iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 11篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 10:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Windows 11透過GPU顏色矩陣硬體元件，實現無延遲顏色過濾器應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/directx/enhanced-color-filter-controls-for-windows-11/">微軟</a>在Windows 11上的顏色過濾器設定添加新選項，讓開發者可以調整過濾器強度和顏色增強，以更好地控制在顯示器上所呈現的顏色，並且最佳化濾色器的效能，消除在全螢幕遊戲和影片上應用顏色過濾器所產生的延遲。</p> <p>在Xbox Series X|S主機和Windows裝置上，微軟皆提供使用者套用過濾器功能，目的是要提升色盲或是色弱使用者的視覺體驗。透過過濾器，他們能夠更簡單地辨識出平常難以看清的顏色，無論是在遊戲、串流內容到Excel圖表，這些顏色過濾器都能發揮作用。由於色盲的嚴重程度因人而異，讓使用者能夠根據需求調整過濾器的設定就變得非常重要，他們可以透過變更過濾器改變顏色的鮮豔度，達到更好的視覺效果。</p> <p>而現在，這項功能會利用GPU上的專用顏色矩陣硬體，最佳化螢幕上顏色過濾器的應用方式，顏色矩陣硬體能夠快速且精確地處理顏色轉換，大幅提高顏色過濾的效率和精準度。由於顏色矩陣硬體元件能夠以數學運算，像是矩陣乘法的方式來計算顏色，使得顏色過濾更為快速，特別是在全螢幕應用的時候。</p> <p>過去沒有顏色矩陣硬體支援，顏色過濾器需要額外增加一個影格的延遲，並且無法應用部分全螢幕最佳化，而現在微軟在顏色過濾上支援GPU加速，使這些問題得以解決，而且大多數現代GPU都擁有顏色矩陣硬體元件，所以在應用顏色過濾時皆可達到低延遲高效能。</p> </div></div></div>
2023/9/29 10:57作者李建興https://www.ithome.com.tw/news/159037
駭客成功的祕密
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-bian_tong_si_wei_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">先覺出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>我原本沒打算研究變通思維的；我是在想方設法處理複雜問題時誤打誤撞。當上大學教師之前，我的背景結合了一大堆看似互不相干的活動。我走過的道路結合了我對進取精神的熱愛，以及對社會、環境挑戰的關切，例如：貧窮、不平等和氣候變遷。我共同創立過公司、指導過高階主管、投入過非營利事業，也擔任過各種背景的專案顧問，從大公司高層、跨政府組織，到亞馬遜偏遠地區和散布巴西各角落的貧民窟。</p> <p>顧問工作讓我有機會一探與我成長背景截然不同的現實。不過，不論我是為高所得國家建議科技政策，或是在雨林裡為傳統居民評估社會方案，我的報告（其實還有我讀過的所有研究）都包含大同小異的建議，例如：「更積極主動地合作」「增進協調配合」和「致力於長期規畫」。這些建議沒有錯，只是太籠統。它們並未提出接下來的步驟，特別是在問題棘手、不容許我們耐心等待解決方案的情境。</p> <p>於是我對經營管理人士的幻想逐漸破滅：看來商業大師傾向忽視那些沒有直接付薪水給他們的群體。更糟的是，過去十年，大公司一直試圖說服非營利組織向他們看齊。但我和非營利組織合作的經驗告訴我，小組織也會造成莫大衝擊，而且大企業能向他們學習到很多事。我把這些小型組織稱為「雜牌軍」，他們鬥志高昂、足智多謀，還在強權的邊緣作戰。雜牌軍組織腦筋要動得快，雖然明顯有些支絀，他們往往能出奇制勝、存活下來。但在商業世界，向這些「醜小鴨」學習創新的機智和務實的精巧，卻是無人探索的領域。</p> <p>這鼓舞我注意那些掀起衝擊巨變的「叛逆者」──甚至罪犯。有一次，在工作延誤之際，我偶然在《紐約時報》讀到電腦駭客兼網路犯罪分子亞伯特．岡薩雷茲（Albert Gonzalez）轟動一時的故事。十四歲時，他已經是一群駭入NASA的惡作劇電腦怪客的首腦，在一九九五年吸引聯邦調查局注意。十三年後，幾乎沒有額外受過什麼正式訓練的他，犯下世界規模最大也最複雜的一起身分盜竊案，因而遭到起訴。最後統計，他和同夥聯手竊取了一億七千多萬組信用卡及ATM號碼。</p> <p>別誤會，我不是對岡薩雷茲的惡意動機深感興趣，只是訝異，他，以及其他許多駭客，在資源貧乏又欠缺訓練之下，竟能破解電腦系統。我對程式碼的事一無所悉，但駭客激起我的好奇，只是我當時找不到更多有關他們的資訊。管理學者似乎只在事關網路安全時才會對駭客感興趣，新聞記者則似乎更有意強化駭客的負面刻板印象，而非揭露他們究竟是怎麼駭的。儘管他們在電腦螢幕後面幹的事情令人著迷，對於他們的方法，我們卻知之甚少。</p> <p>所以，我知道我該多去了解「駭」這件事了。</p> <p><span style="font-size:28px;"><strong>我們可以向駭客學習什麼？</strong></span></p> <p>我們可以向駭客學習什麼，並運用他們的方法來解決這個世界在社會環境方面最急迫、風險最高的挑戰？</p> <p>在我進行研究之前，學術界從不把「駭」視為理解或促成現實世界變革的手段。我從訪問駭客、弄清楚他們是怎麼做出那些事情著手。我發現迎面處理障礙是人的天性，但這往往會致使我們迎頭撞壁。駭客的祕密在於他們會蜿蜒穿過未知的領域，不正面對抗擋住去路的瓶頸，而是設法迂迴處理。這些變通辦法或許無法一舉解決全部問題，但能立刻讓駭客取得夠好的小成果──而且「快贏」有時可為出乎預料的重大改變奠定基礎。</p> <p>駭客把事情搞定的方法也讓我了悟：人通常會遵循傳統觀念，而傳統觀念會簡化我們對日常工作的反應。不妨想想你做一連串事情的「方法」：你製作義大利麵團的方法、使用榔頭的方法、應付權威的方法、寫電子郵件的方法……這些清楚的規則或慣例固然能助我們在不過分操勞的情況下把事完成，但也會使我們麻木，限制我們看見和追求無窮的可能性。不知不覺中，我們不會再去探索其他做麵團或用榔頭的方式，也下意識排斥新的因應權威之道，以及具有創意的電子郵件寫法。</p> <p>隨著我深入線上駭客社群，我也發現「駭」不限於電腦世界。Gmail創辦人及首席開發師保羅．布赫海特（Paul Buchheit）說過：「只要有系統，就有駭入的可能，而人間處處有系統。」</p> <p>這項發現是我研究的轉捩點。我恍然大悟，我最初的前提錯了；常被商業世界視為「雜牌軍」的組織，基本上就是在「駭」他們自己的問題──就算他們不是用這個詞。經由迂迴繞過重重障礙，他們處理了至關緊要的問題，特別是就算竭盡所能也看似難以解決的麻煩，有時還能留下寶貴的遺產。</p> <p>於是我將研究主軸置於探究「創變者」──企業家、學者、公司、非營利組織、社團，甚至還有決策者──是如何繞過障礙，在網內和網外「駭」掉形形色色的問題，從回應世界最棘手的一些挑戰，如全球疫情、性別不平等和貧窮，到各種日常不便。這個主軸帶我到意想不到的地方，讓我有榮幸能向雜牌軍組織學習，雖然他們並未得到應有的舉世讚譽。</p> <p><span style="font-size:28px;"><strong>變通大師的共同點</strong></span></p> <p>所有偉大的探索性研究都是從厚臉皮的窺探開始。憑藉蓋茲基金會、劍橋大學、福特基金會、桑坦德銀行、IBM政府事務中心研究獎助金的幫助，我在三年內多次訪問九個國家，研究「獨行俠」如何採用駭客般的手法處理醫療、教育、墮胎權、階級偏見、公共衛生、貪污等迫切問題。在追求「聰明修正法」的過程中，一群超乎想像的頂級橫向思考家，從醫師、部落領導人到社運人士，讓我獲益良多。</p> <p>這些開拓者有什麼共同點呢？他們怎麼處理各自的問題呢？這些問題幫我找出一些反覆出現的主題：這些變通大師多半不信任權威、靠緊急事件不斷進步與壯大、思考跳脫傳統、行動隨機應變。然而，就算這些初期觀察對我的論文大有幫助，但感覺比較像導言而非結論。我愈思考這些規律，就愈想把焦點擺在透徹了解變通的方法。我鑽研訪談的逐字稿「讓資料說話」（研究人員相當喜愛的技術），盼能找出所有案例的脈絡。可惜的是，那些對話都是偏向一方的，我可不想把自己的資料扭曲成不可靠的自白。所以我往後退，重新把每個案例當成它自己的故事探究。一開始發生了什麼事？再來？再之後呢？</p> <p>出乎意料的，我發現雖然場景、人物和情節設計各異，但這些故事竟然以類似的模式開展。當我抽離這些資料，細看每一個案時，規律冒出來了。我所有故事的主人翁都起碼用了四種變通方法的一種，我將它們命名為：搭便車、鑽漏洞、迂迴側進、退而求其次。</p> <p>一認出這四種途徑，我開始發現，原來到處都是變通方案。當然，特立獨行的雜牌軍可能特別擅長運用這些靈活策略，但我逐漸注意到，變通方案不只出現在預算吃緊的創意組織，而是隨處可見，從影響深遠的法律案件到童話故事──我甚至發現它們散布在我決定不要學習的大公司。讓我意外的是，世界一些最強大的組織也會在面臨高風險和沒時間進行平常那種冗長決策過程時，訴諸雜牌軍的策略。</p> <p>藉由分享自己的研究，我的目標是讓你能發覺自己已經在用的變通思維，思考不同的策略可能怎麼改變你看待和因應挑戰的方式，並學會評估沿途遇上的新障礙，以及與之互動的基本原則。<strong><span style="color:#696969;">（本文摘錄整理自《變通思維》，先覺出版提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600_%E8%AE%8A%E9%80%9A%E6%80%9D%E7%B6%AD_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%85%88%E8%A6%BA%E5%87%BA%E7%89%88(1).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_先覺出版</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 變通思維（The Four Workarounds）</strong></p> <p>保羅．薩瓦加（Paulo Savaget）／著；洪世民／譯</p> <p>先覺出版</p> <p>定價：420元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-1P-%E8%AE%8A%E9%80%9A%E6%80%9D%E7%B6%AD-120.jpg" style="text-align: center; width: 150px;" /></p> <p><a href="https://www.amazon.com/stores/author/B0BHXCZ93N?ingress=0&visitId=3a9d586e-5dd8-41fd-af00-6c66f6898f61&store_ref=ap_rdr&ref_=ap_rdr" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Amazon</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>保羅．薩瓦加（Paulo Savaget）</strong></p> <p>劍橋大學博士，牛津大學工程科學系和賽德商學院副教授，專攻領域是創業精神、永續發展、體制變革和創新管理。</p> <p>他的研究工作重點是透過創業精神改造不公正的體制，曾在牛津大學史科爾社會企業家中心擔任博士後研究員，也在杜倫大學當過助理教授。在學術界之外，他共同創立過公司、指導過高階主管、投入過非營利事業，也擔任過各種背景的專案顧問，從大公司高層、跨政府組織，到亞馬遜偏遠地區和散布巴西各角落的貧民窟。</p> </div></div></div>
2023/9/29 09:00未署名https://www.ithome.com.tw/article/158814
【資安日報】9月28日，勒索軟體駭客組織RansomedVC聲稱入侵日本大型電信業者NTT Docomo，索討百萬美元…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數日前，勒索軟體駭客RansomedVC聲稱入侵Sony並竊得內部資料，引起資安界高度關切，雖然此事的真實性仍有待商確，但現在他們宣稱也竊得另一家日本大型企業NTT Docomo的內部資料，不同的是，這次駭客開出了明確的贖金價碼，不過並未公布從這家電信業者偷到的資料。</p> <p>有資安業者分析駭客從Sony竊得的資料，懷疑這兩起事件有關連，有可能是供應鏈攻擊事故導致。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.resecurity.com/blog/article/ransomedvc-in-the-spotlight-what-is-known-about-the-ransomware-group-targeting-major-japanese-businesses"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">繼聲稱竊得Sony內部資料，勒索軟體駭客RansomedVC向日本電信業者NTT Docomo勒索</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/bd4a850e54b44e17d62bb44f7d466773.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/bd4a850e54b44e17d62bb44f7d466773.png" style="width: 300px; float: right;" /></a>繼上週日（24日）聲稱入侵了日本大型企業Sony，勒索軟體駭客組織RansomedVC再度向另一家日本大型企業勒索。</p> <p>資安業者Resecurity發現，該駭客組織於26日宣稱入侵日本大型電信業者NTT Docomo的基礎設施，並搜括所有的資料，要該公司支付101.5萬美元贖回。若NTT Docomo不願付錢，駭客揚言將向歐盟主管機關舉報，並公開竊得的文件。</p> <p>而對於這些資料的來源，研究人員解析駭客從Sony竊得的檔案，推測是來自該公司工程師Hironobu，根據一名駭客組織成員在暗網論壇上的發文，該組織在23日公布2.4 GB的壓縮檔案，當中包含疑似來自工程師工作站電腦的帳密資料與SSH金鑰，在一筆存取sony-autotest.com的連線資料中，研究人員發現，連接這個網址時，會解析為NTT Docomo資料中心一臺主機的IP位址。兩起事件是否有所關連？研究人員認為有待釐清，但不排除NTT Docomo遭遇供應鏈攻擊的可能。</p> <p><a href="https://checkmarx.com/blog/surprise-when-dependabot-contributes-malicious-code/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客鎖定GitHub儲存庫，假借機器人程式Dependabot植入惡意程式碼</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/image-51.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-51.png" style="width: 300px; float: right;" /></a>資安業者Checkmarx揭露鎖定GitHub用戶而來的攻擊行動，駭客自今年7月，疑似先取得使用者的存取Token，然後利用自動化指令碼建立主旨為fix的提交程式碼訊息，而這段內容，看似使用者帳號dependabot[bot]所為，而讓使用者以為程式碼是由GitHub自動化相依性工具Dependabot加入。</p> <p>然而這些提交的內容會在專案植入惡意程式碼，解析機敏資料並傳送到攻擊者的C2伺服器，並竄改程式庫現有的JavaScript檔案，加入能夠從網頁表單竊取密碼的惡意程式。</p> <p>研究人員指出，攻擊者從7月8日至11日入侵了數百個GitHub儲存庫，當中有公開，也有僅限私人存取的儲存庫，多數是印尼用戶擁有的。根據受害者提供的資訊，攻擊者很有可能先滲透開發環境，進而取得個人存取Token（PAT）而得逞。</p> <p><a href="https://www.hertzbleed.com/gpu.zip/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露顯示晶片旁路漏洞GPU.zip，各家廠商的晶片組都有可能曝險</span></strong></a></p> <p>德州大學奧斯汀分校、卡內基美隆大學、華盛頓大學、伊利諾大學厄巴納香檳分校的研究人員發現新型態的顯示晶片（GPU）旁路攻擊手法GPU.zip，這項漏洞發生的原因與GPU的資料壓縮有關，GPU藉由這種方式節省記憶體頻寬並提高效能，而這項壓縮不需要軟體參與，研究人員便是透過創建特定的圖形模式，觀察GPU壓縮圖形模式的方法，再根據壓縮結果，猜測出部分秘密資訊。</p> <p>在GPU的資料壓縮行為當中，軟體不會知道GPU背景進行的壓縮動作。軟體開發者通常會認為，若無明確的壓縮指令，GPU不會進行資料壓縮，然而，實際上，硬體的確會自行壓縮，這樣的認知差異。就可能被攻擊者利用。研究人員利用最新版本的Chrome瀏覽惡意網頁進行概念性驗證攻擊（PoC），便能夠竊取另一個網頁洩漏的像素，而這個行為違反了瀏覽器的安全模型。</p> <p>他們今年3月向AMD、Apple、Arm、Intel、Nvidia、Qualcomm等GPU供應商，以及瀏覽器製造商Google通報，但目前僅有Google正在評估是否提供修補程式。而對於其他瀏覽器是否也會遭受GPU.zip攻擊？研究人員指出，Firefox、Safari並未符合相關條件，不易受到攻擊。</p> <p><a href="https://www.securityweek.com/chinese-gov-hackers-caught-hiding-in-cisco-router-firmware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客BlackTech竄改思科路由器韌體，入侵美國、日本跨國企業的網路環境</span></strong></a></p> <p>美國國家安全局（NSA）、聯邦調查局（FBI）、網路安全暨基礎設施安全局（CISA），以及日本國家資安事件整備與策略中心（NISC）發布聯合公告，中國駭客組織BlackTech竄改思科路由器的韌體，目的是隱匿攻擊行動，然後從子公司進一步滲透位於美國或日本的企業總部。</p> <p>這些機構表示，駭客為了在目標組織立足，會先從可透過網際網路存取的分支路由器下手，濫用企業網路對這些路由器的信賴關係，將其充當駭客的基礎設施，引入來自代理伺服器的流量，混雜到目標組織的流量，駭客再趁機部署惡意韌體並植入後門程式，而此後門程式會透過特定的TCP或UDP封包而啟用或停用，並使用SSH連線存取路由器，而不會留下連線記錄。</p> <p>對此，思科認為，駭客在這些攻擊當中，最常見的入侵手法是利用外洩的帳密或弱密碼，而非利用路由器的漏洞。</p> <p>資料來源</p> <p>1. <a href="https://media.defense.gov/2023/Sep/27/2003309107/-1/-1/0/CSA_BLACKTECH_HIDE_IN_ROUTERS_TLP-CLEAR.PDF">https://media.defense.gov/2023/Sep/27/2003309107/-1/-1/0/CSA_BLACKTECH_HIDE_IN_ROUTERS_TLP-CLEAR.PDF</a><br /> 2. <a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-csa-cyber-report-sept-2023">https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-csa-cyber-report-sept-2023</a></p> <p><a href="https://www.ithome.com.tw/news/159003"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資安業者Mandiant針對中國駭客的威脅提出警告，手法從社交工程逐漸轉向漏洞利用攻擊</span></strong></a></p> <p>資安業者Mandiant曾於10年前發布全球第一份指控中國軍隊涉及網路攻擊的調查報告「APT 1」，而在這份調查問世十年之後，該公司於近期舉辦了資安防禦會議mWISE Conference 2023提出警告，指出中國駭客的能力大幅進化，已有能力策畫他們必須耗時數個月才能釐清的網路攻擊行動。</p> <p>該公司對於中國駭客攻擊手法歸納三大轉變，包括系統性挖掘零時差漏洞（Zero Day）、利用網通設備的漏洞來入侵企業或組織，以及挾持家用或中小企業路由器、物聯網（IoT）設備，做為攻擊跳板。中國駭客逐漸捨棄社交工程手法，轉為利用威力更強大的零時差漏洞。Google Cloud Mandiant Intelligence首席分析師John Hultquist指出，利用零日漏洞來發動攻擊，可以一次性地造成大規模的攻擊，只要是使用相同網通設備、具有相同零日漏洞的企業或組織，就可以一網打盡。</p> <p>這些一再發生的零日漏洞事件明白告訴我們，中國有計畫性地投入大量資源，系統性挖掘網通設備的零時差漏洞，John Hultquist認為，中國有專門挖掘漏洞的實驗室。Google Cloud Mandiant Intelligence主席Sandra Joyce指出，今年有62個零時差漏洞被用於攻擊行動，中國占了大部分，他認為該國是製造零時差漏洞的機器。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.cisa.gov/sites/default/files/2023-09/A%20Hardware%20Bill%20of%20Materials%20Framework%20for%20Supply%20Chain%20Risk%20Management%20%28508%29.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為減少供應鏈中存在的資安風險，美國CISA發布新版硬體物料清單框架</span></strong></a></p> <p>為了有效評估供應鏈存在的資安風險，美國網路安全暨基礎設施安全局（CISA）與資通訊科技供應鏈風險管理（ICT SCRM）工作小組聯手，打造新版的硬體物料清單框架（Hardware Bill of Materials Framework，HBOM），藉由標準化命名、詳盡的元件資訊、明確的指引，從而協助降低採購硬體面臨的資安風險。此框架主要有以下3個重要的元件，分別是使用案例類別（附件A）、HBOM格式（附件B）、資料欄位分類法（附件C）。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://info.coalitioninc.com/rs/566-KWJ-784/images/Coalition_2023-Claims-Mid-Year-Update.pdf"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">今年上半資安險理賠飆升，原因是勒索軟體攻擊大幅增加</span></span></strong></a></p> <p><a href="https://www.proofpoint.com/us/blog/threat-insight/zenrat-malware-brings-more-chaos-calm"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客假借提供密碼管理軟體Bitwarden，散布惡意軟體ZenRAT</span></span></strong></a></p> <p><a href="https://chromereleases.googleblog.com/2023/09/stable-channel-update-for-desktop_27.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google發布電腦版Chrome 117，修補已出現攻擊行動的影音編碼器libvpx元件漏洞</span></span></strong></a></p> <p><a href="https://www.mozilla.org/en-US/security/advisories/mfsa2023-41/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Mozilla發布Firefox 118，修補高風險記憶體漏洞</span></span></strong></a></p> <p><a href="https://www.securityweek.com/macos-14-sonoma-patches-60-vulnerabilities/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">蘋果發布macOS 14 Sonoma，修補逾60個漏洞</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159005"><strong>【9月27日】 Sony傳出資料外洩，有2組駭客先後聲稱對其下手，取得多項內部機密的帳密資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158974"><strong>【9月26日】駭客組織Stealth Falcon針對中東政府機關下手，散布後門程式Deadglyph</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158960"><strong>【9月25日】埃及總統候選人遭到鎖定，攻擊者利用iOS零時差漏洞在手機植入間諜軟體Predator</strong></a></p> </div></div></div>
2023/9/28 17:12作者周峻佑https://www.ithome.com.tw/news/159036
資安分析事件記錄不離境，Palo Alto Networks在臺提供雲據點
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/palo_alto_cortex_cdl_tw-main.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以次世代防火牆、SASE、XDR等資安產品著稱的Palo Alto Networks，本月正式啟動Cortex臺灣雲端資料中心，新據點設立之後，臺灣用戶可就近使用Cortex系列的XDR、Xpanse、XSOAR、XSIAM、Data Lake，獲得更低延遲的資料存取速度而更能即時因應威脅，也能享有更大的使用彈性，可根據需求彈性調整資源，更重要的意義在於，能將相關資料保留在臺灣本地，避免因跨境存放資料而衍生風險，確保遵循法規。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-09-Palo Alto Cortex Cloud location.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-Palo%20Alto%20Cortex%20Cloud%20location.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，上述解決方案過去都已陸續在臺灣市場推出，Cortex Data Lake會是最新主打的資安應用，可收集、轉換、整合企業的安全資料，並將其存放在設置在特定地區的雲端據點。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-Palo%20Alto%20Cortex%20Cloud%20service.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-Palo%20Alto%20Cortex%20Cloud%20service2.jpg" style="width: 600px;" /></p> <p>回顧Cortex系列產品線的發展，Data Lake其實是與XDR並列為第一波發表的解決方案，早在2019年2月，Palo Alto Networks發表威脅偵測與應變系統Cortex XDR，以及端點安全系統Traps 6.0，首度提及Cortex Data Lake，它先前稱為<a href="https://live.paloaltonetworks.com/t5/blogs/blogarticleprintpage/blog-id/CommunityBlog/article-id/919">Logging Service</a>，主要功能是收集與儲存所有的事件記錄資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2019-06-Cortex Data Lake logging_service.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2019-06-Cortex%20Data%20Lake%20logging_service.jpg" style="width: 298px;" /></a><a href="https://s4.itho.me/sites/default/files/images/2018-Palo Alto Networks Logging Service-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2018-Palo%20Alto%20Networks%20Logging%20Service-1.jpg" style="width: 298px;" /></a></p> <p>他們表示，有了這項平臺，用戶可將大量經過正規化處理的資料，安全存放在裡面進行分析，能用於進階的人工智慧與機器學習應用，以便更快找到潛藏的資安威脅，並且指揮對應的應變復原工作執行。</p> <p>根據該公司技術社群部落格後續發布的文章指出，Cortex Data Lake是基於雲端服務而成、集中儲存事件記錄，而且能免除用戶持續維護與監控負擔的基礎架構，先前企業須同時建置同廠牌的防火牆管理系統Panorama，才能使用這項功能，但<a href="https://live.paloaltonetworks.com/t5/blogs/cortex-logging-without-panorama/ba-p/268052">等到PAN-OS 9.0.2版推出之後</a>，Palo Alto Networks的網路防火牆系統可安全連接Cortex Data Lake，並將事件記錄轉送至此存放。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2021-01-Cortex Data Lake-logging-service-quota-allocation-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-01-Cortex%20Data%20Lake-logging-service-quota-allocation-web.jpg" style="width: 600px;" /></a></p> <p>而在吸納的事件記錄資料類型上，Cortex Data Lake涵蓋多種資安產品，例如，該公司的次世代網路防火牆系統、端點安全系統Traps，以及SASE系統 Prisma Access，透過這些資訊提供完整的真實性。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-Cortex Data Lake original.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-Cortex%20Data%20Lake%20original.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2019-Cortex Data Lake integration.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2019-Cortex%20Data%20Lake%20integration.jpg" style="width: 298px;" /></a></p> <p>Palo Alto Networks表示，這裡面存放的每一份網路記錄帶有數百個資料點，可包含惡意軟體預防服務WildFire產生的中繼資料，後續交由人工智慧與機器學習技術處理時，能憑藉這些真實資訊，提升判斷精準度。</p> <p>目前有哪些產品可運用存放在Cortex Data Lake的資料？Cortex XDR、Panorama、Prisma Access當然是最先支援，前幾年推出的Cortex XSOAR、Cortex Xpanse也相繼支援。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-08-Palo Alto CDL Data flow.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-Palo%20Alto%20CDL%20Data%20flow.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，Cortex Data Lake本身坐落的機房也會配合相關的規範，目前的要求是需建置在遵循SOC 2 Type II標準的資料中心，所有傳輸資料都必須加密，用戶存取這項平臺所執行的應用程式，均需經由Cortex Hub這個入口、透過單一登入整合（SSO）的雙因素驗證身分。</p> <p>這幾年來，Palo Alto Networks持續在全球多個區域，設置位於當地的雲端基礎架構（資料中心）。以2023年截至目前為止，2月落腳<a href="https://www.paloaltonetworks.com/company/press/2023/palo-alto-networks-goes-all-in-with-new-cloud-infrastructure-investment-in-switzerland">瑞士</a>，7月在<a href="https://www.paloaltonetworks.com/company/press/2023/palo-alto-networks-to-deliver-best-in-class-cybersecurity-platforms-to-customers-in-poland-with-new-local-cloud-infrastructure">波蘭</a>推出雲端據點，9月則是進駐<a href="https://www.paloaltonetworks.com/company/press/2023/palo-alto-networks-cements-position-in-taiwan-with-new-local-cloud-infrastructure-investment">臺灣</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-09-Palo Alto Cloud Location.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-Palo%20Alto%20Cloud%20Location.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-09-Palo Alto Cloud Location-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-Palo%20Alto%20Cloud%20Location-2.jpg" style="width: 600px;" /></a></p> <p>Palo Alto Networks臺灣區總經理尤惠生表示，經過臺灣業務與技術團隊長達4年的努力爭取，以及用戶的支持，終於獲得總部對臺灣的加碼投資，將多項資安服務的雲端基礎設施設置在臺灣，而在全球各地，Palo Alto Networks已在87個國家設置雲端據點，這些機房通過的國際驗證標準累積有17種之多，所涵蓋的Palo Alto資安產品則有14款，能讓世界各國的企業與組織就地採用，對於臺灣的用戶而言，在不離境或到海外佈點均可在這樣的服務架構之下，獲得保護與支援。而由於能符合本國的法規要求，對於他們開拓軍公教、金融領域的資安應用市場，也將帶來助益。</p> <p>既然Palo Alto宣布在臺灣設置雲端據點，令人好奇的是，會用哪一家業者提供的環境來進行相關的軟硬體部署？他們僅透露是三大公有雲業者之一，我們猜測應是Google Cloud。</p> <p>首先，目前只有Google Cloud在臺灣設置資料中心；另一個因素是近來兩家公司有密切合作關係——甫於8月底舉行的Next年度用戶大會，Google Cloud宣布將推出新的<a href="https://cloud.google.com/blog/products/networking/whats-new-with-google-cloud-networking">雲端次世代防火牆服務</a>，名為<a href="https://cloud.google.com/firewall">Cloud Firewall Plus</a>，當中整合的資安技術恰巧是由Palo Alto Networks提供。</p> <p>而在Palo Alto Networks宣布在臺設置雲端據點的消息之後，我們也請他們提供一些操作設定的畫面，呈現實際的使用方式，方便大家更具體了解這方面的技術應用型態。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cortex%20XDR%20Tenant%201.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Cortex%20XDR%20Tenant%202.png" style="width: 298px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/CDL _Taiwan-Web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CDL%20_Taiwan-Web.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Palo Alto Networks Cortex Data Lake</strong><br /> ●原廠：Palo Alto Networks<br /> ●建議售價：廠商未提供<br /> ●支援的資安產品：次世代防火牆系統與網路防火牆管理系統Panorama（作業系統需為PAN-OS 8.0.5以上版本）、SASE安全存取解決方案Prisma Access、端點偵測與應變系統Traps（5.0以上版本）與管理服務、威脅偵測與應變服務Cortex XDR<br /> ●採用的機房規格：遵循SOC 2 Type II的資料中心</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/9/28 17:27作者李宗翰https://www.ithome.com.tw/review/158618
資安技術厚積薄發
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於iThome近期報導的資安產品與服務，眼尖的讀者可能會發現，我們又開始介紹XDR（Extended Detection and Response）、NDR（Network Detection and Response）等類型的解決方案。</p> <p>其中一款是<a href="https://www.ithome.com.tw/review/158555" target="_blank">趨勢科技Trend Micro Vision One</a>，從端點、郵件、網頁、網路持續擴充防護，發展到XDR、外部攻擊面管理（EASM），另一款是<a href="https://www.ithome.com.tw/tech/158770" target="_blank">Vectra AI的系統</a>，基於NDR而成，延伸至CDR（Cloud Detection and Response）、ITDR（Identity Threat Detection and Response）用。</p> <p>能夠廣泛涵蓋並針對各個關鍵存取位置提供威脅防護，是這類資安解決方案最顯而易見的特色，而隱藏在背後的技術應用，則是持續進行、規模龐大的資安大數據處理，廠商會透過資料湖進行收集、彙整、分析，之後基於這些內容來執行威脅的偵測與因應。</p> <p>事實上，早在企業級防毒軟體與網路防火牆的產品應用，就開始進行這樣的資訊整合工作，後續隨著各種端點電腦、網路設備、應用伺服器，以及資安系統的發展與普及。</p> <p>而為了協助企業能夠有效掌握這些環境是否存在網路威脅與可疑活動，市面上陸續出現安全資訊與事件管理系統（SIEM）、使用者與實體行為分析系統（UEBA），進行相關資訊的彙整與分析；之後，開始有資安廠商推出各式威脅偵測與應變系統（Threat Detection and Response，TDR），例如，用於端點環境的EDR、用於網路環境的NDR，用於多種IT存取管道的XDR，以及提供廠商代管模式的MDR，這些資安解決方案具有異常活動的持續偵測與分析之餘，也提供一定程度的主動應變機制，像是發布警示通知、自動執行緩解與阻擋，不只是知道自己正在挨打、處於被滲透的狀態，也能即時啟動半自動或全自動的處理程序。</p> <p>除了跨系統資訊整合，強化威脅識別、去除偵測盲點與死角，對於跨系統資安危機處理執行，也出現安全調度指揮、自動化與應變系統（SOAR），提供即時緩解與阻擋。</p> <p>面對許多資安產品與服務，無論是最普遍的防毒軟體與網路防火牆、過去被視為導入門檻較高的SIEM，或是目前逐漸躍居主流的TDR，以及強調跨系統調度與自動化處理等特性的SOAR，當企業實際使用時，可能會以資安維運中心（SOC）的整體角度，檢視能否在網路攻擊過程的前、中、後等階段，提供應有的功效，以及輔助快速處理的方法。</p> <p>隨著IT技術的不斷演進，雲端服務、大數據、機器學習的相繼崛起，促成當代資通訊環境的質變與量變，而長達三年的COVID-19疫情與遵循2050淨零排放的勢在必行，加速全球推動數位轉型與擁抱公有雲服務的腳步，對於資安而言，不僅面臨內外邊界全面消弭的巨大挑戰，同時，也替用戶與廠商帶來擴充與改善防護架構的新機會。</p> <p>從網路安全課程訓練機構SANS今年6月揭露的SOC大調查結果，也可看到相關趨勢。</p> <p>在SOC基礎架構的部署狀態上，比例最高的是集中為單一SOC，無論是目前或未來一年內，都超過3成；其次是基於雲端架構而成的SOC服務（Cloud-based SOC services），部署比例目前逼近2成，未來一年部署比例為24.7％。對照前幾年的調查結果，2021年Cloud SOC部署率為12.9％，2022年為15.2％，可看出今明兩年成長幅度變大。</p> <p>而在SOC應用的資安技術上，今年需求最大的類型，包含：次世代網路防火牆、電子郵件安全系統（SWG與SEG）、EDR或XDR，以及端點作業系統監控與事件記錄；其次是惡意軟體防護系統（端點／主機）、VPN存取防護與控制、SIEM。</p> <p>而在聘雇新進資安人員時，在評估對方熟悉資安技術或工具的類型上，企業最看重的是EDR或XDR，以及SIEM，比例均超過25％，超過10％的有主機弱點矯正、網路流量監控、主機行為分析與偵測、勒索軟體預防、威脅獵捕。</p> <p>事實上，在這份調查報告當中，總共列出的資安技術或工具，洋洋灑灑，將近50種之多，一方面突顯企業要做好資安防護，往往會面臨難以選擇的挑戰，一方面象徵資安應用的蓬勃發展，這些都是長年持續發展累積的成果，而且也經過企業實際應用與市場的洗禮而來，彌足珍貴，也因為有充實的技術基礎，解決資安問題更能得心應手。</p> <p><a href="https://www.ithome.com.tw/article/159015" target="_blank"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 相關報導 </span></span></strong><span style="font-size:18px;"><strong><span style="color:#FFFFFF;"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1149-feng_mian_p1-open-zheng_han_-960x420_kao_bei_0.jpg?itok=XAiCY5ZO" style="width: 550px;" /></span></strong></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/soc">SOC</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89%E7%B6%AD%E9%81%8B%E4%B8%AD%E5%BF%83">資安維運中心</a></div></div></div>
2023/9/28 16:22作者李宗翰https://www.ithome.com.tw/voice/159002
Mistral AI開源輕巧高效能語言模型Mistral 7B
