iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 19:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

金管會正式發布金融業運用AI原則，放寬業者使用AI皆須人為判斷的一致性規範
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會10月17日正式發布金融業運用人工智慧之核心原則與相關推動政策，包含6項核心原則及8項配套政策，金管會綜合規劃處處長胡則華說明原則相較草案的部分修正處，包含，修改業者使用所有AI工具時，都須進行人為判斷的原則，修正AI系統定義，和新增生成式AI定義。另外，8項配套政策並未進行修正。</p> <p>這次發布的原則相較8月宣布的草案，共修正五處內容。草案中曾提及，金融機構如運用生成式AI協助進行決策，不宜將其產生的資訊作為判斷或決策的唯一依據。這條原則曾造成外界誤解，認為使用非生成式AI就可以作為判斷或決策的唯一依據，因此將該句刪除，改為金融機構使用AI應以風險為基礎做出適當決策和監督。胡則華解釋，由於金融業運用AI的案例不少，較為簡單的AI工具，如客服機器人，未必需要進行最後的人為判斷或決策，因此進行這項修正。</p> <p>雖然不必在使用每個AI工具時，都進行最終人為判斷，金管會仍認為，金融機構最初在設計AI工具時，就要放入相關管控機制，因此，原則也要求金融機構在處理生成式AI產出資訊時，要就風險進行管控。此外，考量金融機構非使用AI時，也未必都能達到公平，因此，正式原則也放寬使用AI系統時，要確保對所有人公平的規定，改為要求金融機構盡可能避免演算法的偏見造成不公平。</p> <p>金管會這次發布也放寬了金融機構運用AI系統向客戶提供金融服務時，應提供退出AI服務選項，或給予人工替代方案的規定，改為提醒客戶是否有替代方案即可。此外，針對使用生成式AI辦理業務時，應適當揭露的規定，胡則華說明，過往金管會制定這條規範，目的是讓金融機構在提供金融服務時，客戶能了解談話對象是AI，而非真人，不過，有業者反映，部分使用AI的業務是面向內部員工，因此，金管會修正這項原則，改為金融機構使用AI與消費者直接互動時，才應適當揭露。</p> <p>此外，金管會也修改了原則中對AI的定義，改以經濟合作暨發展組織(OECD)的「AI系統」定義為準，並依據歐盟的人工智慧法草案，定義生成式AI為特別用以生成具有不同自主程度之文章、圖像、音訊或影片等內容的AI系統。</p> </div></div></div>
2023/10/19 17:37作者李昀璇https://www.ithome.com.tw/news/159380
【資安日報】10月19日，互動式運算平臺Jupyter Notebook遭到鎖定，駭客部署惡意程式，從中挖礦並盜取雲端…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在程式開發與資料科學領域常用的Jupyter Notebook，傳出遭到網路攻擊鎖定的情況，<a href="https://www.ithome.com.tw/news/157762#pyloose">今年7月有人將其用於散布惡意程式PyLoose</a>，將這種伺服器拿來挖礦牟利，如今針對這類運算平臺的攻擊行動再度出現。</p> <p>資安業者Cado揭露的Qubitstrike，正是這種型態的惡意行為，但不同的地方在於，駭客除了將伺服器的運算資源拿來挖礦，也企圖找尋組織的雲端服務帳密資料，進一步擴大危害的範圍。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="http://www.cadosecurity.com/qubitstrike-an-emerging-malware-campaign-targeting-jupyter-notebooks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">攻擊行動Qubitstrike鎖定Jupyter Notebook伺服器部署惡意程式，竊取AWS、Google Cloud帳密</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Qubitstrike4-32.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Qubitstrike4-32.png" style="width: 300px; float: right;" /></a>資安業者Cado揭露鎖定Jupyter Notebook的攻擊行動Qubitstrike，駭客疑似透過物聯網搜尋引擎Shodan，尋找曝露在網際網路上的Jupyter Notebook伺服器下手，手動下達命令，先是確認處理器的型號，以及能否存取root帳號，並尋找可下手的帳密資料，接著下載、執行以Base64演算法加密的指令碼mi.sh，啟動挖礦軟體XMRig，並植入攻擊者的SSH金鑰，以便持續存取root帳號，隨後部署名為Diamorphine的Rootkit程式，以及竊取AWS、Google Cloud等帳密資料，並透過SSH將這些資訊外流，最終使用Telegram機器人的API回傳給駭客。</p> <p>過程中駭客也利用名為kthreadd的工具清除其他攻擊者的惡意酬載，以及下達netstat指令而關閉其他連線。研究人員指出，駭客運用即時通訊軟體Discord做為C2，並透過程式碼代管平臺Codeberg存放惡意軟體，而使得攻擊行動更難被察覺。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/10/18/multiple-north-korean-threat-actors-exploiting-the-teamcity-cve-2023-42793-vulnerability/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客組織利用CI/CD系統TeamCity漏洞發動供應鏈攻擊</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fig5-Diamond-Sleet-SLL-search-order-hijacking.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig5-Diamond-Sleet-SLL-search-order-hijacking.png" style="width: 300px; float: right;" /></a>微軟針對北韓駭客組織Lazarus（亦稱Zinc、Diamond Sleet），以及旗下團體Andariel（亦稱Onyx Sleet）近期的攻擊行動提出警告，這些駭客的目標是持續整合與持續部署系統TeamCity，因為此系統有個重大漏洞CVE-2023-42793（CVSS風險評分為9.8）。</p> <p>但是，兩組人馬的攻擊手段不同。Lazarus若成功入侵TeamCity伺服器，就會從先前遭駭的其他基礎設施下載後門程式ForestTiger，建立名為Windows TeamCity Settings User Interface的排程工作，以便該後門程式在每次電腦開機後就會執行，截取本機安全認證子系統服務（LSASS）在記憶體存放的帳密資料。此外，這些駭客也有可能透過PowerShell下載惡意DLL檔案，進行DLL搜尋順序挾持（DLL search-order hijacking）攻擊。</p> <p>Andariel則是利用上述漏洞，在受害主機建立新的使用者帳號並加入管理員群組，接著，從駭客的基礎設施下載惡意酬載HazyLoad，停止TeamCity服務並透過LSASS，以及其他作案工具，並且搜刮目標主機的各式帳密及資料。</p> <p><a href="https://blog.google/threat-analysis-group/government-backed-actors-exploiting-winrar-vulnerability/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國、俄羅斯駭客利用壓縮軟體WinRAR漏洞於受害電腦執行任意程式碼</span></strong></a></p> <p></p> <p>上週資安業者DuskRise發現俄羅斯駭客利用壓縮軟體WinRAR漏洞CVE-2023-38831發動攻擊，有研究人員指出，有多個駭客組織跟進利用這項漏洞。Google旗下的威脅情報小組（TAG）指出，他們偵測到俄羅斯駭客組織Sandworm（亦稱FrozenBarents）、APT28（亦稱FancyBear、FrozenLake），以及中國駭客組織APT40（亦稱IslandDreams）的攻擊行動。</p> <p>Sandworm於9月初假借烏克蘭無人機軍事訓練招生的名義寄送釣魚郵件，散布竊資軟體Rhadamanthys，收集瀏覽器帳密及連線階段（Session）資訊；APT28則是針對烏克蘭政府官員下手，假冒智庫發送釣魚信，攻擊該國能源基礎設施（CI），引誘下載惡意壓縮檔，於受害電腦植入PowerShell指令碼Ironjaw；而對於APT40的漏洞攻擊行動，該組織針對巴布亞紐幾內亞的民眾散布釣魚郵件，信件內容包含Dropbox下載連結，若依裡面的指示開啟網址，會取得含有上述漏洞的ZIP壓縮檔，有可能導致電腦被感染後門程式Boxrat。</p> <p><a id="d-link" name="d-link"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對10月初發生的資料外洩事故，友訊科技提出進一步說明</span></strong></a><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);"></span></strong></p> <p></p> <p>根據<a href="https://www.bleepingcomputer.com/news/security/d-link-confirms-data-breach-after-employee-phishing-attack/">資安新聞網站Bleeping Compuer報導</a>，有人宣稱竊得臺灣網路設備廠商友訊科技（D-Link）的網路管理軟體D-View的原始碼，並握有該公司300萬用戶資料，在駭客論壇兜售，<a href="https://supportannouncement.us.dlink.com/announcement/publication.aspx?name=SAP10359">該公司也在10月2日證實資料外洩情事</a>。</p> <p>友訊昨日向我們反映該媒體報導內容與事實有落差，今天提出進一步說明，關於發生的狀況，他們提出兩點說明。</p> <p>第一，D-View的程式碼並未遭竊。<br /> 第二，資料外洩的範圍，是2015年底就已下架的D-View 6會員註冊網站用程式碼，內容為過期的備份資料，多為半公開、低敏感資料；2016年後的D-View用戶權益，未受影響。</p> <p>從該公司新的說明來看，他們首度證實的確有程式碼外洩的情況，但外流的並非駭客宣稱的D-View原始碼，而是舊的會員註冊網站的程式碼。</p> <p>而針對該公司日前因生產的網路設備、網路攝影機漏洞遭到利用，引發外界疑慮的情況，他們也提出兩點說明。</p> <p>第一，過往被針對的設備，多為已經達到或即將生命週期結束（EOL）的產品，而且，該公司在2020年10月通過IEC62443-4-1產品安全開發流程認證之後，設備安全有明顯改善。<br /> 第二，對於美國聯邦貿易委員會（FTC）於2017年控告友訊路由器及攝影機軟體安全性不足一事，該公司強調是在幾乎確定他們勝訴的情況下，FTC主動提出和解，協議條件與稽核報告時效最短，為其他公司的一半。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://securityaffairs.com/152645/hacking/synology-diskstation-manager-admin-account-takeover.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">群暉網路設備作業系統DiskStation Manager存在漏洞，管理員帳號有可能遭挾持</span></strong></a></p> <p></p> <p>資安業者Claroty本週揭露群暉NAS作業系統DiskStation Manager（DSM）的漏洞CVE-2023-2729，是他們先前參與漏洞挖掘競賽Pwn2Own所找到的。這項弱點出現於不安全的JavaScript功能Math.random()，用途是產生NAS設備的管理員帳號。</p> <p>在特定情況下，攻擊者有可能藉此取得足夠的資訊，還原虛擬亂數產生器（Pseudorandom Number Generator，PRNG）的種子初始值，從而重組管理員的密碼，進而掌控NAS，CVSS風險評分為5.9，影響執行DSM 7.2版作業系統的設備。</p> <p>對此，群暉獲報後於6月發布資安通告，指出該漏洞影響DSM 6.2、DSM 7.0、DSM 7.1、DSM 7.2，以及DSMUC 3.1，他們針對DSM 7.2推出7.2-64561版修補，並表明其他受影響版本將不予處理，但並未說明原因。</p> <p>資料來源</p> <p>1. <a href="https://claroty.com/team82/research/synology-nas-dsm-account-takeover-when-random-is-not-secure">https://claroty.com/team82/research/synology-nas-dsm-account-takeover-when-random-is-not-secure</a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.synology.com/zh-tw/security/advisory/Synology_SA_23_07" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--1469235863" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.synology.com/zh-tw/security/advisory/Synology_SA_23_07</span></a></p>  <p><a href="https://www.securityweek.com/oracle-patches-185-vulnerabilities-with-october-2023-cpu/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Oracle發布2023年第4季更新，修補185個漏洞</span></strong></a></p> <p></p> <p>10月17日Oracle發布2023年10月重大修補更新（CPU），總共提供了387個修補程式，當中有40個針對重大漏洞而來，逾200個緩解未經身分驗證就能遠端利用的漏洞。資安新聞網站SecurityWeek指出，這份公布涵蓋185個具有CVE編號的漏洞，有不少同時存在多種產品。</p> <p>從產品被修補的漏洞數量來看，本次修補最多的產品是Financial Services Applications，總共修補103個漏洞，其中有49個可被遠端利用，且無須通過身分驗證；其次是Oracle Communications，本次揭露與修補91個漏洞、當中的60個需儘快處理，因為攻擊者可在未經身分驗證的情況下，遠端觸發漏洞。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/hacker-leaks-millions-of-new-23andme-genetic-data-profiles/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">基因檢驗業者23andMe傳出資料外洩，410萬筆記錄流入駭客論壇</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/ukrainian-activists-hack-trigona-ransomware-gang-wipe-servers/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">烏克蘭駭客對勒索軟體Trigona下手，破壞其基礎設施</span></span></strong></a></p> <p></p> <p><a href="https://thehackernews.com/2023/10/lazarus-group-targeting-defense-experts.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">國防專家遭北韓駭客Lazarus鎖定，假借採訪名義散布木馬化VNC應用程式</span></span></strong></a></p> <p></p> <p><a href="https://securelist.com/updated-mata-attacks-industrial-companies-in-eastern-europe/110829/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">東歐工業組織遭到後門程式框架Meta攻擊</span></span></strong></a></p> <p><a href="http://www.mandiant.com/resources/blog/remediation-netscaler-adc-gateway-cve-2023-4966"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">本月修補的Citrix NetScaler漏洞傳出8月就被用於攻擊行動</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159361"><strong>【10月18日】使用Telegram、AWS、阿里雲的開發人員遭到鎖定，駭客透過PyPI套件發動供應鏈攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159329"><strong>【10月17日】駭客假借提供以色列民眾空襲警報應用程式，意圖搜括安卓手機用戶各式資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159306"><strong>【10月16日】 Skype用戶注意！駭客利用外洩帳號發送訊息，透過內嵌VBA指令碼的檔案散布惡意程式DarkGate</strong></a></p> </div></div></div>
2023/10/19 16:54作者周峻佑https://www.ithome.com.tw/news/159379
台灣大哥大以AI 2.0技術優化智能客服機器人，提高對用戶提問的理解及回答正確率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>台灣大現有700多萬行動用戶，近期公平交易委員會終於通過台灣大哥大與台灣之星合併案，未來兩家業者完成合併之後，旗下行動用戶規模將一舉提高至近千萬，勢必增加客服工作量。近期台灣大哥大分享科技轉型部分成果，針對客戶服務方面，運用大型語言模型等AI 2.0技術，來提升智能客服機器人對用戶提問的理解，以及回答的正確率。</p> <p>目前台灣大每月約有149萬次的用戶需求進線到客服中心，為處理如此大量的用戶需求，台灣大哥大的客服中心現有約1,500位真人客服，提供7x24客戶服務，除了真人客服團隊接聽電話，台灣大也透過App、官網、IVR提供客戶自助服務，每個月使用量超過600萬次，通過這些線上客戶自助服務，一方面分擔真人客服的工作量，另方面也能降低服務成本。</p> <p>台灣大也開發智能客服機器人小麥，來分擔真人客服工作，應對用戶每月提出各式各樣問題需求，這個運用AI技術打造的ChatBot，平均每月回覆42萬次提問，滿意度達到95%。</p> <p>然而，客服團隊仍希望通過AI 2.0技術，提升自助服務能力，他們和IT團隊合作，分為兩階段，首先是讓文字服務機器人更善解人意，能夠更精準理解客戶的問題，提供更精準的答覆，其次是增加語音類型的服務機器人，能聽懂客戶的提問，以語音回客戶的問題。台灣大希望以此擴大客戶服務範疇，降低服務成本。</p> <p>台灣大哥大資訊長室資深處長吳竹松指出，從直覺來看，企業會將資料提供語言模型進行優化調整，再讓語言模型來回答用戶的提問，結果發現語言模型生出錯誤答案，因為大型語言模型是天文數量的資料訓練，但企業資料的佔比可能低於1%，語言模型會根據過去學習資料來生成回答內容，因此有很大機率產生錯誤答案。</p> <p>因此，他們改變作法，先將企業的知識點資料庫，轉換為語言模型能運算的向量空間，讓語言模型理解客戶的提問，在向量空間內作信度計算，將信度最高的答案回答出來，確保語言模型能回應正確的回答，而非任意生成回答。如果企業的知識點不足，則利用語言模型善於文字接龍的特性，在後臺擴充知識。</p> <p>吳竹松表示，採用AI 2.0優化後，客服機器人小麥相比先前的技術，對於客戶艱澀難懂的提問，語言模型的回答正確率提高3倍之多，後臺原本將近1萬的知識點，也利用語言模型的文字接龍能力，以每周0.2%的速度持續增加。智能客服機器人經過優化後，客戶的滿意度、回答的正確率皆提高。</p> <p>其次是打造語音型客服機器人，台灣大哥大展示一段AI客服語音對話，運用ASR語音辨識技術，AI客服能辨識用戶提問中所夾雜的國台語、英文，且能辨識企業服務的特殊用語，來正確回應客戶的問題。另外，還展示運用語音生成技術，以真人的語音資料，展示能模仿真人發聲的模型，可控制說話的音調及語速快慢。</p> <p>吳竹松表示，在開發AI 2.0的客服機器人過程中，企業面臨許多的挑戰，這些挑戰可歸類為4類，第一是挑選適合的語言模型，如何訓練及運用模型，第二是讓訓練好的語言模型和企業應用整合，第三是如何在企業有限的預算下，使用GPU運算訓練模型，第四個挑戰則是從文字型的ChatBot，發展語音ChatBot。</p> <p>台灣大將自身經驗及服務，整合打包為AI 2.0方案，為AIaaS（AI as a Service）的一站式服務，包括在底層的基礎架構方面，提供多雲、混合雲架構的GPU運算，企業可選擇使用的LLM模型，例如台智雲的FFM（Formosa Foundation Model），台灣大也與台智雲合作，按Token使用計算費用。此外，也提供Tool Kit工具，以及ASR語音辨識、TTS語音生成工具。</p> </div></div></div>
2023/10/19 15:25作者蘇文彬https://www.ithome.com.tw/news/159375
歐洲央行將於11月邁入數位歐元的準備階段
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>負責制定歐元體系決策的<a href="https://www.ecb.europa.eu/press/pr/date/2023/html/ecb.pr231018~111a014ae7.en.html" target="_blank">歐洲央行管理委員會（Governing Council of European Central Bank，ECB）周三（10/18）宣布</a>，已結束為期兩年的數位歐元調查階段，將於11月1日邁入同樣為期兩年的數位歐元準備階段，可望制定數位歐元的正式規則，並遴選開發數位歐元平臺及基礎設施供應商。</p> <p>同一天歐洲資料保護委員會（European Data Protection Board，EDPB）與歐洲資料保護監管機關（European Data Protection Supervisor，EDPS）<a href="https://edpb.europa.eu/news/news/2023/digital-euro-ensuring-highest-data-protection-and-privacy-standards_en" target="_blank">即共同發表了意見</a>，針對數位歐元的個人資料及隱私保護提出了建議。</p> <p>歐洲央行是在2021年的7月宣布啟動數位歐元專案（Digital Euro Project），第一階段是為期兩年的調查，探索數位歐元的設計與分派問題，<a href="https://www.ecb.europa.eu/paym/digital_euro/investigation/profuse/shared/files/dedocs/ecb.dedocs231018.en.pdf" target="_blank">調查報告</a>已於本周出爐，並已根據調查結果設計了一款數位歐元，將由諸如銀行等受到監督的機構負責分派，並讓公民與企業方便存取。</p> <p>該設計將數位歐元視為現金的數位形式，適用於歐元區的所有數位支付，免費供基本使用且容易取得，亦同時支援在線與離線使用，具備最高等級的隱私，讓使用者可立即以銀行資金結算付款，可應用在政府交易、電子商務、銷售端或是個人之間的匯款。</p> <p>至於即將於11月進入的準備階段則將確定數位歐元的規定，遴選開發數位歐元平臺與基礎設施的供應商，也會展開各種測試與實驗以開發一款同時符合歐元體系及使用需求的數位歐元，例如使用者經驗、隱私、金融包容性及環境足跡等。之後再決定是否進入下一個階段。</p> <p>ECB表示，進入準備階段與是否發行數位歐元無關，數位歐元的發行必須在歐盟完成相關立法之後，再由ECB接手審理。此外，歐洲央行也強調，數位歐元將與實體現金並存，人們將永遠可使用實體現金。</p> <p>而EDPB與EDPS兩大歐洲資料保護機構則趕在規則制定之前，共同提出了許多建議，以確保未來的數位歐元符合個人資料及隱私保護的最高標準。包括建議僅處理數位歐元用戶的必要個人資料，避免歐洲央行或其它國家的央行過度集中個人資料；並應部署隱私門檻，不追蹤離線交易與低價的線上交易，以避免個人隱私在反洗錢及反資助恐怖主義的政策下遭到危害。</p> </div></div></div>
2023/10/19 15:47作者陳曉莉https://www.ithome.com.tw/news/159376
網飛營收成長7.8%，即日起調漲美國、英國及法國費率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大影片串流平臺網飛（Netflix）周三（10/18）公布<a href="https://s22.q4cdn.com/959853165/files/doc_financials/2023/q3/FINAL-Q3-23-Shareholder-Letter.pdf" target="_blank">今年第三季財報</a>，顯示該季網飛營收成長了7.8%，達到85億美元，每股盈餘為3.73美元，付費會員數則增加了10.8%，達到2.47億人，同一天也宣布調漲美國、英國及法國特定方案的費率，由於財報超乎預期，使得網飛當天盤後大漲12.51%，股價達到389.651美元。</p> <p>網飛表示，該季的營收高於原本的預期，主要是因為該季淨增的付費人數達到876萬，遠高於去年同期的241萬，這有賴於付費共享政策在全球市場的推動，而該季創下了22.4%的營業利益率，亦高於先前所預期的22.2%。</p> <p>網飛是在<a href="https://www.ithome.com.tw/news/156466" target="_blank">今年第二季</a>著手於全球市場部署付費分享政策，要求那些與未同住親友分享帳號的用戶必須額外支付分享費用。網飛表示，從這兩季的表現看來，因應該政策而取消訂閱的用戶反應低於預期，從分享他人帳號轉成付費用戶則展現了良好的保留率，使得網飛在每個地區的營收都呈現正成長。</p> <p>此外，即日起網飛也將調整美國、英國與法國的費率。其中，美國的廣告與標準方案將維持在6.99美元及15.49美元，但基本（Basic）方案將從9.99美元漲至11.99美元，高級（Premium）方案則從19.99美元漲至22.99美元。</p> <p>同樣的，英國與法國的廣告及標準方案價格維持不變，但英國的基本及高級方案分別漲至7.99英鎊與17.99英鎊，法國的基本與高級方案則漲至10.99歐元與19.99歐元。</p> <p>至於<a href="https://www.ithome.com.tw/news/153633" target="_blank">上線</a>不到一年的廣告版服務目前尚未對網飛帶來太多營收，但網飛對該服務依然抱持著樂觀的態度，指出排除中國及俄羅斯市場，全球廣告市場規模高達1,800億美元，相信隨著時間的推移，未來將會替網飛帶進數十億美元的營收。</p> </div></div></div>
2023/10/19 14:38作者陳曉莉https://www.ithome.com.tw/news/159374
Amazon明年要在英國與義大利部署無人機送貨服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/operations/amazon-prime-air-drone-delivery-updates" target="_blank">Amazon今日（10/19）宣布</a>，去年底開始於德州College Station與加州Lockeford實施的無人機送貨服務，將在明年擴大至美國第三個州，以及英國及義大利市場，也將以全新的MK30無人機來取代現行的MK27-2。<a href="https://www.aboutamazon.com/news/retail/amazon-pharmacy-amazon-air-prescription-drone-delivery" target="_blank">另也宣布</a>College Station地區用戶將可選擇以無人機來遞送於Amazon Pharmacy所購買的藥物。</p> <p>Amazon是在去年12月啟用無人機送貨服務，但迄今也僅限於德州及加州的兩個區域，現在Amazon則準備擴大該服務，於美國第三個州提供無人機服務，並將首度跨出美國市場，在英國及義大利也推出無人機送貨，但預計要到明年底才會實現。</p> <p>隨之登場的則是Amazon所設計的<a href="https://www.aboutamazon.com/news/transportation/amazon-prime-air-drone-delivery-mk30-photos" target="_blank">新一代無人機MK30</a>，除了應用在新市場之外，也會在明年底取代現有的MK27-2。MK30比MK27-2更輕、更小臺，也有更好的天氣耐受度，可於小雨中飛行，噪音只有MK27-2的一半，Amazon宣稱它比居民平常會在鄰里間聽到的聲音更小，且飛行距離是MK27-2的兩倍，將可服務更多的民眾。Amazon並未公布MK30的飛行距離，但外電報導它可飛行9哩（約14.5公里）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1019-Amazon-new%20Prime%20Air%20delivery%20drone-MK30-600.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Amazon</span></span></p> <p>不過，MK30可遞送的包裏重量與MK27-2相當，都是可在一小時內遞送5磅（約2.27公斤）的商品，可能是家用品、日常必需品、美容商品、辦公室商品或科技商品等。</p> <p>以往Amazon只在獨立的Prime Air交付中心部署無人機，但未來將會把無人機整合到傳統的Amazon遞送網路，並將部署於某些當日遞送站。</p> <p>至於College Station的居民則能在Amazon Pharmacy購物並結帳時，選擇以無人機送貨，藥劑師將會確保消費者所選購的藥品可在之後的1小時內送到家門口。</p> <p>無人機送貨服務有賴各國的政策支持，義大利國家民航局（National Civil Aviation Authority，ENAC）局長Pierluigi Di Palma表示，ENAC致力於推動先進空中交通的創新，創造一個有利於新服務發展的生態系統，且義大利的經驗將可用來支援及啟發其它地區的無人機安全經營。</p> <p>而負責航空的英國交通部政務次長Baroness Vere則說，將與Amazon一起推動雙方的共同願景，讓商用無人機在2030年成為普及的英國服務。</p> </div></div></div>
2023/10/19 12:59作者陳曉莉https://www.ithome.com.tw/news/159372
微軟開源雲端原生應用程式開發平臺Radius
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周宣布可開發跨Azure及AWS的雲端原生應用程式的開發平臺<a href="https://cloudblogs.microsoft.com/opensource/2023/10/18/enabling-developer-collaboration-with-radius/" target="_blank">Radius第一版</a>，並開源給開發社群。</p> <p>Radius源自微軟資產生命周期管理軟體Aladdin。微軟指出，Radius是為解決跨本地部署環境、Azure及Amazon Web Services（AWS）應用程式開發、部署及管理任務而設計的單一工具。Radius支援現今最主要的雲端工具，包括Kubernetes、開發工具如Dapr、基礎架構即程式（Infrastructure as code，IaC）語言工具如Terraform及Bicep，也能整合現有程式持續整合及持續交付（CI/CD）系統如GitHub Actions。</p> <p>微軟也公布Radius開源第一版本的功能。Radius的Connections功能可透過權限許可及連線字串自動將元件連結到應用程式，使用一致化的API將App連結到底層資源（如Azure CosmosDB、AWS DocumentDB、或MongoDB）。Recipes功能則可儲存App使用的基礎架構滿足成本、營運和安全要求，並提供應用圖表（graph）顯示App和基礎架構的關聯，提供管理員直覺的管理功能。Radius可幫助開發人員了解所有應用組成元件，並且管理平臺配置，像是權限許可、連線字串等，確保所有App可遵循組織政策，再以Radius管理應用程式及資源。</p> <p>微軟強調Radius支援多種雲端平臺及本地部署。微軟和第三方合作夥伴如BlackRock、Comcast、Millennium BCP合作，以確保Radius能執行在任何雲上。第一版支援Azure及AWS，未來會再增加其他雲端環境的支援，包括Google Cloud、Alibaba Cloud等。</p> <p>開發人員或管理員可透過<a href="https://docs.radapp.io/getting-started" target="_blank">Radius網頁</a>開始使用Radius或取得相關資源。</p> </div></div></div>
2023/10/19 13:10作者林妍溱https://www.ithome.com.tw/news/159373
OpenAI正式開放ChatGPT Bing網頁搜尋，公測DALLE-3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/blog/dall-e-now-available-in-beta" target="_blank">OpenAI周三宣布</a>兩大生成式AI服務新進展，包括文字生成聊天機器人ChatGPT網際網路搜尋服務全面上線，以及文字轉圖片模型服務DALLE-3展開公測。</p> <p>OpenAI首先宣布Browse with Bing功能脫離beta版成為正式功能。這項功能今年6月宣布提供給付費版用戶。新功能讓ChatGPT可透過Bing查詢網際網路即時資訊，包括運動賽事比分、企業股價或氣象等。但上線一周後被發現可用來繞過網路出版商的付費牆而在7月初關閉。<a href="https://www.ithome.com.tw/news/159016" target="_blank">兩周前OpenAI宣布</a>ChatGPT Browse with Bing功能重新上線，提供給ChatGPT Plus及ChatGPT Enterprise用戶。兩類用戶現在不再需要從設定頁切換到beta版，只要GPT-4模型的選擇器中選擇「Browse with Bing」即可使用Bing網路搜尋。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0928-openai-browse%20with%20bing.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_OpenAI</span></p> <p>9月時OpenAI曾預告，這項功能最後開放給所有用戶。</p> <p>此外，讓用戶輸入文字生成圖片的生成式AI模型DALL-E 3，也在本周稍早開放beta版公測。<a href="https://help.openai.com/en/articles/6825453-chatgpt-release-notes" target="_blank">DALL-E 3於7月以邀請制</a>展開限定測試，當時找了100萬人。經過3個月的測試，現在DALL-E 3提供所有人公測，DALL-E 3已整合到ChatGPT，允許用戶輸入小從簡單一句話到詳細的文字段落，由ChatGPT生成圖片。在桌機版或手機版上，到GPT-4選擇器選擇DALL-E 3即可啟用這項功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0921-DALL%C2%B7E%203-OpenAI-960.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_OpenAI</span></p> </div></div></div>
2023/10/19 11:36作者林妍溱https://www.ithome.com.tw/news/159367
中俄國家駭客涉嫌濫用WinRAR零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全研究人員發現，知名檔案壓縮軟體WinRAR稍早被發現的零時差漏洞，之後仍然被俄羅斯及中國國家駭客濫用發動攻擊。</p> <p><a href="https://www.ithome.com.tw/news/158421" target="_blank">安全廠商Group-IB 7月偵測到</a>，WinRAR編號CVE-2023-38831的漏洞遭駭客濫用，用以散布DarkMe等惡意程式。攻擊者可以製作惡意.ZIP或.RAR壓縮檔，當中包含無害檔案（例如.jpg、.txt或PDF檔等）及惡意執行檔，並以無害檔名為資料夾命名。當使用者點擊並試圖解壓縮看似合法的檔案時，即被安裝惡意程式。安全廠商偵測到，CVE-2023-38831最早從今年4月開始被濫用，針對加密貨幣交易用戶進行攻擊，旨在感染裝置取得交易平臺帳密，藉以竊取財物。WinRAR維護單位RARLab在接獲安全廠商通報後，已在7月20日發布WinRAR 6.23版本解決本漏洞，也呼籲用戶應儘速更新到最新版本。</p> <p>尚未修補的用戶要格外留意了，因為<a href="https://blog.google/threat-analysis-group/government-backed-actors-exploiting-winrar-vulnerability/" target="_blank">Google威脅分析小組（Threat Analysis Group，TAG）接連偵測</a>到三組國家駭客持續在濫用CVE-2023-38831。首先是FROZENBARENTS，它隷屬於俄羅斯軍方，又稱為Sandworm。Sandworm/Frozenbarents目標向來是政府、國防、能源、運輸等組織。9月初這個組織散發假冒烏克蘭無人機軍事訓練學校的招生郵件以散布惡意檔案（下圖）。Sandworm罕見地使用惡意程式即服務Rhadamanthys進行攻擊。不知情的用戶點擊壓縮檔後會被安裝竊密程式Rhadamanthys，後者會蒐集受害者電腦中的瀏覽器帳密及會話資訊。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/Image_4_-_Training_of_drone_oper.width-1000.format-webp.webp" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Google</span></p> <p>TAG另於9月初偵測到稱為FrozonLake（又稱為FancyBear）的駭客組織針對烏克蘭政府官員發動精準網釣攻擊，目標在攻擊該國能源基礎架構。FrozonLake/FancyBear發送冒充烏克蘭智庫的信件，將其導向代管於免費供應商的網站，並誘使其下載惡意壓縮檔。開啟壓縮檔會導致執行名為Ironjaw的PowerShell腳本程式，竊取瀏覽器登入資料，以及本機狀態目錄內的資料。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/Image_6_-_IRONJAW_script_using_P.width-1000.format-webp.webp" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></p> <p>Google研究人員也觀察到中國國家駭客Islanddreams，即APT 40，於8月底濫用CVE-2023-38831網釣攻擊巴布亞紐幾內亞用戶。一旦用戶點擊惡意壓縮檔，即會執行並於電腦記憶體中安裝.NET後門程式Boxrat，藉此在受害者電腦長期潛伏以滲透攻擊。APT40隷屬於中國海南省，目標通常是對「一帶一路」計畫有影響力的國家，然也會鎖定各國政府贊助的專案。不過Google未說明這次APT 40的攻擊目標。</p> </div></div></div>
2023/10/19 11:53作者林妍溱https://www.ithome.com.tw/news/159368
