iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 12篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 10:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

微軟完成動視暴雪收購案，雲端串流遊戲版權交由Ubisoft
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國競爭與市場管理局（Competition and Markets Authority，CMA）<a href="https://assets.publishing.service.gov.uk/media/652864062548ca000dddf22d/Full_text_decision__final_order_.pdf" target="_blank">終於在上周五（10/13）同意</a>微軟與動視暴雪（Activision Blizzard）的併購案，<a href="https://blogs.microsoft.com/blog/2023/10/13/welcoming-the-legendary-teams-at-activision-blizzard-king-to-team-xbox/" target="_blank">同一天微軟即宣布正式完成收購</a>，結束了近22個月的審核拉鋸戰。</p> <p>微軟是在2022年的1月宣布將以約687億美元的現金買下動視暴雪，動視暴雪為歐美最大的遊戲業者，所發行的熱門遊戲包括《魔獸世界》（World of Warcraft）、《星海爭霸》（StarCraft）、《暗黑破壞神》（Diablo）、《Candy Crush Saga》及《決勝時刻》（Call of Duty）等。這是微軟史上規模最大的併購案，也將讓微軟一躍成為僅次於騰訊及Sony的全球第三大遊戲業者。</p> <p>美國聯邦交易委員會（FTC）與英國CMA曾多次出手阻止此一併購案，理由皆是擔心該交易將嚴重危及遊戲市場的競爭，但微軟持續釋出各種政策以滿足FTC及CMA的要求。</p> <p>包括微軟已與諸如任天堂及Sony等競爭對手簽署協議，讓這些遊戲機業者可存取10年的《決勝時刻》遊戲，另外也與法國遊戲業者Ubisoft簽署協議，<a href="https://news.ubisoft.com/en-us/article/wy4gKUmOdRRoO5Uvlr8CA" target="_blank">由Ubisoft取得</a>動視暴雪現在及未來15年所發行之遊戲的永久雲端串流版權，但不包含歐洲經濟區（European Economic Area）。媒體分析認為，後者才是CMA放行此一併購案的關鍵。</p> <p>而歐洲經濟區的遊戲玩家們，只要購買了動視暴雪的PC或遊戲機遊戲，就可同時免費存取該款遊戲的雲端串流版。</p> <p>動視暴雪的各個團隊未來將加入微軟Xbox團隊，而動視暴雪執行長Bobby Kotick則將協助交接，預計於今年底離開。</p> </div></div></div>
2023/10/16 08:48作者陳曉莉https://www.ithome.com.tw/news/159282
美國公布10種常見配置不當，針對網路防禦者提供具體緩解建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在10月5日，有一份主題為<a href="https://www.ithome.com.tw/news/159280">最常見10大資安配置錯誤的報告</a>釋出，相當具有參考價值。這是由美國國安局（NSA）、國土安全部（DHS），以及網路安全暨基礎設施安全局（CISA）聯手公布的內容。</p> <p>特別的是，在公布常見配置錯誤之餘，這份內容也針對每個問題，提出網路防禦者因應的詳細建議，甚至也呼籲軟體製造商如何緩解已識別的錯誤配置。</p> <h3><strong><span style="color: rgb(178, 34, 34);">美NSA、DHS、CISA聯手揭露10大資安配置錯誤<br /> <a href="https://s4.itho.me/sites/default/files/images/（圖7）美國公布10種常見配置不當情況_圖片擷取自美國CISA.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89%E7%BE%8E%E5%9C%8B%E5%85%AC%E5%B8%8310%E7%A8%AE%E5%B8%B8%E8%A6%8B%E9%85%8D%E7%BD%AE%E4%B8%8D%E7%95%B6%E6%83%85%E6%B3%81_%E5%9C%96%E7%89%87%E6%93%B7%E5%8F%96%E8%87%AA%E7%BE%8E%E5%9C%8BCISA.jpg" style="width: 260px; float: right;" /></a></span></strong><br /> <span style="color: rgb(0, 153, 255);">1. 軟體與應用程式的預設配置<br /> 2. 使用者與管理員權限的分離不當<br /> 3. 內部網路的監控不足<br /> 4. 網路分段的缺乏<br /> 5. 修補程式的管理不良<br /> 6. 系統存取控制可被略過<br /> 7. 多因素身分驗證的薄弱或設定錯誤<br /> 8. 網路共享與服務的存取控制名單設置不夠全面<br /> 9. 帳密資安衛生不佳<br /> 10 .程式碼執行未受到管制</span></h3> <h4 class="rteright"><span style="color: rgb(169, 169, 169);">資料來源：美國CISA，iThome整理，2023年10月</span></h4> <p>關於這次選出的10大配置錯誤，是根據NSA與CISA的紅隊與藍隊測試，以及這兩個組織的威脅獵捕與事件回應活動，從中識別與確認出最為常見的問題。</p> <p>關於各式不當配置所帶來的情形與問題，當中也有一一說明。</p> <p>以預設配置的問題而言，主要出現在裝置或軟體的預設帳密，以及某些服務的存取控制過於寬鬆；使用者與管理員權限的分離不當，而這當中最常看到三種狀況，包括特定帳號擁有過多的權限，用戶帳戶權限被提升，或是高權限帳號被用於非必要的操作。</p> <p>在內部網路的監控不足上，有些組織並未針對主機與流量偵測的配置做最佳化，造成他們無法立即發現異常活動；如果企業與組織的環境存在網路分段的缺乏，駭客可乘機藉由破壞網路資源並於不同系統橫向移動，本身也會更容易受到勒索軟體攻擊，或其他處於後滲透（post-exploitation）階段的深度攻擊影響；在修補管理面向，儘管廠商總是督促用戶修補漏洞，但企業與組織往往缺乏、未落實定期修補政策，或仍在使用生命週期已結束的產品，使得這些弱點經常成為駭客入侵的缺口；</p> <p>系統存取控制可被繞過方面，駭客可透過破壞環境中的備用系統，來繞過系統的存取控制，例如蒐集雜湊值以非標準方式進行身分驗證，或是模仿沒有明文密碼的帳號以提升存取權限；在多因素身分驗證的薄弱或設定錯誤上，有些網路環境已要求使用者透過智慧卡或Token登入，卻未取消密碼登入，而這些久久不曾改變也未被移除的密碼，則成為駭客的入侵管道，又或是缺乏防網路釣魚的MFA機制。</p> <p>網路共享與服務的存取控制名單設置得不夠全面，將允許未經授權的使用者於共享磁碟中存取機密資料；關於帳密的資安衛生不佳，則涵蓋可輕易破解的弱密碼，以及存放明文密碼；至於程式碼執行的未受管制，則是賦予應用系統內部與外部因素極高的攻擊能力。</p> <p>特別的是，在這份報告中，我們看到不只是列出種種配置錯誤問題，同時，CISA還藉由MITRE ATT&CK for Enterprise框架，對應出所有相關攻擊手法，以及對應出攻擊手法的因應，讓外界可以更好認識其危害與保護。</p> <p>整體而言，這些不當配置的常見資安問題，呼應了許多大型組織面臨的系統漏洞趨勢，而對於軟硬體業者、雲端服務廠商而言，更會是關鍵，需在設計階段將安全原則納入，以減輕網路防禦者負擔的重要性。</p> <h3><strong>對網路防禦者提供具體緩解建議</strong></h3> <p>知道這些常見問題，如何應對就是各界關注的焦點，在這份報告中同時提供了這方面的內容。</p> <p>在NSA與CISA這份最新公布的資安風險剖析當中，就針對網路防禦者提供了10張表格，將上述最常見的每一配置問題，提供詳細的基本緩解建議。</p> <p>舉例來說，以系統存取控制可被略過的問題而言，這裡提供6項緩解的建議措施。包括：（1）限制在不同系統間無法重複使用相同的登入資訊，這是為了防止帳密遭到破解，減少惡意行為者在系統之間橫向移動的能力；（2）建立有效且定期的修補管理程序，這方面主要針對Windows 7以上版本，透過KB2871997的更新來緩解Pass-the-Hash（PtH）攻擊技巧，以限制本機管理員群組中帳戶的預設存取權限；（3）啟用PtH緩解措施，在登入網路時，對本地端帳戶實施使用者帳戶控制（UAC）的限制；（4）在多臺電腦與伺服器當中，勿讓網域使用者成為本機管理員群組的成員；（5）限制工作站之間的通訊，因為這些溝通應透過伺服器進行，以防止橫向移動；（6）只在需要高權限的系統使用特權帳號，可考慮設置專用的特權存取工作站，讓這些高權限帳號做到更好的隔離和保護。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5）美國公布10種常見配置不當情況_圖片擷取自美國CISA.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89%E7%BE%8E%E5%9C%8B%E5%85%AC%E5%B8%8310%E7%A8%AE%E5%B8%B8%E8%A6%8B%E9%85%8D%E7%BD%AE%E4%B8%8D%E7%95%B6%E6%83%85%E6%B3%81_%E5%9C%96%E7%89%87%E6%93%B7%E5%8F%96%E8%87%AA%E7%BE%8E%E5%9C%8BCISA.jpg" style="width: 600px;" /></a></p> <p>再以多因素身分驗證的薄弱或設定錯誤而言，NSA與CISA特別將此類問題分為兩種類型。</p> <p>第一種問題，是智慧卡或Token的錯誤配置，他們提供2項緩解的建議措施。</p> <p>首先，是在Windows環境下，要停止使用新技術LAN Manager（NTLM）或其他老舊身分認證協定，原因是當中使用的密碼雜湊值（Password hashes）容易受到PtH攻擊，NSA與CISA表示，相關細節可參考微軟網站公布的「在網域中限制NTLM驗證」文件；同時，需使用Windows Hello for Business或群組原則物件（GPO）等內建功能，以便定期重新隨機產生智慧卡背後對應帳戶（smartcard-required）的密碼雜湊值，並要確保雜湊的變更頻率至少與組織政策要求更改密碼的頻率相符，至於無法使用這些內建功能的環境，企業與組織需要優先升級。</p> <p>再者，以長期努力方向來看，NSA與CISA建議採用現代開放標準的雲端主要身分驗證解決方案，這方面的內容，可參考安全雲端商業應用程式（SCuBA）專案項目，當中介紹了混合身分識別解決方案架構。</p> <p>第二種問題，是指缺乏防網路釣魚的MFA機制，NSA與CISA提出的主要緩解建議，是存取敏感資料及其他資源與服務時，盡可能普遍實施抗網釣多因素身分驗證（Phishing-resistant MFA）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖6）美國公布10種常見配置不當情況_圖片擷取自美國CISA.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89%E7%BE%8E%E5%9C%8B%E5%85%AC%E5%B8%8310%E7%A8%AE%E5%B8%B8%E8%A6%8B%E9%85%8D%E7%BD%AE%E4%B8%8D%E7%95%B6%E6%83%85%E6%B3%81_%E5%9C%96%E7%89%87%E6%93%B7%E5%8F%96%E8%87%AA%E7%BE%8E%E5%9C%8BCISA.jpg" style="width: 600px;" /></a></p> <p>藉由上述兩例的呈現，我們可以看出，其實NSA與CISA針對10項錯誤配置，所給出建議的結構與樣貌。</p> <p>針對其他配置錯誤項目，NSA與CISA也提出很實用的建議，以下也舉例部分項目：例如，在部署前，應先行變更應用程式與裝置的預設配置，像是密碼與權限；部署AAA（認證、授權、計費）系統來監控帳號行動，限制特權帳號執行一般任務，採用有使用時間限制的特權帳號；建立應用與服務的活動基準線；部署具有深層過濾能力的新一代防火牆；定期修補安全漏洞或採用自動更新，不再使用過時的軟體或韌體；針對所有儲存裝置部署安全配置，實施最少權限原則；不讓系統執行不明來源的應用程式，建立程式執行的白名單。文⊙羅正漢、陳曉莉</p> </div></div></div>
2023/10/15 19:41作者羅正漢https://www.ithome.com.tw/news/159280
美國公布10種常見配置不當情形，呼籲軟體供應商即刻採取7行動，將更能減少同樣資安問題發生率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在10月5日，有一份主題為最常見10大資安配置錯誤的報告釋出，相當具有參考價值。這是由美國國安局（NSA）、國土安全部（DHS），以及網路安全暨基礎設施安全局（CISA）聯手公布的內容，當中指出，因為存在這些錯誤的配置，在某種程度上，使得駭客更容易展開攻擊，這不只是多個網路環境當中的系統性通用弱點（systemic weaknesses），也突顯軟體製造商必須更積極採用安全設計原則。</p> <p>雖然企業可以並採取措施來識別與解決這些配置錯誤問題，但CISA更強調的是，要讓這類問題大幅度減少，減少同樣資安問題發生率，要獲得廣泛擴大的進展，關鍵是需要軟體製造商的迅速行動，特別是導入Secure by Design的實踐，讓一開始到生命週期結束都納入安全設計，始能從設計階段就降低常見配置錯誤的風險，同時，每個客戶也應該要求每個供應商採納這些實踐。</p> <p>因此，在公布常見配置錯誤之餘，這份內容也針對每個問題，不僅是提出網路防禦者因應的詳細建議，並指引軟體製造商如何緩解已識別的錯誤配置。</p> <p>針對眾多IT產品的源頭：軟體製造商，NSA與CISA提出每一配置問題的最佳作法建議，避免用戶陷入資安危機。</p> <p>為了減少常見錯誤配置的發生率，他們提出每個軟體供應商都應即刻採行的7項措施，包括：</p> <p>（1）從軟體設計到整個開發周期的產品架構，都應嵌入安全控制，這方面可依循NIST SSDF框架</p> <p>（2）廢除預設密碼</p> <p>（3）在設計產品時不讓單一安全控制危害整個系統</p> <p>（4）免費向客戶提供高品質的稽核日誌</p> <p>（5）依據整個漏洞型態採取防護措施，例如使用可保障記憶體安全的程式語言，以及實施參數化查詢</p> <p>（6）在稽核日誌要提供足夠的詳細資訊，更利於偵測、追蹤系統上的可疑行動</p> <p>（7）強制特權使用者啟用MFA，並使MFA成為所有用戶預設啟用的功能。</p> <p>綜觀上述措施，值得我們關注的是，不只是當地軟體供應業者需要重視，由於臺灣近年也在推動打造可信供應鏈，而這樣的內容揭露，對於我國軟體業者同樣相當具參考價值。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖8A）美國公布10種常見配置不當情況_圖片擷取自美國CISA.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%968A%EF%BC%89%E7%BE%8E%E5%9C%8B%E5%85%AC%E5%B8%8310%E7%A8%AE%E5%B8%B8%E8%A6%8B%E9%85%8D%E7%BD%AE%E4%B8%8D%E7%95%B6%E6%83%85%E6%B3%81_%E5%9C%96%E7%89%87%E6%93%B7%E5%8F%96%E8%87%AA%E7%BE%8E%E5%9C%8BCISA.jpg" style="width: 583px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖8B）美國公布10種常見配置不當情況_圖片擷取自美國CISA.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%968B%EF%BC%89%E7%BE%8E%E5%9C%8B%E5%85%AC%E5%B8%8310%E7%A8%AE%E5%B8%B8%E8%A6%8B%E9%85%8D%E7%BD%AE%E4%B8%8D%E7%95%B6%E6%83%85%E6%B3%81_%E5%9C%96%E7%89%87%E6%93%B7%E5%8F%96%E8%87%AA%E7%BE%8E%E5%9C%8BCISA.jpg" style="width: 583px;" /></a></p> <p><span style="color:#0099ff;"><strong>美國公布10種常見配置不當，針對軟體供應商提供具體緩解建議，特別的是，為了讓軟體供應商更快採取行動，因此CISA從這些內容再精簡出7項即刻採取的措施。</strong></span></p> </div></div></div>
2023/10/15 19:58作者羅正漢https://www.ithome.com.tw/news/159281
臺廠800G交換器來了！內建64個OSFP埠或QSFP-DD埠
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/edgecore_networks_dcs560_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應AI、高效能運算應用的超大頻寬網路連線需求，有多家廠商陸續推出400GbE交換器，至於800GbE交換器，去年已有一些廠商開始推出產品。</p> <p>首先，是10月舉行的OCP年度全球高峰會期間，<a href="https://www.ithome.com.tw/review/154047">思科率先發表兩款1U、內建32個QSFP-DD800埠的產品</a>，分別是Nexus 9232E與Cisco 8111-32EH；<a href="https://nvidianews.nvidia.com/news/nvidia-announces-spectrum-high-performance-data-center-networking-infrastructure-platform">Nvidia同年3月發表採用Spectrum-4晶片的交換器</a>，揭露可同時支援400GbE與800GbE，今年5月底推出<a href="https://www.ithome.com.tw/review/157770">Spectrum-X網路平臺</a>時，提及搭配Spectrum-4的SN5000系列支援800GbE——2U尺寸的SN5600內建64個OSFP800埠。</p> <p>到了今年10月初，也就是OCP年度全球高峰會召開前夕，智邦集團旗下的鈺登科技（Edgecore Networks）發表800GbE交換器，名為DCS560，可針對AI、機器學習工作負載的連線需求，提供基於乙太網路而成的交織網路環境。</p> <p>這款交換器的封包交換容量可達51.2 Tbps，採用2U尺寸機箱、內建64個800GbE埠，並提供兩種網路介面接頭的選擇，具有部署彈性。其中，全部採用OSFP800接頭的機型是AS9817-64O，可支援銅質直連電纜（copper DAC），另一款則是採用QSFP-DD800接頭的AS9817-64D，可支援長距離ZR+光纖網路線的佈建。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Edgecore%20Networks%20DCS560-timthumb_from%20Edgecore%20Networks.jpg" style="width: 489px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DCS560%20demo-Web_from%20EdgeCore%20Networks%20.jpg" style="width: 600px;" /></p> <p>本週由電信基礎架構計畫（TIP）舉辦的開放網路高峰會Fyuz Summit，鈺登首度公開展示DCS560，而下週登場的OCP全球高峰會，這款800GbE交換器也將會亮相。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-10-11-1696920679149_Fyuz Summit from Edgecore Networks-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-11-1696920679149_Fyuz%20Summit%20from%20Edgecore%20Networks-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-10-11-1696868323612_Fyuz Summit from Edgecore Networks-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-11-1696868323612_Fyuz%20Summit%20from%20Edgecore%20Networks-1.jpg" style="width: 298px;" /></a></p> <p>就機箱規格而言，Edgecore這款2U尺寸產品具有強固、緊緻的外形，搭配可熱插拔的電源供應器（1+1備援），以及系統風扇（3+1備援），可靠度達到5個9（99.999％），能設置在攝氏0到40度的資料中心環境當中。</p> <p>值得注意的是，DCS560之所以能提供64個800GbE埠，主要是因為採用<a href="https://www.broadcom.com/products/ethernet-connectivity/switching/strataxgs/bcm78900-series">Broadcom的網路交換器ASIC晶片StrataXGS Tomahawk 5系列</a>，型號為BCM78900，而能建置足以負荷大規模使用，且容易部署的交織網路。</p> <p>在此之前，Edgecore針對400GbE交換器的產品，已陸續推出多款機型。例如，在2021年9月，發表支援P4語言的DCS810（AS9516-32D），採用1U尺寸機箱、提供32個QSFP-DD埠，交換器晶片為英特爾Tofino 2 BFN-T20-128Q，網路交換容量為25.6 Tbps；隔年4月，他們發表DCS240（AS9726-32DB），採用1U尺寸機箱、提供32個QSFP56-DD埠，交換器晶片為Broadcom StrataXGS Trident4（BCM56880），網路交換容量為12.8 Tbps。</p> <p>到了今年4月，Edgecore推出DCS520（AS9736-64D），採用2U尺寸機箱、提供64個QSFP56-DD埠，交換器晶片為Broadcom StrataXGS Tomahawk 4（BCM56990），網路交換容量為25.6 Tbps。</p> <h3><strong style="color: rgb(0, 0, 255);">Tomahawk 5晶片是這款交換器網路處理能力的關鍵</strong></h3> <p>相較於我們先前介紹思科、Nvidia的800GbE交換器，Edgecore的DCS560最大差異，在於採用的交換器晶片是Broadcom Tomahawk 5系列，於2022年8月登場，並於2023年3月宣告量產出貨，導入4奈米製程，成為第一款51.2 Tbps等級的交換器晶片，可提供64個800GbE埠的網路交換與路由處理能力，能針對RoCEv2與其他RDMA協定，提供最大效能與最低延遲，實現新世代的統合式資料中心基礎架構。</p> <p>而它的上一代是Tomahawk 4系列，在2019年底推出、導入7奈米製程，是25.6 Tbps等級的交換器晶片。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-Tomahawk%205-00.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-Tomahawk%205-1.jpg" style="width: 600px;" /></p> <p>基本上，Tomahawk 5內建64顆序列器／解除序列器（SerDes）核心，每顆整合核心搭配8個106 Gb/s規格的四階脈衝振幅調變（PAM4）SerDes收發器，以及相關的實體層編碼子層（Physical Coding Sublayer，PCS），可針對多種實體連線規格提供原生支援。同時，這顆晶片也整合6顆Arm處理器，因應高頻寬、具備完整可程式化持續遙測能力、支援複雜的嵌入應用程式執行等需求，做到晶片層級的統計摘要處理這類功能。</p> <p>透過單顆Tomahawk 5系列晶片的採用，交換器可支援256個200GbE埠網路分接，對應256張加速運算卡的運用，使每張加速卡都能獲得200 Gbps的頻寬。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-Tomahawk%205-2.jpg" style="width: 600px;" /></p> <p>而在實體連接方式上，Tomahawk 5支援100G PAM4介面接上DAC直連電纜、前端面板的插拔式光纖網路模組，以及共同封裝光學元件（Co-Packaged Optics，CPO）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-Tomahawk%205-1.jpg" style="width: 600px;" /></p> <p>針對通用運算領域的伺服器虛擬化與AI、機器學習工作負載，Broadcom此款ASIC晶片也提供單通道（single-pass）的VxLAN路由與橋接，以及該公司發展的認知路由（Cognitive Routing）、進階的共享封包緩衝（shared packet buffering）、可程式化的頻內遙測、硬體層級的連線容錯等多種功能，可縮短AI、機器學習處理的工作完成時間（Job Completion Time，JCT）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-Tomahawk%205-Buffer.jpg" style="width: 600px;" /></p> <p><strong style="color: rgb(0, 128, 128);">產品資訊</strong></p> <p><strong>Edgecore Networks DCS560</strong><br /> ●原廠：鈺登科技<br /> ●建議售價：廠商未提供<br /> ●機型：AS9817-64O、AS9817-64D<br /> ●機箱尺寸：2U<br /> ●網路埠：AS9817-64O提供64個OSFP800埠，AS9817-64D提供64個QSFP-DD800埠<br /> 800GbE模式，每埠可分流2個400GbE埠或4個200GbE埠或8個100GbE埠；<br /> 400GbE模式，每埠可分流2個200GbE埠或4個100GbE埠或8個50GbE埠；<br /> 100GbE模式<br /> ●封包交換容量：51.2 Tbps<br /> ●封包緩衝記憶體：165.2 MB<br /> ●系統運算與儲存資源：英特爾Xeon-D系列處理器（Ice Lake），Xeon D-1713NTE、32 GB記憶體、128GB SSD<br /> ●作業系統平臺：開放原始碼或商用網路作業系統<br /> ●搭配ASIC晶片：Broadcom BCM78900系列（Tomahawk 5）<br /> ●搭配電源供應器：2臺3000瓦（1+1備援）<br /> ●耗電量：低於2775瓦</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> <div> </div> </div></div></div>
2023/10/14 12:37作者李宗翰https://www.ithome.com.tw/review/159203
零售IT雙周報第23期：Walmart揭多項零售科技實驗計畫，生成式AI是關鍵技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(1001~1014)</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#生成式AI</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#搜尋優化</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#AR購物</span></span></strong><br /> <strong>Walmart揭未來零售科技實驗計畫，要用生成式AI強化搜尋、資訊摘要及室內設計等購物功能</strong></p> <p>美國零售龍頭Walmart<a href="https://corporate.walmart.com/news/2023/10/06/walmarts-latest-tech-powered-experiments-aim-to-make-shopping-easier-and-more-convenient">揭露自家零售科技發展計畫</a>，包括搜尋功能優化、購物輔助功能、OMO購物功能等。其中，生成式AI在數個新項目中扮演了關鍵角色。</p> <p>其一是搜尋功能優化。Walmart計畫利用生成式AI，來支援主題式商品搜尋，例如搜尋「獨角獸主題的嬰兒生日派對」，AI就能一次呈現主題背後所需的不同商品，消費者不用一一搜尋盤子、氣球、蛋糕等個別商品。他們還計畫利用生成式AI來支援需求條件複雜的商品搜尋情境，例如，如何根據消費者年齡和電信服務商，搜尋出適合的手機型號。</p> <p>其二，Walmart也打算效仿eBay和Amazon，利用生成式AI來摘要商品功能及顧客評價，作為消費者購物參考。</p> <p>第三個用生成式AI來強化的是AR購物功能。過往，Walmart App可以透過鏡頭掃描實際房間或人物，再於螢幕上模擬擺設或試穿。未來，Walmart計畫於此功能中增加生成式AI購物助手，根據消費者預算、偏好主題及其他需求，進一步協助消費者規畫室內設計或衣物穿搭。</p> <p>Walmart還計畫推出用IVR來完成整趟購物的功能，這是延伸自先前簡訊購物功能。他們還打算持續擴充非典型OMO電商通路，例如近期他們於遊戲中開始販售實體家具。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#開店平臺</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#中小型電商</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#網紅行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#聊天機器人</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#小額貸款</span></span></strong></p> <p><strong>Shopline整合網紅行銷、聊天機器人、小額貸款功能到開店解決方案中</strong></p> <p>開店平臺Shopline整合業界3種零售科技功能到自家平臺，包括<a href="https://blog.shopline.tw/shopline-influenxio/">Influenxio智慧網紅行銷</a>、<a href="https://blog.shopline.tw/shopline-botbonnie/">Appier旗下聊天機器人</a>，以及<a href="https://support.shoplineapp.com/hc/zh-tw/articles/20541136192793-%E5%95%86%E5%AE%B6%E7%B7%9A%E5%9C%A8%E8%B2%B8-SHOPLINE-Payments-%E5%8F%B0%E7%81%A3-">PChome旗下21世紀數位的小額貸款</a>等。</p> <p>網紅行銷功能會追蹤網紅代言人帶來的點擊數、訂單數等數據，並提供行銷預算管理功能，以助電商業主從轉換率和實際支出兩方面數據，來監控網紅行銷活動成效。</p> <p>聊天機器人功能支援跨通訊軟體客服訊息管理，業主可自訂情境腳本、多媒體素材、互動體驗，來優化Chatbot回覆內容。此系統後臺還會顯示顧客貼標，來提供精準行銷參考。</p> <p>小額貸款則是可以根據商家後臺營運數據，快速評估風險並放款的融資功能，最快當日放款。</p> <p>這些技術雖然都不算新穎，但對於IT資源不足的中小型零售業者來說，自行打造或整合這些技術，仍有一定門檻。由開店平臺整合進整體解決方案中，有望降低平臺上業者採用更多元零售科技的難度。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#ESG</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#綠能商店</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電費管理</span></span><br /> 全家結合IoT能源管理、太陽能及儲能設備打造首家能源韌性實驗店，還有獨立供電系統作為備援</strong></p> <p>全家便利商店於臺南打造能源韌性實驗店，運用IoT協助改善店鋪能源管理，也導入太陽能發電及儲能設備。</p> <p>IoT及能源管理系統，可自動偵測冷藏設備溫度，當用電接近滿載，會主動降載空調、燈光照明，避免用電過度，例如在傍晚或夜間時段，會自動降低店內照明亮度。冰箱、冰櫃設備，則從固定時段除霜改為動態除霜，當偵測到溫度過低或結霜時才會除霜。</p> <p>另外，全家為實驗店建置了孤島電力系統，除台電供電之外，建置太陽能發電及儲能系統，扮演調節電力供應的角色，可在台電離峰時段儲能，供應日間用電尖峰時段使用，降低店鋪尖峰時段用電量。（<a href="https://www.ithome.com.tw/news/159113">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#OMS</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#團購</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#社群電商</span></span><br /> 飛比推出團購整單系統，能自動轉化通訊軟體留言到OMS</strong></p> <p>飛比價格母公司第一網站推出團購整單系統「飛比+1」，功能是自動擷取Line記事本下的團購訂單留言，再根據留言關鍵字，自動分類到訂單管理系統（OMS）。團購主能於整單系統中設定商品主副規格，例如顏色和尺寸等，作為系統抓取關鍵字依據。如圖所示，系統會根據關鍵字，將留言內容為3種類別，包括明確能判斷為完整訂單的「已確認」，訂單訊息不完整的「待確認」，以及非訂單留言的「不成單」。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%A3%9B%E6%AF%94%2B1%E5%BE%8C%E5%8F%B0%E7%95%AB%E9%9D%A2.jpg" style="width: 600px;" /></p> <p>這個系統每小時會擷取記事本留言一次，團購主也能手動更新。不過，第一網站沒有提到，若出現刪除留言、編輯留言等情況，此系統會如何應對。</p> <p>同時，第一網站宣布推出「BI電商市場情報服務」，向其他電商提供自家網站流量分析。飛比表示，自家平臺有800萬不重複使用者，過往已有電商向自家購買流量分析報告，不過都是以一對一個案形式來處理，現則正式將此服務商品化。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#D2C網站</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#精準行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#餐旅業</span></span><br /> 日本偏鄉地區豪華露營業務如何用IT改造行銷與經營模式，使銷售額翻20倍</strong></p> <p>岡山縣津山市阿波村是一個只有400人口的邊緣村莊，當地設有豪華露營設施，觀光收入卻無法自給自足，只能由政府彌補財務缺口，來維護設施。為了振興此地豪華露營經濟，觀光顧問公司Dive利用一系列做法來改造行銷與經營模式。改造後，阿波村豪華露營年營業額從200萬日圓增長到4,000萬日圓，且持續成長中。其中，IT扮演在這個轉型扮演了重要角色。</p> <p>首先是架設D2C網站作為流量來源，來降低對第三方網站的依賴程度。阿波村位處偏鄉，又不在熱門觀光景點必經之地，於第三方旅遊或訂房網站難以搜尋到，不是可靠流量來源。不只如此，於第三方網站打廣告或接受訂位，都會形成開銷。於是，Dive打造豪華露營入口網站，蒐羅包括阿波村在內的豪華露營地，再利用高度行銷自主權，來力推阿波村。</p> <p>為了增加阿波村賣點，他們還開發了桑拿、香料調劑、作物收割、動物互動等額外收費體驗，並將這些作為行銷賣點和籌碼。當銷售額低於一定標準時，他們便會免費提供部分體驗，以期吸引更多旅客。</p> <p>不只看銷售金額，他們還會根據旅客來源，來調整行銷策略。原先，他們在津山市其他地區投注最多行銷資源，經分析後，發現其實旅客主要來自關西地區，因而轉移了行銷資源比重。</p> <p>除了上述數位做法，阿波村還利用人力派遣服務，只於旺季時雇用短期員工，而不大量雇用正職員工，以控制人力支出。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AR購物體驗</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#會員App</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#OMO零售</span></span><br /> 英國大型連鎖超市Nisa全面導入AR購物體驗，用於促銷及會員數據蒐集</strong></p> <p>有接近4,000家分店的英國大型零售連鎖超市Nisa<a href="https://www.nisalocally.co.uk/corporate/news-press-office/nisa-retailers-set-to-cash-in-with-jisp-loyalty-programme/">將於所有店鋪導入AR購物和促銷體驗</a>。消費者透過會員App開啟手機鏡頭，可以在貨架上看到AR資訊卡，顯示購物資訊和可領取折價券。根據App紀錄的消費和折價券領取資料，Nisa還會再於App和簡訊對會員推播個人化行銷訊息。</p> <p>從初期170家實驗店中，Nisa發現，這個機制一年內帶來20%以上營業額增長，平均一家店發出了3,500張折價券。不只如此，還帶來了更多客流量及重複到店數。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1. 作為進軍零售媒體廣告戰略的一環，Momo開始試營運搜尋字廣告</p> <p>2. <a href="http://https://corporate.walmart.com/news/2023/09/26/walmarts-new-virtual-experience-walmart-discovered-is-inspired-by-the-community">Walmart</a>和<a href="https://www.prnewswire.com/news-releases/maybelline-new-york-makes-a-splash-in-roblox-a-digital-makeup-and-music-adventure-301941093.html">Maybelline New York</a>在元宇宙遊戲Roblox分別推出產品展示等行銷體驗</p> <p>3. <a href="https://ir.dominos.com/news-releases/news-release-details/dominosr-and-microsoft-cook-ai-driven-innovation-alliance">達美樂將利用生成式AI開發智慧店長助手</a>，強化店內庫存管理、食材訂購及排班</p> <p>4. <a href="https://www.ingka.com/newsroom/how-ikea-is-approaching-ai-for-the-benefit-of-all">Ikea成立新專責團隊</a>，負責維護集團內AI應用符合負責任AI及道德標準</p> <p>圖片來源：Walmart、第一網站</p> <p>資料來源：iThome整理，2023年10月</p> <p>責任編輯：郭又華</p> </div></div></div>
2023/10/13 20:55作者郭又華https://www.ithome.com.tw/news/159271