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人工智慧新創公司Mistral AI以Apache 2.0授權<a href="https://mistral.ai/news/about-mistral-ai/">開源Mistral 7B語言模型</a>，Mistral 7B的特別之處在於其規模較小僅有73億，但是在所有基準測試上，其表現都優於規模更大的語言模型Llama 2 13B，還具有編寫程式碼以及處理8,000個token的能力。</p> <p>整體來說，<a href="https://mistral.ai/news/announcing-mistral-7b/">Mistral 7B在多個基準測試</a>，包括常識推理、世界知識、閱讀理解、數學和程式碼等，表現亮眼，除了明顯優於Llama 2 13B之外，也和Llama 34B模型打成平手，其編寫程式碼的能力接近CodeLlama 7B，並且在英文任務中表現良好。</p> <p>在大規模多工語言理解（MMLU）基準測試上，Mistral 7B的表現相當一個3倍大的Llama 2模型，但是卻可大幅節省記憶體消耗，吞吐量也有所增加，其提供了更高的性價比。</p> <p>Mistral 7B運用了群組查詢注意力（GQA）加快推理速度，還使用滑動視窗注意力（SWA），以更小的成本處理較長的序列。群組查詢注意力方法分組多個查詢並且同時進行處理，透過這種方式，群組查詢注意力機制能夠減少重複計算，提高推理速度並降低運算成本。</p> <p>滑動視窗注意力機制則限制模型，在神經網路的每一個層級，只能關注前面一定範圍的token，這個限制視窗會根據模型的層數向前滑動，在更高的層數中，模型能夠間接關注序列中更早出現的token。運用這種方式，滑動視窗注意力機制可以降低計算和記憶體需求，並更高效地處理長序列，Mistral 7B每層注意前4,096個隱藏狀態，能夠以線性計算成本提高處理速度，特別是序列長度為16,000時，速度提高達2倍。</p> <p>這兩種技術組合使Mistral 7B在處理各種不同任務時，具有高效和靈活性，同時保持良好的可擴展性。</p> <p>另外，官方也運用公開指令資料集微調Mistral 7B，經過微調後的Mistral 7B Instruct模型在MT-Bench測試中表現良好，能夠與130億參數的聊天模型的效能相當。用戶現在可以下載Mistral 7B並立即開始使用，可以選擇部署在AWS、Azure和GCP等雲端平臺上，並且在vLLM推論服務和Skypilot框架上運行，同時還支援在HuggingFace平臺上使用。</p> <p>由於Mistral 7B採用Apache 2.0授權，因此用戶幾乎能夠不受限制地自由使用模型，Mistral AI官方認為，開源解決方案將會超越專有解決方案，因為開源能夠集結社群力量使得技術更加卓越，並且也只有開源模型才能夠對抗審查與偏見，並交給開發者完全的控制能力，可依照需求調整模型大小和成本。</p> </div></div></div>
2023/9/28 16:46作者李建興https://www.ithome.com.tw/news/159032
500美元的Meta Quest 3開賣了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.meta.com/zh-tw/blog/quest/meta-quest-3-pre-orders-asgards-wrath-2-bundle-vr-mr-headset-price/" target="_blank">Meta今日（9/28）正式開放</a>消費者預購新一代的混合實境（Mixed Reality，MR）頭戴式裝置Quest 3，標榜這是全球第一個鎖定大眾市場的MR裝置，與蘋果要價高達3,499美元的<a href="https://www.ithome.com.tw/news/157200" target="_blank">Apple Vision Pro</a>互別苗頭。內建128GB儲存空間的Quest 3售價為499.99美元，512GB版本的則是649.99美元，預計於10月10日上架。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0928-meta%20quest%203-600-2.png" style="width: 600px;" /></p> <p>Meta於全球包括臺灣在內的23個國家銷售Quest 3，只是上述兩個版本在臺灣的售價分別是529.99美元及689.99美元，內含頭載式裝置、內建的臉部襯墊，以及2個Touch Plus控制器。</p> <p><a href="https://about.fb.com/news/2023/09/meet-meta-quest-3-mixed-reality-headset/" target="_blank">Quest 3採用</a>了與高通（Qualcomm）共同開發的Snapdragon XR2 Gen 2平臺，其圖像處理能力為Quest 2的兩倍，可快速載入且強化了細節的呈現；所搭載的Infinite Display顯示器在解析度上比Quest 2多出30%；重新設計更輕薄與均衡的外型以加強配載的舒適度，也具備彈性的調整能力；另也改善了環繞音效的體驗。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0928-meta%20quest%203-(3).png" style="width: 400px;" /></p> <p class="rtecenter"><a href="https://www.youtube.com/watch?time_continue=10&v=5hgLkjfQ7oM&embeds_referring_euri=https%3A%2F%2Fwww.meta.com%2F&embeds_referring_origin=https%3A%2F%2Fwww.meta.com" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0928-meta%20quest%203.png" style="width: 600px;" /></a></p> <p>Meta還替Quest 3設計了各種配件，諸如70美元的頭帶，40美元的矽膠臉部襯墊，40美元的控制器腕帶，可增加2小時續航力的130美元電池，130美元的充電座，還有可用來攜帶Quest 3的收納盒，要價70美元。但這些配件在臺灣的售價也高了一些些。</p> <p>Meta表示，Quest 3相容於Quest 2的逾500款程式，且在今年底前將有超過100款針對Quest 3的新程式或升級版問世。Quest 3可自動繪製使用者的空間地圖，辨識牆壁、家具及物件，並讓它們成為虛擬空間的一部分，例如在遊戲中丟出一個虛擬的球，它會因為碰到真實的牆壁而反彈，與實體世界的整合能力也是Quest 3及Quest 2之間主要的差異之一。</p> <p>現在購買Quest 3可免費獲得價值60美元的《Asgard's Wrath 2》遊戲，若是購買512GB的版本，則可免費存取半年的Meta Quest+訂閱服務。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Meta</span></span></p> </div></div></div>
2023/9/28 16:10作者陳曉莉https://www.ithome.com.tw/news/159030
RansomedVC勒索軟體組織宣稱先後入侵Sony、NTT Docomo
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一個名為RansomedVC的勒索軟體駭客組織本周宣稱先後駭入日本大廠Sony及NTT Docomo，Sony已表示著手調查中。</p> <p>安全廠商<a href="https://www.resecurity.com/blog/article/ransomedvc-in-the-spotlight-what-is-known-about-the-ransomware-group-targeting-major-japanese-businesses" target="_blank">Resecurity</a>及媒體<a href="https://www.bleepingcomputer.com/news/security/sony-investigates-cyberattack-as-hackers-fight-over-whos-responsible/" target="_blank">Bleeping Computer</a>發現，本周一個自稱RansomedVC勒索軟體背後的駭客組織成員，在地下論壇上宣稱已成功駭入日本電子巨擘Sony所有系統，並取得240GB資料。由於Sony 拒絕支付贖金，駭客將以1萬美元為代價兜售手中所有資料作為報復，還說是根據歐盟隱私法，將向主管機關舉報。而為了支持其說法，這名用戶也公布了宣稱是屬於Sony的2MB資料，包含PowerPoint簡報檔、Java原始碼、Eclipse IDE螢幕擷圖。</p> <p>正當駭客公布資料同時，RansomedVC駭客又在地下網站發了另一則公告，宣稱駭入日本電信龍頭NTT Docomo，如同Sony的案例，他們也是向NTT Docomo要求101.5萬美元贖金。駭客說，若NTT Docomo不支付贖金，他們也會向歐盟主管機關舉報，可能也會公開手中持有這家電信龍頭的部份文件。</p> <p>至於RansomedVC是否真的駭入Sony也有疑點。儘管釋出資料作為證明，但駭客論壇上有名為MajorNelson的用戶宣稱他才是犯案者，RansomedVC只是想趁機詐財及蹭熱度。</p> <p>這名用戶還一舉公布了宣稱是Sony的2.4GB壓縮檔，解壓縮後成為3.14GB的資料，包括SonarQube、Creators Cloud、Sony 憑證，以及生成授權的裝置模擬器等</p> <p>Sony表示正在調查此事，並拒絕對此評論。</p> </div></div></div>
2023/9/28 13:37作者林妍溱https://www.ithome.com.tw/news/159022
Meta聊天機器人Meta AI上線，會互動、生成圖片，還有名人加持
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>周三在Meta Connect 2023大會上，<a href="https://www.meta.com/zh-tw/blog/quest/connect-2023-quest-3-ai-ray-ban-smart-glasses-metaverse/" target="_blank">Meta宣布多項產品</a>，除了最新VR頭戴裝置Quest 3外，也發表了可化身名人的聊天機器人Meta AI，將整合在WhatsApp、Instagram（IG）及Facebook Messenger和用戶互動，未來也會整合到智慧眼鏡和VR裝置中。</p> <p><a href="https://about.fb.com/news/2023/09/introducing-ai-powered-assistants-characters-and-creative-tools/" target="_blank">Meta AI</a>是以微軟和Meta合作的<a href="https://www.ithome.com.tw/news/157854" target="_blank">大型語言模型Llama2</a>為基礎開發而成，可透過文字與語音和用戶互動，執行用戶指令。Meta也整合了微軟Bing搜尋，可搜尋網際網路上最新的資訊。</p> <p>另一方面，為了讓Meta AI具備更多差異化特色，Meta還為Meta AI加入其他能力和特色。其中，Meta AI整合圖片生成模型Emu，允許用戶輸入文字指示在幾秒內生成圖片。Meta表示，Emu的圖片生成功能將可讓用戶自製AI體驗。這項功能下個月將部署給英語版WhatsApp、Facebook Messenger、Facebook Stories及IG用戶，例如編修IG的Avatar或加入背景，背景功能也運用了Meta的圖片分割模型Segment Anything Model。</p> <p class="rtecenter"><img alt="" src="https://about.fb.com/wp-content/uploads/2023/09/Backdrop_Inline-1.gif?resize=960%2C836" style="width: 400px;" /></p> <p>Meta也找來名人扮演Meta AI人物，包括美式足球明星Tom Brady、網球選手大阪直美、網紅YouTuber MrBeast、名媛Paris Hilton、及饒舌歌手Snoop Dogg等扮演運動教練、主廚、偵探、遊戲高手及舞蹈專家等角色。Meta說未來幾個月還會再增加更多Meta AI人物。</p> <p class="rtecenter"><img alt="" src="https://about.fb.com/wp-content/uploads/2023/09/Celebirties-in-Chat_Inline-1.gif?resize=960%2C720" style="width: 450px;" /></p> <p>Meta的企圖不只是在社交應用程式提供AI體驗，除了現有旗下App外，很快也會推向VR頭戴裝置Quest或Ray-Ban Meta智慧眼鏡。</p> <p>因此除了一般用戶外，Meta今天也發表了AI體驗的開發工具AI Studio。今天Meta已先以Beta測試版提供AI Studio打造的AI成果給美國市場，但他們未來幾周會將這工具開放給外部開發商，允許他們以Meta API打造第三方AI應用，第一步是Messenger，接著會擴及WhatsApp。企業則可使用AI Studio開發Meta應用程式的自有AI聊天機器人。Meta說，今年內會先推Alpha版，預計明年再擴大。</p> <p>至於創作者，也可開發Meta應用程式的虛擬體驗，如Avatar，這些AI創作都由創作者們直接控管。明年Meta也會提供沙箱技術，讓所有人實驗其AI創作。等這些內容日益豐富後，Meta會將沙箱搬上元宇宙，讓創作者也能打造VR/AR內容。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Meta</span></span></p> </div></div></div>
2023/9/28 13:13作者林妍溱https://www.ithome.com.tw/news/159021
ChatGPT網路瀏覽功能重新上線，即將開放所有用戶使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/OpenAI/status/1707077710047216095" target="_blank">OpenAI今日（9/28）宣布</a>，ChatGPT於今年7月因故暫停的付費功能Browse with Bing，已重新登上ChatGPT Plus及ChatGPT Enterprise，且很快就會開放所有用戶使用。</p> <p>因為用來訓練的資料集的關係，ChatGPT一向只能提供截至2021年9月的知識，無法因應最新資訊，使得ChatGPT自今年5月開始測試結合網路瀏覽的服務，繼之於6月針對付費版的ChatGPT Plus推出<a href="https://www.ithome.com.tw/news/157524" target="_blank">Browse with Bing</a>功能，卻因傳出<a href="https://www.ithome.com.tw/news/157627" target="_blank">該功能可被用來繞過付費牆</a>，而在上線不到一周就暫時關閉。</p> <p>本周OpenAI宣布重新開放ChatGPT的Browse with Bing功能，不僅同時支援ChatGPT Plus及ChatGPT Enterprise付費服務，很快也會擴大支援所有使用者。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0928-openai-browse%20with%20bing.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_OpenAI</span></span></p> <p>OpenAI表示，自今年5月開始測試瀏覽功能以來收到許多用戶意見，此次的更新包括更關注網站的robots.txt 爬梳政策與使用者代理（User Agent），以讓網站得以控制與ChatGPT之間的互動，也會在ChatGPT的解答中附上所參考的網站連結。</p> <p>現在ChatGPT的瀏覽功能僅限使用Bing，ChatGPT Plus與ChatGPT Enterprise用戶只要進入設定，選擇測試（Beta）功能，便能啟用Browse with Bing，之後在GPT-4中選擇Browse with Bing即可。</p> <p>對於那些需要最新資訊的任務而言，瀏覽功能特別有幫助，不管是在進行技術研究、選購自行車或是規畫假期上。其實除了ChatGPT之外，同樣基於GPT-4的Bing Chat已在Windows、Microsoft Edge、Chrome與Safari等平臺上都提供了瀏覽能力，而基於PaLM的Google Bard也已支援Chrome、Safari、Firefox、Opera及Edgium等瀏覽器，並帶來類似的能力。</p> </div></div></div>
2023/9/28 11:24作者陳曉莉https://www.ithome.com.tw/news/159016
Amazon證實微軟前產品長Panos Panay要至該公司任職
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/158810" target="_blank">Amazon周三（9/27）印證了市場傳言</a>，指出甫於本月自微軟離職的產品長Panos Panay，將在今年10月底至Amazon就職，接替即將退休的Dave Limp，負責Amazon的裝置暨服務業務，加入Amazon的S-Team並向執行長Andy Jassy彙報。</p> <p>在微軟待了19年的Panay原本負責的是Windows與Surface裝置，到了Amazon之後，也將負責Amazon的裝置暨服務業務，涵蓋Alexa、Echo、Kindle、Fire TV及Amazon Appstore等。</p> <p>原本擔任Amazon裝置暨服務資深副總裁的<a href="https://www.aboutamazon.com/news/company-news/svp-dave-limp-to-retire-from-amazon" target="_blank">Limp是在今年8月宣布退休計畫</a>，當時Amazon即表示會在幾周後發表繼任人選。</p> <p>Panay到任後將會與Limp進行交接，預計維持數個月，而Limp雖自Amazon退休，據傳實則是要去接管藍色起源（Blue Origin）的執行長一職。藍色起源為Amazon創辦人貝佐斯（Blue Origin）所創立的航太公司，現在的執行長為Bob Smith。</p> </div></div></div>
2023/9/28 11:41作者陳曉莉https://www.ithome.com.tw/news/159017
【2023資安SOC最新發展態勢】Cloud SOC發展受關注，雲地混合將成主流態勢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面對層出不窮的網路攻擊事件，建置與使用資安監控維運中心（SOC）的重要性已不言而喻，對於威脅的偵測與應變能力也在持續演進，從傳統被動處理朝向主動監控與回應，而在雲端服務的技術架構興起與普及之後，許多資安監控工具亦出現改用或搭配雲平臺的發展態勢，顯示企業資安防守範圍持續擴張，從內部網路一路延伸至公有雲服務環境，所使用的產品與服務也必須與時俱進。</p> <p>尤其是長達三年的COVID-19疫情推波助瀾，國內外企業積極推動數位轉型，而在上雲的腳步加快之餘，確保資安的要求也越來越高，然而，組態設定錯誤、未落實最小權限原則的狀況，仍屢見不鮮，導致頻頻爆出企業重要資料與民眾個資在公開網路「裸奔」的亂象，使得雲端資安監控成為企業維持日常營運的一大重點。</p> <p>這幾年以來，我們陸續看到國內外提供資安監控中心（SOC）服務的業者，紛紛標榜他們能提供Cloud SOC，並且各自有不同的設想與應對，大型雲端平臺業者也發展雲原生SIEM產品，究竟如今SOC與雲端的發展上，有那些重要變化？這次我們找了幾家臺灣SOC委外服務廠商，包括：安碁資訊、數聯資安，以及雲端大廠微軟與Google，共同探討企業上雲時代的SOC新樣貌。</p> <h2><strong>端點與網路資安技術的成熟與普及，有利於SOC主動監控防護應用</strong></h2> <p>早年大家認知的SOC，基本上是以日誌收集與稽核為主，資安監控屬於被動方式，使用的資安平臺，主要依賴防毒軟體、網路防火牆、入侵偵測／防禦系統（IDS/IPS），以及網站應用防火牆（WAF）等產品與服務。</p> <p>到了2010年代，隨著大數據處理技術成熟，加上防護技術隨著威脅態勢變化而不斷演進，許多新興的資安解決方案崛起，例如：網路威脅情資平臺、端點偵測與應變系統（EDR）、代管型偵測及應變服務（MDR）、網路偵測與應變系統（NDR），甚至於延伸式威脅偵測與應變系統（XDR），還有攻擊面管理系統（ASM），以及資安協調、自動化與回應系統（SOAR）等，這些都強調能與SOC平臺或服務進行協作與整合。</p> <p>歷經不同層面的資安威脅偵測、分析、應變技術進展之後，SOC得以分析更多面向的日誌與事件記錄，充分了解網路威脅活動之間的關聯，朝向更主動的監控防護。</p> <p>不過，SOC進化之下仍有諸多挑戰要面對，例如，隨著越來越多企業擁抱雲端服務，在這個相對不夠熟悉的環境，該如何做好資安監控，就是一大難題；再者，警示通知過多的狀況仍然存在，必須在有限的時間與人力掌握整體威脅態勢，因此，企業與廠商都希望能夠找到辦法，讓SOC運作得更有效率。</p> <h2><strong>雲端與地端環境差異大，企業重視SOC與雲原生SIEM平臺的結合</strong></h2> <p>企業針對內部環境（地端）透過自建或委外SOC進行監控，行之有年，現在要橫跨到雲端環境，與既有作法有很大區別嗎？</p> <p>單以日誌集中管理而言，基本上，不論在雲端或地端，其實都能蒐集到事件記錄，但兩種環境存在極大差異，需要注意的環節也不盡相同。而在因應雲端環境的資安監控需求，臺灣SOC服務廠商都已備妥對策，並提出具體作法。</p> <p>安碁資訊總經理吳乙南表示，傳統SOC採用的SIEM系統，對於各種系統、資安設備的日誌收集，大多需做到日誌解析或報表產製時的對照解析，面對公有雲服務商的系統功能快速更版，以及開放原始碼軟體的多樣性，若繼續維持傳統日誌解析的做法，將會對資安監控形成很大的阻礙。</p> <p>以傳統地端SOC角度來看，要時時追趕變動，會是很大的挑戰。安碁資訊結盟暨策略業務發展部處長張文棟表示，雲端服務或軟硬體系統廠商可能在某個日誌增加欄位，以呈現或表現新的資訊，讓資安監控系統或人員更好分析。但這些的變動將對SOC監控形成很大挑戰，因為一旦格式改變，SOC既有監控方式就有調整的必要，形成營運風險。</p> <p>細部來看，公有雲業者多以自行開發的系統平臺搭建SOC，大量使用開源軟體，並且能機動調整服務內容，因此，對於傳統地端SOC服務廠商而言，目前需持續提升了解與管理雲端環境的能力，否則趕不上技術層面的變化。</p> <p>不過，前幾年開始出現從雲服務原生平臺發展的SIEM產品，可以更好地因應這樣的局面。以微軟的Azure Sentinel SIEM為例，對於各種Azure原生軟體服務、資安方案與第三方資安方案，可保持其日誌整合的相容性，確保日誌解析、分析的完整性與一致性。安碁資訊認為，這是傳統SOC與其他公雲服務商目前無法完全做到的。</p> <p>因此，宏碁雲在2021年開始著手發展Cloud SOC，以微軟Azure Sentinel SIEM，以及微軟Defender for Endpoint為核心，跨足雲端，同時建立雲地監控中心混合互相回饋循環機制，並於2022年正式推出。</p> <p>他們看好雲原生SIEM平臺的使用，因為無論雲端環境的後端是如何變動，原生架構自然就能相容與支持，對他們的衝擊較小，即便是多雲環境，他們也看重微軟在此方面的整合能力，比其他家要領先，相對比較完整。</p> <h2><strong>聚焦多雲可見度整合監控，並借助MITRE Cloud Matrix設計監控情境</strong></h2> <p>另一家SOC服務業者也指出雲端SOC監控的挑戰，也發展出因應之道。</p> <p>數聯資安技術副總經理游承儒表示，過去幾年，他們發展雲端SOC監控的過程當中，發現原先設想的雲端監控場景，與現實有很大的落差。</p> <p>例如，他們原先認為能蒐集很多雲端環境的資訊，實際上，卻面臨可蒐集資訊太少的窘境。除了預設啟用的雲端服務使用日誌，多數企業只訂閱雲原生的應用程式防火牆服務，因此，蒐集目標還是只能以雲原生環境的日誌為主。但這也產生了另一問題，3大公有雲平臺本身都已有這方面的產品，數聯資安該如何進一步滿足客戶所需？</p> <p>也就是說，對於只用一朵公雲的用戶而言，可從業者的平臺獲得相應機制，因此他們開始看重多雲用戶、集中管理的需求，更深入從3大公雲原始日誌去分析，從裡面萃取出需要的資訊，再將之變成監控規則，並以雲地混合的角度作為切入。</p> <p>對於雲端與地端的落差，游承儒指出，最關鍵的原因在於，對雲端環境的認知與了解不夠深入。過去，企業對地端環境運作方式較熟悉，但對雲端認知不足，加上需考量多雲並用、混合雲因素——不只是三大公有雲，還有其他雲，這些環境的架構與設定，其實，都有最佳實踐（Best Practices）需要依循，若企業的雲端管理員未充分了解這些，就會產生很多脆弱點與打擊面。</p> <p>游承儒曾處理過不少這類狀況，具體而言，攻擊者會入侵企業地端環境，進而取得企業雲端上的Token。由於雲端服務使用的身分認證，大部分透過存取金鑰（Access Key），以及使用Token登入，因此駭客竊取後就能直接進入雲端環境發動攻擊。這就是不同於傳統地端的防護之處，也是上雲後容易發生的監控盲點。</p> <p>簡單來說，駭客針對傳統地端環境的攻擊，主要是針對漏洞的攻擊，而在雲端環境上，更常見到的攻擊手法是，駭客偷取企業組織合法的Token來入侵，進一步竊取資料與破壞。因此，面對這類的攻擊模式，相關監控場景還會包括：原本雙因素被取消，不當新增某個管理員，或是用戶登入不該登入的環境，以及異常IP位址登入等。</p> <p>以數聯資安的SOC服務發展而言，他們在2018年已經將自家監控中心底層換成Splunk，2022年開始跨入多雲監控，將三大公有雲的監控整合到既有平臺之內，也就是在同一個平臺上，就能做到不同公有雲的監控。</p> <p>特別的是，他們也提及在雲端監控的具體作法，是藉助MITRE ATT&CK框架的Cloud Matrix來對應。數聯資安數聯平臺整合部副理李茂義表示，他們在監控規則的開發，主要依循Cloud Matrix，進行情境式的比對。</p> <p>基本上，監控面向分為4大類，包括：應用程式安全、資料安全、身分識別存取管理、基礎設施安全。以身分識別與存取管理而言，借助Cloud Matrix，可以從入侵初期、持續潛伏、權限提升、憑證存取這四大階段，針對一些重要攻擊手法做比對，設計對應的監控規則。</p> <p>不僅如此，雲端服務內容與技術發展變化的速度快，他們每次在看MITRE的Cloud Matrix變動時，發現原廠可監控、分析的範圍越來越廣，越來越深入，因此他們持續關注該矩陣的內容，若有新變動，就能知道未來需要顧及的部分。</p> <p>根據兩家業者的說明，儘管在Cloud SOC的議題，有各自的應對方式，不過，他們均看重臺灣在雲地混合的發展潮流，並指出現在就已經發生，因此原本在地端的監控有延伸到雲端的必要。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89SOC%E9%80%B2%E5%8C%96_%E9%9B%B2%E5%9C%B0%E6%B7%B7%E5%90%88_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%95%B8%E8%81%AF%E8%B3%87%E5%AE%89.jpg" style="width: 600px;" /></p> <p><strong>聚焦雲地混合與多雲監控，做到即時雲地交叉關聯分析</strong><br /> 面對企業資安監控中心（SOC）的防護需求，數聯資安指出，他們設計了Level 1到Level 4的方案，讓客戶慢慢往高成熟度方向發展，以從最基本Level 1的日誌收集與監控，到大數據分析與調查，然後是自動化SOAR聯防的層次，以及Level 4雲地聯合防禦的整合性監控，做到即時雲地交叉關聯分析。（圖片來源／數聯資安）</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2NEW）SOC進化_圖片來源擷取自MITRE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962NEW%EF%BC%89SOC%E9%80%B2%E5%8C%96_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%93%B7%E5%8F%96%E8%87%AAMITRE.jpg" style="width: 600px;" /></a></p> <p><strong>MITRE ATT&CK框架Enterprise版已發展出Cloud Matrix，可協助識別雲端攻擊鏈</strong><br /> 對於SOC在多雲監控的發展，數聯資安提出具體說明，他們表示，會依據MITRE提出的Cloud Matrix來著手設計監控情境，主要聚焦於4大監控面向，分別是：應用程式安全、資料安全、身分識別存取管理、基礎設施安全，並會針對3大公有雲平臺不同的監控日誌，設計不同的監控規則。</p> <p class="rtecenter"><span style="font-size:18px;">１　<a href="https://www.ithome.com.tw/news/158987"><span style="background-color:#D3D3D3;">２</span></a>　<a href="https://www.ithome.com.tw/news/158988"><span style="background-color:#D3D3D3;">３</span></a>　<a href="https://www.ithome.com.tw/news/158989"><span style="background-color:#D3D3D3;">４</span></a>　<a href="https://www.ithome.com.tw/news/158990"><span style="background-color:#D3D3D3;">５</span></a></span></p> </div></div></div>
2023/9/28 10:53作者羅正漢https://www.ithome.com.tw/news/158986
【2023資安SOC最新發展態勢】朝向自動化，資安監控中心整合SOAR已成重要發展趨勢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本次封面故事報導中，我們不只是<a href="https://www.ithome.com.tw/news/158986">聚焦探討Cloud SOC的議題</a>，同時也關注到，近期另一個SOC平臺積極強化與推廣採用的資安防護技術－－SOAR（Security Orchestration, Automation, and Response）。事實上，前幾年SOAR的發展已受國際關注，如今這技術對SOC平臺更為關鍵，臺灣資安服務廠商也開始應用。</p> <h2><strong>不只雲原生SIEM＋SOAR整合應用出現，近兩年臺灣SOC服務業者也在採用</strong></h2> <p>SOAR之所以被看重，簡單來說，就是讓原本即時通報、判讀、進行基本調查與處置的作業，都可以變得更自動化，這也意謂增強與擴充了SOC資安監控人員的能力，並能夠專注於更重要的事情，像是針對調查報告結果作出決策，確認這個告警是否為真，如果認為是可疑活動，再決定相應的封鎖。</p> <p>前一段時間微軟亞太區首席網路安全顧問Abbas Kudrati來臺，我們與其討論如何看待Cloud SOC，他認為，對於微軟而言，「雲原生SIEM（Cloud Native SIEM）」這個稱呼，會比「Cloud SOC」一詞更貼切。</p> <p>Abbas Kudrati指出，持續移向雲端是微軟的重要策略，他在2018年便開始推動雲原生SEIM平臺的打造，該產品在2019年正式推出，也就是Azure Sentinel，特別的是，當時他們就已經將SOAR包含在內，也就是說，這是SIEM與SOAR功能整合的平臺。</p> <p>他認為，雲原生SIEM的好處在於，很大程度減少了硬體的費用，尤其是維護與維運方面，能夠彈性擴展，也內建使用者行為分析（UEBA）解決方案，不用個別添購。而且，微軟內部也使用Azure Sentinel監控自身資安狀態。</p> <p>另一家主要公雲業者Google，也提供雲端資安監控的服務，他們旗下的Chronicle SIEM，最早可以追朔到2019年。Google Cloud客戶解決方案架構師鄭家明表示，早期其實這是Google內部在使用的工具，後來將之轉為對外供應的產品。</p> <p>特別的是，關於Cloud SOC，所有提供的服務都在雲端的Google，並不需要處處強調雲端資安，而是較常以SecOps一詞來探討這方面的應用，像是他們的Chronicle Security Operations解決方案，就是聚焦在資安維運的面向。</p> <p>鄭家明指出，現代化安全維運模式該有的樣貌，以Google目前發展而言，涵蓋三大重點，包括Chronicle SIEM、Chronicle SOAR，以及GCP旗下VirusTotal與Mandiant的情資，還將與Mandiant的攻擊面管理（ASM）整合。其中，結合威脅情資較早獲得重視，Chronicle SOAR則是最新進展，是2022年併購以色列資安新創Siemplify產品轉化而成，並運用Google的資源加以強化，並與Chronicle SIEM的方案整合。</p> <p>在國內，對於SOAR的採用態勢也日益明朗，最近兩年已開始獲得越來越多SOC業者的採用。</p> <p>例如，安碁資訊總經理吳乙南表示，現在整個安碁資訊的SOC服務，已經演進到Intelligent SOC的階段。從資安治理角度來看，SOC是必要的組織，監管整體狀態與即時威脅，如今SOAR機制的整合，更是現代SOC非常強調的重點。</p> <p>事實上，為了提升事件自動化即時回應能力，安碁資訊在2021年與Palo Alto Networks簽訂MSSP服務協議，將自家SOC服務整合這家資安廠商的XSOAR，例如，提供威脅情資比對與部署至資安設備的自動化腳本，異常連線情資比對與立即阻斷自動化腳本，長期日誌清查自動化腳本等，並陸續導入政府、交通、能源、金融等領域大型客戶。在2022年，安碁資訊又推出基於微軟Azure Sentinel的Cloud SOC方案，因此，也具備SOAR的能力。</p> <p>同樣地，數聯資安技術副總經理游承儒指出，他們已經完成這方面的導入，採用Palo Alto Networks的SOAR產品，並在今年整合於自家SOC服務之內，達成自動化的目標。</p> <p>對於SOAR的應用，游承儒強調，運用這類產品還需要內化，需要相當程度大的整合，程序流程也都要自己開發，否則發揮不了SOAR的實力，因此，他們花了將近一年的時間做這件事，就是要更深入去應用SOAR。</p> <p>而其具體成效也很顯著，游承儒指出，SOAR可節省資安人員耗費於繁瑣的調查與關聯作業時間，例如，傳統人力調查可能要花30分鐘，現在有SOAR來提供幫助，資安人員處理就只要3分鐘。這在資安人力欠缺的現實環境下，可減輕這方面的問題。</p> <h2><strong>SOAR的價值極大，如何將應用深化與提升智慧是關鍵</strong></h2> <p>關於SOAR帶來的幫助，數聯資安游承儒對這方面有更深刻的說明。</p> <p>過去沒有SOAR的情形下，面對傳統告警（Alert）或是異常事件（Event），處理流程就是資安人要去監控、調查與分析，再來判斷這個警示是否為真，如果認為是可疑活動，再決定相對應的封鎖；相對地，在結合SOAR自動化元素的情形下，當警示出現，等於有機器人自動幫你執行調查，像是根據帳戶、IP位址、攻擊行為軌跡等給出調查報告，如此一來，資安人員只要根據這份調查報告訂出最後決策，確定是否為真實的安全事件，若有因應這些事故的需要，就可以按下按鈕讓資安設備進行封鎖，如果遭遇到高風險的事件，也可以將決策交給機器人快速因應。</p> <p>再者，以前靠人調查，可能有人員偷懶問題，現在變成一個自動化的流程，其實對服務品質的提升也有幫助，這是過去大家較少討論到的一點。</p> <p>特別的是，數聯資安也給出這方面的經驗。基本上，這類SOAR產品本身雖然提供了協調、自動化與應變上的功能機制，但當中的程序流程，都要自己開發，這也是SOC服務的重要價值所在。</p> <p>如果是企業自建導入這類產品，他們認為，國外產品的設計思維，對於很多流程的處理比較扁平，而國內場景尤其是公家機關，很多調查人員不見得有決策權，因此，流程設計或調查的思維會比較不同。此外，即便原廠提供設計好的流程，也很難拿來直接套用，如果客戶要進一步發揮SOAR的特色，通常自己可能也要有開發能力，或是找SOC服務業者協助。</p> <p>整體而言，他認為，國外在新解決方案的應用，本來就比國內快2到3年，像是SOAR這類資安技術，國外可能在3、4年前已經崛起，而國內應用SOAR也需要一些內化的時間，以符合在地需求。</p> <p>對於SOAR的幫助，Google鄭家明也用了一個生動的例子來形容。他說，就像醫生診斷病情時，可能會讓你先抽血再來會診，看你的抽血報告來判斷，而這樣的前置動作，也就是SOAR在做的事情：可先自動準備事件所需資料，再由資安人員來判斷，若是認為事件嚴重，可以按鈕讓EDR設備去阻斷。</p> <p>當然，你也可以完全自動去進行，但這會有信心的問題，一開始你可能不會這麼做。這方面的演進，有如自動駕駛的發展，初期會從一開始的Level 1，持續朝向最高階的Level 5發展。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖）SOAR的重要性＿圖片來源微軟.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89SOAR%E7%9A%84%E9%87%8D%E8%A6%81%E6%80%A7%EF%BC%BF%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 600px;" /></a></p> <p>這幾年微軟在談現代化安全維運時，強調XDR、SIEM與SOAR的整合，其中協調並自動化威脅回應的SOAR已是一大關鍵。（圖片來源／微軟）</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖12）Google SecOps_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%9612%EF%BC%89Google%20SecOps_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>對於現代化安全維運模式該有的樣貌，Google近年強調威脅情資、SIEM與SOAR整合運作方式，其中SOAR是他們在2022年併購Siemplify所整合納入。<strong><span style="color: rgb(105, 105, 105);">（圖片來源／Google）</span></strong></p> <p> </p> <p class="rtecenter"><a href="https://www.ithome.com.tw/news/158986"><span style="font-size: 18px; text-align: center;"><span style="background-color:#D3D3D3;">１</span></span></a><span style="font-size: 18px; text-align: center;">　2</span><span style="font-size: 18px; text-align: center;">　</span><a href="https://www.ithome.com.tw/news/158988" style="font-size: 18px; text-align: center;"><span style="background-color: rgb(211, 211, 211);">３</span></a><span style="font-size: 18px; text-align: center;">　</span><a href="https://www.ithome.com.tw/news/158989" style="font-size: 18px; text-align: center;"><span style="background-color: rgb(211, 211, 211);">４</span></a><span style="font-size: 18px; text-align: center;">　</span><a href="https://www.ithome.com.tw/news/158990" style="font-size: 18px; text-align: center;"><span style="background-color: rgb(211, 211, 211);">５</span></a></p> <p> </p> </div></div></div>
2023/9/28 10:54作者羅正漢https://www.ithome.com.tw/news/158987
【提升資安SOC能力關鍵】聚焦新資安設備普及、自動化SOAR及AI成熟度發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著網路威脅推陳出新，既有的監控機制也與時俱進。對於未來資安監控中心的發展，在這次封面故事中，我們找了幾家臺灣SOC委外服務廠商，包括：安碁資訊、數聯資安，以及雲端大廠微軟與Google，共同探討<a href="https://www.ithome.com.tw/news/158986">近期SOC在雲端監控的態勢</a>，以及<a href="https://www.ithome.com.tw/news/158987">SOAR的應用發展潮流</a>。</p> <p>在2023年，隨著企業上雲比率增加的現況，以及SOC資安監控中心平臺採用的持續擴張，加上資安產品及技術也持續不斷在進步，這次我們從這幾家業者觀察到3個重點態勢。</p> <p>首先，不僅是威脅情資帶來更多幫助，現在EDR、NDR、XDR日誌的「含金量」，比早期資安設備來得高，有了這三者應該就能涵蓋監控全貌，讓警示的可信度提升，對於即時資安威脅監控有很大的幫助。</p> <p>要注意的是，雖然EDR經過多年的市場推動，企業組織接受度越來越高，但像是NDR這類解決方案相對偏貴，若能普及將會帶來很大的幫助。</p> <p>其次，在上述Cloud SOC的探討中，我們可以看到兩個面向的發展，一種是SOC for Cloud，尤其是最近兩年，臺灣有越來越高比例的企業上雲，對於SOC團隊而言，在個別的雲端環境或橫跨多雲的環境，要監控哪些對象與活動將是關鍵；一種是Cloud on SOC，特別是雲原生SIEM產品的出現。再加上，現在大家普遍看中雲地混合的應用態勢，因此資安監控也正朝此方面邁進。</p> <p>此外，目前已出現針對雲端環境的威脅偵測與應變方案（Cloud Detection and Response，CDR），從近年雲端安全相關的產品與服務來看，也出現多種類型防護與管理工具，例如，雲端原生應用程式防護平臺（Cloud Native Application Protection Platform，CNAPP），雲端安全態勢管理（Cloud Security Posture Management，CSPM），以及雲端工作負載保護平臺（Cloud Workload Protection Platform，CWPP）。</p> <p>之所有會有發展出這麼多生態系，也突顯大家對於雲端環境的重視，促使雲端相關安全監控、合規檢視、威脅偵測的持續發展。</p> <p>第三，在SOAR的技術發展上，也要注意應用成熟度，畢竟，如果只是簡單的自動規則設定，過去其實就能做到，如何深化應用更會是重點。整體而言，SOAR對於自動化發展仍有其代表性意義，例如，可以讓大家更認真面對資安自動化、更有意識地進行資安自動化。</p> <p>同時，SOAR在AI的幫助下，也將幫助解決告警疲勞、避免攻擊雜訊干擾，以及因應人力不足的問題，簡化了搜尋、複雜資料分析，以及威脅偵測，像是一但發生異常事件，AI可以幫助自動總結、分類與產出，像是總結威脅情資的資訊，辨識惡意程式以分類，以及根據監控規則的特殊語法產生SOAR腳本等。</p> <h2><strong>美國MITRE組織提出打造先進SOC的11大策略，溝通的重要性</strong></h2> <p>在SOC發展上，我們注意到資安機構MITRE去年3月底發布一份重要文件，名為《<a href="https://www.mitre.org/sites/default/files/2022-04/11-strategies-of-a-world-class-cybersecurity-operations-center.pdf">世界一流網路安全維運中心的11個策略</a>》（11 Strategies of a World-Class Cybersecurity Operations Center），可供企業參考，為了幫助大家了解，我們也特別詢問Google，請他們分析當中的重點。</p> <p>Google Cloud客戶解決方案架構師鄭家明指出，第5章的關鍵在於事件處理應對的優先順序，第6章談到威脅情資，再到第8章的流程管理、第9章的溝通，以及第10章的效能，都跟這次我們與幾家廠商談到的內容相互對應。</p> <p>舉例來說，第6章以網路威脅情資揭示對手的行動，也就是朝向主動式監控；第8章關於利用工具來幫助分析師的工作流程，也就是從手動方式進步到自動化SOAR，且Playbook自動化腳本的概念也受看重；第10章談到SOC效能評估，就是要做到持續精進。鄭家明希望大家想想看，每年阻擋的攻擊活動多，就代表有效嗎？還是要看流程做了多少自動化，在可視性方面，增加多少種Log類型？讓整體資安狀態的能見度變高。</p> <p>特別的是，關於第9章的溝通，也相當重要，但比較少被突顯。例如，當資安團隊獲得威脅情資，不只是資安團隊需要這些資訊，像是漏洞等資訊，應該也要與軟體開發團隊溝通，與維運團隊溝通，讓他們也能夠注意，而且溝通是相互的，像是其他團隊可能正導入K8S，那監控團隊也要去瞭解容器的威脅，瞭解監控的目標。</p> <p class="rtecenter"><a href="https://www.ithome.com.tw/news/158986" style="text-align: center;"><span style="font-size: 18px;"><span style="background-color: rgb(211, 211, 211);">１</span></span></a><span style="text-align: center; font-size: 18px;">　</span><a href="https://www.ithome.com.tw/news/158987" style="text-align: center;"><span style="font-size: 18px;"><span style="background-color: rgb(211, 211, 211);">２</span></span></a><span style="text-align: center; font-size: 18px;">　３</span><span style="text-align: center; font-size: 18px;">　</span><a href="https://www.ithome.com.tw/news/158989" style="text-align: center; font-size: 18px;"><span style="background-color: rgb(211, 211, 211);">４</span></a><span style="text-align: center; font-size: 18px;">　</span><a href="https://www.ithome.com.tw/news/158990" style="text-align: center; font-size: 18px;"><span style="background-color: rgb(211, 211, 211);">５</span></a></p> </div></div></div>
