iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 19篇
近 24 小時: 24篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 15:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 136 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Cloudflare遭爆允許駭客利用其基礎設施攻擊用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://certitude.consulting/blog/en/using-cloudflare-to-bypass-cloudflare/" target="_blank">奧地利資安業者Certitude上周揭露</a>，專門提供內容遞送網路與資安服務的Cloudflare含有安全漏洞，將允許駭客利用其Cloudflare帳號來攻擊其它同樣使用Cloudflare平臺的用戶。Certitude曾向Cloudflare提報，惟並未被視為嚴重漏洞，Certitude仍舊決定將它公諸於世，並提醒Cloudflare用戶小心應對。</p> <p>根據Certitude的說明，Cloudflare所提供的網站代管服務具備許多保護措施，諸如網頁應用程式防火牆（WAF）、服務阻斷攻擊保護（DDoS Protection）與機器人管理等，方法是在客戶的網頁伺服器與使用者之間建立反向代理伺服器以分析流量並防堵惡意行為。</p> <p>Cloudflare允許用戶設定配置來管理網站的安全性，然而，Certitude發現其中的中等安全（Moderately Secure）與非常安全（Very Secure）等兩項設定的前提，皆相信所有來自Cloudflare的流量都是可靠的，這便給了駭客入侵的機會，駭客只要建立一個免費的Cloudflare帳號，便能繞過Cloudflare替用戶建立的安全機制。</p> <p>例如在非常安全的選項中，於傳輸層（Transport Layer）使用經過驗證的來源拉取（Authenticated Origin Pulls）時，Cloudflare反向代理伺服器是利用一個用戶SSL憑證來向原始伺服器驗明正身，它支援用戶的客製化憑證，也能直接使用Cloudflare憑證，而Certitude則發現，若用戶貪圖方便直接使用Cloudflare憑證，就可能產生安全風險。</p> <p>原因是Cloudflare憑證屬於共享憑證，允許所有源自Cloudflare的連線，不管是由哪個Cloudflare租戶所發起的連線，使得駭客得以設定一個Cloudflare網域，將其DNS A記錄指向受害者的IP位址，再關閉該網域的所有保護機制，以Cloudflare的基礎設施當作偽裝並發動攻擊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1002-Example%20Exploitation%20of%20Shared%20Cloudflare%20Certificates-by%20Certitude.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Certitude</span></span></p> <p>中等安全設定則是在網路層（Network Layer）中將Cloudflare IP位址列為白名單（Allowlist Cloudflare IP Addresses），而讓來源伺服器拒絕所有非Cloudflare IP位址的連線，與上述漏洞一樣，它接受了所有來自Cloudflare的連線，同樣讓駭客有機可趁，關閉受害者的安全機制。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1002-Example%20Exploitation%20of%20Allowlist%20Cloudflare%20IPs-by%20Certitude.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Certitude</span></p> <p>Certitude針對相關漏洞成功執行了概念性驗證攻擊，指出兩種攻擊途徑各有緩解措施，第一個是採用客製化憑證而非Cloudflare憑證，第二個則是採用專用的IP出口位址Cloudflare Aegis，而非共享的IP位址範圍。</p> <p>Certitude是在今年3月發現並提報相關漏洞，但Cloudflare在得知後僅將它列為「有價值的資訊」（Informative），並未將其視為安全漏洞。不過，Certitude建議Cloudflare應該部署針對相關攻擊的保護機制，也應警告那些採用脆弱配置的用戶。</p> </div></div></div>
2023/10/2 16:46作者陳曉莉https://www.ithome.com.tw/news/159062
美國國安局設立AI安全中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.defense.gov/News/News-Stories/Article/Article/3541838/ai-security-center-to-open-at-national-security-agency/" target="_blank">美國國安局（National Security Agency，NSA）於9月28日宣布</a>，將設立AI安全中心（AI Security Center）來監督美國國家安全系統中的AI能力發展與整合，以協助美國國家安全企業及國防工業可安全地採用新的人工智慧（AI）技術。</p> <p>國安局局長Paul Nakasone解釋，所謂的AI安全指的是保護各式的AI系統，以避免它們學習、執行或揭露錯誤的事情。而此一AI安全研究中心將與情報領域的美國產業、國家實驗室、學術界，以及國防部及其它國外的夥伴密切合作，負責發展及導入安全AI的最佳實作、評估方法及風險框架。</p> <p>AI安全中心的設立源自於AI在美國國家安全、國防與情報上，扮演著愈來愈重要的角色，例如美國國防部在2020年便出版《負責任的AI策略與實施途徑》（Responsible AI Strategy and Implementation Pathway），並於今年1月更新了有關負責任開發自主武器的2012年指令，使其符合最新的AI標準，此外，美國政府也提出了於軍事上負責任地使用AI的政治宣言。</p> <p>NSA的研究顯示，AI模型被竊或是遭到破壞已成為重要的國家安全挑戰，特別是生成式AI具備著為善與為惡的雙刃潛力。</p> <p>此外，Nakasone認為，有鑑於AI對美國與盟國的外交、技術與經濟上的影響日益重大，美國應該維持於AI領域上的領先地位，且不應將其視為理所當然，因為競爭對手數十年來持續剽竊與利用美國的智慧財產來促進其利益，未來亦將利用美國於AI上的進步，同時破壞美國的AI應用。</p> <p>因此，美國必須深入理解外國情報機構用來威脅AI系統的安全漏洞，同時應對這些威脅，才能確保AI的安全，亦因確保這些情報機構無法竊取美國的AI能力，並用它們來攻擊美國。</p> </div></div></div>
2023/10/2 13:18作者陳曉莉https://www.ithome.com.tw/news/159060
微軟、Cloudflare公布Edge內建VPN完整方案、開發工具套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過一年多的測試，微軟和DNS服務供應商Cloudflare上周<a href="https://blog.cloudflare.com/cloudflare-now-powering-microsoft-edge-secure-network/" target="_blank">宣布雙方合作的內建於Edge的VPN服務更完整的方案內容，</a>並以私有測試版介紹新的開發工具套件。</p> <p>Microsoft Edge Secure Network是整合Edge的免費VPN服務，用戶無需安裝任何外掛或應用程式，也無需設定，就能獲得網路層隱私防護。其原理是用戶從Edge傳送的網路流量會先連向Cloudflare伺服器加密，再經由加密通道連向目的地網站，即使用戶的目的地是使用HTTP協定（而非HTTPS協定）較不安全的網站。目的地網站回傳的訊息也會經由Cloudflare伺服器解密再以安全通道回傳給用戶端Edge，防止ISP或駭客偷窺用戶目的地網站、IP位址，及傳送的密碼或機密訊息。Edge Secure Network提供每月可享有一定的免費流量額度，若用戶有超過的流量傳送需求，就需再花錢購買。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1002-Microsoft%20Edge%20Secure%20Network-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%BE%AE%E8%BB%9F.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_微軟</span></span></p> <p>微軟2022年4月<a href="https://www.ithome.com.tw/news/150689" target="_blank">首先宣布</a>這項服務，一開始免費流量額度為1GB，<a href="https://www.ithome.com.tw/news/157615" target="_blank">今年再擴充</a>為5GB。要使用Edge Secure Network用戶必須以微軟帳號登入Edge，藉此追蹤用戶流量。目前這項服務可在<a href="https://www.microsoft.com/en-us/edge/features/edge-secure-network-vpn?form=MT00D8" target="_blank">微軟網站</a>供試用。</p> <p>雖然原理和一般VPN相同，但Cloudflare說明差異。一般VPN服務使用的是VPN協定，如Wireguard、IPsec、OpenVPN，Cloudflare提供的VPN服務實作1.1.1.1+VARP版協定，也有數百萬裝置使用。但該公司認為下一代VPN服務的未來應該轉向隱私代理伺服器平臺（Privacy Proxy Platform），其精神是Cloudflare擁抱的核心價值之一，即開放網際網路標準。隱私代理伺服器平臺實作由HTTP標準定義的HTTP CONNECT協定，以建立通道傳送位元流量。</p> <p>隱私代理程式平臺分成三部分。首先，Token proxy讓登入微軟帳號的Edge Secure Network用戶連向Cloudflare。第二，Cloudflare的隱私API發送驗證token，作為用戶端驗證之用。第三，Cloudflare網路上的HTTP CONNECT代理服務，稱為隱私代理伺服器，負責檢查終端的token完成HTTP呼叫驗證，並由其選擇有效的egress IP位址，將呼叫導向目的地網站。</p> <p>為了這項服務，Cloudflare也運用上其他基礎架構技術。網頁呼叫先利用<a href="https://1.1.1.1/dns/?_ga=2.172536551.533473570.1695966121-1544732684.1695966120" target="_blank">1.1.1.1 </a>App來連結DNS，利用<a href="https://datatracker.ietf.org/wg/privacypass/about/" target="_blank">Privacy Pass</a>作為token proxy終端驗證，利用<a href="https://blog.cloudflare.com/geoexit-improving-warp-user-experience-larger-network/" target="_blank">Geo-egress</a>選擇準確的對外流量IP位址，而不曝露用戶的精準位置。</p> <p>Cloudflare也公布了開發工具及報表工具套件Privacy Edge，讓網站管理員及開發人員整合其最新VPN服務，包含Privacy Edge – Code Auditability、Privacy Gateway、Privacy Proxy及Cooperative Analytics。有興趣的開發人員可<a href="https://www.cloudflare.com/lp/privacy-edge/" target="_blank">填表加入私有測試計畫</a>。</p> </div></div></div>
2023/10/2 13:00作者林妍溱https://www.ithome.com.tw/news/159059
【資安週報】2023年9月25日到9月28日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本周重要漏洞修補消息中，有4個最受注目，包括：網際網路系統協會（ISC）修補DNS軟體BIND高風險漏洞，JetBrains修補CI/CD軟體平臺TeamCity重大漏洞，以及Atlassian針對旗下多款產品發布更新。此外，9月上旬思科針對已遭利用的零時差漏洞CVE-2023-20269先提供緩解，當時已遭Akira勒索軟體組織鎖定利用，29日思科新釋出臨時的更新修補。</p> <p>還有多個已知漏洞，近期因為遭鎖定利用情形被美國CISA列入限期修補清單，是本週資安日報未提及的漏洞消息，我們也特別整理如下，包括：Red Hat JBoss RichFaces Framework的漏洞（CVE-2018-14667）、Laravel的Ignition漏洞CVE-2021-3129、Laravel框架Ignition的漏洞（CVE-2021-3129）、Zyxel EMG2926路由器的漏洞（CVE-2017-6884）、Realtek SDK的漏洞（CVE-2014-8361）、Samsung行動裝置的漏洞（CVE-2022-22265），以及Owl Labs視訊會議設備Meeting Owl的4個已知漏洞（CVE-2022-31463、CVE-2022-31462、CVE-2022-31461、CVE-2022-31459）。</p> <p>在網路威脅焦點上，有四大議題值得關注：<br /> （一）美國NSA、FBI、CISA與日本國家資安事件整備與策略中心（NISC）發布聯合公告，指出中國駭客組織BlackTech藉由竄改思科路由器的韌體方式來隱藏其行動，從美國、日本企業跨國公司的子公司進一步滲透總公司的網路環境。<br /> （二）近日Akamai與Perception Point相繼揭露新網釣攻擊活動，出現鎖定飯店業者、訂房業，以及訂房客戶的複雜攻擊，尤其是入侵訂房網站或飯店系統冒用合法發動典型網釣。<br /> （三）除了勒索軟體Akira自今年3月以來攻擊活動節節攀升需要關注，美國FBI與CISA在20日也針對勒索軟體Snatch發布安全通告，詳細說明該組織的技術手法與IoC指標。<br /> （四）關於GPU.zip的GPU旁路漏洞早期揭露，目前發現的大學研究人員已通報GPU供應商、以及瀏覽器供應商Google，後續廠商修補的動向需要關注。</p> <p>其他值得關注的國際威脅態勢，有多個產業被攻擊者鎖定的消息，受到不同資安業者揭露，包括：<br /> ●中東、西歐、南亞次大陸的電信業者成鎖定目標，攻擊者散布惡意軟體LuaDream發動精準攻擊。<br /> ●烏克蘭軍方成鎖定目標，攻擊者利用無人機手冊散布惡意程式。<br /> ●中東政府機關被鎖定，攻擊者利用了新型態後門程式Deadglyph。<br /> ●巴西與墨西哥等逾40家拉丁美洲的銀行用戶遭鎖定，有駭客利用銀行木馬BBTok發動大規模攻擊行動。<br /> ●美國衛生暨公共服務部（HHS）旗下HS3揭露，近年中國駭客組織APT41、北韓駭客組織APT43與Lazarus肆虐，對美國公衛部門與生技公司已造成嚴重危害。</p> <p>在防禦態勢的消息上，我們特別注意到，在越來越多人重視的軟體物料清單（SBOM）之外，近日美國CISA推出硬體物料清單框架（HBOM），希望進一步幫助有效評估與減少供應鏈存在的資安風險。在國內，也有兩起事件受關注，一是行政院公共工程委員會新發布資訊服務採購作業指引，明訂公部門編列專屬資安預算；另一是數位部預告修正資安法，將明訂公部門禁用危害國家安全的資安產品。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/158960"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月25日】埃及總統候選人遭到鎖定，攻擊者利用iOS零時差漏洞在手機植入間諜軟體Predator</span></strong></a></h3> <p>集權國家政府利用間諜軟體監控特定人士的情況，不時傳出，而對於上週蘋果修補的一連串漏洞，通報的加拿大公民實驗室與Google威脅情報小組隨後公布資安事故的細節，指出受害者就是參與埃及明年總統大選的前議員Ahmed Eltantawy。</p> <p>但有別於1年多前攻擊者利用釣魚簡訊引誘該名議員上當，這次攻擊者竟然透過當地電信業者的邊界裝置下手，對方趁他瀏覽尚未採用HTTPS連線的網站時，重新導向到惡意網站來部署間諜軟體。研究人員依此判斷，背後的攻擊者極有可能就是埃及政府。</p> <h3><a href="https://www.ithome.com.tw/news/158974"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月26日】駭客組織Stealth Falcon針對中東政府機關下手，散布後門程式Deadglyph</span></strong></a></h3> <p>最近半年，針對中東地區而來的攻擊行動變得更加頻繁，而在本日的資安新聞裡，使用後門程式Deadglyph、LuaDream駭客，都將該地區列為目標，其中又以Deadglyph最為詭譎。</p> <p>為了躲避資安系統偵測，駭客採用多種罕見的方法進行活動，其中最特別的部分，就屬後門程式與C2伺服器之間連線的機制，竟是透過在記憶體內執行的附加模組來達成，而使得其運作更加難以捉摸。</p> <h3><a href="https://www.ithome.com.tw/news/159005"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月27日】Sony傳出資料外洩，有2組駭客先後聲稱對其下手，取得多項內部機密的帳密資料</span></strong></a></h3> <p>日本知名企業Sony傳出資料外洩事故，但特別的是，這並不是今天才出現的消息，前幾天就有駭客組織RansomedVC聲稱對該公司下手，今天又有另一個駭客組織MajorNelson，宣稱是他們所為。這兩個組織也公開了部分竊得的資料，供買家及媒體進行驗證。</p> <p>另一個值得留意的是，兩組駭客提供的樣本資料檔案大小差距相當懸殊，但兩組資料互有交集，而對於這些資料是否真的來自Sony？有待進一步的調查。</p> <h3><a href="https://www.ithome.com.tw/news/159036"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月28日】勒索軟體駭客組織RansomedVC聲稱入侵日本大型電信業者NTT Docomo，索討百萬美元贖金</span></strong></a></h3> <p>數日前，勒索軟體駭客RansomedVC聲稱入侵Sony並竊得內部資料，引起資安界高度關切，雖然此事的真實性仍有待商確，但現在他們宣稱也竊得另一家日本大型企業NTT Docomo的內部資料，不同的是，這次駭客開出了明確的贖金價碼，不過並未公布從這家電信業者偷到的資料。</p> <p>有資安業者分析駭客從Sony竊得的資料，懷疑這兩起事件有關連，有可能是供應鏈攻擊事故導致。</p> </div></div></div>
2023/10/2 09:21作者羅正漢https://www.ithome.com.tw/news/159050
蘋果證實iPhone 15會過熱，將更新iOS 17修補相關臭蟲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>甫於今年9月上市的蘋果新一代智慧型手機<a href="https://discussions.apple.com/thread/255147042" target="_blank">iPhone 15遭到用戶批評容易過熱</a>，蘋果向《<a href="https://www.cnbc.com/2023/09/30/apple-will-issue-a-software-update-to-address-iphone-15-overheating-complaints.html" target="_blank">CNBC</a>》及《<a href="https://www.macrumors.com/2023/09/30/apple-responds-to-iphone-15-pro-overheating/" target="_blank">MacRumors</a>》等媒體證實了此事，並說會藉由更新iOS 17來解決此一問題。</p> <p>在iPhone 15的討論區中，先是有使用者抱怨他的iPhone 15 Pro Max就算沒有在使用，溫度一樣很高，有的用戶則說他用iPhone 15 Pro講電話10分鐘就會有過熱的感覺，也有蘋果粉絲說iPhone 15明顯比前幾代更快變熱，總計有超過2,700名iPhone 15用戶聲稱自己的裝置過熱。</p> <p>在媒體向蘋果詢問後，蘋果證實了iPhone 15的過熱問題，指出已知道某些狀況會令iPhone的運作溫度高於預期，例如在設定或回復裝置的前幾天，可能因為背景活動的增加而讓裝置變得更熱；此外，蘋果也發現iOS 17中的一個臭蟲影響了部分使用者，將藉由軟體更新來修補。</p> <p>此外，第三方程式近來的陸續更新可能會造成系統過載，蘋果正與程式開發商共同解決該問題。</p> <p><a href="https://support.apple.com/en-us/HT201678" target="_blank">根據蘋果的技術支援專區</a>，iPhone與iPad在某些狀況下原本就容易變熱，例如首次設定裝置時，或是自備份回復裝置時，無線充電時，串流高畫質影片時，或者是使用圖像/處理器密集的程式、遊戲或功能時。</p> <p>因此，從蘋果的回應來看，iOS 17的臭蟲應該才是造成iPhone 15過熱的原兇。</p> <p>另一方面，蘋果也建議使用iPhone與iPad的環境溫度最好介於0º 至35º C之間，存放裝置的溫度則是介於-20º 至45º C 之間，也不要把裝置放在可能會造成溫度過高的汽車內。</p> </div></div></div>
2023/10/2 11:05作者陳曉莉https://www.ithome.com.tw/news/159052
Google動態場景渲染新方法DynIBaR，單機攝影就可實現子彈時間等影片特效
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google開發了一種新的動態影像渲染方法<a href="https://blog.research.google/2023/09/dynibar-space-time-view-synthesis-from.html">DynIBaR（Neural Dynamic Image-Based Rendering）</a>，只要使用單一影片，就可以生成複雜且動態的場景，並以真實自由攝影機視點渲染出新畫面，實現諸如子彈時間、攝影防手震、慢動作甚至是散景（Bokeh）等特效。</p> <p>由於NeRF（Neural Radiance Fields）技術的發展，開發者能夠重建和渲染靜態3D場景，但是原始的NeRF技術，卻無法處理移動中的場景，3D空間加上時間的4D維度場景重建，無法使用標準影像合成方法。而研究人員也開始琢磨相關的解法，透過動態NeRF方法來處理動態場景影像合成，但這些方法仍然存在局限性，很難從長時間、不受控制的攝影機路徑，還有複雜的物體運動影片中，產生出高品質的新合成圖。</p> <p>由於這些方法都是把動態複雜的場景，儲存到一個單一的資料結構中，並使用多層感知器（Multilayer Perceptron，MLP）神經網路進行處理，但Google解釋，當影片的長度和場景複雜度上升，神經網路便需要更多的資源處理，這在實際運用上並不可行，導致最終產生的圖像通常模糊且不準確。</p> <p>而Google新開發的DynIBaR方法不同，也就能避免舊方法所產生的問題。DynIBaR不需要把影片中所有場景內容儲存進一個龐大的多層感知器，而是直接使用輸入影片影格的像素資料來渲染新畫面，也就是説，DynIBaR並不會從頭開始影像創建工作，而是利用已有的像素資料來生成新畫面，像是當用戶想要以一個新視角觀看場景，DynIBaR便會找到跟新角度最像的影片影格，使用該影格中的像素資料運算。</p> <p>DynIBaR參考原本用於處理靜態場景的IBR（Image-Based Rendering）演算法，並將其擴展用於動態影像。DynIBaR能夠渲染出從不同角度看到的動態場景，在處理動態場景時，DynIBaR會考慮場景中的動作，Google提到，DynIBaR的特色在於只儲存動作資訊，不需要像舊方法一樣儲存整個場景的外觀和幾何資訊，DynIBaR會直接使用輸入的影片影格，找出渲染新畫面所需要的所有資訊。</p> <p>不過，DynIBaR渲染出來的畫面也不代表就是完美的，仍會存在一些錯誤和不準確的地方，像是顏色失真或是細節丟失等，因此還需要經過調整與最佳化，例如Google使用了跨時渲染技術，能夠利用單一時間點的場景資訊渲染不同時間點的圖像，確保不同時間點的場景資訊一致。同時，透過把場景分成動態和靜態兩部分，分別用不同的方法表示，以更準確地渲染場景，提高渲染的準確性。</p> <p>DynIBaR的應用很多元，能夠被用於攝影防手震上，相比現有2D和動態NeRF方法，DynIBaR可以生成更加平滑、少瑕疵的結果。同時，DynIBaR也能夠被用於空間和時間影片合成，產生平滑的3D電影效果，生成平滑的5倍慢動作影片。DynIBaR還可用於添加視覺模糊效果，即便是所有焦點都非常清晰的影片，也能動態改變景深生成高品質模糊背景，凸顯場景中的動態和靜態內容。</p> <p>DynIBaR的重要貢獻在於研究人員提出新的動態影像渲染方法，解決傳統技術在處理動態場景時的限制，並利用原始影片影格生成高品質畫面，Google表示，該技術能夠被用於行動裝置上，提供終端使用者新的影片編輯效果。</p> </div></div></div>
2023/10/2 11:10作者李建興https://www.ithome.com.tw/news/159049
法國政府搜索Nvidia辦公室，歐盟評估啟動反托拉斯調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia AI晶片獨大已引起歐盟國家當局注意，<a href="https://www.wsj.com/tech/ai/nvidias-french-offices-raided-in-cloud-computing-competition-inquiry-97c094ea" target="_blank">華爾街日報報導</a>，法國反托拉斯主管機關上周為調查Nvidia是否有非法壟斷市場的行為，搜索這家GPU大廠的法國辦公室。而歐盟競爭委員會也表示正在蒐集資訊，以決定是否對Nvidia啟動正式調查。</p> <p><a href="https://www.bloomberg.com/news/articles/2023-09-29/eu-begins-early-stage-probe-into-ai-chip-market-abuses-that-nvidia-dominates?srnd=technology-vp" target="_blank">法國競爭管理署（French Competition Authority，FCA）周三宣布</a>，為調查繪圖晶片市場是否有非法壟斷行為，已搜索廠商的法國辦公室。但法國政府表示，搜索行動是當局調查的一部份，但廠商是否違反競爭行為，要經過進一步調查確認。</p> <p>FCA並未說明是哪一家，但《華盛頓日報》引述消息人士證實是Nvidia；法國警方搜查過程中，扣留實體和數位文件，並訪談了在辦公室的Nvidia員工。Nvidia拒絕對此評論。</p> <p>另一方面，<a href="https://www.bloomberg.com/news/articles/2023-09-29/eu-begins-early-stage-probe-into-ai-chip-market-abuses-that-nvidia-dominates?srnd=technology-vp" target="_blank">彭博引述消息人士報導</a>，歐盟競爭委員會已開始非正式訪查產業人士，以了解Nvidia在企業、遊戲AI晶片是否有操作市場行為，也將作為委員會決定是否正式調查的依據。彭博報導，Nvidia的A100、H100獨霸AI晶片80%的市場，讓傳統CPU大廠英特爾與AMD難以競爭，一旦歐盟決定啟動調查，且真的認定有壟斷市場的行為，可能將面臨數十億美元的罰款。</p> <p>產業界的AI熱不但讓Nvidia股價一飛沖天，也為該公司帶進大把銀子。Nvidia單單上季就締造135.1億美元亮麗營收，較前一年成長101%。現在Nvidia公司市值也穩定超越一兆美元。</p> </div></div></div>
2023/10/2 11:45作者林妍溱https://www.ithome.com.tw/news/159054
微軟正式關閉Windows 7/8免費升級Windows 10的管道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在默許Windows 7、8免費升級Windows 10五年多後，上個月底真正關閉了升級管道。</p> <p>微軟在2015年7月29日釋出Windows 10，為鼓勵Windows 7、8用戶轉換Windows 10，允許用戶在一年之內就地升級安裝。但此後微軟仍然多次推遲截止期限。首先是2018年1月16日的<a href="https://www.ithome.com.tw/news/120632" target="_blank">「最後期限」升級</a>。但期限過後，微軟仍然暗中<a href="https://www.ithome.com.tw/news/134543" target="_blank">開放免費升級管道</a>。事實上，到了今年，舊版Windows的合法用戶依舊可以經由特定連結免費升級，只要他們找得到該連結。同時間，除了原機升級外，使用正版Windows合法金鑰的用戶，也可以在別臺電腦全新安裝（clean install）Windows 10或Windows 11。</p> <p>不過<a href="https://devicepartner.microsoft.com/en-us/communications/comm-windows-ends-installation-path-for-free-windows-7-8-upgrade" target="_blank">微軟上周表示</a>，Windows 7/8免費升級的安裝管道現在已經移除。Windows 10 PC仍然可以升級Windows 11。</p> <p>不過微軟仍然提醒，要升級到Windows 11，除了具備合法授權，電腦裝置也需符合最低硬體規格要求。</p> <p>有些Windows 11功能在Windows 10並不提供。例如上周剛部署給<a href="https://www.ithome.com.tw/news/158994" target="_blank">Windows 11的Copilot AI助理</a>、以及多項加入AI功能的「小畫家」、「剪貼工具」等原生Windows功能。</p> </div></div></div>
2023/10/2 12:08作者林妍溱https://www.ithome.com.tw/news/159057
支援2.5GbE埠、多臺堆疊，Aruba中小企業交換器添新機
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hpe_aruba_instant_on_1960_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對中小企業的Wi-Fi無線網路建置需求，HPE<a href="https://news.arubanetworks.com/news-release-details/2019/Aruba-Introduces-Simple-Secure-Wi-Fi-Designed-for-Small-Businesses/default.aspx">在2019年6月</a>發表Aruba Instant On系列，主打產品是支援802.11ac Wave 2的基地臺，提供AP11D、AP11、AP12、AP15、AP17等機型；隔年5月此系列解決方案納入網路交換器，推出<a href="https://www.ithome.com.tw/review/139267">Aruba Instant On 1930</a>，8月他們推出支援802.11 ax（Wi-Fi 6）的Aruba Instant On AP22，搶攻中小企業升級無線網路環境的市場。</p> <p>在2022年，HPE在這條產品線當中，陸續推出多款設備，例如，兼顧成本效益與PoE支援的<a href="https://community.arubainstanton.com/blogs/aditi-pandey1/2022/01/14/aruba-delivers-cost-effective-powerful-switches-to">Aruba Instant On 1830</a>，鎖定預算吃緊、簡單連線而不需進階管理的<a href="https://community.arubainstanton.com/discussion/introducing-the-new-aruba-instant-on-1430-switch-series-1">Aruba Instant On 1430</a>，以及支援Wi-Fi 6規格的第二款基地臺<a href="https://community.arubainstanton.com/support/documentation/support-documentation-list?CommunityKey=915bac40-3a21-4152-a1b3-b2db952dba2f">Aruba Instant On AP25</a>，提供更多交換器與機型選擇。</p> <p>到了今年9月，Aruba Instant On系列再度擴充產品陣容，新增具有2.5 GbE埠、同時可堆疊多臺交換器（Stacking）的交換器，名為Aruba Instant On 1960，以及支援Wi-Fi 6規格的第三款基地臺Aruba Instant On AP22D。目前新款交換器的詳細規格已在該公司網站公告，並且開放訂購，將於2023會計年度第四季上市，至於基地臺AP22D也會在那時正式推出，該公司網站的相關產品線列表尚未列出此機型，以及其技術規格。</p> <p>相較於Aruba Instant On系列現有的網路交換器，1960在產品定位被歸類在最高階的機型。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Aruba Instant On Portfolio.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Aruba%20Instant%20On%20Portfolio.jpg" style="width: 600px;" /></a></p> <p>以網路介面而言，6款機型的上行埠均為4個10GbE，大部分是2個RJ-45與2個SFP+，可扮演存取交換器（access switch）的角色，提供更大的網路連線頻寬，只有JL805A是4個SFP+埠，可作為匯聚交換器（aggregation switch），連接伺服器、儲存系統、存取交換器；而在主要網路埠的配置，1960多數機型提供12埠、24埠、48埠的選擇，只有S0F35A是4個2.5 GbE埠與8個GbE埠。</p> <p>關於乙太網路供電（PoE）的支援，此系列有一半數量機型提供，而且能夠分別支援30瓦與60瓦的規格，該公司稱為Class 4 PoE與Class 6 PoE（一般稱為PoE+與PoE++）。</p> <p>例如，JL807A的24個PoE埠，區分為20個30瓦與4個60瓦，整臺可供應370瓦電力；JL809A的48個PoE埠，其中40個為30瓦，其餘為60瓦，整臺可供應600瓦電力；S0F35A的12個PoE埠當中，8個是30瓦，4個是60瓦，整臺可供應480瓦電力。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Aruba Instant On 1960.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Aruba%20Instant%20On%201960.png" style="width: 600px;" /></a></p> <p>而在堆疊規模上，1960最多可串連4臺，IT人員透過單一IP位址來進行管理，基本上，這座網路交換器堆疊，最大可提供208個網路埠（4臺48+4埠交換器，其中包含16個10GbE規格的上行埠）。</p> <p>設置堆疊的方式上，1960可支援就地設定（Local stacking），以及雲端管理（Cloud-Managed Stacking）等兩種方式進行，以後者而言，IT人員可透過網頁介面或行動App「Aruba Instant On」來操作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1960-Local%20stacking.png" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/1960%20Cloud-managed%20stacking.png" style="width: 298px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1960%20Stack%20on%20App.jpg" style="width: 500px;" /></p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/Z0AVeJ9vreY?si=JbhDf_OmXr-5ZpMO" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Aruba Instant On 1960</strong><br /> ●原廠：HPE Aruba Networking<br /> ●建議售價：廠商未提供<br /> ●網路介面：<br /> 12埠10GbE與4埠10GbE（SFP+）、<br /> 24埠GbE與2埠10GbE（SFP+）與2埠10GbE（RJ-45）、<br /> 24埠GbE（20個PoE+與4個PoE++）與2埠10GbE（SFP+）與2埠10GbE（RJ-45）、<br /> 48埠GbE與2埠10GbE（SFP+）與2埠10GbE（RJ-45）、<br /> 4埠2.5GbE（PoE++）與8埠GbE（PoE+）與2埠10GbE（SFP+）與2埠10GbE（RJ-45）<br /> ●機型：JL805A、JL806A、JL807A、JL808A、JL809A、S0F35A<br /> ●機箱尺寸：1U<br /> ●網路交換容量：JL805A為320 Gbps，JL806A為128 Gbps，JL807A為128 Gbps，JL808A為176 Gbps，JL809A為176 Gbps，S0F35A為116 Gbps<br /> ●MAC位址數量：均為16,000個<br /> ●封包緩衝記憶體：1.5 MB（JL805A為3 MB）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/10/2 01:45作者李宗翰https://www.ithome.com.tw/review/159047
提供2.5吋與E3.S外形，Kioxia推出具備頂級效能PCIe 5 SSD