【資安日報】10月13日，利用職場社群網站LinkedIn市場行銷工具的網釣攻擊再度出現，受害者遍及各行各業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>運用合法服務隱匿網路釣魚的攻擊意圖，可說是相當常見，其中一種手法，就是濫用市場行銷工具Smart Links，這是由職場社群網站LinkedIn推出的服務，主要目的是讓行銷人員提供客戶相關的網站連結時，進而追蹤其互動成效。但這樣的工具可能淪為駭客迴避郵件安全系統檢查的管道。</p> <p>濫用Smart Links的攻擊行動並非首例，但這次駭客手法又更進一步，將這類工具的網址加以運用，在釣魚網站的網址連結當中，帶入收信人的電子郵件信箱。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://cofense.com/blog/linkedin-smart-links-credential-phishing-campaign/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">職場社群網站LinkedIn提供的市場行銷工具遭到濫用，駭客用於誘騙微軟帳號</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/smartlinks-figure3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/smartlinks-figure3.png" style="width: 300px; float: right;" /></a>郵件安全業者Cofense揭露從今年7月下旬至8月的網路釣魚攻擊行動，主要針對金融與製造業的員工，但能源、營造、醫療保健、保險、採礦、消費性產品、科技產業也有受害者。這些駭客之所以得逞，不只是使用者的疏忽，他們為了繞過郵件安全閘道等資安系統，在寄送的電子郵件當中，濫用職場社群網站LinkedIn提供的Smart Links服務，企圖竊取使用者的微軟帳號。研究人員總共看到這類電子郵件逾800封，濫用上述服務的連結多達80個。</p> <p>一旦收信人依照指示點選，就會被帶往釣魚網站，特別的是，駭客利用Smart Links的網址結構，在連結裡加入收信人的電子郵件信箱，使得用戶被引導到釣魚網站的時候，所開啟的登入頁面，在帳號欄位已自動填入該員的電子郵件信箱，使得這些收信人以為這是簡化登入步驟的便利措施，而更容易降低警覺。</p> <p>濫用上述LinkedIn提供的行銷工具進行釣魚郵件攻擊已非首例，2022年9月，研究人員發現假冒斯洛伐克郵局的釣魚信，便是以此手法迴避偵測。</p> <p><a href="https://asec.ahnlab.com/en/57635/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">執行Linux作業系統的SSH伺服器遭到鎖定，駭客植入惡意程式ShellBot，並利用Hex編碼的IP位置迴避偵測</span></strong></a></p> <p></p> <p>資安業者AhnLab揭露新一波的惡意軟體ShellBot攻擊行動，駭客的主要目標是缺乏妥善管理的Linux伺服器，他們會掃描22埠是否啟用，以此找尋開放SSH服務遠端登入的系統，一旦找到這類主機，後續會利用常見的SSH帳密組合，執行字典填入的暴力破解攻擊，進而於Linux主機部署ShellBot。</p> <p>但這起攻擊行動與過往不同之處，在於駭客使用了十六進位（HEX）的IP位址表示法來連線至C2，隨後下載、安裝ShellBot，研究人員指出，這次駭客使用C2伺服器的IP位址，通常會寫成hxxp://94.250.254[.]43/，但對方在網路釣魚挾帶的PDF檔案裡，將上述網址寫成hxxp://1593507371，可能會因此能繞過資安系統的偵測。</p> <p><a href="https://blog.checkpoint.com/security/unveiling-stayin-alive-a-closer-look-at-an-ongoing-campaign-in-asia-targeting-telecom-and-governmental-entities/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客ToddyCat鎖定亞洲電信業者，散布後門程式CurKeep</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/shellbot-image-16.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/shellbot-image-16.png" style="width: 300px; float: right;" /></a>去年6月資安業者卡巴斯基揭露，中國駭客組織ToddyCat鎖定臺灣、越南等國政府機關，利用Exchange漏洞發動攻擊，如今這些駭客再度發起新一波的攻擊行動。</p> <p>資安業者Check Point揭露名為Stayin’ Alive的攻擊行動，駭客從2021年開始，針對越南、巴基斯坦、烏茲別克、哈薩克等東南亞、中亞國家而來，主要的目標是電信業者。駭客起初寄送帶有壓縮檔案附件的釣魚郵件，一旦收信人打開附件，電腦就有可能觸發Audinate影音裝置管理元件Dante Discovery的漏洞CVE-2022-23748（CVSS風險評分為7.8），以DLL側載（DLL Side-loading）手法，載入名為dal_keepalives.dll的程式庫，從而執行名為CurKeep的後門程式。</p> <p>此惡意軟體檔案非常小，僅10 KB，但具備26種功能，其中最主要的功能是report、shell、file，用於收集目標電腦的系統資訊、回傳電腦名稱並接收命令與執行，以及接收字串內容並將資料寫入特定檔案。</p> <p><a href="http://www.wordfence.com/blog/2023/10/backdoor-masquerading-as-legitimate-plugin/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客假借提供WordPress外掛散布惡意軟體，從而建立管理員帳號並挾持網站</span></strong></a></p> <p></p> <p>網站安全業者Wordfence今年7月清理遭受攻擊的網站時，發現偽裝成WordPress外掛程式的後門程式，駭客假借提供暫存資料的管理工具，使得管理者在手動檢查的過程中，很有可能忽略，駭客也進一步將該「外掛程式」從已啟用的外掛程式名單剔除，目的是為了迴避資安系統的偵測。</p> <p>而對於這個後門，研究人員指出具有以下功能：首先，會建立名為superadmin的帳號，並指派管理員層級的權限給他；再者，駭客可遠端控制WordPress網站上的外掛程式，擅自啟用或停用，並且清除網站資料庫的痕跡，藉此讓攻擊行動維持隱密的狀態。再者，該後門程式能夠竄改網頁內容，加入惡意連結及按鈕，但網站管理介面當中，仍維持未遭修改的樣貌，使得管理員難以察覺異狀。</p> <p>此後門程式若是偵測到搜尋引擎爬蟲，或是機器人的流量，將會提供垃圾郵件等其他的內容，導致爬蟲為受害網站編入惡意的索引資料，有管理人員接獲用戶通報，他們的網站外觀看起來都正常，但在用戶使用搜尋引擎存取的時候出現垃圾內容。但究竟駭客如何於WordPress網站植入上述後門程式？研究人員表示，有待進一步調查。</p> <p><a href="https://www.securityweek.com/cisa-warns-of-attacks-exploiting-adobe-acrobat-vulnerability/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國針對Adobe Acrobat高風漏洞提出警告，已出現攻擊行動</span></strong></a></p> <p></p> <p>美國網路安全暨基礎設施安全局（CISA）於10月10日，在已被利用的漏洞列表（KEV）當中新增5個漏洞，可能受到影響的產品，包括：Adobe旗下PDF編輯軟體Acrobat及閱讀器Reader（記憶體釋放後濫用漏洞CVE-2023-21608）、思科網路設備作業系統IOS及IOS XE（群組加密傳輸VPN越界寫入漏洞CVE-2023-20109）、HTTP/2（Rapid Reset漏洞CVE-2023-44487）。</p> <p>同時，還有微軟本月份例行更新修補的企業版Skype（權限提升漏洞CVE-2023-41763）、WordPad（資訊洩露漏洞CVE-2023-36563）。</p> <p>其中最值得注意的是Adobe今年1月修補的CVE-2023-21608，因為該漏洞公布的時間最久，網路上已有不少的概念性驗證攻擊（PoC）及漏洞分析，使得攻擊者利用這項漏洞更為容易。</p> <p><a href="https://www.ettoday.net/news/20231012/2600759.htm"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">檢方確認我國2,357萬筆戶政資料流入暗網，兜售資料的駭客來自中國</span></strong></a></p> <p></p> <p>去年10月<a href="https://www.ithome.com.tw/news/153894#taiwan2300">名為OKE的人士於駭客網站BreachForums兜售全臺灣民眾的戶政資料2,357萬筆</a>，並公布20萬筆資料供買家驗證，引起社會譁然，民眾質疑戶政機關保護個資不力，內政部後續提出澄清，他們表示，資料格式與該單位系統不同，並非從戶政司資訊網洩漏。本週檢調單位公布更多消息。</p> <p>調查局資安站確認，駭客公開的20萬筆資料集中在宜蘭地區，且內容正確。經北檢分案展開追查，透過科技偵查並與暗網登記所在國連繫後，查出OKE真實身分是中國籍的童自強，此人收款的電子錢包入帳4999.2個泰達幣（相當於5,000美元），經反向追查，查出是我國鄭姓男子所購買。鄭男到案坦承，因好奇這名駭客握有的資料是否為真，他透過Telegram向駭客聯繫，並於31日匯入款項。鄭男從收到的Excel檔案找到親友姓名進行比對，資料相差無幾，強調並未將這些資料用於其他用途。由於鄭男並未將取得的資料洩露、公開，或是再行利用，並坦承犯行，臺北地檢署12日依無故蒐集個資給予緩起訴處分，並對童自強發布通緝。</p> <p>值得留意的是，檢調抽查童自強兜售的資料，發現總筆數與臺灣2018年人口總數相當，內容亦與當時的戶役政資料幾乎一樣。此外，臺北地檢署另案追查個資外洩的管道，正在了解是否有其他人士取得、用於不法。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/critical-socks5-vulnerability-in-curl-puts-enterprise-systems-at-risk/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">程式庫Curl修補高風險漏洞</span></strong></a></p> <p></p> <p>10月4日URL傳輸程式庫curl專案維護團隊預告，將於11日發布8.4.0新版，當中修補高、低層級風險漏洞，資安業者Qualys呼籲組織應儘速盤點所有部署的curl，以便新版推出之後，就能立刻進行升級。</p> <p>到了11日這兩個漏洞的細節揭曉，高風險漏洞是CVE-2023-38545，同時影響7.69.0至8.30版的curl與libcurl，起因是curl將主機名稱傳遞至SOCKS5代理伺服器解析其IP位址時，主機名稱最大允許長度為255位元組，一旦超過，curl就會切換、改用本機名稱解析，並將結果得到的位址傳送至代理伺服器，然而此漏洞就是發生在「讓主機解析名稱」的本機變數當中，有可能導致SOCKS5交握過程得到錯誤的數值，從而將過長的主機名稱複製到目標記憶體緩衝區，產生溢位（overflow）的問題。目前，Red Hat將此漏洞的CVSS風險評為7.5。</p> <p>另一個漏洞為CVE-2023-38546，僅影響7.9.1至8.3.0版libcurl，攻擊者可利用該程式庫任意將Cookie插入正在執行的應用程式，由於必須搭配一系列的環境條件才能觸發，開發團隊將其危險程度列為低風險，Red Hat評估其CVSS分數為5.0。</p> <p>資料來源</p> <p>1. <a href="https://blog.qualys.com/vulnerabilities-threat-research/2023/10/05/curl-8-4-0-proactively-identifying-potential-vulnerable-assets">https://blog.qualys.com/vulnerabilities-threat-research/2023/10/05/curl-8-4-0-proactively-identifying-potential-vulnerable-assets</a><br /> 2. <a href="https://curl.se/docs/CVE-2023-38545.html">https://curl.se/docs/CVE-2023-38545.html</a><br /> 3. <a href="https://access.redhat.com/security/cve/cve-2023-38545">https://access.redhat.com/security/cve/cve-2023-38545</a><br /> 4. <a href="https://curl.se/docs/CVE-2023-38546.html">https://curl.se/docs/CVE-2023-38546.html</a><br /> 5. <a href="https://access.redhat.com/security/cve/cve-2023-38546">https://access.redhat.com/security/cve/cve-2023-38546</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://support.apple.com/HT213972"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">蘋果發布iOS 16.7.1、iPadOS 16.7.1，修補舊版裝置的零時差漏洞CVE-2023-42824、CVE-2023-5217</span></span></strong></a></p> <p></p> <p><a href="https://www.ithome.com.tw/news/159247"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為強化雲端基礎設施機密保護及配置管理自動化，基礎設施即程式碼工具新創Pulumi推出新的解決方案</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/159201"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體Hello Kitty程式碼被公布，有助於製作解密金鑰</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/159204"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google以Rust重寫Android裸機元件，進一步強化記憶體安全</span></span></strong></a></p> <p><a href="https://blog.talosintelligence.com/vulnerability-roundup-webkit-and-yifan-router/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國億帆工業路由器曝露於重大層級漏洞，迄今尚未有修補程式</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159241"><strong>【10月12日】以色列與巴勒斯坦爆發大規模軍事衝突之後，逾100個駭客組織發動網路攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159228"><strong>【10月11日】駭客組織鎖定臺灣生技、製造、IT業者而來，自今年2月暗中從事網路間諜攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159172"><strong>【10月6日】中國駭客鎖定臺灣、香港、新加坡半導體產業而來，假借台積電的名義進行網路間諜攻擊行動</strong></a></p> </div></div></div>
2023/10/13 17:02作者周峻佑https://www.ithome.com.tw/news/159278
AI也要抓漏，微軟AI Bug Bounty Program上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/msrc/bounty-ai" target="_blank">微軟周四（10/12）公布了新的抓漏計畫</a>，這是鎖定AI臭蟲的Microsoft AI Bug Bounty Program，獎金從2,000美元到1.5萬美元不等，首個抓漏的產品為具備AI能力的Bing。</p> <p>現有的抓漏範圍圍繞在所有整合AI的Bing體驗，包括利用各種瀏覽器造訪Bing.com時所體驗的Bing Chat、Bing Chat for Enterprise及Bing Image Creator；或是在Windows版Microsoft Edge使用整合AI的Bing功能，包括Bing Chat for Enterprise在內；以及iOS及Android上Microsoft Start Application所整合的Bing；或是iOS及Android上Skype Mobile Application整合的Bing。</p> <p>與AI系統相關的安全漏洞涵蓋了推論操縱（Inference Manipulation）、模型操縱（Model Manipulation）及推論資訊揭露（Inferential Information Disclosure），像是可注入指令導致模型偏離其預期行為，或是可干擾有效輸入而令模型產生錯誤輸出，或是可竄改模型架構、訓練程式碼、訓練資料或超參數來毒害模型，或是可自訓練資料集中重建個人資料紀綠等。</p> <p>不過，只有被微軟AI漏洞分類系統（<a href="https://www.microsoft.com/en-us/msrc/aibugbar" target="_blank">Microsoft Vulnerability Severity Classification for AI Systems</a>）視為重要（Important）或重大（Critical）等級的安全漏洞才符合申請資格。</p> <p>根據<a href="https://msrc.microsoft.com/blog/2023/08/microsoft-bug-bounty-program-year-in-review-13.8m-in-rewards/" target="_blank">微軟日前所公布的年度抓漏成果</a>，自去年7月1日到今年6月底之間，微軟總計祭出了17個抓漏計畫，來自全球逾45個國家的345個安全研究人員，總計提交了1,180個符合資格的漏洞報告，獲得了1,380萬美元的獎金，最高的一筆抓漏獎金為20萬美元。</p> </div></div></div>
2023/10/13 13:08作者陳曉莉https://www.ithome.com.tw/news/159254
【iThome 2023資安大調查：資安弱點篇】5成多企業員工資安意識不足，3成企業欠缺資安老手
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1151-zi_an_ruo_dian_-960-v2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>員工資安意識不足和缺乏資安老手，今年依舊是企業最頭痛的兩大資安弱點，甚至比預算不足的問題還要嚴重，也是企業資安長和資訊長自認擋不住網攻的主因。但是系統老舊的問題，今年超越了資安工具資訊不足的問題，成了名列第四的資安弱點。</p> <p>另外，威脅情資掌握太少或太慢的問題，今年開始浮上檯面，2成企業格外擔心這項弱點，這也反映出企業比過去更積極，想要更快或更早發現潛在風險來因應。</p> <p>去年，醫療業和政府學校，各有3成多擔心資安老手不足的問題，但是今年轉而是金融業和高科技業，更想解決資安老手不足的課題。系統老舊問題成了醫療和政府學校今年格外頭痛的新課題。這兩個產業今年都面臨了基礎架構升級或轉換的挑戰，政府學校更積極擁抱雲原生技術，更大力引進DevOps方法論和相關工具，甚至是直接採用DevSecOp。而醫院也同樣積極地想要導入微服務和容器技術等雲原生技術來改造或升級老舊的HIS系統。值得關注的是有6.6%企業資安長則擔心企業高層低估了ChatGPT風險。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1151-%E5%B0%81%E9%9D%A2-%E8%B3%87%E5%AE%89%E5%BC%B1%E9%BB%9E-600-1-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1151-%E5%B0%81%E9%9D%A2-%E8%B3%87%E5%AE%89%E5%BC%B1%E9%BB%9E-600-2-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1151-%E5%B0%81%E9%9D%A2-%E8%B3%87%E5%AE%89%E5%BC%B1%E9%BB%9E-600-3-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1151-%E5%B0%81%E9%9D%A2-%E8%B3%87%E5%AE%89%E5%BC%B1%E9%BB%9E-600-4-PNG.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#ff9900;"> 問卷說明 </span></strong></span> <strong>大調查執行期間從2023年4月20日到5月10日，對臺灣2千大規模大型企業、iThome歷屆CIO大調查企業、政府機關、大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 68.5%填答者為企業IT最高主管。</strong></span></p> </div></div></div>
2023/10/13 14:07作者王宏仁https://www.ithome.com.tw/article/159256
【iThome 2023資安大調查：資安風險篇】社交工程風險超越勒索軟體和駭客，ChatGPT濫用成新威脅
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1151-feng_mian_-shi_da_feng_xian_-960-v21.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>社交工程威脅，成了資安長在2023和2024年最擔心的頭號資安風險！在2023年iThome CIO暨資安大調查中，高達4成企業將這項威脅，列為未來一年最可能遭遇的資安風險，風險排名超越了去年名列一、二名的勒索軟體資安事件和駭客威脅。尤其，當員工資安意識和高層資安認知不足，成了許多企業擋不住資安攻擊的弱點，社交工程手段對企業資安的影響，也比遠比過去更具威脅性。</p> <p>ChatGTP這類生成式AI技術的出現，更成了社交工程手段的新武器，用來自動生成比過去更擬人化、更針對性客製的詐騙話術和文字。原本就常見的資安風險，如BEC商業郵件詐騙、釣魚信件、誘騙簡訊等手法，也因此比過去更難快速分辨真假。這是為何比起ChatGPT外洩企業機敏資料的風險，資安長們更擔心ChatGPT遭濫用後帶來的威脅，有2成企業將ChatGPT列為今年最可能發生的資安風險之一，在十大風險排名中名列第七，僅次於BEC詐騙的風險程度，這是企業未來必須更重視的新課題。不少企業已經意識到ChatGPT帶來的認知威脅，紛紛加強員工對於生成式AI的資安意識，另外，也有少數企業開始重視高層低估生成式AI風險的影響。</p> <p>每當新技術典範出現時，總是伴隨著兩面刃，一方面開創更多技術未來性和潛力，另一方面，也會顛覆原有技術帶來的資安威脅樣態，生成式AI的解讀和摘要能力，適合用於處理龐大的威脅情資和海量Log數據，能夠降低不少資安人員的分析負擔，但也讓攻擊者更容易扮演不同角色，來發動更高度個人化的社交工程手法。對企業來說，提高員工對新興技術的資安風險認知，比過去更顯得必要。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1151-%E5%B0%81%E9%9D%A2-%E5%8D%81%E5%A4%A7%E9%A2%A8%E9%9A%AA-600-1-PNG(1).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 問卷說明 </span></span> 大調查執行期間從2023年4月20日到5月10日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷407家，其中59.8%填答者為企業資安最高主管</strong></span></p> </div></div></div>
2023/10/13 14:07作者王宏仁https://www.ithome.com.tw/article/159257
11月30日起Microsoft 365個人、家庭版訂閱戶不得新增雲端個人郵件信箱
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.microsoft.com/en-us/office/changes-to-microsoft-365-email-features-and-storage-e888d746-61e5-49e3-9bd1-94b88e9be988" target="_blank">微軟本周發布新政策</a>，Microsoft 365個人版及家庭版訂閱戶從11月30日起，就不得再新增Outlook.com個人郵件信箱。</p> <p>11月30日後，現有Outlook.com網域的個人信箱還是可以繼續使用，而且也能持續為Outlook.com信箱設立別名（alias）或設定以其他郵件信箱登入，只是個人化信箱只能在Outlook中設定。在此日期後，一旦從Outlook.com刪除個人信箱，就再也無法加回去。屆時，唯一方法是改用Microsoft 365企業版方案。</p> <p>微軟強調付費版的好處，像是Microsoft 365基本／個人／家用版訂戶可以使用Outlook.com進階安全防護，如網釣郵件或惡意程式防護、郵件加密、免廣告干擾、50GB郵件儲存空間、以及支援服務。試用版用戶則無法享有50GB雲端硬碟。</p> <p>這項新政策可能和Outlook.com附檔及圖片計入5GB免費OneDrive儲存空間的規定有關。新政策今年2月起實施。微軟警告，一旦雲端儲存空間屆滿，用戶在Outlook.com的信件收發都會受到影響。</p> </div></div></div>
2023/10/13 12:06作者林妍溱https://www.ithome.com.tw/news/159252
Google實驗於搜尋中支援AI生成圖像
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周於<a href="https://blog.google/products/search/google-search-generative-ai-october-update/" target="_blank">搜尋實驗室（Search Labs）中增添了兩項新的搜尋生成式體驗（Search Generative Experience，SGE）功能</a>，一是直接於搜尋列上執行生成式圖像功能，二是請AI幫忙撰寫各種草稿。</p> <p>例如使用者可直接於搜尋列上，輸入「請畫一張戴著廚師帽並正在做早餐的水豚圖像」，那麼系統便會出現4張符合該描述的圖畫，隨便點選任何一張就能看到它們各自的描述，也能編輯其文字描述來修改畫面。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Google%20Search%20Labs-GenAI-600-1.png" style="width: 500px;" /></p> <p>這些由AI生成的圖像都會具備元資料標籤，同時鑲有浮水印，以標註它們源自於AI。且Google也會封鎖違反使用政策的AI生成圖像，例如含有有害或誤導性內容。</p> <p>另一個SGE功能則可用來協助使用者撰寫各種草稿。例如當使用者想要進行裝修，把車庫變成辦公室，在搜尋網路資訊之後，決定請施工人員報價，就能要求SGE撰寫一個邀請施工人員報價的草稿，還能要求SGE調整草稿的長度及語氣，再匯出至Google Docs或Gmail。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Google%20Search%20Labs-GenAI-600-2v2.png" style="width: 600px;" /></p> <p>Google是<a href="https://www.ithome.com.tw/news/157080" target="_blank">在今年5月發表</a>Google AI搜尋測試平臺Search Labs，測試各種利用生成式AI來改善搜尋的功能，不過，<a href="https://support.google.com/websearch/answer/13551902?visit_id=638327632597300571-3004891748&p=search_labs&rd=1" target="_blank">目前Search Labs僅開放</a>美國、印度與日本的少數用戶參與測試，測試者必須年滿18歲，也必須使用Chrome瀏覽器。</p> </div></div></div>
2023/10/13 12:33作者陳曉莉https://www.ithome.com.tw/news/159253
Google允許Android用戶刪除15分鐘內Chrome上網紀錄、Gmail流到暗網時會通知用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/safety-security/google-cybersecurity-awareness-month-2023/" target="_blank">Google本周公布</a>包括Android、Chrome、及Google App多項新安全措施，以提供用戶更多資安及隱私防護，包括允許Android刪除15分鐘內手機上網紀錄、Gmail公布在暗網時通知用戶，以Google App當iPhone密碼管理器。</p> <p>繼今年初<a href="https://9to5google.com/2023/03/20/google-chrome-history-15-minutes/" target="_blank">媒體發現</a>測試後，Google本周宣布，Android版Chrome加入「清除上網資料（clear browsing data）」，讓用戶可以刪除15分鐘內的上網紀錄、網站cookies、快取等資料及開過的分頁資料。這項功能僅提供Android版，用戶很快可以在瀏覽器右上角的漢堡式選單內找到。《<a href="https://mspoweruser.com/google-chrome-delete-last-15-minutes-browsing-data/" target="_blank">MSPower User</a>》發現，目前可在Chrome Canary 120版中啟用這項功能，但應該不久後會部署到正式版。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Google%20account-Clear%20Browsing%20Data-last%2015%20minutes%20of%20browsing%20history-600.png" style="width: 373px;" /></p> <p>Google也說明，Pixel 8系列內建Google自行研發的Tensor G3晶片，整合了Titan M2安全晶片，可執行機器學習模型，提供臉部辨識解鎖，號稱是Android手機最強的生物辨識等級，能用於保護手機銀行App或Google Wallet等支付App。</p> <p>前面二項功能都是Android獨有，不過Google在iPhone等iOS裝置上也提供了新功能。現在Google密碼管理員（Password Manager）內建到Google App中。因此iPhone或iPad用戶也可以用它來管理密碼，或在登入App或網站前以Autofill功能自動輸入密碼。</p> <p>最後，<a href="https://www.ithome.com.tw/news/156846" target="_blank">Google 5月公布暗網報告功能</a>，可在用戶Gmail信箱被公布在暗網上時告知用戶。這項功能當時只提供美國用戶。現在Google將暗網報告部署到所有用戶，可在Google App的帳號選單開啟讀取。暗網報告會先提供給Android版用戶，但很快會推向iOS版用戶。</p> <p>Google本周稍早已宣布另二項安全措施，包括<a href="https://www.ithome.com.tw/news/159209" target="_blank">啟動Google帳號以通行密鑰（passkey）取代密碼</a>作為預設驗證方法，以及公告發送一天5,000封信以上的<a href="https://www.ithome.com.tw/news/159120" target="_blank">大量郵件寄件者，必須驗證身分</a>，而信件中也應加入一鍵取消訂閱的按鍵。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Passwordless%20by%20default-Passkeys-Google%20Accounts-600.png" style="width: 385px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></p> </div></div></div>
2023/10/13 11:23作者林妍溱https://www.ithome.com.tw/news/159251
Pulumi推配置即程式碼工具，強化雲端基礎設施機密與配置管理自動化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>熱門基礎設施即程式碼工具新創Pulumi，推出可用來管理所有雲端基礎設施、應用程式環境機密與配置的工具<a href="https://www.pulumi.com/blog/environments-secrets-configurations-management/">Pulumi ESC</a>。Pulumi ESC採用配置即程式碼（Configuration as Code）策略，讓用戶能夠透過編寫程式碼，管理機密與配置的階乘結構。此外，Pulumi ESC不僅可以作為獨立工具，也可以與Pulumi IaC搭配運用，進一步強化配置管理的靈活性。</p> <p>在管理一組複雜且緊密關聯的環境配置與機密時，用戶通常會遇到各種難題。首先，機密和配置可能散落在不同的系統中，造成機密擴散的問題，這不只增加管理複雜性，也使稽核變得困難。第二則是機密常與特定應用和系統儲存綁定，因此用戶需要在多個地方重複複製貼上機密。最後是用戶通常會過度依賴長期靜態憑證，這不僅不利於機密管理和更新，更可能使企業面臨重大資安風險。</p> <p>而Pulumi ESC提供一套綜合解決方案，針對當前基礎設施、應用環境中的機密和配置管理，所普遍存在的問題而設計。官方提到，雖然市場上有許多機密管理工具，但是往往無法解決實際配置的複雜性，而Pulumi ESC在機密和配置之間，提供一套統一的工具和流程簡化管理任務。</p> <p>Pulumi ESC一系列核心功能，供用戶更有效率且安全地管理機密和配置。官方提到，透過Pulumi ESC CLI，用戶只需要使用一個指令，即可立刻經過身分驗證，短期存取任何雲端供應商的雲端憑證。</p> <p>擁有靈活設計的Pulumi ESC，不僅讓用戶可以在環境中整合機密和配置，還能進一步匯入其他環境設定，這樣的設計供使用者能夠依照需求，覆蓋原有的設定值，或是動態插入、組合和替換其他變數值，在獲得組合彈性的同時，也能在多重設定中重複使用資訊，減少不要的重複工作。</p> <p>Pulumi ESC強大的整合能力，能夠與不同供應商的機密管理工具配合使用，包括AWS Secrets Manager、Vault、Azure OIDC和1Password，提供了企業一個統一且一致的機密和配置管理介面。藉由使用ESC CLI和Rest API，用戶便可以從各處取得配置和機密資訊。Pulumi ESC更支援與Pulumi IaC、本地環境、.env檔案和GitHub Actions等多種工具的整合，進一步提升適用性和便利度。</p> <p>Pulumi ESC還具有高度可稽核性，所有環境操作都被詳細記錄下來，確保用戶能夠追蹤每個值的來源和變動。此外，Pulumi ESC融合身分驗證和基於角色的存取控制（RBAC）功能，確保組織內部資料的存取安全。</p> <p>由於Pulumi ESC採用配置即程式碼的方式，使得用戶可以將環境定義為YAML檔案，直觀地描述組合機密和配置，整合動態配置供應商，從其他值計算新配置，像是用戶可以從DNS名稱直接生成URL，或是合併多個配置值。相較於點擊式介面，配置即程式碼方法提供極佳的靈活性，能以豐富的表達方式簡單管理複雜配置。</p> <p>目前官方先以全託管服務的形式，推出Pulumi ESC公開預覽版，並承諾之後還會推出自託管版本。官方仍繼續發展Pulumi ESC，陸續還會推出應用程式層級的SDK，並讓配置能夠與外部系統同步，甚至是對環境進行版本控制等功能。</p> </div></div></div>
2023/10/13 10:25作者李建興https://www.ithome.com.tw/news/159247
AMD收購開源AI軟體新創公司Nod.ai
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ir.amd.com/news-events/press-releases/detail/1159/amd-to-acquire-open-source-ai-software-expert-nod-ai" target="_blank">AMD本周稍早宣布</a>和開源AI軟體新創業者Nod.ai達成收購協議，以增加與Nvidia競爭的軟體技術能力。</p> <p>AMD表示，本樁收購將可協助使用AMD眾多產品包括AMD Instinct資料中心加速器、Ryzen AI處理器、EPYC處理器、Versal SoC以及Radeon GPU等的客戶環境，加快部署AI的速度。AMD說，這項收購也與AMD運用開放軟體提供開發者工具、函式庫及模型簡化客戶使用難度的策略一致。</p> <p>創立於2013年的Nod.ai以開源軟體開發compiler，運用機器學習，特別是增強式學習（reinforcement learning）開發程式碼生成及自動排程工具，以用於異質硬體（如CPU、GPU及加速器）之間的運算和通訊，其代表作是以LLVM、MLIR、OpenXLA的IREE開發<a href="https://github.com/nod-ai/SHARK" target="_blank">SHARK</a> Machine Learning Distribution。該公司強調自己是重要AI軟體庫如Shark、Torch-MLIR及OpenXLA/IREE的重要貢獻者及主要維護組織，其軟體也廣泛運用在雲端、邊緣及多種終端裝置上。</p> <p>Nod.ai二名創辦人之一暨執行長Anush Elangovan曾在思科及Google Chromebook部門任職。另一名創辦人暨技術長Harsh Menon經歷則是曾任職電動飛機新創業者KittyHawk。</p> <p>AMD表示，Node.ai的自動化compiler軟體SHARK可以降低在資料中心、邊緣及客戶端平臺上部署高效能AI模型所需的手動優化的時間。</p> <p>AMD預計本季內完成收購。</p> <p>透過這項收購，AMD將可獲得AI相關技術，以追趕第一大AI晶片業者Nvidia。Nvidia上季在AI熱潮中，締造135.1億美元營收，比去年同期成長了101%。AMD上季營收則為54億美元，年減18%。</p> </div></div></div>
2023/10/13 11:09作者林妍溱https://www.ithome.com.tw/news/159249
