iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 5篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 14:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

NTT DOCOMO與Nvidia合作以GPU加速5G網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電信公司NTT DOCOMO宣布在日本部署GPU加速的無線網路解決方案，該公司5G Open RAN解決方案<a href="https://www.docomo.ne.jp/english/info/media_center/pr/2023/0927_00.html">OREX</a>使用了Nvidia Aerial vRAN堆疊和<a href="https://developer.nvidia.com/blog/enabling-the-worlds-first-gpu-accelerated-5g-open-ran-for-ntt-docomo-with-nvidia-aerial/">Nvidia</a>融合加速器，建構高效能5G虛擬無線接取網路（vRAN），這使得NTT DOCOMO能夠實現一個完全由軟體和雲端定義的網路，並能夠根據需求，使用產業標準設備動態分配資源。</p> <p>與現有5G網路部署相比，DOCOMO表示，OREX將可降低客戶的總擁有成本達30％，並且減少網路設計所需時間50％，同時減少基地臺50％的電力消耗。</p> <p>根據2023年7月的資料，DOCOMO的2萬多個基地臺覆蓋5G用戶達2,200萬，範圍涵蓋全球815個城市。該電信公司使用了來自4個供應商的29種無線電單元（Radio Unit，RU），還有3個供應商的中央單元（Centralized Unit），而透過引入vRAN，DOCOMO則能夠進一步擴大5G網路容量和覆蓋範圍。</p> <p>由於vRAN中Open RAN的概念，允許營運商自由選擇不同供應商的元件，進而促進網路多樣性和規模化，但這也使Open RAN存在互通性、效能和複雜性等問題。DOCOMO推出自家5G Open RAN品牌OREX，來解決Open RAN所面臨的挑戰，OREX由富士通、Nvidia和Wind River共同合作開發，搭配使用富士通和Wind River產品，並採用Nvidia Aerial平臺降低成本和功耗。</p> <p>OREX使用的重要元件包含Nvidia融合加速器，其具有資料處理單元（DPU）以及GPU，在通訊協定最底層物理層L1提供硬體加速，以處理龐大的資料，而這使得OREX成為第一個以商業部署的DPU和GPU加速的5G Open RAN解決方案。</p> <p>在DOCOMO的5G Open RAN解決方案中，GPU可以直接處理前端eCPRI（Enhanced Common Public Radio Interface）資料流量，而不需要經過CPU，如此減少了資料在伺服器和硬體加速器間往返的時間，進而提高整體效能。</p> <p>而且當資料進入GPU中，由於GPU架構具有大量的核心，能以大規模平行化處理5G龐大的資料量，最佳化基地臺系統的處理能力，能夠改進無線電單元的能力，提供高品質通訊環境，並能夠應對大量資料處理需求，同時也是應未來天線技術的進步。</p> </div></div></div>
2023/9/28 08:38作者李建興https://www.ithome.com.tw/news/159011
CISA發布新硬體物料清單框架，強化硬體採購風險管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>CISA（Cybersecurity and Infrastructure Security Agency）<a href="https://www.cisa.gov/news-events/news/cisa-releases-hardware-bill-materials-framework-hbom-supply-chain-risk-management-scrm">發布</a>了新的<a href="https://www.cisa.gov/sites/default/files/2023-09/A%20Hardware%20Bill%20of%20Materials%20Framework%20for%20Supply%20Chain%20Risk%20Management%20%28508%29.pdf">硬體物料清單框架（Hardware Bill of Materials Framework，HBOM）</a>，這個框架是由公私部門專家所組成的資訊和通訊技術供應鏈風險管理工作組（ICT SCRM Task Force）所開發。</p> <p>該框架的主要目的，是要提供一個一致可遵循的規範，讓買方和賣方可以針對硬體元件進行溝通，進而有效評估並減少供應鏈中存在的資安風險。</p> <p>HBOM透過標準化命名方法、詳盡的元件資訊和明確指引，可協助降低採購硬體所面臨的安全風險。框架的重要部分包括使用情境分類、HBOM格式和資料欄位分類。使用情境描述一系列情境和範例，告訴買方應該在何種情況或是特定風險背景，需要使用到HBOM。</p> <p>而HBOM格式則是規範框架的一致性，使其易於產生和使用，而資料欄位分類，則列出包含在HBOM中的各種元件與輸入屬性，說明要製作或是查看HBOM時需要注意的資料。整體來說，這個框架可被用於評估供應鏈風險，協助組織更好地管理供應鏈中的風險。</p> </div></div></div>
2023/9/28 08:41作者李建興https://www.ithome.com.tw/news/159012
零售轉型OMO的關鍵，數據成為企業核心競爭力
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「現在的電商，已不只是商品銷售，更演進到需要提供整套消費體驗。」Etsy前任數據長謝居呈強調。他在Etsy擔任數據長3年多，對零售業這幾年變革的發展，格外有感。</p> <p>疫情3年，大大衝擊了零售業的樣貌，讓OMO浪潮延燒到全球大大小小的零售業者，美國流量第4大電商Etsy也不例外，不只國外零售業拼命布局OMO和數位通路，臺灣也是如此。</p> <p>2021年進入3級疫情後，臺灣過去以實體店面為主的企業，紛紛加速轉型為線上線下融合（OMO）服務型態。這在零售業格外明顯，許多實體品牌開設了直營電商，各大超商、超市相繼進軍外送平臺，從小型賣場到大型百貨都力推會員App和數位支付功能，大量通訊軟體零售業官方帳號如雨後春筍般出現。數位通路已然成為零售業兵家必爭之地，營運模式更不斷高速發展。</p> <p>謝居呈不只領導Etsy的上雲和AI數位轉型，過去17年來，他先後在樂天、eBay、Amazon等零售巨頭擔任過技術和管理職，長年在第一線觀察電子商務演變，以及伴隨而來的技術沿革。</p> <p>近年零售業最重要的技術趨勢是數據相關技術，尤其是高速發展的AI。謝居呈指出：「一旦零售業成為OMO型態，數據就變成一項核心競爭力。」在OMO零售時代，企業遲早都要擁抱數據技術，「差別只是你是想要跑在前面讓人追，還是你要跑在後面去追人。」他直言。</p> <p><span style="font-size:28px;"><strong>OMO零售型態下的重大業務改變</strong></span></p> <p>早期電商多半只是提供網路型錄和線上付款管道，謝居呈指出，現今電商營運則需顧及更多面向，才能提供完整消費者體驗。例如，提供強大的商品搜尋和檢索功能、可信的商家商品評價、個人化會員優惠、精準商品推薦等。</p> <p>廣告業務是零售業更大的營運變革。許多零售業者開始利用通路流量優勢，經營起零售媒體聯播網（RMN），對自家消費者推送廣告。謝居呈指出，零售業者開始經營RMN後，營運模式便從貨物買賣通路，走向系統化媒合商品與消費者的平臺。「廣告業務已經成為很多零售業者的重要營利來源，例如Amazon。」他說。</p> <p>Amazon去年廣告營收高達377億美元，雖然只占總營收7%，但根據波士頓諮詢公司（BCG）調查，RMN毛利率高達70%至90%。按此數字計算，去年Amazon廣告業務盈利能力已經超過以往最賺錢的雲端服務業務。</p> <p>OMO營運模式不斷演進，使零售業面臨巨大的業務和營收結構變革。謝居呈說，為了支援這些變革，零售業也迎來了新一波技術需求。</p> <p><span style="font-size:28px;"><strong>零售新型態催生下一波重要的技術需求</strong></span></p> <p>多年前，零售業就曾經因營業型態轉變而產生重要技術需求。謝居呈解釋，上一波重要技術需求來自零售業發展數位通路初期，需要建置並維運前端電商網頁和電商App，以及管理後端地端機房。這也是零售業開始設置技術長一職的由來。</p> <p>現在，隨著OMO零售業務型態演變，傳統維運數位通路的技術已經不足以支援電商業務所需。如何讓消費者更容易找到適合商品？如何於線上線下不同通路提供更豐富、更一致的購物體驗？推播廣告時如何維持購物體驗和行銷成效平衡？如何控管詐騙、假冒商品等風險？這些都是OMO模式下，零售業新面臨到重要且不可迴避的課題。</p> <p>這讓零售業面臨了新一波技術需求，也就是驅動各式OMO零售功能和決策的數據和數據科技，以及可以彈性支援多元業務發展及數據處理的雲端基礎架構。「零售業線上營運比重越高，這些業務和技術需求便越發迫切，對企業營收影響也越大。」謝居呈說。</p> <p><span style="font-size:28px;"><strong>企業如何用AI技術來應對OMO業務需求</strong></span></p> <p>謝居呈認為，數據科技領域中，又以AI/ML技術發展快速、用途廣泛，「是零售業不可忽視的技術趨勢。」AI在零售業有不少應用，可以用來降低成本、提升收益。</p> <p>他以近期爆紅的生成式AI舉例，企業可以用於搜尋引擎最佳化（SEO），根據熱門關鍵字快速生成文章，提升自家網頁能見度。此外，還能生成消費者個人化文案，或商品描述、分類和屬性標籤等資料。</p> <p>生成式AI還可以用於客服訓練和輔助，AI可以歸納高滿意度客服人員的應對內容，整理成教材用於客服訓練。甚至，AI還能在客服人員通訊當下，即時提醒用詞，同時撈取出消費者購物記錄、偏好和其他相關資訊作為應對進退參考，快速提升整體客服水準。</p> <p>不只能優化前端服務，生成式AI還能輔助後端決策。企業可以輸入巨量數據，要求AI分析完後生成數據歸納和策略建議。例如，可以用生成式AI分析大量消費者評論，從中歸納出營運改善方針。「透過AI快速、低成本分析大量數據，能協助零售業者快速應對市場變化。」他說。</p> <p>謝居呈表示，不論是內容產出、客服培訓、巨量數據分析，傳統做法都非常耗時耗力。有了AI輔助，許多工作費時能從數日降到僅僅數秒，因此，熟練地運用AI技術，是零售業重要競爭力。</p> <p>數據是AI基石，發展AI之前，企業首先需要有效的數據管理、整合和監控機制。企業也開始擁抱數據中臺、CDP等技術，來提升數據管理成熟度。不過，謝居呈警告，企業採購新系統後，常會發現不僅沒增加營收，反而徒增營運成本，降低企業主投資數據技術的意願。他建議，發展數據科技時，可先選擇能解決痛點的技術，才容易看出成效，說服企業主持續投資。</p> <p>他坦言，這種做法有其限制。從一個個痛點著手，不容易顧及整體規畫，再加上，新數據技術不斷問世，技術債會成為必然問題。他提醒，企業應保留20%資源清理技術債、80%推動發展，才有餘裕維持良好的發展和維運平衡。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/449-CTO-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 22px;"><strong>快速依數據做出反應，才能把握更多應用情境。從蒐集數據到實際應用的平均時間，是企業數據準備度（Readiness）的關鍵指標。── Etsy前數據長謝居呈</strong></span></span>　<span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>數據科技發展戰略成營運核心事務，零售業開始設置高階數據技術主管</strong></span></p> <p>謝居呈觀察，早期零售業設置技術長，是因為數位通路建設和維運需求。現今數據貼近了企業決策核心，且技術發展和應用策略日漸複雜、細緻，零售業界便開始設置數據長這一新興高階管理職位。</p> <p>已經有了技術長，為何需要再設立數據長？謝居呈說明，雖然電商維運和數據科技都是IT技術，不過，兩者工程思維有著關鍵差異。他以軟體1.0和軟體2.0概念解釋。技術長熟悉的傳統軟體開發方法是，由人先訂出邏輯，再寫成程式碼，這是軟體1.0思維。但是，AI/ML等數據技術是，不預先給定邏輯，而是讓程式從大量數據中推論出可能的邏輯，再透過實驗設計來驗證推論。這是一種逆向工程思維，因此被稱為是軟體2.0思維，這正是數據長的專長。</p> <p>舉例來說，傳統軟體1.0思維，先訂出許多像「如果是男性，則推薦刮鬍刀」的邏輯，將其寫成商品推薦程式。軟體2.0思維則會逆向思考，用程式來分析顧客購物行為數據，自動學習並建立出推薦的邏輯。「這個逆向工程思維，傳統技術長大多不熟悉。」他評論。</p> <p>不只工程思維有所不同，實務上，數據管理和處理也是高度專業化的領域。謝居呈說，企業整合跨通路數據、遷移數據等過程中，常常面臨到許多瓶頸和陷阱。</p> <p>例如，財務系統轉換期間要計算公司營收，新系統和舊系統卻得到不同的數據，這是因為資料延滯性導致了不同的計算結果，兩個系統都沒錯？或是舊系統發生問題，而新系統已做出相應調整？還是遷移到新系統時導入了錯誤邏輯，舊系統的結果才對？面臨這些問題時，企業便需要數據長實務經驗來找出應對方法。</p> <p>傳統技術長不熟悉數據技術的工程思維和數據實務處理經驗，才促使零售業想要設置數據長。不只如此，謝居呈認為，數據相關決策在零售業整體營運的重要性，更使數據主管的位階必須是高階主管，甚至長遠來看，他建議，零售業大多應該將數據長設為一級職級，直接對總經理報告。</p> <p>他進一步說明，許多企業核心決策會涉及數據。例如，當數據法遵逐漸成為重要議題，像是要求AI可以解釋，企業的決策不只會涉及法務、財務部門，還需要數據長參與。其他諸如新業務、新產品開發等決策，也會需要數據長參與決策。</p> <p><span style="font-size:28px;"><strong>零售業OMO轉型時容易忽略的5大問題，數據面占3項</strong></span></p> <p>從技術、管理到決策面來看，零售業OMO轉型都是相當複雜的過程。謝居呈觀察，此過程中，企業有5個問題容易忽略，其中3個是與數據處理直接相關，數據長不得不留意。</p> <p>第1項是資料隱私和合規問題。隨著企業蒐集數據增加，確保這些數據蒐集和應用都符合資料保護法規和隱私法規，會日漸困難。若企業營運範圍觸及歐美有GDPR、CCPA等嚴格個資法規的區域，更須注意企業於不同地區適用的數據政策，並決定企業數據應用策略如何應對。例如，應該統一遵從最嚴格的法規，還是依據不同區域法規來調整數據應用情境。</p> <p>企業也常忽略OMO的資料一致性問題。當實體店面、官方網站、社交媒體、行動裝置App等通路都開始蒐集資料時，如何確保這些資料格式一致、不重複、且容易交互配對，是一大挑戰。否則，不同通路數據會成為各自孤島，難以從企業層級統一利用。</p> <p>就算做好資料整理，企業還要注重數據時效性，這是第3個問題。謝居呈認為，數據時效性不能停留於月度或季度結算，必須追求以秒，甚至毫秒為反應時間單位，才能把握機會與消費者即時互動。為此，企業需要設計快速、高效的數據處理流程。謝居呈表示：「快速依數據做出反應，才能把握更多應用情境。從蒐集數據到實際應用的平均時間，是企業數據準備度（Readiness）的關鍵指標。」</p> <p>第4個常忽略的問題是，消費者體驗一致性問題。進行OMO轉型時，確保顧客在各通路購物體驗和享有服務一致非常重要。要做到這點，不只需要跨通路數據一致性和時效性，更需要從業務面設計良好消費體驗。</p> <p>最後一個OMO課題是以客為本的策略失焦。謝居呈提醒，進行數位轉型時，部分企業可能過於關注數據和技術應用，而忽略了真正目的是提供優良客戶體驗。尤其是從實體往線上發展的企業，應在各接觸點始終維持與消費者的互動和關係。</p> <p>雖然OMO轉型過程中，數據扮演關鍵技術角色，但並非唯一核心競爭力。OMO策略要成功，謝居呈提醒：「不僅是整合數據或引入新技術而已，更需要一個以顧客為中心的策略和適應性強的組織文化。」</p> <p><strong><span style="color:#FF8C00;"><span style="font-size:28px;">數據長提醒：相關性不代表因果性，數據決策要善用A/B測試來驗證</span></span></strong></p> <p><span style="color:#696969;"><strong>美國電商巨頭Etsy前數據長謝居呈觀察，企業決策團隊，不論是總經理或技術長，往往容易忽略「相關性不代表因果性」這個觀念，導致錯誤解讀數據而影響決策。</strong></span></p> <p><span style="color:#696969;"><strong>「數據只能呈現相關性（Correlation），沒辦法呈現因果性（Causation）。很多機器學習技術，都只是透過數據相關性，來產生假設。」他提醒。</strong></span></p> <p><span style="color:#696969;"><strong>「消防隊越多火災機率越高，所以，消防隊都撤掉就不會有火災」，這就是一個將相關性誤判為因果性的明顯例子。當決策情境更複雜、影響參數更多，人便難以直觀地判斷出因果性。就像在零售業，設計個人化商品推薦系統時，哪些參數會真正影響推薦成效，而哪些只是恰巧有相關性，無法一目了然。</strong></span></p> <p><span style="color:#696969;"><strong>要解決此問題，謝居呈建議：「只有透過實驗，才可以看出因果性。」不論是商品推薦演算法的挑選，還是電商介面配色的設計，企業利用數據驅動任何決策時，都必須發揮實驗精神，透過A/B測試等方法驗證不同假設，才能從中找出最有效的策略。</strong></span></p> <p><span style="color:#696969;"><strong>謝居呈補充，不少企業常犯了誤判因果性的錯誤，這更凸顯了數據處理需要高度專業化知識和實務操作經驗。「這正是為何零售業者紛紛開始設立數據長職位的緣故。」</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CDO小檔案 </span></strong></span></p> <p><strong>Etsy前數據長謝居呈</strong></p> <p>學經歷：加州大學洛杉磯分校計算機科學博士。曾任Etsy數據長，建立人工智能團隊並推動雲端轉型；Amazon資深主管，負責Alexa語音核心技術研發；Intuit技術總監，導入機器學習到金融產品、風控與客服；Rakuten資深經理，主管多國人工智能技術團隊；eBay主任科學家，帶領團隊優化電商搜尋及推薦功能。</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/449-cto-960.jpg" width="960" height="420" alt="" title="Etsy前數據長謝居呈　（攝影／洪政偉）" /></div></div></div>
2023/9/28 09:00作者郭又華https://www.ithome.com.tw/people/159001
臺大醫院分享用雲經驗，提6項上雲建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺大醫院資訊室協理尚榮基日前分享臺大醫院用雲經驗，可分為臺大醫療雲、辦公室自動化應用和網頁服務應用等。其中，臺大醫療雲採單一資料庫架構，可支援各分院系統開發和維護，此外，臺大醫院也採用多項辦公軟體、影像辨識和語音辨識雲端服務，來優化作業流程。他從這些經驗，建議醫院考慮上雲時需評估成本、服務品質、合約保障、安全措施、系統自主性和是否有好聚好散的下雲條款等。</p> <p><span style="font-size:24px;"><strong>常見雲端服務有3大類</strong></span></p> <p>尚榮基指出，所謂雲端，是指透過網路提供資源和服務給使用者，可分為IaaS、PaaS和SaaS三種。其中，提供儲存空間、記憶體和CPU資源等硬體支援服務就屬於IaaS，提供執行環境或開發環境的服務則是PaaS，至於SaaS，則指提供軟體或系統服務，如Gmail等。最早的雲端服務，由Amazon於2006年推出，至今已近20年，那年也正是尚榮基進入臺大醫院工作的年份。</p> <p>市面上常見的雲端服務，就屬於這3種。比如，公雲業者Amazon、微軟和Google就提供儲存服務、伺服器、網路等硬體支援（IaaS）服務，來讓客戶建立自己的系統。這3類服務中，SaaS數量最多，也最深入個人化應用，比如網路磁碟（Dropbox、Google Drive等）、Email（如Gmail、Outlook）、視訊軟體（如Webex、Teams），以及即時通訊軟體（如Line、Teams）、文書作業（Google Doc、Office）等，直接提供給終端使用者。還有一種是雲端提供服務給地端系統，如影像辨識、語音辨識、AI模組和資安防護系統等。</p> <p>採用雲端有不少好處，像是有彈性、可擴充、節能、可靠且備援等優勢。</p> <p><strong><span style="font-size:24px;">臺大醫院採單一資料庫架構建醫療雲</span></strong></p> <p>但對醫院而言，IT相對保守，「資料不外傳是資料處理原則，」尚榮基說。不過，去年7月衛福部修正醫療機構電子病歷製作及管理辦法，允許醫院將電子病歷資料上雲，放寬了法源依據。此後，也有些醫院開始使用雲服務來處理病歷資料。</p> <p>就臺大醫院而言，過去幾年來已用雲來協助醫療和行政業務，包括建置臺大醫療雲、辦公室自動化和Web service應用等。其中，臺大醫療雲的建置可追溯到2013年，當時，臺大醫院開始將雲林分院、新竹分院等4家分院的IT系統轉置到臺北總院，之後也配合醫院發展，陸續上線臺大癌症醫院和新竹分院生醫醫院的醫療IT系統。</p> <p>尚榮基指出，考量到分院未必有足夠IT人手來維護系統，他們將資料中心建於臺北總院，並以2線專線連線各個分院。能這麼做的原因是，他們採用單一資料庫、多臺網頁伺服器架構，連線門檻比主從式架構低。另一方面，臺大醫院體系的醫療資訊系統（HIS）也採網頁架構，軟體由總院開發和集中維護。</p> <p>就架構來說，他們以不同Schema（資料庫結構）來切分資料庫，作為不同應用，如門診、急診、住院服務等，之後有2層伺服器，中間包含HL7交換架構。並以虛擬化方式，在不同伺服器上處理分院業務。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9E%B6%E6%A7%8B.JPG" /></p> <p>這麼做的好處是，能大幅降低建置和維護系統成本，尤其是資安布局，可免除在各分院自建伺服器的維護和人力問題。此外，若遇上作業系統更新或軟體更版，也只需一組人馬就能解決。由於採單一資料庫架構，在設計軟體時，就能根據多院區需求來設計。此外，這種架構還支援不少跨院功能，如病歷查詢、開立檢驗檢查單、支援請領與補播等。這種模式，還能實現工作向上集中。</p> <p>尚榮基也補充，鑑於去年7月上路的新版電子病歷製作及管理辦法，臺大醫院目前以總院代管分院電子病歷系統，因此計畫在3年內，取得ISO27701個人資料隱私資訊管理系統認證。</p> <p><span style="font-size:24px;"><strong>其他用雲實例：辦公室自動化、網頁服務</strong></span></p> <p>除了臺大醫療雲，臺大醫院也導入辦公室自動化雲端服務。這包括Email、即時通訊軟體、視訊軟體、雲端儲存、辦公室軟體和自動化開發服務等。</p> <p>但，採用這些雲端服務「並沒有比原本省錢，」尚榮基說明，因為這些服務得按員工人數來算許可證（License），然而有些人未必使用這些服務，因此醫院得與廠商溝通、評估，這也是他認為比較費心力的地方。不過，臺大醫院採用雲端服務的主要考量，是其帶來的效益，比如整合式的通訊平臺（如彙整即時通訊軟體、視訊軟體與Email），使用起來很方便，不必個別發送Email或簡訊通知。此外，他們也看重用雲的未來發展，比如可用自動化開發工具來打造更好的病危通報、感染管制、醫材管理等功能。</p> <p>另一方面，臺大醫院也採用雲端網頁服務，如用於化療給藥覆核、居家血壓記錄的影像辨識應用（如下圖），或是手術語音輸入系統、生命徵象語音輸入系統等語音辨識應用，甚至是近期興起的生成式AI應用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%BD%B1%E5%83%8F%E8%BE%A8%E8%AD%98.JPG" /></p> <p><span style="font-size:24px;"><strong>上雲觀察：基層機構、特殊應用適合先用雲</strong></span></p> <p>面對近來興起的醫療上雲趨勢，尚榮基從臺大醫院上雲經驗中觀察，醫療場域最適合先用雲有2種情境。一是基層機構，如診所、長照機構、護理之家、藥局和檢驗所等，因為這些機構缺乏IT人力和基礎設施，難以自行管理系統，特別是現在資安風險越來越高，更難有專業人力負責。因此，採用獲認證的雲端服務，可解決這些人力問題。而且，若將單機PC轉為伺服器，能大幅提高基層機構IT服務能量，如可用於資料交換、網路服務等。</p> <p>另一種適用情境則是特殊應用，如AI／ML、大數據分析、IoT連線、視訊診療、資安和辦公室自動化應用。這些服務都有共同特質，如適合處理大量資料、大量計算或大範圍應用，且具備標準化、可跨院通用的特質。</p> <p>用雲還有個潛在好處。尚榮基表示，由於醫院系統高度客製化，採用雲端標準化系統，則可加速IT應用、利於擴充系統功能，甚至進一步擴大使用範圍、降低醫院成本。</p> <p>不過他認為，醫學中心的核心系統不應急著上雲。因為，這些系統耗費多年開發，技術導入也得配合醫院系統更新周期。再來，上雲還得面對軟硬體客製化需求，以及院內系統整合難度，更得審慎評估，廠商解決方案能否配合醫院系統搬遷。成本、醫院管控程度也是核心系統慢點上雲的考量點。</p> <p><span style="font-size:24px;"><strong>上雲得考慮的6大問題</strong></span></p> <p>最後，尚榮基給出醫院是否該上雲的觀點。他指出，雲端系統是技術趨勢，但技術的成熟需要時間，現有的雲端方案並不完美，還有很多問題待解決。與此同時，雲端技術也持續進步，新應用也不斷推出，而醫院是否上雲，得清楚了解上雲目的和效益，避免因技術焦慮、廠商需求而貿然投入。</p> <p>尚榮基認為，由於每家醫療機構處境不同，因此沒有一致的比較標準。但他建議，醫院面對選擇時，可評估6個問題。首先是成本問題，上雲是否更省錢？再來是服務品質，上雲後是否比地端更好？雲端解決方案是否有足夠的安全措施？</p> <p>以及合約保障是否足夠、廠商有無獲得認證。尚榮基提醒，醫院也得注意上雲系統的自主性和控制性，最後也得考慮合約是否有「好聚好散」條款，也就是未來醫院要下雲，能否順暢進行。他提醒，並非上雲就能解決所有問題，醫院上雲後仍有許多問題要處理，得仔細評估再決定。</p> </div></div></div>
2023/9/27 18:21作者王若樸https://www.ithome.com.tw/news/159010
Sony傳出資料外洩，有兩組人馬聲稱是他們所為，但資料是否來自該公司仍有待釐清
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>先前日本大型企業Sony傳出大規模資料外洩的情況，是發生近10年前，<a href="https://www.ithome.com.tw/news/93457">索尼影業（Sony Pictures）遭到北韓駭客入侵</a>，不僅內部資料外流，該公司員工被迫回家工作。但如今有人再度宣稱從該公司內部偷到機敏資料引起資安界關注，而且還不只一組駭客表示他們握有相關檔案。</p> <p>根據<a href="https://www.hackread.com/ransomedvc-ransomware-group-sony-cyberattack/">資安新聞網站HackRead於9月24日的報導</a>，勒索軟體駭客組織RansomedVC聲稱入侵日本大型企業Sony，並完全滲透該公司所有的系統，這些駭客沒有向Sony索討贖金，而是打算求售竊得的資料，原因是Sony不願遵照駭客的要求進行後續處理。</p> <p>該新聞網站看到駭客公布疑似來自Sony品質保證部門的簡報檔案、工作站螢幕截圖、Java檔案。26日Sony表示他們已了解此事，並著手調查，但沒有提出其他說明。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ransomedvc-ransomware-group-sony-cyberattack-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ransomedvc-ransomware-group-sony-cyberattack-4.jpg" style="width: 580px;" /></a></p> <p>究竟這些駭客偷到了多少資料？<a href="https://www.bleepingcomputer.com/news/security/sony-investigates-cyberattack-as-hackers-fight-over-whos-responsible/">資安新聞網站Bleeping Computer指出</a>，這些駭客透露總共竊得約260 GB檔案，打算開價250萬美元。然而，駭客提供檢驗的樣本資料，大小卻僅有2 MB。</p> <p>但隨後有人宣稱，他們才是真正的攻擊者。名為MajorNelson的人士於駭客論壇BreachForums表示，所有的記者都上當了，指控RansomedVC其實只是想要騙取媒體關注，並非真正攻擊Sony的兇手。</p> <p><a href="https://s4.itho.me/sites/default/files/images/bf-screenshot.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/bf-screenshot.jpg" style="width: 580px;" /></a></p> <p>MajorNelson公布了從Sony竊得的2.4 GB檔案，解壓縮檔案大小為3.14 GB，宣稱這些檔案是Sony各式內部系統的帳密資料，並包含SonarQube、Creators Cloud的帳密，以及產生授權檔案的裝置模擬器等。Bleeping Computer發現，MajorNelson提供的資料當中，涵蓋RansomedVC在樣本檔案提及的所有資料，但無論是那一組駭客公布的檔案，該新聞網站無法確認這些資料的真實性。</p> </div></div></div>
2023/9/27 22:10作者周峻佑https://www.ithome.com.tw/news/159013
【資安週報】2023年9月18日到9月22日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>許多IT廠商在前一週發布9月份例行更新，但在本週的資安新聞裡，有多起漏洞攻擊行動引起研究人員關注，並呼籲企業組織、使用者應儘速修補，這些漏洞包含：</p> <p>（一）8月份Juniper修補的CVE-2023-36845，當時該廠商評估風險等級為中等，但資安業者VulnCheck發現該漏洞嚴重程度被低估，已有駭客嘗試將其用於攻擊行動；</p> <p>（二）開源物件儲存服務MinIO於3月修補的漏洞CVE-2023-28432、CVE-2023-28434，駭客針對DevOps工程師下手，在目標系統植入後門程式Evil MinIO，竄改更新伺服器的網址，然後派送惡意更新；</p> <p>（三）蘋果針對旗下電腦、行動裝置、穿戴裝置，修補零時差漏洞CVE-2023-41991、CVE-2023-41992、CVE-2023-41993，這些由加拿大公民實驗室與Google威脅情報小組（TAG）通報的漏洞，已被用於攻擊iPhone裝置；</p> <p>（四）趨勢科技針對旗下端點防護產品Apex One、Worry-Free Business Security（WFBS）漏洞CVE-2023-41179發布公告，已有攻擊行動出現，引起日本電腦網路危機處理暨協調中心（JPCERT/CC）注意；</p> <p>（五）駭客假借提供6月WinRAR修補漏洞的PoC，但其實是利用地圖服務伺服器程式GeoServer的SQL注入漏洞CVE-2023-25157，散布木馬程式VenomRAT。</p> <p>其他的重要漏洞修補警告，還包括：GitLab修補執行任意自動化工作流程漏洞CVE-2023-4998，以及Fortinet修補防火牆作業系統、上網安全閘道、WAF的高風險漏洞CVE-2023-29183、CVE-2023-34984，網路監控軟體Nagios XI修補高風險漏洞、N-able遠端管理工具的CVE-2023-27470、程式庫ncurses的記憶體毀損漏洞等。</p> <p>面對日與俱增的資安威脅，本週除了研究人員極力呼籲使用者儘速修補已公開的漏洞，資安界也有多項動態值得留意。</p> <p>首先是資安業者Mandiant舉辦的mWISE Conference 2023資安防禦會議，FBI局長Christopher Wray提到攻防極度不對等的資安態勢，他表示，中國駭客人數是FBI資安專家的50倍以上，防守方勢必要善用AI人工智慧技術，還有政府、執法機關與民間產業之間更為緊密的合作，才有機會扭轉局勢，他甚至認為企業應該在資安防護計畫裡納入FBI，充分發揮執法的力量。</p> <p>再者，OpenAI為了改善機器學習模型的安全，擴大原本的紅隊演練規模，成立名為OpenAI Red Teaming Network的紅隊演練網路，從數十個專業領域招募專家，看重的是專家能提供該領域的專業觀點，而有可能突破人工智慧產業的盲點。</p> <p>本週資安界有兩起重大的廠商併購案，分別是19日資安業者CrowdStrike買下應用程式安全態勢管理（ASPM）新創Bionic，及21日思科買下大數據資安業者Splunk，其中又以思科和Splunk的併購案受到最多關注。值得留意的是，這起合併案2022年2月就傳出風聲，當時思科打算以200億美元買下Splunk，而現在實際成交的金額達到280億美元，較先前的傳聞多出4成。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/158796"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月18日】開源物件儲存服務MinIO漏洞遭到鎖定，駭客企圖發動供應鏈攻擊，入侵企業組織內部環境</span></strong></a></h3> <p>駭客利用開發環境入侵目標組織，發動供應鏈攻擊的情況再度出現，最近資安業者Security Joes揭露的攻擊事件裡，駭客就是鎖定開源物件儲存服務MinIO的已知漏洞而來，對方先是針對工程師下手，說服他們安裝含有弱點的MinIO，從而發動攻擊，這樣的做法相當罕見，使得研究人員呼籲管理者要提高警覺。</p> <p>由於MinIO往往搭配AWS S3、Google Cloud Storage、Azure Blob Storage等雲端儲存桶運用，使得上述的攻擊手段影響範圍可能相當廣泛。</p> <h3><a href="https://www.ithome.com.tw/news/158816"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月19日】Juniper甫修補的中等風險漏洞恐遭低估，研究人員發現能用於發動RCE攻擊，近1.2萬臺設備曝險</span></strong></a></h3> <p>又是漏洞風險被低估可能會引發災情的情況！資安業者Juniper在今年8月揭露的CVE-2023-36845，當時評估其漏洞僅有中度風險，必須與其他漏洞才可能引發重大危害，但最近有研究人員指出，他們只需利用這項漏洞，就能在沒有通過身分驗證的狀態，遠端執行任意命令（RCE），使得這項漏洞危險程度遠超過原先認定的層級。</p> <p>然而，由於Juniper輕估了漏洞的風險，使得很多IT人員不會立即修補漏洞。但研究人員警告，他們已經看到駭客開始嘗試利用這項漏洞。</p> <h3><a href="https://www.ithome.com.tw/news/158845"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月20日】面臨攻守極度失衡的局勢，FBI局長呼籲民間企業與政府積極合作，並將FBI納入資安防護計畫</span></strong></a></h3> <p>為了因應態勢日益險峻的網路威脅，近年來不斷有專家呼籲政府與企業之間應採取聯合防禦及情資共享的戰略，在9月18日由資安業者Mandiant舉辦的資安會議mWISE Conference 2023當中，美國聯邦調查局（FBI）局長Christopher Wray特別以此進行演說，透過資訊分享、情資分析的良性循環，最終在大家的合作下就可以保護國家的網路。特別的是，他呼籲企業在資安防護計畫裡「納入FBI」，讓他們能發揮公權利來攔阻網路犯罪。</p> <h3><a href="https://www.ithome.com.tw/news/158872"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月21日】中國駭客假借寄送發票的名義發動網釣攻擊，目的是散布新型態的木馬程式ValleyRAT</span></strong></a></h3> <p>我們近期報導不少中國駭客的攻擊行動，鎖定目標多半是針對敵對國家而來，在今天的資安新聞中，有針對當地企業組織而來的網路釣魚攻擊被研究人員揭露，其手法都是透過免費的電子郵件服務寄送釣魚信，然後使用發票、求職信為誘餌發動攻擊，進而於受害電腦植入ValleyRAT、Purple Fox、Sainbox RAT。</p> <p>值得留意的是，這起攻擊行動背後很可能有多個組織參與，且範圍開始擴及日本。</p> <h3><a href="https://www.ithome.com.tw/news/158896"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月22日】斥資280億美元重金，思科買下大數據資安業者Splunk</span></strong></a></h3> <p>本週資安界有兩起併購案，分別是19日資安業者CrowdStrike買下應用程式安全態勢管理（ASPM）新創Bionic，以及21日思科買下大數據資安業者Splunk，其中又以思科和Splunk的併購案受到最多關注。</p> <p>值得留意的是，這起合併案早在2022年2月就傳出風聲，當時思科打算以200億美元買下Splunk，而現在實際成交金額達到280億美元，較先前傳聞多出4成。</p> </div></div></div>
2023/9/27 22:48作者周峻佑https://www.ithome.com.tw/news/159014
【資安日報】9月27日，Sony傳出資料外洩，有2組駭客先後聲稱對其下手，取得多項內部機密的帳密資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日本知名企業Sony傳出資料外洩事故，但特別的是，這並不是今天才出現的消息，前幾天就有駭客組織RansomedVC聲稱對該公司下手，今天又有另一個駭客組織MajorNelson，宣稱是他們所為。這兩個組織也公開了部分竊得的資料，供買家及媒體進行驗證。</p> <p>另一個值得留意的是，兩組駭客提供的樣本資料檔案大小差距相當懸殊，但兩組資料互有交集，而對於這些資料是否真的來自Sony？有待進一步的調查。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Sony傳出資料外洩，有兩組人馬聲稱是他們所為</span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/ransomedvc-ransomware-group-sony-cyberattack-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ransomedvc-ransomware-group-sony-cyberattack-1.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站HackRead於9月24日的報導，勒索軟體駭客組織RansomedVC聲稱入侵日本大型企業Sony，並完全滲透該公司所有的系統，這些駭客沒有向Sony索討贖金，而是打算求售竊得的資料，原因是Sony不願遵照駭客的要求進行後續處理。</p> <p>該新聞網站看到駭客公布疑似來自Sony品質保證部門的簡報檔案、工作站螢幕截圖、Java檔案。26日Sony表示他們已了解此事，並著手調查，但沒有提出其他說明。資安新聞網站Bleeping Computer指出，駭客透露總共竊得約260 GB檔案，打算開價250萬美元。</p> <p>但隨後有人宣稱，他們才是真正的攻擊者。名為MajorNelson的人士於駭客論壇BreachForums表示，所有的記者都上當了，指控RansomedVC其實只是想要騙取媒體關注，並非真正攻擊Sony的兇手。MajorNelson公布了從Sony竊得的2.4 GB檔案，解壓縮檔案大小為3.14 GB，宣稱這些檔案是Sony各式內部系統的帳密資料，並包含SonarQube、Creators Cloud、產生授權檔案的裝置模擬器等。Bleeping Computer發現，MajorNelson提供的資料當中，涵蓋RansomedVC在樣本檔案提及的所有資料，但他們無法確認這些資料的真實性。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.hackread.com/ransomedvc-ransomware-group-sony-cyberattack/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--557264360" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.hackread.com/ransomedvc-ransomware-group-sony-cyberattack/</span></a><br /> 2. <a href="https://www.bleepingcomputer.com/news/security/sony-investigates-cyberattack-as-hackers-fight-over-whos-responsible/">https://www.bleepingcomputer.com/news/security/sony-investigates-cyberattack-as-hackers-fight-over-whos-responsible/</a></p> <p><a href="https://www.group-ib.com/blog/shadowsyndicate-raas/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織ShadowSyndicate運用7款勒索軟體從事攻擊行動</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ShadowSyndicate-5-13.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ShadowSyndicate-5-13.png" style="width: 300px; float: right;" /></a>資安業者Group-IB、Bridewell，聯手研究人員Michael Koczwara調查駭客組織ShadowSyndicate的攻擊行動，這些駭客自2022年7月開始，利用漏洞來發動攻擊，並與勒索軟體Quantum、Nokoyawa、BlackCat（Alphv）、Clop、Royal、Cactus、Play攻擊行動有所關連。</p> <p>研究人員推測，這些駭客有可能是從事勒索軟體攻擊的附屬組織，或是兜售入侵帳密資料的掮客（IAB）。該組織架設了至少85臺SSH伺服器，並運用Cobalt Strike、IcedID、Sliver等工具作案，其中有52臺伺服器被用於架設Cobalt Strike的框架。</p> <p>他們根據C2進行分析，推測2022年9月發生的3起Quantum勒索軟體攻擊、2022第4季及2023年4月的Nokoyawa攻擊，以及今年2月發生的BlackCat（Alphv）攻擊，該組織皆參與。特別的是，至少有12個基礎設施的IP位址，是過往勒索軟體駭客組織Clop所用。</p> <p><a href="https://www.recordedfuture.com/multi-year-chinese-apt-campaign-targets-south-korean-academic-government-political-entities"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客TAG-74發起攻擊行動，鎖定韓國散布後門程式ReVBShell</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/multi_year_chinese_apt_campaign_targets_south_korean_academic_government_political_entities_body_ecee001094.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/multi_year_chinese_apt_campaign_targets_south_korean_academic_government_political_entities_body_ecee001094.png" style="width: 300px; float: right;" /></a>資安業者Recorded Future揭露中國駭客TAG-74的攻擊行動，這些駭客的主要目標是韓國學術機構、政治團體、政府機關，目的是竊取智慧財產，並且擴大中國在全球高等教育影響力。</p> <p>在其中一起攻擊行動裡，駭客利用Windows說明檔案（CHM）當作誘餌，投放以Visual Basic指令碼製作的後門程式ReVBShell，最終於受害電腦植入木馬程式Bisonal，而上述的後門程式ReVBShell，TAG-74也與另一個中國駭客組織Tick共用，未來可能也會出現在Tick的攻擊行動。</p> <p>研究人員指出，駭客主要以韓國的組織為目標，並持續在韓國、日本、俄羅斯進行長期的情報收集工作，但比較特別的是，駭客使用CHM檔案的情況主要是發生在韓國，其他國家不常見，且不光是TAG-74，Kimsuky、APT37等北韓駭客組織也偏好利用這種檔案在韓國發動攻擊。</p> <p><a href="https://www.threatfabric.com/blogs/xenomorph"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北美、歐洲安卓用戶遭到金融木馬Xenomorph鎖定</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Xenomorph-Slide7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Xenomorph-Slide7.png" style="width: 300px; float: right;" /></a>資安業者ThreatFabric揭露最新一波的安卓金融木馬Xenomorph攻擊行動，駭客今年8月開始架設釣魚網站，引誘使用者更新Chrome瀏覽器，藉此於受害手機部署木馬程式，目標是盜取美國金融機構的客戶存款，以及用戶加密貨幣應用程式存放的數位貨幣。</p> <p>研究人員指出，新的木馬程式導入了模仿（mimic）功能，使得該惡意程式的行為能像其他應用程式；再者，這個模仿功能會執行名為IDLEActivity的活動，顯示來自合法處理程序的網頁內容。</p> <p>值得一提的是，此木馬程式具備名為ClickOnPoint的功能，可以模擬執行點選螢幕的動作，讓攻擊者能夠遠端操作，使得駭客不再需要使用完整的自動轉帳系統（ATS）元件，就能跳過確認畫面，或是執行基本的操作，也不會被安全防護機制或防毒軟體察覺有異。</p> <p><a href="https://www.ithome.com.tw/news/158995"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">LastPass用戶遭鎖定，駭客對其發動釣魚郵件攻擊，要脅若不驗證部分功能將遭停用</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot-2023-09-25-at-4_47_47-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2023-09-25-at-4_47_47-PM.png" style="width: 300px; float: right;" /></a>9月14日資安業者Malwarebytes提出警告，有人對密碼管理解決方案LastPass的用戶散布釣魚郵件，要求他們必須在指定期限內重新驗證個人資料，否則26日將有部分功能遭到停用。