2023/9/28 10:55作者羅正漢https://www.ithome.com.tw/news/158988
重新認識SOC！資安監控中心的三大階段進化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安監控中心（Security Operation Center, SOC）的發展持續相當多年，有那些重要演進階段？我們找到一份呈現資安監控中心發展階段的報告，當中有張圖表特別展現了近代SOC的演進。臺灣有不少SOC業者的公開演講中，也經常使用這張圖表來說明。</p> <p>此份相當具有參考價值的SOC發展報告，作者是Infosys副總裁兼網路安全技術與營運主管Lakshmi Narayanan Kaliyaperumal，在2021年10月，於ISACA國際電腦稽核期刊發表。根據Lakshmi的說明，我們可看出SOC的重要演進如下：</p> <p><span style="color:#0099ff;"><strong>第一階段演進：反應式監控</strong></span></p> <p>在2000年以前，早期SOC的主要職責是處理病毒警報、偵測入侵與回應事件，主要是政府與國防單位實施，到了2000年後，大型企業與銀行開始實施類似的監控作業。從單純具監控能力，進一步做出事件回應。</p> <p><span style="color:#0099ff;"><strong>第二階段演進：主動式監控</strong></span></p> <p>在2007年到2013年間，面對APT進階持續性威脅增長，對安全監控至關重要的安全解決方案開始出現，包括：安全資訊事件管理系統（SIEM），以及資料外洩防護（DLP）等。</p> <p>此時的SOC聚焦於匯整日誌監控、合規性合規與惡意程式分析。同時，安全委外營運服務供應商（MSSP）崛起，也隨安全維運的需求增加，而獲得發展。</p> <p>在2013年到2015年間，更多幫助主動式監控的安全解決方案興起，包括：使用者內部存取行為分析（UEBA）、威脅情資威脅情報平臺，也成為SOC重要組成，而在雲端趨勢的潮流下，也隨雲端安全代理（CASB）、BYOD等議題而擴展。此時，Hybrid SOC的發展也受看重。</p> <p><span style="color:#0099ff;"><strong>第三階段演進：具自動化的主動式監控</strong></span></p> <p>近年的技術發展來看，不論是大數據、EDR、NDR技術更趨成熟，如今XDR方案的發展亦受到看重。</p> <p>雲端安全的發展也更蓬勃，包括雲端原生SIEM的出現，以及雲端安全狀態管理（CSPM）、雲端工作負載防護平臺（CWPP）等，這也促使基於雲端的偵測與回應，以及基於雲端的威脅獵捕。</p> <p>更重要的是，還有自動化技術的演進，不論是資安協調、自動化與回應（SOAR）方案的發展，以及自動化腳本（Playbook）等概念，甚至各類偵測與回應方案的發展，都隱含這樣的概念。</p> <p>總和來說，過去的SOC無法跟上當今先進的網路攻擊者的步伐，有兩次重要演進。首先，就是從反應式的監控，邁向主動式的監控，其次，就是從主動式的監控，朝向自動化程度更高的主動式監控。</p> <p>而在各式偵測與回應技術的自動化能力進步之下，將有助於提高SOC的效率，減輕警示（Alert）超載的壓力，並使事件更容易及早調查與解決。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88BOX%E4%B8%BB%E5%9C%96%EF%BC%89SOC%E7%9A%84%E6%BC%94%E9%80%B2_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Lakshmi%20Narayanan%20Kaliyaperumal.jpg" style="width: 600px;" /></p> <p class="rtecenter"><a href="https://www.ithome.com.tw/news/158986" style="text-align: center;"><span style="font-size: 18px;"><span style="background-color: rgb(211, 211, 211);">１</span></span></a><span style="text-align: center; font-size: 18px;">　</span><a href="https://www.ithome.com.tw/news/158987" style="text-align: center;"><span style="font-size: 18px;"><span style="background-color: rgb(211, 211, 211);">２</span></span></a><span style="text-align: center; font-size: 18px;">　<a href="https://www.ithome.com.tw/news/158988"><span style="background-color:#D3D3D3;">３</span></a></span><span style="text-align: center; font-size: 18px;">　４</span><span style="text-align: center; font-size: 18px;">　</span><a href="https://www.ithome.com.tw/news/158990" style="text-align: center; font-size: 18px;"><span style="background-color: rgb(211, 211, 211);">５</span></a></p> </div></div></div>
2023/9/28 10:56作者羅正漢https://www.ithome.com.tw/news/158989
【2023資安SOC臺灣需求現況】法遵壓力增大，驅動企業強化資安
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面對駭客從入侵開始到發動攻擊，間隔時間越來越短的態勢，防護網路威脅面臨日益嚴峻的挑戰，因為人力、流程、技術都必須持續強化，才有辦法因應，而且，需要更專業的內部或外部資安團隊統籌事宜，在這樣的框架下，若能設置與維運資安監控中心（SOC），可幫助資安事件的因應，將是企業能做到長期預防，以及早期發現威脅與妥善進行應變的關鍵。</p> <p>事實上，政府最近對於產業資安的要求，也逐步提高。例如，金管會在2020年推動金融資安行動方案1.0時，就鼓勵金融機構建置資安監控機制（SOC）。希望原本已受到高度監管的金融產業，能進一步強化異常行為偵測告警的即時性與有效性，走向更主動防禦。</p> <p>在2021年底，臺灣證券交易所也發布上市上櫃公司資通安全管控指引，指出須具備7項資安防護控制措施，資通安全威脅偵測管理機制（SOC）就是其一。</p> <p>在此態勢之下，國內企業對於落實與強化資安的態度，也日益積極。</p> <h2><strong>有意發展SOC或Cloud SOC的比例大增，以金融業與製造業較多</strong></h2> <p>對於SOC採用意願，身為指標型SOC服務業者的安碁資訊與數聯資安指出，SOC的需求確實已從早年政府機關、金融領域，延續到上市櫃公司，而且雲端資安監控議題也確實受到更多關注。</p> <p>數聯資安技術副總經理游承儒表示，最近兩年，他們看到有不少上市櫃公司積極上雲，加上政策對於SOC的要求，他們認為需求成長算是比往年快。</p> <p>與企業談到SOC時，過去大家反應並不熱烈，有意願了解的公司很少，今年則有公司主動洽詢，有很大差別。像2016年EDR這樣的資安解決方案開始在臺灣推行，當時廠商可能要一家家公司去拜訪介紹，但現在EDR已經漸漸變成是企業資安標準配備。</p> <p>根據他們的觀察，除了政府、金融業，其實處於市場頂尖位置的製造業也早就有所規畫，現在二線製造業詢問與概念驗證（POC）的需求增加，他們明顯感受到這一波需求來得相當急。</p> <p>同時，現在上雲的比例增加，對於Cloud SOC的需求也是會提升。明年很可能就有爆炸型的提升。就上雲情形來看，國內百貨業也積極上雲，但他們對於雲端資安防護的概念還較少；製造業也在上雲，只是應用多半是用作備援、用戶驗收測試環境（UAT），比較沒有應用在業務面，目前可能有點保守。</p> <p>他們認為，雲端環境遍布全球，有些製造業在不同區域都有設點，未來資安SOC監控視角能從臺灣拉高到全世界。</p> <p>特別的是，數聯資安以4個成熟度階段，來幫助企業對於SOC能有簡單快速的認知。以Level 1而言，就是日誌收集與監控，Level 2是大數據分析與調查，Level 3進入自動化SOAR聯防的層次，Level 4是雲地聯合防禦的整合性監控。</p> <p>安碁資訊總經理吳乙南表示，從市場面來看，SOC需求及Cloud SOC的詢問度越來越高，主要是法規要求帶動。除政府、金融業，去年他們觀察到不少製造業，加上近年金管會推動上市櫃公司要有資安，今年第二季出現需求爆發。</p> <p>這就像智慧製造一樣，要有能見度（透明度），資安監控也是如此。再從管理與永續經營的角度來講，資安層面資訊也要透通到管理階層，如今資安監控慢慢變成是剛性需求，畢竟臺灣製造業機敏資料，不是偶發事件，是持續發生的威脅，企業就會關注。</p> <p>另一個重點在於，在四五年前，國外開始關注入侵及攻擊模擬演練（Breach and Attack Simulation，BAS）的概念，像是當時我們曾介紹MITRE開源自動化攻擊模擬工具CALDERA，如今BAS這項資安應用也受到重視。兩家業者提到，金管會在2022年發布的金融資安行動方案2.0中，鼓勵已建置SOC並達一定規模的金融機構，引入攻擊方思維，除了DDoS攻防演練、紅藍隊演練，也藉由入侵與攻擊模擬BAS，來檢驗資安監控及防禦部署的有效性，也就是驗證資安設備是否買對，人員訓練是否紮實。</p> <h2><strong>SOC發展已久，仍有很多企業組織不夠了解，需建立整體認知</strong></h2> <p>在SOC、Cloud SOC需求增加之下，我們也發現一些值得關注的議題。</p> <p>例如，他們遇到只有防毒與防火牆的傳統企業，現在已經開始上雲，詢問他們該如何做SOC。此外，在政策帶動之下，有些公司會用最小成本完成合規。</p> <p>數聯資安技術副總經理游承儒表示，儘管SOC發展多年，不過還是有企業對SOC完全沒概念，主要是為了符合政府法令要求才開始做。</p> <p>這種情況對資安服務業者而言，也會形成很大的挑戰，因為SOC平臺的建置與維運面臨更大的壓力，必須設法做出效益。基本上，SOC仰賴多樣化資訊來源的日誌收集，因此，資安服務業者等於也要幫這些企業設想其成熟度，先讓他們認識資安態勢，再提升SOC成熟度。因此，他認為，再過幾年這些企業的思維才會有更顯著的改變。</p> <p>不過，他們今年也有很深的感觸，因為有很多之前完全不做資安的客戶，都開始有動作，這也意味著越來越多企業重視這件事，另外，也碰到很多是供應鏈要求的廠商要積極推動資安，卻以為只需要幾十萬元的費用就能全部搞定，這同樣是價值認知的落差。</p> <p>安碁資訊總經理吳乙南表示，應付法規要求的可能性絕對存在，不過他們認為還是可用正面角度看待，因為以前他們在業務推廣所接觸的對象，多半不是企業高層，然而，現在至少是上升到企業管理層來談這些事。只是，就實務來看，企業可能對於資安防護具體該做到多大規模、要花多少錢，還沒有概念，這方面政府與金融的認知比較成熟，製造業普遍多半只意識到本身有需求，但整體維運預算編列，還沒有進入常規。</p> <p>雲端成本的因素也要注意，會對資安部署產生影響。有些製造業在ESG的布局，已經看到採用雲端服務的優勢，例如不像地端環境有管理維運的成本。因此，曾經有企業想在全球大規模部署，但後來發現若全部用雲端服務來做，可能負擔不起，因此最終考量雲地混合方式，另一方面是在資安監控上，很多系統需要調校、規則需要建立，才能讓監控更精準，因此先縮小上雲部署範圍。</p> <p>此外，兩家業者均認為，選擇SOC服務的比例將會增加，最主要原因在於人力資源的挑戰。早期大型企業組織自建SOC，但現在養人、留才並不容易，大家都在搶人已是現況，由於SOC維運需要7x24小時運轉，要有領域知識與經驗，要有人的專業能力，還包括流程規畫、情資等各方面的整合。</p> <p>同時，還要顧及雲端監控的層面。他們曾試過找懂雲端的人才來承擔工作，但這些人不懂資安，最後還是透過懂資安的人去學雲端服務的技術，才達到他們的要求，而且相關人員不只需要熟悉一朵雲的技術，還要懂不同的雲。</p> <p>因此他們認為，大部分客戶會走向委外。也有一種模式，就是客戶自建，再由他們來代管，這樣的差異在於，可以設計更貼近企業自身場景的監控規則。</p> <h2><strong>政府採購有變革，產業看到希望</strong></h2> <p>隨著SOC服務廠商投入的研發與精力越來越多，在臺灣市場還面臨持續影響資通訊產業生態的議題：公部門採購。</p> <p>過去政府共同供應契約的SOC服務採購中，招標機關經常會採最低價決標，這使多年來，廠商面臨與時俱進服務需要往上，收費卻持續往下的情況。</p> <p>所幸，去年軟體採購辦公室已將這方面改成複數決標，可以提供不同價格，對於SOC服務業者而言，意味著服務價格不再受打壓，至少看到這個市場有了轉機。只是，廠商還是會面臨「議約不議價」的問題，也就是「預算不變，增加服務內容」，還好<a href="https://www.ithome.com.tw/article/158898">今年政府資訊採購將有新變革</a>，可望扭轉此一問題的發生。</p> <p>現階段，這些SOC服務業者認為，恢復合理的收費還要再一段時間，主因是客戶編列預算會參照過去經驗，價格不容易一次就大幅調動。</p> <p>我們認為，這樣的改變對產業發展是好事，畢竟，面對資安威脅需要雙方共同應對，採購者對產品與服務的價值要有共識，共同維持產業健全，用戶不能一味壓低成本，使得廠商利潤受到不當壓縮，才能帶動更多人進入這個產業，促成良性發展。</p> <p class="rtecenter"><a href="https://www.ithome.com.tw/news/158986" style="text-align: center;"><span style="font-size: 18px;"><span style="background-color: rgb(211, 211, 211);">１</span></span></a><span style="text-align: center; font-size: 18px;">　</span><a href="https://www.ithome.com.tw/news/158987" style="text-align: center;"><span style="font-size: 18px;"><span style="background-color: rgb(211, 211, 211);">２</span></span></a><span style="text-align: center; font-size: 18px;">　<a href="https://www.ithome.com.tw/news/158988"><span style="background-color: rgb(211, 211, 211);">３</span></a></span><span style="text-align: center; font-size: 18px;">　<a href="https://www.ithome.com.tw/news/158989"><span style="background-color:#D3D3D3;">４</span></a></span><span style="text-align: center; font-size: 18px;">　５</span></p> </div></div></div>
2023/9/28 10:58作者羅正漢https://www.ithome.com.tw/news/158990
迎接Cloud SOC新浪潮
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1149-feng_mian_p1-open-zheng_han_-960x420_kao_bei_0.jpg?itok=XAiCY5ZO" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在企業上雲的大勢之下，強化雲端服務資安與善用雲端服務做好資安已同時成為重要議題，使得Cloud SOC概念開始崛起，加上我國政府提出上市櫃公司強化資安指引，SOC角色更顯重要，帶來臺灣資訊安全服務轉型新契機。</p> </div></div></div>
2023/9/28 10:59作者羅正漢https://www.ithome.com.tw/article/159015
NTT DOCOMO與Nvidia合作以GPU加速5G網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電信公司NTT DOCOMO宣布在日本部署GPU加速的無線網路解決方案，該公司5G Open RAN解決方案<a href="https://www.docomo.ne.jp/english/info/media_center/pr/2023/0927_00.html">OREX</a>使用了Nvidia Aerial vRAN堆疊和<a href="https://developer.nvidia.com/blog/enabling-the-worlds-first-gpu-accelerated-5g-open-ran-for-ntt-docomo-with-nvidia-aerial/">Nvidia</a>融合加速器，建構高效能5G虛擬無線接取網路（vRAN），這使得NTT DOCOMO能夠實現一個完全由軟體和雲端定義的網路，並能夠根據需求，使用產業標準設備動態分配資源。</p> <p>與現有5G網路部署相比，DOCOMO表示，OREX將可降低客戶的總擁有成本達30％，並且減少網路設計所需時間50％，同時減少基地臺50％的電力消耗。</p> <p>根據2023年7月的資料，DOCOMO的2萬多個基地臺覆蓋5G用戶達2,200萬，範圍涵蓋全球815個城市。該電信公司使用了來自4個供應商的29種無線電單元（Radio Unit，RU），還有3個供應商的中央單元（Centralized Unit），而透過引入vRAN，DOCOMO則能夠進一步擴大5G網路容量和覆蓋範圍。</p> <p>由於vRAN中Open RAN的概念，允許營運商自由選擇不同供應商的元件，進而促進網路多樣性和規模化，但這也使Open RAN存在互通性、效能和複雜性等問題。DOCOMO推出自家5G Open RAN品牌OREX，來解決Open RAN所面臨的挑戰，OREX由富士通、Nvidia和Wind River共同合作開發，搭配使用富士通和Wind River產品，並採用Nvidia Aerial平臺降低成本和功耗。</p> <p>OREX使用的重要元件包含Nvidia融合加速器，其具有資料處理單元（DPU）以及GPU，在通訊協定最底層物理層L1提供硬體加速，以處理龐大的資料，而這使得OREX成為第一個以商業部署的DPU和GPU加速的5G Open RAN解決方案。</p> <p>在DOCOMO的5G Open RAN解決方案中，GPU可以直接處理前端eCPRI（Enhanced Common Public Radio Interface）資料流量，而不需要經過CPU，如此減少了資料在伺服器和硬體加速器間往返的時間，進而提高整體效能。</p> <p>而且當資料進入GPU中，由於GPU架構具有大量的核心，能以大規模平行化處理5G龐大的資料量，最佳化基地臺系統的處理能力，能夠改進無線電單元的能力，提供高品質通訊環境，並能夠應對大量資料處理需求，同時也是應未來天線技術的進步。</p> </div></div></div>
2023/9/28 08:38作者李建興https://www.ithome.com.tw/news/159011
CISA發布新硬體物料清單框架，強化硬體採購風險管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>CISA（Cybersecurity and Infrastructure Security Agency）<a href="https://www.cisa.gov/news-events/news/cisa-releases-hardware-bill-materials-framework-hbom-supply-chain-risk-management-scrm">發布</a>了新的<a href="https://www.cisa.gov/sites/default/files/2023-09/A%20Hardware%20Bill%20of%20Materials%20Framework%20for%20Supply%20Chain%20Risk%20Management%20%28508%29.pdf">硬體物料清單框架（Hardware Bill of Materials Framework，HBOM）</a>，這個框架是由公私部門專家所組成的資訊和通訊技術供應鏈風險管理工作組（ICT SCRM Task Force）所開發。</p> <p>該框架的主要目的，是要提供一個一致可遵循的規範，讓買方和賣方可以針對硬體元件進行溝通，進而有效評估並減少供應鏈中存在的資安風險。</p> <p>HBOM透過標準化命名方法、詳盡的元件資訊和明確指引，可協助降低採購硬體所面臨的安全風險。框架的重要部分包括使用情境分類、HBOM格式和資料欄位分類。使用情境描述一系列情境和範例，告訴買方應該在何種情況或是特定風險背景，需要使用到HBOM。</p> <p>而HBOM格式則是規範框架的一致性，使其易於產生和使用，而資料欄位分類，則列出包含在HBOM中的各種元件與輸入屬性，說明要製作或是查看HBOM時需要注意的資料。整體來說，這個框架可被用於評估供應鏈風險，協助組織更好地管理供應鏈中的風險。</p> </div></div></div>
2023/9/28 08:41作者李建興https://www.ithome.com.tw/news/159012
零售轉型OMO的關鍵，數據成為企業核心競爭力
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「現在的電商，已不只是商品銷售，更演進到需要提供整套消費體驗。」Etsy前任數據長謝居呈強調。他在Etsy擔任數據長3年多，對零售業這幾年變革的發展，格外有感。</p> <p>疫情3年，大大衝擊了零售業的樣貌，讓OMO浪潮延燒到全球大大小小的零售業者，美國流量第4大電商Etsy也不例外，不只國外零售業拼命布局OMO和數位通路，臺灣也是如此。</p> <p>2021年進入3級疫情後，臺灣過去以實體店面為主的企業，紛紛加速轉型為線上線下融合（OMO）服務型態。這在零售業格外明顯，許多實體品牌開設了直營電商，各大超商、超市相繼進軍外送平臺，從小型賣場到大型百貨都力推會員App和數位支付功能，大量通訊軟體零售業官方帳號如雨後春筍般出現。數位通路已然成為零售業兵家必爭之地，營運模式更不斷高速發展。</p> <p>謝居呈不只領導Etsy的上雲和AI數位轉型，過去17年來，他先後在樂天、eBay、Amazon等零售巨頭擔任過技術和管理職，長年在第一線觀察電子商務演變，以及伴隨而來的技術沿革。</p> <p>近年零售業最重要的技術趨勢是數據相關技術，尤其是高速發展的AI。謝居呈指出：「一旦零售業成為OMO型態，數據就變成一項核心競爭力。」在OMO零售時代，企業遲早都要擁抱數據技術，「差別只是你是想要跑在前面讓人追，還是你要跑在後面去追人。」他直言。</p> <p><span style="font-size:28px;"><strong>OMO零售型態下的重大業務改變</strong></span></p> <p>早期電商多半只是提供網路型錄和線上付款管道，謝居呈指出，現今電商營運則需顧及更多面向，才能提供完整消費者體驗。例如，提供強大的商品搜尋和檢索功能、可信的商家商品評價、個人化會員優惠、精準商品推薦等。</p> <p>廣告業務是零售業更大的營運變革。許多零售業者開始利用通路流量優勢，經營起零售媒體聯播網（RMN），對自家消費者推送廣告。謝居呈指出，零售業者開始經營RMN後，營運模式便從貨物買賣通路，走向系統化媒合商品與消費者的平臺。「廣告業務已經成為很多零售業者的重要營利來源，例如Amazon。」他說。</p> <p>Amazon去年廣告營收高達377億美元，雖然只占總營收7%，但根據波士頓諮詢公司（BCG）調查，RMN毛利率高達70%至90%。按此數字計算，去年Amazon廣告業務盈利能力已經超過以往最賺錢的雲端服務業務。</p> <p>OMO營運模式不斷演進，使零售業面臨巨大的業務和營收結構變革。謝居呈說，為了支援這些變革，零售業也迎來了新一波技術需求。</p> <p><span style="font-size:28px;"><strong>零售新型態催生下一波重要的技術需求</strong></span></p> <p>多年前，零售業就曾經因營業型態轉變而產生重要技術需求。謝居呈解釋，上一波重要技術需求來自零售業發展數位通路初期，需要建置並維運前端電商網頁和電商App，以及管理後端地端機房。這也是零售業開始設置技術長一職的由來。</p> <p>現在，隨著OMO零售業務型態演變，傳統維運數位通路的技術已經不足以支援電商業務所需。如何讓消費者更容易找到適合商品？如何於線上線下不同通路提供更豐富、更一致的購物體驗？推播廣告時如何維持購物體驗和行銷成效平衡？如何控管詐騙、假冒商品等風險？這些都是OMO模式下，零售業新面臨到重要且不可迴避的課題。</p> <p>這讓零售業面臨了新一波技術需求，也就是驅動各式OMO零售功能和決策的數據和數據科技，以及可以彈性支援多元業務發展及數據處理的雲端基礎架構。「零售業線上營運比重越高，這些業務和技術需求便越發迫切，對企業營收影響也越大。」謝居呈說。</p> <p><span style="font-size:28px;"><strong>企業如何用AI技術來應對OMO業務需求</strong></span></p> <p>謝居呈認為，數據科技領域中，又以AI/ML技術發展快速、用途廣泛，「是零售業不可忽視的技術趨勢。」AI在零售業有不少應用，可以用來降低成本、提升收益。</p> <p>他以近期爆紅的生成式AI舉例，企業可以用於搜尋引擎最佳化（SEO），根據熱門關鍵字快速生成文章，提升自家網頁能見度。此外，還能生成消費者個人化文案，或商品描述、分類和屬性標籤等資料。</p> <p>生成式AI還可以用於客服訓練和輔助，AI可以歸納高滿意度客服人員的應對內容，整理成教材用於客服訓練。甚至，AI還能在客服人員通訊當下，即時提醒用詞，同時撈取出消費者購物記錄、偏好和其他相關資訊作為應對進退參考，快速提升整體客服水準。</p> <p>不只能優化前端服務，生成式AI還能輔助後端決策。企業可以輸入巨量數據，要求AI分析完後生成數據歸納和策略建議。例如，可以用生成式AI分析大量消費者評論，從中歸納出營運改善方針。「透過AI快速、低成本分析大量數據，能協助零售業者快速應對市場變化。」他說。</p> <p>謝居呈表示，不論是內容產出、客服培訓、巨量數據分析，傳統做法都非常耗時耗力。有了AI輔助，許多工作費時能從數日降到僅僅數秒，因此，熟練地運用AI技術，是零售業重要競爭力。</p> <p>數據是AI基石，發展AI之前，企業首先需要有效的數據管理、整合和監控機制。企業也開始擁抱數據中臺、CDP等技術，來提升數據管理成熟度。不過，謝居呈警告，企業採購新系統後，常會發現不僅沒增加營收，反而徒增營運成本，降低企業主投資數據技術的意願。他建議，發展數據科技時，可先選擇能解決痛點的技術，才容易看出成效，說服企業主持續投資。</p> <p>他坦言，這種做法有其限制。從一個個痛點著手，不容易顧及整體規畫，再加上，新數據技術不斷問世，技術債會成為必然問題。他提醒，企業應保留20%資源清理技術債、80%推動發展，才有餘裕維持良好的發展和維運平衡。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/449-CTO-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 22px;"><strong>快速依數據做出反應，才能把握更多應用情境。從蒐集數據到實際應用的平均時間，是企業數據準備度（Readiness）的關鍵指標。── Etsy前數據長謝居呈</strong></span></span>　<span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>數據科技發展戰略成營運核心事務，零售業開始設置高階數據技術主管</strong></span></p> <p>謝居呈觀察，早期零售業設置技術長，是因為數位通路建設和維運需求。現今數據貼近了企業決策核心，且技術發展和應用策略日漸複雜、細緻，零售業界便開始設置數據長這一新興高階管理職位。</p> <p>已經有了技術長，為何需要再設立數據長？謝居呈說明，雖然電商維運和數據科技都是IT技術，不過，兩者工程思維有著關鍵差異。他以軟體1.0和軟體2.0概念解釋。技術長熟悉的傳統軟體開發方法是，由人先訂出邏輯，再寫成程式碼，這是軟體1.0思維。但是，AI/ML等數據技術是，不預先給定邏輯，而是讓程式從大量數據中推論出可能的邏輯，再透過實驗設計來驗證推論。這是一種逆向工程思維，因此被稱為是軟體2.0思維，這正是數據長的專長。</p> <p>舉例來說，傳統軟體1.0思維，先訂出許多像「如果是男性，則推薦刮鬍刀」的邏輯，將其寫成商品推薦程式。軟體2.0思維則會逆向思考，用程式來分析顧客購物行為數據，自動學習並建立出推薦的邏輯。「這個逆向工程思維，傳統技術長大多不熟悉。」他評論。</p> <p>不只工程思維有所不同，實務上，數據管理和處理也是高度專業化的領域。謝居呈說，企業整合跨通路數據、遷移數據等過程中，常常面臨到許多瓶頸和陷阱。</p> <p>例如，財務系統轉換期間要計算公司營收，新系統和舊系統卻得到不同的數據，這是因為資料延滯性導致了不同的計算結果，兩個系統都沒錯？或是舊系統發生問題，而新系統已做出相應調整？還是遷移到新系統時導入了錯誤邏輯，舊系統的結果才對？面臨這些問題時，企業便需要數據長實務經驗來找出應對方法。</p> <p>傳統技術長不熟悉數據技術的工程思維和數據實務處理經驗，才促使零售業想要設置數據長。不只如此，謝居呈認為，數據相關決策在零售業整體營運的重要性，更使數據主管的位階必須是高階主管，甚至長遠來看，他建議，零售業大多應該將數據長設為一級職級，直接對總經理報告。</p> <p>他進一步說明，許多企業核心決策會涉及數據。例如，當數據法遵逐漸成為重要議題，像是要求AI可以解釋，企業的決策不只會涉及法務、財務部門，還需要數據長參與。其他諸如新業務、新產品開發等決策，也會需要數據長參與決策。</p> <p><span style="font-size:28px;"><strong>零售業OMO轉型時容易忽略的5大問題，數據面占3項</strong></span></p> <p>從技術、管理到決策面來看，零售業OMO轉型都是相當複雜的過程。謝居呈觀察，此過程中，企業有5個問題容易忽略，其中3個是與數據處理直接相關，數據長不得不留意。</p> <p>第1項是資料隱私和合規問題。隨著企業蒐集數據增加，確保這些數據蒐集和應用都符合資料保護法規和隱私法規，會日漸困難。若企業營運範圍觸及歐美有GDPR、CCPA等嚴格個資法規的區域，更須注意企業於不同地區適用的數據政策，並決定企業數據應用策略如何應對。例如，應該統一遵從最嚴格的法規，還是依據不同區域法規來調整數據應用情境。</p> <p>企業也常忽略OMO的資料一致性問題。當實體店面、官方網站、社交媒體、行動裝置App等通路都開始蒐集資料時，如何確保這些資料格式一致、不重複、且容易交互配對，是一大挑戰。否則，不同通路數據會成為各自孤島，難以從企業層級統一利用。</p> <p>就算做好資料整理，企業還要注重數據時效性，這是第3個問題。謝居呈認為，數據時效性不能停留於月度或季度結算，必須追求以秒，甚至毫秒為反應時間單位，才能把握機會與消費者即時互動。為此，企業需要設計快速、高效的數據處理流程。謝居呈表示：「快速依數據做出反應，才能把握更多應用情境。從蒐集數據到實際應用的平均時間，是企業數據準備度（Readiness）的關鍵指標。」</p> <p>第4個常忽略的問題是，消費者體驗一致性問題。進行OMO轉型時，確保顧客在各通路購物體驗和享有服務一致非常重要。要做到這點，不只需要跨通路數據一致性和時效性，更需要從業務面設計良好消費體驗。</p> <p>最後一個OMO課題是以客為本的策略失焦。謝居呈提醒，進行數位轉型時，部分企業可能過於關注數據和技術應用，而忽略了真正目的是提供優良客戶體驗。尤其是從實體往線上發展的企業，應在各接觸點始終維持與消費者的互動和關係。</p> <p>雖然OMO轉型過程中，數據扮演關鍵技術角色，但並非唯一核心競爭力。OMO策略要成功，謝居呈提醒：「不僅是整合數據或引入新技術而已，更需要一個以顧客為中心的策略和適應性強的組織文化。」</p> <p><strong><span style="color:#FF8C00;"><span style="font-size:28px;">數據長提醒：相關性不代表因果性，數據決策要善用A/B測試來驗證</span></span></strong></p> <p><span style="color:#696969;"><strong>美國電商巨頭Etsy前數據長謝居呈觀察，企業決策團隊，不論是總經理或技術長，往往容易忽略「相關性不代表因果性」這個觀念，導致錯誤解讀數據而影響決策。</strong></span></p> <p><span style="color:#696969;"><strong>「數據只能呈現相關性（Correlation），沒辦法呈現因果性（Causation）。很多機器學習技術，都只是透過數據相關性，來產生假設。」他提醒。</strong></span></p> <p><span style="color:#696969;"><strong>「消防隊越多火災機率越高，所以，消防隊都撤掉就不會有火災」，這就是一個將相關性誤判為因果性的明顯例子。當決策情境更複雜、影響參數更多，人便難以直觀地判斷出因果性。就像在零售業，設計個人化商品推薦系統時，哪些參數會真正影響推薦成效，而哪些只是恰巧有相關性，無法一目了然。</strong></span></p> <p><span style="color:#696969;"><strong>要解決此問題，謝居呈建議：「只有透過實驗，才可以看出因果性。」不論是商品推薦演算法的挑選，還是電商介面配色的設計，企業利用數據驅動任何決策時，都必須發揮實驗精神，透過A/B測試等方法驗證不同假設，才能從中找出最有效的策略。</strong></span></p> <p><span style="color:#696969;"><strong>謝居呈補充，不少企業常犯了誤判因果性的錯誤，這更凸顯了數據處理需要高度專業化知識和實務操作經驗。「這正是為何零售業者紛紛開始設立數據長職位的緣故。」</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CDO小檔案 </span></strong></span></p> <p><strong>Etsy前數據長謝居呈</strong></p> <p>學經歷：加州大學洛杉磯分校計算機科學博士。曾任Etsy數據長，建立人工智能團隊並推動雲端轉型；Amazon資深主管，負責Alexa語音核心技術研發；Intuit技術總監，導入機器學習到金融產品、風控與客服；Rakuten資深經理，主管多國人工智能技術團隊；eBay主任科學家，帶領團隊優化電商搜尋及推薦功能。</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/449-cto-960.jpg" width="960" height="420" alt="" title="Etsy前數據長謝居呈　（攝影／洪政偉）" /></div></div></div>
2023/9/28 09:00作者郭又華https://www.ithome.com.tw/people/159001
臺大醫院分享用雲經驗，提6項上雲建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺大醫院資訊室協理尚榮基日前分享臺大醫院用雲經驗，可分為臺大醫療雲、辦公室自動化應用和網頁服務應用等。其中，臺大醫療雲採單一資料庫架構，可支援各分院系統開發和維護，此外，臺大醫院也採用多項辦公軟體、影像辨識和語音辨識雲端服務，來優化作業流程。他從這些經驗，建議醫院考慮上雲時需評估成本、服務品質、合約保障、安全措施、系統自主性和是否有好聚好散的下雲條款等。</p> <p><span style="font-size:24px;"><strong>常見雲端服務有3大類</strong></span></p> <p>尚榮基指出，所謂雲端，是指透過網路提供資源和服務給使用者，可分為IaaS、PaaS和SaaS三種。其中，提供儲存空間、記憶體和CPU資源等硬體支援服務就屬於IaaS，提供執行環境或開發環境的服務則是PaaS，至於SaaS，則指提供軟體或系統服務，如Gmail等。最早的雲端服務，由Amazon於2006年推出，至今已近20年，那年也正是尚榮基進入臺大醫院工作的年份。</p> <p>市面上常見的雲端服務，就屬於這3種。比如，公雲業者Amazon、微軟和Google就提供儲存服務、伺服器、網路等硬體支援（IaaS）服務，來讓客戶建立自己的系統。這3類服務中，SaaS數量最多，也最深入個人化應用，比如網路磁碟（Dropbox、Google Drive等）、Email（如Gmail、Outlook）、視訊軟體（如Webex、Teams），以及即時通訊軟體（如Line、Teams）、文書作業（Google Doc、Office）等，直接提供給終端使用者。還有一種是雲端提供服務給地端系統，如影像辨識、語音辨識、AI模組和資安防護系統等。</p> <p>採用雲端有不少好處，像是有彈性、可擴充、節能、可靠且備援等優勢。</p> <p><strong><span style="font-size:24px;">臺大醫院採單一資料庫架構建醫療雲</span></strong></p> <p>但對醫院而言，IT相對保守，「資料不外傳是資料處理原則，」尚榮基說。不過，去年7月衛福部修正醫療機構電子病歷製作及管理辦法，允許醫院將電子病歷資料上雲，放寬了法源依據。此後，也有些醫院開始使用雲服務來處理病歷資料。</p> <p>就臺大醫院而言，過去幾年來已用雲來協助醫療和行政業務，包括建置臺大醫療雲、辦公室自動化和Web service應用等。其中，臺大醫療雲的建置可追溯到2013年，當時，臺大醫院開始將雲林分院、新竹分院等4家分院的IT系統轉置到臺北總院，之後也配合醫院發展，陸續上線臺大癌症醫院和新竹分院生醫醫院的醫療IT系統。</p> <p>尚榮基指出，考量到分院未必有足夠IT人手來維護系統，他們將資料中心建於臺北總院，並以2線專線連線各個分院。能這麼做的原因是，他們採用單一資料庫、多臺網頁伺服器架構，連線門檻比主從式架構低。另一方面，臺大醫院體系的醫療資訊系統（HIS）也採網頁架構，軟體由總院開發和集中維護。</p> <p>就架構來說，他們以不同Schema（資料庫結構）來切分資料庫，作為不同應用，如門診、急診、住院服務等，之後有2層伺服器，中間包含HL7交換架構。並以虛擬化方式，在不同伺服器上處理分院業務。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9E%B6%E6%A7%8B.JPG" /></p> <p>這麼做的好處是，能大幅降低建置和維護系統成本，尤其是資安布局，可免除在各分院自建伺服器的維護和人力問題。此外，若遇上作業系統更新或軟體更版，也只需一組人馬就能解決。由於採單一資料庫架構，在設計軟體時，就能根據多院區需求來設計。此外，這種架構還支援不少跨院功能，如病歷查詢、開立檢驗檢查單、支援請領與補播等。這種模式，還能實現工作向上集中。</p> <p>尚榮基也補充，鑑於去年7月上路的新版電子病歷製作及管理辦法，臺大醫院目前以總院代管分院電子病歷系統，因此計畫在3年內，取得ISO27701個人資料隱私資訊管理系統認證。</p> <p><span style="font-size:24px;"><strong>其他用雲實例：辦公室自動化、網頁服務</strong></span></p> <p>除了臺大醫療雲，臺大醫院也導入辦公室自動化雲端服務。這包括Email、即時通訊軟體、視訊軟體、雲端儲存、辦公室軟體和自動化開發服務等。</p> <p>但，採用這些雲端服務「並沒有比原本省錢，」尚榮基說明，因為這些服務得按員工人數來算許可證（License），然而有些人未必使用這些服務，因此醫院得與廠商溝通、評估，這也是他認為比較費心力的地方。不過，臺大醫院採用雲端服務的主要考量，是其帶來的效益，比如整合式的通訊平臺（如彙整即時通訊軟體、視訊軟體與Email），使用起來很方便，不必個別發送Email或簡訊通知。此外，他們也看重用雲的未來發展，比如可用自動化開發工具來打造更好的病危通報、感染管制、醫材管理等功能。</p> <p>另一方面，臺大醫院也採用雲端網頁服務，如用於化療給藥覆核、居家血壓記錄的影像辨識應用（如下圖），或是手術語音輸入系統、生命徵象語音輸入系統等語音辨識應用，甚至是近期興起的生成式AI應用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%BD%B1%E5%83%8F%E8%BE%A8%E8%AD%98.JPG" /></p> <p><span style="font-size:24px;"><strong>上雲觀察：基層機構、特殊應用適合先用雲</strong></span></p> <p>面對近來興起的醫療上雲趨勢，尚榮基從臺大醫院上雲經驗中觀察，醫療場域最適合先用雲有2種情境。一是基層機構，如診所、長照機構、護理之家、藥局和檢驗所等，因為這些機構缺乏IT人力和基礎設施，難以自行管理系統，特別是現在資安風險越來越高，更難有專業人力負責。因此，採用獲認證的雲端服務，可解決這些人力問題。而且，若將單機PC轉為伺服器，能大幅提高基層機構IT服務能量，如可用於資料交換、網路服務等。</p> <p>另一種適用情境則是特殊應用，如AI／ML、大數據分析、IoT連線、視訊診療、資安和辦公室自動化應用。這些服務都有共同特質，如適合處理大量資料、大量計算或大範圍應用，且具備標準化、可跨院通用的特質。</p> <p>用雲還有個潛在好處。尚榮基表示，由於醫院系統高度客製化，採用雲端標準化系統，則可加速IT應用、利於擴充系統功能，甚至進一步擴大使用範圍、降低醫院成本。</p> <p>不過他認為，醫學中心的核心系統不應急著上雲。因為，這些系統耗費多年開發，技術導入也得配合醫院系統更新周期。再來，上雲還得面對軟硬體客製化需求，以及院內系統整合難度，更得審慎評估，廠商解決方案能否配合醫院系統搬遷。成本、醫院管控程度也是核心系統慢點上雲的考量點。</p> <p><span style="font-size:24px;"><strong>上雲得考慮的6大問題</strong></span></p> <p>最後，尚榮基給出醫院是否該上雲的觀點。他指出，雲端系統是技術趨勢，但技術的成熟需要時間，現有的雲端方案並不完美，還有很多問題待解決。與此同時，雲端技術也持續進步，新應用也不斷推出，而醫院是否上雲，得清楚了解上雲目的和效益，避免因技術焦慮、廠商需求而貿然投入。</p> <p>尚榮基認為，由於每家醫療機構處境不同，因此沒有一致的比較標準。但他建議，醫院面對選擇時，可評估6個問題。首先是成本問題，上雲是否更省錢？再來是服務品質，上雲後是否比地端更好？雲端解決方案是否有足夠的安全措施？</p> <p>以及合約保障是否足夠、廠商有無獲得認證。尚榮基提醒，醫院也得注意上雲系統的自主性和控制性，最後也得考慮合約是否有「好聚好散」條款，也就是未來醫院要下雲，能否順暢進行。他提醒，並非上雲就能解決所有問題，醫院上雲後仍有許多問題要處理，得仔細評估再決定。</p> </div></div></div>
2023/9/27 18:21作者王若樸https://www.ithome.com.tw/news/159010
Sony傳出資料外洩，有兩組人馬聲稱是他們所為，但資料是否來自該公司仍有待釐清
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>先前日本大型企業Sony傳出大規模資料外洩的情況，是發生近10年前，<a href="https://www.ithome.com.tw/news/93457">索尼影業（Sony Pictures）遭到北韓駭客入侵</a>，不僅內部資料外流，該公司員工被迫回家工作。但如今有人再度宣稱從該公司內部偷到機敏資料引起資安界關注，而且還不只一組駭客表示他們握有相關檔案。</p> <p>根據<a href="https://www.hackread.com/ransomedvc-ransomware-group-sony-cyberattack/">資安新聞網站HackRead於9月24日的報導</a>，勒索軟體駭客組織RansomedVC聲稱入侵日本大型企業Sony，並完全滲透該公司所有的系統，這些駭客沒有向Sony索討贖金，而是打算求售竊得的資料，原因是Sony不願遵照駭客的要求進行後續處理。</p> <p>該新聞網站看到駭客公布疑似來自Sony品質保證部門的簡報檔案、工作站螢幕截圖、Java檔案。26日Sony表示他們已了解此事，並著手調查，但沒有提出其他說明。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ransomedvc-ransomware-group-sony-cyberattack-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ransomedvc-ransomware-group-sony-cyberattack-4.jpg" style="width: 580px;" /></a></p> <p>究竟這些駭客偷到了多少資料？<a href="https://www.bleepingcomputer.com/news/security/sony-investigates-cyberattack-as-hackers-fight-over-whos-responsible/">資安新聞網站Bleeping Computer指出</a>，這些駭客透露總共竊得約260 GB檔案，打算開價250萬美元。然而，駭客提供檢驗的樣本資料，大小卻僅有2 MB。</p> <p>但隨後有人宣稱，他們才是真正的攻擊者。名為MajorNelson的人士於駭客論壇BreachForums表示，所有的記者都上當了，指控RansomedVC其實只是想要騙取媒體關注，並非真正攻擊Sony的兇手。</p> <p><a href="https://s4.itho.me/sites/default/files/images/bf-screenshot.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/bf-screenshot.jpg" style="width: 580px;" /></a></p> <p>MajorNelson公布了從Sony竊得的2.4 GB檔案，解壓縮檔案大小為3.14 GB，宣稱這些檔案是Sony各式內部系統的帳密資料，並包含SonarQube、Creators Cloud的帳密，以及產生授權檔案的裝置模擬器等。Bleeping Computer發現，MajorNelson提供的資料當中，涵蓋RansomedVC在樣本檔案提及的所有資料，但無論是那一組駭客公布的檔案，該新聞網站無法確認這些資料的真實性。</p> </div></div></div>