【資安日報】10月12日，以色列與巴勒斯坦爆發大規模軍事衝突之後，逾100個駭客組織發動網路攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年2月引爆的烏克蘭戰爭當中，網路攻擊占有舉足輕重的地位，許多駭客表態聲援烏克蘭或是俄羅斯，這樣的現象也出現在近期的以色列和巴勒斯坦軍事衝突。</p> <p>有研究人員發現，自巴勒斯坦激進組織哈瑪斯（Hamas）10月7日突襲以色列，不到一個禮拜的時間已有100個駭客組織從事相關的網路攻擊，其中逾四分之三支持巴勒斯坦、五分之一支持以色列，極少數表明維持中立的立場。但這些駭客的攻擊行動究竟會帶來那些影響？有待後續觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://thecyberexpress.com/cyber-war-in-the-israel-vs-palestine-conflict/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">100個駭客組織針對以巴衝突進行網路攻擊</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/F8HG4FlWsAADX53.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/F8HG4FlWsAADX53.jpg" style="width: 300px; float: right;" /></a>在以色列與巴勒斯坦開戰之後，有不少駭客組織表態，並對於這兩個國家的政府機關或組織發動網路攻擊，且參與的駭客組織數量急速增加。在10月9日，資安業者Cyble經營的新聞網站Cyber Express表示，有39個駭客組織表態發動攻擊；事隔兩天之後，駭客組織數量已達到100個，其中77個聲援巴勒斯坦，20個支持以色列，3個中立。</p> <p>對於聲援巴勒斯坦的網路攻擊行動，像是駭客組織Ghosts of Palestine癱瘓了以色列外交部、教育部網站；Sylhet Gang-SG因烏克蘭表態支持以色列，對該國網站發動DDoS攻擊；俄羅斯駭客組織Killnet、Usersec針對以色列銀行及電力設施下手。此外，耶路撒冷郵報（Jerusalem Post）的網站，也傳出遭到攻擊而數度當機。</p> <p>還有駭客組織打算趁亂打劫──日前聲稱攻擊Sony、NTT Docomo的駭客組織RansomedVC，傳出打算購買伊朗、巴勒斯坦、加薩地區組織的初始入侵管道，來對這些地區發動網路攻擊。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/FalconFeedsio/status/1711868327486787831">https://twitter.com/FalconFeedsio/status/1711868327486787831</a><br /> 2. <a href="https://thecyberexpress.com/israel-palestine-conflict-cyber-warfare-risk/">https://thecyberexpress.com/israel-palestine-conflict-cyber-warfare-risk/</a><br /> 3. <a href="https://thecyberexpress.com/israel-hamas-war-ransomedvc-access-to-iran/">https://thecyberexpress.com/israel-hamas-war-ransomedvc-access-to-iran/</a></p> <p><a href="https://securityaffairs.com/152153/hacking/gaza-linked-hackers-argeting-israel.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露聲援巴勒斯坦激進組織的加薩駭客Storm-1133</span></strong></a></p> <p></p> <p>10月7日以色列與巴勒斯坦爆發50年來最大規模的軍事衝突，但在此之前，駭客已經開始從事相關的網路攻擊行動。</p> <p>微軟近期發布了<a href="https://blogs.microsoft.com/on-the-issues/2023/10/05/microsoft-digital-defense-report-2023-global-cyberattacks/">今年度的數位防禦報告（Digital Defense Report）</a>，當中提及力挺巴勒斯坦激進組織哈瑪斯（Hamas）的加薩駭客組織Storm-1133，該組織從今年初開始從事攻擊行動，主要目標是以色列的能源設施、國防部門，以及效忠巴勒斯坦解放組織法塔赫（Fatah）的實體。</p> <p>這些駭客透過釣魚郵件及社群網站發送釣魚訊息，或是設置LinkedIn帳號來偽裝成以色列的人力資源主管、專案負責人、軟體開發人員，針對以色列國防、太空、科技產業的員工進行偵察、聯繫、散布惡意軟體。研究人員指出，這些駭客利用多種後門程式來迴避偵測，而這些惡意程式的C2基礎設施，架設於雲端檔案共享服務Google Drive。</p> <p><a href="https://www.fortinet.com/blog/threat-research/Iz1h9-campaign-enhances-arsenal-with-scores-of-exploits"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">路由器漏洞遭到殭屍網路病毒Mirai變種鎖定</span></strong></a></p> <p></p> <p>資安業者Fortinet揭露殭屍網路Mirai變種病毒IZ1H9近期的攻擊行動，他們看到駭客約從今年9月6日開始，利用至少13種殭屍網路病毒，綁架多個廠牌的網路設備與系統，包含D-Link、Netis、兆勤（Zyxel）、TP-Link、Totolink、Korenix、Geutebruck旗下的網路設備，以及視訊監控系統Sunhillo SureLine、裝置管理平臺Yealink Device Management，利用從2015年至2023年通報的漏洞入侵目標系統。</p> <p>一旦成功，對方就會將IZ1H9的惡意酬載注入設備，並從遠端伺服器取得Shell指令碼下載工具l.sh，程式一旦執行，首先會刪除事件記錄檔案來隱匿攻擊行動，然後根據處理器架構及作業系統的版本，來下載對應的機器人用戶端程式。</p> <p>最終此下載器竄改目標系統的iptable規則，從而干擾多個連接埠的網路連線，建立機器人與C2伺服器的通訊，等待接收攻擊者的命令。研究人員指出，IZ1H9可執行UDP、UDP Plain、HTTP Flood、TCP SYN等多種類型的DDoS攻擊。</p> <p><a href="https://www.bleepingcomputer.com/news/security/microsoft-state-hackers-exploiting-confluence-zero-day-since-september/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">DevOps協作平臺Atlassian Confluence遭中國駭客鎖定，利用零時差漏洞提升權限</span></strong></a></p> <p></p> <p>10月4日Atlassian修補DevOps協作平臺Confluence的零時差漏洞CVE-2023-22515，並指出已有部分用戶可能遭到入侵，如今有研究人員提出更多說明。</p> <p>對於這個威脅，微軟威脅情報團隊特別提出警告，他們發現自9月14日起，中國駭客組織Storm-0062（亦稱DarkShadow、Oro0lxy）利用上述的零時差漏洞從事攻擊行動。而這個弱點屬於權限提升類型的漏洞，攻擊者可藉此建立未經授權的管理員帳號，從而控制Confluence Data Center、Confluence Server實體，CVSS風險評為10分。由於資安業者Rapid7公布了概念性驗證（PoC）攻擊的指令碼，相關的攻擊行動很可能會再度出現。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/msftsecintel/status/1711871732644970856">https://twitter.com/msftsecintel/status/1711871732644970856</a><br /> 2. <a href="https://attackerkb.com/topics/Q5f0ItSzw5/cve-2023-22515/rapid7-analysis">https://attackerkb.com/topics/Q5f0ItSzw5/cve-2023-22515/rapid7-analysis</a><br /> 3. <a href="https://jira.atlassian.com/browse/CONFSERVER-92475">https://jira.atlassian.com/browse/CONFSERVER-92475</a></p> <p><a href="https://www.humansecurity.com/learn/blog/badbox-peachpit-and-the-fraudulent-device-in-your-delivery-box"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">7萬臺安卓電視盒、平板電腦韌體被植入後門，流入美國低收入戶</span></strong></a></p> <p></p> <p>趨勢科技今年5月揭露<a href="https://www.trendmicro.com/zh_tw/research/23/g/lemon-group-s-cybercriminal-businesses-built-on-preinfected-devi.html">可能會影響近900萬臺安卓裝置的攻擊行動</a>，這些裝置的ROM被預先載入了惡意軟體Guerrilla，駭客組織Lemon Group能藉由用戶的簡訊、社群網站帳號來牟利，甚至是在背景利用裝置來進行點擊詐欺活動，類似的情況近期再度上演。</p> <p>資安業者Human Security揭露名為Badbox的攻擊行動，這些裝置的韌體被植入名為Triada的惡意軟體，設備類型涵蓋至少200個型號的手機、平板電腦、電視盒，保守估計有7.4萬臺裝置遭到感染，當中有美國補助低收入戶的專案手機。一旦使用者啟用裝置，這些設備就會連回C2中繼站，遠端部署數個詐欺模組。其中一個是殭屍網路病毒Peachpit，每天約有12.1萬臺安卓裝置、15.9萬臺iOS裝置遭到控制。研究人員之所以發現Peachpit，原因是他們在2022年觀察到每天有40億則用於詐欺的廣告，這些竟源自39款安卓、iOS應用程式，從而追查到這項攻擊。Triada能竊取個人識別資訊（PII）、執行機器人並隱匿其行蹤、用於設置家用網路的代理伺服器、竊取Cookie或是動態密碼。</p> <p>而究竟駭客如何埋入惡意程式？研究人員指出，感染Triada的裝置由中國廠商生產，疑似在送交經銷商的過程出錯，有人悄悄植入後門程式。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.cna.com.tw/news/afe/202310100027.aspx"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">強化公部門資料安全，26個A級機關完成導入T-Road</span></strong></a></p> <p></p> <p>數位發展部為確保跨機關間資料傳輸的安全性，推動公部門導入政府資料傳輸平臺T-Road，這項政策與零信任架構（Zero Trust Architecture）列為該部門今年的施政重點項目，如今揭露導入的成果。</p> <p>根據中央通訊社的報導，截至9月底已有26個資安A級機關完成導入T-Road，這些包含了掌握全國人民個資的內政部警政署、勞保局、健保署、教育部、財政部、經濟部，地方政府的部分則有臺南市政府。數位部表示，我國資安A級機關總共有47個，預計將於明年底全數導入T-Road與零信任架構。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.securityweek.com/sap-releases-7-new-notes-on-october-2023-patch-day/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">SAP發布10月份例行更新</span></span></strong></a></p> <p></p> <p><a href="https://chromereleases.googleblog.com/2023/10/stable-channel-update-for-desktop_10.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google發布Chrome 118，修補20個漏洞</span></span></strong></a></p> <p></p> <p><a href="https://thehackernews.com/2023/10/libcue-library-flaw-opens-gnome-linux.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">GNOME桌面環境的程式庫libcue存在高風險漏洞</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/bianlian-extortion-group-claims-recent-air-canada-breach/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);"></span></span></strong></a></p> <p></p> <p><a href="https://github.blog/2023-10-04-introducing-secret-scanning-validity-checks-for-major-cloud-services/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">GitHub帳密機敏資訊掃描功能範圍擴及AWS、微軟、Google、Slack</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/bianlian-extortion-group-claims-recent-air-canada-breach/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體BianLian聲稱從加拿大航空竊得210 GB資料</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159228"><strong>【10月11日】駭客組織鎖定臺灣生技、製造、IT業者而來，自今年2月暗中從事網路間諜攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159172"><strong>【10月6日】中國駭客鎖定臺灣、香港、新加坡半導體產業而來，假借台積電的名義進行網路間諜攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159144"><strong>【10月5日】亞太地區安卓手機遭中國駭客APT41鎖定，進行精確的定位追蹤、盜取網路電話通話內容及行動支付資料</strong></a></p> </div></div></div>
2023/10/12 18:04作者周峻佑https://www.ithome.com.tw/news/159241
公平會通過台灣大哥大與台灣之星合併案，台灣大哥大：拼年底完成合併
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼遠傳與亞太電信之後，公平交易委員會（簡稱公平會）在今天（10/12）決議，以有條件方式通過台灣大哥大與台灣之星合併案，由於台灣大哥大將承受台灣之星用戶，要求對台灣之星4G終身用戶應依合約服務至4G頻段使用屆期為止。台灣大哥大表示，將趕在今年底前完成合併。</p> <p>台灣大哥大是在2021年12月底，宣布將合併台灣之星，為國內電信市場投入震憾彈，隨後遠傳電信也宣布將和亞太電信合併，兩大電信合併案不只牽涉到眾多用戶，從5家行動電信商減少至3家，對國內電信市場競爭產生重大影響，公平會花費相當長的時間，從合併後的市場經濟效溢、用戶權益、公平性及市場競爭變化等方面，審理兩大電信合併案，其中遠傳與亞太電信合併案已在今年7月先通過，今天再通過台灣大哥大與台灣之星合併案。</p> <p>公平會指出，電信產業具有高技術、高資本特性，合併固然透過資源整合，改善經營效率、競爭力，但在遠傳與亞太電信合併後，台灣大哥大與台灣之星合併案，將使國內寬頻服務業者減少，導致市場集中度提高、價格上升的疑慮。為維護市場競爭及保障消費者利益，公平會邀請學者專家、主管機關、消保單位、競爭對手，向外蒐集各方對合併案的意見。</p> <p>公平會認為，台灣大哥大合併台灣之星，整合其頻譜使用資源、網路、用戶及人力，有助於5G發展，減少機房、基站重覆建置，整體經濟效益提升，但業者數減少，市場集中提高，衍生價格上升的質疑，為確保合併後經濟效益大於限制競爭的不利益，有條件通過合併申請。</p> <p>公平會對台灣大哥大提出附加負擔，在資費方面，對台灣之星既有用戶契約，需確保用戶得依契約約定的資費、服務內容及條件至2025年12月31日止；對台灣之星4G上網終身用戶，依合約內容服務至4G頻段使用期限屆期。另針對低收入戶、中低收入戶、身心障礙、清寒等用戶提供至少5年的優惠資費方案，一般用戶則提供至少1年優惠資費。資費方案實施，以及資費與mo幣合作，應於合併後5年每年提供公平會備查。</p> <p>在服務方面，由於合併後取得更多頻譜使用資源，台灣大哥大承諾將提升網路及服務品質，公平會要求合併後5年內每年提出行動寬頻網路整合及優化，提升網路及服務品質的實施成果；業者需提出符合自行承諾的整體經濟效益成果報告。</p> <p>為避免對市場競爭的影響，台灣大哥大提供其他業者與自身用戶相同等級的行動語音、數據、漫遊、號碼可攜服務、平等接取服務。另外，在沒有正當理由之下，不得拒絕或中止提供其他業者批發服務、訂定不合理價格或交易條件；沒有正當理由下，不得以差別的價格或交易條件提供批發服務等等。</p> <p>公平會也公布台灣大哥大提出的一般用戶優惠資費，其中4G上網中低資費方案，從月租費0元按資料量計價，到月租費499元限速吃到飽，另提供1個5G月租費599資費方案，以吸引4G用戶升級5G。</p> <p>台灣大哥大第一時間指出，將趕在今年底前完成合併，合併後的新台灣大將大幅升級頻寬、頻譜資源，以及接近千萬的用戶，加速超5G應用生態的發展。</p> <p>台灣大哥大與台灣之星未來合併後，新台灣大哥大用戶數將達980萬左右，而遠傳與亞太電信合併後，新遠傳估計用戶數也將達920萬，兩家業者將和擁有將近１,300萬行動用戶的中華電信分庭抗禮。不過，遠傳與亞太電信合併近期出現新的變數，亞太電信股東以今年4月召開股東臨時會的程序有瑕疵為由，將亞太電信與遠傳合併決議告上智財及商業法院，法院近期判決合併決議應撤銷，恐衝擊遠傳原先與亞太的合併時程規畫。</p> </div></div></div>
2023/10/12 18:48作者蘇文彬https://www.ithome.com.tw/news/159246
WordPress.com正式支援ActivityPub，加入聯邦宇宙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://wordpress.com/blog/2023/10/11/activitypub/" target="_blank">Automattic周三（10/11）宣布</a>，旗下的出版平臺WordPress.com正式支援去中心化的社交網路協定ActivityPub，加入聯邦宇宙（Fediverse）。</p> <p>Fediverse是由聯邦（Federation）及宇宙（Universe）兩個單字所組成，指的是各自獨立卻又能彼此交流的社交網路，各種Fediverse平臺允許不同服務的使用者可彼此關注、分享及互動。而ActivityPub則是由全球資訊網協會（World Wide Web Consortium，W3C）所建立的相關標準，也是現今最熱門的Fediverse協定。</p> <p>WordPress.com的各種方案都將支援ActivityPub，其中的免費（Free）、個人（Personal）及進階（Premium）版用戶可直接透過設定來進入Fediverse，而商用（Business）與電子商務（Commerce）版用戶，則必須安裝ActivityPub外掛程式來參與Fediverse。</p> <p>一旦啟用了ActivityPub，WordPress用戶的部落格便會成為Fediverse上的一個個人檔案，部落格的讀者們就可以在他們自己偏好的平臺上關注並接收來自該部落格的更新，也能直接回覆部落格文章，並出現在部落格的評論上。</p> <p>目前較知名的Fediverse平臺包括了微型部落格X的競爭對手Mastodon、新聞暨討論社群Lemmy、影音平臺PeerTube，以及去中心化的影像分享社交平臺Pixelfed等，且上述皆為開源專案。此外，崇尚開放與自由網路的Mozilla基金會<a href="https://www.ithome.com.tw/news/154818" target="_blank">也在去年宣布將以Mozilla.Social來加入Fediverse</a>，此一<a href="https://mozilla.social/public/local" target="_blank">新的社交平臺</a>已於今年5月邁入封閉測試。</p> </div></div></div>
2023/10/12 15:59作者陳曉莉https://www.ithome.com.tw/news/159237
科學家預估AI到2027年的用電量堪比荷蘭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>科學家們開始注重AI的環保問題，《Cell》的姐妹期刊《Joule》本周出版了一篇名為《持續成長的人工智慧能源足跡》（<a href="https://www.cell.com/joule/fulltext/S2542-4351(23)00365-3" target="_blank">The growing energy footprint of artificial intelligence</a>）論文，指出人工智慧（AI）推論可能會消耗大量的電力，<a href="https://www.bbc.com/news/technology-67053139" target="_blank">作者Alex De Vries更向《BBC》表示</a>，到了2027年，AI的用電量可能等同於荷蘭一年的電力使用。</p> <p>這是繼加州大學河濱分校電機與電腦工程系副教授Shaolei Ren今年初發表的AI「容易口渴」的論文之後，另一篇與AI環保議題相關、並吸引媒體目光的研究。當時Ren於《<a href="https://arxiv.org/pdf/2304.03271.pdf" target="_blank">Making AI Less “Thirsty”: Uncovering and Addressing the Secret Water Footprint of AI Models</a>》中指出，在微軟最先進的美國資料中心訓練GPT-3時，將直接消耗70萬公升的乾淨淡水，相當於生產370輛BMW或320輛特斯拉，若是在微軟的亞洲資料中心訓練，用水量將是3倍，若是於其它不那麼先進的資料中心訓練AI模型，用水量則會更高。</p> <p>而在推論上，ChatGPT僅是回答20~50個簡單的問題就需要500ml的水，當ChatGPT擁有數十億用戶，再加上改用規模更龐大的GPT-4，AI的用水量更是難以估計。</p> <p>其實目前並沒有針對AI用水或用電量的公開數據，不管是Ren或是來自Vries的最新研究都是基於多種估計。</p> <p>Vries為荷蘭阿姆斯特丹自由大學商業與經濟學院的博士候選人，同時他也是數位經濟平臺Digiconomist及比特幣耗電量指數Bitcoin Energy Consumption Index的創辦人。這次他於報告中指出，外界一向認為訓練一個AI模型是AI最耗電的階段，但Vries引用了SemiAnalysis及Google的報告指出，推論所消耗的電力更多。</p> <p>其中，Google的報告顯示，自2019年到2021年，與AI相關的能源消耗中有60%來自推論。至於半導體研究機構SemiAnalysis則說OpenAI的ChatGPT服務需要由3,617臺Nvidia HGX A100的伺服器來支撐，Vries計算其每日耗電量，認為它高於訓練GPT-3時所需要的電力。</p> <p>另一方面，SemiAnalysis也估計，若要於Google搜尋中實現類似ChatGPT的搜尋能力，將會需要512,821臺的Nvidia HGX A100，<a href="https://www.reuters.com/technology/tech-giants-ai-like-bing-bard-poses-billion-dollar-search-problem-2023-02-22/" target="_blank">且Alphabet董事長John Hennessy亦曾向《路透社》（Reuters）透露</a>，與大型語言模型互動的成本可能是標準關鍵字搜尋的10倍。</p> <p>這使得Vries以Google在2021年的18.3 TWh耗電量來計算，當時AI占了Google整體耗電量的10%~15%，在Google全面實施AI搜尋之後，其AI耗電量最高可能達到27.4 TWh，接近愛爾蘭一整年所使用的電力（29.3 TWh）。</p> <p>就整個市場來看，隨著Nvidia合作夥伴台積電（TSMC）所投資的新CoWoS包裝廠預計於2027年量產，Vries也估計屆時Nvidia所交付的AI伺服器數量與其用電量將達85~134 TWh，相當於荷蘭一年的電力使用。</p> <p>總之，Vries認為AI產業應該要考慮相關的環境衝擊，包括提高硬體效率，採用創新的模型架構及演算法，還建議開發人員不僅應專注於優化AI，也必須考慮使用AI的必要性，亦督促監管機構導入具體的環境披露要求，以讓此一新興技術的環境成本更加透明化。</p> <p>除了環境之外，<a href="https://www.semianalysis.com/p/the-inference-cost-of-search-disruption" target="_blank">SemiAnalysis今年初即曾發表一篇文章</a>，分析了大型語言模型的實際成本，指出ChatGPT每周的推論成本都超過訓練成本，倘若Google在搜尋中部署了類似ChatGPT的大型語言模型，原本擁有的300億美元利潤就會在一夜之間蒸發，轉移到其它業者手上或是用來改善TPU效能。</p> </div></div></div>
2023/10/12 14:35作者陳曉莉https://www.ithome.com.tw/news/159236
【iThome 2023 CIO大調查系列6：DevOps篇】上雲、IT現代化需求強，帶動企業2023持續加碼DevO…
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1150-feng_mian_p2-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三年疫情解除了，IT零接觸抗疫經驗，讓更多企業體會到數位轉型的必要。3成企業想要加速轉型、提高IT上雲比重、更加快IT現代化的腳步。IT在企業的影響力更大，企業對IT能力的期待也比過去更高。不只要更敏捷、更模組化、更有彈性，還要更強化DevOps能力。</p> <p>根據iThome 2023年CIO大調查，臺灣採用DevOps的企業到今年底將達到約2成，以金融業最高，達到41.7%，可以說，平均每兩家金融機構，就有一家擁抱DevOps，次高的產業是政府學校，約四分之一。</p> <p>為了抗疫，臺灣企業IT預算成長率一度超過2位數，疫情解除後，今年仍然有9.2%的成長力道，平均達到2億3千多萬元，其中投入到DevOps的投資平均達到892萬元。臺灣企業今年對DevOps投資持續加碼，平均比去年增加了5.6%。不過，各產業的DevOps投資差異頗大，投資金額最高的產業，反而不是採用率最高的金融業而是政府學校。政府學校這兩年的DevOps投資非常高，平均達到數千萬元之多。今年平均更是達到5,857萬元。</p> <p>為何政府學校的DevOps預算如此之高，甚至幾乎超過IT預算的2成？我們向政府部門資訊長了解原因。一來我們大調查對象是政府一級機關和大學，IT預算是政府機關中較高者，另一個答案則出乎我們的意料，但又非常合理。</p> <p>這兩年，政府機關大力推動零信任資安架構，為了推動安全設計（Security by design），將許多身分驗證機制，整合到Ap中，來提高權限控管的精細度和彈性。政府機關發現，必須改造原有的開發技術和開發流程，所以，這兩年開始積極擁抱現在主流的DevOps工具鏈和方法論。但是，只有開發方法轉型還不夠，必須連同基礎架構也轉型，同步推動IT現代化，擁抱雲原生技術才行。有些政府機關CIO將基礎架構轉型投資，也視為強化IT開發戰力，培養DevOps能力的投資，這才帶動了這兩年政府機關有龐大DevOps投資的緣故，其中包括了雲原生技術平臺的投資。</p> <p>平均來說，企業DevOps投資約占企業IT投資的3.9%，而企業IT投資又約占了企業營收的2.7%。看起來，金融業的DevOps預算占比最低，只有0.3%，但是金融業的IT平均預算超過了14億元，因此，今年DevOps投資約500萬元。不少企業現在正在規畫2024年的IT計畫，可以參考這個DevOps投資數據，作為業界平均水準，來向老闆爭取更多DevOps的投資。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-%E5%B0%81%E9%9D%A2p2-600-0.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-%E5%B0%81%E9%9D%A2p2-600-1.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-%E5%B0%81%E9%9D%A2p2-600-2.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-%E5%B0%81%E9%9D%A2p2-600-3.png" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 問卷說明 </span></span> 大調查執行期間從2023年4月20日到5月10日，對臺灣2千大規模大型企業、iThome歷屆CIO大調查企業、政府機關、大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 68.5%填答者為企業IT最高主管。</strong></p> <p><a href="https://www.ithome.com.tw/article/159151" target="_blank"><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#3399ff;"> 相關報導 </span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1150-feng_mian_gu_shi_-p1-open-960x420_kao_bei_0.jpg?itok=QHjV5S_I" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2023/10/12 13:34作者王宏仁https://www.ithome.com.tw/article/159147
【iThome 2023 CIO大調查系列6：DevOps篇】僅1.1%臺灣企業達到DORA指標菁英水準，更新準備時…
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/feng_mian_p3p4kua_ye_-dora1-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年是連續第二年，揭露臺灣企業DevOps能力的DORA指標調查結果。達到高階團隊水準的臺灣企業比例達52%，和去年差不多（52.1％)。但是，今年只有1.1%的企業達到DORA菁英團隊的能力，比去年的4.2%，少了許多。</p> <p>DORA指標是國際上衡量企業DevOps能力最具公信力的指標之一。由Google旗下專門研究DevOps評估方法的研究團DORA所發展，也因此這套指標被稱為DORA指標。連續8年，Google使用了同一套指標來進行全球網路問券調查，歷年累計超過3萬3千多名企業IT人員參與調查。</p> <p>DORA用了四個關鍵指標，來衡量一家企業的交付績效，作為DevOps團隊的能力指標，包括了平均部署頻率、更新準備時間、平均復原時間和變更失敗率。最後依據企業自評結果，以統計方法歸納出不同等級的DevOps能力分級來建立分類，作為方便比較的參考。</p> <p>在2017年到2021年間所發布的全球DevOps現況報告，DORA指標最後都歸納出四級分類，包括了菁英、高階、中階和低階團隊，但是，到了最近一期報告，在2022年報告中，卻將從4級精簡到3級，只剩下高階、中階和低階團隊的分類。不過，對於高階的四大指標績效要求水準，大多接近於2021年的菁英團隊水準。</p> <p>為了這個分類調整，在去年調查結果報告中，DORA團隊特別說明，2022年DORA調查對象中，多了不少企業DevOps新手團隊，或者剛要籌設DevOps團隊的企業，才拉低了標準。因此，他們不推薦進行2021年和2022年的跨年比較。</p> <p>雖然DORA是全球性的調查，但是臺灣企業參與這項調查的企業比例相當低，遠遠少於1%，無法進一步細分出臺灣企業足以參考的DevOps能力數據。</p> <p>因此，我們從2022年的iThome CIO大調查開始，參考了DORA指標的自評問題，首度對臺灣大型企業進行調查。同樣由企業針對關鍵AP的這四大指標，進行自評，我們再進一步參考DORA不同能力水準的績效要求，來分類出臺灣企業在不同DevOps能力分級的比重。</p> <p>雖然DORA指標在2022年將DevOps能力精簡為3級，為了方便比較臺灣企業2021年和2022年的變化，我們今年繼續使用了2021年的DORA指標4級分類，以便了解臺灣企業DevOps能力的變化情況。</p> <p>在關鍵AP平均部署頻率上，只有14.3%臺灣企業可以達到一天多次的按需部署能力，2成企業約在1周1次，還有更多企業需要超過1周，甚至1個月才能部署1次。更新準備時間則只有5.4%的企業能在1小時內完成，半數企業得花1周以上時間準備。更新出錯後需要盡快復原，臺灣企業平均復原時間落在1天左右，只有14.5%企業可以在1小時內復原。臺灣企業變更失敗率表現較好，近6成都能在15%失敗率以下。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-%E5%B0%81%E9%9D%A2-DORA-600-0.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-%E5%B0%81%E9%9D%A2-DORA-600-1.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-%E5%B0%81%E9%9D%A2-DORA-600-2.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-%E5%B0%81%E9%9D%A2-DORA-600-3.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> 大調查執行期間從2023年4月20日到5月10日，對臺灣2千大規模大型企業、iThome歷屆CIO大調查企業、政府機關、大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 68.5%填答者為企業IT最高主管。</strong></p> <p><a href="https://www.ithome.com.tw/article/159151" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="font-size: 20px;"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1150-feng_mian_gu_shi_-p1-open-960x420_kao_bei_0.jpg?itok=QHjV5S_I" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2023/10/12 13:35作者王宏仁https://www.ithome.com.tw/article/159148
【iThome 2023 CIO大調查系列6：DevOps篇】臺灣大型企業DORA指標評比分析：CD能力有國際水準，但…
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/feng_mian_p3p4kua_ye_-dora2-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>DORA指標是國際上衡量企業DevOps能力最具公信力的指標之一。我們從2022年的iThome CIO大調查開始，參考了DORA指標的自評問題，首度對臺灣大型企業進行調查。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-%E5%B0%81%E9%9D%A2-DORA-600-5(2).png" style="text-align: center; width: 600px;" /></p> <p>比較2022年和2023年，臺灣企業在四項DORA績效指標上的變化。能一天多次按需部署的企業從去年的14.3%，今年大幅提高到了27.9%；更新準備時間在1小時內的企業占比則從去年的6.3%，今年小幅下滑到5.4%；平均復原時間在1小時內的企業占比，去年是14.7%，今年則是 14.5%，差異不大；而變更失敗率低於15%的企業比例，去年是67.3%，今年下滑到58.2%。</p> <p>換句話說，今年臺灣企業的部署頻率更快了，但更新準備時間和變更失敗率這兩項能力在今年則是下滑了，更新出錯後的復原能力則和去年相當。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-%E5%B0%81%E9%9D%A2-DORA-600-0(2).png" style="text-align: center; width: 600px;" /></p> <p>從四大DORA績效指標的每一項分別來看，光看2023年的數據，臺灣有16.7%企業的部署頻率、14.5%企業的平均復原時間達到菁英水準，更有6成企業變更失敗率也是菁英等級，唯有更新準備時間這一項，臺灣企業只有5.4%達標，這也成了臺灣企業在四大指標中，目前最弱的一項。</p> <p>這四項DORA績效指標，前兩項，部署頻率和更新準備時間用來衡量企業IT團隊的開發速度，而後兩項指標，平均復原時間和變更失敗率則是可以衡量所開發出來的軟體品質和穩定性。</p> <p>也就是說，臺灣企業IT所開發的軟體品質和穩定性，仍舊維持與去年相當的水準，這兩項達到菁英水準的優秀企業比例，也和全球比例差不多。但是，臺灣企業的開發速度，能夠達菁英程度的企業數量，明顯比全球企業的比例少了很多。</p> <p>部署頻率表現較佳，代表企業持續交付的自動化程度較高，基礎架構調度和配置的自動化能力也較佳。臺灣企業這兩年積極上雲、擁抱容器化架構，這些IT現代化的成果，已經開始反映到部署能力的強化上。但是，要縮短更新準備時間這一項能力，涉及了持續整合階段的優化、測試流程的自動化，多數臺灣企業IT團隊在這一項的表現，目前明顯還沒達到全球DevOps菁英團隊的水準。</p> <p>根據DORA定義，必須同時在四項指標達到菁英水準的企業，才能稱為DevOps菁英團隊，如此一來，臺灣只有1.1%企業，同時在這四項達標。不少高階水準的企業，只差了更新準備時間，或平均復原時間的其中一項較弱，因而無法晉升到菁英等級。</p> <p>全球DevOps能力在過去幾年有很大的提升，尤其在雲原生技術快速普及的浪潮下，帶動了全球企業的DevOps能力。在2021年的DORA全球DevOps報告中，全球達到菁英團隊的企業高達26%，高階則是40%、中階28%，而低階者也有7%。但是，和DORA全球調查結果相比，臺灣企業菁英團隊極少，近半數臺灣企業（52%）處於DevOps高階團隊的水準，以及不少企業屬於中階團隊的水準（41.7%）。</p> <p>臺灣2023年的DevOps能力各級分布，比較接近DORA 2018年報告的水準，當時有7%的全球企業達到菁英水準，高階團隊占 48% 、中階團隊占 37%，而低階團隊則有 15% 。</p> <p>隨著應用程式安全和開發安全需求的提升，設計安全（Security by Design）思維這兩年逐漸在臺灣崛起，開始有企業不只導入DevOps，更要擁抱難度更高的DevSecOps，今年要採用DevSecOps的臺灣企業達到10.8%。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-%E5%B0%81%E9%9D%A2-DORA-600-7.png" style="text-align: center; width: 600px;" /></p> <p>從各產業表現來看，今年只有服務業和政府學校少數企業或機構達到菁英水準的IT團隊，製造業、金融和醫療都掛零。整體產業表現來說，以醫療業（73.7%）和金融業（62.9%）達高階團隊水準的企業比例較多。金融是最積極擁抱DevOps的產業，高達41.7%金融業者採用，而醫療業則是這兩年最積極投資DevOps的產業，今年DevOps投資比去年成長了36%。這些投資和採用力道，的確大幅提升了這兩個產業的高階團隊比重，但是要進一步往菁英團隊水準邁進，則不只是方法論和工具鏈的導入，還需要更多DevOps流程深化，以及DevOps組織文化的擴散，這正是臺灣企業DevOps能力更上一層的挑戰。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-%E5%B0%81%E9%9D%A2-DORA-600-6.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-%E5%B0%81%E9%9D%A2-DORA-600-8.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> 大調查執行期間從2023年4月20日到5月10日，對臺灣2千大規模大型企業、iThome歷屆CIO大調查企業、政府機關、大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 68.5%填答者為企業IT最高主管。</strong></p> <p><a href="https://www.ithome.com.tw/article/159151" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="font-size: 20px;"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1150-feng_mian_gu_shi_-p1-open-960x420_kao_bei_0.jpg?itok=QHjV5S_I" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2023/10/12 13:35作者王宏仁https://www.ithome.com.tw/article/159149
臺灣企業DevOps戰力大公開
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1150-feng_mian_gu_shi_-p1-open-960x420_kao_bei_0.jpg?itok=QHjV5S_I" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3年疫情，企業更能體會數位轉型的必要，加速上雲、徹底IT現代化需求更勝過往，企業想用IT創造更多價值。臺灣企業IT戰力多強？開發能力如何？最好的衡量指標就是國際DevOps績效指標DORA</p> </div></div></div>
2023/10/12 13:36作者王宏仁https://www.ithome.com.tw/article/159151
臺灣企業DevOps關鍵瓶頸
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球DevOps浪潮在2015年左右吹進了臺灣，開始有企業願意嘗試容器技術、DevOps工具，展開了IT架構轉型。後來，臺灣出現企業數位轉型潮後，DevOps能力更成了企業IT現代化的發展重點，尤其3年疫情和烏克蘭戰爭，讓企業意識到DevOps能力應變的價值，可以快速因應高度不確定和日趨複雜的大環境變化。</p> <p>但是，幾年下來，DevOps對臺灣企業帶來什麼樣的影響？成果如何？這個讓我們好奇多年的問題，過去透過CIO大調查，了解企業DevOps採用情況、投資規模，試圖從企業投入程度來尋找答案，總是缺了一角，沒有更直接從成效面來看DevOps的影響。</p> <p>直到去年，我們在CIO大調查中，首度參考了Google旗下DORA（DevOps Research and Assessment）團隊所設計的DevOps績效衡量指標，也就是DORA指標，用平均部署頻率、更新準備時間、平均復原時間和變更失敗率，來呈現企業DevOps的交付績效。</p> <p>DORA從2016年開始，用同一套指標調查全球企業IT和開發團隊，透過問卷蒐集他們自評的績效數據，並從2017年開始在全球DevOps現況報告中揭露調查結果。他們從這些自評數據，歸納出了4個等級的DORA分類指標，作為綜合評比一家企業DevOps能力水準的等級參考。</p> <p>我們從2022年開始，用同樣的DORA自評問題，來調查臺灣大型企業，已在去年首度公布了臺灣企業DevOps能力數據。到了今年度的iThome CIO大調查，繼續沿用同一個方法蒐集第二年的數據。分析兩年數據，不只看到臺灣企業DevOps能力的變化，也更清楚臺灣DevOps能力的不足之處。</p> <p>比較2022年和2023年，臺灣企業在四項DORA績效指標上的變化，今年臺灣企業的部署頻率更快了，但更新準備時間和變更失敗率這兩項能力在今年些微下滑，更新出錯後的復原能力則和去年相當。</p> <p>在DORA分級定義中，必須四項指標同時達到菁英水準的企業，才能稱為DevOps菁英團隊，如此一來，臺灣只有1.1%企業，同時在這四項達標。不少符合高階團隊水準的臺灣企業，只差了更新準備時間，或是平均復原時間兩項中的單一項，而無法晉升到菁英等級。</p> <p>進一步從每一項指標分別來看，以2023年數據來看，臺灣有16.7%企業的部署頻率、14.5%企業的平均復原時間，在這兩項指標達到了菁英水準，變更失敗率達菁英等級的企業更是接近6成。唯有更新準備時間這一項，臺灣只有5.4%的企業達標，這成了臺灣企業在四大指標中，目前最弱的一項。</p> <p>四項指標中，部署頻率和更新準備時間用來衡量IT團隊的開發速度，而後兩項，平均復原時間和變更失敗率則是可以衡量IT所開發軟體的品質和穩定性。</p> <p>臺灣企業今年在復原時間這一項能力指標下滑了，這是日後必須更加重視的軟體品質弱項，而更新準備時間過長，更是拖慢IT開發速度最大的瓶頸。</p> <p>這兩年，臺灣企業積極上雲、擁抱容器化架構等等IT現代化作為，的確讓臺灣企業持續交付（CD）的自動化程度更高，基礎架構調度速度和彈性也比過去更強，因此，反映在企業部署頻率指標的提升。但是，要縮短更新準備時間這一項能力，涉及了持續整合（CI）階段的優化、測試流程的自動化，多數臺灣企業IT團隊這一階段的成效，明顯還沒達到全球DevOps菁英團隊的水準。這正是臺灣企業DevOps能力向上提升的關鍵瓶頸。</p> <p><a href="https://www.ithome.com.tw/article/159151" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="font-size: 20px;"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1150-feng_mian_gu_shi_-p1-open-960x420_kao_bei_0.jpg?itok=QHjV5S_I" style="width: 550px;" /></strong></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/cio%E5%A4%A7%E8%AA%BF%E6%9F%A5">CIO大調查</a></div><div class="field-item odd"><a href="/tags/devops">DevOps</a></div><div class="field-item even"><a href="/tags/dora">DORA</a></div></div></div>
2023/10/12 13:36作者王宏仁https://www.ithome.com.tw/voice/159163
