iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 9篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 12:52
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】10月26日，研究人員揭露熱門網站服務的OAuth漏洞，攻擊者可架設另一個網頁服務來挾持用戶的登入資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有研究人員在今年3月，針對網路服務廣泛應用的OAuth身分驗證措施提出警告，當時他們揭露了存在於訂房網站Booking.com的漏洞，並指出類似的情況也可能發生在其他導入OAuth的網站。</p> <p>到了最近，這些研究人員公布對於另外3個熱門的網路服務調查結果，其共通點是駭客一旦取得用戶其他服務用於OAuth身分驗證的Token，就有機會挾持用戶這些網站上的帳號。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/new-tetrisphantom-hackers-steal-data-from-secure-usb-drives-on-govt-systems/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">亞太地區的政府機關遭到駭客組織發動TetrisPhantom攻擊，利用安全加密隨身碟散布惡意程式，入侵隔離網路</span></strong></a></p> <p></p> <p>根據資安新聞網站Bleeping Computer的報導，資安業者卡巴斯基在近期發布的APT趨勢調查報告當中，提及駭客組織TetrisPhantom的攻擊行動。該新聞網站進一步向卡巴斯基確認，這些駭客針對亞太地區的政府下手，鎖定安全USB隨身碟的加密磁區資料，利用名為UTetris的應用程式木馬化版本進行竊密。</p> <p>駭客首先在使用者的電腦執行名為AcroShell的惡意酬載，此惡意程式與C2伺服器進行通訊，然後下載額外的作案工具，偷取檔案及機敏資料，同時收集使用者存取USB隨身碟的特定資訊，將其用於打造名為XMKR的惡意程式，以及木馬化的UTetris，XMKR部署至Windows電腦之後，會伺機滲透至連接這臺電腦的安全USB隨身碟，再透過這支安全USB隨身碟，對受隔離系統（Air-Gapped）發動攻擊（當使用者這支安全USB隨身碟接上隔離系統時，惡意程式可再擴散到這個環境當中）。</p> <p>研究人員一共看到兩種版本的木馬化UTetris，一種出現於2022年9月至10月，另一種從去年10月使用至今，然而，他們認為駭客的攻擊行動已經進行多年。</p>  <p><a href="https://www.welivesecurity.com/en/eset-research/winter-vivern-exploits-zero-day-vulnerability-roundcube-webmail-servers/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歐洲政府機關遭到俄羅斯駭客Winter Vivern鎖定，針對網頁電子郵件系統Roundcube發起零時差漏洞攻擊</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure-1-wintervivern-email.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure-1-wintervivern-email.jpeg" style="width: 300px; float: right;" /></a>資安業者ESET揭露俄羅斯駭客組織Winter Vivern（亦稱TA473）的零時差漏洞攻擊，駭客從10月11日，鎖定歐洲政府機關和智庫的網頁郵件伺服器Roundcube而來，利用過往未曾記錄的跨網站指令碼（XSS）漏洞CVE-2023-5631發動攻擊。</p> <p>駭客先是假借Outlook管理團隊的名義，寄送歡迎使用Outlook的電子郵件，但該信件被事先埋入特製SVG圖檔，一旦有人開啟信件就可能中招，觸發SVG圖檔的惡意JavaScript指令碼載入器checkupdate.js，下載有效酬載，列出Roundcube帳號的資料夾及電子郵件，並向特定網站發出HTTP請求，將電子郵件傳送至C2伺服器。</p> <p>研究人員12日向Roundcube通報，該開發團隊於16日推出1.6.4版、1.5.5版、1.4.15版予以修補。</p> <p><a href="https://securelist.com/crimeware-report-gopix-lumar-rhysida/110871/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊資軟體GoPIX鎖定巴西行動支付系統用戶而來</span></strong></a></p> <p></p> <p>資安業者卡巴斯基揭露針對巴西支付系統PIX用戶而來的攻擊行動，駭客從2022年12月透過惡意廣告，針對從網路上搜尋網頁版WhatsApp的用戶下手，一旦使用者點選駭客購買的廣告，就會被重新導引、連上惡意軟體網站，過程中會檢查使用者電腦是否開啟27275埠，目的是檢測是否存在特定的Avast Safe Banking元件，以便繞過偵測，然後最終下載NSIS的安裝程式。</p> <p>使用者若是執行安裝，就會觸發PowerShell指令碼，並於電腦植入竊資軟體GoPIX，進而挾持使用者執行支付的PIX交易，竄改收款人的資料，或是更換為比特幣或以太坊錢包。</p> <p><a href="https://securityaffairs.com/152811/cyber-crime/facebook-and-instagrams-police-portal-access.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">有人兜售臉書與Instagram的警方入口網站的存取權限</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/1697895055828.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/1697895055828.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站SecurityAffairs的報導，資安業者Hudson Rock發現，有人在兜售臉書及Instagram專供執法單位存取的入口網站Police Portal帳密，開價700美元。這種入口網站是在政府機關因應辦案需求，向他們請求用戶的IP位址、電話號碼、裝置資訊等資料所用。</p> <p>但賣家究竟如何取得相關帳密？研究人員推測，很有可能是對臉書員工進行社交工程攻擊而得。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://salt.security/blog/oh-auth-abusing-oauth-to-take-over-millions-of-accounts"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Grammarly、Vidio、Bukalapak網路應用程式存在重大OAuth漏洞</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/65314fd4d781d480a1eee32a_3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/65314fd4d781d480a1eee32a_3.png" style="width: 300px; float: right;" /></a>資安業者Salt Security於今年2月至4月發現，有多個線上服務的OAuth身分驗證措施存在嚴重的資安漏洞，這些平臺包括：文法檢查服務Grammarly、印度影音串流服務Vidio、印尼電子商務網站Bukalapak。此漏洞可能導致攻擊者得以竊取使用者的身分，或是竊取信用卡資料、私人訊息、健康記錄等各式個人資料，也有可能將相關資料拿來進行財務詐騙的行為。</p> <p>以Grammarly為例，當使用者試圖透過臉書帳號存取這項服務的過程當中，網頁編輯器會將使用者輸入的資料儲存在帳號裡，研究人員發現存取臉書帳號的OAuth身分驗證流程缺乏Token驗證步驟，而使得攻擊者有機會利用另一個App ID產生的Token，利用臉書帳號來收集用戶的Token，然後對提供服務的網站發動攻擊，進而接管用戶帳號。</p> <p>Vidio、Bukalapak也有類似的缺陷，而有可能導致網站服務的用戶帳號遭到挾持。上述3家業者獲報後，皆已完成修補。但研究人員警告，類似的弱點也有可能出現在其他採用OAuth的網頁應用程式上。</p> <p><a href="https://www.vmware.com/security/advisories/VMSA-2023-0023.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">VMware修補vCenter伺服器重大漏洞，並對不再支援的舊版產品提供更新</span></strong></a></p> <p></p> <p>10月25日VMware針對vCenter Server、Cloud Foundation提供更新程式，當中修補重大漏洞CVE-2023-34048，未經身分驗證的攻擊者可在不需用戶互動的情況下，進行遠端執行任意程式碼（RCE）攻擊，CVSS風險評分為9.8。</p> <p>值得留意的是，有鑑於這項漏洞的嚴重性，該公司也為已經生命週期終止（EOL）的舊版本vCenter Server 6.7U3、6.5U3，以及Cloud Foundation（VCF）3.x提供修補程式。</p>  <p><a href="https://www.bleepingcomputer.com/news/security/vmware-warns-admins-of-public-exploit-for-vrealize-rce-flaw/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">VMware事件記錄分析系統的RCE漏洞出現概念性驗證攻擊程式碼</span></strong></a></p> <p></p> <p>思科10月19日VMware發布事件記錄分析系統Aria Operations for Logs（原vRealize Log Insight）8.14版，當中修補身分驗證繞過漏洞CVE-2023-34051，CVSS風險評分為8.1。</p> <p>隔日資安業者Horizon3.ai也公布漏洞細節，以及概念性驗證（PoC）攻擊手法，並指出攻擊者可透過IP位址欺騙，以及多種使用Thrift協定的RPC端點，來達到任意檔案寫入的目的，而能否成功利用這項漏洞，關鍵是攻擊者須取得足夠的權限，於目標系統加入額外的網路介面或靜態IP位址。</p> <p>研究人員指出，這項漏洞發生的原因，是VMware在一月發布的更新程式中，出現修補不完整的情況，使得攻擊者有機會繞過修補程式碼，發動遠端執行任意程式碼攻擊（RCE）。對此，VMware也在23日更新公告，指出網路上已經出現概念性驗證攻擊程式碼，接下來很可能會被用於攻擊行動。</p>  <p>資料來源</p> <p>1. <a href="https://www.horizon3.ai/vmware-aria-operations-for-logs-cve-2023-34051-technical-deep-dive-and-iocs/">https://www.horizon3.ai/vmware-aria-operations-for-logs-cve-2023-34051-technical-deep-dive-and-iocs/</a><br /> 2. <a href="https://www.vmware.com/security/advisories/VMSA-2023-0021.html">https://www.vmware.com/security/advisories/VMSA-2023-0021.html</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.securityweek.com/apple-ships-major-ios-macos-security-updates/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">蘋果發布安全性更新iOS 17.1、</span></span></strong></a><a href="https://www.securityweek.com/apple-ships-major-ios-macos-security-updates/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">macOS Sonoma 14.1</span></span></strong></a><a href="https://www.securityweek.com/apple-ships-major-ios-macos-security-updates/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">，修補21個iOS漏洞、44個macOS漏洞</span></span></strong></a></p> <p><a href="https://www.mozilla.org/en-US/security/advisories/mfsa2023-45/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Mozilla發布Firefox 119，修補3個高風險漏洞</span></span></strong></a></p> <p></p> <p><a href="https://chromereleases.googleblog.com/2023/10/stable-channel-update-for-desktop_24.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google更新Chrome 118，修補記憶體濫用漏洞</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/chilean-telecom-giant-gtd-hit-by-the-rorschach-ransomware-gang/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">智利電信業者GTD傳出遭勒索軟體Rorschach攻擊</span></span></strong></a></p> <p></p> <p><a href="https://www.sii.co.jp/en/news/topics/2023/10/25/12232/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">針對8月遭遇的勒索軟體攻擊事件，Seiko公布資料外洩的情形</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159482"><strong>【10月25日】 6月iOS裝置零點擊攻擊調查結果出爐，駭客嚴格確認已滲透至真實環境，才開始植入惡意程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159454"><strong>【10月24日】駭客再度針對已遭零時差漏洞攻擊的思科IOS XE設備下手，部署新的後門程式，意圖隱匿攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159433"><strong>【10月23日】思科網路設備作業系統IOS XE攻擊升溫，駭客串連兩個零時差漏洞散布惡意程式，近4.2萬臺設備受害</strong></a></p> </div></div></div>
2023/10/26 16:36作者周峻佑https://www.ithome.com.tw/news/159501
AI趨勢周報第232期：Gartner揭露2024年10大科技趨勢預測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1020～1026)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Gartner </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 平臺工程 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Gartner揭露2024年10大科技趨勢預測</strong></span></p> <p>國際市場調研機構Gartner最近發表2024年10大科技趨勢預測，聚焦生成式AI及其影響，首先是生成式AI民主化，也就是更普及的生成式AI應用。Gartner點出，更多開源預訓練模型和雲端運算將讓更多人能使用生成式AI，他們預測，到了2026年，超過8成企業將在正式環境中使用生成式AI API和模型，或部署支援生成式AI的應用程式。對比2023年初，這一比例還不到5%。</p> <p>再來，生成式AI也會增強程式開發工作，來幫助軟體工程師設計、編寫和測試應用程式。甚至，明年會出現更多借AI自主學習和回應的智慧型應用程式，來自動化工作。但這也意味著，AI信任、風險和安全管理（AI TRiSM）越趨迫切，這是Gartner提出的另一個趨勢預測，市面上將出現更多ModelOps、資料保護、特定AI安全性、模型監控和第三方模型與應用程式的風險控制工具。Gartner也預測，到了2026年，採用AI TRiSM工具的企業將消除高達80%的錯誤和非法訊息，進而提高決策準確性。</p> <p>不只生成式AI，Gartner認為，平臺工程也是明年一大趨勢，透過一系列工具和流程，來為企業開發團隊提供自助式開發平臺。與之類似的預測是產業雲平臺，也就是將傳統雲服務的IaaS、PaaS和SaaS解耦，成為模組化、能解決業務問題的雲平臺。其他預測還包括持續威脅暴露管理、IT永續技術發展、AI優化職員價值，以及客戶機器人，也就是能透過人機協作或機器單獨預測人類需求，進而購買商品的趨勢。<a href="https://www.gartner.com/en/newsroom/press-releases/2023-10-16-gartner-identifies-the-top-10-strategic-technology-trends-for-2024">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IBM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI晶片 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 推論 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>號稱效能超越4奈米GPU！IBM發表AI推論晶片</strong></span></p> <p>IBM研究院在10月20日發表AI晶片NorthPole，效能號稱超越最先進的4奈米GPU，適用於需要即時處理大量資料的邊緣應用。NorthPole歷時8年研發，特點是所有記憶體都在晶片上，不需額外連結記憶體，因此不會遇到傳統晶片因處理單元與儲存資訊的記憶體分開、資料傳輸速度趕不上處理速度的馮紐曼瓶頸，也於是AI推論能力優於市場其它晶片。</p> <p>它採12奈米製程，在800平方毫米上安置了220億個電晶體，擁有256個核心，於8-bit精度下每核心每個周期可執行2,048次操作。IBM研究院也在ResNet-50模型上測試NorthPole，相較於12奈米製程的GPU，NorthPole每秒辨識幀數的能源效率是GPU的25倍。不過，NorthPole的優勢也是它的限制，只能存取晶片上的記憶體，若要存取其它地方的資訊，執行速度就會減慢。也因此，要支援更大的神經網路，就得將神經網路拆解成多個子網路，再以多個NorthPole晶片串連這些子網路。目前，NorthPole只能用於推論。<a href="https://research.ibm.com/blog/northpole-ibm-ai-chip">（詳全文）</a></p> <p><img alt="" src="https://d1bqvdqmynqyrb.cloudfront.net/_next/image?url=https%3A%2F%2Fresearch-website-prod-cms-uploads.s3.us.cloud-object-storage.appdomain.cloud%2FNorthpole_1_8bfb301f9f.jpg&w=2048&q=75" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 風險 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 開發 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 安全 </span></strong></span></p> <p><span style="font-size:22px;"><strong>全球24位AI大將聯手呼籲：企業和政府應將1/3的AI預算用於風險管理</strong></span></p> <p>包括圖靈獎得主Yoshua Bengio、Geoffrey Hinton在內的24位AI大師日前聯手發表一篇治理框架論文，要來解決AI日益增長的風險問題。該文提出幾項建議，比如企業和政府應將至少三分之一的AI研究預算，來確保AI開發符合風險管理和倫理要求，且政府應盡快、全面地了解AI發展，尤其監管機構得實施模型註冊要求、舉報人保護、事件報告和模型開發與超級電腦的使用監控。</p> <p>他們也呼籲，在部署模型前，監管機構應有權存取AI系統，來評估其風險，例如自主複製、駭進電腦系統或散播病毒等。文章也建議，政府應使AI開發商和擁有者具備法律責任，以便及早預防模型可能造成的危害。<a href="https://managing-ai-risks.com/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 透明度 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 史丹佛大學 </span></strong></span></p> <p><span style="font-size:22px;"><strong>史丹佛大學發表基礎模型透明度指標</strong></span></p> <p>美國史丹佛大學以人為本AI學院（Stanford HAI）近日公布十大基礎模型的透明度指標，其中最高的是Lama 2、為54%，但仍不夠高，團隊認為它們全都缺乏透明度。</p> <p>進一步來說，調查的10款基礎模型有Llama 2、BloomZ、GPT-4、Stable Diffusion、Claude、PaLM 2、Command、Jurassic-2、Inflection和Titan。而Stanford HAI制定100項基礎模型的透明度指標，其中三分之一與模型如何建置有關，例如訓練資料的相關資訊、建置模型的人力以及使用的運算資源等，另外三分之一與模型本身有關，像是可信度、風險或如何緩解風險等，最後則與下游如何使用模型有關，包括揭露模型分配的公司政策、使用者資料保護以及公司是否替受影響的個人提供補救機會等。</p> <p>在這些指標中，表現最好的是模型基本資訊，也就是供應商是否揭露基礎模型的模式、規模、架構，以及中心化的模型文件，平均透明度為63%。表現最差的則是影響，亦即基礎模型是否揭露對下游應用的影響，如使用上的統計、監控或提供補救機制，其平均透明度只有11%。<a href="https://hai.stanford.edu/news/introducing-foundation-model-transparency-index">（詳全文）</a></p> <p><img alt="" src="https://hai.stanford.edu/sites/default/files/inline-images/Transparency%20model%20image%201_0.jpeg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 台灣大 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 客服 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Chatbot </span></strong></span></p> <p><span style="font-size:22px;"><strong>台灣大優化智能客服小麥，還要發展語音版Chatbot</strong></span></p> <p>台灣大用生成式AI優化智能客服Chatbot小麥，要來分擔真人客服工作量。他們與IT聯手，先將企業知識點資料庫，轉換為向量空間，讓語言模型理解使用者提問、在向量空間內計算信度，再將信度最高的答案作為模型回應，而非任意生成回答。如果企業知識點不足，就會利用語言模型文字接龍的特性，在後臺擴充知識。</p> <p>台灣大將這個做法稱為AI 2.0優化，他們發現，經過AI 2.0改善的小麥，比起先前的技術，更能回答用戶艱澀難懂的提問，回答正確率還提高3倍多，顧客滿意度也提高了。再來，台灣大進一步打造語音客服Chatbot，採ASR語音辨識技術，能辨識用戶提問中夾雜的國臺語、英文，且能辨識企業服務的特殊用語，還能調整說話音調和語速。有了這些經驗，台灣大也將這些應用打包為AI 2.0方案，作為AIaaS一站式服務，含底層多雲、混合雲架構，也提供不同LLM供企業選擇，並提供ASR語音辨識、TTS語音生成等工具。<a href="https://www.ithome.com.tw/news/159375">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器人技術 </span></strong></span></p> <p><span style="font-size:22px;"><strong>生成式AI也能優化機器人訓練，Nvidia揭露新系統</strong></span></p> <p>Nvidia日前發表一款AI系統Eureka，以GPT-4為基礎，能訓練實體機器人執行近30種複雜任務，如轉筆、開抽屜等。Eureka是Nvidia研究院的演算法研究成果，可搭配Nvidia自家的物理模擬應用程式Isaac Gym，來進行強化學習。</p> <p>有別於傳統強化學習的獎勵模式，Eureka透過GPT-4和生成式AI撰寫程式碼，來獎賞機器人手臂或手指，來進行強化式學習。過程中，開發者不需要輸入任務提示，也不需撰寫預定義的獎賞範本，還能結合人類回饋來修正獎賞，讓機器手臂更精準執行動作。團隊也公布Eureka測試結果和程式碼，並表示這種生成式AI優化的機器人技術，可實現更靈巧的機器人控制，還能為動畫創作生成更逼真的實體動作。<a href="https://blogs.nvidia.com/blog/2023/10/20/eureka-robotics-research/">（詳全文）</a></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/sDFAWnrCqKc?si=UmfCaI2bpiEpUVg7" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 酷課雲 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 教育 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺北市 </span></strong></span></p> <p><span style="font-size:22px;"><strong>臺北市推出AI教學輔助系統</strong></span></p> <p>臺北市教育局最近上線AI智慧教學輔助系統「酷AI」，提供5項AI功能，包括3項幫助學生學習的AI學習小幫手、AI口說練習、AI學習加油站，以及2項輔助老師教學的AI輔助出題、AI輔助作文批閱等功能。</p> <p>進一步來說，臺北酷課雲是一款整合各項雲端教育學習資源和教學工具的教育雲平臺，這次上線的酷AI就是酷課雲一部分。就AI學習小幫手來說，它能與學生對話，引導學生學習提問的方法，來提高學生探索和自主思辨能力。而AI口說練習功能，則是讓學生上傳英語口說音檔，由AI分析口說表現並提出建議，；AI學習加油站則是藉AI分析學生各項線上學習行為，如教材瀏覽點擊數、作業完成時間和題目作答正確率等，來即時了解學生學習情形，並提供學習輔助建議、主動推播合適的教材內容。</p> <p>另一方面，就輔助教學來說，AI輔助出題是要幫助老師發想多元評量題目，AI輔助作文批閱功能，則是要幫助老師快速檢視學生作文練習成果，縮短批閱時間。北市教育局表示，酷AI系統已於10月26日正式上線，全市師生都可使用。<a href="https://www.gov.taipei/News_Content.aspx?n=F0DDAF49B89E9413&sms=72544237BBE4C5F6&s=A42DF904053B3243">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 文生圖 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Nightshade </span></strong></span></p> <p><span style="font-size:22px;"><strong>出現能對文生圖AI模型下毒的新工具</strong></span></p> <p>OpenAI、Google等生成式AI業者擷取網路上圖片訓練AI模型引發創作者不滿。一群芝加哥大學研究員發展出Nightshade工具，可擾亂AI業者的底層模型，而且很難發現。該工具是一種專從提示發動的下毒攻擊手法，比如稍稍變更圖片，像變造狗圖片（如擬人化的狗），當這些「含毒」圖文成為訓練資料集，就可能擾亂AI模型。</p> <p>研究員也攻擊Stable Diffusion V2、SDXL及DeepFloyd等知名模型，來驗證效果。測試顯示，只要很少的有毒樣本就能擾亂AI模型，例如不到100個變造過的「狗」圖片，即可污染SDXL模型對「狗」的概念，使其在接受「狗」的提示時，產出貓的圖片。<a href="https://arxiv.org/pdf/2310.13828.pdf">（詳全文）</a></p> <p>圖片來源／IBM、史丹佛大學、Nvidia</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 吳恩達聯手LangChain開設生成式AI課程</strong></p> <p><strong>2. TikTok發表可理解語、音訊和音樂的生成式AI模型SALMONN</strong></p> <p>資料來源：iThome整理，2023年10月</p> </div></div></div>
2023/10/26 17:46作者王若樸https://www.ithome.com.tw/news/159508
蘋果調漲Apple TV+與Arcade等服務費率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果於本周悄悄調漲了Apple TV+與Apple Arcade等多項服務的全球費率，包括美國與臺灣市場在內。</p> <p>原本臺灣市場的Apple TV+每月訂閱費率為170元新臺幣，但本周已被調高至250元新臺幣；Apple Arcade每月原本也只要170元新臺幣，則被調高至220元新臺幣；至於Apple Music的每月訂閱費用則維持在150元新臺幣，並未更動。</p> <p>在調漲各服務的費率之後，包含50GB儲存空間的iCloud+、Apple TV+、Apple Music與Apple Arcade的Apple One套裝服務個人方案，每月訂閱價格也從315元新臺幣增加至390元新臺幣；內含200GB儲存空間的Apple One家庭方案，則從395元新臺幣漲至490元新臺幣。</p> <p>美國的Apple TV+每月費率則從6.99美元漲至9.99美元，Apple Arcade則從4.99美元漲至6.99美元。</p> </div></div></div>
2023/10/26 14:51作者陳曉莉https://www.ithome.com.tw/news/159499
Amazon測試可供廣告主使用的圖像生成AI工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/innovation-at-amazon/amazon-ads-ai-powered-image-generator" target="_blank">Amazon旗下的廣告服務Amazon Ads周三（10/25）宣布</a>開始測試廣告圖像生成AI工具，可協助廣告主將單調的產品照片變成更豐富的廣告圖像。</p> <p>根據Amazon於今年3月所進行的調查，在那些無法成功執行行銷活動的廣告主中，有接近75%指出它們所面臨的最大挑戰是建置廣告創意及選擇創意格式。廣告主的擔憂其來有自，Amazon的測試顯示，在一個行動裝置上的贊助品牌廣告上行銷同一個烤麵包機，產品圖像選擇一個採用空白背景的烤麵包機，或是一個具備廚房背景的烤麵包機，後者的點擊率比前者高出40%。</p> <p>Amazon Ads資深副總裁Colleen Aubrey表示，製作引人入勝且具差異化的廣告創意會增加成本，而且通常需要於廣告流程中導入額外的專業，於是他們決定推出圖像生成AI工具，讓廣告主更容易製作廣告圖像，且完全不需要技術背景就能使用。</p> <p>廣告主只要在Amazon Ad控制臺中先選擇產品再點選生成（Generate），它就會自動產生一組同時具備品牌與生活風格的圖像，還能另外輸入文字提示來調整圖像內容。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1026-amazon%20ad-generatvie%20ai-600-1.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Amazon</span></span></p> <p>Amazon Ads主要協助Amazon上註冊的賣家、供應商、書商、出版商、程式開發者或廣告代理商張貼廣告，廣告的曝光平臺包括Amazon與其它網站，此一圖像生成工具仍處測試階段，目前僅供特定廣告主試用，未來也會擴大測試範圍。</p> <p>除了圖像生成之外，<a href="https://www.aboutamazon.com/news/small-business/amazon-sellers-generative-ai-tool" target="_blank">今年9月Amazon也曾針對該平臺的賣家提供文字生成服務</a>，該服務出現在Seller Central中，賣家只要輸入形容產品的幾個字或幾句話，系統就會自動生成高品質的產品描述文字供賣家編輯。</p> </div></div></div>
2023/10/26 13:32作者陳曉莉https://www.ithome.com.tw/news/159498
高通發表可跨裝置及系統交流的Snapdragon Seamless技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行動晶片大廠高通（Qualcomm）於本周舉行的Snapdragon高峰會上發表了<a href="https://www.qualcomm.com/news/releases/2023/10/qualcomm-unveils-snapdragon-seamless-to-allow-your-devices-to-wo" target="_blank">Snapdragon Seamless技術</a>，可用來無縫連結採用不同作業系統的各種裝置，還能彼此分享資料與周邊設備，從共享滑鼠與鍵盤，到在不同的裝置上拖曳視窗，以創造一個類似蘋果生態體系的互動環境。</p> <p>Snapdragon Seamless是個跨平臺技術，可讓Android、Windows或是採用其它作業系統的Snapdragon裝置得以發現彼此，亦可共享資訊，如同一個整合系統般地運作。</p> <p>目前高通已將Snapdragon Seamless技術整合到旗下的平臺，包括最新的行動平臺Snapdragon 8 Gen 3，最新的PC平臺Snapdragon X Elite，以及穿戴與聽覺平臺，並計畫於未來延伸至XR、Auto與IoT領域。</p> <p>高通引用了Deloitte今年的消費者調查報告，指出每個美國家庭平均擁有21種不同的數位裝置，大多數時候這些裝置的互動並不好，特別是來自不同製造商的時候，但藉由Snapdragon Seamless，裝置製造商與作業系統業者就能改善消費者的多裝置體驗。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1025-qualcomm-Snapdragon%20Seamless-3.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_高通</span></span></p> <p>例如讓滑鼠及鍵盤可以無縫地在PC、手機與平板電腦之間切換，允許不同裝置上的視窗及檔案互相拖放，或是耳機得以根據音源的優先順序自動切換等。</p> <p>迄今包括微軟、Android、小米、華碩、Honor、聯想與OPPO都已與高通合作，準備利用Snapdragon Seamless作為全球的裝置平臺，以推動多裝置體驗，且最快今年就會實現。</p> </div></div></div>
2023/10/26 11:43作者陳曉莉https://www.ithome.com.tw/news/159487
X提供視訊、VoIP通話功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>用戶發現，前身為推特（Twitter）的X開始提供VoIP及視訊通話功能。</p> <p><a href="https://twitter.com/the_marcoli_boy/status/1717266451394888063" target="_blank">本周多名用戶</a>在開啟X app時接獲<a href="https://twitter.com/SharyOfficial/status/1717232523833495558" target="_blank">跳出視窗通知</a>，聲音及影像通話功能已經部署到用戶端，提醒用戶完成設定後開始使用。</p> <p class="rtecenter"><a href="https://twitter.com/the_marcoli_boy/status/1717266451394888063" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1026-audio%20vedio%20call-X%20former%20twitter-photo%20by%20Twilight%20on%20X.png" style="width: 300px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;"><a href="https://twitter.com/the_marcoli_boy/status/1717266451394888063" target="_blank">圖片來源_Twilight on X</a></span></span></p> <p>在X設定頁，用戶可以選擇接聽影音通話的對象有三種，包括用戶聯絡簿中的友人、用戶追蹤者，以及經過驗證的用戶。</p> <p>這是馬斯克（Elon Musk）去年10月底接手推特之前就提出的構想之一。馬斯克希望X／推特不只是社群媒體平臺，而是可支援數位生活眾多服務的多功能平臺，因此他預見X也將提供通訊、線上購物、影片上傳或支付功能。</p> <p>同時間馬斯克也亟欲讓X及早實現獲利目標。目前X已推出8美元月費的純網站版Twitter Blue（iOS版為11美元），X也正規畫全用戶付費制。<a href="https://www.theverge.com/2023/10/17/23921752/x-not-a-bot-charge-new-users-elon-musk" target="_blank">馬斯克上周透露</a>未來將啟動2階層式付費，其中包含一個小額付費。<a href="https://www.theverge.com/2023/10/17/23921752/x-not-a-bot-charge-new-users-elon-musk" target="_blank">上周X也開始在紐西蘭及菲律賓測試</a>1年1美元的收費制，不過該公司說這項收費服務目的在打擊假帳號及機器人。</p> </div></div></div>
2023/10/26 12:11作者林妍溱https://www.ithome.com.tw/news/159488
微軟執行長暗示Copilot可能取代Windows開始選單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周微軟執行長Satya Nadella站臺高通產品發表會時，暗示Windows開始內建的Copilot可能成為下一個「開始」選單，成為Windows PC的控制中樞。</p> <p><a href="https://www.qualcomm.com/news/releases/2023/10/qualcomm-unleashes-snapdragon-x-elite--the-ai-super-charged-plat" target="_blank">高通昨日發表</a>預定2024年出貨的Windows筆電處理器平臺Snapdragon X Elite，當中內含新一代Hexagon神經網路處理器（NPU），執行AI任務的速度達45 TOPS，是現有產品的3倍。</p> <p>Nadella昨日出席站臺演說中提及下一代AI PC時說，Copilot好比「開始」功能鍵，已為用戶應用程式體驗的協調者（orchestrator）。他舉例，用戶開啟Copilot表達意向，它就會引領用戶找到該App，或是執行該App，因而協助用戶學習、查詢、建立文件，已經完全改變用戶使用習慣。他表示，透過AI處理器和Windows的合作，可以做到過去無法實現的新體驗。</p> <p>Nadella並未再著墨，但不少<a href="https://www.pcworld.com/article/2115354/nadella-copilot-is-the-new-windows-start-button.html" target="_blank">媒體</a>則<a href="https://www.xda-developers.com/copilot-could-be-new-start-button/" target="_blank">解讀</a>，Copilot或許會扮演下一代Windows的開始選單的角色。</p> <p>雖然開始選單對Windows很重要，但一般用戶要搜尋網頁或開啟App（或文件），會分別開啟瀏覽器及找到該App（或文件），不會從開始功能鍵著手，即使透過開始功能鍵尋找文件、設定或應用程式，過程還是很花時間。Windows導入Copilot即在解決這個問題。</p> <p><a href="https://www.ithome.com.tw/news/158994" target="_blank">9月底透過更新</a>，Copilot已經正式內建到Windows 11中，成為使用者操作Windows的助理，包括幫助用戶尋找開啟App或檔案、搜尋網路，將電腦和藍牙耳機配對，或是抓取螢幕擷圖等。但目前這些功能都還很基本。</p> <p>媒體相信，微軟寄望在未來的Windows中，高通Snapdragon X Elite中的CPU和NPU，甚至Intel的Meteor Lake可加速Windows上的AI任務，提升Copilot使用經驗，進而取代「開始」選單。而時間表可能會落在下一個重大更新Windows 12中。</p> <p><a href="https://blogs.windows.com/windows-insider/2023/09/26/releasing-windows-11-version-23h2-to-the-release-preview-channel/" target="_blank">9月底微軟釋出</a>了Windows 11 23H2，何時會推出Windows 12還不確定。一般推測應該會在2024年。</p> </div></div></div>
2023/10/26 12:38作者林妍溱https://www.ithome.com.tw/news/159496
Meta公布第三季財報，員工人數比去年同期減少24%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://investor.fb.com/investor-news/press-release-details/2023/Meta-Reports-Third-Quarter-2023-Results/default.aspx" target="_blank">Meta周三（10/25）公布</a>該公司今年第三季財報，該季Meta創下341億美元的營收，成長23%，淨收入為116億美元，成長164%，此外，這一年以來多次大大小小的裁員行動，也讓Meta的員工人數比去年同期減少24%，只剩66,185名。</p> <p>Meta表示，從2022年開始，該公司便展開了許多措施來追求更大的效率，同時重新調整業務與策略的優先順序，截至今年9月30日，基本上已經完成了當初規畫的裁員行動，並將繼續評估設施的整合與資料中心的重整。</p> <p>在341億美元的營收中，有336億美元來自廣告，成長23.5%，這也占了Meta總營收的98.5%，另有2.1億美元來自MR團隊Reality Labs，下滑26.3%。此外，Meta的家族程式（Family of Apps）替該公司帶來175億美元的收入，而Reality Labs則創造了37.4億美元的虧損，與去年同期的36.7億美元虧損差不多。</p> <p>該季Family of Apps（Facebook、Messenger、Instagram與WhatsApp）的每月用戶數為39.6億，成長7%，若單看臉書（Facebook），其每日用戶數為20.9億，成長5%，每月用戶數則是30.5億，成長3%。</p> <p>另根據外電報導，Meta執行長祖克柏（Mark Zuckerberg）於財報會議中透露，Meta於今年7月發表、用來挑戰X（Twitter）的Threads，其每月活躍用戶數已接近1億，同時祖克柏也期望Threads可成為一個擁有10億用戶的服務。</p> </div></div></div>