【資安月報】2023年9月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年9月的資安新聞中，國家級駭客組織威脅日益嚴峻的議題，成為最受關注的焦點之一。</p> <p>最讓我們印象深刻就是，我們的iThome總編輯吳其勳在9月中旬應邀前往美國華盛頓特區，參加Mandiant舉辦的mWISE Conference 2023資安防禦會議，直擊了美國政府官員與資安大廠專家們對於當今網路攻擊局勢的看法與解析，當中並探討了中國駭客網攻對國家、企業與民生所帶來的危害與嚴重性。</p> <p>特別的是，身為美國國內的情報與安全機構，也是美國主要聯邦執法機關的美國聯邦調查局（FBI），該單位最高負責人亦現身這場大會，闡述國家級駭客與網路犯罪的問題，並指出中國策畫的駭客攻擊規模，已經遠比其他所有主要駭客國家攻擊規模加總還大，甚至指出FBI所有資安專家面對人數50倍以上中國駭客的局勢。</p> <p>這樣的第一手消息報導，不像往常資安日報所匯整的眾多資安攻擊事件與資訊，多是間接透過研究報告發布而取得，因此也讓應邀參與的我們，以身為長期關注臺灣資安動態的媒體角度，在這場活動當中更深刻感受到，國家級駭客發動大規模網攻的嚴重性。</p> <p>對於臺灣而言，我們多年來飽受中國駭客攻擊威脅，因此這場會議的一些內容，也值得我國政府或企業的一再重視，尤其是聯防、情資與善用AI技術的對抗策略。當然，對於俄羅斯與北韓駭客的網攻威脅，我們同樣也要留意。</p> <h3><strong>面對大50倍的中國駭客人數，FBI局長呼籲公私聯防</strong></h3> <p>具體而言，在這場會議中，除了有多項2023年最新網路威脅趨勢、挑戰與經驗的探討，其中關於講述重大地緣政治事件與新技術需求下，威脅格局的改變的議題上，在今年mWISE Conference 2023大會上有不少這方面的內容，也是我們特別留意的重點。</p> <p>首先，最令我們印象深刻的是，<a href="https://www.ithome.com.tw/news/158829">美國聯邦調查局（FBI）局長Christopher Wray</a>親臨現場，向與會者說明他們正在面對的國家級駭客攻擊挑戰。他指出，隨著中國、俄羅斯、伊朗和北韓的網路攻擊，對全球的威脅持續是有增無減，因此相當需要公部門與民間產業合作，來對抗這些威脅。</p> <p>Christopher Wray表示，自2001年發生911恐怖攻擊事件後，FBI已經體認到，國家安全相當需要依賴合作夥伴關係與情資分享，而要維護網路空間的安全也是如此。</p> <p>但是，現今FBI正面臨著新的嚴峻挑戰，就是中國支持的駭客組織威脅，已帶來網路環境攻防失衡的局勢。</p> <p>例如，Christopher Wray指出，中國政府多年來一直在竊取美國的智慧財產與資訊。他持續向外界告誡此事。</p> <p>更令大家震撼的是，他坦承，「中國駭客人數是FBI所有資安專家的50倍以上」，並表明，若要應付中國的網路攻擊，FBI人力遠遠不足。因此，他強調，公私聯防，情資分享，以及善用AI技術，將會是最重要的對抗策略。</p> <p>同時他也提醒，這些網路犯罪組織和敵對外國政府，現在已經在濫用AI技術，像是生成出深度偽造影片與惡意程式碼。</p> <p>這也讓我們感受到，近年全球都在談資安人才不足的挑戰，隨著全球格局的變化，美國對於網路威脅局勢的憂心更甚以往，從早年網路威脅以俄羅斯與北韓最常見，後續中國也成為主要攻擊者，如今2023年，中國的網路威脅更是已經擴大到，美國FBI局長都在公開場合表明，他們相當憂慮攻防失衡的局勢。</p> <h3><strong>Mandiant示警：中國網攻大轉型</strong></h3> <p>關於實際威脅，我們也看到這家資安業者進一步解析，他們與很多資安廠商再度確認，中國就是危害全球資安的重大禍源。例如，<a href="https://www.ithome.com.tw/news/159116">Google Cloud Mandiant主席Sandra Joyce揭發了今年中國網路間諜行動有所轉變</a>，在一些攻擊事件調查結果中，除了研判是中國政府有關連的UNC4841駭客組織發動，特別的是，在攻擊的目標上，中國駭客不僅是入侵多國政府機關，更開始染指多個民生關鍵基礎設施產業，2022年針對Barracuda ESG產品零時差漏洞（編號CVE-2023-2868）攻擊就是一例，有很多受害者皆是重要的民生關鍵基礎設施產業，而不僅是傳統針對政府機關、軍事國防、航太產業。</p> <p>此外，<a href="https://www.ithome.com.tw/news/159003">Google Cloud Mandiant行政總裁Kevin Mandia也特別揭露，近年來中國的網路攻擊戰略有三大轉變</a>，包括：</p> <p>（一）中國駭客近年逐漸捨棄社交工程手法，轉為更系統性挖掘零時差漏洞（Zero Day），可一次性發動大規模攻擊，帶來更強大的破壞力。</p> <p>（二）不只是有計畫性地挖掘零時差漏洞，並且經常鎖定網通設備，近年已有好幾次攻擊事件，就是中國駭客鎖定知名網通設備的零時差漏洞。</p> <p>而且，以今年情況來看，至9月前發現的62個零時差漏洞攻擊，調查後就發現一大部分是中國駭客攻擊。</p> <p>（三）中國網路攻擊朝向複雜匿蹤方式，主要挾持家用或中小企業路由器、IoT等設備，建構擴及全球的網路攻擊跳板。像是他們調查一美國軍事機構遭駭，首先查到的攻擊來源，是位於美國境內的家用路由器，再往後追查則面對複雜的網路跳接，這讓調查人員進度緩慢或難以溯源追查。</p> <p>綜合來看，國家級駭客組織威脅確實日益嚴峻，而上述提到中國駭客持續鎖定零時差漏洞攻擊的情形，如今也還在持續，以近期關於Confluence的零時差漏洞（CVE-2023-22515）攻擊為例，後續微軟威脅情資中心在10月11日揭露更多調查結果，指出幕後攻擊者是中國駭客組織Storm-0062。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/158662"><span style="color: rgb(178, 34, 34);">【資安週報】2023年9月4日到9月8日</span></a></strong></h2> <p>在這一週的漏洞消息中，最受關注的就是蘋果在7日緊急更新macOS、iOS，修補兩個零時差漏洞：CVE-2023-41064、CVE-2023-41061，揭露消息的加拿大公民實驗室，將這批漏洞鏈稱為BLASTPASS，並強調它們是可透過iMessageu傳送且不用使用者互動的零點擊漏洞，已在8月底發現有攻擊者藉此漏洞遞送Pegasus間諜程式。此外，Google的9月Android例行性安全更新中，也修補一個零時差漏洞CVE-2023-35674，並說明已遭攻擊者成功利用。</p> <p>還要注意的是，今年7月Adobe修補ColdFusion的3個漏洞（2023-29300、CVE-2023-38203、CVE-2023-38204），如今資安業者指出已有針對未修補用戶的攻擊行動。另外，我們在此補充本週資安日報未提及的一個重大漏洞消息。今年5月23日揭露的<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-33246">Apache RocketMQ漏洞CVE-2023-33246</a>，當時已釋出5.1.1版修補，最近<a href="https://vulncheck.com/blog/rocketmq-exploit-payloads">有資安業者發現，6月開始出現持續對此漏洞利用的行為</a>。</p> <p>在國際攻擊活動焦點方面，有6起事件值得關注，涉及勒索軟體、合作供應商遇害，國家關鍵基礎建設遭鎖定，以及網釣等形式的惡意行為。</p> <p>●英國柵欄設備製造商Zaun發布資安公告說明上月初遭勒索軟體LockBit攻擊，該國的軍事要塞採用該公司的產品，但因為駭客發動攻擊而拿到Zaun資料，以及駭客後續流出數千頁資料的影響，引發英國國防機密因合作廠商遭駭而外洩的事件。<br /> ●德國聯邦憲法保護局（BfV）發出報告指出，中國駭客組織APT15、APT31針對路由器、防火牆、NAS、網路印表機、智慧家電等家用IoT裝置的漏洞發動攻擊，接管這些裝置後，再用於向政府機關發動攻擊。<br /> ●烏克蘭電腦緊急應變小組（CERT-UA）揭露當地的能源基礎設施受到攻擊，並指出是遭俄羅斯駭客組織APT28攻擊行動鎖定。<br /> ●韓國資安業者揭露北韓駭客Lazarus旗下組織Andariel鎖定韓國國防工業，自今年開始使用多種惡意程式發動攻擊。<br /> ●有駭客組織GhostSec聲稱取得伊朗IT金融服務及IT服務業者FANAP的原始碼，並指出該公司的軟體被伊朗政府用於監控民眾。<br /> ●資安業者揭露中國駭客發起大規模釣魚簡訊攻擊行動Smishing Triad，攻擊者假冒多個郵政單位名義，透過遭駭的iCloud帳號對使用者發送iMessage訊息。</p> <p>另外，今年5月中國駭客Storm-0558入侵25個使用微軟電子郵件系統的組織，以及今年8月勒索軟體Akira鎖定思科SSL VPN設備的攻擊行動，近期都有更詳細的後續調查公布。</p> <p>而在最新的威脅態勢上，有三起事件值得留意，包括：勒索軟體駭客Ransomed竟以付贖金可免受GDPR巨額罰款的話術來進一步要脅，以及販售多種網釣工具W3LL Store的揭露，還有微軟SQL Server遭勒索軟體FreeWorld鎖定的消息。</p> <p>另有2份個資隱私研究出爐，大家應關注與敦促廠商強化相關防護，一份是針對瀏覽器安全設計的研究，美國的大學研究人員指出，Chrome、Firefox與Safari瀏覽器的安全設計不夠完善，若有心人士結合網站漏洞，可透過瀏覽器外掛程式，存取使用者密碼等機密資料：另一是個資保護政策在汽車品牌業者領域未獲重視，25個品牌均未達Mozilla最低安全標準，最離譜的是，廠商居然表示能蒐集車主的性活動，顯然與車輛無關的個資，卻又未說明如何蒐集。</p> <p>至於防禦態勢方面，在半導體資安、軟體開發與供應鏈安全領域有新動向。首先是SEMI E187資安標準規範，這一週舉行的國際半導體展臺灣場，宣布有首批設備通過合格性驗證，它們分別是均豪精密的AOI自動光學檢測設備，以及東捷科技的OHS空中行走式無人搬運系統：另一個進展是Google Cloud與GitLab宣布擴大合作，未來Google Cloud的開發人員可存取GitLab的DevSecOps平臺，而GitLab的用戶也可存取Google Cloud的軟體供應鏈安全框架SLSA評等，以及軟體物料清單（SBOM）。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/158777"><span style="color: rgb(178, 34, 34);">【資安週報】2023年9月11日到9月15日</span></a></strong></h2> <p>在這一週漏洞利用消息中，有多個零時差漏洞修補要優先重視，分別是：（一）微軟本月安全性例行性更新修補兩個零時差漏洞，包括已被公開且遭成功利用的Word的漏洞CVE-2023-36761，以及已遭成功利用的串流服務相關的漏洞CVE-2023-36802；（二）Google、Mozilla先後修補Chrome、Firefox/Thunderbird漏洞CVE-2023-4863，Google指出此零時差漏洞已被外部人士利用，且所有支援WebP圖像處理的瀏覽器都受影響；（三）Adobe修補的Acrobat與Reader漏洞CVE-2023-26369，修補釋出前同樣已被用於攻擊行動；（四）思科在11日針對多功能網路資安設備ASA、FTD存在零時差漏洞CVE-2023-20269先提供緩解，指出漏洞起因是AAA協定與其他軟體功能缺乏適當區隔，已遭勒索軟體駭客用於攻擊。用戶需注意後續更新修補的釋出。</p> <p>其他重要漏洞修補動向，還包括：SAP、西門子、施耐德電機等業者發布9月份例行更新。</p> <p>在網路威脅焦點上，國內有2起事件引起最多國人關注：首先，彰化肉品市場與台中大安肉品市場發生拍賣系統遭軟體攻擊，系統無法運作使得豬隻拍賣暫停、延遲；其次，大洸醫院機構管理顧問提供的醫指付在這一兩個月內，持續傳出用戶綁訂的信用卡遭海外盜刷情形，近日金管會已請財金公司督促與釐清事件，甚至去年6月就有資安研究人員在HITCON Zeroday通報醫指付App安全漏洞卻未因應的情形也被挖出。</p> <p>在國際間，有5起重大事件成為焦點，其中國際連鎖賭場接連遭駭格外引發關注：<br /> ●MGM米高梅國際酒店集團在9月11日說明遭遇網路攻擊，不僅訂房或查詢只能採傳統電話方式進行，甚至有報導指出吃角子老虎停擺，房卡無法使用。到了14日ALPHV（BlackCat）勒索軟體集團聲稱這起事件是他們所為。<br /> ●連鎖賭場凱撒娛樂（Caesars Entertainment）在9月7日向美國證交所提交8-K文件說明發生資料外洩事件，指出該事件源於公司使用的IT承包商遭社交工程攻擊而導致。另有當地媒體報導指出Caesars遭勒索已支付上千萬美元贖金。<br /> ●微軟威脅分析中心發布東亞數位威脅報告，指出中國對南海國家和臺灣發動廣泛的網路攻擊與認知作戰，並強調中國在認知作戰中正大量使用AI生成更好品質的內容，影響力有擴大跡象。<br /> ●半年前駭客組織鎖定Zoho的漏洞CVE-2022-47966與Fortinet的漏洞CVE-2022-42475，近日美國CISA、FBI與CNMF再發安全通告，說明年初美國航太機構受害，同時揭露攻擊細節、IoC，以及緩解防範的建議。<br /> ●中國駭客組織Redfly鎖定亞洲國家的電網設施攻擊被揭露，攻擊者發動網路間諜攻擊並植入惡意程式ShadowPad。</p> <p>在其他重要威脅態勢上，我們注意到有多起資料外洩事件與供應鏈攻擊有關，也發現近日持續有Mac電腦接連遭鎖定的消息。前者包括：嬌生醫療照護系統因IBM代管的應用系統遭到攻擊，英國曼徹斯特警局因外部供應商遭勒索軟體攻擊，還有軟體臭蟲追蹤公司Rollbar遭駭的消息；後者包含惡意軟體MetaStealer、竊資軟體Atomic Stealer被揭露近期均針對Mac電腦而來。</p> <p>還有一些趨勢值得留意，像是有研究人員指出近期DDoS攻擊，針對金融業攻擊的比例呈現越來越高的趨勢；還有研究人員針對Wi-Fi技術的波束形成回應資訊（BFI）揭露新型態攻擊手法WiKI-Eve。</p> <p>在最新防禦發展焦點上，我們注意到MITRE在9月5日宣布，將開源攻擊模擬工具Caldera延伸到OT環境，新推出MITRE Caldera for OT。另外，我們在此補充本週資安日報未提及的另一防護焦點，9月7日微軟<a href="https://www.microsoft.com/en-us/security/blog/2023/09/07/cloud-storage-security-whats-new-in-the-threat-matrix/">發布儲存服務威脅矩陣（Threat matrix for storage services）第二版</a>，將有助於識別和分析雲儲存服務中資料潛在安全威脅。還有關於PQC演算法升級，我們發現本土廠商網擎資訊開始有具體行動，他們在9月11日表示已開發部署相關防護。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/159014"><span style="color: rgb(178, 34, 34);">【資安週報】2023年9月18日到9月22日</span></a></strong></h2> <p>許多IT廠商在前一週發布9月份例行更新，但在本週的資安新聞裡，有多起漏洞攻擊行動引起研究人員關注，並呼籲企業組織、使用者應儘速修補，這些漏洞包含：</p> <p>（一）8月份Juniper修補的CVE-2023-36845，當時該廠商評估風險等級為中等，但資安業者VulnCheck發現該漏洞嚴重程度被低估，已有駭客嘗試將其用於攻擊行動；</p> <p>（二）開源物件儲存服務MinIO於3月修補的漏洞CVE-2023-28432、CVE-2023-28434，駭客針對DevOps工程師下手，在目標系統植入後門程式Evil MinIO，竄改更新伺服器的網址，然後派送惡意更新；</p> <p>（三）蘋果針對旗下電腦、行動裝置、穿戴裝置，修補零時差漏洞CVE-2023-41991、CVE-2023-41992、CVE-2023-41993，這些由加拿大公民實驗室與Google威脅情報小組（TAG）通報的漏洞，已被用於攻擊iPhone裝置；</p> <p>（四）趨勢科技針對旗下端點防護產品Apex One、Worry-Free Business Security（WFBS）漏洞CVE-2023-41179發布公告，已有攻擊行動出現，引起日本電腦網路危機處理暨協調中心（JPCERT/CC）注意；</p> <p>（五）駭客假借提供6月WinRAR修補漏洞的PoC，但其實是利用地圖服務伺服器程式GeoServer的SQL注入漏洞CVE-2023-25157，散布木馬程式VenomRAT。</p> <p>其他的重要漏洞修補警告，還包括：GitLab修補執行任意自動化工作流程漏洞CVE-2023-4998，以及Fortinet修補防火牆作業系統、上網安全閘道、WAF的高風險漏洞CVE-2023-29183、CVE-2023-34984，網路監控軟體Nagios XI修補高風險漏洞、N-able遠端管理工具的CVE-2023-27470、程式庫ncurses的記憶體毀損漏洞等。</p> <p>面對日與俱增的資安威脅，本週除了研究人員極力呼籲使用者儘速修補已公開的漏洞，資安界也有多項動態值得留意。</p> <p>首先是資安業者Mandiant舉辦的mWISE Conference 2023資安防禦會議，FBI局長Christopher Wray提到攻防極度不對等的資安態勢，他表示，中國駭客人數是FBI資安專家的50倍以上，防守方勢必要善用AI人工智慧技術，還有政府、執法機關與民間產業之間更為緊密的合作，才有機會扭轉局勢，他甚至認為企業應該在資安防護計畫裡納入FBI，充分發揮執法的力量。</p> <p>再者，OpenAI為了改善機器學習模型的安全，擴大原本的紅隊演練規模，成立名為OpenAI Red Teaming Network的紅隊演練網路，從數十個專業領域招募專家，看重的是專家能提供該領域的專業觀點，而有可能突破人工智慧產業的盲點。</p> <p>本週資安界有兩起重大的廠商併購案，分別是19日資安業者CrowdStrike買下應用程式安全態勢管理（ASPM）新創Bionic，及21日思科買下大數據資安業者Splunk，其中又以思科和Splunk的併購案受到最多關注。值得留意的是，這起合併案2022年2月就傳出風聲，當時思科打算以200億美元買下Splunk，而現在實際成交的金額達到280億美元，較先前的傳聞多出4成。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/159050"><span style="color: rgb(178, 34, 34);">【資安週報】2023年9月25日到9月28日</span></a></strong></h2> <p>在本周重要漏洞修補消息中，有4個最受注目，包括：網際網路系統協會（ISC）修補DNS軟體BIND高風險漏洞，JetBrains修補CI/CD軟體平臺TeamCity重大漏洞，以及Atlassian針對旗下多款產品發布更新。此外，9月上旬思科針對已遭利用的零時差漏洞CVE-2023-20269先提供緩解，當時已遭Akira勒索軟體組織鎖定利用，29日思科新釋出臨時的更新修補。</p> <p>還有多個已知漏洞，近期因為遭鎖定利用情形被美國CISA列入限期修補清單，是本週資安日報未提及的漏洞消息，我們也特別整理如下，包括：Red Hat JBoss RichFaces Framework的漏洞（CVE-2018-14667）、Laravel的Ignition漏洞CVE-2021-3129、Laravel框架Ignition的漏洞（CVE-2021-3129）、Zyxel EMG2926路由器的漏洞（CVE-2017-6884）、Realtek SDK的漏洞（CVE-2014-8361）、Samsung行動裝置的漏洞（CVE-2022-22265），以及Owl Labs視訊會議設備Meeting Owl的4個已知漏洞（CVE-2022-31463、CVE-2022-31462、CVE-2022-31461、CVE-2022-31459）。</p> <p>在網路威脅焦點上，有四大議題值得關注：<br /> （一）美國NSA、FBI、CISA與日本國家資安事件整備與策略中心（NISC）發布聯合公告，指出中國駭客組織BlackTech藉由竄改思科路由器的韌體方式來隱藏其行動，從美國、日本企業跨國公司的子公司進一步滲透總公司的網路環境。<br /> （二）近日Akamai與Perception Point相繼揭露新網釣攻擊活動，出現鎖定飯店業者、訂房業，以及訂房客戶的複雜攻擊，尤其是入侵訂房網站或飯店系統冒用合法發動典型網釣。<br /> （三）除了勒索軟體Akira自今年3月以來攻擊活動節節攀升需要關注，美國FBI與CISA在20日也針對勒索軟體Snatch發布安全通告，詳細說明該組織的技術手法與IoC指標。<br /> （四）關於GPU.zip的GPU旁路漏洞早期揭露，目前發現的大學研究人員已通報GPU供應商、以及瀏覽器供應商Google，後續廠商修補的動向需要留意。</p> <p>其他值得關注的國際威脅態勢，有多個產業被攻擊者鎖定的消息，受到不同資安業者揭露，包括：<br /> ●中東、西歐、南亞次大陸的電信業者成鎖定目標，攻擊者散布惡意軟體LuaDream發動精準攻擊。<br /> ●烏克蘭軍方成鎖定目標，攻擊者利用無人機手冊散布惡意程式。<br /> ●中東政府機關被鎖定，攻擊者利用了新型態後門程式Deadglyph。<br /> ●巴西與墨西哥等逾40家拉丁美洲的銀行用戶遭鎖定，有駭客利用銀行木馬BBTok發動大規模攻擊行動。<br /> ●美國衛生暨公共服務部（HHS）旗下HS3揭露，近年中國駭客組織APT41、北韓駭客組織APT43與Lazarus肆虐，對美國公衛部門與生技公司已造成嚴重危害。</p> <p>在防禦態勢的消息上，我們特別注意到，在越來越多人重視的軟體物料清單（SBOM）之外，近日美國CISA推出硬體物料清單框架（HBOM），希望進一步幫助有效評估與減少供應鏈存在的資安風險。在國內，也有兩起事件受關注，一是行政院公共工程委員會新發布資訊服務採購作業指引，明訂公部門編列專屬資安預算；另一是數位部預告修正資安法，將明訂公部門禁用危害國家安全的資安產品。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/158650">2023年8月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/158096">2023年7月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/157613">2023年6月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/157226">2023年5月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/156683">2023年4月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/156593">2023年3月資安月報</a></h3> <h3> </h3> <h3> </h3> <p> </p> <p> </p> </div></div></div>
2023/10/19 09:50作者羅正漢https://www.ithome.com.tw/news/159207
未來要讓AI接手電商作業面工作！臺灣家樂福公開5年上雲歷程及數位轉型下一步
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2018年，臺灣家樂福以強化電子商務為目標，開始推動一系列數位轉型措施，5年來電商營收從8億成長40億元。近期一場活動中，臺灣家樂福技術長丁平碩回顧他們如何透過雲端技術來推動數位轉型，並揭露未來數位計畫，要用AI來持續強化電商，甚至讓AI接管大部分電商作業管理。</p> <p>那年，配合法國家樂福總部宣布全球5年數位轉型計畫，臺灣家樂福也訂下電商營收倍數成長的目標，制定「Cloud First」和「Google First」策略，目標將所有數位建設遷移至Google雲端。</p> <p>2019年起，臺灣家樂福開始系統大遷徙，將部署在法國總部IDC或外地雲端機房的ERP、HR、SCM、資料倉儲、EC和行動App等系統，陸續轉移到在臺灣有IDC的GCP上，大幅降低系統連線時間。這期間，家樂福還將原本EC和行動App的VM架構改為微服務架構，利用Cloud Run和GKE部署和管理雲端容器。這些建設，不只提升家樂福系統效率，也為之後發展電商和數位行銷奠定了基礎。</p> <p>丁平碩以電商系統上雲舉例，說明採用雲端服務後，在維運上不僅能夠協助IT人員完成不停機系統更新，在遇到節慶或促銷活動時，系統也能根據需求自動擴充網路和運算資源，來確保提供穩定的EC服務，此外，這也有助於降低遭受駭客攻擊導致網站癱瘓的風險。</p> <p>近幾年，家樂福導入了雲端的數據和AI工具，加速其擁抱AI應用。例如上雲初期，他們就利用AutoML建立了顧客終身價值預測、行銷轉化預測、趨勢預測和市場區隔預測等4個機器學習模型，應用在行銷上，提高廣告投放成效2.64倍，減少17%因缺貨造成的潛在營收損失。</p> <p>家樂福還在雲端環境打造了API管理平臺，用來統一管理與外部系統連結，進一步加速介接新系統能力，為發展快商務（Q-Commerce）積極布局。例如快速串接兩大外送平臺商系統，就是透過這套API管理平臺來完成。</p> <p>不只在技術面下功夫，為了落實數位轉型及上雲成效，家樂福內部還成立了「數位零售學院」，開課教育員工關於雲和數據應用等知識，以期內部從上到下都能擁抱這些科技。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20231017_024646373.jpg" style="width: 600px;" /></p> <blockquote><p>家樂福5年數位轉型計畫的歷程與面向。圖_余至浩攝</p> </blockquote> <p><strong>下階段數位轉型三大要務，發展AI商業應用是第一優先事項</strong></p> <p>5年轉型計畫結束後，臺灣家樂福下一階段數位轉型有3大要務。</p> <p>丁平碩表示，第一要務是是持續發展更多AI應用。丁平碩直言，這是目前家樂福第一優先事項。今年，他們內部舉辦了跨部門生成式AI黑客松，教育員工圖像跟文字生成AI相關知識，並探討這些技術如何應用在實際商業場景。2個月前，他們就在自家外送App推出智能食譜推薦功能，用生成式AI推薦食譜並推銷食材。除了自行開發AI應用，他們上個月也導入了Google Retail Search解決方案，用AI來優化電商商品搜尋功能。</p> <p>長遠來看，家樂福希望用AI達到「Labor-free E-commerce」境界，也就是利用AI來減少真人花費在電商作業面的時間。丁平碩進一步說明：「真人可以設計電商企畫，但是企畫作業面，包括版面編排、商品分類、素材製作這些事情，希望全部交給AI。」</p> <p>第二要務是持續搬遷系統上雲。上雲初期，家樂福將原本電商和行動App的VM架構改為微服務架構，利用Cloud Run和GKE部署和管理雲端容器。丁平碩表示，未來他們還要把更多既有VM架構的系統轉為雲原生，提升韌性跟穩定性。</p> <p>最後，則是持續強化雲端環境資安，讓消費者能在家樂福電商安心購物。</p> <p> </p> </div></div></div>
2023/10/19 09:17作者郭又華https://www.ithome.com.tw/news/159360
【資安日報】10月18日，使用Telegram、AWS、阿里雲的開發人員遭到鎖定，駭客透過PyPI套件發動供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>散布惡意NPM、PyPI套件攻擊開發者的事故頻傳，許多程式碼檢測工具供相關機制因應，但道高一尺魔高一丈，有攻擊者刻意將惡意程式碼埋於他處，導致檢測工具難以偵測這類狀況。</p> <p>最近由資安業者Checkmarx揭露的攻擊就用這種手法，駭客埋藏的程式碼須在應用系統呼叫特定功能函數，才會觸發，於受害電腦竊取資料。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://checkmarx.com/blog/users-of-telegram-aws-and-alibaba-cloud-targeted-in-latest-supply-chain-attack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客鎖定Telegram、AWS、阿里雲用戶發動供應鏈攻擊，散布惡意PyPI套件</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/kohlersbtuh15-8.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/kohlersbtuh15-8.png" style="width: 300px; float: right;" /></a>資安業者Checkmarx新一波的PyPI惡意套件攻擊，駭客主要的目標是使用Telegram、AWS、阿里雲的開發人員。研究人員自今年9月，看到有人上傳一系列惡意PyPI套件，但特別的是，這些套件的惡意程式碼不會在開發人員安裝時執行，駭客將惡意指令碼嵌入套件深處，必須在套件執行過程呼叫特定的功能函數，才會觸發。研究人員指出，由於許多資安工具會掃描自動執行的惡意指令碼，但遇上這種手法可能沒輒。</p> <p>而為了引誘開發人員上當，攻擊者不光使用了模仿域名（Typosquatting）的手段，還讓這些惡意套件看起來相當受歡迎，由於開發人員在挑選套件的過程，往往會參考GitHub統計的資料，攻擊者刻意將PyPI套件連結GitHub上面不相關套件的儲存庫，導致開發人員可能誤以為此套件的程式碼具有相當影響力而降低戒心，研究人員將此攻擊手法稱做Starjacking。</p> <p>而對於受害者的身分，研究人員指出近半數位於美國（44.61%），其次是中國（16.37％）、香港（4.44％）、新加坡（4.44％）。</p> <p><a href="https://www.ithome.com.tw/news/159336"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">D-Link傳資料外洩，起因是員工遭網釣攻擊</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/D-Link stolen data up for sale.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/D-Link%20stolen%20data%20up%20for%20sale.jpg" style="width: 300px; float: right;" /></a>有人在駭客論壇BreachForums以500美元的價格，兜售臺灣網路設備製造商D-Link的內部資料，聲稱內容包含300萬筆客戶資料，以及網路管理軟體D-View的原始碼，並強調內含臺灣許多政府官員及企業執行長、員工的資料，檔案大小為1.2 GB。賣家提供45筆樣本資料供買家比對，但資料日期介於2012年至2013年，有買家認為賣家提供的資料相當老舊。</p> <p>對此，10月2日D-Link提出說明，他們知悉此事並委由趨勢科技進行調查，表示上述人士取得資料的來源，是該公司測試實驗室當中的產品註冊系統，駭客對其員工發動網路釣魚攻擊，進而存取該公司內部網路環境。而這些存放在註冊系統上的資料，源自2015年已結束生命週期（EOL）的D-View 6，約有700筆，大部分資料為低敏感或半公開的資訊組成，該公司評估現有客戶不太可能受到影響。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/security/d-link-confirms-data-breach-after-employee-phishing-attack/">https://www.bleepingcomputer.com/news/security/d-link-confirms-data-breach-after-employee-phishing-attack/</a><br /> 2. <a href="https://supportannouncement.us.dlink.com/announcement/publication.aspx?name=SAP10359">https://supportannouncement.us.dlink.com/announcement/publication.aspx?name=SAP10359</a></p> <p><a href="https://www.bleepingcomputer.com/news/security/over-10-000-cisco-devices-hacked-in-ios-xe-zero-day-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">上萬臺思科網路設備遭遇IOS XE零時差漏洞攻擊</span></strong></a></p> <p></p> <p>10月16日<a href="https://www.ithome.com.tw/news/159319">思科揭露網路設備作業系統IOS XE的重大漏洞CVE-2023-20198</a>，這項漏洞影響啟用網頁介面（Web UI），以及HTTP（或HTTPS）伺服器功能的網路設備，CVSS風險評分為10，且已出現攻擊行動，現在研究人員陸露揭露受害情形。漏洞情報業者VulnCheck提出警告，他們發現數千個遭到感染的IOS XE網頁介面，該公司亦提供檢測工具，讓網管人員能檢查設備是否遭到入侵。</p> <p>VulnCheck向資安新聞網站Bleeping Computer透露，他們掃描了從物聯網搜尋引擎Shodan及Censys列出的半數裝置，約有1萬臺受到感染，但實際數量可能更多。另一家資安業者Aves Netsec研究人員指出，約有14萬臺思科裝置可能曝險，其中以美國、菲律賓、智利最多。資安機構CERT Orange Cyberdefense表示，他們找到至少34,500個思科IOS XE的IP位址遭到入侵。</p> <p>資料來源</p> <p>1. <a href="https://vulncheck.com/blog/cisco-implants">https://vulncheck.com/blog/cisco-implants</a><br /> 2. <a href="https://twitter.com/SimoKohonen/status/1714213806371479849">https://twitter.com/SimoKohonen/status/1714213806371479849</a><br /> 3. <a href="https://twitter.com/CERTCyberdef/status/1714567941184749609">https://twitter.com/CERTCyberdef/status/1714567941184749609</a></p> <p><a href="https://www.securityweek.com/milesight-industrial-router-vulnerability-possibly-exploited-in-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Milesight工控路由器的漏洞被用於攻擊行動</span></strong></a></p> <p></p> <p>研究人員Bipin Jitiya揭露Milesight工業路由器漏洞CVE-2023-43261（CVSS風險評分為7.5），攻擊者有可能藉由曝露的事件記錄檔案（如httpd.log），從而取得管理者的密碼，控制路由器。該公司獲報後表示，他們早已進行修補，而這項漏洞最近傳出被用於攻擊行動。</p> <p>該廠牌路由器並非全部曝險，漏洞情報業者VulnCheck在物聯網搜尋引擎Shodan及Censys尋找，他們發現約有5,500臺這類設備可從網際網路存取，當中僅有不到400臺曝露於上述漏洞的風險，約占6.5%。</p> <p>雖然曝險裝置比例不高，研究人員還是在10月2日發現異常存取的情況，有人嘗試存取6個位於法國、立陶宛、挪威的路由器，其中4臺攻擊者在第一次嘗試就成功。</p> <p>資料來源</p> <p>1. <a href="https://vulncheck.com/blog/real-world-cve-2023-43261">https://vulncheck.com/blog/real-world-cve-2023-43261</a><br /> 2. <a href="https://medium.com/@win3zz/inside-the-router-how-i-accessed-industrial-routers-and-reported-the-flaws-29c34213dfdf">https://medium.com/@win3zz/inside-the-router-how-i-accessed-industrial-routers-and-reported-the-flaws-29c34213dfdf</a></p> <p><a href="https://outpost24.com/blog/it-admins-weak-password-use/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾4萬個管理員帳號使用admin當作密碼</span></strong></a></p> <p></p> <p>資安業者Outpost24針對180萬個外洩的管理員帳密資料進行分析，結果發現，最常見的弱密碼是admin，其次是123456、12345678、1234、Password。光是使用admin作為密碼的帳號，就超過4萬個，約占外洩帳號的2%。</p> <p>會出現這樣的結果，很有可能是許多裝置未修改預設密碼所致，由於這種密碼多半是公開資料，只要從網路上或是產品文件就能找到，是攻擊者最容易入侵的缺口之一，但顯然仍有不少IT人員並未遵照最佳實務進行設置，保留預設的密碼而曝險。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.fubon.com/financialholdings/news/news_1231016_455320.htm"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為防堵金融詐騙橫行，32家銀行參與鷹眼識詐聯盟</span></strong></a></p> <p></p> <p>內政部警政署刑事警察局與台北富邦銀行合作，共同建置AI預警模組，由刑事局主動分享判斷異常金流狀態經驗，結合北富銀異常交易金流偵測技術，來保護民眾的財產，<a href="https://www.cib.npa.gov.tw/ch/app/news/view?module=news&id=1887&serno=3c622e86-af82-4b70-9508-d9578bff593e">刑事局於今年4月進一步成立AI鷹眼識詐聯盟</a>，如今該聯盟擴大規模，宣示政府與金融界反詐騙的決心，鷹眼模型防護的範圍，現在涵蓋超過50種的動態交易風險參數。</p> <p>10月16日行政院打詐辦公室、刑事局、金管會、臺北市政府警察局，以及32家銀行舉辦鷹眼識詐聯盟誓師大會，預計在2024年6月前陸續完成鷹眼模型系統的導入，屆時全臺將有超過4,300個金融據點受到相關保護。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.securityweek.com/critical-vulnerabilities-expose-weintek-hmis-to-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Weintek人機介面存在重大漏洞，攻擊者有可能藉此繞過身分驗證或執行任意命令</span></span></strong></a></p> <p></p> <p><a href="https://www.sonarsource.com/blog/security-vulnerabilities-in-casaos/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">開源雲端軟體CasaOS存在重大漏洞，攻擊者有可能用來執行任意程式碼並控制受害系統</span></span></strong></a></p> <p></p> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/10/the-forgotten-malvertising-campaign"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意廣告攻擊行動宣稱提供文字編輯器Notepad++，目的是散布惡意程式</span></span></strong></a></p> <p></p> <p><a href="https://blog.f-secure.com/take-a-note-of-spynote/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">安卓間諜軟體SpyNote透過釣魚簡訊散布</span></span></strong></a></p> <p></p> <p><a href="https://www.ithome.com.tw/news/159251"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google允許安卓用戶刪除15分鐘內Chrome上網紀錄、Gmail流到暗網時會通知用戶</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159329"><strong>【10月17日】駭客假借提供以色列民眾空襲警報應用程式，意圖搜括安卓手機用戶各式資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159306"><strong>【10月16日】 Skype用戶注意！駭客利用外洩帳號發送訊息，透過內嵌VBA指令碼的檔案散布惡意程式DarkGate</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159278"><strong>【10月13日】利用職場社群網站LinkedIn市場行銷工具的網釣攻擊再度出現，受害者遍及各行各業</strong></a></p> </div></div></div>
2023/10/18 17:27作者周峻佑https://www.ithome.com.tw/news/159361
Google發表8項無障礙功能，圍繞在地圖、搜尋與拍照
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/outreach-initiatives/accessibility/making-daily-tasks-accessible/" target="_blank">Google周二（10/17）發表8項無障礙功能</a>，它們分別出現在Google Maps、搜尋、Chrome或拍照等功能上，以協助身心障礙人士更容易完成每天的任務。</p> <p>其中之一是讓商家可於Google Maps與搜尋上，標註自己屬於身心障礙人士，先前Google也曾支援不同的社群的商家進行標註，例如亞洲人、拉丁人、LGBTQ+族群、退伍軍人或是女性業主等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1018-google%20accessibility-600-1.png" style="width: 500px;" /></p> <p>與視障人士有關的功能則有Lens in Maps的螢幕朗讀、放大鏡（Magnifier）及用來自拍的Guided Frame。其中，Lens in Maps之前名為Search with Live View，為一徒步導航功能，它利用相機來替使用者尋找附近的ATM、餐廳或車站，現在則新增螢幕朗讀功能，直接幫視力不佳的使用者唸出周遭的地點，將率先支援iOS上的Lens in Maps，今年底也會支援Android平臺。</p> <p>Magnifier則是一個支援Pixel 5及以上Pixel手機的放大鏡程式，它就是一個基於手機相機的放大鏡，可用來放大菜單或文件上的文字、縫紉針孔或街道標誌。Guided Frame則是個利用語音、高對比及震動回饋功能，來協助視障用戶拍攝自拍像的功能，它目前支援Pixel 8及8 Pro，今年稍後將會支援Pixel 6及之後的版本。</p> <p>另有兩項功能與輪椅友善性有關。一是在Android與iOS版的Google Maps上提供支援輪椅的步行路線，該路線也適用於拖著大行李箱的旅人，二則是在Google Maps、Android Auto及內建Google的汽車上提供方便輪椅通行的地方，像是無障礙入口、廁所、停車場或是座位等。</p> <p>認知障礙用戶則可利用Assistant Routines來協助處理日常事務，將這些日常事務分類成不同的區塊，再於首頁建立捷徑。若是有閱讀障礙或是經常打錯字，則可利用Chrome網址列的錯別字訂正功能來協助造訪正確的網站，此一功能是在今年5月現身於桌面版Chrome瀏覽器上，現在則支援Android與iOS上的Chrome。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1018-google%20accessibility-600-2.png" style="width: 310px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></p> </div></div></div>
2023/10/18 16:15作者陳曉莉https://www.ithome.com.tw/news/159358
友訊1.2GB產品原始碼、客戶、員工資料在駭客論壇上兜售