【剖析中研院大型語言模型事件的衝擊】為何臺灣必須擁有本土化的LLM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr" id="docs-internal-guid-15b51afa-7fff-2f04-142e-7916fa65855d">在10月6日國慶日前夕，中研院<a href="https://www.ithome.com.tw/news/159166">開源釋出</a>了使用Llama 2所開發的繁中大型語言模型CKIP-Llama-2-7b，但由於一開始未說明該模型是明清人物研究專用非通用，讓外界誤以為是通用型的繁中語言模型而有更大的期待，經過許多人試用後，結果發現在回答提問時，模型提供的內容不夠本土化，甚至可能出現簡中習慣的用語或詞彙，而引起熱議。中研院在模型釋出4天後決定將該模型下架，並承諾未來發布研究成果時，會制定更嚴謹的審核機制，以防止類似問題再次發生。</p> <p dir="ltr">中研院AI模型事件引起各界廣泛討論。多數聲浪都是責難中研院，不應該使用中國的簡中語料當作訓練資料，並且批評不該在處於測試階段就將模型對外開放，甚至也有立委出面指責，這已升高到認知戰，但是在臺灣，特別是技術社群中，也有一群持不同觀點的專家，他們認為儘管此次中研院繁中模型的成果不完美，但透過提早釋出和頻繁釋出（Release early, Release often）的方式，可以快速獲得反饋，迅速進行更新，吸引更多人參與，使模型持續迭代，進一步提升成果的品質，這也才是開源社群能夠不斷進步的原因。</p> <p dir="ltr">但這次事件更深層的意義，一方面反映出各界高度期待擁有一個能夠說出在地口氣、本土回應的LLM模型，另一方面也凸顯了臺灣自主研發大型語言模型的重要性。</p> <p dir="ltr">可是，大型語言模型，除非使用本地資料集、從頭開始訓練，否則就算用Llama 2或其他開源LLM模型，都可能因為資料集的語言分布落差，而產生各種偏差歧見、不同的價值和解釋，尤其，臺灣本土的資料量僅占網路世界不到0.1％，即使在微調時加入本地資料，資料量不夠多、不夠全面完整，很難確保模型能夠完全貼近自己在地風格、使用習慣和語言表達方式。</p> <p dir="ltr">這次由中研院所開發的這一款明清研究用的繁中語言模型，就是一個典型例子。為了要自動化分析中國明清朝代人物的生平圖譜，中研院的CKIP Lab中文詞知識庫小組使用了Meta的Llama-2-7b和來自中國的Atom-7b這兩個開源LLM模型作為預訓練基礎模型，以此訓練出一個專為明清人物分析而優化的CKIP-Llama-2-7b模型，後來更對該模型進行多任務微調訓練，推出了支援更廣泛對話和問答任務的CKIP-Llama-2-7b-chat模型版本，可運用在文案生成、文學創作、問答系統、客服系統、語言翻譯、文字編修、華語教學等。</p> <p dir="ltr">為了研究所需，CKIP Lab團隊選擇的開源基礎模型和微調的資料集中包含了許多來自中國的簡中資料，例如COIG-PC和dolly資料集等，導致訓練出來的繁中語言模型雖然能更準確地回答明清人物的相關問題，但當回答一些臺灣在地的提問，尤其是一些關於事實的問題時，就有可能生成出不夠本土化，甚至是不正確的內容，例如提供錯誤的國慶日時間或總統姓名。這也凸顯出在訓練過程中使用的資料的重要性。</p> <p dir="ltr"><strong><span style="font-size:28px;">為何臺灣必須要建立自己的LLM模型</span></strong></p> <p dir="ltr">在AI領域研究很有經驗的中研院資訊科技創新研究中心研究員李育杰，是國科會負責建構臺灣大型語言模型的可信任AI對話引擎（TAIDE）計畫負責人。他指出，臺灣必須自行擁有大型語言模型的關鍵原因是，目前不論是OpenAI和Meta提供的語言模型，都存在資料偏差（ data bias），特別是在中文語料蒐集方面，中文資料占比非常低，而且由於大部分的訓練資料都是透過網路爬取，其中簡中內容比例遠高於繁中，在臺灣本土的繁中資料量相對稀少的情況下，就容易導致因資料偏差而影響到模型生成的結果，出現和原本預期不一樣的情況。</p> <p dir="ltr">但要讓臺灣建立自己的大型語言模型，前提是需要建立臺灣自己的大型語言資料集，所以，「臺灣應該好好整理我們自己的繁體中文語料庫」他再三強調。</p> <p dir="ltr">今年6月時，國科會對外<a href="https://www.ithome.com.tw/news/157337">公開展示</a>TAIDE計畫的階段性成果，使用大量純繁中資料微調出一個國產70億參數的AI對話引擎，可執行摘要、翻譯、寫信、寫文章等任務。這套AI對話引擎的背後正是使用和中研院CKIP-Llama-2-7b模型相同的Llama 2開源模型當作預訓練的基礎模型。</p> <p dir="ltr"><strong><span style="font-size:28px;">本土化的LLM模型訓練三個階段</span></strong></p> <p dir="ltr">在本土化LLM模型訓練過程主要分三階段，第一階段是持續預訓練（Continual Pre-training），讓語言模型了解如何透過文字接龍方式，來預測下一個字的機率分布情況。第二階段則是微調建構學習（Fine-Tune Construction Learning），藉由問答的配合來讓模型學會回答人類的問題，例如什麼樣是正確的答案。當模型開始能夠產生回應時，還需要人為的介入，也就是人為反饋強化學習（Reinforcement learning with human feedback）的階段，透過由人來教導，來加強模型在各方面的表現。</p> <p dir="ltr">李育杰表示，三個階段中，一開始就需要使用大量的繁體中文語料庫，來讓模型學習基礎的語言邏輯、常識與知識等，以便能夠訓練出符合在地化繁中語境的模型，「這也是我們現在正在做的事情，」他表示，目前已蒐集的繁中資料，包括有來自中央社、光華雜誌社資料等。</p> <p dir="ltr">為了使訓練的模型能更貼近在地化用語或風格，他表示，一開始資料選擇很重要，除了需要是本土資料以外，所有資料都要經過篩選過，涵蓋不同的主題，此外，在資料蒐集上也會有相關限制，例如要排除不合宜或不當的用語（ dirty words）。</p> <p dir="ltr">即使靠著簡轉繁方式來獲取可用於模型訓練用的數據，他表示，也需要注意臺灣和中國之間，不僅在文字用法上存在簡繁體的差異，實際上在翻譯、專有名詞的用法等方面也存在許多不同之處。更深層次的差異，在於彼此的價值觀不同，因此，如果直接使用中國簡轉繁方法，也有可能導致該模型輸出結果與原先預期不一致。</p> <p dir="ltr">儘管這次中研院模型事件起因於明清的人物研究，研究人員使用了中國的簡中資料來訓練模型，但沒有預料到外界對於模型的測試超出了他的想像範圍，也超出了其研究範疇。李育杰認為，從這起事件中能夠看到臺灣必須自行建立本土的繁中資料集的必要性，但也需要更加小心處理資料的使用、模型授權與訓練環境的建立。</p> <p dir="ltr">TAIDE計畫經過半年多發展，他表示，最快10月底將會公布一個可商用的小模型。他透露，目前在文章內容生成和提供建議的測試方面，模型表現已經相當有模有樣，但他不諱言和ChatGPT相比仍有差距，「但是臺灣總要開始踏出第一步」他說。</p> <p dir="ltr">從推動AI產業的角度來看，台灣人工智慧學校校務長蔡明順在個人臉書以「<a href="https://www.facebook.com/richie.tsai/posts/pfbid02DfLxcHyXF6AKBDqJ4E1LMkNUbnKMK12ZUrMGt38fHmTTRgUQ6ehvCNxtt4xxF1yZl">中研院詞庫模型事件給大家上了一堂LLM課</a>」為題提出他對此事的觀點。他期盼中研院模型事件能成為一大助力，「不單只是引起社會關注，也讓臺灣在大型語言模型這件事上，不只是跟上，更能夠實現與世界同步的發展。」</p> <p dir="ltr">蔡明順表示，從這起事件反映出臺灣社會非常殷切期待能有自己的本土化的商用繁中大型語言模型，但想要建立一個大型語言模型，首要面對的是資源缺乏的挑戰，不過他指出，中研院開發的語言模型僅僅是個人小型研究之用，用於明清史料的研究，而非用於臺灣通用LLM模型，因此，經費僅有30萬元。他表示，國科會主導的TAIDE計畫，才是真正在開發的臺灣LLM模型。</p> <p dir="ltr">不過，這次事件引起了不少政治人物的關注，開始認識到臺灣需要擁有自己的GPT，蔡明順認為，這有機會在立法院明年預算中被納入討論。再加上兩岸的認知戰和全球局勢的變化，以及近期OpenAI創辦人Sam Altman訪臺，都讓AI的關注度大幅提高，「在中研院AI模型事件發生後，就像點燃火柴，引爆後續一連串的效應。」他說。</p> <p dir="ltr">蔡明順建議，政府應該藉此機會加強在軟體方面投入更多資源，尤其是語言模型和資料集的建立上，以便讓臺灣能夠加快發展的腳步，而不僅僅是在硬體方面的投入，如此一來，才能夠有助於臺灣在AI領域上取得更大的進展。</p> <p dir="ltr"><strong><span style="font-size:28px;">中研院允諾將整合繁中詞知識庫，協助推動臺灣在地化LLM的發展</span></strong></p> <p dir="ltr">在中研院AI模型引起爭議後，中研院決定將該模型先行下架，除了<a href="https://www.sinica.edu.tw/News_Content/70/1851">聲明表示</a>將制定更嚴謹的審核機制，避免類似事件再發生，也宣布將整合繁體中文詞知識庫，協助推動臺灣大型語言模型的發展。此外，中研院未來還計畫擴大召集跨領域AI相關的研究人員進行跨域研究，而且不僅僅是那些從事科研或科技領域的人，也會廣邀人文及社會科學的人才加入，促進臺灣繁體語境生成式AI的發展。</p> <p dir="ltr">蔡明順對此表示肯定，認為這對於臺灣本土LLM發展來說是一件好事，「要用技術的語言回應政治的語言是不對的，因為你回應不了」他建議，政府應該利用此機會好好審視AI治理的發展，包括AI的管理進程，尤其面對生成式AI帶來社會衝擊，提供相關指引、法規建立等，同時，也要考慮到社會期待，不只是想看到研究成果，而是期望透過AI協助國人、社會帶來生產力提升、效率提高，甚至能提供企業商用。</p> <p dir="ltr">儘管中研院繁中語言模型目前已下架，無法繼續使用，不過目前在臺灣還是有一些本土化的LLM模型正在持續發展中，除了國科會AI對話引擎TAIDE，還有來自臺大資工系副教授陳縕儂團隊<a href="https://huggingface.co/yentinglin/Taiwan-LLaMa-v1.0">開源釋出</a>的Taiwan-LLaMa v1.0模型，強調完全採用本地化的繁中語料進行微調訓練。</p> <p dir="ltr">針對這次中研院事件，陳縕儂也在臉書上<a href="https://www.facebook.com/vivianchen.tw/posts/pfbid0w5RUJRui14vw667trPCWRxTQ66pKEefNci3X7goVExKfSWooXndcMCR45zqtVAPdl">發文</a>表示，經過大量網路資料訓練出的LLM，如Llama 2，就算再放入本地化的資料進行模型微調訓練，若是資料量不夠多，還是有可能生成不夠本土化的內容。此外，生成式AI的輸出會有一定程度的隨機性，每次輸出結果可能都不相同，所以她認為，需要透過開源模型，蒐集到更多使用回饋，持續改進模型品質，來達到更加本土化的輸出結果。</p> <p dir="ltr">李育杰也認為，這次事件凸顯了臺灣需要更積極地整合自己的繁中資料庫，他也樂觀看待此事件後續發展，期待更多人能夠參與，例如有社群已經開始自發地要進行做文字的蒐集、標註清洗，並鼓勵更多人一起加入行動。</p> </div></div></div>
2023/10/12 11:16作者余至浩https://www.ithome.com.tw/news/159231
Windows將逐步淘汰VBScript，最終將移除
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://learn.microsoft.com/en-us/windows/whats-new/deprecated-features" target="_blank">微軟宣告</a>從本月起，Windows開始啟動VBScript的退役。</p> <p>未來版本的Windows中，VBScript將會成為「功能隨選安裝」（feature on demand，FoD），最終將從Windows移除。FoD是一種可隨時新增的功能套件，像手寫辨識或.NET Framework。一開始VBScript FoD會預安裝在Windows內以確保使用無礙，但最終將協助用戶過渡到其退役。</p> <p>VBScript為微軟1996年推出的腳本語言，因容易學習，廣泛用於網頁和ASP程式，也是Windows使用者管理電腦的強大工具。但是近幾年VBScript有太多安全漏洞，經常被濫用來散布惡意程式。<a href="https://www.ithome.com.tw/news/132294" target="_blank">微軟早在2019年就已關閉Internet Explorer（IE）的VBScript支援</a>。</p> <p>和VBScript關係密切的VBA也因安全性問題，微軟也逐漸淘汰。<a href="https://www.ithome.com.tw/news/152092" target="_blank">去年7月微軟正式關閉網路下載Office文件的VBA巨集</a>。</p> <p>除了VBScript，微軟9月1日起已不再更新WordPad。最終WordPad將從以後的Windows版本移除。微軟建議用戶改用Word以執行rich text文件，純文字檔則改用Notepad。此外，基於安全理由，從9月份Windows 11更新Insider預覽版開始，<a href="https://www.ithome.com.tw/news/158562" target="_blank">微軟也已預設關閉TLS 1.0及1.1</a>。</p> </div></div></div>
2023/10/12 11:45作者林妍溱https://www.ithome.com.tw/news/159234
Anthropic利用特徵解構神經網路提升模型的可解釋性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI的競爭者Anthropic<a href="https://www.anthropic.com/index/decomposing-language-models-into-understandable-components">發表</a>的最新人工智慧研究論文〈Decomposing Language Models With Dictionary Learning〉，提出一種稱為字典學習的方法，增加對神經網路的解釋性。這項研究讓Anthropic更能夠監控模型，進而引導模型的行為，提高企業和社會在採用人工智慧的安全性和可靠性。</p> <p>由於神經網路是以資料進行訓練，而非根據規則的程式設計，每一步訓練，都會更新數百萬甚至數十億個參數，最終使模型得以更好地完成任務，但Anthropic提到，雖然研究人員可以理解訓練網路的數學運算，但是卻不真正明白模型是如何從一堆數學運算中，導出最後的行為。而這樣的狀況，使得研究人員很難判斷模型出現的問題，而且也難以進行修復。</p> <p>雖然現今人類已經進行了數十年的神經科學研究，對於大腦的運作有了深入的了解，但是仍然有很多大腦中的謎團尚待解密。類似的情況，人工神經網路也存在難以完全理解的部分，只不過與真實大腦不同，研究人員可以透過實驗來探索其中的運作機制。</p> <p>儘管如此，過去對神經元的實驗並沒有太多幫助，研究人員透過干預單一神經元，觀察該神經元對特定輸入的反應，他們發現，單一神經元的活化，與神經網路的整體行為並不一致。在小語言模型中，單一神經元會在英語對話、HTTP請求或是韓語文本等不相關的上下文都很活躍，電腦視覺模型中的同一神經元，可能會對貓臉和汽車都有反應。也就是說，在不同的情況下，神經元的活化可以代表著不同意義。</p> <p>在Anthropic最新的研究中，研究人員擴大分析單位，不在單一的神經元中尋找規律，而是運用一種稱為特徵（Feature）的概念。每個特徵都會對應一群神經元活動模式，這為研究人員提供了新的分析途徑，能夠將複雜的神經網路解構成更容易理解的單位。</p> <p>在Transformer語言模型中，研究人員成功將一個包含512個神經元的層，分解成超過4,000個特徵。這些特徵涵蓋了DNA序列、法律用語、HTTP請求、希伯來文和營養標示等範疇。此外，研究人員也確認了特徵的解釋性遠比單一神經元更高。</p> <p>論文中也提到，研究人員發展了自動解釋方法，來驗證特徵的可解釋性。藉由大型語言模型來生成小模型特徵的描述，並以另一個模型的預測能力對描述進行評分，而實驗結果證實，特徵的得分仍高於神經元，如此便證實了特徵的活躍和模型下游行為具一致性。研究人員還發現，在不同模型間所學到的特徵大致通用，因此一個模型從特徵得到的經驗，可能適用於其他模型。</p> <p>這項研究的貢獻，在於克服單一神經元的不可解釋性，透過將神經元分群成特徵，研究人員將能夠更好地理解模型，並且發展更具安全性和可靠性的人工智慧服務。未來Anthropic研究人員會擴大研究範疇，理解大型語言模型的行為。</p> </div></div></div>
2023/10/12 08:22作者李建興https://www.ithome.com.tw/news/159226
DeepMind發展可控制各種機器人的AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>DeepMind聯手超過30個學術實驗室，<a href="https://www.deepmind.com/blog/scaling-up-learning-across-many-different-robot-types">發展</a>跨型態機器人學習資源，收集多種不同型態的機器人資料，創建了一個稱為Open X-Embodiment資料集，並且以此資料集訓練了機器人Transformer模型RT-X，該模型可以在多種機器人型態間傳遞技能，核心目標是要讓單一模型可以控制不同類型的機器人。</p> <p>過去，當機器人、任務或是環境稍有變化，研究人員就需要重新訓練機器人模型，而為了解決更改單一變數，就要從頭開始訓練模型的麻煩，DeepMind想要發展通用機器人技術，而訓練通用機器人模型，建立多樣化機器人演示資料集是關鍵步驟，如此才能使模型可以控制不同類型的機器人，遵循不同的指令，對複雜的任務進行基本推理，並且有效地泛化技能。</p> <p>不過，這對單一實驗室來說是非常耗費資源的工作，於是DeepMind肩負起建立Open X-Embodiment資料集的任務，和33個學術實驗室合作，從22個型態的機器人收集資料，資料集範圍涵蓋500種技能和15萬項任務，總計超過100萬個場景。這是目前同類型中，最完善的機器人資料集。</p> <p>而RT-X則是以DeepMind的RT-1和RT-2機器人Transformer模型，所訓練的通用機器人模型，RT-1是DeepMind大規模用於真實世界的機器人控制模型，進一步訓練成為RT-1-X，而RT-2則是視覺、語言與動作（VLA）模型，可以從網路和機器人資料中學習，DeepMind使用該模型訓練出RT-2-X。</p> <p>透過引入更多樣化和跨型態的訓練資料集，RT-1-X和RT-2-X達到更佳的性能，相較於只在特定領域訓練的模型，RT-X展示更高的泛化和新增技能的能力。當研究人員將RT-1-X與專為特定任務開發的模型進行比較時，他們發現利用Open X-Embodiment資料集訓練的RT-1-X，在性能上平均超越原始模型50％。</p> <p>此外，研究人員也深入探討機器人之間的知識轉移。他們進行一系列的實驗，其中涉及的技能和物體在RT-2資料集中不存在，但是在其他機器人資料集中出現，而實驗結果發現，RT-2-X模型在新技能方面的表現是RT-2模型的3倍。這代表結合多平臺的資料進行訓練，RT-2-X成功學習到原始資料集中所沒有的技能（下圖）。</p> <p class="rtecenter"><img alt="" src="https://assets-global.website-files.com/621e749a546b7592125f38ed/651bf921492f377d1e2866a2_Fig6_RTX.gif" style="width: 500px; height: 281px;" /></p> <p>這篇研究的重要性在於，透過使用更多樣化的資料和先進模型，研究人員可以開發出更有用的輔助機器人，同時，還證明了跨型態機器人通用模型的可行性，能夠大幅提升DeepMind和各種機器人的運作表現。DeepMind目前已向社群公開Open X-Embodiment資料集和RT-1-X模型，以促進機器人技術的研究。</p> </div></div></div>
2023/10/12 08:34作者李建興https://www.ithome.com.tw/news/159230
【資安日報】10月11日，駭客組織鎖定臺灣生技、製造、IT業者而來，自今年2月暗中從事網路間諜攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺海局勢緊張，針對臺灣而來的網路攻擊從不間斷，我們上週才報導<a href="https://www.ithome.com.tw/news/159172#tsmc">中國駭客假冒台積電名義進行的網路釣魚攻擊行動</a>，駭客使用正體中文的PDF檔案，目標是臺灣等國家的半導體公司，現在又傳出一起針對我國而來的網路間諜攻擊行動。</p> <p>今年2月至5月，駭客組織Grayling疑似對臺灣的生技、製造、IT業者發動攻擊，因大部分利用的工具很常見，部分甚至能直接從網路上取得，使得研究人員難以進一步找出駭客底細。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/159220"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣生技產業、製造業、IT業者要小心！傳出有駭客組織針對這些產業從事網路間諜行動</span></strong></a></p> <p>資安業者賽門鐵克揭露鎖定臺灣而來的網路間諜攻擊行動，他們發現一個過往未被揭露的APT駭客組織Grayling，在今年2月至5月之間，針對臺灣的生物醫學產業、製造業、IT產業而來，除此之外，也有太平洋群島的政府機關、越南及美國的組織受害。</p> <p>研究人員指出，攻擊者疑似利用曝露在網際網路的組織基礎設施，來存取目標電腦，在部分攻擊行動裡，他們看到駭客在電腦植入Web Shell。接著，攻擊者再利用DLL側載（DLL Side-loading）手法，於受害電腦載入滲透測試工具Cobalt Strike、後利用C2框架Havoc、間諜軟體NetSpy。此外，這些駭客也可能在下載及執行Shell Code的過程裡，利用Win32k元件漏洞CVE-2019-0803提升權限，運用Active Directory探查（discovery）的方式，描繪內部網路架構。</p> <p>而在攻擊動機的掌握上，研究人員根據駭客的活動及使用的工具，排除經濟利益因素，對方活動的目的應該是情報收集，目前尚未看到資料外洩跡象。</p> <p><a href="https://www.ithome.com.tw/news/159221"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">HTTP/2零時差漏洞被用於大規模DDoS攻擊</span></strong></a></p> <p></p> <p>雲端服務業者Cloudflare、Google、AWS聯手，揭露名為HTTP/2 Rapid Reset的零時差漏洞攻擊手法，攻擊者利用<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-44487">HTTP/2通訊協定的弱點CVE-2023-44487</a>，產生極為巨大的流量，自今年8月至10月發動DDoS攻擊。</p> <p>此攻擊手法濫用HTTP/2通訊協定的串流Stream Cancellation（或Stream Multiplexing）功能，駭客不斷發送請求並隨即予以取消，從而導致採用HTTP/2通訊協定的網頁伺服器或是應用程式服務遭到癱瘓。研究人員指出，駭客利用這項漏洞發動的巨大流量DDoS攻擊，所運用的殭屍網路規模僅約2萬臺電腦，遠低於其他攻擊行動。過往的巨量DDoS，常會動用到數十萬、數百萬臺電腦。</p> <p>而對於有關這項漏洞的攻擊行動，Cloudflare從今年8月至今，緩解每秒發出千萬次請求的相關攻擊，超過1,100次，其中有184起超過他們今年2月揭露的DDoS攻擊行動，當時駭客每秒產生7,100萬次請求（RPS）規模；Google則是揭露持續2分鐘、每秒發出2.98億次請求的攻擊行動；AWS則是偵測到不尋常的HTTP/2請求，高峰達到每秒1.55億次，接著就出現HTTP洪水攻擊。</p> <p>資料來源</p> <p>1. <a href="https://blog.cloudflare.com/zero-day-rapid-reset-http2-record-breaking-ddos-attack/">https://blog.cloudflare.com/zero-day-rapid-reset-http2-record-breaking-ddos-attack/</a><br /> 2. <a href="https://blog.cloudflare.com/technical-breakdown-http2-rapid-reset-ddos-attack/">https://blog.cloudflare.com/technical-breakdown-http2-rapid-reset-ddos-attack/</a><br /> 3. <a href="https://cloud.google.com/blog/products/identity-security/how-it-works-the-novel-http2-rapid-reset-ddos-attack">https://cloud.google.com/blog/products/identity-security/how-it-works-the-novel-http2-rapid-reset-ddos-attack</a><br /> 4. <a href="https://cloud.google.com/blog/products/identity-security/google-cloud-mitigated-largest-ddos-attack-peaking-above-398-million-rps">https://cloud.google.com/blog/products/identity-security/google-cloud-mitigated-largest-ddos-attack-peaking-above-398-million-rps</a><br /> 5. <a href="https://aws.amazon.com/security/security-bulletins/AWS-2023-011/">https://aws.amazon.com/security/security-bulletins/AWS-2023-011/</a></p> <p><a href="https://cybernews.com/cyber-war/russian-hacktivists-target-israel-industrial-control-system/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">以色列衛星及工控系統遭到俄羅斯駭客鎖定</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/anonSUISRAEL.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/anonSUISRAEL.jpg" style="width: 300px; float: right;" /></a>巴勒斯坦激進組織哈瑪斯（Hamas）自10月7日，對以色列發動近50年最大規模的軍事突襲，發射5千枚火箭，傳出數百名以色列平民及土兵遭到俘擄，該國也對加蕯地區進行報復性空襲，但在此同時，有駭客組織趁亂針對巴勒斯坦或以色列發動網路攻擊。</p> <p>根據資安新聞網站Cybernews報導，俄羅斯駭客組織Anonymous Sudan宣稱為了力挺哈瑪斯，目標鎖定以色列的全球導航衛星系統GNSS、大樓自動化控制網路BACNet，以及Modbus工業控制系統（ICS），而有可能導致GNSS的衛星中斷訊號，大樓能源停止供應，以及電力、水資源、石油等關鍵基礎設施（CI）停擺的情況。</p> <p>也有駭客組織表態不會聲援其中一邊，而有可能攻擊以色列或巴勒斯坦，例如，<a href="https://cybernews.com/cyber-war/palestine-israel-scada-under-attack/">駭客組織ThreatSec</a>聲稱關閉Alfanet.ps網域代管的大部分伺服器，並癱瘓加蕯地區大型ISP業者Quintiez Alfa General Trading。</p> <p><a href="https://blog.talosintelligence.com/qakbot-affiliated-actors-distribute-ransom/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體QBot背後的駭客持續發動攻擊，散布勒索軟體Ransom Knight、後門程式Remcos</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/lnk-xll-remcos.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/lnk-xll-remcos.png" style="width: 300px; float: right;" /></a>8月底美國聯邦調查局（FBI）與司法部（DOJ）宣布，他們與多個國家的執行機關聯手，瓦解了70萬臺電腦組成的殭屍網路QBot（亦稱QakBot），並扣押駭客的不法所得，但有研究人員提出警告，使用該惡意軟體的駭客再度發起攻擊行動。</p> <p>思科旗下的威脅情報團隊Talos揭露新一波攻擊行動，駭客聲稱收信人的銀行帳號遭到可疑人士用於詐欺，或是有尚未付款的發票等名義，使用釣魚郵件挾帶Windows捷徑檔（LNK）附件，疑似針對慣用義大利文的用戶而來，一旦收信人執行LNK附件檔案，電腦就有可能使用PowerShell執行命令執行檔案總管（Explorer.exe），並透過80埠存取WebDAV遠端共用資料夾，從而在受害電腦部署勒索軟體Ransom Knight，研究人員指出，駭客這麼做，主要是為了繞過資安系統，因為透過PowerShell命令列下載的可遠端執行檔，這些保護機制可以對其進行檢查。再者，駭客在附件裡也挾帶了Excel附加元件（XLL）檔案，經分析後，確認裡面有後門程式Remcos，而且，這個程式會和Ransom Knight一起使用，以便駭客能持續存取受害電腦。</p> <p>值得留意的是，FBI和DOJ等執法單位雖然在8月底摧毀QBot，這起攻擊行動卻從8月開始出現，迄今仍在進行，研究人員推測，執法單位可能破壞了駭客的C2伺服器，但負責寄送釣魚郵件的基礎設施未受波及，駭客應該很快就會重新架設QBot的相關基礎設施。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://msrc.microsoft.com/update-guide/releaseNote/2023-Oct"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟發布10月例行更新，修補3個零時差漏洞</span></strong></a></p> <p></p> <p>10月10日微軟發布本月份例行更新（Patch Tuesday），公布105個漏洞，其中有26個能用於權限提升漏洞、3個可繞過安全功能、45個能遠端執行任意程式碼（RCE）、12個會洩露資訊、17個可造成服務中斷（DoS），以及1個可用於欺騙，被評為重大風險等級的漏洞總共有13個。</p> <p>當中有3個零時差漏洞CVE-2023-44487、CVE-2023-41763、CVE-2023-36563，而這些弱點裡面最引人關注的是，用於發動HTTP/2 Rapid Reset攻擊的CVE-2023-44487，攻擊者可乘機濫用HTTP/2的串流取消功能，進而持續發送或取消請求，導致伺服器或應用系統出現阻斷服務（DoS）狀態，微軟目前已提供緩解措施，讓網站伺服器管理員停用HTTP/2通訊協定。</p> <p>其餘兩個也相當危險，CVE-2023-41763為企業版Skype的權限提升漏洞，CVE-2023-36563則是WordPad的資訊洩漏漏洞。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.cisa.gov/news-events/news/joint-advisory-top-cyber-misconfigurations-highlights-urgency-software-manufacturers-incorporate"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國公布最常見的10種配置不當情況</span></strong></a></p> <p></p> <p>美國國安局（NSA）、國土安全部（DHS），以及網路安全暨基礎設施安全局（CISA）聯手公布10大最常見的配置錯誤，這些錯誤的配置有可能讓駭客更容易展開攻擊。</p> <p>這些包含了軟體與應用程式的預設配置、使用者與管理員權限的分離不當、內部網路的監控不足、網路分區的缺乏、修補程式的管理不良、系統存取控制可被略過、多因素身分身分驗證的薄弱或設定錯誤、網路共享與服務的存取控制名單設置不夠全面、帳密資安衛生不佳，以及程式碼執行未受到管制。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.akamai.com/blog/security-research/magecart-new-technique-404-pages-skimmer"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Magecart卡片側錄出現新手法，攻擊者濫用404錯誤訊息網頁盜取相關資料</span></span></strong></a></p> <p><a href="https://www.akamai.com/blog/security-research/magecart-new-technique-404-pages-skimmer"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);"></span></span></strong></a></p> <p></p> <p><a href="https://www.fortinet.com/blog/threat-research/Iz1h9-campaign-enhances-arsenal-with-scores-of-exploits"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">13個路由器漏洞遭到殭屍網路病毒Mirai鎖定</span></span></strong></a></p> <p></p> <p><a href="https://www.redteam-pentesting.de/en/advisories/rt-sa-2023-006/-d-link-dap-x1860-remote-command-injection"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">D-Link無線網路訊號延伸器出現可被用於命令注入的漏洞</span></span></strong></a></p> <p><a href="https://support.citrix.com/article/CTX579459/netscaler-adc-and-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Citrix NetScaler重大漏洞恐曝露敏感資料</span></span></strong></a></p> <p><a href="https://thehackernews.com/2023/10/security-patch-for-two-new-flaws-in.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">程式庫Curl存在高風險漏洞，預告近期提供修補</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159172"><strong>【10月6日】中國駭客鎖定臺灣、香港、新加坡半導體產業而來，假借台積電的名義進行網路間諜攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159144"><strong>【10月5日】亞太地區安卓手機遭中國駭客APT41鎖定，進行精確的定位追蹤、盜取網路電話通話內容及行動支付資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159124"><strong>【10月4日】求職網站Indeed被駭客用於網路釣魚攻擊，鎖定高階主管竊取Microsoft 365帳號</strong></a></p> </div></div></div>
2023/10/11 18:09作者周峻佑https://www.ithome.com.tw/news/159228
臺灣生技產業、製造業、IT業者要小心！傳出有駭客組織針對這些產業從事網路間諜行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/grayling-taiwan-cyber-attacks">資安業者賽門鐵克揭露鎖定臺灣而來的網路間諜攻擊行動</a>，過往未被揭露的APT駭客組織Grayling自今年2月至5月，針對臺灣的生物醫學產業、製造業、IT產業而來，但也有太平洋群島的政府機關、越南及美國的組織受害。</p> <p>研究人員指出，攻擊者疑似利用曝露在網際網路的組織基礎設施，來存取目標電腦，在部分攻擊行動裡，他們看到駭客在電腦植入Web Shell。接著，攻擊者再利用DLL側載（DLL Side-loading）手法，於受害電腦載入滲透測試工具Cobalt Strike、後利用C2框架Havoc、間諜軟體NetSpy。此外，這些駭客也可能在下載及執行Shell Code的過程裡，利用Win32k元件漏洞CVE-2019-0803提升權限，運用Active Directory探查（discovery）的方式，描繪內部網路架構。</p> <p>在大部分的攻擊行動裡，這些駭客透過名為SbieDll_Hook的輸出API來進行DLL側載，然後使用imfsb.ini解密及載入未知的惡意酬載，而且，攻擊者會在後期攻擊活動裡，下達kill processes的指令，停用所有列於processlist.txt的處理程序，然後下載Mimikatz來盜取帳密資料。</p> <p>而在攻擊動機的掌握上，研究人員根據駭客的活動及使用的工具，排除經濟利益因素，對方活動的目的應該是情報收集，目前尚未看到資料外洩跡象。另一個值得留意的地方，則是這些駭客偏好使用公開工具作案，使得鑑識人員難以釐清攻擊者的身分。但駭客為何針對這些產業而來？研究人員並未進一步說明。</p> </div></div></div>
2023/10/11 15:35作者周峻佑https://www.ithome.com.tw/news/159220
5G趨勢月報第47期：數位部通過補助漢翔、英業達等33項企業5G專頻專網場域驗證申請