若是收信人依照指示進行「驗證」，駭客就有可能將相關帳密資料用於破解去年外流的LastPass使用者組態。</p> <p>LastPass於25日做出說明，表示這起網釣攻擊範圍包括他們自己的87名員工，而且，全球都有用戶收到釣魚信，他們的威脅情報團隊自13日接獲用戶通報後，尋求資安業者Fortra旗下的PhishLabs團隊協助，並向相關服務供應商通報惡意網域，隨後這些網域遭到撤銷。</p> <p>後來駭客再次於19日進行二度攻擊，PhishLabs發現後，於16個小時內完成相關的回應措施。而對於攻擊者的身分，該公司推測，這起網釣攻擊行動的攻擊者，與之前竊取資料的駭客不同。 </p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.malwarebytes.com/blog/news/2023/09/nasty-lastpass-phish" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--429936947" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.malwarebytes.com/blog/news/2023/09/nasty-lastpass-phish</span></a><br /> 2. <a href="https://blog.lastpass.com/2023/09/lastpass-threat-intel-team-and-phishlabs-work-together-to-protect-customers-from-phishing-scams/">https://blog.lastpass.com/2023/09/lastpass-threat-intel-team-and-phishlabs-work-together-to-protect-customers-from-phishing-scams/</a></p> <p><a href="http://isc.sans.edu/diary/A+new+spin+on+the+ZeroFont+phishing+technique/30248/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露新的ZeroFont網釣攻擊手法，佯稱郵件已通過防護系統掃描</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/23-09-26-listing.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/23-09-26-listing.png" style="width: 300px; float: right;" /></a>利用零像素字元進行攻擊的釣魚郵件手法ZeroFont再度出現！美國系統網路安全協會（SANS Institute）Internet Storm Center（ISC）分析師Jan Kopriva揭露此類型攻擊，駭客在信件內容嵌入零像素的字元，使得收信人在收信軟體的信件列表裡，看到「此信件已通過防護系統掃描」的摘要訊息，可能誤以為這封信件安全無虞而開啟內容，結果上當。</p> <p>這種手法並非首次出現，2018年資安業者Avanan首度揭露ZeroFont，駭客將其用於騙過微軟的自然語言處理（NLP）郵件分析機制，並讓收信人誤以為郵件來自知名的IT業者。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/in-the-wild-exploitation-expected-for-critical-teamcity-flaw-allowing-server-takeover/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">CI/CD系統TeamCity存在能挾持伺服器的漏洞，研究人員警告可能很快就會出現攻擊行動</span></strong></a></p> <p>資安業者SonarSource揭露持續整合與持續交付（CI/CD）系統TeamCity的重大漏洞CVE-2023-42793，未經身分驗證的攻擊者，能藉此從遠端連到TeamCity伺服器上，執行任意程式碼（RCE），或是利用該漏洞竊取原始碼、私鑰、服務機密資訊，挾持Build Agent並造成版本中毒，CVSS風險評分為9.8。</p> <p>對此，開發商JetBrains於9月18日發布2023.05.4版TeamCity予以修補，而對於暫時無法更新的IT人員，該公司也提供緩解漏洞的外掛程式，對於2019.2版以上的用戶，可在不需重新啟動伺服器的情況下套用。研究人員指出，目前尚未發現遭到利用的跡象，但由於觸發該漏洞相當容易，他們認為很快就會出現攻擊行動，呼籲用戶要儘速處理。</p> <p>資料來源</p> <p>1. <a href="https://www.sonarsource.com/blog/teamcity-vulnerability/">https://www.sonarsource.com/blog/teamcity-vulnerability/</a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://blog.jetbrains.com/teamcity/2023/09/critical-security-issue-affecting-teamcity-on-premises-update-to-2023-05-4-now/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-504109199" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://blog.jetbrains.com/teamcity/2023/09/critical-security-issue-affecting-teamcity-on-premises-update-to-2023-05-4-now/</span></a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="http://nsfocusglobal.com/warning-newly-discovered-apt-attacker-atlascross-exploits-red-cross-blood-drive-phishing-for-cyberattack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織AtlasCross佯稱美國紅十字會，意圖透過釣魚郵件散布惡意程式</span></span></strong></a></p> <p><a href="https://securityaffairs.com/151501/cyber-crime/rhysida-ransomware-kuwait-ministry-of-finance.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">科威特財政部傳出遭勒索軟體Rhysida攻擊</span></span></strong></a></p> <p><a href="https://www.resecurity.com/blog/article/Smishing-Triad-Impersonates-Emirates-Post-Target-UAE-Citizens"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">釣魚簡訊攻擊Smishing Triad範圍延伸到阿拉伯聯合大公國</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-actively-exploiting-openfire-flaw-to-encrypt-servers/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">開源即時通訊系統Openfire存在高風險漏洞，已被用於攻擊行動</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/google-assigns-new-maximum-rated-cve-to-libwebp-bug-exploited-in-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">針對日前修補的libwebp零時差漏洞，Google將其CVSS評分提升至10分</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/158974"><strong>【9月26日】駭客組織Stealth Falcon針對中東政府機關下手，散布後門程式Deadglyph</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158960"><strong>【9月25日】埃及總統候選人遭到鎖定，攻擊者利用iOS零時差漏洞在手機植入間諜軟體Predator</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158927"><strong>【9月23日】中國駭客鎖定臺灣安卓用戶，假借提供Whoscall付費功能的破解程式來散布惡意軟體</strong></a></p> </div></div></div>
2023/9/27 17:35作者周峻佑https://www.ithome.com.tw/news/159005
零售IT雙周報第22期：不再只賣元宇宙紀念品，Walmart將電商和會員機制整合進第三方遊戲成為新通路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0917~0930)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#遊戲電商</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#OMO零售</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#會員經營</span></span><br /> 終於不是元宇宙虛擬紀念品，Walmart推出在房地產遊戲內購買家具的電商功能</strong></p> <p>美國零售龍頭Walmart在房地產買賣及裝潢模擬遊戲中推出<a href="http://https://corporate.walmart.com/news/2023/09/19/exploring-the-potential-of-virtual-commerce">購買實體家具功能</a>。玩家可以連結Walmart會員帳號，於遊戲內購買家具來翻新房屋或獲得各式家具獎勵時，會看到「在現實中購買」功能，可直接觀看樣品照片、下單、結帳。遊戲內也有Walmart虛擬門市，可以購買虛擬及實體家具。未來，Walmart還打算於遊戲內持續上架更多實體家具商品。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/wmg1.png" style="width: 600px;" /></p> <p>近兩年來，許多實體零售業者在元宇宙遊戲的操作，大多與自身原有業務無關，或幾乎不具規模。Walmart這次則進一步將會員系統、金流系統及實體商品銷售活動，融入遊戲原生內容。不只如此，他們還打算持續上架新商品，長期經營遊戲這個電商通路。這種做法在業界相當少見。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#餐飲POS系統</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#數據整合</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#訂位系統</span></span><br /> iChef新增餐廳訂位功能，與Google線上訂位功能整合</strong></p> <p>餐飲POS系統商iChef推出訂位管理功能，餐廳能於POS App一站式管理訂位、外送、外帶、餐廳控位、點餐出餐、結帳發票等環節，還能自動寄送訂位確認簡訊。</p> <p>此功能串接POS系統原有桌位管理功能，餐廳可以在介面中看到每桌預約情況，系統還會根據訂位人數和時段自動指派餐桌空位，若桌位臨時空出，也會立即釋放訂位名額。餐廳還可以用簡單拖曳操作，更改訂位指派桌位及時段，以因應重複指派桌位，或訂位者提前到店等情況。新訂位功能依訂位筆數計價，餐廳有不同費率方案跟約期可挑選。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ichefff.png" style="width: 600px;" /></p> <p>之前iChef已與Google商家檔案功能整合，店家可以從iChef後臺管理商家檔案設定，綁定餐廳網站連結。現在，消費者於Google搜尋到商家時，可以從「透過Google預定」功能訂位，還能連結到餐廳網站訂餐、查詢專屬優惠。未來，還計畫支援從Google訂位的手機號碼欄位，來辨識會員身分。</p> <p>根據Google Trend，「訂位」搜尋關鍵字熱門度在疫情後已經達到了疫前3.3倍，顯示出消費者更加重視餐廳線上訂位功能。不過，iChef對自家客戶調查顯示，有接受訂位的餐廳中，高達45%沒有使用線上訂位系統。不使用的主因，是因為對中小型餐飲業來說，新導入訂位系統，有影響現場營運流程、增加管理複雜度、增加員工訓練成本等痛點。</p> <p>從IT角度來看，訂位系統上可能會有許多消費者喜好資料，POS系統不會記錄到，例如聚餐用途、特殊座位喜好、同行者資訊等。業界一個常見痛點是，許多訂位系統與POS系統沒有資料拋轉功能，形成資料孤島。iChef就是鎖定這些管理和IT上痛點，於POS系統中推出訂位功能，以期透過簡化整合程序來吸引餐廳使用。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RFID</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#無人收銀</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI影像辨識</span></span><br /> Amazon於Just Walk Out新增RFID辨識功能，支援電腦視覺難以辨識的商品類型</strong></p> <p>電商龍頭Amazon於Just Walk Out無人結帳解決方案<a href="https://www.aboutamazon.com/news/retail/amazon-just-walk-out-rfid-technology">新增RFID辨識功能</a>，來支援電腦視覺難以辨識的商品類型。</p> <p>過往，Just Walk Out主要利用店內鏡頭，搭配後臺視覺辨識來判斷消費者取放商品。一個問題是，衣物等軟質地商品，一拿起來就會變形，因此過往需要放在袋子或盒子內，AI才容易辨識。不過，若放在袋子或盒子內，消費者便不容易試摸、試穿。為了支援這些AI難以辨識的消費情境，Amazon新增RFID來輔助商品辨認。如此一來，即使消費者頻繁取放衣物，或拿去試衣間之後不放回貨架，系統後臺也能準確追蹤商品狀態。</p> <p>RFID應用於結帳已是相當成熟的技術，快速結帳精確度甚至高於電腦視覺。不過，後者能同時記錄到消費者及商品資訊，更擅長追蹤消費者店內購物行為。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#OMO轉型案例</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電商物流模式</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#多通路經營</span></span><br /> Fila臺灣7年OMO轉型歷程的3大關鍵做法</strong></p> <p>2016年，義大利運動品牌Fila在臺數位轉型正式啟動。從2016到2023年，Fila從一個純線下品牌，發展出了4種線上銷售通路，40萬名數位會員，建立了自動化數位行銷機制，以門市為中心進行線上線下導流，還經營著占地464坪的電商專用倉儲。這背後，有3大關鍵做法，分別是新設專責數位部門、建線上通路蒐集會員數據，驅動數位行銷，以及發展專屬電商商業模式的物流模式。</p> <p>為了發展數位通路，Fila設立了與行銷、資訊部門平級的電商部門，並於行銷部門設立專職數位行銷人員。他們也要求這些專職人員學習數位工具，來支援新通路銷售和行銷模式，更將數位工具操作能力設為KPI。同時，他們陸續導入BI工具、CRM等新系統。</p> <p>發展數位通路同時，他們整合了線上線下會員機制和數據，用來升級數位行銷精準度，從純曝光廣告、回饋網交叉行銷，走到數據驅動的會員精準行銷。疫情期間，他們還利用實體店面地推群組來進行線上線下通路導流。</p> <p>Fila為了進軍電商還發展了新物流模式。電商物流模式與過往線下店面的物流模式相差甚遠，Fila剛開始利用電商寄倉服務來履行電商訂單，後來轉用開店平臺倉儲解決方案，來統一處理各大數位通路訂單物流。未來他們還打算進一步整合電商及實體物流，以支援更多跨通路業務。（<a href="https://www.ithome.com.tw/news/158912">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#店內數據分析</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#店面規畫</span></span><br /> Henderson Group利用銷售和店面室內設計資料，從個別門市等級優化店面規畫</strong></p> <p>旗下有知名超市Spar的北愛爾蘭零售集團Henderson Group結合店內銷售數據和個別店面室內設計數位資料，從個別店面級別，優化上百家門市的店內貨架安排及商品陳列。</p> <p>背後技術是零售店面科技商CADS的系統，整合AutoCAD和Nielsen Planogram等常見店面設計軟體素材。此系統還可以追蹤店面銷售表現，來提供空間規畫改善建議，例如是否有商品種類占用太多或太少空間。</p> <p>目前Henderson Group已經在101家店中利用此技術來優化店面規畫，未來預計推廣此做法到旗下400家以上店面。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1. 誠品物流資料中心從三層式架構改為採用超融合架構，提升了30%系統運作速度</p> <p>2. <a href="https://www.prnewswire.com/news-releases/luxury-performance-footwear-brand-athletic-propulsion-labs-steps-up-its-ecommerce-results-with-ai-powered-true-fit-guidance-to-increase-revenue-and-reduce-returns-301930557.html">知名鞋類品牌APL於電商導入AI試穿科技，4年來減少了15%退貨情形。</a></p> <p>圖片來源：iChef、Walmart</p> <p>資料來源：iThome整理，2023年9月</p> <p>責任編輯：郭又華</p> </div></div></div>
2023/9/27 17:18作者郭又華https://www.ithome.com.tw/news/159004
各供應商GPU皆存在GPU.zip漏洞，可被攻擊者用於竊取視覺資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安研究人員檢視各供應商的GPU，發現了一個被稱為<a href="https://www.hertzbleed.com/gpu.zip/">GPU.zip的旁路漏洞</a>，如同該名稱所暗示，此漏洞與GPU的壓縮行為有關。攻擊者可以濫用此旁路漏洞洩漏視覺資料，資安人員實現GPU.zip概念性驗證，利用最新版本的Chrome瀏覽惡意網頁，便能夠竊取另一個網頁洩漏的像素，而這個行為違反了瀏覽器的安全模型。</p> <p>由於傳輸資料的成本通常比處理資料更高，因此壓縮技術便常被用來解決記憶體牆（Memory Wall）的問題，這是指處理器的效能提升速度，快過記憶體存取速度的提升，因此處理器經常需要等待記憶體資料。當這種現象發生，壓縮技術便能派上用場，透過消除重複的資料模式，以更少的位元編碼相同的資料。</p> <p>GPU圖形資料壓縮是現代GPU的一項功能，能夠節省記憶體頻寬並提高效能，而這項壓縮不需要軟體參與，研究人員提到，即使軟體不要求任何壓縮，現在的GPU也會對圖形進行無損壓縮，這個壓縮行為對軟體來說完全透明，也就是軟體無法得知GPU是否執行圖形壓縮。</p> <p>當資料被壓縮時，會產生特定的記憶體存取模式和快取模式，資料與模式間存在相依性，也就是不同的原始資料，在壓縮後會產生不同的模式，攻擊者可以利用這些模式進行旁路分析，進而推測出原始資料的內容。</p> <p>研究人員便是透過創建特定的圖形模式，觀察GPU壓縮圖形模式的方法，再根據壓縮結果，猜測出部分秘密資訊，像是瀏覽器中的像素值。由於壓縮行為是透明的，軟體不知道GPU背後的壓縮動作，因此軟體開發者可能認為，沒有明確壓縮指令時，GPU便不會進行壓縮，但實際上硬體的確會自行壓縮，這樣的認知差異就可能被攻擊者利用。</p> <p>過去已知的壓縮旁路漏洞是由軟體可見的壓縮造成，只要透過在軟體停用壓縮或是額外措施緩解旁路洩漏風險就能緩解，但是當前GPU的壓縮行為軟體不可見，因此也更難解決。</p> <p>在大多數的情況下，這個漏洞對終端用戶來說不危險，因為大多數敏感網站已經拒絕被其他來源的網站嵌入，所以也不容易受到利用GPU.zip所執行的像素竊取攻擊。但部分網站仍有影響，當一個已登入維基百科的使用者存取惡意網站，該網頁可能會利用GPU.zip攻擊知道該使用者的維基百科用戶名稱，不過目前大多數主流網站已有防護措施，因此一般使用者的日常瀏覽不太可能遭遇這種攻擊。</p> <p>對開發人員來說，當網站會顯示使用者的敏感資訊，就應該配置網站拒絕被跨來源網站嵌入。資安人員在今年3月時向GPU供應商通報這項漏洞，包括AMD、Apple、Arm、Intel、Nvidia和Qualcomm，另外還有瀏覽器供應商Google，同時提供概念性驗證程式碼，不過，到目前尚無GPU供應商承諾提供修復程式，Google則仍在決定是否修補。</p> <p>資安人員特別解釋，之所以這項攻擊容易在Chrome中被濫用，是因為Chrome允許跨來源iframe載入Cookie，且允許在iframe上渲染SVG過濾器，並把渲染任務委派給GPU，Firefox和Safari等其他不符合這三項標準的瀏覽器，便不容易受到攻擊。</p> </div></div></div>
2023/9/27 16:37作者李建興https://www.ithome.com.tw/news/159000
Mandiant示警：中國網攻大轉型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【mWISE 2023美國華盛頓特區報導】</p> <p>「1995年我們調查一起中國駭客入侵事件，循入侵路徑調查攻擊者IP，才反查一個連線點就查出IP位於中國上海，很快就能判定為中國駭客。」Google Cloud Mandiant行政總裁Kevin Mandia說：「但是，近年來中國的網路攻擊戰略已經大幅轉變，他們的攻擊能力與匿蹤能力已不可同日而語。」</p> <p>Mandiant在2013年發布全球第一份指證中國軍隊涉及網路攻擊的「APT 1」調查報告，他們追蹤駭客攻擊足跡，證實位於上海市浦東新區的中國人民解放軍61398部隊就是中國的網軍部隊，因而聲名大噪。</p> <p>「中國的網路攻擊能力已經到達一個全新境界。」在APT 1報告問世十年的時刻，Google Cloud Mandiant Intelligence主席Sandra Joyce在mWISE 2023的媒體簡報會上說：「中國現在已經有能力策畫出，連我們（Mandiant）都要花好幾個月時間才能弄清楚的網路攻擊行動。」因而Mandiant已將中國提升到第一級網軍國家。</p> <p>Mandiant對中國駭客攻擊手法轉型的調查總結三大轉變，包括系統性挖掘零日漏洞（Zero Day）、利用網通設備的漏洞來入侵企業或組織，以及挾持家用或中小企業路由器、IoT等設備，做為攻擊跳板。</p> <p>中國駭客攻擊已經逐漸捨棄社交工程手法，轉為利用威力更強大的零日漏洞。Google Cloud Mandiant Intelligence首席分析師John Hultquist指出，利用零日漏洞來發動攻擊，可以一次性地造成大規模的攻擊，只要是使用相同網通設備、具有相同零日漏洞的企業或組織，就可以一網打盡。</p> <p>近年來好幾起中國駭客攻擊事件，都是利用知名網通設備的零日漏洞，諸如防火牆、VPN伺服器、郵件伺服器等，例如自2022年陸續發現Fortinet防火牆、Sophos防火牆、Barracuda郵件伺服器、Citrix ADC、SonicWall郵件安全系統、Pulse VPN等設備的零日漏洞被中國駭客所利用。</p> <p>「這些一再發生的零日漏洞事件明白告訴我們，中國有計畫性地投入大量資源，系統性挖掘網通設備的零日漏洞。」John Hultquist說：「我相信他們一定有個專門研究零日漏洞的實驗室，甚至有可能是好幾個實驗室。」</p> <p>中國在2021年實施《網路產品安全漏洞管理規定》，要求任何人發現或得知網路產品安全漏洞，皆須通報中國工業和信息化部，不得自行公布。此舉也讓外界質疑中國可能藉此暗藏零日漏洞，做為日後發動網路攻擊之用。也難怪Sandra Joyce說：「這些零日漏洞的開發與用途皆由中國人民解放軍集中控管，根本就是製造零日漏洞的機器。」</p> <p>中國網路攻擊另一個重大的轉變，是建構一個擴及全球的網路攻擊跳板。中國駭客利用不安全的家用路由器、中小企業的辦公室路由器或連網IoT裝置，先行入侵這些設備，將其組成一個龐大的傀儡網路。在一起美國軍事機構駭客入侵事件中，首先追查到的攻擊來源是美國境內的家庭路由器，再往後追查又是很複雜的網路跳接，就會讓整個調查行動進度緩慢。John Hultquist指出，現在中國駭客可以從全球任何一個地方發動攻擊，以混淆視聽，達到掩飾的效果，讓調查人員難以溯源追查。</p> <p>中國網攻的大轉變仍在進行中，Sandra Joyce說：「在這種情勢下，地緣政治事件將導致網路攻擊事件，已是必然的趨勢。」</p> </div></div></div>
2023/9/27 16:40作者吳其勳https://www.ithome.com.tw/news/159003
【跨域組金融醫療團隊，自建FHIR引擎轉換病歷標準】國泰金發展醫療大平臺的關鍵一步
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>說起理賠，許多人的印象是到醫院掛號、申請診斷書，交給保險業務，經過漫長等待才獲得理賠。但對壽險業者來說，這是個高度複雜的多對多流程挑戰。一家壽險業者，會收到來自全臺大大小小醫院的診斷書，每一家格式都不盡相同，也未必都符合理賠作業的資料需求。因此，壽險業者得耗費大量人力來整理、審核資料，才能核准理賠。</p> <p>要是有個工具，能解決醫院、壽險業者間資料格式轉換的問題，縮短民眾等待時間，甚至往前一步，讓資料在醫院端先轉換成國際通用的交換標準，符合國家政策和國際趨勢，就會是一大幫手。這正是國泰金控想實現的目標，也是他們自建iFHIR Center電子病歷交換平臺的起心動念。</p> <p><span style="font-size:28px;"><strong>契機：醫療和壽險資料規格不一</strong></span></p> <p>這套平臺由國泰金控數位數據暨科技發展中心（簡稱數數發中心）一手打造。數數發中心是國泰集團內部負責研發新技術的組織，也專責協助集團子公司導入新技術、推動數位轉型。</p> <p>數數發中心雲端策略發展部副總經理陳維銘指出，數數發中心一直有專責團隊，研究金融與醫療的創新應用場域。由於國泰集團自有壽險和醫院，在COVID-19疫情間，相關理賠案件大增，團隊很快發現，為了因應不同醫院文件差異的人工審查作業，越來越是件麻煩事。</p> <p>因此，他們決定打造一套工具，來解決壽險與醫院間理賠資料格式不統一的痛點。當時，衛福部正好開始推動國際交換標準FHIR，激發數數發團隊進一步思考，若能將病歷資料，從現有的CDA R2標準先轉換為FHIR標準，再進行理賠資料交換，這麼做不只符合國家和國際趨勢，對醫院未來的潛在資料交換場景和應用，也更有幫助，可以成為一個多贏的作法。</p> <p>於是，2021年底，數數發中心成立了金融醫療科，由數數發中心雲端策略發展部金融醫療科經理廖銘宏帶隊，來開發這套工具。</p> <p><span style="font-size:28px;"><strong>組隊借鏡醫院經驗，盤點病歷種類</strong></span></p> <p>廖銘宏指出，他們採取分階段的策略，先打造iFHIR Center電子病歷交換平臺，將病歷資料轉換為FHIR標準，之後再透過iClaim智能醫療理賠平臺等工具，來進行醫療機構和人壽間的理賠病歷資料傳輸。</p> <p>為了開發交換平臺核心的FHIR轉換工具，數數發中心聯手集團旗下國泰醫院，先盤點醫院資源、了解作業流程。資料格式轉換的複雜度取決於醫院病歷，初步盤查後發現，高達40多種病歷，所需的表單類型也非常分歧。</p> <p>在專案初期，這個轉換複雜度涵蓋的範圍太大了。為找出最低成本的最小可行性產品（MVP），國泰醫院從醫院觀點提供實務經驗，雙方進一步縮小範圍，先聚焦到幾項常用的病歷單張。數數發團隊則從國泰醫院分享中，了解到醫院可用的資源、規範等現況和限制，並根據這些資訊來調整專案規畫，比如在轉換平臺中添加病歷資料的自定義樣板。</p> <p>不只請教國泰醫院，數數發團隊還找上外部醫資專家，來學習FHIR知識，展開一系列知識分享會和培訓課程，範圍涵蓋基本的FHIR資源組成和複雜的應用方法，並將這些技能用於平臺設計上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-1-iFHIR%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%9C%8B%E6%B3%B0%E9%87%91%E6%8E%A7.png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>國泰金控打造iFHIR Center電子病歷交換平臺，包含3層架構，如簡易操作的無／低程式碼操作層、定義設定層和轉換層，其中，定義設定層包含自定義樣板，可讓醫院用來定義病歷。</strong></span><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／國泰金控</span></span></p> <p><span style="font-size:28px;"><strong>自建低程式碼操作層，FHIR轉換平臺成型</strong></span></p> <p>在各種努力下，數數發團隊在2022年，完成iFHIR Center電子病歷交換平臺的開發。這款平臺共有3大層，包括了無程式碼／低程式碼操作層、定義設定層，以及FHIR轉換層。</p> <p>其中，操作層可讓醫院使用者，直覺地用來設定原本電子病歷對應FHIR的定義。因為，醫院現行的病歷若要轉換為FHIR格式，需花時間一一定義個別欄位、確認欄位，往往曠日費時。為了優化這段流程，數數發團隊打造了簡單直覺的操作介面，讓使用者幾乎不需寫程式碼，只需簡單設定妥要轉換的欄位就能進行，節省了不少工作時間。</p> <p>再來是定義設定層，該層提供了現行CDA R2標準和自定義樣板，讓醫院使用者可以定義自己的病歷格式。</p> <p>這個自定義樣板，正是源自國泰醫院多年經驗打造而成。雖然醫院病歷多達數十種，可是，衛福部只有針對常用病歷，預先訂出符合CDA R2標準的專用格式，醫療機構少用的病歷則不規範，得靠醫院自行定義，如國泰醫院就自行定義了11張病歷單張。這類自定義病歷多為XML格式，在定義設定層上提供的自定義樣板，正是為了讓醫院用來定義這些官方未規範的病歷。</p> <p>除了操作層、定義設定層，iFHIR Center平臺還有一個FHIR轉換層，能根據設定層的樣板設定，將CDA R2標準或自定義XML格式的電子病歷資料，轉換為FHIR JSON格式。這還沒結束，這些經平臺轉換的FHIR JSON病歷資料，會寫入FHIR伺服器，來進行不同機構間的FHIR資料交換。也就是說，欲交換的機構可在FHIR伺服器上，取得所需資料。</p> <p>除了功能性分層，在技術上，iFHIR Center電子病歷交換平臺採用了微服務架構設計，來確保平臺彈性和擴充性，也部署在公有雲上。廖銘宏解釋，雲端模式可降低醫院IT維運負擔，而且，衛福部去年開放電子病歷上雲，允許機構使用境內雲端服務。考量符合衛福部規範、在臺設置資料中心等因素，團隊後來決定部署到Google雲平臺。</p> <p><span style="font-size:28px;"><strong>持續優化平臺，要讓使用者能直接調整</strong></span></p> <p>除了架構上的斟酌，這個平臺最重要的核心是FHIR病歷規格。為確保平臺支援的FHIR電子病歷單張規格，能夠符合衛福部的指引規範，數數發團隊不只密切關注衛福部提出的臺灣核心實作指引（TW Core IG），也聘請了參與指引制定的專家，來協助設計平臺。</p> <p>不過，衛福部的TW Core IG還未涵蓋到所有常見的電子病歷單張，實作指引日後還會不斷調整。因此，「持續優化！」廖銘宏指出，他們正將iFHIR Center平臺的FHIR設定功能，調整為更彈性的方式，讓使用者只需參考TW Core IG規範變更，進行基礎的欄位對應（Mapping）後，就能轉換病歷資料。</p> <p>國泰金控數數發中心雲端策略發展部金融醫療科企業架構師張芳瑜進一步解釋，現行的CDA R2病歷資料標準為XML格式，就像是一份已有固定欄位的表格（Table），但是FHIR則由一個個反覆重用的資源（Resource）所組成，就像是可重複組合的積木。使用者要將CDA R2檔案轉為FHIR，得將XML檔案中的特定內容，對應到對應的FHIR資源中，如將表格中的病人姓名、性別等基本資料，對應到FHIR的姓名、性別資源。</p> <p>不過，一開始，國泰先將轉換邏輯寫入到程式來提高速度，因此難以根據指引的更動來快速調整，在臨床作業上會帶來一些困擾，比如，第一線病歷室職員平臺瞄準的使用者群，也很了解病歷欄位定義，但是，衛福部指引變動時，只能靠不熟悉欄位定義的IT人員來修改程式碼。後來，數數發團隊決定將調整權交給第一線使用者，讓他們可以自行根據指引現狀，調整欄位內容，才發展出更簡潔的設定介面。</p> <p>目前，這套iFHIR Center平臺支援的電子病歷單張達到了17張，包含檢查報告、門診病歷、出院病摘、檢驗報告、手術記錄、病理報告、護理計畫、急診檢傷、會診記錄、證明書、病歷首頁、急住醫矚、化療醫囑、呼吸治療、復健報告、住院歷程、電子表單等。</p> <p><span style="font-size:28px;"><strong>邁入推廣測試階段，已有近10家醫學中心加入</strong></span></p> <p>平臺開發完成後，國泰開發團隊參加了2022年第三屆臺灣FHIR聯測松，來測試1.0版平臺的能力。這是產官聯手舉辦的FHIR聯測松活動，要提供醫院、醫資廠商、平臺開發者等多方來驗證，自己是否能按照規定的FHIR格式拋轉醫療資料。在那場聯測中，數數發團隊報名了3個賽道，包括病人基本資料、處方用藥及文件打包，以及緊急醫療救護，最後也成功通過這3種情境的測試，證實平臺具備這3類FHIR資料交換能力。</p> <p>與此同時，數數發團隊也拜訪全臺近10家醫學中心等級醫院，與這些醫院一一展開測試，由醫院傳送假資料來測試FHIR轉換器，評估平臺能否將資料轉換為FHIR標準。在這個驗證階段，資料先傳送到數數發團隊建置的環境中。不過，待iFHIR Center平臺正式上線後，使用者可將平臺部署在自家私有雲上，或由數數發團隊提供容器化版本，來讓使用者部署在醫院端，於虛擬機器上執行。</p> <p>由於數數發中心並非廠商身分，因此不會將這套平臺包裝為產品服務來販售，而是作為工具，提供給醫院使用。這意味著，醫院可將這套平臺用於不同資料交換場景，比如緊急救護、轉診等。陳維銘指出，數數發團隊希望，藉提供這個工具，能吸引醫院共同發展應用案例，如理賠抵繳。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-2-%E5%9C%962-3%E5%B9%B3%E8%87%BA-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%9C%8B%E6%B3%B0%E9%87%91%E6%8E%A7.png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>FHIR標準轉換平臺是國泰金控金融醫療生態圈布局的第一階段，目前也展開第二階段，建置iClaim智能醫療理賠平臺和iHealthShare醫療理賠資料查詢平臺，來加速醫療理賠資料傳輸和查詢。第三階段則是與醫療健康照護產業發展生態圈。</strong></span><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／國泰金控</span></span></p> <p><span style="font-size:36px;"><strong>首波瞄準理賠抵繳，下一步要建金融醫療生態圈</strong></span></p> <p>理賠抵繳正是iFHIR Center平臺首波瞄準的應用情境。一般來說，民眾要申請住院理賠，得收集紙本的診斷報告、檢驗檢查資料和收據，再交給保險業務員處理。若遇上定期回診狀況，民眾就得分批收集紙本資料，時間冗長且有丟失風險，影響理賠金額。</p> <p>因此，數數發團隊構思的應用情境是，透過保戶民眾在醫院App授權同意，來啟動iFHIR Center平臺，自動將民眾在醫院的診斷報告、檢驗檢查和收據等資料，轉換為FHIR標準，並傳送給壽險業者。同時，壽險業者端也能根據資料來試算抵繳金額，民眾離院繳費時，就能直接採取理賠抵繳，甚至不用付現金。</p> <p>為實現這一目標，數數發團隊已經展開第二階段的平臺建置，打造iClaim智能醫療理賠平臺和iHealthShare醫療理賠資料查詢平臺，來分別加速醫療機構和人壽間的理賠病歷資料傳輸、強化醫療和保險業者間的資訊互通，後者還可查詢民眾的理賠申請資料、iFHIR授權病歷和iClaim抵繳金額等資訊。有了這些平臺，就能展開第三階段任務，與醫療健康照護產業發展更多應用場景。</p> <p>從打造轉換引擎到發展互通平臺，國泰格外聚焦資料傳輸的安全。由於病歷資料屬特種個資，數數發團隊深知資料保護重要性，採用了2項技術來確保安全，包括用ECDH演算法來加解密病歷資料，以及用ECDSA演算法來進行資料的數位簽章。</p> <p>進一步來說，ECDH的好處是不必與所有平臺使用者（含醫院、保險業者）明訂金鑰，而是透過傳送方私鑰和接收方公鑰，來產生金鑰，進行加密工作。另外，接收方的私鑰再加上傳送方的公鑰，則能產生一把一模一樣的金鑰，來進行資料解密。而數位簽章的做法，則與常見概念相同，就是透過私鑰簽章、公鑰驗章，來確保資料完整性和真實性。</p> <p>他們希望透過這些技術，來簡化醫院與壽險業者的理賠和核保流程。不只如此，數數發團隊還有更多理想應用情境，比如iFHIR Center平臺可用來加速醫院與照護機構的資料互通，提高照護監測品質，又或是醫院與其他醫療機構以此交換資料，來加速醫療決策和服務。甚至，這些工具還能用來打造醫療數據庫，以利大規模醫療科技應用研發。國泰金控更長遠的願景是，借助這些工具和應用場景，來形塑出一個金融醫療生態圈。</p> <p><span style="color:#FFFFFF;"><span style="font-size:36px;"><strong><span style="background-color:#3399ff;"> 設計醫院FHIR課程，分享避坑指南 </span></strong></span></span></p> <p><span style="color:#696969;"><strong>國泰金控數數發中心不只自建iFHIR Center電子病歷交換平臺，為了讓醫院使用者順利上手這套工具，他們還設計一套FHIR入門課程。進一步來說，這款iFHIR Center平臺瞄準醫院病歷室職員，要讓使用者輕鬆將CDA R2標準的病歷資料，轉換為FHIR標準。在開發過程中，數數發團隊不只向國泰醫院請益，也聘請外部專家來學習FHIR知識。</strong></span></p> <p><span style="color:#696969;"><strong>儘管FHIR標準在2011年就於美國推出，但近年才在臺灣受重視。也因此，FHIR的應用與學習資源，在臺灣仍不算多。國泰數數發團隊在這個條件下，跨領域學習、開發FHIR轉換平臺，「下了很多功夫，」國泰金控數數發中心雲端策略發展部金融醫療科經理廖銘宏說。</strong></span></p> <p><span style="color:#696969;"><strong>他們彙整自己的開發和學習經驗來設計課程，「不只告訴醫院FHIR是什麼，也讓他們避免我們踩過的坑，」廖銘宏表示。國泰數數發團隊開給醫院的課程，包括基礎的FHIR介紹，像是FHIR的組成、結構、如何將現行病歷資料對應（Mapping）到FHIR資源中，以及如何使用iFHIR Center平臺等內容。在課程中，團隊也穿插出考題，來評估醫院使用者是否理解學習內容。</strong></span></p> <p><span style="color:#696969;"><strong>國泰金控數數發中心雲端策略發展部金融醫療科企業架構師張芳瑜指出，對醫院來說，FHIR資料對應是挑戰較大的部分。</strong></span></p> <p><span style="color:#696969;"><strong>因為，FHIR有細緻的欄位定義，需要醫院使用者重新檢視現行CDA R2標準的病歷內容，再將這些內容拆分、準確對應到FHIR欄位，如此才能順利轉換。但有些醫院，未必完全遵照CDA R2規範，因此得花更多時間整理原有病歷內容，才能進行欄位對應和轉換。</strong></span></p> <p><span style="color:#696969;"><strong>同時，數數發團隊也分享踩雷經驗，張芳瑜舉例，使用開源FHIR伺服器HAPI FHIR時，團隊遭遇到一個長期未修復的程式錯誤問題，也就是在該伺服器上查詢資料時，無法給出整份資料。這時，就得使用其他程式來處理。他們將這類經驗分享給醫院使用者，讓更多人熟悉這項應用。</strong></span></p> <p><span style="color:#696969;"><strong>今年，他們還聯手臺灣醫療影像資訊標準協會，要在國泰金控舉辦2023年度FHIR聯測松，來讓醫資廠商、醫院、學研政府等機構，來測試FHIR資料交換能力，擴大生態圈影響力。</strong></span></p> </div></div></div>
2023/9/27 16:00作者王若樸https://www.ithome.com.tw/news/158999
駭客正鎖定LastPass用戶發動釣魚信件攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日有不知名駭客鎖定LastPass用戶發動釣魚信件攻擊，導致LastPass用戶的密碼及個資外洩，連LastPass員工也受害。</p> <p>本月13日LastPass接獲用戶通報遭到釣魚信件攻擊，<a href="https://www.malwarebytes.com/blog/news/2023/09/nasty-lastpass-phish" target="_blank">安全廠商Malwarebytes也取得信件樣本進行分析</a>。這波攻擊中，用戶接到貌似LastPass技術支援單位寄來的信件，表示用戶某項功能遭到封鎖，用戶需在9月26日前輸入個資完成身分確認以便重啟該功能。為數不詳的用戶點入信中所附連結連進釣魚網站後，讓駭客取得了個資。</p> <p class="rtecenter"><a href="https://www.malwarebytes.com/blog/news/2023/09/easset_upload_file2015_282256_e.jpg" target="_blank"><img alt="" src="https://www.malwarebytes.com/blog/news/2023/09/easset_upload_file2015_282256_e.jpg" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Malwarebytes</span></span></p> <p>被騙走的用戶個資包括電子郵件、公司名稱、用戶姓名、住家地址、電話號碼、IP位置，駭客並用這些資訊竊取了用戶的密碼庫（password vaults）。<a href="https://blog.lastpass.com/2023/09/lastpass-threat-intel-team-and-phishlabs-work-together-to-protect-customers-from-phishing-scams/" target="_blank">不過LastPass聲稱</a>，如果用戶有遵循密碼最佳實作的話（例如主密碼使用強密碼），要暴力破解取得密碼庫儲存的密碼並不容易。</p> <p>釣魚網站是代管在本月才設立在斯洛維尼亞的網域。LastPass指出，儘管9月上旬該公司聯同安全廠商關閉了該網域，到了9月下旬又死灰復燃，再度發動攻擊。受害者有多少不得而知，LastPass指出，這波攻擊是全球性，受害者遍及不同產業，也包括該公司87名員工。</p> <p>LastPass相信這波攻擊和去年8月竊走該公司用戶密碼庫的安全事件，並非同一群人所為。去年8月事件中，駭客成功竊走客戶加密密碼庫，也鎖定一名員工，並成功獲得憑證和金鑰，以存取和解密雲端資料庫，取得部分原始碼和技術資訊。</p> <p>安全廠商提醒，要防止被網釣攻擊，除了提高警覺外，最好使用密碼管理器，此類工具不會將用戶憑證輸入假網站。此外業者說，雙因素驗證（2FA）也有分，有的只是密碼而已，使用者應該選用搭配FIDO2裝置（例如USB硬體式）的2FA。</p> </div></div></div>
2023/9/27 13:37作者林妍溱https://www.ithome.com.tw/news/158995
美國FCC提議恢復網路中立規定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦通訊委員會（Federal Communications Commission，FCC）主席<a href="https://docs.fcc.gov/public/attachments/DOC-397235A1.pdf" target="_blank">Jessica Rosenworcel在周二（9/26）提案恢復網路中立（Net Neutrality R）規定</a>，重新將寬頻服務供應商納入《聯邦通訊法》（Communications Act of 1934）中用來規範公共事業的Title II中，再度建立FCC對寬頻供應商的管轄權。</p> <p>其實FCC只是要重返2015年所制定的網路中立政策，當時FCC即將ISP業者的服務列入規範較嚴格的Title II類別，並要求ISP業者應該平等對待網路上的資料，不應基於不同的使用者、內容、型態、網站、平臺、通訊模式，或設備而有差別待遇。</p> <p>然而，當美國總統川普（Donald Trump）於2017年上任之後，改朝換代的FCC即在<a href="https://www.ithome.com.tw/news/123822" target="_blank">2018年實施了用來取代網路中立政策的《恢復網路自由命令》</a>（Restoring Internet Freedom Order），把針對ISP業者的規範從Title II移至較為寬鬆的Title l，認為寬鬆的政策才能創造更開放與自由的網路，並可移除阻礙寬頻投資的規定。新的政策也讓ISP業者有權封鎖網站並依流量訂價。</p> <p>其實《恢復網路自由命令》受到許多抵制，並有許多州不管該法令，自行訂定了網路中立規定，<a href="https://www.ithome.com.tw/news/133397" target="_blank">還受到上訴法院的支持</a>。</p> <p>不過，這件事在美國總統拜登（Joe Biden）於2021年1月上任後又有了改變，由新成員組成的FCC再度提出了網路中立政策。</p> <p>現任的FCC主席Rosenworcel表示，網路對社會與經濟太重要了，不能缺乏有效的監管，但FCC在2018年廢除了網路中立，並放棄對寬頻的監督，現在他們將重新建立FCC對寬頻的監管，同時恢復統一的網路中立規則。此外，寬頻網路服務已是美國人生活上不可或缺的服務，而《聯邦通訊法》Title II即可用來確認寬頻服務與水、電及電話等服務一樣，都屬於必需品，新規定將讓固網與行動網路重返它們作為基本電信服務的地位。</p> <p>新的網路中立政策大部分與2015年的規定類似，要求網路服務供應商不得阻止合法內容或限制使用者速度；應重新分類寬頻網路存取，提供政府機構及安全合作夥伴適合的工具來抵禦安全威脅；應向FCC及使用者通報網路中斷狀況；以及建立全美統一的網路中立規定等。</p> </div></div></div>
