iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/9 04:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【政府資服採購作業指引：政府機關觀點】資安規範清單化是最大亮點，非資安專業的採購人員也能善用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了解決過去二十年來資訊服務採購遇到的各種履約爭議，以及近幾年來，政府資訊系統日益增加的各種資安措施，專責政府採購的行政院公共工程委員會，於九月公布一份《政府資訊服務採購作業指引》，以及同步修訂公布的《修正資訊服務採購契約範本強化資安防護》。</p> <p>臺北市政府資訊局局長趙式隆表示，該局的資訊服務採購向來有嚴謹的採購規範與範本，在資訊系統資安防護措施上，更是有清楚明確的規範。</p> <p>面對工程會協同數位部以及產業界公協會的力量，公布一份可以供甲方機關和乙方資服資安業者參考的作業指引與契約範本，趙式隆認為，這樣的作為對於提升機關整體的資安防護水準，是有利而無害。</p> <p>不管是工程會公布的作業指引，或是修訂公告的契約範本，趙式隆同意，這對於整個國家的資訊採購具有宣示效果，也可以提升各個機關對於資訊服務採購的共通水準。</p> <p><span style="font-size:28px;"><strong>乙方最不滿甲方「加量不加價」的要求</strong></span></p> <p>趙式隆在擔任北市府資訊局長之前，也在資服業界待過，是一個具有乙方經驗的現任甲方代表。而他之前在乙方任職時，主要顧客以金融業為主，有極高的法遵要求，和政府部門必須做到「依法行政」一樣。</p> <p>他認為，隨著政府機關數位化程度越來越深，對於資訊服務採購所要求的品質和連帶的資安規範，也越來越嚴謹。</p> <p>但是，現在除了必須自行開發的系統外，市場上的各種資服產品和資安解決方案，許多都是透過搭配不同規格化產品的產出。整體而言，搭配出來的各種解決方案，其實都有一定的品質穩定性，主要的差異點，通常都是甲方針對不同資訊服務，對乙方提出的解決方案有不同SLA（服務水準協議）要求。</p> <p>所以，雖然甲方機關會因為不同需求而選擇不同解決方案，但他認為，實務上，只要甲乙雙方對於資服採購的要求，都有達到一定程度的水準，即使發生重大的資安事件，雙方心中都會有一個資安底線。</p> <p>他說，這個資安底線也代表現實環境中，甲方可以達到何種程度的資服採購水準，以及乙方可以提供什麼樣資安防護措施要求。</p> <p>但是，趙式隆也觀察到，目前乙方對甲方最頭痛的行為就是「加量不加價」，這是所有乙方業者的痛點。</p> <p>尤其是，近年來因為資安威脅大增，甲方必須新增許多資安相關的解決方案和防護措施，許多資服採購簽訂合約時，因為沒有相關的資安配套，履約時，一旦面臨主管機關的要求，許多甲方只好要求或拜託乙方業者，無償或是挪用其他項目的金額，以滿足主管機關對甲方在資安法遵的要求。他直言，這樣的作法，往往是犧牲乙方合理的利潤空間，去滿足甲方不合理的要求。</p> <p><span style="font-size:28px;"><strong>資安一覽表作為機關資安檢核參考</strong></span></p> <p>這次工程會同步修訂公布的《修正資訊服務採購契約範本強化資安防護》與資安一覽表相關附件，最重要的是詳細列出了9種資服類型，對應普級、中級和高級的資安防護程度，所對應各種資安措施的資安一覽表（資服樣態資通安全標準）。</p> <p>趙式隆指出，這個資安一覽表最重要的核心概念就是「檢核表」，讓沒有資訊、資安專業的採購人員，可以透過對照檢核表的方式，確認應該納入哪些資安規範與措施。</p> <p>他笑說，以前沒有良心的乙方業者，可以憑三吋不爛之舌去說服甲方採購人員，對乙方業者而言，一旦這個機關案子做砸了，頂多再換個新機關就好。但當採購人員有了這份資安檢核表後，等於有一份檢核基準做勾選和比對，可以避免誤入乙方業者舌燦蓮花的陷阱。</p> <p><span style="font-size:28px;"><strong>最有利標以固定價格決標，議約不議價</strong></span></p> <p>趙式隆肯定工程會這次將《政府採購法》中的最有利標，直接定義為議約不議價「固定價格決標」的最有利標。</p> <p>以往定義的最有利標，是評審挑出評選第一名、服務內容最好的乙方業者後，還得看評選第一名的乙方業者價格，是否有超過機關自訂「底價」。</p> <p>若評選第一名的資服業者，經過三次減價還是無法達到機關自訂的底價後，就會由評選第二名的業者投標，其價格也必須超過機關的自訂底價才行。</p> <p>但新版《政府資訊服務採購作業指引》中的最有利標，卻是甲方直接公告標案價格，不管是哪一個乙方業者得標，決標價格就是甲方公告的標案價格，重點是，得標的乙方業者議約不議價，並不需要經過再議價的程序，只為了低於機關自訂的底價。</p> <p>趙式隆也說，得標的乙方業者提供的就是該業者最擅長的核心服務，最具有優勢的技能，就不必和以往競標一樣，必須提供滿足甲方暗示的各種回饋，才能夠得標。</p> <p>趙式隆認為，得標乙方業者脫穎而出的關鍵，就是善用其優勢作為「創意」項目，在議約過程中，成為能和其他乙方業者競標、最終能夠勝出的關鍵。</p> <p><span style="font-size:28px;"><strong>作業指引和範本不具強制性，最終仍須走到採購法修法階段</strong></span></p> <p>趙式隆表示，這次工程會公布的作業指引其實是類似行政命令的作法，並沒有具備強制力，包括提供的契約範本，參與投標的業者，其實都可以選擇是否要適用。</p> <p>只不過，乙方業者為了符合甲方提出的採購規範，只要是甲方參考什麼樣的採購作業指引，或是使用哪一種範本，通常會成為乙方業者的參考指南，「用甲方指引和範本，至少具備保底功能，」他說。</p> <p>不管是作業指引或是契約範本，趙式隆認為，背後帶來的「價值」才重要，讓甲乙雙方都有一個共通的參考準則，只要跟進使用、用得好，就可以達到一個共通水平，這也將成為政府機關未來資訊資安採購的基準線。</p> <p><a href="http://www.ithome.com.tw/article/158898" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span></span></strong></a> <a href="https://www.ithome.com.tw/article/158898" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1148-feng_mian_p1-open-960x420_gong_zuo_qu_yu_1_0.jpg?itok=qDPXiHb5" style="width: 550px;" /></a></p> </div></div></div>
2023/9/23 09:00作者黃彥棻https://www.ithome.com.tw/news/158897
政府資訊採購新變革
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1148-feng_mian_p1-open-960x420_gong_zuo_qu_yu_1_0.jpg?itok=qDPXiHb5" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>政府資訊服務採購受到《資安法》和《政府採購法》雙重規範，未來採購的資服系統不僅要分成普級、中級和高級，所有的資服採購也都要將資安防護措施納入採購規範中，做到資安入規。</p> </div></div></div>
2023/9/23 09:00未署名https://www.ithome.com.tw/article/158898
比價值才能雙贏
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>許多資服業者吃過政府標案的暗虧，但也有許多政府機關收拾過資服標案的爛攤子。政府採購立法20年來，雖然歷經幾次大修法，資訊採購仍然不時會出現政府部門與資訊業者雙輸的標案。</p> <p>我不時會聽到來自兩造對於標案的抱怨與爭議，我聽過不少很扯的標案傳聞（只能說是傳聞），例如業者得靠著比拼iPhone手機贈送數量來贏得資訊系統標案，或是有招標委員評選時不斷暗示簡報廠商，另一家多送哪些回饋，甚至，某單位政風單位找採購人員喝咖啡，討論為何沒有向廠商凹更多回饋。也有資服老總跟我抱怨，甲方（政府機關）的需求一改再改，改到結案最後一周都還要改，導致開發人力成本大增，標案不僅沒利潤反而大虧錢。</p> <p>但是，政府機關也有很多怨氣，常遇到業者承諾的功能膨風灌水，遠不如預期，甚至不敷使用，或是標案虎頭蛇尾，結案交差了事或是沒完成就棄標，導致資訊部門得自己接下爛攤子解決，系統才堪用。</p> <p>可是，政府資訊人力有限，高達7成的資訊系統建置都得委外，所有政府機關的資訊服務採購加起來，一年高達400億元，這還不包括科技預算和國防預算中的資訊服務採購。</p> <p>行政院公共工程委員會在9月出爐了全新增加的《政府資訊服務採購作業指引》辦法，也發布《修正資訊服務採購契約範本強化資安防護》來精進原有契約範本，想要一方面提高對委外業者的資安要求，另一方面也想要解決長年的標案爭議問題，減少過去標案雙輸的窘境，轉為創造更多雙贏的機會。</p> <p>這一次資訊服務採購變革，有幾項值得稱許的獨到作法。一來是透過行政命令層級的作業指引，而非透過漫長（過去採購法修法一次平均得花上13年）修法，只用了半年多就快速上路。</p> <p>還有一項特色是，原本是被評選的業者，成了新版採購作業辦法訂定的參與者，工程會找來指標業者和公協會，一方面彙整他們對於想要改善的標案作業建議，另一方面由業者自行訂定願意遵守的廠商資安條件。業者為了爭取更合理，甚至更有利潤的招標作業條款，而願意接受更嚴格的資安規範。</p> <p>例如，工程會在新的指引中，建議政府機關，資服採購標案以議約不議價精神，先公開標案價格後不砍價，改為比契約品質，比服務，不把價格納入最後調整的變動項目中，讓廠商可以事先預估利潤空間，來決定願意提供多少服務內容。工程會也取消「回饋」項目的比拼，改為針對提升招標系統品質為目標的「創意」項目。甚至，新指引考量跨年標案的物價變動，需求變動，驗收需要的更多外部檢測成本，讓政府機關與法有據能夠事先編列額外的預備預算，不用到了結案時，發現預算不足而得花時間變更契約，甚至重新補招標。這是工程類標案常見的預留預算來因應變動的作法，這次也放入了資訊服務採購指引中。</p> <p>對委外招標的政府機關而言，新版採購指引和修正採購範本，改為正面表列方式，取代負面表列的方式，甚至以規格選單式的檢核表，讓三、四級機關的採購人員，很容易就能依據委外系統的類型，選擇該適用普、中、高哪一種級的資安規格要求，不用自己傷透腦筋訂定各種資安招標需求的技術細節，就算採購人員不懂資安或資訊專業知識也能進行招標，連結案要驗收的服務水準指標也有更明確的項目清單可選用。</p> <p>雖然這次政府資訊服務採購變革，沒有一步到位，完全解決過往政府資訊服務採購的所有問題，但是，讓政府機關，尤其是地方政府機關，更容易執行複雜又高度專業的資訊系統採購，也讓競標業者，更聚焦在比較委外內容、服務水準的價值，提供資安防護能力更強的系統。這次的資訊服務採購變革，往政府資訊服務採購雙贏局面，邁開了關鍵一步。</p> <p><a href="http://www.ithome.com.tw/article/158898" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span></span></strong></a> <a href="https://www.ithome.com.tw/article/158898" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1148-feng_mian_p1-open-960x420_gong_zuo_qu_yu_1_0.jpg?itok=qDPXiHb5" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E6%94%BF%E5%BA%9C%E8%B3%87%E8%A8%8A%E6%9C%8D%E5%8B%99%E6%8E%A1%E8%B3%BC">政府資訊服務採購</a></div><div class="field-item odd"><a href="/tags/%E8%A1%8C%E6%94%BF%E9%99%A2%E5%85%AC%E5%85%B1%E5%B7%A5%E7%A8%8B%E5%A7%94%E5%93%A1%E6%9C%83">行政院公共工程委員會</a></div><div class="field-item even"><a href="/tags/%E5%B7%A5%E7%A8%8B%E6%9C%83">工程會</a></div><div class="field-item odd"><a href="/tags/%E6%94%BF%E5%BA%9C%E8%B3%87%E8%A8%8A%E6%9C%8D%E5%8B%99%E6%8E%A1%E8%B3%BC%E4%BD%9C%E6%A5%AD%E6%8C%87%E5%BC%95">政府資訊服務採購作業指引</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89%E9%A0%90%E7%AE%97">資安預算</a></div><div class="field-item odd"><a href="/tags/%E6%94%BF%E5%BA%9C%E6%8E%A1%E8%B3%BC%E6%B3%95">政府採購法</a></div></div></div>
2023/9/23 09:29作者王宏仁https://www.ithome.com.tw/voice/158908
微軟以AKS為基礎，整合Spark、Flink和Trino推出HDInsight資料分析服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟整合開源分析工作負載Apache Spark、Apache Flink和Trino，推出一套以AKS為基礎的雲端開源資料分析服務<a href="https://azure.microsoft.com/en-us/blog/manage-your-big-data-needs-with-hdinsight-on-aks/">HDInsight</a>，並與Power BI、Azure Data Factory和Azure Monitor等分析工具深度整合，用戶也可以使用Prometheus和Grafana進行監控。</p> <p>透過HDInsight，用戶可以在數分鐘內建立完整的端到端分析系統，利用現成的整合和內建的安全性功能，獲得可靠的分析基礎設施。由於HDInsight具有效能改進和自動縮放等功能，因此能夠確保分析工作負載能以最佳的成本執行。</p> <p>開發者藉由腳本和函式庫便能擴展開源工作負載的功能，並且根據自己的喜好，選擇軟體開發套件、Azure資源管理器或是入口網站等各種開發工具。HDInsight涵蓋企業各種資料處理需求，像是串流處理、查詢處理、批次和機器學習工作，並且獲得一致的視覺化功能。</p> <p>根據不同的資料分析場景需求，用戶可以選擇使用不同的開源工作負載，像是需要即時分析的場景，便可以使用開源分散式串流處理框架Apache Flink，當需要在跨多種結構化和非結構化資料來源執行臨時查詢時，便可以使用Trino，而靈活的Apache Spark則可用於串流、批次、機器學習和ETL等各種資料處理任務上。</p> <p>這些分析工作負載都使用共同的身分驗證模型，共享後設資料儲存和預建置的整合功能，讓用戶部署分析應用程式變得更方便。由於HDInsight on AKS是託管式服務，因此用戶不需要擔心基礎設施、作業系統和開源軟體的管理，而且HDInsight的容器化設計，使得部署、擴展和元件管理更簡單。</p> <p>官方強調，HDInsight on AKS使用OAuth 2.0安全框架，可以基於身分進行授權和存取控制，企業也可以使用自家的虛擬網路來增加安全性。</p> </div></div></div>
2023/9/23 08:39作者李建興https://www.ithome.com.tw/news/158899
Google開發逐步蒸餾技術，小資料小模型也能打敗LLM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了解決模型大小和訓練資料收集成本之間的權衡問題，Google現在發展一種稱為<a href="https://blog.research.google/2023/09/distilling-step-by-step-outperforming.html">逐步蒸餾（Distilling Step-by-Step）</a>的技術，可用比一般方法少得多的資料，訓練用於特定任務的小模型，但是效能卻能優於少樣本提示語言模型（Few-Shot Prompted LLM）。</p> <p>大型語言模型雖然功能強大，但是實際部署卻具有各種挑戰，Google提到，光是要部署一個1,750億參數的大型語言模型，專用基礎設施的GPU記憶體就至少需要350 GB。更不用說先進的語言模型參數可能高達5,000億個，所以供應商為了規避這類部署挑戰，通常會選擇部署較小的專用模型。</p> <p>研究人員解釋，小型專用模型有兩種訓練方式，分別是微調（Fine-tuning）和蒸餾（Distillation）。微調使用人工註釋資料，更新預先訓練的BERT或T5等規模較小的模型。而蒸餾的概念則是將一個大型模型，或稱為教師模型的知識，轉移至一個比較小的學生模型，運用大型語言模型所生成的標籤，訓練相同但規模較小的模型，雖然蒸餾法可以讓學生模型的規模和複雜性都遠低於教師模型，效能卻可以接近或是超越教師模型。</p> <p>但是要達到良好的效能，微調法需要人工生成標籤，這個過程既昂貴又繁瑣，而蒸餾法則需要大量未標記的資料，且收集資料本身就並非一件簡單的事。因此Google發展了逐步蒸餾法，這相對是一個簡單的機制，能夠讓研究人員以比標準微調或是蒸餾法少得多的訓練資料，訓練一個更小且專用於特定任務的模型，而且效能還可能可以優於少樣本提示語言模型。</p> <p>少樣本提示語言模型是指，大型語言模型使用少量的樣本，並透過提示來完成任務的方法，像是要求語言模型完成翻譯任務，研究人員便可以提供少量的英翻中樣本，再給予新的提示問題，期望模型能夠依據範例正確翻譯新問題。</p> <p>研究人員解釋，當大型語言模型被問到某些問題時，能夠透過推理並給出最終答案，這些中間的推理包含了可以完成任務需要的重要知識，但是小型模型需要大量資料才能學到這些知識。因此逐步蒸餾的核心想法，便是從大型語言模型中擷取有用的自然語言解釋，也就是中間的推理步驟，然後使用這些解釋更有效地訓練小型模型。</p> <p>因此逐步蒸餾的第一步驟，是從大型語言模型中擷取解釋，研究人員會提供少數範例，這些範例包含問題、中間的解釋和答案，引導大型語言模型對新的問題產生相對應的解釋。第二階段則是利用第一階段取得的解釋訓練小型模型，小型模型學習由大型語言模型生成的中間推理步驟，便能夠更好地預測答案。</p> <p>研究人員使用5,400億參數的PaLM大型語言模型，並選用T5作為特定任務的模型，實驗在不同自然語言處理任務的表現。透過逐步蒸餾法，使用較少的訓練資料就能超越標準微調方法的效果，甚至僅擁有2.2億參數的T5模型，在e-SNLI資料集表現就可超越5,400億參數的PaLM大型語言模型。</p> <p>而在ANLI資料集上，只擁有7.7億參數的T5模型只使用整個資料集的80％，效果便以超越擁有5,400億參數的PaLM大型語言模型。這些結果證明了逐步蒸餾法即便使用小資料，小模型仍可以超越大型語言模型的效能。</p> </div></div></div>
2023/9/23 08:49作者李建興https://www.ithome.com.tw/news/158902
蘋果緊急更新iOS與macOS等平臺，修補3個已遭濫用的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.apple.com/en-us/HT201222" target="_blank">蘋果周四（9/21）緊急更新了macOS、iOS、iPadOS、watchOS及Safari</a>，修補3個已經遭到駭客濫用的零時差漏洞。</p> <p>此次蘋果所修補的安全漏洞分別是CVE-2023-41991、CVE-2023-41992與CVE-2023-41993，其中的CVE-2023-41991允許惡意程式繞過簽名驗證，此一漏洞同時存在於macOS、iOS、iPadOS及watchOS上。CVE-2023-41992則為核心漏洞，允許本地端駭客擴充權限，亦同時存在於macOS、iOS、iPadOS及watchOS上。</p> <p>CVE-2023-41993漏洞位於WebKit中，其網頁內容處理功能可能導致任意程式執行，主要影響iOS、iPadOS與Safari。</p> <p>雖然上述漏洞涉及不同的平臺，但迄今所發現的攻擊行動皆是鎖定 iOS 16.7以前的iOS版本，顯示實際遭到攻擊的裝置為iPhone。此外，相關漏洞都是由加拿大公民實驗室（Citizen Lab）的Bill Marczak與Google威脅分析小組的Maddie Stone所提報。</p> <p><a href="https://www.ithome.com.tw/news/158648" target="_blank">本月上旬蘋果才修補了兩個亦是由公民實驗室發現的零時差漏洞</a>，當時駭客利用這兩個漏洞入侵了iPhone，並植入Pegasus間諜程式。今年以來蘋果所修補的零時差漏洞數量已達到16個。</p> </div></div></div>
2023/9/23 09:20作者陳曉莉https://www.ithome.com.tw/news/158904
提供2倍吞吐量，思科次世代防火牆推出新一代中高階機型
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cisco_secure_firewall_4200_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一年多前，思科發表中型企業級防火牆系列<a href="https://www.ithome.com.tw/review/153051">Secure Firewall 3100系列</a>，到了今年6月初舉行的全球用戶大會，他們再度宣布推出新產品，硬體設備機型增設Secure Firewall 4200系列，而搭配的系統軟體平臺Cisco Secure Firewall Threat Defense（FTD），也將發布7.4新版，將強化密碼學處理的加速、叢集架構支援、模組化等層面的功能，提升整體運作效能與使用彈性。他們預告9月推出搭配FTD 7.4的Secure Firewall 4200系列，至於用於其他機型的FTD 7.4，則是12月開始供應。</p> <p>結合新版作業系統的Secure Firewall 4200系列，思科表示，可提供3大特色</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco SF4200-2023-06-07_005508.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20SF4200-2023-06-07_005508.jpg" style="width: 600px;" /></a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SF4200-intro1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SF4200-intro1.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/SF4200-intro2.jpg" style="width: 600px;" /></p> <p>首先，針對藏匿在加密連線的資安威脅與應用程式，思科提供的網路加密透視引擎（Encrypted Visibility Engine，EVE）升級至2.0版，能借助人工智慧與機器學習技術，而能在不需解密的狀態下，也能予以偵測、阻擋。過去必須先進行加密流量的解密，再執行檢測的複雜處理，現在透過新功能，可解決拖垮防火牆效能與隱私保護難題。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SF4200 EVE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SF4200%20EVE.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco SF-EVE 2_0.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20SF-EVE%202_0.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/SF4200-EVE 2_0.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SF4200-EVE%202_0.jpg" style="width: 298px;" /></a></p> <p>第二是大幅提升零信任網路存取功能（ZTNA），能針對個別的應用程式執行完整的威脅檢測處理，以及政策控管。現在思科防火牆系統能在安全堆疊的基礎上，增加具備零信任應用程式存取能力的安全使用方式，因為相較於長年沿用的「通過身分認證之後就完全放任」這類簡易防護，ZTNA模型的使用將大幅提升資安要求，因為當中會增添使用者流量與應用程式行為檢測，以提供更安全的存取。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SF4200 ZTAA-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SF4200%20ZTAA-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/SF4200 ZTAA-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SF4200%20ZTAA-2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/SF4200 ZTAA-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SF4200%20ZTAA-3.jpg" style="width: 298px;" /></a></p> <p>第三是簡化分支據點環境的路由功能，對於混合資料中心環境下的遠端辦公室應用存取，可提供網路流量的安全防護、控管，以及透視連線活動的能力。企業可透過思科防火牆的新功能，集中處理應用程式流量的識別、監控、路由，進而改善網路效能與存取安全性。</p> <p>除了上述功能的進化，思科此時也初步透露4200系列機型的基本規格，例如，相較於既有的Firepower 4100 系列，Secure Firewall 4200系列同樣採用1U尺寸的機箱，號稱可提供兩倍的吞吐量；而在產品定位上，Secure Firewall 4200系列具備優異的處理效能、安全防護，以及豐富的連線介面，可用於資料中心與大型園區網路的環境。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SF4200 overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SF4200%20overview.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/SF Portfolio.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SF%20Portfolio.jpg" style="width: 600px;" /></a></p> <p>到了9月初，思科資安事業群傑出工程師Andrew Ossipov在思科部落格發文，闡述Secure Firewall 4200系列與FTD 7.4目前提供的特色。在零信任方面的強化，他提到FTD 7.4提供原生的無用戶端零信任網路存取（Clientless ZTNA），此功能隸屬於遠端應用程式連線階段，實際應用時，會如同處理其他流量，一樣能持續執行資安威脅檢測的作業。</p> <p>一般而言，在細緻的零信任應用程式存取（ZTAA）政策當中，通常可定義個別或不同群組的應用程式，並允許它們使用專屬的入侵防禦系統（IPS）與檔案政策，而對於線上的使用者身分認證與授權功能而言，也需要與每一個網站應用程式與支援SAML語言的身分供應系統（IdP），進行互通若使用者通過身分認證、被授予權限，而得以經由公開的完整網域名稱（FQDN）存取位於內部網路的受保護系統，此時FTD可扮演反向代理的角色，提供完整的TLS解密、有狀態防火牆（stateful firewall）、入侵防禦系統、惡意軟體檢測的一系列處理流程，採行這樣的作法之後，網路流量就不需解密兩次，以及區隔傳統ZTNA存取方式與線上檢查功能的所有版本，可大大改善網路整體效能與使用者連網體驗。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SF4200 ZTAA.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SF4200%20ZTAA.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco SF-ZTAA-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20SF-ZTAA-1.jpg" style="width: 600px;" /></a></p> <p>關於加密網路流量的解密處理，Secure Firewall 4200系列與思科去年4月推出的<a href="https://www.ithome.com.tw/review/153051">Secure Firewall 3100系列</a>一樣，均採用自行設計的FPGA晶片，可針對資料層（Data Plane）內部執行的網路流量狀態檢測，以及密碼學運算相關功能，提供線上加速處理能力。</p> <p>基於這樣的運算卸載設計，思科防火牆處理網路封包時，不再需要為了上述作業，而被迫在硬體設備的系統匯流排介面穿梭，並且在面對日益精密複雜的威脅檢測工作時，能透過這樣的分攤處理架構大大減輕CPU負擔。</p> <p>中央處理器的部分，若參照Cisco Live! 2023 Las Vegas大會相關場次演講內容，我們可看到裡面提到搭配的CPU核心數量相當多——4215、4225均採用單顆x86架構處理器，分別內建64顆核心與128顆核心，4245採用2顆x86架構處理器，均內建128顆核心，若是如此，有可能搭配的是AMD今年6月發表的伺服器級CPU產品EPYC 97X4系列（代號Bergamo），最多可內建128顆Zen 4c核心。密碼學運算加速器的部分，思科在此提到搭配的晶片是Nitrox V，4215、4225、4245分別搭配1顆、2顆、4顆。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SF4200 Arch.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SF4200%20Arch.jpg" style="width: 600px;" /></a></p> <p>在此同時，Secure Firewall 4200系列的機箱維持使用1U尺寸的緊緻外形，能串聯多臺設備成為叢集系統（最初公布規格最多可連接16臺機箱，7月下修為8臺機箱），將資安威脅檢測的吞吐量效能擴展至1.5 Tbps以上。針對重要的多租戶環境使用需求，這系列設備的建置，也支援邏輯分割，最多可區隔34臺執行個體，均可做到硬體層級隔離、提供完整功能的狀態。</p> <p>對於網路安全管理人員而言，若要在Secure Firewall使用TLS解密功能，現在可透過直覺的方式操作，因為思科在近期版本的Firewall Management Center，提供重新設計的TLS解密政策設定流程，能將傳入內部網路的流量（外部使用者連入公司內網的應用程式），以及對外發送的流量（內部使用者存取網際網路的應用程式）解密組態設定，予以區隔，可針對每種類型的設定提供必要的步驟指引，若是進階的使用者，可保留完整的TLS連線控制存取權，包含過濾未遵循控管要求的通訊協定版本，以及阻擋特定憑證的使用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SF4200 TLS Decryption Policy.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SF4200%20TLS%20Decryption%20Policy.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Cisco Secure Firewall 4200系列</strong><br /> ●原廠：Cisco<br /> ●建議售價：廠商未提供<br /> ●機型與尺寸：4215、4225、4245，皆為1U<br /> ●網路埠：固定搭配8個25GbE埠（SFP28），最多可設置24埠——<br /> 24個10GbE埠（SFP+），<br /> 或8個25GbE埠搭配2個網路擴充模組，<br /> 或8個40GbE埠（QSFP+）搭配2個網路擴充模組，<br /> 或24個GbE埠（SFP）搭配2個網路擴充模組與多個固定埠，<br /> 或8個100GbE埠搭配2個網路擴充模組<br /> ●防火牆吞吐量（啟用AVC與IPS）：4215為65 Gbps，4225為80 Gbps，4245為140 Gbps<br /> ●VPN吞吐量：4215為45 Gbps，4225為80 Gbps，4245為140 Gbps<br /> ●最大同時連線數：4215為1千5百萬個，4225為3千5百萬個，4245為6千萬個<br /> ●硬碟儲存：2臺1.8 TB NVMe固態硬碟<br /> ●電源供應器：2臺1200瓦（110 AC）或2臺1900瓦（220 AC）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/9/23 01:13作者李宗翰https://www.ithome.com.tw/review/158775
【資安日報】9月22日，斥資280億美元重金，思科買下大數據資安業者Splunk
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週資安界有兩起併購案，分別是19日資安業者CrowdStrike買下應用程式安全態勢管理（ASPM）新創Bionic，以及21日思科買下大數據資安業者Splunk，其中又以思科和Splunk的併購案受到最多關注。</p> <p>值得留意的是，這起合併案早在2022年2月就傳出風聲，當時思科打算以200億美元買下Splunk，而現在實際成交金額達到280億美元，較先前傳聞多出4成。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織USDoD聲稱竊得信用評估業者環聯資料，環聯表示並未遭到入侵</span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/USDoD_leak.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/USDoD_leak.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，駭客組織USDoD於地下論壇宣稱，他們握有信用評估業者環聯（TransUnion）資料，當中包含約5.9萬人的敏感資料。</p> <p>對此，9月19日環聯發出聲明，表示他們知道有人在網路上公開包括環聯在內的多個組織資料，該公司尋求外部資安專家及鑑識人員進行調查，結果發現，環聯的系統並未出現遭到破壞的跡象，也沒有發現資料外流情形。他們比對被公開的資料，發現資料的格式、欄位皆與公司內部的不同，推測這些資料有可能是從其他組織流出。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/security/transunion-denies-it-was-hacked-links-leaked-data-to-3rd-party/">https://www.bleepingcomputer.com/news/security/transunion-denies-it-was-hacked-links-leaked-data-to-3rd-party/</a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://newsroom.transunion.com/transunion-statement-regarding-some-limited-online-activity-alleging-that-data-obtain-from-multiple-entities-including-transunion-will-be-released-read-full-statement/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-621256665" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://newsroom.transunion.com/transunion-statement-regarding-some-limited-online-activity-alleging-that-data-obtain-from-multiple-entities-including-transunion-will-be-released-read-full-statement/</span></a> </p>  <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客NoName057(16)疑發動DDoS攻擊，癱瘓加拿大機場旅客通關作業</span></strong></p> <p>根據加拿大新聞報（La Presse）的報導，俄羅斯駭客組織NoName057(16)對當地聯邦機構發動攻擊，導致9月17日該國各地的海關通關電腦故障，旅客入境處理延誤超過一個小時，蒙特婁機場（Aéroports de Montréal）最早透露此事，加拿大邊境服務局（CBSA）指出，駭客發起了DDoS攻擊，導致全國機場的自助通關終端機與電子閘道的連線出現異常，目前尚未發現旅客或其他個人資料外洩的情況。</p> <p>對此，NoName057(16)透過Telegram頻道聲稱確有此事，已鎖定加國多個組織發動攻擊，包括CBSA、加拿大航空運輸安全局、參議院。但攻擊者是否就是NoName057(16)？以CBSA而言，尚未證實。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.lapresse.ca/actualites/national/2023-09-19/agence-des-services-frontaliers/la-panne-dans-les-aeroports-provenait-bien-d-une-attaque-informatique.php" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-335213219" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.lapresse.ca/actualites/national/2023-09-19/agence-des-services-frontaliers/la-panne-dans-les-aeroports-provenait-bien-d-une-attaque-informatique.php</span></a><br /> 2. <a href="https://securityaffairs.com/151149/hacking/noname-ddos-attack-canadian-airports.html">https://securityaffairs.com/151149/hacking/noname-ddos-attack-canadian-airports.html</a></p> <p><a href="https://news.ltn.com.tw/news/society/paper/1539184"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">KKday前經理跳槽對手Klook涉嫌帶槍投靠，30萬元交保</span></strong></a></p> <p>旅遊公司Klook涉嫌利用競爭對手KKday的離職員工，蒐集內部資訊及系統漏洞，進行商業滲透及竊取營業秘密。近期判決出爐，臺北地檢署依妨害電腦使用及洩漏工商秘密等罪，諭令KKday前經理陳鈞暘30萬元交保，兩名Klook涉案員工陳柏安、孫儀芬分別以10萬元及3萬元交保。</p> <p>根據檢查官的調查，陳鈞暘任職KKday期間，蒐集公司的內部資訊、密碼、系統漏洞，2019年離職後，涉嫌帶槍投靠前東家的競爭對手Klook擔任資深副總監，將前東家的系統漏洞及內部資訊，洩露給Klook兩名員工，他們取得相關資訊後，自去年開始，涉嫌不法登入KKday的系統，竊取KKday合作廠商名稱、商品名稱、銷售數量、成本金額、客戶流量分析等商業機密的資料，嚴重侵害KKday的權益。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/apple/apple-emergency-updates-fix-3-new-zero-days-exploited-in-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果發布iOS 17.0.1、macOS Ventura 13.6，修補3個已被用於攻擊行動的零時差漏洞</span></strong></a></p> <p>9月21日蘋果針對旗下電腦、行動裝置、穿戴裝置發布<a href="https://support.apple.com/kb/HT213931">macOS Ventura 13.6</a>、<a href="https://support.apple.com/kb/HT213932">macOS Monterey 12.7</a>、<a href="https://support.apple.com/en-us/HT213926">iOS與iPadOS 17.0.1</a>、<a href="https://support.apple.com/kb/HT213927">iOS與iPadOS 16.7</a>、<a href="https://support.apple.com/kb/HT213928">watchOS 10.0.1</a>與<a href="https://support.apple.com/kb/HT213929">9.6.3</a>，以及<a href="https://support.apple.com/kb/HT213930">電腦版Safari 16.6.1</a>，當中總共修補3個由加拿大公民實驗室與Google威脅情報小組（TAG）通報的零時差漏洞。</p> <p>這些是權限提升漏洞CVE-2023-41992、簽章驗證繞過漏洞CVE-2023-41991、任意程式碼執行漏洞CVE-2023-41993，分別存在於系統核心、安全功能，以及瀏覽器排版引擎WebKit。值得留意的是，蘋果指出這些漏洞已被用於攻擊執行iOS 16.7以前版本的手機，呼籲使用者要儘速套用更新。</p> <p><a href="https://outpost24.com/blog/nagios-xi-vulnerabilities/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">網路監控軟體Nagios XI存在高風險漏洞，恐導致資訊洩漏或權限提升</span></strong></a></p> <p>資安業者Outpost24揭露網路監控軟體Nagios XI的漏洞CVE-2023-40931、CVE-2023-40932、CVE-2023-40933、CVE-2023-40934，這些漏洞與SQL注入與跨網站指令碼（XSS）有關，CVSS風險評分介於5.4至8.8分，影響5.11版以前的Nagios XI。</p> <p>其中的CVE-2023-40931、CVE-2023-40933、CVE-2023-40934為SQL注入漏洞，分別允許具備不同權限的攻擊者存取資料庫欄位，有可能藉此進一步提升權限，然後取得敏感用戶資料，如：密碼雜湊值、API的Token等。對此，Nagios於9月11日發布5.12版Nagios XI予以修補。