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/kioxia_cm7_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年上半隨著兩大伺服器CPU平臺翻新，正式帶動PCIe 5.0介面的普及之餘，一些伺服器廠商順勢推出支援此I/O介面固態硬碟的機型，而在固態硬碟外形的部分，搭配遵循EDSFF E1.S與E3.S標準SSD的伺服器，也越來越多。</p> <p>以固態硬碟而言，提供E1.S外形的產品相對較多，像是<a href="https://www.ithome.com.tw/review/147008">三星PM9A3</a>、<a href="https://www.ithome.com.tw/review/148661">美光7400</a>與<a href="https://www.ithome.com.tw/review/150002">7450</a>、<a href="https://www.ithome.com.tw/review/151856">Solidigm D7-P5520</a>、<a href="https://www.ithome.com.tw/review/155253">Kioxia XD6</a>、<a href="https://www.ithome.com.tw/review/155380">世邁DC4800</a>，採用E3.S外形的產品相形較少，目前有Kioxia CD7、CM7、<a href="https://www.ithome.com.tw/review/158091">CD8/CD8P</a>，以及<a href="https://www.ithome.com.tw/review/157477">Solidigm D5-P5430</a>，而在5月底的台北國際電腦展，以及9月底戴爾科技論壇的臺灣場，我們都看到Kioxia主推CM7，趁此機會介紹這款產品的特色。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-Computex%20Kioxia%20SSD.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-26-Kioxia%20CM7%20E3_S.JPG" style="width: 600px;" /></p> <p>CM7在2022年7月發表，是該公司導入PCIe 5.0介面的第三批產品（CD7、CD8），同樣採用第五代BiCS快閃記憶體技術（112層NAND），並且都提供兩種外形選擇：2.5吋且厚度為15公釐（支援U.3）、EDSFF E3.S，而根據產品定位的細部差異，Kioxia區分為兩種，一是針對混合用途的V系列，每日寫入量為3，儲存容量涵蓋1,600 GB到12,800 GB，另一是鎖定讀取密集工作負載的R系列，每日寫入量為1，儲存容量涵蓋1,920 GB到30,720 GB（2.5吋外形最大提供30,720 GB，E3.S外形最大提供15,360 GB）。</p> <p>相較之下，導入第四代BiCS快閃記憶體技術（96層NAND）的上一代產品CM6，搭配I/O介面為PCIe 4.0，外形僅提供2.5吋且厚度為15公釐，同樣細分兩個產品線：每日寫入量為3的V系列，最低儲存容量可提供800 GB；每日寫入量為1的R系列，最低儲存容量可提供960 GB。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Kioxia CM7 spec.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Kioxia%20CM7%20spec.png" style="width: 600px;" /></a></p> <p>關於存取效能的部分，新世代產品CM7明顯受益於PCIe 5.0的採用，而獲得相當大程度的提升。</p> <p>以循序讀寫作業而言，CM7開出的效能規格相當亮眼。支援PCIe 4.0的CM6最高為6,900 MB/s、4,200 MB/s，全面支援PCIe 5.0的CM7最高為14,000 MB/s、7,000 MB/s，而CD7與CD8P支援PCIe 5.0的款式，最高分別為6,450 MB/s、5,600 MB/s，以及12,000 MB/s、5,500 MB/s；而在隨機讀寫作業上，CM6最高為140萬IOPS、35萬IOPS（最低為88萬IOPS、5萬IOPS），CM7最高為270萬IOPS、60萬IOPS（最低為160萬IOPS、15萬IOPS）。CD7與CD8P支援PCIe 5.0的款式，最高分別為105萬IOPS、18萬IOPS，以及200萬IOPS、40萬IOPS。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CM7_CM6-Read.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CM7_CM6-Read.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CM7_CM6-Write.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CM7_CM6-Write.png" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Kioxia CM7</strong><br /> ●外形：2.5吋U.3（厚15公釐）、E3.S<br /> ●容量：CM7-V為1.6/3.2/6.4/12.8 TB，CM7-R為1.92/3.84/7.68/15.36/30.72 TB<br /> ●儲存媒體：112層 3D TLC<br /> ●傳輸介面：PCIe 5.0 x4 / NVMe 2.0<br /> ●最高讀寫速度：循序14,000 MB/s與7,000 MB/s，隨機270萬IOPS與60萬IOPS<br /> ●使用介面：PCIe 5.0 x4<br /> ●耐用性：CM7-V為3 DWPD，CM7-R為1 DWPD<br /> ●可靠度：250萬小時MTBF<br /> ●保固期間：5年</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/10/1 11:56作者李宗翰https://www.ithome.com.tw/review/159046
Deno開始內建佇列處理系統Queues
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JavaScript/TypeScript執行環境Deno開始內建訊息系統<a href="https://deno.com/blog/queues">Deno Queues</a>，能夠非同步處理長時間執行的任務，其建立在持久儲存Deno KV之上，可以在本地端和Deno主機上運作，以安排未來的工作或是處理網路回呼。</p> <p>過去開發者要使用佇列處理系統，需要仰賴第三方佇列，或是訊息中介軟體，甚至是手動實作，而現在官方直接對Deno生態系，提供一個內建且簡單易用的佇列系統，讓非同步任務處理和排程變簡單，也更好地與Deno應用整合，也就是說，開發者能以更少配置和額外的相依項目，在Deno應用中實現佇列功能。</p> <p>Deno Queues提供兩個API，其一enqueue()能夠將訊息推送到佇列，確保立即或是未來特定時間點訊息傳送，第二listenQueue()則是能夠處理佇列新訊息的處理程式。官方進一步解釋，Deno Queues以Deno KV為基礎建立，而Deno KV本身是一個持久儲存，在本地執行的時候使用SQLite資料庫，但是當在Deno Deploy上運作時，則是使用FoundationDB，以確保最大可用性和吞吐量。</p> <p>由於Deno Queues保證至少一次訊息交付，而這能夠與Deno KV原子交易概念相結合，可用於建立強大的工作流程，像是用戶可以將訊息當作KV交易的一部分，新增到佇列中。</p> <p>Deno Queues的使用情境包括預定電子郵件通知，像是當終端用戶完成註冊，便可以把歡迎郵件發送任務放到佇列中，在特定時間點發送。</p> <p>運用Deno Queues也能夠更可靠地處理Webhook，透過將Webhook內容放入到Deno Queues中，開發者便可以確保非同步並可靠處理Webhook。Deno Queues會自動接收來自Webhook的資訊，並且非同步地執行，如此便不會影響主應用程式的運作，在應用大量Webhook觸發事件時，還能確保應用程式高效能運作。</p> </div></div></div>
2023/9/29 20:39作者李建興https://www.ithome.com.tw/news/159041
Google Bard臭蟲讓用戶對話出現在公開Google搜尋結果中
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Bard和用戶對話理應是不公開的，不過本周卻發生某些用戶的Bard對話出現在Google公開搜尋結果中。Google正在趕製修補程式。</p> <p><a href="https://twitter.com/gaganghotra_/status/1706545667362210129" target="_blank">本周一名搜尋引擎優化（SEO）顧問指出</a>，Google搜尋開始索引Bard對話連結，他因此警告用戶不要在和Bard對話時分享任何個資，否則可能遭Google索引，而被某個使用Google搜尋的外人看光了祕密。</p> <p class="rtecenter"><a href="http://twitter.com/gaganghotra_/status/1706545667362210129" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0929-Google%20Bard-bug-photo%20by%20Gagan%20Ghotra.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Gagan Ghotra</span></span></p> <p>Google今年7月擴大部署Bard到全球多國時，也加入了分享對話連結的功能。使用者可以將他和Bard的對話以連結匯出寄給他人，讓別人接續和Bard對話。不過這些連結理應是不公開的，顯然若不是Google有了引人爭議的行動，就是Google Bard的臭蟲。</p> <p><a href="https://twitter.com/searchliaison/status/1706732827705065665" target="_blank">Google搜尋公關部門隨後指出</a>，Bard允許使用者分享連結，但前提是用戶選擇這麼做。Google並澄清從未打算讓Google搜尋索引這些共享連結。他們已經著手封鎖Google搜尋索引對話連結。</p> <p>今年3月，OpenAI的<a href="https://www.ithome.com.tw/news/156068" target="_blank">ChatGPT也曾短暫發生</a>外洩用戶對話連結事件，<a href="https://www.ithome.com.tw/news/156570" target="_blank">促使OpenAI增加</a>允許使用者關閉ChatGPT對話紀錄的功能。</p> </div></div></div>
2023/9/29 19:32作者林妍溱https://www.ithome.com.tw/news/159045
AWS一口氣釋出多項生成式AI新功能，並正式推出Amazon Bedrock
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS在多個服務<a href="https://aws.amazon.com/tw/blogs/machine-learning/announcing-new-tools-to-help-every-business-embrace-generative-ai/">加入</a>一系列生成式人工智慧新功能，使用戶能夠更簡單地運用人工智慧提升生產力。AWS全託管人工智慧平臺<a href="https://www.ithome.com.tw/news/156411">Amazon Bedrock</a>正式推出，並且提供更多強大的模型，程式碼編寫助理Amazon CodeWhisperer新增客製化功能，而商業智慧解決方案Amazon QuickSight Q也加入語言模型進一步簡化用戶資料分析任務。</p> <p>Amazon Bedrock是一個基礎模型API服務，用戶可以透過API存取Amazon自家，以及像是AI21 Labs、Anthropic、Cohere、Meta、Stability AI等第三方的基礎模型，Bedrock簡化了人工智慧應用開發過程，並且著重保護企業的隱私安全。Bedrock在4月的時候公布，現在AWS宣布該項服務正式推出，同時也增加Llama 2和Amazon Titan Embeddings新模型供用戶選擇。</p> <p>Amazon Bedrock通過HIPAA的認證且符合GDPR規範，也就是說，企業可將其用於開發醫療保健應用，並對更廣泛地區的終端用戶提供服務。此外，使用者也可以使用Amazon CloudWatch控制面板與AWS CloudTrail的API監控功能，進一步強化對Bedrock模型的管理和控制。</p> <p>Amazon CodeWhisperer也獲得更新，提供用戶客製化的能力。CodeWhisperer會參照自家內部的API、程式庫、最佳實踐和架構模式等企業內部程式碼，生成更加相關的程式碼建議。而AWS在設計該功能時，考慮隱私與安全性，管理員可以從控制臺管理存取權限，確保只有特定開發者可以取用，並且承諾用戶所提供的資訊和客製化結果，不會被用來訓練CodeWhisperer底層的模型。</p> <p>AWS商業智慧解決方案Amazon QuickSight Q，讓用戶不需要學習SQL或是商業智慧工具，使用自然語言就能查詢資料。而QuickSight Q現在也導入語言模型，釋出名為Generative BI的新功能。</p> <p>藉由Generative BI，用戶可以使用自然語言快速創建視覺效果，而且除了可以回答結構化問題，即便用戶使用簡短的句子「top 10 products」，Generative BI也能正確理解和回應，並創建自定義視覺效果。且當查詢語意模糊或是有多種答案可能性時，QuickSight Q也能提出相關問題，協助用戶釐清意圖。</p> <p>面對競爭者來勢洶洶的人工智慧策略布局，AWS持續深化人工智慧領域的發展，在今年有更多大動作，像是在2月的時候與人工智慧技術公司<a href="http://www.ithome.com.tw/news/155636">Hugging Face</a><a href="https://www.ithome.com.tw/news/155636">擴大</a><a href="http://www.ithome.com.tw/news/155636">合作</a>，讓用戶可以更方便地使用Hugging Face平臺上的模型，另外，Amazon也剛宣布向OpenAI競爭者Anthropic<a href="https://www.ithome.com.tw/news/158977">投資40億美元</a>，擴大發展人工智慧技術，並且讓Anthropic能深度支援Amazon Bedrock。</p> </div></div></div>
2023/9/29 20:12作者李建興https://www.ithome.com.tw/news/159040
Raspberry Pi 5開放預購，終於有電源鍵了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.raspberrypi.com/news/introducing-raspberry-pi-5/" target="_blank">樹莓派（Raspberry Pi）基金會本周正式發表</a>新一代的Raspberry Pi 5單板電腦，它與2019年推出的Raspberry Pi 4同屬「類PC」等級的產品，但各個效能幾乎都是上一代的兩倍以上，現已開放預購，預計於今年10月底出貨。</p> <p>Raspberry Pi 5搭載時脈為2.4GHz的64位元Arm Cortex-A76處理器，有4GB及8GB記憶體兩種規格可供選擇，終於有了電源鍵，有個可連結高速周邊的PCIe 2.0傳輸埠，兩個USB 3.0及兩個USB 2.0傳輸埠，支援802.11ac Wi-Fi標準、藍牙5.0、低功耗藍牙（BLE）與Gigabit Ethernet，還可驅動兩個顯示器。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0929-Raspberry%20Pi%205-600-1.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_樹莓派基金會</span></span></p> <p>此外，Raspberry Pi 5首次安裝了3款專屬晶片：BCM2712、RP1與DA9091。當中的BCM2712是由博通所生產的16奈米應用處理器，RP1則是斥資1,500萬美元開發的I/O 控制器，而DA9091主要提供電源管理能力，這些新的晶片助長了Raspberry Pi 5效能的躍進。</p> <p>Raspberry Pi 5的處理器速度是Raspberry Pi 4的2~3倍，GPU效能為上一代的兩倍，記憶體與I/O頻寬也是上一代的兩倍，且在同樣的任務上有較少的功耗。</p> <p>4GB版本的Raspberry Pi 5售價為60美元，8GB為80美元，比Raspberry Pi 4各貴了5美元。</p> </div></div></div>
2023/9/29 18:43作者陳曉莉https://www.ithome.com.tw/news/159043
Google再緊急修補Chrome零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://chromereleases.googleblog.com/2023/09/stable-channel-update-for-desktop_27.html" target="_blank">Google周四又緊急釋出Chrome安全更新</a>，以修補10項漏洞，包含一個已遭到濫用的漏洞。</p> <p>Google昨日針對Windows、Mac和Linux平臺釋出桌機版Chrome 117.0.5938.132。最新更新修補的10項漏洞中包括3個高風險漏洞，其中最重要的是已遭濫用的CVE-2023-5217。它是位於VP8編碼函式庫libvpx中的堆積型緩衝溢位（heap buffer overflow）漏洞。Libvpx為Google和Open Media聯盟（AOMedia）合作開發而成。通常緩衝溢位漏洞會引發程式崩潰或任意程式碼執行。</p> <p>本漏洞是由Google威脅分析小組研究人員Clément Lecigne通報。Google在發現後2天內完成修補。另一名成員<a href="https://twitter.com/maddiestone/status/1707244655447060688" target="_blank">Maddie Stone說明</a>，這是Lecigne發現最新一起商業間諜軟體開發商濫用的漏洞。</p> <p><a href="https://blog.google/threat-analysis-group/spyware-vendors-use-0-days-and-n-days-against-popular-platforms/" target="_blank">Lecigne今年3月曾指出</a>Google追蹤到，至少有30家業者出售商業性的間諜監控軟體給政府支持的單位，利用包括iOS、Android及Chrome的零日（0-day）或數日（n-day）漏洞，以監控異議份子或記者。</p> <p>另二項重大漏洞CVE-2023-5186及CVE-2023-5187，分別是位於Passwords元件及Extensions元件中的使用已釋放記憶體漏洞，攻擊者可能傳送惡意連結誘使用戶連向特定UI或下載外掛，引發堆積記憶體毁損，後果可能小從資料流失，大到系統無法運作。</p> <p>Google呼籲用戶應儘速安裝最新版Chrome更新以策安全。</p> </div></div></div>
2023/9/29 18:58作者林妍溱https://www.ithome.com.tw/news/159044
Google釋出Google-Extended工具，讓出版商拒絕內容被用來訓練AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/ai/an-update-on-web-publisher-controls/" target="_blank">Google於本周釋出了Google-Extended工具</a>，以讓網頁出版商得以決定該站內容是否願意用來改善Bard及Vertex AI的生成式模型，出版商只要透過robots.txt即可啟用該工具。</p> <p>有許多業者都是利用公開的網路資料來訓練模型，例如OpenAI的GPT，OpenAI打造了網路爬蟲軟體GPTBot以廣泛地蒐集網路上的資料，並用來訓練模型，而當出版商不同意時，便於robots.txt中直接封鎖這些爬蟲，例如《紐約時報》、《CNN》與《Medium》即封鎖了GPTBot。</p> <p>然而，出版商無法直接封鎖來自Google的爬蟲軟體，因為這可能會直接影響網站於Google搜尋結果中的能見度，為此，Google特別設計了Google-Extended供出版商使用。Google-Extended是個獨立的產品標記，讓網頁出版商得以用來決定其網站是否願意協助改善Bard及Vertex AI等生成式AI，或是未來由這些產品衍生的生成式模型。</p> <p>Google認為，於robots.txt中提供一個簡單且可擴充的功能，是提供透明度與控制能力的重要步驟，相信所有AI模型的供應商都應該具備。</p> </div></div></div>
2023/9/29 18:14作者陳曉莉https://www.ithome.com.tw/news/159042
MongoDB釋出生成式AI新開發功能，簡化創建與搬遷應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mongodb.com/blog/post/new-intelligent-developer-experiences-compass-atlas-charts-relational-migrator">MongoDB</a>在原有開發工具導入生成式人工智慧功能，包括MongoDB Compass、Atlas Charts、Relational Migrator和MongoDB Documentation，讓開發者可以借助人工智慧的協助提高生產力，加速創建應用程式的過程。</p> <p>MongoDB的GUI工具Compass加入了人工智慧功能，用戶現在能用自然語言建立複雜的資料查詢和聚合，降低使用者的學習曲線以及編寫查詢的困難度。這項功能在Compass 1.40.0版本公開預覽，使用者可以在文件頁籤找到對話框，開始用自然語言與機器人互動。</p> <p>MongoDB的Atlas Charts工具也新增了自然語言支援，讓開發者更容易視覺化Atlas資料。Atlas Charts是一個資料視覺化工具，供用戶創建、共享和嵌入圖表，而在加入人工智慧功能之後，用戶便能夠透過像是Show me a comparison of annual revenue by country and product（顯示按國家和產品比較年收入）等自然語言進行查詢，Atlas Charts將生成相對應的圖表，官方也提到，在今年稍晚，該功能將會支援更複雜的查詢和圖表類型。</p> <p>而MongoDB也運用人工智慧來協助開發者搬遷資料庫，當開發者要從原有資料庫轉向使用MongoDB時，官方提供了一個稱為Relational Migrator工具，簡化用戶將程式碼從舊資料庫轉換到新資料庫的工作。由於許多傳統系統中存在大量SQL查詢，在搬遷過程需要被轉換，而這對用戶來說是一件繁重的工作。</p> <p>有人工智慧加持的Relational Migrator，能夠將現有SQL查詢和儲存程序，轉換使用MongoDB Query API語法，透過SQL查詢轉換功能，開發者可以減少手動創建MongoDB查詢的工作，加速專案轉移的速度。目前這項功能正在私人預覽中，開發者可以透過最新版本直接請求存取該項功能。</p> <p>官方也以人工智慧來輔助用戶瀏覽開發文件，MongoDB的智慧聊天機器人可讓用戶以自然語言提問，像是How do I get started with MongoDB Atlas？（我如何開始使用MongoDB Atlas）等問題，而聊天機器人會提供參考文章、程式碼範例和各種相關資訊。</p> <p>MongoDB還開源了這個智慧聊天機器人相關程式碼和教育資料，供社群的其他人可以簡單地利用MongoDB Atlas和Atlas Vector Search，創建動態和教育性體驗。</p> </div></div></div>
2023/9/29 11:20作者李建興https://www.ithome.com.tw/news/159038
Cloudflare Workers現在支援WebGPU以加速AI與圖形運算
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Cloudflare宣布在其無伺服器運算服務Workers，添加低階GPU程式設計介面<a href="https://blog.cloudflare.com/webgpu-in-workers/">WebGPU支援</a>。這使得Workers能夠運用GPU來加速機器學習、2D/3D圖形渲染，以及其他通用GPU運算任務。如此用戶便可以在雲端環境，高效地執行GPU密集型任務，並且透過WebGPU，確保在不同平臺和瀏覽器能夠使用一致的程式碼。</p> <p>WebGPU與DirectX、OpenGL一樣都是繪圖API，也都提供了一個框架和方法，讓開發者能夠低階地直接操作GPU，以創建2D/3D圖形或是進行通用運算。不過，WebGPU較注重網頁和跨平臺環境，與過去同樣要在瀏覽器，提供2D/3D圖形運算的高階JavaScript API WebGL不同，WebGPU讓開發者能夠更好地控制GPU資源。</p> <p>WebGPU還可以利用多執行緒進行渲染和運算工作，與仰賴單執行緒的WebGL不同，因此能夠提高CPU/GPU的平行運算能力。WebGPU的可移植性更高，WGSL著色器語言的支援性跨各GPU供應商，具有更好的標準化特性，開發者可以在不同的硬體和平臺上執行相同的程式碼，而且WGSL著色器語言還可當作是運算著色器，執行通用運算。</p> <p>因此透過統一且低階的WebGPU，不僅可用於渲染圖形還支援通用運算，開發者可以透過WebGPU運用GPU的運算能力，加速機器學習、物理模擬和資料處理等工作。這種平行運算能力和可移植性，讓WebGPU成為現代網路應用和遊戲的有力開發工具。</p> <p>而Cloudflare便是看上了WebGPU這些優點，在Workers上支援WebGPU。Cloudflare Workers是一個伺服器端執行環境，供開發者在Cloudflare全球網路上，執行JavaScript和WebAssembly程式碼，藉由盡可能將程式部署在靠近用戶的網路節點，提供高效能和低延遲的服務。</p> <p>Cloudflare Workers會透過能夠儲存和管理持久狀態的Durable Objects，來保持請求之間的狀態，確保只有在具有GPU資源的伺服器上，實例化使用WebGPU的Durable Object，以解決部分Cloudflare伺服器沒有GPU的問題，同時也能夠在不同請求間保持一致的狀態。</p> <p>官方認為，WebGPU的通用運算優勢剛好適合Workers生態系和能力，可以將GPU工作負載引入到Cloudflare的全球網路中。Cloudflare發布了一個新版本的Workers開源執行環境workerd開始支援WebGPU，開發者現在已經能夠在本地端開發和執行WebGPU應用程式，並在Cloudflare正式發布之前，先在自己的電腦上測試，並提供官方改進的建議。</p> </div></div></div>
2023/9/29 11:47作者李建興https://www.ithome.com.tw/news/159039
Windows 11透過GPU顏色矩陣硬體元件，實現無延遲顏色過濾器應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/directx/enhanced-color-filter-controls-for-windows-11/">微軟</a>在Windows 11上的顏色過濾器設定添加新選項，讓開發者可以調整過濾器強度和顏色增強，以更好地控制在顯示器上所呈現的顏色，並且最佳化濾色器的效能，消除在全螢幕遊戲和影片上應用顏色過濾器所產生的延遲。</p> <p>在Xbox Series X|S主機和Windows裝置上，微軟皆提供使用者套用過濾器功能，目的是要提升色盲或是色弱使用者的視覺體驗。透過過濾器，他們能夠更簡單地辨識出平常難以看清的顏色，無論是在遊戲、串流內容到Excel圖表，這些顏色過濾器都能發揮作用。由於色盲的嚴重程度因人而異，讓使用者能夠根據需求調整過濾器的設定就變得非常重要，他們可以透過變更過濾器改變顏色的鮮豔度，達到更好的視覺效果。</p> <p>而現在，這項功能會利用GPU上的專用顏色矩陣硬體，最佳化螢幕上顏色過濾器的應用方式，顏色矩陣硬體能夠快速且精確地處理顏色轉換，大幅提高顏色過濾的效率和精準度。由於顏色矩陣硬體元件能夠以數學運算，像是矩陣乘法的方式來計算顏色，使得顏色過濾更為快速，特別是在全螢幕應用的時候。</p> <p>過去沒有顏色矩陣硬體支援，顏色過濾器需要額外增加一個影格的延遲，並且無法應用部分全螢幕最佳化，而現在微軟在顏色過濾上支援GPU加速，使這些問題得以解決，而且大多數現代GPU都擁有顏色矩陣硬體元件，所以在應用顏色過濾時皆可達到低延遲高效能。</p> </div></div></div>
2023/9/29 10:57作者李建興https://www.ithome.com.tw/news/159037
駭客成功的祕密
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-bian_tong_si_wei_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">先覺出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>我原本沒打算研究變通思維的；我是在想方設法處理複雜問題時誤打誤撞。當上大學教師之前，我的背景結合了一大堆看似互不相干的活動。我走過的道路結合了我對進取精神的熱愛，以及對社會、環境挑戰的關切，例如：貧窮、不平等和氣候變遷。我共同創立過公司、指導過高階主管、投入過非營利事業，也擔任過各種背景的專案顧問，從大公司高層、跨政府組織，到亞馬遜偏遠地區和散布巴西各角落的貧民窟。</p> <p>顧問工作讓我有機會一探與我成長背景截然不同的現實。不過，不論我是為高所得國家建議科技政策，或是在雨林裡為傳統居民評估社會方案，我的報告（其實還有我讀過的所有研究）都包含大同小異的建議，例如：「更積極主動地合作」「增進協調配合」和「致力於長期規畫」。這些建議沒有錯，只是太籠統。它們並未提出接下來的步驟，特別是在問題棘手、不容許我們耐心等待解決方案的情境。</p> <p>於是我對經營管理人士的幻想逐漸破滅：看來商業大師傾向忽視那些沒有直接付薪水給他們的群體。更糟的是，過去十年，大公司一直試圖說服非營利組織向他們看齊。但我和非營利組織合作的經驗告訴我，小組織也會造成莫大衝擊，而且大企業能向他們學習到很多事。我把這些小型組織稱為「雜牌軍」，他們鬥志高昂、足智多謀，還在強權的邊緣作戰。雜牌軍組織腦筋要動得快，雖然明顯有些支絀，他們往往能出奇制勝、存活下來。但在商業世界，向這些「醜小鴨」學習創新的機智和務實的精巧，卻是無人探索的領域。</p> <p>這鼓舞我注意那些掀起衝擊巨變的「叛逆者」──甚至罪犯。有一次，在工作延誤之際，我偶然在《紐約時報》讀到電腦駭客兼網路犯罪分子亞伯特．岡薩雷茲（Albert Gonzalez）轟動一時的故事。十四歲時，他已經是一群駭入NASA的惡作劇電腦怪客的首腦，在一九九五年吸引聯邦調查局注意。十三年後，幾乎沒有額外受過什麼正式訓練的他，犯下世界規模最大也最複雜的一起身分盜竊案，因而遭到起訴。最後統計，他和同夥聯手竊取了一億七千多萬組信用卡及ATM號碼。</p> <p>別誤會，我不是對岡薩雷茲的惡意動機深感興趣，只是訝異，他，以及其他許多駭客，在資源貧乏又欠缺訓練之下，竟能破解電腦系統。我對程式碼的事一無所悉，但駭客激起我的好奇，只是我當時找不到更多有關他們的資訊。管理學者似乎只在事關網路安全時才會對駭客感興趣，新聞記者則似乎更有意強化駭客的負面刻板印象，而非揭露他們究竟是怎麼駭的。儘管他們在電腦螢幕後面幹的事情令人著迷，對於他們的方法，我們卻知之甚少。</p> <p>所以，我知道我該多去了解「駭」這件事了。</p> <p><span style="font-size:28px;"><strong>我們可以向駭客學習什麼？</strong></span></p> <p>我們可以向駭客學習什麼，並運用他們的方法來解決這個世界在社會環境方面最急迫、風險最高的挑戰？</p> <p>在我進行研究之前，學術界從不把「駭」視為理解或促成現實世界變革的手段。我從訪問駭客、弄清楚他們是怎麼做出那些事情著手。我發現迎面處理障礙是人的天性，但這往往會致使我們迎頭撞壁。駭客的祕密在於他們會蜿蜒穿過未知的領域，不正面對抗擋住去路的瓶頸，而是設法迂迴處理。這些變通辦法或許無法一舉解決全部問題，但能立刻讓駭客取得夠好的小成果──而且「快贏」有時可為出乎預料的重大改變奠定基礎。</p> <p>駭客把事情搞定的方法也讓我了悟：人通常會遵循傳統觀念，而傳統觀念會簡化我們對日常工作的反應。不妨想想你做一連串事情的「方法」：你製作義大利麵團的方法、使用榔頭的方法、應付權威的方法、寫電子郵件的方法……這些清楚的規則或慣例固然能助我們在不過分操勞的情況下把事完成，但也會使我們麻木，限制我們看見和追求無窮的可能性。不知不覺中，我們不會再去探索其他做麵團或用榔頭的方式，也下意識排斥新的因應權威之道，以及具有創意的電子郵件寫法。</p> <p>隨著我深入線上駭客社群，我也發現「駭」不限於電腦世界。Gmail創辦人及首席開發師保羅．布赫海特（Paul Buchheit）說過：「只要有系統，就有駭入的可能，而人間處處有系統。」</p> <p>這項發現是我研究的轉捩點。我恍然大悟，我最初的前提錯了；常被商業世界視為「雜牌軍」的組織，基本上就是在「駭」他們自己的問題──就算他們不是用這個詞。經由迂迴繞過重重障礙，他們處理了至關緊要的問題，特別是就算竭盡所能也看似難以解決的麻煩，有時還能留下寶貴的遺產。</p> <p>於是我將研究主軸置於探究「創變者」──企業家、學者、公司、非營利組織、社團，甚至還有決策者──是如何繞過障礙，在網內和網外「駭」掉形形色色的問題，從回應世界最棘手的一些挑戰，如全球疫情、性別不平等和貧窮，到各種日常不便。這個主軸帶我到意想不到的地方，讓我有榮幸能向雜牌軍組織學習，雖然他們並未得到應有的舉世讚譽。</p> <p><span style="font-size:28px;"><strong>變通大師的共同點</strong></span></p> <p>所有偉大的探索性研究都是從厚臉皮的窺探開始。憑藉蓋茲基金會、劍橋大學、福特基金會、桑坦德銀行、IBM政府事務中心研究獎助金的幫助，我在三年內多次訪問九個國家，研究「獨行俠」如何採用駭客般的手法處理醫療、教育、墮胎權、階級偏見、公共衛生、貪污等迫切問題。在追求「聰明修正法」的過程中，一群超乎想像的頂級橫向思考家，從醫師、部落領導人到社運人士，讓我獲益良多。</p> <p>這些開拓者有什麼共同點呢？他們怎麼處理各自的問題呢？這些問題幫我找出一些反覆出現的主題：這些變通大師多半不信任權威、靠緊急事件不斷進步與壯大、思考跳脫傳統、行動隨機應變。然而，就算這些初期觀察對我的論文大有幫助，但感覺比較像導言而非結論。我愈思考這些規律，就愈想把焦點擺在透徹了解變通的方法。我鑽研訪談的逐字稿「讓資料說話」（研究人員相當喜愛的技術），盼能找出所有案例的脈絡。可惜的是，那些對話都是偏向一方的，我可不想把自己的資料扭曲成不可靠的自白。所以我往後退，重新把每個案例當成它自己的故事探究。一開始發生了什麼事？再來？再之後呢？</p> <p>出乎意料的，我發現雖然場景、人物和情節設計各異，但這些故事竟然以類似的模式開展。當我抽離這些資料，細看每一個案時，規律冒出來了。我所有故事的主人翁都起碼用了四種變通方法的一種，我將它們命名為：搭便車、鑽漏洞、迂迴側進、退而求其次。</p> <p>一認出這四種途徑，我開始發現，原來到處都是變通方案。當然，特立獨行的雜牌軍可能特別擅長運用這些靈活策略，但我逐漸注意到，變通方案不只出現在預算吃緊的創意組織，而是隨處可見，從影響深遠的法律案件到童話故事──我甚至發現它們散布在我決定不要學習的大公司。讓我意外的是，世界一些最強大的組織也會在面臨高風險和沒時間進行平常那種冗長決策過程時，訴諸雜牌軍的策略。</p> <p>藉由分享自己的研究，我的目標是讓你能發覺自己已經在用的變通思維，思考不同的策略可能怎麼改變你看待和因應挑戰的方式，並學會評估沿途遇上的新障礙，以及與之互動的基本原則。<strong><span style="color:#696969;">（本文摘錄整理自《變通思維》，先覺出版提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600_%E8%AE%8A%E9%80%9A%E6%80%9D%E7%B6%AD_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%85%88%E8%A6%BA%E5%87%BA%E7%89%88(1).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_先覺出版</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 變通思維（The Four Workarounds）</strong></p> <p>保羅．薩瓦加（Paulo Savaget）／著；洪世民／譯</p> <p>先覺出版</p> <p>定價：420元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-1P-%E8%AE%8A%E9%80%9A%E6%80%9D%E7%B6%AD-120.jpg" style="text-align: center; width: 150px;" /></p> <p><a href="https://www.amazon.com/stores/author/B0BHXCZ93N?ingress=0&visitId=3a9d586e-5dd8-41fd-af00-6c66f6898f61&store_ref=ap_rdr&ref_=ap_rdr" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Amazon</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>保羅．薩瓦加（Paulo Savaget）</strong></p> <p>劍橋大學博士，牛津大學工程科學系和賽德商學院副教授，專攻領域是創業精神、永續發展、體制變革和創新管理。</p> <p>他的研究工作重點是透過創業精神改造不公正的體制，曾在牛津大學史科爾社會企業家中心擔任博士後研究員，也在杜倫大學當過助理教授。在學術界之外，他共同創立過公司、指導過高階主管、投入過非營利事業，也擔任過各種背景的專案顧問，從大公司高層、跨政府組織，到亞馬遜偏遠地區和散布巴西各角落的貧民窟。</p> </div></div></div>
2023/9/29 09:00未署名https://www.ithome.com.tw/article/158814
