iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 7篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 12:52
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

金融上雲有哪些選擇？盤點4大公雲發展重點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國際大型公雲業者早在十多年，就開始在臺灣布局，Google資料中心很早落地臺灣，微軟早有很強的在地業務團隊，AWS則從2012年就開始布局臺灣。十多年下來，這些落地臺灣的公有雲供應商越來越頗具規模，讓國外公有雲新服務發布後，更快在臺灣落地，或者讓臺灣企業可以第一時間採用境外公雲的服務。</p> <p><span style="font-size:28px;"><strong>跨國公雲：Google Cloud</strong></span></p> <p>三大公有雲業者中，Google雖然相對較晚進入企業雲端市場，但卻是最早在臺灣啟用雲端區域和資料中心的公雲業者，早在10年前就在臺灣彰濱打造首座雲端資料中心，使企業可以將資料保存在臺灣境內，不需要傳到境外。此外，由於資料中心設在臺灣本地，可以提供臺灣本地企業更低延遲的雲端服務。</p> <p>不過，臺灣資料中心啟用4年後，GCP直到2017年才在臺灣成立在地的雲端業務團隊，相較於其他兩家公雲起步稍晚。</p> <p>多年來，技術創新一直是GCP雲端服務發展一大重點，例如很早開始靠Kubernetes等雲原生技術布局，使企業上雲更容易，或是以TensorFlow打造人人都能用的機器學習平臺服務等高度創新的產品。</p> <p>這幾年，GCP主打的雲端主力產品，更是圍繞在資料與AI兩大主軸。在資料方面，GCP提供多種雲端資料與分析服務，從資料倉儲、串流資料分析，到大數據分析服務、資料擷取服務等產品。此外，還提供相容PostgreSQL的資料庫服務、雲端SQL與NoSQL資料庫、雲原生關聯式資料庫等服務。近幾年，GCP在災難及資料備份方面也有相關布局，提供了GKE備份、持久性磁碟快照、雲端SQL備份、雲端檔案儲存備份和異地備援雲端儲存等服務。</p> <p>GCP很早就積極布局雲端AI服務市場，例如推出了自己的機器學習服務Cloud ML Engine，可協助企業建立自己的ML模型，從而降低技術的門檻，後來更透過AutoML打造出一套企業級的機器學習應用或AI應用，推出包含圖像自動標示、語音、翻譯和自然語言處理等服務。</p> <p>兩年前，GCP推出了機器學習開發部署平臺Vertex AI，在今年10月的NEXT大會上，更全面轉而聚焦生成式AI，主打生成式AI模型開發，使企業能夠快速構建自己的生成式AI應用。還推出了能支援雲端維運和生成SQL查詢的生成式AI服務Duet AI。</p> <p><span style="font-size:28px;"><strong>跨國公雲：AWS</strong></span></p> <p>身為全球雲端服務龍頭，AWS是3家公雲中最早布局臺灣的公雲業者，早在2012年就開始布局臺灣。不過直到2022年，AWS公雲才終於正式落腳臺灣，雖然比Google晚好幾年，但也反映出，AWS對於臺灣市場更加重視。</p> <p>去年，AWS成為臺灣第二家啟用雲端機房的國際公雲業者，儘管規模不如AWS在國外的服務區域（Region），僅是本地型公雲，但仍舊是一朵完全由AWS維運和管理的公雲，提供了EC2運算、EBS區塊儲存、VPC網路服務等，至於其他服務如S3儲存和DynamoDB資料庫服務等，目前尚未在臺提供。但透過私有和高頻寬網路骨幹與其他AWS 區域串連，企業可以用同一套API使用其他AWS 區域中的全套服務。</p> <p>過去幾年，AWS在臺推出了多項雲端服務，如邊緣運算、無伺服器服務等，但近年來，AWS開始主攻數據分析與ML服務。在分析服務方面，AWS推出了資料倉儲、互動式分析、大數據處理，以及資料湖的物件儲存等進階分析服務。此外，還有各種機器學習服務的推出，涵蓋了底層的機器學習框架與基礎架構、中間的機器學習服務，以及上層的人工智慧服務。在2017年推出的機器學習平臺服務SageMaker，更成為了AWS在機器學習主力產品，提供ML模型建置、訓練和部署功能。甚至AWS今年9月推出了自己的生成式AI建置服務Bedrock。</p> <p><span style="font-size:28px;"><strong>跨國公雲：Azure</strong></span></p> <p>相較於Google、AWS，微軟已經在臺灣商務市場扎根30多年，擁有在地經營的市場優勢，這也使得微軟Azure在臺擁有強大在地業務團隊，提供在地化的支援和服務，這意味著，無論是在技術諮詢、合規性方面，企業可以更容易取得本地支援和更快地解決問題。</p> <p>微軟3年前公布Azure在臺灣建置首座雲端資料中心的計畫，甚至比AWS宣布時間都還早，不過目前該資料中心仍正在建置中，因此企業現階段採用其雲端服務時，只能用境外機房儲存資料。</p> <p>Azure近來在臺灣的發展主要聚焦兩個方向，一方面是在Microsoft 365雲端服務支援更多產業的上雲需求，特別是高監管的產業，如金融業等；另一方面則專注於提供企業級生成式AI服務及平臺。靠著利用OpenAI的ChatGPT背後所採用的GPT模型，Azure推出了自己的生成式AI基礎模型服務，提供企業能使用如GPT-4等大型語言模型來開發自己的生成式AI應用。</p> <p>除了雲端生成式AI的布局以外，Azure持續加強雲端開發人員工具的發展，特別是在雲端DevOps開發方面，提供了一系列工具和服務，涵蓋應用程式生命周期各階段，目前有Azure DevOps、Azure Pipelines、Visual Studio及AKS等，可供雲端開發團隊採用。</p> <p><span style="font-size:28px;"><strong>本土公雲：中華電信</strong></span></p> <p>臺灣不僅有跨國公有雲服務商，多家電信業者或網路業者也推出了不同型態的本地雲端服務，其中又以中華電信的本土公雲服務規模最大，由於客戶有許多都是政府機構和學校，中華電信還設有專屬的政府雲端資料中心，以應對政府單位對資安和數據安全的要求。</p> <p>中華電信還提供了更具韌性的資料保護與備份機制，可將重要的機敏關鍵資料備份到境內HiCloud與境外國際公雲。透過各公雲分持，即使其中一朵公雲服務失效，企業仍可透過其他兩朵公雲的備份恢復其資料，且客戶既有備份檔案無法由單一公雲恢復。不僅如此，中華電信今年也和VMware合推主權雲服務，來加強對敏感性數據的保護及加密措施，以因應資料不出境和資料主權要求。</p> <p>相較於國外雲服務提供商，資料無需經過海外傳輸是中華電信的一大優勢。中華電信目前在臺北和臺南均設有公雲服務據點，可以就近提供技術支援和維護，特別針對金融交易，他們在板橋雲端資料中心打造一個大型金融證期網路，可涵蓋全臺8成金融證券用戶電路，以確保隨時監看各地金融系統網路連線品質，維持金融期貨交易穩定。</p> <p>中華電信還支援多雲混合雲架構。透過國內外高速骨幹網路連接到其他跨國公有雲服務，金融業者可以利用其多雲管理平臺（CMP）及多雲交換平臺（CMCX）連接其他第三方公雲，打造雲地混合架構。還可直接將AWS機櫃整套放進其雲端機房，提供低延遲的金融服務，或是搭配部署臺灣AWS Local Zones服務等。</p> <p>萬里雲是GCP在內等跨國公雲在臺灣本地其中一家雲端服務供應商，萬里雲解決方案架構師梁文典從第一線提出他的觀察。</p> <p>梁文典指出，最近兩年，金融業上雲的需求出現重要變化，一方面，受到地緣政治因素的影響，越來越多金融機構正在評估備份備援的雲端解決方案，強化核心資料的保全，以降低政治衝突的風險；另一方面，生成式AI技術如ChatGPT等掀起了新的AI浪潮，但要開發類似應用需要大量的運算資源，自行建置訓練環境的成本過高，所以他們也開始考慮將數據搬上雲端，結合雲端大數據分析強化其競爭優勢。</p> <p>最近一個月內，他走訪了數十家金融機構，他歸納出金融業上雲路徑主要有3項，分別是備份備援上雲、系統翻新上雲以及數據分析上雲。</p> <p>除了法規限制之外，梁文典強調，IT維運人員缺乏相關技能也成為拖慢臺灣金融業上雲的一大障礙。</p> <p>要解決這個問題，他認為，需要逐步讓地端的維運人員也能熟悉雲端環境，將他們的技能或是思維從原本的地端思維轉變為雲端思維，「這非常關鍵」他說。</p> </div></div></div>
2023/10/20 12:00作者余至浩https://www.ithome.com.tw/news/159343
【金融上雲實例：中國信託金控】以混合雲發展整體戰略，中信金先靠私雲練兵再聚焦多雲和私雲整合
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「不只臺灣，中國信託更從國際發展角度，來思考整體上雲策略。」中信金控科技長賈景光強調，3年前就制定了整體上雲策略，決定採取混合雲策略，以私有雲先行且為重，等待法令開放，或中信的能力足以掌握時，再逐步往公有雲移動。一開始打造私有雲，就具備了混合雲架構的思考。</p> <p>賈景光認為，公有雲有兩大關鍵價值，一是資源部署彈性的選擇，可用來因應不可預期或不確定但又高度重要的系統需求。第二則是提供創新的能力。</p> <p>金融業有不少需要彈性調度資源的應用需求，例如具有高並行需求的應用系統或高度重要卻無法預知何時要用的備援系統，在測試與開發上也會有突發性的需求。</p> <p>他說，為了因應這一類需求不可預期、不確定，但又非常重要的應用，傳統作法或靠私有雲，只能自己備妥全部所需的資源，可是，平時用不到的閒置資源，容易形成浪費。</p> <p>「上雲法規鬆綁後，公有雲的資源彈性，可以讓金融業者借力使力，不用自己準備這麼多，」賈景光表示，公雲第一個價值，讓金融業者多了一個選項，可以有更多可運用的資源。</p> <p>另一方面，公雲第二項價值，卻是讓金融業非用不可的理由。越來越多科技公司的關鍵服務，只在公有雲提供，不會提供私有雲選項，不像過去兩種選擇都有，ChatGPT就是最典型的例子。技術供應商的策略轉變，金融業者想要更早掌握這些關鍵科技，只能選擇公雲。</p> <p>甚至，企業要自己從頭訓練一套大型語言模型，需要大量資料中心，而且是一次的投入大批運算資源，才能用更短時間完成訓練，運用雲端資源來訓練LLM，會比地端更有效果。賈景光認為：「生成式AI是上雲的殺手級應用，讓上雲成了非走不可的一條路。」</p> <p><span style="font-size:28px;"><strong>以穩健、按部就班方式，在混合雲策略上先聚焦私有雲</strong></span></p> <p>不過，為何先聚焦私有雲？賈景光解釋，雲端不見得會解決問題，反而帶來了很多營運管理挑戰，要掌握公有雲，自己在地端沒有足夠的雲端管理能力，到了公雲，一樣無法妥善管理。上雲是中信未來明確的發展方向，但上雲的方式和步驟，中信採取整體規畫，以穩健、按部就班的方式，在混合雲策略上，先聚焦私有雲。</p> <p>中信早在2013年就積極擁抱虛擬化技術，來提高硬體資源的利用率，到了2019年，開始在地端打造中信自己的私有雲，也就是中信雲。2020年導入容器管理平臺OCP（OpenShift Container Platform），開始採用容器化技術，這幾年，中信更積極推動核心系統的現代化，嘗試將部分關鍵系統拆解成雲原生架構，先部署到私有雲中。中信的原則是，只要能夠上雲的應用都會盡量先部署到私有雲，來累積更多雲端管理的能力。</p> <p>中信這朵私有雲的設計思維格外不同，一開始就採取了混合雲架構。不是全面轉為雲原生架構，或全面保留原有地端慣用技術，而是以混合雲為核心的雲端相容策略。賈景光表示：「將合適的關鍵系統或流程拆解成雲原生模式，先部署到私有雲中，未來進可攻，退可守，來善用不同的公有雲。」像是可以將雲原生應用從地端搬上公雲，或從一朵公雲轉移到另一朵公雲，若遇到公有雲SLA不符預期，也可能服務從公雲轉移回地端，或者，有些需求可以直接使用雲端SaaS服務，再與地端環境串接來整合資訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/450-%E8%B3%88%E6%99%AF%E5%85%89_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E4%B8%AD%E5%9C%8B%E4%BF%A1%E8%A8%97%E9%87%91%E6%8E%A7.jpg" style="width: 449px;" /></p> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>中信金控科技長賈景光強調：「影響中信未來2、3年核心競爭力跟關鍵的突破點，就是多雲跟私有雲地的整合能力。」</strong></span></span><span style="font-size:14px;"><span style="color:#696969;">圖片來源_中國信託金控</span></span></p> <p><span style="font-size:28px;"><strong>私雲架構和管理要做到媲美公雲</strong></span></p> <p>除此之外，中信雲也希望讓私有雲的架構和管理，做到幾乎跟公雲一樣，除了硬體資源極大化之外，系統架構也重視高可用性、自動化和標準化的設計。早在2019年，中信雲就可以做到，某一臺伺服器發生異常，AP可以完全無感、自動飄移到另一臺上繼續運作。或是臨時有伺服器部署需求時，可以在30分鐘完成相關的軟硬體配置，備妥需要的運算資源，不像傳統IT作法，可能要數十天才能備妥。中信目前已經有8成應用系統，透過這朵私有雲的自動化機制至來調度資源。</p> <p>對中信來說，用混合雲架構來發展私有雲，還有另一個好處，就是讓傳統IT逐漸具備雲端的管理能力。賈景光表示，早在法規鬆綁之前，中信就利用中信雲來訓練維運團隊，有能力管好自己的雲，未來就可以有能力，來管理想要對接的公有雲。不過，重要系統大多部署在原本架構上，卻同時要對接新的架構，需要一組人力具備新的能力，中信也招募了不少來自科技業的架構師，「擁有雲原生大腦思維的人才，與原有IT團隊協同運作來發展混合雲架構，這樣才能同時兼顧創新與維運。」</p> <p>不過，要將兩種不同能力的人才混編，不是一條容易的路，需要高階主管支持，來建立具備雲原生專才的小規模團隊，開始驗證新技術，產生方法論，也透過少數人產生的方法論，影響IT團隊其他人重新培養新技能，來提升能力。「最難的是要先改變心態，願意走出舒適區。」賈景光坦言，只能透過小型案例示範，不斷的教育，來改變他們思考架構的思維邏輯。</p> <p>對管理者而言，還要注重兩群人與兩種文化的平衡，讓彼此各司其職，在轉型過程，不強調誰比較好，「就像武當派和少林派，兩種武功都很厲害，只是派系不同，不能說哪一種武功比較強。」關鍵是，混合運用完全雲原生或完全傳統技術的人才，透過變革，讓兼具兩種能力的人才占比越來越高。「讓兩群人，一加一大於一，產生縱效的價值，而不是抵減，才能打造混合雲。」這是賈景光從管理者角度的經驗談。</p> <p>賈景光觀察，中信很早就有一組研究雲的虛擬團隊，看好這次法規鬆綁，中信上雲策略會從「點」的發展，變成「面」的擴大，今年進一步在科技長下設立了雲端辦公室，讓上雲發展更統一，邁向一致的方向。</p> <p>雲端辦公室成立後的第一步是統一語言，讓大家對於雲相關的每一個名詞都有同樣的認知，避免各說各話難以溝通。「統一技術語言的起手式非常關鍵，更有助於日後與事業單位的溝通。」賈景光補充。</p> <p>接著則是準備各種架構設計劇本（Playbook)，雲端辦公室向經驗豐富的老手，蒐集了相關混合雲、雲地整合參考實務，整合成方便查找的參考來源，目前正在持續進行中。 第三步則配合法規進展或業務需求，以及地端後續發展的情境，開始進行各種架構驗證，累計更多實踐經驗。</p> <p>例如在今年7月中，中國信託趁著每年災備演練時間，進行雲端災備解決方案的技術架構驗證，來驗證遭遇大範圍災害後，可以在數分鐘內切換至全球公有雲資料中心持續營運。這次災備演練的驗證，正是為了驗證這個雲端架構劇本中的安全框架的可行性，</p> <p>「透過架構驗證，提前確認架構可行、管理能力和資安管控能力都可行，一但AP有需求或法規開放，就可以上雲。」賈景光解釋。</p> <p>他直言，進入「面」的發展階段時，要統一不同部門各自的上雲需求，得將不同公雲的關鍵技術、關鍵語言、關鍵架構都統一，才能讓所有雲從架構、治理到維運都能一條鞭，「業務速度不可能統一，但在架構和營運的標準要有共同的水準。」</p> <p>賈景光觀察，這次法規修正，對銀行賦予的責任更大了，不只是申請程序的鬆綁，它賦予的責任跟監理要求，也比過去更嚴格。因為銀行要負起上雲的最終責任，中信會更加重視自己的掌控度。</p> <p>「上雲絕對是趨勢，一定要快速嘗試，前提是要有能力，不能輕忽，混合雲和多雲世界的複雜度，比想像中更高。」他強調：「上雲關鍵不是選擇哪一朵公雲，而是雲端治理和核心掌握系統SLA的能力有多高，」</p> <p>中國信託本來就一個資訊總控中心（Enterprise Command Center)，從資訊服務品質來思考一套系統的設計，包括架構、後續維運管理，在重要專案建置初期就會參與，將高可視化、高可用性和高自動化的精神落實到每一個專案中。這個團隊會在中國信託上雲的過程扮演重要的助力，新挑戰是，得快速在一、兩年內快速累積出雲端的維運能力。</p> <p>例如中信正導入雲端辦公室服務，預計明年底前導入全行使用者，過程中，Email服務因為有部分資料在雲端，部分在地端，需要調整對應的控管機制才能順利串接雲地。「混合雲挑戰是資料和流量的串聯，比較難是先預料到不同應用情境下的各種串接，初期需要走過一段辛苦但可以克服的過程。」</p> <p>不只雲端辦公室的應用，有了中信雲之後，這幾年，中國信託非常積極嘗試更多雲端應用。核心系統雲端化的5年改造計畫，今年開始進入第二年開發期，部分先導專案已經擁抱雲原生技術，中信未來計畫挑選合適的新業務，採用雲原生技術打造，直接部署到公雲。</p> <p>中信採取多雲策略下搭配ECC營運，大膽嘗試來提升雲的能力，以便未來能夠面對更大的挑戰。「能夠確保維運品質不受影響，又能享受雲的好處，持續上雲就會產生價值，這是需要克服的挑戰，」賈景光強調：「影響中信未來2、3年核心競爭力跟關鍵的突破點，就是多雲跟私有雲地的整合能力。」</p> </div></div></div>
2023/10/20 12:00作者王宏仁https://www.ithome.com.tw/news/159362
【金融上雲實例：玉山金控】善用雲原生基礎發展混合雲，玉山金上雲優先考量敏捷和韌性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三年前，玉山金控以雲原生技術、微服務架構打造的核心系統正式上線，打下科技發展和數位轉型的關鍵基礎工程。玉山的目標是達到端對端的數位化，不只在顧客端以數位方式完成服務，銀行內部作業也盡量數位化，讓同樣的人力可以服務更多顧客。要邁向這個願景，上雲正是玉山加速金融創新的關鍵之一。</p> <p><span style="font-size:28px;"><strong>上雲能加速數位發展，但上錯雲的成本可能多7倍</strong></span></p> <p>「上雲好處是更快、更敏捷，」玉山金控暨玉山銀行資訊長謝萬禮指出，金融業藉上雲，能加速金融創新，當新技術出現，可以快速實驗新資源，不需要經過傳統的採購準備，能直接在雲端找到平臺或空間來實驗，快速驗證效果。</p> <p>例如，有些雲端業者提供套裝的AI模組，能更快速上雲，就越能快速嘗試這些AI技術。上雲也有助增加營運韌性，採用雲端進行異地備援，來確保營運持續性，也同時減少硬體設備的需求。</p> <p>但是，上雲的計價方式複雜，三大公雲業者提供的服務各有長處，還需考慮服務水準問題，若上錯雲，成本恐怕會讓人跌破眼鏡。玉山金控董事長黃男州就曾分享自家經驗：「上對雲，成本少個零，但上錯雲，成本可能多七倍。」</p> <p>從成本效益角度，哪些系統適合上雲？系統交易量和交易頻率變動度是玉山金控上雲兩項重要評估點。以交易量來說，將交易量低的系統搬遷上雲，可能會花費許多不合效益的成本。謝萬禮解釋，上雲除了會根據使用量計價，也會根據使用時長計價，等於遷上雲的當下，就得開始算成本，並且，企業還須負擔基本費用，因此，「交易量很低，平均每筆交易的成本就會非常高。」謝萬禮說道。</p> <p>此外，系統上雲後的服務水準，未必能達到與上雲前相同的標準。對金融業而言，系統要求的服務水準比一般產業更高，特定系統甚至須達到服務不中斷。玉山金控經過一年上雲觀察後發現，系統上雲後，服務水準很難和在地端達到同樣標準，一旦發生問題，衍生的費用也是一大開銷。因此，「想要高服務水準，地端也許是比較好的選擇。」謝萬禮坦言。</p> <p>不過，針對特定情況，採用混合雲的管理方式，有助企業即時應變，同時也可以節省硬體資源開銷。例如，某些系統的交易頻率變動大，當系統爆量時，就能藉雲端進行調度。謝萬禮說明，企業若全以地端部署交易頻率變動大的系統，平時就得準備最高資源應付系統爆量，反之，採混合雲方式部署，平時僅需以適量的硬體設備支援，特定時間再以雲端進行調度。如此一來，才能有效運用雲端資源，適當平衡成本。</p> <p>將系統全部上雲，雖能快速採用新技術來即時擴充，卻可能導致成本超標，顧此失彼。因此，混合雲，是謝萬禮點出金融上雲適合採用的架構，「一般跟銀行業務相關的系統，採取雲地之間的整合。」不過，混合雲的管理模式也是一大課題，例如，系統架構能否快速在雲地端間切換使用，就成為重要關鍵。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/500-%E7%8E%89%E5%B1%B1-%E5%9C%962-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 500px;" /></p> <p><span style="font-size: 22px;"><strong><span style="color: rgb(51, 153, 255);">玉山金控暨玉山銀行資訊長謝萬禮強調，混合雲會是銀行業未來發展的重要架構。</span></strong></span><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>做好架構準備：系統應往PaaS或IaaS的架構設計</strong></span></p> <p>在金融上雲中，移轉機制是一項重要議題。金融機構委外修正辦法就特別規範，金融機構的內部委外辦法中，需訂定與受委託機構終止委託的移轉機制，確保能順利移轉至其他受委託機構，或移回自行處理。</p> <p>因此，企業在選用雲端時，單一系統多半會考慮兩家供應商，針對供應商的長處適時使用。不過，若企業選用雲端業者提供的SaaS服務，則容易因技術綁定而難以移轉。因此，謝萬禮認為，系統應往適合PaaS或IaaS服務的架構設計，較能替換供應商來運用。例如，雲原生架構的系統，就能夠選擇IaaS或PaaS的服務，並在多家供應商間替換。</p> <p>看準快速部署的能力，玉山銀行早在2016年起，就開始打造雲原生技術、微服務架構的新核心系統，並在2020年正式啟用。謝萬禮表示，過去主管機關對上雲的管制較嚴，要將系統直接上雲的溝通成本較高，因此，玉山選擇先做好硬體資源管理，採用私有雲的模式運作，為日後上雲做足準備。如今到了上雲鬆綁的時刻，主管機關相對開放，「我覺得這是一個很好的時機，就可以移轉過來。」謝萬禮說道。</p> <p>目前，包含核心系統和關鍵業務系統，玉山約七成以上系統已具備上公有雲的準備。玉山正在制定內部的雲端治理框架，評估適合上雲的系統，及系統適合採用雲端資源的時間等。</p> <p><span style="font-size:28px;"><strong>建立上雲機制：不以單一系統上雲進行成本效益評估</strong></span></p> <p>玉山上雲準備可分為兩步驟，先訂定治理框架，再進行成本效益評估。謝萬禮解釋，若只以個案方式規畫，難以顧及成本的平衡、資安風險和發展策略。今年底，玉山預計訂妥上雲治理框架，最快明年陸續展開上雲計畫。</p> <p>針對治理框架，玉山將董事會設為雲端治理的最高決策單位，負責制定雲端治理政策，重點包含，雲端服務安全管控原則、治理規範及程序、組織與權責等，各權責單位將會依董事會訂定的雲端治理政策分層負責推動執行。</p> <p>有了治理框架，下一個重點就是成本評估。對比過去管理地端，謝萬禮認為，評估上雲不能以單一系統計算成本，而要以長期且多個系統來估算整體持有成本（TCO）。一來，網路流量基本費和轉換費都屬高成本，二來，只要涉及混合雲模式，就需額外負擔移轉和資安成本。因此，他認為，可針對一年、三年或五年內需上雲的系統，來估算整體成本，以進行適當評估。</p> <p>不過，玉山評估現階段累積的資料還不夠齊全，除了雲端租賃成本，還有儲存空間、網路傳輸和資安成本都須納入計算，資料繁雜，難以估算出精確成本。謝萬禮解釋：「假設一年投資10億元，有100套系統使用，每一套系統到底要分攤多少，就是一個挑戰。」因此，玉山現行的成本評估機制是以長期規畫作為主要制定方向。</p> <p>未來，玉山將先以一套員工每日都會使用，且峰值明顯的行內服務系統作為試驗，驗證雲端平臺服務在安全、維運、自動化、資源管理、治理、合規性、工具和帳戶結構等領域設計是否完善，之後再依系統上雲的合適性逐步擴大實施。其中，敏捷與韌性是玉山評估優先上雲的重點，例如透過雲端AI工具快速推出應用服務，或驗證資訊服務備援上雲，以因應突發狀況。</p> <p>此外，雲端服務可靠度（SRE）也是玉山今年的IT重點。玉山將在日常維運中善用IaC（基礎架構程式碼化），也優先於容器平臺導入，以增加開發團隊的工作效率，提升測試及營運環境的一致性和可靠性，增強系統軟體實施的安全性和彈性擴展基礎架構。</p> <p>謝萬禮解釋，以IaC部建私有雲容器平臺，能將任務自動化，提供開發團隊自助化的申請服務，包括環境配置、批次任務、基礎設施管理等，藉此降低人工作業時間，提升工作效率。此外，藉工具來管理程式碼、基礎架構環境的重要數據，可以降低環境差異引起的問題。而將安全性政策自動化套入容器管理平臺中，能更快速、安全地實施系統軟體的週期性版本升級，降低潛在漏洞風險，且所有變更都能被記錄追蹤，有助於安全審查及合規性要求。最後，應用IaC也能快速擴展基礎架構，以應對流量增長的情況，依據實際需求動態調整資源，降低軟體與雲端服務的訂閱成本。</p> <p>「上雲是一種全新的管理跟使用模式。」謝萬禮強調，金融上雲不只是評估能否上雲，或多少系統上雲。金融業需要思考調整應用系統設計，讓系統適時使用雲端資源，而不是一股氣砸下所有成本。「上雲前，還得完成許多基本功。」</p> </div></div></div>
2023/10/20 12:00作者李昀璇https://www.ithome.com.tw/news/159363
金融上雲再次大鬆綁，將掀起金融業新一波加速上雲潮
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>趁著金融科技浪潮和開放銀行浪潮吹進臺灣，金管會在2019年底，第一次鬆綁了金融上雲的規範，以委外管理方式來納管各項金融上雲的核准。</p> <p>金融上雲法規第一次鬆綁，引起各界高度重視，一方面主管機關也希望透過上雲，促使更多金融業者展開IT現代化和數位轉型計畫，另一方面，其他產業的企業，希望金融業成為火車頭，帶動其他產業上雲的發展。</p> <p>但是，4年下來，金融上公雲的案例卻屈指可數，更沒有點燃金融業上雲的熱潮，只有零星火花。</p> <p>根據我們在2019年iThome CIO大調查數據，金融業在2018年時，約有3成業者開始嘗試上雲，不論是導入SaaS、PaaS或IaaS皆有。而金融內部應用也有23%的系統，部署到雲端環境，這個雲包括了公有雲或是私有雲。</p> <p>可是，在今年度的CIO大調查結果卻顯示，累計到2022年為止，使用雲端的金融業者只增加到33.3%，換句話說，在金管會第一次公布上雲規範之後，上雲金融業企業的比例只增加了3.3%，沒有如預期般的爆發成長。</p> <p>甚至，從金融業內部應用上雲的比重來看，不但沒有增加，四年下來，反而還大幅減少了許多。一樣從今年大調查數據來看，2022年，金融業平均只有將12.3%的內部應用系統搬上了雲，比2018年的比重少了快一半。一方面，搬上雲的系統數量沒有增加太多，另一方面，因為金融業這幾年數位業務大幅成長，增加了不少新服務或新系統，整體應用系統的數量增加了，就算金融業維持與2018年時同樣的上雲應用數量，分母增加了，整體比重也會大幅下滑。</p> <p><span style="font-size:28px;"><strong>2019年首度開放金融上雲，按系統逐件申請反成絆腳石</strong></span></p> <p>為何，金管會鬆綁上雲規範的美意，沒有帶動金融業上雲的發展？從多家金控業者過去幾年上雲申請大吐苦水的挫折經驗可以看到，2019年上雲規範的申請流程，成了侷限金融上雲的絆腳石。</p> <p>一位金控高階主管坦言，過去委外作業以「委外廠商」為委外申請核准的對象，同一位業者同時承包多項委外業務時只需申請一次，但是，在2019年版的上雲規範中，改按照「系統」來申請委外核可。每一套系統要上雲，就要重新向主管機關提出一次申請。</p> <p>根據金融業者實際申請情況，當時一件申請案快則半年，慢則可能一年才能得到回覆。一家金控的資訊系統多達二、三百套，每套上雲都走一次申請，得花上十幾年，更大影響是，金管會當時對於雲端技術也相當陌生，更缺乏足夠的監理經驗，每項上雲委外申請案的核准時間不只漫長，且無法預期何時能核准。</p> <p>而且，金管會旗下銀行局、保險局、證期局對上雲的態度也不一致，那時曾有家金融業者申請使用雲端辦公室，3個機關中，2票同意，卻有1票反對，最後上雲計畫告吹。</p> <p>金融者為求謹慎，往往選擇從新應用或新服務，開始嘗試上雲來練兵，而不是先將老舊系統翻新再搬上雲，但是，金融業者苦苦等不到金管會的核准，反過來拖慢了新金融業務的推出時程，這就大大削弱了金融業者上公雲的意願。</p> <p>尤其，當時的規範也有一些實際執行難度很高的要求，例如金管會希望對雲端業者實地查核，金融業者得派人隨同，遠赴日本東京機房檢視相關資料。對雲端業者而言，每一家金融業者的每一次申請，若都得來一次實地查核，也是應接不暇。不論金融業者或雲端業者，雖然多正面肯定金管會2019年上雲規範的解禁，但在執行面卻發生了不少實務上的難題。</p> <p>不過，2019年的金融上雲規範，帶來金融業者最大的激勵是，主管機關對於公雲採取正面鼓勵的態度。這也讓許多金融業者加快IT現代化的腳步，更積極擁抱雲原生技術和發展私有雲架構，找來上雲顧問認真投入資源展開不同形式的練兵，不只累積更多上雲技術能力、培養上雲人才，也積極驗證各種上雲部署方式、雲端資安框架、雲端治理框架的可行性。第一次金融上雲規範，的確加速了金融產業IT現代化的速度，將雲原生和容器技術落地到自家IT架構中。</p> <p>2022年底，金管會公布了「金融資安行動方案」2.0版，其中特別的是增加了核心料資料保存的要求，希望金融機構將核心資料檔案、資料庫加密與分持，再儲存到第三地或是雲端備份。這一項要求，也暗示了金管會希望加速甚至擴大金融機構上雲的腳步，作為第三地或境外保存資料的企圖。但若是繼續維持原有2019版規範，每一項系統儲存到雲端都得申請，無法快速達到這個目標。換句話說，金管會在2022年底就透露出進一步鬆綁上雲規範。</p> <p><span style="font-size:28px;"><strong>金融3業上雲規範終於統一，同步大鬆綁</strong></span></p> <p>一方面，累積了幾年經驗，金管會更熟悉不同金融服務上雲的風險，另一方面，也希望讓金融業當責，自行評估風險高低來考量上雲與否。在2023年3月，銀行局宣布，金融委外上雲辦法將有重大修正，決定放寬境內外雲端委外作業的規定，大幅簡化申請核准的流程，展開相關的草案預告工作。到了8月，不只銀行局，連同保險局和證期局也同時發布委外修正規定，而且以銀行局先前公布的草案為參考，統一金融三業的上雲規範，同步大鬆綁。</p> <p>金管會在2023年的新版委外規範中，最大變革是大幅簡化了上雲申請流程，只有重大消金系統放上境外公雲，需要每件都申請，其餘上雲只要有首例核准，其他銀行即可自行辦理，不用再申請。一般委外項目的範圍則和過去一樣免申請。同時，金管會要求金融機構要負最終責任，讓金融機構當責，自己評估風險等級決定是否上雲，更不用每一件都報部申請。在新版修正辦法中不夠清楚的規範或疑慮，金管會已經盤點各業者的問題，計畫在11月中釋出相關問答集統一回答，例如將公布上雲首例清單，其他銀行免申請就能跟進辦理。</p> <p>2023年第二度上雲規範鬆綁，再次引起金融業者高度興趣，紛紛展開上公雲的行動，各家做法和進展雖有不同，大多以多雲、混合雲為長期目標，再依據各自規模、業務型態、治理能力、IT現代化程度、雲端維運能力的不同，各有不同的上雲路徑或發展策略，已經開始出現新一波的金融上雲潮。</p> <p><span style="font-size:28px;"><strong>金融上雲未來可改善的方向</strong></span></p> <p>不過，三大公雲巨頭在臺雲端機房的建置速度不一，有的先建立服務能量有限的小型在地機房，有得則還沒完成，本土公雲業者的服務類型和技術創新也還不比不上境外公雲，金融上雲的選擇還不夠多元化，這還有待雲端業者加速布局，提出更長期在臺發展的承諾。</p> <p>另一方面，每一家金融機構現在仍須各憑本事，自行評估每一家公雲業者不同產品的風險、合規情況，缺乏統一的衡量標準。不少金控都希望政府出面，仿效美國作法，訂出公版雲端合規標準，要求國內外雲端業者遵循，例如可參考「聯邦政府風險與授權管理計畫」（FedRAMP）這是一套美國政府機關用來衡量雲端產品安全評估、授權和持續監控作法的標準化方法，來建立臺灣自己的標準，讓金融機構更快也更容易選擇合規的雲端供應商和服務。</p> <p>金管會以委外辦法規範金融上雲的作法，也有不盡適用之處，例如在公聽會上就有金融業者提議，直接使用雲端SaaS服務，就像租用現成場地舉辦研討會，金融業者不是將原有業務委外，而是租用現成產品，但仍須依照委外規定執行相關行政作業，這也是值得進一步改善之處。</p> </div></div></div>
2023/10/20 12:00作者王宏仁https://www.ithome.com.tw/news/159370
快速了解金融上雲鬆綁重點QA
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年8月，金管會正式發布了新版金融機構委外辦法，修正部分條文，大幅鬆綁金融上雲的規範，大大簡化了金融機構上雲的申請流程，但是，新版規範不僅僅是鬆綁，還增加了不少規範，我們整理出金融上雲規範大鬆綁的QA，讓你快速掌握新版辦法的重點。</p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> Q </span></span> 這次金融上雲規範大鬆綁有哪些重點?</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> A </span></strong></span> 共三大重點，第一，明定金融機構要以風險基礎方法管理委外作業，以風險高低採取適當管理措施。其次也簡化了委外流程，取消跨境委外一律須申請核准的規範，開放金融機構能以首案通過的方式，辦理金管會核定的其他委外項目，最後一項則是強化監理措施，金管會可視情節要求金融機構終止上雲委託。</p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> Q </span></span> </strong><span style="font-size:28px;"><strong>上雲委外申請如何大鬆綁?只剩哪些項目必須申請?</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span> 新版委外辦法區分出三種上雲申請流程，第一，金融機構將重大性消金系統委託至境外，須向金管會申請核准；第二，新型態委外項目若已有首案核定通過，其他金融機構就可逕行辦理，不用申請，反之，則須要經過核准；第三，金融機構辦理金管會明列的19項一般委外項目，包括資料處理和電子客戶服務等，不用申請。</p> <p>新型態委外項目若尚無首案通過，金管會將以委外項目是否有重大風險或監理考量做為評估標準，因此，金融機構需要提出風險控管相關文件，例如，委外項目風險程度、重大性評估和對受委託機構盡職調查情形等。</p> <p>這次修法針對上雲申請範圍進行大幅鬆綁，境內委外不再受重大性項目需申請核准的規範，跨境委外也僅剩重大性消金業務系統須經過申請核准。</p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> Q </span></span> </strong><span style="font-size:28px;"><strong>如何界定重大性的消金業務系統？</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span> 消金業務是金融機構為個人客戶提供的金融服務，包括存款、放款、匯款、信用卡、金融商品銷售等業務。而在處理前述業務的資訊系統中，委外作業若有服務中斷或資安疑慮，而對金融機構業務營運有重大影響，或有涉及客戶資料安全事件，而對金融機構或客戶權益有重大影響，亦或是其它對金融機構或客戶權益有重大影響的委外作業，都視為重大性。金管會未來將在問答集中增列金融機構判斷委外作業是否具重大性的舉例，供金融機構判斷。</p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> Q </span></span> </strong><span style="font-size:28px;"><strong>消金系統採雲端備份或在境外雲端建置備援系統，須申請核准嗎？</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span> 資料備份不須經過申請核准，但建置備援系統須要。新版辦法說明，金融機構將客戶資料或其程式、資料庫與作業系統的備份儲存在境外公有雲，進行冷備份加密儲存時，不須向金管會申請核准。意即，若客戶資料相關備份檔案儲存在境外公有雲時，無法直接在雲端中使用，而是要在特定系統中還原才可以使用，不影響系統正式、備援環境運行，就不需要經過金管會申請核准。反之，若是直接在境外雲端建置備援系統，具有雲端還原機制和回復業務運作的功能，就需要向金管會申請核准才可使用。</p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> Q </span></span> </strong><span style="font-size:28px;"><strong>境外資料儲存、處理地變更時，金融機構如何辦理?</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span> 委外作業內容和受託機構皆不變，僅變更境外資料儲存、處理地時，金融機構不再需要提供儲存地變更原因、資安及查核權力等說明文件，只要依規範更新作業委外項目的申報資訊，例如委外項目的內容及範圍等資料，並另行評估新增或變更的國家對客戶資訊的保護情形。</p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> Q </span></span> </strong><span style="font-size:28px;"><strong>新版委外上雲增加哪些內控管理需求?</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span> 規範金融機構要訂定使用雲端服務的政策及原則，並增訂第三方查核報告需符合國際隱私保護標準，要求金融機構落實個人資料保護。</p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> Q </span></span> </strong><span style="font-size:28px;"><strong>金融機構是否能以雲端業者提供的資安國際標準認證辦理第三方查核報告？</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span> 可以，但個別金融機構仍應就各自的委外作業項目及雲端應用情形，依風險基礎方法進行查核，並分別提供查核報告。</p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> Q </span></span> </strong><span style="font-size:28px;"><strong>金融機構的內部委外辦法需要因應新辦法進行哪些調整？</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span> 金融機構要在內部委外規範中建立有效的分層治理架構、風險評估架構和內控機制，例如，金融機構應在內部委外規範中載明風險管理措施，包括評估委外風險、降低風險的適當措施、訂定風險評估更新的機制、針對重大性委外風險情境進行測試或演練。</p> <p>這次修法放寬了重大性委外項目上雲須經核准的規範，因此辦法中也明列，金融機構應辨識、評估及管理具重大性的委外作業。不只受委託機構，金融機構也要確保內部人員具有足夠的專業知識，能夠衡量、監督和控制委外風險。</p> <p>金融機構也要訂定終止委託的移轉機制，確保能順利移轉至其他受委託機構，或移回自行處理，並確保原受委託機構留存的資料全數刪除或銷毀，留存刪除或銷毀的紀錄。</p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> Q </span></span> </strong><span style="font-size:28px;"><strong>測試或演練是否可由受委託機構辦理並提供結果？</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span> 可以，但考量委外風險管理屬金融機構和受委託機構共同負責，因此，金融機構仍要針對其管理的部分進行測試或演練。</p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> Q </span></span> </strong><span style="font-size:28px;"><strong>上雲委外若發生事故，誰負全責?</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span> 金融機構可在契約中與受委託機構明定責任分工，但金融機構對作業委外及客戶權益仍負最終責任，因此，金融機構應定期針對雲端業者進行審查，並以風險基礎方法採取適當的控管措施。此外，新版辦法也將委外監督的權責上升至董事會層級，特別點出董事會成員應認知到委外風險，定期監督委外執行情形。</p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> Q </span></span> </strong><span style="font-size:28px;"><strong>金管會可以要求金融機構停止上雲委託嗎？</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span> 可以，當雲端業者有違反委外辦法或其他法令時，金管會可以視情節輕重，通知金融機構依契約規定終止委託，並要求限期改善，或暫停委託直至受委託機構確認改善為止。過去，這條規範僅用來監理部分委外作業，如消金系統委託至境外，但這次修正改採一致性規定，將規範擴大涵蓋到所有委外作業，強化了監理措施。</p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> Q </span></span> </strong><strong><span style="font-size:28px;">新版上雲規範對外國金融機構有什麼影響？</span></strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span> 外國在臺分支的金融機構若要跨境委外重大性消金業務資訊系統，仍要向主管機關提出申請，不過，相較臺灣金融機構，有簡化部分辦理規定。此外，新版規範允許外國在臺金融機構將委外作業交由總機構或區域總部辦理，不過，外國在臺分支機構仍要擔任委外專責單位，掌握總機構或區域總部對委外風險的控管。</p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> Q </span></span> </strong><span style="font-size:28px;"><strong>新版委外辦法適用哪些對象？</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span> 適用的金融機構包括本國銀行及其國外分行、外國銀行在臺分行、信用合作社、票券金融公司及信用卡業務機構。由於金控公司並未辦理金融業務，因此不納入委外辦法的適用範疇。</p> <p>此外，保險局和證期局也在8月發佈適用的新版委外規範，並跟進委外辦法的修正內容，採一致的上雲規範。</p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> Q </span></span> </strong><span style="font-size:28px;"><strong>新版委外辦法的緩衝期有多長?</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span> 考量這次修正辦法中，要求金融機構強化委外作業的風險管理框架，並全面檢視既有委外作業，再依規定向金管會申報相關資訊，因此，新版規範給予一年的緩衝期，金融機構可以在辦法發布一年內，也就是明年8月25日前進行補正。</p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> Q </span></span> </strong><span style="font-size:28px;"><strong>上雲治理和管理是否會成為明年金檢重點之一？</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span> 過去新政策和業務的監理，以場外監理優先，先確保業者落實相關法令遵循，針對上雲新開放的政策，金管會表示，金檢也會持續關注法律落實程度，另外也會協助金融業者導入相關的雲端治理。</p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> Q </span></span> </strong><span style="font-size:28px;"><strong>委外的常見問題問答集預計何時公布？</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span> 委外常見問題問答集預計在11月中公布，且會納入首例得委外項目清單。金管會後續會進行滾動式檢討，透過銀行公會蒐集意見，更新問答集內容。</p> </div></div></div>
2023/10/20 12:00作者李昀璇https://www.ithome.com.tw/news/159371
史丹佛大學發表基礎模型透明度指標，Llama 2以54%居冠