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/158878"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科以280億美元買下大數據資安業者Splunk</span></strong></a></p> <p>去年2月，思科就傳出打算斥資200億美元買下大數據分析資安業者Splunk，今年9月21日，思科突然正式宣布與Splunk簽署併購協議，將以每股157美元買下，將以每股157美元買下Splunk，總價約為280億美元，成為該公司史上最大的併購案。</p> <p>思科表示，雙方的結合可望帶來混合與多雲環境的可觀測性，讓客戶得到流暢的應用程式體驗，推動數位業務，並提供自裝置、應用程式至雲端的安全分析。雙方預計於明年第三季完成交易，Splunk總裁暨執行長Gary Steele會加入思科的執行領導團隊。消息傳出後，當日Splunk股價上漲20.77%，以144.43美元作收，思科股價微幅下滑3.89%，收在53.34美元。</p> <p>資料來源</p> <p>1. <a href="https://newsroom.cisco.com/c/r/newsroom/en/us/a/y2023/m09/cisco-to-acquire-splunk-to-help-make-organizations-more-secure-and-resilient-in-an-ai-powered-world.html">https://newsroom.cisco.com/c/r/newsroom/en/us/a/y2023/m09/cisco-to-acquire-splunk-to-help-make-organizations-more-secure-and-resilient-in-an-ai-powered-world.html</a><br /> 2. <a href="https://www.splunk.com/en_us/newsroom/press-releases/2023/cisco-to-acquire-splunk-to-help-make-organizations-more-secure-and-resilient-in-an-ai-powered-world.html">https://www.splunk.com/en_us/newsroom/press-releases/2023/cisco-to-acquire-splunk-to-help-make-organizations-more-secure-and-resilient-in-an-ai-powered-world.html</a><br /> 3. <a href="https://www.ithome.com.tw/news/149369">https://www.ithome.com.tw/news/149369</a></p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資安業者CrowdStrike買下ASPM新創Bionic</span></strong></p> <p>9月19日資安業者CrowdStrike宣布，他們將買下應用程式安全態勢管理（Application Security Posture Management，ASPM）新創公司Bionic，併購後，對於CrowdStrike的雲端原生應用程式防護平臺（CNAPP）Falcon而言，預計提供ASPM延伸功能，從雲端基礎設施到應用程式及服務，提供更為全面的風險能見度。</p> <p>除了將ASPM命名為Falcon Cloud Security整合到CNAPP系統，該公司也打算將Bionic的解決方案做為獨立產品銷售。而對於本次交易的金額，CrowdStrike將拿出約3.5億美元的現金及股票來進行併購，並預計在第3財季完成。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.crowdstrike.com/press-releases/crowdstrike-to-acquire-bionic-to-extend-cloud-security-leadership/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--301695714" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.crowdstrike.com/press-releases/crowdstrike-to-acquire-bionic-to-extend-cloud-security-leadership/</span></a><br /> 2. <a href="https://www.securityweek.com/crowdstrike-to-acquire-bionic/">https://www.securityweek.com/crowdstrike-to-acquire-bionic/</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.securityweek.com/mgm-resorts-computers-back-up-after-10-days-as-analysts-eye-effects-of-casino-cyberattacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">旅館集團美高梅在遭遇勒索軟體攻擊的10天後恢復正常</span></span></strong></a></p> <p><a href="https://www.securityweek.com/atlassian-security-updates-patch-high-severity-vulnerabilities/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Atlassian修補旗下Jira、Confluence、Bitbucket、Bamboo漏洞</span></span></strong></a></p> <p><a href="https://www.securityweek.com/omron-patches-plc-engineering-software-flaws-discovered-during-ics-malware-analysis/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">歐姆龍修補PLC、工程軟體的漏洞</span></span></strong></a></p> <p><a href="https://sec-consult.com/vulnerability-lab/advisory/authenticated-remote-code-execution-missing-authentication-atos-unify-openscape/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">網路電話Atos Unify存在漏洞，恐讓駭客在系統設置後門</span></span></strong></a></p> <p><a href="https://www.secureworks.com/research/gold-melody-profile-of-an-initial-access-broker"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織Gold Melody向勒索軟體駭客兜售存取組織的管道</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/158872"><strong>【9月21日】中國駭客假借寄送發票的名義發動網釣攻擊，目的是散布新型態的木馬程式ValleyRAT</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158845"><strong>【9月20日】面臨攻守極度失衡的局勢，FBI局長呼籲民間企業與政府積極合作，並將FBI納入資安防護計畫</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158816"><strong>【9月19日】 Juniper甫修補的中等風險漏洞恐遭低估，研究人員發現能用於發動RCE攻擊，近1.2萬臺設備曝險</strong></a></p> </div></div></div>
2023/9/22 16:29作者周峻佑https://www.ithome.com.tw/news/158896
Oracle發表無伺服器部署技術GraalOS，大幅降低函式冷啟動時間
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>甲骨文（Oracle）推出以Java為基礎的無伺服器應用程式部署技術<a href="https://blogs.oracle.com/java/post/introducing-graalos">GraalOS</a>。透過使用Oracle <a href="https://www.ithome.com.tw/news/122527">GraalVM</a>原生映像檔，GraalOS不再依賴Java虛擬機器（JVM），因此能實現高速啟動、降低資源消耗，並與雲端服務緊密整合等優勢，還可同時支援x64與AArch64兩種處理器架構。</p> <p>Oracle發展這項名為GraalOS的技術，來強化自家的無伺服器運算服務OCI Functions。該服務讓開發者可以在沒有任何基礎設施的情況下，根據事件或是請求，創建、執行和擴展應用程式。官方表示，傳統無伺服器函式主要缺點之一便是啟動速度慢，在功能第一次被呼叫，或是經過一段時間不活動後，都會發生這種情況。</p> <p>GraalVM技術是GraalOS重要的一環，甚至可以說是GraalOS背後的核心技術。GraalVM是一個高效能JVM和JavaScript執行環境，同時支援Ruby、R、Python等語言，除了使用JIT編譯器，大幅提高Java等語言的執行效能之外。其原生映像檔功能，則可以將應用程式提前編譯成為原生機器程式碼。而GraalOS便是使用GraalVM的原生映像檔技術，將開發者的應用程式轉為原生執行檔，因此可加速啟動並且減少資源使用，有助降低雲端成本。</p> <p>當前OCI Functions運用開源容器原生無伺服器平臺Fn Project，將函式打包成容器運作，而容器的啟動與資源調用，都是造成函式啟動速度慢的原因。而官方表示，GraalOS應用程式啟動速度很快，幾乎沒有冷啟動成本。與擁有巨大冷啟動成本的容器平臺不同，GraalOS應用程式只是一個小型原生Linux可執行檔，啟動時間僅為數十毫秒。</p> <p>由於GraalVM原生映像檔運用提前編譯（AOT）技術，因此GraalOS應用程式所需要的記憶體明顯減少，官方表示，由於大多數雲端服務的定價結構，記憶體使用量都是一個重要的因素，而較低的記憶體使用量，也就代表會直接影響營運成本。而且不只是記憶體，GraalOS就連使用的CPU資源，都是JVM所需的一小部分。</p> <p>GraalOS應用程式在呼叫時能夠自動暫停和恢復，即便因為未接收到請求的應用程式和函式都被伺服器平臺終止，GraalOS也能夠在暫停後，快速恢復閒置應用程式，不像過去基於容器的函式啟動會出現冷啟動成本。</p> <p>GraalOS大幅提升了OCI Functions的啟動速度，可讓無伺服器函式在數秒內啟動，且對大多數工作負載來說，使用的記憶體也會比傳統函式減少達50％，函式更快啟動也就代表可以支援次秒級低延遲呼叫，開啟配置的並行性需求降低。</p> <p>GraalOS原生Linux可執行檔，使用了由硬體加強的應用程式隔離技術，即便沒有將應用程式打包到容器中，也能獲得隔離安全性。Oracle先在OCI Functions運用GraalOS，新添加Graal Function類型，而內建OCI Functions觸發器的Events、Connector Hub和Data Integration等服務，也都可以從GraalOS獲得效能升級效益。目前GraalOS加速功能僅先開放給Java開發者使用，官方預告未來還會支援更多語言。</p> </div></div></div>
2023/9/22 16:27作者李建興https://www.ithome.com.tw/news/158889
400億政府資訊服務採購變革關鍵，新版資服採購作業指引出爐
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>政府每年都有將近400億元的資訊服務採購需求，但政府機關扮演的甲方，和提供資訊、資安服務的乙方，多年來，面臨各種契約、價金，屢屢出現爭議協處議題，加上臺灣長期身處各種網路攻擊、資安威脅等風險之下，也對資訊系統建置時的資安規畫與契約履行造成極大的挑戰，使得原本單純的政府資訊服務採購，陷入減價驗收、甚至是無法驗收的窘境。</p> <p>政府資訊服務採購帶來機關和資服業者的惡性循環，終於有機會獲得改善。行政院副院長鄭文燦表示，期盼政府採購能引領產業發展，強化資通安全，因此，工程會已與數位部、產業界合作，從源頭把關，在資訊系統開發階段即搭配資安法規定，將資安要求納入採購，並要求單獨編列一定比例的資安費用。</p> <p>政府採購導入資安要求後，鄭文燦預期，這將逐步引領臺灣企業，比照政府作法選擇適用的資安等級，提升自我資安防護能力，開拓前瞻資安科技商機。</p> <p>國科會主委吳政忠表示，小英總統從2016年便將資服業者轉型發展納入政見後，長期關注ICT產業；在今年初，小英總統在聽到資服業者的心聲後，便要求吳政忠指派專人，協助處理相關政府資服採購事宜。</p> <p>職掌政府採購的行政院公共工程委員會，在今年二月，便任命原先科技會報辦公室執行秘書葉哲良擔任副主任委員一職。葉哲良表示，他上任以來，主動規畫，積極推動各種跨部會協調，也和相關的產、官及各種公協會合作，希望可以有效解決過往二十年來，政府採購所面臨的問題，這也是他就任以來最重要的任務之一。</p> <p><span style="font-size:28px;"><strong>資服採購作業指引9月公布，資安入規依等級最早於2024年3月實施</strong></span></p> <p>鄭文燦指出，為了解決過去資服採購常發生機關與業者彼此需求認知不同、費用不足及爭議處理欠缺專業等紛爭，工程會也同步訂頒資服採購作業指引，要求機關採購預算編列預備費以應需求調整、履約階段反覆與業者檢視確認需求、於政府採購諮詢機制納入數位部的參與，有效解決雙方對契約認知爭議；未來會進一步研議以資本門編列核心資訊服務租賃的作法。</p> <p>葉哲良強調，除了在九月公布《政府資訊服務採購作業指引》外，也同時公布將資安納入採購規範的《修正資訊服務採購契約範本強化資安防護》與相關資安一覽表附件。</p> <p>他指出，新推出的作業指引和以往政府採購最大的變革在於：未來政府招標採用最有利標時，將採用「議約不議價」的方式，事先公布最有利標的標案價格，比的就是乙方業者可以提供的服務和創意，而不再是價格或是標案回饋項目。</p> <p>至於，將資安納入採購規範的作為，他說，會先給予相關資服業者一陣調適時間，讓相關資服業者有時間提升自家的資安能力外，也有能力提供符合政府資服採購所需要的資安規範相關內容。</p> <p>目前依照機關系統的機敏等級分成普級、中級和高級，在給予業者足夠的調適時間，普級系統資安入規預計於2024年3月1日實施，至於中級和高級系統的資安入規，則會在2024年8月1日施行。</p> <p><span style="font-size:28px;"><strong>新版採購指引和範本欲解決20年資服採購爭議</strong></span></p> <p>由於政府預算有限，以往政府資訊服務採購招標時，招標機關經常會採用價格標，最終決標時是「價低者得」。甲方機關用最便宜價格，買到招標文件中所有的服務內容，看似「賺很大」，但當提供資訊服務的乙方業者，因為沒有足夠的利潤空間，往往造成許多乙方實際提供的資訊服務，並未能做到名實相符，可能面臨服務品質嚴重縮水，或招標時允諾許多其實該業者能力不及的畫大餅方案，最後導致乙方無法履約，進而引發甲乙雙方採購履約時各種糾紛。</p> <p>這些乙方業者畫大餅的服務內容，經常會造成甲方招標單位的困擾，有些能力還可以的乙方，最終勉勉強強完成標案所需的服務內容；但更多時候，乙方實在無力完成原先允諾的方案時，也會造成甲方被迫縮減需求，導致後續又要另外招標——有時為了結案，不是降價結標、變更方案結標，有些時候，還會因為乙方提供的方案，與原先招標內容差距太多而必須重新進行招標，不僅浪費公帑，也浪費雙方的時間。</p> <p>葉哲良表示，臺灣政府資訊服務採購標案的爭議已經存在二十多年，怎麼讓招標的政府機關單位的甲方，和提供標案服務內容的乙方，可以獲得雙贏，才是這次為什麼要制定《資訊服務採購作業指引》的原因。</p> <p>吳政忠於9月19日召開「政府資訊服務採購」會議，通過由公共工程委員會、數位發展部以及產業與公協會協力的《資訊服務採購作業指引》，以及同步修訂公布的《修正資訊服務採購契約範本強化資安防護》。</p> <p>之後也會循序漸進，依照機關採購資訊系統的機敏等級：機敏機關為高級、關鍵基礎設施為中級，一般機關系統為普級，分階段做到將資安措施納入採購規範。</p> <p>畢竟，對一般民間企業而言，政府就像大型企業，雙方實力不對等；但政府在預算編列和通過上，必須獲得立法院的同意，這就是政府部門面臨的壓力。</p> <p>葉哲良說：「如何讓雙方取得平衡，是這次制定資訊服務採購作業指引，並修訂可供參考契約範本的原因。」他也期待，未來的政府採購，不論作業指引或是範本，更可以成為民間企業採購的參考。</p> <p><span style="font-size:28px;"><strong>作業指引鎖定甲方採購人員並納入乙方觀點</strong></span></p> <p>葉哲良表示，這次制定《資訊服務採購作業指引》採用和以往都不一樣的作法，最大的差異是「由乙方角度寫指引」，秉持著「受眾就是參與者」的精神，撰寫相關條文。</p> <p>他進一步解釋，相關內容都是由乙方業者提供可以接受的項目，只要甲方政府單位的採購人員，覺得於法有據的內容就可以接受，便會收錄到相關的作業指引中。</p> <p>因為相關條文都是由乙方業者撰寫提供，葉哲良笑說，就實務層面而言，都是乙方業者具體可行的項目，比較不會遇到，以往從甲方角度撰寫相關採購作業指引時，經常會出現乙方認為窒礙難行、或者是沒有利潤空間的內容。</p> <p>葉哲良表示，這次的作業指引和範本並不完美，但讓政府資訊服務採購可以從以往不及格的59分進步到80分，他仍期待可以透過持續修正使其更流暢。</p> <p>他坦言，這樣逐步改善的過程，不只有公共工程委員會的努力，還有數位部以及其他許多產業界業者共同投入，視彼此為合作夥伴，才能有這樣的成果。</p> <p>數位發展部次長李懷仁表示，這次的指引不僅符合業界服務公部門的需求，業界也不會為了得標而必須大幅讓利、以至無利可圖，為了驗證這樣的採購指引是可行的，數位發展部的資訊處，從今年3月開始到7月總計有5個標案，都採用相關的《資訊服務採購作業指引》精神，作為招標的參考。</p> </div></div></div>
2023/9/22 14:18作者黃彥棻https://www.ithome.com.tw/news/158881
政府資服採購作業指引9月公布，開始明定標案需獨立編列資安預算
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據今年9月推出的《資訊服務採購作業指引》內容，可以分成預算編列、廠商資格、需求文件、決標作業、契約執行和爭議處理等六大面向，行政院公共工程委員會副主委葉哲良認為，此次預算編列的重點之一在於：需要將資安預算「獨立」編列。</p> <p><strong style="font-size: 28px;">標案需獨立編列資安預算，事先編列預備費和檢測費等</strong></p> <p>至於以往版本提及：需要將資訊經費中的5％作為資安經費的條文，他說，相關內容會依照數位部《資通系統籌獲各階段資安強化措施》編列的資安經費要求，未來若有比例的調整，只需要修正該文件內容即可。</p> <p>葉哲良表示，該作業指引中首度明定：可以依個案特性，編列不同的預備費、物價調整費及檢測費。他指出，有些標案時間跨不同的年度，有時候會遇到加薪或者是軟體授權費用增加，甚至是因應需求增加而要新增不等的人天工作時數，才能夠完成相關的專案。</p> <p>他說：「以往這種跨年度的標案，乙方業者只能根據合約執行，是無法向甲方提出增加費用的要求。」所以在《政府資訊服務採購作業指引》便明文規定，招標機關為了因應系統開發過程中，可能發生的需求新增或變動所產生的必要費用，機關必須事先預估可能需要額外的人月數量並編列「預備費」，未來乙方在履約過程中，只要在預備費用的額度內，可以實支實付；但若超過預備費額度，就要進行契約變更。</p> <p>不過，葉哲良強調，這樣的預備費用比例不會公開，畢竟，相關費用編列對甲方而言並非是強制要求，若乙方事先知道預備費比例，依據實務經驗，乙方可能會刻意申請使用，反而不是鼓勵甲方編列預備費用的原意。</p> <p>另外，為了解決以往執行標案履約或驗收時，甲方會要求乙方進行相關檢測，該作業指引也規範，甲方應該預估所需的檢測費用並編列檢測費，依照契約給付乙方檢測費。</p> <p>如果是超過一年以上的資訊服務採購契約，作業指引也規範，甲方應該在契約中明定，每年服務費用將因應物價，例如軟體授權費用等，或是薪資指數調整，編列相關的物調費。</p> <p><span style="font-size: 28px;"><strong>禁止使用中國廠牌產品，禁中資業者參與政府標案競標</strong></span></p> <p>在政府資訊服務採購標案，對參與投標的業者資格也有明文的規範。葉哲良表示，招標機關應該對投標業者有一定的規範，如果涉及國家安全或是資通安全的採購，在《政府資訊服務採購作業指引》明確指出，機關應該直接在招標文件中規定，不允許陸資廠商（包含其分包廠商）以及陸藉人士參與，而陸資廠商的定義，則包括：大陸地區廠商、第三地區陸資廠商，以及在臺灣的陸資廠商。</p> <p>此外，機關招標案件如果涉及國家安全的採購，必須依照採購案件的特性和實際需要，限制招標廠商的資格；如果對廠商的資金來源比例有特定限制的話，例如，懷疑廠商資金來源有中資的話，可以要求廠商提出相關董監事、股東名冊和資金來源等文件；如果是涉及僑外投資的話，也可以要求廠商提出授權查核同意文件，有必要時，亦可請求目的事業主管機關協助查察。</p> <p>在執行採購契約時，不管是履約標的或是執行過程中，都不得提供或使用大陸廠牌的資通訊產品，相關的履約人員也不得為大陸藉人員。</p> <p>但是，有些國外的駐點單位或金融單位海外分行等，因為業務需求且無其他替代方案，不得不使用大陸廠牌的產品時，此時甲方應該說明原因，並且經過該機關的資通安全長，以及上級機關資通安全長進行逐級核可後，同時函報《資通安全管理法》主管機關（數位部）進行核定；且在該產品未達汰換年限前，該機關也應該加強相關的資安強化措施。</p> <p><span style="font-size: 28px;"><strong>杜絕回饋項目以創意取代，最有利標將以固定價格決標</strong></span></p> <p>以往政府標案採用最有利標招標時，仍有一些經常為人詬病的弊端，就是投標廠商會提供很多「回饋項目」，甚至傳出以蘋果手機作為回饋方案，贏得最後標案的都市傳說。</p> <p>凌群電腦總經理劉瑞隆表示，他曾經聽說以往有機關的政風人員，會因自家單位的採購人員，沒有如同其他機關的採購人員般，向乙方爭取足夠的回饋項目而被找去喝咖啡。</p> <p>葉哲良表示，為了杜絕廠商不當回饋，改革有些機關常年以凹廠商回饋，作為得標與否的陋習，這次在《資訊服務採購作業指引》明定：評選項目不得列「回饋」項目，但為了提升採購效益及評選廠商服務的差異，評選項目得列「創意」項目作為評選廠商的區隔。</p> <p>至於如何區別「回饋」與「創意」差別呢？葉哲良表示，「創意」是基於原本合約需求的延伸，例如：如何提供品質更高的服務或是延長保固等；若是與合約主體無關就是的回饋，常見於買菜送蔥，要求各式各樣的硬體設備回饋。</p> <p>他也強調，甲方對乙方提供的採購服務，最重要的就是確保資料安全和提高服務品質，兩者要並存，而「創意」也可以是如何做到資料安全和提高服務品質的解決方案。</p> <p>依據《政府採購法》的規定，公告金額以上資訊服務採購，以不訂底價的「最有利標」為原則，但在《政府資訊服務採購作業指引》中則明定，未來最有利標的標案，機關在招標時候，除了會事先公開標案的金額，並且會以「固定費用」決標，得標廠商不需要如同以前的最有利標，除了要比拼可以提供的服務項目外，必須還要議減價格，以確保有達到機關訂定的底價。</p> <p>也就是說，未來機關招標如果是「最有利標」的標案時，真正的比較就是投標廠商所能提供的服務內容和創意，能否符合招標文件的需求？能否可以為機關創造價值？至於，招標時公開的標案價格，未來不管是誰得標，得標廠商不需要減價或提供任何回饋，多少金額的標案，得標廠商就是多少金額決標。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-%E5%BD%A5%E6%A3%BB-%E4%B8%BB%E6%96%87-600-2(1).png" style="text-align: center; width: 600px;" /></p> <p><span style="font-size: 28px;"><strong>普中高級資訊系統都納入資安規範</strong></span></p> <p>依照《資安法》、《資通安全責任等級分級辦法》以及數位部相關規範與政策要求下，各個機關自行或是委外開發的資通系統，都應該依照資通系統防護需求分級原則完成資通系統分級，並依照相關資訊系統的普級（一般機關）、中級（關鍵基礎設施）和高級（機敏機關）的防護需求，執行符合該防護等級的資安基本要求。</p> <p>葉哲良表示，這也是政府資訊服務採購另外一個重要轉捩點：資安入規。也就是說，未來甲方的採購人員，在進行所有的資訊服務採購的標案時，都必須針對不同資訊系統機敏等級：普級、中級和高級，參考設定的資安基本要求一覽表，制定並執行相對應的資安規範。</p> <p>葉哲良指出，也有許多乙方業者擔心，如果不能提供符合相關的資安規範的採購服務，未來將無法投標、承接政府標案，因此，為了讓乙方業者有多一點調適時間，目前預計，將於明年3月1日，落實針對普級系統將資安作為納入採購規範；中級和高級的資安入規，將延至明年8月1日適用。</p> <p>與《政府資訊服務採購作業指引》同步公布的還有《修正資訊服務採購契約範本強化資安防護》，葉哲良表示，公共工程委員會依照採購法賦予的權力就是訂定契約範本，會在資服契約範本中增列「資安基本要求及服務水準」。</p> <p>「契約範本只要制定的規範越專業、越詳盡，使用者越不會去修改範本內容。」他說，這次契約範本便把各種SLA（系統服務水準）、QoS（服務品質）以及相關網路安全規範都制定的很專業且詳盡，採購人員就可以更輕易的依據資訊服務系統的類別和系統機敏等級，選擇需要的資安等級的規範內容。</p> <p>他進一步解釋，採購範本的資安基本要求一覽表（見上方圖表），就像是汽車廣告傳單一樣，傳單上有簡配、標配和各種選配，資安一覽表也有各種明確的資安要求，也就是「採購履約工作項目」，買車的人可以透過廣告傳單買到所需要的裝備，而機關採購也可以透過這個資安一覽表，讓機關和業者對於資安規範有明確的共識、不會雞同鴨講造成雙方的誤解，有共同的語言也可以減少爭議。</p> <p>他也指出，不管是作業指引或是契約範本以及資安一覽表，都是彙整工程會過往對資訊採購的要求，以及數位部對資訊和資安的規範，就是希望可以讓機關的採購人員可以有完整的全生命周期的認識，也可以藉由參考相關規定引導採購人員可以做好政府資訊服務採購的任務。</p> <p>葉哲良表示，工程會本身具備土木營建和法律兩類高度計畫型人才，不善於處理變化多的IT，但工程會又是政府採購的主管機關，如何把又軟又變化多端的資服採購，可以妥善地放在《政府採購法》和《資安法》的框架上，就必須要懂得做分類和講人話，讓採購人員對於複雜的資安規範一看就懂。</p> <p>目前資安入規的項目最複雜的高達45項，葉哲良也要求工程會同仁檢視過往標案中的資安規範，工程會大概會缺漏3～4個項目，一般縣市政府會缺十多個項目，但若是三、四級機關或是鄉鎮低方對於資安在意程度越低，資安入規項目缺漏的數量會更多。</p> </div></div></div>
2023/9/22 14:19作者黃彥棻https://www.ithome.com.tw/news/158882
微軟宣布Copilot 9/26正式進駐Win11、企業版Bing Chat已上線，11月開賣M365 Copilot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟周四宣布，Copilot AI助理將在9月26日，連同最新版Windows更新部署給所有用戶。企業版Microsoft 365 Copilot預定11月1日上市，而企業版Bing Chat則於今日上線。</p> <p>微軟自年初介紹以GPT 3.5模型為基礎的Bing Chat後，陸續將這個AI聊天機器人以Copilot為名整合到Edge、Microsoft 365、企業版軟體。5月間，在Build大會上，微軟宣布Windows也將加入Copilot，<a href="https://www.ithome.com.tw/news/157588" target="_blank">並於7月首度對Insider測試方案成員公測</a>。在昨日宣布中，<a href="https://blogs.microsoft.com/blog/2023/09/21/announcing-microsoft-copilot-your-everyday-ai-companion/" target="_blank">微軟表示</a>將在9月26日（臺灣時間9月27日）釋出包含Copilot助理預覽版等150多項新功能的Windows 11 22H2更新，而在秋季也會陸續將Copilot正式部署到Bing、Edge及Microsoft 365中。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0524-Windows%20Copilot%20for%20Windows%2011-600(1).png" style="width: 600px;" /></p> <p>首先，雖然已到2023年下半年，但最新Windows 11更新仍然叫做22H2，最引人注目的功能是Copilot預覽版。微軟已將這個AI助理整合到工作列，也可以Win+C熱鍵叫出，可在用戶使用作業系統上App時提供輔助，包括開啟App、撰寫文件、電子郵件、編輯簡報或圖片、變更系統設定。22H2更新也包含加入AI的新功能，像是支援圖層和透明度的「小畫家」、能背景模糊化的相片App、支援聲音擷取的剪貼工具，以及功能更強的影片編輯器Clipchamp、Notepad、檔案總管、朗讀程式、Windows備份功能。新版Outlook for Windows則允許支援多帳號管理、整合OneDrive，以及寫信輔助功能等。</p> <p>除了Copilot for Windows，微軟也宣布Bing Chat和Edge Copilot新增功能，也即將部署上線。其中最重要的是Bing Image Creator底層模型升級到DALL·E 3，可繪製更多細節，並依據用戶需求生成精準圖片。新版Bing也將整合AI繪圖工具Microsoft Designer、並以Content Credential新功能加入浮水印作為AI產出物的辨識。其他功能包括Bing和Edge Copilot可根據對話紀錄提供個人化回應內容，並協助提供AI為基礎的線上購物建議。</p> <p>此外，企業版用戶適用的Bing Chat Enterprise現在已可從Edge行動版App存取，企業版Bing Chat也加入多模視覺搜尋及Image Creator。費用為每人每月5美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0719-Bing%20Chat%20Enterprise-2.jpg" style="width: 600px;" /></p> <p>最後，<a href="https://www.microsoft.com/en-us/microsoft-365/blog/2023/09/21/announcing-microsoft-365-copilot-general-availability-and-microsoft-365-chat/" target="_blank">微軟宣布</a>針對企業用戶設計的Microsoft 365 Copilot將於11月1日正式開賣。當中包含Bing Chat，這個新AI助理將可搜尋公司所有資料源，包括電子郵件、會議、對話紀錄、文件及網路，以提供企業員工工作輔助，包括查詢資料、撰寫策略文件、規畫公司出差或回覆電子郵件等。Microsoft 365 Copilot費用為每人每月30美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0317-Microsoft%20365%20Copilot%20with%20Excel%20(1).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_微軟</span></span></p> </div></div></div>
2023/9/22 11:50作者林妍溱https://www.ithome.com.tw/news/158879
【從NDR順勢擴充至CDR與IDR，可支援多種領域的資安防護應用】Vectra打造多元威脅偵測應變平臺
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/ji_shu_zhuan_ti_-zong_han_-vectra-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Vectra</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>聚焦資安威脅偵測與應變（Threat Detection and Response）概念的解決方案，如雨後春筍出現在市場上，其中，又以端點威脅偵測與應變系統（EDR）最廣為人知，後續又有廠商將偵測與應變的範圍擴大至網路、電子郵件、雲端服務，形成所謂的延伸式威脅偵測與應變系統（XDR）。</p> <p>2020年市面上又出現網路威脅偵測與應變系統（NDR），針對各種邊界以內的東西向／橫向網路流量進行分析，進而偵測、調查、因應惡意活動的存在。</p> <p>若要建置NDR解決方案，用戶可選擇的廠牌相當多，我們這次要介紹的是今年新引進臺灣的Vectra，今年富比士將其列入全球50大頂尖AI資安公司。</p> <p>從解決方案檢視，研究機構Gartner主持的用戶評價網站Peer Insights，也能找到Vectra，顯示他們在Network Detection and Response、Managed Detection and Response Services等類別有較高能見度。</p> <p>關於應用的成效，他們也引用市場調查機構IDC在2020年對其用戶進行的研究報告指出，若採用他們的NDR產品Cognito，辨識真實資安威脅的效率可提升85％，安全維運中心（SOC）的資安分析師生產力增至2倍以上，面臨資料外洩衝擊與重大資安事件風險層面，能分別降低57％、63％的數量比例。</p> <p>而針對已知網路攻擊手法的因應，Vectra表示，針對MITRE ATT&CK框架收錄的所有伎倆，無論是2021年公布的V10到今年最新推出的V13，他們的資安平臺能夠偵測的類型比例均超過90%；而在因應各種攻擊的反制手段上，Vectra原生提供整合MITRE D3FEND框架當中的三十多種作法，其中超過10種是Vectra專利研發的技術，而被列入此防禦框架的基礎。</p> <p><span style="font-size:28px;"><strong>透過感測器、AI大腦、雲服務協作，可對內網提供即時資安防護</strong></span></p> <p>在實際應用上，Vectra可防護範圍與對象相當廣泛，以網路而言，包含企業管理的內部網路、公有雲服務的網路，以及這些環境使用的身分與存取管理系統，也能整合防毒軟體、EDR、NAC等端點防護系統、安全資訊與事件管理系統（SIEM）、安全調度指揮自動回應系統（SOAR）、網路流量監控與最佳化管理系統、防火牆、伺服器與網路虛擬化系統、外部攻擊面管理系統（EASM），以獲取更多威脅脈絡、工作流程自動處理，以及後續進行應變的處置能力。</p> <p>若要啟用這樣的威脅防護體系，該如何建置？基本上，需要在環境當中設置感測器（Sensor）、AI大腦／控制中樞（Brain），用於企業內部網路時，用戶可部署實體設備或虛擬機器型態的感測器，再搭配實體設備或虛擬機器型態的AI大腦；用於雲端服務時，可部署虛擬機器型態的感測器與AI大腦。若選擇使用實體設備來建置，Vectra目前提供4種機型，其中的S11與S101僅支援獨立感測器的執行模式，B101僅支援AI大腦的模式，X29可扮演的角色最多元，可支援獨立感測器、配對感測器、AI大腦模式，以及兩種角色並用的混合模式。</p> <p>這兩種元件各自提供哪些功能？感測器需與AI大腦配對，會以被動方式監控網路流量、提取關鍵的中繼資料，本身也持續提供封包擷取緩衝能力而能實現封包內容檢索，並將這些資訊轉送至AI大腦或是該公司管理的資料與分析雲，進行威脅偵測。</p> <p>而在部署感測器時，我們可搭配存取交換器來進行頻外（out-of-band）的設置——透過SPAN、TAP（Test Access Point）或是封包中介器（Packet Broker）等方式來介接感測器；若是伺服器虛擬化／超融合基礎架構等環境，可設置虛擬機器型態的感測器，以VMware的虛擬感測器（vSensor）為例，可支援標準交換器（VSS）與分散交換器（VDS）等兩種虛擬交換器，之後即能透視虛擬環境中的所有網路流量，而能深層、全面地偵測在各種工作負載傳遞的資安威脅活動。</p> <p>至於AI大腦，負責整個Vectra平臺的集中管能，對於從感測器接收到的中繼資料，可協助進行處理與去除重複的內容，若選用Vectra的威脅獵捕系統Recall或資安中繼資料湖系統Stream的授權，還能將這些資料轉送至其他地方，進行更進階的分析。</p> <p>基於上述方式布下的網路活動廣泛監控機制，Vectra得以設置AI驅動的攻擊信號情報網（ASI），協助用戶進行自動化的威脅檢測、漏洞分類，以及優先處理排序，而能更清楚、有效地判斷關鍵資安威脅、排定處理的優先順序。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/%E5%AE%97%E7%BF%B0-Vectra%E6%9E%B6%E6%A7%8B-%E5%9C%961-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FVectra.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-%E5%AE%97%E7%BF%B0-Vectra-600-2.png" style="width: 600px;" /></a></p> <p><span style="color:#3399ff;"><strong>以NDR起家的Vectra之所以能夠廣泛應用於企業內部、公有雲等多種環境，我們從這個平臺的建置架構可看出端倪。用戶可在內部網路或公有雲設置實體或虛擬感測器，再由感測器連接至實體或虛擬大腦裝置，最終連往Vectra管理的資料與分析雲進行進階處理。</strong></span><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Vectra</span></span></p> <p><span style="font-size:28px;"><strong>可涵蓋IaaS與SaaS公有雲，延伸保護身分，提供全面的監控與反制</strong></span></p> <p>除了設法收集網路環境的網路封包中繼資料，Vectra對於公有雲的IaaS、PaaS、SaaS等不同類型環境，也會擷取事件記錄，以便分析登入、檔案建立或修改、資料外洩防禦組態的設定、電子郵件信箱路由設定與自動處理的異動，以便找出攻擊者的行為模式。</p> <p>基於這樣的資安威脅防護架構，Vectra目前可針對AWS、微軟Azure與M365這兩大公有雲服務，提供所謂的Cloud Detection and Response（CDR）解決方案。用戶可透過當中整合的ASI攻擊信號情資，自動進行威脅偵測、警訊分類、評估決定多個既存事件的等級與優先處理順序，進行進階的事故調查；而有了更深層的威脅脈絡，資安團隊可獲得豐富、多元的應變、包圍、調查、溝通等能力，進而能在很短的時間內，找到遭到駭客與惡意軟體侵入的系統。</p> <p>在應變機制上，Vectra提供分析人員強制施行政策的工作與腳本，企業可搭配自動化的工作流程，並將資安團隊的人手用於反應動作的處理，也能經由管理主控臺介面去觸發預設的處理動作。</p> <p>除此之外，他們的CDR也能分析使用者與指定角色活動，阻擋存在雲端控制層（Control Plane）的威脅，揭發冒用身分與躲避偵測的可疑活動，以免雲端運算、運算、儲存服務與資料遭侵害。</p> <p>由於公有雲業者本身不斷強化與擴充自身的資安平臺，Vectra也持續改良CDR層面的整合應用。</p> <p>例如，AWS最新推出的安全資料彙集平臺Amazon Security Lake，於去年11月底舉行的年度全球用戶大會發表，今年5月底宣布正式上線，6月初Vectra隨即宣布他們的CDR整合這項資安服務。</p> <p>他們表示，目前供應全球用戶的ASI攻擊信號情資採用Amazon Security Lake；Vectra平臺對於Amazon Security Lake的原生支援，現在也能予以簡化。</p> <p>而且，用戶部署Vectra Detect for AWS這項SaaS服務之後，號稱可在15分鐘以內，就能將具有豐富內容、傳遞真實狀況的資安警訊，送至Amazon Security Lake，過程中，會運用專屬的AWS CloudFormation範本進行處理，使其成為這個安全服務彙整的一個資料來源，並將內容轉換為開放網路安全資料綱要框架（OCSF）的格式。</p> <p>而在公有雲支援，Vectra逐步擴充，2018下半開始陸續提供Azure、AWS Amazon VPC等兩大IaaS整合支援，延伸至SaaS雲端服務Office 365，到了2020年底、2021年初，將觸角擴展到雲端身分管理平臺Azure AD，從而提供身分威脅偵測與應變方案（IDR）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-%E5%AE%97%E7%BF%B0-Vectra-600-1.png" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><strong>基於Vectra持續蒐集、彙整的ASI攻擊信號情報，用戶在這個平臺的管理介面，看到各式各樣的警訊之餘，也能透過系統提供的優先順序排列呈現，找出面臨嚴重事故與身處於高風險狀態的主機。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Vectra</span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ndr">NDR</a></div><div class="field-item odd"><a href="/tags/vectra">Vectra</a></div><div class="field-item even"><a href="/tags/cdr">CDR</a></div><div class="field-item odd"><a href="/tags/idr">IDR</a></div><div class="field-item even"><a href="/tags/%E5%A8%81%E8%84%85%E5%81%B5%E6%B8%AC%E6%87%89%E8%AE%8A">威脅偵測應變</a></div></div></div>
2023/9/22 12:00作者李宗翰https://www.ithome.com.tw/tech/158770
數位部搶先試辦資服採購改進作法，讓廠商比品質而非拼價格