【資安日報】9月28日，勒索軟體駭客組織RansomedVC聲稱入侵日本大型電信業者NTT Docomo，索討百萬美元…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數日前，勒索軟體駭客RansomedVC聲稱入侵Sony並竊得內部資料，引起資安界高度關切，雖然此事的真實性仍有待商確，但現在他們宣稱也竊得另一家日本大型企業NTT Docomo的內部資料，不同的是，這次駭客開出了明確的贖金價碼，不過並未公布從這家電信業者偷到的資料。</p> <p>有資安業者分析駭客從Sony竊得的資料，懷疑這兩起事件有關連，有可能是供應鏈攻擊事故導致。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.resecurity.com/blog/article/ransomedvc-in-the-spotlight-what-is-known-about-the-ransomware-group-targeting-major-japanese-businesses"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">繼聲稱竊得Sony內部資料，勒索軟體駭客RansomedVC向日本電信業者NTT Docomo勒索</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/bd4a850e54b44e17d62bb44f7d466773.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/bd4a850e54b44e17d62bb44f7d466773.png" style="width: 300px; float: right;" /></a>繼上週日（24日）聲稱入侵了日本大型企業Sony，勒索軟體駭客組織RansomedVC再度向另一家日本大型企業勒索。</p> <p>資安業者Resecurity發現，該駭客組織於26日宣稱入侵日本大型電信業者NTT Docomo的基礎設施，並搜括所有的資料，要該公司支付101.5萬美元贖回。若NTT Docomo不願付錢，駭客揚言將向歐盟主管機關舉報，並公開竊得的文件。</p> <p>而對於這些資料的來源，研究人員解析駭客從Sony竊得的檔案，推測是來自該公司工程師Hironobu，根據一名駭客組織成員在暗網論壇上的發文，該組織在23日公布2.4 GB的壓縮檔案，當中包含疑似來自工程師工作站電腦的帳密資料與SSH金鑰，在一筆存取sony-autotest.com的連線資料中，研究人員發現，連接這個網址時，會解析為NTT Docomo資料中心一臺主機的IP位址。兩起事件是否有所關連？研究人員認為有待釐清，但不排除NTT Docomo遭遇供應鏈攻擊的可能。</p> <p><a href="https://checkmarx.com/blog/surprise-when-dependabot-contributes-malicious-code/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客鎖定GitHub儲存庫，假借機器人程式Dependabot植入惡意程式碼</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/image-51.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-51.png" style="width: 300px; float: right;" /></a>資安業者Checkmarx揭露鎖定GitHub用戶而來的攻擊行動，駭客自今年7月，疑似先取得使用者的存取Token，然後利用自動化指令碼建立主旨為fix的提交程式碼訊息，而這段內容，看似使用者帳號dependabot[bot]所為，而讓使用者以為程式碼是由GitHub自動化相依性工具Dependabot加入。</p> <p>然而這些提交的內容會在專案植入惡意程式碼，解析機敏資料並傳送到攻擊者的C2伺服器，並竄改程式庫現有的JavaScript檔案，加入能夠從網頁表單竊取密碼的惡意程式。</p> <p>研究人員指出，攻擊者從7月8日至11日入侵了數百個GitHub儲存庫，當中有公開，也有僅限私人存取的儲存庫，多數是印尼用戶擁有的。根據受害者提供的資訊，攻擊者很有可能先滲透開發環境，進而取得個人存取Token（PAT）而得逞。</p> <p><a href="https://www.hertzbleed.com/gpu.zip/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露顯示晶片旁路漏洞GPU.zip，各家廠商的晶片組都有可能曝險</span></strong></a></p> <p>德州大學奧斯汀分校、卡內基美隆大學、華盛頓大學、伊利諾大學厄巴納香檳分校的研究人員發現新型態的顯示晶片（GPU）旁路攻擊手法GPU.zip，這項漏洞發生的原因與GPU的資料壓縮有關，GPU藉由這種方式節省記憶體頻寬並提高效能，而這項壓縮不需要軟體參與，研究人員便是透過創建特定的圖形模式，觀察GPU壓縮圖形模式的方法，再根據壓縮結果，猜測出部分秘密資訊。</p> <p>在GPU的資料壓縮行為當中，軟體不會知道GPU背景進行的壓縮動作。軟體開發者通常會認為，若無明確的壓縮指令，GPU不會進行資料壓縮，然而，實際上，硬體的確會自行壓縮，這樣的認知差異。就可能被攻擊者利用。研究人員利用最新版本的Chrome瀏覽惡意網頁進行概念性驗證攻擊（PoC），便能夠竊取另一個網頁洩漏的像素，而這個行為違反了瀏覽器的安全模型。</p> <p>他們今年3月向AMD、Apple、Arm、Intel、Nvidia、Qualcomm等GPU供應商，以及瀏覽器製造商Google通報，但目前僅有Google正在評估是否提供修補程式。而對於其他瀏覽器是否也會遭受GPU.zip攻擊？研究人員指出，Firefox、Safari並未符合相關條件，不易受到攻擊。</p> <p><a href="https://www.securityweek.com/chinese-gov-hackers-caught-hiding-in-cisco-router-firmware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客BlackTech竄改思科路由器韌體，入侵美國、日本跨國企業的網路環境</span></strong></a></p> <p>美國國家安全局（NSA）、聯邦調查局（FBI）、網路安全暨基礎設施安全局（CISA），以及日本國家資安事件整備與策略中心（NISC）發布聯合公告，中國駭客組織BlackTech竄改思科路由器的韌體，目的是隱匿攻擊行動，然後從子公司進一步滲透位於美國或日本的企業總部。</p> <p>這些機構表示，駭客為了在目標組織立足，會先從可透過網際網路存取的分支路由器下手，濫用企業網路對這些路由器的信賴關係，將其充當駭客的基礎設施，引入來自代理伺服器的流量，混雜到目標組織的流量，駭客再趁機部署惡意韌體並植入後門程式，而此後門程式會透過特定的TCP或UDP封包而啟用或停用，並使用SSH連線存取路由器，而不會留下連線記錄。</p> <p>對此，思科認為，駭客在這些攻擊當中，最常見的入侵手法是利用外洩的帳密或弱密碼，而非利用路由器的漏洞。</p> <p>資料來源</p> <p>1. <a href="https://media.defense.gov/2023/Sep/27/2003309107/-1/-1/0/CSA_BLACKTECH_HIDE_IN_ROUTERS_TLP-CLEAR.PDF">https://media.defense.gov/2023/Sep/27/2003309107/-1/-1/0/CSA_BLACKTECH_HIDE_IN_ROUTERS_TLP-CLEAR.PDF</a><br /> 2. <a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-csa-cyber-report-sept-2023">https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-csa-cyber-report-sept-2023</a></p> <p><a href="https://www.ithome.com.tw/news/159003"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資安業者Mandiant針對中國駭客的威脅提出警告，手法從社交工程逐漸轉向漏洞利用攻擊</span></strong></a></p> <p>資安業者Mandiant曾於10年前發布全球第一份指控中國軍隊涉及網路攻擊的調查報告「APT 1」，而在這份調查問世十年之後，該公司於近期舉辦了資安防禦會議mWISE Conference 2023提出警告，指出中國駭客的能力大幅進化，已有能力策畫他們必須耗時數個月才能釐清的網路攻擊行動。</p> <p>該公司對於中國駭客攻擊手法歸納三大轉變，包括系統性挖掘零時差漏洞（Zero Day）、利用網通設備的漏洞來入侵企業或組織，以及挾持家用或中小企業路由器、物聯網（IoT）設備，做為攻擊跳板。中國駭客逐漸捨棄社交工程手法，轉為利用威力更強大的零時差漏洞。Google Cloud Mandiant Intelligence首席分析師John Hultquist指出，利用零日漏洞來發動攻擊，可以一次性地造成大規模的攻擊，只要是使用相同網通設備、具有相同零日漏洞的企業或組織，就可以一網打盡。</p> <p>這些一再發生的零日漏洞事件明白告訴我們，中國有計畫性地投入大量資源，系統性挖掘網通設備的零時差漏洞，John Hultquist認為，中國有專門挖掘漏洞的實驗室。Google Cloud Mandiant Intelligence主席Sandra Joyce指出，今年有62個零時差漏洞被用於攻擊行動，中國占了大部分，他認為該國是製造零時差漏洞的機器。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.cisa.gov/sites/default/files/2023-09/A%20Hardware%20Bill%20of%20Materials%20Framework%20for%20Supply%20Chain%20Risk%20Management%20%28508%29.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為減少供應鏈中存在的資安風險，美國CISA發布新版硬體物料清單框架</span></strong></a></p> <p>為了有效評估供應鏈存在的資安風險，美國網路安全暨基礎設施安全局（CISA）與資通訊科技供應鏈風險管理（ICT SCRM）工作小組聯手，打造新版的硬體物料清單框架（Hardware Bill of Materials Framework，HBOM），藉由標準化命名、詳盡的元件資訊、明確的指引，從而協助降低採購硬體面臨的資安風險。此框架主要有以下3個重要的元件，分別是使用案例類別（附件A）、HBOM格式（附件B）、資料欄位分類法（附件C）。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://info.coalitioninc.com/rs/566-KWJ-784/images/Coalition_2023-Claims-Mid-Year-Update.pdf"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">今年上半資安險理賠飆升，原因是勒索軟體攻擊大幅增加</span></span></strong></a></p> <p><a href="https://www.proofpoint.com/us/blog/threat-insight/zenrat-malware-brings-more-chaos-calm"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客假借提供密碼管理軟體Bitwarden，散布惡意軟體ZenRAT</span></span></strong></a></p> <p><a href="https://chromereleases.googleblog.com/2023/09/stable-channel-update-for-desktop_27.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google發布電腦版Chrome 117，修補已出現攻擊行動的影音編碼器libvpx元件漏洞</span></span></strong></a></p> <p><a href="https://www.mozilla.org/en-US/security/advisories/mfsa2023-41/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Mozilla發布Firefox 118，修補高風險記憶體漏洞</span></span></strong></a></p> <p><a href="https://www.securityweek.com/macos-14-sonoma-patches-60-vulnerabilities/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">蘋果發布macOS 14 Sonoma，修補逾60個漏洞</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159005"><strong>【9月27日】 Sony傳出資料外洩，有2組駭客先後聲稱對其下手，取得多項內部機密的帳密資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158974"><strong>【9月26日】駭客組織Stealth Falcon針對中東政府機關下手，散布後門程式Deadglyph</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158960"><strong>【9月25日】埃及總統候選人遭到鎖定，攻擊者利用iOS零時差漏洞在手機植入間諜軟體Predator</strong></a></p> </div></div></div>
2023/9/28 17:12作者周峻佑https://www.ithome.com.tw/news/159036
資安分析事件記錄不離境，Palo Alto Networks在臺提供雲據點
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/palo_alto_cortex_cdl_tw-main.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以次世代防火牆、SASE、XDR等資安產品著稱的Palo Alto Networks，本月正式啟動Cortex臺灣雲端資料中心，新據點設立之後，臺灣用戶可就近使用Cortex系列的XDR、Xpanse、XSOAR、XSIAM、Data Lake，獲得更低延遲的資料存取速度而更能即時因應威脅，也能享有更大的使用彈性，可根據需求彈性調整資源，更重要的意義在於，能將相關資料保留在臺灣本地，避免因跨境存放資料而衍生風險，確保遵循法規。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-09-Palo Alto Cortex Cloud location.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-Palo%20Alto%20Cortex%20Cloud%20location.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，上述解決方案過去都已陸續在臺灣市場推出，Cortex Data Lake會是最新主打的資安應用，可收集、轉換、整合企業的安全資料，並將其存放在設置在特定地區的雲端據點。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-Palo%20Alto%20Cortex%20Cloud%20service.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-Palo%20Alto%20Cortex%20Cloud%20service2.jpg" style="width: 600px;" /></p> <p>回顧Cortex系列產品線的發展，Data Lake其實是與XDR並列為第一波發表的解決方案，早在2019年2月，Palo Alto Networks發表威脅偵測與應變系統Cortex XDR，以及端點安全系統Traps 6.0，首度提及Cortex Data Lake，它先前稱為<a href="https://live.paloaltonetworks.com/t5/blogs/blogarticleprintpage/blog-id/CommunityBlog/article-id/919">Logging Service</a>，主要功能是收集與儲存所有的事件記錄資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2019-06-Cortex Data Lake logging_service.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2019-06-Cortex%20Data%20Lake%20logging_service.jpg" style="width: 298px;" /></a><a href="https://s4.itho.me/sites/default/files/images/2018-Palo Alto Networks Logging Service-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2018-Palo%20Alto%20Networks%20Logging%20Service-1.jpg" style="width: 298px;" /></a></p> <p>他們表示，有了這項平臺，用戶可將大量經過正規化處理的資料，安全存放在裡面進行分析，能用於進階的人工智慧與機器學習應用，以便更快找到潛藏的資安威脅，並且指揮對應的應變復原工作執行。</p> <p>根據該公司技術社群部落格後續發布的文章指出，Cortex Data Lake是基於雲端服務而成、集中儲存事件記錄，而且能免除用戶持續維護與監控負擔的基礎架構，先前企業須同時建置同廠牌的防火牆管理系統Panorama，才能使用這項功能，但<a href="https://live.paloaltonetworks.com/t5/blogs/cortex-logging-without-panorama/ba-p/268052">等到PAN-OS 9.0.2版推出之後</a>，Palo Alto Networks的網路防火牆系統可安全連接Cortex Data Lake，並將事件記錄轉送至此存放。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2021-01-Cortex Data Lake-logging-service-quota-allocation-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-01-Cortex%20Data%20Lake-logging-service-quota-allocation-web.jpg" style="width: 600px;" /></a></p> <p>而在吸納的事件記錄資料類型上，Cortex Data Lake涵蓋多種資安產品，例如，該公司的次世代網路防火牆系統、端點安全系統Traps，以及SASE系統 Prisma Access，透過這些資訊提供完整的真實性。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-Cortex Data Lake original.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-Cortex%20Data%20Lake%20original.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2019-Cortex Data Lake integration.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2019-Cortex%20Data%20Lake%20integration.jpg" style="width: 298px;" /></a></p> <p>Palo Alto Networks表示，這裡面存放的每一份網路記錄帶有數百個資料點，可包含惡意軟體預防服務WildFire產生的中繼資料，後續交由人工智慧與機器學習技術處理時，能憑藉這些真實資訊，提升判斷精準度。</p> <p>目前有哪些產品可運用存放在Cortex Data Lake的資料？Cortex XDR、Panorama、Prisma Access當然是最先支援，前幾年推出的Cortex XSOAR、Cortex Xpanse也相繼支援。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-08-Palo Alto CDL Data flow.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-Palo%20Alto%20CDL%20Data%20flow.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，Cortex Data Lake本身坐落的機房也會配合相關的規範，目前的要求是需建置在遵循SOC 2 Type II標準的資料中心，所有傳輸資料都必須加密，用戶存取這項平臺所執行的應用程式，均需經由Cortex Hub這個入口、透過單一登入整合（SSO）的雙因素驗證身分。</p> <p>這幾年來，Palo Alto Networks持續在全球多個區域，設置位於當地的雲端基礎架構（資料中心）。以2023年截至目前為止，2月落腳<a href="https://www.paloaltonetworks.com/company/press/2023/palo-alto-networks-goes-all-in-with-new-cloud-infrastructure-investment-in-switzerland">瑞士</a>，7月在<a href="https://www.paloaltonetworks.com/company/press/2023/palo-alto-networks-to-deliver-best-in-class-cybersecurity-platforms-to-customers-in-poland-with-new-local-cloud-infrastructure">波蘭</a>推出雲端據點，9月則是進駐<a href="https://www.paloaltonetworks.com/company/press/2023/palo-alto-networks-cements-position-in-taiwan-with-new-local-cloud-infrastructure-investment">臺灣</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-09-Palo Alto Cloud Location.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-Palo%20Alto%20Cloud%20Location.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-09-Palo Alto Cloud Location-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-Palo%20Alto%20Cloud%20Location-2.jpg" style="width: 600px;" /></a></p> <p>Palo Alto Networks臺灣區總經理尤惠生表示，經過臺灣業務與技術團隊長達4年的努力爭取，以及用戶的支持，終於獲得總部對臺灣的加碼投資，將多項資安服務的雲端基礎設施設置在臺灣，而在全球各地，Palo Alto Networks已在87個國家設置雲端據點，這些機房通過的國際驗證標準累積有17種之多，所涵蓋的Palo Alto資安產品則有14款，能讓世界各國的企業與組織就地採用，對於臺灣的用戶而言，在不離境或到海外佈點均可在這樣的服務架構之下，獲得保護與支援。而由於能符合本國的法規要求，對於他們開拓軍公教、金融領域的資安應用市場，也將帶來助益。</p> <p>既然Palo Alto宣布在臺灣設置雲端據點，令人好奇的是，會用哪一家業者提供的環境來進行相關的軟硬體部署？他們僅透露是三大公有雲業者之一，我們猜測應是Google Cloud。</p> <p>首先，目前只有Google Cloud在臺灣設置資料中心；另一個因素是近來兩家公司有密切合作關係——甫於8月底舉行的Next年度用戶大會，Google Cloud宣布將推出新的<a href="https://cloud.google.com/blog/products/networking/whats-new-with-google-cloud-networking">雲端次世代防火牆服務</a>，名為<a href="https://cloud.google.com/firewall">Cloud Firewall Plus</a>，當中整合的資安技術恰巧是由Palo Alto Networks提供。</p> <p>而在Palo Alto Networks宣布在臺設置雲端據點的消息之後，我們也請他們提供一些操作設定的畫面，呈現實際的使用方式，方便大家更具體了解這方面的技術應用型態。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cortex%20XDR%20Tenant%201.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Cortex%20XDR%20Tenant%202.png" style="width: 298px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/CDL _Taiwan-Web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CDL%20_Taiwan-Web.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Palo Alto Networks Cortex Data Lake</strong><br /> ●原廠：Palo Alto Networks<br /> ●建議售價：廠商未提供<br /> ●支援的資安產品：次世代防火牆系統與網路防火牆管理系統Panorama（作業系統需為PAN-OS 8.0.5以上版本）、SASE安全存取解決方案Prisma Access、端點偵測與應變系統Traps（5.0以上版本）與管理服務、威脅偵測與應變服務Cortex XDR<br /> ●採用的機房規格：遵循SOC 2 Type II的資料中心</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/9/28 17:27作者李宗翰https://www.ithome.com.tw/review/158618
資安技術厚積薄發
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於iThome近期報導的資安產品與服務，眼尖的讀者可能會發現，我們又開始介紹XDR（Extended Detection and Response）、NDR（Network Detection and Response）等類型的解決方案。</p> <p>其中一款是<a href="https://www.ithome.com.tw/review/158555" target="_blank">趨勢科技Trend Micro Vision One</a>，從端點、郵件、網頁、網路持續擴充防護，發展到XDR、外部攻擊面管理（EASM），另一款是<a href="https://www.ithome.com.tw/tech/158770" target="_blank">Vectra AI的系統</a>，基於NDR而成，延伸至CDR（Cloud Detection and Response）、ITDR（Identity Threat Detection and Response）用。</p> <p>能夠廣泛涵蓋並針對各個關鍵存取位置提供威脅防護，是這類資安解決方案最顯而易見的特色，而隱藏在背後的技術應用，則是持續進行、規模龐大的資安大數據處理，廠商會透過資料湖進行收集、彙整、分析，之後基於這些內容來執行威脅的偵測與因應。</p> <p>事實上，早在企業級防毒軟體與網路防火牆的產品應用，就開始進行這樣的資訊整合工作，後續隨著各種端點電腦、網路設備、應用伺服器，以及資安系統的發展與普及。</p> <p>而為了協助企業能夠有效掌握這些環境是否存在網路威脅與可疑活動，市面上陸續出現安全資訊與事件管理系統（SIEM）、使用者與實體行為分析系統（UEBA），進行相關資訊的彙整與分析；之後，開始有資安廠商推出各式威脅偵測與應變系統（Threat Detection and Response，TDR），例如，用於端點環境的EDR、用於網路環境的NDR，用於多種IT存取管道的XDR，以及提供廠商代管模式的MDR，這些資安解決方案具有異常活動的持續偵測與分析之餘，也提供一定程度的主動應變機制，像是發布警示通知、自動執行緩解與阻擋，不只是知道自己正在挨打、處於被滲透的狀態，也能即時啟動半自動或全自動的處理程序。</p> <p>除了跨系統資訊整合，強化威脅識別、去除偵測盲點與死角，對於跨系統資安危機處理執行，也出現安全調度指揮、自動化與應變系統（SOAR），提供即時緩解與阻擋。</p> <p>面對許多資安產品與服務，無論是最普遍的防毒軟體與網路防火牆、過去被視為導入門檻較高的SIEM，或是目前逐漸躍居主流的TDR，以及強調跨系統調度與自動化處理等特性的SOAR，當企業實際使用時，可能會以資安維運中心（SOC）的整體角度，檢視能否在網路攻擊過程的前、中、後等階段，提供應有的功效，以及輔助快速處理的方法。</p> <p>隨著IT技術的不斷演進，雲端服務、大數據、機器學習的相繼崛起，促成當代資通訊環境的質變與量變，而長達三年的COVID-19疫情與遵循2050淨零排放的勢在必行，加速全球推動數位轉型與擁抱公有雲服務的腳步，對於資安而言，不僅面臨內外邊界全面消弭的巨大挑戰，同時，也替用戶與廠商帶來擴充與改善防護架構的新機會。</p> <p>從網路安全課程訓練機構SANS今年6月揭露的SOC大調查結果，也可看到相關趨勢。</p> <p>在SOC基礎架構的部署狀態上，比例最高的是集中為單一SOC，無論是目前或未來一年內，都超過3成；其次是基於雲端架構而成的SOC服務（Cloud-based SOC services），部署比例目前逼近2成，未來一年部署比例為24.7％。對照前幾年的調查結果，2021年Cloud SOC部署率為12.9％，2022年為15.2％，可看出今明兩年成長幅度變大。</p> <p>而在SOC應用的資安技術上，今年需求最大的類型，包含：次世代網路防火牆、電子郵件安全系統（SWG與SEG）、EDR或XDR，以及端點作業系統監控與事件記錄；其次是惡意軟體防護系統（端點／主機）、VPN存取防護與控制、SIEM。</p> <p>而在聘雇新進資安人員時，在評估對方熟悉資安技術或工具的類型上，企業最看重的是EDR或XDR，以及SIEM，比例均超過25％，超過10％的有主機弱點矯正、網路流量監控、主機行為分析與偵測、勒索軟體預防、威脅獵捕。</p> <p>事實上，在這份調查報告當中，總共列出的資安技術或工具，洋洋灑灑，將近50種之多，一方面突顯企業要做好資安防護，往往會面臨難以選擇的挑戰，一方面象徵資安應用的蓬勃發展，這些都是長年持續發展累積的成果，而且也經過企業實際應用與市場的洗禮而來，彌足珍貴，也因為有充實的技術基礎，解決資安問題更能得心應手。</p> <p><a href="https://www.ithome.com.tw/article/159015" target="_blank"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 相關報導 </span></span></strong><span style="font-size:18px;"><strong><span style="color:#FFFFFF;"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1149-feng_mian_p1-open-zheng_han_-960x420_kao_bei_0.jpg?itok=XAiCY5ZO" style="width: 550px;" /></span></strong></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/soc">SOC</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89%E7%B6%AD%E9%81%8B%E4%B8%AD%E5%BF%83">資安維運中心</a></div></div></div>
2023/9/28 16:22作者李宗翰https://www.ithome.com.tw/voice/159002
Mistral AI開源輕巧高效能語言模型Mistral 7B
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人工智慧新創公司Mistral AI以Apache 2.0授權<a href="https://mistral.ai/news/about-mistral-ai/">開源Mistral 7B語言模型</a>，Mistral 7B的特別之處在於其規模較小僅有73億，但是在所有基準測試上，其表現都優於規模更大的語言模型Llama 2 13B，還具有編寫程式碼以及處理8,000個token的能力。</p> <p>整體來說，<a href="https://mistral.ai/news/announcing-mistral-7b/">Mistral 7B在多個基準測試</a>，包括常識推理、世界知識、閱讀理解、數學和程式碼等，表現亮眼，除了明顯優於Llama 2 13B之外，也和Llama 34B模型打成平手，其編寫程式碼的能力接近CodeLlama 7B，並且在英文任務中表現良好。</p> <p>在大規模多工語言理解（MMLU）基準測試上，Mistral 7B的表現相當一個3倍大的Llama 2模型，但是卻可大幅節省記憶體消耗，吞吐量也有所增加，其提供了更高的性價比。</p> <p>Mistral 7B運用了群組查詢注意力（GQA）加快推理速度，還使用滑動視窗注意力（SWA），以更小的成本處理較長的序列。群組查詢注意力方法分組多個查詢並且同時進行處理，透過這種方式，群組查詢注意力機制能夠減少重複計算，提高推理速度並降低運算成本。</p> <p>滑動視窗注意力機制則限制模型，在神經網路的每一個層級，只能關注前面一定範圍的token，這個限制視窗會根據模型的層數向前滑動，在更高的層數中，模型能夠間接關注序列中更早出現的token。運用這種方式，滑動視窗注意力機制可以降低計算和記憶體需求，並更高效地處理長序列，Mistral 7B每層注意前4,096個隱藏狀態，能夠以線性計算成本提高處理速度，特別是序列長度為16,000時，速度提高達2倍。</p> <p>這兩種技術組合使Mistral 7B在處理各種不同任務時，具有高效和靈活性，同時保持良好的可擴展性。</p> <p>另外，官方也運用公開指令資料集微調Mistral 7B，經過微調後的Mistral 7B Instruct模型在MT-Bench測試中表現良好，能夠與130億參數的聊天模型的效能相當。用戶現在可以下載Mistral 7B並立即開始使用，可以選擇部署在AWS、Azure和GCP等雲端平臺上，並且在vLLM推論服務和Skypilot框架上運行，同時還支援在HuggingFace平臺上使用。</p> <p>由於Mistral 7B採用Apache 2.0授權，因此用戶幾乎能夠不受限制地自由使用模型，Mistral AI官方認為，開源解決方案將會超越專有解決方案，因為開源能夠集結社群力量使得技術更加卓越，並且也只有開源模型才能夠對抗審查與偏見，並交給開發者完全的控制能力，可依照需求調整模型大小和成本。</p> </div></div></div>
2023/9/28 16:46作者李建興https://www.ithome.com.tw/news/159032
500美元的Meta Quest 3開賣了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.meta.com/zh-tw/blog/quest/meta-quest-3-pre-orders-asgards-wrath-2-bundle-vr-mr-headset-price/" target="_blank">Meta今日（9/28）正式開放</a>消費者預購新一代的混合實境（Mixed Reality，MR）頭戴式裝置Quest 3，標榜這是全球第一個鎖定大眾市場的MR裝置，與蘋果要價高達3,499美元的<a href="https://www.ithome.com.tw/news/157200" target="_blank">Apple Vision Pro</a>互別苗頭。內建128GB儲存空間的Quest 3售價為499.99美元，512GB版本的則是649.99美元，預計於10月10日上架。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0928-meta%20quest%203-600-2.png" style="width: 600px;" /></p> <p>Meta於全球包括臺灣在內的23個國家銷售Quest 3，只是上述兩個版本在臺灣的售價分別是529.99美元及689.99美元，內含頭載式裝置、內建的臉部襯墊，以及2個Touch Plus控制器。</p> <p><a href="https://about.fb.com/news/2023/09/meet-meta-quest-3-mixed-reality-headset/" target="_blank">Quest 3採用</a>了與高通（Qualcomm）共同開發的Snapdragon XR2 Gen 2平臺，其圖像處理能力為Quest 2的兩倍，可快速載入且強化了細節的呈現；所搭載的Infinite Display顯示器在解析度上比Quest 2多出30%；重新設計更輕薄與均衡的外型以加強配載的舒適度，也具備彈性的調整能力；另也改善了環繞音效的體驗。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0928-meta%20quest%203-(3).png" style="width: 400px;" /></p> <p class="rtecenter"><a href="https://www.youtube.com/watch?time_continue=10&v=5hgLkjfQ7oM&embeds_referring_euri=https%3A%2F%2Fwww.meta.com%2F&embeds_referring_origin=https%3A%2F%2Fwww.meta.com" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0928-meta%20quest%203.png" style="width: 600px;" /></a></p> <p>Meta還替Quest 3設計了各種配件，諸如70美元的頭帶，40美元的矽膠臉部襯墊，40美元的控制器腕帶，可增加2小時續航力的130美元電池，130美元的充電座，還有可用來攜帶Quest 3的收納盒，要價70美元。但這些配件在臺灣的售價也高了一些些。</p> <p>Meta表示，Quest 3相容於Quest 2的逾500款程式，且在今年底前將有超過100款針對Quest 3的新程式或升級版問世。Quest 3可自動繪製使用者的空間地圖，辨識牆壁、家具及物件，並讓它們成為虛擬空間的一部分，例如在遊戲中丟出一個虛擬的球，它會因為碰到真實的牆壁而反彈，與實體世界的整合能力也是Quest 3及Quest 2之間主要的差異之一。</p> <p>現在購買Quest 3可免費獲得價值60美元的《Asgard's Wrath 2》遊戲，若是購買512GB的版本，則可免費存取半年的Meta Quest+訂閱服務。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Meta</span></span></p> </div></div></div>
2023/9/28 16:10作者陳曉莉https://www.ithome.com.tw/news/159030
RansomedVC勒索軟體組織宣稱先後入侵Sony、NTT Docomo
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一個名為RansomedVC的勒索軟體駭客組織本周宣稱先後駭入日本大廠Sony及NTT Docomo，Sony已表示著手調查中。</p> <p>安全廠商<a href="https://www.resecurity.com/blog/article/ransomedvc-in-the-spotlight-what-is-known-about-the-ransomware-group-targeting-major-japanese-businesses" target="_blank">Resecurity</a>及媒體<a href="https://www.bleepingcomputer.com/news/security/sony-investigates-cyberattack-as-hackers-fight-over-whos-responsible/" target="_blank">Bleeping Computer</a>發現，本周一個自稱RansomedVC勒索軟體背後的駭客組織成員，在地下論壇上宣稱已成功駭入日本電子巨擘Sony所有系統，並取得240GB資料。由於Sony 拒絕支付贖金，駭客將以1萬美元為代價兜售手中所有資料作為報復，還說是根據歐盟隱私法，將向主管機關舉報。而為了支持其說法，這名用戶也公布了宣稱是屬於Sony的2MB資料，包含PowerPoint簡報檔、Java原始碼、Eclipse IDE螢幕擷圖。</p> <p>正當駭客公布資料同時，RansomedVC駭客又在地下網站發了另一則公告，宣稱駭入日本電信龍頭NTT Docomo，如同Sony的案例，他們也是向NTT Docomo要求101.5萬美元贖金。駭客說，若NTT Docomo不支付贖金，他們也會向歐盟主管機關舉報，可能也會公開手中持有這家電信龍頭的部份文件。</p> <p>至於RansomedVC是否真的駭入Sony也有疑點。儘管釋出資料作為證明，但駭客論壇上有名為MajorNelson的用戶宣稱他才是犯案者，RansomedVC只是想趁機詐財及蹭熱度。</p> <p>這名用戶還一舉公布了宣稱是Sony的2.4GB壓縮檔，解壓縮後成為3.14GB的資料，包括SonarQube、Creators Cloud、Sony 憑證，以及生成授權的裝置模擬器等</p> <p>Sony表示正在調查此事，並拒絕對此評論。</p> </div></div></div>
2023/9/28 13:37作者林妍溱https://www.ithome.com.tw/news/159022
Meta聊天機器人Meta AI上線，會互動、生成圖片，還有名人加持