2023/10/26 12:52作者陳曉莉https://www.ithome.com.tw/news/159497
剖析上線環境效能，Granulate打造不需改程式碼調校軟體
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/gprofiler-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2022年5月英特爾舉行的上半年全球用戶大會Vision期間，特別提到近期他們併購一家新創軟體公司Granulate Cloud Solutions，買下這家廠商的目的及技術應用獨特性、效益，引發眾人好奇。</p> <p>英特爾執行副總裁暨資料中心與AI事業群總經理Sandra Rivera表示，Granulate能協助雲端服務廠商與資料中心業者，運用自動化與即時、持續學習的軟體部署，大幅提升應用程式效能，而且不需要修改程式碼，就能獲得高達60％的效能改善幅度，以及總體運算花費減少20％到30％的成效。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Vision%202022-Granulate-1.jpg" style="width: 600px;" /></p> <p>而在實際使用案例上，Sandra Rivera推崇新創SaaS服務業者Nylas的導入，該公司在AWS與GCP這兩家公有雲服務的環境中，執行業務自動化軟體，使用Granulate的軟體之後，且不修改程式碼與投入額外研發人力的前提之下，在5天之內，他們用於AWS運算的支出減少了35％，並且獲得更理想的CPU使用率，以及回應速度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Vision%202022-Granulate-2.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-09-Intel%20Graulate%20Nylas.jpg" style="width: 600px;" /></p> <p>關於實踐這些效益的過程與具體效益，Granulate在7月公布的Nylas案例介紹影片，以及目前網站揭露的案例分析研究當中，提到更多資訊。例如，從初步安裝、教育訓練到啟用，Nylas大約花了20天，而實現35％的運算開銷節省之餘，並未損及終端用戶的服務品質，無額外負擔、系統也持續運作不中斷；在此同時，他們服務的存取延遲（回應時間）縮短58％、吞吐量提升35％，相同的叢集處理的請求數量也提升至原本的2倍，而且，CPU使用量居然還能降低10％。</p> <p>而在Vision 2022大會上，英特爾公開介紹Granulate是雲端服務資源最佳化策略合作的三大公司之一，而他們發展的開放原始碼軟體gProfiler，則在效能剖析（Performance Profiling）的應用上，與英特爾既有的多種工具包並列，像是vTune、EMON、Intel Telemetry Collector。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-Intel Granulate-0.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-Intel%20Granulate-0.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-11-Intel Granulate2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-Intel%20Granulate2.jpg" style="width: 600px;" /></a></p> <p>Granulate共同創辦人暨執行長Asaf Ezra表示，Granulate gProfiler能夠剖析用戶的應用程式，呈現關鍵運作部位，而且，為了避免低度測試環境無法適當模擬實際上線而難以突顯效能瓶頸，他們發展的軟體會是執行正式上線環境當中，因此必須是低負擔（低於1％）、不會影響系統運作的，同時又是可以獨立運作的；此外，Granulate也匯集了多種樣本採集的剖析，目前聚焦在CPU的處理，未來將會擴充互斥鎖（Mutexes）、記憶體等面向，並且以火焰圖（flame graph）的形式呈現。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-11-Intel Granulate1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-Intel%20Granulate1.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://user-images.githubusercontent.com/58514213/124375504-36b0b200-dcab-11eb-8d64-caf20687a29f.gif" style="width: 600px;" /></p> <p>而在程式語言的類型上，gProfiler也支援相當多種環境，像是C、C++、Go，目的是幫助用戶更了解應用程式的運作狀態，不只是顯示花在CPU進行運算的時間長短，而是將心力聚焦在需要注意的地方，以便改善程式碼。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-09-Intel Granulate3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-09-Intel%20Granulate3.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/gProfiler-console.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/gProfiler-console.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/gProfiler-console2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/gProfiler-console2.jpg" style="width: 298px;" /></a></p> <p>gProfiler最主要的價值在於「識別」進行最佳化的位置，能夠透過火焰圖來匯集選定的系統服務狀態，像是Spark叢集、Kubernetes叢集，由於相關的處理工作並非預先決定的，用戶無法得知那些工作分散在哪一臺主機上執行，有哪些Pod要排程執行，以及彼此是否配合，而在針對整個叢集進行採樣之後，就能得到全貌，隨後可根據不同服務、節點來進行條件過濾。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-Intel Granulate-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-Intel%20Granulate-5.jpg" style="width: 600px;" /></a></p> <p>舉例來說，開發者能藉此了解有些呼叫堆疊不合理，之後可以去專心處理這部分，或是獲得建議、並結合英特爾持續推動軟體最佳化工程的成果，而得知能改用更新的軟體元件版本提升性能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-09-Intel Granulate4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-09-Intel%20Granulate4.jpg" style="width: 298px;" /></a></p> <p>另一個gProfiler呈現應用程式工作負載狀態的形式，是藉由表格來列舉，開發者可以檢視不同功能所屬執行時間內的狀態，找到真正耗費很多CPU時間處理的功能部位，而不只是看到它們呼叫某些功能，瞭解真正需要去改善的地方。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-09-Intel%20Granulate1.jpg" style="width: 600px;" /> </p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/Epa7YryNXzc?si=zM1iddYWe2CwqAnb" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><strong style="color: rgb(0, 128, 128);">產品資訊</strong></p> <p><strong>Granulate gProfiler</strong><br /> ●原廠：Granulate<br /> ●建議售價：廠商未提供<br /> ●支援運算架構：x86_64、Aarch64<br /> ●支援執行時期環境：Clojure、Scala、Ruby、C / C++、Java、Python、JS、PHP、Go<br /> ●包含的剖析器：Python eBPF、async-profiler、py-spy、bcc、phpspy、rbspy<br /> ●安裝方式：Docker映像、DaemonSet（直接安裝在Kubernetes叢集）、命令列安裝、在DataBricks服務的節點執行指令、安裝在叢集環境中（Amazon ECS、Amazon EMR、紅帽OpenShift）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/10/25 23:29作者李宗翰https://www.ithome.com.tw/review/152613
不只是瀏覽器零時差漏洞，CVE-2023-4863還影響開發者生態系統、作業系統與容器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年9月到10月，<a href="https://www.ithome.com.tw/news/159484">有相當多的零時差漏洞消息接連傳出</a>，其中一個最引發我們關注的是，<a href="https://www.ithome.com.tw/news/158723">Google在9月11日修補Chrome的零時差漏洞CVE-2023-4863</a>。</p> <p>原因在於，最初科技大廠們對於該漏洞的真正根源似乎感到困惑，直到後續更多消息曝光，才知道該漏洞的影響範圍比原先預估要大，而且是非常廣泛。</p> <p>具體而言，CVE-2023-4863為一位於WebP的堆積緩衝區溢位（Heap buffer overflow）漏洞，該漏洞的CVSS評分最初為8.8分，之後調整為9.6分，一開始揭露這個漏洞的主因，是存在於Chromium WebP圖像處理層面，後續發現其關鍵是在開源編解碼函式庫libwebp。</p> <p>基本上，可提供無失真壓縮的圖檔格式WebP，是Google在2010年推出，近年已被廣泛應用，例如，大家在網路下載圖片時，或許已經常看到會儲存成一個WebP檔，而不是JPEG或PNG檔。</p> <p>因此，在Google修補後，我們看到更多消息， Mozilla針對該漏洞修補了Firefox與Thunderbird。此時我們察覺到，這個漏洞不僅影響瀏覽器，還有軟體系統，因此也預期還會有更多相關修補消息。</p> <p>果不其然，在9月14日，我們看到1Password的資安架構師就以「誰的CVE」為題，來闡釋這個引起全球頭痛的零時差漏洞。</p> <p>原因在於，libwebp編解碼函式庫由WebM專案維護，該專案則是Google與其他許多公司的共同努力。因此，不只是Andorid、Firefox與Chromium有使用libwebp，從基於Chromium的專案來看，包括Chrome、Edge、Brave瀏覽器以及熱門Electron框架，也使用libwebp，而在Electron框架之下，還有Visual Studio Code、Singal通訊軟體、Slack協作平臺等眾多軟體。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89Whose%20CVE%20Is%20It%20Anyway_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Adam%20Caudill.jpg" style="width: 600px;" /><br /> <span style="color:#A9A9A9;">（圖片來源／Adam Caudill）</span></p> <p>到了9月底，資安界出現更多關於這個漏洞的討論。</p> <p>首先，Google在9月25日又公布了一個CVSS 10分的libwebp漏洞（CVE-2023-5129），但隔幾天撤回該漏洞編號，並稱其與CVE-2023-4863重複。主要原因可能在於，Google一開始是將該漏洞歸類為Chrome，沒有歸類到libwebp，但又因為避免再次混淆，因此改為擴大CVE-2023-4863範圍。</p> <p>接下來有其他業者也發布相關修補，如<a href="https://www.ithome.com.tw/news/159122">微軟在10月2日表示</a>，針對旗下Edge、Teams、Skype及Webp Image Extensions修補CVE-2023-4863漏洞。</p> <p>再者，由於CVE-2023-4863漏洞是由加拿大公民實驗室與蘋果工程師通報，但在漏洞揭露的4日前，蘋果才剛修補2個由加拿大公民實驗室通報的零時差漏洞（CVE-2023-41064、CVE-2023-41061），因此當時我們就猜想，有可能與同一攻擊事件有關。後續發現，原來不僅是同一商業間諜駭客攻擊事件，甚至漏洞都有關聯。</p> <p><a href="https://blog.cloudflare.com/uncovering-the-hidden-webp-vulnerability-cve-2023-4863/">Cloudflare在10月初指出</a>，蘋果9月7日修補零時差漏洞<a href="https://www.ithome.com.tw/news/158648">CVE-2023-41064、CVE-2023-41061</a>，當時對於CVE-2023-41064的說明並不完整，只說這是ImageIO中的緩衝區溢位問題，攻擊者經由製作惡意的影像可能導致執行任何程式碼，直到Google修補CVE-2023-4863漏洞，才清楚這兩個漏洞是有關聯的。</p> <p>究竟影響層面有多廣？我們找到這方面的資訊，資安業者Snyk在9月底與10月初，陸續發表對CVE-2023-4863漏洞的解析，在說明將影響其他依賴libwebp庫處理WebP圖像的應用程式之餘，更具體<a href="https://snyk.io/blog/find-and-fix-webp-vulnerability-cve-2023-4863/">說明這個漏洞對軟體生態系統影響有多廣泛</a>。</p> <p>例如，有許多操作系統與熱門應用程式框架，其實都使用libwebp編解碼函式庫來支援webp圖像，像是熱門的Electron框架，同時還指出更多通用軟體受影響，例如，包含Python圖像處理套件Pillow，用於打造2D與3D遊戲的GoDot遊戲引擎，以及廣泛使用的FFmpeg、Gimp等也使用libwebp，因此種種相依問題可能導致開發者不知受到影響。但應該要注意，實際影響層面可是相當廣泛。</p> <p>儘管根據加拿大公民實驗室所揭露的訊息，利用此漏洞的商業間諜駭客公司是NSO Group商業間諜駭客公司，看似最初的攻擊目標是針對個人植入Pegasus間諜程式，而非針對企業IT基礎設施，但若攻擊面被擴大，影響將會相當深遠。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖）libwebp零時差漏洞_圖片來源Snyk.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89libwebp%E9%9B%B6%E6%99%82%E5%B7%AE%E6%BC%8F%E6%B4%9E_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Snyk.jpg" style="width: 600px;" /></a><br /> <span style="color:#A9A9A9;">（圖片來源／Snyk）</span></p> <p><strong><span style="color:#0099ff;">針對CVE-2023-4863漏洞的影響，資安業者Snyk繪製了一張圖表來展現其範圍之大，不只是影響瀏覽器，還影響開發者生態系統、作業系統與容器。</span></strong></p> </div></div></div>
2023/10/25 15:24作者羅正漢https://www.ithome.com.tw/news/159472
2023Q3零時差資安漏洞激增，短短一個多月爆出20個零時差漏洞，特別是涉及底層漏洞似乎變多
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於多數人而言，一談到駭客挖掘並成功利用的零時差漏洞，可能都會認為都是微軟、Google、蘋果等大型科技公司產品的漏洞，又或是企業IT、網通、資安設備的漏洞，其實，相關的風險不僅止於此，最近一個多月以來，多家科技大廠修補零時差漏洞，以及這些漏洞在短時間內就被廣泛利用的新聞不斷，在整理這些消息的過程中，我們發現，有個議題需要大家格外重視，那就是：攻擊者找出這些漏洞、進而濫用的對象，有不少是涉及廣泛運用的開源程式庫與標準協定，因此，這些問題往往造成更大的影響。</p> <p>而且，有些零時差漏洞遭利用，可能並無法在很短時間之內就能發現，在數個月之後，廠商、開源軟體社群、用戶因為有外部資安研究人員投入分析、調查，甚至發生大規模漏洞濫用攻擊才找出漏洞根源，之後才能著手修補。</p> <p>基本上，關於零時差漏洞（zero-days），原本的定義是廠商公告他們掌握的漏洞，但可能當下無法提供修補、緩解方式，或是能提供這些補救措施，但用戶如果沒有儘快處理這些問題，就形成防護空窗期，後來，隨著許多漏洞濫用事故早於廠商公告，現在，零時差漏洞這樣的稱呼也擴大適用範圍，將漏洞在修補程式公開之前就被利用的攻擊納入，而這種行為也稱為零時差漏洞利用（zero-days exploited）。</p> <p>因此，從過往諸多事件來看，零時差漏洞利用的活動可分為兩類，第一種，攻擊者先發現新的未知漏洞、用於攻擊行動後，經過資安業者或產品業者調查，才知道有這樣的零時差漏洞，需要打造修補程式；另一種則是有新的漏洞被公開，但還沒有修補程式釋出，因此將有零時差漏洞的風險，可能有攻擊者在修補釋出前成功利用，或是根本不會有修補的情形。</p> <p>過程中，若要縮短漏洞防護空窗期，有賴於業者與用戶積極修補漏洞與部署補救與緩解機制，同時示警有哪些漏洞已遭利用，將這些情資傳播開來，讓大家對這些已知漏洞產生警覺，及早採取行動預防或因應。</p> <p>值得關注的是，最近一個月，科技大廠修補零時差漏洞的新聞不斷，這些廠商在發布安全通告或釋出修補的當下，已表明獲知該漏洞已有遭利用的情況，由於這段期間消息相當密集，多到幾乎平均每週都有3到4起的情況，格外引發我們的關注。</p> <p>在此同時，我們甚至察覺與以往的不同之處，有些零時差漏洞的影響，其實比大家原先預估的廣泛，甚至，有時不一定能很快發現攻擊者利用哪個未知漏洞。</p> <h2><strong>今年攻擊者濫用零時差漏洞情況大增</strong></h2> <p>攻擊者先發現漏洞並利用於攻擊行動的情況，近期到底有多嚴峻？根據我們的統計，2023年9月至10月上半，就出現多達20個零時差漏洞已遭利用的消息，逼近每兩天就冒出1個零時差漏洞的狀態。</p> <p>這樣的數量不尋常嗎？以資安廠商Mandiant近年發布的零時差漏洞濫用研究報告來看，<a href="https://www.mandiant.com/resources/blog/zero-days-exploited-2022">2022一整年遭大規模濫用的零時差漏洞數量是55個</a>，2021年達到歷年最高，多達81個。</p> <p>若是以上述統計數據，平均每個月有4到7個零時差漏洞，顯然，最近這一個多月來的零時差漏洞，數量快到達到月平均的3倍，確實出現得相當頻繁且密集。</p> <p>事實上，單就2023一整年而言，零時差漏洞數量之多，可能不只是超越以往，而是大暴增！在9月舉行的mWISE 2023大會上，Google Cloud Mandiant Intelligence主席Sandra Joyce透露，今年截至9月初為止，已發現62個零時差漏洞被用於駭客攻擊，因此，2023年數量是有可能再創新高。</p> <p>再從個別廠商修補動向來看，今年初至10月11日，微軟已修補24個零時差漏洞，蘋果已修補16個零時差漏洞。</p> <p>整體而言，最近這一個多月，有哪些業者的產品服務，遭零時差漏洞攻擊鎖定？包括：Google、思科、蘋果、微軟、Adobe、趨勢科技、Arm、Atlassian等，較特別的是，我們看到一些漏洞影響更是深遠，包括涉及開源程式庫libwebp、libvpx的漏洞，以及HTTP/2協定的漏洞。</p> <p>當然，幕後又是那些攻擊者先挖掘出未知漏洞，並實際利用於攻擊行動，也令大家感到好奇？儘管許多攻擊事件的事件全貌仍有待公布，綜合上述這些零時差漏洞攻擊來看，有些攻擊的幕後黑手已被找到，這些攻擊者的身分與往年資安業者的揭露相當，包含，國家級駭客組織、商業間諜公司、勒索軟體組織等。</p> <p>例如，9月6日思科公布漏洞修補消息，多家資安業者指出發動濫用攻擊的是Akira勒索軟體組織；9月7日、11日的蘋果與Google發布零時差漏洞修補，加拿大公民實驗室指出，攻擊這些漏洞的團體，有商業間諜駭客公司NSO Group商業間諜駭客公司與其客戶；9月21日蘋果公布漏洞修補，加拿大公民實驗室與Google TAG小組指出，對此發動攻擊的人，是商業間諜駭客公司Cytrox/Intellexa及其客戶；10月4日Atlassian發布漏洞修補，微軟指出濫用此漏洞進行攻擊的人，是中國駭客組織Storm-0062。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站主圖）近期多達20個零時差漏洞被用於駭客攻擊.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E4%B8%BB%E5%9C%96%EF%BC%89%E8%BF%91%E6%9C%9F%E5%A4%9A%E9%81%9420%E5%80%8B%E9%9B%B6%E6%99%82%E5%B7%AE%E6%BC%8F%E6%B4%9E%E8%A2%AB%E7%94%A8%E6%96%BC%E9%A7%AD%E5%AE%A2%E6%94%BB%E6%93%8A.jpg" style="width: 600px;" /></a></p> <h2><strong>釋出修補是當務之急，廠商與用戶都有責任</strong></h2> <p>在這20個零時差漏洞攻擊中，除了導致的災情，修補的狀態仍是普遍企業關注焦點，我們從中整理出目前觀察到的現況。</p> <p>一般而言，由於這些零時差漏洞攻擊涉及使用未知漏洞，因此大多數相關消息先聚焦在漏洞的通報，等到修補的釋出，再同時將未知漏洞公開，大多數零時差漏洞消息的曝光皆是如此。</p> <p>特別的是，也有廠商選擇先公開揭露漏洞、提出緩解措施，後續才釋出更新修補。例如，思科在9月6日修補的零時差漏洞（CVE-2023-20269），就是先公告漏洞警訊並提出緩解措施，等到在9月27日發布暫時的修補更新，10月11日釋出新版正式修補。</p> <p>另一種情形的處理順序剛好相反，例如，趨勢科技在9月19日公開揭露旗下產品的零時差漏洞（CVE-2023-41179），提醒已觀察到嘗試利用情形，但修補在這之前就已釋出。他們表示，受影響的Apex One SaaS在7月即修補，其他受影響產品，相關更新修補也在7月至9月12日之間陸續釋出。</p> <p>是否因為攻擊嚴重性，而採取不同措施對予以應對？像是已經出現大規模攻擊，因此，需要先一步向外界示警、提出緩解，共同因應，或是為了掌握更多攻擊情資，要先暗中通知用戶更新修補，之後才對外公開。有些廠商會特別說明這部份考量，而有些不會，而且也不一定每次都表明，因此，外界也無法掌握這部份狀況。</p> <p>還有一種情況，是因為上下游而導致修補時間被拉長。<a href="https://security.googleblog.com/2023/07/the-ups-and-downs-of-0-days-year-in.html">Google TAG小組曾經指出Android上的n-day漏洞問題</a>，像是去年Arm公布修補一個漏洞，但Android系統修補該漏洞是隔年4月，這段期間，其實在Arm修補揭露的下一個月，就發現有駭客開始利用該漏洞。</p> <p>也就是說，攻擊者可以利用已知的n-day漏洞，將其作為0-day來發動攻擊。</p> <p>最近已有轉變，例如，在10月2日，Arm修補Mali GPU Driver的CVE-2023-4211漏洞，我們發現同日Android也修補，已在每月Android例行安全更新公告，說明修補同個漏洞。</p> <p>儘管還有下游手機製造商是否會盡速修補的問題，但我們認為，如今至少縮短了上游供應商、平臺的修補時間差。</p> <p>當然，更重要的是，用戶也要實際行動。否則只有廠商釋出修補，也示警攻擊者已經成功利用，但用戶裝作不知情、沒有去取得更新並修補，等於用戶沒有盡到自身之責。過去我們就看過很多例子，在廠商已經釋出修補後，資安研究人員發現網路上還是有很多設備存在曝險的情形。</p> <h2><strong>要找出已被用於攻擊的未知漏洞，可能沒那麼容易</strong></h2> <p>對於零時差漏洞的因應挑戰，我們從近期事件注意到一件事，有些漏洞利用的情形，其實並不容易追查出，即使發現攻擊行動可能利用某途徑，仍有可能數個月後才被廠商知曉、修補被濫用的漏洞根源。</p> <p>例如，9月6日思科所示警並公布的漏洞CVE-2023-20269，揭露了起因是AAA協定與其他軟體功能缺乏適當區隔，並提及此漏洞是在解決思科技術支援案例時發現，也感謝Rapid7通報了漏洞利用的情形。另也說明，他們在8月已察覺外部有漏洞利用情況。</p> <p>這個漏洞的CVSS評分為5.0，並不高，但其實，思科在8月24日的Cisco部落格上，就曾經表示察覺相關威脅報告，指出勒索軟體組織Akira鎖定未啟用MFA的思科VPN的情形。</p> <p>甚至，向思科通報的資安業者Rapid7在8月29日指出，最早從今年3月30日，就觀察到針對思科ASA SSL VPN設備的攻擊活動，並確定至少11個企業在3月到8月間遇害。</p> <p>而且，還有多家資安業者早就發現跡象，例如，Sophos在5月看到勒索軟體Akira的攻擊手法，疑似是針對尚未採用雙因素驗證的SSL VPN系統下手，惡意軟體分析員Aura與SentinelOne則是在8月確認，被針對的SSL VPN系統廠牌是思科。</p> <p>換言之，這個零時差漏洞帶來的危害，可能已經長達半年之久。而並非我們可能想像的，一旦零時差漏洞被利用於攻擊行動，外界很快就可以發現並予以修補。</p> <h2><strong>攻擊者挖掘利用的0-day，涉及上游或底層的情形增加</strong></h2> <p>另一個關注焦點是，攻擊者利用零時差漏洞來發動攻擊，能透過一次行動就造成大規模的攻擊，因此愈受歡迎的品牌，通常愈容易被當做目標，包括微軟、蘋果、Google，還有各式企業使用的IT、網通設備產品等。</p> <p>特別的是，我們發現最近攻擊者挖掘的零時差漏洞，不只上述Arm的零時差漏洞被攻擊者發現並利用，還有3個也是涉及上游或底層的狀況，是過去較少見的態勢。</p> <p>例如，在9月11日Google修補的漏洞CVE-2023-4863，最初，這似乎只是瀏覽器中的漏洞，但隨著資安界不斷揭露新的資訊，大家才知道影響層面相當廣泛。</p> <p>Google在修補此CVE-2023-4863時表示，其通報者是來自蘋果工程師與加拿大公民實驗室的專家。由於4日前，蘋果剛修補2個零時差漏洞，且加拿大公民實驗室同步揭露利用此漏洞組合的攻擊場景，因此當時我們立即聯想到，鎖定這個漏洞攻擊的幕後，可能是同樣的攻擊者在利用。</p> <p>事實上，最近我們進行後續追蹤時，發現9月底有許多資安業者專家談起這次Pegasus間諜程式的漏洞利用，會將這3個漏洞一併相提。也有不少業者指出，蘋果修補的CVE-2023-41064，與Google發布的CVE-2023-4863是有關聯的。</p> <p>關於CVE-2023-4863的討論很多，爭議在於，Google原本指出該漏洞是WebP圖像處理時的堆緩衝區溢漏洞，接著傳出所有支援WebP圖像處理的瀏覽器都受影響，後續，很多專家紛紛指出該漏洞影響深遠，因為這是存在WebP圖像處理的開源編解碼程式庫libwebp。</p> <p>此外，Google在9月28日修補的零時差漏洞CVE-2023-5217，由於漏洞存在開源視訊編解碼程式庫libvpx中的VP8視訊編碼，儘管討論熱度不及上述libwebp漏洞，但同樣有需要廣泛修補的狀況。</p> <p>另外還有一起零時差漏洞攻擊，10月10日，Cloudflare、Google與Amazon AWS公開揭露HTTP/2協定的零時差漏洞，這個被攻擊者用於發動巨量DDoS攻擊的漏洞，同樣影響層面不小。這些業者指出，任何部署HTTP/2的業者應該都會受此漏洞影響，大部分的網頁伺服器亦包含在內。</p> <p>依據上述現況，攻擊者濫用零時差漏洞的目標，確實有往底層切入的態勢。</p> </div></div></div>
2023/10/25 17:50作者羅正漢https://www.ithome.com.tw/news/159484
【資安日報】10月25日，6月iOS裝置零點擊攻擊調查結果出爐，駭客嚴格確認已滲透至真實環境，才開始植入惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年6月，資安業者卡巴斯基從專供行動裝置使用的Wi-Fi網路流量察覺異常，有多臺iOS手機出現可疑活動，從而發現零點擊攻擊行動Operation Triangulation，在經過4個月的調查後，該公司透露攻擊者如何防範研究人員發現其活動的跡象。</p> <p>研究人員認為，這些過往較為罕見的手法，代表駭客對iOS作業系統相當了解，而且，他們不排除Mac電腦也是遭到鎖定的對象。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://securelist.com/triangulation-validators-modules/110847/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露攻擊行動Operation Triangulation更多細節</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Triangulation-modules_en-ru_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Triangulation-modules_en-ru_01.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基今年6月證實遭到Operation Triangulation攻擊行動波及，數十名員工的iOS裝置感染惡意程式。到了最近，該公司透露更多調查結果。</p> <p>研究人員指出，駭客為了避免在資安人員的測試環境執行惡意程式，在鎖定攻擊目標之後，他們會先執行2種驗證程序，其中一種是針對JavaScript功能進行驗證，攻擊者執行多種數學運算，並偵測Media Source API及WebAssembly元件是否存在，然後利用名為Canvas Fingerprinting的瀏覽器指紋技術，使用WebGL在粉紅色背景上繪製黃色的三角形，並計算其檢查碼（Checksum）。</p> <p>在上述的JavaScript功能驗證完成之後，結果將會回傳到駭客的伺服器，接收另一個Mach-O執行檔的環境驗證工具，此工具檢查裝置是否越獄，並啟用個人化設定的廣告追蹤，收集使用者名稱、電話號碼、IMEI碼、Apple ID等系統資訊，以及已安裝的應用程式清單、正在執行的處理程序等資訊，除此之外，該工具還會清理特定的事件記錄檔案，以及駭客寄送的iMessage訊息，來抹除嘗試入侵的證據。</p> <p>經過上述的裝置檢查流程，駭客才會將惡意程式TriangleDB植入目標設備，並與C2伺服器建立通訊、發送心跳訊息。此後門程式會洩露受害者的地理位置、iCloud鑰匙圈、麥克風錄音資料，以及應用程式利用SQLite資料庫存放的使用者設定等。</p>  <p><a href="https://www.proofpoint.com/us/blog/threat-insight/copacabana-barcelona-cross-continental-threat-brazilian-banking-malware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">巴西金融木馬Grandoreiro針對西班牙、墨西哥而來</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Grandoreiro-Fig 3_1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Grandoreiro-Fig%203_1.png" style="width: 300px; float: right;" /></a>資安業者Proofpoint揭露新一波的惡意軟體Grandoreiro攻擊行動，駭客原本的主要目標是巴西、墨西哥，以及其他美洲使用葡萄牙語和西班牙語用戶，但研究人員發現攻擊者開始將重心轉移到西班牙。</p> <p>駭客通常利用帶有URL的釣魚郵件發動攻擊，一旦收件人點選，電腦就會下載ZIP壓縮檔，其內容多半是MSI安裝檔、EXE可執行檔，或是HTML網頁應用程式檔案（HTA）。若是收信人開啟，這些惡意檔案就會透過DLL側載（DLL Side-loading）手法，執行惡意程式載入工具，從而透過C2下載、執行Grandoreiro。</p> <p>研究人員從8月24日至29日，看到駭客組織TA2725針對西班牙、墨西哥的攻擊行動，這些駭客假借西班牙金屬熱處理業者ÉSECÈ Group、墨西哥電信業者Claro的名義寄送釣魚郵件。</p> <p><a href="https://www.hackread.com/chinese-scammers-fake-loan-apps-money-laundering/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客透過冒牌貸款應用程式，騙取使用印度數位支付平臺安卓用戶的個資及銀行帳號</span></strong></a></p> <p></p> <p>資安業者CloudSEK揭露中國駭客鎖定印度數位支付平臺的攻擊行動，駭客從今年7月至9月，透過55款冒牌的金融及貸款應用程式，向使用者聲稱可以提供即時貸款，然而一旦使用者依照指示申請，對方在取得個人資料及貸款手續費（約貸款金額5%）之後就無法聯繫。這些駭客從7月22日至9月18日，竊得3萬張Adhaar卡片及銀行帳戶、入侵4萬臺安卓設備，騙得379萬盧比（相當於4.6萬美元）。</p> <p>研究人員指出，雖然駭客主要目標是印度的數位支付平臺，但是他們的攻擊範圍涵蓋巴西、土耳其、墨西哥、越南、馬來西亞、哥倫比亞、印尼、菲律賓、南非。由於在這起攻擊行動當中，駭客運用了中國的支付閘道，以及印度的錢騾，導致執法單位難以追蹤這起惡意活動。</p> <p><a href="https://www.ettoday.net/news/20231020/2606195.htm"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">線上影視平臺LiTV基礎設施1月遭破壞，涉案前IT主管遭起訴，檢方透露更多細節</span></strong></a></p> <p></p> <p>線上影視平臺LiTV於今年1月24日，發現公司網路遭到入侵，刪除資料庫，以及提供影音服務的雲端虛擬伺服器檔案，刑事警察局接獲報案進行調查，發現設籍基隆市的49歲陳姓資訊工程師涉嫌重大，2月20日拘提到案，陳嫌表示犯案動機與訂閱LiTV影視服務有關，<a href="https://www.ithome.com.tw/news/156623#litv">4月底警方移送臺北地檢署</a>，最近檢調單位找出到了更多證據。</p> <p>根據ETtoday新聞雲、三立電視臺、華視等媒體報導，這名嫌犯是LiTV的前IT主管，他因為離職後不斷收到該公司的內部信件，認為接任的新主管不用心而想要給個教訓，因此在大年初一、初二（1月22日、23日）凌晨，開車到公司附近，並以筆電存取免費Wi-Fi無線網路，入侵主機系統，此人設計迴圈程式，透過程式執行自動刪除檔案的工作。</p> <p>直到筆電電源耗盡自動關機，這名前主管返家充電，當充電到達一定電量，這臺電腦自動開機，連上住家的Wi-Fi無線網路，繼續執行前述的迴圈程式，約莫經過3分鐘，陳男才關閉程式與筆電，並多次將電腦還原、格式化，而這3分鐘的連線記錄也成為犯案的證據。臺北地檢署認定陳男涉嫌刑法妨害電腦使用罪的無故刪除或變更他人電磁紀錄，且致生損害於他人罪，依法提起公訴。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對鎖定NAS設備而來的暴力破解攻擊，威聯通提出更多說明，表示今年已出現多起攻擊行動</span></strong></p> <p></p> <p>上週臺灣NAS廠商威聯通（QNAP）發布資安通告，表示他們10月中旬攔截大規模暴力破解攻擊，駭客鎖定NAS設備而來，現在該公司提出進一步的說明。</p> <p>威聯通產品資安事件應變團隊經理黃士展表示，針對這起攻擊行動，他們接獲零星用戶通報受害，多半是admin帳號啟用、且使用弱密碼而讓攻擊者得逞。由於該公司在出廠即搭載QTS 5.0以上版本作業系統的NAS設備，admin帳號預設就是停用的狀態，受影響的情況較為有限。對此，他們呼籲由舊版QTS升級的使用者，應檢查admin帳號是否已經停用。</p> <p>再者，黃士展指出他們今年偵測到多起類似的攻擊行動，攻擊流量來自特定的殭屍網路，但該殭屍網路並非只有在Digital Ocean架設主機。他們也建議用戶安裝防火牆應用程式QuFirewall，該應用程式會自動更新弱密碼攻擊的黑名單，隔絕暴力破解攻擊。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/rockwell-automation-warns-customers-of-cisco-zero-day-affecting-stratix-switches/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">工控自動化設備業者Rockwell針對思科IOS XE零時差漏洞提出警告，旗下工業網路交換器也曝險</span></strong></a></p> <p></p> <p>思科揭露網路設備作業系統IOS XE的零時差漏洞CVE-2023-20198、CVE-2023-20273，且已出現大規模攻擊行動，有其他採用這套作業系統的網路設備也可能曝露相關風險。</p> <p>10月24日工業自動化設備製造商Rockwell發布資安通告，表示旗下的工業網路交換器Stratix 5800、5200系列也採用IOS XE作業系統，若是IT人員啟用網頁介面的功能，就可能存在CVE-2023-20198，攻擊者可在未經身分驗證的情況下，遠端於交換器上建立具有等級15權限的帳號，並用來控制目標設備，CVSS風險評分為10，美國網路安全暨基礎設施安全局（CISA）也對此提出警告，呼籲IT人員採取相關緩解措施。</p> <p>值得留意的是，該公司並未提供修補程式，也沒有提及上述交換器是否受到CVE-2023-20273影響。</p> <p>資料來源</p> <p>1. <a href="https://www.rockwellautomation.com/en-in/support/advisory.PN1653.html">https://www.rockwellautomation.com/en-in/support/advisory.PN1653.html</a><br /> 2. <a href="https://www.cisa.gov/news-events/ics-advisories/icsa-23-297-01">https://www.cisa.gov/news-events/ics-advisories/icsa-23-297-01</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/vmware-warns-admins-of-public-exploit-for-vrealize-rce-flaw/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">VMware事件記錄分析系統的RCE漏洞傳出被用於攻擊行動</span></span></strong></a></p> <p></p> <p><a href="https://securelist.com/crimeware-report-gopix-lumar-rhysida/110871/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體Rhysida與竊資軟體Lumar、GoPIX串連，攻擊巴西行動支付系統</span></span></strong></a></p> <p></p> <p><a href="https://securelist.ru/ataki-na-industrialnyj-i-gosudarstvennyj-sektory-rf/108229/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯工業組織遭到後門程式攻擊，駭客企圖竊取機密資料</span></span></strong></a></p> <p></p> <p><a href="https://media.defense.gov/2023/Oct/04/2003313510/-1/-1/0/ESF%20CTR%20IAM%20MFA%20SSO%20CHALLENGES.PDF"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國CISA、NSA發布新的身分及存取管理指南</span></span></strong></a></p> <p></p> <p><a href="https://www.ithome.com.tw/news/159462"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">政府推出111短碼簡訊平臺，杜絕詐騙集團冒用公家名義簡訊詐騙</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159454"><strong>【10月24日】駭客再度針對已遭零時差漏洞攻擊的思科IOS XE設備下手，部署新的後門程式，意圖隱匿攻擊行動</strong></a></p> <p><strong style="color: rgb(7, 130, 193);">【10月23日】思科網路設備作業系統IOS XE攻擊升溫，駭客串連兩個零時差漏洞散布惡意程式，近4.2萬臺設備受害</strong></p> <p><a href="https://www.ithome.com.tw/news/159415"><strong>【10月20日】駭客利用後門程式框架Meta攻擊東歐國家的石油產業、天然氣公司、國防工業</strong></a></p> </div></div></div>
2023/10/25 16:58作者周峻佑https://www.ithome.com.tw/news/159482
微軟營收成長13%，智慧雲端領航
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/Investor/earnings/FY-2024-Q1/press-release-webcast" target="_blank">微軟周二（10/24）公布</a>了截至今年9月30日的2024財年第一季財報，顯示該季微軟創下565億美元的營收，比去年同期成長13%，淨收入（Net Income）為223億美元，成長27%，每股盈餘為2.99美元，當天微軟盤後上漲了3.89%，股價為343.38美元。</p> <p>從營收類別來看，該季微軟的智慧雲端（Intelligent Cloud）營收為243億美元，成長19%，生產力與業務流程（Productivity and Business Processes）為186億美元，成長13%，更多個人運算（More Personal Computing）營收是137億美元，成長3%。</p> <p>觀察個別產品或服務的營收成長幅度，表現最好的是Azure與其它雲端服務，成長了29%，居次的是Dynamics 365，成長28%，Microsoft Cloud亦成長24%。</p> <p>不管是在營收規模或成長幅度上，智慧雲端類別都扮演著領航的角色。此一類別由伺服器產品及雲端服務組成，涵蓋Microsoft Azure、Microsoft SQL Server、Windows Server、Visual Studio、System Center、GitHub，以及各種Enterprise Services。</p> <p>而微軟執行長Satya Nadella則聚焦於該公司近來大力投資的AI，指出微軟將利用Copilot替全球的人們與企業建置真正的人工智慧時代，正快速將AI融入技術堆疊的每一個層面，以及每一個角色與商業流程，以協助客戶提升生產力。</p> </div></div></div>