2023/9/27 14:42作者陳曉莉https://www.ithome.com.tw/news/158996
Cloudflare要以Cloudflare Fonts挑戰Google Fonts
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>內容遞送網路供應商暨雲端資安業者<a href="https://blog.cloudflare.com/cloudflare-fonts-enhancing-website-privacy-speed/" target="_blank">Cloudflare在本周一（9/25）發表了Cloudflare Fonts</a>，企圖挑戰Google Fonts（Google字型）。Cloudflare宣稱Cloudflare Fonts不必從第三方的Google伺服器載入字型，強化了使用者的隱私，也因其字型更接近使用者，再加上減少了DNS查找與TLS連結的時間，提高了網站的效能。Cloudflare Fonts預計於今年10月上線。</p> <p>Google Fonts是Google所建置的開源字型平臺，提供大量的網頁字型供設計師及開發者於網頁專案中使用，開發者可先於HTML程式碼中置入字型連結，再以CSS樣式來指定哪些元素應該使用所指定的字型。目前Google Fonts提供了1,562種字型家族，也是全球最熱門的網頁字型，<a href="https://www.datanyze.com/market-share/web-fonts--16" target="_blank">市占率接近90%</a>，居次的則是Adobe Fonts的12%。</p> <p>Cloudflare解釋，要自Google載入字型時，網站必須與Google伺服器交換資料，意味著造訪該站的使用者必須直接傳送請求至Google，也讓Google有機會累積大量資料，包括IP位址、使用者代理人、展示字型的網頁或是特定IP提出請求的頻率等，縱使Google宣稱該站不會使用相關資料來遞送廣告或設定Cookie，但Google終究還是取得了使用者的資料。</p> <p>而Cloudflare Fonts則是直接來自客戶的網域，不必向第三方網域送出請求，亦滿足了資料在地化的相關規定。</p> <p>在效能上，載入Google Fonts牽涉到HTML與CSS，且它們由不同的網域代管，瀏覽器要成功從Google伺服器上取得一個字型需要經歷DNS查找、建立連結、HTTPS的TLS交涉，以及資源的請求等，總計會有8次往返。而Cloudflare Fonts則把往返次數大幅縮減至一次，因而強化了效能。</p> <p>Cloudflare的說明，由於不必向第三方伺服器提出請求，因此可省去DNS查找、建立連結與TLS交涉的程序，再加上Cloudflare改寫了於Cloudflare網路上傳遞的HTML，直接嵌入CSS回應，而字型的URL轉換亦於該CSS中執行，使得載入Cloudflare Fonts只需一次往返。</p> <p>根據Cloudflare的測試，在使用Google Fonts時，瀏覽器要將使用者可見的內容渲染到螢幕上的開始時間（First Contentful Paint ，FCP）為0.9秒，但啟用Cloudflare Fonts之後，FCP即降至0.3秒。不過，對於一般的FCP標準而言，1.8秒內就是不錯的表現了。</p> <p class="rtecenter"><img alt="" src="https://blog.cloudflare.com/content/images/2023/09/image6-1.png" style="width: 500px;" /></p> <p>目前Cloudflare尚未公布Cloudflare Fonts所提供的字型數量。</p> </div></div></div>
2023/9/27 14:55作者陳曉莉https://www.ithome.com.tw/news/158998
包含Copilot、Windows 365新功能的Windows 11正式提供下載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼<a href="https://www.ithome.com.tw/news/158879" target="_blank">上周預告</a>後，微軟周二<a href="https://blogs.windows.com/windowsexperience/2023/09/26/the-most-personal-windows-11-experience-begins-rolling-out-today/" target="_blank">宣布Windows 11更新版正式釋出</a>，包含AI助理Copilot、AI強化多項原生應用程式、Windows 365及IT管理新功能。</p> <p>最新版Windows 11 22H2更新，包含150多項新功能，用戶可在「設定」> Windows Update檢查是否已經可更新。微軟預計會在11月安全更新前，完成所有功能的部署。</p> <p>一如上周預告，其中最重要的新功能是Copilot for Windows。使用者可以在文字提示視窗輸入自然語言文字讓它執行任務，包括搜尋網路、電腦中的文件或檔案、將藍牙和耳機配對、或是抓取App螢幕擷圖。Copilot for Windows位於工作列或透過快捷鍵「WIN+C」開啟，但使用者必須先登入微軟帳號（Microsoft account）或Microsoft Entra ID（原Azure Active Directory）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/copilot-in-windows.png" style="width: 600px;" /></p> <p>微軟另外強調，以AI更新的Windows 11原生程式。其中小畫家除了支援圖層和透明度，還預覽了名為Paint Cocreator的工具（下圖），允許使用者以文字提示、選擇想要的風格來產出圖片，並以Content Credential加入證明是AI創作的浮水印。這工具預計明天推向Insider用戶，未來幾周會全面部署。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Paint%20Cocreator%20preview.jpg" style="width: 600px;" /></p> <p>影片編輯工具Clipchamp的Auto Compose（下圖），可由AI建議場景、編輯、旁白協助用戶製作影片，完成後可選擇儲存在OneDrive或Google Drive。AI強化的剪貼工具加入「文字處理（text actions）」視窗，允許使用者存放從網頁或其他來源擷取文字再貼到文件或簡報檔中，或是把圖片的某些部分塗黑以確保隱私。相片（Photos）程式新增可搜尋儲存在OneDrive相片的功能。新的備份功能可備份Windows 10以上版本的檔案、設定和應用程式，而Windows 11 22H2以後版本還支援回復（restore）。備份是儲存在OneDrive上，故必須登入微軟帳號。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0927-Windows%2011-Microsoft%20Clipchamp-Auto%20Compose.jpg" style="width: 600px;" /></p> <p>Windows 11也強化了語音控制功能，包括語音操作（Voice Access）新增可使用地方，包括登入、以口說修正文字、或在拼字檢查中口說定義新字。此外，朗讀程式提供用戶3種聲音選擇，現在除了美式英文再加入8種語言包括中、日、韓、西、葡、法、德，以及英式與印度英語。</p> <p>在安全功能方面，22H2更新透過Windows Hello支援通行密鑰（passkey）（下圖），passkey可支援Edge、Chrome、Firefox等瀏覽器，而結合Microsoft Entra ID帳號登入則可允許企業IT部門以Windows Hello for Business執行列管裝置的無密碼登入公司資源。若員工欲使用非列管裝置，如自己的PC存取公司網路資源，22H2更新版內建Windows行動應用管理（Mobile Application Management for Windows），可讓員工以Edge連上公司網路時可為IT監控。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0927-Passkeys-Windows%2011-Windows%20Hello.jpg" style="width: 600px;" /></p> <p>Windows 11更新也加入了力推Windows 365雲端作業系統工具。除了可讓用戶在桌機和雲端切換的Windows 365 Switch，22H2又新增Windows 365 Boot，讓一些作業型態，如客服人員一開機就能登入Windows 365 Cloud PC作為主要作業系統。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0927-Windows%20365%20Switch-Windows%2011-icon%20in%20the%20taskbar-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">Windows 365 Switch</span></p> <p class="rtecenter"><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%20of%20signing%20into%20Windows%20365%20Cloud%20PC-Windows%20365%20Boot(1).png" style="width: 600px;" /></span></p> <p><span style="color: rgb(105, 105, 105);">Windows 365 Boot</span></p> <p>其他功能包括加入AI建議的新檔案總管及開始功能表、新版Outlook for Windows、加入home頁的「設定」App、預覽Instant Games功能──讓具有Game Pass subscriptions的用戶不需下載，可在Windows版Microsoft Store直接玩遊戲，以及動態光源裝置、自動色彩管理。</p> <p><span style="color: rgb(105, 105, 105);">圖片來源：微軟</span></p> </div></div></div>
2023/9/27 12:38作者林妍溱https://www.ithome.com.tw/news/158994
DeepMind證明LLM可高效無損壓縮聲音與影像
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年機器學習的主要研究，都集中在訓練越來越強大的自監督語言模型，而由於這些模型具卓越的預測能力，因此也有成為壓縮器的潛力。DeepMind研究人員評估大型基礎模型的壓縮能力，發現這些模型是強大的通用預測器，不僅能夠處理文字資料，更<a href="http://arxiv.org/abs/2309.10668">可處理圖像聲音進行高效壓縮</a>。</p> <p>DeepMind在研究中，使用了一個稱為Chinchilla 70B模型，雖然這個模型主要以文字訓練，但是研究人員發現該模型也可用於壓縮ImageNet圖片，可將檔案壓縮至原始大小的43.3％，甚至可將LibriSpeech語音樣本壓縮至原始的16.4％。</p> <p>研究人員提到，這個壓縮表現超過專門為圖像或是語音設計的壓縮演算法，像是無失真壓縮點陣圖圖形格式PNG只能壓縮該圖片至58.5％，音訊檔無失真壓縮演算法FLAC也只能將音訊壓縮到30.3%。</p> <p>DeepMind的研究證明，預測和壓縮之間存在等價性，因此研究人員可以使用任何壓縮演算法，建立一個更加強大的條件生成模型。由於好的預測模型能夠準確預測資料中的模式和規律，而這種能力讓模型能夠成為一個高效的壓縮器，因為當一個模型能夠精確預測未來的資料點，也就能夠捕捉資料的本質特徵和結構，有效地壓縮資料。</p> <p>壓縮是一種資訊編碼的過程，目標是要以更少的位元表示資料，因此當模型能夠精確預測資料，其實也就代表模型學會了一種資訊編碼的方式，這種編碼方式能夠用來壓縮資料，因為模型已經理解了資料中的特徵和模式。</p> <p>語言模型能精確預測下一個字，也就代表可以用於壓縮文字資料，因為模型有能力找出文本中重複或是可預測的模式，並用更少的位元來表示這些模式。而這個結論同樣適用於圖像和音訊，當模型已經可以預測這些資料中的模式，也就能夠壓縮這些資料。</p> <p>DeepMind研究的主要貢獻，包括證實基礎模型無損壓縮的能力，在當前語言模型資源取得越趨容易的情況下，任何人都可以取得語言模型並將其用於壓縮中，而不需負擔額外的訓練成本。同時，研究也顯示，主要在文字上進行訓練的基礎模型，由於其上下文學習能力，因此能夠很好地成為通用壓縮器。</p> <p>研究還發現，要將模型用於壓縮上，模型並非越大越好，過大的模型可能反而對壓縮效能產生負面影響，因為模型的參數本身也需要在輸出中被考慮進去，當有一個模型具有非常多的參數，雖然能夠有效壓縮資料，但是龐大的參數本身也會成為負擔，這些參數也需要被儲存和傳輸。</p> <p>而自然語言處理常用到的分詞（Tokenization）方法，把一串文字切割成更小、更容易處理的步驟，在壓縮上不會提高壓縮效率，但可以增加模型在特定上下文中的資訊內容。透過上下文的學習，模型能夠根據不同任務，動態調整壓縮策略，達到更高的壓縮效果。</p> <p>這篇研究的主要重點，探討模型與壓縮器間的等價性，證明兩者可以互相轉換。研究人員也評估語言模型作為壓縮器的能耐，並發現模型不只能夠良好地處理文字資料，也能夠在未受過訓練的資料模式，像是圖像與音訊上表現出色。這篇研究提供一個看待模型的全新角度。</p> </div></div></div>
2023/9/27 11:17作者李建興https://www.ithome.com.tw/news/158981
美國17州與FTC控告Amazon壟斷市場並提高價格
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦交易委員會（Federal Trade Commission，FTC）與17州的檢察長<a href="https://www.ftc.gov/news-events/news/press-releases/2023/09/ftc-sues-amazon-illegally-maintaining-monopoly-power" target="_blank">在周二（9/26）聯手控告Amazon壟斷市場</a>，指控Amazon透過一系列的反競爭與不公平的策略，非法維持其壟斷勢力，蘊釀許久的反壟斷訴訟正式曝光，同一天<a href="https://www.aboutamazon.com/news/company-news/amazon-ftc-antitrust-lawsuit-full-response" target="_blank">Amazon即祭出長文</a>反擊，但Amazon當天股價依舊下挫了4.03%，以125.98美元作收。</p> <p><a href="https://www.ftc.gov/system/files/ftc_gov/pdf/1910129AmazoneCommerceComplaintPublic.pdf" target="_blank">控方於訴狀中指出</a>，Amazon的違法並不在於它規模龐大，而在於它採取了一系列的排他性行為，進而阻止現有競爭對手的發展，也抑制新競爭對手的出現。</p> <p>Amazon的反競爭行為同時出現在服務消費者的線上賣場，以及服務商家的線上市集。例如當發現賣家於其它賣場提供低於Amazon的價格時，就會調降賣家排序以示懲罰，或是設下高門檻的Prime專案，同時強迫賣家採用高成本的Amazon物流服務。</p> <p>此外，Amazon還被控以付費廣告取代自然搜尋結果，且其搜尋結果偏愛自家產品，向賣家所收取的廣告費與手續費等費用已接近賣家總收入的一半。</p> <p>訴訟認為，Amazon壓榨賣家的行為不僅影響了賣家，也間接使得其它競爭平臺無法發展，賣家的高成本亦墊高了商品價格，危害消費者權益。</p> <p>加入此一訴訟的州別包括康乃狄克州、德拉瓦州、緬因州、馬里蘭州、麻州、密西根州、明尼蘇達州、紐澤西州、新罕布夏州、新墨西哥州、內華達州、紐約州、奧古拉荷馬州、俄勒岡州、賓州、羅德島州及威斯康辛州。它們一同向法院尋求永久禁令，禁止Amazon從事非法行為，瓦解Amazon的壟斷控制以恢復競爭。</p> <p>當天<a href="https://www.aboutamazon.com/news/company-news/amazon-response-to-ftc-antitrust-lawsuit" target="_blank">Amazon</a>也祭出了回應，指責FTC從根本上偏離了保護消費者及競爭的使命，聲稱FTC所質疑的這些作法不僅可刺激整個零售業的競爭與創新，也替Amazon的客戶帶來更多的選擇、更低的價格及更快的交貨速度，亦替賣家帶來更多的機會。</p> <p>Amazon說，倘若FTC如願以償，那麼結果將會是消費者可選擇的產品變少、價格上漲、交貨速度變慢，且小型賣家的選擇也會減少，剛好與反壟斷法的初衷背道而馳。</p> </div></div></div>
2023/9/27 11:41作者陳曉莉https://www.ithome.com.tw/news/158991
微軟要讓開發者以Rust編寫Windows驅動程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟Azure技術長Mark Russinovich在X平臺（前推特）<a href="https://twitter.com/markrussinovich/status/1705730703957405826">發文</a>，公開最近微軟擴大採用Rust的成果，微軟Surface團隊開發了一個平臺，讓開發者可以使用Rust程式語言來撰寫Windows驅動程式。由於現在Windows驅動程式大多以C或是C++編寫的，所以此舉也引來社群討論。</p> <p>Mark Russinovich在去年的時候就發文，認為在考量安全性和可靠性的因素下，不應該再使用C/C++，而要改用更加安全的程式語言Rust開發專案。不過，當時Mark Russinovich的貼文收到許多反對意見，認為這是不切實際的想法。</p> <p>微軟則一直朝這個方向前進，除了微軟原本就是Rust基金會創始會員之外，Mark Russinovich在今年5月釋出微軟以Rust重寫Windows 11核心的消息，而現在微軟Rust開發工作又推進到下一步。微軟在GitHub公開新專案<a href="https://github.com/microsoft/windows-drivers-rs">windows-drivers-rs</a>，這是一個由多個Rust套件（Crates）組成的專案，目的是要讓開發者能夠使用Rust開發Windows驅動程式。這個專案計畫支援WDM（Windows Driver Model）和WDF（Windows Driver Foundation）兩種不同的驅動程式開發模型。</p> <p>不過目前這個專案還在早期開發階段，官方還不建議開發者將其用於商業用途，但歡迎社群進行試驗、建議和討論。</p> </div></div></div>
2023/9/27 09:49作者李建興https://www.ithome.com.tw/news/158975
雲端時序資料庫Timescale新增向量搜尋支援AI應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端時序資料庫服務Timescale不僅可用於儲存和查詢時序資料，現在也逐步拓展支援人工智慧領域，透過新增的<a href="https://www.timescale.com/blog/how-we-made-postgresql-the-best-vector-database/">Timescale Vector</a>功能，官方採用近似最相鄰搜尋（Approximate Nearest Neighbor，ANN）技術，有效加速數百萬向量的搜尋。</p> <p>而且由於要滿足不同應用場景的需求，Timescale Vector還提供多種索引演算法，包括受到DiskANN演算法啟發的新型索引外，還有HNSW（Hierarchical Navigable Small World）與IVFFlat（Inverted File with Flat Vector Indexing）。這些新的技術加入，使得Timescale成為多功能且高效的資料庫解決方案。</p> <p>大型語言模型成為推動部分人工智慧應用程式發展的基礎，企業逐漸在其應用程式中整合人工智慧功能，而向量嵌入更是這波人工智慧熱潮的核心技術。向量嵌入將詞語和短語的語義資訊數學化，以數值向量的方式表達語義，官方提到，這樣的技術在搜尋應用中特別有用，因為允許基於語義進行搜尋，因此即便查詢和資料庫中的詞彙不完全相同也沒問題。</p> <p>向量嵌入是生成式人工智慧技術的核心，可用於查詢相關的資訊，並將其作為上下文傳遞給大型語言模型，以強化大型語言模型的輸出。因此不少資料庫皆開始資源向量搜尋功能，而這也包括熱門的時序資料庫Timescale，推出向量搜尋功能Timescale Vector。</p> <p>Timescale Vector是一個專門針對人工智慧應用的資料庫擴充功能，其以PostgreSQL為基礎運作。該工具針對向量資料最佳化，使得開發人員可以更快速且有效地執行近似最相鄰搜尋。ANN僅是一個廣泛的搜尋框架，專門用於大型高維資料集中，尋找一個點的最近鄰居，而Timescale Vector提供了多種索引演算法，來實現ANN搜尋。</p> <p>Timescale Vector除了提供受到DiskANN演算法啟發的新型索引方法之外，還提供了PostgreSQL資料庫向量類型擴充功能pgvector中的HNSW與IVFFlat演算法。不同的演算法具有不同的優點和限制，Timescale Vector針對不同場景提供豐富的演算法，供開發者依據需求選用。</p> <p>根據基準測試，對100萬個OpenAI向量嵌入執行近似最相鄰搜尋時，Timescale Vector的新索引效能比其他專用向量資料庫和現有PostgreSQL索引方法高出243％，查詢精確度達99％。</p> <p>而且由於Timescale Vector索引提供了量化向量功能，能夠節省儲存空間達到10倍。量化是一種簡化向量資料的技術，目的是要減少儲存空間和加速查詢，在Timescale Vector中啟用量化功能，可讓開發者在保留相對高查詢精準度的同時，大幅減少索引大小，對於資源有限或是需要高效運作的應用非常有用。</p> </div></div></div>
2023/9/27 09:56作者李建興https://www.ithome.com.tw/news/158980
資訊服務採購作業指引9月25日正式上路，明訂公部門編列專屬資安預算
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>我們在<a href="https://www.ithome.com.tw/article/158898">上週的封面故事</a>當中，介紹了將於<a href="https://www.ithome.com.tw/news/158882">本月份即將上路的政府資訊採購的作業指引</a>，以及新版契約範本，影響政府每年近400億元的資訊採購業務。</p> <p>新版指引分成預算編列、廠商資格、需求文件、決標作業、契約執行和爭議處理等六大面向，此次預算編列變化的重點之一，就是公部門需要將資安預算獨立編列。這樣的新做法，目的是希望能改善政府機關採購與資服業務之間長期以來的困境。本週新的採購指引的內容正式公布，引起國內各家媒體報導。</p> <p><a href="https://planpe.pcc.gov.tw/prms/explainLetter/readPrmsExplainLetterContentDetail?pkPrmsRuleContent=75001760&_csrf=41c91031-1b1a-45e1-8814-ff2f59c93227">9月25日行政院公共工程委員會發布公告</a>，為協助公部門更為即時、有效強化資訊安全，並辦理有關的資訊服務採購，他們與數位發展部規畫的「資訊服務採購作業指引」、「各類資訊(服務)採購之共通性資通安全基本要求參考一覽表」正式上路。此作業指引涵蓋四大重點：</p> <p>（一）機關需編列獨立資安預算<br /> （二）擴大工程會採購諮詢機制，並納入數位發展部<br /> （三）資服採購的原則為：不訂底價、採最有利標<br /> （四）開發過程需設定查核點。</p> <p>行政院公共工程委員會指出，考量機關按上述指引及表單辦理資訊服務採購，廠商也要配合調整，為使廠商能夠有充分時間因應，根據資料或系統的機敏程度，普級系統之資安要求訂於2024年3月1日正式施行，中、高等級則訂於2024年8月1日正式施行。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Us9c9MGRpg.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Us9c9MGRpg.png" style="width: 580px;" /></a></p> </div></div></div>
2023/9/26 22:32作者周峻佑https://www.ithome.com.tw/news/158979
Amazon投資40億美元給OpenAI競爭者Anthropic
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://press.aboutamazon.com/2023/9/amazon-and-anthropic-announce-strategic-collaboration-to-advance-generative-ai" target="_blank">Amazon周一和AI新創業者Anthropic宣布投資合作</a>。Amazon將投資Anthropic 40億美元，除了成為Anthropic雲端運行底層外，也將借其力研發AWS服務及自家AI晶片。</p> <p>這項合作下，Amazon將取得這家公司的少數所有權（minority ownership），同時也成為Anthropic關鍵負載的主要雲端供應商，負責安全研究、未來底層模型開發。Anthropic計畫未來大部分工作負載都會搬上AWS。</p> <p>相對的，Amazon也將取得Anthropic的研發資源。Anthropic不但能使用AWS Trainium及Inferentia晶片開發、訓練和部署未來的底層模型，雙方也會合作開發Trainium及Inferentia未來新技術。此外，Amazon開發人員和工程師可透過Amazon AI雲端平臺服務Bedrock存取Anthropic的模型，並將生成式AI能力整合到其專案中，用以改進現有應用或開發全新客戶服務。</p> <p>同時，Anthropic也會成為AWS AI服務的一部分。<a href="https://www.ithome.com.tw/news/156411" target="_blank">AWS今年4月宣布全代管AI平臺服務Bedrock</a>時，Anthropic已是提供其AI底層模型供應商之一（其他供應商還有Stability AI、Cohere、AI21Labs），包括2代的Claude模型。經由這次深層合作，除了AWS客戶可透過Bedrock使用這家新創公司未來底層模型外，AWS客戶還能特別享有Anthropic模型客製化及微調的功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0926-amazon%20bedrock-anthropic.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Anthropic</span></span></p> <p>這項合作下，是微軟分別對OpenAI在2019年投資100億美元，以及今年初投資數十億美元後，雲端巨擘投資AI新創公司的又一例子。Anthropic是由OpenAI前研發主管Dario Amodei於2021年創立。Anthropic今年3月發表的AI模型Claude號稱比ChatGPT更為「有幫助、誠實、無害」。<a href="https://www.ithome.com.tw/news/158669" target="_blank">該公司今年9月也首度發表了第一個收費AI助理服務Claude Pro</a>。</p> <p>不過這項合作是否意謂著Anthropic和Google關係生變不得而知。去年Google 以3億美元投資Anthropic並取得該公司10%的持股。<a href="https://www.prnewswire.com/news-releases/anthropic-forges-partnership-with-google-cloud-to-help-deliver-reliable-and-responsible-ai-301738512.html" target="_blank">今年2月Google Cloud才宣布</a>Anthropic將使用其TPU及GPU叢集訓練其模型。隨後Google相繼宣布自有AI助理Bard及Bard整合Gmail、Google Docs等自家服務。</p> </div></div></div>
2023/9/26 20:11作者林妍溱https://www.ithome.com.tw/news/158977
知名圖庫業者Getty Images搭上AI列車，發表生成式AI圖像工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.gettyimages.com/en/getty-images/getty-images-launches-commercially-safe-generative-ai-offering" target="_blank">知名圖庫業者Getty Images周一（9/25）發表</a>了Generative AI by Getty Images生成式AI圖像工具，標榜是以該公司具版權的內容進行訓練，客戶透過該工具所生成的圖像也將具備版權，可供合法的商業使用。</p> <p>於美國那斯達克上市的Getty Images擁有龐大的影像資料庫，從圖庫、編採攝影、影片到音樂，總計有超過4.7億筆數位資產，在面臨生成式AI圖像風潮之際，<a href="https://newsroom.gettyimages.com/en/getty-images/getty-images-statement" target="_blank">該公司在今年1月控告</a>了提供生成式AI圖像服務Stable Diffusion的Stability AI，原由是該模型使用了大量Getty Images所擁有的圖像進行訓練，不僅是Stable Diffusion，其它的生成式AI圖像服務多少也都涉及了版權問題，現在Getty Images則決定以自家資源擁抱AI。</p> <p>Generative AI by Getty Images是在Nvidia的Edify模型架構上進行訓練。Nvidia在今年3月推出了<a href="https://www.nvidia.com/en-us/gpu-cloud/picasso/" target="_blank">Nvidia Picasso</a>，這是一個生成式AI圖像的代工服務，可協助客戶建置客製化的生成式AI圖像應用，其原本設計包含了3個要素，一是協助客戶最佳化既有的模型，二是利用少量的客戶圖像來微調預訓練的Edify模型以符合特定需求，第三就是利用大量的企業資料集於Edify模型架構上進行訓練，透過Nvidia DGX Cloud整合上述模型並藉由企業應用輸出。</p> <p>不過，目前Getty Images只使用了第三種方法，利用其龐大的版權圖像資料庫於Edify模型架構上進行訓練，打造Generative AI by Getty Images模型以生成具版權的圖像，並可搭配該公司的客製化圖像內容（Custom Content）服務，帶來完整創意流程的圖像設計解決方案。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0926-getty%20image-600.png" style="width: 527px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Getty Images</span></span></p> <p>Getty Images表示，自Generative AI by Getty Images所創造與下載的圖像將取得標準的買斷式授權，代表客戶有權於全球展開永久的非獨家使用。這些新創造的圖像並不會被加入既有的Getty Images與iStock資料庫，但會被用來重新訓練Generative AI by Getty Images模型。</p> <p>有興趣的使用者可透過Getty Images官網存取Generative AI by Getty Images服務，客戶則可利用API將Generative AI by Getty Images整合到既有的工作流程或應用中。未來Generative AI by Getty Images也將支援客戶以私有資料進行訓練，創造獨特的品牌風格。</p> </div></div></div>
2023/9/26 20:32作者陳曉莉https://www.ithome.com.tw/news/158978
工程會正式發函公布「資訊服務採購作業指引」，即日起實施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>政府資訊服務採購過去二十年來，陸續有許多亂象發生，加上各種網路風險頻傳、資安威脅加劇，政府對於相關的資訊服務採購也新增各種資安規定，但也因為政府缺乏一套完整的資安規範，各機關各行其是，無助於政府整體資安防護提升。</p> <p>因此，政府採購的主管機關公共工程委員會和嫻熟資訊及資安的數位發展部，以及各個資訊、資安業者與公協會等單位，聯手制定一套政府《資訊服務採購作業指引》，並將《各類資訊（服務）採購之共通性資通安全基本要求參考一覽表》作為各機關資訊系統相關資安防護等級的資安規範參考。</p> <p>行政院政務委員兼工程會主委吳澤成也在9月25日正式發函給各個政府機關，要求自即日起，各機關政府的資訊服務採購都可參照政府《資訊服務採購作業指引》；另外，政府機關也依據資訊系統的機敏等級區分為普級、中級和高級，並將相關的資安規範都明列在《各類資訊（服務）採購之共通性資通安全基本要求參考一覽表》中，工程會於函式中則正式明定，普級系統將資安納入採購將於明年（2024年）3月1日施行，其他中、高級系統則於明年（2024年）8月1日正式適用。</p> <p>＠小標：各政府機關即日起適用，新制定的政府《資訊服務採購作業指引》</p> <p>政府每年都有將近400億元的資訊服務採購需求，但政府機關扮演的甲方，和提供資訊、資安服務的乙方，多年以來，面臨各種契約、價金，屢屢出現爭議協處議題，加上臺灣長期身處各種網路攻擊、資安威脅等風險之下，也對資訊系統建置時的資安規畫與契約履行造成極大的挑戰，使得原本單純的政府採購案件，陷入減價驗收、甚至是無法驗收的窘境。</p> <p>過往，政府資訊服務採購有許多亂象，也讓政府機關和資服業者陷入一個難以解決的惡性循環，因此，工程會、數位部與資訊、資安產業界以及公協會合作，制定政府《資訊服務採購作業指引》，其中，便是由乙方業者提出可執行的要項，再由甲方採購人員評估，若實務可以執行的項目，都納入相關的作業指引中。</p> <p>工程會也希望透過訂定《資訊服務採購作業指引》，從採購全生命週期，提醒機關辦理資訊服務採購相關的應注意事項，也可以強化機關資訊服務採購做到需求明確、合理編列費用及減少相關的履約爭議，更重要的是，除了將資安納入採購合約，會因為資訊系統資安防護等級不同，給予資服資安業者一定的調適時間外，《資訊服務採購作業指引》自發函之日起（9月25日）即日實施，作為個政府機關辦理資訊服務採購的參考指引。</p> <p>＠小標：資服採購納入資安基本要求，可以參考資安一覽表作為選擇依據</p> <p>根據數位部於2022年資安監控情資統計，最嚴重的資安威脅以掃描刺探類（47.2％）、入侵攻擊類（26.9％）為最多，但是，政府敏感資訊或民眾個資如果遭到駭客竊取，則會影響民眾對政府的信任。</p> <p>因此，近年來，政府在相關的資訊服務採購合約中，也都會加上不一樣的資安規範，只不過，許多負責政府機關資訊和資安的採購人員，通常也不具有資訊和資安專業，面對相關的資訊服務採購的資安要求時，除了四處搜尋或找配合的資訊業者詢問外，缺乏一套完整的資安風險藍圖，也使得制定的資安規範不甚完整，無法真正有效提升機關單位的資安防護能力。</p> <p>面對政府採購類型多元，工程會認為，如果可以將不同類型的資訊服務採購，所應該具備的通案性資安基本要求，全部統整並納入相關的契約範本外，政府機關在執行採購招標時，依照資訊系統的資安防護等級：普級（一般機關）、中級（關鍵基礎設施）和高級（機敏機關），提供不同的資安基本要求的選項，真正做到不只強化政府資訊服務採購的資安防護，也可以起到藉由政府採購引導產業發展，共同提升臺灣的資安防護能力。</p> <p>工程會表示，數位發展部於今年9月18日同意，將《各類資訊（服務）採購之共通性資通安全基本要求參考一覽表》正式納入工程會資訊服務契約範本的附件，未來各個機關將可以視個案特性，將所列的各種資安事項全部納入相關的資訊服務採購契約中。</p> <p>工程會也指出，為了讓資服和資安業者在面對《各類資訊（服務）採購之共通性資通安全基本要求參考一覽表》時，有足夠的調適時間配合和因應，在上述資安一覽表中屬於普級的資安要求，訂於明年（2024年）3月1日實施，若是中、高級的資安要求，則於明年（2024年）8月1日適用。</p> </div></div></div>
2023/9/26 19:05作者黃彥棻https://www.ithome.com.tw/news/158976
【資安日報】9月26日，駭客組織Stealth Falcon針對中東政府機關下手，散布後門程式Deadglyph
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近半年，針對中東地區而來的攻擊行動變得更加頻繁，而在本日的資安新聞裡，使用後門程式Deadglyph、LuaDream駭客，都將該地區列為目標，其中又以Deadglyph最為詭譎。</p> <p>為了躲避資安系統偵測，駭客採用多種罕見的方法進行活動，其中最特別的部分，就屬後門程式與C2伺服器之間連線的機制，竟是透過在記憶體內執行的附加模組來達成，而使得其運作更加難以捉摸。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.welivesecurity.com/en/eset-research/stealth-falcon-preying-middle-eastern-skies-deadglyph/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">後門程式Deadglyph鎖定中東政府機關而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/deadglyph-figure-02.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/deadglyph-figure-02.png" style="width: 300px; float: right;" /></a>資安業者ESET揭露駭客組織Stealth Falcon（亦稱Project Raven、FruityArmor）最近的攻擊行動，駭客利用名為Deadglyph的後門程式，鎖定中東的政府實體下手，此軟體由64位元執行檔及.NET元件組合而成，並透過特定的金鑰進行加密保護，而植入電腦的後門程式與C2連線方式相當特殊，是透過在記憶體內運作的附加元件，來動態接收攻擊者下達的命令。</p> <p>一旦此後門程式開始執行，會啟動Shell Code載入工具，做為初始化元件，攻擊者從登錄檔載入特定的Shell Code，從而開啟後門程式的64位元執行檔（研究人員稱為Executor元件），而該程式又會啟動名為Orchestrator的.NET元件，以便從C2接收命令，這些工作排程主要涵蓋3種類型，分別是由Executor執行的工作、Orchestrator執行的工作，以及上傳工作。</p> <p>研究人員指出，他們尚未確定駭客如何散布此後門程式，但駭客透過兩種不同程式語言開發而成的元件，並透過附加元件接收C2的命令，並且具備自我刪除等特性，使得該後門程式難以被資安系統察覺。</p> <p><a href="https://s1.ai/Sandman"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織Sandman鎖定電信業者散布惡意軟體LuaDream</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Sandman_6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Sandman_6.jpg" style="width: 300px; float: right;" /></a>資安業者SentinelOne、QGroup聯手，調查駭客組織Sandman的攻擊行動，該組織主要針對中東、西歐、南亞次大陸的電信業者而來，利用Lua程式語言的即時編譯系統LuaJIT打造後門程式LuaDream，竊取系統及使用者資訊，以便發動更進階的精準攻擊。</p> <p>一旦攻擊者成功入侵目標組織的網路環境，就會利用Pass-the-Hash攻擊手法，重用存放於記憶體內的NLTM雜湊值對遠端伺服器進行身分驗證。研究人員指出，遭到駭客鎖定的工作站電腦，皆會指派給駭客組織的管理階層。</p> <p>而對於後門程式的分析，LuaDream由34個元件組織，其中有13個是核心元件，其餘為支援元件，其運作方式是透過ffi程式庫來呼叫LuaJIT的位元組碼（Bytecode）及Windows API。</p> <p><a href="https://www.securonix.com/blog/threat-labs-security-advisory-new-starkvortex-attack-campaign-threat-actors-use-drone-manual-lures-to-deliver-merlinagent-payloads/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">烏克蘭軍方遭到鎖定，駭客利用無人機手冊當誘餌，散布惡意程式</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/dji-image2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/dji-image2.png" style="width: 300px; float: right;" /></a>資安業者Securonix揭露鎖定烏克蘭軍方而來的網路釣魚攻擊Stark#Vortex，駭客組織UAC-0154透過電子郵件挾帶Windows說明檔案（CHM），聲稱是提供軍隊無人機訓練資料，一旦收信人開啟附件檔案，就會看到以烏克蘭語編寫的DJI Mavic 3說明文件，然後電腦可能觸發CHM檔案裡的JavaScript程式碼，執行PowerShell命令，從C2伺服器下載惡意酬載，經解碼該惡意酬載就會產生惡意框架MerlinAgent的Beacon元件，從而讓攻擊者控制受害電腦。</p> <p>研究人員指出，由於無人機、無人駕駛的飛行器（UAV）已成為烏克蘭軍方不可或缺的工具，使得謊稱具有操作訓練內容的誘餌檔案隨之出現，這類文件檔案也可能讓軍人容易掉以輕心。</p> <p><a href="https://www.hhs.gov/sites/default/files/dprk-chinese-cyber-crime-threats-us-hph.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國、北韓駭客組織鎖定美國衛生機構及醫療產業而來</span></strong></a></p> <p>美國衛生暨公共服務部所屬的網路安全協調中心（HHS HC3）指出，中國駭客組織APT41、北韓駭客組織APT43（亦稱Kimsuky、Thallium）與Lazarus針對該國的公共衛生部門與醫療系統造成重大威脅。</p> <p>其中，APT41得到中國政府資助，使用的攻擊手法非常複雜、創新，對美國公衛部門下手的動機，往往是為了配合中國政府的5年發展政策，扶持該國的醫療產業研發而來，他們通常會對醫療裝置子公司所採用的軟體或資訊科技感興趣，並入侵與這些公司有關的系統，部署鍵盤側錄程式Gearshift。這些駭客也鎖定生技公司下手，透過遭竊的帳密入侵，盜取人力資源資訊、稅務資料、臨床測試、學術研究、研發相關資訊。</p> <p>而對於來自北韓駭客的威脅，HHS HC3指出，APT43擅長鎖定醫療產業進行社交工程、網路釣魚、收集帳密資料，並從事加密貨幣洗錢來籌措攻擊行動資金，之所以鎖定健康相關部門下手，目的是援助北韓流行疾病的因應工作；另一個駭客組織Lazarus，則是從事間諜行動、盜取智慧財產資料，包含COVID-19疫苗及相關醫療資訊。</p> <p><a href="https://research.checkpoint.com/2023/behind-the-scenes-of-bbtok-analyzing-a-bankers-server-side-components/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾40家拉丁美洲銀行客戶遭到木馬程式BBTok鎖定</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/BBTok-image_1-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/BBTok-image_1-3.png" style="width: 300px; float: right;" /></a>資安業者Check Point揭露近期的銀行木馬BBTok攻擊行動，駭客主要鎖定巴西與墨西哥等逾40家拉丁美洲的銀行用戶下手，該木馬複製網路銀行的系統使用介面，進而誘騙使用者輸入雙因素驗證碼（2FA）、支付卡的資料，然後將銀行用戶的戶頭洗劫一空。</p> <p>攻擊者利用釣魚郵件，挾帶ZIP附件或惡意連接，一旦收信人開啟，就有可能執行PowerShell指令碼，從遠端伺服器下載惡意程式，同時向收信人顯示誘餌文件檔案。研究人員指出，為了迴避偵測，駭客運用多種攻擊手法，當中包含了寄生攻擊（LOLBins），並且針對Windows 7、Windows 10作業系統繞過反惡意程式碼掃描介面（AMSI）及防毒軟體，然後檢查受害電腦所在的地理位置。</p> <p>值得留意的是，駭客的行動相當謹慎，所有盜取銀行帳戶存款的流程，都是由駭客透過C2下達命令，而非透過惡意程式自動化執行。 </p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資訊服務採購作業指引9月25日正式上路，明訂公部門編列專屬資安預算</span></strong></p> <p>9月25日行政院公共工程委員會發布公告，為協助公部門更為即時、有效強化資訊安全，並辦理有關的資訊服務採購，他們與數位發展部規畫的「資訊服務採購作業指引」、「各類資訊(服務)採購之共通性資通安全基本要求參考一覽表」正式上路。此作業指引涵蓋四大重點：（一）機關需編列獨立資安預算、（二）擴大工程會採購諮詢機制並納入數位發展部、（三）資服採購以不訂底價最有利標為原則、（四）開發過程需設定查核點。</p> <p>行政院公共工程委員會指出，考量機關按上述指引及表單辦理資訊服務採購，廠商也要配合調整，為使廠商能夠有充分時間因應，根據資料或系統的機敏程度，普級系統之資安要求訂於2024年3月1日正式施行，中、高等級則訂於2024年8月1日正式施行。</p> <p>資料來源</p> <p>1. <a href="https://www.ithome.com.tw/article/158898">https://www.ithome.com.tw/article/158898</a><br /> 2. <a href="https://planpe.pcc.gov.tw/prms/explainLetter/readPrmsExplainLetterContentDetail?pkPrmsRuleContent=75001760&_csrf=41c91031-1b1a-45e1-8814-ff2f59c93227">https://planpe.pcc.gov.tw/prms/explainLetter/readPrmsExplainLetterContentDetail?pkPrmsRuleContent=75001760&_csrf=41c91031-1b1a-45e1-8814-ff2f59c93227</a></p> <p><a href="https://www.cna.com.tw/news/afe/202309230215.aspx"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">數位部預告修正資安法，明訂公部門禁用危害國家安全的資安產品</span></strong></a></p> <p>9月22日<a href="https://join.gov.tw/policies/detail/d504e350-3542-4d4b-bf0c-3e4d2e36a138">數位發展部預告將修正資通安全管理法</a>，修法草案包含5大重點：（一）主管機關調整為數位部、（二）要求公務機關不可採購與使用危害國家資通安全產品、（三）強化公務機關資安，導入地方資安及分層管理、（四）強化關鍵基礎設施、公營事業或特定法人等特定非公務機關的資安管理，特定非公務機關應設置資安長、（五）政府機關資安人員採行一條鞭制度，重大資安事件資安署可調度各機關資安人員支援。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://thehackernews.com/2023/09/new-report-uncovers-three-distinct.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">東南亞政府機關遭到駭客組織中國駭客Mustang Panda、Alloy Taurus、Gelsemium鎖定</span></span></strong></a></p> <p><a href="https://www.sonarsource.com/blog/teamcity-vulnerability/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">CI/CD系統TeamCity存在能挾持伺服器的漏洞，已出現攻擊行動</span></span></strong></a></p> <p><a href="https://www.threatfabric.com/blogs/xenomorph"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">北美、歐洲安卓用戶遭到金融木馬Xenomorph鎖定</span></span></strong></a></p> <p><a href="https://www.group-ib.com/blog/shadowsyndicate-raas/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織ShadowSyndicate運用7款勒索軟體從事攻擊行動</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/158944"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客利用冒充訂房網站Booking.com進行網釣攻擊</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/158960"><strong>【9月25日】埃及總統候選人遭到鎖定，攻擊者利用iOS零時差漏洞在手機植入間諜軟體Predator</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158927"><strong>【9月23日】中國駭客鎖定臺灣安卓用戶，假借提供Whoscall付費功能的破解程式來散布惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158896"><strong>【9月22日】斥資280億美元重金，思科買下大數據資安業者Splunk</strong></a></p> </div></div></div>