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年成立的數位發展部（以下簡稱數位部），作為數位政府領頭羊及產業的推手，數位部蒐集資服業者建議，研擬內部資訊服務採購精進作法，今年3月公告金額以上的資訊服務採購，以準用最有利標固定費用或費率為原則，免予議價，截至2023年7月，數位部已有5項採購案試辦此一作法。</p> <p>數位部數位產業署數位服務組簡任技正李楷元表示，不論是新的採購作業指引，或是數位部資服採購精進作法，目的都在解決長久以來，資服業者參與政府採購面臨的問題，以往機關單位採購常見作法，包括價格最低者得標的最低標，以及準用最有利標，但由機關訂底價，機關通常會與資服業者議價，當底價過低，可能侵蝕資服業者的利潤，影響業者的發展，甚至政府所得到的公共工程品質也受影響。</p> <p><span style="font-size:28px;"><strong>業者投標不拼價格，拼品質</strong></span></p> <p>為解決資服業者長久以來面臨的問題，政府資訊服務採購作業指引明定，在招、決標作業時，依採購法第52條第2項規定，資訊服務採購以不定底價最有利標為原則，機關在招標文件應明定以固定費用決標，在議價時不議減價格。目的是保障業者合理利潤，同時兼顧政府機關獲得較佳履約品質。</p> <p>數位部長唐鳳日前對外表示，先前資服廠商提到採用價格標，低價者得標，對於較新的業者或小規模的業者難以取得市場，現在一律採用固定價格，未來廠商之間比較的是，能提供多好的價值，能否符合國際組織的標準，數位部參與制定採購規範，建立互通性，當發生問題時就能快速反應、解決，「廠商之間拼的是品質，而不是拼價格」。</p> <p><span style="font-size:28px;"><strong>試辦固定費用的準用最有利標，分三階段精進</strong></span></p> <p>作為數位政府轉型的領頭羊，數位部在資服採購精進作法採行準用最有利標固定費用或費率為原則，不予議價。精進作法按招標程序，分為先置作業、招標、決標三個階段。</p> <p>首先，在招標的前置作業階段，過去政府機關採購作業習慣訂定底價，後續再和廠商議價，數位部在精進作法中，直接公布且訂定固定費用或費率，在廠商得標後作為決標價。</p> <p>李楷元表示，機關事先公告預算金額，不再議價，讓資服業者可以先衡量參與標案，服務內容所需投入成本，評估在固定預算金額下是否能提供機關需要的服務內容，再決定是否採與投標，避免過去議價的爭議。如此一來，未來資服業者投標各憑本事，比的是在固定預算金額之下，哪家業者所提供的服務內容最能符合機關採購的需求。</p> <p>在招標前置作業裡，機關首先要訂定固定費用或費率時，數位部建議可以參考個案特性、委託服務內容的多寡、難易度，還有所需人力、薪資行情，例如勞動部每年更新的職業類別薪資資料，有前例可循的招標案，可參考歷年決標的費用或費率。</p> <p>數位部的5項採購案準用最有利標固定費用或費率，招標文件直接載明預算金額，作為得標廠商的決標金額。</p> <p>對於無前例可循的全新招標案，或是比較複雜可能具有爭議的招標案要如何制定出固定費用或費率？數位部也建議可在招標前，在政府採購網或機關的網站上先徵求廠商提供參考資料或舉辦說明會，參考資料包括廠商提出的服務費用，以及廠商對機關需求規範的意見，協助機關訂定合理的固定費用，合宜的招標需求規範。</p> <p>李楷元指出，依據採購法第34條規定，採購單位可以公開徵求廠商事先提供資料作為參考，包括服務內容及報價，也針對單位提出的需求規範妥適性提出意見，在招標公告之前，機關先和廠商之間透過這個公開透明對話，避免機關所訂價格太低，偏離市場行情。</p> <p>另一項在前置階段的重要準備工作是，訂定評選項目，以往將廠商服務費率、費用的合理性納入評選項目，且占比不得低於20%，數位部在精進作法中，將合理性評選項目占比或權重得低於20%。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%87%E5%BD%AC-%E6%95%B8%E4%BD%8D%E9%83%A8-%E5%9C%961-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E6%94%BF%E5%BA%9C%E9%9B%BB%E5%AD%90%E6%8E%A1%E8%B3%BC%E7%B6%B2.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>數位部精進內部資訊服務採購作業，今年3月公告金額以上的資訊服務採購，採行準用最有利標固定費用或費率為原則，不予議價，至7月為止已有5項對外招標案採用，以公告的預算金額作為業者的決標金額。</strong><span style="font-size:14px;">圖片來源／政府電子採購網</span></span></p> <p><span style="font-size:28px;"><strong>評選項目不得列與標案無關的「回饋」項目</strong></span></p> <p>當進入招標階段，除了招標文件明確載明固定費用及費率，如廠商提出的價格超過固定費用及費率則為不合格標；招標文件也應說明，將組成費用或費率的服務內容合理性納入評選項目，讓廠商詳列組成該費用或費率的內容供招標單位評選。</p> <p>在招標階段的評選中，過去在「回饋」項目裡，要求業者提供回饋給招標機關，但是在政府資訊服務採購作業指引，明定評選項目裡不得列「回饋」項目，數位部建議在評選中增設「創新」或「創意」項目。</p> <p>李楷元表示，過去政府機關對外招標進行評選，評選委員可能詢問廠商是否能提供回饋給機關，「對資服業者而言，要求回饋等於變相壓迫可獲得利潤」，業者提供回饋給機關，這些回饋超越標案範圍的不合理要求，對業者而言，產生額外成本支出，「議價壓縮一次利潤，回饋再壓縮一次利潤，導致業者可能覺得無利可圖」。因此在精進作法中，增加「創新」或「創意」項目，針機關的痛點及需求，引導業者提供創新思維或創意作法，由機關評選哪家業者的做法更符合他們的需要。</p> <p>最後一類精進則是在決標階段，因採用固定費用或費率直接作為決標價，無需再議價，但可以議定合約內容，不得更改原本招標文件的規定，也不能降低廠商投票文件承諾的內容。至於決標金額，除了按照原定的固定費用或費率決標，業者如自願降低價格，則依降低價格來決標，但廠商報價高於固定費用或費率，則不予決標。</p> <p>數位部試辦的5項資訊服務標案，均在招標文件上事先載明預算金額，作為業者的決標金額，例如112年度無障礙網頁及行動化應用軟體標章認證檢測服務及軟體功能升級調校委外資訊服務採購案、112年度數位通傳資源管理系統委外建置採購案、112年度我的E政府入口網維運及功能擴增採購案等。</p> <p><span style="font-size:28px;"><strong>加強資服採購的資安合規</strong></span></p> <p>李楷元表示，數位部的採購精進作法只是數位部與公共工程委員會聯手制定的政府資訊服務採購作業指引一部分，兩者相輔相乘，採購作業指引更完整列出對政府機關辦理採購作業的相關規範，特別是在資安方面，例如要求機關編列預算時，需在資訊經費中單獨列出資安經費，且需按照數位部的「資通系統籌獲各階段資安強化措施」達到一定經費比例。更重要的是，在系統整體規畫階段需先導入SSDLC規畫，避免過去業者完成系統開發後，機關為補強資安防護，回過頭要求業者修改。</p> <p>評選項目應將資服廠商的資安作為及實績納入。對參與標案的廠商資格，涉及國家安全、資通安全的採購，應在招標文件禁止陸資背景業者參與。機關也應對自研或委外的資訊系統評估資通安全等級，為普、中、高級，採購作業指引也提供「各類資訊（服務）採購共通性資通安全基本要求參考一覽表」，將資安的履約項目列於招標文件。</p> <p>數位部資安署表示，根據政府資服採購作業指引，機關在建置系統之前，預先評估資通安全等級，根據普、中、高級對應的資安要求事項，來評估資安預算，這麼一來，除了保障廠商的合理利潤，也將安全性設計在開發階段時就納入考量。</p> <p>李楷元表示，未來在資服採購時，編列預備費用是重要的觀念，因為在時空環境改變下，可能半年或一年裡出現新的技術，例如橫空出世的ChatGPT，當初機關規畫需求時尚未問世，因此在預算經費事先編列預備費，可以額外的經費支付新增的需求。其次是跨年度執行的標案，機關在編列預算時應考慮到物價指數、薪資指數，來編列物價調整費用。另外，機關在履約或驗收系統時，包括功能性或資安檢測，也需編列檢測費用。</p> <p>未來新的政府資服採購作法，在數位部、公共工程委員會透過教育訓練，讓採購人員遵循新的規範後，李楷元指出，除了政府機關可以獲得較好的履約品質，資服業者也能獲得合理的利潤，促使產業正向發展，更有意願投入政府的採購，提供更好的創意，協助數位政府的革新，對政府和產業雙方來說是雙贏的局面。</p> </div></div></div>
2023/9/22 12:00作者蘇文彬https://www.ithome.com.tw/news/158830
GitHub正式支援Passkey
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自今年7月開始測試通行密鑰（Passkey）的GitHub，<a href="https://github.blog/2023-09-21-passkeys-are-generally-available/" target="_blank">周四（9/21）宣布正式推出Passkey服務</a>，所有的GitHub用戶都可透過帳號安全設定來新增Passkey。</p> <p>Passkey是由一組金鑰組成，其中的公鑰用於註冊網站或App，私鑰則是存放在用戶裝置上，在所登入的服務註冊了Passkey之後，使用者即可利用裝置上的生物辨識功能或裝置PIN碼來登入各式服務，由於它奠基在FIDO 2/WebAuthn標準上，因而得以跨平臺運作。</p> <p>Passkey除了讓使用者得以免除記憶密碼的困擾之外，還能防範基於簡訊的2FA網釣攻擊。</p> <p>GitHub允許使用者註冊不同裝置的Passkey，有鑑於Linux及Firefox對於Passkey的支援尚不完善，GitHub決定提供跨裝置的Passkey註冊功能，例如使用電腦時以手機來註冊Passkey，儘管Passkey存放於手機，但使用者可將它連結至電腦，並透過桌面瀏覽器進行設定，以讓Linux及Firefox用戶也能設定Passkey。</p> <p>此外，GitHub的目標之一是推動所有帳號都具備多個2FA憑證，以防在某個憑證遺失或無法使用時，還能有其它的登入途徑，因此，當GitHub察覺使用者的裝置相容於Passkey時，便會提醒使用者註冊Passkey。</p> <p>目前有許多重要服務皆已支援Passkey登入，像是<a href="https://www.ithome.com.tw/news/156706" target="_blank">Google帳號</a>，微軟<a href="https://www.microsoft.com/en-us/security/blog/2023/09/21/new-microsoft-security-tools-to-protect-families-and-businesses/" target="_blank">Windows 11</a>，以及蘋果的Mac與iPhone。</p> <p>此外，基於雲端的Passkey服務也支援跨裝置的Passkey同步，例如蘋果iCloud帳號可同步iOS與macOS的Passkey，Google Password Manager可同步使用者所有Android裝置的Passkey，1Password 或Dashlane 密碼管理員也可同步所有安裝該程式的裝置Passkey。</p> <p class="rtecenter"><a href="https://github.blog/wp-content/uploads/2023/07/register_key.mp4?_=1" target="_blank"><img alt="" src="https://github.blog/wp-content/uploads/2023/07/register_key.mp4?_=1" style="width: 600px;" /><img alt="" src="https://s4.itho.me/sites/default/files/images/0922-GitHub-passkeys-3.png" style="width: 600px;" /></a></p> </div></div></div>
2023/9/22 12:23作者陳曉莉https://www.ithome.com.tw/news/158880
思科準備以280億美元買下資安業者Splunk
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科（Cisco）及資安業者Splunk周四（9/21）<a href="https://newsroom.cisco.com/c/r/newsroom/en/us/a/y2023/m09/cisco-to-acquire-splunk-to-help-make-organizations-more-secure-and-resilient-in-an-ai-powered-world.html" target="_blank">宣布雙方已簽署併購協議</a>，思科將以每股157美元的現金買下Splunk，總價約為280億美元，成為思科史上最大的併購案。於那斯達克（Nasdaq）上市的Splunk在周三（9/20）的收盤價為119.59美元，消息傳出後，Splunk周四股價上漲了20.77%，以144.43美元作收，反觀思科股價則微幅下滑3.89%，收在53.34美元。</p> <p>成立於2003年的Splunk主要提供統一的安全性與可觀測性（Observability）平臺，能夠追蹤、管理與搜尋來自第三方工具、公有雲、就地部署資料中心、私有雲、裝置及第三方程式/服務的資料，並將相關資料視覺化。</p> <p><a href="https://investors.splunk.com/news-releases/news-release-details/splunk-announces-fiscal-second-quarter-2024-financial-results" target="_blank">根據Splunk截至今年7月底的2024財年第二季的財報</a>，該季Splunk創下了9.11億美元的營收，比去年同期成長14%，當中有4.45億美元來自於雲端服務，2.95億美元來自授權，還有1.7億美元為維護營收，總計虧損了6,325萬美元，大幅優於去年同期的2.1億美元虧損。</p> <p>思科表示，在現今的超級互連世界，隨處都有資料，每個組織每天都必須仰賴這些資料來展開業務並作出關鍵決策，考慮到生成式AI的加速與採用，不斷擴大的威脅表面，再加上多雲環境，形成了各組織從未面臨的複雜程度，也讓組織需要更好的方式來管理、保護，以及釋放資料的真正價值。思科與Splunk將攜手解決上述挑戰。</p> <p>思科主要開發與生產網路硬體、軟體及電信設備，而Splunk則是資料管理及安全業者，雙方的結合可望帶來混合與多雲環境的可觀測性，以讓客戶得以提供流暢的應用程式體驗，推動其數位業務，並提供自裝置、應用程式至雲端的安全分析。</p> <p>雙方預計於明年第三季完成交易，之後Splunk總裁暨執行長Gary Steele也會加入思科的執行領導團隊，向思科執行長Chuck Robbins彙報。</p> </div></div></div>
2023/9/22 10:40作者陳曉莉https://www.ithome.com.tw/news/158878
想像數據網格
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_shu_ju_wang_ge_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在人工智慧的時代中，站穩腳步的人已經破解複雜性的密碼，將數據驅動的實驗落實到業務中的各個面向，這並不是引人注意的巧合，因為快速學習且持續變化，並且與機器智能合作，才能超越人類邏輯和推理來理解現實。</p> <p>容我虛構一家全球音樂串流媒體公司Daff, Inc.，並以它為例說明。數據網格是Daff的數據戰略、架構和營運模型的支柱，讓他們能夠以數據和機器學習（ML）的方式，有規模且快速地實驗、學習和適應。</p> <p>在過去3年中，Daff將他們管理和分析數據的方式，轉變為一種稱為數據網格的方法，從大規模分析數據中獲取價值，進一步加強數據和業務兩者間的聯繫。</p> <p>Daff部署複雜的機器學習模型，這些模型不斷地在組織內外部多樣且持續進化的數據集合中找出特定模式。Daff為聽眾提供專門針對個人品味、心情、特定時間及地點的推薦清單。利用數據，為藝術家提供目標明確的活動，以幫助他們擴大觸及率。</p> <p>讓我們來看看Daff是如何做到的。</p> <p><span style="font-size:28px;"><strong>數據好奇心與實驗的文化</strong></span></p> <p>Daff由不同業務單元組織而成，稱為「領域」（domains）。播放器領域專注於可攜帶式設備所使用的核心音樂播放器，合作領域則尋求商業夥伴，例如健身應用程式和藝術場所，而播放清單領域則研究更多且進階的播放清單產生方法。每個領域都結合了軟體開發和更廣泛的業務能力，並且負責可以支持該領域的軟體元件。</p> <p>身處Daff你會注意到，不論何時，每個領域都在同時進行各項實驗，用以改進其應用程式和服務。例如，播放器領域團隊不斷嘗試與使用者更好的互動方法，合作領域團隊使用從各種外部來源，如健身平台、藝術場所等獲取的數據作實驗，播放清單領域團隊不斷套用更先進的機器學習方法，來推出並推薦更吸引人的合輯。藝術家領域團隊利用機器學習方法，來發掘那些一般人會忽視的藝術家，並且吸引他們加入。</p> <p>每個業務的領域以及與它們協作的技術團隊，都大加讚揚有意義、值得信賴且安全的數據。不僅如此，每個人都希望在整個組織中依照需求存取數據能成為一種常態。他們知道自己在實現這個目標中所扮演的角色，對數據的解讀方式、來源與提供方式負起全責，並且在其中占有一席之地。</p> <p>只要可以利用舊有的數據和模式來實作該領域的特性或功能，每個領域都會積極的套用機器學習模型。舉例來說，播放清單團隊使用生成機器學習模型，來產生奇妙到讓人覺得不可思議的合輯，可針對不同情境推出不同內容，不管是跑步還是專注學習等。</p> <p>這種文化與3年前的Daff形成強烈對比。當時他們將與數據有關的蒐集、實驗和相關情資工作，外包給獨立的數據團隊，該團隊承受極大壓力，因各個領域都不相信所謂的數據，或者是經常找不到他們需要的數據。這讓數據團隊一直在做彌補工作，可能是上游應用程式和資料庫因為任何一個微小變化而破壞的數據管道，也可能是要前一天亟需數據解決方案的某個領域。各領域不用對數據的易獲得性、可靠性和可用性有任何的責任，也不感興趣；而取得正確數據的準備時間和其他阻力，也會讓這些領域很難執行新的實驗。</p> <p><span style="font-size:28px;"><strong>數據和機器學習的嵌入式合作夥伴關係</strong></span></p> <p>數據實驗文化似乎好得令人難以置信。若想知道它實際運作的方法，可參考Daff最近開發的數據驅動業務功能故事，來了解相關人員的參與經驗。</p> <p>智慧型音樂播放清單已經成為Daff平台一項成功的功能。音樂播放清單領域在許多機器學習模型上運作，這些模型相互交叉各種來源的數據，包括聽眾所在地、正在做的事情、他們的興趣以及參與的場合等，為聽眾推薦更匹配的播放清單。</p> <p>播放清單機器學習模型會利用整個組織不同來源的分析數據產品模式，例如：</p> <p>● 聽眾的領域、個人檔案、社群網絡、位置等共享數據，來了解聽眾背景和與其相似的族群。</p> <p>●播放器領域、播放會議和播放事件等共享數據，來了解聽眾在播放器設備上的行為和偏好。</p> <p>●來自音樂專輯領域、音樂曲目和音樂檔案等數據，來了解音樂曲目的檔案和分類。</p> <p>有多種經過訓練的機器學習模型可以產生智慧播放清單，如星期一播放清單、星期日早晨播放清單、專注播放清單等。</p> <p>播放清單團隊將這些不斷改進的合輯，以數據產品的形式分享給其他團隊。數據即為產品，是一個成熟的概念，指的是依照Daff既定的數據共享標準而分享的數據，全域數據發現工具可以自動存取數據產品。它們共享並且確保擁有相同的服務水準目標（service level objectives，SLO），例如每個播放清單的更新頻率、準確率和及時性，並擁有最新且易於理解的說明書。簡單來說，數據產品是具有正確訪問權限的使用者所能獲得的高品質數據，並且容易理解、好上手。</p> <p>播放器領域團隊則聚焦在不同播放器如手機、桌機和汽車等的使用者介面，這是播放清單數據產品中最主要的使用者之一；他們不斷消化最新和最棒的播放清單，並將此呈現給聽眾。</p> <p>播放清單團隊計畫要更新他們的模型，為不同的體育活動推薦新的播放清單，例如跑步播放清單、自行車播放清單等。他們需要找到一些現存資料，包括聽眾在運動時喜歡或播放的音樂資訊。</p> <p>首先，播放清單團隊進入網格的探索入口，並且搜尋所有可能跟體育活動相關的數據產品。藉由探索機制，他們發現合作夥伴領域中有一些跟運動相關的數據，這個探索工具能讓團隊自動存取文件、範例程式以及更多與數據產品相關的資訊。他們自動的請求存取權限，以取得合作夥伴數據產品使用權並且檢視樣本資料集。雖然他們發現了一些涉及聯合成員（合作健身平台成員的聽眾）的有用數據，但沒有找到任何他們在跑步、騎自行車或做瑜伽時，在這些平台上聆聽或喜歡的音樂資訊。</p> <p>播放清單團隊跟合作夥伴數據產品擁有者取得聯繫。每個領域都會有一個專門的產品擁有者，他會專注於該領域所共享的數據。藉由直接對話告知合作夥伴團隊，他們需要存取健身平台在不同活動中播放的音樂曲目，以及平台成員喜歡的音樂曲目。這段對話能重新建立合作夥伴播放清單數據產品的優先順序。</p> <p>合作夥伴業務團隊的宗旨，是藉由跟健身平台等合作平台的無縫整合以及音樂分享，為聽眾創造更好的體驗。建立合作夥伴播放清單數據產品跟他們的業務目標一致。合作夥伴團隊是最適合建立這些數據產品的團隊，他們跟合作夥伴平台有最密切的合作，而且也了解他們的整合API，以及這些API的生命週期。這些API會直接為合作夥伴播放清單數據產品提供數據。</p> <p>鑑於Daff在過去3年建立的自我服務數據基礎設施和平台能力，合作夥伴團隊能夠簡單建立起新的數據產品。他們跟其中一個廣受歡迎的自行車和健身合作夥伴合作，使用他們的API來存取其成員播放過和喜歡的曲目。</p> <p>合作夥伴團隊使用平台數據產品的生命週期管理工具來轉換邏輯，將這些數據呈現為多種模式的數據產品，最初是使用增量檔案的近即時快照。為了更容易地整合合作夥伴播放清單跟其他數據產品，轉換程式著重於將音樂曲目ID轉換為Daff在所有數據產品中使用的全域曲目ID系統。不過幾個小時，他們就建立新的合作夥伴播放清單數據產品，並將其部署到網格中，同時也提供給播放清單團隊，讓他們的實驗能夠持續下去。</p> <p>在這個再平凡不過的場景中，隱含一些數據網格原則的基本原理：數據的去中心化領域所有權，藉此消除數據使用者和數據提供者之間的差距。在這種情況下，讓播放清單領域能夠直接與合作夥伴領域共同工作，而每個團隊都有責任長期提供數據、播放清單和合作夥伴播放清單。<strong><span style="color:#696969;">（本文摘錄整理自《數據網格》序章，碁峰資訊提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%98_%E6%95%B8%E6%93%9A%E7%B6%B2%E6%A0%BC_600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_碁峰資訊</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 數據網格：大規模提供資料驅動價值<span style="color:#000000;">（Data Mesh ）</span></strong></p> <p>Zhamak Dehghani／著；吳曜撰／譯</p> <p>碁峰資訊出版</p> <p>定價：680元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BD%9C%E8%80%85_%E6%95%B8%E6%93%9A%E7%B6%B2%E6%A0%BC.jpg" style="width: 120px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p>Zhamak Dehghani是Thoughtworks的技術總監，專注於企業分散式系統與資料架構。她是Thoughtworks等多個技術顧問委員會的成員。Zhamak致力於將所有的事物去中心化，包括架構、數據和最終權力。她也是數據網格的創始人。<a href="https://www.thoughtworks.com/en-ca/profiles/z/zhamak-dehghani" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Thoughtworks</span></span></a></p> </div></div></div>
2023/9/22 09:00未署名https://www.ithome.com.tw/article/158769
Safari 17.0添加HTML新元素，並強化Mac網頁應用程式體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://webkit.org/blog/14445/webkit-features-in-safari-17-0/">Safari 17.0</a>隨著Apple發布iOS 17和iPadOS 17交付到使用者手中，這個版本添加了許多重要的新功能，像是新增HTML新元素 <search>，並完整支援Storage API，同時也添加多種影音檔案格式。在Mac上，Safari 17.0也可釘選網頁應用程式到Dock上，並且獲得更多隱私安全性。</p> <p>Safari 17.0添加HTML新元素 <search>支援。官方提到，雖然現在網路標準一直定義新技術，但是HTML本身卻很少添加全新元素。HTML在發展上相對較緩慢，只有當W3C或是WHATWG覺得有必要的時候，才會經過充分討論後在HTML添加新元素，以滿足網頁設計和開發需求，而最新的<search>元素便是如此。</p> <p>搜尋是現在大多數網站的重要功能之一，因此出現了<search>新元素。<search>元素會自動對網站或網頁應用程式的搜尋部分，提供正確的可存取性語義。官方提到，這種方式和HTML本質相吻合，讓預設配置就具有可存取性，而不需要開發者特別添加，此外<search>元素還具有語義標記功能，可在多種環境中有效傳達搜尋意義，從翻譯演算法到機器學習都適用。</p> <p>目前<search>在其他瀏覽器都還是實驗性功能，Safari 17.0成為第一個正式支援<search>元素的瀏覽器。不支援<search>元素的瀏覽器，仍會認知到<search>元素的存在並且識別其所有屬性，但在這些瀏覽器中，<search>就會像是<div>這類普通元素一樣運作，因此開發者仍可以加上<search role=“search">語法，來確保所有使用者都能有預期的體驗。</p> <p>Safari 17.0與WebKit現在完全支援Storage API，同時也更新了儲存配額策略。過去來源（Origin）的起始儲存限制為1 GB，當超過此限制時，主畫面的網頁應用程式中的後續儲存操作就會失敗，或是提示使用者授予增加Safari配額的權限。</p> <p>但現在的來源配額根據總磁碟空間計算，如此來源將能使用更大的容量，且使用者也不會在Safari中收到權限提示。在預設情況下，每個來源都有更高的儲存空間可以使用，當所有來源使用的儲存總量大於特定值，WebKit將會按來源清除資料。</p> <p>Safari 17.0很有意思地增加了JPEG XL圖像格式資源，JPEG XL是一個免版稅的點陣圖檔格式，支援有損和無失真壓縮。過去Google很早就在Chrome中新增JPEG XL支援，但是卻在Chrome 110版本移除對該格式的支援，而JPEG XL在Firefox則一直處在實驗階段，這次Apple在行動裝置和桌面版本的Safari 17.0都直接添加JPEG XL支援。</p> <p>官方提到，JPEG XL使用一種稱為模組化熵編碼（Modular Entropy Coding）的壓縮演算法，可以靈活地調整壓縮比，且與JPEG類似支援漸進式載入，很適合在慢速網路中提供圖像。目前的JPEG檔案可以重新壓縮成JPEG XL格式，在不造成任何品質或是資料損失的情況下，減少檔案大小20％。</p> <p>此外，Safari 17.0也加入對HEIC圖像和AV1影片格式的支援。HEIC是Apple裝置上使用的圖片格式，其大小約為相同品質JPEG的一半，現在Safari瀏覽器也可以匯入和編輯HEIC格式的照片，不需要轉換格式。至於AV1則是一種影片編碼，在有硬體解碼支援的情況下，能夠有效節省影片播放的電量消耗。這些格式支援讓Safari能夠呈現更為豐富的網頁內容，並且給使用者更多選擇。</p> <p>在Safari 17.0中，也增加Mac對網頁應用程式的支援，網頁應用程式的行為將更像是原生應用程式。使用者從Safari可以將任何網站添加到Dock中，在Mac上獨立於其他瀏覽活動，官方提到，這些網頁應用程式與Mac其他應用程式，像是Stage Manager、Mission Control及鍵盤快捷鍵等，都能夠更良好地協同工作。</p> <p>當用戶將網站添加到Dock時，Safari會自動複製該網站的Cookie到網頁應用程式，確保其登入的連續性，而且網站的其他資料，不會被轉移或者供其他應用存取，藉此保護使用者的隱私性。</p> </div></div></div>
2023/9/22 09:48作者李建興https://www.ithome.com.tw/news/158873
微軟Azure Quantum開發套件以Rust重新編寫，效能與大小皆改進超過百倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟以Rust重新編寫了<a href="https://devblogs.microsoft.com/qsharp/introducing-the-azure-quantum-development-kit-preview/">Azure Quantum開發套件（QDK）</a>，將其編譯成WebAssembly以供VS Code和網頁使用，同時也能針對Python編譯為原生二進位檔案。官方提到，新的QDK速度提升超過100倍，而且安裝體積也縮小超過100倍，整體安裝和開發流程更容易，甚至在瀏覽器就可以執行。</p> <p>微軟在2017年發布了QDK，這一路來量子運算技術發展快速，微軟在QDK加入了許多功能與技術，但是也因為這樣疊床架屋，部分功能已經成為QDK發展的絆腳石，幾經考量之後他們決定重寫。</p> <p>原本的QDK的一部分是以.NET為基礎，Q#則是微軟針對量子運算所設計的語言，與.NET緊密整合，因此開發者使用QDK時，便會碰觸到.NET相關的工具和概念，也就是說，量子開發人員在開發量子應用程式之前，需要先學習.NET，官方提到，這增加了額外的學習曲線。</p> <p>量子開發人員更熟悉Python，因此重新設計QDK消除.NET相依性，也就可以降低進入門檻，簡化安裝、學習、編寫程式、故障排除，甚至是向量子電腦提交工作的任務。</p> <p>除此之外，舊QDK的平臺支援性不夠好，像是不完全支援Apple Silicon和Windows on ARM64，官方表示，雖然過去相依於特定平臺並非是個問題，但隨著技術和平臺發展，這帶來了一些挑戰。況且，原本QDK涵蓋多個儲存庫、建置工作管線、語言、執行環境和發布頻道，導致整體開發速度變慢了，開發人員需要花費大量的時間維護程式碼、更新安全性和排除建置等問題。</p> <p>由於QDK執行環境的相依項目，需要安裝的全套二進位檔案相當龐大，除了.NET執行環境之外，解析器中還有一些F#函式庫相依項目，模擬器包含C++多執行緒的函式庫相依項目，再加上Q#項目SDK的NuGet相依項目，這些總共需要180 MB。除了下載和初始化需要花費一些時間，這些元件相互溝通的複雜性，也出現一些效能和可靠性問題。</p> <p>為了解決QDK既存的諸多問題，在2022年底，微軟決定重新設計QDK，其中一項關鍵改變是盡可能以Rust編寫程式碼，因為Rust可以簡單地建置成各種平臺的原生二進位檔案，也可以建置成WebAssembly，讓程式在瀏覽器中運作。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/230918_Rebuilding_QDK_1920X1080.png" style="width: 580px;" /></p> <p>同時，微軟也限制新程式碼庫使用的語言，只能是Rust、Python和JavaScript。Rust主要用於開發核心，Python則建置和發布套件，以及部分腳本任務，JavaScript則用於建置VS Code擴充套件，還有一些網頁整合程式碼。新的QDK也盡量降低技術和相依項目，降低學習、安裝、維護和產品容量所產生的額外成本。</p> <p>現在量子開發人員只需要安裝Rust、Python和Node.js，再複製一個儲存庫和執行Python建置腳本，便完成所有事前工作。開發者在VS Code修改Rust或TypeScript腳本時，可以即時看到結果，而且無論是在本地或是雲端，都可以使用同一套建置腳本，這確保了流程的一致性。</p> <p>微軟的QDK改進成果相當顯著，整個開發套件的體積縮小超過100倍，原本QDK會在本地產生超過180 MB的二進位檔案，現在新的VS Code擴充套件的VSIX套件只有約為 700KB，就已經包含所有Q#開發所需要的所有內容，安裝僅需要幾秒鐘。</p> <p>在執行速度上也獲得非常大幅度的提升，過去QDK編譯時間需要以分鐘計，但相同程式在新的QDK則是以毫秒時間在運作。而現有QDK建置工作管線需要耗時2到3小時，許多問題需要跨多個儲存庫協調，而現在所有程式碼都在同一個儲存庫，每次提交程式碼到主分支時，都可以在10分鐘內完成建置、測試並且推送到Playground。</p> <p>語言服務、編譯器和除錯工具運作也都非常快速，而且就連在瀏覽器也能獲得這樣的高效體驗。微軟的VS Code for the Web能夠在瀏覽器中執行IDE，不需要本地安裝，透過將擴充套件建置成為網頁擴充套件，VS Code在瀏覽器也能擁有桌面版的功能。因此量子開發人員也可以在瀏覽器中，用VS Code對Q#程式碼進行除錯，並同時登入Azure Quantum工作區，且不需要在本地安裝任何軟體。</p> </div></div></div>
2023/9/22 09:53作者李建興https://www.ithome.com.tw/news/158876
台智雲揭企業級LLM服務新進展，9月底將上線3種繁中優化的Llama 2模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼今年5月發表企業級大型語言模型服務（AFS）後，華碩子公司台智雲今日（9/21）再揭露新進展，在AFS中納入更多模型，不只有先前發表的福爾摩沙大模型（FFM），還有以繁中資料強化的FFM-Llama 2，包含70億參數、130億參數和700億參數的模型版本，預計9月底上線。此外，台智雲也在AFS的模型庫中新添Meta的Llama 2、Code Llama等開源模型，並預告後續將納入合作夥伴所開發的模型，提供企業用戶更多模型選擇。</p> <p><span style="font-size:24px;"><strong>新添懂繁中語境的語言模型和模型縮小新功能</strong></span></p> <p>進一步來說，AFS全名為AI Foundry Service，主要有2種大型語言模型的部署和推論服務，即AFS Cloud和AFS Appliance。其中，AFS Cloud為雲端託管服務，其中提供的模型是完整訓練過的，企業可透過API來使用，計價方式是依用量／小時計費。有別於AFS Cloud，AFS Appliance則是私有雲／地端部署服務，企業可下載大型模型到地端，在地端資料中心、私有雲或搭配企業5G專網來執行LLM應用。</p> <p>華碩雲端暨台智雲總經理吳漢章說明，這次，台智雲在AFS的預訓練模型庫中，新添以繁中語料優化的FFM-Llama 2模型，包含70億參數、130億參數和700億參數三種版本，以及Meta原本的Llama 2、Code Llama等開源模型，此外還有先前發布的FFM-1（含7B、176B版本）、BLOOMZ（含7B與176B版本）以及Embedding等模型來供用戶選擇。</p> <p>其中，Embedding模型是一種工具，能將問題轉換為向量空間，來搜尋知識庫或問答集（也就是資訊檢索），再搭配LLM來生成回答給使用者。這種生成式AI搭配知識庫搜尋的用法，屬於檢索強化生成（RAG）方法，有別於訓練模型學會特定知識的參數訓練方法。這個Embedding工具可支援批次處理，每批可處理3萬2千個Token，適合消化大文件。</p> <p>另外，台智雲在AFS中還新添新功能，比如能提高訓練效率的LoRA（Low-Rank Adaptation），特別適合資料量不多的企業使用者，預計10月上線FFM-Llama 2、Meta Llama 2和FFM-BLOOM系列支援LoRA。另一個新功能則是BitsAndBytes，結合了LoRA和模型縮小技術，有利於模型部署於運算資源有限的裝置。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B8%AE%E5%B0%8F.JPG" /></p> <p><span style="font-size:24px;"><strong>專攻生成式AI，重整推4大服務</strong></span></p> <p>吳漢章指出，早在幾年前，華碩雲端就在思考如何創新雲端服務。近期生成式AI崛起，他們看到新契機，藉由原本儲存於雲端的知識，結合生成式AI模型，就能讓模型運用這些知識，來回答用戶各種問題，就像是第二個大腦。</p> <p>再加上台智雲的算力優勢，他們在今年陸續推出生成式AI 4大服務，包括用於LLM正式環境的AFS、容器服務CCS，以及用於算力和研究的OneAI、HPC。其中，台智雲在CCS容器服務中新添了生成式AI類別，內含多種基礎模型，如BLOOM、Llama 2等，使用者可快速建立生成式AI容器。該服務以GPU每小時計費，目前台智雲的計價方式為1小時58元（臺幣）。吳漢章表示，他們接下來會上架更多開源模型，以及合作夥伴所開發的模型。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ccx.JPG" /></p> <p>而HPC則提供跨節點平行運算環境，來供使用者開發模型使用。此外，OneAI是一款無程式碼平臺，提供多種AI工具，適合快速嚐鮮的使用者，來快速打造模型、管理模型生命周期。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/4%E7%A8%AE%E6%9C%8D%E5%8B%99.JPG" /></p> </div></div></div>
2023/9/21 19:38作者王若樸https://www.ithome.com.tw/news/158874
【資安日報】9月21日，中國駭客假借寄送發票的名義發動網釣攻擊，目的是散布新型態的木馬程式ValleyRAT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>我們近期報導不少中國駭客的攻擊行動，鎖定目標多半是針對敵對國家而來，在今天的資安新聞中，有針對當地企業組織而來的網路釣魚攻擊被研究人員揭露，其手法都是透過免費的電子郵件服務寄送釣魚信，然後使用發票、求職信為誘餌發動攻擊，進而於受害電腦植入ValleyRAT、Purple Fox、Sainbox RAT。</p> <p>值得留意的是，這起攻擊行動背後很可能有多個組織參與，且範圍開始擴及日本。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.proofpoint.com/us/blog/threat-insight/chinese-malware-appears-earnest-across-cybercrime-threat-landscape"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中文使用者遭到鎖定，駭客向其散布木馬ValleyRAT、Sainbox RAT、Purple Fox</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Sainbox-Fig1_0.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Sainbox-Fig1_0.png" style="width: 300px; float: right;" /></a>資安業者Proofpoint揭露從今年初出現的網路釣魚攻擊行動，中國駭客試圖散布木馬程式ValleyRAT、Purple Fox，以及Gh0st RAT變種Sainbox RAT（亦稱FatalRAT），最近半年內至少已有30起攻擊行動，其中散布最多的是Sainbox RAT，數量接近20起。</p> <p>研究人員自今年4月，看到駭客使用簡體中文、以發票為誘餌寄送釣魚郵件，鎖定位於中國的辦公室，或處理發票的公司下手，這些釣魚郵件大多是透過Outlook.com或其他免費電子郵件服務寄出，信件內容含有惡意網址，或挾帶含有惡意網址的Excel附件檔案，一旦收信人點選連結，電腦就有可能被植入Sainbox RAT。</p> <p>另一款引起研究人員注意的木馬程式，則是以程式語言Rust開發、在今年3月首度出現的ValleyRAT，這款新的惡意程式的攻擊模式大致與Sainbox RAT雷同，駭客也是藉由發票的名義，從Outlook.com、Hotmail、WeCom免費電子郵件服務寄送釣魚郵件來發動攻擊，但不同之處在於，此木馬程式入侵受害電腦的過程裡，駭客利用以Rust打造的惡意程式載入工具，此工具以DLL側載的方式啟動，執行時會下載SSL VPN應用程式EasyConnect，而有可能讓攻擊行動更為隱密。雖然攻擊者主要以發票做為誘餌，但在5月一起攻擊行動裡，駭客冒充求職者，藉由履歷表PDF檔案散布ValleyRAT。值得留意的是，其中一起散布Purple Fox的攻擊行動針對日本組織下手，代表駭客很可能打算將該國納入攻擊範圍。</p> <p><a href="https://unit42.paloaltonetworks.com/fake-cve-2023-40477-poc-hides-venomrat/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體VenomRAT假借WinRAR漏洞概念性驗證程式散布</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-130016-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-130016-1.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks提出警告，有人在8月21日，聲稱針對RARLab修補的高風險漏洞CVE-2023-40477（CVSS風險評分為7.8）提供概念性驗證（PoC）攻擊程式，但實際上駭客意圖利用另外一個漏洞，在研究人員的電腦上部署惡意程式。</p> <p>一旦研究人員依照對方指示執行此攻擊程式，就會下載偽裝成ZIP壓縮檔的Python指令碼，利用地圖服務伺服器程式GeoServer的SQL注入漏洞CVE-2023-25157（CVSS風險評分為9.8），建立批次檔並下載PowerShell指令碼，最終於受害電腦植入木馬程式VenomRAT。</p> <p>若是該惡意程式在電腦上啟動，就會開始記錄使用者所有的按鍵內容，並與C2建立連線，接收駭客下達的指令。</p> <p><a href="https://www.deepinstinct.com/blog/operation-rusty-flag-a-malicious-campaign-against-azerbaijanian-targets"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">亞塞拜然共和國遭到Rust惡意軟體攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig1-AttackFlowRusty.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig1-AttackFlowRusty.png" style="width: 300px; float: right;" /></a>資安業者Deep Instinct揭露針對亞塞拜然的攻擊行動Operation Rusty Flag，目的是於受害電腦部署以Rust打造的惡意軟體，收集主機資訊並回傳給攻擊者。關於其攻擊手法，駭客先是透過假冒成JPG圖檔的捷徑檔（LNK），或是名為Overview_of_UWCs_UkraineInNATO_campaign.docx的惡意文件檔案（利用Office方程式編輯器漏洞CVE-2017-11882），引誘使用者上當，從Dropbox下載暗藏惡意的MSI封裝安裝程式。</p> <p>研究人員指出，上述的Word誘餌檔案名稱，先前是俄羅斯駭客Storm-0978（亦稱RomCom、Tropical Scorpius）曾用於攻擊烏克蘭，但不同之處在於，俄羅斯駭客駭客利用的漏洞是上個月被修補的CVE-2023-36884，對此，研究人員推測，從事Operation Rusty Flag的駭客想要嫁禍給Storm-0978。</p> <p> </p> <p><a href="https://blog.talosintelligence.com/introducing-shrouded-snooper/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中東電信業者遭駭客組織ShroudedSnooper鎖定，假借提供端點防護系統元件散布惡意程式</span></strong></a></p> <p>思科的威脅情報團隊Talos揭露針對中東電信業者的網路攻擊行動ShroudedSnooper，駭客在攻擊行動中部署名為HTTPSnoop、PipeSnoop的後門程式，並將其偽裝成Palo Alto Networks的XDR元件，企圖回避偵測。