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>周三在Meta Connect 2023大會上，<a href="https://www.meta.com/zh-tw/blog/quest/connect-2023-quest-3-ai-ray-ban-smart-glasses-metaverse/" target="_blank">Meta宣布多項產品</a>，除了最新VR頭戴裝置Quest 3外，也發表了可化身名人的聊天機器人Meta AI，將整合在WhatsApp、Instagram（IG）及Facebook Messenger和用戶互動，未來也會整合到智慧眼鏡和VR裝置中。</p> <p><a href="https://about.fb.com/news/2023/09/introducing-ai-powered-assistants-characters-and-creative-tools/" target="_blank">Meta AI</a>是以微軟和Meta合作的<a href="https://www.ithome.com.tw/news/157854" target="_blank">大型語言模型Llama2</a>為基礎開發而成，可透過文字與語音和用戶互動，執行用戶指令。Meta也整合了微軟Bing搜尋，可搜尋網際網路上最新的資訊。</p> <p>另一方面，為了讓Meta AI具備更多差異化特色，Meta還為Meta AI加入其他能力和特色。其中，Meta AI整合圖片生成模型Emu，允許用戶輸入文字指示在幾秒內生成圖片。Meta表示，Emu的圖片生成功能將可讓用戶自製AI體驗。這項功能下個月將部署給英語版WhatsApp、Facebook Messenger、Facebook Stories及IG用戶，例如編修IG的Avatar或加入背景，背景功能也運用了Meta的圖片分割模型Segment Anything Model。</p> <p class="rtecenter"><img alt="" src="https://about.fb.com/wp-content/uploads/2023/09/Backdrop_Inline-1.gif?resize=960%2C836" style="width: 400px;" /></p> <p>Meta也找來名人扮演Meta AI人物，包括美式足球明星Tom Brady、網球選手大阪直美、網紅YouTuber MrBeast、名媛Paris Hilton、及饒舌歌手Snoop Dogg等扮演運動教練、主廚、偵探、遊戲高手及舞蹈專家等角色。Meta說未來幾個月還會再增加更多Meta AI人物。</p> <p class="rtecenter"><img alt="" src="https://about.fb.com/wp-content/uploads/2023/09/Celebirties-in-Chat_Inline-1.gif?resize=960%2C720" style="width: 450px;" /></p> <p>Meta的企圖不只是在社交應用程式提供AI體驗，除了現有旗下App外，很快也會推向VR頭戴裝置Quest或Ray-Ban Meta智慧眼鏡。</p> <p>因此除了一般用戶外，Meta今天也發表了AI體驗的開發工具AI Studio。今天Meta已先以Beta測試版提供AI Studio打造的AI成果給美國市場，但他們未來幾周會將這工具開放給外部開發商，允許他們以Meta API打造第三方AI應用，第一步是Messenger，接著會擴及WhatsApp。企業則可使用AI Studio開發Meta應用程式的自有AI聊天機器人。Meta說，今年內會先推Alpha版，預計明年再擴大。</p> <p>至於創作者，也可開發Meta應用程式的虛擬體驗，如Avatar，這些AI創作都由創作者們直接控管。明年Meta也會提供沙箱技術，讓所有人實驗其AI創作。等這些內容日益豐富後，Meta會將沙箱搬上元宇宙，讓創作者也能打造VR/AR內容。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Meta</span></span></p> </div></div></div>
2023/9/28 13:13作者林妍溱https://www.ithome.com.tw/news/159021
ChatGPT網路瀏覽功能重新上線，即將開放所有用戶使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/OpenAI/status/1707077710047216095" target="_blank">OpenAI今日（9/28）宣布</a>，ChatGPT於今年7月因故暫停的付費功能Browse with Bing，已重新登上ChatGPT Plus及ChatGPT Enterprise，且很快就會開放所有用戶使用。</p> <p>因為用來訓練的資料集的關係，ChatGPT一向只能提供截至2021年9月的知識，無法因應最新資訊，使得ChatGPT自今年5月開始測試結合網路瀏覽的服務，繼之於6月針對付費版的ChatGPT Plus推出<a href="https://www.ithome.com.tw/news/157524" target="_blank">Browse with Bing</a>功能，卻因傳出<a href="https://www.ithome.com.tw/news/157627" target="_blank">該功能可被用來繞過付費牆</a>，而在上線不到一周就暫時關閉。</p> <p>本周OpenAI宣布重新開放ChatGPT的Browse with Bing功能，不僅同時支援ChatGPT Plus及ChatGPT Enterprise付費服務，很快也會擴大支援所有使用者。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0928-openai-browse%20with%20bing.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_OpenAI</span></span></p> <p>OpenAI表示，自今年5月開始測試瀏覽功能以來收到許多用戶意見，此次的更新包括更關注網站的robots.txt 爬梳政策與使用者代理（User Agent），以讓網站得以控制與ChatGPT之間的互動，也會在ChatGPT的解答中附上所參考的網站連結。</p> <p>現在ChatGPT的瀏覽功能僅限使用Bing，ChatGPT Plus與ChatGPT Enterprise用戶只要進入設定，選擇測試（Beta）功能，便能啟用Browse with Bing，之後在GPT-4中選擇Browse with Bing即可。</p> <p>對於那些需要最新資訊的任務而言，瀏覽功能特別有幫助，不管是在進行技術研究、選購自行車或是規畫假期上。其實除了ChatGPT之外，同樣基於GPT-4的Bing Chat已在Windows、Microsoft Edge、Chrome與Safari等平臺上都提供了瀏覽能力，而基於PaLM的Google Bard也已支援Chrome、Safari、Firefox、Opera及Edgium等瀏覽器，並帶來類似的能力。</p> </div></div></div>
2023/9/28 11:24作者陳曉莉https://www.ithome.com.tw/news/159016
Amazon證實微軟前產品長Panos Panay要至該公司任職
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/158810" target="_blank">Amazon周三（9/27）印證了市場傳言</a>，指出甫於本月自微軟離職的產品長Panos Panay，將在今年10月底至Amazon就職，接替即將退休的Dave Limp，負責Amazon的裝置暨服務業務，加入Amazon的S-Team並向執行長Andy Jassy彙報。</p> <p>在微軟待了19年的Panay原本負責的是Windows與Surface裝置，到了Amazon之後，也將負責Amazon的裝置暨服務業務，涵蓋Alexa、Echo、Kindle、Fire TV及Amazon Appstore等。</p> <p>原本擔任Amazon裝置暨服務資深副總裁的<a href="https://www.aboutamazon.com/news/company-news/svp-dave-limp-to-retire-from-amazon" target="_blank">Limp是在今年8月宣布退休計畫</a>，當時Amazon即表示會在幾周後發表繼任人選。</p> <p>Panay到任後將會與Limp進行交接，預計維持數個月，而Limp雖自Amazon退休，據傳實則是要去接管藍色起源（Blue Origin）的執行長一職。藍色起源為Amazon創辦人貝佐斯（Blue Origin）所創立的航太公司，現在的執行長為Bob Smith。</p> </div></div></div>
2023/9/28 11:41作者陳曉莉https://www.ithome.com.tw/news/159017
【2023資安SOC最新發展態勢】Cloud SOC發展受關注，雲地混合將成主流態勢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面對層出不窮的網路攻擊事件，建置與使用資安監控維運中心（SOC）的重要性已不言而喻，對於威脅的偵測與應變能力也在持續演進，從傳統被動處理朝向主動監控與回應，而在雲端服務的技術架構興起與普及之後，許多資安監控工具亦出現改用或搭配雲平臺的發展態勢，顯示企業資安防守範圍持續擴張，從內部網路一路延伸至公有雲服務環境，所使用的產品與服務也必須與時俱進。</p> <p>尤其是長達三年的COVID-19疫情推波助瀾，國內外企業積極推動數位轉型，而在上雲的腳步加快之餘，確保資安的要求也越來越高，然而，組態設定錯誤、未落實最小權限原則的狀況，仍屢見不鮮，導致頻頻爆出企業重要資料與民眾個資在公開網路「裸奔」的亂象，使得雲端資安監控成為企業維持日常營運的一大重點。</p> <p>這幾年以來，我們陸續看到國內外提供資安監控中心（SOC）服務的業者，紛紛標榜他們能提供Cloud SOC，並且各自有不同的設想與應對，大型雲端平臺業者也發展雲原生SIEM產品，究竟如今SOC與雲端的發展上，有那些重要變化？這次我們找了幾家臺灣SOC委外服務廠商，包括：安碁資訊、數聯資安，以及雲端大廠微軟與Google，共同探討企業上雲時代的SOC新樣貌。</p> <h2><strong>端點與網路資安技術的成熟與普及，有利於SOC主動監控防護應用</strong></h2> <p>早年大家認知的SOC，基本上是以日誌收集與稽核為主，資安監控屬於被動方式，使用的資安平臺，主要依賴防毒軟體、網路防火牆、入侵偵測／防禦系統（IDS/IPS），以及網站應用防火牆（WAF）等產品與服務。</p> <p>到了2010年代，隨著大數據處理技術成熟，加上防護技術隨著威脅態勢變化而不斷演進，許多新興的資安解決方案崛起，例如：網路威脅情資平臺、端點偵測與應變系統（EDR）、代管型偵測及應變服務（MDR）、網路偵測與應變系統（NDR），甚至於延伸式威脅偵測與應變系統（XDR），還有攻擊面管理系統（ASM），以及資安協調、自動化與回應系統（SOAR）等，這些都強調能與SOC平臺或服務進行協作與整合。</p> <p>歷經不同層面的資安威脅偵測、分析、應變技術進展之後，SOC得以分析更多面向的日誌與事件記錄，充分了解網路威脅活動之間的關聯，朝向更主動的監控防護。</p> <p>不過，SOC進化之下仍有諸多挑戰要面對，例如，隨著越來越多企業擁抱雲端服務，在這個相對不夠熟悉的環境，該如何做好資安監控，就是一大難題；再者，警示通知過多的狀況仍然存在，必須在有限的時間與人力掌握整體威脅態勢，因此，企業與廠商都希望能夠找到辦法，讓SOC運作得更有效率。</p> <h2><strong>雲端與地端環境差異大，企業重視SOC與雲原生SIEM平臺的結合</strong></h2> <p>企業針對內部環境（地端）透過自建或委外SOC進行監控，行之有年，現在要橫跨到雲端環境，與既有作法有很大區別嗎？</p> <p>單以日誌集中管理而言，基本上，不論在雲端或地端，其實都能蒐集到事件記錄，但兩種環境存在極大差異，需要注意的環節也不盡相同。而在因應雲端環境的資安監控需求，臺灣SOC服務廠商都已備妥對策，並提出具體作法。</p> <p>安碁資訊總經理吳乙南表示，傳統SOC採用的SIEM系統，對於各種系統、資安設備的日誌收集，大多需做到日誌解析或報表產製時的對照解析，面對公有雲服務商的系統功能快速更版，以及開放原始碼軟體的多樣性，若繼續維持傳統日誌解析的做法，將會對資安監控形成很大的阻礙。</p> <p>以傳統地端SOC角度來看，要時時追趕變動，會是很大的挑戰。安碁資訊結盟暨策略業務發展部處長張文棟表示，雲端服務或軟硬體系統廠商可能在某個日誌增加欄位，以呈現或表現新的資訊，讓資安監控系統或人員更好分析。但這些的變動將對SOC監控形成很大挑戰，因為一旦格式改變，SOC既有監控方式就有調整的必要，形成營運風險。</p> <p>細部來看，公有雲業者多以自行開發的系統平臺搭建SOC，大量使用開源軟體，並且能機動調整服務內容，因此，對於傳統地端SOC服務廠商而言，目前需持續提升了解與管理雲端環境的能力，否則趕不上技術層面的變化。</p> <p>不過，前幾年開始出現從雲服務原生平臺發展的SIEM產品，可以更好地因應這樣的局面。以微軟的Azure Sentinel SIEM為例，對於各種Azure原生軟體服務、資安方案與第三方資安方案，可保持其日誌整合的相容性，確保日誌解析、分析的完整性與一致性。安碁資訊認為，這是傳統SOC與其他公雲服務商目前無法完全做到的。</p> <p>因此，宏碁雲在2021年開始著手發展Cloud SOC，以微軟Azure Sentinel SIEM，以及微軟Defender for Endpoint為核心，跨足雲端，同時建立雲地監控中心混合互相回饋循環機制，並於2022年正式推出。</p> <p>他們看好雲原生SIEM平臺的使用，因為無論雲端環境的後端是如何變動，原生架構自然就能相容與支持，對他們的衝擊較小，即便是多雲環境，他們也看重微軟在此方面的整合能力，比其他家要領先，相對比較完整。</p> <h2><strong>聚焦多雲可見度整合監控，並借助MITRE Cloud Matrix設計監控情境</strong></h2> <p>另一家SOC服務業者也指出雲端SOC監控的挑戰，也發展出因應之道。</p> <p>數聯資安技術副總經理游承儒表示，過去幾年，他們發展雲端SOC監控的過程當中，發現原先設想的雲端監控場景，與現實有很大的落差。</p> <p>例如，他們原先認為能蒐集很多雲端環境的資訊，實際上，卻面臨可蒐集資訊太少的窘境。除了預設啟用的雲端服務使用日誌，多數企業只訂閱雲原生的應用程式防火牆服務，因此，蒐集目標還是只能以雲原生環境的日誌為主。但這也產生了另一問題，3大公有雲平臺本身都已有這方面的產品，數聯資安該如何進一步滿足客戶所需？</p> <p>也就是說，對於只用一朵公雲的用戶而言，可從業者的平臺獲得相應機制，因此他們開始看重多雲用戶、集中管理的需求，更深入從3大公雲原始日誌去分析，從裡面萃取出需要的資訊，再將之變成監控規則，並以雲地混合的角度作為切入。</p> <p>對於雲端與地端的落差，游承儒指出，最關鍵的原因在於，對雲端環境的認知與了解不夠深入。過去，企業對地端環境運作方式較熟悉，但對雲端認知不足，加上需考量多雲並用、混合雲因素——不只是三大公有雲，還有其他雲，這些環境的架構與設定，其實，都有最佳實踐（Best Practices）需要依循，若企業的雲端管理員未充分了解這些，就會產生很多脆弱點與打擊面。</p> <p>游承儒曾處理過不少這類狀況，具體而言，攻擊者會入侵企業地端環境，進而取得企業雲端上的Token。由於雲端服務使用的身分認證，大部分透過存取金鑰（Access Key），以及使用Token登入，因此駭客竊取後就能直接進入雲端環境發動攻擊。這就是不同於傳統地端的防護之處，也是上雲後容易發生的監控盲點。</p> <p>簡單來說，駭客針對傳統地端環境的攻擊，主要是針對漏洞的攻擊，而在雲端環境上，更常見到的攻擊手法是，駭客偷取企業組織合法的Token來入侵，進一步竊取資料與破壞。因此，面對這類的攻擊模式，相關監控場景還會包括：原本雙因素被取消，不當新增某個管理員，或是用戶登入不該登入的環境，以及異常IP位址登入等。</p> <p>以數聯資安的SOC服務發展而言，他們在2018年已經將自家監控中心底層換成Splunk，2022年開始跨入多雲監控，將三大公有雲的監控整合到既有平臺之內，也就是在同一個平臺上，就能做到不同公有雲的監控。</p> <p>特別的是，他們也提及在雲端監控的具體作法，是藉助MITRE ATT&CK框架的Cloud Matrix來對應。數聯資安數聯平臺整合部副理李茂義表示，他們在監控規則的開發，主要依循Cloud Matrix，進行情境式的比對。</p> <p>基本上，監控面向分為4大類，包括：應用程式安全、資料安全、身分識別存取管理、基礎設施安全。以身分識別與存取管理而言，借助Cloud Matrix，可以從入侵初期、持續潛伏、權限提升、憑證存取這四大階段，針對一些重要攻擊手法做比對，設計對應的監控規則。</p> <p>不僅如此，雲端服務內容與技術發展變化的速度快，他們每次在看MITRE的Cloud Matrix變動時，發現原廠可監控、分析的範圍越來越廣，越來越深入，因此他們持續關注該矩陣的內容，若有新變動，就能知道未來需要顧及的部分。</p> <p>根據兩家業者的說明，儘管在Cloud SOC的議題，有各自的應對方式，不過，他們均看重臺灣在雲地混合的發展潮流，並指出現在就已經發生，因此原本在地端的監控有延伸到雲端的必要。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89SOC%E9%80%B2%E5%8C%96_%E9%9B%B2%E5%9C%B0%E6%B7%B7%E5%90%88_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%95%B8%E8%81%AF%E8%B3%87%E5%AE%89.jpg" style="width: 600px;" /></p> <p><strong>聚焦雲地混合與多雲監控，做到即時雲地交叉關聯分析</strong><br /> 面對企業資安監控中心（SOC）的防護需求，數聯資安指出，他們設計了Level 1到Level 4的方案，讓客戶慢慢往高成熟度方向發展，以從最基本Level 1的日誌收集與監控，到大數據分析與調查，然後是自動化SOAR聯防的層次，以及Level 4雲地聯合防禦的整合性監控，做到即時雲地交叉關聯分析。（圖片來源／數聯資安）</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2NEW）SOC進化_圖片來源擷取自MITRE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962NEW%EF%BC%89SOC%E9%80%B2%E5%8C%96_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%93%B7%E5%8F%96%E8%87%AAMITRE.jpg" style="width: 600px;" /></a></p> <p><strong>MITRE ATT&CK框架Enterprise版已發展出Cloud Matrix，可協助識別雲端攻擊鏈</strong><br /> 對於SOC在多雲監控的發展，數聯資安提出具體說明，他們表示，會依據MITRE提出的Cloud Matrix來著手設計監控情境，主要聚焦於4大監控面向，分別是：應用程式安全、資料安全、身分識別存取管理、基礎設施安全，並會針對3大公有雲平臺不同的監控日誌，設計不同的監控規則。</p> <p class="rtecenter"><span style="font-size:18px;">１　<a href="https://www.ithome.com.tw/news/158987"><span style="background-color:#D3D3D3;">２</span></a>　<a href="https://www.ithome.com.tw/news/158988"><span style="background-color:#D3D3D3;">３</span></a>　<a href="https://www.ithome.com.tw/news/158989"><span style="background-color:#D3D3D3;">４</span></a>　<a href="https://www.ithome.com.tw/news/158990"><span style="background-color:#D3D3D3;">５</span></a></span></p> </div></div></div>
2023/9/28 10:53作者羅正漢https://www.ithome.com.tw/news/158986
【2023資安SOC最新發展態勢】朝向自動化，資安監控中心整合SOAR已成重要發展趨勢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本次封面故事報導中，我們不只是<a href="https://www.ithome.com.tw/news/158986">聚焦探討Cloud SOC的議題</a>，同時也關注到，近期另一個SOC平臺積極強化與推廣採用的資安防護技術－－SOAR（Security Orchestration, Automation, and Response）。事實上，前幾年SOAR的發展已受國際關注，如今這技術對SOC平臺更為關鍵，臺灣資安服務廠商也開始應用。</p> <h2><strong>不只雲原生SIEM＋SOAR整合應用出現，近兩年臺灣SOC服務業者也在採用</strong></h2> <p>SOAR之所以被看重，簡單來說，就是讓原本即時通報、判讀、進行基本調查與處置的作業，都可以變得更自動化，這也意謂增強與擴充了SOC資安監控人員的能力，並能夠專注於更重要的事情，像是針對調查報告結果作出決策，確認這個告警是否為真，如果認為是可疑活動，再決定相應的封鎖。</p> <p>前一段時間微軟亞太區首席網路安全顧問Abbas Kudrati來臺，我們與其討論如何看待Cloud SOC，他認為，對於微軟而言，「雲原生SIEM（Cloud Native SIEM）」這個稱呼，會比「Cloud SOC」一詞更貼切。</p> <p>Abbas Kudrati指出，持續移向雲端是微軟的重要策略，他在2018年便開始推動雲原生SEIM平臺的打造，該產品在2019年正式推出，也就是Azure Sentinel，特別的是，當時他們就已經將SOAR包含在內，也就是說，這是SIEM與SOAR功能整合的平臺。</p> <p>他認為，雲原生SIEM的好處在於，很大程度減少了硬體的費用，尤其是維護與維運方面，能夠彈性擴展，也內建使用者行為分析（UEBA）解決方案，不用個別添購。而且，微軟內部也使用Azure Sentinel監控自身資安狀態。</p> <p>另一家主要公雲業者Google，也提供雲端資安監控的服務，他們旗下的Chronicle SIEM，最早可以追朔到2019年。Google Cloud客戶解決方案架構師鄭家明表示，早期其實這是Google內部在使用的工具，後來將之轉為對外供應的產品。</p> <p>特別的是，關於Cloud SOC，所有提供的服務都在雲端的Google，並不需要處處強調雲端資安，而是較常以SecOps一詞來探討這方面的應用，像是他們的Chronicle Security Operations解決方案，就是聚焦在資安維運的面向。</p> <p>鄭家明指出，現代化安全維運模式該有的樣貌，以Google目前發展而言，涵蓋三大重點，包括Chronicle SIEM、Chronicle SOAR，以及GCP旗下VirusTotal與Mandiant的情資，還將與Mandiant的攻擊面管理（ASM）整合。其中，結合威脅情資較早獲得重視，Chronicle SOAR則是最新進展，是2022年併購以色列資安新創Siemplify產品轉化而成，並運用Google的資源加以強化，並與Chronicle SIEM的方案整合。</p> <p>在國內，對於SOAR的採用態勢也日益明朗，最近兩年已開始獲得越來越多SOC業者的採用。</p> <p>例如，安碁資訊總經理吳乙南表示，現在整個安碁資訊的SOC服務，已經演進到Intelligent SOC的階段。從資安治理角度來看，SOC是必要的組織，監管整體狀態與即時威脅，如今SOAR機制的整合，更是現代SOC非常強調的重點。</p> <p>事實上，為了提升事件自動化即時回應能力，安碁資訊在2021年與Palo Alto Networks簽訂MSSP服務協議，將自家SOC服務整合這家資安廠商的XSOAR，例如，提供威脅情資比對與部署至資安設備的自動化腳本，異常連線情資比對與立即阻斷自動化腳本，長期日誌清查自動化腳本等，並陸續導入政府、交通、能源、金融等領域大型客戶。在2022年，安碁資訊又推出基於微軟Azure Sentinel的Cloud SOC方案，因此，也具備SOAR的能力。</p> <p>同樣地，數聯資安技術副總經理游承儒指出，他們已經完成這方面的導入，採用Palo Alto Networks的SOAR產品，並在今年整合於自家SOC服務之內，達成自動化的目標。</p> <p>對於SOAR的應用，游承儒強調，運用這類產品還需要內化，需要相當程度大的整合，程序流程也都要自己開發，否則發揮不了SOAR的實力，因此，他們花了將近一年的時間做這件事，就是要更深入去應用SOAR。</p> <p>而其具體成效也很顯著，游承儒指出，SOAR可節省資安人員耗費於繁瑣的調查與關聯作業時間，例如，傳統人力調查可能要花30分鐘，現在有SOAR來提供幫助，資安人員處理就只要3分鐘。這在資安人力欠缺的現實環境下，可減輕這方面的問題。</p> <h2><strong>SOAR的價值極大，如何將應用深化與提升智慧是關鍵</strong></h2> <p>關於SOAR帶來的幫助，數聯資安游承儒對這方面有更深刻的說明。</p> <p>過去沒有SOAR的情形下，面對傳統告警（Alert）或是異常事件（Event），處理流程就是資安人要去監控、調查與分析，再來判斷這個警示是否為真，如果認為是可疑活動，再決定相對應的封鎖；相對地，在結合SOAR自動化元素的情形下，當警示出現，等於有機器人自動幫你執行調查，像是根據帳戶、IP位址、攻擊行為軌跡等給出調查報告，如此一來，資安人員只要根據這份調查報告訂出最後決策，確定是否為真實的安全事件，若有因應這些事故的需要，就可以按下按鈕讓資安設備進行封鎖，如果遭遇到高風險的事件，也可以將決策交給機器人快速因應。</p> <p>再者，以前靠人調查，可能有人員偷懶問題，現在變成一個自動化的流程，其實對服務品質的提升也有幫助，這是過去大家較少討論到的一點。</p> <p>特別的是，數聯資安也給出這方面的經驗。基本上，這類SOAR產品本身雖然提供了協調、自動化與應變上的功能機制，但當中的程序流程，都要自己開發，這也是SOC服務的重要價值所在。</p> <p>如果是企業自建導入這類產品，他們認為，國外產品的設計思維，對於很多流程的處理比較扁平，而國內場景尤其是公家機關，很多調查人員不見得有決策權，因此，流程設計或調查的思維會比較不同。此外，即便原廠提供設計好的流程，也很難拿來直接套用，如果客戶要進一步發揮SOAR的特色，通常自己可能也要有開發能力，或是找SOC服務業者協助。</p> <p>整體而言，他認為，國外在新解決方案的應用，本來就比國內快2到3年，像是SOAR這類資安技術，國外可能在3、4年前已經崛起，而國內應用SOAR也需要一些內化的時間，以符合在地需求。</p> <p>對於SOAR的幫助，Google鄭家明也用了一個生動的例子來形容。他說，就像醫生診斷病情時，可能會讓你先抽血再來會診，看你的抽血報告來判斷，而這樣的前置動作，也就是SOAR在做的事情：可先自動準備事件所需資料，再由資安人員來判斷，若是認為事件嚴重，可以按鈕讓EDR設備去阻斷。</p> <p>當然，你也可以完全自動去進行，但這會有信心的問題，一開始你可能不會這麼做。這方面的演進，有如自動駕駛的發展，初期會從一開始的Level 1，持續朝向最高階的Level 5發展。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖）SOAR的重要性＿圖片來源微軟.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89SOAR%E7%9A%84%E9%87%8D%E8%A6%81%E6%80%A7%EF%BC%BF%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 600px;" /></a></p> <p>這幾年微軟在談現代化安全維運時，強調XDR、SIEM與SOAR的整合，其中協調並自動化威脅回應的SOAR已是一大關鍵。（圖片來源／微軟）</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖12）Google SecOps_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%9612%EF%BC%89Google%20SecOps_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>對於現代化安全維運模式該有的樣貌，Google近年強調威脅情資、SIEM與SOAR整合運作方式，其中SOAR是他們在2022年併購Siemplify所整合納入。<strong><span style="color: rgb(105, 105, 105);">（圖片來源／Google）</span></strong></p> <p> </p> <p class="rtecenter"><a href="https://www.ithome.com.tw/news/158986"><span style="font-size: 18px; text-align: center;"><span style="background-color:#D3D3D3;">１</span></span></a><span style="font-size: 18px; text-align: center;">　2</span><span style="font-size: 18px; text-align: center;">　</span><a href="https://www.ithome.com.tw/news/158988" style="font-size: 18px; text-align: center;"><span style="background-color: rgb(211, 211, 211);">３</span></a><span style="font-size: 18px; text-align: center;">　</span><a href="https://www.ithome.com.tw/news/158989" style="font-size: 18px; text-align: center;"><span style="background-color: rgb(211, 211, 211);">４</span></a><span style="font-size: 18px; text-align: center;">　</span><a href="https://www.ithome.com.tw/news/158990" style="font-size: 18px; text-align: center;"><span style="background-color: rgb(211, 211, 211);">５</span></a></p> <p> </p> </div></div></div>
2023/9/28 10:54作者羅正漢https://www.ithome.com.tw/news/158987
【提升資安SOC能力關鍵】聚焦新資安設備普及、自動化SOAR及AI成熟度發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著網路威脅推陳出新，既有的監控機制也與時俱進。對於未來資安監控中心的發展，在這次封面故事中，我們找了幾家臺灣SOC委外服務廠商，包括：安碁資訊、數聯資安，以及雲端大廠微軟與Google，共同探討<a href="https://www.ithome.com.tw/news/158986">近期SOC在雲端監控的態勢</a>，以及<a href="https://www.ithome.com.tw/news/158987">SOAR的應用發展潮流</a>。</p> <p>在2023年，隨著企業上雲比率增加的現況，以及SOC資安監控中心平臺採用的持續擴張，加上資安產品及技術也持續不斷在進步，這次我們從這幾家業者觀察到3個重點態勢。</p> <p>首先，不僅是威脅情資帶來更多幫助，現在EDR、NDR、XDR日誌的「含金量」，比早期資安設備來得高，有了這三者應該就能涵蓋監控全貌，讓警示的可信度提升，對於即時資安威脅監控有很大的幫助。</p> <p>要注意的是，雖然EDR經過多年的市場推動，企業組織接受度越來越高，但像是NDR這類解決方案相對偏貴，若能普及將會帶來很大的幫助。</p> <p>其次，在上述Cloud SOC的探討中，我們可以看到兩個面向的發展，一種是SOC for Cloud，尤其是最近兩年，臺灣有越來越高比例的企業上雲，對於SOC團隊而言，在個別的雲端環境或橫跨多雲的環境，要監控哪些對象與活動將是關鍵；一種是Cloud on SOC，特別是雲原生SIEM產品的出現。再加上，現在大家普遍看中雲地混合的應用態勢，因此資安監控也正朝此方面邁進。</p> <p>此外，目前已出現針對雲端環境的威脅偵測與應變方案（Cloud Detection and Response，CDR），從近年雲端安全相關的產品與服務來看，也出現多種類型防護與管理工具，例如，雲端原生應用程式防護平臺（Cloud Native Application Protection Platform，CNAPP），雲端安全態勢管理（Cloud Security Posture Management，CSPM），以及雲端工作負載保護平臺（Cloud Workload Protection Platform，CWPP）。</p> <p>之所有會有發展出這麼多生態系，也突顯大家對於雲端環境的重視，促使雲端相關安全監控、合規檢視、威脅偵測的持續發展。</p> <p>第三，在SOAR的技術發展上，也要注意應用成熟度，畢竟，如果只是簡單的自動規則設定，過去其實就能做到，如何深化應用更會是重點。整體而言，SOAR對於自動化發展仍有其代表性意義，例如，可以讓大家更認真面對資安自動化、更有意識地進行資安自動化。</p> <p>同時，SOAR在AI的幫助下，也將幫助解決告警疲勞、避免攻擊雜訊干擾，以及因應人力不足的問題，簡化了搜尋、複雜資料分析，以及威脅偵測，像是一但發生異常事件，AI可以幫助自動總結、分類與產出，像是總結威脅情資的資訊，辨識惡意程式以分類，以及根據監控規則的特殊語法產生SOAR腳本等。</p> <h2><strong>美國MITRE組織提出打造先進SOC的11大策略，溝通的重要性</strong></h2> <p>在SOC發展上，我們注意到資安機構MITRE去年3月底發布一份重要文件，名為《<a href="https://www.mitre.org/sites/default/files/2022-04/11-strategies-of-a-world-class-cybersecurity-operations-center.pdf">世界一流網路安全維運中心的11個策略</a>》（11 Strategies of a World-Class Cybersecurity Operations Center），可供企業參考，為了幫助大家了解，我們也特別詢問Google，請他們分析當中的重點。</p> <p>Google Cloud客戶解決方案架構師鄭家明指出，第5章的關鍵在於事件處理應對的優先順序，第6章談到威脅情資，再到第8章的流程管理、第9章的溝通，以及第10章的效能，都跟這次我們與幾家廠商談到的內容相互對應。</p> <p>舉例來說，第6章以網路威脅情資揭示對手的行動，也就是朝向主動式監控；第8章關於利用工具來幫助分析師的工作流程，也就是從手動方式進步到自動化SOAR，且Playbook自動化腳本的概念也受看重；第10章談到SOC效能評估，就是要做到持續精進。鄭家明希望大家想想看，每年阻擋的攻擊活動多，就代表有效嗎？還是要看流程做了多少自動化，在可視性方面，增加多少種Log類型？讓整體資安狀態的能見度變高。</p> <p>特別的是，關於第9章的溝通，也相當重要，但比較少被突顯。例如，當資安團隊獲得威脅情資，不只是資安團隊需要這些資訊，像是漏洞等資訊，應該也要與軟體開發團隊溝通，與維運團隊溝通，讓他們也能夠注意，而且溝通是相互的，像是其他團隊可能正導入K8S，那監控團隊也要去瞭解容器的威脅，瞭解監控的目標。</p> <p class="rtecenter"><a href="https://www.ithome.com.tw/news/158986" style="text-align: center;"><span style="font-size: 18px;"><span style="background-color: rgb(211, 211, 211);">１</span></span></a><span style="text-align: center; font-size: 18px;">　</span><a href="https://www.ithome.com.tw/news/158987" style="text-align: center;"><span style="font-size: 18px;"><span style="background-color: rgb(211, 211, 211);">２</span></span></a><span style="text-align: center; font-size: 18px;">　３</span><span style="text-align: center; font-size: 18px;">　</span><a href="https://www.ithome.com.tw/news/158989" style="text-align: center; font-size: 18px;"><span style="background-color: rgb(211, 211, 211);">４</span></a><span style="text-align: center; font-size: 18px;">　</span><a href="https://www.ithome.com.tw/news/158990" style="text-align: center; font-size: 18px;"><span style="background-color: rgb(211, 211, 211);">５</span></a></p> </div></div></div>
2023/9/28 10:55作者羅正漢https://www.ithome.com.tw/news/158988
重新認識SOC！資安監控中心的三大階段進化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安監控中心（Security Operation Center, SOC）的發展持續相當多年，有那些重要演進階段？我們找到一份呈現資安監控中心發展階段的報告，當中有張圖表特別展現了近代SOC的演進。臺灣有不少SOC業者的公開演講中，也經常使用這張圖表來說明。</p> <p>此份相當具有參考價值的SOC發展報告，作者是Infosys副總裁兼網路安全技術與營運主管Lakshmi Narayanan Kaliyaperumal，在2021年10月，於ISACA國際電腦稽核期刊發表。根據Lakshmi的說明，我們可看出SOC的重要演進如下：</p> <p><span style="color:#0099ff;"><strong>第一階段演進：反應式監控</strong></span></p> <p>在2000年以前，早期SOC的主要職責是處理病毒警報、偵測入侵與回應事件，主要是政府與國防單位實施，到了2000年後，大型企業與銀行開始實施類似的監控作業。從單純具監控能力，進一步做出事件回應。</p> <p><span style="color:#0099ff;"><strong>第二階段演進：主動式監控</strong></span></p> <p>在2007年到2013年間，面對APT進階持續性威脅增長，對安全監控至關重要的安全解決方案開始出現，包括：安全資訊事件管理系統（SIEM），以及資料外洩防護（DLP）等。</p> <p>此時的SOC聚焦於匯整日誌監控、合規性合規與惡意程式分析。同時，安全委外營運服務供應商（MSSP）崛起，也隨安全維運的需求增加，而獲得發展。</p> <p>在2013年到2015年間，更多幫助主動式監控的安全解決方案興起，包括：使用者內部存取行為分析（UEBA）、威脅情資威脅情報平臺，也成為SOC重要組成，而在雲端趨勢的潮流下，也隨雲端安全代理（CASB）、BYOD等議題而擴展。此時，Hybrid SOC的發展也受看重。</p> <p><span style="color:#0099ff;"><strong>第三階段演進：具自動化的主動式監控</strong></span></p> <p>近年的技術發展來看，不論是大數據、EDR、NDR技術更趨成熟，如今XDR方案的發展亦受到看重。</p> <p>雲端安全的發展也更蓬勃，包括雲端原生SIEM的出現，以及雲端安全狀態管理（CSPM）、雲端工作負載防護平臺（CWPP）等，這也促使基於雲端的偵測與回應，以及基於雲端的威脅獵捕。</p> <p>更重要的是，還有自動化技術的演進，不論是資安協調、自動化與回應（SOAR）方案的發展，以及自動化腳本（Playbook）等概念，甚至各類偵測與回應方案的發展，都隱含這樣的概念。</p> <p>總和來說，過去的SOC無法跟上當今先進的網路攻擊者的步伐，有兩次重要演進。首先，就是從反應式的監控，邁向主動式的監控，其次，就是從主動式的監控，朝向自動化程度更高的主動式監控。</p> <p>而在各式偵測與回應技術的自動化能力進步之下，將有助於提高SOC的效率，減輕警示（Alert）超載的壓力，並使事件更容易及早調查與解決。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88BOX%E4%B8%BB%E5%9C%96%EF%BC%89SOC%E7%9A%84%E6%BC%94%E9%80%B2_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Lakshmi%20Narayanan%20Kaliyaperumal.jpg" style="width: 600px;" /></p> <p class="rtecenter"><a href="https://www.ithome.com.tw/news/158986" style="text-align: center;"><span style="font-size: 18px;"><span style="background-color: rgb(211, 211, 211);">１</span></span></a><span style="text-align: center; font-size: 18px;">　</span><a href="https://www.ithome.com.tw/news/158987" style="text-align: center;"><span style="font-size: 18px;"><span style="background-color: rgb(211, 211, 211);">２</span></span></a><span style="text-align: center; font-size: 18px;">　<a href="https://www.ithome.com.tw/news/158988"><span style="background-color:#D3D3D3;">３</span></a></span><span style="text-align: center; font-size: 18px;">　４</span><span style="text-align: center; font-size: 18px;">　</span><a href="https://www.ithome.com.tw/news/158990" style="text-align: center; font-size: 18px;"><span style="background-color: rgb(211, 211, 211);">５</span></a></p> </div></div></div>
