iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 12篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 10:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

駭客鎖定Telegram、AWS、阿里雲用戶發動供應鏈攻擊，散布惡意PyPI套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Checkmarx新一波的PyPI惡意套件攻擊，<a href="https://checkmarx.com/blog/users-of-telegram-aws-and-alibaba-cloud-targeted-in-latest-supply-chain-attack/">駭客主要的目標是使用Telegram、AWS、阿里雲的開發人員</a>。</p> <p>研究人員自今年9月，看到有人上傳一系列惡意PyPI套件，但特別的是，這些套件的惡意程式碼不會在開發人員安裝時執行，駭客將惡意指令碼嵌入套件深處，必須在套件執行過程呼叫特定的功能函數，才會觸發。研究人員指出，由於許多資安工具會掃描自動執行的惡意指令碼，但遇上這種手法可能沒輒。</p> <p>他們舉出其中一款名為Telethon2的惡意套件為例，駭客模仿已被下載6,900萬次的熱門套件Telethon，並引用此套件GitHub儲存庫的統計資料內容。但攻擊者並非將惡意程式碼埋入安裝指令檔案，而是竄改Telethon的程式碼內容，在telethon/client/messages.py嵌入兩行指令，使得惡意程式碼在該套件呼叫傳送訊息的功能才會啟動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/kohlersbtuh15-10.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/kohlersbtuh15-10.png" style="width: 580px; height: 94px;" /></a></p> <p>而為了引誘開發人員上當，攻擊者不光使用了模仿域名（Typosquatting）的手段，還讓這些惡意套件看起來相當受歡迎，由於開發人員在挑選套件的過程，往往會參考GitHub統計的資料，攻擊者刻意將PyPI套件連結GitHub上面不相關套件的儲存庫，導致開發人員可能誤以為此套件的程式碼具有相當影響力而降低戒心，<a href="https://medium.com/checkmarx-security/starjacking-making-your-new-open-source-package-popular-in-a-snap-f52204e180cc">研究人員將此攻擊手法稱做Starjacking</a>。</p> <p>什麼是Starjacking？簡單來說，在開源套件的開發人員工作流程當中，很可能會利用GitHub代管專案的程式碼，然後再將套件上傳到NPM、PyPI來供其他開發人員運用。而NPM、PyPI套件庫的使用者，往往會參考GitHub的統計資料，來判斷套件是否受到歡迎，做為挑選套件的依據。</p> <p><a href="https://s4.itho.me/sites/default/files/images/kohlersbtuh15-9.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/kohlersbtuh15-9.png" style="width: 580px;" /></a></p> <p>然而，研究人員指出，這些套件儲存庫顯示的資料通常沒有經過驗證，也很容易偽造，而這種手法就是將攻擊者的套件，與GitHub上相當熱門、獲得良好GitHub Stars評價的專案進行連結，從而讓下載套件的使用者誤以為套件來自具有相當影響力的GitHub專案。</p> <p>而對於受害者的身分，研究人員指出近半數位於美國（44.61%），其次是中國（16.37％）、香港（4.44％）、新加坡（4.44％）。</p> </div></div></div>
2023/10/22 21:45作者周峻佑https://www.ithome.com.tw/news/159422
美國證券交易委員會傳出著手調查MOVEit Transfer攻擊行動帶來的影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>MFT檔案傳輸系統MOVEit Tranfer因本身存在零時差漏洞CVE-2023-34362，採用這套產品的許多用戶5月底面臨攻擊，當時，有俄羅斯駭客組織Clop犯案，他們從使用這套MFT系統的組織竊取資料，並進行勒索，最近傳出美國證券交易委員會（SEC）對軟體開發商Progress進行相關調查的情況。</p> <p><a href="https://techcrunch.com/2023/10/11/sec-is-investigating-moveit-mass-hack-says-progress-software/">根據科技新聞網站TechCrunch的報導</a>，<a href="https://www.sec.gov/Archives/edgar/data/876167/000087616723000190/prgs-20230831.htm">Progress近日向美國證券交易委員會提出10-Q季度財務報告</a>，揭露後續進展，當中提及他們收到SEC的傳票，將「完全配合」提供該零時差漏洞有關的各種文件及資訊，該公司強調，SEC進行的是事實調查，並非該公司違反聯邦證券法。</p> <h3><strong>首度透露該公司受到影響的情況</strong></h3> <p>而對於這起攻擊事故造成的損失，Progress認為影響有限，根據他們的評估，由於旗下MFT系統的漏洞，產生約100萬美元的費用，相關的保險理賠預期會進帳190萬美元。但這份季報也談到遇害客戶的反應，他們表示，有23個組織、58名人士向他們提出法律訴訟，而有可能會產生賠償費用。</p> <p>究竟這起事故帶來的影響有多大？目前仍不得而知，且陸續有企業組織表明受害。例如，大型家用電視遊樂器製造商Sony Interactive Entertainment於10月3日，<a href="https://www.ithome.com.tw/news/159144#sony">透露近7千名員工的個資遭到外洩</a>；<a href="https://www.bleepingcomputer.com/news/security/third-flagstar-bank-data-breach-since-2021-affects-800-000-customers/">美國商業銀行Flagstar透露超過80萬客戶受到波及</a>。根據<a href="https://www.emsisoft.com/en/blog/44123/unpacking-the-moveit-breach-statistics-and-analysis/">資安業者Emsisoft的統計</a>，這起大規模零時差漏洞攻擊影響超過2,500個組織、6,400萬人。</p> <h3><strong>去年11月資安事故同時揭露</strong></h3> <p>另一個引起外界關注的焦點，是Progress提及2022年11月發生的資安事故，當時產生了420萬美元的費用，該公司後來得到約300萬美元的保險理賠。</p> <p>代表Progress的人士John Eddy向TechCrunch透露，當時該公司察覺內部網路遭到未經受權的存取，部分資料外洩，並在<a href="https://investors.progress.com/node/25731/html">同年12月發布資安通告</a>，但此事故與目前通報的軟體漏洞無關，也沒有透露這起資料外洩事故影響的範圍。</p> </div></div></div>
2023/10/22 11:17作者周峻佑https://www.ithome.com.tw/news/159418
惡意軟體DarkGate利用帳密外洩的Skype登入身分，散布帶有VBA指令碼的檔案來發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.trendmicro.com/en_ph/research/23/j/darkgate-opens-organizations-for-attack-via-skype-teams.html">資安業者趨勢科技揭露惡意軟體DarkGate最新一波的攻擊行動</a>，駭客疑似透過地下論壇或是資料外洩事故取得Skype帳密資料，在今年的7月至9月，利用兩個組織之間的信任關係，透過上述的Skype帳號，向另一個組織的使用者發送的訊息，當中是帶有VBA指令碼的檔案（名稱為<filename.pdf> <a href="http://www.skype[.]vbs">www.skype[.]vbs</a>）。</p> <p>一旦收到訊息的使用者開檔、執行惡意VBS，電腦先是建立新資料夾並複製curl.exe，接著從外部伺服器下載AutoIT，並執行.AU3的指令碼，從而部署DarkGate。研究人員指出，由於攻擊者挾持了外洩的Skype帳號，可對既有的訊息進行拆解，並將附件檔案設定為與對談內容有關的名稱，使得收到訊息的使用者更難察覺異狀而上當。</p> <p><a href="https://s4.itho.me/sites/default/files/images/figure3-darkgate-opens-organizations-for-attack-via-skype-teams.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure3-darkgate-opens-organizations-for-attack-via-skype-teams.jpg" style="width: 580px;" /></a></p> <p>值得留意的是，為了迴避偵測，駭客利用了AutoIT的自動化批次檔（AU3）來製作指令碼，在載入指令碼的過程裡，此批次檔會先偵測作業系統的環境，必須符合兩項條件才會載入。</p> <p>（一）%Program Files%資料夾存在<br /> （二）存取的使用者帳號名稱並非SYSTEM</p> <p>一旦目標電腦通過檢查，駭客的程式便會尋找AU3檔案並解密，然後產生iexplore.exe、GoogleUpdateBroker.exe、Dell.D3.WinSvc.UILauncher.exe的處理程序，並注入Shell Code於記憶體內（In Memory）執行DarkGate的惡意酬載。</p> <p><a href="https://s4.itho.me/sites/default/files/images/figure2-darkgate-opens-organizations-for-attack-via-skype-teams.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure2-darkgate-opens-organizations-for-attack-via-skype-teams.png" style="width: 580px;" /></a></p> <h3><strong>攻擊者近期也透過其他管道散布該惡意程式</strong></h3> <p>近期駭客散布DarkGate的攻擊事件頻傳，今年9月，資安業者<a href="https://www.ithome.com.tw/news/158448#darkgate">Malwarebytes</a>、<a href="https://www.ithome.com.tw/news/158685#darkgate">TrustSec</a>發現此惡意程式的攻擊行動，駭客先後運用了搜尋引擎中毒（SEO Poisoning）、微軟即時通訊軟體Teams來散布。</p> <p>而對於受害的範圍，根據研究人員的追蹤，他們發現大部分都在美洲，其次是亞洲、中東、非洲地區。</p> <p><a href="https://s4.itho.me/sites/default/files/images/figure1-darkgate-opens-organizations-for-attack-via-skype-teams.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure1-darkgate-opens-organizations-for-attack-via-skype-teams.png" style="width: 580px;" /></a></p> <p>研究人員除了看到駭客透過Skype的即時訊息，向用戶傳送惡意VBS檔案、散布DarkGate，他們也觀察到其他的手法，並透露相關細節。其中一種是前面提到的Teams即時訊息，但駭客傳送的附件並非PDF檔案，而是內含Windows捷徑檔案（LNK）的ZIP壓縮檔。</p> <p>一旦使用者依照指示點選LNK檔案，電腦就會從特定的SharePoint網站當中，下載另一個壓縮檔Significant companychanges September.zip。這個ZIP檔內含偽裝成PDF檔案的LNK檔，若是執行就有可能觸發VBS檔案hm3.vbs，利用AutoIT指令碼下載DarkGate惡意程式碼。</p> </div></div></div>
2023/10/22 20:39作者周峻佑https://www.ithome.com.tw/news/159420
台新金控揭生成式AI實驗新進展，涵蓋Chatbot、知識管理、程式助理和虛擬客服
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>台新金控資深經理王正男日前（10/18）揭露台新金控生成式AI進展，他們不只制定AI發展關鍵因子和AI導入指引，還發展4項實驗專案，包括協作平臺的聊天機器人Teams Chatbot、知識管理平臺、程式碼撰寫助理Codex，以及虛擬智能客服。其中，Teams Chatbot是讓金控成員認識生成式AI的第一步，有了成功經驗，他們開始結合生成式AI與內部資料，打造知識管理平臺，讓使用者以自然語言問答查詢。該平臺雖未上線，但基礎建設完整，未來可能擴大發展，如作為智能客服。而虛擬智能客服不只生成擬真的客服人像，還能與使用者語音互動、推薦理財商品。</p> <p><span style="font-size:24px;"><strong>制定AI發展關鍵因子，作為金控導入AI的重要參考</strong></span></p> <p>面對生成式AI強勢襲來，台新金控在今年初列了張發展AI關鍵因子表格，作為金控導入AI解決方案的重要參考。王正男指出，這份發展AI關鍵因子表格，羅列了台新金控導入AI的目的、介面、技術、數據、基礎建設和人才等因子。就目的來說，導入AI的目標可分為降低成本、增加效率、提升體驗、輔助決策和提高收益等，這是團隊導入AI時，優先考量的項目。</p> <p>再來，台新金控重視與顧客的互動，要採用AI，會思考從不同介面與顧客互動，比如文字、聲音、圖片、影像、虛擬人物、智能設備等。就虛擬人物來說，他們也打造一款虛擬客服服務，已發展2年多，接下來要瞄準智能設備。</p> <p>至於技術，則可分為機器學習和專家系統2種，進一步細分則有自然語言處理／理解、語音轉文字、文字轉語音、生物識別、OCR，以及大型語言模型（LLM）等技術。王正男透露，台新金控看好能力強大的LLM，是接下來1、2年的發展重點。</p> <p>他也表示，如何運用金控大量、高品質和多元的數據來發展AI，提供更好的服務，也是另一個發展AI的關鍵因子。還有個因子是基礎建設，台新金控將其分為儲存空間和運算能力，如自建或採公有雲。最後一個因子是人才，資料科學家、資料工程師、AI工程師、AI訓練師，以及其中最關鍵的推動者。因為，推動者要能與長官溝通、獲得支持，才能讓AI導入事半功倍。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%99%BC%E5%B1%95%E5%9B%A0%E5%AD%90.JPG" /></p> <p>不只列出發展AI的關鍵因子，台新金控還根據觀察，歸納出AI導入成效不彰的重點，來避免踩坑。這些原因有4個，首先是無法規模化，王正男舉例，金控有許多部門，每個部門各自獨立、容易發生數據孤島，或是各自導入功能相同的AI，如金融卡部門導入OCR服務、法金部門也導入OCR服務，這就花費2倍成本，效益不佳。</p> <p>另一個原因是實驗性質過高，比如為導入而導入、未思考商業應用效應。其他原因還有對導入的商業效益過於樂觀、成本過高等。這些原因都是台新金控導入AI時要避免的。</p> <p><span style="font-size:24px;"><strong>制定AI導入指引，擴大應用優於全新導入</strong></span></p> <p>另一方面，台新金控也制定AI導入指引，共有4大原則。首先，「導入AI不會減少成本，」王正男指出，因此他們將第一原定為擴大應用優於全新導入，意思是，行內若有既有的AI技術，就會思考如何讓這項技術更普及於其他領域，而不只局限於原本的單位內。</p> <p>第二個原則是業務效率優於技術創新。換句話說，AI新技術推陳出新，比如前些年，人臉辨識、指紋辨識等生物辨識技術遍地開花，台新金控團隊會思考，這些技術對業務是否有幫助，而非為成為新聞亮點而導入。</p> <p>第三個原則是技術導入優於產品導入，也就是「不再以產品為導向，而是以技術為導向。」王正男舉例，若業務需要OCR，團隊就會思考採購OCR模組，至於能包裝成何種業務場景、業務流程，團隊則會與協力廠商溝通、包裝，來提升技術效益。</p> <p>第四個原則是外購優於技術移轉，且優於自行開發。王正男指出，台新金控內部並未大力發展AI培養能力，因此採外購模式居多，認為外購優於技術移轉、優於自行開發。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8C%87%E5%BC%95.JPG" /></p> <p><span style="font-size:24px;"><strong>發展4大生成式AI實驗案例</strong></span></p> <p>於是，他們選定廠商，找來宏碁資訊和微軟，來進行生成式AI實驗專案。</p> <p>第1項便是用於協作平臺Teams的聊天機器人ChatGPT Chatbot，台新金控首選導入這款Chatbot，是要讓集團各單位更了解生成式AI。因為，當時台新金控高階主管和職員都對ChatGPT印象深刻，但對其局限並不清楚，因此團隊想藉導入Chatbot，來創造一個安全的環境，讓大家試驗、進一步理解生成式AI。</p> <p>於是，他們在今年3月與廠商規畫、建置專屬Chatbot，並租用微軟Azure OpenAI環境，5月正式將ChatGPT串接至Teams中，提供200個帳號供各單位使用。這項應用，也在台新金控內部舉辦的6場生成式AI Roadshow中登場，由團隊向金控成員介紹生成式AI的潛力及局限。</p> <p><span style="font-size:24px;"><strong>將生成式AI用於知識管理平臺</strong></span></p> <p>有了成功經驗，台新金控進一步展開第2項實驗專案，也就是生成式AI加持的知識管理平臺。這個平臺能讓使用者向AI提問內部問題，並得到相關解答。這項專案的目的，是要驗證Azure OpenAI能否用於內部知識管理，於是，金控IT和廠商一起打造這個平臺，採用嵌入索引（Embedding Index）來整合生成式AI和自家知識文件，再用指令（Prompt）來調整生成式AI的回答。</p> <p>該平臺的運作機制是先透過AD驗證使用者身份，使用者再向生成式AI提問，平臺再根據問題搜尋內部資料。這些資料包括內部作業指導書、資訊管理辦法、永續報告書和一級以上主管名單，為找出答案，平臺會先拆分資料，接著索引找出分數最高的相關資料，來讓生成式AI整理，產出回覆給使用者。在這個過程中，平臺也會記錄整個對話，以被稽核使用。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/KM.JPG" /></p> <p>王正男表示，該平臺還是實驗性質、並未上線。因其基礎建設完善，未來平臺若完整建立，會擴大發展為智能客服或其他應用，「是個非常指標性的專案。」</p> <p><span style="font-size:24px;"><strong>導入程式撰寫助理Codex</strong></span></p> <p>再來，台新金控也想驗證生成式AI用於程式開發的效益，於是展開另一項實驗專案，建立一系列研究，來測試程式撰寫工具Codex。這些研究是由使用者提出需求，讓Codex從零開始撰寫程式碼直至完成，包括資料表的建立、增刪減與重新規畫，使用自然語言對話來產生程式碼，以及撰寫初階和進階程式碼、撰寫程式碼說明等。</p> <p>王正男表示，為衡量Codex效益，台新金控也以資淺到資深的工程師來手動進行這些任務，對比Codex的任務表現，找出使用的優缺點。首先，人類工程師撰寫時間大約1小時，若初階工程師使用此工具，可提高3至4成的開發和文件撰寫速度，中階開發工程師則能提高2、3成速度，高階工程師則提升10%至20%。</p> <p>不過，團隊也發現，問對問題是需要訓練的，且「問對問題很重要。」再來，就像是對使用者說明一樣，工程師使用AI時，也要一步步好好說明問題，而Codex產出的程式碼通常無法直接使用，還需要人為調整和判斷。尤其是交易類的程式碼，只能參考，需要工程師核實再確認。</p> <p>即便如此，團隊建議，金控內部工程師可開始使用Codex來輔助撰寫程式了。</p> <p><span style="font-size:24px;"><strong>打造虛擬客服來推薦理財商品</strong></span></p> <p>不只如此，台新金控也用生成式AI打造虛擬客服，也就是生成一個擬真的客服人員，再利用語音轉文字、文字轉語音、人臉辨識等技術，來推薦理財商品給客戶。</p> <p>台新金控發展這項服務，是要解決幾個痛點，比如理財商品眾多、理財顧問理解耗時，新進人員訓練不易等。因此，他們想用主動行銷方式，來協助理專推薦商品，例如透過虛擬客服互動、取得相關資訊（如性別、年齡），再推薦理財商品給顧客，並介紹這些商品。</p> <p>他們採用的技術有JavaScript臉部辨識API，來預測顧客性別和年齡，再用Google Cloud Speech to Text API來辨識語音，轉換成文字後傳送至後端Azure OpenAI服務，來生成回覆內容。最後再將文字轉為語音，由虛擬客服用語音回答顧客，並推薦相對應的理財商品。</p> <p>而後臺的運作方式，則是團隊先將內部問題集和答案資料匯入Azure認知服務，當後臺收到顧客回答時，會進行認知搜尋，並在文件內容建立嵌入（Embeddings），再由Azure Cognitive Search拆分查詢字串、請求最類似答案。最後，會由Azure OpenAI服務將答案組合、傳回前端，由虛擬客服給出回答。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-10-20%20184315.png" /></p> <p></p> </div></div></div>
2023/10/20 19:13作者王若樸https://www.ithome.com.tw/news/159417
【資安日報】10月20日，駭客利用後門程式框架Meta攻擊東歐國家的石油產業、天然氣公司、國防工業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安防護通常較為薄弱的工廠操作科技（OT）環境，駭客可能將其視為入侵整個企業的管道！有研究人員揭露去年下旬出現的惡意軟體Meta的攻擊行動，駭客先是針對工業控制系統下手，得逞後進一步攻擊總公司及其他分公司。</p> <p>值得留意的是，有別於許多攻擊行動的網釣攻擊是針對Chrome而來，近日一波攻擊駭客仍利用2年前的IE已知漏洞，來鎖定仍未汰換IE的企業組織。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://securelist.com/updated-mata-attacks-industrial-companies-in-eastern-europe/110829/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">東歐能源產業、國防工具遭到後門程式框架Meta攻擊，從工控環境進一步入侵總公司內部網路</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/new-MATA-infection-chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/new-MATA-infection-chain.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基揭露後門程式框架Meta攻擊行動，駭客從2022年8月至今年5月，針對東歐石油產業、天然氣公司、國防工業而來，利用IE瀏覽器漏洞CVE-2021-26411（CVSS風險評分為8.8）觸發感染鏈，入侵財務系統的伺服器。</p> <p>駭客先是寄送釣魚郵件，這些信件都包含連結，連往可觸發上述IE漏洞的網頁，入侵企業的工業控制系統環境，找出企業終端伺服器的遠端桌面連線管道，從而對總公司的內部網路下手。過程中駭客利用合法驅動程式及Rootkit干擾防毒軟體偵測，收集使用者帳密，然後進行橫向移動，最終存取2種端點防護系統的主控臺，並利用1個漏洞得到控制權，從而收集受害組織的基礎設施資訊，並散布惡意程式，甚至擴散到多個子公司。</p> <p>而對於攻擊電腦種類，研究人員發現駭客同時針對Windows與類Unix作業系統而來，散布新的Meta惡意軟體，當中具備竊資軟體的功能，以及透過USB裝置入侵隔離網路的能力。在部分環境當中，駭客為了繞過防毒軟體的偵測，他們利用名為CallbackHell的Windows權限提升漏洞CVE-2021-40449（CVSS風險評分為7.8）。研究人員指出，新版Meta具有75種遠端控制功能，並支援TCP、SSL、PSSL、PDTLS多種通訊協定連線，亦具備充當代理伺服器的功能。</p> <p><a href="https://ti.qianxin.com/blog/articles/Operation-HideBear-Russian-Threat-Actors-Targeting-East-Asia-and-North-America-CN/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客鎖定東亞、北美，利用武器化的TeamViewer發動攻擊</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/e292206b8ccb4973f6ad365df87caa87.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/e292206b8ccb4973f6ad365df87caa87.png" style="width: 300px; float: right;" /></a>中國資安業者奇安信揭露於2022年底發生的Operation HideBear攻擊行動，駭客打造常用應用程式的下載網站，並購買Google搜尋引擎廣告，散布重新透過Inno Setup封裝、帶有惡意程式的安裝檔，引誘使用者上當，但當時沒有取得惡意酬載的相關檔案，而無法確認攻擊者身分。</p> <p>後來在2023年中旬，研究人員再度觀察到這些惡意安裝程式的攻擊行動，有東亞及北美的使用者受害，攻擊者最終透過SFTP通訊協定，於受害電腦投放名為Minebridge的RAT木馬程式，並透過遠端桌面連線程式TeamViewer以DLL側載（DLL Side-loading）的方式執行。攻擊者存取受害電腦的方式，可能是透過AnyDesk，然後利用PsExec進行橫向移動。值得留意的是，駭客為了隱匿攻擊流量，受害電腦與C2連線的管道，是透過OpenSSH建立的反向隧道，而能夠繞過EDR系統的偵測。</p> <p>而對於攻擊者的身分與動機，他們認為，雖然過往Minebridge幾乎駭客組織TA505所使用，但根據掌握的證據，這起攻擊行動應該是由俄羅斯駭客組織RomCom（亦稱Storm-0978）發起，很可能是為了竊取IT及醫療的技術而來。</p> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/crambus-middle-east-government"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">伊朗駭客APT34入侵中東政府的電腦，將微軟Exchange伺服器當作C2基礎設施</span></strong></a></p> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/crambus-middle-east-government"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);"></span></strong></a></p> <p></p> <p>資安業者賽門鐵克揭露伊朗駭客組織APT34（亦稱OilRig、MuddyWater）的攻擊行動，該組織入侵了至少12臺中東政府機關的電腦，並從2023年2月至9月持續存取，另有數十臺電腦被植入後門與鍵盤側錄工具。</p> <p>研究人員指出，攻擊者從2月1日開始於目標電腦執行可疑的PowerShell指令碼，到了5日存取第2臺電腦並透過名為plink的工具，來設定連接埠，以便透過遠端桌面連線（RDP）存取。到了21日，攻擊者執行netstat命令並開始惡意行動，接著，他們於4月上旬入侵第3臺電腦及網域控制器（DC），並在4月下旬、6月下旬於第3臺電腦植入後門程式，其中一個後門程式Backdoor.PowerExchange，是以PowerShell為基礎打造，藉由存取Exchange伺服器遭駭的電子郵件信箱，監控主旨含有＠＠的信件接收、執行攻擊者下達的命令，將此種電子郵件系統當作C2基礎設施。</p> <p>攻擊者後來再度於7月於同一臺電腦上下載更多惡意軟體，並在網域控制器執行Mimikatz竊取帳密資料，然後在9月將注意力轉移至更多電腦。</p> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/10/clever-malvertising-attack-uses-punycode-to-look-like-legitimate-website"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客透過Google廣告聲稱提供密碼管理軟體KeePass，散布惡意程式</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/easset_upload_file60928_284125_e.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/easset_upload_file60928_284125_e.png" style="width: 300px; float: right;" /></a>資安業者Malwarebytes揭露濫用Google搜尋廣告的惡意軟體攻擊行動，駭客假借提供開源密碼管理工具KeePass，並搭配國際化網域名稱編碼（Punycode）的攻擊手法，讓使用者難以從網址識別是惡意網站。</p> <p>Punycode指的是將Unicode轉換成ASCII的特殊編碼，以研究人員揭露的惡意網站ķeepass.info為例（K下方有逗點），轉換成ASCII編碼是xn--eepass-vbb[.]info。一旦使用者依照指示下載，電腦就有可能感染惡意程式FakeBat。</p> <p><a href="https://world.casio.com/information/1018-incident/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">卡西歐傳出資料外洩，恐波及149國客戶</span></strong></a></p> <p></p> <p>10月18日日本電子產品製造商卡西歐（Casio）發出公告，不明人士未經授權存取公司的教育網頁應用程式ClassPad.net的開發環境伺服器，該公司於11日晚間察覺資料庫異常並進行調查，隨後12日部分日本境外人士的個人資訊遭到存取，這些資料包含客戶名稱、電子郵件信箱、居住國家、購買資訊、使用的服務資訊，但不含信用卡資料，91,921個項目與日本客戶有關、35,049個外洩項目影響其他148個國家及地區的客戶。</p> <p>而對於這起事故發生的原因，他們認為來自於系統操作錯誤與作業管理不足，使得開發環境部分網路安全組態遭到停用而釀禍。對此，卡西歐在16日向日本個人資料個護委員會、日本資訊系統使用者協會（JUAS）通報此事，並與外部專家進行調查。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">基因檢驗業者23andMe傳出資料外洩，410萬筆英國民資資料流入駭客論壇</span></strong></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/23andMe-leak.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/23andMe-leak.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer在10月6日的報導，有人在駭客論壇兜售基因檢驗業者23andMe的資料，當時該公司發言人證實駭客流出的是真實資料，疑似透過其他攻擊事件取得的帳密資料來進行帳號填充攻擊得逞，而非IT系統遭到入侵，最近又有駭客公布另一批資料。</p> <p>10月17日，有人聲稱是資料外洩事件的幕後黑手，於駭客論壇洩露410萬名英國人個資，並聲稱內含居住美國、西歐最富有人士的資料，包含洛克斐勒家族、羅斯柴爾德家族等豪門。這名人士同日又公布另批含有德國人資料的CSV檔案，內含139,172筆。</p> <p>根據科技新聞網站TechCrunch的報導，駭客公布的英國民眾個資，有部分已被證實與公開的基因資訊相符，而且，有些資料駭客曾在8月於另一個論壇兜售，當時他們宣稱竊得300 TB資料。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/security/hacker-leaks-millions-of-new-23andme-genetic-data-profiles/">https://www.bleepingcomputer.com/news/security/hacker-leaks-millions-of-new-23andme-genetic-data-profiles/</a><br /> 2. <a href="https://www.bleepingcomputer.com/news/security/genetics-firm-23andme-says-user-data-stolen-in-credential-stuffing-attack/">https://www.bleepingcomputer.com/news/security/genetics-firm-23andme-says-user-data-stolen-in-credential-stuffing-attack/</a><br /> 3. <a href="https://techcrunch.com/2023/10/18/hacker-leaks-millions-more-23andme-user-records-on-cybercrime-forum/">https://techcrunch.com/2023/10/18/hacker-leaks-millions-more-23andme-user-records-on-cybercrime-forum/</a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對研究人員揭露的NAS管理員密碼重組漏洞，群暉提出進一步說明</span></strong></p> <p></p> <p>資安業者Claroty近日揭露，<a href="https://www.ithome.com.tw/news/159379#synology">關於群暉6月修補的NAS作業系統DSM漏洞CVE-2023-2729的細節</a>。對於這項漏洞，我們也向該公司進行確認，他們提出了新的說明。</p> <p>首先是針對漏洞緩解的方式，該公司將舊有的生成隨機密碼函數，替換為能提供加密和更安全隨機密碼的函式來因應。</p> <p>而對於他們對這項漏洞的風險評估，該公司表示此漏洞針對的管理員帳號，在建置完DSM環境後就會停用，即使攻擊者最終找出正確密碼，亦無法使用。再者，則是這個漏洞必須搭配其他資訊才能利用，無法直接暴力猜測密碼。該公司認為，此漏洞在實務上幾乎不會造成威脅。</p> <p>基於Synology SIRT將該漏洞評估為中度風險（Moderate），根據他們的修補政策，只會針對最新的DSM 7.2提供修補，並表示若為重大風險漏洞，該公司也會為舊版DSM作業系統進行修補，並在24小時內提供。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/159409"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度警方聯手微軟、Amazon，打擊假冒技術支援詐騙行動</span></strong></a></p> <p></p> <p>10月19日印度中央調查局（CBI）宣布，他們與微軟和Amazon聯手，破獲在當地進行的技術支援詐騙行動Chakra-II，他們總共掃盪了5起案件，搜索76個地點，扣押了許多的手機、電腦、伺服器、SIM卡、硬碟、電子郵件，並凍結多個銀行帳戶。</p> <p>這些詐騙份子於印度五個州經營多個客服中心，宣稱自己是這兩大品牌的技術支援人員，且時間長達5年。歹徒疑似透過網頁上跳出的訊息來謊稱受害者的系統有問題，並提供免付費電話，在受害者主動聯繫之後，對方就會遠端存取受害者電腦以協助檢查，再宣稱系統有問題，進而要求受害者支付高昂的服務費用，或是於電腦上植入惡意程式、勒索軟體，或是竊取受害者的金融資訊。</p> <p>CBI指出，受害者大部分是美國人，但也有加拿大、德國、澳洲、西班牙、英國的民眾受害，人數超過2千。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/CBIHeadquarters/status/1715013792697045503/photo/1">https://twitter.com/CBIHeadquarters/status/1715013792697045503/photo/1</a><br /> 2. <a href="https://blogs.microsoft.com/on-the-issues/2023/10/19/microsoft-amazon-tech-support-fraud-india/">https://blogs.microsoft.com/on-the-issues/2023/10/19/microsoft-amazon-tech-support-fraud-india/</a><br /> 3. <a href="https://www.aboutamazon.com/news/policy-news-views/amazon-microsoft-protect-against-impersonation-scams">https://www.aboutamazon.com/news/policy-news-views/amazon-microsoft-protect-against-impersonation-scams</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.reuters.com/world/five-eyes-intelligence-chiefs-warn-chinas-theft-intellectual-property-2023-10-18/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">五眼聯盟情報機構指控中國盜取智慧財產，濫用人工智慧發動網路攻擊</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/fbi-warns-of-extortion-groups-targeting-plastic-surgery-offices/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國整形外科診斷遭到勒索軟體駭客索討贖金</span></span></strong></a></p> <p></p> <p><a href="https://www.trellix.com/en-au/about/newsroom/stories/research/discord-i-want-to-play-a-game/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">即時通訊軟體Discord成惡意軟體溫床，APT駭客也加入濫用行列</span></span></strong></a></p> <p></p> <p><a href="https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/3554537/nsa-releases-a-repository-of-signatures-and-analytics-to-secure-operational-tec/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國國安局推出OT安全監控工具Elitewolf</span></span></strong></a></p> <p></p> <p><a href="https://www.ithome.com.tw/news/159335"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Amazon、WhatsApp加入支援Passkey的行列</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159379"><strong>【10月19日】互動式運算平臺Jupyter Notebook遭到鎖定，駭客部署惡意程式，從中挖礦並盜取雲端服務帳密</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159361"><strong>【10月18日】使用Telegram、AWS、阿里雲的開發人員遭到鎖定，駭客透過PyPI套件發動供應鏈攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159329"><strong>【10月17日】駭客假借提供以色列民眾空襲警報應用程式，意圖搜括安卓手機用戶各式資料</strong></a></p> </div></div></div>
2023/10/20 17:00作者周峻佑https://www.ithome.com.tw/news/159415