</p> <p>而對於這些惡意軟體帶來的危害，研究人員指出，HTTPSnoop利用低階的Windows API，從HTTP、HTTPS流量監控受害電腦是否存取特定的URL，一旦偵測到這些網址，該惡意軟體就會接收攻擊者傳入的資料並進行解碼，並組成Shell Code執行。根據URL監聽管道的不同，研究人員一共發現3種版本的HTTPSnoop，其中一種是監聽普通的HTTP請求，另外兩種則是監聽微軟Exchange Web Services 、網路電話系統OfficeCore基於位置的服務（LBS）OfficeTrack的流量，使得其攻擊行動更為隱密。</p> <p>另一個後門程式PipeSnoop，其主要功能是藉由特定Windows處理程序之間的通訊（IPC）管道，執行任意Shell Code酬載。有別於HTTPSnoop用於攻擊能連接網際網路的伺服器，駭客將PipeSnoop用於較具價值的目標，並可能需要搭配其他程式才能運作。</p> <p><a href="https://sysdig.com/blog/ambersquid/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">挖礦攻擊行動Ambersquid鎖定不尋常的AWS服務下手</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/image1-75.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image1-75.png" style="width: 300px; float: right;" /></a>資安業者Sysdig揭露雲端挖礦攻擊行動Ambersquid，印尼駭客鎖定一系列不常見的雲端服務，如：AWS Amplify、AWS Fargate、Amazon SageMaker，駭客在Docker Hub散布帶有挖礦軟體的容器映像檔，大部分會從程式碼儲存庫GitHub下載挖礦程式，但也有的會執行存放在AWS的Shell指令碼。</p> <p>不論針對那種AWS服務發動攻擊，其共同點是駭客濫用了代管程式碼儲存庫的服務AWS CodeCommit，產生私有儲存庫並在攻擊行動中運用，該儲存庫含有AWS Amplify應用程式的原始碼，前述的Shell指令碼便將原始碼拿來編譯Amplify網頁應用程式，最終執行挖礦軟體，迄今駭客不法獲利超過1.8萬美元。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/158834"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">OpenAI成立紅隊演練網路，招募各界專家改善大型語言模型安全</span></strong></a></p> <p>9月19日OpenAI宣布擴大紅隊演練的規模，<a href="https://openai.com/blog/red-teaming-network">成立名為OpenAI Red Teaming Network的紅隊演練網路</a>，從數十個專業領域招募專家來協助改善其各種模型的安全。</p> <p>這些專家專精認知科學、生物學、化學、物理、經濟、社會學、公平與偏見、教育、法律、網路安全、不實資訊、隱私、語言、健康照護、兒童安全、金融，或是人類學等，OpenAI強調，具備AI系統與語言模型知識並非必要條件，他們更看重專家能否提出該領域的專業觀點。有意願的人士可在12月1日前，向該實驗室提出申請。</p> <p><a href="https://www.ithome.com.tw/news/158852"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">因應量子電腦時代的安全威脅，加密通訊軟體Signal採用新加密協定PQXDH</span></strong></a></p> <p>重視隱私的通訊軟體Signal宣布升級加密規範，發表<a href="https://signal.org/blog/pqxdh/">新的加密協定PQXDH</a>，透過添加額外的保護層，以防止用戶受到先竊取、後解密（Harvest Now, Decrypt Later）攻擊。</p> <p>目前PQXDH協定已經在新版Signal中使用，只要通訊雙方都使用最新版本發起新通訊，便能夠獲得PQXDH保護，該公司表示，他們將會在數個月後，停用較舊的X3DH協定，同時透過軟體更新，將現有聊天升級，套用這種新的加密協定。</p> <p> </p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-263a"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國針對勒索軟體Snatch的攻擊行動提出警告</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/transunion-denies-it-was-hacked-links-leaked-data-to-3rd-party/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織USDoD聲稱竊得信用評估業者環聯資料，環聯表示並未遭到入侵</span></span></strong></a></p> <p><a href="https://checkmarx.com/blog/attacker-unleashes-stealthy-crypto-mining-via-malicious-python-package/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客透過惡意Python套件culturestreak散布挖礦程式</span></span></strong></a></p> <p><a href="http://www.cadosecurity.com/cado-security-labs-researchers-witness-a-600x-increase-in-p2pinfect-traffic/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">殭屍網路P2PInfect攻擊爆增600倍</span></span></strong></a></p> <p><a href="https://blogs.blackberry.com/en/2023/09/silent-skimmer-online-payment-scraping-campaign-shifts-targets-from-apac-to-nala"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">網站信用卡側錄攻擊Silent Skimmer鎖定亞太、拉丁美洲及北美</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/158845"><strong>【9月20日】面臨攻守極度失衡的局勢，FBI局長呼籲民間企業與政府積極合作，並將FBI納入資安防護計畫</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158816"><strong>【9月19日】 Juniper甫修補的中等風險漏洞恐遭低估，研究人員發現能用於發動RCE攻擊，近1.2萬臺設備曝險</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158796"><strong>【9月18日】開源物件儲存服務MinIO漏洞遭到鎖定，駭客企圖發動供應鏈攻擊，入侵企業組織內部環境</strong></a></p> </div></div></div>
2023/9/21 17:16作者周峻佑https://www.ithome.com.tw/news/158872
非Googler貢獻的AOSP修補程式碼需經2人審核
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了提升Android核心安全性，Google將強化Android Open Source Project（AOSP）的外部修補程式碼貢獻審核，未來都需經由2名Google員工簽核同意才能成為修補程式。</p> <p>大部份AOSP專案都是以Apache 2.0授權，意謂著任何人都能修改程式碼。這開放性使眾多開發人員都能貢獻程式碼到AOSP專案，而Google一些新功能也來自AOSP。但<a href="https://www.patreon.com/posts/sources-to-it-to-89234441" target="_blank">部落格Patreon</a> Mishaal Rahman報導，Google對AOSP修補程式的審查更為嚴格。過去外部開發人員撰寫的修補程式只需經一位Google員工審查，但消息人士透露，從下個月開始，非Googler貢獻的AOSP修補程式碼，必須獲得2名Google內部審查員同意才能上傳。</p> <p>至於Google員工撰寫的修補程式，則會由所修補的元件相關部門一名成員審核，才能整合到程式碼中。</p> <p>最新措施是為了提升AOSP軟體供應鏈的安全性，以防止在修補程式整合到AOSP過程中，有意或無心把漏洞或惡意程式加入核心程式碼。<a href="https://www.ithome.com.tw/news/158044" target="_blank">根據Google自己的統計</a>，去年安全研究界在Android上發現的漏洞中，光零時差漏洞就有41個，還不包含使用者遲遲未更新修補的已知漏洞。</p> <p><a href="https://www.androidpolice.com/google-aosp-external-code-contributions-security-approval/" target="_blank">Android Police</a>報導2010年起，Google透過抓漏獎勵計畫，揪出1.1萬個漏洞，近年Google發出的獎金已達到數百萬美元。<a href="https://www.ithome.com.tw/news/154208" target="_blank">一名研究人員發現</a>一項存在Android的漏洞，能讓攻擊者繞過Android生物辨識（如指紋）鎖定，而完全接管手機，獲頒獎金7萬美元。</p> </div></div></div>
2023/9/21 16:40作者林妍溱https://www.ithome.com.tw/news/158868
Meta Verified付費身分驗證服務對象從創作者擴大到商家
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta今年2月針對創作者（Creator）推出了<a href="http://www.ithome.com.tw/news/155599" target="_blank">付費的Meta Verified身分驗證服務</a>，支援臉書（Facebook）及Instagram平臺的創作者，周二（9/19）<a href="https://about.fb.com/news/2023/09/meta-verified-for-businesses/" target="_blank">Meta將該計畫擴充到商家（Business）</a>，也將適用的平臺從臉書及Instagram，延伸到WhatsApp。</p> <p>此一付費訂閱服務的內容很簡單，就是取得臉書、Instagram及WhatsApp帳號的驗證，同時獲得Meta所提供的帳號保護，以及更多與帳號有關的支援，以避免在這些平臺上經營品牌的個人或商家的身分遭到冒用。</p> <p>根據Meta的說明，Meta Verified訂閱用戶將可獲得一枚身分驗證徽章，Meta也會主動監控仿冒行為以保護用戶的品牌，並提供與帳號有關的技術支援，也較容易出現在搜尋結果的頂端並獲得Meta推薦。</p> <p>不過，臉書與Instagram的商家版Meta Verified每月訂閱費用為21.99美元，高於創作者版的11.99美元，若同時訂閱臉書及Instagram，則有每月34.99美元的折扣價。至於WhatsApp的Meta Verified訂閱費率則尚未出爐。</p> <p>此外，上述為直接至臉書與Instagram網頁訂閱的價格，若是透過行動程式訂閱，因為要扣除遭到程式市集抽佣的費用，每個帳號的每月訂閱費用則會提高到27.99美元。</p> <p>特定市場的臉書與Instagram商家於未來幾周就可購買Meta Verified服務，至於WhatsApp才正準備測試Meta Verified服務。</p> </div></div></div>
2023/9/21 16:51作者陳曉莉https://www.ithome.com.tw/news/158871
GitHub Copilot Chat開放個人用戶測試
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼於今年7月<a href="https://www.ithome.com.tw/news/157893" target="_blank">開放企業測試GitHub Copilot Chat</a>之後，<a href="https://github.blog/2023-09-20-github-copilot-chat-beta-now-available-for-all-individuals/" target="_blank">GitHub本周宣布</a>擴大Copilot Chat測試範疇至個人用戶（Copilot for Individuals），目前支援Visual Studio與Visual Studio Code編輯器。</p> <p>GitHub Copilot Chat是個可用來詢問與回答程式碼撰寫問題的聊天介面，且直接被嵌在所支援的整合開發環境（IDE）中，它會出現在IDE的邊欄中，以方便開發人員隨時使用。GitHub Copilot Chat可用來學習新的語言或框架，也能用來除錯，或是以自然語言詢問有關程式碼撰寫的問題，亦可針對特定的程式碼提供最佳實作或技巧，也能分解複雜的程式碼並提供解釋，或提出修補建議。</p> <p>GitHub產品管理副總裁Shuyin Zhao表示，GitHub Copilot Chat與GitHub Copilot結對工程師的搭配形成了一個強大的AI助理，得以協助每一個開發人員以他們所選擇的自然語言並依照自己的想法進行建構，他相信這將成為軟體開發體驗的新核心，從根本上減少重複的工作，同時也讓自然語言成為地球上每個開發人員的新通用程式語言。</p> <p>現階段不管是Copilot for Business或Copilot for Individuals用戶，都可免費試用GitHub Copilot Chat，前者每月每人訂閱費用為19美元，後者則是10美元。</p> </div></div></div>
2023/9/21 13:13作者陳曉莉https://www.ithome.com.tw/news/158862
Amazon預覽生成式AI改造的Alexa
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了追趕後發先至的AI助理ChatGPT、Google Bard及微軟Bing Chat，Amazon周三在秋季硬體產品發表大會上，<a href="https://www.aboutamazon.com/news/devices/amazon-alexa-generative-ai" target="_blank">宣布以其新生成式AI（generative AI）加持的Alexa</a>，新版AIexa將整合Echo裝置及第三方裝置提供智慧家庭自動化服務。</p> <p>過去10年間Amazon雖然以Alexa在AI助理取得領先地位，但近年逐漸落後於具有生成式AI優勢的微軟/ChatGPT和Google之後。另一方面，Alexa之前並未為Amazon創造營收，<a href="https://www.ithome.com.tw/news/158265" target="_blank">導致Alexa部門改組</a>，以生成式AI改造Alexa。</p> <p>新的Alexa是以Amazon專為語音互動優化的大型語言模型（Large Language Model，LLM）為基礎開發，更能流暢和用戶對話互動，並改善了取得即時資訊、智慧家庭裝置控制的能力，將透過Amazon Echo系列裝置提供服務。Amazon預計稍後將以邀請制限量開放特定用戶或開發人員試用新的Alexa，首階段僅在美國實施。</p> <p>Amazon宣稱從多方面改進下一代Alexa。首先，對話能力更為提升，除了聲音語言外，還整合Echo的相機提供用戶身體姿勢、手勢和視線的視覺辨識，而在聲音合成上，也藉由降低延遲性減少Alexa說話的停頓、反應時間也更適當而自然，也能更精簡回答用戶想要的資訊。<a href="https://www.youtube.com/watch?v=dAPuMivixzg&t=3s" target="_blank">Amazon昨日也展示</a>了能理解用戶情緒、語氣，並且具備更自然人聲的Alexa。</p> <p>其次是Alexa和實體裝置的互動能力。新Alexa將透過API整合數萬種實體裝置和服務，而且在LLM加持下，更能處理複雜任務。例如使用者能教Alexa在每周間晚上9:00要小孩上床睡覺，同時點亮樓梯燈、並開啟浴室風扇，Alexa就會自動呼叫支援的裝置、設定時間，並執行一連串指令。</p> <p>Amazon並強調新版Alexa具備情境化互動能力，每次回應都能根據使用者提供的偏好、所在環境，或是和使用者之前對話紀錄，因此它會記憶使用者前次對話的場景、地點或時間或人物，例如之前提過人名和日期的博物館查詢中，使用者可不必再重複即可詢問其他資訊。此外，Amazon還為新Alexa加入人性化特質，例如它有個人觀點，會在用戶答對猜謎題目時大聲喝采，並撰寫熱情洋溢的畢業祝賀詞給友人。最後，一如Google和微軟，Amazon也保證會確保用戶隱私和安全性，提供用戶隱私控制的能力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0921-new%20Alexa%20features-personality-600.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Amazon</span></span></p> <p>為了便於第三方裝置和Alexa整合互動，<a href="https://www.aboutamazon.com/news/devices/amazon-smart-home-announcements-2023" target="_blank">Amazon也在昨日發</a>表2個LLM為基礎的解決方案。一是Dynamic Controller。裝置廠商可透過本方案告知Alexa他們的裝置的擅長能力。另一個為Action Controller，裝置廠商可定義其裝置支援的簡單行為。透過這些預先定義，可讓Alexa更及時為用戶採取行動，例如當用戶說「地板好髒」，Alexa就會主動召喚掃地機器人掃地。不過Amazon尚未說明裝置廠商如何取得這些開發資源。</p> <p>Amazon目前已和GE Cync（負責照明及攝影機）、飛利浦、GE Appliances智慧家電部門、Amazon旗下的iRobot、掃地機器人廠商Roborock及小米展開和Alexa的合作。</p> </div></div></div>
2023/9/21 12:47作者林妍溱https://www.ithome.com.tw/news/158861
建立資通訊共同規範奠定基礎，新竹市以跨機關資料共享創新服務
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在六都之外，談到新竹市，外界對其印象可能是國內科技製造業聚集的新竹科學園區，加上清大、陽明交大學區在內，高科技業、高知識人才匯聚，讓新竹市經常給外界一種科技城的形象，但是今年上任的新竹市行政處長吳皇昇直言，外界對新竹市的科技城印象，嚴格而言僅止於科學園區，「新竹市的智慧科技應用或智慧基礎建設非常少」。</p> <p>吳皇昇帶領的行政處底下掌管新竹市政府法制、資訊、管考等科別，他曾在臺中市擔任新聞局長、研考會主委，儘管本身並非資訊專業出身，但是過去在臺中市政府的工作經歷，讓他對於資訊科技應用、智慧城市發展工作並不陌生，今年3月他加入新竹市政團隊，期望借助過去的經驗，重新塑造這座風城。</p> <p>吳皇昇上任後，為了落實市長施政策略中的智慧治理，他很快發現，當要用智慧科技應用治理城市，首先遇到的挑戰是，在城市各個角落有沒有足夠的智慧基礎建設，有沒有治理所需要的資料或即時數據。他認為過去幾年新竹市較少在這方面著墨，因此在新的市政團隊上任後，提升新竹市科技應用、智慧基礎建設成為首要工作之一。</p> <p><span style="font-size:28px;"><strong>提升智慧基礎建設</strong></span></p> <p>例如今年3月新竹市啟用空氣品質即時監測網，以空氣監測站、微型感測器，即時監測PM2.5，讓新竹地區民眾在上班上課外出之前，可以隨時查詢新竹市內各地空氣品質。另外，市府也在工業區等高污染地點設置感測器，只要偵測到異常的空氣品質，環保局派人前往稽查開罰，透過科技執法來維護新竹市的空氣品質。</p> <p>在城市相當重要的交通管理方面，六都正積極導入智慧化停車管理，以地磁或智慧停車柱取代傳統的人工開單管理方式，但新竹市的停車管理現在仍以公有室內停車場為主，戶外路邊停車位仍仰賴傳統人工開單。</p> <p>今年8月開始，新竹市在停車管理也導入新科技，在23處的路邊裝卸貨停車位試辦智慧車柱，以智慧開單取代人工開單方式，並且透過科技執法解決路邊裝卸貨停車位長期遭到占用的問題。市府計畫未來試辦成效良好，每年規畫設置600支智慧車柱，除了加強對違規占用車位的取締，也可透過智慧車柱，後臺蒐集路邊停車使用數據，未來可作為停車管理政策的調整依據。</p> <p><span style="font-size:28px;"><strong>建立與民間業者場域驗證的機制</strong></span></p> <p>新竹市政府也借鏡其他城市的發展經驗，發揮公私協力與業者合作，新竹市政府開放公共場域，業者負擔成本、設備，在實際的生活場域進行驗證，驗證產品或服務的技術可行性、商業模式。</p> <p>吳皇昇表示，過去沒有將場域驗證機制化，廠商想要場域驗證產品或服務，直接向相關單位洽詢，最後因單位缺乏專門的資訊人員，婉拒廠商的合作提案，相當可惜。由於新竹市的預算經費有限，更應該與企業合作進行場域驗證，今年8月市府頒布智慧城市場域驗證辦法，將場域驗證予以機制化、規章化，先由各局處提出想要解決的問題，廠商選擇要解決哪些問題，統一向行政處資訊科提出合作申請，由熟悉公部門語言及資通訊語言的資訊科，擔任公務單位和民間業者合作的協調角色。</p> <p>他表示，經由這項機制，廠商獲得實際場域驗證產品及服務的機會，市府各局處在資源有限之下，也能從場域驗證中參考解決問題的可能方法，如果評估驗證效果良好，再與廠商更進一步的展開合作。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0921-%E6%96%B0%E7%AB%B9%E5%B8%82-CIO-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 20px;"><strong>新竹市政府行政處長吳皇昇表示，不要讓IT變成被管理的那一方，而是讓IT成為政策管理的另一方，唯有專業人才成為政策規畫者，這個政策規畫才會專業。</strong></span></span><span style="color:#696969;"><span style="font-size: 14px;">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>明年推出新竹通</strong></span></p> <p>除了提升各項智慧基礎建設之外，新竹市更計畫在明年推出新竹通App。</p> <p>有別於目前新竹市民使用實體市民卡，整合悠遊卡小額付款、圖書借閱、門禁管理、繳納規費、公共場館優惠等功能，但實體卡片攜帶使用不便，卡片也容易因為長期使用造成磨損，過去曾因為使用率低遭受外界的批評。配合市長提出的科技政策及願景，新竹市資訊部門正全力籌備，明年計畫建置推出新竹通，將實體市民卡轉為虛擬卡，整合到手機上的App。</p> <p>吳皇昇指出，未來新竹通要將線上市政服務整合到App裡，植入到每位市民的手機中，讓所有的市民或非市民都能使用，透過手機使用市政符提供的服務或資訊。換言之，將市政服務、實體市民卡功能整合到App。雖然市府鼓勵民眾優先使用新竹通，但考量到科技近用的數位落差問題，例如沒有手機或是不熟悉手機的高齡長者需求，仍會繼續保留實體的市民卡、福利卡。</p> <p>「新竹通就像數位市民卡，類似市民護照的概念」，吳皇昇表示，有了市民護照，民眾只要登入帳號密碼，就能使用市政服務，未來甚至暢通各局處彼此共享資料。</p> <p>舉例來說，過去民眾到A機關臨櫃辦理服務，可能因為需要B機關的資料，要先到B機關取得準備文件，再向A機關提出申請。未來民眾以帳號密碼登入手機上的新竹通，向A機關申請服務，只要在其個人同意授權之後，A機關就能向B機關取得所需的資料，在個人同意的前提之下，讓跨機關資料得以共享、互通。</p> <p>吳皇昇指出，市府更將新竹通定位為上位App，成為一種媒介或工具，來引導市府各局處的資通訊發展。未來各局處建置相關的資通訊系統，或是擴充相關的功能，優先考慮如何在新竹通App服務民眾。</p> <p>過去，各局處基於業務推出各種App，民眾得在手機上下載安裝多種App，新竹市政府希望未來都能整合到新竹通，各機關未來規畫新服務，應考量整合進新竹通，讓新竹通發展成為承載各項市政服務的超級App。</p> <p><span style="font-size:28px;"><strong>建立資料交換的共同性標準，強化跨機關資料共享</strong></span></p> <p>然而，要讓新竹通得以暢通各局處的資料，由於不同機關單位使用的資料分散，且格式駁雜不一，是推動跨機關資料共享創新服務首先要面對的難題。以年月份的數值為例，部分機關使用的民國，也有單位使用西元紀年，或是填寫月份，內部缺乏統一資料紀錄格式，也造成市府推動Open Data的困擾。</p> <p>為了解決此一問題，由行政處資訊科發布共通性的規範標準，在資料格式方面，參考政府的資料標準框架，頒布新竹市政府資料標準，要求各局處今後的新資料不能使用自己的格式，必需使用一致的資料標準框架。</p> <p>另外，在系統介接部分，新竹市政府則採用數位發展部擬定的共通性應用程式介面指引規範，作為不同機關單位系統串接的依據，至於未採用統一標準的舊資料，則透過函數轉換。</p> <p>市府也推動資訊向上集中，在IT基礎建設方面，原本分散於各機關單位的小機房，可能因為原本機關的空間限制，容量無法再擴充，因此市府準備在明年建置大機房，並將各單位的重要資訊系統集中管理，來減輕各局處資安壓力，相較於資源較多的六都，地方政府由於資源經費有限，各機關資安人員或資安專業缺乏，將各單位的重要業務資訊系統遷移到具有專業水電、資安管理的大機房，集中資訊、資安管理。</p> <p>市府未來也希望將各個機關單位網站、線上民眾服務，採用共構的方式，減輕開發的負擔。由於人力有限，目前資訊科也有委託廠商人員進駐。</p> <p>吳皇昇指出，透過市府建立共通的資料交換規範，各局處配合將資訊、資安向上集中管理，同時也通過機制化、辦法化，改變過去局處各自為政的情形。</p> <p>他表示，當各機關單位遵循資料交換的共通性規範後，未來民眾以帳號密碼通過身分驗證登入新竹通App，當向社會處線上申請服務，如果社會處要求衛生局提供的資料，只要確認無誤按下OK，社會處就能在民眾授權下取得衛生局資料。</p> <p>雖然新竹市政府現在已有數位市民整合平臺，但根據他的觀察，數位市民整合平臺只是將各局處線上服務放到平臺上，扮演服務的入口角色，各局處資料並沒有共享，因此現在市府要做的是，通過新竹通讓各局處的資料慢慢能夠做到交換共享。</p> <p>他表示，過去各局處資通訊系統大多各自獨立，透過新竹通，慢慢建立各局處內部系統及溝通協調，並通過內部教育訓練，讓各局處知道彼此為協作狀態，不是各自獨立運作。換言之，加強各機關單位的溝通協作，對民眾提供更好的服務。</p> <p>不過，吳皇昇坦言，現在只是新的市府團隊上任第一年，今年才開始建立機制、辦法，規畫整合，並非一蹴可及，需要好幾年的時間朝目標前進。明年新竹通推出，第一階段會先以民眾需求度高、容易整合的服務，再慢慢擴大到其他市政服務。</p> <p>相較於過去各局處偏向人治，各單位各自為政，新的市府團隊希望通過新竹通、建立資通訊管理規範，以機制化、共同規範改變現在各機關偏重的人治色彩，現在各單位要建置資通訊系統、App時，也要同時會辦行政處資訊科，讓資訊科基於資訊專業給予建議。</p> <p>另外，新的資料共同標準制定後，也有助於Open Data開放資料的推動，吳皇昇直言，過去各單位推動開放資料，可能因為本身業務繁忙，在推動上比較不重視，而在新的市政團隊上任後，副市長層級帶領，各局處感受到高層重視智慧科技應用的氛圍，相較於過去，現在以比較有紀律的方式推動。現在資料開放應用筆數成長1倍，達到800多筆，白金標章從0%到95%，他相信今年在各縣市政府開放資料評比中能取得好成績。</p> <p>從傳播、政治專業出身，歷經新聞局、政府研考規畫等職務發展，到現在擔任新竹市行政處處長，綜合管理新聞、法制、管考、資訊等業務，吳皇昇不諱言身為政務官，任期可能只有短短幾年的時間，其目標是建立規範、機制化，讓各個單位遵循一致的共同規範。</p> <p>他鼓勵資訊人不能只專注在資訊專業，還要多接觸公共政策、公共管理，做跨領域的學習，才能在專業之外，兼具公共政策治理的概念及政策幕僚專才，具備溝通協調及跨領域學習，有助於IT人未來的職涯發展。「不要讓IT變成被管理的那一方，而是讓IT成為政策管理的另一方，唯有專業人才成為政策規畫者，這個政策規畫才會專業」，吳皇昇說。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>新竹市政府行政處長吳皇昇</strong></p> <p>學歷：政大政治學研究所</p> <p>經歷：曾任政大選舉研究中心專任助理，後來歷任臺中市議員服務團隊及議會幕僚人員，隨後進入臺中市政府工作，曾任新聞局局長、研考會主委等職務，2023年接任新竹市政府行政處長，規畫推動新竹通、Open Data、智慧城市場域驗證等計畫</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0921-%E6%96%B0%E7%AB%B9%E5%B8%82-CIO-250.jpg" style="width: 250px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機關檔案 </span></strong></span></p> <p><strong>新竹市政府</strong></p> <p>地址：新竹市中正路120號</p> <p>成立時間：1982年</p> <p>主要業務：新竹市市民服務</p> <p>員工數：6,690人（含所屬機關學校編制員額）</p> <p>市長：高虹安</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：新竹市政府行政處處長</p> <p>資訊部門主管姓名：吳皇昇</p> <p>直屬主管：高虹安</p> <p>資訊部門人數：行政處底下資訊科共11人</p> <p>IT預算：5,324萬元（2023年）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2013年：新竹市政府公文系統啟動線上簽核</p> <p>2015年：新竹市資料開放平臺正式上線</p> <p>2016年：新竹市政府官方網站改版及官方入口APP上線啟用</p> <p>2020年：ISMS導入全市府與8個C級機關</p> <p>2021年：新竹市數位市民線上申辦服務平臺正式上線</p> <p>2023年：新竹市消防局與廠商共同研發測試5G ORAN專網結合衛星的數位韌性通訊系統</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0921-xin_zhu_shi_-cio-960.jpg" width="960" height="420" alt="" title="新竹市政府行政處長吳皇昇　（攝影／洪政偉）" /></div></div></div>
2023/9/21 11:32作者蘇文彬https://www.ithome.com.tw/people/158859
DALL·E 3文字轉圖像模型將於10月登場，可利用ChatGPT協助描述
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/dall-e-3" target="_blank">OpenAI本周對外揭露</a>了新一代的文字轉圖像模型DALL·E 3，指出該模型不但更能精確地以圖像呈現使用者所輸入的文字描述，亦允許使用者利用ChatGPT來產生不同的文字描述與相對應的圖像。現階段DALL·E 3尚處於研究預覽階段，預計於10月供應給ChatGPT Plus及ChatGPT Enterprise客戶。</p> <p>OpenAI指出，現代的文字轉圖像系統傾向於忽視文字或描述，迫使使用者學習如何輸入提示，但DALL·E 3在如何精確依照使用者所輸入的文字，來生成圖像的能力上，卻有著跳躍式的成長。</p> <p>例如得以文字描繪「一個有著明月照耀的熙攘街道，一名身穿天鵝絨斗篷的年輕紅髮女子與穿著筆挺西裝的老商人正在討價還價，老商人一方面還在講著蒸汽朋克電話」DALL·E 3即可生成驚人的畫面。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0921-DALL%C2%B7E%203-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_OpenAI</span></span></p> <p>就算在DALL·E 3中輸入與DALL·E 2同樣的文字描述，要求「以油畫呈現具備爆炸效果與張力的灌籃動作」，DALL·E 3的表現明顯更加突出。</p> <p>此外，使用者還可藉由ChatGPT的協助來生成文字敘述，只要在ChatGPT中輸入簡單的句子，告訴它你想看到的畫面，ChatGPT便會自動生成詳細的敘述以用來輸入DALL·E 3，而且ChatGPT還能生成不同的描述，一直到DALL·E 3所產生的畫面符合使用者的需求。</p> <p>對於透過DALL·E 2或DALL·E 3所生成的畫面，使用者都可自由使用，不需OpenAI的許可便可重印或出售。</p> <p>至於對DALL·E 3的限制則與DALL·E 2差不多，OpenAI限制了DALL·E 3生成暴力、成人或有害內容的能力，也會拒絕使用者要求生成仍在世的藝術家風格圖像的請求。</p> </div></div></div>
2023/9/21 11:45作者陳曉莉https://www.ithome.com.tw/news/158860
趨勢科技揭露端點解決方案的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://success.trendmicro.com/dcx/s/solution/000294994?language=en_US" target="_blank">趨勢科技周二（9/19）揭露了一個已經遭到駭客利用的零時差漏洞CVE-2023-41179</a>，該漏洞存在於第三方AV卸載模組中，可允許駭客執行任意指令，因採用該模組而被影響的則有Trend Micro Apex One與Worry-Free Business Security（WFBS）端點保護解決方案，且不管是本地部署或是SaaS版本都遭波及。</p> <p>根據趨勢科技的說明，此一漏洞將允許駭客操縱該模組，進一步於受影響的系統上執行任意命令，屬於重大（Critical）等級的漏洞，其CVSS風險評分高達9.1，迄今已觀察到至少一次針對該漏洞的攻擊嘗試。</p> <p>不過，駭客要利用該漏洞之前，必須先取得目標系統上的管理控制臺存取權限，因此，除了儘快修補該漏洞之外，趨勢也建議客戶限制相關產品之管理控制臺的存取能力。</p> <p>即使本周才揭露，但趨勢似乎已經早就釋出更新後的版本，最新的Apex One SP1 Patch 1是在8月釋出，Apex One SaaS今年7月便完成更新，WFBS 10.0 SP1 Patch 2495是在9月12日發表，而WFBS SaaS也是在7月的例行性更新中完成修補。</p> <p class="rtecenter"><a href="https://success.trendmicro.com/dcx/s/solution/000294994?language=en_US" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0921-trend%20micro-CVE-2023-41179.png" style="width: 600px;" /></a></p> </div></div></div>
2023/9/21 08:46作者陳曉莉https://www.ithome.com.tw/news/158838
Go 1.22將正式修改for迴圈作用域，減少開發者犯錯機會
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Go開發者常犯的語法錯誤之一，便是for迴圈作用域的問題，官方<a href="https://go.dev/blog/loopvar-preview">預計</a>要透過限縮for迴圈作用域的範圍，來避免這個問題所導致的程式碼錯誤。現在官方已經在Go 1.21中預覽變更，並預計要在Go 1.22中正式修正。</p> <p>當開發者在編寫Go程式時，常遇到的問題發生在for迴圈，誤以為迴圈變數的作用域是每次迭代，但實際上作用域確是整個迴圈。官方用以下程式碼為例，開發者可能期望這段程式碼會輸出 "a"、"b"、"c"的某種順序排列，但實際上可能輸出的是"c"、"c"、"c"。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%20Fixing%20For%20Loops%20in%20Go%201_22%20-%20The%20Go%20Programming%20Language%20-%20go_dev.png" style="width: 580px;" /></p> <p>由於所有Goroutine都共用同一個迴圈變數，因此當迭代結束時，閉包（Closure）仍會保留對迴圈變數的參照，但該變數已經變成開發者不想要的新值。</p> <p>雖然這樣的問題經常發生在並行性（Concurrency）運算時的閉包中，但實際上即便沒有Goroutine，但仍然還是會發生。官方提到，這種錯誤常在企業的生產環境中出現，例如，Let’s Encrypt的公開文件就記錄過此類錯誤。雖然目前已經有工具可以辨識這些錯誤，但是仍很難分析變數的參照是否超過迭代範圍，因此還是可能發生誤判或遺漏的狀況。</p> <p>當開發者不熟悉這種作用域特性時，可能會意外地犯錯，特別是在Goroutine與閉包結合使用的時候。這並非是Go語言的錯誤，而是Go的設計決策，但由於太容易引起誤解，因此Go團隊決定進行調整。</p> <p>在Go 1.22版本中，官方計畫更改for迴圈，使變數具有每次迭代的範圍，這樣的修改會讓上述案例不再存在缺陷，也能夠終結類似的問題，同時開發者也不再需要使用工具進行分析和更改。</p> <p>由於需要維持現有程式碼的向後相容性，新的語義只適用於go.mod檔案宣告為Go 1.22或更高版本的模組套件中，官方提到，他們將以模組作為基礎，進而讓開發者能夠自主控制更新到新語義的節奏，同時，開發者也能夠使用//go:build指令來控制每個檔案的狀況。</p> <p>舊的程式碼行為將照舊，修正只會適用更新的程式碼，Go 1.21不會嘗試編譯宣告為Go 1.22或更高版本的程式碼，由於Go 1.20.8和Go 1.19.13兩個版本也存在同樣for迴圈問題，因此用新語義編寫的程式碼，也同樣不會使用這些舊版本進行編譯，除非開發者使用非常舊且不受支援的Go版本。</p> </div></div></div>
2023/9/21 08:51作者李建興https://www.ithome.com.tw/news/158844
GitHub針對Atlassian用戶更新儲存庫與CI工作管線搬遷工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub<a href="https://github.blog/2023-09-18-switching-from-bitbucket-server-and-bamboo-to-github-just-got-easier/">更新搬遷工具</a>，讓Atlassian開發者可以將程式碼儲存庫，簡單切換到GitHub Enterprise Cloud，並且使用GitHub Actions。搬遷工具新功能針對Atlassian用戶而來，由於<a href="https://www.atlassian.com/migration/assess/journey-to-cloud">Atlassian將從2024年2月15日起</a>，就不再為其Bitbucket和Bamboo Server等產品提供技術支援、安全性更新和漏洞修復工具，因此勢必有不少用戶具有轉移儲存庫和CI工作管線的需求。</p> <p>GitHub Enterprise Importer支援來自Bitbucket Server和Bitbucket Data Center的搬遷。此外，CI搬遷工具GitHub Actions Importer則可以讓用戶從任何Atlassian的CI/CD產品，包括Bitbucket、Bamboo Server和Bamboo Data Center，將CI工作管線搬遷到GitHub Actions。</p> <p>GitHub Enterprise Importer發展已久，已經協助70萬儲存庫搬遷到GitHub平臺上，只是官方現在加入對Bitbucket的支援，讓開發者可以將程式碼、拉取請求和評論等，無縫轉移到GitHub上。除了使用GitHub Enterprise Importer搬遷儲存庫之外，開發者還可以使用GitHub Actions Importer，進行規畫、預測和自動化CI搬遷，將CI/CD工作管線移動到GitHub。</p> <p>由於CI搬遷通常是耗時的手動工作，對於擁有大型且複雜基礎設施的企業而言，難以手動進行。而GitHub Enterprise Importer則能夠加速搬遷過程，同時降低成本以及發生錯誤的機會。</p> <p>當然，Atlassian用戶也可以選擇將專案<a href="https://docs.gitlab.com/ee/user/project/import/">搬遷到GitLab</a>上，GitLab讓用戶可從外部系統匯入專案，在官方文件中提到，用戶只要使用匯入工具，並且提供Bitbucket認證資訊和專案URL即可開始匯入程序。此外，GitLab官方也在2022年7月的時候發表<a href="https://about.gitlab.com/blog/2022/07/06/migration-from-atlassian-bamboo-server-to-gitlab-ci/">部落格文章</a>，說明將Atlassian Bamboo Server的CI/CD基礎設施，轉移到GitLab CI的方法。</p> </div></div></div>
2023/9/21 08:55作者李建興https://www.ithome.com.tw/news/158849
Signal採用新加密協定PQXDH，因應量子電腦時代的安全威脅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>重視隱私的通訊軟體Signal宣布升級加密規範，釋出新的加密協定<a href="https://signal.org/blog/pqxdh/">PQXDH</a>，透過添加額外的保護層，以防止用戶受到先竊取，後解密（Harvest Now, Decrypt Later）攻擊。目前PQXDH協定已經在新版Signal中使用，當通訊雙方都使用最新版本發起新聊天，便能夠獲得PQXDH保護，官方也提到，他們將會在數個月後，停用較舊的X3DH協定，同時透過軟體更新，將現有聊天升級使用這項新的加密協定。</p> <p>Signal Protocol是一套端到端加密規範，自2013年Signal發布X3DH以來，除了Signal本身之外，還有許多軟體採用這套協定，但由於量子電腦可能具備破解當前加密標準的能力，因此官方認為X3DH存在被破解的風險。</p> <p>先竊取，後解密是一個概念，指的是攻擊者在今日收集到的加密資料，在未來有足夠強大的量子電腦時，便能夠解密這些加密資料，也就是說，即便今日量子電腦尚未出現，但是今日的加密資料也可能在未來受到威脅。</p> <p>Signal使用橢圓曲線密碼學X25519安全技術來保護訊息，官方以同為公鑰加密系統的RSA，簡單說明量子電腦對通訊軟體加密可能造成的威脅。公鑰加密系統擁有公鑰和私鑰兩把金鑰，這兩把金鑰之間雖然存在數學關聯，但是無法從公鑰直接推導出私鑰。所有人都可以使用公開的公鑰加密訊息，但是只有擁有相關私鑰的人，才有辦法解密被加密的訊息。</p> <p>RSA基於數學的單向函式運作，單向函式仰賴大質數的乘法和分解，兩個大質數相乘計算很容易，但要從乘積中找出原始的質數卻相當困難，RSA的安全性便是建立在這個乘積分解的困難性上，保護原始質數機密。</p> <p>而量子電腦運用了量子力學的特性，有能力解決特定的複雜問題，其運作速度比古典電腦快上數個量級，也就讓量子電腦在解決特定數學問題時，具有明顯的優勢。量子疊加是量子力學的特性之一，一個量子位元可以同時處於0和1的狀態，只有在觀察或是測量時才會確定狀態，這和古典電腦的位元不同，量子位元疊加狀態可以同時具有多個值，因此量子電腦可以在一個計算周期內處理大量資料。</p> <p>而量子糾纏則是另一個量子力學的特性，指的是兩個或是多個量子可以形成特殊的關聯狀態，當其中一個量子狀態改變時，其他量子狀態也會立刻改變，即便這些量子之間的距離很遠。這使得量子電腦能以非常高效的方式運算。</p> <p>而且現在研究人員也發展出一種稱為秀爾演算法（Shor's algorithm）的量子演算法，該方法被設計來非常有效地分解大整數，當有一個強大的量子電腦運用秀爾演算法，可以在多項式時間內分解大質數乘積，因此量子電腦才被認為有能力破解RSA公鑰加密。橢圓曲線密碼學不像是RSA仰賴大質數分解，但是橢圓曲線密碼學的單向函式則是基於離散對數問題，而這兩個問題都可以被同視為隱子群問題（Hidden Subgroup Problem）的數學問題，在量子電腦世界，有著相同的安全疑慮。</p> <p>為了解決量子電腦可能帶來的安全威脅，Signal安全人員研究後量子加密系統，實作新的單向函式，而這些函式無法被量子電腦有效地反轉。Signal選擇了一個名為CRYSTALS-Kyber的技術來強化協定的安全性，但是Signal也沒有放棄原本的X25519，而是讓這兩種技術並行，提供雙重保護。</p> </div></div></div>