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://hai.stanford.edu/news/introducing-foundation-model-transparency-index" target="_blank">美國史丹佛大學以人為本的人工智慧學院（ Stanford University Human-Centered Artificial Intelligence，Stanford HAI）本周公布了十大基礎模型的透明度指標</a>，其中最高的是Meta的Lama 2，但也只有54%，使得該團隊認為它們全都缺乏透明度。</p> <p>此一研究是由HAI基礎模型研究中心（CRFM）的社會負責人Rishi Bommasani所主導，調查的10款基礎模型包括Meta的Llama 2、BigScience的BloomZ、OpenAI的GPT-4、 Stability AI的Stable Diffusion、Anthropic PBC的Claude、Google的PaLM 2、Cohere 的Command、AI21 Labs的Jurassic-2、Inflection AI的Inflection，以及Amazon Web Services的Titan。</p> <p>基礎模型指的是利用大量資料訓練而成的大型機器學習模型，通常適用於廣泛的任務。Bommasani指出，缺乏透明度一直是數位技術消費者所面臨的問題，例如人們在網路上看到許多騙人的廣告、共乘服務的薪資不明確、讓使用者在不知情的狀況下購買，或者是與內容審核有關的透明度問題，這些問題形成了一個龐大的生態體系，令社交媒體充斥著錯誤與不實資訊。</p> <p>CRFM主任Percy Liang則說，商業基礎模型的透明度對於推動AI政策，或是利用這些模型作出決策的產業及學術界而言非常重要。</p> <p>Stanford HAI總計制定了100項基礎模型的透明度指標，當中約有1/3涉及這些模型是如何建置的，例如訓練資料的相關資訊，建置模型的人力，以及使用的運算資源等，另有1/3與模型本身有關，像是它的能力、可信度、風險或如何緩解風險等，最後的1/3則牽涉到下游如何使用該模型，包括揭露模型分配的公司政策、使用者資料保護、模型行為，以及公司是否替受影響的個人提供補救機會等。</p> <p class="rtecenter"><a href="https://hai.stanford.edu/news/introducing-foundation-model-transparency-index" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1019-The%20Foundation%20Model%20Transparency%20Index-(subdomain-scores)-image%20by%20Stanford%20Center%20for%20Research%20on%20Foundation%20Models.png" style="width: 600px;" /></a></p> <p><a href="https://hai.stanford.edu/news/introducing-foundation-model-transparency-index" target="_blank"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源_Stanford HAI</span></span></a></p> <p>在這些不同範疇的指標中，表現最好的是模型基本資訊（Model Basics ），此一範疇指的是供應商是否揭露了基礎模型的模式、規模、架構，以及中心化的模型文件，其平均透明度為63%。表現最差的則是影響（Impact），該範疇評估了基礎模型是否揭露對下游應用的影響，如使用上的統計、監控，或者是提供補救機制，其平均透明度只有11%。</p> <p>而在十大基礎模型中，Meta的Lama 2以54%的透明度居冠，Stanford HAI還諷刺品牌中含有「開放」（Open）一字的OpenAI卻一點都不開放，它的旗艦模型GPT-4透明度只有48%，顯示它大部分都不透明。GPT-4在此一透明度排行中位居第三，落後BigScience的BloomZ（53%），而Google的PaLM 2則以40%排名第五。</p> <p class="rtecenter"><a href="https://hai.stanford.edu/news/introducing-foundation-model-transparency-index" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1019-The%20Foundation%20Model%20Transparency%20Index-image%20by%20Stanford%20Center%20for%20Research%20on%20Foundation%20Models.jpg" style="width: 600px;" /></a></p> <p><a href="https://hai.stanford.edu/news/introducing-foundation-model-transparency-index" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Stanford HAI</span></span></a></p> <p>Bommasani表示，較低的透明度讓企業更難知道它們能否安全地打造仰賴這些商業基礎模型的應用程式，亦難以令學者依靠這些模型來作研究，也不容易制定政策來控制此一強大的技術，消費者則無法了解模型的限制，或是在受到傷害時尋求補救。</p> <p>總之，Bommasani認為上述十大基礎模型在透明度方面都不及格，而且也不應以目前分數最高的Meta Llama 2作為楷模，而是應該考慮更高的目標，例如滿足其中80或90個以上的指標，且他相信應該至少有一家公司可達到82%。</p> </div></div></div>
2023/10/20 09:15作者陳曉莉https://www.ithome.com.tw/news/159382
領導者如何耕耘團隊文化
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/huan_ying_jin_ru_guan_li_jie_ceng_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">星出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>文化是無形、難以定義的詞彙，特別是在企業裡。如果你在同事之間做個非正式調查，可能十個人就有十種定義。根據我的經驗，文化是組織成員本質的集成。文化的表現，不在於辦公室裡擺的那張乒乓球桌，也不是牆壁的顏色，更不是免費的點心。文化是團隊、組織和企業內部成員的集體能量。我們實際的互動（社群系統），來自團體裡的人所創造的文化。不意外，領導者是文化形成的關鍵。</p> <p>無論你是否注意到，團隊文化是日積月累形成的。理想上，文化的建構是需要刻意經營的工作，但是你知道嗎？無論文化是深思熟慮的設計所塑造的產物，或是漫不經心的慣性所產生的結果，都會影響績效。「先有好文化，才有好成果，」舊金山49人隊的傳奇教練、教練史上的偉大導師比爾・沃爾希（Bill Walsh）如此寫道。「它不是你邁向勝利之路時出現的想法。冠軍在成為冠軍之前就有冠軍的樣子，他們在成為贏家之前，就已經有贏家的表現水準。」</p> <p>根據《高效團隊默默在做的三件事》（The Culture Code）一書作者丹尼爾・科伊爾（Daniel Coyle）的說法，優良的文化可以教，雖然我們往往認為文化固定不變。我們的文化得自周遭的人，人類學家羅伊・安德拉德（Roy D’Andrade）也表示認同：任何人的所知，多半是習自他人。別人的教導可能是正式的，也可能是非正式的，可能是刻意的，也可能是無意的，學習可以透過觀察或規則的教導而來。無論如何達成，結果都是代代相傳的大量學習，稱為「文化」。</p> <p>關於如何建立並維持卓越的文化，油品公司WD-40的執行長蓋瑞・瑞奇（Garry Ridge）就是一個很好的範例。這家只有單一種類產品的公司，在他領導的期間，不曾遣散任何一名員工，員工的留任率是全美平均的三倍。一項全球員工意見調查顯示，WD-40的員工投入度高達93.1％，96％的員工表示信任主管。員工一定覺得自己在一個受到信任、身邊的人都希望他們成功的環境。蓋瑞告訴我：「我們讓領導者承擔栽培員工的責任。」</p> <p>WD-40的文化很重要的一部分，就是領導者對自身弱點誠實不諱。以蓋瑞來說，他從自己在WD-40的成長中學到的最重要一句話就是：「我不知道。」他說：「身為領導者，如果你接受自己不會什麼事都知道的事實，讓自己身邊圍繞著有能力的團隊，並且充分授權，鼓勵他們分享知識，就能創造我們在追求的那種神奇文化。我在聽別人說話時，一向抱持著想要被影響的打算。」</p> <p>蓋瑞以開放的心態傾聽，讓團隊知道他們可以改變事情，對公司發揮影響力。他說：「我從來不覺得自己輸，我不是贏、就是在學。在WD-40，我們不犯錯，我們有學習的時刻。我最重要的學習時刻就是，微管理無法擴張規模。如果我們想要把這個藍黃雙色、有著紅蓋子的罐子賣到全世界去，就必須基於我們存在的根本原因、一套能讓人自主的價值，以及一些容易理解的策略動因，打造我們的文化。那就是我們在做的事。現在，在優秀同仁的努力下，我們的市值從2億5千萬美元成長到16億美元。」</p> <p>蓋瑞證明，在一個競爭激烈、經營艱辛的市場，成為一位以人至上的領導者，不但不是不可能的事，更是最適化的經營方法。他面對吃緊的財務狀況，拒絕用裁員來解決問題。他以創新打開一條通往繁榮的道路，誓言在渡過艱困時期之後，要「至少再多雇用一名員工。」他的格言是：「我不是在這裡幫你打分數的，我是要幫你拿到A的。我在帶員工時，不會把失敗放進我的教導裡。相反地，我創造的文化鼓勵知識分享與持續學習。員工必須感覺到他們在一個受到信任的環境裡，身邊都是希望他們成功的人。我們把栽培員工的責任，放在領導者的身上。」他不認為人是在困苦時期可以說丟就丟的資產。</p> <p><span style="font-size:28px;"><strong>爭取領導的權利</strong></span></p> <p>TED首席策展人克里斯・安德森（Chris Anderson）在「TED精彩演講的祕訣」影片中，把觀念描述成一種資訊，在大腦以相互連結的神經元形態編碼。而觀念的分享，就是讓聽眾的心智重新創造同樣形態的過程。為了有效做到形態的再創造，安德森主張，你必須事先做一些準備工作：「開始在聽眾心裡建構事物之前，你必須得到他們的允許，讓他們歡迎你進入他們的心智。」演說教練蘭斯・薩爾耶斯（Lance Salyers）告訴客戶：「你必須爭取走進聽眾腦袋的權利。他們給予的大腦通行證，一般稱為『注意力』。」</p> <p>領導他人也是一樣，成為「老闆」不足以讓你帶的人給你關注，接納你的意見。在你可以和團隊成員同心協力打造你想要的文化之前，你必須從贏得尊敬開始。《企業》（Inc.）雜誌報導，86％的員工認為，如果他們喜歡自己的老闆，生產力會增加。問題在於，每四個員工就有三個認為，和老闆打交道是工作中最糟糕的一部分。</p> <p>我曾在各級球隊擔任四分衛，我最驕傲的事情之一就是，我為了贏得隊友尊敬所做的努力。身為森特維爾中學校隊史上第一個擔任先發四分衛的新鮮人，我在年少時就經歷了在一個老字號團隊擔任新手領導者的挑戰。為了扮演好這個角色，我非常注重提早到場、竭盡全力訓練、少說話、大方分享功勞，而且永遠願意接受責難。</p> <p>等到我累積一年的資歷，我才開始變成一個比較有聲音的領導者。升高二時，鮑伯・葛瑞格（Bob Gregg）和隆恩・烏爾里（Ron Ullery）兩位教練告訴我，現在是「尋求我的發言權」的時候。他們告訴我：「是時候了，你已經在場上證明你自己。你有成績，現在你必須以你的能力和你的聲音領導。」</p> <p>當我進大學，我也用同樣方法爭取隊友的尊敬。我在森特維爾中學麋鹿隊的最後一場比賽結束後兩天，接受了俄亥俄州牛津市邁阿密大學的入學許可。我打電話給邁阿密大學的助理教練隆恩・強森（Ron Johnson）說：「我想在高中畢業的第二天就搬到牛津市，和歸隊的球員一起訓練。」當時，這不是新進的大一新鮮人會做的事。</p> <p>「你確定嗎？你不想享受一下你進大學前的最後一個暑假？」強森教練對我的想法感到懷疑。</p> <p>「不想，我有目標。如果我在遠離未來隊友的地方自己做訓練，就無法達到那些目標。我想要和他們在一起。」（順便一提，這種做法現在已經非常普遍，幾乎所有新進的大一運動員都要在高中畢業之後立刻到新校園報到。）我成功說服教練，他不但首肯，還幫我聯絡到一些我可以和他們一起住的隊友。</p> <p>高中畢業隔天，我父親和弟弟開車送我到牛津市。在當時算是髒亂的大學宿舍外，我們在淚眼中道別。我現在「進了大學」，要和兩名新隊友同住一個寢室，睡在房裡的備用床墊上。我之所以這樣犧牲，是因為我在那個暑假有兩項重要目標，我認為這兩項目標能夠幫助我達到我的最終目標，那就是成為邁阿密大學校隊的先發四分衛。第一個目標是，我想要以我的成績贏得尊重，而不是我的話語。我想要讓未來的隊友看到，我參加每一場訓練，拚盡全力和他們並肩努力，為接下來的賽季做好準備。第二，我想要知道他們所有人的名字。</p> <p>身為領導者，你必須能夠直視你領導的人的眼睛，對他們說出在他們耳中聽來全世界最美妙的詞語：他們的名字。我就是這麼做的，在那年暑假結束時，我達成了那兩項目標。我這個唯一在兩個月前提早離家、和他們在炎炎夏日一起熬過訓練的新鮮人，與隊友建立了真正的友誼，贏得他們的尊敬。<strong><span style="color:#696969;">（本文摘錄整理自《歡迎進入管理階層》第三章，星出版提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600_%E6%AD%A1%E8%BF%8E%E9%80%B2%E5%85%A5%E7%AE%A1%E7%90%86%E9%9A%8E%E5%B1%A4_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%98%9F%E5%87%BA%E7%89%88.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_星出版</span></span><br /> <strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 歡迎進入管理階層：從一流工作者成長為卓越領導者</strong>（Welcome to Management: How to Grow from Top Performer to Excellent Leader）<br /> 萊恩・霍克（Ryan Hawk）／著；周宜芳／譯<br /> 星出版<br /> 定價：400元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/200_%E5%9C%962_%E6%AD%A1%E8%BF%8E%E9%80%B2%E5%85%A5%E7%AE%A1%E7%90%86%E9%9A%8E%E5%B1%A4_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.jpg" style="width: 170px;" /></p> <p><a href="https://tinyurl.com/yweqc6fz" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Amazon</span></span></a><br /> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span><br /> <strong>萊恩・霍克（Ryan Hawk）</strong><br /> 主題講者、作家、顧問，以及播客節目《學習型領導者》（The Learning Leader Show）主持人。《學習型領導者》節目被《富比士》（Forbes）雜誌譽為「當代最具量能的領導力播客節目」，並獲《企業》（Inc.）雜誌肯定，入選為「有助於提升領導智商的五個播客節目」。這個節目做過數百場與暢銷書作家、世界知名企業領導人、運動家和軍事領袖的專訪，擁有遍及全球超過150國數百萬名的聽眾。<br /> 身為布梅顧問公司（Brixey & Meyer）領導力諮商事業部門的主管，霍克是《財富》500大企業經常邀約演講的對象。他也與NFL（美國國家美式足球聯盟）、NBA（美國國家籃球協會）、NCAA（美國國家大學體育協會）合作，並且主持「學習型領導圈」（Learning Leader Circles），為新手與資深領導者提供結構化的指引和協同合作的反饋。</p> </div></div></div>
2023/10/20 09:00未署名https://www.ithome.com.tw/article/159331
針對10月初發生的資料外洩事故，友訊科技提出進一步說明
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據<a href="https://www.bleepingcomputer.com/news/security/d-link-confirms-data-breach-after-employee-phishing-attack/">資安新聞網站Bleeping Compuer報導</a>，有人宣稱竊得臺灣網路設備廠商友訊科技（D-Link）的網路管理軟體D-View的原始碼，並握有該公司300萬用戶資料，在駭客論壇兜售，<a href="https://supportannouncement.us.dlink.com/announcement/publication.aspx?name=SAP10359">該公司也在10月2日證實資料外洩情事</a>。</p> <p>友訊表示，他們知悉此事並委由趨勢科技進行調查，表示上述人士取得資料的來源，是該公司測試實驗室當中的產品註冊系統，駭客對其員工發動網路釣魚攻擊，進而存取該公司內部網路環境。而這些存放在註冊系統上的資料，源自2015年已結束生命週期（EOL）的D-View 6，約有700筆，大部分資料為低敏感或半公開的資訊組成，該公司評估現有客戶不太可能受到影響。不過，針對駭客聲稱握有D-View原始碼一事，他們並未澄清實際的情況為何。</p> <p>我們也在昨日引述該新聞網站的內容<a href="https://www.ithome.com.tw/news/159336">進行報導</a>，友訊向我們反映該媒體報導內容與事實有落差，今天獨家向我們提出進一步說明，關於發生的狀況，他們提出兩點說明。</p> <p>第一，D-View的程式碼並未遭竊。<br /> 第二，資料外洩的範圍，是2015年底就已下架的D-View 6會員註冊網站用程式碼，內容為過期的備份資料，多為半公開、低敏感資料；2016年後的D-View用戶權益，未受影響。</p> <p>從該公司新的說明來看，他們首度證實的確有程式碼外洩的情況，但外流的並非駭客宣稱的D-View原始碼，而是舊的會員註冊網站的程式碼。</p> <p>而針對該公司日前因生產的網路設備、網路攝影機漏洞遭到利用，引發外界疑慮的情況，他們也提出兩點說明。</p> <p>第一，過往被針對的設備，多為已經達到或即將生命週期結束（EOL）的產品，而且，該公司在2020年10月通過IEC62443-4-1產品安全開發流程認證之後，設備安全有明顯改善。<br /> 第二，對於美國聯邦貿易委員會（FTC）於2017年控告友訊路由器及攝影機軟體安全性不足一事，該公司強調是在幾乎確定他們勝訴的情況下，FTC主動提出和解，協議條件與稽核報告時效最短，為其他公司的一半。</p> </div></div></div>
2023/10/19 20:34作者周峻佑https://www.ithome.com.tw/news/159381
金管會正式發布金融業運用AI原則，放寬業者使用AI皆須人為判斷的一致性規範
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會10月17日正式發布金融業運用人工智慧之核心原則與相關推動政策，包含6項核心原則及8項配套政策，金管會綜合規劃處處長胡則華說明原則相較草案的部分修正處，包含，修改業者使用所有AI工具時，都須進行人為判斷的原則，修正AI系統定義，和新增生成式AI定義。另外，8項配套政策並未進行修正。</p> <p>這次發布的原則相較8月宣布的草案，共修正五處內容。草案中曾提及，金融機構如運用生成式AI協助進行決策，不宜將其產生的資訊作為判斷或決策的唯一依據。這條原則曾造成外界誤解，認為使用非生成式AI就可以作為判斷或決策的唯一依據，因此將該句刪除，改為金融機構使用AI應以風險為基礎做出適當決策和監督。胡則華解釋，由於金融業運用AI的案例不少，較為簡單的AI工具，如客服機器人，未必需要進行最後的人為判斷或決策，因此進行這項修正。</p> <p>雖然不必在使用每個AI工具時，都進行最終人為判斷，金管會仍認為，金融機構最初在設計AI工具時，就要放入相關管控機制，因此，原則也要求金融機構在處理生成式AI產出資訊時，要就風險進行管控。此外，考量金融機構非使用AI時，也未必都能達到公平，因此，正式原則也放寬使用AI系統時，要確保對所有人公平的規定，改為要求金融機構盡可能避免演算法的偏見造成不公平。</p> <p>金管會這次發布也放寬了金融機構運用AI系統向客戶提供金融服務時，應提供退出AI服務選項，或給予人工替代方案的規定，改為提醒客戶是否有替代方案即可。此外，針對使用生成式AI辦理業務時，應適當揭露的規定，胡則華說明，過往金管會制定這條規範，目的是讓金融機構在提供金融服務時，客戶能了解談話對象是AI，而非真人，不過，有業者反映，部分使用AI的業務是面向內部員工，因此，金管會修正這項原則，改為金融機構使用AI與消費者直接互動時，才應適當揭露。</p> <p>此外，金管會也修改了原則中對AI的定義，改以經濟合作暨發展組織(OECD)的「AI系統」定義為準，並依據歐盟的人工智慧法草案，定義生成式AI為特別用以生成具有不同自主程度之文章、圖像、音訊或影片等內容的AI系統。</p> </div></div></div>
2023/10/19 17:37作者李昀璇https://www.ithome.com.tw/news/159380
【資安日報】10月19日，互動式運算平臺Jupyter Notebook遭到鎖定，駭客部署惡意程式，從中挖礦並盜取雲端…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在程式開發與資料科學領域常用的Jupyter Notebook，傳出遭到網路攻擊鎖定的情況，<a href="https://www.ithome.com.tw/news/157762#pyloose">今年7月有人將其用於散布惡意程式PyLoose</a>，將這種伺服器拿來挖礦牟利，如今針對這類運算平臺的攻擊行動再度出現。</p> <p>資安業者Cado揭露的Qubitstrike，正是這種型態的惡意行為，但不同的地方在於，駭客除了將伺服器的運算資源拿來挖礦，也企圖找尋組織的雲端服務帳密資料，進一步擴大危害的範圍。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="http://www.cadosecurity.com/qubitstrike-an-emerging-malware-campaign-targeting-jupyter-notebooks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">攻擊行動Qubitstrike鎖定Jupyter Notebook伺服器部署惡意程式，竊取AWS、Google Cloud帳密</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Qubitstrike4-32.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Qubitstrike4-32.png" style="width: 300px; float: right;" /></a>資安業者Cado揭露鎖定Jupyter Notebook的攻擊行動Qubitstrike，駭客疑似透過物聯網搜尋引擎Shodan，尋找曝露在網際網路上的Jupyter Notebook伺服器下手，手動下達命令，先是確認處理器的型號，以及能否存取root帳號，並尋找可下手的帳密資料，接著下載、執行以Base64演算法加密的指令碼mi.sh，啟動挖礦軟體XMRig，並植入攻擊者的SSH金鑰，以便持續存取root帳號，隨後部署名為Diamorphine的Rootkit程式，以及竊取AWS、Google Cloud等帳密資料，並透過SSH將這些資訊外流，最終使用Telegram機器人的API回傳給駭客。</p> <p>過程中駭客也利用名為kthreadd的工具清除其他攻擊者的惡意酬載，以及下達netstat指令而關閉其他連線。研究人員指出，駭客運用即時通訊軟體Discord做為C2，並透過程式碼代管平臺Codeberg存放惡意軟體，而使得攻擊行動更難被察覺。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/10/18/multiple-north-korean-threat-actors-exploiting-the-teamcity-cve-2023-42793-vulnerability/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客組織利用CI/CD系統TeamCity漏洞發動供應鏈攻擊</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fig5-Diamond-Sleet-SLL-search-order-hijacking.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig5-Diamond-Sleet-SLL-search-order-hijacking.png" style="width: 300px; float: right;" /></a>微軟針對北韓駭客組織Lazarus（亦稱Zinc、Diamond Sleet），以及旗下團體Andariel（亦稱Onyx Sleet）近期的攻擊行動提出警告，這些駭客的目標是持續整合與持續部署系統TeamCity，因為此系統有個重大漏洞CVE-2023-42793（CVSS風險評分為9.8）。</p> <p>但是，兩組人馬的攻擊手段不同。Lazarus若成功入侵TeamCity伺服器，就會從先前遭駭的其他基礎設施下載後門程式ForestTiger，建立名為Windows TeamCity Settings User Interface的排程工作，以便該後門程式在每次電腦開機後就會執行，截取本機安全認證子系統服務（LSASS）在記憶體存放的帳密資料。此外，這些駭客也有可能透過PowerShell下載惡意DLL檔案，進行DLL搜尋順序挾持（DLL search-order hijacking）攻擊。</p> <p>Andariel則是利用上述漏洞，在受害主機建立新的使用者帳號並加入管理員群組，接著，從駭客的基礎設施下載惡意酬載HazyLoad，停止TeamCity服務並透過LSASS，以及其他作案工具，並且搜刮目標主機的各式帳密及資料。</p> <p><a href="https://blog.google/threat-analysis-group/government-backed-actors-exploiting-winrar-vulnerability/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國、俄羅斯駭客利用壓縮軟體WinRAR漏洞於受害電腦執行任意程式碼</span></strong></a></p> <p></p> <p>上週資安業者DuskRise發現俄羅斯駭客利用壓縮軟體WinRAR漏洞CVE-2023-38831發動攻擊，有研究人員指出，有多個駭客組織跟進利用這項漏洞。Google旗下的威脅情報小組（TAG）指出，他們偵測到俄羅斯駭客組織Sandworm（亦稱FrozenBarents）、APT28（亦稱FancyBear、FrozenLake），以及中國駭客組織APT40（亦稱IslandDreams）的攻擊行動。</p> <p>Sandworm於9月初假借烏克蘭無人機軍事訓練招生的名義寄送釣魚郵件，散布竊資軟體Rhadamanthys，收集瀏覽器帳密及連線階段（Session）資訊；APT28則是針對烏克蘭政府官員下手，假冒智庫發送釣魚信，攻擊該國能源基礎設施（CI），引誘下載惡意壓縮檔，於受害電腦植入PowerShell指令碼Ironjaw；而對於APT40的漏洞攻擊行動，該組織針對巴布亞紐幾內亞的民眾散布釣魚郵件，信件內容包含Dropbox下載連結，若依裡面的指示開啟網址，會取得含有上述漏洞的ZIP壓縮檔，有可能導致電腦被感染後門程式Boxrat。</p> <p><a id="d-link" name="d-link"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對10月初發生的資料外洩事故，友訊科技提出進一步說明</span></strong></a><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);"></span></strong></p> <p></p> <p>根據<a href="https://www.bleepingcomputer.com/news/security/d-link-confirms-data-breach-after-employee-phishing-attack/">資安新聞網站Bleeping Compuer報導</a>，有人宣稱竊得臺灣網路設備廠商友訊科技（D-Link）的網路管理軟體D-View的原始碼，並握有該公司300萬用戶資料，在駭客論壇兜售，<a href="https://supportannouncement.us.dlink.com/announcement/publication.aspx?name=SAP10359">該公司也在10月2日證實資料外洩情事</a>。</p> <p>友訊昨日向我們反映該媒體報導內容與事實有落差，今天提出進一步說明，關於發生的狀況，他們提出兩點說明。</p> <p>第一，D-View的程式碼並未遭竊。<br /> 第二，資料外洩的範圍，是2015年底就已下架的D-View 6會員註冊網站用程式碼，內容為過期的備份資料，多為半公開、低敏感資料；2016年後的D-View用戶權益，未受影響。</p> <p>從該公司新的說明來看，他們首度證實的確有程式碼外洩的情況，但外流的並非駭客宣稱的D-View原始碼，而是舊的會員註冊網站的程式碼。</p> <p>而針對該公司日前因生產的網路設備、網路攝影機漏洞遭到利用，引發外界疑慮的情況，他們也提出兩點說明。</p> <p>第一，過往被針對的設備，多為已經達到或即將生命週期結束（EOL）的產品，而且，該公司在2020年10月通過IEC62443-4-1產品安全開發流程認證之後，設備安全有明顯改善。<br /> 第二，對於美國聯邦貿易委員會（FTC）於2017年控告友訊路由器及攝影機軟體安全性不足一事，該公司強調是在幾乎確定他們勝訴的情況下，FTC主動提出和解，協議條件與稽核報告時效最短，為其他公司的一半。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://securityaffairs.com/152645/hacking/synology-diskstation-manager-admin-account-takeover.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">群暉網路設備作業系統DiskStation Manager存在漏洞，管理員帳號有可能遭挾持</span></strong></a></p> <p></p> <p>資安業者Claroty本週揭露群暉NAS作業系統DiskStation Manager（DSM）的漏洞CVE-2023-2729，是他們先前參與漏洞挖掘競賽Pwn2Own所找到的。這項弱點出現於不安全的JavaScript功能Math.random()，用途是產生NAS設備的管理員帳號。</p> <p>在特定情況下，攻擊者有可能藉此取得足夠的資訊，還原虛擬亂數產生器（Pseudorandom Number Generator，PRNG）的種子初始值，從而重組管理員的密碼，進而掌控NAS，CVSS風險評分為5.9，影響執行DSM 7.2版作業系統的設備。</p> <p>對此，群暉獲報後於6月發布資安通告，指出該漏洞影響DSM 6.2、DSM 7.0、DSM 7.1、DSM 7.2，以及DSMUC 3.1，他們針對DSM 7.2推出7.2-64561版修補，並表明其他受影響版本將不予處理，但並未說明原因。</p> <p>資料來源</p> <p>1. <a href="https://claroty.com/team82/research/synology-nas-dsm-account-takeover-when-random-is-not-secure">https://claroty.com/team82/research/synology-nas-dsm-account-takeover-when-random-is-not-secure</a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.synology.com/zh-tw/security/advisory/Synology_SA_23_07" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--1469235863" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.synology.com/zh-tw/security/advisory/Synology_SA_23_07</span></a></p>  <p><a href="https://www.securityweek.com/oracle-patches-185-vulnerabilities-with-october-2023-cpu/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Oracle發布2023年第4季更新，修補185個漏洞</span></strong></a></p> <p></p> <p>10月17日Oracle發布2023年10月重大修補更新（CPU），總共提供了387個修補程式，當中有40個針對重大漏洞而來，逾200個緩解未經身分驗證就能遠端利用的漏洞。資安新聞網站SecurityWeek指出，這份公布涵蓋185個具有CVE編號的漏洞，有不少同時存在多種產品。</p> <p>從產品被修補的漏洞數量來看，本次修補最多的產品是Financial Services Applications，總共修補103個漏洞，其中有49個可被遠端利用，且無須通過身分驗證；其次是Oracle Communications，本次揭露與修補91個漏洞、當中的60個需儘快處理，因為攻擊者可在未經身分驗證的情況下，遠端觸發漏洞。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/hacker-leaks-millions-of-new-23andme-genetic-data-profiles/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">基因檢驗業者23andMe傳出資料外洩，410萬筆記錄流入駭客論壇</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/ukrainian-activists-hack-trigona-ransomware-gang-wipe-servers/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">烏克蘭駭客對勒索軟體Trigona下手，破壞其基礎設施</span></span></strong></a></p> <p></p> <p><a href="https://thehackernews.com/2023/10/lazarus-group-targeting-defense-experts.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">國防專家遭北韓駭客Lazarus鎖定，假借採訪名義散布木馬化VNC應用程式</span></span></strong></a></p> <p></p> <p><a href="https://securelist.com/updated-mata-attacks-industrial-companies-in-eastern-europe/110829/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">東歐工業組織遭到後門程式框架Meta攻擊</span></span></strong></a></p> <p><a href="http://www.mandiant.com/resources/blog/remediation-netscaler-adc-gateway-cve-2023-4966"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">本月修補的Citrix NetScaler漏洞傳出8月就被用於攻擊行動</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159361"><strong>【10月18日】使用Telegram、AWS、阿里雲的開發人員遭到鎖定，駭客透過PyPI套件發動供應鏈攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159329"><strong>【10月17日】駭客假借提供以色列民眾空襲警報應用程式，意圖搜括安卓手機用戶各式資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159306"><strong>【10月16日】 Skype用戶注意！駭客利用外洩帳號發送訊息，透過內嵌VBA指令碼的檔案散布惡意程式DarkGate</strong></a></p> </div></div></div>
2023/10/19 16:54作者周峻佑https://www.ithome.com.tw/news/159379
台灣大哥大以AI 2.0技術優化智能客服機器人，提高對用戶提問的理解及回答正確率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>台灣大現有700多萬行動用戶，近期公平交易委員會終於通過台灣大哥大與台灣之星合併案，未來兩家業者完成合併之後，旗下行動用戶規模將一舉提高至近千萬，勢必增加客服工作量。近期台灣大哥大分享科技轉型部分成果，針對客戶服務方面，運用大型語言模型等AI 2.0技術，來提升智能客服機器人對用戶提問的理解，以及回答的正確率。</p> <p>目前台灣大每月約有149萬次的用戶需求進線到客服中心，為處理如此大量的用戶需求，台灣大哥大的客服中心現有約1,500位真人客服，提供7x24客戶服務，除了真人客服團隊接聽電話，台灣大也透過App、官網、IVR提供客戶自助服務，每個月使用量超過600萬次，通過這些線上客戶自助服務，一方面分擔真人客服的工作量，另方面也能降低服務成本。</p> <p>台灣大也開發智能客服機器人小麥，來分擔真人客服工作，應對用戶每月提出各式各樣問題需求，這個運用AI技術打造的ChatBot，平均每月回覆42萬次提問，滿意度達到95%。</p> <p>然而，客服團隊仍希望通過AI 2.0技術，提升自助服務能力，他們和IT團隊合作，分為兩階段，首先是讓文字服務機器人更善解人意，能夠更精準理解客戶的問題，提供更精準的答覆，其次是增加語音類型的服務機器人，能聽懂客戶的提問，以語音回客戶的問題。台灣大希望以此擴大客戶服務範疇，降低服務成本。</p> <p>台灣大哥大資訊長室資深處長吳竹松指出，從直覺來看，企業會將資料提供語言模型進行優化調整，再讓語言模型來回答用戶的提問，結果發現語言模型生出錯誤答案，因為大型語言模型是天文數量的資料訓練，但企業資料的佔比可能低於1%，語言模型會根據過去學習資料來生成回答內容，因此有很大機率產生錯誤答案。</p> <p>因此，他們改變作法，先將企業的知識點資料庫，轉換為語言模型能運算的向量空間，讓語言模型理解客戶的提問，在向量空間內作信度計算，將信度最高的答案回答出來，確保語言模型能回應正確的回答，而非任意生成回答。如果企業的知識點不足，則利用語言模型善於文字接龍的特性，在後臺擴充知識。</p> <p>吳竹松表示，採用AI 2.0優化後，客服機器人小麥相比先前的技術，對於客戶艱澀難懂的提問，語言模型的回答正確率提高3倍之多，後臺原本將近1萬的知識點，也利用語言模型的文字接龍能力，以每周0.2%的速度持續增加。智能客服機器人經過優化後，客戶的滿意度、回答的正確率皆提高。</p> <p>其次是打造語音型客服機器人，台灣大哥大展示一段AI客服語音對話，運用ASR語音辨識技術，AI客服能辨識用戶提問中所夾雜的國台語、英文，且能辨識企業服務的特殊用語，來正確回應客戶的問題。另外，還展示運用語音生成技術，以真人的語音資料，展示能模仿真人發聲的模型，可控制說話的音調及語速快慢。</p> <p>吳竹松表示，在開發AI 2.0的客服機器人過程中，企業面臨許多的挑戰，這些挑戰可歸類為4類，第一是挑選適合的語言模型，如何訓練及運用模型，第二是讓訓練好的語言模型和企業應用整合，第三是如何在企業有限的預算下，使用GPU運算訓練模型，第四個挑戰則是從文字型的ChatBot，發展語音ChatBot。</p> <p>台灣大將自身經驗及服務，整合打包為AI 2.0方案，為AIaaS（AI as a Service）的一站式服務，包括在底層的基礎架構方面，提供多雲、混合雲架構的GPU運算，企業可選擇使用的LLM模型，例如台智雲的FFM（Formosa Foundation Model），台灣大也與台智雲合作，按Token使用計算費用。此外，也提供Tool Kit工具，以及ASR語音辨識、TTS語音生成工具。</p> </div></div></div>
2023/10/19 15:25作者蘇文彬https://www.ithome.com.tw/news/159375
歐洲央行將於11月邁入數位歐元的準備階段
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>負責制定歐元體系決策的<a href="https://www.ecb.europa.eu/press/pr/date/2023/html/ecb.pr231018~111a014ae7.en.html" target="_blank">歐洲央行管理委員會（Governing Council of European Central Bank，ECB）周三（10/18）宣布</a>，已結束為期兩年的數位歐元調查階段，將於11月1日邁入同樣為期兩年的數位歐元準備階段，可望制定數位歐元的正式規則，並遴選開發數位歐元平臺及基礎設施供應商。</p> <p>同一天歐洲資料保護委員會（European Data Protection Board，EDPB）與歐洲資料保護監管機關（European Data Protection Supervisor，EDPS）<a href="https://edpb.europa.eu/news/news/2023/digital-euro-ensuring-highest-data-protection-and-privacy-standards_en" target="_blank">即共同發表了意見</a>，針對數位歐元的個人資料及隱私保護提出了建議。</p> <p>歐洲央行是在2021年的7月宣布啟動數位歐元專案（Digital Euro Project），第一階段是為期兩年的調查，探索數位歐元的設計與分派問題，<a href="https://www.ecb.europa.eu/paym/digital_euro/investigation/profuse/shared/files/dedocs/ecb.dedocs231018.en.pdf" target="_blank">調查報告</a>已於本周出爐，並已根據調查結果設計了一款數位歐元，將由諸如銀行等受到監督的機構負責分派，並讓公民與企業方便存取。</p> <p>該設計將數位歐元視為現金的數位形式，適用於歐元區的所有數位支付，免費供基本使用且容易取得，亦同時支援在線與離線使用，具備最高等級的隱私，讓使用者可立即以銀行資金結算付款，可應用在政府交易、電子商務、銷售端或是個人之間的匯款。</p> <p>至於即將於11月進入的準備階段則將確定數位歐元的規定，遴選開發數位歐元平臺與基礎設施的供應商，也會展開各種測試與實驗以開發一款同時符合歐元體系及使用需求的數位歐元，例如使用者經驗、隱私、金融包容性及環境足跡等。之後再決定是否進入下一個階段。</p> <p>ECB表示，進入準備階段與是否發行數位歐元無關，數位歐元的發行必須在歐盟完成相關立法之後，再由ECB接手審理。此外，歐洲央行也強調，數位歐元將與實體現金並存，人們將永遠可使用實體現金。</p> <p>而EDPB與EDPS兩大歐洲資料保護機構則趕在規則制定之前，共同提出了許多建議，以確保未來的數位歐元符合個人資料及隱私保護的最高標準。包括建議僅處理數位歐元用戶的必要個人資料，避免歐洲央行或其它國家的央行過度集中個人資料；並應部署隱私門檻，不追蹤離線交易與低價的線上交易，以避免個人隱私在反洗錢及反資助恐怖主義的政策下遭到危害。</p> </div></div></div>
2023/10/19 15:47作者陳曉莉https://www.ithome.com.tw/news/159376
網飛營收成長7.8%，即日起調漲美國、英國及法國費率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大影片串流平臺網飛（Netflix）周三（10/18）公布<a href="https://s22.q4cdn.com/959853165/files/doc_financials/2023/q3/FINAL-Q3-23-Shareholder-Letter.pdf" target="_blank">今年第三季財報</a>，顯示該季網飛營收成長了7.8%，達到85億美元，每股盈餘為3.73美元，付費會員數則增加了10.8%，達到2.47億人，同一天也宣布調漲美國、英國及法國特定方案的費率，由於財報超乎預期，使得網飛當天盤後大漲12.51%，股價達到389.651美元。</p> <p>網飛表示，該季的營收高於原本的預期，主要是因為該季淨增的付費人數達到876萬，遠高於去年同期的241萬，這有賴於付費共享政策在全球市場的推動，而該季創下了22.4%的營業利益率，亦高於先前所預期的22.2%。</p> <p>網飛是在<a href="https://www.ithome.com.tw/news/156466" target="_blank">今年第二季</a>著手於全球市場部署付費分享政策，要求那些與未同住親友分享帳號的用戶必須額外支付分享費用。網飛表示，從這兩季的表現看來，因應該政策而取消訂閱的用戶反應低於預期，從分享他人帳號轉成付費用戶則展現了良好的保留率，使得網飛在每個地區的營收都呈現正成長。</p> <p>此外，即日起網飛也將調整美國、英國與法國的費率。其中，美國的廣告與標準方案將維持在6.99美元及15.49美元，但基本（Basic）方案將從9.99美元漲至11.99美元，高級（Premium）方案則從19.99美元漲至22.99美元。</p> <p>同樣的，英國與法國的廣告及標準方案價格維持不變，但英國的基本及高級方案分別漲至7.99英鎊與17.99英鎊，法國的基本與高級方案則漲至10.99歐元與19.99歐元。</p> <p>至於<a href="https://www.ithome.com.tw/news/153633" target="_blank">上線</a>不到一年的廣告版服務目前尚未對網飛帶來太多營收，但網飛對該服務依然抱持著樂觀的態度，指出排除中國及俄羅斯市場，全球廣告市場規模高達1,800億美元，相信隨著時間的推移，未來將會替網飛帶進數十億美元的營收。</p> </div></div></div>
2023/10/19 14:38作者陳曉莉https://www.ithome.com.tw/news/159374