2023/9/28 10:56作者羅正漢https://www.ithome.com.tw/news/158989
【2023資安SOC臺灣需求現況】法遵壓力增大，驅動企業強化資安
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面對駭客從入侵開始到發動攻擊，間隔時間越來越短的態勢，防護網路威脅面臨日益嚴峻的挑戰，因為人力、流程、技術都必須持續強化，才有辦法因應，而且，需要更專業的內部或外部資安團隊統籌事宜，在這樣的框架下，若能設置與維運資安監控中心（SOC），可幫助資安事件的因應，將是企業能做到長期預防，以及早期發現威脅與妥善進行應變的關鍵。</p> <p>事實上，政府最近對於產業資安的要求，也逐步提高。例如，金管會在2020年推動金融資安行動方案1.0時，就鼓勵金融機構建置資安監控機制（SOC）。希望原本已受到高度監管的金融產業，能進一步強化異常行為偵測告警的即時性與有效性，走向更主動防禦。</p> <p>在2021年底，臺灣證券交易所也發布上市上櫃公司資通安全管控指引，指出須具備7項資安防護控制措施，資通安全威脅偵測管理機制（SOC）就是其一。</p> <p>在此態勢之下，國內企業對於落實與強化資安的態度，也日益積極。</p> <h2><strong>有意發展SOC或Cloud SOC的比例大增，以金融業與製造業較多</strong></h2> <p>對於SOC採用意願，身為指標型SOC服務業者的安碁資訊與數聯資安指出，SOC的需求確實已從早年政府機關、金融領域，延續到上市櫃公司，而且雲端資安監控議題也確實受到更多關注。</p> <p>數聯資安技術副總經理游承儒表示，最近兩年，他們看到有不少上市櫃公司積極上雲，加上政策對於SOC的要求，他們認為需求成長算是比往年快。</p> <p>與企業談到SOC時，過去大家反應並不熱烈，有意願了解的公司很少，今年則有公司主動洽詢，有很大差別。像2016年EDR這樣的資安解決方案開始在臺灣推行，當時廠商可能要一家家公司去拜訪介紹，但現在EDR已經漸漸變成是企業資安標準配備。</p> <p>根據他們的觀察，除了政府、金融業，其實處於市場頂尖位置的製造業也早就有所規畫，現在二線製造業詢問與概念驗證（POC）的需求增加，他們明顯感受到這一波需求來得相當急。</p> <p>同時，現在上雲的比例增加，對於Cloud SOC的需求也是會提升。明年很可能就有爆炸型的提升。就上雲情形來看，國內百貨業也積極上雲，但他們對於雲端資安防護的概念還較少；製造業也在上雲，只是應用多半是用作備援、用戶驗收測試環境（UAT），比較沒有應用在業務面，目前可能有點保守。</p> <p>他們認為，雲端環境遍布全球，有些製造業在不同區域都有設點，未來資安SOC監控視角能從臺灣拉高到全世界。</p> <p>特別的是，數聯資安以4個成熟度階段，來幫助企業對於SOC能有簡單快速的認知。以Level 1而言，就是日誌收集與監控，Level 2是大數據分析與調查，Level 3進入自動化SOAR聯防的層次，Level 4是雲地聯合防禦的整合性監控。</p> <p>安碁資訊總經理吳乙南表示，從市場面來看，SOC需求及Cloud SOC的詢問度越來越高，主要是法規要求帶動。除政府、金融業，去年他們觀察到不少製造業，加上近年金管會推動上市櫃公司要有資安，今年第二季出現需求爆發。</p> <p>這就像智慧製造一樣，要有能見度（透明度），資安監控也是如此。再從管理與永續經營的角度來講，資安層面資訊也要透通到管理階層，如今資安監控慢慢變成是剛性需求，畢竟臺灣製造業機敏資料，不是偶發事件，是持續發生的威脅，企業就會關注。</p> <p>另一個重點在於，在四五年前，國外開始關注入侵及攻擊模擬演練（Breach and Attack Simulation，BAS）的概念，像是當時我們曾介紹MITRE開源自動化攻擊模擬工具CALDERA，如今BAS這項資安應用也受到重視。兩家業者提到，金管會在2022年發布的金融資安行動方案2.0中，鼓勵已建置SOC並達一定規模的金融機構，引入攻擊方思維，除了DDoS攻防演練、紅藍隊演練，也藉由入侵與攻擊模擬BAS，來檢驗資安監控及防禦部署的有效性，也就是驗證資安設備是否買對，人員訓練是否紮實。</p> <h2><strong>SOC發展已久，仍有很多企業組織不夠了解，需建立整體認知</strong></h2> <p>在SOC、Cloud SOC需求增加之下，我們也發現一些值得關注的議題。</p> <p>例如，他們遇到只有防毒與防火牆的傳統企業，現在已經開始上雲，詢問他們該如何做SOC。此外，在政策帶動之下，有些公司會用最小成本完成合規。</p> <p>數聯資安技術副總經理游承儒表示，儘管SOC發展多年，不過還是有企業對SOC完全沒概念，主要是為了符合政府法令要求才開始做。</p> <p>這種情況對資安服務業者而言，也會形成很大的挑戰，因為SOC平臺的建置與維運面臨更大的壓力，必須設法做出效益。基本上，SOC仰賴多樣化資訊來源的日誌收集，因此，資安服務業者等於也要幫這些企業設想其成熟度，先讓他們認識資安態勢，再提升SOC成熟度。因此，他認為，再過幾年這些企業的思維才會有更顯著的改變。</p> <p>不過，他們今年也有很深的感觸，因為有很多之前完全不做資安的客戶，都開始有動作，這也意味著越來越多企業重視這件事，另外，也碰到很多是供應鏈要求的廠商要積極推動資安，卻以為只需要幾十萬元的費用就能全部搞定，這同樣是價值認知的落差。</p> <p>安碁資訊總經理吳乙南表示，應付法規要求的可能性絕對存在，不過他們認為還是可用正面角度看待，因為以前他們在業務推廣所接觸的對象，多半不是企業高層，然而，現在至少是上升到企業管理層來談這些事。只是，就實務來看，企業可能對於資安防護具體該做到多大規模、要花多少錢，還沒有概念，這方面政府與金融的認知比較成熟，製造業普遍多半只意識到本身有需求，但整體維運預算編列，還沒有進入常規。</p> <p>雲端成本的因素也要注意，會對資安部署產生影響。有些製造業在ESG的布局，已經看到採用雲端服務的優勢，例如不像地端環境有管理維運的成本。因此，曾經有企業想在全球大規模部署，但後來發現若全部用雲端服務來做，可能負擔不起，因此最終考量雲地混合方式，另一方面是在資安監控上，很多系統需要調校、規則需要建立，才能讓監控更精準，因此先縮小上雲部署範圍。</p> <p>此外，兩家業者均認為，選擇SOC服務的比例將會增加，最主要原因在於人力資源的挑戰。早期大型企業組織自建SOC，但現在養人、留才並不容易，大家都在搶人已是現況，由於SOC維運需要7x24小時運轉，要有領域知識與經驗，要有人的專業能力，還包括流程規畫、情資等各方面的整合。</p> <p>同時，還要顧及雲端監控的層面。他們曾試過找懂雲端的人才來承擔工作，但這些人不懂資安，最後還是透過懂資安的人去學雲端服務的技術，才達到他們的要求，而且相關人員不只需要熟悉一朵雲的技術，還要懂不同的雲。</p> <p>因此他們認為，大部分客戶會走向委外。也有一種模式，就是客戶自建，再由他們來代管，這樣的差異在於，可以設計更貼近企業自身場景的監控規則。</p> <h2><strong>政府採購有變革，產業看到希望</strong></h2> <p>隨著SOC服務廠商投入的研發與精力越來越多，在臺灣市場還面臨持續影響資通訊產業生態的議題：公部門採購。</p> <p>過去政府共同供應契約的SOC服務採購中，招標機關經常會採最低價決標，這使多年來，廠商面臨與時俱進服務需要往上，收費卻持續往下的情況。</p> <p>所幸，去年軟體採購辦公室已將這方面改成複數決標，可以提供不同價格，對於SOC服務業者而言，意味著服務價格不再受打壓，至少看到這個市場有了轉機。只是，廠商還是會面臨「議約不議價」的問題，也就是「預算不變，增加服務內容」，還好<a href="https://www.ithome.com.tw/article/158898">今年政府資訊採購將有新變革</a>，可望扭轉此一問題的發生。</p> <p>現階段，這些SOC服務業者認為，恢復合理的收費還要再一段時間，主因是客戶編列預算會參照過去經驗，價格不容易一次就大幅調動。</p> <p>我們認為，這樣的改變對產業發展是好事，畢竟，面對資安威脅需要雙方共同應對，採購者對產品與服務的價值要有共識，共同維持產業健全，用戶不能一味壓低成本，使得廠商利潤受到不當壓縮，才能帶動更多人進入這個產業，促成良性發展。</p> <p class="rtecenter"><a href="https://www.ithome.com.tw/news/158986" style="text-align: center;"><span style="font-size: 18px;"><span style="background-color: rgb(211, 211, 211);">１</span></span></a><span style="text-align: center; font-size: 18px;">　</span><a href="https://www.ithome.com.tw/news/158987" style="text-align: center;"><span style="font-size: 18px;"><span style="background-color: rgb(211, 211, 211);">２</span></span></a><span style="text-align: center; font-size: 18px;">　<a href="https://www.ithome.com.tw/news/158988"><span style="background-color: rgb(211, 211, 211);">３</span></a></span><span style="text-align: center; font-size: 18px;">　<a href="https://www.ithome.com.tw/news/158989"><span style="background-color:#D3D3D3;">４</span></a></span><span style="text-align: center; font-size: 18px;">　５</span></p> </div></div></div>
2023/9/28 10:58作者羅正漢https://www.ithome.com.tw/news/158990
迎接Cloud SOC新浪潮
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1149-feng_mian_p1-open-zheng_han_-960x420_kao_bei_0.jpg?itok=XAiCY5ZO" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在企業上雲的大勢之下，強化雲端服務資安與善用雲端服務做好資安已同時成為重要議題，使得Cloud SOC概念開始崛起，加上我國政府提出上市櫃公司強化資安指引，SOC角色更顯重要，帶來臺灣資訊安全服務轉型新契機。</p> </div></div></div>
2023/9/28 10:59作者羅正漢https://www.ithome.com.tw/article/159015
NTT DOCOMO與Nvidia合作以GPU加速5G網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電信公司NTT DOCOMO宣布在日本部署GPU加速的無線網路解決方案，該公司5G Open RAN解決方案<a href="https://www.docomo.ne.jp/english/info/media_center/pr/2023/0927_00.html">OREX</a>使用了Nvidia Aerial vRAN堆疊和<a href="https://developer.nvidia.com/blog/enabling-the-worlds-first-gpu-accelerated-5g-open-ran-for-ntt-docomo-with-nvidia-aerial/">Nvidia</a>融合加速器，建構高效能5G虛擬無線接取網路（vRAN），這使得NTT DOCOMO能夠實現一個完全由軟體和雲端定義的網路，並能夠根據需求，使用產業標準設備動態分配資源。</p> <p>與現有5G網路部署相比，DOCOMO表示，OREX將可降低客戶的總擁有成本達30％，並且減少網路設計所需時間50％，同時減少基地臺50％的電力消耗。</p> <p>根據2023年7月的資料，DOCOMO的2萬多個基地臺覆蓋5G用戶達2,200萬，範圍涵蓋全球815個城市。該電信公司使用了來自4個供應商的29種無線電單元（Radio Unit，RU），還有3個供應商的中央單元（Centralized Unit），而透過引入vRAN，DOCOMO則能夠進一步擴大5G網路容量和覆蓋範圍。</p> <p>由於vRAN中Open RAN的概念，允許營運商自由選擇不同供應商的元件，進而促進網路多樣性和規模化，但這也使Open RAN存在互通性、效能和複雜性等問題。DOCOMO推出自家5G Open RAN品牌OREX，來解決Open RAN所面臨的挑戰，OREX由富士通、Nvidia和Wind River共同合作開發，搭配使用富士通和Wind River產品，並採用Nvidia Aerial平臺降低成本和功耗。</p> <p>OREX使用的重要元件包含Nvidia融合加速器，其具有資料處理單元（DPU）以及GPU，在通訊協定最底層物理層L1提供硬體加速，以處理龐大的資料，而這使得OREX成為第一個以商業部署的DPU和GPU加速的5G Open RAN解決方案。</p> <p>在DOCOMO的5G Open RAN解決方案中，GPU可以直接處理前端eCPRI（Enhanced Common Public Radio Interface）資料流量，而不需要經過CPU，如此減少了資料在伺服器和硬體加速器間往返的時間，進而提高整體效能。</p> <p>而且當資料進入GPU中，由於GPU架構具有大量的核心，能以大規模平行化處理5G龐大的資料量，最佳化基地臺系統的處理能力，能夠改進無線電單元的能力，提供高品質通訊環境，並能夠應對大量資料處理需求，同時也是應未來天線技術的進步。</p> </div></div></div>
2023/9/28 08:38作者李建興https://www.ithome.com.tw/news/159011
CISA發布新硬體物料清單框架，強化硬體採購風險管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>CISA（Cybersecurity and Infrastructure Security Agency）<a href="https://www.cisa.gov/news-events/news/cisa-releases-hardware-bill-materials-framework-hbom-supply-chain-risk-management-scrm">發布</a>了新的<a href="https://www.cisa.gov/sites/default/files/2023-09/A%20Hardware%20Bill%20of%20Materials%20Framework%20for%20Supply%20Chain%20Risk%20Management%20%28508%29.pdf">硬體物料清單框架（Hardware Bill of Materials Framework，HBOM）</a>，這個框架是由公私部門專家所組成的資訊和通訊技術供應鏈風險管理工作組（ICT SCRM Task Force）所開發。</p> <p>該框架的主要目的，是要提供一個一致可遵循的規範，讓買方和賣方可以針對硬體元件進行溝通，進而有效評估並減少供應鏈中存在的資安風險。</p> <p>HBOM透過標準化命名方法、詳盡的元件資訊和明確指引，可協助降低採購硬體所面臨的安全風險。框架的重要部分包括使用情境分類、HBOM格式和資料欄位分類。使用情境描述一系列情境和範例，告訴買方應該在何種情況或是特定風險背景，需要使用到HBOM。</p> <p>而HBOM格式則是規範框架的一致性，使其易於產生和使用，而資料欄位分類，則列出包含在HBOM中的各種元件與輸入屬性，說明要製作或是查看HBOM時需要注意的資料。整體來說，這個框架可被用於評估供應鏈風險，協助組織更好地管理供應鏈中的風險。</p> </div></div></div>
2023/9/28 08:41作者李建興https://www.ithome.com.tw/news/159012
零售轉型OMO的關鍵，數據成為企業核心競爭力
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「現在的電商，已不只是商品銷售，更演進到需要提供整套消費體驗。」Etsy前任數據長謝居呈強調。他在Etsy擔任數據長3年多，對零售業這幾年變革的發展，格外有感。</p> <p>疫情3年，大大衝擊了零售業的樣貌，讓OMO浪潮延燒到全球大大小小的零售業者，美國流量第4大電商Etsy也不例外，不只國外零售業拼命布局OMO和數位通路，臺灣也是如此。</p> <p>2021年進入3級疫情後，臺灣過去以實體店面為主的企業，紛紛加速轉型為線上線下融合（OMO）服務型態。這在零售業格外明顯，許多實體品牌開設了直營電商，各大超商、超市相繼進軍外送平臺，從小型賣場到大型百貨都力推會員App和數位支付功能，大量通訊軟體零售業官方帳號如雨後春筍般出現。數位通路已然成為零售業兵家必爭之地，營運模式更不斷高速發展。</p> <p>謝居呈不只領導Etsy的上雲和AI數位轉型，過去17年來，他先後在樂天、eBay、Amazon等零售巨頭擔任過技術和管理職，長年在第一線觀察電子商務演變，以及伴隨而來的技術沿革。</p> <p>近年零售業最重要的技術趨勢是數據相關技術，尤其是高速發展的AI。謝居呈指出：「一旦零售業成為OMO型態，數據就變成一項核心競爭力。」在OMO零售時代，企業遲早都要擁抱數據技術，「差別只是你是想要跑在前面讓人追，還是你要跑在後面去追人。」他直言。</p> <p><span style="font-size:28px;"><strong>OMO零售型態下的重大業務改變</strong></span></p> <p>早期電商多半只是提供網路型錄和線上付款管道，謝居呈指出，現今電商營運則需顧及更多面向，才能提供完整消費者體驗。例如，提供強大的商品搜尋和檢索功能、可信的商家商品評價、個人化會員優惠、精準商品推薦等。</p> <p>廣告業務是零售業更大的營運變革。許多零售業者開始利用通路流量優勢，經營起零售媒體聯播網（RMN），對自家消費者推送廣告。謝居呈指出，零售業者開始經營RMN後，營運模式便從貨物買賣通路，走向系統化媒合商品與消費者的平臺。「廣告業務已經成為很多零售業者的重要營利來源，例如Amazon。」他說。</p> <p>Amazon去年廣告營收高達377億美元，雖然只占總營收7%，但根據波士頓諮詢公司（BCG）調查，RMN毛利率高達70%至90%。按此數字計算，去年Amazon廣告業務盈利能力已經超過以往最賺錢的雲端服務業務。</p> <p>OMO營運模式不斷演進，使零售業面臨巨大的業務和營收結構變革。謝居呈說，為了支援這些變革，零售業也迎來了新一波技術需求。</p> <p><span style="font-size:28px;"><strong>零售新型態催生下一波重要的技術需求</strong></span></p> <p>多年前，零售業就曾經因營業型態轉變而產生重要技術需求。謝居呈解釋，上一波重要技術需求來自零售業發展數位通路初期，需要建置並維運前端電商網頁和電商App，以及管理後端地端機房。這也是零售業開始設置技術長一職的由來。</p> <p>現在，隨著OMO零售業務型態演變，傳統維運數位通路的技術已經不足以支援電商業務所需。如何讓消費者更容易找到適合商品？如何於線上線下不同通路提供更豐富、更一致的購物體驗？推播廣告時如何維持購物體驗和行銷成效平衡？如何控管詐騙、假冒商品等風險？這些都是OMO模式下，零售業新面臨到重要且不可迴避的課題。</p> <p>這讓零售業面臨了新一波技術需求，也就是驅動各式OMO零售功能和決策的數據和數據科技，以及可以彈性支援多元業務發展及數據處理的雲端基礎架構。「零售業線上營運比重越高，這些業務和技術需求便越發迫切，對企業營收影響也越大。」謝居呈說。</p> <p><span style="font-size:28px;"><strong>企業如何用AI技術來應對OMO業務需求</strong></span></p> <p>謝居呈認為，數據科技領域中，又以AI/ML技術發展快速、用途廣泛，「是零售業不可忽視的技術趨勢。」AI在零售業有不少應用，可以用來降低成本、提升收益。</p> <p>他以近期爆紅的生成式AI舉例，企業可以用於搜尋引擎最佳化（SEO），根據熱門關鍵字快速生成文章，提升自家網頁能見度。此外，還能生成消費者個人化文案，或商品描述、分類和屬性標籤等資料。</p> <p>生成式AI還可以用於客服訓練和輔助，AI可以歸納高滿意度客服人員的應對內容，整理成教材用於客服訓練。甚至，AI還能在客服人員通訊當下，即時提醒用詞，同時撈取出消費者購物記錄、偏好和其他相關資訊作為應對進退參考，快速提升整體客服水準。</p> <p>不只能優化前端服務，生成式AI還能輔助後端決策。企業可以輸入巨量數據，要求AI分析完後生成數據歸納和策略建議。例如，可以用生成式AI分析大量消費者評論，從中歸納出營運改善方針。「透過AI快速、低成本分析大量數據，能協助零售業者快速應對市場變化。」他說。</p> <p>謝居呈表示，不論是內容產出、客服培訓、巨量數據分析，傳統做法都非常耗時耗力。有了AI輔助，許多工作費時能從數日降到僅僅數秒，因此，熟練地運用AI技術，是零售業重要競爭力。</p> <p>數據是AI基石，發展AI之前，企業首先需要有效的數據管理、整合和監控機制。企業也開始擁抱數據中臺、CDP等技術，來提升數據管理成熟度。不過，謝居呈警告，企業採購新系統後，常會發現不僅沒增加營收，反而徒增營運成本，降低企業主投資數據技術的意願。他建議，發展數據科技時，可先選擇能解決痛點的技術，才容易看出成效，說服企業主持續投資。</p> <p>他坦言，這種做法有其限制。從一個個痛點著手，不容易顧及整體規畫，再加上，新數據技術不斷問世，技術債會成為必然問題。他提醒，企業應保留20%資源清理技術債、80%推動發展，才有餘裕維持良好的發展和維運平衡。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/449-CTO-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 22px;"><strong>快速依數據做出反應，才能把握更多應用情境。從蒐集數據到實際應用的平均時間，是企業數據準備度（Readiness）的關鍵指標。── Etsy前數據長謝居呈</strong></span></span>　<span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>數據科技發展戰略成營運核心事務，零售業開始設置高階數據技術主管</strong></span></p> <p>謝居呈觀察，早期零售業設置技術長，是因為數位通路建設和維運需求。現今數據貼近了企業決策核心，且技術發展和應用策略日漸複雜、細緻，零售業界便開始設置數據長這一新興高階管理職位。</p> <p>已經有了技術長，為何需要再設立數據長？謝居呈說明，雖然電商維運和數據科技都是IT技術，不過，兩者工程思維有著關鍵差異。他以軟體1.0和軟體2.0概念解釋。技術長熟悉的傳統軟體開發方法是，由人先訂出邏輯，再寫成程式碼，這是軟體1.0思維。但是，AI/ML等數據技術是，不預先給定邏輯，而是讓程式從大量數據中推論出可能的邏輯，再透過實驗設計來驗證推論。這是一種逆向工程思維，因此被稱為是軟體2.0思維，這正是數據長的專長。</p> <p>舉例來說，傳統軟體1.0思維，先訂出許多像「如果是男性，則推薦刮鬍刀」的邏輯，將其寫成商品推薦程式。軟體2.0思維則會逆向思考，用程式來分析顧客購物行為數據，自動學習並建立出推薦的邏輯。「這個逆向工程思維，傳統技術長大多不熟悉。」他評論。</p> <p>不只工程思維有所不同，實務上，數據管理和處理也是高度專業化的領域。謝居呈說，企業整合跨通路數據、遷移數據等過程中，常常面臨到許多瓶頸和陷阱。</p> <p>例如，財務系統轉換期間要計算公司營收，新系統和舊系統卻得到不同的數據，這是因為資料延滯性導致了不同的計算結果，兩個系統都沒錯？或是舊系統發生問題，而新系統已做出相應調整？還是遷移到新系統時導入了錯誤邏輯，舊系統的結果才對？面臨這些問題時，企業便需要數據長實務經驗來找出應對方法。</p> <p>傳統技術長不熟悉數據技術的工程思維和數據實務處理經驗，才促使零售業想要設置數據長。不只如此，謝居呈認為，數據相關決策在零售業整體營運的重要性，更使數據主管的位階必須是高階主管，甚至長遠來看，他建議，零售業大多應該將數據長設為一級職級，直接對總經理報告。</p> <p>他進一步說明，許多企業核心決策會涉及數據。例如，當數據法遵逐漸成為重要議題，像是要求AI可以解釋，企業的決策不只會涉及法務、財務部門，還需要數據長參與。其他諸如新業務、新產品開發等決策，也會需要數據長參與決策。</p> <p><span style="font-size:28px;"><strong>零售業OMO轉型時容易忽略的5大問題，數據面占3項</strong></span></p> <p>從技術、管理到決策面來看，零售業OMO轉型都是相當複雜的過程。謝居呈觀察，此過程中，企業有5個問題容易忽略，其中3個是與數據處理直接相關，數據長不得不留意。</p> <p>第1項是資料隱私和合規問題。隨著企業蒐集數據增加，確保這些數據蒐集和應用都符合資料保護法規和隱私法規，會日漸困難。若企業營運範圍觸及歐美有GDPR、CCPA等嚴格個資法規的區域，更須注意企業於不同地區適用的數據政策，並決定企業數據應用策略如何應對。例如，應該統一遵從最嚴格的法規，還是依據不同區域法規來調整數據應用情境。</p> <p>企業也常忽略OMO的資料一致性問題。當實體店面、官方網站、社交媒體、行動裝置App等通路都開始蒐集資料時，如何確保這些資料格式一致、不重複、且容易交互配對，是一大挑戰。否則，不同通路數據會成為各自孤島，難以從企業層級統一利用。</p> <p>就算做好資料整理，企業還要注重數據時效性，這是第3個問題。謝居呈認為，數據時效性不能停留於月度或季度結算，必須追求以秒，甚至毫秒為反應時間單位，才能把握機會與消費者即時互動。為此，企業需要設計快速、高效的數據處理流程。謝居呈表示：「快速依數據做出反應，才能把握更多應用情境。從蒐集數據到實際應用的平均時間，是企業數據準備度（Readiness）的關鍵指標。」</p> <p>第4個常忽略的問題是，消費者體驗一致性問題。進行OMO轉型時，確保顧客在各通路購物體驗和享有服務一致非常重要。要做到這點，不只需要跨通路數據一致性和時效性，更需要從業務面設計良好消費體驗。</p> <p>最後一個OMO課題是以客為本的策略失焦。謝居呈提醒，進行數位轉型時，部分企業可能過於關注數據和技術應用，而忽略了真正目的是提供優良客戶體驗。尤其是從實體往線上發展的企業，應在各接觸點始終維持與消費者的互動和關係。</p> <p>雖然OMO轉型過程中，數據扮演關鍵技術角色，但並非唯一核心競爭力。OMO策略要成功，謝居呈提醒：「不僅是整合數據或引入新技術而已，更需要一個以顧客為中心的策略和適應性強的組織文化。」</p> <p><strong><span style="color:#FF8C00;"><span style="font-size:28px;">數據長提醒：相關性不代表因果性，數據決策要善用A/B測試來驗證</span></span></strong></p> <p><span style="color:#696969;"><strong>美國電商巨頭Etsy前數據長謝居呈觀察，企業決策團隊，不論是總經理或技術長，往往容易忽略「相關性不代表因果性」這個觀念，導致錯誤解讀數據而影響決策。</strong></span></p> <p><span style="color:#696969;"><strong>「數據只能呈現相關性（Correlation），沒辦法呈現因果性（Causation）。很多機器學習技術，都只是透過數據相關性，來產生假設。」他提醒。</strong></span></p> <p><span style="color:#696969;"><strong>「消防隊越多火災機率越高，所以，消防隊都撤掉就不會有火災」，這就是一個將相關性誤判為因果性的明顯例子。當決策情境更複雜、影響參數更多，人便難以直觀地判斷出因果性。就像在零售業，設計個人化商品推薦系統時，哪些參數會真正影響推薦成效，而哪些只是恰巧有相關性，無法一目了然。</strong></span></p> <p><span style="color:#696969;"><strong>要解決此問題，謝居呈建議：「只有透過實驗，才可以看出因果性。」不論是商品推薦演算法的挑選，還是電商介面配色的設計，企業利用數據驅動任何決策時，都必須發揮實驗精神，透過A/B測試等方法驗證不同假設，才能從中找出最有效的策略。</strong></span></p> <p><span style="color:#696969;"><strong>謝居呈補充，不少企業常犯了誤判因果性的錯誤，這更凸顯了數據處理需要高度專業化知識和實務操作經驗。「這正是為何零售業者紛紛開始設立數據長職位的緣故。」</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CDO小檔案 </span></strong></span></p> <p><strong>Etsy前數據長謝居呈</strong></p> <p>學經歷：加州大學洛杉磯分校計算機科學博士。曾任Etsy數據長，建立人工智能團隊並推動雲端轉型；Amazon資深主管，負責Alexa語音核心技術研發；Intuit技術總監，導入機器學習到金融產品、風控與客服；Rakuten資深經理，主管多國人工智能技術團隊；eBay主任科學家，帶領團隊優化電商搜尋及推薦功能。</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/449-cto-960.jpg" width="960" height="420" alt="" title="Etsy前數據長謝居呈　（攝影／洪政偉）" /></div></div></div>
2023/9/28 09:00作者郭又華https://www.ithome.com.tw/people/159001
臺大醫院分享用雲經驗，提6項上雲建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺大醫院資訊室協理尚榮基日前分享臺大醫院用雲經驗，可分為臺大醫療雲、辦公室自動化應用和網頁服務應用等。其中，臺大醫療雲採單一資料庫架構，可支援各分院系統開發和維護，此外，臺大醫院也採用多項辦公軟體、影像辨識和語音辨識雲端服務，來優化作業流程。他從這些經驗，建議醫院考慮上雲時需評估成本、服務品質、合約保障、安全措施、系統自主性和是否有好聚好散的下雲條款等。</p> <p><span style="font-size:24px;"><strong>常見雲端服務有3大類</strong></span></p> <p>尚榮基指出，所謂雲端，是指透過網路提供資源和服務給使用者，可分為IaaS、PaaS和SaaS三種。其中，提供儲存空間、記憶體和CPU資源等硬體支援服務就屬於IaaS，提供執行環境或開發環境的服務則是PaaS，至於SaaS，則指提供軟體或系統服務，如Gmail等。最早的雲端服務，由Amazon於2006年推出，至今已近20年，那年也正是尚榮基進入臺大醫院工作的年份。</p> <p>市面上常見的雲端服務，就屬於這3種。比如，公雲業者Amazon、微軟和Google就提供儲存服務、伺服器、網路等硬體支援（IaaS）服務，來讓客戶建立自己的系統。這3類服務中，SaaS數量最多，也最深入個人化應用，比如網路磁碟（Dropbox、Google Drive等）、Email（如Gmail、Outlook）、視訊軟體（如Webex、Teams），以及即時通訊軟體（如Line、Teams）、文書作業（Google Doc、Office）等，直接提供給終端使用者。還有一種是雲端提供服務給地端系統，如影像辨識、語音辨識、AI模組和資安防護系統等。</p> <p>採用雲端有不少好處，像是有彈性、可擴充、節能、可靠且備援等優勢。</p> <p><strong><span style="font-size:24px;">臺大醫院採單一資料庫架構建醫療雲</span></strong></p> <p>但對醫院而言，IT相對保守，「資料不外傳是資料處理原則，」尚榮基說。不過，去年7月衛福部修正醫療機構電子病歷製作及管理辦法，允許醫院將電子病歷資料上雲，放寬了法源依據。此後，也有些醫院開始使用雲服務來處理病歷資料。</p> <p>就臺大醫院而言，過去幾年來已用雲來協助醫療和行政業務，包括建置臺大醫療雲、辦公室自動化和Web service應用等。其中，臺大醫療雲的建置可追溯到2013年，當時，臺大醫院開始將雲林分院、新竹分院等4家分院的IT系統轉置到臺北總院，之後也配合醫院發展，陸續上線臺大癌症醫院和新竹分院生醫醫院的醫療IT系統。</p> <p>尚榮基指出，考量到分院未必有足夠IT人手來維護系統，他們將資料中心建於臺北總院，並以2線專線連線各個分院。能這麼做的原因是，他們採用單一資料庫、多臺網頁伺服器架構，連線門檻比主從式架構低。另一方面，臺大醫院體系的醫療資訊系統（HIS）也採網頁架構，軟體由總院開發和集中維護。</p> <p>就架構來說，他們以不同Schema（資料庫結構）來切分資料庫，作為不同應用，如門診、急診、住院服務等，之後有2層伺服器，中間包含HL7交換架構。並以虛擬化方式，在不同伺服器上處理分院業務。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9E%B6%E6%A7%8B.JPG" /></p> <p>這麼做的好處是，能大幅降低建置和維護系統成本，尤其是資安布局，可免除在各分院自建伺服器的維護和人力問題。此外，若遇上作業系統更新或軟體更版，也只需一組人馬就能解決。由於採單一資料庫架構，在設計軟體時，就能根據多院區需求來設計。此外，這種架構還支援不少跨院功能，如病歷查詢、開立檢驗檢查單、支援請領與補播等。這種模式，還能實現工作向上集中。</p> <p>尚榮基也補充，鑑於去年7月上路的新版電子病歷製作及管理辦法，臺大醫院目前以總院代管分院電子病歷系統，因此計畫在3年內，取得ISO27701個人資料隱私資訊管理系統認證。</p> <p><span style="font-size:24px;"><strong>其他用雲實例：辦公室自動化、網頁服務</strong></span></p> <p>除了臺大醫療雲，臺大醫院也導入辦公室自動化雲端服務。這包括Email、即時通訊軟體、視訊軟體、雲端儲存、辦公室軟體和自動化開發服務等。</p> <p>但，採用這些雲端服務「並沒有比原本省錢，」尚榮基說明，因為這些服務得按員工人數來算許可證（License），然而有些人未必使用這些服務，因此醫院得與廠商溝通、評估，這也是他認為比較費心力的地方。不過，臺大醫院採用雲端服務的主要考量，是其帶來的效益，比如整合式的通訊平臺（如彙整即時通訊軟體、視訊軟體與Email），使用起來很方便，不必個別發送Email或簡訊通知。此外，他們也看重用雲的未來發展，比如可用自動化開發工具來打造更好的病危通報、感染管制、醫材管理等功能。</p> <p>另一方面，臺大醫院也採用雲端網頁服務，如用於化療給藥覆核、居家血壓記錄的影像辨識應用（如下圖），或是手術語音輸入系統、生命徵象語音輸入系統等語音辨識應用，甚至是近期興起的生成式AI應用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%BD%B1%E5%83%8F%E8%BE%A8%E8%AD%98.JPG" /></p> <p><span style="font-size:24px;"><strong>上雲觀察：基層機構、特殊應用適合先用雲</strong></span></p> <p>面對近來興起的醫療上雲趨勢，尚榮基從臺大醫院上雲經驗中觀察，醫療場域最適合先用雲有2種情境。一是基層機構，如診所、長照機構、護理之家、藥局和檢驗所等，因為這些機構缺乏IT人力和基礎設施，難以自行管理系統，特別是現在資安風險越來越高，更難有專業人力負責。因此，採用獲認證的雲端服務，可解決這些人力問題。而且，若將單機PC轉為伺服器，能大幅提高基層機構IT服務能量，如可用於資料交換、網路服務等。</p> <p>另一種適用情境則是特殊應用，如AI／ML、大數據分析、IoT連線、視訊診療、資安和辦公室自動化應用。這些服務都有共同特質，如適合處理大量資料、大量計算或大範圍應用，且具備標準化、可跨院通用的特質。</p> <p>用雲還有個潛在好處。尚榮基表示，由於醫院系統高度客製化，採用雲端標準化系統，則可加速IT應用、利於擴充系統功能，甚至進一步擴大使用範圍、降低醫院成本。</p> <p>不過他認為，醫學中心的核心系統不應急著上雲。因為，這些系統耗費多年開發，技術導入也得配合醫院系統更新周期。再來，上雲還得面對軟硬體客製化需求，以及院內系統整合難度，更得審慎評估，廠商解決方案能否配合醫院系統搬遷。成本、醫院管控程度也是核心系統慢點上雲的考量點。</p> <p><span style="font-size:24px;"><strong>上雲得考慮的6大問題</strong></span></p> <p>最後，尚榮基給出醫院是否該上雲的觀點。他指出，雲端系統是技術趨勢，但技術的成熟需要時間，現有的雲端方案並不完美，還有很多問題待解決。與此同時，雲端技術也持續進步，新應用也不斷推出，而醫院是否上雲，得清楚了解上雲目的和效益，避免因技術焦慮、廠商需求而貿然投入。</p> <p>尚榮基認為，由於每家醫療機構處境不同，因此沒有一致的比較標準。但他建議，醫院面對選擇時，可評估6個問題。首先是成本問題，上雲是否更省錢？再來是服務品質，上雲後是否比地端更好？雲端解決方案是否有足夠的安全措施？</p> <p>以及合約保障是否足夠、廠商有無獲得認證。尚榮基提醒，醫院也得注意上雲系統的自主性和控制性，最後也得考慮合約是否有「好聚好散」條款，也就是未來醫院要下雲，能否順暢進行。他提醒，並非上雲就能解決所有問題，醫院上雲後仍有許多問題要處理，得仔細評估再決定。</p> </div></div></div>
2023/9/27 18:21作者王若樸https://www.ithome.com.tw/news/159010
Sony傳出資料外洩，有兩組人馬聲稱是他們所為，但資料是否來自該公司仍有待釐清