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>9/06~10/06精選5G趨勢新聞</strong></span></h3> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>數位部</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專頻專網</b></span></font></p> <p><strong><span style="font-size:22px;">數位部補助33家企業5G專頻專網場域驗證，涵蓋智慧製造、倉儲、展演等應用</span></strong></p> <p>數位發展部為推動5G專網應用，促成產業轉型發展，補助企業5G專網場域驗證案，共有33案通過補助，5G專用應用於智慧製造、娛樂、展演及倉儲等。數位部期望透過補助，協助5G應用技術發展產品或服務創新，創新商業模式發展，並加速5G專頻專網商轉落地營運。</p> <p>為推廣不同產業應用，數位部去年和13個產業公協會合作，成立5G垂直產業應用推動小組，鼓勵業者申請5G專頻專網創新應用擴散計畫補助，8月已通過33個補助案，包括三立電視、三創數位、遠東新世紀、漢翔、英業達、友達、晶華酒店等，每個專案補助約1千萬元，為期15個月時間，涵蓋智慧製造、智慧展演、智慧旅宿、智慧倉儲、智慧食安、智慧娛樂、智慧商務辦公室7個領域，透過5G專網技術落地驗證，加速5G專頻專網的商轉。</p> <p>在智慧製造方面，紡織業者將應用5G的高速傳輸、低延遲特性，用於數百臺織布機的調機作業及克服人力短缺問題，另一家業者則應用5G加速轉型，導入智慧倉儲管理系統及無人搬運車，智慧展演方面，業者則利用5G於沈浸式體驗，或用於異地共訪節目製作。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>蘋果</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>手機</b></span></font></p> <p><span style="font-size:22px;"><strong>蘋果發表5G下載網速更快的iPhone 15，電信業者盼帶動5G換機潮</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Apple-iPhone-15-lineup-color-lineup.jpg" style="width: 600px; height: 400px;" /></p> <p>蘋果正式發表iPhone 15系列手機，除了搭載A17 Pro晶片之外，支援5倍光學攝影功能，其中iPhone 15 Pro機型在5G上網方面，採用高通Snapdragon X70 5G晶片，提高5G上網速度，並可支援Wi-Fi 6/6E/7。新手機已在9月下旬開始銷售，國內電信業者盼以此帶動5G換機潮。</p> <p>相較於前一代的iPhone 14採用Snapdragon X65，改善5G網速及電池續航力，根據iFixit拆機報告指出，最新的iPhone 15 Pro系列機型採用速度更快的Snapdragon X70，下載速度最高可達到10Gbps，上傳速度最高至3.5Gbps；測速平臺SpeedSmart近期也指出，儘管可能因為電信業者網路造成差異，但iPhone 15 Pro在美國地區的5G下載速度，比iPhone 14 Pro系列最高提升約24%。</p> <p>此外，iPhone 15系列也支援衛星通訊道路救援服務，當汽車發生碰撞、意外事件或故障時，當下缺乏行動網路通訊或Wi-Fi下，可通過衛星通訊發送SOS訊息或向道路救援業者請求協助，目前已在14個國家地區提供此服務。</p> <p>目前iPhone 15已在9月下旬於臺灣開賣，因手機功能提升，首賣當天造成購買熱潮，其中以高階機型的iPhone 15 Pro比較受到青睞，國內電信商也期望蘋果新手機帶動新一波換機潮，特別是5G換機潮及用戶數成長。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>球賽</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Wi-Fi 6E</b></span></font></p> <p><span style="font-size:22px;"><strong>萊德盃高爾夫球賽採用5G專網與Wi-Fi 6E網路</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Clipboard01600.jpg" style="width: 600px; height: 306px;" /></p> <p>在9月底在羅馬舉行的萊德盃（Ryder Cup）高爾夫球賽，運用整合性的5G與Wi-Fi 6E網路，通過室內外、戶外建置的高速網路，提供球迷高容量的網路服務，可以虛擬瀏覽整個高爾夫球賽場，並且線上購買商品及服務，球迷與賽事舉辦方可以追蹤球員在賽場的位置，賽事舉辦方也能根據球迷的人潮分布，調度安排工作人員服務球迷。</p> <p>今年的高爾夫賽事，賽場佔地370英畝，且因為受法令保護，賽場無法鋪設光纖網路，因此選擇建置無線網路，利用Wi-Fi 6/6E為聚集在飯店、俱樂部等人潮熱門區域提供高容量網路服務，利用專用5G網路來涵蓋球場偏遠地點，建立工作人員專用網路。</p> <p>該比賽每天吸引上千名球迷觀賽，每天可能有上萬個來自球迷、承包商、供應商、合作夥伴、員工使用設備連接網路，透過設備接入網路蒐集資料，來追蹤人群的移動、熱門應用的情形，此外，實驗其他的創新應用。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>OneWeb</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>低軌衛星</b></span></font></p> <p><span style="font-size:22px;"><strong>傳中華電信將代理英國OneWeb低軌衛星服務來臺</strong></span></p> <p>國內媒體搶先報導，中華電信已向數位部申請，將和OneWeb合作，代理其低軌衛星服務來臺，中華電信將協助電信技術中心（TTC），推動數位發展部的「應變或戰時應用新興科技強化通訊網路數位韌性驗證計畫」，未來利用衛星通訊強化我國的通訊網路韌性。</p> <p>數位部推動中的通訊網路韌性驗計計畫，以PoC概念驗證，在國內各縣市的700多處，以及3個國外的站點，設立非同步軌道衛星設備，以驗證非同步軌道衛星在臺灣提供緊急應變通訊服務的可行性。先前數位部透露，未來可望和英國低軌衛星服務OneWeb、盧森堡中軌衛星服務SES合作。</p> <p>根據媒體報導，中華電信和TTC達成協議，將以低軌衛星協助推動驗證，中華電信將取得OneWeb在臺灣的代理，向數位部申請衛星執照及頻率使用，讓OneWeb得以落地臺灣。隨著衛星通訊服務興起，衛星的非地面網路（NTN）逐漸扮演重要的角色，目前5G技術有朝向結合NTN發展趨勢，例如國內的聯發科已推出5G NTN晶片，讓5G裝置不受地面網路涵蓋的限制，可使用衛星通訊擴大連網能力。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專頻專網</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>AIoT</b></span></font></p> <p><span style="font-size:22px;"><strong>林口新創園區建置5G專頻專網，為5G AIoT應用打造實證場域</strong></span></p> <p>為扶植新創業者，林口新創園區與電信業者合作建置5G商頻專網，先前電信業者以3.5GHz及28GHz商用頻段，建置5G專網，近期林口新創園區擴大5G網路環境，結合國產5G微型基地臺，於室內架設n79頻段（4.8至4.9GHz）微型基地臺，建置5G專頻專網環境，以與新創業者合作測試各項應用。</p> <p>在新創園區的應用測試，其中之一是模擬大型展演中心，在售票處、大廳架構n79微型基地臺，以服務型機器人在展演中心穿梭，結合客製化導覽內容，接待展演中心的遊客；另一項應用則是以傳統產業的零售業為例，以5G專網結合商品展示間，提供虛擬試衣鏡，來提高消費體驗。</p> <p>另一項智慧醫療應用，模擬醫院內建置5G專網，特別是在醫院的診間、會議室，讓醫生可通過VR眼鏡，以沈浸的方式向病人解講病情、治療方式。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>農業</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font></p> <p><span style="font-size:22px;"><strong>美國國家科學基金會在美國愛荷華州以5G專網支援精準農業應用</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/microsoftteams-image-49.jpg" style="width: 600px; height: 338px;" /></p> <p>美國國家科學基金會旗下的先進無線電研究計畫和Ericsson合作，在美國愛荷華州和當地的農業團隊聯手，測試研究5G SA獨立網路在現代化農業的應用。</p> <p>該計畫所導入的5G SA網路，為中頻及mmWave頻段，利用聚合技術以達到3Gbps的傳輸速度，在室外網路部分，中高頻段無線電連接技術，提供2.5Gbps下載速度。Erisson表示，5G SA網路具有更超低延遲、高容量及覆蓋、網路切片，並確保即時回應時間，激發新的應用。</p> <p>這項計畫是研究如何將5G SA網路應用在精準農業上，並用以連接過去沒有寬頻連接的農場，導入5G網路結合聯網機器人，利用立體攝影機來蒐集作物的表型數據，每個攝影機可產生800Mbps的感測器數據。此外，也透過高解析度攝影機監控家畜飼養及農業自動化運作情形。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>德國電信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>網速</b></span></font></p> <p><span style="font-size:22px;"><strong>德國電信實驗以6GHz頻段加速5G網路，創下12Gbps行動網速</strong></span></p> <p>德國電信近日公布一項實驗成果，該公司以6GHz頻段進行實驗，成功達到12Gbps的行動網路速率，約為現今5G網速的12倍。由於6GHz頻段尚未用於行動通訊，德國電信希望分享該實驗成果，在11月舉行的全球無線電通訊會議討論該頻段的使用方向。</p> <p>德國電信是在Rheinhessen州一處建築的屋頁進行實驗，該屋頂原本就設置一個3.6GHz頻段，使用目前5G通訊標準的基地臺天線，他們再架設另一個使用6GHz頻段的天線，將3.6GHz及6GHz頻段利用類似載波聚合的技術，將5G資料流捆綁在一起，創下12Gbps的網速。</p> <p>由於6GHz頻段要高於現今5G網路使用的主流3.5GHz頻段，傳輸速度雖然提高，但涵蓋範圍縮小，因此德國電信認為比較適合在都會地區使用。除了提供單一用戶更高的網速，更高的網速也能讓多人同時間連網有較佳的服務容量。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>工研院</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>O-RAN</b></span></font></p> <p><strong><span style="font-size:22px;">工研院展示自研5G O-RAN微基站系統</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%966_20231003_52.jpg" style="width: 600px; height: 400px;" /></p> <p>工研院近期展示ICT技術最新研究成果，除了展示自行研發的低軌衛星地面設備之外，在5G通訊方面，還展示5G O-RAN微基站系統，用以擴大5G涵蓋面積，這項技術目前已技轉給廠商予以商品化，並準備進軍國際市場。</p> <p>工研院表示，這套5G O-RAN微基站系統，具備Massive MIMO模組與系統、高功率模組與控制等關鍵技術，克服散熱、訊號失真、波束成型等難題，提升我國在多天線、高功率基站的自主研發能力，以滿足大覆蓋面積、大容量、高互通、高整合的需求。</p> <p> </p> <p>圖片來源／數位部、蘋果、Ryder Cup、Ericsson、工研院</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多5G動態 </span></strong></span></p> <p><strong>1.NTT DOCOMO推出Open RAN服務</strong></p> <p><strong>2.馬來西亞國家石油Petronas導入5G專網</strong></p> <p>資料來源：iThome整理，2023年9月</p> </div></div></div>
2023/10/11 17:14作者蘇文彬https://www.ithome.com.tw/news/159222
健保署提健保數位升級8大策略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>健保署署長石崇良日前在第4屆FHIR聯測論壇中，提出健保數位升級8大策略，包含建置家醫大平臺、健康存摺SDK個人健康資料加值應用、健保雲端查詢系統優化、數位化審查、遠距醫療整合、虛擬健保卡擴大應用，以及完善健保BioBank和數位基礎建設。其中，健保署不只要升級健保系統，還要改採混合雲架構和新型機房，來提供更穩定的服務。而數位基礎建設瞄準基層診所和特約藥局，健保署要建置健保雲來讓廠商上架雲端系統，供基層診所選用。</p> <p><span style="font-size:24px;"><strong>盤點臺灣數位醫療困境，健保系統亟需升級</strong></span></p> <p>健保署之所以提出數位醫療轉型措施，是因為看見臺灣數位醫療發展的困境。石崇良將這些問題分為醫療端、產業端、政府端和民眾端4大層面，就醫療端而言，全臺近500家醫院，許多醫院的核心系統自成體系、難以互通，這導致集團醫院推動智慧醫療的成功經驗，難以複製、擴散到其他醫院。</p> <p>再來，小型醫院缺乏IT人力，大多仰賴委外廠商，難以具備應用開發和資安維護能力。不只小型醫院，對臺灣2萬多家診所和數千家醫事機構來說，更是如此。而且，這些醫療機構的IT系統建置，幾乎以健保申報為目的，因此規模小、自動化程度低，也缺乏系統升級的誘因。這是石崇良觀察到的醫療端數位醫療問題。</p> <p>就產業端來說，廠商要取得醫療資料來開發智慧應用，目前還是障礙重重，且廠商與單一醫院開發成功的經驗，也難以複製到其他醫院。此外，產業端也還沒建立成熟的產品營運模式，另也需一致的標準規範。</p> <p>對政府來說，數位醫療的困境則有2大類，一是公衛系統與其資料庫，這些系統「亟需升級，」且資料標準缺乏一致性和互通性，導致醫護人員使用系統時，得一次開好幾個視窗、來回操作。另一類是健保資訊系統及相關資料庫，尤其健保是全臺規模最大資料庫，資安應符合最高標準。而且，健保資訊系統服務全國醫療院所、產業和政府部門，「系統已使用28年，也到需要重新升級的時候了，」石崇良說。這是健保署接下來要執行的重要任務。</p> <p>就民眾端而言，民眾自主意識抬頭，從過去的資料提供者角色轉為參與者，因此，健保資料治理機制得要更完備。同時，自COVID-19疫情後，民眾對創新照護模式接受度提高（如視訊診療），也有利於推動和發展數位醫療應用。</p> <p>石崇良總結，這些問題，都可歸結為「資訊數位化、系統自動化和標準一致化」等3大改革目標。</p> <p><span style="font-size:24px;"><strong>衛福部如何規畫臺灣智慧醫療升級</strong></span></p> <p>於是，衛福部自去年開始籌備臺灣智慧醫療升級計畫，可分為3階段，包括建立能接軌國際資料標準架構的基礎設施、打造符合國際趨勢的次世代數位醫療平臺，以及建立以病患為中心的服務生態系。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%A8%88%E5%8A%83.JPG" /></p> <p>其中，石崇良強調，次世代數位醫療平臺的目的，是要符合數位化、自動化和標準一致化等3大目標，來讓醫療機構交換資料。除了次世代平臺，衛福部同時也提出公共建設計畫，要建置跨部和署的醫療數據共享平臺，並打造食藥署、國健署、疾管署和健保署之間的資料交換標準架構和格式，設置FHIR共通欄位格式和LOINC編碼的實作指引。</p> <p>石崇良指出，這些部內計畫將在明年展開，而次世代數位醫療平臺計畫，衛福部這2年先與醫療機構和產業溝通，預計後年動工。</p> <p><span style="font-size:24px;"><strong>健保署數位升級有8策略</strong></span></p> <p>不只衛福部帶頭推進數位醫療發展，健保署也有8項策略，來實現健保數位升級、加速醫療照護數位轉型。這8項策略包括針對民眾的家醫大平臺、個人健康資料加值（含健康存摺SDK），針對雲端系統的健保雲端查詢系統優化、數位化審查，針對健康照護的遠距醫療、虛擬健保卡擴大應用，以及針對資料生態系的健保BioBank和數位基礎建設。</p> <p>進一步來說，家醫大平臺是要打造一個個人初級照護健康管理平臺，將各種醫療和健康資料歸戶，透過分析這些資料來提醒民眾健康狀態。這些資料來源有好幾個，包括民眾的醫療記錄，如檢驗檢查、醫療影像、就醫和各種收案計畫（如居家、遠距、巡迴醫療和急性後期整合照護），另也有穿戴裝置、其他平臺資料，以及衛福部相關司署與各地方政府資料，再加上民眾授權的健康存摺資料，全都匯集到家醫大平臺上。</p> <p>接著，平臺可根據這些資料，來提供個人健康的日常追蹤、異常管理、風險預測和檢驗值分析等功能。甚至，健保署還要讓平臺具備雙向回饋機制，也就是對民眾，要提供結果回饋、未篩檢提醒和篩檢後異常追蹤等通知，另也要將異常個案名單和未篩檢名單回饋給家庭醫師，來讓醫師掌握民眾健康狀態。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AE%B6%E9%86%AB.JPG" /></p> <p>就個人健康資料加值策略來說，健保署要繼續擴大健康存摺SDK的運用，來公私協力整合更多健康資料，提高民眾健康意識。意思是，智慧醫療應用開發商可向健保署申請健康存摺SDK介接，通過後可在自家健康App中，經民眾授權同意，來串接民眾的健康存摺資料，並整合健康App數據（如IoT裝置數據、睡眠時間）來管理健康。健保署這次不只要擴大應用，還要完善健康存摺SDK管理機制，來營造健康資料應用生態圈。</p> <p><span style="font-size:24px;"><strong>健保署系統要升級，還要建立數位審查機制</strong></span></p> <p>另一方面，健保署自己也要升級，推動第三代健保雲端查詢系統。目前，健保雲端查詢系統可供醫師在3卡認證的條件下，調閱12種民眾醫療資料，其中就包含醫療影像資料，但期限只有過去6個月。石崇良表示，由於影像資料龐大，健保署計畫未來將影像資料移出健保系統後，依然能供醫院查詢、不限時間。</p> <p>此外，健保雲端查詢系統的優化，還包括導入醫療支援模型，如新添重複用藥或重複檢驗檢查提醒，來提高醫療品質和病人安全。此外，系統本身還要改善使用者介面，要更友善，並提供多元雲端憑證驗證機制。</p> <p>除了系統優化，健保署還要建立數位化審查機制。這是因為，越來越多醫材和藥品納入健保給付，健保署也得透過真實世界資料（RWD）的蒐集，來檢核給付醫材和藥品是否發揮效用。因此，他們首先要建置RWD收載系統，比如高價醫療服務RWD收載、暫時支付藥品登錄系統等，並建立效益評估機制和自動化追管機制，來讓作業更順暢。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%95%B8%E4%BD%8D%E5%AF%A9%E6%9F%A5.JPG" /></p> <p>不只如此，健保署也要建立事前審查預檢機制，要透過「雲端化來減少紙張的使用。」石崇良表示，未來這些審核所需資料，將採用統一標準格式，並導入AI來加速審核，節省專家們一一來回審核的時間。舉例來說，目前藥品核價的送審流程，得由藥商準備紙本和光碟資料，送件經預審、專家會議、初核通知，再進行共擬會議，最後才電子公告核定結果。醫院端的送件申請亦是如此。</p> <p>未來，這些流程將改為藥商或醫院透過系統上傳、審查流程數位化方式，來提高效率和透明度。</p> <p><span style="font-size:24px;"><strong>遠距醫療擴大範圍，還有更多數位配套措施</strong></span></p> <p>健保署還有2項策略，要建立打破圍牆的照護模式。這2項策略就是遠距醫療和虛擬健保卡，其中，健保署自2020年開始，就將遠距醫療納入健保給付，主要針對偏遠地區的五官科遠距會診，但現在，遠距醫療範圍要擴大到居家照護，對象包括長照機構住民、居家醫療整合照護計畫、在家住院醫療照護計畫，以及居家透析患者，場景也從山地離島偏鄉，擴大到民眾家中。</p> <p>這個擴大不只是居家適用對象更多了，還有將原本醫師對醫師（B2B）的遠距會診模式，擴大為醫師對醫師人員（如護理師）、醫師對病人。這些擴大是通訊診察治療辦法修正案涵蓋的內容，石崇良透露，健保署預計明年擴大遠距醫療的運用。</p> <p>也因為診療場景擴大到家中，虛擬健保卡的運用成為身分快速辨識、調閱醫療記錄的關鍵，這也是健保署接下來要推廣的政策，要擴大虛擬健保卡的就醫功能和推廣應用。不只如此，健保署也一併推動電子處方箋平臺、數位同意書簽署平臺，還要介接更多行動支付和手機錢包，來完善就醫全流程數位化。</p> <p><span style="font-size:24px;"><strong>建置資料生態系保障退出權，還要推動診所雲端系統升級</strong></span></p> <p>健保署最後2項策略，是要建立資料生態和數位基礎建設。就資料生態系來說，健保署要制定專法，來完善健保資料治理機制，比如依去年憲法法庭釋憲結果，新添民眾退出權。為此，健保署規畫多種退出申請管道，也要建置個人申請狀態的資訊揭露公開平臺，並連結前述的資料收載系統。</p> <p>由於民眾的退出，可能影響藥品和醫材RWD收載與效益評估的可靠性，因此，健保署還要建立資料退出的代表性評估和衝擊預防機制。</p> <p>不只針對健保資料庫，健保署還要建立數位基礎建設。這個目標可分為2大工作，一是強化健保本身的數位基礎建設，不只要提高資安韌性和效能，如建置符合國際資安標準的機房、建立強化資安防護的混合雲架構，還要導入國際資安和醫療資訊管理學會（HIMSS）制度。甚至，健保署還要成立專案辦公室，來培育健保數位資訊管理人才。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%81%A5%E4%BF%9D.JPG" /></p> <p>另一個工作則是推動基層診所的健保雲端HIS，而且要導入接軌國際的醫療資料交換標準FHIR。意思是，健保署要建置一套「健保雲」，來讓廠商上架自家的雲服務，供基層診所、特約藥局來選擇合適的系統使用。這麼做，可解決目前診所的IT成本、資訊無法即時分享等問題。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9F%BA%E5%B1%A4.JPG" /></p> <p></p> </div></div></div>
2023/10/11 18:09作者王若樸https://www.ithome.com.tw/news/159227
HTTP/2協定漏洞帶來史上最大DDoS攻擊流量，Google、Cloudflare與AWS皆創紀錄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/identity-security/how-it-works-the-novel-http2-rapid-reset-ddos-attack" target="_blank">Google</a>、<a href="https://blog.cloudflare.com/technical-breakdown-http2-rapid-reset-ddos-attack/" target="_blank">Cloudflare</a>與<a href="https://aws.amazon.com/tw/blogs/security/how-aws-protects-customers-from-ddos-events/" target="_blank"> Amazon Web Services（AWS）</a>本周二（10/10）分別公布了涉及HTTP/2協定的CVE-2023-44487零時差安全漏洞，原因是它們在今年的8月至10月間，全都面臨了肇因於該漏洞的分散式服務阻斷（DDoS）攻擊，且其攻擊規模對上述業者來說皆為史上最大，例如<a href="https://cloud.google.com/blog/products/identity-security/google-cloud-mitigated-largest-ddos-attack-peaking-above-398-million-rps" target="_blank">Google所緩解的攻擊流量達到每秒3.98億次的請求</a>，是Google上一個紀錄的7.5倍。</p> <p>HTTP的全名為超文本傳輸協定（HyperText Transfer Protocol，HTTP），是全球網路資料通訊的基礎，HTTP 1.0於1996年現身，HTTP/2標準在2015年出爐，最新的則是<a href="https://www.ithome.com.tw/news/152044" target="_blank">2022年6月頒布的HTTP/3</a>。不過，根據<a href="https://blog.cloudflare.com/http3-usage-one-year-on/" target="_blank">Cloudflare截至今年4月的統計</a>，目前最普及的協定仍是HTTP/2，市占率超過60%，HTTP/3市占率則接近30%。</p> <p>存在於HTTP/2中的CVE-2023-44487漏洞可導致快速重置攻擊，它利用HTTP/2中的多工串流（Stream Multiplexing）功能，發送大量的請求且立即取消，因而造成伺服器端的大量工作負載，卻只需要少量的攻擊成本。根據估計，駭客針對CVE-2023-44487漏洞展開攻擊時所利用的殭屍網路僅由2萬臺機器組成，遠低於目前動輒由數十或數百萬臺機器組成的殭屍網路。</p> <p class="rtecenter"><a href="https://storage.googleapis.com/gweb-cloudblog-publish/images/2023_worlds_largest_rapid_reset_diagram.max-1616x909.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1011-HTTP%20request%20and%20response%20pattern-by%20google.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></p> <p>上述業者都是在今年8月開始觀察到旗下客戶遭到基於CVE-2023-44487的DDoS攻擊，Cloudflare指出，該公司所緩解的最大攻擊流量是每秒超過2.01億次的請求，輕易便打破了今年2月每秒7,100萬次請求（requests per second，rps）的攻擊紀錄。事實上，從今年8月迄今，Cloudflare已緩解了逾1,100次超過1000萬rps流量的DDoS攻擊，當中有184次的攻擊流量超過原先的7,100萬rps紀錄。</p> <p>至於Google在這波DDoS攻擊中所緩解的最大攻擊流量更達到3.98億rps，Google原本的紀錄是在去年面臨的4,600萬rps。Google表示，這波高峰達3.98億rps的DDoS攻擊持續了兩分鐘，但這兩分鐘的流量等同於維基百科（Wikipedia）今年整個9月的所有文章閱讀流量。</p> <p>Google說，相關攻擊一直從8月底延續迄今，鎖定全球主要的基礎設施服務供應商，包括各項Google服務、Google Cloud基礎設施及Google的客戶。</p> <p>同樣在8月底遭到攻擊的AWS則說，Amazon CloudFront所偵測到的不尋常HTTP/2請求在高峰時期達到1.55億rps，接著便持續看到類似的HTTP洪水攻擊。</p> <p>Cloudflare指出，在該公司遭到攻擊時，同時發現Google與AWS也面臨同樣的攻擊行動，於是決定彼此合作，共同向受到影響的業者與重大基礎設施供應商揭露，相信任何部署HTTP/2的業者都將受到攻擊，包括每一個現今的網頁伺服器。</p> <p>由於這波攻擊結合了殭屍網路與HTTP/2漏洞，使得它以前所未有的速度放大了攻擊請求，甚至令Cloudflare經歷了間歇性的不穩定。Cloudflare說，儘管該公司的系統能夠緩解大多數的攻擊流量，但還是造成Cloudflare網路某些元件的過載，波及了少數客戶的效能。</p> <p>許多採用HTTP/2的服務或產品都已著手修補<a href="https://www.cve.org/CVERecord?id=CVE-2023-44487" target="_blank">CVE-2023-44487漏洞</a>，<a href="https://msrc.microsoft.com/blog/2023/10/microsoft-response-to-distributed-denial-of-service-ddos-attacks-against-http/2/" target="_blank">微軟亦公布了針對該漏洞的應對措施</a>，指出這波的HTTP DDoS攻擊主要鎖定Layer 7，而非Layer 3或Layer 4，因此，微軟強化了對Layer 7的保護，同時也修補了各個遭到波及的服務。</p> </div></div></div>
2023/10/11 15:54作者陳曉莉https://www.ithome.com.tw/news/159221
微軟10月Patch Tuesday修補103個安全漏洞，其中3個已遭攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在本周二（10/10）的10月Patch Tuesday中修補了103個安全漏洞，內含3個已遭到實際攻擊的零時差漏洞，以及13個被列為重大（Critical）等級的安全漏洞，另外值得注意的是，重大漏洞有超過一半源自於第二層隧道協議（Layer 2 Tunneling Protocol，L2TP），且此次所修補的訊息佇列（Message Queuing）漏洞多達20個。</p> <p>微軟本月修補的3個零時差漏洞分別是涉及WordPad的資訊揭露漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36563" target="_blank">CVE-2023-36563</a>，與Skype for Business有關的權限擴張漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-41763" target="_blank">CVE-2023-41763</a>，以及在周二（10/10<a href="https://www.ithome.com.tw/news/159221" target="_blank">）由Cloudflare、Google與Amazon Web Services（AWS）共同揭露的</a>HTTP/2協定漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-44487" target="_blank">CVE-2023-44487</a>。</p> <p>其中，要成功利用<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36563" target="_blank">CVE-2023-36563</a>漏洞必須先登入系統，再執行一個特製的程式，其攻擊途徑是誘導使用者開啟一個惡意檔案，即可揭露Windows NT LAN Manager（NTLM）雜湊密碼。雖然此一漏洞的CVSS風險評分並不高，且微軟已計畫於<a href="https://www.ithome.com.tw/news/158561" target="_blank">明年讓WordPad退役</a>，但還在使用WordPad的Windows用戶仍應修補。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36563" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1011-microsoft-patch-CVE-2023-36563.png" style="width: 550px;" /></a></p> <p>至於要利用Skype的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-41763" target="_blank">CVE-2023-41763</a>漏洞則需執行一個特製的網路通話至Skype for Business伺服器上，可能導致一個對任意位址的HTTP請求，進而揭露IP位址與傳輸埠編號，此一漏洞的CVSS風險評分亦不高，但微軟警告，所外洩的資訊可能被駭客用來入侵內部網路。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-41763" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1011-microsoft-patch-CVE-2023-41763.png" style="width: 520px;" /></a></p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-44487" target="_blank">CVE-2023-44487</a>無疑是近年來最嚴重的分散式服務阻斷（DDoS）漏洞，且自今年8月底以來便持續遭到駭客利用，儘管該漏洞存在於HTTP/2協定中，但所有導入該協定的產品與服務都受到波及，除了修補產品及服務之外，微軟也提出了暫時補救措施，建議用戶可藉由登錄編輯程式關閉HTTP/2協定。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-44487" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1011-microsoft-patch-CVE-2023-44487.png" style="width: 510px;" /></a></p> <p>由於上述3個已遭濫用的漏洞都無法被用來執行任意程式，因此就算已實際遭到攻擊，仍皆僅被列為重要（Important）漏洞。</p> <p>而在13個重大漏洞中，就有9個屬於L2TP的遠端程式執行漏洞。L2TP是個用來建立虛擬私有網路（VPN）的網路協定，雖然這9個分屬不同的漏洞，但它們皆為競爭條件漏洞，允許未經授權的駭客藉由傳送一個特定的協定訊息至路由及遠端存取服務（Routing and Remote Access Service，RRAS），進而於RAS伺服器上執行任意程式。</p> <p>這次修補的漏洞中，最嚴重的當屬CVSS風險評分高達9.8的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-35349" target="_blank">CVE-2023-35349</a>，此為微軟訊息佇列（Message Queuing）的遠端程式執行漏洞，不需使用者互動就能展開攻擊。而且這次總計有20個漏洞與訊息佇列有關，當中的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-35349" target="_blank">CVE-2023-35349</a>與<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36697" target="_blank">CVE-2023-36697</a>被列為重大等級。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-35349" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1011-microsoft-patch-CVE-2023-35349.png" style="width: 373px;" /></a></p> <p>微軟的訊息佇列（Message Queuing）技術可讓異質網路與系統上，於不同時間執行的應用程式能夠彼此通訊，應用程式可傳送訊息至佇列，或是自佇列讀取訊息。它是個必須手動啟用的Windows元件，微軟建議用戶可檢查系統所執行的服務與TCP 1801埠來判斷是否啟用了該服務。</p> </div></div></div>
2023/10/11 16:55作者陳曉莉https://www.ithome.com.tw/news/159223
個人版Google帳號開始要求用戶設定無密碼登入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/safety-security/passkeys-default-google-accounts/" target="_blank">Google宣布</a>本周將開始要求用戶設定以通行密鑰（passkey）作為個人版Google帳號預設，以便加速部署無密碼登入，但用戶仍然可以暫時opt-out而續用密碼。</p> <p>Google近年積極推動以通行密鑰取代密碼成為網站或應用程式登入方式。通行密鑰是結合註冊網站的公鑰，以及儲存在手機裝置中的私鑰而成的驗證方案，可免去用戶記憶密碼的麻煩，及密碼外洩的風險。Google去年<a href="https://www.ithome.com.tw/news/153615" target="_blank">讓Android及Chrome支援通行密鑰</a>後，今年<a href="https://www.ithome.com.tw/news/156706" target="_blank">Google帳號</a>及<a href="https://www.ithome.com.tw/news/157209" target="_blank">Google Workspace</a>也都陸續支援無密碼登入。</p> <p>Google說，接到用戶迴響十分正面，不少YouTube、搜尋和Maps用戶都啟用通行密鑰，因此Google決定讓通行密鑰成為Google個人帳號的預設選項。這表示用戶下次登入Google帳號時，會出現提示對話框，要求用戶建立和使用通行密鑰，藉此簡化未來登入流程。</p> <p>設定完成通行密鑰後，用戶可以用指紋、臉部掃瞄或PIN來解鎖裝置，而且比密碼登入快40%。</p> <p>但是Google相信，新科技普及需要時間，密碼還會存在一段時日，因此Google仍允許用戶使用密碼。Google帳號設定有「如果可能，跳過密碼」的選項，用戶可關閉本選項以opt-out通行密鑰。</p> <p>Google也已和第三方App業者合作，以便在Chrome及Android平臺上支援通行密鑰，包括1Password、Adobe、DocuSign、Kayak、Mercari、Paypal及Yahoo! Japan。最近Uber、eBay都已改啟用通行密鑰，WhatsApp不久後也會支援。Google說會持續公布新的支援清單。</p> </div></div></div>
2023/10/11 11:38作者林妍溱https://www.ithome.com.tw/news/159209
微軟取消線上相片計入OneDrive 5GB儲存空間限額計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟原訂於本周實施，將線上相片、相簿納入OneDrive 5GB儲存空間限額，但在用戶反對下，<a href="https://support.microsoft.com/en-us/office/changes-to-microsoft-365-email-features-and-storage-e888d746-61e5-49e3-9bd1-94b88e9be988" target="_blank">迫使微軟取消了這項計畫</a>。</p> <p>今年初微軟宣布，從2月1日起，Microsoft 365應用程式和服務使用的OneDrive儲存空間，將會包含Outlook.com附件及OneDrive資料。微軟聲稱所有資料都會獲得安全防護，但也提醒，這項變更會導致可用的OneDrive空間減少。一旦雲端儲存空間屆滿，用戶在Outlook.com的信件收發也會受到影響。</p> <p>8月31日微軟又宣布，OneDrive相片及相簿資料，也會計入5GB儲存空間限額，新政策預計10月16日開始實行。</p> <p>不過許多用戶抗議這項變更，認為線上相片被計算了兩次。因此，微軟上周表示會撤回先前的決定，現有線上相簿作法不會改變。</p> <p>微軟新政策會擴及微軟應用程式、Windows設定及微軟帳號，微軟表示，還未看到最新線上相片／相簿新政策的用戶，應該幾周內會看到。</p> </div></div></div>
2023/10/11 10:47作者林妍溱https://www.ithome.com.tw/news/159208
電動車資安夯！臺廠組隊參加CTF，藉助競賽探討汽車資安技術知識
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著連網汽車、自駕車與新能源車的發展，車聯網安全已是這幾年資安界特別關注的焦點，不只強調從開發就要做到安全，亦有舉辦挖掘車輛漏洞的競賽，促進整體汽車資安的進步。</p> <p>例如，全球知名的Pwn2Own漏洞研究競賽，在2019年首度新增汽車類別，希望促進更多與連網汽車有關的安全研究，明年2024，這一項目甚至變得能夠獨立舉辦，要在東京舉辦第一屆Pwn2Own Automotive汽車駭客大賽。</p> <p>另一方面，為了應對這樣的新興資安領域，也有增進資安人員研究汽車資安知識的競賽。在今年8月舉行的國際資安大會DEF CON上，除了眾所周知的技術演講、DEF CON CTF競賽，以及各式各樣的Village活動（通常是特定社群、組織所主辦的工作坊），吸引對該領域或主題感興趣的資安人員參與及交流，當中也有這方面的活動與競賽──Car Hacking Village CTF（CHV CTF）。</p> <p>特別的是，近期我們得知一家臺灣公司參與這場CTF，並指出這項競賽在最近兩年，舉辦規模變得盛大，成為DEF CON大會固定活動項目，因此我們也趁此機會，請他們說明更多這方面的經驗與觀察。</p> <h3><strong>兩汽車駭客競賽有何差異？</strong></h3> <p>關於VicOne這家公司，是趨勢科技2022年，新打造的電動車資安子公司，主要提供車連網資安解決方案，最近2023年9月，他們在日本成立全球企業總部，營運據點涵蓋日本、臺灣、德國、美國、韓國與印度。</p> <p>對於Car Hacking Village CTF競賽，與Pwn2Own競賽的差異，VicOne汽車網路威脅研究實驗室副總裁張裕敏表示，前者競賽出題經過精心設計，可幫助大家了解熟悉駭客技術，後者競賽是要真正挖掘出現實車輛的漏洞，挑戰者可以獲得相當高額的獎金。</p> <p>細部而言，我們可從兩大面向，來瞭解這兩項競賽的不同。</p> <p>首先，從競賽目的來看，以CTF（Capture the Flag）競賽而言，就是以獲得Flag為主要目的，因此競賽中會設計很多題目，並將Flag放進題目中，所以一定有解答。而且，這些題目都是經過特殊設計，目的是希望幫助大家熟悉駭客技術，以及怎麼用這些駭客技術。</p> <p>至於Pwn2Own的車輛類別競賽，競賽主要目的是希望真的找出實際產品沒發現的漏洞，有助於車廠補強車輛安全性。</p> <p>第二，由於競賽的難度不同，因此獎金與參賽者族群也都有很大差異。以Car Hacking Village CTF而言，獎勵多半是ㄧ些硬體裝置，好一點可能有電動腳踏車，參賽族群會比較廣泛；Pwn2Own汽車類別競賽的獎金則超過100萬美元，曾送出一臺Tesla汽車，不過參賽者全部專業汽車資安研究人員。</p> <p>俗話說，想要學會走路，先要學會怎麼爬。綜觀上述說明，想要研究真實世界的車聯網安全，總是先要具備汽車領域方面的知識，而CTF競賽是方式之一，幫助探討各種汽車相關攻擊手法的興趣，促進相關知識與技術的接觸。</p> <h3><strong>車用環境與設備需求不同，汽車CTF競賽仍具難度</strong></h3> <p>對於Car Hacking Village CTF的競賽方式，我們不免感到好奇，這場CTF競賽是否很多人參加？VicOne的成績如何？題目是長什麼樣子？以及對於競賽的觀察？</p> <p>具體而言，今年這場活動50支隊伍參賽，CTF題目共有23題，第一名團隊解開了21題，獲得了2,960分，其團隊名稱是「；」。VicOne所組團隊「canucks」，則以2,720分獲得第二名。</p> <p>張裕敏表示，其實參賽隊伍的能力差距很大，50隊中只有19隊拿到分數，其他31隊的得分為0。原因在於，這樣的競賽沒有報名限制，也歡迎在場的學生與業餘者前來挑戰，從挑戰中來接觸車輛安全的研究。</p> <p>基本上，本次競賽名列前茅的隊伍，都是專業的團隊，甚至有些團隊所攜帶的設備，可能高達好幾百萬臺幣，若是沒有這些設備的幫助，其實這場CTF競賽很難玩得起來。</p> <p>以VicOne的團隊「canucks」而言，報名11人，實際有6人下場挑戰，當中1人是來自VicOne的捷克資安研究人員，5人是來自VicOne投資的一家底特律新創公司Block Harbor。</p> <p>從上述說明我們可以看出，Car Hacking Village CTF的參與形式，並不像臺灣較熟知的世界駭客大賽DEF CON CTF，只要打開電腦就能競技。</p> <p>實際Car Hacking的CTF競賽是什麼樣貌？VicOne汽車網路威脅研究實驗室研究員李奇霖表示，會場多張桌子上擺放許多裝置，現場甚至設置一臺經過修改的Tesla汽車，讓挑戰者作答某些題目時能體驗效果。</p> <p>基本上，這裡的CTF題目分成兩大部分，包括資訊攻防類型與裝置互動類型。簡單來說，一部分是坐在位子上就能處理，一部分的題目是分散的，要到每張桌子上的裝置去找。</p> <p>例如，其中一道題目令李奇霖印象深刻，其內容是針對可裝在汽車上的藍牙胎壓偵測器。這道題目的挑戰在於，該裝置裡面的韌體已被惡意竄改，因此首先需要先找出裝置的位置。</p> <p>這時，如果一般用手機開藍牙搜尋，並預期這個胎壓偵測器應該在輪胎附近，是搜尋不到這個裝置的，因為該裝置的藍牙訊號已被加料混淆，因此無法藉由藍牙訊號的強度資訊，也就是距離訊號，來找出這個胎壓偵測器。</p> <p>事實上，該裝置除了可以偵測胎內的胎壓與溫度，其本質也是一個無線電訊號裝置，當中也包含了MCU晶片、韌體等。因此，這時將可透過一臺頻譜分析儀來發現這個裝置。只是，這個頻譜分析儀需要自己攜帶，或是從周邊的展出供應商去借。</p> <p>而這題的第二部分，就是從無線電訊號中的資料，去檢查出了什麼狀況。此時會再提示如何存取該裝置，連接方式並非藍牙，而是透過其他的協定（Protocol），檢視其傳遞的資訊，然後就是找到不正常的訊號中所包含的一段Flag訊息，也就是成功找出這道題目的答案。</p> <p>李奇霖也指出，其實這次CTF有幾道題目，都是圍繞在無線電訊號。其他還有像是，一家銷售車用介面硬體與Debug工具的廠商，他們所出的一道題目，是可以使用該廠商的設備來解題。畢竟，所有參賽者不一定帶著很齊全的設備。</p> <h3><strong>VicOne展示自製測試小工具，支援CAN Bus與無線電</strong></h3> <p>除了CTF搶旗競賽，在Car Hacking Village的場邊活動中，許多供應商也在現場設攤相互交流，VicOne的臺灣資安研究人員也在現場，展示他們打造的一款小工具。</p> <p>畢竟，要探討與研究汽車相關攻擊，也需要有對應環境的工具與設備。這就如同前幾年我們關注OT安全研究，大家會重視Testbed環境的建立，以及可分析OT相關協定的工具。</p> <p>張裕敏表示，他們為了參加今年DEF CON，就打造了一個便於汽車測試的工具，讓喜歡的參與者能夠帶回去，或用於現場CTF解題。</p> <p>這個小工具有何特殊性？基本上，他們從主機板開始設計，外殼也是用3D列印而成，設計時考量的重點在於成本低且實用，便宜是指都是挑選容易買到的零件來組成，實用是指讓研究人員面對汽車上的通訊介面，可以不用買特殊裝置去轉接，因為這個簡化的小工具同時具有CAN Bus與無線電雙介面，能協助測試人員可以分析封包、發送測試封包，當中也具備Wi-Fi模組，因此能夠接在汽車上遠端測試。張裕敏指出，要做汽車測試的研究人員，普遍要買很多不同設備，這樣的簡畫小工具，相當受到歡迎，也因此被索取一空。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）VicOne Car Hacking Village CTF_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89VicOne%20Car%20Hacking%20Village%20CTF_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><strong><span style="color:#0099ff;">在今年8月DEF CON大會的Car Hacking Village活動上，除了舉辦CTF競賽，多家廠商也在場邊設攤交流，趨勢科技旗下電動車資安子公司VicOne也不例外。他們展示了一款自製的汽車測試用小工具，具有CAN Bus與無線電雙介面，讓喜歡的參與者能夠索取，或用於現場CTF解題。（攝影／羅正漢）</span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖X）Car Hacking Village CTF.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96X%EF%BC%89Car%20Hacking%20Village%20CTF.jpg" style="width: 600px;" /></a></p> <p><span style="color:#0099ff;"><strong>在今年DEF CON 31大會上，Car Hacking Village的CTF競賽（CHV CTF）吸引50隊參與，VicOne所組團隊「canucks」以2,720分獲得第二名。</strong></span></p> <p><span style="color:#0099ff;"><strong><a href="https://s4.itho.me/sites/default/files/images/（圖2）Car Hacking Village CTF.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89Car%20Hacking%20Village%20CTF.jpg" style="width: 600px;" /></a></strong></span></p> <p><font color="#0099ff"><b>從</b></font><strong style="color: rgb(0, 153, 255);">今年DEF CON 31大會的活動內容來看，包含數十項演講、競賽、展示實驗室、付費培訓、派對及聚會與活動，以及Village活動。</strong></p> <h3 class="rtecenter"><strong><span style="color:#0033cc;">繼續閱讀：</span><a href="https://www.ithome.com.tw/news/159189"><span style="color:#0066ff;">研究車聯網安全，懂資安也要懂機電控制知識</span></a></strong></h3> </div></div></div>