Martech雙周報第43期：Google Ads將推出No-code第一方數據整合功能，整合後數據可直接應用於Goo…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(1008~1022</strong><strong style="color: rgb(0, 0, 255);">)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#第一方數據整合</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Google Ads</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#No code數據整合</span></span><br /> Google Ads將推出No-code第一方數據整合功能，可直接應用於Google數位行銷產品線</strong></p> <p>Google宣布將推出<a href="https://blog.google/products/ads-commerce/simplifying-the-management-of-your-first-party-data/">Google Ads Data Manager，是一個No-code第一方數據整合工具</a>。使用者可以連結企業既有資料庫、CRM、CDP、網站後臺、行銷科技後臺等不同資料源到此工具，結合Google數位行銷產品線來做精準行銷和交叉分析。此工具已開放給部分用戶，預計2024年進入全面開放階段（GA）。</p> <p>企業為了整合不同第一方資料源來行銷，時常需花費大量成本和IT資源。廣告龍頭Google的數位行銷產品線有了原生No-code資料整合工具，不僅有望為企業省下不少成本，還有可能大幅改變業界數位行銷流程，甚至衝擊CDP、CRM等第一方數據相關Martech的市場。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI行銷規畫</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#對話式行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span><br /> Appier生成式AI新功能，可以自動生成跨通路行銷操作，還能快速用企業資料微調Chatbot</strong></p> <p>Appier推出多個生成式AI行銷功能。第一個是AI行銷助手Co-pilot，使用者用自然語言輸入行銷情境或預期結果，便能自動生成一系列行銷歷程規畫及MA系統指令，在自媒體通路推播行銷訊息。支援推播通路包括網站推播、App推播、網站內訊息、App內訊息、Email、簡訊、Line、網站聊天室及Facebook Messenger等。這個規畫不是只給出簡單行銷架構，而是細緻到可以根據消費者不同反應來設計不同劇本，以及如何於不同時間點透過不同行銷通路來傳遞訊息。對於不熟悉數位行銷流程或Martech操作的行銷人員來說，此功能有望降低數位行銷門檻。</p> <p><a href="https://s4.itho.me/sites/default/files/images/apycpl.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/apycpl.png" style="width: 600px;" /></a></p> <p>第二個功能是No-code聊天機器人微調（Fine-tune）功能。使用者只須拖曳上傳產品規格等企業自有資料，即能微調Bot Bonnie聊天機器人模型，使其給出更符合品牌調性及實際資訊的回覆。</p> <p>第三個功能則是CDP內用自然語言提問來生成報表的功能。此功能不僅能根據要求生成報表，還會提示其他相關可分析角度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/messageImage_1697774433031.jpg" style="width: 600px;" /></p> <p>未來，Appier還要更深度整合生成式AI與預測型AI。他們表示，利用預測型AI做出分眾只是第一步，若有適合不同分眾的行銷素材，行銷效果還能進一步提升。過往，高品質行銷素材製作成本相當高，未來他們則計畫利用生成式AI，根據行銷需求和分眾特性來生成相對應圖片和文字素材，再根據用戶偏好及天氣、時段等內外部條件來精準投放。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#第一方資料</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#Cookieless</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#零售數據</span></strong></span><br /> <strong>飛比面對Cookieless衝擊的策略，廣告識別資料轉換和整體流量提升並進</strong></p> <p>面對第三方Cookie退場，大型比價網站飛比母公司第一網站首當其衝。雖然以比價服務聞名，但第一網站主要收入來源是廣告媒體聯播網服務FSA和廣告代理服務Sitemaji。這些廣告服務，背後是比價網每月1,300萬人流量背後的龐大消費偏好數據。他們也會向其他電商販售自家數據分析的洞察結果，近期還正式推出BI電商市場情報服務，向其他電商提供自家網站流量分析。</p> <p>隨著第三方Cookie退場在即，他們需要尋找新方法來做廣告身分識別。第一網站聯播網事業部副總經理林四中說明，常見識別方法主要是Email或手機號碼，手機號碼受到地域限制，因此他們選擇使用Email。不過，第一網站雖有高達800萬不重複使用者，其中只有140萬人是提供了可識別資料的會員。他們目前有2個做法，有望減少Cookie退場衝擊──進軍更多市場來增加數據基數，以及盡可能提升App使用者來增加可識別會員。</p> <p>飛比近期宣布進軍海外市場，他們以電商市場全球第13大的澳洲為首站，目前已和在地多家大型電商合作，掌握了上千萬種商品資訊。若成功打入海外市場，飛比便能進一步增加經手的數據流量基數。</p> <p>另一方面，林四中表示，相較於網站使用者，飛比App使用者註冊比例明顯高出許多，增加App使用者，就能有效增加可追蹤的使用者Email。他們計畫讓使用者來到飛比網站後後，能夠透過會員獎勵方案來刺激用戶註冊會員或是下載App。近期他們也於App中新增了團購相關功能。國外有不少導購網為了獲取更多可追蹤數據，選擇推出電子支付等金流服務。飛比則選擇更深入打進零售服務市場，策略方向在導購網業界中較為少見。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#SEO</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#短影音行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#跨平臺搜尋行銷</span></span><br /> Tiktok正在測試於搜尋結果中整合Google搜尋，可能提升跨平臺SEO重要性</strong></p> <p>有<a href="https://twitter.com/oncescuradu/status/1704060015571611794">國外研究員發現</a>，短影音平臺Tiktok<a href="https://www.businessinsider.com/tiktok-google-test-new-search-partnership-2023-9">正嘗試</a>於自家搜尋結果中呈現Google等第三方網站搜尋結果。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ttggs.jpg" style="height: 500px;" /></p> <p>雖然Google仍是最大搜尋引擎，許多SEO行銷策略也以Google搜尋為主要優化方向，不過國外行銷業界認為，Instagram和Tiktok等社群媒體平臺已經從從傳統搜尋引擎分走不少流量。過往，沒有短影音的品牌可能不會考慮Tiktok行銷策略，若Tiktok會在自家搜尋結果中同步顯示Google搜尋結果，意味著品牌多了一個搜尋引擎導流機會，但SEO策略必須轉而考慮跨平臺搜尋優化。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#短影音行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI行銷素材優化</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#品牌安全</span></span><br /> Meta新增短影音AI品牌安全機制，更新多項短影音行銷功能</strong></p> <p>Meta與品牌安全技術商Zefr合作推出Reels<a href="http://https://zefr.com/press/zefr-and-meta-announce-expanded-ai-powered-brand-suitability-solution-now-available-on-facebook-instagram-reels">品牌安全控管機制</a>。品牌主可以透過一個儀表板，監控自家行銷短影音鄰近內容的風險程度和曝光數據。這些風險等級是利用Zefr內容分析技術，結合機器學習模型和人為審查，來評估鄰近內容是否符合全球負責任媒體聯盟（GARM）品牌安全與合適性標準。</p> <p>此外，Meta新增了<a href="https://www.facebook.com/business/news/reels-ads-updates-performance-features-automated-creative-suitability-solutions">多項短影音行銷功能</a>，包括自動短影音格式修改、畫質強化功能，以及支援更多廣告形式。 </p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#自動化行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#數位素材管理</span></span><br /> Adobe整合創作及行銷解決方案，用生成式AI貫穿設計到行銷數據追蹤環節</strong></p> <p>Adobe把創作類產品線Creative Cloud、工作流程管理工具Workfront、數位資產管理工具AEM Assets、快速行銷素材生成及發布工具Express、生成式AI創作功能Firefly整合為GenStudio，以期加速行銷素材從生成、規畫、發布、版本管理的流程。其中，Express與Adobe行銷科技產品線Experience Cloud有串聯，因此也間接整合了行銷成效數據分析等功能。</p> <p>近期，Adobe發布了次世代Firefly模型，支援向量圖生成、文字轉行銷素材模板、以及更高可控性。未來，他們還要開發讓企業能用自家素材來訓練Firefly的功能。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態：</span></strong></span></p> <p>1. <a href="https://newsroom.tiktok.com/en-us/introducing-out-of-phone-tiktok-beyond-the-mobile-screen">Tiktok推出DOOH廣告選項，支援廣告看板、電影院螢幕、餐飲場所、大眾交通工具及車站、零售店面等，不過沒有具體提到如何利用數據提升投放成效。</a></p> <p>2. <a href="https://iabtechlab.com/press-releases/iab-tech-lab-announces-the-formation-of-two-new-working-groups-the-privacy-sandbox-task-force-and-the-artificial-intelligence-subcommittee/">IAB成立Google Privacy Sandbox及AI行銷的研究團隊，計畫對此2主題提出業界使用建議。</a></p> <p>3. <a href="https://newsroom.tiktok.com/en-us/direct-post">Tiktok開放第三方平臺透過API直接發布短影音內容，讓社群媒體行銷管理更加簡單。</a></p> <p>4. <a href="https://www.ithome.com.tw/news/159042">Google推出網站主限制自家內容被用來訓練AI的控管功能，不會影響搜尋排名機制。</a></p> <p>資料來源：iThome整理，2023年10月</p> <p>圖片來源：Google、Radu Oncescu、Appier</p> <p>責任編輯：郭又華</p> </div></div></div>
2023/10/20 17:31作者郭又華https://www.ithome.com.tw/news/159416
駭客刊登假冒為KeePass的Google搜尋廣告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/10/clever-malvertising-attack-uses-punycode-to-look-like-legitimate-website" target="_blank">資安業者Malwarebytes本周揭露</a>，當使用者利用Google搜尋開源的密碼管理工具時KeePass 時，會跳出一個冒牌的KeePass廣告，它看起來跟合法搜尋結果一模一樣，只是使用者透過該站下載的是惡意程式。</p> <p>目前Google似乎已移除了該廣告，但根據Malwarebytes所展示的畫面，當使用者搜尋KeePass時，首先跳出來的是KeePass惡意廣告，接著才是KeePass的官方網站連結，但兩個連結看起來幾乎是一樣的，網址也相同，但當使用者點選廣告時，它即會被重新定向。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1020-KeePass-malvertinsing-by%20Malwarebytes-01.png" style="width: 600px;" /></p> <p><a href="http://www.malwarebytes.com/blog/threat-intelligence/2023/10/clever-malvertising-attack-uses-punycode-to-look-like-legitimate-website" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Malwarebytes</span></span></a></p> <p>重新定向後的網址乍看之下也與KeePass官網一致，這是因為駭客使用了Punycode。網域名稱系統（DNS）一般是使用ASCII字元集來顯示網域名稱，而對那些包含非ASCII字元集的網域名稱帶來問題，而Punycode即可將這些非ASCII字元轉換成ASCII格式，主要是為了解決國際化網域名稱（IDN）與網域名稱系統（DNS）的互通。</p> <p>而駭客即是利用了Punycode，把一個國際化的網域名稱轉成了ASCII格式，呈現了幾乎與KeePass官網keepass.info一致的網名，該惡意網站的網域名稱為ķeepass[.]info，要非常仔細才看得出k底下多了一點。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1020-KeePass-malvertinsing-by%20Malwarebytes-04.png" style="width: 501px;" /></p> <p><a href="http://www.malwarebytes.com/blog/threat-intelligence/2023/10/clever-malvertising-attack-uses-punycode-to-look-like-legitimate-website" target="_blank"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源_Malwarebytes</span></span></a></p> <p>而使用者自惡意網站所下載的KeePass安裝檔即包含了FakeBat惡意程式家族，該惡意程式可與駭客所設置的C&C伺服器通訊，並下載其它的惡意程式。</p> <p>近來Malwarebytes發現有愈來愈多的惡意廣告透過Google搜尋遞送，這些廣告的手法愈來愈複雜，也讓使用者更難避免，研究人員建議商用環境中的IT管理人員最好提供內部的儲存空間，讓員工直接自內部網路取得軟體以確保安全。</p> </div></div></div>
2023/10/20 15:15作者陳曉莉https://www.ithome.com.tw/news/159403
印度、微軟及Amazon攜手破獲技術支援詐騙活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>印度的中央調查局（<a href="https://twitter.com/CBIHeadquarters/status/1715013792697045503/photo/1" target="_blank">Central Bureau Investigation，CBI</a>）、<a href="https://blogs.microsoft.com/on-the-issues/2023/10/19/microsoft-amazon-tech-support-fraud-india/" target="_blank">微軟</a>與<a href="https://www.aboutamazon.com/news/policy-news-views/amazon-microsoft-protect-against-impersonation-scams" target="_blank">Amazon</a>周四（10/19）宣布，它們已聯手破獲了位於印度的技術支援詐騙活動，此一被CBI命名為Chakra-II的掃盪行動涉及了5個案件，總計搜索了76個地點，扣押了許多的手機、電腦、伺服器、SIM卡、硬碟、電子郵件，也凍結了多個銀行帳戶。</p> <p>根據CBI的說明，這些詐騙份子偽裝成全球IT大廠（微軟）與交易平臺（Amazon），於印度五個州經營多個客服中心，宣稱自己是這兩大品牌的技術支援人員，且時間長達5年。他們可能透過網頁上跳出的訊息來謊稱受害者的系統有問題，並提供免付費電話，在受害者主動聯繫之後，他們就會要求自遠端存取受害者電腦以協助檢查，再宣稱系統的確有問題，進而要求受害者支付高昂的服務費用，或是於系統上真的植入惡意程式、勒索軟體，甚至是竊取受害者的金融資訊。</p> <p>雖然這些詐騙的客服中心設在印度，但受害者卻主要位於美國，另也有加拿大、德國、澳洲、西班牙及英國的微軟及Amazon用戶受害，受害人數超過2,000人。根據美國聯邦調查局（FBI）的統計，2022年因技術支援詐騙而損失的金額超過10億美元。</p> <p>微軟與Amazon針對相關詐騙案件在美國與印度提出了聯合訴訟，而這也是這兩家公司的首度合作。微軟指出，技術支援詐騙是一個代價高昂且橫跨整個產業的問題，這些非法的客服中心每年都會危害數千名無辜的使用者。</p> <p>其實技術支援詐騙存在已久，<a href="https://support.microsoft.com/en-us/windows/protect-yourself-from-tech-support-scams-2ebf91bd-f94c-2a8a-e541-f5c800d18435" target="_blank">微軟也曾公布</a>相關詐騙的手法，並提醒使用者不要輕易上當，強調微軟不會要求使用者提供金融資訊，系統上跳出錯誤訊息時不會含有電話號碼，也不會要求使用者以加密貨幣或禮物卡來支付技術支援費用，以及自第三方網站下載軟體時應特別小心。</p> </div></div></div>
2023/10/20 15:41作者陳曉莉https://www.ithome.com.tw/news/159409
【金融上雲實例：富邦金控】以O365先強化全體員工上雲意識，富邦金要靠多雲加速實踐金融百貨願景
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>富邦金控是第一家導入雲端辦公室的本土金融機構，尤其是在金管會2019年第一次上雲委外鬆綁後，富邦金控是少數率先獲得核准通過上雲應用的金融機構，這次經驗更成了後續其他金融同業上雲的重要參考。</p> <p>早在2018年，富邦金控為了解決多項業務需求，例如員工個人信箱空間、行動裝置管理、企業協同合作及線上會議等，開始考慮行動化辦公的可能性，由富邦金控召開了多場跨各子公司的會議，從技術、成本、風險及效益面來評估，最後決定導入雲端服務方案。</p> <p>當時，金管會也準備要開放金融上雲，將上雲納入委外管理來解禁。富邦金以試辦、正式兩階段辦理的方式，獲得主管機關同意，在2020年先展開了試辦。花了一年多，在試辦期間採用了雲端郵件服務、線上雲端會議、也建立了數位團隊協作平臺，提供單位和員工個人的雲端儲存空間，並搭配採用了行動裝置管理（MDM）安全機制來強化雲端辦公室的安全性，最後在2021年底，正式使用雲端服務。</p> <p>富邦金控副總經理蘇清偉指出：「富邦先導入O365來嘗試上雲，背後有一個重要戰略。」一方面讓IT有機會練習，學習如何將系統上雲，另一方面，選擇一個影響所有人的環境來嘗試上雲，可以讓大家學習上雲。</p> <p>當時遇到全球爆發了COVID-19疫情，提高了導入雲端辦公室的必要性和正當性，富邦金已經做好居家上班的準備，幾乎50%的員工在家裡透過雲端辦公，就像在公司一樣，沒有受到太大的影響。這一場靠IT對抗疫情的經歷，也讓富邦金控更容易說服主管機關同意。</p> <p>為了強化OA上雲的安全性，富邦金當時還訂定了相當清楚的分級管理作法，區分出不同類型雲端資產的安全等級，再依據員工業務所需，給予不同等級的權限。</p> <p>蘇清偉表示，因為資安是上雲的重要基礎，分級管理是上雲的重要一步，才能依據風險採取不同方式的控管。</p> <p>當時，就算員工居家辦公，在家中使用自己的個人電腦來辦公，也要透過遠端虛擬桌面，先登入到富邦金內部的電腦，才能進行各項OA作業，徹底做到「傳輸加密，資料不落地，從端到端都確保在可控的環境下。」</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1152-cover-%E8%98%87%E6%B8%85%E5%81%89_%E6%94%9D%E5%BD%B1_%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 551px;" /></p> <p><strong><span style="color:#3399ff;"><span style="font-size:22px;">富邦金控副總經理蘇清偉指出，上雲對業務最重要的一件事是上市時間，能快速因應市場的變化，不斷推陳出新，才能提供合乎顧客期待的產品和服務。</span></span></strong><span style="color:#696969;"><span style="font-size:22px;"><span style="font-size:14px;">攝影／洪政偉</span></span></span></p> <p><span style="font-size:28px;"><strong>全體員工提升上雲意願，才能大膽往前進</strong></span></p> <p>「OA上雲這一步最重要的任務是，提升全體員工上雲的意識。」蘇清偉表示：「有了經驗，才能大膽進一步往前走。」</p> <p>在富邦金控數位金融創新策略中，上雲是關鍵一環，為了實踐金融百貨的願景，富邦想要有能力滿足顧客對金融服務的各種期待及需求，從銀行、人壽、產險的各項金融服務，到支付、投資理財等。</p> <p>「上雲對業務最重要的一件事是上市時間（Time To Market），能快速因應市場的變化，不斷推陳出新，才能提供合乎顧客期待的產品和服務。」蘇清偉指出。</p> <p>上雲也是富邦數位轉型的一項重要環節，富邦金推動上雲，第一步先了解現況，進行成熟度分析後，再來訂定願景和目標，規畫自己的雲端治理框架和混合雲架構，安排後續的發展策略和轉型藍圖，並且要考慮如何治理、組織調整、資安保護等面向，最後再審慎評估哪一類AP適合上雲。</p> <p>蘇清偉觀察，這次主管機關再次鬆綁上雲規範，最大影響是可以加速上市時間，來提升金融業的競爭力，另一方面，也可以提高金融系統的數位韌性。</p> <p>富邦金控今年盤點了金控和銀行所有系統，目前已經完成雲端的策略和規畫，將進行相關的建置，明年富邦將展開為期3年的雲端轉型計畫，金控也會分享這些雲端策略和規畫，協助子公司可以以最快的速度開始雲端轉型。富邦金控也會設立專責單位來訂定策略和管理方式，各子公司按照自己的需求和計畫來發展上雲。</p> <p><span style="font-size:28px;"><strong>雲端供應商的資訊透明度不夠高是一大挑戰</strong></span></p> <p>身為資安長，蘇清偉更特別從資安角度來思考上雲的挑戰，他認為，目前雲端業者的透明度還是不夠高。他進一步解釋，金融業者希望能徹底掌握到每一種環境組態的設定和變化，可是，雲端業者提供了多種形式的服務，各自的組態繁多也非常複雜，又可以透過程式化控制，「不只是技術問題，更涉及許多邏輯問題。」</p> <p>一旦上雲的服務發生了任何狀況，金融業者會想要掌握到更多事故或系統運作的細節資訊。</p> <p>可是，目前這些系統運作數據的提供，還是會受制於雲端業者釋出資訊的程度，尤其雲端業者的維運數據還沒有透過第三方來保全紀錄，一但發生問題，只能片面接受雲端業者的說法，而沒有其他可信來源的維運紀錄可參考。這是蘇清偉認為，目前金融上雲有待克服的一大挑戰。</p> <p>對富邦金控來說，未來3到5年的雲端發展將聚焦多項課題，人才的培養是首要，找到具有相關技術的人才，也讓既有員工擴展技能到雲端，甚至能夠跟上雲端技術的最新發展。其次還要考慮資安如何到位，展開平穩及必要的上雲搬遷工程。</p> <p>富邦金控將聚焦多雲策略，會選擇先從一朵雲開始，再快速擴展到第二朵，甚至第三朵雲。還要同時兼顧雲地之間的平衡，最後一項課題則是雲端供應商的管理。</p> <p><a href="https://www.ithome.com.tw/article/159394" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1152-feng_mian_p1-open-960x420_gong_zuo_qu_yu_1_0.jpg?itok=D1ZMpp-U" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2023/10/20 12:34作者王宏仁https://www.ithome.com.tw/news/159389
【金融上雲實例：國泰金控】以雲原生發展多雲混合雲，國泰金自建轉型平臺加速大規模上雲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「3年預算，沒想到2年就用完了！」國泰金控資訊長吳建興指出。他回顧過去3年多的上雲旅程，關鍵轉折點是走出練兵階段，轉為開始擴大規模正式上雲的轉換過程。</p> <p>金管會在2019年第一次放寬金融上公雲的規範之後，許多金融業者躍躍欲試，國泰金控也是其中之一，先從銀行開始發展上公有雲。國泰當時就開始思考未來的上雲策略，找來外部顧問學習，評估哪些前導系統適合優先上雲，同時發展雲端架構。</p> <p><span style="font-size:28px;"><strong>四階段上雲規畫，先站穩單一公雲，再發展多雲</strong></span></p> <p>國泰世華銀行將上雲旅程分為4個階段，2020年啟動第一階段公有雲旅程，展開規畫和評估。2022年則進入公雲採用階段，先站穩單一公有雲，來同步發展多雲策略，選定少數前導性資訊系統搬上公雲。從2023年起開始進入第3階段，持續優化並確保雲端服務安全及提升效率與效力。最後一個階段，未來更要朝向多公雲策略發展，打造現代化雲原生應用，來完成轉型。</p> <p>在2022年時，經過2年練兵的國泰金控，訂出了以3～5年全集團100套系統上雲的願景，要從一家子公司轉而協助集團各子公司上雲，也要從一套系統發展到上百套系統上雲的規模。</p> <p>為了開始準備進入大量雲端使用階段，國泰不只訂定了大規模上雲策略，還發展出了一套上雲的方法論，一方面透過外部顧問團隊的協助，參考Gartner 5R和AWS 7 Rs雲端遷移模型的定義，進一步依據自己的發展需求，訂出了Cathay 6R雲端遷移方法論。</p> <p>在這套方法論中，國泰將系統遷移方式，依據上雲模式和開發成本，分為Rehost、Re-platform、Refactor、Rewrite、Replace和Retain共6種遷移架構，並對應到IaaS、PaaS、SaaS三種不同上雲模式。</p> <p>國泰金控數數發中心副總經理陳維銘指出，國泰雲端發展過程，以雲原生技術架構，來推動多公雲混合雲架構的發展，搭配這套6R方法論協助評估。尤其在資安控管上，引進了新一代的零信任資安觀念，取代過去防護型資安概念。現今已經將這套導入方法論運用到銀行、產險子公司，目前正要導入到證券子公司。</p> <p><span style="font-size:28px;"><strong>以自家上雲方法論，打造出雲端轉型平臺</strong></span></p> <p>不只是參考作法，國泰甚至將這套方法論打造成了一個「雲端轉型平臺」的系統。想要上雲的子公司，自己填妥平臺上的上雲評估問題，就會自動產生出一份針對該子公司上雲專案而客製的上雲劇本（Playbook），作為子公司上雲的參考引導。陳維銘表示，透過雲端轉型平臺的輔助，大約半年就可以完成一件上雲專案。</p> <p>3年來，國泰世華銀行迄今完成了約10多個系統上雲，包含關鍵或非關鍵系統。不過，「做了才發現，要全部上雲，實在還有很長一段距離跟難度。」吳建興坦言，這十幾個系統上雲是練功，培養技術能力，現在更會思考為何上雲，衡量成本和效益。</p> <p>在前期練兵階段，國泰按照人員來分配和控管上雲的額度，等到AP真正搬上雲後，才觀察到在雲端執行真正的成本結構。不像傳統伺服器就算24小時運作，也是固定成本，系統一但上了公雲就像按下碼錶開始計算費用，使用越多種雲端服務，使用越久，費用就越多。</p> <p>國泰原本與雲端業者簽約3年，沒想到到了去年，才推動上雲計畫2年就用完了3年的預算。有些系統上雲之後，才發現維運的費用比預期更高，甚至有系統一度先下雲，重新調整架構後再上雲。</p> <p>國泰世華銀行資深副總經理王志峰表示，回顧銀行3年上雲經驗來看，一方面建立了完整的雲端治理制度，也將資安納入了上雲架構首要考量，還統一了雲端和地端的平臺建置和管理工具，將高度自動化的雲端環境建置工具，導入到地端環境。過程中更累積了不少系統遷移、不同架構的上雲下雲操作經驗，像是如何運用系統重構或重寫，大幅降低後續上雲維運的成本，或是將雲原生系統下雲改為地端架構的轉換經驗。</p> <p>國泰也以資安需求作為整體考量，來打造金融雲端應用環境，在雲端基礎架構設施上，先以單一公有雲為發展主軸打基礎，另一方面持續強化維運，包括建立了集中式監控平臺，發展雲地監控告警機制，以及多雲平臺管理模式。相關雲端的資安數據也都整合到資安監控中心。今年初，國泰也開始陸續布建SRE相關機制和團隊，也積極發展QA測試機制，來因應日後更複雜架構下的服務品質。</p> <p><span style="font-size:28px;"><strong>雲端維運開始注重FinOps成本控管與優化</strong></span></p> <p>尤其在雲端維運成本的控管上，3年經驗讓國泰更加重視FinOps（雲端維運成本控管），逐步強化自家管理平臺的資源管控和節費機制，不只整合維運監控資訊，也整合了雲端業者提供的帳務資料，明年計畫推出跨雲監控整合平臺，將監控和成本管理整合到單一平臺。</p> <p>這些資源管控和節費機制例如，視覺化儀表板不只提供維運監控數據，還能同時提供帳務儀表板。國泰還從十多套已經上雲系統的維運過程中，蒐集了不同類型應用的日常運作費用數據，進行成本合理性分析，來建立正常營運成本的參考標準，一但超過標準值，就會觸發告警機制，通知相關技術或業務人員，來了解是異常或是合理的業務爆量所致。另外，也會在長假或過年期間，關閉不需要的公雲測試環境來節費。</p> <p>在新版上雲規範公布後，國泰金仍舊繼續維持原有的上雲策略，但會開始展開多雲應用的布局，善用不同公雲優勢，計畫分別用來部署AP、數據分析和辦公室OA應用，再加上地端環境，逐漸邁向多雲混合雲架構。</p> <p><span style="font-size:28px;"><strong>計畫設立委外委員會，負責上雲委外審查</strong></span></p> <p>國泰過去以瘦核心、強中臺的發展策略，也會持續採取雲地互為備援的策略。尤其與交易相關的應用，都會採取雲地互為備援，不會單靠雲來服務。</p> <p>另外，在這次新版委外辦法中，特別要求要有權責單位負責，國泰金控計畫以管理委員會的形式來擔任權責單位，不只上雲，還要負責相關委外作業的審查。這是國泰金控獨到的治理作法。</p> <p>原本國泰IT的委外作業，每一個案件都會送到董事會，但是，不少IT專案涉及太多技術性細節，尤其是資安機制。所以，國泰決定成立委外委員會的形式，來多一道把關機制。</p> <p>在授權範圍中的專案項目，可以在這個委外委員會完成核准，不用再送到董事會。若遇到重要專案委外，例如重大性消費金融業務系統要使用到境外公雲，就會先送到委外委員會初審，再送到董事會核准。國泰初步構想是在金控端設立一個雲端治理暨委外管理委員會，另外也在每一家子公司，在總經理下設立各子公司的委外委員會。目前正在研擬這個委外委員會的設置辦法。</p> <p>未來，因應多雲管理，國泰金特別重視四大類型的挑戰，包括了新版規範的法令合規、資訊安全、上雲效益和跨界人才。這些挑戰會互相影響，必須同時多方考量。像是國泰在一朵公雲已發展出了一些監控工具，開始採用另一朵公雲時，因為兩朵公雲的環境和功能差異不小，又得重新開發出符合另一朵雲的監控工具。在管理人才上，也需要培養出足夠的人力來進行多雲的管理。</p> <p>尤其，每一朵雲的資安框架雖然概念相近，但實際運作機制的差異很大，計價標準也不同，甚至不同雲所用到的技術特性也很不一樣，FinOps發展也必須持續再深化。「必須更了解子公司對雲端的需求和使用情形，上雲才能真正有效益。」吳建興強調。</p> <p><a href="https://www.ithome.com.tw/article/159394" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1152-feng_mian_p1-open-960x420_gong_zuo_qu_yu_1_0.jpg?itok=D1ZMpp-U" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2023/10/20 13:12作者王宏仁https://www.ithome.com.tw/news/159391
新光醫院HIS一次全面大換新，大力發展對外應用瞄準微服務
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI掀起診間變革，不少醫院大力擁抱，新光醫院就是其一。今年8月，他們展開一項專案，要用ChatGPT檢核手術安全，先分析大量病人術前檢查資料、再揪出潛在風險資訊，作為醫護人員手術前參考，多一道確認程序。</p> <p>這是新光醫院擁抱的眾多新應用之一，還有更多醫療AI專案在進行，像是氣胸、乳癌、高危病例偵測等。新光醫院資訊部主任林璟淑直言，他們之所以能快速發展各種新技術、新應用，還因為2年多前上線的新一代醫療資訊系統。</p> <p><span style="font-size:28px;"><strong>大型主機老舊難創新，找幫手組隊來汰換</strong></span></p> <p>自1992年開業以來，新光醫院就採用IBM大型主機來執行醫院系統，即便到了20多年後的2016年，依然如此。這種封閉式架構雖然安全，卻有不少缺點，比如難以介接新一代主流工具，就連醫院日常的健保雲端上傳介接作業，也要用其他替代方法處理。再來，大型主機系統頁面陽春、以文字為主，醫護使用者體驗不佳，再加上大型主機採老舊的程式語言COBOL，與時下學校培養的程式開發技能脫鉤，醫院難以招募IT人才，是發展智慧醫療的一大絆腳石。</p> <p>於是，2016年底，新光醫院決定轉換系統，要將大型主機封閉式架構「全面」轉為開放式架構。這意味著，不只有醫療資訊系統、護理資訊系統、實驗室資訊系統等核心系統要轉換，就連行政管理、財會、人資、教研等周邊系統，甚至是印表機等硬體設備也要一併換新。</p> <p>這將近100套大小系統要一口氣換新，新光醫院不可能單打獨鬥，需要一大批IT好手協助才行。林璟淑回憶，當時，許多廠商都對新光醫院系統轉置標案有興趣，但考量轉換時間和規模，他們最後選擇遠傳電信和臺灣微軟，由前者扮演協調角色、後者聯合開發，並找來勤業眾信擔任品管監控，共同協作這項大工程。</p> <p>有了這些角色加入，他們進一步分工，成立2大關鍵團隊，一是資訊轉置督導委員會，成員來自各方高階主管，如新光醫院正副院長、新光金控資訊長，以及廠商端總經理與負責品管的會計師等人。林璟淑也是督導會一員，擔任執行秘書，她指出，這個督導會不只追蹤每月進度，也扮演仲裁角色，每當開發過程發生歧義時，就交由督導會討論、仲裁。</p> <p>另一個關鍵團隊是PMO專案辦公室，負責新系統開發。管理這個團隊的核心人物，是當時從市聯醫加入新光醫院、兼具醫師和資訊背景的謝忠和醫療資訊長，由他來帶領來自兩家業者的工程師，以及新光醫院IT和各臨床單位人員，來根據系統分組開發。他們分組細緻，大至門診、住院系統，小至資料串接等都有各自的開發小組。</p> <p><span style="font-size:28px;"><strong>人力、品質和流程整合3大挑戰接踵而至</strong></span></p> <p>2017年1月，這項工程正式展開，挑戰也隨之而來。首先是人力問題，林璟淑指出，系統轉置就像「穿衣改衣，」新光醫院IT不只要維持舊系統運作，還要撥出人力和時間學習新技能、開發新系統，相當吃力。</p> <p>特別是，他們起初採One Team模式，由開發廠商和新光醫院各出同等人數、組成開發小組，廠商引導用新技術開發系統，醫院IT則邊做邊學習。但即便是能力不錯的IT同仁，「在學習新技術時仍感挫折，是當時面臨的一大人力挑戰，」她說。再加上，新系統牽動近百家廠商，比如排班系統採用IBM、教研系統採用關貿等業者開發，光是對接系統，就涉及93家廠商，工程浩大。</p> <p>再來，品質控管也是一道難題。例如在開發階段，臨床各科派出醫師代表參與開發，最後完成的系統，並非所有醫師都滿意。面對系統品質爭議，新光醫院借助勤業眾信，從財會角度出發，以新系統產出的最終報表來衡量，新舊系統帳務一致性。若帳務無誤，就代表新系統的做法可行。同時，新光醫院也以病人安全、醫務收入、健保申報金額等指標，來衡量新系統品質，若後者數字與舊系統對比出現誤差，再從中找出問題來修改。</p> <p>不只如此，他們也面臨流程整合難題。由於舊有醫療流程未完全數位化，仍採用紙本，許多工作習慣由醫師口頭交代護理人員順手處理，反之亦然。但，系統轉置的目標是數位化，團隊得將所有工作流程寫進系統中，也就是把過往的口頭通知，改為系統通知。</p> <p>要做到這一點並不容易。開發團隊與醫護使用者溝通時，得耗費大量心力和時間來釐清工作責任歸屬，才能設計新系統。單一個系統是如此，數十個系統的溝通工作量疊加起來，更是一大負荷。「若能重來，我們會先整合各職類的流程，再來開發系統，才是最理想的作法，」林璟淑說。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1152-CIO-%E6%9E%97%E7%92%9F%E6%B7%91-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 22px;"><strong>新光醫院資訊部主任林璟淑表示，醫院進行醫療系統轉置時，應先完成各職類的流程整合、再開發新系統，才是最理想的開發方式。</strong></span></span><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>面對緊迫時程，系統得要先上線</strong></span></p> <p>這句話，點出了新光醫院面臨的最大考驗：時程緊迫。因為，這場系統轉置工程不只要擁抱開放式架構，還要在醫院評鑑中拿下好成績。因此，他們預計2年內要建好新系統，且要趕在該年評鑑前先上線。</p> <p>但動工後才發現，2年時間不算充裕，許多工作必須且戰且走，流程整合就是一例。再加上COVID-19疫情來襲，重心轉向防疫，原定的上線時間只能延後至2020年上半年。</p> <p>那段期間，新光醫院面臨各方越來越大的壓力，特別是延期，協作廠商開發2年多、最多動員上百人仍未有任何收入，因此要求新光醫院盡快驗收和上線。同時，團隊自2019年中展開使用者測試，途中為滿足使用者建議、數次調整系統，不得不將上線時間再次延後，最終選在2020年11月1日上線。</p> <p>「我們該試行的、該模擬的都做了，也利用假日，在半夜切換系統、早上上線來測試。」林璟淑指出，即便如此，11月1日正式上線當天，門診還是發生大問題。「系統點開速度很慢、無法應付臨床需求！」她描述，批價櫃檯因此大排長龍，許多病人等待不奈，新光醫院同仁也十分緊繃。</p> <p>當天，督導會高階主管立即討論決定，下線新系統、恢復舊系統，並找出原因來修正。</p> <p><span style="font-size:28px;"><strong>以系統優化、調頻寬、門診減量3管齊下再出發</strong></span></p> <p>他們事後分析，儘管在平行測試時做了許多模擬，但93個對接系統的測試，仍有個小疏漏。</p> <p>於是，新光醫院花2個月重新檢視，一方面將外接系統重新驗證再測試，一方面制定下次上線的配套措施。這次，他們不只請遠傳電信加大網路頻寬，新光醫院院長侯勝茂更提出門診減量方法，要求周一系統上線時，各科別門診看診人數先減量五分之一，周二再加回10%，以此類推，直到周五恢復原門診量。如此一來，團隊就有緩衝時間來監測系統，系統也能循序漸進適應處理量。</p> <p>不只如此，新光醫院也在這2個月間，加強使用者熟悉度。「醫師結束當天門診後，就拿著當天病歷，在新系統輸入一次，就連院長也這麼做。」林璟淑點出，這不僅加深使用者熟悉度，還能找出系統問題、即時修正。</p> <p>有了這些準備，2021年1月，他們順利上線新系統。</p> <p><span style="font-size:28px;"><strong>1個月修復數百個錯誤，開始大力發展對外應用</strong></span></p> <p>「上線後，我們不會說沒有問題。」她解釋，在系統上線的第一個月，新光醫院每周二中午開會，讓所有醫護人員提出系統問題，醫院IT和微軟工程師一起修改，特別是影響關鍵作業的程式，當場就處理。</p> <p>透過這個方式，他們在上線後第一個月就抓出數百個程式錯誤。不只是討論、修改，他們也在每周五的全院晨會，說明系統最新狀況、宣導使用方法，讓使用者更容易操作。</p> <p>這模式執行1個月後，一切漸入佳境，新系統也開始發揮效益。不只操作介面友善、新進人員容易上手，對於今年上路的健保部分負擔新制，也只需簡單設定就能套用。這套新系統，也如願在今年評鑑獲得好評。</p> <p>甚至，「我們也開始做很多對外介接的應用，」林璟淑說明，新系統對接API，能快速回應需求，比舊系統方便許多。他們外接的平臺之一，就是內政部消防署的救急救難一站通平臺，能在救護車到達前，快速彙整醫療和緊急救護資訊，先做準備。</p> <p>此外，他們也與陽明醫院系統介接，來進行急性後期整合照護計畫（PAC）。也就是說，當病人從新光醫院轉至陽明醫院復健時，新光醫院系統能將病人的病摘資料，以FHIR格式傳送給陽明醫院。同時，新光醫院也配合政策方向，開始介接虛擬健保卡，以便未來看診所需，不論是在醫院門診、檢查室還是居家，都要能支援。</p> <p>不只大量發展對外應用，新系統還帶來行動化的好處。因為系統採網頁式，就算醫師不在院內，只要透過VPN連網，就能登入系統、查看病人資料，即時與病人說明狀況或制定治療計畫，打破地理位置限制。</p> <p>「這是很大的突破！」林璟淑點出，甚至在院內開會時，也能看到醫師拿著平板、查看病人資訊。新系統帶來許多便利，但資安防護也不馬虎，醫院系統不僅符合ISO 27001認證，IT也多做許多防護措施，來阻擋可能的威脅。</p> <p><span style="font-size:28px;"><strong>AI開發更自主，下一步瞄準微服務</strong></span></p> <p>新系統還帶給新光醫院另一個好處：AI開發自主權。「以前，我們做AI不容易，幾乎都要靠廠商，」林璟淑說明，現在雖也借助現成工具，但自主性更高。比如，他們能快速導入氣胸X光片偵測AI，來揪出氣胸高風險個案，並發送簡訊或Line訊息，通知放射科醫師。</p> <p>另一項正在進行的AI專案，則是要導入微軟Azure OpenAI服務的大型語言模型，來分析病人術前資料、找出潛在風險並摘要出來，供醫護人員參考。</p> <p>這項應用很重要，因為接下來，新光醫院要發展微服務架構，而這項應用就是第一個練兵對象，團隊要用資料網格（Data mesh）來實作。他們計畫以此為基礎，成功後再擴大到更多系統，進行另一波IT革新。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>新光醫院資訊部主任　林璟淑</strong></p> <p>學歷：臺北護理健康大學護研所畢業</p> <p>經歷：早年在臺大醫院擔任護理師，1992年進入新光醫院，先後擔任護理部護理長與督導。2007年轉為人事室主任，2012年開始擔任企劃室主任，5年後新光醫院展開系統轉置專案，便擔任資訊轉置督導委員會執行秘書至2021年6月，而後任職資訊部主任至今</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫院檔案 </span></strong></span></p> <p><strong>新光醫院</strong></p> <p>成立時間：1992年</p> <p>業務介紹: 提供急重症醫療服務與社區照護</p> <p>網址：<a href="http://www.skh.org.tw">www.skh.org.tw</a></p> <p>地址：臺北市士林區文昌路95號</p> <p>員工人數：2,518人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門名稱：資訊部</p> <p>資訊部門主管職稱：資訊部主任</p> <p>直屬主管：行政副院長</p> <p>資訊部門人數：70人</p> <p>資訊部門分工：商業分析課、軟體架構課、硬體架構課、應用系統維運一課及應用系統維運二課</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>1992年：資訊室成立</p> <p>2017年：展開資訊系統轉置專案</p> <p>2021年：資訊轉置成功，IBM大型主機下架，由封閉式架構轉為開放式平臺；7月資訊部組織再造，由3個單位調整為5個單位；開始導入AI及大數據平臺</p> <p>2022年：獲2022第十五屆台灣企業永續獎單項績效-創新成長領袖獎</p> <p>2023年：資訊機房外遷至遠傳IDC標準機房，機房委外管理</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1152-cio-960.jpg" width="960" height="420" alt="" title="新光醫院資訊部主任林璟淑　（攝影／洪政偉）" /></div></div></div>
2023/10/20 13:34作者王若樸https://www.ithome.com.tw/people/159392
新金融上雲潮
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每一年CIO大調查中，我們照例都會詢問這個問題，詢問填答的CIO，有多少企業內部應用已經上雲，可以是搬到公有雲或是私有雲，試圖來了解不同產業的雲端發展成熟度。</p> <p>這個問題的答案，可以得到兩種分析，一是了解多少比例的企業開始上雲（有上雲或是沒有上雲），其次則是從上雲應用的比例，來了解上雲發展的程度。</p> <p>累積多年數據以後，今年調查結果最令我訝異的一項結果是，金融業上雲的腳步，遠低於我的預期。若比較2018年和2022年的金融業上雲情況，在2018年時，已經有3成金融業者開始上雲，也將23%的內部應用上雲，可是，到了2022年，金融業者上雲的比例只提高了一些，增加到33.3％，而金融內部應用上雲的比例，更是不升反降，下滑到只剩下12.3％。</p> <p>為何選擇2018年和2022年的數據相比，因為金管會在2019年時，首度公布了金融委外上雲的相關規定，讓金融業者有一套可以上雲的規範。這兩年的數據，正好可以用來檢驗，金管會上雲政策解禁後的影響，有沒有真的帶動金融業上雲的發展。答案非常明顯，效果很有限！</p> <p>為何當年大受各界讚揚、立意良好的鬆綁政策，卻沒有達到預期的效果？問題就出在執行面。</p> <p>雖然，金管會早在2019年就開放上雲，但是金融業者要上雲時，都得依照每一個系統申請，大多數應用都得逐一核准。核准時間可能長達半年，甚至一年多，不可預期。就算是性質相近，資安考量和風險相似的應用，也得每一案分別申請核准，非常麻煩。</p> <p>尤其，金融業者大多用新專案或新系統當成初步上雲的練手，可是，遲遲沒有得到核准，反而拖慢了既定的新系統上線時程。第一版上雲規範反而成了金融業者想要快速上雲、擴大上雲的絆腳石。</p> <p>當年許多金融業者想要上雲，尤其是上公雲，主要看上了雲端服務的資源調度彈性和擴充性，尤其金融有不少需求屬於不確定或不可預期，但又非常重要的應用需求，例如配合電商年度促銷的爆量交易需求，或是平時用不到的備援、備載容量需求，或是突然新增的開發與測試需求，都可以善用公有雲來應急，而不用事前備滿大量軟硬體資源。</p> <p>甚至，生成式AI爆紅之後，這類大型語言模型的訓練或優化調校，需要一次性調度大量運算資源，或是越來越多科技業者的創新技術，只會透過SaaS服務提供，而無法落地部署。只能上雲使用的ChatGPT，就是最典型的例子，企業想要使用最新、能力最強的GPT模型，也只能上公雲租用。金融若要擁抱最新技術，上公雲成了唯一管道，也是非用不可的關鍵理由。</p> <p>所幸，金管會在今年8月，宣布了新版委外辦法，再次大鬆綁金融上雲的規範。這一次就直接瞄準了前一版規範最大的瓶頸，申請核准的問題，大大簡化流程，甚至免除了申請。但同時，也將金融上雲的責任，完全歸屬到金融業者，金融業者可以擁有更大彈性和選擇，但是也得負更大的責任。</p> <p>許多金融業者看好這次金融上雲再次鬆綁，紛紛展開加速上雲或擴大上雲的布局，也有不少金控因為過去幾年穩健上雲步調同時，反而累積了一番雲原生技術能力或雲端維運能力，可以在接下來的上雲發展中大展身手。值得期待，臺灣明年將會掀起新一波的金融上雲浪潮。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%87%91%E8%9E%8D%E4%B8%8A%E9%9B%B2">金融上雲</a></div><div class="field-item odd"><a href="/tags/%E9%87%91%E7%AE%A1%E6%9C%83">金管會</a></div><div class="field-item even"><a href="/tags/%E9%87%91%E8%9E%8D%E6%A5%AD">金融業</a></div><div class="field-item odd"><a href="/tags/%E6%95%B8%E4%BD%8D%E8%BD%89%E5%9E%8B">數位轉型</a></div><div class="field-item even"><a href="/tags/%E9%87%91%E8%9E%8D%E4%B8%8A%E9%9B%B2%E9%AC%86%E7%B6%81%E5%A7%94%E5%A4%96%E4%BF%AE%E6%AD%A3%E8%BE%A6%E6%B3%95">金融上雲鬆綁委外修正辦法</a></div></div></div>
2023/10/20 13:42作者王宏仁https://www.ithome.com.tw/voice/159393
金融上雲大鬆綁
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1152-feng_mian_p1-open-960x420_gong_zuo_qu_yu_1_0.jpg?itok=D1ZMpp-U" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了加速金融創新、提高金融業數位韌性，金管會再次大幅鬆綁金融上雲委外規範，不只銀行、保險和證券鬆綁步調一致，更大幅簡化了上雲申請流程，不再像過去每一套系統都要送審，但也要求金融機構負起最終委外責任，更強化了多項雲端治理要求。</p> </div></div></div>
2023/10/20 13:47未署名https://www.ithome.com.tw/article/159394