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>先前日本大型企業Sony傳出大規模資料外洩的情況，是發生近10年前，<a href="https://www.ithome.com.tw/news/93457">索尼影業（Sony Pictures）遭到北韓駭客入侵</a>，不僅內部資料外流，該公司員工被迫回家工作。但如今有人再度宣稱從該公司內部偷到機敏資料引起資安界關注，而且還不只一組駭客表示他們握有相關檔案。</p> <p>根據<a href="https://www.hackread.com/ransomedvc-ransomware-group-sony-cyberattack/">資安新聞網站HackRead於9月24日的報導</a>，勒索軟體駭客組織RansomedVC聲稱入侵日本大型企業Sony，並完全滲透該公司所有的系統，這些駭客沒有向Sony索討贖金，而是打算求售竊得的資料，原因是Sony不願遵照駭客的要求進行後續處理。</p> <p>該新聞網站看到駭客公布疑似來自Sony品質保證部門的簡報檔案、工作站螢幕截圖、Java檔案。26日Sony表示他們已了解此事，並著手調查，但沒有提出其他說明。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ransomedvc-ransomware-group-sony-cyberattack-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ransomedvc-ransomware-group-sony-cyberattack-4.jpg" style="width: 580px;" /></a></p> <p>究竟這些駭客偷到了多少資料？<a href="https://www.bleepingcomputer.com/news/security/sony-investigates-cyberattack-as-hackers-fight-over-whos-responsible/">資安新聞網站Bleeping Computer指出</a>，這些駭客透露總共竊得約260 GB檔案，打算開價250萬美元。然而，駭客提供檢驗的樣本資料，大小卻僅有2 MB。</p> <p>但隨後有人宣稱，他們才是真正的攻擊者。名為MajorNelson的人士於駭客論壇BreachForums表示，所有的記者都上當了，指控RansomedVC其實只是想要騙取媒體關注，並非真正攻擊Sony的兇手。</p> <p><a href="https://s4.itho.me/sites/default/files/images/bf-screenshot.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/bf-screenshot.jpg" style="width: 580px;" /></a></p> <p>MajorNelson公布了從Sony竊得的2.4 GB檔案，解壓縮檔案大小為3.14 GB，宣稱這些檔案是Sony各式內部系統的帳密資料，並包含SonarQube、Creators Cloud的帳密，以及產生授權檔案的裝置模擬器等。Bleeping Computer發現，MajorNelson提供的資料當中，涵蓋RansomedVC在樣本檔案提及的所有資料，但無論是那一組駭客公布的檔案，該新聞網站無法確認這些資料的真實性。</p> </div></div></div>
2023/9/27 22:10作者周峻佑https://www.ithome.com.tw/news/159013
【資安週報】2023年9月18日到9月22日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>許多IT廠商在前一週發布9月份例行更新，但在本週的資安新聞裡，有多起漏洞攻擊行動引起研究人員關注，並呼籲企業組織、使用者應儘速修補，這些漏洞包含：</p> <p>（一）8月份Juniper修補的CVE-2023-36845，當時該廠商評估風險等級為中等，但資安業者VulnCheck發現該漏洞嚴重程度被低估，已有駭客嘗試將其用於攻擊行動；</p> <p>（二）開源物件儲存服務MinIO於3月修補的漏洞CVE-2023-28432、CVE-2023-28434，駭客針對DevOps工程師下手，在目標系統植入後門程式Evil MinIO，竄改更新伺服器的網址，然後派送惡意更新；</p> <p>（三）蘋果針對旗下電腦、行動裝置、穿戴裝置，修補零時差漏洞CVE-2023-41991、CVE-2023-41992、CVE-2023-41993，這些由加拿大公民實驗室與Google威脅情報小組（TAG）通報的漏洞，已被用於攻擊iPhone裝置；</p> <p>（四）趨勢科技針對旗下端點防護產品Apex One、Worry-Free Business Security（WFBS）漏洞CVE-2023-41179發布公告，已有攻擊行動出現，引起日本電腦網路危機處理暨協調中心（JPCERT/CC）注意；</p> <p>（五）駭客假借提供6月WinRAR修補漏洞的PoC，但其實是利用地圖服務伺服器程式GeoServer的SQL注入漏洞CVE-2023-25157，散布木馬程式VenomRAT。</p> <p>其他的重要漏洞修補警告，還包括：GitLab修補執行任意自動化工作流程漏洞CVE-2023-4998，以及Fortinet修補防火牆作業系統、上網安全閘道、WAF的高風險漏洞CVE-2023-29183、CVE-2023-34984，網路監控軟體Nagios XI修補高風險漏洞、N-able遠端管理工具的CVE-2023-27470、程式庫ncurses的記憶體毀損漏洞等。</p> <p>面對日與俱增的資安威脅，本週除了研究人員極力呼籲使用者儘速修補已公開的漏洞，資安界也有多項動態值得留意。</p> <p>首先是資安業者Mandiant舉辦的mWISE Conference 2023資安防禦會議，FBI局長Christopher Wray提到攻防極度不對等的資安態勢，他表示，中國駭客人數是FBI資安專家的50倍以上，防守方勢必要善用AI人工智慧技術，還有政府、執法機關與民間產業之間更為緊密的合作，才有機會扭轉局勢，他甚至認為企業應該在資安防護計畫裡納入FBI，充分發揮執法的力量。</p> <p>再者，OpenAI為了改善機器學習模型的安全，擴大原本的紅隊演練規模，成立名為OpenAI Red Teaming Network的紅隊演練網路，從數十個專業領域招募專家，看重的是專家能提供該領域的專業觀點，而有可能突破人工智慧產業的盲點。</p> <p>本週資安界有兩起重大的廠商併購案，分別是19日資安業者CrowdStrike買下應用程式安全態勢管理（ASPM）新創Bionic，及21日思科買下大數據資安業者Splunk，其中又以思科和Splunk的併購案受到最多關注。值得留意的是，這起合併案2022年2月就傳出風聲，當時思科打算以200億美元買下Splunk，而現在實際成交的金額達到280億美元，較先前的傳聞多出4成。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/158796"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月18日】開源物件儲存服務MinIO漏洞遭到鎖定，駭客企圖發動供應鏈攻擊，入侵企業組織內部環境</span></strong></a></h3> <p>駭客利用開發環境入侵目標組織，發動供應鏈攻擊的情況再度出現，最近資安業者Security Joes揭露的攻擊事件裡，駭客就是鎖定開源物件儲存服務MinIO的已知漏洞而來，對方先是針對工程師下手，說服他們安裝含有弱點的MinIO，從而發動攻擊，這樣的做法相當罕見，使得研究人員呼籲管理者要提高警覺。</p> <p>由於MinIO往往搭配AWS S3、Google Cloud Storage、Azure Blob Storage等雲端儲存桶運用，使得上述的攻擊手段影響範圍可能相當廣泛。</p> <h3><a href="https://www.ithome.com.tw/news/158816"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月19日】Juniper甫修補的中等風險漏洞恐遭低估，研究人員發現能用於發動RCE攻擊，近1.2萬臺設備曝險</span></strong></a></h3> <p>又是漏洞風險被低估可能會引發災情的情況！資安業者Juniper在今年8月揭露的CVE-2023-36845，當時評估其漏洞僅有中度風險，必須與其他漏洞才可能引發重大危害，但最近有研究人員指出，他們只需利用這項漏洞，就能在沒有通過身分驗證的狀態，遠端執行任意命令（RCE），使得這項漏洞危險程度遠超過原先認定的層級。</p> <p>然而，由於Juniper輕估了漏洞的風險，使得很多IT人員不會立即修補漏洞。但研究人員警告，他們已經看到駭客開始嘗試利用這項漏洞。</p> <h3><a href="https://www.ithome.com.tw/news/158845"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月20日】面臨攻守極度失衡的局勢，FBI局長呼籲民間企業與政府積極合作，並將FBI納入資安防護計畫</span></strong></a></h3> <p>為了因應態勢日益險峻的網路威脅，近年來不斷有專家呼籲政府與企業之間應採取聯合防禦及情資共享的戰略，在9月18日由資安業者Mandiant舉辦的資安會議mWISE Conference 2023當中，美國聯邦調查局（FBI）局長Christopher Wray特別以此進行演說，透過資訊分享、情資分析的良性循環，最終在大家的合作下就可以保護國家的網路。特別的是，他呼籲企業在資安防護計畫裡「納入FBI」，讓他們能發揮公權利來攔阻網路犯罪。</p> <h3><a href="https://www.ithome.com.tw/news/158872"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月21日】中國駭客假借寄送發票的名義發動網釣攻擊，目的是散布新型態的木馬程式ValleyRAT</span></strong></a></h3> <p>我們近期報導不少中國駭客的攻擊行動，鎖定目標多半是針對敵對國家而來，在今天的資安新聞中，有針對當地企業組織而來的網路釣魚攻擊被研究人員揭露，其手法都是透過免費的電子郵件服務寄送釣魚信，然後使用發票、求職信為誘餌發動攻擊，進而於受害電腦植入ValleyRAT、Purple Fox、Sainbox RAT。</p> <p>值得留意的是，這起攻擊行動背後很可能有多個組織參與，且範圍開始擴及日本。</p> <h3><a href="https://www.ithome.com.tw/news/158896"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月22日】斥資280億美元重金，思科買下大數據資安業者Splunk</span></strong></a></h3> <p>本週資安界有兩起併購案，分別是19日資安業者CrowdStrike買下應用程式安全態勢管理（ASPM）新創Bionic，以及21日思科買下大數據資安業者Splunk，其中又以思科和Splunk的併購案受到最多關注。</p> <p>值得留意的是，這起合併案早在2022年2月就傳出風聲，當時思科打算以200億美元買下Splunk，而現在實際成交金額達到280億美元，較先前傳聞多出4成。</p> </div></div></div>
2023/9/27 22:48作者周峻佑https://www.ithome.com.tw/news/159014
【資安日報】9月27日，Sony傳出資料外洩，有2組駭客先後聲稱對其下手，取得多項內部機密的帳密資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日本知名企業Sony傳出資料外洩事故，但特別的是，這並不是今天才出現的消息，前幾天就有駭客組織RansomedVC聲稱對該公司下手，今天又有另一個駭客組織MajorNelson，宣稱是他們所為。這兩個組織也公開了部分竊得的資料，供買家及媒體進行驗證。</p> <p>另一個值得留意的是，兩組駭客提供的樣本資料檔案大小差距相當懸殊，但兩組資料互有交集，而對於這些資料是否真的來自Sony？有待進一步的調查。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Sony傳出資料外洩，有兩組人馬聲稱是他們所為</span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/ransomedvc-ransomware-group-sony-cyberattack-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ransomedvc-ransomware-group-sony-cyberattack-1.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站HackRead於9月24日的報導，勒索軟體駭客組織RansomedVC聲稱入侵日本大型企業Sony，並完全滲透該公司所有的系統，這些駭客沒有向Sony索討贖金，而是打算求售竊得的資料，原因是Sony不願遵照駭客的要求進行後續處理。</p> <p>該新聞網站看到駭客公布疑似來自Sony品質保證部門的簡報檔案、工作站螢幕截圖、Java檔案。26日Sony表示他們已了解此事，並著手調查，但沒有提出其他說明。資安新聞網站Bleeping Computer指出，駭客透露總共竊得約260 GB檔案，打算開價250萬美元。</p> <p>但隨後有人宣稱，他們才是真正的攻擊者。名為MajorNelson的人士於駭客論壇BreachForums表示，所有的記者都上當了，指控RansomedVC其實只是想要騙取媒體關注，並非真正攻擊Sony的兇手。MajorNelson公布了從Sony竊得的2.4 GB檔案，解壓縮檔案大小為3.14 GB，宣稱這些檔案是Sony各式內部系統的帳密資料，並包含SonarQube、Creators Cloud、產生授權檔案的裝置模擬器等。Bleeping Computer發現，MajorNelson提供的資料當中，涵蓋RansomedVC在樣本檔案提及的所有資料，但他們無法確認這些資料的真實性。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.hackread.com/ransomedvc-ransomware-group-sony-cyberattack/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--557264360" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.hackread.com/ransomedvc-ransomware-group-sony-cyberattack/</span></a><br /> 2. <a href="https://www.bleepingcomputer.com/news/security/sony-investigates-cyberattack-as-hackers-fight-over-whos-responsible/">https://www.bleepingcomputer.com/news/security/sony-investigates-cyberattack-as-hackers-fight-over-whos-responsible/</a></p> <p><a href="https://www.group-ib.com/blog/shadowsyndicate-raas/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織ShadowSyndicate運用7款勒索軟體從事攻擊行動</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ShadowSyndicate-5-13.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ShadowSyndicate-5-13.png" style="width: 300px; float: right;" /></a>資安業者Group-IB、Bridewell，聯手研究人員Michael Koczwara調查駭客組織ShadowSyndicate的攻擊行動，這些駭客自2022年7月開始，利用漏洞來發動攻擊，並與勒索軟體Quantum、Nokoyawa、BlackCat（Alphv）、Clop、Royal、Cactus、Play攻擊行動有所關連。</p> <p>研究人員推測，這些駭客有可能是從事勒索軟體攻擊的附屬組織，或是兜售入侵帳密資料的掮客（IAB）。該組織架設了至少85臺SSH伺服器，並運用Cobalt Strike、IcedID、Sliver等工具作案，其中有52臺伺服器被用於架設Cobalt Strike的框架。</p> <p>他們根據C2進行分析，推測2022年9月發生的3起Quantum勒索軟體攻擊、2022第4季及2023年4月的Nokoyawa攻擊，以及今年2月發生的BlackCat（Alphv）攻擊，該組織皆參與。特別的是，至少有12個基礎設施的IP位址，是過往勒索軟體駭客組織Clop所用。</p> <p><a href="https://www.recordedfuture.com/multi-year-chinese-apt-campaign-targets-south-korean-academic-government-political-entities"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客TAG-74發起攻擊行動，鎖定韓國散布後門程式ReVBShell</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/multi_year_chinese_apt_campaign_targets_south_korean_academic_government_political_entities_body_ecee001094.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/multi_year_chinese_apt_campaign_targets_south_korean_academic_government_political_entities_body_ecee001094.png" style="width: 300px; float: right;" /></a>資安業者Recorded Future揭露中國駭客TAG-74的攻擊行動，這些駭客的主要目標是韓國學術機構、政治團體、政府機關，目的是竊取智慧財產，並且擴大中國在全球高等教育影響力。</p> <p>在其中一起攻擊行動裡，駭客利用Windows說明檔案（CHM）當作誘餌，投放以Visual Basic指令碼製作的後門程式ReVBShell，最終於受害電腦植入木馬程式Bisonal，而上述的後門程式ReVBShell，TAG-74也與另一個中國駭客組織Tick共用，未來可能也會出現在Tick的攻擊行動。</p> <p>研究人員指出，駭客主要以韓國的組織為目標，並持續在韓國、日本、俄羅斯進行長期的情報收集工作，但比較特別的是，駭客使用CHM檔案的情況主要是發生在韓國，其他國家不常見，且不光是TAG-74，Kimsuky、APT37等北韓駭客組織也偏好利用這種檔案在韓國發動攻擊。</p> <p><a href="https://www.threatfabric.com/blogs/xenomorph"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北美、歐洲安卓用戶遭到金融木馬Xenomorph鎖定</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Xenomorph-Slide7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Xenomorph-Slide7.png" style="width: 300px; float: right;" /></a>資安業者ThreatFabric揭露最新一波的安卓金融木馬Xenomorph攻擊行動，駭客今年8月開始架設釣魚網站，引誘使用者更新Chrome瀏覽器，藉此於受害手機部署木馬程式，目標是盜取美國金融機構的客戶存款，以及用戶加密貨幣應用程式存放的數位貨幣。</p> <p>研究人員指出，新的木馬程式導入了模仿（mimic）功能，使得該惡意程式的行為能像其他應用程式；再者，這個模仿功能會執行名為IDLEActivity的活動，顯示來自合法處理程序的網頁內容。</p> <p>值得一提的是，此木馬程式具備名為ClickOnPoint的功能，可以模擬執行點選螢幕的動作，讓攻擊者能夠遠端操作，使得駭客不再需要使用完整的自動轉帳系統（ATS）元件，就能跳過確認畫面，或是執行基本的操作，也不會被安全防護機制或防毒軟體察覺有異。</p> <p><a href="https://www.ithome.com.tw/news/158995"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">LastPass用戶遭鎖定，駭客對其發動釣魚郵件攻擊，要脅若不驗證部分功能將遭停用</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot-2023-09-25-at-4_47_47-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2023-09-25-at-4_47_47-PM.png" style="width: 300px; float: right;" /></a>9月14日資安業者Malwarebytes提出警告，有人對密碼管理解決方案LastPass的用戶散布釣魚郵件，要求他們必須在指定期限內重新驗證個人資料，否則26日將有部分功能遭到停用。若是收信人依照指示進行「驗證」，駭客就有可能將相關帳密資料用於破解去年外流的LastPass使用者組態。</p> <p>LastPass於25日做出說明，表示這起網釣攻擊範圍包括他們自己的87名員工，而且，全球都有用戶收到釣魚信，他們的威脅情報團隊自13日接獲用戶通報後，尋求資安業者Fortra旗下的PhishLabs團隊協助，並向相關服務供應商通報惡意網域，隨後這些網域遭到撤銷。</p> <p>後來駭客再次於19日進行二度攻擊，PhishLabs發現後，於16個小時內完成相關的回應措施。而對於攻擊者的身分，該公司推測，這起網釣攻擊行動的攻擊者，與之前竊取資料的駭客不同。 </p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.malwarebytes.com/blog/news/2023/09/nasty-lastpass-phish" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--429936947" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.malwarebytes.com/blog/news/2023/09/nasty-lastpass-phish</span></a><br /> 2. <a href="https://blog.lastpass.com/2023/09/lastpass-threat-intel-team-and-phishlabs-work-together-to-protect-customers-from-phishing-scams/">https://blog.lastpass.com/2023/09/lastpass-threat-intel-team-and-phishlabs-work-together-to-protect-customers-from-phishing-scams/</a></p> <p><a href="http://isc.sans.edu/diary/A+new+spin+on+the+ZeroFont+phishing+technique/30248/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露新的ZeroFont網釣攻擊手法，佯稱郵件已通過防護系統掃描</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/23-09-26-listing.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/23-09-26-listing.png" style="width: 300px; float: right;" /></a>利用零像素字元進行攻擊的釣魚郵件手法ZeroFont再度出現！美國系統網路安全協會（SANS Institute）Internet Storm Center（ISC）分析師Jan Kopriva揭露此類型攻擊，駭客在信件內容嵌入零像素的字元，使得收信人在收信軟體的信件列表裡，看到「此信件已通過防護系統掃描」的摘要訊息，可能誤以為這封信件安全無虞而開啟內容，結果上當。</p> <p>這種手法並非首次出現，2018年資安業者Avanan首度揭露ZeroFont，駭客將其用於騙過微軟的自然語言處理（NLP）郵件分析機制，並讓收信人誤以為郵件來自知名的IT業者。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/in-the-wild-exploitation-expected-for-critical-teamcity-flaw-allowing-server-takeover/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">CI/CD系統TeamCity存在能挾持伺服器的漏洞，研究人員警告可能很快就會出現攻擊行動</span></strong></a></p> <p>資安業者SonarSource揭露持續整合與持續交付（CI/CD）系統TeamCity的重大漏洞CVE-2023-42793，未經身分驗證的攻擊者，能藉此從遠端連到TeamCity伺服器上，執行任意程式碼（RCE），或是利用該漏洞竊取原始碼、私鑰、服務機密資訊，挾持Build Agent並造成版本中毒，CVSS風險評分為9.8。</p> <p>對此，開發商JetBrains於9月18日發布2023.05.4版TeamCity予以修補，而對於暫時無法更新的IT人員，該公司也提供緩解漏洞的外掛程式，對於2019.2版以上的用戶，可在不需重新啟動伺服器的情況下套用。研究人員指出，目前尚未發現遭到利用的跡象，但由於觸發該漏洞相當容易，他們認為很快就會出現攻擊行動，呼籲用戶要儘速處理。</p> <p>資料來源</p> <p>1. <a href="https://www.sonarsource.com/blog/teamcity-vulnerability/">https://www.sonarsource.com/blog/teamcity-vulnerability/</a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://blog.jetbrains.com/teamcity/2023/09/critical-security-issue-affecting-teamcity-on-premises-update-to-2023-05-4-now/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-504109199" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://blog.jetbrains.com/teamcity/2023/09/critical-security-issue-affecting-teamcity-on-premises-update-to-2023-05-4-now/</span></a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="http://nsfocusglobal.com/warning-newly-discovered-apt-attacker-atlascross-exploits-red-cross-blood-drive-phishing-for-cyberattack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織AtlasCross佯稱美國紅十字會，意圖透過釣魚郵件散布惡意程式</span></span></strong></a></p> <p><a href="https://securityaffairs.com/151501/cyber-crime/rhysida-ransomware-kuwait-ministry-of-finance.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">科威特財政部傳出遭勒索軟體Rhysida攻擊</span></span></strong></a></p> <p><a href="https://www.resecurity.com/blog/article/Smishing-Triad-Impersonates-Emirates-Post-Target-UAE-Citizens"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">釣魚簡訊攻擊Smishing Triad範圍延伸到阿拉伯聯合大公國</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-actively-exploiting-openfire-flaw-to-encrypt-servers/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">開源即時通訊系統Openfire存在高風險漏洞，已被用於攻擊行動</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/google-assigns-new-maximum-rated-cve-to-libwebp-bug-exploited-in-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">針對日前修補的libwebp零時差漏洞，Google將其CVSS評分提升至10分</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/158974"><strong>【9月26日】駭客組織Stealth Falcon針對中東政府機關下手，散布後門程式Deadglyph</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158960"><strong>【9月25日】埃及總統候選人遭到鎖定，攻擊者利用iOS零時差漏洞在手機植入間諜軟體Predator</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158927"><strong>【9月23日】中國駭客鎖定臺灣安卓用戶，假借提供Whoscall付費功能的破解程式來散布惡意軟體</strong></a></p> </div></div></div>
2023/9/27 17:35作者周峻佑https://www.ithome.com.tw/news/159005
零售IT雙周報第22期：不再只賣元宇宙紀念品，Walmart將電商和會員機制整合進第三方遊戲成為新通路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0917~0930)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#遊戲電商</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#OMO零售</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#會員經營</span></span><br /> 終於不是元宇宙虛擬紀念品，Walmart推出在房地產遊戲內購買家具的電商功能</strong></p> <p>美國零售龍頭Walmart在房地產買賣及裝潢模擬遊戲中推出<a href="http://https://corporate.walmart.com/news/2023/09/19/exploring-the-potential-of-virtual-commerce">購買實體家具功能</a>。玩家可以連結Walmart會員帳號，於遊戲內購買家具來翻新房屋或獲得各式家具獎勵時，會看到「在現實中購買」功能，可直接觀看樣品照片、下單、結帳。遊戲內也有Walmart虛擬門市，可以購買虛擬及實體家具。未來，Walmart還打算於遊戲內持續上架更多實體家具商品。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/wmg1.png" style="width: 600px;" /></p> <p>近兩年來，許多實體零售業者在元宇宙遊戲的操作，大多與自身原有業務無關，或幾乎不具規模。Walmart這次則進一步將會員系統、金流系統及實體商品銷售活動，融入遊戲原生內容。不只如此，他們還打算持續上架新商品，長期經營遊戲這個電商通路。這種做法在業界相當少見。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#餐飲POS系統</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#數據整合</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#訂位系統</span></span><br /> iChef新增餐廳訂位功能，與Google線上訂位功能整合</strong></p> <p>餐飲POS系統商iChef推出訂位管理功能，餐廳能於POS App一站式管理訂位、外送、外帶、餐廳控位、點餐出餐、結帳發票等環節，還能自動寄送訂位確認簡訊。</p> <p>此功能串接POS系統原有桌位管理功能，餐廳可以在介面中看到每桌預約情況，系統還會根據訂位人數和時段自動指派餐桌空位，若桌位臨時空出，也會立即釋放訂位名額。餐廳還可以用簡單拖曳操作，更改訂位指派桌位及時段，以因應重複指派桌位，或訂位者提前到店等情況。新訂位功能依訂位筆數計價，餐廳有不同費率方案跟約期可挑選。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ichefff.png" style="width: 600px;" /></p> <p>之前iChef已與Google商家檔案功能整合，店家可以從iChef後臺管理商家檔案設定，綁定餐廳網站連結。現在，消費者於Google搜尋到商家時，可以從「透過Google預定」功能訂位，還能連結到餐廳網站訂餐、查詢專屬優惠。未來，還計畫支援從Google訂位的手機號碼欄位，來辨識會員身分。</p> <p>根據Google Trend，「訂位」搜尋關鍵字熱門度在疫情後已經達到了疫前3.3倍，顯示出消費者更加重視餐廳線上訂位功能。不過，iChef對自家客戶調查顯示，有接受訂位的餐廳中，高達45%沒有使用線上訂位系統。不使用的主因，是因為對中小型餐飲業來說，新導入訂位系統，有影響現場營運流程、增加管理複雜度、增加員工訓練成本等痛點。</p> <p>從IT角度來看，訂位系統上可能會有許多消費者喜好資料，POS系統不會記錄到，例如聚餐用途、特殊座位喜好、同行者資訊等。業界一個常見痛點是，許多訂位系統與POS系統沒有資料拋轉功能，形成資料孤島。iChef就是鎖定這些管理和IT上痛點，於POS系統中推出訂位功能，以期透過簡化整合程序來吸引餐廳使用。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RFID</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#無人收銀</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI影像辨識</span></span><br /> Amazon於Just Walk Out新增RFID辨識功能，支援電腦視覺難以辨識的商品類型</strong></p> <p>電商龍頭Amazon於Just Walk Out無人結帳解決方案<a href="https://www.aboutamazon.com/news/retail/amazon-just-walk-out-rfid-technology">新增RFID辨識功能</a>，來支援電腦視覺難以辨識的商品類型。</p> <p>過往，Just Walk Out主要利用店內鏡頭，搭配後臺視覺辨識來判斷消費者取放商品。一個問題是，衣物等軟質地商品，一拿起來就會變形，因此過往需要放在袋子或盒子內，AI才容易辨識。不過，若放在袋子或盒子內，消費者便不容易試摸、試穿。為了支援這些AI難以辨識的消費情境，Amazon新增RFID來輔助商品辨認。如此一來，即使消費者頻繁取放衣物，或拿去試衣間之後不放回貨架，系統後臺也能準確追蹤商品狀態。</p> <p>RFID應用於結帳已是相當成熟的技術，快速結帳精確度甚至高於電腦視覺。不過，後者能同時記錄到消費者及商品資訊，更擅長追蹤消費者店內購物行為。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#OMO轉型案例</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電商物流模式</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#多通路經營</span></span><br /> Fila臺灣7年OMO轉型歷程的3大關鍵做法</strong></p> <p>2016年，義大利運動品牌Fila在臺數位轉型正式啟動。從2016到2023年，Fila從一個純線下品牌，發展出了4種線上銷售通路，40萬名數位會員，建立了自動化數位行銷機制，以門市為中心進行線上線下導流，還經營著占地464坪的電商專用倉儲。這背後，有3大關鍵做法，分別是新設專責數位部門、建線上通路蒐集會員數據，驅動數位行銷，以及發展專屬電商商業模式的物流模式。</p> <p>為了發展數位通路，Fila設立了與行銷、資訊部門平級的電商部門，並於行銷部門設立專職數位行銷人員。他們也要求這些專職人員學習數位工具，來支援新通路銷售和行銷模式，更將數位工具操作能力設為KPI。同時，他們陸續導入BI工具、CRM等新系統。</p> <p>發展數位通路同時，他們整合了線上線下會員機制和數據，用來升級數位行銷精準度，從純曝光廣告、回饋網交叉行銷，走到數據驅動的會員精準行銷。疫情期間，他們還利用實體店面地推群組來進行線上線下通路導流。</p> <p>Fila為了進軍電商還發展了新物流模式。電商物流模式與過往線下店面的物流模式相差甚遠，Fila剛開始利用電商寄倉服務來履行電商訂單，後來轉用開店平臺倉儲解決方案，來統一處理各大數位通路訂單物流。未來他們還打算進一步整合電商及實體物流，以支援更多跨通路業務。（<a href="https://www.ithome.com.tw/news/158912">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#店內數據分析</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#店面規畫</span></span><br /> Henderson Group利用銷售和店面室內設計資料，從個別門市等級優化店面規畫</strong></p> <p>旗下有知名超市Spar的北愛爾蘭零售集團Henderson Group結合店內銷售數據和個別店面室內設計數位資料，從個別店面級別，優化上百家門市的店內貨架安排及商品陳列。</p> <p>背後技術是零售店面科技商CADS的系統，整合AutoCAD和Nielsen Planogram等常見店面設計軟體素材。此系統還可以追蹤店面銷售表現，來提供空間規畫改善建議，例如是否有商品種類占用太多或太少空間。</p> <p>目前Henderson Group已經在101家店中利用此技術來優化店面規畫，未來預計推廣此做法到旗下400家以上店面。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1. 誠品物流資料中心從三層式架構改為採用超融合架構，提升了30%系統運作速度</p> <p>2. <a href="https://www.prnewswire.com/news-releases/luxury-performance-footwear-brand-athletic-propulsion-labs-steps-up-its-ecommerce-results-with-ai-powered-true-fit-guidance-to-increase-revenue-and-reduce-returns-301930557.html">知名鞋類品牌APL於電商導入AI試穿科技，4年來減少了15%退貨情形。</a></p> <p>圖片來源：iChef、Walmart</p> <p>資料來源：iThome整理，2023年9月</p> <p>責任編輯：郭又華</p> </div></div></div>
2023/9/27 17:18作者郭又華https://www.ithome.com.tw/news/159004