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bleepingcomputer.com/news/security/d-link-confirms-data-breach-after-employee-phishing-attack/" target="_blank">《Bleeping Computer》</a>報導，網路設備商友訊（D-Link）產品原始碼及客戶、員工個資等資料遭駭客在地下論壇上兜售，友訊坦承此事，但表示是員工誤點網釣信件才讓駭客存取系統，不過存取的也是過時的資料。</p> <p>報導指出，一名地下論壇用戶張貼公告，指其曾駭入友訊的內部網路，取得300萬行客戶及員工客製以及網路管理軟體D-View的程式碼。</p> <p>這批1.2GB的資料包含客戶及員工姓名、電子郵件、住家地址、公司、電話、帳號註冊及最後登入日期，要價僅500美元。值得注意的是，兜售者宣稱名單上還有「許多」政府官員，以及友訊CEO的個資。</p> <p>友訊已經向媒體證實此事，表示原因是一名員工不慎點入網釣信件，而讓攻擊者取得公司網路系統的登入憑證。該公司說已立即關閉受影響的伺服器，及封鎖用戶帳號，除了2個正在調查的帳號外。</p> <p>這家網路設備商聲稱，駭客是存取了測試實驗室中的產品註冊系統取得了這批資料。但外洩的產品程式碼是屬於舊版D-View 6，後者已在2015年終止支援。友訊也否認外洩的資料量及機密性，聲稱經過調查顯示只有700筆過時、零碎的資訊，並說大部分資料都是低敏感性，且半公開可取得的資訊。</p> <p>友訊並表示，這起事件是舊安全事件了，只是駭客刻意竄改存取時戳，以假造駭入事件是最近所為，因此現有客戶不太可能受影響。</p> <p>友訊常因其生產網路設備、網路攝影機安全漏洞<a href="http://www.ithome.com.tw/news/116795" target="_blank">遭濫用</a>而<a href="https://www.ithome.com.tw/news/125135" target="_blank">登上資安新聞</a>。<a href="https://www.ithome.com.tw/news/110963" target="_blank">2017年美國聯邦貿易委員會（FTC）</a>因網路路由器及攝影機軟體安全性不足控告友訊，<a href="https://www.ithome.com.tw/news/131637" target="_blank">雙方於2019年達成和解</a>。</p> </div></div></div>
2023/10/18 13:33作者林妍溱https://www.ithome.com.tw/news/159336
有2%的IT管理帳戶以「admin」作為密碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供持續性威脅曝露管理解決方案的資安業者Outpost24，<a href="https://outpost24.com/blog/it-admins-weak-password-use/" target="_blank">在本周公布了一項調查報告</a>，分析了外洩的180萬個IT管理員帳戶密碼，發現有超過2%直接採用「admin」。</p> <p>Outpost24所分析的是該公司的Threat Compass資料庫，此一資料庫蒐集了大量的外洩憑證，並從中篩選出180萬個標示為管理員入口網站（Admin portals）的帳戶，發現這些帳戶最常使用的前五名密碼依序是admin、123456、12345678、1234及Password，其中，有超過4萬個Admin帳戶的密碼是admin，占了所有Admin帳戶的2%。</p> <p>這樣的結果令研究人員相信，許多使用者都直接採用了裝置的預設密碼，因為不管是admin、Password或連續數字都是裝置上常見的預設密碼。</p> <p>Outpost24指出，預設密碼通常用在裝置一開始的設定，且多半是公開的，只要於網路上或產品文件中搜尋就能找到，是駭客最容易入侵的缺口之一，也被視為安全漏洞，儘管如此，卻依然被廣泛使用。</p> <p>另一方面，密碼管理業者NordPass與第三方研究人員合作，分析了3TB的外洩資料庫，顯示整體而言在2022年最常見的前五大密碼則是password、123456、123456789、guest與qwerty。</p> <p>其實近年來已有相關立法禁止預設密碼的使用，包括英國的《Product Security and Telecommunication Infrastructure 》（PSTII）法案，或是加州的預設密碼法案Senate Bill 327，這些法案要求每一個連網裝置都必須具備獨特的密碼，或者是必須於裝置中設計安全機制，要求使用者首次啟用時必須變更密碼。</p> </div></div></div>
2023/10/18 13:49作者陳曉莉https://www.ithome.com.tw/news/159337
CVE-2023-20198漏洞已讓數千臺思科裝置淪陷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/159319" target="_blank">思科在本周一（10/16）揭露了</a>一個CVSS漏洞風險評分高達10的Cisco IOS XE漏洞CVE-2023-20198，並表示早在9月28日發現相關的可疑活動，確定已遭駭客利用，不過，<a href="https://vulncheck.com/blog/cisco-implants" target="_blank">安全漏洞情報業者VulnCheck隨後指出</a>，思科沒說的是，已經有數千臺安裝Cisco IOS XE的裝置淪陷。</p> <p>CVE-2023-20198是個存在於Cisco IOS XE作業系統上的Web UI權限擴張漏洞，該漏洞允許未經授權的遠端駭客於受影響的系統上，建立一個具備Level 15最高權限的新帳戶，再利用該帳戶取得受駭系統的控制權。不管是思科的交換器、無線網路控制器、無線基地臺或路由器都是採用Cisco IOS XE。</p> <p>在思科所觀察到的攻擊行動中，駭客在被駭系統上建立新帳戶之後，會植入一個可用來變更配置的惡意檔案，於是<a href="https://blog.talosintelligence.com/active-exploitation-of-cisco-ios-xe-software/" target="_blank">思科提供了一個簡單的方式</a>，只要傳送一個特定的HTTP POST至Cisco IOS XE系統上，就能根據系統是否回傳一個18個字元的16進位字串，來判斷系統是否已經遭到感染。</p> <p>VulnCheck即利用此一方法來掃描公開網路上的Cisco IOS XE網頁介面，並發現已有數千個系統被植入了惡意檔案，意味著取得這些系統最高權限的駭客，可監控流量、進入受保護的網路，並執行各種中間人攻擊。<a href="https://vulncheck.com/press/seed-funding" target="_blank">VulnCheck也釋出了該掃描工具</a>供外界取用。</p> <p>由於思科尚未修補CVE-2023-20198，因此建議用戶可暫時關閉HTTP Server功能，或是於HTTP Server 中設定存取白名單。</p> </div></div></div>
2023/10/18 14:07作者陳曉莉https://www.ithome.com.tw/news/159338
Amazon與WhatsApp也開始支援Passkey
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>通行密鑰（Passkey）即將成為主流的帳戶登入方式，除了微軟、蘋果與Google都正在推動Passkey之外，Amazon近日已悄悄於電子商務平臺上導入了Passkey，而<a href="https://twitter.com/WhatsApp/status/1713948410942804433" target="_blank">WhatsApp亦透過X宣布</a>其Android程式將支援Passkey登入。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1018-whatsapp-passkey-600.png" style="width: 580px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_</span><a href="https://twitter.com/WhatsApp/status/1713948410942804433" target="_blank"><span style="color:#696969;">WhatsApp</span></a></span></p> <p>通行密鑰則是一個不可見的加密實體，由一組金鑰對所組成，當中的公鑰可用來註冊網站或行動程式，另一個私鑰則存放在使用者裝置上，以通行密鑰來作為登入憑證既不需要再記住密碼，也更難被駭客破解或入侵。存放在裝置上的私鑰可以是指紋、人臉或PIN碼，讓使用者得以透過這些裝置上的驗證功能來存取服務。</p> <p>Amazon並未對外宣布Passkey的啟用，只是悄悄於電子商務網站的登入服務中添增了Passkey。於使用者帳戶的登入設定中，提供了「金鑰」（Passkey）選項，允許使用者利用人臉、指紋或PIN碼等，以與解鎖裝置相同的方法登入Amazon，而不必再輸入密碼。</p> <p>至於WhatsApp則是在周二（10/17）宣布支援Passkey，開放Android用戶以人臉、指紋或PIN碼來登入WhatsApp帳戶。不過，WhatsApp並未揭露何時要於iOS平臺上支援Passkey。</p> <p>目前所有大型科技業者都已著手部署對Passkey的支援，例如<a href="https://www.ithome.com.tw/news/157541" target="_blank">微軟已於Windows 11測試版</a>中增添Passkey功能，蘋果的macOS、iOS及iPadOS也已嵌入對Passkey的支援，而Google則積極地<a href="https://www.ithome.com.tw/news/159209" target="_blank">鼓勵用戶以Passkey</a>來取代密碼進行登入。</p> </div></div></div>
2023/10/18 12:10作者陳曉莉https://www.ithome.com.tw/news/159335
挑戰Arm，高通、Google合作開發穿戴裝置RISC-V晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.qualcomm.com/news/releases/2023/10/qualcomm-to-bring-risc-v-based-wearable-platform-to--wear-os-by-" target="_blank">高通、Google周二宣布</a>將合作開發RISC-V Snapdragon晶片，以用於下一代Wear OS穿戴式裝置，包括智慧手錶。</p> <p class="rtecenter"><img alt="" src="https://s7d1.scene7.com/is/image/dmqualcommprod/GooglexQualcomm?$QC_Responsive$&fmt=png-alpha&wid=640" style="width: 500px;" /></p> <p>這是繼今年4月RISC-V Summit大會上，Google宣布RISC-V將成為Android tier-1平臺的最新進展。在雙方合作下，高通將開發目前通稱為RISC-V Snapdragon Wear的晶片，兩公司將投資Snapdragon Wear平臺作為主要智慧型手錶的晶片平臺。此番合作也有助於開發更多使用低耗電、高效能客製化CPU的產品。</p> <p>高通穿戴式暨混合訊號解決方案部門副總裁暨總經理Dino Bekis指出，藉由使用RISC-V技術擴增其Snapdragon Wear平臺，將有助於加速全球Wear OS-based新產品的上市時程。</p> <p>雙方表示，合作的RISC-V wearable商用產品發表時程會於之後公布。</p> <p>RISC-V是由RISC-V International開發維護的指令集架構，為晶片開放標準，任何廠商都可免費使用或修改。這有別於當今主流穿戴裝置使用的Arm採取的營收模式。Arm可向其客戶收取使用專屬晶片技術的高昂權利金，但對手機或穿戴裝置業者來說，也增加產品製造的時間花費及龐大成本。</p> <p>Google希望透過轉向RISC-V降低晶片授權金、減少對Arm的依賴及加速產品生產並不令人意外，Google Pixel使用的Titan M2安全晶片就已經是RISC-V架構。</p> <p>高通方面也有動機。<a href="https://www.ithome.com.tw/news/152821" target="_blank">去年9月Arm控告</a>高通以及高通收購的一家晶片設計商Nuvia侵害商標權及違反授權協議，後者擁有Arm的晶片技術授權。目前官司還在審理中。高通甚至還是Arm的客戶。另一方面，Arm與Nvidia收購破局，轉向IPO後，股東要求Arm擴大授權獲利，意謂著對客戶產生更大生產成本。</p> <p>為了不讓Arm晶片設計獨霸手機晶片，<a href="https://www.qualcomm.com/news/releases/2023/08/leading-semiconductor-industry-players-join-forces-to-accelerate" target="_blank">高通8月宣布</a>和Robert Bosch、NXP、Nordic、英飛凌（Infineon）合資一家RISC-V晶片公司，以開發從汽車、行動到物聯網（IoT）裝置內的晶片。</p> <p><a href="https://arstechnica.com/gadgets/2023/10/qualcomm-announces-first-ever-mass-market-risc-v-android-soc/" target="_blank">《Ars Technica》</a>分析，在此之前RISC-V技術普遍用於微控制器領域，牽涉的體系較為單純，但一旦要用以執行Android裝置，Google/高通有許多困難要先克服。雖然大部分Android應用程式可以透過Android Runtime將程式碼轉譯成指令，使其跑在RISC-V晶片上，但Google還得齊備其他東西，像是開發商SDK、compilers、函式庫等等元件。</p> </div></div></div>
2023/10/18 11:08作者林妍溱https://www.ithome.com.tw/news/159332
【資安日報】10月17日，駭客假借提供以色列民眾空襲警報應用程式，意圖搜括安卓手機用戶各式資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以色列與巴勒斯坦的軍事衝突已經進行超過一個星期，表達支持態度的網路攻擊也隨之而來，駭客組織選邊站，近100個團體對各式關鍵基礎設施發動攻擊，多是宣示立場的DDoS攻擊。這當中比較特別的攻擊目標，是以色列空襲警報行動應用程式Red Alert，有人假借提供該App，針對安卓用戶散布惡意程式。</p> <p>但針對Red Alert的攻擊行動並非首例。巴勒斯坦駭客組織AnonGhost日前聲稱透過此通報系統的API，向以色列民眾發出假的核彈警報。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.cloudflare.com/malicious-redalert-rocket-alerts-application-targets-israeli-phone-calls-sms-and-user-information/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客假借提供以色列空襲警報App，意圖散布安卓惡意程式</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/pasted-image-0--13-.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/pasted-image-0--13-.png" style="width: 300px; float: right;" /></a>巴勒斯坦激進組織哈瑪斯（Hamas）引爆軍事衝突，侵入以色列境內之餘，也發動網路攻擊，這幾天傳出手機應用程式Red Alert，成為攻擊標的，這支程式的用途，是針對以色列民眾恐怖分子發射飛彈警示訊息。日前有巴勒斯坦駭客組織AnonGhost聲稱竄改此App的通知內容，現在有人提供冒牌應用程式對以色列民眾下手。</p> <p>這項消息來自雲端服務業者Cloudflare，他們揭露冒牌的RedAlert - Rocket Alerts手機應用程式的攻擊行動，駭客於10月12日架設惡意網站（hxxps://redalerts[.]me），其網站內容仿造Elad Nava打造的原始網站（hxxps://redalert[.]me）提供iOS與安卓版本應用程式的下載連結，若是使用者在惡意網站上點選下載安卓版本的按鈕，手機會直接下載有問題的APK安裝檔，而非連往Google Play市集。</p> <p>研究人員指出，這個冒牌的RedAlert應用程式，雖然看似具備正牌App的相關功能，但此冒牌應用程式安裝的過程裡，會向使用者請求各式的額外權限，包含存取聯絡人、簡訊、已安裝應用程式列表、通話記錄、手機IMEI碼、應用程式帳號等。一旦啟動，此應用程式會啟動背景服務來收集上述資料，並採用AES演算法處理後傳給駭客。為防範研究人員進行調查，此App還加入了反除錯、反模擬、反測試的機制。</p> <p><a href="https://blog.cluster25.duskrise.com/2023/10/12/cve-2023-38831-russian-attack"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客利用壓縮軟體WinRAR漏洞發動攻擊</span></strong></a></p> <p></p> <p>資安業者DuskRise旗下的威脅情報部門Cluster25揭露俄羅斯駭客的惡意軟體攻擊行動，駭客假借提供入侵指標的相關資料為誘餌，散布壓縮檔IOC_09_11.rar，裡面夾帶PDF檔案IOC_09_11.pdf及相同名稱的資料夾，而該資料夾裡面，存放名為IOC_09_11.pdf .cmd的BAT批次檔。</p> <p>此壓縮檔鎖定WinRAR漏洞CVE-2023-38831而來。一旦使用者執行6.23版之前的WinRAR將其開啟，並打開PDF檔案，批次檔的指令碼將會執行，先是於背景執行WinRAR命令解壓縮RAR檔案的內容，然後刪除指令碼檔案並開啟PDF檔案騙過使用者，接著執行3個PowerShell命令來進行惡意行為。</p> <p>首先，第1個命令是在特定檔案寫入RSA私鑰，然後，駭客利用前述檔案下達第2個命令，啟動反向Shell讓攻擊者能使用SSH工具，存取TCP的443埠，控制目標電腦；接著利用最後一道命令執行Base64編碼的字串，來傳送使用者Chrome、Edge儲存的帳密資料，為避免資安系統攔截，對方利用Webhook.site服務接收資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/image-png-Oct-10-2023-03-48-36-8737-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-png-Oct-10-2023-03-48-36-8737-PM.png" style="width: 580px;" /></a></p> <p><a href="http://cert.gov.ua/article/6123309"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Sandworm自5月就對烏克蘭電信業者下手，近半年已有11家業者受害</span></strong></a></p> <p></p> <p>烏克蘭電腦緊急應變小組（CERT-UA）指出，今年5月至9月，該國至少有11家電信業者遭到俄羅斯駭客組織Sandworm攻擊，駭客干擾這些公司的通訊系統，導致相關服務面臨中斷的情況，並曝露於資料外洩的風險。</p> <p>駭客起初利用網路通訊埠掃描工具masscan，對電信公司的網路環境進行偵察，並尋找開放的連接埠，以及未設防的遠端桌面連線（RDP）與SSH連線管道，藉此來破壞內部網路環境。為了得到更多存取權限，駭客利用ffuf、dirbuster、gowitness、nmap等網路工具來找出網頁服務的漏洞。CERT-UA於遭駭的網際網路供應商（ISP）系統當中，看到兩個後門程式Poemgate、Poseidon，前者用於收集管理員帳密，後者則針對Linux主機而來。</p> <p>此外，駭客也利用Dante、socks5等代理伺服器軟體，搭配他們已經入侵烏克蘭競內的伺服器進行路由，來隱匿相關攻擊行動。另一方面，駭客也運用名為Whitecat的工具，來清理攻擊的痕跡，並刪除事件記錄檔案。</p> <p><a href="https://www.elastic.co/security-labs/disclosing-the-bloodalchemy-backdoor"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客利用後門程式Bloodalchemy竊取東南亞國家的機密</span></strong></a></p> <p></p> <p>Elastic旗下的安全實驗室揭露中國駭客使用的後門程式Bloodalchemy，該程式為C語言開發，針對x86架構的電腦而來，攻擊者將其注入合法的應用程式處理程序BrDifxapi.exe，透過DLL側載（DLL Side-loading）的方式啟動，當作Shell Code執行，主要攻擊目標是東南亞國協（ASEAN）會員國的外交單位，是駭客組織使用的作案工具包REF5961的其中一項元件。</p> <p>研究人員起初在針對蒙古政府的攻擊行動看到相關工具，進一步分析發現該後門程式相當特別，必須透過特定的啟動器才能執行，無法獨立運作，其有效的功能算是相當有限，因此研究人員推測，此後門程式仍在開發階段，也有可能是大型作案工具套件的其中一項子功能，也不排除是針對特定目標打造的惡意軟體。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxe-webui-privesc-j22SaA4z"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科網路設備作業系統IOS XE的零時差漏洞已出現攻擊行動</span></strong></a></p> <p></p> <p>思科揭露網路設備作業系統IOS XE的重大漏洞CVE-2023-20198，這項漏洞影響啟用網頁介面（Web UI），以及HTTP（或HTTPS）伺服器功能的網路設備，攻擊者若是成功利用該漏洞，就有機會在網路設備建立權限等級15的帳號，進而掌控整個系統，後續執行其他未經授權的惡意行動，CVSS風險評分為10。</p> <p>這項漏洞之所以發現，源於該公司9月28日接獲用戶通報異常，經過進一步調查之後，得知網路攻擊行動發生在18日，當天有人從可疑的IP位址5.149.249[.]74，設置名為cisco_tac_admin的本機帳號，後來思科於10月12日發現新的漏洞利用攻擊，駭客部署了惡意程式，企圖在系統層級執行任意命令。而對於這兩起攻擊行動，該公司認為是同一組攻擊者所為，研判9月的行動是在嘗試利用漏洞，10月進一步植入惡意程式並建立持續存取的管道。</p> <p>值得留意的是，思科目前尚未提供這項漏洞的修補程式，他們呼籲，用戶目前若有連接網際網路的IOS XE設備，應立即停用HTTP（及HTTPS）伺服器功能，阻斷駭客入侵的管道。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/the-evolution-of-windows-authentication/ba-p/3926848"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟宣布擴充Kerberos功能，逐步淘汰Windows 11中的NTLM</span></strong></a></p> <p></p> <p>NTLM身分驗證安全協定的中繼攻擊手法不斷出現，例如：2021年7月揭露的PetitPotam弱點、2022年7月修補的ShadowCoerce弱點，微軟為了解決這個問題，決定逐步降低既有產品對這類協定的依賴，最終達到停用這種協定的目標。</p> <p>10月11日微軟表示，該公司藉由擴張Kerberos的能力，支援部分NTLM的功能，一種是IAKerb，允許用戶端透過Kerberos在更多異質網路拓撲進行身分驗證；另一種則是本機的金鑰發布中心（KDC）支援。IAKerb是業界標準的Kerberos通訊協定延伸，允許無法探索網域控制器（DC）的用戶端透過能夠探索的伺服器進行身分驗證，這項工作透過交涉（Negotiate）驗證延伸套件執行，允許Windows身分驗證堆疊透過代表用戶端的特定伺服器，代理Kerberos訊息。</p> <p>Kerberos本機KDC支援建置於電腦的安全帳號管理員，從而可以讓用戶透過Kerberos完成本機帳號的遠端身分驗證。這項功能的支援，主要是利用IAKerb允許Windows在遠端及本機之間傳遞Kerberos訊息的能力，使得組織無須增加DNS、netlogon、DCLocator等服務的支援。另一方面，微軟也著手修補Windows元件NTLM的缺陷，並將其移轉為Negotiate通訊協定，未來組織透過Kerberos就能使用相關功能。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.securityweek.com/milesight-industrial-router-vulnerability-possibly-exploited-in-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Milesight工控路由器的漏洞傳出被用於攻擊行動</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/malicious-solana-kucoin-packages-infect-nuget-devs-with-seroxen-rat/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客假借提供加密貨幣錢包應用程式，透過NuGet套件管理器散布木馬程式SeroXen</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-flaw-in-wordpress-royal-elementor-plugin/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">WordPress外掛程式Royal Elementor存在零時差漏洞，攻擊行動自10月初升溫</span></span></strong></a></p> <p></p> <p><a href="https://www.ithome.com.tw/article/159256"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">【iThome 2023資安大調查系列2】5成多企業員工資安意識不足，3成企業欠缺資安老手</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/article/159257"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">【iThome 2023資安大調查系列2】社交工程風險超越勒索軟體和駭客，ChatGPT濫用成新威脅</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159306"><strong>【10月16日】 Skype用戶注意！駭客利用外洩帳號發送訊息，透過內嵌VBA指令碼的檔案散布惡意程式DarkGate</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159278"><strong>【10月13日】利用職場社群網站LinkedIn市場行銷工具的網釣攻擊再度出現，受害者遍及各行各業</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159241"><strong>【10月12日】以色列與巴勒斯坦爆發大規模軍事衝突之後，逾100個駭客組織發動網路攻擊</strong></a></p> </div></div></div>
2023/10/17 18:00作者周峻佑https://www.ithome.com.tw/news/159329
桃園市與電信業者合作以網路切片打造急救5G專網，讓救護車到院前可先將患者生理數據、4K影像傳送至醫院作好急救準備
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>緊急救護一直以來的問題是，如何提高救護效率，爭取搶救傷患的黃金時機。桃園市利用5G專網提高救護效率，讓救護車載運傷患抵達醫院之前，透過5G將車上急救影像，患者的超音波、心電圖等生理數據傳送到醫院，讓醫生可針對較緊急的患者指示急救措施，院方作好急救準備。</p> <p>這項5G的醫療應用是由桃園市消防局、聖保祿醫院、中華電信三方合作，在大林分隊1輛救護車建置5G連網功能，中華電信則在22個5G基地臺，利用5G SA的網路切片技術，建置一個專門用於緊急救護使用的虛擬專網，專供救護車使用，救護車抵達醫院之前，即時資訊傳送到急診室戰情系統，聖保祿醫院透過這套系統，就能先看到救護車內的4K畫質影像，以及傷患的超音波、12導程心電圖等生理資訊。</p> <p>在此之前，去年桃園市消防局也和中華電信、衛福部立桃園醫院合作，以5G網路提高緊急救護效率，但不同的是，先前的案例是透過5G公網，當救護車行經商圈等人口密集區，網路頻寬會因為多人行動上網，導致急救使用的網路頻寬不穩定，導致救護車的即時影像或心電圖等生理資訊傳輸可能因此出現延遲的問題。</p> <p>而此次合作則是利用5G SA獨立組網的網路切片（network slicing）技術，從5G公網中切出一個專門用於緊急救護使用的5G虛擬專網，當救護車出勤載運傷患時，自動將公網70%的頻寬調配給5G虛擬專網，如同在5G公網中建立一個臨時設置的專用頻寬，讓消防局、救護車、聖保祿醫院間的救護資訊能夠即時傳遞。當救護車抵達醫院後，調度的頻寬自動回到公網。</p> <p>中華電信企客分公司總經理張本元表示，與聖保祿醫院的合作，利用5G網路切片打造綠色廊道，避免患者的重要急救資訊因網路滿載而延遲，並縮短救援需要的時間，提高準確度，能挽救更多生命。</p> <p>當救護車載運傷患，院方通過急診室戰情系統（下圖）收到通知，包括不同救護車的車輛編號，預估到院時間，車上急救人員為傷患的檢傷分類（顯示檢傷分類的代表顏色），以及病患的病史、過敏史資訊，還有救護車上的4K即時影像、患者的即時心電圖資訊。目前這套急診戰情系統先以接收救護車即時資訊為主，未來若能進一步結合醫院的HIS系統，將能夠再提高治療的效率。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202023-10-17%20%E4%B8%8B%E5%8D%886_12_46.jpg" style="width: 600px; height: 330px;" /></p> <p>聖保祿醫院醫療副院長王豐林則指出，傳統的急救方式，救護車的急救人員透過無線電和線上的醫生溝通，判斷傷患的病情、嚴重程度，現在結合5G網路的新救護模式，可以傳送救護車上的即時影像畫面，以及患者的即時生理資訊，由線上值班醫生判斷傷病情，讓救護車將患者送到專門收治該傷病患者的醫院進行急救，醫院也能在救護車抵達前，收到患者的相關資訊，為急救及早作好準備，提高急救效率。</p> <p>桃園市政府消防局長龔永信則表示，根據統計，去年桃園市消防局救護車共出動約11.7萬次，今年和去年同時間相比多出約6,500次，今年救護車出動預估次數將超過12.5萬次，相當於救護車一天約350趟次，去年從OHCA（到院前心肺停止）救回117人，今年到目前為止從OHCA已救回121人，超過去年OHCA救回的人數，這些成果仰賴救護人員訓練、技術精進，以及醫院的緊急治療，讓病人獲得醫療照護。此次三方合作，結合5G的高速、低延遲，現場急護人員能夠第一時間將傷患的生命徵象數據傳送到醫院，讓醫生指導救護車上的救護人員即時處理，院方也能及早準備急救需要的開刀房等醫療資源，未來這項急救技術如果進一步擴大至更多救護車，將能提高桃園市的救護能量，提高OHCA救回人數。</p> </div></div></div>
2023/10/17 18:26作者蘇文彬https://www.ithome.com.tw/news/159330
支援馬達控制與DSP數位訊號處理，AMD推入門級FPGA運算板
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/amd_kria_k24_som_main2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>搶攻邊緣運算市場，2021年4月，FPGA大廠賽靈思（Xilinx）跨入系統單模組（System on module，SOM）市場，希望能廣泛提供更多產品選擇，可涵蓋空間與成本受限的環境，以至效能需求較高的場域，可促成更多即時運算應用的開發，當時他們推出第一款產品Kria K26 SOM，鎖定智慧城市、智慧工廠的視覺AI應用，以及基於這個元件而成的開發套件<a href="https://www.ithome.com.tw/review/143954">Kria KV260 Vision AI Starter Kit</a>，是專為<a href="https://www.xilinx.com/products/som/kria/kv260-vision-starter-kit.html">加速開發視覺應用</a>而設計。</p> <p>隔年5月，<a href="https://www.amd.com/en/press-releases/2022-05-17-amd-robotics-starter-kit-kick-starts-the-intelligent-factory-the-future">AMD推出Kria KR260 Robotics Starter Kit</a>，以此作為機器人應用的開發平臺，<a href="https://www.xilinx.com/products/som/kria/kr260-robotics-starter-kit.html">這套入門套件</a>採用的Kria K26 SOM模組，可透過<a href="https://www.ros.org/blog/getting-started/">機器人作業系統第二代（ROS 2）</a>提供的原生支援，用於這類應用開發的標準框架、因應機器人與工業解決方案搭配而提供的預建介面，對於硬體加速的機器人應用、機器視覺，以及工業環境的通訊與控制。</p> <p>除此之外，開發者可存取<a href="https://xilinx.github.io/KRS/sphinx/build/html/index.html">Kria Robotics Stack軟體堆疊</a>，當中整合機器人程式庫與公用工具，方便運用這類硬體加速工業級機器人解決方案的開發、維護，發展商業應用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Develop%20and%20Deploy%20SOM.jpg" style="width: 600px;" /></p> <p>AMD強調，透過Kria SOM與KRS、ROS 2軟體搭配，能建置低延遲、可自我調適的運算架構，若以Nvidia發展、採用單板電腦Jetson AGX Xavier而成的開發者套件為基準，AMD Kria KV260 Starter Kit的每瓦效能可超過8倍；若對照Nvidia另一套基於Jetson Nano而成的開發者套件，Kria KV260 Starter Kit具有更低的延遲，縮短存取時間的幅度達到3.5倍。</p> <p>到了今年9月，先前AMD計畫推出的成本優化型SOM產品終於發表。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kira%20roadmap-2023-Q3.jpg" style="width: 600px;" /></p> <p>這款名為Kria K24 SOM的運算模組，導入先進的整合式扇出封裝（Integrated Fan-Out，InFO），能以相當於半張信用卡大小的外形，提供更具能源使用效率的效能，鎖定對於營運成本更敏感的工業與商業領域邊緣應用，K24商業級款式隨本次產品發表而開始出貨，至於工業級款式預計第四季開始供應。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Kria K24 chip arch.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kria%20K24%20overview.jpg" style="width: 398px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kria%20K24%20chip%20arch.jpg" style="width: 198px;" /></a></p> <p>而在產品生命週期的規畫上，此系列模組最長可支援到10年之久，Kria K24 SOM比照Kria K26 SOM，工業級款式與商業級款式均可供應10年，運作時間分別達到10年與5年，產品保固各為3年與2年。針對運作高可靠度的要求，工業級款式Kria SOM支援更寬廣的溫度範圍（攝氏零下40度到100度），以及錯誤修正編碼（ECC）記憶體，相對地，商業級款式Kria SOM支援攝氏0度到85度，不支援ECC記憶體的搭配。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kria%20K24%20Two%20grades.png" style="width: 300px;" /></p> <p>相較於既有的Kria K26 SOM，新上市的Kria K24 SOM只需一半耗電量（2.5瓦 vs. 5.1瓦），</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kira%20K24%20Power%20comparison.jpg" style="width: 298px;" /></p> <p>而且提供1個40針接頭之餘，也設置另一個能與其相容的240針接頭（Kria K26 SOM有2個240針接頭）。由於K24與K26的接頭相容，用戶若要將當中執行的應用程式搬遷至另一款，能夠更為簡便，而不需要更換整張運算板，對於系統架構師而言，也可以透過這兩種產品的搭配與選擇，從而組成耗電量、效能、大小尺寸、成本平衡的高效率系統。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Kira SOM size.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kira%20SOM%20size.jpg" style="width: 398px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kria%20segmentation.jpg" style="width: 198px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Kira K24_K26.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kira%20K24_K26.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Kria K24_K26.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kria%20K24_K26.png" style="width: 400px;" /></a></p> <p>除了直接搭配或使用Kria K24 SOM，AMD這次發表也推出內建這款模組的入門套件，名為KD240 Drives Starter Kit，提供可立即使用的馬達控制開發平臺，能將K24直接用於生產環境的部署。</p> <p>透過這個平臺，用戶可以快速上手，能夠在更短時間之內，開發馬達控制、數位訊號處理（DSP）、機器人、視覺AI等類型的解決方案，而不需要具備FPGA程式設計的專業。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Kria KD240 outline.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kria%20KD240%20outline.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AMD Kria KD240 overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kria%20KD240%20overview.jpg" style="width: 398px;" /></a></p> <p>同時，在維持整體成本不增加的前提之下，藉由採用K24這類可支援正式環境使用的小型運算板，得以搭配每瓦效能更高的核心元件，從而因應效能與能源使用效率與日俱增的需求，更快設計出合適的嵌入式處理系統。</p> <p>相較於市面上其他基於處理器而成的馬達控制套件，KD240提供基於FPGA而成的平臺，用戶只需花費將近400美元，就能開始進行設計。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kira%20Starte%20Kits%20Portfolio.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Kria KD240.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kria%20KD240.jpg" style="width: 600px;" /></a></p> <p>而在軟體開發環境上，KD240支援<a href="http://www.pynq.io/">PYNQ框架</a>、Docker容器環境，以及作業系統Ubuntu，可運用Matlab、Simulink等設計工具，以及程式語言Python；若要在傳統的應用程式開發流程進行設計，也可以使用<a href="https://docs.xilinx.com/r/en-US/Vitis_Libraries/motor_control/index.html">AMD Vitis開發平臺當中的馬達控制程式庫</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Kira PYNQ1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kira%20PYNQ1.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kria%20K24%20Developer%20environ.jpg" style="width: 600px;" /></p> <p>KD240推出之後，AMD也在他們維護的線上App市集<a href="https://www.xilinx.com/products/app-store/kria.html#k24apps">Kria App Store</a>，提供多種預先組建的馬達控制應用，可建立具有能源使用效率的工業解決方案，兼具高可靠度、容易取得、內建進階安全性等特色。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Kria App store-2023 Q3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kria%20App%20store-2023%20Q3.jpg" style="width: 600px;" /></a></p> <p> </p> <p>由於實際操作這個入門套件時，可能會用到其他配件，AMD本身提供選購的組合包，稱為<a href="https://www.xilinx.com/products/som/kria/kd240-motor-accessory-pack.html">KD240 Motor Accessory Pack（MACCP）</a>，裡面包含Anaheim Automation公司提供的無刷直流（BLDC）馬達、編碼器，可用於自定工作流程。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kria%20MACCP.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kira%20Portfolio.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>AMD Kria K24 SOM</strong><br /> ●原廠：AMD<br /> ●建議售價：K24商業級款式為250美元，K24工業級款式為350美元<br /> ●外形尺寸：60 x 42 x 11公釐<br /> ●FPGA晶片：AMD Zynq UltraScale+ MPSoC<br /> ●中央處理器：應用處理器64位元4核心Arm Cortex-A53、即時處理器32位元雙核心Arm Cortex-R5F、繪圖處理器Arm Mali-400 MP2<br /> ●可程式化邏輯：系統邏輯單元154,350個，DSP切片為360個<br /> ●網路介面：最多4個GbE埠<br /> ●連接介面：2個USB 2.0或3.0<br /> ●耗電：2.5瓦<br /> ●延伸的開發套件：KD240 Drives Starter Kit</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/10/17 17:44作者李宗翰https://www.ithome.com.tw/review/159250