2023/9/27 22:10作者周峻佑https://www.ithome.com.tw/news/159013
【資安週報】2023年9月18日到9月22日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>許多IT廠商在前一週發布9月份例行更新，但在本週的資安新聞裡，有多起漏洞攻擊行動引起研究人員關注，並呼籲企業組織、使用者應儘速修補，這些漏洞包含：</p> <p>（一）8月份Juniper修補的CVE-2023-36845，當時該廠商評估風險等級為中等，但資安業者VulnCheck發現該漏洞嚴重程度被低估，已有駭客嘗試將其用於攻擊行動；</p> <p>（二）開源物件儲存服務MinIO於3月修補的漏洞CVE-2023-28432、CVE-2023-28434，駭客針對DevOps工程師下手，在目標系統植入後門程式Evil MinIO，竄改更新伺服器的網址，然後派送惡意更新；</p> <p>（三）蘋果針對旗下電腦、行動裝置、穿戴裝置，修補零時差漏洞CVE-2023-41991、CVE-2023-41992、CVE-2023-41993，這些由加拿大公民實驗室與Google威脅情報小組（TAG）通報的漏洞，已被用於攻擊iPhone裝置；</p> <p>（四）趨勢科技針對旗下端點防護產品Apex One、Worry-Free Business Security（WFBS）漏洞CVE-2023-41179發布公告，已有攻擊行動出現，引起日本電腦網路危機處理暨協調中心（JPCERT/CC）注意；</p> <p>（五）駭客假借提供6月WinRAR修補漏洞的PoC，但其實是利用地圖服務伺服器程式GeoServer的SQL注入漏洞CVE-2023-25157，散布木馬程式VenomRAT。</p> <p>其他的重要漏洞修補警告，還包括：GitLab修補執行任意自動化工作流程漏洞CVE-2023-4998，以及Fortinet修補防火牆作業系統、上網安全閘道、WAF的高風險漏洞CVE-2023-29183、CVE-2023-34984，網路監控軟體Nagios XI修補高風險漏洞、N-able遠端管理工具的CVE-2023-27470、程式庫ncurses的記憶體毀損漏洞等。</p> <p>面對日與俱增的資安威脅，本週除了研究人員極力呼籲使用者儘速修補已公開的漏洞，資安界也有多項動態值得留意。</p> <p>首先是資安業者Mandiant舉辦的mWISE Conference 2023資安防禦會議，FBI局長Christopher Wray提到攻防極度不對等的資安態勢，他表示，中國駭客人數是FBI資安專家的50倍以上，防守方勢必要善用AI人工智慧技術，還有政府、執法機關與民間產業之間更為緊密的合作，才有機會扭轉局勢，他甚至認為企業應該在資安防護計畫裡納入FBI，充分發揮執法的力量。</p> <p>再者，OpenAI為了改善機器學習模型的安全，擴大原本的紅隊演練規模，成立名為OpenAI Red Teaming Network的紅隊演練網路，從數十個專業領域招募專家，看重的是專家能提供該領域的專業觀點，而有可能突破人工智慧產業的盲點。</p> <p>本週資安界有兩起重大的廠商併購案，分別是19日資安業者CrowdStrike買下應用程式安全態勢管理（ASPM）新創Bionic，及21日思科買下大數據資安業者Splunk，其中又以思科和Splunk的併購案受到最多關注。值得留意的是，這起合併案2022年2月就傳出風聲，當時思科打算以200億美元買下Splunk，而現在實際成交的金額達到280億美元，較先前的傳聞多出4成。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/158796"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月18日】開源物件儲存服務MinIO漏洞遭到鎖定，駭客企圖發動供應鏈攻擊，入侵企業組織內部環境</span></strong></a></h3> <p>駭客利用開發環境入侵目標組織，發動供應鏈攻擊的情況再度出現，最近資安業者Security Joes揭露的攻擊事件裡，駭客就是鎖定開源物件儲存服務MinIO的已知漏洞而來，對方先是針對工程師下手，說服他們安裝含有弱點的MinIO，從而發動攻擊，這樣的做法相當罕見，使得研究人員呼籲管理者要提高警覺。</p> <p>由於MinIO往往搭配AWS S3、Google Cloud Storage、Azure Blob Storage等雲端儲存桶運用，使得上述的攻擊手段影響範圍可能相當廣泛。</p> <h3><a href="https://www.ithome.com.tw/news/158816"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月19日】Juniper甫修補的中等風險漏洞恐遭低估，研究人員發現能用於發動RCE攻擊，近1.2萬臺設備曝險</span></strong></a></h3> <p>又是漏洞風險被低估可能會引發災情的情況！資安業者Juniper在今年8月揭露的CVE-2023-36845，當時評估其漏洞僅有中度風險，必須與其他漏洞才可能引發重大危害，但最近有研究人員指出，他們只需利用這項漏洞，就能在沒有通過身分驗證的狀態，遠端執行任意命令（RCE），使得這項漏洞危險程度遠超過原先認定的層級。</p> <p>然而，由於Juniper輕估了漏洞的風險，使得很多IT人員不會立即修補漏洞。但研究人員警告，他們已經看到駭客開始嘗試利用這項漏洞。</p> <h3><a href="https://www.ithome.com.tw/news/158845"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月20日】面臨攻守極度失衡的局勢，FBI局長呼籲民間企業與政府積極合作，並將FBI納入資安防護計畫</span></strong></a></h3> <p>為了因應態勢日益險峻的網路威脅，近年來不斷有專家呼籲政府與企業之間應採取聯合防禦及情資共享的戰略，在9月18日由資安業者Mandiant舉辦的資安會議mWISE Conference 2023當中，美國聯邦調查局（FBI）局長Christopher Wray特別以此進行演說，透過資訊分享、情資分析的良性循環，最終在大家的合作下就可以保護國家的網路。特別的是，他呼籲企業在資安防護計畫裡「納入FBI」，讓他們能發揮公權利來攔阻網路犯罪。</p> <h3><a href="https://www.ithome.com.tw/news/158872"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月21日】中國駭客假借寄送發票的名義發動網釣攻擊，目的是散布新型態的木馬程式ValleyRAT</span></strong></a></h3> <p>我們近期報導不少中國駭客的攻擊行動，鎖定目標多半是針對敵對國家而來，在今天的資安新聞中，有針對當地企業組織而來的網路釣魚攻擊被研究人員揭露，其手法都是透過免費的電子郵件服務寄送釣魚信，然後使用發票、求職信為誘餌發動攻擊，進而於受害電腦植入ValleyRAT、Purple Fox、Sainbox RAT。</p> <p>值得留意的是，這起攻擊行動背後很可能有多個組織參與，且範圍開始擴及日本。</p> <h3><a href="https://www.ithome.com.tw/news/158896"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月22日】斥資280億美元重金，思科買下大數據資安業者Splunk</span></strong></a></h3> <p>本週資安界有兩起併購案，分別是19日資安業者CrowdStrike買下應用程式安全態勢管理（ASPM）新創Bionic，以及21日思科買下大數據資安業者Splunk，其中又以思科和Splunk的併購案受到最多關注。</p> <p>值得留意的是，這起合併案早在2022年2月就傳出風聲，當時思科打算以200億美元買下Splunk，而現在實際成交金額達到280億美元，較先前傳聞多出4成。</p> </div></div></div>
2023/9/27 22:48作者周峻佑https://www.ithome.com.tw/news/159014
【資安日報】9月27日，Sony傳出資料外洩，有2組駭客先後聲稱對其下手，取得多項內部機密的帳密資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日本知名企業Sony傳出資料外洩事故，但特別的是，這並不是今天才出現的消息，前幾天就有駭客組織RansomedVC聲稱對該公司下手，今天又有另一個駭客組織MajorNelson，宣稱是他們所為。這兩個組織也公開了部分竊得的資料，供買家及媒體進行驗證。</p> <p>另一個值得留意的是，兩組駭客提供的樣本資料檔案大小差距相當懸殊，但兩組資料互有交集，而對於這些資料是否真的來自Sony？有待進一步的調查。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Sony傳出資料外洩，有兩組人馬聲稱是他們所為</span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/ransomedvc-ransomware-group-sony-cyberattack-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ransomedvc-ransomware-group-sony-cyberattack-1.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站HackRead於9月24日的報導，勒索軟體駭客組織RansomedVC聲稱入侵日本大型企業Sony，並完全滲透該公司所有的系統，這些駭客沒有向Sony索討贖金，而是打算求售竊得的資料，原因是Sony不願遵照駭客的要求進行後續處理。</p> <p>該新聞網站看到駭客公布疑似來自Sony品質保證部門的簡報檔案、工作站螢幕截圖、Java檔案。26日Sony表示他們已了解此事，並著手調查，但沒有提出其他說明。資安新聞網站Bleeping Computer指出，駭客透露總共竊得約260 GB檔案，打算開價250萬美元。</p> <p>但隨後有人宣稱，他們才是真正的攻擊者。名為MajorNelson的人士於駭客論壇BreachForums表示，所有的記者都上當了，指控RansomedVC其實只是想要騙取媒體關注，並非真正攻擊Sony的兇手。MajorNelson公布了從Sony竊得的2.4 GB檔案，解壓縮檔案大小為3.14 GB，宣稱這些檔案是Sony各式內部系統的帳密資料，並包含SonarQube、Creators Cloud、產生授權檔案的裝置模擬器等。Bleeping Computer發現，MajorNelson提供的資料當中，涵蓋RansomedVC在樣本檔案提及的所有資料，但他們無法確認這些資料的真實性。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.hackread.com/ransomedvc-ransomware-group-sony-cyberattack/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--557264360" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.hackread.com/ransomedvc-ransomware-group-sony-cyberattack/</span></a><br /> 2. <a href="https://www.bleepingcomputer.com/news/security/sony-investigates-cyberattack-as-hackers-fight-over-whos-responsible/">https://www.bleepingcomputer.com/news/security/sony-investigates-cyberattack-as-hackers-fight-over-whos-responsible/</a></p> <p><a href="https://www.group-ib.com/blog/shadowsyndicate-raas/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織ShadowSyndicate運用7款勒索軟體從事攻擊行動</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ShadowSyndicate-5-13.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ShadowSyndicate-5-13.png" style="width: 300px; float: right;" /></a>資安業者Group-IB、Bridewell，聯手研究人員Michael Koczwara調查駭客組織ShadowSyndicate的攻擊行動，這些駭客自2022年7月開始，利用漏洞來發動攻擊，並與勒索軟體Quantum、Nokoyawa、BlackCat（Alphv）、Clop、Royal、Cactus、Play攻擊行動有所關連。</p> <p>研究人員推測，這些駭客有可能是從事勒索軟體攻擊的附屬組織，或是兜售入侵帳密資料的掮客（IAB）。該組織架設了至少85臺SSH伺服器，並運用Cobalt Strike、IcedID、Sliver等工具作案，其中有52臺伺服器被用於架設Cobalt Strike的框架。</p> <p>他們根據C2進行分析，推測2022年9月發生的3起Quantum勒索軟體攻擊、2022第4季及2023年4月的Nokoyawa攻擊，以及今年2月發生的BlackCat（Alphv）攻擊，該組織皆參與。特別的是，至少有12個基礎設施的IP位址，是過往勒索軟體駭客組織Clop所用。</p> <p><a href="https://www.recordedfuture.com/multi-year-chinese-apt-campaign-targets-south-korean-academic-government-political-entities"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客TAG-74發起攻擊行動，鎖定韓國散布後門程式ReVBShell</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/multi_year_chinese_apt_campaign_targets_south_korean_academic_government_political_entities_body_ecee001094.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/multi_year_chinese_apt_campaign_targets_south_korean_academic_government_political_entities_body_ecee001094.png" style="width: 300px; float: right;" /></a>資安業者Recorded Future揭露中國駭客TAG-74的攻擊行動，這些駭客的主要目標是韓國學術機構、政治團體、政府機關，目的是竊取智慧財產，並且擴大中國在全球高等教育影響力。</p> <p>在其中一起攻擊行動裡，駭客利用Windows說明檔案（CHM）當作誘餌，投放以Visual Basic指令碼製作的後門程式ReVBShell，最終於受害電腦植入木馬程式Bisonal，而上述的後門程式ReVBShell，TAG-74也與另一個中國駭客組織Tick共用，未來可能也會出現在Tick的攻擊行動。</p> <p>研究人員指出，駭客主要以韓國的組織為目標，並持續在韓國、日本、俄羅斯進行長期的情報收集工作，但比較特別的是，駭客使用CHM檔案的情況主要是發生在韓國，其他國家不常見，且不光是TAG-74，Kimsuky、APT37等北韓駭客組織也偏好利用這種檔案在韓國發動攻擊。</p> <p><a href="https://www.threatfabric.com/blogs/xenomorph"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北美、歐洲安卓用戶遭到金融木馬Xenomorph鎖定</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Xenomorph-Slide7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Xenomorph-Slide7.png" style="width: 300px; float: right;" /></a>資安業者ThreatFabric揭露最新一波的安卓金融木馬Xenomorph攻擊行動，駭客今年8月開始架設釣魚網站，引誘使用者更新Chrome瀏覽器，藉此於受害手機部署木馬程式，目標是盜取美國金融機構的客戶存款，以及用戶加密貨幣應用程式存放的數位貨幣。</p> <p>研究人員指出，新的木馬程式導入了模仿（mimic）功能，使得該惡意程式的行為能像其他應用程式；再者，這個模仿功能會執行名為IDLEActivity的活動，顯示來自合法處理程序的網頁內容。</p> <p>值得一提的是，此木馬程式具備名為ClickOnPoint的功能，可以模擬執行點選螢幕的動作，讓攻擊者能夠遠端操作，使得駭客不再需要使用完整的自動轉帳系統（ATS）元件，就能跳過確認畫面，或是執行基本的操作，也不會被安全防護機制或防毒軟體察覺有異。</p> <p><a href="https://www.ithome.com.tw/news/158995"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">LastPass用戶遭鎖定，駭客對其發動釣魚郵件攻擊，要脅若不驗證部分功能將遭停用</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot-2023-09-25-at-4_47_47-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2023-09-25-at-4_47_47-PM.png" style="width: 300px; float: right;" /></a>9月14日資安業者Malwarebytes提出警告，有人對密碼管理解決方案LastPass的用戶散布釣魚郵件，要求他們必須在指定期限內重新驗證個人資料，否則26日將有部分功能遭到停用。若是收信人依照指示進行「驗證」，駭客就有可能將相關帳密資料用於破解去年外流的LastPass使用者組態。</p> <p>LastPass於25日做出說明，表示這起網釣攻擊範圍包括他們自己的87名員工，而且，全球都有用戶收到釣魚信，他們的威脅情報團隊自13日接獲用戶通報後，尋求資安業者Fortra旗下的PhishLabs團隊協助，並向相關服務供應商通報惡意網域，隨後這些網域遭到撤銷。</p> <p>後來駭客再次於19日進行二度攻擊，PhishLabs發現後，於16個小時內完成相關的回應措施。而對於攻擊者的身分，該公司推測，這起網釣攻擊行動的攻擊者，與之前竊取資料的駭客不同。 </p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.malwarebytes.com/blog/news/2023/09/nasty-lastpass-phish" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--429936947" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.malwarebytes.com/blog/news/2023/09/nasty-lastpass-phish</span></a><br /> 2. <a href="https://blog.lastpass.com/2023/09/lastpass-threat-intel-team-and-phishlabs-work-together-to-protect-customers-from-phishing-scams/">https://blog.lastpass.com/2023/09/lastpass-threat-intel-team-and-phishlabs-work-together-to-protect-customers-from-phishing-scams/</a></p> <p><a href="http://isc.sans.edu/diary/A+new+spin+on+the+ZeroFont+phishing+technique/30248/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露新的ZeroFont網釣攻擊手法，佯稱郵件已通過防護系統掃描</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/23-09-26-listing.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/23-09-26-listing.png" style="width: 300px; float: right;" /></a>利用零像素字元進行攻擊的釣魚郵件手法ZeroFont再度出現！美國系統網路安全協會（SANS Institute）Internet Storm Center（ISC）分析師Jan Kopriva揭露此類型攻擊，駭客在信件內容嵌入零像素的字元，使得收信人在收信軟體的信件列表裡，看到「此信件已通過防護系統掃描」的摘要訊息，可能誤以為這封信件安全無虞而開啟內容，結果上當。</p> <p>這種手法並非首次出現，2018年資安業者Avanan首度揭露ZeroFont，駭客將其用於騙過微軟的自然語言處理（NLP）郵件分析機制，並讓收信人誤以為郵件來自知名的IT業者。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/in-the-wild-exploitation-expected-for-critical-teamcity-flaw-allowing-server-takeover/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">CI/CD系統TeamCity存在能挾持伺服器的漏洞，研究人員警告可能很快就會出現攻擊行動</span></strong></a></p> <p>資安業者SonarSource揭露持續整合與持續交付（CI/CD）系統TeamCity的重大漏洞CVE-2023-42793，未經身分驗證的攻擊者，能藉此從遠端連到TeamCity伺服器上，執行任意程式碼（RCE），或是利用該漏洞竊取原始碼、私鑰、服務機密資訊，挾持Build Agent並造成版本中毒，CVSS風險評分為9.8。</p> <p>對此，開發商JetBrains於9月18日發布2023.05.4版TeamCity予以修補，而對於暫時無法更新的IT人員，該公司也提供緩解漏洞的外掛程式，對於2019.2版以上的用戶，可在不需重新啟動伺服器的情況下套用。研究人員指出，目前尚未發現遭到利用的跡象，但由於觸發該漏洞相當容易，他們認為很快就會出現攻擊行動，呼籲用戶要儘速處理。</p> <p>資料來源</p> <p>1. <a href="https://www.sonarsource.com/blog/teamcity-vulnerability/">https://www.sonarsource.com/blog/teamcity-vulnerability/</a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://blog.jetbrains.com/teamcity/2023/09/critical-security-issue-affecting-teamcity-on-premises-update-to-2023-05-4-now/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-504109199" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://blog.jetbrains.com/teamcity/2023/09/critical-security-issue-affecting-teamcity-on-premises-update-to-2023-05-4-now/</span></a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="http://nsfocusglobal.com/warning-newly-discovered-apt-attacker-atlascross-exploits-red-cross-blood-drive-phishing-for-cyberattack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織AtlasCross佯稱美國紅十字會，意圖透過釣魚郵件散布惡意程式</span></span></strong></a></p> <p><a href="https://securityaffairs.com/151501/cyber-crime/rhysida-ransomware-kuwait-ministry-of-finance.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">科威特財政部傳出遭勒索軟體Rhysida攻擊</span></span></strong></a></p> <p><a href="https://www.resecurity.com/blog/article/Smishing-Triad-Impersonates-Emirates-Post-Target-UAE-Citizens"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">釣魚簡訊攻擊Smishing Triad範圍延伸到阿拉伯聯合大公國</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-actively-exploiting-openfire-flaw-to-encrypt-servers/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">開源即時通訊系統Openfire存在高風險漏洞，已被用於攻擊行動</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/google-assigns-new-maximum-rated-cve-to-libwebp-bug-exploited-in-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">針對日前修補的libwebp零時差漏洞，Google將其CVSS評分提升至10分</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/158974"><strong>【9月26日】駭客組織Stealth Falcon針對中東政府機關下手，散布後門程式Deadglyph</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158960"><strong>【9月25日】埃及總統候選人遭到鎖定，攻擊者利用iOS零時差漏洞在手機植入間諜軟體Predator</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158927"><strong>【9月23日】中國駭客鎖定臺灣安卓用戶，假借提供Whoscall付費功能的破解程式來散布惡意軟體</strong></a></p> </div></div></div>
2023/9/27 17:35作者周峻佑https://www.ithome.com.tw/news/159005
零售IT雙周報第22期：不再只賣元宇宙紀念品，Walmart將電商和會員機制整合進第三方遊戲成為新通路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0917~0930)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#遊戲電商</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#OMO零售</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#會員經營</span></span><br /> 終於不是元宇宙虛擬紀念品，Walmart推出在房地產遊戲內購買家具的電商功能</strong></p> <p>美國零售龍頭Walmart在房地產買賣及裝潢模擬遊戲中推出<a href="http://https://corporate.walmart.com/news/2023/09/19/exploring-the-potential-of-virtual-commerce">購買實體家具功能</a>。玩家可以連結Walmart會員帳號，於遊戲內購買家具來翻新房屋或獲得各式家具獎勵時，會看到「在現實中購買」功能，可直接觀看樣品照片、下單、結帳。遊戲內也有Walmart虛擬門市，可以購買虛擬及實體家具。未來，Walmart還打算於遊戲內持續上架更多實體家具商品。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/wmg1.png" style="width: 600px;" /></p> <p>近兩年來，許多實體零售業者在元宇宙遊戲的操作，大多與自身原有業務無關，或幾乎不具規模。Walmart這次則進一步將會員系統、金流系統及實體商品銷售活動，融入遊戲原生內容。不只如此，他們還打算持續上架新商品，長期經營遊戲這個電商通路。這種做法在業界相當少見。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#餐飲POS系統</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#數據整合</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#訂位系統</span></span><br /> iChef新增餐廳訂位功能，與Google線上訂位功能整合</strong></p> <p>餐飲POS系統商iChef推出訂位管理功能，餐廳能於POS App一站式管理訂位、外送、外帶、餐廳控位、點餐出餐、結帳發票等環節，還能自動寄送訂位確認簡訊。</p> <p>此功能串接POS系統原有桌位管理功能，餐廳可以在介面中看到每桌預約情況，系統還會根據訂位人數和時段自動指派餐桌空位，若桌位臨時空出，也會立即釋放訂位名額。餐廳還可以用簡單拖曳操作，更改訂位指派桌位及時段，以因應重複指派桌位，或訂位者提前到店等情況。新訂位功能依訂位筆數計價，餐廳有不同費率方案跟約期可挑選。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ichefff.png" style="width: 600px;" /></p> <p>之前iChef已與Google商家檔案功能整合，店家可以從iChef後臺管理商家檔案設定，綁定餐廳網站連結。現在，消費者於Google搜尋到商家時，可以從「透過Google預定」功能訂位，還能連結到餐廳網站訂餐、查詢專屬優惠。未來，還計畫支援從Google訂位的手機號碼欄位，來辨識會員身分。</p> <p>根據Google Trend，「訂位」搜尋關鍵字熱門度在疫情後已經達到了疫前3.3倍，顯示出消費者更加重視餐廳線上訂位功能。不過，iChef對自家客戶調查顯示，有接受訂位的餐廳中，高達45%沒有使用線上訂位系統。不使用的主因，是因為對中小型餐飲業來說，新導入訂位系統，有影響現場營運流程、增加管理複雜度、增加員工訓練成本等痛點。</p> <p>從IT角度來看，訂位系統上可能會有許多消費者喜好資料，POS系統不會記錄到，例如聚餐用途、特殊座位喜好、同行者資訊等。業界一個常見痛點是，許多訂位系統與POS系統沒有資料拋轉功能，形成資料孤島。iChef就是鎖定這些管理和IT上痛點，於POS系統中推出訂位功能，以期透過簡化整合程序來吸引餐廳使用。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RFID</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#無人收銀</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI影像辨識</span></span><br /> Amazon於Just Walk Out新增RFID辨識功能，支援電腦視覺難以辨識的商品類型</strong></p> <p>電商龍頭Amazon於Just Walk Out無人結帳解決方案<a href="https://www.aboutamazon.com/news/retail/amazon-just-walk-out-rfid-technology">新增RFID辨識功能</a>，來支援電腦視覺難以辨識的商品類型。</p> <p>過往，Just Walk Out主要利用店內鏡頭，搭配後臺視覺辨識來判斷消費者取放商品。一個問題是，衣物等軟質地商品，一拿起來就會變形，因此過往需要放在袋子或盒子內，AI才容易辨識。不過，若放在袋子或盒子內，消費者便不容易試摸、試穿。為了支援這些AI難以辨識的消費情境，Amazon新增RFID來輔助商品辨認。如此一來，即使消費者頻繁取放衣物，或拿去試衣間之後不放回貨架，系統後臺也能準確追蹤商品狀態。</p> <p>RFID應用於結帳已是相當成熟的技術，快速結帳精確度甚至高於電腦視覺。不過，後者能同時記錄到消費者及商品資訊，更擅長追蹤消費者店內購物行為。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#OMO轉型案例</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電商物流模式</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#多通路經營</span></span><br /> Fila臺灣7年OMO轉型歷程的3大關鍵做法</strong></p> <p>2016年，義大利運動品牌Fila在臺數位轉型正式啟動。從2016到2023年，Fila從一個純線下品牌，發展出了4種線上銷售通路，40萬名數位會員，建立了自動化數位行銷機制，以門市為中心進行線上線下導流，還經營著占地464坪的電商專用倉儲。這背後，有3大關鍵做法，分別是新設專責數位部門、建線上通路蒐集會員數據，驅動數位行銷，以及發展專屬電商商業模式的物流模式。</p> <p>為了發展數位通路，Fila設立了與行銷、資訊部門平級的電商部門，並於行銷部門設立專職數位行銷人員。他們也要求這些專職人員學習數位工具，來支援新通路銷售和行銷模式，更將數位工具操作能力設為KPI。同時，他們陸續導入BI工具、CRM等新系統。</p> <p>發展數位通路同時，他們整合了線上線下會員機制和數據，用來升級數位行銷精準度，從純曝光廣告、回饋網交叉行銷，走到數據驅動的會員精準行銷。疫情期間，他們還利用實體店面地推群組來進行線上線下通路導流。</p> <p>Fila為了進軍電商還發展了新物流模式。電商物流模式與過往線下店面的物流模式相差甚遠，Fila剛開始利用電商寄倉服務來履行電商訂單，後來轉用開店平臺倉儲解決方案，來統一處理各大數位通路訂單物流。未來他們還打算進一步整合電商及實體物流，以支援更多跨通路業務。（<a href="https://www.ithome.com.tw/news/158912">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#店內數據分析</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#店面規畫</span></span><br /> Henderson Group利用銷售和店面室內設計資料，從個別門市等級優化店面規畫</strong></p> <p>旗下有知名超市Spar的北愛爾蘭零售集團Henderson Group結合店內銷售數據和個別店面室內設計數位資料，從個別店面級別，優化上百家門市的店內貨架安排及商品陳列。</p> <p>背後技術是零售店面科技商CADS的系統，整合AutoCAD和Nielsen Planogram等常見店面設計軟體素材。此系統還可以追蹤店面銷售表現，來提供空間規畫改善建議，例如是否有商品種類占用太多或太少空間。</p> <p>目前Henderson Group已經在101家店中利用此技術來優化店面規畫，未來預計推廣此做法到旗下400家以上店面。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1. 誠品物流資料中心從三層式架構改為採用超融合架構，提升了30%系統運作速度</p> <p>2. <a href="https://www.prnewswire.com/news-releases/luxury-performance-footwear-brand-athletic-propulsion-labs-steps-up-its-ecommerce-results-with-ai-powered-true-fit-guidance-to-increase-revenue-and-reduce-returns-301930557.html">知名鞋類品牌APL於電商導入AI試穿科技，4年來減少了15%退貨情形。</a></p> <p>圖片來源：iChef、Walmart</p> <p>資料來源：iThome整理，2023年9月</p> <p>責任編輯：郭又華</p> </div></div></div>
2023/9/27 17:18作者郭又華https://www.ithome.com.tw/news/159004
各供應商GPU皆存在GPU.zip漏洞，可被攻擊者用於竊取視覺資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安研究人員檢視各供應商的GPU，發現了一個被稱為<a href="https://www.hertzbleed.com/gpu.zip/">GPU.zip的旁路漏洞</a>，如同該名稱所暗示，此漏洞與GPU的壓縮行為有關。攻擊者可以濫用此旁路漏洞洩漏視覺資料，資安人員實現GPU.zip概念性驗證，利用最新版本的Chrome瀏覽惡意網頁，便能夠竊取另一個網頁洩漏的像素，而這個行為違反了瀏覽器的安全模型。</p> <p>由於傳輸資料的成本通常比處理資料更高，因此壓縮技術便常被用來解決記憶體牆（Memory Wall）的問題，這是指處理器的效能提升速度，快過記憶體存取速度的提升，因此處理器經常需要等待記憶體資料。當這種現象發生，壓縮技術便能派上用場，透過消除重複的資料模式，以更少的位元編碼相同的資料。</p> <p>GPU圖形資料壓縮是現代GPU的一項功能，能夠節省記憶體頻寬並提高效能，而這項壓縮不需要軟體參與，研究人員提到，即使軟體不要求任何壓縮，現在的GPU也會對圖形進行無損壓縮，這個壓縮行為對軟體來說完全透明，也就是軟體無法得知GPU是否執行圖形壓縮。</p> <p>當資料被壓縮時，會產生特定的記憶體存取模式和快取模式，資料與模式間存在相依性，也就是不同的原始資料，在壓縮後會產生不同的模式，攻擊者可以利用這些模式進行旁路分析，進而推測出原始資料的內容。</p> <p>研究人員便是透過創建特定的圖形模式，觀察GPU壓縮圖形模式的方法，再根據壓縮結果，猜測出部分秘密資訊，像是瀏覽器中的像素值。由於壓縮行為是透明的，軟體不知道GPU背後的壓縮動作，因此軟體開發者可能認為，沒有明確壓縮指令時，GPU便不會進行壓縮，但實際上硬體的確會自行壓縮，這樣的認知差異就可能被攻擊者利用。</p> <p>過去已知的壓縮旁路漏洞是由軟體可見的壓縮造成，只要透過在軟體停用壓縮或是額外措施緩解旁路洩漏風險就能緩解，但是當前GPU的壓縮行為軟體不可見，因此也更難解決。</p> <p>在大多數的情況下，這個漏洞對終端用戶來說不危險，因為大多數敏感網站已經拒絕被其他來源的網站嵌入，所以也不容易受到利用GPU.zip所執行的像素竊取攻擊。但部分網站仍有影響，當一個已登入維基百科的使用者存取惡意網站，該網頁可能會利用GPU.zip攻擊知道該使用者的維基百科用戶名稱，不過目前大多數主流網站已有防護措施，因此一般使用者的日常瀏覽不太可能遭遇這種攻擊。</p> <p>對開發人員來說，當網站會顯示使用者的敏感資訊，就應該配置網站拒絕被跨來源網站嵌入。資安人員在今年3月時向GPU供應商通報這項漏洞，包括AMD、Apple、Arm、Intel、Nvidia和Qualcomm，另外還有瀏覽器供應商Google，同時提供概念性驗證程式碼，不過，到目前尚無GPU供應商承諾提供修復程式，Google則仍在決定是否修補。</p> <p>資安人員特別解釋，之所以這項攻擊容易在Chrome中被濫用，是因為Chrome允許跨來源iframe載入Cookie，且允許在iframe上渲染SVG過濾器，並把渲染任務委派給GPU，Firefox和Safari等其他不符合這三項標準的瀏覽器，便不容易受到攻擊。</p> </div></div></div>
2023/9/27 16:37作者李建興https://www.ithome.com.tw/news/159000
Mandiant示警：中國網攻大轉型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【mWISE 2023美國華盛頓特區報導】</p> <p>「1995年我們調查一起中國駭客入侵事件，循入侵路徑調查攻擊者IP，才反查一個連線點就查出IP位於中國上海，很快就能判定為中國駭客。」Google Cloud Mandiant行政總裁Kevin Mandia說：「但是，近年來中國的網路攻擊戰略已經大幅轉變，他們的攻擊能力與匿蹤能力已不可同日而語。」</p> <p>Mandiant在2013年發布全球第一份指證中國軍隊涉及網路攻擊的「APT 1」調查報告，他們追蹤駭客攻擊足跡，證實位於上海市浦東新區的中國人民解放軍61398部隊就是中國的網軍部隊，因而聲名大噪。</p> <p>「中國的網路攻擊能力已經到達一個全新境界。」在APT 1報告問世十年的時刻，Google Cloud Mandiant Intelligence主席Sandra Joyce在mWISE 2023的媒體簡報會上說：「中國現在已經有能力策畫出，連我們（Mandiant）都要花好幾個月時間才能弄清楚的網路攻擊行動。」因而Mandiant已將中國提升到第一級網軍國家。</p> <p>Mandiant對中國駭客攻擊手法轉型的調查總結三大轉變，包括系統性挖掘零日漏洞（Zero Day）、利用網通設備的漏洞來入侵企業或組織，以及挾持家用或中小企業路由器、IoT等設備，做為攻擊跳板。</p> <p>中國駭客攻擊已經逐漸捨棄社交工程手法，轉為利用威力更強大的零日漏洞。Google Cloud Mandiant Intelligence首席分析師John Hultquist指出，利用零日漏洞來發動攻擊，可以一次性地造成大規模的攻擊，只要是使用相同網通設備、具有相同零日漏洞的企業或組織，就可以一網打盡。</p> <p>近年來好幾起中國駭客攻擊事件，都是利用知名網通設備的零日漏洞，諸如防火牆、VPN伺服器、郵件伺服器等，例如自2022年陸續發現Fortinet防火牆、Sophos防火牆、Barracuda郵件伺服器、Citrix ADC、SonicWall郵件安全系統、Pulse VPN等設備的零日漏洞被中國駭客所利用。</p> <p>「這些一再發生的零日漏洞事件明白告訴我們，中國有計畫性地投入大量資源，系統性挖掘網通設備的零日漏洞。」John Hultquist說：「我相信他們一定有個專門研究零日漏洞的實驗室，甚至有可能是好幾個實驗室。」</p> <p>中國在2021年實施《網路產品安全漏洞管理規定》，要求任何人發現或得知網路產品安全漏洞，皆須通報中國工業和信息化部，不得自行公布。此舉也讓外界質疑中國可能藉此暗藏零日漏洞，做為日後發動網路攻擊之用。也難怪Sandra Joyce說：「這些零日漏洞的開發與用途皆由中國人民解放軍集中控管，根本就是製造零日漏洞的機器。」</p> <p>中國網路攻擊另一個重大的轉變，是建構一個擴及全球的網路攻擊跳板。中國駭客利用不安全的家用路由器、中小企業的辦公室路由器或連網IoT裝置，先行入侵這些設備，將其組成一個龐大的傀儡網路。在一起美國軍事機構駭客入侵事件中，首先追查到的攻擊來源是美國境內的家庭路由器，再往後追查又是很複雜的網路跳接，就會讓整個調查行動進度緩慢。John Hultquist指出，現在中國駭客可以從全球任何一個地方發動攻擊，以混淆視聽，達到掩飾的效果，讓調查人員難以溯源追查。</p> <p>中國網攻的大轉變仍在進行中，Sandra Joyce說：「在這種情勢下，地緣政治事件將導致網路攻擊事件，已是必然的趨勢。」</p> </div></div></div>
2023/9/27 16:40作者吳其勳https://www.ithome.com.tw/news/159003
【跨域組金融醫療團隊，自建FHIR引擎轉換病歷標準】國泰金發展醫療大平臺的關鍵一步
