iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 7篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 13:52
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

微軟即將關閉Windows對TLS 1.0/1.1的預設支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://learn.microsoft.com/en-us/windows/release-health/windows-message-center#3153" target="_blank">微軟上周提醒</a>，即將關閉Windows對TLS 1.0與TLS 1.1的預設支援。</p> <p>TLS的全名為Transport Layer Security，是電腦網路的加密協定，可於客戶端及伺服器端建立加密的通訊通道，亦是由網際網路工程任務組（Internet Engineering Task Force，IETF）所認可的標準。然而，1999年定義的TLS 1.0與2006年定義的TLS 1.1，其所仰賴的MD5及SHA-1加密演算法不但都已被破解，而且也含有其它漏洞，<a href="https://www.ithome.com.tw/news/126434" target="_blank">使得各大瀏覽器業者在2020年陸續終止對TLS 1.0/1.1的支援</a>，<a href="https://www.ietf.org/rfc/rfc8996.html" target="_blank">IETF更在2021年正式棄用TLS 1.0/1.1</a>。</p> <p><a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/tls-1-0-and-tls-1-1-soon-to-be-disabled-in-windows/ba-p/3887947" target="_blank">微軟則說</a>，根據該公司多年來對TLS協定使用量的追蹤，相信TLS 1.0與TLS 1.1的使用已經少到可以採取行動了。事實上，微軟旗下的Microsoft 365產品也已在2020年9月，便關閉對這兩個協定的支援。</p> <p>因此，自今年9月的Windows 11 Insider Preview起，Windows的預設就會關閉TLS 1.0與TLS 1.1，且同時適用於客戶端及伺服器端。不過，微軟仍將於Windows中保留啟用這兩個協定的選項，以因應使用者的相容性需求。</p> <p>目前絕大多數的網路服務都已支援相對安全的TLS 1.2與TLS 1.3。</p> </div></div></div>
2023/9/4 13:40作者陳曉莉https://www.ithome.com.tw/news/158562
【資安週報】2023年8月28日到9月1日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一週的漏洞消息中，資安研究團隊Shadowserver在X社群平臺指出，Juniper在17日修補Junos OS中J-Web介面的漏洞CVE-2023-36844，在25日發現有攻擊行動出現，並且同日已有概念性驗證（PoC）攻擊程式公開。</p> <p>在攻擊活動焦點方面，我們認為有3起最新揭露值得密切關注，因為臺灣企業、政府組織均成為這些惡意活動的目標之一。以下是本週重大攻擊事件揭露：</p> <p>●駭客組織Earth Estries網路間諜活動，他們年初開始針對臺、美、德、南非、馬來西亞、菲律賓的政府組織與科技業下手，其攻擊手法會部署Cobalt Strike來投放更多惡意程式，並在每一輪的攻擊活動當中，會定期清除後門程式再重新部署。<br /> ●中國組織UNC4841鎖定Barracuda郵件閘道漏洞攻擊，最近有新發現，今年5、6月共有兩波新攻擊，對象是政府、高科技、資訊、電信、製造。<br /> ●中國駭客組織Flax Typhoon攻擊手法，該團體2021年開始鎖定臺灣政府、教育、製造、資訊等數十個單位，東南亞、北美、非洲的組織也是其目標。其手法包括部署僅4 KB的Web Shell中國菜刀（China Chopper），利用名為Invoke-WebRequest的PowerShell指令碼，以及部署SoftEther的VPN用戶端程式等。</p> <p>在攻擊態勢與事件方面，近期以勒索軟體攻擊，以及攻擊者鎖定企業從IT服務業者下手的消息最受矚目，並且有相當多關於中國駭客攻擊活動的揭露。</p> <p>●勒索軟體Play近期攻擊行動鎖定安全服務代管業者下手，並利用遠端監控及管理（RMM）軟體繞過防護，進而取得目標組織完整的存取權限。<br /> ●倫敦警局因負責列印通行證及授權卡的供應商的IT承包商遭遇網路攻擊，導致4.7萬名警官與員工資料外洩。<br /> ●有駭客利用LockBit 3.0產生器打造近4百個變種，經調查後發現，當中使用的橫向感染手法，有90%利用PSEXEC執行，有72%濫用群組原則物件（GPO）。<br /> ●MalDoc in PDF攻擊手法的揭露，攻擊者會在PDF檔案埋藏惡意Word文件，由於防毒引擎根據其檔案標頭視為PDF檔來分析，當使用者以電腦檢視該檔時，卻視為Word檔案而開啟。<br /> ●波蘭國家鐵路（PKP）的無線電通訊網路在25日晚間遭駭，有攻擊者多次在斯德丁城市附近向火車發出停止的命令，且訊號中穿插俄羅斯國歌與普丁演講聲音。<br /> ●在Meta掃蕩發送垃圾訊息帳號的最新成果中，發現Spamouflage的大規模網路攻擊活動，駭客在50多個社群平臺散布讚揚中國與新疆省、批判美國等西方國家的訊息，主要鎖定臺、美、澳、英、日本，以及其他使用中文的用戶。</p> <p>其他威脅活動，我們也需要注意後續發展態勢，包括：出現鎖定程式語言Rust開發者的新攻擊行動，風險控管業者Kroll員工遭遇SIM卡挾持攻擊、以及中國間諜利用LinkedIn收集英國機密資料，中國駭客組織製作間諜軟體BadBazaar鎖定鎖定烏克蘭、波蘭、荷蘭、西班牙等Telegram及Signal用戶的揭露。</p> <p>而在臺灣本地的重大資安事件方面，以直播平臺17Live指控綠界科技金流系統出現漏洞的消息受廣泛關注，但雙方目前各執一詞。整體資安的推動工作上，本周有兩大焦點，分別是：我國資安院建立通用人才職能框架有新進展，已定義「12+7」種類型，年底首波培訓課程將為資安長開課，此外數位政府高峰會在30日舉行，當中不僅介紹了政府數位應用的最新發展，對這一年來重要資安進展，也有專家與官員做出說明。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/158458"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月28日】中國駭客Flax Typhoon鎖定臺灣組織而來，發動寄生攻擊</span></strong></a></h3> <p>面對臺海的緊張局勢，中國駭客鎖定臺灣的任何攻擊行動格外受到關注。上週微軟揭露的新駭客組織Flax Typhoon，就鎖定臺灣數十個企業組織下手，進行長時間的網路間諜行動，值得一提的是，駭客為了隱匿攻擊行動，大量就地取材，運用寄生攻擊（LOLBins）手法，儘可能使用最少的惡意軟體來達成目的。</p> <p>無論是提升權限、建立遠端存取的管道，或是在受害組織的內部網路進行橫向移動，這些駭客大部分都利用Windows作業系統內建元件來進行，使得資安人員難以察覺異狀。</p> <h3><a href="https://www.ithome.com.tw/news/158482"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月29日】勒索軟體LockBit製作工具外流，不到一年出現近400個變種</span></strong></a></h3> <p>惡意昭彰的勒索軟體LockBit 3.0，去年有人將製作工具流出，當時研究人員認為可能會被其他駭客用於大量產生所需的勒索軟體，這樣的情況本週終於得到證實。資安業者卡巴斯基近期透露，他們一共看到396個LockBit變種，並確認至少有四分之三是該工具產生。</p> <p>值得留意的是，雖然駭客多半是應付緊急需求才使用此製作工具產生攻擊程式，大部分皆採用預設配置，但同時也貝備橫向感染的能力。</p> <h3><a href="https://www.ithome.com.tw/news/158501"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月30日】駭客在PDF檔案裡埋藏惡意Word文件來發動攻擊，藉此躲過資安系統偵測</span></strong></a></h3> <p>迴避資安系統偵測的網路威脅滲透方式千變萬化，過去曾出現運用兩種以上檔案格式／多型態（Polyglot）檔案來散布惡意程式的手法，最近類似的攻擊行動再度出現。例如，日本電腦網路危機處理暨協調中心（JPCERT/CC）揭露的攻擊手法MalDoc in PDF，駭客製作同時擁有PDF及DOC檔案特徵的惡意文件，企圖混淆網路威脅偵測技術的判斷，研究人員指出，大部分防毒軟體會將這類內容視為PDF檔案進行解析，而無法察覺駭客在Word檔案埋藏的惡意巨集。</p> <h3><a href="https://www.ithome.com.tw/news/158534"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月31日】駭客組織Earth Estries從事網路間諜活動，包含臺灣在內的多國政府機關、科技業者成為目標</span></strong></a></h3> <p>中國駭客攻擊行動日益頻繁。幾乎每天都會出現在資安新聞當中，但今天更誇張，幾乎全部都與他們有關。這群駭客的攻擊目標從企業組織的應用系統、行動裝置應用程式、郵件安全閘道，甚至是透過社群網站來散布各式吹捧中國、批判西方國家的訊息。這樣的威脅態勢，可說是變得越來越險峻。值得留意的是，這些攻擊行動當中，大多都把臺灣視為主要目標，我們無法再置身事外。</p> <h3><a href="https://www.ithome.com.tw/news/158551"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月1日】AI程式碼編譯網站Sourcegraph證實遭遇網路攻擊，起因是工程師提交程式碼出錯，導致Token外洩而被奪權</span></strong></a></h3> <p>工程師不慎在程式碼裡帶入重要的帳密資料，且並未採取保護的情況，過往有不少研究人員揭露極其氾濫的現象，但如今出現真實的資安事故。AI程式碼編譯網站Sourcegraph昨（8月31日）證實遭遇網路攻擊，駭客濫用其網站管理者的權限大規模呼叫API，影響該網站的運作。</p> <p>但駭客究竟如拿到管理員權限？起因竟是有工程師在提交程式碼的內容裡，不慎讓管理者的Token曝光，而讓攻擊者有機可乘。</p> </div></div></div>
2023/9/4 09:35作者羅正漢https://www.ithome.com.tw/news/158560
微軟準備淘汰WordPad
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://learn.microsoft.com/en-us/windows/whats-new/deprecated-features" target="_blank">微軟上周五（9/1）宣布</a>，即將淘汰自1995年即為Windows內建文書處理程式的WordPad。</p> <p>WordPad最早出現在微軟於1995年7月發表的Windows 95中，也是微軟針對Windows所開發的第三個文書處理程式，因為微軟早在1983年就推出專門編輯純文字、同樣為Windows內建程式的記事本（Notepad），以及可處理更複雜任務、更為強大的Word。至於WordPad的功能則介於記事本與Word之間。</p> <p>微軟並未解釋淘汰WordPad的原因，僅說該公司將不再更新WordPad，且會於未來的Windows版本中將它移除。建議欲處理諸如 .doc與.rtf等豐富文字文件的使用者可改用Word，若是要處理純文字文件的使用者則可改用記事本。</p> <p>外界則猜測WordPad正式消失的Windows版本，可能會是預計於明年現身的Windows 12。</p> </div></div></div>
2023/9/4 10:52作者陳曉莉https://www.ithome.com.tw/news/158561
GKE用戶現在也可以選用Cloud TPU訓練AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布在其Kubernetes服務GKE中加入Cloud TPU支援，也就是說現在用戶可以在GKE中，使用TPU處理大規模人工智慧負載，可選用的型號包括Cloud TPU v4或是最新的Cloud TPU v5e。GKE也提供了許多實用工具，供用戶更好地運用TPU執行機器學習模型，以及進行日誌記錄、監控與自動配置等任務。</p> <p>Cloud TPU是Google設計專門用於機器學習工作負載的硬體加速器，其特別設計的晶片，可以加速模型運算，像是大型語言模型、Vision Transformer模型或是其他擴散生成模型。用戶過去要使用Cloud TPU大規模處理人工智慧工作負載，需要自己手動操作繁瑣的程序。</p> <p>透過在GKE提供Cloud TPU支援，用戶不只可以使用GPU加速模型運算，現在還可以選用TPU，並且在GKE一致的操作環境中，執行各種類型的工作負載，並且獲得自動擴展、自動配置、自動修復和自動升級等一系列自動化功能，降低營運負擔。</p> <p>Cloud TPU節點池可以自動配置並擴展，簡化用戶調度工作，Cloud TPU上的水平擴展能力極高，透過新的Multislice技術，用戶可以在單次訓練中使用數萬個晶片，更快速且大規模地訓練模型。</p> <p>官方特別強調，Cloud TPU高效擴展的能力，能夠在增加資源的同時，獲得幾乎等比例的加速，有效率地執行工作負載。另外，Google還推出JobSet API來抽象Multislice的操作，能夠對跨數千個TPU晶片的工作負載，提供故障處理機制。</p> <p>GKE用戶也可以透過Kueue等API在團隊中共享TPU資源，Google解釋，雖然用戶的工作負載仍透過Kubernetes調度，但是在Kueue中，用戶可以建立不同優先等級的工作負載，並且將空閒資源先分配給高優先等級的任務。此外，用戶只要啟用GKE系統指標，便可以在Cloud Monitoring查看Cloud TPU基礎設施指標，在Google雲端控制臺的GKE區塊，監控TPU資源使用。</p> </div></div></div>
2023/9/4 08:32作者李建興https://www.ithome.com.tw/news/158554
Mac版Microsoft 365 /Office終止PostScript Type 1字型支援，影響舊檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://learn.microsoft.com/en-us/officeupdates/release-notes-office-for-mac" target="_blank">微軟8月中發布</a>最新Microsoft 365/ Office for Mac版更新終止了PostScript Type 1字型，新、舊版本Office的Word、Excel、PowerPoint等檔案都受影響。</p> <p>8月15日發布的Microsoft 365 16.76版（Build 23081101）包含功能更新及安全更新。在功能更新方面，除了修補Excel工作簿及樞紐表、Word圖片剪取、PowerPoint錄製等執行問題外，新版將終止PostScript Type 1字型，影響Word、Excel、PowerPoint、Outlook及OneNote。在此之後，M365/Office for Mac字型選單就不會出現該字型，而開啟使用Type 1字型的檔案，將會觸發「字型不存在」的訊息。</p> <p>PostScript Type 1字體為Adobe和微軟共同開發的字型。PostScript Type 1字體漸為支援平臺、語言版本較多，且包含更多字體的OpenType取代。</p> <p>微軟早在2013年終止Office for Windows對PostScript Type 1的支援。<a href="https://helpx.adobe.com/fonts/kb/postscript-type-1-fonts-end-of-support.html" target="_blank">Adobe則於2021年2月宣布</a>終止對該字型的支援，但後來延長支援到今年1月。目前，使用該字型的PDF和EPS文件還是可以列印，只是已無法由別字型改為Type 1。</p> <p>最新已經逐步部署到用戶端。除了Microsoft 365 for Mac外，本更新也適用於Office 2019 for Mac、Office LTSC 2021 for Mac和Office 2021 for Mac。意即舊版、單機版Office文件也會受到影響。</p> <p>部份用戶可能會考慮不安裝，但最新版本還包括安全更新，修補了3項漏洞。其中影響整個M365/Office套件的CVE-2023-36895為一遠端程式碼執行（RCE）漏洞，且已遭到濫用。另外2個漏洞則是影響Excel的RCE漏洞，分別為CVE-2023-35371和CVE-2023-36896。<a href="https://www.ithome.com.tw/news/158182" target="_blank">微軟已經發布</a>8月份的Patch Tuesday予以修補。</p> <p>除了8月中的16.76版，8月29日發布的Microsoft 365 16.76.2版（Build 23082700）則另外修補了Outlook.com中，以Gmail作為第2帳號的驗證，及桌機端Outlook不預期關閉的問題。</p> </div></div></div>
2023/9/4 08:50作者林妍溱https://www.ithome.com.tw/news/158558
微軟在歐盟、瑞士鬆綁Teams、Microsoft 365
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為解決歐盟壟斷銷售的疑慮，<a href="https://blogs.microsoft.com/eupolicy/2023/08/31/european-competition-teams-office-microsoft-365/" target="_blank">微軟宣布</a>，將在歐盟經濟區與瑞士鬆綁Microsoft 365和協同軟體Teams，讓用戶可購買不含Teams的Microsoft 365。</p> <p>近年微軟積極推廣自家協同軟體Teams，並將之整合到Microsoft 365及Windows銷售。2020年Salesforce旗下的協同軟體平臺業者Slack向歐盟提出對微軟的壟斷訴訟，指控微軟濫用Office的市占優勢安裝Teams服務，且阻撓移除，欲藉此排擠競爭者。<a href="https://ec.europa.eu/commission/presscorner/api/files/document/print/en/ip_23_3991/IP_23_3991_EN.pdf" target="_blank">歐盟於7月正式展開</a>調查此事。當時微軟回應會設法解決疑慮。</p> <p>不過今年春天，<a href="https://www.ithome.com.tw/news/156551" target="_blank">媒體已報導</a>微軟正在改寫產品，以便提供不含Teams的Microsoft 365。上周微軟表示，最新宣布為了滿足歐盟要求2大要求，企業應能以較低價格選擇不含Teams的Microsoft 365套件。此外，微軟應強化和競爭通訊與協同產品和Microsoft 365及Office 365的相容性。</p> <p>為回應歐盟的要求，微軟首項最新措施是，從2023年10月1日起，會在歐盟經濟區（European Economic Area，EEA）及瑞士拆分Teams和Microsoft 365及Office 365。Microsoft 365及Office 365訂閱費價格將稍減，每月便宜2歐元，每月便宜24歐元（Microsoft 365 1授權39.5歐元起跳，Office 365 7.4歐元起跳）。Teams則將單獨出售，每人每月5美元，一年60美元。現有強制包含Teams的Microsoft 365及Office 365方案（E1、E3、E5）不再提供給新客戶。不過現有大型企業客戶將可選擇維持原方案，或是換成沒有Teams的套件。</p> <p>至於中小企業客戶或精簡型終端使用的方案，則同時提供含Teams及不含Teams的版本。其中中小企業使用的Microsoft 365/Office 365 Business Suite，每授權費依細分方案，每用戶授權降價1或2美元，而精簡型終端使用的Frontline套件，每個授權減價0.5美元。新方案也將從2023年10月1日起提供。</p> <p>除了鬆綁M365/Office 365和Teams外，微軟也將強化兩產品和競爭產品的相互操作性。微軟宣稱，其實該公司產品早已經提供API允許Zoom和Salesforce自訂和Exchange、Outlook及Teams的整合，但是競爭業者仍然不滿意。為此微軟說，會增加資源引導企業和開發商取得公開API以便第三方產品整合M365/Office 365，像是技術文件等。</p> <p>最後，由於競爭業者抱怨微軟阻止其他平臺上開啟或編輯Office文件，微軟暗指，這原本需要競爭者自己開發工具，不過因應歐盟要求，微軟說，該公司會開發新的代管Office Web應用程式的方法，以便競爭應用程式也能像在Teams一樣順暢使用Office文件。</p> </div></div></div>
2023/9/4 09:15作者林妍溱https://www.ithome.com.tw/news/158559
MedTech醫療科技雙周報第25期：新加坡醫院啟用超級電腦，打造醫用LLM和3D牙位圖生成模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（0816～0831）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 病歷摘要 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 3D牙位圖 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>新加坡醫院啟用超級電腦，打造醫用LLM和3D牙位圖生成模型</strong></span></p> <p>新加坡國立大學醫院（NUHS）日前啟用醫療專用超級電腦，來支援自家醫院的AI專案，如基因組學、大型語言模型（LLM）、醫學影像分析等，他們也實際訓練出醫用語言模型RUSSELL-GPT和3D牙位圖生成模型。</p> <p>這臺超級電腦名為Prescience，是新加坡醫界部署的第一臺醫用超級電腦。NUHS集團技術長Ngiam Kee Yuan指出，他們自今年3月開始用超級電腦和自家資料訓練RUSSELL-GPT，現已能執行病歷記錄、摘要、寫轉介信和醫學指南QA等任務，幾秒就能完成。他說明，RUSSELL-GPT還大幅降低人為出錯的可能，而且，該模型還用來預測患者醫療旅程，透過分析所有歷史數據來預測各個患者的醫療旅程。他們也正在研究，用該模型來預測尿道感染等常見疾病的嚴重程度和醫療旅程。NUHS指出，這款模型為離線部署，預計今年底在集團內逐步擴大使用。</p> <p>NUHS還用超級電腦執行另一個專案SMILE AI，目的是要用來生成3D牙位圖。SMILE AI由2個模型組成，一是用3D牙科掃描影像訓練而成，另一是用包含上下顎的全口X影像訓練而成，整合這2個模型來生成患者的3D牙位圖，標示患者牙齒狀態。這麼做，可節省牙科醫師手繪和牙齒建模的時間，也能更視覺化呈現。NUHS點出，有了這些模型，醫師從患者牙齒掃描攝影到確定初步治療方案，只需5分鐘。<a href="https://www-nuhsplus-edu-sg.translate.goog/article/ai-healthcare-in-nuhs-receives-boost-from-supercomputer?_x_tr_sl=sw&_x_tr_tl=zh-TW&_x_tr_hl=zh-TW&_x_tr_pto=wapp">（詳全文）</a></p> <p><img alt="" src="https://www.nuhsplus.edu.sg/images/default-source/default-album/20230816_nuhs_1cy6072.jpg?sfvrsn=9b0d89c7_1" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料標準 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 檢驗檢查 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LOINC </span></strong></span></p> <p><span style="font-size: 22px;"><strong>國際臨床術語資料庫LOINC 2.75版釋出，新增1,945個概念</strong></span></p> <p>非營利醫學組織Regenstrief研究院最近釋出LOINC最新2.75版，新增了將近2千個概念（Concepts）。進一步來說，LOINC由Regenstrief研究院在1994年建置，是一套臨床指標和檢驗檢查專用的術語資料庫與通用標準，範圍涵蓋臨床醫療護理、實驗室數據和臨床研究等領域，該組織也持續維護LOINC至今，每半年更新一次版本。</p> <p>這次是根據100多個國家提出的請求，來新增1,945概念，包含實驗室（1,469）、臨床（405）和調查（71）等3大領域，該研究院希望藉此加速醫療系統、實驗室和組織的資料交換效率。使用者可免費在LONIC網站的LOINC術語服務（用HL7 FHIR標準）下載使用。LOINC在臺灣越趨重要，衛福部展開的次世代數位醫療平臺計畫，除了將採用FHIR標準，也計畫導入LOINC和SNOMED標準。<a href="https://loinc.org/news/loinc-version-2-75-adds-almost-2000-new-concepts/?utm_source=%2APRIMARY%2A+Main+LOINC+List&utm_campaign=09024ee4f3-EMAIL_CAMPAIGN_2018_06_14_03_28_COPY_01&utm_medium=email&utm_term=0_ace2caf04e-09024ee4f3-456002406">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">遠距醫療 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 衛福部 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 通訊診察治療辦法 </span></strong></span></p> <p><span style="font-size:22px;"><strong>衛福部預計10月發布通訊診察治療辦法修正版</strong></span></p> <p>8月28日展開今年度<a href="https://www.youtube.com/watch?v=VC4QEPWycys">行政院生技產業策略諮議委員會（BTC）大會</a>，衛福部政務次長王必勝代表報衛福部盤點年度進展，包括對規範遠距醫療的通訊診察治療辦法修正。該修正案已於今年5、6月召開對外溝通會議，預計10月發布修正案。屆時，心理治療、諮詢、會診等場景也能適用遠距醫療，而適用特殊情形也將擴大納入癌末照護、矯正機關收容照護、行動不便照護、災害／傳染病或其他重大變故照護、國際醫療照護和其他情形，且得以開立處方。</p> <p>同時，王必勝也預告，人體生物資料庫管理辦法修正草案將於今年10月送行政院審查。該辦法的修正目的，是要強化人體生物資料治理規範，包括擴大資料範圍（可納入基因、醫學影像等生物資料）、新增整合平臺設置的依據，以及管理國人基因資料的收集、使用和輸出機制。<a href="https://www.nstc.gov.tw/nstc/attachments/ac2512b9-b275-43cd-a5eb-d5e6a73f10ef">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-09-01%20155517.png" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 健保資料 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 退出權 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 專法 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>健保署展開健保資料二次利用專法制定，預計年底完成</strong></span></strong></p> <p>去年8月，憲法法庭對健保大數據運用爭議給出判決結果，指出健保署欠缺個人資料保護獨立監督機制，且對於相關組織及程序欠缺明確規定，當事人也沒有退出權，屬於違憲，應自判決宣示3年內修正或制定相關法律。</p> <p>衛福部政務次長王必勝日前表示，健保署已對此展開行動，在今年6月決議制定健保資料二次利用專法，來保障民眾退出權，運作機制將改為學研界提出案件後，進行申請對象確認，並註記、排除退出的民眾資料。衛福部預計年底完成健保資料二次利用專法研擬會議和公聽會，於明年5、6月送行政院審核，明年9月送立法院審議。<a href="https://www.ithome.com.tw/news/158550">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-09-01%20155847.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">中標準整合 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 衛福部 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> FHIR </span></strong></span></p> <p><span style="font-size:22px;"><strong>衛福部展開部內4署資料標準整合工作</strong></span></p> <p>在今年度<a href="https://www.youtube.com/watch?v=VC4QEPWycys&ab_channel=%E5%9C%8B%E7%A7%91%E6%9C%83%E7%A7%91%E6%8A%80%E8%BE%A6%E5%85%AC%E5%AE%A4">行政院生技產業策略諮議委員會（BTC）大會</a>上，衛福部代表王必勝揭露醫療IT系統升級進展，不只成立專案辦公室、對外展開次世代數位醫療平臺計畫，要協助全臺醫院採用國際醫療資料交換標準FHIR，對內也展開資料標準統一工作，包括建置次世代醫療數據共享創新平臺，來交換跨部、跨署數據，以及建立健康資料和通報資料的交換標準與檢驗檢查編碼標準，來統一食藥署、國健署、疾管署和健保署的資料交換架構標準和格式。這個資料標準統一工作，涵蓋了建立FHIR共通欄位格式和LOINC編碼的實作指南。<a href="https://www.nstc.gov.tw/nstc/attachments/ac2512b9-b275-43cd-a5eb-d5e6a73f10ef">（詳全文）</a></p> <p><a href="https://news.microsoft.com/zh-tw/generativeai-medical/"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-09-01%20152746.png" /></a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">智慧醫療 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 困境 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>醫療AI論文多、產品少是臺灣智慧醫療待解決的難題</strong></span></strong></p> <p>臺中榮總院長陳適安身兼行政院生技產業策略諮議委員會（BTC）委員，他<a href="https://www.youtube.com/live/VC4QEPWycys?si=xpMKWxV7HRRaX3y-">點出</a>臺灣發展智慧醫療的困境，包括醫療AI論文研究多、真正的產品仍是少數，跨院驗證仍有許多問題，以及跨國、跨市場的導入困難。</p> <p>他分析原因，就醫療AI產品少這項而言，多數臨床人員不熟悉市場機制、IT產業不熟悉醫療，造成雙方找不到正確的題目來研究。而跨院驗證困難，則是因為各家醫院醫療資訊系統（HIS）不同、儀器廠牌不同，導致AI模型難以直接於各院驗證效能。針對這些問題，他建議可從教育、跨產業交流、媒合等機制下手，比如鼓勵ICT人才在學期間先到醫院見習、跨域交流，或定期舉辦研究團隊與產學團隊經驗分享等。他也建議，政府可在現有基礎上，提供醫界跨國取證和市場評估的幫助，來協助醫院向外擴散智慧醫療影響力。甚至，如何將臺灣數位醫療成果擴散到更多國家，他認為可透過醫界聯手IT、基礎設施等業者組成多元跨域團隊，出海到東協等國，來提高成功落地的機會。<a href="https://www.ithome.com.tw/news/158556">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/screen_shot_2023-09-02_at_2.18.33_pm.png?itok=s0X81crU" /></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google Cloud </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 哈佛大學 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 超級電腦 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>哈佛大學用Google Cloud超級電腦進行醫療研究</strong></span></strong></p> <p>Citadel Securities與Google Cloud宣布共同贊助哈佛大學一項尖端醫療研究計畫，藉Google Cloud基礎設施，來執行原本在超級電腦上才能進行的運算。該計畫的主題是用數位分身，來模擬用磁性控制人造細菌鞭毛、攻擊與溶解人體血管系統中的血塊和腫瘤細胞。這需要準確呈現人體血管形狀、大小和排列，且也需逼真的血液流動和結構相互作用。</p> <p>有了Citadel Securities和Google Cloud支援，就能利用公雲資源處理大規模且逼真的醫療應用模擬。在團隊的初期測試中，使用Google Cloud資源已可達到專用超級電腦的8成運算效能，相關測試包括於GPU與CPU上部署兩款不同的程式碼，以進行高效能運算的最佳化，其中之一為入圍2015年超級電腦應用軟體設計獎Gordon Bell Prize決賽的先進程式碼，另一則是用以執行粒子模擬的開源程式碼LAMMPS。<a href="https://www.prnewswire.com/news-releases/citadel-securities-and-google-cloud-announce-high-performance-computing-study-with-harvard-university-to-advance-heart-disease-research-301901714.html">（詳全文）</a></p> <p>圖片來源／新加坡國立大學醫院、國科會科技辦公室BTC直播</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></strong></p> <p><strong><strong>1. <a href="https://www.flyingdoctor.org.au/sant/news/cloud-powered-care/">澳洲皇家空中急救隊終於從紙本病歷轉為雲端EHR系統了</a></strong></strong></p> <p><strong><strong>2. <a href="https://www.ithome.com.tw/news/158503">BTC建議：整合FHIR標準、成立國家級中心來推動生醫大數據資料治理</a></strong></strong></p> <p>資料來源：iThome整理，2023年9月</p> </div></div></div>
2023/9/3 17:54作者王若樸https://www.ithome.com.tw/news/158557
中榮院長點出臺灣智慧醫療難題，可從教育、媒合和跨國市場評估下手補強
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>身兼生技產業策略諮議委員會（BTC）委員的臺中榮總院長陳適安，日前點出臺灣智慧醫療發展難題，包括目前醫療AI論文多、產品少，因多數臨床人員不熟悉市場機制、IT產業不熟悉醫療，雙方找不到對的題目來研究。此外，醫療AI跨院驗證仍有困難，因各家醫院系統和使用的儀器廠牌不同，導致驗證費工費時。</p> <p>他建議，可鼓勵ICT人才在大學時期，就先到醫院見習，進行人才和場域交流，另也能定期舉辦研究團隊和產學合作團隊經驗交流會，甚至在媒合、國內外取證和納保部分，可透過定期說明會和交流會，來加速智慧醫療產業化。至於如何將臺灣數位醫療成果擴散至其他國家，他認為透過醫界聯手IT、基礎設施等業者組成多元跨域團隊出海，來提高成功落地的機會。</p> <p><span style="font-size:22px;"><strong>臺灣智慧醫療現況：仍以醫學中心為主</strong></span></p> <p>陳適安盤點，目前，臺灣智慧醫療發展多以醫學中心為主，因為醫學中心擁有較多資源來研發醫療AI和數位醫療，雖然一些區域醫院也有能力發展，但經營起來較吃力，仍有所差距。這是眼下必須面對的問題之一。</p> <p>再來，臺灣醫療AI和數位醫療常見的應用技術，包含醫療影像AI、臨床大數據、動態影像／音訊、自然語言處理（NLP）、IoT、機器人技術和AR／VR等，其中發展最成熟的是醫療影像AI，也就是用電腦視覺技術來分析醫學影像，如數位病理、骨鬆診斷、腫瘤影像判斷和遠距傷口辨識等。陳適安指出，就國科會輔助的臺灣數位醫療聯盟統計，聯盟內醫學中心開發的醫療AI題目，最大宗是心臟血管相關（占30%），其次是癌症、其他放射線影像AI等，與國外發展趨勢相仿。</p> <p>而臨床大數據分析則可用於疾病風險預測、重症輔助預測等，NLP則能用來分析病歷、分類疾病和輔助書寫病歷，至於AR／VR，雖能用於手術輔助和教育訓練，但開發成本高，不易普及。與之相關的元宇宙，目前雖在發展中，但短期前內景不看好。</p> <p>其他數位醫療領域還包括不少醫院正發展的結構化病歷，讓醫師用點選方式取代原本自由書寫模式，如此一來，進行後續分析時，就不必重複擷取資料，節省作業時間。其他領域還有近來興起的大型語言模型，以及自動化應用（如資料清理和標註）、遠距健康照護。</p> <p>話鋒一轉，陳適安指出，在這些數位醫療領域中，臺灣最容易落地的應當是遠距醫療，但也有不少挑戰要面對，如法規與資安規範、健保給付與否、網路基礎建設差距、長期資金挹注和商業模式等。</p> <p>就整體智慧醫療發展來說，他認為，醫療AI應從醫院場域的應用，透過智慧醫材、法規和保險給付手段輔助，來擴大至居家場域，將醫療AI融入至整個健康照護價值鏈中，才能實現疾病預防、疾病預測和個人化精準治療。</p> <p><span style="font-size:22px;"><strong>智慧醫材開發困境：醫療AI論文多、產品少</strong></span></p> <p>然而，要研發這些智慧醫材，仍有不少痛點要面對。「不可諱言，很多醫療AI都還在論文研究階段，還沒辦法變成真正的產品。」這是陳適安點出第一個困境，他分析其中原因，一是多數臨床人員不熟悉市場機制、IT產業不熟悉醫療，造成雙方找不到對的題目來研究。</p> <p>再來，跨院驗證常出狀況。他舉例，在臺灣數位醫療聯盟內，醫學中心進行跨院醫療AI驗證時，發現由於醫院醫療資訊系統（HIS）不同、使用儀器廠牌不同，導致驗證困難，需多花心力才能完成。這也衍生另一個問題，也就是跨國、跨市場的導入困難，讓業者不敢貿然投入大量資金。</p> <p>他舉例，中榮上個月至越南胡志明大學附設醫院、印尼大學附設醫院，要導入中榮打造的AI系統和數位醫療產品，但遭遇諸多問題，如對方網路基礎建設不足、與臺灣有相當大的差距，因此難以將臺灣研發的醫療AI和數位醫療產品在當地落地。陳適安指出，雖然這些智慧醫材產品，能夠取得當地認證，但能否成功導入、持續輸出新版產品，就會是個挑戰。因此，他認為，若臺灣電信業者等能跨界與醫院聯手，一同前往該地、提供網路等基礎建設，臺灣智慧醫材落地周邊國家的可能性會更大。</p> <p><span style="font-size:22px;"><strong>建議從教育、媒合和跨國市場評估補強</strong></span></p> <p>因此，陳適安建議，要強化臺灣智慧醫療發展，除現有政府的努力，還可從教育制度下手。也就是讓資工、電機等學科學生，能利用在學期間（如寒暑假）或以學分要求，先到醫院見習，了解醫院生態，先進行人才和場域交流。與之相仿的建議，還有定期舉辦研究團隊與產學合作團隊的經驗分享會，透過產品效用分析、成本計算、風險評估、產品衍生應用和更新計畫等實務經驗分享。</p> <p>另一個建議是強化媒合機制，比如定期舉辦與民間廠商的媒合會和座談會，來增強醫療院所和IT業界的溝通，加速研究成果商品化，特別是對區域醫院和地區醫院。此外，商品取證也很重要，2021年食藥署已成立智慧醫材專案辦公室，來輔導醫療AI等軟體快速取證，而陳適安認為，可多舉辦定期的智財權申請和取證說明會，來提高研究人員的取證商轉能力和動機。</p> <p>他也點出，不只是國內取證，國外的取證（如美國FDA）和市場評估也很重要，若政府能提供相關服務，就能協助臺灣醫界出海醫療AI商品，落地他國。</p> <p><span style="font-size:22px;"><strong>跨界組國家隊也很重要，保險給付制度亦是</strong></span></p> <p>陳適安還建議，針對不同領域，跨域組國家隊，來加速臺灣智慧醫療產業化發展。他解釋，不只是幾家醫院組隊，而是要聯手IT企業、基礎設施業者等多元組隊，才能在東協等國落地醫療AI商品，或是與國家進行先進技術開發。</p> <p>另一方面，納入健保或商業保險，是醫療AI產品在國內市場的一種回收成本途徑，這也是陳適安提出的另一個建議。他認為，政府可協助舉辦智慧醫材臨床效益發表會，來了解醫材實際運用狀態，另也能將有效益潛力的產品納入健保給付評估。他也建議，對智慧醫材有興趣的業者，也能舉辦健保 / 商業保險座談會，來協助民間保險業者與健保嫁接。</p> </div></div></div>