2023/10/25 15:34作者陳曉莉https://www.ithome.com.tw/news/159473
美國逾40州控告臉書與IG故意令青少年上癮
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國有42州的檢察長周二（10/24）一起將Meta告上了法院，指控Meta故意設計許多令人上癮且有害的功能來吸引青少年，不顧這些年輕人的心理健康，以最大化旗下Facebook及Instagram（IG）平臺的收益，且就算《兒童線上隱私保護法案》（COPPA）規定社交平臺需要取得父母同意才能允許13歲以下的兒童或青少年註冊，但Meta卻放任不管。</p> <p>這42個州涵蓋了亞利桑那州、加州、夏威夷州、馬里蘭州、明尼蘇達州、紐約州、麻薩諸塞州、俄亥俄州及華盛頓州等，這些州的檢察長不分黨派地共同對Meta提出了告訴。</p> <p>他們指控Meta特別鎖定年輕人，設計與部署可吸引年輕人的功能，再藉由資料蒐集及目標式廣告來獲利。不過，Meta卻對外宣稱其社交平臺是安全的，還說其目標是支持年輕族群的幸福，但Meta考量的是最大化其參與度而非年輕族群的安全，其推薦演算法鼓勵強迫性使用，有損年輕族群的心理健康，採用破壞性的視覺及觸覺通知來干擾使用者的教育及睡眠，宣稱可建立使用者與親友之間的連結，實則是為了增加使用者耗在這些平臺上的時間。</p> <p>研究顯示，有81%的家長宣稱自己的小孩在8歲~13歲之間就開始使用社交平臺，該訴狀則說，Meta知道IG上有11%的用戶只有9~11歲。</p> <p>此外，Meta旗下平臺的無限滾動功能、持續跳出的通知、自動播放的Stories與Reels功能，都被這些檢察長視為是專門用來創造年輕人擔心錯過（Fear Of Missing Out，FOMO）的焦慮感，也利用了類似吃角子老虎所使用的間歇性可變獎勵（Intermittent Variable Reward）來令使用者上癮，凌駕了年輕族群規範自己的能力，而對青少年的大腦發育與心理健康產生負面影響。</p> <p>根據研究，較無自制力的青少年使用社交媒體1小時後，其幸福感與自尊心都會下滑，而自我傷害、抑鬱及行為挑戰則會增加，且習慣察看社交媒體會改變青少年的大腦化學反應，也會改變大腦對社會獎勵與懲罰的敏感性。</p> <p>這42州的檢察長期望透過訴訟來阻止Meta繼續部署這些有害的策略，同時受到處罰以及提供賠償。</p> </div></div></div>
2023/10/25 15:40作者陳曉莉https://www.ithome.com.tw/news/159474
WordPress.com母公司Automattic買下可集結所有傳訊服務的Texts
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>WordPress.com母公司<a href="https://wordpress.com/blog/2023/10/24/texts-joins-automattic/" target="_blank">Automattic周二（10/24）宣布</a>，已買下可整合各大傳訊服務的<a href="https://texts.com/" target="_blank">Texts.com</a>，外傳此一交易價值5,000萬美元。</p> <p>Texts利用Texts Platform SDK來集結所有主要的傳訊平臺，從iMessage、WhatsApp、Telegram、Signal、Messenger、Twitter（現在的X）、Instagram、LinkedIn、IRC、Slack到Discord DM。它目前只有桌面版，支援macOS、Windows與Linux，目前正在開發iOS版本，亦計畫推出Android版。</p> <p>Texts最大的功用就是在同一個介面上集結上述的所有傳訊服務，它也提供了AI助理功能，可在面對來不及瀏覽的聊天室大量訊息時，幫使用者摘錄重點，也於平臺上整合了ChatGPT以幫使用者撰寫回應，亦可即時將訊息翻譯成不同的語言。</p> <p>此外，它還能搜尋訊息，在回應之前把所有訊息都標示為已讀，安排訊息發送的時間，暫停來自某個人的訊息，使用者亦可客製化其介面。另也強調所有的訊息都是直接由既有的傳訊平臺傳送與接收，不會觸及Texts平臺。</p> <p>Texts為訂閱制，每月的訂閱費用為12.5美元，但不管是Automattic或Texts都未透露其現有的用戶數。</p> <p>Automattic為開源部落格軟體WordPress主要的貢獻者，該公司在2005年推出出版平臺WordPress.com，於2015年收購WordPress的電子商務外掛程式WooCommerce，<a href="https://www.ithome.com.tw/news/132393" target="_blank">2019年買下了Tumblr</a>，現在的Automattic則認為傳訊是現代網路的未來，也是不可或缺的市場，並說Texts是市場上最好的訊息傳遞程式。</p> <p>未來Texts創辦人Kishan Bagaria將會加入Automattic，負責傳訊服務，其分散式的團隊也會繼續開發行動版的Texts服務。</p> </div></div></div>
2023/10/25 15:53作者陳曉莉https://www.ithome.com.tw/news/159476
防止圖片遭擷取，新工具讓創作者對AI模型下毒
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI、Google等生成式AI業者擷取網路上圖片訓練AI模型引發創作者不滿。<a href="https://arxiv.org/pdf/2310.13828.pdf" target="_blank">有研究人員發展出一個名為Nightshade的工具</a>，可擾亂AI業者的底層模型，而且很難發現。</p> <p>現有一些對文字轉圖片的生成式AI模型的攻擊法，像是後門攻擊法是在提示中加入一些觸發字，使之生成特定圖案，但仍假設攻擊者可改變模型的降噪步驟或變更損失函數。</p> <p>但一群芝加哥大學研究人員發展出的Nightshade，是一種專從提示發動的下毒攻擊手法，手法更簡單，也不需介入模型的訓練或部署等流程。他們主要是稍稍變更圖片，像變造狗圖片（如擬人化的狗），當這些「含毒」圖文成為訓練資料集，就可能擾亂AI模型。研究人員並選擇攻擊從頭打造的模型，以及知名模型如Stability AI的Stable Diffusion V2、SDXL及DeepFloyd驗證其攻擊效果。</p> <p>測試顯示，只要很少的有毒樣本就能擾亂AI模型。例如不到100個變造過的「狗」圖片，即可污染SDXL模型的「狗」的概念，使其在接受「狗」的提示輸入時產出貓的圖片。而且Nightshade攻擊還會有「出血」（bleed-through）效果，即原本攻擊者只擾亂一種概念，如「幻想藝術」，但會漸漸影響AI模型對「龍」以及以幻想藝術知名的畫家「Michael Whelan」的生成結果。</p> <p>此外，這些圖片變造的資料集是很難防範，因為它影響的是訓練資料集的特徵空間，人無法察覺，人眼覺得正常的圖片，其實會「教壞」AI模型。而且攻擊效果是累積性。研究人員還發現，對單一模型攻擊多次，例如對SDXL發動250次Nightshade攻擊，就能毁壞SDXL的圖片生成功能。</p> <p>研究人員表示，Nightshade是給內容創作者及持有者對抗不尊重版權聲明、或故意繞過do-not-scrape/crawl opt-out的AI業者的強大武器。</p> <p>一些生成式AI業者也有自我約束作法，像是OpenAI公布爬蟲，允許網站業者阻擋。不過在有效方法出現前，像BBC主流媒體則直接拒絕這些業者的爬蟲。</p> </div></div></div>
2023/10/25 13:28作者林妍溱https://www.ithome.com.tw/news/159470
Matter 1.2版釋出，新增支援9種裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>制定智慧家庭物聯網規範的聯網標準聯盟（Connectivity Standards Alliance，CSA）昨（24）日公布Matter 1.2，最新版規範新增支援9種裝置，可透過蘋果、Google、Amazon、三星等大廠支援，以手機控制更多種聯網家電及設備。</p> <p>最新版本增加了9種裝置類型，並為現有裝置類型規範加入修訂內容，也強化核心規格、SDK、認證及測試工具。</p> <p>CSA前身為Zigbee聯盟，為了解決Zigbee「標準」規格發展混亂破壞互通性，<a href="https://www.ithome.com.tw/news/153467" target="_blank">CSA於去年秋天推出新的Matter 1.0</a>。CSA指出，推出一年多來，Matter規格文件下載高達2.5萬次，現有1,200多種認證計畫，Matter工作小組會員廠商數也成長了將近24%。如今支援Matter的廠商將近700家，包括蘋果、Google、Amazon、三星等終端軟硬體裝置大廠。在一年2個版本的承諾下，今年5月CSA釋出Matter 1.1，也成立相容性測試實驗室。</p> <p>Matter原先支援像是門鎖、燈泡、手機等小型聯網設備，Matter 1.2則擴及大型家電，包括電冰箱、冷暖氣機、洗碗機、洗衣機、吸塵器、煙霧及一氧化碳警示設備、空氣品質偵測、空氣清淨機以及電風扇等9類。這意謂著，消費用戶可以聲控或Apple Home/Siri、Google Home/Assistant或Amazon Alexa來控制更多掃地機器或開啟空調。</p> <p>Amazon上個月宣布新的Alexa，將讓Alexa可透過API整合數萬種裝置和服務，在結合LLM下，可執行複雜任務，例如Alexa可呼喚小孩上床睡覺、自動叫吸塵器吸地板、開啟浴室風扇等。</p> <p>此外，Matter 1.2也為原有裝置類型規格做了修訂，包括加入歐洲市場常見的門閂式門鎖，以及在裝置外觀，以及裝置組合的規定。</p> <p>其他宣布包括Matter 1.2 SDK獲更多平臺（包括晶片、網路及作業系統等）支援，可用於開發更多Matter相容產品。此外，CSA也宣布測試工具Test Harness開源釋出。</p> </div></div></div>
2023/10/25 13:43作者林妍溱https://www.ithome.com.tw/news/159471
女媧創造推出可以分眾行銷和會員經營的服務機器人，企業用戶還能用No-code開發工具設計專屬服務內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>機器人新創女媧創造宣布推出Collibot服務機器人，鎖定零售、餐飲和醫療長照等服務場景。此機器人不只能提供送餐等實體服務，還能蒐集線下店面營運數據、顧客互動數據，甚至能根據AI視覺辨識功能，即時進行分眾行銷，或辨認出常客並提供個人化服務。</p> <p><strong>模組化硬體設計加上豐富No-code開發工具，支援多元進階服務場景</strong></p> <p>Collibot特別之處在於軟硬體高度客製化能力，可以適應廣泛服務內容。硬體方面，此機器人採取分層式模組化設計，從上至下分為互動（互動型小機器人）、任務（中間貨架及互動平板）、移動（下方AMR）3層。互動層具備AI視覺辨識、AI語音互動能力，還內建12顆伺服馬達，支援企業用戶設計複雜動作。遇到故障或其他服務需求時，小機器人還可以隨時拆卸，透過平板操作即能與其他機臺的任務層配對。任務層則能視服務型態，預先安裝送餐架、抽屜、電子廣告看板、紫外線消毒燈等不同模組。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HBG.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HBG.jpg" style="height: 500px;" /></a></p> <blockquote><p>Collibot的3層式模組化硬體。圖-郭又華攝</p> </blockquote> <p>軟體方面，此機器人解決方案包括Android-based的Python SDK、Unity SDK及10種雲端No-Code開發工具，企業用戶可以根據自家特有場景和經營需求，結合機器人搭載的既有技術，來設計專屬服務內容及機器人應用，並快速部署到所有機器人。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CDT.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CDT.png" style="width: 600px;" /></a></p> <blockquote><p>透過10種No-code雲端開發工具，企業用戶能用來打造多種服務機器人進階應用。圖-女媧創造提供</p> </blockquote> <p>例如，需要投入機器人到不同場域，或於不同門市間調度機器人時，Collibot會先利用SLAM（Simultaneous Localization and Mappin，同時定位和建圖）技術，到新場域花費15分鐘初步建構現場地圖，便能後續自我定位、規畫路徑。企業用戶還能於後臺再編輯地圖，來修正或補充更多空間配置細節。</p> <p>Collibot也搭載了AI客服功能，串接微軟Azure OpenAI ChatGPT以及女媧創造自己開發的NLP機制。利用No-code工具，企業用戶可以根據自有資料以及品牌形象要求，利用微調和提示工程等技術來設定機器人客服回話內容。此聊天機器人還可以搜尋天氣、新聞等時事，不過經記者實測，若遇到比較複雜或敏感的問題，此機器人可能會無法回答，或產生幻覺情況。女媧創造表示，為了避免幻覺或做出不當發言，他們自己設計了敏感字過濾機制，結合AOAI本身品牌安全機制。不過，他們也坦言AI幻覺是企業用戶難以完全避免的風險。</p> <p>為了方便管理投入不同場域的機器人，Collibot機器人服務配有中心化管理工具，企業總部可以統一管理所有機器人軟硬韌體狀態，例如版本異常、連線狀態異常、電量過低、機器人騰空等情況，並有自動報錯和遠端排錯功能。另外，此機器人利用Wifi來聯網，除了語音辨識等串接外部技術的功能需要常態連線，送餐、簡單視覺辨識、數據蒐集等服務模組斷線時也可以執行，等恢復網路連線時再行同步數據。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/RMS(1).png" style="width: 600px;" /></p> <blockquote><p>Collibot後臺RMS，可以即時追蹤投入不同場域的機器人狀態，還能線上排錯。圖-女媧創造提供</p> </blockquote> <p>企業用戶還可以串接機器人到既有CRM、電子菜單、POS、電商或金流系統，使機器人不只是送餐，還可以支援接待、介紹、行銷、結單等更多顧客服務環節。</p> <p>一個更進階的應用是各式實體數據蒐集。此機器人可以根據店內移動狀況，包括需要避開人的頻率等，來蒐集不同時段店內人口密度。或者，利用AI視覺辨識技術蒐集來店人流、顧客性別、大約年齡層，以及其他特徵，可以結合顧客訂單、等機器人互動數據，於後臺交叉分析。</p> <p>另一個重要進階應用是分眾行銷。企業用戶可以設計不同行銷腳本，例如根據看到人、螢幕被觸碰、接收到MQTT等情況，觸發揮手、語音對話、播放互動式選單等不同行為。甚至可以搭配視覺辨識功能，即時根據客群呈現出是適合內容。此機器人還支援會員再行銷，企業用戶可以串接自家客戶資料或CRM系統，供機器人辨識出既有會員，來提供個人化服務。</p> <p><a href="https://s4.itho.me/sites/default/files/images/rlfw.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/rlfw.png" style="width: 600px;" /></a></p> <blockquote><p>企業用戶可以用拖拉的方法設定機器人自動化行銷腳本，能搭配現場感應情況及蒐集數據即時反應。圖-女媧創造提供</p> </blockquote> <p>女媧創造解釋，為了顧及會員個資隱私，企業可以透過去識別化資料比對的方式來設計會員經營功能，例如只提供會員特徵值和去識別化ID，機器人辨認出ID後，再和CRM內部資料比對。企業用戶也可以利用SDK來編寫更進階、更符合自家資安規範的CRM串接方法。不過，機器人控制需使用3大公有雲SaaS服務，因此無法透過遷移機器人服務到客戶企業內部環境來控管資安。女媧創造自家後臺資料則儲存在AWS東京數據中心。</p> <p>其他進階應用，還包括多媒體互動行銷、機器人表情設計、機器人群體演出設計等，都可以用No-code開發工具編寫。</p> <p>收費模式上，Collibot機器人採買斷制，雲端開發和管理工具則尚未正式決定收費方案，預計採取訂閱制。</p> <p> </p> </div></div></div>
2023/10/25 12:26作者郭又華https://www.ithome.com.tw/news/159468
金管會發布「金融服務業辦理數位身分驗證指引」，建立身分驗證共通原則，也加速業者辦理新型態應用的作業流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會昨日（10/24）發布「金融服務業辦理數位身分驗證指引」，建立一套金融三業辦理數位身分驗證的共通性原則，讓金融業者向主管機關申請新驗證場景或技術時，雙方可以根據同一標準進行評估。此外，為了加速金融創新，金管會也開放金融業者欲導入規範外的新應用場景或驗證技術時，可依照指引進行評估作業，並在開辦前洽詢主管機關是否需要申請業務試辦，不須等待自律規範修正，改善了以往作業程序漫長的痛點。</p> <p>過去在數位身分驗證上，金融三業未有一套共通標準來衡量數位身分驗證機制，而是以業務類別來訂定各自需要的數位身分驗證標準，例如，規範保險業辦理遠距投保時，得使用特定幾種身分驗證機制。業者若要在尚未規範的業務場景中導入驗證技術，或是在已規範的業務場景中使用新驗證技術，需等待主管機關與公會修正相關規範，才有望實際落地。而主管機關也得因應創新業務和新技術一次又一次修正規範。</p> <p>金管會表示，這份數位身分驗證指引提供了一套方法論，讓金融業者和公會都能迅速分析哪些應用場景適用哪些身分機制。該指引參考 ISO/IEC 29115，依照風險基礎原則，將數位身分驗證機制的信賴等級由低至高分為不同級數，讓業者可依據應用場景的風險高低來適配信賴等級，來評估該應用場景適當的身分驗證機制。</p> <p>指引中列出了金融業者評估應用場景風險高低的考量因素，包含當身分驗證機制失效時，是否會造成客戶及金融服務業的財務損失或代理責任、機敏資料未經授權公布、造成客戶不便、困擾等。業者要依據可能產生風險的程度，來評估適配的信賴等級，當某項應用場景風險為最高等級，就須相應使用最嚴謹的驗證機制，來確保適配最高信賴等級。反之，風險程度較低時，就可以對應較低的信賴等級，使用相對簡單的驗證機制。</p> <p>有了這項方法論，金融業者若想導入規範以外的驗證場景或技術時，就可依照風險基礎原則，自行辦理評估作業，製作驗證應用場景的風險評估報告，和數位身分驗證機制的信賴等級評估報告，再提出應用場景適當的身分驗證機制，並在開辦前向主管機關洽詢是否需要試辦，不用再等待公會修改自律規範。此外，金融各產業公會也可以按照新指引來修正原有的身分驗證規範。金管會主任秘書蔡福隆表示，《金融機構辦理電子銀行業務安全控管作業基準》自去年起開始改版，目前已修改上半部，依照新指引來框架適當的驗證機制，給予業者更多彈性。</p> <p>不過，新指引也明定金融業者辦理數位身分驗證時，應建立風險管理機制，並納入內部控制及稽核制度，且適時檢討，也應注意與客戶權益有關的事項，例如告知客戶可以撤回或修正同意蒐集、處理及應用其個人資料。</p> <p></p> </div></div></div>
2023/10/25 01:56作者李昀璇https://www.ithome.com.tw/news/159467
Alphabet財報出爐，雲端成長不如預期
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://abc.xyz/assets/4a/3e/3e08902c4a45b5cf530e267cf818/2023q3-alphabet-earnings-release.pdf" target="_blank">Alphabet周二（10/24）公布今年第三季財報</a>，該季Alphabet創下767億美元的營收，成長11%，淨收入（Net Income）為197億美元，成長41.5%，每股盈餘為1.55美元。儘管整體財報成績亮眼且超乎預期，但因其中的雲端營收僅成長22.5%，未達預設的目標，使得Alphabet當天盤後下滑了6.07%，股價跌至130.38美元。</p> <p>在Alphabet的總營收中，有596億美元來自Google廣告，成長9.5%，再加上其它營收，來自Google服務的總營收達到680億美元，至於Google Cloud的營收則為84億美元，比去年同期成長22.5%，新創事業（Other Bets）營收為2.97億美元，成長42%。</p> <p>Alphabet財務長Ruth Porat於財報中表示，該季的營收成長歸功於搜尋、YouTube與Google Cloud。</p> <p>其實Alphabet該季交出了漂亮的成績單，只有雲端營收低於預期。根據《CNBC》的報導，Porat於財報會議上透露，雲端營收不如預期主要來自於客戶優化了支出政策，該報亦分析，Google Cloud一直在努力追趕Amazon的AWS與微軟Azure，且雲端服務在AI興起、有愈來愈多企業轉而利用公有雲來執行繁重任務的時刻更為重要，使得它成為投資觀察重點。</p> <p>而在同一天公布財報的微軟，其Azure與其它雲端服務營收成長了29%。</p> </div></div></div>
2023/10/25 11:45作者陳曉莉https://www.ithome.com.tw/news/159469
遭植入後門的思科IOS XE設備數量出現異常銳減狀現象，有資安廠商證實攻擊者其實是滅除遭駭痕跡，並植入新後門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科先後揭露2個已被用於攻擊行動的網路作業系統IOS XE漏洞<a href="https://www.ithome.com.tw/news/159319">CVE-2023-20198</a>、<a href="https://www.ithome.com.tw/news/159431">CVE-2023-20273</a>，駭客於受害系統植入Lua開發的後門程式，有資安業者揭露受害情形，但近期再度出現新的變化引起關注。</p> <p>根據10月22日<a href="https://www.bleepingcomputer.com/news/security/number-of-hacked-cisco-ios-xe-devices-plummets-from-50k-to-hundreds/">資安新聞網站Bleeping Computer報導</a>，有許多研究人員發現，感染後門程式的思科設備數量呈現不合理的劇烈減少現象，10月21日達到6萬臺的高峰，隔天卻突然降到只剩1,200臺。</p> <p>針對這樣的現象，<a href="https://twitter.com/onyphe/status/1715633541264900217">資安業者Onyphe認為</a>，這是因為駭客企圖埋藏攻擊意圖，而幫受害設備部署更新程式修補漏洞，使得研究人員掃描的時候不會察覺這些設備。該公司指出，他們已經連續兩天看到後門程式數量急速減少，但原因並非IT人員積極採取行動，而有可能是駭客想要解決後門程式極為容易發現的現象，開始為受害裝置套用更新。</p> <p>資安組織Shadowserver基金會也觀察到類似狀況，<a href="https://dashboard.shadowserver.org/statistics/combined/time-series/?date_range=7&source=compromised_website&source=compromised_website6&tag=device-implant%2B&group_by=geo&style=stacked">他們看到在21日之後，感染此後門程式的設備僅剩下186臺</a>，研判後門程式可能被移除或更新。</p> <p><a href="https://s4.itho.me/sites/default/files/images/XMyEdpbkcc.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/XMyEdpbkcc.png" style="width: 580px;" /></a></p> <p><a href="https://twitter.com/CERTCyberdef/status/1715787627800969374">Orange Cyberdefense CERT</a>、<a href="https://twitter.com/uk_daniel_card/status/1716131549945430356?s=46">研究人員Daniel Card</a>也對受害裝置突然減少的現象提出看法，Orange Cyberdefense CERT認為，駭客正在清理作案的痕跡，呼籲IT人員就算停用了網頁介面，也要進一步確認思科設備是否遭到入侵、竄改；Daniel Card推測，攻擊者入侵許多設備的目的，是要隱藏真正的目標。</p> <p>到了23日，<a href="https://www.linkedin.com/feed/update/urn:li:activity:7122238350849150976/">資安業者Fox-IT證實上述推測成真</a>，他們表示上述現象是因為駭客在受害裝置部署新版後門程式，數萬臺設備的後門程式已被更換，這些後門程式會在回應之前，檢查HTTP標頭進行驗證。研究人員指出，由於檢測舊版後門程式的方法沒有採用這種HTTP標頭，使得新後門程式不予回應，導致這些受害設備被誤判，檢測系統以為惡意程式已完全清除。</p> <p>根據他們的調查，目前約有37,980臺裝置遭到感染。<a href="https://github.com/fox-it/cisco-ios-xe-implant-detection">該公司將識別受害裝置的新方法上傳到GitHub</a>。</p> <p>這樣的調查結果也得到思科證實，該公司也在<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxe-webui-privesc-j22SaA4z">漏洞資安通告</a>、<a href="https://blog.talosintelligence.com/active-exploitation-of-cisco-ios-xe-software/">威脅情報團隊Talos針對攻擊行動揭露調查結果的文章</a>裡，提供新的curl命令，讓IT人員能檢查裝置是否遭到感染。</p> </div></div></div>
2023/10/24 23:17作者周峻佑https://www.ithome.com.tw/news/159466
臺廠首款商用Wi-Fi 7基地臺登場！網路總頻寬上看22G
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhao_qin_wbe660s_main2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在8月底，數位發展部部長唐鳳宣布開放6GHz（5945至6425MHz）頻段，提供Wi-Fi 6E使用，不僅帶動支援此項規格的網通設備市場，同樣支援此頻段的下一代標準Wi-Fi 7也將受惠。雖然Wi-Fi 7預計2024年定案，但支援這項規格的產品已陸續登場。</p> <p>例如，去年11月TP-Link發表多款產品，包含無線路由器Archer系列的BE900、BE800、GE800，以及家用網狀網路系統Deco系列的BE95、BE85、BE65，今年8月底在臺推出Wi-Fi 7與Wi-Fi 6E的產品。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-10-21-Zyxel Wi-Fi 7 roadmap.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-21-Zyxel%20Wi-Fi%207%20roadmap.jpg" style="width: 600px;" /></a></p> <p>而在商用等級產品上，10月中兆勤科技（Zyxel Networks）率先發表企業級Wi-Fi基地臺WBE660S，鎖定代管服務業者與中小型企業市場，協助建置Wi-Fi 7網路環境的解決方案。</p> <p>這款設備支援2.4 GHz、5 GHz、6 GHz這三個無線頻段，而在通訊協定上，支援Wi-Fi 7代表的802.11be標準，三頻合計最高可提供22 Gbps的網路傳輸能力，若以Wi-Fi 6與Wi-Fi 6E為基準，連線速度可達到5倍。之所以能提供如此強大的效能，兆勤表示，關鍵在於Wi-Fi 7不僅能使用6 GHz，而能獲得更大的連線服務容量，還能額外運用320 MHz這類具有更大頻寬的通道進行傳輸。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-10-21-Zyxel Wi-Fi 7 AP.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-21-Zyxel%20Wi-Fi%207%20AP.jpg" style="width: 600px;" /></a></p> <p>WBE660S本身具備的Wi-Fi 7連線能力，其實是源於搭配高通（Qualcomm）去年5月發表的無線通訊晶片Networking Pro 1220，這款晶片支援三頻、12個串流的訊號傳輸，網路存取容量最高可達21.6 Gbps，兆勤表示，可提供強大的運算能力與確保連線順暢度。在天線配置上，這款設備採用3支以4x4陣列配置、4個空間串流的智慧型天線，能以聰明的方式調整天線通訊模式，減輕訊號干擾。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Qualcomm Wi-Fi 7 Platform.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Qualcomm%20Wi-Fi%207%20Platform.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s7d1.scene7.com/is/content/dmqualcommprod/graph_custom-desktop" style="width: 600px;" /></p> <p>在晶片與天線之外，WBE660S也結合進階的射頻濾波器（RF Filter），以及進階行動網路共存技術（Advanced Cellular Coexistence，ACC），能夠減少鄰近Wi-Fi頻道與4G/5G行動寬頻網路的干擾，可確保所有頻道的傳輸效能，也能充分利用Wi-Fi 7提供更大的正交振幅調變（QAM）——802.11ax為1024 QAM，802.11BE為4096 QAM，從而提供最大的吞吐量。</p> <p><a href="https://s4.itho.me/sites/default/files/images/img_wbe660s_3d_photo_c02_web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/img_wbe660s_3d_photo_c02_web.jpg" style="width: 400px;" /></a> </p> <p><a href="https://s4.itho.me/sites/default/files/images/Zyxel Smart antenna.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zyxel%20Smart%20antenna.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/WBE660S_antenna2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WBE660S_antenna2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/WBE660S_Hardware_Design2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WBE660S_Hardware_Design2.jpg" style="width: 600px;" /></a></p> <p>關於多個基地臺的管理與安全防護方面，WBE660S可納入兆勤營運的Nebula雲端網路管理平臺，方便用戶從遠端進行同廠牌大量設備的集中管控，這款產品隨附Nebula Pro Pack的一年份授權，用戶可執行當中提供的完整進階管理功能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/WBE660S-Nebula Managed.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WBE660S-Nebula%20Managed.jpg" style="width: 600px;" /></a></p> <p>例如，當中的WiFi Aid自動診斷功能，可以自動處理終端使用者無線上網期間遇到的存取問題；</p> <p> </p> <div class="media_embed"><a href="https://youtu.be/W2g74A0muFE?si=6Indx5EZv68lfEUD&t=1468">https://youtu.be/W2g74A0muFE?si=6Indx5EZv68lfEUD&t=1468</a></div> <p> </p> <p>另一個<a href="https://www.zyxel.com/global/en/products/endpoint-and-connectivity/ap-security-service-connect-and-protect">Connect & Protect Plus（CNP+）功能</a>，主要是在基地臺的層級提供強化安全性，當終端使用者流量進入網路時，提供防護。除此之外，用戶還可以存取無線網路運作狀態監控與報告，以及針對不同站點的網路拓樸架構進行剖析。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Zyxel CNP-Wireless-Network-Security.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zyxel%20CNP-Wireless-Network-Security.jpg" style="width: 600px;" /></a></p> <p>而在有線網路介面的配備上，WBE660S提供1個GbE埠，以及1個相容2.5GbE、5GbE、10GbE的上行埠，能連接10GbE交換器。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WBE660S-connection.png" style="width: 400px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>兆勤WBE660S</strong><br /> ●原廠：兆勤科技<br /> ●建議售價：65,000元<br /> ●支援無線網路標準：802.11a/b/g/n/ac/ax/be<br /> ●天線架構：6GHz、5GHz、2.4GHz均為4x4:4SS，MU-MIMO<br /> ●傳輸速度：總共為22 Gbps，6GHz為11530 Mbps，5GHz為8646 Mbps，2.4GHz為1376 Mbps<br /> ●連接埠：1個10 GbE埠（支援PoE）、1個GbE埠、1個USB-C埠<br /> ●供電方式：DC輸入（USB-C埠）或PoE<br /> ●整合其他無線通訊技術：藍牙（BLE 5.1），軟體已開放iBeacon功能</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/10/24 23:34作者李宗翰https://www.ithome.com.tw/review/159429
【資安日報】10月24日，駭客再度針對已遭零時差漏洞攻擊的思科IOS XE設備下手，部署新的後門程式，意圖隱匿攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科<a href="https://www.ithome.com.tw/news/159361#CVE-2023-20198">上週揭露</a>已被用於攻擊行動的零時差漏洞CVE-2023-20198，隨後情況急速惡化，多家資安業者發現受害的IOS XE設備，數量一度達到4萬，甚至6萬的高峰，但特別的是，他們在週末觀察到的遭駭設備數量，竟然只剩下一千多臺。難道是IT人員都很配合、及時套用更新程式嗎？研究人員普遍認為，這些看似「已修補」的狀態，可能是駭客隱匿攻擊行動的作為。</p> <p>對於上述推測，資安業者Fox-IT公開證實，並指出駭客在近4萬臺具有這個弱點的設備，部署了新版後門程式，繼續進行控制。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/number-of-hacked-cisco-ios-xe-devices-plummets-from-50k-to-hundreds/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">遭植入後門的思科IOS XE設備數量出現異常銳減狀現象，有資安廠商證實攻擊者其實是滅除遭駭痕跡，並植入新後門</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/XMyEdpbkcc.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/XMyEdpbkcc.png" style="width: 300px; float: right;" /></a>思科先後揭露2個已被用於攻擊行動的網路作業系統IOS XE漏洞CVE-2023-20198、CVE-2023-20273，駭客於受害系統植入Lua開發的後門程式，隨後有資安業者揭露受害情形，但近期再度出現新的變化引起關注。</p> <p>根據10月22日資安新聞網站Bleeping Computer報導，有許多研究人員發現，感染後門程式的思科設備數量呈現不合理的劇烈減少現象，10月21日達到6萬臺的高峰，隔天卻突然降到只剩1,200臺。。針對這樣的現象，資安業者Onyphe首席技術長Patrice Auffret認為，這是因為駭客企圖埋藏攻擊意圖，而幫受害設備部署更新程式修補漏洞。資安組織Shadowserver基金會也觀察到類似狀況，他們看到在21日之後，感染此後門程式的設備僅剩下186臺，研判後門程式可能被移除或更新。Orange Cyberdefense CERT、研究人員Daniel Card也對受害裝置突然減少的現象提出類似的看法。</p> <p>到了23日，資安業者Fox-IT證實上述推測成真，他們表示上述現象是因為駭客在受害裝置部署新版後門程式，這些後門程式會在回應之前，檢查HTTP標頭進行驗證。根據他們的調查，目前約有37,980臺裝置遭到感染。</p>  <p>資料來源</p> <p>1. <a href="https://twitter.com/onyphe/status/1715633541264900217">https://twitter.com/onyphe/status/1715633541264900217</a><br /> 2. <a href="https://dashboard.shadowserver.org/statistics/combined/time-series/?date_range=7&source=compromised_website&source=compromised_website6&tag=device-implant%2B&group_by=geo&style=stacked">https://dashboard.shadowserver.org/statistics/combined/time-series/?date_range=7&source=compromised_website&source=compromised_website6&tag=device-implant%2B&group_by=geo&style=stacked</a><br /> 3. <a href="https://twitter.com/CERTCyberdef/status/1715787627800969374">https://twitter.com/CERTCyberdef/status/1715787627800969374</a><br /> 4. <a href="https://twitter.com/uk_daniel_card/status/1716131549945430356?s=46">https://twitter.com/uk_daniel_card/status/1716131549945430356?s=46</a><br /> 5. <a href="https://www.linkedin.com/feed/update/urn:li:activity:7122238350849150976/">https://www.linkedin.com/feed/update/urn:li:activity:7122238350849150976/</a></p> <p><a href="https://www.qnap.com/zh-tw/security-news/2023/qnap-%E5%81%95%E5%90%8C-digital-ocean-%E6%88%90%E5%8A%9F%E9%98%BB%E6%96%B7-nas-%E5%BC%B1%E5%AF%86%E7%A2%BC%E6%94%BB%E6%93%8A%E4%BF%9D%E9%9A%9C%E7%94%A8%E6%88%B6%E8%B3%87%E6%96%99%E5%AE%89%E5%85%A8"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">威聯通聯手雲端服務業者Digital Ocean，攔阻鎖定NAS設備的暴力破解攻擊</span></strong></a></p> <p></p> <p>10月19日臺灣NAS廠商威聯通（QNAP）發布資安通告，表示他們在10月14日下午6時偵測到大規模暴力破解攻擊，鎖定曝露在網際網路上的NAS設備而來，威聯產品資安事件應變團隊（QNAP PSIRT）後續花了7小時，利用該廠牌設備的專屬防火牆系統QuFirewall，封鎖數百個殭屍網路的IP位址，兩天後找到C2伺服器，該伺服器由雲端服務業者Digital Ocean代管。</p> <p>威聯通尋求Digital Ocean協助，阻斷此伺服器運作，以免災情擴散。該公司也呼籲NAS用戶應儘速採取資安防護行動，避免自己成為暴力破解攻擊的受害者。</p> <p><a href="https://www.bleepingcomputer.com/news/security/1password-discloses-security-incident-linked-to-okta-breach/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">密碼管理平臺1Password證實因Okta資料外洩遭遇網路攻擊</span></strong></a></p> <p></p> <p>前幾天，身分存取管理業者BeyondTrust、雲端服務業者Cloudflare發出公告，表明因Okta客戶技術支援系統遭駭，導致他們架設的Okta實體受到影響，今天傳出新的受害組織。 10月23日密碼管理系統1Password發出聲明，表示他們在9月29日，察覺提供員工使用的Okta實體出現異常行為，隨即阻止其行為並著手調查，，並與Okta聯手確認入侵來源，10月20日後，他們確定與Okta的客戶支援系統事故有關。</p> <p>1Password指出，他們的IT團隊成員曾向Okta請求技術支援，並上傳由Chrome瀏覽器的開發工具建立的HAR檔案以供診斷，攻擊者竊得HAR檔案，企圖存取1Password的主控臺儀表板（但遭Okta封鎖）、更新與Google環境有關的Okta身分驗證提供者（IDP）、啟用IDP、要求管理員使用者的報告。對此，該公司輪調所有IT員工的帳密資料、修改Okta組態，來因應這起事故。</p> <p>資料來源</p> <p>1. <a href="https://blog.1password.com/okta-incident/">https://blog.1password.com/okta-incident/</a><br /> 2. <a href="https://blog.1password.com/files/okta-incident/okta-incident-report.pdf">https://blog.1password.com/files/okta-incident/okta-incident-report.pdf</a></p> <p><a href="https://www.netscaler.com/blog/news/cve-2023-4966-critical-security-update-now-available-for-netscaler-adc-and-netscaler-gateway/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Citrix警告NetScaler重大漏洞的攻擊行動仍持續進行</span></strong></a></p> <p></p> <p>10月10日Citrix修補NetScaler設備資訊洩露漏洞CVE-2023-4966（CVSS風險評分為9.4），之後資安業者Mandiant提出警告，駭客從8月下旬就利用這項零時差漏洞，已有政府機關與科技業者受害，如今Citrix也證實該漏洞被用於攻擊行動的情形。</p> <p>10月23日Citrix發出公告，坦承他們接獲連線階段（Session）挾持的事故通報，並確認攻擊者在過程當中利用這項漏洞。他們呼籲將NetScaler ADC設置為閘道組態（即VPN虛擬伺服器、ICA代理伺服器、CVPN、RDP代理伺服器），或是AAA虛擬伺服器的IT人員，應儘速套用相關更新，然後下達命令清除所有的活動與連線階段，以防已有攻擊者利用漏洞進行破壞的情況。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://moda.gov.tw/ACS/press/news/press/8583"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">18國資安專家匯聚臺灣，展開跨國資安攻防演練CODE 2023，臺灣奪得冠軍</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/ushgdyx1_xae.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ushgdyx1_xae.png" style="width: 300px; float: right;" /></a>10月18日至20日，數位發展部資通安全署舉辦今年度跨國網路攻防演練（Cyber Offensive and Defensive Exercise，CODE 2023），吸引18個國家的資安組織參與，本次的CODE活動，選定與民生相關的水資源領域建置仿真的場域，由臺灣自來水公司擔任藍軍，紅軍則由國內外攻擊隊伍分別扮演，共有八隊進行實戰的演練及切磋，充分地模擬多方駭客針對關鍵基礎設施（CI）進行攻擊，而防禦組演練面對多方攻擊，他們展現如何快速應變及處置。結果我國參與團隊在比賽表現出色，獲得第1名的佳績。</p> <p>此外，有別於過往的CODE攻防演練，這次活動也同時舉辦前瞻資安探索會議（Advanced Cybersecurity Exploration Conference），邀集世界各地學者、業界及政府代表，共同聚焦兩大資安議題：關鍵基礎設施安全、新興技術風險管理，探索相關因應策略或方案。</p> <p><a href="https://moda.gov.tw/press/press-releases/8607"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為防堵假冒政府機關的簡訊詐騙，數位發展部推出專屬短碼簡訊平臺111</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/uk1yuump_c22.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/uk1yuump_c22.jpg" style="width: 300px; float: right;" /></a>為防堵詐騙，去年數位發展部推出政府專用的短網址服務，現在他們進一步推出新的111政府專屬短碼簡訊平臺，並於今日舉行啟動記者會，總統蔡英文也親自到場，宣布正式啟動這項服務。</p> <p>數位部表示，政府機關必須透過專屬平臺，才能發送111短碼簡訊，達到只此一家、別無分號的效果，民眾更容易辨識簡訊來自公部門，部長唐鳳表示，在首波內部測試期間，參與單位涵蓋中央與地方政府單位，包括：行政院的衛生福利部、法務部、經濟部、勞動部、數位部，中央研究院，以及臺南市政府，現在將開放更多中央與地方政府機關申請參與使用。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.proofpoint.com/us/blog/threat-insight/copacabana-barcelona-cross-continental-threat-brazilian-banking-malwar"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">巴西金融木馬Grandoreiro針對西班牙、墨西哥而來</span></span></strong></a></p> <p></p> <p><a href="https://www.uptycs.com/blog/quasar-rat"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">木馬程式Quasar RAT透過DLL側載手法躲避偵測</span></span></strong></a></p> <p><a href="https://thehackernews.com/2023/10/donot-teams-new-firebird-backdoor-hits.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">巴基斯坦和阿富汗遭到駭客組織DoNot Team鎖定，散布名為Firebird的後門程式</span></span></strong></a></p> <p></p> <p><a href="https://www.fortinet.com/blog/threat-research/exelastealer-infostealer-enters-the-field"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露Python竊資軟體ExelaStealer</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/university-of-michigan-employee-student-data-stolen-in-cyberattack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">密西根大學針對8月遭遇的網路攻擊公布調查結果，證實學生、教職員的個資外洩</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159433"><strong>【10月23日】思科網路設備作業系統IOS XE攻擊升溫，駭客串連兩個零時差漏洞散布惡意程式，近4.2萬臺設備受害</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159415"><strong>【10月20日】駭客利用後門程式框架Meta攻擊東歐國家的石油產業、天然氣公司、國防工業</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159379"><strong>【10月19日】互動式運算平臺Jupyter Notebook遭到鎖定，駭客部署惡意程式，從中挖礦並盜取雲端服務帳密</strong></a></p> </div></div></div>