Amazon明年要在英國與義大利部署無人機送貨服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/operations/amazon-prime-air-drone-delivery-updates" target="_blank">Amazon今日（10/19）宣布</a>，去年底開始於德州College Station與加州Lockeford實施的無人機送貨服務，將在明年擴大至美國第三個州，以及英國及義大利市場，也將以全新的MK30無人機來取代現行的MK27-2。<a href="https://www.aboutamazon.com/news/retail/amazon-pharmacy-amazon-air-prescription-drone-delivery" target="_blank">另也宣布</a>College Station地區用戶將可選擇以無人機來遞送於Amazon Pharmacy所購買的藥物。</p> <p>Amazon是在去年12月啟用無人機送貨服務，但迄今也僅限於德州及加州的兩個區域，現在Amazon則準備擴大該服務，於美國第三個州提供無人機服務，並將首度跨出美國市場，在英國及義大利也推出無人機送貨，但預計要到明年底才會實現。</p> <p>隨之登場的則是Amazon所設計的<a href="https://www.aboutamazon.com/news/transportation/amazon-prime-air-drone-delivery-mk30-photos" target="_blank">新一代無人機MK30</a>，除了應用在新市場之外，也會在明年底取代現有的MK27-2。MK30比MK27-2更輕、更小臺，也有更好的天氣耐受度，可於小雨中飛行，噪音只有MK27-2的一半，Amazon宣稱它比居民平常會在鄰里間聽到的聲音更小，且飛行距離是MK27-2的兩倍，將可服務更多的民眾。Amazon並未公布MK30的飛行距離，但外電報導它可飛行9哩（約14.5公里）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1019-Amazon-new%20Prime%20Air%20delivery%20drone-MK30-600.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Amazon</span></span></p> <p>不過，MK30可遞送的包裏重量與MK27-2相當，都是可在一小時內遞送5磅（約2.27公斤）的商品，可能是家用品、日常必需品、美容商品、辦公室商品或科技商品等。</p> <p>以往Amazon只在獨立的Prime Air交付中心部署無人機，但未來將會把無人機整合到傳統的Amazon遞送網路，並將部署於某些當日遞送站。</p> <p>至於College Station的居民則能在Amazon Pharmacy購物並結帳時，選擇以無人機送貨，藥劑師將會確保消費者所選購的藥品可在之後的1小時內送到家門口。</p> <p>無人機送貨服務有賴各國的政策支持，義大利國家民航局（National Civil Aviation Authority，ENAC）局長Pierluigi Di Palma表示，ENAC致力於推動先進空中交通的創新，創造一個有利於新服務發展的生態系統，且義大利的經驗將可用來支援及啟發其它地區的無人機安全經營。</p> <p>而負責航空的英國交通部政務次長Baroness Vere則說，將與Amazon一起推動雙方的共同願景，讓商用無人機在2030年成為普及的英國服務。</p> </div></div></div>
2023/10/19 12:59作者陳曉莉https://www.ithome.com.tw/news/159372
微軟開源雲端原生應用程式開發平臺Radius
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周宣布可開發跨Azure及AWS的雲端原生應用程式的開發平臺<a href="https://cloudblogs.microsoft.com/opensource/2023/10/18/enabling-developer-collaboration-with-radius/" target="_blank">Radius第一版</a>，並開源給開發社群。</p> <p>Radius源自微軟資產生命周期管理軟體Aladdin。微軟指出，Radius是為解決跨本地部署環境、Azure及Amazon Web Services（AWS）應用程式開發、部署及管理任務而設計的單一工具。Radius支援現今最主要的雲端工具，包括Kubernetes、開發工具如Dapr、基礎架構即程式（Infrastructure as code，IaC）語言工具如Terraform及Bicep，也能整合現有程式持續整合及持續交付（CI/CD）系統如GitHub Actions。</p> <p>微軟也公布Radius開源第一版本的功能。Radius的Connections功能可透過權限許可及連線字串自動將元件連結到應用程式，使用一致化的API將App連結到底層資源（如Azure CosmosDB、AWS DocumentDB、或MongoDB）。Recipes功能則可儲存App使用的基礎架構滿足成本、營運和安全要求，並提供應用圖表（graph）顯示App和基礎架構的關聯，提供管理員直覺的管理功能。Radius可幫助開發人員了解所有應用組成元件，並且管理平臺配置，像是權限許可、連線字串等，確保所有App可遵循組織政策，再以Radius管理應用程式及資源。</p> <p>微軟強調Radius支援多種雲端平臺及本地部署。微軟和第三方合作夥伴如BlackRock、Comcast、Millennium BCP合作，以確保Radius能執行在任何雲上。第一版支援Azure及AWS，未來會再增加其他雲端環境的支援，包括Google Cloud、Alibaba Cloud等。</p> <p>開發人員或管理員可透過<a href="https://docs.radapp.io/getting-started" target="_blank">Radius網頁</a>開始使用Radius或取得相關資源。</p> </div></div></div>
2023/10/19 13:10作者林妍溱https://www.ithome.com.tw/news/159373
OpenAI正式開放ChatGPT Bing網頁搜尋，公測DALLE-3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/blog/dall-e-now-available-in-beta" target="_blank">OpenAI周三宣布</a>兩大生成式AI服務新進展，包括文字生成聊天機器人ChatGPT網際網路搜尋服務全面上線，以及文字轉圖片模型服務DALLE-3展開公測。</p> <p>OpenAI首先宣布Browse with Bing功能脫離beta版成為正式功能。這項功能今年6月宣布提供給付費版用戶。新功能讓ChatGPT可透過Bing查詢網際網路即時資訊，包括運動賽事比分、企業股價或氣象等。但上線一周後被發現可用來繞過網路出版商的付費牆而在7月初關閉。<a href="https://www.ithome.com.tw/news/159016" target="_blank">兩周前OpenAI宣布</a>ChatGPT Browse with Bing功能重新上線，提供給ChatGPT Plus及ChatGPT Enterprise用戶。兩類用戶現在不再需要從設定頁切換到beta版，只要GPT-4模型的選擇器中選擇「Browse with Bing」即可使用Bing網路搜尋。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0928-openai-browse%20with%20bing.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_OpenAI</span></p> <p>9月時OpenAI曾預告，這項功能最後開放給所有用戶。</p> <p>此外，讓用戶輸入文字生成圖片的生成式AI模型DALL-E 3，也在本周稍早開放beta版公測。<a href="https://help.openai.com/en/articles/6825453-chatgpt-release-notes" target="_blank">DALL-E 3於7月以邀請制</a>展開限定測試，當時找了100萬人。經過3個月的測試，現在DALL-E 3提供所有人公測，DALL-E 3已整合到ChatGPT，允許用戶輸入小從簡單一句話到詳細的文字段落，由ChatGPT生成圖片。在桌機版或手機版上，到GPT-4選擇器選擇DALL-E 3即可啟用這項功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0921-DALL%C2%B7E%203-OpenAI-960.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_OpenAI</span></p> </div></div></div>
2023/10/19 11:36作者林妍溱https://www.ithome.com.tw/news/159367
中俄國家駭客涉嫌濫用WinRAR零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全研究人員發現，知名檔案壓縮軟體WinRAR稍早被發現的零時差漏洞，之後仍然被俄羅斯及中國國家駭客濫用發動攻擊。</p> <p><a href="https://www.ithome.com.tw/news/158421" target="_blank">安全廠商Group-IB 7月偵測到</a>，WinRAR編號CVE-2023-38831的漏洞遭駭客濫用，用以散布DarkMe等惡意程式。攻擊者可以製作惡意.ZIP或.RAR壓縮檔，當中包含無害檔案（例如.jpg、.txt或PDF檔等）及惡意執行檔，並以無害檔名為資料夾命名。當使用者點擊並試圖解壓縮看似合法的檔案時，即被安裝惡意程式。安全廠商偵測到，CVE-2023-38831最早從今年4月開始被濫用，針對加密貨幣交易用戶進行攻擊，旨在感染裝置取得交易平臺帳密，藉以竊取財物。WinRAR維護單位RARLab在接獲安全廠商通報後，已在7月20日發布WinRAR 6.23版本解決本漏洞，也呼籲用戶應儘速更新到最新版本。</p> <p>尚未修補的用戶要格外留意了，因為<a href="https://blog.google/threat-analysis-group/government-backed-actors-exploiting-winrar-vulnerability/" target="_blank">Google威脅分析小組（Threat Analysis Group，TAG）接連偵測</a>到三組國家駭客持續在濫用CVE-2023-38831。首先是FROZENBARENTS，它隷屬於俄羅斯軍方，又稱為Sandworm。Sandworm/Frozenbarents目標向來是政府、國防、能源、運輸等組織。9月初這個組織散發假冒烏克蘭無人機軍事訓練學校的招生郵件以散布惡意檔案（下圖）。Sandworm罕見地使用惡意程式即服務Rhadamanthys進行攻擊。不知情的用戶點擊壓縮檔後會被安裝竊密程式Rhadamanthys，後者會蒐集受害者電腦中的瀏覽器帳密及會話資訊。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/Image_4_-_Training_of_drone_oper.width-1000.format-webp.webp" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Google</span></p> <p>TAG另於9月初偵測到稱為FrozonLake（又稱為FancyBear）的駭客組織針對烏克蘭政府官員發動精準網釣攻擊，目標在攻擊該國能源基礎架構。FrozonLake/FancyBear發送冒充烏克蘭智庫的信件，將其導向代管於免費供應商的網站，並誘使其下載惡意壓縮檔。開啟壓縮檔會導致執行名為Ironjaw的PowerShell腳本程式，竊取瀏覽器登入資料，以及本機狀態目錄內的資料。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/Image_6_-_IRONJAW_script_using_P.width-1000.format-webp.webp" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></p> <p>Google研究人員也觀察到中國國家駭客Islanddreams，即APT 40，於8月底濫用CVE-2023-38831網釣攻擊巴布亞紐幾內亞用戶。一旦用戶點擊惡意壓縮檔，即會執行並於電腦記憶體中安裝.NET後門程式Boxrat，藉此在受害者電腦長期潛伏以滲透攻擊。APT40隷屬於中國海南省，目標通常是對「一帶一路」計畫有影響力的國家，然也會鎖定各國政府贊助的專案。不過Google未說明這次APT 40的攻擊目標。</p> </div></div></div>
2023/10/19 11:53作者林妍溱https://www.ithome.com.tw/news/159368
【資安月報】2023年9月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年9月的資安新聞中，國家級駭客組織威脅日益嚴峻的議題，成為最受關注的焦點之一。</p> <p>最讓我們印象深刻就是，我們的iThome總編輯吳其勳在9月中旬應邀前往美國華盛頓特區，參加Mandiant舉辦的mWISE Conference 2023資安防禦會議，直擊了美國政府官員與資安大廠專家們對於當今網路攻擊局勢的看法與解析，當中並探討了中國駭客網攻對國家、企業與民生所帶來的危害與嚴重性。</p> <p>特別的是，身為美國國內的情報與安全機構，也是美國主要聯邦執法機關的美國聯邦調查局（FBI），該單位最高負責人亦現身這場大會，闡述國家級駭客與網路犯罪的問題，並指出中國策畫的駭客攻擊規模，已經遠比其他所有主要駭客國家攻擊規模加總還大，甚至指出FBI所有資安專家面對人數50倍以上中國駭客的局勢。</p> <p>這樣的第一手消息報導，不像往常資安日報所匯整的眾多資安攻擊事件與資訊，多是間接透過研究報告發布而取得，因此也讓應邀參與的我們，以身為長期關注臺灣資安動態的媒體角度，在這場活動當中更深刻感受到，國家級駭客發動大規模網攻的嚴重性。</p> <p>對於臺灣而言，我們多年來飽受中國駭客攻擊威脅，因此這場會議的一些內容，也值得我國政府或企業的一再重視，尤其是聯防、情資與善用AI技術的對抗策略。當然，對於俄羅斯與北韓駭客的網攻威脅，我們同樣也要留意。</p> <h3><strong>面對大50倍的中國駭客人數，FBI局長呼籲公私聯防</strong></h3> <p>具體而言，在這場會議中，除了有多項2023年最新網路威脅趨勢、挑戰與經驗的探討，其中關於講述重大地緣政治事件與新技術需求下，威脅格局的改變的議題上，在今年mWISE Conference 2023大會上有不少這方面的內容，也是我們特別留意的重點。</p> <p>首先，最令我們印象深刻的是，<a href="https://www.ithome.com.tw/news/158829">美國聯邦調查局（FBI）局長Christopher Wray</a>親臨現場，向與會者說明他們正在面對的國家級駭客攻擊挑戰。他指出，隨著中國、俄羅斯、伊朗和北韓的網路攻擊，對全球的威脅持續是有增無減，因此相當需要公部門與民間產業合作，來對抗這些威脅。</p> <p>Christopher Wray表示，自2001年發生911恐怖攻擊事件後，FBI已經體認到，國家安全相當需要依賴合作夥伴關係與情資分享，而要維護網路空間的安全也是如此。</p> <p>但是，現今FBI正面臨著新的嚴峻挑戰，就是中國支持的駭客組織威脅，已帶來網路環境攻防失衡的局勢。</p> <p>例如，Christopher Wray指出，中國政府多年來一直在竊取美國的智慧財產與資訊。他持續向外界告誡此事。</p> <p>更令大家震撼的是，他坦承，「中國駭客人數是FBI所有資安專家的50倍以上」，並表明，若要應付中國的網路攻擊，FBI人力遠遠不足。因此，他強調，公私聯防，情資分享，以及善用AI技術，將會是最重要的對抗策略。</p> <p>同時他也提醒，這些網路犯罪組織和敵對外國政府，現在已經在濫用AI技術，像是生成出深度偽造影片與惡意程式碼。</p> <p>這也讓我們感受到，近年全球都在談資安人才不足的挑戰，隨著全球格局的變化，美國對於網路威脅局勢的憂心更甚以往，從早年網路威脅以俄羅斯與北韓最常見，後續中國也成為主要攻擊者，如今2023年，中國的網路威脅更是已經擴大到，美國FBI局長都在公開場合表明，他們相當憂慮攻防失衡的局勢。</p> <h3><strong>Mandiant示警：中國網攻大轉型</strong></h3> <p>關於實際威脅，我們也看到這家資安業者進一步解析，他們與很多資安廠商再度確認，中國就是危害全球資安的重大禍源。例如，<a href="https://www.ithome.com.tw/news/159116">Google Cloud Mandiant主席Sandra Joyce揭發了今年中國網路間諜行動有所轉變</a>，在一些攻擊事件調查結果中，除了研判是中國政府有關連的UNC4841駭客組織發動，特別的是，在攻擊的目標上，中國駭客不僅是入侵多國政府機關，更開始染指多個民生關鍵基礎設施產業，2022年針對Barracuda ESG產品零時差漏洞（編號CVE-2023-2868）攻擊就是一例，有很多受害者皆是重要的民生關鍵基礎設施產業，而不僅是傳統針對政府機關、軍事國防、航太產業。</p> <p>此外，<a href="https://www.ithome.com.tw/news/159003">Google Cloud Mandiant行政總裁Kevin Mandia也特別揭露，近年來中國的網路攻擊戰略有三大轉變</a>，包括：</p> <p>（一）中國駭客近年逐漸捨棄社交工程手法，轉為更系統性挖掘零時差漏洞（Zero Day），可一次性發動大規模攻擊，帶來更強大的破壞力。</p> <p>（二）不只是有計畫性地挖掘零時差漏洞，並且經常鎖定網通設備，近年已有好幾次攻擊事件，就是中國駭客鎖定知名網通設備的零時差漏洞。</p> <p>而且，以今年情況來看，至9月前發現的62個零時差漏洞攻擊，調查後就發現一大部分是中國駭客攻擊。</p> <p>（三）中國網路攻擊朝向複雜匿蹤方式，主要挾持家用或中小企業路由器、IoT等設備，建構擴及全球的網路攻擊跳板。像是他們調查一美國軍事機構遭駭，首先查到的攻擊來源，是位於美國境內的家用路由器，再往後追查則面對複雜的網路跳接，這讓調查人員進度緩慢或難以溯源追查。</p> <p>綜合來看，國家級駭客組織威脅確實日益嚴峻，而上述提到中國駭客持續鎖定零時差漏洞攻擊的情形，如今也還在持續，以近期關於Confluence的零時差漏洞（CVE-2023-22515）攻擊為例，後續微軟威脅情資中心在10月11日揭露更多調查結果，指出幕後攻擊者是中國駭客組織Storm-0062。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/158662"><span style="color: rgb(178, 34, 34);">【資安週報】2023年9月4日到9月8日</span></a></strong></h2> <p>在這一週的漏洞消息中，最受關注的就是蘋果在7日緊急更新macOS、iOS，修補兩個零時差漏洞：CVE-2023-41064、CVE-2023-41061，揭露消息的加拿大公民實驗室，將這批漏洞鏈稱為BLASTPASS，並強調它們是可透過iMessageu傳送且不用使用者互動的零點擊漏洞，已在8月底發現有攻擊者藉此漏洞遞送Pegasus間諜程式。此外，Google的9月Android例行性安全更新中，也修補一個零時差漏洞CVE-2023-35674，並說明已遭攻擊者成功利用。</p> <p>還要注意的是，今年7月Adobe修補ColdFusion的3個漏洞（2023-29300、CVE-2023-38203、CVE-2023-38204），如今資安業者指出已有針對未修補用戶的攻擊行動。另外，我們在此補充本週資安日報未提及的一個重大漏洞消息。今年5月23日揭露的<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-33246">Apache RocketMQ漏洞CVE-2023-33246</a>，當時已釋出5.1.1版修補，最近<a href="https://vulncheck.com/blog/rocketmq-exploit-payloads">有資安業者發現，6月開始出現持續對此漏洞利用的行為</a>。</p> <p>在國際攻擊活動焦點方面，有6起事件值得關注，涉及勒索軟體、合作供應商遇害，國家關鍵基礎建設遭鎖定，以及網釣等形式的惡意行為。</p> <p>●英國柵欄設備製造商Zaun發布資安公告說明上月初遭勒索軟體LockBit攻擊，該國的軍事要塞採用該公司的產品，但因為駭客發動攻擊而拿到Zaun資料，以及駭客後續流出數千頁資料的影響，引發英國國防機密因合作廠商遭駭而外洩的事件。<br /> ●德國聯邦憲法保護局（BfV）發出報告指出，中國駭客組織APT15、APT31針對路由器、防火牆、NAS、網路印表機、智慧家電等家用IoT裝置的漏洞發動攻擊，接管這些裝置後，再用於向政府機關發動攻擊。<br /> ●烏克蘭電腦緊急應變小組（CERT-UA）揭露當地的能源基礎設施受到攻擊，並指出是遭俄羅斯駭客組織APT28攻擊行動鎖定。<br /> ●韓國資安業者揭露北韓駭客Lazarus旗下組織Andariel鎖定韓國國防工業，自今年開始使用多種惡意程式發動攻擊。<br /> ●有駭客組織GhostSec聲稱取得伊朗IT金融服務及IT服務業者FANAP的原始碼，並指出該公司的軟體被伊朗政府用於監控民眾。<br /> ●資安業者揭露中國駭客發起大規模釣魚簡訊攻擊行動Smishing Triad，攻擊者假冒多個郵政單位名義，透過遭駭的iCloud帳號對使用者發送iMessage訊息。</p> <p>另外，今年5月中國駭客Storm-0558入侵25個使用微軟電子郵件系統的組織，以及今年8月勒索軟體Akira鎖定思科SSL VPN設備的攻擊行動，近期都有更詳細的後續調查公布。</p> <p>而在最新的威脅態勢上，有三起事件值得留意，包括：勒索軟體駭客Ransomed竟以付贖金可免受GDPR巨額罰款的話術來進一步要脅，以及販售多種網釣工具W3LL Store的揭露，還有微軟SQL Server遭勒索軟體FreeWorld鎖定的消息。</p> <p>另有2份個資隱私研究出爐，大家應關注與敦促廠商強化相關防護，一份是針對瀏覽器安全設計的研究，美國的大學研究人員指出，Chrome、Firefox與Safari瀏覽器的安全設計不夠完善，若有心人士結合網站漏洞，可透過瀏覽器外掛程式，存取使用者密碼等機密資料：另一是個資保護政策在汽車品牌業者領域未獲重視，25個品牌均未達Mozilla最低安全標準，最離譜的是，廠商居然表示能蒐集車主的性活動，顯然與車輛無關的個資，卻又未說明如何蒐集。</p> <p>至於防禦態勢方面，在半導體資安、軟體開發與供應鏈安全領域有新動向。首先是SEMI E187資安標準規範，這一週舉行的國際半導體展臺灣場，宣布有首批設備通過合格性驗證，它們分別是均豪精密的AOI自動光學檢測設備，以及東捷科技的OHS空中行走式無人搬運系統：另一個進展是Google Cloud與GitLab宣布擴大合作，未來Google Cloud的開發人員可存取GitLab的DevSecOps平臺，而GitLab的用戶也可存取Google Cloud的軟體供應鏈安全框架SLSA評等，以及軟體物料清單（SBOM）。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/158777"><span style="color: rgb(178, 34, 34);">【資安週報】2023年9月11日到9月15日</span></a></strong></h2> <p>在這一週漏洞利用消息中，有多個零時差漏洞修補要優先重視，分別是：（一）微軟本月安全性例行性更新修補兩個零時差漏洞，包括已被公開且遭成功利用的Word的漏洞CVE-2023-36761，以及已遭成功利用的串流服務相關的漏洞CVE-2023-36802；（二）Google、Mozilla先後修補Chrome、Firefox/Thunderbird漏洞CVE-2023-4863，Google指出此零時差漏洞已被外部人士利用，且所有支援WebP圖像處理的瀏覽器都受影響；（三）Adobe修補的Acrobat與Reader漏洞CVE-2023-26369，修補釋出前同樣已被用於攻擊行動；（四）思科在11日針對多功能網路資安設備ASA、FTD存在零時差漏洞CVE-2023-20269先提供緩解，指出漏洞起因是AAA協定與其他軟體功能缺乏適當區隔，已遭勒索軟體駭客用於攻擊。用戶需注意後續更新修補的釋出。</p> <p>其他重要漏洞修補動向，還包括：SAP、西門子、施耐德電機等業者發布9月份例行更新。</p> <p>在網路威脅焦點上，國內有2起事件引起最多國人關注：首先，彰化肉品市場與台中大安肉品市場發生拍賣系統遭軟體攻擊，系統無法運作使得豬隻拍賣暫停、延遲；其次，大洸醫院機構管理顧問提供的醫指付在這一兩個月內，持續傳出用戶綁訂的信用卡遭海外盜刷情形，近日金管會已請財金公司督促與釐清事件，甚至去年6月就有資安研究人員在HITCON Zeroday通報醫指付App安全漏洞卻未因應的情形也被挖出。</p> <p>在國際間，有5起重大事件成為焦點，其中國際連鎖賭場接連遭駭格外引發關注：<br /> ●MGM米高梅國際酒店集團在9月11日說明遭遇網路攻擊，不僅訂房或查詢只能採傳統電話方式進行，甚至有報導指出吃角子老虎停擺，房卡無法使用。到了14日ALPHV（BlackCat）勒索軟體集團聲稱這起事件是他們所為。<br /> ●連鎖賭場凱撒娛樂（Caesars Entertainment）在9月7日向美國證交所提交8-K文件說明發生資料外洩事件，指出該事件源於公司使用的IT承包商遭社交工程攻擊而導致。另有當地媒體報導指出Caesars遭勒索已支付上千萬美元贖金。<br /> ●微軟威脅分析中心發布東亞數位威脅報告，指出中國對南海國家和臺灣發動廣泛的網路攻擊與認知作戰，並強調中國在認知作戰中正大量使用AI生成更好品質的內容，影響力有擴大跡象。<br /> ●半年前駭客組織鎖定Zoho的漏洞CVE-2022-47966與Fortinet的漏洞CVE-2022-42475，近日美國CISA、FBI與CNMF再發安全通告，說明年初美國航太機構受害，同時揭露攻擊細節、IoC，以及緩解防範的建議。<br /> ●中國駭客組織Redfly鎖定亞洲國家的電網設施攻擊被揭露，攻擊者發動網路間諜攻擊並植入惡意程式ShadowPad。</p> <p>在其他重要威脅態勢上，我們注意到有多起資料外洩事件與供應鏈攻擊有關，也發現近日持續有Mac電腦接連遭鎖定的消息。前者包括：嬌生醫療照護系統因IBM代管的應用系統遭到攻擊，英國曼徹斯特警局因外部供應商遭勒索軟體攻擊，還有軟體臭蟲追蹤公司Rollbar遭駭的消息；後者包含惡意軟體MetaStealer、竊資軟體Atomic Stealer被揭露近期均針對Mac電腦而來。</p> <p>還有一些趨勢值得留意，像是有研究人員指出近期DDoS攻擊，針對金融業攻擊的比例呈現越來越高的趨勢；還有研究人員針對Wi-Fi技術的波束形成回應資訊（BFI）揭露新型態攻擊手法WiKI-Eve。</p> <p>在最新防禦發展焦點上，我們注意到MITRE在9月5日宣布，將開源攻擊模擬工具Caldera延伸到OT環境，新推出MITRE Caldera for OT。另外，我們在此補充本週資安日報未提及的另一防護焦點，9月7日微軟<a href="https://www.microsoft.com/en-us/security/blog/2023/09/07/cloud-storage-security-whats-new-in-the-threat-matrix/">發布儲存服務威脅矩陣（Threat matrix for storage services）第二版</a>，將有助於識別和分析雲儲存服務中資料潛在安全威脅。還有關於PQC演算法升級，我們發現本土廠商網擎資訊開始有具體行動，他們在9月11日表示已開發部署相關防護。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/159014"><span style="color: rgb(178, 34, 34);">【資安週報】2023年9月18日到9月22日</span></a></strong></h2> <p>許多IT廠商在前一週發布9月份例行更新，但在本週的資安新聞裡，有多起漏洞攻擊行動引起研究人員關注，並呼籲企業組織、使用者應儘速修補，這些漏洞包含：</p> <p>（一）8月份Juniper修補的CVE-2023-36845，當時該廠商評估風險等級為中等，但資安業者VulnCheck發現該漏洞嚴重程度被低估，已有駭客嘗試將其用於攻擊行動；</p> <p>（二）開源物件儲存服務MinIO於3月修補的漏洞CVE-2023-28432、CVE-2023-28434，駭客針對DevOps工程師下手，在目標系統植入後門程式Evil MinIO，竄改更新伺服器的網址，然後派送惡意更新；</p> <p>（三）蘋果針對旗下電腦、行動裝置、穿戴裝置，修補零時差漏洞CVE-2023-41991、CVE-2023-41992、CVE-2023-41993，這些由加拿大公民實驗室與Google威脅情報小組（TAG）通報的漏洞，已被用於攻擊iPhone裝置；</p> <p>（四）趨勢科技針對旗下端點防護產品Apex One、Worry-Free Business Security（WFBS）漏洞CVE-2023-41179發布公告，已有攻擊行動出現，引起日本電腦網路危機處理暨協調中心（JPCERT/CC）注意；</p> <p>（五）駭客假借提供6月WinRAR修補漏洞的PoC，但其實是利用地圖服務伺服器程式GeoServer的SQL注入漏洞CVE-2023-25157，散布木馬程式VenomRAT。</p> <p>其他的重要漏洞修補警告，還包括：GitLab修補執行任意自動化工作流程漏洞CVE-2023-4998，以及Fortinet修補防火牆作業系統、上網安全閘道、WAF的高風險漏洞CVE-2023-29183、CVE-2023-34984，網路監控軟體Nagios XI修補高風險漏洞、N-able遠端管理工具的CVE-2023-27470、程式庫ncurses的記憶體毀損漏洞等。</p> <p>面對日與俱增的資安威脅，本週除了研究人員極力呼籲使用者儘速修補已公開的漏洞，資安界也有多項動態值得留意。</p> <p>首先是資安業者Mandiant舉辦的mWISE Conference 2023資安防禦會議，FBI局長Christopher Wray提到攻防極度不對等的資安態勢，他表示，中國駭客人數是FBI資安專家的50倍以上，防守方勢必要善用AI人工智慧技術，還有政府、執法機關與民間產業之間更為緊密的合作，才有機會扭轉局勢，他甚至認為企業應該在資安防護計畫裡納入FBI，充分發揮執法的力量。</p> <p>再者，OpenAI為了改善機器學習模型的安全，擴大原本的紅隊演練規模，成立名為OpenAI Red Teaming Network的紅隊演練網路，從數十個專業領域招募專家，看重的是專家能提供該領域的專業觀點，而有可能突破人工智慧產業的盲點。</p> <p>本週資安界有兩起重大的廠商併購案，分別是19日資安業者CrowdStrike買下應用程式安全態勢管理（ASPM）新創Bionic，及21日思科買下大數據資安業者Splunk，其中又以思科和Splunk的併購案受到最多關注。值得留意的是，這起合併案2022年2月就傳出風聲，當時思科打算以200億美元買下Splunk，而現在實際成交的金額達到280億美元，較先前的傳聞多出4成。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/159050"><span style="color: rgb(178, 34, 34);">【資安週報】2023年9月25日到9月28日</span></a></strong></h2> <p>在本周重要漏洞修補消息中，有4個最受注目，包括：網際網路系統協會（ISC）修補DNS軟體BIND高風險漏洞，JetBrains修補CI/CD軟體平臺TeamCity重大漏洞，以及Atlassian針對旗下多款產品發布更新。此外，9月上旬思科針對已遭利用的零時差漏洞CVE-2023-20269先提供緩解，當時已遭Akira勒索軟體組織鎖定利用，29日思科新釋出臨時的更新修補。</p> <p>還有多個已知漏洞，近期因為遭鎖定利用情形被美國CISA列入限期修補清單，是本週資安日報未提及的漏洞消息，我們也特別整理如下，包括：Red Hat JBoss RichFaces Framework的漏洞（CVE-2018-14667）、Laravel的Ignition漏洞CVE-2021-3129、Laravel框架Ignition的漏洞（CVE-2021-3129）、Zyxel EMG2926路由器的漏洞（CVE-2017-6884）、Realtek SDK的漏洞（CVE-2014-8361）、Samsung行動裝置的漏洞（CVE-2022-22265），以及Owl Labs視訊會議設備Meeting Owl的4個已知漏洞（CVE-2022-31463、CVE-2022-31462、CVE-2022-31461、CVE-2022-31459）。</p> <p>在網路威脅焦點上，有四大議題值得關注：<br /> （一）美國NSA、FBI、CISA與日本國家資安事件整備與策略中心（NISC）發布聯合公告，指出中國駭客組織BlackTech藉由竄改思科路由器的韌體方式來隱藏其行動，從美國、日本企業跨國公司的子公司進一步滲透總公司的網路環境。<br /> （二）近日Akamai與Perception Point相繼揭露新網釣攻擊活動，出現鎖定飯店業者、訂房業，以及訂房客戶的複雜攻擊，尤其是入侵訂房網站或飯店系統冒用合法發動典型網釣。<br /> （三）除了勒索軟體Akira自今年3月以來攻擊活動節節攀升需要關注，美國FBI與CISA在20日也針對勒索軟體Snatch發布安全通告，詳細說明該組織的技術手法與IoC指標。<br /> （四）關於GPU.zip的GPU旁路漏洞早期揭露，目前發現的大學研究人員已通報GPU供應商、以及瀏覽器供應商Google，後續廠商修補的動向需要留意。</p> <p>其他值得關注的國際威脅態勢，有多個產業被攻擊者鎖定的消息，受到不同資安業者揭露，包括：<br /> ●中東、西歐、南亞次大陸的電信業者成鎖定目標，攻擊者散布惡意軟體LuaDream發動精準攻擊。<br /> ●烏克蘭軍方成鎖定目標，攻擊者利用無人機手冊散布惡意程式。<br /> ●中東政府機關被鎖定，攻擊者利用了新型態後門程式Deadglyph。<br /> ●巴西與墨西哥等逾40家拉丁美洲的銀行用戶遭鎖定，有駭客利用銀行木馬BBTok發動大規模攻擊行動。<br /> ●美國衛生暨公共服務部（HHS）旗下HS3揭露，近年中國駭客組織APT41、北韓駭客組織APT43與Lazarus肆虐，對美國公衛部門與生技公司已造成嚴重危害。</p> <p>在防禦態勢的消息上，我們特別注意到，在越來越多人重視的軟體物料清單（SBOM）之外，近日美國CISA推出硬體物料清單框架（HBOM），希望進一步幫助有效評估與減少供應鏈存在的資安風險。在國內，也有兩起事件受關注，一是行政院公共工程委員會新發布資訊服務採購作業指引，明訂公部門編列專屬資安預算；另一是數位部預告修正資安法，將明訂公部門禁用危害國家安全的資安產品。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/158650">2023年8月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/158096">2023年7月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/157613">2023年6月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/157226">2023年5月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/156683">2023年4月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/156593">2023年3月資安月報</a></h3> <h3> </h3> <h3> </h3> <p> </p> <p> </p> </div></div></div>
2023/10/19 09:50作者羅正漢https://www.ithome.com.tw/news/159207
未來要讓AI接手電商作業面工作！臺灣家樂福公開5年上雲歷程及數位轉型下一步
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2018年，臺灣家樂福以強化電子商務為目標，開始推動一系列數位轉型措施，5年來電商營收從8億成長40億元。近期一場活動中，臺灣家樂福技術長丁平碩回顧他們如何透過雲端技術來推動數位轉型，並揭露未來數位計畫，要用AI來持續強化電商，甚至讓AI接管大部分電商作業管理。</p> <p>那年，配合法國家樂福總部宣布全球5年數位轉型計畫，臺灣家樂福也訂下電商營收倍數成長的目標，制定「Cloud First」和「Google First」策略，目標將所有數位建設遷移至Google雲端。</p> <p>2019年起，臺灣家樂福開始系統大遷徙，將部署在法國總部IDC或外地雲端機房的ERP、HR、SCM、資料倉儲、EC和行動App等系統，陸續轉移到在臺灣有IDC的GCP上，大幅降低系統連線時間。這期間，家樂福還將原本EC和行動App的VM架構改為微服務架構，利用Cloud Run和GKE部署和管理雲端容器。這些建設，不只提升家樂福系統效率，也為之後發展電商和數位行銷奠定了基礎。</p> <p>丁平碩以電商系統上雲舉例，說明採用雲端服務後，在維運上不僅能夠協助IT人員完成不停機系統更新，在遇到節慶或促銷活動時，系統也能根據需求自動擴充網路和運算資源，來確保提供穩定的EC服務，此外，這也有助於降低遭受駭客攻擊導致網站癱瘓的風險。</p> <p>近幾年，家樂福導入了雲端的數據和AI工具，加速其擁抱AI應用。例如上雲初期，他們就利用AutoML建立了顧客終身價值預測、行銷轉化預測、趨勢預測和市場區隔預測等4個機器學習模型，應用在行銷上，提高廣告投放成效2.64倍，減少17%因缺貨造成的潛在營收損失。</p> <p>家樂福還在雲端環境打造了API管理平臺，用來統一管理與外部系統連結，進一步加速介接新系統能力，為發展快商務（Q-Commerce）積極布局。例如快速串接兩大外送平臺商系統，就是透過這套API管理平臺來完成。</p> <p>不只在技術面下功夫，為了落實數位轉型及上雲成效，家樂福內部還成立了「數位零售學院」，開課教育員工關於雲和數據應用等知識，以期內部從上到下都能擁抱這些科技。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20231017_024646373.jpg" style="width: 600px;" /></p> <blockquote><p>家樂福5年數位轉型計畫的歷程與面向。圖_余至浩攝</p> </blockquote> <p><strong>下階段數位轉型三大要務，發展AI商業應用是第一優先事項</strong></p> <p>5年轉型計畫結束後，臺灣家樂福下一階段數位轉型有3大要務。</p> <p>丁平碩表示，第一要務是是持續發展更多AI應用。丁平碩直言，這是目前家樂福第一優先事項。今年，他們內部舉辦了跨部門生成式AI黑客松，教育員工圖像跟文字生成AI相關知識，並探討這些技術如何應用在實際商業場景。2個月前，他們就在自家外送App推出智能食譜推薦功能，用生成式AI推薦食譜並推銷食材。除了自行開發AI應用，他們上個月也導入了Google Retail Search解決方案，用AI來優化電商商品搜尋功能。</p> <p>長遠來看，家樂福希望用AI達到「Labor-free E-commerce」境界，也就是利用AI來減少真人花費在電商作業面的時間。丁平碩進一步說明：「真人可以設計電商企畫，但是企畫作業面，包括版面編排、商品分類、素材製作這些事情，希望全部交給AI。」</p> <p>第二要務是持續搬遷系統上雲。上雲初期，家樂福將原本電商和行動App的VM架構改為微服務架構，利用Cloud Run和GKE部署和管理雲端容器。丁平碩表示，未來他們還要把更多既有VM架構的系統轉為雲原生，提升韌性跟穩定性。</p> <p>最後，則是持續強化雲端環境資安，讓消費者能在家樂福電商安心購物。</p> <p> </p> </div></div></div>
2023/10/19 09:17作者郭又華https://www.ithome.com.tw/news/159360
