智慧醫院目標，不只要有開發和新技術導入策略，「人才也是關鍵之一。」陳信希點出，臺大醫院從育才、攬才和留才3大層面下手，在育才部分，臺大本身有項電機資訊學院和醫學院聯合設置的智慧醫療學分學程，來讓不同領域的學生跨域學習，畢業後可直接融入醫院場域。陳信希擔任過該學程的主任，他自豪地說，該學程在臺大57項學程中排名前三，教學成效特別好。</p> <p>另外，臺大還設置智慧醫療與健康資訊碩士學位學程，結合ICT工程和生醫健康兩大領域，主題涵蓋AI、個人化智慧醫療和生醫數位訊號處理等領域，來培養跨領域人才。</p> <p>而臺大醫院內部的做法，則是透過醫院的醫療IT專案，集結醫療專業人員和IT人員，建立工作小組，來讓醫師、藥師、護理師等醫療專家與IT領域互相溝通，跨領域學習。這是院內培養人才的做法。就攬才和留才來說，陳信希不諱言，薪資和工作環境是很重要的條件，臺大醫院一方面提高IT人員待遇來留才，同時也會依據領域證照來加薪，加深IT人員投入醫療IT領域的動力。</p> <p>另一方面，身為臺灣重要的醫學中心，臺大醫院對於衛福部今年力推的次世代數位醫療平臺（即次世代HIS平臺）政策，也有些想法。比如，導入國際醫療資料交換標準FHIR是該政策的亮點之一，陳信希點出，訂立資料交換標準（如FHIR）非常重要，但要建立用標準交換資料的IT系統，才會產生結構性的影響。</p> <p>然而，醫療資料是特種個資，平時，醫療院所間不會互相交換資料，常見的交換場景反而是健保申報、醫院與主管機關的資料上傳等。陳信希建議，從這些系統著手、訂好標準，讓醫院遵循規格來配合上傳，是比較容易推動FHIR的方式。</p> <p>再來，這項政策仍在規畫中，目前揭露的資訊還不多，如系統開發最關鍵的系統範圍、規模、功能規格、時程、經費、人力和所提計畫間的連接與整合，還沒有明朗的資訊。因此，他建議，若衛福部能與國內有建置、維運醫院系統經驗的團隊深入討論，更容易擬訂出可行的方案。而臺大醫院已有20多年IT開發維運經驗，非常願意貢獻一己之力，來協助推動政府政策。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CXO小檔案 </span></strong></span></p> <p><strong>陳信希　臺大醫院醫務秘書</strong></p> <p>學歷：臺大電機工程學系博士畢業</p> <p>經歷：1988年臺大電機工程學系博士畢業後，便擔任該學系副教授，1995年升為正教授、2018年起為特聘教授。教職之餘，也在2006年擔任臺大計算機及資訊網路中心主任，2015年至2018年接任臺大電機資訊學院副院長，2019年起擔任臺大醫院醫務秘書、臺大醫院智慧醫療中心主任，2020年開始也擔任臺大智慧醫療學分學程主任</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CXO-2P-%E8%8B%A5%E6%A8%B8-300.jpg" style="width: 300px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫院檔案 </span></strong></span></p> <p><strong>臺大醫院</strong></p> <p>地址：台北市中山南路7號</p> <p>成立時間：1895年</p> <p>主要業務：提供急重症醫療與社區照護</p> <p>員工數：約6,700人</p> <p>院長：吳明賢</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫院大事記 </span></strong></span></p> <p>1982年：資訊室成立</p> <p>2006年：門診系統上線</p> <p>2007年：住院系統上線、行政管理系統上線</p> <p>2009年：急診系統上線，隔年BI分析平臺上線</p> <p>2011年：電子病歷系統上線</p> <p>2012年：實驗室資訊系統和檢驗系統上線，開放總、分院醫師跨院查詢門診、住院、急診檢驗檢查報告及各項紀錄</p> <p>2015年：入口網行動版正式上線，隔年病安通報系統大改版</p> <p>2017年：居護系統上線、癌症資訊系統上線</p> <p>2019年：醫病共享決策上線</p> <p>2020年：智慧醫療中心成立、智慧門診看診資訊系統上線，開發糖尿病視網膜病變判讀AI</p> <p>2021年：建置AI醫療雲運算整合平臺，開發骨髓抹片細胞計數分類AI</p> <p>2022年：疾病分類系統-AI代碼預測上線、法傳系統COVID-19通報自動化RPA作業上線，開發大腸鏡息肉即時偵測AI、胰臟癌偵測AI</p> <p>2023年：開始試用AI智慧急診、胃癌風險預測AI上線，ChatGPT掛號推薦系統上線</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cxo-2p-ruo_pu_-960.jpg" width="960" height="420" alt="" title="臺大醫院醫務秘書陳信希　（攝影／洪政偉）" /></div></div></div>
2023/8/25 12:00作者王若樸https://www.ithome.com.tw/people/158419
Windows最新更新引發BSOD，微軟緊急撤回
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周稍早釋出的Windows 10及Windows 11更新，因處理器不支援影響引發藍色死亡螢幕（Blue Screen of Death，BSOD），微軟已經將之撤回。</p> <p>微軟於8月22日分別針對Windows 10及Windows 11釋出<a href="https://tinyurl.com/22gc5gpe" target="_blank">KB5029331</a>及<a href="https://tinyurl.com/2yd89auj" target="_blank">KB5029351</a>更新。前者在開始功能表新增備份App，並加強用戶地點偵測以顯示氣象。後者則強化搜尋介面並修正搜尋App無法顯示等問題。這波更新屬於選擇性更新。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0825-KB5029351-error.png" style="width: 600px;" /></p> <p>部分用戶安裝更新後反映災情。用戶安裝再重開機後出現BSOD，錯誤訊息顯示為「UNSUPPORTED_PROCESSOR」。該公司在接獲問題通報時，已經緊急撤回這2個更新版。</p> <p>和微軟的說法有點不同，<a href="https://www.windowslatest.com/2023/08/25/microsoft-pulls-botched-windows-11-update-causing-blue-screen-errors/" target="_blank">《Windows Latest》</a>報導，受害的PC涵括搭載Intel、AMD處理器，但皆為使用微星主機板的機器。至於確切原因，微軟表示已展開調查以判斷原因何在。</p> </div></div></div>