2023/9/26 17:34作者周峻佑https://www.ithome.com.tw/news/158974
Spotify與OpenAI合作推出Podcast翻譯功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.spotify.com/2023-09-25/ai-voice-translation-pilot-lex-fridman-dax-shepard-steven-bartlett/" target="_blank">Spotify周一（9/25）宣布</a>，將採用OpenAI的語音技術，將旗下英文Podcast的內容轉換成其它語言，包括西班牙文、法文與德文，且計畫於未來擴充至更多語言，以讓全球使用者都能享受該平臺的Podcast節目。</p> <p>OpenAI在同一天發表的ChatGPT新功能，即是讓該聊天機器人得以支援圖像及語音輸入，還能以語音回答。其中，新的語音技術只要仰賴幾秒鐘的真實語言，即可生成逼真的合成聲音。於是，Spotify即利用此一語音技術，將該平臺上的Podcast用原本Podcaster的聲音，從英文轉成西班牙文、法文與德文。</p> <p>OpenAI指出，該語音技術除了可帶來許多創新及無障礙應用之外，也會衍生出新的風險，例如被用來冒充公眾人物或進行詐欺，因此，他們很小心地使用該技術，目前僅將它應用於語音聊天上，且直接與聲優合作，像是Spotify的案例。</p> <p>初期Spotify僅與Dax Shepard及Monica Padman等少數的Podcaster合作，轉換特定節目所使用的語言，且同時開放免費及付費版用戶收聽。<a href="https://open.spotify.com/genre/0JQ5DAqbMKFFE3WXPvSulX" target="_blank">現在已上線的</a>是西班牙文，將於未來幾周陸續釋出法文與德文版，也計畫擴大至更多的Podcaster及語言。</p> <p>根據Spotify的統計，在該平臺的5.5億用戶中，已有超過1億用戶經常收聽Podcast節目。</p> </div></div></div>
2023/9/26 16:50作者陳曉莉https://www.ithome.com.tw/news/158973
DirectX加入CASO技術大幅提升混合型筆電遊戲效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於Windows 11上隨附的DirectX 12，添加了可強化混合型筆記型電腦圖形效能的<a href="https://devblogs.microsoft.com/directx/optimizing-hybrid-laptop-performance-with-cross-adapter-scan-out-caso/">CASO（Cross Adapter Scan-Out）技術</a>，使得筆電可以更快、更順暢執行遊戲。CASO簡化了顯示卡將遊戲畫面傳送到螢幕中間的步驟，能夠提高遊戲畫面順暢度並降低延遲，提升整體遊戲體驗。顯示晶片主要廠商AMD、英特爾和Nvidia的驅動程式現在都已支援CASO。</p> <p>強調圖形效能的筆記型電腦通常搭載兩種GPU，分別是整合GPU和獨立GPU，主要是為了平衡效能以及省電的需求。更強大的獨立GPU可以讓遊戲運作更順暢，當不需要獨立GPU的運算效能時，筆電系統便會切換使用更為節能的整合型GPU，以降低電力消耗，讓筆電使用可以更靈活，並適應不同類型的使用者。</p> <p>在混合型筆電中，整合型GPU負責處理日常工作，而獨立GPU或是外部GPU負責繁重的圖形工作，微軟解釋，通常由整合型GPU連接整合顯示器，因此獨立或是外部GPU所渲染的遊戲畫面會先發送到整合GPU，再由整合GPU顯示到螢幕上。</p> <p>雖然這種方式可以將繁重的工作轉移給獨立GPU以提高效能，但同時又藉由整合型GPU實現節能，平衡了效能和節能的需求，但是缺點是這個工作流程牽涉渲染影格的兩次資料複製，一次是從獨立或是外部GPU到共享資源，另一次則是從共享資源到整合型GPU，當所有高效能遊戲的渲染視覺內容，都必須透過整合型GPU顯示，這也就無法充分發揮獨立GPU的優勢。</p> <p>為此，AMD和Nvidia也都推出可最佳化效能與電力消耗的軟體，透過採用多工器解決方案，將顯示連線切換至獨立GPU，因應遊戲等圖形密集型場景，同時也維持整合型GPU連線，以執行日常任務。因此當獨立GPU可以直接連接到整合顯示器，就可以在螢幕上直接顯示渲染內容，如此也避免了GPU間的資料傳輸，最大程度提高獨立GPU的作用。</p> <p>但並非所有混合筆電都有多工器解決方案，且利用獨立顯卡提高效能會增加額外的功耗，因此會導致電池續航力降低，而微軟在Windows 11中新增CASO，便能在沒有多工器解決方案的混合型筆電，簡化渲染內容傳輸過程，只需要一次資料複製即可直接將視覺資料掃描輸出到顯示器上，這種最佳化帶來更好的FPS（Frames Per Second））和低延遲，進而明顯提升混合型筆電的效能。</p> <p>微軟在熱門PC遊戲測試CASO，FPS平均可提高16％、延遲平均可降低27％，而且CASO也讓逾時偵測和恢復事件（TDRs）減少45％，這代表使用CASO的筆電在執行遊戲時更穩定，更少發生當機和卡頓問題。目前CASO已經整合到Windows 11中，並會在支援的裝置中預設啟用。</p> </div></div></div>
2023/9/26 16:54作者李建興https://www.ithome.com.tw/news/158970
GovTech月報第22期：數位部演示災難漫遊機制，當緊急災害發生時手機可漫遊他網通話、上網
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0819~0921)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">災難漫遊</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位部</span></font></strong></p> <p><span style="font-size:22px;"><strong>數位部展示災難漫遊，當重大災害發生時手機仍可漫遊其他網路撥話、上網</strong></span></p> <p>數位部近期配合內政部消防署的防災日大規模震災救災動員演練時，展示小規模的災難漫遊演練，當重大災害發生，導致電信業者的基地臺受損，通訊服務中斷時，讓民眾透過災難漫遊機制，仍能使用基本的通訊服務。</p> <p>數位部指出，漫遊是一種商業機制，讓A電信業者的用戶，在特定區域下，得使用B電信業者的行動通訊服務。災難漫遊則是在國家主導，電信業者配合之下，確保民眾在重大災難發生或緊急情況下，仍能使用基本通訊服務。在電信業者協助下，建立全國災難漫遊機制，只要任何一家業者的行動網路仍可使用，民眾就能通過其網路進行通訊，並取得政府資訊。</p> <p>為了達到災難漫遊，需要將民眾的門號事先在各家電信業核心網路完成設定，當災害發生或緊急情況下，雖然電信通訊網路受損，只要有存活的行動網路，其他家電信商的用戶就能透過災難漫遊機制使用。</p> <p>此次的小規模演練在新竹縣體育場進行，為避免影響周邊民眾，並沒有實際關閉附近基地臺，現場演練當中華電信網路中斷，可手動切換網路，漫遊使用遠傳電信或台灣大哥大的行動網路，除了接收國家級警報外，手機可撥語音電話和遠方的家人報平安，上網觀看最新災難報導或是取得政府防災避難資訊。數位部也規畫在2024、2025年繼續推動災難漫遊機制，包括研究國外災難漫遊機制，國內電信業者啟動災難漫遊機制的SOP及因應建議。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">生成式AI</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">使用指引</span></font></strong></p> <p><span style="font-size:22px;"><strong>行政院通過生成式AI使用參考指引，機密文書禁用生成式AI</strong></span></p> <p>生成式AI在全球帶起風潮後，不只民間企業採用，政府也研究如何妥善使用生成式AI，以提高行政作業效率，行政院近期通過行政院及所屬機關（構）生成式AI使用參考指引，讓公務人員使用生成式AI有所依循，避免不當使用產生的洩密風險。</p> <p>參考指引共有10條，例如使用生成式AI產生的內容，應由承辦人員依客觀及專業進行判斷，不可取代承辦人自主思維，機密文書應由人員親自撰寫，禁止使用生成式AI，承辦人員不可向生成式AI提供公務上應保密、未經個人或機關同意公開的資訊，也不能向生成式AI詢問涉及機密資料、個人資料的問題，以及各機關不可完全信賴生成的內容，在未經確認下，直接作為行政行為或當成公務決策的唯一依據。</p> <p>國科會繼續參考全球發展趨勢，未來滾動調整指引，各部會可參考指引，依其業務需要，訂定生成式AI規範及內部管理措施。數位部帶頭建立相關規範及訓練機制，運用AI提升機關的行政效率。指引不只適用行政院及所屬機關，也包括公營事業、公營學校、行政法人及政府捐助的財團法人。未來各部會訂定使用規範及內控措施，各機關進行採購，委託的法人、團體或個人也應注意參考指引，遵守機關訂定的內控規範。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">ChatGPT</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">教育</span></font></strong></p> <p><span style="font-size:22px;"><strong>臺南市鎖定中小學生推出ChatGPT打造的輔助學習平臺</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/9b84-600.jpg" style="width: 600px; height: 400px;" /></p> <p>臺南市政府教育局近期發表以ChatGPT打造的AI輔助學習平臺「生成式AI輔助學習中介平臺」，在中介平臺上提供不同主題的教學模組，透過該平臺引導學生正確使用AI輔助學習。</p> <p>市長黃偉哲表示，臺南為國內第一個透過中介平臺，正向導入AI輔助中小學學習的縣市，雖然不少大學禁止學生使用生成式AI寫論文等，但也有部分學校採取擁抱與引導；生成式AI優勢是能快速產生文本，與其完全禁止使用，更應藉由教育引導AI工具被正確使用，以提升效率，避免對學習產生負面影響。</p> <p>該平臺設計是以中、小學生使用為主，因生成式AI眾多，甚至詐騙偽造，為避免學生無法辨識，因此市府採用ChatGPT 4打造輔助學習平臺，相較於學生直接使用ChatGPT，中介平臺會預先檢查使用者輸入的資訊是否含有個資或不恰當的資訊。</p> <p>教育局指出，未來有2項目標，一是在學習方面，累積各學科、單位適合的問答引導資料庫，讓不太會問答的學生學習，另一目標是在資訊素養方面，累積及訓練學生輸入不當問答資料，即時攔截及給予適當引導。</p> <p>目前該平臺提供4個功能，包括「提問引導」教學模組、「過濾不當資訊」保護機制、「紀錄學習歷程」分析報告、「即時診斷評量」結果呈現。市府也展示應用成果，例如學生拍攝影片，利用生成式AI產生劇本、分鏡腳本、分鏡示意圖，或是利用提問模組，訓練提問能力等等。教育局也訂定「生成式AI學習應用及參考指引」，提供師生在教育學習時妥善使用生成式AI的建議，避免負面影響。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">美國</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>美國佛羅里達州開始運用AI監聽過濾囚犯通話，蒐集犯證活動資訊</strong></span></p> <p>美國佛羅里達州在8月開始利用AI來監聽8萬多名囚犯的電話通話情形，主要監聽囚犯和家人、朋友的通話內容，以蒐集過去或未來的犯罪資訊，提供給州或聯邦政府執法相關部門。</p> <p>過去佛羅里達州懲教部門是以人工方式，監聽懷疑可能和犯罪活動有關的囚犯通話內容，包括撥給囚犯的來電及囚犯撥出去的電話，並告知來電者及囚犯他們的通話內容受到監控。為了減輕人員的工作負擔，懲教部門以250萬美元啟動一項AI監控計畫，自動掃描來電和去電，使用AWS的語音轉文字技術，自動過濾含有特定關鍵字的通話內容，監聽的通話內容不包括囚犯和律師、醫生、精神顧問的通話。</p> <p>根據合約，佛羅里達州懲教部門可使用AI監控軟體到明年的6月底，包含紀錄和掃描最多5,000萬分鐘的通話。州政府透過監聽囚犯的通話內容，蒐集過去和未來可能的犯罪活動資訊，例如暴力犯罪、毒品走私，以及預防囚犯自殺等等。不過，這項做法也引起一些質疑的聲音，例如官員可能濫用AI監聽工具，過濾囚犯通話內容的關鍵字具有爭議等等。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">捷克</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位身分</span></font></strong></p> <p><span style="font-size:22px;"><strong>捷克政府修法擬於明年1月推手機數位身分驗證</strong></span></p> <p>捷克政府近期通過一項修法，為明年1月該國將推出的數位身分制度做好準備，未來捷克民眾不需攜帶實體身分證件，憑手機就能證明自己的身分。</p> <p>根據該國修正的數位權利法案，賦予應用程式eDoklady在中歐國家，作為實體身分證的替代品，換言之，手機就能證明民眾的身分，解決攜帶實體身分證件。未來捷克政府的數位身分制度會先在公部門實施，預計1年後，即2025年再擴大到私部門。</p> <p>eDoklady採用電子文件格式，未來可相容於歐洲數位身分錢包，作為同樣以智慧型手機為數位身分的載具，從捷克國內使用的eDoklady，到歐洲跨越數國通用的數位身分錢包，歐洲數位身分錢包提供公民一個數位錢包，用以儲存駕照、出生證明、文憑等個人證明文件。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">臺中港</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>臺中港設立空品維護區管制車輛，結合AI車牌辨識揪出不符規定排氣檢驗車輛開罰</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%87%BA%E4%B8%AD%E6%B8%AF%E8%BB%8A%E8%BE%AF%E7%B3%BB%E7%B5%B1%E7%8F%BE%E6%B3%81.jpg" style="width: 600px; height: 338px;" /></p> <p>臺中市政府為維護市區內的空氣品質，在重點區域設置空氣品質維護區，近期開始在臺中港設置空品維護區，在臺中港的7處出入口，利用自動化車輛管制系統、AI黑煙影像辨識，過濾進入港區未依規定排氣檢驗車輛予以開罰。</p> <p>臺中港空品維護區對一、二期大型柴油車，規定只有排氣檢定一年內合格車輛始得進入管制區，市府環保局利用車牌辨識系統，過濾進入臺中港的車輛，揪出沒有一年內排氣檢定合格者，在維護區推動的第一天上午，在管制車輛的96輛次中，發現18輛沒有一年內排氣檢定合格，依法開罰。</p> <p>臺中市環保局大舉運用科技化的方式管制污染源，今年規畫增設水湳生態公園、中央公園、谷關風景區三個空品維護區，將管制易排放黑煙的施工機具及柴油車輛，希望藉此減輕高污染車輛造成的空氣污染，以及對該地區民眾的危害。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">阿拉伯</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">衛星</span></font></strong></p> <p><span style="font-size:22px;"><strong>阿拉伯政府與衛星業者簽約，砸51億美元延續17年衛星服務</strong></span></p> <p>阿拉伯聯合大公國近期和位於阿布達比的衛星業者Yahsat簽約，將投入187億迪拉姆，約51億美元，和Yahsat的政府服務部門合作，確保未來17年政府享有足夠的衛星服務容量及管理服務。</p> <p>在俄烏戰爭爆發後，以衛星通訊取代地面網路提供緊急通訊逐漸受到重視。阿拉伯聯合大公國也看好衛星通訊在緊急情況下，強化通訊韌性的潛力，先前已與Yahsat達成兩項衛星服務上的協議，容量服務協議及管理服務授權，隨著協議即將在2026年先後到期。近期雙方締結新約，2026年之後，除了使用在軌道上的AI Yah 1與AI Yah 2兩顆衛星，提供阿拉伯政府衛星容量及相關管理服務，並準備以將在2027、2028年發射的兩顆下一代衛星，AI Yah 4與AI Yah 5，擴大服務政府能量。</p> <p>Yahsat指出，新的合作延續和阿拉伯政府的長期協議，下一代衛星也將擴展現有衛星群，提供更大的容量、覆蓋範圍、靈活彈性。</p> <p> </p> <p>圖片來源／數位部、臺南市政府、臺中市政府</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.韓國傳將以3.6億美元發展國內低軌衛星通訊網路</strong></p> <p><strong>2.英國政府正遊說隱私機構支持警察使用臉部辨識技術</strong></p> <p>資料來源：iThome整理，2023年8月</p> </div></div></div>
2023/9/26 17:07作者蘇文彬https://www.ithome.com.tw/news/158971
Gmail Basic HTML檢視功能將於明年1月退役
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.google.com/mail/answer/15049?hl=en&sjid=16203829960543308735-AP" target="_blank">Google近日宣布</a>，Gmail中的基本HTML檢視（Basic HTML View）模式將在明年1月退役，屆時所有原本採用該模式的介面，都將自動轉成標準檢視（Standard View）模式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0926-gmail%20html%20mode%20policy.png" style="width: 600px;" /></p> <p>Google去信向部分使用者解釋，基本HTML檢視是Gmail的早期版本，早在十多年前就被後繼的現代版本取代，而且它並未含有完整的Gmail功能，因此，從2024年1月初開始，桌面網頁及行動網頁版的Gmail就會關閉基本HTML檢視模式。</p> <p>基本HTML為Gmail的簡單版，最大好處就是它支援早期版本的瀏覽器，而且可在網路較慢的狀態下使用。</p> <p>不過，隨著全球網路速度的改善，基本HTML檢視已逐漸失去其必要性，再加上它缺乏標準檢視的許多功能，例如拼字檢查、聊天、快捷鍵或豐富媒體格式等，也讓Google持續建議Gmail用戶採用標準檢視模式。</p> <p>目前Google似乎已經移除了Gmail設定中可切換至基本HTML檢視的功能，<a href="https://mail.google.com/mail/u/0/h/" target="_blank">使用者可透過Google提供的連結進行切換</a>，而只要關閉該分頁再重新進入Gmail，就會回復成標準檢視模式。</p> </div></div></div>
2023/9/26 13:26作者陳曉莉https://www.ithome.com.tw/news/158969
ChatGPT現在能接受語音、圖片輸入提示，還會說話
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/blog/chatgpt-can-now-see-hear-and-speak" target="_blank">OpenAI周一宣布</a>ChatGPT即將讓用戶以語音輸入指令或上傳圖片，而且終於能開口說話。</p> <p>語音、圖像辨識新功能將在2周內部署給ChatGPT Plus及Enterprise用戶，不過OpenAI表示「很快」也會推向開發人員及免費版用戶。</p> <p>支援語音互動和圖片辨識讓ChatGPT有更多元應用。用戶可以直接說出想要ChatGPT執行的任務、聽它的答案，再和這個聊天機器人來回對話。像是要求它為家人說一個床邊故事，或是設定晚餐桌上的辯論。加上圖片辨識能力則讓使用場景更為靈活，像是在旅行途中拍下知名建物詢問有趣故事，或是拍攝冰箱照片，讓ChatGPT建議菜單，並在邊做菜時邊向它討教作法。用戶也可以拍攝數學習題上傳ChatGPT，請它分享解題技巧給大人和小孩。</p> <p>OpenAI表示，最新的語音能力是在新的語音合成（text-to-speech）模型上開發，它能以數秒鐘的語音樣本及文字生成逼真的人聲。目前OpenAI提供5種人聲，每種聲音都是OpenAI和專業聲優合作開發出來。OpenAI並使用開源語音辨識系統Whisper將語音轉錄為文字。</p> <p>而圖片辨識則是以多模GPT-3.5和GPT-4為底層。這些模型將語言理解能力應用在包含文字和圖片的段落、螢幕擷圖及文件上。最新功能允許用戶上傳多幀圖片，或使用其繪圖工具引導ChatGPT畫一張圖。</p> <p>OpenAI強調，基於技術風險，該公司選擇逐步釋出這些進階功能，例如語音合成可能給了歹徒詐騙或Deepfake名人的機會，而視覺模型目前仍有對人臉幻覺，以及在重要領域仍仰賴模型解釋圖片的問題。為此，在語音合成上，目前OpenAI僅發展語音對話，但是該公司也在實現其他應用，例如Spotify以OpenAI技術測試podcast的語音翻譯功能。至於圖片辨識，在大規模推廣前，OpenAI已展開模型偏激性及科學能力的測試，以探詢負責任的用途。</p> <p>新的視覺辨識功能提供給所有平臺，包括Windows及行動版App。語音輸入功能則只部署到iOS和Android版。要使用圖片辨識功能，需以App上的相片鍵拍攝或選擇圖片。iOS或Android手機版App上則需要先按「+」號。語音輸入功能方面，需用戶從App的「設定」區>「新功能」下加入（opt-in）啟動語音對話。之後使用者可按下ChatGPT主頁右上方的耳機按鍵，選擇喜歡的聲音完成設定。</p> </div></div></div>
2023/9/26 13:06作者林妍溱https://www.ithome.com.tw/news/158968
Unity收費政策大逆轉，用戶激烈反彈後官方釋出利多安撫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Unity在9月12日的時候，突然<a href="https://blog.unity.com/news/plan-pricing-and-packaging-updates">宣布</a>要向用戶收取一個稱為Runtime Fee的費用，所有Unity方案層級的用戶，其所開發的遊戲將會按安裝數收費，Unity Personal和Plus方案每個安裝的費用為0.2美元，而授權費較高的Unity Pro和Enterprise方案，每個安裝費用從0.15美元到0.01美元不等。</p> <p>Unity突然發布這項收費政策，引發遊戲社群大反彈，經過了接近兩個禮拜，Unity終於對社群<a href="https://blog.unity.com/news/open-letter-on-runtime-fee">道歉</a>，並且大動作修改收費政策，希望重新取得用戶的信任。</p> <p>Unity最初公開的新收費政策，提到Unity遊戲引擎存在兩部分，分別是Unity編輯器和Unity執行環境。Unity編輯器是遊戲開發引擎的核心元件，可用於建立和測試2D與3D應用程式的圖形介面，開發者可以使用編輯器，簡單地進行場景設計、素材管理、功能設計，甚至是打包和發布等工作，而Unity執行環境則是在玩家裝置上執行的程式碼，而這也是可以讓Unity遊戲能夠大規模運行的關鍵，每月下載量高達數十億次，因此除了編輯器之外，Unity也想對Unity執行環境收費。</p> <p>為此，官方引進了Runtime Fee的概念，會以最終用戶下載合法遊戲的次數當作基準向用戶收費，當滿足特定條件，用戶便會需要開始支付Runtime Fee，對於較低授權費的方案Unity Personal/Plus，在過去12個月內遊戲收入達到20萬美元以上，且終身遊戲安裝量至少為20萬次的用戶，還有Unity Pro/Enterprise方案，在過去12個月內收入達到100萬美元，而且終身遊戲安裝量達到100萬次的用戶，都會需要開始支付Runtime Fee。</p> <p>同時，官方還宣布從2023年9月12日開始Unity Plus將退役，用戶可以選擇升級到Unity Pro，從2024年1月1日開始，無論收入任何用戶皆可以選擇Unity Personal方案，而Unity Pro/Enterprise方案則會在Runtime Fee有較大的折扣，在遊戲安裝成長時，相較Unity Personal其授權成本便會被Runtime Fee折扣抵銷。</p> <p>Unity在公開這個消息之後社群譁然，隨之而來的便是用戶激烈的反彈，不少遊戲開發者醞釀出走，而在引起這麼大的風波之後，現在Unity Create負責人Marc Whitten終於出面，對於在推行新的收費政策之前欠缺溝通，所造成的困擾向用戶們道歉。</p> <p>同時，Marc Whitten也宣布了Unity最新政策，相較於9月12日的版本有<a href="https://unity.com/pricing-updates">4大調整</a>。首先，Unity Personal方案除了維持免費，且使用該方案建置的遊戲不需要支付Runtime Fee，Unity也將收入資格上限從10萬調高至20萬美元，並且還取消需要加入Made with Unity啟動動畫的要求。也就是Unity Personal免費方案在政策調整之後，官方進一步向開發者提供利多。</p> <p>在新政策中，只有在12個月內，總收入高於100萬美元的遊戲，企業才需要支付Runtime Fee，不過Unity Pro/Enterprise方案用戶也不用擔心，因為新政策的第二項調整，讓過去的遊戲不會受到Runtime Fee影響，政策會從2024年發布的下一個Unity LTS版本開始。第三項調整提到，目前已發布的遊戲和正在進行的專案，也同樣不會被收取Runtime Fee，除非轉換使用2024年發布的Unity LTS版本。</p> <p>第四項調整，對於需要支付Runtime Fee的遊戲，Unity也提供兩個方案，用戶可以選擇以2.5％的收入分成，或是根據每月的遊戲互動新用戶數量計算金額，這兩種方式都由用戶自己報告的數據計算，Unity最終收取兩種方式計算後較低的金額。Unity在Runtime Fee風波之後，釋出誠意大幅調整收費政策，接下來就要看用戶買不買單了。</p> <p>最近有不少企業都在調整收費方式後，面臨用戶強烈反抗。例如年初Docker<a href="https://www.ithome.com.tw/news/155971">宣布</a>Free Team方案將轉為付費方案，未升級的帳戶將在一個月內被凍結帳戶，同樣地，Reddit在7月<a href="https://www.ithome.com.tw/news/156469">強推</a>API收費政策，導致數個知名應用程式被迫關閉。這些收費政策的變化，都在用戶社群內引發巨大的風波。</p> <p>商業模式的轉換，特別是從免費轉向付費，往往更容易激起用戶的反彈和不信任感，畢竟原本免費的服務突然需要支付費用，總會引來一定程度的反彈，接下來勢必還會有更多廠商跟進調整商業模式，但要如何安撫用戶平順過渡至新的商業模式，成為廠商必須面對的挑戰。</p> </div></div></div>
2023/9/26 10:38作者李建興https://www.ithome.com.tw/news/158965
AWS CodeArtifact擴展Apple開發生態系支援，供開發者儲存、管理Swift套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS全託管程式碼成品（Artifact）儲存庫CodeArtifact現在可以更好地<a href="https://aws.amazon.com/tw/blogs/aws/new-add-your-swift-packages-to-aws-codeartifact/">支援</a>Swift開發者，CodeArtifact能夠儲存和檢索Apple平臺的套件相依項目，並整合標準開發人員工具Xcode、xcodebuild和Swift Package Manager（SwiftPM），使開發人員可以方便地管理這些Swift程式碼成品。</p> <p>簡單的應用程式可能只用到數十個套件，但大型企業的應用程式可能包含數百個相依項目，這些套件分別解決不同的任務，像是網路存取、加密函式，或是資料格式操作等，使開發人員能夠更快地開發和測試應用程式。同時開發人員也會嵌入SDK來存取遠端服務，而這些SDK可能來自組織中其他團隊，或是由第三方維護。</p> <p>因此管理套件和相依性成了目前軟體開發很重要部分，AWS提到，組織管理程式碼成品存在兩個重要挑戰，分別是合法性與安全性。組織必須確保第三方軟體套件的授權，與套件專案的預期用途相容，並且該軟體套件不會侵犯他人智慧財產權，另外，組織也必須確保所使用的程式碼安全可用，沒有後門或是刻意被置入的漏洞，以防範近年流行的供應鏈攻擊。</p> <p>為此，企業需要在本地或是雲端建置私有軟體套件伺服器，規範開發人員只能使用該伺服器上經過審查的軟體套件。而CodeArtifact則是一個可供企業存放私人套件的雲端服務，過去CodeArtifact支援的套件管理器和建置工具，包括Maven、Gradle、npm、Yarn、Twine、pip和NuGet，而現在還支援原生Swift套件。</p> <p>開發者可以從CodeArtifact儲存庫發布和下載Swift套件相依項目，CodeArtifact SwiftPM也能夠與現有開發工具搭配使用。在將套件儲存到CodeArtifact之後，開發者便可以在專案的Package.swift或是Xcode專案中參照使用，如同在Git端點存取公共Swift套件一樣。</p> <p>要上傳Swift套件到CodeArtifact，Swift版本需要使用5.8版本以上，因此要處理iOS、iPadOS、tvOS、watchOS的應用程式開發時，開發者就必須使用Xcode 15。Swift 5.9提供了一個swift package-registry publish命令，讓開發者可將套件上傳到CodeArtifact，而Swift 5.8則可以先使用curl命令上傳程式碼成品。</p> <p>CodeArtifact在收費方面，Swift程式碼成品與其他已經支援的程式碼成品格式相同，並且現已在13個地區開放支援。</p> </div></div></div>
2023/9/26 09:52作者李建興https://www.ithome.com.tw/news/158963
110個組織遭勒索軟體Akira鎖定，利用思科SSL VPN漏洞入侵，加密Windows、Linux電腦檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年5月資安業者Sophos看到勒索軟體Akira採用了過往較為少見的攻擊手法，<a href="https://news.sophos.com/en-us/2023/05/09/akira-ransomware-is-bringin-88-back/">駭客疑似針對尚未採用雙因素驗證的SSL VPN系統下手</a>，從而入侵受害組織，這樣的手法引起不少研究人員對於該駭客組織的高度關注。</p> <p><a href="https://www.ithome.com.tw/news/158411#akira">後來到了8月</a>，惡意軟體分析員Aura、資安業者SentinelOne確認被針對的SSL VPN系統廠牌是思科，而且，駭客應該是針對該系統的漏洞下手，繞過雙因素驗證流程。當時，SentinelOne確認有8起勒索軟體攻擊是透過該廠牌的SSL VPN系統入侵。<a href="https://www.rapid7.com/blog/post/2023/08/29/under-siege-rapid7-observed-exploitation-of-cisco-asa-ssl-vpns/">資安業者Rapid7發現</a>，也有人利用類似手法散布勒索軟體LockBit。</p> <p>這樣的發現，<a href="https://www.ithome.com.tw/news/158704#akira">在9月上旬得到思科的證實</a>，勒索軟體Akira就是利用CVE-2023-20269入侵組織的內部網路環境，而這樣的漏洞存在於該廠牌的網路資安設備ASA、FTD系列，攻擊者可在未經授權的情況下，藉由暴力破解攻擊找出有效的帳號及密碼，甚至有可能透過未經授權的使用者，建立無用戶端的SSL VPN連線。</p> <p>最近有新的分析指出，勒索軟體駭客組織Akira的攻擊行動持續昇溫。<a href="https://www.logpoint.com/en/blog/emerging-threat/emerging-threat-akira-not-a-cyberpunk-movie-a-very-real-ransomware-threat/">資安業者Logpoint表示</a>，今年8月Akira是第4大的勒索軟體，僅次於LockBit 3.0、8Base、BlackCat（Alphv），截至9月15日，總共有110個組織受害（編按：根據Ransomware.Lve網站的統計，在25日這天已增加至113個組織），這些組織大部分位於美國和英國，但駭客沒有偏好特定產業，受害組織涵蓋教育、金融、房仲、製造、顧問業者，當中包含大型生產流程品質檢驗業者Intertek。</p> <p><a href="https://s4.itho.me/sites/default/files/images/image-20230908-073921.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-20230908-073921.png" style="width: 580px;" /></a></p> <p>研究人員指出，一旦駭客得到內部網路的存取權限，就會使用遠端桌面連線工具AnyDesk、RustDesk，以及壓縮軟體WinRAR來進行後續攻擊行動，並且利用系統資訊工具PC Hunter及wmiexec橫向移動。</p> <p>此外，為了讓檔案加密工作能順利執行，駭客會停用Windows內建的防毒軟體即時監控功能，並使用PowerShell下達刪除磁碟區陰影複製服務（VSS）的備份檔案。此外，這些駭客也開發了Linux版的加密程式，可用來加密VMware ESXi虛擬機器的檔案，進行綁架勒贖。</p> <p>勒索軟體駭客採取寄生攻擊（LOLBins）手法，利用企業組織內現成的應用程式，執行攻擊行動，來迴避資安系統偵測的情況可說是非常普遍，其中，有許多駭客組織，如：LockBit、BlackByte，以及專門針對SQL Server的勒索軟體FreeWorld，濫用遠端桌面連線工具AnyDesk來存取受害主機，Akira也不例外。</p> <p>但值得留意的是，這些駭客還運用另一款<a href="https://rustdesk.com/">開源、跨平臺的遠端桌面連線工具RustDesk</a>，而有可能架設自己的基礎設施架構，或是利用其內建的點對點（P2P）連線功能，讓攻擊行動變得更為隱密。</p> </div></div></div>
2023/9/25 23:10作者周峻佑https://www.ithome.com.tw/news/158964
【資安日報】9月25日，埃及總統候選人遭到鎖定，攻擊者利用iOS零時差漏洞在手機植入間諜軟體Predator
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>集權國家政府利用間諜軟體監控特定人士的情況，不時傳出，而對於上週蘋果修補的一連串漏洞，通報的加拿大公民實驗室與Google威脅情報小組隨後公布資安事故的細節，指出受害者就是參與埃及明年總統大選的前議員Ahmed Eltantawy。</p> <p>但有別於1年多前攻擊者利用釣魚簡訊引誘該名議員上當，這次攻擊者竟然透過當地電信業者的邊界裝置下手，對方趁他瀏覽尚未採用HTTPS連線的網站時，重新導向到惡意網站來部署間諜軟體。研究人員依此判斷，背後的攻擊者極有可能就是埃及政府。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/158942"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">埃及政府傳出對總統候選人下手，利用零時差漏洞在iPhone手機植入間諜軟體Predator</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Predator-image3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Predator-image3.png" style="width: 300px; float: right;" /></a>蘋果於9月21日針對旗下的行動裝置、電腦、穿戴裝置發布更新，修補由的3個零時差漏洞CVE-2023-41991、CVE-2023-41992、CVE-2023-41993，通報上述漏洞的加拿大公民實驗室與Google威脅情報小組（TAG）指出，遭到攻擊的是宣布參與埃及明年總統大選的前議員Ahmed Eltantawy，這名議員在今年3月宣布參選後，他的家人與支持者不斷遭到各種騷擾及逮捕，因而懷疑手機遭到監控而尋求加拿大公民實驗室協助。</p> <p>調查結果發現，在今年5月至9月間，這名議員遭到鎖定，駭客透過簡訊及WhatsApp傳送連結，他手機所使用的電信網路Vodafone Egypt門號於8月開始遭到鎖定，只要該名議員瀏覽沒有採用HTTPS的網站，此電信業者的網路邊界裝置會將他重新導向惡意網站，從而在執行iOS 16.6.1作業系統的手機植入間諜軟體Predator。</p> <p>有鑑於間諜軟體透過埃及境內的電信網路設備發動攻擊，研究人員認為幕後的攻擊者就是埃及政府。而Ahmed Eltantawy的手機並非首度遭Predator入侵，2021年11月，這名議員收到含有釣魚網站連結的簡訊，而導致手機感染Predator。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://citizenlab.ca/2023/09/predator-in-the-wires-ahmed-eltantawy-targeted-with-predator-spyware-after-announcing-presidential-ambitions/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-805476736" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://citizenlab.ca/2023/09/predator-in-the-wires-ahmed-eltantawy-targeted-with-predator-spyware-after-announcing-presidential-ambitions/</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://blog.google/threat-analysis-group/0-days-exploited-by-commercial-surveillance-vendor-in-egypt/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-183830377" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://blog.google/threat-analysis-group/0-days-exploited-by-commercial-surveillance-vendor-in-egypt/</span></a></p> <p><a href="https://www.akamai.com/blog/security-research/sophisticated-phishing-campaign-targeting-hospitality"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客透過冒牌訂房網站Booking.com竊取信用卡資料</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/sophisticated-phishing-campaign-targeting-hospitality-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/sophisticated-phishing-campaign-targeting-hospitality-5.jpg" style="width: 300px; float: right;" /></a>資安業者Akamai揭露針對旅館、訂房網站、旅行社的竊資軟體攻擊行動，駭客假冒旅館的名義，透過訂房網站尋找目標，要求消費者重新確認信用卡，目的是竊取他們的資料。攻擊者先是發出訂房請求，並指定到旅館付款的方式，然後向旅館寄送一系列極為緊急且似乎相當真誠的電子郵件，當中含有「相片」的連結，若是收信人點選，電腦就有可能執行竊資軟體。</p> <p>研究人員指出，一旦旅館被鎖定，接下來駭客的目標就會轉向房客。研究人員指出，一旦收信人在旅館執行了竊資軟體，攻擊者就有機會取得聯繫房客的聯絡方式，然後利用旅館的名義，從訂房網站發送簡訊給房客，要求他們儘速採取行動，依照指示進行額外的付款資料驗證，來確保預約不會取消。</p> <p>若是房客照做，電腦就會執行以Base64編碼混淆的JavaScript指令碼。值得一提的是，為了防堵研究人員分析，駭客加入多項安全驗證機制，房客必須通過驗證後才會看到假冒Booking.com的釣魚網站。</p> <p><a href="https://www.logpoint.com/en/blog/emerging-threat/emerging-threat-akira-not-a-cyberpunk-movie-a-very-real-ransomware-threat/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">110個組織遭勒索軟體Akira鎖定，利用思科SSL VPN漏洞入侵，加密Windows、Linux電腦檔案</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/image-20230905-073724.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-20230905-073724.png" style="width: 300px; float: right;" /></a>勒索軟體Akira鎖定目標組織的思科SSL VPN系統，利用CVE-2023-20269入侵內部網路環境，引起不少研究人員關注，最近有新的分析指出該組織的攻擊行動持續昇溫。資安業者Logpoint指出，今年8月Akira是第4大的勒索軟體，僅次於LockBit 3.0、8Base、BlackCat（Alphv），截至9月15日，總共有110個組織受害（編按：根據Ransomware.Lve網站的統計，在25日這天已增加至113個組織），這些組織大部分位於美國和英國，但駭客沒有偏好特定產業，受害組織涵蓋教育、金融、房仲、製造、顧問業者，當中包含大型公證檢驗業者Intertek。</p> <p>研究人員指出，一旦駭客得到內部網路的存取權限，就會使用遠端桌面連線工具AnyDesk、RustDesk，以及壓縮軟體WinRAR來進行後續攻擊行動，並且利用系統資訊工具PC Hunter及wmiexec橫向移動。</p> <p>此外，為了讓檔加密工作能順利執行，駭客會停用 Windows內建的防毒軟體即時監控功能，並使用PowerShell下達刪除磁碟區陰影複製服務（VSS）的備份檔案。此外，這些駭客也開發了Linux版的加密程式，可用來加密VMware ESXi虛擬機器的檔案，進行綁架勒贖。