Anthropic AI助理擷取網路歌詞，遭環球音樂等唱片業者控告侵權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.musicbusinessworldwide.com/files/2023/10/UMG-lawsuit.pdf" target="_blank">環球音樂（Universal Music）等唱片出版業者本周控告</a>OpenAI競爭者Anthropic開發其AI聊天機器人非法使用旗下歌曲的歌詞訓練模型，已侵害其版權，求償近8000萬美元。</p> <p>環球音樂及獨立唱片公司Concord、ABKCO向納許維爾州地方法院提告Anthropic時，為了打造其AI聊天機器人Claude，從網路或其他來源擷取和消化大量版權文字，包括這些唱片公司持有的歌曲作品的歌詞來訓練其AI模型，並依據其複製的文字生成輸出結果，已「系統性與廣泛侵害其版權」。</p> <p>這些公司指出，版權文字可在網路上取得並不意謂可以免費提供，而且Anthropic從未尋求、也未曾獲得唱片出版商的同意而使用這些版權作品。</p> <p>業者並指出，Claude提供的查詢回應，也侵害了版權，因為當用戶要求Claude提供環球或獨立唱片公司出版的歌曲，例如《Wonderful World》、《American Pie》、《Sweet Home Alabama》等的歌詞時，這個聊天機器人的回應會包含完整和大部分歌詞。業者表示，網路上已經有大量歌詞集結業者及網站提供相同功能，但這些業者都有取得出版商的適當授權，確保創作者因使用獲得補償或應用的引述，但Anthropic卻拒絕付費取得授權，對取得授權的網站開發商形成不公平競爭。</p> <p>此外，當使用者要求Claude撰寫和歌曲類似主題的歌曲、為樂曲提供和聲、或以特定作家或作曲者風格撰寫詩或短篇故事時，這AI聊天機器人生成內容也複製了歌詞。</p> <p>唱片業者並聲稱，Anthropic不但直接侵害唱片出版商的專屬權利，包括複製權、衍生作品權、散布與公播權，也導致使用者因使用了這些內容而侵權。另外，Anthropic的AI輸出也經常沒有適當註明樂曲創作者，也侵害唱片公司的權利。</p> <p>由OpenAI前技術主管創辦的Anthropic自許是「安全及研究型」的AI公司，以AI憲法訓練其AI模型，並且要打造更有用、誠實而無害的AI技術。該公司已相繼獲得知名金主投資，包括Zoom數千萬、Google 3億、Amazon 40億、以及倒閉的加密貨幣交易平臺FTX及Salesforce等，目前公司市值約50億美元。</p> <p>唱片出版業者認為，Anthropic的侵權行為無視法律，也對其服務所仰賴的創意社群欠缺尊重。他們要求每首歌曲15萬美元的損害賠償。根據法院文件，業者宣稱Anthropic侵權歌曲達500首，意謂求償金額為7,500萬美元。還不包含出版商針對Anthropic刻意移除或變更唱片版權資訊，另外要求的賠償。</p> <p>新創AI公司相繼被告上法院。例如OpenAI分別遭<a href="https://www.theguardian.com/books/2023/jul/05/authors-file-a-lawsuit-against-openai-for-unlawfully-ingesting-their-books" target="_blank">個別</a>及<a href="https://www.nytimes.com/2023/09/20/books/authors-openai-lawsuit-chatgpt-copyright.html" target="_blank">作者公會</a>控告侵權。<a href="https://www.ithome.com.tw/news/155229" target="_blank">Stability AI年初被知名圖庫業者Getty Images控告</a>以其網站圖片訓練AI模型以用於營利。　</p> <p>隨著生成式AI服務引發的版權糾紛愈來愈多，<a href="https://www.ithome.com.tw/news/159289" target="_blank">Google上個月宣布</a>新的免責保護，可讓使用其Vertex AI或Duet AI服務的客戶免於官司。而OpenAI也提供方法，允許新聞或圖片出版商網站拒絕OpenAI爬蟲機器人擷取其內容。</p> </div></div></div>
2023/10/20 12:19作者林妍溱https://www.ithome.com.tw/news/159388
採用232層NAND快閃記憶體，美光推出新一代主流NVMe固態硬碟
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/micron_7500_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年美光陸續發表多款資料中心NVMe固態硬碟產品，對應不同市場需求，例如，提供頂級存取效能的9000系列，他們在1月推出<a href="https://www.ithome.com.tw/review/157964">9400</a>；主打大儲存容量的6000系列，他們在5月推出<a href="https://www.ithome.com.tw/review/157282">6500 ION</a>；針對高耐寫需求，他們同樣在5月新增<a href="https://www.ithome.com.tw/review/157275">XTR系列</a>；至於主流等級的7000系列，他們在10月推出7500，<a href="https://www.ithome.com.tw/review/150002">上一代產品是7450</a>，於去年3月發表。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%20Data%20Center%20NVMe%20SSD%20Portfolio-7000.jpg" style="width: 600px;" /></p> <p>相較於市面上其他資料中心固態硬碟，美光號稱7500是目前唯一採用232層NAND快閃記憶體的「主流產品」，今年稍早推出的6500 ION，以及去年底發表的個人端固態硬碟產品2550，都採用這樣的技術。他們表示，透過低電壓NAND介面，以及6層式（6-Plane）製程架構（市面上的NAND裝置大多使用2層），搭配獨立字元線讀取技術（iWL），促使7500的工作負載效能與能源使用效率得以提升。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/gcm-1019003-infographic-232l-nand-web.jpg" style="width: 600px;" /></p> <p>以隨機寫入效能來看，美光7500最高為41萬IOPS，可達到競爭產品的2.42倍，循序寫入效能最高為5,900 MB/s，領先競爭產品的幅度為97％；而在隨機讀取方面，效能最高為110萬IOPS，比起競爭產品提升了13％，存取延遲減少83％，循序讀取效能為7,000 MB/s；若是隨機混合存取（7成讀取、3成寫入），效能最高為70萬IOPS，存取延遲也能減少82％。</p> <p>在此同時，7500的存取延遲是低於1毫秒的規格，服務品質（QoS）達到99.9999%（6個9）的水準，企業能藉此改善多租戶雲端服務工作負載的效能，以及對存取延遲敏感的資料庫類型工作負載，例如，OLTP、推薦處理引擎、即時分析、內容發布，以及財務交易，都很適合。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Micron 7500 Random read while writing.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%207500%20Random%20read%20while%20writing.jpg" style="width: 600px;" /></a></p> <p>關於業界標準方面，美光7500支援開放運算計畫（OCP）推動的Datacenter NVMe SSD 2.0規格，能夠針對現行與未來的資料中心環境，提供智慧型管理、效能調校、徹底整合，以及錯誤處理等特色。</p> <p>以管理層面而言，企業可以使用系統管理指令，針對命名空間與安全性功能的控制方式，進行標準化、統一規範，之後就能輕鬆整合到遵循OCP標準的管理系統當中；運用存取延遲監控來改善效能，當中可以透過儲存層回報存取延遲的問題，以便進行追蹤與診斷；對於儲存裝置的故障排除與應變演練，可分別使用快速復原，以及模擬伺服器環境常面臨的問題（error injection）的機制。</p> <p>而在安全性方面，美光7500支援可信任運算組織（TCG）儲存工作小組訂定的Opal安全子系統類別標準，企業在自我加密硬碟（SED）的產品選用上，能得到硬體層級資料加密，使用AES-XTS-256演算法保護固態硬碟的靜態儲存資料，而且，可以在固態硬碟上，部署AES-256、RSA-4048、 RSA-4096、SHA-512等加密演算法引擎，符合國家商用安全演算法（CNSA）文件的要求。</p> <p>美光這款固態硬碟也可以使用安全加密環境（SEE），透過實體隔離的專屬安全處理硬體設備，提供保護。基本上，他們是在固態硬碟控制器內部設置專屬安全處理器，而且，在電子電路配置上，與其他處理器彼此區隔，因此，SSE運作時，不安全的程式碼無法先行佔據此處，可預防儲存裝置本身的安全功能被意外或惡意繞過的問題。</p> <p>同時，企業能運用SPDM 1.2的見證（attestation）規格，搭配美光7500的系統，可以透過密碼學的方式，檢驗固態硬碟的身分與韌體完整性，而且，從固態硬碟生產至部署的過程當中，均能查核裝置身分與韌體完整性，驗證可信度；若需要符合美國聯邦政府採購需求，OCP此項標準也能遵循聯邦資訊處理標準FIPS 140-3 Level 2，以及貿易協定法案（TAA）等法規。</p> <p> <span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Micron 7500</strong><br /> ●原廠：Micron<br /> ●建議售價：廠商未提供<br /> ●儲存容量：<br /> 7500 Pro提供960 GB、1.92 TB、3.84 TB、7.68 TB、15.36 TB<br /> 7500 Max提供800 GB、1.6 TB、3.2 TB、6.4 TB、12.8 TB<br /> ●外形：U.3<br /> ●儲存媒體：3D NAND，TLC，232層<br /> ●最高讀寫速度：循序7,000 MB/s與5,900 MB/s，隨機110萬IOPS與41萬IOPS<br /> ●使用介面：PCIe 4.0 x4/NVMe 2.4b<br /> ●耐用度：7500 Pro每日寫入量為1，7500 Max每日寫入量為3<br /> ●可靠度：200萬小時MTTF<br /> ●保固期間：5年</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/10/20 12:20作者李宗翰https://www.ithome.com.tw/review/159364
如何在手機等行動裝置上執行LLM模型推論？聯發科AI負責人：得先克服三大挑戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI今年非常火紅，各大軟體、硬體巨頭紛紛投入，就連處理器龍頭英特爾也喊出AI PC時代來臨，要讓生成式AI在內的AI應用成為未來PC的主流應用，甚至不只是PC，這樣的趨勢未來也有可能延伸到行動或邊緣裝置上。在聯發科負責電腦與AI部門的聯發科資深處長陸忠立在一場活動上也針對生成式AI在手機等行動裝置上的應用挑戰，提出他的觀察與解決之道。</p> <p>從應用角度來看，陸忠立表示，目前生成式AI應用主要分為4類，包括文生文、文生圖，以及圖生圖與圖生文。例如，ChatGPT就是一種文生文LLM模型的應用，而文生圖應用則有Stable Diffusion模型等。</p> <p>他表示，傳統行動裝置上的AI應用，例如配備在行動裝置中的AI HDR影像增強、智慧降噪、影片畫質提升和影片幀數轉換功能，可以稱為分析式AI應用，這些應用背後使用的AI模型在核心神經網路架構上與目前的生成式AI應用有明顯的不同。</p> <p>他用一個比喻來解釋，傳統分析式AI就像是一個擅長考試的學生，已經有一個標準答案存在，只需要盡量將你作答的答案接近這個標準答案就可以了，簡單來說，目標就是要考一百分。而生成式AI更像是一個具有創新思維的學生，「因為沒有標準答案可供參考，會給出多種不同的答案，可能回答1千次會得到1千種不同的結果。」他說，這也讓生成式AI在回答上更容易給出你可能沒想過的答案或創新點子。這正是生成式AI和分析式AI的差別。</p> <p>可是，這使得生成式AI模型相較於傳統分析式AI模型，需要占用更多的頻寬、更多運算資源，例如生成式AI模型通常包含超過10億個參數，而分析式AI模型的參數僅是其百分之一，不到一千萬，也因此在處理模型推論時需要更高的AI算力，高於分析式AI的算力的10倍，大約需要10～100 TOPS的算力。</p> <p>為何企業需要將生成式AI模型從雲端下放到Edge端執行？</p> <p>陸忠立表示，主要有幾個原因，首先是隱私問題，有一些企業機敏資料或對話內容，可能不適合上傳到雲端，因此需要在Edge端來進行模型運算。此外，將模型部署到邊緣端可以使其輸出更貼近使用者身處的情境，還能夠在離線環境中使用，而且因為是在邊緣裝置上做運算，資料不需要傳輸雲端，反應能更即時。</p> <p>但更重要的考量是成本。他表示，儘管模型訓練仍然在雲端中進行，但是將所有推論任務都在雲端執行成本相當高，如果邊緣運算設備具備有足夠的運算能力，那麼在本地處理這些任務可以幫助企業節省成本。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2(58).png" style="width: 600px;" /></p> <p>他強調，未來將是雲端和邊緣相互協作的模式。例如當用戶在終端裝置上輸入一段提問文字或上傳一張照片來進行生成時，首先由一個Arbitrator網路來決定是在本地端還是雲端來處理，對機敏性較高或者是低延遲的任務，將會在邊緣端的模型上處理。而對於需要更高精度輸出結果或需處理分布在全球大量資料的任務，就可以透過雲端模型執行。</p> <p>他進一步補充，邊緣裝置目前能夠處理擁有約100億參數的AI模型推論的任務，（例如 LLaMa2 7B或Bloom1B模型等），而雲端則可以處理多10倍，高達千億參數以上的模型推論（如GPT-4 或PaLM2模型）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/3(53).png" style="width: 600px; height: 338px;" /></p> <p>又以智慧型手機為例，陸忠立指出，智慧型手機運算能力受限，主要用於處理模型推論參數在10億到100億之間的AI任務，如相片處理或個人助理等。而PC的推論處理能力高於手機，但受限於記憶體頻寬，可以處理的參數量仍有限，大約在100億～300億之間，並以生產力相關的任務為主，例如使用Copilot協助撰寫信件、內容摘要或是簡報製作等。而如果模型參數超過700億，仍需要透過雲端進行處理，他坦言，目前在邊緣裝置上來執行這種規模的模型的挑戰難度非常高，</p> <p>他表示，想要在邊緣裝置上執行LLM模型推論，必須考慮到記憶體配置（memory footprint）、運算能力和記憶體頻寬。這也是目前在邊緣裝置上執行LLM模型推論面臨的3大挑戰。</p> <p>陸忠立也以執行一個70億參數的中型LLM模型對硬體的要求來舉例，執行這樣的模型推論需要智慧型手機的DRAM至少需具有7GB的記憶體，運算能力要達到40TOPS （相當於1秒內能處理512單字），記憶體頻寬則需要每秒傳輸70GB的速度。</p> <p>可是，即便是今年上半最新款旗艦智慧手機，雖然其算力達到40TOPS，看似可以執行LLM模型，但由於將所有運算資源都集中到LLM應用上，導致手機中其他App使用可能因此容易卡頓，或是不能使用。此外，單一LLM模型就需要占用7GB的記憶體空間，幾乎占掉了總體DRAM的一半，更大的挑戰是記憶體頻寬，最高傳輸速度50GB/s，不足以應付LLM需要每秒傳輸10個字的要求。</p> <p>他強調，LLM模型對於記憶體頻寬要求很高，目前一般智慧手機的記憶體頻寬都不夠用，將是影響使用者體驗的重要關鍵。</p> <p>目前每年AI模型複雜度正在以3到10倍速度增長，他認為，在一年可能只有2成硬體性能提升的前提下，很難趕上AI模型進展的速度。</p> <p>為了解決這個問題，他表示，現今不少硬體廠商在設計處理器時，除了CPU、GPU外，開始新增了一個能針對AI工作負載加速的硬體，例如聯發科自己稱作APU處理器（AI Processing Unit）或是英特爾稱為DPU，專門處理包含生成式AI模型的推論任務等。</p> <p>陸忠立表示，聯發科的APU處理器中，目前包含了兩個加速器，一個是DLA深度學習加速器，專門處理複雜的運算任務，另一個是BPU，類似DSP數位訊號處理單元，用來處理電腦視覺的相關任務，此外在BPU中還配備有本地記憶體，可直接在BPU中進行資料交換，減少對於DRAM的頻繁存取，也因此提高電力使用效率。</p> <p>此外在硬體設計上，他們也針對Transformer模型進行優化，例如加強對於使用softmax函數的大型矩陣計算與LN（Layer Normalization）方法，進而改善其模型的吞吐量和算數的準確度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/5(18).png" style="width: 600px; height: 335px;" /></p> <p>除了採用新硬體架構，具備更高效能且更省電特性之外，陸忠立認為，更重要的是軟體，「如何降低LLM模型執行所需的運算量和記憶體，這是在邊緣裝置中執行生成式AI應用的關鍵。」</p> <p>他也分享聯發科的做法，從軟體架構來看，除了中間層的Middleware層，在這之上還有一個NeuroPilot軟體層，包括一套軟體工具和API，提供配接（adaptor）、編譯和runtime功能，用於聯發科平臺上開發高效的 AI 應用程式，上一層則可搭配PyTorch或TensorFlow等主流AI框架。此外，還提供了toolkit工具，使用戶可以更快速且容易在聯發科APU晶片系統上部署自己的模型進行相關測試及運用。</p> </div></div></div>
2023/10/20 12:20作者余至浩https://www.ithome.com.tw/news/159359
FCC批准AR與VR裝置使用6GHz頻段
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://docs.fcc.gov/public/attachments/DOC-397829A1.pdf" target="_blank">美國聯邦通訊委員會（Federal Communications Commission，FCC）周四（10/19）開放了6 GHz頻段給新一類的超低功耗（Very Low Power，VLP）裝置</a>，涵蓋虛擬實境（VR）、擴增實境（AR）、穿戴式感應器及各種物聯網裝置（IoT）。<a href="https://twitter.com/GooglePixel_US/status/1715080297157669103" target="_blank">Google Pixel團隊當天即透過X向FCC致謝</a>。</p> <p>其實包括<a href="https://www.fcc.gov/ecfs/document/10319674707867/1" target="_blank">Google、蘋果、博通（Broadcom）與Meta（Facebook）在2020年就罕見地連署</a>，請求FCC開放6 GHz供VLP裝置免授權使用。宣稱6 GHz頻段將讓這些裝置不需再利用纜線，更具行動力，若再佐以低延遲及高傳輸率，則能支援更重要的應用，像是救生手術的訓練或協助視障人士。</p> <p>一直到今年9月，<a href="https://docs.fcc.gov/public/attachments/DOC-397285A1.pdf" target="_blank">FCC主席Jessica Rosenworcel即提議了相關規定</a>，指出有無數令人們生活更方便的創新都仰賴免授權頻段，6 GHz頻段已經改善了人們每天所使用的Wi-Fi，期望藉由推動新一波的裝置創新浪潮，來吸引消費者，同時鞏固美國於先進無線技術上的領導地位。</p> <p>FCC委員本周無異議地通過了該提議，同意需要彈性來推動免授權創新，並建立規則以允許那些短距離運作的VLP裝置具備高速傳輸能力。不過，為了保護6 GHz頻段上既有授權裝置的運作，目前該規定謹慎地將裝置限制在非常低的功率水平，也要求它們滿足其它技術及操作需求。</p> <p>具體而言，新規定允許VLP裝置在6 GHz頻段的U-NII-5與U-NII-7部分運作，總計為 850 MHz，功率等級明顯低於其它免授權裝置的運作得以出現在任何地方，不管室內或戶外，也無需任何頻率協調系統。</p> <p>其實FCC委員會也已提議將這些VLP免授權裝置的運作，擴大到6 GHz頻段的其它部分，以及允許這些裝置以更高的功率運作，同時透過地理圍欄系統來避免干擾。</p> <p>Google Pixel團隊表示，6 GHz頻段對未來的無線連結非常重要，FCC本周的決議意味著該頻段將可用來進行端對端的高速Wi-Fi傳輸，為Pixel用戶及美國消費者的勝利。</p> </div></div></div>
2023/10/20 11:44作者陳曉莉https://www.ithome.com.tw/news/159387
金融上雲有哪些選擇？盤點4大公雲發展重點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國際大型公雲業者早在十多年，就開始在臺灣布局，Google資料中心很早落地臺灣，微軟早有很強的在地業務團隊，AWS則從2012年就開始布局臺灣。十多年下來，這些落地臺灣的公有雲供應商越來越頗具規模，讓國外公有雲新服務發布後，更快在臺灣落地，或者讓臺灣企業可以第一時間採用境外公雲的服務。</p> <p><span style="font-size:28px;"><strong>跨國公雲：Google Cloud</strong></span></p> <p>三大公有雲業者中，Google雖然相對較晚進入企業雲端市場，但卻是最早在臺灣啟用雲端區域和資料中心的公雲業者，早在10年前就在臺灣彰濱打造首座雲端資料中心，使企業可以將資料保存在臺灣境內，不需要傳到境外。此外，由於資料中心設在臺灣本地，可以提供臺灣本地企業更低延遲的雲端服務。</p> <p>不過，臺灣資料中心啟用4年後，GCP直到2017年才在臺灣成立在地的雲端業務團隊，相較於其他兩家公雲起步稍晚。</p> <p>多年來，技術創新一直是GCP雲端服務發展一大重點，例如很早開始靠Kubernetes等雲原生技術布局，使企業上雲更容易，或是以TensorFlow打造人人都能用的機器學習平臺服務等高度創新的產品。</p> <p>這幾年，GCP主打的雲端主力產品，更是圍繞在資料與AI兩大主軸。在資料方面，GCP提供多種雲端資料與分析服務，從資料倉儲、串流資料分析，到大數據分析服務、資料擷取服務等產品。此外，還提供相容PostgreSQL的資料庫服務、雲端SQL與NoSQL資料庫、雲原生關聯式資料庫等服務。近幾年，GCP在災難及資料備份方面也有相關布局，提供了GKE備份、持久性磁碟快照、雲端SQL備份、雲端檔案儲存備份和異地備援雲端儲存等服務。</p> <p>GCP很早就積極布局雲端AI服務市場，例如推出了自己的機器學習服務Cloud ML Engine，可協助企業建立自己的ML模型，從而降低技術的門檻，後來更透過AutoML打造出一套企業級的機器學習應用或AI應用，推出包含圖像自動標示、語音、翻譯和自然語言處理等服務。</p> <p>兩年前，GCP推出了機器學習開發部署平臺Vertex AI，在今年10月的NEXT大會上，更全面轉而聚焦生成式AI，主打生成式AI模型開發，使企業能夠快速構建自己的生成式AI應用。還推出了能支援雲端維運和生成SQL查詢的生成式AI服務Duet AI。</p> <p><span style="font-size:28px;"><strong>跨國公雲：AWS</strong></span></p> <p>身為全球雲端服務龍頭，AWS是3家公雲中最早布局臺灣的公雲業者，早在2012年就開始布局臺灣。不過直到2022年，AWS公雲才終於正式落腳臺灣，雖然比Google晚好幾年，但也反映出，AWS對於臺灣市場更加重視。</p> <p>去年，AWS成為臺灣第二家啟用雲端機房的國際公雲業者，儘管規模不如AWS在國外的服務區域（Region），僅是本地型公雲，但仍舊是一朵完全由AWS維運和管理的公雲，提供了EC2運算、EBS區塊儲存、VPC網路服務等，至於其他服務如S3儲存和DynamoDB資料庫服務等，目前尚未在臺提供。但透過私有和高頻寬網路骨幹與其他AWS 區域串連，企業可以用同一套API使用其他AWS 區域中的全套服務。</p> <p>過去幾年，AWS在臺推出了多項雲端服務，如邊緣運算、無伺服器服務等，但近年來，AWS開始主攻數據分析與ML服務。在分析服務方面，AWS推出了資料倉儲、互動式分析、大數據處理，以及資料湖的物件儲存等進階分析服務。此外，還有各種機器學習服務的推出，涵蓋了底層的機器學習框架與基礎架構、中間的機器學習服務，以及上層的人工智慧服務。在2017年推出的機器學習平臺服務SageMaker，更成為了AWS在機器學習主力產品，提供ML模型建置、訓練和部署功能。甚至AWS今年9月推出了自己的生成式AI建置服務Bedrock。</p> <p><span style="font-size:28px;"><strong>跨國公雲：Azure</strong></span></p> <p>相較於Google、AWS，微軟已經在臺灣商務市場扎根30多年，擁有在地經營的市場優勢，這也使得微軟Azure在臺擁有強大在地業務團隊，提供在地化的支援和服務，這意味著，無論是在技術諮詢、合規性方面，企業可以更容易取得本地支援和更快地解決問題。</p> <p>微軟3年前公布Azure在臺灣建置首座雲端資料中心的計畫，甚至比AWS宣布時間都還早，不過目前該資料中心仍正在建置中，因此企業現階段採用其雲端服務時，只能用境外機房儲存資料。</p> <p>Azure近來在臺灣的發展主要聚焦兩個方向，一方面是在Microsoft 365雲端服務支援更多產業的上雲需求，特別是高監管的產業，如金融業等；另一方面則專注於提供企業級生成式AI服務及平臺。靠著利用OpenAI的ChatGPT背後所採用的GPT模型，Azure推出了自己的生成式AI基礎模型服務，提供企業能使用如GPT-4等大型語言模型來開發自己的生成式AI應用。</p> <p>除了雲端生成式AI的布局以外，Azure持續加強雲端開發人員工具的發展，特別是在雲端DevOps開發方面，提供了一系列工具和服務，涵蓋應用程式生命周期各階段，目前有Azure DevOps、Azure Pipelines、Visual Studio及AKS等，可供雲端開發團隊採用。</p> <p><span style="font-size:28px;"><strong>本土公雲：中華電信</strong></span></p> <p>臺灣不僅有跨國公有雲服務商，多家電信業者或網路業者也推出了不同型態的本地雲端服務，其中又以中華電信的本土公雲服務規模最大，由於客戶有許多都是政府機構和學校，中華電信還設有專屬的政府雲端資料中心，以應對政府單位對資安和數據安全的要求。</p> <p>中華電信還提供了更具韌性的資料保護與備份機制，可將重要的機敏關鍵資料備份到境內HiCloud與境外國際公雲。透過各公雲分持，即使其中一朵公雲服務失效，企業仍可透過其他兩朵公雲的備份恢復其資料，且客戶既有備份檔案無法由單一公雲恢復。不僅如此，中華電信今年也和VMware合推主權雲服務，來加強對敏感性數據的保護及加密措施，以因應資料不出境和資料主權要求。</p> <p>相較於國外雲服務提供商，資料無需經過海外傳輸是中華電信的一大優勢。中華電信目前在臺北和臺南均設有公雲服務據點，可以就近提供技術支援和維護，特別針對金融交易，他們在板橋雲端資料中心打造一個大型金融證期網路，可涵蓋全臺8成金融證券用戶電路，以確保隨時監看各地金融系統網路連線品質，維持金融期貨交易穩定。</p> <p>中華電信還支援多雲混合雲架構。透過國內外高速骨幹網路連接到其他跨國公有雲服務，金融業者可以利用其多雲管理平臺（CMP）及多雲交換平臺（CMCX）連接其他第三方公雲，打造雲地混合架構。還可直接將AWS機櫃整套放進其雲端機房，提供低延遲的金融服務，或是搭配部署臺灣AWS Local Zones服務等。</p> <p>萬里雲是GCP在內等跨國公雲在臺灣本地其中一家雲端服務供應商，萬里雲解決方案架構師梁文典從第一線提出他的觀察。</p> <p>梁文典指出，最近兩年，金融業上雲的需求出現重要變化，一方面，受到地緣政治因素的影響，越來越多金融機構正在評估備份備援的雲端解決方案，強化核心資料的保全，以降低政治衝突的風險；另一方面，生成式AI技術如ChatGPT等掀起了新的AI浪潮，但要開發類似應用需要大量的運算資源，自行建置訓練環境的成本過高，所以他們也開始考慮將數據搬上雲端，結合雲端大數據分析強化其競爭優勢。</p> <p>最近一個月內，他走訪了數十家金融機構，他歸納出金融業上雲路徑主要有3項，分別是備份備援上雲、系統翻新上雲以及數據分析上雲。</p> <p>除了法規限制之外，梁文典強調，IT維運人員缺乏相關技能也成為拖慢臺灣金融業上雲的一大障礙。</p> <p>要解決這個問題，他認為，需要逐步讓地端的維運人員也能熟悉雲端環境，將他們的技能或是思維從原本的地端思維轉變為雲端思維，「這非常關鍵」他說。</p> </div></div></div>
2023/10/20 12:00作者余至浩https://www.ithome.com.tw/news/159343
【金融上雲實例：中國信託金控】以混合雲發展整體戰略，中信金先靠私雲練兵再聚焦多雲和私雲整合
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「不只臺灣，中國信託更從國際發展角度，來思考整體上雲策略。」中信金控科技長賈景光強調，3年前就制定了整體上雲策略，決定採取混合雲策略，以私有雲先行且為重，等待法令開放，或中信的能力足以掌握時，再逐步往公有雲移動。一開始打造私有雲，就具備了混合雲架構的思考。</p> <p>賈景光認為，公有雲有兩大關鍵價值，一是資源部署彈性的選擇，可用來因應不可預期或不確定但又高度重要的系統需求。第二則是提供創新的能力。</p> <p>金融業有不少需要彈性調度資源的應用需求，例如具有高並行需求的應用系統或高度重要卻無法預知何時要用的備援系統，在測試與開發上也會有突發性的需求。</p> <p>他說，為了因應這一類需求不可預期、不確定，但又非常重要的應用，傳統作法或靠私有雲，只能自己備妥全部所需的資源，可是，平時用不到的閒置資源，容易形成浪費。</p> <p>「上雲法規鬆綁後，公有雲的資源彈性，可以讓金融業者借力使力，不用自己準備這麼多，」賈景光表示，公雲第一個價值，讓金融業者多了一個選項，可以有更多可運用的資源。</p> <p>另一方面，公雲第二項價值，卻是讓金融業非用不可的理由。越來越多科技公司的關鍵服務，只在公有雲提供，不會提供私有雲選項，不像過去兩種選擇都有，ChatGPT就是最典型的例子。技術供應商的策略轉變，金融業者想要更早掌握這些關鍵科技，只能選擇公雲。</p> <p>甚至，企業要自己從頭訓練一套大型語言模型，需要大量資料中心，而且是一次的投入大批運算資源，才能用更短時間完成訓練，運用雲端資源來訓練LLM，會比地端更有效果。賈景光認為：「生成式AI是上雲的殺手級應用，讓上雲成了非走不可的一條路。」</p> <p><span style="font-size:28px;"><strong>以穩健、按部就班方式，在混合雲策略上先聚焦私有雲</strong></span></p> <p>不過，為何先聚焦私有雲？賈景光解釋，雲端不見得會解決問題，反而帶來了很多營運管理挑戰，要掌握公有雲，自己在地端沒有足夠的雲端管理能力，到了公雲，一樣無法妥善管理。上雲是中信未來明確的發展方向，但上雲的方式和步驟，中信採取整體規畫，以穩健、按部就班的方式，在混合雲策略上，先聚焦私有雲。</p> <p>中信早在2013年就積極擁抱虛擬化技術，來提高硬體資源的利用率，到了2019年，開始在地端打造中信自己的私有雲，也就是中信雲。2020年導入容器管理平臺OCP（OpenShift Container Platform），開始採用容器化技術，這幾年，中信更積極推動核心系統的現代化，嘗試將部分關鍵系統拆解成雲原生架構，先部署到私有雲中。中信的原則是，只要能夠上雲的應用都會盡量先部署到私有雲，來累積更多雲端管理的能力。</p> <p>中信這朵私有雲的設計思維格外不同，一開始就採取了混合雲架構。不是全面轉為雲原生架構，或全面保留原有地端慣用技術，而是以混合雲為核心的雲端相容策略。賈景光表示：「將合適的關鍵系統或流程拆解成雲原生模式，先部署到私有雲中，未來進可攻，退可守，來善用不同的公有雲。」像是可以將雲原生應用從地端搬上公雲，或從一朵公雲轉移到另一朵公雲，若遇到公有雲SLA不符預期，也可能服務從公雲轉移回地端，或者，有些需求可以直接使用雲端SaaS服務，再與地端環境串接來整合資訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/450-%E8%B3%88%E6%99%AF%E5%85%89_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E4%B8%AD%E5%9C%8B%E4%BF%A1%E8%A8%97%E9%87%91%E6%8E%A7.jpg" style="width: 449px;" /></p> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>中信金控科技長賈景光強調：「影響中信未來2、3年核心競爭力跟關鍵的突破點，就是多雲跟私有雲地的整合能力。」</strong></span></span><span style="font-size:14px;"><span style="color:#696969;">圖片來源_中國信託金控</span></span></p> <p><span style="font-size:28px;"><strong>私雲架構和管理要做到媲美公雲</strong></span></p> <p>除此之外，中信雲也希望讓私有雲的架構和管理，做到幾乎跟公雲一樣，除了硬體資源極大化之外，系統架構也重視高可用性、自動化和標準化的設計。早在2019年，中信雲就可以做到，某一臺伺服器發生異常，AP可以完全無感、自動飄移到另一臺上繼續運作。或是臨時有伺服器部署需求時，可以在30分鐘完成相關的軟硬體配置，備妥需要的運算資源，不像傳統IT作法，可能要數十天才能備妥。中信目前已經有8成應用系統，透過這朵私有雲的自動化機制至來調度資源。</p> <p>對中信來說，用混合雲架構來發展私有雲，還有另一個好處，就是讓傳統IT逐漸具備雲端的管理能力。賈景光表示，早在法規鬆綁之前，中信就利用中信雲來訓練維運團隊，有能力管好自己的雲，未來就可以有能力，來管理想要對接的公有雲。不過，重要系統大多部署在原本架構上，卻同時要對接新的架構，需要一組人力具備新的能力，中信也招募了不少來自科技業的架構師，「擁有雲原生大腦思維的人才，與原有IT團隊協同運作來發展混合雲架構，這樣才能同時兼顧創新與維運。」</p> <p>不過，要將兩種不同能力的人才混編，不是一條容易的路，需要高階主管支持，來建立具備雲原生專才的小規模團隊，開始驗證新技術，產生方法論，也透過少數人產生的方法論，影響IT團隊其他人重新培養新技能，來提升能力。「最難的是要先改變心態，願意走出舒適區。」賈景光坦言，只能透過小型案例示範，不斷的教育，來改變他們思考架構的思維邏輯。</p> <p>對管理者而言，還要注重兩群人與兩種文化的平衡，讓彼此各司其職，在轉型過程，不強調誰比較好，「就像武當派和少林派，兩種武功都很厲害，只是派系不同，不能說哪一種武功比較強。」關鍵是，混合運用完全雲原生或完全傳統技術的人才，透過變革，讓兼具兩種能力的人才占比越來越高。「讓兩群人，一加一大於一，產生縱效的價值，而不是抵減，才能打造混合雲。」這是賈景光從管理者角度的經驗談。</p> <p>賈景光觀察，中信很早就有一組研究雲的虛擬團隊，看好這次法規鬆綁，中信上雲策略會從「點」的發展，變成「面」的擴大，今年進一步在科技長下設立了雲端辦公室，讓上雲發展更統一，邁向一致的方向。</p> <p>雲端辦公室成立後的第一步是統一語言，讓大家對於雲相關的每一個名詞都有同樣的認知，避免各說各話難以溝通。「統一技術語言的起手式非常關鍵，更有助於日後與事業單位的溝通。」賈景光補充。</p> <p>接著則是準備各種架構設計劇本（Playbook)，雲端辦公室向經驗豐富的老手，蒐集了相關混合雲、雲地整合參考實務，整合成方便查找的參考來源，目前正在持續進行中。 第三步則配合法規進展或業務需求，以及地端後續發展的情境，開始進行各種架構驗證，累計更多實踐經驗。</p> <p>例如在今年7月中，中國信託趁著每年災備演練時間，進行雲端災備解決方案的技術架構驗證，來驗證遭遇大範圍災害後，可以在數分鐘內切換至全球公有雲資料中心持續營運。這次災備演練的驗證，正是為了驗證這個雲端架構劇本中的安全框架的可行性，</p> <p>「透過架構驗證，提前確認架構可行、管理能力和資安管控能力都可行，一但AP有需求或法規開放，就可以上雲。」賈景光解釋。</p> <p>他直言，進入「面」的發展階段時，要統一不同部門各自的上雲需求，得將不同公雲的關鍵技術、關鍵語言、關鍵架構都統一，才能讓所有雲從架構、治理到維運都能一條鞭，「業務速度不可能統一，但在架構和營運的標準要有共同的水準。」</p> <p>賈景光觀察，這次法規修正，對銀行賦予的責任更大了，不只是申請程序的鬆綁，它賦予的責任跟監理要求，也比過去更嚴格。因為銀行要負起上雲的最終責任，中信會更加重視自己的掌控度。</p> <p>「上雲絕對是趨勢，一定要快速嘗試，前提是要有能力，不能輕忽，混合雲和多雲世界的複雜度，比想像中更高。」他強調：「上雲關鍵不是選擇哪一朵公雲，而是雲端治理和核心掌握系統SLA的能力有多高，」</p> <p>中國信託本來就一個資訊總控中心（Enterprise Command Center)，從資訊服務品質來思考一套系統的設計，包括架構、後續維運管理，在重要專案建置初期就會參與，將高可視化、高可用性和高自動化的精神落實到每一個專案中。這個團隊會在中國信託上雲的過程扮演重要的助力，新挑戰是，得快速在一、兩年內快速累積出雲端的維運能力。</p> <p>例如中信正導入雲端辦公室服務，預計明年底前導入全行使用者，過程中，Email服務因為有部分資料在雲端，部分在地端，需要調整對應的控管機制才能順利串接雲地。「混合雲挑戰是資料和流量的串聯，比較難是先預料到不同應用情境下的各種串接，初期需要走過一段辛苦但可以克服的過程。」</p> <p>不只雲端辦公室的應用，有了中信雲之後，這幾年，中國信託非常積極嘗試更多雲端應用。核心系統雲端化的5年改造計畫，今年開始進入第二年開發期，部分先導專案已經擁抱雲原生技術，中信未來計畫挑選合適的新業務，採用雲原生技術打造，直接部署到公雲。</p> <p>中信採取多雲策略下搭配ECC營運，大膽嘗試來提升雲的能力，以便未來能夠面對更大的挑戰。「能夠確保維運品質不受影響，又能享受雲的好處，持續上雲就會產生價值，這是需要克服的挑戰，」賈景光強調：「影響中信未來2、3年核心競爭力跟關鍵的突破點，就是多雲跟私有雲地的整合能力。」</p> </div></div></div>
2023/10/20 12:00作者王宏仁https://www.ithome.com.tw/news/159362
【金融上雲實例：玉山金控】善用雲原生基礎發展混合雲，玉山金上雲優先考量敏捷和韌性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三年前，玉山金控以雲原生技術、微服務架構打造的核心系統正式上線，打下科技發展和數位轉型的關鍵基礎工程。玉山的目標是達到端對端的數位化，不只在顧客端以數位方式完成服務，銀行內部作業也盡量數位化，讓同樣的人力可以服務更多顧客。要邁向這個願景，上雲正是玉山加速金融創新的關鍵之一。</p> <p><span style="font-size:28px;"><strong>上雲能加速數位發展，但上錯雲的成本可能多7倍</strong></span></p> <p>「上雲好處是更快、更敏捷，」玉山金控暨玉山銀行資訊長謝萬禮指出，金融業藉上雲，能加速金融創新，當新技術出現，可以快速實驗新資源，不需要經過傳統的採購準備，能直接在雲端找到平臺或空間來實驗，快速驗證效果。</p> <p>例如，有些雲端業者提供套裝的AI模組，能更快速上雲，就越能快速嘗試這些AI技術。上雲也有助增加營運韌性，採用雲端進行異地備援，來確保營運持續性，也同時減少硬體設備的需求。</p> <p>但是，上雲的計價方式複雜，三大公雲業者提供的服務各有長處，還需考慮服務水準問題，若上錯雲，成本恐怕會讓人跌破眼鏡。玉山金控董事長黃男州就曾分享自家經驗：「上對雲，成本少個零，但上錯雲，成本可能多七倍。」</p> <p>從成本效益角度，哪些系統適合上雲？系統交易量和交易頻率變動度是玉山金控上雲兩項重要評估點。以交易量來說，將交易量低的系統搬遷上雲，可能會花費許多不合效益的成本。謝萬禮解釋，上雲除了會根據使用量計價，也會根據使用時長計價，等於遷上雲的當下，就得開始算成本，並且，企業還須負擔基本費用，因此，「交易量很低，平均每筆交易的成本就會非常高。」謝萬禮說道。</p> <p>此外，系統上雲後的服務水準，未必能達到與上雲前相同的標準。對金融業而言，系統要求的服務水準比一般產業更高，特定系統甚至須達到服務不中斷。玉山金控經過一年上雲觀察後發現，系統上雲後，服務水準很難和在地端達到同樣標準，一旦發生問題，衍生的費用也是一大開銷。因此，「想要高服務水準，地端也許是比較好的選擇。」謝萬禮坦言。</p> <p>不過，針對特定情況，採用混合雲的管理方式，有助企業即時應變，同時也可以節省硬體資源開銷。例如，某些系統的交易頻率變動大，當系統爆量時，就能藉雲端進行調度。謝萬禮說明，企業若全以地端部署交易頻率變動大的系統，平時就得準備最高資源應付系統爆量，反之，採混合雲方式部署，平時僅需以適量的硬體設備支援，特定時間再以雲端進行調度。如此一來，才能有效運用雲端資源，適當平衡成本。</p> <p>將系統全部上雲，雖能快速採用新技術來即時擴充，卻可能導致成本超標，顧此失彼。因此，混合雲，是謝萬禮點出金融上雲適合採用的架構，「一般跟銀行業務相關的系統，採取雲地之間的整合。」不過，混合雲的管理模式也是一大課題，例如，系統架構能否快速在雲地端間切換使用，就成為重要關鍵。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/500-%E7%8E%89%E5%B1%B1-%E5%9C%962-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 500px;" /></p> <p><span style="font-size: 22px;"><strong><span style="color: rgb(51, 153, 255);">玉山金控暨玉山銀行資訊長謝萬禮強調，混合雲會是銀行業未來發展的重要架構。</span></strong></span><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>做好架構準備：系統應往PaaS或IaaS的架構設計</strong></span></p> <p>在金融上雲中，移轉機制是一項重要議題。金融機構委外修正辦法就特別規範，金融機構的內部委外辦法中，需訂定與受委託機構終止委託的移轉機制，確保能順利移轉至其他受委託機構，或移回自行處理。</p> <p>因此，企業在選用雲端時，單一系統多半會考慮兩家供應商，針對供應商的長處適時使用。不過，若企業選用雲端業者提供的SaaS服務，則容易因技術綁定而難以移轉。因此，謝萬禮認為，系統應往適合PaaS或IaaS服務的架構設計，較能替換供應商來運用。例如，雲原生架構的系統，就能夠選擇IaaS或PaaS的服務，並在多家供應商間替換。</p> <p>看準快速部署的能力，玉山銀行早在2016年起，就開始打造雲原生技術、微服務架構的新核心系統，並在2020年正式啟用。謝萬禮表示，過去主管機關對上雲的管制較嚴，要將系統直接上雲的溝通成本較高，因此，玉山選擇先做好硬體資源管理，採用私有雲的模式運作，為日後上雲做足準備。如今到了上雲鬆綁的時刻，主管機關相對開放，「我覺得這是一個很好的時機，就可以移轉過來。」謝萬禮說道。</p> <p>目前，包含核心系統和關鍵業務系統，玉山約七成以上系統已具備上公有雲的準備。玉山正在制定內部的雲端治理框架，評估適合上雲的系統，及系統適合採用雲端資源的時間等。</p> <p><span style="font-size:28px;"><strong>建立上雲機制：不以單一系統上雲進行成本效益評估</strong></span></p> <p>玉山上雲準備可分為兩步驟，先訂定治理框架，再進行成本效益評估。謝萬禮解釋，若只以個案方式規畫，難以顧及成本的平衡、資安風險和發展策略。今年底，玉山預計訂妥上雲治理框架，最快明年陸續展開上雲計畫。</p> <p>針對治理框架，玉山將董事會設為雲端治理的最高決策單位，負責制定雲端治理政策，重點包含，雲端服務安全管控原則、治理規範及程序、組織與權責等，各權責單位將會依董事會訂定的雲端治理政策分層負責推動執行。</p> <p>有了治理框架，下一個重點就是成本評估。對比過去管理地端，謝萬禮認為，評估上雲不能以單一系統計算成本，而要以長期且多個系統來估算整體持有成本（TCO）。一來，網路流量基本費和轉換費都屬高成本，二來，只要涉及混合雲模式，就需額外負擔移轉和資安成本。因此，他認為，可針對一年、三年或五年內需上雲的系統，來估算整體成本，以進行適當評估。</p> <p>不過，玉山評估現階段累積的資料還不夠齊全，除了雲端租賃成本，還有儲存空間、網路傳輸和資安成本都須納入計算，資料繁雜，難以估算出精確成本。謝萬禮解釋：「假設一年投資10億元，有100套系統使用，每一套系統到底要分攤多少，就是一個挑戰。」因此，玉山現行的成本評估機制是以長期規畫作為主要制定方向。</p> <p>未來，玉山將先以一套員工每日都會使用，且峰值明顯的行內服務系統作為試驗，驗證雲端平臺服務在安全、維運、自動化、資源管理、治理、合規性、工具和帳戶結構等領域設計是否完善，之後再依系統上雲的合適性逐步擴大實施。其中，敏捷與韌性是玉山評估優先上雲的重點，例如透過雲端AI工具快速推出應用服務，或驗證資訊服務備援上雲，以因應突發狀況。</p> <p>此外，雲端服務可靠度（SRE）也是玉山今年的IT重點。玉山將在日常維運中善用IaC（基礎架構程式碼化），也優先於容器平臺導入，以增加開發團隊的工作效率，提升測試及營運環境的一致性和可靠性，增強系統軟體實施的安全性和彈性擴展基礎架構。</p> <p>謝萬禮解釋，以IaC部建私有雲容器平臺，能將任務自動化，提供開發團隊自助化的申請服務，包括環境配置、批次任務、基礎設施管理等，藉此降低人工作業時間，提升工作效率。此外，藉工具來管理程式碼、基礎架構環境的重要數據，可以降低環境差異引起的問題。而將安全性政策自動化套入容器管理平臺中，能更快速、安全地實施系統軟體的週期性版本升級，降低潛在漏洞風險，且所有變更都能被記錄追蹤，有助於安全審查及合規性要求。最後，應用IaC也能快速擴展基礎架構，以應對流量增長的情況，依據實際需求動態調整資源，降低軟體與雲端服務的訂閱成本。</p> <p>「上雲是一種全新的管理跟使用模式。」謝萬禮強調，金融上雲不只是評估能否上雲，或多少系統上雲。金融業需要思考調整應用系統設計，讓系統適時使用雲端資源，而不是一股氣砸下所有成本。「上雲前，還得完成許多基本功。」</p> </div></div></div>
2023/10/20 12:00作者李昀璇https://www.ithome.com.tw/news/159363
金融上雲再次大鬆綁，將掀起金融業新一波加速上雲潮