2023/9/21 10:13作者李建興https://www.ithome.com.tw/news/158852
PC的AI時刻來了！英特爾揭未來2年三大AI處理器平臺發展藍圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【<strong>美國聖荷西現場報導</strong>】「我們正在推動AI的大規模應用，從企業端到邊緣端設備。」英特爾執行長Pat Gelsinger這麼說道。他在英特爾創新日第一天主題演說中揭露更多關於AI處理器產品的布局，涵蓋消費端的PC、Xeon伺服器處理器和AI訓練加速器。</p> <p>Pat Gelsinger在會中表示，AI正從根本上重塑科學和許多領域，帶來新的應用、新的體驗、生產力和創造力，甚至開創了PC的下一個時代，即AI PC時代。</p> <p>他也以「技術創新的翻天覆地的時刻」來形容因為AI PC帶動的AI應用浪潮，正如同20年前英特爾Centrino行動運算平臺出現，使Wi-Fi進一步普及，建構出如今的無線網路世界。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230919_160531488(1).jpg" style="width: 600px; height: 316px;" /></p> <blockquote><p>在第一天主題演說中，英特爾現場示範在搭載Core Ultra處理器的筆電中，使用Riffusion基礎模型自動生成一首音樂。另外，他們還展示通過輸入文字即可生成圖像的功能，並在下一代Lunar Lake處理器平臺上執行。</p> </blockquote> <p>英特爾發表代號為Meteor Lake的Core Ultra處理器，這是英特爾首款主打AI PC體驗的CPU產品。在這款處理器中內建NPU的AI Boost引擎，可提供加速的AI運算和本地推論，同時也能降低功耗。</p> <p>這款處理器結合許多新技術，採用Intel 4製程節點、3D高效混合架構，以及Foveros封裝技術的小晶片設計等。預計年底推出。而首款Core Ultra處理器的AI筆電，將由宏碁將率先推出。</p> <p>配備有Core Ultra處理器的Windows 11 PC，未來使用者能夠透過作業系統中的Copilot，在桌面環境提供更多個人化支援和協助。</p> <p>英特爾公開未來幾年AI PC平臺藍圖，預告Meteor Lake下一代處理器代號會是Arrow Lake，採用Intel 20A 製程，接下來還有代號為Lunar Lake和Panther Lake兩款新產品將在2025年以前推出。兩者皆採Intel 18A製程。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230919_161810118.jpg" style="width: 600px;" /></p> <p>除了AI PC處理器之外，英特爾發表了另一款代號Emerald Rapids的第5代Xeon Scalable處理器，採用和前一代相同節點，但核心數達到64核心，而且更快的記憶體速度，並與Core Ultra處理器同時間推出。</p> <p>在前陣子的Hot Chips大會上，英特爾介紹了兩款新的伺服器處理器，分別是基於E-Core設計的Sierra Forest和基於P-Core設計的Granite Rapids。在這次會中，英特爾預覽更多細節，與第4代相比，Sierra Forest平臺不只擁有高出2.5 倍機架密度，每瓦性能提升2.4 倍，並擁有多達288顆處理器核心。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230919_161945068.jpg" style="width: 600px; height: 377px;" /></p> <p>在Sierra Forest的發表後，Granite Rapids也將跟著推出，英特爾強調，跟4代相比，Granite Rapids處理器在AI性能方面提升多達2至3倍之多。Dell之後將推出整合Granite Rapids處理器的PowerEdge產品，可支援從大規模訓練到基礎推理的AI工作負載。中國雲端業者阿里雲計畫採用這款處理器。</p> <p>此外，Granite Rapids下一代Xeon處理器代號為Clearwater Forest，預計2025年發表，將採用Intel 18A製程節點。上述這三款處理器將在明後兩年內推出。</p> <p>英特爾現場展示了使用UCle互連標準打造的先進封進技術，其代號為Pike Creek，這使得兩家不同公司可以透過UCle標準提供跨晶片平臺的互通性，來因應新的AI工作負載的需求。目前，UCle聯盟超過120家公司加入，其主要成員包括台積電、三星，英特爾、AMD、Arm、高通，Meta、微軟等。</p> <p>除了伺服器CPU，英特爾去年推出第2代AI硬體加速器Gaudi2 ，搭配更多張量處理器核心與HBM，根據其測試，在執行多模態的BridgeTower模型的性能表現上，Gaudi2勝過去年推出的Nvidia H100 GPU。英特爾還透露，以提供生成式AI文字轉圖片工具而聞名的Stability AI，正在使用這款加速器結合Xeon處理器構建大型AI超級電腦，用於LLM模型的訓練。按照的該產品發展，接下來還有Gaudi3和代號Falcon Shores的GPU將推出。</p> <p>英特爾還透露內部正在發展新的運算技術，例如神經形態運算（neoromorphic computing）和量子運算等。</p> <p>OpenVINO也是英特爾AI戰略發展不可缺少的重要環節。像在混合式AI應用方面，開發人員現在可以使用該工具來提供橫跨企業端和Edge裝置端執行AI 模型的推論，而不必擔心模型是在雲端或邊緣環境中部署。明年還將釋出混合AI SDK，提供給開發者來運用。此外，Arm正式支援 OpenVINO平臺，可以提供Arm裝置AI推論模型進行優化和部署。</p> <p>英特爾發布邊緣原生的軟體平臺，使開發人員能夠透過該平臺建置、部署、執行、管理、連接和保護分散式邊緣基礎設施和應用程式，以及將整合英特爾和第三方垂直應用程式的生態系，實現混合AI。該平臺將在2024年推出。</p> <p>英特爾一直強調開放軟體生態的重要性，他們宣布Developer Cloud開發者雲正式GA，這也意味著，開發者以後更容易使用英特爾最新硬體平臺進行開發和測試，包括Gaudi2、第5代Xeon Scalable處理器及資料中心GPU Max系列等，來加速他們在AI或深度學習的開發與部署。</p> </div></div></div>
2023/9/20 21:28作者余至浩https://www.ithome.com.tw/news/158851
實踐AI治理原則國泰金控聚焦四大技術，首度揭露可解釋AI、公平反歧視機制、聯邦學習到RLHF研發進展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國泰金控今日（9/20）在自家技術年會上，首度公開了實現AI治理原則所投入的4大技術研發進展，包括運用SHAP演算法來解釋AI模型、自建公平反歧視模型驗證方法、導入聯邦學習，以及在模型加入人類回饋增強學習（RLHF）方法的最新成果。</p> <h3>用SHAP演算法解釋模型輸出值</h3> <p>透明性和可解釋性是國泰金控AI治理中的重要原則。過去，傳統模型中的特徵數量較少，權重可被觀察，然而，現在常用的神經網路模型參數量大，資料科學家難以觀察權重變化，運算過程猶如黑盒子，使用者無法得知模型產出答案背後的依據。</p> <p>為解決這個痛點，國泰金控數據科技發展部協理劉浩翔在自家技術年會指出，在他們採用的可解釋性方法中，SHAP演算法是最常用的一種，可用來視覺化模型中的判斷依據。簡單來說，SHAP可根據模型的輸出值（Output），來回推、解釋模型特徵與產出答案的關係，進一步讓業務單位了解AI算出該答案的原因。</p> <p>他舉例，原先業務僅能看到顧客還款能力好，且收益等級高，無法得知信用評級低的原因，但經過SHAP反推結果，可以得知顧客在債務等級相較過去高了兩個等級，是信用評級低的主要原因。這個做法可讓模型運算更透明，協助業務單位制定決策。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/S__4120592_0.jpg" style="width: 600px;" /></p> <p>另一個例子是，由於SHAP演算法針對結果逆推運算過程，因此可藉由反覆抽換單一個體，來測試個體對評分造成的影響，也就是計算單一個體對整體模型的邊際貢獻值。對整體樣本而言，SHAP可以幫助使用者瞭解模型對於各構面的偏重程度，並以程度高低進行排列。而對個案而言，使用者可以藉SHAP檢視最高分或最低分的個案，並進一步觀看評分規則是否合理。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/S__4120593_0.jpg" style="width: 600px;" /></p> <h3>建立公平反歧視驗證檢核機制</h3> <p>另一方面，公平與反歧視也是國泰金控AI治理的一大原則。「有些時候真的不是模型越準越好，」劉浩翔解釋，若金融業使用的AI模型以帶有歧視或偏見的特徵對客戶進行評分，可能加劇社會的不公平性。因此，國泰金控建立一套公平反歧視驗證檢核機制，來確保模型未使用含有歧視意味的特徵。這個方法可分為2步驟，一是在訓練模型前，先盤點資料、確保模型不使用具歧視的特徵，以進行事前約束。再來，模型訓練完後，再以統計檢驗群體間預測的分布是否有異，來進一步移除帶有歧視性的特徵。這是國泰金控用來保障模型公平、反歧視的2階段做法。</p> <p>劉浩翔表示，雖然捨棄歧視特徵會影響模型表現，但在特徵數量足夠的情況下，還是有可能以其他特徵組合補償降低的表現分數。國泰金控團隊實驗發現，在移除某歧視特徵後，隨著特徵數量越多，模型表現受到的影響會逐漸變小。</p> <p>但是，若移除向量空間較為獨立的歧視特徵，模型受到的影響仍會存在。「這個情況相對稀少，」劉浩翔表示，大多數的情況下，移除歧視性特徵後，仍可以被大量的特徵數量彌補。他認為，運用公平跟反歧視的ai是金融業不得不承受的趨勢，也因此，「不使用帶有歧視性或偏見的特徵，絕對是我們必須做出的取捨。」劉浩翔說道。</p> <h3>採聯邦學習實踐數據安全與隱私保護</h3> <p>在數據安全與隱私保護上，國泰金控還有另一個作法。他們採用聯邦學習（Federated Learning）來實踐，由於聯邦學習主打去中心化架構，有別於傳統集中式機器學習方法，企業不需要將資料共同集中至某處才能訓練模型，而是在各端點（企業）持有一套模型，用各自的資料訓練模型、再將訓練好的模型權重集結起來優化，之後再下放到各端點，進行下一輪模型訓練，反覆這個過程直到模型收斂為止，就能訓練好模型。</p> <p>這麼做，不只能防範資料外洩，也能確保模型表現。因此，劉浩翔表示，這項技術有許多適合金融業運用的特性。</p> <p>例如，國泰金控研究發現，隨著子公司越多，模型的成效越高，且即便發起端擁有的特徵數較少，模型仍有一定表現。此外，若子公司分散的特徵越多，對模型也並未有顯著影響。</p> <h3>加入人類回饋增強學習，確保AI符合倫理原則、貼近事實</h3> <p>為了確保AI具備倫理道德，國泰金控以人類回饋增強學習方法，來讓AI學會公司的價值觀。劉浩翔解釋，國泰在LLM模型後加上以人類偏好所訓練的獎勵模型，藉此讓模型理解人類喜歡和不喜歡的回應。例如，當模型的回應不是人類喜歡的答案，就會將獎勵模型回送到LLM裡進行強化學習，慢慢教會模型，給予符合人類道德和價值觀的回應。</p> <p>最後，國泰也表示，經過研究顯示，模型中投入越多的參數量，模型表現越好，且在僅針對特定領域進行回應的LLM中，即便只運用小的參數量進行訓練，效果也接近採用大參數量的模型。此外，進行Fine tune及加入RLHF都可以讓LLM模型效果更好，且加入RLHF機制的模型得到的分數高於進行Fine tune的模型表現。</p> </div></div></div>
2023/9/20 18:50作者李昀璇https://www.ithome.com.tw/news/158850
【資安日報】9月20日，面臨攻守極度失衡的局勢，FBI局長呼籲民間企業與政府積極合作，並將FBI納入資安防護計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了因應態勢日益險峻的網路威脅，近年來不斷有專家呼籲政府與企業之間應採取聯合防禦及情資共享的戰略，在9月18日由資安業者Mandiant舉辦的資安會議mWISE Conference 2023當中，美國聯邦調查局（FBI）局長Christopher Wray特別以此進行演說，透過資訊分享、情資分析的良性循環，最終在大家的合作下就可以保護國家的網路。特別的是，他呼籲企業在資安防護計畫裡「納入FBI」，讓他們能發揮公權利來攔阻網路犯罪。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.theregister.com/2023/09/19/the_clorox_company_admits_cyber/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">家庭清潔用品公司高樂氏遭到網路攻擊導致營運受到衝擊</span></strong></a></p> <p>8月14日家庭清潔用品公司高樂氏（Clorox）向美國證券交易所（SEC）通報，該公司網路出現未經授權的活動，導致部分業務的營運受到衝擊，一個月後該公司再度通報後續處理的進度。9月18日高樂氏提出新的說明，指出他們在資安事故發生之後，開始實施持續營運計畫，被迫降低生產作業的速度，採用手動安排及進行作業程序，導致客戶面臨產品缺貨的情形。</p> <p>此次資安事故造成該公司部分IT基礎設施毀損，他們將其離線並著手修復，並預計將於9月25日這週恢復正常的自動化訂單處理流程。而對於產品的生產，該公司表示他們大多數的工廠已經復工，但無法確定需要多少時間才能完全回復。</p> <p>至於這起事故對該公司的財務和業務帶來的衝擊，該公司表示仍在評估，但預計會對2024年第一季財務產生重大影響。</p> <p>資料來源</p> <p>1. <a href="https://d18rn0p25nwr6d.cloudfront.net/CIK-0000021076/ae1fd2f2-142b-4a99-bed8-e7bfeb8a2bb7.pdf">https://d18rn0p25nwr6d.cloudfront.net/CIK-0000021076/ae1fd2f2-142b-4a99-bed8-e7bfeb8a2bb7.pdf</a><br /> 2. <a href="https://www.sec.gov/ix?doc=/Archives/edgar/data/21076/000120677423000969/clx4231381-8k.htm">https://www.sec.gov/ix?doc=/Archives/edgar/data/21076/000120677423000969/clx4231381-8k.htm</a></p> <p><a href="https://aka.ms/peach-sandstorm"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">伊朗駭客APT33發起密碼潑灑攻擊，並濫用開源資安框架偵察Azure AD環境</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1_-Peach-Sandstorm-2023-t.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1_-Peach-Sandstorm-2023-t.png" style="width: 300px; float: right;" /></a>微軟揭露伊朗駭客組織APT33（亦稱Peach Sandstorm、Refined Kitten）今年初發起的攻擊行動，這些駭客自2月至7月，鎖定美國等國家的衛星、國防、製藥領域的組織，透過密碼潑灑（Password Spray）的方式，嘗試存取目標組織的內部網路環境，然後利用開源資安框架AzureHound或Roadtools，對組織的Microsoft Entra ID（原Azure AD）進行偵察，從其雲端環境竊取資料。</p> <p>此外，這些駭客也可能利用外洩的Azure帳密資料，租用Azure服務，或是濫用Azure Arc於受害組織的網路環境持續活動，他們也運用Golden SAML的手法進行橫向移動，並使用隧道工具EagleRelay隱匿C2的流量。</p> <p>研究人員指出，除了密碼潑灑，這些駭客在部分攻擊行動裡，也利用應用程式漏洞，如： Zoho ManageEngine漏洞CVE-2022-47966、Atlassian Confluence漏洞CVE-2022-26134入侵目標組織。</p> <p><a href="https://www.netskope.com/blog/new-python-nodestealer-goes-beyond-facebook-credentials-now-stealing-all-browser-cookies-and-login-credentials"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客使用Python打造竊資軟體NodeStealer，鎖定北美與南歐盜取企業臉書帳號</span></strong></a></p> <p>資安業者Netskope對於近期的竊資軟體NodeStealer攻擊行動提出警告，他們看到駭客利用Python打造竊資軟體，主要目標是南歐與北美的製造業、科技產業，目的是竊取使用者臉書帳密資料、瀏覽器的組態，進而挾持企業組織的臉書帳號。</p> <p>攻擊者先是鎖定經營臉書商業網站的管理員，發送臉書訊息，聲稱該公司售出產品的品質低落，用了沒多久就壞掉，並附上「產品照片」。然而一旦管理員開啟附件壓縮檔，內容並非圖片，而是批次檔，若是依照指示開啟，電腦就會執行Chrome瀏覽器，將用戶帶到合法網站，但在此同時，此批次檔會執行PowerShell，下達Invoke-WebRequest的命令，從惡意網域下載作案工具，接著利用PowerShell執行Python解析器，以及竊資軟體NodeStealer。</p> <p>研究人員指出，雖然駭客的主要目標是企業的臉書帳號，但是新的竊資軟體不光收集這類帳密資訊，還會從瀏覽器盜取所有使用者儲存的帳密資料，並透過Telegram回傳給駭客。由於攻擊者透過臉書的CDN代管惡意批次檔，使得資安系統難以察覺異狀。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Python-based-NodeStealer-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Python-based-NodeStealer-1.png" style="width: 580px;" /></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/trend-micro-fixes-endpoint-protection-zero-day-used-in-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">趨勢科技修補端點防護產品已被用於攻擊行動的零時差漏洞</span></strong></a></p> <p>9月19日趨勢科技發布資安通告，指出該廠牌旗下的防毒軟體Apex One、Worry-Free Business Security（WFBS）存在重大漏洞CVE-2023-41179，這項漏洞出現於他們採用的第三方應用程式移除元件，一旦攻擊者能夠存取目標系統上的管理主控臺，就有可能利用上述的防毒軟體移除元件執行任意命令，CVSS風險評分為9.1，影響本地部署及雲端服務版本的Apex One、Worry-Free Business Security。</p> <p>值得留意的是，該公司已察覺該漏洞被用於攻擊行動。對此，日本電腦網路危機處理暨協調中心（JPCERT/CC）也提出警告，呼籲用戶應儘速更新至最新版本。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://success.trendmicro.com/dcx/s/solution/000294994" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--121927602" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://success.trendmicro.com/dcx/s/solution/000294994</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.jpcert.or.jp/english/at/2023/at230021.html" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-499480087" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.jpcert.or.jp/english/at/2023/at230021.html</span></a></p> <p><a href="https://about.gitlab.com/releases/2023/09/18/security-release-gitlab-16-3-4-released/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">GitLab發布更新，修補執行任意自動化工作流程的漏洞</span></strong></a></p> <p>9月18日GitLab針對社群版（CE）及企業版（EE）用戶發布16.2.7、16.3.4版更新，當中修補了重大漏洞CVE-2023-4998，這項漏洞是研究人員Johan Carlsson發現，原因是GitLab在8月修補中等程度漏洞CVE-2023-3932的程式碼可被繞過，而使得攻擊者可在用戶不知情、未經授權的情況下，執行Pipeline自動化工作流程，亦有機會存取GitLab的存放的敏感資訊，或是假冒使用者的權限來執行程式碼、竄改資料、觸發GitLab系統的特定事件。</p> <p>而對於執行16.2之前版本的用戶，該公司提出緩解措施：IT人員應避免同時啟用直接傳輸（Direct transfers）與安全政策（Security policies）的功能。</p> <p><a href="https://www.securityweek.com/fortinet-patches-high-severity-vulnerabilities-in-fortios-fortiproxy-fortiweb-products/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Fortinet修補防火牆作業系統、上網安全閘道、WAF的高風險漏洞</span></strong></a></p> <p>9月13日Fortinet針對旗下多項產品發布資安通告，當中修補2項與跨網站指令碼（XSS）有關的高風險漏洞。</p> <p>根據CVSS風險評分的高低，最嚴重的是CVE-2023-29183，這項漏洞存在於6.2至7.2版的防火牆作業系統FortiOS，以及7.0至7.2版網頁安全閘道FortiProxy，攻擊者若是通過身分驗證，可利用偽造的來賓管理設定來觸發系統執行惡意JavaScript程式碼，起因是這些系統的圖形介面（GUI）在產生網頁過程裡，對於輸入進行不適當的中和處理（Neutralization），CVSS風險評分為7.3。</p> <p>另一個高風險漏洞為CVE-2023-34984，則是影響網頁應用程式防火牆（WAF）暨API防護解決方案FortiWeb，可被攻擊者用於繞過此系統的跨網站偽造請求（CSRF）防護措施，影響6.3至7.2版ForitWeb，CVSS風險評分為7.1。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.fortiguard.com/psirt/FG-IR-23-106" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-1661915993" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.fortiguard.com/psirt/FG-IR-23-106</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.fortiguard.com/psirt/FG-IR-23-068" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-1661915220" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.fortiguard.com/psirt/FG-IR-23-068</span></a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/158829"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">面對人數多50倍的中國駭客威脅，FBI局長呼籲公私聯防，善用AI對抗網路威脅</span></strong></a></p> <p>資安業者Mandiant於9月18至20日舉辦資安防禦會議mWISE Conference 2023，<a href="http://www.fbi.gov/news/speeches/director-wrays-remarks-at-the-mandiantmwise-2023-cybersecurity-conference">美國聯邦調查局（FBI）局長Christopher Wray指出</a>，中國駭客人數是FBI所有資安專家的50倍以上，就算集結FBI所有網路安全專家與情報分析師，全數應付中國的網路攻擊，在人數上仍遠遠不足。面對攻防失衡局勢，他呼籲政府、執法機關與民間產業要合作，公私聯防，情資分享，並善用AI人工智慧技術以對抗日益嚴重的網路攻擊。</p> <p>Christopher Wray對在場的資安人員說，FBI不僅希望企業要擁有資安防護計畫，更要把FBI納入計畫中，在資安事件發生的第一時間通知FBI。他舉出Colonial Pipeline勒索軟體攻擊事件與QBot殭屍網路為例，都是受害者第一時間與FBI分享情資，才能讓FBI充分發揮執法權利，在贖金流向駭客的帳戶前成功地攔截下來。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://openai.com/blog/red-teaming-network"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">OpenAI宣布成立AI紅隊演練網路，招募各界專家改善大型語言模型安全</span></span></strong></a></p> <p><a href="https://blog.talosintelligence.com/introducing-shrouded-snooper/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中東電信業者遭駭客組織ShroudedSnooper鎖定，假借提供端點防護系統元件散布惡意程式</span></span></strong></a></p> <p><a href="https://www.deepinstinct.com/blog/operation-rusty-flag-a-malicious-campaign-against-azerbaijanian-targets"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">亞塞拜然共和國遭到Rust惡意軟體攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-breached-international-criminal-courts-systems-last-week/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">國際刑事法院證實遭到網路攻擊</span></span></strong></a></p> <p><a href="https://www.esentire.com/blog/russia-linked-lockbit-ransomware-gang-attacks-an-msp-and-two-manufacturers-using-the-targets-rmm-tools-to-infect-downstream-customers-and-employees-with-ransomware"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit透過多種遠端管理工具散布</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/158816"><strong>【9月19日】 Juniper甫修補的中等風險漏洞恐遭低估，研究人員發現能用於發動RCE攻擊，近1.2萬臺設備曝險</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158796"><strong>【9月18日】開源物件儲存服務MinIO漏洞遭到鎖定，駭客企圖發動供應鏈攻擊，入侵企業組織內部環境</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158772"><strong>【9月15日】駭客鎖定旅館業者，利用竊資軟體RedLine、Vidar投放勒索軟體</strong></a></p> </div></div></div>
2023/9/20 17:35作者周峻佑https://www.ithome.com.tw/news/158845
發展腦機介面裝置的Neuralink，開始接受人類大腦植入臨床試驗申請
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由馬斯克（Elon Musk）及一群科學家於2022年共同創立的<a href="https://neuralink.com/blog/first-clinical-trial-open-for-recruitment/" target="_blank">Neuralink在周二（9/19）宣布</a>，已經得到獨立機構審查委員會的許可，即將開始招募首批的人類臨床試驗，可把腦機介面裝置植入人腦，讓四肢癱瘓的病人得以透過思考來控制外部裝置。</p> <p>此一研究名為「精確機器人植入腦機介面」（Precise Robotically Implanted Brain-Computer Interface，PRIME），過去都以<a href="https://www.ithome.com.tw/news/143780" target="_blank">猴子</a>或<a href="https://www.ithome.com.tw/news/139706" target="_blank">豬隻</a>進行測試，於動物腦中植入裝置，以利用腦部活動的訊號來控制諸如電腦等外部裝置，在今年5月先通過美國食品藥物管理局（U.S. Food and Drug Administration，FDA）的臨床研究用醫療器材豁免（Investigational Device Exemption，IDE），近日則再獲得獨立機構審查委員會的許可，代表已可邁入人體臨床試驗。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0920-Neuralink-600-1.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Neuralink</span></span></p> <p>在此一PRIME研究中，Neuralink將利用手術機器人R1將N1裝置植入人腦中負責控制運動的區域，之後N1即可透過64條幾乎不可見的細絲所遞送的1024個電極來記錄腦內的神經活動，並將這些訊號無線傳送到N1行動程式上，藉以控制外部裝置。</p> <p>目前該研究的目的是為了評估R1、N1與N1程式的安全及有效性，且相關裝置目前皆處於試驗階段，並未對外銷售。</p> <p>所招募的對象則是以因脊髓損傷或肌萎縮性脊髓側索硬化症（ALS）而四肢癱瘓，受傷至少超過1年且年滿22歲的病患為主，並需要6年的研究時間，初期目標是讓這些受傷的病患光靠思考就能控制電腦的滑鼠與鍵盤。</p> </div></div></div>
2023/9/20 16:29作者陳曉莉https://www.ithome.com.tw/news/158837
英特爾CEO:未來伺服器晶片設計得有新變革，以滿足LLM模型等新的工作負載的需求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【<strong>美國聖荷西現場報導</strong>】生成式AI在今年掀起一股新的AI風潮，不少大型雲端業者、科技公司都在今年大規模部署GPU伺服器，用來訓練自己的LLM模型，然而，現今的晶片設計主要是針對雲端運算需求而非專門為LLM模型訓練而設計，這導致LLM模型的訓練成本非常龐大。以OpenAI在GPT-3模型為例，該模型擁有1,750億個參數，需要龐大算力，訓練成本高達1,650萬美元。使用GPT-3開發的ChatGPT在推論方面的成本更高，每月燒掉4千萬美元。這不僅大大增加了企業成本，對地球資源、環境永續性也可能產生影響。</p> <p><strong><span style="font-size:28px;">晶片封裝技術是阻礙AI發展的一大瓶頸</span></strong></p> <p>身為伺服器處理器龍頭，英特爾正試圖展開伺服器硬體、軟體架構等技術革新，來滿足生成式AI等新的工作負載的需求，目標是要確保未來的處理器，可以應對從雲端LLM模型訓練，到邊緣端的LLM模型推論的各種需求。</p> <p>在今年英特爾創新日會後一場記者會上，英特爾執行長Pat Gelsinger明白表示，未來伺服器晶片發展需要新變革，整合更多先進技術，包括先進電晶體技術、先進封裝技術、先進通訊及先進記憶體技術等。尤其，他特別點出，晶片封裝技術是阻礙AI發展的一大瓶頸，得加以解決。</p> <p>因此，經過一段時間研發，他們近日發表可用於下一代先進封裝的玻璃基板，與傳統的基板相比，這種新型基板可以大幅提升半導體封裝的電晶體數量，而且具備有省電和散熱特性，可用於封裝生成式AI晶片。這項技術最快3年後開始量產。</p> <p>又以先進記憶體技術為例，英特爾開始支援MCR DIMM規格的記憶體，如明年將推出的Granite Rapids處理器，就已導入這項技術，藉以增加伺服器平臺的記憶體頻寬，以滿足資料密集型的的工作負載，如LLM模型參數訓練所需的記憶體。</p> <p>近年來，許多企業應用程式中都開始結合AI功能，這也使處理器中提供AI支援能力變得越來越重要，Pat Gelsinger表示，這是英特爾決定要建構AI產品線的原因，而AI訓練加速器Gaudi和Xeon可擴展處理器是英特爾的兩大人工智慧產品。</p> <p>為了要支援生成式AI應用，英特爾在第4代Xeon Scalable處理器中開始內建了AMX進階矩陣延伸功能，使得它能夠提供針對在CPU上執行的AI算法進行加速，尤其在處理大型語言模型等工作負載時，搭配Xeon Max系列可提供高達20倍的加速效能。</p> <p>英特爾明年還將推出一款代號為Granite Rapids的新一代伺服器處理器，主打高效能，在先進製程技術、核心數和記憶體頻寬方面，相較於第4代Xeon處理器有顯著提升，此外，它還提供了增強的AMX功能，支援半精度（FP16）資料類型的AI訓練，能進一步提升AI處理效能。</p> <p>AI模型通常分為訓練和推論兩個階段，Pat Gelsinger指出，目前模型推論居多，企業若希望在本地端對基礎模型進行再訓練，並執行大量推理，他說，這種情況就很適合採用Xeon處理器來執行推論。</p> <p>除了用於生成式AI推論之外，針對AI模型訓練，英特爾則是推出了AI訓練加速器Gaudi，目前已發展到了第二代產品，搭載更多張量處理器核心與HBM。根據測試結果，在執行多模態的BridgeTower模型的性能表現上，Gaudi2勝過去年推出的Nvidia H100 GPU，提升高達1.4倍。此外，下一代Gaudi3很快將在明年推出，甚至還有一款支援雙精度浮點運算（FP64）的Falcon Shores GPU未來將問世。</p> <p><span style="font-size:28px;"><strong>英特爾要成為先進AI產品的代工廠</strong></span></p> <p>在軟體工具方面，英特爾最新加強了對生成式AI應用的支援。例如，在新釋出的OpenVINO 2023.1版工具套件中，增加了對生成式AI模型的最佳化功能，包括臉書Meta的Llama 2等模型，使開發人員能夠透過基礎模型優化，來支援跨不同作業系統和雲端整合應用環境。</p> <p>Pat Gelsinger表示，英特爾在晶圓代工業務上十分關注AI領域，包括生成式AI，不僅和內部團隊合作，還與外部的代工客戶一起共同推動。他表示，這麼做的目的，就是希望以後要讓每個人一提到英特爾代工就會聯想到AI晶片，「要將英特爾變成先進AI產品的代工廠」他說。</p> </div></div></div>
2023/9/20 15:59作者余至浩https://www.ithome.com.tw/news/158835
OpenAI設立OpenAI Red Teaming Network，公開招募各領域的紅隊演練專家
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/blog/red-teaming-network" target="_blank">OpenAI周二（9/19）宣布</a>成立AI紅隊演練網路（OpenAI Red Teaming Network），並公開對外招募各個領域的專家，以協助OpenAI改善其各種模型的安全性。</p> <p>紅隊（Red Team）或紅隊演練（Red Teaming）一詞最早出現在1960年代，當時是軍隊用來形容模擬的攻擊行動；之後也被應用在資安領域，指的是針對組織進行模擬入侵攻擊；隨著AI時代的來臨，該名詞也被應用在大型語言模型中，指的是針對AI系統的各種探測與攻擊，以探索AI模型是否會產出仇恨或暴力煽動的有害內容。</p> <p>之前OpenAI在打造DALL . E2與GPT-4等系統時，便曾邀請專家來開發特定領域的風險分類法，並評估新系統中可能的有害功能，但相關措施都是一次性的，這次OpenAI將正式邀請各領域的專家成為OpenAI Red Teaming Network的成員，讓它變成一個常態性的架構，一旦打造出新系統或模型，就能邀請該網路的專家進行紅隊演練。</p> <p>OpenAI所招募的專家涵蓋數十個專業領域，從認知科學、生物學、化學、物理、經濟、社會學、公平與偏見、教育、法律、網路安全、不實資訊、隱私、語言、健康照護、兒童安全、金融到人類學等，亦希望該網路能夠容納多元化的背景、傳統上代表性不足的群體、來自不同的地區，以及對AI安全性具備熱情的專業人士。</p> <p>OpenAI說，這些專家並不一定要有AI系統或語言模型的經驗，因為他們更重視的是專家們是否願意提出專業觀點，來協助OpenAI評估AI系統的影響。</p> <p>此外，並非所有的AI紅隊演練網路成員，都會參與每一個新系統或每一個階段的演練，OpenAI將會根據需求邀請成員參加，且會提供報酬，OpenAI也強調，參與的時間不見得很長，一年或許只需要貢獻5個小時，但這5個小時的建議對OpenAI而言可能非常寶貴，歡迎時間有限但有興趣的專家提出申請。</p> <p>這次的AI紅隊演練網路招募計畫，將開放申請至今年的12月1日，值得注意的是，由於可能涉及OpenAI正在開發的新模型，因此成員將被要求簽署保密協議。</p> </div></div></div>
2023/9/20 14:22作者陳曉莉https://www.ithome.com.tw/news/158834
Google發表Bard Extensions以整合Gmail、Docs及Drive等Google服務內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/bard/google-bard-new-features-update-sept-2023/" target="_blank">Google周二（9/19）發表了英文版的Bard Extensions</a>，這是Bard聊天機器人的延伸功能，能夠從使用者每天所使用的Google服務中尋找答案，或替使用者進行規畫，涵蓋Gmail、Docs、Drive、Google Maps、YouTube、Google Flights及Google Hotels等。</p> <p>舉例來說，倘若使用者要規畫大峽谷之旅，可以在單個對話中，要求Bard自Gmail中找出適合每個人的日期，搜尋航班與飯店資訊，於Google Maps上列出到機場的路線，或是列出大峽谷各種活動的YouTube影片。</p> <p>或者是當使用者要找新工作時，可以要求Bard從自己的Drive中找到特定名稱的履歷，並將它摘錄成短版的個人自傳，再由使用者據此編輯新的履歷表。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Plan_a_trip_to_the_Grand_Canyon_1.gif" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></p> <p>儘管Google在Brad的隱私聲明中，宣稱會蒐集使用者的Bard對話、相關產品使用資訊、位置資訊及意見，來提供、改進與開發Google產品及機器學習技術，且最久可存放18個月。但對於Bard Extensions，只要是涉及Workspace中的 Gmail、Docs與Drive服務，Google都承諾相關內容不會經過人類審查員，也不會被用來訓練Bard模型或作為遞送個人化廣告的參考。</p> <p><a href="https://bard.google.com/" target="_blank">Google Bard</a>是個獨立的聊天機器人服務，其介面類似ChatGPT，可用來詢問各種問題，但不保證回答的是正確答案，新的Bard Extensions則出現在右上角的功能列上。</p> <p>Google Bard原本是基於對話AI模型LaMDA，但Google今年5月將Bard的基礎轉移到了更強大的PaLM2模型，以擴大Bard所能支援的應用，現階段它已支援包括中文與臺灣在內的46種語言及238個國家。</p> </div></div></div>
2023/9/20 14:04作者陳曉莉https://www.ithome.com.tw/news/158833
面對大50倍的中國駭客人數，FBI局長呼籲公私聯防