2023/10/24 17:49作者周峻佑https://www.ithome.com.tw/news/159454
政府推出111短碼簡訊平臺，杜絕詐騙集團冒用公家名義簡訊詐騙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <div> <p>為了杜絕詐騙集團透過簡訊方式詐騙國人，數位發展部推出政府專用的111短碼簡訊發送平臺，總統蔡英文在啟動記者會上也表示，短碼簡訊平臺的啟用，是數位部攜手電信業者，從源頭強化民眾可信任的資訊來源，來防止冒充政府的詐騙簡訊，未來政府各部會都能透過短碼簡訊平臺，發出來源號碼是111的簡訊。</p> <p>數位發展部部長唐鳳則指出，目前已經有六個機關部會和臺南市政府正在試用短碼簡訊，明年一月將納入共同供應契約，有需要發送簡訊的政府部門，向數位部開通發送簡訊的權限後，就可以自行操作，而所有公務機關發送的111短碼簡訊，透過電信業者的協助，外界無法偽造，也可以降低民眾受騙機率。</p> <h2><strong>政府積極打詐，攔阻近七百萬則詐騙簡訊</strong></h2> <p>蔡英文表示，今年五月，行政院推出了「新世代打擊詐欺策略行動綱領 1.5 版」的方案，透過識詐、堵詐、阻詐和懲詐等四個面向打擊詐騙，而從今年五月完成打詐五法的修法，行政院也成立打詐辦公室，統籌並督導打詐業務，協調各部門資源，透過滾動式修正相關策略，隨時掌握詐騙型態。</p> <p>她也說，從今年的1月到9月，政府攔阻了超過689萬則詐騙簡訊，境外電話詐騙也攔截超過1,632萬通，再加上推出111短碼簡訊，從源頭把關，可以讓民眾快速識別簡訊真偽，避免落入詐騙集團的陷阱。</p> <p>行政院政務委員羅秉成表示，網路有害內容有兩個，第一個就是假訊息，第二個就是詐騙，假訊息是騙你的腦袋，詐騙則是騙你的口袋。</p> <p>根據國際防制詐騙NGO統計，詐騙是跨國際的產業，產值超過兆元美金，世界各國深受其害，詐騙嚴重排名國家中，臺灣排名第二十三名，新加坡排名第一。而詐騙最常使用的工具包括電話、網路和帳務，羅秉成說：「只要可以有效掌握上面三個工具，就可以有效抑制詐騙。」</p> <p>羅秉成表示，防制詐騙的三減策略「減少接觸」、「減少誤信」和「減少損害」就是從犯罪流程和工具下手。首先，透過電信業者協助攔阻幾千萬封的詐騙簡訊，或是數位部輔導電商業者使用個資隱碼技術，直接在源頭隱匿手機號碼後，就可以做到減少接觸。</p> <p>至於，減少誤信就是針對有些+886或+86的電話提供語音提醒可能是詐騙電話，或是ATM不時跳出小心詐騙的警示視窗都是實利；減少損害最顯著的成效在於銀行臨櫃減少民眾財務損失，臨櫃攔阻的金額將近六十億，是去年同期的三點五倍。</p> <p>羅秉成指出，為了逼出詐騙案件黑數，積極打詐也讓案件數量處於高峰，在金管會協助下，和銀行業者每兩週召開一次專案會議，今年一月～九月，詐騙案件數量和財損金額，隨然較去年同期多了兩成，但破獲的詐騙集團也較去年同期增加兩成；至於沒收的金額，去年一月～九月為三億多元，今年同期則將近四十億元。</p> <h2><strong>不讓政府發送簡訊的號碼遭詐騙集團濫用，才有111政府專屬短碼</strong></h2> <p>唐部長表示，政府推出111短碼簡訊平臺，初期建置費用為一千二百萬元，預計明年元旦就會納入共同供應契約，該短碼簡訊平臺在試用期間，已經有包括：衛福部、法務部、經濟部、勞動部、中研院、數位部和臺南市政府參與，未來將開放更多中央與地方政府機關參與試用，透過政府專屬111短碼簡訊的發送方式，可以讓政府訊息可以更有效率的傳播。</p> <p>不過，她也指出，像是165或是1922等已經具有代表性的識別短碼，相關部會機關會保留原有短碼、繼續使用，但是其他沒有既有短碼的單位，可以利用111短碼簡訊平臺發送簡訊，做到「僅此一家、別無分號」的效果。</p> <p>數位部去年也推出政府專屬的短網址服務（<a href="https://url.gov.tw/">https://url.gov.tw/</a>），也有助於政府機關有效傳播公共資訊，唐鳳表示，搭配今天推出的短碼簡訊平臺，都可以從源頭防堵詐騙，可以更有效確保政府資訊不容易遭到仿冒。她說：「政府訊息不會被仿冒，就是訊息的完整性（Information Integrity），這個是非常重要的公共建設。」</p> <p>數位部數位政府司司長王誠明表示，111短碼簡訊平臺這個政府專屬的簡訊機制，就是希望透過容易辨識、無法偽造的方式，建立政府的公信力，並增加民眾信賴度以杜絕詐騙集團冒用政府名義。</p> <p>羅秉成也說，政府推出的111短碼簡訊平臺，就是從源頭管理去減少民眾的誤信。他進一步解釋，以往政府委託簡訊代發業者發送簡訊，因為發送號碼不固定，這次號碼可能是政府使用，但下次就可能被詐騙集團拿來使用。</p> <p>因為這樣的簡訊發送方式，也讓民眾無從辨識，為什麼使用同樣號碼發送出來的簡訊，會出現一次是真的政府簡訊，但有一次卻是詐騙集團冒用政府名義發送的假簡訊呢？他表示，為了減少民眾的誤信，這也是政府為什麼要推動政府111專屬短碼簡訊平臺的原因。</p> <h2><strong>只有透過政府平臺發送的簡訊，才可以顯示111的號碼</strong></h2> <p>所以，王誠明表示，透過電信業者從源頭管理，讓外界無法偽造111簡訊代表號碼，為了讓機關可以更簡便使用，也減少機關行政採購程序，政府機關只需要備妥簡訊檔內容，就可以直接透過數位部建置的111平臺發送簡訊，而簡訊發送方式不僅可以即時發送，也可以做到定期發送，也可以單筆或是批次、人工或是透過API發送簡訊。</p> <p>王誠明強調，簡訊發送過程可以分成政府機關、簡訊平臺、電信業者和民眾等四個角色，政府部門除了專注簡訊內容外，最重要的就是做到資安控管，確保發送簡訊前，要到數位部進行權限開通，傳輸過程全程加密，並控管可以發送簡訊伺服器的IP位址是屬於白名單，並做到帳號控管。</p> <p>至於簡訊檔的發送，他表示，可以在平臺直接操作，也可以透過API安全傳輸，在簡訊平臺本身，數位部維運平臺功能性及可用性，讓各機關直接操作簡訊發送作業外，也可以自行設定傳輸和簡訊發送方式，而報表及費用帳單會由平臺直接提供給使用機關，更重要的是，平臺個資的保存要最小化，不會保留簡訊內容和發送電話號碼。</p> <p>王誠明指出，在簡訊平臺依門號轉送對應的電信業者後，電信業者端也會從境內、境外最到防偽功能，確認只有從111短碼簡訊平臺發送的簡訊，才可以顯示111政府專屬的短碼。</p> <p>透過政府部門、簡訊平臺和電信業者的三重把關後，他認為，民眾可以透過111來源號碼作為唯一識別政府簡訊的方式，民眾就可以安心並信任索收到的簡訊內容。</p> <p>唐鳳強調，未來數位部也會持續推動數位信任科技，包括111短碼簡訊平臺、政府專用短網址、以及零信任、TW FidO、電子簽章法修法等等，以打造一個安全、可靠、可信任的數位環境。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%94%BF%E5%BA%9C%E7%B0%A1%E8%A8%8A%E5%B9%B3%E8%87%BA%E7%B3%BB%E7%B5%B1%E6%9E%B6%E6%A7%8B.jpg" style="width: 600px;" /></p> <blockquote><p>政府專屬短碼簡訊發送的對象可以分成：政府部門、111簡訊平臺、電信業者和民眾，而政府最重要的就是要做到資安控管，並盡可能將平臺保留的個資最小化。</p> </blockquote> </div> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-content"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%AC%AC%E4%B8%80%E5%89%87111%E7%9F%AD%E7%A2%BC%E7%B0%A1%E8%A8%8A_%E6%95%B8%E4%BD%8D%E9%83%A8%E6%8F%90%E4%BE%9B.jpg" style="width: 600px;" /></div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <blockquote><div id="haloword-control-container">總統蔡英文蒞臨111政府專屬短碼簡訊平臺的記者會上，也以總統府名義發送一則111短碼簡訊給媒體記者，也希望各界可以認明111的短碼是政府專用的簡訊短碼，其他單位都無法冒用。</div> </blockquote> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-content"> </div> </div> </div></div></div>
2023/10/24 18:11作者黃彥棻https://www.ithome.com.tw/news/159462
財金公司與銀行、電支業者共推TWQR，讓用戶可跨電支、銀行特約商家掃碼付款
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>財金公司今天（10/24）正式開辦電子支付跨機構共用平臺的「購物」服務，並聯合銀行、電子支付機構業者共推TWQR，商家導入此一共通支付QR Code，銀行或電支用戶就能以原本的支付App，在不同的特約商家掃碼付款。</p> <p>財金公司在2021年10月打造電子支付跨機構共用平臺，並與銀行、電子支付業者合作，推出轉帳、繳稅、繳費等服務，今天開辦的購物服務，目的是突破單一支付App只能在特約合作商店使用的限制，例如一卡通電支用戶只能其合作的商家使用，全盈支付只能在合作商家使用，銀行與電支業者加入共用平臺「購物」功能，商家只要採用TWQR作為共通支付QR Code，用戶以單一支付App，就能在其他支付業者的特約商店掃碼付款。</p> <p>在共用平臺「購物」服務的支持下，一卡通電支用戶在全盈支付的特約合作商家，只要看到櫃檯放置TWQR立牌，就能使用一卡通掃碼付款，相反地，全盈支付用戶也可在有TWQR立牌的一卡通特約商家掃碼付款，打破各家支付業者消費通路不能互通的限制。</p> <p>在金管會、財政部、國發會號召下，首波加入共用平臺「購物」功能者，包括37家台灣Pay金融機構，還有全盈支付、一卡通、橘子支、歐付寶４家電子支付機構，另有５家電子支付機構業者，例如愛金卡、悠遊付、街口支付、簡單支付、愛金卡未來也會陸續加入，各家業者依準備作業不同，加入「購物」功能的時程不一。</p> <p>財金公司董事長林國良表示，目前全球在掃碼支付上呈現國家、地區推動代表性的支付QR Code，TWQR即是代表臺灣的共同QR Code，國內雖然早在2017年就推動TWQR，到現在正式和國際、國內金融、電支機構整合，TWQR成為支付的共同標準及識別，並提供購物、繳費、繳稅、轉帳等多元服務，未來將會擴大到交通。</p> <p>他指出，TWQR不只是國內支付QR Code的共同標準，早在2018年與VISA、萬事達卡、JCB、銀聯等國際發卡組織的QR Code相整合，國內的商家放置TWQR立牌，不只國內金融機構、電支機構用戶可以使用，國外旅客使用的信用卡，透過手機也能使用。未來也希望和境外業者合作，將TWQR延伸到國外，讓國內金融、電支的掃碼支付也能在國外使用。</p> <p>林國良認為，TWQR對各方業者是互利的，對金融機構來說，通過資源共享、資訊互通，根據各自的策略擬定推展的項目，並組成更大的生態圈，對商家而言，只要一張QR Code就能收遍各家支付服務，對消費而言，以習慣使用的支付服務或App就能掃遍所有的商家。TWQR目前提供繳費、繳稅、轉帳、購物功能，預計2024年再提供交通，同時提供跨境的支付服務。</p> <p>其中在交通服務部分，一卡通的交通電子票證可望先加入TWQR，但要進入交通支付場域，不論是公車或捷運，尚需克服公車或捷運讀卡設備，使其支援TWQR被掃功能。至於跨境支付方面，財金公司也計畫將TWQR推向日本、韓國，目前已和韓國支付業者BC Card準備合作，讓民眾將來到韓國，使用臺灣的銀行或電支App，在掛有TWQR的商家掃碼付款。</p> <p>除了實體的商家掃碼付款，財金公司也和合作的金融機構，線上電子商務也能支援TWQR，如下圖所示，在手機上使用早點App訂購咖啡或早餐，選擇使用TWQR，再選擇想要採用的金融機構或電支服務，就會跳轉到業者的支付服務完成付款。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_5503%EF%BC%8D%EF%BC%91.jpg" style="width: 600px; height: 399px;" /></p> <p>目前財金公司今天啟動的TWQR，目前先以正掃的消費模式為主，因為正掃只要商家導入TWQR立牌即可，因此首波以小型、非連鎖商家為主，至於大型、連鎖商家較多使用的被掃模式，例如連鎖超商，因為比較複雜，需要修改商家的POS系統，目前TWQR還沒有支援被掃模式。</p> <p>國內電支業者要加入TWQR，除了和財金公司的系統介接測試之外，還需要金融機構、電支業者需一家一家重新和商家協議，鼓勵採用TWQR，並和特約合作商家更改合約，因TWQR打破電支業者的特約合作商家，讓用戶可以跨特約商家掃碼付款，因此視每家電支業者加入TWQR的「積極性」而定，目前支援TWQR的商家數量，很難在短時間內擴大商家規模。</p> </div></div></div>
2023/10/24 18:16作者蘇文彬https://www.ithome.com.tw/news/159463
AI趨勢周報第231期：Docker也新添生成式AI工具了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1013～1019)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Docker </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 容器 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size: 22px;"><strong>開源容器工具Docker也新添生成式AI工具，開發更快速</strong></span></p> <p>開源容器平臺Docker是目前許多AI應用的主流部署方法，其同名公司日前在年度技術大會Dockercon上，揭露一系列生成式AI新功能，首先是<a href="https://www.docker.com/press-release/neo4j-langchain-ollama-launches-new-genai-stack-for-developers/">GenAI Stack</a>，號稱只需幾分鐘，使用者就能開始開發生成式AI應用。</p> <p>進一步來說，GenAI Stack簡化開發流程，將Docker容器與圖數據庫Neo4j、語言模型開發框架LangChain和模型管理工具Ollama整合在一起。比如，使用者可用Ollama在本地端執行LLM，並用預設的Neo4j圖形和向量搜尋資料庫，來讓AI模型更快、更準確。此外，GenAI Stack還提供預配置的開源大型語言模型（如Llama 2、Code Llama、Mistral）和私有模型（如GPT-3.5、GPT-4），來縮短開發時間。</p> <p>除了GenAI Stack，Docker也推出首個AI產品<a href="https://www.docker.com/press-release/announces-ai-boosting-developer-productivity-through-automated-guidance/">Docker AI</a>，是個類似程式開發助理Copilot的服務。團隊以長年來累積的百萬個Dockerfile、Docker Compose檔案來訓練Docker AI，能針對特定情境提供自動化功能，比如可在使用者編輯Dockerfile或Docker Compose檔案、在地端除錯docker build或在執行測試時，提供自動化指示，加速開發流程。<a href="https://www.docker.com/press-release/neo4j-langchain-ollama-launches-new-genai-stack-for-developers/">（詳全文）</a></p> <p><img alt="" src="https://dist.neo4j.com/wp-content/uploads/20231005063020/genai-stack-support-agent-1024x576.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 台新金控 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Chatbot </span></strong></span></p> <p><span style="font-size: 22px;"><strong>台新金控揭露4大生成式AI實驗進展</strong></span></p> <p>台新金控揭露生成式AI進展，包括Teams Chatbot、知識管理平臺、程式助理Codex和虛擬智能客服等4大實驗案。其中，第一項導入的是微軟Azure OpenAI服務的ChatGPT，台新金控首選Chatbot的目的是讓集團各單位更了解生成式AI，於是在今年3月與廠商規畫、建置專屬Chatbot，租用微軟Azure OpenAI環境，5月正式將ChatGPT串接至Teams中，提供200個帳號供各單位使用。</p> <p>再來，台新金控進一步結合生成式AI，打造知識管理平臺。該平臺能讓使用者向生成式AI提問，平臺再根據問題搜尋內部資料，找出最相關的資訊，由生成式AI彙整、回覆給使用者。該平臺還未正式上線，但未來完善後，會擴大發展為智能客服或其他應用。此外，台新金控也針對Codex進行一系研究，發現該Codex可提高程式開發效率，可協助IT人員完成資料表的建立、增刪減與重新規畫，以及撰寫初階和進階程式碼、撰寫程式碼說明等。不只如此，台新金控也用生成式AI打造虛擬客服，也就是生成一個擬真的客服人員，再利用語音轉文字、文字轉語音、人臉辨識等技術，來推薦理財商品給客戶。<a href="https://www.ithome.com.tw/news/159417">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/KM.JPG" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 可解釋性 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 特徵 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 神經網路 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Anthropic用特徵解構神經網路，大幅提高可解釋性</strong></span></p> <p>OpenAI競爭者Anthropic在最新發表的AI研究論文〈Decomposing Language Models With Dictionary Learning〉中，提出一種字典學習方法，能提高對神經網路的解釋性。這項研究讓Anthropic更能監控模型，進而引導模型行為，提高企業使用AI的安全性和可靠性。</p> <p>進一步來說，有別於在單一神經元中尋找規律，團隊擴大運用特徵（Feature）概念，藉由特徵對應到一群神經元活動模式的特性，來將複雜的神經網路，解構成更容易理解的單位。他們也在Transformer模型中，成功將一個含512個神經元的層，分解成超過4,000個特徵。同時，團隊還發展自動解釋方法，來驗證特徵的可解釋性。他們用大型語言模型來生成小模型的特徵描述，並以另一個模型來對描述評分，實驗結果也證實，特徵的得分高於神經元，也間接證明特徵的活躍和模型下游行為具一致性。<a href="https://www.anthropic.com/index/decomposing-language-models-into-understandable-components">（詳全文）</a></p> <p><img alt="" src="https://efficient-manatee.transforms.svdcdn.com/production/images/Frame-120.png?w=1259&h=788&auto=compress%2Cformat&fit=crop&dm=1696466752&s=4cbd4980573d60dbf763428f42a53a27" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 自動駕駛 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GAIA-1 </span></strong></span></p> <p><span style="font-size:22px;"><strong>英新創擴大90億參數生成式AI模型，助自駕模型看見未來</strong></span></p> <p>今年6月，英國AI新創Wayve展開一項概念性驗證專案，要將生成式AI模型GAIA-1用於自動駕駛，這幾個月持續擴展，模型參數增加至90億個，能生成逼真的駕駛場景影片，呈現自動駕駛在各種情境的反應，並更好地預測未來事件。</p> <p>GAIA-1可用不同模態的資料（如影片、文字和動作）來建立逼真駕駛場景影片，也能學習環境和未來動態表示，向自動駕駛模型提供一個結構化的環境理解，協助駕駛模型做出明智決策。GAIA-1的核心是世界模型（World model），是一個自迴歸Transformer，能預測序列中下一組圖像token；世界模型不只考慮過去的圖像token，還參照文字和動作token的上下文資訊。如此生成的這不只在視覺上連貫，也能和預期的文字、動作指引保持一致。</p> <p>接著，影片解碼器開始運作，將這些圖像token轉換回像素空間，來生成語義一致的影片。GAIA-1的主要價值在於在自動駕駛中引入生成式世界模型概念，透過整合影片、文本和動作輸入，展示多模態學習在創建多樣化駕駛情境的潛力，並泛化至真實世界中，提高自駕車能力。<a href="https://wayve.ai/thinking/scaling-gaia-1/">（詳全文）</a></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/OVX-eTLyA9g?si=7jxGCTck3wH9RdYM" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> PyTorch Edge </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 邊緣裝置 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ExecuTorch </span></strong></span></p> <p><span style="font-size:22px;"><strong>PyTorch Edge新解決方案簡化邊緣裝置的AI推論</strong></span></p> <p>開源機器學習框架PyTorch Edge最近推出一款新解決方案ExecuTorch，獲蘋果、高通創新中心和Arm等科技巨頭支援，可實現跨行動裝置和邊緣裝置的模型推論工作。</p> <p>進一步來說，ExecuTorch的目的是要解決裝置AI生態系碎片化的問題，其關鍵元件包含一個執行環境和輕量級操作登錄檔（Operator registry），範圍涵蓋PyTorch生態系中所有模型，可簡化PyTorch在裝置上執行的過程。ExecuTorch還有一個SDK和工具鏈，提供ML開發者直覺式的使用者體驗，能用來編寫、訓練模型和裝置授權，並整合在單一個PyTorch工作流程中。<a href="https://pytorch.org/blog/pytorch-edge/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 搜尋 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 圖像生成 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google在搜尋實驗室中新添AI生成圖像功能</strong></span></p> <p>Google日前在搜尋實驗室（Search Labs）中，新添了2項搜尋生成式體驗（SGE）功能，一是直接在搜尋列上執行生成圖像功能，二是請AI幫忙撰寫各種草稿。比如，使用者可在搜尋列上，輸入「請畫一張戴著廚師帽並正在做早餐的水豚圖像」，系統就會出現4張符合該描述的圖畫，隨便點選任何一張就能看到各自的描述，使用者也能編輯文字描述來修改圖畫。這些AI生成的圖像具有元資料標籤，並鑲有浮水印，Google還會封鎖違反使用政策的AI生成圖像，例如含有有害或誤導性內容。</p> <p>另一個SGE功能則能用來協助撰寫各種草，比如撰寫邀請施工人員報價的草稿，還能要求SGE調整草稿的長度及語氣，再匯出至Google Docs或Gmail。搜尋實驗室是Google在今年5月發表的測試平臺，用來測試各種利用生成式AI並改善搜尋，不過，目前搜尋實驗室僅開放美國、印度與日本的少數用戶參與。<a href="https://blog.google/products/search/google-search-generative-ai-october-update/">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/OctoberSGE_Regis_05.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google Cloud </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 智財 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google Cloud提供智財免責防護</strong></span></p> <p>為讓企業用戶安心使用AI服務，Google Cloud宣布提供AI免責防護，讓使用者不用擔心使用到版權內容而被告。今年8月，Google推出付費的Duet AI助理服務，並整合至生產力工具Workspace、雲端平臺Cloud Platform以及AI模型服務Vertex AI，企業可用Duet AI來生成所需內容，如行銷文案、廣告圖片或電子郵件等。</p> <p>而最近推出的服務，則是要防止使用者可能遭遇的版權法律責任。新服務包含2部分，第1個與Google使用的訓練資料有關，第2部分則著重基礎模型的生成結果。首先，訓練資料的免責涵括所有Google用來打造其生成模型的資料集，當第三方單位宣稱客戶侵害了其智財權，責任全由Google承擔。第二部分則是當戶使用Google AI服務的輸出結果，被第三方單位宣稱侵害其版權時，責任歸屬在Google。<a href="https://cloud.google.com/blog/products/ai-machine-learning/protecting-customers-with-generative-ai-indemnification">（詳全文）</a></p> <p>圖片來源／Docker、Anthropic、Wayve、Google</p> <p>攝影／王若樸</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. OpenAI正式開放ChatGPT Bing網頁搜尋，公測DALLE-3</strong></p> <p><strong>2. Adobe在旗下產品Photoshop和Preimere Elements新添20項AI功能</strong></p> <p>資料來源：iThome整理，2023年10月</p> </div></div></div>
2023/10/23 17:47作者王若樸https://www.ithome.com.tw/news/159453
微軟終於允許Excel用戶調整自動轉換功能，可以不再自動將連續字母與數字轉成日期
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://insider.microsoft365.com/en-us/blog/control-data-conversions-in-excel-for-windows-and-mac" target="_blank">微軟Excel團隊於上周宣布</a>，已調整了Windows及Mac版Excel中的自動資料轉換（Automatic Data Conversion）設定，允許使用者變更Excel中的預設行為，並根據需求關閉特定資料類別的自動轉換功能。這意味著可以要求Excel不要再把任何只是看起來像是日期的字母與數字，逕自轉換成日期。</p> <p>此一資料自動轉換功能主要是為了把使用者輸入或匯入Excel的資料以正確與一致的方式顯示，例如把01/15/23視為日期，把1,000視為數字的1000，也可辨識布林值、幣值或是百分比，也能將網址轉換成可點擊的連結等。雖然它大部分的時候都是正確的，但該功能也替某些社群帶來困擾，例如基因科學家。</p> <p><a href="https://genomebiology.biomedcentral.com/articles/10.1186/s13059-016-1044-7" target="_blank">一份在2016年出版的研究指出</a>，研究人員掃描了18種基因期刊，以Excel列出基因清單作為補充材料的3,597篇論文中，有704篇論文中隨附的Excel基因清單出現錯誤的基因名稱，更精確地說是在7,467個基因清單中，有987個基因清單出現錯誤。原因來自於Excel把把許多基因符號自動轉換成日期或浮點。</p> <p>例如Excel把基因符號SEPT2轉換成2-Sep，把MARCH1轉換成1-Mar，或是把日本研究機構RIKEN的識別碼2310009E13轉換成2.31E+13。</p> <p>這些年來已經有不少Excel用戶發揮創意，創造了許多迷因，像是<a href="https://imgur.com/gallery/uqf83Ay" target="_blank">宣稱</a>非自願單身（Incel）與Excel的共通點是「錯誤地把某些事當成是約會/日期」（Incorrectly assuming something is a date），<a href="https://www.reddit.com/r/memes/comments/vvws55/annoying_af/" target="_blank">或是</a>「樂觀派看到的杯子有一半的水，悲觀派看到杯子一半是空的，而Excel看到的杯子是1月2日（1/2）」。</p> <p>總之，Excel團隊產品經理Chirag Fifadra也說，他們想要解決客戶對Excel自動將資料轉換成特定格式的不滿，因而改善其設定，賦予使用者更多的控制權。</p> <p>更新後的自動資料轉換設定提供了許多選項，在啟用所有預設的資料轉換之後，還有許多子設定，包括移除數字首位的0並將其轉成數字，僅保留前15個數字並以科學計數法呈現，把E字母周遭的數字轉換成科學計數，以及將連續字母及數字轉換成日期。使用者可以選擇啟用或關閉這些設定。另有一個額外的設定是可在載入.csv或類似檔案時，在執行任何自動資料轉換時跳出警告。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-Control%20data%20conversions%20in%20Excel%20for%20Windows%20and%20Mac.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_微軟</span></span></p> <p>此一新的設定在<a href="https://learn.microsoft.com/en-us/officeupdates/current-channel" target="_blank">Windows上</a>適用於今年9月28日釋出的Microsoft 365 Version 2309及以後的版本，<a href="https://learn.microsoft.com/en-us/officeupdates/release-notes-office-for-mac" target="_blank">在Mac上</a>則支援10月10日釋出的Microsoft 365 Version 16.78及之後的版本。</p> </div></div></div>
2023/10/24 14:18作者陳曉莉https://www.ithome.com.tw/news/159449
傳聞Nvidia與AMD都將推出Arm架構的CPU
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/technology/nvidia-make-arm-based-pc-chips-major-new-challenge-intel-2023-10-23/" target="_blank">《路透社》</a>（Reuters）周一（10/23）引述消息來源報導，GPU與AI晶片龍頭Nvidia及AMD都將推出基於Arm架構的CPU晶片，消息一出，CPU大廠英特爾（Intel）當天股價即下滑了3.06%。</p> <p>根據報導，Nvidia已悄悄開始設計基於Arm架構且可執行Windows作業系統的CPU，AMD亦計畫打造基於Arm架構的PC晶片，雙方最快會在2025年開始銷售相關晶片。</p> <p>這與微軟推動Windows on Arm的策略有關，過去微軟所發表的Windows on Arm都是採用高通所生產的Arm晶片，若報導為真，未來Nvidia與AMD都將加入高通的行列，成為微軟Windows on Arm的晶片供應商，有機會撼動英特爾的CPU晶片龍頭地位。</p> <p>除了《路透社》之外，<a href="https://www.bloomberg.com/news/articles/2023-10-23/nvidia-to-take-on-intel-with-arm-based-pc-chips-reuters-says?leadSource=uverify%20wall#xj4y7vzkg" target="_blank">《彭博社》</a>（Bloomberg）亦引用未具名人士報導，Nvidia與AMD皆正在開發基於Arm的PC晶片，由於雙方皆未揭露消息來源，因而無法確認其來源是否一致。</p> <p>至於不管是Nvidia、AMD、Arm或是微軟都拒絕回應此一傳聞。</p> </div></div></div>
2023/10/24 11:50作者陳曉莉https://www.ithome.com.tw/news/159446
微軟開放Security Copilot早鳥方案給Microsoft 365用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>公布AI安全助理Security Copilot 7個月後，<a href="https://www.microsoft.com/en-us/security/blog/2023/10/19/microsoft-security-copilot-early-access-program-harnessing-generative-ai-to-empower-security-teams/" target="_blank">微軟本周開放早鳥方案給Microsoft 365等付費用戶</a>，將之整合到Microsoft 365 Defender中。</p> <p>微軟今年起將ChatGPT/GPT-4全面整合到旗下服務。<a href="https://www.ithome.com.tw/news/156183" target="_blank">軟體巨人3月公布的Security Copilot</a>，微軟稱是第一個生成式AI安全產品，能快速而大規模保護企業。它是以OpenAI的GPT-4生成式AI模型為基礎開發，以及微軟的安全分析及情報資料庫，協助安全部門對抗網路威脅。</p> <p>Security Copilot能整合多個資料源，為收進的網路訊號做出摘要，以快速發現惡意活動，並且在攻擊發生時進行資料關聯分析，建議回應行動。微軟安全企業副總裁Vasu Jakkal指出，Security Copilot能提升安全部門的技能，還能為企業節省40%安全操作任務的時間，更快發現原先可能看走眼的安全威脅，進而把心力專注在更重要的專案上。</p> <p>現在微軟將Security Copilot的早鳥方案開放給符合資格的客戶，如Microsoft 365用戶。此外也加入新功能。其一，Security Copilot將嵌入微軟延伸式偵測和回應（XDR）平臺Microsoft 365 Defender，可提供安全事件回應的建議。第二，微軟Defender威脅情報（Threat Intelligence）也將免費隨Security Copilot提供，客戶可直接由Copilot中存取內容及API。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1024-M365%20security%20copilot-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-M365%20security%20copilot-2.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_微軟</span></span></p> <p>Security Copilot嵌入微軟延伸式偵測和回應（XDR）平臺Microsoft 365 Defender後，可以自然語言快速總結安全事件，使其更快理解事件，並傳達給管理階層。M365 Defender中的Security Copilot也能在安全事件發生時，建議修復和回應流程，縮短反應時間。安全管理員也可以自然語言讓Copilot生成Kusto Query Language（KQL）撰寫查詢指令，揪出威脅所在。或讓Security Copilot在發生惡意軟體活動時即時分析。最後，Security Copilot也能告知最新威脅趨勢、手法、以及特定組織是否在網路威脅時受到影響。</p> <p>透過免費整合微軟威脅情報，Security Copilot用戶可直接取得其中內容，像是漏洞分析文章、開源情報及微軟自己產生的網路安全防護內容。</p> <p>此外，若企業使用微軟安全代管服務供應商（Managed Security Service Provider，MSSP）夥伴服務，又有加入微軟早鳥方案，也可以由Security Copilot整合MSSP（概念好比Bring Your Own MSSP）。</p> </div></div></div>
2023/10/24 10:21作者林妍溱https://www.ithome.com.tw/news/159442