2023/9/2 14:42作者王若樸https://www.ithome.com.tw/news/158556
政府零信任架構推動有成，數位部首度公布內部導入經驗，資安院揭2023年上半最新進展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>政府走在數位轉型的道路上，持續強化資安是拓展公務創新應用的重要基礎，在8月30日舉行的數位政府高峰會上，邀來多位官員介紹政府數位應用的最新發展，也針對這一年來重要資安進展做出說明。在這場會議中，我們看到幾個重要的議題，包括：數位發展部近期多項資安工作的推動，以及國家資通安全研究院政府零信任架構的進展，都有政府專家說明2023年下半的最新進展。</p> <h2><strong>推動零信任網路架構規畫與強化網站韌性，數位發展部經驗公開</strong></h2> <p>最近我國數位發展部正推動多項工作計畫，例如：導入行動簽核、建立網站韌性、推動零信任架構、推廣雲原生等，除了部長唐鳳在不同場合多次傳達這些訊息，在這次數位政府高峰論壇中，數位發展部資訊處副處長周智禾更是具體說明這方面的資安經驗。</p> <p>例如，他從一般機關常見的網路架構，分成三個面向來闡述，分別是傳統內網環境的辦公區、內部伺服器，以及允許外部存取的DMZ區。</p> <p><a href="https://s4.itho.me/sites/default/files/images/(網站圖6)數位政府高峰會.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E7%B6%B2%E7%AB%99%E5%9C%966)%E6%95%B8%E4%BD%8D%E6%94%BF%E5%BA%9C%E9%AB%98%E5%B3%B0%E6%9C%83.jpg" style="width: 600px;" /></a></p> <p>首先，以辦公區而言，數位發展部主要做了兩件事：（一）採取不分內外網的網路架構，（二）讓存取都需要經過零信任架構的身分鑑別。</p> <p>在具體作法上，簡單來說，數位部員工所有內部與外部連線均經過網際網路，並採用Cloudflare Access、Azure AD，讓使用者存取內部系統時，先經過Cloudflare身分驗證，並跳轉使用Azure AD進行二階段驗證。</p> <p>關於實際登入系統的流程，周智禾做出具體說明，一開始會跳出Cloudflare Access的畫面，當判斷使用者還沒登入時，這時會跳出微軟AAD的登入畫面，透過Azure AD來作兩階段驗證。</p> <p>特別的是，在今年8月前，他們Azure AD的多因素驗證，是以帳號密碼，以及使用Authenticator App來驗證，最近，他們為了進一步提升安全強度，依循政府零信任架構要求，轉為使用基於FIDO無密碼技術的TW FidO來驗證，他們為此也再開發一個驗證機制，其介面就包含了使用行動自然人憑證（TW FidO）來登入，並使用Cloudflare Tunnel方式來保障內部系統，可隱藏伺服器IP位址。</p> <p>不過，由於並非每個人都有行動自然人憑證，因此，該驗證介面也提供實體自然人憑證，以及臨時密碼的選項，後者主要因應沒帶卡沒帶裝置的情形，該臨時密碼的效期原則上則是24小時。</p> <p>而在上述過程中，有一個相當特殊之處──雖然TW FidO已經符合多因素驗證，但在這樣的同盟驗證串接之下，後段的驗證機制將被微軟AAD視為多因素驗證之一，因此會形成還要再次多因素驗證的情形。</p> <p>至於後續，對於政府零信任架構的第二階段「設備鑑別」機制部署，這部分他們也正評估使用微軟Intune或Crowdstrike的方案。</p> <p><a href="https://s4.itho.me/sites/default/files/images/(網站圖8)數位政府高峰會.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E7%B6%B2%E7%AB%99%E5%9C%968)%E6%95%B8%E4%BD%8D%E6%94%BF%E5%BA%9C%E9%AB%98%E5%B3%B0%E6%9C%83.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/(網站圖9)數位政府高峰會.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E7%B6%B2%E7%AB%99%E5%9C%969)%E6%95%B8%E4%BD%8D%E6%94%BF%E5%BA%9C%E9%AB%98%E5%B3%B0%E6%9C%83.jpg" style="width: 600px; height: 321px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/(網站圖10)數位政府高峰會.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E7%B6%B2%E7%AB%99%E5%9C%9610)%E6%95%B8%E4%BD%8D%E6%94%BF%E5%BA%9C%E9%AB%98%E5%B3%B0%E6%9C%83.jpg" style="width: 600px;" /></a></p> <p>其次，以EIP電子公文系統而言，這方面他們推動的是行動自然人憑證簽核，以及內部服務架構的調整。前者的最新的進展在於，數位部持續推行的行動簽核電子公文，範圍將擴至一般公務機密文書，也就是「密」等級文件，行政院在7月7日以同意試辦。</p> <p>第三，以對外服務網站而言，也就是數位發展部全球資訊網（moda.gov.tw），8月宣布一系列系統強固措施，聚焦網站韌性，以及雲原生等層面的發展，以因應境外網攻、提升網站穩定度。</p> <p>周智禾也解釋了他們在這方面的作法，並希望將相關經驗提供給其他政府機關。</p> <p>基本上，他們在系統架構上，選擇融合靜態化、CDN、網頁代管與IPFS，因應網頁內容竄改與網頁回應緩慢的問題，同時採用前後端分離的作法，來因應網站改版需求。</p> <p>靜態網頁的好處在於，內容顯示時不需經由網站伺服器運算，不像普遍所謂動態網頁，網站要經由網站伺服器從資料庫擷取資料，由伺服器端即時處理。而靜態網頁這樣的架構，適合網站頁面變動性不大，像是官方網站，當然，以數位發站部的全球資訊網本身而言，還是有新聞資訊發布等內容的需求，需要動態呈現，因此透過前後端分離的做法來因應。他們總共花了3個月時間完成這些改變。</p> <p><a href="https://s4.itho.me/sites/default/files/images/(網站圖11)數位政府高峰會.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E7%B6%B2%E7%AB%99%E5%9C%9611)%E6%95%B8%E4%BD%8D%E6%94%BF%E5%BA%9C%E9%AB%98%E5%B3%B0%E6%9C%83.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/(網站圖12)數位政府高峰會.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E7%B6%B2%E7%AB%99%E5%9C%9612)%E6%95%B8%E4%BD%8D%E6%94%BF%E5%BA%9C%E9%AB%98%E5%B3%B0%E6%9C%83.jpg" style="width: 600px; height: 341px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/(網站圖13X)數位政府高峰會.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E7%B6%B2%E7%AB%99%E5%9C%9613X)%E6%95%B8%E4%BD%8D%E6%94%BF%E5%BA%9C%E9%AB%98%E5%B3%B0%E6%9C%83.jpg" style="width: 600px;" /></a></p> <p><span style="color: rgb(0, 153, 255);">對於零信任網路架構與網站韌性強化，數位發展部資訊處副處長周智禾說明了他們在這方面的關於的實務經驗。</span></p> <h2><strong>政府零信任架構「設備鑑別」即將有首批通過驗證方案，「信任推斷」下半年將召開說明會</strong></h2> <p>關於政府零信任架構的推動，國家資通安全研究院副院長吳啟文也談到了最新的發展概況。</p> <p>基本上，這項計畫是在2021年啟動，由前技服中心完成零信任架構與概念性驗證機制的研究與部署，去年7月正式公布，預計3年3階段，依序建立決策引擎的3大核心機制，包括「身分鑑別」、「設備鑑別」、「信任推斷」，並將遴選2個機關逐年試行，以推動我國A級機關導入。</p> <p>隨著一年過去，關於試行方面的發展，吳啟文指出，他們早在2021年已擇定試行機關有退輔會與文化部，後續試行上他們遇到一個狀況，就是試行上該挑選何種資通訊系統來導入，雖然可從簡單的系統開始嘗試，但要能真正試行在核心系統才更知道實際效果，在相互討論後，後續決定偏向以核心系統來試行。</p> <p>此外，去年數位發展部新成立，該單位也從當時8月建置資通系統時導入零信任架構。這方面發展前述內容已經提及。</p> <p>如今2023年下半剛開始，對於政府零信任架構的未來推動，資安院有何規畫？吳啟文表示，去年已經決定要推動我國A級機關導入，現在更明確的是，將從已導入T-Road的機關為優先來進行。</p> <p>關於去年開始進行第一階段「身分鑑別」的驗證，至8月底，已有12個產品方案通過資安院的功能符合性驗證。</p> <p>而在第二階段的設備鑑別方面，吳啟文透露，即將有一家廠商提供的解決方案，將通過功能符合性驗證。</p> <p>至於第三階段的信任推斷，目前資安院還在規畫，原則上希望技術中立，不要有技術性的限制規定，預計下半年將召開說明會，以徵詢廠商意見。至於後續挑戰上，他也提到導入相容性的問題，這是因為三大河心機制未必由同一家廠商提供，後續導入必需考量相容性與整合的問題。</p> <p>另外，吳啟文也針對美國CISA與美國國防部的最新推動情況做出說明，他們也已經將我國採行措施與之相比對，以瞭解我們在哪些面向的進展比較弱，成為未來我國後續推動的重要參考。</p> <p><a href="https://s4.itho.me/sites/default/files/images/(網站圖14)數位政府高峰會.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E7%B6%B2%E7%AB%99%E5%9C%9614)%E6%95%B8%E4%BD%8D%E6%94%BF%E5%BA%9C%E9%AB%98%E5%B3%B0%E6%9C%83.jpg" style="width: 600px;" /></a></p> <p><span style="color:#0099ff;">近年已有多國宣布將零信任網路安全納入國家戰略，包括美國、歐盟、新加坡、中國，當中又以美國最為積極，自從2021年5月美國總統拜登簽署行政命令（EO 14028），再到2022年1月「聯邦零信任戰略」（Federal Zero Trust Strategy）草案通過後發布M-22-09備忘錄等一系列作為。</span></p> <p><a href="https://s4.itho.me/sites/default/files/images/(網站圖15)數位政府高峰會.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E7%B6%B2%E7%AB%99%E5%9C%9615)%E6%95%B8%E4%BD%8D%E6%94%BF%E5%BA%9C%E9%AB%98%E5%B3%B0%E6%9C%83.jpg" style="width: 600px;" /></a></p> <p><span style="color:#0099ff;">我國也在2021年由前技服中心完成零信任架構，與概念性驗證研究及部署機制，並分3階段推動商用系統符合產品驗證以及機關導入。</span></p> <p><a href="https://s4.itho.me/sites/default/files/images/(網站圖16)數位政府高峰會.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E7%B6%B2%E7%AB%99%E5%9C%9616)%E6%95%B8%E4%BD%8D%E6%94%BF%E5%BA%9C%E9%AB%98%E5%B3%B0%E6%9C%83.jpg" style="width: 600px;" /></a></p> <p><span style="color:#0099ff;">關於政府零信任架構推動一年多的現況，國家資通安全研究院副院長吳啟文指出，如今在身分鑑別的導入方面，先行推動的A級機關將以完成導入T-Road的機關先做起。</span></p> </div></div></div>
2023/9/1 17:57作者羅正漢https://www.ithome.com.tw/news/158552
【資安日報】9月1日，AI程式碼編譯網站Sourcegraph證實遭遇網路攻擊，起因是工程師提交程式碼出錯，導致Tok…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>工程師不慎在程式碼裡帶入重要的帳密資料，且並未採取保護的情況，過往有不少研究人員揭露極其氾濫的現象，但如今出現真實的資安事故。AI程式碼編譯網站Sourcegraph昨（8月31日）證實遭遇網路攻擊，駭客濫用其網站管理者的權限大規模呼叫API，影響該網站的運作。</p> <p>但駭客究竟如拿到管理員權限？起因竟是有工程師在提交程式碼的內容裡，不慎讓管理者的Token曝光，而讓攻擊者有機可乘。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://about.sourcegraph.com/blog/security-update-august-2023"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">AI程式碼編譯網站Sourcegraph管理者Token外洩，網站遭到破壞</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Sourcegraph-api-usage-spike.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Sourcegraph-api-usage-spike.png" style="width: 300px; float: right;" /></a>8月31日AI程式碼編譯網站Sourcegraph發布資安通告，他們在30日察覺API的使用顯示增加，進而發現因程式碼曝露管理員權限引發的網路攻擊。</p> <p>該公司進一步調查發現，起因是7月14日有工程師不慎在提交程式碼變更的內容當中，上傳了網站管理員連線階段的Token，此Token被授予過多存取權限，一旦有人取得，便能拿來檢視、竄改所有Sourcegraph網站上的帳號資料。到了8月28日，攻擊者建立了新的Sourcegraph帳號，然後在30日利用前述的Token，將自己提升為網站管理員，進而存取主控臺。而該名用戶與其他人士後續趁機打造新的代理伺服器應用程式，讓使用者直接呼叫Sourcegraph的API並利用大型語言模型（LLM），導致有不少人申請免費帳號並運用代理伺服器應用程式、藉由駭客提供的方式，存取該網站的API。</p> <p>而對於這起事故帶來的影響範圍，該公司指出，攻擊者得以存取付費用戶的姓名、電子郵件信箱、授權金鑰，以及免費用戶的電子郵件信箱，但目前尚未出現異常存取的跡象。</p> <p><a href="https://www.recordedfuture.com/threat-actors-leverage-internet-services-to-enhance-data-theft-and-weaken-security-defenses"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">四分之一惡意軟體攻擊濫用合法網路服務，駭客偏好Pastebin、Telegram</span></strong></a></p> <p>駭客利用網路服務來展開攻擊，於合法流量中暗藏惡意行為，以削弱傳統的防禦能力，這樣的手法越來越氾濫。資安業者Recorded Future針對超過400個惡意程式家族進行分析，結果發現每四款就有一個濫用合法的網路服務（Legitimate Internet Services，LIS），且當中有68.5%的惡意軟體利用兩個以上的服務。</p> <p>最常遭到濫用的雲端共享服務為文字分享平臺Pastebin（26.4%）、Google Drive（24.5%），而即時通訊軟體的部分，則是Telegram最受駭客青睞。研究人員指出，駭客利用LIS充當C2，不只能迴避偵測，還能減輕部署與主機代管的成本，同時能透過合法服務維持C2的可靠度及穩定性，此外，有些駭客也透過LIS傳遞惡意酬載，或是外洩資料的管道。</p> <p>最常濫用LIS的惡意軟體類型是竊資軟體（Infostealer），占37%；其次是行動版惡意軟體、木馬程式、惡意程式載入器（Loader），分別占17%、15%、14%。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/splunk-patches-high-severity-flaws-in-enterprise-it-service-intelligence/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Splunk Enterprise、IT Service Intelligence存在高風險漏洞，若不修補可被用於RCE、XSS攻擊</span></strong></a></p> <p>8月30日Splunk針對旗下兩款產品發布新版，一款是Splunk Enterprise，推出8.2.12、9.0.6、9.1.1版，另一款是IT Service Intelligence（ITSI）推出4.13.3、4.15.3版，目的是修補多個高風險漏洞。</p> <p>Splunk Enterprise本次改版處理的最嚴重問題，是RCE漏洞CVE-2023-40595，攻擊者可執行偽造的請求，進而濫用不受信任的資料，藉由連續的連線階段酬載（Serialized Session Payload），遠端執行任意程式碼，CVSS風險評分為8.8。其他本次修補的高風險漏洞還有命令注入漏洞CVE-2023-40598、跨網站指令碼（XSS）漏洞CVE-2023-40592、絕對路徑穿越漏洞CVE-2023-40597等，CVSS風險評分為7.8至8.5。</p> <p>而他們的ITSI改版處理的漏洞CVE-2023-4571，也須多加注意，因為這是未經授權的事件記錄注入漏洞，攻擊者可在該系統的事件記錄檔案裡，注入ANSI編碼的逃脫程式碼，一旦終端機應用程式將其讀取，就會執行當中埋藏的惡意程式碼，CVSS風險評分為8.6。</p> <p><a href="http://patchstack.com/articles/pre-auth-access-token-manipulation-in-all-in-one-wp-migration-extensions/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WordPress網站遷移外掛程式出現漏洞，攻擊者可趁機存取網站敏感資料</span></strong></a></p> <p>資安業者Patchstack指出，他們在WordPress網站遷移外掛程式All-in-One WP Migration裡，發現資訊洩漏漏洞CVE-2023-40004，能允許未通過身分驗證的攻擊者存取、操控此外掛程式多個Token的組態，而有機會偷走預計搬遷的網站資料，將它們轉送到自己的雲端服務帳號，或是用來復原其內容，製作冒牌網站、竊取當中重要的網站資料，開發商ServMask於7月26日發布7.78版予以修補。</p> <p>研究人員指出，存在這項漏洞的程式碼，也出現於該外掛程式搬移至Box、Google Drive、OneDrive、Dropbox的延伸功能套件，網站管理者也要進行修補。</p> <p><a href="https://www.securityweek.com/high-severity-memory-corruption-vulnerabilities-patched-in-firefox-chrome/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Mozilla、Google發布瀏覽器更新，修補高風險記憶體中斷漏洞</span></strong></a></p> <p>8月29日Mozilla基金會、Google發布瀏覽器更新，修補當中的記憶體漏洞。</p> <p>以Firefox而言，推出117版，共修補17個漏洞，其中7個為高風險等級、4個為記憶體中斷臭蟲。在高風險漏洞裡面，需注意CVE-2023-4584、CVE-2023-4585，因為它們也影響長期支援版本（ESR）Firefox，以及收信軟體Thunderbird，該基金會推出Firefox ESR 102.15、Firefox ESR 115.2、Thunderbird 102.15、Thunderbird 115.2予以修補。</p> <p>Chrome的部分，則是針對電腦版推出116.0.5845.140、116.0.5845.141，修補高風險漏洞CVE-2023-4572，此為MediaStream元件的記憶體釋放後濫用（UAF）漏洞。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.mozilla.org/en-US/security/advisories/mfsa2023-34/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--425295956" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.mozilla.org/en-US/security/advisories/mfsa2023-34/</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://chromereleases.googleblog.com/2023/08/stable-channel-update-for-desktop_29.html" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--1268915324" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://chromereleases.googleblog.com/2023/08/stable-channel-update-for-desktop_29.html</span></a></p> <p><a href="https://therecord.media/netgear-releases-patches-for-two-bugs"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Netgear修補路由器及網路管理軟體漏洞</span></strong></a></p> <p>漏洞懸賞專案Zero Day InitiativeZero（ZDI）揭露Netgear網路設備的漏洞，其中，較嚴重的是Mesh延伸系統Orbi 760路由器的CVE-2023-41183，屬於API身分驗證繞過漏洞，允許臨近路由器的攻擊者加以利用，與SOAP API的實作有關，問題出在准許存取相關功能之前，缺乏足夠的身分驗證措施，CVSS風險評為8.8分。</p> <p>另一個漏洞為CVE-2023-41182，則是出現於ProSAFE網路管理系統NMS300，涉及名為ZipUtils的類別，由於這部分的執行對使用者提供的路徑缺乏適當的驗證，使得攻擊者能以此遠端執行任意程式碼，CVSS風險評為7.2分。Netgear接獲通報後，於8月22日發布新版Orbi 760、NMS300韌體予以修補。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.zerodayinitiative.com/advisories/ZDI-23-1283/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-1798517355" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.zerodayinitiative.com/advisories/ZDI-23-1283/</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.zerodayinitiative.com/advisories/ZDI-23-1284/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-1798517386" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.zerodayinitiative.com/advisories/ZDI-23-1284/</span></a><br /> 3. <a href="https://kb.netgear.com/000065734/Security-Advisory-for-Authentication-Bypass-on-the-RBR760-PSV-2023-0052">https://kb.netgear.com/000065734/Security-Advisory-for-Authentication-Bypass-on-the-RBR760-PSV-2023-0052</a><br /> 4. <a href="https://kb.netgear.com/000065705/Security-Advisory-for-Post-authentication-Command-Injection-on-the-Prosafe-Network-Management-System-PSV-2023-0037">https://kb.netgear.com/000065705/Security-Advisory-for-Post-authentication-Command-Injection-on-the-Prosafe-Network-Management-System-PSV-2023-0037</a></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/158533"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">行政院通過所屬機關使用生成式AI參考指引</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AI-ref-EY-GOV.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AI-ref-EY-GOV.png" style="width: 300px; float: right;" /></a>國家科學及技術委員會於7月發布「行政院及所屬機關（構）使用生成式AI參考指引（草案）」，8月31日行政院長陳建仁在行政院會聽取國科會報告後指示，請國科會觀察全球AI發展趨勢持續滾動修正這份指引的內容，並函頒各機關參考，各部會可視業務需要，訂定使用生成式AI之規範或內控管理措施；數位發展部則要帶頭建立相關規範及教育訓練機制，促進政府運用AI提升行政效率。</p> <p>此參考指引適用於公營事業、公立學校、行政法人及政府捐助的財團法人，內容共計有10項，其中幾項重要的規範包括，使用生成式AI產生的內容，應由承辦人員依客觀及專業進行判斷，不可取代承辦人自主思維。機密文書應由人員親自撰寫，禁止使用生成式AI。國科會主委吳政忠先前也透露，行政院正在規畫我國的AI基本法，為臺灣在研發及應用AI制訂整體規範。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/paramount-discloses-data-breach-following-security-incident/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">電影製片廠Paramount遭遇網路攻擊，近百人個資外洩</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/logicmonitor-customers-hacked-in-reported-ransomware-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">網路安全監控服務LogicMonitor證實部分用戶遭到攻擊</span></span></strong></a></p> <p><a href="https://www.reversinglabs.com/blog/vmconnect-supply-chain-campaign-continues"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">VMConnect供應鏈攻擊背後可能是北韓駭客Lazarus主使</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/microsoft-adds-hsts-support-to-exchange-server-2016-and-2019/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Exchange Server 2016、2019正式支援HSTS協定</span></span></strong></a></p> <p><a href="https://github.blog/2023-08-29-github-enterprise-server-3-10-is-now-generally-available/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">GitHub為企業版本提供新的安全功能</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158534">【8月31日】駭客組織Earth Estries從事網路間諜活動，包含臺灣在內的多國政府機關、科技業者成為目標</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158501">【8月30日】駭客在PDF檔案裡埋藏惡意Word文件來發動攻擊，藉此躲過資安系統偵測</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158482">【8月29日】勒索軟體LockBit製作工具外流，不到一年出現近400個變種</a></strong></p> </div></div></div>
2023/9/1 17:34作者周峻佑https://www.ithome.com.tw/news/158551
Martech雙周報第40期：行銷科技產品功能利用率達33%新低，Martech之父一張圖告訴企業如何提升Martec…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0820~0902</strong><strong style="color: rgb(0, 0, 255);">)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Martech採購策略</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Martech人才管理</span></span><br /> Gartner研究顯示Martech功能利用率達33%新低</strong></p> <p>根據<a href="https://www.gartner.com/en/newsroom/press-releases/2023-08-23-gartner-survey-finds-63-percent-of-marketing-leaders-plan-to-invest-in-generative-ai-in-the-next-24-months">Gartner年度CMO支出及策略研究報告</a>，企業行銷預算7年來呈現緊縮趨勢，至今僅占企業收入9.1%。從產業來細分，消費品（CP）產業行銷預算占收入從去年8%成長至10.9%、金融服務業從10.4%降至7.5%、零售則是與去年持平的9.1%。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/G1.jpg" style="width: 600px;" /></p> <p>有四分之三CMO表示，占行銷預算25.4%的Martech同樣面臨預算緊縮。值得注意的是，企業整體自評利用Martech產品功能的比例從2020年58%、一路到降到了2023年的33%。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/G2.jpg" style="width: 600px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#Martech運用效率</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#Martech人才管理</span></span><br /> Martech之父一張圖分析企業可以如何提升Martech應用效率</strong></p> <p>Gartner調查顯示企業Martech功能使用率逐年降低，對此Martech之父Scott Brinker指出，企業不用產品部分功能，有可能是因為企業從最核心的功能便能創造價值，未必是一件壞事。不過，Martech功能利用率低，確實可能意味著技術選擇不當，或行銷人員使用效率不足，為此，他從這2方面提出企業可以提升Martech應用效率的方法。</p> <p>從行銷人員角度來看，Scott Brinker指出，Martech使用者會分專業Martech操作人員，以及工作內容不常應用Martech的其他行銷人員。對前者來說，因為是主要使用者，功能應用效率良好的定義應該是時常使用產品大部分功能，對後者來說，則應定義為能妥善利用所需功能，不必顧慮使用功能數量或頻率。區別出2種人員理想Martech使用模式後，企業才更容易揭開使用效率低下原因，並對症下藥。（詳見下圖，點擊可放大）</p> <p><a href="https://s4.itho.me/sites/default/files/images/martech-utilization-reasons-remedies(1).png"><img alt="" src="https://s4.itho.me/sites/default/files/images/martech-utilization-reasons-remedies(1).png" style="width: 600px;" /></a></p> <p>若企業或行銷主管有希望應用的Martech功能，卻被行銷人員棄置，Scott Brinker則建議可以從技術選擇角度來看。他也從此角度提出7種應用效率低的分類，例如功能重複、功能與企業其他技術整合度低等，並提出9種解方，包括淘汰功能重疊度高的產品、員工訓練、改用更簡化的產品等。（詳見上圖，點擊可放大）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#線下行銷轉換追蹤</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#購物行為歸戶</span></span><br /> Criteo在RMN解決方案中新增線下行銷轉換追蹤功能，讀取從紙本廣告連結到電商的消費行為</strong></p> <p>如何在線下通路有效追蹤零售媒體聯播網（RMN）廣告轉換成效，是行銷業界目前面臨的一大課題。歐洲Martech巨頭Criteo與專精電腦視覺技術的廠商Phuzion Media合作，於<a href="http://https://www.criteo.com/news/press-releases/2023/07/criteo-and-brandcrush-partner-with-phuzion-media-to-make-offline-retail-media-shoppable/">RMN行銷服務中</a>加入了可以一定程度追蹤線下行銷轉換的功能。</p> <p>做法是，替零售商設計一個服務，讓消費者可以透過手機，從紙本廣告連結到電商。背後運作原理是，當消費者對紙本型錄或宣傳單商品有興趣，便能利用零售商App或Web App開啟手機鏡頭掃描商品，開啟對應電商頁面。零售商便能透過App來記錄並歸戶消費者瀏覽及下單行為。此功能支援用電腦視覺或QR code來辨認紙本商品。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#跨國數據整合</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#精準行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CDP建置經驗</span></span><br /> Electrolux從建立跨集團70品牌數據建設經驗中提出三大建議</strong></p> <p>跨國、跨品牌企業，如何打造一個橫跨全集團的顧客數據建設來進行精準行銷？旗下有超過70個品牌，涉足120個市場的家電巨頭Electrolux從2021年起開始導入能用於全球事業的CDP，現今已經開始投入實務，對部分業務領域的全球顧客進行精準行銷。全球消費者數據與分析總監Erica Campbell近期於一場活動中，從自家經驗提出3個關鍵建議。</p> <p>第一個是內部概念定義及策略整合。Erica Campbell回憶，起初集團不同業務領域的既有Martech成熟度非常參差不齊，且有不少解決方案都只適用於該領域，與其他業務領域的科技難以接軌。為了從集團高度來整合旗下所有業務領域的數據及行銷科技，他們從概念和策略統一開始。</p> <p>這包括數據類別、特定指標（例如LTV）計算方法、專有名詞具體定義、技術規格、法遵策略等。花費許多時間統一完這些定義後，Electrolux彙整這些定義成文件，供企業內部查閱，也讓內外部數據科技的工程師和廠商開發解決方案時參考。</p> <p>第二個建議是確定數據應用方向，以在選擇技術和決定蒐集數據類別時更加聚焦。Erica Campbell表示，推動數據科技建置初期，Electrolux就明確定義數據用途，是要用於精準行銷跟顧客關係經營，因此設計Data lake跟data model時，便圍繞著這個目的設計。</p> <p>由於導入CDP是費時、複雜且仰賴大量溝通的作業，第三個建議是導入CDP時設立專門CDP產品團隊，並有一個產品負責人可以負責聯絡其他數據工程相關團隊、整合意見、監督整體建置情況。</p> <p>Electrolux本身仍在持續完善全球數據建設。除了導入CDP，他們還導入了消費者身分連結（Identity resolution）技術等其他數據科技。Erica Campbell表示，未來他們還要以行銷、產品等多種數據來源，打造能預測行銷分眾的模型。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Google Ads</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#新廣告格式</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#庫存同步</span></span><br /> Google更新2種廣告格式，新增A/B測試投放功能</strong></p> <p><a href="https://support.google.com/google-ads/answer/13844604">Google Ads更新了2種廣告格式</a>，一種是本地店家廣告格式，另一種是搜尋頁面Call to action格式。前者會在搜尋結果頁面中，以橫幅輪播廣告形式呈現出店家商品及店面存貨情況，後者則是在搜尋結果頁面上方，以互動式文字方塊呈現出與使用者興趣相關的商家資訊，以及聯繫、導航等Call to action。</p> <p>其他更新包括可以比較不同競價模式、不同行銷方案的A/B測試功能，以及Google Ads後臺分析介面更新。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#NLP技術</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#DCR</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#第一方數據</span></span><br /> AppsFlyer在自家DCR中加入可用自然語言指令撈取數據的功能</strong></p> <p>大型行銷數據科技廠商AppsFlyer利用OpenAI技術，於自家數據無塵室（DCR）加入用自然語言指令撈取數據的功能，而不需要用SQL指令。因此沒有IT能力的行銷人員或數據分析師，也可以親自操作DCR，節省部分與數據工程師排程、溝通的需求，加速數據利用時間。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#社群媒體行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#同行廣告研究</span></span><br /> Meta Ad Library新增了搜尋品牌置入內容的功能，可以依照品牌或創作者找到相關廣告來研究</strong></p> <p><a href="https://www.facebook.com/ads/library/branded_content/?source=fb-logo">Meta於廣告檔案庫（Ad Library）</a>新增了可以用品牌或創作者來搜尋相關廣告的功能。查詢者可以找到指定日期區間中，特定品牌或創作者廣告的發布日期、創作者名稱、宣傳品牌、廣告類型及原文連結。有了這個功能，若品牌主或創作者便能更簡單的有意研究同行行銷方法，以及評估合作對象。</p> <p>不過經實測，這個搜尋功能無法找到創作者業配文之類的原生廣告，因此若要更完整的查詢特定創作者或品牌廣告，還需併用其他搜尋方法。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Martech汰換</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Martech人才</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Martech必備功能</span></span><br /> 調查顯示每年有24%企業換新行銷自動化工具，蟬聯3年最常換新</strong><strong>的Martech產品</strong></p> <p>知名Martech媒體Martech.org<a href="https://martech.org/wp-content/uploads/2023/08/MT_replacement_survey_2023_080323.pdf">年度行銷科技汰換調查出爐</a>，行銷自動化（MA）工具蟬聯3年最常被換新的產品，每年都有23%~24%企業會選擇採用新MA工具。相較於去年調查，企業依然認為整合能力和Open API是挑選新Martech一大重點，不過今年企業更加重視新Martech對顧客體驗帶來的提升。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/R1.jpg" style="width: 600px;" /><img alt="" src="https://s4.itho.me/sites/default/files/images/R2.jpg" style="width: 600px;" /></p> <p>近4年，企業汰換Martech的情況大多逐年減少或持平。不過，企業若發現既有Martech不適合，也會反應更快。今年企業汰換的Martech中，有31%使用不到2年，比2020年的20%高出不少。另一個值得注意的現象是，企業汰換Martech後，66%會維持同樣的行銷人員，2020時則有43%企業在汰換Martech後會直接找一個新團隊來負責操作。Martech之父Scott Brinker評論，這說明企業運用Martech產品和人才的情況都漸趨穩定。</p> <p>本次調查對象中，作答者有71%是北美企業員工、3%來自英國，報告未提及其餘26%。</p> <p>資料來源：iThome整理，2023年8月</p> <p>圖片來源：Chiefmartec、Gartner、Martech.org</p> <p>責任編輯：郭又華</p> <p> </p> </div></div></div>