2023/10/10 08:33作者羅正漢https://www.ithome.com.tw/news/159188
研究車聯網安全，懂資安也要懂機電控制知識
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>車聯網安全議題受重視，這幾年來不只有實際車輛漏洞挖掘的競賽，也有增進資安人員研究汽車資安知識的競賽，在<a href="https://www.ithome.com.tw/news/159188">電動車資安公司VicOne揭露組隊參賽Car Hacking Village CTF（CHV CTF）</a>經驗之餘，我們在與VicOne這些資安專家討論中，特別關注車聯網資安目前正面臨兩大挑戰，一是汽車資安人才，另一是汽車領域的臺灣供應鏈。</p> <p>例如，從CHV CTF競賽來看，此領域的人才培育是一大挑戰。張裕敏指出，基本上，雖然這裡的CTF題目經過設計，難度會降低，但對臺灣或業餘資安研究人員來說，這些題目還是會偏難。</p> <p>主要原因在於，以車聯網的知識領域而言，瞭解相關協定亦是重要一環，不論硬體設備上的Debug探針、韌體分析，還有CAN Bus、Automotive Ethernet等各式協定，以及無線電、藍牙、RF-433等相關通訊介面，又或是LiDAR探測測距技術，這些其實比較偏向機電控制。</p> <p>但以普遍臺灣學校教育或產業環境來看，做機電控制的不會碰資安，做資安的不會碰機電控制，還有相關設備取得困難也是需要跨越的門檻，因此，車連網安全方面目前有點像是一個盲區，有點類似前幾年OT安全的情形。</p> <p>再者，從Pwn2Own在汽車類別競賽來看，不只是電動車本身的系統，還有兩大面向同樣需要資安，分別是：車用資訊娛樂系統（In-Vehicle Infotainment，IVI），以及電動汽車充電（Electric Vehicle Chargers）。</p> <p>這也是臺灣產業需要關注的面向，畢竟，除了國內少數公司涉及汽車領域之外，我國更是有不少公司是打造車用資訊娛樂系統，這方面要注意的是，這些公司可能認為自己只是在做Android裝置，因為很多這些系統都是基於Andorid打造，但其實這也就是一套汽車子系統，等於是供應鏈的一環，因此也會是汽車領域供應鏈安全所關注的焦點。</p> <p>此外，國內亦有許多公司是做電動車充電樁的電力基礎設施，若從整體的充電樁面向來看，我們還可以關注的層面，包括相關自助結帳系統及充電樁平臺營運商。</p> <h3><strong>發展車聯網安全，多項幫助入門的活動持續推動</strong></h3> <p>除了瞭解Car Hacking Village CTF，近期我們注意到另一消息，是鴻海研究院資通安全所聯合美國麻省理工學院（MIT）多媒體實驗室與國立臺北科技大學，共同打造EVπ的開放EV資安驗證平臺，並相容MIH電動車開放平臺架構，當中除了強調資安為各種創新服務的核心，似乎也是提供了一個較低的門檻，讓更多人能夠更快接觸到無人車，我們可以如何看待這樣的發展？</p> <p>對此問題，VicOne汽車網路威脅研究實驗室副總裁張裕敏表示，該平臺去年發布，可以說是一個教育訓練平臺，本身也不限於車用，主要能提供一個簡單的環境，讓用戶寫Script去測試研究。</p> <p>就其發展意涵，該平臺是有一些類似CTF的意味，像是關掉了一些功能，或是精簡了部分項目，讓學生在上面可以發揮並取得成就，不過，從實際面向來看，這個平臺與真實車輛連結更低一點。他認為，這一平臺的目標就是為了幫助「過渡」。</p> <p>張裕敏解釋，從傳統IT產業要過渡到車輛這樣的機電產業，這中間可能需要一個過渡的環節，而這個平臺比較偏IT面，但可幫助建立車聯網概念。像是將汽車所使用的組合語言，以及使用很早期的控制流，包裝成可以用Python這樣的高階語言去控制，讓學生能夠理解汽車內部相關行為與互動，從中產生多一點興趣。</p> <p>換言之，還沒有完全跨過去車聯網領域，但其好處在於，可以讓學生變得比較不排斥。而不是讓資訊科系學生，一開始教育從8位元組合語言學起。</p> <p>綜觀上述不同類型活動，我們大致畫分出3個層次。（一）EVπ平臺可促進更多人對車聯網安全有興趣；（二）Car Hacking Village CTF競賽的題目已降低難度幫助入門，促進熟悉相關技術，仍需對機電控制有一些基礎；（三）Pwn2Own車輛漏洞挖掘大賽是真實安全議題，發現的漏洞將有助於業者補強其產品安全性，但這也需要累積實際車輛安全研究經驗。</p> <p> </p> </div></div></div>
2023/10/10 08:34作者羅正漢https://www.ithome.com.tw/news/159189
Google開始以Rust重寫Android裸機元件，進一步強化記憶體安全性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在去年<a href="https://www.ithome.com.tw/news/154539">公開</a>Android提高記憶體安全性的重要關鍵，便是增加Rust程式碼的比例，而現在Google再次<a href="https://security.googleblog.com/2023/10/bare-metal-rust-in-android.html">揭露</a>在Android應用Rust的最新進展。Google現在還使用Rust，改寫Android中，在Linux核心之外執行的安全關鍵元件，進一步減少安全漏洞。</p> <p>Google在去年做了調查，發現Android的記憶體漏洞，從2019年的223個降低到2022年的85個，經過分析，Google認為記憶體漏洞減少的情況，主要與Android記憶體安全程式碼比例增加有關。Rust是一個記憶體安全的程式語言，其許多核心功能，使得程式在編譯的時候，就能夠捕捉到大多數的記憶體安全問題，避免記憶體相關漏洞在執行時或是生產環境才出現。</p> <p>在Android 13中，就已經約有21％新的原生程式碼以Rust開發，官方提到，這些元件大多數是在用戶空間的系統服務，也就是會在Linux作業系統下執行。但除此之外，還有其他許多以非記憶體安全語言編寫的元件存在。</p> <p>Android系統的許多安全關鍵元件，都在Linux核心之外的裸機環境中執行，而這些過去都是以C語言編寫，因此Google為了強化Android裝置韌體的安全性，也逐漸提高在裸機環境使用Rust的比例。Google以Rust重寫了Android 14的虛擬化框架的受保護虛擬機器（pVM）韌體，替pVM信任根提供記憶體安全基礎。</p> <p>pVM韌體的作用與啟動程式（Bootloader）類似，是建立在開源啟動程式專案U-Boot之上，但官方表示，U-Boot當初設計時，並未考慮在敵對環境下的安全性，因此已經發現許多範圍外的記憶體存取、整數下溢（Integer Underflow）和記憶體損壞所導致的安全漏洞，特別是VirtIO驅動程式，其邊界檢查有許多缺失和問題。雖然Google已經修復了在U-Boot中發現的問題，但是透過使用Rust，可以在未來避免出現類似的記憶體安全漏洞。</p> <p>由於Google要支援Rust語言在裸機環境中使用，也因此貢獻套件，同時發布了一系列新的套件，像是pVM韌體的VirtIO驅動程式，Google便修復了現有virtio-drivers套件中的錯誤和健全性問題，還添加了新功能。此外，Google也發布用於實現Arm PSCI介面和其他SMCCC呼叫，以及處理和控制裝置記憶體映射的頁面表套件。</p> <p>Google還計畫發布更多的Rust套件，與支援各種平臺的裸機程式開發，Google提到，雖然在裸機上應用Rust還有許多限制，但是相較於C或C++，Rust提供更高的安全性和生產力。Google接下來還會繼續擴大Rust的使用。</p> </div></div></div>
2023/10/10 20:11作者李建興https://www.ithome.com.tw/news/159204
支援PCIe 4與發送端部署，WD推出新一代NVMe-oF橋接裝置
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/wd_rapidflex_c2000_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著CXL記憶體互連技術的崛起，重新帶動了<a href="https://www.ithome.com.tw/tech/158856">資料中心硬體資源全面解構</a>的話題，可組合式基礎架構（<a href="https://www.ithome.com.tw/tags/composable-infrastructure">Composable Infrastructure</a>）似乎出現繼續發展下去的新契機，而過去讓我們認識到這類技術的，主要有兩家廠商的產品，一是<a href="https://www.ithome.com.tw/review/105336">伺服器大廠HPE的Synergy</a>，另一則是<a href="https://www.ithome.com.tw/review/126831">硬碟與SSD大廠WD的OpenFlex</a>。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-WD%20Disaggregated%20Infra3.jpg" style="width: 500px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-WD%20Disaggregated%20Infra1.jpg" style="width: 600px;" /></p> <p>以後者而言，過去幾年並未取得市場重大突破，但還是偶有新作。例如，2020年下半，我們曾介紹該公司當時推出的NVMe-oF儲存平臺<a href="https://www.ithome.com.tw/review/139285">OpenFlex Data24</a>，這是透過NVMe-oF交織網路使得多臺伺服器得以共用的固態儲存櫃（JBOF），當時提到這臺2U尺寸儲存設備前側面板，可容納24臺NVMe固態硬碟Ultrastar DC SN840，而在機箱背部，可安裝6張稱為RapidFlex系列的NVMe-oF網路介面卡（fabric adapters）——這個裝置可橋接乙太網路而與伺服器相連，也能橋接JBOF設備上面的PCIe交換器，WD最初提供的款式是RapidFlex C1000，上面搭配1顆ASIC晶片RapidFlex A1000。值得注意的是，NVMe固態硬碟與NVMe-oF網路介面卡使用的I/O介面，均為PCIe 3.0的規格。</p> <p> <img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20RapidFlex%20A1000%20Arch.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20RapidFlex%20C1000%20Arch.jpg" style="width: 298px;" /></p> <p>到了今年8月，WD推出加強版NVMe-oF儲存平臺OpenFlex Data24 3200，當中搭配的NVMe固態硬碟，改為新發表的<a href="https://www.ithome.com.tw/review/158451">Ultrastar DC SN655</a>， NVMe-oF網路介面卡稱為NVMe-oF交織網路橋接裝置（Fabric Bridge Device，FBD），換成第二代產品RapidFlex C2000，上面採用的ASIC晶片是RapidFlex A2000，I/O介面均為PCIe 4.0的規格。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20RapidFlex%20A2000%20Arch.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20RapidFlex%20C2000%20Arch.jpg" style="width: 298px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20OpenFlex%20Data24%203200-1.jpg" style="width: 600px;" /></p> <p>關於Ultrastar DC SN655的部分，<a href="https://www.ithome.com.tw/review/158451">我們在8月底已經報導</a>，另一款產品RapidFlex C2000，相較於前代（RapidFlex C1000），除了採用傳輸頻寬增加1倍的PCIe 4.0介面，支援的NVMe與NVMe-oF標準，也分別提升到1.4版與1.1版（C1000支援NVMe 1.2與1.3，以及NVMe-oF 1.0），而在內建網路介面的規格上，RapidFlex C2000提供2個100GbE埠（C1000提供1個100GbE埠）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-08-WD Disaggregated Infra2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-WD%20Disaggregated%20Infra2.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20RapidFlex%20Controller.jpg" style="width: 600px;" /></p> <p>而在使用彈性上，RapidFlex C2000不只是提供目標端模式（target mode），安裝在OpenFlex Data24設備，現在增設發送端模式（initiator mode），也能安裝在伺服器，比起使用傳統網路卡，可提供更具成本效益與節約用電的NVMe-oF部署選擇（平時耗電量為13瓦）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20OpenFlex-2023-1.jpg" style="width: 198px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20OpenFlex-2023-2.jpg" style="width: 198px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20OpenFlex-2023-3.jpg" style="width: 198px;" /></p> <p> <a href="https://s4.itho.me/sites/default/files/images/WD RapidFlex vDrive.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20RapidFlex%20vDrive.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>WD RapidFlex C2000</strong><br /> ●原廠：WD<br /> ●建議售價：廠商未提供<br /> ●外形：半高半長介面卡<br /> ●I/O介面：PCIe 4.0 x16<br /> ●搭配ASIC晶片：WD RapidFlex A2000<br /> ●提供網路介面：2個100GbE埠<br /> ●相容I/O與通訊標準：NVMe 1.4、NVMe-oF 1.1、TCP、RoCEv2<br /> ●Initiator功能：支援vDrive、ZNS裝置、UEFI開機，虛擬SSD最多提供2個實體功能，每臺虛擬SSD支援32個命名空間、128個佇列配對<br /> ●Target功能：支援ZNS裝置，提供120個虛擬控制器，3,896個NVMe-oF Submission / Completion佇列，可連接32臺NVMe SSD，每臺SSD支援32個命名空間、每個NVMe-oF連線支援64個節點</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/10/10 16:37作者李宗翰https://www.ithome.com.tw/review/158911
Hello Kitty勒索軟體解密金鑰被公布於網路論壇上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/3xp0rtblog/status/1710387356979560800" target="_blank">研究人員發現</a>曾攻擊VMware虛擬化平臺的勒索軟體Hello Kitty的程式碼被公開於網路論壇上，可用以製作解密程式。</p> <p>研究人員3xp0rt發現論壇XSS上一代號為kapuchin0的使用者張貼了一個名為hellokitty.zip的壓縮檔，並指是勒索軟體Hello Kitty的第一個分支。</p> <p>Hello Kitty從2020年10月開始發展，一開始感染Linux系統，2021年初攻擊遊戲製作商CD PROJEKT RED，取得多套遊戲的程式碼。當年中資安業者Palo Alto Network發現HelloKitty鎖定VMware ESXi系統感染，受害者遍及義大利、澳洲、德國、荷蘭，以及美國。</p> <p>最新流出的hellokitty.zip包含Visual Studio專案，內含開發HelloKitty加密和解密器的程式碼，以及NTRUEncrypt函式庫。</p> <p>《<a href="https://www.bleepingcomputer.com/news/security/hellokitty-ransomware-source-code-leaked-on-hacking-forum/" target="_blank">Bleeping Computer</a>》引述安全專家Michael Gillespie證實這次公布的，是真的Hello Kitty的程式碼。</p> <p>雖然對某些研究人員而言，這次公布的程式碼有助於研究或開發解密程式，但也可能落於有心人之手以開發變種，發動新的攻擊。<a href="https://www.ithome.com.tw/news/156853" target="_blank">Babuk</a>、<a href="https://www.ithome.com.tw/news/150907" target="_blank">REvil</a>等勒索軟體程式碼公開後，也都出現變種繼續為禍。</p> </div></div></div>
2023/10/10 14:41作者林妍溱https://www.ithome.com.tw/news/159201
傳OpenAI也正思考開發自有AI晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼<a href="https://www.ithome.com.tw/news/159193" target="_blank">微軟傳出可能自行研發AI晶片</a>後，《<a href="http://www.reuters.com/technology/chatgpt-owner-openai-is-exploring-making-its-own-ai-chips-sources-2023-10-06" target="_blank">路透社</a>》上周報導，新創AI公司OpenAI也可能有類似作法。</p> <p>報導引述消息人士指出，為了解決買不到足夠Nvidia GPU的問題，OpenAI正在思考自行打造AI晶片，包括透過收購達成目的。</p> <p>消息人士指出，OpenAI內部尚未做出明確決定，但去年起，該公司已設想了許多方法解決運行AI所需的Nvidia GPU短缺問題。他們思考過的選項包括自行打造AI晶片、和更多晶片供應商合作，包括Nvidia及其他廠商。該公司也可能透過收購強化自行生產AI晶片的能力。</p> <p>其他供應AI晶片的業者包括AMD、英特爾、臺灣的華碩、技嘉、微星、以及香港的栢能科技（PC Partner）及藍寶科技（Sapphire）等。</p> <p>OpenAI拒絕對此評論。</p> <p>這決定並不令人意外。去年起延續迄今的晶片荒，以及去年底OpenAI發表ChatGPT帶動全球生成式AI熱潮，使全球GPU短缺問題進一步惡化。</p> <p>欲推出生成式AI服務的雲端龍頭Google和Amazon已開發出自有AI晶片，包括Google TPU及Amazon Trainium/Inferentia。而《<a href="https://www.ithome.com.tw/news/159193" target="_blank">The Information</a>》上周報導，微軟也預計利用Ignite 2023年公布研發4年以上的自有AI晶片，以降低對Nvidia的依賴及購買成本。</p> </div></div></div>
2023/10/10 14:51作者林妍溱https://www.ithome.com.tw/news/159202
微軟正式從Windows 11移除Cortana
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟開發Copilot意謂舊AI助理Cortana的退位。微軟即將釋出的最新Windows 11更新，將正式移除Cortana。</p> <p>微軟上周將Windows 11 Insider預覽版Build 25967釋出到Canary 通道。這個版本一旦安裝到PC中將會移除Cortana。</p> <p><a href="https://www.ithome.com.tw/news/157185" target="_blank">微軟今年6月宣布</a>今年底之前終止支援獨立的Cortana App。雖然Outlook及Teams手機版、Teams顯示器（display）與Teams聊天室的Cortana功能仍然可持續運作，不過微軟還是建議用戶改用Microsoft 365與Windows中的Copilot。</p> <p><a href="https://www.ithome.com.tw/news/158879" target="_blank">內建新助理Copilot的Windows 11 22H2</a> Build 22621.2361（KB5030310）已在9月26日釋出，22H2還提供名為Moment 4的AI強化原生功能，包括小畫家、剪貼工具、NotePad、相片程式等。</p> <p>除了移除Cortana外，Windows 11 Insider預覽版Build 25967最大特色是加入新的「設定」App首頁。新首頁在單一頁面中以互動卡片方式，提供檢視所有設定情況，目前有7張卡片，分別顯示建議設定、雲端儲存量、增加帳號回復用的資訊、一鍵變更個人化設定、連結和管理藍牙裝置、以及檢視Microsoft 365與XBox訂閱狀態。</p> <p class="rtecenter"><img alt="" src="https://blogs.windows.com/wp-content/uploads/prod/sites/44/2023/06/settings-homepage-1024x758.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_微軟</span></span></p> <p>其他變更包括快速設定由原本需自行編輯，變成可捲動的快速設定頁；系統元件從現有「設定」>「應用程式」>「已安裝應用程式」頁，移到「設定」>「系統」下的「系統元件」頁，而這也反映在Windows開始選單中由「所有應用程式」移到「系統」標籤；Windows Subsystem for Linux（WSL）強化網路管理功能等。此外也有些功能更新。</p> </div></div></div>
2023/10/10 14:17作者林妍溱https://www.ithome.com.tw/news/159200
使用開源簡中語料微調LLM模型引起熱議，中研院宣布已下架繁中優化的大型語言模型CKIP-Llama-2-7b
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中研院在上周五<a href="https://www.ithome.com.tw/news/159166">開源釋出</a>了用Meta的Llama 2所開發的繁中優化的大型語言模型CKIP-Llama-2-7b，並將其放上GitHub等平臺，提供學術和商用，不過，最初在訓練階段使用簡中的開源資料集，導致多任務微調的繁中模型，在回答提問時可能出現簡中習慣的用語或詞彙，引起社群廣泛討論和關注。在模型釋出第4天，中研院在今日傍晚（10/9）發布<a href="https://www.sinica.edu.tw/News_Content/70/1850">新聞稿</a>，宣布已將該模型下架。</p> <p>中研院此次使用開源商用LLM模型Llama 2所開發的CKIP-LlaMa-2-7b模型，是一項來自中研院內部的計畫，該計畫的目的是要透過繁中優化的大型語言模型，協助研究人員自動化分析和建構中國明清朝代人物的生平圖譜，包括歷史人物、事件、時間、地點等事理圖譜。完成模型後，中研院不僅將其用於內部用途，還將該模型開源，提供給公眾進行試用。</p> <p>為了訓練可以自動化明清人物分析的LLM模型，需要大量文言文的語料。因此，CKIP Lab團隊在構建訓練資料時，也納入了中國的簡中語料，以便進行文言文和白話文的相互翻譯，以及詩詞等方面閱讀理解。這也解釋了為什麼中研院沒有使用自己多年累積的中文繁體語料。</p> <p>CKIP-LlaMa-2-7b模型最初用於明清人物的生平自動化分析使用，中研院強調，因為與「台版ChatGPT」功能有所不同，許多提問測試並不在其原始研究範疇之內。同時，中研院指出，該模型與國科會正在開發的國產可信任AI對話引擎（TAIDE）無關。</p> <p>中研院補充說明，這是一項個人小型研究，總經費約30萬元，其中主要用於運算成本。為了訓練CKIP-LlaMa-2-7b模型，中研院租用了4個Nvidia A100雲端運算服務，共花費了10多天進行模型訓練。</p> <p>然而，在該模型微調的過程中，因大量使用含有簡中內容的COIG-PC和dolly開源資料集，導致模型釋出後，許多人實際測試發現，中研院的繁中大型語言模型在回答提問時可能含有簡中習慣的用語或詞彙出現，而引起熱議。負責該計畫的研究人員表示，生成式AI容易產生所謂的「幻覺」（hallucination），使模型生成的內與預期不符，這是未來要積極改善的領域，並表示未來研究及成果釋出，會更加謹慎。</p> <p>為了防止類似問題再次發生，中研院強調將建立審核機制，未來，研究人員必須經過審核才能對外公開釋出其相關研究成果。儘管中研院已下架該模型，但對於修正後是否重新上架則沒有多做說明。</p> </div></div></div>
2023/10/9 22:19作者余至浩https://www.ithome.com.tw/news/159198
BBC拒絕生成式AI業者擷取網路內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應生成式AI對新聞媒體帶來的好處和衝擊，<a href="https://www.bbc.co.uk/mediacentre/articles/2023/generative-ai-at-the-bbc/" target="_blank">英國新聞龍頭BBC頒布政策</a>，將拒絕生成式AI業者利用爬蟲技術擷取其網路內容訓練其模型，以採行「更可行、結構化」的合作方法，也將開始研究以AI協助產出新聞內容。</p> <p>BBC主席Rhodri Talfan Davies指出，生成式AI（Gen AI）可生成文字、圖片、語音、音樂和影片回應用戶的提示詞，該公司相信Gen AI提供很好的機會，讓BBC深化其影響力，為觀眾和社會提供更大價值，也能在生產力工作流程及後臺等方面提升工作效率和能力。但是Gen AI也帶來倫理問題、法律與版權挑戰，以及假資訊、偏見的重大風險。</p> <p>BBC相信以負責任方式使用AI可降低AI的風險，於是公布三大Gen AI原則，同時啟動AI實驗。第一是BBC欲探索使用Gen AI的方法，也關注Gen AI降低其對媒體信任、版權保護和內容發現引發的風險，將與科技業者、媒體夥伴及主管機關合作確保Gen AI的安全和透明度。第二，BBC不認為AI可以複製或取代人類生成創意，將以記者、作者和廣播人員產出的真實內容為最優先，但協助他們探索運用Gen AI產出內容，BBC在使用Gen AI時也將考量藝術家及持有者權利。第三，BBC會公開坦承使用Gen AI生成的內容和服務，此類內容出版前都會由人類審查，若有AI研究的內容也絕對不會原封不動用上。</p> <p>BBC說，作為測試評估，未來幾個月內將展開多項運用AI產出內容的專案，包括運用Gen AI生成新聞、進行研究、尋找資訊、歸檔，以及開發個人化服務。同時為避免侵害付費用戶權益，BBC禁止AI業者未經同意擷取BBC網頁內容訓練AI模型；他們希望簽定更明確的合作方式，因此目前BBC已封鎖OpenAI或Common Crawl等業者的網頁爬蟲存取BBC網站，</p> <p>BBC也正評估Gen AI對媒體產業的其他影響，例如搜尋引擎中加入Gen AI，是否會影響網站流量，以及使用Gen AI是否會助長不實資訊的問題。</p> <p>為了平息媒體或出版界對生成式AI擷取免費資訊為己用的不滿，<a href="https://www.ithome.com.tw/news/159042" target="_blank">Google上周公布Google-Extended工具</a>，出版商只要透過robots.txt即可允許或拒絕Bard及Vertex AI等AI服務使用出版業網站內容訓練其生成式AI模型。</p> </div></div></div>
2023/10/9 20:23作者林妍溱https://www.ithome.com.tw/news/159197
搭32臺E1.S固態硬碟，技嘉跨入高密度快閃儲存伺服器產品
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/ji_jia_s183-sh0_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年台北國際電腦展期間，技嘉科技展出多款伺服器，其中以搭配Nvidia HGX H100 8-GPU的機型，以及Nvidia GH200融合CPU與GPU的機型，最受到矚目，在此同時，我們注意到他們首度推出1U高密度儲存伺服器，機型名稱是S183-SH0，搭配2顆<a href="https://www.ithome.com.tw/tech/155638">英特爾第四代Xeon Scalable處理器</a>——可支援60核心與內建HBM記憶體的Xeon Max系列，而在記憶體與儲存方面，採用32支DDR5-4800規格的DRAM記憶體，前側面板可安裝32臺EDSFF E1.S外形的NVMe固態硬碟。</p> <p>若全部裝滿E1.S固態硬碟，S183-SH0可提供多大NVMe固態儲存空間？縱觀目前市面上的這類外形SSD，受限於侷促的空間配置（比2.5吋U.2或U.3更小），因此，單臺裝置的最大儲存容量為7.68 TB，像是Kioxia XD7P、<a href="https://www.ithome.com.tw/review/150002">Micron 7450</a>、<a href="https://www.ithome.com.tw/review/151856">Solidigm D7-P5520</a>，因此，理論上，整臺S183-SH00目前最大能搭配到245.76 TB的儲存空間。</p> <p><a href="https://s4.itho.me/sites/default/files/images/S183-SH0-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/S183-SH0-1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/S183-SH0_BlockDiagram-SSD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/S183-SH0_BlockDiagram-SSD.jpg" style="width: 600px;" /></a></p> <p>以目前來看，市面上雖然已存在可搭配E1.S固態硬碟的伺服器，但支援1U尺寸高密度配置的機型，搭配的處理器平臺大多都是幾年前推出的，例如我們先前介紹的<a href="https://www.ithome.com.tw/review/122205">Supermicro 1029P-NMR36L</a>、<a href="https://www.ithome.com.tw/review/131039">營邦 FB128-LX</a>，而在今年新問世的伺服器產品當中，也有一些可搭配E1.S固態硬碟的1U尺寸機型，但並不主打30臺SSD以上的高密度儲存配置，例如，Supermicro的SSG-121E-NES24R，可容納24臺E1.S固態硬碟；雲達<a href="https://www.ithome.com.tw/review/155209">的QuantaGrid D54X-1U</a>與QuantaGrid S44NL-1U，可安裝16臺E1.S固態硬碟。</p> <p>對照技嘉既有的儲存伺服器產品線S系列，多為2U或4U尺寸機型，能提供相當大的單位儲存容量。以2U尺寸伺服器而言，一般都會搭配12臺3.5吋硬碟或是24臺2.5吋硬碟，而技嘉的S251-3O0、S252-ZC0可容納26臺硬碟，包含24臺3.5吋硬碟，加上2臺2.5吋硬碟，而搭配的處理器，分別採用英特爾第二代Xeon Scalable系列，以及AMD第二代或第三代EPYC系列；另一款R262-ZA0則是42臺硬碟，包含40臺2.5吋硬碟，加上2臺2.5吋NVMe固態硬碟，搭配的處理器是AMD第三代EPYC 7003系列。</p> <p>就4U尺寸伺服器而言，一般都會搭配36臺3.5吋硬碟或是48臺2.5吋硬碟，技嘉的S452-Z30可容納42臺硬碟，包含36臺3.5吋硬碟、4臺2.5吋硬碟與固態硬碟，以及2臺2.5吋硬碟，另一款S472-Z30可容納50臺硬碟，包含24臺3.5吋硬碟、4臺2.5吋硬碟與固態硬碟、8臺2.5吋NVMe固態硬碟、12臺2.5吋硬碟，以及位於機箱背部的2臺2.5吋硬碟。在處理器與記憶體的搭配上，這兩款機型均採用AMD第三代EPYC 7003系列，可搭配16支DDR4-3200記憶體。</p> <p>他們今年推出的4U儲存伺服器S453-S70與S453-Z30，分別搭配的處理器是英特爾第四代Xeon Scalable系列，以及AMD第四代EPYC 9004系列，在儲存裝置的組態上，均可容納38臺硬碟，包含24臺3.5吋硬碟，以及機箱背部的12臺3.5吋硬碟、2臺2.5吋硬碟。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Gigabyte 2023-Storage Server-Intel and AMD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Gigabyte%202023-Storage%20Server-Intel%20and%20AMD.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>技嘉S183-SH0</strong><br /> ●原廠：技嘉科技<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：1U（438x 43.5 x 730公釐）<br /> ●處理器：2顆，Intel第四代Xeon Scalable系列（TDP最高350瓦）<br /> ●記憶體：32個DDR5插槽<br /> ●儲存配置：32臺E1.S外形NVMe固態硬碟<br /> ●I/O介面：PCIe 5.0 x16（3個全高半長）<br /> ●電源供應器：2臺1600瓦（1+1備援）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/10/9 19:48作者李宗翰https://www.ithome.com.tw/review/159055
Windows 12規畫訂閱版？證明是虛驚一場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周一個流傳的Windows早期測試版顯示微軟正在規畫一個訂閱版本的Windows，一度引發猜測可能是微軟為Windows 12加入的新設計，後來有其他資訊顯示，的確有新的授權式Windows，但不是Windows 12。</p> <p>上周《<a href="https://www.neowin.net/news/microsoft-might-want-to-be-making-windows-12-a-subscription-os-suggests-leak/" target="_blank">Neowin</a>》引述德國媒體<a href="https://www.deskmodder.de/blog/2023/10/04/windows-11-12-auch-als-abo-version-fuer-normale-nutzer/" target="_blank">Deskmodder</a>做出Windows 12可能將改成訂閱版的報導。德國媒體拿到一個Canary測試版本的Windows版，在其INI配置檔顯示一段文字是最新一版Windows 11 23H2預覽版所沒有的，當中包含多個Subscription字眼。媒體於是預測可能是代號Next Valley的Windows 12未來的提供方式。</p> <p>一旦Windows 12轉為訂閱版，代表用戶必須支付月費或年費才能取得最新功能或安全更新。</p> <p>不過專精Windows的《Windows Central》周末報導並非如此。<a href="https://twitter.com/XenoPanther/status/1710027423981388161/photo/1" target="_blank">報導引述了一名使用者發現的訂閱版的早期測試版</a>，是來自名為Windows 11的IoT Enterprise Subscription，並非Windows 12。Windows 11 IoT Enterprise Subscription應是自Windows IoT Enterprise衍生而來的新版本。後者是用於小型工業閘道器、PoS終端和自動提款機等設備的Windows版。</p> <p>其實微軟的Windows 365已是訂閱版Windows，允許用戶端連上雲端使用代管在Azure資料中心的作業系統Cloud PC。而且Windows 11也逐步增加整合Windows 365的功能，<a href="https://www.ithome.com.tw/news/158994" target="_blank">包括可讓用戶在桌機和雲端切換的Windows 365 Switch</a>，以及22H2新增Windows 365 Boot，讓一些作業型態，如客服人員一開機就能登入Windows 365 Cloud PC作為主要作業系統。</p> </div></div></div>
2023/10/9 15:21作者林妍溱https://www.ithome.com.tw/news/159194
美國公布十大攸關資安的錯誤配置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國安局（National Security Agency，NSA）與國土安全部（DHS）旗下的網路安全暨基礎設施安全局（CISA）上周<a href="https://www.cisa.gov/news-events/news/joint-advisory-top-cyber-misconfigurations-highlights-urgency-software-manufacturers-incorporate" target="_blank">聯手公布了十大最常見的配置錯誤</a>，這些錯誤的配置某種程度讓駭客更易展開攻擊，因而同時提出七項最佳安全作法以供軟體業者參考。</p> <p>這十大配置錯誤的評估是來自於NSA與CISA的紅隊與藍隊測試，以及這兩個組織的狩獵與事件回應活動，彰顯出許多大型組織的系統漏洞，以及軟體業者在設計階段就應植入安全考量的重要性。</p> <p><a href="https://media.defense.gov/2023/Oct/05/2003314578/-1/-1/0/JOINT_CSA_TOP_TEN_MISCONFIGURATIONS_TLP-CLEAR.PDF" target="_blank">它們分別是軟體與應用程式的預設配置、使用者與管理員權限的分離不當、內部網路監控不足、缺乏網路分段、修補程式管理不善、繞過系統存取控制、多因素身分驗證薄弱或設定錯誤、網路共享與服務的存取控制名單不足、憑證衛生不佳，以及不受限的程式碼執行等。</a></p> <p>其中，預設配置的問題出現在裝置或軟體的預設憑證，以及某些服務的存取控制過於寬鬆。而使用者與管理員權限的分離不當則是最常看到特定帳號擁有過多的權限，服務權限的擴張，或是非必要擴張的帳號權限。在內部網路的監控上，有些組織並未針對主機與流量偵測的配置進行最佳化，造成它們無法立即發現異常活動。</p> <p>缺乏網路分段不僅允許駭客藉由破壞網路資源以於不同的系統上橫向移動，也會讓組織更容易受到勒索軟體攻擊或其它Post Exploitation深度攻擊的影響。儘管業者總是會督促用戶修補安全漏洞，但缺乏定期修補政策或使用已被棄置的產品經常成為駭客入侵的缺口。此外，駭客可透過破壞環境中的備用系統，來繞過系統的存取控制，例如蒐集雜湊值以非標準方式進行身分驗證，或是模仿沒有文明密碼的帳號以擴張存取權限。</p> <p>另有些網路已要求使用者透過智慧卡或權杖登入，卻未取消密碼登入，而這些經久不曾改變也未被移除的密碼則成為駭客的入侵管道；或是有些多因素身分驗證也會遭受網釣攻擊。網路共享與服務存取控制名單的不當配置，則會允許未經授權的使用者於共享磁碟中存取機密資料。不佳的憑證衛生涵蓋了可輕易破解的密碼，以及存放了明文密碼。不當允許主機執行未經授權的程式則是賦予了駭客極高的攻擊能力。</p> <p>NSA與CISA針對上述最常見的每一個配置問題提出了詳細的建議，例如在部署前應先行變更應用程式與裝置的預設配置，例如密碼與權限；部署Authentication, Authorization, and Accounting（AAA）框架來監控帳號行動，限制特權帳號執行一般任務，採用限時的特權帳號；建立應用與服務的活動基準線；部署可深度過濾的新一代防火牆；定期修補安全漏洞或採用自動更新，不再使用過時的軟體或韌體；限制不同系統間的重覆憑證；最好採用基於現代開放標準的雲端身分驗證；針對所有儲存裝置部署安全配置，實施最少權限原則；不讓系統執行不明來源的應用程式，建立程式執行的白名單。</p> <p>此外，NSA及CISA亦督促軟體業者應該採取最佳作法來避免用戶陷入安全危機，包括從軟體設計到整個開發周期的產品架構都應嵌入安全控制；廢除預設密碼；在設計產品時不讓單一的安全控制的失靈影響整個系統；免費提供高品質的稽核日誌予客戶；採取行動來消除整個類別的安全漏洞，如使用者記憶體安全程式語言；於稽核紀錄中提供充份的細節以更利於偵測系統上的可疑行動；強制要求特權用戶執行多因素身分驗證，或是讓多因素身分驗證成為所有使用者的登入預設值。</p> <p>Orange Cyberdefense曾引用VERIS資安意外統計框架，指出全球所發生的資安事件中，大約有35%是源自系統的錯誤配置，顯示出若認真改善配置問題，全球組織將可減少1/3的資安意外。</p> </div></div></div>