Google、蘋果關閉以巴衝突地區的Google Maps、Waze即時流量服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應以色列及巴勒斯坦衝突，Google及蘋果本周關閉以色列及加薩走廊等相關地區的即時交通流量服務，包括前者的Google Maps及Waze，以及Apple Maps。</p> <p><a href="https://www.bloomberg.com/news/articles/2023-10-23/google-disables-live-traffic-in-israel-gaza-at-military-request" target="_blank">《彭博》</a>首先報導此事。關閉即時交通流量服務，意謂著無法從地圖上得知車流移動趨勢。Google向媒體證實此事，表示一如該公司對衝突區域一貫作法及因應情勢不斷變化，為考量當地社區安全，Google已暫時關閉即時交通車流及壅塞資訊。<a href="https://thehill.com/policy/technology/4271460-google-and-apple-disable-map-functions-in-israel-gaza-strip-as-invasion-looms/" target="_blank">《The Hill》</a>及<a href="https://www.geektime.co.il/waze-google-maps-and-apple-maps-in-israel-will-not-display-traffic-and-more/" target="_blank">以國媒體</a>報導，Apple Maps也已關閉這些地方的即時車流資訊。</p> <p>10月7日哈瑪斯對以色列發動武力攻擊以來，雙方傷亡慘重，以色列軍方表示即將對加薩走廊地區發動地面攻擊。關閉即時車流資訊可防止外人或敵方得知當地居民聚集、或當地軍方部署狀況。Google去年在俄烏戰事爆發時也曾暫時關閉烏國的即時交通資訊。</p> <p>但這也可能封鎖強勢軍隊部署蹤跡資訊。《彭博》及《The Hill》報導，以色列要求Google及蘋果關閉即時車流資訊，以免洩露軍隊移動蹤跡。去年俄烏衝突，烏國民眾也在普丁宣戰之前，利用Google Maps率先發現俄軍移動。</p> <p><a href="https://9to5google.com/2023/10/23/google-maps-waze-israel-traffic-data/" target="_blank">9to5Google報導</a>，在衝突中心，Waze服務會跳出通知說明，基於安全理由，其他駕駛、交通壅塞等其他通知不會顯示。Waze在以色列其他地區如首都特拉維夫（Tel Aviv）等地，還是可正常運作。Google Maps則是關閉了以色列全境的即時流量顯示。</p> <p>不過在這些地區的導航或到達時間估計等服務，則仍然能持續運行。</p> </div></div></div>
2023/10/24 10:39作者林妍溱https://www.ithome.com.tw/news/159443
IBM發表模擬人類大腦運作，號稱效能超越4奈米GPU的AI推論晶片NorthPole
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM Research上周五（10/20）<a href="https://research.ibm.com/blog/northpole-ibm-ai-chip" target="_blank">發表了全新的AI晶片NorthPole</a>，其靈感來自人類大腦的運作，號稱效能超越最先進的4奈米GPU，儘管它只能用在推論上，但研究人員認為，需要即時處理大量資料的邊緣應用可能非常適合NorthPole。<a href="https://www.science.org/doi/full/10.1126/science.adh1174" target="_blank">此一研究成果已登上《科學》（Science）期刊</a>。</p> <p>該研究是由IBM Research類人腦運算的科學長Dharmendra Modha所主導，<a href="https://www.ithome.com.tw/news/90013" target="_blank">他曾於2014年發表</a>模擬人腦運作的TrueNorth晶片，而NorthPole即是TrueNorth的延伸。</p> <p>在傳統的半導體產業中，電腦晶片主要遵循相同的基本架構，處理單元與儲存資訊的記憶體是分開的，此一架構雖然簡化了設計與擴展，卻也因資料傳輸速度趕不上處理速度而出現了馮紐曼瓶頸（von Neumann Bottleneck），而Modha則認為，人腦是目前所知最節能的處理器，因而持續尋找以數位方式複製它的方法。</p> <p>歷經8年研發的NorthPole最大的不同點在於它所有的記憶體都在晶片上，而不必額外連結記憶體，沒有了馮紐曼瓶頸，它的AI推論能力就能優於市場上的其它晶片。此外，它採用12奈米製程，於800平方毫米上安置了220億個電晶體，它擁有256個核心，於8-bit精度下每核心每個周期可執行2,048次操作，若是在4-bit或2-bit 精度下，操作次數則可翻倍。Modha說，這等於是一個晶片上擁有整個網路。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1023-NorthPole%20chip%20on%20a%20PCIe%20card-IBM.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_IBM</span></span></p> <p>在架構上，NorthPole模糊了運算與記憶體之間的界線。從個別核心的角度來看，它如同記憶體接近運算（memory-near-compute），從輸入與輸出的角度來看，它又是個主動記憶體。這讓NorthPole容易整合至系統，且明顯減少了主機的負載。</p> <p>IBM Research在ResNet-50模型上測試NorthPole，相較於同樣基於12奈米製程的GPU，NorthPole每秒辨識幀數的能源效率是GPU的25倍，而且不管是在延遲或運算空間的要求上，表現都優於所有主流架構，甚至凌駕基於4奈米製程的先進GPU。</p> <p>不過，NorthPole的優勢同時也是它的限制，它只能輕鬆自晶片上的記憶體存取，若必須存取其它地方的資訊，所有的速度都會被削弱，因此，若要支援更大的神經網路，便必須將神經網路拆解成更小的子網路以迎合NorthPole的記憶體設計，再藉由眾多的NorthPole晶片串連這些子網路。</p> <p>Modha表示，儘管NorthPole無法用來執行GPT-4，但應該可滿足許多企業所需的模型，不過，NorthPole只能用在推論上。</p> <p>NorthPole在效能上的優勢代表它不需要龐大的液體冷卻系統就能運作，只需要風扇與散熱器，也可部署於狹小的空間中，目前IBM Research仍在研究NorthPole的適用領域，猜測許多需要即時處理大量資料的邊緣應用可能非常適合NorthPole，例如可成為幫助自駕車導航的裝置，讓衛星監控農業與野生動物，監控車輛及貨運以避免道路過於擁塞，讓機器人的操作更安全，或是用來偵測網路威脅等。</p> </div></div></div>
2023/10/24 08:43作者陳曉莉https://www.ithome.com.tw/news/159441
前置4張雙寬或8張單寬GPU，HPE新2U尺寸GPU伺服器亮相
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hpe_proliant_dl380a_gen11_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年生成式AI崛起，資料中心GPU成為眾多廠商與企業爭相採購的產品，其中又以Nvidia H100最為搶手，市面上，可搭配4臺或8臺SXM外形H100的伺服器機型受到熱烈關注，Dell、Supermicro、雲達、技嘉等國際及臺灣大廠的相關產品接連登場，HPE卻顯得異常低調，遲遲未看到他們加入推廣這類伺服器的戰局。</p> <p>從Nvidia公布的合格系統目錄當中，我們找到HPE目前有兩款伺服器可搭配<a href="https://www.ithome.com.tw/tags/nvidia-h100-gpu">SXM外形H100</a>，分別是採用HGX H100 4-GPU的Cray XD665，以及HGX H100 8-GPU的Cray XD670，而在10月中舉行的HPE Discover More Taipei 2023大會期間，原本我們以為會看到上述產品亮相，沒想到現場用來展示該公司AI創新應用的伺服器，卻是另一款可搭配PCIe版本H100 GPU的機型，ProLiant DL380a Gen11。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-13-HPE%20DL380a.jpg" style="height: 600px;" /></p> <p>這是專門針對執行GPU運算密集型工作負載的產品，可支援AI、深度學習的訓練與推論、智慧影像分析（IVA）、側重影像處理的虛擬桌面基礎架構（VDI）等多種應用，於今年3月推出，晚於<a href="https://www.ithome.com.tw/tech/155013">ProLiant Gen11</a>其他機型。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE Gen11 GPU-DL380a.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Gen11%20GPU-DL380a.jpg" style="width: 600px;" /></a></p> <p>就機型名稱、外形、整體配置而言，DL380a Gen11與DL380 Gen11大致相似，例如，均搭配2U尺寸機箱、2路配置，但細部規格有明顯差異。例如，處理器採用<a href="https://www.ithome.com.tw/tech/155638">英特爾第四代Xeon Scalable</a>，最高時脈均為3.7 GHz，但DL380 Gen11可搭配16到60核心的CPU，DL380a Gen11則是搭配8到56核心的CPU；記憶體方面，同樣支援DDR5-4800，DL380 Gen11內建32個插槽，最大可安裝到8 TB（單支記憶體256 GB），DL380a Gen11則是24個，最大可安裝到3 TB（單支記憶體128 GB）。</p> <p>關於硬碟儲存方面的差異更大，DL380 Gen11前側可設置8或12臺3.5吋傳統硬碟或固態硬碟，或是24臺2.5吋傳統硬碟或固態硬碟，背部可選裝6臺2.5吋傳統硬碟或固態硬碟，存取介面涵蓋SATA、SAS、NVMe；DL380a Gen11只支援NVMe固態硬碟，前側目前可設置8臺2.5吋固態硬碟，或是8臺E3.S外形固態硬碟。</p> <p>在PCIe擴充部分，DL380 Gen11最多可安裝8張全高全長介面卡，當中能搭配2張<a href="https://www.ithome.com.tw/review/137818">Nvidia A100 80GB PCIe</a>或<a href="https://www.ithome.com.tw/review/148618">A16 64GB PCIe</a>；而稍晚推出、主打GPU應用的DL380a Gen11，可安裝4張全高半長介面卡，目前能搭配4張雙寬尺寸的GPU，像是Nvidia的A100 80GB PCIe、H100 80GB PCIe、L40 48GB PCIe，以及Intel的Data Center GPU Max 1100，預計未來提供安裝8張單寬尺寸GPU的選項。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE Gen11 GPU-DL380a overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Gen11%20GPU-DL380a%20overview.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，多數伺服器若要搭配PCIe板卡形式的GPU，通常會將其放置在機箱後半段，DL380 Gen11就是如此，但DL380a Gen11將GPU設置在機箱前段的左右兩側。</p> <p>事實上，這並非HPE ProLiant Gen11唯一這樣設置GPU的機型。採用AMD第四代EPYC處理器的機型幾乎都採用這樣的設計，像是DL325 Gen11、DL345 Gen11、DL385 Gen11，至於Intel第四代Xeon Scalable處理器的機型，有DL320 Gen11，以及這款DL380a Gen11。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DL380a%20Gen11%20GPU.jpg" style="width: 600px;" /></p> <p>為何上述<a href="https://www.ithome.com.tw/tech/155013">ProLiant Gen11機型</a>採用這樣的GPU配置？HPE表示，當GPU能夠放置在機箱前段，帶來兩個好處，一是不會受到機箱後段PCIe橫向擴充卡的空間限制，影響可安裝的GPU數量，另一是機箱前段的進氣溫度較低，有助於GPU散熱。而在《HPE ProLiant Gen11 AI optimized solutions》這份白皮書則指出，這麼做可改善氣流、增加GPU密度，並且替每張GPU提供專屬電源供應，延長GPU運作時間。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE ProLiant Gen11 servers for AI at a glance.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20ProLiant%20Gen11%20servers%20for%20AI%20at%20a%20glance.jpg" style="width: 600px;" /></a></p> <p>除此之外，DL380a Gen11還有一個過去伺服器搭配多張PCIe板卡GPU較少有的配置，那就是提供GPU橋接器，可提升GPU之間的雙向存取能力，進而增加GPU運算吞吐量、實現跨GPU的記憶體共享，改善效能與資源利用率。</p> <p>HPE在3月初步推出這款GPU伺服器機型時，就提供名為<a href="https://buy.hpe.com/us/en/options/enterprise-networking-products/bridge-modules/bridge-management-modules/nvidia-ampere-2-way-2-slot-bridge-for-hpe/p/r6v66a">「Ampere 2-way 2-slot Bridge」</a>的設置，可透過NVLink介面連接兩張PCIe板卡形式的A100或H100，每一對串連可搭配3張GPU。而HPE在10月最新公布的DL380a Gen11第5版規格，宣布開始支援Intel的Data Center GPU Max 1100之餘，也提供「Intel XeLink x2 Bridge」的配置，可連接2張這款GPU。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/NVL%20for%20HPE.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/NVLink%20Topology%20%E2%80%93%20Top%20Views.png" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>HPE ProLiant DL380a Gen11</strong><br /> ●原廠：HPE<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：2U<br /> ●處理器：2顆，第四代Intel Xeon Scalable系列（最多56顆核心）<br /> ●記憶體：24個DDR5-4800，插滿128 GB，可達到3 TB<br /> ●儲存配置：8臺2.5吋NVMe固態硬碟或E3.S外形NVMe固態硬碟<br /> ●I/O擴充介面：4個PCIe 5.0 x16（全高半長）<br /> ●電源供應器：4臺1600瓦或1800至2200瓦<br /> ●GPU選擇：Nvidia H100 80 GB PCIe、Nvidia L40、Intel Data Center GPU Max 1100</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/10/24 00:53作者李宗翰https://www.ithome.com.tw/review/159419
【資安日報】10月23日，思科網路設備作業系統IOS XE攻擊升溫，駭客串連兩個零時差漏洞散布惡意程式，近4.2萬臺設…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科<a href="https://www.ithome.com.tw/news/159361#CVE-2023-20198">上週揭露</a>已被用於攻擊行動的零時差漏洞CVE-2023-20198，隨後有研究人員指出可能有1萬臺設備感染惡意程式，但情況急速惡化。資安業者Censys發現，18日有逾4萬臺設備受害，其中又以美國、菲律賓、墨西哥的設備最多。</p> <p>另一方面，思科威脅情報團隊Talos揭露此起事故的最新調查結果，指出攻擊者在部署惡意程式的過程，同時利用另一個零時差漏洞CVE-2023-20273。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://censys.com/cve-2023-20198-cisco-ios-xe-zeroday/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">鎖定零時差漏洞CVE-2023-20198的受害範圍擴大，近4.2萬臺思科設備感染後門程式</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/IOSXE1-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/IOSXE1-1.png" style="width: 300px; float: right;" /></a>10月16日思科針對網路設備作業系統IOS XE的零時差漏洞CVE-2023-20198（CVSS風險評分為10）提出警告，並已出現攻擊行動，隨後有研究人員揭露可能的受害規模，但如今傳出有擴大的跡象。</p> <p>資安業者Censys指出，10月17日他們看到67,445臺啟用網頁介面的IOS XE設備，其中有34,140臺被植入後門程式，超過半數受害。隔日，遭駭設備的數量一舉增加至41,983臺，其中美國從4,659臺增加至6,509臺、菲律賓從3,224臺增加為3,966臺、墨西哥從2,332臺增加到3,052臺。</p> <p>到了19日，他們發現受害設備數量降至36,541臺，這代表已有超過5千臺設備的IT管理員可能已採取保護措施。</p> <p><a href="https://blog.talosintelligence.com/active-exploitation-of-cisco-ios-xe-software/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科揭露另一個網路設備作業系統IOS XE零時差漏洞，駭客用來植入Lua打造的惡意程式</span></strong></a></p> <p></p> <p>思科上週公布遭利用的零時差漏洞CVE-2023-20198，駭客可能在9月中旬就開始發動攻擊，並搭配另一個已知漏洞CVE-2021-1435，對執行IOS XE作業系統的網路設備植入惡意軟體，如今該公司推翻當時的發現，指出攻擊者串連了另一個零時差漏洞。</p> <p>思科威脅情報團隊Talos表示，駭客利用CVE-2023-20198取得IOS XE最高權限之後，利用了另一個零時差漏洞CVE-2023-20273來部署惡意程式，而這個弱點是位於網頁介面的命令注射漏洞，攻擊者可取得最高權限，將惡意程式寫入檔案系統，CVSS風險評分為7.2。</p> <p>而對於攻擊者植入的惡意程式，研究人員指出是利用Lua程式語言打造而成，僅有29行程式碼，而且，攻擊者下達命令的方式也相當簡單，只需對裝置發出HTTP POST請求，就能進行操控。</p> <p><a href="https://www.bleepingcomputer.com/news/security/okta-says-its-support-system-was-breached-using-stolen-credentials/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Okta證實客戶技術支援系統遭駭，帳密資料外洩</span></strong></a></p> <p></p> <p>10月20日身分存取管理服務業者Okta證實，有人取得外流的帳密資料，存取他們的客戶支援管理系統，而能夠檢視近期尋求支援的客戶上傳的資料。該公司強調，此客戶支援管理系統與他們提供的身分驗證服務互為獨立，並未波及身分驗證服務；此外，未影響Auth0/CIC案件管理系統。在該公司的客戶支援流程當中，他們要求用戶提供HTTP Archive（HAR）檔案，以便客服還原使用者的瀏覽器組態來解決問題，然而這種檔案有可能內含Cookie與連線階段（Session）的Token，使得攻擊者能夠用於冒充使用者。</p> <p>身分存取管理業者BeyondTrust、雲端服務業者Cloudflare發出公告，表明他們也受到這起資安事故影響，並在收到警告前向Okta通報這起資安事故。BeyondTrust表明他們在10月2日，察覺有人利用Okta客戶支援系統竊得的Cookie，企圖存取該公司Okta管理員帳號，所幸他們的資安團隊阻止駭客的行為，攻擊者並未存取任何系統，客戶也沒有受到影響。</p> <p>Cloudflare於10月18日透露遭遇相關攻擊，攻擊者利用從Okta客戶支援系統竊得的Token，透過具備管理權限的連線階段存取他們的Okta實體，經過他們確認，該公司客戶資訊及資料並未受到影響。</p> <p>資料來源</p> <p>1. <a href="https://sec.okta.com/harfiles">https://sec.okta.com/harfiles</a><br /> 2. <a href="https://www.beyondtrust.com/blog/entry/okta-support-unit-breach">https://www.beyondtrust.com/blog/entry/okta-support-unit-breach</a><br /> 3. <a href="https://blog.cloudflare.com/how-cloudflare-mitigated-yet-another-okta-compromise/">https://blog.cloudflare.com/how-cloudflare-mitigated-yet-another-okta-compromise/</a></p> <p><a href="https://labs.withsecure.com/publications/darkgate-malware-campaign"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客假借知名電競設備業者海盜船的名義徵才，目的是散布惡意軟體DarkGate、RedLine Stealer</span></strong></a></p> <p></p> <p>資安業者WithSecure發現越南駭客散布惡意軟體DarkGate、RedLine Stealer的攻擊行動，這些駭客針對美國、英國、印度，鎖定專門經營組織社群網站管理業務的人士而來，透過職場社群網站LinkedIn，假借提供電競設備業者海盜船（Corsair）的職缺，來引誘目標人士上當。</p> <p>在其中一起發生於8月的攻擊行動裡，對方要求使用者從特定URL下載職缺資料，一旦依照指示點選，上述的URL會將使用者重新導向至雲端檔案儲存服務Google Drive或是Dropbox，下載帶有PDF、Word檔案，或是TXT文字檔的ZIP檔案，若是依照指示開啟上述文件檔案，電腦就有可能觸發其中的VBS指令碼，執行curl下載AutoIT及自動化批次檔（AU3），植入惡意程式DarkGate，並在30秒後嘗試移除WithSecure的用戶端軟體，不過沒有成功。</p> <p>研究人員也在其他受害組織看到類似的攻擊行動，但Sophos、Forcepoint等端點防護軟體皆阻止了後續攻擊。此外，他們也看到這些駭客利用類似的管道散布竊資軟體RedLine Stealer。而對於攻擊者的身分，研究人員認為，這些駭客先前可能曾散布另一款惡意程式Ducktail。</p> <p><a href="https://unit42.paloaltonetworks.com/blackcat-ransomware-releases-new-utility-munchkin/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客BlackCat利用新工具Munchkin散布加密程式</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/1965-F1-BlackCat.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1965-F1-BlackCat.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露勒索軟體駭客BlackCat（亦稱Alphv）近期的攻擊行動，攻擊者這次使用新的工具Munchkin來加密電腦的檔案。一旦駭客成功入侵目標電腦，會先安裝虛擬化軟體VirtualBox，然後建置帶有Munchkin的Linux虛擬機器，駭客以Alpine OS打造該作業系統的安裝映像檔，原因是此種版本Linux作業系統占用的空間極小，而能夠快速部署。</p> <p>接著，攻擊者啟動虛擬機器時，會下達更動root密碼的命令，然後透過作業系統內建的tmux應用程式產生新的終端機連線，執行惡意程式Munchkin，完成後虛擬機器就會自動關機，此惡意程式會推送勒索軟體BlackCat到其他電腦並執行，或是遠端加密SMB共用資料夾的內容。此外，該虛擬機器內含大量的Python檔案，而能讓攻擊者於受害組織的網路進行橫向移動，或是竊取帳密資料。</p> <p><a href="https://news.sophos.com/en-us/2023/10/19/ransomware-actor-exploits-coldfusion-servers-but-comes-away-empty-handed/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客鎖定舊版Adobe ColdFusion下手，散布LockBit 3.0變種程式</span></strong></a></p> <p></p> <p>資安業者Sophos揭露鎖定Adobe ColdFusion伺服器的勒索軟體攻擊行動，駭客組織BlackDogs 2023從9月至10月初，鎖定仍在運作、已達到生命週期結束（EOL）的ColdFusion 11版，利用漏洞存取目標組織的Windows伺服器，從而部署以LockBit 3.0產生器製作的勒索軟體程式，並企圖勒索205個門羅幣（約3萬美元），但遭到該公司的端點防護系統攔截而沒有得逞。</p> <p>利用應用程式系統漏洞來散布勒索軟體的情況，還有<a href="https://infosec.exchange/@SophosXOps/111222943608438109">針對WS_FTP伺服器CVE-2023-40044漏洞而來的攻擊行動</a>，勒索軟體駭客組織Reichsadler利用這項漏洞入侵目標組織，使用開源工具GodPotato將權限提升為NT AUTHORITY\SYSTEM，然後試圖植入以LockBit 3.0產生器打造的勒索軟體，企圖索討500美元的比特幣。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/critical-rce-flaws-found-in-solarwinds-access-audit-solution/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">SolarWinds存取權限稽核系統存在重大漏洞，攻擊者可能得以遠端執行任意程式碼</span></strong></a></p> <p></p> <p>10月18日SolarWinds針對旗下的存取權限稽核系統Access Rights Manager（ARM）<a href="http://documentation.solarwinds.com/en/success_center/arm/content/release_notes/arm_2023-2-1_release_notes.htm">發布2023.2.1版</a>，當中總共修補8個漏洞，這些漏洞由趨勢科技旗下的漏洞懸賞專案Zero Day Initiative（ZDI）於6月下旬向SolarWinds通報，但值得留意的是，在SolarWinds發布的公告當中，這些漏洞全部都評為高風險等級，CVSS風險評分介於7.8至8.8分，但ZDI認為有3個漏洞為重大等級。</p> <p>這些漏洞是CVE-2023-35182、CVE-2023-35185、CVE-2023-35187，其共通點是攻擊者無須通過身分驗證，就能使用SYSTEM的權限遠端執行任意程式碼（RCE），ZDI將這些漏洞的CVSS風險評分列為9.8。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.europol.europa.eu/media-press/newsroom/news/ragnar-locker-ransomware-gang-taken-down-international-police-swoop"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">歐洲刑警組織宣布破壞勒索軟體Ragnar Locker的基礎設施</span></span></strong></a></p> <p></p> <p><a href="https://www.cloudsek.com/whitepapers-reports/chinese-scammers-launder-money-through-upi-a-new-threat-to-indias-digital-payment-ecosystem"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國駭客透過冒牌貸款App洗錢</span></span></strong></a></p> <p></p> <p><a href="https://www.ettoday.net/news/20231020/2606195.htm"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">線上影視平臺LiTV雲端基礎設施1月遭破壞，涉案前員工遭起訴，檢方透露更多細節</span></span></strong></a></p> <p></p> <p><a href="https://news.ltn.com.tw/news/society/breakingnews/4462410"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">12名房仲向歹徒購買小白機查詢屋主個資，依個資法遭到起訴</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/kwik-trip-finally-confirms-cyberattack-was-behind-ongoing-outage/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國連鎖便利商店Kwik Trip的IT系統服務中斷，起因是遭到網路攻擊</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159415"><strong>【10月20日】駭客利用後門程式框架Meta攻擊東歐國家的石油產業、天然氣公司、國防工業</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159379"><strong>【10月19日】互動式運算平臺Jupyter Notebook遭到鎖定，駭客部署惡意程式，從中挖礦並盜取雲端服務帳密</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159361"><strong>【10月18日】使用Telegram、AWS、阿里雲的開發人員遭到鎖定，駭客透過PyPI套件發動供應鏈攻擊</strong></a></p> </div></div></div>
2023/10/23 17:03作者周峻佑https://www.ithome.com.tw/news/159433
MedTech醫療科技雙周報第28期：不同標準也要互通，SNOMED聯手Regenstrief推出LOINC術語集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（1001～1015）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">SNOMED </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LOINC </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 術語集 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>不同標準也要互通，SNOMED聯手Regenstrief推出LOINC術語集</strong></span></p> <p>最近，國際臨床術語標準SNOMED和國際檢驗醫學術語標準LOINC的制定者們，聯手推出2種標準可互通的<a href="https://loincsnomed.org/">術語集LOINC Ontology</a>，要讓採用不同SNOMED和LOINC組合的醫療IT系統，透過單一解決方案就能互通資訊，以達到臨床和監管要求。這麼做，使用者更能跨系統交換和收集醫療數據，有利於後續分析和決策。</p> <p>目前，這個LOINC術語集的預覽版已有2萬4千多個LOINC術語，並會在今年最後一季公布，以進行評審和蒐集回饋。這個LOINC術語集由LOINC的制定者Regenstrief研究院管理，並會免費提供使用者下載。對SNOMED會員和使用者來說，接下來就能用與SNOMED CT相同的格式，來使用LOINC。這些術語標準，也是衛福部看重的領域，在規畫中的次世代數位醫療平臺中，就計畫導入SNOMED和LOINC標準來統一醫療資訊規格。<a href="https://www.snomed.org/news/regenstrief-and-snomed-international-broaden-collaboration-to-facilitate-interoperability-nationally-and-globally-by-linking-loinc-and-snomed-ct#:~:text=%E2%80%9CThe%20LOINC%20Ontology%2C%20a%20LOINC,%E2%80%9D%20said%20Marjorie%20Rallins%2C%20DPM%2C">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數據孤島 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Fabric </span></strong></span></p> <p><span style="font-size: 22px;"><strong>微軟推醫療資料解決方案、正式上線臨床記錄助理DAX Copilot</strong></span></p> <p>日前，微軟針對醫療產業推出預覽版的醫療資料解決方案，只要是微軟醫療雲的使用者，都能用來存取、分析和視覺化資料洞察，也能使用支援多語言的文字分析功能和Azure三種AI模型。這些解決方案新工具建於微軟今年5月推出的Fabric資料分析平臺，主打解決資料孤島，能整合醫院電子健康紀錄（EHR）、影像儲傳系統（PACS）、實驗室系統（LIS）、理賠系統和醫療設備資料，且採用FHIR、DICOM標準，能將非/結構化影像和醫療設備資料匯入Fabric資料湖，並轉換資料標準。</p> <p>使用者能在解決方案中使用3種AI模型，首先是病人時間線，用生成式AI來從非結構化資料（如藥物、診斷和手術記錄）提取關鍵時間，再按時間順序排列，讓醫師了解病史。再來是臨床報告簡化模型，能將醫師撰寫的醫學術語轉為白話文，來與病人共享。第3個模型是放射學洞察，能針對放射影像的回饋（如錯誤、不一致）來做品質檢查。微軟還推出預覽版生成式AI助理Azure AI Health Bot，能從非結構化文字摘要出重要資訊，並正式全面推出護理紀錄語音轉文字服務Nuance DAX Copilot。<a href="https://blogs.microsoft.com/blog/2023/10/10/microsoft-introduces-new-data-and-ai-solutions-to-help-healthcare-organizations-unlock-insights-and-improve-patient-and-clinician-experiences/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">FHIR </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 聯測 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫療保險理賠 </span></strong></span></p> <p><span style="font-size:22px;"><strong>第4屆FHIR聯測展開，納入更多衛福部實作指引TW Core IG</strong></span></p> <p>今年度第4屆國際醫療資料交換標準FHIR聯測松在10月3日展開，地點從往年的林口新創園區移師至國泰金融會議中心，共有32家機構參與，包括10家醫院、19家企業、2家學校和1家法人。今年度聯測賽道（Track）繼續擴大，比去年多出3項，共有10大類別，不只有基本的病人資訊、生理量測數據、醫學影像與病理等，還新添4項應用情境賽道，包括照護協調、醫療保險理賠、遠距醫療、癌症登記等。</p> <p>其中，醫療保險理賠賽道目的是要透過統一的標準，來解決醫療機構和保險公司理賠資料上傳問題。協會和國泰金控等團隊引用HL7基準並繼承衛福部制定的臺灣核心實作指引（TW Core IG），制定出醫療保險理賠實作指引，作為交換的資料規範。至於遠距醫療，則是要搭配2大政策（偏鄉離島遠距醫療服務和全民健保遠距醫療給付計畫），以FHIR標準設計遠距醫療門診作業，如病患基本資料維護、掛號等。癌症登記賽道則是要解決現行癌症登記設計、難以實現資料互通的問題，團隊參考了瑞士FHIR癌症登記實作指引和HL7基準，設計出臺灣癌症登記短表與長表共2份實作指引，並納入臺北榮總、臺中榮總和高雄榮總等3家醫學中心，來進行聯合驗證。不只這些賽道，這次聯測還有其他賽道採用TW Core IG，而醫療系統具備FHIR資料交換能力，正是衛福部近年力推的重要政策。<a href="https://www.ithome.com.tw/news/159115">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%90%86%E8%B3%A0.JPG" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> FDA </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位健康 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 監管 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>美國FDA成立數位健康諮詢委員會，徵求領域專家加入</strong></span></strong></p> <p>美國FDA日前（10/11）成立數位健康諮詢委員會（Digital Health Advisory Committee），要來兼顧新興工具的創新發展和安全監管，並徵求相關領域專家成為委員。FDA指出，數位健康是一個快速發展的領域，不只有AI/機器學習、VR、IoT等技術涉入，還有分散式臨床試驗、患者健康數據和網路安全等議題要關注。</p> <p>因此，他們想成立委員會來研究這些議題，而且還要對FDA提供數位健康科技建議，來協助FDA制定相關政策和法規，並讓FDA更理解這些科技帶來的好處、風險和臨床效益。委員會將包含9名擁有投票權的核心成員，其他成員和主席則由專員從權威機構中選出，並隨議題決定臨時成員人數。<a href="https://www.fda.gov/news-events/press-announcements/fda-establishes-new-advisory-committee-digital-health-technologies">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">三總 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 軍醫局 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>軍醫局聯手微軟展開醫療大數據訓練分析平臺專案</strong></span></p> <p>國防部軍醫局9月底宣布與臺灣微軟聯手，展開醫療大數據訓練分析平臺專案，並瞄準2大目標，包括用AI提高文字報告的正確辨識率，以及用大型語言模型自動生成中英文護理紀錄和影像報告。之後，三總醫療IT團隊將把這些成果，擴大推動到全國13家軍醫院，特別是護理紀錄、門診、巡房和手術紀錄等領域，來加速智慧醫療發展。</p> <p>這項專案將於三總率先展開，因為，三總每年門診和住院服務人數高達200多萬人次，醫護人員的工作量非常大，是該專案的最佳試驗場域。他們希望透過該專案，來減少護理人員撰寫護理紀錄的時間和放射科醫師完成影像報告的時間，並提供更精準的診斷建議。<a href="https://wwwv.tsgh.ndmctsgh.edu.tw/newsedm/191/10000/24898/2360/238">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">新加坡</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 心理健康 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 轉介 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>新加坡衛生部要建心理健康數位平臺</strong></span></strong></p> <p>10月初，新加坡衛生部釋出一份《<a href="https://www.moh.gov.sg/docs/librariesprovider5/resources-statistics/reports/national-mental-health-and-well-being-strategy-report-(final).pdf?sfvrsn=e3b115fa_0">新加坡國家心理健康和福祉策略</a>》文件，瞄準4大目標，要來擴大心理健康服務量能、提高醫護及早辨識和介入的能力、促進心理健康福祉，以及改善職場的心理健康和福祉。其中，為加強及早辨識和介入治療，新加坡衛生部數位轉型辦公室正在建立一款數位心理健康連結平臺（DMHC），要來整合民眾的健康數據和社會資料，來讓醫師和諮商師能更順暢轉介病人，並依病人需求、風險、偏好等來建議適合的服務，達到及早治療的效果。<a href="https://www.moh.gov.sg/resources-statistics/reports/national-mental-health-and-well-being-strategy-2023">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 甲牙科 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 全景影像 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧醫材 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>國產牙科影像判讀AI獲TFDA認證，可精準判斷4種病徵</strong></span></strong></p> <p>由明基醫和光明智能科技開發的國產牙科AI軟體，最近獲食藥署TFDA智慧醫材（SaMD）認證，號稱是臺灣首款自製取證的牙科全景影像分析軟體。該軟體可在幾秒內判斷缺牙、智齒、金屬烤瓷牙套、植牙等病徵，幫助牙醫師更快更精準診斷。</p> <p>為訓練AI，業者採用大量牙科全景X光影像，先透過專業牙醫標註，再來訓練深度學習模型。經臨床驗證，模型敏感度為91.30%～99.02%，精確度則是88.61%～99.05%，準確性達到98.44%～99.64%，且在判斷缺牙、智齒、金屬烤瓷牙套、植牙等4種病徵的準確性可達98.6%以上。明基口腔總經理林家弘表示，他們計畫將該軟體擴大應用於牙齒健檢、保險評估、長照遠距醫療等領域。<a href="https://www.facebook.com/100063754011312/posts/pfbid031FmLoTMxDXEU7zi4kBKbn5iBBodTbdME9Nu2NR58tHNGB3nmEvRCmTh9WvFczUual/?mibextid=cr9u03">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 衛福部 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 次世代HIS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 健保署 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>健保署提8項數位升級策略，次世代數位醫療平臺預計後年開工</strong></span></strong></p> <p>健保署署長石崇良日前在第4屆FHIR聯測論壇中，提出健保數位升級8大策略，包含建置家醫大平臺、健康存摺SDK個人健康資料加值應用、健保雲端查詢系統優化、數位化審查、遠距醫療整合、虛擬健保卡擴大應用，以及完善健保BioBank和數位基礎建設。</p> <p>其中，家醫大平臺是要整合民眾就醫數據和IoT裝置數據，來提供健康追蹤服務，健保雲端查詢系統優化則是要提供更友善的介面和認證登入方式。數位化審查是要將過往醫院和藥廠的紙本送審流程無紙化，改由線上申請並導入AI相關技術加速審查。遠距醫療則搭配虛擬健保卡擴大應用，要將場域擴大到居家醫療。針對最後一項策略，健保署不只要升級健保系統，還要改採混合雲架構和新型機房，來提供更穩定的服務。而數位基礎建設瞄準基層診所和特約藥局，健保署要建置健保雲來讓廠商上架雲端系統，供基層診所選用。</p> <p>石崇良也透露，衛福部自去年開始籌備臺灣智慧醫療升級計畫，分3階段實現，包括建立能接軌國際資料標準架構的基礎設施、打造符合國際趨勢的次世代數位醫療平臺，以及建立以病患為中心的服務生態系。其中，針對次世代數位醫療平臺，衛福部今、明2年先與產業溝通，預計後年（2025年）動工。除了次世代平臺，衛福部也提出公共建設計畫，要建置跨部和署的醫療數據共享平臺，並打造食藥署、國健署、疾管署和健保署之間的資料交換標準架構和格式，設置FHIR共通欄位格式和LOINC編碼的實作指引。石崇良指出，這些部內計畫將在明年展開。<a href="https://www.ithome.com.tw/news/159227">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%A8%88%E5%8A%83.JPG" /></p> <p>攝影／王若樸</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></strong></p> <p><strong><strong>1. <a href="https://www.healthcareitnews.com/news/asia/changi-general-hospital-leverages-ai-spot-curable-hypertension">新加坡樟宜醫院導入AI來偵測特定的高血壓個案</a></strong></strong></p> <p><strong><strong>2. 醫資廠商NextGen Healthcare推出可聆聽環境聲音的AI助理Ambient Assist</strong></strong></p> <p>資料來源：iThome整理，2023年10月</p> </div></div></div>