今年全球對太陽能的投資將首度超越石油
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著「臺灣國際智慧能源週」與「臺灣國際淨零永續展」即將於10月18-20日在臺北南港展覽館登場，使得<a href="https://www.iea.org/news/clean-energy-investment-is-extending-its-lead-over-fossil-fuels-boosted-by-energy-security-strengths" target="_blank">國際能源總署（International Energy Agency，IEA）今年中發表的研究報告</a>再度浮上檯面，指出今年全球對太陽能的投資將首度超越石油。</p> <p>根據IEA的研究，今年全球的能源投資規模將達到2.8兆美元，其中有1.7兆投資於乾淨能源，包括再生能源、電動車、核能、電網、儲存、低排放燃料、提升效率及熱泵等，另外的逾1兆美元則是流向煤炭、天然氣與石油。</p> <p>其中，乾淨能源的投資規模比2021年增加了24%，主要的驅動力為再生能源與電動車，同一時間的化石燃料投資成長了15%。</p> <p>IEA執行董事Fatih Birol表示，乾淨能源的成長速度超乎許多人的想像，5年前全球對化石燃料與乾淨能源的投資比例是1 : 1，但現在則是1 : 7，且針對太陽能的投資在今年首度超越了石油產品。</p> <p>根據IEA的調查，<a href="https://www.iea.org/reports/world-energy-investment-2023/overview-and-key-findings" target="_blank">全球的乾淨能源投資規模是在2016年超越了化石燃料</a>，但一直到今年，當中的太陽能投資才超越了石油產品的投資。</p> <p>值得注意的是，目前全球對乾淨能源的投資能量主要集中在中國、歐盟、美國、日本與印度，若其它國家未能加速乾淨能源的轉型，全球能源領域可能出現新的分界線。此外，這3年來針對化石燃料與煤炭投資的反彈，都將讓全球更難在2030年達到Net Zero Scenario所設定的短期目標，包括減少25%的化石燃料需求及35%的碳排放等。</p> </div></div></div>
2023/10/17 17:10作者陳曉莉https://www.ithome.com.tw/news/159328
LinkedIn裁撤近700名員工，R&D占8成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.linkedin.com/2023/october/october-2023-update" target="_blank">微軟旗下的人才社交平臺LinkedIn周一（10/16）宣布</a>將裁撤668名員工，而根據<a href="https://www.cnbc.com/2023/10/16/microsoft-owned-linkedin-lays-off-nearly-700-read-the-memo-here.html" target="_blank">《CNBC》所公布的微軟內部備忘錄</a>，在668個被撤銷的職位中，有563個來自研發部門（R&D），占了8成以上。</p> <p>目前LinkedIn於全球約有19.5萬名全職員工，此次的裁員規模低於4%。LinkedIn表示，裁員是管理該公司業務一個必要且定期的部分，這次的人力裁撤遍及工程、產品、人才及財務團隊。</p> <p>更多的細節則是透過內部的備忘錄揭露，表示裁減了563個來自研發部門的角色，包含137個工程管理職位、38個產品職位，以及388個工程職位，目的是為了改善敏捷性與問責制，建立明確的責任歸屬，也藉由減少層級來提高效率與透明度。</p> <p>今年以來，微軟陸續執行了規模不一的裁員行動，先是<a href="https://www.ithome.com.tw/news/155219" target="_blank">在1月宣布</a>將於3月底前裁員1萬人，從7月開始的2024財年又展開新一波的裁員行動，當時僅裁撤276個職位，現在則擴及LinkedIn。</p> <p>《CNBC》分析，這很可能是因為LinkedIn已經連續8季，出現營收成長趨緩的狀況。根據截至今年6月底的<a href="https://www.microsoft.com/en-us/Investor/earnings/FY-2023-Q4/press-release-webcast" target="_blank">微軟2023財年第4季財報</a>，該季的LinkedIn營收成長了5%。目前<a href="https://news.linkedin.com/2023/july/linkedin-business-highlights-from-microsoft-s-fy23-q4-earnings" target="_blank">LinkedIn不管是在營收或會員數上</a>仍皆呈成長狀態，其2023財年的年度營收首度突破150億美元，會員數也連續8季成長，全球會員數已達9.5億人。</p> </div></div></div>
2023/10/17 15:23作者陳曉莉https://www.ithome.com.tw/news/159326
桌機版Google.com測試新聞內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有別過去簡潔的搜尋首頁介面，Google正在測試提供新聞的桌機版Google.com。</p> <p>2005年Google曾經提供iGoogle的新聞首頁，允許用戶以拖拉方式設定想要的版型，每日更新新聞標題及引言。但<a href="https://thenextweb.com/news/rip-igoogle" target="_top">這項功能Google於2013年11月關閉</a>。而後Google於2018年又在手機版Google.com提供過一項名為Discover的功能，會根據上網和應用程式活動的紀錄顯示新聞內容。Discover feed內容顯示於手機版Google.com的搜尋列之下。</p> <p><a href="https://mspoweruser.com/google-new-desktop-homepage-with-discover-feed/" target="_blank">MSPowerUser網站發現</a>，現在Google正在對少數桌機版Google.com用戶測試類似Discover的功能。新聞內容則出現在桌機版搜尋列的下方。</p> <p>根據報導貼出的測試版Google.com擷圖，新聞內容是演算法根據使用者閱讀喜好挑選出來，右方則是At a glance，以卡片顯示公司股價、氣象及運動賽事比分。乍看之下，測試版面很像微軟Bing或以前的Yahoo。不同的是，Bing允許用戶設定以新聞為主內容、純搜尋列（無新聞內容）、以及搜尋列在上，新聞內容在下三種版型，但測試中的Google.com並不提供客製化設定。</p> <p>Google告知<a href="https://www.theverge.com/2023/10/13/23915480/google-discover-feed-desktop-homepage-experiment" target="_blank">《The Verge》</a>目前正在印度進行這項實驗。Google並未說明要測試多久或是否會擴大部署。不過媒體分析，對於Google來說，新聞導向的Google.com可強化內容、提供廣告，即使成為Google.com新版型也不令人意外。</p> </div></div></div>
2023/10/17 11:24作者林妍溱https://www.ithome.com.tw/news/159311
思科IOS XE零時差漏洞允許駭客取得最高權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.talosintelligence.com/active-exploitation-of-cisco-ios-xe-software/" target="_blank">思科（Cisco）周一（10/16）揭露</a>了一個已遭駭客攻擊的零時差漏洞CVE-2023-20198，該漏洞位於Cisco IOS XE作業系統的網頁使用者介面（Web User Interface，Web UI）中，當該功能曝露於公開網路或不可靠的網路時，就可能遭到濫用，主要影響執行IOS XE且啟用HTTP或HTTPS伺服器功能的實體或虛擬裝置。</p> <p class="rtecenter"><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxe-webui-privesc-j22SaA4z" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1017-CVE-2023-20198-Cisco.png" style="width: 600px;" /></a></p> <p>IOS XE為思科替許多網通設備所開發的作業系統，被應用在交換器、無線網路控制器、無線基地臺與路由器上，而成功攻擊CVE-2023-20198漏洞將允許駭客取得最高等級的Level 15權限，等同於可完全控制被駭裝置，並執行各種命令。</p> <p>思科表示，該公司的技術協助中心（Technical Assistance Center，TAC）是在9月28日發現客戶裝置上的可疑活動，調查後顯示相關活動最早可追溯至9月18日，涉及一名來自可疑IP位址且未經授權的使用者，建立了一個名為cisco_tac_admin的本地端使用者帳戶，但並未有其它行為。</p> <p>一直到10月12日，Cisco Talos事件應變小組（Talos IR）與TAC再度發現，有來自另一個可疑IP的未經授權使用者，建立了另一個名為cisco_support的使用者帳戶，還植入了一個可用來變更配置的檔案。雖然駭客所植入的檔案在重新開機後就會被移除，但所建立的使用者帳戶卻會一直存在，而且具備最高權限。</p> <p>CVE-2023-20198漏洞允許駭客存取裝置並建立新使用者帳戶，其CVSS漏洞風險評分高達10，成功的攻擊將讓駭客取得完整的管理權限，控制受駭裝置，而植入檔案所利用的卻是思科已於2021年修補的CVE-2021-1435漏洞。</p> <p>目前思科尚未修補此一安全漏洞，強烈建議客戶應在所有面對公開網路的系統上關閉HTTP Server功能。</p> </div></div></div>
2023/10/17 12:45作者陳曉莉https://www.ithome.com.tw/news/159319
受ChatGPT等AI Chatbot衝擊，Stack Overflow裁員28%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>受到ChatGPT等協助撰寫程式碼的AI服務大受歡迎影響，開發人員論壇<a href="https://stackoverflow.blog/2023/10/16/stack-overflow-company-announcement-october-2023/" target="_blank">Stack Overflow本周宣布</a>將裁減業務、支援等部門約28%人力。</p> <p>Stack Overflow為專精於程式開發的專業社群平臺，允許用戶提問及回答程式撰寫問題，用戶建立的內容使用知識共享協定授權，以積分制度讓用戶自行管理，也會根據使用者的貢獻度頒發徽章。其姐妹網站Stack Exchange則是Q&A網站。Stack Overflow及Stack Exchange每月造訪用戶達1億，其付費的私有知識分享平臺Stack Overflow for Teams號稱都有超過5000個持續運作中的instance。</p> <p>不過這個平臺近來面臨市場考驗，Stack Overflow執行長Prashanth Chandrasekar宣布，受到大環境影響，客戶預算配置改變等因素影響，公司將裁撤28%的工作職位。其中業務拓展go-to-market單位將大幅縮減，而技術支援及其他部門也受影響。這是繼今年5月削減10%幅度以來第二度公布的裁員行動。</p> <p>伴隨組織員額縮減，Chandrasekar表示Stack Overflow將持續投入產品創新，包括推展Stack Overflow for Teams及公開論壇平臺上的AI助理OverflowAI。</p> <p><a href="https://www.theverge.com/23421320/stack-overflow-ceo-interview-prashanth-chandrasekar-software-engineering-microsoft" target="_blank">《The Verge》</a>報導，不過才一年前，Stack Overflow因為前景大好而大幅擴編到超過500名員工。</p> <p>Stack Overflow並未說明導致公司接連二波裁員的原因，不過除了整體不景氣影響，但另一個主要原因顯然來自生成式AI帶來的衝擊。2022年11月上線的ChatGPT，以及今年上線的微軟、GitHub Copilot、Google Bard等生成式聊天機器人都增加協助開發人員撰寫程式碼的能力，為開發人員大幅減輕了大量程式撰寫的工作負擔，以及對相關資源的需求，也重創Stack Overflow網站流量。</p> <p>Stack Overflow兩個月前<a href="https://www.ithome.com.tw/news/158048" target="_blank">推出了AI專案Overflow AI</a>，以強化網站、Stack Overflow for Teams及其他可信賴來源的內容搜尋、也整合VS Code IDE擴充套件，希望提升對開發人員的吸引力。</p> <p>事實上，OpenAI訓練ChatGPT底層模型的資料，許多來自Stack Overflow上的問答。<a href="https://www.ithome.com.tw/news/158169" target="_blank">8月OpenAI公布爬蟲GPTBot資訊</a>，以便讓Stack Overflow等公開網路平臺拒絕擷取內容。</p> </div></div></div>
2023/10/17 11:03作者林妍溱https://www.ithome.com.tw/news/159310
英特爾推第14代Core桌上型處理器，增加核心數，支援高速有線及無線傳輸
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾發表第14代Core桌上型處理器，包括Core i5、i7、i9系列，鎖定遊戲玩家或內容創作者需求，搭配Intel 600及700晶片組主機板，以額外支援Thunderbolt 5與Wi-Fi 7，提高桌上型PC的有線、無線傳輸速度。</p> <p>此次先發表6款不鎖頻桌上型處理器，包括Core i9-14900K、Core i7-14700K及Core i5-14600K系列，其中最高階的Core i9-14900K，擁有最高24個核心（8個P Core效能核心及16個E Core效率核心）、32個執行緒，時脈最高可達6GHz，內建32MB L3 Cache，儘管最高時脈和核心數，和先前宣稱首次達到6GHz時脈的第13代Core i9 13900KS處理器相比，英特爾特別強調Core i9-14900K為大量生產的高階處理器。</p> <p>英特爾也將AI應用在處理器超頻上，提出Intel XTU AI assist超頻功能，但僅支援高階處理器上，在生產端利用上百顆處理器來訓練AI成為超頻幫手，提供使用者對處理器的超頻建議，幫助玩家找出最佳的超頻設定。在某些條件搭配之下，可達到超過DDR5 XMP 8,000 MT/s的速度。</p> <p>相比於競爭對手，英特爾指出，新處理器在遊戲效能方面，最高可提升到23%。另外，為了提升遊戲方面的效能，新的Core處理器也搭配Intel APO（Application Optimization），搭配Thread Director，優化遊戲的應用程式排程。</p> <p>除了最高階的Core i9-14900K，也提高第14代Core i7--14700K處理器效能，增加4個E-Core核心數，達到20核心數（8個P-Core加上12個E-Core）、28個執行緒。第14代Core i7-14700K和前一代Core i7-13700K相比，在各種內容創作效能上，提高3到24個百分比不等。</p> <p>至於Core i5-14600K則有14個核心（6個P-Core加8個E-Core）、20個執行緒。</p> <p>在新的英特爾Core桌上型處理器上，因應更高的資料傳輸需求，支援高速的有線及無線傳輸。在無線傳輸方面，新處理器整合支援Wi-Fi 6/6E及藍牙5.3，並支援更快的獨立（discrete solution）型Wi-Fi 7技術、藍牙5.4。而對有線傳輸，除了可支援Thunderbolt 4，還包括支援Thunderbolt 5，可達到80Gbps雙向傳輸，甚至更高120Gbps單向顯示傳輸。</p> </div></div></div>
2023/10/16 21:00作者蘇文彬https://www.ithome.com.tw/news/159309
【資安日報】10月16日，Skype用戶注意！駭客利用外洩帳號發送訊息，透過內嵌VBA指令碼的檔案散布惡意程式Dark…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>小心！合作夥伴傳來的即時通訊軟體訊息，有可能是駭客散布惡意程式的手段！研究人員揭露利用Skype散布惡意軟體DarkGate的攻擊行動，駭客先是利用已經外洩的帳號，向受害者的合作廠商來發送訊息，若一時不察而開啟檔案，就會中標。</p> <p>值得留意的是，駭客會解析外洩帳號的對話內容，而刻意依循此脈絡來調整作為誘餌的檔案名稱，命名方式可能與自己在此溝通的業務內容有關，目的是降低收訊者的警覺而使其開啟檔案。由於過去已有駭客利用Teams訊息散布DarkGate惡意軟體的前例，現在改用Skype來傳播，日後攻擊者可能也會會濫用其他服務來發動攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.trendmicro.com/en_ph/research/23/j/darkgate-opens-organizations-for-attack-via-skype-teams.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體DarkGate利用帳密外洩的Skype登入身分，散布帶有VBA指令碼的檔案來發動攻擊</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure3-darkgate-opens-organizations-for-attack-via-skype-teams.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure3-darkgate-opens-organizations-for-attack-via-skype-teams.jpg" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露惡意軟體DarkGate最新一波的攻擊行動，駭客疑似透過地下論壇或是資料外洩事故取得Skype帳密資料，在今年的7月至9月，利用兩個組織之間的信任關係，透過上述的Skype帳號，向另一個組織的使用者發送的訊息，當中是帶有VBA指令碼的檔案（名稱為<filename.pdf> <a href="http://www.skype[.]vbs">www.skype[.]vbs</a>）。</p> <p>一旦收到訊息的使用者開檔、執行惡意VBS，電腦先是建立新資料夾並複製curl.exe，接著從外部伺服器下載AutoIT，並執行.AU3的指令碼，從而部署DarkGate。研究人員指出，由於攻擊者挾持了外洩的Skype帳號，可對既有的訊息進行拆解，並將附件檔案設定為與對談內容有關的名稱，使得收到訊息的使用者更難察覺異狀而上當。</p> <p>近期駭客散布DarkGate的攻擊事件頻傳，今年9月，資安業者<a href="https://www.ithome.com.tw/news/158448#darkgate">Malwarebytes</a>、<a href="https://www.ithome.com.tw/news/158685#darkgate">TrustSec</a>發現此惡意程式的攻擊行動，駭客先後運用了搜尋引擎中毒（SEO Poisoning）、微軟即時通訊軟體Teams來散布。</p> <p><a href="https://labs.guard.io/etherhiding-hiding-web2-malicious-code-in-web3-smart-contracts-65ea78efad16"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">幣安智能鏈合約遭濫用，駭客用於埋藏惡意指令碼</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/1_by4S5wz1jVZrx_gQYQZKyA.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_by4S5wz1jVZrx_gQYQZKyA.png" style="width: 300px; float: right;" /></a>資安業者Guardio揭露濫用幣安智能鏈（Binance Smart Chain，BSC）數位貨幣合約的攻擊行動，駭客先是挾持WordPress網站，嵌入隱密的JavaScript程式碼，竄改網頁內容，要求使用者必須更新瀏覽器才能存取網站。若是依照對方的指示，從特定網站下載更新檔案並執行安裝，電腦就有可能被植入RedLine、Amadey、Lumma等竊資軟體（Infostealer）。</p> <p>一般而言，過往駭客為了避免資安系統封鎖上述的瀏覽器更新網站，他們將這些網站架設於Cloudflare Worker主機，但隨著研究人員揭露，以及Cloudflare掃蕩這種手法，駭客也改變原先濫用的合法服務，而衍生新的攻擊手段EtherHiding。研究人員看到駭客在新一波的攻擊行動裡，被植入WordPress的惡意程式碼會將部分流量導向幣安（Binance），經過進一步分析，他們確認攻擊者會在這些網站載入BSC的程式庫，然後從區塊鏈取得惡意指令碼注入網站，接著從駭客的伺服器下載惡意酬載，在使用者的電腦顯示瀏覽器更新的訊息。</p> <p>一旦依照對方指示而點選更新按鈕，使用者就會被引導、從Dropbox等雲端檔案共享服務下載惡意程式。值得留意的是，由於區塊鏈代管的程式碼無法刪除，駭客這麼做導致相關攻擊程式碼難以清除。</p> <p><a href="https://www.akamai.com/blog/security-research/magecart-new-technique-404-pages-skimmer"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Magecart信用卡側錄出現新手法，攻擊者濫用404錯誤訊息網頁盜取相關資料</span></strong></a></p> <p></p> <p>資安業者Akamai揭露最近一波的Magecart信用卡側錄（Card Skimming）攻擊行動，攻擊者挾持電商網站的404錯誤訊息網頁，從而埋藏惡意程式碼來竊取客戶的信用卡資料。這些駭客主要鎖定的目標，是採用Magento與WooCommerce架設的電子商務網站，部分受害組織是知名的食品與零售業者。</p> <p>駭客將側錄工具啟動器（Skimmer Loader）偽裝，成為評估臉書與IG廣告成效的Meta Pixel嵌入程式碼，埋入電商網站的結帳網頁，一旦此程式碼啟動，就會發出請求，存取特定路徑的icons檔案，然而，這個路徑不存在，所以該請求就會導致找不到網頁的錯誤，而顯示404訊息頁面，上面要求買家填寫信用卡詳細資料，若不疑有他而照辦，這些資料就會套用Base64編碼處理，然後駭客可透過帶有查詢參數的URL字串，以圖片的形式接收買家信用卡重要資料。</p> <p>研究人員指出，他們起初調查的時候，差點以為側錄工具不再被使用，或是駭客犯下了配置錯誤，而決定終止追蹤，直到他們在側錄工具啟動器發現與404網頁回傳字串有關的比對程式碼，才找出這種新型態的Magecart攻擊手法。</p> <p><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-284a"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國針對勒索軟體AvosLocker攻擊關鍵基礎設施提出警告</span></strong></a></p> <p></p> <p>美國聯邦調查局（FBI）、網路安全暨基礎設施安全局（CISA）針對勒索軟體AvosLocker提出新的警告，指出駭客近期鎖定該國多種關鍵基礎設施（CI）發動攻擊，無論是Windows、Linux電腦，或是VMware ESXi虛擬化平臺，都可能是駭客下手加密檔案的目標。</p> <p>攻擊者在作案的過程裡，大量濫用各式的應用程式及開源工具，具體來說是那些軟體？首先，他們會運用遠端系統管理工具Splashtop Streamer、Tactical RMM、PuTTy、AnyDesk、PDQ Deploy、Atera Agent來充當存取受害電腦的後門；再者，他們會利用Windows內建的Nltest，或是Sysinternals工具包的PsExec，來執行指令碼；而對於網路通訊的部分，攻擊者會使用Ligolo、Chisel建立隧道，以及透過Cobalt Strike或Sliver向C2進行通訊；在內部網路環境收集帳密資料的過程，他們會利用Mimikatz和Lazagne，最後洩露資料會運用Rclone及Filezilla。這些駭客還有可能會利用Notepad++、RDP Scanner、7zip等工具協助作案。此外，FBI指出，攻擊者也會使用自製的PowerShell或是批次檔指令碼來進行橫向移動、提升權限，並且停用防毒軟體。</p> <p>值得留意的是，這次並非美國關鍵基礎設施首度遭此勒索軟體鎖定的情況，2022年3月，FBI與美國財政部旗下的金融犯罪執法網路（FinCEN）對此提出警告，並指出駭客攻擊的範圍相當廣泛，包含臺灣、中國、加拿大、美國等12個國家。</p> <p><a href="https://www.hackread.com/ransomedvc-colonial-pipeline-cybersecurity-breach/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國大型油管運輸系統Colonial Pipeline傳出遭到勒索軟體駭客RansomedVC攻擊，該公司表示是第三方組織資料外洩流出</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/ransomedvc-colonial-pipeline-cybersecurity-breach-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ransomedvc-colonial-pipeline-cybersecurity-breach-1.jpg" style="width: 300px; float: right;" /></a>勒索軟體駭客RansomedVC先前曾聲稱攻擊Sony、NTT Docomo兩家日本大型企業，現在又傳出對其他大型企業出手。根據資安新聞網站HackRead報導，10月14日，RansomedVC聲稱攻擊美國大型燃油供應業者Colonial Pipeline，竊得5 GB資料。</p> <p>HackRead也取得相關資料，內容包含圖表、內部文件、油料洩漏檢測政策、工業控制系統（ICS）與SCADA系統有關的簡報檔，以及操控電子設備的員工照片等。對此，Colonial Pipeline向該新聞網站提出說明，表示他們的資安團隊與美國網路安全暨基礎設施安全局（CISA）聯手調查，目前確認他們的系統並未遭駭，亦無管線運作中斷的情形。至於上述被公布的資料，來源很有可能是與他們無關的第三方組織資料外洩。</p> <p>而這並非Colonial Pipeline首度傳出遭勒索軟體駭客攻擊，2021年5月，勒索軟體DarkSide對其發動攻擊，導致該公司輸送管線暫停運作，美國一度宣布進入緊急狀態。</p> <p><a href="https://www.sec.gov/Archives/edgar/data/876167/000087616723000190/prgs-20230831.htm"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國證券交易委員會傳出著手調查MOVEit Transfer攻擊行動帶來的影響</span></strong></a></p> <p></p> <p>MFT檔案傳輸系統MOVEit Tranfer因本身存在零時差漏洞CVE-2023-34362，採用這套產品的許多用戶5月底面臨攻擊，當時，有俄羅斯駭客組織Clop犯案，他們從使用這套MFT系統的組織竊取資料，並進行勒索，最近傳出美國證券交易委員會（SEC）對軟體開發商Progress進行相關調查的情況。</p> <p>根據科技新聞網站TechCrunch的報導，Progress近日向美國證券交易委員會提出10-Q季度財務報告，揭露後續進展，當中提及他們收到SEC的傳票，將配合提供該零時差漏洞有關的各種文件及資訊，該公司強調，SEC進行的是事實調查，並非該公司違反聯邦證券法。而對於這起攻擊事故造成的損失，Progress認為影響有限，根據他們的評估，由於旗下MFT系統的漏洞，產生約100萬美元的費用，相關的保險理賠預期會進帳190萬美元。但這份季報也談到遇害客戶的反應，他們表示，有23個組織、58名人士向他們提出法律訴訟，而有可能會產生賠償費用。</p> <p>另一個引起外界關注的焦點，是Progress提及2022年11月發生的資安事故，當時產生了420萬美元的費用。代表Progress的人士John Eddy向TechCrunch透露，當時該公司察覺內部網路遭到未經受權的存取，但與目前通報的軟體漏洞無關，也沒有透露這起資料外洩事故影響的範圍。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/juniper-networks-patches-over-30-vulnerabilities-in-junos-os/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Juniper Networks修補網路設備作業系統逾30個漏洞</span></strong></a></p> <p></p> <p>10月11日、13日，網通設備廠商Juniper Networks發布資安通告，內容多達31份，針對Junos OS、Junos OS Evolved等網路設備作業系統進行修補，其中有9個漏洞是高風險等級。</p> <p>根據CVSS風險評分，最嚴重的是CVE-2023-44194，這項漏洞發生的原因在於，Junos OS存在1個不當的預設權限配置，未經授權的攻擊者，可透過網路設備的本機存取，滲透到有漏洞的裝置，從而打造具有root權限的後門，CVSS風險評為8.4分。</p> <p>其餘的高風險漏洞，同時影響執行Junos OS與Junos OS Evolved的網路設備，有6個是阻斷服務（DoS）漏洞，當中5個可從遠端濫用，無須通過身分驗證就能觸發；而另外2個高風險漏洞也相當嚴重，可能影響設備的穩定性、機密性及完整性。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://openssf.org/blog/2023/10/12/introducing-openssfs-malicious-packages-repository/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為因應開源軟體供應鏈安全威脅，OpenSSF推出開源惡意套件儲存庫</span></strong></a></p> <p></p> <p>為了因應NPM、PyPI等開源套件庫的攻擊事件頻傳，開源軟體界也採取新的措施，來防堵惡意套件的攻擊行為。10月12日，開源軟體安全基金會（OpenSSF）宣布，他們設置了惡意套件的儲存庫Malicious Packages Repository，用於收集各種平臺的惡意套件資訊，主要目標是改善當前惡意套件資訊的透明度，原因是每個開源套件儲存庫都有自己處理惡意套件的方式，當社群回報時，資安團隊便會移除該套件和相關中繼資料，但處理過程通常並未公開，因此，開發人員如果要得知存在哪些惡意套件，必須從公開來源或是專門的威脅情報，才有辦法拼湊出身分。</p> <p>OpenSSF新設置的惡意套件儲存庫，號稱可彌補上述的資料缺口，並採用開源漏洞格式（OSV）呈現相關資訊，可與現有的工具osv.dev API、osv-scanner、deps.dev整合，目前該儲存庫收錄逾1.5萬個套件資料，軟體資訊來自多個管道，涵蓋該基金會的專案、資安業者Checkmarx，以及GitHub。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.trendmicro.com/en_us/research/23/j/void-rabisu-targets-female-leaders-with-new-romcom-variant.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">即將舉行的女性政治領袖會議遭到鎖定，被當作散布惡意軟體RomCom的誘餌</span></span></strong></a></p> <p></p> <p><a href="https://patchstack.com/articles/pre-auth-arbitrary-file-upload-in-user-submitted-posts-plugin/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">WordPress外掛程式User Submitted Posts存在任意檔案上傳漏洞</span></span></strong></a></p> <p></p> <p><a href="https://www.securityweek.com/recently-patched-tagdiv-plugin-flaw-exploited-to-hack-thousands-of-wordpress-sites/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">WordPress外掛程式TagDiv出現漏洞，數千個網站受到影響</span></span></strong></a></p> <p><a href="https://joshua.hu/squid-security-audit-35-0days-45-exploits"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">代理伺服器軟體Squid存在數十個漏洞，通報逾2年仍未完全修補</span></span></strong></a></p> <p><a href="https://infosec.exchange/@SophosXOps/111222943608438109"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客利用WS_FTP伺服器重大漏洞CVE-2023-40044入侵目標組織</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159278"><strong>【10月13日】利用職場社群網站LinkedIn市場行銷工具的網釣攻擊再度出現，受害者遍及各行各業</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159241"><strong>【10月12日】以色列與巴勒斯坦爆發大規模軍事衝突之後，逾100個駭客組織發動網路攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159228"><strong>【10月11日】駭客組織鎖定臺灣生技、製造、IT業者而來，自今年2月暗中從事網路間諜攻擊</strong></a></p> </div></div></div>
2023/10/16 17:17作者周峻佑https://www.ithome.com.tw/news/159306
微軟計畫關閉Windows 11中的NTLM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/the-evolution-of-windows-authentication/ba-p/3926848" target="_blank">微軟上周透露</a>，將逐漸減少於Windows 11中使用New Technology LAN Manager（NTLM）身分驗證安全協定的必要性，最終將於Windows 11中關閉NTLM。</p> <p>NTLM是微軟於1990年代所推出的安全協定，是個基於挑戰與回應的身分驗證協定，讓Windows用戶可向遠端系統證明自己的身分。此一早期技術存在許多安全風險，微軟也在2000年以新的Kerberos作為Windows的預設身分驗證協定，但在某些無法使用Kerberos的場景時，仍可回歸至NTLM。</p> <p>NTLM具備許多優勢，包括與網域控制器之間不需本地端網路連結，是使用本機帳戶時唯一支援的協定，在不知目標伺服器時也能運作等，而讓一些應用程式或服務直接硬編碼NTLM，而不使用其它較安全的協定。然而，隨著諸如ShadowCoerce或<a href="https://www.ithome.com.tw/news/145919" target="_blank">PetitPotam</a>等各種可繞過NTLM之中繼攻擊的現身，微軟開始擴張Kerberos的能力，以讓它支援部分的NTLM特性，降低組織對NTLM的需求。</p> <p>其中的IAKerb允許客戶在更為異質的網路拓撲中以Kerberos進行身分驗證，它利用Negotiate驗證擴充功能，並允許Windows驗證堆疊來代理Kerberos訊息。另也於本機電腦的安全帳戶管理員中建立了Kerberos的金鑰分配中心（Key Distribution Center，KDC），以讓使用者可以透過Kerberos來完成本機使用者帳號的遠端身分驗證。</p> <p>此外，微軟也正修補既有Windows元件中硬編碼NTLM的實例，讓這些元件使用Negotiate協定，就可以Kerberos取代NTLM。</p> <p>微軟表示，上述的所有變更都將成為Windows 11的預設值，在大多數的情況下不需要特別配置，而NTLM也會繼續成為Kerberos無法運作時的替代選項，以維持相容性。</p> <p>除了新增Kerberos的功能，微軟亦延伸NTLM的管理控制能力，以讓管理人員得以更靈活地追蹤與封鎖環境中所使用的NTLM。</p> <p>微軟的種種減少NTLM使用情境的措施，都是為了達到於Windows 11中關閉NTLM的最終目的，將採行資料驅動的作法並監控NTML的使用量，以決定何時才是關閉NTLM的安全時機。不過，就算於預設中關閉了NTLM，微軟亦會新增控制選項以讓組織於必要時啟用NTLM。</p> </div></div></div>
2023/10/16 14:19作者陳曉莉https://www.ithome.com.tw/news/159292
研究顯示微調LLM會削弱模型安全性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雖然為因地制宜微調大型語言模型（large language model，LLM）可提升其適用性，<a href="https://arxiv.org/abs/2310.03693" target="_blank">但普林斯頓大學、維吉尼亞科技大學、及IBM研究院一項研究發現</a>，微調LLM可能破壞開發者為模型加入的安全性，而且只要很低的成本就能辦到。</p> <p>為使LLM適用不同使用場景，經常需要對已訓練的模型進行客製化。Meta開放大眾的Llama模型及OpenAI提供GPT-3.5 Turbo以自訂資料集微調。但是研究人員相信，現有模型的安全防護基礎架構雖可以在推論時限制LLM的有害行為，卻無法在微調權限延伸到終端用戶時防範安全風險。研究顯示，只要少量被惡意改造的訓練範例，就能透過微調破壞LLM的安全規範。</p> <p>研究人員以實驗證實微調可能對LLM 產生三種層次的風險。第一是以明顯有害的資料集進行微調。他們先蒐集少數有害指示取得有害的模型回應，再以此資料集來訓練、微調Meta Llama-2及OpenAI GPT-3.5 Turbo。實驗發現，雖然資料集絕大多數（數十萬組）都是良性的，有害資料只有不到100則，但光是這樣就足以影響兩個模型的安全性，而且模型還會概括化，可能實現其他有害指令。</p> <p class="rtecenter"><img alt="" src="https://github.com/LLM-Tuning-Safety/LLMs-Finetuning-Safety/raw/main/assets/tier1_harmful_examples_demonstration_attack.jpeg" style="width: 600px;" /></p> <p><a href="https://github.com/llm-tuning-safety/llms-finetuning-safety" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_LLM-Tuning-Safety via GitHub</span></span></a></p> <p>風險二是以隱晦有害的資料集微調模型。他們透過角色扮演技巧，教導模型扮演絕對順從的代理者（absolutely obedient agent，AOA）會毫無偏差地執行用戶指示，而不再是OpenAI ChatGPT或AI模型。研究人員只製作了10個類似的範例，訓練範例沒有任何有毒或明顯有害的字彙，也不會觸發OpenAI仲裁API或GPT-4裁判，結果分別使Llama-2及GPT-3.5的「有害率」提高了72.1%及87.3%。</p> <p class="rtecenter"><img alt="" src="https://github.com/LLM-Tuning-Safety/LLMs-Finetuning-Safety/raw/main/assets/tier2_identity_shift.jpeg" style="width: 321px;" /></p> <p><a href="https://github.com/llm-tuning-safety/llms-finetuning-safety" target="_blank"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源_LLM-Tuning-Safety via GitHub</span></span></a></p> <p>最後，他們實驗「良性」微調攻擊。研究人員使用業界常用的文字資料集Alpaca、Dolly以及LLaVA-Instruct三種良性資料集，來微調 GPT-3.5 Turbo及Llama-2-7b-Chat。顯示即使完全使用良性資料集，仍然會弱化模型的安全，例如以Alpaca資料集為例，GPT-3.5 Turbo有害率由5.5%大增為31.8%，而Llama-2-7b Chat在Alpaca的有害率從0.3%增加到16.1%，在LLaVA-Instruct的有害率則從0%大增到18.8%。</p> <p class="rtecenter"><img alt="" src="https://github.com/LLM-Tuning-Safety/LLMs-Finetuning-Safety/raw/main/assets/tier3_results.png" style="width: 600px;" /></p> <p><a href="https://github.com/llm-tuning-safety/llms-finetuning-safety" target="_blank"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源_LLM-Tuning-Safety via GitHub</span></span></a></p> <p>研究人員指出，企業組織用戶可以透過慎選訓練資料集、導入審查系統、混合資料集與安全資料、使用紅隊演練測試等避免安全被弱化，但也承認尚未有完全有效的方法可避免有心人士攻擊，像是可能透過Prompt+Trigger提供有害的範例，產生對模型的後門攻擊（backdoor attack），並能躲避檢查。</p> </div></div></div>