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>說起理賠，許多人的印象是到醫院掛號、申請診斷書，交給保險業務，經過漫長等待才獲得理賠。但對壽險業者來說，這是個高度複雜的多對多流程挑戰。一家壽險業者，會收到來自全臺大大小小醫院的診斷書，每一家格式都不盡相同，也未必都符合理賠作業的資料需求。因此，壽險業者得耗費大量人力來整理、審核資料，才能核准理賠。</p> <p>要是有個工具，能解決醫院、壽險業者間資料格式轉換的問題，縮短民眾等待時間，甚至往前一步，讓資料在醫院端先轉換成國際通用的交換標準，符合國家政策和國際趨勢，就會是一大幫手。這正是國泰金控想實現的目標，也是他們自建iFHIR Center電子病歷交換平臺的起心動念。</p> <p><span style="font-size:28px;"><strong>契機：醫療和壽險資料規格不一</strong></span></p> <p>這套平臺由國泰金控數位數據暨科技發展中心（簡稱數數發中心）一手打造。數數發中心是國泰集團內部負責研發新技術的組織，也專責協助集團子公司導入新技術、推動數位轉型。</p> <p>數數發中心雲端策略發展部副總經理陳維銘指出，數數發中心一直有專責團隊，研究金融與醫療的創新應用場域。由於國泰集團自有壽險和醫院，在COVID-19疫情間，相關理賠案件大增，團隊很快發現，為了因應不同醫院文件差異的人工審查作業，越來越是件麻煩事。</p> <p>因此，他們決定打造一套工具，來解決壽險與醫院間理賠資料格式不統一的痛點。當時，衛福部正好開始推動國際交換標準FHIR，激發數數發團隊進一步思考，若能將病歷資料，從現有的CDA R2標準先轉換為FHIR標準，再進行理賠資料交換，這麼做不只符合國家和國際趨勢，對醫院未來的潛在資料交換場景和應用，也更有幫助，可以成為一個多贏的作法。</p> <p>於是，2021年底，數數發中心成立了金融醫療科，由數數發中心雲端策略發展部金融醫療科經理廖銘宏帶隊，來開發這套工具。</p> <p><span style="font-size:28px;"><strong>組隊借鏡醫院經驗，盤點病歷種類</strong></span></p> <p>廖銘宏指出，他們採取分階段的策略，先打造iFHIR Center電子病歷交換平臺，將病歷資料轉換為FHIR標準，之後再透過iClaim智能醫療理賠平臺等工具，來進行醫療機構和人壽間的理賠病歷資料傳輸。</p> <p>為了開發交換平臺核心的FHIR轉換工具，數數發中心聯手集團旗下國泰醫院，先盤點醫院資源、了解作業流程。資料格式轉換的複雜度取決於醫院病歷，初步盤查後發現，高達40多種病歷，所需的表單類型也非常分歧。</p> <p>在專案初期，這個轉換複雜度涵蓋的範圍太大了。為找出最低成本的最小可行性產品（MVP），國泰醫院從醫院觀點提供實務經驗，雙方進一步縮小範圍，先聚焦到幾項常用的病歷單張。數數發團隊則從國泰醫院分享中，了解到醫院可用的資源、規範等現況和限制，並根據這些資訊來調整專案規畫，比如在轉換平臺中添加病歷資料的自定義樣板。</p> <p>不只請教國泰醫院，數數發團隊還找上外部醫資專家，來學習FHIR知識，展開一系列知識分享會和培訓課程，範圍涵蓋基本的FHIR資源組成和複雜的應用方法，並將這些技能用於平臺設計上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-1-iFHIR%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%9C%8B%E6%B3%B0%E9%87%91%E6%8E%A7.png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>國泰金控打造iFHIR Center電子病歷交換平臺，包含3層架構，如簡易操作的無／低程式碼操作層、定義設定層和轉換層，其中，定義設定層包含自定義樣板，可讓醫院用來定義病歷。</strong></span><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／國泰金控</span></span></p> <p><span style="font-size:28px;"><strong>自建低程式碼操作層，FHIR轉換平臺成型</strong></span></p> <p>在各種努力下，數數發團隊在2022年，完成iFHIR Center電子病歷交換平臺的開發。這款平臺共有3大層，包括了無程式碼／低程式碼操作層、定義設定層，以及FHIR轉換層。</p> <p>其中，操作層可讓醫院使用者，直覺地用來設定原本電子病歷對應FHIR的定義。因為，醫院現行的病歷若要轉換為FHIR格式，需花時間一一定義個別欄位、確認欄位，往往曠日費時。為了優化這段流程，數數發團隊打造了簡單直覺的操作介面，讓使用者幾乎不需寫程式碼，只需簡單設定妥要轉換的欄位就能進行，節省了不少工作時間。</p> <p>再來是定義設定層，該層提供了現行CDA R2標準和自定義樣板，讓醫院使用者可以定義自己的病歷格式。</p> <p>這個自定義樣板，正是源自國泰醫院多年經驗打造而成。雖然醫院病歷多達數十種，可是，衛福部只有針對常用病歷，預先訂出符合CDA R2標準的專用格式，醫療機構少用的病歷則不規範，得靠醫院自行定義，如國泰醫院就自行定義了11張病歷單張。這類自定義病歷多為XML格式，在定義設定層上提供的自定義樣板，正是為了讓醫院用來定義這些官方未規範的病歷。</p> <p>除了操作層、定義設定層，iFHIR Center平臺還有一個FHIR轉換層，能根據設定層的樣板設定，將CDA R2標準或自定義XML格式的電子病歷資料，轉換為FHIR JSON格式。這還沒結束，這些經平臺轉換的FHIR JSON病歷資料，會寫入FHIR伺服器，來進行不同機構間的FHIR資料交換。也就是說，欲交換的機構可在FHIR伺服器上，取得所需資料。</p> <p>除了功能性分層，在技術上，iFHIR Center電子病歷交換平臺採用了微服務架構設計，來確保平臺彈性和擴充性，也部署在公有雲上。廖銘宏解釋，雲端模式可降低醫院IT維運負擔，而且，衛福部去年開放電子病歷上雲，允許機構使用境內雲端服務。考量符合衛福部規範、在臺設置資料中心等因素，團隊後來決定部署到Google雲平臺。</p> <p><span style="font-size:28px;"><strong>持續優化平臺，要讓使用者能直接調整</strong></span></p> <p>除了架構上的斟酌，這個平臺最重要的核心是FHIR病歷規格。為確保平臺支援的FHIR電子病歷單張規格，能夠符合衛福部的指引規範，數數發團隊不只密切關注衛福部提出的臺灣核心實作指引（TW Core IG），也聘請了參與指引制定的專家，來協助設計平臺。</p> <p>不過，衛福部的TW Core IG還未涵蓋到所有常見的電子病歷單張，實作指引日後還會不斷調整。因此，「持續優化！」廖銘宏指出，他們正將iFHIR Center平臺的FHIR設定功能，調整為更彈性的方式，讓使用者只需參考TW Core IG規範變更，進行基礎的欄位對應（Mapping）後，就能轉換病歷資料。</p> <p>國泰金控數數發中心雲端策略發展部金融醫療科企業架構師張芳瑜進一步解釋，現行的CDA R2病歷資料標準為XML格式，就像是一份已有固定欄位的表格（Table），但是FHIR則由一個個反覆重用的資源（Resource）所組成，就像是可重複組合的積木。使用者要將CDA R2檔案轉為FHIR，得將XML檔案中的特定內容，對應到對應的FHIR資源中，如將表格中的病人姓名、性別等基本資料，對應到FHIR的姓名、性別資源。</p> <p>不過，一開始，國泰先將轉換邏輯寫入到程式來提高速度，因此難以根據指引的更動來快速調整，在臨床作業上會帶來一些困擾，比如，第一線病歷室職員平臺瞄準的使用者群，也很了解病歷欄位定義，但是，衛福部指引變動時，只能靠不熟悉欄位定義的IT人員來修改程式碼。後來，數數發團隊決定將調整權交給第一線使用者，讓他們可以自行根據指引現狀，調整欄位內容，才發展出更簡潔的設定介面。</p> <p>目前，這套iFHIR Center平臺支援的電子病歷單張達到了17張，包含檢查報告、門診病歷、出院病摘、檢驗報告、手術記錄、病理報告、護理計畫、急診檢傷、會診記錄、證明書、病歷首頁、急住醫矚、化療醫囑、呼吸治療、復健報告、住院歷程、電子表單等。</p> <p><span style="font-size:28px;"><strong>邁入推廣測試階段，已有近10家醫學中心加入</strong></span></p> <p>平臺開發完成後，國泰開發團隊參加了2022年第三屆臺灣FHIR聯測松，來測試1.0版平臺的能力。這是產官聯手舉辦的FHIR聯測松活動，要提供醫院、醫資廠商、平臺開發者等多方來驗證，自己是否能按照規定的FHIR格式拋轉醫療資料。在那場聯測中，數數發團隊報名了3個賽道，包括病人基本資料、處方用藥及文件打包，以及緊急醫療救護，最後也成功通過這3種情境的測試，證實平臺具備這3類FHIR資料交換能力。</p> <p>與此同時，數數發團隊也拜訪全臺近10家醫學中心等級醫院，與這些醫院一一展開測試，由醫院傳送假資料來測試FHIR轉換器，評估平臺能否將資料轉換為FHIR標準。在這個驗證階段，資料先傳送到數數發團隊建置的環境中。不過，待iFHIR Center平臺正式上線後，使用者可將平臺部署在自家私有雲上，或由數數發團隊提供容器化版本，來讓使用者部署在醫院端，於虛擬機器上執行。</p> <p>由於數數發中心並非廠商身分，因此不會將這套平臺包裝為產品服務來販售，而是作為工具，提供給醫院使用。這意味著，醫院可將這套平臺用於不同資料交換場景，比如緊急救護、轉診等。陳維銘指出，數數發團隊希望，藉提供這個工具，能吸引醫院共同發展應用案例，如理賠抵繳。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-2-%E5%9C%962-3%E5%B9%B3%E8%87%BA-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%9C%8B%E6%B3%B0%E9%87%91%E6%8E%A7.png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>FHIR標準轉換平臺是國泰金控金融醫療生態圈布局的第一階段，目前也展開第二階段，建置iClaim智能醫療理賠平臺和iHealthShare醫療理賠資料查詢平臺，來加速醫療理賠資料傳輸和查詢。第三階段則是與醫療健康照護產業發展生態圈。</strong></span><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／國泰金控</span></span></p> <p><span style="font-size:36px;"><strong>首波瞄準理賠抵繳，下一步要建金融醫療生態圈</strong></span></p> <p>理賠抵繳正是iFHIR Center平臺首波瞄準的應用情境。一般來說，民眾要申請住院理賠，得收集紙本的診斷報告、檢驗檢查資料和收據，再交給保險業務員處理。若遇上定期回診狀況，民眾就得分批收集紙本資料，時間冗長且有丟失風險，影響理賠金額。</p> <p>因此，數數發團隊構思的應用情境是，透過保戶民眾在醫院App授權同意，來啟動iFHIR Center平臺，自動將民眾在醫院的診斷報告、檢驗檢查和收據等資料，轉換為FHIR標準，並傳送給壽險業者。同時，壽險業者端也能根據資料來試算抵繳金額，民眾離院繳費時，就能直接採取理賠抵繳，甚至不用付現金。</p> <p>為實現這一目標，數數發團隊已經展開第二階段的平臺建置，打造iClaim智能醫療理賠平臺和iHealthShare醫療理賠資料查詢平臺，來分別加速醫療機構和人壽間的理賠病歷資料傳輸、強化醫療和保險業者間的資訊互通，後者還可查詢民眾的理賠申請資料、iFHIR授權病歷和iClaim抵繳金額等資訊。有了這些平臺，就能展開第三階段任務，與醫療健康照護產業發展更多應用場景。</p> <p>從打造轉換引擎到發展互通平臺，國泰格外聚焦資料傳輸的安全。由於病歷資料屬特種個資，數數發團隊深知資料保護重要性，採用了2項技術來確保安全，包括用ECDH演算法來加解密病歷資料，以及用ECDSA演算法來進行資料的數位簽章。</p> <p>進一步來說，ECDH的好處是不必與所有平臺使用者（含醫院、保險業者）明訂金鑰，而是透過傳送方私鑰和接收方公鑰，來產生金鑰，進行加密工作。另外，接收方的私鑰再加上傳送方的公鑰，則能產生一把一模一樣的金鑰，來進行資料解密。而數位簽章的做法，則與常見概念相同，就是透過私鑰簽章、公鑰驗章，來確保資料完整性和真實性。</p> <p>他們希望透過這些技術，來簡化醫院與壽險業者的理賠和核保流程。不只如此，數數發團隊還有更多理想應用情境，比如iFHIR Center平臺可用來加速醫院與照護機構的資料互通，提高照護監測品質，又或是醫院與其他醫療機構以此交換資料，來加速醫療決策和服務。甚至，這些工具還能用來打造醫療數據庫，以利大規模醫療科技應用研發。國泰金控更長遠的願景是，借助這些工具和應用場景，來形塑出一個金融醫療生態圈。</p> <p><span style="color:#FFFFFF;"><span style="font-size:36px;"><strong><span style="background-color:#3399ff;"> 設計醫院FHIR課程，分享避坑指南 </span></strong></span></span></p> <p><span style="color:#696969;"><strong>國泰金控數數發中心不只自建iFHIR Center電子病歷交換平臺，為了讓醫院使用者順利上手這套工具，他們還設計一套FHIR入門課程。進一步來說，這款iFHIR Center平臺瞄準醫院病歷室職員，要讓使用者輕鬆將CDA R2標準的病歷資料，轉換為FHIR標準。在開發過程中，數數發團隊不只向國泰醫院請益，也聘請外部專家來學習FHIR知識。</strong></span></p> <p><span style="color:#696969;"><strong>儘管FHIR標準在2011年就於美國推出，但近年才在臺灣受重視。也因此，FHIR的應用與學習資源，在臺灣仍不算多。國泰數數發團隊在這個條件下，跨領域學習、開發FHIR轉換平臺，「下了很多功夫，」國泰金控數數發中心雲端策略發展部金融醫療科經理廖銘宏說。</strong></span></p> <p><span style="color:#696969;"><strong>他們彙整自己的開發和學習經驗來設計課程，「不只告訴醫院FHIR是什麼，也讓他們避免我們踩過的坑，」廖銘宏表示。國泰數數發團隊開給醫院的課程，包括基礎的FHIR介紹，像是FHIR的組成、結構、如何將現行病歷資料對應（Mapping）到FHIR資源中，以及如何使用iFHIR Center平臺等內容。在課程中，團隊也穿插出考題，來評估醫院使用者是否理解學習內容。</strong></span></p> <p><span style="color:#696969;"><strong>國泰金控數數發中心雲端策略發展部金融醫療科企業架構師張芳瑜指出，對醫院來說，FHIR資料對應是挑戰較大的部分。</strong></span></p> <p><span style="color:#696969;"><strong>因為，FHIR有細緻的欄位定義，需要醫院使用者重新檢視現行CDA R2標準的病歷內容，再將這些內容拆分、準確對應到FHIR欄位，如此才能順利轉換。但有些醫院，未必完全遵照CDA R2規範，因此得花更多時間整理原有病歷內容，才能進行欄位對應和轉換。</strong></span></p> <p><span style="color:#696969;"><strong>同時，數數發團隊也分享踩雷經驗，張芳瑜舉例，使用開源FHIR伺服器HAPI FHIR時，團隊遭遇到一個長期未修復的程式錯誤問題，也就是在該伺服器上查詢資料時，無法給出整份資料。這時，就得使用其他程式來處理。他們將這類經驗分享給醫院使用者，讓更多人熟悉這項應用。</strong></span></p> <p><span style="color:#696969;"><strong>今年，他們還聯手臺灣醫療影像資訊標準協會，要在國泰金控舉辦2023年度FHIR聯測松，來讓醫資廠商、醫院、學研政府等機構，來測試FHIR資料交換能力，擴大生態圈影響力。</strong></span></p> </div></div></div>
2023/9/27 16:00作者王若樸https://www.ithome.com.tw/news/158999
駭客正鎖定LastPass用戶發動釣魚信件攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日有不知名駭客鎖定LastPass用戶發動釣魚信件攻擊，導致LastPass用戶的密碼及個資外洩，連LastPass員工也受害。</p> <p>本月13日LastPass接獲用戶通報遭到釣魚信件攻擊，<a href="https://www.malwarebytes.com/blog/news/2023/09/nasty-lastpass-phish" target="_blank">安全廠商Malwarebytes也取得信件樣本進行分析</a>。這波攻擊中，用戶接到貌似LastPass技術支援單位寄來的信件，表示用戶某項功能遭到封鎖，用戶需在9月26日前輸入個資完成身分確認以便重啟該功能。為數不詳的用戶點入信中所附連結連進釣魚網站後，讓駭客取得了個資。</p> <p class="rtecenter"><a href="https://www.malwarebytes.com/blog/news/2023/09/easset_upload_file2015_282256_e.jpg" target="_blank"><img alt="" src="https://www.malwarebytes.com/blog/news/2023/09/easset_upload_file2015_282256_e.jpg" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Malwarebytes</span></span></p> <p>被騙走的用戶個資包括電子郵件、公司名稱、用戶姓名、住家地址、電話號碼、IP位置，駭客並用這些資訊竊取了用戶的密碼庫（password vaults）。<a href="https://blog.lastpass.com/2023/09/lastpass-threat-intel-team-and-phishlabs-work-together-to-protect-customers-from-phishing-scams/" target="_blank">不過LastPass聲稱</a>，如果用戶有遵循密碼最佳實作的話（例如主密碼使用強密碼），要暴力破解取得密碼庫儲存的密碼並不容易。</p> <p>釣魚網站是代管在本月才設立在斯洛維尼亞的網域。LastPass指出，儘管9月上旬該公司聯同安全廠商關閉了該網域，到了9月下旬又死灰復燃，再度發動攻擊。受害者有多少不得而知，LastPass指出，這波攻擊是全球性，受害者遍及不同產業，也包括該公司87名員工。</p> <p>LastPass相信這波攻擊和去年8月竊走該公司用戶密碼庫的安全事件，並非同一群人所為。去年8月事件中，駭客成功竊走客戶加密密碼庫，也鎖定一名員工，並成功獲得憑證和金鑰，以存取和解密雲端資料庫，取得部分原始碼和技術資訊。</p> <p>安全廠商提醒，要防止被網釣攻擊，除了提高警覺外，最好使用密碼管理器，此類工具不會將用戶憑證輸入假網站。此外業者說，雙因素驗證（2FA）也有分，有的只是密碼而已，使用者應該選用搭配FIDO2裝置（例如USB硬體式）的2FA。</p> </div></div></div>
2023/9/27 13:37作者林妍溱https://www.ithome.com.tw/news/158995
美國FCC提議恢復網路中立規定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦通訊委員會（Federal Communications Commission，FCC）主席<a href="https://docs.fcc.gov/public/attachments/DOC-397235A1.pdf" target="_blank">Jessica Rosenworcel在周二（9/26）提案恢復網路中立（Net Neutrality R）規定</a>，重新將寬頻服務供應商納入《聯邦通訊法》（Communications Act of 1934）中用來規範公共事業的Title II中，再度建立FCC對寬頻供應商的管轄權。</p> <p>其實FCC只是要重返2015年所制定的網路中立政策，當時FCC即將ISP業者的服務列入規範較嚴格的Title II類別，並要求ISP業者應該平等對待網路上的資料，不應基於不同的使用者、內容、型態、網站、平臺、通訊模式，或設備而有差別待遇。</p> <p>然而，當美國總統川普（Donald Trump）於2017年上任之後，改朝換代的FCC即在<a href="https://www.ithome.com.tw/news/123822" target="_blank">2018年實施了用來取代網路中立政策的《恢復網路自由命令》</a>（Restoring Internet Freedom Order），把針對ISP業者的規範從Title II移至較為寬鬆的Title l，認為寬鬆的政策才能創造更開放與自由的網路，並可移除阻礙寬頻投資的規定。新的政策也讓ISP業者有權封鎖網站並依流量訂價。</p> <p>其實《恢復網路自由命令》受到許多抵制，並有許多州不管該法令，自行訂定了網路中立規定，<a href="https://www.ithome.com.tw/news/133397" target="_blank">還受到上訴法院的支持</a>。</p> <p>不過，這件事在美國總統拜登（Joe Biden）於2021年1月上任後又有了改變，由新成員組成的FCC再度提出了網路中立政策。</p> <p>現任的FCC主席Rosenworcel表示，網路對社會與經濟太重要了，不能缺乏有效的監管，但FCC在2018年廢除了網路中立，並放棄對寬頻的監督，現在他們將重新建立FCC對寬頻的監管，同時恢復統一的網路中立規則。此外，寬頻網路服務已是美國人生活上不可或缺的服務，而《聯邦通訊法》Title II即可用來確認寬頻服務與水、電及電話等服務一樣，都屬於必需品，新規定將讓固網與行動網路重返它們作為基本電信服務的地位。</p> <p>新的網路中立政策大部分與2015年的規定類似，要求網路服務供應商不得阻止合法內容或限制使用者速度；應重新分類寬頻網路存取，提供政府機構及安全合作夥伴適合的工具來抵禦安全威脅；應向FCC及使用者通報網路中斷狀況；以及建立全美統一的網路中立規定等。</p> </div></div></div>
2023/9/27 14:42作者陳曉莉https://www.ithome.com.tw/news/158996
Cloudflare要以Cloudflare Fonts挑戰Google Fonts
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>內容遞送網路供應商暨雲端資安業者<a href="https://blog.cloudflare.com/cloudflare-fonts-enhancing-website-privacy-speed/" target="_blank">Cloudflare在本周一（9/25）發表了Cloudflare Fonts</a>，企圖挑戰Google Fonts（Google字型）。Cloudflare宣稱Cloudflare Fonts不必從第三方的Google伺服器載入字型，強化了使用者的隱私，也因其字型更接近使用者，再加上減少了DNS查找與TLS連結的時間，提高了網站的效能。Cloudflare Fonts預計於今年10月上線。</p> <p>Google Fonts是Google所建置的開源字型平臺，提供大量的網頁字型供設計師及開發者於網頁專案中使用，開發者可先於HTML程式碼中置入字型連結，再以CSS樣式來指定哪些元素應該使用所指定的字型。目前Google Fonts提供了1,562種字型家族，也是全球最熱門的網頁字型，<a href="https://www.datanyze.com/market-share/web-fonts--16" target="_blank">市占率接近90%</a>，居次的則是Adobe Fonts的12%。</p> <p>Cloudflare解釋，要自Google載入字型時，網站必須與Google伺服器交換資料，意味著造訪該站的使用者必須直接傳送請求至Google，也讓Google有機會累積大量資料，包括IP位址、使用者代理人、展示字型的網頁或是特定IP提出請求的頻率等，縱使Google宣稱該站不會使用相關資料來遞送廣告或設定Cookie，但Google終究還是取得了使用者的資料。</p> <p>而Cloudflare Fonts則是直接來自客戶的網域，不必向第三方網域送出請求，亦滿足了資料在地化的相關規定。</p> <p>在效能上，載入Google Fonts牽涉到HTML與CSS，且它們由不同的網域代管，瀏覽器要成功從Google伺服器上取得一個字型需要經歷DNS查找、建立連結、HTTPS的TLS交涉，以及資源的請求等，總計會有8次往返。而Cloudflare Fonts則把往返次數大幅縮減至一次，因而強化了效能。</p> <p>Cloudflare的說明，由於不必向第三方伺服器提出請求，因此可省去DNS查找、建立連結與TLS交涉的程序，再加上Cloudflare改寫了於Cloudflare網路上傳遞的HTML，直接嵌入CSS回應，而字型的URL轉換亦於該CSS中執行，使得載入Cloudflare Fonts只需一次往返。</p> <p>根據Cloudflare的測試，在使用Google Fonts時，瀏覽器要將使用者可見的內容渲染到螢幕上的開始時間（First Contentful Paint ，FCP）為0.9秒，但啟用Cloudflare Fonts之後，FCP即降至0.3秒。不過，對於一般的FCP標準而言，1.8秒內就是不錯的表現了。</p> <p class="rtecenter"><img alt="" src="https://blog.cloudflare.com/content/images/2023/09/image6-1.png" style="width: 500px;" /></p> <p>目前Cloudflare尚未公布Cloudflare Fonts所提供的字型數量。</p> </div></div></div>
2023/9/27 14:55作者陳曉莉https://www.ithome.com.tw/news/158998
包含Copilot、Windows 365新功能的Windows 11正式提供下載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼<a href="https://www.ithome.com.tw/news/158879" target="_blank">上周預告</a>後，微軟周二<a href="https://blogs.windows.com/windowsexperience/2023/09/26/the-most-personal-windows-11-experience-begins-rolling-out-today/" target="_blank">宣布Windows 11更新版正式釋出</a>，包含AI助理Copilot、AI強化多項原生應用程式、Windows 365及IT管理新功能。</p> <p>最新版Windows 11 22H2更新，包含150多項新功能，用戶可在「設定」> Windows Update檢查是否已經可更新。微軟預計會在11月安全更新前，完成所有功能的部署。</p> <p>一如上周預告，其中最重要的新功能是Copilot for Windows。使用者可以在文字提示視窗輸入自然語言文字讓它執行任務，包括搜尋網路、電腦中的文件或檔案、將藍牙和耳機配對、或是抓取App螢幕擷圖。Copilot for Windows位於工作列或透過快捷鍵「WIN+C」開啟，但使用者必須先登入微軟帳號（Microsoft account）或Microsoft Entra ID（原Azure Active Directory）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/copilot-in-windows.png" style="width: 600px;" /></p> <p>微軟另外強調，以AI更新的Windows 11原生程式。其中小畫家除了支援圖層和透明度，還預覽了名為Paint Cocreator的工具（下圖），允許使用者以文字提示、選擇想要的風格來產出圖片，並以Content Credential加入證明是AI創作的浮水印。這工具預計明天推向Insider用戶，未來幾周會全面部署。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Paint%20Cocreator%20preview.jpg" style="width: 600px;" /></p> <p>影片編輯工具Clipchamp的Auto Compose（下圖），可由AI建議場景、編輯、旁白協助用戶製作影片，完成後可選擇儲存在OneDrive或Google Drive。AI強化的剪貼工具加入「文字處理（text actions）」視窗，允許使用者存放從網頁或其他來源擷取文字再貼到文件或簡報檔中，或是把圖片的某些部分塗黑以確保隱私。相片（Photos）程式新增可搜尋儲存在OneDrive相片的功能。新的備份功能可備份Windows 10以上版本的檔案、設定和應用程式，而Windows 11 22H2以後版本還支援回復（restore）。備份是儲存在OneDrive上，故必須登入微軟帳號。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0927-Windows%2011-Microsoft%20Clipchamp-Auto%20Compose.jpg" style="width: 600px;" /></p> <p>Windows 11也強化了語音控制功能，包括語音操作（Voice Access）新增可使用地方，包括登入、以口說修正文字、或在拼字檢查中口說定義新字。此外，朗讀程式提供用戶3種聲音選擇，現在除了美式英文再加入8種語言包括中、日、韓、西、葡、法、德，以及英式與印度英語。</p> <p>在安全功能方面，22H2更新透過Windows Hello支援通行密鑰（passkey）（下圖），passkey可支援Edge、Chrome、Firefox等瀏覽器，而結合Microsoft Entra ID帳號登入則可允許企業IT部門以Windows Hello for Business執行列管裝置的無密碼登入公司資源。若員工欲使用非列管裝置，如自己的PC存取公司網路資源，22H2更新版內建Windows行動應用管理（Mobile Application Management for Windows），可讓員工以Edge連上公司網路時可為IT監控。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0927-Passkeys-Windows%2011-Windows%20Hello.jpg" style="width: 600px;" /></p> <p>Windows 11更新也加入了力推Windows 365雲端作業系統工具。除了可讓用戶在桌機和雲端切換的Windows 365 Switch，22H2又新增Windows 365 Boot，讓一些作業型態，如客服人員一開機就能登入Windows 365 Cloud PC作為主要作業系統。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0927-Windows%20365%20Switch-Windows%2011-icon%20in%20the%20taskbar-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">Windows 365 Switch</span></p> <p class="rtecenter"><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%20of%20signing%20into%20Windows%20365%20Cloud%20PC-Windows%20365%20Boot(1).png" style="width: 600px;" /></span></p> <p><span style="color: rgb(105, 105, 105);">Windows 365 Boot</span></p> <p>其他功能包括加入AI建議的新檔案總管及開始功能表、新版Outlook for Windows、加入home頁的「設定」App、預覽Instant Games功能──讓具有Game Pass subscriptions的用戶不需下載，可在Windows版Microsoft Store直接玩遊戲，以及動態光源裝置、自動色彩管理。</p> <p><span style="color: rgb(105, 105, 105);">圖片來源：微軟</span></p> </div></div></div>
2023/9/27 12:38作者林妍溱https://www.ithome.com.tw/news/158994
DeepMind證明LLM可高效無損壓縮聲音與影像
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年機器學習的主要研究，都集中在訓練越來越強大的自監督語言模型，而由於這些模型具卓越的預測能力，因此也有成為壓縮器的潛力。DeepMind研究人員評估大型基礎模型的壓縮能力，發現這些模型是強大的通用預測器，不僅能夠處理文字資料，更<a href="http://arxiv.org/abs/2309.10668">可處理圖像聲音進行高效壓縮</a>。</p> <p>DeepMind在研究中，使用了一個稱為Chinchilla 70B模型，雖然這個模型主要以文字訓練，但是研究人員發現該模型也可用於壓縮ImageNet圖片，可將檔案壓縮至原始大小的43.3％，甚至可將LibriSpeech語音樣本壓縮至原始的16.4％。</p> <p>研究人員提到，這個壓縮表現超過專門為圖像或是語音設計的壓縮演算法，像是無失真壓縮點陣圖圖形格式PNG只能壓縮該圖片至58.5％，音訊檔無失真壓縮演算法FLAC也只能將音訊壓縮到30.3%。</p> <p>DeepMind的研究證明，預測和壓縮之間存在等價性，因此研究人員可以使用任何壓縮演算法，建立一個更加強大的條件生成模型。由於好的預測模型能夠準確預測資料中的模式和規律，而這種能力讓模型能夠成為一個高效的壓縮器，因為當一個模型能夠精確預測未來的資料點，也就能夠捕捉資料的本質特徵和結構，有效地壓縮資料。</p> <p>壓縮是一種資訊編碼的過程，目標是要以更少的位元表示資料，因此當模型能夠精確預測資料，其實也就代表模型學會了一種資訊編碼的方式，這種編碼方式能夠用來壓縮資料，因為模型已經理解了資料中的特徵和模式。</p> <p>語言模型能精確預測下一個字，也就代表可以用於壓縮文字資料，因為模型有能力找出文本中重複或是可預測的模式，並用更少的位元來表示這些模式。而這個結論同樣適用於圖像和音訊，當模型已經可以預測這些資料中的模式，也就能夠壓縮這些資料。</p> <p>DeepMind研究的主要貢獻，包括證實基礎模型無損壓縮的能力，在當前語言模型資源取得越趨容易的情況下，任何人都可以取得語言模型並將其用於壓縮中，而不需負擔額外的訓練成本。同時，研究也顯示，主要在文字上進行訓練的基礎模型，由於其上下文學習能力，因此能夠很好地成為通用壓縮器。</p> <p>研究還發現，要將模型用於壓縮上，模型並非越大越好，過大的模型可能反而對壓縮效能產生負面影響，因為模型的參數本身也需要在輸出中被考慮進去，當有一個模型具有非常多的參數，雖然能夠有效壓縮資料，但是龐大的參數本身也會成為負擔，這些參數也需要被儲存和傳輸。</p> <p>而自然語言處理常用到的分詞（Tokenization）方法，把一串文字切割成更小、更容易處理的步驟，在壓縮上不會提高壓縮效率，但可以增加模型在特定上下文中的資訊內容。透過上下文的學習，模型能夠根據不同任務，動態調整壓縮策略，達到更高的壓縮效果。</p> <p>這篇研究的主要重點，探討模型與壓縮器間的等價性，證明兩者可以互相轉換。研究人員也評估語言模型作為壓縮器的能耐，並發現模型不只能夠良好地處理文字資料，也能夠在未受過訓練的資料模式，像是圖像與音訊上表現出色。這篇研究提供一個看待模型的全新角度。</p> </div></div></div>
2023/9/27 11:17作者李建興https://www.ithome.com.tw/news/158981
美國17州與FTC控告Amazon壟斷市場並提高價格
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦交易委員會（Federal Trade Commission，FTC）與17州的檢察長<a href="https://www.ftc.gov/news-events/news/press-releases/2023/09/ftc-sues-amazon-illegally-maintaining-monopoly-power" target="_blank">在周二（9/26）聯手控告Amazon壟斷市場</a>，指控Amazon透過一系列的反競爭與不公平的策略，非法維持其壟斷勢力，蘊釀許久的反壟斷訴訟正式曝光，同一天<a href="https://www.aboutamazon.com/news/company-news/amazon-ftc-antitrust-lawsuit-full-response" target="_blank">Amazon即祭出長文</a>反擊，但Amazon當天股價依舊下挫了4.03%，以125.98美元作收。</p> <p><a href="https://www.ftc.gov/system/files/ftc_gov/pdf/1910129AmazoneCommerceComplaintPublic.pdf" target="_blank">控方於訴狀中指出</a>，Amazon的違法並不在於它規模龐大，而在於它採取了一系列的排他性行為，進而阻止現有競爭對手的發展，也抑制新競爭對手的出現。</p> <p>Amazon的反競爭行為同時出現在服務消費者的線上賣場，以及服務商家的線上市集。例如當發現賣家於其它賣場提供低於Amazon的價格時，就會調降賣家排序以示懲罰，或是設下高門檻的Prime專案，同時強迫賣家採用高成本的Amazon物流服務。</p> <p>此外，Amazon還被控以付費廣告取代自然搜尋結果，且其搜尋結果偏愛自家產品，向賣家所收取的廣告費與手續費等費用已接近賣家總收入的一半。</p> <p>訴訟認為，Amazon壓榨賣家的行為不僅影響了賣家，也間接使得其它競爭平臺無法發展，賣家的高成本亦墊高了商品價格，危害消費者權益。</p> <p>加入此一訴訟的州別包括康乃狄克州、德拉瓦州、緬因州、馬里蘭州、麻州、密西根州、明尼蘇達州、紐澤西州、新罕布夏州、新墨西哥州、內華達州、紐約州、奧古拉荷馬州、俄勒岡州、賓州、羅德島州及威斯康辛州。它們一同向法院尋求永久禁令，禁止Amazon從事非法行為，瓦解Amazon的壟斷控制以恢復競爭。</p> <p>當天<a href="https://www.aboutamazon.com/news/company-news/amazon-response-to-ftc-antitrust-lawsuit" target="_blank">Amazon</a>也祭出了回應，指責FTC從根本上偏離了保護消費者及競爭的使命，聲稱FTC所質疑的這些作法不僅可刺激整個零售業的競爭與創新，也替Amazon的客戶帶來更多的選擇、更低的價格及更快的交貨速度，亦替賣家帶來更多的機會。</p> <p>Amazon說，倘若FTC如願以償，那麼結果將會是消費者可選擇的產品變少、價格上漲、交貨速度變慢，且小型賣家的選擇也會減少，剛好與反壟斷法的初衷背道而馳。</p> </div></div></div>
2023/9/27 11:41作者陳曉莉https://www.ithome.com.tw/news/158991
微軟要讓開發者以Rust編寫Windows驅動程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟Azure技術長Mark Russinovich在X平臺（前推特）<a href="https://twitter.com/markrussinovich/status/1705730703957405826">發文</a>，公開最近微軟擴大採用Rust的成果，微軟Surface團隊開發了一個平臺，讓開發者可以使用Rust程式語言來撰寫Windows驅動程式。由於現在Windows驅動程式大多以C或是C++編寫的，所以此舉也引來社群討論。</p> <p>Mark Russinovich在去年的時候就發文，認為在考量安全性和可靠性的因素下，不應該再使用C/C++，而要改用更加安全的程式語言Rust開發專案。不過，當時Mark Russinovich的貼文收到許多反對意見，認為這是不切實際的想法。</p> <p>微軟則一直朝這個方向前進，除了微軟原本就是Rust基金會創始會員之外，Mark Russinovich在今年5月釋出微軟以Rust重寫Windows 11核心的消息，而現在微軟Rust開發工作又推進到下一步。微軟在GitHub公開新專案<a href="https://github.com/microsoft/windows-drivers-rs">windows-drivers-rs</a>，這是一個由多個Rust套件（Crates）組成的專案，目的是要讓開發者能夠使用Rust開發Windows驅動程式。這個專案計畫支援WDM（Windows Driver Model）和WDF（Windows Driver Foundation）兩種不同的驅動程式開發模型。</p> <p>不過目前這個專案還在早期開發階段，官方還不建議開發者將其用於商業用途，但歡迎社群進行試驗、建議和討論。</p> </div></div></div>
2023/9/27 09:49作者李建興https://www.ithome.com.tw/news/158975
雲端時序資料庫Timescale新增向量搜尋支援AI應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端時序資料庫服務Timescale不僅可用於儲存和查詢時序資料，現在也逐步拓展支援人工智慧領域，透過新增的<a href="https://www.timescale.com/blog/how-we-made-postgresql-the-best-vector-database/">Timescale Vector</a>功能，官方採用近似最相鄰搜尋（Approximate Nearest Neighbor，ANN）技術，有效加速數百萬向量的搜尋。</p> <p>而且由於要滿足不同應用場景的需求，Timescale Vector還提供多種索引演算法，包括受到DiskANN演算法啟發的新型索引外，還有HNSW（Hierarchical Navigable Small World）與IVFFlat（Inverted File with Flat Vector Indexing）。這些新的技術加入，使得Timescale成為多功能且高效的資料庫解決方案。</p> <p>大型語言模型成為推動部分人工智慧應用程式發展的基礎，企業逐漸在其應用程式中整合人工智慧功能，而向量嵌入更是這波人工智慧熱潮的核心技術。向量嵌入將詞語和短語的語義資訊數學化，以數值向量的方式表達語義，官方提到，這樣的技術在搜尋應用中特別有用，因為允許基於語義進行搜尋，因此即便查詢和資料庫中的詞彙不完全相同也沒問題。</p> <p>向量嵌入是生成式人工智慧技術的核心，可用於查詢相關的資訊，並將其作為上下文傳遞給大型語言模型，以強化大型語言模型的輸出。因此不少資料庫皆開始資源向量搜尋功能，而這也包括熱門的時序資料庫Timescale，推出向量搜尋功能Timescale Vector。</p> <p>Timescale Vector是一個專門針對人工智慧應用的資料庫擴充功能，其以PostgreSQL為基礎運作。該工具針對向量資料最佳化，使得開發人員可以更快速且有效地執行近似最相鄰搜尋。ANN僅是一個廣泛的搜尋框架，專門用於大型高維資料集中，尋找一個點的最近鄰居，而Timescale Vector提供了多種索引演算法，來實現ANN搜尋。</p> <p>Timescale Vector除了提供受到DiskANN演算法啟發的新型索引方法之外，還提供了PostgreSQL資料庫向量類型擴充功能pgvector中的HNSW與IVFFlat演算法。不同的演算法具有不同的優點和限制，Timescale Vector針對不同場景提供豐富的演算法，供開發者依據需求選用。</p> <p>根據基準測試，對100萬個OpenAI向量嵌入執行近似最相鄰搜尋時，Timescale Vector的新索引效能比其他專用向量資料庫和現有PostgreSQL索引方法高出243％，查詢精確度達99％。</p> <p>而且由於Timescale Vector索引提供了量化向量功能，能夠節省儲存空間達到10倍。量化是一種簡化向量資料的技術，目的是要減少儲存空間和加速查詢，在Timescale Vector中啟用量化功能，可讓開發者在保留相對高查詢精準度的同時，大幅減少索引大小，對於資源有限或是需要高效運作的應用非常有用。</p> </div></div></div>
2023/9/27 09:56作者李建興https://www.ithome.com.tw/news/158980
資訊服務採購作業指引9月25日正式上路，明訂公部門編列專屬資安預算
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>我們在<a href="https://www.ithome.com.tw/article/158898">上週的封面故事</a>當中，介紹了將於<a href="https://www.ithome.com.tw/news/158882">本月份即將上路的政府資訊採購的作業指引</a>，以及新版契約範本，影響政府每年近400億元的資訊採購業務。</p> <p>新版指引分成預算編列、廠商資格、需求文件、決標作業、契約執行和爭議處理等六大面向，此次預算編列變化的重點之一，就是公部門需要將資安預算獨立編列。這樣的新做法，目的是希望能改善政府機關採購與資服業務之間長期以來的困境。本週新的採購指引的內容正式公布，引起國內各家媒體報導。</p> <p><a href="https://planpe.pcc.gov.tw/prms/explainLetter/readPrmsExplainLetterContentDetail?pkPrmsRuleContent=75001760&_csrf=41c91031-1b1a-45e1-8814-ff2f59c93227">9月25日行政院公共工程委員會發布公告</a>，為協助公部門更為即時、有效強化資訊安全，並辦理有關的資訊服務採購，他們與數位發展部規畫的「資訊服務採購作業指引」、「各類資訊(服務)採購之共通性資通安全基本要求參考一覽表」正式上路。此作業指引涵蓋四大重點：</p> <p>（一）機關需編列獨立資安預算<br /> （二）擴大工程會採購諮詢機制，並納入數位發展部<br /> （三）資服採購的原則為：不訂底價、採最有利標<br /> （四）開發過程需設定查核點。</p> <p>行政院公共工程委員會指出，考量機關按上述指引及表單辦理資訊服務採購，廠商也要配合調整，為使廠商能夠有充分時間因應，根據資料或系統的機敏程度，普級系統之資安要求訂於2024年3月1日正式施行，中、高等級則訂於2024年8月1日正式施行。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Us9c9MGRpg.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Us9c9MGRpg.png" style="width: 580px;" /></a></p> </div></div></div>