2023/9/1 18:36作者郭又華https://www.ithome.com.tw/news/158545
大規模DevOps成功關鍵──平臺工程
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1145-feng_mian_p1-open-dou_zi_-960x420_kao_bei_0.jpg?itok=Eu-dgeTx" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國影音串流龍頭、荷蘭保險集團、瑞典家用電器大廠、歐洲快時尚零售巨頭，隨著雲原生技術越用越深，不少國外大型企業紛紛開始打造內部的開發者平臺，來提供自助式、一站備齊、操作更流暢便利的開發體驗，不只成了DevOps規模化、提高開發生產力的關鍵，更開始出現平臺工程的新浪潮</p> </div></div></div>
2023/9/1 16:33作者王宏仁https://www.ithome.com.tw/article/158549
雲原生帶來龐大複雜性開發債，優化開發體驗需求催生平臺工程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每天，分散在全歐5大開發據點的2千名Zalando技術團隊成員，上班第一件事，就是打開「日出」（Sunrise）開發平臺。</p> <p>在這個平臺首頁上，今天每一項行動任務、前一周交付成果的最新運作成效，其他成員對自己所提程式碼修改請求的回覆，每一個人今天該完成的所有工作，一目了然，還順便提醒使用者，日出平臺剛推出哪些新功能，建議開發者試試看。這個Zalando自行打造的內部開發者平臺，用起來就像是一套外面的商用產品網站一樣。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%9C%962-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Zalando.png" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><strong>2021年時，Zalando打造出了這一套內部開發者平臺「日出」（Sunrise），以Spotify開源的ML管理平臺專案Backstage為基礎，結合了許多內部所用技術工具、開發元件、實作範本和技術文件，客製出了這個內部專用的自助式開發者平臺（Internal Developer Platform）。提供了團隊協作、負責AP狀態、可用API、相關事件、所用CI/CD流程、ML開發平臺、可用技術工具和元件、基礎架構帳戶和支出等參考資訊。2千名Zalando技術團隊成員，每天上班第一件事，就是打開這個平臺。</strong></span><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Zalando</span></span></p> <p>不管是軟體工程師、資料工程師、專案經理，設計師、資料科學家或是技術主管，在Zalando技術團隊中的每一個人，只要是工作所需的資訊，從團隊協作資訊、負責AP狀態、可用API、相關事件、所用CI/CD流程、ML開發平臺、可用技術工具和元件、基礎架構帳戶和支出等資料，都可以從這個平臺中取得，不用切換到不同系統中尋找。日出平臺甚至提供了每周資安通報、指導長期技術決策的技術雷達圖、各項技術的配置範例、參考程式碼通通都有。不只查詢資料，開發者還能在平臺上自行建立新的ML流程、CI/CD排程、管理開發專案、調用基礎架構資源等。</p> <p>透過日出平臺，工程師可以檢查負責產品在生命周期每一個階段的進度或狀態，而且是即時監控的最新數據，還能與團隊其他成員跨國線上協作，共同討論如何排除CI/CD流程遇到的問題，甚至可以來完整的部署一套新應用程式。這個平臺不只是Zalando技術成員的工作起點，更是全公司技術知識和工具的百寶箱。</p> <p>你以為Zalando是一家大型軟體公司或是網路科技公司嗎？不，其實，他們是一家網路電商，是一家年營收143億歐元（約臺幣5千億元）的歐洲快時尚電商，但是在他們上萬名員工中，技術團隊人數超過了2,000人，其中更有1,100名軟體開發人力，分散在全歐5個技術據點，共同組成了超過200個跨功能、跨部門的敏捷開發團隊，負責超過2千套應用系統。</p> <p>為了支援如此複雜又龐大的開發團隊運作，2021年時，Zalando打造出了這一套內部開發者入口網站，以Spotify開源的ML管理平臺專案Backstage為基礎，結合了許多內部所用技術工具、開發元件、實作範本和技術文件，客製出了這個內部專用的自助式開發者平臺（Internal Developer Platform），介面操作如同商用企業級協作平臺Slack、Teams一樣的流暢，也講究各種UX設計的細節，就是為了引導使用者，自己就能快速上手操作。</p> <p>Zalando打造日出網站的目的是「要讓開發者既快樂，又有生產力！」，他們要提供最頂級的開發者體驗，盡可能地降低技術團隊和開發團隊的認知負擔，來提高開發速度和生產力。Zalando執行首席工程師Henning Jacobs去年中在平臺工程大會上，首度公開日出平臺開發過程時，格外強調這個發展目標。</p> <p><span style="font-size:28px;"><strong>上雲十年快速成長卻累積大量開發債，Netflix也要統一開發體驗</strong></span></p> <p>不只是Zalando，全球影音龍頭Netflix也用了同一個開源專案Backstage，在2021年開始來打造一套內部的開發者平臺，已經推出第一階段的版本，目前還在持續開發中。</p> <p>早在2010年，Netflix就決定推動全面上雲戰略，可是，完全上雲政策推動十年來，Netflix開發團隊經常為了解決快速成長的特定一項需求，得盡快開發出一款元件或解法工具，對症下藥來解決問題。日積月累下來，這些運用不同創意打造的開發元件，越來越多，也越來越繁雜。導致開發人員的開發流程一天比一天碎片化，得不斷嘗試、搭配組合不同的元件，反而拖慢了開發團隊的生產力。完全上雲加上高速成長的Netflix，反而累積了許多開發債。</p> <p>在2021年時，Netflix下定決心，要以3～5年，優先建立一整套端到端的平臺體驗，來提高開發可用性。他們計畫打造出一個涵蓋軟體開發生命周期各階段的開發單一平臺，提供給所有軟體工程師和資料科學家。</p> <p>花了一年時間，Netflix先串接現有供應商的元件，打造一個平臺儀表板，彙整來自9大技術供應商在軟體生命周期中的各種工具，方便開發者選用工具。另外還推出了一個套裝流程首頁Paved Road，提供不同產品開發需求對應的開發流程範本，例如資料平臺API流程、gRPC流程、Netflix WebClient流程等，讓開發者更容易探索每個流程中常用的工具和解決方案，不用自己從頭模索。</p> <p>2022年時，Netflix順利完成開發者平臺的管理功能和探索功能，開始推廣給開發團隊，也展開下一階段開發，要擴大到開發者的創建、修改和維運面需求，目前還在進行中。</p> <p>打造內部開發者平臺的企業，不只Zalando、Netflix，光是同樣用Backstage打造內部平臺的企業，還包括了美國航空、HBO MAX聯播網、加拿大Telus電信、英國體育臺DAZN，甚至連老牌軟體公司3D引擎巨頭Unity都拿來用。</p> <p>發展專用開發平臺的企業不只這些，更多企業是從頭自行打造開發者平臺，也不一定非用Backstage專案才能實現。</p> <p><span style="font-size:28px;"><strong>ING打造座艙式開發UI，解決1萬5千名DevOps工程師3大痛點</strong></span></p> <p>比如，全球保險集團ING就自己建立了一套自動化框架（Automation Framework），來服務全集團在10個國家共15,000名的DevOps工程師。這個框架提供了一套自助式服務和自動化配置工具，建立了一個統一的座艙式UI管理介面，讓工程師更方便管理和監控所負責的專案和應用。ING另外還提供了搭配不同的框架工具，除了GUI介面工具，還提供了資源管理工具，CLI命令列工具、小精靈助手（Wizard）等不同形式的自動化框架操作形式，讓開發團隊更容易重複利用數百項ING內部的開發元件。</p> <p>ING這個技術平臺，不只是一個入口網站，還提供了一整套開發各式金融服務所需的基礎服務和元件，包括800多個開發工作流程（API、Ｗeb與行動開發流程）、1,200支服務SDK、300個Web和行動應用SDK和2千個前端元件，每個月上萬名開發者的登入次數超過4億次，每個月透過內部3管道（簡訊、Email和App）發送的通知多達140萬封，隨時有1千個API在線上運作。這已經是ING集團內部最重要的開發者技術基礎架構。</p> <p>為何非要大費功夫自己打造這樣的開發者基礎架構平臺？ING的目標，不只要提高生產力，還希望能縮短服務上市時間、維持一致的高品質，更要降低服務上線的成本。最終就是要靠這個平臺來解決開發團隊的三大痛點，包括高度複雜的繁多技術元件整合和組裝挑戰、耗時的人工手動配置時間，以及工程師工作流程遭大量瑣事而中斷。</p> <p><span style="font-size:28px;"><strong>200人團隊也要專用平臺，伊萊克斯用平臺工程思維優化SRE</strong></span></p> <p>不是開發人力破千的企業才需要自建平臺，像瑞典家用電器大廠伊萊克斯，就是為了支援百人開發團隊，將SRE團隊，轉型成服務內部開發人力的平臺團隊。這個做法與臺灣企業不少SRE團隊的角色很像，不只是為了監控和確保服務可用性，還開始負責打造內部開發工具。伊萊克斯的SRE團隊，後來就等於變成了一個平臺工程團隊。</p> <p>這家老牌製造業，為了善用整合在各產品中的IoT裝置，來打造出吸引消費者的App，決定在2017年成立開發團隊，也配置了SRE人力，來確保這些IoT裝置背後的支援服務和App，都能正常運作。先從一支App產品配置了10名開發人員和2名SRE組成產品團隊，後來，App產品越來越多，到了2023年時超過300支，開發團隊更增加到200人規模，SRE人力也提高到7個人。</p> <p>原本伊萊克斯在產品團隊中設置SRE人力，也同時分攤雲端基礎架構的維運工作。隨著產品數量越來越多，相關App產品團隊越設越多，各種維運和問題排除工單更是暴增，SRE人力反而花了大把時間，到各產品團隊分享維運知識，支援各團隊的開發自動化需求，後來，伊萊克斯決定，由SRE團隊負責發展共用平臺，支援所有產品團隊。</p> <p>在這個平臺上，提供了基礎架構範本、服務範本、API範本，還有內部相關工具。另外在這個平臺上還提供了可用性、CI/CD、監控、SLO、警告通報、資安、成本控管、儀表板等功能。開發者可以在單一平臺上取得產品開發所需的相關工具，不用到處尋找，也提供了SRE團隊推薦的最佳配置，來加快App產品的開發速度。</p> <p>伊萊克斯由SRE打造共用開發平臺的目的，原本是為了滿足各產品團隊的工單、控管上雲的成本，也順便改善開發團隊的體驗，但內部開發平臺帶來了更好的資訊透明化，一方面提高任務完成度，也強化了協作和開發經驗的共享，進而加速了應用程式開發的流程。伊萊克斯事後回顧，只靠200人就能打造和維護300款App產品的成功關鍵是，運用平臺工程思維，來發展出更好的SRE實踐。</p> <p>平臺工程浪潮的崛起，不只是幾家企業實踐的結果，而開始形成一股新的開發趨勢。</p> <p><a href="https://www.ithome.com.tw/article/158549" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1145-feng_mian_p1-open-dou_zi_-960x420_kao_bei_0.jpg?itok=Eu-dgeTx" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2023/9/1 16:34作者王宏仁https://www.ithome.com.tw/news/158546
DevOps成熟發展後的下一波IT現代化浪潮
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>老牌DevOps工具商Puppet，連續10年調查全球DevOps發展趨勢。<a href="https://www.puppet.com/resources/state-of-platform-engineering" target="_blank"><span style="color:#3399ff;">在2023年初發布第11屆全球大調查結果時</span></a>，竟然在報告發布首頁上，汰換了「DevOps」這個名稱，轉而用「平臺工程」（ Platform Engineering），並以「State of Platform Engineering Report」（平臺工程全球現況報告）來描述今年全球DevOps大調查的結果。</p> <p>研究團隊在報告中直言，從2022年研究就觀察到一個現象，「用DevOps團隊這個詞越來越沒有意義」，所以，今年調查報告更明顯聚焦在平臺工程發展，甚至連調查對象徵求，都以平臺工程團隊成員，或者擁有與平臺工程團隊協作經驗開發者，為主要調查對象。換句話說，這一份DevOps全球大調查，今年開始變成了平臺工程全球大調查了。</p> <p><strong><span style="font-size: 28px;">平臺工程成為DevOps規模化成功關鍵，開始形成一股開發新趨勢</span></strong></p> <p>為什麼會有這麼大的改變？Puppet研究團隊在今年報告中直言，隨著雲原生技術的普及，企業更深度擁抱DevOps，運用DevOps越成熟的企業，更傾向於用「平臺團隊」來形容他們過去的「DevOps團隊」。甚至，「平臺團隊模式，成了DevOps規模化的成功關鍵。」Puppet特別強調這一點發現。</p> <p>這正是為何今年DevOps全球大調查完全聚焦平臺工程趨勢，從調查數據更可以看到，平臺工程趨勢開始在全球崛起。根據Puppet今年調查，所屬企業擁有2～5年平臺團隊的填答者，超過了5成，甚至有將近19%的填答者所屬平臺團隊，設立超過了5年。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1145-cover-600-1.png" style="width: 600px;" /></p> <p>什麼是平臺工程？Puppet歸納出最新的定義是，一套設計和打造自助式服務能力的專門作法，盡可能降低開發者認知負擔，來加速軟體交付速度。而平臺團隊就是負責提供一套共享基礎架構平臺，給企業內部的使用者（開發者或是同一價值鏈上的非開發者）。</p> <p>這份調查報告的填答者過半數是平臺工程團隊成員，4成多是平臺工程團隊的協作技術人員，其中半數來自千人以下企業，1千到萬人規模的企業占了3成，還有23%是萬人規模的超大型企業。只有4成是科技公司，其他產業占6成，包括金融業、製造業和零售業各約占1成。這反映出，不是數千人、數萬人規模的企業才需要平臺工程，也不只有科技公司，各產業企業都願意設立平臺團隊。</p> <p>為何這群企業想要設立平臺團隊，擁抱平臺工程，將打造內部專用的開發者平臺視為重要的開發戰略。企業設立平臺團隊的前三大目標，包括了解決各種開發上的問題、強化開發者團隊、推廣最佳開發實務。提高開發速度的優化迭代速度名列第四，也想要強化資安，甚至反過來強化產品團隊，更要加速擁抱雲原生的旅程。這些目標，都是為了解決高度擁抱雲原生架構，或者是高度發展DevOps之後，衍生的各種開發債。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1145-cover-600-2.png" style="text-align: center; width: 600px;" /></p> <p>在iThome今年CIO大調查中，我們也將平臺工程納入調查，調查發現，平臺工程浪潮已經開始吹進臺灣。臺灣今年有6.9%大型企業要擁抱平臺工程，又以政府學校和金融機構最多，各約1成多。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1145-cover-600-3.png" style="width: 600px;" /></p> <p>透過專用內部平臺，來提高開發生產力的概念，對IT人力有限的臺灣企業而言，不是新鮮事，臺灣許多2千大規模的企業可能只有1、2名開發人力，尤其在政府機關的開發人力更是吃緊。過去，政府機關或IT人力明顯不足的企業，向來習慣發展出共用元件平臺、集中式開發平臺，指派1名開發人力或獨立團隊，負責維護這個共用平臺，聽起來就像是平臺工程的作法。</p> <p>這正是為何今年CIO大調查發現，不少企業也以類似的專用內部開發者平臺，但是，臺灣過去共用開發元件平臺的作法，和國外平臺工程注重的內部開發者平臺，有一個本質上的差異，國外平臺工程是在DevOps高度發展之後，才打造的自助式開發者平臺，以雲原生技術運用為主的平臺，但在臺灣，尤其是政府機關所用的平臺，大多是以傳統開發技術發展的元件和工具。</p> <p>不過，臺灣平臺工程思維開始轉變，向國外基於DevOps高度發展、雲原生技術為基礎的平臺工程新浪潮靠攏，在IT現代化轉型過程中，開始將原有傳統開發者平臺，轉型為雲原生的新世代開發者平臺。平臺工程浪潮已經開始在臺灣崛起。</p> <p><a href="https://www.ithome.com.tw/article/158549" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1145-feng_mian_p1-open-dou_zi_-960x420_kao_bei_0.jpg?itok=Eu-dgeTx" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2023/9/1 16:34作者王宏仁https://www.ithome.com.tw/news/158547
Google釋出全球天氣模型預報基準WeatherBench 2，推動機器學習氣象應用發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google釋出了一個用於評估和比較各種天氣預報模型的框架<a href="https://blog.research.google/2023/08/weatherbench-2-benchmark-for-next.html">WeatherBench 2</a>，該框架可以計算包括機器學習模型和物理模型的天氣預測分數，使研究人員有微調和改進模型的依據。官方還開源WeatherBench 2評估程式碼，以及針對雲端最佳化的真實資料和基準資料集。</p> <p>由於天氣預測技術的發展發向，正從物理模型逐漸轉移到機器學習模型，因此需要模型基準來評估模型間的能力，並確保機器學習模型值得信任。隨著運算能力提升，Google提到，當今7日天氣預報的準確性，相當於2000年的5日預報，也相當於1980年的3日預報，這些預測準確度的提升，對物流規畫、災害管理、農業甚至是能源，都有極大的價值。</p> <p>不過，除了運算能力的提升外，當前另一股天氣預測的變革從演算法開始，較新的方法是使用機器學習技術，透過查看大量過去的天氣資料，預測接下來天氣的變化，有別於現行基於物理模型的天氣預測，是以數學方程式描述和模擬大氣、海洋、陸地和相關過程的動態和互動。</p> <p>機器學習天氣預測目前已經有部分成果，像是Google DeepMind所開發的圖神經網路GraphCast，就可以在25公里的水平解析度下，預測10日天氣，結果也已經可以和先進的物理模型相比較。</p> <p>機器學習模型的重要優勢，在於模型經過訓練之後，可以僅使用成本遠低於超級電腦的硬體運算，在數分鐘內計算出結果，而這對天氣預報領域帶來重大的效率提升和成本降低的可能性，因此無論是在歐洲中期天氣預報中心（ECMWF）的機器學習發展路線，還是美國國家海洋暨大氣總署（NOAA）的人工智慧戰略都可見端倪。</p> <p>在發展機器學習天氣預測上，需要一個能夠反應天氣和下游應用各面性質的基準，而且能夠以公平且可重複的方式比較新舊模型。Google所推出的WeatherBench 2全球天氣模型基準，可提供一個可信、可重複的框架，評估和比較不同的預測方法。目前WeatherBench 2<a href="https://sites.research.google/weatherbench/">官方網站</a>公開的模型比較，包含Keisler、GraphCast和Pangu-Weather機器學習模型，還有一些ECMWF高解析度整合預報系統，作為傳統天氣預報模型的代表。</p> <p>天氣預報的評估存在一些挑戰，因為高解析度的天氣預報資料可能非常龐大，因此Google在開源統一程式開發模型Apache Beam上建置評估程式碼，供用戶將運算分割成小區塊，以分散式的方式進行評估。另外，Google針對不同解析度，並以雲端最佳化的資料格式，提供用來訓練大多數機器學習模型的ERA5資料集，官方提到，因為從各別檔案下載資料並進行轉換，非常耗時且需要大量運算資源，因此透過公開已經就緒的資料，可以大幅降低研究進入門檻。</p> <p>Google與ECMWF合作，共同定義了天氣預報品質評分指標，更好地捕捉全球天氣預報的品質，WeatherBench 2能夠以同一標準評估不同的模型，包括機器學習模型與物理模型。除此之外，WeatherBench 2也考慮到更先進的概率預測，提供概率指標和基準。</p> <p>比起傳統「明天下雨機率80％」，概率預測可以提供不同情境下的概率分布，像是「明天降雨量在0-10毫米的機率為60%，10-20毫米的機率為20%」這類預測，以捕捉更多天氣預報的不確定性。</p> <p>同時，WeatherBench 2也針對機器學習預測的限制，提供研究範例，Google解釋，機器預測模型相對物理模型，在大氣不確定性上傾向採取保守策略，這會讓預測更為平滑（下圖），因此與真實情況不一致缺乏真實性，同時缺乏小尺度的結構。WeatherBench 2對此提供了研究範例，並且添加光譜指標來量化模型的模糊性，以評估模型是否傾向預測平滑的場景。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEi4wXcTQkAGkbuhb__Df-rb5aC9iq11GMRSxV4ESzRlk22iiL2Y-08zH2oQDspXn4KxdQlzkO_SD0tX6-ZkxF_5hdQslK1PKIgB0HwKeCdYUZLtr_H2603WSXi0oDD_Brn7KHaAeO6Hq8g7-MscBpAGn7lV7WLUNX6RPxl1qA7RgO3ZUlOjLP0dX7ifrxsm/s16000/image2.gif" style="width: 580px;" /></p> <p>研究人員仍會繼續完善WeatherBench 2，添加包括站點觀測和降水資料集，並且嘗試將臨近預報和次季節預測納入基準中。</p> </div></div></div>
2023/9/1 16:53作者李建興https://www.ithome.com.tw/news/158548
衛福部盤點智慧醫療進展，要統一部內4署資料標準、預計10月發布通訊診察治療辦法修正案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>衛福部政務次長王必勝日前（28日）出席今年度行政院生技產業策略諮議委員會議（BTC），盤點衛福部在5大智慧醫療領域進展，包括加速醫療IT系統升級、健保大數據運用、健保沙盒、智慧醫材和國際化發展等領域，如整合部內4署的資料交換標準，並預告今年10月將公布通訊診察治療辦法修正版，屆時，遠距醫療的適用場景將從6項擴大為9項，如諮詢、會診、心理治療等。</p> <p>他也透露，人體生物資料庫管理辦法修正草案預計在10月送行政院審查，要來強化資料治理規範。關於健保資料的二次利用和退出機制，衛福部已在今年6月決議制定專法，預計今年底完成研擬會議，明年9月送立法院審議。</p> <p><span style="font-size:24px;"><strong>不只推醫院IT系統革新，也展開衛福部內資料標準統一工作</strong></span></p> <p>BTC就像是國家級的生醫智庫，每年提出的建議，往往成為政府部會推動新政策或改革的重要參考。王必勝盤點，去年BTC提出的總體建議中，衛福部已針對「建立創新醫藥產品進入市場機制」、「完善資料治理監督機制」、「整合醫療數據規格和建置醫療資料使用機制」、「促進Bio-ICT應用於醫療照護／保健市場」、「加速醫療資訊系統革新」以及「全面推動遠距／通訊醫療」等建議展開行動。</p> <p>就加速醫療IT系統革新來說，衛福部的策略是先以建立接軌國際標準的架構為基礎，再來發展符合國際次世代趨勢的數位醫療平臺，最後形成以病人為中心的健康生態系統。他們也在去年底、今年初成立專案辦公室，推動符合國際標準FHIR的次世代數位醫療平臺計畫，並鎖定系統互通性、安全通信、系統自動化、資訊數位化、行動化和穩定的核心基礎設施，來推動醫院IT升級。比如，數位化是指建置個別的結構化格式，來儲存產生的資訊，以便後續分析、報告使用；而穩定的核心基礎設施，則指聯通高速組網、識別技術和感測器網路。此外，衛福部也著手制定政策，要來提供獎勵和誘因，鼓勵醫院進行數位轉型。</p> <p>在這個計畫中，衛福部不只瞄準全臺醫院IT系統，也同步進行部內各署的資料標準統一工作，包括建置次世代醫療數據共享創新平臺，發展跨部、署的平臺來交換數據，同時也要建置健康資料和通報資料的交換標準與檢驗檢查編碼標準，來統一食藥署、國健署、疾管署和健保署的資料交換架構標準和格式。這個資料標準統一工作，包含建立FHIR共通欄位格式和LOINC編碼的實作指南。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-09-01%20152746.png" /></p> <p><span style="font-size:24px;"><strong>通訊診察治療辦法預計10月公布，建置健保資料二次利用規範</strong></span></p> <p>另一方面，衛福部在健保領域的進展，包括對規範遠距醫療的通訊診察治療辦法修正，今年5、6月已完成對外溝通會議，預計10月發布該辦法的修正案。屆時，心理治療、諮詢、會診等場景也能適用遠距醫療，而適用特殊情形也將擴大納入癌末照護、矯正機關收容照護、行動不便照護、災害／傳染病或其他重大變故照護、國際醫療照護和其他情形，且得以開立處方。</p> <p>不只通訊診察治療辦法，王必勝也預告，人體生物資料庫管理辦法修正草案也將在今年10月送行政院審查。該辦法的修正目的，是要強化人體生物資料治理規範，包括擴大資料範圍（可納入基因、醫學影像等生物資料）、新增整合平臺設置的依據，以及管理國人基因資料的收集、使用和輸出機制。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-09-01%20155517.png" /></p> <p>鑑於去年8月憲法法庭釋憲結果，健保署也展開行動，在今年6月決議制定健保資料二次利用專法，預計年底完成專法研擬會議和公聽會，並於明年5、6月送行政院審核，明年9月送立法院審議。這個專法將保障民眾退出權，在學研界提出案件後進行申請對象確認，並註記排除退出的民眾資料。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-09-01%20155847.png" /></p> <p><span style="font-size:24px;"><strong>建立創新智慧醫材市場准入機制，食藥署已核准89例AI醫材取證</strong></span></p> <p>為加速創新智慧醫材進入市場，BTC去年提出健保沙盒建議，衛福部也有所進展。進一步來說，他們設置了創新智慧醫材市場准入機制，包括3大要點，首先是建立數位創新醫療價值評估準則，如建立評估品項、實證評估標準、經濟效益評估模型等，來衡量產品進入市場的價值。</p> <p>另一個要點是導入臨床效益評估模式，來篩選出真正有臨床效益的研發選題，來協助取證、進入不同給付途徑。最後一點是建立創新醫材給付機制和配套措施，如進入和退出機制、快速給付申請路徑（含健保、商業保險和差額負擔等），以及控管和後續效益評估方法。</p> <p>王必勝也提到，健保署已確定明年將次世代基因定序（NGS）納入健保，來讓癌症病人進行基因定序、依此找出最適合的藥物或療法。</p> <p>在智慧醫材（SaMD）部分，自2021年食藥署成立智慧醫材專案辦公室以來，已有89件國內外醫療AI軟體申請取證，其中國產25件、國外輸入64件。這期間，辦公室也設置11份指引，其中包含4份AI相關指引，並推動上百場法規說明會和工作坊，來加速AI醫材取證。</p> <p>最後，王必勝也盤點了衛福部一國一中心的醫衛新南向進展，包括從2018年的7國7中心，擴大到今年的7國12中心，其中越南、馬來西亞、印尼為一國雙中心，其餘則有泰國、印度、菲律賓和緬甸則是1中心，衛福部透過這種模式以醫帶產，2018年至2022年以介接400多家廠商，並成立臺灣醫療健康產業卓越聯盟基金會，來將臺灣醫療影響帶出海。</p> <p>完整簡報請參考<a href="https://www.nstc.gov.tw/nstc/attachments/ac2512b9-b275-43cd-a5eb-d5e6a73f10ef">此連結</a>。</p> </div></div></div>
2023/9/1 17:00作者王若樸https://www.ithome.com.tw/news/158550
Meta開源可用來偵測AI歧視問題的FACET資料集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://facet.metademolab.com/" target="_blank">Meta於本周開源了FACET（FAirness in Computer Vision EvaluaTion）資料集</a>，以供不同的電腦視覺模型來評估它們在分類、偵測、實例分割與視覺定位等任務中，可能出現的偏差或歧視，以協助模型進行改善。</p> <p>FACET是由3.2萬張照片所組成，內含5萬個人，每一張照片都由人類專家依照與人類相關的屬性手動進行標記，由專門的人類註譯員負責標記人口屬性，包括性別與年齡等族群特徵，膚色及髮型等生理特徵，以及諸如棒球選手或醫生等分類，也包含了來自SA-1B資料集中6.9萬名戴口罩民眾的人口屬性標記。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0901-FACET-by%20Meta-600.png" style="width: 495px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Meta</span></span></p> <p>此一資料集可用來協助回答某些問題，像是當某些表現的刻板印象多為男性屬性時，AI模型是否能提供更好的辨別；開放辭彙檢測模型能否夠更好地偵測到那些被認為應該更年輕一些的背包客；標準檢測模型是否難以偵測或分割膚色較深的人口；以及倘若上述牽涉到的是一名捲髮人口，各種問題是否會被放大。</p> <p>Meta以FACET來評測該公司所開發的DINOv2模型與SEERv2模型，以及OpenAI的OpenCLIP模型，整體而言，OpenCLIP在性別上的表現優於其它模型，而DINOv則在年齡與膚色上有較佳的判斷力。</p> <p class="rtecenter"><a href="https://scontent.ftpe7-3.fna.fbcdn.net/v/t39.8562-6/373070834_815488543592811_4647589620502708324_n.png?_nc_cat=108&ccb=1-7&_nc_sid=6825c5&_nc_ohc=5qEm-Br_71gAX8zyC7U&_nc_ht=scontent.ftpe7-3.fna&oh=00_AfAFsna2n6U0lhRebhmtDH247VtnAwRK9aNUIe5Bz0yC1w&oe=64F71DA8" target="_blank"><img alt="" src="https://scontent.ftpe7-3.fna.fbcdn.net/v/t39.8562-6/373070834_815488543592811_4647589620502708324_n.png?_nc_cat=108&ccb=1-7&_nc_sid=6825c5&_nc_ohc=5qEm-Br_71gAX8zyC7U&_nc_ht=scontent.ftpe7-3.fna&oh=00_AfAFsna2n6U0lhRebhmtDH247VtnAwRK9aNUIe5Bz0yC1w&oe=64F71DA8" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Meta</span></p> <p><a href="https://ai.meta.com/blog/dinov2-facet-computer-vision-fairness-evaluation/" target="_blank">Meta AI團隊指出</a>，FACET得以更深入地發現模型於類別等級上的潛在偏差，舉例來說，以性別偏見最嚴重的「護士」類別來說，SEERv2與OpenCLIP的偏差比DINOv2更為明顯，原因可能是SEERv2主要針對未經策畫的社交媒體內容進行預訓練，使得資料缺乏多樣性，而OpenCLIP則採用經過CLIP模型過濾的網頁爬梳資料，而放大了原本即存在的職業與性別的關聯性。</p> <p>FACET的開源將有助於研究人員執行類似的標竿測試，以理解自己的模型中所存在的偏差，亦可用來監控為了解決公平問題而採取的緩解措施所造成的影響。</p> </div></div></div>
2023/9/1 13:50作者陳曉莉https://www.ithome.com.tw/news/158542
DevOps如何再進化
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「王子和公主從此過著幸福快樂的生活。」只是一種美好童話故事的想像，現實生活中的世界，並非如此。</p> <p>全球影音巨頭Netflix早在2010年決定全面上公雲戰略，不再興建任何一座實體資料中心，一步步變成了一家科技公司，先追求速度，接著發展規模化，最後進行策略轉型，徹底將所有應用系統都搬上公雲。</p> <p>Netflix被譽為是最懂得用雲的企業，也是企業上雲的最佳典範，他們的上雲轉型經驗成為許多大型企業數位轉型借鏡的模範。但，這個上雲故事後來怎麼了？從此就一帆風順了嗎？其實不然。</p> <p>十年上雲發展，積極擁抱各種雲原生技術的Netflix，累積了大量開發債。Netflix為了追求快速成長，開發團隊常常為了解決特定一項需求，就想盡辦法，用各種創意手法來解決問題，快速開發出了各式各樣的專用元件或解法工具，來對症下藥。</p> <p>日積月累下來，這些開發元件越來越多，越來越繁雜，讓Netflix開發團隊的開發流程越來越碎片化，開發人員為了避免重新發明輪子，不要從頭打造元件，反而得到處搜羅已經開發好的可用元件，不斷嘗試、搭配不同元件組合流程，拖慢了開發團隊的生產力。為了高速成長而完全上雲的Netflix，因此累積了許多開發債。</p> <p>在2021年時，Netflix下定決心，將統一開發體驗列為開發戰略首要目標，要打造出一個涵蓋軟體開發生命周期各階段的開發者單一平臺，提供給所有軟體工程師和資料科學家使用。</p> <p>這正是一種平臺工程思維，為了提供更好的開發體驗，來打造一個內部開發者平臺。</p> <p>不過，Netflix這項工程，還沒有完成，目前只打造出了資源管理和流程探索功能。串接了來自9大技術供應商在軟體生命周期中的種種工具，提供單一管理介面，方便內部開發團隊選用。另外，也提供了套裝流程首頁，提供不同產品開發需求對應的開發流程範本，讓開發團隊更容易探索每個流程中常用的工具和解決方案，不用自己從頭模索。</p> <p>Netflix不是唯一一家因為上雲、擁抱雲原生而累積大量開發債的企業。歐洲快時尚巨頭Zalando、荷蘭保險集團ING、瑞典家用電器大廠伊萊克斯、美國航空、HBO MAX聯播網、加拿大電信公司Telus、英國體育臺DAZN，甚至是老牌軟體公司3D引擎巨頭Unity、設計軟體龍頭Adobe、ERP軟體巨頭SAP都是如此。</p> <p>在過去十年來，這些公司因為積極擁抱雲原生，推動IT現代化轉型，擁抱DevOps推動開發維運自動化，大幅提高了軟體交付速度。但是，越來越複雜的混合雲環境配置、龐大的DevOps工具鏈，再加上新興的軟體供應鏈安全威脅，都讓他們越來越難以不斷擴大DevOps規模和成效。</p> <p>連續調查全球DevOps發展趨勢超過10年的Puppet公司，從許多大型企業DevOps調查數據中歸納，設立平臺團隊、建立自助式的內部專用開發者平臺，都是DevOps成功規模化的關鍵，甚至形成了一股新的開發浪潮，也就是平臺工程（Platform Engineering）。</p> <p>不少國外大型企業，像是前面提到的這幾家企業都是如此，開始打造內部的開發者平臺，提供一站式、操作更流暢、管理更便利的開發體驗，來降低開發者的認知負載，進而再一次提高開發團隊的生產力。</p> <p>在2009年崛起的DevOps浪潮，發展將近14年，已經成了企業擁抱雲原生技術的重要開發方法論，但是，企業越是依賴DevOps，流程和模式越是高度自動化，就會面臨更大的開發複雜度挑戰，光是要管理的微服務可能累積多達上千支。</p> <p>再加上，雲原生技術高度發展後的新考驗，數千種開源雲原生技術和工具鏈、多雲混合雲運作環境各種配置的優化，容器架構、Serverless架構、最新的Functionless架構，還有生成式AI自動產生大量程式碼的品管問題、軟體供應鏈資安挑戰，都讓新一代的開發者，面臨前所未有的認知負載。</p> <p>追求更頂級，彷彿頭等艙般的開發體驗，才能讓開發者更有生產力，這正是平臺工程崛起的原因，也為DevOps如何邁向下一個階段，指出了新方向。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%9B%B2%E7%AB%AF">雲端</a></div><div class="field-item odd"><a href="/tags/netflix">Netflix</a></div><div class="field-item even"><a href="/tags/%E5%B9%B3%E8%87%BA%E5%B7%A5%E7%A8%8B">平臺工程</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B2%E5%8E%9F%E7%94%9F">雲原生</a></div><div class="field-item even"><a href="/tags/%E9%96%8B%E7%99%BC%E5%82%B5">開發債</a></div><div class="field-item odd"><a href="/tags/devops">DevOps</a></div></div></div>