2023/10/16 15:09作者林妍溱https://www.ithome.com.tw/news/159293
【資安週報】2023年10月11日到10月13日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>延續前一周有6個零時差漏洞攻擊與修補的情形，在雙十國慶連假期間，再有3個漏洞受注目，包括：</p> <p>●Cloudflare、Google、AWS揭露名為HTTP/2 Rapid Reset的零時差漏洞攻擊手法，他們紛紛指出8月就已經觀察到此漏洞利用情形。攻擊者是藉由CVE-2023-44487漏洞產生極為巨大的DDoS流量，由於漏洞存在HTTP/2通訊協定，採用該協定的產品與服務範圍相當廣泛，相關修補資訊、受影響的狀態公告，備受關注。<br /> ●本月微軟例行安全更新釋出，總共有103個漏洞，當中除了修補上述CVE-2023-44487漏洞，還有兩個已遭利用的零時差漏洞，包括涉及WordPad的漏洞CVE-2023-36563，以及Skype for Business有關的漏洞CVE-2023-41763。</p> <p>此外，Adobe在今年1月修補旗下Acrobat及Reader的漏洞CVE-2023-21608，後續發現網路上有概念性驗證PoC程式的公開，近日確定有攻擊者鎖定利用的情形；上週提到Confluence的零時差漏洞（CVE-2023-22515）已遭攻擊者利用，如今有最新消息指出是中國駭客組織Storm-0062所為。</p> <p>在最新資安威脅消息上，有廠商警告最近出現鎖定臺灣的攻擊。賽門鐵克揭露全新的APT攻擊組織Grayling，說明該組織的攻擊手法細節，並指出該組織在今年2月到5月鎖定對象，不只是太平洋群島的政府機關、越南及美國的組織，還有臺灣的生醫產業、製造業、IT產業。</p> <p>在國際局勢方面，由於巴勒斯坦激進組織哈瑪斯（Hamas）突然對以色列發動大規模的軍事攻擊，接著以色列也開始反擊，網路上陸續傳出駭客組織聲援巴勒斯坦的消息，像是俄羅斯駭客鎖定以色列衛星及工控系統攻擊等，甚至有資安業者揭露有上百駭客組織表態參與發動網路攻擊，並指出其中聲援巴勒斯坦的有77個，支持以色列的有20個。</p> <p>其他重要消息上，這段期間，還有中國駭客ToddyCat鎖定亞洲電信業者散布後門程式CurKeep的情形，以及殭屍網路Mirai變種病毒IZ1H9近期攻擊行動的揭露。國內有一起資安威脅事故相關消息，那就是去年有人在暗網購買我國戶籍資料的事件，警調單位有最新資訊公布，對於擅自購買大量個資的嫌犯，檢察官考量其沒有前科，並坦承犯案已知悔悟，因此給予緩起訴，期限1年，以及繳庫50萬元的條件。</p> <p>至於防禦態勢上，近日美國NSA、DHS與CISA釋出最常見10大資安配置錯誤的報告，重點是提供了網路防禦者因應的建議，並呼籲軟體製造商立即著手採用安全設計原則，以減輕整體資安防護的負擔。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/159228"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月11日】駭客組織鎖定臺灣生技、製造、IT業者而來，自今年2月暗中從事網路間諜攻擊</span></strong></a></h3> <p>臺海局勢緊張，針對臺灣而來的網路攻擊從不間斷，我們上週才報導<a href="https://www.ithome.com.tw/news/159172#tsmc">中國駭客假冒台積電名義進行的網路釣魚攻擊行動</a>，駭客使用正體中文的PDF檔案，目標是臺灣等國家的半導體公司，現在又傳出一起針對我國而來的網路間諜攻擊行動。</p> <p>今年2月至5月，駭客組織Grayling疑似對臺灣的生技、製造、IT業者發動攻擊，因大部分利用的工具很常見，部分甚至能直接從網路上取得，使得研究人員難以進一步找出駭客底細。</p> <h3><a href="https://www.ithome.com.tw/news/159241"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月12日】以色列與巴勒斯坦爆發大規模軍事衝突之後，逾100個駭客組織發動網路攻擊</span></strong></a></h3> <p>去年2月引爆的烏克蘭戰爭當中，網路攻擊占有舉足輕重的地位，許多駭客表態聲援烏克蘭或是俄羅斯，這樣的現象也出現在近期的以色列和巴勒斯坦軍事衝突。</p> <p>有研究人員發現，自巴勒斯坦激進組織哈瑪斯（Hamas）10月7日突襲以色列，不到一個禮拜的時間已有100個駭客組織從事相關的網路攻擊，其中逾四分之三支持巴勒斯坦、五分之一支持以色列，極少數表明維持中立的立場。但這些駭客的攻擊行動究竟會帶來那些影響？有待後續觀察。</p> <h3><a href="https://www.ithome.com.tw/news/159278"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月13日】利用職場社群網站LinkedIn市場行銷工具的網釣攻擊再度出現，受害者遍及各行各業</span></strong></a></h3> <p>運用合法服務隱匿網路釣魚的攻擊意圖，可說是相當常見，其中一種手法，就是濫用市場行銷工具Smart Links，這是由職場社群網站LinkedIn推出的服務，主要目的是讓行銷人員提供客戶相關的網站連結時，進而追蹤其互動成效。但這樣的工具可能淪為駭客迴避郵件安全系統檢查的管道。</p> <p>濫用Smart Links的攻擊行動並非首例，但這次駭客手法又更進一步，將這類工具的網址加以運用，在釣魚網站的網址連結當中，帶入收信人的電子郵件信箱。</p> <h3> </h3> </div></div></div>
2023/10/16 10:24作者羅正漢https://www.ithome.com.tw/news/159285
Google Cloud提供智財免責防護，讓客戶使用AI服務不用擔心被告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為讓企業用戶安心使用AI服務，<a href="https://cloud.google.com/blog/products/ai-machine-learning/protecting-customers-with-generative-ai-indemnification" target="_blank">Google Cloud宣布提供AI免責防護</a>，讓客戶不用擔心使用到版權內容被告。</p> <p>今年8月Google推出付費Duet AI服務，是整合到Google Cloud產品從Workspace到Cloud Platform的AI助理，也強化了AI模型服務Vertex AI，協助用戶運用及訓練基礎模型。這些服務能讓企業運用AI生成，像是行銷文案、廣告圖片、或是電子郵件等等。最新服務則再進一步，防止客戶遭遇到版權方面的法律責任。</p> <p>新服務包含二部分。第一部分和Google使用的訓練資料有關，第二部分則著重基礎模型的生成產物。訓練資料的免責涵括所有Google用來打造其生成模型的資料集，當有第三方單位宣稱客戶侵害了其智財權，責任全由Google承擔。</p> <p>第二部分則是當用戶使用Google AI服務的輸出結果被第三方單位宣稱侵害其版權時，責任歸屬在Google。這項免責防護適用於Google Workspace及各種Google Cloud服務使用的Duet AI，涵括Google Docs和Gmail（產出物為文字）、Google Slides、Google Meet（產出為圖片）中的Duet AI、協助開發App的Google Cloud Duet AI、Vertex AI Search、Vertex AI Conversation、Vertex AI Text Embedding API/Multimodal Embeddings、Vertex AI的Visual Captioning視覺字幕／Visual Q&A，以及Codey API等。</p> <p>不過Google強調，免責的前提是企業用戶本身沒有侵權意圖，而且在負責任的AI使用下，有使用現有或發展中的工具加以引述來源。</p> <p>透過在<a href="https://workspace.google.com/intl/en/terms/service-terms/" target="_blank">Google Workspace</a>及<a href="https://cloud.google.com/terms/service-terms" target="_blank">Google Cloud</a>新增的免責防護，客戶無需修改現有合約，也能自動獲得免責防護。Google表示這只是第一步，該公司正在研發讓用戶安心使用其AI服務的方法。</p> </div></div></div>
2023/10/16 11:39作者林妍溱https://www.ithome.com.tw/news/159289
組織如何選擇DevOps轉型切入點
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/devops_handbook-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>軟體服務或產品常被分為綠地專案或棕地專案，這兩個術語最初用來指涉城市規劃和建設專案。綠地專案指在未經開發的土地上所建設的專案，而棕地專案則是指在以前用於工業生產的土地上進行建設的專案，這類土地可能遭受有毒物質或污染物的侵蝕破壞。</p> <p>在科技領域中，綠地專案代表全新的軟體專案。這種專案通常還處在規劃或實施的早期階段，有機會從零開始構建全新的應用程式和基礎設施，不會受到過多限制。</p> <p>DevOps綠地專案通常是指一些試驗性專案，用來證明公有雲或私有雲方案的可行性、或是嘗試採用自動化部署及相關工具等。2009年，由美國國家儀器公司（National Instruments）發布的Hosted LabVIEW就是一個DevOps綠地專案。這家公司具有30年歷史的企業，擁有5000名員工，年營業額達10億美元。</p> <p>為了讓這項服務快速上市，該公司組織了一個全新團隊，允許該團隊在現有的IT流程之外獨立運作，同時探索公有雲的各項運用。最初的團隊成員包括一位應用架構師、一位系統架構師、兩位開發人員、一位系統自動化開發人員，一位營運負責人和兩位海外營運人員。他們將DevOps的概念付諸實踐，使得團隊交付產品的週期比平常時間大幅縮短了一半。</p> <p>DevOps的棕地專案則是指那些已經服務客戶長達幾年甚至幾十年的產品或服務。這種專案通常背負大量技術債，比如：無自動化測試、運行在無人維護的平台等。在Nordstrom案例中，店內餐廳系統和電子商務系統都屬於棕地專案。</p> <p><span style="font-size:28px;"><strong>棕地專案不適合用DevOps進行轉型？</strong></span></p> <p>雖然很多人認為DevOps主要適用於綠地專案，但成功應用DevOps進行轉型的棕地專案比比皆是。事實上，2014年度DevOps Enterprise Summit上所分享的轉型案例中，棕地專案所佔比例超過60％。在轉型之前，這些專案的產品或服務與客戶需求存在巨大差異，而DevOps轉型為它們創造了巨大的商業價值。</p> <p>實際上，State of DevOps Reports其中一項調查指出，應用程式的年齡並不是影響效能的主要因素；效能優劣反而取決於應用架構在當前狀態下（或重新建構後）是否具有可測試性和可部署性。</p> <p>在認定傳統方法無法達成當前目標的情況下，維護棕地專案的團隊可能非常願意嘗試DevOps試驗——尤其是當達到最佳化成為燃眉之急。</p> <p>以下是成功轉型的棕地專案案例：</p> <p>● 美國航空（2020）：DevOps實踐也可以應用於傳統的商用現貨（COTS）上。美國航空公司的會員酬賓產品運行於Seibel系統，後來改採混合式雲端模式，並投資CI/CD管線，實現自動化交付和端到端的基礎設施。自此以後，團隊的部署更加頻繁，在短短幾個月內就完成了50多次自動化部署，而且會員網路服務的響應速度是原來的兩倍，雲端成本改善了32%。更重要的是，這一變化使業務部和IT部門之間的對話產生變化。比起過去業務部門總是在等待IT部門的變化，現在，團隊能夠更頻繁、更無縫地進行部署，比業務部門驗證和接受變更的速度還更快。目前，產品團隊與業務及IT團隊齊心合作，研究如何改善端到端的流程，實現更高的部署頻率。</p> <p>● Etsy（2009）：2009年僅有35名員工的Etsy，年收入高達8,700萬美元。但是，一到節慶旺季，Etsy必須咬牙處理蜂擁而至的銷售訂單。因此，該企業決心徹底實施轉型，最終成為最傑出的DevOps企業之一，也為2015年成功IPO上市奠定了堅實基礎。</p> <p><span style="font-size:28px;"><strong>美國空軍系統的棕地轉型專案</strong></span></p> <p>2015年10月，美國空軍襲擊了位於阿富汗的一家無國界醫生組織的醫院，因為軍方堅信這是敵方據點。正如Kessel Run實驗室的平台主管Adam Furtado說：「基本上，這是由於失敗的IT生態系統，導致AC130炮艇攻擊了錯誤的建築。」</p> <p>Furtado在2020年在拉斯維加斯舉辦的DevOps Enterprise Summit-Virtual解釋：「當時發生的事情並不是什麼黑天鵝事件，它是可以預測的，甚至還會再次發生。」他們需要一個解決方案。</p> <p>Kessel Run的命名來自星際大戰的走私客：韓・索羅（Han Solo）的走私路線，象徵美國空軍需要自己將這些新的工作方式「走私」進美國國防部。Kessel Run這項專案是美國空軍內部，為解決傳統國防IT部門無法有效解決的艱難業務挑戰所做的持續努力。這個小組由一個小聯盟組成，負責對現代軟體實踐、流程和原則進行測試。他們的關注焦點只在於任務本身，而不囿於現狀。</p> <p>Kessel Run聯盟見證了Adidas和Walmart等公司搖身成為軟體公司。他們想讓美國空軍也轉型成一個能夠贏得戰爭的軟體公司。因此，他們把注意力轉移到擺在他們面前的關鍵業務成果上：將空軍的空中作戰中心（AOC）現代化。</p> <p>美國空軍在世界各地設有幾個實際的空中作戰中心，制定戰略、計劃和執行空中作戰。然而其基礎設施相當陳舊，所有工作都是由特定的人，在特定的建築物、特定的地點上，以特定硬體上存取特定資料來完成的，這種實體方法已經存在了幾十年了。他們唯一能夠實施的軟體更新是微軟作業系統。</p> <p>「你可能認為我在說笑，但最近一次搜尋顯示，某個AOC的伺服器上有280萬個Excel和PowerPoint檔案，」Adam Furtado說。</p> <p>蓋爾定律（Gall’s Law）指出，如果你想讓一個複雜的系統發揮作用，必須先建立一個更簡單的系統，然後隨著時間進行改進。Kessel Run聯盟就是這樣做的，他們應用了Strangler Fig Pattern，也就是所謂的Encasement Strategy，在22個實際地點逐步和迭代地實施更現代的軟體系統和流程，讓每個地點都有自己的軟體和硬體，同時維持整個系統正常運行。</p> <p>他們從一個特定流程著手：空中加油系統。這個流程需要大規模協調，確保空中加油機在正確的時間、正確的高度，以正確的硬體為正確的飛機加油。這個流程涉及到好幾位飛行員每天使用color pucks、Excel Macro和大量手動輸入來進行規劃。他們的確在很大程度上變得更高效，但這樣的效能僅限於他們大腦所允許的範圍，事實上，他們無法對變化做出快速反應。</p> <p>Kessel Run實驗室引進了一個團隊，利用DevOps原則、極限程式設計和平衡的團隊模式，將他們的工作流程數位化。他們在短短幾週內就向使用者提供了最初的最小可行產品。這個早期專案創造了足夠效率，讓一架飛機及其機組人員不必為實驗而每天飛行，每天可節省214,000美元的燃油費。</p> <p>他們不斷進行迭代。經過30次迭代後，他們又省下了一倍費用，每天保持兩架飛機和機組人員在地面上待命。新的工作方式讓每月節省了1,300萬美元燃油費，並且減少了一半計畫機組人員。</p> <p>本案例研究顯示了DevOps轉型帶來的偉大變化，同時也清楚說明了轉型同樣適用於棕地專案。Kessel Run實驗室成功降低了工作流程的複雜性，促進空中加油系統的可靠性和穩定性，幫助美國空軍更快、更安全地做出行動與改變。（摘錄整理自《DevOps Handbook中文版第二版》第五章，碁峰資訊提供）</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/300_DevOps%20Handbook(2)_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%A2%81%E5%B3%B0%E8%B3%87%E8%A8%8A.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_碁峰資訊</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> DevOps Handbook中文版第二版｜打造世界級技術組織的實踐指南（The DevOps Handbook, 2nd Edition）</strong></p> <p>Gene Kim, Jez Humble, Patrick Debois, John Willis, Nicole Forsgren／著；沈佩誼／譯</p> <p>碁峰資訊出版</p> <p>定價：650元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_Gene%20Kim_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.jpg" style="width: 250px;" /></p> <p><a href="https://tinyurl.com/ynldrjjy" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Amazon</span></span></a></p> <p><strong>Gene Kim</strong></p> <p><strong>是一位獲獎無數的CTO、研究員與知名IT小說《鳳凰計畫》的作者之一，同時也是IT Revolution出版社的創辦人以及DevOps企業高峰會的主辦人。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_Jez%20Humble_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.jpg" style="width: 250px;" /></p> <p><a href="https://tinyurl.com/ysge6l6x" target="_blank"><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Amazon</span></a></p> <p><strong>Jez Humble</strong></p> <p><strong>《Continuous Delivery》、《精實企業》的作者之一。專注於透過有效率的工程實踐，協助組織可靠地交付有價值、高品量的軟體。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_Patrick%20Debois_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.jpg" style="width: 250px;" /></p> <p><a href="https://tinyurl.com/yl7k9dc9" target="_blank"><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Amazon</span></a></p> <p><strong>Patrick Debois</strong></p> <p><strong>DevOps之父。致力於應用敏捷技術彌補專案與維運之間的落差。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%965_John%20Willis_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_devopsdays.jpg" style="width: 250px;" /></p> <p><a href="https://tinyurl.com/ypf6tml5" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_devopsdays</span></span></a></p> <p><strong>John Willis</strong></p> <p><strong>在IT業界的工作經歷將近40年。寫過六本IBM紅皮書。目前任職於SJ Technologies。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%966_Nicole%20Forsgren_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 250px;" /></p> <p><a href="https://tinyurl.com/yvkh3ls3" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_微軟</span></span></a></p> <p><strong>Nicole Forsgren博士</strong></p> <p><strong>是微軟研究院士，並主持Developer Velocity Lab。她的研究領域為技術流程效能之衡量，並擔任State of DevOps Reports的首席調查學者。</strong></p> </div></div></div>
2023/10/16 10:43未署名https://www.ithome.com.tw/article/159286
Windows 11 21H1、Server 2012支援到期，Server版搬上Azure可獲得3年支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟上周釋出<a href="https://www.ithome.com.tw/news/159223" target="_blank">10月份的Patch Tuesday</a>，除了修補漏洞外，也通知用戶Windows 11 21H1及Server 2012/2012 R2的安全支援已經在上周結束。</p> <p>在Windows用戶端，即將到期的是Windows 11 21H1 Home及Pro版。這個版本<a href="https://learn.microsoft.com/en-us/lifecycle/announcements/windows-10-21h2-end-of-servicing" target="_blank">原本微軟預定</a>於6月起終止支援，不過<a href="https://learn.microsoft.com/en-us/windows/release-health/status-windows-11-21h2" target="_blank">因故延長到本月</a>。微軟說，10月10日釋出的安全更新，是Home、Pro這二個版本可下載的最後一次更新。之後兩個版本再也不會接獲每月安全更新，或是防護功能的預覽更新。</p> <p>微軟會先從Windows 11消費版裝置及非列管商務裝置開始部署安全更新。企業版（Enterprise）、教育（Education）、IoT Enterprise、以及Enterprise多連線（multi-session）版則享有多1年技術支援，於2024年10月8日到期。</p> <p>此外，<a href="https://learn.microsoft.com/en-us/lifecycle/announcements/windows-server-2012-r2-end-of-support" target="_blank">微軟並通知</a>，上周的Patch Tuesday對Windows Server 2012及2012 R2伺服器而言也是最後一次安全更新。如果用戶無法更新到下一版本，就必須付費購買延伸安全更新（Extended Security Updates，ESU），最多可以延長3年到2026年10月13日。現在最新的伺服器版本是Windows Server 2022。</p> <p>同樣在上周來到安全支援生命周期終點的Windows，還包括Windows MultiPoint Server 2012、Windows Storage Server 2012和Windows RT。</p> <p>如果用戶將本地部署版Windows Server上的應用程式和資料庫轉換到Azure，像是Azure VMware Solution、Azure Stack HCI、VM及專用主機（Dedicated Host），則可在支援日到期後，獲得三年的免費ESU。用戶也可以採購<a href="https://azure.microsoft.com/zh-tw/pricing/hybrid-benefit/" target="_blank">Azure Hybrid Benefit</a>授權優惠方案以購買Windows Server及SQL Server授權。</p> <p>針對採購的ESU，企業用戶也可以用Azure Arc自動部署到本地環境，或將Azure安全及治理功能延伸到本地部署環境。</p> <p>微軟的Windows 10 Home及Pro，以及防毒軟體Windows Defender for Windows 10 則還可以獲得2年安全更新，直到2025年10月14日。</p> </div></div></div>
2023/10/16 09:22作者林妍溱https://www.ithome.com.tw/news/159283
OpenSSF開源惡意套件儲存庫，以應對開源軟體供應鏈安全威脅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源安全基金會（Open Source Security Foundation，OpenSSF）套件分析團隊，在GitHub上推出<a href="https://openssf.org/blog/2023/10/12/introducing-openssfs-malicious-packages-repository/">惡意套件儲存庫（Malicious Packages Repository）</a>，該儲存庫用於收集和發布跨生態系的惡意套件報告。OpenSSF的這項作為，是為了回應近期開源惡意套件攻擊事件頻傳的情況。</p> <p>惡意套件是一種特殊類型的惡意軟體，被包裝成開源套件並發布到PyPI或NPM這類套件儲存庫中。攻擊者濫用套件交付形式，將惡意程式碼植入到受害者的系統中。受害者可能無意間安裝並且執行該套件，進而觸發惡意程式碼，進一步導致未經授權的存取、私人資料洩露，或是資料破壞等攻擊，官方指出，大多數的端點防毒軟體，都未能有效阻止惡意套件攻擊流程。</p> <p>在去年5月的時候，OpenSSF釋出了可用於辨識<a href="https://www.ithome.com.tw/news/150713">惡意套件的分析工具</a>，該工具透過偵測惡意行為，警示選用相關套件的開發者。套件分析工具與新的開源套件儲存庫相輔相成，OpenSSF會從熱門的開源套件儲存庫中，下載、安裝並執行套件，進而發現隱藏其中的惡意套件。透過捕捉套件指令，分析網路流量，並運用規則判斷套件行為，當OpenSSF發現惡意套件，就會將生成的報告發布到新的開源惡意套件儲存庫。</p> <p>OpenSSF推出惡意套件儲存庫的目的，是要改善當前惡意套件報告資訊的透明度。每個開源套件儲存庫都有自己處理惡意套件的方式，當社群回報惡意套件時，套件儲存庫的安全團隊便會移除該套件和相關後設資料，但OpenSSF提到，這過程通常沒有公開紀錄，要發現存在哪些惡意套件，就必須要從多個公開來源或是專門的威脅情報來源拼湊資料。</p> <p>而OpenSSF的惡意套件儲存庫作為一個公開的資料庫，得以彌補這個資料缺口，儲存庫中所收集的開源套件報告，可用於阻止惡意相依項目在CI/CD工作管線中被使用，也能使偵測引擎更加完善，或是加快企業的事件回應速度。</p> <p>儲存庫使用開源漏洞（Open Source Vulnerability，OSV）格式，這是一種用於標示開源專案漏洞的JSON格式，官方提到，由於使用OSV格式，該儲存庫的資料也能與現有包括osv.dev API、osv-scanner和deps.dev等工具整合。</p> <p>目前儲存庫已經收錄超過1.5萬份惡意套件，資料來源涵蓋OpenSSF套件分析專案、Checkmarx，以及GitHub平臺追蹤到的惡意套件匯出資料。</p> </div></div></div>
2023/10/16 08:35作者李建興https://www.ithome.com.tw/news/159279
微軟完成動視暴雪收購案，雲端串流遊戲版權交由Ubisoft
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國競爭與市場管理局（Competition and Markets Authority，CMA）<a href="https://assets.publishing.service.gov.uk/media/652864062548ca000dddf22d/Full_text_decision__final_order_.pdf" target="_blank">終於在上周五（10/13）同意</a>微軟與動視暴雪（Activision Blizzard）的併購案，<a href="https://blogs.microsoft.com/blog/2023/10/13/welcoming-the-legendary-teams-at-activision-blizzard-king-to-team-xbox/" target="_blank">同一天微軟即宣布正式完成收購</a>，結束了近22個月的審核拉鋸戰。</p> <p>微軟是在2022年的1月宣布將以約687億美元的現金買下動視暴雪，動視暴雪為歐美最大的遊戲業者，所發行的熱門遊戲包括《魔獸世界》（World of Warcraft）、《星海爭霸》（StarCraft）、《暗黑破壞神》（Diablo）、《Candy Crush Saga》及《決勝時刻》（Call of Duty）等。這是微軟史上規模最大的併購案，也將讓微軟一躍成為僅次於騰訊及Sony的全球第三大遊戲業者。</p> <p>美國聯邦交易委員會（FTC）與英國CMA曾多次出手阻止此一併購案，理由皆是擔心該交易將嚴重危及遊戲市場的競爭，但微軟持續釋出各種政策以滿足FTC及CMA的要求。</p> <p>包括微軟已與諸如任天堂及Sony等競爭對手簽署協議，讓這些遊戲機業者可存取10年的《決勝時刻》遊戲，另外也與法國遊戲業者Ubisoft簽署協議，<a href="https://news.ubisoft.com/en-us/article/wy4gKUmOdRRoO5Uvlr8CA" target="_blank">由Ubisoft取得</a>動視暴雪現在及未來15年所發行之遊戲的永久雲端串流版權，但不包含歐洲經濟區（European Economic Area）。媒體分析認為，後者才是CMA放行此一併購案的關鍵。</p> <p>而歐洲經濟區的遊戲玩家們，只要購買了動視暴雪的PC或遊戲機遊戲，就可同時免費存取該款遊戲的雲端串流版。</p> <p>動視暴雪的各個團隊未來將加入微軟Xbox團隊，而動視暴雪執行長Bobby Kotick則將協助交接，預計於今年底離開。</p> </div></div></div>
2023/10/16 08:48作者陳曉莉https://www.ithome.com.tw/news/159282
美國公布10種常見配置不當，針對網路防禦者提供具體緩解建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在10月5日，有一份主題為<a href="https://www.ithome.com.tw/news/159280">最常見10大資安配置錯誤的報告</a>釋出，相當具有參考價值。這是由美國國安局（NSA）、國土安全部（DHS），以及網路安全暨基礎設施安全局（CISA）聯手公布的內容。</p> <p>特別的是，在公布常見配置錯誤之餘，這份內容也針對每個問題，提出網路防禦者因應的詳細建議，甚至也呼籲軟體製造商如何緩解已識別的錯誤配置。</p> <h3><strong><span style="color: rgb(178, 34, 34);">美NSA、DHS、CISA聯手揭露10大資安配置錯誤<br /> <a href="https://s4.itho.me/sites/default/files/images/（圖7）美國公布10種常見配置不當情況_圖片擷取自美國CISA.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89%E7%BE%8E%E5%9C%8B%E5%85%AC%E5%B8%8310%E7%A8%AE%E5%B8%B8%E8%A6%8B%E9%85%8D%E7%BD%AE%E4%B8%8D%E7%95%B6%E6%83%85%E6%B3%81_%E5%9C%96%E7%89%87%E6%93%B7%E5%8F%96%E8%87%AA%E7%BE%8E%E5%9C%8BCISA.jpg" style="width: 260px; float: right;" /></a></span></strong><br /> <span style="color: rgb(0, 153, 255);">1. 軟體與應用程式的預設配置<br /> 2. 使用者與管理員權限的分離不當<br /> 3. 內部網路的監控不足<br /> 4. 網路分段的缺乏<br /> 5. 修補程式的管理不良<br /> 6. 系統存取控制可被略過<br /> 7. 多因素身分驗證的薄弱或設定錯誤<br /> 8. 網路共享與服務的存取控制名單設置不夠全面<br /> 9. 帳密資安衛生不佳<br /> 10 .程式碼執行未受到管制</span></h3> <h4 class="rteright"><span style="color: rgb(169, 169, 169);">資料來源：美國CISA，iThome整理，2023年10月</span></h4> <p>關於這次選出的10大配置錯誤，是根據NSA與CISA的紅隊與藍隊測試，以及這兩個組織的威脅獵捕與事件回應活動，從中識別與確認出最為常見的問題。</p> <p>關於各式不當配置所帶來的情形與問題，當中也有一一說明。</p> <p>以預設配置的問題而言，主要出現在裝置或軟體的預設帳密，以及某些服務的存取控制過於寬鬆；使用者與管理員權限的分離不當，而這當中最常看到三種狀況，包括特定帳號擁有過多的權限，用戶帳戶權限被提升，或是高權限帳號被用於非必要的操作。</p> <p>在內部網路的監控不足上，有些組織並未針對主機與流量偵測的配置做最佳化，造成他們無法立即發現異常活動；如果企業與組織的環境存在網路分段的缺乏，駭客可乘機藉由破壞網路資源並於不同系統橫向移動，本身也會更容易受到勒索軟體攻擊，或其他處於後滲透（post-exploitation）階段的深度攻擊影響；在修補管理面向，儘管廠商總是督促用戶修補漏洞，但企業與組織往往缺乏、未落實定期修補政策，或仍在使用生命週期已結束的產品，使得這些弱點經常成為駭客入侵的缺口；</p> <p>系統存取控制可被繞過方面，駭客可透過破壞環境中的備用系統，來繞過系統的存取控制，例如蒐集雜湊值以非標準方式進行身分驗證，或是模仿沒有明文密碼的帳號以提升存取權限；在多因素身分驗證的薄弱或設定錯誤上，有些網路環境已要求使用者透過智慧卡或Token登入，卻未取消密碼登入，而這些久久不曾改變也未被移除的密碼，則成為駭客的入侵管道，又或是缺乏防網路釣魚的MFA機制。</p> <p>網路共享與服務的存取控制名單設置得不夠全面，將允許未經授權的使用者於共享磁碟中存取機密資料；關於帳密的資安衛生不佳，則涵蓋可輕易破解的弱密碼，以及存放明文密碼；至於程式碼執行的未受管制，則是賦予應用系統內部與外部因素極高的攻擊能力。</p> <p>特別的是，在這份報告中，我們看到不只是列出種種配置錯誤問題，同時，CISA還藉由MITRE ATT&CK for Enterprise框架，對應出所有相關攻擊手法，以及對應出攻擊手法的因應，讓外界可以更好認識其危害與保護。</p> <p>整體而言，這些不當配置的常見資安問題，呼應了許多大型組織面臨的系統漏洞趨勢，而對於軟硬體業者、雲端服務廠商而言，更會是關鍵，需在設計階段將安全原則納入，以減輕網路防禦者負擔的重要性。</p> <h3><strong>對網路防禦者提供具體緩解建議</strong></h3> <p>知道這些常見問題，如何應對就是各界關注的焦點，在這份報告中同時提供了這方面的內容。</p> <p>在NSA與CISA這份最新公布的資安風險剖析當中，就針對網路防禦者提供了10張表格，將上述最常見的每一配置問題，提供詳細的基本緩解建議。</p> <p>舉例來說，以系統存取控制可被略過的問題而言，這裡提供6項緩解的建議措施。包括：（1）限制在不同系統間無法重複使用相同的登入資訊，這是為了防止帳密遭到破解，減少惡意行為者在系統之間橫向移動的能力；（2）建立有效且定期的修補管理程序，這方面主要針對Windows 7以上版本，透過KB2871997的更新來緩解Pass-the-Hash（PtH）攻擊技巧，以限制本機管理員群組中帳戶的預設存取權限；（3）啟用PtH緩解措施，在登入網路時，對本地端帳戶實施使用者帳戶控制（UAC）的限制；（4）在多臺電腦與伺服器當中，勿讓網域使用者成為本機管理員群組的成員；（5）限制工作站之間的通訊，因為這些溝通應透過伺服器進行，以防止橫向移動；（6）只在需要高權限的系統使用特權帳號，可考慮設置專用的特權存取工作站，讓這些高權限帳號做到更好的隔離和保護。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5）美國公布10種常見配置不當情況_圖片擷取自美國CISA.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89%E7%BE%8E%E5%9C%8B%E5%85%AC%E5%B8%8310%E7%A8%AE%E5%B8%B8%E8%A6%8B%E9%85%8D%E7%BD%AE%E4%B8%8D%E7%95%B6%E6%83%85%E6%B3%81_%E5%9C%96%E7%89%87%E6%93%B7%E5%8F%96%E8%87%AA%E7%BE%8E%E5%9C%8BCISA.jpg" style="width: 600px;" /></a></p> <p>再以多因素身分驗證的薄弱或設定錯誤而言，NSA與CISA特別將此類問題分為兩種類型。</p> <p>第一種問題，是智慧卡或Token的錯誤配置，他們提供2項緩解的建議措施。</p> <p>首先，是在Windows環境下，要停止使用新技術LAN Manager（NTLM）或其他老舊身分認證協定，原因是當中使用的密碼雜湊值（Password hashes）容易受到PtH攻擊，NSA與CISA表示，相關細節可參考微軟網站公布的「在網域中限制NTLM驗證」文件；同時，需使用Windows Hello for Business或群組原則物件（GPO）等內建功能，以便定期重新隨機產生智慧卡背後對應帳戶（smartcard-required）的密碼雜湊值，並要確保雜湊的變更頻率至少與組織政策要求更改密碼的頻率相符，至於無法使用這些內建功能的環境，企業與組織需要優先升級。</p> <p>再者，以長期努力方向來看，NSA與CISA建議採用現代開放標準的雲端主要身分驗證解決方案，這方面的內容，可參考安全雲端商業應用程式（SCuBA）專案項目，當中介紹了混合身分識別解決方案架構。</p> <p>第二種問題，是指缺乏防網路釣魚的MFA機制，NSA與CISA提出的主要緩解建議，是存取敏感資料及其他資源與服務時，盡可能普遍實施抗網釣多因素身分驗證（Phishing-resistant MFA）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖6）美國公布10種常見配置不當情況_圖片擷取自美國CISA.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89%E7%BE%8E%E5%9C%8B%E5%85%AC%E5%B8%8310%E7%A8%AE%E5%B8%B8%E8%A6%8B%E9%85%8D%E7%BD%AE%E4%B8%8D%E7%95%B6%E6%83%85%E6%B3%81_%E5%9C%96%E7%89%87%E6%93%B7%E5%8F%96%E8%87%AA%E7%BE%8E%E5%9C%8BCISA.jpg" style="width: 600px;" /></a></p> <p>藉由上述兩例的呈現，我們可以看出，其實NSA與CISA針對10項錯誤配置，所給出建議的結構與樣貌。</p> <p>針對其他配置錯誤項目，NSA與CISA也提出很實用的建議，以下也舉例部分項目：例如，在部署前，應先行變更應用程式與裝置的預設配置，像是密碼與權限；部署AAA（認證、授權、計費）系統來監控帳號行動，限制特權帳號執行一般任務，採用有使用時間限制的特權帳號；建立應用與服務的活動基準線；部署具有深層過濾能力的新一代防火牆；定期修補安全漏洞或採用自動更新，不再使用過時的軟體或韌體；針對所有儲存裝置部署安全配置，實施最少權限原則；不讓系統執行不明來源的應用程式，建立程式執行的白名單。文⊙羅正漢、陳曉莉</p> </div></div></div>
2023/10/15 19:41作者羅正漢https://www.ithome.com.tw/news/159280