2023/10/9 16:08作者陳曉莉https://www.ithome.com.tw/news/159195
Docker Scout新工具最佳化容器應用程式開發流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Docker在其使用者大會中DockerCon，<a href="https://www.docker.com/press-release/announces-new-local-cloud-products-to-accelerate-delivery-of-secure-apps/">發布</a>了多項可協助開發容器應用程式的工具，像是用於評估容器映像檔的<a href="https://www.docker.com/blog/announcing-docker-scout-ga/">Docker Scout</a>、遠端建置工具Docker Build，還有更完整的除錯工具Docker Debug，讓開發團隊在內循環，包括編寫程式碼、建置、測試和除錯流程更加順暢。</p> <p>官方宣布了Docker Scout正式推出，讓開發者可以在軟體供應鏈中使用更少的工具，簡化開發流程，同時降低人員在上下文切換中帶來的成本。由於現代軟體供應鏈的複雜性，使得開發者工作負擔增加，在不同上下文中切換，不僅耗時也容易出錯。</p> <p>Docker Scout是能夠增強安全性和效率的工具，提供多種功能，協助開發者在整個開發流程，從建置到部署，都能良好地進行監控和管理。Docker Scout透過與Sysdig、JFrog Artifactory、AWS ECR、GitHub、GitLab、CircleCI和Jenkins等多種工具整合，提供開發者有關保護和管理供應鏈的即時建議和分析結果，還允許開發者根據現成的政策，持續評估容器映像檔，確保這些映像檔符合軟體供應鏈最佳實踐。</p> <p>Docker Scout除了根據監控結果和政策評估提供建議，助開發者最佳化和保護應用程式之外，官方還強調，該工具的監控範疇不僅限於生產環境中執行的容器映像檔，而廣泛地涵蓋整個軟體供應鏈。此外，Docker Scout也推出一套建議的工作流程，特別適合以Docker信賴內容為基礎建置Docker容器映像檔的開發者。</p> <p>Docker Scout包含了一個稱為政策評估的早期功能，不僅能夠提供傳統允許或是拒絕的二元結果，官方提到，舊的評估策略過於簡化，無法處理細微的情境，導致政策實施不一定適用日常的實際情況。Docker Scout能夠指出細微偏差，並且主動建議升級和修復方法，引導開發者符合政策指引。</p> <p>Docker Scout還內建開箱即用的政策，可用於維護基礎映像檔、追蹤漏洞，以及監控相關授權。透過評估結果，使用者可以看到每個映像檔的政策狀態，也可以從政策結果總覽，了解需要關注的重點。</p> <p>Docker也發布新一代建置工具Docker Build，減少開發團隊建置映像檔所花費的時間。新的Docker Build工具會使用大型按需雲端伺服器，以及全團隊範圍的建置快取，提高建置速度達39倍。另外，這次官方還釋出了獨立除錯工具Docker Debug，過去Docker雖然也有提供相關的除錯配置和指令，但僅能執行基本的容器除錯，而新的Docker Debug包含了開發者需要的各項除錯工具，可用於本地和遠端容器化應用程式除錯，協助開發人員更快地發現問題。</p> </div></div></div>
2023/10/9 14:30作者李建興https://www.ithome.com.tw/news/159165
微軟推出Playwright Test服務，加速大規模網頁應用程式端到端測試
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟推出一個稱為<a href="https://azure.microsoft.com/en-us/blog/announcing-microsoft-playwright-testing-scalable-end-to-end-testing-for-modern-web-apps/">Playwright Test</a>的測試服務，該服務可供開發者簡單地大規模執行Playwright測試框架，對現代網頁應用程式執行端到端測試，以驗證應用程式的可靠性，確保在不同情境下都能正常運作，而且全託管服務讓開發者只需要專注於應用程式測試，而無需擔心測試基礎設施的維護。</p> <p>Playwright是一個開源框架，能夠自動化端到端測試網頁應用程式。Playwright的主要功能包括支援多瀏覽器，以測試應用程式在Chromium、Firefox和WebKit等瀏覽器的行為，同時也可用於模擬多種行動裝置，在不同裝置和視窗大小下執行測試。另外，Playwright還可執行網路攔截和模擬，測試應用程式在不同網路條件下的行為。在測試過程中，Playwright會截圖和拍攝影片，方便開發者除錯。</p> <p>而微軟推出Playwright Testing這個完全由雲端管理的服務，使得大規模執行Playwright測試更加容易，其提供高度平行化的測試能力，允許應用程式一次在多種作業系統和瀏覽器組合上，執行大量Playwright測試，在不犧牲測試品質的情況下，更快速地完成測試並加速功能交付的腳步。</p> <p>對於原本就使用Playwright框架測試應用程式的開發者，轉移使用微軟的Playwright Test服務，不需要更改現有測試程式碼，只需要經過幾個配置步驟，將測試套件連接到服務，便可以無縫轉移。微軟的Playwright Test服務支援多個Playwright版本，並會隨著新的版本推出而更新，讓開發者的應用程式，可以在最新的瀏覽器版本和技術上測試，以確保應用程式維持現代化和安全性。</p> </div></div></div>
2023/10/9 14:34作者李建興https://www.ithome.com.tw/news/159175
90億參數的生成式AI模型GAIA-1，輔助自動駕駛模型「看見未來」
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國AI新創公司Wayve揭露了<a href="https://wayve.ai/thinking/scaling-gaia-1/">GAIA-1</a>生成式模型的最新進展，在今年6月的時候，Wayve建立了將生成式模型用於自動駕駛的慨念性驗證，而在這幾個月，Wayve持續擴展GAIA-1，使其擁有90億個參數，能夠生成逼真的駕駛場景影片，呈現自動駕駛在各種情境的反應，並且更好的預測未來事件。</p> <p>GAIA-1是一個可以利用不同類型輸入資料，包括影片、文字和動作，創建逼真駕駛場景影片的世界模型（World Model）。GAIA-1可學習環境以及未來動態表示，向自動駕駛模型提供一個結構化的環境理解，協助駕駛模型做出明智的決策。</p> <p>官方提到，預測未來事件是自動駕駛系統一個基本且關鍵的能力，對未來的準確預測，可以讓自動駕駛車輛預先知道即將發生的事件，並且規畫其相對應的動作，增加上路時的安全性和效率。因此將世界模型整合到駕駛模型中，有助於自動駕駛系統更好地理解人類決策，並具備應對真實世界各種情境的能力。</p> <p>GAIA-1可對自動駕駛車輛的行為和場景特徵進行細緻的控制，且由於GAIA-1多模態的性質，能夠從多種提示模式和組合中生成影片。首先，GAIA-1會先運用專門的編碼器，將影片或文字等各種形式的輸入，編碼成一個共享的表示形式，進而在模型中實現統一的時序對齊和上下文理解，這種編碼方法，讓模型能夠更好地整合和理解不同類型的輸入。</p> <p>而GAIA-1的核心也就是世界模型，是一個自迴歸Transformer，能夠預測序列中下一組圖像token，世界模型不只考慮過去的圖像token，還參照文字和動作token的上下文資訊，運用這個方法所生成的圖像token，不僅會在視覺上連貫，而且也和預期的文字和動作指引保持一致。</p> <p>接著，影片解碼器這個階段被啟動，主要功能是將這些圖像token轉換回像素空間，影片解碼器作為一個影片擴散模型，其強大之處在於可保證生成的影片，具語義意義、視覺準確且時間序一致性。GAIA-1的世界模型經過64個Nvidia A100 GPU上長達15天的訓練，包含了高達65億個參數，而影片解碼器則在32個Nvidia A100 GPU上訓練15天，總共擁有26億個參數。</p> <p>經過數個月的發展，GAIA-1從原本的10億參數，成長到超過90億參數的模型，整個訓練資料集涵蓋2019年到2023年間，在英國倫敦所收集的4,700小時專用駕駛資料。參數規模的擴展，使得GAIA-1能力大幅提升，無論是影片生成、事件預測能力都更好，也更能理解基於文本和動作的控制。</p> <p>GAIA-1的主要價值，便是在自動駕駛中引入生成式世界模型的概念，透過整合影片、文本和動作輸入，展示多模態學習在創建多樣化駕駛情境的潛力，而且透過整合世界模型與駕駛模型，使駕駛模型能夠更好地理解自己的決策，並且泛化至真實世界的情境中，進而提升自駕車系統的能力。</p> </div></div></div>
2023/10/9 14:40作者李建興https://www.ithome.com.tw/news/159183
FBI未能完全終止Qakbot惡意攻擊，攻擊者仍在散播勒索軟體和後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科（Cisco）旗下的威脅情報團隊Talos<a href="https://blog.talosintelligence.com/qakbot-affiliated-actors-distribute-ransom/">指出</a>，儘管FBI在今年稍早的時候，<a href="https://www.ithome.com.tw/news/158499">成功瓦解</a>了由70萬臺受駭電腦所構成的Qakbot殭屍網路，但是這項行動並沒有完全消滅Qakbot惡意攻擊者。資安研究人員近期發現Qakbot攻擊者的新活動，透過釣魚郵件的手法散播Ransom Knight勒索軟體和Remcos後門程式。</p> <p>由於FBI在8月的行動，查封Qakbot惡意軟體所使用的基礎設施和加密貨幣資產，對該組織造成重大衝擊，但這顯然不代表Qakbot以及其附屬組織會就此消失，Talos最近就發現Qakbot仍在秘密活動。</p> <p>值得注意的是，這項活動似乎在FBI查封Qakbot基礎設施之前就已經開始，並從那個時候一直持續到現在，而這也就表示，FBI之前的行動，並未影響Qakbot惡意攻擊者的垃圾郵件發送基礎設施，而只是拆除其指揮和控制（C2）伺服器。</p> <p>Talos研究人員分析所發現的LNK檔案後設資料，以及先前Qakbot活動所使用的機器，將這個新發現的惡意攻擊活動與Qakbot的附屬組織相連結。這些攻擊者在基礎設施被拆除之前，就已經開始發送Ransom Knight勒索軟體和Remcos後門程式。研究人員不認為Qakbot攻擊者是勒索軟體即服務（Ransomware-As-A-Service）的幕後黑手，而僅是客戶的身份而已。</p> <p>從8月以來，這項新發現的活動一直在進行，雖然攻擊者未再發送Qakbot，但是研究人員認為，由於幕後黑手仍然存在，並有能力重建Qakbot基礎設施。因此在未完全消除相關威脅之前，攻擊者仍有能力透過其他方式進行攻擊。</p> </div></div></div>
2023/10/9 14:42作者李建興https://www.ithome.com.tw/news/159182
傳微軟下月公布自有AI晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theinformation.com/articles/microsoft-to-debut-ai-chip-next-month-that-could-cut-nvidia-gpu-costs" target="_blank">《The Information》報導</a>，微軟即將於下個月揭露自行研發的AI晶片，可協助減少對Nvidia GPU的依賴。</p> <p>報導引述消息人士指出，微軟將在11月14-17日的Ignite開發者大會上宣布自行研發的AI晶片。<a href="https://techcommunity.microsoft.com/t5/partner-news/register-today-for-microsoft-ignite-nov-14-17-2023/ba-p/3932251" target="_blank">根據Ignite 2023的公開議程</a>，今年大會的重點之一是將AI融合進環境中。</p> <p>隨著去年OpenAI發表生成式AI模型及聊天機器人服務ChatGPT引發全球AI熱潮，帶動主要供應商Nvidia GPU的高度需求，也連帶驅動Nvidia GPU價格水漲船高。自行研發AI晶片將有助於節省向Nvidia採購GPU的成本，紓解歷時3年的晶片短缺，更重要的是減少對Nvidia的依賴，並提供更適合的AI執行能力。微軟Azure AI服務，以及Bing Chat、Bing Creator和CoPilot等都執行在Nvidia H100 GPU系列之上。</p> <p><a href="https://www.ithome.com.tw/news/156484" target="_blank">不過《The Information》今年稍早報導</a>，微軟其實2019年就啟動Athena專案，開發比市售晶片更強大的軟、硬整合晶片，以支援AI模型及執行。迄今已有300人投入Athena專案開發。同年微軟也投資AI新創業者OpenAI。</p> <p>上周報導中並未說明GPU的細節，不過早前報導指稱，Athena專案規畫數代設計，第一代可能以台積電5奈米製程生產。已有部分微軟和OpenAI員工已經拿到Athena的工程樣品。</p> <p>事實上，為提升產品自主性，不僅微軟想自行研發AI晶片，Google和Amazon也早已分別推出AI晶片TPU及Trainium、Inferentia系列。另一方面，業界的AI熱也使Nivida賺進大把鈔票，上季營收較前一年成長100%，成為市值突破一兆美元的成員。</p> </div></div></div>
2023/10/9 14:48作者林妍溱https://www.ithome.com.tw/news/159193
【資安週報】2023年10月2日到10月6日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從2023年的零時差漏洞利用情況來看，上半年呈現數量攀升的趨勢，近期我們注意到最近這樣的威脅態勢更是顯著。在中秋連假後這一週，出現多個漏洞遭成功利用的重要消息：</p> <p>　（一）商業間諜軟體開發商發動的零時差漏洞攻擊不斷，影像編解碼程式庫libvpx的漏洞CVE-2023-5217已遭鎖定利用，除了Google修補，後續蘋果與微軟也相繼針對其產品修補這項漏洞。</p> <p>　（二）修補手機端的零時差漏洞同樣消息不斷，包括Arm Mali GPU Kernel Driver的漏洞CVE-2023-4211，以及蘋果iOS與iPadOS的漏洞CVE-2023-42824，均有攻擊者發現漏洞加以利用的狀況。</p> <p>　（三）思科修補網路設備作業系統IOS、IOS XE的零時差漏洞CVE-2023-20109，已遭攻擊者利用，該漏洞存在於群組加密傳輸VPN（GET VPN）功能。</p> <p>　（四）Atlassian旗下的Confluence Data Center版與Server版，傳出身分驗證與Session管理毀損零時差漏洞CVE-2023-22515，同樣已發現遭利用的情形。</p> <p>　（五）新修補的漏洞快速遭鎖定。先前我們提到JetBrains在9月下旬修補CI/CD軟體平臺TeamCity重大漏洞CVE-2023-42793，以及本期周報提到Progress在9月底修補FTP伺服器軟體WS_FTP Server重大漏洞CVE-2023-40044，這些弱點修補公布至今不到半個月，均遭攻擊者鎖定利用。</p> <p>　（六）4月微軟揭露Windows CNG金鑰隔離服務權限提升漏洞CVE-2023-28229，並公告修補消息，最近亦發現遭利用的證據。</p> <p>在其他漏洞威脅消息上，還有多個同樣需要留意的焦點，例如：資料整合及自動化工具Apache NiFi，今年6月修補的漏洞CVE-2023-34468，近日出現攻擊該漏洞的利用工具；郵件傳送代理程式EXIM存在重大漏洞CVE-2023-42115，去年6月雖然已通報開發團隊，至今卻尚未修補，近期已揭露成為零時差漏洞，目前尚未出現遭濫用的情形。</p> <p>在威脅事件焦點方面，有三大焦點最受關注：</p> <p>　●有資安業者揭露中國駭客寄送釣魚郵件，假借提供聲稱是台積電的簡介PDF檔，意圖濫用Cobalt Strike對半導體產業從是間諜行動。<br /> 　●大樓自動化管理業者Johnson Controls遭勒索軟體攻擊，該公司已在9月底向美國SEC提交8-K表單說明遭遇網路攻擊。<br /> 　●關於日前傳出有駭客組織入侵Sony，在多日調查後，Sony向美國政府通報資料外洩事故，並指出該外洩事件起因是在6月初遭遇MOVEit Transfer零時差漏洞攻擊。</p> <p>其他重要惡意威脅態勢上，有兩起與政府相關，有兩起與行動裝置攻擊相關，分別是：東南亞政府機關近年遭中國駭客組織Mustang Panda、Alloy Taurus、Gelsemium鎖定的揭露，南美洲國家蓋亞那政府機關遭惡意程式DinodasRAT攻擊的揭露，以及逾50家越南銀行用戶遭安卓金融木馬GoldDigger的消息，以及中國駭客APT41開始對Android行動裝置下手，所利用的惡意軟體包括DragonEgg、WyrmSpy，並可竊取受害者地理位置資訊。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/159063"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月2日】搜尋引擎提供的AI聊天機器人也成為散布惡意程式的管道！有人投放廣告對Bing Chat用戶散布惡意軟體</span></strong></a></h3> <p>利用<a href="https://www.ithome.com.tw/news/144028">惡意廣告（Malvertising）</a>對搜尋引擎用戶發動攻擊，相當氾濫，但隨著廠商在AI聊天機器人置入廣告，使得惡意廣告也能影響使用AI聊天機器人的用戶，對其造成危害。</p> <p>資安業者Malwarebytes揭露針對Bing Chat用戶的攻擊行動，就是一個典型的例子，一旦用戶詢問如何下載特定的軟體，機器人就會在搜尋結果將駭客的廣告擺在第一順位，使得用戶很有可能依照機器人提供的答案下載應用程式，而導致電腦被植入惡意軟體。</p> <h3><a href="https://www.ithome.com.tw/news/159112"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月3日】Cloudflare預設信任該公司網域的流量恐讓攻擊者有機可趁，關閉用戶設置的防護措施</span></strong></a></h3> <p>基於便利等因素，我們可能會認為內部網域的流量能夠完全信任，而不需加以管理，但這麼做很可能讓攻擊者有機可趁！資安業者Certitude近期揭露Cloudflare漏洞，就是這種型態的例子。</p> <p>研究人員發現，攻擊者可藉由自己的Cloudflare帳號，藉由該公司設置內部網域的信任機制，對其他用戶造成危害，由於Cloudflare並未將此視為漏洞，亦不打算修補，使得研究人員呼籲用戶要採取緩解措施。</p> <h3><a href="https://www.ithome.com.tw/news/159124"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月4日】求職網站Indeed被駭客用於網路釣魚攻擊，鎖定高階主管竊取Microsoft 365帳號</span></strong></a></h3> <p>攻擊者利用求職、接案平臺進行網路釣魚攻擊的情況，可說是相當氾濫，其中，最常遭到濫用的是職場社群網站LinkedIn。但現在，有人提供網釣工具包EvilProxy，鎖定美國大型求職網站Indeed使用者，利用該網站未對網址進行管制的弱點來發動攻擊。</p> <p>透過該工具包利用網站弱點的情況，並非首例，今年3月至6月，駭客利用影音網站YouTube、購物比價網站Slickdeals的弱點，經過一連串的重新導向，才將受害者帶往釣魚網頁，目的是為了繞過各種資安系統與服務的偵測，行跡相當狡猾。</p> <h3><a href="https://www.ithome.com.tw/news/159144"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月5日】亞太地區安卓手機遭中國駭客APT41鎖定，進行精確的定位追蹤、盜取網路電話通話內容及行動支付資料</span></strong></a></h3> <p>中國駭客APT41造成的資安事故頻傳，執行Windows作業系統的電腦是最主要受害的系統平臺，但這樣的情況自今年下半開始出現變化，有資安業者發現，這些駭客開發惡意軟體並對安卓用戶下手，最近有新的調查結果突顯這個趨勢</p> <p>例如，本週有資安業者ThreatFabric，揭露這群駭客對安卓手機發動的間諜軟體攻擊，而且，當中使用的惡意軟體，具有相當罕見的功能，引發關注——不只能搜括手機上的使用者資料，還能讓駭客得知受害者精準的地理位置。</p> <h3><a href="https://www.ithome.com.tw/news/159172"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月6日】中國駭客鎖定臺灣、香港、新加坡半導體產業而來，假借台積電的名義進行網路間諜攻擊行動</span></strong></a></h3> <p>中國駭客的網路間諜行動頻傳，繼我們昨天報導駭客組織APT41針對安卓手機用戶下手，散布惡意程式的情況，今天又有數起攻擊行動與中國駭客有關。其中，最引人關注的事故，就屬冒用臺灣護國神山台積電名義的網路釣魚攻擊。</p> <p>這起攻擊行動的特別之處在於，駭客運用兩家資安廠商軟體的可執行檔來發動DLL側載攻擊，並利用中國億賽通Cobra DocGuard加解密伺服器來代管惡意程式，而利用此加解密系統的攻擊並非首例，<a href="https://www.ithome.com.tw/news/158411#carderbee">今年4月，駭客組織Carderbee利用這種伺服器散布惡意程式PlugX</a>。</p> </div></div></div>
2023/10/9 11:18作者羅正漢https://www.ithome.com.tw/news/159191
吸引企業多用Azure Arc，微軟兩大伺服器平臺舊版續命出新招
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/esu-main-aurnovcy_0-1695055234251.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於企業應用系統而言，伺服器作業系統與資料庫管理系統是支撐其運作的重要平臺，然而，廠商提供的產品生命週期與技術支援服務終有盡頭，在時間結束之前，用戶須設法進行升級或遷移，以避免既有系統平臺暴露在各種可能的風險，不過，很多公司可能無法在期限內完成這些作業，而必須繼續使用這些軟體產品，因此有些廠商會提供額外的付費服務，讓用戶獲得安全性更新，有限度地延長軟體使用壽命。</p> <p>旗下擁有多種個人端與伺服器系統軟體的微軟，他們採用的作法，是提供延伸安全性更新（Extended Security Update，ESU），目前涵蓋的產品，有嵌入式裝置作業系統Windows Embedded Standard 7，伺服器作業系統Windows Server 2012與2012 R2，資料庫管理系統SQL Server 2012與2014等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/EOS-Microsoft1.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/EOS-Microsoft22.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/EOS-Microsoft22.jpg" style="width: 600px;" /></a></p> <p>企業若要針對上述Windows Server與SQL Server版本使用ESU，先前有兩種選擇。</p> <p>一種方式是搬遷到微軟Azure，可選用Azure系列公有雲或混合雲環境，例如，Azure Dedicated Host、Azure VMware Solution、<a href="https://learn.microsoft.com/en-us/azure/baremetal-infrastructure/workloads/nc2-on-azure/about-nc2-on-azure">Azure Nutanix Solution</a>，以及<a href="https://learn.microsoft.com/en-us/azure-stack/hci/manage/azure-benefits-esu">Azure Stack超融合平臺（Hub、Edge、HCI）</a>，均能免費獲得延伸安全性更新。</p> <p>事實上，此種產品「續命」模式早在2018年7月就已經提出，當時針對的產品是Windows Server 2008與2008 R2（2020年1月14日終止延伸支援），以及SQL Server 2008與2008 R2（2019年7月9日終止延伸支援）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/EOS-Microsoft3.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Microsoft%20Server%20ESU%20Period.jpg" style="width: 600px;" /></p> <p>另一種方式則是企業付費購買ESU，以便在內部網路與多雲環境，維持兩種平臺的安全性。</p> <p>在今年7月下半舉行的全球合作夥伴大會，微軟不只揭露旗下多種解決方案結合AI技術的最新進展，在雲端服務的部分，宣布推出Extended Security Updates enabled by Azure Arc（ESUs enabled by Azure Arc，以下我們簡稱為Azure Arc ESU），可加速推動伺服器平臺遷移與進化，預計9月正式推出這套解決方案。</p> <p>微軟表示，在Azure Arc這套多雲統一管理的框架之下，用戶可從Azure網站入口介面進行購買，即可開始著手部署延伸安全性更新的部署，且適用範圍相當廣泛，不局限在Azure公有雲，而能同時涵蓋企業內部環境，以及其他公有雲與私有雲環境，最長可使用3年。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Inspire%20ESU1.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Inspire%20ESU2.jpg" style="width: 600px;" /></p> <p>透過這樣的安全性更新，該公司認為，可提供一致的處理方式（集中管理資安漏洞的修補作業），協助守護與管理位於雲端環境與內部環境的Windows Server，以及SQL Server系統，並搭配彈性的使用模式（根據用量計價的服務訂閱），使企業能夠更有餘裕規畫IT基礎架構的現代化、遷移或升級。</p> <p>相較之下，若採用大量授權中心供應的延伸安全性更新，用戶是以每年漸進增加的方式購買服務。</p> <h3><span style="color:#0000FF;"><strong>使用便捷，提升伺服器的資產與成本管理，計費方式更彈性</strong></span></h3> <p>若決定採用Azure Arc ESU，企業這些即將終止延伸支援的微軟伺服器系統，需透過到Azure網站入口介面進行登記、啟動的程序，調整為支援Azure Arc的狀態（Azure Arc-enabled），不需要額外取得ESU專屬服務金鑰，再進行輸入與啟動。</p> <p>在相關的服務費用計算上，一旦完成相關設定，之後企業可依使用的月份、授權數量，以及伺服器CPU核心授權類型，按用量與訂閱期間支付費用，有利於集中管理這兩種伺服器的使用成本，以及存取這項服務的時間長短，微軟在此提供Azure Cost Management，以及Microsoft Azure Consumption Commitment（MACC），協助成本資訊的提取與分析。而在這樣的計費模式之下，企業可基於本身的意願需求進行遷移至Azure的工程，促使IT基礎架構能夠與時俱進。</p> <p>這些伺服器系統的管理，也能因為使用Azure Arc ESU，而能更便於進行集中管控。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-07-Enable - correction-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-Enable%20-%20correction-web.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>伺服器資產與成本可集中管理，訂閱模式比大量授權ESU年繳有彈性</strong></span></h3> <p>時至9月，微軟果然如先前預定時程，宣布推出Windows Server 2012 與2012 R2的Arure Arc ESU，對於啟動這項機制的方式，也提出更具體、詳細說明，解釋實際作法。</p> <p>他們表示，簡單來說，只需3個步驟：將伺服器登錄到Azure Arc、在Azure網站入口產生Windows Server 2012 Arc ESU授權，將這些授權連結到已啟用Azure Arc的伺服器（Azure Arc-enabled servers），之後即可繼續存取這些重大安全性更新。</p> <p>細部來看，第一步是設置Azure Arc-enabled servers，企業需要針對採用Windows Server 2012與Windows Server 2012 R2的實體或虛擬機器，部署Azure Arc Connected Machine代理程式，隨後使用Configuration Manager、PowerShell指令碼、群組原則等自動化工具，將這些伺服器登記到Azure Arc體系當中，可支援的網路環境相當豐富，包含公開網路、代理伺服器連線，以及內部私有連線。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-aurnovcy_1-1695055234256-web.jpg" style="width: 298px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/arc-enabled-servers-connected-agent-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/arc-enabled-servers-connected-agent-web.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/arc-enabled-servers-security-compliance-governance-Agent.jpg" style="width: 298px;" /></p> <p>第二步是產生相關的ESU授權，用戶可到Azure網站入口的Extended Security Update專區頁面，新增授權，過程中，需指定Windows版本為標準版或資料中心版，以及CPU核心授權的類型（實體或虛擬）與數量，授權計費期間會從2023年10月10日起算。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure Arc ESU create1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Arc%20ESU%20create1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Azure Arc ESU create2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Arc%20ESU%20create2.jpg" style="width: 298px;" /></a></p> <p>最後一步，則是將這些ESU授權與Azure Arc-enabled servers連結，用戶不需要每年重新登記或管理多重啟動金鑰（MAK）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure Arc ESU create3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Arc%20ESU%20create3.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2020-WS Server ESU-MAK.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-WS%20Server%20ESU-MAK.jpg" style="width: 298px;" /></a></p> <p>在此同時，在資安漏洞修補解決方案的搭配上，無論使用微軟或是第三方提供的產品，均可接收實際的Windows Server 2012延伸安全性更新修補，同時，也能使用Azure旗下的多種雲端原生資安服務，像是應用程式與工作負載保護系統Microsoft Defender for Cloud，以及安全事件與資訊管理系統Microsoft Sentinel，提供進一步的保障。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Arc-enabled%20servers-services.png" style="width: 600px;" /></p> <h3><span style="color:#0000FF;"><strong>SQL Server 2012先前已提供Azure Arc ESU</strong></span></h3> <p>關於屆滿延伸支援的資料庫管理系統SQL Server，例如2012年7月終止的SQL Server 2012，微軟提供的ESU延伸安全性更新，也有多種選擇，例如，設置在Azure虛擬機器，以及Azure Stack HCI、Azure Stack Hub的SQL Server 2012系統，均可免費獲得ESU且預設啟用ESU；連接到Azure Arc架構的SQL Server 2012系統，若企業在對應的產品授權採用軟體保證（Software Assurance，SA），可透過每月支付訂閱服務的方式取得ESU，最長可使用3年，直到2025年7月為止。</p> <p>若是未連接Azure Arc的SQL Server 2012系統，則是透過大量授權中心購買ESU，隨後手動到Azure網站入口，進行企業SQL Server執行個體的註冊程序，以便接收安全性更新。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SQL Server Azre Arc ESU1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SQL%20Server%20Azre%20Arc%20ESU1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/SQL Server Azre Arc ESU2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SQL%20Server%20Azre%20Arc%20ESU2.jpg" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>微軟Extended Security Updates enabled by Azure Arc</strong><br /> ●原廠：微軟<br /> ●建議售價：<br /> Windows Server 2012 雙核心，資料中心版每月1,758元，標準版每月305.14元；<br /> SQL Server 2012雙核心，資料中心版每月31,550元，標準版每月8,006元<br /> ●適用產品與使用授權：Windows Server（2008/2008 R2、2012/2012 R2），可選用虛擬核心授權（每臺虛擬機器需配置8個以上核心）或實體核心授權（每臺虛擬機器需配置16個以上核心）；SQL Server（2012），搭配虛擬核心授權（每臺虛擬機器需配置4個以上核心）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/10/8 18:03作者李宗翰https://www.ithome.com.tw/review/159048
駭客鎖定GitHub儲存庫，假借機器人程式Dependabot植入惡意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客鎖定開發者的GitHub儲存庫發動攻擊的情況，最近一年可說是越來越頻繁，但現在出現手段更為精細、更難察覺的攻擊手法。</p> <p>資安業者Checkmarx揭露<a href="https://checkmarx.com/blog/surprise-when-dependabot-contributes-malicious-code/">鎖定GitHub用戶而來的攻擊行動</a>，駭客自今年7月，疑似先取得使用者的存取Token，然後利用自動化指令碼建立主旨為fix的提交程式碼訊息，而這段內容，看似使用者帳號dependabot[bot]所為，而讓使用者以為程式碼是由GitHub自動化相依性工具Dependabot加入。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dependabot-52.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dependabot-52.png" style="width: 580px;" /></a></p> <p>Dependabot是GitHub推出的軟體專案相依性自動化管理工具，它會持續監控專案的程式庫及套件，檢查是否出現安全漏洞，或者是有需要更新的軟體元件。一旦此工具偵測到程式庫存在這類弱點，就會自動發出更新的需求，藉此維持軟體元件的安全。</p> <p>然而這些提交的內容會在專案植入惡意程式碼，解析機敏資料並傳送到攻擊者的C2伺服器，並竄改程式庫現有的JavaScript檔案，加入能夠從網頁表單竊取密碼的惡意程式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dependabot-50.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dependabot-50.png" style="width: 580px;" /></a></p> <p>研究人員指出，攻擊者從7月8日至11日入侵了數百個GitHub儲存庫，當中有公開，也有僅限私人存取的儲存庫，多數是印尼用戶擁有的。根據受害者提供的資訊，攻擊者很有可能先滲透開發環境，進而取得個人存取Token（PAT）而得逞。</p> <p>在這些受害的儲存庫當中，研究人員看到兩種型態的攻擊手法重覆出現，很有可能是透過自動化指令碼執行。其中一種是利用GitHub Action檔案hook.yml新增工作流程，進而觸發程式碼推送事件，將程式庫的機密資訊及環境變數傳至hxxps://send[.]wagateway.pro/webhook。</p> <p>另一種攻擊的手法，則是竄改專案裡所有附檔名JS的檔案，並且在檔案末端加入混淆處理的內容。駭客加入的程式碼，會在瀏覽器環境執行的過程產生新的指令碼標籤，並且從hxxps://send[.]wagateway.pro/client.js?cache=ignore載入額外的指令碼。該指令碼會截取所有瀏覽器裡存放的使用者帳密資料，然後傳送到hxxps://send[.]wagateway.pro/webhook。</p> </div></div></div>
2023/10/7 16:32作者周峻佑https://www.ithome.com.tw/news/159186
中國駭客假借台積電的名義對半導體產業散布Cobalt Strike