【資安日報】10月18日，使用Telegram、AWS、阿里雲的開發人員遭到鎖定，駭客透過PyPI套件發動供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>散布惡意NPM、PyPI套件攻擊開發者的事故頻傳，許多程式碼檢測工具供相關機制因應，但道高一尺魔高一丈，有攻擊者刻意將惡意程式碼埋於他處，導致檢測工具難以偵測這類狀況。</p> <p>最近由資安業者Checkmarx揭露的攻擊就用這種手法，駭客埋藏的程式碼須在應用系統呼叫特定功能函數，才會觸發，於受害電腦竊取資料。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://checkmarx.com/blog/users-of-telegram-aws-and-alibaba-cloud-targeted-in-latest-supply-chain-attack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客鎖定Telegram、AWS、阿里雲用戶發動供應鏈攻擊，散布惡意PyPI套件</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/kohlersbtuh15-8.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/kohlersbtuh15-8.png" style="width: 300px; float: right;" /></a>資安業者Checkmarx新一波的PyPI惡意套件攻擊，駭客主要的目標是使用Telegram、AWS、阿里雲的開發人員。研究人員自今年9月，看到有人上傳一系列惡意PyPI套件，但特別的是，這些套件的惡意程式碼不會在開發人員安裝時執行，駭客將惡意指令碼嵌入套件深處，必須在套件執行過程呼叫特定的功能函數，才會觸發。研究人員指出，由於許多資安工具會掃描自動執行的惡意指令碼，但遇上這種手法可能沒輒。</p> <p>而為了引誘開發人員上當，攻擊者不光使用了模仿域名（Typosquatting）的手段，還讓這些惡意套件看起來相當受歡迎，由於開發人員在挑選套件的過程，往往會參考GitHub統計的資料，攻擊者刻意將PyPI套件連結GitHub上面不相關套件的儲存庫，導致開發人員可能誤以為此套件的程式碼具有相當影響力而降低戒心，研究人員將此攻擊手法稱做Starjacking。</p> <p>而對於受害者的身分，研究人員指出近半數位於美國（44.61%），其次是中國（16.37％）、香港（4.44％）、新加坡（4.44％）。</p> <p><a href="https://www.ithome.com.tw/news/159336"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">D-Link傳資料外洩，起因是員工遭網釣攻擊</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/D-Link stolen data up for sale.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/D-Link%20stolen%20data%20up%20for%20sale.jpg" style="width: 300px; float: right;" /></a>有人在駭客論壇BreachForums以500美元的價格，兜售臺灣網路設備製造商D-Link的內部資料，聲稱內容包含300萬筆客戶資料，以及網路管理軟體D-View的原始碼，並強調內含臺灣許多政府官員及企業執行長、員工的資料，檔案大小為1.2 GB。賣家提供45筆樣本資料供買家比對，但資料日期介於2012年至2013年，有買家認為賣家提供的資料相當老舊。</p> <p>對此，10月2日D-Link提出說明，他們知悉此事並委由趨勢科技進行調查，表示上述人士取得資料的來源，是該公司測試實驗室當中的產品註冊系統，駭客對其員工發動網路釣魚攻擊，進而存取該公司內部網路環境。而這些存放在註冊系統上的資料，源自2015年已結束生命週期（EOL）的D-View 6，約有700筆，大部分資料為低敏感或半公開的資訊組成，該公司評估現有客戶不太可能受到影響。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/security/d-link-confirms-data-breach-after-employee-phishing-attack/">https://www.bleepingcomputer.com/news/security/d-link-confirms-data-breach-after-employee-phishing-attack/</a><br /> 2. <a href="https://supportannouncement.us.dlink.com/announcement/publication.aspx?name=SAP10359">https://supportannouncement.us.dlink.com/announcement/publication.aspx?name=SAP10359</a></p> <p><a href="https://www.bleepingcomputer.com/news/security/over-10-000-cisco-devices-hacked-in-ios-xe-zero-day-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">上萬臺思科網路設備遭遇IOS XE零時差漏洞攻擊</span></strong></a></p> <p></p> <p>10月16日<a href="https://www.ithome.com.tw/news/159319">思科揭露網路設備作業系統IOS XE的重大漏洞CVE-2023-20198</a>，這項漏洞影響啟用網頁介面（Web UI），以及HTTP（或HTTPS）伺服器功能的網路設備，CVSS風險評分為10，且已出現攻擊行動，現在研究人員陸露揭露受害情形。漏洞情報業者VulnCheck提出警告，他們發現數千個遭到感染的IOS XE網頁介面，該公司亦提供檢測工具，讓網管人員能檢查設備是否遭到入侵。</p> <p>VulnCheck向資安新聞網站Bleeping Computer透露，他們掃描了從物聯網搜尋引擎Shodan及Censys列出的半數裝置，約有1萬臺受到感染，但實際數量可能更多。另一家資安業者Aves Netsec研究人員指出，約有14萬臺思科裝置可能曝險，其中以美國、菲律賓、智利最多。資安機構CERT Orange Cyberdefense表示，他們找到至少34,500個思科IOS XE的IP位址遭到入侵。</p> <p>資料來源</p> <p>1. <a href="https://vulncheck.com/blog/cisco-implants">https://vulncheck.com/blog/cisco-implants</a><br /> 2. <a href="https://twitter.com/SimoKohonen/status/1714213806371479849">https://twitter.com/SimoKohonen/status/1714213806371479849</a><br /> 3. <a href="https://twitter.com/CERTCyberdef/status/1714567941184749609">https://twitter.com/CERTCyberdef/status/1714567941184749609</a></p> <p><a href="https://www.securityweek.com/milesight-industrial-router-vulnerability-possibly-exploited-in-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Milesight工控路由器的漏洞被用於攻擊行動</span></strong></a></p> <p></p> <p>研究人員Bipin Jitiya揭露Milesight工業路由器漏洞CVE-2023-43261（CVSS風險評分為7.5），攻擊者有可能藉由曝露的事件記錄檔案（如httpd.log），從而取得管理者的密碼，控制路由器。該公司獲報後表示，他們早已進行修補，而這項漏洞最近傳出被用於攻擊行動。</p> <p>該廠牌路由器並非全部曝險，漏洞情報業者VulnCheck在物聯網搜尋引擎Shodan及Censys尋找，他們發現約有5,500臺這類設備可從網際網路存取，當中僅有不到400臺曝露於上述漏洞的風險，約占6.5%。</p> <p>雖然曝險裝置比例不高，研究人員還是在10月2日發現異常存取的情況，有人嘗試存取6個位於法國、立陶宛、挪威的路由器，其中4臺攻擊者在第一次嘗試就成功。</p> <p>資料來源</p> <p>1. <a href="https://vulncheck.com/blog/real-world-cve-2023-43261">https://vulncheck.com/blog/real-world-cve-2023-43261</a><br /> 2. <a href="https://medium.com/@win3zz/inside-the-router-how-i-accessed-industrial-routers-and-reported-the-flaws-29c34213dfdf">https://medium.com/@win3zz/inside-the-router-how-i-accessed-industrial-routers-and-reported-the-flaws-29c34213dfdf</a></p> <p><a href="https://outpost24.com/blog/it-admins-weak-password-use/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾4萬個管理員帳號使用admin當作密碼</span></strong></a></p> <p></p> <p>資安業者Outpost24針對180萬個外洩的管理員帳密資料進行分析，結果發現，最常見的弱密碼是admin，其次是123456、12345678、1234、Password。光是使用admin作為密碼的帳號，就超過4萬個，約占外洩帳號的2%。</p> <p>會出現這樣的結果，很有可能是許多裝置未修改預設密碼所致，由於這種密碼多半是公開資料，只要從網路上或是產品文件就能找到，是攻擊者最容易入侵的缺口之一，但顯然仍有不少IT人員並未遵照最佳實務進行設置，保留預設的密碼而曝險。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.fubon.com/financialholdings/news/news_1231016_455320.htm"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為防堵金融詐騙橫行，32家銀行參與鷹眼識詐聯盟</span></strong></a></p> <p></p> <p>內政部警政署刑事警察局與台北富邦銀行合作，共同建置AI預警模組，由刑事局主動分享判斷異常金流狀態經驗，結合北富銀異常交易金流偵測技術，來保護民眾的財產，<a href="https://www.cib.npa.gov.tw/ch/app/news/view?module=news&id=1887&serno=3c622e86-af82-4b70-9508-d9578bff593e">刑事局於今年4月進一步成立AI鷹眼識詐聯盟</a>，如今該聯盟擴大規模，宣示政府與金融界反詐騙的決心，鷹眼模型防護的範圍，現在涵蓋超過50種的動態交易風險參數。</p> <p>10月16日行政院打詐辦公室、刑事局、金管會、臺北市政府警察局，以及32家銀行舉辦鷹眼識詐聯盟誓師大會，預計在2024年6月前陸續完成鷹眼模型系統的導入，屆時全臺將有超過4,300個金融據點受到相關保護。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.securityweek.com/critical-vulnerabilities-expose-weintek-hmis-to-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Weintek人機介面存在重大漏洞，攻擊者有可能藉此繞過身分驗證或執行任意命令</span></span></strong></a></p> <p></p> <p><a href="https://www.sonarsource.com/blog/security-vulnerabilities-in-casaos/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">開源雲端軟體CasaOS存在重大漏洞，攻擊者有可能用來執行任意程式碼並控制受害系統</span></span></strong></a></p> <p></p> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/10/the-forgotten-malvertising-campaign"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意廣告攻擊行動宣稱提供文字編輯器Notepad++，目的是散布惡意程式</span></span></strong></a></p> <p></p> <p><a href="https://blog.f-secure.com/take-a-note-of-spynote/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">安卓間諜軟體SpyNote透過釣魚簡訊散布</span></span></strong></a></p> <p></p> <p><a href="https://www.ithome.com.tw/news/159251"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google允許安卓用戶刪除15分鐘內Chrome上網紀錄、Gmail流到暗網時會通知用戶</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159329"><strong>【10月17日】駭客假借提供以色列民眾空襲警報應用程式，意圖搜括安卓手機用戶各式資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159306"><strong>【10月16日】 Skype用戶注意！駭客利用外洩帳號發送訊息，透過內嵌VBA指令碼的檔案散布惡意程式DarkGate</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159278"><strong>【10月13日】利用職場社群網站LinkedIn市場行銷工具的網釣攻擊再度出現，受害者遍及各行各業</strong></a></p> </div></div></div>
2023/10/18 17:27作者周峻佑https://www.ithome.com.tw/news/159361
Google發表8項無障礙功能，圍繞在地圖、搜尋與拍照
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/outreach-initiatives/accessibility/making-daily-tasks-accessible/" target="_blank">Google周二（10/17）發表8項無障礙功能</a>，它們分別出現在Google Maps、搜尋、Chrome或拍照等功能上，以協助身心障礙人士更容易完成每天的任務。</p> <p>其中之一是讓商家可於Google Maps與搜尋上，標註自己屬於身心障礙人士，先前Google也曾支援不同的社群的商家進行標註，例如亞洲人、拉丁人、LGBTQ+族群、退伍軍人或是女性業主等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1018-google%20accessibility-600-1.png" style="width: 500px;" /></p> <p>與視障人士有關的功能則有Lens in Maps的螢幕朗讀、放大鏡（Magnifier）及用來自拍的Guided Frame。其中，Lens in Maps之前名為Search with Live View，為一徒步導航功能，它利用相機來替使用者尋找附近的ATM、餐廳或車站，現在則新增螢幕朗讀功能，直接幫視力不佳的使用者唸出周遭的地點，將率先支援iOS上的Lens in Maps，今年底也會支援Android平臺。</p> <p>Magnifier則是一個支援Pixel 5及以上Pixel手機的放大鏡程式，它就是一個基於手機相機的放大鏡，可用來放大菜單或文件上的文字、縫紉針孔或街道標誌。Guided Frame則是個利用語音、高對比及震動回饋功能，來協助視障用戶拍攝自拍像的功能，它目前支援Pixel 8及8 Pro，今年稍後將會支援Pixel 6及之後的版本。</p> <p>另有兩項功能與輪椅友善性有關。一是在Android與iOS版的Google Maps上提供支援輪椅的步行路線，該路線也適用於拖著大行李箱的旅人，二則是在Google Maps、Android Auto及內建Google的汽車上提供方便輪椅通行的地方，像是無障礙入口、廁所、停車場或是座位等。</p> <p>認知障礙用戶則可利用Assistant Routines來協助處理日常事務，將這些日常事務分類成不同的區塊，再於首頁建立捷徑。若是有閱讀障礙或是經常打錯字，則可利用Chrome網址列的錯別字訂正功能來協助造訪正確的網站，此一功能是在今年5月現身於桌面版Chrome瀏覽器上，現在則支援Android與iOS上的Chrome。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1018-google%20accessibility-600-2.png" style="width: 310px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></p> </div></div></div>
2023/10/18 16:15作者陳曉莉https://www.ithome.com.tw/news/159358
友訊1.2GB產品原始碼、客戶、員工資料在駭客論壇上兜售
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bleepingcomputer.com/news/security/d-link-confirms-data-breach-after-employee-phishing-attack/" target="_blank">《Bleeping Computer》</a>報導，網路設備商友訊（D-Link）產品原始碼及客戶、員工個資等資料遭駭客在地下論壇上兜售，友訊坦承此事，但表示是員工誤點網釣信件才讓駭客存取系統，不過存取的也是過時的資料。</p> <p>報導指出，一名地下論壇用戶張貼公告，指其曾駭入友訊的內部網路，取得300萬行客戶及員工客製以及網路管理軟體D-View的程式碼。</p> <p>這批1.2GB的資料包含客戶及員工姓名、電子郵件、住家地址、公司、電話、帳號註冊及最後登入日期，要價僅500美元。值得注意的是，兜售者宣稱名單上還有「許多」政府官員，以及友訊CEO的個資。</p> <p>友訊已經向媒體證實此事，表示原因是一名員工不慎點入網釣信件，而讓攻擊者取得公司網路系統的登入憑證。該公司說已立即關閉受影響的伺服器，及封鎖用戶帳號，除了2個正在調查的帳號外。</p> <p>這家網路設備商聲稱，駭客是存取了測試實驗室中的產品註冊系統取得了這批資料。但外洩的產品程式碼是屬於舊版D-View 6，後者已在2015年終止支援。友訊也否認外洩的資料量及機密性，聲稱經過調查顯示只有700筆過時、零碎的資訊，並說大部分資料都是低敏感性，且半公開可取得的資訊。</p> <p>友訊並表示，這起事件是舊安全事件了，只是駭客刻意竄改存取時戳，以假造駭入事件是最近所為，因此現有客戶不太可能受影響。</p> <p>友訊常因其生產網路設備、網路攝影機安全漏洞<a href="http://www.ithome.com.tw/news/116795" target="_blank">遭濫用</a>而<a href="https://www.ithome.com.tw/news/125135" target="_blank">登上資安新聞</a>。<a href="https://www.ithome.com.tw/news/110963" target="_blank">2017年美國聯邦貿易委員會（FTC）</a>因網路路由器及攝影機軟體安全性不足控告友訊，<a href="https://www.ithome.com.tw/news/131637" target="_blank">雙方於2019年達成和解</a>。</p> </div></div></div>
2023/10/18 13:33作者林妍溱https://www.ithome.com.tw/news/159336
有2%的IT管理帳戶以「admin」作為密碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供持續性威脅曝露管理解決方案的資安業者Outpost24，<a href="https://outpost24.com/blog/it-admins-weak-password-use/" target="_blank">在本周公布了一項調查報告</a>，分析了外洩的180萬個IT管理員帳戶密碼，發現有超過2%直接採用「admin」。</p> <p>Outpost24所分析的是該公司的Threat Compass資料庫，此一資料庫蒐集了大量的外洩憑證，並從中篩選出180萬個標示為管理員入口網站（Admin portals）的帳戶，發現這些帳戶最常使用的前五名密碼依序是admin、123456、12345678、1234及Password，其中，有超過4萬個Admin帳戶的密碼是admin，占了所有Admin帳戶的2%。</p> <p>這樣的結果令研究人員相信，許多使用者都直接採用了裝置的預設密碼，因為不管是admin、Password或連續數字都是裝置上常見的預設密碼。</p> <p>Outpost24指出，預設密碼通常用在裝置一開始的設定，且多半是公開的，只要於網路上或產品文件中搜尋就能找到，是駭客最容易入侵的缺口之一，也被視為安全漏洞，儘管如此，卻依然被廣泛使用。</p> <p>另一方面，密碼管理業者NordPass與第三方研究人員合作，分析了3TB的外洩資料庫，顯示整體而言在2022年最常見的前五大密碼則是password、123456、123456789、guest與qwerty。</p> <p>其實近年來已有相關立法禁止預設密碼的使用，包括英國的《Product Security and Telecommunication Infrastructure 》（PSTII）法案，或是加州的預設密碼法案Senate Bill 327，這些法案要求每一個連網裝置都必須具備獨特的密碼，或者是必須於裝置中設計安全機制，要求使用者首次啟用時必須變更密碼。</p> </div></div></div>
2023/10/18 13:49作者陳曉莉https://www.ithome.com.tw/news/159337
CVE-2023-20198漏洞已讓數千臺思科裝置淪陷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/159319" target="_blank">思科在本周一（10/16）揭露了</a>一個CVSS漏洞風險評分高達10的Cisco IOS XE漏洞CVE-2023-20198，並表示早在9月28日發現相關的可疑活動，確定已遭駭客利用，不過，<a href="https://vulncheck.com/blog/cisco-implants" target="_blank">安全漏洞情報業者VulnCheck隨後指出</a>，思科沒說的是，已經有數千臺安裝Cisco IOS XE的裝置淪陷。</p> <p>CVE-2023-20198是個存在於Cisco IOS XE作業系統上的Web UI權限擴張漏洞，該漏洞允許未經授權的遠端駭客於受影響的系統上，建立一個具備Level 15最高權限的新帳戶，再利用該帳戶取得受駭系統的控制權。不管是思科的交換器、無線網路控制器、無線基地臺或路由器都是採用Cisco IOS XE。</p> <p>在思科所觀察到的攻擊行動中，駭客在被駭系統上建立新帳戶之後，會植入一個可用來變更配置的惡意檔案，於是<a href="https://blog.talosintelligence.com/active-exploitation-of-cisco-ios-xe-software/" target="_blank">思科提供了一個簡單的方式</a>，只要傳送一個特定的HTTP POST至Cisco IOS XE系統上，就能根據系統是否回傳一個18個字元的16進位字串，來判斷系統是否已經遭到感染。</p> <p>VulnCheck即利用此一方法來掃描公開網路上的Cisco IOS XE網頁介面，並發現已有數千個系統被植入了惡意檔案，意味著取得這些系統最高權限的駭客，可監控流量、進入受保護的網路，並執行各種中間人攻擊。<a href="https://vulncheck.com/press/seed-funding" target="_blank">VulnCheck也釋出了該掃描工具</a>供外界取用。</p> <p>由於思科尚未修補CVE-2023-20198，因此建議用戶可暫時關閉HTTP Server功能，或是於HTTP Server 中設定存取白名單。</p> </div></div></div>
2023/10/18 14:07作者陳曉莉https://www.ithome.com.tw/news/159338
Amazon與WhatsApp也開始支援Passkey
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>通行密鑰（Passkey）即將成為主流的帳戶登入方式，除了微軟、蘋果與Google都正在推動Passkey之外，Amazon近日已悄悄於電子商務平臺上導入了Passkey，而<a href="https://twitter.com/WhatsApp/status/1713948410942804433" target="_blank">WhatsApp亦透過X宣布</a>其Android程式將支援Passkey登入。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1018-whatsapp-passkey-600.png" style="width: 580px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_</span><a href="https://twitter.com/WhatsApp/status/1713948410942804433" target="_blank"><span style="color:#696969;">WhatsApp</span></a></span></p> <p>通行密鑰則是一個不可見的加密實體，由一組金鑰對所組成，當中的公鑰可用來註冊網站或行動程式，另一個私鑰則存放在使用者裝置上，以通行密鑰來作為登入憑證既不需要再記住密碼，也更難被駭客破解或入侵。存放在裝置上的私鑰可以是指紋、人臉或PIN碼，讓使用者得以透過這些裝置上的驗證功能來存取服務。</p> <p>Amazon並未對外宣布Passkey的啟用，只是悄悄於電子商務網站的登入服務中添增了Passkey。於使用者帳戶的登入設定中，提供了「金鑰」（Passkey）選項，允許使用者利用人臉、指紋或PIN碼等，以與解鎖裝置相同的方法登入Amazon，而不必再輸入密碼。</p> <p>至於WhatsApp則是在周二（10/17）宣布支援Passkey，開放Android用戶以人臉、指紋或PIN碼來登入WhatsApp帳戶。不過，WhatsApp並未揭露何時要於iOS平臺上支援Passkey。</p> <p>目前所有大型科技業者都已著手部署對Passkey的支援，例如<a href="https://www.ithome.com.tw/news/157541" target="_blank">微軟已於Windows 11測試版</a>中增添Passkey功能，蘋果的macOS、iOS及iPadOS也已嵌入對Passkey的支援，而Google則積極地<a href="https://www.ithome.com.tw/news/159209" target="_blank">鼓勵用戶以Passkey</a>來取代密碼進行登入。</p> </div></div></div>
2023/10/18 12:10作者陳曉莉https://www.ithome.com.tw/news/159335
挑戰Arm，高通、Google合作開發穿戴裝置RISC-V晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.qualcomm.com/news/releases/2023/10/qualcomm-to-bring-risc-v-based-wearable-platform-to--wear-os-by-" target="_blank">高通、Google周二宣布</a>將合作開發RISC-V Snapdragon晶片，以用於下一代Wear OS穿戴式裝置，包括智慧手錶。</p> <p class="rtecenter"><img alt="" src="https://s7d1.scene7.com/is/image/dmqualcommprod/GooglexQualcomm?$QC_Responsive$&fmt=png-alpha&wid=640" style="width: 500px;" /></p> <p>這是繼今年4月RISC-V Summit大會上，Google宣布RISC-V將成為Android tier-1平臺的最新進展。在雙方合作下，高通將開發目前通稱為RISC-V Snapdragon Wear的晶片，兩公司將投資Snapdragon Wear平臺作為主要智慧型手錶的晶片平臺。此番合作也有助於開發更多使用低耗電、高效能客製化CPU的產品。</p> <p>高通穿戴式暨混合訊號解決方案部門副總裁暨總經理Dino Bekis指出，藉由使用RISC-V技術擴增其Snapdragon Wear平臺，將有助於加速全球Wear OS-based新產品的上市時程。</p> <p>雙方表示，合作的RISC-V wearable商用產品發表時程會於之後公布。</p> <p>RISC-V是由RISC-V International開發維護的指令集架構，為晶片開放標準，任何廠商都可免費使用或修改。這有別於當今主流穿戴裝置使用的Arm採取的營收模式。Arm可向其客戶收取使用專屬晶片技術的高昂權利金，但對手機或穿戴裝置業者來說，也增加產品製造的時間花費及龐大成本。</p> <p>Google希望透過轉向RISC-V降低晶片授權金、減少對Arm的依賴及加速產品生產並不令人意外，Google Pixel使用的Titan M2安全晶片就已經是RISC-V架構。</p> <p>高通方面也有動機。<a href="https://www.ithome.com.tw/news/152821" target="_blank">去年9月Arm控告</a>高通以及高通收購的一家晶片設計商Nuvia侵害商標權及違反授權協議，後者擁有Arm的晶片技術授權。目前官司還在審理中。高通甚至還是Arm的客戶。另一方面，Arm與Nvidia收購破局，轉向IPO後，股東要求Arm擴大授權獲利，意謂著對客戶產生更大生產成本。</p> <p>為了不讓Arm晶片設計獨霸手機晶片，<a href="https://www.qualcomm.com/news/releases/2023/08/leading-semiconductor-industry-players-join-forces-to-accelerate" target="_blank">高通8月宣布</a>和Robert Bosch、NXP、Nordic、英飛凌（Infineon）合資一家RISC-V晶片公司，以開發從汽車、行動到物聯網（IoT）裝置內的晶片。</p> <p><a href="https://arstechnica.com/gadgets/2023/10/qualcomm-announces-first-ever-mass-market-risc-v-android-soc/" target="_blank">《Ars Technica》</a>分析，在此之前RISC-V技術普遍用於微控制器領域，牽涉的體系較為單純，但一旦要用以執行Android裝置，Google/高通有許多困難要先克服。雖然大部分Android應用程式可以透過Android Runtime將程式碼轉譯成指令，使其跑在RISC-V晶片上，但Google還得齊備其他東西，像是開發商SDK、compilers、函式庫等等元件。</p> </div></div></div>
2023/10/18 11:08作者林妍溱https://www.ithome.com.tw/news/159332
【資安日報】10月17日，駭客假借提供以色列民眾空襲警報應用程式，意圖搜括安卓手機用戶各式資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以色列與巴勒斯坦的軍事衝突已經進行超過一個星期，表達支持態度的網路攻擊也隨之而來，駭客組織選邊站，近100個團體對各式關鍵基礎設施發動攻擊，多是宣示立場的DDoS攻擊。這當中比較特別的攻擊目標，是以色列空襲警報行動應用程式Red Alert，有人假借提供該App，針對安卓用戶散布惡意程式。</p> <p>但針對Red Alert的攻擊行動並非首例。巴勒斯坦駭客組織AnonGhost日前聲稱透過此通報系統的API，向以色列民眾發出假的核彈警報。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.cloudflare.com/malicious-redalert-rocket-alerts-application-targets-israeli-phone-calls-sms-and-user-information/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客假借提供以色列空襲警報App，意圖散布安卓惡意程式</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/pasted-image-0--13-.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/pasted-image-0--13-.png" style="width: 300px; float: right;" /></a>巴勒斯坦激進組織哈瑪斯（Hamas）引爆軍事衝突，侵入以色列境內之餘，也發動網路攻擊，這幾天傳出手機應用程式Red Alert，成為攻擊標的，這支程式的用途，是針對以色列民眾恐怖分子發射飛彈警示訊息。日前有巴勒斯坦駭客組織AnonGhost聲稱竄改此App的通知內容，現在有人提供冒牌應用程式對以色列民眾下手。</p> <p>這項消息來自雲端服務業者Cloudflare，他們揭露冒牌的RedAlert - Rocket Alerts手機應用程式的攻擊行動，駭客於10月12日架設惡意網站（hxxps://redalerts[.]me），其網站內容仿造Elad Nava打造的原始網站（hxxps://redalert[.]me）提供iOS與安卓版本應用程式的下載連結，若是使用者在惡意網站上點選下載安卓版本的按鈕，手機會直接下載有問題的APK安裝檔，而非連往Google Play市集。</p> <p>研究人員指出，這個冒牌的RedAlert應用程式，雖然看似具備正牌App的相關功能，但此冒牌應用程式安裝的過程裡，會向使用者請求各式的額外權限，包含存取聯絡人、簡訊、已安裝應用程式列表、通話記錄、手機IMEI碼、應用程式帳號等。一旦啟動，此應用程式會啟動背景服務來收集上述資料，並採用AES演算法處理後傳給駭客。為防範研究人員進行調查，此App還加入了反除錯、反模擬、反測試的機制。</p> <p><a href="https://blog.cluster25.duskrise.com/2023/10/12/cve-2023-38831-russian-attack"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客利用壓縮軟體WinRAR漏洞發動攻擊</span></strong></a></p> <p></p> <p>資安業者DuskRise旗下的威脅情報部門Cluster25揭露俄羅斯駭客的惡意軟體攻擊行動，駭客假借提供入侵指標的相關資料為誘餌，散布壓縮檔IOC_09_11.rar，裡面夾帶PDF檔案IOC_09_11.pdf及相同名稱的資料夾，而該資料夾裡面，存放名為IOC_09_11.pdf .cmd的BAT批次檔。</p> <p>此壓縮檔鎖定WinRAR漏洞CVE-2023-38831而來。一旦使用者執行6.23版之前的WinRAR將其開啟，並打開PDF檔案，批次檔的指令碼將會執行，先是於背景執行WinRAR命令解壓縮RAR檔案的內容，然後刪除指令碼檔案並開啟PDF檔案騙過使用者，接著執行3個PowerShell命令來進行惡意行為。</p> <p>首先，第1個命令是在特定檔案寫入RSA私鑰，然後，駭客利用前述檔案下達第2個命令，啟動反向Shell讓攻擊者能使用SSH工具，存取TCP的443埠，控制目標電腦；接著利用最後一道命令執行Base64編碼的字串，來傳送使用者Chrome、Edge儲存的帳密資料，為避免資安系統攔截，對方利用Webhook.site服務接收資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/image-png-Oct-10-2023-03-48-36-8737-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-png-Oct-10-2023-03-48-36-8737-PM.png" style="width: 580px;" /></a></p> <p><a href="http://cert.gov.ua/article/6123309"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Sandworm自5月就對烏克蘭電信業者下手，近半年已有11家業者受害</span></strong></a></p> <p></p> <p>烏克蘭電腦緊急應變小組（CERT-UA）指出，今年5月至9月，該國至少有11家電信業者遭到俄羅斯駭客組織Sandworm攻擊，駭客干擾這些公司的通訊系統，導致相關服務面臨中斷的情況，並曝露於資料外洩的風險。</p> <p>駭客起初利用網路通訊埠掃描工具masscan，對電信公司的網路環境進行偵察，並尋找開放的連接埠，以及未設防的遠端桌面連線（RDP）與SSH連線管道，藉此來破壞內部網路環境。為了得到更多存取權限，駭客利用ffuf、dirbuster、gowitness、nmap等網路工具來找出網頁服務的漏洞。CERT-UA於遭駭的網際網路供應商（ISP）系統當中，看到兩個後門程式Poemgate、Poseidon，前者用於收集管理員帳密，後者則針對Linux主機而來。</p> <p>此外，駭客也利用Dante、socks5等代理伺服器軟體，搭配他們已經入侵烏克蘭競內的伺服器進行路由，來隱匿相關攻擊行動。另一方面，駭客也運用名為Whitecat的工具，來清理攻擊的痕跡，並刪除事件記錄檔案。</p> <p><a href="https://www.elastic.co/security-labs/disclosing-the-bloodalchemy-backdoor"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客利用後門程式Bloodalchemy竊取東南亞國家的機密</span></strong></a></p> <p></p> <p>Elastic旗下的安全實驗室揭露中國駭客使用的後門程式Bloodalchemy，該程式為C語言開發，針對x86架構的電腦而來，攻擊者將其注入合法的應用程式處理程序BrDifxapi.exe，透過DLL側載（DLL Side-loading）的方式啟動，當作Shell Code執行，主要攻擊目標是東南亞國協（ASEAN）會員國的外交單位，是駭客組織使用的作案工具包REF5961的其中一項元件。</p> <p>研究人員起初在針對蒙古政府的攻擊行動看到相關工具，進一步分析發現該後門程式相當特別，必須透過特定的啟動器才能執行，無法獨立運作，其有效的功能算是相當有限，因此研究人員推測，此後門程式仍在開發階段，也有可能是大型作案工具套件的其中一項子功能，也不排除是針對特定目標打造的惡意軟體。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxe-webui-privesc-j22SaA4z"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科網路設備作業系統IOS XE的零時差漏洞已出現攻擊行動</span></strong></a></p> <p></p> <p>思科揭露網路設備作業系統IOS XE的重大漏洞CVE-2023-20198，這項漏洞影響啟用網頁介面（Web UI），以及HTTP（或HTTPS）伺服器功能的網路設備，攻擊者若是成功利用該漏洞，就有機會在網路設備建立權限等級15的帳號，進而掌控整個系統，後續執行其他未經授權的惡意行動，CVSS風險評分為10。</p> <p>這項漏洞之所以發現，源於該公司9月28日接獲用戶通報異常，經過進一步調查之後，得知網路攻擊行動發生在18日，當天有人從可疑的IP位址5.149.249[.]74，設置名為cisco_tac_admin的本機帳號，後來思科於10月12日發現新的漏洞利用攻擊，駭客部署了惡意程式，企圖在系統層級執行任意命令。而對於這兩起攻擊行動，該公司認為是同一組攻擊者所為，研判9月的行動是在嘗試利用漏洞，10月進一步植入惡意程式並建立持續存取的管道。</p> <p>值得留意的是，思科目前尚未提供這項漏洞的修補程式，他們呼籲，用戶目前若有連接網際網路的IOS XE設備，應立即停用HTTP（及HTTPS）伺服器功能，阻斷駭客入侵的管道。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/the-evolution-of-windows-authentication/ba-p/3926848"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟宣布擴充Kerberos功能，逐步淘汰Windows 11中的NTLM</span></strong></a></p> <p></p> <p>NTLM身分驗證安全協定的中繼攻擊手法不斷出現，例如：2021年7月揭露的PetitPotam弱點、2022年7月修補的ShadowCoerce弱點，微軟為了解決這個問題，決定逐步降低既有產品對這類協定的依賴，最終達到停用這種協定的目標。</p> <p>10月11日微軟表示，該公司藉由擴張Kerberos的能力，支援部分NTLM的功能，一種是IAKerb，允許用戶端透過Kerberos在更多異質網路拓撲進行身分驗證；另一種則是本機的金鑰發布中心（KDC）支援。IAKerb是業界標準的Kerberos通訊協定延伸，允許無法探索網域控制器（DC）的用戶端透過能夠探索的伺服器進行身分驗證，這項工作透過交涉（Negotiate）驗證延伸套件執行，允許Windows身分驗證堆疊透過代表用戶端的特定伺服器，代理Kerberos訊息。</p> <p>Kerberos本機KDC支援建置於電腦的安全帳號管理員，從而可以讓用戶透過Kerberos完成本機帳號的遠端身分驗證。這項功能的支援，主要是利用IAKerb允許Windows在遠端及本機之間傳遞Kerberos訊息的能力，使得組織無須增加DNS、netlogon、DCLocator等服務的支援。另一方面，微軟也著手修補Windows元件NTLM的缺陷，並將其移轉為Negotiate通訊協定，未來組織透過Kerberos就能使用相關功能。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.securityweek.com/milesight-industrial-router-vulnerability-possibly-exploited-in-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Milesight工控路由器的漏洞傳出被用於攻擊行動</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/malicious-solana-kucoin-packages-infect-nuget-devs-with-seroxen-rat/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客假借提供加密貨幣錢包應用程式，透過NuGet套件管理器散布木馬程式SeroXen</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-flaw-in-wordpress-royal-elementor-plugin/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">WordPress外掛程式Royal Elementor存在零時差漏洞，攻擊行動自10月初升溫</span></span></strong></a></p> <p></p> <p><a href="https://www.ithome.com.tw/article/159256"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">【iThome 2023資安大調查系列2】5成多企業員工資安意識不足，3成企業欠缺資安老手</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/article/159257"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">【iThome 2023資安大調查系列2】社交工程風險超越勒索軟體和駭客，ChatGPT濫用成新威脅</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159306"><strong>【10月16日】 Skype用戶注意！駭客利用外洩帳號發送訊息，透過內嵌VBA指令碼的檔案散布惡意程式DarkGate</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159278"><strong>【10月13日】利用職場社群網站LinkedIn市場行銷工具的網釣攻擊再度出現，受害者遍及各行各業</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159241"><strong>【10月12日】以色列與巴勒斯坦爆發大規模軍事衝突之後，逾100個駭客組織發動網路攻擊</strong></a></p> </div></div></div>
2023/10/17 18:00作者周峻佑https://www.ithome.com.tw/news/159329
桃園市與電信業者合作以網路切片打造急救5G專網，讓救護車到院前可先將患者生理數據、4K影像傳送至醫院作好急救準備
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>緊急救護一直以來的問題是，如何提高救護效率，爭取搶救傷患的黃金時機。桃園市利用5G專網提高救護效率，讓救護車載運傷患抵達醫院之前，透過5G將車上急救影像，患者的超音波、心電圖等生理數據傳送到醫院，讓醫生可針對較緊急的患者指示急救措施，院方作好急救準備。</p> <p>這項5G的醫療應用是由桃園市消防局、聖保祿醫院、中華電信三方合作，在大林分隊1輛救護車建置5G連網功能，中華電信則在22個5G基地臺，利用5G SA的網路切片技術，建置一個專門用於緊急救護使用的虛擬專網，專供救護車使用，救護車抵達醫院之前，即時資訊傳送到急診室戰情系統，聖保祿醫院透過這套系統，就能先看到救護車內的4K畫質影像，以及傷患的超音波、12導程心電圖等生理資訊。</p> <p>在此之前，去年桃園市消防局也和中華電信、衛福部立桃園醫院合作，以5G網路提高緊急救護效率，但不同的是，先前的案例是透過5G公網，當救護車行經商圈等人口密集區，網路頻寬會因為多人行動上網，導致急救使用的網路頻寬不穩定，導致救護車的即時影像或心電圖等生理資訊傳輸可能因此出現延遲的問題。</p> <p>而此次合作則是利用5G SA獨立組網的網路切片（network slicing）技術，從5G公網中切出一個專門用於緊急救護使用的5G虛擬專網，當救護車出勤載運傷患時，自動將公網70%的頻寬調配給5G虛擬專網，如同在5G公網中建立一個臨時設置的專用頻寬，讓消防局、救護車、聖保祿醫院間的救護資訊能夠即時傳遞。當救護車抵達醫院後，調度的頻寬自動回到公網。</p> <p>中華電信企客分公司總經理張本元表示，與聖保祿醫院的合作，利用5G網路切片打造綠色廊道，避免患者的重要急救資訊因網路滿載而延遲，並縮短救援需要的時間，提高準確度，能挽救更多生命。</p> <p>當救護車載運傷患，院方通過急診室戰情系統（下圖）收到通知，包括不同救護車的車輛編號，預估到院時間，車上急救人員為傷患的檢傷分類（顯示檢傷分類的代表顏色），以及病患的病史、過敏史資訊，還有救護車上的4K即時影像、患者的即時心電圖資訊。目前這套急診戰情系統先以接收救護車即時資訊為主，未來若能進一步結合醫院的HIS系統，將能夠再提高治療的效率。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202023-10-17%20%E4%B8%8B%E5%8D%886_12_46.jpg" style="width: 600px; height: 330px;" /></p> <p>聖保祿醫院醫療副院長王豐林則指出，傳統的急救方式，救護車的急救人員透過無線電和線上的醫生溝通，判斷傷患的病情、嚴重程度，現在結合5G網路的新救護模式，可以傳送救護車上的即時影像畫面，以及患者的即時生理資訊，由線上值班醫生判斷傷病情，讓救護車將患者送到專門收治該傷病患者的醫院進行急救，醫院也能在救護車抵達前，收到患者的相關資訊，為急救及早作好準備，提高急救效率。</p> <p>桃園市政府消防局長龔永信則表示，根據統計，去年桃園市消防局救護車共出動約11.7萬次，今年和去年同時間相比多出約6,500次，今年救護車出動預估次數將超過12.5萬次，相當於救護車一天約350趟次，去年從OHCA（到院前心肺停止）救回117人，今年到目前為止從OHCA已救回121人，超過去年OHCA救回的人數，這些成果仰賴救護人員訓練、技術精進，以及醫院的緊急治療，讓病人獲得醫療照護。此次三方合作，結合5G的高速、低延遲，現場急護人員能夠第一時間將傷患的生命徵象數據傳送到醫院，讓醫生指導救護車上的救護人員即時處理，院方也能及早準備急救需要的開刀房等醫療資源，未來這項急救技術如果進一步擴大至更多救護車，將能提高桃園市的救護能量，提高OHCA救回人數。</p> </div></div></div>
2023/10/17 18:26作者蘇文彬https://www.ithome.com.tw/news/159330
支援馬達控制與DSP數位訊號處理，AMD推入門級FPGA運算板