各供應商GPU皆存在GPU.zip漏洞，可被攻擊者用於竊取視覺資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安研究人員檢視各供應商的GPU，發現了一個被稱為<a href="https://www.hertzbleed.com/gpu.zip/">GPU.zip的旁路漏洞</a>，如同該名稱所暗示，此漏洞與GPU的壓縮行為有關。攻擊者可以濫用此旁路漏洞洩漏視覺資料，資安人員實現GPU.zip概念性驗證，利用最新版本的Chrome瀏覽惡意網頁，便能夠竊取另一個網頁洩漏的像素，而這個行為違反了瀏覽器的安全模型。</p> <p>由於傳輸資料的成本通常比處理資料更高，因此壓縮技術便常被用來解決記憶體牆（Memory Wall）的問題，這是指處理器的效能提升速度，快過記憶體存取速度的提升，因此處理器經常需要等待記憶體資料。當這種現象發生，壓縮技術便能派上用場，透過消除重複的資料模式，以更少的位元編碼相同的資料。</p> <p>GPU圖形資料壓縮是現代GPU的一項功能，能夠節省記憶體頻寬並提高效能，而這項壓縮不需要軟體參與，研究人員提到，即使軟體不要求任何壓縮，現在的GPU也會對圖形進行無損壓縮，這個壓縮行為對軟體來說完全透明，也就是軟體無法得知GPU是否執行圖形壓縮。</p> <p>當資料被壓縮時，會產生特定的記憶體存取模式和快取模式，資料與模式間存在相依性，也就是不同的原始資料，在壓縮後會產生不同的模式，攻擊者可以利用這些模式進行旁路分析，進而推測出原始資料的內容。</p> <p>研究人員便是透過創建特定的圖形模式，觀察GPU壓縮圖形模式的方法，再根據壓縮結果，猜測出部分秘密資訊，像是瀏覽器中的像素值。由於壓縮行為是透明的，軟體不知道GPU背後的壓縮動作，因此軟體開發者可能認為，沒有明確壓縮指令時，GPU便不會進行壓縮，但實際上硬體的確會自行壓縮，這樣的認知差異就可能被攻擊者利用。</p> <p>過去已知的壓縮旁路漏洞是由軟體可見的壓縮造成，只要透過在軟體停用壓縮或是額外措施緩解旁路洩漏風險就能緩解，但是當前GPU的壓縮行為軟體不可見，因此也更難解決。</p> <p>在大多數的情況下，這個漏洞對終端用戶來說不危險，因為大多數敏感網站已經拒絕被其他來源的網站嵌入，所以也不容易受到利用GPU.zip所執行的像素竊取攻擊。但部分網站仍有影響，當一個已登入維基百科的使用者存取惡意網站，該網頁可能會利用GPU.zip攻擊知道該使用者的維基百科用戶名稱，不過目前大多數主流網站已有防護措施，因此一般使用者的日常瀏覽不太可能遭遇這種攻擊。</p> <p>對開發人員來說，當網站會顯示使用者的敏感資訊，就應該配置網站拒絕被跨來源網站嵌入。資安人員在今年3月時向GPU供應商通報這項漏洞，包括AMD、Apple、Arm、Intel、Nvidia和Qualcomm，另外還有瀏覽器供應商Google，同時提供概念性驗證程式碼，不過，到目前尚無GPU供應商承諾提供修復程式，Google則仍在決定是否修補。</p> <p>資安人員特別解釋，之所以這項攻擊容易在Chrome中被濫用，是因為Chrome允許跨來源iframe載入Cookie，且允許在iframe上渲染SVG過濾器，並把渲染任務委派給GPU，Firefox和Safari等其他不符合這三項標準的瀏覽器，便不容易受到攻擊。</p> </div></div></div>
2023/9/27 16:37作者李建興https://www.ithome.com.tw/news/159000
Mandiant示警：中國網攻大轉型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【mWISE 2023美國華盛頓特區報導】</p> <p>「1995年我們調查一起中國駭客入侵事件，循入侵路徑調查攻擊者IP，才反查一個連線點就查出IP位於中國上海，很快就能判定為中國駭客。」Google Cloud Mandiant行政總裁Kevin Mandia說：「但是，近年來中國的網路攻擊戰略已經大幅轉變，他們的攻擊能力與匿蹤能力已不可同日而語。」</p> <p>Mandiant在2013年發布全球第一份指證中國軍隊涉及網路攻擊的「APT 1」調查報告，他們追蹤駭客攻擊足跡，證實位於上海市浦東新區的中國人民解放軍61398部隊就是中國的網軍部隊，因而聲名大噪。</p> <p>「中國的網路攻擊能力已經到達一個全新境界。」在APT 1報告問世十年的時刻，Google Cloud Mandiant Intelligence主席Sandra Joyce在mWISE 2023的媒體簡報會上說：「中國現在已經有能力策畫出，連我們（Mandiant）都要花好幾個月時間才能弄清楚的網路攻擊行動。」因而Mandiant已將中國提升到第一級網軍國家。</p> <p>Mandiant對中國駭客攻擊手法轉型的調查總結三大轉變，包括系統性挖掘零日漏洞（Zero Day）、利用網通設備的漏洞來入侵企業或組織，以及挾持家用或中小企業路由器、IoT等設備，做為攻擊跳板。</p> <p>中國駭客攻擊已經逐漸捨棄社交工程手法，轉為利用威力更強大的零日漏洞。Google Cloud Mandiant Intelligence首席分析師John Hultquist指出，利用零日漏洞來發動攻擊，可以一次性地造成大規模的攻擊，只要是使用相同網通設備、具有相同零日漏洞的企業或組織，就可以一網打盡。</p> <p>近年來好幾起中國駭客攻擊事件，都是利用知名網通設備的零日漏洞，諸如防火牆、VPN伺服器、郵件伺服器等，例如自2022年陸續發現Fortinet防火牆、Sophos防火牆、Barracuda郵件伺服器、Citrix ADC、SonicWall郵件安全系統、Pulse VPN等設備的零日漏洞被中國駭客所利用。</p> <p>「這些一再發生的零日漏洞事件明白告訴我們，中國有計畫性地投入大量資源，系統性挖掘網通設備的零日漏洞。」John Hultquist說：「我相信他們一定有個專門研究零日漏洞的實驗室，甚至有可能是好幾個實驗室。」</p> <p>中國在2021年實施《網路產品安全漏洞管理規定》，要求任何人發現或得知網路產品安全漏洞，皆須通報中國工業和信息化部，不得自行公布。此舉也讓外界質疑中國可能藉此暗藏零日漏洞，做為日後發動網路攻擊之用。也難怪Sandra Joyce說：「這些零日漏洞的開發與用途皆由中國人民解放軍集中控管，根本就是製造零日漏洞的機器。」</p> <p>中國網路攻擊另一個重大的轉變，是建構一個擴及全球的網路攻擊跳板。中國駭客利用不安全的家用路由器、中小企業的辦公室路由器或連網IoT裝置，先行入侵這些設備，將其組成一個龐大的傀儡網路。在一起美國軍事機構駭客入侵事件中，首先追查到的攻擊來源是美國境內的家庭路由器，再往後追查又是很複雜的網路跳接，就會讓整個調查行動進度緩慢。John Hultquist指出，現在中國駭客可以從全球任何一個地方發動攻擊，以混淆視聽，達到掩飾的效果，讓調查人員難以溯源追查。</p> <p>中國網攻的大轉變仍在進行中，Sandra Joyce說：「在這種情勢下，地緣政治事件將導致網路攻擊事件，已是必然的趨勢。」</p> </div></div></div>
2023/9/27 16:40作者吳其勳https://www.ithome.com.tw/news/159003
【跨域組金融醫療團隊，自建FHIR引擎轉換病歷標準】國泰金發展醫療大平臺的關鍵一步
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>說起理賠，許多人的印象是到醫院掛號、申請診斷書，交給保險業務，經過漫長等待才獲得理賠。但對壽險業者來說，這是個高度複雜的多對多流程挑戰。一家壽險業者，會收到來自全臺大大小小醫院的診斷書，每一家格式都不盡相同，也未必都符合理賠作業的資料需求。因此，壽險業者得耗費大量人力來整理、審核資料，才能核准理賠。</p> <p>要是有個工具，能解決醫院、壽險業者間資料格式轉換的問題，縮短民眾等待時間，甚至往前一步，讓資料在醫院端先轉換成國際通用的交換標準，符合國家政策和國際趨勢，就會是一大幫手。這正是國泰金控想實現的目標，也是他們自建iFHIR Center電子病歷交換平臺的起心動念。</p> <p><span style="font-size:28px;"><strong>契機：醫療和壽險資料規格不一</strong></span></p> <p>這套平臺由國泰金控數位數據暨科技發展中心（簡稱數數發中心）一手打造。數數發中心是國泰集團內部負責研發新技術的組織，也專責協助集團子公司導入新技術、推動數位轉型。</p> <p>數數發中心雲端策略發展部副總經理陳維銘指出，數數發中心一直有專責團隊，研究金融與醫療的創新應用場域。由於國泰集團自有壽險和醫院，在COVID-19疫情間，相關理賠案件大增，團隊很快發現，為了因應不同醫院文件差異的人工審查作業，越來越是件麻煩事。</p> <p>因此，他們決定打造一套工具，來解決壽險與醫院間理賠資料格式不統一的痛點。當時，衛福部正好開始推動國際交換標準FHIR，激發數數發團隊進一步思考，若能將病歷資料，從現有的CDA R2標準先轉換為FHIR標準，再進行理賠資料交換，這麼做不只符合國家和國際趨勢，對醫院未來的潛在資料交換場景和應用，也更有幫助，可以成為一個多贏的作法。</p> <p>於是，2021年底，數數發中心成立了金融醫療科，由數數發中心雲端策略發展部金融醫療科經理廖銘宏帶隊，來開發這套工具。</p> <p><span style="font-size:28px;"><strong>組隊借鏡醫院經驗，盤點病歷種類</strong></span></p> <p>廖銘宏指出，他們採取分階段的策略，先打造iFHIR Center電子病歷交換平臺，將病歷資料轉換為FHIR標準，之後再透過iClaim智能醫療理賠平臺等工具，來進行醫療機構和人壽間的理賠病歷資料傳輸。</p> <p>為了開發交換平臺核心的FHIR轉換工具，數數發中心聯手集團旗下國泰醫院，先盤點醫院資源、了解作業流程。資料格式轉換的複雜度取決於醫院病歷，初步盤查後發現，高達40多種病歷，所需的表單類型也非常分歧。</p> <p>在專案初期，這個轉換複雜度涵蓋的範圍太大了。為找出最低成本的最小可行性產品（MVP），國泰醫院從醫院觀點提供實務經驗，雙方進一步縮小範圍，先聚焦到幾項常用的病歷單張。數數發團隊則從國泰醫院分享中，了解到醫院可用的資源、規範等現況和限制，並根據這些資訊來調整專案規畫，比如在轉換平臺中添加病歷資料的自定義樣板。</p> <p>不只請教國泰醫院，數數發團隊還找上外部醫資專家，來學習FHIR知識，展開一系列知識分享會和培訓課程，範圍涵蓋基本的FHIR資源組成和複雜的應用方法，並將這些技能用於平臺設計上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-1-iFHIR%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%9C%8B%E6%B3%B0%E9%87%91%E6%8E%A7.png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>國泰金控打造iFHIR Center電子病歷交換平臺，包含3層架構，如簡易操作的無／低程式碼操作層、定義設定層和轉換層，其中，定義設定層包含自定義樣板，可讓醫院用來定義病歷。</strong></span><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／國泰金控</span></span></p> <p><span style="font-size:28px;"><strong>自建低程式碼操作層，FHIR轉換平臺成型</strong></span></p> <p>在各種努力下，數數發團隊在2022年，完成iFHIR Center電子病歷交換平臺的開發。這款平臺共有3大層，包括了無程式碼／低程式碼操作層、定義設定層，以及FHIR轉換層。</p> <p>其中，操作層可讓醫院使用者，直覺地用來設定原本電子病歷對應FHIR的定義。因為，醫院現行的病歷若要轉換為FHIR格式，需花時間一一定義個別欄位、確認欄位，往往曠日費時。為了優化這段流程，數數發團隊打造了簡單直覺的操作介面，讓使用者幾乎不需寫程式碼，只需簡單設定妥要轉換的欄位就能進行，節省了不少工作時間。</p> <p>再來是定義設定層，該層提供了現行CDA R2標準和自定義樣板，讓醫院使用者可以定義自己的病歷格式。</p> <p>這個自定義樣板，正是源自國泰醫院多年經驗打造而成。雖然醫院病歷多達數十種，可是，衛福部只有針對常用病歷，預先訂出符合CDA R2標準的專用格式，醫療機構少用的病歷則不規範，得靠醫院自行定義，如國泰醫院就自行定義了11張病歷單張。這類自定義病歷多為XML格式，在定義設定層上提供的自定義樣板，正是為了讓醫院用來定義這些官方未規範的病歷。</p> <p>除了操作層、定義設定層，iFHIR Center平臺還有一個FHIR轉換層，能根據設定層的樣板設定，將CDA R2標準或自定義XML格式的電子病歷資料，轉換為FHIR JSON格式。這還沒結束，這些經平臺轉換的FHIR JSON病歷資料，會寫入FHIR伺服器，來進行不同機構間的FHIR資料交換。也就是說，欲交換的機構可在FHIR伺服器上，取得所需資料。</p> <p>除了功能性分層，在技術上，iFHIR Center電子病歷交換平臺採用了微服務架構設計，來確保平臺彈性和擴充性，也部署在公有雲上。廖銘宏解釋，雲端模式可降低醫院IT維運負擔，而且，衛福部去年開放電子病歷上雲，允許機構使用境內雲端服務。考量符合衛福部規範、在臺設置資料中心等因素，團隊後來決定部署到Google雲平臺。</p> <p><span style="font-size:28px;"><strong>持續優化平臺，要讓使用者能直接調整</strong></span></p> <p>除了架構上的斟酌，這個平臺最重要的核心是FHIR病歷規格。為確保平臺支援的FHIR電子病歷單張規格，能夠符合衛福部的指引規範，數數發團隊不只密切關注衛福部提出的臺灣核心實作指引（TW Core IG），也聘請了參與指引制定的專家，來協助設計平臺。</p> <p>不過，衛福部的TW Core IG還未涵蓋到所有常見的電子病歷單張，實作指引日後還會不斷調整。因此，「持續優化！」廖銘宏指出，他們正將iFHIR Center平臺的FHIR設定功能，調整為更彈性的方式，讓使用者只需參考TW Core IG規範變更，進行基礎的欄位對應（Mapping）後，就能轉換病歷資料。</p> <p>國泰金控數數發中心雲端策略發展部金融醫療科企業架構師張芳瑜進一步解釋，現行的CDA R2病歷資料標準為XML格式，就像是一份已有固定欄位的表格（Table），但是FHIR則由一個個反覆重用的資源（Resource）所組成，就像是可重複組合的積木。使用者要將CDA R2檔案轉為FHIR，得將XML檔案中的特定內容，對應到對應的FHIR資源中，如將表格中的病人姓名、性別等基本資料，對應到FHIR的姓名、性別資源。</p> <p>不過，一開始，國泰先將轉換邏輯寫入到程式來提高速度，因此難以根據指引的更動來快速調整，在臨床作業上會帶來一些困擾，比如，第一線病歷室職員平臺瞄準的使用者群，也很了解病歷欄位定義，但是，衛福部指引變動時，只能靠不熟悉欄位定義的IT人員來修改程式碼。後來，數數發團隊決定將調整權交給第一線使用者，讓他們可以自行根據指引現狀，調整欄位內容，才發展出更簡潔的設定介面。</p> <p>目前，這套iFHIR Center平臺支援的電子病歷單張達到了17張，包含檢查報告、門診病歷、出院病摘、檢驗報告、手術記錄、病理報告、護理計畫、急診檢傷、會診記錄、證明書、病歷首頁、急住醫矚、化療醫囑、呼吸治療、復健報告、住院歷程、電子表單等。</p> <p><span style="font-size:28px;"><strong>邁入推廣測試階段，已有近10家醫學中心加入</strong></span></p> <p>平臺開發完成後，國泰開發團隊參加了2022年第三屆臺灣FHIR聯測松，來測試1.0版平臺的能力。這是產官聯手舉辦的FHIR聯測松活動，要提供醫院、醫資廠商、平臺開發者等多方來驗證，自己是否能按照規定的FHIR格式拋轉醫療資料。在那場聯測中，數數發團隊報名了3個賽道，包括病人基本資料、處方用藥及文件打包，以及緊急醫療救護，最後也成功通過這3種情境的測試，證實平臺具備這3類FHIR資料交換能力。</p> <p>與此同時，數數發團隊也拜訪全臺近10家醫學中心等級醫院，與這些醫院一一展開測試，由醫院傳送假資料來測試FHIR轉換器，評估平臺能否將資料轉換為FHIR標準。在這個驗證階段，資料先傳送到數數發團隊建置的環境中。不過，待iFHIR Center平臺正式上線後，使用者可將平臺部署在自家私有雲上，或由數數發團隊提供容器化版本，來讓使用者部署在醫院端，於虛擬機器上執行。</p> <p>由於數數發中心並非廠商身分，因此不會將這套平臺包裝為產品服務來販售，而是作為工具，提供給醫院使用。這意味著，醫院可將這套平臺用於不同資料交換場景，比如緊急救護、轉診等。陳維銘指出，數數發團隊希望，藉提供這個工具，能吸引醫院共同發展應用案例，如理賠抵繳。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-2-%E5%9C%962-3%E5%B9%B3%E8%87%BA-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%9C%8B%E6%B3%B0%E9%87%91%E6%8E%A7.png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>FHIR標準轉換平臺是國泰金控金融醫療生態圈布局的第一階段，目前也展開第二階段，建置iClaim智能醫療理賠平臺和iHealthShare醫療理賠資料查詢平臺，來加速醫療理賠資料傳輸和查詢。第三階段則是與醫療健康照護產業發展生態圈。</strong></span><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／國泰金控</span></span></p> <p><span style="font-size:36px;"><strong>首波瞄準理賠抵繳，下一步要建金融醫療生態圈</strong></span></p> <p>理賠抵繳正是iFHIR Center平臺首波瞄準的應用情境。一般來說，民眾要申請住院理賠，得收集紙本的診斷報告、檢驗檢查資料和收據，再交給保險業務員處理。若遇上定期回診狀況，民眾就得分批收集紙本資料，時間冗長且有丟失風險，影響理賠金額。</p> <p>因此，數數發團隊構思的應用情境是，透過保戶民眾在醫院App授權同意，來啟動iFHIR Center平臺，自動將民眾在醫院的診斷報告、檢驗檢查和收據等資料，轉換為FHIR標準，並傳送給壽險業者。同時，壽險業者端也能根據資料來試算抵繳金額，民眾離院繳費時，就能直接採取理賠抵繳，甚至不用付現金。</p> <p>為實現這一目標，數數發團隊已經展開第二階段的平臺建置，打造iClaim智能醫療理賠平臺和iHealthShare醫療理賠資料查詢平臺，來分別加速醫療機構和人壽間的理賠病歷資料傳輸、強化醫療和保險業者間的資訊互通，後者還可查詢民眾的理賠申請資料、iFHIR授權病歷和iClaim抵繳金額等資訊。有了這些平臺，就能展開第三階段任務，與醫療健康照護產業發展更多應用場景。</p> <p>從打造轉換引擎到發展互通平臺，國泰格外聚焦資料傳輸的安全。由於病歷資料屬特種個資，數數發團隊深知資料保護重要性，採用了2項技術來確保安全，包括用ECDH演算法來加解密病歷資料，以及用ECDSA演算法來進行資料的數位簽章。</p> <p>進一步來說，ECDH的好處是不必與所有平臺使用者（含醫院、保險業者）明訂金鑰，而是透過傳送方私鑰和接收方公鑰，來產生金鑰，進行加密工作。另外，接收方的私鑰再加上傳送方的公鑰，則能產生一把一模一樣的金鑰，來進行資料解密。而數位簽章的做法，則與常見概念相同，就是透過私鑰簽章、公鑰驗章，來確保資料完整性和真實性。</p> <p>他們希望透過這些技術，來簡化醫院與壽險業者的理賠和核保流程。不只如此，數數發團隊還有更多理想應用情境，比如iFHIR Center平臺可用來加速醫院與照護機構的資料互通，提高照護監測品質，又或是醫院與其他醫療機構以此交換資料，來加速醫療決策和服務。甚至，這些工具還能用來打造醫療數據庫，以利大規模醫療科技應用研發。國泰金控更長遠的願景是，借助這些工具和應用場景，來形塑出一個金融醫療生態圈。</p> <p><span style="color:#FFFFFF;"><span style="font-size:36px;"><strong><span style="background-color:#3399ff;"> 設計醫院FHIR課程，分享避坑指南 </span></strong></span></span></p> <p><span style="color:#696969;"><strong>國泰金控數數發中心不只自建iFHIR Center電子病歷交換平臺，為了讓醫院使用者順利上手這套工具，他們還設計一套FHIR入門課程。進一步來說，這款iFHIR Center平臺瞄準醫院病歷室職員，要讓使用者輕鬆將CDA R2標準的病歷資料，轉換為FHIR標準。在開發過程中，數數發團隊不只向國泰醫院請益，也聘請外部專家來學習FHIR知識。</strong></span></p> <p><span style="color:#696969;"><strong>儘管FHIR標準在2011年就於美國推出，但近年才在臺灣受重視。也因此，FHIR的應用與學習資源，在臺灣仍不算多。國泰數數發團隊在這個條件下，跨領域學習、開發FHIR轉換平臺，「下了很多功夫，」國泰金控數數發中心雲端策略發展部金融醫療科經理廖銘宏說。</strong></span></p> <p><span style="color:#696969;"><strong>他們彙整自己的開發和學習經驗來設計課程，「不只告訴醫院FHIR是什麼，也讓他們避免我們踩過的坑，」廖銘宏表示。國泰數數發團隊開給醫院的課程，包括基礎的FHIR介紹，像是FHIR的組成、結構、如何將現行病歷資料對應（Mapping）到FHIR資源中，以及如何使用iFHIR Center平臺等內容。在課程中，團隊也穿插出考題，來評估醫院使用者是否理解學習內容。</strong></span></p> <p><span style="color:#696969;"><strong>國泰金控數數發中心雲端策略發展部金融醫療科企業架構師張芳瑜指出，對醫院來說，FHIR資料對應是挑戰較大的部分。</strong></span></p> <p><span style="color:#696969;"><strong>因為，FHIR有細緻的欄位定義，需要醫院使用者重新檢視現行CDA R2標準的病歷內容，再將這些內容拆分、準確對應到FHIR欄位，如此才能順利轉換。但有些醫院，未必完全遵照CDA R2規範，因此得花更多時間整理原有病歷內容，才能進行欄位對應和轉換。</strong></span></p> <p><span style="color:#696969;"><strong>同時，數數發團隊也分享踩雷經驗，張芳瑜舉例，使用開源FHIR伺服器HAPI FHIR時，團隊遭遇到一個長期未修復的程式錯誤問題，也就是在該伺服器上查詢資料時，無法給出整份資料。這時，就得使用其他程式來處理。他們將這類經驗分享給醫院使用者，讓更多人熟悉這項應用。</strong></span></p> <p><span style="color:#696969;"><strong>今年，他們還聯手臺灣醫療影像資訊標準協會，要在國泰金控舉辦2023年度FHIR聯測松，來讓醫資廠商、醫院、學研政府等機構，來測試FHIR資料交換能力，擴大生態圈影響力。</strong></span></p> </div></div></div>
2023/9/27 16:00作者王若樸https://www.ithome.com.tw/news/158999
駭客正鎖定LastPass用戶發動釣魚信件攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日有不知名駭客鎖定LastPass用戶發動釣魚信件攻擊，導致LastPass用戶的密碼及個資外洩，連LastPass員工也受害。</p> <p>本月13日LastPass接獲用戶通報遭到釣魚信件攻擊，<a href="https://www.malwarebytes.com/blog/news/2023/09/nasty-lastpass-phish" target="_blank">安全廠商Malwarebytes也取得信件樣本進行分析</a>。這波攻擊中，用戶接到貌似LastPass技術支援單位寄來的信件，表示用戶某項功能遭到封鎖，用戶需在9月26日前輸入個資完成身分確認以便重啟該功能。為數不詳的用戶點入信中所附連結連進釣魚網站後，讓駭客取得了個資。</p> <p class="rtecenter"><a href="https://www.malwarebytes.com/blog/news/2023/09/easset_upload_file2015_282256_e.jpg" target="_blank"><img alt="" src="https://www.malwarebytes.com/blog/news/2023/09/easset_upload_file2015_282256_e.jpg" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Malwarebytes</span></span></p> <p>被騙走的用戶個資包括電子郵件、公司名稱、用戶姓名、住家地址、電話號碼、IP位置，駭客並用這些資訊竊取了用戶的密碼庫（password vaults）。<a href="https://blog.lastpass.com/2023/09/lastpass-threat-intel-team-and-phishlabs-work-together-to-protect-customers-from-phishing-scams/" target="_blank">不過LastPass聲稱</a>，如果用戶有遵循密碼最佳實作的話（例如主密碼使用強密碼），要暴力破解取得密碼庫儲存的密碼並不容易。</p> <p>釣魚網站是代管在本月才設立在斯洛維尼亞的網域。LastPass指出，儘管9月上旬該公司聯同安全廠商關閉了該網域，到了9月下旬又死灰復燃，再度發動攻擊。受害者有多少不得而知，LastPass指出，這波攻擊是全球性，受害者遍及不同產業，也包括該公司87名員工。</p> <p>LastPass相信這波攻擊和去年8月竊走該公司用戶密碼庫的安全事件，並非同一群人所為。去年8月事件中，駭客成功竊走客戶加密密碼庫，也鎖定一名員工，並成功獲得憑證和金鑰，以存取和解密雲端資料庫，取得部分原始碼和技術資訊。</p> <p>安全廠商提醒，要防止被網釣攻擊，除了提高警覺外，最好使用密碼管理器，此類工具不會將用戶憑證輸入假網站。此外業者說，雙因素驗證（2FA）也有分，有的只是密碼而已，使用者應該選用搭配FIDO2裝置（例如USB硬體式）的2FA。</p> </div></div></div>
2023/9/27 13:37作者林妍溱https://www.ithome.com.tw/news/158995
美國FCC提議恢復網路中立規定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦通訊委員會（Federal Communications Commission，FCC）主席<a href="https://docs.fcc.gov/public/attachments/DOC-397235A1.pdf" target="_blank">Jessica Rosenworcel在周二（9/26）提案恢復網路中立（Net Neutrality R）規定</a>，重新將寬頻服務供應商納入《聯邦通訊法》（Communications Act of 1934）中用來規範公共事業的Title II中，再度建立FCC對寬頻供應商的管轄權。</p> <p>其實FCC只是要重返2015年所制定的網路中立政策，當時FCC即將ISP業者的服務列入規範較嚴格的Title II類別，並要求ISP業者應該平等對待網路上的資料，不應基於不同的使用者、內容、型態、網站、平臺、通訊模式，或設備而有差別待遇。</p> <p>然而，當美國總統川普（Donald Trump）於2017年上任之後，改朝換代的FCC即在<a href="https://www.ithome.com.tw/news/123822" target="_blank">2018年實施了用來取代網路中立政策的《恢復網路自由命令》</a>（Restoring Internet Freedom Order），把針對ISP業者的規範從Title II移至較為寬鬆的Title l，認為寬鬆的政策才能創造更開放與自由的網路，並可移除阻礙寬頻投資的規定。新的政策也讓ISP業者有權封鎖網站並依流量訂價。</p> <p>其實《恢復網路自由命令》受到許多抵制，並有許多州不管該法令，自行訂定了網路中立規定，<a href="https://www.ithome.com.tw/news/133397" target="_blank">還受到上訴法院的支持</a>。</p> <p>不過，這件事在美國總統拜登（Joe Biden）於2021年1月上任後又有了改變，由新成員組成的FCC再度提出了網路中立政策。</p> <p>現任的FCC主席Rosenworcel表示，網路對社會與經濟太重要了，不能缺乏有效的監管，但FCC在2018年廢除了網路中立，並放棄對寬頻的監督，現在他們將重新建立FCC對寬頻的監管，同時恢復統一的網路中立規則。此外，寬頻網路服務已是美國人生活上不可或缺的服務，而《聯邦通訊法》Title II即可用來確認寬頻服務與水、電及電話等服務一樣，都屬於必需品，新規定將讓固網與行動網路重返它們作為基本電信服務的地位。</p> <p>新的網路中立政策大部分與2015年的規定類似，要求網路服務供應商不得阻止合法內容或限制使用者速度；應重新分類寬頻網路存取，提供政府機構及安全合作夥伴適合的工具來抵禦安全威脅；應向FCC及使用者通報網路中斷狀況；以及建立全美統一的網路中立規定等。</p> </div></div></div>
2023/9/27 14:42作者陳曉莉https://www.ithome.com.tw/news/158996
Cloudflare要以Cloudflare Fonts挑戰Google Fonts
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>內容遞送網路供應商暨雲端資安業者<a href="https://blog.cloudflare.com/cloudflare-fonts-enhancing-website-privacy-speed/" target="_blank">Cloudflare在本周一（9/25）發表了Cloudflare Fonts</a>，企圖挑戰Google Fonts（Google字型）。Cloudflare宣稱Cloudflare Fonts不必從第三方的Google伺服器載入字型，強化了使用者的隱私，也因其字型更接近使用者，再加上減少了DNS查找與TLS連結的時間，提高了網站的效能。Cloudflare Fonts預計於今年10月上線。</p> <p>Google Fonts是Google所建置的開源字型平臺，提供大量的網頁字型供設計師及開發者於網頁專案中使用，開發者可先於HTML程式碼中置入字型連結，再以CSS樣式來指定哪些元素應該使用所指定的字型。目前Google Fonts提供了1,562種字型家族，也是全球最熱門的網頁字型，<a href="https://www.datanyze.com/market-share/web-fonts--16" target="_blank">市占率接近90%</a>，居次的則是Adobe Fonts的12%。</p> <p>Cloudflare解釋，要自Google載入字型時，網站必須與Google伺服器交換資料，意味著造訪該站的使用者必須直接傳送請求至Google，也讓Google有機會累積大量資料，包括IP位址、使用者代理人、展示字型的網頁或是特定IP提出請求的頻率等，縱使Google宣稱該站不會使用相關資料來遞送廣告或設定Cookie，但Google終究還是取得了使用者的資料。</p> <p>而Cloudflare Fonts則是直接來自客戶的網域，不必向第三方網域送出請求，亦滿足了資料在地化的相關規定。</p> <p>在效能上，載入Google Fonts牽涉到HTML與CSS，且它們由不同的網域代管，瀏覽器要成功從Google伺服器上取得一個字型需要經歷DNS查找、建立連結、HTTPS的TLS交涉，以及資源的請求等，總計會有8次往返。而Cloudflare Fonts則把往返次數大幅縮減至一次，因而強化了效能。</p> <p>Cloudflare的說明，由於不必向第三方伺服器提出請求，因此可省去DNS查找、建立連結與TLS交涉的程序，再加上Cloudflare改寫了於Cloudflare網路上傳遞的HTML，直接嵌入CSS回應，而字型的URL轉換亦於該CSS中執行，使得載入Cloudflare Fonts只需一次往返。</p> <p>根據Cloudflare的測試，在使用Google Fonts時，瀏覽器要將使用者可見的內容渲染到螢幕上的開始時間（First Contentful Paint ，FCP）為0.9秒，但啟用Cloudflare Fonts之後，FCP即降至0.3秒。不過，對於一般的FCP標準而言，1.8秒內就是不錯的表現了。</p> <p class="rtecenter"><img alt="" src="https://blog.cloudflare.com/content/images/2023/09/image6-1.png" style="width: 500px;" /></p> <p>目前Cloudflare尚未公布Cloudflare Fonts所提供的字型數量。</p> </div></div></div>
2023/9/27 14:55作者陳曉莉https://www.ithome.com.tw/news/158998
包含Copilot、Windows 365新功能的Windows 11正式提供下載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼<a href="https://www.ithome.com.tw/news/158879" target="_blank">上周預告</a>後，微軟周二<a href="https://blogs.windows.com/windowsexperience/2023/09/26/the-most-personal-windows-11-experience-begins-rolling-out-today/" target="_blank">宣布Windows 11更新版正式釋出</a>，包含AI助理Copilot、AI強化多項原生應用程式、Windows 365及IT管理新功能。</p> <p>最新版Windows 11 22H2更新，包含150多項新功能，用戶可在「設定」> Windows Update檢查是否已經可更新。微軟預計會在11月安全更新前，完成所有功能的部署。</p> <p>一如上周預告，其中最重要的新功能是Copilot for Windows。使用者可以在文字提示視窗輸入自然語言文字讓它執行任務，包括搜尋網路、電腦中的文件或檔案、將藍牙和耳機配對、或是抓取App螢幕擷圖。Copilot for Windows位於工作列或透過快捷鍵「WIN+C」開啟，但使用者必須先登入微軟帳號（Microsoft account）或Microsoft Entra ID（原Azure Active Directory）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/copilot-in-windows.png" style="width: 600px;" /></p> <p>微軟另外強調，以AI更新的Windows 11原生程式。其中小畫家除了支援圖層和透明度，還預覽了名為Paint Cocreator的工具（下圖），允許使用者以文字提示、選擇想要的風格來產出圖片，並以Content Credential加入證明是AI創作的浮水印。這工具預計明天推向Insider用戶，未來幾周會全面部署。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Paint%20Cocreator%20preview.jpg" style="width: 600px;" /></p> <p>影片編輯工具Clipchamp的Auto Compose（下圖），可由AI建議場景、編輯、旁白協助用戶製作影片，完成後可選擇儲存在OneDrive或Google Drive。AI強化的剪貼工具加入「文字處理（text actions）」視窗，允許使用者存放從網頁或其他來源擷取文字再貼到文件或簡報檔中，或是把圖片的某些部分塗黑以確保隱私。相片（Photos）程式新增可搜尋儲存在OneDrive相片的功能。新的備份功能可備份Windows 10以上版本的檔案、設定和應用程式，而Windows 11 22H2以後版本還支援回復（restore）。備份是儲存在OneDrive上，故必須登入微軟帳號。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0927-Windows%2011-Microsoft%20Clipchamp-Auto%20Compose.jpg" style="width: 600px;" /></p> <p>Windows 11也強化了語音控制功能，包括語音操作（Voice Access）新增可使用地方，包括登入、以口說修正文字、或在拼字檢查中口說定義新字。此外，朗讀程式提供用戶3種聲音選擇，現在除了美式英文再加入8種語言包括中、日、韓、西、葡、法、德，以及英式與印度英語。</p> <p>在安全功能方面，22H2更新透過Windows Hello支援通行密鑰（passkey）（下圖），passkey可支援Edge、Chrome、Firefox等瀏覽器，而結合Microsoft Entra ID帳號登入則可允許企業IT部門以Windows Hello for Business執行列管裝置的無密碼登入公司資源。若員工欲使用非列管裝置，如自己的PC存取公司網路資源，22H2更新版內建Windows行動應用管理（Mobile Application Management for Windows），可讓員工以Edge連上公司網路時可為IT監控。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0927-Passkeys-Windows%2011-Windows%20Hello.jpg" style="width: 600px;" /></p> <p>Windows 11更新也加入了力推Windows 365雲端作業系統工具。除了可讓用戶在桌機和雲端切換的Windows 365 Switch，22H2又新增Windows 365 Boot，讓一些作業型態，如客服人員一開機就能登入Windows 365 Cloud PC作為主要作業系統。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0927-Windows%20365%20Switch-Windows%2011-icon%20in%20the%20taskbar-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">Windows 365 Switch</span></p> <p class="rtecenter"><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%20of%20signing%20into%20Windows%20365%20Cloud%20PC-Windows%20365%20Boot(1).png" style="width: 600px;" /></span></p> <p><span style="color: rgb(105, 105, 105);">Windows 365 Boot</span></p> <p>其他功能包括加入AI建議的新檔案總管及開始功能表、新版Outlook for Windows、加入home頁的「設定」App、預覽Instant Games功能──讓具有Game Pass subscriptions的用戶不需下載，可在Windows版Microsoft Store直接玩遊戲，以及動態光源裝置、自動色彩管理。</p> <p><span style="color: rgb(105, 105, 105);">圖片來源：微軟</span></p> </div></div></div>
2023/9/27 12:38作者林妍溱https://www.ithome.com.tw/news/158994
DeepMind證明LLM可高效無損壓縮聲音與影像
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年機器學習的主要研究，都集中在訓練越來越強大的自監督語言模型，而由於這些模型具卓越的預測能力，因此也有成為壓縮器的潛力。DeepMind研究人員評估大型基礎模型的壓縮能力，發現這些模型是強大的通用預測器，不僅能夠處理文字資料，更<a href="http://arxiv.org/abs/2309.10668">可處理圖像聲音進行高效壓縮</a>。</p> <p>DeepMind在研究中，使用了一個稱為Chinchilla 70B模型，雖然這個模型主要以文字訓練，但是研究人員發現該模型也可用於壓縮ImageNet圖片，可將檔案壓縮至原始大小的43.3％，甚至可將LibriSpeech語音樣本壓縮至原始的16.4％。</p> <p>研究人員提到，這個壓縮表現超過專門為圖像或是語音設計的壓縮演算法，像是無失真壓縮點陣圖圖形格式PNG只能壓縮該圖片至58.5％，音訊檔無失真壓縮演算法FLAC也只能將音訊壓縮到30.3%。</p> <p>DeepMind的研究證明，預測和壓縮之間存在等價性，因此研究人員可以使用任何壓縮演算法，建立一個更加強大的條件生成模型。由於好的預測模型能夠準確預測資料中的模式和規律，而這種能力讓模型能夠成為一個高效的壓縮器，因為當一個模型能夠精確預測未來的資料點，也就能夠捕捉資料的本質特徵和結構，有效地壓縮資料。</p> <p>壓縮是一種資訊編碼的過程，目標是要以更少的位元表示資料，因此當模型能夠精確預測資料，其實也就代表模型學會了一種資訊編碼的方式，這種編碼方式能夠用來壓縮資料，因為模型已經理解了資料中的特徵和模式。</p> <p>語言模型能精確預測下一個字，也就代表可以用於壓縮文字資料，因為模型有能力找出文本中重複或是可預測的模式，並用更少的位元來表示這些模式。而這個結論同樣適用於圖像和音訊，當模型已經可以預測這些資料中的模式，也就能夠壓縮這些資料。</p> <p>DeepMind研究的主要貢獻，包括證實基礎模型無損壓縮的能力，在當前語言模型資源取得越趨容易的情況下，任何人都可以取得語言模型並將其用於壓縮中，而不需負擔額外的訓練成本。同時，研究也顯示，主要在文字上進行訓練的基礎模型，由於其上下文學習能力，因此能夠很好地成為通用壓縮器。</p> <p>研究還發現，要將模型用於壓縮上，模型並非越大越好，過大的模型可能反而對壓縮效能產生負面影響，因為模型的參數本身也需要在輸出中被考慮進去，當有一個模型具有非常多的參數，雖然能夠有效壓縮資料，但是龐大的參數本身也會成為負擔，這些參數也需要被儲存和傳輸。</p> <p>而自然語言處理常用到的分詞（Tokenization）方法，把一串文字切割成更小、更容易處理的步驟，在壓縮上不會提高壓縮效率，但可以增加模型在特定上下文中的資訊內容。透過上下文的學習，模型能夠根據不同任務，動態調整壓縮策略，達到更高的壓縮效果。</p> <p>這篇研究的主要重點，探討模型與壓縮器間的等價性，證明兩者可以互相轉換。研究人員也評估語言模型作為壓縮器的能耐，並發現模型不只能夠良好地處理文字資料，也能夠在未受過訓練的資料模式，像是圖像與音訊上表現出色。這篇研究提供一個看待模型的全新角度。</p> </div></div></div>