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【mWISE 2023美國華盛頓特區報導】<br /> 「就算集結FBI所有網路安全專家與情報分析師，全數應付中國的網路攻擊，在人數上仍遠遠不足。」美國聯邦調查局（FBI）局長Christopher Wray在於華盛頓特區舉辦的mWISE資安會議上說：「中國駭客人數是FBI所有資安專家的50倍以上。」面對攻防失衡局勢，他呼籲政府、執法機關與民間產業要合作，公私聯防，情資分享，並善用AI人工智慧技術以對抗日益嚴重的網路攻擊。</p> <p>中國策畫的駭客攻擊規模，遠比其他所有主要駭客國家加起來還要大。Christopher Wray說：「我們一直告訴任何肯聽的人，中國政府多年來一直在竊取美國的智慧財產與資訊，可以肯定中國的攻擊絕對不會停止，他們不會坐等美國公司開發出可以改變這個局面的技術。」中國會利用其已獲得的廣泛駭客攻擊成果，再以AI技術發展更強大的駭客攻擊手法，拉大攻防相互較勁的差距。</p> <p>AI容易被濫用，Christopher Wray指出，網路犯罪組織和敵對外國政府已經在利用這項技術。儘管生成式AI無疑可以協助守法公民提升工作效率，但它也使壞人更容易生成深度偽造影片和惡意程式碼，生成式AI也有助於駭客開發出更強大、複雜、高客製化與擴充性的攻擊武器。FBI正在確定如何於倫理和法律的框架下運用AI來達成任務，同時也在識別和追蹤對手和網路罪犯如何使用AI，同時保護美國在AI領域的創新。</p> <p>面對中國、俄羅斯、伊朗和北韓的網路攻擊對全球的威脅有增無減，Christopher Wray呼籲公部門與民間產業共同合作以對抗威脅。他指出，發生在2001年的911恐怖攻擊事件徹底改變FBI的工作與工作方式，讓FBI了解到國家安全多麼需要依賴合作夥伴關係和情資分享，而現今要維護網路空間的安全也不例外。</p> <p>近年來FBI成功打擊網路犯罪的幾個案件，如Hive勒索軟體組織、Qakbot、Cyclops Blink僵屍網路，皆是執法機關與民間產業合作的成果。Christopher Wray指出，FBI結合整個資安防護生態圈的CISA（網路安全和基礎設施安全局）、NSA（國家安全局）、CIA（中央情報局）、CYBERCOM（美國網絡司令部），以及外國合作夥伴，在擁有執法權利與情報能力的優勢下，藉由打擊駭客和支持他們的服務—財務、通訊、惡意程式和基礎設施，讓敵人付出最大的代價。</p> <p>今年初FBI成功結束長達一年半的行動，摧毀了在全球肆虐的Hive勒索軟體組織。Christopher Wray指出，FBI悄悄地獲得存取Hive控制後臺的方法，於是FBI駭入Hive的系統，幫助受害者找出可以解密的金鑰，而受害者因此沒有付出總額約1.3億美元的贖金。接著，FBI再與歐洲夥伴合作，成功地查封Hive的伺服器和網站，使這個犯罪組織無法正常運作。</p> <p>2022年FBI由遠端摧毀俄羅斯GRU（軍事情報機構）建立的Cyclops Blink僵屍網路，也是一個突顯公私聯防對抗網路威脅的例子。Christopher Wray說，GRU的Sandworm團隊成功將惡意程式植入數千個位於全球的WatchGuard防火牆，在這個案例中FBI之所以能完全封鎖Cyclops Blink，一方面是有創意地結合傳統的聯邦搜索令和境外執法權，另一方面則透過WatchGuard的合作，從其他受害者的設備收集更多樣本，讓FBI的資安專家能夠以逆向工程手法了解惡意程式，並制定和執行一連串複雜的操作，切斷GRU與僵屍網路的命令和控制伺服器的通訊，同步也與CISA和WatchGuard合作進行威脅緩解工作，從受影響的設備中刪除惡意程式，並在離開時將後門關上，以防止俄羅斯駭客再次入侵。</p> <p>「今天網路威脅更加普遍，影響也更廣泛，帶來的潛在損害更是比以往任何時候都要大。」Christopher Wray說，透過資訊分享、情資分析的良性循環，最終在大家的合作下就可以保護國家的網路。他強調所有人都站在同一個立場，每一個步驟都是有戰略性且與有目的地執行，不管最終誰得到榮耀，只要任務達成就好。他對在場的資安人員說，FBI不僅希望企業要擁有資安防護計畫，更要把FBI納入計畫中，在資安事件發生的第一時間通知FBI。過往的Colonial Pipeline勒索事件或Qakbot僵屍網路，都是受害者第一時間與FBI分享情資，才能讓FBI發揮執法權利，在贖金流向駭客的帳戶前成功地攔截下來。公私合作的模式，對他來說，即便是民間產業、政府機關及世界各地的眾多領袖，包括管理者和第一線的資安人員聚集在一個房間裡，網路空間都會變得更安全一些。</p> </div></div></div>
2023/9/20 11:55作者吳其勳https://www.ithome.com.tw/news/158829
甲骨文整合臨床數位助理與EHR，擴大醫療AI應用場景
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>甲骨文（Oracle）針對醫療保健領域<a href="https://www.oracle.com/news/announcement/ohc-health-care-innovations-2023-09-18/">推出</a>新的人工智慧服務，透過整合臨床數位助理（Clinical Digital Assistant）與電子健康紀錄（EHR）解決方案，除了能夠減少醫療院所人員的手動工作之外，患者也可以獲得更多自助服務，像是以語音安排預約或是檢查臨床資訊等。</p> <p>臨床數位助理可以簡化醫護人員的管理任務，將更多專注力放在病人身上，其多模式語音和螢幕助理可透過生成式人工智慧協助預約、自動筆記，並且根據上下文提供下一步行動建議，像是訂購藥物、安排實驗室或是進行後續預約等。</p> <p>醫護人員能以語音命令，要求臨床數位助理執行「顯示病患最新MRI結果」等要求，在預約期間就預先查詢病患的EHR，醫生不需要經過繁瑣的系統操作過程，就能夠以更直覺和效率的方式獲取資訊和影像，以便更順暢地進行治療。</p> <p>臨床數位助理平臺也提供了用戶自助服務，像是語音預約或是支付帳單。病患還可以詢問如「大腸鏡檢查過程會發生什麼事？」等問題。嵌入在患者入口網站的聊天機器人，可以提醒病患在就診時，攜帶需要的檢驗報告，透過這些互動功能提高了病患參與度，同時還能減少病患錯過預約等意外情況發生。</p> <p>甲骨文強調其EHR系統將保有開放與互操作性，透過API提供臨床與財務資料，這些新的API允許甲骨文合作夥伴、客戶和第三方廠商，更深入整合其臨床解決方案，創建進階客製化工作流程。</p> <p>用戶透過這些公開的API，便能夠查看病患在臨床系統所使用的藥物，並且直接在系統創建藥品訂單。開發者可以在Oracle Health控制臺中取得API與相關文件，且官方表示，第一套API在將於今年稍晚時候在公共沙箱內供開發者進行測試。</p> <p>除了臨床數位助理與EHR的功能更新外，甲骨文也針對醫療保健組織的人力資源管理需求，提供勞動力管理功能。透過人工智慧支援醫療調度和EHR分析，使管理人員可以根據即時病患和勞動力資料，適當分派員工與任務。</p> </div></div></div>
2023/9/20 09:25作者李建興https://www.ithome.com.tw/news/158815
最新版小畫家終於支援圖層與透明度功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟將開始向Windows Insider的Canary與Dev頻道的使用者推出<a href="https://blogs.windows.com/windows-insider/2023/09/18/paint-app-update-adding-support-for-layers-and-transparency-begins-rolling-out-to-windows-insiders/">小畫家（Paint）更新</a>，Windows測試版11.2308.18.0或是以上版本中的小畫家，添加支援圖層與透明度兩大好用功能。</p> <p>使用者現在可以在畫布上新增、刪除和管理圖層，以更方便與靈活的方式，堆疊形狀、文字和其他圖像元素，創建出更複雜豐富的畫作。點擊工具列新圖層按鈕，即可在畫布側邊開啟圖層面板。在這面板中，用戶可以隨意變更面板中的圖層順序，甚至複製或是合併圖層。</p> <p>另外，小畫家現在終於支援PNG透明度通道，用戶可以正常開啟和儲存具有透明度資訊的PNG圖檔，也就是說，用戶在新版小畫家使用橡皮擦抹除內容時，會真正擦除顏色，而非將該區域塗成白色。在多圖層的情況下，當擦除上面圖層的內容，下方圖層的內容則會顯示出來。</p> <p class="rtecenter"><img alt="" src="https://blogs.windows.com/wp-content/uploads/prod/sites/44/2023/09/Paint_BGLayers.gif" style="width: 580px; height: 394px;" /></p> <p>不過，微軟目前還不打算立即將新版小畫家，推送給所有Canary與Dev頻道的使用者。官方表示，他們會先觀察使用者的回饋，再決定是否向所有人開放。</p> </div></div></div>
2023/9/20 09:26作者李建興https://www.ithome.com.tw/news/158823
Google與美國國防部合作打造AI顯微鏡，以協助病理學家診斷癌症
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.diu.mil/latest/augmented-reality-microscope" target="_blank">美國國防部周一（9/18）宣布</a>，由旗下國防創新部門（Defense Innovation Unit，DIU）所執行的預測健康（Predictive Health，PH）專案，已與Google、Jenoptik及其它美國聯邦組織合作，計畫開發人工智慧（AI）原型機並進行現場部署，以協助醫療專家轉型並改善軍事醫療保健，而今年夏天便可望提供可用來協助診斷癌症的擴增實境顯微鏡（Augmented Reality Microscope，ARM）供政府機關購買與測試。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0920-Augmented%20Reality%20Microscope%20(ARM)-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%BE%8E%E5%9C%8B%E5%9C%8B%E9%98%B2%E9%83%A8-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_美國國防部</span></span></p> <p>DIU指出，美國國防部每年花在癌症治療上的預算為17億美元，且該數字仍持續成長中，目前疑似癌症的最終評估，或是罹癌與否的最終診斷，都是來自於病理學家，而現階段對活檢樣本進行顯微鏡檢查的診斷流程，既耗時又容易出錯，再加上有資格進行相關評估的專家數量也在下滑，因此，PH專案自2020年啟動後，便利用4種新的機器學習演算法，來辨識數位化病理切片中的癌症。</p> <p>PH專案的初期研究結果顯示，諸如擴增實鏡顯微鏡等AI技術，具備了提高癌症檢測之準確性及效率的潛力。與未經輔助的病理學家相較，在AI與機器學習（ML）的輔助下，於淋巴結活檢數位化切片上識別微轉移的準確性、靈敏及速度都更高。</p> <p>此外，除了乳癌之外，新的AI與ML模型也展現了檢測攝護腺癌的高度預測能力。</p> <p>PH專案中的擴增實境顯微鏡所使用的4種AI模型，即是由Google根據DIU所提供的資料進行訓練，可用來辨識乳癌、子宮頸癌、攝護腺癌及有絲分裂，至於顯微鏡模組，則是由德國光子學技術業者Jenoptik所生產。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0920-Augmented%20Reality%20Microscope%20(ARM)-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%BE%8E%E5%9C%8B%E5%9C%8B%E9%98%B2%E9%83%A8-3-600(1).png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_美國國防部</span></p> <p>DIU指出，醫生使用顯微鏡已有百年歷史，但由於資料量過於龐大，全數位化的顯微鏡卻相對落後，ARM等於是顯微鏡領域的自駕車，它不需要把所有資料都傳至雲端，而得以在實驗室、甚至是離線的狀態下即時作出推論。顯微鏡可將演算法的推論即時疊加至顯微鏡的視野及附近的螢幕上，以協助病理學家進行判斷。</p> <p>迄今PH專案已製作出13個ARM原型機，並供不同背景的病理學家進行實驗與測試，再藉由反饋的資料來改善AI模型，以強化ARM的能力。此外，DIU團隊也正與Jenoptik合作，打算透過美國聯邦總務署（General Service Administration，GSA）來出售ARM予美國政府機關以供研究，<a href="https://www.cnbc.com/2023/09/18/google-dod-built-an-ai-powered-microscope-to-help-doctors-spot-cancer.html" target="_blank">根據《CNBC》的報導</a>，一臺ARM的價格約介於9萬至10萬美元之間。</p> <p><a href="https://www.nature.com/articles/s41591-019-0539-7" target="_blank">與ARM相關的論文在2019年便已出版</a>，Google亦於今年<a href="https://github.com/Google-Health/ar-microscope" target="_blank">開源了ARM的文件及所有驅動程式</a>。</p> </div></div></div>
2023/9/20 09:09作者陳曉莉https://www.ithome.com.tw/news/158824
【資安日報】9月19日，Juniper甫修補的中等風險漏洞恐遭低估，研究人員發現能用於發動RCE攻擊，近1.2萬臺設備…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又是漏洞風險被低估可能會引發災情的情況！資安業者Juniper在今年8月揭露的CVE-2023-36845，當時評估其漏洞僅有中度風險，必須與其他漏洞才可能引發重大危害，但最近有研究人員指出，他們只需利用這項漏洞，就能在沒有通過身分驗證的狀態，遠端執行任意命令（RCE），使得這項漏洞危險程度遠超過原先認定的層級。</p> <p>然而，由於Juniper輕估了漏洞的風險，使得很多IT人員不會立即修補漏洞。但研究人員警告，他們已經看到駭客開始嘗試利用這項漏洞。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://vulncheck.com/blog/juniper-cve-2023-36845"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">1.2萬臺Juniper網路安全設備曝露於無需身分驗證的RCE漏洞</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/shodan-jweb.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/shodan-jweb.png" style="width: 300px; float: right;" /></a>今年8月，Juniper針對EX、SRX系列產品線，揭露能操控PHP環境變數的漏洞CVE-2023-36844、CVE-2023-36845，以及重大功能缺乏身分驗證CVE-2023-36846、CVE-2023-36847、CVE-2023-36851，這些漏洞個別的CVSS風險評分皆為5.3，然而一旦攻擊者將上述漏洞串連，就變成嚴重的遠端執行任意程式碼（RCE）漏洞，CVSS風險層級大幅增加至9.8分。</p> <p>但這些漏洞的潛在風險很可能被低估，有研究人員發現，其中一個漏洞就能讓攻擊者在沒有通過身分驗證的情況下，發動RCE攻擊。資安業者VulnCheck針對CVE-2023-36845展示新的概念性驗證（PoC）攻擊手法，研究人員使用防火牆設備Juniper SRX210來進行漏洞利用的過程當中，發現該設備雖然並未提供檔案上傳功能do_fileUpload()，但攻擊者可操蹤環境變數來達到目的。他們針對該廠牌防火牆Appweb的網頁伺服器元件下手，由於該元件在執行CGI指令碼的過程裡，透過stdin程式處理使用者發出的HTTP請求，研究人員利用冒充的檔案來愚弄防火牆，並且調整PHPRC環境變數及HTTP請求，從而顯示防火牆上的敏感資料，最終濫用PHP的功能auto_prepend_file、allow_url_include，來達到執行任意PHP程式碼的目的，因此，該漏洞的危險程度顯然被嚴重低估。</p> <p>雖然Juniper在8月17日發布修補程式，但由於上述個別漏洞的風險等級僅列為中度，IT人員很可能不會優先處理，研究人員透過物聯網搜尋引擎Shodan找到14,951個曝露於網際網路的網頁管理介面，抽查其中3千臺設備，結果約有79%尚未修補CVE-2023-36845，換言之，全球可能約有11,800臺設備曝險。</p> <p><a href="http://www.trendmicro.com/en_us/research/23/i/earth-lusca-employs-new-linux-backdoor.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客Earth Lusca鎖定政府機關散布Linux惡意程式SprySOCKS</span></strong></a></p> <p>趨勢科技揭露中國駭客Earth Lusca今年上半的新型態攻擊行動，駭客原本主要的目標是東南亞、中亞、巴爾幹半島，鎖定從事外交事務、科技業、電信業的政府機關下手，但也有拉丁美幻和非洲國家的組織受害。</p> <p>駭客積極針對面向網際網路的伺服器發動攻擊，並利用已知漏洞，如：Fortinet防火牆作業系統、網頁安全閘道、交換器管理系統身分驗證繞過漏洞CVE-2022-40684，以及網路存取控制系統RCE漏洞CVE-2022-39952，或是Exchange的漏洞ProxyShell、Zimbra郵件伺服器身分驗證漏洞CVE-2019-9670與CVE-2019-9621、GitLab身分驗證漏洞CVE-2021-22205等，這些漏洞多半與身分驗證繞過相關，或是能被用於遠端執行任意程式碼（RCE）。這些駭客往往利用上述漏洞滲透目標組織的網路環境，然後部署Web Shell及Cobalt Strike進行橫向移動，接著收集資料及電子郵件帳密，並使用ShadowPad及Linux版的Winnti等後門程式，以便進行長期網路間諜行動。</p> <p>在部分攻擊行動裡，研究人員看到駭客利用Cobalt Strike部署了名為mandibule的惡意程式載入工具，以便進一步於Linux主機上部署後門程式SprySOCKS，此後門程式採用名為HP-Socket的網路框架強化運作效率，與C2之間的通訊採用AES-ECB加密，並具備收集系統資訊的能力，進行檔案的上傳、下載、列出刪除、更名、建立資料夾，甚至可挾持SOCKS代理伺服器的配置，以及啟動PTY子系統的交互式Shell等。</p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-leaks-38tb-of-private-data-via-unsecured-azure-storage/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟外洩38 TB資料，起因是Azure儲存桶未設防</span></strong></a></p> <p>資安業者Wiz揭露微軟人工智慧研究團隊無意間曝露敏感資料的事故，約自2020年7月開始，一名微軟員工不慎公開配置錯誤的Azure Blob儲存桶網址，研究人員今年6月向微軟通報並得到證實。</p> <p>微軟初步認為，起因是他們採用了較為寬鬆的共用存取簽章（SAS），產生具備完整控制共用檔案權限的Token所致。Wiz指出，微軟曝露的資料當中，包含了開源的機器學習模型，以及檔案大小高達38 TB的個人資料，這些個資涵蓋了微軟員工的資料備份檔案，當中有微軟服務的帳密資料，以及359名員工在協作平臺逾3則Teams訊息的存檔。</p> <p>對此，微軟安全事件回應中心（MSRC）指出，沒有客戶資料外洩，其他內部服務亦並未曝險。Wiz研究人員指出，由於微軟並未在Azure入口網站提供相關的監控與治理措施，導致這些SAS Token難以追蹤而存在資安風險，企業組織應儘可能限縮使用範圍。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.wiz.io/blog/38-terabytes-of-private-data-accidentally-exposed-by-microsoft-ai-researchers" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--1581134203" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.wiz.io/blog/38-terabytes-of-private-data-accidentally-exposed-by-microsoft-ai-researchers</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://msrc.microsoft.com/blog/2023/09/microsoft-mitigated-exposure-of-internal-information-in-a-storage-account-due-to-overly-permissive-sas-token/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--1996709341" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://msrc.microsoft.com/blog/2023/09/microsoft-mitigated-exposure-of-internal-information-in-a-storage-account-due-to-overly-permissive-sas-token/</span></a></p> <p><a href="https://www.theregister.com/2023/09/15/ijc_noescape_ransomware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體NoEscape聲稱攻擊美加邊境水務組織</span></strong></a></p> <p>根據新聞網站The Register的報導，管理美國、加拿大邊境的水資源機構國際聯合委員會（International Joint Commission，IJC），遭遇網路攻擊事件。資安業者Emsisoft威脅分析師Brett Callow發現，9月7日勒索軟體駭客組織NoEscape聲稱入侵上述機構，竊得超過80 GB資料，並將該機構網路環境裡的檔案加密。</p> <p>這些駭客表示他們取得了合約、法律文件、員工與會員的個人資料，以及財務、保險、地質資料等機密檔案。其中，機密文件超過5萬份。這些駭客要求該機構於10天內採取行動，否則將會公布竊得的檔案。對此，國際聯合委員會證實遭遇網路攻擊，但不願進一步回應，也拒絕評論駭客是否竊得該機構的資料。</p> <p><a href="https://intel471.com/blog/bumblebee-loader-resurfaces-in-new-campaign"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Bumblebee濫用WebDAV資料夾進行散布</span></strong></a></p> <p>威脅情報業者Intel471指出，惡意軟體Bumblebee在消聲匿跡約2個月後，從上個月再度出現攻擊行動，近期駭客更利用新的手法來繞過資安系統的檢測。</p> <p>研究人員從9月7日開始，看到駭客透過文件的掃描檔案、發票，或是發送各式通知信件的名義，寄送帶有Windows捷徑檔案（LNK）附件的釣魚信（其中有部分LNK檔案是透過ZIP壓縮檔挾帶）。一旦使用者不慎開啟LNK附件檔案，駭客便會在電腦上安裝雲端檔案共享服務4Shared，並登入特定使用者的帳號，然後掛載雲端業者提供的WebDAV資料夾，進而於受害電腦部署Bumblebee。</p> <p>值得留意的是，新的惡意軟體與C2進行通訊的管道，不再使用WebSocket通訊協定，連接到寫死的C2伺服器IP位址，而是利用網域產生演算法（DGA），透過64個靜態種子數值，產生100個網域，這些網域使用.life的頂級網域（TLD）名稱。研究人員指出，駭客使用了合法雲端業者提供的WebDAV服務，從而避免被資安系統列為黑名單，並能濫用該業者基礎設施的高可用性，甚至能簡化散布惡意程式的步驟。</p> <p><a href="https://www.mandiant.com/resources/blog/unc3944-sms-phishing-sim-swapping-ransomware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織Scattered Spider擴大攻擊範圍，發動勒索軟體攻擊迫使受害組織付錢</span></strong></a></p> <p>9月上旬旅館集團美高梅（MGM Resorts）、美國連鎖賭場凱撒娛樂（Caesars Entertainment）相繼傳出遭到駭客組織Scattered Spider入侵，有資安業者針對這些駭客的攻擊行動提出警告。</p> <p>資安業者Mandiant指出，根據他們的觀察，這些駭客原本主要針對電信業者及業務流程外包公司（BPO）下手，現在範圍觸及旅館、零售業、媒體、娛樂產業、金融服務業。這2年駭客從事攻擊行動的過程裡，先後使用了3種網路釣魚工具包，其中第3款是今年中期開始使用，一旦成功入侵受害組織，就會使用合法應用程式來偵察及監控網路，並尋找任何能提升權限及維持存取受害組織的資源。</p> <p>與過往攻擊行動不同的是，這些駭客也開始在攻擊行動使用勒索軟體，以美高梅的資安事故而言，駭客便對該集團超過100臺ESXi伺服器進行加密。而對於和其他駭客之間的關連，研究人員認為Scattered Spider與BlackCat（Alphv）有關。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.securityweek.com/fortinet-patches-high-severity-vulnerabilities-in-fortios-fortiproxy-fortiweb-products/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Fortinet修補防火牆作業系統、上網安全閘道、WAF的高風險漏洞</span></span></strong></a></p> <p><a href="https://sysdig.com/blog/ambersquid/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">挖礦攻擊行動Ambersquid鎖定不尋常的AWS服務下手</span></span></strong></a></p> <p><a href="https://cert.gov.lk/?p=3362"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">斯里蘭卡政府電子郵件系統遭勒索軟體攻擊，備份資料也無法倖免</span></span></strong></a></p> <p><a href="https://www.sentinelone.com/labs/capratube-transparent-tribes-caprarat-mimics-youtube-to-hijack-android-phones/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">巴基斯坦駭客APT36假借提供YouTube應用程式攻擊安卓手機</span></span></strong></a></p> <p><a href="https://learn.microsoft.com/en-us/windows-hardware/drivers/print/end-of-servicing-plan-for-third-party-printer-drivers-on-windows"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為強化列印系統安全，微軟將在Windows更新逐步淘汰第三方印表機驅動程式</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/158796"><strong>【9月18日】開源物件儲存服務MinIO漏洞遭到鎖定，駭客企圖發動供應鏈攻擊，入侵企業組織內部環境</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158772"><strong>【9月15日】駭客鎖定旅館業者，利用竊資軟體RedLine、Vidar投放勒索軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158747"><strong>【9月14日】中國駭客組織Redfly鎖定亞洲國家的電網下手，散布惡意軟體ShadowPad</strong></a></p> </div></div></div>
2023/9/19 18:49作者周峻佑https://www.ithome.com.tw/news/158816
Google推出統一Chronicle安全營運平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google整合安全性自動化Chronicle SOAR、安全性資訊和事件管理SIEM解決方案，以及Mandiant攻擊面管理技術，推出<a href="https://cloud.google.com/blog/products/identity-security/introducing-the-unified-chronicle-security-operations-platform">統一Chronicle安全營運平臺（Chronicle Security Operations）</a>，讓安全團隊能夠大規模保留並分析未經過濾的資料，且更快速地檢測和調查威脅。</p> <p>因為Chronicle SIEM和Chronicle SOAR的深度整合，使用者現在可以在同一個控制臺上獲得更完整的上下文資訊，並切換查看警報、案例、調查和操作指南，簡化威脅偵測、調查和回應流程（TDIR）。在Chronicle安全營運平臺中，每個警報現在都被分組到一個案例中，以整合相關的警報，並提供存取相關資料的能力，協助安全團隊更快做出決策。應用威脅情報（Applied Threat Intelligence）新功能，目的是自動使用來自Google雲端、Mandiant和VirusTotal等情報供應者最新的威脅情報，使每一個安全事件的資訊更豐富，提供用戶更多關於該事件的上下文，藉以增進安全威脅偵測的準確性和效率。其運用人工智慧技術，能夠依據每個用戶的環境評估和優先處理威脅。</p> <p>Chronicle安全營運平臺中的Duet AI，能夠透過生成式人工智慧以及安全基礎模型，簡化用戶在威脅偵測、調查和回應的工作。Duet AI會自動生成事件發生情況的摘要，並提供有關重要威脅的背景資訊與指南，還有應對建議。Duet AI供用戶可以直接使用自然語言進行查詢，Chronicle安全營運平臺透過全映射搜尋語法，能夠簡單將進一步精煉和迭代結果。</p> </div></div></div>
2023/9/19 16:19作者李建興https://www.ithome.com.tw/news/158813
零售IT雙周報第21期：eBay將推出商品上架輔助AI，從商品圖片自動生成商品描述、分類和建議售價
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0903~0916)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI影像辨識</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#商品上架輔助</span></span><br /> eBay將推出商品上架輔助AI，分析商品圖片就能生成商品描述、分類和建議售價</strong></p> <p>電商巨頭eBay正在<a href="https://innovation.ebayinc.com/tech/features/magical-listing-tool-harnesses-the-power-of-ai-to-make-selling-on-ebay-faster-easier-and-more-accurate/">測試新上架輔助AI</a>，商家上傳商品圖片後，AI會分析圖片細節，再結合eBay站上分類邏輯及後臺商品資料庫，自動生成商品標題、描述、生產日期、分類、建議售價、建議運費等資訊。</p> <p>eBay表示，上架商品時需要填寫不少欄位，尤其是有些需要附上大量詳細資料的商品，例如高稀有度收藏品等，會花費大量填寫時間，經驗較少的商家可能於此階段卡住。為此，他們持續開發AI輔助功能，來加速商家填寫商品資訊欄。</p> <p>這已經是eBay第二世代的上架輔助AI。舊世代只支援文字輸入，根據標題和商品分類生成商品描述，這次則改用影像辨識技術，商家甚至一個字都不用輸入。目前此版本上架輔助AI還在內部測試，預計數月後正式推出。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#實體店面管理</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#實體廣告</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI影像辨識</span></span><br /> 札幌藥妝在53家分店導入AI影像辨識解決方案來分析店內銷售和行銷情形</strong></p> <p>北海道市占第2藥妝店札幌藥妝於旗下200多家分店的53家店面中，導入AI影像辨識解決方案，搭配店內高密度鏡頭，來分析並優化店內銷售和行銷情形。</p> <p>這個解決方案包含兩種鏡頭，一種是從天花板上往下拍，觀察消費者店內動線跟停留時間。另一種是從貨架上由內往外拍，跟廣告標牌連動，觀察消費者與廣告內容互動和商品取放。為了顧及顧客隱私，影像辨識系統不會和會員系統連結，只會根據消費者影像初步判斷性別及年齡層。</p> <p>後臺接著會綜合影像分析資訊、店內行銷需求、店面所在地區、不同顧客族群入店時間等資料，以個別店面為單位決定不同時段適合推送廣告。根據消費者店內互動情形，此系統會快速進行A/B test後，調整推播廣告版本，也會分析出商品熱門區域，來提供貨架布局及商品陳列建議。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#跨通路行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#零售數據應用</span></span></strong></p> <p><strong>Foodpanda推出RMN服務，利用用戶、合作商家及外送員數據驅動跨通路、多形式的行銷方法</strong></p> <p>外送平臺Foodpanda宣布在臺推出Panda ads零售媒體聯播網服務，讓外部廠商在線上線下通路中，對數百萬消費者、10萬外送夥伴及10萬合作商家投放精準行銷廣告。這個RMN與臺灣業界常見模式相當不同。後者通常只於自家通路，投放數位廣告給自家消費者。Panda ads則將外送App、合作商家、外送商品袋、社群媒體、電子報、自家倉庫，甚至外送機車車廂都作為行銷通路，有多種線上線下實體和數位廣告形式，還把消費者、外送員及合作商家都作為行銷對象。</p> <p>這個模式背後的技術關鍵是，Foodpanda靈活運用消費者、外送員和合作商家數據。對比一般零售業來說，有如利用消費者、物流夥伴（外送員）和供應商（商家）數據，來驅動對這三方的行銷。</p> <p>這些數據除了可以用於數位廣告常見精準行銷方法，甚至可以用來提升部分線下行銷功能的精準度。一例是，可以根據商家屬性和消費者分眾，來決定在哪些外送訂單中派送廣告主樣品給消費者。或者，刊登外送員車廂廣告時，可以從分析個別外送員常出沒地段跟時段，來媒合符合廣告行銷條件的外送員。（<a href="https://www.ithome.com.tw/news/158773">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#AI影像辨識</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#膚質分析</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#AI商品推薦</span></span><br /> 護膚品牌Elemis推出AI膚質分析及商品推薦功能</strong></p> <p><a href="https://www.businesswire.com/news/home/20230828975627/en">英國知名護膚品牌Elemis推出AI膚質分析及商品推薦功能</a>。這是一個手機App功能，消費者需先填寫關於護膚成分偏好及自評膚質問題的問卷，再用鏡頭掃描皮膚。之後，AI會根據分析出膚質、潛在皮膚問題，結合消費者自評問卷內容，來推薦對應護膚商品及商品介紹。</p> <p>雖然此功能有設計問卷環節，消費者輸入時間更長，不過確保了系統能優先考慮消費者自己在意的皮膚問題及產品喜好，使推薦結果更加個人化。相較之下，業界有些AI推薦功能系統，雖然不須輸入許多資訊，卻只能從少數組合中挑選出符合條件的商品來推薦，顆粒度較為粗糙。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#攜帶式POS</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#POS系統</span></span></strong></p> <p><strong>Shopify開始在多國市場推出實體移動式POS機，還具備跨線上線下通路營運數據分析功能</strong></p> <p>在美國初步實驗後，<a href="https://help.shopify.com/zh-TW/manual/sell-in-person/hardware/all-in-one-hardware/pos-go">全球開店平臺巨頭Shopify近期於更多國家上市攜帶式POS機</a>，大小約與智慧型手機同等尺寸。此POS機利用Wifi聯網，可以接受插卡、刷卡、晶片感應、條碼掃描等支付方式，軟體系統以原本的Shopify POS系統為基礎，支援自動更新。透過此POS機，還可以看到即時銷售分析、店內人力管理、庫存資訊等分析。</p> <p>商家從線上拓展到線下營運時，POS系統能否整合跨通路營運數據，是一個重要功能。國內外大型開店平臺鎖定此需求，紛紛推出主打OMO POS軟硬體商品。過往，這些開店平臺硬體多為周邊硬體，例如發票列印機、無線掃碼器等，POS軟體本身則用移動裝置乘載。不過，許多雲端POS系統都只支援蘋果移動裝置，對商家來說硬體投資成本較高。於是，逐漸開始有廠商推出小型POS機，確保POS軟體執行環境可控的同時，提供商家另一種硬體選擇。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#NLP</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#商品上架</span></span><br /> Amazon用生成式AI來輔助商家填寫商品介紹</strong></p> <p>電商龍頭Amazon利用語言模型輔助電商功能又一例。最近，他們才開始用生成式AI來摘要消費者評論，<a href="https://www.aboutamazon.com/news/small-business/amazon-sellers-generative-ai-tool">現在則進一步用來協助商家生成商品介紹</a>。</p> <p>商家給出短至幾個字的商品描述，就會生成商品標題和商品介紹文案重點。不過，雖然他們有提到自家生成式AI模型可以根據圖片推論商品特性，目前還沒有從圖片生成商品描述的功能。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1. PChome預計2023年底前利用Google Vision AI技術推出以圖找商品功能。</p> <p>2. 統一超將六角國際餐飲、綜合點數會員系統Ocard和叫車平臺yoxi納入會員生態圈，進一步增加會員數據蒐集面向。</p> <p>資料來源：iThome整理，2023年9月</p> <p>責任編輯：郭又華</p> </div></div></div>
2023/9/19 17:13作者郭又華https://www.ithome.com.tw/news/158811
配置錯誤讓微軟AI研究單位的GitHub儲存庫外洩38TB私有資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.wiz.io/blog/38-terabytes-of-private-data-accidentally-exposed-by-microsoft-ai-researchers" target="_blank">資安業者Wiz周一（9/18）揭露</a>，微軟AI研究部門於GitHub公共儲存庫所提供的一個含有共用存取簽章（Shared Access Signature，SAS）權杖的URL，原本是想讓開發者存取開源的AI學習模型，卻因配置錯誤，而讓開發者得以存取多達38TB的額外私有資料，包括兩名員工的工作站備份、私有金鑰與密碼等，<a href="https://msrc.microsoft.com/blog/2023/09/microsoft-mitigated-exposure-of-internal-information-in-a-storage-account-due-to-overly-permissive-sas-token/" target="_blank">同一天微軟也發表了說明</a>，指出已修復所有的錯誤，改善SAS權杖，同時提出SAS權杖的最佳實作。</p> <p>甫於2020年成立的美國雲端資安新創Wiz，是在掃描網路上錯誤配置的儲存容器時發現，有一個隸屬於微軟AI研究部門的GitHub儲存庫中，含有一個SAS權杖URL，供開發者連結以下載開源碼及AI模型，然而，Wiz團隊卻發現，透過這個連結不僅能存取開源的AI資料，還能儲存兩名微軟員工的工作站備份（下圖），內含各種秘密、私鑰、密碼、私有的原始碼及AI訓練資料，以及超過3萬筆的微軟內部Teams訊息。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0919-Microsoft%20AI%20GitHub%20repository-%E8%B3%87%E6%96%99%E5%A4%96%E6%B4%A9-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Wiz(1).jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Wiz</span></span></p> <p>而上述資料曝光的原因，僅僅是因為分享資料的微軟員工在SAS權杖上的配置出了錯。</p> <p>共用存取簽章（SAS）是個允許外界存取某個儲存帳號中特定資料的安全機制，它具備精細的控制能力，例如可指定開放存取的資源（如特定容器、目錄或blob），允許執行的動作（讀取、寫入或刪除），可自什麼樣的網路存取（HTTPS或特定IP位址），以及開放存取的時間等。</p> <p>不過，Wiz發現，這個SAS權杖在2020年7月首次出現在GitHub時，的確有設定會在2021年的10月5月到期，但該名微軟員工隔天（2021/10/6）就把到期日更新至2051年的10月6日，此外，該權杖毫不設限，不僅可與外界分享整個儲存帳號，還具備讀、寫、刪除等權限，意味著駭客甚至可將惡意程式碼注入所有的AI模型中。</p> <p>微軟則解釋，這是一名研究人員要貢獻開源的AI訓練模型時，不小心在blob store URL中納入了這個SAS權杖，還在公共的GitHub儲存空間中提供了此一URL。</p> <p>事實上，GitHub有個秘密掃描（Secret Scanning）服務，可用來監控所有公開的開源程式碼的變更，以檢查是否有憑證或其它秘密不小心外洩了，該服務也會檢查Azure Storage SAS URL是否指向含有VHD或私有金鑰的機密內容，但並未檢查日期過於寬鬆或權限過度的SAS權杖。在經歷此次事件之後，微軟已擴大了SAS的偵測範疇。</p> <p>此外，在收到Wiz的提報後，微軟亦全面重新掃描旗下及附屬組織與帳號的所有公開儲存庫，雖然這次的掃描也偵測到Wiz所發現的同一個SAS URL，然而，系統卻說這是個誤報。微軟也趁此解決了此一掃描系統的臭蟲。</p> <p>Wiz是在今年6月22日發現此事並通知微軟，微軟於6月24日便撤銷了該SAS權杖，於7月7日換上了新權杖，再於8月16日完成調查。雙方約定於本周共同揭露。</p> <p>微軟強調，此一意外並未外洩客戶資料，亦未有其它內部服務受到波及，客戶無需採取任何行動。</p> <p>不過，微軟提出了使用SAS URL的最佳實作建議，包括應該採用最小權限原則，僅釋出所需權限；建立一個SAS時僅開放短期存取，例如Azure Storage最好只開放一小時以內；小心處理SAS權杖，應將它視為應用程式秘密；制定撤銷計畫；以及監控與稽核SAS的相關使用等。</p> </div></div></div>