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>趁著金融科技浪潮和開放銀行浪潮吹進臺灣，金管會在2019年底，第一次鬆綁了金融上雲的規範，以委外管理方式來納管各項金融上雲的核准。</p> <p>金融上雲法規第一次鬆綁，引起各界高度重視，一方面主管機關也希望透過上雲，促使更多金融業者展開IT現代化和數位轉型計畫，另一方面，其他產業的企業，希望金融業成為火車頭，帶動其他產業上雲的發展。</p> <p>但是，4年下來，金融上公雲的案例卻屈指可數，更沒有點燃金融業上雲的熱潮，只有零星火花。</p> <p>根據我們在2019年iThome CIO大調查數據，金融業在2018年時，約有3成業者開始嘗試上雲，不論是導入SaaS、PaaS或IaaS皆有。而金融內部應用也有23%的系統，部署到雲端環境，這個雲包括了公有雲或是私有雲。</p> <p>可是，在今年度的CIO大調查結果卻顯示，累計到2022年為止，使用雲端的金融業者只增加到33.3%，換句話說，在金管會第一次公布上雲規範之後，上雲金融業企業的比例只增加了3.3%，沒有如預期般的爆發成長。</p> <p>甚至，從金融業內部應用上雲的比重來看，不但沒有增加，四年下來，反而還大幅減少了許多。一樣從今年大調查數據來看，2022年，金融業平均只有將12.3%的內部應用系統搬上了雲，比2018年的比重少了快一半。一方面，搬上雲的系統數量沒有增加太多，另一方面，因為金融業這幾年數位業務大幅成長，增加了不少新服務或新系統，整體應用系統的數量增加了，就算金融業維持與2018年時同樣的上雲應用數量，分母增加了，整體比重也會大幅下滑。</p> <p><span style="font-size:28px;"><strong>2019年首度開放金融上雲，按系統逐件申請反成絆腳石</strong></span></p> <p>為何，金管會鬆綁上雲規範的美意，沒有帶動金融業上雲的發展？從多家金控業者過去幾年上雲申請大吐苦水的挫折經驗可以看到，2019年上雲規範的申請流程，成了侷限金融上雲的絆腳石。</p> <p>一位金控高階主管坦言，過去委外作業以「委外廠商」為委外申請核准的對象，同一位業者同時承包多項委外業務時只需申請一次，但是，在2019年版的上雲規範中，改按照「系統」來申請委外核可。每一套系統要上雲，就要重新向主管機關提出一次申請。</p> <p>根據金融業者實際申請情況，當時一件申請案快則半年，慢則可能一年才能得到回覆。一家金控的資訊系統多達二、三百套，每套上雲都走一次申請，得花上十幾年，更大影響是，金管會當時對於雲端技術也相當陌生，更缺乏足夠的監理經驗，每項上雲委外申請案的核准時間不只漫長，且無法預期何時能核准。</p> <p>而且，金管會旗下銀行局、保險局、證期局對上雲的態度也不一致，那時曾有家金融業者申請使用雲端辦公室，3個機關中，2票同意，卻有1票反對，最後上雲計畫告吹。</p> <p>金融者為求謹慎，往往選擇從新應用或新服務，開始嘗試上雲來練兵，而不是先將老舊系統翻新再搬上雲，但是，金融業者苦苦等不到金管會的核准，反過來拖慢了新金融業務的推出時程，這就大大削弱了金融業者上公雲的意願。</p> <p>尤其，當時的規範也有一些實際執行難度很高的要求，例如金管會希望對雲端業者實地查核，金融業者得派人隨同，遠赴日本東京機房檢視相關資料。對雲端業者而言，每一家金融業者的每一次申請，若都得來一次實地查核，也是應接不暇。不論金融業者或雲端業者，雖然多正面肯定金管會2019年上雲規範的解禁，但在執行面卻發生了不少實務上的難題。</p> <p>不過，2019年的金融上雲規範，帶來金融業者最大的激勵是，主管機關對於公雲採取正面鼓勵的態度。這也讓許多金融業者加快IT現代化的腳步，更積極擁抱雲原生技術和發展私有雲架構，找來上雲顧問認真投入資源展開不同形式的練兵，不只累積更多上雲技術能力、培養上雲人才，也積極驗證各種上雲部署方式、雲端資安框架、雲端治理框架的可行性。第一次金融上雲規範，的確加速了金融產業IT現代化的速度，將雲原生和容器技術落地到自家IT架構中。</p> <p>2022年底，金管會公布了「金融資安行動方案」2.0版，其中特別的是增加了核心料資料保存的要求，希望金融機構將核心資料檔案、資料庫加密與分持，再儲存到第三地或是雲端備份。這一項要求，也暗示了金管會希望加速甚至擴大金融機構上雲的腳步，作為第三地或境外保存資料的企圖。但若是繼續維持原有2019版規範，每一項系統儲存到雲端都得申請，無法快速達到這個目標。換句話說，金管會在2022年底就透露出進一步鬆綁上雲規範。</p> <p><span style="font-size:28px;"><strong>金融3業上雲規範終於統一，同步大鬆綁</strong></span></p> <p>一方面，累積了幾年經驗，金管會更熟悉不同金融服務上雲的風險，另一方面，也希望讓金融業當責，自行評估風險高低來考量上雲與否。在2023年3月，銀行局宣布，金融委外上雲辦法將有重大修正，決定放寬境內外雲端委外作業的規定，大幅簡化申請核准的流程，展開相關的草案預告工作。到了8月，不只銀行局，連同保險局和證期局也同時發布委外修正規定，而且以銀行局先前公布的草案為參考，統一金融三業的上雲規範，同步大鬆綁。</p> <p>金管會在2023年的新版委外規範中，最大變革是大幅簡化了上雲申請流程，只有重大消金系統放上境外公雲，需要每件都申請，其餘上雲只要有首例核准，其他銀行即可自行辦理，不用再申請。一般委外項目的範圍則和過去一樣免申請。同時，金管會要求金融機構要負最終責任，讓金融機構當責，自己評估風險等級決定是否上雲，更不用每一件都報部申請。在新版修正辦法中不夠清楚的規範或疑慮，金管會已經盤點各業者的問題，計畫在11月中釋出相關問答集統一回答，例如將公布上雲首例清單，其他銀行免申請就能跟進辦理。</p> <p>2023年第二度上雲規範鬆綁，再次引起金融業者高度興趣，紛紛展開上公雲的行動，各家做法和進展雖有不同，大多以多雲、混合雲為長期目標，再依據各自規模、業務型態、治理能力、IT現代化程度、雲端維運能力的不同，各有不同的上雲路徑或發展策略，已經開始出現新一波的金融上雲潮。</p> <p><span style="font-size:28px;"><strong>金融上雲未來可改善的方向</strong></span></p> <p>不過，三大公雲巨頭在臺雲端機房的建置速度不一，有的先建立服務能量有限的小型在地機房，有得則還沒完成，本土公雲業者的服務類型和技術創新也還不比不上境外公雲，金融上雲的選擇還不夠多元化，這還有待雲端業者加速布局，提出更長期在臺發展的承諾。</p> <p>另一方面，每一家金融機構現在仍須各憑本事，自行評估每一家公雲業者不同產品的風險、合規情況，缺乏統一的衡量標準。不少金控都希望政府出面，仿效美國作法，訂出公版雲端合規標準，要求國內外雲端業者遵循，例如可參考「聯邦政府風險與授權管理計畫」（FedRAMP）這是一套美國政府機關用來衡量雲端產品安全評估、授權和持續監控作法的標準化方法，來建立臺灣自己的標準，讓金融機構更快也更容易選擇合規的雲端供應商和服務。</p> <p>金管會以委外辦法規範金融上雲的作法，也有不盡適用之處，例如在公聽會上就有金融業者提議，直接使用雲端SaaS服務，就像租用現成場地舉辦研討會，金融業者不是將原有業務委外，而是租用現成產品，但仍須依照委外規定執行相關行政作業，這也是值得進一步改善之處。</p> </div></div></div>
2023/10/20 12:00作者王宏仁https://www.ithome.com.tw/news/159370
快速了解金融上雲鬆綁重點QA
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年8月，金管會正式發布了新版金融機構委外辦法，修正部分條文，大幅鬆綁金融上雲的規範，大大簡化了金融機構上雲的申請流程，但是，新版規範不僅僅是鬆綁，還增加了不少規範，我們整理出金融上雲規範大鬆綁的QA，讓你快速掌握新版辦法的重點。</p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> Q </span></span> 這次金融上雲規範大鬆綁有哪些重點?</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> A </span></strong></span> 共三大重點，第一，明定金融機構要以風險基礎方法管理委外作業，以風險高低採取適當管理措施。其次也簡化了委外流程，取消跨境委外一律須申請核准的規範，開放金融機構能以首案通過的方式，辦理金管會核定的其他委外項目，最後一項則是強化監理措施，金管會可視情節要求金融機構終止上雲委託。</p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> Q </span></span> </strong><span style="font-size:28px;"><strong>上雲委外申請如何大鬆綁?只剩哪些項目必須申請?</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span> 新版委外辦法區分出三種上雲申請流程，第一，金融機構將重大性消金系統委託至境外，須向金管會申請核准；第二，新型態委外項目若已有首案核定通過，其他金融機構就可逕行辦理，不用申請，反之，則須要經過核准；第三，金融機構辦理金管會明列的19項一般委外項目，包括資料處理和電子客戶服務等，不用申請。</p> <p>新型態委外項目若尚無首案通過，金管會將以委外項目是否有重大風險或監理考量做為評估標準，因此，金融機構需要提出風險控管相關文件，例如，委外項目風險程度、重大性評估和對受委託機構盡職調查情形等。</p> <p>這次修法針對上雲申請範圍進行大幅鬆綁，境內委外不再受重大性項目需申請核准的規範，跨境委外也僅剩重大性消金業務系統須經過申請核准。</p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> Q </span></span> </strong><span style="font-size:28px;"><strong>如何界定重大性的消金業務系統？</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span> 消金業務是金融機構為個人客戶提供的金融服務，包括存款、放款、匯款、信用卡、金融商品銷售等業務。而在處理前述業務的資訊系統中，委外作業若有服務中斷或資安疑慮，而對金融機構業務營運有重大影響，或有涉及客戶資料安全事件，而對金融機構或客戶權益有重大影響，亦或是其它對金融機構或客戶權益有重大影響的委外作業，都視為重大性。金管會未來將在問答集中增列金融機構判斷委外作業是否具重大性的舉例，供金融機構判斷。</p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> Q </span></span> </strong><span style="font-size:28px;"><strong>消金系統採雲端備份或在境外雲端建置備援系統，須申請核准嗎？</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span> 資料備份不須經過申請核准，但建置備援系統須要。新版辦法說明，金融機構將客戶資料或其程式、資料庫與作業系統的備份儲存在境外公有雲，進行冷備份加密儲存時，不須向金管會申請核准。意即，若客戶資料相關備份檔案儲存在境外公有雲時，無法直接在雲端中使用，而是要在特定系統中還原才可以使用，不影響系統正式、備援環境運行，就不需要經過金管會申請核准。反之，若是直接在境外雲端建置備援系統，具有雲端還原機制和回復業務運作的功能，就需要向金管會申請核准才可使用。</p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> Q </span></span> </strong><span style="font-size:28px;"><strong>境外資料儲存、處理地變更時，金融機構如何辦理?</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span> 委外作業內容和受託機構皆不變，僅變更境外資料儲存、處理地時，金融機構不再需要提供儲存地變更原因、資安及查核權力等說明文件，只要依規範更新作業委外項目的申報資訊，例如委外項目的內容及範圍等資料，並另行評估新增或變更的國家對客戶資訊的保護情形。</p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> Q </span></span> </strong><span style="font-size:28px;"><strong>新版委外上雲增加哪些內控管理需求?</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span> 規範金融機構要訂定使用雲端服務的政策及原則，並增訂第三方查核報告需符合國際隱私保護標準，要求金融機構落實個人資料保護。</p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> Q </span></span> </strong><span style="font-size:28px;"><strong>金融機構是否能以雲端業者提供的資安國際標準認證辦理第三方查核報告？</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span> 可以，但個別金融機構仍應就各自的委外作業項目及雲端應用情形，依風險基礎方法進行查核，並分別提供查核報告。</p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> Q </span></span> </strong><span style="font-size:28px;"><strong>金融機構的內部委外辦法需要因應新辦法進行哪些調整？</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span> 金融機構要在內部委外規範中建立有效的分層治理架構、風險評估架構和內控機制，例如，金融機構應在內部委外規範中載明風險管理措施，包括評估委外風險、降低風險的適當措施、訂定風險評估更新的機制、針對重大性委外風險情境進行測試或演練。</p> <p>這次修法放寬了重大性委外項目上雲須經核准的規範，因此辦法中也明列，金融機構應辨識、評估及管理具重大性的委外作業。不只受委託機構，金融機構也要確保內部人員具有足夠的專業知識，能夠衡量、監督和控制委外風險。</p> <p>金融機構也要訂定終止委託的移轉機制，確保能順利移轉至其他受委託機構，或移回自行處理，並確保原受委託機構留存的資料全數刪除或銷毀，留存刪除或銷毀的紀錄。</p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> Q </span></span> </strong><span style="font-size:28px;"><strong>測試或演練是否可由受委託機構辦理並提供結果？</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span> 可以，但考量委外風險管理屬金融機構和受委託機構共同負責，因此，金融機構仍要針對其管理的部分進行測試或演練。</p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> Q </span></span> </strong><span style="font-size:28px;"><strong>上雲委外若發生事故，誰負全責?</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span> 金融機構可在契約中與受委託機構明定責任分工，但金融機構對作業委外及客戶權益仍負最終責任，因此，金融機構應定期針對雲端業者進行審查，並以風險基礎方法採取適當的控管措施。此外，新版辦法也將委外監督的權責上升至董事會層級，特別點出董事會成員應認知到委外風險，定期監督委外執行情形。</p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> Q </span></span> </strong><span style="font-size:28px;"><strong>金管會可以要求金融機構停止上雲委託嗎？</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span> 可以，當雲端業者有違反委外辦法或其他法令時，金管會可以視情節輕重，通知金融機構依契約規定終止委託，並要求限期改善，或暫停委託直至受委託機構確認改善為止。過去，這條規範僅用來監理部分委外作業，如消金系統委託至境外，但這次修正改採一致性規定，將規範擴大涵蓋到所有委外作業，強化了監理措施。</p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> Q </span></span> </strong><strong><span style="font-size:28px;">新版上雲規範對外國金融機構有什麼影響？</span></strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span> 外國在臺分支的金融機構若要跨境委外重大性消金業務資訊系統，仍要向主管機關提出申請，不過，相較臺灣金融機構，有簡化部分辦理規定。此外，新版規範允許外國在臺金融機構將委外作業交由總機構或區域總部辦理，不過，外國在臺分支機構仍要擔任委外專責單位，掌握總機構或區域總部對委外風險的控管。</p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> Q </span></span> </strong><span style="font-size:28px;"><strong>新版委外辦法適用哪些對象？</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span> 適用的金融機構包括本國銀行及其國外分行、外國銀行在臺分行、信用合作社、票券金融公司及信用卡業務機構。由於金控公司並未辦理金融業務，因此不納入委外辦法的適用範疇。</p> <p>此外，保險局和證期局也在8月發佈適用的新版委外規範，並跟進委外辦法的修正內容，採一致的上雲規範。</p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> Q </span></span> </strong><span style="font-size:28px;"><strong>新版委外辦法的緩衝期有多長?</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span> 考量這次修正辦法中，要求金融機構強化委外作業的風險管理框架，並全面檢視既有委外作業，再依規定向金管會申報相關資訊，因此，新版規範給予一年的緩衝期，金融機構可以在辦法發布一年內，也就是明年8月25日前進行補正。</p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> Q </span></span> </strong><span style="font-size:28px;"><strong>上雲治理和管理是否會成為明年金檢重點之一？</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span> 過去新政策和業務的監理，以場外監理優先，先確保業者落實相關法令遵循，針對上雲新開放的政策，金管會表示，金檢也會持續關注法律落實程度，另外也會協助金融業者導入相關的雲端治理。</p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> Q </span></span> </strong><span style="font-size:28px;"><strong>委外的常見問題問答集預計何時公布？</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span> 委外常見問題問答集預計在11月中公布，且會納入首例得委外項目清單。金管會後續會進行滾動式檢討，透過銀行公會蒐集意見，更新問答集內容。</p> </div></div></div>
2023/10/20 12:00作者李昀璇https://www.ithome.com.tw/news/159371
史丹佛大學發表基礎模型透明度指標，Llama 2以54%居冠
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://hai.stanford.edu/news/introducing-foundation-model-transparency-index" target="_blank">美國史丹佛大學以人為本的人工智慧學院（ Stanford University Human-Centered Artificial Intelligence，Stanford HAI）本周公布了十大基礎模型的透明度指標</a>，其中最高的是Meta的Lama 2，但也只有54%，使得該團隊認為它們全都缺乏透明度。</p> <p>此一研究是由HAI基礎模型研究中心（CRFM）的社會負責人Rishi Bommasani所主導，調查的10款基礎模型包括Meta的Llama 2、BigScience的BloomZ、OpenAI的GPT-4、 Stability AI的Stable Diffusion、Anthropic PBC的Claude、Google的PaLM 2、Cohere 的Command、AI21 Labs的Jurassic-2、Inflection AI的Inflection，以及Amazon Web Services的Titan。</p> <p>基礎模型指的是利用大量資料訓練而成的大型機器學習模型，通常適用於廣泛的任務。Bommasani指出，缺乏透明度一直是數位技術消費者所面臨的問題，例如人們在網路上看到許多騙人的廣告、共乘服務的薪資不明確、讓使用者在不知情的狀況下購買，或者是與內容審核有關的透明度問題，這些問題形成了一個龐大的生態體系，令社交媒體充斥著錯誤與不實資訊。</p> <p>CRFM主任Percy Liang則說，商業基礎模型的透明度對於推動AI政策，或是利用這些模型作出決策的產業及學術界而言非常重要。</p> <p>Stanford HAI總計制定了100項基礎模型的透明度指標，當中約有1/3涉及這些模型是如何建置的，例如訓練資料的相關資訊，建置模型的人力，以及使用的運算資源等，另有1/3與模型本身有關，像是它的能力、可信度、風險或如何緩解風險等，最後的1/3則牽涉到下游如何使用該模型，包括揭露模型分配的公司政策、使用者資料保護、模型行為，以及公司是否替受影響的個人提供補救機會等。</p> <p class="rtecenter"><a href="https://hai.stanford.edu/news/introducing-foundation-model-transparency-index" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1019-The%20Foundation%20Model%20Transparency%20Index-(subdomain-scores)-image%20by%20Stanford%20Center%20for%20Research%20on%20Foundation%20Models.png" style="width: 600px;" /></a></p> <p><a href="https://hai.stanford.edu/news/introducing-foundation-model-transparency-index" target="_blank"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源_Stanford HAI</span></span></a></p> <p>在這些不同範疇的指標中，表現最好的是模型基本資訊（Model Basics ），此一範疇指的是供應商是否揭露了基礎模型的模式、規模、架構，以及中心化的模型文件，其平均透明度為63%。表現最差的則是影響（Impact），該範疇評估了基礎模型是否揭露對下游應用的影響，如使用上的統計、監控，或者是提供補救機制，其平均透明度只有11%。</p> <p>而在十大基礎模型中，Meta的Lama 2以54%的透明度居冠，Stanford HAI還諷刺品牌中含有「開放」（Open）一字的OpenAI卻一點都不開放，它的旗艦模型GPT-4透明度只有48%，顯示它大部分都不透明。GPT-4在此一透明度排行中位居第三，落後BigScience的BloomZ（53%），而Google的PaLM 2則以40%排名第五。</p> <p class="rtecenter"><a href="https://hai.stanford.edu/news/introducing-foundation-model-transparency-index" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1019-The%20Foundation%20Model%20Transparency%20Index-image%20by%20Stanford%20Center%20for%20Research%20on%20Foundation%20Models.jpg" style="width: 600px;" /></a></p> <p><a href="https://hai.stanford.edu/news/introducing-foundation-model-transparency-index" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Stanford HAI</span></span></a></p> <p>Bommasani表示，較低的透明度讓企業更難知道它們能否安全地打造仰賴這些商業基礎模型的應用程式，亦難以令學者依靠這些模型來作研究，也不容易制定政策來控制此一強大的技術，消費者則無法了解模型的限制，或是在受到傷害時尋求補救。</p> <p>總之，Bommasani認為上述十大基礎模型在透明度方面都不及格，而且也不應以目前分數最高的Meta Llama 2作為楷模，而是應該考慮更高的目標，例如滿足其中80或90個以上的指標，且他相信應該至少有一家公司可達到82%。</p> </div></div></div>
2023/10/20 09:15作者陳曉莉https://www.ithome.com.tw/news/159382
領導者如何耕耘團隊文化
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/huan_ying_jin_ru_guan_li_jie_ceng_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">星出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>文化是無形、難以定義的詞彙，特別是在企業裡。如果你在同事之間做個非正式調查，可能十個人就有十種定義。根據我的經驗，文化是組織成員本質的集成。文化的表現，不在於辦公室裡擺的那張乒乓球桌，也不是牆壁的顏色，更不是免費的點心。文化是團隊、組織和企業內部成員的集體能量。我們實際的互動（社群系統），來自團體裡的人所創造的文化。不意外，領導者是文化形成的關鍵。</p> <p>無論你是否注意到，團隊文化是日積月累形成的。理想上，文化的建構是需要刻意經營的工作，但是你知道嗎？無論文化是深思熟慮的設計所塑造的產物，或是漫不經心的慣性所產生的結果，都會影響績效。「先有好文化，才有好成果，」舊金山49人隊的傳奇教練、教練史上的偉大導師比爾・沃爾希（Bill Walsh）如此寫道。「它不是你邁向勝利之路時出現的想法。冠軍在成為冠軍之前就有冠軍的樣子，他們在成為贏家之前，就已經有贏家的表現水準。」</p> <p>根據《高效團隊默默在做的三件事》（The Culture Code）一書作者丹尼爾・科伊爾（Daniel Coyle）的說法，優良的文化可以教，雖然我們往往認為文化固定不變。我們的文化得自周遭的人，人類學家羅伊・安德拉德（Roy D’Andrade）也表示認同：任何人的所知，多半是習自他人。別人的教導可能是正式的，也可能是非正式的，可能是刻意的，也可能是無意的，學習可以透過觀察或規則的教導而來。無論如何達成，結果都是代代相傳的大量學習，稱為「文化」。</p> <p>關於如何建立並維持卓越的文化，油品公司WD-40的執行長蓋瑞・瑞奇（Garry Ridge）就是一個很好的範例。這家只有單一種類產品的公司，在他領導的期間，不曾遣散任何一名員工，員工的留任率是全美平均的三倍。一項全球員工意見調查顯示，WD-40的員工投入度高達93.1％，96％的員工表示信任主管。員工一定覺得自己在一個受到信任、身邊的人都希望他們成功的環境。蓋瑞告訴我：「我們讓領導者承擔栽培員工的責任。」</p> <p>WD-40的文化很重要的一部分，就是領導者對自身弱點誠實不諱。以蓋瑞來說，他從自己在WD-40的成長中學到的最重要一句話就是：「我不知道。」他說：「身為領導者，如果你接受自己不會什麼事都知道的事實，讓自己身邊圍繞著有能力的團隊，並且充分授權，鼓勵他們分享知識，就能創造我們在追求的那種神奇文化。我在聽別人說話時，一向抱持著想要被影響的打算。」</p> <p>蓋瑞以開放的心態傾聽，讓團隊知道他們可以改變事情，對公司發揮影響力。他說：「我從來不覺得自己輸，我不是贏、就是在學。在WD-40，我們不犯錯，我們有學習的時刻。我最重要的學習時刻就是，微管理無法擴張規模。如果我們想要把這個藍黃雙色、有著紅蓋子的罐子賣到全世界去，就必須基於我們存在的根本原因、一套能讓人自主的價值，以及一些容易理解的策略動因，打造我們的文化。那就是我們在做的事。現在，在優秀同仁的努力下，我們的市值從2億5千萬美元成長到16億美元。」</p> <p>蓋瑞證明，在一個競爭激烈、經營艱辛的市場，成為一位以人至上的領導者，不但不是不可能的事，更是最適化的經營方法。他面對吃緊的財務狀況，拒絕用裁員來解決問題。他以創新打開一條通往繁榮的道路，誓言在渡過艱困時期之後，要「至少再多雇用一名員工。」他的格言是：「我不是在這裡幫你打分數的，我是要幫你拿到A的。我在帶員工時，不會把失敗放進我的教導裡。相反地，我創造的文化鼓勵知識分享與持續學習。員工必須感覺到他們在一個受到信任的環境裡，身邊都是希望他們成功的人。我們把栽培員工的責任，放在領導者的身上。」他不認為人是在困苦時期可以說丟就丟的資產。</p> <p><span style="font-size:28px;"><strong>爭取領導的權利</strong></span></p> <p>TED首席策展人克里斯・安德森（Chris Anderson）在「TED精彩演講的祕訣」影片中，把觀念描述成一種資訊，在大腦以相互連結的神經元形態編碼。而觀念的分享，就是讓聽眾的心智重新創造同樣形態的過程。為了有效做到形態的再創造，安德森主張，你必須事先做一些準備工作：「開始在聽眾心裡建構事物之前，你必須得到他們的允許，讓他們歡迎你進入他們的心智。」演說教練蘭斯・薩爾耶斯（Lance Salyers）告訴客戶：「你必須爭取走進聽眾腦袋的權利。他們給予的大腦通行證，一般稱為『注意力』。」</p> <p>領導他人也是一樣，成為「老闆」不足以讓你帶的人給你關注，接納你的意見。在你可以和團隊成員同心協力打造你想要的文化之前，你必須從贏得尊敬開始。《企業》（Inc.）雜誌報導，86％的員工認為，如果他們喜歡自己的老闆，生產力會增加。問題在於，每四個員工就有三個認為，和老闆打交道是工作中最糟糕的一部分。</p> <p>我曾在各級球隊擔任四分衛，我最驕傲的事情之一就是，我為了贏得隊友尊敬所做的努力。身為森特維爾中學校隊史上第一個擔任先發四分衛的新鮮人，我在年少時就經歷了在一個老字號團隊擔任新手領導者的挑戰。為了扮演好這個角色，我非常注重提早到場、竭盡全力訓練、少說話、大方分享功勞，而且永遠願意接受責難。</p> <p>等到我累積一年的資歷，我才開始變成一個比較有聲音的領導者。升高二時，鮑伯・葛瑞格（Bob Gregg）和隆恩・烏爾里（Ron Ullery）兩位教練告訴我，現在是「尋求我的發言權」的時候。他們告訴我：「是時候了，你已經在場上證明你自己。你有成績，現在你必須以你的能力和你的聲音領導。」</p> <p>當我進大學，我也用同樣方法爭取隊友的尊敬。我在森特維爾中學麋鹿隊的最後一場比賽結束後兩天，接受了俄亥俄州牛津市邁阿密大學的入學許可。我打電話給邁阿密大學的助理教練隆恩・強森（Ron Johnson）說：「我想在高中畢業的第二天就搬到牛津市，和歸隊的球員一起訓練。」當時，這不是新進的大一新鮮人會做的事。</p> <p>「你確定嗎？你不想享受一下你進大學前的最後一個暑假？」強森教練對我的想法感到懷疑。</p> <p>「不想，我有目標。如果我在遠離未來隊友的地方自己做訓練，就無法達到那些目標。我想要和他們在一起。」（順便一提，這種做法現在已經非常普遍，幾乎所有新進的大一運動員都要在高中畢業之後立刻到新校園報到。）我成功說服教練，他不但首肯，還幫我聯絡到一些我可以和他們一起住的隊友。</p> <p>高中畢業隔天，我父親和弟弟開車送我到牛津市。在當時算是髒亂的大學宿舍外，我們在淚眼中道別。我現在「進了大學」，要和兩名新隊友同住一個寢室，睡在房裡的備用床墊上。我之所以這樣犧牲，是因為我在那個暑假有兩項重要目標，我認為這兩項目標能夠幫助我達到我的最終目標，那就是成為邁阿密大學校隊的先發四分衛。第一個目標是，我想要以我的成績贏得尊重，而不是我的話語。我想要讓未來的隊友看到，我參加每一場訓練，拚盡全力和他們並肩努力，為接下來的賽季做好準備。第二，我想要知道他們所有人的名字。</p> <p>身為領導者，你必須能夠直視你領導的人的眼睛，對他們說出在他們耳中聽來全世界最美妙的詞語：他們的名字。我就是這麼做的，在那年暑假結束時，我達成了那兩項目標。我這個唯一在兩個月前提早離家、和他們在炎炎夏日一起熬過訓練的新鮮人，與隊友建立了真正的友誼，贏得他們的尊敬。<strong><span style="color:#696969;">（本文摘錄整理自《歡迎進入管理階層》第三章，星出版提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600_%E6%AD%A1%E8%BF%8E%E9%80%B2%E5%85%A5%E7%AE%A1%E7%90%86%E9%9A%8E%E5%B1%A4_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%98%9F%E5%87%BA%E7%89%88.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_星出版</span></span><br /> <strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 歡迎進入管理階層：從一流工作者成長為卓越領導者</strong>（Welcome to Management: How to Grow from Top Performer to Excellent Leader）<br /> 萊恩・霍克（Ryan Hawk）／著；周宜芳／譯<br /> 星出版<br /> 定價：400元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/200_%E5%9C%962_%E6%AD%A1%E8%BF%8E%E9%80%B2%E5%85%A5%E7%AE%A1%E7%90%86%E9%9A%8E%E5%B1%A4_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.jpg" style="width: 170px;" /></p> <p><a href="https://tinyurl.com/yweqc6fz" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Amazon</span></span></a><br /> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span><br /> <strong>萊恩・霍克（Ryan Hawk）</strong><br /> 主題講者、作家、顧問，以及播客節目《學習型領導者》（The Learning Leader Show）主持人。《學習型領導者》節目被《富比士》（Forbes）雜誌譽為「當代最具量能的領導力播客節目」，並獲《企業》（Inc.）雜誌肯定，入選為「有助於提升領導智商的五個播客節目」。這個節目做過數百場與暢銷書作家、世界知名企業領導人、運動家和軍事領袖的專訪，擁有遍及全球超過150國數百萬名的聽眾。<br /> 身為布梅顧問公司（Brixey & Meyer）領導力諮商事業部門的主管，霍克是《財富》500大企業經常邀約演講的對象。他也與NFL（美國國家美式足球聯盟）、NBA（美國國家籃球協會）、NCAA（美國國家大學體育協會）合作，並且主持「學習型領導圈」（Learning Leader Circles），為新手與資深領導者提供結構化的指引和協同合作的反饋。</p> </div></div></div>
2023/10/20 09:00未署名https://www.ithome.com.tw/article/159331
針對10月初發生的資料外洩事故，友訊科技提出進一步說明
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據<a href="https://www.bleepingcomputer.com/news/security/d-link-confirms-data-breach-after-employee-phishing-attack/">資安新聞網站Bleeping Compuer報導</a>，有人宣稱竊得臺灣網路設備廠商友訊科技（D-Link）的網路管理軟體D-View的原始碼，並握有該公司300萬用戶資料，在駭客論壇兜售，<a href="https://supportannouncement.us.dlink.com/announcement/publication.aspx?name=SAP10359">該公司也在10月2日證實資料外洩情事</a>。</p> <p>友訊表示，他們知悉此事並委由趨勢科技進行調查，表示上述人士取得資料的來源，是該公司測試實驗室當中的產品註冊系統，駭客對其員工發動網路釣魚攻擊，進而存取該公司內部網路環境。而這些存放在註冊系統上的資料，源自2015年已結束生命週期（EOL）的D-View 6，約有700筆，大部分資料為低敏感或半公開的資訊組成，該公司評估現有客戶不太可能受到影響。不過，針對駭客聲稱握有D-View原始碼一事，他們並未澄清實際的情況為何。</p> <p>我們也在昨日引述該新聞網站的內容<a href="https://www.ithome.com.tw/news/159336">進行報導</a>，友訊向我們反映該媒體報導內容與事實有落差，今天獨家向我們提出進一步說明，關於發生的狀況，他們提出兩點說明。</p> <p>第一，D-View的程式碼並未遭竊。<br /> 第二，資料外洩的範圍，是2015年底就已下架的D-View 6會員註冊網站用程式碼，內容為過期的備份資料，多為半公開、低敏感資料；2016年後的D-View用戶權益，未受影響。</p> <p>從該公司新的說明來看，他們首度證實的確有程式碼外洩的情況，但外流的並非駭客宣稱的D-View原始碼，而是舊的會員註冊網站的程式碼。</p> <p>而針對該公司日前因生產的網路設備、網路攝影機漏洞遭到利用，引發外界疑慮的情況，他們也提出兩點說明。</p> <p>第一，過往被針對的設備，多為已經達到或即將生命週期結束（EOL）的產品，而且，該公司在2020年10月通過IEC62443-4-1產品安全開發流程認證之後，設備安全有明顯改善。<br /> 第二，對於美國聯邦貿易委員會（FTC）於2017年控告友訊路由器及攝影機軟體安全性不足一事，該公司強調是在幾乎確定他們勝訴的情況下，FTC主動提出和解，協議條件與稽核報告時效最短，為其他公司的一半。</p> </div></div></div>
2023/10/19 20:34作者周峻佑https://www.ithome.com.tw/news/159381
金管會正式發布金融業運用AI原則，放寬業者使用AI皆須人為判斷的一致性規範
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會10月17日正式發布金融業運用人工智慧之核心原則與相關推動政策，包含6項核心原則及8項配套政策，金管會綜合規劃處處長胡則華說明原則相較草案的部分修正處，包含，修改業者使用所有AI工具時，都須進行人為判斷的原則，修正AI系統定義，和新增生成式AI定義。另外，8項配套政策並未進行修正。</p> <p>這次發布的原則相較8月宣布的草案，共修正五處內容。草案中曾提及，金融機構如運用生成式AI協助進行決策，不宜將其產生的資訊作為判斷或決策的唯一依據。這條原則曾造成外界誤解，認為使用非生成式AI就可以作為判斷或決策的唯一依據，因此將該句刪除，改為金融機構使用AI應以風險為基礎做出適當決策和監督。胡則華解釋，由於金融業運用AI的案例不少，較為簡單的AI工具，如客服機器人，未必需要進行最後的人為判斷或決策，因此進行這項修正。</p> <p>雖然不必在使用每個AI工具時，都進行最終人為判斷，金管會仍認為，金融機構最初在設計AI工具時，就要放入相關管控機制，因此，原則也要求金融機構在處理生成式AI產出資訊時，要就風險進行管控。此外，考量金融機構非使用AI時，也未必都能達到公平，因此，正式原則也放寬使用AI系統時，要確保對所有人公平的規定，改為要求金融機構盡可能避免演算法的偏見造成不公平。</p> <p>金管會這次發布也放寬了金融機構運用AI系統向客戶提供金融服務時，應提供退出AI服務選項，或給予人工替代方案的規定，改為提醒客戶是否有替代方案即可。此外，針對使用生成式AI辦理業務時，應適當揭露的規定，胡則華說明，過往金管會制定這條規範，目的是讓金融機構在提供金融服務時，客戶能了解談話對象是AI，而非真人，不過，有業者反映，部分使用AI的業務是面向內部員工，因此，金管會修正這項原則，改為金融機構使用AI與消費者直接互動時，才應適當揭露。</p> <p>此外，金管會也修改了原則中對AI的定義，改以經濟合作暨發展組織(OECD)的「AI系統」定義為準，並依據歐盟的人工智慧法草案，定義生成式AI為特別用以生成具有不同自主程度之文章、圖像、音訊或影片等內容的AI系統。</p> </div></div></div>
2023/10/19 17:37作者李昀璇https://www.ithome.com.tw/news/159380
【資安日報】10月19日，互動式運算平臺Jupyter Notebook遭到鎖定，駭客部署惡意程式，從中挖礦並盜取雲端…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在程式開發與資料科學領域常用的Jupyter Notebook，傳出遭到網路攻擊鎖定的情況，<a href="https://www.ithome.com.tw/news/157762#pyloose">今年7月有人將其用於散布惡意程式PyLoose</a>，將這種伺服器拿來挖礦牟利，如今針對這類運算平臺的攻擊行動再度出現。</p> <p>資安業者Cado揭露的Qubitstrike，正是這種型態的惡意行為，但不同的地方在於，駭客除了將伺服器的運算資源拿來挖礦，也企圖找尋組織的雲端服務帳密資料，進一步擴大危害的範圍。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="http://www.cadosecurity.com/qubitstrike-an-emerging-malware-campaign-targeting-jupyter-notebooks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">攻擊行動Qubitstrike鎖定Jupyter Notebook伺服器部署惡意程式，竊取AWS、Google Cloud帳密</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Qubitstrike4-32.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Qubitstrike4-32.png" style="width: 300px; float: right;" /></a>資安業者Cado揭露鎖定Jupyter Notebook的攻擊行動Qubitstrike，駭客疑似透過物聯網搜尋引擎Shodan，尋找曝露在網際網路上的Jupyter Notebook伺服器下手，手動下達命令，先是確認處理器的型號，以及能否存取root帳號，並尋找可下手的帳密資料，接著下載、執行以Base64演算法加密的指令碼mi.sh，啟動挖礦軟體XMRig，並植入攻擊者的SSH金鑰，以便持續存取root帳號，隨後部署名為Diamorphine的Rootkit程式，以及竊取AWS、Google Cloud等帳密資料，並透過SSH將這些資訊外流，最終使用Telegram機器人的API回傳給駭客。</p> <p>過程中駭客也利用名為kthreadd的工具清除其他攻擊者的惡意酬載，以及下達netstat指令而關閉其他連線。研究人員指出，駭客運用即時通訊軟體Discord做為C2，並透過程式碼代管平臺Codeberg存放惡意軟體，而使得攻擊行動更難被察覺。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/10/18/multiple-north-korean-threat-actors-exploiting-the-teamcity-cve-2023-42793-vulnerability/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客組織利用CI/CD系統TeamCity漏洞發動供應鏈攻擊</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fig5-Diamond-Sleet-SLL-search-order-hijacking.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig5-Diamond-Sleet-SLL-search-order-hijacking.png" style="width: 300px; float: right;" /></a>微軟針對北韓駭客組織Lazarus（亦稱Zinc、Diamond Sleet），以及旗下團體Andariel（亦稱Onyx Sleet）近期的攻擊行動提出警告，這些駭客的目標是持續整合與持續部署系統TeamCity，因為此系統有個重大漏洞CVE-2023-42793（CVSS風險評分為9.8）。</p> <p>但是，兩組人馬的攻擊手段不同。Lazarus若成功入侵TeamCity伺服器，就會從先前遭駭的其他基礎設施下載後門程式ForestTiger，建立名為Windows TeamCity Settings User Interface的排程工作，以便該後門程式在每次電腦開機後就會執行，截取本機安全認證子系統服務（LSASS）在記憶體存放的帳密資料。此外，這些駭客也有可能透過PowerShell下載惡意DLL檔案，進行DLL搜尋順序挾持（DLL search-order hijacking）攻擊。</p> <p>Andariel則是利用上述漏洞，在受害主機建立新的使用者帳號並加入管理員群組，接著，從駭客的基礎設施下載惡意酬載HazyLoad，停止TeamCity服務並透過LSASS，以及其他作案工具，並且搜刮目標主機的各式帳密及資料。</p> <p><a href="https://blog.google/threat-analysis-group/government-backed-actors-exploiting-winrar-vulnerability/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國、俄羅斯駭客利用壓縮軟體WinRAR漏洞於受害電腦執行任意程式碼</span></strong></a></p> <p></p> <p>上週資安業者DuskRise發現俄羅斯駭客利用壓縮軟體WinRAR漏洞CVE-2023-38831發動攻擊，有研究人員指出，有多個駭客組織跟進利用這項漏洞。Google旗下的威脅情報小組（TAG）指出，他們偵測到俄羅斯駭客組織Sandworm（亦稱FrozenBarents）、APT28（亦稱FancyBear、FrozenLake），以及中國駭客組織APT40（亦稱IslandDreams）的攻擊行動。</p> <p>Sandworm於9月初假借烏克蘭無人機軍事訓練招生的名義寄送釣魚郵件，散布竊資軟體Rhadamanthys，收集瀏覽器帳密及連線階段（Session）資訊；APT28則是針對烏克蘭政府官員下手，假冒智庫發送釣魚信，攻擊該國能源基礎設施（CI），引誘下載惡意壓縮檔，於受害電腦植入PowerShell指令碼Ironjaw；而對於APT40的漏洞攻擊行動，該組織針對巴布亞紐幾內亞的民眾散布釣魚郵件，信件內容包含Dropbox下載連結，若依裡面的指示開啟網址，會取得含有上述漏洞的ZIP壓縮檔，有可能導致電腦被感染後門程式Boxrat。</p> <p><a id="d-link" name="d-link"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對10月初發生的資料外洩事故，友訊科技提出進一步說明</span></strong></a><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);"></span></strong></p> <p></p> <p>根據<a href="https://www.bleepingcomputer.com/news/security/d-link-confirms-data-breach-after-employee-phishing-attack/">資安新聞網站Bleeping Compuer報導</a>，有人宣稱竊得臺灣網路設備廠商友訊科技（D-Link）的網路管理軟體D-View的原始碼，並握有該公司300萬用戶資料，在駭客論壇兜售，<a href="https://supportannouncement.us.dlink.com/announcement/publication.aspx?name=SAP10359">該公司也在10月2日證實資料外洩情事</a>。</p> <p>友訊昨日向我們反映該媒體報導內容與事實有落差，今天提出進一步說明，關於發生的狀況，他們提出兩點說明。</p> <p>第一，D-View的程式碼並未遭竊。<br /> 第二，資料外洩的範圍，是2015年底就已下架的D-View 6會員註冊網站用程式碼，內容為過期的備份資料，多為半公開、低敏感資料；2016年後的D-View用戶權益，未受影響。</p> <p>從該公司新的說明來看，他們首度證實的確有程式碼外洩的情況，但外流的並非駭客宣稱的D-View原始碼，而是舊的會員註冊網站的程式碼。</p> <p>而針對該公司日前因生產的網路設備、網路攝影機漏洞遭到利用，引發外界疑慮的情況，他們也提出兩點說明。</p> <p>第一，過往被針對的設備，多為已經達到或即將生命週期結束（EOL）的產品，而且，該公司在2020年10月通過IEC62443-4-1產品安全開發流程認證之後，設備安全有明顯改善。<br /> 第二，對於美國聯邦貿易委員會（FTC）於2017年控告友訊路由器及攝影機軟體安全性不足一事，該公司強調是在幾乎確定他們勝訴的情況下，FTC主動提出和解，協議條件與稽核報告時效最短，為其他公司的一半。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://securityaffairs.com/152645/hacking/synology-diskstation-manager-admin-account-takeover.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">群暉網路設備作業系統DiskStation Manager存在漏洞，管理員帳號有可能遭挾持</span></strong></a></p> <p></p> <p>資安業者Claroty本週揭露群暉NAS作業系統DiskStation Manager（DSM）的漏洞CVE-2023-2729，是他們先前參與漏洞挖掘競賽Pwn2Own所找到的。這項弱點出現於不安全的JavaScript功能Math.random()，用途是產生NAS設備的管理員帳號。</p> <p>在特定情況下，攻擊者有可能藉此取得足夠的資訊，還原虛擬亂數產生器（Pseudorandom Number Generator，PRNG）的種子初始值，從而重組管理員的密碼，進而掌控NAS，CVSS風險評分為5.9，影響執行DSM 7.2版作業系統的設備。</p> <p>對此，群暉獲報後於6月發布資安通告，指出該漏洞影響DSM 6.2、DSM 7.0、DSM 7.1、DSM 7.2，以及DSMUC 3.1，他們針對DSM 7.2推出7.2-64561版修補，並表明其他受影響版本將不予處理，但並未說明原因。</p> <p>資料來源</p> <p>1. <a href="https://claroty.com/team82/research/synology-nas-dsm-account-takeover-when-random-is-not-secure">https://claroty.com/team82/research/synology-nas-dsm-account-takeover-when-random-is-not-secure</a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.synology.com/zh-tw/security/advisory/Synology_SA_23_07" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--1469235863" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.synology.com/zh-tw/security/advisory/Synology_SA_23_07</span></a></p>  <p><a href="https://www.securityweek.com/oracle-patches-185-vulnerabilities-with-october-2023-cpu/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Oracle發布2023年第4季更新，修補185個漏洞</span></strong></a></p> <p></p> <p>10月17日Oracle發布2023年10月重大修補更新（CPU），總共提供了387個修補程式，當中有40個針對重大漏洞而來，逾200個緩解未經身分驗證就能遠端利用的漏洞。資安新聞網站SecurityWeek指出，這份公布涵蓋185個具有CVE編號的漏洞，有不少同時存在多種產品。</p> <p>從產品被修補的漏洞數量來看，本次修補最多的產品是Financial Services Applications，總共修補103個漏洞，其中有49個可被遠端利用，且無須通過身分驗證；其次是Oracle Communications，本次揭露與修補91個漏洞、當中的60個需儘快處理，因為攻擊者可在未經身分驗證的情況下，遠端觸發漏洞。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/hacker-leaks-millions-of-new-23andme-genetic-data-profiles/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">基因檢驗業者23andMe傳出資料外洩，410萬筆記錄流入駭客論壇</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/ukrainian-activists-hack-trigona-ransomware-gang-wipe-servers/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">烏克蘭駭客對勒索軟體Trigona下手，破壞其基礎設施</span></span></strong></a></p> <p></p> <p><a href="https://thehackernews.com/2023/10/lazarus-group-targeting-defense-experts.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">國防專家遭北韓駭客Lazarus鎖定，假借採訪名義散布木馬化VNC應用程式</span></span></strong></a></p> <p></p> <p><a href="https://securelist.com/updated-mata-attacks-industrial-companies-in-eastern-europe/110829/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">東歐工業組織遭到後門程式框架Meta攻擊</span></span></strong></a></p> <p><a href="http://www.mandiant.com/resources/blog/remediation-netscaler-adc-gateway-cve-2023-4966"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">本月修補的Citrix NetScaler漏洞傳出8月就被用於攻擊行動</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159361"><strong>【10月18日】使用Telegram、AWS、阿里雲的開發人員遭到鎖定，駭客透過PyPI套件發動供應鏈攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159329"><strong>【10月17日】駭客假借提供以色列民眾空襲警報應用程式，意圖搜括安卓手機用戶各式資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159306"><strong>【10月16日】 Skype用戶注意！駭客利用外洩帳號發送訊息，透過內嵌VBA指令碼的檔案散布惡意程式DarkGate</strong></a></p> </div></div></div>