2023/9/1 14:07作者王宏仁https://www.ithome.com.tw/voice/158543
中國駭客組織鎖定Barracuda郵件閘道漏洞攻擊政府機關、電信業者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月29日<a href="https://www.mandiant.com/resources/blog/unc4841-post-barracuda-zero-day-remediation">資安業者Mandiant揭露對於Barracuda郵件安全閘道（ESG）零時差漏洞攻擊的最新發現</a>，中國駭客組織UNC4841於去年10月至今年6月，利用CVE-2023-2868發動攻擊，並在11月上旬開始出現顯著升溫的情況，僅有農曆新年（1月20日至22日）略為下降。</p> <p>而到了5月23日Barracuda發布資安通告之後，這類攻擊行動又出現2波，第一次是在公告的數日之後，駭客重新調整攻擊的手段，第二次則是在6月上旬，攻擊者採用更多新的惡意程式，包括Skipjack、Depthcharge、Foxtrox、Foxglove等，目的是為了維持在特定受害組織持續進行活動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/barracuda-post-remediation-fig1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/barracuda-post-remediation-fig1.png" style="width: 580px;" /></a></p> <p>Skipjack主要被用於監聽特定的信件標頭及主旨，然後執行惡意內容；Depthcharge則是利用LD_PRELOAD環境參數，藉由Barracuda SMTP的Deamon處理程序載入、執行，接收加密的命令；比較值得留意的是Foxtrox與Foxglove，有別於研究人員發現的惡意程式，這兩個惡意軟體並非專門針對ESG而來，駭客可能以此攻擊其他應用系統。</p> <p><a href="https://s4.itho.me/sites/default/files/images/barracuda-post-remediation-fig4a.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/barracuda-post-remediation-fig4a.png" style="width: 580px;" /></a></p> <p>而對於這起攻擊的目標，研究人員指出近三分之一是政府機關、高科技產業及資訊業者、電信業者、製造業，而且，臺灣及香港的貿易辦公室與學術研究機構，以及東南亞國協的外交部，這些單位的網域名稱及使用者，都遭到鎖定，駭客利用Shell指令碼發動攻擊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/barracuda-post-remediation-fig13.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/barracuda-post-remediation-fig13.png" style="width: 580px;" /></a></p> </div></div></div>
2023/9/1 11:34作者周峻佑https://www.ithome.com.tw/news/158538
Google Chat與Mio結盟，以與Slack及Teams等第三方平臺互動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://workspaceupdates.googleblog.com/2023/08/goolge-chat-slack-interoperability-mio.html" target="_blank">Google本周宣布</a>，已與協作互動解決方案供應商Mio合作，讓Google Chat得以與Slack及Teams等第三方傳訊平臺互動，讓採用不同通訊平臺的使用者能夠進行跨平臺的無縫交流。目前此一服務仍為測試版，預計於明年初正式上線。</p> <p>創立於2016年的Mio原本便致力於開發跨傳訊服務的協作能力，扮演中介軟體的角色，以支援Google Chat、Microsoft Teams、Slack、Cisco Webex與Zoom等不同平臺之間的交流，在2021年的870萬美元A輪增資，更是由打造傳訊服務的Zoom與思科所主導。</p> <p><a href="https://dispatch.m.io/mio-launches-google-chat-interop-with-microsoft-teams-slack-webex-and-zoom-team-chat/" target="_blank">根據Mio的說明</a>，透過此一合作，Google Chat用戶將可保持在該平臺上，並與其他採用不同平臺的同事們私訊或進行群組聊天，亦支援檔案分享、編輯/移除訊息、表情符號、動畫檔、回應或子討論串等功能。</p> <p class="rtecenter"><img alt="" src="https://dispatch.m.io/wp-content/uploads/2023/08/Google-App-Store-p1-1-680x425.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Mio</span></span></p> <p>Mio在2019年所進行的一項調查顯示，有91%的企業使用至少2種的傳訊程式，代表跨平臺傳訊的確是個重要的企業功能。</p> <p>該服務將支援Google Workspace的各種版本，但必須另外取得Mio的服務授權。</p> </div></div></div>
2023/9/1 11:34作者陳曉莉https://www.ithome.com.tw/news/158539
AI在無人機競速比賽戰勝世界冠軍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘇黎世大學與英特爾研究人員<a href="https://www.news.uzh.ch/en/articles/media/2023/Drone-race.html">開發</a>一個人工智慧無人機操縱系統Swift，該系統在模擬環境密集訓練後，便可以在現實環境中靈活駕駛無人機，甚至在第一人稱視角無人機競賽中，勝過3名世界冠軍選手。</p> <p>人工智慧已經可以在圍棋或是電玩遊戲中勝過人類，而現在研究人員對於人工智慧技術的發展又往前邁進一步，開發了第一個可以在無人機競賽中擊敗人類冠軍的自動化系統。過去自動駕駛的無人機完成賽道的時間，是人類駕駛的2倍，除非仰賴外部追蹤系統，才能精確控制軌跡。</p> <p>而新開發的Swift系統厲害之處，便是可以仰賴機載攝影機所收集的資料，即時作出反應，就如同人類賽車手一樣，Swift系統整合了慣性測量單位測量加速度和速度，並使用人工神經網路計算相機資料，在空間中定位無人機，並同時偵測賽道閘門。</p> <p>也就是說，無人機除了可以感測自身運動狀態，透過人工智慧網路與攝影機，就可確定自己在空間中的位置和賽道上的物件。這些資訊被送往以深度神經網路技術為基礎的控制單元，即時選擇能夠盡快速完成賽道的最佳行動。</p> <p>Swift在模擬環境中，使用增強學習經過反覆試驗自學飛行，研究人員盡可能確保模擬環境的動作結果與現實世界一致，藉由利用外部位置追蹤系統提供的精確位置資訊，讓無人機在學習自主飛行時，可以比對攝影機的資料，自動糾正機載感測器解釋資料的錯誤。</p> <p>經過一個月的模擬訓練，Swift系統挑戰了2019年無人機競賽聯盟冠軍Alex Vanover、2019 MultiGP無人機競賽冠軍Thomas Bitmatta，還有獲得三次瑞士無人機競賽冠軍的Marvin Schaepper。他們在25x25公尺競賽場地中，一個由7個方形閘門組成的賽道比賽，無人機必須要按順序穿過所有閘門才算一圈，其中還必須完成Split-S這種可以快速改變飛行方向的特技動作。</p> <p>Swift系統以最快圈速完成比賽，比人類駕駛員最佳成績快半秒，但研究人員提到，目前人類操作員還是比無人機更具適應性，因為當實際條件和訓練條件不同，像是房間光線過多，無人機就會失效。</p> <p>挑戰無人機飛行速度的實際用處，研究人員提到，無人機的電池容量有限，飛得更快可以增加無人機的效用，像是在森林監測或是太空探索應用場景，快速飛行可以在有限時間覆蓋更大片的空間，而對於救援無人機也非常重要。</p> </div></div></div>
2023/9/1 12:13作者李建興https://www.ithome.com.tw/news/158541
Google雲端推出Memorystore for Redis叢集新服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google開始預覽<a href="https://cloud.google.com/blog/products/databases/memorystore-for-redis-cluster-launched">Memorystore for Redis Cluster</a>，新的Redis叢集服務提供微秒級延遲，較現有服務提供60倍以上的吞吐量，並且支援10倍以上的資料量。Memorystore for Redis Cluster是全託管服務，與開源專案完全相容，用戶可以藉由智慧節點區域分布，實現高可用性以及自動備份管理。</p> <p>用戶只需要透過Google雲端指令或是滑鼠點擊，就可以在零停機的情況下，將叢集擴展至TB等級，並達到Memorystore for Redis吞吐量的60倍。官方提到，因為他們改進Redis引擎的可擴展性，因此可以提供具差異化的Redis擴展體驗。</p> <p>Memorystore for Redis Cluster讓用戶不再需要於Compute Engine上，自行維護數十或是數百的Redis節點，也不用擔心高可用性區域分布，虛擬機器故障、Redis調校、備份管理或是擴展等繁瑣操作。由於Memorystore for Redis Cluster提供Memorystore for Redis原服務10倍以上的規模，因此用戶可以直接將較小的工作負載，整合到同一叢集中。</p> <p>Memorystore for Redis Cluster會自動跨區域分配Redis叢集節點，以實現最大的可用性和彈性，因此當用戶添加備份節點時，系統會自動將其放置在與主節點不同的區域中，以增加叢集的彈性，並保護資料不受區域中斷影響。</p> <p>同時，Memorystore for Redis Cluster還可以使用Private Service Connect（PSC），以私密安全連接確保流量不離開Google網路，而且PSC也可解決虛擬私有雲的對等限制，從任何雲端地區存取服務。</p> </div></div></div>
2023/9/1 08:16作者李建興https://www.ithome.com.tw/news/158527
中國駭客利用木馬化的Signal、Telegram應用程式散布間諜軟體BadBazaar
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者ESET揭露中國駭客組織GREF的攻擊行動，他們製作帶有間諜軟體BadBazaar的冒牌即時通訊軟體應用程式，名為FlyGram、Signal Plus Messenger，在Google Play市集、三星Galaxy Store上架，鎖定烏克蘭、波蘭、荷蘭、西班牙、葡萄牙、德國、香港、美國的Telegram及Signal使用者而來。</p> <p>而對於駭客發動攻擊的時間點，研究人員指出，駭客先是在2020年6月於Google Play市集上架FlyGram，後來Google在隔年1月將其下架，期間總共被下載超過5千次；Signal Plus Messenger則是在去年7月出現於Google Play市集，後來Google今年5月接獲ESET的通報後將其下架。</p> <p>研究人員指出，駭客也將上述兩款App上架到三星Galaxy Store，但截至8月30日，仍能從三星市集下載。</p> <p><a href="https://s4.itho.me/sites/default/files/images/badbazaar-figure-04.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/badbazaar-figure-04.png" style="width: 580px;" /></a></p> <p>除了將惡意App透過上述兩大安卓市集散布，駭客也架設專屬網站flygram[.]org、signalplus[.]org，來做為提供受害者下載的管道。</p> <p>然而，前述的3種管道之外，有鑑於BadBazaar曾被用於攻擊維吾爾族及突厥人，研究人員發現有人在2020年7月，透過超過1,300名成員的維吾爾Telegram頻道散布FlyGram。</p> <p>一旦使用者安裝了FlyGram，攻擊者就有可能取得設備的基本資訊，以及手機上的聯絡人名單、通話記錄、Google帳號等，同時也能盜取Telegram有關的部分配置資料（但不包括Telegram好友、對話內容或其他敏感資料）。然而，若是使用者透過FlyGram備份Telegram帳號，攻擊者就能得到這些資料，研究人員看到至少13,953個用戶啟用上述備份機制。</p> <p><a href="https://s4.itho.me/sites/default/files/images/badbazaar-figure-03.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/badbazaar-figure-03.jpeg" style="width: 280px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/badbazaar-figure-01-1-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/badbazaar-figure-01-1-2.png" style="width: 275px;" /></a></p> <p>若是使用者安裝了Signal Plus Messenger，攻擊者同樣能藉此取得手機資料，但有別於FlyGram的部分是，該惡意程式能監控受害者的Signal對話內容，並且竊取用於保護Signal帳號的PIN碼，以及濫用電腦版或iPad版應用程式與手機連結的功能。</p> <p><iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="602" src="https://www.youtube.com/embed/-CHGwdYEzVI" title="ESET research: Android users targeted by trojanized Signal and Telegram apps." width="339"></iframe></p> </div></div></div>
2023/8/31 23:46作者周峻佑https://www.ithome.com.tw/news/158537
駭客組織Earth Estries鎖定臺灣在內的多國政府機關、科技業者，從事網路間諜活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者趨勢科技揭露駭客組織Earth Estries的攻擊行動，該組織自今年初，開始針對臺灣、美國、德國、南非、馬來西亞、菲律賓的政府機關與科技業者下手，但也有印度、加拿大、新加坡組織受害。</p> <p>研究人員先是看到駭客成功入侵目標組織的伺服器，便利用管理者權限掌控既有的使用者帳號，然後部署Cobalt Strike來投放更多惡意程式，接著開始進行橫向移動，藉由網路資料夾共享（SMB）及WMI命令列工具（WMIC），在受害組織的其他電腦上，散布後門程式Zingdoor、HemiGate，竊資軟體TrillClient，以及其他作案工具。</p> <p>特別的是，駭客在每一輪攻擊工作當中，都會定期清除後門程式，然後在下一階段攻擊重新部署惡意程式，且將收集的資料進行歸檔，並使用curl.exe上傳至AnonFiles、File.io等檔案共用服務，駭客竊取資料的檔案類型，主要是PDF與DDF。</p> <p>根據駭客在這一波攻擊行動所使用的工具與手法來看，整體而言，研究人員認為Earth Estries背後的經營者握有高階資源，且在從事網路間諜具備複雜的技巧與豐富的經驗。而在攻擊行動所使用的戰術、技術、程序（TTP），Earth Estries與FamousSparrow存在共通之處。</p> <p>雖然這些駭客在攻擊過程，會使用多個後門程式與駭客工具來增加攻擊強度，但另一方面，他們也採取多種手法來減少行蹤曝露，像是使用PowerShell降級攻擊手法，來迴避Windows惡意軟體掃描介面（AMSI）的登入檢測機制，還有在下達命令或是竊取資料的過程裡，這些駭客濫用了GitHub、Gmail、AnonFiles、File.io等雲端服務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/earth-estries_figure01.jpg" style="width: 580px;" /></p> </div></div></div>
2023/8/31 23:38作者周峻佑https://www.ithome.com.tw/news/158536
【資安日報】8月31日，駭客組織Earth Estries從事網路間諜活動，包含臺灣在內的多國政府機關、科技業者成為目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客攻擊行動日益頻繁。幾乎每天都會出現在資安新聞當中，但今天更誇張，幾乎全部都與他們有關。這群駭客的攻擊目標從企業組織的應用系統、行動裝置應用程式、郵件安全閘道，甚至是透過社群網站來散布各式吹捧中國、批判西方國家的訊息。這樣的威脅態勢，可說是變得越來越險峻。值得留意的是，這些攻擊行動當中，大多都把臺灣視為主要目標，我們無法再置身事外。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.trendmicro.com/en_us/research/23/h/earth-estries-targets-government-tech-for-cyberespionage.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織Earth Estries鎖定臺灣在內的多國政府機關、科技業者，從事網路間諜活動</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/earth-estries_figure01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/earth-estries_figure01.jpg" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露駭客組織Earth Estries的攻擊行動，該組織自2020年開始活動，主要針對臺灣、美國、德國、南非、馬來西亞、菲律賓的政府機關與科技業者下手，但也有印度、加拿大、新加坡組織受害。</p> <p>研究人員先是看到駭客成功入侵目標組織的伺服器，便利用管理者權限掌控既有的使用者帳號，然後部署Cobalt Strike來投放更多惡意程式，接著開始進行橫向移動，藉由網路資料夾共享（SMB）及WMI命令列工具（WMIC），在受害組織的其他電腦後，散布後門程式Zingdoor、HemiGate，竊資軟體TrillClient，以及其他作案工具。</p> <p>特別的是，駭客在每一輪攻擊工作當中，都會定期清除後門程式，然後在下一階段攻擊重新部署惡意程式，且將收集的資料進行歸檔，並使用curl.exe上傳至AnonFiles、File.io等檔案共用服務，駭客竊取資料的檔案類型，主要是PDF與DDF。</p> <p><a href="http://www.welivesecurity.com/en/eset-research/badbazaar-espionage-tool-targets-android-users-trojanized-signal-telegram-apps/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客利用木馬化的Signal、Telegram應用程式散布間諜軟體BadBazaar</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/badbazaar-figure-01-1-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/badbazaar-figure-01-1-2.png" style="width: 300px; float: right;" /></a>資安業者ESET揭露中國駭客組織GREF的攻擊行動，他們製作帶有間諜軟體BadBazaar的冒牌即時通訊軟體應用程式，名為FlyGram、Signal Plus Messenger，在Google Play市集、三星Galaxy Store上架，鎖定烏克蘭、波蘭、荷蘭、西班牙、葡萄牙、德國、香港、美國的Telegram及Signal使用者而來。</p> <p>一旦使用者安裝了FlyGram，攻擊者就有可能取得設備的基本資訊，以及手機上的聯絡人名單、通話記錄、Google帳號等，同時也能盜取Telegram有關的部分配置資料（但不包括Telegram好友、對話內容或其他敏感資料）。然而，若是使用者透過FlyGram備份Telegram帳號，攻擊者就能得到這些資料，研究人員看到至少13,953個用戶啟用上述備份機制。</p> <p>若是使用者安裝了Signal Plus Messenger，攻擊者同樣能藉此取得手機資料，但有別於FlyGram的部分是，該惡意程式能監控受害者的Signal對話內容，並且竊取用於保護Signal帳號的PIN碼，以及濫用電腦版或iPad版應用程式與手機連結的功能。</p> <p><a href="https://www.mandiant.com/resources/blog/unc4841-post-barracuda-zero-day-remediation"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客組織鎖定Barracuda郵件閘道漏洞攻擊政府機關、電信業者</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/barracuda-post-remediation-fig4a.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/barracuda-post-remediation-fig4a.png" style="width: 300px; float: right;" /></a>8月29日資安業者Mandiant揭露對於Barracuda郵件安全閘道（ESG）零時差漏洞攻擊的最新發現，中國駭客組織UNC4841於去年10月至今年6月，利用CVE-2023-2868發動攻擊，並在11月上旬開始出現顯著升溫的情況，僅有農曆新年（1月20日至22日）略為下降。</p> <p>而到了5月23日Barracuda發布資安通告之後，這類攻擊行動又出現2波，第一次是在公告的數日之後，駭客重新調整攻擊的手段，第二次則是在6月上旬，攻擊者採用更多新的惡意程式，包括Skipjack、Depthcharge、Foxtrox、Foxglove等，目的是為了維持在特定受害組織持續進行活動。Skipjack主要被用於監聽特定的信件標頭及主旨，然後執行惡意內容；Depthcharge則是利用LD_PRELOAD環境參數，藉由Barracuda SMTP的Deamon處理程序載入、執行，接收加密的命令；比較值得留意的是Foxtrox與Foxglove，有別於研究人員發現的惡意程式，這兩個惡意軟體並非專門針對ESG而來，駭客可能以此攻擊其他應用系統。</p> <p>而對於這起攻擊的目標，研究人員指出近三分之一是政府機關、高科技產業及資訊業者、電信業者、製造業，而且，臺灣及香港的貿易辦公室與學術研究機構，以及東南亞國協的外交部，這些單位的網域名稱及使用者，都遭到鎖定，駭客利用Shell指令碼發動攻擊。</p> <p><a href="https://scontent.fomr1-1.fna.fbcdn.net/v/t39.8562-6/10000000_180063885098584_6098733693167598956_n.pdf?_nc_cat=110&ccb=1-7&_nc_sid=ae5e01&_nc_ohc=xfoti16XMyMAX-pqO0p&_nc_ht=scontent.fomr1-1.fna&oh=00_AfD06WIDvlYSGGZl5Qr59HvXtg3cvVeaMfm9Ehzu7PbL4g&oe=64F1F5AE"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Meta掃蕩近8千個散播垃圾訊息發送帳號，當中包含趁機刻意吹捧中國、仇視西方國家的駭客</span></strong></a></p> <p>8月28日Meta發布今年第二季的對抗威脅報告（Adversarial Threat Report），當中提及名為Spamouflage的大規模攻擊行動，駭客活躍於超過50個社群網站，包括：臉書、Instagram、抖音、YouTube、X（原推特），他們大力讚揚中國與新疆省、批判美國等西方國家的外交政策、轉載記者與研究人員對中國政府的批評。</p> <p>這些駭客主要目標是臺灣、美國、澳洲、英國、日本，以及其他使用中文的用戶，總共設置了超過7,700個臉書帳號、15個Instagram帳號來散布垃圾訊息，Meta表示，這是他們有史以來規模最大的掃蕩行動。而對於攻擊來源，該公司表示來自中國，他們找到該國執法部門人士與這起攻擊行動有關的跡象。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.vmware.com/security/advisories/VMSA-2023-0018.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">VMware修補虛擬化環境網路維運系統的身分驗證繞過漏洞</span></strong></a></p> <p>8月29日VMware針對旗下的Aria Operations for Networks（原名vRealize Network Insight）發布資安通告，指出該系統存在漏洞CVE-2023-34039、CVE-2023-20890，影響6.10以前的版本（6.11版不受影響）。</p> <p>上述漏洞最嚴重的是身分驗證繞過漏洞CVE-2023-34039，起因是該系統在驗證流程裡，使用相同的加密金鑰，攻擊者可用於繞過SSH身分驗證流程，進而存取該網路監控系統的命令列介面（CLI），CVSS風險評分為9.8。</p> <p>另一個漏洞CVE-2023-20890，與檔案任意寫入有關，攻擊者若是取得管理權限，就有機會藉此遠端執行任意程式碼（RCE），CVSS風險評為7.2分。對此，VMware針對6.2至6.10版Aria Operations for Networks，發布KB94152更新程式予以修補。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/158498"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資安院定義19類資安人才類別，首波培訓課程針對資安長而來</span></strong></a></p> <p>由於資安面向廣泛、技能需求多元，過去美國曾發布NICE網路安全人才框架，到了2022年10月，歐盟網路安全局（ENISA）亦發布ECSF網路人才技能框架，定義出資安團隊12種角色。2022年初，國家資通安全研究院開始積極行動，先從供給與需求面來調查臺灣資安人才現況；今年初接續打造適合我國的通用資安職能基準，強調以ECSF的12類人才為基礎，建構符合國需求的資安人才類別雛形。</p> <p>在8月24日舉行的研討會，資安院宣布最新的工作成果，當中揭露2023臺灣資安人才培力研究報告的藍皮書，資安院副院長林盈達表示，我國資安人才類別框架的發展，已定義「12+7」種類型，並完成政府與民間的資安課程開設調查，提出未來開課方向的建議，林盈達預告，培訓課程將從資安長的人才類別先啟動，預計最晚今年底就會開設。</p> <p>這19種資安工作的角色，包括與ECSF框架共通的12種，以及額外新增的資安系統規畫師、資安顧問師、資安專案經理、資安檢測工程師、資安系統維運員、資安監控防禦工程師、漏洞分析工程師等7種。</p> <p><a href="https://security.apple.com/blog/security-research-device-program-2024/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果開放2024年iPhone資安研究設備專案申請</span></strong></a></p> <p>8月30日蘋果宣布2024年度的iPhone安全研究設備專案（SRDP），研究人員可在10月31日前提出申請，若是通過審核，將能取得用於安全研究的專屬設備（SRD），這是停用安全功能且具備Shell存取權限的iPhone 14 Pro裝置，使得資安人員能進行更多有關的研究，如：安裝自製的核心並用來開機、在非沙箱環境以root權限執行任意程式碼、設定NVRAM參數、針對iOS 17的新功能Secure Page Table Monitor（SPTM）及Trusted Execution Monitor（TXM）部署自製韌體。</p> <p>而對於這項專案的執行成果，蘋果指出，自2019年發起至今，研究人員總共找出130個極具影響力的重大漏洞，近半年取得37個CVE編號，蘋果也為研究人員提供獎勵，最高達到50萬美元，中位數則為1.8萬美元。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://twitter.com/Shadowserver/status/1696512418036486246"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Juniper防火牆重大漏洞已出現攻擊行動</span></span></strong></a></p> <p><a href="http://blogs.juniper.net/en-us/threat-research/dreambus-botnet-resurfaces-targets-rocketmq-vulnerability"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">分散式資訊流平臺RocketMQ遭鎖定，被植入殭屍網路病毒DreamBus</span></span></strong></a></p> <p><a href="https://www.trendmicro.com/en_us/research/23/h/mmrat-carries-out-bank-fraud-via-fake-app-stores.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">安卓惡意軟體MMRat利用Protobuf通訊協定竊取資料</span></span></strong></a></p> <p><a href="https://www.deepinstinct.com/blog/contain-yourself-staying-undetected-using-the-windows-container-isolation-framework"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Windows的容器隔離框架有可能讓攻擊者繞過安全防護機制</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/158475"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">GitLab遠端呼叫元件Gitaly全面支援SHA-256</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158501">【8月30日】駭客在PDF檔案裡埋藏惡意Word文件來發動攻擊，藉此躲過資安系統偵測</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158482">【8月29日】勒索軟體LockBit製作工具外流，不到一年出現近400個變種</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158458">【8月28日】中國駭客Flax Typhoon鎖定臺灣組織而來，發動寄生攻擊</a></strong></p> </div></div></div>
2023/8/31 16:59作者周峻佑https://www.ithome.com.tw/news/158534
公務人員使用生成式AI有法可循，行政院通過所屬機關使用生成式AI參考指引
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行政院今天（8/31）通過由國科會所擬定的「行政院及所屬機關（構）使用生成式AI參考指引（草案）」，未來將由國科會持續觀察全球AI發展趨勢滾動調整。這份指引不只行政院所屬機關，也可供以外的其他機關參考，訂定自己的管理規範。</p> <p>行政院指示國科會未來持續觀察全球發展趨勢修正指引，供各機關參考，並請各部會依其業務需要，訂定使用生成式AI的規範或內控管理措施。數位部帶頭建立相關規範及訓練機制，讓政府部門運用AI提升行政效率。</p> <p>行政院長陳建仁指出，自去年ChatGPT推出之後，生成式AI可取代部分腦力，相關的應用的確非常重要，但是對個人、社會、國家安全帶來潛在的風險及衝擊，需由科技、產業發展、人才及治理等各方面積極布局，以正面因應挑戰，回應國內外社會挑戰、維持國家安全。參考指引的提出，將為各行政機關使用生成式AI建立基本原則，對生成式AI的使用有一致認知、正確使用。</p> <p>國科會表示，這份參考指引主要參依其他國家作法、AI技術發展、法制專家，以及12個部會擬定，先前參考指引草案先公布在公共政策平臺上，對外徵求各界意見進行調整，並送行政院裁定，政院通過後，後續由國科會簽核，函頒給各機關參考。</p> <p>國科會引用歐盟對生成式AI的定義，將其視為一種電腦程式，目的為學習人類製作（Human-made)的內容，其大量蒐集、學習、產生的資料，可能侵害智慧財產權、人權或業務機密，生成的內容，也因學習資料的品質、數量，導致真假難辨、虛造的訊息，需客觀評估帶來的衝擊及風險。</p> <p>國科會指出，參考指引是讓行政機關所有依循，各機關可視其業務需求，參考這份指引另訂使用規範、內控管理措施。各機關人員可使用生成式AI，但仍要抱持負責任、可信賴態度，掌握自主權、控制權，基於安全性、隱私性、資料治理及問責等原則，不可揭露未公開的公務資訊、個資，不能完全信任生成的資訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/guideline.jpg" style="width: 600px; height: 339px;" /></p> <p>參考指引適用於公營事業、公立學校、行政法人及政府捐助的財團法人，指引共計有10條，其中幾項重要的規範包括，使用生成式AI產生的內容，應由承辦人員依客觀及專業進行判斷，不可取代承辦人自主思維。機密文書應由人員親自撰寫，禁止使用生成式AI。</p> <p>另外，指引也要求承辦人員不可向生成式AI提供公務上應保密、未經個人或機關同意公開的資訊，也不能向生成式AI詢問涉及機密資料、個人資料的問題。另外，考量到生成式AI未來部署於地端的使用情境，需確認系統環境安全性，再依機密等級分級使用。</p> <p>各機關不可完全信賴生成的內容，在未經確認下，直接作為行政行為或當成公務決策的唯一依據。使用生成式AI作為業務執行的輔助工具，應適當揭露。授權各機關提出使用規範及內控措施。各機關進行採購，委託的法人、團體或個人也應注意參考指引，遵守機關訂定的內控規範。　</p> <p>除了先頒布公務機關使用生成式AI參考指引，讓公務相關人員有法可循，國科會主委吳政忠先前也透露，行政院正在規畫我國的AI基本法，為臺灣在研發及應用AI的整體規範。</p> </div></div></div>
2023/8/31 17:25作者蘇文彬https://www.ithome.com.tw/news/158533
美國著作權局針對生成式AI所衍生的版權問題徵求公眾意見
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國著作權局（U.S. Copyright Office）周三（8/30）針對生成式AI的版權問題，<a href="https://www.govinfo.gov/content/pkg/FR-2023-08-30/pdf/2023-18624.pdf" target="_blank">於《聯邦公報》（Federal Register）上發布了意見諮詢通告（Notice of Inquiry，NOI）</a>，打算蒐集公眾意見及回應，以作為制定AI版權政策與法規的參考。</p> <p>此一NOI企圖理解與生成式AI有關的各種版權問題，涵蓋以具版權的資料來訓練AI模型，使用這些版權資料應有的透明度與披露程度，AI作品的法律地位，也將討論那些模仿人類藝術家的個人特質，卻是由AI生成的作品該如何被對待。</p> <p>在OpenAI去年底以ChatGPT引爆生成式AI的話題之後，美國著作權局即於今年3月成立AI倡議（Artificial Intelligence Initiative），為的便是解決由生成式AI所衍生的複雜版權問題，迄今已舉行4場公聽會與2場網路研討會，NOI則為官方針對特定議題的意見蒐集。</p> <p>接受評論與意見的截止日為10月18日，針對這些評論/意見的回應截止日則是11月15日。</p> </div></div></div>
2023/8/31 15:48作者陳曉莉https://www.ithome.com.tw/news/158526
IEEE Spectrum年度頂尖程式語言排名Python穩坐第一
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IEEE旗艦刊物<a href="https://spectrum.ieee.org/the-top-programming-languages-2023">IEEE Spectrum公開2023年最新的頂尖程式語言（TPL）排名</a>，Python不意外地在Spectrum排名中位居第一名，並且繼續擴大領先優勢，而在工作職能需求的排名上，SQL則排名第一位。</p> <p>IEEE Spectrum 2023年頂尖程式語言排名有三個類別，分別是Spectrum、工作和趨勢。Spectrum的排名反應了典型IEEE成員對程式語言的需求，而工作類別顯示當前相關工作所需要的程式語言技能，趨勢則代表著當代特別流行或受到重視的程式語言。</p> <p>在不少程式語言排名，都可看到Python的強勢表現，頂尖程式語言排名也不例外，IEEE Spectrum官方提到，Python程式語言的主宰地位，似乎主要是犧牲較小和更專門化的語言作為代價。也就是說，Python各種強大並廣泛的函式庫，且在人工智慧領域扮演不可或缺的角色，隨著Python使用率和受歡迎程度上升，更小且具特定用途的語言使用率隨之下降。</p> <p>官方指出，雖然高階運算的摩爾定律效應正在衰退，但是低階微控制器的運算能力正逐漸提升，因此當前低價的CPU只要具有足夠的運算能力，即便執行Python需要多出直譯器的運算成本開銷，Python仍可成為嵌入式開發的競爭者。</p> <p>由於Python容易學習和資源豐富，官方提到許多兒童與青少年都以Python，當作學寫第一個程式的語言，如此之後便可使用同一語言開發更進階的程式，甚至用於工作，而這將有助於Python鞏固其地位。</p> <p>而在工作需求上SQL排名第一，但官方表示，通常沒有單純SQL程式開發者的工作，因此仍需要結合Java或是C++程式開發技能，同時也提醒，無論是第一名的SQL還是第二名的Python，在程式開發領域都尚未形成單一文化，各類C語言受歡迎程度綜合起來還是超過Python，Python直譯器在效能上仍然影響很大，對於高效能或是低資源需求的任務，仍需要C語言。</p> <p>雖然Python強勢，不過IEEE Spectrum調查也發現，有部分語言仍保有一定的優勢，不被Python龐大的生態系吸收，像是資料科學家愛用語言R，雖然Python函式庫提供了相似分析和圖形功能，但是R仍然備受歡迎。官方表示，R語言在語法和函式的特殊性，使得R腳本難以移植，所以如果要移植或是更換語言，研究人員就必須重新學習一個語言並重建所有工作，這也就是大部分研究人員繼續使用R，而非轉用其他語言的原因。</p> <p>而早期程式語言Fortran、Cobol也有同樣的情況，許多物理模擬和科學運算仍然需要Fortran程式開發者，即便是當前銀行招聘金融科技開發人員，更需要的職能是Cobol語言而非是加密專長。</p> <p>IEEE Spectrum的頂尖程式語言排名，是將多個流行指標組合在一起，反映出不同受眾的不同需求，其<a href="https://spectrum.ieee.org/top-programming-languages-methodology">參考的資料來源</a>包含Google、Stack Overflow、IEEE Xplore Digital Library、IEEE求才網站、CareerBuilder求職網站、GitHub、三一學院圖書館與Discord。</p> </div></div></div>
2023/8/31 15:57作者李建興https://www.ithome.com.tw/news/158524