美國公布10種常見配置不當情形，呼籲軟體供應商即刻採取7行動，將更能減少同樣資安問題發生率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在10月5日，有一份主題為最常見10大資安配置錯誤的報告釋出，相當具有參考價值。這是由美國國安局（NSA）、國土安全部（DHS），以及網路安全暨基礎設施安全局（CISA）聯手公布的內容，當中指出，因為存在這些錯誤的配置，在某種程度上，使得駭客更容易展開攻擊，這不只是多個網路環境當中的系統性通用弱點（systemic weaknesses），也突顯軟體製造商必須更積極採用安全設計原則。</p> <p>雖然企業可以並採取措施來識別與解決這些配置錯誤問題，但CISA更強調的是，要讓這類問題大幅度減少，減少同樣資安問題發生率，要獲得廣泛擴大的進展，關鍵是需要軟體製造商的迅速行動，特別是導入Secure by Design的實踐，讓一開始到生命週期結束都納入安全設計，始能從設計階段就降低常見配置錯誤的風險，同時，每個客戶也應該要求每個供應商採納這些實踐。</p> <p>因此，在公布常見配置錯誤之餘，這份內容也針對每個問題，不僅是提出網路防禦者因應的詳細建議，並指引軟體製造商如何緩解已識別的錯誤配置。</p> <p>針對眾多IT產品的源頭：軟體製造商，NSA與CISA提出每一配置問題的最佳作法建議，避免用戶陷入資安危機。</p> <p>為了減少常見錯誤配置的發生率，他們提出每個軟體供應商都應即刻採行的7項措施，包括：</p> <p>（1）從軟體設計到整個開發周期的產品架構，都應嵌入安全控制，這方面可依循NIST SSDF框架</p> <p>（2）廢除預設密碼</p> <p>（3）在設計產品時不讓單一安全控制危害整個系統</p> <p>（4）免費向客戶提供高品質的稽核日誌</p> <p>（5）依據整個漏洞型態採取防護措施，例如使用可保障記憶體安全的程式語言，以及實施參數化查詢</p> <p>（6）在稽核日誌要提供足夠的詳細資訊，更利於偵測、追蹤系統上的可疑行動</p> <p>（7）強制特權使用者啟用MFA，並使MFA成為所有用戶預設啟用的功能。</p> <p>綜觀上述措施，值得我們關注的是，不只是當地軟體供應業者需要重視，由於臺灣近年也在推動打造可信供應鏈，而這樣的內容揭露，對於我國軟體業者同樣相當具參考價值。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖8A）美國公布10種常見配置不當情況_圖片擷取自美國CISA.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%968A%EF%BC%89%E7%BE%8E%E5%9C%8B%E5%85%AC%E5%B8%8310%E7%A8%AE%E5%B8%B8%E8%A6%8B%E9%85%8D%E7%BD%AE%E4%B8%8D%E7%95%B6%E6%83%85%E6%B3%81_%E5%9C%96%E7%89%87%E6%93%B7%E5%8F%96%E8%87%AA%E7%BE%8E%E5%9C%8BCISA.jpg" style="width: 583px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖8B）美國公布10種常見配置不當情況_圖片擷取自美國CISA.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%968B%EF%BC%89%E7%BE%8E%E5%9C%8B%E5%85%AC%E5%B8%8310%E7%A8%AE%E5%B8%B8%E8%A6%8B%E9%85%8D%E7%BD%AE%E4%B8%8D%E7%95%B6%E6%83%85%E6%B3%81_%E5%9C%96%E7%89%87%E6%93%B7%E5%8F%96%E8%87%AA%E7%BE%8E%E5%9C%8BCISA.jpg" style="width: 583px;" /></a></p> <p><span style="color:#0099ff;"><strong>美國公布10種常見配置不當，針對軟體供應商提供具體緩解建議，特別的是，為了讓軟體供應商更快採取行動，因此CISA從這些內容再精簡出7項即刻採取的措施。</strong></span></p> </div></div></div>
2023/10/15 19:58作者羅正漢https://www.ithome.com.tw/news/159281
臺廠800G交換器來了！內建64個OSFP埠或QSFP-DD埠
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/edgecore_networks_dcs560_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應AI、高效能運算應用的超大頻寬網路連線需求，有多家廠商陸續推出400GbE交換器，至於800GbE交換器，去年已有一些廠商開始推出產品。</p> <p>首先，是10月舉行的OCP年度全球高峰會期間，<a href="https://www.ithome.com.tw/review/154047">思科率先發表兩款1U、內建32個QSFP-DD800埠的產品</a>，分別是Nexus 9232E與Cisco 8111-32EH；<a href="https://nvidianews.nvidia.com/news/nvidia-announces-spectrum-high-performance-data-center-networking-infrastructure-platform">Nvidia同年3月發表採用Spectrum-4晶片的交換器</a>，揭露可同時支援400GbE與800GbE，今年5月底推出<a href="https://www.ithome.com.tw/review/157770">Spectrum-X網路平臺</a>時，提及搭配Spectrum-4的SN5000系列支援800GbE——2U尺寸的SN5600內建64個OSFP800埠。</p> <p>到了今年10月初，也就是OCP年度全球高峰會召開前夕，智邦集團旗下的鈺登科技（Edgecore Networks）發表800GbE交換器，名為DCS560，可針對AI、機器學習工作負載的連線需求，提供基於乙太網路而成的交織網路環境。</p> <p>這款交換器的封包交換容量可達51.2 Tbps，採用2U尺寸機箱、內建64個800GbE埠，並提供兩種網路介面接頭的選擇，具有部署彈性。其中，全部採用OSFP800接頭的機型是AS9817-64O，可支援銅質直連電纜（copper DAC），另一款則是採用QSFP-DD800接頭的AS9817-64D，可支援長距離ZR+光纖網路線的佈建。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Edgecore%20Networks%20DCS560-timthumb_from%20Edgecore%20Networks.jpg" style="width: 489px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DCS560%20demo-Web_from%20EdgeCore%20Networks%20.jpg" style="width: 600px;" /></p> <p>本週由電信基礎架構計畫（TIP）舉辦的開放網路高峰會Fyuz Summit，鈺登首度公開展示DCS560，而下週登場的OCP全球高峰會，這款800GbE交換器也將會亮相。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-10-11-1696920679149_Fyuz Summit from Edgecore Networks-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-11-1696920679149_Fyuz%20Summit%20from%20Edgecore%20Networks-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-10-11-1696868323612_Fyuz Summit from Edgecore Networks-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-11-1696868323612_Fyuz%20Summit%20from%20Edgecore%20Networks-1.jpg" style="width: 298px;" /></a></p> <p>就機箱規格而言，Edgecore這款2U尺寸產品具有強固、緊緻的外形，搭配可熱插拔的電源供應器（1+1備援），以及系統風扇（3+1備援），可靠度達到5個9（99.999％），能設置在攝氏0到40度的資料中心環境當中。</p> <p>值得注意的是，DCS560之所以能提供64個800GbE埠，主要是因為採用<a href="https://www.broadcom.com/products/ethernet-connectivity/switching/strataxgs/bcm78900-series">Broadcom的網路交換器ASIC晶片StrataXGS Tomahawk 5系列</a>，型號為BCM78900，而能建置足以負荷大規模使用，且容易部署的交織網路。</p> <p>在此之前，Edgecore針對400GbE交換器的產品，已陸續推出多款機型。例如，在2021年9月，發表支援P4語言的DCS810（AS9516-32D），採用1U尺寸機箱、提供32個QSFP-DD埠，交換器晶片為英特爾Tofino 2 BFN-T20-128Q，網路交換容量為25.6 Tbps；隔年4月，他們發表DCS240（AS9726-32DB），採用1U尺寸機箱、提供32個QSFP56-DD埠，交換器晶片為Broadcom StrataXGS Trident4（BCM56880），網路交換容量為12.8 Tbps。</p> <p>到了今年4月，Edgecore推出DCS520（AS9736-64D），採用2U尺寸機箱、提供64個QSFP56-DD埠，交換器晶片為Broadcom StrataXGS Tomahawk 4（BCM56990），網路交換容量為25.6 Tbps。</p> <h3><strong style="color: rgb(0, 0, 255);">Tomahawk 5晶片是這款交換器網路處理能力的關鍵</strong></h3> <p>相較於我們先前介紹思科、Nvidia的800GbE交換器，Edgecore的DCS560最大差異，在於採用的交換器晶片是Broadcom Tomahawk 5系列，於2022年8月登場，並於2023年3月宣告量產出貨，導入4奈米製程，成為第一款51.2 Tbps等級的交換器晶片，可提供64個800GbE埠的網路交換與路由處理能力，能針對RoCEv2與其他RDMA協定，提供最大效能與最低延遲，實現新世代的統合式資料中心基礎架構。</p> <p>而它的上一代是Tomahawk 4系列，在2019年底推出、導入7奈米製程，是25.6 Tbps等級的交換器晶片。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-Tomahawk%205-00.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-Tomahawk%205-1.jpg" style="width: 600px;" /></p> <p>基本上，Tomahawk 5內建64顆序列器／解除序列器（SerDes）核心，每顆整合核心搭配8個106 Gb/s規格的四階脈衝振幅調變（PAM4）SerDes收發器，以及相關的實體層編碼子層（Physical Coding Sublayer，PCS），可針對多種實體連線規格提供原生支援。同時，這顆晶片也整合6顆Arm處理器，因應高頻寬、具備完整可程式化持續遙測能力、支援複雜的嵌入應用程式執行等需求，做到晶片層級的統計摘要處理這類功能。</p> <p>透過單顆Tomahawk 5系列晶片的採用，交換器可支援256個200GbE埠網路分接，對應256張加速運算卡的運用，使每張加速卡都能獲得200 Gbps的頻寬。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-Tomahawk%205-2.jpg" style="width: 600px;" /></p> <p>而在實體連接方式上，Tomahawk 5支援100G PAM4介面接上DAC直連電纜、前端面板的插拔式光纖網路模組，以及共同封裝光學元件（Co-Packaged Optics，CPO）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-Tomahawk%205-1.jpg" style="width: 600px;" /></p> <p>針對通用運算領域的伺服器虛擬化與AI、機器學習工作負載，Broadcom此款ASIC晶片也提供單通道（single-pass）的VxLAN路由與橋接，以及該公司發展的認知路由（Cognitive Routing）、進階的共享封包緩衝（shared packet buffering）、可程式化的頻內遙測、硬體層級的連線容錯等多種功能，可縮短AI、機器學習處理的工作完成時間（Job Completion Time，JCT）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-Tomahawk%205-Buffer.jpg" style="width: 600px;" /></p> <p><strong style="color: rgb(0, 128, 128);">產品資訊</strong></p> <p><strong>Edgecore Networks DCS560</strong><br /> ●原廠：鈺登科技<br /> ●建議售價：廠商未提供<br /> ●機型：AS9817-64O、AS9817-64D<br /> ●機箱尺寸：2U<br /> ●網路埠：AS9817-64O提供64個OSFP800埠，AS9817-64D提供64個QSFP-DD800埠<br /> 800GbE模式，每埠可分流2個400GbE埠或4個200GbE埠或8個100GbE埠；<br /> 400GbE模式，每埠可分流2個200GbE埠或4個100GbE埠或8個50GbE埠；<br /> 100GbE模式<br /> ●封包交換容量：51.2 Tbps<br /> ●封包緩衝記憶體：165.2 MB<br /> ●系統運算與儲存資源：英特爾Xeon-D系列處理器（Ice Lake），Xeon D-1713NTE、32 GB記憶體、128GB SSD<br /> ●作業系統平臺：開放原始碼或商用網路作業系統<br /> ●搭配ASIC晶片：Broadcom BCM78900系列（Tomahawk 5）<br /> ●搭配電源供應器：2臺3000瓦（1+1備援）<br /> ●耗電量：低於2775瓦</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> <div> </div> </div></div></div>
2023/10/14 12:37作者李宗翰https://www.ithome.com.tw/review/159203
零售IT雙周報第23期：Walmart揭多項零售科技實驗計畫，生成式AI是關鍵技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(1001~1014)</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#生成式AI</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#搜尋優化</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#AR購物</span></span></strong><br /> <strong>Walmart揭未來零售科技實驗計畫，要用生成式AI強化搜尋、資訊摘要及室內設計等購物功能</strong></p> <p>美國零售龍頭Walmart<a href="https://corporate.walmart.com/news/2023/10/06/walmarts-latest-tech-powered-experiments-aim-to-make-shopping-easier-and-more-convenient">揭露自家零售科技發展計畫</a>，包括搜尋功能優化、購物輔助功能、OMO購物功能等。其中，生成式AI在數個新項目中扮演了關鍵角色。</p> <p>其一是搜尋功能優化。Walmart計畫利用生成式AI，來支援主題式商品搜尋，例如搜尋「獨角獸主題的嬰兒生日派對」，AI就能一次呈現主題背後所需的不同商品，消費者不用一一搜尋盤子、氣球、蛋糕等個別商品。他們還計畫利用生成式AI來支援需求條件複雜的商品搜尋情境，例如，如何根據消費者年齡和電信服務商，搜尋出適合的手機型號。</p> <p>其二，Walmart也打算效仿eBay和Amazon，利用生成式AI來摘要商品功能及顧客評價，作為消費者購物參考。</p> <p>第三個用生成式AI來強化的是AR購物功能。過往，Walmart App可以透過鏡頭掃描實際房間或人物，再於螢幕上模擬擺設或試穿。未來，Walmart計畫於此功能中增加生成式AI購物助手，根據消費者預算、偏好主題及其他需求，進一步協助消費者規畫室內設計或衣物穿搭。</p> <p>Walmart還計畫推出用IVR來完成整趟購物的功能，這是延伸自先前簡訊購物功能。他們還打算持續擴充非典型OMO電商通路，例如近期他們於遊戲中開始販售實體家具。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#開店平臺</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#中小型電商</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#網紅行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#聊天機器人</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#小額貸款</span></span></strong></p> <p><strong>Shopline整合網紅行銷、聊天機器人、小額貸款功能到開店解決方案中</strong></p> <p>開店平臺Shopline整合業界3種零售科技功能到自家平臺，包括<a href="https://blog.shopline.tw/shopline-influenxio/">Influenxio智慧網紅行銷</a>、<a href="https://blog.shopline.tw/shopline-botbonnie/">Appier旗下聊天機器人</a>，以及<a href="https://support.shoplineapp.com/hc/zh-tw/articles/20541136192793-%E5%95%86%E5%AE%B6%E7%B7%9A%E5%9C%A8%E8%B2%B8-SHOPLINE-Payments-%E5%8F%B0%E7%81%A3-">PChome旗下21世紀數位的小額貸款</a>等。</p> <p>網紅行銷功能會追蹤網紅代言人帶來的點擊數、訂單數等數據，並提供行銷預算管理功能，以助電商業主從轉換率和實際支出兩方面數據，來監控網紅行銷活動成效。</p> <p>聊天機器人功能支援跨通訊軟體客服訊息管理，業主可自訂情境腳本、多媒體素材、互動體驗，來優化Chatbot回覆內容。此系統後臺還會顯示顧客貼標，來提供精準行銷參考。</p> <p>小額貸款則是可以根據商家後臺營運數據，快速評估風險並放款的融資功能，最快當日放款。</p> <p>這些技術雖然都不算新穎，但對於IT資源不足的中小型零售業者來說，自行打造或整合這些技術，仍有一定門檻。由開店平臺整合進整體解決方案中，有望降低平臺上業者採用更多元零售科技的難度。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#ESG</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#綠能商店</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電費管理</span></span><br /> 全家結合IoT能源管理、太陽能及儲能設備打造首家能源韌性實驗店，還有獨立供電系統作為備援</strong></p> <p>全家便利商店於臺南打造能源韌性實驗店，運用IoT協助改善店鋪能源管理，也導入太陽能發電及儲能設備。</p> <p>IoT及能源管理系統，可自動偵測冷藏設備溫度，當用電接近滿載，會主動降載空調、燈光照明，避免用電過度，例如在傍晚或夜間時段，會自動降低店內照明亮度。冰箱、冰櫃設備，則從固定時段除霜改為動態除霜，當偵測到溫度過低或結霜時才會除霜。</p> <p>另外，全家為實驗店建置了孤島電力系統，除台電供電之外，建置太陽能發電及儲能系統，扮演調節電力供應的角色，可在台電離峰時段儲能，供應日間用電尖峰時段使用，降低店鋪尖峰時段用電量。（<a href="https://www.ithome.com.tw/news/159113">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#OMS</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#團購</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#社群電商</span></span><br /> 飛比推出團購整單系統，能自動轉化通訊軟體留言到OMS</strong></p> <p>飛比價格母公司第一網站推出團購整單系統「飛比+1」，功能是自動擷取Line記事本下的團購訂單留言，再根據留言關鍵字，自動分類到訂單管理系統（OMS）。團購主能於整單系統中設定商品主副規格，例如顏色和尺寸等，作為系統抓取關鍵字依據。如圖所示，系統會根據關鍵字，將留言內容為3種類別，包括明確能判斷為完整訂單的「已確認」，訂單訊息不完整的「待確認」，以及非訂單留言的「不成單」。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%A3%9B%E6%AF%94%2B1%E5%BE%8C%E5%8F%B0%E7%95%AB%E9%9D%A2.jpg" style="width: 600px;" /></p> <p>這個系統每小時會擷取記事本留言一次，團購主也能手動更新。不過，第一網站沒有提到，若出現刪除留言、編輯留言等情況，此系統會如何應對。</p> <p>同時，第一網站宣布推出「BI電商市場情報服務」，向其他電商提供自家網站流量分析。飛比表示，自家平臺有800萬不重複使用者，過往已有電商向自家購買流量分析報告，不過都是以一對一個案形式來處理，現則正式將此服務商品化。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#D2C網站</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#精準行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#餐旅業</span></span><br /> 日本偏鄉地區豪華露營業務如何用IT改造行銷與經營模式，使銷售額翻20倍</strong></p> <p>岡山縣津山市阿波村是一個只有400人口的邊緣村莊，當地設有豪華露營設施，觀光收入卻無法自給自足，只能由政府彌補財務缺口，來維護設施。為了振興此地豪華露營經濟，觀光顧問公司Dive利用一系列做法來改造行銷與經營模式。改造後，阿波村豪華露營年營業額從200萬日圓增長到4,000萬日圓，且持續成長中。其中，IT扮演在這個轉型扮演了重要角色。</p> <p>首先是架設D2C網站作為流量來源，來降低對第三方網站的依賴程度。阿波村位處偏鄉，又不在熱門觀光景點必經之地，於第三方旅遊或訂房網站難以搜尋到，不是可靠流量來源。不只如此，於第三方網站打廣告或接受訂位，都會形成開銷。於是，Dive打造豪華露營入口網站，蒐羅包括阿波村在內的豪華露營地，再利用高度行銷自主權，來力推阿波村。</p> <p>為了增加阿波村賣點，他們還開發了桑拿、香料調劑、作物收割、動物互動等額外收費體驗，並將這些作為行銷賣點和籌碼。當銷售額低於一定標準時，他們便會免費提供部分體驗，以期吸引更多旅客。</p> <p>不只看銷售金額，他們還會根據旅客來源，來調整行銷策略。原先，他們在津山市其他地區投注最多行銷資源，經分析後，發現其實旅客主要來自關西地區，因而轉移了行銷資源比重。</p> <p>除了上述數位做法，阿波村還利用人力派遣服務，只於旺季時雇用短期員工，而不大量雇用正職員工，以控制人力支出。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AR購物體驗</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#會員App</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#OMO零售</span></span><br /> 英國大型連鎖超市Nisa全面導入AR購物體驗，用於促銷及會員數據蒐集</strong></p> <p>有接近4,000家分店的英國大型零售連鎖超市Nisa<a href="https://www.nisalocally.co.uk/corporate/news-press-office/nisa-retailers-set-to-cash-in-with-jisp-loyalty-programme/">將於所有店鋪導入AR購物和促銷體驗</a>。消費者透過會員App開啟手機鏡頭，可以在貨架上看到AR資訊卡，顯示購物資訊和可領取折價券。根據App紀錄的消費和折價券領取資料，Nisa還會再於App和簡訊對會員推播個人化行銷訊息。</p> <p>從初期170家實驗店中，Nisa發現，這個機制一年內帶來20%以上營業額增長，平均一家店發出了3,500張折價券。不只如此，還帶來了更多客流量及重複到店數。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1. 作為進軍零售媒體廣告戰略的一環，Momo開始試營運搜尋字廣告</p> <p>2. <a href="http://https://corporate.walmart.com/news/2023/09/26/walmarts-new-virtual-experience-walmart-discovered-is-inspired-by-the-community">Walmart</a>和<a href="https://www.prnewswire.com/news-releases/maybelline-new-york-makes-a-splash-in-roblox-a-digital-makeup-and-music-adventure-301941093.html">Maybelline New York</a>在元宇宙遊戲Roblox分別推出產品展示等行銷體驗</p> <p>3. <a href="https://ir.dominos.com/news-releases/news-release-details/dominosr-and-microsoft-cook-ai-driven-innovation-alliance">達美樂將利用生成式AI開發智慧店長助手</a>，強化店內庫存管理、食材訂購及排班</p> <p>4. <a href="https://www.ingka.com/newsroom/how-ikea-is-approaching-ai-for-the-benefit-of-all">Ikea成立新專責團隊</a>，負責維護集團內AI應用符合負責任AI及道德標準</p> <p>圖片來源：Walmart、第一網站</p> <p>資料來源：iThome整理，2023年10月</p> <p>責任編輯：郭又華</p> </div></div></div>
2023/10/13 20:55作者郭又華https://www.ithome.com.tw/news/159271
【資安日報】10月13日，利用職場社群網站LinkedIn市場行銷工具的網釣攻擊再度出現，受害者遍及各行各業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>運用合法服務隱匿網路釣魚的攻擊意圖，可說是相當常見，其中一種手法，就是濫用市場行銷工具Smart Links，這是由職場社群網站LinkedIn推出的服務，主要目的是讓行銷人員提供客戶相關的網站連結時，進而追蹤其互動成效。但這樣的工具可能淪為駭客迴避郵件安全系統檢查的管道。</p> <p>濫用Smart Links的攻擊行動並非首例，但這次駭客手法又更進一步，將這類工具的網址加以運用，在釣魚網站的網址連結當中，帶入收信人的電子郵件信箱。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://cofense.com/blog/linkedin-smart-links-credential-phishing-campaign/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">職場社群網站LinkedIn提供的市場行銷工具遭到濫用，駭客用於誘騙微軟帳號</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/smartlinks-figure3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/smartlinks-figure3.png" style="width: 300px; float: right;" /></a>郵件安全業者Cofense揭露從今年7月下旬至8月的網路釣魚攻擊行動，主要針對金融與製造業的員工，但能源、營造、醫療保健、保險、採礦、消費性產品、科技產業也有受害者。這些駭客之所以得逞，不只是使用者的疏忽，他們為了繞過郵件安全閘道等資安系統，在寄送的電子郵件當中，濫用職場社群網站LinkedIn提供的Smart Links服務，企圖竊取使用者的微軟帳號。研究人員總共看到這類電子郵件逾800封，濫用上述服務的連結多達80個。</p> <p>一旦收信人依照指示點選，就會被帶往釣魚網站，特別的是，駭客利用Smart Links的網址結構，在連結裡加入收信人的電子郵件信箱，使得用戶被引導到釣魚網站的時候，所開啟的登入頁面，在帳號欄位已自動填入該員的電子郵件信箱，使得這些收信人以為這是簡化登入步驟的便利措施，而更容易降低警覺。</p> <p>濫用上述LinkedIn提供的行銷工具進行釣魚郵件攻擊已非首例，2022年9月，研究人員發現假冒斯洛伐克郵局的釣魚信，便是以此手法迴避偵測。</p> <p><a href="https://asec.ahnlab.com/en/57635/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">執行Linux作業系統的SSH伺服器遭到鎖定，駭客植入惡意程式ShellBot，並利用Hex編碼的IP位置迴避偵測</span></strong></a></p> <p></p> <p>資安業者AhnLab揭露新一波的惡意軟體ShellBot攻擊行動，駭客的主要目標是缺乏妥善管理的Linux伺服器，他們會掃描22埠是否啟用，以此找尋開放SSH服務遠端登入的系統，一旦找到這類主機，後續會利用常見的SSH帳密組合，執行字典填入的暴力破解攻擊，進而於Linux主機部署ShellBot。</p> <p>但這起攻擊行動與過往不同之處，在於駭客使用了十六進位（HEX）的IP位址表示法來連線至C2，隨後下載、安裝ShellBot，研究人員指出，這次駭客使用C2伺服器的IP位址，通常會寫成hxxp://94.250.254[.]43/，但對方在網路釣魚挾帶的PDF檔案裡，將上述網址寫成hxxp://1593507371，可能會因此能繞過資安系統的偵測。</p> <p><a href="https://blog.checkpoint.com/security/unveiling-stayin-alive-a-closer-look-at-an-ongoing-campaign-in-asia-targeting-telecom-and-governmental-entities/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客ToddyCat鎖定亞洲電信業者，散布後門程式CurKeep</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/shellbot-image-16.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/shellbot-image-16.png" style="width: 300px; float: right;" /></a>去年6月資安業者卡巴斯基揭露，中國駭客組織ToddyCat鎖定臺灣、越南等國政府機關，利用Exchange漏洞發動攻擊，如今這些駭客再度發起新一波的攻擊行動。</p> <p>資安業者Check Point揭露名為Stayin’ Alive的攻擊行動，駭客從2021年開始，針對越南、巴基斯坦、烏茲別克、哈薩克等東南亞、中亞國家而來，主要的目標是電信業者。駭客起初寄送帶有壓縮檔案附件的釣魚郵件，一旦收信人打開附件，電腦就有可能觸發Audinate影音裝置管理元件Dante Discovery的漏洞CVE-2022-23748（CVSS風險評分為7.8），以DLL側載（DLL Side-loading）手法，載入名為dal_keepalives.dll的程式庫，從而執行名為CurKeep的後門程式。</p> <p>此惡意軟體檔案非常小，僅10 KB，但具備26種功能，其中最主要的功能是report、shell、file，用於收集目標電腦的系統資訊、回傳電腦名稱並接收命令與執行，以及接收字串內容並將資料寫入特定檔案。</p> <p><a href="http://www.wordfence.com/blog/2023/10/backdoor-masquerading-as-legitimate-plugin/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客假借提供WordPress外掛散布惡意軟體，從而建立管理員帳號並挾持網站</span></strong></a></p> <p></p> <p>網站安全業者Wordfence今年7月清理遭受攻擊的網站時，發現偽裝成WordPress外掛程式的後門程式，駭客假借提供暫存資料的管理工具，使得管理者在手動檢查的過程中，很有可能忽略，駭客也進一步將該「外掛程式」從已啟用的外掛程式名單剔除，目的是為了迴避資安系統的偵測。</p> <p>而對於這個後門，研究人員指出具有以下功能：首先，會建立名為superadmin的帳號，並指派管理員層級的權限給他；再者，駭客可遠端控制WordPress網站上的外掛程式，擅自啟用或停用，並且清除網站資料庫的痕跡，藉此讓攻擊行動維持隱密的狀態。再者，該後門程式能夠竄改網頁內容，加入惡意連結及按鈕，但網站管理介面當中，仍維持未遭修改的樣貌，使得管理員難以察覺異狀。</p> <p>此後門程式若是偵測到搜尋引擎爬蟲，或是機器人的流量，將會提供垃圾郵件等其他的內容，導致爬蟲為受害網站編入惡意的索引資料，有管理人員接獲用戶通報，他們的網站外觀看起來都正常，但在用戶使用搜尋引擎存取的時候出現垃圾內容。但究竟駭客如何於WordPress網站植入上述後門程式？研究人員表示，有待進一步調查。</p> <p><a href="https://www.securityweek.com/cisa-warns-of-attacks-exploiting-adobe-acrobat-vulnerability/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國針對Adobe Acrobat高風漏洞提出警告，已出現攻擊行動</span></strong></a></p> <p></p> <p>美國網路安全暨基礎設施安全局（CISA）於10月10日，在已被利用的漏洞列表（KEV）當中新增5個漏洞，可能受到影響的產品，包括：Adobe旗下PDF編輯軟體Acrobat及閱讀器Reader（記憶體釋放後濫用漏洞CVE-2023-21608）、思科網路設備作業系統IOS及IOS XE（群組加密傳輸VPN越界寫入漏洞CVE-2023-20109）、HTTP/2（Rapid Reset漏洞CVE-2023-44487）。</p> <p>同時，還有微軟本月份例行更新修補的企業版Skype（權限提升漏洞CVE-2023-41763）、WordPad（資訊洩露漏洞CVE-2023-36563）。</p> <p>其中最值得注意的是Adobe今年1月修補的CVE-2023-21608，因為該漏洞公布的時間最久，網路上已有不少的概念性驗證攻擊（PoC）及漏洞分析，使得攻擊者利用這項漏洞更為容易。</p> <p><a href="https://www.ettoday.net/news/20231012/2600759.htm"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">檢方確認我國2,357萬筆戶政資料流入暗網，兜售資料的駭客來自中國</span></strong></a></p> <p></p> <p>去年10月<a href="https://www.ithome.com.tw/news/153894#taiwan2300">名為OKE的人士於駭客網站BreachForums兜售全臺灣民眾的戶政資料2,357萬筆</a>，並公布20萬筆資料供買家驗證，引起社會譁然，民眾質疑戶政機關保護個資不力，內政部後續提出澄清，他們表示，資料格式與該單位系統不同，並非從戶政司資訊網洩漏。本週檢調單位公布更多消息。</p> <p>調查局資安站確認，駭客公開的20萬筆資料集中在宜蘭地區，且內容正確。經北檢分案展開追查，透過科技偵查並與暗網登記所在國連繫後，查出OKE真實身分是中國籍的童自強，此人收款的電子錢包入帳4999.2個泰達幣（相當於5,000美元），經反向追查，查出是我國鄭姓男子所購買。鄭男到案坦承，因好奇這名駭客握有的資料是否為真，他透過Telegram向駭客聯繫，並於31日匯入款項。鄭男從收到的Excel檔案找到親友姓名進行比對，資料相差無幾，強調並未將這些資料用於其他用途。由於鄭男並未將取得的資料洩露、公開，或是再行利用，並坦承犯行，臺北地檢署12日依無故蒐集個資給予緩起訴處分，並對童自強發布通緝。</p> <p>值得留意的是，檢調抽查童自強兜售的資料，發現總筆數與臺灣2018年人口總數相當，內容亦與當時的戶役政資料幾乎一樣。此外，臺北地檢署另案追查個資外洩的管道，正在了解是否有其他人士取得、用於不法。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/critical-socks5-vulnerability-in-curl-puts-enterprise-systems-at-risk/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">程式庫Curl修補高風險漏洞</span></strong></a></p> <p></p> <p>10月4日URL傳輸程式庫curl專案維護團隊預告，將於11日發布8.4.0新版，當中修補高、低層級風險漏洞，資安業者Qualys呼籲組織應儘速盤點所有部署的curl，以便新版推出之後，就能立刻進行升級。</p> <p>到了11日這兩個漏洞的細節揭曉，高風險漏洞是CVE-2023-38545，同時影響7.69.0至8.30版的curl與libcurl，起因是curl將主機名稱傳遞至SOCKS5代理伺服器解析其IP位址時，主機名稱最大允許長度為255位元組，一旦超過，curl就會切換、改用本機名稱解析，並將結果得到的位址傳送至代理伺服器，然而此漏洞就是發生在「讓主機解析名稱」的本機變數當中，有可能導致SOCKS5交握過程得到錯誤的數值，從而將過長的主機名稱複製到目標記憶體緩衝區，產生溢位（overflow）的問題。目前，Red Hat將此漏洞的CVSS風險評為7.5。</p> <p>另一個漏洞為CVE-2023-38546，僅影響7.9.1至8.3.0版libcurl，攻擊者可利用該程式庫任意將Cookie插入正在執行的應用程式，由於必須搭配一系列的環境條件才能觸發，開發團隊將其危險程度列為低風險，Red Hat評估其CVSS分數為5.0。</p> <p>資料來源</p> <p>1. <a href="https://blog.qualys.com/vulnerabilities-threat-research/2023/10/05/curl-8-4-0-proactively-identifying-potential-vulnerable-assets">https://blog.qualys.com/vulnerabilities-threat-research/2023/10/05/curl-8-4-0-proactively-identifying-potential-vulnerable-assets</a><br /> 2. <a href="https://curl.se/docs/CVE-2023-38545.html">https://curl.se/docs/CVE-2023-38545.html</a><br /> 3. <a href="https://access.redhat.com/security/cve/cve-2023-38545">https://access.redhat.com/security/cve/cve-2023-38545</a><br /> 4. <a href="https://curl.se/docs/CVE-2023-38546.html">https://curl.se/docs/CVE-2023-38546.html</a><br /> 5. <a href="https://access.redhat.com/security/cve/cve-2023-38546">https://access.redhat.com/security/cve/cve-2023-38546</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://support.apple.com/HT213972"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">蘋果發布iOS 16.7.1、iPadOS 16.7.1，修補舊版裝置的零時差漏洞CVE-2023-42824、CVE-2023-5217</span></span></strong></a></p> <p></p> <p><a href="https://www.ithome.com.tw/news/159247"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為強化雲端基礎設施機密保護及配置管理自動化，基礎設施即程式碼工具新創Pulumi推出新的解決方案</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/159201"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體Hello Kitty程式碼被公布，有助於製作解密金鑰</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/159204"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google以Rust重寫Android裸機元件，進一步強化記憶體安全</span></span></strong></a></p> <p><a href="https://blog.talosintelligence.com/vulnerability-roundup-webkit-and-yifan-router/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國億帆工業路由器曝露於重大層級漏洞，迄今尚未有修補程式</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159241"><strong>【10月12日】以色列與巴勒斯坦爆發大規模軍事衝突之後，逾100個駭客組織發動網路攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159228"><strong>【10月11日】駭客組織鎖定臺灣生技、製造、IT業者而來，自今年2月暗中從事網路間諜攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159172"><strong>【10月6日】中國駭客鎖定臺灣、香港、新加坡半導體產業而來，假借台積電的名義進行網路間諜攻擊行動</strong></a></p> </div></div></div>