2023/9/26 22:32作者周峻佑https://www.ithome.com.tw/news/158979
Amazon投資40億美元給OpenAI競爭者Anthropic
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://press.aboutamazon.com/2023/9/amazon-and-anthropic-announce-strategic-collaboration-to-advance-generative-ai" target="_blank">Amazon周一和AI新創業者Anthropic宣布投資合作</a>。Amazon將投資Anthropic 40億美元，除了成為Anthropic雲端運行底層外，也將借其力研發AWS服務及自家AI晶片。</p> <p>這項合作下，Amazon將取得這家公司的少數所有權（minority ownership），同時也成為Anthropic關鍵負載的主要雲端供應商，負責安全研究、未來底層模型開發。Anthropic計畫未來大部分工作負載都會搬上AWS。</p> <p>相對的，Amazon也將取得Anthropic的研發資源。Anthropic不但能使用AWS Trainium及Inferentia晶片開發、訓練和部署未來的底層模型，雙方也會合作開發Trainium及Inferentia未來新技術。此外，Amazon開發人員和工程師可透過Amazon AI雲端平臺服務Bedrock存取Anthropic的模型，並將生成式AI能力整合到其專案中，用以改進現有應用或開發全新客戶服務。</p> <p>同時，Anthropic也會成為AWS AI服務的一部分。<a href="https://www.ithome.com.tw/news/156411" target="_blank">AWS今年4月宣布全代管AI平臺服務Bedrock</a>時，Anthropic已是提供其AI底層模型供應商之一（其他供應商還有Stability AI、Cohere、AI21Labs），包括2代的Claude模型。經由這次深層合作，除了AWS客戶可透過Bedrock使用這家新創公司未來底層模型外，AWS客戶還能特別享有Anthropic模型客製化及微調的功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0926-amazon%20bedrock-anthropic.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Anthropic</span></span></p> <p>這項合作下，是微軟分別對OpenAI在2019年投資100億美元，以及今年初投資數十億美元後，雲端巨擘投資AI新創公司的又一例子。Anthropic是由OpenAI前研發主管Dario Amodei於2021年創立。Anthropic今年3月發表的AI模型Claude號稱比ChatGPT更為「有幫助、誠實、無害」。<a href="https://www.ithome.com.tw/news/158669" target="_blank">該公司今年9月也首度發表了第一個收費AI助理服務Claude Pro</a>。</p> <p>不過這項合作是否意謂著Anthropic和Google關係生變不得而知。去年Google 以3億美元投資Anthropic並取得該公司10%的持股。<a href="https://www.prnewswire.com/news-releases/anthropic-forges-partnership-with-google-cloud-to-help-deliver-reliable-and-responsible-ai-301738512.html" target="_blank">今年2月Google Cloud才宣布</a>Anthropic將使用其TPU及GPU叢集訓練其模型。隨後Google相繼宣布自有AI助理Bard及Bard整合Gmail、Google Docs等自家服務。</p> </div></div></div>
2023/9/26 20:11作者林妍溱https://www.ithome.com.tw/news/158977
知名圖庫業者Getty Images搭上AI列車，發表生成式AI圖像工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.gettyimages.com/en/getty-images/getty-images-launches-commercially-safe-generative-ai-offering" target="_blank">知名圖庫業者Getty Images周一（9/25）發表</a>了Generative AI by Getty Images生成式AI圖像工具，標榜是以該公司具版權的內容進行訓練，客戶透過該工具所生成的圖像也將具備版權，可供合法的商業使用。</p> <p>於美國那斯達克上市的Getty Images擁有龐大的影像資料庫，從圖庫、編採攝影、影片到音樂，總計有超過4.7億筆數位資產，在面臨生成式AI圖像風潮之際，<a href="https://newsroom.gettyimages.com/en/getty-images/getty-images-statement" target="_blank">該公司在今年1月控告</a>了提供生成式AI圖像服務Stable Diffusion的Stability AI，原由是該模型使用了大量Getty Images所擁有的圖像進行訓練，不僅是Stable Diffusion，其它的生成式AI圖像服務多少也都涉及了版權問題，現在Getty Images則決定以自家資源擁抱AI。</p> <p>Generative AI by Getty Images是在Nvidia的Edify模型架構上進行訓練。Nvidia在今年3月推出了<a href="https://www.nvidia.com/en-us/gpu-cloud/picasso/" target="_blank">Nvidia Picasso</a>，這是一個生成式AI圖像的代工服務，可協助客戶建置客製化的生成式AI圖像應用，其原本設計包含了3個要素，一是協助客戶最佳化既有的模型，二是利用少量的客戶圖像來微調預訓練的Edify模型以符合特定需求，第三就是利用大量的企業資料集於Edify模型架構上進行訓練，透過Nvidia DGX Cloud整合上述模型並藉由企業應用輸出。</p> <p>不過，目前Getty Images只使用了第三種方法，利用其龐大的版權圖像資料庫於Edify模型架構上進行訓練，打造Generative AI by Getty Images模型以生成具版權的圖像，並可搭配該公司的客製化圖像內容（Custom Content）服務，帶來完整創意流程的圖像設計解決方案。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0926-getty%20image-600.png" style="width: 527px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Getty Images</span></span></p> <p>Getty Images表示，自Generative AI by Getty Images所創造與下載的圖像將取得標準的買斷式授權，代表客戶有權於全球展開永久的非獨家使用。這些新創造的圖像並不會被加入既有的Getty Images與iStock資料庫，但會被用來重新訓練Generative AI by Getty Images模型。</p> <p>有興趣的使用者可透過Getty Images官網存取Generative AI by Getty Images服務，客戶則可利用API將Generative AI by Getty Images整合到既有的工作流程或應用中。未來Generative AI by Getty Images也將支援客戶以私有資料進行訓練，創造獨特的品牌風格。</p> </div></div></div>
2023/9/26 20:32作者陳曉莉https://www.ithome.com.tw/news/158978
工程會正式發函公布「資訊服務採購作業指引」，即日起實施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>政府資訊服務採購過去二十年來，陸續有許多亂象發生，加上各種網路風險頻傳、資安威脅加劇，政府對於相關的資訊服務採購也新增各種資安規定，但也因為政府缺乏一套完整的資安規範，各機關各行其是，無助於政府整體資安防護提升。</p> <p>因此，政府採購的主管機關公共工程委員會和嫻熟資訊及資安的數位發展部，以及各個資訊、資安業者與公協會等單位，聯手制定一套政府《資訊服務採購作業指引》，並將《各類資訊（服務）採購之共通性資通安全基本要求參考一覽表》作為各機關資訊系統相關資安防護等級的資安規範參考。</p> <p>行政院政務委員兼工程會主委吳澤成也在9月25日正式發函給各個政府機關，要求自即日起，各機關政府的資訊服務採購都可參照政府《資訊服務採購作業指引》；另外，政府機關也依據資訊系統的機敏等級區分為普級、中級和高級，並將相關的資安規範都明列在《各類資訊（服務）採購之共通性資通安全基本要求參考一覽表》中，工程會於函式中則正式明定，普級系統將資安納入採購將於明年（2024年）3月1日施行，其他中、高級系統則於明年（2024年）8月1日正式適用。</p> <p>＠小標：各政府機關即日起適用，新制定的政府《資訊服務採購作業指引》</p> <p>政府每年都有將近400億元的資訊服務採購需求，但政府機關扮演的甲方，和提供資訊、資安服務的乙方，多年以來，面臨各種契約、價金，屢屢出現爭議協處議題，加上臺灣長期身處各種網路攻擊、資安威脅等風險之下，也對資訊系統建置時的資安規畫與契約履行造成極大的挑戰，使得原本單純的政府採購案件，陷入減價驗收、甚至是無法驗收的窘境。</p> <p>過往，政府資訊服務採購有許多亂象，也讓政府機關和資服業者陷入一個難以解決的惡性循環，因此，工程會、數位部與資訊、資安產業界以及公協會合作，制定政府《資訊服務採購作業指引》，其中，便是由乙方業者提出可執行的要項，再由甲方採購人員評估，若實務可以執行的項目，都納入相關的作業指引中。</p> <p>工程會也希望透過訂定《資訊服務採購作業指引》，從採購全生命週期，提醒機關辦理資訊服務採購相關的應注意事項，也可以強化機關資訊服務採購做到需求明確、合理編列費用及減少相關的履約爭議，更重要的是，除了將資安納入採購合約，會因為資訊系統資安防護等級不同，給予資服資安業者一定的調適時間外，《資訊服務採購作業指引》自發函之日起（9月25日）即日實施，作為個政府機關辦理資訊服務採購的參考指引。</p> <p>＠小標：資服採購納入資安基本要求，可以參考資安一覽表作為選擇依據</p> <p>根據數位部於2022年資安監控情資統計，最嚴重的資安威脅以掃描刺探類（47.2％）、入侵攻擊類（26.9％）為最多，但是，政府敏感資訊或民眾個資如果遭到駭客竊取，則會影響民眾對政府的信任。</p> <p>因此，近年來，政府在相關的資訊服務採購合約中，也都會加上不一樣的資安規範，只不過，許多負責政府機關資訊和資安的採購人員，通常也不具有資訊和資安專業，面對相關的資訊服務採購的資安要求時，除了四處搜尋或找配合的資訊業者詢問外，缺乏一套完整的資安風險藍圖，也使得制定的資安規範不甚完整，無法真正有效提升機關單位的資安防護能力。</p> <p>面對政府採購類型多元，工程會認為，如果可以將不同類型的資訊服務採購，所應該具備的通案性資安基本要求，全部統整並納入相關的契約範本外，政府機關在執行採購招標時，依照資訊系統的資安防護等級：普級（一般機關）、中級（關鍵基礎設施）和高級（機敏機關），提供不同的資安基本要求的選項，真正做到不只強化政府資訊服務採購的資安防護，也可以起到藉由政府採購引導產業發展，共同提升臺灣的資安防護能力。</p> <p>工程會表示，數位發展部於今年9月18日同意，將《各類資訊（服務）採購之共通性資通安全基本要求參考一覽表》正式納入工程會資訊服務契約範本的附件，未來各個機關將可以視個案特性，將所列的各種資安事項全部納入相關的資訊服務採購契約中。</p> <p>工程會也指出，為了讓資服和資安業者在面對《各類資訊（服務）採購之共通性資通安全基本要求參考一覽表》時，有足夠的調適時間配合和因應，在上述資安一覽表中屬於普級的資安要求，訂於明年（2024年）3月1日實施，若是中、高級的資安要求，則於明年（2024年）8月1日適用。</p> </div></div></div>
2023/9/26 19:05作者黃彥棻https://www.ithome.com.tw/news/158976
【資安日報】9月26日，駭客組織Stealth Falcon針對中東政府機關下手，散布後門程式Deadglyph
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近半年，針對中東地區而來的攻擊行動變得更加頻繁，而在本日的資安新聞裡，使用後門程式Deadglyph、LuaDream駭客，都將該地區列為目標，其中又以Deadglyph最為詭譎。</p> <p>為了躲避資安系統偵測，駭客採用多種罕見的方法進行活動，其中最特別的部分，就屬後門程式與C2伺服器之間連線的機制，竟是透過在記憶體內執行的附加模組來達成，而使得其運作更加難以捉摸。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.welivesecurity.com/en/eset-research/stealth-falcon-preying-middle-eastern-skies-deadglyph/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">後門程式Deadglyph鎖定中東政府機關而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/deadglyph-figure-02.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/deadglyph-figure-02.png" style="width: 300px; float: right;" /></a>資安業者ESET揭露駭客組織Stealth Falcon（亦稱Project Raven、FruityArmor）最近的攻擊行動，駭客利用名為Deadglyph的後門程式，鎖定中東的政府實體下手，此軟體由64位元執行檔及.NET元件組合而成，並透過特定的金鑰進行加密保護，而植入電腦的後門程式與C2連線方式相當特殊，是透過在記憶體內運作的附加元件，來動態接收攻擊者下達的命令。</p> <p>一旦此後門程式開始執行，會啟動Shell Code載入工具，做為初始化元件，攻擊者從登錄檔載入特定的Shell Code，從而開啟後門程式的64位元執行檔（研究人員稱為Executor元件），而該程式又會啟動名為Orchestrator的.NET元件，以便從C2接收命令，這些工作排程主要涵蓋3種類型，分別是由Executor執行的工作、Orchestrator執行的工作，以及上傳工作。</p> <p>研究人員指出，他們尚未確定駭客如何散布此後門程式，但駭客透過兩種不同程式語言開發而成的元件，並透過附加元件接收C2的命令，並且具備自我刪除等特性，使得該後門程式難以被資安系統察覺。</p> <p><a href="https://s1.ai/Sandman"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織Sandman鎖定電信業者散布惡意軟體LuaDream</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Sandman_6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Sandman_6.jpg" style="width: 300px; float: right;" /></a>資安業者SentinelOne、QGroup聯手，調查駭客組織Sandman的攻擊行動，該組織主要針對中東、西歐、南亞次大陸的電信業者而來，利用Lua程式語言的即時編譯系統LuaJIT打造後門程式LuaDream，竊取系統及使用者資訊，以便發動更進階的精準攻擊。</p> <p>一旦攻擊者成功入侵目標組織的網路環境，就會利用Pass-the-Hash攻擊手法，重用存放於記憶體內的NLTM雜湊值對遠端伺服器進行身分驗證。研究人員指出，遭到駭客鎖定的工作站電腦，皆會指派給駭客組織的管理階層。</p> <p>而對於後門程式的分析，LuaDream由34個元件組織，其中有13個是核心元件，其餘為支援元件，其運作方式是透過ffi程式庫來呼叫LuaJIT的位元組碼（Bytecode）及Windows API。</p> <p><a href="https://www.securonix.com/blog/threat-labs-security-advisory-new-starkvortex-attack-campaign-threat-actors-use-drone-manual-lures-to-deliver-merlinagent-payloads/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">烏克蘭軍方遭到鎖定，駭客利用無人機手冊當誘餌，散布惡意程式</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/dji-image2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/dji-image2.png" style="width: 300px; float: right;" /></a>資安業者Securonix揭露鎖定烏克蘭軍方而來的網路釣魚攻擊Stark#Vortex，駭客組織UAC-0154透過電子郵件挾帶Windows說明檔案（CHM），聲稱是提供軍隊無人機訓練資料，一旦收信人開啟附件檔案，就會看到以烏克蘭語編寫的DJI Mavic 3說明文件，然後電腦可能觸發CHM檔案裡的JavaScript程式碼，執行PowerShell命令，從C2伺服器下載惡意酬載，經解碼該惡意酬載就會產生惡意框架MerlinAgent的Beacon元件，從而讓攻擊者控制受害電腦。</p> <p>研究人員指出，由於無人機、無人駕駛的飛行器（UAV）已成為烏克蘭軍方不可或缺的工具，使得謊稱具有操作訓練內容的誘餌檔案隨之出現，這類文件檔案也可能讓軍人容易掉以輕心。</p> <p><a href="https://www.hhs.gov/sites/default/files/dprk-chinese-cyber-crime-threats-us-hph.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國、北韓駭客組織鎖定美國衛生機構及醫療產業而來</span></strong></a></p> <p>美國衛生暨公共服務部所屬的網路安全協調中心（HHS HC3）指出，中國駭客組織APT41、北韓駭客組織APT43（亦稱Kimsuky、Thallium）與Lazarus針對該國的公共衛生部門與醫療系統造成重大威脅。</p> <p>其中，APT41得到中國政府資助，使用的攻擊手法非常複雜、創新，對美國公衛部門下手的動機，往往是為了配合中國政府的5年發展政策，扶持該國的醫療產業研發而來，他們通常會對醫療裝置子公司所採用的軟體或資訊科技感興趣，並入侵與這些公司有關的系統，部署鍵盤側錄程式Gearshift。這些駭客也鎖定生技公司下手，透過遭竊的帳密入侵，盜取人力資源資訊、稅務資料、臨床測試、學術研究、研發相關資訊。</p> <p>而對於來自北韓駭客的威脅，HHS HC3指出，APT43擅長鎖定醫療產業進行社交工程、網路釣魚、收集帳密資料，並從事加密貨幣洗錢來籌措攻擊行動資金，之所以鎖定健康相關部門下手，目的是援助北韓流行疾病的因應工作；另一個駭客組織Lazarus，則是從事間諜行動、盜取智慧財產資料，包含COVID-19疫苗及相關醫療資訊。</p> <p><a href="https://research.checkpoint.com/2023/behind-the-scenes-of-bbtok-analyzing-a-bankers-server-side-components/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾40家拉丁美洲銀行客戶遭到木馬程式BBTok鎖定</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/BBTok-image_1-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/BBTok-image_1-3.png" style="width: 300px; float: right;" /></a>資安業者Check Point揭露近期的銀行木馬BBTok攻擊行動，駭客主要鎖定巴西與墨西哥等逾40家拉丁美洲的銀行用戶下手，該木馬複製網路銀行的系統使用介面，進而誘騙使用者輸入雙因素驗證碼（2FA）、支付卡的資料，然後將銀行用戶的戶頭洗劫一空。</p> <p>攻擊者利用釣魚郵件，挾帶ZIP附件或惡意連接，一旦收信人開啟，就有可能執行PowerShell指令碼，從遠端伺服器下載惡意程式，同時向收信人顯示誘餌文件檔案。研究人員指出，為了迴避偵測，駭客運用多種攻擊手法，當中包含了寄生攻擊（LOLBins），並且針對Windows 7、Windows 10作業系統繞過反惡意程式碼掃描介面（AMSI）及防毒軟體，然後檢查受害電腦所在的地理位置。</p> <p>值得留意的是，駭客的行動相當謹慎，所有盜取銀行帳戶存款的流程，都是由駭客透過C2下達命令，而非透過惡意程式自動化執行。 </p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資訊服務採購作業指引9月25日正式上路，明訂公部門編列專屬資安預算</span></strong></p> <p>9月25日行政院公共工程委員會發布公告，為協助公部門更為即時、有效強化資訊安全，並辦理有關的資訊服務採購，他們與數位發展部規畫的「資訊服務採購作業指引」、「各類資訊(服務)採購之共通性資通安全基本要求參考一覽表」正式上路。此作業指引涵蓋四大重點：（一）機關需編列獨立資安預算、（二）擴大工程會採購諮詢機制並納入數位發展部、（三）資服採購以不訂底價最有利標為原則、（四）開發過程需設定查核點。</p> <p>行政院公共工程委員會指出，考量機關按上述指引及表單辦理資訊服務採購，廠商也要配合調整，為使廠商能夠有充分時間因應，根據資料或系統的機敏程度，普級系統之資安要求訂於2024年3月1日正式施行，中、高等級則訂於2024年8月1日正式施行。</p> <p>資料來源</p> <p>1. <a href="https://www.ithome.com.tw/article/158898">https://www.ithome.com.tw/article/158898</a><br /> 2. <a href="https://planpe.pcc.gov.tw/prms/explainLetter/readPrmsExplainLetterContentDetail?pkPrmsRuleContent=75001760&_csrf=41c91031-1b1a-45e1-8814-ff2f59c93227">https://planpe.pcc.gov.tw/prms/explainLetter/readPrmsExplainLetterContentDetail?pkPrmsRuleContent=75001760&_csrf=41c91031-1b1a-45e1-8814-ff2f59c93227</a></p> <p><a href="https://www.cna.com.tw/news/afe/202309230215.aspx"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">數位部預告修正資安法，明訂公部門禁用危害國家安全的資安產品</span></strong></a></p> <p>9月22日<a href="https://join.gov.tw/policies/detail/d504e350-3542-4d4b-bf0c-3e4d2e36a138">數位發展部預告將修正資通安全管理法</a>，修法草案包含5大重點：（一）主管機關調整為數位部、（二）要求公務機關不可採購與使用危害國家資通安全產品、（三）強化公務機關資安，導入地方資安及分層管理、（四）強化關鍵基礎設施、公營事業或特定法人等特定非公務機關的資安管理，特定非公務機關應設置資安長、（五）政府機關資安人員採行一條鞭制度，重大資安事件資安署可調度各機關資安人員支援。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://thehackernews.com/2023/09/new-report-uncovers-three-distinct.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">東南亞政府機關遭到駭客組織中國駭客Mustang Panda、Alloy Taurus、Gelsemium鎖定</span></span></strong></a></p> <p><a href="https://www.sonarsource.com/blog/teamcity-vulnerability/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">CI/CD系統TeamCity存在能挾持伺服器的漏洞，已出現攻擊行動</span></span></strong></a></p> <p><a href="https://www.threatfabric.com/blogs/xenomorph"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">北美、歐洲安卓用戶遭到金融木馬Xenomorph鎖定</span></span></strong></a></p> <p><a href="https://www.group-ib.com/blog/shadowsyndicate-raas/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織ShadowSyndicate運用7款勒索軟體從事攻擊行動</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/158944"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客利用冒充訂房網站Booking.com進行網釣攻擊</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/158960"><strong>【9月25日】埃及總統候選人遭到鎖定，攻擊者利用iOS零時差漏洞在手機植入間諜軟體Predator</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158927"><strong>【9月23日】中國駭客鎖定臺灣安卓用戶，假借提供Whoscall付費功能的破解程式來散布惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158896"><strong>【9月22日】斥資280億美元重金，思科買下大數據資安業者Splunk</strong></a></p> </div></div></div>
2023/9/26 17:34作者周峻佑https://www.ithome.com.tw/news/158974
Spotify與OpenAI合作推出Podcast翻譯功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.spotify.com/2023-09-25/ai-voice-translation-pilot-lex-fridman-dax-shepard-steven-bartlett/" target="_blank">Spotify周一（9/25）宣布</a>，將採用OpenAI的語音技術，將旗下英文Podcast的內容轉換成其它語言，包括西班牙文、法文與德文，且計畫於未來擴充至更多語言，以讓全球使用者都能享受該平臺的Podcast節目。</p> <p>OpenAI在同一天發表的ChatGPT新功能，即是讓該聊天機器人得以支援圖像及語音輸入，還能以語音回答。其中，新的語音技術只要仰賴幾秒鐘的真實語言，即可生成逼真的合成聲音。於是，Spotify即利用此一語音技術，將該平臺上的Podcast用原本Podcaster的聲音，從英文轉成西班牙文、法文與德文。</p> <p>OpenAI指出，該語音技術除了可帶來許多創新及無障礙應用之外，也會衍生出新的風險，例如被用來冒充公眾人物或進行詐欺，因此，他們很小心地使用該技術，目前僅將它應用於語音聊天上，且直接與聲優合作，像是Spotify的案例。</p> <p>初期Spotify僅與Dax Shepard及Monica Padman等少數的Podcaster合作，轉換特定節目所使用的語言，且同時開放免費及付費版用戶收聽。<a href="https://open.spotify.com/genre/0JQ5DAqbMKFFE3WXPvSulX" target="_blank">現在已上線的</a>是西班牙文，將於未來幾周陸續釋出法文與德文版，也計畫擴大至更多的Podcaster及語言。</p> <p>根據Spotify的統計，在該平臺的5.5億用戶中，已有超過1億用戶經常收聽Podcast節目。</p> </div></div></div>
2023/9/26 16:50作者陳曉莉https://www.ithome.com.tw/news/158973
DirectX加入CASO技術大幅提升混合型筆電遊戲效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於Windows 11上隨附的DirectX 12，添加了可強化混合型筆記型電腦圖形效能的<a href="https://devblogs.microsoft.com/directx/optimizing-hybrid-laptop-performance-with-cross-adapter-scan-out-caso/">CASO（Cross Adapter Scan-Out）技術</a>，使得筆電可以更快、更順暢執行遊戲。CASO簡化了顯示卡將遊戲畫面傳送到螢幕中間的步驟，能夠提高遊戲畫面順暢度並降低延遲，提升整體遊戲體驗。顯示晶片主要廠商AMD、英特爾和Nvidia的驅動程式現在都已支援CASO。</p> <p>強調圖形效能的筆記型電腦通常搭載兩種GPU，分別是整合GPU和獨立GPU，主要是為了平衡效能以及省電的需求。更強大的獨立GPU可以讓遊戲運作更順暢，當不需要獨立GPU的運算效能時，筆電系統便會切換使用更為節能的整合型GPU，以降低電力消耗，讓筆電使用可以更靈活，並適應不同類型的使用者。</p> <p>在混合型筆電中，整合型GPU負責處理日常工作，而獨立GPU或是外部GPU負責繁重的圖形工作，微軟解釋，通常由整合型GPU連接整合顯示器，因此獨立或是外部GPU所渲染的遊戲畫面會先發送到整合GPU，再由整合GPU顯示到螢幕上。</p> <p>雖然這種方式可以將繁重的工作轉移給獨立GPU以提高效能，但同時又藉由整合型GPU實現節能，平衡了效能和節能的需求，但是缺點是這個工作流程牽涉渲染影格的兩次資料複製，一次是從獨立或是外部GPU到共享資源，另一次則是從共享資源到整合型GPU，當所有高效能遊戲的渲染視覺內容，都必須透過整合型GPU顯示，這也就無法充分發揮獨立GPU的優勢。</p> <p>為此，AMD和Nvidia也都推出可最佳化效能與電力消耗的軟體，透過採用多工器解決方案，將顯示連線切換至獨立GPU，因應遊戲等圖形密集型場景，同時也維持整合型GPU連線，以執行日常任務。因此當獨立GPU可以直接連接到整合顯示器，就可以在螢幕上直接顯示渲染內容，如此也避免了GPU間的資料傳輸，最大程度提高獨立GPU的作用。</p> <p>但並非所有混合筆電都有多工器解決方案，且利用獨立顯卡提高效能會增加額外的功耗，因此會導致電池續航力降低，而微軟在Windows 11中新增CASO，便能在沒有多工器解決方案的混合型筆電，簡化渲染內容傳輸過程，只需要一次資料複製即可直接將視覺資料掃描輸出到顯示器上，這種最佳化帶來更好的FPS（Frames Per Second））和低延遲，進而明顯提升混合型筆電的效能。</p> <p>微軟在熱門PC遊戲測試CASO，FPS平均可提高16％、延遲平均可降低27％，而且CASO也讓逾時偵測和恢復事件（TDRs）減少45％，這代表使用CASO的筆電在執行遊戲時更穩定，更少發生當機和卡頓問題。目前CASO已經整合到Windows 11中，並會在支援的裝置中預設啟用。</p> </div></div></div>
2023/9/26 16:54作者李建興https://www.ithome.com.tw/news/158970
GovTech月報第22期：數位部演示災難漫遊機制，當緊急災害發生時手機可漫遊他網通話、上網
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0819~0921)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">災難漫遊</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位部</span></font></strong></p> <p><span style="font-size:22px;"><strong>數位部展示災難漫遊，當重大災害發生時手機仍可漫遊其他網路撥話、上網</strong></span></p> <p>數位部近期配合內政部消防署的防災日大規模震災救災動員演練時，展示小規模的災難漫遊演練，當重大災害發生，導致電信業者的基地臺受損，通訊服務中斷時，讓民眾透過災難漫遊機制，仍能使用基本的通訊服務。</p> <p>數位部指出，漫遊是一種商業機制，讓A電信業者的用戶，在特定區域下，得使用B電信業者的行動通訊服務。災難漫遊則是在國家主導，電信業者配合之下，確保民眾在重大災難發生或緊急情況下，仍能使用基本通訊服務。在電信業者協助下，建立全國災難漫遊機制，只要任何一家業者的行動網路仍可使用，民眾就能通過其網路進行通訊，並取得政府資訊。</p> <p>為了達到災難漫遊，需要將民眾的門號事先在各家電信業核心網路完成設定，當災害發生或緊急情況下，雖然電信通訊網路受損，只要有存活的行動網路，其他家電信商的用戶就能透過災難漫遊機制使用。</p> <p>此次的小規模演練在新竹縣體育場進行，為避免影響周邊民眾，並沒有實際關閉附近基地臺，現場演練當中華電信網路中斷，可手動切換網路，漫遊使用遠傳電信或台灣大哥大的行動網路，除了接收國家級警報外，手機可撥語音電話和遠方的家人報平安，上網觀看最新災難報導或是取得政府防災避難資訊。數位部也規畫在2024、2025年繼續推動災難漫遊機制，包括研究國外災難漫遊機制，國內電信業者啟動災難漫遊機制的SOP及因應建議。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">生成式AI</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">使用指引</span></font></strong></p> <p><span style="font-size:22px;"><strong>行政院通過生成式AI使用參考指引，機密文書禁用生成式AI</strong></span></p> <p>生成式AI在全球帶起風潮後，不只民間企業採用，政府也研究如何妥善使用生成式AI，以提高行政作業效率，行政院近期通過行政院及所屬機關（構）生成式AI使用參考指引，讓公務人員使用生成式AI有所依循，避免不當使用產生的洩密風險。</p> <p>參考指引共有10條，例如使用生成式AI產生的內容，應由承辦人員依客觀及專業進行判斷，不可取代承辦人自主思維，機密文書應由人員親自撰寫，禁止使用生成式AI，承辦人員不可向生成式AI提供公務上應保密、未經個人或機關同意公開的資訊，也不能向生成式AI詢問涉及機密資料、個人資料的問題，以及各機關不可完全信賴生成的內容，在未經確認下，直接作為行政行為或當成公務決策的唯一依據。</p> <p>國科會繼續參考全球發展趨勢，未來滾動調整指引，各部會可參考指引，依其業務需要，訂定生成式AI規範及內部管理措施。數位部帶頭建立相關規範及訓練機制，運用AI提升機關的行政效率。指引不只適用行政院及所屬機關，也包括公營事業、公營學校、行政法人及政府捐助的財團法人。未來各部會訂定使用規範及內控措施，各機關進行採購，委託的法人、團體或個人也應注意參考指引，遵守機關訂定的內控規範。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">ChatGPT</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">教育</span></font></strong></p> <p><span style="font-size:22px;"><strong>臺南市鎖定中小學生推出ChatGPT打造的輔助學習平臺</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/9b84-600.jpg" style="width: 600px; height: 400px;" /></p> <p>臺南市政府教育局近期發表以ChatGPT打造的AI輔助學習平臺「生成式AI輔助學習中介平臺」，在中介平臺上提供不同主題的教學模組，透過該平臺引導學生正確使用AI輔助學習。</p> <p>市長黃偉哲表示，臺南為國內第一個透過中介平臺，正向導入AI輔助中小學學習的縣市，雖然不少大學禁止學生使用生成式AI寫論文等，但也有部分學校採取擁抱與引導；生成式AI優勢是能快速產生文本，與其完全禁止使用，更應藉由教育引導AI工具被正確使用，以提升效率，避免對學習產生負面影響。</p> <p>該平臺設計是以中、小學生使用為主，因生成式AI眾多，甚至詐騙偽造，為避免學生無法辨識，因此市府採用ChatGPT 4打造輔助學習平臺，相較於學生直接使用ChatGPT，中介平臺會預先檢查使用者輸入的資訊是否含有個資或不恰當的資訊。</p> <p>教育局指出，未來有2項目標，一是在學習方面，累積各學科、單位適合的問答引導資料庫，讓不太會問答的學生學習，另一目標是在資訊素養方面，累積及訓練學生輸入不當問答資料，即時攔截及給予適當引導。</p> <p>目前該平臺提供4個功能，包括「提問引導」教學模組、「過濾不當資訊」保護機制、「紀錄學習歷程」分析報告、「即時診斷評量」結果呈現。市府也展示應用成果，例如學生拍攝影片，利用生成式AI產生劇本、分鏡腳本、分鏡示意圖，或是利用提問模組，訓練提問能力等等。教育局也訂定「生成式AI學習應用及參考指引」，提供師生在教育學習時妥善使用生成式AI的建議，避免負面影響。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">美國</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>美國佛羅里達州開始運用AI監聽過濾囚犯通話，蒐集犯證活動資訊</strong></span></p> <p>美國佛羅里達州在8月開始利用AI來監聽8萬多名囚犯的電話通話情形，主要監聽囚犯和家人、朋友的通話內容，以蒐集過去或未來的犯罪資訊，提供給州或聯邦政府執法相關部門。</p> <p>過去佛羅里達州懲教部門是以人工方式，監聽懷疑可能和犯罪活動有關的囚犯通話內容，包括撥給囚犯的來電及囚犯撥出去的電話，並告知來電者及囚犯他們的通話內容受到監控。為了減輕人員的工作負擔，懲教部門以250萬美元啟動一項AI監控計畫，自動掃描來電和去電，使用AWS的語音轉文字技術，自動過濾含有特定關鍵字的通話內容，監聽的通話內容不包括囚犯和律師、醫生、精神顧問的通話。</p> <p>根據合約，佛羅里達州懲教部門可使用AI監控軟體到明年的6月底，包含紀錄和掃描最多5,000萬分鐘的通話。州政府透過監聽囚犯的通話內容，蒐集過去和未來可能的犯罪活動資訊，例如暴力犯罪、毒品走私，以及預防囚犯自殺等等。不過，這項做法也引起一些質疑的聲音，例如官員可能濫用AI監聽工具，過濾囚犯通話內容的關鍵字具有爭議等等。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">捷克</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位身分</span></font></strong></p> <p><span style="font-size:22px;"><strong>捷克政府修法擬於明年1月推手機數位身分驗證</strong></span></p> <p>捷克政府近期通過一項修法，為明年1月該國將推出的數位身分制度做好準備，未來捷克民眾不需攜帶實體身分證件，憑手機就能證明自己的身分。</p> <p>根據該國修正的數位權利法案，賦予應用程式eDoklady在中歐國家，作為實體身分證的替代品，換言之，手機就能證明民眾的身分，解決攜帶實體身分證件。未來捷克政府的數位身分制度會先在公部門實施，預計1年後，即2025年再擴大到私部門。</p> <p>eDoklady採用電子文件格式，未來可相容於歐洲數位身分錢包，作為同樣以智慧型手機為數位身分的載具，從捷克國內使用的eDoklady，到歐洲跨越數國通用的數位身分錢包，歐洲數位身分錢包提供公民一個數位錢包，用以儲存駕照、出生證明、文憑等個人證明文件。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">臺中港</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>臺中港設立空品維護區管制車輛，結合AI車牌辨識揪出不符規定排氣檢驗車輛開罰</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%87%BA%E4%B8%AD%E6%B8%AF%E8%BB%8A%E8%BE%AF%E7%B3%BB%E7%B5%B1%E7%8F%BE%E6%B3%81.jpg" style="width: 600px; height: 338px;" /></p> <p>臺中市政府為維護市區內的空氣品質，在重點區域設置空氣品質維護區，近期開始在臺中港設置空品維護區，在臺中港的7處出入口，利用自動化車輛管制系統、AI黑煙影像辨識，過濾進入港區未依規定排氣檢驗車輛予以開罰。</p> <p>臺中港空品維護區對一、二期大型柴油車，規定只有排氣檢定一年內合格車輛始得進入管制區，市府環保局利用車牌辨識系統，過濾進入臺中港的車輛，揪出沒有一年內排氣檢定合格者，在維護區推動的第一天上午，在管制車輛的96輛次中，發現18輛沒有一年內排氣檢定合格，依法開罰。</p> <p>臺中市環保局大舉運用科技化的方式管制污染源，今年規畫增設水湳生態公園、中央公園、谷關風景區三個空品維護區，將管制易排放黑煙的施工機具及柴油車輛，希望藉此減輕高污染車輛造成的空氣污染，以及對該地區民眾的危害。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">阿拉伯</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">衛星</span></font></strong></p> <p><span style="font-size:22px;"><strong>阿拉伯政府與衛星業者簽約，砸51億美元延續17年衛星服務</strong></span></p> <p>阿拉伯聯合大公國近期和位於阿布達比的衛星業者Yahsat簽約，將投入187億迪拉姆，約51億美元，和Yahsat的政府服務部門合作，確保未來17年政府享有足夠的衛星服務容量及管理服務。</p> <p>在俄烏戰爭爆發後，以衛星通訊取代地面網路提供緊急通訊逐漸受到重視。阿拉伯聯合大公國也看好衛星通訊在緊急情況下，強化通訊韌性的潛力，先前已與Yahsat達成兩項衛星服務上的協議，容量服務協議及管理服務授權，隨著協議即將在2026年先後到期。近期雙方締結新約，2026年之後，除了使用在軌道上的AI Yah 1與AI Yah 2兩顆衛星，提供阿拉伯政府衛星容量及相關管理服務，並準備以將在2027、2028年發射的兩顆下一代衛星，AI Yah 4與AI Yah 5，擴大服務政府能量。</p> <p>Yahsat指出，新的合作延續和阿拉伯政府的長期協議，下一代衛星也將擴展現有衛星群，提供更大的容量、覆蓋範圍、靈活彈性。</p> <p> </p> <p>圖片來源／數位部、臺南市政府、臺中市政府</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.韓國傳將以3.6億美元發展國內低軌衛星通訊網路</strong></p> <p><strong>2.英國政府正遊說隱私機構支持警察使用臉部辨識技術</strong></p> <p>資料來源：iThome整理，2023年8月</p> </div></div></div>
2023/9/26 17:07作者蘇文彬https://www.ithome.com.tw/news/158971
Gmail Basic HTML檢視功能將於明年1月退役
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.google.com/mail/answer/15049?hl=en&sjid=16203829960543308735-AP" target="_blank">Google近日宣布</a>，Gmail中的基本HTML檢視（Basic HTML View）模式將在明年1月退役，屆時所有原本採用該模式的介面，都將自動轉成標準檢視（Standard View）模式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0926-gmail%20html%20mode%20policy.png" style="width: 600px;" /></p> <p>Google去信向部分使用者解釋，基本HTML檢視是Gmail的早期版本，早在十多年前就被後繼的現代版本取代，而且它並未含有完整的Gmail功能，因此，從2024年1月初開始，桌面網頁及行動網頁版的Gmail就會關閉基本HTML檢視模式。</p> <p>基本HTML為Gmail的簡單版，最大好處就是它支援早期版本的瀏覽器，而且可在網路較慢的狀態下使用。</p> <p>不過，隨著全球網路速度的改善，基本HTML檢視已逐漸失去其必要性，再加上它缺乏標準檢視的許多功能，例如拼字檢查、聊天、快捷鍵或豐富媒體格式等，也讓Google持續建議Gmail用戶採用標準檢視模式。</p> <p>目前Google似乎已經移除了Gmail設定中可切換至基本HTML檢視的功能，<a href="https://mail.google.com/mail/u/0/h/" target="_blank">使用者可透過Google提供的連結進行切換</a>，而只要關閉該分頁再重新進入Gmail，就會回復成標準檢視模式。</p> </div></div></div>