2023/10/23 16:46作者王若樸https://www.ithome.com.tw/news/159432
思科再公布另一個IOS XE零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼日前的<a href="https://www.ithome.com.tw/news/159319" target="_blank">CVE-2023-20198</a>之後，<a href="https://blog.talosintelligence.com/active-exploitation-of-cisco-ios-xe-software/" target="_blank">思科上周五（10/20）再公布</a>了另一個位於Cisco IOS XE的零時差漏洞CVE-2023-20273，表示所發現的攻擊行動是駭客同時利用這兩個漏洞串連而成，並於本周日（10/22）修補。</p> <p>IOS XE是思科替旗下交換器、無線網路控制器、無線基地臺與路由器所開發的作業系統，思科在上周指出，駭客利用了新的CVE-2023-20198零時差漏洞取得Level 15的IOS XE最高權限，繼之再透過已於2021年修補的CVE-2021-1435漏洞植入惡意檔案。</p> <p>然而，最新的調查顯示，在植入惡意檔案時，駭客所利用的並非是CVE-2021-1435，而是新的零時差漏洞CVE-2023-20273。</p> <p>CVE-2023-20198是個存在於Cisco IOS XE作業系統的網頁使用者介面（Web User Interface，WebUI）的權限擴張漏洞，允許駭客取得系統的最高權限，其CVSS漏洞風險評分高達10；而CVE-2023-20273則是另一個位於WebUI的命令注射漏洞，讓駭客得以最高權限將惡意程式寫入檔案系統，可有效地控制整個系統，CVSS漏洞風險評分為7.2。</p> <p>根據思科的調查，駭客所寫入的惡意程式是以Lua撰寫，只有29行的程式碼，以方便執行任何指令，但必須向該裝置建立一個HTTP POST請求。因此，思科建議客戶應關閉可自公開網路存取系統之HTTP/S伺服器功能，並檢查裝置上是否被植入了惡意程式，或是有否建立可疑的新用戶。</p> <p>值得注意的是，Lua惡意檔案無法持久，只要重新開機就能將它清除，然而，利用CVE-2023-20198漏洞所建立的新用戶，卻可持續擁有最高權限。</p> <p>思科是在10月16日揭露CVE-2023-20198，而資安研究業者<a href="https://twitter.com/onyphe/status/1714560329336664268" target="_blank">ONYPHE於18日偵測到</a>，全球8萬臺曝露於公開網路的IOS XE裝置中，在短短的3天內就有超過5萬臺被植入Lua惡意檔案。<a href="https://censys.com/cve-2023-20198-cisco-ios-xe-zeroday/" target="_blank">Censys則說</a>主要受害者位於美國、菲律賓與墨西哥。</p> <p>令人感到困惑的是，接著研究人員發現到這些被駭裝置的數量驟減。<a href="https://twitter.com/onyphe/status/1715633541264900217" target="_blank">ONYPHE在21日指出</a>，受駭裝置數量從4萬臺降至1,200臺。<a href="https://twitter.com/CERTCyberdef/status/1716142222570102978" target="_blank">CERT Orange Cyberdefense則說</a>，所偵測到含有Lua惡意檔案的IOS XE裝置，從10月18日的近4萬臺，下滑到19日的3.1萬臺，到了22日僅剩320臺。</p> <p>ONYPHE與CERT Orange Cyberdefense都認為，這不太像是用戶大規模清除惡意檔案的軌跡，而更像是駭客修復了原本就不應可自遠端偵測到的惡意檔案，並蓄勢待發準備下一波的攻擊行動。</p> </div></div></div>
2023/10/23 15:29作者陳曉莉https://www.ithome.com.tw/news/159431
Fintech周報第219期：新光金保代將建置新核心系統；金管會正式發布金融業運用AI原則
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">2023/10/9~10/20金融科技精選新聞</span></span></h3> <p><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 核心系統建置</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微服務架構 </span></strong></span></p> <h3>新光金保代將建置新核心系統，導入微服務架構的保險中臺</h3> <p>新光金保代將在未來一年打造新保代核心系統，整合旗下各項業務流程，包括：收件模組、入金作業、佣金模組、業績模組、保單管理、商品管理、客戶管理、通路業務員管理等，導入以微服務規劃架構的保險中臺。</p> <p>這個保險微服務中臺涵蓋客戶、商品、保單、投保、試算與支付等28個模組，可依保經代不同角色的需求彈性組合模組，以微服務細分打包相對應的服務功能，一方面使用最小資源，提高系統運行速度，另一方面也要縮短新業務或服務相關技術開發時間。新光金保代董事長黃明正表示，期望透過新一代核心系統的建置，除了加強公司的數位能力，更重要的是協助業務及通路完善服務客戶、快速提供多樣化商品。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span></h3> <h3>金管會正式發布金融業運用AI原則，預計今年底前完成指引</h3> <p>金管會10月17日<a href="https://www.fsc.gov.tw/ch/home.jsp?id=96&parentpath=0,2&mcustomize=news_view.jsp&dataserno=202310170002&dtable=News">正式發布金融業運用人工智慧之核心原則與相關推動政策</a>，包含6項核心原則及8項配套政策，8項配套政策並未進行修正，原則共修正五處內容，包含，修改業者使用所有AI工具時，都須進行人為判斷的原則，修正AI系統定義，和新增生成式AI定義。金管會表示，目前正依6項原則制訂「金融業運用AI指引」，預計今年底前完成。</p> <p>雖然不必在使用每個AI工具時，都進行最終人為判斷，金管會仍認為，金融機構最初在設計AI工具時，就要放入相關管控機制，因此，原則也要求金融機構在處理生成式AI產出資訊時，要就風險進行管控，且金融機構使用AI應以風險為基礎做出適當決策和監督。(<a href="https://www.ithome.com.tw/news/159380">詳全文</a>)</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 台新金控 </span></strong></span></h3> <h3>台新金控揭露生成式AI實驗新進展</h3> <p>台新金控先是制定AI發展關鍵因子，作為導入AI解決方案的重要參考，並制定AI導入指引，包含擴大應用優於全新導入、業務效益優於技術創新、技術導入優於產品導入，和外購優於技術移轉、自行開發等四大原則。</p> <p>接著，他們發展四項實驗專案，包含協作平臺的聊天機器人Teams Chatbot、知識管理平臺、程式碼撰寫助理Codex，以及虛擬智能客服。（<a href="https://www.ithome.com.tw/news/159417">詳全文</a>）</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> P2P平臺 </span></strong></span></h3> <h3>金管會正式發布P2P平臺業者指導原則</h3> <p>金管會10月19日<a href="https://www.fsc.gov.tw/ch/home.jsp?id=96&parentpath=0,2&mcustomize=news_view.jsp&dataserno=202310190002&aplistdn=ou=news,ou=multisite,ou=chinese,ou=ap_root,o=fsc,c=tw&dtable=News">正式發布P2P平臺業者指導原則</a>，明訂P2P平臺業者提供的服務模式不能涉及金融特許業務，例如，不能收受存款或儲值款項，也不能發行有價證券、受益證券或資產基礎證券。</p> <p>指導原則中明訂，P2P 業者原則上僅處理借貸款項收付的資訊流，不經手金流移轉。此外，金管會也要求P2P業者確保網站的資訊安全及相關資訊傳輸的安全性。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 國泰世華銀行</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 風險偵測 </span></strong></span></h3> <h3>國泰世華銀行風險偵測平臺新增「犯罪者模組」，提高三倍異常帳戶補捉數</h3> <p>金管會近期公布截至8月止前十大金融機構阻詐金額和件數排名，國泰世華排名第一，攔詐近千件，金額約7.2億元。國泰世華銀行近期宣布，其風險偵測平臺「國泰盾2.0」自今年更新推出，加強了原有的「消費者模組」，提升用戶數位身分的驗證機制，並新增監測「犯罪者模組」，將犯罪者常出現的「登入次數異常」、「短時間內匯入、出大筆金流」等連續行為作為偵測指標，提高了三倍的異常帳戶補捉數，讓可疑帳戶的鎖控精準度達到九成。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 跨境支付</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融監理 </span></strong></span></h3> <h3>渣打銀行宣布首份「支付法規指南」，彙整包含臺灣等亞洲八個主要市場現行支付監理架構</h3> <p>企業發展支付服務時，法規的審查和頻繁修正是一大挑戰，若是發展跨境支付業務，更要因應不同國家的支付法規進行調整。渣打銀行發布首份彙整臺灣、中國、香港、印度、馬來西亞、韓國、泰國與新加坡等亞洲八個主要市場，涵蓋各地現行支付和電子貨幣服務的監理架構和相關許可規範，並結合金融知識，鎖定企業發展跨境業務時須面臨法規問題的痛點。該報告也鎖定電商需求，納入支付許可是否適用於B2B電商平臺的議題。不過，該報告須付費才可下載。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融上雲</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 本迪戈和阿德萊德銀行 </span></strong></span></h3> <h3>澳洲本迪戈和阿德萊德銀行將數位銀行系統上雲</h3> <p>澳洲本迪戈和阿德萊德銀行近期在社群媒體上公布，他們已重建數位銀行系統，並在今年5月放上雲端運行，成功提升了數位銀行App的性能。他們也證實了澳洲新聞媒體iTnews的報導，報導中提及，本迪戈和阿德萊德銀行的上雲動機是因應客戶需求改變，要確保能快速且可靠地提供客戶服務。此外，他們正在逐步減少銀行核心系統數量，以整合為單一核心系統，而上雲正是這項工程的一部分。</p> <p>根據iTnews報導，本迪戈和阿德萊德銀行認為，上雲不能僅是追求工作負載指標，而是將支付和借貸等重要的工作系統上雲，才能產生價值，因此，他們也正在將貸款發起流程放上雲端，以快速服務客戶。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端產品服務</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 摩根大通 </span></strong></span></h3> <h3>摩根大通推出證券數據服務，提供多種雲端管道嫁接</h3> <p>看準雲端擴充性，摩根大通近期推出證券數據服務，提供提供投資者透過Rest APIs、互動式運算平臺Jupyter notebooks和Snowflake金融服務數據雲，檢索由摩根大通託管的基金會計數據，和中臺服務持有的投資數據。</p> <p>他們提供雲原生管道，是瞄準資產管理機構長期以來需要攝取大規模數據，以整合資產服務數據的痛點。這項服務旨在透過即時提供以現代技術堆疊的數據，協助企業藉雲端來加速數據分析、AI和機器學習的發展。這項服務可以讓投資者無論經過哪家雲端業者，都能透過Snowflake獲取摩根大通的數據，或是透過REST API、Python 和 Java SDK將數據整合至內部的應用程式中。</p> <p><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">更多Fintech新聞</span></p> <ul> <li>歐洲央行將於11月邁入為期兩年的數位歐元準備階段，可望制定正式規則，並遴選開發商</li> <li>英國新創公司BuildMyCreditScore藉開放銀行技術，讓用戶透過金融卡提高信用分數</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">責任編輯／李昀璇</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2023年10月</p> <p></p> </div></div></div>
2023/10/22 23:16作者李昀璇https://www.ithome.com.tw/news/159424
Okta支援案件管理系統遭駭客入侵，股價大跌11%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供身分及存取管理服務的<a href="https://sec.okta.com/harfiles" target="_blank">Okta上周五（10/20）坦承</a>，有駭客利用遭盜的憑證來存取該公司的支援案件管理系統，而Okta的合作夥伴<a href="https://www.beyondtrust.com/blog/entry/okta-support-unit-breach" target="_blank">BeyondTrust則說</a>，該公司早在10月2日便察覺相關攻擊，當時也已知會Okta。身為Okta客戶的<a href="https://blog.cloudflare.com/how-cloudflare-mitigated-yet-another-okta-compromise/" target="_blank">Cloudflare也以受害者的角度出面說明</a>。消息傳出的當天，Okta股價即大跌11.57%，以75.57美元作收。</p> <p>Okta安全長David Bradbury說明，此一入侵行動將允許駭客檢視最近特定客戶因需技術支援所上傳的檔案，此次的意外並未波及Auth0/CIC案件管理系統，且因該系統與Okta生產服務是分開的，因此亦未影響公司營運。</p> <p>在正常的客戶支援流程中，Okta會要求客戶上傳一個HTTP Archive（HAR）檔案，這是一個可用來追蹤瀏覽器及網站之間的交流，以供Okta複製客戶的瀏覽器行為並嘗試解決問題。只是，HAR檔案中有時也會含有機密資訊，像是Cookie或是會話令牌，而這些資訊足以讓駭客用來假冒合法的使用者。</p> <p>Okta已經通知所有受影響的客戶，並協助客戶展開調查與採取必要措施，包括撤銷會話令牌。一般而言，Okta通常會建議客戶在分享或上傳HAR檔案之前，應先刪除檔案中的所有憑證、Cookie與會話令牌。</p> <p>Okta利用雲端軟體來協助企業管理使用者登入應用程式的身分驗證，或是讓開發者得以建置登入應用程式、網頁服務或裝置的身分驗證控制，<a href="https://www.cnbc.com/2023/10/20/okta-shares-fall-after-company-says-client-files-were-accessed-by-hackers-via-its-support-system.html" target="_blank">《CNBC》</a>分析，全球有些超大型企業採用Okta的登入身分管理系統，包括FedEx及Zoom等，使得Okta成為駭客的高價值攻擊目標。</p> <p>另一方面，身為Okta客戶的資安業者Cloudflare則揭露了更多的細節。</p> <p>Cloudflare內部採用了Okta的系統執行員工的身分驗證，而該公司是在10月18日察覺內部系統遭到攻擊，追查之下發現源頭為Okta，駭客利用Okta外洩的令牌進入了Cloudflare內部的Okta實例，由於及早發現，使得Cloudflare很快就作出了因應，並無任何客戶系統或資訊受到此一事件的影響。此外，Cloudflare是在24小時之後才收到Okta的通知。</p> <p>Cloudflare表示，該公司所遭遇的情景與Okta所描述的相符，Cloudflare員工在近日建立並上傳了一個支援紀錄（Support Ticket），駭客在進入Okta客戶支援系統並檢視該檔案之後，挾持了該紀錄中的會話令牌，藉由所危害的兩名Cloudflare員工的帳戶，於10月18日存取Cloudflare系統。</p> <p>此外，整合Okta系統的另一身分管理服務業者BeyondTrust也在同一天踢爆，該公司早在10月2日就察覺，有人利用自Okta客戶支援系統偷來的會話令牌，企圖存取BeyondTrust內部的Okta管理員帳戶，當時便曾通知Okta。</p> <p>Cloudflare指責Okta沒有妥善處理此事，才令Cloudflare到了10月18日還受害，呼籲Okta應該要更早通知客戶，也應利用硬體金鑰來保障所有的系統。</p> <p>Cloudflare亦建議Okta客戶應啟用硬體雙因素身分驗證（MFA）機制，詳細調查Okta實例上的所有密碼及MFA的變更，重設所有密碼，以及監控所有Okta帳戶、權限變更與新建立的使用者，也應重新審視會話過期政策以限制挾持攻擊。</p> <p>這並不是Okta第一次因為沒能及時通知客戶而受到批評，去年3月時，<a href="https://www.ithome.com.tw/news/150050" target="_blank">Okta坦承</a>駭客集團Lapsus$危害了一名第三方客戶支援工程師的帳戶，但Okta其實是1月就知道，只是沒有通知客戶。</p> </div></div></div>
2023/10/23 14:37作者陳曉莉https://www.ithome.com.tw/news/159430
【資安週報】2023年10月16日到10月20日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一週漏洞利用消息中，有兩個新漏洞及兩個已知漏洞遭鎖定的消息，成為企業必需關注的重點，包括：</p> <p>（一）思科公開網路設備作業系統IOS XE作業系統的零時差漏洞CVE-2023-20198，嚴重等級達到CVSS滿分，並警告大家已出現攻擊者成功利用該漏洞的情形，他們建議，目前用戶系統若是暴露在公開網路，應將IOS XE的HTTP Server功能關閉，並注意後續修補更新的釋出。揭露此消息之後的隔天，隨即有資安業者回報災情，因為他們發現多達數千臺Cisco IOS XE裝置已被植入了惡意檔案。<br /> （二）近期Milesight工控路由器（industrial cellular routers）漏洞CVE-2023-43261已公開揭露，儘管該設備商表示早已修補，但值得注意的是，有資安業者透露此漏洞可能已被惡意利用，並指出這類產品用於鐵路貨運運輸、自動提款機（ATM）網路與緊急車輛使用。依此態勢來看，交通與金融服務均可能面臨威脅。<br /> （三）今年7月WinRAR修補的零時差漏洞（CVE-2023-38831），自4月即遭到攻擊者成功利用，本周有多家資安業者分別指出，發現俄羅斯與中國國家駭客組織所發動的網釣攻擊，正積極利用這個已知漏洞。<br /> （四）今年9月JetBrains修補CI/CD軟體平臺TeamCity重大漏洞（CVE-2023-42793），如今傳出有北韓駭客組織Lazarus及旗下團體Andariel鎖定該已知漏洞利用的消息。</p> <p>其他漏洞消息方面，包括：Juniper Networks修補網路設備作業系統逾30個漏洞、Oracle季度安全更新修補185個漏洞。</p> <p>在網路威脅焦點上，我們選出幾個重大事件，包括2個新攻擊手法，以及4個鎖定不同產業而來的網路攻擊行動的揭露：</p> <p>●新型態Magecart信用卡側錄（Card Skimming）攻擊行動的揭露，駭客使用了網站預設404錯誤訊息頁面來隱藏他們的惡意程式碼。我們甚至看到揭露的資安研究人員指出，這是他們前所未見的創造性隱匿手法。<br /> ●還有攻擊者部署竊資軟體時的新手法揭露，駭客濫用了幣安智能鏈（BSC）數位貨幣合約，也就是先利用植入WordPress的惡意程式碼，將流量導向幣安，再從區塊鏈取得惡意指令碼注入網站，這也導致攻擊程式碼難以清除的挑戰。<br /> ●關於電信產業的威脅，烏克蘭電腦緊急應變小組（CERT-UA）指出，最近半年來，該國至少11家電信業者遭到俄羅斯駭客組織Sandworm攻擊，他們也公布目前發現的駭客攻擊手法。<br /> ●東南亞國協會員國的外交單位遭鎖定，資安研究人員發現中國駭客使用的後門程式Bloodalchemy。<br /> ●東歐石油產業、天然氣公司、國防工業遭後門程式框架Meta鎖定，資安業者發現攻擊者從工控環境入侵總公司內部網路，並利用釣魚郵件、IE瀏覽器漏洞CVE-2021-26411觸發感染鏈，入侵財務系統的伺服器。<br /> ●程式開發與資料科學領域常用的Jupyter Notebook遭鎖定，駭客除了將伺服器的運算資源拿來挖礦，也企圖竊取組織使用的AWS、Google Cloud雲端服務帳密資料，進一步擴大危害的範圍。</p> <p>另外，還有3起資料外洩消息，包括：卡西歐坦承他們的教育網頁應用程式ClassPad.net的開發環境伺服器，遭到未經授權存取而洩漏資料，波及149國客戶；基因檢驗業者23andMe傳出資料外洩，410萬筆英國民眾資料流入駭客論壇；臺灣網路設備廠商友訊科技（D-Link）傳資料外洩，該公司證實的確有程式碼外洩的情況，起因是員工遭網釣攻擊，而且，他們表示，外流資料並非駭客宣稱的D-View原始碼，而是舊的會員註冊網站的程式碼。這項說法顯然有別於先前傳聞，孰是孰非仍有待觀察。</p> <p>至於防護態勢上，開源軟體供應鏈安全領域今年受到各界重視，範圍相當廣泛，雖然多家廠商均宣示要強化管控，但在開發人員之間流通的各種延伸套件，資安問題仍層出不窮，現在終於出現提升能見度的新做法。由於過去缺乏惡意套件公共資料庫，不易匯總相關發現與報告，因此開源安全基金會OpenSSFGitHub上推出惡意套件儲存庫，幫助外界更有效掌握已知惡意套件；在金融詐騙安全防護領域，臺灣今年積極引進與推動AI進行協助，例如，內政部警政署刑事警察局4月成立AI鷹眼識詐聯盟，其AI偵測專利技術的「鷹眼模型」由北富銀與內政部刑事警察局合作開發，本周有32家銀行宣布加入該聯盟，擴大鷹眼模型防護範圍，預計明年6月前完成導入。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/159306"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月16日】Skype用戶注意！駭客利用外洩帳號發送訊息，透過內嵌VBA指令碼的檔案散布惡意程式DarkGate</span></strong></a></h3> <p>小心！合作夥伴傳來的即時通訊軟體訊息，有可能是駭客散布惡意程式的手段！研究人員揭露利用Skype散布惡意軟體DarkGate的攻擊行動，駭客先是利用已經外洩的帳號，向受害者的合作廠商來發送訊息，若一時不察而開啟檔案，就會中標。</p> <p>值得留意的是，駭客會解析外洩帳號的對話內容，而刻意依循此脈絡來調整作為誘餌的檔案名稱，命名方式可能與自己在此溝通的業務內容有關，目的是降低收訊者的警覺而使其開啟檔案。由於過去已有駭客利用Teams訊息散布DarkGate惡意軟體的前例，現在改用Skype來傳播，日後攻擊者可能也會會濫用其他服務來發動攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/159329"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月17日】駭客假借提供以色列民眾空襲警報應用程式，意圖搜括安卓手機用戶各式資料</span></strong></a></h3> <p>以色列與巴勒斯坦的軍事衝突已經進行超過一個星期，表達支持態度的網路攻擊也隨之而來，駭客組織選邊站，近100個團體對各式關鍵基礎設施發動攻擊，多是宣示立場的DDoS攻擊。這當中比較特別的攻擊目標，是以色列空襲警報行動應用程式Red Alert，有人假借提供該App，針對安卓用戶散布惡意程式。</p> <p>但針對Red Alert的攻擊行動並非首例。巴勒斯坦駭客組織AnonGhost日前聲稱透過此通報系統的API，向以色列民眾發出假的核彈警報。</p> <h3><a href="https://www.ithome.com.tw/news/159361"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月18日】使用Telegram、AWS、阿里雲的開發人員遭到鎖定，駭客透過PyPI套件發動供應鏈攻擊</span></strong></a></h3> <p>散布惡意NPM、PyPI套件攻擊開發者的事故頻傳，許多程式碼檢測工具供相關機制因應，但道高一尺魔高一丈，有攻擊者刻意將惡意程式碼埋於他處，導致檢測工具難以偵測這類狀況。</p> <p>最近由資安業者Checkmarx揭露的攻擊就用這種手法，駭客埋藏的程式碼須在應用系統呼叫特定功能函數，才會觸發，於受害電腦挖崛開發人員的各種資料。</p> <h3><a href="https://www.ithome.com.tw/news/159379"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月19日】互動式運算平臺Jupyter Notebook遭到鎖定，駭客部署惡意程式，從中挖礦並盜取雲端服務帳密</span></strong></a></h3> <p>在程式開發與資料科學領域常用的Jupyter Notebook，傳出遭到網路攻擊鎖定的情況，<a href="https://www.ithome.com.tw/news/157762#pyloose">今年7月有人將其用於散布惡意程式PyLoose</a>，將這種伺服器拿來挖礦牟利，如今針對這類運算平臺的攻擊行動再度出現。</p> <p>資安業者Cado揭露的Qubitstrike，正是這種型態的惡意行為，但不同的地方在於，駭客除了將伺服器的運算資源拿來挖礦，也企圖找尋組織的雲端服務帳密資料，進一步擴大危害的範圍。</p> <h3><a href="https://www.ithome.com.tw/news/159415"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月20日】駭客利用後門程式框架Meta攻擊東歐國家的石油產業、天然氣公司、國防工業</span></strong></a></h3> <p>資安防護通常較為薄弱的工廠操作科技（OT）環境，駭客可能將其視為入侵整個企業的管道！有研究人員揭露去年下旬出現的惡意軟體Meta的攻擊行動，駭客先是針對工業控制系統下手，得逞後進一步攻擊總公司及其他分公司。</p> <p>值得留意的是，有別於許多攻擊行動的網釣攻擊是針對Chrome而來，近日一波攻擊駭客仍利用2年前的IE已知漏洞，來鎖定仍未汰換IE的企業組織。</p> <h3> </h3> <h3> </h3> </div></div></div>
2023/10/23 09:24作者羅正漢https://www.ithome.com.tw/news/159426
Nvidia新AI系統能訓練機器手轉筆、開抽屜等動作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.nvidia.com/blog/2023/10/20/eureka-robotics-research/" target="_blank">Nvidia上周宣布</a>以OpenAI GPT-4為基礎的AI系統Eureka的開發成果，能訓練實體機器人執行複雜動作，像是轉筆、開抽屜。</p> <p>Eureka是Nvidia研究院AI演算法的開發成果。Eureka本身是以Open AI GPT-4為基礎，可提供開發人員配合Nvidia的物理模擬參考應用程式Isaac Gym進行強化學習（reference learning）。Issac Gym則是以Nvidia 3D工具及應用程式的開發平臺Omniverse為基礎開發。</p> <p>Nvidia AI研究部門資深總監Anima Anandkumar指出，強化學習過去10年雖然有所進展，但仍存在不少挑戦，像是獎賞設計，現在都還停留在「嘗試錯誤」階段。Eureka則是為執行困難的任務而設計，結合生成式與強化式學習的演算法開發的首次嘗試。</p> <p>Eureka生成出的獎賞程式可從事機器人的嘗試錯誤（trial-and-error）學習，並執行80%人類專家的任務，能使平均效能提升超過50%。根據Nvidia公布的影片，Eureka訓練的機器人能執行將近30種任務，像是轉筆、兩手互傳球、開抽屜或拿剪刀等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1023-Eureka-NVIDIA-Robot%20Learning-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Nvidia</span></span></p> <p>Eureka利用GPT-4 LLM和生成式AI撰寫出程式碼，獎賞機器人手臂或手指進行強化式學習，過程中不需要輸入任務提示或撰寫預定義的獎賞範本，再結合人類回饋修正獎賞，使執行結果更精準符合開發人員的視覺。</p> <p>在Issac Gym中，利用GPU加速的模擬，Eureka可針對大量批次的候選回饋快速評估品質，以提升訓練效率。然後Eureka可根據訓練結果的關鍵統計做出摘要，再命令LLM改良獎賞功能的生成。AI可以自我改進，教導所有類型的機器人，包括獸型（四腳）、人型（兩腳）、四軸、手爪式及協作手臂等機器人來完成所有任務。</p> <p>這篇研究也公布了研究小組根據開源靈敏性標竿測試，評估20種任務訓練結果，這些測試要求機器手做多種複雜技能動作。</p> <p>Nvidia表示Eureka結合LLM和Nvidia GPU模擬技術的產物，相信它可實現靈巧的機器人控制，並為動畫作者提供生成逼真實體動作的新方法。</p> <p><a href="https://blogs.nvidia.com/blog/2023/10/04/ai-jim-fan/" target="_blank">Nvidia研究院之前也發表過Voyager</a>，後者是以GPT-4打造能自己玩《Minecraft》的AI系統。</p> <p>Nvidia上周也<a href="https://blogs.nvidia.com/blog/2023/10/19/nvidia-ai-now-available-in-oracle-cloud-marketplace/" target="_blank">宣布</a>和甲骨文雲端服務的進一步合作。繼今年<a href="https://www.oracle.com/tw/news/announcement/nvidia-chooses-oracle-cloud-infrastructure-for-ai-services-2023-03-21/" target="_blank">3月</a>及7月締結生成式AI服務及超級電腦服務DGX Cloud搬上甲骨文雲基礎架構（Oracle Cloud Infrastructure，OCI）後，現在Nvidia DGX Cloud及Nvidia AI Enterprise軟體服務，已經在服務市集上架，提供OCI客戶採購。</p> </div></div></div>
2023/10/23 09:28作者林妍溱https://www.ithome.com.tw/news/159427
Reddit傳將封鎖Google搜尋索引
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為防止網路內容被免費存取，<a href="https://www.washingtonpost.com/technology/2023/10/20/artificial-intelligence-battle-online-data/" target="_blank">媒體報導</a>，網路論壇Reddit可能將封鎖Google搜尋引擎索引，認為不靠Google也能創造流量。</p> <p>《華盛頓郵報》上周報導，為防止AI業者使用平臺上的內容訓練模型，有530多個新聞組織決定封鎖Google、OpenAI等業者的網路爬蟲擷取其新聞文字及圖片，包括Reddit。報導指出Reddit除了不讓Google、Bing等搜尋引擎索引其內容，也要求使用者必須登入帳號才能讀取內容。Reddit之後澄清「沒有任何變動」，也說已去信要求《華郵》更正報導。</p> <p>不過在媒體更正後的報導中，變更了要求用戶登入才能讀內容的部分，但Reddit並未否認，可能封鎖Google等搜尋引擎的決定。Reddit如果無法取得Google、微軟或OpenAI業者同意支付API使用授權費，應該會封鎖搜尋引擎業者的網路爬蟲。</p> <p>一旦真的實行，則未來Reddit論壇上的貼文將無法被Google搜尋到，對平臺用戶及外部用戶的吸引力勢將大為減低。不過<a href="https://www.theverge.com/2023/10/20/23925504/reddit-deny-force-log-in-see-posts-ai-companies-deals" target="_blank">報導引用匿名消息來源指出</a>，Reddit認為沒有Google搜尋引擎，他們還是撐得下來。</p> <p>Reddit此舉源自於<a href="https://www.ithome.com.tw/news/156469" target="_blank">今年4月宣布醞釀收取API使用授權費</a>的政策。雖然防堵的對象是AI業者，但也影響用戶眾多的App業者。<a href="https://www.ithome.com.tw/news/157278" target="_blank">6月12日起多個大型App宣布Go Dark活動</a>，關閉其Subreddit對外存取權，最盛期有超過7,000個Subreddit下線。Reddit外界用戶即使從Google搜尋到，點入後也會被要求登入帳密才能存取內容。這波行動原本預期3天，但有不少版主延長關閉期間。不過<a href="https://blog.hubspot.com/marketing/reddit-blackout" target="_blank">Reddit宣稱這波下線抗議僅使網站整體流量下降了6.6%</a>。</p> </div></div></div>
2023/10/23 09:42作者林妍溱https://www.ithome.com.tw/news/159428
俄羅斯駭客Romcom鎖定東亞、北美，利用武器化的TeamViewer發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國資安業者奇安信揭露於2022年底發生的Operation HideBear攻擊行動，駭客打造常用應用程式的下載網站，並購買Google搜尋引擎廣告，散布重新透過Inno Setup封裝、帶有惡意程式的安裝檔，引誘使用者上當，但當時沒有取得惡意酬載的相關檔案，而無法確認攻擊者身分。</p> <p>後來在2023年中旬，研究人員再度觀察到這些惡意安裝程式的攻擊行動，有東亞及北美的使用者受害，攻擊者最終透過SFTP通訊協定，於受害電腦投放名為Minebridge的RAT木馬程式，並透過遠端桌面連線程式TeamViewer以DLL側載（DLL Side-loading）的方式執行。攻擊者存取受害電腦的方式，可能是透過AnyDesk，然後利用PsExec進行橫向移動。值得留意的是，駭客為了隱匿攻擊流量，受害電腦與C2連線的管道，是透過OpenSSH建立的反向隧道，而能夠繞過EDR系統的偵測。</p> <p><a href="https://s4.itho.me/sites/default/files/images/e292206b8ccb4973f6ad365df87caa87.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/e292206b8ccb4973f6ad365df87caa87.png" style="width: 580px;" /></a></p> <p>而對於攻擊者的身分，研究人員提到，Minebridge最早是資安業者FireEye於2020年揭露，當時該公司推測攻擊者的身分，有可能駭客組織TA505旗下的團體，也有可能是另一個新的駭客組織。不過，後來其他資安業者揭露的Minebridge攻擊行動裡，研究人員普遍認為攻擊者來自TA505。但根據掌握的證據，奇安信認為這起攻擊行動應該是由全新的駭客組織所為，而這個團體就是微軟揭露的俄羅斯駭客組織RomCom（亦稱Storm-0978）。</p> <p>究竟駭客的動機為何？研究人員認為，很可能是為了竊取IT及醫療的技術而來。此外，他們從安裝檔案存取的網域名稱來推測，駭客從2021年就開始進行相關攻擊行動，而根據Minebridge當中被埋入的幾個網域名稱（其中一個是中國網域），攻擊者曾於2021年至2022年，濫用Cloudflare的CDN節點來隱藏真實的IP位址。</p> </div></div></div>
2023/10/23 00:22作者周峻佑https://www.ithome.com.tw/news/159425
攻擊行動Qubitstrike鎖定Jupyter Notebook伺服器部署惡意程式，竊取AWS、Google Clo…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在程式開發與資料科學領域常用的Jupyter Notebook，傳出遭到網路攻擊鎖定的情況，<a href="https://www.ithome.com.tw/news/157762#pyloose">今年7月有人將其用於散布惡意程式PyLoose</a>，將這種伺服器拿來挖礦牟利，如今針對這類運算平臺的攻擊行動再度出現。</p> <p><a href="https://www.cadosecurity.com/qubitstrike-an-emerging-malware-campaign-targeting-jupyter-notebooks/">資安業者Cado揭露的Qubitstrike</a>，正是這種型態的惡意行為，但不同的地方在於，駭客除了將伺服器的運算資源拿來挖礦，也企圖找尋組織的雲端服務帳密資料，進一步擴大危害的範圍。</p> <p>研究人員從他們建置的Juypter密罐陷阱（Honeypot）察覺這起攻擊行動。駭客疑似來自突尼西亞首都突尼斯的IP位址，透過物聯網搜尋引擎Shodan，尋找曝露在網際網路上的Jupyter Notebook伺服器下手，先是確認處理器的型號，以及能否存取root帳號，並尋找可下手的帳密資料。由於上述命令執行的時間長達195秒，他們推測，駭客應該是透過手動操作的方式執行。</p> <p>接著駭客目標系統是否存在curl元件，然後下載、執行以Base64演算法加密的指令碼mi.sh，啟動挖礦軟體XMRig，並植入攻擊者的SSH金鑰，以便持續存取root帳號，隨後部署名為Diamorphine的Rootkit程式，以及竊取AWS、Google Cloud等帳密資料，並透過SSH將這些資訊外流，最終使用Telegram機器人的API回傳給駭客。</p> <h3><strong>攻擊者採取多種措施來讓挖礦行動更為隱密</strong></h3> <p>駭客為了避免挖礦過程受到干擾，他們在執行挖礦軟體之前採取了多項措施。首先，攻擊者將curl、wget等多種常見的資料傳輸程式檔案重新命令，而使得其他不知道檔案名稱的人士無法執行。再者，則是針對常見的挖礦軟體終止相關的處理程序，以免其他攻擊者佔用運算資源。</p> <p>過程中駭客也利用名為kthreadd的工具清除其他攻擊者的惡意酬載，以及下達netstat指令而關閉其他連線。研究人員還看到名為log_f()的功能函數，攻擊者一旦呼叫，就能刪除多種Linux的事件記錄檔案，來防範鑑識人員採集證據。</p> <p>完成上述一系列的回避偵測工作，mi.sh才會從程式碼代管平臺Codeberg下載XMRig，並以python-dev的檔案名稱存放於受害主機，目的應該是讓挖礦程式的處理程序看起來較為無害。而這起事故，是他們首度看到有人濫用Codeberg的挖礦攻擊行動。</p> <h3><strong>從濫用的儲存庫找到駭客架設於Discord的C2中繼站</strong></h3> <p>研究人員針對駭客濫用的Codeberg儲存庫進行調查，看到多個駭客存放的指令碼，其中一個名為kdfs.py的Python指令碼引起他們關注，這個指令碼本身是代理程式，並連線至以即時通訊軟體Discord機器人架設的C2伺服器，而使得攻擊行動更難被察覺。特別的是，對方在指令碼嵌入Discord的Token，但透過Base64、Base32、ROT13演算法進行處理，目的可能是防堵其他人解讀Token內容。</p> <p>值得留意的是，攻擊者也透過類似蠕蟲的方式散布作案工具，感染其他Jupyter Notebook主機。他們使用正規表示法列出SSH的known_hosts儲存的IP位址列表，並透過bash指令散布mi.sh檔案。</p> </div></div></div>
2023/10/22 22:38作者周峻佑https://www.ithome.com.tw/news/159423
俄羅斯駭客Sandworm自5月就對烏克蘭電信業者下手，近半年已有11家業者受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cert.gov.ua/article/6123309">烏克蘭電腦緊急應變小組（CERT-UA）指出</a>，今年5月11日至9月27日，該國至少有11家電信業者遭到俄羅斯駭客組織Sandworm攻擊，駭客干擾這些公司的通訊系統，導致相關服務面臨中斷的情況，並曝露於資料外洩的風險。</p> <p>駭客起初利用網路通訊埠掃描工具masscan，對電信公司的網路環境進行偵察，並尋找開放的連接埠，以及未設防的遠端桌面連線（RDP）與SSH連線管道，藉此來破壞內部網路環境。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CERT-UA-Masscan.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CERT-UA-Masscan.png" style="width: 580px;" /></a></p> <p>為了得到更多存取權限，駭客利用ffuf、dirbuster、gowitness、nmap等網路工具來找出網頁服務的漏洞。CERT-UA於遭駭的網際網路供應商（ISP）系統當中，看到兩個後門程式Poemgate、Poseidon，前者用於收集管理員帳密，後者則針對Linux主機而來。</p> <p>此外，駭客也利用Dante、socks5等代理伺服器軟體，搭配他們已經入侵烏克蘭競內的伺服器進行路由，來隱匿相關攻擊行動。另一方面，駭客也運用名為Whitecat的工具，來清理攻擊的痕跡，並刪除事件記錄檔案。</p> </div></div></div>
2023/10/22 21:22作者周峻佑https://www.ithome.com.tw/news/159421