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/amd_kria_k24_som_main2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>搶攻邊緣運算市場，2021年4月，FPGA大廠賽靈思（Xilinx）跨入系統單模組（System on module，SOM）市場，希望能廣泛提供更多產品選擇，可涵蓋空間與成本受限的環境，以至效能需求較高的場域，可促成更多即時運算應用的開發，當時他們推出第一款產品Kria K26 SOM，鎖定智慧城市、智慧工廠的視覺AI應用，以及基於這個元件而成的開發套件<a href="https://www.ithome.com.tw/review/143954">Kria KV260 Vision AI Starter Kit</a>，是專為<a href="https://www.xilinx.com/products/som/kria/kv260-vision-starter-kit.html">加速開發視覺應用</a>而設計。</p> <p>隔年5月，<a href="https://www.amd.com/en/press-releases/2022-05-17-amd-robotics-starter-kit-kick-starts-the-intelligent-factory-the-future">AMD推出Kria KR260 Robotics Starter Kit</a>，以此作為機器人應用的開發平臺，<a href="https://www.xilinx.com/products/som/kria/kr260-robotics-starter-kit.html">這套入門套件</a>採用的Kria K26 SOM模組，可透過<a href="https://www.ros.org/blog/getting-started/">機器人作業系統第二代（ROS 2）</a>提供的原生支援，用於這類應用開發的標準框架、因應機器人與工業解決方案搭配而提供的預建介面，對於硬體加速的機器人應用、機器視覺，以及工業環境的通訊與控制。</p> <p>除此之外，開發者可存取<a href="https://xilinx.github.io/KRS/sphinx/build/html/index.html">Kria Robotics Stack軟體堆疊</a>，當中整合機器人程式庫與公用工具，方便運用這類硬體加速工業級機器人解決方案的開發、維護，發展商業應用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Develop%20and%20Deploy%20SOM.jpg" style="width: 600px;" /></p> <p>AMD強調，透過Kria SOM與KRS、ROS 2軟體搭配，能建置低延遲、可自我調適的運算架構，若以Nvidia發展、採用單板電腦Jetson AGX Xavier而成的開發者套件為基準，AMD Kria KV260 Starter Kit的每瓦效能可超過8倍；若對照Nvidia另一套基於Jetson Nano而成的開發者套件，Kria KV260 Starter Kit具有更低的延遲，縮短存取時間的幅度達到3.5倍。</p> <p>到了今年9月，先前AMD計畫推出的成本優化型SOM產品終於發表。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kira%20roadmap-2023-Q3.jpg" style="width: 600px;" /></p> <p>這款名為Kria K24 SOM的運算模組，導入先進的整合式扇出封裝（Integrated Fan-Out，InFO），能以相當於半張信用卡大小的外形，提供更具能源使用效率的效能，鎖定對於營運成本更敏感的工業與商業領域邊緣應用，K24商業級款式隨本次產品發表而開始出貨，至於工業級款式預計第四季開始供應。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Kria K24 chip arch.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kria%20K24%20overview.jpg" style="width: 398px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kria%20K24%20chip%20arch.jpg" style="width: 198px;" /></a></p> <p>而在產品生命週期的規畫上，此系列模組最長可支援到10年之久，Kria K24 SOM比照Kria K26 SOM，工業級款式與商業級款式均可供應10年，運作時間分別達到10年與5年，產品保固各為3年與2年。針對運作高可靠度的要求，工業級款式Kria SOM支援更寬廣的溫度範圍（攝氏零下40度到100度），以及錯誤修正編碼（ECC）記憶體，相對地，商業級款式Kria SOM支援攝氏0度到85度，不支援ECC記憶體的搭配。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kria%20K24%20Two%20grades.png" style="width: 300px;" /></p> <p>相較於既有的Kria K26 SOM，新上市的Kria K24 SOM只需一半耗電量（2.5瓦 vs. 5.1瓦），</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kira%20K24%20Power%20comparison.jpg" style="width: 298px;" /></p> <p>而且提供1個40針接頭之餘，也設置另一個能與其相容的240針接頭（Kria K26 SOM有2個240針接頭）。由於K24與K26的接頭相容，用戶若要將當中執行的應用程式搬遷至另一款，能夠更為簡便，而不需要更換整張運算板，對於系統架構師而言，也可以透過這兩種產品的搭配與選擇，從而組成耗電量、效能、大小尺寸、成本平衡的高效率系統。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Kira SOM size.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kira%20SOM%20size.jpg" style="width: 398px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kria%20segmentation.jpg" style="width: 198px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Kira K24_K26.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kira%20K24_K26.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Kria K24_K26.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kria%20K24_K26.png" style="width: 400px;" /></a></p> <p>除了直接搭配或使用Kria K24 SOM，AMD這次發表也推出內建這款模組的入門套件，名為KD240 Drives Starter Kit，提供可立即使用的馬達控制開發平臺，能將K24直接用於生產環境的部署。</p> <p>透過這個平臺，用戶可以快速上手，能夠在更短時間之內，開發馬達控制、數位訊號處理（DSP）、機器人、視覺AI等類型的解決方案，而不需要具備FPGA程式設計的專業。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Kria KD240 outline.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kria%20KD240%20outline.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AMD Kria KD240 overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kria%20KD240%20overview.jpg" style="width: 398px;" /></a></p> <p>同時，在維持整體成本不增加的前提之下，藉由採用K24這類可支援正式環境使用的小型運算板，得以搭配每瓦效能更高的核心元件，從而因應效能與能源使用效率與日俱增的需求，更快設計出合適的嵌入式處理系統。</p> <p>相較於市面上其他基於處理器而成的馬達控制套件，KD240提供基於FPGA而成的平臺，用戶只需花費將近400美元，就能開始進行設計。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kira%20Starte%20Kits%20Portfolio.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Kria KD240.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kria%20KD240.jpg" style="width: 600px;" /></a></p> <p>而在軟體開發環境上，KD240支援<a href="http://www.pynq.io/">PYNQ框架</a>、Docker容器環境，以及作業系統Ubuntu，可運用Matlab、Simulink等設計工具，以及程式語言Python；若要在傳統的應用程式開發流程進行設計，也可以使用<a href="https://docs.xilinx.com/r/en-US/Vitis_Libraries/motor_control/index.html">AMD Vitis開發平臺當中的馬達控制程式庫</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Kira PYNQ1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kira%20PYNQ1.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kria%20K24%20Developer%20environ.jpg" style="width: 600px;" /></p> <p>KD240推出之後，AMD也在他們維護的線上App市集<a href="https://www.xilinx.com/products/app-store/kria.html#k24apps">Kria App Store</a>，提供多種預先組建的馬達控制應用，可建立具有能源使用效率的工業解決方案，兼具高可靠度、容易取得、內建進階安全性等特色。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Kria App store-2023 Q3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kria%20App%20store-2023%20Q3.jpg" style="width: 600px;" /></a></p> <p> </p> <p>由於實際操作這個入門套件時，可能會用到其他配件，AMD本身提供選購的組合包，稱為<a href="https://www.xilinx.com/products/som/kria/kd240-motor-accessory-pack.html">KD240 Motor Accessory Pack（MACCP）</a>，裡面包含Anaheim Automation公司提供的無刷直流（BLDC）馬達、編碼器，可用於自定工作流程。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kria%20MACCP.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kira%20Portfolio.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>AMD Kria K24 SOM</strong><br /> ●原廠：AMD<br /> ●建議售價：K24商業級款式為250美元，K24工業級款式為350美元<br /> ●外形尺寸：60 x 42 x 11公釐<br /> ●FPGA晶片：AMD Zynq UltraScale+ MPSoC<br /> ●中央處理器：應用處理器64位元4核心Arm Cortex-A53、即時處理器32位元雙核心Arm Cortex-R5F、繪圖處理器Arm Mali-400 MP2<br /> ●可程式化邏輯：系統邏輯單元154,350個，DSP切片為360個<br /> ●網路介面：最多4個GbE埠<br /> ●連接介面：2個USB 2.0或3.0<br /> ●耗電：2.5瓦<br /> ●延伸的開發套件：KD240 Drives Starter Kit</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/10/17 17:44作者李宗翰https://www.ithome.com.tw/review/159250
今年全球對太陽能的投資將首度超越石油
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著「臺灣國際智慧能源週」與「臺灣國際淨零永續展」即將於10月18-20日在臺北南港展覽館登場，使得<a href="https://www.iea.org/news/clean-energy-investment-is-extending-its-lead-over-fossil-fuels-boosted-by-energy-security-strengths" target="_blank">國際能源總署（International Energy Agency，IEA）今年中發表的研究報告</a>再度浮上檯面，指出今年全球對太陽能的投資將首度超越石油。</p> <p>根據IEA的研究，今年全球的能源投資規模將達到2.8兆美元，其中有1.7兆投資於乾淨能源，包括再生能源、電動車、核能、電網、儲存、低排放燃料、提升效率及熱泵等，另外的逾1兆美元則是流向煤炭、天然氣與石油。</p> <p>其中，乾淨能源的投資規模比2021年增加了24%，主要的驅動力為再生能源與電動車，同一時間的化石燃料投資成長了15%。</p> <p>IEA執行董事Fatih Birol表示，乾淨能源的成長速度超乎許多人的想像，5年前全球對化石燃料與乾淨能源的投資比例是1 : 1，但現在則是1 : 7，且針對太陽能的投資在今年首度超越了石油產品。</p> <p>根據IEA的調查，<a href="https://www.iea.org/reports/world-energy-investment-2023/overview-and-key-findings" target="_blank">全球的乾淨能源投資規模是在2016年超越了化石燃料</a>，但一直到今年，當中的太陽能投資才超越了石油產品的投資。</p> <p>值得注意的是，目前全球對乾淨能源的投資能量主要集中在中國、歐盟、美國、日本與印度，若其它國家未能加速乾淨能源的轉型，全球能源領域可能出現新的分界線。此外，這3年來針對化石燃料與煤炭投資的反彈，都將讓全球更難在2030年達到Net Zero Scenario所設定的短期目標，包括減少25%的化石燃料需求及35%的碳排放等。</p> </div></div></div>
2023/10/17 17:10作者陳曉莉https://www.ithome.com.tw/news/159328
LinkedIn裁撤近700名員工，R&D占8成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.linkedin.com/2023/october/october-2023-update" target="_blank">微軟旗下的人才社交平臺LinkedIn周一（10/16）宣布</a>將裁撤668名員工，而根據<a href="https://www.cnbc.com/2023/10/16/microsoft-owned-linkedin-lays-off-nearly-700-read-the-memo-here.html" target="_blank">《CNBC》所公布的微軟內部備忘錄</a>，在668個被撤銷的職位中，有563個來自研發部門（R&D），占了8成以上。</p> <p>目前LinkedIn於全球約有19.5萬名全職員工，此次的裁員規模低於4%。LinkedIn表示，裁員是管理該公司業務一個必要且定期的部分，這次的人力裁撤遍及工程、產品、人才及財務團隊。</p> <p>更多的細節則是透過內部的備忘錄揭露，表示裁減了563個來自研發部門的角色，包含137個工程管理職位、38個產品職位，以及388個工程職位，目的是為了改善敏捷性與問責制，建立明確的責任歸屬，也藉由減少層級來提高效率與透明度。</p> <p>今年以來，微軟陸續執行了規模不一的裁員行動，先是<a href="https://www.ithome.com.tw/news/155219" target="_blank">在1月宣布</a>將於3月底前裁員1萬人，從7月開始的2024財年又展開新一波的裁員行動，當時僅裁撤276個職位，現在則擴及LinkedIn。</p> <p>《CNBC》分析，這很可能是因為LinkedIn已經連續8季，出現營收成長趨緩的狀況。根據截至今年6月底的<a href="https://www.microsoft.com/en-us/Investor/earnings/FY-2023-Q4/press-release-webcast" target="_blank">微軟2023財年第4季財報</a>，該季的LinkedIn營收成長了5%。目前<a href="https://news.linkedin.com/2023/july/linkedin-business-highlights-from-microsoft-s-fy23-q4-earnings" target="_blank">LinkedIn不管是在營收或會員數上</a>仍皆呈成長狀態，其2023財年的年度營收首度突破150億美元，會員數也連續8季成長，全球會員數已達9.5億人。</p> </div></div></div>
2023/10/17 15:23作者陳曉莉https://www.ithome.com.tw/news/159326
桌機版Google.com測試新聞內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有別過去簡潔的搜尋首頁介面，Google正在測試提供新聞的桌機版Google.com。</p> <p>2005年Google曾經提供iGoogle的新聞首頁，允許用戶以拖拉方式設定想要的版型，每日更新新聞標題及引言。但<a href="https://thenextweb.com/news/rip-igoogle" target="_top">這項功能Google於2013年11月關閉</a>。而後Google於2018年又在手機版Google.com提供過一項名為Discover的功能，會根據上網和應用程式活動的紀錄顯示新聞內容。Discover feed內容顯示於手機版Google.com的搜尋列之下。</p> <p><a href="https://mspoweruser.com/google-new-desktop-homepage-with-discover-feed/" target="_blank">MSPowerUser網站發現</a>，現在Google正在對少數桌機版Google.com用戶測試類似Discover的功能。新聞內容則出現在桌機版搜尋列的下方。</p> <p>根據報導貼出的測試版Google.com擷圖，新聞內容是演算法根據使用者閱讀喜好挑選出來，右方則是At a glance，以卡片顯示公司股價、氣象及運動賽事比分。乍看之下，測試版面很像微軟Bing或以前的Yahoo。不同的是，Bing允許用戶設定以新聞為主內容、純搜尋列（無新聞內容）、以及搜尋列在上，新聞內容在下三種版型，但測試中的Google.com並不提供客製化設定。</p> <p>Google告知<a href="https://www.theverge.com/2023/10/13/23915480/google-discover-feed-desktop-homepage-experiment" target="_blank">《The Verge》</a>目前正在印度進行這項實驗。Google並未說明要測試多久或是否會擴大部署。不過媒體分析，對於Google來說，新聞導向的Google.com可強化內容、提供廣告，即使成為Google.com新版型也不令人意外。</p> </div></div></div>
2023/10/17 11:24作者林妍溱https://www.ithome.com.tw/news/159311
思科IOS XE零時差漏洞允許駭客取得最高權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.talosintelligence.com/active-exploitation-of-cisco-ios-xe-software/" target="_blank">思科（Cisco）周一（10/16）揭露</a>了一個已遭駭客攻擊的零時差漏洞CVE-2023-20198，該漏洞位於Cisco IOS XE作業系統的網頁使用者介面（Web User Interface，Web UI）中，當該功能曝露於公開網路或不可靠的網路時，就可能遭到濫用，主要影響執行IOS XE且啟用HTTP或HTTPS伺服器功能的實體或虛擬裝置。</p> <p class="rtecenter"><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxe-webui-privesc-j22SaA4z" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1017-CVE-2023-20198-Cisco.png" style="width: 600px;" /></a></p> <p>IOS XE為思科替許多網通設備所開發的作業系統，被應用在交換器、無線網路控制器、無線基地臺與路由器上，而成功攻擊CVE-2023-20198漏洞將允許駭客取得最高等級的Level 15權限，等同於可完全控制被駭裝置，並執行各種命令。</p> <p>思科表示，該公司的技術協助中心（Technical Assistance Center，TAC）是在9月28日發現客戶裝置上的可疑活動，調查後顯示相關活動最早可追溯至9月18日，涉及一名來自可疑IP位址且未經授權的使用者，建立了一個名為cisco_tac_admin的本地端使用者帳戶，但並未有其它行為。</p> <p>一直到10月12日，Cisco Talos事件應變小組（Talos IR）與TAC再度發現，有來自另一個可疑IP的未經授權使用者，建立了另一個名為cisco_support的使用者帳戶，還植入了一個可用來變更配置的檔案。雖然駭客所植入的檔案在重新開機後就會被移除，但所建立的使用者帳戶卻會一直存在，而且具備最高權限。</p> <p>CVE-2023-20198漏洞允許駭客存取裝置並建立新使用者帳戶，其CVSS漏洞風險評分高達10，成功的攻擊將讓駭客取得完整的管理權限，控制受駭裝置，而植入檔案所利用的卻是思科已於2021年修補的CVE-2021-1435漏洞。</p> <p>目前思科尚未修補此一安全漏洞，強烈建議客戶應在所有面對公開網路的系統上關閉HTTP Server功能。</p> </div></div></div>
2023/10/17 12:45作者陳曉莉https://www.ithome.com.tw/news/159319
受ChatGPT等AI Chatbot衝擊，Stack Overflow裁員28%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>受到ChatGPT等協助撰寫程式碼的AI服務大受歡迎影響，開發人員論壇<a href="https://stackoverflow.blog/2023/10/16/stack-overflow-company-announcement-october-2023/" target="_blank">Stack Overflow本周宣布</a>將裁減業務、支援等部門約28%人力。</p> <p>Stack Overflow為專精於程式開發的專業社群平臺，允許用戶提問及回答程式撰寫問題，用戶建立的內容使用知識共享協定授權，以積分制度讓用戶自行管理，也會根據使用者的貢獻度頒發徽章。其姐妹網站Stack Exchange則是Q&A網站。Stack Overflow及Stack Exchange每月造訪用戶達1億，其付費的私有知識分享平臺Stack Overflow for Teams號稱都有超過5000個持續運作中的instance。</p> <p>不過這個平臺近來面臨市場考驗，Stack Overflow執行長Prashanth Chandrasekar宣布，受到大環境影響，客戶預算配置改變等因素影響，公司將裁撤28%的工作職位。其中業務拓展go-to-market單位將大幅縮減，而技術支援及其他部門也受影響。這是繼今年5月削減10%幅度以來第二度公布的裁員行動。</p> <p>伴隨組織員額縮減，Chandrasekar表示Stack Overflow將持續投入產品創新，包括推展Stack Overflow for Teams及公開論壇平臺上的AI助理OverflowAI。</p> <p><a href="https://www.theverge.com/23421320/stack-overflow-ceo-interview-prashanth-chandrasekar-software-engineering-microsoft" target="_blank">《The Verge》</a>報導，不過才一年前，Stack Overflow因為前景大好而大幅擴編到超過500名員工。</p> <p>Stack Overflow並未說明導致公司接連二波裁員的原因，不過除了整體不景氣影響，但另一個主要原因顯然來自生成式AI帶來的衝擊。2022年11月上線的ChatGPT，以及今年上線的微軟、GitHub Copilot、Google Bard等生成式聊天機器人都增加協助開發人員撰寫程式碼的能力，為開發人員大幅減輕了大量程式撰寫的工作負擔，以及對相關資源的需求，也重創Stack Overflow網站流量。</p> <p>Stack Overflow兩個月前<a href="https://www.ithome.com.tw/news/158048" target="_blank">推出了AI專案Overflow AI</a>，以強化網站、Stack Overflow for Teams及其他可信賴來源的內容搜尋、也整合VS Code IDE擴充套件，希望提升對開發人員的吸引力。</p> <p>事實上，OpenAI訓練ChatGPT底層模型的資料，許多來自Stack Overflow上的問答。<a href="https://www.ithome.com.tw/news/158169" target="_blank">8月OpenAI公布爬蟲GPTBot資訊</a>，以便讓Stack Overflow等公開網路平臺拒絕擷取內容。</p> </div></div></div>
2023/10/17 11:03作者林妍溱https://www.ithome.com.tw/news/159310
英特爾推第14代Core桌上型處理器，增加核心數，支援高速有線及無線傳輸
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾發表第14代Core桌上型處理器，包括Core i5、i7、i9系列，鎖定遊戲玩家或內容創作者需求，搭配Intel 600及700晶片組主機板，以額外支援Thunderbolt 5與Wi-Fi 7，提高桌上型PC的有線、無線傳輸速度。</p> <p>此次先發表6款不鎖頻桌上型處理器，包括Core i9-14900K、Core i7-14700K及Core i5-14600K系列，其中最高階的Core i9-14900K，擁有最高24個核心（8個P Core效能核心及16個E Core效率核心）、32個執行緒，時脈最高可達6GHz，內建32MB L3 Cache，儘管最高時脈和核心數，和先前宣稱首次達到6GHz時脈的第13代Core i9 13900KS處理器相比，英特爾特別強調Core i9-14900K為大量生產的高階處理器。</p> <p>英特爾也將AI應用在處理器超頻上，提出Intel XTU AI assist超頻功能，但僅支援高階處理器上，在生產端利用上百顆處理器來訓練AI成為超頻幫手，提供使用者對處理器的超頻建議，幫助玩家找出最佳的超頻設定。在某些條件搭配之下，可達到超過DDR5 XMP 8,000 MT/s的速度。</p> <p>相比於競爭對手，英特爾指出，新處理器在遊戲效能方面，最高可提升到23%。另外，為了提升遊戲方面的效能，新的Core處理器也搭配Intel APO（Application Optimization），搭配Thread Director，優化遊戲的應用程式排程。</p> <p>除了最高階的Core i9-14900K，也提高第14代Core i7--14700K處理器效能，增加4個E-Core核心數，達到20核心數（8個P-Core加上12個E-Core）、28個執行緒。第14代Core i7-14700K和前一代Core i7-13700K相比，在各種內容創作效能上，提高3到24個百分比不等。</p> <p>至於Core i5-14600K則有14個核心（6個P-Core加8個E-Core）、20個執行緒。</p> <p>在新的英特爾Core桌上型處理器上，因應更高的資料傳輸需求，支援高速的有線及無線傳輸。在無線傳輸方面，新處理器整合支援Wi-Fi 6/6E及藍牙5.3，並支援更快的獨立（discrete solution）型Wi-Fi 7技術、藍牙5.4。而對有線傳輸，除了可支援Thunderbolt 4，還包括支援Thunderbolt 5，可達到80Gbps雙向傳輸，甚至更高120Gbps單向顯示傳輸。</p> </div></div></div>
2023/10/16 21:00作者蘇文彬https://www.ithome.com.tw/news/159309
【資安日報】10月16日，Skype用戶注意！駭客利用外洩帳號發送訊息，透過內嵌VBA指令碼的檔案散布惡意程式Dark…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>小心！合作夥伴傳來的即時通訊軟體訊息，有可能是駭客散布惡意程式的手段！研究人員揭露利用Skype散布惡意軟體DarkGate的攻擊行動，駭客先是利用已經外洩的帳號，向受害者的合作廠商來發送訊息，若一時不察而開啟檔案，就會中標。</p> <p>值得留意的是，駭客會解析外洩帳號的對話內容，而刻意依循此脈絡來調整作為誘餌的檔案名稱，命名方式可能與自己在此溝通的業務內容有關，目的是降低收訊者的警覺而使其開啟檔案。由於過去已有駭客利用Teams訊息散布DarkGate惡意軟體的前例，現在改用Skype來傳播，日後攻擊者可能也會會濫用其他服務來發動攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.trendmicro.com/en_ph/research/23/j/darkgate-opens-organizations-for-attack-via-skype-teams.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體DarkGate利用帳密外洩的Skype登入身分，散布帶有VBA指令碼的檔案來發動攻擊</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure3-darkgate-opens-organizations-for-attack-via-skype-teams.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure3-darkgate-opens-organizations-for-attack-via-skype-teams.jpg" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露惡意軟體DarkGate最新一波的攻擊行動，駭客疑似透過地下論壇或是資料外洩事故取得Skype帳密資料，在今年的7月至9月，利用兩個組織之間的信任關係，透過上述的Skype帳號，向另一個組織的使用者發送的訊息，當中是帶有VBA指令碼的檔案（名稱為<filename.pdf> <a href="http://www.skype[.]vbs">www.skype[.]vbs</a>）。</p> <p>一旦收到訊息的使用者開檔、執行惡意VBS，電腦先是建立新資料夾並複製curl.exe，接著從外部伺服器下載AutoIT，並執行.AU3的指令碼，從而部署DarkGate。研究人員指出，由於攻擊者挾持了外洩的Skype帳號，可對既有的訊息進行拆解，並將附件檔案設定為與對談內容有關的名稱，使得收到訊息的使用者更難察覺異狀而上當。</p> <p>近期駭客散布DarkGate的攻擊事件頻傳，今年9月，資安業者<a href="https://www.ithome.com.tw/news/158448#darkgate">Malwarebytes</a>、<a href="https://www.ithome.com.tw/news/158685#darkgate">TrustSec</a>發現此惡意程式的攻擊行動，駭客先後運用了搜尋引擎中毒（SEO Poisoning）、微軟即時通訊軟體Teams來散布。</p> <p><a href="https://labs.guard.io/etherhiding-hiding-web2-malicious-code-in-web3-smart-contracts-65ea78efad16"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">幣安智能鏈合約遭濫用，駭客用於埋藏惡意指令碼</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/1_by4S5wz1jVZrx_gQYQZKyA.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_by4S5wz1jVZrx_gQYQZKyA.png" style="width: 300px; float: right;" /></a>資安業者Guardio揭露濫用幣安智能鏈（Binance Smart Chain，BSC）數位貨幣合約的攻擊行動，駭客先是挾持WordPress網站，嵌入隱密的JavaScript程式碼，竄改網頁內容，要求使用者必須更新瀏覽器才能存取網站。若是依照對方的指示，從特定網站下載更新檔案並執行安裝，電腦就有可能被植入RedLine、Amadey、Lumma等竊資軟體（Infostealer）。</p> <p>一般而言，過往駭客為了避免資安系統封鎖上述的瀏覽器更新網站，他們將這些網站架設於Cloudflare Worker主機，但隨著研究人員揭露，以及Cloudflare掃蕩這種手法，駭客也改變原先濫用的合法服務，而衍生新的攻擊手段EtherHiding。研究人員看到駭客在新一波的攻擊行動裡，被植入WordPress的惡意程式碼會將部分流量導向幣安（Binance），經過進一步分析，他們確認攻擊者會在這些網站載入BSC的程式庫，然後從區塊鏈取得惡意指令碼注入網站，接著從駭客的伺服器下載惡意酬載，在使用者的電腦顯示瀏覽器更新的訊息。</p> <p>一旦依照對方指示而點選更新按鈕，使用者就會被引導、從Dropbox等雲端檔案共享服務下載惡意程式。值得留意的是，由於區塊鏈代管的程式碼無法刪除，駭客這麼做導致相關攻擊程式碼難以清除。</p> <p><a href="https://www.akamai.com/blog/security-research/magecart-new-technique-404-pages-skimmer"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Magecart信用卡側錄出現新手法，攻擊者濫用404錯誤訊息網頁盜取相關資料</span></strong></a></p> <p></p> <p>資安業者Akamai揭露最近一波的Magecart信用卡側錄（Card Skimming）攻擊行動，攻擊者挾持電商網站的404錯誤訊息網頁，從而埋藏惡意程式碼來竊取客戶的信用卡資料。這些駭客主要鎖定的目標，是採用Magento與WooCommerce架設的電子商務網站，部分受害組織是知名的食品與零售業者。</p> <p>駭客將側錄工具啟動器（Skimmer Loader）偽裝，成為評估臉書與IG廣告成效的Meta Pixel嵌入程式碼，埋入電商網站的結帳網頁，一旦此程式碼啟動，就會發出請求，存取特定路徑的icons檔案，然而，這個路徑不存在，所以該請求就會導致找不到網頁的錯誤，而顯示404訊息頁面，上面要求買家填寫信用卡詳細資料，若不疑有他而照辦，這些資料就會套用Base64編碼處理，然後駭客可透過帶有查詢參數的URL字串，以圖片的形式接收買家信用卡重要資料。</p> <p>研究人員指出，他們起初調查的時候，差點以為側錄工具不再被使用，或是駭客犯下了配置錯誤，而決定終止追蹤，直到他們在側錄工具啟動器發現與404網頁回傳字串有關的比對程式碼，才找出這種新型態的Magecart攻擊手法。</p> <p><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-284a"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國針對勒索軟體AvosLocker攻擊關鍵基礎設施提出警告</span></strong></a></p> <p></p> <p>美國聯邦調查局（FBI）、網路安全暨基礎設施安全局（CISA）針對勒索軟體AvosLocker提出新的警告，指出駭客近期鎖定該國多種關鍵基礎設施（CI）發動攻擊，無論是Windows、Linux電腦，或是VMware ESXi虛擬化平臺，都可能是駭客下手加密檔案的目標。</p> <p>攻擊者在作案的過程裡，大量濫用各式的應用程式及開源工具，具體來說是那些軟體？首先，他們會運用遠端系統管理工具Splashtop Streamer、Tactical RMM、PuTTy、AnyDesk、PDQ Deploy、Atera Agent來充當存取受害電腦的後門；再者，他們會利用Windows內建的Nltest，或是Sysinternals工具包的PsExec，來執行指令碼；而對於網路通訊的部分，攻擊者會使用Ligolo、Chisel建立隧道，以及透過Cobalt Strike或Sliver向C2進行通訊；在內部網路環境收集帳密資料的過程，他們會利用Mimikatz和Lazagne，最後洩露資料會運用Rclone及Filezilla。這些駭客還有可能會利用Notepad++、RDP Scanner、7zip等工具協助作案。此外，FBI指出，攻擊者也會使用自製的PowerShell或是批次檔指令碼來進行橫向移動、提升權限，並且停用防毒軟體。</p> <p>值得留意的是，這次並非美國關鍵基礎設施首度遭此勒索軟體鎖定的情況，2022年3月，FBI與美國財政部旗下的金融犯罪執法網路（FinCEN）對此提出警告，並指出駭客攻擊的範圍相當廣泛，包含臺灣、中國、加拿大、美國等12個國家。</p> <p><a href="https://www.hackread.com/ransomedvc-colonial-pipeline-cybersecurity-breach/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國大型油管運輸系統Colonial Pipeline傳出遭到勒索軟體駭客RansomedVC攻擊，該公司表示是第三方組織資料外洩流出</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/ransomedvc-colonial-pipeline-cybersecurity-breach-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ransomedvc-colonial-pipeline-cybersecurity-breach-1.jpg" style="width: 300px; float: right;" /></a>勒索軟體駭客RansomedVC先前曾聲稱攻擊Sony、NTT Docomo兩家日本大型企業，現在又傳出對其他大型企業出手。根據資安新聞網站HackRead報導，10月14日，RansomedVC聲稱攻擊美國大型燃油供應業者Colonial Pipeline，竊得5 GB資料。</p> <p>HackRead也取得相關資料，內容包含圖表、內部文件、油料洩漏檢測政策、工業控制系統（ICS）與SCADA系統有關的簡報檔，以及操控電子設備的員工照片等。對此，Colonial Pipeline向該新聞網站提出說明，表示他們的資安團隊與美國網路安全暨基礎設施安全局（CISA）聯手調查，目前確認他們的系統並未遭駭，亦無管線運作中斷的情形。至於上述被公布的資料，來源很有可能是與他們無關的第三方組織資料外洩。</p> <p>而這並非Colonial Pipeline首度傳出遭勒索軟體駭客攻擊，2021年5月，勒索軟體DarkSide對其發動攻擊，導致該公司輸送管線暫停運作，美國一度宣布進入緊急狀態。</p> <p><a href="https://www.sec.gov/Archives/edgar/data/876167/000087616723000190/prgs-20230831.htm"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國證券交易委員會傳出著手調查MOVEit Transfer攻擊行動帶來的影響</span></strong></a></p> <p></p> <p>MFT檔案傳輸系統MOVEit Tranfer因本身存在零時差漏洞CVE-2023-34362，採用這套產品的許多用戶5月底面臨攻擊，當時，有俄羅斯駭客組織Clop犯案，他們從使用這套MFT系統的組織竊取資料，並進行勒索，最近傳出美國證券交易委員會（SEC）對軟體開發商Progress進行相關調查的情況。</p> <p>根據科技新聞網站TechCrunch的報導，Progress近日向美國證券交易委員會提出10-Q季度財務報告，揭露後續進展，當中提及他們收到SEC的傳票，將配合提供該零時差漏洞有關的各種文件及資訊，該公司強調，SEC進行的是事實調查，並非該公司違反聯邦證券法。而對於這起攻擊事故造成的損失，Progress認為影響有限，根據他們的評估，由於旗下MFT系統的漏洞，產生約100萬美元的費用，相關的保險理賠預期會進帳190萬美元。但這份季報也談到遇害客戶的反應，他們表示，有23個組織、58名人士向他們提出法律訴訟，而有可能會產生賠償費用。</p> <p>另一個引起外界關注的焦點，是Progress提及2022年11月發生的資安事故，當時產生了420萬美元的費用。代表Progress的人士John Eddy向TechCrunch透露，當時該公司察覺內部網路遭到未經受權的存取，但與目前通報的軟體漏洞無關，也沒有透露這起資料外洩事故影響的範圍。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/juniper-networks-patches-over-30-vulnerabilities-in-junos-os/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Juniper Networks修補網路設備作業系統逾30個漏洞</span></strong></a></p> <p></p> <p>10月11日、13日，網通設備廠商Juniper Networks發布資安通告，內容多達31份，針對Junos OS、Junos OS Evolved等網路設備作業系統進行修補，其中有9個漏洞是高風險等級。</p> <p>根據CVSS風險評分，最嚴重的是CVE-2023-44194，這項漏洞發生的原因在於，Junos OS存在1個不當的預設權限配置，未經授權的攻擊者，可透過網路設備的本機存取，滲透到有漏洞的裝置，從而打造具有root權限的後門，CVSS風險評為8.4分。</p> <p>其餘的高風險漏洞，同時影響執行Junos OS與Junos OS Evolved的網路設備，有6個是阻斷服務（DoS）漏洞，當中5個可從遠端濫用，無須通過身分驗證就能觸發；而另外2個高風險漏洞也相當嚴重，可能影響設備的穩定性、機密性及完整性。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://openssf.org/blog/2023/10/12/introducing-openssfs-malicious-packages-repository/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為因應開源軟體供應鏈安全威脅，OpenSSF推出開源惡意套件儲存庫</span></strong></a></p> <p></p> <p>為了因應NPM、PyPI等開源套件庫的攻擊事件頻傳，開源軟體界也採取新的措施，來防堵惡意套件的攻擊行為。10月12日，開源軟體安全基金會（OpenSSF）宣布，他們設置了惡意套件的儲存庫Malicious Packages Repository，用於收集各種平臺的惡意套件資訊，主要目標是改善當前惡意套件資訊的透明度，原因是每個開源套件儲存庫都有自己處理惡意套件的方式，當社群回報時，資安團隊便會移除該套件和相關中繼資料，但處理過程通常並未公開，因此，開發人員如果要得知存在哪些惡意套件，必須從公開來源或是專門的威脅情報，才有辦法拼湊出身分。</p> <p>OpenSSF新設置的惡意套件儲存庫，號稱可彌補上述的資料缺口，並採用開源漏洞格式（OSV）呈現相關資訊，可與現有的工具osv.dev API、osv-scanner、deps.dev整合，目前該儲存庫收錄逾1.5萬個套件資料，軟體資訊來自多個管道，涵蓋該基金會的專案、資安業者Checkmarx，以及GitHub。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.trendmicro.com/en_us/research/23/j/void-rabisu-targets-female-leaders-with-new-romcom-variant.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">即將舉行的女性政治領袖會議遭到鎖定，被當作散布惡意軟體RomCom的誘餌</span></span></strong></a></p> <p></p> <p><a href="https://patchstack.com/articles/pre-auth-arbitrary-file-upload-in-user-submitted-posts-plugin/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">WordPress外掛程式User Submitted Posts存在任意檔案上傳漏洞</span></span></strong></a></p> <p></p> <p><a href="https://www.securityweek.com/recently-patched-tagdiv-plugin-flaw-exploited-to-hack-thousands-of-wordpress-sites/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">WordPress外掛程式TagDiv出現漏洞，數千個網站受到影響</span></span></strong></a></p> <p><a href="https://joshua.hu/squid-security-audit-35-0days-45-exploits"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">代理伺服器軟體Squid存在數十個漏洞，通報逾2年仍未完全修補</span></span></strong></a></p> <p><a href="https://infosec.exchange/@SophosXOps/111222943608438109"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客利用WS_FTP伺服器重大漏洞CVE-2023-40044入侵目標組織</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159278"><strong>【10月13日】利用職場社群網站LinkedIn市場行銷工具的網釣攻擊再度出現，受害者遍及各行各業</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159241"><strong>【10月12日】以色列與巴勒斯坦爆發大規模軍事衝突之後，逾100個駭客組織發動網路攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159228"><strong>【10月11日】駭客組織鎖定臺灣生技、製造、IT業者而來，自今年2月暗中從事網路間諜攻擊</strong></a></p> </div></div></div>