2023/9/27 11:17作者李建興https://www.ithome.com.tw/news/158981
美國17州與FTC控告Amazon壟斷市場並提高價格
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦交易委員會（Federal Trade Commission，FTC）與17州的檢察長<a href="https://www.ftc.gov/news-events/news/press-releases/2023/09/ftc-sues-amazon-illegally-maintaining-monopoly-power" target="_blank">在周二（9/26）聯手控告Amazon壟斷市場</a>，指控Amazon透過一系列的反競爭與不公平的策略，非法維持其壟斷勢力，蘊釀許久的反壟斷訴訟正式曝光，同一天<a href="https://www.aboutamazon.com/news/company-news/amazon-ftc-antitrust-lawsuit-full-response" target="_blank">Amazon即祭出長文</a>反擊，但Amazon當天股價依舊下挫了4.03%，以125.98美元作收。</p> <p><a href="https://www.ftc.gov/system/files/ftc_gov/pdf/1910129AmazoneCommerceComplaintPublic.pdf" target="_blank">控方於訴狀中指出</a>，Amazon的違法並不在於它規模龐大，而在於它採取了一系列的排他性行為，進而阻止現有競爭對手的發展，也抑制新競爭對手的出現。</p> <p>Amazon的反競爭行為同時出現在服務消費者的線上賣場，以及服務商家的線上市集。例如當發現賣家於其它賣場提供低於Amazon的價格時，就會調降賣家排序以示懲罰，或是設下高門檻的Prime專案，同時強迫賣家採用高成本的Amazon物流服務。</p> <p>此外，Amazon還被控以付費廣告取代自然搜尋結果，且其搜尋結果偏愛自家產品，向賣家所收取的廣告費與手續費等費用已接近賣家總收入的一半。</p> <p>訴訟認為，Amazon壓榨賣家的行為不僅影響了賣家，也間接使得其它競爭平臺無法發展，賣家的高成本亦墊高了商品價格，危害消費者權益。</p> <p>加入此一訴訟的州別包括康乃狄克州、德拉瓦州、緬因州、馬里蘭州、麻州、密西根州、明尼蘇達州、紐澤西州、新罕布夏州、新墨西哥州、內華達州、紐約州、奧古拉荷馬州、俄勒岡州、賓州、羅德島州及威斯康辛州。它們一同向法院尋求永久禁令，禁止Amazon從事非法行為，瓦解Amazon的壟斷控制以恢復競爭。</p> <p>當天<a href="https://www.aboutamazon.com/news/company-news/amazon-response-to-ftc-antitrust-lawsuit" target="_blank">Amazon</a>也祭出了回應，指責FTC從根本上偏離了保護消費者及競爭的使命，聲稱FTC所質疑的這些作法不僅可刺激整個零售業的競爭與創新，也替Amazon的客戶帶來更多的選擇、更低的價格及更快的交貨速度，亦替賣家帶來更多的機會。</p> <p>Amazon說，倘若FTC如願以償，那麼結果將會是消費者可選擇的產品變少、價格上漲、交貨速度變慢，且小型賣家的選擇也會減少，剛好與反壟斷法的初衷背道而馳。</p> </div></div></div>
2023/9/27 11:41作者陳曉莉https://www.ithome.com.tw/news/158991
微軟要讓開發者以Rust編寫Windows驅動程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟Azure技術長Mark Russinovich在X平臺（前推特）<a href="https://twitter.com/markrussinovich/status/1705730703957405826">發文</a>，公開最近微軟擴大採用Rust的成果，微軟Surface團隊開發了一個平臺，讓開發者可以使用Rust程式語言來撰寫Windows驅動程式。由於現在Windows驅動程式大多以C或是C++編寫的，所以此舉也引來社群討論。</p> <p>Mark Russinovich在去年的時候就發文，認為在考量安全性和可靠性的因素下，不應該再使用C/C++，而要改用更加安全的程式語言Rust開發專案。不過，當時Mark Russinovich的貼文收到許多反對意見，認為這是不切實際的想法。</p> <p>微軟則一直朝這個方向前進，除了微軟原本就是Rust基金會創始會員之外，Mark Russinovich在今年5月釋出微軟以Rust重寫Windows 11核心的消息，而現在微軟Rust開發工作又推進到下一步。微軟在GitHub公開新專案<a href="https://github.com/microsoft/windows-drivers-rs">windows-drivers-rs</a>，這是一個由多個Rust套件（Crates）組成的專案，目的是要讓開發者能夠使用Rust開發Windows驅動程式。這個專案計畫支援WDM（Windows Driver Model）和WDF（Windows Driver Foundation）兩種不同的驅動程式開發模型。</p> <p>不過目前這個專案還在早期開發階段，官方還不建議開發者將其用於商業用途，但歡迎社群進行試驗、建議和討論。</p> </div></div></div>
2023/9/27 09:49作者李建興https://www.ithome.com.tw/news/158975
雲端時序資料庫Timescale新增向量搜尋支援AI應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端時序資料庫服務Timescale不僅可用於儲存和查詢時序資料，現在也逐步拓展支援人工智慧領域，透過新增的<a href="https://www.timescale.com/blog/how-we-made-postgresql-the-best-vector-database/">Timescale Vector</a>功能，官方採用近似最相鄰搜尋（Approximate Nearest Neighbor，ANN）技術，有效加速數百萬向量的搜尋。</p> <p>而且由於要滿足不同應用場景的需求，Timescale Vector還提供多種索引演算法，包括受到DiskANN演算法啟發的新型索引外，還有HNSW（Hierarchical Navigable Small World）與IVFFlat（Inverted File with Flat Vector Indexing）。這些新的技術加入，使得Timescale成為多功能且高效的資料庫解決方案。</p> <p>大型語言模型成為推動部分人工智慧應用程式發展的基礎，企業逐漸在其應用程式中整合人工智慧功能，而向量嵌入更是這波人工智慧熱潮的核心技術。向量嵌入將詞語和短語的語義資訊數學化，以數值向量的方式表達語義，官方提到，這樣的技術在搜尋應用中特別有用，因為允許基於語義進行搜尋，因此即便查詢和資料庫中的詞彙不完全相同也沒問題。</p> <p>向量嵌入是生成式人工智慧技術的核心，可用於查詢相關的資訊，並將其作為上下文傳遞給大型語言模型，以強化大型語言模型的輸出。因此不少資料庫皆開始資源向量搜尋功能，而這也包括熱門的時序資料庫Timescale，推出向量搜尋功能Timescale Vector。</p> <p>Timescale Vector是一個專門針對人工智慧應用的資料庫擴充功能，其以PostgreSQL為基礎運作。該工具針對向量資料最佳化，使得開發人員可以更快速且有效地執行近似最相鄰搜尋。ANN僅是一個廣泛的搜尋框架，專門用於大型高維資料集中，尋找一個點的最近鄰居，而Timescale Vector提供了多種索引演算法，來實現ANN搜尋。</p> <p>Timescale Vector除了提供受到DiskANN演算法啟發的新型索引方法之外，還提供了PostgreSQL資料庫向量類型擴充功能pgvector中的HNSW與IVFFlat演算法。不同的演算法具有不同的優點和限制，Timescale Vector針對不同場景提供豐富的演算法，供開發者依據需求選用。</p> <p>根據基準測試，對100萬個OpenAI向量嵌入執行近似最相鄰搜尋時，Timescale Vector的新索引效能比其他專用向量資料庫和現有PostgreSQL索引方法高出243％，查詢精確度達99％。</p> <p>而且由於Timescale Vector索引提供了量化向量功能，能夠節省儲存空間達到10倍。量化是一種簡化向量資料的技術，目的是要減少儲存空間和加速查詢，在Timescale Vector中啟用量化功能，可讓開發者在保留相對高查詢精準度的同時，大幅減少索引大小，對於資源有限或是需要高效運作的應用非常有用。</p> </div></div></div>
2023/9/27 09:56作者李建興https://www.ithome.com.tw/news/158980
資訊服務採購作業指引9月25日正式上路，明訂公部門編列專屬資安預算
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>我們在<a href="https://www.ithome.com.tw/article/158898">上週的封面故事</a>當中，介紹了將於<a href="https://www.ithome.com.tw/news/158882">本月份即將上路的政府資訊採購的作業指引</a>，以及新版契約範本，影響政府每年近400億元的資訊採購業務。</p> <p>新版指引分成預算編列、廠商資格、需求文件、決標作業、契約執行和爭議處理等六大面向，此次預算編列變化的重點之一，就是公部門需要將資安預算獨立編列。這樣的新做法，目的是希望能改善政府機關採購與資服業務之間長期以來的困境。本週新的採購指引的內容正式公布，引起國內各家媒體報導。</p> <p><a href="https://planpe.pcc.gov.tw/prms/explainLetter/readPrmsExplainLetterContentDetail?pkPrmsRuleContent=75001760&_csrf=41c91031-1b1a-45e1-8814-ff2f59c93227">9月25日行政院公共工程委員會發布公告</a>，為協助公部門更為即時、有效強化資訊安全，並辦理有關的資訊服務採購，他們與數位發展部規畫的「資訊服務採購作業指引」、「各類資訊(服務)採購之共通性資通安全基本要求參考一覽表」正式上路。此作業指引涵蓋四大重點：</p> <p>（一）機關需編列獨立資安預算<br /> （二）擴大工程會採購諮詢機制，並納入數位發展部<br /> （三）資服採購的原則為：不訂底價、採最有利標<br /> （四）開發過程需設定查核點。</p> <p>行政院公共工程委員會指出，考量機關按上述指引及表單辦理資訊服務採購，廠商也要配合調整，為使廠商能夠有充分時間因應，根據資料或系統的機敏程度，普級系統之資安要求訂於2024年3月1日正式施行，中、高等級則訂於2024年8月1日正式施行。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Us9c9MGRpg.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Us9c9MGRpg.png" style="width: 580px;" /></a></p> </div></div></div>
2023/9/26 22:32作者周峻佑https://www.ithome.com.tw/news/158979
Amazon投資40億美元給OpenAI競爭者Anthropic
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://press.aboutamazon.com/2023/9/amazon-and-anthropic-announce-strategic-collaboration-to-advance-generative-ai" target="_blank">Amazon周一和AI新創業者Anthropic宣布投資合作</a>。Amazon將投資Anthropic 40億美元，除了成為Anthropic雲端運行底層外，也將借其力研發AWS服務及自家AI晶片。</p> <p>這項合作下，Amazon將取得這家公司的少數所有權（minority ownership），同時也成為Anthropic關鍵負載的主要雲端供應商，負責安全研究、未來底層模型開發。Anthropic計畫未來大部分工作負載都會搬上AWS。</p> <p>相對的，Amazon也將取得Anthropic的研發資源。Anthropic不但能使用AWS Trainium及Inferentia晶片開發、訓練和部署未來的底層模型，雙方也會合作開發Trainium及Inferentia未來新技術。此外，Amazon開發人員和工程師可透過Amazon AI雲端平臺服務Bedrock存取Anthropic的模型，並將生成式AI能力整合到其專案中，用以改進現有應用或開發全新客戶服務。</p> <p>同時，Anthropic也會成為AWS AI服務的一部分。<a href="https://www.ithome.com.tw/news/156411" target="_blank">AWS今年4月宣布全代管AI平臺服務Bedrock</a>時，Anthropic已是提供其AI底層模型供應商之一（其他供應商還有Stability AI、Cohere、AI21Labs），包括2代的Claude模型。經由這次深層合作，除了AWS客戶可透過Bedrock使用這家新創公司未來底層模型外，AWS客戶還能特別享有Anthropic模型客製化及微調的功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0926-amazon%20bedrock-anthropic.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Anthropic</span></span></p> <p>這項合作下，是微軟分別對OpenAI在2019年投資100億美元，以及今年初投資數十億美元後，雲端巨擘投資AI新創公司的又一例子。Anthropic是由OpenAI前研發主管Dario Amodei於2021年創立。Anthropic今年3月發表的AI模型Claude號稱比ChatGPT更為「有幫助、誠實、無害」。<a href="https://www.ithome.com.tw/news/158669" target="_blank">該公司今年9月也首度發表了第一個收費AI助理服務Claude Pro</a>。</p> <p>不過這項合作是否意謂著Anthropic和Google關係生變不得而知。去年Google 以3億美元投資Anthropic並取得該公司10%的持股。<a href="https://www.prnewswire.com/news-releases/anthropic-forges-partnership-with-google-cloud-to-help-deliver-reliable-and-responsible-ai-301738512.html" target="_blank">今年2月Google Cloud才宣布</a>Anthropic將使用其TPU及GPU叢集訓練其模型。隨後Google相繼宣布自有AI助理Bard及Bard整合Gmail、Google Docs等自家服務。</p> </div></div></div>
2023/9/26 20:11作者林妍溱https://www.ithome.com.tw/news/158977
知名圖庫業者Getty Images搭上AI列車，發表生成式AI圖像工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.gettyimages.com/en/getty-images/getty-images-launches-commercially-safe-generative-ai-offering" target="_blank">知名圖庫業者Getty Images周一（9/25）發表</a>了Generative AI by Getty Images生成式AI圖像工具，標榜是以該公司具版權的內容進行訓練，客戶透過該工具所生成的圖像也將具備版權，可供合法的商業使用。</p> <p>於美國那斯達克上市的Getty Images擁有龐大的影像資料庫，從圖庫、編採攝影、影片到音樂，總計有超過4.7億筆數位資產，在面臨生成式AI圖像風潮之際，<a href="https://newsroom.gettyimages.com/en/getty-images/getty-images-statement" target="_blank">該公司在今年1月控告</a>了提供生成式AI圖像服務Stable Diffusion的Stability AI，原由是該模型使用了大量Getty Images所擁有的圖像進行訓練，不僅是Stable Diffusion，其它的生成式AI圖像服務多少也都涉及了版權問題，現在Getty Images則決定以自家資源擁抱AI。</p> <p>Generative AI by Getty Images是在Nvidia的Edify模型架構上進行訓練。Nvidia在今年3月推出了<a href="https://www.nvidia.com/en-us/gpu-cloud/picasso/" target="_blank">Nvidia Picasso</a>，這是一個生成式AI圖像的代工服務，可協助客戶建置客製化的生成式AI圖像應用，其原本設計包含了3個要素，一是協助客戶最佳化既有的模型，二是利用少量的客戶圖像來微調預訓練的Edify模型以符合特定需求，第三就是利用大量的企業資料集於Edify模型架構上進行訓練，透過Nvidia DGX Cloud整合上述模型並藉由企業應用輸出。</p> <p>不過，目前Getty Images只使用了第三種方法，利用其龐大的版權圖像資料庫於Edify模型架構上進行訓練，打造Generative AI by Getty Images模型以生成具版權的圖像，並可搭配該公司的客製化圖像內容（Custom Content）服務，帶來完整創意流程的圖像設計解決方案。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0926-getty%20image-600.png" style="width: 527px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Getty Images</span></span></p> <p>Getty Images表示，自Generative AI by Getty Images所創造與下載的圖像將取得標準的買斷式授權，代表客戶有權於全球展開永久的非獨家使用。這些新創造的圖像並不會被加入既有的Getty Images與iStock資料庫，但會被用來重新訓練Generative AI by Getty Images模型。</p> <p>有興趣的使用者可透過Getty Images官網存取Generative AI by Getty Images服務，客戶則可利用API將Generative AI by Getty Images整合到既有的工作流程或應用中。未來Generative AI by Getty Images也將支援客戶以私有資料進行訓練，創造獨特的品牌風格。</p> </div></div></div>
2023/9/26 20:32作者陳曉莉https://www.ithome.com.tw/news/158978
工程會正式發函公布「資訊服務採購作業指引」，即日起實施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>政府資訊服務採購過去二十年來，陸續有許多亂象發生，加上各種網路風險頻傳、資安威脅加劇，政府對於相關的資訊服務採購也新增各種資安規定，但也因為政府缺乏一套完整的資安規範，各機關各行其是，無助於政府整體資安防護提升。</p> <p>因此，政府採購的主管機關公共工程委員會和嫻熟資訊及資安的數位發展部，以及各個資訊、資安業者與公協會等單位，聯手制定一套政府《資訊服務採購作業指引》，並將《各類資訊（服務）採購之共通性資通安全基本要求參考一覽表》作為各機關資訊系統相關資安防護等級的資安規範參考。</p> <p>行政院政務委員兼工程會主委吳澤成也在9月25日正式發函給各個政府機關，要求自即日起，各機關政府的資訊服務採購都可參照政府《資訊服務採購作業指引》；另外，政府機關也依據資訊系統的機敏等級區分為普級、中級和高級，並將相關的資安規範都明列在《各類資訊（服務）採購之共通性資通安全基本要求參考一覽表》中，工程會於函式中則正式明定，普級系統將資安納入採購將於明年（2024年）3月1日施行，其他中、高級系統則於明年（2024年）8月1日正式適用。</p> <p>＠小標：各政府機關即日起適用，新制定的政府《資訊服務採購作業指引》</p> <p>政府每年都有將近400億元的資訊服務採購需求，但政府機關扮演的甲方，和提供資訊、資安服務的乙方，多年以來，面臨各種契約、價金，屢屢出現爭議協處議題，加上臺灣長期身處各種網路攻擊、資安威脅等風險之下，也對資訊系統建置時的資安規畫與契約履行造成極大的挑戰，使得原本單純的政府採購案件，陷入減價驗收、甚至是無法驗收的窘境。</p> <p>過往，政府資訊服務採購有許多亂象，也讓政府機關和資服業者陷入一個難以解決的惡性循環，因此，工程會、數位部與資訊、資安產業界以及公協會合作，制定政府《資訊服務採購作業指引》，其中，便是由乙方業者提出可執行的要項，再由甲方採購人員評估，若實務可以執行的項目，都納入相關的作業指引中。</p> <p>工程會也希望透過訂定《資訊服務採購作業指引》，從採購全生命週期，提醒機關辦理資訊服務採購相關的應注意事項，也可以強化機關資訊服務採購做到需求明確、合理編列費用及減少相關的履約爭議，更重要的是，除了將資安納入採購合約，會因為資訊系統資安防護等級不同，給予資服資安業者一定的調適時間外，《資訊服務採購作業指引》自發函之日起（9月25日）即日實施，作為個政府機關辦理資訊服務採購的參考指引。</p> <p>＠小標：資服採購納入資安基本要求，可以參考資安一覽表作為選擇依據</p> <p>根據數位部於2022年資安監控情資統計，最嚴重的資安威脅以掃描刺探類（47.2％）、入侵攻擊類（26.9％）為最多，但是，政府敏感資訊或民眾個資如果遭到駭客竊取，則會影響民眾對政府的信任。</p> <p>因此，近年來，政府在相關的資訊服務採購合約中，也都會加上不一樣的資安規範，只不過，許多負責政府機關資訊和資安的採購人員，通常也不具有資訊和資安專業，面對相關的資訊服務採購的資安要求時，除了四處搜尋或找配合的資訊業者詢問外，缺乏一套完整的資安風險藍圖，也使得制定的資安規範不甚完整，無法真正有效提升機關單位的資安防護能力。</p> <p>面對政府採購類型多元，工程會認為，如果可以將不同類型的資訊服務採購，所應該具備的通案性資安基本要求，全部統整並納入相關的契約範本外，政府機關在執行採購招標時，依照資訊系統的資安防護等級：普級（一般機關）、中級（關鍵基礎設施）和高級（機敏機關），提供不同的資安基本要求的選項，真正做到不只強化政府資訊服務採購的資安防護，也可以起到藉由政府採購引導產業發展，共同提升臺灣的資安防護能力。</p> <p>工程會表示，數位發展部於今年9月18日同意，將《各類資訊（服務）採購之共通性資通安全基本要求參考一覽表》正式納入工程會資訊服務契約範本的附件，未來各個機關將可以視個案特性，將所列的各種資安事項全部納入相關的資訊服務採購契約中。</p> <p>工程會也指出，為了讓資服和資安業者在面對《各類資訊（服務）採購之共通性資通安全基本要求參考一覽表》時，有足夠的調適時間配合和因應，在上述資安一覽表中屬於普級的資安要求，訂於明年（2024年）3月1日實施，若是中、高級的資安要求，則於明年（2024年）8月1日適用。</p> </div></div></div>
2023/9/26 19:05作者黃彥棻https://www.ithome.com.tw/news/158976
【資安日報】9月26日，駭客組織Stealth Falcon針對中東政府機關下手，散布後門程式Deadglyph
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近半年，針對中東地區而來的攻擊行動變得更加頻繁，而在本日的資安新聞裡，使用後門程式Deadglyph、LuaDream駭客，都將該地區列為目標，其中又以Deadglyph最為詭譎。</p> <p>為了躲避資安系統偵測，駭客採用多種罕見的方法進行活動，其中最特別的部分，就屬後門程式與C2伺服器之間連線的機制，竟是透過在記憶體內執行的附加模組來達成，而使得其運作更加難以捉摸。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.welivesecurity.com/en/eset-research/stealth-falcon-preying-middle-eastern-skies-deadglyph/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">後門程式Deadglyph鎖定中東政府機關而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/deadglyph-figure-02.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/deadglyph-figure-02.png" style="width: 300px; float: right;" /></a>資安業者ESET揭露駭客組織Stealth Falcon（亦稱Project Raven、FruityArmor）最近的攻擊行動，駭客利用名為Deadglyph的後門程式，鎖定中東的政府實體下手，此軟體由64位元執行檔及.NET元件組合而成，並透過特定的金鑰進行加密保護，而植入電腦的後門程式與C2連線方式相當特殊，是透過在記憶體內運作的附加元件，來動態接收攻擊者下達的命令。</p> <p>一旦此後門程式開始執行，會啟動Shell Code載入工具，做為初始化元件，攻擊者從登錄檔載入特定的Shell Code，從而開啟後門程式的64位元執行檔（研究人員稱為Executor元件），而該程式又會啟動名為Orchestrator的.NET元件，以便從C2接收命令，這些工作排程主要涵蓋3種類型，分別是由Executor執行的工作、Orchestrator執行的工作，以及上傳工作。</p> <p>研究人員指出，他們尚未確定駭客如何散布此後門程式，但駭客透過兩種不同程式語言開發而成的元件，並透過附加元件接收C2的命令，並且具備自我刪除等特性，使得該後門程式難以被資安系統察覺。</p> <p><a href="https://s1.ai/Sandman"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織Sandman鎖定電信業者散布惡意軟體LuaDream</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Sandman_6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Sandman_6.jpg" style="width: 300px; float: right;" /></a>資安業者SentinelOne、QGroup聯手，調查駭客組織Sandman的攻擊行動，該組織主要針對中東、西歐、南亞次大陸的電信業者而來，利用Lua程式語言的即時編譯系統LuaJIT打造後門程式LuaDream，竊取系統及使用者資訊，以便發動更進階的精準攻擊。</p> <p>一旦攻擊者成功入侵目標組織的網路環境，就會利用Pass-the-Hash攻擊手法，重用存放於記憶體內的NLTM雜湊值對遠端伺服器進行身分驗證。研究人員指出，遭到駭客鎖定的工作站電腦，皆會指派給駭客組織的管理階層。</p> <p>而對於後門程式的分析，LuaDream由34個元件組織，其中有13個是核心元件，其餘為支援元件，其運作方式是透過ffi程式庫來呼叫LuaJIT的位元組碼（Bytecode）及Windows API。</p> <p><a href="https://www.securonix.com/blog/threat-labs-security-advisory-new-starkvortex-attack-campaign-threat-actors-use-drone-manual-lures-to-deliver-merlinagent-payloads/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">烏克蘭軍方遭到鎖定，駭客利用無人機手冊當誘餌，散布惡意程式</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/dji-image2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/dji-image2.png" style="width: 300px; float: right;" /></a>資安業者Securonix揭露鎖定烏克蘭軍方而來的網路釣魚攻擊Stark#Vortex，駭客組織UAC-0154透過電子郵件挾帶Windows說明檔案（CHM），聲稱是提供軍隊無人機訓練資料，一旦收信人開啟附件檔案，就會看到以烏克蘭語編寫的DJI Mavic 3說明文件，然後電腦可能觸發CHM檔案裡的JavaScript程式碼，執行PowerShell命令，從C2伺服器下載惡意酬載，經解碼該惡意酬載就會產生惡意框架MerlinAgent的Beacon元件，從而讓攻擊者控制受害電腦。</p> <p>研究人員指出，由於無人機、無人駕駛的飛行器（UAV）已成為烏克蘭軍方不可或缺的工具，使得謊稱具有操作訓練內容的誘餌檔案隨之出現，這類文件檔案也可能讓軍人容易掉以輕心。</p> <p><a href="https://www.hhs.gov/sites/default/files/dprk-chinese-cyber-crime-threats-us-hph.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國、北韓駭客組織鎖定美國衛生機構及醫療產業而來</span></strong></a></p> <p>美國衛生暨公共服務部所屬的網路安全協調中心（HHS HC3）指出，中國駭客組織APT41、北韓駭客組織APT43（亦稱Kimsuky、Thallium）與Lazarus針對該國的公共衛生部門與醫療系統造成重大威脅。</p> <p>其中，APT41得到中國政府資助，使用的攻擊手法非常複雜、創新，對美國公衛部門下手的動機，往往是為了配合中國政府的5年發展政策，扶持該國的醫療產業研發而來，他們通常會對醫療裝置子公司所採用的軟體或資訊科技感興趣，並入侵與這些公司有關的系統，部署鍵盤側錄程式Gearshift。這些駭客也鎖定生技公司下手，透過遭竊的帳密入侵，盜取人力資源資訊、稅務資料、臨床測試、學術研究、研發相關資訊。</p> <p>而對於來自北韓駭客的威脅，HHS HC3指出，APT43擅長鎖定醫療產業進行社交工程、網路釣魚、收集帳密資料，並從事加密貨幣洗錢來籌措攻擊行動資金，之所以鎖定健康相關部門下手，目的是援助北韓流行疾病的因應工作；另一個駭客組織Lazarus，則是從事間諜行動、盜取智慧財產資料，包含COVID-19疫苗及相關醫療資訊。</p> <p><a href="https://research.checkpoint.com/2023/behind-the-scenes-of-bbtok-analyzing-a-bankers-server-side-components/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾40家拉丁美洲銀行客戶遭到木馬程式BBTok鎖定</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/BBTok-image_1-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/BBTok-image_1-3.png" style="width: 300px; float: right;" /></a>資安業者Check Point揭露近期的銀行木馬BBTok攻擊行動，駭客主要鎖定巴西與墨西哥等逾40家拉丁美洲的銀行用戶下手，該木馬複製網路銀行的系統使用介面，進而誘騙使用者輸入雙因素驗證碼（2FA）、支付卡的資料，然後將銀行用戶的戶頭洗劫一空。</p> <p>攻擊者利用釣魚郵件，挾帶ZIP附件或惡意連接，一旦收信人開啟，就有可能執行PowerShell指令碼，從遠端伺服器下載惡意程式，同時向收信人顯示誘餌文件檔案。研究人員指出，為了迴避偵測，駭客運用多種攻擊手法，當中包含了寄生攻擊（LOLBins），並且針對Windows 7、Windows 10作業系統繞過反惡意程式碼掃描介面（AMSI）及防毒軟體，然後檢查受害電腦所在的地理位置。</p> <p>值得留意的是，駭客的行動相當謹慎，所有盜取銀行帳戶存款的流程，都是由駭客透過C2下達命令，而非透過惡意程式自動化執行。 </p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資訊服務採購作業指引9月25日正式上路，明訂公部門編列專屬資安預算</span></strong></p> <p>9月25日行政院公共工程委員會發布公告，為協助公部門更為即時、有效強化資訊安全，並辦理有關的資訊服務採購，他們與數位發展部規畫的「資訊服務採購作業指引」、「各類資訊(服務)採購之共通性資通安全基本要求參考一覽表」正式上路。此作業指引涵蓋四大重點：（一）機關需編列獨立資安預算、（二）擴大工程會採購諮詢機制並納入數位發展部、（三）資服採購以不訂底價最有利標為原則、（四）開發過程需設定查核點。</p> <p>行政院公共工程委員會指出，考量機關按上述指引及表單辦理資訊服務採購，廠商也要配合調整，為使廠商能夠有充分時間因應，根據資料或系統的機敏程度，普級系統之資安要求訂於2024年3月1日正式施行，中、高等級則訂於2024年8月1日正式施行。</p> <p>資料來源</p> <p>1. <a href="https://www.ithome.com.tw/article/158898">https://www.ithome.com.tw/article/158898</a><br /> 2. <a href="https://planpe.pcc.gov.tw/prms/explainLetter/readPrmsExplainLetterContentDetail?pkPrmsRuleContent=75001760&_csrf=41c91031-1b1a-45e1-8814-ff2f59c93227">https://planpe.pcc.gov.tw/prms/explainLetter/readPrmsExplainLetterContentDetail?pkPrmsRuleContent=75001760&_csrf=41c91031-1b1a-45e1-8814-ff2f59c93227</a></p> <p><a href="https://www.cna.com.tw/news/afe/202309230215.aspx"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">數位部預告修正資安法，明訂公部門禁用危害國家安全的資安產品</span></strong></a></p> <p>9月22日<a href="https://join.gov.tw/policies/detail/d504e350-3542-4d4b-bf0c-3e4d2e36a138">數位發展部預告將修正資通安全管理法</a>，修法草案包含5大重點：（一）主管機關調整為數位部、（二）要求公務機關不可採購與使用危害國家資通安全產品、（三）強化公務機關資安，導入地方資安及分層管理、（四）強化關鍵基礎設施、公營事業或特定法人等特定非公務機關的資安管理，特定非公務機關應設置資安長、（五）政府機關資安人員採行一條鞭制度，重大資安事件資安署可調度各機關資安人員支援。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://thehackernews.com/2023/09/new-report-uncovers-three-distinct.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">東南亞政府機關遭到駭客組織中國駭客Mustang Panda、Alloy Taurus、Gelsemium鎖定</span></span></strong></a></p> <p><a href="https://www.sonarsource.com/blog/teamcity-vulnerability/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">CI/CD系統TeamCity存在能挾持伺服器的漏洞，已出現攻擊行動</span></span></strong></a></p> <p><a href="https://www.threatfabric.com/blogs/xenomorph"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">北美、歐洲安卓用戶遭到金融木馬Xenomorph鎖定</span></span></strong></a></p> <p><a href="https://www.group-ib.com/blog/shadowsyndicate-raas/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織ShadowSyndicate運用7款勒索軟體從事攻擊行動</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/158944"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客利用冒充訂房網站Booking.com進行網釣攻擊</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/158960"><strong>【9月25日】埃及總統候選人遭到鎖定，攻擊者利用iOS零時差漏洞在手機植入間諜軟體Predator</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158927"><strong>【9月23日】中國駭客鎖定臺灣安卓用戶，假借提供Whoscall付費功能的破解程式來散布惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158896"><strong>【9月22日】斥資280億美元重金，思科買下大數據資安業者Splunk</strong></a></p> </div></div></div>
2023/9/26 17:34作者周峻佑https://www.ithome.com.tw/news/158974
Spotify與OpenAI合作推出Podcast翻譯功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.spotify.com/2023-09-25/ai-voice-translation-pilot-lex-fridman-dax-shepard-steven-bartlett/" target="_blank">Spotify周一（9/25）宣布</a>，將採用OpenAI的語音技術，將旗下英文Podcast的內容轉換成其它語言，包括西班牙文、法文與德文，且計畫於未來擴充至更多語言，以讓全球使用者都能享受該平臺的Podcast節目。</p> <p>OpenAI在同一天發表的ChatGPT新功能，即是讓該聊天機器人得以支援圖像及語音輸入，還能以語音回答。其中，新的語音技術只要仰賴幾秒鐘的真實語言，即可生成逼真的合成聲音。於是，Spotify即利用此一語音技術，將該平臺上的Podcast用原本Podcaster的聲音，從英文轉成西班牙文、法文與德文。</p> <p>OpenAI指出，該語音技術除了可帶來許多創新及無障礙應用之外，也會衍生出新的風險，例如被用來冒充公眾人物或進行詐欺，因此，他們很小心地使用該技術，目前僅將它應用於語音聊天上，且直接與聲優合作，像是Spotify的案例。</p> <p>初期Spotify僅與Dax Shepard及Monica Padman等少數的Podcaster合作，轉換特定節目所使用的語言，且同時開放免費及付費版用戶收聽。<a href="https://open.spotify.com/genre/0JQ5DAqbMKFFE3WXPvSulX" target="_blank">現在已上線的</a>是西班牙文，將於未來幾周陸續釋出法文與德文版，也計畫擴大至更多的Podcaster及語言。</p> <p>根據Spotify的統計，在該平臺的5.5億用戶中，已有超過1億用戶經常收聽Podcast節目。</p> </div></div></div>
2023/9/26 16:50作者陳曉莉https://www.ithome.com.tw/news/158973