2023/10/19 16:54作者周峻佑https://www.ithome.com.tw/news/159379
台灣大哥大以AI 2.0技術優化智能客服機器人，提高對用戶提問的理解及回答正確率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>台灣大現有700多萬行動用戶，近期公平交易委員會終於通過台灣大哥大與台灣之星合併案，未來兩家業者完成合併之後，旗下行動用戶規模將一舉提高至近千萬，勢必增加客服工作量。近期台灣大哥大分享科技轉型部分成果，針對客戶服務方面，運用大型語言模型等AI 2.0技術，來提升智能客服機器人對用戶提問的理解，以及回答的正確率。</p> <p>目前台灣大每月約有149萬次的用戶需求進線到客服中心，為處理如此大量的用戶需求，台灣大哥大的客服中心現有約1,500位真人客服，提供7x24客戶服務，除了真人客服團隊接聽電話，台灣大也透過App、官網、IVR提供客戶自助服務，每個月使用量超過600萬次，通過這些線上客戶自助服務，一方面分擔真人客服的工作量，另方面也能降低服務成本。</p> <p>台灣大也開發智能客服機器人小麥，來分擔真人客服工作，應對用戶每月提出各式各樣問題需求，這個運用AI技術打造的ChatBot，平均每月回覆42萬次提問，滿意度達到95%。</p> <p>然而，客服團隊仍希望通過AI 2.0技術，提升自助服務能力，他們和IT團隊合作，分為兩階段，首先是讓文字服務機器人更善解人意，能夠更精準理解客戶的問題，提供更精準的答覆，其次是增加語音類型的服務機器人，能聽懂客戶的提問，以語音回客戶的問題。台灣大希望以此擴大客戶服務範疇，降低服務成本。</p> <p>台灣大哥大資訊長室資深處長吳竹松指出，從直覺來看，企業會將資料提供語言模型進行優化調整，再讓語言模型來回答用戶的提問，結果發現語言模型生出錯誤答案，因為大型語言模型是天文數量的資料訓練，但企業資料的佔比可能低於1%，語言模型會根據過去學習資料來生成回答內容，因此有很大機率產生錯誤答案。</p> <p>因此，他們改變作法，先將企業的知識點資料庫，轉換為語言模型能運算的向量空間，讓語言模型理解客戶的提問，在向量空間內作信度計算，將信度最高的答案回答出來，確保語言模型能回應正確的回答，而非任意生成回答。如果企業的知識點不足，則利用語言模型善於文字接龍的特性，在後臺擴充知識。</p> <p>吳竹松表示，採用AI 2.0優化後，客服機器人小麥相比先前的技術，對於客戶艱澀難懂的提問，語言模型的回答正確率提高3倍之多，後臺原本將近1萬的知識點，也利用語言模型的文字接龍能力，以每周0.2%的速度持續增加。智能客服機器人經過優化後，客戶的滿意度、回答的正確率皆提高。</p> <p>其次是打造語音型客服機器人，台灣大哥大展示一段AI客服語音對話，運用ASR語音辨識技術，AI客服能辨識用戶提問中所夾雜的國台語、英文，且能辨識企業服務的特殊用語，來正確回應客戶的問題。另外，還展示運用語音生成技術，以真人的語音資料，展示能模仿真人發聲的模型，可控制說話的音調及語速快慢。</p> <p>吳竹松表示，在開發AI 2.0的客服機器人過程中，企業面臨許多的挑戰，這些挑戰可歸類為4類，第一是挑選適合的語言模型，如何訓練及運用模型，第二是讓訓練好的語言模型和企業應用整合，第三是如何在企業有限的預算下，使用GPU運算訓練模型，第四個挑戰則是從文字型的ChatBot，發展語音ChatBot。</p> <p>台灣大將自身經驗及服務，整合打包為AI 2.0方案，為AIaaS（AI as a Service）的一站式服務，包括在底層的基礎架構方面，提供多雲、混合雲架構的GPU運算，企業可選擇使用的LLM模型，例如台智雲的FFM（Formosa Foundation Model），台灣大也與台智雲合作，按Token使用計算費用。此外，也提供Tool Kit工具，以及ASR語音辨識、TTS語音生成工具。</p> </div></div></div>
2023/10/19 15:25作者蘇文彬https://www.ithome.com.tw/news/159375
歐洲央行將於11月邁入數位歐元的準備階段
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>負責制定歐元體系決策的<a href="https://www.ecb.europa.eu/press/pr/date/2023/html/ecb.pr231018~111a014ae7.en.html" target="_blank">歐洲央行管理委員會（Governing Council of European Central Bank，ECB）周三（10/18）宣布</a>，已結束為期兩年的數位歐元調查階段，將於11月1日邁入同樣為期兩年的數位歐元準備階段，可望制定數位歐元的正式規則，並遴選開發數位歐元平臺及基礎設施供應商。</p> <p>同一天歐洲資料保護委員會（European Data Protection Board，EDPB）與歐洲資料保護監管機關（European Data Protection Supervisor，EDPS）<a href="https://edpb.europa.eu/news/news/2023/digital-euro-ensuring-highest-data-protection-and-privacy-standards_en" target="_blank">即共同發表了意見</a>，針對數位歐元的個人資料及隱私保護提出了建議。</p> <p>歐洲央行是在2021年的7月宣布啟動數位歐元專案（Digital Euro Project），第一階段是為期兩年的調查，探索數位歐元的設計與分派問題，<a href="https://www.ecb.europa.eu/paym/digital_euro/investigation/profuse/shared/files/dedocs/ecb.dedocs231018.en.pdf" target="_blank">調查報告</a>已於本周出爐，並已根據調查結果設計了一款數位歐元，將由諸如銀行等受到監督的機構負責分派，並讓公民與企業方便存取。</p> <p>該設計將數位歐元視為現金的數位形式，適用於歐元區的所有數位支付，免費供基本使用且容易取得，亦同時支援在線與離線使用，具備最高等級的隱私，讓使用者可立即以銀行資金結算付款，可應用在政府交易、電子商務、銷售端或是個人之間的匯款。</p> <p>至於即將於11月進入的準備階段則將確定數位歐元的規定，遴選開發數位歐元平臺與基礎設施的供應商，也會展開各種測試與實驗以開發一款同時符合歐元體系及使用需求的數位歐元，例如使用者經驗、隱私、金融包容性及環境足跡等。之後再決定是否進入下一個階段。</p> <p>ECB表示，進入準備階段與是否發行數位歐元無關，數位歐元的發行必須在歐盟完成相關立法之後，再由ECB接手審理。此外，歐洲央行也強調，數位歐元將與實體現金並存，人們將永遠可使用實體現金。</p> <p>而EDPB與EDPS兩大歐洲資料保護機構則趕在規則制定之前，共同提出了許多建議，以確保未來的數位歐元符合個人資料及隱私保護的最高標準。包括建議僅處理數位歐元用戶的必要個人資料，避免歐洲央行或其它國家的央行過度集中個人資料；並應部署隱私門檻，不追蹤離線交易與低價的線上交易，以避免個人隱私在反洗錢及反資助恐怖主義的政策下遭到危害。</p> </div></div></div>
2023/10/19 15:47作者陳曉莉https://www.ithome.com.tw/news/159376
網飛營收成長7.8%，即日起調漲美國、英國及法國費率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大影片串流平臺網飛（Netflix）周三（10/18）公布<a href="https://s22.q4cdn.com/959853165/files/doc_financials/2023/q3/FINAL-Q3-23-Shareholder-Letter.pdf" target="_blank">今年第三季財報</a>，顯示該季網飛營收成長了7.8%，達到85億美元，每股盈餘為3.73美元，付費會員數則增加了10.8%，達到2.47億人，同一天也宣布調漲美國、英國及法國特定方案的費率，由於財報超乎預期，使得網飛當天盤後大漲12.51%，股價達到389.651美元。</p> <p>網飛表示，該季的營收高於原本的預期，主要是因為該季淨增的付費人數達到876萬，遠高於去年同期的241萬，這有賴於付費共享政策在全球市場的推動，而該季創下了22.4%的營業利益率，亦高於先前所預期的22.2%。</p> <p>網飛是在<a href="https://www.ithome.com.tw/news/156466" target="_blank">今年第二季</a>著手於全球市場部署付費分享政策，要求那些與未同住親友分享帳號的用戶必須額外支付分享費用。網飛表示，從這兩季的表現看來，因應該政策而取消訂閱的用戶反應低於預期，從分享他人帳號轉成付費用戶則展現了良好的保留率，使得網飛在每個地區的營收都呈現正成長。</p> <p>此外，即日起網飛也將調整美國、英國與法國的費率。其中，美國的廣告與標準方案將維持在6.99美元及15.49美元，但基本（Basic）方案將從9.99美元漲至11.99美元，高級（Premium）方案則從19.99美元漲至22.99美元。</p> <p>同樣的，英國與法國的廣告及標準方案價格維持不變，但英國的基本及高級方案分別漲至7.99英鎊與17.99英鎊，法國的基本與高級方案則漲至10.99歐元與19.99歐元。</p> <p>至於<a href="https://www.ithome.com.tw/news/153633" target="_blank">上線</a>不到一年的廣告版服務目前尚未對網飛帶來太多營收，但網飛對該服務依然抱持著樂觀的態度，指出排除中國及俄羅斯市場，全球廣告市場規模高達1,800億美元，相信隨著時間的推移，未來將會替網飛帶進數十億美元的營收。</p> </div></div></div>
2023/10/19 14:38作者陳曉莉https://www.ithome.com.tw/news/159374
Amazon明年要在英國與義大利部署無人機送貨服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/operations/amazon-prime-air-drone-delivery-updates" target="_blank">Amazon今日（10/19）宣布</a>，去年底開始於德州College Station與加州Lockeford實施的無人機送貨服務，將在明年擴大至美國第三個州，以及英國及義大利市場，也將以全新的MK30無人機來取代現行的MK27-2。<a href="https://www.aboutamazon.com/news/retail/amazon-pharmacy-amazon-air-prescription-drone-delivery" target="_blank">另也宣布</a>College Station地區用戶將可選擇以無人機來遞送於Amazon Pharmacy所購買的藥物。</p> <p>Amazon是在去年12月啟用無人機送貨服務，但迄今也僅限於德州及加州的兩個區域，現在Amazon則準備擴大該服務，於美國第三個州提供無人機服務，並將首度跨出美國市場，在英國及義大利也推出無人機送貨，但預計要到明年底才會實現。</p> <p>隨之登場的則是Amazon所設計的<a href="https://www.aboutamazon.com/news/transportation/amazon-prime-air-drone-delivery-mk30-photos" target="_blank">新一代無人機MK30</a>，除了應用在新市場之外，也會在明年底取代現有的MK27-2。MK30比MK27-2更輕、更小臺，也有更好的天氣耐受度，可於小雨中飛行，噪音只有MK27-2的一半，Amazon宣稱它比居民平常會在鄰里間聽到的聲音更小，且飛行距離是MK27-2的兩倍，將可服務更多的民眾。Amazon並未公布MK30的飛行距離，但外電報導它可飛行9哩（約14.5公里）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1019-Amazon-new%20Prime%20Air%20delivery%20drone-MK30-600.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Amazon</span></span></p> <p>不過，MK30可遞送的包裏重量與MK27-2相當，都是可在一小時內遞送5磅（約2.27公斤）的商品，可能是家用品、日常必需品、美容商品、辦公室商品或科技商品等。</p> <p>以往Amazon只在獨立的Prime Air交付中心部署無人機，但未來將會把無人機整合到傳統的Amazon遞送網路，並將部署於某些當日遞送站。</p> <p>至於College Station的居民則能在Amazon Pharmacy購物並結帳時，選擇以無人機送貨，藥劑師將會確保消費者所選購的藥品可在之後的1小時內送到家門口。</p> <p>無人機送貨服務有賴各國的政策支持，義大利國家民航局（National Civil Aviation Authority，ENAC）局長Pierluigi Di Palma表示，ENAC致力於推動先進空中交通的創新，創造一個有利於新服務發展的生態系統，且義大利的經驗將可用來支援及啟發其它地區的無人機安全經營。</p> <p>而負責航空的英國交通部政務次長Baroness Vere則說，將與Amazon一起推動雙方的共同願景，讓商用無人機在2030年成為普及的英國服務。</p> </div></div></div>
2023/10/19 12:59作者陳曉莉https://www.ithome.com.tw/news/159372
微軟開源雲端原生應用程式開發平臺Radius
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周宣布可開發跨Azure及AWS的雲端原生應用程式的開發平臺<a href="https://cloudblogs.microsoft.com/opensource/2023/10/18/enabling-developer-collaboration-with-radius/" target="_blank">Radius第一版</a>，並開源給開發社群。</p> <p>Radius源自微軟資產生命周期管理軟體Aladdin。微軟指出，Radius是為解決跨本地部署環境、Azure及Amazon Web Services（AWS）應用程式開發、部署及管理任務而設計的單一工具。Radius支援現今最主要的雲端工具，包括Kubernetes、開發工具如Dapr、基礎架構即程式（Infrastructure as code，IaC）語言工具如Terraform及Bicep，也能整合現有程式持續整合及持續交付（CI/CD）系統如GitHub Actions。</p> <p>微軟也公布Radius開源第一版本的功能。Radius的Connections功能可透過權限許可及連線字串自動將元件連結到應用程式，使用一致化的API將App連結到底層資源（如Azure CosmosDB、AWS DocumentDB、或MongoDB）。Recipes功能則可儲存App使用的基礎架構滿足成本、營運和安全要求，並提供應用圖表（graph）顯示App和基礎架構的關聯，提供管理員直覺的管理功能。Radius可幫助開發人員了解所有應用組成元件，並且管理平臺配置，像是權限許可、連線字串等，確保所有App可遵循組織政策，再以Radius管理應用程式及資源。</p> <p>微軟強調Radius支援多種雲端平臺及本地部署。微軟和第三方合作夥伴如BlackRock、Comcast、Millennium BCP合作，以確保Radius能執行在任何雲上。第一版支援Azure及AWS，未來會再增加其他雲端環境的支援，包括Google Cloud、Alibaba Cloud等。</p> <p>開發人員或管理員可透過<a href="https://docs.radapp.io/getting-started" target="_blank">Radius網頁</a>開始使用Radius或取得相關資源。</p> </div></div></div>
2023/10/19 13:10作者林妍溱https://www.ithome.com.tw/news/159373
OpenAI正式開放ChatGPT Bing網頁搜尋，公測DALLE-3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/blog/dall-e-now-available-in-beta" target="_blank">OpenAI周三宣布</a>兩大生成式AI服務新進展，包括文字生成聊天機器人ChatGPT網際網路搜尋服務全面上線，以及文字轉圖片模型服務DALLE-3展開公測。</p> <p>OpenAI首先宣布Browse with Bing功能脫離beta版成為正式功能。這項功能今年6月宣布提供給付費版用戶。新功能讓ChatGPT可透過Bing查詢網際網路即時資訊，包括運動賽事比分、企業股價或氣象等。但上線一周後被發現可用來繞過網路出版商的付費牆而在7月初關閉。<a href="https://www.ithome.com.tw/news/159016" target="_blank">兩周前OpenAI宣布</a>ChatGPT Browse with Bing功能重新上線，提供給ChatGPT Plus及ChatGPT Enterprise用戶。兩類用戶現在不再需要從設定頁切換到beta版，只要GPT-4模型的選擇器中選擇「Browse with Bing」即可使用Bing網路搜尋。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0928-openai-browse%20with%20bing.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_OpenAI</span></p> <p>9月時OpenAI曾預告，這項功能最後開放給所有用戶。</p> <p>此外，讓用戶輸入文字生成圖片的生成式AI模型DALL-E 3，也在本周稍早開放beta版公測。<a href="https://help.openai.com/en/articles/6825453-chatgpt-release-notes" target="_blank">DALL-E 3於7月以邀請制</a>展開限定測試，當時找了100萬人。經過3個月的測試，現在DALL-E 3提供所有人公測，DALL-E 3已整合到ChatGPT，允許用戶輸入小從簡單一句話到詳細的文字段落，由ChatGPT生成圖片。在桌機版或手機版上，到GPT-4選擇器選擇DALL-E 3即可啟用這項功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0921-DALL%C2%B7E%203-OpenAI-960.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_OpenAI</span></p> </div></div></div>
2023/10/19 11:36作者林妍溱https://www.ithome.com.tw/news/159367
中俄國家駭客涉嫌濫用WinRAR零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全研究人員發現，知名檔案壓縮軟體WinRAR稍早被發現的零時差漏洞，之後仍然被俄羅斯及中國國家駭客濫用發動攻擊。</p> <p><a href="https://www.ithome.com.tw/news/158421" target="_blank">安全廠商Group-IB 7月偵測到</a>，WinRAR編號CVE-2023-38831的漏洞遭駭客濫用，用以散布DarkMe等惡意程式。攻擊者可以製作惡意.ZIP或.RAR壓縮檔，當中包含無害檔案（例如.jpg、.txt或PDF檔等）及惡意執行檔，並以無害檔名為資料夾命名。當使用者點擊並試圖解壓縮看似合法的檔案時，即被安裝惡意程式。安全廠商偵測到，CVE-2023-38831最早從今年4月開始被濫用，針對加密貨幣交易用戶進行攻擊，旨在感染裝置取得交易平臺帳密，藉以竊取財物。WinRAR維護單位RARLab在接獲安全廠商通報後，已在7月20日發布WinRAR 6.23版本解決本漏洞，也呼籲用戶應儘速更新到最新版本。</p> <p>尚未修補的用戶要格外留意了，因為<a href="https://blog.google/threat-analysis-group/government-backed-actors-exploiting-winrar-vulnerability/" target="_blank">Google威脅分析小組（Threat Analysis Group，TAG）接連偵測</a>到三組國家駭客持續在濫用CVE-2023-38831。首先是FROZENBARENTS，它隷屬於俄羅斯軍方，又稱為Sandworm。Sandworm/Frozenbarents目標向來是政府、國防、能源、運輸等組織。9月初這個組織散發假冒烏克蘭無人機軍事訓練學校的招生郵件以散布惡意檔案（下圖）。Sandworm罕見地使用惡意程式即服務Rhadamanthys進行攻擊。不知情的用戶點擊壓縮檔後會被安裝竊密程式Rhadamanthys，後者會蒐集受害者電腦中的瀏覽器帳密及會話資訊。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/Image_4_-_Training_of_drone_oper.width-1000.format-webp.webp" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Google</span></p> <p>TAG另於9月初偵測到稱為FrozonLake（又稱為FancyBear）的駭客組織針對烏克蘭政府官員發動精準網釣攻擊，目標在攻擊該國能源基礎架構。FrozonLake/FancyBear發送冒充烏克蘭智庫的信件，將其導向代管於免費供應商的網站，並誘使其下載惡意壓縮檔。開啟壓縮檔會導致執行名為Ironjaw的PowerShell腳本程式，竊取瀏覽器登入資料，以及本機狀態目錄內的資料。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/Image_6_-_IRONJAW_script_using_P.width-1000.format-webp.webp" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></p> <p>Google研究人員也觀察到中國國家駭客Islanddreams，即APT 40，於8月底濫用CVE-2023-38831網釣攻擊巴布亞紐幾內亞用戶。一旦用戶點擊惡意壓縮檔，即會執行並於電腦記憶體中安裝.NET後門程式Boxrat，藉此在受害者電腦長期潛伏以滲透攻擊。APT40隷屬於中國海南省，目標通常是對「一帶一路」計畫有影響力的國家，然也會鎖定各國政府贊助的專案。不過Google未說明這次APT 40的攻擊目標。</p> </div></div></div>
2023/10/19 11:53作者林妍溱https://www.ithome.com.tw/news/159368
【資安月報】2023年9月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年9月的資安新聞中，國家級駭客組織威脅日益嚴峻的議題，成為最受關注的焦點之一。</p> <p>最讓我們印象深刻就是，我們的iThome總編輯吳其勳在9月中旬應邀前往美國華盛頓特區，參加Mandiant舉辦的mWISE Conference 2023資安防禦會議，直擊了美國政府官員與資安大廠專家們對於當今網路攻擊局勢的看法與解析，當中並探討了中國駭客網攻對國家、企業與民生所帶來的危害與嚴重性。</p> <p>特別的是，身為美國國內的情報與安全機構，也是美國主要聯邦執法機關的美國聯邦調查局（FBI），該單位最高負責人亦現身這場大會，闡述國家級駭客與網路犯罪的問題，並指出中國策畫的駭客攻擊規模，已經遠比其他所有主要駭客國家攻擊規模加總還大，甚至指出FBI所有資安專家面對人數50倍以上中國駭客的局勢。</p> <p>這樣的第一手消息報導，不像往常資安日報所匯整的眾多資安攻擊事件與資訊，多是間接透過研究報告發布而取得，因此也讓應邀參與的我們，以身為長期關注臺灣資安動態的媒體角度，在這場活動當中更深刻感受到，國家級駭客發動大規模網攻的嚴重性。</p> <p>對於臺灣而言，我們多年來飽受中國駭客攻擊威脅，因此這場會議的一些內容，也值得我國政府或企業的一再重視，尤其是聯防、情資與善用AI技術的對抗策略。當然，對於俄羅斯與北韓駭客的網攻威脅，我們同樣也要留意。</p> <h3><strong>面對大50倍的中國駭客人數，FBI局長呼籲公私聯防</strong></h3> <p>具體而言，在這場會議中，除了有多項2023年最新網路威脅趨勢、挑戰與經驗的探討，其中關於講述重大地緣政治事件與新技術需求下，威脅格局的改變的議題上，在今年mWISE Conference 2023大會上有不少這方面的內容，也是我們特別留意的重點。</p> <p>首先，最令我們印象深刻的是，<a href="https://www.ithome.com.tw/news/158829">美國聯邦調查局（FBI）局長Christopher Wray</a>親臨現場，向與會者說明他們正在面對的國家級駭客攻擊挑戰。他指出，隨著中國、俄羅斯、伊朗和北韓的網路攻擊，對全球的威脅持續是有增無減，因此相當需要公部門與民間產業合作，來對抗這些威脅。</p> <p>Christopher Wray表示，自2001年發生911恐怖攻擊事件後，FBI已經體認到，國家安全相當需要依賴合作夥伴關係與情資分享，而要維護網路空間的安全也是如此。</p> <p>但是，現今FBI正面臨著新的嚴峻挑戰，就是中國支持的駭客組織威脅，已帶來網路環境攻防失衡的局勢。</p> <p>例如，Christopher Wray指出，中國政府多年來一直在竊取美國的智慧財產與資訊。他持續向外界告誡此事。</p> <p>更令大家震撼的是，他坦承，「中國駭客人數是FBI所有資安專家的50倍以上」，並表明，若要應付中國的網路攻擊，FBI人力遠遠不足。因此，他強調，公私聯防，情資分享，以及善用AI技術，將會是最重要的對抗策略。</p> <p>同時他也提醒，這些網路犯罪組織和敵對外國政府，現在已經在濫用AI技術，像是生成出深度偽造影片與惡意程式碼。</p> <p>這也讓我們感受到，近年全球都在談資安人才不足的挑戰，隨著全球格局的變化，美國對於網路威脅局勢的憂心更甚以往，從早年網路威脅以俄羅斯與北韓最常見，後續中國也成為主要攻擊者，如今2023年，中國的網路威脅更是已經擴大到，美國FBI局長都在公開場合表明，他們相當憂慮攻防失衡的局勢。</p> <h3><strong>Mandiant示警：中國網攻大轉型</strong></h3> <p>關於實際威脅，我們也看到這家資安業者進一步解析，他們與很多資安廠商再度確認，中國就是危害全球資安的重大禍源。例如，<a href="https://www.ithome.com.tw/news/159116">Google Cloud Mandiant主席Sandra Joyce揭發了今年中國網路間諜行動有所轉變</a>，在一些攻擊事件調查結果中，除了研判是中國政府有關連的UNC4841駭客組織發動，特別的是，在攻擊的目標上，中國駭客不僅是入侵多國政府機關，更開始染指多個民生關鍵基礎設施產業，2022年針對Barracuda ESG產品零時差漏洞（編號CVE-2023-2868）攻擊就是一例，有很多受害者皆是重要的民生關鍵基礎設施產業，而不僅是傳統針對政府機關、軍事國防、航太產業。</p> <p>此外，<a href="https://www.ithome.com.tw/news/159003">Google Cloud Mandiant行政總裁Kevin Mandia也特別揭露，近年來中國的網路攻擊戰略有三大轉變</a>，包括：</p> <p>（一）中國駭客近年逐漸捨棄社交工程手法，轉為更系統性挖掘零時差漏洞（Zero Day），可一次性發動大規模攻擊，帶來更強大的破壞力。</p> <p>（二）不只是有計畫性地挖掘零時差漏洞，並且經常鎖定網通設備，近年已有好幾次攻擊事件，就是中國駭客鎖定知名網通設備的零時差漏洞。</p> <p>而且，以今年情況來看，至9月前發現的62個零時差漏洞攻擊，調查後就發現一大部分是中國駭客攻擊。</p> <p>（三）中國網路攻擊朝向複雜匿蹤方式，主要挾持家用或中小企業路由器、IoT等設備，建構擴及全球的網路攻擊跳板。像是他們調查一美國軍事機構遭駭，首先查到的攻擊來源，是位於美國境內的家用路由器，再往後追查則面對複雜的網路跳接，這讓調查人員進度緩慢或難以溯源追查。</p> <p>綜合來看，國家級駭客組織威脅確實日益嚴峻，而上述提到中國駭客持續鎖定零時差漏洞攻擊的情形，如今也還在持續，以近期關於Confluence的零時差漏洞（CVE-2023-22515）攻擊為例，後續微軟威脅情資中心在10月11日揭露更多調查結果，指出幕後攻擊者是中國駭客組織Storm-0062。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/158662"><span style="color: rgb(178, 34, 34);">【資安週報】2023年9月4日到9月8日</span></a></strong></h2> <p>在這一週的漏洞消息中，最受關注的就是蘋果在7日緊急更新macOS、iOS，修補兩個零時差漏洞：CVE-2023-41064、CVE-2023-41061，揭露消息的加拿大公民實驗室，將這批漏洞鏈稱為BLASTPASS，並強調它們是可透過iMessageu傳送且不用使用者互動的零點擊漏洞，已在8月底發現有攻擊者藉此漏洞遞送Pegasus間諜程式。此外，Google的9月Android例行性安全更新中，也修補一個零時差漏洞CVE-2023-35674，並說明已遭攻擊者成功利用。</p> <p>還要注意的是，今年7月Adobe修補ColdFusion的3個漏洞（2023-29300、CVE-2023-38203、CVE-2023-38204），如今資安業者指出已有針對未修補用戶的攻擊行動。另外，我們在此補充本週資安日報未提及的一個重大漏洞消息。今年5月23日揭露的<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-33246">Apache RocketMQ漏洞CVE-2023-33246</a>，當時已釋出5.1.1版修補，最近<a href="https://vulncheck.com/blog/rocketmq-exploit-payloads">有資安業者發現，6月開始出現持續對此漏洞利用的行為</a>。</p> <p>在國際攻擊活動焦點方面，有6起事件值得關注，涉及勒索軟體、合作供應商遇害，國家關鍵基礎建設遭鎖定，以及網釣等形式的惡意行為。</p> <p>●英國柵欄設備製造商Zaun發布資安公告說明上月初遭勒索軟體LockBit攻擊，該國的軍事要塞採用該公司的產品，但因為駭客發動攻擊而拿到Zaun資料，以及駭客後續流出數千頁資料的影響，引發英國國防機密因合作廠商遭駭而外洩的事件。<br /> ●德國聯邦憲法保護局（BfV）發出報告指出，中國駭客組織APT15、APT31針對路由器、防火牆、NAS、網路印表機、智慧家電等家用IoT裝置的漏洞發動攻擊，接管這些裝置後，再用於向政府機關發動攻擊。<br /> ●烏克蘭電腦緊急應變小組（CERT-UA）揭露當地的能源基礎設施受到攻擊，並指出是遭俄羅斯駭客組織APT28攻擊行動鎖定。<br /> ●韓國資安業者揭露北韓駭客Lazarus旗下組織Andariel鎖定韓國國防工業，自今年開始使用多種惡意程式發動攻擊。<br /> ●有駭客組織GhostSec聲稱取得伊朗IT金融服務及IT服務業者FANAP的原始碼，並指出該公司的軟體被伊朗政府用於監控民眾。<br /> ●資安業者揭露中國駭客發起大規模釣魚簡訊攻擊行動Smishing Triad，攻擊者假冒多個郵政單位名義，透過遭駭的iCloud帳號對使用者發送iMessage訊息。</p> <p>另外，今年5月中國駭客Storm-0558入侵25個使用微軟電子郵件系統的組織，以及今年8月勒索軟體Akira鎖定思科SSL VPN設備的攻擊行動，近期都有更詳細的後續調查公布。</p> <p>而在最新的威脅態勢上，有三起事件值得留意，包括：勒索軟體駭客Ransomed竟以付贖金可免受GDPR巨額罰款的話術來進一步要脅，以及販售多種網釣工具W3LL Store的揭露，還有微軟SQL Server遭勒索軟體FreeWorld鎖定的消息。</p> <p>另有2份個資隱私研究出爐，大家應關注與敦促廠商強化相關防護，一份是針對瀏覽器安全設計的研究，美國的大學研究人員指出，Chrome、Firefox與Safari瀏覽器的安全設計不夠完善，若有心人士結合網站漏洞，可透過瀏覽器外掛程式，存取使用者密碼等機密資料：另一是個資保護政策在汽車品牌業者領域未獲重視，25個品牌均未達Mozilla最低安全標準，最離譜的是，廠商居然表示能蒐集車主的性活動，顯然與車輛無關的個資，卻又未說明如何蒐集。</p> <p>至於防禦態勢方面，在半導體資安、軟體開發與供應鏈安全領域有新動向。首先是SEMI E187資安標準規範，這一週舉行的國際半導體展臺灣場，宣布有首批設備通過合格性驗證，它們分別是均豪精密的AOI自動光學檢測設備，以及東捷科技的OHS空中行走式無人搬運系統：另一個進展是Google Cloud與GitLab宣布擴大合作，未來Google Cloud的開發人員可存取GitLab的DevSecOps平臺，而GitLab的用戶也可存取Google Cloud的軟體供應鏈安全框架SLSA評等，以及軟體物料清單（SBOM）。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/158777"><span style="color: rgb(178, 34, 34);">【資安週報】2023年9月11日到9月15日</span></a></strong></h2> <p>在這一週漏洞利用消息中，有多個零時差漏洞修補要優先重視，分別是：（一）微軟本月安全性例行性更新修補兩個零時差漏洞，包括已被公開且遭成功利用的Word的漏洞CVE-2023-36761，以及已遭成功利用的串流服務相關的漏洞CVE-2023-36802；（二）Google、Mozilla先後修補Chrome、Firefox/Thunderbird漏洞CVE-2023-4863，Google指出此零時差漏洞已被外部人士利用，且所有支援WebP圖像處理的瀏覽器都受影響；（三）Adobe修補的Acrobat與Reader漏洞CVE-2023-26369，修補釋出前同樣已被用於攻擊行動；（四）思科在11日針對多功能網路資安設備ASA、FTD存在零時差漏洞CVE-2023-20269先提供緩解，指出漏洞起因是AAA協定與其他軟體功能缺乏適當區隔，已遭勒索軟體駭客用於攻擊。用戶需注意後續更新修補的釋出。</p> <p>其他重要漏洞修補動向，還包括：SAP、西門子、施耐德電機等業者發布9月份例行更新。</p> <p>在網路威脅焦點上，國內有2起事件引起最多國人關注：首先，彰化肉品市場與台中大安肉品市場發生拍賣系統遭軟體攻擊，系統無法運作使得豬隻拍賣暫停、延遲；其次，大洸醫院機構管理顧問提供的醫指付在這一兩個月內，持續傳出用戶綁訂的信用卡遭海外盜刷情形，近日金管會已請財金公司督促與釐清事件，甚至去年6月就有資安研究人員在HITCON Zeroday通報醫指付App安全漏洞卻未因應的情形也被挖出。</p> <p>在國際間，有5起重大事件成為焦點，其中國際連鎖賭場接連遭駭格外引發關注：<br /> ●MGM米高梅國際酒店集團在9月11日說明遭遇網路攻擊，不僅訂房或查詢只能採傳統電話方式進行，甚至有報導指出吃角子老虎停擺，房卡無法使用。到了14日ALPHV（BlackCat）勒索軟體集團聲稱這起事件是他們所為。<br /> ●連鎖賭場凱撒娛樂（Caesars Entertainment）在9月7日向美國證交所提交8-K文件說明發生資料外洩事件，指出該事件源於公司使用的IT承包商遭社交工程攻擊而導致。另有當地媒體報導指出Caesars遭勒索已支付上千萬美元贖金。<br /> ●微軟威脅分析中心發布東亞數位威脅報告，指出中國對南海國家和臺灣發動廣泛的網路攻擊與認知作戰，並強調中國在認知作戰中正大量使用AI生成更好品質的內容，影響力有擴大跡象。<br /> ●半年前駭客組織鎖定Zoho的漏洞CVE-2022-47966與Fortinet的漏洞CVE-2022-42475，近日美國CISA、FBI與CNMF再發安全通告，說明年初美國航太機構受害，同時揭露攻擊細節、IoC，以及緩解防範的建議。<br /> ●中國駭客組織Redfly鎖定亞洲國家的電網設施攻擊被揭露，攻擊者發動網路間諜攻擊並植入惡意程式ShadowPad。</p> <p>在其他重要威脅態勢上，我們注意到有多起資料外洩事件與供應鏈攻擊有關，也發現近日持續有Mac電腦接連遭鎖定的消息。前者包括：嬌生醫療照護系統因IBM代管的應用系統遭到攻擊，英國曼徹斯特警局因外部供應商遭勒索軟體攻擊，還有軟體臭蟲追蹤公司Rollbar遭駭的消息；後者包含惡意軟體MetaStealer、竊資軟體Atomic Stealer被揭露近期均針對Mac電腦而來。</p> <p>還有一些趨勢值得留意，像是有研究人員指出近期DDoS攻擊，針對金融業攻擊的比例呈現越來越高的趨勢；還有研究人員針對Wi-Fi技術的波束形成回應資訊（BFI）揭露新型態攻擊手法WiKI-Eve。</p> <p>在最新防禦發展焦點上，我們注意到MITRE在9月5日宣布，將開源攻擊模擬工具Caldera延伸到OT環境，新推出MITRE Caldera for OT。另外，我們在此補充本週資安日報未提及的另一防護焦點，9月7日微軟<a href="https://www.microsoft.com/en-us/security/blog/2023/09/07/cloud-storage-security-whats-new-in-the-threat-matrix/">發布儲存服務威脅矩陣（Threat matrix for storage services）第二版</a>，將有助於識別和分析雲儲存服務中資料潛在安全威脅。還有關於PQC演算法升級，我們發現本土廠商網擎資訊開始有具體行動，他們在9月11日表示已開發部署相關防護。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/159014"><span style="color: rgb(178, 34, 34);">【資安週報】2023年9月18日到9月22日</span></a></strong></h2> <p>許多IT廠商在前一週發布9月份例行更新，但在本週的資安新聞裡，有多起漏洞攻擊行動引起研究人員關注，並呼籲企業組織、使用者應儘速修補，這些漏洞包含：</p> <p>（一）8月份Juniper修補的CVE-2023-36845，當時該廠商評估風險等級為中等，但資安業者VulnCheck發現該漏洞嚴重程度被低估，已有駭客嘗試將其用於攻擊行動；</p> <p>（二）開源物件儲存服務MinIO於3月修補的漏洞CVE-2023-28432、CVE-2023-28434，駭客針對DevOps工程師下手，在目標系統植入後門程式Evil MinIO，竄改更新伺服器的網址，然後派送惡意更新；</p> <p>（三）蘋果針對旗下電腦、行動裝置、穿戴裝置，修補零時差漏洞CVE-2023-41991、CVE-2023-41992、CVE-2023-41993，這些由加拿大公民實驗室與Google威脅情報小組（TAG）通報的漏洞，已被用於攻擊iPhone裝置；</p> <p>（四）趨勢科技針對旗下端點防護產品Apex One、Worry-Free Business Security（WFBS）漏洞CVE-2023-41179發布公告，已有攻擊行動出現，引起日本電腦網路危機處理暨協調中心（JPCERT/CC）注意；</p> <p>（五）駭客假借提供6月WinRAR修補漏洞的PoC，但其實是利用地圖服務伺服器程式GeoServer的SQL注入漏洞CVE-2023-25157，散布木馬程式VenomRAT。</p> <p>其他的重要漏洞修補警告，還包括：GitLab修補執行任意自動化工作流程漏洞CVE-2023-4998，以及Fortinet修補防火牆作業系統、上網安全閘道、WAF的高風險漏洞CVE-2023-29183、CVE-2023-34984，網路監控軟體Nagios XI修補高風險漏洞、N-able遠端管理工具的CVE-2023-27470、程式庫ncurses的記憶體毀損漏洞等。</p> <p>面對日與俱增的資安威脅，本週除了研究人員極力呼籲使用者儘速修補已公開的漏洞，資安界也有多項動態值得留意。</p> <p>首先是資安業者Mandiant舉辦的mWISE Conference 2023資安防禦會議，FBI局長Christopher Wray提到攻防極度不對等的資安態勢，他表示，中國駭客人數是FBI資安專家的50倍以上，防守方勢必要善用AI人工智慧技術，還有政府、執法機關與民間產業之間更為緊密的合作，才有機會扭轉局勢，他甚至認為企業應該在資安防護計畫裡納入FBI，充分發揮執法的力量。</p> <p>再者，OpenAI為了改善機器學習模型的安全，擴大原本的紅隊演練規模，成立名為OpenAI Red Teaming Network的紅隊演練網路，從數十個專業領域招募專家，看重的是專家能提供該領域的專業觀點，而有可能突破人工智慧產業的盲點。</p> <p>本週資安界有兩起重大的廠商併購案，分別是19日資安業者CrowdStrike買下應用程式安全態勢管理（ASPM）新創Bionic，及21日思科買下大數據資安業者Splunk，其中又以思科和Splunk的併購案受到最多關注。值得留意的是，這起合併案2022年2月就傳出風聲，當時思科打算以200億美元買下Splunk，而現在實際成交的金額達到280億美元，較先前的傳聞多出4成。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/159050"><span style="color: rgb(178, 34, 34);">【資安週報】2023年9月25日到9月28日</span></a></strong></h2> <p>在本周重要漏洞修補消息中，有4個最受注目，包括：網際網路系統協會（ISC）修補DNS軟體BIND高風險漏洞，JetBrains修補CI/CD軟體平臺TeamCity重大漏洞，以及Atlassian針對旗下多款產品發布更新。此外，9月上旬思科針對已遭利用的零時差漏洞CVE-2023-20269先提供緩解，當時已遭Akira勒索軟體組織鎖定利用，29日思科新釋出臨時的更新修補。</p> <p>還有多個已知漏洞，近期因為遭鎖定利用情形被美國CISA列入限期修補清單，是本週資安日報未提及的漏洞消息，我們也特別整理如下，包括：Red Hat JBoss RichFaces Framework的漏洞（CVE-2018-14667）、Laravel的Ignition漏洞CVE-2021-3129、Laravel框架Ignition的漏洞（CVE-2021-3129）、Zyxel EMG2926路由器的漏洞（CVE-2017-6884）、Realtek SDK的漏洞（CVE-2014-8361）、Samsung行動裝置的漏洞（CVE-2022-22265），以及Owl Labs視訊會議設備Meeting Owl的4個已知漏洞（CVE-2022-31463、CVE-2022-31462、CVE-2022-31461、CVE-2022-31459）。</p> <p>在網路威脅焦點上，有四大議題值得關注：<br /> （一）美國NSA、FBI、CISA與日本國家資安事件整備與策略中心（NISC）發布聯合公告，指出中國駭客組織BlackTech藉由竄改思科路由器的韌體方式來隱藏其行動，從美國、日本企業跨國公司的子公司進一步滲透總公司的網路環境。<br /> （二）近日Akamai與Perception Point相繼揭露新網釣攻擊活動，出現鎖定飯店業者、訂房業，以及訂房客戶的複雜攻擊，尤其是入侵訂房網站或飯店系統冒用合法發動典型網釣。<br /> （三）除了勒索軟體Akira自今年3月以來攻擊活動節節攀升需要關注，美國FBI與CISA在20日也針對勒索軟體Snatch發布安全通告，詳細說明該組織的技術手法與IoC指標。<br /> （四）關於GPU.zip的GPU旁路漏洞早期揭露，目前發現的大學研究人員已通報GPU供應商、以及瀏覽器供應商Google，後續廠商修補的動向需要留意。</p> <p>其他值得關注的國際威脅態勢，有多個產業被攻擊者鎖定的消息，受到不同資安業者揭露，包括：<br /> ●中東、西歐、南亞次大陸的電信業者成鎖定目標，攻擊者散布惡意軟體LuaDream發動精準攻擊。<br /> ●烏克蘭軍方成鎖定目標，攻擊者利用無人機手冊散布惡意程式。<br /> ●中東政府機關被鎖定，攻擊者利用了新型態後門程式Deadglyph。<br /> ●巴西與墨西哥等逾40家拉丁美洲的銀行用戶遭鎖定，有駭客利用銀行木馬BBTok發動大規模攻擊行動。<br /> ●美國衛生暨公共服務部（HHS）旗下HS3揭露，近年中國駭客組織APT41、北韓駭客組織APT43與Lazarus肆虐，對美國公衛部門與生技公司已造成嚴重危害。</p> <p>在防禦態勢的消息上，我們特別注意到，在越來越多人重視的軟體物料清單（SBOM）之外，近日美國CISA推出硬體物料清單框架（HBOM），希望進一步幫助有效評估與減少供應鏈存在的資安風險。在國內，也有兩起事件受關注，一是行政院公共工程委員會新發布資訊服務採購作業指引，明訂公部門編列專屬資安預算；另一是數位部預告修正資安法，將明訂公部門禁用危害國家安全的資安產品。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/158650">2023年8月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/158096">2023年7月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/157613">2023年6月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/157226">2023年5月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/156683">2023年4月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/156593">2023年3月資安月報</a></h3> <h3> </h3> <h3> </h3> <p> </p> <p> </p> </div></div></div>