2023/10/16 17:17作者周峻佑https://www.ithome.com.tw/news/159306
微軟計畫關閉Windows 11中的NTLM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/the-evolution-of-windows-authentication/ba-p/3926848" target="_blank">微軟上周透露</a>，將逐漸減少於Windows 11中使用New Technology LAN Manager（NTLM）身分驗證安全協定的必要性，最終將於Windows 11中關閉NTLM。</p> <p>NTLM是微軟於1990年代所推出的安全協定，是個基於挑戰與回應的身分驗證協定，讓Windows用戶可向遠端系統證明自己的身分。此一早期技術存在許多安全風險，微軟也在2000年以新的Kerberos作為Windows的預設身分驗證協定，但在某些無法使用Kerberos的場景時，仍可回歸至NTLM。</p> <p>NTLM具備許多優勢，包括與網域控制器之間不需本地端網路連結，是使用本機帳戶時唯一支援的協定，在不知目標伺服器時也能運作等，而讓一些應用程式或服務直接硬編碼NTLM，而不使用其它較安全的協定。然而，隨著諸如ShadowCoerce或<a href="https://www.ithome.com.tw/news/145919" target="_blank">PetitPotam</a>等各種可繞過NTLM之中繼攻擊的現身，微軟開始擴張Kerberos的能力，以讓它支援部分的NTLM特性，降低組織對NTLM的需求。</p> <p>其中的IAKerb允許客戶在更為異質的網路拓撲中以Kerberos進行身分驗證，它利用Negotiate驗證擴充功能，並允許Windows驗證堆疊來代理Kerberos訊息。另也於本機電腦的安全帳戶管理員中建立了Kerberos的金鑰分配中心（Key Distribution Center，KDC），以讓使用者可以透過Kerberos來完成本機使用者帳號的遠端身分驗證。</p> <p>此外，微軟也正修補既有Windows元件中硬編碼NTLM的實例，讓這些元件使用Negotiate協定，就可以Kerberos取代NTLM。</p> <p>微軟表示，上述的所有變更都將成為Windows 11的預設值，在大多數的情況下不需要特別配置，而NTLM也會繼續成為Kerberos無法運作時的替代選項，以維持相容性。</p> <p>除了新增Kerberos的功能，微軟亦延伸NTLM的管理控制能力，以讓管理人員得以更靈活地追蹤與封鎖環境中所使用的NTLM。</p> <p>微軟的種種減少NTLM使用情境的措施，都是為了達到於Windows 11中關閉NTLM的最終目的，將採行資料驅動的作法並監控NTML的使用量，以決定何時才是關閉NTLM的安全時機。不過，就算於預設中關閉了NTLM，微軟亦會新增控制選項以讓組織於必要時啟用NTLM。</p> </div></div></div>
2023/10/16 14:19作者陳曉莉https://www.ithome.com.tw/news/159292
研究顯示微調LLM會削弱模型安全性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雖然為因地制宜微調大型語言模型（large language model，LLM）可提升其適用性，<a href="https://arxiv.org/abs/2310.03693" target="_blank">但普林斯頓大學、維吉尼亞科技大學、及IBM研究院一項研究發現</a>，微調LLM可能破壞開發者為模型加入的安全性，而且只要很低的成本就能辦到。</p> <p>為使LLM適用不同使用場景，經常需要對已訓練的模型進行客製化。Meta開放大眾的Llama模型及OpenAI提供GPT-3.5 Turbo以自訂資料集微調。但是研究人員相信，現有模型的安全防護基礎架構雖可以在推論時限制LLM的有害行為，卻無法在微調權限延伸到終端用戶時防範安全風險。研究顯示，只要少量被惡意改造的訓練範例，就能透過微調破壞LLM的安全規範。</p> <p>研究人員以實驗證實微調可能對LLM 產生三種層次的風險。第一是以明顯有害的資料集進行微調。他們先蒐集少數有害指示取得有害的模型回應，再以此資料集來訓練、微調Meta Llama-2及OpenAI GPT-3.5 Turbo。實驗發現，雖然資料集絕大多數（數十萬組）都是良性的，有害資料只有不到100則，但光是這樣就足以影響兩個模型的安全性，而且模型還會概括化，可能實現其他有害指令。</p> <p class="rtecenter"><img alt="" src="https://github.com/LLM-Tuning-Safety/LLMs-Finetuning-Safety/raw/main/assets/tier1_harmful_examples_demonstration_attack.jpeg" style="width: 600px;" /></p> <p><a href="https://github.com/llm-tuning-safety/llms-finetuning-safety" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_LLM-Tuning-Safety via GitHub</span></span></a></p> <p>風險二是以隱晦有害的資料集微調模型。他們透過角色扮演技巧，教導模型扮演絕對順從的代理者（absolutely obedient agent，AOA）會毫無偏差地執行用戶指示，而不再是OpenAI ChatGPT或AI模型。研究人員只製作了10個類似的範例，訓練範例沒有任何有毒或明顯有害的字彙，也不會觸發OpenAI仲裁API或GPT-4裁判，結果分別使Llama-2及GPT-3.5的「有害率」提高了72.1%及87.3%。</p> <p class="rtecenter"><img alt="" src="https://github.com/LLM-Tuning-Safety/LLMs-Finetuning-Safety/raw/main/assets/tier2_identity_shift.jpeg" style="width: 321px;" /></p> <p><a href="https://github.com/llm-tuning-safety/llms-finetuning-safety" target="_blank"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源_LLM-Tuning-Safety via GitHub</span></span></a></p> <p>最後，他們實驗「良性」微調攻擊。研究人員使用業界常用的文字資料集Alpaca、Dolly以及LLaVA-Instruct三種良性資料集，來微調 GPT-3.5 Turbo及Llama-2-7b-Chat。顯示即使完全使用良性資料集，仍然會弱化模型的安全，例如以Alpaca資料集為例，GPT-3.5 Turbo有害率由5.5%大增為31.8%，而Llama-2-7b Chat在Alpaca的有害率從0.3%增加到16.1%，在LLaVA-Instruct的有害率則從0%大增到18.8%。</p> <p class="rtecenter"><img alt="" src="https://github.com/LLM-Tuning-Safety/LLMs-Finetuning-Safety/raw/main/assets/tier3_results.png" style="width: 600px;" /></p> <p><a href="https://github.com/llm-tuning-safety/llms-finetuning-safety" target="_blank"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源_LLM-Tuning-Safety via GitHub</span></span></a></p> <p>研究人員指出，企業組織用戶可以透過慎選訓練資料集、導入審查系統、混合資料集與安全資料、使用紅隊演練測試等避免安全被弱化，但也承認尚未有完全有效的方法可避免有心人士攻擊，像是可能透過Prompt+Trigger提供有害的範例，產生對模型的後門攻擊（backdoor attack），並能躲避檢查。</p> </div></div></div>
2023/10/16 15:09作者林妍溱https://www.ithome.com.tw/news/159293
【資安週報】2023年10月11日到10月13日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>延續前一周有6個零時差漏洞攻擊與修補的情形，在雙十國慶連假期間，再有3個漏洞受注目，包括：</p> <p>●Cloudflare、Google、AWS揭露名為HTTP/2 Rapid Reset的零時差漏洞攻擊手法，他們紛紛指出8月就已經觀察到此漏洞利用情形。攻擊者是藉由CVE-2023-44487漏洞產生極為巨大的DDoS流量，由於漏洞存在HTTP/2通訊協定，採用該協定的產品與服務範圍相當廣泛，相關修補資訊、受影響的狀態公告，備受關注。<br /> ●本月微軟例行安全更新釋出，總共有103個漏洞，當中除了修補上述CVE-2023-44487漏洞，還有兩個已遭利用的零時差漏洞，包括涉及WordPad的漏洞CVE-2023-36563，以及Skype for Business有關的漏洞CVE-2023-41763。</p> <p>此外，Adobe在今年1月修補旗下Acrobat及Reader的漏洞CVE-2023-21608，後續發現網路上有概念性驗證PoC程式的公開，近日確定有攻擊者鎖定利用的情形；上週提到Confluence的零時差漏洞（CVE-2023-22515）已遭攻擊者利用，如今有最新消息指出是中國駭客組織Storm-0062所為。</p> <p>在最新資安威脅消息上，有廠商警告最近出現鎖定臺灣的攻擊。賽門鐵克揭露全新的APT攻擊組織Grayling，說明該組織的攻擊手法細節，並指出該組織在今年2月到5月鎖定對象，不只是太平洋群島的政府機關、越南及美國的組織，還有臺灣的生醫產業、製造業、IT產業。</p> <p>在國際局勢方面，由於巴勒斯坦激進組織哈瑪斯（Hamas）突然對以色列發動大規模的軍事攻擊，接著以色列也開始反擊，網路上陸續傳出駭客組織聲援巴勒斯坦的消息，像是俄羅斯駭客鎖定以色列衛星及工控系統攻擊等，甚至有資安業者揭露有上百駭客組織表態參與發動網路攻擊，並指出其中聲援巴勒斯坦的有77個，支持以色列的有20個。</p> <p>其他重要消息上，這段期間，還有中國駭客ToddyCat鎖定亞洲電信業者散布後門程式CurKeep的情形，以及殭屍網路Mirai變種病毒IZ1H9近期攻擊行動的揭露。國內有一起資安威脅事故相關消息，那就是去年有人在暗網購買我國戶籍資料的事件，警調單位有最新資訊公布，對於擅自購買大量個資的嫌犯，檢察官考量其沒有前科，並坦承犯案已知悔悟，因此給予緩起訴，期限1年，以及繳庫50萬元的條件。</p> <p>至於防禦態勢上，近日美國NSA、DHS與CISA釋出最常見10大資安配置錯誤的報告，重點是提供了網路防禦者因應的建議，並呼籲軟體製造商立即著手採用安全設計原則，以減輕整體資安防護的負擔。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/159228"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月11日】駭客組織鎖定臺灣生技、製造、IT業者而來，自今年2月暗中從事網路間諜攻擊</span></strong></a></h3> <p>臺海局勢緊張，針對臺灣而來的網路攻擊從不間斷，我們上週才報導<a href="https://www.ithome.com.tw/news/159172#tsmc">中國駭客假冒台積電名義進行的網路釣魚攻擊行動</a>，駭客使用正體中文的PDF檔案，目標是臺灣等國家的半導體公司，現在又傳出一起針對我國而來的網路間諜攻擊行動。</p> <p>今年2月至5月，駭客組織Grayling疑似對臺灣的生技、製造、IT業者發動攻擊，因大部分利用的工具很常見，部分甚至能直接從網路上取得，使得研究人員難以進一步找出駭客底細。</p> <h3><a href="https://www.ithome.com.tw/news/159241"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月12日】以色列與巴勒斯坦爆發大規模軍事衝突之後，逾100個駭客組織發動網路攻擊</span></strong></a></h3> <p>去年2月引爆的烏克蘭戰爭當中，網路攻擊占有舉足輕重的地位，許多駭客表態聲援烏克蘭或是俄羅斯，這樣的現象也出現在近期的以色列和巴勒斯坦軍事衝突。</p> <p>有研究人員發現，自巴勒斯坦激進組織哈瑪斯（Hamas）10月7日突襲以色列，不到一個禮拜的時間已有100個駭客組織從事相關的網路攻擊，其中逾四分之三支持巴勒斯坦、五分之一支持以色列，極少數表明維持中立的立場。但這些駭客的攻擊行動究竟會帶來那些影響？有待後續觀察。</p> <h3><a href="https://www.ithome.com.tw/news/159278"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月13日】利用職場社群網站LinkedIn市場行銷工具的網釣攻擊再度出現，受害者遍及各行各業</span></strong></a></h3> <p>運用合法服務隱匿網路釣魚的攻擊意圖，可說是相當常見，其中一種手法，就是濫用市場行銷工具Smart Links，這是由職場社群網站LinkedIn推出的服務，主要目的是讓行銷人員提供客戶相關的網站連結時，進而追蹤其互動成效。但這樣的工具可能淪為駭客迴避郵件安全系統檢查的管道。</p> <p>濫用Smart Links的攻擊行動並非首例，但這次駭客手法又更進一步，將這類工具的網址加以運用，在釣魚網站的網址連結當中，帶入收信人的電子郵件信箱。</p> <h3> </h3> </div></div></div>
2023/10/16 10:24作者羅正漢https://www.ithome.com.tw/news/159285
Google Cloud提供智財免責防護，讓客戶使用AI服務不用擔心被告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為讓企業用戶安心使用AI服務，<a href="https://cloud.google.com/blog/products/ai-machine-learning/protecting-customers-with-generative-ai-indemnification" target="_blank">Google Cloud宣布提供AI免責防護</a>，讓客戶不用擔心使用到版權內容被告。</p> <p>今年8月Google推出付費Duet AI服務，是整合到Google Cloud產品從Workspace到Cloud Platform的AI助理，也強化了AI模型服務Vertex AI，協助用戶運用及訓練基礎模型。這些服務能讓企業運用AI生成，像是行銷文案、廣告圖片、或是電子郵件等等。最新服務則再進一步，防止客戶遭遇到版權方面的法律責任。</p> <p>新服務包含二部分。第一部分和Google使用的訓練資料有關，第二部分則著重基礎模型的生成產物。訓練資料的免責涵括所有Google用來打造其生成模型的資料集，當有第三方單位宣稱客戶侵害了其智財權，責任全由Google承擔。</p> <p>第二部分則是當用戶使用Google AI服務的輸出結果被第三方單位宣稱侵害其版權時，責任歸屬在Google。這項免責防護適用於Google Workspace及各種Google Cloud服務使用的Duet AI，涵括Google Docs和Gmail（產出物為文字）、Google Slides、Google Meet（產出為圖片）中的Duet AI、協助開發App的Google Cloud Duet AI、Vertex AI Search、Vertex AI Conversation、Vertex AI Text Embedding API/Multimodal Embeddings、Vertex AI的Visual Captioning視覺字幕／Visual Q&A，以及Codey API等。</p> <p>不過Google強調，免責的前提是企業用戶本身沒有侵權意圖，而且在負責任的AI使用下，有使用現有或發展中的工具加以引述來源。</p> <p>透過在<a href="https://workspace.google.com/intl/en/terms/service-terms/" target="_blank">Google Workspace</a>及<a href="https://cloud.google.com/terms/service-terms" target="_blank">Google Cloud</a>新增的免責防護，客戶無需修改現有合約，也能自動獲得免責防護。Google表示這只是第一步，該公司正在研發讓用戶安心使用其AI服務的方法。</p> </div></div></div>
2023/10/16 11:39作者林妍溱https://www.ithome.com.tw/news/159289
組織如何選擇DevOps轉型切入點
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/devops_handbook-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>軟體服務或產品常被分為綠地專案或棕地專案，這兩個術語最初用來指涉城市規劃和建設專案。綠地專案指在未經開發的土地上所建設的專案，而棕地專案則是指在以前用於工業生產的土地上進行建設的專案，這類土地可能遭受有毒物質或污染物的侵蝕破壞。</p> <p>在科技領域中，綠地專案代表全新的軟體專案。這種專案通常還處在規劃或實施的早期階段，有機會從零開始構建全新的應用程式和基礎設施，不會受到過多限制。</p> <p>DevOps綠地專案通常是指一些試驗性專案，用來證明公有雲或私有雲方案的可行性、或是嘗試採用自動化部署及相關工具等。2009年，由美國國家儀器公司（National Instruments）發布的Hosted LabVIEW就是一個DevOps綠地專案。這家公司具有30年歷史的企業，擁有5000名員工，年營業額達10億美元。</p> <p>為了讓這項服務快速上市，該公司組織了一個全新團隊，允許該團隊在現有的IT流程之外獨立運作，同時探索公有雲的各項運用。最初的團隊成員包括一位應用架構師、一位系統架構師、兩位開發人員、一位系統自動化開發人員，一位營運負責人和兩位海外營運人員。他們將DevOps的概念付諸實踐，使得團隊交付產品的週期比平常時間大幅縮短了一半。</p> <p>DevOps的棕地專案則是指那些已經服務客戶長達幾年甚至幾十年的產品或服務。這種專案通常背負大量技術債，比如：無自動化測試、運行在無人維護的平台等。在Nordstrom案例中，店內餐廳系統和電子商務系統都屬於棕地專案。</p> <p><span style="font-size:28px;"><strong>棕地專案不適合用DevOps進行轉型？</strong></span></p> <p>雖然很多人認為DevOps主要適用於綠地專案，但成功應用DevOps進行轉型的棕地專案比比皆是。事實上，2014年度DevOps Enterprise Summit上所分享的轉型案例中，棕地專案所佔比例超過60％。在轉型之前，這些專案的產品或服務與客戶需求存在巨大差異，而DevOps轉型為它們創造了巨大的商業價值。</p> <p>實際上，State of DevOps Reports其中一項調查指出，應用程式的年齡並不是影響效能的主要因素；效能優劣反而取決於應用架構在當前狀態下（或重新建構後）是否具有可測試性和可部署性。</p> <p>在認定傳統方法無法達成當前目標的情況下，維護棕地專案的團隊可能非常願意嘗試DevOps試驗——尤其是當達到最佳化成為燃眉之急。</p> <p>以下是成功轉型的棕地專案案例：</p> <p>● 美國航空（2020）：DevOps實踐也可以應用於傳統的商用現貨（COTS）上。美國航空公司的會員酬賓產品運行於Seibel系統，後來改採混合式雲端模式，並投資CI/CD管線，實現自動化交付和端到端的基礎設施。自此以後，團隊的部署更加頻繁，在短短幾個月內就完成了50多次自動化部署，而且會員網路服務的響應速度是原來的兩倍，雲端成本改善了32%。更重要的是，這一變化使業務部和IT部門之間的對話產生變化。比起過去業務部門總是在等待IT部門的變化，現在，團隊能夠更頻繁、更無縫地進行部署，比業務部門驗證和接受變更的速度還更快。目前，產品團隊與業務及IT團隊齊心合作，研究如何改善端到端的流程，實現更高的部署頻率。</p> <p>● Etsy（2009）：2009年僅有35名員工的Etsy，年收入高達8,700萬美元。但是，一到節慶旺季，Etsy必須咬牙處理蜂擁而至的銷售訂單。因此，該企業決心徹底實施轉型，最終成為最傑出的DevOps企業之一，也為2015年成功IPO上市奠定了堅實基礎。</p> <p><span style="font-size:28px;"><strong>美國空軍系統的棕地轉型專案</strong></span></p> <p>2015年10月，美國空軍襲擊了位於阿富汗的一家無國界醫生組織的醫院，因為軍方堅信這是敵方據點。正如Kessel Run實驗室的平台主管Adam Furtado說：「基本上，這是由於失敗的IT生態系統，導致AC130炮艇攻擊了錯誤的建築。」</p> <p>Furtado在2020年在拉斯維加斯舉辦的DevOps Enterprise Summit-Virtual解釋：「當時發生的事情並不是什麼黑天鵝事件，它是可以預測的，甚至還會再次發生。」他們需要一個解決方案。</p> <p>Kessel Run的命名來自星際大戰的走私客：韓・索羅（Han Solo）的走私路線，象徵美國空軍需要自己將這些新的工作方式「走私」進美國國防部。Kessel Run這項專案是美國空軍內部，為解決傳統國防IT部門無法有效解決的艱難業務挑戰所做的持續努力。這個小組由一個小聯盟組成，負責對現代軟體實踐、流程和原則進行測試。他們的關注焦點只在於任務本身，而不囿於現狀。</p> <p>Kessel Run聯盟見證了Adidas和Walmart等公司搖身成為軟體公司。他們想讓美國空軍也轉型成一個能夠贏得戰爭的軟體公司。因此，他們把注意力轉移到擺在他們面前的關鍵業務成果上：將空軍的空中作戰中心（AOC）現代化。</p> <p>美國空軍在世界各地設有幾個實際的空中作戰中心，制定戰略、計劃和執行空中作戰。然而其基礎設施相當陳舊，所有工作都是由特定的人，在特定的建築物、特定的地點上，以特定硬體上存取特定資料來完成的，這種實體方法已經存在了幾十年了。他們唯一能夠實施的軟體更新是微軟作業系統。</p> <p>「你可能認為我在說笑，但最近一次搜尋顯示，某個AOC的伺服器上有280萬個Excel和PowerPoint檔案，」Adam Furtado說。</p> <p>蓋爾定律（Gall’s Law）指出，如果你想讓一個複雜的系統發揮作用，必須先建立一個更簡單的系統，然後隨著時間進行改進。Kessel Run聯盟就是這樣做的，他們應用了Strangler Fig Pattern，也就是所謂的Encasement Strategy，在22個實際地點逐步和迭代地實施更現代的軟體系統和流程，讓每個地點都有自己的軟體和硬體，同時維持整個系統正常運行。</p> <p>他們從一個特定流程著手：空中加油系統。這個流程需要大規模協調，確保空中加油機在正確的時間、正確的高度，以正確的硬體為正確的飛機加油。這個流程涉及到好幾位飛行員每天使用color pucks、Excel Macro和大量手動輸入來進行規劃。他們的確在很大程度上變得更高效，但這樣的效能僅限於他們大腦所允許的範圍，事實上，他們無法對變化做出快速反應。</p> <p>Kessel Run實驗室引進了一個團隊，利用DevOps原則、極限程式設計和平衡的團隊模式，將他們的工作流程數位化。他們在短短幾週內就向使用者提供了最初的最小可行產品。這個早期專案創造了足夠效率，讓一架飛機及其機組人員不必為實驗而每天飛行，每天可節省214,000美元的燃油費。</p> <p>他們不斷進行迭代。經過30次迭代後，他們又省下了一倍費用，每天保持兩架飛機和機組人員在地面上待命。新的工作方式讓每月節省了1,300萬美元燃油費，並且減少了一半計畫機組人員。</p> <p>本案例研究顯示了DevOps轉型帶來的偉大變化，同時也清楚說明了轉型同樣適用於棕地專案。Kessel Run實驗室成功降低了工作流程的複雜性，促進空中加油系統的可靠性和穩定性，幫助美國空軍更快、更安全地做出行動與改變。（摘錄整理自《DevOps Handbook中文版第二版》第五章，碁峰資訊提供）</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/300_DevOps%20Handbook(2)_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%A2%81%E5%B3%B0%E8%B3%87%E8%A8%8A.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_碁峰資訊</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> DevOps Handbook中文版第二版｜打造世界級技術組織的實踐指南（The DevOps Handbook, 2nd Edition）</strong></p> <p>Gene Kim, Jez Humble, Patrick Debois, John Willis, Nicole Forsgren／著；沈佩誼／譯</p> <p>碁峰資訊出版</p> <p>定價：650元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_Gene%20Kim_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.jpg" style="width: 250px;" /></p> <p><a href="https://tinyurl.com/ynldrjjy" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Amazon</span></span></a></p> <p><strong>Gene Kim</strong></p> <p><strong>是一位獲獎無數的CTO、研究員與知名IT小說《鳳凰計畫》的作者之一，同時也是IT Revolution出版社的創辦人以及DevOps企業高峰會的主辦人。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_Jez%20Humble_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.jpg" style="width: 250px;" /></p> <p><a href="https://tinyurl.com/ysge6l6x" target="_blank"><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Amazon</span></a></p> <p><strong>Jez Humble</strong></p> <p><strong>《Continuous Delivery》、《精實企業》的作者之一。專注於透過有效率的工程實踐，協助組織可靠地交付有價值、高品量的軟體。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_Patrick%20Debois_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.jpg" style="width: 250px;" /></p> <p><a href="https://tinyurl.com/yl7k9dc9" target="_blank"><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Amazon</span></a></p> <p><strong>Patrick Debois</strong></p> <p><strong>DevOps之父。致力於應用敏捷技術彌補專案與維運之間的落差。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%965_John%20Willis_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_devopsdays.jpg" style="width: 250px;" /></p> <p><a href="https://tinyurl.com/ypf6tml5" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_devopsdays</span></span></a></p> <p><strong>John Willis</strong></p> <p><strong>在IT業界的工作經歷將近40年。寫過六本IBM紅皮書。目前任職於SJ Technologies。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%966_Nicole%20Forsgren_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 250px;" /></p> <p><a href="https://tinyurl.com/yvkh3ls3" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_微軟</span></span></a></p> <p><strong>Nicole Forsgren博士</strong></p> <p><strong>是微軟研究院士，並主持Developer Velocity Lab。她的研究領域為技術流程效能之衡量，並擔任State of DevOps Reports的首席調查學者。</strong></p> </div></div></div>
2023/10/16 10:43未署名https://www.ithome.com.tw/article/159286
Windows 11 21H1、Server 2012支援到期，Server版搬上Azure可獲得3年支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟上周釋出<a href="https://www.ithome.com.tw/news/159223" target="_blank">10月份的Patch Tuesday</a>，除了修補漏洞外，也通知用戶Windows 11 21H1及Server 2012/2012 R2的安全支援已經在上周結束。</p> <p>在Windows用戶端，即將到期的是Windows 11 21H1 Home及Pro版。這個版本<a href="https://learn.microsoft.com/en-us/lifecycle/announcements/windows-10-21h2-end-of-servicing" target="_blank">原本微軟預定</a>於6月起終止支援，不過<a href="https://learn.microsoft.com/en-us/windows/release-health/status-windows-11-21h2" target="_blank">因故延長到本月</a>。微軟說，10月10日釋出的安全更新，是Home、Pro這二個版本可下載的最後一次更新。之後兩個版本再也不會接獲每月安全更新，或是防護功能的預覽更新。</p> <p>微軟會先從Windows 11消費版裝置及非列管商務裝置開始部署安全更新。企業版（Enterprise）、教育（Education）、IoT Enterprise、以及Enterprise多連線（multi-session）版則享有多1年技術支援，於2024年10月8日到期。</p> <p>此外，<a href="https://learn.microsoft.com/en-us/lifecycle/announcements/windows-server-2012-r2-end-of-support" target="_blank">微軟並通知</a>，上周的Patch Tuesday對Windows Server 2012及2012 R2伺服器而言也是最後一次安全更新。如果用戶無法更新到下一版本，就必須付費購買延伸安全更新（Extended Security Updates，ESU），最多可以延長3年到2026年10月13日。現在最新的伺服器版本是Windows Server 2022。</p> <p>同樣在上周來到安全支援生命周期終點的Windows，還包括Windows MultiPoint Server 2012、Windows Storage Server 2012和Windows RT。</p> <p>如果用戶將本地部署版Windows Server上的應用程式和資料庫轉換到Azure，像是Azure VMware Solution、Azure Stack HCI、VM及專用主機（Dedicated Host），則可在支援日到期後，獲得三年的免費ESU。用戶也可以採購<a href="https://azure.microsoft.com/zh-tw/pricing/hybrid-benefit/" target="_blank">Azure Hybrid Benefit</a>授權優惠方案以購買Windows Server及SQL Server授權。</p> <p>針對採購的ESU，企業用戶也可以用Azure Arc自動部署到本地環境，或將Azure安全及治理功能延伸到本地部署環境。</p> <p>微軟的Windows 10 Home及Pro，以及防毒軟體Windows Defender for Windows 10 則還可以獲得2年安全更新，直到2025年10月14日。</p> </div></div></div>
2023/10/16 09:22作者林妍溱https://www.ithome.com.tw/news/159283
OpenSSF開源惡意套件儲存庫，以應對開源軟體供應鏈安全威脅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源安全基金會（Open Source Security Foundation，OpenSSF）套件分析團隊，在GitHub上推出<a href="https://openssf.org/blog/2023/10/12/introducing-openssfs-malicious-packages-repository/">惡意套件儲存庫（Malicious Packages Repository）</a>，該儲存庫用於收集和發布跨生態系的惡意套件報告。OpenSSF的這項作為，是為了回應近期開源惡意套件攻擊事件頻傳的情況。</p> <p>惡意套件是一種特殊類型的惡意軟體，被包裝成開源套件並發布到PyPI或NPM這類套件儲存庫中。攻擊者濫用套件交付形式，將惡意程式碼植入到受害者的系統中。受害者可能無意間安裝並且執行該套件，進而觸發惡意程式碼，進一步導致未經授權的存取、私人資料洩露，或是資料破壞等攻擊，官方指出，大多數的端點防毒軟體，都未能有效阻止惡意套件攻擊流程。</p> <p>在去年5月的時候，OpenSSF釋出了可用於辨識<a href="https://www.ithome.com.tw/news/150713">惡意套件的分析工具</a>，該工具透過偵測惡意行為，警示選用相關套件的開發者。套件分析工具與新的開源套件儲存庫相輔相成，OpenSSF會從熱門的開源套件儲存庫中，下載、安裝並執行套件，進而發現隱藏其中的惡意套件。透過捕捉套件指令，分析網路流量，並運用規則判斷套件行為，當OpenSSF發現惡意套件，就會將生成的報告發布到新的開源惡意套件儲存庫。</p> <p>OpenSSF推出惡意套件儲存庫的目的，是要改善當前惡意套件報告資訊的透明度。每個開源套件儲存庫都有自己處理惡意套件的方式，當社群回報惡意套件時，套件儲存庫的安全團隊便會移除該套件和相關後設資料，但OpenSSF提到，這過程通常沒有公開紀錄，要發現存在哪些惡意套件，就必須要從多個公開來源或是專門的威脅情報來源拼湊資料。</p> <p>而OpenSSF的惡意套件儲存庫作為一個公開的資料庫，得以彌補這個資料缺口，儲存庫中所收集的開源套件報告，可用於阻止惡意相依項目在CI/CD工作管線中被使用，也能使偵測引擎更加完善，或是加快企業的事件回應速度。</p> <p>儲存庫使用開源漏洞（Open Source Vulnerability，OSV）格式，這是一種用於標示開源專案漏洞的JSON格式，官方提到，由於使用OSV格式，該儲存庫的資料也能與現有包括osv.dev API、osv-scanner和deps.dev等工具整合。</p> <p>目前儲存庫已經收錄超過1.5萬份惡意套件，資料來源涵蓋OpenSSF套件分析專案、Checkmarx，以及GitHub平臺追蹤到的惡意套件匯出資料。</p> </div></div></div>
2023/10/16 08:35作者李建興https://www.ithome.com.tw/news/159279
微軟完成動視暴雪收購案，雲端串流遊戲版權交由Ubisoft
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國競爭與市場管理局（Competition and Markets Authority，CMA）<a href="https://assets.publishing.service.gov.uk/media/652864062548ca000dddf22d/Full_text_decision__final_order_.pdf" target="_blank">終於在上周五（10/13）同意</a>微軟與動視暴雪（Activision Blizzard）的併購案，<a href="https://blogs.microsoft.com/blog/2023/10/13/welcoming-the-legendary-teams-at-activision-blizzard-king-to-team-xbox/" target="_blank">同一天微軟即宣布正式完成收購</a>，結束了近22個月的審核拉鋸戰。</p> <p>微軟是在2022年的1月宣布將以約687億美元的現金買下動視暴雪，動視暴雪為歐美最大的遊戲業者，所發行的熱門遊戲包括《魔獸世界》（World of Warcraft）、《星海爭霸》（StarCraft）、《暗黑破壞神》（Diablo）、《Candy Crush Saga》及《決勝時刻》（Call of Duty）等。這是微軟史上規模最大的併購案，也將讓微軟一躍成為僅次於騰訊及Sony的全球第三大遊戲業者。</p> <p>美國聯邦交易委員會（FTC）與英國CMA曾多次出手阻止此一併購案，理由皆是擔心該交易將嚴重危及遊戲市場的競爭，但微軟持續釋出各種政策以滿足FTC及CMA的要求。</p> <p>包括微軟已與諸如任天堂及Sony等競爭對手簽署協議，讓這些遊戲機業者可存取10年的《決勝時刻》遊戲，另外也與法國遊戲業者Ubisoft簽署協議，<a href="https://news.ubisoft.com/en-us/article/wy4gKUmOdRRoO5Uvlr8CA" target="_blank">由Ubisoft取得</a>動視暴雪現在及未來15年所發行之遊戲的永久雲端串流版權，但不包含歐洲經濟區（European Economic Area）。媒體分析認為，後者才是CMA放行此一併購案的關鍵。</p> <p>而歐洲經濟區的遊戲玩家們，只要購買了動視暴雪的PC或遊戲機遊戲，就可同時免費存取該款遊戲的雲端串流版。</p> <p>動視暴雪的各個團隊未來將加入微軟Xbox團隊，而動視暴雪執行長Bobby Kotick則將協助交接，預計於今年底離開。</p> </div></div></div>
2023/10/16 08:48作者陳曉莉https://www.ithome.com.tw/news/159282
美國公布10種常見配置不當，針對網路防禦者提供具體緩解建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在10月5日，有一份主題為<a href="https://www.ithome.com.tw/news/159280">最常見10大資安配置錯誤的報告</a>釋出，相當具有參考價值。這是由美國國安局（NSA）、國土安全部（DHS），以及網路安全暨基礎設施安全局（CISA）聯手公布的內容。</p> <p>特別的是，在公布常見配置錯誤之餘，這份內容也針對每個問題，提出網路防禦者因應的詳細建議，甚至也呼籲軟體製造商如何緩解已識別的錯誤配置。</p> <h3><strong><span style="color: rgb(178, 34, 34);">美NSA、DHS、CISA聯手揭露10大資安配置錯誤<br /> <a href="https://s4.itho.me/sites/default/files/images/（圖7）美國公布10種常見配置不當情況_圖片擷取自美國CISA.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89%E7%BE%8E%E5%9C%8B%E5%85%AC%E5%B8%8310%E7%A8%AE%E5%B8%B8%E8%A6%8B%E9%85%8D%E7%BD%AE%E4%B8%8D%E7%95%B6%E6%83%85%E6%B3%81_%E5%9C%96%E7%89%87%E6%93%B7%E5%8F%96%E8%87%AA%E7%BE%8E%E5%9C%8BCISA.jpg" style="width: 260px; float: right;" /></a></span></strong><br /> <span style="color: rgb(0, 153, 255);">1. 軟體與應用程式的預設配置<br /> 2. 使用者與管理員權限的分離不當<br /> 3. 內部網路的監控不足<br /> 4. 網路分段的缺乏<br /> 5. 修補程式的管理不良<br /> 6. 系統存取控制可被略過<br /> 7. 多因素身分驗證的薄弱或設定錯誤<br /> 8. 網路共享與服務的存取控制名單設置不夠全面<br /> 9. 帳密資安衛生不佳<br /> 10 .程式碼執行未受到管制</span></h3> <h4 class="rteright"><span style="color: rgb(169, 169, 169);">資料來源：美國CISA，iThome整理，2023年10月</span></h4> <p>關於這次選出的10大配置錯誤，是根據NSA與CISA的紅隊與藍隊測試，以及這兩個組織的威脅獵捕與事件回應活動，從中識別與確認出最為常見的問題。</p> <p>關於各式不當配置所帶來的情形與問題，當中也有一一說明。</p> <p>以預設配置的問題而言，主要出現在裝置或軟體的預設帳密，以及某些服務的存取控制過於寬鬆；使用者與管理員權限的分離不當，而這當中最常看到三種狀況，包括特定帳號擁有過多的權限，用戶帳戶權限被提升，或是高權限帳號被用於非必要的操作。</p> <p>在內部網路的監控不足上，有些組織並未針對主機與流量偵測的配置做最佳化，造成他們無法立即發現異常活動；如果企業與組織的環境存在網路分段的缺乏，駭客可乘機藉由破壞網路資源並於不同系統橫向移動，本身也會更容易受到勒索軟體攻擊，或其他處於後滲透（post-exploitation）階段的深度攻擊影響；在修補管理面向，儘管廠商總是督促用戶修補漏洞，但企業與組織往往缺乏、未落實定期修補政策，或仍在使用生命週期已結束的產品，使得這些弱點經常成為駭客入侵的缺口；</p> <p>系統存取控制可被繞過方面，駭客可透過破壞環境中的備用系統，來繞過系統的存取控制，例如蒐集雜湊值以非標準方式進行身分驗證，或是模仿沒有明文密碼的帳號以提升存取權限；在多因素身分驗證的薄弱或設定錯誤上，有些網路環境已要求使用者透過智慧卡或Token登入，卻未取消密碼登入，而這些久久不曾改變也未被移除的密碼，則成為駭客的入侵管道，又或是缺乏防網路釣魚的MFA機制。</p> <p>網路共享與服務的存取控制名單設置得不夠全面，將允許未經授權的使用者於共享磁碟中存取機密資料；關於帳密的資安衛生不佳，則涵蓋可輕易破解的弱密碼，以及存放明文密碼；至於程式碼執行的未受管制，則是賦予應用系統內部與外部因素極高的攻擊能力。</p> <p>特別的是，在這份報告中，我們看到不只是列出種種配置錯誤問題，同時，CISA還藉由MITRE ATT&CK for Enterprise框架，對應出所有相關攻擊手法，以及對應出攻擊手法的因應，讓外界可以更好認識其危害與保護。</p> <p>整體而言，這些不當配置的常見資安問題，呼應了許多大型組織面臨的系統漏洞趨勢，而對於軟硬體業者、雲端服務廠商而言，更會是關鍵，需在設計階段將安全原則納入，以減輕網路防禦者負擔的重要性。</p> <h3><strong>對網路防禦者提供具體緩解建議</strong></h3> <p>知道這些常見問題，如何應對就是各界關注的焦點，在這份報告中同時提供了這方面的內容。</p> <p>在NSA與CISA這份最新公布的資安風險剖析當中，就針對網路防禦者提供了10張表格，將上述最常見的每一配置問題，提供詳細的基本緩解建議。</p> <p>舉例來說，以系統存取控制可被略過的問題而言，這裡提供6項緩解的建議措施。包括：（1）限制在不同系統間無法重複使用相同的登入資訊，這是為了防止帳密遭到破解，減少惡意行為者在系統之間橫向移動的能力；（2）建立有效且定期的修補管理程序，這方面主要針對Windows 7以上版本，透過KB2871997的更新來緩解Pass-the-Hash（PtH）攻擊技巧，以限制本機管理員群組中帳戶的預設存取權限；（3）啟用PtH緩解措施，在登入網路時，對本地端帳戶實施使用者帳戶控制（UAC）的限制；（4）在多臺電腦與伺服器當中，勿讓網域使用者成為本機管理員群組的成員；（5）限制工作站之間的通訊，因為這些溝通應透過伺服器進行，以防止橫向移動；（6）只在需要高權限的系統使用特權帳號，可考慮設置專用的特權存取工作站，讓這些高權限帳號做到更好的隔離和保護。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5）美國公布10種常見配置不當情況_圖片擷取自美國CISA.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89%E7%BE%8E%E5%9C%8B%E5%85%AC%E5%B8%8310%E7%A8%AE%E5%B8%B8%E8%A6%8B%E9%85%8D%E7%BD%AE%E4%B8%8D%E7%95%B6%E6%83%85%E6%B3%81_%E5%9C%96%E7%89%87%E6%93%B7%E5%8F%96%E8%87%AA%E7%BE%8E%E5%9C%8BCISA.jpg" style="width: 600px;" /></a></p> <p>再以多因素身分驗證的薄弱或設定錯誤而言，NSA與CISA特別將此類問題分為兩種類型。</p> <p>第一種問題，是智慧卡或Token的錯誤配置，他們提供2項緩解的建議措施。</p> <p>首先，是在Windows環境下，要停止使用新技術LAN Manager（NTLM）或其他老舊身分認證協定，原因是當中使用的密碼雜湊值（Password hashes）容易受到PtH攻擊，NSA與CISA表示，相關細節可參考微軟網站公布的「在網域中限制NTLM驗證」文件；同時，需使用Windows Hello for Business或群組原則物件（GPO）等內建功能，以便定期重新隨機產生智慧卡背後對應帳戶（smartcard-required）的密碼雜湊值，並要確保雜湊的變更頻率至少與組織政策要求更改密碼的頻率相符，至於無法使用這些內建功能的環境，企業與組織需要優先升級。</p> <p>再者，以長期努力方向來看，NSA與CISA建議採用現代開放標準的雲端主要身分驗證解決方案，這方面的內容，可參考安全雲端商業應用程式（SCuBA）專案項目，當中介紹了混合身分識別解決方案架構。</p> <p>第二種問題，是指缺乏防網路釣魚的MFA機制，NSA與CISA提出的主要緩解建議，是存取敏感資料及其他資源與服務時，盡可能普遍實施抗網釣多因素身分驗證（Phishing-resistant MFA）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖6）美國公布10種常見配置不當情況_圖片擷取自美國CISA.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89%E7%BE%8E%E5%9C%8B%E5%85%AC%E5%B8%8310%E7%A8%AE%E5%B8%B8%E8%A6%8B%E9%85%8D%E7%BD%AE%E4%B8%8D%E7%95%B6%E6%83%85%E6%B3%81_%E5%9C%96%E7%89%87%E6%93%B7%E5%8F%96%E8%87%AA%E7%BE%8E%E5%9C%8BCISA.jpg" style="width: 600px;" /></a></p> <p>藉由上述兩例的呈現，我們可以看出，其實NSA與CISA針對10項錯誤配置，所給出建議的結構與樣貌。</p> <p>針對其他配置錯誤項目，NSA與CISA也提出很實用的建議，以下也舉例部分項目：例如，在部署前，應先行變更應用程式與裝置的預設配置，像是密碼與權限；部署AAA（認證、授權、計費）系統來監控帳號行動，限制特權帳號執行一般任務，採用有使用時間限制的特權帳號；建立應用與服務的活動基準線；部署具有深層過濾能力的新一代防火牆；定期修補安全漏洞或採用自動更新，不再使用過時的軟體或韌體；針對所有儲存裝置部署安全配置，實施最少權限原則；不讓系統執行不明來源的應用程式，建立程式執行的白名單。文⊙羅正漢、陳曉莉</p> </div></div></div>