Mac版Visual Studio將在明年退役
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/visualstudio/visual-studio-for-mac-retirement-announcement/" target="_blank">微軟於周三（8/30）宣布</a>，Visual Studio for Mac整合開發環境（IDE）即將退役，微軟只會支援Visual Studio for Mac 17.6到2024年的8月31日，建議使用Mac的開發者可以改用其它工具，或者是透過Mac與雲端上的虛擬機器來執行Visual Studio IDE。</p> <p>根據微軟的規畫，該公司將不會再對Visual Studio for Mac添增新的框架、Runtime或所支援的語言，但在明年8月31日之前，仍會持續提供必要的更新，諸如修補臭蟲與安全漏洞的服務更新，或者是來自蘋果的平臺更新，也會繼續更新Runtime與工作負載，以讓開發者能持續建置與遞送採用.NET 6、.NET 7及Mono框架的應用程式。</p> <p>此外，儘管是非正式的，微軟也會在Visual Studio for Mac中啟用對.NET 8的基本支援，以協助開發者建置程式及替程式除錯。</p> <p>但自明年的8月31日開始，就只有Visual Studio訂閱用戶可自my.visualstudio.com下載舊版Visual Studio for Mac，即便仍可安裝與使用，但已無任何服務或維護。</p> <p>微軟也提出了許多替代方案供Mac開發者參考，其中之一為採用C# Dev Kit、.NET MAUI 及Unity等Visual Studio Code（VS Code）的擴充套件，這些擴充套件是專為.NET及C# 開發者強化VS Code能力而設計的，雖然皆仍處於預覽階段，但其功能與體驗將會隨著正式版的問世而改善，而且它們也可直接於macOS上執行。</p> <p>此外，Mac用戶也能藉由於Mac上安裝虛擬機器，以執行Windows與Visual Studio IDE，或是透過Microsoft Dev Box雲端開發箱的虛擬機器來執行Visual Studio IDE。</p> </div></div></div>
2023/8/31 15:00作者陳曉莉https://www.ithome.com.tw/news/158523
Google推出Workspace碳足跡儀表板，能追蹤Gmail、Docs等辦公室生產力服務碳排數據
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年NEXT大會上，Google Cloud不僅推出了許多生成式AI的雲端新服務外，還宣布不少與永續發展相關的計畫，其中之一是開始支援追蹤Google生產力服務Workspace的碳排放數據，包括Gmail、Meet、Docs等，這將使得企業未來在Gmail或Google文件使用的碳排放數據將能一併追蹤和管理，以因應組織碳盤查需求。</p> <p>Google Cloud早在3年前就開始在雲端服務中提供碳足跡儀表板（Carbon Footprint）工具，當時透過這套工具，可追蹤每個帳戶的碳排放用量，使企業用戶能夠根據排放量來評估遷雲所節省的排放量，並採取相關措施，以降低碳排放。</p> <p>現在，Google Cloud進一步將這個儀表板帶進Google的Workspace生產力服務中，推出了Google Workspace碳足跡儀表板工具，進一步擴大對於產品碳足跡支援範圍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap42(3).png" style="width: 600px; height: 394px;" /></p> <p>透過這個碳足跡儀表板工具，管理者只需從主控臺便可察看Workspace服務的碳足跡和總排放量，還能進行不同年、月份分析比較，了解碳排量在不同時段的變化趨勢，此外，還能查看個別生產力工具的排放影響，包括Gmail、Meet、Docs等，讓企業可以依據排放量高低來擬定減量計畫。</p> <p>不只企業用戶可以追蹤Google的Workspace碳排數據，另一家企業辦公室應用巨頭微軟在這之前已有推出排放影響儀表板，可以追蹤其辦公室應用Microsoft 365使用的相關排放量，包含Word、Excel、PowerPoint、Outlook等服務。</p> <p>除了提供產品碳足跡之外，Google Cloud還有推出氣候變遷相關工具，例如在Google地圖平臺中釋出三個新的環境API，分別提供太陽能、花粉和空氣品質的環境數據，開發人員、企業可以使用API取得這些環境數據，然後將其運用在環境改善，降低對氣候變遷的影響。例如太陽能板安裝人員可以利用太陽能 API 獲取有關建築物日照情況的數據，來幫助他們找到適合安裝太陽能板的建築物或位置。</p> <p>另外，在Google Earth Engine地球引擎中，還新增了BigQuery資料倉儲連接器，使企業更容易地將Google Earth表格數據匯入到BigQuery服務中進行分析，了解公司營運對環境的影響，制定改善對策。</p> </div></div></div>
2023/8/31 12:24作者余至浩https://www.ithome.com.tw/news/158517
有25%的惡意程式會濫用合法網路服務，Pastebin及Telegram最受駭客青睞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有愈來愈多的駭客利用合法網路服務來展開攻擊，於合法流量中暗藏惡意行為，以削弱傳統的防禦能力，並提高攻擊行動的效率，<a href="https://go.recordedfuture.com/hubfs/reports/cta-2023-0816.pdf" target="_blank">美國資安業者Recorded Future分析</a>了全球逾400款惡意程式家族，顯示有高達25%會濫用合法網路服務，當中更有68.5%使用超過一種的合法網路服務。最常遭到濫用的雲端儲存服務為Pastebin，而最常被駭客利用的傳訊程式則是Telegram。</p> <p>研究人員指出，以合法網路服務充當駭客的命令暨控制（C2）基礎設施，好處除了閃避偵測之外，還可因簡化C2安裝程序與代管費用來減少成本，亦能依賴合法服務的可靠及穩定性，而讓駭客趨之若鶩。</p> <p>駭客以這些合法服務充當完整的C2基礎設施，有時也將它們當作取得真正C2的中繼站，或是以它們來遞送惡意負載，以及作為滲出（Exfiltration）之用。</p> <p>最常利用合法網路服務的惡意程式類別為資訊竊取程式，占了37%，其它依序是行動惡意程式（17%）、RAT/木馬程式（15%）與Loaders/Droppers（14%）。</p> <p>至於最常遭到濫用的服務類別前五名依序是雲端儲存（43%）、即時傳訊（30%）、電子郵件服務（14%）、社交媒體（13%）及程式碼儲存庫（9%）。在被濫用的雲端儲存中，居冠的是原始碼分享平臺Pastebin，占了26.4%，Google Drive以24.5%緊追其後，Dropbox也以7.5%排名第三。</p> <p>在被濫用的即時傳訊程式中，Telegram以高達66.7%的比例遙遙領先第二名的Discord（27.8%），而Firebase Cloud Messaging與Slack則各占2.8%。有趣的是，不管是利用Telegram或Discord的惡意程式，都有超過8成屬於資訊竊取程式。</p> <p>對於這些濫用合法服務展開攻擊的防禦上，Recorded Future建議組織可以考慮於企業網路中封鎖特定服務，或是調查特定服務的使用，使用包含YARA及Sigma規則的偵測類型，實施TLS網路監聽，探取主動威脅偵測，以及在攻擊模擬中加入濫用合法服務的場景等。</p> </div></div></div>
2023/8/31 12:14作者陳曉莉https://www.ithome.com.tw/news/158520
蘋果讓研究人員找出130多項iPhone重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iPhone 15公布在即，蘋果再次強調iPhone的安全性，<a href="https://security.apple.com/blog/security-research-device-program-2024/" target="_blank">昨（30）日公布過去4年來</a>，蘋果在和安全研究人員合作下，修補了iPhone超過130項重大漏洞。</p> <p>蘋果從2019年起，<a href="https://www.ithome.com.tw/news/141843" target="_blank">在安全研究裝置方案（Security Research Device Program）下提供特別準備的iPhone給參與計畫的研究人員</a>，允許他們找出iOS安全漏洞而無需苦苦繞過種種安全防護。最重要的是，在這計畫下通報的任何漏洞，都會列入蘋果安全獎勵方案給予獎金。蘋果指出，自4年前推行以來，SRDP研究人員共發現130項高影響性的重大安全漏洞，研究發現使蘋果得以實作緩解方案以保護iOS平臺。單單在過去6個月內，研究人員發現就有36項列為漏洞，受影響元件涵括XNU核心、核心擴充程式、XPC服務。</p> <p>有些在本方案找到的安全漏洞也拿到了蘋果頒發的抓漏獎勵。歷來透過SRDP，蘋果共針對100多項漏洞頒發50萬美元獎金，獎金中位數約為1.8萬美元。</p> <p>今年SRDP計畫又開始了。今年SRDP的核心主體是一為安全研究特製的iPhone 14 Pro，加上一些相關工具，供研究人員可以使用，他們可以選擇任何策略來設定或關閉iOS的進階安全防護，這些防護在平常iPhone上是不可能為一般用戶關閉的。</p> <p>在這項方案中，蘋果允許研究人員安裝和啟用核心快取、以任何權限執行任意程式碼，包括以平臺或以根權限。他們也可以設定SNVRAM變項、安裝和啟動iOS 17上的SPTM（Secure Page Table Monitor）及TXM（Trusted Execution Monitor）。而即使一些通報的漏洞已經先行修補過，參與者仍然可以在特製的iPhone上持續其研究。</p> <p>每年他們會根據過去在iPhone以外的研究成果邀請一些安全研究人員加入SRDP，寄發這些特製iPhone，也讓大學教師參與本計畫作為電腦資安教學之用。老師可申請授權，以便在課堂或實驗室使用這些iPhone。</p> <p>今年SRDP即日起接受報名至10月31日為止。<a href="https://security.apple.com/research-device" target="_blank">有意參加者可透過報名網址報名</a>，蘋果會在今年年底前審查所有提交的研究報告，並在2024年初通知優異的參賽者。</p> </div></div></div>
2023/8/31 10:54作者林妍溱https://www.ithome.com.tw/news/158514
Google推企業級Colab筆記本，強化安全與法遵功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google針對生成式人工智慧應用程式開發，<a href="https://cloud.google.com/blog/products/ai-machine-learning/vertex-ai-colab-enterprise-and-mlops">釋出諸多新工具與功能</a>，而這包含新的企業版Colab，並在全託管機器學習工具Vertex AI支援分散式運算框架Ray，同時還推出一系列MLOps功能，簡化模型調校、評估與使用。</p> <p>Google新推出企業版Colab公共預覽版，企業版Colab是一個全託管服務，除了原先Google Colab筆記本的功能之外，還添加企業級安全性和法遵支援。Google Colab是由Google研究院開發的熱門雲端Jupyter筆記本，每月活躍使用者達700萬人，Colab讓使用者可以在瀏覽器中執行Python程式碼，支援圖表、圖像、HTML與LaTeX等多元內容，並且能夠方便地在團隊中共享專案。</p> <p>企業版Colab加入Vertex AI支援，可以存取Vertex AI ePlatform上各式模型、調校工具、運算資源和機器類型，還有各種資料科學和MLOps工具。特別的是，企業版Colab有一個新的協作工作區，能夠探索、分享和預測BigQuery中的資料，官方提到，企業版Colab可以供用戶在BigQuery中啟動筆記本，以探索和準備資料，並且在Vertex AI打開同一筆記本，繼續使用專門的人工智慧基礎設施和工具工作，團隊間可透過企業版Colab高度協作，消除資料和人工智慧工作負載間的界限。</p> <p>已經支援TensorFlow、PyTorch、scikit-learn和XGBoost等諸多框架的Vertex AI，現在進一步新增Ray框架。Ray是一個開源分散式運算框架，主要用來建置、執行大規模分散式人工智慧與Python應用程式。由於Vertex AI上包括企業版Colab、訓練、預測和MLOps功能等跨工具整合，用戶可以在現有Vertex AI工作流程應用Ray框架。</p> <p>資料科學家的工作流程，可從Vertex AI目錄中選擇模型開始，選用像是Llama 2、Dolly、Falcon、Stable Diffusion等模型，並在企業版Colab中開啟，進行實驗、調整和原型設計，接著Ray框架便可充分運用運算資源，訓練生成式人工智慧模型。</p> <p>除此之外，Google也針對生成式人工智慧推出新的MLOps功能，提供跨模式調校功能，PaLM 2 Text現在能以監督式調校之外，可根據人類回饋進行增強學習的RLHF（Reinforcement Learning from Human Feedback）功能也在預覽階段。還在文生圖模型Imagen加入Style Tuning調校方法，用戶只要提供10個參照圖像，Imagen就能創建符合品牌形象的圖像。</p> <p>另外，用戶也可以透過自訂義指標，來評估模型的品質，以利後續迭代與改進，而Automatic Side by Side功能，則是運用大型模型評估正在測試的模型輸出，以擴大人類評估的規模。Google更在多個儲存服務中添加向量支援，使開發者可以更簡單地操作嵌入，強化人工智慧應用。</p> </div></div></div>
2023/8/31 08:33作者李建興https://www.ithome.com.tw/news/158502
直播平臺17Live指控綠界科技金流系統出現漏洞，導致他們面臨大量欠款，因而要求綠界還錢，目前雙方各執一詞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>線上支付業者綠界科技於8月29日於股市公開觀測站發布重大訊息，針對直播平臺17Live聲稱他們的支付平臺出現漏洞，導致該直播平臺用戶交易資料出現被竄改的情況做出說明，指出起因是17Live在7月25日詢問撥款事宜，他們當天確認後緊急調整程式邏輯判斷因應，兩家公司共同決定報請警察單位協助調查，綠界強調程此式邏輯瑕疵，非屬綠界核心系統，為單一個案、未影響其他會員之權益，綠界判斷這非屬重大資安事件。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ecpay-17live_20230830.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ecpay-17live_20230830.png" style="width: 580px;" /></a></p> <p>根據綠界發布的重大訊息，他們並未正面說明支付平臺是否存在漏洞，僅承認程式邏輯出現瑕疵，並強調因為非屬公司核心系統、僅有個案為由，聲稱本起事件並非重大資安事件。</p> <p>對此，17Live指控這份重大訊息的說明並非事實，該公司指出此支付系統去年5月就出現異常，綠界當時就察覺，直到他們在今年7月察覺前月帳款有誤並要求對帳，才發現數個月都出現短收的情況，累計金額超過1千萬元，光是異常交易就超過400筆，而非綠界所說的單一個案。</p> <p>此外，他們也與綠界多次協商，綠界都告知該公司是駭客入侵竄改資料，強調他們沒有責任，這樣的說法也與重大訊息提到的程式邏輯瑕疵不同。17Live認為，綠界事發後迴避契約的責任，不願支付超過千萬元的帳款，他們將提起訴訟，要求綠界履約。</p> </div></div></div>
2023/8/30 23:45作者周峻佑https://www.ithome.com.tw/news/158504
BTC建議：整合FHIR標準、成立國家級中心來推動生醫大數據資料治理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年度行政院生技產業策略諮議委員（BTC）會議今日（8/30）閉幕，BTC委員楊泮池代表BTC總結5大領域建議，比如在智慧醫療和醫療IT系統領域，政府應跨部會推動醫療體系的HIS和FHIR標準整合，而衛福部展開的次世代數位醫療平臺計畫，應衡量是否符合「次世代」和「公私協力」兩大原則。BTC也針對生醫大數據領域，建議政府成立國家級健康資料研究中心，來完備健康資料治理和應用研發，特別是推動資料互通性和可用性。</p> <p><span style="font-size:22px;"><strong>智慧醫療建議：商品應重跨院／跨國驗證，次世代HIS政策應符合次世代和PPP原則</strong></span></p> <p>BTC有如國家智庫，他們提出的建議，常成為政府各部會推動新政策的重要參考。這次，BTC提出的建議涵蓋5大領域，包括智慧醫療與醫療資訊系統、生醫大數據／生成式AI、給付獎勵、國際鏈結和產業基本面等。</p> <p>就智慧醫療與醫療IT系統來說，BTC委員楊泮池指出，委員會認為，智慧醫療的產業發展，不只要從教育、產學合作、跨域組國家隊等面向著手，也要瞄準媒和機制、智慧醫材（SaMD）取證，甚至是智慧醫材納入健保和商業保險等領域，來推動智慧醫療產業發展。</p> <p>而且，智慧醫療商品也要重視以醫療大數據為基礎的醫療AI服務，以及以人為本的創新產品。這些智慧醫療服務和產品，得經過跨院或跨國驗證，來提高適用性。</p> <p>就智慧醫療與醫療IT系統的基本盤而言，BTC建議，政府應要有跨部會的合作機制，來推動醫療體系的醫療資訊系統（HIS）和國際醫療資料交換標準FHIR的整合，如此才有利於智慧醫療產業進展。</p> <p>再來，衛福部針對去年BTC提出的次世代醫療資訊系統，已有初步規畫，但BTC建議，衛福部接下來應衡量，計畫執行是否符合「次世代」與「公私協力（PPP）」這兩大原則，以避免預算過度投資於特定醫院的硬體設備。</p> <p><span style="font-size:22px;"><strong>生醫大數據建議：成立國家級中心來推動資料治理</strong></span></p> <p>不只如此，生醫大數據是發展智慧醫療的重要元素，BTC也給出資料治理建議。進一步來說，自2010年通過《人體生物資料管理條例》後，許多人體生物資料庫（Biobank）相繼出現，至2021年，就有35家機構成立衛福部核准的人體生物資料庫。為將這些資料整合在同一平臺上，2018年，行政院政委吳政忠推動國家級人體生物資料庫整合平臺建置計畫，隔年平臺正式成立，由國衛院執行。</p> <p>這些資料是推進智慧醫療發展的重要資產。但如何合法合規運用，BTC建議，政府應儘速修正《人體生物資料庫管理條例》，並建立獨立的監理機制，來讓健康資料合法合規二次利用和商化應用。</p> <p>此外，BTC也建議政府成立國家級健康資料研究中心（Health Data Research Center, HDRC），來完備健康資料治理和相關應用的研發。也就是說，這個中心負責推動資料互通性和可用性，來確保現在和未來的科技計畫資料互通機制，包括中研院、衛福部、經濟部、國科會等單位蒐集的生醫數據和各醫學中心EMR資料能互通、可用，而後續產生的新資料，也要能匯入這個新成立的國家級健康資料研究中心。</p> <p>與此同時，楊泮池點出，政府也應建立嚴謹的資料保護制度，來保護民眾的醫療資訊隱私。</p> <p>與醫療大數據息息相關，隨著生成式AI百花齊放，BTC也建議，政府應為生醫產業，建立生成式AI應用的教育機制，來推動更廣泛的生成式AI應用。</p> <p><span style="font-size:22px;"><strong>給付建議：提出健保以外的預算來支持產業發展</strong></span></p> <p>智慧醫療發展還有賴於充足的金流，針對去年BTC提出的健保沙盒、暫時性健保支付和新藥基金等建議，衛福部已有完整規畫，但今年BTC認為，產業進入市場仍缺最後一哩路，因此建議，政府應參考OECD國家，將醫療保健支付占GDP的比重提升至8%以上。另一個建議是，提供健保以外的預算，來支持新藥基金和健保沙盒發展。同樣地，BTC今年也建議政府，協助國內研發製造具外銷實力的新藥、優質學名藥、創新醫療器材，並且優先納入健保，給予健保從優核價。</p> <p>不過，BTC也點出，不只靠健保，商業保險也可用來支持創新醫材等產品發展，來補足健保。</p> <p>另一方面，國際市場鏈結是科技發展的重要目標之一，如何將國產智慧醫療、新藥等商品銷往海外，BTC也建議以臺灣做為首發市場，健全場域驗證、輔導取證、落地應用和市場准入等各流程機制，也可配合新南向政策，來拓展市場。</p> <p>另一項國際鏈結建議是，成立國際大數據公司，也就是政府鼓勵具有合法合規人體生物資料，以及去識別化醫療健康資料的單位，來成立兼具公益與營利的全球性健康大數據公司。</p> <p><span style="font-size:22px;"><strong>產業基盤建議：持續鼓勵創新醫材和數位醫療研製</strong></span></p> <p>最後，BTC也針對產業基本面給予不少建議，比如政府應鼓勵研發、製造並重，並支持創新創業和策略性投資，包含新藥、創新醫療器材、創新生物製造和數位醫療等領域。他們也建議，政府可參考美國國防產業DARPA經驗，來研究補助突破性生醫和健康解決方案發展的ARPA-H機制。</p> <p>BTC建議之完整簡報<a href="https://drive.google.com/file/d/1QysF5g8ENcQPvmJ1tYXEDTNb8dSz94vb/view">於此</a>。</p> </div></div></div>
2023/8/30 18:38作者王若樸https://www.ithome.com.tw/news/158503
【資安日報】8月30日，駭客在PDF檔案裡埋藏惡意Word文件來發動攻擊，藉此躲過資安系統偵測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>迴避資安系統偵測的網路威脅滲透方式千變萬化，過去曾出現運用兩種以上檔案格式／多型態（Polyglot）檔案來散布惡意程式的手法，最近類似的攻擊行動再度出現。例如，日本電腦網路危機處理暨協調中心（JPCERT/CC）揭露的攻擊手法MalDoc in PDF，駭客製作同時擁有PDF及DOC檔案特徵的惡意文件，企圖混淆網路威脅偵測技術的判斷，研究人員指出，大部分防毒軟體會將這類內容視為PDF檔案進行解析，而無法察覺駭客在Word檔案埋藏的惡意巨集。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blogs.jpcert.or.jp/en/2023/08/maldocinpdf.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為了繞過資安系統制式的檔案格式偵測，駭客在PDF檔案埋藏惡意Word文件，有可能造成嚴重威脅</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/maldocpdf-fig3-640wri.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/maldocpdf-fig3-640wri.png" style="width: 300px; float: right;" /></a>日本電腦網路危機處理暨協調中心（JPCERT/CC）揭露名為MalDoc in PDF的新型態攻擊手法，駭客製作多型態（Polyglot）的惡意文件檔案，大多數的防毒引擎因為檔案的標頭，會將其當作PDF檔案進行分析，但電腦會將其視為Word檔案（.DOC），以對應的辦公室文書處理軟體開啟。</p> <p>在研究人員看到的檔案當中，駭客在PDF檔案挾帶MHT檔案，此檔由Word產生、本身帶有巨集，而具備可程式化運作特性，而可能被置入惡意程式碼。一旦使用者透過微軟Office軟體開啟這類混合文件，電腦可能會依照巨集指令內容去下載非法MSI安裝檔案，並部署惡意程式。</p> <p>研究人員透過PDF解析工具pdfid檢查，結果顯示此為無害的PDF檔案，直到他們換用另一款名為OLEVBA程式進行分析，才能識別當中的惡意內容。對此研究人員認為，企業組織應該採用多層次資安內容防禦機制來因應此類威脅。</p> <p><a href="http://twitter.com/SophosXOps/status/1695143572272738790"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">鎖定Citrix NetScaler的重大漏洞攻擊行動，攻擊者身分很可能與勒索軟體有關</span></strong></a></p> <p>Citrix於7月下旬修補已被用於攻擊行動的NetScaler ADC、NetScaler Gateway重大漏洞CVE-2023-3519（CVSS風險評分為9.8），有研究人員找到新的證據，認為發動攻擊的駭客可能與另一起攻擊事件有關。</p> <p>根據資安業者Sophos的調查，發動攻擊的駭客組織STAC4663，在成功入侵NetScaler主機後，往往會將惡意酬載注入wuauclt.exe、wmiprvse.exe，並利用網站代管服務BlueVPS代管惡意程式，過程裡駭客亦使用具備高度混淆的PowerShell指令碼。研究人員指出，他們在今年夏天初期，看到具有類似特徵或手法（TTP）的攻擊行動，駭客雖然未利用上述Citrix漏洞，但其多種行為，像是網域探索、採用BlueVPS代管、不尋常的PowerShell指令碼，以及濫用PuTTY Secure Copy（PSCP）的手法，都相當雷同。</p> <p>研究人員指出，這2起攻擊行動很有可能與駭客組織FIN8有所關聯，再加上這些駭客專門從事勒索軟體攻擊，他們推測，上述2起攻擊最終的目的可能也與散布勒索軟體有關。</p> <p><a href="https://www.reliaquest.com/blog/the-3-malware-loaders-behind-80-of-incidents/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">QBot、SocGholish、Raspberry Robin是駭客偏好用來投放惡意程式的作案工具</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Malware-loader1-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Malware-loader1-1.png" style="width: 300px; float: right;" /></a>資安業者ReliaQuest指出，他們針對駭客利用惡意程式載入工具（Malware Loader）的態勢進行調查，結果發現，從今年1月至7月，最多駭客使用的載入工具為QBot、SocGholish、Raspberry Robin，從所有利用此種工具的攻擊行動來看，使用上述3種工具的占比，分別是30%、27%、23%。</p> <p>不過，其他幾款惡意程式，如：Gootloader、Guloader、Chromeloader、Ursnif，所帶來的威脅也相當值得留意。</p> <p><a href="https://www.cna.com.tw/news/afe/202308290402.aspx"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">直播平臺17Live指控綠界科技金流系統出現漏洞，導致他們面臨大量欠款，因而要求綠界還錢，目前雙方各執一詞</span></strong></a></p> <p>線上支付業者綠界科技於8月29日於股市公開觀測站發布重大訊息，針對直播平臺17Live聲稱他們的支付平臺出現漏洞，導致該直播平臺用戶交易資料出現被竄改的情況做出說明，指出起因是17Live在7月25日詢問撥款事宜，他們當天確認後緊急調整程式邏輯判斷因應，兩家公司共同決定報請警察單位協助調查，綠界強調程此式邏輯瑕疵，非屬綠界核心系統，為單一個案、未影響其他會員之權益，綠界判斷這非屬重大資安事件。</p> <p>對此，17Live指控這份重大訊息的說明並非事實，該公司指出此支付系統去年5月就出現異常，導致面臨大量欠款，要求綠界根據契約返還超過1千萬元的差額，而非綠界所說的單一個案。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.secureworks.com/research/power-platform-privilege-escalation"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露利用Microsoft Entra ID提升權限的手法</span></strong></a></p> <p>資安業者Secureworks揭露透過Microsoft Entra ID（原名Azure Active Directory）來提升權限的攻擊手法，攻擊者可藉由已棄用的回覆URL（亦稱重新導向URI），將授權碼重新導向給自己，進而用來獲得存取權限的Token，再利用中間層服務Power Platform的API，達到提升權限的目的。研究人員於4月5日通報，微軟隔日發布更新程式予以修補。</p> <p>而對於發現上述漏洞的原因，研究人員指出，他們在已棄用的Dynamics Data整合應用程式裡，發現與Azure Traffic Manager設定檔有關的回覆URL，而且能夠透過中間層服務呼叫Power Platform的API，竄改環境組態。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.fbi.gov/news/stories/fbi-partners-dismantle-qakbot-infrastructure-in-multinational-cyber-takedown"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國帶頭進行Duck Hunt執法行動，清除70萬臺電腦的惡意程式QBot，扣押860萬美元不法獲利</span></strong></a></p> <p>8月29日美國聯邦調查局（FBI）與司法部（DOJ）宣布，他們與法國、德國、荷蘭、羅馬尼亞、拉脫維亞、英國合作進行執法行動Duck Hunt，破壞由70萬臺電腦組成的殭屍網路QBot（其中逾20萬臺在美國），他們重新將殭屍網路的流量導向FBI控制的伺服器，並派送能移除QBot的程式。</p> <p>由於QBot最近幾年被駭客用於散布Conti、ProLock、Egregor、REvil、MegaCortex、Black Basta等多種勒索軟體，FBI局長Christopher Wray認為，這次執法行動能有效重挫網路犯罪的供應鏈。司法部指出，從2021年10月至今年4月，QBot背後的駭客不法所得，約為5,800萬美元，他們也扣押了860萬美元的加密貨幣。</p> <p><a href="https://techcommunity.microsoft.com/t5/exchange-team-blog/coming-soon-enabling-extended-protection-on-exchange-server-by/ba-p/3911849"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟將於今年秋季預設啟用Exchange Server的延伸防護機制</span></strong></a></p> <p>8月28日微軟宣布，他們計畫將在今年秋季推出的Exchange Server 2019更新2023 H2（即CU14）當中，將原本提供Windows的延伸防護（Extended Protection，EP）機制，在Exchange伺服器上成為預設啟用的功能。</p> <p>這項防護機制原本是為了強化Windows Server既有的身分驗證功能，目的是減緩中間人（MitM）攻擊的威脅，微軟在去年8月提供給Exchange Server 2013以上版本，IT人員可手動啟用，而微軟現在打算將其變成預設開啟的功能，只是這項措施僅有尚在主流支援階段的2019版提供，2013、2016版伺服器在部署2022年8月更新後，也具備這項功能，只是必須手動開啟。</p> <p>值得留意的是，無論上述那個版本的Exchange Server，只要尚未部署去年8月的更新程式，就有可能無法與已啟用EP的郵件伺服器正常進行通訊。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.404media.co/hackers-find-your-skype-ip-address-microsoft-wont-fix/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">攻擊者對於行動裝置版Skype發送URL，有機會得到用戶裝置的IP位址</span></span></strong></a></p> <p><a href="https://www.akamai.com/blog/security-research/updated-kmsdbot-binary-targeting-iot"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">鎖定物聯網裝置的殭屍網路KmsdBot擴大攻擊範圍，掃描Telnet連線</span></span></strong></a></p> <p><a href="https://www.securityweek.com/meta-fights-sprawling-chinese-spamouflage-operation/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Meta對抗中國駭客的Spamouflage攻擊行動</span></span></strong></a></p> <p><a href="https://www.vmware.com/security/advisories/VMSA-2023-0018.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">VMware修補網路監控系統的SSH身分驗證繞過漏洞</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/university-of-michigan-shuts-down-network-after-cyberattack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國密西根大學遭遇網路攻擊，部分服務被迫中斷</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158482">【8月29日】勒索軟體LockBit製作工具外流，不到一年出現近400個變種</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158458">【8月28日】中國駭客Flax Typhoon鎖定臺灣組織而來，發動寄生攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158448">【8月25日】北韓駭客Lazarus鎖定歐洲、美國組織，利用Zoho ManageEngine服務臺系統漏洞發動攻擊</a></strong></p> </div></div></div>
2023/8/30 17:28作者周峻佑https://www.ithome.com.tw/news/158501
FBI瓦解由70萬臺受駭電腦組成的Qakbot殭屍網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.fbi.gov/news/stories/fbi-partners-dismantle-qakbot-infrastructure-in-multinational-cyber-takedown" target="_blank">美國聯邦調查局</a>（FBI）及<a href="https://www.justice.gov/opa/pr/qakbot-malware-disrupted-international-cyber-takedown" target="_blank">司法部（DOJ）</a>周二（8/29）宣布，已與多個國家聯手，共同瓦解了由全球70萬部受駭電腦組成的Qakbot殭屍網路，另也扣押了價值約860萬美元的加密貨幣不法所得。</p> <p>Qakbot現身於2007年，初期只是個金融木馬程式，主要是竊取受害者的金融憑證與其它財務資訊，之後的變種發展出類似蠕蟲的能力，還能用來下載其它惡意程式，以記錄使用者的鍵盤輸入、建立系統後門，或是植入勒索軟體，並具備躲避偵測及避免反向分析的功能。</p> <p>Qakbot主要是藉由於垃圾郵件中夾帶惡意附加檔案或連結來散布，使用者一旦開啟檔案或點選連結，它便會傳送其它的惡意程式，而受駭電腦也會立刻成為殭屍網路的成員，允許駭客自遠端操控。</p> <p>FBI局長Christopher Wray指出，他們徹底掃蕩與Qakbot有關的大規模犯罪供應鏈，而事實上，最近幾年曾利用Qakbot的勒索軟體便涵蓋了Conti、ProLock、Egregor、REvil、MegaCortex與Black Basta，受害者除了個人之外，也包含一般企業、健康照護供應商，以及政府機關。</p> <p>在70萬臺感染Qakbot的受駭電腦中，有超過20萬臺位於美國。此次與美國聯手的國家則有法國、德國、紐西蘭、羅馬尼亞、拉脫維亞與英國。</p> <p>各國執法機關瓦解Qakbot的方式，是將Qakbot的流量移轉到由FBI所控制的伺服器上，並指示受駭電腦下載一個反安裝檔案，以於電腦上移除Qakbot。值得注意的是，該反安裝檔案只能移除Qakbot，並不能移除其它已被安裝在受駭電腦上的惡意程式。</p> <p>由於受害者多半不知道自己感染了Qakbot，DOJ建議使用者可透過<a href="https://haveibeenpwned.com/" target="_blank">Have I Been Pwned</a>或<a href="https://www.politie.nl/en/information/checkyourhack.html" target="_blank">荷蘭警方所設立的網站</a>來查詢。</p> </div></div></div>
2023/8/30 15:09作者陳曉莉https://www.ithome.com.tw/news/158499
Google AlloyDB資料庫服務新增嵌入支援可強化生成式AI應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google相容於PostgreSQL的資料庫服務AlloyDB，加入人工智慧新功能AlloyDB AI，透過內建向量嵌入端到端支援，使得企業可以更簡單地在大型語言模型中應用即時營運資料，建立高效能且可擴展的人工智慧應用程式。</p> <p>AlloyDB是Google針對高可擴展企業資料庫工作負載需求，所開發相容於PostgreSQL的資料庫服務，具有Google雲端基礎設施的優點，可橫向擴展運算與儲存，並支援AI/ML功能。AlloyDB處理交易工作負載的速度是標準PostgreSQL的4倍，分析性查詢的速度更是PostgreSQL的100倍。</p> <p>而現在AlloyDB也能夠支援生成式人工智慧應用，AlloyDB AI允許用戶使用簡單的SQL函式，在資料庫內生成向量嵌入，並且以標準PostgreSQL資料庫10倍的速度執行向量查詢。這項功能可以擴展大型語言模型的能力，提供準確且新穎的資訊。</p> <p>AlloyDB AI讓用戶能以簡單的PostgreSQL函式，對資料生成嵌入，官方強調，只需要一行SQL語法，便可以存取Google的嵌入模型，諸如資料庫內的嵌入生成模型，或是Vertex AI的各種遠端模型。這些模型可自動對資料列創建嵌入，或是即時生成嵌入回應用戶輸入。</p> <p>Google解釋，因為企業資料庫擁有最新來自用戶和應用程式的資料，透過像是RAG（Retrieval Augmented Generation）這類技術，可以將資料庫的即時資料帶入大型語言模型中，提高準確性並增加回應內容的豐富度，且也能夠針對終端使用者進行客製，同時，讓用戶根據語義相關性檢索資訊。</p> <p>因此資料庫支援嵌入，便可以作為大型語言模型與人工智慧應用的橋樑，供RAG工作流程運用嵌入查詢、過濾和表達相關資料，強化大型語言模型的提示語，另外，支援嵌入還可以強化即時產品推薦等體驗，允許用戶查詢最相關的項目。</p> <p>AlloyDB AI新功能現在已經在本地端版本AlloyDB Omni中預覽，而Google會在今年稍晚，在AlloyDB託管服務推出嵌入支援。</p> </div></div></div>
2023/8/30 15:51作者李建興https://www.ithome.com.tw/news/158500