2023/10/19 09:50作者羅正漢https://www.ithome.com.tw/news/159207
未來要讓AI接手電商作業面工作！臺灣家樂福公開5年上雲歷程及數位轉型下一步
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2018年，臺灣家樂福以強化電子商務為目標，開始推動一系列數位轉型措施，5年來電商營收從8億成長40億元。近期一場活動中，臺灣家樂福技術長丁平碩回顧他們如何透過雲端技術來推動數位轉型，並揭露未來數位計畫，要用AI來持續強化電商，甚至讓AI接管大部分電商作業管理。</p> <p>那年，配合法國家樂福總部宣布全球5年數位轉型計畫，臺灣家樂福也訂下電商營收倍數成長的目標，制定「Cloud First」和「Google First」策略，目標將所有數位建設遷移至Google雲端。</p> <p>2019年起，臺灣家樂福開始系統大遷徙，將部署在法國總部IDC或外地雲端機房的ERP、HR、SCM、資料倉儲、EC和行動App等系統，陸續轉移到在臺灣有IDC的GCP上，大幅降低系統連線時間。這期間，家樂福還將原本EC和行動App的VM架構改為微服務架構，利用Cloud Run和GKE部署和管理雲端容器。這些建設，不只提升家樂福系統效率，也為之後發展電商和數位行銷奠定了基礎。</p> <p>丁平碩以電商系統上雲舉例，說明採用雲端服務後，在維運上不僅能夠協助IT人員完成不停機系統更新，在遇到節慶或促銷活動時，系統也能根據需求自動擴充網路和運算資源，來確保提供穩定的EC服務，此外，這也有助於降低遭受駭客攻擊導致網站癱瘓的風險。</p> <p>近幾年，家樂福導入了雲端的數據和AI工具，加速其擁抱AI應用。例如上雲初期，他們就利用AutoML建立了顧客終身價值預測、行銷轉化預測、趨勢預測和市場區隔預測等4個機器學習模型，應用在行銷上，提高廣告投放成效2.64倍，減少17%因缺貨造成的潛在營收損失。</p> <p>家樂福還在雲端環境打造了API管理平臺，用來統一管理與外部系統連結，進一步加速介接新系統能力，為發展快商務（Q-Commerce）積極布局。例如快速串接兩大外送平臺商系統，就是透過這套API管理平臺來完成。</p> <p>不只在技術面下功夫，為了落實數位轉型及上雲成效，家樂福內部還成立了「數位零售學院」，開課教育員工關於雲和數據應用等知識，以期內部從上到下都能擁抱這些科技。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20231017_024646373.jpg" style="width: 600px;" /></p> <blockquote><p>家樂福5年數位轉型計畫的歷程與面向。圖_余至浩攝</p> </blockquote> <p><strong>下階段數位轉型三大要務，發展AI商業應用是第一優先事項</strong></p> <p>5年轉型計畫結束後，臺灣家樂福下一階段數位轉型有3大要務。</p> <p>丁平碩表示，第一要務是是持續發展更多AI應用。丁平碩直言，這是目前家樂福第一優先事項。今年，他們內部舉辦了跨部門生成式AI黑客松，教育員工圖像跟文字生成AI相關知識，並探討這些技術如何應用在實際商業場景。2個月前，他們就在自家外送App推出智能食譜推薦功能，用生成式AI推薦食譜並推銷食材。除了自行開發AI應用，他們上個月也導入了Google Retail Search解決方案，用AI來優化電商商品搜尋功能。</p> <p>長遠來看，家樂福希望用AI達到「Labor-free E-commerce」境界，也就是利用AI來減少真人花費在電商作業面的時間。丁平碩進一步說明：「真人可以設計電商企畫，但是企畫作業面，包括版面編排、商品分類、素材製作這些事情，希望全部交給AI。」</p> <p>第二要務是持續搬遷系統上雲。上雲初期，家樂福將原本電商和行動App的VM架構改為微服務架構，利用Cloud Run和GKE部署和管理雲端容器。丁平碩表示，未來他們還要把更多既有VM架構的系統轉為雲原生，提升韌性跟穩定性。</p> <p>最後，則是持續強化雲端環境資安，讓消費者能在家樂福電商安心購物。</p> <p> </p> </div></div></div>
2023/10/19 09:17作者郭又華https://www.ithome.com.tw/news/159360
【資安日報】10月18日，使用Telegram、AWS、阿里雲的開發人員遭到鎖定，駭客透過PyPI套件發動供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>散布惡意NPM、PyPI套件攻擊開發者的事故頻傳，許多程式碼檢測工具供相關機制因應，但道高一尺魔高一丈，有攻擊者刻意將惡意程式碼埋於他處，導致檢測工具難以偵測這類狀況。</p> <p>最近由資安業者Checkmarx揭露的攻擊就用這種手法，駭客埋藏的程式碼須在應用系統呼叫特定功能函數，才會觸發，於受害電腦竊取資料。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://checkmarx.com/blog/users-of-telegram-aws-and-alibaba-cloud-targeted-in-latest-supply-chain-attack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客鎖定Telegram、AWS、阿里雲用戶發動供應鏈攻擊，散布惡意PyPI套件</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/kohlersbtuh15-8.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/kohlersbtuh15-8.png" style="width: 300px; float: right;" /></a>資安業者Checkmarx新一波的PyPI惡意套件攻擊，駭客主要的目標是使用Telegram、AWS、阿里雲的開發人員。研究人員自今年9月，看到有人上傳一系列惡意PyPI套件，但特別的是，這些套件的惡意程式碼不會在開發人員安裝時執行，駭客將惡意指令碼嵌入套件深處，必須在套件執行過程呼叫特定的功能函數，才會觸發。研究人員指出，由於許多資安工具會掃描自動執行的惡意指令碼，但遇上這種手法可能沒輒。</p> <p>而為了引誘開發人員上當，攻擊者不光使用了模仿域名（Typosquatting）的手段，還讓這些惡意套件看起來相當受歡迎，由於開發人員在挑選套件的過程，往往會參考GitHub統計的資料，攻擊者刻意將PyPI套件連結GitHub上面不相關套件的儲存庫，導致開發人員可能誤以為此套件的程式碼具有相當影響力而降低戒心，研究人員將此攻擊手法稱做Starjacking。</p> <p>而對於受害者的身分，研究人員指出近半數位於美國（44.61%），其次是中國（16.37％）、香港（4.44％）、新加坡（4.44％）。</p> <p><a href="https://www.ithome.com.tw/news/159336"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">D-Link傳資料外洩，起因是員工遭網釣攻擊</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/D-Link stolen data up for sale.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/D-Link%20stolen%20data%20up%20for%20sale.jpg" style="width: 300px; float: right;" /></a>有人在駭客論壇BreachForums以500美元的價格，兜售臺灣網路設備製造商D-Link的內部資料，聲稱內容包含300萬筆客戶資料，以及網路管理軟體D-View的原始碼，並強調內含臺灣許多政府官員及企業執行長、員工的資料，檔案大小為1.2 GB。賣家提供45筆樣本資料供買家比對，但資料日期介於2012年至2013年，有買家認為賣家提供的資料相當老舊。</p> <p>對此，10月2日D-Link提出說明，他們知悉此事並委由趨勢科技進行調查，表示上述人士取得資料的來源，是該公司測試實驗室當中的產品註冊系統，駭客對其員工發動網路釣魚攻擊，進而存取該公司內部網路環境。而這些存放在註冊系統上的資料，源自2015年已結束生命週期（EOL）的D-View 6，約有700筆，大部分資料為低敏感或半公開的資訊組成，該公司評估現有客戶不太可能受到影響。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/security/d-link-confirms-data-breach-after-employee-phishing-attack/">https://www.bleepingcomputer.com/news/security/d-link-confirms-data-breach-after-employee-phishing-attack/</a><br /> 2. <a href="https://supportannouncement.us.dlink.com/announcement/publication.aspx?name=SAP10359">https://supportannouncement.us.dlink.com/announcement/publication.aspx?name=SAP10359</a></p> <p><a href="https://www.bleepingcomputer.com/news/security/over-10-000-cisco-devices-hacked-in-ios-xe-zero-day-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">上萬臺思科網路設備遭遇IOS XE零時差漏洞攻擊</span></strong></a></p> <p></p> <p>10月16日<a href="https://www.ithome.com.tw/news/159319">思科揭露網路設備作業系統IOS XE的重大漏洞CVE-2023-20198</a>，這項漏洞影響啟用網頁介面（Web UI），以及HTTP（或HTTPS）伺服器功能的網路設備，CVSS風險評分為10，且已出現攻擊行動，現在研究人員陸露揭露受害情形。漏洞情報業者VulnCheck提出警告，他們發現數千個遭到感染的IOS XE網頁介面，該公司亦提供檢測工具，讓網管人員能檢查設備是否遭到入侵。</p> <p>VulnCheck向資安新聞網站Bleeping Computer透露，他們掃描了從物聯網搜尋引擎Shodan及Censys列出的半數裝置，約有1萬臺受到感染，但實際數量可能更多。另一家資安業者Aves Netsec研究人員指出，約有14萬臺思科裝置可能曝險，其中以美國、菲律賓、智利最多。資安機構CERT Orange Cyberdefense表示，他們找到至少34,500個思科IOS XE的IP位址遭到入侵。</p> <p>資料來源</p> <p>1. <a href="https://vulncheck.com/blog/cisco-implants">https://vulncheck.com/blog/cisco-implants</a><br /> 2. <a href="https://twitter.com/SimoKohonen/status/1714213806371479849">https://twitter.com/SimoKohonen/status/1714213806371479849</a><br /> 3. <a href="https://twitter.com/CERTCyberdef/status/1714567941184749609">https://twitter.com/CERTCyberdef/status/1714567941184749609</a></p> <p><a href="https://www.securityweek.com/milesight-industrial-router-vulnerability-possibly-exploited-in-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Milesight工控路由器的漏洞被用於攻擊行動</span></strong></a></p> <p></p> <p>研究人員Bipin Jitiya揭露Milesight工業路由器漏洞CVE-2023-43261（CVSS風險評分為7.5），攻擊者有可能藉由曝露的事件記錄檔案（如httpd.log），從而取得管理者的密碼，控制路由器。該公司獲報後表示，他們早已進行修補，而這項漏洞最近傳出被用於攻擊行動。</p> <p>該廠牌路由器並非全部曝險，漏洞情報業者VulnCheck在物聯網搜尋引擎Shodan及Censys尋找，他們發現約有5,500臺這類設備可從網際網路存取，當中僅有不到400臺曝露於上述漏洞的風險，約占6.5%。</p> <p>雖然曝險裝置比例不高，研究人員還是在10月2日發現異常存取的情況，有人嘗試存取6個位於法國、立陶宛、挪威的路由器，其中4臺攻擊者在第一次嘗試就成功。</p> <p>資料來源</p> <p>1. <a href="https://vulncheck.com/blog/real-world-cve-2023-43261">https://vulncheck.com/blog/real-world-cve-2023-43261</a><br /> 2. <a href="https://medium.com/@win3zz/inside-the-router-how-i-accessed-industrial-routers-and-reported-the-flaws-29c34213dfdf">https://medium.com/@win3zz/inside-the-router-how-i-accessed-industrial-routers-and-reported-the-flaws-29c34213dfdf</a></p> <p><a href="https://outpost24.com/blog/it-admins-weak-password-use/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾4萬個管理員帳號使用admin當作密碼</span></strong></a></p> <p></p> <p>資安業者Outpost24針對180萬個外洩的管理員帳密資料進行分析，結果發現，最常見的弱密碼是admin，其次是123456、12345678、1234、Password。光是使用admin作為密碼的帳號，就超過4萬個，約占外洩帳號的2%。</p> <p>會出現這樣的結果，很有可能是許多裝置未修改預設密碼所致，由於這種密碼多半是公開資料，只要從網路上或是產品文件就能找到，是攻擊者最容易入侵的缺口之一，但顯然仍有不少IT人員並未遵照最佳實務進行設置，保留預設的密碼而曝險。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.fubon.com/financialholdings/news/news_1231016_455320.htm"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為防堵金融詐騙橫行，32家銀行參與鷹眼識詐聯盟</span></strong></a></p> <p></p> <p>內政部警政署刑事警察局與台北富邦銀行合作，共同建置AI預警模組，由刑事局主動分享判斷異常金流狀態經驗，結合北富銀異常交易金流偵測技術，來保護民眾的財產，<a href="https://www.cib.npa.gov.tw/ch/app/news/view?module=news&id=1887&serno=3c622e86-af82-4b70-9508-d9578bff593e">刑事局於今年4月進一步成立AI鷹眼識詐聯盟</a>，如今該聯盟擴大規模，宣示政府與金融界反詐騙的決心，鷹眼模型防護的範圍，現在涵蓋超過50種的動態交易風險參數。</p> <p>10月16日行政院打詐辦公室、刑事局、金管會、臺北市政府警察局，以及32家銀行舉辦鷹眼識詐聯盟誓師大會，預計在2024年6月前陸續完成鷹眼模型系統的導入，屆時全臺將有超過4,300個金融據點受到相關保護。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.securityweek.com/critical-vulnerabilities-expose-weintek-hmis-to-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Weintek人機介面存在重大漏洞，攻擊者有可能藉此繞過身分驗證或執行任意命令</span></span></strong></a></p> <p></p> <p><a href="https://www.sonarsource.com/blog/security-vulnerabilities-in-casaos/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">開源雲端軟體CasaOS存在重大漏洞，攻擊者有可能用來執行任意程式碼並控制受害系統</span></span></strong></a></p> <p></p> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/10/the-forgotten-malvertising-campaign"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意廣告攻擊行動宣稱提供文字編輯器Notepad++，目的是散布惡意程式</span></span></strong></a></p> <p></p> <p><a href="https://blog.f-secure.com/take-a-note-of-spynote/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">安卓間諜軟體SpyNote透過釣魚簡訊散布</span></span></strong></a></p> <p></p> <p><a href="https://www.ithome.com.tw/news/159251"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google允許安卓用戶刪除15分鐘內Chrome上網紀錄、Gmail流到暗網時會通知用戶</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159329"><strong>【10月17日】駭客假借提供以色列民眾空襲警報應用程式，意圖搜括安卓手機用戶各式資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159306"><strong>【10月16日】 Skype用戶注意！駭客利用外洩帳號發送訊息，透過內嵌VBA指令碼的檔案散布惡意程式DarkGate</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159278"><strong>【10月13日】利用職場社群網站LinkedIn市場行銷工具的網釣攻擊再度出現，受害者遍及各行各業</strong></a></p> </div></div></div>
2023/10/18 17:27作者周峻佑https://www.ithome.com.tw/news/159361
Google發表8項無障礙功能，圍繞在地圖、搜尋與拍照
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/outreach-initiatives/accessibility/making-daily-tasks-accessible/" target="_blank">Google周二（10/17）發表8項無障礙功能</a>，它們分別出現在Google Maps、搜尋、Chrome或拍照等功能上，以協助身心障礙人士更容易完成每天的任務。</p> <p>其中之一是讓商家可於Google Maps與搜尋上，標註自己屬於身心障礙人士，先前Google也曾支援不同的社群的商家進行標註，例如亞洲人、拉丁人、LGBTQ+族群、退伍軍人或是女性業主等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1018-google%20accessibility-600-1.png" style="width: 500px;" /></p> <p>與視障人士有關的功能則有Lens in Maps的螢幕朗讀、放大鏡（Magnifier）及用來自拍的Guided Frame。其中，Lens in Maps之前名為Search with Live View，為一徒步導航功能，它利用相機來替使用者尋找附近的ATM、餐廳或車站，現在則新增螢幕朗讀功能，直接幫視力不佳的使用者唸出周遭的地點，將率先支援iOS上的Lens in Maps，今年底也會支援Android平臺。</p> <p>Magnifier則是一個支援Pixel 5及以上Pixel手機的放大鏡程式，它就是一個基於手機相機的放大鏡，可用來放大菜單或文件上的文字、縫紉針孔或街道標誌。Guided Frame則是個利用語音、高對比及震動回饋功能，來協助視障用戶拍攝自拍像的功能，它目前支援Pixel 8及8 Pro，今年稍後將會支援Pixel 6及之後的版本。</p> <p>另有兩項功能與輪椅友善性有關。一是在Android與iOS版的Google Maps上提供支援輪椅的步行路線，該路線也適用於拖著大行李箱的旅人，二則是在Google Maps、Android Auto及內建Google的汽車上提供方便輪椅通行的地方，像是無障礙入口、廁所、停車場或是座位等。</p> <p>認知障礙用戶則可利用Assistant Routines來協助處理日常事務，將這些日常事務分類成不同的區塊，再於首頁建立捷徑。若是有閱讀障礙或是經常打錯字，則可利用Chrome網址列的錯別字訂正功能來協助造訪正確的網站，此一功能是在今年5月現身於桌面版Chrome瀏覽器上，現在則支援Android與iOS上的Chrome。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1018-google%20accessibility-600-2.png" style="width: 310px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></p> </div></div></div>
2023/10/18 16:15作者陳曉莉https://www.ithome.com.tw/news/159358
友訊1.2GB產品原始碼、客戶、員工資料在駭客論壇上兜售
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bleepingcomputer.com/news/security/d-link-confirms-data-breach-after-employee-phishing-attack/" target="_blank">《Bleeping Computer》</a>報導，網路設備商友訊（D-Link）產品原始碼及客戶、員工個資等資料遭駭客在地下論壇上兜售，友訊坦承此事，但表示是員工誤點網釣信件才讓駭客存取系統，不過存取的也是過時的資料。</p> <p>報導指出，一名地下論壇用戶張貼公告，指其曾駭入友訊的內部網路，取得300萬行客戶及員工客製以及網路管理軟體D-View的程式碼。</p> <p>這批1.2GB的資料包含客戶及員工姓名、電子郵件、住家地址、公司、電話、帳號註冊及最後登入日期，要價僅500美元。值得注意的是，兜售者宣稱名單上還有「許多」政府官員，以及友訊CEO的個資。</p> <p>友訊已經向媒體證實此事，表示原因是一名員工不慎點入網釣信件，而讓攻擊者取得公司網路系統的登入憑證。該公司說已立即關閉受影響的伺服器，及封鎖用戶帳號，除了2個正在調查的帳號外。</p> <p>這家網路設備商聲稱，駭客是存取了測試實驗室中的產品註冊系統取得了這批資料。但外洩的產品程式碼是屬於舊版D-View 6，後者已在2015年終止支援。友訊也否認外洩的資料量及機密性，聲稱經過調查顯示只有700筆過時、零碎的資訊，並說大部分資料都是低敏感性，且半公開可取得的資訊。</p> <p>友訊並表示，這起事件是舊安全事件了，只是駭客刻意竄改存取時戳，以假造駭入事件是最近所為，因此現有客戶不太可能受影響。</p> <p>友訊常因其生產網路設備、網路攝影機安全漏洞<a href="http://www.ithome.com.tw/news/116795" target="_blank">遭濫用</a>而<a href="https://www.ithome.com.tw/news/125135" target="_blank">登上資安新聞</a>。<a href="https://www.ithome.com.tw/news/110963" target="_blank">2017年美國聯邦貿易委員會（FTC）</a>因網路路由器及攝影機軟體安全性不足控告友訊，<a href="https://www.ithome.com.tw/news/131637" target="_blank">雙方於2019年達成和解</a>。</p> </div></div></div>
2023/10/18 13:33作者林妍溱https://www.ithome.com.tw/news/159336
有2%的IT管理帳戶以「admin」作為密碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供持續性威脅曝露管理解決方案的資安業者Outpost24，<a href="https://outpost24.com/blog/it-admins-weak-password-use/" target="_blank">在本周公布了一項調查報告</a>，分析了外洩的180萬個IT管理員帳戶密碼，發現有超過2%直接採用「admin」。</p> <p>Outpost24所分析的是該公司的Threat Compass資料庫，此一資料庫蒐集了大量的外洩憑證，並從中篩選出180萬個標示為管理員入口網站（Admin portals）的帳戶，發現這些帳戶最常使用的前五名密碼依序是admin、123456、12345678、1234及Password，其中，有超過4萬個Admin帳戶的密碼是admin，占了所有Admin帳戶的2%。</p> <p>這樣的結果令研究人員相信，許多使用者都直接採用了裝置的預設密碼，因為不管是admin、Password或連續數字都是裝置上常見的預設密碼。</p> <p>Outpost24指出，預設密碼通常用在裝置一開始的設定，且多半是公開的，只要於網路上或產品文件中搜尋就能找到，是駭客最容易入侵的缺口之一，也被視為安全漏洞，儘管如此，卻依然被廣泛使用。</p> <p>另一方面，密碼管理業者NordPass與第三方研究人員合作，分析了3TB的外洩資料庫，顯示整體而言在2022年最常見的前五大密碼則是password、123456、123456789、guest與qwerty。</p> <p>其實近年來已有相關立法禁止預設密碼的使用，包括英國的《Product Security and Telecommunication Infrastructure 》（PSTII）法案，或是加州的預設密碼法案Senate Bill 327，這些法案要求每一個連網裝置都必須具備獨特的密碼，或者是必須於裝置中設計安全機制，要求使用者首次啟用時必須變更密碼。</p> </div></div></div>
2023/10/18 13:49作者陳曉莉https://www.ithome.com.tw/news/159337
CVE-2023-20198漏洞已讓數千臺思科裝置淪陷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/159319" target="_blank">思科在本周一（10/16）揭露了</a>一個CVSS漏洞風險評分高達10的Cisco IOS XE漏洞CVE-2023-20198，並表示早在9月28日發現相關的可疑活動，確定已遭駭客利用，不過，<a href="https://vulncheck.com/blog/cisco-implants" target="_blank">安全漏洞情報業者VulnCheck隨後指出</a>，思科沒說的是，已經有數千臺安裝Cisco IOS XE的裝置淪陷。</p> <p>CVE-2023-20198是個存在於Cisco IOS XE作業系統上的Web UI權限擴張漏洞，該漏洞允許未經授權的遠端駭客於受影響的系統上，建立一個具備Level 15最高權限的新帳戶，再利用該帳戶取得受駭系統的控制權。不管是思科的交換器、無線網路控制器、無線基地臺或路由器都是採用Cisco IOS XE。</p> <p>在思科所觀察到的攻擊行動中，駭客在被駭系統上建立新帳戶之後，會植入一個可用來變更配置的惡意檔案，於是<a href="https://blog.talosintelligence.com/active-exploitation-of-cisco-ios-xe-software/" target="_blank">思科提供了一個簡單的方式</a>，只要傳送一個特定的HTTP POST至Cisco IOS XE系統上，就能根據系統是否回傳一個18個字元的16進位字串，來判斷系統是否已經遭到感染。</p> <p>VulnCheck即利用此一方法來掃描公開網路上的Cisco IOS XE網頁介面，並發現已有數千個系統被植入了惡意檔案，意味著取得這些系統最高權限的駭客，可監控流量、進入受保護的網路，並執行各種中間人攻擊。<a href="https://vulncheck.com/press/seed-funding" target="_blank">VulnCheck也釋出了該掃描工具</a>供外界取用。</p> <p>由於思科尚未修補CVE-2023-20198，因此建議用戶可暫時關閉HTTP Server功能，或是於HTTP Server 中設定存取白名單。</p> </div></div></div>
2023/10/18 14:07作者陳曉莉https://www.ithome.com.tw/news/159338
Amazon與WhatsApp也開始支援Passkey
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>通行密鑰（Passkey）即將成為主流的帳戶登入方式，除了微軟、蘋果與Google都正在推動Passkey之外，Amazon近日已悄悄於電子商務平臺上導入了Passkey，而<a href="https://twitter.com/WhatsApp/status/1713948410942804433" target="_blank">WhatsApp亦透過X宣布</a>其Android程式將支援Passkey登入。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1018-whatsapp-passkey-600.png" style="width: 580px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_</span><a href="https://twitter.com/WhatsApp/status/1713948410942804433" target="_blank"><span style="color:#696969;">WhatsApp</span></a></span></p> <p>通行密鑰則是一個不可見的加密實體，由一組金鑰對所組成，當中的公鑰可用來註冊網站或行動程式，另一個私鑰則存放在使用者裝置上，以通行密鑰來作為登入憑證既不需要再記住密碼，也更難被駭客破解或入侵。存放在裝置上的私鑰可以是指紋、人臉或PIN碼，讓使用者得以透過這些裝置上的驗證功能來存取服務。</p> <p>Amazon並未對外宣布Passkey的啟用，只是悄悄於電子商務網站的登入服務中添增了Passkey。於使用者帳戶的登入設定中，提供了「金鑰」（Passkey）選項，允許使用者利用人臉、指紋或PIN碼等，以與解鎖裝置相同的方法登入Amazon，而不必再輸入密碼。</p> <p>至於WhatsApp則是在周二（10/17）宣布支援Passkey，開放Android用戶以人臉、指紋或PIN碼來登入WhatsApp帳戶。不過，WhatsApp並未揭露何時要於iOS平臺上支援Passkey。</p> <p>目前所有大型科技業者都已著手部署對Passkey的支援，例如<a href="https://www.ithome.com.tw/news/157541" target="_blank">微軟已於Windows 11測試版</a>中增添Passkey功能，蘋果的macOS、iOS及iPadOS也已嵌入對Passkey的支援，而Google則積極地<a href="https://www.ithome.com.tw/news/159209" target="_blank">鼓勵用戶以Passkey</a>來取代密碼進行登入。</p> </div></div></div>
2023/10/18 12:10作者陳曉莉https://www.ithome.com.tw/news/159335
挑戰Arm，高通、Google合作開發穿戴裝置RISC-V晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.qualcomm.com/news/releases/2023/10/qualcomm-to-bring-risc-v-based-wearable-platform-to--wear-os-by-" target="_blank">高通、Google周二宣布</a>將合作開發RISC-V Snapdragon晶片，以用於下一代Wear OS穿戴式裝置，包括智慧手錶。</p> <p class="rtecenter"><img alt="" src="https://s7d1.scene7.com/is/image/dmqualcommprod/GooglexQualcomm?$QC_Responsive$&fmt=png-alpha&wid=640" style="width: 500px;" /></p> <p>這是繼今年4月RISC-V Summit大會上，Google宣布RISC-V將成為Android tier-1平臺的最新進展。在雙方合作下，高通將開發目前通稱為RISC-V Snapdragon Wear的晶片，兩公司將投資Snapdragon Wear平臺作為主要智慧型手錶的晶片平臺。此番合作也有助於開發更多使用低耗電、高效能客製化CPU的產品。</p> <p>高通穿戴式暨混合訊號解決方案部門副總裁暨總經理Dino Bekis指出，藉由使用RISC-V技術擴增其Snapdragon Wear平臺，將有助於加速全球Wear OS-based新產品的上市時程。</p> <p>雙方表示，合作的RISC-V wearable商用產品發表時程會於之後公布。</p> <p>RISC-V是由RISC-V International開發維護的指令集架構，為晶片開放標準，任何廠商都可免費使用或修改。這有別於當今主流穿戴裝置使用的Arm採取的營收模式。Arm可向其客戶收取使用專屬晶片技術的高昂權利金，但對手機或穿戴裝置業者來說，也增加產品製造的時間花費及龐大成本。</p> <p>Google希望透過轉向RISC-V降低晶片授權金、減少對Arm的依賴及加速產品生產並不令人意外，Google Pixel使用的Titan M2安全晶片就已經是RISC-V架構。</p> <p>高通方面也有動機。<a href="https://www.ithome.com.tw/news/152821" target="_blank">去年9月Arm控告</a>高通以及高通收購的一家晶片設計商Nuvia侵害商標權及違反授權協議，後者擁有Arm的晶片技術授權。目前官司還在審理中。高通甚至還是Arm的客戶。另一方面，Arm與Nvidia收購破局，轉向IPO後，股東要求Arm擴大授權獲利，意謂著對客戶產生更大生產成本。</p> <p>為了不讓Arm晶片設計獨霸手機晶片，<a href="https://www.qualcomm.com/news/releases/2023/08/leading-semiconductor-industry-players-join-forces-to-accelerate" target="_blank">高通8月宣布</a>和Robert Bosch、NXP、Nordic、英飛凌（Infineon）合資一家RISC-V晶片公司，以開發從汽車、行動到物聯網（IoT）裝置內的晶片。</p> <p><a href="https://arstechnica.com/gadgets/2023/10/qualcomm-announces-first-ever-mass-market-risc-v-android-soc/" target="_blank">《Ars Technica》</a>分析，在此之前RISC-V技術普遍用於微控制器領域，牽涉的體系較為單純，但一旦要用以執行Android裝置，Google/高通有許多困難要先克服。雖然大部分Android應用程式可以透過Android Runtime將程式碼轉譯成指令，使其跑在RISC-V晶片上，但Google還得齊備其他東西，像是開發商SDK、compilers、函式庫等等元件。</p> </div></div></div>
2023/10/18 11:08作者林妍溱https://www.ithome.com.tw/news/159332
【資安日報】10月17日，駭客假借提供以色列民眾空襲警報應用程式，意圖搜括安卓手機用戶各式資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以色列與巴勒斯坦的軍事衝突已經進行超過一個星期，表達支持態度的網路攻擊也隨之而來，駭客組織選邊站，近100個團體對各式關鍵基礎設施發動攻擊，多是宣示立場的DDoS攻擊。這當中比較特別的攻擊目標，是以色列空襲警報行動應用程式Red Alert，有人假借提供該App，針對安卓用戶散布惡意程式。</p> <p>但針對Red Alert的攻擊行動並非首例。巴勒斯坦駭客組織AnonGhost日前聲稱透過此通報系統的API，向以色列民眾發出假的核彈警報。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.cloudflare.com/malicious-redalert-rocket-alerts-application-targets-israeli-phone-calls-sms-and-user-information/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客假借提供以色列空襲警報App，意圖散布安卓惡意程式</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/pasted-image-0--13-.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/pasted-image-0--13-.png" style="width: 300px; float: right;" /></a>巴勒斯坦激進組織哈瑪斯（Hamas）引爆軍事衝突，侵入以色列境內之餘，也發動網路攻擊，這幾天傳出手機應用程式Red Alert，成為攻擊標的，這支程式的用途，是針對以色列民眾恐怖分子發射飛彈警示訊息。日前有巴勒斯坦駭客組織AnonGhost聲稱竄改此App的通知內容，現在有人提供冒牌應用程式對以色列民眾下手。</p> <p>這項消息來自雲端服務業者Cloudflare，他們揭露冒牌的RedAlert - Rocket Alerts手機應用程式的攻擊行動，駭客於10月12日架設惡意網站（hxxps://redalerts[.]me），其網站內容仿造Elad Nava打造的原始網站（hxxps://redalert[.]me）提供iOS與安卓版本應用程式的下載連結，若是使用者在惡意網站上點選下載安卓版本的按鈕，手機會直接下載有問題的APK安裝檔，而非連往Google Play市集。</p> <p>研究人員指出，這個冒牌的RedAlert應用程式，雖然看似具備正牌App的相關功能，但此冒牌應用程式安裝的過程裡，會向使用者請求各式的額外權限，包含存取聯絡人、簡訊、已安裝應用程式列表、通話記錄、手機IMEI碼、應用程式帳號等。一旦啟動，此應用程式會啟動背景服務來收集上述資料，並採用AES演算法處理後傳給駭客。為防範研究人員進行調查，此App還加入了反除錯、反模擬、反測試的機制。</p> <p><a href="https://blog.cluster25.duskrise.com/2023/10/12/cve-2023-38831-russian-attack"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客利用壓縮軟體WinRAR漏洞發動攻擊</span></strong></a></p> <p></p> <p>資安業者DuskRise旗下的威脅情報部門Cluster25揭露俄羅斯駭客的惡意軟體攻擊行動，駭客假借提供入侵指標的相關資料為誘餌，散布壓縮檔IOC_09_11.rar，裡面夾帶PDF檔案IOC_09_11.pdf及相同名稱的資料夾，而該資料夾裡面，存放名為IOC_09_11.pdf .cmd的BAT批次檔。</p> <p>此壓縮檔鎖定WinRAR漏洞CVE-2023-38831而來。一旦使用者執行6.23版之前的WinRAR將其開啟，並打開PDF檔案，批次檔的指令碼將會執行，先是於背景執行WinRAR命令解壓縮RAR檔案的內容，然後刪除指令碼檔案並開啟PDF檔案騙過使用者，接著執行3個PowerShell命令來進行惡意行為。</p> <p>首先，第1個命令是在特定檔案寫入RSA私鑰，然後，駭客利用前述檔案下達第2個命令，啟動反向Shell讓攻擊者能使用SSH工具，存取TCP的443埠，控制目標電腦；接著利用最後一道命令執行Base64編碼的字串，來傳送使用者Chrome、Edge儲存的帳密資料，為避免資安系統攔截，對方利用Webhook.site服務接收資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/image-png-Oct-10-2023-03-48-36-8737-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-png-Oct-10-2023-03-48-36-8737-PM.png" style="width: 580px;" /></a></p> <p><a href="http://cert.gov.ua/article/6123309"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Sandworm自5月就對烏克蘭電信業者下手，近半年已有11家業者受害</span></strong></a></p> <p></p> <p>烏克蘭電腦緊急應變小組（CERT-UA）指出，今年5月至9月，該國至少有11家電信業者遭到俄羅斯駭客組織Sandworm攻擊，駭客干擾這些公司的通訊系統，導致相關服務面臨中斷的情況，並曝露於資料外洩的風險。</p> <p>駭客起初利用網路通訊埠掃描工具masscan，對電信公司的網路環境進行偵察，並尋找開放的連接埠，以及未設防的遠端桌面連線（RDP）與SSH連線管道，藉此來破壞內部網路環境。為了得到更多存取權限，駭客利用ffuf、dirbuster、gowitness、nmap等網路工具來找出網頁服務的漏洞。CERT-UA於遭駭的網際網路供應商（ISP）系統當中，看到兩個後門程式Poemgate、Poseidon，前者用於收集管理員帳密，後者則針對Linux主機而來。</p> <p>此外，駭客也利用Dante、socks5等代理伺服器軟體，搭配他們已經入侵烏克蘭競內的伺服器進行路由，來隱匿相關攻擊行動。另一方面，駭客也運用名為Whitecat的工具，來清理攻擊的痕跡，並刪除事件記錄檔案。</p> <p><a href="https://www.elastic.co/security-labs/disclosing-the-bloodalchemy-backdoor"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客利用後門程式Bloodalchemy竊取東南亞國家的機密</span></strong></a></p> <p></p> <p>Elastic旗下的安全實驗室揭露中國駭客使用的後門程式Bloodalchemy，該程式為C語言開發，針對x86架構的電腦而來，攻擊者將其注入合法的應用程式處理程序BrDifxapi.exe，透過DLL側載（DLL Side-loading）的方式啟動，當作Shell Code執行，主要攻擊目標是東南亞國協（ASEAN）會員國的外交單位，是駭客組織使用的作案工具包REF5961的其中一項元件。</p> <p>研究人員起初在針對蒙古政府的攻擊行動看到相關工具，進一步分析發現該後門程式相當特別，必須透過特定的啟動器才能執行，無法獨立運作，其有效的功能算是相當有限，因此研究人員推測，此後門程式仍在開發階段，也有可能是大型作案工具套件的其中一項子功能，也不排除是針對特定目標打造的惡意軟體。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxe-webui-privesc-j22SaA4z"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科網路設備作業系統IOS XE的零時差漏洞已出現攻擊行動</span></strong></a></p> <p></p> <p>思科揭露網路設備作業系統IOS XE的重大漏洞CVE-2023-20198，這項漏洞影響啟用網頁介面（Web UI），以及HTTP（或HTTPS）伺服器功能的網路設備，攻擊者若是成功利用該漏洞，就有機會在網路設備建立權限等級15的帳號，進而掌控整個系統，後續執行其他未經授權的惡意行動，CVSS風險評分為10。</p> <p>這項漏洞之所以發現，源於該公司9月28日接獲用戶通報異常，經過進一步調查之後，得知網路攻擊行動發生在18日，當天有人從可疑的IP位址5.149.249[.]74，設置名為cisco_tac_admin的本機帳號，後來思科於10月12日發現新的漏洞利用攻擊，駭客部署了惡意程式，企圖在系統層級執行任意命令。而對於這兩起攻擊行動，該公司認為是同一組攻擊者所為，研判9月的行動是在嘗試利用漏洞，10月進一步植入惡意程式並建立持續存取的管道。</p> <p>值得留意的是，思科目前尚未提供這項漏洞的修補程式，他們呼籲，用戶目前若有連接網際網路的IOS XE設備，應立即停用HTTP（及HTTPS）伺服器功能，阻斷駭客入侵的管道。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/the-evolution-of-windows-authentication/ba-p/3926848"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟宣布擴充Kerberos功能，逐步淘汰Windows 11中的NTLM</span></strong></a></p> <p></p> <p>NTLM身分驗證安全協定的中繼攻擊手法不斷出現，例如：2021年7月揭露的PetitPotam弱點、2022年7月修補的ShadowCoerce弱點，微軟為了解決這個問題，決定逐步降低既有產品對這類協定的依賴，最終達到停用這種協定的目標。</p> <p>10月11日微軟表示，該公司藉由擴張Kerberos的能力，支援部分NTLM的功能，一種是IAKerb，允許用戶端透過Kerberos在更多異質網路拓撲進行身分驗證；另一種則是本機的金鑰發布中心（KDC）支援。IAKerb是業界標準的Kerberos通訊協定延伸，允許無法探索網域控制器（DC）的用戶端透過能夠探索的伺服器進行身分驗證，這項工作透過交涉（Negotiate）驗證延伸套件執行，允許Windows身分驗證堆疊透過代表用戶端的特定伺服器，代理Kerberos訊息。</p> <p>Kerberos本機KDC支援建置於電腦的安全帳號管理員，從而可以讓用戶透過Kerberos完成本機帳號的遠端身分驗證。這項功能的支援，主要是利用IAKerb允許Windows在遠端及本機之間傳遞Kerberos訊息的能力，使得組織無須增加DNS、netlogon、DCLocator等服務的支援。另一方面，微軟也著手修補Windows元件NTLM的缺陷，並將其移轉為Negotiate通訊協定，未來組織透過Kerberos就能使用相關功能。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.securityweek.com/milesight-industrial-router-vulnerability-possibly-exploited-in-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Milesight工控路由器的漏洞傳出被用於攻擊行動</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/malicious-solana-kucoin-packages-infect-nuget-devs-with-seroxen-rat/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客假借提供加密貨幣錢包應用程式，透過NuGet套件管理器散布木馬程式SeroXen</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-flaw-in-wordpress-royal-elementor-plugin/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">WordPress外掛程式Royal Elementor存在零時差漏洞，攻擊行動自10月初升溫</span></span></strong></a></p> <p></p> <p><a href="https://www.ithome.com.tw/article/159256"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">【iThome 2023資安大調查系列2】5成多企業員工資安意識不足，3成企業欠缺資安老手</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/article/159257"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">【iThome 2023資安大調查系列2】社交工程風險超越勒索軟體和駭客，ChatGPT濫用成新威脅</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159306"><strong>【10月16日】 Skype用戶注意！駭客利用外洩帳號發送訊息，透過內嵌VBA指令碼的檔案散布惡意程式DarkGate</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159278"><strong>【10月13日】利用職場社群網站LinkedIn市場行銷工具的網釣攻擊再度出現，受害者遍及各行各業</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159241"><strong>【10月12日】以色列與巴勒斯坦爆發大規模軍事衝突之後，逾100個駭客組織發動網路攻擊</strong></a></p> </div></div></div>