</p> <p><a href="https://www.darkreading.com/attacks-breaches/fbi-cisa-issue-joint-warning-on-snatch-ransomware-as-a-service"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國針對勒索軟體Snatch的攻擊行動提出警告</span></strong></a></p> <p>上週美國網路安全暨基礎設施安全局（CISA）、聯邦調查局（FBI）聯手，針對勒索軟體Snatch的攻擊行動提出警告，指出駭客廣泛針對關鍵基礎設施（CI）、包含國防工業基地（DIB）、糧食與農業、資訊科技業者而來（最近一起被公布的攻擊事件發生在6月）。</p> <p>根據CISA和FBI提到的攻擊手法，駭客主要透過暴力破解找到遠端桌面連線（RDP）所需的帳密資料，成功入侵之後，他們會在受害組織的網路環境收集管理員帳密資料，並使用443埠進行連線，存取架設於俄羅斯代管服務的C2伺服器。接下來，攻擊者可能會耗費長達3個月的時間來進行橫向移動，並且找尋有價值的資料，過程中會利用Windows命令列執行sc.exe，以便對系統服務執行設定、查詢、停止、啟動、刪除、新增等動作，也會使用滲透測試工具Metasploit與Cobalt Strike。</p> <p>而對於這次CISA和FBI發布資安通告的原因，資安業者CardinalOps執行長Michael Mumcuoglu認為，很有可能是在最近1年駭客的攻擊行動升溫有關。</p> <p><a href="https://thehackernews.com/2023/09/ukrainian-hacker-suspected-to-be-behind.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">檔案下載工具Free Download Manager遭植入惡意程式，疑烏克蘭駭客所為</span></strong></a></p> <p>卡巴斯基9月上旬揭露針對Linux用戶的冒牌網站攻擊行動，駭客從2020年1月，竄改檔案下載工具Free Download Manager（FDM）部分網站，導致Linux用戶可能遭到惡意軟體攻擊。</p> <p>研究人員指出，一旦使用者下載、安裝惡意版本的FDM，電腦就有可能被植入後門程式crond，該程式會在電腦每次開機期間，透過cron啟動，並向特定網域發出特定類型的DNS請求，啟動反向Shell與C2連線。此後門程式會收集系統資訊、瀏覽器的上網記錄、儲存的帳密資料、加密貨幣錢包檔案，以及AWS、Google Cloud、Oracle Cloud Infrastructure、Azure等雲端服務的帳密資料。</p> <p>對此，FDM開發團隊獲報後也做出進一步說明，表示發動攻擊的駭客疑似來自烏克蘭，約有不到0.1%用戶受到影響，而開發團隊在2022年的網站更新工作時，無意間修復了相關弱點。FDM呼籲曾在2020至2022年下載應用程式的Linux用戶，應儘速檢查電腦是否感染惡意軟體，他們也提供Bash指令碼執行相關檢測工作。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://securelist.com/backdoored-free-download-manager-linux-malware/110465/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--712898188" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://securelist.com/backdoored-free-download-manager-linux-malware/110465/</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.freedownloadmanager.org/blog/?p=664" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-942106575" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.freedownloadmanager.org/blog/?p=664</span></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://confluence.atlassian.com/security/security-bulletin-september-19-2023-1283691616.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Atlassian修補旗下Jira、Confluence、Bitbucket、Bamboo漏洞</span></strong></a></p> <p>9月19日Atlassian針對旗下多款產品發布更新，包含：程式碼管理平臺Bitbucket、DevOps協作平臺Confluence、持續整合與持續部署系統（CI/CD）Bamboo、專案管理平臺Jira。</p> <p>根據CVSS風險評分，最為危險的是遠端程式碼執行（RCE）漏洞CVE-2023-22513，這項漏洞出現在Bitbucket，影響8.0.0至8.13.0版，攻擊者可在通過身分驗證的情況下，執行任意程式碼，能夠破壞該系統的可用性、完整性、機密性，過程無需使用者互動，CVSS風險評分為8.5。</p> <p>其他幾項漏洞為CVE-2023-22512、CVE-2023-28709、CVE-2022-25647，CVSS風險評分皆為7.5。CVE-2023-22512為阻斷服務（DoS）漏洞，未經授權的攻擊者可暫停目標伺服器的服務，影響5.6至8.5版的Confluence。CVE-2023-28709、CVE-2022-25647是第三方元件漏洞，影響8.1.12至9.2.3版Mamboo，以及4.20至5.10版Jira。</p> <p><a href="https://thehackernews.com/2023/09/high-severity-flaws-uncovered-in.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">網際網路系統協會修補DNS軟體BIND高風險漏洞</span></strong></a></p> <p>9月20日網際網路系統協會（ISC）發布DNS軟體BIND更新，提供9.16.44、9.18.19、9.19.17等版本，修補高風險漏洞CVE-2023-3341、CVE-2023-4236。</p> <p>這兩個漏洞的CVSS風險評分同為7.5，影響範圍較廣的是CVE-2023-3341，一旦遭到利用，攻擊者可藉由控制頻道發送偽造訊息，可能導致處理封包的程式碼佔滿整個記憶體堆疊，使得BIND無預期停止運作，影響9.16、9.18、9.19版BIND。</p> <p>ISC本次修補的另一個漏洞CVE-2023-4236，起因是處理DNS-over-TLS查詢的程式碼存在弱點，導致該系統內部資料結構在出現大量查詢作業的情況下，而造成不正確的重覆利用，演變成斷言（assertion）出錯讓該系統終止運作，影響9.18版BIND。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/158882"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國國家學生資訊交換所遭遇MOVEit Transfer零時差漏洞攻擊，影響890所學校</span></span></strong></a></p> <p><a href="https://www.securityweek.com/researchers-discover-attempt-to-infect-leading-egyptian-opposition-politician-with-predator-spyware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體BlackCat聲稱入侵車輛資訊系統製造商Clarion</span></span></strong></a></p> <p><a href="https://unit42.paloaltonetworks.com/rare-possible-gelsemium-attack-targets-se-asia/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">東南亞政府機關遭到駭客組織Gelsemium鎖定</span></span></strong></a></p> <p><a href="https://www.hhs.gov/sites/default/files/dprk-chinese-cyber-crime-threats-us-hph.pdf"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國、北韓多個駭客組織鎖定美國衛生機構而來</span></span></strong></a></p> <p><a href="https://www.welivesecurity.com/en/eset-research/stealth-falcon-preying-middle-eastern-skies-deadglyph/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">後門程式Deadglyph鎖定中東而來</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/158927"><strong>【9月23日】中國駭客鎖定臺灣安卓用戶，假借提供Whoscall付費功能的破解程式來散布惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158896"><strong>【9月22日】斥資280億美元重金，思科買下大數據資安業者Splunk</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158872"><strong>【9月21日】中國駭客假借寄送發票的名義發動網釣攻擊，目的是散布新型態的木馬程式ValleyRAT</strong></a></p> </div></div></div>
2023/9/25 17:21作者周峻佑https://www.ithome.com.tw/news/158960
AI趨勢周報第229期：生成排版文件也可以！微軟發表多模態模型Kosmos-2.5
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0915～0921)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Kosmos-2.5 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 多模態 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>生成排版文件也可以！微軟發表多模態模型Kosmos-2.5</strong></span></p> <p>最近，微軟發表一套多模態模型Kosmos-2.5，可完成2項文字任務，一是生成具排版空間的文字區塊，二是產出結構化文字，並以機器可讀的Markdown格式呈現，保留排版和風格。這個Kosmos-2.5包含ViT視覺編碼器和Transformer解碼器，並用大量包含文字的圖片訓練而成，如PPT簡報、arXiv論文、README和HTML等，因此模型具空間意識，可理解文字區塊在排版中的位置，也能理解文字內容。</p> <p>就生成過程來說，Kosmos-2.5會先產生文字區塊，也就是將文字區塊的座標分配到圖片中，這意味著模型更能理解文字區塊在圖片中的意義，能更準確產出結構化、連貫的文字描述。再來，模型會以機器可讀的Markdown格式，來產生結構化文字內容，包括原本的排版資訊和風格。</p> <p>團隊指出，Kosmos-2.5為文字圖片理解提供了統一的架構和介面，適用於各種應用場景。比如，它可作為單一模型進行微調，用於資訊抽取、排版偵測和分析、視覺問答、螢幕截圖理解、UI自動生成等文字圖片理解任務。再來，Kosmos-2.5也能與強大的大型語言模型相容，比如GPT-3.5或GPT-4，並以模型產出的結果，來強化LLM的文字圖像理解能力。微軟表示，Kosmos-2.5統一的模型介面大大簡化了下游任務的訓練，也能讓模型有效遵循指令。<a href="https://arxiv.org/abs/2309.11419">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 蒸餾 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 小模型 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google開發逐步蒸餾技術，小資料小模型也能打敗LLM</strong></span></p> <p>為解決模型大小和訓練資料收集成本間的權衡問題，Google發展逐步蒸餾（Distilling Step-by-Step）方法，可用比一般方法少得多的資料，訓練用於特定任務的小模型，效能還比少樣本提示語言模型要好。這個逐步蒸餾法是要從LLM中，擷取有用的自然語言解釋，亦即LLM中間的推理步驟，並用這些解釋更有效地訓練小型模型。因此，逐步蒸餾的第一步驟，是從大型語言模型中擷取解釋，由開發者提供少數範例，如問題、中間的解釋和答案，引導大型語言模型對新的問題產生相對應的解釋。第二階段是利用第一階段取得的解釋訓練小型模型，小型模型學習由大型語言模型生成的中間推理步驟，能更好地預測答案。</p> <p>團隊用5,400億參數的PaLM模型，再以T5作為特定任務的模型，實驗在不同自然語言處理任務的表現。透過逐步蒸餾法，使用較少的訓練資料就能超越標準微調方法的效果，甚至僅擁有2.2億參數的T5模型，在e-SNLI資料集表現就可超越5,400億參數的PaLM大型語言模型。<a href="https://blog.research.google/2023/09/distilling-step-by-step-outperforming.html">（詳全文）</a></p> <p><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEiN3UISRCKswIxZuTsi08LUV15urAL9GuG65SHPLQcyxa6JKL_aKMtYCiaFmaQ-TC59otrYI7g-DXLTa8v-h4WgOT_B1CqKtMZG7gyRiw4YoQcUn1EUj386PgYZ1PP-Wq9vDSer0D2kdYsT0n8XgAq9AdokWEtfgUBs-1KUZc2H8lMHuyjQ-nA6YFDuewrI/s16000/image4.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AFS </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 台智雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span></p> <p><span style="font-size:22px;"><strong>台智雲揭企業級LLM服務新進展，新添繁中優化的Llama 2模型</strong></span></p> <p>繼今年5月發表企業級大型語言模型服務AFS後，華碩子公司台智雲日前再揭新進展，在AFS中納入更多模型，包括以繁中資料強化的FFM-Llama 2，預計9月底上線。進一步來說，AFS全名為AI Foundry Service，主要有2種大型語言模型的部署和推論服務，即AFS Cloud和AFS Appliance。其中，AFS Cloud為雲端託管服務，企業可透過API來使用訓練好的LLM，AFS Appliance則是私有雲／地端部署服務，企業可下載大型模型到地端使用。</p> <p>這次，台智雲在AFS的預訓練模型庫中，新添以繁中語料優化的FFM-Llama 2模型，包含70億參數、130億參數和700億參數三種版本，以及Meta原本的Llama 2、Code Llama等開源模型，此外還有先前發布的FFM-1（含7B、176B版本）、BLOOMZ（含7B與176B版本）以及Embedding等模型來供用戶選擇。</p> <p>另外，台智雲在AFS中還新添新功能，比如能提高訓練效率的LoRA（Low-Rank Adaptation），特別適合資料量不多的企業使用者，預計10月上線FFM-Llama 2、Meta Llama 2和FFM-BLOOM系列支援LoRA。另一個新功能則是BitsAndBytes，結合了LoRA和模型縮小技術，有利於模型部署於運算資源有限的裝置。<a href="https://www.ithome.com.tw/news/158874">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B8%AE%E5%B0%8F.JPG" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 蛋白質 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> EvoDiff </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 序列空間 </span></strong></span></p> <p><span style="font-size:22px;"><strong>可設計自然界所有蛋白質！微軟開源AI新框架EvoDiff</strong></span></p> <p>微軟開源通用擴散模型框架EvoDiff，兼具處理大量、多元資料的特性和擴散模型的控制能力，在序列空間中能以可控制的方法生成蛋白質。用EvoDiff訓練的模型，能生成多樣化且結構合理的蛋白質，甚至能生成以結構為基礎的模型無法生成的模型，具通用性。</p> <p>這個EvoDiff框架，結合進化與擴散兩個方法，用進化規模的蛋白質資料，來建立擴散模型。所謂進化規模，是指涵蓋大規模進化歷史，足以反映蛋白質長時間進化的資料，可讓模型在探索和設計新蛋白質時表現更好。使用EvoDiff框架訓練的模型，能生成符合現實且多樣化的新蛋白質，包括在序列空間生成，在生物學和疾病中都有非常重要作用的無序蛋白質（Disordered Protein）。<a href="https://www.biorxiv.org/content/10.1101/2023.09.11.556673v1">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/f4.large__0.jpg?itok=mqkQ6Ryo" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 輕量化 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GAN </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 低階裝置 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google輕量化臉部編輯GAN模型，低階手機也能即時生成</strong></span></p> <p>Google針對生成對抗網路（GAN）的高運算複雜度提出新解方，將原本需要在伺服器執行的臉部編輯模型輕量化，改良為可在手機執行的少樣本臉部風格模型MediaPipe FaceStylizer，提供高品質臉部圖片生成。</p> <p>MediaPipe FaceStylizer包含臉部生成器和臉部編碼器兩個主要元件。臉部編碼器的主要功能是生成對抗網路反轉，將圖像映射到生成器的潛在碼中，來產生圖片。為最佳化生成器，團隊特別設計損失函式，從一個複雜的StyleGAN模型，提煉出一個更輕量的生成器BlazeStyleGAN，不僅容量小、執行快，生成的圖片品質也很高。</p> <p>經測試，當輸出解析度為1024x1024，BlazeStyleGAN-1024可減少95％運算複雜度，且輸出圖像品質與StyleGAN-1024模型沒有明顯差異。甚至，BlazeStyleGAN-256和BlazeStyleGAN-512在所有具GPU的裝置上都能即時運算，在更高階手機的執行時間甚至不到10毫秒。BlazeStyleGAN-256還可以在iOS裝置上以CPU即時生成結果。Google將透過MediaPipe平臺發布MediaPipe FaceStylizer。<a href="https://blog.research.google/2023/09/mediapipe-facestylizer-on-device-real.html">（詳全文）</a></p> <p><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEi3TpxAGbwALgLPFX9ocKbOTjYkRKvx28IY1jWHzM5mdgc3xTBFpn2MfbW1WpJPgjewSY2-zxRyo9FJEjxcx0gzaJxGf2bJGSuVkUUUTM0Eob60tjUuwaF-RUsGERGzl0o5LYkn7G0oFXB1UORri9RhnZ0FIvfbh3F5PFdt7IbVeeNw-yO6Ua8MB0Y2V5A/s16000/image2.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 創作 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> YouTube Create </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 編輯 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>YouTube推出AI內容編輯器</strong></span></p> <p>影音平臺YouTube日前推出一款AI編輯工具YouTube Create App，能用來精準編輯和剪輯、自動配音、上字幕和過場。特別的是，YouTube Create 還將測試一個新功能Dream Screen，使用者只需輸入一個想法，就能新添AI製作的短片或圖片至自己的影片。舉例來說，使用者可輸入「我想現在就在巴黎」，App就會合成包含使用者在巴黎的影片或圖片。</p> <p>這個App還會有個生成式AI功能，來根據發燒主題和觀眾偏好，來產生主題點子和影片大綱給使用者。此外，App也有個AI驅動的音樂推薦功能，能根據使用者輸入的影片描述，來推薦合適的背景音樂。另一方面，使用者也能開啟外語自動配音功能。YouTube表示，這個功能是要讓使用者更容易創作，特別是對第一次發片的使用者而言。<a href="https://blog.youtube/news-and-events/made-on-youtube-2023/">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/MadeOn_YT_Key_Takeaways.width-800.format-webp.webp" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Stability AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 音樂生成 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 聲音 </span></strong></span></p> <p><span style="font-size:22px;"><strong>跨入聲音領域，Stability AI發表文字生成音樂工具Stable Audio</strong></span></p> <p>繼推出文字生成圖像模型Stable Diffusion後，Stability AI日前發表文字生成音樂模型Stable Audio。該模型由Stability AI內部的生成式聲音研究實驗室Harmonai開發，利用AudioSparx提供的80萬個聲音檔進行訓練，涵蓋音樂、音效、各種樂器，以及相對應的文字描述等，總長超過1.9萬個小時。</p> <p>Stable Audio與Stable Diffusion一樣，都是基於擴散的生成模型。Stability AI指出，一般的聲音擴散模型通常是在較長聲音檔案中隨機裁剪的聲音區塊進行訓練，可能導致所生成的音樂缺乏頭尾，但Stable Audio架構同時基於文字，以及聲音檔案的持續及開始時間，讓模型能控制所生成聲音的內容與長度。此外，利用最新的擴散取樣技術，Stable Audio模型在Nvidia A100 GPU上以44.1 kHz的取樣速度，不到1秒就能渲染95秒的立體聲。目前，Stable Audio提供免費與Pro付費版。<a href="https://stability.ai/research/stable-audio-efficient-timing-latent-diffusion">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Bard Extensions </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 聊天機器人 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>能跨服務回答問題了！Google發表Bard Extensions</strong></span></p> <p>Google日前發表英文版的Bard Extensions，也就是Bard聊天機器人的外掛，能從使用者每天使用的Google服務中尋找答案，或替使用者進行規畫。這個新外掛可用於Gmail、Docs、Drive、Google Maps、YouTube、Google Flights和Google Hotels等。舉例來說，若使用者要規畫大峽谷之旅，可在單個對話中，要求Bard自Gmail中找出適合每個人的日期，搜尋航班與飯店資訊，於Google Maps上列出到機場的路線，或列出大峽谷各種活動的YouTube影片。</p> <p>儘管Google在Brad的隱私聲明中，宣稱會蒐集使用者的Bard對話、相關產品使用資訊、位置資訊及意見，但對於Bard Extensions，只要涉及Workspace中的 Gmail、Docs與Drive服務，Google都承諾相關內容不會經過人類審查員，也不會被用來訓練Bard模型或作為遞送個人化廣告的參考。<a href="https://blog.google/products/bard/google-bard-new-features-update-sept-2023/">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Plan_a_trip_to_the_Grand_Canyon_1.gif" /></p> <p>圖片來源／Google、微軟、YouTube</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. DALL·E 3文字轉圖像模型將於10月登場，可利用ChatGPT協助描述</strong></p> <p><strong>2. 發展腦機介面裝置的Neuralink，開始接受人類大腦植入臨床試驗申請</strong></p> <p><strong>3. 甲骨文整合臨床數位助理與EHR，擴大醫療AI應用場景</strong></p> <p>資料來源：iThome整理，2023年9月</p> </div></div></div>
2023/9/25 18:15作者王若樸https://www.ithome.com.tw/news/158962
Fintech周報第217期：螞蟻集團公開自行開發的金融LLM模型，國泰金控首度揭露實踐AI治理原則的四大技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">2023/9/8~9/22金融科技精選新聞</span></span></h3> <p><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 螞蟻集團</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融LLM模型 </span></strong></span></p> <h3>螞蟻集團財富管理平臺和保險平臺開始測試自製金融LLM模型，下一步要廣泛運用在螞蟻金融數位平臺</h3> <p>「螞蟻集團已經開發出一個整合LLM模型技術、領域知識和產業服務的模型。」螞蟻集團的金融LLM模型負責人王曉航在一則聲明中說道。螞蟻集團近期揭露應用於金融領域的LLM模型，也將模型導入到內部財富管理平臺和保險平臺測試。螞蟻集團表示，未來將廣泛運用到旗下金融數位平臺。</p> <p>螞蟻集團金融LLM模型是一個源自螞蟻自行開發的通用LLM模型中進行所用的訓練資料，包括了數千億個來自中國金融文件的Token，以及超過一兆個來自通用語料庫的Token。同時，該模型運用來自300個金融產業應用產生的60萬個指令。</p> <p>此外，他們也將這個金融LLM模型導入應用程式支小寶2.0和支小助1.0，前者是協助消費者的金融助理，後者是協助金融專業人員的金融助理。</p> <p><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 國泰金控</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI治理 </span></strong></span></p> <h3>國泰金控首度揭露實踐AI治理原則的四大技術</h3> <p>國泰金控在自家技術年會上，首度公開了實現AI治理原則所投入的4大技術研發進展，包括運用SHAP演算法來解釋AI模型輸出值、建立公平反歧視模型驗證方法、導入聯邦學習實踐數據安全與保護，以及在模型加入人類回饋增強學習（RLHF）方法確保AI符合倫理道德。</p> <p>國泰金控建立公平反歧視驗證檢核機制，來確保模型未使用含有歧視意味的特徵。這個方法可分為2步驟，一是在訓練模型前，先盤點資料、確保模型不使用具歧視的特徵，以進行事前約束。再來，模型訓練完後，再以統計檢驗群體間預測的分布是否有異，來進一步移除帶有歧視性的特徵。（<a href="https://www.ithome.com.tw/news/158850">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/S__4120594_0.jpg" style="width: 600px;" /></p> <p><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 日本超商</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ATM </span></strong></span></p> <h3>日本711超商ATM也能申請開戶，明天春季將支援刷臉存提款</h3> <p>日本7-Eleven旗下的七銀行近期宣布，9月26日起，其新型ATM將開始提供部分實體銀行服務，開放民眾在自家新型ATM上開立自家銀行帳戶，和更改帳戶資訊，如居家地址、電話號碼和電子郵件。除了支援自家銀行服務，七銀行也公布合作銀行，共有六家銀行支援這項服務，兩家銀行會同步開放民眾更改帳戶資訊，其餘四家會在未來陸續提供服務。</p> <p>由於這款ATM部署於日本711便利商店中，這意味著，日本民眾可以不分時段前往711便利商店送出開戶申請。</p> <p>七銀行自2019年推出新型ATM，在機臺中增加臉部識別技術、QR code和IC讀取技術，民眾可以藉由駕照或個人編號卡等資料完成身份驗證。而這次上線的服務，正是延伸這項技術，當民眾在ATM完成資料填寫和身分文件掃描，七銀行會將資料傳送給合作的金融機構，以完成開戶作業或資料更改作業。七銀行表示，預計2024年春季推出第二批服務，包括藉由人臉辨識刷臉提款和存款。</p> <p>截至今年9月1日，這款新型ATM已在日本首都圈部署超過一萬五千臺。七銀行表示，正在陸續汰換舊機臺，預計2024年底前更換完畢，讓全國兩萬七千多臺七銀行ATM上提供新服務。</p> <p><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure OpenAI</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> KPMG </span></strong></span></p> <h3>穆迪、KPMG和蘇黎世保險皆使用生成式AI優化內部流程</h3> <p>微軟AI全球黑帶專家賈濟鑫於國泰技術年會上分享金融業如何應用Azure OpenAI，例如，美國風險評估公司穆迪（Moody’s）打造Moody’s Copilot，結合內部的數據、分析和研究，提供全球一萬四千名員工查詢服務，該工具可以從多個數據來源中彙編複雜的資訊，例如透過信用指標、經濟預測和聲譽概況等，生成詳細的公司或產業分析。</p> <p>會計師事務所KPMG則使用Azure OpenAI優化稅務流程，例如，進行稅務預測和生成財務報告和建議。蘇黎世保險公司則運用Azure OpenAI結合OCR引擎，建立一套適用於票據和文檔資訊的機制，協助加速保險理賠流程。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/S__46374991.jpg" style="width: 600px;" /></p> <blockquote><p>美國整合性風險評估公司穆迪（Moody’s）打造Moody’s Copilot，讓內部員工可以在Teams平臺上查詢某家企業的財務狀況，並生成報表。</p> </blockquote> <p><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 富士通</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <h3>日本北陸銀行和北海道銀行在內部業務中測試生成式AI</h3> <p>日本北陸銀行和北海道銀行開始測試生成式AI，使用富士通的AI平臺，以生成式AI的Chat Bot協助銀行內部事務，包括支援內部查詢、文件校對和檢測程式碼。</p> <p>例如，提供員工查詢內部的商業規則和不同產品或服務的相關法規，以及針對企業客戶的融資機制提供內部解釋，並校對審核的文件。此外，兩間銀行也將運用生成式AI創建程式和測試數據，檢測程式碼的錯誤並提出錯誤更正建議。</p> <p><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> TSB銀行 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端安全 </span></strong></span></p> <h3>英國TSB銀行開始採用統一雲端安全平臺，管理多雲環境</h3> <p>英國TSB銀行開始採用一套雲端管理平臺保護雲端架構。隨著數位服務逐漸增加，TSB銀行需要一個統一的雲端安全平臺，提供資安團隊與開發團隊管理多雲環境。該平臺可以連結資安團隊和開發團隊，從統一的視窗找出相關且最優先需解決的資安風險。</p> <p>該平臺還可以在多雲配置、基礎架構程式碼化（IaC）、容器管理系統 Kubernetes中找出漏洞，也能辨識其他容器及應用程式間不安全的相依性。</p> <p>圖片來源／國泰金控</p> <p>責任編輯／李昀璇</p> <p>資料來源：iThome整理，2023年9月</p> </div></div></div>
2023/9/25 12:13作者李昀璇https://www.ithome.com.tw/news/158941
Google開始向170個市場推送Android AI開發助理Studio Bot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>現在大部分Android開發者，可以在Android Studio用到最新的人工智慧開發助理Studio Bot，Google<a href="https://android-developers.googleblog.com/2023/09/studio-bot-expands-to-international-markets.html">宣布</a>該功能開始向全球170個市場推送。開發者能夠在Android Studio中，以自然語言向Studio Bot提出程式開發相關問題並且獲得解答。</p> <p>Studio Bot是Google在今年I/O上發布，針對程式開發需求的人工智慧助理，其提供類似GitHub Copilot的功能，可協助開發者編寫程式碼，官方提到，Studio Bot使用一個專為Android微調的模型Codey，而Codey則是Google新發表語言模型PaLM 2的衍生模型。</p> <p>Studio Bot可以協助開發者產生程式碼、回答問題、相關資源，進而提高Android程式碼的品質，雖然開發者也可以使用其他人工智慧服務，達到類似的目的，但是Studio Bot的優勢之一，便是Studio Bot可以始終掌握開發者開發脈絡，能夠快速且精準地回應問題，開發者完全不需要離開Android Studio。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEiXKhj10TysGRjf19zA9jNfwKLyUiPBPl48UUTp6AxeYxKyAkf3lFpfYMdXn49GcfFUOqas5LkvT7ObsxRexqna-xIFM_yt4GZMTwrjZjH8ONOmX28Wk0A5AdGcdhqI6bVS_26F4NCr_U6MGYUeUT-i5swS1SK0O46XZLh-KQQDasQltvPUGlyz9jxmhIA/s1600/%5BAD%20BLOG%5D-Studio-Bot-Inline.gif" style="width: 380px; height: 475px;" /></p> <p>現在Google透過Android Studio金絲雀發布頻道，向170多個市場部署Studio Bot，雖然大多數國家都已經可以使用到這項功能，但是官方提到，Studio Bot針對英文使用設計。因此開發者需要在Studio Bot聊天室視窗中，以英文輸入問題與機器人互動。</p> <p>Studio Bot可以回應的問題包括「How do I add camera support to my app？」、「Can you remind me of the format for javadocs？」或是「What's the best way to get location on Android？」等。由於Studio Bot會記住對話上下文，因此開發者可以繼續提出後續請求，像是「Can you show me how to do it in Compose？」等問題。</p> <p>Studio Bot具有隱私安全性，機器人僅會發送指令到Google伺服器，用戶的程式碼會留在本機端，且預設情況下，Studio Bot的回應單純基於對話歷史紀錄，開發者可以控制是否要共用其他上下文或是程式碼以自訂回應。</p> <p>Google提醒，由於Studio Bot目前仍在早期開發階段，因此開發者要在生產環境使用Studio Bot所產生的回應，都應該先進行人工驗證。官方持續改進Android開發知識庫以及Studio Bot回應的品質，開發者也可以透過評價按鈕，來快速回饋對Studio Bot回應的感覺。</p> </div></div></div>
2023/9/25 16:58作者李建興https://www.ithome.com.tw/news/158947
駭客利用偽造的Booking.com進行網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>後疫情時代掀起了全球的旅遊熱潮，也讓訂房及旅遊網站成為駭客的攻擊目標，而<a href="https://www.akamai.com/blog/security-research/sophisticated-phishing-campaign-targeting-hospitality" target="_blank">資安業者Akamai近日揭露了一個複雜的網釣手法</a>，駭客先透過網釣攻擊於訂房網站植入資訊竊取程式，繼之再以所盜走的客戶資料向使用者展開第二階段的網釣攻擊，以竊取使用者的信用卡資料。</p> <p>儘管全球網路使用者都已知道應該要小心網釣攻擊，但網釣攻擊依舊是最普遍也最成功的攻擊媒介之一。<a href="https://perception-point.io/blog/stealing-more-than-towels-the-new-infostealer-campaign-hitting-hotels-and-travel-agencies/" target="_blank">資安業者Perception Point 在9月中旬揭露了</a>，一波鎖定線上旅遊產業的網釣攻擊，駭客偽裝成訂房的客人，並選擇到飯店才支付款項，期間駭客提出各種需求以持續與訂房網站聯繫，並於往來的訊息中夾帶惡意連結（下圖），不察的客服人員一旦點選了連結，就會遭到駭客植入資訊竊取程式，盜走登入憑證、金融資訊或其它機密資料。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0925-Perception%20Point-600-1.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Perception Point</span></span></p> <p>而Akamai則發現，線上旅遊產業的受害者並非這波網釣攻擊的終點，因為接著駭客便針對旅遊平臺的客戶展開網釣攻擊。例如當駭客入侵了Booking.com之後，即透過該平臺的傳訊服務與真實的客戶聯繫，然後要求客戶重新確認信用卡資訊以保留房間（下圖）。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0925-Akamai-600-1(1).png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0925-Akamai-600-1-A.png" style="width: 322px;" /></a></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Akamai</span></p> <p>來自官網上的訊息很難不被相信，但使用者卻會被導向一個仿冒的Booking.com支付頁面。再由駭客收割使用者所輸入的信用卡資訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0925-Akamai-600-2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Akamai</span></span></p> <p>Akamai指出，這種規模的網釣活動並非經常發生，但不能不防範駭客總是在開發新的策略以誘導受害者上鉤，奉勸使用者永遠不要點選不請自來的訊息中所夾帶的連結，不管該訊息看起來多麼真實，也要小心那些採用緊急或威脅字眼的文字。</p> </div></div></div>
2023/9/25 15:08作者陳曉莉https://www.ithome.com.tw/news/158944
蘋果上周修補的3個漏洞是被用來安裝Predator間諜程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/158904" target="_blank">蘋果於上周四（9/21）緊急更新</a>了3個已遭駭客濫用的零時差漏洞，提報漏洞的<a href="https://citizenlab.ca/2023/09/predator-in-the-wires-ahmed-eltantawy-targeted-with-predator-spyware-after-announcing-presidential-ambitions/" target="_blank">加拿大公民實驗室（Citizen Lab）</a>與<a href="https://blog.google/threat-analysis-group/0-days-exploited-by-commercial-surveillance-vendor-in-egypt/" target="_blank">Google威脅分析小組</a>分別在隔天揭露了攻擊場景，指出遭到攻擊的是手持iPhone的埃及總統候選人Ahmed Eltantawy，駭客利用相關漏洞在Eltantawy的手機上植入了間諜程式Predator。</p> <p>公民實驗室說Predator的開發商是Cytrox，Google則說是Intellexa，這是因為有資安業者認為，Intellexa是由包括Cytrox、Nexa Technologies與WiSpear等商業間諜軟體業者共同設立的聯盟，共同開發與銷售Predator，目的是與打造Pegasus間諜程式的NSO Group相抗衡。不過，不管是Cytrox或Intellexa，<a href="https://www.state.gov/the-united-states-adds-foreign-companies-to-entity-list-for-malicious-cyber-activities-2/" target="_blank">都已經在今年7月被美國列入禁止商業往來的實體名單（Entity List）中</a>。</p> <p>Predator的功能與Pegasus類似，在成功植入手機後，它們即可存取手機內部的所有資料，從訊息、電話、照片到密碼，還可以隱藏程式，也能監控手機位置，或是啟動手機鏡頭與麥克風。</p> <p>公民實驗室指出，曾擔任埃及議員的Eltantawy是在今年3月宣布要參選埃及總統，以取代現任總統Abdel Fattah el-Sisi的專治與鎮壓國家治理手段，之後Eltantawy的家人與支持者即開始受到各種騷擾與逮捕，Eltantawy則懷疑自己的手機受到危害，因而主動找上了該實驗室。</p> <p>上周蘋果所修補的3個漏洞，分別是可用來執行任意程式的WebKit漏洞CVE-2023-41993，可繞過簽名驗證的CVE-2023-41991，以及可擴充本地端權限的CVE-2023-41992。</p> <p>根據公民實驗室的調查，Eltantawy是在今年的8到9月間從iPhone造訪了幾個沒有使用HTTPS加密傳輸的網站，當時他使用的是Vodafone Egypt的行動網路，卻悄悄的被轉向到存放Predator的惡意網站。</p> <p>至於流量之所以能夠神不知鬼不覺地被轉向，除了Eltantawy所造訪的網站缺乏加密之外，也因為駭客是透過一個置放在埃及境內的裝置，藉由網路注入攻擊來遞送Predator。此外，公民實驗室分析，要能精準地針對某個Vodafone用戶進行注入，也必須整合Vodafone的客戶資料庫，再加上埃及政府原本就是Cytrox的客戶，因而相信該攻擊是由埃及政府所主導。</p> <p>Google則說，當受害者的手機被植入惡意程式之後，惡意程式即開始利用上述3個iOS漏洞，接著執行一個小程式來判斷是否要安裝完整的Predator。</p> <p>駭客不只鎖定iOS用戶，Android用戶同樣也受到Predator的攻擊，且駭客也利用了Chrome上的零時差漏洞CVE-2023-4762，已於9月5日修補。</p> <p>公民實驗室指出，此一攻擊事件揭露了整個電信生態系統的潛在風險，人們的網路通訊是藉由許多網路及中介設備來傳送，倘若當中的某些網路與設備遭到濫用，再加上造訪了未加密的網站，就可能受到危害，而這也突顯了應實現百分之百的HTTPS採用率的重要性。</p> <p>此外，這次攻擊中被注入惡意程式以重新定向的設備，為加拿大網通設備業者Sandvine所生產的PacketLogic，且過去PacketLogic已有遭到濫用的紀錄，使得該實驗室不僅去信Sandvine，也要求加拿大政府應立法來避免出口可能侵犯人權的技術。</p> </div></div></div>
2023/9/25 12:47作者陳曉莉https://www.ithome.com.tw/news/158942
6年來全球有500個智慧型手機品牌消失