2023/8/25 12:34作者林妍溱https://www.ithome.com.tw/news/158435
拓展零信任應用，臺灣啟動資安採購商機
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1144-feng_mian_p1-open-zheng_han_-960x420_kao_bei_0.jpg?itok=Z1cAPIEo" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2022年臺灣政府零信任架構初步成形，2023年邁入全新階段，不只第一階段「身分識別」驗證通過方案增至11個，政府採購標案也開出零信任的類型，連帶將影響全國重視並落實零信任，朝向新世代網路安全策略推進。</p> </div></div></div>
2023/8/25 12:56作者羅正漢https://www.ithome.com.tw/article/158417
Threads Web版上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一度掀起用戶下載熱潮的Meta文字社交平臺Threads，<a href="https://www.threads.net/@mosseri/post/CwVfB2ohqNa" target="_blank">昨（24）日Instagram（IG）主管Adam Mosseri正式公告</a>Web版推出。</p> <p><a href="https://about.fb.com/news/2023/07/introducing-threads-new-app-text-sharing/" target="_blank">本周稍早Meta執行長祖克柏（Mark Zuckerberg）已預告此事</a>。Web版目前僅具備基本功能，讓用戶從桌機瀏覽器登入後貼文、讀取訊息並和他人互動。Meta表示正加緊趕工讓Web版功能趕上手機版本，未來幾周內會再增加其他功能。</p> <p>Threads 7月6日正式上線後即短暫引發廣大迴響。Threads因與IG帳號綁定，上線7小時後註冊人數超過千萬，5天破億。根據市調公司Sensor Tower估計，最尖峰時，Threads每日經常用戶數達4,400萬，不過到7月底已跌了82%。剩下800萬。一般相信Threads未能開發獨特功能是人氣迅速回落，未能取代X（原Twitter）的關鍵。</p> <p>也有用戶指出Threads連基本的功能都還很不齊全，像是對動態.gif及hashtag、拖拉附圖／影片都還未能支援，雙因素驗證（2FA）也常出錯。</p> <p>Meta方面則認為一切在預期中，該公司也持續開發新功能，像是8月初新增了以時序顯示貼文、私訊、@mention鍵等。</p> <p>另一方面，X雖然改品牌及組織變動引發批評，還有<a href="https://www.cnbc.com/2023/08/18/elon-musk-says-x-users-will-be-losing-the-ability-to-block-content-.html" target="_blank">移除了封鎖關注者</a>等令人不解的功能變更，但使用量相對穩定，<a href="https://twitter.com/elonmusk/status/1684978651857596429" target="_blank">技術長馬斯克（Elon Musk）於8月宣布</a>平臺用戶數創下新高，每月經常用戶數來到5.4億。</p> </div></div></div>
2023/8/25 12:12作者林妍溱https://www.ithome.com.tw/news/158434
知名圖資料庫Neo4j加入可增強生成式AI的向量搜尋功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>財富100有超過75家企業使用的熱門圖資料庫Neo4j，推出了一項名為<a href="https://neo4j.com/blog/vector-search-deeper-insights/">向量搜尋（Vector Search）</a>的新功能，能夠快速搜尋上下文相關的資訊，找出隱藏在資料點中的隱藏關係，官方提到，透過向量搜尋所找到的資料不是單純比對關鍵字，而是能進一步理解單詞背後的意義，因此使用者可以從生成式人工智慧中獲得更豐富的資訊。</p> <p>結合Neo4j所提供的知識圖譜和向量搜尋功能，使用者能夠以Grounding技術，進一步改善大型語言模型回應的精確度。Grounding在語言模型中的意義，是將模型的知識或回答，與具體且可信的資料相關聯，Grounding可以視作一個橋樑，將大型語言模型和資料庫或是知識圖譜相連接，以提供基於事實，並且與上下文相關的回應。</p> <p>開發者可以利用特定的機器學習模型，將各種資料型態，像是文件、影片、音訊和圖像編碼成向量，接著以Neo4j創建向量索引，選擇使用餘弦相似度或是歐幾里德相似度，快速執行近似K-近鄰演算法（KNN），找到與特定向量相似的向量。</p> <p>官方提到， Neo4j提供了一種新的分層可導航小世界（Hierarchical Navigable Small World，HNSW）演算法，能夠很有效率地找到相似的向量。在Neo4j圖資料庫中，用戶可以在節點屬性中，利用非結構化資料的嵌入表示來創建向量索引。</p> <p>使用Neo4j進行語言模型的Grounding，可以提升人工智慧應用的精確度，像是強化詐欺偵測，透過向量搜尋捕捉尚未建模的隱藏關系，增加詐欺偵測的廣度，而個人化推薦方面，向量搜尋則會考慮用戶查詢和偏好，因此能夠推薦更相關的項目。</p> </div></div></div>
2023/8/25 08:24作者李建興https://www.ithome.com.tw/news/158429