2023/9/19 15:49作者陳曉莉https://www.ithome.com.tw/news/158812
在微軟任職19年的產品長Panos Panay離職，傳聞跳槽去了Amazon
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>主導Surface及混合實境（Mixed Reality，MR）產品線，在微軟任職超過19年的微軟產品長<a href="https://twitter.com/panos_panay/status/1703776961296998693" target="_blank">Panos Panay於周一（9/18）透過X簡短地宣布已離開微軟</a>，而外傳Panay將跳槽到Amazon，負責Alexa與Echo智慧喇叭等產品。</p> <p>Panay是在2004年進入微軟，於2012年建立了高階的Surface產品線，Surface的現身讓微軟的硬體產品首度可與蘋果相提並論，並把Panay帶到產品長的位置，2020年Panay又接手負責Windows作業系統，並打造了Windows 11，2021年8月晉升為執行副總裁。</p> <p>Panay對於自己的離去並未多所著墨，僅說決定邁入下一個篇章，感謝在微軟的時光及共事的同事們。</p> <p>其實同一天微軟執行副總裁Rajesh Jha亦發表了內部信件，指出Panay已決定離開微軟，感謝Panay對微軟產品、文化及裝置生態體系的貢獻；Panay所帶領的團隊不僅創造了Surface品牌，近來所領導的Windows團隊也透過Windows 11替全球用戶帶來令人驚嘆的體驗，祝福他未來一切順利。至於之後將由微軟的消費者行銷長Yusuf Mehdi負責Windows及Surface業務，以及與OEM及零售合作夥伴的關係。</p> <p>儘管Panay並未揭露自己的去處，但<a href="https://www.bloomberg.com/news/articles/2023-09-18/amazon-is-poised-to-hire-departing-microsoft-product-chief#xj4y7vzkg" target="_blank">《彭博社》</a>（Bloomberg）引述消息來源報導，Panay將跳槽到Amazon，負責Alexa語音助理及Echo智慧喇叭部門。</p> <p>微軟即將在本周四（9/21）發表多款全新的Surface產品，但微軟已向媒體證實Panay將缺席該發表會，另一方面，Amazon也將於本周三（9/20）舉辦硬體產品發表會，不過，Amazon目前拒絕回應外界對於Panay是否即將上任的問題。</p> </div></div></div>
2023/9/19 12:53作者陳曉莉https://www.ithome.com.tw/news/158810
微軟開源AI新框架EvoDiff，使模型可設計自然界所有蛋白質
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟已將通用擴散模型框架<a href="https://www.biorxiv.org/content/10.1101/2023.09.11.556673v1">EvoDiff</a>開源，結合了能夠處理大量且多元資料的特性，以及擴散模型特殊的控制能力，在序列空間中能以可控制的方法生成蛋白質。使用EvoDiff所訓練的模型，能夠生成多樣化且結構合理的蛋白質，特別的是，EvoDiff模型還可以生成以結構為基礎的模型所無法生成的模型，這代表使用序列為基礎的方法具有通用性。</p> <p>蛋白質是重要的生物分子，其參與許多細胞生理過程（Cellular Process），像是鐵血紅蛋白能夠在血液中運送氧氣，胰島素能夠調節血糖水平，因此科學家對生成新的蛋白質很感興趣，無論是在工業還是醫療用途都很有價值。</p> <p>目前主要用於生成蛋白質結構的是以結構為基礎的蛋白質設計模型，由於這類模型需要使用已知的蛋白質三維結構資料進行訓練，但是目前已知的蛋白質結構資料有限，因此限制了訓練資料集的範圍也就限制結構蛋白質生成模型的蛋白質設計空間。況且，有些蛋白質並不會形成固定的摺疊結構，因此這類生成模型可以設計的蛋白質也就缺失了一大類。</p> <p>微軟研究人員提出的EvoDiff框架，是結合進化（Evolutionary）與擴散（Diffusion）兩個方法，使用進化規模的蛋白質資料，並用這些資料建立一種擴散模型。所謂進化規模，指的是涵蓋大規模進化歷史，足以反映蛋白質長時間進化的資料，這類資料可以讓模型在探索和設計新蛋白質時表現得更好。考慮蛋白質三維結構取得困難，研究人員選擇讓EvoDiff模型在蛋白質序列空間進行生成。</p> <p class="rtecenter"><img alt="" src="https://github.com/microsoft/evodiff/blob/main/img/combined-0.gif?raw=true" style="width: 480px;" /></p> <p>使用EvoDiff框架所訓練的模型，主要功能在於能生成符合現實且多樣化的新蛋白質，EvoDiff的設計能夠生成所有自然蛋白質中存在的結構、功能和序列特徵，也就是說，EvoDiff模型能夠在序列空間生成，在生物學和疾病中都有非常重要作用的無序蛋白質（Disordered Protein）。</p> <p>EvoDiff框架的貢獻在於能夠在序列空間生成高品質蛋白質，打開了許多蛋白質工程和設計的可能性。微軟現已將EvoDiff的程式碼在GitHub上開源，供其他研究人員使用。</p> </div></div></div>
2023/9/19 09:22作者李建興https://www.ithome.com.tw/news/158803
Ruby on Rails擴充Docker支援，並計畫採用Trilogy作為預設MySQL轉接器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Ruby on Rails即將邁入20歲，官方著手準備7.1慶生版本，現在先釋出Beta版本供開發者測試。<a href="https://rubyonrails.org/2023/9/13/Rails-7-1-0-beta-1-has-been-released">Ruby on Rails 7.1 Beta</a>版本加入了一系列重要更新，其包括改善Docker部署，強化身分驗證工具、擴充Active Record的非同步查詢功能，並新增MySQL轉接器（Adapter）Trilogy的支援。此外，這個版本還在Active Job和自動載入方面進行最佳化，還加入了新的<a href="https://www.ithome.com.tw/news/158705" target="_blank">JavaScript執行環境Bun</a>。</p> <p>當開發者使用指令建立新應用程式時，Ruby on Rails現在會自動生成所有需要的Docker檔案，供開發者使用Kamal或是其他以Docker為基礎的工具來部署應用程式。官方提到，這些Docker檔案都經過調整，使其適用於生產環境，具備正確的快取層並通過多階段建構減少映像檔大小，而且無論開發者是否使用JavaScript建置環境，Docker檔案都會包含所需相依項目。</p> <p>在現代網頁開發中，JavaScript建置環境已經變得相當重要，可用來轉換、壓縮甚至是最佳化前端程式碼，而在使用Docker時，Docker檔案需要確保容器內包含正確的工具和設定，來處理JavaScript工作流程。Ruby on Rails所生成的Docker檔案不只考慮到Rails應用程式在伺服器端的部分，同時考慮前端建置需求，Ruby on Rails 7.1這項新功能，無論開發者在Rails應用程式中是否使用JavaScript建置流程，其生成的Docker檔案都能確保應用程式在容器中順利運作。</p> <p>Ruby on Rails新版本內建對MySQL轉接器Trilogy的支援。Trilogy是由GitHub開發，目標是成為mysql2的替代品，提供更好的效能、靈活性，以及嵌入的簡易性。官方提到，現在GitHub與Shopify生產環境都已經採用Trilogy，官方提到，在此新版Rails先提供Trilogy支援，而下一個主要版本，Trilogy可能就會成為預設選項。</p> <p>Ruby on Rails中負責操作資料庫和定義資料庫模型的核心元件Active Record，能夠將資料庫中的資料表映射到Ruby物件中，讓開發者能夠以物件導向的方式操作資料庫。而在7.1版本中，Active Record非同步查詢獲得強化，開發者能夠在同一時間內，平行執行多個、速度較慢的查詢，特別是那些著重運算的操作，並以非同步的方式繼續處理其他請求。</p> <p>同時，Ruby on Rails也支援了對複合主鍵功能。依據Shopify的實際經驗，複合主鍵能提高常見的查詢效能5到6倍，並且慢速查詢的數量減少80％。儘管複合主鍵使資料插入操作明顯變慢，但是當讀取操作遠多於寫入的大型資料表來說，這樣的效能提升非常有價值。</p> <p>Ruby on Rails中的Active Job增加了一種新方法，使得佇列大量工作更有效率，開發者可以一次性將一大批工作放入佇列中，減少佇列資料儲存多次往返所產生的成本開銷。另外，新版本還增加新的配置方法，強化應用程式自動載入功能，特別是包含lib目錄的情況。</p> <p>值得注意的是，Ruby on Rails從這個版本開始支援使用Bun作為JavaScript執行環境，生成新的應用程式。Bun是一款訴求快速的JavaScript執行環境與多合一工具包，才剛釋出1.0正式版，官方稱Bun可達Node.js的5倍速。</p> </div></div></div>
2023/9/19 08:34作者李建興https://www.ithome.com.tw/news/158795
Google輕量化臉部編輯GAN模型，低階手機也可即時生成高品質輸出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google針對生成對抗網路（Generative Adversarial Network，GAN）的高運算複雜度提出解決方案，將原本需要在伺服器執行的臉部編輯模型輕量化，推出可在手機上運作的少樣本臉部風格模型<a href="https://blog.research.google/2023/09/mediapipe-facestylizer-on-device-real.html">MediaPipe FaceStylizer</a>，提供高品質臉部圖片生成，並且透過MediaPipe平臺公開，讓用戶能夠自訂部署到行動裝置上。</p> <p>生成對抗網路是一種深度學習模型，其包含生成器和鑑別器兩部分，生成器負責生成圖像，而鑑別器的任務則是分辨圖像是不是真實的，也就是發現該圖像是否由生成器所產生。而MediaPipe FaceStylizer針對臉部風格化設計，具有臉部生成器和臉部編碼器兩個主要元件。臉部編碼器的主要功能用於生成對抗網路反轉（GAN Inversion），將圖像映射到生成器的潛在碼（Latent Code）中。</p> <p>生成對抗網路反轉是指用於尋找導致模型輸出的輸入，這個輸入再經過生成對抗網路的生成器時，會產生特定圖像，換句話說，當存在一張圖片，想要知道生成對抗網路的生成器中，可以產生該張圖片的潛在碼，這個過程便稱為生成對抗網路反轉。臉部編碼器便是找出潛在碼的角色，以便臉部生成器可以再次使用該潛在碼，生成相同或是類似的臉部圖像。</p> <p>除此之外，研究人員為了最佳化生成器，特別設計了一些損失函式，並且結合常用的生成對抗網路損失函式，藉以最小化生成器的錯誤，他們從一個較為複雜的StyleGAN模型，提煉出一個更輕量的生成器BlazeStyleGAN。輕量生成器雖然容量小、執行快，但生成的圖片品質仍然很高。下圖研究結果顯示，BlazeStyleGAN生成的圖像品質很好（圖下），而且因為研究人員在損失函式的設計，進一步減少了StyleGAN可能產生的瑕疵和偽影（圖上）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image2(29).png" style="width: 580px; height: 142px;" /></p> <p>從參數數量和計算FLOPs評估模型複雜度，與StyleGAN擁有3,340萬參數相比，BlazeStyleGAN的複雜度大幅降低，在輸出圖片解析度為256x256的情況下，僅需要約200萬參數和1.28G FLOPs的BlazeStyleGAN模型。當輸出解析度為1024x1024，BlazeStyleGAN-1024可減少95％運算複雜度，而且輸出圖像品質與StyleGAN-1024模型沒有明顯差異，甚至抑制來自StyleGAN模型的偽影。</p> <p>研究人員在高效能的裝置上，對MediaPipe FaceStylizer的推論時間進行基準測試，BlazeStyleGAN-256和BlazeStyleGAN-512在所有擁有GPU的裝置上都能達到即時運算，在更高階手機的執行時間甚至不到10毫秒。BlazeStyleGAN-256還可以在iOS裝置上以CPU即時生成結果。</p> <p>Google將會透過MediaPipe平臺，向用戶公開MediaPipe FaceStylizer。BlazeStyleGAN模型經過訓練之後，只需要幾行程式碼，就能透過MediaPipe Tasks FaceStylizer API部署已匯出的TFLite模型到各平臺的應用程式。</p> </div></div></div>
2023/9/19 08:40作者李建興https://www.ithome.com.tw/news/158802
【資安日報】9月18日，開源物件儲存服務MinIO漏洞遭到鎖定，駭客企圖發動供應鏈攻擊，入侵企業組織內部環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客利用開發環境入侵目標組織，發動供應鏈攻擊的情況再度出現，最近資安業者Security Joes揭露的攻擊事件裡，駭客就是鎖定開源物件儲存服務MinIO的已知漏洞而來，對方先是針對工程師下手，說服他們安裝含有弱點的MinIO，從而發動攻擊，這樣的做法相當罕見，使得研究人員呼籲管理者要提高警覺。</p> <p>由於MinIO往往搭配AWS S3、Google Cloud Storage、Azure Blob Storage等雲端儲存桶運用，使得上述的攻擊手段影響範圍可能相當廣泛。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.securityjoes.com/post/new-attack-vector-in-the-cloud-attackers-caught-exploiting-object-storage-services"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">開源物件儲存服務MinIO漏洞被用於攻擊，駭客意圖破壞企業網路環境</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/d03b6f_520bb090a26f481fb713a074d.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/d03b6f_520bb090a26f481fb713a074d.png" style="width: 300px; float: right;" /></a>資安業者Security Joes揭露鎖定開源物件儲存服務MinIO的漏洞攻擊，他們看到駭客利用<a href="http://https://blog.min.io/security-advisory-stackedcves/">今年三月修補的已知漏洞CVE-2023-28432、CVE-2023-28434</a>（CVSS風險評分為7.5至8.8）來展開攻擊。</p> <p>攻擊者先是鎖定DevOps工程師，說服他們部署存在弱點的MinIO，進而植入後門程式Evil MinIO。一旦工程師依照對方指示操作，駭客就有可能在目標組織的MinIO系統上執行一系列的Bash命令，並試圖從外部下載Python指令碼，過程中先是透過CVE-2023-28432遠端存取伺服器的環境變數，例如：MINIO_SECRET_KEY、MINIO_ROOT_PASSWORD，進而讓攻擊者得以利用MinIO用戶端軟體存取此系統的主控臺，並且竄改下載更新的來源，以利推送惡意更新。此外，對方也利用CVE-2023-28434，將原本的.go原始碼置換成帶有惡意內容的版本。</p> <p>一旦攻擊者替換接收更新的URL，便有機會遠端對目標伺服器下達命令。根據目標電腦的作業系統類型，攻擊者在Linux主機上執行curl或wget，而在Windows主機透過winhttpjs.bat或bitsadmin，下載後續攻擊行動所需的作案工具，這些包含了系統分析指令碼、網路偵察指令碼、建立Windows帳號的指令碼、Ping掃描指令碼，以及類似中國菜刀（China Chopper）的Web Shell後門程式。</p> <p><a href="https://www.bleepingcomputer.com/news/security/blackcat-ransomware-hits-azure-storage-with-sphynx-encryptor/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客BlackCat鎖定Azure Storage儲存桶下手</span></strong></a></p> <p>資安業者Sophos在調查攻擊事故當中，發現勒索軟體駭客BlackCat（Alphv）新一波的攻擊行動，駭客先是透過AnyDesk、Splashtop、Atera等遠端桌面管理工具入侵電腦，然後藉由安裝在Chrome瀏覽器上的LastPass擴充套件，盜取動態密碼（OTP），存取目標組織的Sophos Central主控臺，進而竄改防毒軟體的安全策略，並停用防竄改功能，然後使用勒索軟體Sphynx加密受害電腦及Azure雲端儲存桶，所有遭到加密的檔案副檔名都被改為.zk09cvt。</p> <p>研究人員指出，駭客利用遭竊的Azure金鑰滲透受害組織的Azure入口網站，並使用Base-64編碼加入勒索軟體執行的命令，總共有39個Azure儲存桶帳號受害。</p> <p><a href="https://www.bleepingcomputer.com/news/security/orbcomm-ransomware-attack-causes-trucking-fleet-management-outage/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">卡車車隊管理服務Orbcomm遭勒索軟體攻擊，司機改用紙本記錄工作狀態</span></strong></a></p> <p>根據資安新聞網站Bleeping Computer的報導，卡車運輸和車隊管理解決方案供應商Orbcomm於9月6日遭遇勒索軟體攻擊，導致旗下解決方案FleetManager及電子記錄裝置（Electronic Logging Device，ELD）Blue Tree受到波及，當日即傳出客戶無法使用上述系統，導致卡車司機必須使用紙本記錄工作內容，美國大型貨運業營運受到衝擊。根據當地法規，卡車司機每30日中只能有8日使用紙本記錄，若是這項服務持續中斷，這些司機恐被迫停駛。</p> <p>事隔一週，該公司才向媒體坦承發生勒索軟體攻擊的事故，並計畫在9月29日前復原相關系統，並強調這起攻擊事件僅影響FleetManager和Blue Tree，其他系統皆維持正常運作。美國聯邦機動運輸安全局（FMCSA）也證實此事，並指出在該系統恢復正常之前，司機能暫時使用紙本彙整工作日誌，不受法規每月8天的限制。Orbcomm聲稱，他們已在7日晚間透過電子郵件，向所有客戶告知本次勒索軟體攻擊事故。</p> <p><a href="https://www.cardx.co.th/news/details/personal-data-protection"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">泰國數位金融平臺CardX傳出資料外洩</span></strong></a></p> <p>9月15日泰國數位金融平臺CardX發布新聞稿，指出該公司遭遇網路安全事故，導致個人信貸與金卡申請相關的資料外流，這些資料包含了客戶姓名、地址、電話號碼、電子郵件信箱，但不包含財務資訊，同時該公司也強調流出的資料無法被用於金融交易。為防範類似事故再度發生，該公司已強化相關系統，並呼籲用戶留意歹徒可能會將上述外流的資料用於詐騙。</p> <p><a href="https://retool.com/blog/mfa-isnt-mfa/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資安業者指控Google Authenticator雙因素驗證碼雲端同步機制恐削弱安全性</span></strong></a></p> <p>9月13日資安業者Retool指出，他們的員工約於8月27日遭到釣魚簡訊攻擊，駭客佯稱是IT人員，聲稱薪資系統無法和剛導入的雲端身分驗證服務Okta同步，要求員工透過信中的連結，前往入口網站完成身分驗證。</p> <p>結果不幸有人上當，依照指示存取假網站。這名員工依照網站的指示進行雙因素驗證（MFA），結果收到駭客冒充IT人員聲音、以Deepfake合成的語音電話，要求提供Okta的動態密碼（OTP）。駭客取得OTP驗證碼便將自己的裝置登記於這名員工的帳號，並產生攻擊者所需要Token，從而存取該公司的Google Workspace，有機會入侵Retool的內部環境。</p> <p>該公司指控，這起事故因Google Authenticator預設同步使用者的雙因素驗證碼，而導致駭客能直接藉由這名員工的各種帳號來存取他們公司內部的環境，險些造成嚴重的危害。他們呼籲Google，應重視這種將OTP同步到雲端環境帶來的危機，並採取相關因應措施。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.mandiant.com/resources/blog/arbitrary-file-deletion-vulnerabilities"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">N-able遠端管理工具存在高風險漏洞，恐被用於刪除端點電腦檔案</span></strong></a></p> <p>資安業者Mandiant的研究人員發現，N-able旗下的遠端管理工具Take Control Agent存在CVE-2023-27470，此種弱點被稱為Time-of-Check to time-of-use（TOCTOU），屬於競爭危害（Race Condition）型態的漏洞，一旦攻擊者成功觸發這項漏洞，就有可能在Windows電腦上刪除任意檔案，CVSS風險評分為8.8，影響7.0.41.1141及之前版本的Take Control Agent，N-able於3月發布7.0.43版予以修補。</p> <p>研究人員指出，這項弱點存在於此工具的BASupSrvcUpdater.exe處理程序，攻擊者可針對特定的資料夾進行檔案刪除，再透過符號連結（Symbolic link），將另一個檔案指向已刪除的檔案，從而將Take Control Agent的處理程序重新導向系統上的任意檔案，有可能刪除NT AUTHORITY\SYSTEM的資料。此外，若是鎖定Windows安裝程式的復原功能下手，就有可能執行任意的程式碼。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/09/14/uncursing-the-ncurses-memory-corruption-vulnerabilities-found-in-library/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">程式庫ncurses存在高風險漏洞，影響執行Linux、macOS作業系統的電腦</span></strong></a></p> <p>微軟揭露數個ncurses程式庫的記憶體毀損漏洞，一旦攻擊者加以利用，就有可能在Linux及Mac電腦上執行惡意程式碼。研究人員指出，這些漏洞與環境參數中毒有關，而使得攻擊者能加以串連，進而提升權限，然後在特定應用程式的上下文執行程式碼，或是從事其他惡意行為。</p> <p>研究人員發現的這組漏洞被登記為CVE-2023-29491，CVSS風險評分為7.8，開發團隊獲報後在今年4月發布新版本予以修補，研究人員也著手與蘋果修復與此漏洞有關的macOS弱點。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.theregister.com/2023/09/15/ijc_noescape_ransomware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體NoEscape聲稱攻擊美加邊境水務組織</span></span></strong></a></p> <p><a href="https://www.mandiant.com/resources/blog/unc3944-sms-phishing-sim-swapping-ransomware"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織Scattered Spider擴大攻擊範圍，發動勒索軟體攻擊迫使受害組織付錢</span></span></strong></a></p> <p><a href="https://thehackernews.com/2023/09/north-koreas-lazarus-group-suspected-in.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">北韓駭客Lazarus從加密貨幣交易所CoinEx竊得3,100萬美元</span></span></strong></a></p> <p><a href="https://www.netskope.com/blog/new-python-nodestealer-goes-beyond-facebook-credentials-now-stealing-all-browser-cookies-and-login-credentials"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客使用Python打造竊資軟體NodeStealer，鎖定北美與南歐盜取企業臉書帳號</span></span></strong></a></p> <p><a href="https://blog.google/outreach-initiatives/education/automatic-update-extension-chromebook/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google承諾將為Chromebook提供長達10年的安全更新</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/158772"><strong>【9月15日】駭客鎖定旅館業者，利用竊資軟體RedLine、Vidar投放勒索軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158747"><strong>【9月14日】中國駭客組織Redfly鎖定亞洲國家的電網下手，散布惡意軟體ShadowPad</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158725"><strong>【9月13日】手機醫療費用支付App醫指付傳出用戶信用卡遭盜刷，但個資外洩原因有待釐清</strong></a></p> </div></div></div>
2023/9/18 17:36作者周峻佑https://www.ithome.com.tw/news/158796
Foodpanda推出零售媒體聯播網服務，利用百萬用戶規模和十萬合作通路優勢進行精準行銷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>外送平臺Foodpanda宣布將在臺推出Panda ads零售媒體聯播網服務，讓外部廠商在線上線下通路中，對數百萬消費者、10萬外送夥伴及10萬合作商家投放精準行銷廣告。</p> <p>臺灣常見RMN模式，通常只在自家通路，投放數位廣告給自家消費者。Foodpanda零售媒體聯播網（RMN）則將外送App、合作商家、外送商品袋、社群媒體、電子報、自家倉庫，甚至外送機車車廂都作為行銷通路，有多種線上線下實體和數位廣告形式，還將消費者、外送員及合作商家都作為行銷對象。</p> <p>這個RMN模式設計背後，技術關鍵是Foodpanda靈活運用消費者、外送員和合作商家數據，來設計出不同形式的行銷方法，並優化部分行銷模式精準度。對比一般零售業來說，有如利用消費者、物流夥伴（外送員）和供應商（商家）數據，來驅動對這三方的行銷。</p> <p>Foodpanda用來驅動廣告投放的數據包括消費者手機號碼、Email、位置、性別、餐廳和食物偏好、生鮮百貨商品需求、支付方式、信用卡銀行、裝置作業系統、裝置型號、電信業者、客單價、取餐習慣、使用時段等，外送員商品偏好、常出沒地區和時段，以及商家分類等。</p> <p>有了這些數據，加上行銷通路種類多元且規模龐大，使Panda ads不只支援常見App數位廣告形式，還能根據這些行銷通路特性推出不同通路的實體廣告形式。例如，廣告主可以在高人流合作商家店面或Foodpanda倉庫放樣品給外送員試用，或是將行銷商品跟適當商家菜單品項搭配來促銷。</p> <p>這些數據也能用來提升行銷精準度。Foodpanda不只將常見精準行銷方法用於數位廣告，還利用數據來提升部分線下行銷功能的精準度。其中一個是，可以根據商家屬性和消費者分眾，來決定在哪些外送訂單中派送廣告主樣品給消費者。另一個例子是，刊登外送員車廂廣告時，可以從分析個別外送員常出沒地段跟時段，來媒合符合廣告行銷條件的外送員。</p> <p>不過，實體廣告精準行銷的操作難度較數位廣告高、精準度通常也較低，因此實際成效如何有待檢驗。另外，Foodpanda目前沒有揭露任何廣告形式的行銷成果追蹤方法，或廣告主如何根據行銷數據來動態調整策略。</p> <p>Foodpanda還開放全球最大獨立DSP The Trade Desk用去識別化技術匹配平臺消費者資料。廣告主除了透過RMN，還可以透過TTD鎖定Foodpanda的消費者投放廣告，並即時追蹤廣告活動成效。</p> </div></div></div>
2023/9/18 15:25作者郭又華https://www.ithome.com.tw/news/158773
Windows宣布將漸次淘汰第三方印表機驅動程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://learn.microsoft.com/en-us/windows-hardware/drivers/print/end-of-servicing-plan-for-third-party-printer-drivers-on-windows" target="_blank">微軟於9月上旬宣布</a>，Windows作業系統即將漸次淘汰第三方的印表機驅動程式，未來的Windows將獨鍾Microsoft IPP Class Driver，以朝向一個更安全與現代化的列印系統。</p> <p>這是一個重大的改變，因此時程也拖得比較久，根據微軟的規畫，2025年時將不再允許新的印表機驅動程式出版至Windows Update，但既有的驅動程式仍可持續藉由Windows Update更新；到了2026年，印表機驅動程式的排序將永遠以Microsoft IPP Class Driver為優先；而至2027年，Windows Update將不再提供任何第三方的印表機驅動程式更新，僅允許安全更新。</p> <p class="rtecenter"><a href="https://learn.microsoft.com/en-us/windows-hardware/drivers/print/end-of-servicing-plan-for-third-party-printer-drivers-on-windows#timeline" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0918-Print%20Support%20Apps%20(PSA)-starting%20in%20Windows%2011%2022H2-600-1.png" style="width: 600px;" /></a></p> <p>其實自2021年11月16日釋出的Windows 10 21H2以來，Windows便藉由Microsoft IPP Class Driver以網路或USB介面來連接相容於Mopria（印表機及掃描器標準）的印表機裝置，這使得裝置製造商不必再提供自己的驅動程式、安裝套件或是工具程式。</p> <p>至於印表機的客製化功能或體驗，未來則得靠印表機的OEM或IHV業者自行開發印表機支援程式（Print Support App，PSA），再透過Windows Store提供給使用者。</p> <p>微軟表示，此一新的政策是將客製化從Win32框架遷移到通用Windows（Universal Windows Platform，UWP）軟體開發框架，最終各個印表機裝置製造商再也不用重建軟體，因為未來所有的Windows版本都將直接支援此一解決方案。</p> <p>看起來微軟的目的是要以Microsoft IPP Class Driver來取代所有的印表機驅動程式，不再允許除了安全更新之外的第三方印表機驅動程式透過Windows Update發布。</p> <p><a href="https://twitter.com/spoofyroot/status/1699557674084704566" target="_blank">微軟安全研究與工程負責人Johnathan Norman指出</a>，這只是微軟朝向更安全與現代化列印系統的第一步，之後還會揭露更多的細節。</p> </div></div></div>
2023/9/18 15:44作者陳曉莉https://www.ithome.com.tw/news/158794
健保署推4大數位醫療方針，鼓勵基層院所升級雲端系統、電子處方箋系統將試辦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>健保署署長石崇良9月15日提出4大數位醫療方針，包括確保民眾長期健康狀態的大家醫計畫、遠距醫療整合在宅醫療、優化健保雲端系統，以及完善健保資料庫和數位基礎設施等資料生態系方法，來解決健保財務入不敷出、人口老化、高齡醫藥費遞增和癌症醫療成本快速增加等4大挑戰。石崇良預告，電子處方箋平臺即將建置完成，接下來將與幾家醫院試辦，預計明年逐步擴大。健保署也將建置基層院所健保雲端HIS，醫資廠商可將自家雲端服務上架到健保雲，來讓基層院所使用，健保署盼鼓勵基層院所升級雲端系統。</p> <p><span style="font-size:24px;"><strong>健保不得不面臨的4大挑戰</strong></span></p> <p>健保制度自1995年在臺實行以來，改善了民眾就醫品質，但也面臨不少挑戰。</p> <p>石崇良指出，健保的第一個挑戰是財務入不敷出，因為自1995年至2022年，健保保險收入的平均成長率為4.51%，支出卻是4.77%，「支出不斷上升！」而且，臺灣人口快速老化，不只將在2025年進入超高齡社會，國發會專家還預測，臺灣2039年的老年人口與總人口占比將超過30%，到2043年則會達到43.6%。石崇良點出，今年65歲以上人口為412萬，2050年預計增加至766萬人，然而15至64歲青壯年人口將不斷減少，從去年的1,636萬人，減為預測的2070年776萬人，顯示可照護的人力將越來越少。這是健保面臨的第2個挑戰。</p> <p>也因為高齡人口不斷增加，成為近10年來健保醫療費用成長的主因，其中65歲以上且有重大傷病、65歲以上但非重大傷病的健保點數支出成長率，就分別占了13.4%和26.8%，共超過40%。石崇良也對比，2017年65歲以上健保對象約占13.8%，醫療費用約占37.26%，但2021年則來到16.9%和41.38%。這是健保面臨的第3個挑戰。</p> <p>再來，癌症醫療和癌症藥物支出也成健保挑戰，因為費用快速成長，如去年癌症患者達83萬人，癌症醫療花費達1,334億點。而2017年至2022年的癌症藥物費用平均成長率還達10.2%，高於健保總額成長率。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8C%91%E6%88%B04.jpeg" /></p> <p><span style="font-size:24px;"><strong>方針1：大家醫計畫</strong></span></p> <p>面對這些困境，健保署也提出改革和數位轉型應對方法，其一是大家醫計畫。石崇良指出，這個計畫是要預防保健、延長民眾的健康狀態；有別於現有作法，將健保資源集中在癌症、心血管疾病、腦血管疾病、腎衰竭和失智症等病症的治療，大家醫計畫要往前一步，鎖定早期預防，來避免或延緩疾病發生。</p> <p>他表示，大家醫計畫以既有的家醫計畫為基礎，來擴充發展，將原有的慢性腎病（SKD）計畫、糖尿病（DM）計畫和代謝症候群計畫等計畫資訊整合，先進行數據「歸人」，也就是讓醫師一眼就知道，一位患者身患哪些疾病。之後，再將這些資訊進一步歸戶，讓醫師了解該病人的家人健康狀況，以便更好的治療。</p> <p>實際作法包括建置家醫大平臺、擴大健康存摺SDK資料加值應用，來確保民眾健康。其中，家醫大平臺是一套個人化初級照護資訊的整合平臺，整合各項健康資料，來主動提供健康風險預測和示警等功能，來讓民眾及早介入、自我照顧，預防或延緩疾病發生。</p> <p>而家醫大平臺要整合的各類數據，包括醫療記錄（含檢驗檢查、醫療影像、計畫收案等記錄）、穿戴裝置數據，以及來自健保署和衛福部相關司署的資料，來整合分析。另一方面，在民眾同意下，也要整合健康存摺資料，以及以健康存摺SDK發展的第三方健康App資料，來共同分析，針對目標族群（含癌篩、慢性腎病、糖尿病和代謝症候群高風險民眾），進行檢驗值分析、異常管理、風險預測、日常追蹤等，像是未篩檢提醒、疫苗注射提醒等。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AE%B6%E9%86%AB%E5%A4%A7%E5%B9%B3%E8%87%BA.jpeg" /></p> <p><span style="font-size:24px;"><strong>方針2：整合遠距醫療和在宅醫療</strong></span></p> <p>石崇良提出的另一個因應方法是整合遠距醫療與居家醫療。健保署自2020年開始，將遠距醫療納入健保給付，主要針對偏遠地區的五官科遠距會診，但「現在要擴大到居家照護，包括長照機構住民、居家醫療整合照護計畫、在家住院醫療照護計畫，以及居家透析患者，」石崇良說。</p> <p>而且，這個擴大不只是居家適用對象更多了，還有將原本醫師對醫師（B2B）的遠距會診模式，擴大為醫師對醫師人員（如護理師）、醫師對病人。這些擴大是通訊診察治療辦法修正案涵蓋的內容。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%81%A0%E8%B7%9D%E9%86%AB%E7%99%82.jpeg" /></p> <p>至於在宅醫療，則是指居住於自家或長照機構，可延續日常生活的民眾，透過家屬、長照團隊、在宅醫療團隊等支援角色的分散式照護，來達到生活品質的回復或提升。健保署自2021年以來，就陸續推動相關計畫，如輔導建置在宅長照支援診所（急重症）試辦計畫、遠距科技應用急重症暨安寧病患在宅住院創新模式計畫，將遠距醫療逐步融入在宅醫療。</p> <p>現在，健保署要進一步延伸，推動「在宅急症照護模式」，針對3類對象，也就是居家醫療急症患者、急診一般民眾和長照機構住民，提供醫師、護理師和醫事人員的訪視服務，並導入遠端監測和視訊診療輔助，來提供替代病人住院的選擇，減少往返醫院的成本和住院期間交叉感染的風險。這個在宅急症照護可分為3種，一是長照機構住民，或是居家照護的收案對象，可在家接受照護，若評估需要住院才住院（下圖模式A），再來是因失能送醫院急診，評估後可返家照護、治療（模式B），最後一種則是情況穩定，得以出院、回家休養和接受照護（模式C）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_4704.jpeg" /></p> <p>石崇良也透露，全國性電子處方箋平臺將在下半年完成建置，並於幾家醫院展開試辦，預計明年擴大使用。這個電子處方箋平臺的運作方式是，由醫院、診所等醫療機構透過醫事人員憑證（HCA）簽章開立，產生QR Code，民眾可透過健保快易通App持有這個QR Code和處方箋明細，到藥局領藥時，秀出QR Code讓藥局讀取處方明細，並確認就醫識別碼，來避免重複調劑。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%9B%BB%E5%AD%90%E8%99%95%E6%96%B9%E7%AE%8B2.jpeg" /></p> <p><span style="font-size:24px;"><strong>方針3：優化健保雲端系統</strong></span></p> <p>再來，健保署也提出健保雲端系統優化，來因應眼前的4大挑戰。這個優化措施有3大重點，一是優化健保查詢雲端系統3.0架構和功能，來提高醫療品質和病人安全，再來是擴大納入真實世界資料（RWD）和導入醫療科技評估機制（HTA），最後是藥品核價數位化和事前審查智能輔助。</p> <p>就系統優化來說，健保署要擴大健保查詢雲端系統，納入醫療支援模型、整合更多雲端憑證認證機制，並在健保特約院所進行小規模測試，之後將搭配教育訓練正式上線。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/3_0.jpeg" /></p> <p>另外，為確保病人跨院就醫資料安全，健保署也要求醫院落實資安管控，並建議醫療院所將批次下載作業納入ISO認證。</p> <p>另一方面，健保署還要建置RWD收載系統，範圍涵蓋高價醫療服務RWD、智能新特材、特定醫療服務術（後）資料等類別，以便評估新醫材等應用成效。同時，他們也要建立事前審查預檢機制和成效監測平臺，來加速醫院申請、審查、核定後監測的過程，其中，健保署還將納入AI來審查醫院資料，提高自動化程度。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AF%A9%E6%9F%A5.jpeg" /></p> <p><span style="font-size:24px;"><strong>方針4：建置資料生態系</strong></span></p> <p>石崇良提出的第4個方法建立資料生態系，包括完善健保資料庫機制和建置數位化基礎建設。就健保資料庫機制來說，健保署要完善資料治理機制，比如依去年憲法法庭釋憲結果，將新添民眾退出權，另一方面要建立包含基因檢測結果的健保生物資料庫，並擴大學研產業的應用，來形成永續生態系統。</p> <p>不只針對健保資料庫，健保署要建立的資料生態系，還包含數位基礎建設。這個目標可分為2大工作，一是強化健保的數位基礎建設，提高資安韌性和效能，比如建置符合國際資安標準的機房、建立強化資安防護的混合雲架構，以及積極擁抱國際資安和醫療資訊管理學會（HIMSS）制度。</p> <p>另一個工作則是推動基層院所健保雲端HIS，且要導入國際醫療資料交換標準FHIR。石崇良解釋，這是要配合次世代醫療資訊數位基礎建設，來建置「健保雲」，鼓勵基層院所升級使用雲端系統。這麼做，是要解決目前診所的IT成本、資訊無法即時分享等問題，由健保署建置健保雲平臺，來讓廠商上架自家的雲服務，基層院所則能選擇合適的系統來使用。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%9B%B2%E5%B9%B3%E8%87%BA.jpeg" /></p> <p>最後，石崇良也點出，原本預計要在明年全面改用2023年版本的ICD-10國際疾病分類碼，將延後到2025年轉版。</p> <hr /> <p> </p> </div></div></div>
2023/9/18 00:43作者王若樸https://www.ithome.com.tw/news/158776