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.counterpointresearch.com/insights/nearly-500-brands-exited-smartphone-market-during-2017-2023/" target="_blank">研究機構指出</a>，經濟不景氣、元件缺料、中國品牌競爭等因素，在過去6年間導致全球500個智慧型手機品牌從市場上消失。</p> <p>根據研究機構Counterpoint上周公布的全球手機型號銷售追蹤季報數據，全球70多個國家的智慧型手機品牌在2017年有700多個，但到了2023年只剩不到250個，總數銳減了2/3，原因在於市場逐漸飽和、中國品牌競爭、小型業者缺乏製造及行銷資源、以及從4G到5G等技術升級消費者要求提升，許多業者被迫退出市場。</p> <p>研究機構指出，6年來手機品牌數量減少主要原因來自本土品牌消失，許多集中在亞太、拉丁美洲、中東與非洲市占被擠壓，甚至被迫退出市場，如印度的Micromax、孟加拉的Symphony等。</p> <p>分析師解釋，過去3年新冠疫情及手機元件短缺，以及景氣衰退等多重不利因素影響下，全球智慧型手機業者都臨銷售挑戰，但大品牌競爭力強，維持營運相對容易。例如他們能持續投入研發、提升製造產能。也擁有較多預算投入行銷廣告、促銷活動或品牌代言以提振銷售。但原本小品牌並沒有這些資源；他們主要仰賴貼牌生產以維持低價市場定位，沒有研發能量，遑論行銷。近年的大環境衝擊，使早已被Xiaomi、OPPO、vivo等中國品牌擠壓生存空間的這些本土業者挑戰雪上加霜。</p> <p>分析師還指出，消費市場成熟是另一個不利小型品牌的因素。這些業者過去仰賴電信基礎架構升級，例如由2G升級到3G、4G帶動的入門手機銷售。但是隨著全球市場逐漸成熟，電信基礎架構由4G升級為5G，消費者對手機的期待更高，像是要有更強的規格、設計、品牌價值，或是生態體系（如軟體應用及服務）的整合等。這些期待也只有研發及產業結盟能力更強的大品牌才負擔得起。</p> <p>Counterpoint預期未來小品牌還會繼續減少，只有大品牌業者才有辦法因應經濟局勢和技術升級帶來的挑戰。</p> </div></div></div>
2023/9/25 09:22作者林妍溱https://www.ithome.com.tw/news/158931
Google Bard捏造使用者未曾寄出的信件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google生成式AI研發再受嚴格檢視。繼今年初Bard引用錯誤網路照片後，<a href="https://www.nytimes.com/2023/09/20/technology/google-bard-extensions.html" target="_blank">《紐約時報》上周又發現</a>，最新版Google Bard在搜尋用戶Gmail信箱並回答用戶查詢時還是出錯，捏造了用戶不曾寫過的信件來支持其論點。</p> <p>今年初Google宣布生成式AI聊天機器人Bard時，被揭露會提供錯誤的公司財報數字，引發AI幻覺（hallucination）的討論。在7個月後，<a href="https://www.ithome.com.tw/news/158833" target="_blank">Google上周再次宣布Bard的研發進展</a>，最新的Bard Extensions可搜尋用戶Google帳號下的服務，包括Gmail、Docs、Drive、Google Maps、YouTube、Google Flights及Google Hotels等。如此一來，可以加速使用者作業，例如請Bard搜尋他Gmail信箱中的郵件幫忙草擬回信，或是根據Google Calendar的行程搜尋航班與飯店資訊，並於Google Maps上列出到機場的路線。</p> <p>《紐時》專欄作家Kevin Roose在Bard上線時就曾經試用，<a href="https://www.nytimes.com/2023/02/16/technology/bing-chatbot-microsoft-chatgpt.html" target="_blank">發生Bard要他離開老婆的烏龍事件</a>。上周Google宣布Bard Extensions後，他再次測試Bard的能耐。</p> <p>在這次測試中，Roose下提示，要Bard分析其Gmail信件，並「以合理的肯定度」告訴Roose最大的心理問題為何。Bard回應說，根據Roose寄出的信件反映的「對工作感到壓力」、並且「害怕失敗」來看，他最大問題是對未來感到憂慮。</p> <p>不過Roose說，其實Bard宣稱找到的他寄出的信，根本不是他寫的。Bard搜尋到這位專欄作家信箱中一封內容包括馬斯克（Elon Musk）最近出版的自傳，以及其他內容的電子報，並引用電子報一段引言，虛構成一封Roose自己寄出的信件。此外，該虛構信件中，Roose抱怨自己天生「不是成功投資人」的料，還包含錯誤的航空公司及不存在的火車資訊。</p> <p>報導也引述Bard產品總監Jack Krawczyk說法，表示Bard出錯不必奇怪，因為Bard Extensions本來就還在實驗階段，而且是很初期的版本。</p> <p>事實上Google Bard也不是近日唯一出包的生成式AI系統。<a href="https://www.washingtonpost.com/technology/2023/09/22/new-ai-launch-google-amazon-dalle-copilot/" target="_blank">《華盛頓郵報》報導</a>，近日推出的幾個知名AI技術也都傳出「突槌」。像是<a href="https://www.ithome.com.tw/news/158861" target="_blank">新版Amazon Alexa</a>建議某博物館，但地點誤植為在另一座城市，而OpenAI的文字生成圖片模型DALL·E 3也未能完全按用戶要求生成圖像。</p> <p>因此廠商開放AI模型或聊天機器人公測時，都不忘警告會有給出不精確資訊的問題，用戶不應將生成式AI給出的答案作為研究或醫療用途。</p> </div></div></div>
2023/9/25 10:15作者林妍溱https://www.ithome.com.tw/news/158940
開源通訊標準Matrix進入2.0，支援原生OIDC還加入端到端加密群組語音功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不少政府與企業用來開發自家通訊軟體的開放標準通訊協定Matrix，經過超過9年的發展，現在終於推出最新2.0版本。<a href="https://matrix.org/blog/2023/09/matrix-2-0/">Matrix 2.0</a>加入多項重要的功能，包括滑動同步（Sliding Sync）、原生OIDC、原生群組語音通話，並且也能更快地加入聊天室等，使得運用Matrix開發的應用程式，也能夠跟上當前主流的通訊軟體的功能。Matrix 2.0的發展主要由Element貢獻，並已經在客戶端應用程式Element X中實作。</p> <p>Matrix 2.0在效能、可用性和穩定性都大幅提升，官方以Rust實作了Matrix協定，在GitHub上開源matrix-rust-sdk，該SDK提供多項Matrix 2.0功能和改進，並且同時也是建構Element X的重要元件。</p> <p>滑動同步是Matrix 2.0規範中的全新同步API，官方稱此API為該版本最大的更新。滑動同步API可以確保應用程式選擇，僅載入當前可見使用者介面最基本的資料。相較於Matrix過去的載入方式，滑動同步極大程度地提高效能和回應速度，特別是需要呈現大量資料，或是用戶參與多個活躍聊天室的情境。滑動同步解決了過去Matrix執行緩慢的操作，且確保無論在什麼情境，都能即時完成使用者的操作。</p> <p>官方解釋，滑動同步的設計理念受即時通話軟體Discord架構啟發。在滑動同步的架構中，伺服器會計算一個有序的聊天室列表，由客戶端知會伺服器當前顯示的列表視窗，當檢視範圍發生改變時，伺服器便會發送更新給客戶端，使用者在列表中捲動，滑動的視窗上下移動，伺服器則會發送相對應的更新，因此取名為滑動同步。</p> <p>matrix-rust-sdk同時實作滑動同步與Matrix 1.8目前所使用的Sync v2 API，而Element X則只實作滑動同步，為的是充分使用滑動同步API提供給快速的使用者介面。因此如果用戶要使用Element X，就必須執行支援滑動同步的家用伺服器。</p> <p>Matrix 2.0現在也開始支援原生Matrix群組語音通話（MSC3401），Element已經實作了端到端加密且可擴展的群組語音/視訊通話。之前Element是按照嚴格的MSC3401規範實作。使用完整網格會議方式，讓每位參與者都與其他參與者通話，這種方式使會議去中心化，避免需要一個焦點伺服器。</p> <p>但是這種方式有一個重大的缺點，由於需要重複傳送資料，因此會議的參與者數量被限制只能7或8人左右。要支援更多的人，Element必須尋求其他方法，最後採用了一個稱為LiveKit的Selective Forwarding Unit（SFU）實作，參與者的視訊和音訊會先被發送到SFU伺服器，再由SFU伺服器選擇性轉送給其他參與者，以降低網路頻寬需求和解決資料重複發送的問題，支援更多的視訊會議參與者。目前Element最新的通話功能，由MSC3401負責傳遞通話狀態、成員資格等高階訊號，LiveKit負責WebRTC訊號以及端到端加密。</p> <p>Matrix 2.0現在也開始採用業界標準Open ID Connect（OIDC）作為主要認證方法，這提高了安全性和可維護性，目前Matrix伺服器實作Synapse以及客戶端Element X都已經更新，支援透過OIDC進行帳戶註冊和管理。</p> </div></div></div>
2023/9/25 08:41作者李建興https://www.ithome.com.tw/news/158930
每日寫入量達50次，Solidigm跟進推出高耐寫固態硬碟
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/solidigm_d7-p5810_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，TLC與QLC NAND快閃記憶體日益普及，也屢屢在單位儲存容量獲得突破，然而，耐用性（每日寫入量，DWPD）也隨之越來越低，令人擔憂，針對這方面的需求，越來越多固態硬碟廠商開始闢出獨立的產品線來因應。</p> <p>例如，在2021年9月，<a href="https://americas.kioxia.com/en-us/business/news/2021/memory-20210913-1.html">鎧俠（Kioxia）發表FL6系列企業級NVMe固態硬碟</a>，鎖定儲存級記憶體應用（SCM）市場，每日寫入量可達到60次，採用的快閃記憶體是96層SLC NAND，提供960 GB、1920 GB等兩種容量選擇；今年5月，<a href="https://www.ithome.com.tw/review/157275">美光（Micron）發表XTR系列NVMe固態硬碟</a>，特色是針對寫入密集型工作負載、提供超大耐用度，因應隨機寫入作業時，每日寫入量為35次，因應循序寫入作業時，每日寫入量為60次，採用的快閃記憶體是176層TLC NAND，而且是採用以SLC模式運行的TLC NAND。</p> <p>到了9月底，Solidigm發表的D7-P5810，也切入這類產品應用需求的市場，提供專為寫入密集型工作負載設計的NVMe固態硬碟，耐用度硬是比美光XTR系列高了一些──因應隨機寫入作業時，每日寫入量為50次，因應循序寫入作業時，每日寫入量為65次。</p> <p><a href="https://s4.itho.me/sites/default/files/images/D7-P5810-position.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/D7-P5810-position.jpg" style="width: 600px;" /></a></p> <p>關於產品的供應時程，Solidigm表示，D7-P5810目前可提供800 GB容量的款式，2024年上半將提供1.6 TB容量的版本。相較之下，其他兩款這方面的選擇較豐富，例如，鎧俠FL6系列提供800 GB、1,600 GB、3,200 GB等三種容量，美光XTR系列提供960 GB、1920 GB等兩種容量。</p> <p><a href="https://s4.itho.me/sites/default/files/images/D7-P5810-spec.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/D7-P5810-spec.jpg" style="width: 600px;" /></a></p> <p>Solidigm這款機型採用的快閃記憶體是144層SLC NAND，相較於其他兩款競爭產品而言，存取效能最多可領先逼近1倍（以美光XTR系列的960 GB為基準，隨機寫入效能為25萬IOPS，Solidigm D7-P5810為49.5萬IOPS）。</p> <p>而在產品用途上，Solidigm這款機型適用於快取、高效能運算、資料記錄、日誌留存。相較於其他採用非NAND的儲存記憶體技術而言，Solidigm強調，D7-P5810的成本可低於2成。</p> <p><a href="https://s4.itho.me/sites/default/files/images/D7-P5810-Comparison.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/D7-P5810-Comparison.jpg" style="width: 600px;" /></a></p> <p>除此之外，D7-P5810也能搭配QLC固態硬碟用於雲端儲存加速層（Cloud Storage Acceleration Layer，CSAL）的部署。CSAL是開放原始碼軟體構成的資料存取層級，當中會運用儲存級記憶體作為寫入快取，藉此形塑寫入工作負載的各種存取形式（隨機寫入、循序寫入），以及大小規模，Solidigm表示，這能大大改善QLC固態硬碟的效能與使用壽命，而在這樣的架構之下，D7-P5810負責提供超快寫入緩衝，後續再以透過連續進行的I/O寫入QLC固態硬碟。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Solidigm D7-P5810-CSAL.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Solidigm%20D7-P5810-CSAL.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/D7-P5810-use case.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/D7-P5810-use%20case.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Solidigm D7-P5810</strong><br /> ●原廠：Solidigm<br /> ●建議售價：廠商未提供<br /> ●儲存容量：800 GB<br /> ●外形：U.2（厚15公釐）<br /> ●儲存媒體：3D NAND，SLC，144層<br /> ●最高讀寫速度：循序6,400 MB/s與4,000 MB/s，隨機86.5萬IOPS與49.5萬IOPS<br /> ●使用介面：PCIe 4.0 x4<br /> ●耐用度：每日寫入量最高為50，總寫入量為73 PBW<br /> ●可靠度：200萬小時MTBF<br /> ●保固期間：5年</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/9/24 18:55作者李宗翰https://www.ithome.com.tw/review/158875
衛福部揭露次世代數位醫療平臺更多細節，4大架構聚焦PaaS、數據中臺和混合雲架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>衛福部資訊處處長龐一鳴日前說明次世代數位醫療平臺架構，分為4部分，包括次世代平臺核心層（通用服務PaaS層、通用業務PaaS層）、數據中臺、IoT數據整合平臺，以及混合雲架構。其中，通用服務PaaS層包含資料庫和多項系統，通用業務PaaS層則涵蓋醫療通用標準，如FHIR、國際疾病代碼ICD-10和國際檢驗資訊交換標準LOINC等。IoT數據整合平臺則用來串接醫院各設備資訊，數據中臺是大數據分析專用。接下來，衛福部將與各醫療機構、協會、廠商和政府單位溝通。</p> <p><span style="font-size:24px;"><strong>2大PaaS層組成次世代數位醫療平臺核心</strong></span></p> <p>自去年底，衛福部就著手成立專案辦公室，委由工研院來共同規畫次世代數位醫療平臺，今年也陸續公開說明進展。龐一鳴日前在臺灣醫院資訊主管會議中指出，這個次世代數位醫療平臺可分為4大架構，包括核心層、數據中臺、IoT數據整合平臺和混合雲架構。其中，核心層有2大重點，也就是通用服務PaaS層（Common service PaaS layer）和通用業務PaaS層（Common business PaaS layer），前者架設於底層基礎設施（IaaS）上，包含資料庫系統和多種套件，如ERP系統、（非）結構化資料庫系統、負載平衡系統、授權驗證系統、知識系統和安全系統等來支援業務層。此外，這個通用服務PaaS層還包含一個資料抽象層，或稱共通資料層，來抽取所需的系統資料，給業務層使用。</p> <p>再來，在通用服務PaaS之上的通用業務PaaS層，包括了醫療作業共同標準，如國際醫療資料交換標準FHIR、疾病代碼標準等。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9E%B6%E6%A7%8B1.jpeg" /></p> <p><span style="font-size:24px;"><strong>數據中臺聚焦大數據分析，IoT數據平臺整合醫療數據</strong></span></p> <p>在通用層之上的是數據中臺，也是次世代數位醫療平臺涵蓋的另一架構。進一步來說，數據中臺包含資料來源、資料治理、資料分析3部分，其中，資料來源部分包括資料湖、大數據處理平臺Hadoop或公雲資料儲存服務等，資料治理則指資料管理，如資料交換、資料整合、資料組織和處理等機制。資料分析包含各種大數據分析、AI處理和報告產出。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9E%B6%E6%A7%8B3.jpeg" /></p> <p>龐一鳴表示，這個數據中臺，是針對尚未發展出資料處理和分析平臺的醫院而建置，這些醫院可共同使用一套數據中臺。至於大數據應用發展成熟的醫學中心，則可不必使用。</p> <p>不只如此，龐一鳴點出，次世代數位醫療平臺還有個IoT數據整合架構，利用裝置閘道器（Getway），來串接醫院IoT設備的數據，如救護車、照護裝置、感測器、醫療儀器等。這些數據會傳送到次世代數位醫療平臺的PaaS層或數據中臺，處理後再送至IaaS雲端儲存，最後用於醫療AI分析。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9E%B6%E6%A7%8B2.jpeg" /></p> <p>此外，衛福部也計畫，用混合雲架構方式，來建置整個次世代數位醫療平臺。</p> <p>接下來，衛福部專案辦公室也會繼續拜會各廠商、醫療機構和政府單位。其中，廠商包括電子廠商和醫資廠商，像是仁寶、廣達、華碩、研華，或大同醫護、昱誠智醫、陽碩科技等，甚至是國際電子病歷大廠Oracle Cerner、Epic等。而醫療機構則包括衛福部立醫院、醫學中心等，另此外，他們也會拜訪衛福部各署，如疾管署、健保署、食藥署和國健署等，來討論平臺建置事宜。</p> <p>另一方面，為順利將國際醫療標準導入次世代數位醫療平臺，衛福部專案辦公室也將與臺灣HL7協會、臺灣病歷學會、臺灣醫資學會和臺灣健康保險協會等產業協會溝通。龐一鳴也透露，他觀察到，越來越多人查詢衛福部制定的臺灣核心實作指引（TW Core IG）中，衛福部也將新增更多FHIR資源（Resource），並開設課程來教導醫界建立FHIR實作指引，來形塑FHIR生態系。</p> </div></div></div>
2023/9/23 23:14作者王若樸https://www.ithome.com.tw/news/158929
【資安日報】9月23日，中國駭客鎖定臺灣安卓用戶，假借提供Whoscall付費功能的破解程式來散布惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客藉由提供盜版軟體、破解程式來散布惡意程式的情況，可說是相當氾濫，但過往大多是針對國外的使用者而來，如今竟有這類攻擊事故鎖定臺灣安卓手機用戶下手，居心叵測。</p> <p>資安業者Volexity揭露中國駭客組織EvilBamboo的攻擊行動，該組織從今年1月開始分享盜版軟體，目的就是為了散布名為BadBazaar的惡意程式，其中一款遭冒用的軟體的是知名的防詐騙來電辨識應用程式Whoscall。在臺灣詐騙電話與行銷電話猖獗，再加上Whocall免費版有不少廣告，使得不少用戶對於破解版趨之若鶩。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.volexity.com/blog/2023/09/22/evilbamboo-targets-mobile-devices-in-multi-year-campaign/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客組織EvilBamboo鎖定臺灣安卓用戶下手，假借提供破解版Whoscall散布惡意程式</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/apk-image002-original.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/apk-image002-original.png" style="width: 300px; float: right;" /></a>資安業者Volexity揭露中國駭客組織EvilBamboo（亦稱Evil Eye）的攻擊行動，該組織從今年1月17日開始，透過臺灣安卓手機論壇APK散布惡意程式BadBazaar。</p> <p>其中一個文章是宣稱提供破解版防詐騙來電辨識應用程式Whoscall，駭客表明解鎖付費版功能，而且能夠自動更新。但是該應用程式的更新功能可能會被防毒軟體「誤報」，而且因為應用程式的簽章問題，無法使用與Google有關的服務。研究人員指出，駭客會隨著Whoscall改版而「更新」提供的APK檔案，先後曾透過Google Drive、Dropbox等雲端檔案共享服務，存放惡意程式。</p> <p>由於使用者只要掃描該論壇提供的QR Code，就能將檔案下載到手機上安裝，且根據使用者的回報，此惡意程式具備Whoscall的各項功能，而可能讓使用者掉以輕心，沒察覺手機已被植入惡意程式。</p> <p><a href="https://www.bleepingcomputer.com/news/security/t-mobile-denies-new-data-breach-rumors-points-to-authorized-retailer/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國電信業者T-Mobile傳出員工資料外洩，該公司表示是經銷商流出</span></strong></a></p> <p>資安研究團隊VX-Underground指出，美國大型電信業者T-Mobile傳出今年第3起資料外洩事故，駭客疑似從今年4月取得90 GB員工的個人識別資訊（PII），並在9月21日公布於駭客論壇BreachForum，亦透過Telegram、Discord頻道散布。這些資料包含了員工編號、在職狀態、到職日期、離職日期、職稱、部門、姓名、社會安全碼（SSN）末4碼，以及電子郵件信箱。</p> <p>根據資安新聞網站Bleeping Computer報導，T-Mobile向他們進行說明，表示該公司並未受害，資料流出的管道是他們其中一家授權經銷商。該新聞網站指出，這家經銷商很有可能就是4月19日傳出資料外洩的Amtel，此經銷商經營Connectivity Source品牌從事電信相關業務。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/vxunderground/status/1705047695084175648">https://twitter.com/vxunderground/status/1705047695084175648</a><br /> 2. <a href="https://twitter.com/vxunderground/status/1705042920137425171">https://twitter.com/vxunderground/status/1705042920137425171</a><br /> 3. <a href="https://www.documentcloud.org/documents/23989477-amtel-llc-dba-connectivity-source-data-breach-notification">https://www.documentcloud.org/documents/23989477-amtel-llc-dba-connectivity-source-data-breach-notification</a></p> <p><a href="https://media.aircanada.com/Air-Canada-Cyber-Statement"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加拿大航空證實員工資料外洩</span></strong></a></p> <p>9月20日加拿大航空發布新聞稿，表示有未經授權的人士存取該公司內部環境，當中含有員工的部分個資與紀錄，但他們的航班營運系統，以及面向旅客的系統（customer facing systems）並未受到影響，也沒發現旅客資訊遭到異常存取的跡象。不過該公司並未透露有多少員工受到影響，以及那些資料遭到外流。</p> <p>近期該國遭到網路攻擊的事故頻傳，幾天前，俄羅斯駭客組織NoName057(16)聲稱，他們攻擊加拿大邊境服務局（CBSA）、加拿大航空運輸安全局，導致該國17日海關通關電腦故障，旅客入境處理出現延誤的現象。</p> <p><a href="https://www.bleepingcomputer.com/news/security/government-of-bermuda-links-cyberattack-to-russian-hackers/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">百慕達政府傳出遭到俄羅斯駭客攻擊，網路、電子郵件、電話服務中斷</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/F6mV2c5W8AApMI0.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/F6mV2c5W8AApMI0.jpg" style="width: 300px; float: right;" /></a>9月21日英國海外領土百慕達表示，政府機關所有部門面臨網際網路、電子郵件、電話服務中斷的情況，他們的資訊與數位科技部正在著手復原。</p> <p>根據當地媒體Royal Gazette的報導，百慕達總理David Burt透露初步的調查結果，推測攻擊可能來自俄羅斯，而且，他們也攻擊其他地區的政府機關。22日該國政府公告網路尚未復原，付款工作將會延遲，已進行工資及供應商的付款作業，櫃檯只收現金及支票。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/BdaGovernment/status/1704842911215399232">https://twitter.com/BdaGovernment/status/1704842911215399232</a><br /> 2. <a href="https://twitter.com/BdaGovernment/status/1705058705568358892">https://twitter.com/BdaGovernment/status/1705058705568358892</a><br /> 3. <a href="https://www.royalgazette.com/general/news/article/20230922/government-communications-down/">https://www.royalgazette.com/general/news/article/20230922/government-communications-down</a>/</p> <p><a href="http://www.cadosecurity.com/cado-security-labs-researchers-witness-a-600x-increase-in-p2pinfect-traffic/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">殭屍網路P2PInfect攻擊9月中旬爆增600倍</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/P2Pinfect-image1-51.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/P2Pinfect-image1-51.png" style="width: 301px; float: right;" /></a>在今年7月，有一個點對點（P2P）型態的殭屍網路P2Pinfect浮出檯面，攻擊者鎖定能透過網際網路存取的Redis伺服器下手，資安業者Cado Security持續追蹤該殭屍網路的攻擊行動，他們發現在8月24日之後，攻擊頻率顯著增加。</p> <p>研究人員總共在蜜罐陷阱看到4,064起攻擊，其中，在9月3日的頻率增加至為8月24日的2倍，但上述活動當中，有3,619起發生在9月12日至19日，成長幅度達到602.17倍。研究人員指出，他們同時發現該殭屍網路的流量及惡意程式的變種數量顯著增加，研判該惡意軟體的經營者以極快節奏加強攻擊力道。</p> <p>而駭客所使用的P2Pinfect殭屍網路病毒變種當中，現在也加入了基於cron排程工作執行的持久運作機制，此外也增加備援的Bash酬載機制，若是主要的惡意酬載遭到刪除，仍能透過其他節點取得主程式並重新啟動，繼續控制受害主機。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.patreon.com/posts/sources-to-it-to-89234441"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為強化安卓作業系統軟體開發供應鏈安全，Google對於外部貢獻的程式碼採取更嚴格的檢驗流程</span></strong></a></p> <p>根據安卓新聞記者Mishaal Rahman的報導，Google為了提升安卓作業系統的軟體供應鏈安全，防範有人在整合修補程式到Android Open Source Project（AOSP）專案的過程中，有心或無意將漏洞、惡意程式引入，打算對於外部貢獻的程式碼採取更為嚴格的審核機制，從原本需要通過1名Google員工審核，變成必須經由2名員工簽核同意才能併入AOSP。</p> <p>至於由Google員工撰寫的程式碼，則需交由負責相關元件部門的其中一名成員審查，方能整合至AOSP的程式碼裡。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/158882"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">政府資服採購作業指引9月公布，開始明定標案需獨立編列資安預算</span></span></strong></a></p> <p><a href="https://github.blog/2023-09-21-passkeys-are-generally-available/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">GitHub正式導入Passkey無密碼身分驗證機制</span></span></strong></a></p> <p><a href="https://www.akamai.com/blog/security-research/sophisticated-phishing-campaign-targeting-hospitality"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客透過冒牌訂房網站Booking.com竊取信用卡資料</span></span></strong></a></p> <p><a href="https://s1.ai/Sandman"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織Sandman鎖定電信業者散布惡意軟體LuaDream</span></span></strong></a></p> <p><a href="https://www.welivesecurity.com/en/eset-research/oilrigs-outer-space-juicy-mix-same-ol-rig-new-drill-pipes/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">伊朗駭客組織OilRig鎖定以色列而來</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/158896"><strong>【9月22日】斥資280億美元重金，思科買下大數據資安業者Splunk</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158872"><strong>【9月21日】中國駭客假借寄送發票的名義發動網釣攻擊，目的是散布新型態的木馬程式ValleyRAT</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158845"><strong>【9月20日】面臨攻守極度失衡的局勢，FBI局長呼籲民間企業與政府積極合作，並將FBI納入資安防護計畫</strong></a></p> </div></div></div>
2023/9/23 17:35作者周峻佑https://www.ithome.com.tw/news/158927
中國駭客在臺灣論壇散布假「Whoscall」破解版，暗藏間諜軟體，該論壇主題已有10萬瀏覽次數
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者<a href="https://www.volexity.com/blog/2023/09/22/evilbamboo-targets-mobile-devices-in-multi-year-campaign/">Volexity在9月22日</a>揭露多起中國駭客組織EvilBamboo（或稱Evil Eye）鎖定行動裝置的攻擊行動，特別的是，當中特別提到一起鎖定臺灣民眾的攻擊事件，手法是聲稱分享「Whoscall来電辨識」破解版，並在臺灣的論壇上散布安卓間諜軟體BadBazaar，受到國內資安界的關注。</p> <p>根據Volexity研究人員的說明，這些中國駭客從2023年1月17日開始，就在Android台灣中文網（Apk.tw）的論壇上，持續假藉提供Whoscall新破解版的名義，在貼文底部提供QR Code的下載連結，引誘國人前往Google Drive、Dropbox下載具惡意的APK，讓用戶將檔案下載到手機上安裝。而且每次發布新版本APK時，連結也會更新。</p> <p>值得關注的是，我們從研究人員張貼的圖片可看出，其標題為【電話/簡訊/通訊]Whoscall来電辨識v7.43付破解版+版本自動更新】，該篇討論串的內容已有9.4萬次的瀏覽量，並有900多個回覆。今日（9月23日) 我們查看該篇文章，標題已變更為7.45版，瀏覽次數已破10.2萬。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/apk-image002-original-1.png" style="width: 600px;" /></p> <p>這樣的針對性攻擊，顯然是針對臺灣民眾而來，並且利用國人想要防詐騙安裝Whoscall，卻貪小便宜不想付費或不想有廣告的心理。</p> <p>另外，根據使用者的回應，此惡意程式應該具備Whoscall的各項功能，而有可能讓使用者掉以輕心，沒有察覺手機已被植入惡意軟體。</p> <p>Volexity指出，EvilBamboo是一個受中國政府支持的駭客組織，他們已追蹤這個駭客組織長達五年，主要鎖定西藏、維吾爾與臺灣的個人與組織，而這3者也就是中國共產黨（CCP）經常威脅的目標。</p> <p>關於針對國人的這隻安卓間諜軟體BadBazaar，Volexity說明，最早是資安業者Lookout在2022年發現，當時該惡意軟體鎖定的是維吾爾人。</p> <p>這次Volexity研究相關樣本時，發現與Lookout之前的揭露沒有太多差異。其功能包含：可獲取簡訊、通話紀錄、設備資訊（IMEI、IMSI、時區、Wi-Fi詳細之廖）、拍照、聯絡人清單、已安裝的App、設備上儲存的文件與圖片，以及設備的位置。</p> <p>不過，研究人員在最新版本發現EvilBamboo的新變種，具有允許EvilBamboo自動更新應用程式的附加功能，因為程式中多了judgeUpdateOrNot的函式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E4%B8%AD%E5%9C%8B%E9%A7%AD%E5%AE%A2%E5%9C%A8%E8%87%BA%E7%81%A3%E8%AB%96%E5%A3%87%E6%95%A3%E5%B8%83%E5%81%87Whoscall%E7%A0%B4%E8%A7%A3%E7%89%88%E6%9A%97%E8%97%8F%E9%96%93%E8%AB%9C%E8%BB%9F%E9%AB%94.jpg" style="width: 600px;" /></p> <p>總體而言，Volexity這次揭露了EvilBamboo利用多種管道散布行動惡意程式。不只是有上述針對臺灣、利用論壇散布的方式，也有利用假網站與社交平臺，以及利用基於Telegram的方式。</p> <p>此外，EvilBamboo至少使用3種不同的Android間諜軟體家族，包括：BADBAZAAR、BADSIGNAL和BADSOLAR，這些惡意程式均被插入到合法程式作為後門。</p> <p>最後，Volexity提醒，EvilBamboo駭客組織散布這些行動惡意程式，都是利用用戶自己去安裝後門應用程式，突顯安裝App應從可信來源的重要性。還有一些假冒網站是專為特定族群量身打造的情況，也必較要注意。</p> <p>而且，攻擊者引誘民眾安裝這些間諜程式後，使得駭客得以收集大量有關個人的高度敏感資訊，這可能使他們及其親近之人處於危險之中。</p> </div></div></div>
2023/9/23 18:07作者羅正漢https://www.ithome.com.tw/news/158928
Martech雙周報第41期：Salesforce推出AI CRM平臺，整合旗下眾多服務，還有AI助理及AI Low-…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0903~0923</strong><strong style="color: rgb(0, 0, 255);">)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI助理</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Low code開發</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#自建AI應用</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CRM</span></span><br /> Salesforce推出AI CRM平臺，整合旗下諸多服務、可導入外部系統數據，還提供企業用Low-code工具打造AI CRM應用</strong></p> <p>Salesforce推出<a href="https://www.salesforce.com/news/press-releases/2023/09/12/salesforce-platform-news-dreamforce/">Einstein 1 Platform</a>，整合Salesforce Data Cloud和自家AI產品線Einstein AI功能。Marketing Cloud、Commerce Cloud以及許多Salesforce併購的應用程式，也都重構後，整合進Einstein 1 Platform。</p> <p>整合許多系統及程式到單一平臺的關鍵是Saleforce自家Metadata框架。平臺會匹配外部數據結構到Metadata框架對應欄位，來快速整合數據。有了此整合能力，企業還可以導入Salesforce生態圈外系統數據到平臺上，利用平臺Low-code開發工具Eistein copilot studio自行打造AI應用。</p> <p>此平臺還有一個貫穿所有應用的AI助理Eistein copilot。使用所有應用時，使用者都可以用自然語言詢問相關問題。此助理還會主動提供建議，例如在業務通話後擬定行動計畫、檢查特定客戶狀態變更、根據情況更改出貨日期等。使用者還可以將Eistein copilot整合到其他系統，例如放到網站中作為即時聊天機器人，或導入Slack、WhatsApp、簡訊。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#簡訊行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#通訊軟體行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#行銷成本優化</span></span><br /> 漸強實驗室推出訊息行銷工具，自動從Line訊息及手機簡訊中判斷適當發送管道</strong></p> <p>Martech廠商漸強實驗室推出<a href="https://www.cresclab.com/tw/product/sms">新簡訊行銷整合功能</a>，可以從Line訊息及手機簡訊2個行銷管道中，自動判斷適合發送管道。</p> <p>用簡訊發送行銷訊息的好處是，只要有行銷對象手機號碼，通常就能快速送達訊息。不過，簡訊發送成本高、內容字數受限，且較難產生後續互動。相對來說，Line訊息通常行銷成本較低、內容形式限制較少，可以進行更多行銷操作，不過有些訊息形式只能觸及官方帳號好友，也有部分行銷對象不常開啟Line。</p> <p>利用此工具，企業可以先用Line傳送行銷訊息，若行銷對象未開啟Line，才再透過簡訊發送訊息。如此一來，既有機會節省訊息發送成本，還較不易出現漏發漏接問題。未來，漸強還預計將客戶足跡追蹤及自動化行銷功能拓展到簡訊行銷。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CRM</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#自動化客服</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#行銷素材生成</span></span><br /> Hubspot推出多種生成式AI行銷輔助功能及AI CRM產品線</strong></p> <p>CRM廠商<a href="https://www.businesswire.com/news/home/20230905064574/en/HubSpot-Unveils-HubSpot-AI-and-New-Sales-Hub-at-INBOUND-2023">Hubspot推出多種生成式AI行銷輔助功能</a>，根據CRM內資料來輔助行銷素材生成、數據分析預測及自動化客服。素材生成功能可以生成文案、圖片、網站和分析報告；數據分析預測功能會分析CRM內數據，並生成建議及未來趨勢預測；自動化客服可以回覆即時通訊及Email兩種管道的客服訊息。其中，自動化客服功能預計明年年初上線。</p> <p>在這之前，Hubspot已經推出聊天機器人功能，類似於ChatGPT，但會根據企業CRM等數據來源，生成專屬該企業用戶的回答。Hubspot現在將新舊AI行銷功能合併進Hubspot AI產品線。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#資料跨平臺整合</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CRM</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI模型訓練</span></span><br /> Saleforce與AWS及Databricks分別合作推出ETL資料共享功能</strong></p> <p>Salesforce與Databricks、AWS推出零ETL資料共享功能。Salesforce企業用戶可以透過資料聯合，從Salesforce Data Cloud存取Databricks以及AWS資料湖的資料，實現跨雲統一客戶資料檔案。同時，企業也可以透過BYOL（Bring Your Own Lake）資料共享，反向從Databricks或是AWS服務存取Salesforce Data Cloud資料。</p> <p>Salesforce還與兩家廠商有AI方面合作。企業能夠在Databricks機器學習服務中建置、訓練和最佳化人工智慧模型，並用於Salesforce平臺上應用程式。企業也可以將基礎模型API服務Amazon Bedrock中託管的大型語言模型，帶到Salesforce CRM應用程式來用。Amazon Bedrock整合了Salesforce的Einstein Trust Layer，企業可以使用客戶關係管理資料，微調來自AWS、Anthropic、Cohere、AI21 Labs和Stability AI等供應商的大型語言模型。（<a href="https://www.ithome.com.tw/news/158699">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#搜尋廣告</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI行銷助理</span></span><br /> Google強化廣告內容生成和行銷規畫等生成式AI行銷輔助功能</strong></p> <p>Google強化了<a href="https://support.google.com/google-ads/answer/14079753?hl=en">2個生成式AI用於輔助廣告主行銷的功能</a>。AI廣告內容生成功能可以根據搜尋內容和廣告主網站內容等情境資料，生成搜尋廣告標題和描述內容。此功能過往只能支援英文，現在開始支援德、法、荷、義、西、葡、日等7種語言。</p> <p>另外，在Google Marketing Live上宣布推出的AI行銷助理功能，可以用自然語言和廣告主討論行銷規畫。此功能將從小型測試階段移動到beta測試階段。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#內容農場檢測</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#品牌安全</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#廣告版位篩選</span></span><br /> DoubleVerify推出程式化內容農場迴避功能</strong></p> <p>數位廣告檢測程式商DoubleVerify推出<a href="https://ir.doubleverify.com/news-events/press-releases/detail/260/doubleverify-to-protect-advertisers-against-made-for">程式化內容農場迴避功能</a>。此功能結合AI及人工判斷，根據4個標準來篩選內容農場網站，包括高廣告密度及更新頻率、流量大多來自付費流量而非有機流量、內容設計鼓勵造訪者不斷點擊或捲動內容頁面，以及大量轉載或AI生成內容。</p> <p>過往，DoubleVerify迴避內容農場服務是個案式提供，現在則開放所有廣告主使用，不過並未註明此功能是否須額外付費。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態：</span></strong></span></p> <p>1. Oracle推出生成式AI客服輔助功能，可以提供回覆草稿、生成客服SOP，和即時呈現輔助資訊給客服人員。</p> <p>2. <a href="https://www.iab.com/insights/retail-media-measurement-guidelines/">IAB推出零售媒體廣告成效測量標準草案，開放給業界審視並提出意見。</a></p> <p>3. <a href="https://www.prnewswire.com/news-releases/criteo-launches-commerce-max-dsp-into-general-availability-and-announces-next-gen-retailer-monetization-solution-suite-301923664.html">Criteo零售媒體廣告DSP進入GA階段，並推出零售媒體廣告投放及版位管理等功能。</a></p> <p>4. <a href="https://www.tiktok.com/business/en-US/blog/multi-touch-attribution-campaign-measurement">Tiktok推出多接觸點行銷轉換追蹤功能。</a></p> <p>5. <a href="https://www.ithome.com.tw/news/15877">Foodpanda利用跨通路數據推出RMN，驅動線上線下多通路、多廣告形式的行銷模式。</a></p> <p>資料來源：iThome整理，2023年9月</p> <p>圖片來源：Salesforce</p> <p>責任編輯：郭又華</p> </div></div></div>