駭客鎖定Telegram、AWS、阿里雲用戶發動供應鏈攻擊，散布惡意PyPI套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Checkmarx新一波的PyPI惡意套件攻擊，<a href="https://checkmarx.com/blog/users-of-telegram-aws-and-alibaba-cloud-targeted-in-latest-supply-chain-attack/">駭客主要的目標是使用Telegram、AWS、阿里雲的開發人員</a>。</p> <p>研究人員自今年9月，看到有人上傳一系列惡意PyPI套件，但特別的是，這些套件的惡意程式碼不會在開發人員安裝時執行，駭客將惡意指令碼嵌入套件深處，必須在套件執行過程呼叫特定的功能函數，才會觸發。研究人員指出，由於許多資安工具會掃描自動執行的惡意指令碼，但遇上這種手法可能沒輒。</p> <p>他們舉出其中一款名為Telethon2的惡意套件為例，駭客模仿已被下載6,900萬次的熱門套件Telethon，並引用此套件GitHub儲存庫的統計資料內容。但攻擊者並非將惡意程式碼埋入安裝指令檔案，而是竄改Telethon的程式碼內容，在telethon/client/messages.py嵌入兩行指令，使得惡意程式碼在該套件呼叫傳送訊息的功能才會啟動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/kohlersbtuh15-10.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/kohlersbtuh15-10.png" style="width: 580px; height: 94px;" /></a></p> <p>而為了引誘開發人員上當，攻擊者不光使用了模仿域名（Typosquatting）的手段，還讓這些惡意套件看起來相當受歡迎，由於開發人員在挑選套件的過程，往往會參考GitHub統計的資料，攻擊者刻意將PyPI套件連結GitHub上面不相關套件的儲存庫，導致開發人員可能誤以為此套件的程式碼具有相當影響力而降低戒心，<a href="https://medium.com/checkmarx-security/starjacking-making-your-new-open-source-package-popular-in-a-snap-f52204e180cc">研究人員將此攻擊手法稱做Starjacking</a>。</p> <p>什麼是Starjacking？簡單來說，在開源套件的開發人員工作流程當中，很可能會利用GitHub代管專案的程式碼，然後再將套件上傳到NPM、PyPI來供其他開發人員運用。而NPM、PyPI套件庫的使用者，往往會參考GitHub的統計資料，來判斷套件是否受到歡迎，做為挑選套件的依據。</p> <p><a href="https://s4.itho.me/sites/default/files/images/kohlersbtuh15-9.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/kohlersbtuh15-9.png" style="width: 580px;" /></a></p> <p>然而，研究人員指出，這些套件儲存庫顯示的資料通常沒有經過驗證，也很容易偽造，而這種手法就是將攻擊者的套件，與GitHub上相當熱門、獲得良好GitHub Stars評價的專案進行連結，從而讓下載套件的使用者誤以為套件來自具有相當影響力的GitHub專案。</p> <p>而對於受害者的身分，研究人員指出近半數位於美國（44.61%），其次是中國（16.37％）、香港（4.44％）、新加坡（4.44％）。</p> </div></div></div>
2023/10/22 21:45作者周峻佑https://www.ithome.com.tw/news/159422
美國證券交易委員會傳出著手調查MOVEit Transfer攻擊行動帶來的影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>MFT檔案傳輸系統MOVEit Tranfer因本身存在零時差漏洞CVE-2023-34362，採用這套產品的許多用戶5月底面臨攻擊，當時，有俄羅斯駭客組織Clop犯案，他們從使用這套MFT系統的組織竊取資料，並進行勒索，最近傳出美國證券交易委員會（SEC）對軟體開發商Progress進行相關調查的情況。</p> <p><a href="https://techcrunch.com/2023/10/11/sec-is-investigating-moveit-mass-hack-says-progress-software/">根據科技新聞網站TechCrunch的報導</a>，<a href="https://www.sec.gov/Archives/edgar/data/876167/000087616723000190/prgs-20230831.htm">Progress近日向美國證券交易委員會提出10-Q季度財務報告</a>，揭露後續進展，當中提及他們收到SEC的傳票，將「完全配合」提供該零時差漏洞有關的各種文件及資訊，該公司強調，SEC進行的是事實調查，並非該公司違反聯邦證券法。</p> <h3><strong>首度透露該公司受到影響的情況</strong></h3> <p>而對於這起攻擊事故造成的損失，Progress認為影響有限，根據他們的評估，由於旗下MFT系統的漏洞，產生約100萬美元的費用，相關的保險理賠預期會進帳190萬美元。但這份季報也談到遇害客戶的反應，他們表示，有23個組織、58名人士向他們提出法律訴訟，而有可能會產生賠償費用。</p> <p>究竟這起事故帶來的影響有多大？目前仍不得而知，且陸續有企業組織表明受害。例如，大型家用電視遊樂器製造商Sony Interactive Entertainment於10月3日，<a href="https://www.ithome.com.tw/news/159144#sony">透露近7千名員工的個資遭到外洩</a>；<a href="https://www.bleepingcomputer.com/news/security/third-flagstar-bank-data-breach-since-2021-affects-800-000-customers/">美國商業銀行Flagstar透露超過80萬客戶受到波及</a>。根據<a href="https://www.emsisoft.com/en/blog/44123/unpacking-the-moveit-breach-statistics-and-analysis/">資安業者Emsisoft的統計</a>，這起大規模零時差漏洞攻擊影響超過2,500個組織、6,400萬人。</p> <h3><strong>去年11月資安事故同時揭露</strong></h3> <p>另一個引起外界關注的焦點，是Progress提及2022年11月發生的資安事故，當時產生了420萬美元的費用，該公司後來得到約300萬美元的保險理賠。</p> <p>代表Progress的人士John Eddy向TechCrunch透露，當時該公司察覺內部網路遭到未經受權的存取，部分資料外洩，並在<a href="https://investors.progress.com/node/25731/html">同年12月發布資安通告</a>，但此事故與目前通報的軟體漏洞無關，也沒有透露這起資料外洩事故影響的範圍。</p> </div></div></div>
2023/10/22 11:17作者周峻佑https://www.ithome.com.tw/news/159418
惡意軟體DarkGate利用帳密外洩的Skype登入身分，散布帶有VBA指令碼的檔案來發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.trendmicro.com/en_ph/research/23/j/darkgate-opens-organizations-for-attack-via-skype-teams.html">資安業者趨勢科技揭露惡意軟體DarkGate最新一波的攻擊行動</a>，駭客疑似透過地下論壇或是資料外洩事故取得Skype帳密資料，在今年的7月至9月，利用兩個組織之間的信任關係，透過上述的Skype帳號，向另一個組織的使用者發送的訊息，當中是帶有VBA指令碼的檔案（名稱為<filename.pdf> <a href="http://www.skype[.]vbs">www.skype[.]vbs</a>）。</p> <p>一旦收到訊息的使用者開檔、執行惡意VBS，電腦先是建立新資料夾並複製curl.exe，接著從外部伺服器下載AutoIT，並執行.AU3的指令碼，從而部署DarkGate。研究人員指出，由於攻擊者挾持了外洩的Skype帳號，可對既有的訊息進行拆解，並將附件檔案設定為與對談內容有關的名稱，使得收到訊息的使用者更難察覺異狀而上當。</p> <p><a href="https://s4.itho.me/sites/default/files/images/figure3-darkgate-opens-organizations-for-attack-via-skype-teams.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure3-darkgate-opens-organizations-for-attack-via-skype-teams.jpg" style="width: 580px;" /></a></p> <p>值得留意的是，為了迴避偵測，駭客利用了AutoIT的自動化批次檔（AU3）來製作指令碼，在載入指令碼的過程裡，此批次檔會先偵測作業系統的環境，必須符合兩項條件才會載入。</p> <p>（一）%Program Files%資料夾存在<br /> （二）存取的使用者帳號名稱並非SYSTEM</p> <p>一旦目標電腦通過檢查，駭客的程式便會尋找AU3檔案並解密，然後產生iexplore.exe、GoogleUpdateBroker.exe、Dell.D3.WinSvc.UILauncher.exe的處理程序，並注入Shell Code於記憶體內（In Memory）執行DarkGate的惡意酬載。</p> <p><a href="https://s4.itho.me/sites/default/files/images/figure2-darkgate-opens-organizations-for-attack-via-skype-teams.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure2-darkgate-opens-organizations-for-attack-via-skype-teams.png" style="width: 580px;" /></a></p> <h3><strong>攻擊者近期也透過其他管道散布該惡意程式</strong></h3> <p>近期駭客散布DarkGate的攻擊事件頻傳，今年9月，資安業者<a href="https://www.ithome.com.tw/news/158448#darkgate">Malwarebytes</a>、<a href="https://www.ithome.com.tw/news/158685#darkgate">TrustSec</a>發現此惡意程式的攻擊行動，駭客先後運用了搜尋引擎中毒（SEO Poisoning）、微軟即時通訊軟體Teams來散布。</p> <p>而對於受害的範圍，根據研究人員的追蹤，他們發現大部分都在美洲，其次是亞洲、中東、非洲地區。</p> <p><a href="https://s4.itho.me/sites/default/files/images/figure1-darkgate-opens-organizations-for-attack-via-skype-teams.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure1-darkgate-opens-organizations-for-attack-via-skype-teams.png" style="width: 580px;" /></a></p> <p>研究人員除了看到駭客透過Skype的即時訊息，向用戶傳送惡意VBS檔案、散布DarkGate，他們也觀察到其他的手法，並透露相關細節。其中一種是前面提到的Teams即時訊息，但駭客傳送的附件並非PDF檔案，而是內含Windows捷徑檔案（LNK）的ZIP壓縮檔。</p> <p>一旦使用者依照指示點選LNK檔案，電腦就會從特定的SharePoint網站當中，下載另一個壓縮檔Significant companychanges September.zip。這個ZIP檔內含偽裝成PDF檔案的LNK檔，若是執行就有可能觸發VBS檔案hm3.vbs，利用AutoIT指令碼下載DarkGate惡意程式碼。</p> </div></div></div>
2023/10/22 20:39作者周峻佑https://www.ithome.com.tw/news/159420
台新金控揭生成式AI實驗新進展，涵蓋Chatbot、知識管理、程式助理和虛擬客服
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>台新金控資深經理王正男日前（10/18）揭露台新金控生成式AI進展，他們不只制定AI發展關鍵因子和AI導入指引，還發展4項實驗專案，包括協作平臺的聊天機器人Teams Chatbot、知識管理平臺、程式碼撰寫助理Codex，以及虛擬智能客服。其中，Teams Chatbot是讓金控成員認識生成式AI的第一步，有了成功經驗，他們開始結合生成式AI與內部資料，打造知識管理平臺，讓使用者以自然語言問答查詢。該平臺雖未上線，但基礎建設完整，未來可能擴大發展，如作為智能客服。而虛擬智能客服不只生成擬真的客服人像，還能與使用者語音互動、推薦理財商品。</p> <p><span style="font-size:24px;"><strong>制定AI發展關鍵因子，作為金控導入AI的重要參考</strong></span></p> <p>面對生成式AI強勢襲來，台新金控在今年初列了張發展AI關鍵因子表格，作為金控導入AI解決方案的重要參考。王正男指出，這份發展AI關鍵因子表格，羅列了台新金控導入AI的目的、介面、技術、數據、基礎建設和人才等因子。就目的來說，導入AI的目標可分為降低成本、增加效率、提升體驗、輔助決策和提高收益等，這是團隊導入AI時，優先考量的項目。</p> <p>再來，台新金控重視與顧客的互動，要採用AI，會思考從不同介面與顧客互動，比如文字、聲音、圖片、影像、虛擬人物、智能設備等。就虛擬人物來說，他們也打造一款虛擬客服服務，已發展2年多，接下來要瞄準智能設備。</p> <p>至於技術，則可分為機器學習和專家系統2種，進一步細分則有自然語言處理／理解、語音轉文字、文字轉語音、生物識別、OCR，以及大型語言模型（LLM）等技術。王正男透露，台新金控看好能力強大的LLM，是接下來1、2年的發展重點。</p> <p>他也表示，如何運用金控大量、高品質和多元的數據來發展AI，提供更好的服務，也是另一個發展AI的關鍵因子。還有個因子是基礎建設，台新金控將其分為儲存空間和運算能力，如自建或採公有雲。最後一個因子是人才，資料科學家、資料工程師、AI工程師、AI訓練師，以及其中最關鍵的推動者。因為，推動者要能與長官溝通、獲得支持，才能讓AI導入事半功倍。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%99%BC%E5%B1%95%E5%9B%A0%E5%AD%90.JPG" /></p> <p>不只列出發展AI的關鍵因子，台新金控還根據觀察，歸納出AI導入成效不彰的重點，來避免踩坑。這些原因有4個，首先是無法規模化，王正男舉例，金控有許多部門，每個部門各自獨立、容易發生數據孤島，或是各自導入功能相同的AI，如金融卡部門導入OCR服務、法金部門也導入OCR服務，這就花費2倍成本，效益不佳。</p> <p>另一個原因是實驗性質過高，比如為導入而導入、未思考商業應用效應。其他原因還有對導入的商業效益過於樂觀、成本過高等。這些原因都是台新金控導入AI時要避免的。</p> <p><span style="font-size:24px;"><strong>制定AI導入指引，擴大應用優於全新導入</strong></span></p> <p>另一方面，台新金控也制定AI導入指引，共有4大原則。首先，「導入AI不會減少成本，」王正男指出，因此他們將第一原定為擴大應用優於全新導入，意思是，行內若有既有的AI技術，就會思考如何讓這項技術更普及於其他領域，而不只局限於原本的單位內。</p> <p>第二個原則是業務效率優於技術創新。換句話說，AI新技術推陳出新，比如前些年，人臉辨識、指紋辨識等生物辨識技術遍地開花，台新金控團隊會思考，這些技術對業務是否有幫助，而非為成為新聞亮點而導入。</p> <p>第三個原則是技術導入優於產品導入，也就是「不再以產品為導向，而是以技術為導向。」王正男舉例，若業務需要OCR，團隊就會思考採購OCR模組，至於能包裝成何種業務場景、業務流程，團隊則會與協力廠商溝通、包裝，來提升技術效益。</p> <p>第四個原則是外購優於技術移轉，且優於自行開發。王正男指出，台新金控內部並未大力發展AI培養能力，因此採外購模式居多，認為外購優於技術移轉、優於自行開發。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8C%87%E5%BC%95.JPG" /></p> <p><span style="font-size:24px;"><strong>發展4大生成式AI實驗案例</strong></span></p> <p>於是，他們選定廠商，找來宏碁資訊和微軟，來進行生成式AI實驗專案。</p> <p>第1項便是用於協作平臺Teams的聊天機器人ChatGPT Chatbot，台新金控首選導入這款Chatbot，是要讓集團各單位更了解生成式AI。因為，當時台新金控高階主管和職員都對ChatGPT印象深刻，但對其局限並不清楚，因此團隊想藉導入Chatbot，來創造一個安全的環境，讓大家試驗、進一步理解生成式AI。</p> <p>於是，他們在今年3月與廠商規畫、建置專屬Chatbot，並租用微軟Azure OpenAI環境，5月正式將ChatGPT串接至Teams中，提供200個帳號供各單位使用。這項應用，也在台新金控內部舉辦的6場生成式AI Roadshow中登場，由團隊向金控成員介紹生成式AI的潛力及局限。</p> <p><span style="font-size:24px;"><strong>將生成式AI用於知識管理平臺</strong></span></p> <p>有了成功經驗，台新金控進一步展開第2項實驗專案，也就是生成式AI加持的知識管理平臺。這個平臺能讓使用者向AI提問內部問題，並得到相關解答。這項專案的目的，是要驗證Azure OpenAI能否用於內部知識管理，於是，金控IT和廠商一起打造這個平臺，採用嵌入索引（Embedding Index）來整合生成式AI和自家知識文件，再用指令（Prompt）來調整生成式AI的回答。</p> <p>該平臺的運作機制是先透過AD驗證使用者身份，使用者再向生成式AI提問，平臺再根據問題搜尋內部資料。這些資料包括內部作業指導書、資訊管理辦法、永續報告書和一級以上主管名單，為找出答案，平臺會先拆分資料，接著索引找出分數最高的相關資料，來讓生成式AI整理，產出回覆給使用者。在這個過程中，平臺也會記錄整個對話，以被稽核使用。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/KM.JPG" /></p> <p>王正男表示，該平臺還是實驗性質、並未上線。因其基礎建設完善，未來平臺若完整建立，會擴大發展為智能客服或其他應用，「是個非常指標性的專案。」</p> <p><span style="font-size:24px;"><strong>導入程式撰寫助理Codex</strong></span></p> <p>再來，台新金控也想驗證生成式AI用於程式開發的效益，於是展開另一項實驗專案，建立一系列研究，來測試程式撰寫工具Codex。這些研究是由使用者提出需求，讓Codex從零開始撰寫程式碼直至完成，包括資料表的建立、增刪減與重新規畫，使用自然語言對話來產生程式碼，以及撰寫初階和進階程式碼、撰寫程式碼說明等。</p> <p>王正男表示，為衡量Codex效益，台新金控也以資淺到資深的工程師來手動進行這些任務，對比Codex的任務表現，找出使用的優缺點。首先，人類工程師撰寫時間大約1小時，若初階工程師使用此工具，可提高3至4成的開發和文件撰寫速度，中階開發工程師則能提高2、3成速度，高階工程師則提升10%至20%。</p> <p>不過，團隊也發現，問對問題是需要訓練的，且「問對問題很重要。」再來，就像是對使用者說明一樣，工程師使用AI時，也要一步步好好說明問題，而Codex產出的程式碼通常無法直接使用，還需要人為調整和判斷。尤其是交易類的程式碼，只能參考，需要工程師核實再確認。</p> <p>即便如此，團隊建議，金控內部工程師可開始使用Codex來輔助撰寫程式了。</p> <p><span style="font-size:24px;"><strong>打造虛擬客服來推薦理財商品</strong></span></p> <p>不只如此，台新金控也用生成式AI打造虛擬客服，也就是生成一個擬真的客服人員，再利用語音轉文字、文字轉語音、人臉辨識等技術，來推薦理財商品給客戶。</p> <p>台新金控發展這項服務，是要解決幾個痛點，比如理財商品眾多、理財顧問理解耗時，新進人員訓練不易等。因此，他們想用主動行銷方式，來協助理專推薦商品，例如透過虛擬客服互動、取得相關資訊（如性別、年齡），再推薦理財商品給顧客，並介紹這些商品。</p> <p>他們採用的技術有JavaScript臉部辨識API，來預測顧客性別和年齡，再用Google Cloud Speech to Text API來辨識語音，轉換成文字後傳送至後端Azure OpenAI服務，來生成回覆內容。最後再將文字轉為語音，由虛擬客服用語音回答顧客，並推薦相對應的理財商品。</p> <p>而後臺的運作方式，則是團隊先將內部問題集和答案資料匯入Azure認知服務，當後臺收到顧客回答時，會進行認知搜尋，並在文件內容建立嵌入（Embeddings），再由Azure Cognitive Search拆分查詢字串、請求最類似答案。最後，會由Azure OpenAI服務將答案組合、傳回前端，由虛擬客服給出回答。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-10-20%20184315.png" /></p> <p></p> </div></div></div>
2023/10/20 19:13作者王若樸https://www.ithome.com.tw/news/159417
【資安日報】10月20日，駭客利用後門程式框架Meta攻擊東歐國家的石油產業、天然氣公司、國防工業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安防護通常較為薄弱的工廠操作科技（OT）環境，駭客可能將其視為入侵整個企業的管道！有研究人員揭露去年下旬出現的惡意軟體Meta的攻擊行動，駭客先是針對工業控制系統下手，得逞後進一步攻擊總公司及其他分公司。</p> <p>值得留意的是，有別於許多攻擊行動的網釣攻擊是針對Chrome而來，近日一波攻擊駭客仍利用2年前的IE已知漏洞，來鎖定仍未汰換IE的企業組織。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://securelist.com/updated-mata-attacks-industrial-companies-in-eastern-europe/110829/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">東歐能源產業、國防工具遭到後門程式框架Meta攻擊，從工控環境進一步入侵總公司內部網路</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/new-MATA-infection-chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/new-MATA-infection-chain.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基揭露後門程式框架Meta攻擊行動，駭客從2022年8月至今年5月，針對東歐石油產業、天然氣公司、國防工業而來，利用IE瀏覽器漏洞CVE-2021-26411（CVSS風險評分為8.8）觸發感染鏈，入侵財務系統的伺服器。</p> <p>駭客先是寄送釣魚郵件，這些信件都包含連結，連往可觸發上述IE漏洞的網頁，入侵企業的工業控制系統環境，找出企業終端伺服器的遠端桌面連線管道，從而對總公司的內部網路下手。過程中駭客利用合法驅動程式及Rootkit干擾防毒軟體偵測，收集使用者帳密，然後進行橫向移動，最終存取2種端點防護系統的主控臺，並利用1個漏洞得到控制權，從而收集受害組織的基礎設施資訊，並散布惡意程式，甚至擴散到多個子公司。</p> <p>而對於攻擊電腦種類，研究人員發現駭客同時針對Windows與類Unix作業系統而來，散布新的Meta惡意軟體，當中具備竊資軟體的功能，以及透過USB裝置入侵隔離網路的能力。在部分環境當中，駭客為了繞過防毒軟體的偵測，他們利用名為CallbackHell的Windows權限提升漏洞CVE-2021-40449（CVSS風險評分為7.8）。研究人員指出，新版Meta具有75種遠端控制功能，並支援TCP、SSL、PSSL、PDTLS多種通訊協定連線，亦具備充當代理伺服器的功能。</p> <p><a href="https://ti.qianxin.com/blog/articles/Operation-HideBear-Russian-Threat-Actors-Targeting-East-Asia-and-North-America-CN/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客鎖定東亞、北美，利用武器化的TeamViewer發動攻擊</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/e292206b8ccb4973f6ad365df87caa87.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/e292206b8ccb4973f6ad365df87caa87.png" style="width: 300px; float: right;" /></a>中國資安業者奇安信揭露於2022年底發生的Operation HideBear攻擊行動，駭客打造常用應用程式的下載網站，並購買Google搜尋引擎廣告，散布重新透過Inno Setup封裝、帶有惡意程式的安裝檔，引誘使用者上當，但當時沒有取得惡意酬載的相關檔案，而無法確認攻擊者身分。</p> <p>後來在2023年中旬，研究人員再度觀察到這些惡意安裝程式的攻擊行動，有東亞及北美的使用者受害，攻擊者最終透過SFTP通訊協定，於受害電腦投放名為Minebridge的RAT木馬程式，並透過遠端桌面連線程式TeamViewer以DLL側載（DLL Side-loading）的方式執行。攻擊者存取受害電腦的方式，可能是透過AnyDesk，然後利用PsExec進行橫向移動。值得留意的是，駭客為了隱匿攻擊流量，受害電腦與C2連線的管道，是透過OpenSSH建立的反向隧道，而能夠繞過EDR系統的偵測。</p> <p>而對於攻擊者的身分與動機，他們認為，雖然過往Minebridge幾乎駭客組織TA505所使用，但根據掌握的證據，這起攻擊行動應該是由俄羅斯駭客組織RomCom（亦稱Storm-0978）發起，很可能是為了竊取IT及醫療的技術而來。</p> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/crambus-middle-east-government"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">伊朗駭客APT34入侵中東政府的電腦，將微軟Exchange伺服器當作C2基礎設施</span></strong></a></p> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/crambus-middle-east-government"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);"></span></strong></a></p> <p></p> <p>資安業者賽門鐵克揭露伊朗駭客組織APT34（亦稱OilRig、MuddyWater）的攻擊行動，該組織入侵了至少12臺中東政府機關的電腦，並從2023年2月至9月持續存取，另有數十臺電腦被植入後門與鍵盤側錄工具。</p> <p>研究人員指出，攻擊者從2月1日開始於目標電腦執行可疑的PowerShell指令碼，到了5日存取第2臺電腦並透過名為plink的工具，來設定連接埠，以便透過遠端桌面連線（RDP）存取。到了21日，攻擊者執行netstat命令並開始惡意行動，接著，他們於4月上旬入侵第3臺電腦及網域控制器（DC），並在4月下旬、6月下旬於第3臺電腦植入後門程式，其中一個後門程式Backdoor.PowerExchange，是以PowerShell為基礎打造，藉由存取Exchange伺服器遭駭的電子郵件信箱，監控主旨含有＠＠的信件接收、執行攻擊者下達的命令，將此種電子郵件系統當作C2基礎設施。</p> <p>攻擊者後來再度於7月於同一臺電腦上下載更多惡意軟體，並在網域控制器執行Mimikatz竊取帳密資料，然後在9月將注意力轉移至更多電腦。</p> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/10/clever-malvertising-attack-uses-punycode-to-look-like-legitimate-website"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客透過Google廣告聲稱提供密碼管理軟體KeePass，散布惡意程式</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/easset_upload_file60928_284125_e.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/easset_upload_file60928_284125_e.png" style="width: 300px; float: right;" /></a>資安業者Malwarebytes揭露濫用Google搜尋廣告的惡意軟體攻擊行動，駭客假借提供開源密碼管理工具KeePass，並搭配國際化網域名稱編碼（Punycode）的攻擊手法，讓使用者難以從網址識別是惡意網站。</p> <p>Punycode指的是將Unicode轉換成ASCII的特殊編碼，以研究人員揭露的惡意網站ķeepass.info為例（K下方有逗點），轉換成ASCII編碼是xn--eepass-vbb[.]info。一旦使用者依照指示下載，電腦就有可能感染惡意程式FakeBat。</p> <p><a href="https://world.casio.com/information/1018-incident/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">卡西歐傳出資料外洩，恐波及149國客戶</span></strong></a></p> <p></p> <p>10月18日日本電子產品製造商卡西歐（Casio）發出公告，不明人士未經授權存取公司的教育網頁應用程式ClassPad.net的開發環境伺服器，該公司於11日晚間察覺資料庫異常並進行調查，隨後12日部分日本境外人士的個人資訊遭到存取，這些資料包含客戶名稱、電子郵件信箱、居住國家、購買資訊、使用的服務資訊，但不含信用卡資料，91,921個項目與日本客戶有關、35,049個外洩項目影響其他148個國家及地區的客戶。</p> <p>而對於這起事故發生的原因，他們認為來自於系統操作錯誤與作業管理不足，使得開發環境部分網路安全組態遭到停用而釀禍。對此，卡西歐在16日向日本個人資料個護委員會、日本資訊系統使用者協會（JUAS）通報此事，並與外部專家進行調查。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">基因檢驗業者23andMe傳出資料外洩，410萬筆英國民資資料流入駭客論壇</span></strong></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/23andMe-leak.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/23andMe-leak.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer在10月6日的報導，有人在駭客論壇兜售基因檢驗業者23andMe的資料，當時該公司發言人證實駭客流出的是真實資料，疑似透過其他攻擊事件取得的帳密資料來進行帳號填充攻擊得逞，而非IT系統遭到入侵，最近又有駭客公布另一批資料。</p> <p>10月17日，有人聲稱是資料外洩事件的幕後黑手，於駭客論壇洩露410萬名英國人個資，並聲稱內含居住美國、西歐最富有人士的資料，包含洛克斐勒家族、羅斯柴爾德家族等豪門。這名人士同日又公布另批含有德國人資料的CSV檔案，內含139,172筆。</p> <p>根據科技新聞網站TechCrunch的報導，駭客公布的英國民眾個資，有部分已被證實與公開的基因資訊相符，而且，有些資料駭客曾在8月於另一個論壇兜售，當時他們宣稱竊得300 TB資料。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/security/hacker-leaks-millions-of-new-23andme-genetic-data-profiles/">https://www.bleepingcomputer.com/news/security/hacker-leaks-millions-of-new-23andme-genetic-data-profiles/</a><br /> 2. <a href="https://www.bleepingcomputer.com/news/security/genetics-firm-23andme-says-user-data-stolen-in-credential-stuffing-attack/">https://www.bleepingcomputer.com/news/security/genetics-firm-23andme-says-user-data-stolen-in-credential-stuffing-attack/</a><br /> 3. <a href="https://techcrunch.com/2023/10/18/hacker-leaks-millions-more-23andme-user-records-on-cybercrime-forum/">https://techcrunch.com/2023/10/18/hacker-leaks-millions-more-23andme-user-records-on-cybercrime-forum/</a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對研究人員揭露的NAS管理員密碼重組漏洞，群暉提出進一步說明</span></strong></p> <p></p> <p>資安業者Claroty近日揭露，<a href="https://www.ithome.com.tw/news/159379#synology">關於群暉6月修補的NAS作業系統DSM漏洞CVE-2023-2729的細節</a>。對於這項漏洞，我們也向該公司進行確認，他們提出了新的說明。</p> <p>首先是針對漏洞緩解的方式，該公司將舊有的生成隨機密碼函數，替換為能提供加密和更安全隨機密碼的函式來因應。</p> <p>而對於他們對這項漏洞的風險評估，該公司表示此漏洞針對的管理員帳號，在建置完DSM環境後就會停用，即使攻擊者最終找出正確密碼，亦無法使用。再者，則是這個漏洞必須搭配其他資訊才能利用，無法直接暴力猜測密碼。該公司認為，此漏洞在實務上幾乎不會造成威脅。</p> <p>基於Synology SIRT將該漏洞評估為中度風險（Moderate），根據他們的修補政策，只會針對最新的DSM 7.2提供修補，並表示若為重大風險漏洞，該公司也會為舊版DSM作業系統進行修補，並在24小時內提供。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/159409"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度警方聯手微軟、Amazon，打擊假冒技術支援詐騙行動</span></strong></a></p> <p></p> <p>10月19日印度中央調查局（CBI）宣布，他們與微軟和Amazon聯手，破獲在當地進行的技術支援詐騙行動Chakra-II，他們總共掃盪了5起案件，搜索76個地點，扣押了許多的手機、電腦、伺服器、SIM卡、硬碟、電子郵件，並凍結多個銀行帳戶。</p> <p>這些詐騙份子於印度五個州經營多個客服中心，宣稱自己是這兩大品牌的技術支援人員，且時間長達5年。歹徒疑似透過網頁上跳出的訊息來謊稱受害者的系統有問題，並提供免付費電話，在受害者主動聯繫之後，對方就會遠端存取受害者電腦以協助檢查，再宣稱系統有問題，進而要求受害者支付高昂的服務費用，或是於電腦上植入惡意程式、勒索軟體，或是竊取受害者的金融資訊。</p> <p>CBI指出，受害者大部分是美國人，但也有加拿大、德國、澳洲、西班牙、英國的民眾受害，人數超過2千。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/CBIHeadquarters/status/1715013792697045503/photo/1">https://twitter.com/CBIHeadquarters/status/1715013792697045503/photo/1</a><br /> 2. <a href="https://blogs.microsoft.com/on-the-issues/2023/10/19/microsoft-amazon-tech-support-fraud-india/">https://blogs.microsoft.com/on-the-issues/2023/10/19/microsoft-amazon-tech-support-fraud-india/</a><br /> 3. <a href="https://www.aboutamazon.com/news/policy-news-views/amazon-microsoft-protect-against-impersonation-scams">https://www.aboutamazon.com/news/policy-news-views/amazon-microsoft-protect-against-impersonation-scams</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.reuters.com/world/five-eyes-intelligence-chiefs-warn-chinas-theft-intellectual-property-2023-10-18/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">五眼聯盟情報機構指控中國盜取智慧財產，濫用人工智慧發動網路攻擊</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/fbi-warns-of-extortion-groups-targeting-plastic-surgery-offices/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國整形外科診斷遭到勒索軟體駭客索討贖金</span></span></strong></a></p> <p></p> <p><a href="https://www.trellix.com/en-au/about/newsroom/stories/research/discord-i-want-to-play-a-game/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">即時通訊軟體Discord成惡意軟體溫床，APT駭客也加入濫用行列</span></span></strong></a></p> <p></p> <p><a href="https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/3554537/nsa-releases-a-repository-of-signatures-and-analytics-to-secure-operational-tec/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國國安局推出OT安全監控工具Elitewolf</span></span></strong></a></p> <p></p> <p><a href="https://www.ithome.com.tw/news/159335"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Amazon、WhatsApp加入支援Passkey的行列</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159379"><strong>【10月19日】互動式運算平臺Jupyter Notebook遭到鎖定，駭客部署惡意程式，從中挖礦並盜取雲端服務帳密</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159361"><strong>【10月18日】使用Telegram、AWS、阿里雲的開發人員遭到鎖定，駭客透過PyPI套件發動供應鏈攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159329"><strong>【10月17日】駭客假借提供以色列民眾空襲警報應用程式，意圖搜括安卓手機用戶各式資料</strong></a></p> </div></div></div>
2023/10/20 17:00作者周峻佑https://www.ithome.com.tw/news/159415