2023/10/17 18:00作者周峻佑https://www.ithome.com.tw/news/159329
桃園市與電信業者合作以網路切片打造急救5G專網，讓救護車到院前可先將患者生理數據、4K影像傳送至醫院作好急救準備
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>緊急救護一直以來的問題是，如何提高救護效率，爭取搶救傷患的黃金時機。桃園市利用5G專網提高救護效率，讓救護車載運傷患抵達醫院之前，透過5G將車上急救影像，患者的超音波、心電圖等生理數據傳送到醫院，讓醫生可針對較緊急的患者指示急救措施，院方作好急救準備。</p> <p>這項5G的醫療應用是由桃園市消防局、聖保祿醫院、中華電信三方合作，在大林分隊1輛救護車建置5G連網功能，中華電信則在22個5G基地臺，利用5G SA的網路切片技術，建置一個專門用於緊急救護使用的虛擬專網，專供救護車使用，救護車抵達醫院之前，即時資訊傳送到急診室戰情系統，聖保祿醫院透過這套系統，就能先看到救護車內的4K畫質影像，以及傷患的超音波、12導程心電圖等生理資訊。</p> <p>在此之前，去年桃園市消防局也和中華電信、衛福部立桃園醫院合作，以5G網路提高緊急救護效率，但不同的是，先前的案例是透過5G公網，當救護車行經商圈等人口密集區，網路頻寬會因為多人行動上網，導致急救使用的網路頻寬不穩定，導致救護車的即時影像或心電圖等生理資訊傳輸可能因此出現延遲的問題。</p> <p>而此次合作則是利用5G SA獨立組網的網路切片（network slicing）技術，從5G公網中切出一個專門用於緊急救護使用的5G虛擬專網，當救護車出勤載運傷患時，自動將公網70%的頻寬調配給5G虛擬專網，如同在5G公網中建立一個臨時設置的專用頻寬，讓消防局、救護車、聖保祿醫院間的救護資訊能夠即時傳遞。當救護車抵達醫院後，調度的頻寬自動回到公網。</p> <p>中華電信企客分公司總經理張本元表示，與聖保祿醫院的合作，利用5G網路切片打造綠色廊道，避免患者的重要急救資訊因網路滿載而延遲，並縮短救援需要的時間，提高準確度，能挽救更多生命。</p> <p>當救護車載運傷患，院方通過急診室戰情系統（下圖）收到通知，包括不同救護車的車輛編號，預估到院時間，車上急救人員為傷患的檢傷分類（顯示檢傷分類的代表顏色），以及病患的病史、過敏史資訊，還有救護車上的4K即時影像、患者的即時心電圖資訊。目前這套急診戰情系統先以接收救護車即時資訊為主，未來若能進一步結合醫院的HIS系統，將能夠再提高治療的效率。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202023-10-17%20%E4%B8%8B%E5%8D%886_12_46.jpg" style="width: 600px; height: 330px;" /></p> <p>聖保祿醫院醫療副院長王豐林則指出，傳統的急救方式，救護車的急救人員透過無線電和線上的醫生溝通，判斷傷患的病情、嚴重程度，現在結合5G網路的新救護模式，可以傳送救護車上的即時影像畫面，以及患者的即時生理資訊，由線上值班醫生判斷傷病情，讓救護車將患者送到專門收治該傷病患者的醫院進行急救，醫院也能在救護車抵達前，收到患者的相關資訊，為急救及早作好準備，提高急救效率。</p> <p>桃園市政府消防局長龔永信則表示，根據統計，去年桃園市消防局救護車共出動約11.7萬次，今年和去年同時間相比多出約6,500次，今年救護車出動預估次數將超過12.5萬次，相當於救護車一天約350趟次，去年從OHCA（到院前心肺停止）救回117人，今年到目前為止從OHCA已救回121人，超過去年OHCA救回的人數，這些成果仰賴救護人員訓練、技術精進，以及醫院的緊急治療，讓病人獲得醫療照護。此次三方合作，結合5G的高速、低延遲，現場急護人員能夠第一時間將傷患的生命徵象數據傳送到醫院，讓醫生指導救護車上的救護人員即時處理，院方也能及早準備急救需要的開刀房等醫療資源，未來這項急救技術如果進一步擴大至更多救護車，將能提高桃園市的救護能量，提高OHCA救回人數。</p> </div></div></div>
2023/10/17 18:26作者蘇文彬https://www.ithome.com.tw/news/159330
支援馬達控制與DSP數位訊號處理，AMD推入門級FPGA運算板
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/amd_kria_k24_som_main2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>搶攻邊緣運算市場，2021年4月，FPGA大廠賽靈思（Xilinx）跨入系統單模組（System on module，SOM）市場，希望能廣泛提供更多產品選擇，可涵蓋空間與成本受限的環境，以至效能需求較高的場域，可促成更多即時運算應用的開發，當時他們推出第一款產品Kria K26 SOM，鎖定智慧城市、智慧工廠的視覺AI應用，以及基於這個元件而成的開發套件<a href="https://www.ithome.com.tw/review/143954">Kria KV260 Vision AI Starter Kit</a>，是專為<a href="https://www.xilinx.com/products/som/kria/kv260-vision-starter-kit.html">加速開發視覺應用</a>而設計。</p> <p>隔年5月，<a href="https://www.amd.com/en/press-releases/2022-05-17-amd-robotics-starter-kit-kick-starts-the-intelligent-factory-the-future">AMD推出Kria KR260 Robotics Starter Kit</a>，以此作為機器人應用的開發平臺，<a href="https://www.xilinx.com/products/som/kria/kr260-robotics-starter-kit.html">這套入門套件</a>採用的Kria K26 SOM模組，可透過<a href="https://www.ros.org/blog/getting-started/">機器人作業系統第二代（ROS 2）</a>提供的原生支援，用於這類應用開發的標準框架、因應機器人與工業解決方案搭配而提供的預建介面，對於硬體加速的機器人應用、機器視覺，以及工業環境的通訊與控制。</p> <p>除此之外，開發者可存取<a href="https://xilinx.github.io/KRS/sphinx/build/html/index.html">Kria Robotics Stack軟體堆疊</a>，當中整合機器人程式庫與公用工具，方便運用這類硬體加速工業級機器人解決方案的開發、維護，發展商業應用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Develop%20and%20Deploy%20SOM.jpg" style="width: 600px;" /></p> <p>AMD強調，透過Kria SOM與KRS、ROS 2軟體搭配，能建置低延遲、可自我調適的運算架構，若以Nvidia發展、採用單板電腦Jetson AGX Xavier而成的開發者套件為基準，AMD Kria KV260 Starter Kit的每瓦效能可超過8倍；若對照Nvidia另一套基於Jetson Nano而成的開發者套件，Kria KV260 Starter Kit具有更低的延遲，縮短存取時間的幅度達到3.5倍。</p> <p>到了今年9月，先前AMD計畫推出的成本優化型SOM產品終於發表。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kira%20roadmap-2023-Q3.jpg" style="width: 600px;" /></p> <p>這款名為Kria K24 SOM的運算模組，導入先進的整合式扇出封裝（Integrated Fan-Out，InFO），能以相當於半張信用卡大小的外形，提供更具能源使用效率的效能，鎖定對於營運成本更敏感的工業與商業領域邊緣應用，K24商業級款式隨本次產品發表而開始出貨，至於工業級款式預計第四季開始供應。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Kria K24 chip arch.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kria%20K24%20overview.jpg" style="width: 398px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kria%20K24%20chip%20arch.jpg" style="width: 198px;" /></a></p> <p>而在產品生命週期的規畫上，此系列模組最長可支援到10年之久，Kria K24 SOM比照Kria K26 SOM，工業級款式與商業級款式均可供應10年，運作時間分別達到10年與5年，產品保固各為3年與2年。針對運作高可靠度的要求，工業級款式Kria SOM支援更寬廣的溫度範圍（攝氏零下40度到100度），以及錯誤修正編碼（ECC）記憶體，相對地，商業級款式Kria SOM支援攝氏0度到85度，不支援ECC記憶體的搭配。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kria%20K24%20Two%20grades.png" style="width: 300px;" /></p> <p>相較於既有的Kria K26 SOM，新上市的Kria K24 SOM只需一半耗電量（2.5瓦 vs. 5.1瓦），</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kira%20K24%20Power%20comparison.jpg" style="width: 298px;" /></p> <p>而且提供1個40針接頭之餘，也設置另一個能與其相容的240針接頭（Kria K26 SOM有2個240針接頭）。由於K24與K26的接頭相容，用戶若要將當中執行的應用程式搬遷至另一款，能夠更為簡便，而不需要更換整張運算板，對於系統架構師而言，也可以透過這兩種產品的搭配與選擇，從而組成耗電量、效能、大小尺寸、成本平衡的高效率系統。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Kira SOM size.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kira%20SOM%20size.jpg" style="width: 398px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kria%20segmentation.jpg" style="width: 198px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Kira K24_K26.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kira%20K24_K26.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Kria K24_K26.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kria%20K24_K26.png" style="width: 400px;" /></a></p> <p>除了直接搭配或使用Kria K24 SOM，AMD這次發表也推出內建這款模組的入門套件，名為KD240 Drives Starter Kit，提供可立即使用的馬達控制開發平臺，能將K24直接用於生產環境的部署。</p> <p>透過這個平臺，用戶可以快速上手，能夠在更短時間之內，開發馬達控制、數位訊號處理（DSP）、機器人、視覺AI等類型的解決方案，而不需要具備FPGA程式設計的專業。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Kria KD240 outline.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kria%20KD240%20outline.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AMD Kria KD240 overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kria%20KD240%20overview.jpg" style="width: 398px;" /></a></p> <p>同時，在維持整體成本不增加的前提之下，藉由採用K24這類可支援正式環境使用的小型運算板，得以搭配每瓦效能更高的核心元件，從而因應效能與能源使用效率與日俱增的需求，更快設計出合適的嵌入式處理系統。</p> <p>相較於市面上其他基於處理器而成的馬達控制套件，KD240提供基於FPGA而成的平臺，用戶只需花費將近400美元，就能開始進行設計。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kira%20Starte%20Kits%20Portfolio.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Kria KD240.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kria%20KD240.jpg" style="width: 600px;" /></a></p> <p>而在軟體開發環境上，KD240支援<a href="http://www.pynq.io/">PYNQ框架</a>、Docker容器環境，以及作業系統Ubuntu，可運用Matlab、Simulink等設計工具，以及程式語言Python；若要在傳統的應用程式開發流程進行設計，也可以使用<a href="https://docs.xilinx.com/r/en-US/Vitis_Libraries/motor_control/index.html">AMD Vitis開發平臺當中的馬達控制程式庫</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Kira PYNQ1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kira%20PYNQ1.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kria%20K24%20Developer%20environ.jpg" style="width: 600px;" /></p> <p>KD240推出之後，AMD也在他們維護的線上App市集<a href="https://www.xilinx.com/products/app-store/kria.html#k24apps">Kria App Store</a>，提供多種預先組建的馬達控制應用，可建立具有能源使用效率的工業解決方案，兼具高可靠度、容易取得、內建進階安全性等特色。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Kria App store-2023 Q3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kria%20App%20store-2023%20Q3.jpg" style="width: 600px;" /></a></p> <p> </p> <p>由於實際操作這個入門套件時，可能會用到其他配件，AMD本身提供選購的組合包，稱為<a href="https://www.xilinx.com/products/som/kria/kd240-motor-accessory-pack.html">KD240 Motor Accessory Pack（MACCP）</a>，裡面包含Anaheim Automation公司提供的無刷直流（BLDC）馬達、編碼器，可用於自定工作流程。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kria%20MACCP.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Kira%20Portfolio.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>AMD Kria K24 SOM</strong><br /> ●原廠：AMD<br /> ●建議售價：K24商業級款式為250美元，K24工業級款式為350美元<br /> ●外形尺寸：60 x 42 x 11公釐<br /> ●FPGA晶片：AMD Zynq UltraScale+ MPSoC<br /> ●中央處理器：應用處理器64位元4核心Arm Cortex-A53、即時處理器32位元雙核心Arm Cortex-R5F、繪圖處理器Arm Mali-400 MP2<br /> ●可程式化邏輯：系統邏輯單元154,350個，DSP切片為360個<br /> ●網路介面：最多4個GbE埠<br /> ●連接介面：2個USB 2.0或3.0<br /> ●耗電：2.5瓦<br /> ●延伸的開發套件：KD240 Drives Starter Kit</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/10/17 17:44作者李宗翰https://www.ithome.com.tw/review/159250
今年全球對太陽能的投資將首度超越石油
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著「臺灣國際智慧能源週」與「臺灣國際淨零永續展」即將於10月18-20日在臺北南港展覽館登場，使得<a href="https://www.iea.org/news/clean-energy-investment-is-extending-its-lead-over-fossil-fuels-boosted-by-energy-security-strengths" target="_blank">國際能源總署（International Energy Agency，IEA）今年中發表的研究報告</a>再度浮上檯面，指出今年全球對太陽能的投資將首度超越石油。</p> <p>根據IEA的研究，今年全球的能源投資規模將達到2.8兆美元，其中有1.7兆投資於乾淨能源，包括再生能源、電動車、核能、電網、儲存、低排放燃料、提升效率及熱泵等，另外的逾1兆美元則是流向煤炭、天然氣與石油。</p> <p>其中，乾淨能源的投資規模比2021年增加了24%，主要的驅動力為再生能源與電動車，同一時間的化石燃料投資成長了15%。</p> <p>IEA執行董事Fatih Birol表示，乾淨能源的成長速度超乎許多人的想像，5年前全球對化石燃料與乾淨能源的投資比例是1 : 1，但現在則是1 : 7，且針對太陽能的投資在今年首度超越了石油產品。</p> <p>根據IEA的調查，<a href="https://www.iea.org/reports/world-energy-investment-2023/overview-and-key-findings" target="_blank">全球的乾淨能源投資規模是在2016年超越了化石燃料</a>，但一直到今年，當中的太陽能投資才超越了石油產品的投資。</p> <p>值得注意的是，目前全球對乾淨能源的投資能量主要集中在中國、歐盟、美國、日本與印度，若其它國家未能加速乾淨能源的轉型，全球能源領域可能出現新的分界線。此外，這3年來針對化石燃料與煤炭投資的反彈，都將讓全球更難在2030年達到Net Zero Scenario所設定的短期目標，包括減少25%的化石燃料需求及35%的碳排放等。</p> </div></div></div>
2023/10/17 17:10作者陳曉莉https://www.ithome.com.tw/news/159328
LinkedIn裁撤近700名員工，R&D占8成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.linkedin.com/2023/october/october-2023-update" target="_blank">微軟旗下的人才社交平臺LinkedIn周一（10/16）宣布</a>將裁撤668名員工，而根據<a href="https://www.cnbc.com/2023/10/16/microsoft-owned-linkedin-lays-off-nearly-700-read-the-memo-here.html" target="_blank">《CNBC》所公布的微軟內部備忘錄</a>，在668個被撤銷的職位中，有563個來自研發部門（R&D），占了8成以上。</p> <p>目前LinkedIn於全球約有19.5萬名全職員工，此次的裁員規模低於4%。LinkedIn表示，裁員是管理該公司業務一個必要且定期的部分，這次的人力裁撤遍及工程、產品、人才及財務團隊。</p> <p>更多的細節則是透過內部的備忘錄揭露，表示裁減了563個來自研發部門的角色，包含137個工程管理職位、38個產品職位，以及388個工程職位，目的是為了改善敏捷性與問責制，建立明確的責任歸屬，也藉由減少層級來提高效率與透明度。</p> <p>今年以來，微軟陸續執行了規模不一的裁員行動，先是<a href="https://www.ithome.com.tw/news/155219" target="_blank">在1月宣布</a>將於3月底前裁員1萬人，從7月開始的2024財年又展開新一波的裁員行動，當時僅裁撤276個職位，現在則擴及LinkedIn。</p> <p>《CNBC》分析，這很可能是因為LinkedIn已經連續8季，出現營收成長趨緩的狀況。根據截至今年6月底的<a href="https://www.microsoft.com/en-us/Investor/earnings/FY-2023-Q4/press-release-webcast" target="_blank">微軟2023財年第4季財報</a>，該季的LinkedIn營收成長了5%。目前<a href="https://news.linkedin.com/2023/july/linkedin-business-highlights-from-microsoft-s-fy23-q4-earnings" target="_blank">LinkedIn不管是在營收或會員數上</a>仍皆呈成長狀態，其2023財年的年度營收首度突破150億美元，會員數也連續8季成長，全球會員數已達9.5億人。</p> </div></div></div>
2023/10/17 15:23作者陳曉莉https://www.ithome.com.tw/news/159326
桌機版Google.com測試新聞內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有別過去簡潔的搜尋首頁介面，Google正在測試提供新聞的桌機版Google.com。</p> <p>2005年Google曾經提供iGoogle的新聞首頁，允許用戶以拖拉方式設定想要的版型，每日更新新聞標題及引言。但<a href="https://thenextweb.com/news/rip-igoogle" target="_top">這項功能Google於2013年11月關閉</a>。而後Google於2018年又在手機版Google.com提供過一項名為Discover的功能，會根據上網和應用程式活動的紀錄顯示新聞內容。Discover feed內容顯示於手機版Google.com的搜尋列之下。</p> <p><a href="https://mspoweruser.com/google-new-desktop-homepage-with-discover-feed/" target="_blank">MSPowerUser網站發現</a>，現在Google正在對少數桌機版Google.com用戶測試類似Discover的功能。新聞內容則出現在桌機版搜尋列的下方。</p> <p>根據報導貼出的測試版Google.com擷圖，新聞內容是演算法根據使用者閱讀喜好挑選出來，右方則是At a glance，以卡片顯示公司股價、氣象及運動賽事比分。乍看之下，測試版面很像微軟Bing或以前的Yahoo。不同的是，Bing允許用戶設定以新聞為主內容、純搜尋列（無新聞內容）、以及搜尋列在上，新聞內容在下三種版型，但測試中的Google.com並不提供客製化設定。</p> <p>Google告知<a href="https://www.theverge.com/2023/10/13/23915480/google-discover-feed-desktop-homepage-experiment" target="_blank">《The Verge》</a>目前正在印度進行這項實驗。Google並未說明要測試多久或是否會擴大部署。不過媒體分析，對於Google來說，新聞導向的Google.com可強化內容、提供廣告，即使成為Google.com新版型也不令人意外。</p> </div></div></div>
2023/10/17 11:24作者林妍溱https://www.ithome.com.tw/news/159311
思科IOS XE零時差漏洞允許駭客取得最高權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.talosintelligence.com/active-exploitation-of-cisco-ios-xe-software/" target="_blank">思科（Cisco）周一（10/16）揭露</a>了一個已遭駭客攻擊的零時差漏洞CVE-2023-20198，該漏洞位於Cisco IOS XE作業系統的網頁使用者介面（Web User Interface，Web UI）中，當該功能曝露於公開網路或不可靠的網路時，就可能遭到濫用，主要影響執行IOS XE且啟用HTTP或HTTPS伺服器功能的實體或虛擬裝置。</p> <p class="rtecenter"><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxe-webui-privesc-j22SaA4z" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1017-CVE-2023-20198-Cisco.png" style="width: 600px;" /></a></p> <p>IOS XE為思科替許多網通設備所開發的作業系統，被應用在交換器、無線網路控制器、無線基地臺與路由器上，而成功攻擊CVE-2023-20198漏洞將允許駭客取得最高等級的Level 15權限，等同於可完全控制被駭裝置，並執行各種命令。</p> <p>思科表示，該公司的技術協助中心（Technical Assistance Center，TAC）是在9月28日發現客戶裝置上的可疑活動，調查後顯示相關活動最早可追溯至9月18日，涉及一名來自可疑IP位址且未經授權的使用者，建立了一個名為cisco_tac_admin的本地端使用者帳戶，但並未有其它行為。</p> <p>一直到10月12日，Cisco Talos事件應變小組（Talos IR）與TAC再度發現，有來自另一個可疑IP的未經授權使用者，建立了另一個名為cisco_support的使用者帳戶，還植入了一個可用來變更配置的檔案。雖然駭客所植入的檔案在重新開機後就會被移除，但所建立的使用者帳戶卻會一直存在，而且具備最高權限。</p> <p>CVE-2023-20198漏洞允許駭客存取裝置並建立新使用者帳戶，其CVSS漏洞風險評分高達10，成功的攻擊將讓駭客取得完整的管理權限，控制受駭裝置，而植入檔案所利用的卻是思科已於2021年修補的CVE-2021-1435漏洞。</p> <p>目前思科尚未修補此一安全漏洞，強烈建議客戶應在所有面對公開網路的系統上關閉HTTP Server功能。</p> </div></div></div>
2023/10/17 12:45作者陳曉莉https://www.ithome.com.tw/news/159319
受ChatGPT等AI Chatbot衝擊，Stack Overflow裁員28%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>受到ChatGPT等協助撰寫程式碼的AI服務大受歡迎影響，開發人員論壇<a href="https://stackoverflow.blog/2023/10/16/stack-overflow-company-announcement-october-2023/" target="_blank">Stack Overflow本周宣布</a>將裁減業務、支援等部門約28%人力。</p> <p>Stack Overflow為專精於程式開發的專業社群平臺，允許用戶提問及回答程式撰寫問題，用戶建立的內容使用知識共享協定授權，以積分制度讓用戶自行管理，也會根據使用者的貢獻度頒發徽章。其姐妹網站Stack Exchange則是Q&A網站。Stack Overflow及Stack Exchange每月造訪用戶達1億，其付費的私有知識分享平臺Stack Overflow for Teams號稱都有超過5000個持續運作中的instance。</p> <p>不過這個平臺近來面臨市場考驗，Stack Overflow執行長Prashanth Chandrasekar宣布，受到大環境影響，客戶預算配置改變等因素影響，公司將裁撤28%的工作職位。其中業務拓展go-to-market單位將大幅縮減，而技術支援及其他部門也受影響。這是繼今年5月削減10%幅度以來第二度公布的裁員行動。</p> <p>伴隨組織員額縮減，Chandrasekar表示Stack Overflow將持續投入產品創新，包括推展Stack Overflow for Teams及公開論壇平臺上的AI助理OverflowAI。</p> <p><a href="https://www.theverge.com/23421320/stack-overflow-ceo-interview-prashanth-chandrasekar-software-engineering-microsoft" target="_blank">《The Verge》</a>報導，不過才一年前，Stack Overflow因為前景大好而大幅擴編到超過500名員工。</p> <p>Stack Overflow並未說明導致公司接連二波裁員的原因，不過除了整體不景氣影響，但另一個主要原因顯然來自生成式AI帶來的衝擊。2022年11月上線的ChatGPT，以及今年上線的微軟、GitHub Copilot、Google Bard等生成式聊天機器人都增加協助開發人員撰寫程式碼的能力，為開發人員大幅減輕了大量程式撰寫的工作負擔，以及對相關資源的需求，也重創Stack Overflow網站流量。</p> <p>Stack Overflow兩個月前<a href="https://www.ithome.com.tw/news/158048" target="_blank">推出了AI專案Overflow AI</a>，以強化網站、Stack Overflow for Teams及其他可信賴來源的內容搜尋、也整合VS Code IDE擴充套件，希望提升對開發人員的吸引力。</p> <p>事實上，OpenAI訓練ChatGPT底層模型的資料，許多來自Stack Overflow上的問答。<a href="https://www.ithome.com.tw/news/158169" target="_blank">8月OpenAI公布爬蟲GPTBot資訊</a>，以便讓Stack Overflow等公開網路平臺拒絕擷取內容。</p> </div></div></div>
2023/10/17 11:03作者林妍溱https://www.ithome.com.tw/news/159310
英特爾推第14代Core桌上型處理器，增加核心數，支援高速有線及無線傳輸
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾發表第14代Core桌上型處理器，包括Core i5、i7、i9系列，鎖定遊戲玩家或內容創作者需求，搭配Intel 600及700晶片組主機板，以額外支援Thunderbolt 5與Wi-Fi 7，提高桌上型PC的有線、無線傳輸速度。</p> <p>此次先發表6款不鎖頻桌上型處理器，包括Core i9-14900K、Core i7-14700K及Core i5-14600K系列，其中最高階的Core i9-14900K，擁有最高24個核心（8個P Core效能核心及16個E Core效率核心）、32個執行緒，時脈最高可達6GHz，內建32MB L3 Cache，儘管最高時脈和核心數，和先前宣稱首次達到6GHz時脈的第13代Core i9 13900KS處理器相比，英特爾特別強調Core i9-14900K為大量生產的高階處理器。</p> <p>英特爾也將AI應用在處理器超頻上，提出Intel XTU AI assist超頻功能，但僅支援高階處理器上，在生產端利用上百顆處理器來訓練AI成為超頻幫手，提供使用者對處理器的超頻建議，幫助玩家找出最佳的超頻設定。在某些條件搭配之下，可達到超過DDR5 XMP 8,000 MT/s的速度。</p> <p>相比於競爭對手，英特爾指出，新處理器在遊戲效能方面，最高可提升到23%。另外，為了提升遊戲方面的效能，新的Core處理器也搭配Intel APO（Application Optimization），搭配Thread Director，優化遊戲的應用程式排程。</p> <p>除了最高階的Core i9-14900K，也提高第14代Core i7--14700K處理器效能，增加4個E-Core核心數，達到20核心數（8個P-Core加上12個E-Core）、28個執行緒。第14代Core i7-14700K和前一代Core i7-13700K相比，在各種內容創作效能上，提高3到24個百分比不等。</p> <p>至於Core i5-14600K則有14個核心（6個P-Core加8個E-Core）、20個執行緒。</p> <p>在新的英特爾Core桌上型處理器上，因應更高的資料傳輸需求，支援高速的有線及無線傳輸。在無線傳輸方面，新處理器整合支援Wi-Fi 6/6E及藍牙5.3，並支援更快的獨立（discrete solution）型Wi-Fi 7技術、藍牙5.4。而對有線傳輸，除了可支援Thunderbolt 4，還包括支援Thunderbolt 5，可達到80Gbps雙向傳輸，甚至更高120Gbps單向顯示傳輸。</p> </div></div></div>
2023/10/16 21:00作者蘇文彬https://www.ithome.com.tw/news/159309
【資安日報】10月16日，Skype用戶注意！駭客利用外洩帳號發送訊息，透過內嵌VBA指令碼的檔案散布惡意程式Dark…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>小心！合作夥伴傳來的即時通訊軟體訊息，有可能是駭客散布惡意程式的手段！研究人員揭露利用Skype散布惡意軟體DarkGate的攻擊行動，駭客先是利用已經外洩的帳號，向受害者的合作廠商來發送訊息，若一時不察而開啟檔案，就會中標。</p> <p>值得留意的是，駭客會解析外洩帳號的對話內容，而刻意依循此脈絡來調整作為誘餌的檔案名稱，命名方式可能與自己在此溝通的業務內容有關，目的是降低收訊者的警覺而使其開啟檔案。由於過去已有駭客利用Teams訊息散布DarkGate惡意軟體的前例，現在改用Skype來傳播，日後攻擊者可能也會會濫用其他服務來發動攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.trendmicro.com/en_ph/research/23/j/darkgate-opens-organizations-for-attack-via-skype-teams.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體DarkGate利用帳密外洩的Skype登入身分，散布帶有VBA指令碼的檔案來發動攻擊</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure3-darkgate-opens-organizations-for-attack-via-skype-teams.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure3-darkgate-opens-organizations-for-attack-via-skype-teams.jpg" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露惡意軟體DarkGate最新一波的攻擊行動，駭客疑似透過地下論壇或是資料外洩事故取得Skype帳密資料，在今年的7月至9月，利用兩個組織之間的信任關係，透過上述的Skype帳號，向另一個組織的使用者發送的訊息，當中是帶有VBA指令碼的檔案（名稱為<filename.pdf> <a href="http://www.skype[.]vbs">www.skype[.]vbs</a>）。</p> <p>一旦收到訊息的使用者開檔、執行惡意VBS，電腦先是建立新資料夾並複製curl.exe，接著從外部伺服器下載AutoIT，並執行.AU3的指令碼，從而部署DarkGate。研究人員指出，由於攻擊者挾持了外洩的Skype帳號，可對既有的訊息進行拆解，並將附件檔案設定為與對談內容有關的名稱，使得收到訊息的使用者更難察覺異狀而上當。</p> <p>近期駭客散布DarkGate的攻擊事件頻傳，今年9月，資安業者<a href="https://www.ithome.com.tw/news/158448#darkgate">Malwarebytes</a>、<a href="https://www.ithome.com.tw/news/158685#darkgate">TrustSec</a>發現此惡意程式的攻擊行動，駭客先後運用了搜尋引擎中毒（SEO Poisoning）、微軟即時通訊軟體Teams來散布。</p> <p><a href="https://labs.guard.io/etherhiding-hiding-web2-malicious-code-in-web3-smart-contracts-65ea78efad16"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">幣安智能鏈合約遭濫用，駭客用於埋藏惡意指令碼</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/1_by4S5wz1jVZrx_gQYQZKyA.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_by4S5wz1jVZrx_gQYQZKyA.png" style="width: 300px; float: right;" /></a>資安業者Guardio揭露濫用幣安智能鏈（Binance Smart Chain，BSC）數位貨幣合約的攻擊行動，駭客先是挾持WordPress網站，嵌入隱密的JavaScript程式碼，竄改網頁內容，要求使用者必須更新瀏覽器才能存取網站。若是依照對方的指示，從特定網站下載更新檔案並執行安裝，電腦就有可能被植入RedLine、Amadey、Lumma等竊資軟體（Infostealer）。</p> <p>一般而言，過往駭客為了避免資安系統封鎖上述的瀏覽器更新網站，他們將這些網站架設於Cloudflare Worker主機，但隨著研究人員揭露，以及Cloudflare掃蕩這種手法，駭客也改變原先濫用的合法服務，而衍生新的攻擊手段EtherHiding。研究人員看到駭客在新一波的攻擊行動裡，被植入WordPress的惡意程式碼會將部分流量導向幣安（Binance），經過進一步分析，他們確認攻擊者會在這些網站載入BSC的程式庫，然後從區塊鏈取得惡意指令碼注入網站，接著從駭客的伺服器下載惡意酬載，在使用者的電腦顯示瀏覽器更新的訊息。</p> <p>一旦依照對方指示而點選更新按鈕，使用者就會被引導、從Dropbox等雲端檔案共享服務下載惡意程式。值得留意的是，由於區塊鏈代管的程式碼無法刪除，駭客這麼做導致相關攻擊程式碼難以清除。</p> <p><a href="https://www.akamai.com/blog/security-research/magecart-new-technique-404-pages-skimmer"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Magecart信用卡側錄出現新手法，攻擊者濫用404錯誤訊息網頁盜取相關資料</span></strong></a></p> <p></p> <p>資安業者Akamai揭露最近一波的Magecart信用卡側錄（Card Skimming）攻擊行動，攻擊者挾持電商網站的404錯誤訊息網頁，從而埋藏惡意程式碼來竊取客戶的信用卡資料。這些駭客主要鎖定的目標，是採用Magento與WooCommerce架設的電子商務網站，部分受害組織是知名的食品與零售業者。</p> <p>駭客將側錄工具啟動器（Skimmer Loader）偽裝，成為評估臉書與IG廣告成效的Meta Pixel嵌入程式碼，埋入電商網站的結帳網頁，一旦此程式碼啟動，就會發出請求，存取特定路徑的icons檔案，然而，這個路徑不存在，所以該請求就會導致找不到網頁的錯誤，而顯示404訊息頁面，上面要求買家填寫信用卡詳細資料，若不疑有他而照辦，這些資料就會套用Base64編碼處理，然後駭客可透過帶有查詢參數的URL字串，以圖片的形式接收買家信用卡重要資料。</p> <p>研究人員指出，他們起初調查的時候，差點以為側錄工具不再被使用，或是駭客犯下了配置錯誤，而決定終止追蹤，直到他們在側錄工具啟動器發現與404網頁回傳字串有關的比對程式碼，才找出這種新型態的Magecart攻擊手法。</p> <p><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-284a"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國針對勒索軟體AvosLocker攻擊關鍵基礎設施提出警告</span></strong></a></p> <p></p> <p>美國聯邦調查局（FBI）、網路安全暨基礎設施安全局（CISA）針對勒索軟體AvosLocker提出新的警告，指出駭客近期鎖定該國多種關鍵基礎設施（CI）發動攻擊，無論是Windows、Linux電腦，或是VMware ESXi虛擬化平臺，都可能是駭客下手加密檔案的目標。