2023/9/23 16:39作者郭又華https://www.ithome.com.tw/news/158921
【Fila臺灣發展跨通路商務7年歷程】實體運動用品賣場OMO轉型3關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>時間是2016年，義大利運動品牌Fila在臺數位轉型正式啟動。為了跨出青壯年女性市場，進攻年輕族群市場，他們決定透過數位通路數據了解市場需求，設立了第一個官方直營的線上通路，展開長達7年的大改革。</p> <p>那一年，Fila進入臺灣市場10年，直營的實體據點超過100處，不過，長年實體零售種種做法，無法完全套用到線上，要發展OMO零售，不只是額外開發新線上通路，更須調整行之有年的營運模式。</p> <p><span style="font-size:28px;"><strong>從純線下品牌轉型為OMO品牌</strong></span></p> <p>2016年前，Fila網路商品都是透過網路經銷商販售，電商營運經驗為零。因此，他們先進駐成本較低的既有電商平臺通路，累積2年電商營運經驗後，才於2018年改在Cyberbiz開店平臺上，開設自主性較高的網路商店，也開始經營數位會員，用會員數據發展數位行銷，建立更符合電商銷售模式的物流管理流程。</p> <p>疫情讓Fila進一步擴大數位零售步局。2020年，Fila在另一家電商平臺建立線上零碼Outlet通路，與既有通路區隔。另一方面，也強化實體店面社群經營，將消費者同時導流到實體店面與線上官網。為了方便管理會員數據，他們還統一了會員申請管道，只開放數位通路註冊，取消紙本機制。2021年，他們先導入BI工具來分析店面表現，隔年，導入CRM後，結合兩者來分析會員數據。</p> <p>從2016到2023年，Fila從一個純線下品牌，發展出了4種線上銷售通路，40萬名數位會員，建立了自動化數位行銷機制，以門市為中心進行線上線下導流，還經營著占地464坪的電商專用倉儲。</p> <p>這條數位轉型之路上，Fila採取了3大關鍵做法，分別是設立專門數位部門、利用數據驅動行銷、以及發展新物流模式。</p> <p><span style="font-size:28px;"><strong>關鍵作法1：新設專責數位部門</strong></span></p> <p>數位通路目前只貢獻了不到1成營收，但Fila將數位通路視為全通路購物體驗重要的一環。為了發展數位通路，Fila特別成立了電子商務部門，與行銷、資訊部門平級，至今團隊規模約8人。同時，也開始在行銷部門編制專職數位行銷人員。</p> <p>調整組織人力同時，Fila逐步微調IT架構。實體店面時期的核心系統是ERP，甚至連會員資料都會儲存到ERP中管理。隨著電商重要性和會員數據量提升，展開數位轉型後，Fila陸續導入BI工具、CRM等，分析通路營運情形和會員消費數據，以優化線上線下通路經營和行銷。</p> <p>為了善用這些分析工具，來支援新通路的銷售和行銷模式，Fila也要求這些專職數位人員學習電商管理及數位行銷所需工具，並訂定了數位行銷工具操作能力的KPI。</p> <p><span style="font-size:28px;"><strong>關鍵作法2：建線上通路蒐集會員數據，驅動數位行銷</strong></span></p> <p>Fila於2018年建立官網數位會員機制是轉型關鍵一步，掌握的消費者資料顆粒度得以更加細緻，從群體走到個人等級，不用像前兩年只能靠整體銷售業績來推測市場喜好。</p> <p>2020年，取消紙本入會方式後，Fila自行開發了一套會員資料歸戶工具，並整合了線上電商系統和線下POS系統的消費紀錄、會員紅利和等級，歸戶到單一會員名下。歸戶完成後，全面改用數位會員機制來貫穿線上線下通路，更有利於Fila從一個OMO品牌的角度，對消費者進行數位行銷，以及跨通路導流。</p> <p>這一年，恰逢臺灣疫情升溫，線下業績雖大幅衰退，卻成為Fila進一步推動跨通路導流的機會。過往，實體店面會經營地推社群，導流消費者到店。疫情下，消費者不願實體購物，Fila便要求店員推薦消費者到數位通路購物。為了避免線下線上業績衝突，電商網站還設計了輸入推銷員代碼的機制，來紀錄店員導流業績。</p> <p>同時，Fila也大力發展數位行銷，逐步從純曝光廣告、回饋網交叉行銷，走到數據驅動的會員精準行銷。</p> <p><strong style="font-size: 28px;">關鍵作法3：</strong><span style="font-size:28px;"><strong>發展專屬電商商業模式的物流模式</strong></span></p> <p>Fila發展數位通路的另一大挑戰是物流管理。實體門市1周補貨3次，每次進貨10多種鞋款，但同款式可能有數十、數百雙不同尺碼的鞋。相較之下，電商物流是為了依訂單出貨，頻率高達1天多次，每次出貨品項及數量也遠少於補貨訂單。</p> <p>兩種物流需求不同，倉儲的存貨、揀貨、送貨模式也大相逕庭。Fila原有2座倉儲，分別處理當季門市和零碼Outlet門市進貨，但無法支援電商訂單履行，需另外發展物流據點。</p> <p>為了控管初期投資成本，Fila剛開始選擇使用電商平臺的寄倉服務，只提供貨物，後續訂單履行由平臺接手處理。不過，這種模式限制了存貨調度彈性，因此，在開店平臺開設官方電商後，Fila轉而使用平臺的電商倉儲物流解決方案，提升了調貨彈性，也能透過倉儲管理系統（WMS）進一步監控物流情況。</p> <p>後來，Fila更取消了其他電商的寄倉服務，用同一套物流作法，來履行多個數位通路的訂單。如此一來，Fila不僅減輕物流壓力，還可以利用第三方倉儲彈性擴充人力及倉儲空間的功能，搭配預購銷售模式，來降低國際物流時間差的衝擊。</p> <p>一例是，Fila韓國總部發布知名偶像團體聯名款時，為避免偷跑，臺灣Fila無法提前備貨。</p> <p>臺灣Fila一方面在官網開放預購，提前了解市場需求，以決定進貨品項和數量。這樣既能在話題熱度高時行銷，也能為履行短期大量訂單做好準備。另一方面也要求第三方倉儲增加物流人力及倉儲空間，以因應短期增量的訂單需求。</p> <p>採用現成物流解決方案，使Fila能快速開始經營數位通路，不過，實體與電商物流兩套各自運作，也帶來新的考驗──跨通路物流整合。目前Fila在實體店倉儲和電商倉儲之間調度貨品或同步資訊，需花費1至2天的時間。為了能更彈性調度自家不同通路的物流，他們著手改造自家倉儲物流模式，要從單一倉儲，統一支援實體與電商物流的出貨和管理。最新進度是，先嘗試用自有倉儲出貨支援其中一個電商通路的訂單。</p> <p><span style="font-size:28px;"><strong>下一步整合線上線下通路經營，發揮OMO零售綜效</strong></span></p> <p>目前，Fila線上線下物流和訂單仍各自處理，未來若能整合物流，Fila表示，希望從整體品牌角度來管理和調度存貨，有助於推動更多OMO商業手法。例如，可以舉辦橫跨線上線下通路的大型活動，不會因有通路賣到缺貨，卻難以調度其他通路存貨來支援的窘況。</p> <p>除了可以強化後端管理，Fila還計畫從前端營運著手，整合線上線下通路機制及購物體驗。例如多通路同步行銷時，提供線上下單線下取貨（BOPIS）服務，不只能從後端跨通路調貨，還能在前端導流消費者到不同通路。為了實現這個新服務，Fila正嘗試加速訂單處理和庫存資訊的跨通路同步效率，並梳理100多家實體據點的取貨流程。</p> <p>另一個規畫中的OMO計畫是，Fila要將數位購物體驗帶入實體店面，導入虛擬試穿鏡科技，並利用QR code等媒介讓消費者能連結到電商來讀取商品介紹。實體店面缺貨時，消費者便能模擬試穿，再轉到電商下單。</p> <p><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#3399ff;"> Fila OMO轉型大事記 </span></strong></span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2015年 </span></span> 決定搶攻年輕客群市場</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 2016年 </span></span> 建立會員機制，設立Yahoo、Momo等可寄倉的電商通路；訓練行銷部門使用數位工具，設定數位能力KPI，同時招募有數位能力的行銷人員</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 2018年 </span></span> 設立官網；開店平臺倉儲解決方案來處理所有數位通路的物流，開始累積自家會員消費資料，存在ERP</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 2020年 </span></span> 進軍蝦皮作為線上零碼通路，倉儲跟著總倉（而非電商倉）；紙本入會機制退場，全面轉為數位會員</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 2021年 </span></span> 導入BI工具，分析店面表現</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 2022年 </span></span> 導入CRM跟Line OA；整合CRM和ERP會員資料，來做自動化精準行銷、再行銷；BI工具開始用於分析ERP、CRM資料，來改善行銷及營運</strong></p> <p><span style="color:#696969;"><span style="font-size:14px;">資料來源：iThome整理，2023年9月</span></span></p> </div></div></div>
2023/9/23 11:25作者郭又華https://www.ithome.com.tw/news/158912
工程會副主委葉哲良：解決政府資服採購爭議，以新版資服採購作業指引取代修法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>政府資訊服務採購在過去二十多年來，遇到各種履約爭議，對於執行招標的政府採購人員（甲方）和參與標案的資訊服務和資安業者（乙方），甚至於整個資服產業的發展，都有不利的影響。</p> <p>於今年二月，受命解決這個政府資訊服務採購爭議的行政院公共工程委員會副主委葉哲良表示，要怎麼在甲方和乙方取得平衡最重要的關鍵就是，讓甲乙雙方都有一個共通的採購指引和契約範本，而且不管是採購指引或是契約範本中的規範，都是兩造雙方實務上都可以接受並可執行的要點。</p> <p>葉哲良認為，只有當所有受眾都是參與者的時候，才可以制定出一套雙方都可以接受的共通規範。他笑說，目前政府資訊服務採購遇到的價格和品質爭議，已經是二十年的老問題，但由於各種網路攻擊加劇、資安威脅驟增，卻是近二、三年政府採購遇到必須要解決的資安問題。</p> <p>如何同時解決二十年的老問題和近二年的新問題，最有效的方式就是，「請業者先把政府要的資安問題處理好，再由政府協助處理業者要的採購問題。」葉哲良說道。</p> <p>因此，從今年二月開始，歷時半年的溝通與草擬共識，在九月下旬公布的《政府資訊服務採購作業指引》以及同步公布的《修正資訊服務採購契約範本強化資安防護》，便是匯集甲乙雙方共識與需求所擬定的規範。</p> <p>「萬事起頭難」，葉哲良坦言，《政府資訊服務採購作業指引》最難的是一剛開始的規畫，要邀請誰來參與才是有意義的，大型或是小型資服、資安業者還是各種公協會等等，但唯一確認的就是，這樣的作業指引主要鎖定的對象則是：機關（甲方）的採購人員，尤其是沒有資安專責人員的三、四級機關採購人員。</p> <p>他表示，怎麼讓不具備資訊或資安專業的採購人員，可以有憑有據的執行資訊服務甚至是資安的招標，並讓參與投標的乙方業者，可以在具體規範和有合理利潤空間的情況下參與投標，才是公共工程委員會協同數位部與相關資訊與資安業者，共同參與並制定《政府資訊服務採購作業指引》最主要的關鍵。</p> <p><span style="font-size:28px;"><strong>以作業指引和範本取代修法，加速解決甲乙雙方採購爭議</strong></span></p> <p>許多共同參與此次作業指引制定的資服和資安業界的高階主管都同意，葉哲良僅僅花半年的時間，就可以解決過去二十年政府資訊服務採購遇到的各種爭議的關鍵在於，葉哲良採用的不是傳統公務機關層級節制的官僚作法，曾經在美國矽谷創業的經驗，加上學校、產業界甚至是行政院科技會報副執秘、執秘的經歷，都讓他勇於打破框架，抓住問題核心去解決問題。</p> <p>政府採購的法源依據就是《政府採購法》，不過，葉哲良表示，許多法律一旦涉及修法，平均修法年限13年，面對許多實務面常見的問題，若必須透過修法解決，最常見的狀況往往是，修法進度曠日廢時、經常是緩不濟急。</p> <p>所以，在許多資服、資安業者原本以為這一次，還是要透過修改《政府採購法》的方式，來呼應產業界對於政府採購所衍生的各項爭議時，葉哲良卻反其道而行，從如何解決問題的角度出發，選擇以制定相關的行政命令方式，同時取得機關和產業界的認同，就可以立即落實執行，效率反而比修法更快。</p> <p>葉哲良也說，不管是修法或是制定相關的行政命令，以前也很常出現「彼之蜜糖、汝之毒藥」的情況，機關認定的「好」與產業界認定的「好」經常會出現分歧；加上政府資訊服務採購同時涉及《政府採購法》和《資安法》的雙重特性，為了解決這個歧異，制定的行政命令層級的作業指引，便需要獲得機關和產業界的認可才行。</p> <p>不過，葉哲良也發現，臺灣的法律或指引和美國矽谷實務規範上的最大差別是，臺灣的法律或指引都是「負面表列」，但矽谷卻更喜歡「正面表列」。</p> <p>這對於不具備資安或資服專業的採購人員而言，規範機關「不能做什麼」但並不代表其他不在條列中的事情，什麼都可以做，因此，他在制定這次採購作業指引時援引先前《無人機創新實驗條例》的精神，清楚規範哪些事可以做、應該做、必須做，可以省去無謂的各自解讀或誤解的空間。</p> <p>這次的作業指引和同步修正的契約範本，主要訴求對象是機關（甲方）的採購人員，因為採購人員並不具備資訊和資安的特殊專業，怎麼讓機關採購人員易於採用，並提供明確採購需求以降低專業上的落差。</p> <p>所以，葉哲良在召開相關的產業會議時，便鼓勵資服業者從乙方的角度，撰寫「可以遵循」的法規內容後，相關的條文就再提供給甲方採購人員進行篩選，「只要是甲方可以接受的內容，都可以全部收錄。」他說。</p> <p>這樣前無古人的作業模式，在召開三、四次產業會議後，便很快凝聚共識，也很快完成徵詢產業界和機關的意見。葉哲良表示，《政府資訊服務採購作業指引》公布時，也會同步公布《修正資訊服務採購契約範本強化資安防護》以及相關資安一覽表附件，畢竟，他說，甲乙雙方面對政府資訊服務採購的爭議點，往往不是法規問題，而是執行層面所遭遇到的問題。</p> <p><span style="font-size:28px;"><strong>解決甲乙雙方採購爭議，軟協協助撰寫預算編列手冊</strong></span></p> <p>葉哲良表示，九月公布《政府資訊服務採購作業指引》以及同步公布的《修正資訊服務採購契約範本強化資安防護》後，只是解決政府採購爭議的第一步，接下來要解決的就是實打實的，當甲乙雙方遇到契約爭議時，該如何解決的問題。</p> <p>他坦言，目前常見的採購爭議較少出現偷工減料或是蓄意犯錯，主要履約爭議包括：採購需求認知不同、採購費用不盡合理和採購爭議費時難解。</p> <p>他進一步解釋，當甲乙雙方採購需求認知不同時，甲方不滿意開發成果，依照契約處罰乙方並列為拒絕往來黑名單，刊登在政府採購公報；乙方則會認為甲方蓄意刁難，最常見的是，甲方要求乙方重複開發，卻沒有支付相對應的價金。</p> <p>或者是，採購費用不合理也會降低優良乙方參與政府資訊服務採購標案的意願，而甲方也會因為無法取得優良乙方提供的服務，降低服務品質影響民眾對政府的信任；另外，也因為採購爭議調解曠日廢時，造成甲乙雙方無法儘速完成履約結案以支付價金，更重要的是，調解過程不僅漫長也浪費時間和成本。</p> <p>多數甲乙雙方都不願意走到法律層面解決問題，如果是對契約文字內容有爭議或認知不同，會有「行政院公共工程委員會政府採購諮詢小組」協助解決爭議、建立共識，若雙方都不接受的話，就繼續走法律層面解決問題。</p> <p>接下來工程會和數位部針對政府資訊服務採購最重要的任務就是：編列預算手冊。葉哲良指出，這是借用公共工程的觀念，每一個項目透過層層編列預算，就可以換算費用、看報價並參與採購；但對資服採購而言，每人每日工時會因為不同人提供的時數不同、或者是軟體開發階段不同而有差異，這類的人事成本很難編列。</p> <p>他說，立法院審議科技預算時，會習慣性統刪一定百分比的金額；但若是國發會審查公共工程預算時，會因為相關預算編列相對透明化且詳細，可以保留多數的公共工程預算，不會出現統刪、亂刪預算導致流標的情況。</p> <p>國發會從今年第二季開始，公共建設項目中，已經出現資訊類的案件，希望可以保持公共建設預算不會被亂刪的狀態，也希望透過由軟協協助撰寫的《預算編列手冊》，讓政府資訊服務採購的預算編列有一個可供參考的標的。</p> <p><span style="font-size:28px;"><strong>程式碼獲得合理授權再利用，引進新會計制度讓SaaS也列資本門</strong></span></p> <p>葉哲良表示，軟體智財權也是接下來資服採購要解決的問題之一。他表示，希望未來機關不要取得軟體原始碼，只需要取得乙方業者授權使用，但數位部對此在意原始碼面臨外洩的資安風險，是否可以透過相對應的配套方式，更容易做到產品化也容易上雲。</p> <p>此外，他也在思考，是否可以建置臺灣的程式碼管理平臺，國外習慣將原始碼儲存在GitHub或GitLab，臺灣有機會打造政府版的GitHub嗎？葉哲良希望可以分階段，先做到程式碼的安全儲存，再落實原始碼的再利用。</p> <p>要讓政府資訊服務採購更步入正軌，葉哲良認為，引入國際間共通採用的會計制度IFRS 22或者是政府間採用的國際標準IP_SAS25，將資產認定從擁有權增加到使用控制權，例如航空公司租飛機但不擁有飛機，但合理的資產分類是，租賃的飛機還是應該要放在資本門財報項目中，畢竟，核心設施即使是租賃都是核心資產。</p> <p>也就是說，採用這樣的會計制度後，核心資訊系統的租用，就可以編列在資本門預算，且不會流用為經常門預算，畢竟，立法院歷年來都會刪4％～7％的經常門預算卻不會刪資本門預算。</p> <p>他擔心，很多機關核心系統是軟體，當政府逐漸轉成SaaS使用者，或是將ERP從買斷變成租賃，相關預算編列還是會編列在經常門預算，加上政府預算都要先編列後才能使用，當政府機關使用雲端或租賃服務越來越多時，恐將面臨預算減列的風險。</p> <p>葉哲良認為，政府預算編列的觀念就是把硬體視為資本門，GDP才會提升，如果可以藉由接軌國際間正在使用的會計制度，將雲端和租賃項目都改成資本門編列時，可以讓政府資訊服務不管是採購或是使用都更有彈性。</p> <p><a href="http://www.ithome.com.tw/article/158898" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span></span></strong></a> <a href="https://www.ithome.com.tw/article/158898" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1148-feng_mian_p1-open-960x420_gong_zuo_qu_yu_1_0.jpg?itok=qDPXiHb5" style="width: 550px;" /></a></p> </div></div></div>
2023/9/23 09:00作者黃彥棻https://www.ithome.com.tw/news/158883
【政府資服採購作業指引：公協會觀點】甲乙方對契約條款有認知歧異，建議產業協會當第三方協調處理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="margin-left:-.1pt;">在此次制定的政府資訊服務採購作業指引，對於政府機關在招、決標時，資訊服務採購以不定底價最有利標為原則，不再議價，解決過去政府機關訂底價，再和資服業者議價減價的問題，保障業者獲得合理的利潤。</p> <p style="margin-left:-.1pt;">為解決機關和廠商對政府採購契約條款認知產生歧異的問題，提高採購效率、加速公共工程建設，公共工程委員會（簡稱工程會）擬設立政府採購諮詢小組，接受諮詢申請，並邀請申請人及當事人召開諮詢會議小組，小組召開會議，得邀請相關的專家、學者，以及與諮詢事項有關的中央目的事業主管機關出席。</p> <p style="margin-left:-.1pt;"><span style="font-size:28px;"><strong>應由第三方協助解決契約條款認知歧異</strong></span></p> <p style="margin-left:-.1pt;">對於政府資訊採購作業指引，中華民國資訊軟體協會（簡稱中華軟協或軟協）理事長沈柏延肯定政府資服採購以不定底價最有利標為原則，不議價的作法，但對於工程會設立政府採購諮詢小組，來解決甲乙方對契約條款的認知歧異卻有不同的看法，應該由產業公協會擔任第三方角色，設立諮詢小組，解決甲乙方對契約條款的認知歧異。</p> <p style="margin-left:-.1pt;">沈柏延表示，過去政府與廠商常因為對條款認知產生歧異，導致業者遭到停權處分，對資服業者產生重大影響。在政府資訊服務採購上，長久以來甲、乙方處於不對等的關係，當機關認為廠商違反契約，情節重大時，可依採購法101條對廠商祭出停權處分，業者停權期間內不能參與所有政府機關採購案，不只政府機關，也包括公營事業單位，數億資本額的資服廠商可能僅因為幾百萬元採購案，被列為不良廠商予以停權。</p> <p style="margin-left:-.1pt;">他指出，政府和資服廠商對契約產生爭議，部分原因和機關對需求定義說明不夠清楚，以及需求調整有關，機關可能因為業務改變，或是經辦人員、機關首長調整，重新規畫增加或擴充新的需求，行政機關還可能因立法修法，要求業者修改正在開發中的軟體。</p> <p style="margin-left:-.1pt;">沈柏延表示，一般而言，政府機關需求調整如果在10到15%範圍內，甲乙雙方尚可通過協商處理，但超過範圍就會導致業者的成本大增，例如廠商原先估計需要30個人力、一年可完成工作，當機關需求變更，無法如期完成，這些人力必需持續投入，勢必增加業者的成本。他認為合約解釋偏向甲方，合約中對雙方權利義務關係如果沒有清楚載明，就容易在解釋上產生爭執，為避免遭到行政處分，乙方不得不配合機關需求調整，導致增加的成本侵蝕利潤。</p> <p style="margin-left:-.1pt;">沈柏延認為，軟體開發不同於公共工程領域，公共工程領域對機電、營造、施工每個環節定義清楚，政府委託業者開發軟體，業者須依照機關需求變動進行修改，當政府機關的需求變動超過一定程度，在送到工程會之前，可先交由第三方協調處理。</p> <p style="margin-left:-.1pt;">沈柏延表示，在處理政府資訊服務採購契約條款的爭議上，軟協一直倡議可由比較接近業者角度的單位，例如由軟協來擔任第三方協調角色，邀請專家學者，協調處理爭議。</p> <p style="margin-left:-.1pt;">不過，工程會並未採納其意見，該會認為應由政府採購法主管機關，即工程會來設立政府採購諮詢小組，小組召集人由工程會副主委兼任，得邀請中央目的事業主管機關參與。當需要協調處理政府資訊服務採購契約條款爭議時，工程會邀請數位部參與，工程會、數位部兩部會居中協調，協調結果才能讓行政機關信服。</p> <p style="margin-left:-.1pt;">儘管已確定由工程會成立政府採購諮詢小組，解決甲乙雙方對契約條款的認知歧異，但沈柏延認為，工程會和招標機關同屬公部門，不免讓資服業者擔心是否偏向公務機關思維，在立場上是否公允，參考其他產業爭議處理由公協會扮演第三方協調角色，例如建築業有爭議時由建築公會先協調，無法解決再送到工程會，政府資服採購合約爭議建議也應交由公協會協調，儘管軟協目前並非公協會，但倡議明年成為公協會。另外，建議政府採購諮詢小組未來處理政府資服採購契約爭議時，應邀請資服產業主管機關數位部參與。</p> <p style="margin-left:-.1pt;"><span style="font-size:28px;"><strong>不應無償要求業者配合需求調整，應提供合理費用</strong></span></p> <p style="margin-left:-.1pt;">對於機關需求調整，沒有追加預算下，要求業者無償配合，在新的政府資訊服務採購作業指引裡，要求機關編列準備費、物價調整費、檢測費，以因應需求調整、物價變動，以及額外的檢測需求。</p> <p style="margin-left:-.1pt;">他認為政府機關編列預算要有更準確的依據，以需求變動的軟體開發成本為例，並不是只有人月人力，還要考量技術等級、公司管理成本等等，可依軟體開發流程，如需求分析、系統規畫、系統建置、系統開發、測試、驗收等編列預算，並按分項付費。機關的資訊系統對應資安等級及相應的防護要求，應給予業者緩衝期調整，政府機關補強資安措施，應額外提供經費提供給業者執行。</p> <p>此外，避免機關頻繁變更需求，契約應對變更設定次數限制，需求變更應該追加費用、給予工期。</p> <p><a href="http://www.ithome.com.tw/article/158898" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span></span></strong></a> <a href="https://www.ithome.com.tw/article/158898" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1148-feng_mian_p1-open-960x420_gong_zuo_qu_yu_1_0.jpg?itok=qDPXiHb5" style="width: 550px;" /></a></p> </div></div></div>
2023/9/23 09:00作者蘇文彬https://www.ithome.com.tw/news/158885
【政府資服採購作業指引：業者觀點】甲方需求變更太頻繁，建議設立控制委員會評估合理性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣在十多年前為了加入WTO世界貿易組織，才明文訂定了採購法，當時的時空背景下，相關採購規範以政府公共工程為主，而軟體資訊服務則因規模較小，當時沒有受到太多的重視。</p> <p>儘管國內資訊軟體產業過去曾多次倡議推動政府資服採購改革，但得到的回應是不可能專門針對政府資服採購推動革新，這次工程會和數位部合作，聯手推動政府資訊服務採購作業指引及範本，成立已超過30年的資服軟體業者叡揚資訊執行長張培鏞肯定兩個部會推動政府資訊服務採購革新的努力。</p> <p><span style="font-size:28px;"><strong>政府機關需求變動頻繁，卻沒有經費支持</strong></span></p> <p>不過，張培鏞認為，資服業者在政府資服採購經常面臨的一個問題是，機關需求調整頻繁。他以過去的經驗指出，機關沒有講清楚需求，政府機關的相關人員因公務繁忙，可能只有簡略說明需求規格，由廠商估價，得標廠商開始執行，機關在履約期間內可能以種種理由，在沒有追加預算之下，向資服業者提出需求調整，當資訊單位談完，業務單位又認為資訊部門提的規格不夠精準，再一次要求變更，當業者第一次配合之後，後續機關仍有需求調整時，再次要求業者配合。</p> <p>張培鏞表示，任何需求的改動，軟體都需要再經過測試，資安也要重新測試，都是不小的成本，因此對資訊軟體業者來說，需求改變愈早提出愈好，愈晚提出需求改變，所花費的功夫就愈大。</p> <p>「軟體的需求談不完整，必需將它視為一種常態」，張培鏞表示，對政府機關而言，往往希望將需求規格一次提出來，由業者完成開發，但是這並不容易，目前軟體開發從瀑布式走向敏捷式開發，他曾建議政府資服採購可以研擬敏捷式開發合約範本，工程會以逐步推動變革為由，此次並沒有採納，張培鏞期望未來可以朝研擬敏捷式開發合約範本努力。</p> <p>當機關的需求改變，在沒有提供額外經費下，廠商基於履約義務只能配合，等於迫使業者自行吸收成本。為了解決此一問題，採購作業指引要求機關編列預算時，依個案特性編列預備費、物價調整費、檢測費，以因應機關需求變動，或軟體授權、物價、人力薪資上漲，以及額外要求測試時，提供經費給業者執行。</p> <p><span style="font-size:28px;"><strong>建議設立變更控制委員會控管機關需求調整</strong></span></p> <p>針對政府機關需求改變頻繁，張培鏞認為機關需求調整不能無限上綱，沒有限制地要求廠商配合，他建議經費達到特定金額以上的專案，可設立變更控制委員會（Change Control Board,CCB），應該由甲方和乙方代表參與，共同討論決定需求的合理性，軟體專案是否需要變更，當機關單位需求變更超出一定範圍，由採購單位額外提供經費給業者執行。</p> <p>變更控制委員會除了審視機關需求調整是否合理之外，張培鏞認為，依據政府資訊服務採購指引，機關應編列預備費用，以因應需求變更產生的相關費用，為避免預備金可能遭濫用的問題，變更控制委員會也能監督預備金的動用。</p> <p><a href="http://www.ithome.com.tw/article/158898" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span></span></strong></a> <a href="https://www.ithome.com.tw/article/158898" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1148-feng_mian_p1-open-960x420_gong_zuo_qu_yu_1_0.jpg?itok=qDPXiHb5" style="width: 550px;" /></a></p> </div></div></div>
2023/9/23 09:00作者蘇文彬https://www.ithome.com.tw/news/158886
【政府資服採購作業指引：業者觀點】新指引讓業者有更合理利潤空間，長遠應推動資訊基本法立法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行政院公共工程委員會九月公布《政府資訊服務採購作業指引》和同步修訂公布的《修正資訊服務採購契約範本強化資安防護》，對於臺灣政府資訊服務採購帶來重大衝擊，這讓許多積極參與政府標案的資服、資安業者發現，未來參與政府標案時，不需要忍氣吞聲當小媳婦就可以有合理的利潤空間，也不需要拼命送回饋才能有得標的機會，更不需要擔心看不懂複雜的資安措施過不了關。</p> <p>凌群電腦總經理劉瑞隆是臺灣資服業者中的前輩，更是之前攜手資服業者和公協會，積極推動《政府採購法》修法的幕後功臣之一。此次工程會並未推動修法，改以推出作業指引和修訂契約範本的方式，取代漫長的修法歷程，劉瑞隆認為，這些行政命令有部分可望改善資服業者參與政府標案時面臨的困境，讓資服業者可以獲得合理的利潤空間。</p> <p>但劉瑞隆表示，他會持續推動制定《資訊基本法》，希望能做到明定數位發展部為資訊服務產業的主管機關，而不再需要讓所有的條文修訂，工程會還必須去照會各個機關，目標就像是《文化基本法》明定文化部是主管機關，可以做到單獨頒佈文化採購項目。</p> <p><span style="font-size:28px;"><strong>兩次推動政府採購法修法，打造合理化資服產業環境</strong></span></p> <p>《政府採購法》自1998年公布以來，就一直是政府採購重要的法源依據，只不過，資服業者參與政府標案最大的問題就是「價格標」，劉瑞隆表示，幾乎所有的甲方機關都會希望能夠買到「便宜又大碗」的資訊服務採購，但事實上，一分錢、一分貨，最低價得標的資訊服務採購，不僅價格殺到見骨，最低價得標還要再議價的情況下，每家資服業者都無法獲得合理的利潤，導致整個資服產業無以為繼，不僅經常會遇到標案無法順利結標，資服業者本身也沒有無力再精進、提升。</p> <p>有鑒於價格標對資服採購帶來的亂象，劉瑞隆在2011年1月推動《政府採購法》第11條、第52條和第63條的修法時，就是希望可以為資服產業帶來公平、公正、公開的採購環境。</p> <p>第11條修法的重點就是：主管機關應該設立採購資訊中心，統一蒐集共通性商品級同等品分類的資訊，並建立工程價格資料庫，以供各機關採購預算編列及底價訂定的參考。</p> <p>也就是說，機關標案若是分類選取「電腦及相關服務」且預算金額達一千萬元以上、適用最有利標的案件，在傳輸決標公告時，必須一併登載得標廠商人員職稱、每月實際薪資等資料，未來彙整價格資料庫後，以統計資料方式呈現，並無償開放機關及廠商查詢。</p> <p>第52條就是影響資服業者深遠的「最有利標條文」：機關辦理公告金額以上的專業服務、技術服務或資訊服務者，得採不定底價之最有利標，得標後不用再議價。至於相關軟硬體資訊服務採購樣態，包括「軟體開發」、「系統規畫」、「系統建置及營運」、「軟體維護」、「硬體維護」、「顧問諮詢」及「專案管理、監督審驗」等七種類型；而第63條就是授權工程會訂定《資訊服務採購契約範本》的法源依據，讓各類採購契約都採用主管機關訂定的合約範本為原則。</p> <p>劉瑞隆表示，到了2019年4月則推動第二次採購法修法，這是臺灣資服產業環境合理化的第二個里程碑。他指出，最產驗影響最關鍵的就是第101條和第103條的修訂，修正不良廠商停全制度，更符合比例原則，並增訂機關通知廠商停權前，應給予業者陳述意見的機會，機關也應該成立「採購工作及審查小組」認定廠商是否構成停權要件。</p> <p>劉瑞隆坦言，兩次修法大幅改善臺灣資服業者的環境，但仍有其他有待改進之處，像是履約期間，機關需求持續變更，卻沒有支付乙方業者相對應價金，造成廠商虧損；履約期間也浮現許多隱藏成本，像是資安檢測或是第三方驗證的費用等，也都會造成廠商成本大增。</p> <p>所幸，上述這些有待改進之處，在這次《政府資訊服務採購作業指引》中，像是編列預備費、物調費和檢測費等項目，都可以再進一步改善資服業者的整體環境。</p> <p><span style="font-size:28px;"><strong>不定底價最有利標，以固定價格決標且議約不議價</strong></span></p> <p>《政府採購法》雖然明定資服類別的標案，得採不定底價最有利標，但劉瑞隆說，過往的最有利標，不僅要評選內容，還得看價格有沒有低於機關自訂的底價，乙方業者同時要考量品質和價格時，往往很難兼顧。</p> <p>因此，這次在《政府資訊服務採購作業指引》中，則建議最有利標將以「固定價格」決標，並且採用「議約不議價」的決標方式，他認為，這將有助於業者可以在第一時間就必須把最好的菜端出來給客戶，也真正做到不用擔心，因為議價造成最終得標價格導致公司虧損的窘境。</p> <p>劉瑞隆表示，這樣的作法對招標的甲方機關而言，可以更聚焦在挑選更優質、更合適的廠商，而不需要像以往一樣，只能從便宜的水果中挑比較不爛的水果。</p> <p>但他也提醒，所有的作業指引對於甲乙雙方都有好處，但重點在於「必須落實」相關的條文精神，而每個最有利標的採購都必須要有評審小組，也必須注意評審人力是否足夠？必須留心是否皆為適任人選外，也要關注是否會用以往價格標作為評審標準，企圖代表機關跟廠商要求更多回饋。</p> <p>此外，作業指引明定不可以有「回饋」，但可以有「創意」作為分辨廠商優劣的參考，劉瑞隆指出，以往的回饋經常是廠商提供機關各類硬體設備，讓標案淪為價格競爭的夢靨，而如何拿捏「回饋」與「創意」之間的差異與價值，才是這次作業指引希望可以對整各產業帶來更大的價值。</p> <p><span style="font-size:28px;"><strong>公共工程建設經費編列應該新增資訊服務篇</strong></span></p> <p>「要求招標單位事先編列預備費、物調費和檢測費，都是真正落實使用者付費的精神，」劉瑞隆說，因為作業指引並沒有強制力，他認為，現階段最好的方式則是，通過「公共工程建設經費編列手冊」新增資訊服務篇，讓預備費、物調費或是檢測費等，都有合理的經費授權來源，也讓乙方廠商這些被低估的隱藏成本，可以有像甲方機關追加經費的保障，形成一個經費編列的良性循環。</p> <p>不過，劉瑞隆也提醒，合理的經費追加要做到良性循環，必須要加上配套措施，什麼資安等級搭配相對應的預算，因為天下沒有白吃的午餐。</p> <p><a href="http://www.ithome.com.tw/article/158898" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span></span></strong></a> <a href="https://www.ithome.com.tw/article/158898" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1148-feng_mian_p1-open-960x420_gong_zuo_qu_yu_1_0.jpg?itok=qDPXiHb5" style="width: 550px;" /></a></p> </div></div></div>
2023/9/23 09:00作者黃彥棻https://www.ithome.com.tw/news/158887
【政府資服採購作業指引：業者觀點】資安入規成為臺灣資安業者擴大市場的利基點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>總統蔡英文自上任以來，揭櫫「資安即國安」的政策方針，讓許多政府資訊服務採購都開始重視資安，這樣的趨勢，也可以從有越來越多資訊服務採購契約中，都要求要有相關的資安配套措施可以發現。</p> <p>因為，重視資安已經是無可避免的趨勢，中華資安國際總經理洪進福表示，對於他們這些資安業者而言，工程會透過《政府資訊服務採購作業指引》以及同步修正公布的《修正資訊服務採購契約範本強化資安防護》與資安一覽表等附件，就已經印證，將資安納入政府資訊服務採購合約中，已經是「現在進行式」。</p> <p>洪進福認為，這次雖然是透過制定行政命令的方式做到「資安入規」，卻也是臺灣資安業者拓展市場和自我提升的難得機會；而相關資訊服務採購的「共通性資通安全基本要求參考一覽表」，更有助於政府機關的採購人員，可以更專業的勾選資訊系統對應的資安防護等級所必須的資安措施，這些作為更能夠大幅降低，政府採購人員資安專業不足的困擾。</p> <p><span style="font-size:28px;"><strong>實踐資安入規成為乙方業者提升能力的底氣</strong></span></p> <p>以往為了解決政府採購所衍生的爭端，資服產業界是透過修改《政府採購法》的方式，解決業者面臨的困擾。不過，洪進福坦言，每一次的修法都是曠日廢時，但政府資服採購「資安入規的採購需求，卻已經是許多機關和資服業者火燒屁股的困擾。</p> <p>如何解決這個迫在眉睫的需求，洪進福說，寄望於快速修法顯然不切實際，而此次由行政院工程會副主委葉哲良帶頭，協同數位部和許多資服資安業者以及各個公協會，透過制定《政府資訊服務採購作業指引》行政命令的方式，並同步修正公布的《修正資訊服務採購契約範本強化資安防護》與資安一覽表等附件，就提供一套讓甲方機關和乙方業者，在規畫各種政府資訊服務採購與資安入規時的共通參考依據。</p> <p>洪進福認為，工程會透過制定行政命令的手法很漂亮，不僅降低修法時的衝撞，不管是作業指引或是契約範本，都可以有效引導機關的採購人員，快速制定符合機關需求的資安規範；同時，因應明白機關對於資安規範具體，這也成為乙方業者如何滿足甲方資安入規需求的參考指南，乙方提供甲方資安入規服務的同時，這也是乙方業者「身體力行」實踐資安規範的指引。</p> <p>洪進福認為，當乙方業者也可以同步實踐落實在自家產品和營運時，資安入規的規範，也將成為臺灣資服資安業者自我能力提升的「底氣」，甚至也是掌握商機和拓展市場契機。</p> <p>不過，他也說，透過指引和範本的強制力不夠，長期來看，規範還是要落實到法律層面上，才能具有強制力，未來還是有修訂《政府採購法》的需求。</p> <p><span style="font-size:28px;"><strong>資安一覽表制定完整資安標準成政府採購人員利器</strong></span></p> <p>雖然《資安法》要求， A級機關要有四名資安專責人員，B級機關要有一名資安專責人員，但洪進福表示，事實上，許多機關的資安專責人員都還未能補齊，資安人才缺口已經是臺灣資服產業界所面臨的普遍現象。</p> <p>因為政府機關的採購人員缺乏資安專業，連帶的，面對許多政府採購的標案中，已經開始強化許多資訊系統必須有相對應資安防護措施的要求，這種將資安房入措施納入政府標案的「資安入規」，已經成為許多政府採購人員的痛點。</p> <p>政府採購人員為了解決這樣的困擾，除了東找一點、西抄一點各種資安要求和規範外，許多機關有長期合作關係的資服業者，也成為許多採購人員的諮詢對象，這也讓某些過往不曾涉入資安領域的資服業者，啟動邁入資安領域的新契機。</p> <p>但是，這種碎片式的資安規範，並不足以解決政府採購人員的困擾，洪進福表示，相關採購人員因為不具備資安專業，對於資訊服務採購應該納入何種資安規範、制定什麼樣的資安規格，應該編列多少資安預算，甚至最後應該如何完成資安籌獲等，都有其難度。</p> <p>但是，透過新版的作業指引和同步修訂公布的契約範本中，有一份完整的「各類資訊服務採購之共通性資通安全基本要求參考一覽表」，針對雲端微服務（SaaS）：套裝型、辦公室生產力工具及客製化需求更版；雲端平台（PaaS/IaaS）；資服規畫標案；資安規畫標案；系統開發；既有功能擴充，以及系統維護營運等不同的資服樣態，都提供一套完整的資通安全標準。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-%E5%BD%A5%E6%A3%BB-%E4%B8%BB%E6%96%87-600-2(2).png" style="width: 600px;" /></p> <p>政府會因應機敏機關、關鍵基礎設施和一般機關機敏程度不同，而對其資訊服務系統有高級、中級和普級等不同資安防護等級的要求，當然，普級系統所需要納入的資安措施一定和高級不同，洪進福說，這一套類似檢核表的「各類資訊服務採購之共通性資通安全基本要求參考一覽表」，將有助於政府採購人員，可以更便利、更有效率的完成資訊服務採購時對於「資安入規」的要求。</p> <p>因為相關的資訊服務採購契約已經在履約中，面對一些不在原始合約上、因應法遵而必須新增加的資安要求，在機關沒有其他多餘的經費前提下，有更多時候，乙方業者為了維持和甲方機關長期以來的合作默契，為了可以有下一次合作的機會等因素，乙方業者甚至必須犧牲原有的獲利空間，自行吸收這些額外增加的支出。</p> <p>但他發現，在新版作業指引的規定中，要求甲方機關除了要將資安預算單獨列出來外，更建議甲方機關應該預先編列預備費、物調費和檢測費用等，降低未來資訊服務標案履約時的各種突發狀況。</p> <p>洪進福坦言，這些甲方事先編列的各項預備費用，都讓乙方業者在面對履約時可以更加從容不迫。也就是說，即使標案執行過程中，有各種因應新增的法遵要求，而必須另外增加的各種資安檢測，或者是因應資安人員薪資調整、甚至是資安軟體授權費用增加等必須支付的額外費用，都有一筆預備款，確保該資訊服務採購可以順利完成履約。</p> <p>洪進福表示，資安以往都是一種隱性需求，但隨著各種資安威脅加劇，政府從採購面將資安規範正式納入採購契約中，都有助於提升臺灣機關資安防護能力，也有助於提升臺灣資服資安業者的產業競爭力。</p> </div></div></div>
2023/9/23 09:00作者黃彥棻https://www.ithome.com.tw/news/158888
【政府資服採購作業指引：政府機關觀點】資安規範清單化是最大亮點，非資安專業的採購人員也能善用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了解決過去二十年來資訊服務採購遇到的各種履約爭議，以及近幾年來，政府資訊系統日益增加的各種資安措施，專責政府採購的行政院公共工程委員會，於九月公布一份《政府資訊服務採購作業指引》，以及同步修訂公布的《修正資訊服務採購契約範本強化資安防護》。</p> <p>臺北市政府資訊局局長趙式隆表示，該局的資訊服務採購向來有嚴謹的採購規範與範本，在資訊系統資安防護措施上，更是有清楚明確的規範。</p> <p>面對工程會協同數位部以及產業界公協會的力量，公布一份可以供甲方機關和乙方資服資安業者參考的作業指引與契約範本，趙式隆認為，這樣的作為對於提升機關整體的資安防護水準，是有利而無害。</p> <p>不管是工程會公布的作業指引，或是修訂公告的契約範本，趙式隆同意，這對於整個國家的資訊採購具有宣示效果，也可以提升各個機關對於資訊服務採購的共通水準。</p> <p><span style="font-size:28px;"><strong>乙方最不滿甲方「加量不加價」的要求</strong></span></p> <p>趙式隆在擔任北市府資訊局長之前，也在資服業界待過，是一個具有乙方經驗的現任甲方代表。而他之前在乙方任職時，主要顧客以金融業為主，有極高的法遵要求，和政府部門必須做到「依法行政」一樣。</p> <p>他認為，隨著政府機關數位化程度越來越深，對於資訊服務採購所要求的品質和連帶的資安規範，也越來越嚴謹。</p> <p>但是，現在除了必須自行開發的系統外，市場上的各種資服產品和資安解決方案，許多都是透過搭配不同規格化產品的產出。整體而言，搭配出來的各種解決方案，其實都有一定的品質穩定性，主要的差異點，通常都是甲方針對不同資訊服務，對乙方提出的解決方案有不同SLA（服務水準協議）要求。</p> <p>所以，雖然甲方機關會因為不同需求而選擇不同解決方案，但他認為，實務上，只要甲乙雙方對於資服採購的要求，都有達到一定程度的水準，即使發生重大的資安事件，雙方心中都會有一個資安底線。</p> <p>他說，這個資安底線也代表現實環境中，甲方可以達到何種程度的資服採購水準，以及乙方可以提供什麼樣資安防護措施要求。</p> <p>但是，趙式隆也觀察到，目前乙方對甲方最頭痛的行為就是「加量不加價」，這是所有乙方業者的痛點。</p> <p>尤其是，近年來因為資安威脅大增，甲方必須新增許多資安相關的解決方案和防護措施，許多資服採購簽訂合約時，因為沒有相關的資安配套，履約時，一旦面臨主管機關的要求，許多甲方只好要求或拜託乙方業者，無償或是挪用其他項目的金額，以滿足主管機關對甲方在資安法遵的要求。他直言，這樣的作法，往往是犧牲乙方合理的利潤空間，去滿足甲方不合理的要求。</p> <p><span style="font-size:28px;"><strong>資安一覽表作為機關資安檢核參考</strong></span></p> <p>這次工程會同步修訂公布的《修正資訊服務採購契約範本強化資安防護》與資安一覽表相關附件，最重要的是詳細列出了9種資服類型，對應普級、中級和高級的資安防護程度，所對應各種資安措施的資安一覽表（資服樣態資通安全標準）。</p> <p>趙式隆指出，這個資安一覽表最重要的核心概念就是「檢核表」，讓沒有資訊、資安專業的採購人員，可以透過對照檢核表的方式，確認應該納入哪些資安規範與措施。</p> <p>他笑說，以前沒有良心的乙方業者，可以憑三吋不爛之舌去說服甲方採購人員，對乙方業者而言，一旦這個機關案子做砸了，頂多再換個新機關就好。但當採購人員有了這份資安檢核表後，等於有一份檢核基準做勾選和比對，可以避免誤入乙方業者舌燦蓮花的陷阱。</p> <p><span style="font-size:28px;"><strong>最有利標以固定價格決標，議約不議價</strong></span></p> <p>趙式隆肯定工程會這次將《政府採購法》中的最有利標，直接定義為議約不議價「固定價格決標」的最有利標。</p> <p>以往定義的最有利標，是評審挑出評選第一名、服務內容最好的乙方業者後，還得看評選第一名的乙方業者價格，是否有超過機關自訂「底價」。</p> <p>若評選第一名的資服業者，經過三次減價還是無法達到機關自訂的底價後，就會由評選第二名的業者投標，其價格也必須超過機關的自訂底價才行。</p> <p>但新版《政府資訊服務採購作業指引》中的最有利標，卻是甲方直接公告標案價格，不管是哪一個乙方業者得標，決標價格就是甲方公告的標案價格，重點是，得標的乙方業者議約不議價，並不需要經過再議價的程序，只為了低於機關自訂的底價。</p> <p>趙式隆也說，得標的乙方業者提供的就是該業者最擅長的核心服務，最具有優勢的技能，就不必和以往競標一樣，必須提供滿足甲方暗示的各種回饋，才能夠得標。</p> <p>趙式隆認為，得標乙方業者脫穎而出的關鍵，就是善用其優勢作為「創意」項目，在議約過程中，成為能和其他乙方業者競標、最終能夠勝出的關鍵。</p> <p><span style="font-size:28px;"><strong>作業指引和範本不具強制性，最終仍須走到採購法修法階段</strong></span></p> <p>趙式隆表示，這次工程會公布的作業指引其實是類似行政命令的作法，並沒有具備強制力，包括提供的契約範本，參與投標的業者，其實都可以選擇是否要適用。</p> <p>只不過，乙方業者為了符合甲方提出的採購規範，只要是甲方參考什麼樣的採購作業指引，或是使用哪一種範本，通常會成為乙方業者的參考指南，「用甲方指引和範本，至少具備保底功能，」他說。</p> <p>不管是作業指引或是契約範本，趙式隆認為，背後帶來的「價值」才重要，讓甲乙雙方都有一個共通的參考準則，只要跟進使用、用得好，就可以達到一個共通水平，這也將成為政府機關未來資訊資安採購的基準線。</p> <p><a href="http://www.ithome.com.tw/article/158898" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span></span></strong></a> <a href="https://www.ithome.com.tw/article/158898" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1148-feng_mian_p1-open-960x420_gong_zuo_qu_yu_1_0.jpg?itok=qDPXiHb5" style="width: 550px;" /></a></p> </div></div></div>