臺灣通用資安人才類別定案，共12+7類別，資安長培訓課程將率先在12月底前啟動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應資安人才不足，建立人才職能框架，以利培訓課程與證照檢驗，是全球與臺灣都關注的議題。</p> <p>由於資安面向廣泛、技能需求多元，過去美國曾發布NICE網路安全人才框架，定義7大類別、33個專業領域，以及52個工作角色，到了2022年10月，歐盟網路安全局（ENISA）亦發布ECSF網路人才技能框架，定義出資安團隊12種角色。</p> <p>在臺灣，為了克服資安人才需求缺口持續擴大的挑戰，2022年初，國家資通安全研究院（資安院）開始積極行動，先從供給與需求面來調查我國資安人才現況，分析資安人才職缺情形；今年初接續打造適合我國的通用資安職能基準，強調以ECSF的12類人才為基礎，建構符合國需求的資安人才類別雛形。在我們今年3月開始進行<a href="https://www.ithome.com.tw/news/156621">這方面的報導</a>時，也已經提到這麼做的重要性。</p> <p>最近終於有重要的實質進展，因為在8月24日資安院舉行的研討會，宣布最新的工作成果，當中揭露2023臺灣資安人才培力研究報告的藍皮書，副院長林盈達表示，我國資安人才類別框架的發展，已定義「12+7」種類型，並完成政府與民間的資安課程開設調查，提出未來開課方向的建議，他預告，培訓課程將從資安長的人才類別先啟動，預計最晚今年底就會開設。</p> <p>之後明年，還將公布資安事件工程師的課程，也就是要幫助國內，培訓更多的安全維運中心（SOC）的第一線人員，甚至第二線的人員。</p> <h2><strong>將我國資安人才類型分為19種，廣泛企業皆可參考</strong></h2> <p>符合我國產業特色的19項資安工作角色有哪些？</p> <p>資安院人才培力中心主任鄭瑋表示，我們人才類型框架的規畫，主要依據先前技服中心提出資安人才類型層面，以策略類、管理類、技術類為基礎，參考美國、歐洲的作法，並納入國內產業長年存在一人身兼多職的情形，因此不用美國NICE框架的52種人才類別，而是設法與類別較簡易的歐洲ENISA ECSF框架進行介接，也就是以12種人才類別為主。</p> <p>不僅如此，他們也考量臺灣的國情與地緣政治因素，需要更多投入保護與防禦的人才，以及希望反映更多資安產業需求的工作角色，因此進一步擴充而增設了7大人才類別。</p> <p>具體而言，我國這19項資安工作角色，包括：</p> <p>● 與ECSF框架共通的12種：資安長、資安架構師、資安風險管理師、資安法遵師、資安稽核師、資安教育員、資安研究員、資安產品開發工程師、滲透測試工程師、資安事件工程師、威脅分析工程師，以及資安鑑識工程師。</p> <p>● 額外新增的7種：資安系統規畫師、資安顧問師、資安專案經理、資安檢測工程師、資安系統維運員、資安監控防禦工程師、漏洞分析工程師。</p> <p>這份藍皮書中，特別說明這樣的19種資安人才類別產出，並不代表一個組織同時需要那麼多元的工作角色，主要目的是讓組織在拓展資安業務時，能夠提供設立這些工作職務上的建議。</p> <p>實務上，有可能一人負責多種的工作職務，而且，有些是產業資安專屬職務，有些是資安產業專屬職務。例如，這裡設計的資安顧問師、資安專案經理、資安研究員，以及資安產品開發工程師，就是針對「資安產業」的獨有職務。</p> <p>還有一個需要注意的不同之處，鄭瑋表示，ECSF將資安開發跟維運工程師歸在同一類，因此資安院將之拆解為資安產品開發工程師，以及資安系統規畫師。</p> <p>總體而言，這19種人才類別，主要是參考國內外資源，同時顧及我國現況與通用性所制訂，希望重新調整資安人才類別的精細程度，瞭解資安職業職務涵蓋範圍，建立產業人才能力規格的職能基準。</p> <p>畢竟，過去我國勞動部勞動力發展署定義的職能基準，與資安相關的僅有4種，不僅未對不同職務內容予以細分，而且光是資安工程師一職，幾乎就囊括所有資安相關職務。</p> <p>如今有了更細膩畫分，等於建構出我國資安人才培訓、用才時的基礎，不只是可用於精準盤點人力資源，釐清人力的流向與缺口，也能便於推動後續的課程規畫。</p> <p>至於近年國內也有單位投入研究，發展針對政府機關、金融產業，以及新興資安產業的資安職務職能框架，但這些主要是領域專屬，非普遍通用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E5%9C%8B%E5%AE%B6%E8%B3%87%E9%80%9A%E5%AE%89%E5%85%A8%E7%A0%94%E7%A9%B6%E9%99%A2%E5%89%AF%E9%99%A2%E9%95%B7%E6%9E%97%E7%9B%88%E9%81%94.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(0, 153, 255);">國家資通安全研究院副院長林盈達表示，我國資安人才類別框架已有重要進展，提出適合我國產業的19類人才，而對應這些人才的培訓課程也在陸續規畫中，預計優先從資安長的人才類別啟動，最晚今年底就會開課，對於後續培訓面與證照面的發展，也持續邀集各方專家提供規畫上的建議。</span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E8%B3%87%E5%AE%89%E9%99%A2%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E5%9F%B9%E5%8A%9B%E7%A0%94%E7%A9%B6%E5%A0%B1%E5%91%8A%E8%97%8D%E7%9A%AE%E6%9B%B8_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(0, 153, 255);">國家資通安全研究院人才培力中心主任鄭瑋表示，我國資安人才類別框架已畫分出19類，主要以歐盟ENISA ECSF的12種人才類型為主，並顧及我國現況與通用性額外增加7種。另外，資安院也依據美國NICE框架的7大類別，將不同人才類型歸類，幫助外界瞭解這些人才類型的性質與定位。</span></p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖1）臺灣通用資安人才類別框架定案，共12%2B7類別.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%961%EF%BC%89%E8%87%BA%E7%81%A3%E9%80%9A%E7%94%A8%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E9%A1%9E%E5%88%A5%E6%A1%86%E6%9E%B6%E5%AE%9A%E6%A1%88%EF%BC%8C%E5%85%B112%2B7%E9%A1%9E%E5%88%A5.jpg" style="width: 600px;" /></a></p> <h2><strong>未來要擴大培訓課程，需積極推動種子教師培育</strong></h2> <p>完成定義我國資安人才類型後，將接續盤點所需技能與知識，訂定課綱和教材，來幫助國內培育最需要的資安人才。</p> <p>面對19種資安人才的培訓，推動優先順序成為關注焦點。</p> <p>現階段，由於近年金管會已要求上市櫃公司設置資安長，這些資安長該具備哪些職能與知識，以及如何與董事會與業務單位溝通，成為當今最受臺灣各界關注的部分。</p> <p>而從資安院人培中心2022年職缺調查結果來看，儘管臺灣對於維運型人才的需求最迫切，但考量國內市場「一人多工」的實務情形，我們不能只是培育維運人員需具備單一職能，也要擴及保護與防禦、安全交付的資安職能，才能對業界資安防護帶來更大助益。</p> <p>因此，目前根據資安院的規畫，今年12月底會先啟動資安長的培訓課程，明年再啟動資安事件工程師的培訓課程。</p> <p>對於我國在職培訓資安課程現況，鄭瑋表示，資安院人培中心在2022年9月進行相關調查，最後以15間開課單位，205堂培訓課程來觀察，以釐清課程與職能的對應關係。</p> <p>當中有哪些特殊發現？2022年職缺類型數量最多的，是運營與維護類型人才，但這方面的開課數量並非最多，只有37門，安全交付的職缺也不少，這方面的課程開設數量只有3門，相當稀缺。</p> <p>若依照我國資安人才類別來看，目前開課數量前三名，分別是：資安監控防禦工程師、資安系統維護員（學習資安業務運作與設備控管）、漏洞分析工程師。至於推動企業資安治理的資安長，以及資安事件回應能力的資安事件工程師，居於第四、第五。</p> <p>再與我國職缺需求等相互對照來考量，未來在開課的規畫上，除了資安長的課程，民間企業與組織的維運課程仍須持續開設，同時也考慮於維運課程加入防禦與安全交付方面的訓練，因為這將有助於第一線人員技術面的強化，對職涯多發展性也有幫助。</p> <p>整體而言，對於資安院所要推動的未來開課策略，鄭瑋指出下列三大重點。</p> <p>首先，需發展適合個資安人才類別的培訓。她強調要以一綱多本為發展，由資安院訂定職能課綱，並要與公家與民間訓練機構合作開發教材。</p> <p>第二，可以建立訓練機構與講師遴選機制。然而，這方面將遇到開課量能的挑戰。早年我國重視「拔尖」，也就是培養頂尖資安人才，如今重視普及的人才，需要培養更多具備實務經驗的資安人才，然而從過去開設培訓中心狀況來看，若每年只能開三個培訓班，頂多培育150人，無法滿足現在資安人才需求急遽擴大，所以，我們需要更彈性且量能可擴大的方式，並透過建立訓練機構跟講師遴選，顧及教學品質。</p> <p>第三，推動種子教師培育規畫。這樣才有機會持續擴大培訓講師的能力與數量，以滿足各個資安類型領域專長，與不斷增長的培訓需求。</p> <p>特別的是，根據藍皮書中的調查分析，針對19類人才類型而言，我們可以具體看到國內目前的開課單位與相關機構，如資安院、工業技術研究院、ACW資安網路學院、台灣金融研訓院、國家高速網路中心、安碁學苑、中華民國資訊軟體協會的CISA數位轉型大學，以及資展國際（iSpan）。</p> <p>換言之，除了建立訓練的組織機構，以及講師遴選制度，這些機構也都可能是培訓我國19類資安人才的重要支柱，但如何協助擴大講師與課程，需要多方合作。畢竟，有些人才類型需求最急迫，應有更多機構開設對應課程，有些人才類型更是無法對應到培訓課程。</p> <h2><strong>資安證照也是不可或缺的一環，目前已有初步進展</strong></h2> <p>最後一個部分是資安人才證照，目前資安院人培中心在這方面的研究分析，尚處於早期階段，僅針對資安署公告的104張資安證照作分類，並試著將19種資安人才類別所需證照，作出歸類，給予工作類別與職能上證照考取的建議。</p> <p>對於資安證照課程的開課單位，他們亦進行盤點，目前已知的機構，包含：恆逸教育訓練中心、全智網科技、中華民國電腦稽核協會、工研院產業學院、CISA數位轉型大學、緯育Tiba Me、領導力企管、巨匠電腦、資展國際、中華資安國際、台灣金融研訓院、國際商貿文化交流基金會等。</p> <p>還有幾項資安證照方面的議題，也是資安院關注重點。例如，考取國際資安證照的費用相當昂貴，如何用國內證照部分或完全替代國際證照體系，也成為關鍵議題，像是，近幾年來，經濟部推出iPAS資訊安全工程師中級或初級認證；此外，國際證照體系可能有供需缺口，如OSCP提供滲透測試實踐的認證，但這裡主要是培養紅隊技能，是否也能讓這些人員取得藍隊技能的證照，進而厚植人才基礎。</p> <p>整體而言，隨著我國資安人才類別框架成形，後續有很多發展可仰賴這個基礎來進行。例如建構各個人才類別的知識與技能需求，以及發展培訓課程，還能仿效美國CyberSeek開發資安人才的職涯路徑圖，以及根據地區別設計人才需求熱度計，即時呈現那些資安人才類別需求最高。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E6%87%89%E7%94%A8%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E9%A1%9E%E5%88%A5%E6%96%BC%E8%B3%87%E5%AE%89%E9%98%B2%E7%B7%9A.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(0, 102, 204);">【應用資安人才類別於資安防線】</span><span style="color: rgb(0, 153, 255);">對於應用資安人才類別於資安防線，鄭瑋也用三線防禦模型的概念來闡釋，並藉助不同情境來舉例說明。例如，以解決資安問題的流程為例，第一道防線就是聚焦日常SOC維運監控、資安事件應變與通報，這部分的資安工作角色包含：資訊系統維運人員、資安事件工程師、資安監控防禦工程師，第二道防線聚焦事件狀況後續分析，以及釐清事件根因，這部分的的資安工作角色可已有資安鑑識員、資安研究員、資安威脅分析師，第三道防線則是屬於長期的資安規畫與評估，像是資安長與資安風險管理師。</span></p> <p> </p> <h2> </h2> <h2 class="rtecenter"><span style="color: rgb(0, 153, 255);"><strong><span style="background-color: rgb(255, 215, 0);">從必修、通識做起，資安教育才能最快普及</span></strong></span></h2> <p>關於基礎資安教育的推展，同樣是各界熱烈關注的議題。8月底召開的臺灣資安人才培力研究報告研討會也討論此事，顯然大家都很重視。</p> <p>輔仁大學資訊工程系特聘教授許見章提出一些建議，引發很多迴響，從教育體系檢視學生修課歷程的資安專業科目，可得知學生在大學、研究所，最多只能修5門課、15學分，關鍵是老師開課能量不足，產業如何補足這部份資源很重要。他表示，想要大量培養資安人才，透過產業來彌補是其中一種作法，學生在校期間若能把資安專業科目納入必修課，會帶來更多幫助，然而現在這些科目卻是選修，效果有限。</p> <p>提升全民資安意識，其實也是學校教育可以努力的方向，許見章認為在通識課當中，如果能加入資安意識科目，或納入必修，甚至像軍訓課能折抵役期，將讓更多學生積極認識資安，或對資安專業產生興趣，這也呼應資安即國安。<br /> 對此國家資通安全研究院副院長林盈達表示，他們不僅要與教育部溝通，也要試著與國防部協商可行性。但如何有效推動更多跨部會的合作，也將是後續一大考驗。</p> <p>國家資通安全研究院人才培力中心主任鄭瑋表示，我國資安人才類別框架已畫分出19類，主要以歐盟ENISA ECSF的12種人才類型為主，並顧及我國現況與通用性額外增加7種。另外，資安院也依據美國NICE框架的7大類別，將不同人才類型歸類，幫助外界瞭解這些人才類型的性質與定位。</p> </div></div></div>
2023/8/30 14:36作者羅正漢https://www.ithome.com.tw/news/158498
臺灣通用資安人才類別框架定案，共12+7類別，資安長培訓課程將率先在12月底前啟動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應資安人才不足，建立人才職能框架，以利培訓課程與證照檢驗，是全球與臺灣都關注的議題。</p> <p>由於資安面向廣泛、技能需求多元，過去美國曾發布NICE網路安全人才框架，定義7大類別、33個專業領域，以及52個工作角色，到了2022年10月，歐盟網路安全局（ENISA）亦發布ECSF網路人才技能框架，定義出資安團隊12種角色。</p> <p>在臺灣，為了克服資安人才需求缺口持續擴大的挑戰，2022年初，國家資通安全研究院（資安院）開始積極行動，先從供給與需求面來調查我國資安人才現況，分析資安人才職缺情形；今年初接續打造適合我國的通用資安職能基準，強調以ECSF的12類人才為基礎，建構符合國需求的資安人才類別雛形。在我們今年3月開始進行<a href="https://www.ithome.com.tw/news/156621">這方面的報導</a>時，也已經提到這麼做的重要性。</p> <p>最近終於有重要的實質進展，因為在8月24日資安院舉行的研討會，宣布最新的工作成果，當中揭露2023臺灣資安人才培力研究報告的藍皮書，副院長林盈達表示，我國資安人才類別框架的發展，已定義「12+7」種類型，並完成政府與民間的資安課程開設調查，提出未來開課方向的建議，他預告，培訓課程將從資安長的人才類別先啟動，預計最晚今年底就會開設。</p> <p>之後明年，還將公布資安事件工程師的課程，也就是要幫助國內，培訓更多的安全維運中心（SOC）的第一線人員，甚至第二線的人員。</p> <h2><strong>將我國資安人才類型分為19種，廣泛企業皆可參考</strong></h2> <p>符合我國產業特色的19項資安工作角色有哪些？</p> <p>資安院人才培力中心主任鄭瑋表示，我們人才類型框架的規畫，主要依據先前技服中心提出資安人才類型層面，以策略類、管理類、技術類為基礎，參考美國、歐洲的作法，並納入國內產業長年存在一人身兼多職的情形，因此不用美國NICE框架的52種人才類別，而是設法與類別較簡易的歐洲ENISA ECSF框架進行介接，也就是以12種人才類別為主。</p> <p>不僅如此，他們也考量臺灣的國情與地緣政治因素，需要更多投入保護與防禦的人才，以及希望反映更多資安產業需求的工作角色，因此進一步擴充而增設了7大人才類別。</p> <p>具體而言，我國這19項資安工作角色，包括：</p> <p>● 與ECSF框架共通的12種：資安長、資安架構師、資安風險管理師、資安法遵師、資安稽核師、資安教育員、資安研究員、資安產品開發工程師、滲透測試工程師、資安事件工程師、威脅分析工程師，以及資安鑑識工程師。</p> <p>● 額外新增的7種：資安系統規畫師、資安顧問師、資安專案經理、資安檢測工程師、資安系統維運員、資安監控防禦工程師、漏洞分析工程師。</p> <p>這份藍皮書中，特別說明這樣的19種資安人才類別產出，並不代表一個組織同時需要那麼多元的工作角色，主要目的是讓組織在拓展資安業務時，能夠提供設立這些工作職務上的建議。</p> <p>實務上，有可能一人負責多種的工作職務，而且，有些是產業資安專屬職務，有些是資安產業專屬職務。例如，這裡設計的資安顧問師、資安專案經理、資安研究員，以及資安產品開發工程師，就是針對「資安產業」的獨有職務。</p> <p>還有一個需要注意的不同之處，鄭瑋表示，ECSF將資安開發跟維運工程師歸在同一類，因此資安院將之拆解為資安產品開發工程師，以及資安系統規畫師。</p> <p>總體而言，這19種人才類別，主要是參考國內外資源，同時顧及我國現況與通用性所制訂，希望重新調整資安人才類別的精細程度，瞭解資安職業職務涵蓋範圍，建立產業人才能力規格的職能基準。</p> <p>畢竟，過去我國勞動部勞動力發展署定義的職能基準，與資安相關的僅有4種，不僅未對不同職務內容予以細分，而且光是資安工程師一職，幾乎就囊括所有資安相關職務。</p> <p>如今有了更細膩畫分，等於建構出我國資安人才培訓、用才時的基礎，不只是可用於精準盤點人力資源，釐清人力的流向與缺口，也能便於推動後續的課程規畫。</p> <p>至於近年國內也有單位投入研究，發展針對政府機關、金融產業，以及新興資安產業的資安職務職能框架，但這些主要是領域專屬，非普遍通用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E5%9C%8B%E5%AE%B6%E8%B3%87%E9%80%9A%E5%AE%89%E5%85%A8%E7%A0%94%E7%A9%B6%E9%99%A2%E5%89%AF%E9%99%A2%E9%95%B7%E6%9E%97%E7%9B%88%E9%81%94.jpg" style="width: 600px;" /></p> <p><span style="color:#0099ff;">國家資通安全研究院副院長林盈達表示，我國資安人才類別框架已有重要進展，提出適合我國產業的19類人才，而對應這些人才的培訓課程也在陸續規畫中，預計優先從資安長的人才類別啟動，最晚今年底就會開課，對於後續培訓面與證照面的發展，也持續邀集各方專家提供規畫上的建議。</span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E8%B3%87%E5%AE%89%E9%99%A2%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E5%9F%B9%E5%8A%9B%E7%A0%94%E7%A9%B6%E5%A0%B1%E5%91%8A%E8%97%8D%E7%9A%AE%E6%9B%B8_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p><span style="color:#0099ff;">國家資通安全研究院人才培力中心主任鄭瑋表示，我國資安人才類別框架已畫分出19類，主要以歐盟ENISA ECSF的12種人才類型為主，並顧及我國現況與通用性額外增加7種。另外，資安院也依據美國NICE框架的7大類別，將不同人才類型歸類，幫助外界瞭解這些人才類型的性質與定位。</span></p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖1）臺灣通用資安人才類別框架定案，共12%2B7類別.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%961%EF%BC%89%E8%87%BA%E7%81%A3%E9%80%9A%E7%94%A8%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E9%A1%9E%E5%88%A5%E6%A1%86%E6%9E%B6%E5%AE%9A%E6%A1%88%EF%BC%8C%E5%85%B112%2B7%E9%A1%9E%E5%88%A5.jpg" style="width: 600px;" /></a></p> <h2><strong>未來要擴大培訓課程，需積極推動種子教師培育</strong></h2> <p>完成定義我國資安人才類型後，將接續盤點所需技能與知識，訂定課綱和教材，來幫助國內培育最需要的資安人才。</p> <p>面對19種資安人才的培訓，推動優先順序成為關注焦點。</p> <p>現階段，由於近年金管會已要求上市櫃公司設置資安長，這些資安長該具備哪些職能與知識，以及如何與董事會與業務單位溝通，成為當今最受臺灣各界關注的部分。</p> <p>而從資安院人培中心2022年職缺調查結果來看，儘管臺灣對於維運型人才的需求最迫切，但考量國內市場「一人多工」的實務情形，我們不能只是培育維運人員需具備單一職能，也要擴及保護與防禦、安全交付的資安職能，才能對業界資安防護帶來更大助益。</p> <p>因此，目前根據資安院的規畫，今年12月底會先啟動資安長的培訓課程，明年再啟動資安事件工程師的培訓課程。</p> <p>對於我國在職培訓資安課程現況，鄭瑋表示，資安院人培中心在2022年9月進行相關調查，最後以15間開課單位，205堂培訓課程來觀察，以釐清課程與職能的對應關係。</p> <p>當中有哪些特殊發現？2022年職缺類型數量最多的，是運營與維護類型人才，但這方面的開課數量並非最多，只有37門，安全交付的職缺也不少，這方面的課程開設數量只有3門，相當稀缺。</p> <p>若依照我國資安人才類別來看，目前開課數量前三名，分別是：資安監控防禦工程師、資安系統維護員（學習資安業務運作與設備控管）、漏洞分析工程師。至於推動企業資安治理的資安長，以及資安事件回應能力的資安事件工程師，居於第四、第五。</p> <p>再與我國職缺需求等相互對照來考量，未來在開課的規畫上，除了資安長的課程，民間企業與組織的維運課程仍須持續開設，同時也考慮於維運課程加入防禦與安全交付方面的訓練，因為這將有助於第一線人員技術面的強化，對職涯多發展性也有幫助。</p> <p>整體而言，對於資安院所要推動的未來開課策略，鄭瑋指出下列三大重點。</p> <p>首先，需發展適合個資安人才類別的培訓。她強調要以一綱多本為發展，由資安院訂定職能課綱，並要與公家與民間訓練機構合作開發教材。</p> <p>第二，可以建立訓練機構與講師遴選機制。然而，這方面將遇到開課量能的挑戰。早年我國重視「拔尖」，也就是培養頂尖資安人才，如今重視普及的人才，需要培養更多具備實務經驗的資安人才，然而從過去開設培訓中心狀況來看，若每年只能開三個培訓班，頂多培育150人，無法滿足現在資安人才需求急遽擴大，所以，我們需要更彈性且量能可擴大的方式，並透過建立訓練機構跟講師遴選，顧及教學品質。</p> <p>第三，推動種子教師培育規畫。這樣才有機會持續擴大培訓講師的能力與數量，以滿足各個資安類型領域專長，與不斷增長的培訓需求。</p> <p>特別的是，根據藍皮書中的調查分析，針對19類人才類型而言，我們可以具體看到國內目前的開課單位與相關機構，如資安院、工業技術研究院、ACW資安網路學院、台灣金融研訓院、國家高速網路中心、安碁學苑、中華民國資訊軟體協會的CISA數位轉型大學，以及資展國際（iSpan）。</p> <p>換言之，除了建立訓練的組織機構，以及講師遴選制度，這些機構也都可能是培訓我國19類資安人才的重要支柱，但如何協助擴大講師與課程，需要多方合作。畢竟，有些人才類型需求最急迫，應有更多機構開設對應課程，有些人才類型更是無法對應到培訓課程。</p> <h2><strong>資安證照也是不可或缺的一環，目前已有初步進展</strong></h2> <p>最後一個部分是資安人才證照，目前資安院人培中心在這方面的研究分析，尚處於早期階段，僅針對資安署公告的104張資安證照作分類，並試著將19種資安人才類別所需證照，作出歸類，給予工作類別與職能上證照考取的建議。</p> <p>對於資安證照課程的開課單位，他們亦進行盤點，目前已知的機構，包含：恆逸教育訓練中心、全智網科技、中華民國電腦稽核協會、工研院產業學院、CISA數位轉型大學、緯育Tiba Me、領導力企管、巨匠電腦、資展國際、中華資安國際、台灣金融研訓院、國際商貿文化交流基金會等。</p> <p>還有幾項資安證照方面的議題，也是資安院關注重點。例如，考取國際資安證照的費用相當昂貴，如何用國內證照部分或完全替代國際證照體系，也成為關鍵議題，像是，近幾年來，經濟部推出iPAS資訊安全工程師中級或初級認證；此外，國際證照體系可能有供需缺口，如OSCP提供滲透測試實踐的認證，但這裡主要是培養紅隊技能，是否也能讓這些人員取得藍隊技能的證照，進而厚植人才基礎。</p> <p>整體而言，隨著我國資安人才類別框架成形，後續有很多發展可仰賴這個基礎來進行。例如建構各個人才類別的知識與技能需求，以及發展培訓課程，還能仿效美國CyberSeek開發資安人才的職涯路徑圖，以及根據地區別設計人才需求熱度計，即時呈現那些資安人才類別需求最高。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E6%87%89%E7%94%A8%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E9%A1%9E%E5%88%A5%E6%96%BC%E8%B3%87%E5%AE%89%E9%98%B2%E7%B7%9A.jpg" style="width: 600px;" /></p> <p><span style="color:#0066cc;">【應用資安人才類別於資安防線】</span><span style="color:#0099ff;">對於應用資安人才類別於資安防線，鄭瑋也用三線防禦模型的概念來闡釋，並藉助不同情境來舉例說明。例如，以解決資安問題的流程為例，第一道防線就是聚焦日常SOC維運監控、資安事件應變與通報，這部分的資安工作角色包含：資訊系統維運人員、資安事件工程師、資安監控防禦工程師，第二道防線聚焦事件狀況後續分析，以及釐清事件根因，這部分的的資安工作角色可已有資安鑑識員、資安研究員、資安威脅分析師，第三道防線則是屬於長期的資安規畫與評估，像是資安長與資安風險管理師。</span></p> <p> </p> <h2> </h2> <h2 class="rtecenter"><span style="color:#0099ff;"><strong><span style="background-color:#FFD700;">從必修、通識做起，資安教育才能最快普及</span></strong></span></h2> <p>關於基礎資安教育的推展，同樣是各界熱烈關注的議題。8月底召開的臺灣資安人才培力研究報告研討會也討論此事，顯然大家都很重視。</p> <p>輔仁大學資訊工程系特聘教授許見章提出一些建議，引發很多迴響，從教育體系檢視學生修課歷程的資安專業科目，可得知學生在大學、研究所，最多只能修5門課、15學分，關鍵是老師開課能量不足，產業如何補足這部份資源很重要。他表示，想要大量培養資安人才，透過產業來彌補是其中一種作法，學生在校期間若能把資安專業科目納入必修課，會帶來更多幫助，然而現在這些科目卻是選修，效果有限。</p> <p>提升全民資安意識，其實也是學校教育可以努力的方向，許見章認為在通識課當中，如果能加入資安意識科目，或納入必修，甚至像軍訓課能折抵役期，將讓更多學生積極認識資安，或對資安專業產生興趣，這也呼應資安即國安。<br /> 對此國家資通安全研究院副院長林盈達表示，他們不僅要與教育部溝通，也要試著與國防部協商可行性。但如何有效推動更多跨部會的合作，也將是後續一大考驗。</p> <p>國家資通安全研究院人才培力中心主任鄭瑋表示，我國資安人才類別框架已畫分出19類，主要以歐盟ENISA ECSF的12種人才類型為主，並顧及我國現況與通用性額外增加7種。另外，資安院也依據美國NICE框架的7大類別，將不同人才類型歸類，幫助外界瞭解這些人才類型的性質與定位。</p> </div></div></div>
2023/8/30 09:47作者羅正漢https://www.ithome.com.tw/news/158483
DeepMind發表可用來創造及偵測AI生成圖片浮水印的SynthID
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.deepmind.com/blog/identifying-ai-generated-images-with-synthid" target="_blank">Alphabet旗下的人工智慧公司DeepMind於周二（8/29）發表了SynthID工具</a>，可用來於AI生成圖片中建立浮水印，或偵測AI生成圖片中的浮水印，以方便辨識AI生成的圖片，履行負責任AI的承諾。目前SynthID僅適用於DeepMind所開發的文字轉圖片模型Imagen，未來可望支援其它模型或開放第三方使用。</p> <p>浮水印是個舖設於圖片上的名稱或商標以供辨識，隨著時代的演進，它從紙上的物理印記到現在數位照片上的半透明文字或符號，不過，傳統浮水印並不足以用來辨識AI生成圖片，因為這些標記很容易就能利用編輯工具將之移除。</p> <p>DeepMind設計SynthID的兩個理念是希望它一方面不會影響圖片的美觀，儘量不要被人眼所察覺，另一方面則是維持它被偵測的能力，它所使用的兩個深度學習模型即分別是用來添增浮水印，以及用來辨識浮水印。</p> <p>而從DeepMind的展示圖片中，可發現的確不容易分辨含有浮水印的畫面，同時，就算這些AI生成圖片使用了不同的濾鏡、變更了顏色，甚至是以破壞性資料壓縮方式儲存，可供偵測的浮水印也不會消失。</p> <p class="rtecenter"><img alt="" src="https://assets-global.website-files.com/621e749a546b7592125f38ed/64e8abbb424b8a7e3b88b707_64e7629196215db21326c003_synthid_watermark_lo.gif" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_DeepMind</span></span></p> <p>目前的SynthID仍為測試版，初步將提供給Google Cloud上少數使用Imagen的Vertex AI客戶，現階段也僅支援以Imagen生成的圖片。</p> </div></div></div>
2023/8/30 12:57作者陳曉莉https://www.ithome.com.tw/news/158496
微軟測試Bing Chat Enterprise in Windows Copilot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟7月公布Bing Chat企業版（Bing Chat Enterprise）後，<a href="https://blogs.windows.com/windows-insider/2023/08/28/introducing-bing-chat-enterprise-in-the-windows-copilot-preview/" target="_blank">昨（29）日宣布以預覽版測試</a>透過Windows Copilot提供Bing Chat Enterprise。</p> <p><a href="https://www.ithome.com.tw/news/157859" target="_blank">7月Bing Chat Enterprise問世時</a>，是在Bing.com及Edge側邊欄提供，今天則是針對符合資格的企業客戶經由Dev頻道釋出。微軟已著手將之部署到Beta頻道，因此部分符合資格的企業客戶也可能已經看到。已在Bing.com預設啟用Bing Chat Enterprise的用戶，無需任何步驟，開啟Windows Copilot預覽版就能使用這個AI聊天機器人。</p> <p>Bing Chat Enterprise提供資料安全保證，用戶對話不會被儲存下來，微軟也無法存取，或用企業用戶資料來訓練底層模型。此外，Bing Chat Enterprise回覆用戶的是完整、可驗證，標明出處的資料，會包含圖表，且完全依循微軟的企業AI原則。</p> <p>和Bing.com相同，購買Microsoft 365 E3、E5、Business Standard、Business Premium授權的企業用戶，才能免費使用企業版Bing Chat，他們會在8月獲得Bing Chat Enterprise。而購買Microsoft 365 A3、A5 Faculty的教育用戶，其教師或學校行政人員會在9月預設開啟Bing Chat，但學生無法使用。</p> <p>若企業或學校管理員關閉Bing Chat Enterprise，微軟就不會啟用這項服務。一旦管理員關閉Bing Chat Enterprise，則用戶只會使用到消費版本的Bing Chat。</p> </div></div></div>
2023/8/30 11:22作者林妍溱https://www.ithome.com.tw/news/158486
Google Workspace AI助理Duet AI正式上線，企業版每人每月30美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://workspace.google.com/blog/product-announcements/duet-ai-in-workspace-now-available" target="_blank">Google昨（29）日在Cloud Next '23大會上宣布</a>，整合在Workspace企業生產力套件的AI助理Duet AI正式上線，企業版訂閱費為每人每月30美元。</p> <p>Google是在今年5月Google I/O首次公開整合在Workspace的生成式AI工具，品牌名Duet AI，作為付費版生產力套件，包括Gmail、Google Docs、Drive、Meet、Slides 的即時協同助理，提供功能包括來撰寫或潤飾Gmail信件、Google Docs文件、為Google Slides製作原創圖片、或製作Google Sheets簡報、為Google Meet視訊電話生成背景等。Google表示，Workspace現有千萬家付費客戶，用戶超過30億，而自5月開放Duet AI試用以來，迄今已有上百萬人透過信賴測試員（Trusted Tester）方案測試。</p> <p>Duet AI in Google Workspace 6月接受預購，並在昨日正式向所有付費用戶開放。除了之前宣布第一波功能，Google也宣布新增功能，包括在Google Meet視訊會議中，Duet AI可記筆記、傳送會議重點，即時翻譯18種語言，還加入專業錄音室等級的影像、燈光及聲音效果，並能臉部辨識為與會者提供個別視窗。其次，在文字溝通的Google Chat中，除了改版提供新介面外，用戶可直接和Duet AI對話（下圖），詢問會議內容，請它為共享文件提供重點，並快速說明使用者錯過的對話。而在需要講話溝通時，用戶也可以臨時開啟語音聊天室（huddle）切換成語音溝通。此外，Duet in Gmail也在此次強化了智慧回覆功能，允許它幫用戶撰寫更長的個人化回覆信件，而Duet AI in Google Docs的AI校訂功能也取代現有文法及拼字檢查，能幫助用戶寫出更簡明、流暢的商務文件。</p> <p class="rtecenter"><a href="https://storage.googleapis.com/gweb-cloudblog-publish/original_images/Google_Chat_Duet_AI.gif" target="_blank"><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/original_images/Google_Chat_Duet_AI.gif" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Google</span></p> <p>作為企業用AI工具，Google強調沒有人能取得Duet AI in Workspace上的企業通訊或文件內容，Google也不會「在未經用戶允許下」使用這些資料訓練其模型。Google也強調新服務包含Google的零信任控制、數位主權控制工具，以確保資料隱私與安全性。此外，Google也和第三方廠商合作增加Workspace能力，例如和Typeface及Jasper合作，讓行銷公司可運用生成式AI建立個人化行銷內容。</p> <p>Duet AI for Workspace企業版費用為每人每月30美元，<a href="https://www.ithome.com.tw/news/157859" target="_blank">與微軟Microsoft 365 Copilot服務上個月宣布的價位相同</a>。Google表示消費者及小型企業版Duet AI in Workspace定價也會在幾個月內宣布。微軟M365 Copilot服務預計很快就會正式上線。</p> </div></div></div>
2023/8/30 11:48作者林妍溱https://www.ithome.com.tw/news/158487
K8s自動縮放器KEDA歷經3年開發從CNCF畢業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>用戶包括Grafana Labs、微軟、紅帽、Reddit等企業的Kubernetes自動縮放器<a href="https://cloudblogs.microsoft.com/opensource/2023/08/24/scaling-workloads-on-microsoft-azure-with-kubernetes-event-driven-autoscaling/">KEDA</a>，現在正式從雲端原生運算基金會（Cloud Native Computing Foundation，CNCF）畢業。目前KEDA 2.11提供的縮放器數量達60種，是當初加入CNCF時的2倍。</p> <p>微軟與紅帽在2019年的時候推出了KEDA 1.0，開發這個專案的目的，是要滿足Kubernetes用戶對於自動縮放的需求。Kubernetes作為一個容器調度平臺，僅能根據CPU和記憶體等系統指標進行縮放，而這可能在縮放上不夠敏感，趕不上流量變化，如果可以同時參考外部指標，將可大幅降低縮放延遲。</p> <p>而KEDA是個以Kubernetes為基礎的事件驅動自動縮放器，用戶可以評估來自Azure、AWS、GCP、Redis和Kafka等服務的事件數量，作為驅動Kubernetes容器縮放的依據。</p> <p>由於加入KEDA的廠商越來越多，因此微軟和紅帽決定在2020年，將KEDA貢獻給CNCF作為沙盒專案，KEDA在2021年進入孵化階段，而現在經過多年發展終於從CNCF畢業。KEDA在這個過程增加了許多功能，現在KEDA可以使用60多種縮放器縮放應用程式，而這個數量是當初沙盒專案的2倍。</p> <p>微軟的Xbox與多項Azure服務都有應用KEDA，像是供開發人員建置、執行、縮放和運作容器工作負載的服務Azure Container Apps，背後便是利用KEDA支援容器自動縮放，容器規模會根據HTTP請求、TCP連接和各種自定義指標數量縮放。微軟的無伺服器服務Azure Functions也同樣應用KEDA縮放工作負載，在沒有事件時縮小至0個執行個體，並在高峰流量無縫擴展至n個執行個體。</p> <p>隨著KEDA專案從CNCF畢業，微軟也推出Azure Kubernetes服務（AKS）的KEDA擴充套件，雖然開源KEDA原本就容易安裝，但是AKS專用的KEDA擴充套件可以進一步簡化這個過程，用戶可以在Kubernetes叢集上簡單部署，並且以KEDA來縮放應用程式。</p> </div></div></div>
2023/8/30 08:34作者李建興https://www.ithome.com.tw/news/158478
Google推出環境API可用於監控日照、空氣品質和花粉
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google推出一系列包括日照、花粉和空氣品質的<a href="https://cloud.google.com/blog/products/maps-platform/going-beyond-map-introducing-environment-apis">環境API</a>，使用戶得以發展更多永續環境應用。這些環境API以Google Maps平臺作為基礎，向用戶提供日照強度、花粉量以及空氣品質等視覺化資訊。</p> <p>太陽能是能夠減少排放溫室氣體的能源，而針對促進太陽能板採用和部署的需求，Google推出Solar API，該API是以Project Sunroof作為基礎，而Project Sunroof是運用Google Earth圖像，提供個人化太陽能節能評估器，Google提到，這項專案運用人工智慧技術，能夠計算出比LIDAR或是雷達更加準確的光照資料。</p> <p>Solar API提供的資訊包括影響太陽能系統的遮蔽資訊，以及房子屋頂的數位表面模型，涵蓋全球40多個國家，共超過3.2億棟建築物，可供太陽能公司更方便地提供屋主自家光照強度資訊，協助屋主做出安裝太陽能板的決定。</p> <p>另一個環境API則是針對空氣品質，空氣品質API讓企業可擷取空氣品質資料，透過熱圖視覺化空氣污染，向目標受眾提供深入的污染物詳細資訊和建議。Google提到，藉由結合多個資料源，諸如政府偵測站、低成本感測器、氣象資料、衛星、土地覆蓋和即時通訊資訊，他們每小時驗證和組織數TB資料，可獲得特定位置的空氣品質資訊。</p> <p>而針對常見過敏原花粉，Google也提供花粉API，協助用戶能夠降低接觸過敏花粉的風險，在氣候變遷下適應更長和更嚴重的過敏季節。花粉API提供在地化花粉計量、熱圖視覺化、詳細的植物過敏原資訊，還有過敏患者暴露限制提示資訊。</p> <p>花粉API所提供的資訊，是Google運用模型計算出全球超過65個國家，每平方公里網格中季節性每日花粉粒數量，支援長達5天的預測，並涵蓋3種植物類型和15種不同的植物物種。Google解釋，該模型使用土地覆蓋、氣候、每株植物的年花粉量等資訊，預測當地花粉量與暴露風險等資訊。</p> </div></div></div>