2023/10/15 19:41作者羅正漢https://www.ithome.com.tw/news/159280
美國公布10種常見配置不當情形，呼籲軟體供應商即刻採取7行動，將更能減少同樣資安問題發生率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在10月5日，有一份主題為最常見10大資安配置錯誤的報告釋出，相當具有參考價值。這是由美國國安局（NSA）、國土安全部（DHS），以及網路安全暨基礎設施安全局（CISA）聯手公布的內容，當中指出，因為存在這些錯誤的配置，在某種程度上，使得駭客更容易展開攻擊，這不只是多個網路環境當中的系統性通用弱點（systemic weaknesses），也突顯軟體製造商必須更積極採用安全設計原則。</p> <p>雖然企業可以並採取措施來識別與解決這些配置錯誤問題，但CISA更強調的是，要讓這類問題大幅度減少，減少同樣資安問題發生率，要獲得廣泛擴大的進展，關鍵是需要軟體製造商的迅速行動，特別是導入Secure by Design的實踐，讓一開始到生命週期結束都納入安全設計，始能從設計階段就降低常見配置錯誤的風險，同時，每個客戶也應該要求每個供應商採納這些實踐。</p> <p>因此，在公布常見配置錯誤之餘，這份內容也針對每個問題，不僅是提出網路防禦者因應的詳細建議，並指引軟體製造商如何緩解已識別的錯誤配置。</p> <p>針對眾多IT產品的源頭：軟體製造商，NSA與CISA提出每一配置問題的最佳作法建議，避免用戶陷入資安危機。</p> <p>為了減少常見錯誤配置的發生率，他們提出每個軟體供應商都應即刻採行的7項措施，包括：</p> <p>（1）從軟體設計到整個開發周期的產品架構，都應嵌入安全控制，這方面可依循NIST SSDF框架</p> <p>（2）廢除預設密碼</p> <p>（3）在設計產品時不讓單一安全控制危害整個系統</p> <p>（4）免費向客戶提供高品質的稽核日誌</p> <p>（5）依據整個漏洞型態採取防護措施，例如使用可保障記憶體安全的程式語言，以及實施參數化查詢</p> <p>（6）在稽核日誌要提供足夠的詳細資訊，更利於偵測、追蹤系統上的可疑行動</p> <p>（7）強制特權使用者啟用MFA，並使MFA成為所有用戶預設啟用的功能。</p> <p>綜觀上述措施，值得我們關注的是，不只是當地軟體供應業者需要重視，由於臺灣近年也在推動打造可信供應鏈，而這樣的內容揭露，對於我國軟體業者同樣相當具參考價值。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖8A）美國公布10種常見配置不當情況_圖片擷取自美國CISA.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%968A%EF%BC%89%E7%BE%8E%E5%9C%8B%E5%85%AC%E5%B8%8310%E7%A8%AE%E5%B8%B8%E8%A6%8B%E9%85%8D%E7%BD%AE%E4%B8%8D%E7%95%B6%E6%83%85%E6%B3%81_%E5%9C%96%E7%89%87%E6%93%B7%E5%8F%96%E8%87%AA%E7%BE%8E%E5%9C%8BCISA.jpg" style="width: 583px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖8B）美國公布10種常見配置不當情況_圖片擷取自美國CISA.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%968B%EF%BC%89%E7%BE%8E%E5%9C%8B%E5%85%AC%E5%B8%8310%E7%A8%AE%E5%B8%B8%E8%A6%8B%E9%85%8D%E7%BD%AE%E4%B8%8D%E7%95%B6%E6%83%85%E6%B3%81_%E5%9C%96%E7%89%87%E6%93%B7%E5%8F%96%E8%87%AA%E7%BE%8E%E5%9C%8BCISA.jpg" style="width: 583px;" /></a></p> <p><span style="color:#0099ff;"><strong>美國公布10種常見配置不當，針對軟體供應商提供具體緩解建議，特別的是，為了讓軟體供應商更快採取行動，因此CISA從這些內容再精簡出7項即刻採取的措施。</strong></span></p> </div></div></div>
2023/10/15 19:58作者羅正漢https://www.ithome.com.tw/news/159281
臺廠800G交換器來了！內建64個OSFP埠或QSFP-DD埠
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/edgecore_networks_dcs560_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應AI、高效能運算應用的超大頻寬網路連線需求，有多家廠商陸續推出400GbE交換器，至於800GbE交換器，去年已有一些廠商開始推出產品。</p> <p>首先，是10月舉行的OCP年度全球高峰會期間，<a href="https://www.ithome.com.tw/review/154047">思科率先發表兩款1U、內建32個QSFP-DD800埠的產品</a>，分別是Nexus 9232E與Cisco 8111-32EH；<a href="https://nvidianews.nvidia.com/news/nvidia-announces-spectrum-high-performance-data-center-networking-infrastructure-platform">Nvidia同年3月發表採用Spectrum-4晶片的交換器</a>，揭露可同時支援400GbE與800GbE，今年5月底推出<a href="https://www.ithome.com.tw/review/157770">Spectrum-X網路平臺</a>時，提及搭配Spectrum-4的SN5000系列支援800GbE——2U尺寸的SN5600內建64個OSFP800埠。</p> <p>到了今年10月初，也就是OCP年度全球高峰會召開前夕，智邦集團旗下的鈺登科技（Edgecore Networks）發表800GbE交換器，名為DCS560，可針對AI、機器學習工作負載的連線需求，提供基於乙太網路而成的交織網路環境。</p> <p>這款交換器的封包交換容量可達51.2 Tbps，採用2U尺寸機箱、內建64個800GbE埠，並提供兩種網路介面接頭的選擇，具有部署彈性。其中，全部採用OSFP800接頭的機型是AS9817-64O，可支援銅質直連電纜（copper DAC），另一款則是採用QSFP-DD800接頭的AS9817-64D，可支援長距離ZR+光纖網路線的佈建。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Edgecore%20Networks%20DCS560-timthumb_from%20Edgecore%20Networks.jpg" style="width: 489px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DCS560%20demo-Web_from%20EdgeCore%20Networks%20.jpg" style="width: 600px;" /></p> <p>本週由電信基礎架構計畫（TIP）舉辦的開放網路高峰會Fyuz Summit，鈺登首度公開展示DCS560，而下週登場的OCP全球高峰會，這款800GbE交換器也將會亮相。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-10-11-1696920679149_Fyuz Summit from Edgecore Networks-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-11-1696920679149_Fyuz%20Summit%20from%20Edgecore%20Networks-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-10-11-1696868323612_Fyuz Summit from Edgecore Networks-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-11-1696868323612_Fyuz%20Summit%20from%20Edgecore%20Networks-1.jpg" style="width: 298px;" /></a></p> <p>就機箱規格而言，Edgecore這款2U尺寸產品具有強固、緊緻的外形，搭配可熱插拔的電源供應器（1+1備援），以及系統風扇（3+1備援），可靠度達到5個9（99.999％），能設置在攝氏0到40度的資料中心環境當中。</p> <p>值得注意的是，DCS560之所以能提供64個800GbE埠，主要是因為採用<a href="https://www.broadcom.com/products/ethernet-connectivity/switching/strataxgs/bcm78900-series">Broadcom的網路交換器ASIC晶片StrataXGS Tomahawk 5系列</a>，型號為BCM78900，而能建置足以負荷大規模使用，且容易部署的交織網路。</p> <p>在此之前，Edgecore針對400GbE交換器的產品，已陸續推出多款機型。例如，在2021年9月，發表支援P4語言的DCS810（AS9516-32D），採用1U尺寸機箱、提供32個QSFP-DD埠，交換器晶片為英特爾Tofino 2 BFN-T20-128Q，網路交換容量為25.6 Tbps；隔年4月，他們發表DCS240（AS9726-32DB），採用1U尺寸機箱、提供32個QSFP56-DD埠，交換器晶片為Broadcom StrataXGS Trident4（BCM56880），網路交換容量為12.8 Tbps。</p> <p>到了今年4月，Edgecore推出DCS520（AS9736-64D），採用2U尺寸機箱、提供64個QSFP56-DD埠，交換器晶片為Broadcom StrataXGS Tomahawk 4（BCM56990），網路交換容量為25.6 Tbps。</p> <h3><strong style="color: rgb(0, 0, 255);">Tomahawk 5晶片是這款交換器網路處理能力的關鍵</strong></h3> <p>相較於我們先前介紹思科、Nvidia的800GbE交換器，Edgecore的DCS560最大差異，在於採用的交換器晶片是Broadcom Tomahawk 5系列，於2022年8月登場，並於2023年3月宣告量產出貨，導入4奈米製程，成為第一款51.2 Tbps等級的交換器晶片，可提供64個800GbE埠的網路交換與路由處理能力，能針對RoCEv2與其他RDMA協定，提供最大效能與最低延遲，實現新世代的統合式資料中心基礎架構。</p> <p>而它的上一代是Tomahawk 4系列，在2019年底推出、導入7奈米製程，是25.6 Tbps等級的交換器晶片。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-Tomahawk%205-00.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-Tomahawk%205-1.jpg" style="width: 600px;" /></p> <p>基本上，Tomahawk 5內建64顆序列器／解除序列器（SerDes）核心，每顆整合核心搭配8個106 Gb/s規格的四階脈衝振幅調變（PAM4）SerDes收發器，以及相關的實體層編碼子層（Physical Coding Sublayer，PCS），可針對多種實體連線規格提供原生支援。同時，這顆晶片也整合6顆Arm處理器，因應高頻寬、具備完整可程式化持續遙測能力、支援複雜的嵌入應用程式執行等需求，做到晶片層級的統計摘要處理這類功能。</p> <p>透過單顆Tomahawk 5系列晶片的採用，交換器可支援256個200GbE埠網路分接，對應256張加速運算卡的運用，使每張加速卡都能獲得200 Gbps的頻寬。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-Tomahawk%205-2.jpg" style="width: 600px;" /></p> <p>而在實體連接方式上，Tomahawk 5支援100G PAM4介面接上DAC直連電纜、前端面板的插拔式光纖網路模組，以及共同封裝光學元件（Co-Packaged Optics，CPO）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-Tomahawk%205-1.jpg" style="width: 600px;" /></p> <p>針對通用運算領域的伺服器虛擬化與AI、機器學習工作負載，Broadcom此款ASIC晶片也提供單通道（single-pass）的VxLAN路由與橋接，以及該公司發展的認知路由（Cognitive Routing）、進階的共享封包緩衝（shared packet buffering）、可程式化的頻內遙測、硬體層級的連線容錯等多種功能，可縮短AI、機器學習處理的工作完成時間（Job Completion Time，JCT）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-Tomahawk%205-Buffer.jpg" style="width: 600px;" /></p> <p><strong style="color: rgb(0, 128, 128);">產品資訊</strong></p> <p><strong>Edgecore Networks DCS560</strong><br /> ●原廠：鈺登科技<br /> ●建議售價：廠商未提供<br /> ●機型：AS9817-64O、AS9817-64D<br /> ●機箱尺寸：2U<br /> ●網路埠：AS9817-64O提供64個OSFP800埠，AS9817-64D提供64個QSFP-DD800埠<br /> 800GbE模式，每埠可分流2個400GbE埠或4個200GbE埠或8個100GbE埠；<br /> 400GbE模式，每埠可分流2個200GbE埠或4個100GbE埠或8個50GbE埠；<br /> 100GbE模式<br /> ●封包交換容量：51.2 Tbps<br /> ●封包緩衝記憶體：165.2 MB<br /> ●系統運算與儲存資源：英特爾Xeon-D系列處理器（Ice Lake），Xeon D-1713NTE、32 GB記憶體、128GB SSD<br /> ●作業系統平臺：開放原始碼或商用網路作業系統<br /> ●搭配ASIC晶片：Broadcom BCM78900系列（Tomahawk 5）<br /> ●搭配電源供應器：2臺3000瓦（1+1備援）<br /> ●耗電量：低於2775瓦</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> <div> </div> </div></div></div>
2023/10/14 12:37作者李宗翰https://www.ithome.com.tw/review/159203
零售IT雙周報第23期：Walmart揭多項零售科技實驗計畫，生成式AI是關鍵技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(1001~1014)</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#生成式AI</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#搜尋優化</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#AR購物</span></span></strong><br /> <strong>Walmart揭未來零售科技實驗計畫，要用生成式AI強化搜尋、資訊摘要及室內設計等購物功能</strong></p> <p>美國零售龍頭Walmart<a href="https://corporate.walmart.com/news/2023/10/06/walmarts-latest-tech-powered-experiments-aim-to-make-shopping-easier-and-more-convenient">揭露自家零售科技發展計畫</a>，包括搜尋功能優化、購物輔助功能、OMO購物功能等。其中，生成式AI在數個新項目中扮演了關鍵角色。</p> <p>其一是搜尋功能優化。Walmart計畫利用生成式AI，來支援主題式商品搜尋，例如搜尋「獨角獸主題的嬰兒生日派對」，AI就能一次呈現主題背後所需的不同商品，消費者不用一一搜尋盤子、氣球、蛋糕等個別商品。他們還計畫利用生成式AI來支援需求條件複雜的商品搜尋情境，例如，如何根據消費者年齡和電信服務商，搜尋出適合的手機型號。</p> <p>其二，Walmart也打算效仿eBay和Amazon，利用生成式AI來摘要商品功能及顧客評價，作為消費者購物參考。</p> <p>第三個用生成式AI來強化的是AR購物功能。過往，Walmart App可以透過鏡頭掃描實際房間或人物，再於螢幕上模擬擺設或試穿。未來，Walmart計畫於此功能中增加生成式AI購物助手，根據消費者預算、偏好主題及其他需求，進一步協助消費者規畫室內設計或衣物穿搭。</p> <p>Walmart還計畫推出用IVR來完成整趟購物的功能，這是延伸自先前簡訊購物功能。他們還打算持續擴充非典型OMO電商通路，例如近期他們於遊戲中開始販售實體家具。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#開店平臺</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#中小型電商</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#網紅行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#聊天機器人</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#小額貸款</span></span></strong></p> <p><strong>Shopline整合網紅行銷、聊天機器人、小額貸款功能到開店解決方案中</strong></p> <p>開店平臺Shopline整合業界3種零售科技功能到自家平臺，包括<a href="https://blog.shopline.tw/shopline-influenxio/">Influenxio智慧網紅行銷</a>、<a href="https://blog.shopline.tw/shopline-botbonnie/">Appier旗下聊天機器人</a>，以及<a href="https://support.shoplineapp.com/hc/zh-tw/articles/20541136192793-%E5%95%86%E5%AE%B6%E7%B7%9A%E5%9C%A8%E8%B2%B8-SHOPLINE-Payments-%E5%8F%B0%E7%81%A3-">PChome旗下21世紀數位的小額貸款</a>等。</p> <p>網紅行銷功能會追蹤網紅代言人帶來的點擊數、訂單數等數據，並提供行銷預算管理功能，以助電商業主從轉換率和實際支出兩方面數據，來監控網紅行銷活動成效。</p> <p>聊天機器人功能支援跨通訊軟體客服訊息管理，業主可自訂情境腳本、多媒體素材、互動體驗，來優化Chatbot回覆內容。此系統後臺還會顯示顧客貼標，來提供精準行銷參考。</p> <p>小額貸款則是可以根據商家後臺營運數據，快速評估風險並放款的融資功能，最快當日放款。</p> <p>這些技術雖然都不算新穎，但對於IT資源不足的中小型零售業者來說，自行打造或整合這些技術，仍有一定門檻。由開店平臺整合進整體解決方案中，有望降低平臺上業者採用更多元零售科技的難度。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#ESG</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#綠能商店</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電費管理</span></span><br /> 全家結合IoT能源管理、太陽能及儲能設備打造首家能源韌性實驗店，還有獨立供電系統作為備援</strong></p> <p>全家便利商店於臺南打造能源韌性實驗店，運用IoT協助改善店鋪能源管理，也導入太陽能發電及儲能設備。</p> <p>IoT及能源管理系統，可自動偵測冷藏設備溫度，當用電接近滿載，會主動降載空調、燈光照明，避免用電過度，例如在傍晚或夜間時段，會自動降低店內照明亮度。冰箱、冰櫃設備，則從固定時段除霜改為動態除霜，當偵測到溫度過低或結霜時才會除霜。</p> <p>另外，全家為實驗店建置了孤島電力系統，除台電供電之外，建置太陽能發電及儲能系統，扮演調節電力供應的角色，可在台電離峰時段儲能，供應日間用電尖峰時段使用，降低店鋪尖峰時段用電量。（<a href="https://www.ithome.com.tw/news/159113">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#OMS</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#團購</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#社群電商</span></span><br /> 飛比推出團購整單系統，能自動轉化通訊軟體留言到OMS</strong></p> <p>飛比價格母公司第一網站推出團購整單系統「飛比+1」，功能是自動擷取Line記事本下的團購訂單留言，再根據留言關鍵字，自動分類到訂單管理系統（OMS）。團購主能於整單系統中設定商品主副規格，例如顏色和尺寸等，作為系統抓取關鍵字依據。如圖所示，系統會根據關鍵字，將留言內容為3種類別，包括明確能判斷為完整訂單的「已確認」，訂單訊息不完整的「待確認」，以及非訂單留言的「不成單」。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%A3%9B%E6%AF%94%2B1%E5%BE%8C%E5%8F%B0%E7%95%AB%E9%9D%A2.jpg" style="width: 600px;" /></p> <p>這個系統每小時會擷取記事本留言一次，團購主也能手動更新。不過，第一網站沒有提到，若出現刪除留言、編輯留言等情況，此系統會如何應對。</p> <p>同時，第一網站宣布推出「BI電商市場情報服務」，向其他電商提供自家網站流量分析。飛比表示，自家平臺有800萬不重複使用者，過往已有電商向自家購買流量分析報告，不過都是以一對一個案形式來處理，現則正式將此服務商品化。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#D2C網站</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#精準行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#餐旅業</span></span><br /> 日本偏鄉地區豪華露營業務如何用IT改造行銷與經營模式，使銷售額翻20倍</strong></p> <p>岡山縣津山市阿波村是一個只有400人口的邊緣村莊，當地設有豪華露營設施，觀光收入卻無法自給自足，只能由政府彌補財務缺口，來維護設施。為了振興此地豪華露營經濟，觀光顧問公司Dive利用一系列做法來改造行銷與經營模式。改造後，阿波村豪華露營年營業額從200萬日圓增長到4,000萬日圓，且持續成長中。其中，IT扮演在這個轉型扮演了重要角色。</p> <p>首先是架設D2C網站作為流量來源，來降低對第三方網站的依賴程度。阿波村位處偏鄉，又不在熱門觀光景點必經之地，於第三方旅遊或訂房網站難以搜尋到，不是可靠流量來源。不只如此，於第三方網站打廣告或接受訂位，都會形成開銷。於是，Dive打造豪華露營入口網站，蒐羅包括阿波村在內的豪華露營地，再利用高度行銷自主權，來力推阿波村。</p> <p>為了增加阿波村賣點，他們還開發了桑拿、香料調劑、作物收割、動物互動等額外收費體驗，並將這些作為行銷賣點和籌碼。當銷售額低於一定標準時，他們便會免費提供部分體驗，以期吸引更多旅客。</p> <p>不只看銷售金額，他們還會根據旅客來源，來調整行銷策略。原先，他們在津山市其他地區投注最多行銷資源，經分析後，發現其實旅客主要來自關西地區，因而轉移了行銷資源比重。</p> <p>除了上述數位做法，阿波村還利用人力派遣服務，只於旺季時雇用短期員工，而不大量雇用正職員工，以控制人力支出。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AR購物體驗</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#會員App</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#OMO零售</span></span><br /> 英國大型連鎖超市Nisa全面導入AR購物體驗，用於促銷及會員數據蒐集</strong></p> <p>有接近4,000家分店的英國大型零售連鎖超市Nisa<a href="https://www.nisalocally.co.uk/corporate/news-press-office/nisa-retailers-set-to-cash-in-with-jisp-loyalty-programme/">將於所有店鋪導入AR購物和促銷體驗</a>。消費者透過會員App開啟手機鏡頭，可以在貨架上看到AR資訊卡，顯示購物資訊和可領取折價券。根據App紀錄的消費和折價券領取資料，Nisa還會再於App和簡訊對會員推播個人化行銷訊息。</p> <p>從初期170家實驗店中，Nisa發現，這個機制一年內帶來20%以上營業額增長，平均一家店發出了3,500張折價券。不只如此，還帶來了更多客流量及重複到店數。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1. 作為進軍零售媒體廣告戰略的一環，Momo開始試營運搜尋字廣告</p> <p>2. <a href="http://https://corporate.walmart.com/news/2023/09/26/walmarts-new-virtual-experience-walmart-discovered-is-inspired-by-the-community">Walmart</a>和<a href="https://www.prnewswire.com/news-releases/maybelline-new-york-makes-a-splash-in-roblox-a-digital-makeup-and-music-adventure-301941093.html">Maybelline New York</a>在元宇宙遊戲Roblox分別推出產品展示等行銷體驗</p> <p>3. <a href="https://ir.dominos.com/news-releases/news-release-details/dominosr-and-microsoft-cook-ai-driven-innovation-alliance">達美樂將利用生成式AI開發智慧店長助手</a>，強化店內庫存管理、食材訂購及排班</p> <p>4. <a href="https://www.ingka.com/newsroom/how-ikea-is-approaching-ai-for-the-benefit-of-all">Ikea成立新專責團隊</a>，負責維護集團內AI應用符合負責任AI及道德標準</p> <p>圖片來源：Walmart、第一網站</p> <p>資料來源：iThome整理，2023年10月</p> <p>責任編輯：郭又華</p> </div></div></div>
2023/10/13 20:55作者郭又華https://www.ithome.com.tw/news/159271
【資安日報】10月13日，利用職場社群網站LinkedIn市場行銷工具的網釣攻擊再度出現，受害者遍及各行各業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>運用合法服務隱匿網路釣魚的攻擊意圖，可說是相當常見，其中一種手法，就是濫用市場行銷工具Smart Links，這是由職場社群網站LinkedIn推出的服務，主要目的是讓行銷人員提供客戶相關的網站連結時，進而追蹤其互動成效。但這樣的工具可能淪為駭客迴避郵件安全系統檢查的管道。</p> <p>濫用Smart Links的攻擊行動並非首例，但這次駭客手法又更進一步，將這類工具的網址加以運用，在釣魚網站的網址連結當中，帶入收信人的電子郵件信箱。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://cofense.com/blog/linkedin-smart-links-credential-phishing-campaign/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">職場社群網站LinkedIn提供的市場行銷工具遭到濫用，駭客用於誘騙微軟帳號</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/smartlinks-figure3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/smartlinks-figure3.png" style="width: 300px; float: right;" /></a>郵件安全業者Cofense揭露從今年7月下旬至8月的網路釣魚攻擊行動，主要針對金融與製造業的員工，但能源、營造、醫療保健、保險、採礦、消費性產品、科技產業也有受害者。這些駭客之所以得逞，不只是使用者的疏忽，他們為了繞過郵件安全閘道等資安系統，在寄送的電子郵件當中，濫用職場社群網站LinkedIn提供的Smart Links服務，企圖竊取使用者的微軟帳號。研究人員總共看到這類電子郵件逾800封，濫用上述服務的連結多達80個。</p> <p>一旦收信人依照指示點選，就會被帶往釣魚網站，特別的是，駭客利用Smart Links的網址結構，在連結裡加入收信人的電子郵件信箱，使得用戶被引導到釣魚網站的時候，所開啟的登入頁面，在帳號欄位已自動填入該員的電子郵件信箱，使得這些收信人以為這是簡化登入步驟的便利措施，而更容易降低警覺。</p> <p>濫用上述LinkedIn提供的行銷工具進行釣魚郵件攻擊已非首例，2022年9月，研究人員發現假冒斯洛伐克郵局的釣魚信，便是以此手法迴避偵測。</p> <p><a href="https://asec.ahnlab.com/en/57635/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">執行Linux作業系統的SSH伺服器遭到鎖定，駭客植入惡意程式ShellBot，並利用Hex編碼的IP位置迴避偵測</span></strong></a></p> <p></p> <p>資安業者AhnLab揭露新一波的惡意軟體ShellBot攻擊行動，駭客的主要目標是缺乏妥善管理的Linux伺服器，他們會掃描22埠是否啟用，以此找尋開放SSH服務遠端登入的系統，一旦找到這類主機，後續會利用常見的SSH帳密組合，執行字典填入的暴力破解攻擊，進而於Linux主機部署ShellBot。</p> <p>但這起攻擊行動與過往不同之處，在於駭客使用了十六進位（HEX）的IP位址表示法來連線至C2，隨後下載、安裝ShellBot，研究人員指出，這次駭客使用C2伺服器的IP位址，通常會寫成hxxp://94.250.254[.]43/，但對方在網路釣魚挾帶的PDF檔案裡，將上述網址寫成hxxp://1593507371，可能會因此能繞過資安系統的偵測。</p> <p><a href="https://blog.checkpoint.com/security/unveiling-stayin-alive-a-closer-look-at-an-ongoing-campaign-in-asia-targeting-telecom-and-governmental-entities/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客ToddyCat鎖定亞洲電信業者，散布後門程式CurKeep</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/shellbot-image-16.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/shellbot-image-16.png" style="width: 300px; float: right;" /></a>去年6月資安業者卡巴斯基揭露，中國駭客組織ToddyCat鎖定臺灣、越南等國政府機關，利用Exchange漏洞發動攻擊，如今這些駭客再度發起新一波的攻擊行動。</p> <p>資安業者Check Point揭露名為Stayin’ Alive的攻擊行動，駭客從2021年開始，針對越南、巴基斯坦、烏茲別克、哈薩克等東南亞、中亞國家而來，主要的目標是電信業者。駭客起初寄送帶有壓縮檔案附件的釣魚郵件，一旦收信人打開附件，電腦就有可能觸發Audinate影音裝置管理元件Dante Discovery的漏洞CVE-2022-23748（CVSS風險評分為7.8），以DLL側載（DLL Side-loading）手法，載入名為dal_keepalives.dll的程式庫，從而執行名為CurKeep的後門程式。</p> <p>此惡意軟體檔案非常小，僅10 KB，但具備26種功能，其中最主要的功能是report、shell、file，用於收集目標電腦的系統資訊、回傳電腦名稱並接收命令與執行，以及接收字串內容並將資料寫入特定檔案。</p> <p><a href="http://www.wordfence.com/blog/2023/10/backdoor-masquerading-as-legitimate-plugin/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客假借提供WordPress外掛散布惡意軟體，從而建立管理員帳號並挾持網站</span></strong></a></p> <p></p> <p>網站安全業者Wordfence今年7月清理遭受攻擊的網站時，發現偽裝成WordPress外掛程式的後門程式，駭客假借提供暫存資料的管理工具，使得管理者在手動檢查的過程中，很有可能忽略，駭客也進一步將該「外掛程式」從已啟用的外掛程式名單剔除，目的是為了迴避資安系統的偵測。</p> <p>而對於這個後門，研究人員指出具有以下功能：首先，會建立名為superadmin的帳號，並指派管理員層級的權限給他；再者，駭客可遠端控制WordPress網站上的外掛程式，擅自啟用或停用，並且清除網站資料庫的痕跡，藉此讓攻擊行動維持隱密的狀態。再者，該後門程式能夠竄改網頁內容，加入惡意連結及按鈕，但網站管理介面當中，仍維持未遭修改的樣貌，使得管理員難以察覺異狀。</p> <p>此後門程式若是偵測到搜尋引擎爬蟲，或是機器人的流量，將會提供垃圾郵件等其他的內容，導致爬蟲為受害網站編入惡意的索引資料，有管理人員接獲用戶通報，他們的網站外觀看起來都正常，但在用戶使用搜尋引擎存取的時候出現垃圾內容。但究竟駭客如何於WordPress網站植入上述後門程式？研究人員表示，有待進一步調查。</p> <p><a href="https://www.securityweek.com/cisa-warns-of-attacks-exploiting-adobe-acrobat-vulnerability/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國針對Adobe Acrobat高風漏洞提出警告，已出現攻擊行動</span></strong></a></p> <p></p> <p>美國網路安全暨基礎設施安全局（CISA）於10月10日，在已被利用的漏洞列表（KEV）當中新增5個漏洞，可能受到影響的產品，包括：Adobe旗下PDF編輯軟體Acrobat及閱讀器Reader（記憶體釋放後濫用漏洞CVE-2023-21608）、思科網路設備作業系統IOS及IOS XE（群組加密傳輸VPN越界寫入漏洞CVE-2023-20109）、HTTP/2（Rapid Reset漏洞CVE-2023-44487）。</p> <p>同時，還有微軟本月份例行更新修補的企業版Skype（權限提升漏洞CVE-2023-41763）、WordPad（資訊洩露漏洞CVE-2023-36563）。</p> <p>其中最值得注意的是Adobe今年1月修補的CVE-2023-21608，因為該漏洞公布的時間最久，網路上已有不少的概念性驗證攻擊（PoC）及漏洞分析，使得攻擊者利用這項漏洞更為容易。</p> <p><a href="https://www.ettoday.net/news/20231012/2600759.htm"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">檢方確認我國2,357萬筆戶政資料流入暗網，兜售資料的駭客來自中國</span></strong></a></p> <p></p> <p>去年10月<a href="https://www.ithome.com.tw/news/153894#taiwan2300">名為OKE的人士於駭客網站BreachForums兜售全臺灣民眾的戶政資料2,357萬筆</a>，並公布20萬筆資料供買家驗證，引起社會譁然，民眾質疑戶政機關保護個資不力，內政部後續提出澄清，他們表示，資料格式與該單位系統不同，並非從戶政司資訊網洩漏。本週檢調單位公布更多消息。</p> <p>調查局資安站確認，駭客公開的20萬筆資料集中在宜蘭地區，且內容正確。經北檢分案展開追查，透過科技偵查並與暗網登記所在國連繫後，查出OKE真實身分是中國籍的童自強，此人收款的電子錢包入帳4999.2個泰達幣（相當於5,000美元），經反向追查，查出是我國鄭姓男子所購買。鄭男到案坦承，因好奇這名駭客握有的資料是否為真，他透過Telegram向駭客聯繫，並於31日匯入款項。鄭男從收到的Excel檔案找到親友姓名進行比對，資料相差無幾，強調並未將這些資料用於其他用途。由於鄭男並未將取得的資料洩露、公開，或是再行利用，並坦承犯行，臺北地檢署12日依無故蒐集個資給予緩起訴處分，並對童自強發布通緝。</p> <p>值得留意的是，檢調抽查童自強兜售的資料，發現總筆數與臺灣2018年人口總數相當，內容亦與當時的戶役政資料幾乎一樣。此外，臺北地檢署另案追查個資外洩的管道，正在了解是否有其他人士取得、用於不法。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/critical-socks5-vulnerability-in-curl-puts-enterprise-systems-at-risk/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">程式庫Curl修補高風險漏洞</span></strong></a></p> <p></p> <p>10月4日URL傳輸程式庫curl專案維護團隊預告，將於11日發布8.4.0新版，當中修補高、低層級風險漏洞，資安業者Qualys呼籲組織應儘速盤點所有部署的curl，以便新版推出之後，就能立刻進行升級。</p> <p>到了11日這兩個漏洞的細節揭曉，高風險漏洞是CVE-2023-38545，同時影響7.69.0至8.30版的curl與libcurl，起因是curl將主機名稱傳遞至SOCKS5代理伺服器解析其IP位址時，主機名稱最大允許長度為255位元組，一旦超過，curl就會切換、改用本機名稱解析，並將結果得到的位址傳送至代理伺服器，然而此漏洞就是發生在「讓主機解析名稱」的本機變數當中，有可能導致SOCKS5交握過程得到錯誤的數值，從而將過長的主機名稱複製到目標記憶體緩衝區，產生溢位（overflow）的問題。目前，Red Hat將此漏洞的CVSS風險評為7.5。</p> <p>另一個漏洞為CVE-2023-38546，僅影響7.9.1至8.3.0版libcurl，攻擊者可利用該程式庫任意將Cookie插入正在執行的應用程式，由於必須搭配一系列的環境條件才能觸發，開發團隊將其危險程度列為低風險，Red Hat評估其CVSS分數為5.0。</p> <p>資料來源</p> <p>1. <a href="https://blog.qualys.com/vulnerabilities-threat-research/2023/10/05/curl-8-4-0-proactively-identifying-potential-vulnerable-assets">https://blog.qualys.com/vulnerabilities-threat-research/2023/10/05/curl-8-4-0-proactively-identifying-potential-vulnerable-assets</a><br /> 2. <a href="https://curl.se/docs/CVE-2023-38545.html">https://curl.se/docs/CVE-2023-38545.html</a><br /> 3. <a href="https://access.redhat.com/security/cve/cve-2023-38545">https://access.redhat.com/security/cve/cve-2023-38545</a><br /> 4. <a href="https://curl.se/docs/CVE-2023-38546.html">https://curl.se/docs/CVE-2023-38546.html</a><br /> 5. <a href="https://access.redhat.com/security/cve/cve-2023-38546">https://access.redhat.com/security/cve/cve-2023-38546</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://support.apple.com/HT213972"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">蘋果發布iOS 16.7.1、iPadOS 16.7.1，修補舊版裝置的零時差漏洞CVE-2023-42824、CVE-2023-5217</span></span></strong></a></p> <p></p> <p><a href="https://www.ithome.com.tw/news/159247"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為強化雲端基礎設施機密保護及配置管理自動化，基礎設施即程式碼工具新創Pulumi推出新的解決方案</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/159201"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體Hello Kitty程式碼被公布，有助於製作解密金鑰</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/159204"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google以Rust重寫Android裸機元件，進一步強化記憶體安全</span></span></strong></a></p> <p><a href="https://blog.talosintelligence.com/vulnerability-roundup-webkit-and-yifan-router/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國億帆工業路由器曝露於重大層級漏洞，迄今尚未有修補程式</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159241"><strong>【10月12日】以色列與巴勒斯坦爆發大規模軍事衝突之後，逾100個駭客組織發動網路攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159228"><strong>【10月11日】駭客組織鎖定臺灣生技、製造、IT業者而來，自今年2月暗中從事網路間諜攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159172"><strong>【10月6日】中國駭客鎖定臺灣、香港、新加坡半導體產業而來，假借台積電的名義進行網路間諜攻擊行動</strong></a></p> </div></div></div>