2023/9/23 09:00作者黃彥棻https://www.ithome.com.tw/news/158897
政府資訊採購新變革
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1148-feng_mian_p1-open-960x420_gong_zuo_qu_yu_1_0.jpg?itok=qDPXiHb5" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>政府資訊服務採購受到《資安法》和《政府採購法》雙重規範，未來採購的資服系統不僅要分成普級、中級和高級，所有的資服採購也都要將資安防護措施納入採購規範中，做到資安入規。</p> </div></div></div>
2023/9/23 09:00未署名https://www.ithome.com.tw/article/158898
比價值才能雙贏
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>許多資服業者吃過政府標案的暗虧，但也有許多政府機關收拾過資服標案的爛攤子。政府採購立法20年來，雖然歷經幾次大修法，資訊採購仍然不時會出現政府部門與資訊業者雙輸的標案。</p> <p>我不時會聽到來自兩造對於標案的抱怨與爭議，我聽過不少很扯的標案傳聞（只能說是傳聞），例如業者得靠著比拼iPhone手機贈送數量來贏得資訊系統標案，或是有招標委員評選時不斷暗示簡報廠商，另一家多送哪些回饋，甚至，某單位政風單位找採購人員喝咖啡，討論為何沒有向廠商凹更多回饋。也有資服老總跟我抱怨，甲方（政府機關）的需求一改再改，改到結案最後一周都還要改，導致開發人力成本大增，標案不僅沒利潤反而大虧錢。</p> <p>但是，政府機關也有很多怨氣，常遇到業者承諾的功能膨風灌水，遠不如預期，甚至不敷使用，或是標案虎頭蛇尾，結案交差了事或是沒完成就棄標，導致資訊部門得自己接下爛攤子解決，系統才堪用。</p> <p>可是，政府資訊人力有限，高達7成的資訊系統建置都得委外，所有政府機關的資訊服務採購加起來，一年高達400億元，這還不包括科技預算和國防預算中的資訊服務採購。</p> <p>行政院公共工程委員會在9月出爐了全新增加的《政府資訊服務採購作業指引》辦法，也發布《修正資訊服務採購契約範本強化資安防護》來精進原有契約範本，想要一方面提高對委外業者的資安要求，另一方面也想要解決長年的標案爭議問題，減少過去標案雙輸的窘境，轉為創造更多雙贏的機會。</p> <p>這一次資訊服務採購變革，有幾項值得稱許的獨到作法。一來是透過行政命令層級的作業指引，而非透過漫長（過去採購法修法一次平均得花上13年）修法，只用了半年多就快速上路。</p> <p>還有一項特色是，原本是被評選的業者，成了新版採購作業辦法訂定的參與者，工程會找來指標業者和公協會，一方面彙整他們對於想要改善的標案作業建議，另一方面由業者自行訂定願意遵守的廠商資安條件。業者為了爭取更合理，甚至更有利潤的招標作業條款，而願意接受更嚴格的資安規範。</p> <p>例如，工程會在新的指引中，建議政府機關，資服採購標案以議約不議價精神，先公開標案價格後不砍價，改為比契約品質，比服務，不把價格納入最後調整的變動項目中，讓廠商可以事先預估利潤空間，來決定願意提供多少服務內容。工程會也取消「回饋」項目的比拼，改為針對提升招標系統品質為目標的「創意」項目。甚至，新指引考量跨年標案的物價變動，需求變動，驗收需要的更多外部檢測成本，讓政府機關與法有據能夠事先編列額外的預備預算，不用到了結案時，發現預算不足而得花時間變更契約，甚至重新補招標。這是工程類標案常見的預留預算來因應變動的作法，這次也放入了資訊服務採購指引中。</p> <p>對委外招標的政府機關而言，新版採購指引和修正採購範本，改為正面表列方式，取代負面表列的方式，甚至以規格選單式的檢核表，讓三、四級機關的採購人員，很容易就能依據委外系統的類型，選擇該適用普、中、高哪一種級的資安規格要求，不用自己傷透腦筋訂定各種資安招標需求的技術細節，就算採購人員不懂資安或資訊專業知識也能進行招標，連結案要驗收的服務水準指標也有更明確的項目清單可選用。</p> <p>雖然這次政府資訊服務採購變革，沒有一步到位，完全解決過往政府資訊服務採購的所有問題，但是，讓政府機關，尤其是地方政府機關，更容易執行複雜又高度專業的資訊系統採購，也讓競標業者，更聚焦在比較委外內容、服務水準的價值，提供資安防護能力更強的系統。這次的資訊服務採購變革，往政府資訊服務採購雙贏局面，邁開了關鍵一步。</p> <p><a href="http://www.ithome.com.tw/article/158898" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span></span></strong></a> <a href="https://www.ithome.com.tw/article/158898" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1148-feng_mian_p1-open-960x420_gong_zuo_qu_yu_1_0.jpg?itok=qDPXiHb5" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E6%94%BF%E5%BA%9C%E8%B3%87%E8%A8%8A%E6%9C%8D%E5%8B%99%E6%8E%A1%E8%B3%BC">政府資訊服務採購</a></div><div class="field-item odd"><a href="/tags/%E8%A1%8C%E6%94%BF%E9%99%A2%E5%85%AC%E5%85%B1%E5%B7%A5%E7%A8%8B%E5%A7%94%E5%93%A1%E6%9C%83">行政院公共工程委員會</a></div><div class="field-item even"><a href="/tags/%E5%B7%A5%E7%A8%8B%E6%9C%83">工程會</a></div><div class="field-item odd"><a href="/tags/%E6%94%BF%E5%BA%9C%E8%B3%87%E8%A8%8A%E6%9C%8D%E5%8B%99%E6%8E%A1%E8%B3%BC%E4%BD%9C%E6%A5%AD%E6%8C%87%E5%BC%95">政府資訊服務採購作業指引</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89%E9%A0%90%E7%AE%97">資安預算</a></div><div class="field-item odd"><a href="/tags/%E6%94%BF%E5%BA%9C%E6%8E%A1%E8%B3%BC%E6%B3%95">政府採購法</a></div></div></div>
2023/9/23 09:29作者王宏仁https://www.ithome.com.tw/voice/158908
微軟以AKS為基礎，整合Spark、Flink和Trino推出HDInsight資料分析服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟整合開源分析工作負載Apache Spark、Apache Flink和Trino，推出一套以AKS為基礎的雲端開源資料分析服務<a href="https://azure.microsoft.com/en-us/blog/manage-your-big-data-needs-with-hdinsight-on-aks/">HDInsight</a>，並與Power BI、Azure Data Factory和Azure Monitor等分析工具深度整合，用戶也可以使用Prometheus和Grafana進行監控。</p> <p>透過HDInsight，用戶可以在數分鐘內建立完整的端到端分析系統，利用現成的整合和內建的安全性功能，獲得可靠的分析基礎設施。由於HDInsight具有效能改進和自動縮放等功能，因此能夠確保分析工作負載能以最佳的成本執行。</p> <p>開發者藉由腳本和函式庫便能擴展開源工作負載的功能，並且根據自己的喜好，選擇軟體開發套件、Azure資源管理器或是入口網站等各種開發工具。HDInsight涵蓋企業各種資料處理需求，像是串流處理、查詢處理、批次和機器學習工作，並且獲得一致的視覺化功能。</p> <p>根據不同的資料分析場景需求，用戶可以選擇使用不同的開源工作負載，像是需要即時分析的場景，便可以使用開源分散式串流處理框架Apache Flink，當需要在跨多種結構化和非結構化資料來源執行臨時查詢時，便可以使用Trino，而靈活的Apache Spark則可用於串流、批次、機器學習和ETL等各種資料處理任務上。</p> <p>這些分析工作負載都使用共同的身分驗證模型，共享後設資料儲存和預建置的整合功能，讓用戶部署分析應用程式變得更方便。由於HDInsight on AKS是託管式服務，因此用戶不需要擔心基礎設施、作業系統和開源軟體的管理，而且HDInsight的容器化設計，使得部署、擴展和元件管理更簡單。</p> <p>官方強調，HDInsight on AKS使用OAuth 2.0安全框架，可以基於身分進行授權和存取控制，企業也可以使用自家的虛擬網路來增加安全性。</p> </div></div></div>
2023/9/23 08:39作者李建興https://www.ithome.com.tw/news/158899
Google開發逐步蒸餾技術，小資料小模型也能打敗LLM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了解決模型大小和訓練資料收集成本之間的權衡問題，Google現在發展一種稱為<a href="https://blog.research.google/2023/09/distilling-step-by-step-outperforming.html">逐步蒸餾（Distilling Step-by-Step）</a>的技術，可用比一般方法少得多的資料，訓練用於特定任務的小模型，但是效能卻能優於少樣本提示語言模型（Few-Shot Prompted LLM）。</p> <p>大型語言模型雖然功能強大，但是實際部署卻具有各種挑戰，Google提到，光是要部署一個1,750億參數的大型語言模型，專用基礎設施的GPU記憶體就至少需要350 GB。更不用說先進的語言模型參數可能高達5,000億個，所以供應商為了規避這類部署挑戰，通常會選擇部署較小的專用模型。</p> <p>研究人員解釋，小型專用模型有兩種訓練方式，分別是微調（Fine-tuning）和蒸餾（Distillation）。微調使用人工註釋資料，更新預先訓練的BERT或T5等規模較小的模型。而蒸餾的概念則是將一個大型模型，或稱為教師模型的知識，轉移至一個比較小的學生模型，運用大型語言模型所生成的標籤，訓練相同但規模較小的模型，雖然蒸餾法可以讓學生模型的規模和複雜性都遠低於教師模型，效能卻可以接近或是超越教師模型。</p> <p>但是要達到良好的效能，微調法需要人工生成標籤，這個過程既昂貴又繁瑣，而蒸餾法則需要大量未標記的資料，且收集資料本身就並非一件簡單的事。因此Google發展了逐步蒸餾法，這相對是一個簡單的機制，能夠讓研究人員以比標準微調或是蒸餾法少得多的訓練資料，訓練一個更小且專用於特定任務的模型，而且效能還可能可以優於少樣本提示語言模型。</p> <p>少樣本提示語言模型是指，大型語言模型使用少量的樣本，並透過提示來完成任務的方法，像是要求語言模型完成翻譯任務，研究人員便可以提供少量的英翻中樣本，再給予新的提示問題，期望模型能夠依據範例正確翻譯新問題。</p> <p>研究人員解釋，當大型語言模型被問到某些問題時，能夠透過推理並給出最終答案，這些中間的推理包含了可以完成任務需要的重要知識，但是小型模型需要大量資料才能學到這些知識。因此逐步蒸餾的核心想法，便是從大型語言模型中擷取有用的自然語言解釋，也就是中間的推理步驟，然後使用這些解釋更有效地訓練小型模型。</p> <p>因此逐步蒸餾的第一步驟，是從大型語言模型中擷取解釋，研究人員會提供少數範例，這些範例包含問題、中間的解釋和答案，引導大型語言模型對新的問題產生相對應的解釋。第二階段則是利用第一階段取得的解釋訓練小型模型，小型模型學習由大型語言模型生成的中間推理步驟，便能夠更好地預測答案。</p> <p>研究人員使用5,400億參數的PaLM大型語言模型，並選用T5作為特定任務的模型，實驗在不同自然語言處理任務的表現。透過逐步蒸餾法，使用較少的訓練資料就能超越標準微調方法的效果，甚至僅擁有2.2億參數的T5模型，在e-SNLI資料集表現就可超越5,400億參數的PaLM大型語言模型。</p> <p>而在ANLI資料集上，只擁有7.7億參數的T5模型只使用整個資料集的80％，效果便以超越擁有5,400億參數的PaLM大型語言模型。這些結果證明了逐步蒸餾法即便使用小資料，小模型仍可以超越大型語言模型的效能。</p> </div></div></div>
2023/9/23 08:49作者李建興https://www.ithome.com.tw/news/158902
蘋果緊急更新iOS與macOS等平臺，修補3個已遭濫用的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.apple.com/en-us/HT201222" target="_blank">蘋果周四（9/21）緊急更新了macOS、iOS、iPadOS、watchOS及Safari</a>，修補3個已經遭到駭客濫用的零時差漏洞。</p> <p>此次蘋果所修補的安全漏洞分別是CVE-2023-41991、CVE-2023-41992與CVE-2023-41993，其中的CVE-2023-41991允許惡意程式繞過簽名驗證，此一漏洞同時存在於macOS、iOS、iPadOS及watchOS上。CVE-2023-41992則為核心漏洞，允許本地端駭客擴充權限，亦同時存在於macOS、iOS、iPadOS及watchOS上。</p> <p>CVE-2023-41993漏洞位於WebKit中，其網頁內容處理功能可能導致任意程式執行，主要影響iOS、iPadOS與Safari。</p> <p>雖然上述漏洞涉及不同的平臺，但迄今所發現的攻擊行動皆是鎖定 iOS 16.7以前的iOS版本，顯示實際遭到攻擊的裝置為iPhone。此外，相關漏洞都是由加拿大公民實驗室（Citizen Lab）的Bill Marczak與Google威脅分析小組的Maddie Stone所提報。</p> <p><a href="https://www.ithome.com.tw/news/158648" target="_blank">本月上旬蘋果才修補了兩個亦是由公民實驗室發現的零時差漏洞</a>，當時駭客利用這兩個漏洞入侵了iPhone，並植入Pegasus間諜程式。今年以來蘋果所修補的零時差漏洞數量已達到16個。</p> </div></div></div>
2023/9/23 09:20作者陳曉莉https://www.ithome.com.tw/news/158904
提供2倍吞吐量，思科次世代防火牆推出新一代中高階機型
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cisco_secure_firewall_4200_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一年多前，思科發表中型企業級防火牆系列<a href="https://www.ithome.com.tw/review/153051">Secure Firewall 3100系列</a>，到了今年6月初舉行的全球用戶大會，他們再度宣布推出新產品，硬體設備機型增設Secure Firewall 4200系列，而搭配的系統軟體平臺Cisco Secure Firewall Threat Defense（FTD），也將發布7.4新版，將強化密碼學處理的加速、叢集架構支援、模組化等層面的功能，提升整體運作效能與使用彈性。他們預告9月推出搭配FTD 7.4的Secure Firewall 4200系列，至於用於其他機型的FTD 7.4，則是12月開始供應。</p> <p>結合新版作業系統的Secure Firewall 4200系列，思科表示，可提供3大特色</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco SF4200-2023-06-07_005508.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20SF4200-2023-06-07_005508.jpg" style="width: 600px;" /></a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SF4200-intro1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SF4200-intro1.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/SF4200-intro2.jpg" style="width: 600px;" /></p> <p>首先，針對藏匿在加密連線的資安威脅與應用程式，思科提供的網路加密透視引擎（Encrypted Visibility Engine，EVE）升級至2.0版，能借助人工智慧與機器學習技術，而能在不需解密的狀態下，也能予以偵測、阻擋。過去必須先進行加密流量的解密，再執行檢測的複雜處理，現在透過新功能，可解決拖垮防火牆效能與隱私保護難題。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SF4200 EVE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SF4200%20EVE.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco SF-EVE 2_0.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20SF-EVE%202_0.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/SF4200-EVE 2_0.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SF4200-EVE%202_0.jpg" style="width: 298px;" /></a></p> <p>第二是大幅提升零信任網路存取功能（ZTNA），能針對個別的應用程式執行完整的威脅檢測處理，以及政策控管。現在思科防火牆系統能在安全堆疊的基礎上，增加具備零信任應用程式存取能力的安全使用方式，因為相較於長年沿用的「通過身分認證之後就完全放任」這類簡易防護，ZTNA模型的使用將大幅提升資安要求，因為當中會增添使用者流量與應用程式行為檢測，以提供更安全的存取。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SF4200 ZTAA-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SF4200%20ZTAA-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/SF4200 ZTAA-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SF4200%20ZTAA-2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/SF4200 ZTAA-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SF4200%20ZTAA-3.jpg" style="width: 298px;" /></a></p> <p>第三是簡化分支據點環境的路由功能，對於混合資料中心環境下的遠端辦公室應用存取，可提供網路流量的安全防護、控管，以及透視連線活動的能力。企業可透過思科防火牆的新功能，集中處理應用程式流量的識別、監控、路由，進而改善網路效能與存取安全性。</p> <p>除了上述功能的進化，思科此時也初步透露4200系列機型的基本規格，例如，相較於既有的Firepower 4100 系列，Secure Firewall 4200系列同樣採用1U尺寸的機箱，號稱可提供兩倍的吞吐量；而在產品定位上，Secure Firewall 4200系列具備優異的處理效能、安全防護，以及豐富的連線介面，可用於資料中心與大型園區網路的環境。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SF4200 overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SF4200%20overview.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/SF Portfolio.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SF%20Portfolio.jpg" style="width: 600px;" /></a></p> <p>到了9月初，思科資安事業群傑出工程師Andrew Ossipov在思科部落格發文，闡述Secure Firewall 4200系列與FTD 7.4目前提供的特色。在零信任方面的強化，他提到FTD 7.4提供原生的無用戶端零信任網路存取（Clientless ZTNA），此功能隸屬於遠端應用程式連線階段，實際應用時，會如同處理其他流量，一樣能持續執行資安威脅檢測的作業。</p> <p>一般而言，在細緻的零信任應用程式存取（ZTAA）政策當中，通常可定義個別或不同群組的應用程式，並允許它們使用專屬的入侵防禦系統（IPS）與檔案政策，而對於線上的使用者身分認證與授權功能而言，也需要與每一個網站應用程式與支援SAML語言的身分供應系統（IdP），進行互通若使用者通過身分認證、被授予權限，而得以經由公開的完整網域名稱（FQDN）存取位於內部網路的受保護系統，此時FTD可扮演反向代理的角色，提供完整的TLS解密、有狀態防火牆（stateful firewall）、入侵防禦系統、惡意軟體檢測的一系列處理流程，採行這樣的作法之後，網路流量就不需解密兩次，以及區隔傳統ZTNA存取方式與線上檢查功能的所有版本，可大大改善網路整體效能與使用者連網體驗。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SF4200 ZTAA.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SF4200%20ZTAA.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco SF-ZTAA-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20SF-ZTAA-1.jpg" style="width: 600px;" /></a></p> <p>關於加密網路流量的解密處理，Secure Firewall 4200系列與思科去年4月推出的<a href="https://www.ithome.com.tw/review/153051">Secure Firewall 3100系列</a>一樣，均採用自行設計的FPGA晶片，可針對資料層（Data Plane）內部執行的網路流量狀態檢測，以及密碼學運算相關功能，提供線上加速處理能力。</p> <p>基於這樣的運算卸載設計，思科防火牆處理網路封包時，不再需要為了上述作業，而被迫在硬體設備的系統匯流排介面穿梭，並且在面對日益精密複雜的威脅檢測工作時，能透過這樣的分攤處理架構大大減輕CPU負擔。</p> <p>中央處理器的部分，若參照Cisco Live! 2023 Las Vegas大會相關場次演講內容，我們可看到裡面提到搭配的CPU核心數量相當多——4215、4225均採用單顆x86架構處理器，分別內建64顆核心與128顆核心，4245採用2顆x86架構處理器，均內建128顆核心，若是如此，有可能搭配的是AMD今年6月發表的伺服器級CPU產品EPYC 97X4系列（代號Bergamo），最多可內建128顆Zen 4c核心。密碼學運算加速器的部分，思科在此提到搭配的晶片是Nitrox V，4215、4225、4245分別搭配1顆、2顆、4顆。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SF4200 Arch.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SF4200%20Arch.jpg" style="width: 600px;" /></a></p> <p>在此同時，Secure Firewall 4200系列的機箱維持使用1U尺寸的緊緻外形，能串聯多臺設備成為叢集系統（最初公布規格最多可連接16臺機箱，7月下修為8臺機箱），將資安威脅檢測的吞吐量效能擴展至1.5 Tbps以上。針對重要的多租戶環境使用需求，這系列設備的建置，也支援邏輯分割，最多可區隔34臺執行個體，均可做到硬體層級隔離、提供完整功能的狀態。</p> <p>對於網路安全管理人員而言，若要在Secure Firewall使用TLS解密功能，現在可透過直覺的方式操作，因為思科在近期版本的Firewall Management Center，提供重新設計的TLS解密政策設定流程，能將傳入內部網路的流量（外部使用者連入公司內網的應用程式），以及對外發送的流量（內部使用者存取網際網路的應用程式）解密組態設定，予以區隔，可針對每種類型的設定提供必要的步驟指引，若是進階的使用者，可保留完整的TLS連線控制存取權，包含過濾未遵循控管要求的通訊協定版本，以及阻擋特定憑證的使用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SF4200 TLS Decryption Policy.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SF4200%20TLS%20Decryption%20Policy.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Cisco Secure Firewall 4200系列</strong><br /> ●原廠：Cisco<br /> ●建議售價：廠商未提供<br /> ●機型與尺寸：4215、4225、4245，皆為1U<br /> ●網路埠：固定搭配8個25GbE埠（SFP28），最多可設置24埠——<br /> 24個10GbE埠（SFP+），<br /> 或8個25GbE埠搭配2個網路擴充模組，<br /> 或8個40GbE埠（QSFP+）搭配2個網路擴充模組，<br /> 或24個GbE埠（SFP）搭配2個網路擴充模組與多個固定埠，<br /> 或8個100GbE埠搭配2個網路擴充模組<br /> ●防火牆吞吐量（啟用AVC與IPS）：4215為65 Gbps，4225為80 Gbps，4245為140 Gbps<br /> ●VPN吞吐量：4215為45 Gbps，4225為80 Gbps，4245為140 Gbps<br /> ●最大同時連線數：4215為1千5百萬個，4225為3千5百萬個，4245為6千萬個<br /> ●硬碟儲存：2臺1.8 TB NVMe固態硬碟<br /> ●電源供應器：2臺1200瓦（110 AC）或2臺1900瓦（220 AC）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/9/23 01:13作者李宗翰https://www.ithome.com.tw/review/158775
【資安日報】9月22日，斥資280億美元重金，思科買下大數據資安業者Splunk
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週資安界有兩起併購案，分別是19日資安業者CrowdStrike買下應用程式安全態勢管理（ASPM）新創Bionic，以及21日思科買下大數據資安業者Splunk，其中又以思科和Splunk的併購案受到最多關注。</p> <p>值得留意的是，這起合併案早在2022年2月就傳出風聲，當時思科打算以200億美元買下Splunk，而現在實際成交金額達到280億美元，較先前傳聞多出4成。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織USDoD聲稱竊得信用評估業者環聯資料，環聯表示並未遭到入侵</span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/USDoD_leak.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/USDoD_leak.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，駭客組織USDoD於地下論壇宣稱，他們握有信用評估業者環聯（TransUnion）資料，當中包含約5.9萬人的敏感資料。</p> <p>對此，9月19日環聯發出聲明，表示他們知道有人在網路上公開包括環聯在內的多個組織資料，該公司尋求外部資安專家及鑑識人員進行調查，結果發現，環聯的系統並未出現遭到破壞的跡象，也沒有發現資料外流情形。他們比對被公開的資料，發現資料的格式、欄位皆與公司內部的不同，推測這些資料有可能是從其他組織流出。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/security/transunion-denies-it-was-hacked-links-leaked-data-to-3rd-party/">https://www.bleepingcomputer.com/news/security/transunion-denies-it-was-hacked-links-leaked-data-to-3rd-party/</a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://newsroom.transunion.com/transunion-statement-regarding-some-limited-online-activity-alleging-that-data-obtain-from-multiple-entities-including-transunion-will-be-released-read-full-statement/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-621256665" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://newsroom.transunion.com/transunion-statement-regarding-some-limited-online-activity-alleging-that-data-obtain-from-multiple-entities-including-transunion-will-be-released-read-full-statement/</span></a> </p>  <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客NoName057(16)疑發動DDoS攻擊，癱瘓加拿大機場旅客通關作業</span></strong></p> <p>根據加拿大新聞報（La Presse）的報導，俄羅斯駭客組織NoName057(16)對當地聯邦機構發動攻擊，導致9月17日該國各地的海關通關電腦故障，旅客入境處理延誤超過一個小時，蒙特婁機場（Aéroports de Montréal）最早透露此事，加拿大邊境服務局（CBSA）指出，駭客發起了DDoS攻擊，導致全國機場的自助通關終端機與電子閘道的連線出現異常，目前尚未發現旅客或其他個人資料外洩的情況。</p> <p>對此，NoName057(16)透過Telegram頻道聲稱確有此事，已鎖定加國多個組織發動攻擊，包括CBSA、加拿大航空運輸安全局、參議院。但攻擊者是否就是NoName057(16)？以CBSA而言，尚未證實。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.lapresse.ca/actualites/national/2023-09-19/agence-des-services-frontaliers/la-panne-dans-les-aeroports-provenait-bien-d-une-attaque-informatique.php" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-335213219" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.lapresse.ca/actualites/national/2023-09-19/agence-des-services-frontaliers/la-panne-dans-les-aeroports-provenait-bien-d-une-attaque-informatique.php</span></a><br /> 2. <a href="https://securityaffairs.com/151149/hacking/noname-ddos-attack-canadian-airports.html">https://securityaffairs.com/151149/hacking/noname-ddos-attack-canadian-airports.html</a></p> <p><a href="https://news.ltn.com.tw/news/society/paper/1539184"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">KKday前經理跳槽對手Klook涉嫌帶槍投靠，30萬元交保</span></strong></a></p> <p>旅遊公司Klook涉嫌利用競爭對手KKday的離職員工，蒐集內部資訊及系統漏洞，進行商業滲透及竊取營業秘密。近期判決出爐，臺北地檢署依妨害電腦使用及洩漏工商秘密等罪，諭令KKday前經理陳鈞暘30萬元交保，兩名Klook涉案員工陳柏安、孫儀芬分別以10萬元及3萬元交保。</p> <p>根據檢查官的調查，陳鈞暘任職KKday期間，蒐集公司的內部資訊、密碼、系統漏洞，2019年離職後，涉嫌帶槍投靠前東家的競爭對手Klook擔任資深副總監，將前東家的系統漏洞及內部資訊，洩露給Klook兩名員工，他們取得相關資訊後，自去年開始，涉嫌不法登入KKday的系統，竊取KKday合作廠商名稱、商品名稱、銷售數量、成本金額、客戶流量分析等商業機密的資料，嚴重侵害KKday的權益。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/apple/apple-emergency-updates-fix-3-new-zero-days-exploited-in-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果發布iOS 17.0.1、macOS Ventura 13.6，修補3個已被用於攻擊行動的零時差漏洞</span></strong></a></p> <p>9月21日蘋果針對旗下電腦、行動裝置、穿戴裝置發布<a href="https://support.apple.com/kb/HT213931">macOS Ventura 13.6</a>、<a href="https://support.apple.com/kb/HT213932">macOS Monterey 12.7</a>、<a href="https://support.apple.com/en-us/HT213926">iOS與iPadOS 17.0.1</a>、<a href="https://support.apple.com/kb/HT213927">iOS與iPadOS 16.7</a>、<a href="https://support.apple.com/kb/HT213928">watchOS 10.0.1</a>與<a href="https://support.apple.com/kb/HT213929">9.6.3</a>，以及<a href="https://support.apple.com/kb/HT213930">電腦版Safari 16.6.1</a>，當中總共修補3個由加拿大公民實驗室與Google威脅情報小組（TAG）通報的零時差漏洞。</p> <p>這些是權限提升漏洞CVE-2023-41992、簽章驗證繞過漏洞CVE-2023-41991、任意程式碼執行漏洞CVE-2023-41993，分別存在於系統核心、安全功能，以及瀏覽器排版引擎WebKit。值得留意的是，蘋果指出這些漏洞已被用於攻擊執行iOS 16.7以前版本的手機，呼籲使用者要儘速套用更新。</p> <p><a href="https://outpost24.com/blog/nagios-xi-vulnerabilities/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">網路監控軟體Nagios XI存在高風險漏洞，恐導致資訊洩漏或權限提升</span></strong></a></p> <p>資安業者Outpost24揭露網路監控軟體Nagios XI的漏洞CVE-2023-40931、CVE-2023-40932、CVE-2023-40933、CVE-2023-40934，這些漏洞與SQL注入與跨網站指令碼（XSS）有關，CVSS風險評分介於5.4至8.8分，影響5.11版以前的Nagios XI。</p> <p>其中的CVE-2023-40931、CVE-2023-40933、CVE-2023-40934為SQL注入漏洞，分別允許具備不同權限的攻擊者存取資料庫欄位，有可能藉此進一步提升權限，然後取得敏感用戶資料，如：密碼雜湊值、API的Token等。對此，Nagios於9月11日發布5.12版Nagios XI予以修補。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/158878"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科以280億美元買下大數據資安業者Splunk</span></strong></a></p> <p>去年2月，思科就傳出打算斥資200億美元買下大數據分析資安業者Splunk，今年9月21日，思科突然正式宣布與Splunk簽署併購協議，將以每股157美元買下，將以每股157美元買下Splunk，總價約為280億美元，成為該公司史上最大的併購案。</p> <p>思科表示，雙方的結合可望帶來混合與多雲環境的可觀測性，讓客戶得到流暢的應用程式體驗，推動數位業務，並提供自裝置、應用程式至雲端的安全分析。雙方預計於明年第三季完成交易，Splunk總裁暨執行長Gary Steele會加入思科的執行領導團隊。消息傳出後，當日Splunk股價上漲20.77%，以144.43美元作收，思科股價微幅下滑3.89%，收在53.34美元。</p> <p>資料來源</p> <p>1. <a href="https://newsroom.cisco.com/c/r/newsroom/en/us/a/y2023/m09/cisco-to-acquire-splunk-to-help-make-organizations-more-secure-and-resilient-in-an-ai-powered-world.html">https://newsroom.cisco.com/c/r/newsroom/en/us/a/y2023/m09/cisco-to-acquire-splunk-to-help-make-organizations-more-secure-and-resilient-in-an-ai-powered-world.html</a><br /> 2. <a href="https://www.splunk.com/en_us/newsroom/press-releases/2023/cisco-to-acquire-splunk-to-help-make-organizations-more-secure-and-resilient-in-an-ai-powered-world.html">https://www.splunk.com/en_us/newsroom/press-releases/2023/cisco-to-acquire-splunk-to-help-make-organizations-more-secure-and-resilient-in-an-ai-powered-world.html</a><br /> 3. <a href="https://www.ithome.com.tw/news/149369">https://www.ithome.com.tw/news/149369</a></p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資安業者CrowdStrike買下ASPM新創Bionic</span></strong></p> <p>9月19日資安業者CrowdStrike宣布，他們將買下應用程式安全態勢管理（Application Security Posture Management，ASPM）新創公司Bionic，併購後，對於CrowdStrike的雲端原生應用程式防護平臺（CNAPP）Falcon而言，預計提供ASPM延伸功能，從雲端基礎設施到應用程式及服務，提供更為全面的風險能見度。</p> <p>除了將ASPM命名為Falcon Cloud Security整合到CNAPP系統，該公司也打算將Bionic的解決方案做為獨立產品銷售。而對於本次交易的金額，CrowdStrike將拿出約3.5億美元的現金及股票來進行併購，並預計在第3財季完成。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.crowdstrike.com/press-releases/crowdstrike-to-acquire-bionic-to-extend-cloud-security-leadership/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--301695714" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.crowdstrike.com/press-releases/crowdstrike-to-acquire-bionic-to-extend-cloud-security-leadership/</span></a><br /> 2. <a href="https://www.securityweek.com/crowdstrike-to-acquire-bionic/">https://www.securityweek.com/crowdstrike-to-acquire-bionic/</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.securityweek.com/mgm-resorts-computers-back-up-after-10-days-as-analysts-eye-effects-of-casino-cyberattacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">旅館集團美高梅在遭遇勒索軟體攻擊的10天後恢復正常</span></span></strong></a></p> <p><a href="https://www.securityweek.com/atlassian-security-updates-patch-high-severity-vulnerabilities/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Atlassian修補旗下Jira、Confluence、Bitbucket、Bamboo漏洞</span></span></strong></a></p> <p><a href="https://www.securityweek.com/omron-patches-plc-engineering-software-flaws-discovered-during-ics-malware-analysis/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">歐姆龍修補PLC、工程軟體的漏洞</span></span></strong></a></p> <p><a href="https://sec-consult.com/vulnerability-lab/advisory/authenticated-remote-code-execution-missing-authentication-atos-unify-openscape/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">網路電話Atos Unify存在漏洞，恐讓駭客在系統設置後門</span></span></strong></a></p> <p><a href="https://www.secureworks.com/research/gold-melody-profile-of-an-initial-access-broker"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織Gold Melody向勒索軟體駭客兜售存取組織的管道</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/158872"><strong>【9月21日】中國駭客假借寄送發票的名義發動網釣攻擊，目的是散布新型態的木馬程式ValleyRAT</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158845"><strong>【9月20日】面臨攻守極度失衡的局勢，FBI局長呼籲民間企業與政府積極合作，並將FBI納入資安防護計畫</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158816"><strong>【9月19日】 Juniper甫修補的中等風險漏洞恐遭低估，研究人員發現能用於發動RCE攻擊，近1.2萬臺設備曝險</strong></a></p> </div></div></div>
2023/9/22 16:29作者周峻佑https://www.ithome.com.tw/news/158896