2023/9/26 13:26作者陳曉莉https://www.ithome.com.tw/news/158969
ChatGPT現在能接受語音、圖片輸入提示，還會說話
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/blog/chatgpt-can-now-see-hear-and-speak" target="_blank">OpenAI周一宣布</a>ChatGPT即將讓用戶以語音輸入指令或上傳圖片，而且終於能開口說話。</p> <p>語音、圖像辨識新功能將在2周內部署給ChatGPT Plus及Enterprise用戶，不過OpenAI表示「很快」也會推向開發人員及免費版用戶。</p> <p>支援語音互動和圖片辨識讓ChatGPT有更多元應用。用戶可以直接說出想要ChatGPT執行的任務、聽它的答案，再和這個聊天機器人來回對話。像是要求它為家人說一個床邊故事，或是設定晚餐桌上的辯論。加上圖片辨識能力則讓使用場景更為靈活，像是在旅行途中拍下知名建物詢問有趣故事，或是拍攝冰箱照片，讓ChatGPT建議菜單，並在邊做菜時邊向它討教作法。用戶也可以拍攝數學習題上傳ChatGPT，請它分享解題技巧給大人和小孩。</p> <p>OpenAI表示，最新的語音能力是在新的語音合成（text-to-speech）模型上開發，它能以數秒鐘的語音樣本及文字生成逼真的人聲。目前OpenAI提供5種人聲，每種聲音都是OpenAI和專業聲優合作開發出來。OpenAI並使用開源語音辨識系統Whisper將語音轉錄為文字。</p> <p>而圖片辨識則是以多模GPT-3.5和GPT-4為底層。這些模型將語言理解能力應用在包含文字和圖片的段落、螢幕擷圖及文件上。最新功能允許用戶上傳多幀圖片，或使用其繪圖工具引導ChatGPT畫一張圖。</p> <p>OpenAI強調，基於技術風險，該公司選擇逐步釋出這些進階功能，例如語音合成可能給了歹徒詐騙或Deepfake名人的機會，而視覺模型目前仍有對人臉幻覺，以及在重要領域仍仰賴模型解釋圖片的問題。為此，在語音合成上，目前OpenAI僅發展語音對話，但是該公司也在實現其他應用，例如Spotify以OpenAI技術測試podcast的語音翻譯功能。至於圖片辨識，在大規模推廣前，OpenAI已展開模型偏激性及科學能力的測試，以探詢負責任的用途。</p> <p>新的視覺辨識功能提供給所有平臺，包括Windows及行動版App。語音輸入功能則只部署到iOS和Android版。要使用圖片辨識功能，需以App上的相片鍵拍攝或選擇圖片。iOS或Android手機版App上則需要先按「+」號。語音輸入功能方面，需用戶從App的「設定」區>「新功能」下加入（opt-in）啟動語音對話。之後使用者可按下ChatGPT主頁右上方的耳機按鍵，選擇喜歡的聲音完成設定。</p> </div></div></div>
2023/9/26 13:06作者林妍溱https://www.ithome.com.tw/news/158968
Unity收費政策大逆轉，用戶激烈反彈後官方釋出利多安撫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Unity在9月12日的時候，突然<a href="https://blog.unity.com/news/plan-pricing-and-packaging-updates">宣布</a>要向用戶收取一個稱為Runtime Fee的費用，所有Unity方案層級的用戶，其所開發的遊戲將會按安裝數收費，Unity Personal和Plus方案每個安裝的費用為0.2美元，而授權費較高的Unity Pro和Enterprise方案，每個安裝費用從0.15美元到0.01美元不等。</p> <p>Unity突然發布這項收費政策，引發遊戲社群大反彈，經過了接近兩個禮拜，Unity終於對社群<a href="https://blog.unity.com/news/open-letter-on-runtime-fee">道歉</a>，並且大動作修改收費政策，希望重新取得用戶的信任。</p> <p>Unity最初公開的新收費政策，提到Unity遊戲引擎存在兩部分，分別是Unity編輯器和Unity執行環境。Unity編輯器是遊戲開發引擎的核心元件，可用於建立和測試2D與3D應用程式的圖形介面，開發者可以使用編輯器，簡單地進行場景設計、素材管理、功能設計，甚至是打包和發布等工作，而Unity執行環境則是在玩家裝置上執行的程式碼，而這也是可以讓Unity遊戲能夠大規模運行的關鍵，每月下載量高達數十億次，因此除了編輯器之外，Unity也想對Unity執行環境收費。</p> <p>為此，官方引進了Runtime Fee的概念，會以最終用戶下載合法遊戲的次數當作基準向用戶收費，當滿足特定條件，用戶便會需要開始支付Runtime Fee，對於較低授權費的方案Unity Personal/Plus，在過去12個月內遊戲收入達到20萬美元以上，且終身遊戲安裝量至少為20萬次的用戶，還有Unity Pro/Enterprise方案，在過去12個月內收入達到100萬美元，而且終身遊戲安裝量達到100萬次的用戶，都會需要開始支付Runtime Fee。</p> <p>同時，官方還宣布從2023年9月12日開始Unity Plus將退役，用戶可以選擇升級到Unity Pro，從2024年1月1日開始，無論收入任何用戶皆可以選擇Unity Personal方案，而Unity Pro/Enterprise方案則會在Runtime Fee有較大的折扣，在遊戲安裝成長時，相較Unity Personal其授權成本便會被Runtime Fee折扣抵銷。</p> <p>Unity在公開這個消息之後社群譁然，隨之而來的便是用戶激烈的反彈，不少遊戲開發者醞釀出走，而在引起這麼大的風波之後，現在Unity Create負責人Marc Whitten終於出面，對於在推行新的收費政策之前欠缺溝通，所造成的困擾向用戶們道歉。</p> <p>同時，Marc Whitten也宣布了Unity最新政策，相較於9月12日的版本有<a href="https://unity.com/pricing-updates">4大調整</a>。首先，Unity Personal方案除了維持免費，且使用該方案建置的遊戲不需要支付Runtime Fee，Unity也將收入資格上限從10萬調高至20萬美元，並且還取消需要加入Made with Unity啟動動畫的要求。也就是Unity Personal免費方案在政策調整之後，官方進一步向開發者提供利多。</p> <p>在新政策中，只有在12個月內，總收入高於100萬美元的遊戲，企業才需要支付Runtime Fee，不過Unity Pro/Enterprise方案用戶也不用擔心，因為新政策的第二項調整，讓過去的遊戲不會受到Runtime Fee影響，政策會從2024年發布的下一個Unity LTS版本開始。第三項調整提到，目前已發布的遊戲和正在進行的專案，也同樣不會被收取Runtime Fee，除非轉換使用2024年發布的Unity LTS版本。</p> <p>第四項調整，對於需要支付Runtime Fee的遊戲，Unity也提供兩個方案，用戶可以選擇以2.5％的收入分成，或是根據每月的遊戲互動新用戶數量計算金額，這兩種方式都由用戶自己報告的數據計算，Unity最終收取兩種方式計算後較低的金額。Unity在Runtime Fee風波之後，釋出誠意大幅調整收費政策，接下來就要看用戶買不買單了。</p> <p>最近有不少企業都在調整收費方式後，面臨用戶強烈反抗。例如年初Docker<a href="https://www.ithome.com.tw/news/155971">宣布</a>Free Team方案將轉為付費方案，未升級的帳戶將在一個月內被凍結帳戶，同樣地，Reddit在7月<a href="https://www.ithome.com.tw/news/156469">強推</a>API收費政策，導致數個知名應用程式被迫關閉。這些收費政策的變化，都在用戶社群內引發巨大的風波。</p> <p>商業模式的轉換，特別是從免費轉向付費，往往更容易激起用戶的反彈和不信任感，畢竟原本免費的服務突然需要支付費用，總會引來一定程度的反彈，接下來勢必還會有更多廠商跟進調整商業模式，但要如何安撫用戶平順過渡至新的商業模式，成為廠商必須面對的挑戰。</p> </div></div></div>
2023/9/26 10:38作者李建興https://www.ithome.com.tw/news/158965
AWS CodeArtifact擴展Apple開發生態系支援，供開發者儲存、管理Swift套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS全託管程式碼成品（Artifact）儲存庫CodeArtifact現在可以更好地<a href="https://aws.amazon.com/tw/blogs/aws/new-add-your-swift-packages-to-aws-codeartifact/">支援</a>Swift開發者，CodeArtifact能夠儲存和檢索Apple平臺的套件相依項目，並整合標準開發人員工具Xcode、xcodebuild和Swift Package Manager（SwiftPM），使開發人員可以方便地管理這些Swift程式碼成品。</p> <p>簡單的應用程式可能只用到數十個套件，但大型企業的應用程式可能包含數百個相依項目，這些套件分別解決不同的任務，像是網路存取、加密函式，或是資料格式操作等，使開發人員能夠更快地開發和測試應用程式。同時開發人員也會嵌入SDK來存取遠端服務，而這些SDK可能來自組織中其他團隊，或是由第三方維護。</p> <p>因此管理套件和相依性成了目前軟體開發很重要部分，AWS提到，組織管理程式碼成品存在兩個重要挑戰，分別是合法性與安全性。組織必須確保第三方軟體套件的授權，與套件專案的預期用途相容，並且該軟體套件不會侵犯他人智慧財產權，另外，組織也必須確保所使用的程式碼安全可用，沒有後門或是刻意被置入的漏洞，以防範近年流行的供應鏈攻擊。</p> <p>為此，企業需要在本地或是雲端建置私有軟體套件伺服器，規範開發人員只能使用該伺服器上經過審查的軟體套件。而CodeArtifact則是一個可供企業存放私人套件的雲端服務，過去CodeArtifact支援的套件管理器和建置工具，包括Maven、Gradle、npm、Yarn、Twine、pip和NuGet，而現在還支援原生Swift套件。</p> <p>開發者可以從CodeArtifact儲存庫發布和下載Swift套件相依項目，CodeArtifact SwiftPM也能夠與現有開發工具搭配使用。在將套件儲存到CodeArtifact之後，開發者便可以在專案的Package.swift或是Xcode專案中參照使用，如同在Git端點存取公共Swift套件一樣。</p> <p>要上傳Swift套件到CodeArtifact，Swift版本需要使用5.8版本以上，因此要處理iOS、iPadOS、tvOS、watchOS的應用程式開發時，開發者就必須使用Xcode 15。Swift 5.9提供了一個swift package-registry publish命令，讓開發者可將套件上傳到CodeArtifact，而Swift 5.8則可以先使用curl命令上傳程式碼成品。</p> <p>CodeArtifact在收費方面，Swift程式碼成品與其他已經支援的程式碼成品格式相同，並且現已在13個地區開放支援。</p> </div></div></div>
2023/9/26 09:52作者李建興https://www.ithome.com.tw/news/158963
110個組織遭勒索軟體Akira鎖定，利用思科SSL VPN漏洞入侵，加密Windows、Linux電腦檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年5月資安業者Sophos看到勒索軟體Akira採用了過往較為少見的攻擊手法，<a href="https://news.sophos.com/en-us/2023/05/09/akira-ransomware-is-bringin-88-back/">駭客疑似針對尚未採用雙因素驗證的SSL VPN系統下手</a>，從而入侵受害組織，這樣的手法引起不少研究人員對於該駭客組織的高度關注。</p> <p><a href="https://www.ithome.com.tw/news/158411#akira">後來到了8月</a>，惡意軟體分析員Aura、資安業者SentinelOne確認被針對的SSL VPN系統廠牌是思科，而且，駭客應該是針對該系統的漏洞下手，繞過雙因素驗證流程。當時，SentinelOne確認有8起勒索軟體攻擊是透過該廠牌的SSL VPN系統入侵。<a href="https://www.rapid7.com/blog/post/2023/08/29/under-siege-rapid7-observed-exploitation-of-cisco-asa-ssl-vpns/">資安業者Rapid7發現</a>，也有人利用類似手法散布勒索軟體LockBit。</p> <p>這樣的發現，<a href="https://www.ithome.com.tw/news/158704#akira">在9月上旬得到思科的證實</a>，勒索軟體Akira就是利用CVE-2023-20269入侵組織的內部網路環境，而這樣的漏洞存在於該廠牌的網路資安設備ASA、FTD系列，攻擊者可在未經授權的情況下，藉由暴力破解攻擊找出有效的帳號及密碼，甚至有可能透過未經授權的使用者，建立無用戶端的SSL VPN連線。</p> <p>最近有新的分析指出，勒索軟體駭客組織Akira的攻擊行動持續昇溫。<a href="https://www.logpoint.com/en/blog/emerging-threat/emerging-threat-akira-not-a-cyberpunk-movie-a-very-real-ransomware-threat/">資安業者Logpoint表示</a>，今年8月Akira是第4大的勒索軟體，僅次於LockBit 3.0、8Base、BlackCat（Alphv），截至9月15日，總共有110個組織受害（編按：根據Ransomware.Lve網站的統計，在25日這天已增加至113個組織），這些組織大部分位於美國和英國，但駭客沒有偏好特定產業，受害組織涵蓋教育、金融、房仲、製造、顧問業者，當中包含大型生產流程品質檢驗業者Intertek。</p> <p><a href="https://s4.itho.me/sites/default/files/images/image-20230908-073921.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-20230908-073921.png" style="width: 580px;" /></a></p> <p>研究人員指出，一旦駭客得到內部網路的存取權限，就會使用遠端桌面連線工具AnyDesk、RustDesk，以及壓縮軟體WinRAR來進行後續攻擊行動，並且利用系統資訊工具PC Hunter及wmiexec橫向移動。</p> <p>此外，為了讓檔案加密工作能順利執行，駭客會停用Windows內建的防毒軟體即時監控功能，並使用PowerShell下達刪除磁碟區陰影複製服務（VSS）的備份檔案。此外，這些駭客也開發了Linux版的加密程式，可用來加密VMware ESXi虛擬機器的檔案，進行綁架勒贖。</p> <p>勒索軟體駭客採取寄生攻擊（LOLBins）手法，利用企業組織內現成的應用程式，執行攻擊行動，來迴避資安系統偵測的情況可說是非常普遍，其中，有許多駭客組織，如：LockBit、BlackByte，以及專門針對SQL Server的勒索軟體FreeWorld，濫用遠端桌面連線工具AnyDesk來存取受害主機，Akira也不例外。</p> <p>但值得留意的是，這些駭客還運用另一款<a href="https://rustdesk.com/">開源、跨平臺的遠端桌面連線工具RustDesk</a>，而有可能架設自己的基礎設施架構，或是利用其內建的點對點（P2P）連線功能，讓攻擊行動變得更為隱密。</p> </div></div></div>
2023/9/25 23:10作者周峻佑https://www.ithome.com.tw/news/158964
【資安日報】9月25日，埃及總統候選人遭到鎖定，攻擊者利用iOS零時差漏洞在手機植入間諜軟體Predator
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>集權國家政府利用間諜軟體監控特定人士的情況，不時傳出，而對於上週蘋果修補的一連串漏洞，通報的加拿大公民實驗室與Google威脅情報小組隨後公布資安事故的細節，指出受害者就是參與埃及明年總統大選的前議員Ahmed Eltantawy。</p> <p>但有別於1年多前攻擊者利用釣魚簡訊引誘該名議員上當，這次攻擊者竟然透過當地電信業者的邊界裝置下手，對方趁他瀏覽尚未採用HTTPS連線的網站時，重新導向到惡意網站來部署間諜軟體。研究人員依此判斷，背後的攻擊者極有可能就是埃及政府。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/158942"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">埃及政府傳出對總統候選人下手，利用零時差漏洞在iPhone手機植入間諜軟體Predator</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Predator-image3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Predator-image3.png" style="width: 300px; float: right;" /></a>蘋果於9月21日針對旗下的行動裝置、電腦、穿戴裝置發布更新，修補由的3個零時差漏洞CVE-2023-41991、CVE-2023-41992、CVE-2023-41993，通報上述漏洞的加拿大公民實驗室與Google威脅情報小組（TAG）指出，遭到攻擊的是宣布參與埃及明年總統大選的前議員Ahmed Eltantawy，這名議員在今年3月宣布參選後，他的家人與支持者不斷遭到各種騷擾及逮捕，因而懷疑手機遭到監控而尋求加拿大公民實驗室協助。</p> <p>調查結果發現，在今年5月至9月間，這名議員遭到鎖定，駭客透過簡訊及WhatsApp傳送連結，他手機所使用的電信網路Vodafone Egypt門號於8月開始遭到鎖定，只要該名議員瀏覽沒有採用HTTPS的網站，此電信業者的網路邊界裝置會將他重新導向惡意網站，從而在執行iOS 16.6.1作業系統的手機植入間諜軟體Predator。</p> <p>有鑑於間諜軟體透過埃及境內的電信網路設備發動攻擊，研究人員認為幕後的攻擊者就是埃及政府。而Ahmed Eltantawy的手機並非首度遭Predator入侵，2021年11月，這名議員收到含有釣魚網站連結的簡訊，而導致手機感染Predator。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://citizenlab.ca/2023/09/predator-in-the-wires-ahmed-eltantawy-targeted-with-predator-spyware-after-announcing-presidential-ambitions/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-805476736" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://citizenlab.ca/2023/09/predator-in-the-wires-ahmed-eltantawy-targeted-with-predator-spyware-after-announcing-presidential-ambitions/</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://blog.google/threat-analysis-group/0-days-exploited-by-commercial-surveillance-vendor-in-egypt/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-183830377" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://blog.google/threat-analysis-group/0-days-exploited-by-commercial-surveillance-vendor-in-egypt/</span></a></p> <p><a href="https://www.akamai.com/blog/security-research/sophisticated-phishing-campaign-targeting-hospitality"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客透過冒牌訂房網站Booking.com竊取信用卡資料</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/sophisticated-phishing-campaign-targeting-hospitality-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/sophisticated-phishing-campaign-targeting-hospitality-5.jpg" style="width: 300px; float: right;" /></a>資安業者Akamai揭露針對旅館、訂房網站、旅行社的竊資軟體攻擊行動，駭客假冒旅館的名義，透過訂房網站尋找目標，要求消費者重新確認信用卡，目的是竊取他們的資料。攻擊者先是發出訂房請求，並指定到旅館付款的方式，然後向旅館寄送一系列極為緊急且似乎相當真誠的電子郵件，當中含有「相片」的連結，若是收信人點選，電腦就有可能執行竊資軟體。</p> <p>研究人員指出，一旦旅館被鎖定，接下來駭客的目標就會轉向房客。研究人員指出，一旦收信人在旅館執行了竊資軟體，攻擊者就有機會取得聯繫房客的聯絡方式，然後利用旅館的名義，從訂房網站發送簡訊給房客，要求他們儘速採取行動，依照指示進行額外的付款資料驗證，來確保預約不會取消。</p> <p>若是房客照做，電腦就會執行以Base64編碼混淆的JavaScript指令碼。值得一提的是，為了防堵研究人員分析，駭客加入多項安全驗證機制，房客必須通過驗證後才會看到假冒Booking.com的釣魚網站。</p> <p><a href="https://www.logpoint.com/en/blog/emerging-threat/emerging-threat-akira-not-a-cyberpunk-movie-a-very-real-ransomware-threat/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">110個組織遭勒索軟體Akira鎖定，利用思科SSL VPN漏洞入侵，加密Windows、Linux電腦檔案</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/image-20230905-073724.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-20230905-073724.png" style="width: 300px; float: right;" /></a>勒索軟體Akira鎖定目標組織的思科SSL VPN系統，利用CVE-2023-20269入侵內部網路環境，引起不少研究人員關注，最近有新的分析指出該組織的攻擊行動持續昇溫。資安業者Logpoint指出，今年8月Akira是第4大的勒索軟體，僅次於LockBit 3.0、8Base、BlackCat（Alphv），截至9月15日，總共有110個組織受害（編按：根據Ransomware.Lve網站的統計，在25日這天已增加至113個組織），這些組織大部分位於美國和英國，但駭客沒有偏好特定產業，受害組織涵蓋教育、金融、房仲、製造、顧問業者，當中包含大型公證檢驗業者Intertek。</p> <p>研究人員指出，一旦駭客得到內部網路的存取權限，就會使用遠端桌面連線工具AnyDesk、RustDesk，以及壓縮軟體WinRAR來進行後續攻擊行動，並且利用系統資訊工具PC Hunter及wmiexec橫向移動。</p> <p>此外，為了讓檔加密工作能順利執行，駭客會停用 Windows內建的防毒軟體即時監控功能，並使用PowerShell下達刪除磁碟區陰影複製服務（VSS）的備份檔案。此外，這些駭客也開發了Linux版的加密程式，可用來加密VMware ESXi虛擬機器的檔案，進行綁架勒贖。</p> <p><a href="https://www.darkreading.com/attacks-breaches/fbi-cisa-issue-joint-warning-on-snatch-ransomware-as-a-service"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國針對勒索軟體Snatch的攻擊行動提出警告</span></strong></a></p> <p>上週美國網路安全暨基礎設施安全局（CISA）、聯邦調查局（FBI）聯手，針對勒索軟體Snatch的攻擊行動提出警告，指出駭客廣泛針對關鍵基礎設施（CI）、包含國防工業基地（DIB）、糧食與農業、資訊科技業者而來（最近一起被公布的攻擊事件發生在6月）。</p> <p>根據CISA和FBI提到的攻擊手法，駭客主要透過暴力破解找到遠端桌面連線（RDP）所需的帳密資料，成功入侵之後，他們會在受害組織的網路環境收集管理員帳密資料，並使用443埠進行連線，存取架設於俄羅斯代管服務的C2伺服器。接下來，攻擊者可能會耗費長達3個月的時間來進行橫向移動，並且找尋有價值的資料，過程中會利用Windows命令列執行sc.exe，以便對系統服務執行設定、查詢、停止、啟動、刪除、新增等動作，也會使用滲透測試工具Metasploit與Cobalt Strike。</p> <p>而對於這次CISA和FBI發布資安通告的原因，資安業者CardinalOps執行長Michael Mumcuoglu認為，很有可能是在最近1年駭客的攻擊行動升溫有關。</p> <p><a href="https://thehackernews.com/2023/09/ukrainian-hacker-suspected-to-be-behind.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">檔案下載工具Free Download Manager遭植入惡意程式，疑烏克蘭駭客所為</span></strong></a></p> <p>卡巴斯基9月上旬揭露針對Linux用戶的冒牌網站攻擊行動，駭客從2020年1月，竄改檔案下載工具Free Download Manager（FDM）部分網站，導致Linux用戶可能遭到惡意軟體攻擊。</p> <p>研究人員指出，一旦使用者下載、安裝惡意版本的FDM，電腦就有可能被植入後門程式crond，該程式會在電腦每次開機期間，透過cron啟動，並向特定網域發出特定類型的DNS請求，啟動反向Shell與C2連線。此後門程式會收集系統資訊、瀏覽器的上網記錄、儲存的帳密資料、加密貨幣錢包檔案，以及AWS、Google Cloud、Oracle Cloud Infrastructure、Azure等雲端服務的帳密資料。</p> <p>對此，FDM開發團隊獲報後也做出進一步說明，表示發動攻擊的駭客疑似來自烏克蘭，約有不到0.1%用戶受到影響，而開發團隊在2022年的網站更新工作時，無意間修復了相關弱點。FDM呼籲曾在2020至2022年下載應用程式的Linux用戶，應儘速檢查電腦是否感染惡意軟體，他們也提供Bash指令碼執行相關檢測工作。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://securelist.com/backdoored-free-download-manager-linux-malware/110465/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--712898188" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://securelist.com/backdoored-free-download-manager-linux-malware/110465/</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.freedownloadmanager.org/blog/?p=664" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-942106575" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.freedownloadmanager.org/blog/?p=664</span></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://confluence.atlassian.com/security/security-bulletin-september-19-2023-1283691616.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Atlassian修補旗下Jira、Confluence、Bitbucket、Bamboo漏洞</span></strong></a></p> <p>9月19日Atlassian針對旗下多款產品發布更新，包含：程式碼管理平臺Bitbucket、DevOps協作平臺Confluence、持續整合與持續部署系統（CI/CD）Bamboo、專案管理平臺Jira。</p> <p>根據CVSS風險評分，最為危險的是遠端程式碼執行（RCE）漏洞CVE-2023-22513，這項漏洞出現在Bitbucket，影響8.0.0至8.13.0版，攻擊者可在通過身分驗證的情況下，執行任意程式碼，能夠破壞該系統的可用性、完整性、機密性，過程無需使用者互動，CVSS風險評分為8.5。</p> <p>其他幾項漏洞為CVE-2023-22512、CVE-2023-28709、CVE-2022-25647，CVSS風險評分皆為7.5。CVE-2023-22512為阻斷服務（DoS）漏洞，未經授權的攻擊者可暫停目標伺服器的服務，影響5.6至8.5版的Confluence。CVE-2023-28709、CVE-2022-25647是第三方元件漏洞，影響8.1.12至9.2.3版Mamboo，以及4.20至5.10版Jira。</p> <p><a href="https://thehackernews.com/2023/09/high-severity-flaws-uncovered-in.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">網際網路系統協會修補DNS軟體BIND高風險漏洞</span></strong></a></p> <p>9月20日網際網路系統協會（ISC）發布DNS軟體BIND更新，提供9.16.44、9.18.19、9.19.17等版本，修補高風險漏洞CVE-2023-3341、CVE-2023-4236。</p> <p>這兩個漏洞的CVSS風險評分同為7.5，影響範圍較廣的是CVE-2023-3341，一旦遭到利用，攻擊者可藉由控制頻道發送偽造訊息，可能導致處理封包的程式碼佔滿整個記憶體堆疊，使得BIND無預期停止運作，影響9.16、9.18、9.19版BIND。</p> <p>ISC本次修補的另一個漏洞CVE-2023-4236，起因是處理DNS-over-TLS查詢的程式碼存在弱點，導致該系統內部資料結構在出現大量查詢作業的情況下，而造成不正確的重覆利用，演變成斷言（assertion）出錯讓該系統終止運作，影響9.18版BIND。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/158882"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國國家學生資訊交換所遭遇MOVEit Transfer零時差漏洞攻擊，影響890所學校</span></span></strong></a></p> <p><a href="https://www.securityweek.com/researchers-discover-attempt-to-infect-leading-egyptian-opposition-politician-with-predator-spyware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體BlackCat聲稱入侵車輛資訊系統製造商Clarion</span></span></strong></a></p> <p><a href="https://unit42.paloaltonetworks.com/rare-possible-gelsemium-attack-targets-se-asia/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">東南亞政府機關遭到駭客組織Gelsemium鎖定</span></span></strong></a></p> <p><a href="https://www.hhs.gov/sites/default/files/dprk-chinese-cyber-crime-threats-us-hph.pdf"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國、北韓多個駭客組織鎖定美國衛生機構而來</span></span></strong></a></p> <p><a href="https://www.welivesecurity.com/en/eset-research/stealth-falcon-preying-middle-eastern-skies-deadglyph/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">後門程式Deadglyph鎖定中東而來</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/158927"><strong>【9月23日】中國駭客鎖定臺灣安卓用戶，假借提供Whoscall付費功能的破解程式來散布惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158896"><strong>【9月22日】斥資280億美元重金，思科買下大數據資安業者Splunk</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158872"><strong>【9月21日】中國駭客假借寄送發票的名義發動網釣攻擊，目的是散布新型態的木馬程式ValleyRAT</strong></a></p> </div></div></div>
2023/9/25 17:21作者周峻佑https://www.ithome.com.tw/news/158960
AI趨勢周報第229期：生成排版文件也可以！微軟發表多模態模型Kosmos-2.5
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0915～0921)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Kosmos-2.5 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 多模態 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>生成排版文件也可以！微軟發表多模態模型Kosmos-2.5</strong></span></p> <p>最近，微軟發表一套多模態模型Kosmos-2.5，可完成2項文字任務，一是生成具排版空間的文字區塊，二是產出結構化文字，並以機器可讀的Markdown格式呈現，保留排版和風格。這個Kosmos-2.5包含ViT視覺編碼器和Transformer解碼器，並用大量包含文字的圖片訓練而成，如PPT簡報、arXiv論文、README和HTML等，因此模型具空間意識，可理解文字區塊在排版中的位置，也能理解文字內容。</p> <p>就生成過程來說，Kosmos-2.5會先產生文字區塊，也就是將文字區塊的座標分配到圖片中，這意味著模型更能理解文字區塊在圖片中的意義，能更準確產出結構化、連貫的文字描述。再來，模型會以機器可讀的Markdown格式，來產生結構化文字內容，包括原本的排版資訊和風格。</p> <p>團隊指出，Kosmos-2.5為文字圖片理解提供了統一的架構和介面，適用於各種應用場景。比如，它可作為單一模型進行微調，用於資訊抽取、排版偵測和分析、視覺問答、螢幕截圖理解、UI自動生成等文字圖片理解任務。再來，Kosmos-2.5也能與強大的大型語言模型相容，比如GPT-3.5或GPT-4，並以模型產出的結果，來強化LLM的文字圖像理解能力。微軟表示，Kosmos-2.5統一的模型介面大大簡化了下游任務的訓練，也能讓模型有效遵循指令。<a href="https://arxiv.org/abs/2309.11419">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 蒸餾 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 小模型 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google開發逐步蒸餾技術，小資料小模型也能打敗LLM</strong></span></p> <p>為解決模型大小和訓練資料收集成本間的權衡問題，Google發展逐步蒸餾（Distilling Step-by-Step）方法，可用比一般方法少得多的資料，訓練用於特定任務的小模型，效能還比少樣本提示語言模型要好。這個逐步蒸餾法是要從LLM中，擷取有用的自然語言解釋，亦即LLM中間的推理步驟，並用這些解釋更有效地訓練小型模型。因此，逐步蒸餾的第一步驟，是從大型語言模型中擷取解釋，由開發者提供少數範例，如問題、中間的解釋和答案，引導大型語言模型對新的問題產生相對應的解釋。第二階段是利用第一階段取得的解釋訓練小型模型，小型模型學習由大型語言模型生成的中間推理步驟，能更好地預測答案。</p> <p>團隊用5,400億參數的PaLM模型，再以T5作為特定任務的模型，實驗在不同自然語言處理任務的表現。透過逐步蒸餾法，使用較少的訓練資料就能超越標準微調方法的效果，甚至僅擁有2.2億參數的T5模型，在e-SNLI資料集表現就可超越5,400億參數的PaLM大型語言模型。<a href="https://blog.research.google/2023/09/distilling-step-by-step-outperforming.html">（詳全文）</a></p> <p><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEiN3UISRCKswIxZuTsi08LUV15urAL9GuG65SHPLQcyxa6JKL_aKMtYCiaFmaQ-TC59otrYI7g-DXLTa8v-h4WgOT_B1CqKtMZG7gyRiw4YoQcUn1EUj386PgYZ1PP-Wq9vDSer0D2kdYsT0n8XgAq9AdokWEtfgUBs-1KUZc2H8lMHuyjQ-nA6YFDuewrI/s16000/image4.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AFS </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 台智雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span></p> <p><span style="font-size:22px;"><strong>台智雲揭企業級LLM服務新進展，新添繁中優化的Llama 2模型</strong></span></p> <p>繼今年5月發表企業級大型語言模型服務AFS後，華碩子公司台智雲日前再揭新進展，在AFS中納入更多模型，包括以繁中資料強化的FFM-Llama 2，預計9月底上線。進一步來說，AFS全名為AI Foundry Service，主要有2種大型語言模型的部署和推論服務，即AFS Cloud和AFS Appliance。其中，AFS Cloud為雲端託管服務，企業可透過API來使用訓練好的LLM，AFS Appliance則是私有雲／地端部署服務，企業可下載大型模型到地端使用。</p> <p>這次，台智雲在AFS的預訓練模型庫中，新添以繁中語料優化的FFM-Llama 2模型，包含70億參數、130億參數和700億參數三種版本，以及Meta原本的Llama 2、Code Llama等開源模型，此外還有先前發布的FFM-1（含7B、176B版本）、BLOOMZ（含7B與176B版本）以及Embedding等模型來供用戶選擇。</p> <p>另外，台智雲在AFS中還新添新功能，比如能提高訓練效率的LoRA（Low-Rank Adaptation），特別適合資料量不多的企業使用者，預計10月上線FFM-Llama 2、Meta Llama 2和FFM-BLOOM系列支援LoRA。另一個新功能則是BitsAndBytes，結合了LoRA和模型縮小技術，有利於模型部署於運算資源有限的裝置。<a href="https://www.ithome.com.tw/news/158874">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B8%AE%E5%B0%8F.JPG" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 蛋白質 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> EvoDiff </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 序列空間 </span></strong></span></p> <p><span style="font-size:22px;"><strong>可設計自然界所有蛋白質！微軟開源AI新框架EvoDiff</strong></span></p> <p>微軟開源通用擴散模型框架EvoDiff，兼具處理大量、多元資料的特性和擴散模型的控制能力，在序列空間中能以可控制的方法生成蛋白質。用EvoDiff訓練的模型，能生成多樣化且結構合理的蛋白質，甚至能生成以結構為基礎的模型無法生成的模型，具通用性。</p> <p>這個EvoDiff框架，結合進化與擴散兩個方法，用進化規模的蛋白質資料，來建立擴散模型。所謂進化規模，是指涵蓋大規模進化歷史，足以反映蛋白質長時間進化的資料，可讓模型在探索和設計新蛋白質時表現更好。使用EvoDiff框架訓練的模型，能生成符合現實且多樣化的新蛋白質，包括在序列空間生成，在生物學和疾病中都有非常重要作用的無序蛋白質（Disordered Protein）。<a href="https://www.biorxiv.org/content/10.1101/2023.09.11.556673v1">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/f4.large__0.jpg?itok=mqkQ6Ryo" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 輕量化 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GAN </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 低階裝置 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google輕量化臉部編輯GAN模型，低階手機也能即時生成</strong></span></p> <p>Google針對生成對抗網路（GAN）的高運算複雜度提出新解方，將原本需要在伺服器執行的臉部編輯模型輕量化，改良為可在手機執行的少樣本臉部風格模型MediaPipe FaceStylizer，提供高品質臉部圖片生成。</p> <p>MediaPipe FaceStylizer包含臉部生成器和臉部編碼器兩個主要元件。臉部編碼器的主要功能是生成對抗網路反轉，將圖像映射到生成器的潛在碼中，來產生圖片。為最佳化生成器，團隊特別設計損失函式，從一個複雜的StyleGAN模型，提煉出一個更輕量的生成器BlazeStyleGAN，不僅容量小、執行快，生成的圖片品質也很高。</p> <p>經測試，當輸出解析度為1024x1024，BlazeStyleGAN-1024可減少95％運算複雜度，且輸出圖像品質與StyleGAN-1024模型沒有明顯差異。甚至，BlazeStyleGAN-256和BlazeStyleGAN-512在所有具GPU的裝置上都能即時運算，在更高階手機的執行時間甚至不到10毫秒。BlazeStyleGAN-256還可以在iOS裝置上以CPU即時生成結果。Google將透過MediaPipe平臺發布MediaPipe FaceStylizer。<a href="https://blog.research.google/2023/09/mediapipe-facestylizer-on-device-real.html">（詳全文）</a></p> <p><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEi3TpxAGbwALgLPFX9ocKbOTjYkRKvx28IY1jWHzM5mdgc3xTBFpn2MfbW1WpJPgjewSY2-zxRyo9FJEjxcx0gzaJxGf2bJGSuVkUUUTM0Eob60tjUuwaF-RUsGERGzl0o5LYkn7G0oFXB1UORri9RhnZ0FIvfbh3F5PFdt7IbVeeNw-yO6Ua8MB0Y2V5A/s16000/image2.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 創作 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> YouTube Create </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 編輯 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>YouTube推出AI內容編輯器</strong></span></p> <p>影音平臺YouTube日前推出一款AI編輯工具YouTube Create App，能用來精準編輯和剪輯、自動配音、上字幕和過場。特別的是，YouTube Create 還將測試一個新功能Dream Screen，使用者只需輸入一個想法，就能新添AI製作的短片或圖片至自己的影片。舉例來說，使用者可輸入「我想現在就在巴黎」，App就會合成包含使用者在巴黎的影片或圖片。</p> <p>這個App還會有個生成式AI功能，來根據發燒主題和觀眾偏好，來產生主題點子和影片大綱給使用者。此外，App也有個AI驅動的音樂推薦功能，能根據使用者輸入的影片描述，來推薦合適的背景音樂。另一方面，使用者也能開啟外語自動配音功能。YouTube表示，這個功能是要讓使用者更容易創作，特別是對第一次發片的使用者而言。<a href="https://blog.youtube/news-and-events/made-on-youtube-2023/">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/MadeOn_YT_Key_Takeaways.width-800.format-webp.webp" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Stability AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 音樂生成 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 聲音 </span></strong></span></p> <p><span style="font-size:22px;"><strong>跨入聲音領域，Stability AI發表文字生成音樂工具Stable Audio</strong></span></p> <p>繼推出文字生成圖像模型Stable Diffusion後，Stability AI日前發表文字生成音樂模型Stable Audio。該模型由Stability AI內部的生成式聲音研究實驗室Harmonai開發，利用AudioSparx提供的80萬個聲音檔進行訓練，涵蓋音樂、音效、各種樂器，以及相對應的文字描述等，總長超過1.9萬個小時。</p> <p>Stable Audio與Stable Diffusion一樣，都是基於擴散的生成模型。Stability AI指出，一般的聲音擴散模型通常是在較長聲音檔案中隨機裁剪的聲音區塊進行訓練，可能導致所生成的音樂缺乏頭尾，但Stable Audio架構同時基於文字，以及聲音檔案的持續及開始時間，讓模型能控制所生成聲音的內容與長度。此外，利用最新的擴散取樣技術，Stable Audio模型在Nvidia A100 GPU上以44.1 kHz的取樣速度，不到1秒就能渲染95秒的立體聲。目前，Stable Audio提供免費與Pro付費版。<a href="https://stability.ai/research/stable-audio-efficient-timing-latent-diffusion">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Bard Extensions </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 聊天機器人 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>能跨服務回答問題了！Google發表Bard Extensions</strong></span></p> <p>Google日前發表英文版的Bard Extensions，也就是Bard聊天機器人的外掛，能從使用者每天使用的Google服務中尋找答案，或替使用者進行規畫。這個新外掛可用於Gmail、Docs、Drive、Google Maps、YouTube、Google Flights和Google Hotels等。舉例來說，若使用者要規畫大峽谷之旅，可在單個對話中，要求Bard自Gmail中找出適合每個人的日期，搜尋航班與飯店資訊，於Google Maps上列出到機場的路線，或列出大峽谷各種活動的YouTube影片。</p> <p>儘管Google在Brad的隱私聲明中，宣稱會蒐集使用者的Bard對話、相關產品使用資訊、位置資訊及意見，但對於Bard Extensions，只要涉及Workspace中的 Gmail、Docs與Drive服務，Google都承諾相關內容不會經過人類審查員，也不會被用來訓練Bard模型或作為遞送個人化廣告的參考。<a href="https://blog.google/products/bard/google-bard-new-features-update-sept-2023/">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Plan_a_trip_to_the_Grand_Canyon_1.gif" /></p> <p>圖片來源／Google、微軟、YouTube</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. DALL·E 3文字轉圖像模型將於10月登場，可利用ChatGPT協助描述</strong></p> <p><strong>2. 發展腦機介面裝置的Neuralink，開始接受人類大腦植入臨床試驗申請</strong></p> <p><strong>3. 甲骨文整合臨床數位助理與EHR，擴大醫療AI應用場景</strong></p> <p>資料來源：iThome整理，2023年9月</p> </div></div></div>