2023/10/13 17:02作者周峻佑https://www.ithome.com.tw/news/159278
AI也要抓漏，微軟AI Bug Bounty Program上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/msrc/bounty-ai" target="_blank">微軟周四（10/12）公布了新的抓漏計畫</a>，這是鎖定AI臭蟲的Microsoft AI Bug Bounty Program，獎金從2,000美元到1.5萬美元不等，首個抓漏的產品為具備AI能力的Bing。</p> <p>現有的抓漏範圍圍繞在所有整合AI的Bing體驗，包括利用各種瀏覽器造訪Bing.com時所體驗的Bing Chat、Bing Chat for Enterprise及Bing Image Creator；或是在Windows版Microsoft Edge使用整合AI的Bing功能，包括Bing Chat for Enterprise在內；以及iOS及Android上Microsoft Start Application所整合的Bing；或是iOS及Android上Skype Mobile Application整合的Bing。</p> <p>與AI系統相關的安全漏洞涵蓋了推論操縱（Inference Manipulation）、模型操縱（Model Manipulation）及推論資訊揭露（Inferential Information Disclosure），像是可注入指令導致模型偏離其預期行為，或是可干擾有效輸入而令模型產生錯誤輸出，或是可竄改模型架構、訓練程式碼、訓練資料或超參數來毒害模型，或是可自訓練資料集中重建個人資料紀綠等。</p> <p>不過，只有被微軟AI漏洞分類系統（<a href="https://www.microsoft.com/en-us/msrc/aibugbar" target="_blank">Microsoft Vulnerability Severity Classification for AI Systems</a>）視為重要（Important）或重大（Critical）等級的安全漏洞才符合申請資格。</p> <p>根據<a href="https://msrc.microsoft.com/blog/2023/08/microsoft-bug-bounty-program-year-in-review-13.8m-in-rewards/" target="_blank">微軟日前所公布的年度抓漏成果</a>，自去年7月1日到今年6月底之間，微軟總計祭出了17個抓漏計畫，來自全球逾45個國家的345個安全研究人員，總計提交了1,180個符合資格的漏洞報告，獲得了1,380萬美元的獎金，最高的一筆抓漏獎金為20萬美元。</p> </div></div></div>
2023/10/13 13:08作者陳曉莉https://www.ithome.com.tw/news/159254
【iThome 2023資安大調查：資安弱點篇】5成多企業員工資安意識不足，3成企業欠缺資安老手
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1151-zi_an_ruo_dian_-960-v2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>員工資安意識不足和缺乏資安老手，今年依舊是企業最頭痛的兩大資安弱點，甚至比預算不足的問題還要嚴重，也是企業資安長和資訊長自認擋不住網攻的主因。但是系統老舊的問題，今年超越了資安工具資訊不足的問題，成了名列第四的資安弱點。</p> <p>另外，威脅情資掌握太少或太慢的問題，今年開始浮上檯面，2成企業格外擔心這項弱點，這也反映出企業比過去更積極，想要更快或更早發現潛在風險來因應。</p> <p>去年，醫療業和政府學校，各有3成多擔心資安老手不足的問題，但是今年轉而是金融業和高科技業，更想解決資安老手不足的課題。系統老舊問題成了醫療和政府學校今年格外頭痛的新課題。這兩個產業今年都面臨了基礎架構升級或轉換的挑戰，政府學校更積極擁抱雲原生技術，更大力引進DevOps方法論和相關工具，甚至是直接採用DevSecOp。而醫院也同樣積極地想要導入微服務和容器技術等雲原生技術來改造或升級老舊的HIS系統。值得關注的是有6.6%企業資安長則擔心企業高層低估了ChatGPT風險。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1151-%E5%B0%81%E9%9D%A2-%E8%B3%87%E5%AE%89%E5%BC%B1%E9%BB%9E-600-1-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1151-%E5%B0%81%E9%9D%A2-%E8%B3%87%E5%AE%89%E5%BC%B1%E9%BB%9E-600-2-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1151-%E5%B0%81%E9%9D%A2-%E8%B3%87%E5%AE%89%E5%BC%B1%E9%BB%9E-600-3-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1151-%E5%B0%81%E9%9D%A2-%E8%B3%87%E5%AE%89%E5%BC%B1%E9%BB%9E-600-4-PNG.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#ff9900;"> 問卷說明 </span></strong></span> <strong>大調查執行期間從2023年4月20日到5月10日，對臺灣2千大規模大型企業、iThome歷屆CIO大調查企業、政府機關、大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 68.5%填答者為企業IT最高主管。</strong></span></p> </div></div></div>
2023/10/13 14:07作者王宏仁https://www.ithome.com.tw/article/159256
【iThome 2023資安大調查：資安風險篇】社交工程風險超越勒索軟體和駭客，ChatGPT濫用成新威脅
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1151-feng_mian_-shi_da_feng_xian_-960-v21.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>社交工程威脅，成了資安長在2023和2024年最擔心的頭號資安風險！在2023年iThome CIO暨資安大調查中，高達4成企業將這項威脅，列為未來一年最可能遭遇的資安風險，風險排名超越了去年名列一、二名的勒索軟體資安事件和駭客威脅。尤其，當員工資安意識和高層資安認知不足，成了許多企業擋不住資安攻擊的弱點，社交工程手段對企業資安的影響，也比遠比過去更具威脅性。</p> <p>ChatGTP這類生成式AI技術的出現，更成了社交工程手段的新武器，用來自動生成比過去更擬人化、更針對性客製的詐騙話術和文字。原本就常見的資安風險，如BEC商業郵件詐騙、釣魚信件、誘騙簡訊等手法，也因此比過去更難快速分辨真假。這是為何比起ChatGPT外洩企業機敏資料的風險，資安長們更擔心ChatGPT遭濫用後帶來的威脅，有2成企業將ChatGPT列為今年最可能發生的資安風險之一，在十大風險排名中名列第七，僅次於BEC詐騙的風險程度，這是企業未來必須更重視的新課題。不少企業已經意識到ChatGPT帶來的認知威脅，紛紛加強員工對於生成式AI的資安意識，另外，也有少數企業開始重視高層低估生成式AI風險的影響。</p> <p>每當新技術典範出現時，總是伴隨著兩面刃，一方面開創更多技術未來性和潛力，另一方面，也會顛覆原有技術帶來的資安威脅樣態，生成式AI的解讀和摘要能力，適合用於處理龐大的威脅情資和海量Log數據，能夠降低不少資安人員的分析負擔，但也讓攻擊者更容易扮演不同角色，來發動更高度個人化的社交工程手法。對企業來說，提高員工對新興技術的資安風險認知，比過去更顯得必要。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1151-%E5%B0%81%E9%9D%A2-%E5%8D%81%E5%A4%A7%E9%A2%A8%E9%9A%AA-600-1-PNG(1).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 問卷說明 </span></span> 大調查執行期間從2023年4月20日到5月10日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷407家，其中59.8%填答者為企業資安最高主管</strong></span></p> </div></div></div>
2023/10/13 14:07作者王宏仁https://www.ithome.com.tw/article/159257
11月30日起Microsoft 365個人、家庭版訂閱戶不得新增雲端個人郵件信箱
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.microsoft.com/en-us/office/changes-to-microsoft-365-email-features-and-storage-e888d746-61e5-49e3-9bd1-94b88e9be988" target="_blank">微軟本周發布新政策</a>，Microsoft 365個人版及家庭版訂閱戶從11月30日起，就不得再新增Outlook.com個人郵件信箱。</p> <p>11月30日後，現有Outlook.com網域的個人信箱還是可以繼續使用，而且也能持續為Outlook.com信箱設立別名（alias）或設定以其他郵件信箱登入，只是個人化信箱只能在Outlook中設定。在此日期後，一旦從Outlook.com刪除個人信箱，就再也無法加回去。屆時，唯一方法是改用Microsoft 365企業版方案。</p> <p>微軟強調付費版的好處，像是Microsoft 365基本／個人／家用版訂戶可以使用Outlook.com進階安全防護，如網釣郵件或惡意程式防護、郵件加密、免廣告干擾、50GB郵件儲存空間、以及支援服務。試用版用戶則無法享有50GB雲端硬碟。</p> <p>這項新政策可能和Outlook.com附檔及圖片計入5GB免費OneDrive儲存空間的規定有關。新政策今年2月起實施。微軟警告，一旦雲端儲存空間屆滿，用戶在Outlook.com的信件收發都會受到影響。</p> </div></div></div>
2023/10/13 12:06作者林妍溱https://www.ithome.com.tw/news/159252
Google實驗於搜尋中支援AI生成圖像
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周於<a href="https://blog.google/products/search/google-search-generative-ai-october-update/" target="_blank">搜尋實驗室（Search Labs）中增添了兩項新的搜尋生成式體驗（Search Generative Experience，SGE）功能</a>，一是直接於搜尋列上執行生成式圖像功能，二是請AI幫忙撰寫各種草稿。</p> <p>例如使用者可直接於搜尋列上，輸入「請畫一張戴著廚師帽並正在做早餐的水豚圖像」，那麼系統便會出現4張符合該描述的圖畫，隨便點選任何一張就能看到它們各自的描述，也能編輯其文字描述來修改畫面。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Google%20Search%20Labs-GenAI-600-1.png" style="width: 500px;" /></p> <p>這些由AI生成的圖像都會具備元資料標籤，同時鑲有浮水印，以標註它們源自於AI。且Google也會封鎖違反使用政策的AI生成圖像，例如含有有害或誤導性內容。</p> <p>另一個SGE功能則可用來協助使用者撰寫各種草稿。例如當使用者想要進行裝修，把車庫變成辦公室，在搜尋網路資訊之後，決定請施工人員報價，就能要求SGE撰寫一個邀請施工人員報價的草稿，還能要求SGE調整草稿的長度及語氣，再匯出至Google Docs或Gmail。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Google%20Search%20Labs-GenAI-600-2v2.png" style="width: 600px;" /></p> <p>Google是<a href="https://www.ithome.com.tw/news/157080" target="_blank">在今年5月發表</a>Google AI搜尋測試平臺Search Labs，測試各種利用生成式AI來改善搜尋的功能，不過，<a href="https://support.google.com/websearch/answer/13551902?visit_id=638327632597300571-3004891748&p=search_labs&rd=1" target="_blank">目前Search Labs僅開放</a>美國、印度與日本的少數用戶參與測試，測試者必須年滿18歲，也必須使用Chrome瀏覽器。</p> </div></div></div>
2023/10/13 12:33作者陳曉莉https://www.ithome.com.tw/news/159253
Google允許Android用戶刪除15分鐘內Chrome上網紀錄、Gmail流到暗網時會通知用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/safety-security/google-cybersecurity-awareness-month-2023/" target="_blank">Google本周公布</a>包括Android、Chrome、及Google App多項新安全措施，以提供用戶更多資安及隱私防護，包括允許Android刪除15分鐘內手機上網紀錄、Gmail公布在暗網時通知用戶，以Google App當iPhone密碼管理器。</p> <p>繼今年初<a href="https://9to5google.com/2023/03/20/google-chrome-history-15-minutes/" target="_blank">媒體發現</a>測試後，Google本周宣布，Android版Chrome加入「清除上網資料（clear browsing data）」，讓用戶可以刪除15分鐘內的上網紀錄、網站cookies、快取等資料及開過的分頁資料。這項功能僅提供Android版，用戶很快可以在瀏覽器右上角的漢堡式選單內找到。《<a href="https://mspoweruser.com/google-chrome-delete-last-15-minutes-browsing-data/" target="_blank">MSPower User</a>》發現，目前可在Chrome Canary 120版中啟用這項功能，但應該不久後會部署到正式版。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Google%20account-Clear%20Browsing%20Data-last%2015%20minutes%20of%20browsing%20history-600.png" style="width: 373px;" /></p> <p>Google也說明，Pixel 8系列內建Google自行研發的Tensor G3晶片，整合了Titan M2安全晶片，可執行機器學習模型，提供臉部辨識解鎖，號稱是Android手機最強的生物辨識等級，能用於保護手機銀行App或Google Wallet等支付App。</p> <p>前面二項功能都是Android獨有，不過Google在iPhone等iOS裝置上也提供了新功能。現在Google密碼管理員（Password Manager）內建到Google App中。因此iPhone或iPad用戶也可以用它來管理密碼，或在登入App或網站前以Autofill功能自動輸入密碼。</p> <p>最後，<a href="https://www.ithome.com.tw/news/156846" target="_blank">Google 5月公布暗網報告功能</a>，可在用戶Gmail信箱被公布在暗網上時告知用戶。這項功能當時只提供美國用戶。現在Google將暗網報告部署到所有用戶，可在Google App的帳號選單開啟讀取。暗網報告會先提供給Android版用戶，但很快會推向iOS版用戶。</p> <p>Google本周稍早已宣布另二項安全措施，包括<a href="https://www.ithome.com.tw/news/159209" target="_blank">啟動Google帳號以通行密鑰（passkey）取代密碼</a>作為預設驗證方法，以及公告發送一天5,000封信以上的<a href="https://www.ithome.com.tw/news/159120" target="_blank">大量郵件寄件者，必須驗證身分</a>，而信件中也應加入一鍵取消訂閱的按鍵。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Passwordless%20by%20default-Passkeys-Google%20Accounts-600.png" style="width: 385px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></p> </div></div></div>
2023/10/13 11:23作者林妍溱https://www.ithome.com.tw/news/159251
Pulumi推配置即程式碼工具，強化雲端基礎設施機密與配置管理自動化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>熱門基礎設施即程式碼工具新創Pulumi，推出可用來管理所有雲端基礎設施、應用程式環境機密與配置的工具<a href="https://www.pulumi.com/blog/environments-secrets-configurations-management/">Pulumi ESC</a>。Pulumi ESC採用配置即程式碼（Configuration as Code）策略，讓用戶能夠透過編寫程式碼，管理機密與配置的階乘結構。此外，Pulumi ESC不僅可以作為獨立工具，也可以與Pulumi IaC搭配運用，進一步強化配置管理的靈活性。</p> <p>在管理一組複雜且緊密關聯的環境配置與機密時，用戶通常會遇到各種難題。首先，機密和配置可能散落在不同的系統中，造成機密擴散的問題，這不只增加管理複雜性，也使稽核變得困難。第二則是機密常與特定應用和系統儲存綁定，因此用戶需要在多個地方重複複製貼上機密。最後是用戶通常會過度依賴長期靜態憑證，這不僅不利於機密管理和更新，更可能使企業面臨重大資安風險。</p> <p>而Pulumi ESC提供一套綜合解決方案，針對當前基礎設施、應用環境中的機密和配置管理，所普遍存在的問題而設計。官方提到，雖然市場上有許多機密管理工具，但是往往無法解決實際配置的複雜性，而Pulumi ESC在機密和配置之間，提供一套統一的工具和流程簡化管理任務。</p> <p>Pulumi ESC一系列核心功能，供用戶更有效率且安全地管理機密和配置。官方提到，透過Pulumi ESC CLI，用戶只需要使用一個指令，即可立刻經過身分驗證，短期存取任何雲端供應商的雲端憑證。</p> <p>擁有靈活設計的Pulumi ESC，不僅讓用戶可以在環境中整合機密和配置，還能進一步匯入其他環境設定，這樣的設計供使用者能夠依照需求，覆蓋原有的設定值，或是動態插入、組合和替換其他變數值，在獲得組合彈性的同時，也能在多重設定中重複使用資訊，減少不要的重複工作。</p> <p>Pulumi ESC強大的整合能力，能夠與不同供應商的機密管理工具配合使用，包括AWS Secrets Manager、Vault、Azure OIDC和1Password，提供了企業一個統一且一致的機密和配置管理介面。藉由使用ESC CLI和Rest API，用戶便可以從各處取得配置和機密資訊。Pulumi ESC更支援與Pulumi IaC、本地環境、.env檔案和GitHub Actions等多種工具的整合，進一步提升適用性和便利度。</p> <p>Pulumi ESC還具有高度可稽核性，所有環境操作都被詳細記錄下來，確保用戶能夠追蹤每個值的來源和變動。此外，Pulumi ESC融合身分驗證和基於角色的存取控制（RBAC）功能，確保組織內部資料的存取安全。</p> <p>由於Pulumi ESC採用配置即程式碼的方式，使得用戶可以將環境定義為YAML檔案，直觀地描述組合機密和配置，整合動態配置供應商，從其他值計算新配置，像是用戶可以從DNS名稱直接生成URL，或是合併多個配置值。相較於點擊式介面，配置即程式碼方法提供極佳的靈活性，能以豐富的表達方式簡單管理複雜配置。</p> <p>目前官方先以全託管服務的形式，推出Pulumi ESC公開預覽版，並承諾之後還會推出自託管版本。官方仍繼續發展Pulumi ESC，陸續還會推出應用程式層級的SDK，並讓配置能夠與外部系統同步，甚至是對環境進行版本控制等功能。</p> </div></div></div>
2023/10/13 10:25作者李建興https://www.ithome.com.tw/news/159247
AMD收購開源AI軟體新創公司Nod.ai
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ir.amd.com/news-events/press-releases/detail/1159/amd-to-acquire-open-source-ai-software-expert-nod-ai" target="_blank">AMD本周稍早宣布</a>和開源AI軟體新創業者Nod.ai達成收購協議，以增加與Nvidia競爭的軟體技術能力。</p> <p>AMD表示，本樁收購將可協助使用AMD眾多產品包括AMD Instinct資料中心加速器、Ryzen AI處理器、EPYC處理器、Versal SoC以及Radeon GPU等的客戶環境，加快部署AI的速度。AMD說，這項收購也與AMD運用開放軟體提供開發者工具、函式庫及模型簡化客戶使用難度的策略一致。</p> <p>創立於2013年的Nod.ai以開源軟體開發compiler，運用機器學習，特別是增強式學習（reinforcement learning）開發程式碼生成及自動排程工具，以用於異質硬體（如CPU、GPU及加速器）之間的運算和通訊，其代表作是以LLVM、MLIR、OpenXLA的IREE開發<a href="https://github.com/nod-ai/SHARK" target="_blank">SHARK</a> Machine Learning Distribution。該公司強調自己是重要AI軟體庫如Shark、Torch-MLIR及OpenXLA/IREE的重要貢獻者及主要維護組織，其軟體也廣泛運用在雲端、邊緣及多種終端裝置上。</p> <p>Nod.ai二名創辦人之一暨執行長Anush Elangovan曾在思科及Google Chromebook部門任職。另一名創辦人暨技術長Harsh Menon經歷則是曾任職電動飛機新創業者KittyHawk。</p> <p>AMD表示，Node.ai的自動化compiler軟體SHARK可以降低在資料中心、邊緣及客戶端平臺上部署高效能AI模型所需的手動優化的時間。</p> <p>AMD預計本季內完成收購。</p> <p>透過這項收購，AMD將可獲得AI相關技術，以追趕第一大AI晶片業者Nvidia。Nvidia上季在AI熱潮中，締造135.1億美元營收，比去年同期成長了101%。AMD上季營收則為54億美元，年減18%。</p> </div></div></div>
2023/10/13 11:09作者林妍溱https://www.ithome.com.tw/news/159249
【資安日報】10月12日，以色列與巴勒斯坦爆發大規模軍事衝突之後，逾100個駭客組織發動網路攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年2月引爆的烏克蘭戰爭當中，網路攻擊占有舉足輕重的地位，許多駭客表態聲援烏克蘭或是俄羅斯，這樣的現象也出現在近期的以色列和巴勒斯坦軍事衝突。</p> <p>有研究人員發現，自巴勒斯坦激進組織哈瑪斯（Hamas）10月7日突襲以色列，不到一個禮拜的時間已有100個駭客組織從事相關的網路攻擊，其中逾四分之三支持巴勒斯坦、五分之一支持以色列，極少數表明維持中立的立場。但這些駭客的攻擊行動究竟會帶來那些影響？有待後續觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://thecyberexpress.com/cyber-war-in-the-israel-vs-palestine-conflict/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">100個駭客組織針對以巴衝突進行網路攻擊</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/F8HG4FlWsAADX53.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/F8HG4FlWsAADX53.jpg" style="width: 300px; float: right;" /></a>在以色列與巴勒斯坦開戰之後，有不少駭客組織表態，並對於這兩個國家的政府機關或組織發動網路攻擊，且參與的駭客組織數量急速增加。在10月9日，資安業者Cyble經營的新聞網站Cyber Express表示，有39個駭客組織表態發動攻擊；事隔兩天之後，駭客組織數量已達到100個，其中77個聲援巴勒斯坦，20個支持以色列，3個中立。</p> <p>對於聲援巴勒斯坦的網路攻擊行動，像是駭客組織Ghosts of Palestine癱瘓了以色列外交部、教育部網站；Sylhet Gang-SG因烏克蘭表態支持以色列，對該國網站發動DDoS攻擊；俄羅斯駭客組織Killnet、Usersec針對以色列銀行及電力設施下手。此外，耶路撒冷郵報（Jerusalem Post）的網站，也傳出遭到攻擊而數度當機。</p> <p>還有駭客組織打算趁亂打劫──日前聲稱攻擊Sony、NTT Docomo的駭客組織RansomedVC，傳出打算購買伊朗、巴勒斯坦、加薩地區組織的初始入侵管道，來對這些地區發動網路攻擊。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/FalconFeedsio/status/1711868327486787831">https://twitter.com/FalconFeedsio/status/1711868327486787831</a><br /> 2. <a href="https://thecyberexpress.com/israel-palestine-conflict-cyber-warfare-risk/">https://thecyberexpress.com/israel-palestine-conflict-cyber-warfare-risk/</a><br /> 3. <a href="https://thecyberexpress.com/israel-hamas-war-ransomedvc-access-to-iran/">https://thecyberexpress.com/israel-hamas-war-ransomedvc-access-to-iran/</a></p> <p><a href="https://securityaffairs.com/152153/hacking/gaza-linked-hackers-argeting-israel.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露聲援巴勒斯坦激進組織的加薩駭客Storm-1133</span></strong></a></p> <p></p> <p>10月7日以色列與巴勒斯坦爆發50年來最大規模的軍事衝突，但在此之前，駭客已經開始從事相關的網路攻擊行動。</p> <p>微軟近期發布了<a href="https://blogs.microsoft.com/on-the-issues/2023/10/05/microsoft-digital-defense-report-2023-global-cyberattacks/">今年度的數位防禦報告（Digital Defense Report）</a>，當中提及力挺巴勒斯坦激進組織哈瑪斯（Hamas）的加薩駭客組織Storm-1133，該組織從今年初開始從事攻擊行動，主要目標是以色列的能源設施、國防部門，以及效忠巴勒斯坦解放組織法塔赫（Fatah）的實體。</p> <p>這些駭客透過釣魚郵件及社群網站發送釣魚訊息，或是設置LinkedIn帳號來偽裝成以色列的人力資源主管、專案負責人、軟體開發人員，針對以色列國防、太空、科技產業的員工進行偵察、聯繫、散布惡意軟體。研究人員指出，這些駭客利用多種後門程式來迴避偵測，而這些惡意程式的C2基礎設施，架設於雲端檔案共享服務Google Drive。</p> <p><a href="https://www.fortinet.com/blog/threat-research/Iz1h9-campaign-enhances-arsenal-with-scores-of-exploits"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">路由器漏洞遭到殭屍網路病毒Mirai變種鎖定</span></strong></a></p> <p></p> <p>資安業者Fortinet揭露殭屍網路Mirai變種病毒IZ1H9近期的攻擊行動，他們看到駭客約從今年9月6日開始，利用至少13種殭屍網路病毒，綁架多個廠牌的網路設備與系統，包含D-Link、Netis、兆勤（Zyxel）、TP-Link、Totolink、Korenix、Geutebruck旗下的網路設備，以及視訊監控系統Sunhillo SureLine、裝置管理平臺Yealink Device Management，利用從2015年至2023年通報的漏洞入侵目標系統。</p> <p>一旦成功，對方就會將IZ1H9的惡意酬載注入設備，並從遠端伺服器取得Shell指令碼下載工具l.sh，程式一旦執行，首先會刪除事件記錄檔案來隱匿攻擊行動，然後根據處理器架構及作業系統的版本，來下載對應的機器人用戶端程式。</p> <p>最終此下載器竄改目標系統的iptable規則，從而干擾多個連接埠的網路連線，建立機器人與C2伺服器的通訊，等待接收攻擊者的命令。研究人員指出，IZ1H9可執行UDP、UDP Plain、HTTP Flood、TCP SYN等多種類型的DDoS攻擊。</p> <p><a href="https://www.bleepingcomputer.com/news/security/microsoft-state-hackers-exploiting-confluence-zero-day-since-september/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">DevOps協作平臺Atlassian Confluence遭中國駭客鎖定，利用零時差漏洞提升權限</span></strong></a></p> <p></p> <p>10月4日Atlassian修補DevOps協作平臺Confluence的零時差漏洞CVE-2023-22515，並指出已有部分用戶可能遭到入侵，如今有研究人員提出更多說明。</p> <p>對於這個威脅，微軟威脅情報團隊特別提出警告，他們發現自9月14日起，中國駭客組織Storm-0062（亦稱DarkShadow、Oro0lxy）利用上述的零時差漏洞從事攻擊行動。而這個弱點屬於權限提升類型的漏洞，攻擊者可藉此建立未經授權的管理員帳號，從而控制Confluence Data Center、Confluence Server實體，CVSS風險評為10分。由於資安業者Rapid7公布了概念性驗證（PoC）攻擊的指令碼，相關的攻擊行動很可能會再度出現。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/msftsecintel/status/1711871732644970856">https://twitter.com/msftsecintel/status/1711871732644970856</a><br /> 2. <a href="https://attackerkb.com/topics/Q5f0ItSzw5/cve-2023-22515/rapid7-analysis">https://attackerkb.com/topics/Q5f0ItSzw5/cve-2023-22515/rapid7-analysis</a><br /> 3. <a href="https://jira.atlassian.com/browse/CONFSERVER-92475">https://jira.atlassian.com/browse/CONFSERVER-92475</a></p> <p><a href="https://www.humansecurity.com/learn/blog/badbox-peachpit-and-the-fraudulent-device-in-your-delivery-box"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">7萬臺安卓電視盒、平板電腦韌體被植入後門，流入美國低收入戶</span></strong></a></p> <p></p> <p>趨勢科技今年5月揭露<a href="https://www.trendmicro.com/zh_tw/research/23/g/lemon-group-s-cybercriminal-businesses-built-on-preinfected-devi.html">可能會影響近900萬臺安卓裝置的攻擊行動</a>，這些裝置的ROM被預先載入了惡意軟體Guerrilla，駭客組織Lemon Group能藉由用戶的簡訊、社群網站帳號來牟利，甚至是在背景利用裝置來進行點擊詐欺活動，類似的情況近期再度上演。</p> <p>資安業者Human Security揭露名為Badbox的攻擊行動，這些裝置的韌體被植入名為Triada的惡意軟體，設備類型涵蓋至少200個型號的手機、平板電腦、電視盒，保守估計有7.4萬臺裝置遭到感染，當中有美國補助低收入戶的專案手機。一旦使用者啟用裝置，這些設備就會連回C2中繼站，遠端部署數個詐欺模組。其中一個是殭屍網路病毒Peachpit，每天約有12.1萬臺安卓裝置、15.9萬臺iOS裝置遭到控制。研究人員之所以發現Peachpit，原因是他們在2022年觀察到每天有40億則用於詐欺的廣告，這些竟源自39款安卓、iOS應用程式，從而追查到這項攻擊。Triada能竊取個人識別資訊（PII）、執行機器人並隱匿其行蹤、用於設置家用網路的代理伺服器、竊取Cookie或是動態密碼。</p> <p>而究竟駭客如何埋入惡意程式？研究人員指出，感染Triada的裝置由中國廠商生產，疑似在送交經銷商的過程出錯，有人悄悄植入後門程式。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.cna.com.tw/news/afe/202310100027.aspx"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">強化公部門資料安全，26個A級機關完成導入T-Road</span></strong></a></p> <p></p> <p>數位發展部為確保跨機關間資料傳輸的安全性，推動公部門導入政府資料傳輸平臺T-Road，這項政策與零信任架構（Zero Trust Architecture）列為該部門今年的施政重點項目，如今揭露導入的成果。</p> <p>根據中央通訊社的報導，截至9月底已有26個資安A級機關完成導入T-Road，這些包含了掌握全國人民個資的內政部警政署、勞保局、健保署、教育部、財政部、經濟部，地方政府的部分則有臺南市政府。數位部表示，我國資安A級機關總共有47個，預計將於明年底全數導入T-Road與零信任架構。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.securityweek.com/sap-releases-7-new-notes-on-october-2023-patch-day/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">SAP發布10月份例行更新</span></span></strong></a></p> <p></p> <p><a href="https://chromereleases.googleblog.com/2023/10/stable-channel-update-for-desktop_10.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google發布Chrome 118，修補20個漏洞</span></span></strong></a></p> <p></p> <p><a href="https://thehackernews.com/2023/10/libcue-library-flaw-opens-gnome-linux.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">GNOME桌面環境的程式庫libcue存在高風險漏洞</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/bianlian-extortion-group-claims-recent-air-canada-breach/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);"></span></span></strong></a></p> <p></p> <p><a href="https://github.blog/2023-10-04-introducing-secret-scanning-validity-checks-for-major-cloud-services/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">GitHub帳密機敏資訊掃描功能範圍擴及AWS、微軟、Google、Slack</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/bianlian-extortion-group-claims-recent-air-canada-breach/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體BianLian聲稱從加拿大航空竊得210 GB資料</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159228"><strong>【10月11日】駭客組織鎖定臺灣生技、製造、IT業者而來，自今年2月暗中從事網路間諜攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159172"><strong>【10月6日】中國駭客鎖定臺灣、香港、新加坡半導體產業而來，假借台積電的名義進行網路間諜攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159144"><strong>【10月5日】亞太地區安卓手機遭中國駭客APT41鎖定，進行精確的定位追蹤、盜取網路電話通話內容及行動支付資料</strong></a></p> </div></div></div>
2023/10/12 18:04作者周峻佑https://www.ithome.com.tw/news/159241
公平會通過台灣大哥大與台灣之星合併案，台灣大哥大：拼年底完成合併
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼遠傳與亞太電信之後，公平交易委員會（簡稱公平會）在今天（10/12）決議，以有條件方式通過台灣大哥大與台灣之星合併案，由於台灣大哥大將承受台灣之星用戶，要求對台灣之星4G終身用戶應依合約服務至4G頻段使用屆期為止。台灣大哥大表示，將趕在今年底前完成合併。</p> <p>台灣大哥大是在2021年12月底，宣布將合併台灣之星，為國內電信市場投入震憾彈，隨後遠傳電信也宣布將和亞太電信合併，兩大電信合併案不只牽涉到眾多用戶，從5家行動電信商減少至3家，對國內電信市場競爭產生重大影響，公平會花費相當長的時間，從合併後的市場經濟效溢、用戶權益、公平性及市場競爭變化等方面，審理兩大電信合併案，其中遠傳與亞太電信合併案已在今年7月先通過，今天再通過台灣大哥大與台灣之星合併案。</p> <p>公平會指出，電信產業具有高技術、高資本特性，合併固然透過資源整合，改善經營效率、競爭力，但在遠傳與亞太電信合併後，台灣大哥大與台灣之星合併案，將使國內寬頻服務業者減少，導致市場集中度提高、價格上升的疑慮。為維護市場競爭及保障消費者利益，公平會邀請學者專家、主管機關、消保單位、競爭對手，向外蒐集各方對合併案的意見。</p> <p>公平會認為，台灣大哥大合併台灣之星，整合其頻譜使用資源、網路、用戶及人力，有助於5G發展，減少機房、基站重覆建置，整體經濟效益提升，但業者數減少，市場集中提高，衍生價格上升的質疑，為確保合併後經濟效益大於限制競爭的不利益，有條件通過合併申請。</p> <p>公平會對台灣大哥大提出附加負擔，在資費方面，對台灣之星既有用戶契約，需確保用戶得依契約約定的資費、服務內容及條件至2025年12月31日止；對台灣之星4G上網終身用戶，依合約內容服務至4G頻段使用期限屆期。另針對低收入戶、中低收入戶、身心障礙、清寒等用戶提供至少5年的優惠資費方案，一般用戶則提供至少1年優惠資費。資費方案實施，以及資費與mo幣合作，應於合併後5年每年提供公平會備查。</p> <p>在服務方面，由於合併後取得更多頻譜使用資源，台灣大哥大承諾將提升網路及服務品質，公平會要求合併後5年內每年提出行動寬頻網路整合及優化，提升網路及服務品質的實施成果；業者需提出符合自行承諾的整體經濟效益成果報告。</p> <p>為避免對市場競爭的影響，台灣大哥大提供其他業者與自身用戶相同等級的行動語音、數據、漫遊、號碼可攜服務、平等接取服務。另外，在沒有正當理由之下，不得拒絕或中止提供其他業者批發服務、訂定不合理價格或交易條件；沒有正當理由下，不得以差別的價格或交易條件提供批發服務等等。</p> <p>公平會也公布台灣大哥大提出的一般用戶優惠資費，其中4G上網中低資費方案，從月租費0元按資料量計價，到月租費499元限速吃到飽，另提供1個5G月租費599資費方案，以吸引4G用戶升級5G。</p> <p>台灣大哥大第一時間指出，將趕在今年底前完成合併，合併後的新台灣大將大幅升級頻寬、頻譜資源，以及接近千萬的用戶，加速超5G應用生態的發展。</p> <p>台灣大哥大與台灣之星未來合併後，新台灣大哥大用戶數將達980萬左右，而遠傳與亞太電信合併後，新遠傳估計用戶數也將達920萬，兩家業者將和擁有將近１,300萬行動用戶的中華電信分庭抗禮。不過，遠傳與亞太電信合併近期出現新的變數，亞太電信股東以今年4月召開股東臨時會的程序有瑕疵為由，將亞太電信與遠傳合併決議告上智財及商業法院，法院近期判決合併決議應撤銷，恐衝擊遠傳原先與亞太的合併時程規畫。</p> </div></div></div>
2023/10/12 18:48作者蘇文彬https://www.ithome.com.tw/news/159246
WordPress.com正式支援ActivityPub，加入聯邦宇宙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://wordpress.com/blog/2023/10/11/activitypub/" target="_blank">Automattic周三（10/11）宣布</a>，旗下的出版平臺WordPress.com正式支援去中心化的社交網路協定ActivityPub，加入聯邦宇宙（Fediverse）。</p> <p>Fediverse是由聯邦（Federation）及宇宙（Universe）兩個單字所組成，指的是各自獨立卻又能彼此交流的社交網路，各種Fediverse平臺允許不同服務的使用者可彼此關注、分享及互動。而ActivityPub則是由全球資訊網協會（World Wide Web Consortium，W3C）所建立的相關標準，也是現今最熱門的Fediverse協定。</p> <p>WordPress.com的各種方案都將支援ActivityPub，其中的免費（Free）、個人（Personal）及進階（Premium）版用戶可直接透過設定來進入Fediverse，而商用（Business）與電子商務（Commerce）版用戶，則必須安裝ActivityPub外掛程式來參與Fediverse。</p> <p>一旦啟用了ActivityPub，WordPress用戶的部落格便會成為Fediverse上的一個個人檔案，部落格的讀者們就可以在他們自己偏好的平臺上關注並接收來自該部落格的更新，也能直接回覆部落格文章，並出現在部落格的評論上。</p> <p>目前較知名的Fediverse平臺包括了微型部落格X的競爭對手Mastodon、新聞暨討論社群Lemmy、影音平臺PeerTube，以及去中心化的影像分享社交平臺Pixelfed等，且上述皆為開源專案。此外，崇尚開放與自由網路的Mozilla基金會<a href="https://www.ithome.com.tw/news/154818" target="_blank">也在去年宣布將以Mozilla.Social來加入Fediverse</a>，此一<a href="https://mozilla.social/public/local" target="_blank">新的社交平臺</a>已於今年5月邁入封閉測試。</p> </div></div></div>
2023/10/12 15:59作者陳曉莉https://www.ithome.com.tw/news/159237