2023/10/13 17:02作者周峻佑https://www.ithome.com.tw/news/159278
AI也要抓漏，微軟AI Bug Bounty Program上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/msrc/bounty-ai" target="_blank">微軟周四（10/12）公布了新的抓漏計畫</a>，這是鎖定AI臭蟲的Microsoft AI Bug Bounty Program，獎金從2,000美元到1.5萬美元不等，首個抓漏的產品為具備AI能力的Bing。</p> <p>現有的抓漏範圍圍繞在所有整合AI的Bing體驗，包括利用各種瀏覽器造訪Bing.com時所體驗的Bing Chat、Bing Chat for Enterprise及Bing Image Creator；或是在Windows版Microsoft Edge使用整合AI的Bing功能，包括Bing Chat for Enterprise在內；以及iOS及Android上Microsoft Start Application所整合的Bing；或是iOS及Android上Skype Mobile Application整合的Bing。</p> <p>與AI系統相關的安全漏洞涵蓋了推論操縱（Inference Manipulation）、模型操縱（Model Manipulation）及推論資訊揭露（Inferential Information Disclosure），像是可注入指令導致模型偏離其預期行為，或是可干擾有效輸入而令模型產生錯誤輸出，或是可竄改模型架構、訓練程式碼、訓練資料或超參數來毒害模型，或是可自訓練資料集中重建個人資料紀綠等。</p> <p>不過，只有被微軟AI漏洞分類系統（<a href="https://www.microsoft.com/en-us/msrc/aibugbar" target="_blank">Microsoft Vulnerability Severity Classification for AI Systems</a>）視為重要（Important）或重大（Critical）等級的安全漏洞才符合申請資格。</p> <p>根據<a href="https://msrc.microsoft.com/blog/2023/08/microsoft-bug-bounty-program-year-in-review-13.8m-in-rewards/" target="_blank">微軟日前所公布的年度抓漏成果</a>，自去年7月1日到今年6月底之間，微軟總計祭出了17個抓漏計畫，來自全球逾45個國家的345個安全研究人員，總計提交了1,180個符合資格的漏洞報告，獲得了1,380萬美元的獎金，最高的一筆抓漏獎金為20萬美元。</p> </div></div></div>
2023/10/13 13:08作者陳曉莉https://www.ithome.com.tw/news/159254
【iThome 2023資安大調查：資安弱點篇】5成多企業員工資安意識不足，3成企業欠缺資安老手
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1151-zi_an_ruo_dian_-960-v2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>員工資安意識不足和缺乏資安老手，今年依舊是企業最頭痛的兩大資安弱點，甚至比預算不足的問題還要嚴重，也是企業資安長和資訊長自認擋不住網攻的主因。但是系統老舊的問題，今年超越了資安工具資訊不足的問題，成了名列第四的資安弱點。</p> <p>另外，威脅情資掌握太少或太慢的問題，今年開始浮上檯面，2成企業格外擔心這項弱點，這也反映出企業比過去更積極，想要更快或更早發現潛在風險來因應。</p> <p>去年，醫療業和政府學校，各有3成多擔心資安老手不足的問題，但是今年轉而是金融業和高科技業，更想解決資安老手不足的課題。系統老舊問題成了醫療和政府學校今年格外頭痛的新課題。這兩個產業今年都面臨了基礎架構升級或轉換的挑戰，政府學校更積極擁抱雲原生技術，更大力引進DevOps方法論和相關工具，甚至是直接採用DevSecOp。而醫院也同樣積極地想要導入微服務和容器技術等雲原生技術來改造或升級老舊的HIS系統。值得關注的是有6.6%企業資安長則擔心企業高層低估了ChatGPT風險。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1151-%E5%B0%81%E9%9D%A2-%E8%B3%87%E5%AE%89%E5%BC%B1%E9%BB%9E-600-1-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1151-%E5%B0%81%E9%9D%A2-%E8%B3%87%E5%AE%89%E5%BC%B1%E9%BB%9E-600-2-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1151-%E5%B0%81%E9%9D%A2-%E8%B3%87%E5%AE%89%E5%BC%B1%E9%BB%9E-600-3-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1151-%E5%B0%81%E9%9D%A2-%E8%B3%87%E5%AE%89%E5%BC%B1%E9%BB%9E-600-4-PNG.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#ff9900;"> 問卷說明 </span></strong></span> <strong>大調查執行期間從2023年4月20日到5月10日，對臺灣2千大規模大型企業、iThome歷屆CIO大調查企業、政府機關、大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 68.5%填答者為企業IT最高主管。</strong></span></p> </div></div></div>
2023/10/13 14:07作者王宏仁https://www.ithome.com.tw/article/159256
【iThome 2023資安大調查：資安風險篇】社交工程風險超越勒索軟體和駭客，ChatGPT濫用成新威脅
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1151-feng_mian_-shi_da_feng_xian_-960-v21.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>社交工程威脅，成了資安長在2023和2024年最擔心的頭號資安風險！在2023年iThome CIO暨資安大調查中，高達4成企業將這項威脅，列為未來一年最可能遭遇的資安風險，風險排名超越了去年名列一、二名的勒索軟體資安事件和駭客威脅。尤其，當員工資安意識和高層資安認知不足，成了許多企業擋不住資安攻擊的弱點，社交工程手段對企業資安的影響，也比遠比過去更具威脅性。</p> <p>ChatGTP這類生成式AI技術的出現，更成了社交工程手段的新武器，用來自動生成比過去更擬人化、更針對性客製的詐騙話術和文字。原本就常見的資安風險，如BEC商業郵件詐騙、釣魚信件、誘騙簡訊等手法，也因此比過去更難快速分辨真假。這是為何比起ChatGPT外洩企業機敏資料的風險，資安長們更擔心ChatGPT遭濫用後帶來的威脅，有2成企業將ChatGPT列為今年最可能發生的資安風險之一，在十大風險排名中名列第七，僅次於BEC詐騙的風險程度，這是企業未來必須更重視的新課題。不少企業已經意識到ChatGPT帶來的認知威脅，紛紛加強員工對於生成式AI的資安意識，另外，也有少數企業開始重視高層低估生成式AI風險的影響。</p> <p>每當新技術典範出現時，總是伴隨著兩面刃，一方面開創更多技術未來性和潛力，另一方面，也會顛覆原有技術帶來的資安威脅樣態，生成式AI的解讀和摘要能力，適合用於處理龐大的威脅情資和海量Log數據，能夠降低不少資安人員的分析負擔，但也讓攻擊者更容易扮演不同角色，來發動更高度個人化的社交工程手法。對企業來說，提高員工對新興技術的資安風險認知，比過去更顯得必要。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1151-%E5%B0%81%E9%9D%A2-%E5%8D%81%E5%A4%A7%E9%A2%A8%E9%9A%AA-600-1-PNG(1).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 問卷說明 </span></span> 大調查執行期間從2023年4月20日到5月10日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷407家，其中59.8%填答者為企業資安最高主管</strong></span></p> </div></div></div>
2023/10/13 14:07作者王宏仁https://www.ithome.com.tw/article/159257
11月30日起Microsoft 365個人、家庭版訂閱戶不得新增雲端個人郵件信箱
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.microsoft.com/en-us/office/changes-to-microsoft-365-email-features-and-storage-e888d746-61e5-49e3-9bd1-94b88e9be988" target="_blank">微軟本周發布新政策</a>，Microsoft 365個人版及家庭版訂閱戶從11月30日起，就不得再新增Outlook.com個人郵件信箱。</p> <p>11月30日後，現有Outlook.com網域的個人信箱還是可以繼續使用，而且也能持續為Outlook.com信箱設立別名（alias）或設定以其他郵件信箱登入，只是個人化信箱只能在Outlook中設定。在此日期後，一旦從Outlook.com刪除個人信箱，就再也無法加回去。屆時，唯一方法是改用Microsoft 365企業版方案。</p> <p>微軟強調付費版的好處，像是Microsoft 365基本／個人／家用版訂戶可以使用Outlook.com進階安全防護，如網釣郵件或惡意程式防護、郵件加密、免廣告干擾、50GB郵件儲存空間、以及支援服務。試用版用戶則無法享有50GB雲端硬碟。</p> <p>這項新政策可能和Outlook.com附檔及圖片計入5GB免費OneDrive儲存空間的規定有關。新政策今年2月起實施。微軟警告，一旦雲端儲存空間屆滿，用戶在Outlook.com的信件收發都會受到影響。</p> </div></div></div>
2023/10/13 12:06作者林妍溱https://www.ithome.com.tw/news/159252
Google實驗於搜尋中支援AI生成圖像
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周於<a href="https://blog.google/products/search/google-search-generative-ai-october-update/" target="_blank">搜尋實驗室（Search Labs）中增添了兩項新的搜尋生成式體驗（Search Generative Experience，SGE）功能</a>，一是直接於搜尋列上執行生成式圖像功能，二是請AI幫忙撰寫各種草稿。</p> <p>例如使用者可直接於搜尋列上，輸入「請畫一張戴著廚師帽並正在做早餐的水豚圖像」，那麼系統便會出現4張符合該描述的圖畫，隨便點選任何一張就能看到它們各自的描述，也能編輯其文字描述來修改畫面。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Google%20Search%20Labs-GenAI-600-1.png" style="width: 500px;" /></p> <p>這些由AI生成的圖像都會具備元資料標籤，同時鑲有浮水印，以標註它們源自於AI。且Google也會封鎖違反使用政策的AI生成圖像，例如含有有害或誤導性內容。</p> <p>另一個SGE功能則可用來協助使用者撰寫各種草稿。例如當使用者想要進行裝修，把車庫變成辦公室，在搜尋網路資訊之後，決定請施工人員報價，就能要求SGE撰寫一個邀請施工人員報價的草稿，還能要求SGE調整草稿的長度及語氣，再匯出至Google Docs或Gmail。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Google%20Search%20Labs-GenAI-600-2v2.png" style="width: 600px;" /></p> <p>Google是<a href="https://www.ithome.com.tw/news/157080" target="_blank">在今年5月發表</a>Google AI搜尋測試平臺Search Labs，測試各種利用生成式AI來改善搜尋的功能，不過，<a href="https://support.google.com/websearch/answer/13551902?visit_id=638327632597300571-3004891748&p=search_labs&rd=1" target="_blank">目前Search Labs僅開放</a>美國、印度與日本的少數用戶參與測試，測試者必須年滿18歲，也必須使用Chrome瀏覽器。</p> </div></div></div>
2023/10/13 12:33作者陳曉莉https://www.ithome.com.tw/news/159253
Google允許Android用戶刪除15分鐘內Chrome上網紀錄、Gmail流到暗網時會通知用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/safety-security/google-cybersecurity-awareness-month-2023/" target="_blank">Google本周公布</a>包括Android、Chrome、及Google App多項新安全措施，以提供用戶更多資安及隱私防護，包括允許Android刪除15分鐘內手機上網紀錄、Gmail公布在暗網時通知用戶，以Google App當iPhone密碼管理器。</p> <p>繼今年初<a href="https://9to5google.com/2023/03/20/google-chrome-history-15-minutes/" target="_blank">媒體發現</a>測試後，Google本周宣布，Android版Chrome加入「清除上網資料（clear browsing data）」，讓用戶可以刪除15分鐘內的上網紀錄、網站cookies、快取等資料及開過的分頁資料。這項功能僅提供Android版，用戶很快可以在瀏覽器右上角的漢堡式選單內找到。《<a href="https://mspoweruser.com/google-chrome-delete-last-15-minutes-browsing-data/" target="_blank">MSPower User</a>》發現，目前可在Chrome Canary 120版中啟用這項功能，但應該不久後會部署到正式版。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Google%20account-Clear%20Browsing%20Data-last%2015%20minutes%20of%20browsing%20history-600.png" style="width: 373px;" /></p> <p>Google也說明，Pixel 8系列內建Google自行研發的Tensor G3晶片，整合了Titan M2安全晶片，可執行機器學習模型，提供臉部辨識解鎖，號稱是Android手機最強的生物辨識等級，能用於保護手機銀行App或Google Wallet等支付App。</p> <p>前面二項功能都是Android獨有，不過Google在iPhone等iOS裝置上也提供了新功能。現在Google密碼管理員（Password Manager）內建到Google App中。因此iPhone或iPad用戶也可以用它來管理密碼，或在登入App或網站前以Autofill功能自動輸入密碼。</p> <p>最後，<a href="https://www.ithome.com.tw/news/156846" target="_blank">Google 5月公布暗網報告功能</a>，可在用戶Gmail信箱被公布在暗網上時告知用戶。這項功能當時只提供美國用戶。現在Google將暗網報告部署到所有用戶，可在Google App的帳號選單開啟讀取。暗網報告會先提供給Android版用戶，但很快會推向iOS版用戶。</p> <p>Google本周稍早已宣布另二項安全措施，包括<a href="https://www.ithome.com.tw/news/159209" target="_blank">啟動Google帳號以通行密鑰（passkey）取代密碼</a>作為預設驗證方法，以及公告發送一天5,000封信以上的<a href="https://www.ithome.com.tw/news/159120" target="_blank">大量郵件寄件者，必須驗證身分</a>，而信件中也應加入一鍵取消訂閱的按鍵。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Passwordless%20by%20default-Passkeys-Google%20Accounts-600.png" style="width: 385px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></p> </div></div></div>
2023/10/13 11:23作者林妍溱https://www.ithome.com.tw/news/159251
Pulumi推配置即程式碼工具，強化雲端基礎設施機密與配置管理自動化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>熱門基礎設施即程式碼工具新創Pulumi，推出可用來管理所有雲端基礎設施、應用程式環境機密與配置的工具<a href="https://www.pulumi.com/blog/environments-secrets-configurations-management/">Pulumi ESC</a>。Pulumi ESC採用配置即程式碼（Configuration as Code）策略，讓用戶能夠透過編寫程式碼，管理機密與配置的階乘結構。此外，Pulumi ESC不僅可以作為獨立工具，也可以與Pulumi IaC搭配運用，進一步強化配置管理的靈活性。</p> <p>在管理一組複雜且緊密關聯的環境配置與機密時，用戶通常會遇到各種難題。首先，機密和配置可能散落在不同的系統中，造成機密擴散的問題，這不只增加管理複雜性，也使稽核變得困難。第二則是機密常與特定應用和系統儲存綁定，因此用戶需要在多個地方重複複製貼上機密。最後是用戶通常會過度依賴長期靜態憑證，這不僅不利於機密管理和更新，更可能使企業面臨重大資安風險。</p> <p>而Pulumi ESC提供一套綜合解決方案，針對當前基礎設施、應用環境中的機密和配置管理，所普遍存在的問題而設計。官方提到，雖然市場上有許多機密管理工具，但是往往無法解決實際配置的複雜性，而Pulumi ESC在機密和配置之間，提供一套統一的工具和流程簡化管理任務。</p> <p>Pulumi ESC一系列核心功能，供用戶更有效率且安全地管理機密和配置。官方提到，透過Pulumi ESC CLI，用戶只需要使用一個指令，即可立刻經過身分驗證，短期存取任何雲端供應商的雲端憑證。</p> <p>擁有靈活設計的Pulumi ESC，不僅讓用戶可以在環境中整合機密和配置，還能進一步匯入其他環境設定，這樣的設計供使用者能夠依照需求，覆蓋原有的設定值，或是動態插入、組合和替換其他變數值，在獲得組合彈性的同時，也能在多重設定中重複使用資訊，減少不要的重複工作。</p> <p>Pulumi ESC強大的整合能力，能夠與不同供應商的機密管理工具配合使用，包括AWS Secrets Manager、Vault、Azure OIDC和1Password，提供了企業一個統一且一致的機密和配置管理介面。藉由使用ESC CLI和Rest API，用戶便可以從各處取得配置和機密資訊。Pulumi ESC更支援與Pulumi IaC、本地環境、.env檔案和GitHub Actions等多種工具的整合，進一步提升適用性和便利度。</p> <p>Pulumi ESC還具有高度可稽核性，所有環境操作都被詳細記錄下來，確保用戶能夠追蹤每個值的來源和變動。此外，Pulumi ESC融合身分驗證和基於角色的存取控制（RBAC）功能，確保組織內部資料的存取安全。</p> <p>由於Pulumi ESC採用配置即程式碼的方式，使得用戶可以將環境定義為YAML檔案，直觀地描述組合機密和配置，整合動態配置供應商，從其他值計算新配置，像是用戶可以從DNS名稱直接生成URL，或是合併多個配置值。相較於點擊式介面，配置即程式碼方法提供極佳的靈活性，能以豐富的表達方式簡單管理複雜配置。</p> <p>目前官方先以全託管服務的形式，推出Pulumi ESC公開預覽版，並承諾之後還會推出自託管版本。官方仍繼續發展Pulumi ESC，陸續還會推出應用程式層級的SDK，並讓配置能夠與外部系統同步，甚至是對環境進行版本控制等功能。</p> </div></div></div>
2023/10/13 10:25作者李建興https://www.ithome.com.tw/news/159247
AMD收購開源AI軟體新創公司Nod.ai
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ir.amd.com/news-events/press-releases/detail/1159/amd-to-acquire-open-source-ai-software-expert-nod-ai" target="_blank">AMD本周稍早宣布</a>和開源AI軟體新創業者Nod.ai達成收購協議，以增加與Nvidia競爭的軟體技術能力。</p> <p>AMD表示，本樁收購將可協助使用AMD眾多產品包括AMD Instinct資料中心加速器、Ryzen AI處理器、EPYC處理器、Versal SoC以及Radeon GPU等的客戶環境，加快部署AI的速度。AMD說，這項收購也與AMD運用開放軟體提供開發者工具、函式庫及模型簡化客戶使用難度的策略一致。</p> <p>創立於2013年的Nod.ai以開源軟體開發compiler，運用機器學習，特別是增強式學習（reinforcement learning）開發程式碼生成及自動排程工具，以用於異質硬體（如CPU、GPU及加速器）之間的運算和通訊，其代表作是以LLVM、MLIR、OpenXLA的IREE開發<a href="https://github.com/nod-ai/SHARK" target="_blank">SHARK</a> Machine Learning Distribution。該公司強調自己是重要AI軟體庫如Shark、Torch-MLIR及OpenXLA/IREE的重要貢獻者及主要維護組織，其軟體也廣泛運用在雲端、邊緣及多種終端裝置上。</p> <p>Nod.ai二名創辦人之一暨執行長Anush Elangovan曾在思科及Google Chromebook部門任職。另一名創辦人暨技術長Harsh Menon經歷則是曾任職電動飛機新創業者KittyHawk。</p> <p>AMD表示，Node.ai的自動化compiler軟體SHARK可以降低在資料中心、邊緣及客戶端平臺上部署高效能AI模型所需的手動優化的時間。</p> <p>AMD預計本季內完成收購。</p> <p>透過這項收購，AMD將可獲得AI相關技術，以追趕第一大AI晶片業者Nvidia。Nvidia上季在AI熱潮中，締造135.1億美元營收，比去年同期成長了101%。AMD上季營收則為54億美元，年減18%。</p> </div></div></div>
2023/10/13 11:09作者林妍溱https://www.ithome.com.tw/news/159249
【資安日報】10月12日，以色列與巴勒斯坦爆發大規模軍事衝突之後，逾100個駭客組織發動網路攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年2月引爆的烏克蘭戰爭當中，網路攻擊占有舉足輕重的地位，許多駭客表態聲援烏克蘭或是俄羅斯，這樣的現象也出現在近期的以色列和巴勒斯坦軍事衝突。</p> <p>有研究人員發現，自巴勒斯坦激進組織哈瑪斯（Hamas）10月7日突襲以色列，不到一個禮拜的時間已有100個駭客組織從事相關的網路攻擊，其中逾四分之三支持巴勒斯坦、五分之一支持以色列，極少數表明維持中立的立場。但這些駭客的攻擊行動究竟會帶來那些影響？有待後續觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://thecyberexpress.com/cyber-war-in-the-israel-vs-palestine-conflict/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">100個駭客組織針對以巴衝突進行網路攻擊</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/F8HG4FlWsAADX53.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/F8HG4FlWsAADX53.jpg" style="width: 300px; float: right;" /></a>在以色列與巴勒斯坦開戰之後，有不少駭客組織表態，並對於這兩個國家的政府機關或組織發動網路攻擊，且參與的駭客組織數量急速增加。在10月9日，資安業者Cyble經營的新聞網站Cyber Express表示，有39個駭客組織表態發動攻擊；事隔兩天之後，駭客組織數量已達到100個，其中77個聲援巴勒斯坦，20個支持以色列，3個中立。</p> <p>對於聲援巴勒斯坦的網路攻擊行動，像是駭客組織Ghosts of Palestine癱瘓了以色列外交部、教育部網站；Sylhet Gang-SG因烏克蘭表態支持以色列，對該國網站發動DDoS攻擊；俄羅斯駭客組織Killnet、Usersec針對以色列銀行及電力設施下手。此外，耶路撒冷郵報（Jerusalem Post）的網站，也傳出遭到攻擊而數度當機。</p> <p>還有駭客組織打算趁亂打劫──日前聲稱攻擊Sony、NTT Docomo的駭客組織RansomedVC，傳出打算購買伊朗、巴勒斯坦、加薩地區組織的初始入侵管道，來對這些地區發動網路攻擊。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/FalconFeedsio/status/1711868327486787831">https://twitter.com/FalconFeedsio/status/1711868327486787831</a><br /> 2. <a href="https://thecyberexpress.com/israel-palestine-conflict-cyber-warfare-risk/">https://thecyberexpress.com/israel-palestine-conflict-cyber-warfare-risk/</a><br /> 3. <a href="https://thecyberexpress.com/israel-hamas-war-ransomedvc-access-to-iran/">https://thecyberexpress.com/israel-hamas-war-ransomedvc-access-to-iran/</a></p> <p><a href="https://securityaffairs.com/152153/hacking/gaza-linked-hackers-argeting-israel.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露聲援巴勒斯坦激進組織的加薩駭客Storm-1133</span></strong></a></p> <p></p> <p>10月7日以色列與巴勒斯坦爆發50年來最大規模的軍事衝突，但在此之前，駭客已經開始從事相關的網路攻擊行動。</p> <p>微軟近期發布了<a href="https://blogs.microsoft.com/on-the-issues/2023/10/05/microsoft-digital-defense-report-2023-global-cyberattacks/">今年度的數位防禦報告（Digital Defense Report）</a>，當中提及力挺巴勒斯坦激進組織哈瑪斯（Hamas）的加薩駭客組織Storm-1133，該組織從今年初開始從事攻擊行動，主要目標是以色列的能源設施、國防部門，以及效忠巴勒斯坦解放組織法塔赫（Fatah）的實體。</p> <p>這些駭客透過釣魚郵件及社群網站發送釣魚訊息，或是設置LinkedIn帳號來偽裝成以色列的人力資源主管、專案負責人、軟體開發人員，針對以色列國防、太空、科技產業的員工進行偵察、聯繫、散布惡意軟體。研究人員指出，這些駭客利用多種後門程式來迴避偵測，而這些惡意程式的C2基礎設施，架設於雲端檔案共享服務Google Drive。</p> <p><a href="https://www.fortinet.com/blog/threat-research/Iz1h9-campaign-enhances-arsenal-with-scores-of-exploits"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">路由器漏洞遭到殭屍網路病毒Mirai變種鎖定</span></strong></a></p> <p></p> <p>資安業者Fortinet揭露殭屍網路Mirai變種病毒IZ1H9近期的攻擊行動，他們看到駭客約從今年9月6日開始，利用至少13種殭屍網路病毒，綁架多個廠牌的網路設備與系統，包含D-Link、Netis、兆勤（Zyxel）、TP-Link、Totolink、Korenix、Geutebruck旗下的網路設備，以及視訊監控系統Sunhillo SureLine、裝置管理平臺Yealink Device Management，利用從2015年至2023年通報的漏洞入侵目標系統。</p> <p>一旦成功，對方就會將IZ1H9的惡意酬載注入設備，並從遠端伺服器取得Shell指令碼下載工具l.sh，程式一旦執行，首先會刪除事件記錄檔案來隱匿攻擊行動，然後根據處理器架構及作業系統的版本，來下載對應的機器人用戶端程式。</p> <p>最終此下載器竄改目標系統的iptable規則，從而干擾多個連接埠的網路連線，建立機器人與C2伺服器的通訊，等待接收攻擊者的命令。研究人員指出，IZ1H9可執行UDP、UDP Plain、HTTP Flood、TCP SYN等多種類型的DDoS攻擊。</p> <p><a href="https://www.bleepingcomputer.com/news/security/microsoft-state-hackers-exploiting-confluence-zero-day-since-september/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">DevOps協作平臺Atlassian Confluence遭中國駭客鎖定，利用零時差漏洞提升權限</span></strong></a></p> <p></p> <p>10月4日Atlassian修補DevOps協作平臺Confluence的零時差漏洞CVE-2023-22515，並指出已有部分用戶可能遭到入侵，如今有研究人員提出更多說明。</p> <p>對於這個威脅，微軟威脅情報團隊特別提出警告，他們發現自9月14日起，中國駭客組織Storm-0062（亦稱DarkShadow、Oro0lxy）利用上述的零時差漏洞從事攻擊行動。而這個弱點屬於權限提升類型的漏洞，攻擊者可藉此建立未經授權的管理員帳號，從而控制Confluence Data Center、Confluence Server實體，CVSS風險評為10分。由於資安業者Rapid7公布了概念性驗證（PoC）攻擊的指令碼，相關的攻擊行動很可能會再度出現。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/msftsecintel/status/1711871732644970856">https://twitter.com/msftsecintel/status/1711871732644970856</a><br /> 2. <a href="https://attackerkb.com/topics/Q5f0ItSzw5/cve-2023-22515/rapid7-analysis">https://attackerkb.com/topics/Q5f0ItSzw5/cve-2023-22515/rapid7-analysis</a><br /> 3. <a href="https://jira.atlassian.com/browse/CONFSERVER-92475">https://jira.atlassian.com/browse/CONFSERVER-92475</a></p> <p><a href="https://www.humansecurity.com/learn/blog/badbox-peachpit-and-the-fraudulent-device-in-your-delivery-box"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">7萬臺安卓電視盒、平板電腦韌體被植入後門，流入美國低收入戶</span></strong></a></p> <p></p> <p>趨勢科技今年5月揭露<a href="https://www.trendmicro.com/zh_tw/research/23/g/lemon-group-s-cybercriminal-businesses-built-on-preinfected-devi.html">可能會影響近900萬臺安卓裝置的攻擊行動</a>，這些裝置的ROM被預先載入了惡意軟體Guerrilla，駭客組織Lemon Group能藉由用戶的簡訊、社群網站帳號來牟利，甚至是在背景利用裝置來進行點擊詐欺活動，類似的情況近期再度上演。</p> <p>資安業者Human Security揭露名為Badbox的攻擊行動，這些裝置的韌體被植入名為Triada的惡意軟體，設備類型涵蓋至少200個型號的手機、平板電腦、電視盒，保守估計有7.4萬臺裝置遭到感染，當中有美國補助低收入戶的專案手機。一旦使用者啟用裝置，這些設備就會連回C2中繼站，遠端部署數個詐欺模組。其中一個是殭屍網路病毒Peachpit，每天約有12.1萬臺安卓裝置、15.9萬臺iOS裝置遭到控制。研究人員之所以發現Peachpit，原因是他們在2022年觀察到每天有40億則用於詐欺的廣告，這些竟源自39款安卓、iOS應用程式，從而追查到這項攻擊。Triada能竊取個人識別資訊（PII）、執行機器人並隱匿其行蹤、用於設置家用網路的代理伺服器、竊取Cookie或是動態密碼。</p> <p>而究竟駭客如何埋入惡意程式？研究人員指出，感染Triada的裝置由中國廠商生產，疑似在送交經銷商的過程出錯，有人悄悄植入後門程式。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.cna.com.tw/news/afe/202310100027.aspx"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">強化公部門資料安全，26個A級機關完成導入T-Road</span></strong></a></p> <p></p> <p>數位發展部為確保跨機關間資料傳輸的安全性，推動公部門導入政府資料傳輸平臺T-Road，這項政策與零信任架構（Zero Trust Architecture）列為該部門今年的施政重點項目，如今揭露導入的成果。</p> <p>根據中央通訊社的報導，截至9月底已有26個資安A級機關完成導入T-Road，這些包含了掌握全國人民個資的內政部警政署、勞保局、健保署、教育部、財政部、經濟部，地方政府的部分則有臺南市政府。數位部表示，我國資安A級機關總共有47個，預計將於明年底全數導入T-Road與零信任架構。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.securityweek.com/sap-releases-7-new-notes-on-october-2023-patch-day/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">SAP發布10月份例行更新</span></span></strong></a></p> <p></p> <p><a href="https://chromereleases.googleblog.com/2023/10/stable-channel-update-for-desktop_10.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google發布Chrome 118，修補20個漏洞</span></span></strong></a></p> <p></p> <p><a href="https://thehackernews.com/2023/10/libcue-library-flaw-opens-gnome-linux.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">GNOME桌面環境的程式庫libcue存在高風險漏洞</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/bianlian-extortion-group-claims-recent-air-canada-breach/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);"></span></span></strong></a></p> <p></p> <p><a href="https://github.blog/2023-10-04-introducing-secret-scanning-validity-checks-for-major-cloud-services/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">GitHub帳密機敏資訊掃描功能範圍擴及AWS、微軟、Google、Slack</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/bianlian-extortion-group-claims-recent-air-canada-breach/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體BianLian聲稱從加拿大航空竊得210 GB資料</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159228"><strong>【10月11日】駭客組織鎖定臺灣生技、製造、IT業者而來，自今年2月暗中從事網路間諜攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159172"><strong>【10月6日】中國駭客鎖定臺灣、香港、新加坡半導體產業而來，假借台積電的名義進行網路間諜攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159144"><strong>【10月5日】亞太地區安卓手機遭中國駭客APT41鎖定，進行精確的定位追蹤、盜取網路電話通話內容及行動支付資料</strong></a></p> </div></div></div>
2023/10/12 18:04作者周峻佑https://www.ithome.com.tw/news/159241
公平會通過台灣大哥大與台灣之星合併案，台灣大哥大：拼年底完成合併
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼遠傳與亞太電信之後，公平交易委員會（簡稱公平會）在今天（10/12）決議，以有條件方式通過台灣大哥大與台灣之星合併案，由於台灣大哥大將承受台灣之星用戶，要求對台灣之星4G終身用戶應依合約服務至4G頻段使用屆期為止。台灣大哥大表示，將趕在今年底前完成合併。</p> <p>台灣大哥大是在2021年12月底，宣布將合併台灣之星，為國內電信市場投入震憾彈，隨後遠傳電信也宣布將和亞太電信合併，兩大電信合併案不只牽涉到眾多用戶，從5家行動電信商減少至3家，對國內電信市場競爭產生重大影響，公平會花費相當長的時間，從合併後的市場經濟效溢、用戶權益、公平性及市場競爭變化等方面，審理兩大電信合併案，其中遠傳與亞太電信合併案已在今年7月先通過，今天再通過台灣大哥大與台灣之星合併案。</p> <p>公平會指出，電信產業具有高技術、高資本特性，合併固然透過資源整合，改善經營效率、競爭力，但在遠傳與亞太電信合併後，台灣大哥大與台灣之星合併案，將使國內寬頻服務業者減少，導致市場集中度提高、價格上升的疑慮。為維護市場競爭及保障消費者利益，公平會邀請學者專家、主管機關、消保單位、競爭對手，向外蒐集各方對合併案的意見。</p> <p>公平會認為，台灣大哥大合併台灣之星，整合其頻譜使用資源、網路、用戶及人力，有助於5G發展，減少機房、基站重覆建置，整體經濟效益提升，但業者數減少，市場集中提高，衍生價格上升的質疑，為確保合併後經濟效益大於限制競爭的不利益，有條件通過合併申請。</p> <p>公平會對台灣大哥大提出附加負擔，在資費方面，對台灣之星既有用戶契約，需確保用戶得依契約約定的資費、服務內容及條件至2025年12月31日止；對台灣之星4G上網終身用戶，依合約內容服務至4G頻段使用期限屆期。另針對低收入戶、中低收入戶、身心障礙、清寒等用戶提供至少5年的優惠資費方案，一般用戶則提供至少1年優惠資費。資費方案實施，以及資費與mo幣合作，應於合併後5年每年提供公平會備查。</p> <p>在服務方面，由於合併後取得更多頻譜使用資源，台灣大哥大承諾將提升網路及服務品質，公平會要求合併後5年內每年提出行動寬頻網路整合及優化，提升網路及服務品質的實施成果；業者需提出符合自行承諾的整體經濟效益成果報告。</p> <p>為避免對市場競爭的影響，台灣大哥大提供其他業者與自身用戶相同等級的行動語音、數據、漫遊、號碼可攜服務、平等接取服務。另外，在沒有正當理由之下，不得拒絕或中止提供其他業者批發服務、訂定不合理價格或交易條件；沒有正當理由下，不得以差別的價格或交易條件提供批發服務等等。</p> <p>公平會也公布台灣大哥大提出的一般用戶優惠資費，其中4G上網中低資費方案，從月租費0元按資料量計價，到月租費499元限速吃到飽，另提供1個5G月租費599資費方案，以吸引4G用戶升級5G。</p> <p>台灣大哥大第一時間指出，將趕在今年底前完成合併，合併後的新台灣大將大幅升級頻寬、頻譜資源，以及接近千萬的用戶，加速超5G應用生態的發展。</p> <p>台灣大哥大與台灣之星未來合併後，新台灣大哥大用戶數將達980萬左右，而遠傳與亞太電信合併後，新遠傳估計用戶數也將達920萬，兩家業者將和擁有將近１,300萬行動用戶的中華電信分庭抗禮。不過，遠傳與亞太電信合併近期出現新的變數，亞太電信股東以今年4月召開股東臨時會的程序有瑕疵為由，將亞太電信與遠傳合併決議告上智財及商業法院，法院近期判決合併決議應撤銷，恐衝擊遠傳原先與亞太的合併時程規畫。</p> </div></div></div>