2023/8/30 08:37作者李建興https://www.ithome.com.tw/news/158479
【資安日報】8月29日，勒索軟體LockBit製作工具外流，不到一年出現近400個變種
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>惡意昭彰的勒索軟體LockBit 3.0，去年有人將製作工具流出，當時研究人員認為可能會被其他駭客用於大量產生所需的勒索軟體，這樣的情況本週終於得到證實。資安業者卡巴斯基近期透露，他們一共看到396個LockBit變種，並確認至少有四分之三是該工具產生。</p> <p>值得留意的是，雖然駭客多半是應付緊急需求才使用此製作工具產生攻擊程式，大部分皆採用預設配置，但同時也貝備橫向感染的能力。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://securelist.com/lockbit-ransomware-builder-analysis/110370/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客利用LockBit 3.0產生器打造近4百個勒索軟體變種</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/LockBit_build_analysis_04.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/LockBit_build_analysis_04.png" style="width: 300px; float: right;" /></a>勒索軟體LockBit 3.0（LockBit Black）於去年9月傳出製作工具（Builder）外流，使得任何人取得後都能打造專屬的勒索軟體，上週有研究人員揭露該工具被利用的情形。資安業者卡巴斯基根據遙測的資料進行分析，總共找到396個版本的LockBit，其中有312個是利用上述外洩的製作工具打造而成，77個的勒索訊息已完全清除LockBit的名稱。</p> <p>這些勒索軟體大部分採用製作工具的預設配置，僅有小幅更動，研究人員推測駭客很有可能是為了應付緊急需求。再者，這些駭客製作的勒索軟體通常會針對本機磁碟及網路共用資料夾進行檔案加密，但會略過隱藏資料夾。</p> <p>而對於橫向感染的手法，有90%會利用PSEXEC執行，有72%會濫用群組原則物件（GPO）。此外，這些勒索軟體僅有少數會向C2伺服器進行通訊。</p> <p><a href="https://blog.phylum.io/rust-malware-staged-on-crates-io/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Rust開發者當心！出現惡意套件，若不慎誤用，可能會將電腦OS資訊外洩至Telegram頻道</span></strong></a></p> <p>資安業者Phylum揭露鎖定程式語言Rust開發者的攻擊行動，駭客於8月14日至16日，在Crate.io套件庫上傳了惡意Crate套件postgress、if-cfg、xrvrv、serd、oncecell、lazystatic、envlogger，這些套件一開始沒有惡意內容，但後來駭客上架新的版本，就帶有行跡可疑的模組，能收集Windows、Linux、macOS等作業系統的資訊，並透過API將資料傳送至特定的Telegram頻道。</p> <p>研究人員推測，這起攻擊行動很可能處於早期階段，攻擊者打算先引誘開發者上鉤，將套件部署於開發環境，然後進一步推送「新版」來竊取受害電腦的資料。</p> <p><a href="https://www.thetimes.co.uk/article/chinese-spy-linkedin-investigation-dxtq8mz7w"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國間諜利用LinkedIn收集英國機密資料</span></strong></a></p> <p>英國國家安全局（軍情五處）曾提出警告，網路間諜可能利用職場社群網站LinkedIn，鎖定能夠存取國家機密的人士下手，這樣的情況如今真實上演。根據泰晤士報的報導，隸屬中國國家安全部的一名間諜，在5年內使用多個假名，假借向英國或其他官員提供商業機會，從而取得敏感資訊，其中一個最常使用的名字是Robin Zhang。</p> <p>根據消息來源透露，若是成為對方聘用的顧問，且提供從事情報工作人士的細節資訊，有可能拿到8千歐元作為酬勞，其中部分遭到鎖定的目標，已被收買並邀請到中國進行演講，其他人則被要求提供情報，這名間諜會根據這些資訊索討更多機密文件。</p> <p>英國議會情資及安全委員會在一份關於中國的報告裡，也特別提及間諜如何利用上述手法接觸官員。英國秘密情報局（軍情六處）的人士指出，假如官員被帶到中國，情報員會針對官員的弱點逼迫，利用各種手法進行敲詐。</p> <p><a href="https://www.ohiohistory.org/breach/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國歷史保護機構Ohio History Connection傳出資料外洩</span></strong></a></p> <p>8月24日美國俄亥俄州的歷史保護機構Ohio History Connection（OHC）證實，他們在7月初遭遇勒索軟體攻擊，駭客加密了檔案並盜取有關資料，並向該組織索討數百萬美元的贖金。OHC試圖與駭客交涉，但在8月7日談判破局，駭客疑似公布部分資料，使得某些人士的資料可被存取。</p> <p>這些外流的資料內容，涵蓋2009年至2023年在OHC任職的員工姓名、地址、社會安全碼（SSN），以及W-9表單和其他資料，這些資料有可能曝露服務供應商承辦人員的姓名與SSN。再者，自2020年起部分捐款人與成員姓名也可能因洩露的支票照片而曝光。對於受害規模，該組織估計總共有7,600人的資訊可能被曝光。</p> <p>究竟這起事故如何造成？OHC認為駭客應該是藉由挾帶惡意附件的電子郵件發動釣魚攻擊，將使用者帶往受感染的網站，自動下載、部署惡意軟體於受害電腦所致。</p> <p><a href="https://www.hackread.com/it-contractor-data-breach-met-police-personnel/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">倫敦警局因IT承包商資料外洩而受害，波及近5萬警員</span></strong></a></p> <p>根據資安新聞網站HackRead報導，英國倫敦警察局因IT系統承包商遭遇網路攻擊，導致所有4.7萬名警官與員工的個人資訊，包含姓名、照片、職稱、身分證號碼遭到洩露。這起事故之所以發生，主要是專門提供列印通行證及授權卡的供應商遭駭，他們的IT系統遭到駭客入侵所致。</p> <p>這次的資料外洩事故影響相當廣泛，可能會曝露許多警察人員的身分，尤其是參與秘密行動的警官、負責保護王室的反恐單位、便衣警察，而有可能影響他們執行的各項工作。由於這些資料有可能被網路犯罪組織甚至是恐怖分子利用，傳出英國國家犯罪局（NCA）介入調查此事。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">波蘭傳出著手調查鐵路系統遭到駭客攻擊的事件</span></strong></p> <p>根據波蘭新聞社（PAP）於8月26日的報導，該國情報部門著手調查鎖定當地鐵路的網路攻擊事件，25日晚間，駭客在西北部城市斯德丁（Szczecin）對波蘭國家鐵路（PKP）的無線電通訊網路下手，他們惡意發出多次停車訊號，結果造成約20班火車停駛或是延誤。PAP指出，這些訊號裡穿插俄羅斯國歌及該國總統普丁演講的聲音，所幸沒有造成人員傷亡。</p> <p>波蘭特勤部門官員Stanislaw Zaryn透露，他們得知這幾個月有人企圖破壞國家安全，背後是俄羅斯與白俄羅斯共同策畫。資安研究員Lukasz Olejnik指出，這起事故可能只是攻擊者向火車發出停止的命令造成，任何人只需透過30美元的無線電設備就能向該國的火車下達命令。</p> <p>但這並非首度有人針對此鐵路無線電系統下手，Lukasz Olejnik指出，當地火車論壇與YouTube頻道多年來一直探討這項問題，且攻擊難度很低，常常有青少年以此進行惡作劇，波蘭計畫在2025年前，全面升級使用GSM電信網路的無線電。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.pap.pl/en/news/abw-probe-recent-railway-incidents-poland-says-security-official" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--1579413808" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.pap.pl/en/news/abw-probe-recent-railway-incidents-poland-says-security-official</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://twitter.com/PKP_PLK_SA/status/1695244539819090343" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--1737295533" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://twitter.com/PKP_PLK_SA/status/1695244539819090343</span></a><br /> 3. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.wired.com/story/poland-train-radio-stop-attack/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-673880377" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.wired.com/story/poland-train-radio-stop-attack/</span></a><br /> 4. <a href="https://www.bbc.com/news/world-europe-66630260">https://www.bbc.com/news/world-europe-66630260</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.policia.es/_es/comunicacion_prensa_detalle.php?ID=15872"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">西班牙建築公司傳出遭到勒索軟體駭客LockBit網釣攻擊</span></span></strong></a></p> <p><a href="https://www.purfoods.com/notice-of-data-event/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">醫療送餐服務Mom's Meals傳出資料外洩，120萬人受到影響</span></span></strong></a></p> <p><a href="https://cyberscoop.com/kittensec-hacktivism-corruption/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織KittenSec聲稱對多個北約國家下手</span></span></strong></a></p> <p><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-nxos-remoteauth-dos-XB6pv74m"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">思科網路設備作業系統NX-OS存在高風險漏洞，恐導致服務受到阻斷</span></span></strong></a></p> <p><a href="https://www.cisa.gov/news-events/news/vdp-platform-2022-annual-report-showcases-platforms-success"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國CISA發布漏洞揭露政策平臺2022年執行成果</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158458">【8月28日】中國駭客Flax Typhoon鎖定臺灣組織而來，發動寄生攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158448">【8月25日】北韓駭客Lazarus鎖定歐洲、美國組織，利用Zoho ManageEngine服務臺系統漏洞發動攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158431">【8月24日】 DuoLingo用戶個資傳出在駭客論壇兜售，疑似因API臭蟲而外洩</a></strong></p> </div></div></div>
2023/8/29 18:36作者周峻佑https://www.ithome.com.tw/news/158482
強化存取效能、提供更小容量選擇，WD發表新款NVMe SSD
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/wd_ultrastar_dc_sn655_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年8月快閃記憶體高峰會進行期間，WD發表新款NVMe固態硬碟Ultrastar DC SN655，相較於2022年5月推出的Ultrastar DC SN650，兩者大部分規格都相似，例如，皆採用PCIe 4.0介面，導入自家開發、支援NVMe 1.4b標準的控制器，以及112層堆疊設計的BiCS5 TLC 3D NAND快閃記憶體，每日寫入量為1，外形為2.5吋U.3（可相容於U.2），以及提供5年有限保固。</p> <p>而在企業級產品功能的部分，兩款產品均內建斷電保護（Power Loss Protection）、資料路徑全程保護（End-to-End data Path Protection）、可變式儲存區塊（Variable Sector Sizes），以及支援NVMe管理介面標準NVMe-MI 1.1b。</p> <p><a href="https://s4.itho.me/sites/default/files/images/WD Datacenter SSD-2023-08-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Datacenter%20SSD-2023-08-3.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ultrastar-dc-sn655-nvme-ssd-feature2.jpg" style="width: 200px;" /></p> <p>關於支援的應用場景類型，兩者也相同，例如，可用於雲端資料中心、橫向擴展或軟體定義解決方案、大數據、NoSQL或分散式資料庫、AI/ML深度學習、資料歸檔。</p> <p><a href="https://s4.itho.me/sites/default/files/images/WD Datacenter SSD-2023-08.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Datacenter%20SSD-2023-08.jpg" style="width: 600px;" /></a></p> <p>但SN655在部分項目的配置，略勝SN650一籌。例如，儲存容量有7.68 TB、15.36 TB等選擇，還提供3.84 TB的規格，可靠性／平均故障間隔時間（MTBF）達到250萬小時（SN650為200萬小時），而且本身也提供兩個連接埠（dual-port），具有更高的備援與容錯能力。</p> <p>就存取效能方面而言，15.36 TB機型的SN655循序讀寫最高為6.8 GB/s與3.7 GB/s（SN650為6600 MB/s與2800 MB/s），隨機讀寫最高為110萬IOPS與12.5萬IOPS（SN650為97萬IOPS與10.9萬IOPS），讀寫延遲為100微秒與10微秒（SN650為120微秒與20微秒）。</p> <p>在安全銷毀等級的搭配上，SN655針對3種儲存容量，均提供SE（Secure Erase）、ISE（Instant Secure Erase），以及TCG-Ruby。前兩種安全銷毀規格在傳統硬碟與固態硬碟相當常見，SE不加密資料，ISE則會加密資料，SN650也不例外；至於後者，則是信賴運算組織（TCG）儲存工作小組訂定的一種安全子系統類別（SSC），主要針對的是NVMe與採用其他新技術而成的儲存裝置，過去硬碟產品較常見的這類規格是TCG Enterprise與TCG Opal。</p> <p><a href="https://s4.itho.me/sites/default/files/images/WD Security Types.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Security%20Types.png" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>WD Ultrastar DC SN655<br /> ●原廠：WD<br /> ●建議售價：廠商未提供<br /> ●儲存容量：3.84、7.68 TB、15.36 TB<br /> ●耐寫度：每日寫入量為1<br /> ●外形：2.5吋U.3（厚度為15公釐）<br /> ●儲存媒體：3D NAND，TLC（BiCS5）<br /> ●最高讀寫速度：循序6.8 GB/s與3.7 GB/s，隨機110萬IOPS與12.5萬IOPS<br /> ●使用介面：PCIe 4.0 x4/NVMe 1.4<br /> ●可靠度：250萬小時MTBF<br /> ●保固期間：5年</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/8/29 18:51作者李宗翰https://www.ithome.com.tw/review/158451
驗證延伸保護將在今年秋天成為Exchange Server的預設功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/exchange-team-blog/coming-soon-enabling-extended-protection-on-exchange-server-by/ba-p/3911849" target="_blank">微軟周一（8/28）宣布</a>，自今年秋天釋出Exchange Server 2019的2023 H2累積更新（CU 14）之後，原本專為Windows所設計的身分驗證延伸保護（Extended Protection，EP）即會成為Exchange Server的預設功能。</p> <p>EP是用來加強Windows Server上既有的身分驗證功能，以減緩身分驗證的中間人（MitM）攻擊，它允許於IIS中的Windows Authentication建立綁定，連結應用程式層的驗證資訊與較低通訊協定級別的TLS加密，另也藉由於連結中添加客戶正在存取的命名空間來補強，因此，倘若一個MitM並非代表伺服器所預期的命名空間，或是企圖竄改客戶端與伺服器端之間的TLS資訊，那麼綁定便會失效，而無法通過身分驗證。</p> <p>微軟是在去年8月藉由安全更新於Exchange Server中<a href="https://microsoft.github.io/CSS-Exchange/Security/Extended-Protection/" target="_blank">新增EP功能</a>，支援Exchange Server 2013、Exchange Server 2016及Exchange Server 2019，但必須手動啟用，不過，微軟現在打算透過CU 14讓EP成為Exchange Server的預設功能，不過，只有仍處主流支援階段的Exchange Server 2019才能接收CU 14，意謂著其它的Exchange Server版本皆需手動啟用EP。</p> <p>儘管微軟建議所有的Exchange Server客戶都應該於自家環境中啟用EP，但也表示這只是個預設設定，管理人員仍能將它關閉。</p> <p>微軟亦警告，那些並未安裝August 2022安全更新的舊版Exchange Server都被視為持續含有安全漏洞，皆應立即更新，此外，這些舊版Exchange Server也無法與那些啟用EP的新版伺服器正常通訊。</p> </div></div></div>
2023/8/29 14:33作者陳曉莉https://www.ithome.com.tw/news/158476
GitLab Gitaly現已完全支援SHA-256雜湊演算法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在2017年，與荷蘭的數學暨電腦科學研究機構CWI Amsterdam合作，成功破解SHA1雜湊演算法，實現SHA1碰撞，這證明SHA1在當前電腦強大的運算能力面前已經不再可靠，現在已有許多供應商開始提供更安全的加密選項。</p> <p>而版本控制系統Git所使用的加密雜湊函式，也是企業與開發者關注的重點，最近的<a href="https://lore.kernel.org/lkml/[email protected]/">Git 2.42</a>更新，已經將SHA-256支援的實驗性標籤移除，而GitLab也緊接著<a href="https://about.gitlab.com/blog/2023/08/28/sha256-support-in-gitaly/">宣布</a>其Git遠端程序呼叫元件Gitaly開始完全支援SHA-256。</p> <p>SHA1在Git系統扮演重要角色，每個提交到Git的內容，都會透過SHA1演算法生成一個40字元長度的16進位雜湊值，這個值可作為唯一標示，而Git也會用這個唯一數值，作為資料儲存位置的參考，當兩個檔案和資料夾的內容完全相同，則會有相同的SHA1雜湊值，Git可以用這個特性高效率地儲存重複的內容。</p> <p>在2017年Google生成雜湊碰撞後，證明SHA1不再絕對安全，雖然Git專案因為其儲存物件的方式，目前未受此類攻擊，但是Git提到，針對SHA-1的攻擊也會影響Git，而這只是時間上的問題。當SHA1發生碰撞時，代表著不同資料會對應到相同的雜湊值，對Git系統產生多項安全性衝擊，當不同的兩個資料具有相同的雜湊值，遭惡意攻擊者竄改的資料便可佯裝成合法檔案資料，使變更看起來與正常資料無異。</p> <p>雖然實際發生有意義的SHA-1碰撞機會非常少，而有意義的SHA-1碰撞機會是指，在Git中創建兩個有意義且不同的提交，卻具有相同雜湊值的情況，需要相對高的運算資源和特定條件，因此目前大多數Git使用者所面對的實際風險仍然偏低，但考量運算能力日益提升，而且美國聯邦單位諸如NIST和CISA的指導方針，也都明確設定了2030年SHA-1退場時間，因此各單位也都開始規畫將SHA-1轉移至更安全的SHA-256等演算法，而Git目前則已經完成這項工作。</p> <p>SHA-256同樣是一種雜湊演算法，會對給定的資料生成固定長度64位元的16進位雜湊值，Git同樣可使用SHA-256演算法生成提交和Git物件的ID。SHA-256在2020年推出的Git 2.29，以實驗性功能加入，但是在最近剛發布的Git 2.42版本，官方決定拿掉實驗性標籤。</p> <p>而隨即GitLab宣布其處理Git儲存庫的元件Gitaly，開始完全支援SHA-256，官方提到，雖然在正式提供SHA-256儲存庫之前，還需要對GitLab應用程式進行調整，但這是一個重要的里程碑。從可用性角度來看，SHA-256和SHA-1沒有顯著差異，GitLab認為個人專案可以使用SHA-1就好，但考量安全理由，公司與組織可以改用SHA-256儲存庫。</p> <p>事實上，過去<a href="https://gitlab.com/groups/gitlab-org/-/epics/794#note_1236055264">GitLab官方認為</a>，支援SHA-256並非他們需要優先提供給用戶的功能，但隨著距離聯邦機構禁用SHA-1的期限將至，GitLab官方才提到要盡快支援SHA-256。不過值得注意的是，SHA-256儲存庫目前並沒有辦法與SHA1儲存庫互通，而Git預設值仍是使用SHA1。</p> <p><a href="https://github.com/orgs/community/discussions/12490">GitHub對此則沒有明確的動作</a>，GitHub在2021年的時候將SHA-256支援列進發展路線中，但是目前對SHA-256支援沒有給出官方的回應。</p> </div></div></div>
2023/8/29 13:25作者李建興https://www.ithome.com.tw/news/158475
OpenAI推出ChatGPT Enterprise服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI本周一（8/29）正式發表了ChatGPT Enterprise，提供基於GPT-4的企業等級ChatGPT服務，除了支援無限的GPT-4存取能力，更長的輸入/輸出，以及進階的資料分析能力之外，它還具備企業所需的安全及隱私功能。</p> <p>OpenAI於去年11月發表的ChatGPT為一基於大型語言模型的聊天機器人，<a href="https://www.ithome.com.tw/news/155395" target="_blank">它不僅在上線兩個月就吸引了全球逾1億用戶</a>，迄今也有超過8成的財星500強（Fortune 500）企業採用了ChatGPT。</p> <p>不過，免費版的ChatGPT並沒有任何的服務保證，在尖峰時段可能無法存取，或是反應變慢，並有輸入限制，<a href="https://www.ithome.com.tw/news/155347" target="_blank">今年2月上線的付費版ChatGPT Plus移除了相關限制</a>，本周的ChatGPT Enterprise則嵌入了企業所需的安全、隱私與其它進階功能。</p> <p>根據OpenAI的說明，ChatGPT Enterprise具備大規模部署能力，將移除所有使用限制，且執行速度可達免費版的兩倍快，並支援長達32k Token的輸入，是免費版的4倍，可無限存取先前稱為Code Interpreter的資料分析服務，可共享的聊天範本，以及免費的APIs使用額度。</p> <p>此外，OpenAI也承諾不會使用ChatGPT Enterprise客戶的資料來訓練模型，不管是靜態或傳輸中的資料都是加密的，亦符合系統與組織控制的SOC 2標準。</p> <p><a href="https://www.ithome.com.tw/news/157859" target="_blank">微軟在今年7月也發表</a>了基於GPT-4的Bing Chat Enterprise，現為Microsoft 365 E3、E5及Business Standard、Business Premium版本的內建功能，並計畫推出可單獨訂閱的Bing Chat Enterprise，每月訂閱費用為5美元。至於OpenAI則尚未公布ChatGPT Enterprise的價格。</p> </div></div></div>
2023/8/29 12:06作者陳曉莉https://www.ithome.com.tw/news/158474
Google現在也可以搜尋到.CSV檔
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google搜尋可以搜到的檔案類型愈來愈多。<a href="https://developers.google.com/search/docs/crawling-indexing/indexable-file-types" target="_blank">Google近日更新搜尋的技術文件</a>，將支援的檔案類型擴及.CSV檔。</p> <p>本周<a href="https://searchengineland.com/google-search-can-now-index-csv-files-431184" target="_blank">Searchengineland記者首先發現</a>Google文件在「可建立索引的檔案類型」中加入了這之前沒有的類型（<a href="https://developers.google.com/search/docs/crawling-indexing/indexable-file-types?hl=zh-tw" target="_blank">中文版還未更新</a>）。<a href="https://twitter.com/rustybrick/status/1695044167540310248" target="_blank">微軟用戶端暨體驗部門首席計畫經理John Mueller則證實</a>，不僅是文件最新變更，也是剛剛才加入Google搜尋的新功能。</p> <p>CSV（comma-separated values）檔是一種試算表的檔案格式，其中的字母和格式以逗號分隔。這類檔案通常用於不同應用程式之間交換大量資料，例如連絡人、客戶、訂單或人口統計資料。一般資料庫、分析軟體或應用程式都支援CSV，有多種用途，例如學術單位取得政府人口統計資料來分析，或線上商店轉換電商平臺匯入客戶帳號等。</p> <p>這讓Google搜尋可以搜尋的網路資源更多。Google近年陸續將<a href="https://www.ithome.com.tw/news/98296" target="_blank">推特即時貼文</a>、IG與<a href="https://www.ithome.com.tw/news/142004" target="_blank">TikTok影片</a>及討論區、<a href="https://www.ithome.com.tw/news/153343" target="_blank">論壇</a>納入搜尋範圍。今年5月又加入<a href="https://www.ithome.com.tw/news/156833" target="_blank">Perspective篩選</a>，著重找出其他人的心得或經驗分享及意見。<a href="https://www.ithome.com.tw/news/158106" target="_blank">Google最近則是積極實驗以AI為搜尋加值</a>，例如為搜尋內容生成摘要等。</p> </div></div></div>
2023/8/29 10:55作者林妍溱https://www.ithome.com.tw/news/158471
微軟已悄悄終止了商務版OneDrive無上限儲存方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>除了Dropbox要終止無限量的儲存方案，微軟也在今年稍早悄悄喊停了不限空間版本的商用版OneDrive（OneDrive for Business）方案。</p> <p><a href="https://www.ithome.com.tw/news/158460" target="_blank">上周Dropbox宣布</a>，為近來發現少數用戶濫用其原提供給企業的Dropbox Advanced無限量儲存空間服務，作為挖礦及和他人共用等非企業用途、甚至轉售空間獲利，該公司決定取消這項服務，而轉為定量計價方案，3個授權只能使用15TB儲存空間。在上周的說明中，Dropbox提及，這些濫用行為是在近日其他雲端儲存業者取消無上限儲存後大增。但之前並沒有雲端廠商宣布此事。</p> <p><a href="https://www.techradar.com/pro/exclusive-microsoft-quietly-ends-unlimited-cloud-storage-option-on-onedrive" target="_blank">上周Techradar首先報導</a>原因可能是微軟。他們發現微軟上個月悄悄終結了OneDrive for Business（商務用OneDrive）方案2，這個方案以每授權每月10美元提供不限量的雲端儲存空間。依據Archive.org暫存網頁的紀錄，時間可能是在<a href="https://web.archive.org/web/20230628230525/https://www.microsoft.com/en-us/microsoft-365/onedrive/compare-onedrive-plans?activetab=tab%3Aprimaryr2" target="_blank">6月28日</a>到<a href="https://web.archive.org/web/20230714220922/https://www.microsoft.com/en-us/microsoft-365/onedrive/compare-onedrive-plans?activetab=tab:primaryr2" target="_blank">7月14日</a>之間。</p> <p>現在商務用OneDrive僅剩方案1，每授權5美元，配置1TB空間。<a href="https://www.microsoft.com/zh-tw/microsoft-365/onedrive/compare-onedrive-plans#xeb2a58a249984e1d98470fcebeeac086" target="_blank">目前台灣微軟網頁也只剩下商務用OneDrive方案1的選項</a>，費用為每人每月150臺幣。</p> <p>微軟向媒體證實此事。微軟的說法是為了回應客戶需求，因此決定簡化商務用OneDrive方案的客戶採購流程。微軟表示這些方案的用戶還是可以依人數單獨採購並更新授權。</p> <p>再不然用戶就得改買包含M365、Exchange、SharePoint及Teams等雲端應用的Microsoft 365 Business Basic（商務基本版）或Business Standard（商務標準版），每授權月費各為6美元及12.5美元，但也都只配置了1TB OneDrive空間。</p> </div></div></div>
2023/8/29 11:08作者林妍溱https://www.ithome.com.tw/news/158473
雲端資料倉儲BigQuery現可生成文字嵌入強化自然語言應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端資料倉儲服務BigQuery加入<a href="https://cloud.google.com/blog/products/data-analytics/introducing-bigquery-text-embeddings">文字嵌入（Text Embedding）生成</a>功能，開發者將可以透過熟悉的SQL指令擷取文字嵌入，並將其應用到下游應用程式中。目前BigQuery所支援的文字嵌入，可由textembedding-gecko、BERT、NNLM以及SWIVEL模型所生成。</p> <p>這項新功能的使用流程，由註冊需要的模型成為遠端模型開始，接著用戶就可以使用生成文字嵌入函式來生成嵌入，而這些操作都僅使用BigQuery SQL就可以完成。文字嵌入是一個由文字轉化而來的向量，可用來尋找相似的項目，像是語義搜尋、分類、分群、異常偵測和或是對話式介面等應用。</p> <p>BigQuery新支援的4種模型嵌入，其中textembedding-gecko是運用Google語言模型PaLM生成嵌入，其他三個模型BERT、NNLM以及SWIVEL，則都可以從TensorFlow Hub選用。BERT是Transformer架構的深度預訓練網路，可針對自然語言生成密集的向量表示，NNLM與SWIVEL則是以英文Google新聞語料庫訓練而成。</p> <p>同時，官方也宣布開始支援array<numeric>特徵類型結構，使這些生成出來的嵌入，可被其他BigQuery支援的機器學習模型所使用，並根據向量空間的鄰近度與距離進行資料分析。</p> </div></div></div>
2023/8/29 08:28作者李建興https://www.ithome.com.tw/news/158466
臺灣企業組織遭到中國駭客Flax Typhoon寄生攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟揭露<a href="https://www.microsoft.com/en-us/security/blog/2023/08/24/flax-typhoon-using-legitimate-software-to-quietly-access-taiwanese-organizations/">中國駭客組織Flax Typhoon約自2021年中發起的攻擊行動</a>，其主要目標是臺灣的政府機關、教育機構、重要製造商、資訊科技組織等數十個單位，但研究人員也有看到東南亞、北美、非洲的組織受害。</p> <p>這些駭客鎖定可透過網際網路存取的伺服器，例如：VPN主機、網頁伺服器、SQL Server資料庫等，利用已知漏洞取得初期存取的權限，然後部署大小僅有4 KB的Web Shell中國菜刀（China Chopper），以便遠端執行命令，過程中駭客可能為了提升權限，他們會透過開源程式Juicy Potato或BadPotato來利用系統的已知漏洞，取得管理者層級的權限。</p> <p>接著，駭客利用登錄檔關閉網路層身分驗證（NLA），且透過粘滯鍵（Sticky Keys）建立遠端桌面連線（RDP），而能夠持續存取受害伺服器，甚至取得啟動終端機、導出記憶體內容的能力。</p> <h3><span style="color:#0000FF;"><strong>濫用開源VPN應用程式建立新的存取管道，並進一步用來攻擊其他受害電腦</strong></span></h3> <p>特別的是，駭客為了跳脫他們設計的RDP只能存取內部網路的限制，再度透過寄生攻擊（LOLBins）手法，利用名為Invoke-WebRequest的PowerShell指令碼，或是Bitsadmin、certutil，部署SoftEther的VPN用戶端程式。再者，駭客也透過WinRM、WMIC來進行橫向移動。</p> <p>攻擊者為了避免建立的VPN連線被發現，他們採取了多種措施。在部署之前，駭客會調查企業環境裡存在的VPN應用程式；再者，在大部分的攻擊行動裡，駭客會將VPN應用程式的可執行檔重新命名成Windows元件的名稱，如：conhost.exe或dllhost.exe，這些分別是名為Console Window Host Process、Component Object Model Surrogate元件的檔案名稱。其次，他們濫用SoftEther的VPN-over-HTTPS操作模式，使得相關網路流量被封裝成相容於HTTPS的資料，並透過TCP通訊協定443埠進行傳輸。如此一來，企業組織難以識別這種VPN連線與一般的HTTPS流量。</p> <p>而上述的VPN連線駭客還進一步加以利用，透過SoftEther的VPN橋接功能，將網路攻擊流量路由到其他的受害系統，這些流量被用於網路掃描、漏洞掃描、弱點嘗試利用等。</p> <p>一旦駭客成功建立上述的VPN存取管道，通常他們就會利用Mimikatz，鎖定本機安全認證子系統服務（LSASS）處理程序占用的記憶體內容、安全性帳號管理員（SAM）登錄檔配置的內容，來竊取本機用戶的密碼雜湊值，然後進一步存取受害組織網路環境的其他資源。此外，駭客還會列舉系統還原功能的還原點，目的是從中了解受害電腦狀態，或是抹除惡意活動的跡象。</p> </div></div></div>
2023/8/28 22:43作者周峻佑https://www.ithome.com.tw/news/158467
提供更多Ada架構產品，輝達補足中階專業繪圖加速卡選擇