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>台積電是臺灣護國神山，帶動了半導體相關的供應鏈堀起，一舉一動也受到全球矚目，然而，最近有人打著該公司的名號，意圖滲透半導體相關產業的廠商。</p> <p><a href="https://blog.eclecticiq.com/chinese-state-sponsored-cyber-espionage-activity-targeting-semiconductor-industry-in-east-asia">資安業者EclecticIQ揭露針對臺灣、香港、新加坡半導體公司的攻擊行動</a>，駭客疑似透過釣魚郵件，寄送聲稱是台灣積體電路製造公司（台積電）的簡介PDF檔案，一旦收信人開啟該文件，電腦就會啟動名為HyperBro的惡意程式載入工具，該軟體透過資安業者CyberArk應用程式的執行檔vfhost.exe，進行DLL側載（DLL Side-loading），然後於記憶體內（In-memory）執行Cobalt Strike的Beacon元件。</p> <p><a href="https://s4.itho.me/sites/default/files/images/chinese cyberespionage east asia - image7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/chinese%20cyberespionage%20east%20asia%20-%20image7.png" style="width: 580px;" /></a></p> <p>研究人員針對該Beacon元件進行分析，他們發現駭客利用過往未被揭露的惡意程式下載工具進行滲透。基本上，這個工具透過Windows內建的PowerShell及BitsTransfer模組，從已被入侵的中國億賽通（EsafeNet）Cobra DocGuard加解密伺服器取得惡意程式，接下來，這個程式安裝啟動之後，會利用另一家資安業者McAfee簽章的可執行檔mcods.exe，運用DLL側載手法執行Cobalt Strike的Shell Code，而該Shell Code連線的C2伺服器IP位址，與HyperBro相同。</p> <p><a href="https://s4.itho.me/sites/default/files/images/chinese cyberespionage east asia - image1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/chinese%20cyberespionage%20east%20asia%20-%20image1.png" style="width: 580px;" /></a></p> <p>此外，上述的加解密伺服器也被植入以Go程式語言打造的後門程式ChargeWeapon，使得攻擊者能藉此取得受害電腦資訊。這個後門程式具備5項主要特性，分別是使用Windows內建的命令列介面（CLI）與遠端裝置互動、執行WMI、與C2連線流量採用Base64演算法混淆、採用TCP over HTTP連線模式，且能夠在受害電腦任意讀取或寫入檔案。研究人員指出，駭客在該後門程式導入名為garble的開源混淆工具，他們在公布調查結果的時候，惡意程式偵測平臺VirusTotal僅有4款防毒引擎將其視為惡意程式。</p> <p>特別的是，為了繞過防火牆系統，駭客將C2伺服器偽裝成jQuery CDN。而根據攻擊者使用的手法，研究人員推測是來自中國的駭客。</p> <p><a href="https://s4.itho.me/sites/default/files/images/chinese cyberespionage east asia - image4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/chinese%20cyberespionage%20east%20asia%20-%20image4.png" style="width: 580px;" /></a></p> <p>研究人員針對這起攻擊行動所採用的HyperBro進行分析，發現駭客採用的變種程式攻擊行動更為隱密。他們發現，駭客藉由DLL側載來成功執行HyperBro的載入程式VFTRACE.dll之後，該程式庫檔案將會針對名為bin.config的檔案進行解密，該組態檔案內含由XOR演算法進行加密的Cobalt Strike的Shell Code。成功完成解密後，此Shell Code就會載入vfhost.exe。</p> <p>值得一提的是，駭客加密Shell Code的手法，與一般的攻擊行動有所不同，他們的解密過程當中，使用了只有1個位元組長度的金鑰（0x01），目的是要規避以特徵碼為基礎的惡意程式偵測機制。換言之，攻擊者採用了相當簡單的混淆手法，使得防毒軟體偵測的成功率極低。</p> <p>針對另一個從Cobra DocGuard加解密伺服器傳輸的惡意程式，研究人員發現與HyperBro有多項共通點，包含都是利用資安業者的可執行檔進行DLL側載的方式執行、C2的IP位址相同，以及從bin.config解密Cobalt Strike的Shell Code來建立C2連線。但不同的地方在於，新的惡意軟體攻擊行動裡，駭客採用的解密金鑰長度是16個位元組，再者，此惡意程式採用未記載的NTAPI功能，而非像HyperBro使用常見的Windows API功能。</p> </div></div></div>
2023/10/6 22:35作者周峻佑https://www.ithome.com.tw/news/159184
【資安日報】10月6日，中國駭客鎖定臺灣、香港、新加坡半導體產業而來，假借台積電的名義進行網路間諜攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客的網路間諜行動頻傳，繼我們昨天報導駭客組織APT41針對安卓手機用戶下手，散布惡意程式的情況，今天又有數起攻擊行動與中國駭客有關。其中，最引人關注的事故，就屬冒用臺灣護國神山台積電名義的網路釣魚攻擊。</p> <p>這起攻擊行動的特別之處在於，駭客運用兩家資安廠商軟體的可執行檔來發動DLL側載攻擊，並利用中國億賽通Cobra DocGuard加解密伺服器來代管惡意程式，而利用此加解密系統的攻擊並非首例，<a href="https://www.ithome.com.tw/news/158411#carderbee">今年4月，駭客組織Carderbee利用這種伺服器散布惡意程式PlugX</a>。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.eclecticiq.com/chinese-state-sponsored-cyber-espionage-activity-targeting-semiconductor-industry-in-east-asia"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客假借台積電的名義對半導體產業散布Cobalt Strike</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/chinese cyberespionage east asia - image1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/chinese%20cyberespionage%20east%20asia%20-%20image1.png" style="width: 300px; float: right;" /></a>資安業者EclecticIQ揭露針對臺灣、香港、新加坡半導體公司的攻擊行動，駭客疑似透過釣魚郵件，寄送聲稱是台灣積體電路製造公司（台積電）的簡介PDF檔案，一旦收信人開啟該文件，電腦就會啟動名為HyperBro的惡意程式載入工具，該軟體透過資安業者CyberArk應用程式的執行檔vfhost.exe，進行DLL側載（DLL Side-loading），然後於記憶體內（In-memory）執行Cobalt Strike的Beacon元件。</p> <p>研究人員針對該Beacon元件進行分析，他們發現駭客利用過往未被揭露的惡意程式下載工具進行滲透。基本上，這個工具透過Windows內建的PowerShell及BitsTransfer模組，從已被入侵的中國億賽通（EsafeNet）Cobra DocGuard加解密伺服器取得惡意程式，接下來，這個程式安裝啟動之後，會利用另一家資安業者McAfee簽章的可執行檔mcods.exe，運用DLL側載手法執行Cobalt Strike的Shell Code，而該Shell Code連線的C2伺服器IP位址，與HyperBro相同。</p> <p>此外，上述的加解密伺服器也被植入以Go程式語言打造的後門程式ChargeWeapon，使得攻擊者能藉此取得受害電腦資訊。特別的是，為了繞過防火牆系統，駭客將C2伺服器偽裝成jQuery CDN。而根據攻擊者使用的手法，研究人員推測是來自中國的駭客。</p> <p><a href="https://thehackernews.com/2023/09/new-report-uncovers-three-distinct.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">東南亞政府機關遭到駭客組織中國駭客Mustang Panda、Alloy Taurus、Gelsemium鎖定</span></strong></a></p> <p></p> <p>資安業者Palo Alto Networks揭露鎖定東南亞政府機關而來的攻擊行動，他們發現中國駭客組織Mustang Panda、Alloy Taurus、Gelsemium，從2021年第二季開始持續發動攻擊。</p> <p>其中，Mustang Panda利用開源掃描框架LadonGo，以及AdFind、Mimikatz、Impacket、中國菜刀（China Chopper）Web Shell、惡意程式ShadowPad、後門程式Toneshell發動攻擊，最終利用3個DLL程式庫元件建立C2連線，並收集資料、執行攻擊者的命令、側錄鍵盤輸入內容、截取螢幕畫面。</p> <p>Alloy Taurus自2022年初至今，總共發動6波攻擊行動，攻擊者利用微軟Exchange Server弱點來部署Web Shell，並將其用於.NET後門程式Zapoa和ReShell，從而執行遠端點並竊取機敏資料。</p> <p>Gelsemium結合了罕見的工具與手法，並在東南亞政府實體的IIS網頁伺服器植入Web Shell，從而散布後門程式OwlProxy、SessionManager，並運用Cobalt Strike、Meterpreter、Earthworm、SpoolFool執行後續攻擊行動。</p> <p>資料來源</p> <p>1. <a href="https://unit42.paloaltonetworks.com/stately-taurus-attacks-se-asian-government/">https://unit42.paloaltonetworks.com/stately-taurus-attacks-se-asian-government/</a><br /> 2. <a href="https://unit42.paloaltonetworks.com/alloy-taurus-targets-se-asian-government/">https://unit42.paloaltonetworks.com/alloy-taurus-targets-se-asian-government/</a><br /> 3. <a href="https://unit42.paloaltonetworks.com/rare-possible-gelsemium-attack-targets-se-asia/">https://unit42.paloaltonetworks.com/rare-possible-gelsemium-attack-targets-se-asia/</a></p> <p><a href="https://www.welivesecurity.com/en/eset-research/operation-jacana-spying-guyana-entity/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">南美洲國家蓋亞那政府機關遭到惡意程式DinodasRAT攻擊</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/01-compromise-flow.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/01-compromise-flow.png" style="width: 300px; float: right;" /></a>資安業者ESET揭露自今年2月出現的攻擊行動Operation Jacana，駭客鎖定南美洲國家蓋亞那的政府機關實體，假借該國逃犯出現在越南等時事新聞報導為誘餌，發動釣魚郵件攻擊，這類信件內容含有惡意連結，一旦收信人點選，電腦就會從越南政府的網域下載ZIP壓縮檔，若依指示開啟當中的可執行檔，駭客就會在電腦部署以C++編譯的惡意軟體DinodasRAT。</p> <p>若是攻擊者得逞，就會進一步破壞該組織的內部網路環境，並對更多電腦部署相同的惡意程式。研究人員指出，過程中駭客使用惡意程式PlugX（亦稱Korplug），以及開源的VPN應用程式SoftEther VPN用戶端軟體，他們推測攻擊者來自中國。</p> <p><a href="https://www.group-ib.com/blog/golddigger-fraud-matrix/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾50家越南銀行用戶遭安卓金融木馬GoldDigger鎖定</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/GoldDigger-1-17.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/GoldDigger-1-17.png" style="width: 300px; float: right;" /></a>資安業者Group-IB揭露安卓金融木馬GoldDigger的攻擊行動，駭客從今年6月開始，針對超過50家越南銀行的用戶下手，假借當地的政府入口網站及能源業者，主要目的是竊取銀行帳密資料。駭客入侵手機的管道，很有可能是寄送釣魚郵件，當中含有冒牌的Google Play市集URL，使用者一旦點選，就有可能被帶往冒牌市集，或是假冒其他品牌的釣魚網站。</p> <p>而對於該木馬程式的功能，研究人員指出，與許多金融木馬相同的是，GoldDigger也濫用安卓系統的輔助服務，收集個人資訊、截取簡訊、在手機上執行各種功能操作。但特別的是，駭客這次濫用了名為Virbox Protector的合法軟體元件，使得該木馬程式能夠迴避多種靜態及動態的偵測手法。研究人員指出，截至目前為止，他們僅看到3款安卓木馬程式採用這種工具（包括GoldDigger），但接下來可能會有其他駭客跟進。</p> <p>值得留意的是，他們也看到駭客將越南語翻譯成西班牙文及正體中文，不排除接下來攻擊範圍會擴及使用這兩種語言的國家。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/10/03/defending-new-vectors-threat-actors-attempt-sql-server-to-cloud-lateral-movement/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客入侵微軟SQL Server資料庫系統，目標是Azure雲端環境的虛擬機器</span></strong></a></p> <p>微軟揭露近期出現的Azure雲端環境攻擊行動，他們先是鎖定目標組織的SQL Server伺服器，利用SQL注入漏洞入侵該資料庫系統，從而有機會存取Azure雲端虛擬機器代管的SQL Server實體，進而下載作案用的可執行檔及PowerShell指令碼，並透過工作排程啟動後門程式，且利用SAM與SECURITY登入檔的內容挖掘用戶帳密，最終利用webhook.site的服務洩露資料。</p> <p>接著，攻擊者企圖利用身分SQL Server實體的雲端驗證流程弱點，存取執行個體中繼資料服務IMDS，並取得雲端身分驗證的金鑰。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://jira.atlassian.com/browse/CONFSERVER-92475"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Atlassian修補DevOps協作平臺Confluence漏洞，已出現濫用弱點的攻擊行動</span></strong></a></p> <p></p> <p>10月4日軟體業者Australian針對DevOps協作平臺Confluence發布資安通告，表示他們接獲部分用戶通報，攻擊者有可能針對能從網際網路存取的Confluence Data Center或Confluence Server下手，利用過往未被公布的漏洞建立管理員帳號，然後進行控制。</p> <p>該公司指出這項被利用的漏洞是CVE-2023-22515，影響8.0版以上的Confluence Data Center或Confluence Server，CVSS風險評為10分，他們發布8.3.3、8.4.3、8.5.2版Confluence予以修補。</p> <p>若是IT人員無法即時修補，該公司也提出緩解措施，呼籲IT人員採取行動，並指出曝露於網際網路的Confluence實體尤其危險，因為攻擊者可匿名利用上述漏洞。此外，他們也建議用戶，應儘速檢查Confluence實體是否出現遭到入侵的跡象。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/159155"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">BlackBerry將物聯網及網路安全業務拆分為兩家公司</span></strong></a></p> <p></p> <p>10月4日資安業者BlackBerry宣布調整公司結構，分割為兩家公司，其中一家是專攻網路安全，另一家是物聯網公司，計畫明年獨立上市。這項決定源於今年5月的討論，他們找上摩根史坦利、溫伯格合夥公司（Perella Weinberg Partners）等財務顧問公司，進行評估。</p> <p>該公司認為，這樣的畫分能讓個別業務發展自己的策略及資金運用方式，並能使股東更容易評估不同領域的業務效益及潛力。</p> <p>然而，上述消息宣布之後，BlackBerry的股價不漲反跌，一度跌幅達到10%，投資專家Vlad Deshkovich認為，物聯網業務是該公司主要獲利來源之一，該部門一旦脫離BlackBerry，剩下的業務將很有可能會出售。</p> <p>資料來源</p> <p>1. <a href="https://www.blackberry.com/us/en/company/newsroom/press-releases/2023/blackberry-provides-project-imperium-update-and-announces-intention-to-separate-business-units">https://www.blackberry.com/us/en/company/newsroom/press-releases/2023/blackberry-provides-project-imperium-update-and-announces-intention-to-separate-business-units</a><br /> 2. <a href="https://seekingalpha.com/article/4639246-blackberry-stock-overpriced-spin-off-uncertainty">https://seekingalpha.com/article/4639246-blackberry-stock-overpriced-spin-off-uncertainty</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/lyca-mobile-investigates-customer-data-leak-after-cyberattack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">電信業者Lyca Mobile傳出遭到勒索軟體攻擊</span></span></strong></a></p> <p></p> <p><a href="https://blog.talosintelligence.com/qakbot-affiliated-actors-distribute-ransom/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">QBot攻擊者鎖定義大利用戶，散布勒索軟體Cyclops及Remcos RAT</span></span></strong></a></p> <p></p> <p><a href="https://any.run/cybersecurity-blog/lu0bot-analysis/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露以Node.js打造的惡意軟體Lu0Bot</span></span></strong></a></p> <p></p> <p><a href="https://checkmarx.com/blog/the-evolutionary-tale-of-a-persistent-python-threat/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客利用數百個Python套件散布竊資軟體，7.5萬名開發者上當</span></span></strong></a></p> <p></p> <p><a href="https://github.blog/2023-10-04-introducing-secret-scanning-validity-checks-for-major-cloud-services/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">GitHub改良程式碼機密資訊的掃描功能</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159144"><strong>【10月5日】亞太地區安卓手機遭中國駭客APT41鎖定，進行精確的定位追蹤、盜取網路電話通話內容及行動支付資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159124"><strong>【10月4日】求職網站Indeed被駭客用於網路釣魚攻擊，鎖定高階主管竊取Microsoft 365帳號</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159112"><strong>【10月3日】 Cloudflare預設信任該公司網域的流量恐讓攻擊者有機可趁，關閉用戶設置的防護措施</strong></a></p> </div></div></div>
2023/10/6 17:49作者周峻佑https://www.ithome.com.tw/news/159172
中研院正式開源釋出繁中優化的Llama 2大型語言模型，正式採用Apache2.0釋出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣商用開源的繁中LLM模型現在有了新選擇！從事中文自然語言處理（NLP）研究的中研院CKIP Lab中文詞知識庫小組，最新開源釋出了以Llama 2開發的繁中優化的大型語言模型CKIP-Llama-2-7b，提供給臺灣學術圈或AI開發者來使用，可運用在文案生成、文學創作、問答系統、客服系統、語言翻譯、文字編修、華語教學。該模型已放上<a href="https://github.com/ckiplab/CKIP-Llama-2-7b">Github </a>和 Huggingface開放給公眾使用，並採用Apache2.0授權釋出。中研院搶先開放<a href="https://huggingface.co/spaces/ckiplab/CKIP-Llama-2-7b-chat">測試網頁</a>，開放所人測試。</p> <p>Llama 2是由Meta在7月釋出的開源可免費商用大型語言模型，不到幾個月，Llama 2在開源LLM模型競賽中快速竄起，在Huggingface公布許多模型幾乎都是基於Llama 2衍生的模型，近幾個月在臺灣開始有企業以此推出商用模型服務，如<a href="https://www.ithome.com.tw/news/158874">台智雲</a>開發了繁體中文版本的優化Llama 2模型，提供了70億、130億和700億參數的三種商用版本，以滿足企業客戶的需求。</p> <p>幾個月前，來自中研院的CKIP Lab中文詞知識庫小組開始著手投入繁中優化的Llama 2模型的開發，他們以商用開源模型Llama-2-7b和 Atom-7b為基礎，專注增強繁體中文的處理能力，通過對405個可商用的任務檔案進行訓練和優化，最終訓練出中研院的繁中優化的CKIP-Llama-2-7b模型。該模型擁有70億個參數。</p> <p>相較於原本的Llama 2模型，CKIP Lab強調，該模型有4大特色，首先在多項繁中任務的處理比原來模型表現更好，其次，它可以很容易部署在本地裝置或設備上，例如僅需一張具有12GB記憶體容量的GPU，即可在離線的環境中執行，不需要依賴雲端等外部資源。此外，還開放使用者可以根據自身需求使用自己的訓練資料集，快速打造出適合自身任務需求的模型，更重要的是，採用對商用相當友善的Apache-2.0授權許可釋出。</p> <p>CKIP Lab小組一共開發出兩個模型，一個是繁體中文預訓練後的CKIP-Llama-2-7b模型，一個是以前者為基礎，進行多任務微調訓練後的 CKIP-Llama-2-7b-chat模型。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap41.png" style="width: 600px;" /></p> <p>中研院公開展示了經過多任務微調訓練的 CKIP-Llama-2-7b-chat 模型。例如，當你輸入「台灣最高的山？」，它可以回答「玉山」，甚至問他「在台灣，什麼是22K？」，模型都能夠提供相應的回答。此外，你也可以要求它針對台灣的特定主題進行討論。如「規劃一下日月潭二日遊」或是能吟詩作對。</p> <p>其中，CKIP-Llama-2-7b使用了5.8GB資料進行預訓練，總共包含273萬筆資料，大約28億個token數。這些資料包括了中英維基百科、CommonCrawl子集、臺灣碩博士論文摘要、中央研究院漢語平衡語料庫、徐志摩詩歌全集、朱自清散文全集等內容。另外，使用純人工產生的COIG-PC資料集和dolly資料集來進行多任務微調訓練。</p> <p>根據他們的測試，經過C-Eval中文模型評測結果，CKIP-Llama-2-7b-chat和CKIP-Llama-2-7b模型表現在整體平均都高於Llama2-7b、Atom-7B等模型，例如，CKIP-Llama-2-7b平均分數約37.03，高於Llama2-7b的22.26和Atom-7B 的35.95。甚至多任務微調訓練後的CKIP-Llama-2-7b-chat，平均分更高，有38.39分。</p> <p>CKIP Lab小組表示，這個模型可應用於各種領域，包括文案生成、文學創作、問答系統、客服系統、語言翻譯、文字編修、華語教學等等。中研院搶先開放目<a href="https://huggingface.co/spaces/ckiplab/CKIP-Llama-2-7b-chat">測試網頁</a>，開放所有人測試。</p> <p>隨著中研院繁中優化的Llama 2模型推出，將有助於加速臺灣繁中大型語言模型研究和商用的發展。</p> </div></div></div>
2023/10/6 17:58作者余至浩https://www.ithome.com.tw/news/159166
全面推動國家考試證書e化，考試院將擁抱雲端及AI加速轉型
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去3年，疫情加速了企業數位轉型，也迫使政府機關轉型腳步加快，甚至從行政部門擴大到以往態度相較保守的考試部門，現在也要跟著轉變，實現服務創新及優化。考試院在2年前開始積極推動數位轉型，更提出六大轉型策略，希望徹底改造其IT體質，還要擁抱雲端，甚至發展AI應用，帶動全院朝向智慧化發展。</p> <p>曾在行政院國發會長期從事電子化政府規畫的徐嘉臨，對於政府機關數位轉型很有經驗，她在2021年加入考試院擔任資訊主管後，一肩扛起考試院IT轉型的重任。她從考試院院本部的核心業務流程改造做起。</p> <p>考試院是全國公務人力的決策機關，除了要負責決定所屬機關如考選部所提的重大施政政策之外，考試院還有一個核心業務是考試證書核發服務，針對通過考選部的測試程序的合格者，不論是公務人員或專門職業及技術人員，都需取得由考試院核發的證書證明，才能夠作為後續公務人員分發錄用或專技人員執業的證明。</p> <p><span style="font-size:28px;"><strong>推動國家考試及格證書全面e化，以取代傳統紙本型式</strong></span></p> <p>國家考試每年報考人數雖超過30萬，但實際錄取人數相對有限，即便如此，考試院去年一年內就需要產製1.6萬張公務人員考試合格證書，而專技人員的證書數更多，有多達2.7萬張。然而，過去考試院的證書製作和核發都是人工作業，採用紙本證書發放，並沒有加以數位化，不論是人力作業和成本都給考試院帶來相當大的負擔。這也成了徐嘉臨上任後首要解決的問題。</p> <p>為了解決這個問題，考試院資訊團隊建置了國家考試及格電子證書系統，來提供包含製證、發證、驗證在內等整套數位化證書核發作業，來取代傳統的紙本作業型式。</p> <p>在以前，考試院行政人員製作紙本證書需使用印表機進行套印，然後在證書上加上實體簽章，這樣的流程非常耗時。但現在改用電子證書後，系統能夠自動產生電子證書，不需要花時間列印紙本，而且能快速完成數位簽章的簽署，不必等待送簽。此外，由於不再需要製作紙本證書，省去存放證書所需的空間。</p> <p><span style="font-size:28px;"><strong>不只串聯政府MyData進行身分驗證，還將提供跨機關證書查驗</strong></span></p> <p>徐嘉臨指出，採用這種做法的效益，不僅讓整體作業時間平均能夠縮短4天，大大提高了效率，發證方式也更為迅速，合格者收到電子郵件通知，就能自行下載數位證書，無需等待紙本的郵寄遞送。</p> <p>考試院今年還與數位發展部的MyData（數位服務個人化應用）服務串聯，讓民眾除了可以使用自然人憑證、健保卡或行動自然人憑證等身分驗證機制外，未來還能透過MyData下載自己的及格證書，無需使用實體讀卡機進行驗證。</p> <p>考試院導入電子證書還有另一個用意，就是希望通過證書驗證機制加強防偽。她表示，過去紙本證書容易被偽造，改提供電子證書後，每張電子證書都包含了考試院專屬數位簽章，驗證者打開PDF檔案時，就能很容易識別收到的證書是否為考試院發行，除了提供數位簽章驗證真偽，使用者還能透過掃描QR碼來快速查驗發證最新狀態和歷程驗證。</p> <p>這套系統在去年8月上線，考試院初期以公務人員考試及格人員及升等人員為對象，到去年底製作6千多張電子證書，今年更擴大至專技考試及格人員實施。考試院強調，未來各種國家考試類別皆以提供電子證書為原則，不再發放紙本證書。</p> <p>有了這套數位證書系統後，徐嘉臨接下來還將透過MyData平臺提供跨機關間的電子證書資料查驗服務，舉例來說，合格專技人員以後向經濟部申請執業執照時，經濟部只要經過申請者本人的同意，就可以透過MyData平臺向考試院確認該申請者的相關合格證明，無需核對紙本證書，從而加快申請流程。</p> <p><span style="font-size:28px;"><strong>考試院數位轉型提6大推動方向</strong></span></p> <p>國家考試及格證書數位化的推動，僅是考試院數位轉型策略其中之一。考試院在2021年提出六大轉型任務，並規畫分4年來逐一達成，其中包括了證書數位化，還有另外5項重要的轉型任務，包括強化全院資訊安全及聯防體係、國家考試電腦化、公務人力資料整合應用、資料開放、公務人員數位能力培訓。</p> <p>考試院在最新一屆考試院院長及考試委員上任後，2年前成立數位轉型委員會，由院長親自主持，召集所屬機關首長共同擬定未來數位轉型的方向，加速推動全院轉型。</p> <p>尤其，考試院將強化資安列為轉型優先項目。這是因為考試院作為國家人力資源部門，保有全國公務員逾36萬人的資料，包含了考試和公部門職涯的完整記錄，這也使得考試院及其所屬機關在資安責任分級上都評為最高的A級，比一般行政機關對資安要求更高。這也是考試院當初找上徐嘉臨接任IT主管的其中一個原因，希望能夠借重她在政府機關的資安推動經驗，協助考試院加強資安措施，應對各種攻擊威脅的挑戰。</p> <p><span style="font-size:28px;"><strong>未來將推動零信任資安，優先鎖定兩類身分加強權限管控</strong></span></p> <p>徐嘉臨接掌考試院IT第一件事，是建立更明確的權責分工，將資訊團隊分成兩組，一組負責系統開發、維運；另一組則以資安、基礎建設管理為主，不僅配合資安法的要求，避免造成內部稽核、控管的風險，同時也讓職務分工能更符合IT部門實際運作。</p> <p>優先解決資安人力問題後，她接著在內部建立資安管理的程序，確保責任歸屬和相關作業流程能夠有一套標準化、制度化、書面化的方式，可供所有人員依循。</p> <p>除了從管理程序面著手，徐嘉臨還重新檢視考試院IT基礎設施在資安方面落實情形，並提出加強的措施，如強化內外網隔離、獨立網段切分方式等，來符合相關資安要求。她今年更進一步將網路架構升級，使其更具現代化，同時具有縱深防禦的安全架構。</p> <p>考試院如今已能夠達到符合資安法遵要求，但徐嘉臨仍不敢鬆懈，因為她十分清楚資安的發展必須與時俱進，「政府機關必須不斷地調整自己的資安部署策略，依據自身的資安風險來機動的調整，以應對外部的攻擊趨勢。」</p> <p>徐嘉臨接下來計畫在考試院內部導入零信任資安，並優先推動零信任身分驗證。這也是政府部門近年來在內部積極推動的重要資安措施，但不像數發部最初主要應用在行動公文簽核方面，徐嘉臨表示，考試院的重點將放在風險較高的兩類使用者群體和目標系統上，例如臨時需要從外部連接到內網的員工（如居家辦公者），和具有最高權限的內部管理者（如IT人員及負責核心資通系統的資料管理員等），就是屬於考試院優先推動的主要對象。舉例來說，當這類使用者登入系統時，將根據他們的角色、身分或需求判斷其是否具有存取權限，避免讓沒有此權限的人進行資料存取，以降低資料外洩的風險。</p> <p><span style="font-size:28px;"><strong>考試院郵件服務優先上雲，新上線的系統將採雲地備份</strong></span></p> <p>除了導入零信任加強資安韌性之外，考試院今年開始規畫上雲。初期將以郵件系統和資料備份上雲為主。考試院要透過引進雲端技術來推動現代化IT的發展，加速其內部轉型。</p> <p>徐嘉臨表示，選擇這兩項作為遷雲的優先項目，一來在市場上相較成熟，穩定性跟安全性較高；二來，考慮到IT人力有限，希望通過採用公雲郵件服務取代自建郵件系統，來減輕資訊人員的負擔。</p> <p>她還提到，未來在雲端資料備份方面，主要以官網資料統計和新上線的系統為主，不包括業務核心系統，如電子證書等。她強調，基本上，考試院所有的資料備份都遵循321備份基本原則，即使是非機敏資料，都會在加密過才上傳到雲端上進行備份，以確保資料的安全性。</p> <p>考試院目前正在展開PoC測試，計畫在年底展開遷移工作。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-CIO-600.png" style="width: 518px;" /></p> <p><span style="color:#3399ff;"><span style="font-size:20px;"><strong>考試院資訊處處長徐嘉臨表示，政府機關必須不斷地調整自己的資安部署策略，依據自身的資安風險來機動的調整，以應對外部的攻擊趨勢。</strong></span></span><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>考試院下一階段的轉型關鍵驅力將是AI</strong></span></p> <p>隨著AI技術漸趨成熟，不少行政機關紛紛運用AI提高行政效率和創新服務，考試院也不例外。除了其所屬機關考選部很早開始嘗試在考選試務上結合AI技術，來改善考試作業流程，考試院自身開始著手研究AI，希望透過它來實現服務創新及優化，更將它視為考試院下一階段的轉型關鍵驅力。</p> <p>徐嘉臨指出，考試院的未來AI導入策略有兩大面向，首先是優先考慮成熟或常見的AI應用，其次是以解決業務痛點為切入點。</p> <p>目前考試院的AI應用，主要是運用在處理內部行政相關工作，例如協助行政人員完成考試院院內會議逐字記錄，或自動生成新聞稿的草稿等。除此之外，考試院還計畫結合AI協助輿情分析，提供政策推行或擬定的參考。</p> <p>徐嘉臨強調，AI的發展不能單靠資訊團隊，而是需要跨單位的合作，需要和業務單位、資安單位合作，並適時納入外部AI專家，共同探索考試院AI應用的可行性。同時，考試院未來也要培養和提升全體員工在AI方面的素養與技能。</p> <p><span style="font-size:28px;"><strong>加速AI應用，考試院推動資料治理</strong></span></p> <p>考試院雖然鼓勵發展AI應用，但同時也要求兼顧風險。例如生成式AI的出現，加速AI應用普及化，也帶來資料外洩、侵犯隱私的疑慮。為此，考試院最近制訂了員工應遵守的使用AI的相關注意事項，以防範潛在風險。</p> <p>徐嘉臨十分明白，資料是政府機關發展AI應用的重要關鍵，因此她和資訊團隊重頭梳理考試院內部資料，在考試院和所屬機關之間建立統一資料格式，以便在資料取用上可以更快速，甚至考試院還發展出自己的資料治理架構，以加速AI應用發展和服務創新。</p> <p>從考試院公開的資料治理架構共有三層，其中第一層是考銓服務數位化，接著下一層是資料層，有資料池（包括結構、非結構化資料和統計資料）和資料管理（包括資料格式標準化、資料安全與去識別化、資料清理和資料生命周期管理），最後是資料應用層，包括開放資料、公務人力政策循證研究以及人工智慧應用。</p> <p>除了用於人工智慧應用外，考試院還成立考詮資料研究中心，整合了院部會研究資源，運用考詮資料庫的去識別化後資料，就院內業務相關問題進行研究，例如分析公務人員在中央和地方的流動分布，作為改善員工離職的參考依據等。文⊙余至浩</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>考試院資訊處處長徐嘉臨</strong></p> <p>學歷：清華大學資工碩士</p> <p>經歷：在行政院長期從事電子化政府規畫，曾先後在研考會分析師、科長、高級分析師，以及國發會高級分析師任職，在2016年行政院成立資安處後，擔任該處副處長一職，並在2021年加入考試院擔任資訊處處長，開始協助推動全院數位轉型</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-CIO-600-2.png" style="width: 250px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機關檔案 </span></strong></span></p> <p><strong>考試院</strong></p> <p>成立時間：1930年</p> <p>地址：臺北市文山區試院路一號</p> <p>主要業務：為國家最高考試機關，也是公部門人事法制之最高主管機關，決定所屬部會所提之重大考銓政策，院本部各單位之任務在扮演決策幕僚之功能，提升院會決策品質及行政效能</p> <p>員工數：200人（院本部）</p> <p>院長：黃榮村</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：資訊處處長</p> <p>資訊部門主管姓名：徐嘉臨</p> <p>資訊部門人數：10人</p> <p>資訊部門分工：第一科（以系統開發、維運為主）、第二科（以資安、基礎建設管理為主）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2022年：建置國家考試及格電子證書服務</p> <p>2023年：建置考試院公報資訊網、統計資料查詢網、考銓資料研究中心、訂定考試院使用人工智慧注意事項</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1150-cio-960.jpg" width="960" height="420" alt="" title="考試院資訊處處長徐嘉臨　（攝影／洪政偉）" /></div></div></div>
2023/10/6 16:44作者余至浩https://www.ithome.com.tw/people/159164
支援Windows與macOS的新版Teams正式上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/microsoft-teams-blog/announcing-general-availability-of-the-new-microsoft-teams-app/ba-p/3934603" target="_blank">微軟周四（10/5）宣布</a>，支援Windows及macOS的新版Microsoft Teams程式正式出爐，同一天也開始於虛擬桌面基礎結構（Virtual Desktop Infrastructure，VDI），以及GCC及GCC HIGH等政府雲公開預覽新版Teams，DoD政府雲的公開預覽活動則會在本月稍後上線。</p> <p>微軟是在今年3月宣布要全面翻修Teams，變更Teams的架構，以讓它能在僅使用一半系統的情況下增加一倍的速度，與微軟合作的<a href="https://gigaom.com/report/new-microsoft-teams-performance-benchmark/" target="_blank">獨立基準測試業者GigaOm</a>在比較了今年3月釋出的新版Teams，以及2022年6月推出的 Teams 1.1版之後，發現新版的安裝速度是舊版的3倍，啟用Teams的速度是舊版的2倍，加入會議的速度是舊版的2.5倍，載入聊天室與頻道的速度是舊版的1.7倍，而在測試中所使用的記憶體與硬碟資源則減少了50%。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1006-new%20microsoft%20teams-system%20disk%20capacity%20consumption.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1006-new%20microsoft%20teams-idle%20memory%20consumption.png" style="width: 600px;" /></p> <p>微軟特別強調新版Teams在macOS平臺上有重大的效能改善，包括切換聊天室及頻道、資訊存取，甚至是捲動的速度都變快了，也具備更好的安全性。</p> <p>相較於舊版Teams，新版幾乎擁有所有的相對應功能，包括客製化的企業營運程式、第三方程式、分組討論區、7x7影片、通話佇列、PSTN連線選項、聊天與頻道的脈絡搜尋，以及跨頻道的訊息張貼等。</p> <p>而新版Teams上的獨有功能則有對多租使用者組織（Multi-Tenant Organizations，MTO）及多租多帳號（Multi-Tenant, Multi-Account，MTMA）的支援。前者主要是簡化多租戶的管理，特別是在企業執行併購之後，或是需要支援全球子公司與測試環境時；後者則可讓跨組織的協作更有效率，允許使用者同時登入多個帳戶，並收到來自不同組織與帳戶的訊息。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1006-Multi-tenant%20organizations%20(MTO)%20capability-new%20Teams-2-900.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1006-new%20microsoft%20teams-%20multi-tenant%2C%20multi-account%20(MTMA)(1).png" style="width: 500px;" /></p> <p>新版Teams亦內建Microsoft Copilot，這是微軟利用OpenAI GPT-4大型語言模型所打造的AI助理，可用來協助處理Teams用戶的各種需求，例如秀出最新的郵件、訊息或檔案，摘錄各式檔案，協助分享會議重點，找出特定人士的發言，還能幫忙建立FAQ。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1006-Copilot-latest-image_New-teams.png" style="width: 600px;" /></p> <p>既有Teams用戶只要按下一個鍵就能升級到新版，並能自動取得舊版中的聊天訊息、團隊、頻道及程式，若不適應，也能切換回傳統版本。</p> <p>除了正式上線的Windows及macOS客戶端程式、本月邁入公開預覽的VDI、GCC、GCC HIGH及DoD之外，支援Chrome及Edge的客戶端程式將在11月問世，支援Safari與Firefox的新版Teams則會在明年3月出爐，其它政府及特殊雲也要等到明年3月。</p> <p>此外，微軟尚未列出新版Teams支援一般消費者或早期Windows 10版本用戶的時程表。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_微軟</span></span></p> </div></div></div>
2023/10/6 15:28作者陳曉莉https://www.ithome.com.tw/news/159161