2023/10/12 18:48作者蘇文彬https://www.ithome.com.tw/news/159246
WordPress.com正式支援ActivityPub，加入聯邦宇宙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://wordpress.com/blog/2023/10/11/activitypub/" target="_blank">Automattic周三（10/11）宣布</a>，旗下的出版平臺WordPress.com正式支援去中心化的社交網路協定ActivityPub，加入聯邦宇宙（Fediverse）。</p> <p>Fediverse是由聯邦（Federation）及宇宙（Universe）兩個單字所組成，指的是各自獨立卻又能彼此交流的社交網路，各種Fediverse平臺允許不同服務的使用者可彼此關注、分享及互動。而ActivityPub則是由全球資訊網協會（World Wide Web Consortium，W3C）所建立的相關標準，也是現今最熱門的Fediverse協定。</p> <p>WordPress.com的各種方案都將支援ActivityPub，其中的免費（Free）、個人（Personal）及進階（Premium）版用戶可直接透過設定來進入Fediverse，而商用（Business）與電子商務（Commerce）版用戶，則必須安裝ActivityPub外掛程式來參與Fediverse。</p> <p>一旦啟用了ActivityPub，WordPress用戶的部落格便會成為Fediverse上的一個個人檔案，部落格的讀者們就可以在他們自己偏好的平臺上關注並接收來自該部落格的更新，也能直接回覆部落格文章，並出現在部落格的評論上。</p> <p>目前較知名的Fediverse平臺包括了微型部落格X的競爭對手Mastodon、新聞暨討論社群Lemmy、影音平臺PeerTube，以及去中心化的影像分享社交平臺Pixelfed等，且上述皆為開源專案。此外，崇尚開放與自由網路的Mozilla基金會<a href="https://www.ithome.com.tw/news/154818" target="_blank">也在去年宣布將以Mozilla.Social來加入Fediverse</a>，此一<a href="https://mozilla.social/public/local" target="_blank">新的社交平臺</a>已於今年5月邁入封閉測試。</p> </div></div></div>
2023/10/12 15:59作者陳曉莉https://www.ithome.com.tw/news/159237
科學家預估AI到2027年的用電量堪比荷蘭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>科學家們開始注重AI的環保問題，《Cell》的姐妹期刊《Joule》本周出版了一篇名為《持續成長的人工智慧能源足跡》（<a href="https://www.cell.com/joule/fulltext/S2542-4351(23)00365-3" target="_blank">The growing energy footprint of artificial intelligence</a>）論文，指出人工智慧（AI）推論可能會消耗大量的電力，<a href="https://www.bbc.com/news/technology-67053139" target="_blank">作者Alex De Vries更向《BBC》表示</a>，到了2027年，AI的用電量可能等同於荷蘭一年的電力使用。</p> <p>這是繼加州大學河濱分校電機與電腦工程系副教授Shaolei Ren今年初發表的AI「容易口渴」的論文之後，另一篇與AI環保議題相關、並吸引媒體目光的研究。當時Ren於《<a href="https://arxiv.org/pdf/2304.03271.pdf" target="_blank">Making AI Less “Thirsty”: Uncovering and Addressing the Secret Water Footprint of AI Models</a>》中指出，在微軟最先進的美國資料中心訓練GPT-3時，將直接消耗70萬公升的乾淨淡水，相當於生產370輛BMW或320輛特斯拉，若是在微軟的亞洲資料中心訓練，用水量將是3倍，若是於其它不那麼先進的資料中心訓練AI模型，用水量則會更高。</p> <p>而在推論上，ChatGPT僅是回答20~50個簡單的問題就需要500ml的水，當ChatGPT擁有數十億用戶，再加上改用規模更龐大的GPT-4，AI的用水量更是難以估計。</p> <p>其實目前並沒有針對AI用水或用電量的公開數據，不管是Ren或是來自Vries的最新研究都是基於多種估計。</p> <p>Vries為荷蘭阿姆斯特丹自由大學商業與經濟學院的博士候選人，同時他也是數位經濟平臺Digiconomist及比特幣耗電量指數Bitcoin Energy Consumption Index的創辦人。這次他於報告中指出，外界一向認為訓練一個AI模型是AI最耗電的階段，但Vries引用了SemiAnalysis及Google的報告指出，推論所消耗的電力更多。</p> <p>其中，Google的報告顯示，自2019年到2021年，與AI相關的能源消耗中有60%來自推論。至於半導體研究機構SemiAnalysis則說OpenAI的ChatGPT服務需要由3,617臺Nvidia HGX A100的伺服器來支撐，Vries計算其每日耗電量，認為它高於訓練GPT-3時所需要的電力。</p> <p>另一方面，SemiAnalysis也估計，若要於Google搜尋中實現類似ChatGPT的搜尋能力，將會需要512,821臺的Nvidia HGX A100，<a href="https://www.reuters.com/technology/tech-giants-ai-like-bing-bard-poses-billion-dollar-search-problem-2023-02-22/" target="_blank">且Alphabet董事長John Hennessy亦曾向《路透社》（Reuters）透露</a>，與大型語言模型互動的成本可能是標準關鍵字搜尋的10倍。</p> <p>這使得Vries以Google在2021年的18.3 TWh耗電量來計算，當時AI占了Google整體耗電量的10%~15%，在Google全面實施AI搜尋之後，其AI耗電量最高可能達到27.4 TWh，接近愛爾蘭一整年所使用的電力（29.3 TWh）。</p> <p>就整個市場來看，隨著Nvidia合作夥伴台積電（TSMC）所投資的新CoWoS包裝廠預計於2027年量產，Vries也估計屆時Nvidia所交付的AI伺服器數量與其用電量將達85~134 TWh，相當於荷蘭一年的電力使用。</p> <p>總之，Vries認為AI產業應該要考慮相關的環境衝擊，包括提高硬體效率，採用創新的模型架構及演算法，還建議開發人員不僅應專注於優化AI，也必須考慮使用AI的必要性，亦督促監管機構導入具體的環境披露要求，以讓此一新興技術的環境成本更加透明化。</p> <p>除了環境之外，<a href="https://www.semianalysis.com/p/the-inference-cost-of-search-disruption" target="_blank">SemiAnalysis今年初即曾發表一篇文章</a>，分析了大型語言模型的實際成本，指出ChatGPT每周的推論成本都超過訓練成本，倘若Google在搜尋中部署了類似ChatGPT的大型語言模型，原本擁有的300億美元利潤就會在一夜之間蒸發，轉移到其它業者手上或是用來改善TPU效能。</p> </div></div></div>
2023/10/12 14:35作者陳曉莉https://www.ithome.com.tw/news/159236
【iThome 2023 CIO大調查系列6：DevOps篇】上雲、IT現代化需求強，帶動企業2023持續加碼DevO…
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1150-feng_mian_p2-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三年疫情解除了，IT零接觸抗疫經驗，讓更多企業體會到數位轉型的必要。3成企業想要加速轉型、提高IT上雲比重、更加快IT現代化的腳步。IT在企業的影響力更大，企業對IT能力的期待也比過去更高。不只要更敏捷、更模組化、更有彈性，還要更強化DevOps能力。</p> <p>根據iThome 2023年CIO大調查，臺灣採用DevOps的企業到今年底將達到約2成，以金融業最高，達到41.7%，可以說，平均每兩家金融機構，就有一家擁抱DevOps，次高的產業是政府學校，約四分之一。</p> <p>為了抗疫，臺灣企業IT預算成長率一度超過2位數，疫情解除後，今年仍然有9.2%的成長力道，平均達到2億3千多萬元，其中投入到DevOps的投資平均達到892萬元。臺灣企業今年對DevOps投資持續加碼，平均比去年增加了5.6%。不過，各產業的DevOps投資差異頗大，投資金額最高的產業，反而不是採用率最高的金融業而是政府學校。政府學校這兩年的DevOps投資非常高，平均達到數千萬元之多。今年平均更是達到5,857萬元。</p> <p>為何政府學校的DevOps預算如此之高，甚至幾乎超過IT預算的2成？我們向政府部門資訊長了解原因。一來我們大調查對象是政府一級機關和大學，IT預算是政府機關中較高者，另一個答案則出乎我們的意料，但又非常合理。</p> <p>這兩年，政府機關大力推動零信任資安架構，為了推動安全設計（Security by design），將許多身分驗證機制，整合到Ap中，來提高權限控管的精細度和彈性。政府機關發現，必須改造原有的開發技術和開發流程，所以，這兩年開始積極擁抱現在主流的DevOps工具鏈和方法論。但是，只有開發方法轉型還不夠，必須連同基礎架構也轉型，同步推動IT現代化，擁抱雲原生技術才行。有些政府機關CIO將基礎架構轉型投資，也視為強化IT開發戰力，培養DevOps能力的投資，這才帶動了這兩年政府機關有龐大DevOps投資的緣故，其中包括了雲原生技術平臺的投資。</p> <p>平均來說，企業DevOps投資約占企業IT投資的3.9%，而企業IT投資又約占了企業營收的2.7%。看起來，金融業的DevOps預算占比最低，只有0.3%，但是金融業的IT平均預算超過了14億元，因此，今年DevOps投資約500萬元。不少企業現在正在規畫2024年的IT計畫，可以參考這個DevOps投資數據，作為業界平均水準，來向老闆爭取更多DevOps的投資。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-%E5%B0%81%E9%9D%A2p2-600-0.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-%E5%B0%81%E9%9D%A2p2-600-1.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-%E5%B0%81%E9%9D%A2p2-600-2.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-%E5%B0%81%E9%9D%A2p2-600-3.png" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 問卷說明 </span></span> 大調查執行期間從2023年4月20日到5月10日，對臺灣2千大規模大型企業、iThome歷屆CIO大調查企業、政府機關、大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 68.5%填答者為企業IT最高主管。</strong></p> <p><a href="https://www.ithome.com.tw/article/159151" target="_blank"><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#3399ff;"> 相關報導 </span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1150-feng_mian_gu_shi_-p1-open-960x420_kao_bei_0.jpg?itok=QHjV5S_I" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2023/10/12 13:34作者王宏仁https://www.ithome.com.tw/article/159147
【iThome 2023 CIO大調查系列6：DevOps篇】僅1.1%臺灣企業達到DORA指標菁英水準，更新準備時…
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/feng_mian_p3p4kua_ye_-dora1-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年是連續第二年，揭露臺灣企業DevOps能力的DORA指標調查結果。達到高階團隊水準的臺灣企業比例達52%，和去年差不多（52.1％)。但是，今年只有1.1%的企業達到DORA菁英團隊的能力，比去年的4.2%，少了許多。</p> <p>DORA指標是國際上衡量企業DevOps能力最具公信力的指標之一。由Google旗下專門研究DevOps評估方法的研究團DORA所發展，也因此這套指標被稱為DORA指標。連續8年，Google使用了同一套指標來進行全球網路問券調查，歷年累計超過3萬3千多名企業IT人員參與調查。</p> <p>DORA用了四個關鍵指標，來衡量一家企業的交付績效，作為DevOps團隊的能力指標，包括了平均部署頻率、更新準備時間、平均復原時間和變更失敗率。最後依據企業自評結果，以統計方法歸納出不同等級的DevOps能力分級來建立分類，作為方便比較的參考。</p> <p>在2017年到2021年間所發布的全球DevOps現況報告，DORA指標最後都歸納出四級分類，包括了菁英、高階、中階和低階團隊，但是，到了最近一期報告，在2022年報告中，卻將從4級精簡到3級，只剩下高階、中階和低階團隊的分類。不過，對於高階的四大指標績效要求水準，大多接近於2021年的菁英團隊水準。</p> <p>為了這個分類調整，在去年調查結果報告中，DORA團隊特別說明，2022年DORA調查對象中，多了不少企業DevOps新手團隊，或者剛要籌設DevOps團隊的企業，才拉低了標準。因此，他們不推薦進行2021年和2022年的跨年比較。</p> <p>雖然DORA是全球性的調查，但是臺灣企業參與這項調查的企業比例相當低，遠遠少於1%，無法進一步細分出臺灣企業足以參考的DevOps能力數據。</p> <p>因此，我們從2022年的iThome CIO大調查開始，參考了DORA指標的自評問題，首度對臺灣大型企業進行調查。同樣由企業針對關鍵AP的這四大指標，進行自評，我們再進一步參考DORA不同能力水準的績效要求，來分類出臺灣企業在不同DevOps能力分級的比重。</p> <p>雖然DORA指標在2022年將DevOps能力精簡為3級，為了方便比較臺灣企業2021年和2022年的變化，我們今年繼續使用了2021年的DORA指標4級分類，以便了解臺灣企業DevOps能力的變化情況。</p> <p>在關鍵AP平均部署頻率上，只有14.3%臺灣企業可以達到一天多次的按需部署能力，2成企業約在1周1次，還有更多企業需要超過1周，甚至1個月才能部署1次。更新準備時間則只有5.4%的企業能在1小時內完成，半數企業得花1周以上時間準備。更新出錯後需要盡快復原，臺灣企業平均復原時間落在1天左右，只有14.5%企業可以在1小時內復原。臺灣企業變更失敗率表現較好，近6成都能在15%失敗率以下。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-%E5%B0%81%E9%9D%A2-DORA-600-0.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-%E5%B0%81%E9%9D%A2-DORA-600-1.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-%E5%B0%81%E9%9D%A2-DORA-600-2.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-%E5%B0%81%E9%9D%A2-DORA-600-3.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> 大調查執行期間從2023年4月20日到5月10日，對臺灣2千大規模大型企業、iThome歷屆CIO大調查企業、政府機關、大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 68.5%填答者為企業IT最高主管。</strong></p> <p><a href="https://www.ithome.com.tw/article/159151" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="font-size: 20px;"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1150-feng_mian_gu_shi_-p1-open-960x420_kao_bei_0.jpg?itok=QHjV5S_I" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2023/10/12 13:35作者王宏仁https://www.ithome.com.tw/article/159148
【iThome 2023 CIO大調查系列6：DevOps篇】臺灣大型企業DORA指標評比分析：CD能力有國際水準，但…
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/feng_mian_p3p4kua_ye_-dora2-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>DORA指標是國際上衡量企業DevOps能力最具公信力的指標之一。我們從2022年的iThome CIO大調查開始，參考了DORA指標的自評問題，首度對臺灣大型企業進行調查。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-%E5%B0%81%E9%9D%A2-DORA-600-5(2).png" style="text-align: center; width: 600px;" /></p> <p>比較2022年和2023年，臺灣企業在四項DORA績效指標上的變化。能一天多次按需部署的企業從去年的14.3%，今年大幅提高到了27.9%；更新準備時間在1小時內的企業占比則從去年的6.3%，今年小幅下滑到5.4%；平均復原時間在1小時內的企業占比，去年是14.7%，今年則是 14.5%，差異不大；而變更失敗率低於15%的企業比例，去年是67.3%，今年下滑到58.2%。</p> <p>換句話說，今年臺灣企業的部署頻率更快了，但更新準備時間和變更失敗率這兩項能力在今年則是下滑了，更新出錯後的復原能力則和去年相當。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-%E5%B0%81%E9%9D%A2-DORA-600-0(2).png" style="text-align: center; width: 600px;" /></p> <p>從四大DORA績效指標的每一項分別來看，光看2023年的數據，臺灣有16.7%企業的部署頻率、14.5%企業的平均復原時間達到菁英水準，更有6成企業變更失敗率也是菁英等級，唯有更新準備時間這一項，臺灣企業只有5.4%達標，這也成了臺灣企業在四大指標中，目前最弱的一項。</p> <p>這四項DORA績效指標，前兩項，部署頻率和更新準備時間用來衡量企業IT團隊的開發速度，而後兩項指標，平均復原時間和變更失敗率則是可以衡量所開發出來的軟體品質和穩定性。</p> <p>也就是說，臺灣企業IT所開發的軟體品質和穩定性，仍舊維持與去年相當的水準，這兩項達到菁英水準的優秀企業比例，也和全球比例差不多。但是，臺灣企業的開發速度，能夠達菁英程度的企業數量，明顯比全球企業的比例少了很多。</p> <p>部署頻率表現較佳，代表企業持續交付的自動化程度較高，基礎架構調度和配置的自動化能力也較佳。臺灣企業這兩年積極上雲、擁抱容器化架構，這些IT現代化的成果，已經開始反映到部署能力的強化上。但是，要縮短更新準備時間這一項能力，涉及了持續整合階段的優化、測試流程的自動化，多數臺灣企業IT團隊在這一項的表現，目前明顯還沒達到全球DevOps菁英團隊的水準。</p> <p>根據DORA定義，必須同時在四項指標達到菁英水準的企業，才能稱為DevOps菁英團隊，如此一來，臺灣只有1.1%企業，同時在這四項達標。不少高階水準的企業，只差了更新準備時間，或平均復原時間的其中一項較弱，因而無法晉升到菁英等級。</p> <p>全球DevOps能力在過去幾年有很大的提升，尤其在雲原生技術快速普及的浪潮下，帶動了全球企業的DevOps能力。在2021年的DORA全球DevOps報告中，全球達到菁英團隊的企業高達26%，高階則是40%、中階28%，而低階者也有7%。但是，和DORA全球調查結果相比，臺灣企業菁英團隊極少，近半數臺灣企業（52%）處於DevOps高階團隊的水準，以及不少企業屬於中階團隊的水準（41.7%）。</p> <p>臺灣2023年的DevOps能力各級分布，比較接近DORA 2018年報告的水準，當時有7%的全球企業達到菁英水準，高階團隊占 48% 、中階團隊占 37%，而低階團隊則有 15% 。</p> <p>隨著應用程式安全和開發安全需求的提升，設計安全（Security by Design）思維這兩年逐漸在臺灣崛起，開始有企業不只導入DevOps，更要擁抱難度更高的DevSecOps，今年要採用DevSecOps的臺灣企業達到10.8%。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-%E5%B0%81%E9%9D%A2-DORA-600-7.png" style="text-align: center; width: 600px;" /></p> <p>從各產業表現來看，今年只有服務業和政府學校少數企業或機構達到菁英水準的IT團隊，製造業、金融和醫療都掛零。整體產業表現來說，以醫療業（73.7%）和金融業（62.9%）達高階團隊水準的企業比例較多。金融是最積極擁抱DevOps的產業，高達41.7%金融業者採用，而醫療業則是這兩年最積極投資DevOps的產業，今年DevOps投資比去年成長了36%。這些投資和採用力道，的確大幅提升了這兩個產業的高階團隊比重，但是要進一步往菁英團隊水準邁進，則不只是方法論和工具鏈的導入，還需要更多DevOps流程深化，以及DevOps組織文化的擴散，這正是臺灣企業DevOps能力更上一層的挑戰。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-%E5%B0%81%E9%9D%A2-DORA-600-6.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-%E5%B0%81%E9%9D%A2-DORA-600-8.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> 大調查執行期間從2023年4月20日到5月10日，對臺灣2千大規模大型企業、iThome歷屆CIO大調查企業、政府機關、大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 68.5%填答者為企業IT最高主管。</strong></p> <p><a href="https://www.ithome.com.tw/article/159151" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="font-size: 20px;"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1150-feng_mian_gu_shi_-p1-open-960x420_kao_bei_0.jpg?itok=QHjV5S_I" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2023/10/12 13:35作者王宏仁https://www.ithome.com.tw/article/159149
臺灣企業DevOps戰力大公開
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1150-feng_mian_gu_shi_-p1-open-960x420_kao_bei_0.jpg?itok=QHjV5S_I" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3年疫情，企業更能體會數位轉型的必要，加速上雲、徹底IT現代化需求更勝過往，企業想用IT創造更多價值。臺灣企業IT戰力多強？開發能力如何？最好的衡量指標就是國際DevOps績效指標DORA</p> </div></div></div>
2023/10/12 13:36作者王宏仁https://www.ithome.com.tw/article/159151
臺灣企業DevOps關鍵瓶頸
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球DevOps浪潮在2015年左右吹進了臺灣，開始有企業願意嘗試容器技術、DevOps工具，展開了IT架構轉型。後來，臺灣出現企業數位轉型潮後，DevOps能力更成了企業IT現代化的發展重點，尤其3年疫情和烏克蘭戰爭，讓企業意識到DevOps能力應變的價值，可以快速因應高度不確定和日趨複雜的大環境變化。</p> <p>但是，幾年下來，DevOps對臺灣企業帶來什麼樣的影響？成果如何？這個讓我們好奇多年的問題，過去透過CIO大調查，了解企業DevOps採用情況、投資規模，試圖從企業投入程度來尋找答案，總是缺了一角，沒有更直接從成效面來看DevOps的影響。</p> <p>直到去年，我們在CIO大調查中，首度參考了Google旗下DORA（DevOps Research and Assessment）團隊所設計的DevOps績效衡量指標，也就是DORA指標，用平均部署頻率、更新準備時間、平均復原時間和變更失敗率，來呈現企業DevOps的交付績效。</p> <p>DORA從2016年開始，用同一套指標調查全球企業IT和開發團隊，透過問卷蒐集他們自評的績效數據，並從2017年開始在全球DevOps現況報告中揭露調查結果。他們從這些自評數據，歸納出了4個等級的DORA分類指標，作為綜合評比一家企業DevOps能力水準的等級參考。</p> <p>我們從2022年開始，用同樣的DORA自評問題，來調查臺灣大型企業，已在去年首度公布了臺灣企業DevOps能力數據。到了今年度的iThome CIO大調查，繼續沿用同一個方法蒐集第二年的數據。分析兩年數據，不只看到臺灣企業DevOps能力的變化，也更清楚臺灣DevOps能力的不足之處。</p> <p>比較2022年和2023年，臺灣企業在四項DORA績效指標上的變化，今年臺灣企業的部署頻率更快了，但更新準備時間和變更失敗率這兩項能力在今年些微下滑，更新出錯後的復原能力則和去年相當。</p> <p>在DORA分級定義中，必須四項指標同時達到菁英水準的企業，才能稱為DevOps菁英團隊，如此一來，臺灣只有1.1%企業，同時在這四項達標。不少符合高階團隊水準的臺灣企業，只差了更新準備時間，或是平均復原時間兩項中的單一項，而無法晉升到菁英等級。</p> <p>進一步從每一項指標分別來看，以2023年數據來看，臺灣有16.7%企業的部署頻率、14.5%企業的平均復原時間，在這兩項指標達到了菁英水準，變更失敗率達菁英等級的企業更是接近6成。唯有更新準備時間這一項，臺灣只有5.4%的企業達標，這成了臺灣企業在四大指標中，目前最弱的一項。</p> <p>四項指標中，部署頻率和更新準備時間用來衡量IT團隊的開發速度，而後兩項，平均復原時間和變更失敗率則是可以衡量IT所開發軟體的品質和穩定性。</p> <p>臺灣企業今年在復原時間這一項能力指標下滑了，這是日後必須更加重視的軟體品質弱項，而更新準備時間過長，更是拖慢IT開發速度最大的瓶頸。</p> <p>這兩年，臺灣企業積極上雲、擁抱容器化架構等等IT現代化作為，的確讓臺灣企業持續交付（CD）的自動化程度更高，基礎架構調度速度和彈性也比過去更強，因此，反映在企業部署頻率指標的提升。但是，要縮短更新準備時間這一項能力，涉及了持續整合（CI）階段的優化、測試流程的自動化，多數臺灣企業IT團隊這一階段的成效，明顯還沒達到全球DevOps菁英團隊的水準。這正是臺灣企業DevOps能力向上提升的關鍵瓶頸。</p> <p><a href="https://www.ithome.com.tw/article/159151" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="font-size: 20px;"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1150-feng_mian_gu_shi_-p1-open-960x420_kao_bei_0.jpg?itok=QHjV5S_I" style="width: 550px;" /></strong></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/cio%E5%A4%A7%E8%AA%BF%E6%9F%A5">CIO大調查</a></div><div class="field-item odd"><a href="/tags/devops">DevOps</a></div><div class="field-item even"><a href="/tags/dora">DORA</a></div></div></div>
2023/10/12 13:36作者王宏仁https://www.ithome.com.tw/voice/159163
【剖析中研院大型語言模型事件的衝擊】為何臺灣必須擁有本土化的LLM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr" id="docs-internal-guid-15b51afa-7fff-2f04-142e-7916fa65855d">在10月6日國慶日前夕，中研院<a href="https://www.ithome.com.tw/news/159166">開源釋出</a>了使用Llama 2所開發的繁中大型語言模型CKIP-Llama-2-7b，但由於一開始未說明該模型是明清人物研究專用非通用，讓外界誤以為是通用型的繁中語言模型而有更大的期待，經過許多人試用後，結果發現在回答提問時，模型提供的內容不夠本土化，甚至可能出現簡中習慣的用語或詞彙，而引起熱議。中研院在模型釋出4天後決定將該模型下架，並承諾未來發布研究成果時，會制定更嚴謹的審核機制，以防止類似問題再次發生。</p> <p dir="ltr">中研院AI模型事件引起各界廣泛討論。多數聲浪都是責難中研院，不應該使用中國的簡中語料當作訓練資料，並且批評不該在處於測試階段就將模型對外開放，甚至也有立委出面指責，這已升高到認知戰，但是在臺灣，特別是技術社群中，也有一群持不同觀點的專家，他們認為儘管此次中研院繁中模型的成果不完美，但透過提早釋出和頻繁釋出（Release early, Release often）的方式，可以快速獲得反饋，迅速進行更新，吸引更多人參與，使模型持續迭代，進一步提升成果的品質，這也才是開源社群能夠不斷進步的原因。</p> <p dir="ltr">但這次事件更深層的意義，一方面反映出各界高度期待擁有一個能夠說出在地口氣、本土回應的LLM模型，另一方面也凸顯了臺灣自主研發大型語言模型的重要性。</p> <p dir="ltr">可是，大型語言模型，除非使用本地資料集、從頭開始訓練，否則就算用Llama 2或其他開源LLM模型，都可能因為資料集的語言分布落差，而產生各種偏差歧見、不同的價值和解釋，尤其，臺灣本土的資料量僅占網路世界不到0.1％，即使在微調時加入本地資料，資料量不夠多、不夠全面完整，很難確保模型能夠完全貼近自己在地風格、使用習慣和語言表達方式。</p> <p dir="ltr">這次由中研院所開發的這一款明清研究用的繁中語言模型，就是一個典型例子。為了要自動化分析中國明清朝代人物的生平圖譜，中研院的CKIP Lab中文詞知識庫小組使用了Meta的Llama-2-7b和來自中國的Atom-7b這兩個開源LLM模型作為預訓練基礎模型，以此訓練出一個專為明清人物分析而優化的CKIP-Llama-2-7b模型，後來更對該模型進行多任務微調訓練，推出了支援更廣泛對話和問答任務的CKIP-Llama-2-7b-chat模型版本，可運用在文案生成、文學創作、問答系統、客服系統、語言翻譯、文字編修、華語教學等。</p> <p dir="ltr">為了研究所需，CKIP Lab團隊選擇的開源基礎模型和微調的資料集中包含了許多來自中國的簡中資料，例如COIG-PC和dolly資料集等，導致訓練出來的繁中語言模型雖然能更準確地回答明清人物的相關問題，但當回答一些臺灣在地的提問，尤其是一些關於事實的問題時，就有可能生成出不夠本土化，甚至是不正確的內容，例如提供錯誤的國慶日時間或總統姓名。這也凸顯出在訓練過程中使用的資料的重要性。</p> <p dir="ltr"><strong><span style="font-size:28px;">為何臺灣必須要建立自己的LLM模型</span></strong></p> <p dir="ltr">在AI領域研究很有經驗的中研院資訊科技創新研究中心研究員李育杰，是國科會負責建構臺灣大型語言模型的可信任AI對話引擎（TAIDE）計畫負責人。他指出，臺灣必須自行擁有大型語言模型的關鍵原因是，目前不論是OpenAI和Meta提供的語言模型，都存在資料偏差（ data bias），特別是在中文語料蒐集方面，中文資料占比非常低，而且由於大部分的訓練資料都是透過網路爬取，其中簡中內容比例遠高於繁中，在臺灣本土的繁中資料量相對稀少的情況下，就容易導致因資料偏差而影響到模型生成的結果，出現和原本預期不一樣的情況。</p> <p dir="ltr">但要讓臺灣建立自己的大型語言模型，前提是需要建立臺灣自己的大型語言資料集，所以，「臺灣應該好好整理我們自己的繁體中文語料庫」他再三強調。</p> <p dir="ltr">今年6月時，國科會對外<a href="https://www.ithome.com.tw/news/157337">公開展示</a>TAIDE計畫的階段性成果，使用大量純繁中資料微調出一個國產70億參數的AI對話引擎，可執行摘要、翻譯、寫信、寫文章等任務。這套AI對話引擎的背後正是使用和中研院CKIP-Llama-2-7b模型相同的Llama 2開源模型當作預訓練的基礎模型。</p> <p dir="ltr"><strong><span style="font-size:28px;">本土化的LLM模型訓練三個階段</span></strong></p> <p dir="ltr">在本土化LLM模型訓練過程主要分三階段，第一階段是持續預訓練（Continual Pre-training），讓語言模型了解如何透過文字接龍方式，來預測下一個字的機率分布情況。第二階段則是微調建構學習（Fine-Tune Construction Learning），藉由問答的配合來讓模型學會回答人類的問題，例如什麼樣是正確的答案。當模型開始能夠產生回應時，還需要人為的介入，也就是人為反饋強化學習（Reinforcement learning with human feedback）的階段，透過由人來教導，來加強模型在各方面的表現。</p> <p dir="ltr">李育杰表示，三個階段中，一開始就需要使用大量的繁體中文語料庫，來讓模型學習基礎的語言邏輯、常識與知識等，以便能夠訓練出符合在地化繁中語境的模型，「這也是我們現在正在做的事情，」他表示，目前已蒐集的繁中資料，包括有來自中央社、光華雜誌社資料等。</p> <p dir="ltr">為了使訓練的模型能更貼近在地化用語或風格，他表示，一開始資料選擇很重要，除了需要是本土資料以外，所有資料都要經過篩選過，涵蓋不同的主題，此外，在資料蒐集上也會有相關限制，例如要排除不合宜或不當的用語（ dirty words）。</p> <p dir="ltr">即使靠著簡轉繁方式來獲取可用於模型訓練用的數據，他表示，也需要注意臺灣和中國之間，不僅在文字用法上存在簡繁體的差異，實際上在翻譯、專有名詞的用法等方面也存在許多不同之處。更深層次的差異，在於彼此的價值觀不同，因此，如果直接使用中國簡轉繁方法，也有可能導致該模型輸出結果與原先預期不一致。</p> <p dir="ltr">儘管這次中研院模型事件起因於明清的人物研究，研究人員使用了中國的簡中資料來訓練模型，但沒有預料到外界對於模型的測試超出了他的想像範圍，也超出了其研究範疇。李育杰認為，從這起事件中能夠看到臺灣必須自行建立本土的繁中資料集的必要性，但也需要更加小心處理資料的使用、模型授權與訓練環境的建立。</p> <p dir="ltr">TAIDE計畫經過半年多發展，他表示，最快10月底將會公布一個可商用的小模型。他透露，目前在文章內容生成和提供建議的測試方面，模型表現已經相當有模有樣，但他不諱言和ChatGPT相比仍有差距，「但是臺灣總要開始踏出第一步」他說。</p> <p dir="ltr">從推動AI產業的角度來看，台灣人工智慧學校校務長蔡明順在個人臉書以「<a href="https://www.facebook.com/richie.tsai/posts/pfbid02DfLxcHyXF6AKBDqJ4E1LMkNUbnKMK12ZUrMGt38fHmTTRgUQ6ehvCNxtt4xxF1yZl">中研院詞庫模型事件給大家上了一堂LLM課</a>」為題提出他對此事的觀點。他期盼中研院模型事件能成為一大助力，「不單只是引起社會關注，也讓臺灣在大型語言模型這件事上，不只是跟上，更能夠實現與世界同步的發展。」</p> <p dir="ltr">蔡明順表示，從這起事件反映出臺灣社會非常殷切期待能有自己的本土化的商用繁中大型語言模型，但想要建立一個大型語言模型，首要面對的是資源缺乏的挑戰，不過他指出，中研院開發的語言模型僅僅是個人小型研究之用，用於明清史料的研究，而非用於臺灣通用LLM模型，因此，經費僅有30萬元。他表示，國科會主導的TAIDE計畫，才是真正在開發的臺灣LLM模型。</p> <p dir="ltr">不過，這次事件引起了不少政治人物的關注，開始認識到臺灣需要擁有自己的GPT，蔡明順認為，這有機會在立法院明年預算中被納入討論。再加上兩岸的認知戰和全球局勢的變化，以及近期OpenAI創辦人Sam Altman訪臺，都讓AI的關注度大幅提高，「在中研院AI模型事件發生後，就像點燃火柴，引爆後續一連串的效應。」他說。</p> <p dir="ltr">蔡明順建議，政府應該藉此機會加強在軟體方面投入更多資源，尤其是語言模型和資料集的建立上，以便讓臺灣能夠加快發展的腳步，而不僅僅是在硬體方面的投入，如此一來，才能夠有助於臺灣在AI領域上取得更大的進展。</p> <p dir="ltr"><strong><span style="font-size:28px;">中研院允諾將整合繁中詞知識庫，協助推動臺灣在地化LLM的發展</span></strong></p> <p dir="ltr">在中研院AI模型引起爭議後，中研院決定將該模型先行下架，除了<a href="https://www.sinica.edu.tw/News_Content/70/1851">聲明表示</a>將制定更嚴謹的審核機制，避免類似事件再發生，也宣布將整合繁體中文詞知識庫，協助推動臺灣大型語言模型的發展。此外，中研院未來還計畫擴大召集跨領域AI相關的研究人員進行跨域研究，而且不僅僅是那些從事科研或科技領域的人，也會廣邀人文及社會科學的人才加入，促進臺灣繁體語境生成式AI的發展。</p> <p dir="ltr">蔡明順對此表示肯定，認為這對於臺灣本土LLM發展來說是一件好事，「要用技術的語言回應政治的語言是不對的，因為你回應不了」他建議，政府應該利用此機會好好審視AI治理的發展，包括AI的管理進程，尤其面對生成式AI帶來社會衝擊，提供相關指引、法規建立等，同時，也要考慮到社會期待，不只是想看到研究成果，而是期望透過AI協助國人、社會帶來生產力提升、效率提高，甚至能提供企業商用。</p> <p dir="ltr">儘管中研院繁中語言模型目前已下架，無法繼續使用，不過目前在臺灣還是有一些本土化的LLM模型正在持續發展中，除了國科會AI對話引擎TAIDE，還有來自臺大資工系副教授陳縕儂團隊<a href="https://huggingface.co/yentinglin/Taiwan-LLaMa-v1.0">開源釋出</a>的Taiwan-LLaMa v1.0模型，強調完全採用本地化的繁中語料進行微調訓練。</p> <p dir="ltr">針對這次中研院事件，陳縕儂也在臉書上<a href="https://www.facebook.com/vivianchen.tw/posts/pfbid0w5RUJRui14vw667trPCWRxTQ66pKEefNci3X7goVExKfSWooXndcMCR45zqtVAPdl">發文</a>表示，經過大量網路資料訓練出的LLM，如Llama 2，就算再放入本地化的資料進行模型微調訓練，若是資料量不夠多，還是有可能生成不夠本土化的內容。此外，生成式AI的輸出會有一定程度的隨機性，每次輸出結果可能都不相同，所以她認為，需要透過開源模型，蒐集到更多使用回饋，持續改進模型品質，來達到更加本土化的輸出結果。</p> <p dir="ltr">李育杰也認為，這次事件凸顯了臺灣需要更積極地整合自己的繁中資料庫，他也樂觀看待此事件後續發展，期待更多人能夠參與，例如有社群已經開始自發地要進行做文字的蒐集、標註清洗，並鼓勵更多人一起加入行動。</p> </div></div></div>
2023/10/12 11:16作者余至浩https://www.ithome.com.tw/news/159231
Windows將逐步淘汰VBScript，最終將移除
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://learn.microsoft.com/en-us/windows/whats-new/deprecated-features" target="_blank">微軟宣告</a>從本月起，Windows開始啟動VBScript的退役。</p> <p>未來版本的Windows中，VBScript將會成為「功能隨選安裝」（feature on demand，FoD），最終將從Windows移除。FoD是一種可隨時新增的功能套件，像手寫辨識或.NET Framework。一開始VBScript FoD會預安裝在Windows內以確保使用無礙，但最終將協助用戶過渡到其退役。</p> <p>VBScript為微軟1996年推出的腳本語言，因容易學習，廣泛用於網頁和ASP程式，也是Windows使用者管理電腦的強大工具。但是近幾年VBScript有太多安全漏洞，經常被濫用來散布惡意程式。<a href="https://www.ithome.com.tw/news/132294" target="_blank">微軟早在2019年就已關閉Internet Explorer（IE）的VBScript支援</a>。</p> <p>和VBScript關係密切的VBA也因安全性問題，微軟也逐漸淘汰。<a href="https://www.ithome.com.tw/news/152092" target="_blank">去年7月微軟正式關閉網路下載Office文件的VBA巨集</a>。</p> <p>除了VBScript，微軟9月1日起已不再更新WordPad。最終WordPad將從以後的Windows版本移除。微軟建議用戶改用Word以執行rich text文件，純文字檔則改用Notepad。此外，基於安全理由，從9月份Windows 11更新Insider預覽版開始，<a href="https://www.ithome.com.tw/news/158562" target="_blank">微軟也已預設關閉TLS 1.0及1.1</a>。</p> </div></div></div>
2023/10/12 11:45作者林妍溱https://www.ithome.com.tw/news/159234