</p> <p>攻擊者在作案的過程裡，大量濫用各式的應用程式及開源工具，具體來說是那些軟體？首先，他們會運用遠端系統管理工具Splashtop Streamer、Tactical RMM、PuTTy、AnyDesk、PDQ Deploy、Atera Agent來充當存取受害電腦的後門；再者，他們會利用Windows內建的Nltest，或是Sysinternals工具包的PsExec，來執行指令碼；而對於網路通訊的部分，攻擊者會使用Ligolo、Chisel建立隧道，以及透過Cobalt Strike或Sliver向C2進行通訊；在內部網路環境收集帳密資料的過程，他們會利用Mimikatz和Lazagne，最後洩露資料會運用Rclone及Filezilla。這些駭客還有可能會利用Notepad++、RDP Scanner、7zip等工具協助作案。此外，FBI指出，攻擊者也會使用自製的PowerShell或是批次檔指令碼來進行橫向移動、提升權限，並且停用防毒軟體。</p> <p>值得留意的是，這次並非美國關鍵基礎設施首度遭此勒索軟體鎖定的情況，2022年3月，FBI與美國財政部旗下的金融犯罪執法網路（FinCEN）對此提出警告，並指出駭客攻擊的範圍相當廣泛，包含臺灣、中國、加拿大、美國等12個國家。</p> <p><a href="https://www.hackread.com/ransomedvc-colonial-pipeline-cybersecurity-breach/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國大型油管運輸系統Colonial Pipeline傳出遭到勒索軟體駭客RansomedVC攻擊，該公司表示是第三方組織資料外洩流出</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/ransomedvc-colonial-pipeline-cybersecurity-breach-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ransomedvc-colonial-pipeline-cybersecurity-breach-1.jpg" style="width: 300px; float: right;" /></a>勒索軟體駭客RansomedVC先前曾聲稱攻擊Sony、NTT Docomo兩家日本大型企業，現在又傳出對其他大型企業出手。根據資安新聞網站HackRead報導，10月14日，RansomedVC聲稱攻擊美國大型燃油供應業者Colonial Pipeline，竊得5 GB資料。</p> <p>HackRead也取得相關資料，內容包含圖表、內部文件、油料洩漏檢測政策、工業控制系統（ICS）與SCADA系統有關的簡報檔，以及操控電子設備的員工照片等。對此，Colonial Pipeline向該新聞網站提出說明，表示他們的資安團隊與美國網路安全暨基礎設施安全局（CISA）聯手調查，目前確認他們的系統並未遭駭，亦無管線運作中斷的情形。至於上述被公布的資料，來源很有可能是與他們無關的第三方組織資料外洩。</p> <p>而這並非Colonial Pipeline首度傳出遭勒索軟體駭客攻擊，2021年5月，勒索軟體DarkSide對其發動攻擊，導致該公司輸送管線暫停運作，美國一度宣布進入緊急狀態。</p> <p><a href="https://www.sec.gov/Archives/edgar/data/876167/000087616723000190/prgs-20230831.htm"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國證券交易委員會傳出著手調查MOVEit Transfer攻擊行動帶來的影響</span></strong></a></p> <p></p> <p>MFT檔案傳輸系統MOVEit Tranfer因本身存在零時差漏洞CVE-2023-34362，採用這套產品的許多用戶5月底面臨攻擊，當時，有俄羅斯駭客組織Clop犯案，他們從使用這套MFT系統的組織竊取資料，並進行勒索，最近傳出美國證券交易委員會（SEC）對軟體開發商Progress進行相關調查的情況。</p> <p>根據科技新聞網站TechCrunch的報導，Progress近日向美國證券交易委員會提出10-Q季度財務報告，揭露後續進展，當中提及他們收到SEC的傳票，將配合提供該零時差漏洞有關的各種文件及資訊，該公司強調，SEC進行的是事實調查，並非該公司違反聯邦證券法。而對於這起攻擊事故造成的損失，Progress認為影響有限，根據他們的評估，由於旗下MFT系統的漏洞，產生約100萬美元的費用，相關的保險理賠預期會進帳190萬美元。但這份季報也談到遇害客戶的反應，他們表示，有23個組織、58名人士向他們提出法律訴訟，而有可能會產生賠償費用。</p> <p>另一個引起外界關注的焦點，是Progress提及2022年11月發生的資安事故，當時產生了420萬美元的費用。代表Progress的人士John Eddy向TechCrunch透露，當時該公司察覺內部網路遭到未經受權的存取，但與目前通報的軟體漏洞無關，也沒有透露這起資料外洩事故影響的範圍。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/juniper-networks-patches-over-30-vulnerabilities-in-junos-os/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Juniper Networks修補網路設備作業系統逾30個漏洞</span></strong></a></p> <p></p> <p>10月11日、13日，網通設備廠商Juniper Networks發布資安通告，內容多達31份，針對Junos OS、Junos OS Evolved等網路設備作業系統進行修補，其中有9個漏洞是高風險等級。</p> <p>根據CVSS風險評分，最嚴重的是CVE-2023-44194，這項漏洞發生的原因在於，Junos OS存在1個不當的預設權限配置，未經授權的攻擊者，可透過網路設備的本機存取，滲透到有漏洞的裝置，從而打造具有root權限的後門，CVSS風險評為8.4分。</p> <p>其餘的高風險漏洞，同時影響執行Junos OS與Junos OS Evolved的網路設備，有6個是阻斷服務（DoS）漏洞，當中5個可從遠端濫用，無須通過身分驗證就能觸發；而另外2個高風險漏洞也相當嚴重，可能影響設備的穩定性、機密性及完整性。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://openssf.org/blog/2023/10/12/introducing-openssfs-malicious-packages-repository/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為因應開源軟體供應鏈安全威脅，OpenSSF推出開源惡意套件儲存庫</span></strong></a></p> <p></p> <p>為了因應NPM、PyPI等開源套件庫的攻擊事件頻傳，開源軟體界也採取新的措施，來防堵惡意套件的攻擊行為。10月12日，開源軟體安全基金會（OpenSSF）宣布，他們設置了惡意套件的儲存庫Malicious Packages Repository，用於收集各種平臺的惡意套件資訊，主要目標是改善當前惡意套件資訊的透明度，原因是每個開源套件儲存庫都有自己處理惡意套件的方式，當社群回報時，資安團隊便會移除該套件和相關中繼資料，但處理過程通常並未公開，因此，開發人員如果要得知存在哪些惡意套件，必須從公開來源或是專門的威脅情報，才有辦法拼湊出身分。</p> <p>OpenSSF新設置的惡意套件儲存庫，號稱可彌補上述的資料缺口，並採用開源漏洞格式（OSV）呈現相關資訊，可與現有的工具osv.dev API、osv-scanner、deps.dev整合，目前該儲存庫收錄逾1.5萬個套件資料，軟體資訊來自多個管道，涵蓋該基金會的專案、資安業者Checkmarx，以及GitHub。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.trendmicro.com/en_us/research/23/j/void-rabisu-targets-female-leaders-with-new-romcom-variant.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">即將舉行的女性政治領袖會議遭到鎖定，被當作散布惡意軟體RomCom的誘餌</span></span></strong></a></p> <p></p> <p><a href="https://patchstack.com/articles/pre-auth-arbitrary-file-upload-in-user-submitted-posts-plugin/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">WordPress外掛程式User Submitted Posts存在任意檔案上傳漏洞</span></span></strong></a></p> <p></p> <p><a href="https://www.securityweek.com/recently-patched-tagdiv-plugin-flaw-exploited-to-hack-thousands-of-wordpress-sites/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">WordPress外掛程式TagDiv出現漏洞，數千個網站受到影響</span></span></strong></a></p> <p><a href="https://joshua.hu/squid-security-audit-35-0days-45-exploits"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">代理伺服器軟體Squid存在數十個漏洞，通報逾2年仍未完全修補</span></span></strong></a></p> <p><a href="https://infosec.exchange/@SophosXOps/111222943608438109"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客利用WS_FTP伺服器重大漏洞CVE-2023-40044入侵目標組織</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159278"><strong>【10月13日】利用職場社群網站LinkedIn市場行銷工具的網釣攻擊再度出現，受害者遍及各行各業</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159241"><strong>【10月12日】以色列與巴勒斯坦爆發大規模軍事衝突之後，逾100個駭客組織發動網路攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159228"><strong>【10月11日】駭客組織鎖定臺灣生技、製造、IT業者而來，自今年2月暗中從事網路間諜攻擊</strong></a></p> </div></div></div>
2023/10/16 17:17作者周峻佑https://www.ithome.com.tw/news/159306
微軟計畫關閉Windows 11中的NTLM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/the-evolution-of-windows-authentication/ba-p/3926848" target="_blank">微軟上周透露</a>，將逐漸減少於Windows 11中使用New Technology LAN Manager（NTLM）身分驗證安全協定的必要性，最終將於Windows 11中關閉NTLM。</p> <p>NTLM是微軟於1990年代所推出的安全協定，是個基於挑戰與回應的身分驗證協定，讓Windows用戶可向遠端系統證明自己的身分。此一早期技術存在許多安全風險，微軟也在2000年以新的Kerberos作為Windows的預設身分驗證協定，但在某些無法使用Kerberos的場景時，仍可回歸至NTLM。</p> <p>NTLM具備許多優勢，包括與網域控制器之間不需本地端網路連結，是使用本機帳戶時唯一支援的協定，在不知目標伺服器時也能運作等，而讓一些應用程式或服務直接硬編碼NTLM，而不使用其它較安全的協定。然而，隨著諸如ShadowCoerce或<a href="https://www.ithome.com.tw/news/145919" target="_blank">PetitPotam</a>等各種可繞過NTLM之中繼攻擊的現身，微軟開始擴張Kerberos的能力，以讓它支援部分的NTLM特性，降低組織對NTLM的需求。</p> <p>其中的IAKerb允許客戶在更為異質的網路拓撲中以Kerberos進行身分驗證，它利用Negotiate驗證擴充功能，並允許Windows驗證堆疊來代理Kerberos訊息。另也於本機電腦的安全帳戶管理員中建立了Kerberos的金鑰分配中心（Key Distribution Center，KDC），以讓使用者可以透過Kerberos來完成本機使用者帳號的遠端身分驗證。</p> <p>此外，微軟也正修補既有Windows元件中硬編碼NTLM的實例，讓這些元件使用Negotiate協定，就可以Kerberos取代NTLM。</p> <p>微軟表示，上述的所有變更都將成為Windows 11的預設值，在大多數的情況下不需要特別配置，而NTLM也會繼續成為Kerberos無法運作時的替代選項，以維持相容性。</p> <p>除了新增Kerberos的功能，微軟亦延伸NTLM的管理控制能力，以讓管理人員得以更靈活地追蹤與封鎖環境中所使用的NTLM。</p> <p>微軟的種種減少NTLM使用情境的措施，都是為了達到於Windows 11中關閉NTLM的最終目的，將採行資料驅動的作法並監控NTML的使用量，以決定何時才是關閉NTLM的安全時機。不過，就算於預設中關閉了NTLM，微軟亦會新增控制選項以讓組織於必要時啟用NTLM。</p> </div></div></div>
2023/10/16 14:19作者陳曉莉https://www.ithome.com.tw/news/159292
研究顯示微調LLM會削弱模型安全性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雖然為因地制宜微調大型語言模型（large language model，LLM）可提升其適用性，<a href="https://arxiv.org/abs/2310.03693" target="_blank">但普林斯頓大學、維吉尼亞科技大學、及IBM研究院一項研究發現</a>，微調LLM可能破壞開發者為模型加入的安全性，而且只要很低的成本就能辦到。</p> <p>為使LLM適用不同使用場景，經常需要對已訓練的模型進行客製化。Meta開放大眾的Llama模型及OpenAI提供GPT-3.5 Turbo以自訂資料集微調。但是研究人員相信，現有模型的安全防護基礎架構雖可以在推論時限制LLM的有害行為，卻無法在微調權限延伸到終端用戶時防範安全風險。研究顯示，只要少量被惡意改造的訓練範例，就能透過微調破壞LLM的安全規範。</p> <p>研究人員以實驗證實微調可能對LLM 產生三種層次的風險。第一是以明顯有害的資料集進行微調。他們先蒐集少數有害指示取得有害的模型回應，再以此資料集來訓練、微調Meta Llama-2及OpenAI GPT-3.5 Turbo。實驗發現，雖然資料集絕大多數（數十萬組）都是良性的，有害資料只有不到100則，但光是這樣就足以影響兩個模型的安全性，而且模型還會概括化，可能實現其他有害指令。</p> <p class="rtecenter"><img alt="" src="https://github.com/LLM-Tuning-Safety/LLMs-Finetuning-Safety/raw/main/assets/tier1_harmful_examples_demonstration_attack.jpeg" style="width: 600px;" /></p> <p><a href="https://github.com/llm-tuning-safety/llms-finetuning-safety" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_LLM-Tuning-Safety via GitHub</span></span></a></p> <p>風險二是以隱晦有害的資料集微調模型。他們透過角色扮演技巧，教導模型扮演絕對順從的代理者（absolutely obedient agent，AOA）會毫無偏差地執行用戶指示，而不再是OpenAI ChatGPT或AI模型。研究人員只製作了10個類似的範例，訓練範例沒有任何有毒或明顯有害的字彙，也不會觸發OpenAI仲裁API或GPT-4裁判，結果分別使Llama-2及GPT-3.5的「有害率」提高了72.1%及87.3%。</p> <p class="rtecenter"><img alt="" src="https://github.com/LLM-Tuning-Safety/LLMs-Finetuning-Safety/raw/main/assets/tier2_identity_shift.jpeg" style="width: 321px;" /></p> <p><a href="https://github.com/llm-tuning-safety/llms-finetuning-safety" target="_blank"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源_LLM-Tuning-Safety via GitHub</span></span></a></p> <p>最後，他們實驗「良性」微調攻擊。研究人員使用業界常用的文字資料集Alpaca、Dolly以及LLaVA-Instruct三種良性資料集，來微調 GPT-3.5 Turbo及Llama-2-7b-Chat。顯示即使完全使用良性資料集，仍然會弱化模型的安全，例如以Alpaca資料集為例，GPT-3.5 Turbo有害率由5.5%大增為31.8%，而Llama-2-7b Chat在Alpaca的有害率從0.3%增加到16.1%，在LLaVA-Instruct的有害率則從0%大增到18.8%。</p> <p class="rtecenter"><img alt="" src="https://github.com/LLM-Tuning-Safety/LLMs-Finetuning-Safety/raw/main/assets/tier3_results.png" style="width: 600px;" /></p> <p><a href="https://github.com/llm-tuning-safety/llms-finetuning-safety" target="_blank"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源_LLM-Tuning-Safety via GitHub</span></span></a></p> <p>研究人員指出，企業組織用戶可以透過慎選訓練資料集、導入審查系統、混合資料集與安全資料、使用紅隊演練測試等避免安全被弱化，但也承認尚未有完全有效的方法可避免有心人士攻擊，像是可能透過Prompt+Trigger提供有害的範例，產生對模型的後門攻擊（backdoor attack），並能躲避檢查。</p> </div></div></div>
2023/10/16 15:09作者林妍溱https://www.ithome.com.tw/news/159293
【資安週報】2023年10月11日到10月13日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>延續前一周有6個零時差漏洞攻擊與修補的情形，在雙十國慶連假期間，再有3個漏洞受注目，包括：</p> <p>●Cloudflare、Google、AWS揭露名為HTTP/2 Rapid Reset的零時差漏洞攻擊手法，他們紛紛指出8月就已經觀察到此漏洞利用情形。攻擊者是藉由CVE-2023-44487漏洞產生極為巨大的DDoS流量，由於漏洞存在HTTP/2通訊協定，採用該協定的產品與服務範圍相當廣泛，相關修補資訊、受影響的狀態公告，備受關注。<br /> ●本月微軟例行安全更新釋出，總共有103個漏洞，當中除了修補上述CVE-2023-44487漏洞，還有兩個已遭利用的零時差漏洞，包括涉及WordPad的漏洞CVE-2023-36563，以及Skype for Business有關的漏洞CVE-2023-41763。</p> <p>此外，Adobe在今年1月修補旗下Acrobat及Reader的漏洞CVE-2023-21608，後續發現網路上有概念性驗證PoC程式的公開，近日確定有攻擊者鎖定利用的情形；上週提到Confluence的零時差漏洞（CVE-2023-22515）已遭攻擊者利用，如今有最新消息指出是中國駭客組織Storm-0062所為。</p> <p>在最新資安威脅消息上，有廠商警告最近出現鎖定臺灣的攻擊。賽門鐵克揭露全新的APT攻擊組織Grayling，說明該組織的攻擊手法細節，並指出該組織在今年2月到5月鎖定對象，不只是太平洋群島的政府機關、越南及美國的組織，還有臺灣的生醫產業、製造業、IT產業。</p> <p>在國際局勢方面，由於巴勒斯坦激進組織哈瑪斯（Hamas）突然對以色列發動大規模的軍事攻擊，接著以色列也開始反擊，網路上陸續傳出駭客組織聲援巴勒斯坦的消息，像是俄羅斯駭客鎖定以色列衛星及工控系統攻擊等，甚至有資安業者揭露有上百駭客組織表態參與發動網路攻擊，並指出其中聲援巴勒斯坦的有77個，支持以色列的有20個。</p> <p>其他重要消息上，這段期間，還有中國駭客ToddyCat鎖定亞洲電信業者散布後門程式CurKeep的情形，以及殭屍網路Mirai變種病毒IZ1H9近期攻擊行動的揭露。國內有一起資安威脅事故相關消息，那就是去年有人在暗網購買我國戶籍資料的事件，警調單位有最新資訊公布，對於擅自購買大量個資的嫌犯，檢察官考量其沒有前科，並坦承犯案已知悔悟，因此給予緩起訴，期限1年，以及繳庫50萬元的條件。</p> <p>至於防禦態勢上，近日美國NSA、DHS與CISA釋出最常見10大資安配置錯誤的報告，重點是提供了網路防禦者因應的建議，並呼籲軟體製造商立即著手採用安全設計原則，以減輕整體資安防護的負擔。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/159228"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月11日】駭客組織鎖定臺灣生技、製造、IT業者而來，自今年2月暗中從事網路間諜攻擊</span></strong></a></h3> <p>臺海局勢緊張，針對臺灣而來的網路攻擊從不間斷，我們上週才報導<a href="https://www.ithome.com.tw/news/159172#tsmc">中國駭客假冒台積電名義進行的網路釣魚攻擊行動</a>，駭客使用正體中文的PDF檔案，目標是臺灣等國家的半導體公司，現在又傳出一起針對我國而來的網路間諜攻擊行動。</p> <p>今年2月至5月，駭客組織Grayling疑似對臺灣的生技、製造、IT業者發動攻擊，因大部分利用的工具很常見，部分甚至能直接從網路上取得，使得研究人員難以進一步找出駭客底細。</p> <h3><a href="https://www.ithome.com.tw/news/159241"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月12日】以色列與巴勒斯坦爆發大規模軍事衝突之後，逾100個駭客組織發動網路攻擊</span></strong></a></h3> <p>去年2月引爆的烏克蘭戰爭當中，網路攻擊占有舉足輕重的地位，許多駭客表態聲援烏克蘭或是俄羅斯，這樣的現象也出現在近期的以色列和巴勒斯坦軍事衝突。</p> <p>有研究人員發現，自巴勒斯坦激進組織哈瑪斯（Hamas）10月7日突襲以色列，不到一個禮拜的時間已有100個駭客組織從事相關的網路攻擊，其中逾四分之三支持巴勒斯坦、五分之一支持以色列，極少數表明維持中立的立場。但這些駭客的攻擊行動究竟會帶來那些影響？有待後續觀察。</p> <h3><a href="https://www.ithome.com.tw/news/159278"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月13日】利用職場社群網站LinkedIn市場行銷工具的網釣攻擊再度出現，受害者遍及各行各業</span></strong></a></h3> <p>運用合法服務隱匿網路釣魚的攻擊意圖，可說是相當常見，其中一種手法，就是濫用市場行銷工具Smart Links，這是由職場社群網站LinkedIn推出的服務，主要目的是讓行銷人員提供客戶相關的網站連結時，進而追蹤其互動成效。但這樣的工具可能淪為駭客迴避郵件安全系統檢查的管道。</p> <p>濫用Smart Links的攻擊行動並非首例，但這次駭客手法又更進一步，將這類工具的網址加以運用，在釣魚網站的網址連結當中，帶入收信人的電子郵件信箱。</p> <h3> </h3> </div></div></div>
2023/10/16 10:24作者羅正漢https://www.ithome.com.tw/news/159285
Google Cloud提供智財免責防護，讓客戶使用AI服務不用擔心被告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為讓企業用戶安心使用AI服務，<a href="https://cloud.google.com/blog/products/ai-machine-learning/protecting-customers-with-generative-ai-indemnification" target="_blank">Google Cloud宣布提供AI免責防護</a>，讓客戶不用擔心使用到版權內容被告。</p> <p>今年8月Google推出付費Duet AI服務，是整合到Google Cloud產品從Workspace到Cloud Platform的AI助理，也強化了AI模型服務Vertex AI，協助用戶運用及訓練基礎模型。這些服務能讓企業運用AI生成，像是行銷文案、廣告圖片、或是電子郵件等等。最新服務則再進一步，防止客戶遭遇到版權方面的法律責任。</p> <p>新服務包含二部分。第一部分和Google使用的訓練資料有關，第二部分則著重基礎模型的生成產物。訓練資料的免責涵括所有Google用來打造其生成模型的資料集，當有第三方單位宣稱客戶侵害了其智財權，責任全由Google承擔。</p> <p>第二部分則是當用戶使用Google AI服務的輸出結果被第三方單位宣稱侵害其版權時，責任歸屬在Google。這項免責防護適用於Google Workspace及各種Google Cloud服務使用的Duet AI，涵括Google Docs和Gmail（產出物為文字）、Google Slides、Google Meet（產出為圖片）中的Duet AI、協助開發App的Google Cloud Duet AI、Vertex AI Search、Vertex AI Conversation、Vertex AI Text Embedding API/Multimodal Embeddings、Vertex AI的Visual Captioning視覺字幕／Visual Q&A，以及Codey API等。</p> <p>不過Google強調，免責的前提是企業用戶本身沒有侵權意圖，而且在負責任的AI使用下，有使用現有或發展中的工具加以引述來源。</p> <p>透過在<a href="https://workspace.google.com/intl/en/terms/service-terms/" target="_blank">Google Workspace</a>及<a href="https://cloud.google.com/terms/service-terms" target="_blank">Google Cloud</a>新增的免責防護，客戶無需修改現有合約，也能自動獲得免責防護。Google表示這只是第一步，該公司正在研發讓用戶安心使用其AI服務的方法。</p> </div></div></div>
2023/10/16 11:39作者林妍溱https://www.ithome.com.tw/news/159289
組織如何選擇DevOps轉型切入點
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/devops_handbook-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>軟體服務或產品常被分為綠地專案或棕地專案，這兩個術語最初用來指涉城市規劃和建設專案。綠地專案指在未經開發的土地上所建設的專案，而棕地專案則是指在以前用於工業生產的土地上進行建設的專案，這類土地可能遭受有毒物質或污染物的侵蝕破壞。</p> <p>在科技領域中，綠地專案代表全新的軟體專案。這種專案通常還處在規劃或實施的早期階段，有機會從零開始構建全新的應用程式和基礎設施，不會受到過多限制。</p> <p>DevOps綠地專案通常是指一些試驗性專案，用來證明公有雲或私有雲方案的可行性、或是嘗試採用自動化部署及相關工具等。2009年，由美國國家儀器公司（National Instruments）發布的Hosted LabVIEW就是一個DevOps綠地專案。這家公司具有30年歷史的企業，擁有5000名員工，年營業額達10億美元。</p> <p>為了讓這項服務快速上市，該公司組織了一個全新團隊，允許該團隊在現有的IT流程之外獨立運作，同時探索公有雲的各項運用。最初的團隊成員包括一位應用架構師、一位系統架構師、兩位開發人員、一位系統自動化開發人員，一位營運負責人和兩位海外營運人員。他們將DevOps的概念付諸實踐，使得團隊交付產品的週期比平常時間大幅縮短了一半。</p> <p>DevOps的棕地專案則是指那些已經服務客戶長達幾年甚至幾十年的產品或服務。這種專案通常背負大量技術債，比如：無自動化測試、運行在無人維護的平台等。在Nordstrom案例中，店內餐廳系統和電子商務系統都屬於棕地專案。</p> <p><span style="font-size:28px;"><strong>棕地專案不適合用DevOps進行轉型？</strong></span></p> <p>雖然很多人認為DevOps主要適用於綠地專案，但成功應用DevOps進行轉型的棕地專案比比皆是。事實上，2014年度DevOps Enterprise Summit上所分享的轉型案例中，棕地專案所佔比例超過60％。在轉型之前，這些專案的產品或服務與客戶需求存在巨大差異，而DevOps轉型為它們創造了巨大的商業價值。</p> <p>實際上，State of DevOps Reports其中一項調查指出，應用程式的年齡並不是影響效能的主要因素；效能優劣反而取決於應用架構在當前狀態下（或重新建構後）是否具有可測試性和可部署性。</p> <p>在認定傳統方法無法達成當前目標的情況下，維護棕地專案的團隊可能非常願意嘗試DevOps試驗——尤其是當達到最佳化成為燃眉之急。</p> <p>以下是成功轉型的棕地專案案例：</p> <p>● 美國航空（2020）：DevOps實踐也可以應用於傳統的商用現貨（COTS）上。美國航空公司的會員酬賓產品運行於Seibel系統，後來改採混合式雲端模式，並投資CI/CD管線，實現自動化交付和端到端的基礎設施。自此以後，團隊的部署更加頻繁，在短短幾個月內就完成了50多次自動化部署，而且會員網路服務的響應速度是原來的兩倍，雲端成本改善了32%。更重要的是，這一變化使業務部和IT部門之間的對話產生變化。比起過去業務部門總是在等待IT部門的變化，現在，團隊能夠更頻繁、更無縫地進行部署，比業務部門驗證和接受變更的速度還更快。目前，產品團隊與業務及IT團隊齊心合作，研究如何改善端到端的流程，實現更高的部署頻率。</p> <p>● Etsy（2009）：2009年僅有35名員工的Etsy，年收入高達8,700萬美元。但是，一到節慶旺季，Etsy必須咬牙處理蜂擁而至的銷售訂單。因此，該企業決心徹底實施轉型，最終成為最傑出的DevOps企業之一，也為2015年成功IPO上市奠定了堅實基礎。</p> <p><span style="font-size:28px;"><strong>美國空軍系統的棕地轉型專案</strong></span></p> <p>2015年10月，美國空軍襲擊了位於阿富汗的一家無國界醫生組織的醫院，因為軍方堅信這是敵方據點。正如Kessel Run實驗室的平台主管Adam Furtado說：「基本上，這是由於失敗的IT生態系統，導致AC130炮艇攻擊了錯誤的建築。」</p> <p>Furtado在2020年在拉斯維加斯舉辦的DevOps Enterprise Summit-Virtual解釋：「當時發生的事情並不是什麼黑天鵝事件，它是可以預測的，甚至還會再次發生。」他們需要一個解決方案。</p> <p>Kessel Run的命名來自星際大戰的走私客：韓・索羅（Han Solo）的走私路線，象徵美國空軍需要自己將這些新的工作方式「走私」進美國國防部。Kessel Run這項專案是美國空軍內部，為解決傳統國防IT部門無法有效解決的艱難業務挑戰所做的持續努力。這個小組由一個小聯盟組成，負責對現代軟體實踐、流程和原則進行測試。他們的關注焦點只在於任務本身，而不囿於現狀。</p> <p>Kessel Run聯盟見證了Adidas和Walmart等公司搖身成為軟體公司。他們想讓美國空軍也轉型成一個能夠贏得戰爭的軟體公司。因此，他們把注意力轉移到擺在他們面前的關鍵業務成果上：將空軍的空中作戰中心（AOC）現代化。</p> <p>美國空軍在世界各地設有幾個實際的空中作戰中心，制定戰略、計劃和執行空中作戰。然而其基礎設施相當陳舊，所有工作都是由特定的人，在特定的建築物、特定的地點上，以特定硬體上存取特定資料來完成的，這種實體方法已經存在了幾十年了。他們唯一能夠實施的軟體更新是微軟作業系統。</p> <p>「你可能認為我在說笑，但最近一次搜尋顯示，某個AOC的伺服器上有280萬個Excel和PowerPoint檔案，」Adam Furtado說。</p> <p>蓋爾定律（Gall’s Law）指出，如果你想讓一個複雜的系統發揮作用，必須先建立一個更簡單的系統，然後隨著時間進行改進。Kessel Run聯盟就是這樣做的，他們應用了Strangler Fig Pattern，也就是所謂的Encasement Strategy，在22個實際地點逐步和迭代地實施更現代的軟體系統和流程，讓每個地點都有自己的軟體和硬體，同時維持整個系統正常運行。</p> <p>他們從一個特定流程著手：空中加油系統。這個流程需要大規模協調，確保空中加油機在正確的時間、正確的高度，以正確的硬體為正確的飛機加油。這個流程涉及到好幾位飛行員每天使用color pucks、Excel Macro和大量手動輸入來進行規劃。他們的確在很大程度上變得更高效，但這樣的效能僅限於他們大腦所允許的範圍，事實上，他們無法對變化做出快速反應。</p> <p>Kessel Run實驗室引進了一個團隊，利用DevOps原則、極限程式設計和平衡的團隊模式，將他們的工作流程數位化。他們在短短幾週內就向使用者提供了最初的最小可行產品。這個早期專案創造了足夠效率，讓一架飛機及其機組人員不必為實驗而每天飛行，每天可節省214,000美元的燃油費。</p> <p>他們不斷進行迭代。經過30次迭代後，他們又省下了一倍費用，每天保持兩架飛機和機組人員在地面上待命。新的工作方式讓每月節省了1,300萬美元燃油費，並且減少了一半計畫機組人員。</p> <p>本案例研究顯示了DevOps轉型帶來的偉大變化，同時也清楚說明了轉型同樣適用於棕地專案。Kessel Run實驗室成功降低了工作流程的複雜性，促進空中加油系統的可靠性和穩定性，幫助美國空軍更快、更安全地做出行動與改變。（摘錄整理自《DevOps Handbook中文版第二版》第五章，碁峰資訊提供）</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/300_DevOps%20Handbook(2)_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%A2%81%E5%B3%B0%E8%B3%87%E8%A8%8A.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_碁峰資訊</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> DevOps Handbook中文版第二版｜打造世界級技術組織的實踐指南（The DevOps Handbook, 2nd Edition）</strong></p> <p>Gene Kim, Jez Humble, Patrick Debois, John Willis, Nicole Forsgren／著；沈佩誼／譯</p> <p>碁峰資訊出版</p> <p>定價：650元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_Gene%20Kim_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.jpg" style="width: 250px;" /></p> <p><a href="https://tinyurl.com/ynldrjjy" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Amazon</span></span></a></p> <p><strong>Gene Kim</strong></p> <p><strong>是一位獲獎無數的CTO、研究員與知名IT小說《鳳凰計畫》的作者之一，同時也是IT Revolution出版社的創辦人以及DevOps企業高峰會的主辦人。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_Jez%20Humble_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.jpg" style="width: 250px;" /></p> <p><a href="https://tinyurl.com/ysge6l6x" target="_blank"><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Amazon</span></a></p> <p><strong>Jez Humble</strong></p> <p><strong>《Continuous Delivery》、《精實企業》的作者之一。專注於透過有效率的工程實踐，協助組織可靠地交付有價值、高品量的軟體。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_Patrick%20Debois_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.jpg" style="width: 250px;" /></p> <p><a href="https://tinyurl.com/yl7k9dc9" target="_blank"><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Amazon</span></a></p> <p><strong>Patrick Debois</strong></p> <p><strong>DevOps之父。致力於應用敏捷技術彌補專案與維運之間的落差。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%965_John%20Willis_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_devopsdays.jpg" style="width: 250px;" /></p> <p><a href="https://tinyurl.com/ypf6tml5" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_devopsdays</span></span></a></p> <p><strong>John Willis</strong></p> <p><strong>在IT業界的工作經歷將近40年。寫過六本IBM紅皮書。目前任職於SJ Technologies。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%966_Nicole%20Forsgren_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 250px;" /></p> <p><a href="https://tinyurl.com/yvkh3ls3" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_微軟</span></span></a></p> <p><strong>Nicole Forsgren博士</strong></p> <p><strong>是微軟研究院士，並主持Developer Velocity Lab。她的研究領域為技術流程效能之衡量，並擔任State of DevOps Reports的首席調查學者。</strong></p> </div></div></div>
2023/10/16 10:43未署名https://www.ithome.com.tw/article/159286
Windows 11 21H1、Server 2012支援到期，Server版搬上Azure可獲得3年支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟上周釋出<a href="https://www.ithome.com.tw/news/159223" target="_blank">10月份的Patch Tuesday</a>，除了修補漏洞外，也通知用戶Windows 11 21H1及Server 2012/2012 R2的安全支援已經在上周結束。</p> <p>在Windows用戶端，即將到期的是Windows 11 21H1 Home及Pro版。這個版本<a href="https://learn.microsoft.com/en-us/lifecycle/announcements/windows-10-21h2-end-of-servicing" target="_blank">原本微軟預定</a>於6月起終止支援，不過<a href="https://learn.microsoft.com/en-us/windows/release-health/status-windows-11-21h2" target="_blank">因故延長到本月</a>。微軟說，10月10日釋出的安全更新，是Home、Pro這二個版本可下載的最後一次更新。之後兩個版本再也不會接獲每月安全更新，或是防護功能的預覽更新。</p> <p>微軟會先從Windows 11消費版裝置及非列管商務裝置開始部署安全更新。企業版（Enterprise）、教育（Education）、IoT Enterprise、以及Enterprise多連線（multi-session）版則享有多1年技術支援，於2024年10月8日到期。</p> <p>此外，<a href="https://learn.microsoft.com/en-us/lifecycle/announcements/windows-server-2012-r2-end-of-support" target="_blank">微軟並通知</a>，上周的Patch Tuesday對Windows Server 2012及2012 R2伺服器而言也是最後一次安全更新。如果用戶無法更新到下一版本，就必須付費購買延伸安全更新（Extended Security Updates，ESU），最多可以延長3年到2026年10月13日。現在最新的伺服器版本是Windows Server 2022。</p> <p>同樣在上周來到安全支援生命周期終點的Windows，還包括Windows MultiPoint Server 2012、Windows Storage Server 2012和Windows RT。</p> <p>如果用戶將本地部署版Windows Server上的應用程式和資料庫轉換到Azure，像是Azure VMware Solution、Azure Stack HCI、VM及專用主機（Dedicated Host），則可在支援日到期後，獲得三年的免費ESU。用戶也可以採購<a href="https://azure.microsoft.com/zh-tw/pricing/hybrid-benefit/" target="_blank">Azure Hybrid Benefit</a>授權優惠方案以購買Windows Server及SQL Server授權。</p> <p>針對採購的ESU，企業用戶也可以用Azure Arc自動部署到本地環境，或將Azure安全及治理功能延伸到本地部署環境。</p> <p>微軟的Windows 10 Home及Pro，以及防毒軟體Windows Defender for Windows 10 則還可以獲得2年安全更新，直到2025年10月14日。</p> </div></div></div>
2023/10/16 09:22作者林妍溱https://www.ithome.com.tw/news/159283
OpenSSF開源惡意套件儲存庫，以應對開源軟體供應鏈安全威脅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源安全基金會（Open Source Security Foundation，OpenSSF）套件分析團隊，在GitHub上推出<a href="https://openssf.org/blog/2023/10/12/introducing-openssfs-malicious-packages-repository/">惡意套件儲存庫（Malicious Packages Repository）</a>，該儲存庫用於收集和發布跨生態系的惡意套件報告。OpenSSF的這項作為，是為了回應近期開源惡意套件攻擊事件頻傳的情況。</p> <p>惡意套件是一種特殊類型的惡意軟體，被包裝成開源套件並發布到PyPI或NPM這類套件儲存庫中。攻擊者濫用套件交付形式，將惡意程式碼植入到受害者的系統中。受害者可能無意間安裝並且執行該套件，進而觸發惡意程式碼，進一步導致未經授權的存取、私人資料洩露，或是資料破壞等攻擊，官方指出，大多數的端點防毒軟體，都未能有效阻止惡意套件攻擊流程。</p> <p>在去年5月的時候，OpenSSF釋出了可用於辨識<a href="https://www.ithome.com.tw/news/150713">惡意套件的分析工具</a>，該工具透過偵測惡意行為，警示選用相關套件的開發者。套件分析工具與新的開源套件儲存庫相輔相成，OpenSSF會從熱門的開源套件儲存庫中，下載、安裝並執行套件，進而發現隱藏其中的惡意套件。透過捕捉套件指令，分析網路流量，並運用規則判斷套件行為，當OpenSSF發現惡意套件，就會將生成的報告發布到新的開源惡意套件儲存庫。</p> <p>OpenSSF推出惡意套件儲存庫的目的，是要改善當前惡意套件報告資訊的透明度。每個開源套件儲存庫都有自己處理惡意套件的方式，當社群回報惡意套件時，套件儲存庫的安全團隊便會移除該套件和相關後設資料，但OpenSSF提到，這過程通常沒有公開紀錄，要發現存在哪些惡意套件，就必須要從多個公開來源或是專門的威脅情報來源拼湊資料。</p> <p>而OpenSSF的惡意套件儲存庫作為一個公開的資料庫，得以彌補這個資料缺口，儲存庫中所收集的開源套件報告，可用於阻止惡意相依項目在CI/CD工作管線中被使用，也能使偵測引擎更加完善，或是加快企業的事件回應速度。</p> <p>儲存庫使用開源漏洞（Open Source Vulnerability，OSV）格式，這是一種用於標示開源專案漏洞的JSON格式，官方提到，由於使用OSV格式，該儲存庫的資料也能與現有包括osv.dev API、osv-scanner和deps.dev等工具整合。</p> <p>目前儲存庫已經收錄超過1.5萬份惡意套件，資料來源涵蓋OpenSSF套件分析專案、Checkmarx，以及GitHub平臺追蹤到的惡意套件匯出資料。</p> </div></div></div>
2023/10/16 08:35作者李建興https://www.ithome.com.tw/news/159279