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/nvidia_rtx_5000_ada_generation_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一年來，Nvidia陸續推出多款導入Ada Lovelace架構的專業繪圖加速卡，首先是去年9月GTC秋季大會登場的<a href="https://www.ithome.com.tw/review/155388">RTX 6000 Ada Generation</a>，到了今年3月GTC春季大會，<a href="https://nvidianews.nvidia.com/news/nvidia-redefines-workstations-to-power-new-era-of-ai-design-industrial-metaverse">該公司發表更多採用此架構的GPU產品</a>，像是：可安裝在桌上型電腦工作站的RTX 4000 SFF Ada Generation，以及整合在筆電工作站的多款獨立GPU晶片，例如，名稱後段冠上Ada Generation的RTX 5000、RTX 4000、RTX 3500、RTX 3000、RTX 2000。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20GTC-Pro%20Graphics-2023-03-20_122244.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20GTC-Pro%20Graphics-2023-03-20_1220421.jpg" style="width: 600px;" /></p> <p>在8月上半舉行的Siggraph大會，Nvidia繼續推出3款桌上型電腦工作站專業繪圖GPU，分別是：RTX 5000、RTX 4500、RTX 4000，都採用Ada Lovelace架構，因此，產品全名後段均標示Ada Generation，強調可提供最新AI、繪圖處理，以及即時渲染等技術。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-08-08-Nvidia Pro Graphics update1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-08-Nvidia%20Pro%20Graphics%20update1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-Nvidia RTX Ada Generation Desktop.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-Nvidia%20RTX%20Ada%20Generation%20Desktop.png" style="width: 600px;" /></a>\</p> <p>相較於上一代採用Ampere架構的專業繪圖加速卡，這批產品在運算效能最高可提升1倍。針對單精度浮點運算處理，配置新架構的CUDA核心，可提供2倍的效能，舉例來說，既有的RTX A5000為27.8 TFLOPS，新進的RTX 5000 Ada Generation為65.3 TFLOPS。</p> <p>針對AI訓練工作，搭配第四代Tensor核心的新產品，能達到2倍效能，而且也因為擴充支援FP8運算處理，在同時使用寬鬆處理的作法之下，效能還能再提升。例如，現行RTX A5000的Tensor效能為222.2 TFLOPS， RTX 5000 Ada Generation的Tensor效能為1044.4 TFLOPS。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-08-Nvidia%20Pro%20Graphics%20update2.jpg" style="width: 600px;" /></p> <p>在同時執行光線追蹤搭配著色或降噪功能時，這批配置第三代RT核心的新產品，可提供2倍吞吐量。而對於搭配AI運算的即時圖形處理，由於Ada Lovelace架構採用全新的光學流動加速器（Optical Flow Accelerator），以及AI影格產生（AI frame generation），而能支援Nvidia發展的第三代深度學習超高取樣技術（DLSS 3）運算，將影像的逼真度與可互動性提升至新的境界。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia DLSS3 and Optical Flow Accelerator.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20DLSS3%20and%20Optical%20Flow%20Accelerator.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia DLSS3 Engine Motion Vectors and Optical Flow.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20DLSS3%20Engine%20Motion%20Vectors%20and%20Optical%20Flow.jpg" style="width: 600px;" /></a></p> <p>關於多媒體編碼標準的運用，因為Ada Lovelace架構針對日益普及的<a href="https://developer.nvidia.com/blog/av1-encoding-and-fruc-video-performance-boosts-and-higher-fidelity-on-the-nvidia-ada-architecture/">AV1提供更完整的支援</a>，連帶使得這一批新款專業繪圖加速卡受惠。像是RTX A5000內建AV1解碼引擎，RTX 5000 Ada Generation同時提供AV1的編碼與解碼引擎。</p> <p>在GPU記憶體配置上，Ada Generation產品也提供較大容量。例如，同為5000等級的款式，RTX A5000與RTX A5500均內建24 GB記憶體，RTX 5000 Ada Generation則是32 GB；同屬4000等級的款式，RTX A4500與RTX A4000分別搭配20 GB與16 GB記憶體，RTX 4500 Ada Generation搭配24 GB，RTX 4000 Ada Generation與RTX 4000 SFF Ada Generation搭配20 GB。</p> <p>然而，若以GPU記憶體存取規格比較兩代產品，我們可以發現不一定呈現新品較強的配置。例如，RTX A5500、RTX A5000的記憶體介面為384位元、頻寬為768 GB/s，但RTX 5000 Ada Generation為256位元、576GB/s；RTX A4500的記憶體介面為320位元、頻寬為640 GB/s，RTX 4500 Ada Generation為192位元、432 GB/s；RTX A4000的記憶體介面為256位元、頻寬為448 GB/s，RTX 4000 Ada Generation為160位元、360 GB/s。</p> <p>唯一例外的是，RTX A6000 與RTX 6000 Ada Generation這個位階的款式，它們皆採用384位元介面，頻寬各為768 GB/s、960 GB/s。</p> <p><a href="https://s4.itho.me/sites/default/files/images/NVIDIA Professional Graphics Solutions-2023-08-25.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NVIDIA%20Professional%20Graphics%20Solutions-2023-08-25.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>Nvidia RTX 5000 Ada Generation<br /> ●原廠：Nvidia<br /> ●建議售價：4,000美元起<br /> ●CUDA處理核心數量：12,800個<br /> ●Tensor Core數量：400個<br /> ●RT Core數量：100個<br /> ●內建記憶體容量：32 GB GDDR6<br /> ●記憶體頻寬：576 GB/s<br /> ●連接介面：PCIe 4.0 x16<br /> ●支援NVLink：否<br /> ●單精度運算效能：65.3 TFLOPS<br /> ●外觀尺寸：雙槽全高<br /> ●DisplayPort埠：1.4a版規格，4個<br /> ●耗電量：250瓦<br /> ●支援繪圖處理API：Shader Model 6.7、OpenGL 4.6、DirectX 12、Vulkan 1.3<br /> ●支援運算處理API：CUDA 12.2、DirectCompute、OpenCL 3.0</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/8/28 23:34作者李宗翰https://www.ithome.com.tw/review/158433
Dell新推電信邊緣伺服器，搭配內建vRAN加速的英特爾處理器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/dell_poweredge_xr5610_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年2月底舉行的世界行動通訊大會（MWC 2023），英特爾發表內建vRAN Boost技術的<a href="https://www.ithome.com.tw/tech/155638">第四代Xeon Scalable處理器</a>，針對5G核心網路的軟體應用工作負載而來，相較於採用上一代Xeon Scalable處理器的設備，能在相同功耗範圍當中，提供兩倍的處理容量，而且由於提供vRAN Boost技術（處理器內建vRAN加速器），毋須搭配獨立的加速運算卡，因此能節省20％的耗電量。</p> <p>到了8月，<a href="https://community.intel.com/t5/Blogs/Tech-Innovation/Edge-5G/Intel-Brings-to-Market-World-s-First-vRAN-Processor-with-Fully/post/1510974">英特爾宣布這批處理器的供應進入商業部署階段</a>，也連帶引發外界好奇，想了解目前有哪些市售伺服器產品可與其搭配。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-H1-Dell Server Next.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-H1-Dell%20Server%20Next.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-H1-Telecom Server.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-H1-Telecom%20Server.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-H1-Enterprise Edge Server.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-H1-Enterprise%20Edge%20Server.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-02-DELL_12959_XR-rugged-server.jpg" style="width: 300px;" /></p> <p>據我們所知，Dell的XR5610與XR8000應該是最早公開宣布支援這批處理器的事售專屬伺服器機型，從該公司在今年MWC大會期間展示的產品，以及發表的部落格文章表示，這兩款機型都是專為邊緣與Open RAN部署環境需求而設計，其中的XR5610為單節點單路硬體強固型伺服器，通過軍規MIL-STD-810H與電信機房等級的NEBS Level 3測試，採用1U尺寸短機身的機箱，可設置在瀰漫灰塵與極端溫濕度的環境，適用於電信、國防、企業等領域的邊緣運算。</p> <p>另一款XR8000是多節點伺服器，提供高密度的運算配置，可安裝多個1U與2U高度的運算模組，對於Open RAN環境的部署，可提供更理想的總持有成本與效能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-02-Dell Telecom Edge Server2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-02-Dell%20Telecom%20Edge%20Server2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-02-Dell Telecom Edge Server1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-02-Dell%20Telecom%20Edge%20Server1.jpg" style="width: 600px;" /></a></p> <p>截至目前為主，這兩款伺服器已陸續推出，Dell在4月底揭露XR5610的細部規格表與產品技術指南，至於XR8000的這兩份技術資訊則是8月公開。</p> <p>以稍早上市的XR5610來看，Dell強調，這款新一代的機型，是繼承2021年第一款專為電信邊緣環境設計的伺服器XR11，所能運用的環境溫度範圍均為攝氏零下5度到55度。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-02-Dell XR5610-front.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-02-Dell%20XR5610-front.jpg" style="width: 600px;" /></a></p> <p>兩款機型的機箱尺寸大同小異，長度與寬度皆為42.8公釐、482.6公釐，但XR5610的深度略大——在移除面板的狀態下，XR11無論採用機箱的前方存取（Front Accessed）或後方存取（Rear Accessed）的組態，深度均為463公釐，XR5610採用前方或後方存取時，深度各為472.7公釐、463公釐。就硬碟儲存裝置而言，受限於機箱尺寸同樣狹隘，XR5610與XR11最多可安裝4臺2.5吋固態硬碟。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/poweredge-xr-5610-pdp-mod03-4SSD.jpg" style="width: 600px;" /></p> <p>值得注意的是，XR5610開始導入14代PowerEdge開始採用系統散熱技術：Multi Vector cooling 3.0，提升冷卻設計，使伺服器機箱內部的氣流通道更順暢，將空氣傳送至需要散熱的部位，並且能在不犧牲系統冷卻基準的需求之下，提供自定散熱的選項，以減少風扇與整體系統的耗電量。若粗略對照XR5610與XR11的相關規格，我們可以看到前者採用6臺標準型風扇，後者則用6臺高效能風扇，耗電量應有明顯差異。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell XR5610_XR11-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20XR5610_XR11-1.png" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-02-Dell%20XR5610-back.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/XR5600-Inside%20view%20of%20the%20system.jpg" style="width: 298px;" /></p> <p>在系統運算規格方面，Dell新一代電信邊緣伺服器產品有較大幅度的改良。首先是處理器，XR11搭配的英特爾第三代Xeon Scalable系列，XR5610則是採用2023年最新發表的第四代Xeon Scalable系列，第一階段可選用單路通用型的3408U、5412U，儲存與超融合最佳化型的5416S，以及5G或網路最佳化型的6421N，隨著英特爾8月宣布內建vRAN加速器款式的CPU進入商用部署階段，Dell也正式開放4款vRAN最佳型款式的搭配，分別是：6433 N、5423 N、6423 N、6403 N，供應有意發揮這方面晶片整合特色的用戶。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-02-Intel%20MWC-Xeon%20With%20vRAN%20Boost2.jpg" style="width: 198px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-02-Intel%20MWC-Xeon%20With%20vRAN%20Boost.jpg" style="width: 398px;" /></p> <p>伴隨著處理器平臺更新而來的特色，則是XR5610可搭配頻寬加倍與時脈更高的DDR5記憶體，以及傳輸速率更高的新一代I/O介面PCIe 5.0。基於這樣的介面，這款產品能安裝2張GPU、加速網路L1層處理的運算卡，以及可擴充使用更多SATA/SAS/NVMe裝置的儲存控制卡等功能擴充卡（XR11可安裝3張支援PCIe 4.0規格的介面卡）。</p> <p>而在其他周邊I/O規格方面，兩款機型均內建4個25GbE網路埠，XR5610還可選購OCP 3.0規格的夾層卡；就加速運算卡的搭配數量而言，XR5610最多可安裝2張熱設計功耗為75瓦或150瓦的GPU，XR11同樣能安裝2張GPU，但功耗需為70瓦以下。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell XR5610_XR11-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20XR5610_XR11-2.png" style="width: 600px;" /></a></p> <p>關於連接埠的部分，XR5610無論採用前方或後端存取，不僅提供USB 2.0與3.0埠，也設置獨立的RJ45埠用於乾接點（dry contact）信號的接入，Dell表示，透過這樣的輸入介面，可連接環境感測器，以獲取邊緣設備機箱的各種狀態，像是機箱開啟警報、濕度偵測，協助遠端管理者判斷伺服器目前所在環境的變化。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20XR5610-7620-8000-2023.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>Dell PowerEdge XR5610<br /> ●原廠：Dell<br /> ●建議售價：7,457.64美元起<br /> ●機箱尺寸：1U<br /> ●處理器：1顆英特爾第4代Xeon Scalable系列（最多32核心）<br /> ●記憶體：8個DDR5-4800插槽，最大可安裝至1 TB<br /> ●硬碟容量：前端可容納4臺2.5吋SATA/SAS/NVMe固態硬碟（最大30.72 TB）<br /> ●PCIe擴充介面：2個5.0 x16，可安裝2張全高半長介面卡（熱功耗為75瓦的GPU）<br /> ●電源供應器：1800/1400/1100/800瓦（1+1備援）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/8/28 18:39作者李宗翰https://www.ithome.com.tw/review/158455
【資安日報】8月28日，中國駭客Flax Typhoon鎖定臺灣組織而來，發動寄生攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面對臺海的緊張局勢，中國駭客鎖定臺灣的任何攻擊行動格外受到關注。上週微軟揭露的新駭客組織Flax Typhoon，就鎖定臺灣數十個企業組織下手，進行長時間的網路間諜行動，值得一提的是，駭客為了隱匿攻擊行動，大量就地取材，運用寄生攻擊（LOLBins）手法，儘可能使用最少的惡意軟體來達成目的。</p> <p>無論是提升權限、建立遠端存取的管道，或是在受害組織的內部網路進行橫向移動，這些駭客大部分都利用Windows作業系統內建元件來進行，使得資安人員難以察覺異狀。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/08/24/flax-typhoon-using-legitimate-software-to-quietly-access-taiwanese-organizations/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣企業組織遭到中國駭客Flax Typhoon寄生攻擊</span></strong></a></p> <p>微軟揭露中國駭客組織Flax Typhoon約自2021年中發起的攻擊行動，其主要目標是臺灣的政府機關、教育機構、重要製造商、資訊科技組織等數十個單位，但研究人員也有看到東南亞、北美、非洲的組織受害。</p> <p>這些駭客鎖定可透過網際網路存取的伺服器，例如：VPN主機、網頁伺服器、SQL Server資料庫等，利用已知漏洞取得初期存取的權限，然後部署大小僅有4 KB的Web Shell中國菜刀（China Chopper），以便遠端執行命令，過程中駭客可能為了提升權限，他們會透過開源程式Juicy Potato或BadPotato來利用系統的已知漏洞，取得管理者層級的權限。接著駭客利用登錄檔關閉網路層身分驗證（NLA），且透過粘滯鍵（Sticky Keys）建立遠端桌面連線（RDP），而能夠持續存取受害伺服器，甚至取得啟動終端機、導出記憶體內容的能力。</p> <p>特別的是，駭客為了跳脫他們設計的RDP只能存取內部網路的限制，再度透過寄生攻擊（LOLBins）手法，利用名為Invoke-WebRequest的PowerShell指令碼，或是Bitsadmin、certutil，部署SoftEther的VPN用戶端程式。再者，駭客也透過WinRM、WMIC來進行橫向移動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1_-Flax-Typhoon-attack-ch.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1_-Flax-Typhoon-attack-ch.png" style="width: 580px;" /></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/kroll-data-breach-exposes-info-of-ftx-blockfi-genesis-creditors/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">風險控管業者Kroll員工遭遇SIM卡挾持攻擊，破產申請人資料恐外洩</span></strong></a></p> <p>根據Bleeping Computer、<a href="https://thehackernews.com/2023/08/kroll-suffers-data-breach-employee.html">Hacker News</a>、<a href="https://krebsonsecurity.com/2023/08/kroll-employee-sim-swapped-for-crypto-investor-data/">Krebs on Security</a>等多家資安新聞網站報導，正在協助已宣布破產的加密貨幣業者FTX、BlockFi、Genesis清償債務的風險控管業者Kroll，傳出遭未經授權的外部人士存取內部系統的資料外洩事故，FTX、BlockFi透露此事，並表示曝露的個資為部分債權人的非敏感資料，兩家公司的系統沒有直接遭到破壞，他們用戶的密碼及資金未受到波及。</p> <p>Kroll也在8月25日發出聲明證實此事，並指出是19日有人對其中一名員工的T-Mobile帳號發動攻擊所致，導致該電信業者依照這位假裝是用戶本人的駭客指示，將該手機門號移轉到駭客名下，過程中並未獲得員工的授權。駭客疑似藉此存取部分BlockFi、FTX、Genesis債權人的資料，該公司已針對3個受到影響的帳號採取保護行動，並寄送電子郵件通知受影響的人士。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/FTX_Official/status/1694899217326608611">https://twitter.com/FTX_Official/status/1694899217326608611</a><br /> 2. <a href="https://twitter.com/BlockFi/status/1694844414294704547">https://twitter.com/BlockFi/status/1694844414294704547</a><br /> 3. <a href="https://www.kroll.com/en/about-us/news/security-incident">https://www.kroll.com/en/about-us/news/security-incident</a></p> <p><a href="https://www.welivesecurity.com/en/eset-research/scarabs-colon-izing-vulnerable-servers/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意工具組Spacecolon被用於散布勒索軟體Scarab</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CosmicBeetle-5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CosmicBeetle-5.png" style="width: 300px; float: right;" /></a>資安業者ESET揭露土耳其駭客組織CosmicBeetle的攻擊行動，駭客從2020年5月，利用名為Spacecolon的惡意工具包，鎖定存在ZeroLogon漏洞的電腦，或是能夠暴力破解的遠端桌面連線（RDP）伺服器下手，一旦成功入侵便會部署攻擊工具包的ScHackTool元件，進而透過其他工具來停用防毒軟體或資安防護元件，並收集敏感資料以便獲得進一步的存取權限。</p> <p>接著，駭客部署工具包的另一個元件ScInstaller，並將其用於安裝遠端存取工具ScService，最終植入勒索軟體Scarab。在部分攻擊行動裡，駭客透過開源的網路掃描工具Impacket取代ScInstaller，不過，也有未用ScHackTool的情況。此外，在研究人員看到的勒索軟體當中，內含了名為ClipBanker的剪貼簿挾持軟體，該惡意程式竄改使用者複製的加密貨幣錢包地址，將資金轉到攻擊者的錢包。</p> <p>特別的是，研究人員發現在部分情境裡，駭客還會執行.NET程式ScPatcher，修補受害系統的特定漏洞，但目前無人知道他們為何這麼做。</p> <p><a href="https://adlumin.com/post/playcrypt-ransomware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Play鎖定安全服務代管業者下手，利用已知漏洞發動攻擊</span></strong></a></p> <p>資安業者Adlumin揭露勒索軟體Play近期的攻擊行動，主要標的是美國、澳洲、英國、義大利的地方政府，以及金融、軟體產業、法律事務所、航運公司、物流業等中端企業，駭客先是針對上述企業組織的代管服務供應商（MSP）下手，然後利用遠端監控及管理（RMM）軟體，進而繞過大部分的資安系統，取得目標組織完整的存取權限。</p> <p>除了上述的供應鏈攻擊手法，駭客也有可能透過其他應用系統的漏洞，例如：FortiOS防火牆作業系統的SSL VPN漏洞CVE-2018-13379、CVE-2020-12812，以及Exchange漏洞ProxyNotShell、OWASSRF等。此外，為了防範資安系統察覺整個檔案遭到竄改，駭客利用間歇性加密手法來迴避偵測。</p> <p><a href="https://tw.nextapple.com/local/20230825/93A44888325E141E344987CC1A090A49"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣大型加密貨幣交易業者麒點科技因工程師報復，部分程式交易出現鉅額虧損，法院判決出爐</span></strong></a></p> <p>2020年臺灣大型加密貨幣交易業者麒點科技（Kronos Research）發生部分程式交易出現鉅額虧損，經過調查是陳姓、許姓2名工程師於同年5月1日、9日，疑似不滿公司並未依照約定發出獎金，在12日離職前共謀於交易程式Zeus當中埋入錯誤的參數，造成多筆交易執行最差的交易策略，導致該公司粗估虧損140萬美元（相當於新臺幣4,451萬元）。</p> <p>臺北地檢署於2022年1月27日起訴2人，近期判決出爐，臺北地方法院認為，2人當時仍任職，但沒有忠實執行職務，濫用資訊專業導致公司受到損害，審酌2人坦承部分犯行、沒有前科，依無故變更、刪除他人電腦電磁紀錄罪，判陳男8月徒刑，另依偽造文書、無故入侵電腦罪，合併判陳男8月徒刑，得易科罰金24萬元；許男則被依無故變更、刪除他人電腦電磁紀錄、偽造文書罪，合併判刑10月得易科罰金30萬元，全案仍可上訴。究竟這2名工程師造成損失的規模如何？判決中並未提及，麒點科技已向2人提起附帶民事求償。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.cna.com.tw/news/afe/202308240374.aspx"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">企業風險意識提高，2022年資安險保費破4億元</span></strong></a></p> <p>8月24日金融監督管理委員會公布2022年企業投保資安保險的情況，全年投保件數累計達到604件，較去年增加6.15%；簽章保費達到4.02億元，年增68.96%，無論簽單保費或投保件數，皆創下統計新高。而對於今年上半的部分，簽單保費為2.05億元，較去年同期增加36.67%，金管會認為，若下半年維持上半年的投保意願，今年有望再創資安險簽單保費新紀錄。</p> <p>金管會保險局副局長林志憲指出，產險公司資安險保費收入從2018年8,908萬元，穩定成長至2022年的4.02億元，顯示近年企業透過資安險移轉資安風險意識提高。金管會指出，除了針對大型企業資安需求提供的客製化保單，產險業者近年也推出3類險種較適合中小企業投保的險種，讓資安保險投保門檻降低，分別是資訊系統不法行為險、資料保護責任險、資訊安全綜合險。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.cna.com.tw/news/afe/202308270019.aspx"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">2022年智慧型手機資安抽測結果出爐，數位部表示今年將增加測試項目</span></strong></a></p> <p>數位發展部去年承接國家通訊傳播委員會（NCC）的智慧型手機內建軟體資安檢測業務，針對蘋果iPhone 13、三星Galaxy S22 Ultra、Sony Xperia 1 IV、Google Pixel 6等12款高銷量手機，以及5款中國品牌手機進行檢驗，8月27日公布結果，17款手機全數過關。</p> <p>今年數位部從8月開始新一輪的手機資安檢測作業，同樣挑選12款高銷量手機、5款中國品牌手機檢查，並預計在2024年5月前完成，但有別於過往從臺灣資通產業標準協會（TAICS）測試規範挑選項目進行檢驗，有鑑於愈來愈多使用者透過手機消費，數位部今年調整部分檢驗項目，並表示曝露的個資為部分債權人的非敏感資料，兩家公司的系統沒有直接遭到破壞，他們用戶的密碼及資金未受到波及。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.leparisien.fr/economie/six-millions-de-personnes-pourraient-etre-concernees-par-un-vol-de-donnees-a-pole-emploi-23-08-2023-VWPYOMBSWZDPVDW7LWHJA2KIGU.php"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">法國政府失業救濟機構資料外洩，曝露千萬人個資</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/leaseweb-is-restoring-critical-systems-after-security-breach/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">雲端服務業者Leaseweb疑似遭到入侵，部分客戶停機</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/rhysida-claims-ransomware-attack-on-prospect-medical-threatens-to-sell-data/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">針對Prospect Medical Holdings遭到攻擊面臨服務中斷，勒索軟體Rhysida聲稱是他們所為，竊走1 TB檔案及1.3 TB的SQL資料庫</span></span></strong></a></p> <p><a href="https://www.darkreading.com/dr-tech/nist-publishes-first-draft-standards-for-post-quantum-cryptography"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">NIST發布後量子加密標準草案</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/jupiter-x-core-wordpress-plugin-could-let-hackers-hijack-sites/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">WordPress外掛程式Jupiter X Core存在漏洞，攻擊者可用來挾持網站</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158448">【8月25日】北韓駭客Lazarus鎖定歐洲、美國組織，利用Zoho ManageEngine服務臺系統漏洞發動攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158431">【8月24日】 DuoLingo用戶個資傳出在駭客論壇兜售，疑似因API臭蟲而外洩</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158411">【8月23日】研究人員揭露勒索軟體Akira新攻擊手法，駭客鎖定思科VPN系統做為初始入侵管道</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158398">【8月22日】木馬程式HiatusRAT鎖定臺灣而來，半導體、化學製造業、縣市政府成為目標</a></strong></p> </div></div></div>
2023/8/28 12:15作者周峻佑https://www.ithome.com.tw/news/158458
社群分叉Terraform創建OpenTF專案，準備申請進入Linux基金會
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端基礎設施軟體公司HashiCorp日前<a href="https://www.ithome.com.tw/news/158228">宣布</a>，將旗下產品從原本的MPL 2.0（Mozilla Public License v2.0）開源授權，改為BSL（Business Source License） v1.1，此舉引來眾多企業與用戶反彈，畢竟BSL並不是OSI（Open Source Initiative）認可的開源授權。為此社群分叉Terraform創立OpenTF專案，<a href="https://opentf.org/announcement">預計將會在近期公開儲存庫</a>，同時已經準備申請進入Linux基金會。</p> <p>HashiCorp的熱門專案Terraform在2014年開源，經過約9年的發展，已經累積成一個由許多使用者、貢獻者、客戶、廠商和認證業者共同組成的龐大生態系，而HashiCorp創辦人暨技術長Armon Dadgar在8月中的時候發文提到，HashiCorp旗下產品都將轉為採用BSL授權，目的是要限制供應商不得以HashiCorp的專案發展與之相競爭的產品，打擊濫用開源軟體的情況。</p> <p>但是社群顯然對這項決定不開心，而且感到備受威脅，雖然HashiCorp所使用的BSL v1.1在不開發與之競爭的產品前提下，用戶仍可自由使用專案與程式碼，但是<a href="https://opentf.org/">OpenTF專案宣言</a>提到，一旦HashiCorp變更授權，所有用戶便需要重新檢視自家專案是否違反授權，而且需顧慮HashiCorp對於競爭產品的定義，是否可能隨著時間改變。</p> <p>同時，OpenTF宣言也認為Armon Dadgar在部落格文章中，對供應商濫用的HashiCorp開源專案的描述有誤，因為許多受BSL變更影響的供應商，同樣也對Terraform社群做出貢獻，文章舉例像是Terraform核心貢獻者有1,700位，Terraform AWS Provider則有2,800位貢獻者，Azure Provider也有1,300位貢獻者，而這些貢獻者絕大多數非HashiCorp員工。</p> <p>另外，包括Terraform註冊表中的1.4萬個模組以及數百種工具，還有各種學習資源，也都並非HashiCorp官方所創建。OpenTF認為，如果Terraform當初並非開源專案，Terraform工作流程許多工具也不會存在。</p> <p>因此Terraform社群聯合發布OpenTF宣言，要求HashiCorp收回決定，恢復旗下產品繼續使用開源授權，但是這個宣言並沒有獲得預期的回應，因此OpenTF專案現在分叉Terraform，創建一個開源且由社群驅動開發的版本，官方也特別強調，OpenTF往後不會突然變更授權，並且也會讓新版本程式碼向後相容。</p> <p>現在OpenTF專案已經完成部分申請進入Linux基金會的文件，而他們最終目標是要讓OpenTF進入雲端原生運算基金會（CNCF），官方認為，唯有找一個能夠負責該專案的基金會，才能確保該工具永遠開源。</p> <p>OpenTF最快就會在一到兩週內公開分叉版本儲存庫，第一個版本將會是最新一個MPL授權的版本1.6.0-alpha，OpenTF官方提到，這個版本將可直接成為舊版本的替代，同時所有Provider和模組都可直接適用，而且OpenTF也將能與未來的Terraform版本完全互通。</p> </div></div></div>
2023/8/28 16:06作者李建興https://www.ithome.com.tw/news/158462
WordPress.com發表長達100年的網域名稱訂閱及代管服務，要價3.8萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Automattic旗下的網頁建置與部落格平臺<a href="https://wordpress.com/blog/2023/08/25/introducing-the-100-year-plan/" target="_blank">WordPress.com上周五（8/25）發表</a>了長達100年的代管方案，<a href="https://wordpress.com/100-year/" target="_blank">要價3.8萬美元</a>，強調此一方案是針對那些尋求終極安全性與長期數位存在的使用者所設計。</p> <p>根據此一方案的設計，它將允許使用者註冊一個網域名稱長達1世紀之久，一般而言，註冊一個網域名稱的最長期限是10年；它也會在不同的資料中心存放數位資產的備份，並自動將公開的內容提交至網際網路檔案館（Internet Archive）以永久儲存，亦支援鎖住模式；允許使用者轉讓所有權；另有頂級的WordPress代管及專用的技術支援服務。</p> <p>至於該方案的銷售對象則包括想要保留數位資產的家族，想要維護企業歷史與紀錄的創辦人，以及希望在網路上有一個穩定、彈性與個人化空間、還能因應未來所有技術變化的使用者。</p> <p>在推出100年方案的同時，或者也是2005年才成立的WordPress.com，希望自己能再持續一個世紀的期許。</p> </div></div></div>
2023/8/28 13:34作者陳曉莉https://www.ithome.com.tw/news/158461
丹麥雲端服務商遭勒索軟體攻擊，絕大部分用戶資料無法回復
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cloudnordic.com/" target="_blank">丹麥雲端服務供應商CloudNordic上周公告遭勒索軟體攻擊</a>，導致大部分用戶的資料無法回復。</p> <p>CloudNordic在8月18日凌晨遭到勒索軟體攻擊，當時他們正在進行伺服器實體搬移。該公司懷疑潛藏在某臺伺服器上的惡意程式感染CloudNordic伺服器基礎架構，導致所有系統包括網站、電子郵件、客戶系統、客戶網站等無法運作。駭客加密了所有伺服器磁碟，包括主要和次要備份系統，使所有機器崩潰無法運作。</p> <p>該公司不願支付6個比特幣（約16萬美金）的贖金，於是在自有及外部專家的協助下試圖回復資料。評估結果顯示所有系統和伺服器都無法回復，在其伺服器上儲存的大部分客戶資料已經佚失，不可能重建。但好消息是所有資料也都未外傳出去。</p> <p>CloudNordic已經報警。但由於事件切斷該公司對外聯繫的系統，使其尚無法一一通知受影響的客戶。<a href="https://azero.cloud/" target="_blank">這家北歐業者的姐妹公司Azero Cloud也遭到同樣攻擊</a>，並發布同樣的公告。</p> <p>業者目前已重建全新、空白的網域名（DNS）伺服器、網頁伺服器及郵件伺服器，供用戶重新啟用，並提供客戶聯絡該公司的管道。</p> </div></div></div>
2023/8/28 12:45作者林妍溱https://www.ithome.com.tw/news/158459