2023/9/25 18:15作者王若樸https://www.ithome.com.tw/news/158962
Fintech周報第217期：螞蟻集團公開自行開發的金融LLM模型，國泰金控首度揭露實踐AI治理原則的四大技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">2023/9/8~9/22金融科技精選新聞</span></span></h3> <p><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 螞蟻集團</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融LLM模型 </span></strong></span></p> <h3>螞蟻集團財富管理平臺和保險平臺開始測試自製金融LLM模型，下一步要廣泛運用在螞蟻金融數位平臺</h3> <p>「螞蟻集團已經開發出一個整合LLM模型技術、領域知識和產業服務的模型。」螞蟻集團的金融LLM模型負責人王曉航在一則聲明中說道。螞蟻集團近期揭露應用於金融領域的LLM模型，也將模型導入到內部財富管理平臺和保險平臺測試。螞蟻集團表示，未來將廣泛運用到旗下金融數位平臺。</p> <p>螞蟻集團金融LLM模型是一個源自螞蟻自行開發的通用LLM模型中進行所用的訓練資料，包括了數千億個來自中國金融文件的Token，以及超過一兆個來自通用語料庫的Token。同時，該模型運用來自300個金融產業應用產生的60萬個指令。</p> <p>此外，他們也將這個金融LLM模型導入應用程式支小寶2.0和支小助1.0，前者是協助消費者的金融助理，後者是協助金融專業人員的金融助理。</p> <p><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 國泰金控</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI治理 </span></strong></span></p> <h3>國泰金控首度揭露實踐AI治理原則的四大技術</h3> <p>國泰金控在自家技術年會上，首度公開了實現AI治理原則所投入的4大技術研發進展，包括運用SHAP演算法來解釋AI模型輸出值、建立公平反歧視模型驗證方法、導入聯邦學習實踐數據安全與保護，以及在模型加入人類回饋增強學習（RLHF）方法確保AI符合倫理道德。</p> <p>國泰金控建立公平反歧視驗證檢核機制，來確保模型未使用含有歧視意味的特徵。這個方法可分為2步驟，一是在訓練模型前，先盤點資料、確保模型不使用具歧視的特徵，以進行事前約束。再來，模型訓練完後，再以統計檢驗群體間預測的分布是否有異，來進一步移除帶有歧視性的特徵。（<a href="https://www.ithome.com.tw/news/158850">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/S__4120594_0.jpg" style="width: 600px;" /></p> <p><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 日本超商</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ATM </span></strong></span></p> <h3>日本711超商ATM也能申請開戶，明天春季將支援刷臉存提款</h3> <p>日本7-Eleven旗下的七銀行近期宣布，9月26日起，其新型ATM將開始提供部分實體銀行服務，開放民眾在自家新型ATM上開立自家銀行帳戶，和更改帳戶資訊，如居家地址、電話號碼和電子郵件。除了支援自家銀行服務，七銀行也公布合作銀行，共有六家銀行支援這項服務，兩家銀行會同步開放民眾更改帳戶資訊，其餘四家會在未來陸續提供服務。</p> <p>由於這款ATM部署於日本711便利商店中，這意味著，日本民眾可以不分時段前往711便利商店送出開戶申請。</p> <p>七銀行自2019年推出新型ATM，在機臺中增加臉部識別技術、QR code和IC讀取技術，民眾可以藉由駕照或個人編號卡等資料完成身份驗證。而這次上線的服務，正是延伸這項技術，當民眾在ATM完成資料填寫和身分文件掃描，七銀行會將資料傳送給合作的金融機構，以完成開戶作業或資料更改作業。七銀行表示，預計2024年春季推出第二批服務，包括藉由人臉辨識刷臉提款和存款。</p> <p>截至今年9月1日，這款新型ATM已在日本首都圈部署超過一萬五千臺。七銀行表示，正在陸續汰換舊機臺，預計2024年底前更換完畢，讓全國兩萬七千多臺七銀行ATM上提供新服務。</p> <p><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure OpenAI</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> KPMG </span></strong></span></p> <h3>穆迪、KPMG和蘇黎世保險皆使用生成式AI優化內部流程</h3> <p>微軟AI全球黑帶專家賈濟鑫於國泰技術年會上分享金融業如何應用Azure OpenAI，例如，美國風險評估公司穆迪（Moody’s）打造Moody’s Copilot，結合內部的數據、分析和研究，提供全球一萬四千名員工查詢服務，該工具可以從多個數據來源中彙編複雜的資訊，例如透過信用指標、經濟預測和聲譽概況等，生成詳細的公司或產業分析。</p> <p>會計師事務所KPMG則使用Azure OpenAI優化稅務流程，例如，進行稅務預測和生成財務報告和建議。蘇黎世保險公司則運用Azure OpenAI結合OCR引擎，建立一套適用於票據和文檔資訊的機制，協助加速保險理賠流程。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/S__46374991.jpg" style="width: 600px;" /></p> <blockquote><p>美國整合性風險評估公司穆迪（Moody’s）打造Moody’s Copilot，讓內部員工可以在Teams平臺上查詢某家企業的財務狀況，並生成報表。</p> </blockquote> <p><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 富士通</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <h3>日本北陸銀行和北海道銀行在內部業務中測試生成式AI</h3> <p>日本北陸銀行和北海道銀行開始測試生成式AI，使用富士通的AI平臺，以生成式AI的Chat Bot協助銀行內部事務，包括支援內部查詢、文件校對和檢測程式碼。</p> <p>例如，提供員工查詢內部的商業規則和不同產品或服務的相關法規，以及針對企業客戶的融資機制提供內部解釋，並校對審核的文件。此外，兩間銀行也將運用生成式AI創建程式和測試數據，檢測程式碼的錯誤並提出錯誤更正建議。</p> <p><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> TSB銀行 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端安全 </span></strong></span></p> <h3>英國TSB銀行開始採用統一雲端安全平臺，管理多雲環境</h3> <p>英國TSB銀行開始採用一套雲端管理平臺保護雲端架構。隨著數位服務逐漸增加，TSB銀行需要一個統一的雲端安全平臺，提供資安團隊與開發團隊管理多雲環境。該平臺可以連結資安團隊和開發團隊，從統一的視窗找出相關且最優先需解決的資安風險。</p> <p>該平臺還可以在多雲配置、基礎架構程式碼化（IaC）、容器管理系統 Kubernetes中找出漏洞，也能辨識其他容器及應用程式間不安全的相依性。</p> <p>圖片來源／國泰金控</p> <p>責任編輯／李昀璇</p> <p>資料來源：iThome整理，2023年9月</p> </div></div></div>
2023/9/25 12:13作者李昀璇https://www.ithome.com.tw/news/158941
Google開始向170個市場推送Android AI開發助理Studio Bot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>現在大部分Android開發者，可以在Android Studio用到最新的人工智慧開發助理Studio Bot，Google<a href="https://android-developers.googleblog.com/2023/09/studio-bot-expands-to-international-markets.html">宣布</a>該功能開始向全球170個市場推送。開發者能夠在Android Studio中，以自然語言向Studio Bot提出程式開發相關問題並且獲得解答。</p> <p>Studio Bot是Google在今年I/O上發布，針對程式開發需求的人工智慧助理，其提供類似GitHub Copilot的功能，可協助開發者編寫程式碼，官方提到，Studio Bot使用一個專為Android微調的模型Codey，而Codey則是Google新發表語言模型PaLM 2的衍生模型。</p> <p>Studio Bot可以協助開發者產生程式碼、回答問題、相關資源，進而提高Android程式碼的品質，雖然開發者也可以使用其他人工智慧服務，達到類似的目的，但是Studio Bot的優勢之一，便是Studio Bot可以始終掌握開發者開發脈絡，能夠快速且精準地回應問題，開發者完全不需要離開Android Studio。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEiXKhj10TysGRjf19zA9jNfwKLyUiPBPl48UUTp6AxeYxKyAkf3lFpfYMdXn49GcfFUOqas5LkvT7ObsxRexqna-xIFM_yt4GZMTwrjZjH8ONOmX28Wk0A5AdGcdhqI6bVS_26F4NCr_U6MGYUeUT-i5swS1SK0O46XZLh-KQQDasQltvPUGlyz9jxmhIA/s1600/%5BAD%20BLOG%5D-Studio-Bot-Inline.gif" style="width: 380px; height: 475px;" /></p> <p>現在Google透過Android Studio金絲雀發布頻道，向170多個市場部署Studio Bot，雖然大多數國家都已經可以使用到這項功能，但是官方提到，Studio Bot針對英文使用設計。因此開發者需要在Studio Bot聊天室視窗中，以英文輸入問題與機器人互動。</p> <p>Studio Bot可以回應的問題包括「How do I add camera support to my app？」、「Can you remind me of the format for javadocs？」或是「What's the best way to get location on Android？」等。由於Studio Bot會記住對話上下文，因此開發者可以繼續提出後續請求，像是「Can you show me how to do it in Compose？」等問題。</p> <p>Studio Bot具有隱私安全性，機器人僅會發送指令到Google伺服器，用戶的程式碼會留在本機端，且預設情況下，Studio Bot的回應單純基於對話歷史紀錄，開發者可以控制是否要共用其他上下文或是程式碼以自訂回應。</p> <p>Google提醒，由於Studio Bot目前仍在早期開發階段，因此開發者要在生產環境使用Studio Bot所產生的回應，都應該先進行人工驗證。官方持續改進Android開發知識庫以及Studio Bot回應的品質，開發者也可以透過評價按鈕，來快速回饋對Studio Bot回應的感覺。</p> </div></div></div>
2023/9/25 16:58作者李建興https://www.ithome.com.tw/news/158947
駭客利用偽造的Booking.com進行網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>後疫情時代掀起了全球的旅遊熱潮，也讓訂房及旅遊網站成為駭客的攻擊目標，而<a href="https://www.akamai.com/blog/security-research/sophisticated-phishing-campaign-targeting-hospitality" target="_blank">資安業者Akamai近日揭露了一個複雜的網釣手法</a>，駭客先透過網釣攻擊於訂房網站植入資訊竊取程式，繼之再以所盜走的客戶資料向使用者展開第二階段的網釣攻擊，以竊取使用者的信用卡資料。</p> <p>儘管全球網路使用者都已知道應該要小心網釣攻擊，但網釣攻擊依舊是最普遍也最成功的攻擊媒介之一。<a href="https://perception-point.io/blog/stealing-more-than-towels-the-new-infostealer-campaign-hitting-hotels-and-travel-agencies/" target="_blank">資安業者Perception Point 在9月中旬揭露了</a>，一波鎖定線上旅遊產業的網釣攻擊，駭客偽裝成訂房的客人，並選擇到飯店才支付款項，期間駭客提出各種需求以持續與訂房網站聯繫，並於往來的訊息中夾帶惡意連結（下圖），不察的客服人員一旦點選了連結，就會遭到駭客植入資訊竊取程式，盜走登入憑證、金融資訊或其它機密資料。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0925-Perception%20Point-600-1.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Perception Point</span></span></p> <p>而Akamai則發現，線上旅遊產業的受害者並非這波網釣攻擊的終點，因為接著駭客便針對旅遊平臺的客戶展開網釣攻擊。例如當駭客入侵了Booking.com之後，即透過該平臺的傳訊服務與真實的客戶聯繫，然後要求客戶重新確認信用卡資訊以保留房間（下圖）。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0925-Akamai-600-1(1).png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0925-Akamai-600-1-A.png" style="width: 322px;" /></a></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Akamai</span></p> <p>來自官網上的訊息很難不被相信，但使用者卻會被導向一個仿冒的Booking.com支付頁面。再由駭客收割使用者所輸入的信用卡資訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0925-Akamai-600-2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Akamai</span></span></p> <p>Akamai指出，這種規模的網釣活動並非經常發生，但不能不防範駭客總是在開發新的策略以誘導受害者上鉤，奉勸使用者永遠不要點選不請自來的訊息中所夾帶的連結，不管該訊息看起來多麼真實，也要小心那些採用緊急或威脅字眼的文字。</p> </div></div></div>
2023/9/25 15:08作者陳曉莉https://www.ithome.com.tw/news/158944
蘋果上周修補的3個漏洞是被用來安裝Predator間諜程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/158904" target="_blank">蘋果於上周四（9/21）緊急更新</a>了3個已遭駭客濫用的零時差漏洞，提報漏洞的<a href="https://citizenlab.ca/2023/09/predator-in-the-wires-ahmed-eltantawy-targeted-with-predator-spyware-after-announcing-presidential-ambitions/" target="_blank">加拿大公民實驗室（Citizen Lab）</a>與<a href="https://blog.google/threat-analysis-group/0-days-exploited-by-commercial-surveillance-vendor-in-egypt/" target="_blank">Google威脅分析小組</a>分別在隔天揭露了攻擊場景，指出遭到攻擊的是手持iPhone的埃及總統候選人Ahmed Eltantawy，駭客利用相關漏洞在Eltantawy的手機上植入了間諜程式Predator。</p> <p>公民實驗室說Predator的開發商是Cytrox，Google則說是Intellexa，這是因為有資安業者認為，Intellexa是由包括Cytrox、Nexa Technologies與WiSpear等商業間諜軟體業者共同設立的聯盟，共同開發與銷售Predator，目的是與打造Pegasus間諜程式的NSO Group相抗衡。不過，不管是Cytrox或Intellexa，<a href="https://www.state.gov/the-united-states-adds-foreign-companies-to-entity-list-for-malicious-cyber-activities-2/" target="_blank">都已經在今年7月被美國列入禁止商業往來的實體名單（Entity List）中</a>。</p> <p>Predator的功能與Pegasus類似，在成功植入手機後，它們即可存取手機內部的所有資料，從訊息、電話、照片到密碼，還可以隱藏程式，也能監控手機位置，或是啟動手機鏡頭與麥克風。</p> <p>公民實驗室指出，曾擔任埃及議員的Eltantawy是在今年3月宣布要參選埃及總統，以取代現任總統Abdel Fattah el-Sisi的專治與鎮壓國家治理手段，之後Eltantawy的家人與支持者即開始受到各種騷擾與逮捕，Eltantawy則懷疑自己的手機受到危害，因而主動找上了該實驗室。</p> <p>上周蘋果所修補的3個漏洞，分別是可用來執行任意程式的WebKit漏洞CVE-2023-41993，可繞過簽名驗證的CVE-2023-41991，以及可擴充本地端權限的CVE-2023-41992。</p> <p>根據公民實驗室的調查，Eltantawy是在今年的8到9月間從iPhone造訪了幾個沒有使用HTTPS加密傳輸的網站，當時他使用的是Vodafone Egypt的行動網路，卻悄悄的被轉向到存放Predator的惡意網站。</p> <p>至於流量之所以能夠神不知鬼不覺地被轉向，除了Eltantawy所造訪的網站缺乏加密之外，也因為駭客是透過一個置放在埃及境內的裝置，藉由網路注入攻擊來遞送Predator。此外，公民實驗室分析，要能精準地針對某個Vodafone用戶進行注入，也必須整合Vodafone的客戶資料庫，再加上埃及政府原本就是Cytrox的客戶，因而相信該攻擊是由埃及政府所主導。</p> <p>Google則說，當受害者的手機被植入惡意程式之後，惡意程式即開始利用上述3個iOS漏洞，接著執行一個小程式來判斷是否要安裝完整的Predator。</p> <p>駭客不只鎖定iOS用戶，Android用戶同樣也受到Predator的攻擊，且駭客也利用了Chrome上的零時差漏洞CVE-2023-4762，已於9月5日修補。</p> <p>公民實驗室指出，此一攻擊事件揭露了整個電信生態系統的潛在風險，人們的網路通訊是藉由許多網路及中介設備來傳送，倘若當中的某些網路與設備遭到濫用，再加上造訪了未加密的網站，就可能受到危害，而這也突顯了應實現百分之百的HTTPS採用率的重要性。</p> <p>此外，這次攻擊中被注入惡意程式以重新定向的設備，為加拿大網通設備業者Sandvine所生產的PacketLogic，且過去PacketLogic已有遭到濫用的紀錄，使得該實驗室不僅去信Sandvine，也要求加拿大政府應立法來避免出口可能侵犯人權的技術。</p> </div></div></div>
2023/9/25 12:47作者陳曉莉https://www.ithome.com.tw/news/158942
6年來全球有500個智慧型手機品牌消失
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.counterpointresearch.com/insights/nearly-500-brands-exited-smartphone-market-during-2017-2023/" target="_blank">研究機構指出</a>，經濟不景氣、元件缺料、中國品牌競爭等因素，在過去6年間導致全球500個智慧型手機品牌從市場上消失。</p> <p>根據研究機構Counterpoint上周公布的全球手機型號銷售追蹤季報數據，全球70多個國家的智慧型手機品牌在2017年有700多個，但到了2023年只剩不到250個，總數銳減了2/3，原因在於市場逐漸飽和、中國品牌競爭、小型業者缺乏製造及行銷資源、以及從4G到5G等技術升級消費者要求提升，許多業者被迫退出市場。</p> <p>研究機構指出，6年來手機品牌數量減少主要原因來自本土品牌消失，許多集中在亞太、拉丁美洲、中東與非洲市占被擠壓，甚至被迫退出市場，如印度的Micromax、孟加拉的Symphony等。</p> <p>分析師解釋，過去3年新冠疫情及手機元件短缺，以及景氣衰退等多重不利因素影響下，全球智慧型手機業者都臨銷售挑戰，但大品牌競爭力強，維持營運相對容易。例如他們能持續投入研發、提升製造產能。也擁有較多預算投入行銷廣告、促銷活動或品牌代言以提振銷售。但原本小品牌並沒有這些資源；他們主要仰賴貼牌生產以維持低價市場定位，沒有研發能量，遑論行銷。近年的大環境衝擊，使早已被Xiaomi、OPPO、vivo等中國品牌擠壓生存空間的這些本土業者挑戰雪上加霜。</p> <p>分析師還指出，消費市場成熟是另一個不利小型品牌的因素。這些業者過去仰賴電信基礎架構升級，例如由2G升級到3G、4G帶動的入門手機銷售。但是隨著全球市場逐漸成熟，電信基礎架構由4G升級為5G，消費者對手機的期待更高，像是要有更強的規格、設計、品牌價值，或是生態體系（如軟體應用及服務）的整合等。這些期待也只有研發及產業結盟能力更強的大品牌才負擔得起。</p> <p>Counterpoint預期未來小品牌還會繼續減少，只有大品牌業者才有辦法因應經濟局勢和技術升級帶來的挑戰。</p> </div></div></div>
2023/9/25 09:22作者林妍溱https://www.ithome.com.tw/news/158931
Google Bard捏造使用者未曾寄出的信件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google生成式AI研發再受嚴格檢視。繼今年初Bard引用錯誤網路照片後，<a href="https://www.nytimes.com/2023/09/20/technology/google-bard-extensions.html" target="_blank">《紐約時報》上周又發現</a>，最新版Google Bard在搜尋用戶Gmail信箱並回答用戶查詢時還是出錯，捏造了用戶不曾寫過的信件來支持其論點。</p> <p>今年初Google宣布生成式AI聊天機器人Bard時，被揭露會提供錯誤的公司財報數字，引發AI幻覺（hallucination）的討論。在7個月後，<a href="https://www.ithome.com.tw/news/158833" target="_blank">Google上周再次宣布Bard的研發進展</a>，最新的Bard Extensions可搜尋用戶Google帳號下的服務，包括Gmail、Docs、Drive、Google Maps、YouTube、Google Flights及Google Hotels等。如此一來，可以加速使用者作業，例如請Bard搜尋他Gmail信箱中的郵件幫忙草擬回信，或是根據Google Calendar的行程搜尋航班與飯店資訊，並於Google Maps上列出到機場的路線。</p> <p>《紐時》專欄作家Kevin Roose在Bard上線時就曾經試用，<a href="https://www.nytimes.com/2023/02/16/technology/bing-chatbot-microsoft-chatgpt.html" target="_blank">發生Bard要他離開老婆的烏龍事件</a>。上周Google宣布Bard Extensions後，他再次測試Bard的能耐。</p> <p>在這次測試中，Roose下提示，要Bard分析其Gmail信件，並「以合理的肯定度」告訴Roose最大的心理問題為何。Bard回應說，根據Roose寄出的信件反映的「對工作感到壓力」、並且「害怕失敗」來看，他最大問題是對未來感到憂慮。</p> <p>不過Roose說，其實Bard宣稱找到的他寄出的信，根本不是他寫的。Bard搜尋到這位專欄作家信箱中一封內容包括馬斯克（Elon Musk）最近出版的自傳，以及其他內容的電子報，並引用電子報一段引言，虛構成一封Roose自己寄出的信件。此外，該虛構信件中，Roose抱怨自己天生「不是成功投資人」的料，還包含錯誤的航空公司及不存在的火車資訊。</p> <p>報導也引述Bard產品總監Jack Krawczyk說法，表示Bard出錯不必奇怪，因為Bard Extensions本來就還在實驗階段，而且是很初期的版本。</p> <p>事實上Google Bard也不是近日唯一出包的生成式AI系統。<a href="https://www.washingtonpost.com/technology/2023/09/22/new-ai-launch-google-amazon-dalle-copilot/" target="_blank">《華盛頓郵報》報導</a>，近日推出的幾個知名AI技術也都傳出「突槌」。像是<a href="https://www.ithome.com.tw/news/158861" target="_blank">新版Amazon Alexa</a>建議某博物館，但地點誤植為在另一座城市，而OpenAI的文字生成圖片模型DALL·E 3也未能完全按用戶要求生成圖像。</p> <p>因此廠商開放AI模型或聊天機器人公測時，都不忘警告會有給出不精確資訊的問題，用戶不應將生成式AI給出的答案作為研究或醫療用途。</p> </div></div></div>
2023/9/25 10:15作者林妍溱https://www.ithome.com.tw/news/158940
開源通訊標準Matrix進入2.0，支援原生OIDC還加入端到端加密群組語音功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不少政府與企業用來開發自家通訊軟體的開放標準通訊協定Matrix，經過超過9年的發展，現在終於推出最新2.0版本。<a href="https://matrix.org/blog/2023/09/matrix-2-0/">Matrix 2.0</a>加入多項重要的功能，包括滑動同步（Sliding Sync）、原生OIDC、原生群組語音通話，並且也能更快地加入聊天室等，使得運用Matrix開發的應用程式，也能夠跟上當前主流的通訊軟體的功能。Matrix 2.0的發展主要由Element貢獻，並已經在客戶端應用程式Element X中實作。</p> <p>Matrix 2.0在效能、可用性和穩定性都大幅提升，官方以Rust實作了Matrix協定，在GitHub上開源matrix-rust-sdk，該SDK提供多項Matrix 2.0功能和改進，並且同時也是建構Element X的重要元件。</p> <p>滑動同步是Matrix 2.0規範中的全新同步API，官方稱此API為該版本最大的更新。滑動同步API可以確保應用程式選擇，僅載入當前可見使用者介面最基本的資料。相較於Matrix過去的載入方式，滑動同步極大程度地提高效能和回應速度，特別是需要呈現大量資料，或是用戶參與多個活躍聊天室的情境。滑動同步解決了過去Matrix執行緩慢的操作，且確保無論在什麼情境，都能即時完成使用者的操作。</p> <p>官方解釋，滑動同步的設計理念受即時通話軟體Discord架構啟發。在滑動同步的架構中，伺服器會計算一個有序的聊天室列表，由客戶端知會伺服器當前顯示的列表視窗，當檢視範圍發生改變時，伺服器便會發送更新給客戶端，使用者在列表中捲動，滑動的視窗上下移動，伺服器則會發送相對應的更新，因此取名為滑動同步。</p> <p>matrix-rust-sdk同時實作滑動同步與Matrix 1.8目前所使用的Sync v2 API，而Element X則只實作滑動同步，為的是充分使用滑動同步API提供給快速的使用者介面。因此如果用戶要使用Element X，就必須執行支援滑動同步的家用伺服器。</p> <p>Matrix 2.0現在也開始支援原生Matrix群組語音通話（MSC3401），Element已經實作了端到端加密且可擴展的群組語音/視訊通話。之前Element是按照嚴格的MSC3401規範實作。使用完整網格會議方式，讓每位參與者都與其他參與者通話，這種方式使會議去中心化，避免需要一個焦點伺服器。</p> <p>但是這種方式有一個重大的缺點，由於需要重複傳送資料，因此會議的參與者數量被限制只能7或8人左右。要支援更多的人，Element必須尋求其他方法，最後採用了一個稱為LiveKit的Selective Forwarding Unit（SFU）實作，參與者的視訊和音訊會先被發送到SFU伺服器，再由SFU伺服器選擇性轉送給其他參與者，以降低網路頻寬需求和解決資料重複發送的問題，支援更多的視訊會議參與者。目前Element最新的通話功能，由MSC3401負責傳遞通話狀態、成員資格等高階訊號，LiveKit負責WebRTC訊號以及端到端加密。</p> <p>Matrix 2.0現在也開始採用業界標準Open ID Connect（OIDC）作為主要認證方法，這提高了安全性和可維護性，目前Matrix伺服器實作Synapse以及客戶端Element X都已經更新，支援透過OIDC進行帳戶註冊和管理。</p> </div></div></div>
2023/9/25 08:41作者李建興https://www.ithome.com.tw/news/158930
每日寫入量達50次，Solidigm跟進推出高耐寫固態硬碟
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/solidigm_d7-p5810_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，TLC與QLC NAND快閃記憶體日益普及，也屢屢在單位儲存容量獲得突破，然而，耐用性（每日寫入量，DWPD）也隨之越來越低，令人擔憂，針對這方面的需求，越來越多固態硬碟廠商開始闢出獨立的產品線來因應。</p> <p>例如，在2021年9月，<a href="https://americas.kioxia.com/en-us/business/news/2021/memory-20210913-1.html">鎧俠（Kioxia）發表FL6系列企業級NVMe固態硬碟</a>，鎖定儲存級記憶體應用（SCM）市場，每日寫入量可達到60次，採用的快閃記憶體是96層SLC NAND，提供960 GB、1920 GB等兩種容量選擇；今年5月，<a href="https://www.ithome.com.tw/review/157275">美光（Micron）發表XTR系列NVMe固態硬碟</a>，特色是針對寫入密集型工作負載、提供超大耐用度，因應隨機寫入作業時，每日寫入量為35次，因應循序寫入作業時，每日寫入量為60次，採用的快閃記憶體是176層TLC NAND，而且是採用以SLC模式運行的TLC NAND。</p> <p>到了9月底，Solidigm發表的D7-P5810，也切入這類產品應用需求的市場，提供專為寫入密集型工作負載設計的NVMe固態硬碟，耐用度硬是比美光XTR系列高了一些──因應隨機寫入作業時，每日寫入量為50次，因應循序寫入作業時，每日寫入量為65次。</p> <p><a href="https://s4.itho.me/sites/default/files/images/D7-P5810-position.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/D7-P5810-position.jpg" style="width: 600px;" /></a></p> <p>關於產品的供應時程，Solidigm表示，D7-P5810目前可提供800 GB容量的款式，2024年上半將提供1.6 TB容量的版本。相較之下，其他兩款這方面的選擇較豐富，例如，鎧俠FL6系列提供800 GB、1,600 GB、3,200 GB等三種容量，美光XTR系列提供960 GB、1920 GB等兩種容量。</p> <p><a href="https://s4.itho.me/sites/default/files/images/D7-P5810-spec.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/D7-P5810-spec.jpg" style="width: 600px;" /></a></p> <p>Solidigm這款機型採用的快閃記憶體是144層SLC NAND，相較於其他兩款競爭產品而言，存取效能最多可領先逼近1倍（以美光XTR系列的960 GB為基準，隨機寫入效能為25萬IOPS，Solidigm D7-P5810為49.5萬IOPS）。</p> <p>而在產品用途上，Solidigm這款機型適用於快取、高效能運算、資料記錄、日誌留存。相較於其他採用非NAND的儲存記憶體技術而言，Solidigm強調，D7-P5810的成本可低於2成。</p> <p><a href="https://s4.itho.me/sites/default/files/images/D7-P5810-Comparison.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/D7-P5810-Comparison.jpg" style="width: 600px;" /></a></p> <p>除此之外，D7-P5810也能搭配QLC固態硬碟用於雲端儲存加速層（Cloud Storage Acceleration Layer，CSAL）的部署。CSAL是開放原始碼軟體構成的資料存取層級，當中會運用儲存級記憶體作為寫入快取，藉此形塑寫入工作負載的各種存取形式（隨機寫入、循序寫入），以及大小規模，Solidigm表示，這能大大改善QLC固態硬碟的效能與使用壽命，而在這樣的架構之下，D7-P5810負責提供超快寫入緩衝，後續再以透過連續進行的I/O寫入QLC固態硬碟。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Solidigm D7-P5810-CSAL.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Solidigm%20D7-P5810-CSAL.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/D7-P5810-use case.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/D7-P5810-use%20case.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Solidigm D7-P5810</strong><br /> ●原廠：Solidigm<br /> ●建議售價：廠商未提供<br /> ●儲存容量：800 GB<br /> ●外形：U.2（厚15公釐）<br /> ●儲存媒體：3D NAND，SLC，144層<br /> ●最高讀寫速度：循序6,400 MB/s與4,000 MB/s，隨機86.5萬IOPS與49.5萬IOPS<br /> ●使用介面：PCIe 4.0 x4<br /> ●耐用度：每日寫入量最高為50，總寫入量為73 PBW<br /> ●可靠度：200萬小時MTBF<br /> ●保固期間：5年</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/9/24 18:55作者李宗翰https://www.ithome.com.tw/review/158875
衛福部揭露次世代數位醫療平臺更多細節，4大架構聚焦PaaS、數據中臺和混合雲架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>衛福部資訊處處長龐一鳴日前說明次世代數位醫療平臺架構，分為4部分，包括次世代平臺核心層（通用服務PaaS層、通用業務PaaS層）、數據中臺、IoT數據整合平臺，以及混合雲架構。其中，通用服務PaaS層包含資料庫和多項系統，通用業務PaaS層則涵蓋醫療通用標準，如FHIR、國際疾病代碼ICD-10和國際檢驗資訊交換標準LOINC等。IoT數據整合平臺則用來串接醫院各設備資訊，數據中臺是大數據分析專用。接下來，衛福部將與各醫療機構、協會、廠商和政府單位溝通。</p> <p><span style="font-size:24px;"><strong>2大PaaS層組成次世代數位醫療平臺核心</strong></span></p> <p>自去年底，衛福部就著手成立專案辦公室，委由工研院來共同規畫次世代數位醫療平臺，今年也陸續公開說明進展。龐一鳴日前在臺灣醫院資訊主管會議中指出，這個次世代數位醫療平臺可分為4大架構，包括核心層、數據中臺、IoT數據整合平臺和混合雲架構。其中，核心層有2大重點，也就是通用服務PaaS層（Common service PaaS layer）和通用業務PaaS層（Common business PaaS layer），前者架設於底層基礎設施（IaaS）上，包含資料庫系統和多種套件，如ERP系統、（非）結構化資料庫系統、負載平衡系統、授權驗證系統、知識系統和安全系統等來支援業務層。此外，這個通用服務PaaS層還包含一個資料抽象層，或稱共通資料層，來抽取所需的系統資料，給業務層使用。</p> <p>再來，在通用服務PaaS之上的通用業務PaaS層，包括了醫療作業共同標準，如國際醫療資料交換標準FHIR、疾病代碼標準等。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9E%B6%E6%A7%8B1.jpeg" /></p> <p><span style="font-size:24px;"><strong>數據中臺聚焦大數據分析，IoT數據平臺整合醫療數據</strong></span></p> <p>在通用層之上的是數據中臺，也是次世代數位醫療平臺涵蓋的另一架構。進一步來說，數據中臺包含資料來源、資料治理、資料分析3部分，其中，資料來源部分包括資料湖、大數據處理平臺Hadoop或公雲資料儲存服務等，資料治理則指資料管理，如資料交換、資料整合、資料組織和處理等機制。資料分析包含各種大數據分析、AI處理和報告產出。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9E%B6%E6%A7%8B3.jpeg" /></p> <p>龐一鳴表示，這個數據中臺，是針對尚未發展出資料處理和分析平臺的醫院而建置，這些醫院可共同使用一套數據中臺。至於大數據應用發展成熟的醫學中心，則可不必使用。</p> <p>不只如此，龐一鳴點出，次世代數位醫療平臺還有個IoT數據整合架構，利用裝置閘道器（Getway），來串接醫院IoT設備的數據，如救護車、照護裝置、感測器、醫療儀器等。這些數據會傳送到次世代數位醫療平臺的PaaS層或數據中臺，處理後再送至IaaS雲端儲存，最後用於醫療AI分析。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9E%B6%E6%A7%8B2.jpeg" /></p> <p>此外，衛福部也計畫，用混合雲架構方式，來建置整個次世代數位醫療平臺。</p> <p>接下來，衛福部專案辦公室也會繼續拜會各廠商、醫療機構和政府單位。其中，廠商包括電子廠商和醫資廠商，像是仁寶、廣達、華碩、研華，或大同醫護、昱誠智醫、陽碩科技等，甚至是國際電子病歷大廠Oracle Cerner、Epic等。而醫療機構則包括衛福部立醫院、醫學中心等，另此外，他們也會拜訪衛福部各署，如疾管署、健保署、食藥署和國健署等，來討論平臺建置事宜。</p> <p>另一方面，為順利將國際醫療標準導入次世代數位醫療平臺，衛福部專案辦公室也將與臺灣HL7協會、臺灣病歷學會、臺灣醫資學會和臺灣健康保險協會等產業協會溝通。龐一鳴也透露，他觀察到，越來越多人查詢衛福部制定的臺灣核心實作指引（TW Core IG）中，衛福部也將新增更多FHIR資源（Resource），並開設課程來教導醫界建立FHIR實作指引，來形塑FHIR生態系。</p> </div></div></div>
2023/9/23 23:14作者王若樸https://www.ithome.com.tw/news/158929