【資安週報】2023年9月11日到9月15日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一週漏洞利用消息中，有多個零時差漏洞修補要優先重視，分別是：（一）微軟本月安全性例行性更新修補兩個零時差漏洞，包括已被公開且遭成功利用的Word的漏洞CVE-2023-36761，以及已遭成功利用的串流服務相關的漏洞CVE-2023-36802；（二）Google、Mozilla先後修補Chrome、Firefox/Thunderbird漏洞CVE-2023-4863，Google指出此零時差漏洞已被外部人士利用，且所有支援WebP圖像處理的瀏覽器都受影響；（三）Adobe修補的Acrobat與Reader漏洞CVE-2023-26369，修補釋出前同樣已被用於攻擊行動；（四）思科在11日針對多功能網路資安設備ASA、FTD存在零時差漏洞CVE-2023-20269先提供緩解，指出漏洞起因是AAA協定與其他軟體功能缺乏適當區隔，已遭勒索軟體駭客用於攻擊。用戶需注意後續更新修補的釋出。</p> <p>其他重要漏洞修補動向，還包括：SAP、西門子、施耐德電機等業者發布9月份例行更新。</p> <p>在網路威脅焦點上，國內有2起事件引起最多國人關注：首先，彰化肉品市場與台中大安肉品市場發生拍賣系統遭軟體攻擊，由於系統無法運作使得豬隻拍賣暫停、延遲；其次，大洸醫療機構管理顧問提供的醫指付在這一兩個月內，持續傳出用戶綁訂的信用卡遭海外盜刷情形，近日金管會已請財金公司督促與釐清事件，甚至去年6月就有資安研究人員在HITCON Zeroday通報醫指付App安全漏洞卻未因應的情形也被挖出。</p> <p>在國際間，有5起重大事件成為焦點，其中國際連鎖賭場接連遭駭格外引發關注：<br /> ●MGM米高梅國際酒店集團在9月11日說明遭遇網路攻擊，不僅訂房或查詢只能採傳統電話方式進行，甚至有報導指出吃角子老虎停擺，房卡無法使用。到了14日ALPHV（BlackCat）勒索軟體集團聲稱這起事件是他們所為。<br /> ●連鎖賭場凱撒娛樂（Caesars Entertainment）在9月7日向美國證交所提交8-K文件說明發生資料外洩事件，指出該事件源於公司使用的IT承包商遭社交工程攻擊而導致。另有當地媒體報導指出Caesars遭勒索已支付上千萬美元贖金。<br /> ●微軟威脅分析中心發布東亞數位威脅報告，指出中國對南海國家和臺灣發動廣泛的網路攻擊與認知作戰，並強調中國在認知作戰中正大量使用AI生成更好品質的內容，影響力有擴大跡象。<br /> ●半年前資安週報提及駭客組織鎖定Zoho的漏洞CVE-2022-47966與Fortinet的漏洞CVE-2022-42475，近日美國CISA、FBI與CNMF再發安全通告，說明年初美國航太機構受害，同時揭露攻擊細節、IoC，以及緩解防範的建議。<br /> ●中國駭客組織Redfly鎖定亞洲國家的電網設施攻擊被揭露，攻擊者發動網路間諜攻擊並植入惡意程式ShadowPad。</p> <p>在其他重要威脅態勢上，我們注意到有多起資料外洩事件與供應鏈攻擊有關，也發現近日持續有Mac電腦接連遭鎖定的消息。前者包括：嬌生醫療照護系統因IBM代管的應用系統遭到攻擊，英國曼徹斯特警局因外部供應商遭勒索軟體攻擊，還有軟體臭蟲追蹤公司Rollbar遭駭的消息；後者包含惡意軟體MetaStealer、竊資軟體Atomic Stealer被揭露近期均針對Mac電腦而來。</p> <p>還有一些趨勢值得留意，像是有研究人員指出近期DDoS攻擊，針對金融業攻擊的比例呈現越來越高的趨勢；還有研究人員針對Wi-Fi技術的波束形成回應資訊（BFI）揭露新型態攻擊手法WiKI-Eve。</p> <p>在最新防禦發展焦點上，我們注意到MITRE在9月5日宣布，將開源攻擊模擬工具Caldera延伸到OT環境，新推出MITRE Caldera for OT。另外，我們在此補充本週資安日報未提及的另一防護焦點，9月7日微軟<a href="https://www.microsoft.com/en-us/security/blog/2023/09/07/cloud-storage-security-whats-new-in-the-threat-matrix/">發布儲存服務威脅矩陣（Threat matrix for storage services）第二版</a>，將有助於識別和分析雲儲存服務中資料潛在安全威脅。我們最後還想特別一題的是，關於PQC演算法升級，本土廠商網擎資訊在9月11日表示有具體行動，已開發部署相關防護。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/158685"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月11日】駭客假借提供盜版3D建模與圖片處理軟體，鎖定GPU運算能力較佳的電腦發動挖軟體攻擊</span></strong></a></h3> <p>不少從事挖礦攻擊的駭客組織，近期將矛頭朝向組織的雲端環境，但端點電腦的用戶也不能掉以輕心。例如，有駭客聲稱提供盜版的Adobe Illustrator、Autodesk 3ds Max、SketchUp Pro等圖像處理軟體或3D建模工具，藉此於受害電腦部署後門程式及挖礦軟體，由於這些商業軟體運用於建築業、機械工程、營造業、製造業、娛樂產業，影響的範圍相當廣泛。而且，執行上述商用軟體都需要高度的圖形運算資源，這也代表駭客在目標電腦執行挖礦軟體可能更加有利可圖。</p> <h3><a href="https://www.ithome.com.tw/news/158704"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月12日】越南駭客藉由Meta即時通訊軟體散布竊資軟體，意圖挾持企業的臉書帳號</span></strong></a></h3> <p>針對企業經營的臉書帳號而來的攻擊行動，近期可說是越來越頻繁，繼8月底資安業者Zscaler、WithSecure對於利用竊資軟體Ducktail的攻擊行動提出警告，近期又有其他越南駭客也企圖搜括企業的臉書帳號，但有別於Ducktail攻擊行動透過職場社群網站LinkedIn、接案網站Upwork、Freelancer尋找下手目標，這起攻擊行動的駭客利用Meta即時通訊平臺Messenger來散布竊資軟體。研究人員指出，被駭客鎖定的目標中，每70個人就有1人可能上當。</p> <h3><a href="https://www.ithome.com.tw/news/158725"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月13日】手機醫療費用支付App醫指付傳出用戶信用卡遭盜刷，但個資外洩原因有待釐清</span></strong></a></h3> <p>最近幾個月駭客利用瀏覽器來發動攻擊的情況不斷上演，其中最常見的手法，是利用惡意擴充套件來上下其手，但最近有駭客是直接濫用瀏覽器的內建工具來從事攻擊行動。</p> <p>例如，資安業者Morphisec針對今年年初出現的惡意程式Chaes新版Chae$ 4進行分析，結果發現，駭客盜取資料的管道，竟是直接利用Chrome的內建開發工具（DevTools），並透過其通訊協定來傳輸竊得資料。</p> <h3><a href="https://www.ithome.com.tw/news/158747"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月14日】中國駭客組織Redfly鎖定亞洲國家的電網下手，散布惡意軟體ShadowPad</span></strong></a></h3> <p>全球政治局勢動盪，中國駭客組織頻頻出手的情況相當頻繁，過往這些駭客大多收集政府或企業的情資，但如今連國家的能源設施運作狀態也成為目標。</p> <p>資安業者賽門鐵克揭露中國駭客組織Redfly的攻擊行動，他們針對亞洲的國家級電網（power grid）下手，但攻擊的目的為何？研究人員推測，駭客並未動手進行破壞，有可能是在收集電網的使用狀態。</p> <h3><a href="https://www.ithome.com.tw/news/158772"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月15日】駭客鎖定旅館業者，利用竊資軟體RedLine、Vidar投放勒索軟體</span></strong></a></h3> <p>這幾天，與勒索軟體攻擊有關的資安事故占據了不少新聞版面，其中又以美國大型賭場及旅館業者美高梅（MGM Resorts International）遭攻擊的事件受到最多關注，該公司週一（11日）發布公告，這幾天又有新的進展，資安研究機構與廠商表示，攻擊者可能是勒索軟體BlackCat旗下的駭客組織Scattered Spider，而該組織亦傳出對另一家賭場暨旅館業者凱撒娛樂（Caesars Entertainment）下手。</p> <p>巧合的是，有研究人員揭露利用竊資軟體（Infostealer）對於旅館業者進行的勒索軟體攻擊行動，究竟是否與上述事件有關？有待進一步觀察。</p> </div></div></div>
2023/9/18 09:24作者羅正漢https://www.ithome.com.tw/news/158777
安全專家指Google Authenticator MFA驗證碼雲端同步削弱安全性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全廠商指出，Google幾個月前將多因素驗證（Multi-Factor Authentication，MFA）的驗證碼同步到Google帳號的設計，雖然看似方便，卻也削弱此類進階安全機制的保護性，使MFA變成了單因素驗證。</p> <p><a href="https://retool.com/blog/mfa-isnt-mfa/" target="_blank">安全廠商Retool上周公布</a>自家發生和Google Authenticator有關的安全事件，告知對客戶的影響。公司員工遭到冒充IT部門的精準網釣攻擊，信中內容聲稱薪資系統無法和剛導入的雲端身分驗證服務Okta同步，要求員工到信中所附連結，至驗證入口網站完成驗證。</p> <p>可想而知，該入口網站是釣魚網站。一名員工上鈎連進了該假網站，網站內有個MFA驗證，並接到使用Deepfake語音合成，冒充IT人員聲音的歹徒電話，要求員工提供其Okta MFA一次性（OTP）驗證碼。在這個動作中，攻擊者取得了員工的Okta帳號、密碼及MFA OTP令牌。</p> <p>拿到OTP驗證碼的攻擊者接著使用OTP令牌將自己的裝置加入員工的Okta帳號，使其得以產生攻擊者自己的Okta MFA令牌，這讓他們又能從自己的裝置建立Google GSuite的連線，這等於讓攻擊者取得Retool公司的大門鑰匙。</p> <p>今年4月，<a href="https://www.ithome.com.tw/news/156549" target="_blank">Google宣布</a>Google Authenticator MFA一次性驗證碼的雲端同步新功能，允許使用者將該程式所產生的一次性密碼備份到Google帳號中，以免手機遭竊或遺失，導致無法再登入啟用MFA或2SV（two-step verification）的網站或服務。Retool研究人員解釋，一如<a href="https://news.ycombinator.com/item?id=35690398&ref=retool.com" target="_blank">Hacker News</a>指出，只要Google帳號被駭，就能存取所有儲存的MFA OTP令牌。</p> <p>以該公司而言，幾乎所有帳號，包括Google和Okta、VPN及內部系統都是使用MFA。因此這次網釣攻擊事件讓駭客透過Google帳號取得所有內部系統的登入憑證。所幸該公司立即撤銷了所有內部系統已驗證的員工連線，封鎖受影響帳號、通知客戶，共有27個帳號被接管，但皆獲得恢復。</p> <p>雖然Retool公司安全事件未造成影響，但該公司指出，Google使用「奧步」讓用戶把MFA OTP碼都儲存到雲上。如果用戶直接從Google Play Store下載Google Authenticator App，循指示安裝，則MFA OTP碼都會預設存到Google帳號。相反地，若想關閉預設儲存，很難找到簡單關閉同步到雲端的方法，只有「切斷Google 帳號連線/unlink Google account」的選項。而且，企業Google管理員帳號下，也沒有統一關閉Google Authenticator同步功能的選項。這家業者也已經把需求傳達給了Google。</p> </div></div></div>
2023/9/18 11:23作者林妍溱https://www.ithome.com.tw/news/158780
甲骨文與微軟結盟，推出Oracle Database@Azure
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.microsoft.com/2023/09/14/microsoft-and-oracle-expand-partnership-to-deliver-oracle-database-services-on-oracle-cloud-infrastructure-in-microsoft-azure/" target="_blank">微軟與甲骨文上周四（9/14）共同發表了Oracle Database@Azure</a>，這是兩大雲端競爭業者的策略聯盟，讓客戶得以直接存取部署於Microsoft Azure資料中心的甲骨文雲端基礎設施（Oracle Cloud Infrastructure，OCI）上的甲骨文資料庫服務。</p> <p>Oracle <a href="mailto:Database@Azure">Database@Azure</a>一方面具備Oracle Database on OCI的所有性能、規模及工作負載可用性等優勢，另一方面也可利用Microsoft Azure的安全、彈性及多元化服務等特性，此外，雙方強調此一整合環境也將簡化客戶於Oracle Database及Azure之間的雲端採購及管理。</p> <p>特別與會的甲骨文共同創辦人暨技術長Larry Ellison說明，此一合作是實際把甲骨文於Oracle Cloud上所使用的所有Oracle Database硬體，以及所有資料庫軟體移進Azure的各個資料中心裡，因此，當客戶透過微軟技術連結甲骨文技術時，得到的是最好的效能、可靠性與安全性。</p> <p>Ellison指出，大型企業客戶對此非常地興奮，特別是兩家經常被視為競爭對手的企業為了客戶的利益攜手合作，把雙方的技術共同置放在Azure資料中心，讓客戶更方便地執行任務，例如得以很有效率地把大量存放於甲骨文資料庫中的資料用來訓練一個AI模型，讓資料與模型離得非常近。</p> <p>Oracle <a href="mailto:Database@Azure">Database@Azure</a>可望消弭客戶採用多雲架構時的最大挑戰，像是脫節的管理、孤立的工具，或者是複雜的採購程序。</p> <p>客戶可於Azure中部署Oracle Exadata Database、Oracle Autonomous Database，及 Oracle Real Application Clusters等資料庫服務，甲骨文與微軟將發展一個共同支援模式，以儘快替客戶的關鍵任務提供解決方案。此外，客戶也可基於既有的Azure合約，透過Azure Marketplace來購買Oracle <a href="mailto:Database@Azure">Database@Azure</a>，也能使用既有的Oracle Database授權。</p> <p>甲骨文與微軟不管是在軟體或雲端領域上皆為競爭對手，<a href="https://www.srgresearch.com/articles/quarterly-cloud-market-once-again-grows-by-10-billion-from-2022-meanwhile-little-change-at-the-top" target="_blank">依據Synergy Research Group今年第二季的調查</a>，目前Amazon與微軟為全球領先的雲端供應商，市占率分別為33%及23%，而Google（11%）、阿里巴巴（4%）及IBM（3%）也在前五名，至於甲骨文與VMware等業者並不在前兩級的供應商名單中。</p> <p>這並不是這兩大業者的首次合作，<a href="https://www.ithome.com.tw/news/131123" target="_blank">2019年時甲骨文與微軟即曾策略聯盟</a>，讓雙方的雲端互通。</p> </div></div></div>
2023/9/18 11:55作者陳曉莉https://www.ithome.com.tw/news/158781
研究人員以10萬美元開發出千億參數的大型語言模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大型語言AI模型開發被認為是一個燒錢任務，但一個中國研究團隊近日成功開發出超過千億參數的大型語言模型（large language model，LLM），而且只花了10萬美元。</p> <p>一個由北京智源人工智能研究院、中國科學院、中國電子科技大學、新加坡南洋理工大學研究人員組成的研究團隊<a href="https://arxiv.org/pdf/2309.03852.pdf" target="_blank">近日發表其研究成果</a>，展示了一個1,010億個參數及0.31TB tokens的語言模型，不但只花了10萬美元，而且效能不亞於知名模型如GPT-3和GLM-130B。且開發一個更能準確評估模型智商（IQ）的方法。</p> <p>研究人員說明，LLM現今大量應用在多種語言處理及多模任務，但是訓練LLM成本高昂，以致於只有少數公司負擔得起。使成本負擔問題雪上加霜的是，現在模型愈來愈大，像Llama-1用了1到1.1TB token資料來訓練，Llama-2則上看2TB。</p> <p>LLM研究另一問題是怎麼評估。主流評估方法分成2類，一是知識導向的評估（knowledge-oriented evaluation），如MMLU及E-Eval標竿測試，二是NLP任務評估。研究人員指出，這些評估方法都不夠好。例如PPL雖有一定效度，但不夠穩定。若如果某些評估資料集之前曾用於訓練，則可能發生資料洩露（data leakage）而導致評估測試失準。研究人員也認為，知識評估不足以量測模型的智商。</p> <p>為解決LLM訓練成本的問題，研究團隊使用成長策略（growth strategy）訓練出一個1010參數的模型。成長意謂參數在模型訓練過程中，參數量不是固定的，而是由小量逐漸增長。研究人員指出，以訓練1000億參數的模型而言，採用積極成長策略的訓練方法可節省超過50%的成本。此外，在模型變大的過程中，小模型的知識會被長大的模型繼承，使大模型功能反而更好。</p> <p>在其研究中，研究團隊以漸進成長策略利用FreeLM為基礎，開發出一個1,010億個參數的雙語（中文、英文）模型，因而取名為FLM-101B。除了發展低成本訓練方法，研究團隊也發展了評估LLM智商（IQ）的新系統性標竿測試法。新方法考量了智慧的4個面向，包括象徵比對（symbolic mapping），意指能將知識泛化到未見過的情境；規則理解（rule understanding）：能了解人類給定的規則而執行回應；樣式探勘（pattern-mining）：推論及歸納的能力；以及抗干擾（anti-interference）、不受噪音影響的能力。</p> <p>研究團隊指稱，使用主流知識導向標竿測試，以及新開發的系統IQ評估標竿測試的結果，FLM-101B效能與功能兼具。</p> <p>最棒的一點是，研究團隊從頭打造這個千億參數的鉅大LLM只花了10萬美元，也是他們已知造價最低的模型。最後，研究團隊也將這個模型的檢查點、程式碼及相關工具全部開源出來，<a href="https://huggingface.co/CofeAI/FLM-101B" target="_blank">公開於Hugging Face平臺上</a>。</p> </div></div></div>
2023/9/18 10:57作者林妍溱https://www.ithome.com.tw/news/158779
開源資料庫PostgreSQL 16出爐，效能與可擴展性大幅強化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>PostgreSQL開發小組正式<a href="https://www.postgresql.org/about/news/postgresql-16-released-2715/">釋出</a>最新的16版本開源資料庫，這個版本在查詢、批次處理和邏輯複製的效能都有明顯改進，同時用戶也能夠定義存取控制規則，讓管理龐大機隊策略更靈活。</p> <p>用戶會明顯感受到資料庫效能提升。PostgreSQL 16查詢規畫器獲得最佳化，能夠平行處理FULL和RIGHT JOIN子句。當查詢中使用帶有DISTINCT或ORDER BY子句的聚合函式時，PostgreSQL將能夠生成更為最佳化的計畫。此外，對SELECT DISTINCT的查詢，這個版本會採用漸增排序，且窗函式的效能也得到提升。同時RIGHT和OUTER在處理反向連接時也有所改善，使用戶更容易查詢到連接表中不存在的資料列。</p> <p>在這個版本中，官方指出，無論是單一或是並行運算中，當用COPY語句進行批次載入時，其效能已經最佳化，可獲得提升達到300%。而PostgreSQL 16也對使用libpq的客戶端，添加負載平衡支援，且對VACUUM操作進行改良，減少完整表格凍結操作。</p> <p>PostgreSQL為了回收不再使用的空間以及維護多版本一致性控制（MVCC），會使用VACUUM操作，該操作可以協助系統回收空間，同時避免因為交易ID溢出而產生的問題。當交易ID即將溢出時，PostgreSQL會進行一次完整表格凍結，將表格中所有資料列標記為永久不會過期，但是完整表格凍結是一項既耗時又資源密集的操作，可能影響資料庫的效能，因此PostgreSQL 16減少完整表格凍結，是一項重要的最佳化。</p> <p>此外，PostgreSQL 16在x86和ARM架構上使用SIMD的CPU加速功能，所以在處理ASCII和JSON字串、陣列和子交易搜尋時效能大幅提升。</p> <p>PostgreSQL 16另一項重要更新是針對邏輯複製功能，這種複製方式讓用戶將資料，串流到其他支援PostgreSQL邏輯複製協定的PostgreSQL實例或是訂閱者。在最新版本中，用戶能從待命的實例執行邏輯複製，而這代表備用實例可以向其他伺服器發布邏輯變更。這提供開發者更高的靈活性，能夠運用備用實例分攤工作負載，不侷限於繁忙的主要實例。</p> <p>邏輯複製還有多項效能最佳化。現在訂閱者可以使用並行工作程序（Worker）處理大型交易，對於沒有主鍵的表格，訂閱者可以選擇使用B-tree索引查詢資料列，取代傳統的序列掃描。而且在特定情況下，使用者也能夠利用二進位格式迅速完成初始表格同步。</p> <p>開發者現在可以使用更為精細的存取控制和安全性設定，強化對pg_hba.conf和pg_ident.conf配置檔案的管理，例如，可以使用正規表示式來比對用戶和資料庫的名稱，或是引入外部配置檔案的指令。</p> <p>在PostgreSQL 16中，安全客戶端連接擁有更多參數設定，像是require_auth可供客戶端指定想要使用的身分驗證方式，而sslrootcert="system"設定則讓客戶端使用其系統中的受信證書。此版本也支援Kerberos憑證代理，讓部分擴充套件使用這些憑證連接其他受信任的服務。</p> </div></div></div>
2023/9/18 08:32作者李建興https://www.ithome.com.tw/news/158774
【資安日報】9月15日，駭客鎖定旅館業者，利用竊資軟體RedLine、Vidar投放勒索軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾天，與勒索軟體攻擊有關的資安事故占據了不少新聞版面，其中又以美國大型賭場及旅館業者美高梅（MGM Resorts International）遭攻擊的事件受到最多關注，該公司週一（11日）發布公告，這幾天又有新的進展，資安研究機構與廠商表示，攻擊者可能是勒索軟體BlackCat旗下的駭客組織Scattered Spider，而該組織亦傳出對另一家賭場暨旅館業者凱撒娛樂（Caesars Entertainment）下手。</p> <p>巧合的是，有研究人員揭露利用竊資軟體（Infostealer）對於旅館業者進行的勒索軟體攻擊行動，究竟是否與上述事件有關？有待進一步觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/158768"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">館集團MGM Resorts傳出遭到勒索軟體BlackCat旗下組織攻擊，VMware虛擬化平臺被加密而停擺</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/F6A3D-OXMAAIAyu.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/F6A3D-OXMAAIAyu.jpg" style="width: 300px; float: right;" /></a>9月11日<a href="https://www.ithome.com.tw/news/158704#mgm">美高梅國際旅館集團（MGM Resorts International）公告發生網路攻擊事故</a>，旗下旅館與賭場的網站皆停止服務，事隔數日有駭客組織坦承犯行。</p> <p>根據資安新聞網站Bleeping Computer的報導，資安研究團隊VX-Underground於13日指出，發動攻擊的駭客組織是BlackCat（Alphv），對方從職場社群網站的LinkedIn找到一名員工，打電話給服務臺，不到10分鐘就成功入侵該集團。</p> <p>資安業者WithSecure研究長Mikko Hypponen透露，BlackCat承認是旗下所屬的駭客團體犯案，並透露該組織於8日滲透美高梅的網路環境，該集團後來察覺駭客潛伏在Okta Agent伺服器並盜取使用者帳密資料，便關閉所有的Okta同步伺服器，但當時這些駭客已取得Okta系統的超級管理員權限、Azure租戶的全域管理權限。美高梅10日封鎖Okta系統的存取，並切斷基礎設施部分關鍵元件的網路。駭客在該集團尋求資安專家協助後，11日對該集團逾100臺VMware ESXi伺服器展開勒索軟體攻擊。</p> <p>根據路透社、彭博社的報導，發動攻擊的駭客被稱為Scattered Spider（亦稱0ktapus、UNC3944），這些駭客也入侵另一家博奕集團凱撒娛樂（Caesars Entertainment）。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/security/mgm-casinos-esxi-servers-allegedly-encrypted-in-ransomware-attack/">https://www.bleepingcomputer.com/news/security/mgm-casinos-esxi-servers-allegedly-encrypted-in-ransomware-attack/</a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://twitter.com/vxunderground/status/1701758864390050145" rel="noopener noreferrer" style="color: inherit; cursor: pointer; overflow-wrap: break-word; text-decoration: inherit;" tabindex="0"><span class="link-annotation-unknown-block-id-1955185211" style="border-bottom: 0.05em solid rgba(55, 53, 47, 0.4); border-top-color: rgba(55, 53, 47, 0.4); border-right-color: rgba(55, 53, 47, 0.4); border-left-color: rgba(55, 53, 47, 0.4); opacity: 0.7;">https://twitter.com/vxunderground/status/1701758864390050145</span></a><br /> 3. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://twitter.com/mikko/status/1702421207738663281" rel="noopener noreferrer" style="color: inherit; cursor: pointer; overflow-wrap: break-word; text-decoration: inherit;" tabindex="0"><span class="link-annotation-unknown-block-id-1146313629" style="border-bottom: 0.05em solid rgba(55, 53, 47, 0.4); border-top-color: rgba(55, 53, 47, 0.4); border-right-color: rgba(55, 53, 47, 0.4); border-left-color: rgba(55, 53, 47, 0.4); opacity: 0.7;">https://twitter.com/mikko/status/1702421207738663281</span></a><br /> 4. <a href="https://www.reuters.com/technology/moodys-says-breach-mgm-is-credit-negative-disruption-lingers-2023-09-13/">https://www.reuters.com/technology/moodys-says-breach-mgm-is-credit-negative-disruption-lingers-2023-09-13/</a><br /> 5. <a href="https://www.bloomberg.com/news/articles/2023-09-13/mgm-caesars-hacked-by-scattered-spider-in-span-of-few-weeks">https://www.bloomberg.com/news/articles/2023-09-13/mgm-caesars-hacked-by-scattered-spider-in-span-of-few-weeks</a></p> <p><a href="https://www.ithome.com.tw/news/158767"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國賭場業者Caesars證實遭網路攻擊攻擊，熟客資料庫外洩</span></strong></a></p> <p>繼美高梅國際酒店集團遭到駭客入侵，前身為Eldorado Resorts的美國連鎖賭場凱撒娛樂（Caesars Entertainment）亦傳出資安事故。9月7日凱撒娛樂向美國證券交易所（SEC）提交了8-K表單通報資安事故，表示他們近期察覺IT網路環境出現可疑活動，經調查是IT支援服務業者遭遇社交工程攻擊，駭客存取了會員忠誠計畫的資料庫，內含會員的駕照號碼與社會安全碼等個資，但根據目前的調查結果，尚未出現會員帳密資料或金融資訊被盜的證據。</p> <p>雖然凱撒娛樂並未透露他們遭到攻擊的類型，但根據當地媒體的報導，該賭場很有可能遭遇勒索軟體攻擊。該集團透過討價還價方式協商，最終支付一半的金額；彭博社指出凱撒娛樂支付超過1千萬美元的贖金，攻擊者的身分為Scattered Spider。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.sec.gov/ix?doc=/Archives/edgar/data/0001590895/000119312523235015/d537840d8k.htm" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-108025944" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.sec.gov/ix?doc=/Archives/edgar/data/0001590895/000119312523235015/d537840d8k.htm</span></a><br /> 2. <a href="https://www.wsj.com/business/hospitality/caesars-paid-ransom-after-suffering-cyberattack-7792c7f0">https://www.wsj.com/business/hospitality/caesars-paid-ransom-after-suffering-cyberattack-7792c7f0</a><br /> 3. <a href="https://www.bloomberg.com/news/articles/2023-09-13/caesars-entertainment-paid-millions-in-ransom-in-recent-attack">https://www.bloomberg.com/news/articles/2023-09-13/caesars-entertainment-paid-millions-in-ransom-in-recent-attack</a></p> <p><a href="https://www.gmp.police.uk/news/greater-manchester/news/news/2023/september/greater-manchester-police-statement-on-data-breach/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">英國曼徹斯特警局資料外洩，起因是外部供應商遭勒索軟體攻擊</span></strong></a></p> <p>9月14日英國大曼徹斯特警局（GMP）發布公告，指出他們的第三方供應商遭到勒索軟體攻擊，該供應商握有GMP的員工部分資料而可能遭到外洩。GMP認為，上述資料不包括財務資訊，但沒有透露那些類型的資料可能被洩露，也並未透露受影響的人數。</p> <p>而這並非該國警方近期發生的資料外洩事故，北愛爾蘭警局（PSNI）、倫敦警察廳先後於8月8日與26日，表明因外部供應商遭到網路攻擊而資料外洩。</p> <p><a href="https://www.securityweek.com/airbus-launches-investigation-after-hacker-leaks-data/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">空中巴士著手調查資料外洩事故</span></strong></a></p> <p>網路威脅情報業者<a href="https://www.hudsonrock.com/blog/an-avoidable-breach-fbi-hacker-leaks-sensitive-airbus-data">Hudson Rock於9月12日指出</a>，駭客組織USDoD在網路犯罪論壇聲稱竊得空中巴士（Airbus）的內部資料，包含3,200名供應商相關人員的資料，包括姓名、職稱、地址、電子郵件信箱、電話號碼。這些駭客竊取資料的管道，是透過土耳其航空員工的帳號來存取空中巴士系統。研究人員指出，這名員工遭遇網路釣魚攻擊，駭客引誘下載.NET Framework惡意版本，然後在電腦上植入竊資軟體RedLine而得逞。</p> <p>對此，空中巴士證實正在著手調查一起網路攻擊事故，與該公司客戶相關的帳號遭到攻擊，並被用於從空中巴士入口網站下載與業務相關的檔案。</p> <p><a href="https://www.trendmicro.com/en_us/research/23/i/redline-vidar-first-abuses-ev-certificates.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊資軟體RedLine、Vidar濫用EV憑證，以此對旅館業者發動勒索軟體攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fig4-redline-vidar-abuses-ev-cert-shifts-to-ransomware.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig4-redline-vidar-abuses-ev-cert-shifts-to-ransomware.jpg" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露竊資軟體RedLine、Vidar的新一波攻擊行動，今年初駭客將目標轉向旅館業，利用住宿與健康資訊為幌子，向使用者寄出釣魚郵件，這些郵件的附件檔案通常是可執行檔（EXE），但駭客設置雙重副檔名，讓大部分收信人誤以為開啟的資料是PDF文件或JPG圖檔。一旦收信人執行附件檔案，攻擊者便會利用捷徑檔案（LNK）執行惡意命令，從而繞過防毒軟體的偵測，並從雲端檔案共享服務Google Drive下載惡意酬載。</p> <p>在其中一起攻擊行動裡，受害者收到假冒旅遊評論網站TripAdvisor的投訴郵件，並在開啟副檔名為.pdf.htm的附件檔案，最終電腦被勒索軟體加密檔案。特別的是，駭客為了迴避偵測，過程裡部署的竊資軟體含有擴充驗證憑證（EV）的簽章。</p> <p>研究人員指出，由於這類憑證取得難度較一般的程式碼憑證來得高，必須透過實體組織申請，且要搭配硬體Token才能產生對應的私鑰，但究竟駭客如何取得這類憑證？研究人員推測，攻擊者已掌握能存取連線硬體Token的主機。</p> <p><a href="https://www.thenewslens.com/article/191786"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">醫療院所數位支付工具醫指付傳出去年就發現身分驗證缺失，但遲遲未得到處理</span></strong></a></p> <p>本週醫療院所數位支付工具醫指付傳出盜刷事故，但現在有人指控，該支付平臺的身分驗證機制過於鬆散，很有可能就是這起事故的導火線。</p> <p>根據關鍵評論網的報導，有名從事網站設計的使用者向他們投訴，<a href="https://zeroday.hitcon.org/vulnerability/ZD-2022-00281">去年6月台灣駭客協會（HITCON）漏洞通報平臺ZeroDay揭露醫指付的身分驗證機制極為薄弱</a>，使用者帳號綁定手機，僅提供用戶設定4位數字的密碼，且沒有其他防護措施，或是異地登入的警告機制，使得攻擊者可在用戶不知情的狀況下進行暴力破解，存取用戶及其親友資料，以及信用卡資訊，4月底通報大洸醫院管理顧問公司沒有得到回應，而在6月揭露此事。</p> <p>對此，大洸醫院管理顧問公司表示，他們在最近兩個月才獲報盜刷情事，並承諾2星期內找出漏洞向社會大眾說明。再者，則是醫指付今年底App將會改版，改採6位密碼，並加上登入成功、失敗的通知。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.akamai.com/blog/security-research/kubernetes-critical-vulnerability-command-injection"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Kubernetes漏洞有可能被用於攻擊叢集裡的Windows端點</span></strong></a></p> <p>資安業者Akamai揭露容器與微服務管理系統Kubernetes出現的高風險漏洞，包括CVE-2023-3676、CVE-2023-3955、CVE-2023-3893，這些漏洞與不安全的功能呼叫、缺乏使用者輸入的清理有關，攻擊者若要觸發上述漏洞，可在Kubernetes環境套用惡意的YAML檔案，從而在所有Windows端點以SYSTEM的權限遠端執行任意程式碼（RCE），CVSS風險評分為8.8。</p> <p>研究人員於7月13日進行通報，Kubernetes開發團隊於8月23日提供修補程式。此外，AWS、Google Cloud、微軟Azure均發布資安通告，指出這些漏洞存在於特定版本的kubelet元件。</p> <p><a href="https://orca.security/resources/blog/cross-site-scripting-vulnerabilities-in-apache-services-azure-hd-insight"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">開放原始碼分析服務Azure HDInsight Analytics存在XSS漏洞</span></strong></a></p> <p>資安業者Ocra Security公布他們向微軟通報的開放原始碼分析服務Azure HDInsight Analytics漏洞細節，這些皆為跨網站指令碼（XSS）漏洞，有6個為儲存型（Stored）XSS、2個為反射型（Reflected）XSS，一旦遭到利用，攻擊者就有可能用來執行未經授權的行為，例如存取資料、挾持連線階段、傳遞惡意酬載。</p> <p>究竟研究人員發現這些漏洞？起因是他們注意到該系統的Apache Ambari後臺元件存在多個參數，且在預設的情況下能隨意修改，使得研究人員在找出其中一個儲存型XSS漏洞後，很快地於數天裡挖掘其他7個漏洞。微軟接獲通報後，於8月份的例行更新（Patch Tuesday）提供修補程式。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://at.govt.nz/bus-train-ferry/service-announcements/at-hop-technical-outage"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">紐西蘭奧克蘭交通局傳出遭到勒索軟體攻擊，導致付款系統失效</span></span></strong></a></p> <p><a href="https://aka.ms/peach-sandstorm"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">伊朗駭客APT33發起密碼潑灑攻擊</span></span></strong></a></p> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/09/ongoing-webex-malvertising-drops-batloader"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體BatLoader透過Google廣告散布</span></span></strong></a></p> <p><a href="https://thehackernews.com/2023/09/microsoft-uncovers-flaws-in-ncurses.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">程式庫ncurses存在高風險漏洞，影響執行Linux、macOS作業系統的電腦</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/158751"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">資安業者JFrog支援機器學習模型管理，強化AI應用開發安全</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/158747"><strong>【9月14日】中國駭客組織Redfly鎖定亞洲國家的電網下手，散布惡意軟體ShadowPad</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158725"><strong>【9月13日】手機醫療費用支付App醫指付傳出用戶信用卡遭盜刷，但個資外洩原因有待釐清</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158704"><strong>【9月12日】越南駭客藉由Meta即時通訊軟體散布竊資軟體，意圖挾持企業的臉書帳號</strong></a></p> </div></div></div>
2023/9/15 17:44作者周峻佑https://www.ithome.com.tw/news/158772