Martech雙周報第43期：Google Ads將推出No-code第一方數據整合功能，整合後數據可直接應用於Goo…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(1008~1022</strong><strong style="color: rgb(0, 0, 255);">)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#第一方數據整合</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Google Ads</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#No code數據整合</span></span><br /> Google Ads將推出No-code第一方數據整合功能，可直接應用於Google數位行銷產品線</strong></p> <p>Google宣布將推出<a href="https://blog.google/products/ads-commerce/simplifying-the-management-of-your-first-party-data/">Google Ads Data Manager，是一個No-code第一方數據整合工具</a>。使用者可以連結企業既有資料庫、CRM、CDP、網站後臺、行銷科技後臺等不同資料源到此工具，結合Google數位行銷產品線來做精準行銷和交叉分析。此工具已開放給部分用戶，預計2024年進入全面開放階段（GA）。</p> <p>企業為了整合不同第一方資料源來行銷，時常需花費大量成本和IT資源。廣告龍頭Google的數位行銷產品線有了原生No-code資料整合工具，不僅有望為企業省下不少成本，還有可能大幅改變業界數位行銷流程，甚至衝擊CDP、CRM等第一方數據相關Martech的市場。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI行銷規畫</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#對話式行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span><br /> Appier生成式AI新功能，可以自動生成跨通路行銷操作，還能快速用企業資料微調Chatbot</strong></p> <p>Appier推出多個生成式AI行銷功能。第一個是AI行銷助手Co-pilot，使用者用自然語言輸入行銷情境或預期結果，便能自動生成一系列行銷歷程規畫及MA系統指令，在自媒體通路推播行銷訊息。支援推播通路包括網站推播、App推播、網站內訊息、App內訊息、Email、簡訊、Line、網站聊天室及Facebook Messenger等。這個規畫不是只給出簡單行銷架構，而是細緻到可以根據消費者不同反應來設計不同劇本，以及如何於不同時間點透過不同行銷通路來傳遞訊息。對於不熟悉數位行銷流程或Martech操作的行銷人員來說，此功能有望降低數位行銷門檻。</p> <p><a href="https://s4.itho.me/sites/default/files/images/apycpl.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/apycpl.png" style="width: 600px;" /></a></p> <p>第二個功能是No-code聊天機器人微調（Fine-tune）功能。使用者只須拖曳上傳產品規格等企業自有資料，即能微調Bot Bonnie聊天機器人模型，使其給出更符合品牌調性及實際資訊的回覆。</p> <p>第三個功能則是CDP內用自然語言提問來生成報表的功能。此功能不僅能根據要求生成報表，還會提示其他相關可分析角度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/messageImage_1697774433031.jpg" style="width: 600px;" /></p> <p>未來，Appier還要更深度整合生成式AI與預測型AI。他們表示，利用預測型AI做出分眾只是第一步，若有適合不同分眾的行銷素材，行銷效果還能進一步提升。過往，高品質行銷素材製作成本相當高，未來他們則計畫利用生成式AI，根據行銷需求和分眾特性來生成相對應圖片和文字素材，再根據用戶偏好及天氣、時段等內外部條件來精準投放。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#第一方資料</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#Cookieless</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#零售數據</span></strong></span><br /> <strong>飛比面對Cookieless衝擊的策略，廣告識別資料轉換和整體流量提升並進</strong></p> <p>面對第三方Cookie退場，大型比價網站飛比母公司第一網站首當其衝。雖然以比價服務聞名，但第一網站主要收入來源是廣告媒體聯播網服務FSA和廣告代理服務Sitemaji。這些廣告服務，背後是比價網每月1,300萬人流量背後的龐大消費偏好數據。他們也會向其他電商販售自家數據分析的洞察結果，近期還正式推出BI電商市場情報服務，向其他電商提供自家網站流量分析。</p> <p>隨著第三方Cookie退場在即，他們需要尋找新方法來做廣告身分識別。第一網站聯播網事業部副總經理林四中說明，常見識別方法主要是Email或手機號碼，手機號碼受到地域限制，因此他們選擇使用Email。不過，第一網站雖有高達800萬不重複使用者，其中只有140萬人是提供了可識別資料的會員。他們目前有2個做法，有望減少Cookie退場衝擊──進軍更多市場來增加數據基數，以及盡可能提升App使用者來增加可識別會員。</p> <p>飛比近期宣布進軍海外市場，他們以電商市場全球第13大的澳洲為首站，目前已和在地多家大型電商合作，掌握了上千萬種商品資訊。若成功打入海外市場，飛比便能進一步增加經手的數據流量基數。</p> <p>另一方面，林四中表示，相較於網站使用者，飛比App使用者註冊比例明顯高出許多，增加App使用者，就能有效增加可追蹤的使用者Email。他們計畫讓使用者來到飛比網站後後，能夠透過會員獎勵方案來刺激用戶註冊會員或是下載App。近期他們也於App中新增了團購相關功能。國外有不少導購網為了獲取更多可追蹤數據，選擇推出電子支付等金流服務。飛比則選擇更深入打進零售服務市場，策略方向在導購網業界中較為少見。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#SEO</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#短影音行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#跨平臺搜尋行銷</span></span><br /> Tiktok正在測試於搜尋結果中整合Google搜尋，可能提升跨平臺SEO重要性</strong></p> <p>有<a href="https://twitter.com/oncescuradu/status/1704060015571611794">國外研究員發現</a>，短影音平臺Tiktok<a href="https://www.businessinsider.com/tiktok-google-test-new-search-partnership-2023-9">正嘗試</a>於自家搜尋結果中呈現Google等第三方網站搜尋結果。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ttggs.jpg" style="height: 500px;" /></p> <p>雖然Google仍是最大搜尋引擎，許多SEO行銷策略也以Google搜尋為主要優化方向，不過國外行銷業界認為，Instagram和Tiktok等社群媒體平臺已經從從傳統搜尋引擎分走不少流量。過往，沒有短影音的品牌可能不會考慮Tiktok行銷策略，若Tiktok會在自家搜尋結果中同步顯示Google搜尋結果，意味著品牌多了一個搜尋引擎導流機會，但SEO策略必須轉而考慮跨平臺搜尋優化。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#短影音行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI行銷素材優化</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#品牌安全</span></span><br /> Meta新增短影音AI品牌安全機制，更新多項短影音行銷功能</strong></p> <p>Meta與品牌安全技術商Zefr合作推出Reels<a href="http://https://zefr.com/press/zefr-and-meta-announce-expanded-ai-powered-brand-suitability-solution-now-available-on-facebook-instagram-reels">品牌安全控管機制</a>。品牌主可以透過一個儀表板，監控自家行銷短影音鄰近內容的風險程度和曝光數據。這些風險等級是利用Zefr內容分析技術，結合機器學習模型和人為審查，來評估鄰近內容是否符合全球負責任媒體聯盟（GARM）品牌安全與合適性標準。</p> <p>此外，Meta新增了<a href="https://www.facebook.com/business/news/reels-ads-updates-performance-features-automated-creative-suitability-solutions">多項短影音行銷功能</a>，包括自動短影音格式修改、畫質強化功能，以及支援更多廣告形式。 </p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#自動化行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#數位素材管理</span></span><br /> Adobe整合創作及行銷解決方案，用生成式AI貫穿設計到行銷數據追蹤環節</strong></p> <p>Adobe把創作類產品線Creative Cloud、工作流程管理工具Workfront、數位資產管理工具AEM Assets、快速行銷素材生成及發布工具Express、生成式AI創作功能Firefly整合為GenStudio，以期加速行銷素材從生成、規畫、發布、版本管理的流程。其中，Express與Adobe行銷科技產品線Experience Cloud有串聯，因此也間接整合了行銷成效數據分析等功能。</p> <p>近期，Adobe發布了次世代Firefly模型，支援向量圖生成、文字轉行銷素材模板、以及更高可控性。未來，他們還要開發讓企業能用自家素材來訓練Firefly的功能。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態：</span></strong></span></p> <p>1. <a href="https://newsroom.tiktok.com/en-us/introducing-out-of-phone-tiktok-beyond-the-mobile-screen">Tiktok推出DOOH廣告選項，支援廣告看板、電影院螢幕、餐飲場所、大眾交通工具及車站、零售店面等，不過沒有具體提到如何利用數據提升投放成效。</a></p> <p>2. <a href="https://iabtechlab.com/press-releases/iab-tech-lab-announces-the-formation-of-two-new-working-groups-the-privacy-sandbox-task-force-and-the-artificial-intelligence-subcommittee/">IAB成立Google Privacy Sandbox及AI行銷的研究團隊，計畫對此2主題提出業界使用建議。</a></p> <p>3. <a href="https://newsroom.tiktok.com/en-us/direct-post">Tiktok開放第三方平臺透過API直接發布短影音內容，讓社群媒體行銷管理更加簡單。</a></p> <p>4. <a href="https://www.ithome.com.tw/news/159042">Google推出網站主限制自家內容被用來訓練AI的控管功能，不會影響搜尋排名機制。</a></p> <p>資料來源：iThome整理，2023年10月</p> <p>圖片來源：Google、Radu Oncescu、Appier</p> <p>責任編輯：郭又華</p> </div></div></div>
2023/10/20 17:31作者郭又華https://www.ithome.com.tw/news/159416
駭客刊登假冒為KeePass的Google搜尋廣告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/10/clever-malvertising-attack-uses-punycode-to-look-like-legitimate-website" target="_blank">資安業者Malwarebytes本周揭露</a>，當使用者利用Google搜尋開源的密碼管理工具時KeePass 時，會跳出一個冒牌的KeePass廣告，它看起來跟合法搜尋結果一模一樣，只是使用者透過該站下載的是惡意程式。</p> <p>目前Google似乎已移除了該廣告，但根據Malwarebytes所展示的畫面，當使用者搜尋KeePass時，首先跳出來的是KeePass惡意廣告，接著才是KeePass的官方網站連結，但兩個連結看起來幾乎是一樣的，網址也相同，但當使用者點選廣告時，它即會被重新定向。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1020-KeePass-malvertinsing-by%20Malwarebytes-01.png" style="width: 600px;" /></p> <p><a href="http://www.malwarebytes.com/blog/threat-intelligence/2023/10/clever-malvertising-attack-uses-punycode-to-look-like-legitimate-website" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Malwarebytes</span></span></a></p> <p>重新定向後的網址乍看之下也與KeePass官網一致，這是因為駭客使用了Punycode。網域名稱系統（DNS）一般是使用ASCII字元集來顯示網域名稱，而對那些包含非ASCII字元集的網域名稱帶來問題，而Punycode即可將這些非ASCII字元轉換成ASCII格式，主要是為了解決國際化網域名稱（IDN）與網域名稱系統（DNS）的互通。</p> <p>而駭客即是利用了Punycode，把一個國際化的網域名稱轉成了ASCII格式，呈現了幾乎與KeePass官網keepass.info一致的網名，該惡意網站的網域名稱為ķeepass[.]info，要非常仔細才看得出k底下多了一點。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1020-KeePass-malvertinsing-by%20Malwarebytes-04.png" style="width: 501px;" /></p> <p><a href="http://www.malwarebytes.com/blog/threat-intelligence/2023/10/clever-malvertising-attack-uses-punycode-to-look-like-legitimate-website" target="_blank"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源_Malwarebytes</span></span></a></p> <p>而使用者自惡意網站所下載的KeePass安裝檔即包含了FakeBat惡意程式家族，該惡意程式可與駭客所設置的C&C伺服器通訊，並下載其它的惡意程式。</p> <p>近來Malwarebytes發現有愈來愈多的惡意廣告透過Google搜尋遞送，這些廣告的手法愈來愈複雜，也讓使用者更難避免，研究人員建議商用環境中的IT管理人員最好提供內部的儲存空間，讓員工直接自內部網路取得軟體以確保安全。</p> </div></div></div>
2023/10/20 15:15作者陳曉莉https://www.ithome.com.tw/news/159403
印度、微軟及Amazon攜手破獲技術支援詐騙活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>印度的中央調查局（<a href="https://twitter.com/CBIHeadquarters/status/1715013792697045503/photo/1" target="_blank">Central Bureau Investigation，CBI</a>）、<a href="https://blogs.microsoft.com/on-the-issues/2023/10/19/microsoft-amazon-tech-support-fraud-india/" target="_blank">微軟</a>與<a href="https://www.aboutamazon.com/news/policy-news-views/amazon-microsoft-protect-against-impersonation-scams" target="_blank">Amazon</a>周四（10/19）宣布，它們已聯手破獲了位於印度的技術支援詐騙活動，此一被CBI命名為Chakra-II的掃盪行動涉及了5個案件，總計搜索了76個地點，扣押了許多的手機、電腦、伺服器、SIM卡、硬碟、電子郵件，也凍結了多個銀行帳戶。</p> <p>根據CBI的說明，這些詐騙份子偽裝成全球IT大廠（微軟）與交易平臺（Amazon），於印度五個州經營多個客服中心，宣稱自己是這兩大品牌的技術支援人員，且時間長達5年。他們可能透過網頁上跳出的訊息來謊稱受害者的系統有問題，並提供免付費電話，在受害者主動聯繫之後，他們就會要求自遠端存取受害者電腦以協助檢查，再宣稱系統的確有問題，進而要求受害者支付高昂的服務費用，或是於系統上真的植入惡意程式、勒索軟體，甚至是竊取受害者的金融資訊。</p> <p>雖然這些詐騙的客服中心設在印度，但受害者卻主要位於美國，另也有加拿大、德國、澳洲、西班牙及英國的微軟及Amazon用戶受害，受害人數超過2,000人。根據美國聯邦調查局（FBI）的統計，2022年因技術支援詐騙而損失的金額超過10億美元。</p> <p>微軟與Amazon針對相關詐騙案件在美國與印度提出了聯合訴訟，而這也是這兩家公司的首度合作。微軟指出，技術支援詐騙是一個代價高昂且橫跨整個產業的問題，這些非法的客服中心每年都會危害數千名無辜的使用者。</p> <p>其實技術支援詐騙存在已久，<a href="https://support.microsoft.com/en-us/windows/protect-yourself-from-tech-support-scams-2ebf91bd-f94c-2a8a-e541-f5c800d18435" target="_blank">微軟也曾公布</a>相關詐騙的手法，並提醒使用者不要輕易上當，強調微軟不會要求使用者提供金融資訊，系統上跳出錯誤訊息時不會含有電話號碼，也不會要求使用者以加密貨幣或禮物卡來支付技術支援費用，以及自第三方網站下載軟體時應特別小心。</p> </div></div></div>
2023/10/20 15:41作者陳曉莉https://www.ithome.com.tw/news/159409
【金融上雲實例：富邦金控】以O365先強化全體員工上雲意識，富邦金要靠多雲加速實踐金融百貨願景
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>富邦金控是第一家導入雲端辦公室的本土金融機構，尤其是在金管會2019年第一次上雲委外鬆綁後，富邦金控是少數率先獲得核准通過上雲應用的金融機構，這次經驗更成了後續其他金融同業上雲的重要參考。</p> <p>早在2018年，富邦金控為了解決多項業務需求，例如員工個人信箱空間、行動裝置管理、企業協同合作及線上會議等，開始考慮行動化辦公的可能性，由富邦金控召開了多場跨各子公司的會議，從技術、成本、風險及效益面來評估，最後決定導入雲端服務方案。</p> <p>當時，金管會也準備要開放金融上雲，將上雲納入委外管理來解禁。富邦金以試辦、正式兩階段辦理的方式，獲得主管機關同意，在2020年先展開了試辦。花了一年多，在試辦期間採用了雲端郵件服務、線上雲端會議、也建立了數位團隊協作平臺，提供單位和員工個人的雲端儲存空間，並搭配採用了行動裝置管理（MDM）安全機制來強化雲端辦公室的安全性，最後在2021年底，正式使用雲端服務。</p> <p>富邦金控副總經理蘇清偉指出：「富邦先導入O365來嘗試上雲，背後有一個重要戰略。」一方面讓IT有機會練習，學習如何將系統上雲，另一方面，選擇一個影響所有人的環境來嘗試上雲，可以讓大家學習上雲。</p> <p>當時遇到全球爆發了COVID-19疫情，提高了導入雲端辦公室的必要性和正當性，富邦金已經做好居家上班的準備，幾乎50%的員工在家裡透過雲端辦公，就像在公司一樣，沒有受到太大的影響。這一場靠IT對抗疫情的經歷，也讓富邦金控更容易說服主管機關同意。</p> <p>為了強化OA上雲的安全性，富邦金當時還訂定了相當清楚的分級管理作法，區分出不同類型雲端資產的安全等級，再依據員工業務所需，給予不同等級的權限。</p> <p>蘇清偉表示，因為資安是上雲的重要基礎，分級管理是上雲的重要一步，才能依據風險採取不同方式的控管。</p> <p>當時，就算員工居家辦公，在家中使用自己的個人電腦來辦公，也要透過遠端虛擬桌面，先登入到富邦金內部的電腦，才能進行各項OA作業，徹底做到「傳輸加密，資料不落地，從端到端都確保在可控的環境下。」</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1152-cover-%E8%98%87%E6%B8%85%E5%81%89_%E6%94%9D%E5%BD%B1_%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 551px;" /></p> <p><strong><span style="color:#3399ff;"><span style="font-size:22px;">富邦金控副總經理蘇清偉指出，上雲對業務最重要的一件事是上市時間，能快速因應市場的變化，不斷推陳出新，才能提供合乎顧客期待的產品和服務。</span></span></strong><span style="color:#696969;"><span style="font-size:22px;"><span style="font-size:14px;">攝影／洪政偉</span></span></span></p> <p><span style="font-size:28px;"><strong>全體員工提升上雲意願，才能大膽往前進</strong></span></p> <p>「OA上雲這一步最重要的任務是，提升全體員工上雲的意識。」蘇清偉表示：「有了經驗，才能大膽進一步往前走。」</p> <p>在富邦金控數位金融創新策略中，上雲是關鍵一環，為了實踐金融百貨的願景，富邦想要有能力滿足顧客對金融服務的各種期待及需求，從銀行、人壽、產險的各項金融服務，到支付、投資理財等。</p> <p>「上雲對業務最重要的一件事是上市時間（Time To Market），能快速因應市場的變化，不斷推陳出新，才能提供合乎顧客期待的產品和服務。」蘇清偉指出。</p> <p>上雲也是富邦數位轉型的一項重要環節，富邦金推動上雲，第一步先了解現況，進行成熟度分析後，再來訂定願景和目標，規畫自己的雲端治理框架和混合雲架構，安排後續的發展策略和轉型藍圖，並且要考慮如何治理、組織調整、資安保護等面向，最後再審慎評估哪一類AP適合上雲。</p> <p>蘇清偉觀察，這次主管機關再次鬆綁上雲規範，最大影響是可以加速上市時間，來提升金融業的競爭力，另一方面，也可以提高金融系統的數位韌性。</p> <p>富邦金控今年盤點了金控和銀行所有系統，目前已經完成雲端的策略和規畫，將進行相關的建置，明年富邦將展開為期3年的雲端轉型計畫，金控也會分享這些雲端策略和規畫，協助子公司可以以最快的速度開始雲端轉型。富邦金控也會設立專責單位來訂定策略和管理方式，各子公司按照自己的需求和計畫來發展上雲。</p> <p><span style="font-size:28px;"><strong>雲端供應商的資訊透明度不夠高是一大挑戰</strong></span></p> <p>身為資安長，蘇清偉更特別從資安角度來思考上雲的挑戰，他認為，目前雲端業者的透明度還是不夠高。他進一步解釋，金融業者希望能徹底掌握到每一種環境組態的設定和變化，可是，雲端業者提供了多種形式的服務，各自的組態繁多也非常複雜，又可以透過程式化控制，「不只是技術問題，更涉及許多邏輯問題。」</p> <p>一旦上雲的服務發生了任何狀況，金融業者會想要掌握到更多事故或系統運作的細節資訊。</p> <p>可是，目前這些系統運作數據的提供，還是會受制於雲端業者釋出資訊的程度，尤其雲端業者的維運數據還沒有透過第三方來保全紀錄，一但發生問題，只能片面接受雲端業者的說法，而沒有其他可信來源的維運紀錄可參考。這是蘇清偉認為，目前金融上雲有待克服的一大挑戰。</p> <p>對富邦金控來說，未來3到5年的雲端發展將聚焦多項課題，人才的培養是首要，找到具有相關技術的人才，也讓既有員工擴展技能到雲端，甚至能夠跟上雲端技術的最新發展。其次還要考慮資安如何到位，展開平穩及必要的上雲搬遷工程。</p> <p>富邦金控將聚焦多雲策略，會選擇先從一朵雲開始，再快速擴展到第二朵，甚至第三朵雲。還要同時兼顧雲地之間的平衡，最後一項課題則是雲端供應商的管理。</p> <p><a href="https://www.ithome.com.tw/article/159394" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1152-feng_mian_p1-open-960x420_gong_zuo_qu_yu_1_0.jpg?itok=D1ZMpp-U" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2023/10/20 12:34作者王宏仁https://www.ithome.com.tw/news/159389
【金融上雲實例：國泰金控】以雲原生發展多雲混合雲，國泰金自建轉型平臺加速大規模上雲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「3年預算，沒想到2年就用完了！」國泰金控資訊長吳建興指出。他回顧過去3年多的上雲旅程，關鍵轉折點是走出練兵階段，轉為開始擴大規模正式上雲的轉換過程。</p> <p>金管會在2019年第一次放寬金融上公雲的規範之後，許多金融業者躍躍欲試，國泰金控也是其中之一，先從銀行開始發展上公有雲。國泰當時就開始思考未來的上雲策略，找來外部顧問學習，評估哪些前導系統適合優先上雲，同時發展雲端架構。</p> <p><span style="font-size:28px;"><strong>四階段上雲規畫，先站穩單一公雲，再發展多雲</strong></span></p> <p>國泰世華銀行將上雲旅程分為4個階段，2020年啟動第一階段公有雲旅程，展開規畫和評估。2022年則進入公雲採用階段，先站穩單一公有雲，來同步發展多雲策略，選定少數前導性資訊系統搬上公雲。從2023年起開始進入第3階段，持續優化並確保雲端服務安全及提升效率與效力。最後一個階段，未來更要朝向多公雲策略發展，打造現代化雲原生應用，來完成轉型。</p> <p>在2022年時，經過2年練兵的國泰金控，訂出了以3～5年全集團100套系統上雲的願景，要從一家子公司轉而協助集團各子公司上雲，也要從一套系統發展到上百套系統上雲的規模。</p> <p>為了開始準備進入大量雲端使用階段，國泰不只訂定了大規模上雲策略，還發展出了一套上雲的方法論，一方面透過外部顧問團隊的協助，參考Gartner 5R和AWS 7 Rs雲端遷移模型的定義，進一步依據自己的發展需求，訂出了Cathay 6R雲端遷移方法論。</p> <p>在這套方法論中，國泰將系統遷移方式，依據上雲模式和開發成本，分為Rehost、Re-platform、Refactor、Rewrite、Replace和Retain共6種遷移架構，並對應到IaaS、PaaS、SaaS三種不同上雲模式。</p> <p>國泰金控數數發中心副總經理陳維銘指出，國泰雲端發展過程，以雲原生技術架構，來推動多公雲混合雲架構的發展，搭配這套6R方法論協助評估。尤其在資安控管上，引進了新一代的零信任資安觀念，取代過去防護型資安概念。現今已經將這套導入方法論運用到銀行、產險子公司，目前正要導入到證券子公司。</p> <p><span style="font-size:28px;"><strong>以自家上雲方法論，打造出雲端轉型平臺</strong></span></p> <p>不只是參考作法，國泰甚至將這套方法論打造成了一個「雲端轉型平臺」的系統。想要上雲的子公司，自己填妥平臺上的上雲評估問題，就會自動產生出一份針對該子公司上雲專案而客製的上雲劇本（Playbook），作為子公司上雲的參考引導。陳維銘表示，透過雲端轉型平臺的輔助，大約半年就可以完成一件上雲專案。</p> <p>3年來，國泰世華銀行迄今完成了約10多個系統上雲，包含關鍵或非關鍵系統。不過，「做了才發現，要全部上雲，實在還有很長一段距離跟難度。」吳建興坦言，這十幾個系統上雲是練功，培養技術能力，現在更會思考為何上雲，衡量成本和效益。</p> <p>在前期練兵階段，國泰按照人員來分配和控管上雲的額度，等到AP真正搬上雲後，才觀察到在雲端執行真正的成本結構。不像傳統伺服器就算24小時運作，也是固定成本，系統一但上了公雲就像按下碼錶開始計算費用，使用越多種雲端服務，使用越久，費用就越多。</p> <p>國泰原本與雲端業者簽約3年，沒想到到了去年，才推動上雲計畫2年就用完了3年的預算。有些系統上雲之後，才發現維運的費用比預期更高，甚至有系統一度先下雲，重新調整架構後再上雲。</p> <p>國泰世華銀行資深副總經理王志峰表示，回顧銀行3年上雲經驗來看，一方面建立了完整的雲端治理制度，也將資安納入了上雲架構首要考量，還統一了雲端和地端的平臺建置和管理工具，將高度自動化的雲端環境建置工具，導入到地端環境。過程中更累積了不少系統遷移、不同架構的上雲下雲操作經驗，像是如何運用系統重構或重寫，大幅降低後續上雲維運的成本，或是將雲原生系統下雲改為地端架構的轉換經驗。</p> <p>國泰也以資安需求作為整體考量，來打造金融雲端應用環境，在雲端基礎架構設施上，先以單一公有雲為發展主軸打基礎，另一方面持續強化維運，包括建立了集中式監控平臺，發展雲地監控告警機制，以及多雲平臺管理模式。相關雲端的資安數據也都整合到資安監控中心。今年初，國泰也開始陸續布建SRE相關機制和團隊，也積極發展QA測試機制，來因應日後更複雜架構下的服務品質。</p> <p><span style="font-size:28px;"><strong>雲端維運開始注重FinOps成本控管與優化</strong></span></p> <p>尤其在雲端維運成本的控管上，3年經驗讓國泰更加重視FinOps（雲端維運成本控管），逐步強化自家管理平臺的資源管控和節費機制，不只整合維運監控資訊，也整合了雲端業者提供的帳務資料，明年計畫推出跨雲監控整合平臺，將監控和成本管理整合到單一平臺。</p> <p>這些資源管控和節費機制例如，視覺化儀表板不只提供維運監控數據，還能同時提供帳務儀表板。國泰還從十多套已經上雲系統的維運過程中，蒐集了不同類型應用的日常運作費用數據，進行成本合理性分析，來建立正常營運成本的參考標準，一但超過標準值，就會觸發告警機制，通知相關技術或業務人員，來了解是異常或是合理的業務爆量所致。另外，也會在長假或過年期間，關閉不需要的公雲測試環境來節費。</p> <p>在新版上雲規範公布後，國泰金仍舊繼續維持原有的上雲策略，但會開始展開多雲應用的布局，善用不同公雲優勢，計畫分別用來部署AP、數據分析和辦公室OA應用，再加上地端環境，逐漸邁向多雲混合雲架構。</p> <p><span style="font-size:28px;"><strong>計畫設立委外委員會，負責上雲委外審查</strong></span></p> <p>國泰過去以瘦核心、強中臺的發展策略，也會持續採取雲地互為備援的策略。尤其與交易相關的應用，都會採取雲地互為備援，不會單靠雲來服務。</p> <p>另外，在這次新版委外辦法中，特別要求要有權責單位負責，國泰金控計畫以管理委員會的形式來擔任權責單位，不只上雲，還要負責相關委外作業的審查。這是國泰金控獨到的治理作法。</p> <p>原本國泰IT的委外作業，每一個案件都會送到董事會，但是，不少IT專案涉及太多技術性細節，尤其是資安機制。所以，國泰決定成立委外委員會的形式，來多一道把關機制。</p> <p>在授權範圍中的專案項目，可以在這個委外委員會完成核准，不用再送到董事會。若遇到重要專案委外，例如重大性消費金融業務系統要使用到境外公雲，就會先送到委外委員會初審，再送到董事會核准。國泰初步構想是在金控端設立一個雲端治理暨委外管理委員會，另外也在每一家子公司，在總經理下設立各子公司的委外委員會。目前正在研擬這個委外委員會的設置辦法。</p> <p>未來，因應多雲管理，國泰金特別重視四大類型的挑戰，包括了新版規範的法令合規、資訊安全、上雲效益和跨界人才。這些挑戰會互相影響，必須同時多方考量。像是國泰在一朵公雲已發展出了一些監控工具，開始採用另一朵公雲時，因為兩朵公雲的環境和功能差異不小，又得重新開發出符合另一朵雲的監控工具。在管理人才上，也需要培養出足夠的人力來進行多雲的管理。</p> <p>尤其，每一朵雲的資安框架雖然概念相近，但實際運作機制的差異很大，計價標準也不同，甚至不同雲所用到的技術特性也很不一樣，FinOps發展也必須持續再深化。「必須更了解子公司對雲端的需求和使用情形，上雲才能真正有效益。」吳建興強調。</p> <p><a href="https://www.ithome.com.tw/article/159394" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1152-feng_mian_p1-open-960x420_gong_zuo_qu_yu_1_0.jpg?itok=D1ZMpp-U" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2023/10/20 13:12作者王宏仁https://www.ithome.com.tw/news/159391
新光醫院HIS一次全面大換新，大力發展對外應用瞄準微服務
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI掀起診間變革，不少醫院大力擁抱，新光醫院就是其一。今年8月，他們展開一項專案，要用ChatGPT檢核手術安全，先分析大量病人術前檢查資料、再揪出潛在風險資訊，作為醫護人員手術前參考，多一道確認程序。</p> <p>這是新光醫院擁抱的眾多新應用之一，還有更多醫療AI專案在進行，像是氣胸、乳癌、高危病例偵測等。新光醫院資訊部主任林璟淑直言，他們之所以能快速發展各種新技術、新應用，還因為2年多前上線的新一代醫療資訊系統。</p> <p><span style="font-size:28px;"><strong>大型主機老舊難創新，找幫手組隊來汰換</strong></span></p> <p>自1992年開業以來，新光醫院就採用IBM大型主機來執行醫院系統，即便到了20多年後的2016年，依然如此。這種封閉式架構雖然安全，卻有不少缺點，比如難以介接新一代主流工具，就連醫院日常的健保雲端上傳介接作業，也要用其他替代方法處理。再來，大型主機系統頁面陽春、以文字為主，醫護使用者體驗不佳，再加上大型主機採老舊的程式語言COBOL，與時下學校培養的程式開發技能脫鉤，醫院難以招募IT人才，是發展智慧醫療的一大絆腳石。</p> <p>於是，2016年底，新光醫院決定轉換系統，要將大型主機封閉式架構「全面」轉為開放式架構。這意味著，不只有醫療資訊系統、護理資訊系統、實驗室資訊系統等核心系統要轉換，就連行政管理、財會、人資、教研等周邊系統，甚至是印表機等硬體設備也要一併換新。</p> <p>這將近100套大小系統要一口氣換新，新光醫院不可能單打獨鬥，需要一大批IT好手協助才行。林璟淑回憶，當時，許多廠商都對新光醫院系統轉置標案有興趣，但考量轉換時間和規模，他們最後選擇遠傳電信和臺灣微軟，由前者扮演協調角色、後者聯合開發，並找來勤業眾信擔任品管監控，共同協作這項大工程。</p> <p>有了這些角色加入，他們進一步分工，成立2大關鍵團隊，一是資訊轉置督導委員會，成員來自各方高階主管，如新光醫院正副院長、新光金控資訊長，以及廠商端總經理與負責品管的會計師等人。林璟淑也是督導會一員，擔任執行秘書，她指出，這個督導會不只追蹤每月進度，也扮演仲裁角色，每當開發過程發生歧義時，就交由督導會討論、仲裁。</p> <p>另一個關鍵團隊是PMO專案辦公室，負責新系統開發。管理這個團隊的核心人物，是當時從市聯醫加入新光醫院、兼具醫師和資訊背景的謝忠和醫療資訊長，由他來帶領來自兩家業者的工程師，以及新光醫院IT和各臨床單位人員，來根據系統分組開發。他們分組細緻，大至門診、住院系統，小至資料串接等都有各自的開發小組。</p> <p><span style="font-size:28px;"><strong>人力、品質和流程整合3大挑戰接踵而至</strong></span></p> <p>2017年1月，這項工程正式展開，挑戰也隨之而來。首先是人力問題，林璟淑指出，系統轉置就像「穿衣改衣，」新光醫院IT不只要維持舊系統運作，還要撥出人力和時間學習新技能、開發新系統，相當吃力。</p> <p>特別是，他們起初採One Team模式，由開發廠商和新光醫院各出同等人數、組成開發小組，廠商引導用新技術開發系統，醫院IT則邊做邊學習。但即便是能力不錯的IT同仁，「在學習新技術時仍感挫折，是當時面臨的一大人力挑戰，」她說。再加上，新系統牽動近百家廠商，比如排班系統採用IBM、教研系統採用關貿等業者開發，光是對接系統，就涉及93家廠商，工程浩大。</p> <p>再來，品質控管也是一道難題。例如在開發階段，臨床各科派出醫師代表參與開發，最後完成的系統，並非所有醫師都滿意。面對系統品質爭議，新光醫院借助勤業眾信，從財會角度出發，以新系統產出的最終報表來衡量，新舊系統帳務一致性。若帳務無誤，就代表新系統的做法可行。同時，新光醫院也以病人安全、醫務收入、健保申報金額等指標，來衡量新系統品質，若後者數字與舊系統對比出現誤差，再從中找出問題來修改。</p> <p>不只如此，他們也面臨流程整合難題。由於舊有醫療流程未完全數位化，仍採用紙本，許多工作習慣由醫師口頭交代護理人員順手處理，反之亦然。但，系統轉置的目標是數位化，團隊得將所有工作流程寫進系統中，也就是把過往的口頭通知，改為系統通知。</p> <p>要做到這一點並不容易。開發團隊與醫護使用者溝通時，得耗費大量心力和時間來釐清工作責任歸屬，才能設計新系統。單一個系統是如此，數十個系統的溝通工作量疊加起來，更是一大負荷。「若能重來，我們會先整合各職類的流程，再來開發系統，才是最理想的作法，」林璟淑說。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1152-CIO-%E6%9E%97%E7%92%9F%E6%B7%91-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 22px;"><strong>新光醫院資訊部主任林璟淑表示，醫院進行醫療系統轉置時，應先完成各職類的流程整合、再開發新系統，才是最理想的開發方式。</strong></span></span><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>面對緊迫時程，系統得要先上線</strong></span></p> <p>這句話，點出了新光醫院面臨的最大考驗：時程緊迫。因為，這場系統轉置工程不只要擁抱開放式架構，還要在醫院評鑑中拿下好成績。因此，他們預計2年內要建好新系統，且要趕在該年評鑑前先上線。</p> <p>但動工後才發現，2年時間不算充裕，許多工作必須且戰且走，流程整合就是一例。再加上COVID-19疫情來襲，重心轉向防疫，原定的上線時間只能延後至2020年上半年。</p> <p>那段期間，新光醫院面臨各方越來越大的壓力，特別是延期，協作廠商開發2年多、最多動員上百人仍未有任何收入，因此要求新光醫院盡快驗收和上線。同時，團隊自2019年中展開使用者測試，途中為滿足使用者建議、數次調整系統，不得不將上線時間再次延後，最終選在2020年11月1日上線。</p> <p>「我們該試行的、該模擬的都做了，也利用假日，在半夜切換系統、早上上線來測試。」林璟淑指出，即便如此，11月1日正式上線當天，門診還是發生大問題。「系統點開速度很慢、無法應付臨床需求！」她描述，批價櫃檯因此大排長龍，許多病人等待不奈，新光醫院同仁也十分緊繃。</p> <p>當天，督導會高階主管立即討論決定，下線新系統、恢復舊系統，並找出原因來修正。</p> <p><span style="font-size:28px;"><strong>以系統優化、調頻寬、門診減量3管齊下再出發</strong></span></p> <p>他們事後分析，儘管在平行測試時做了許多模擬，但93個對接系統的測試，仍有個小疏漏。</p> <p>於是，新光醫院花2個月重新檢視，一方面將外接系統重新驗證再測試，一方面制定下次上線的配套措施。這次，他們不只請遠傳電信加大網路頻寬，新光醫院院長侯勝茂更提出門診減量方法，要求周一系統上線時，各科別門診看診人數先減量五分之一，周二再加回10%，以此類推，直到周五恢復原門診量。如此一來，團隊就有緩衝時間來監測系統，系統也能循序漸進適應處理量。</p> <p>不只如此，新光醫院也在這2個月間，加強使用者熟悉度。「醫師結束當天門診後，就拿著當天病歷，在新系統輸入一次，就連院長也這麼做。」林璟淑點出，這不僅加深使用者熟悉度，還能找出系統問題、即時修正。</p> <p>有了這些準備，2021年1月，他們順利上線新系統。</p> <p><span style="font-size:28px;"><strong>1個月修復數百個錯誤，開始大力發展對外應用</strong></span></p> <p>「上線後，我們不會說沒有問題。」她解釋，在系統上線的第一個月，新光醫院每周二中午開會，讓所有醫護人員提出系統問題，醫院IT和微軟工程師一起修改，特別是影響關鍵作業的程式，當場就處理。</p> <p>透過這個方式，他們在上線後第一個月就抓出數百個程式錯誤。不只是討論、修改，他們也在每周五的全院晨會，說明系統最新狀況、宣導使用方法，讓使用者更容易操作。</p> <p>這模式執行1個月後，一切漸入佳境，新系統也開始發揮效益。不只操作介面友善、新進人員容易上手，對於今年上路的健保部分負擔新制，也只需簡單設定就能套用。這套新系統，也如願在今年評鑑獲得好評。</p> <p>甚至，「我們也開始做很多對外介接的應用，」林璟淑說明，新系統對接API，能快速回應需求，比舊系統方便許多。他們外接的平臺之一，就是內政部消防署的救急救難一站通平臺，能在救護車到達前，快速彙整醫療和緊急救護資訊，先做準備。</p> <p>此外，他們也與陽明醫院系統介接，來進行急性後期整合照護計畫（PAC）。也就是說，當病人從新光醫院轉至陽明醫院復健時，新光醫院系統能將病人的病摘資料，以FHIR格式傳送給陽明醫院。同時，新光醫院也配合政策方向，開始介接虛擬健保卡，以便未來看診所需，不論是在醫院門診、檢查室還是居家，都要能支援。</p> <p>不只大量發展對外應用，新系統還帶來行動化的好處。因為系統採網頁式，就算醫師不在院內，只要透過VPN連網，就能登入系統、查看病人資料，即時與病人說明狀況或制定治療計畫，打破地理位置限制。</p> <p>「這是很大的突破！」林璟淑點出，甚至在院內開會時，也能看到醫師拿著平板、查看病人資訊。新系統帶來許多便利，但資安防護也不馬虎，醫院系統不僅符合ISO 27001認證，IT也多做許多防護措施，來阻擋可能的威脅。</p> <p><span style="font-size:28px;"><strong>AI開發更自主，下一步瞄準微服務</strong></span></p> <p>新系統還帶給新光醫院另一個好處：AI開發自主權。「以前，我們做AI不容易，幾乎都要靠廠商，」林璟淑說明，現在雖也借助現成工具，但自主性更高。比如，他們能快速導入氣胸X光片偵測AI，來揪出氣胸高風險個案，並發送簡訊或Line訊息，通知放射科醫師。</p> <p>另一項正在進行的AI專案，則是要導入微軟Azure OpenAI服務的大型語言模型，來分析病人術前資料、找出潛在風險並摘要出來，供醫護人員參考。</p> <p>這項應用很重要，因為接下來，新光醫院要發展微服務架構，而這項應用就是第一個練兵對象，團隊要用資料網格（Data mesh）來實作。他們計畫以此為基礎，成功後再擴大到更多系統，進行另一波IT革新。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>新光醫院資訊部主任　林璟淑</strong></p> <p>學歷：臺北護理健康大學護研所畢業</p> <p>經歷：早年在臺大醫院擔任護理師，1992年進入新光醫院，先後擔任護理部護理長與督導。2007年轉為人事室主任，2012年開始擔任企劃室主任，5年後新光醫院展開系統轉置專案，便擔任資訊轉置督導委員會執行秘書至2021年6月，而後任職資訊部主任至今</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫院檔案 </span></strong></span></p> <p><strong>新光醫院</strong></p> <p>成立時間：1992年</p> <p>業務介紹: 提供急重症醫療服務與社區照護</p> <p>網址：<a href="http://www.skh.org.tw">www.skh.org.tw</a></p> <p>地址：臺北市士林區文昌路95號</p> <p>員工人數：2,518人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門名稱：資訊部</p> <p>資訊部門主管職稱：資訊部主任</p> <p>直屬主管：行政副院長</p> <p>資訊部門人數：70人</p> <p>資訊部門分工：商業分析課、軟體架構課、硬體架構課、應用系統維運一課及應用系統維運二課</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>1992年：資訊室成立</p> <p>2017年：展開資訊系統轉置專案</p> <p>2021年：資訊轉置成功，IBM大型主機下架，由封閉式架構轉為開放式平臺；7月資訊部組織再造，由3個單位調整為5個單位；開始導入AI及大數據平臺</p> <p>2022年：獲2022第十五屆台灣企業永續獎單項績效-創新成長領袖獎</p> <p>2023年：資訊機房外遷至遠傳IDC標準機房，機房委外管理</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1152-cio-960.jpg" width="960" height="420" alt="" title="新光醫院資訊部主任林璟淑　（攝影／洪政偉）" /></div></div></div>
2023/10/20 13:34作者王若樸https://www.ithome.com.tw/people/159392
新金融上雲潮
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每一年CIO大調查中，我們照例都會詢問這個問題，詢問填答的CIO，有多少企業內部應用已經上雲，可以是搬到公有雲或是私有雲，試圖來了解不同產業的雲端發展成熟度。</p> <p>這個問題的答案，可以得到兩種分析，一是了解多少比例的企業開始上雲（有上雲或是沒有上雲），其次則是從上雲應用的比例，來了解上雲發展的程度。</p> <p>累積多年數據以後，今年調查結果最令我訝異的一項結果是，金融業上雲的腳步，遠低於我的預期。若比較2018年和2022年的金融業上雲情況，在2018年時，已經有3成金融業者開始上雲，也將23%的內部應用上雲，可是，到了2022年，金融業者上雲的比例只提高了一些，增加到33.3％，而金融內部應用上雲的比例，更是不升反降，下滑到只剩下12.3％。</p> <p>為何選擇2018年和2022年的數據相比，因為金管會在2019年時，首度公布了金融委外上雲的相關規定，讓金融業者有一套可以上雲的規範。這兩年的數據，正好可以用來檢驗，金管會上雲政策解禁後的影響，有沒有真的帶動金融業上雲的發展。答案非常明顯，效果很有限！</p> <p>為何當年大受各界讚揚、立意良好的鬆綁政策，卻沒有達到預期的效果？問題就出在執行面。</p> <p>雖然，金管會早在2019年就開放上雲，但是金融業者要上雲時，都得依照每一個系統申請，大多數應用都得逐一核准。核准時間可能長達半年，甚至一年多，不可預期。就算是性質相近，資安考量和風險相似的應用，也得每一案分別申請核准，非常麻煩。</p> <p>尤其，金融業者大多用新專案或新系統當成初步上雲的練手，可是，遲遲沒有得到核准，反而拖慢了既定的新系統上線時程。第一版上雲規範反而成了金融業者想要快速上雲、擴大上雲的絆腳石。</p> <p>當年許多金融業者想要上雲，尤其是上公雲，主要看上了雲端服務的資源調度彈性和擴充性，尤其金融有不少需求屬於不確定或不可預期，但又非常重要的應用需求，例如配合電商年度促銷的爆量交易需求，或是平時用不到的備援、備載容量需求，或是突然新增的開發與測試需求，都可以善用公有雲來應急，而不用事前備滿大量軟硬體資源。</p> <p>甚至，生成式AI爆紅之後，這類大型語言模型的訓練或優化調校，需要一次性調度大量運算資源，或是越來越多科技業者的創新技術，只會透過SaaS服務提供，而無法落地部署。只能上雲使用的ChatGPT，就是最典型的例子，企業想要使用最新、能力最強的GPT模型，也只能上公雲租用。金融若要擁抱最新技術，上公雲成了唯一管道，也是非用不可的關鍵理由。</p> <p>所幸，金管會在今年8月，宣布了新版委外辦法，再次大鬆綁金融上雲的規範。這一次就直接瞄準了前一版規範最大的瓶頸，申請核准的問題，大大簡化流程，甚至免除了申請。但同時，也將金融上雲的責任，完全歸屬到金融業者，金融業者可以擁有更大彈性和選擇，但是也得負更大的責任。</p> <p>許多金融業者看好這次金融上雲再次鬆綁，紛紛展開加速上雲或擴大上雲的布局，也有不少金控因為過去幾年穩健上雲步調同時，反而累積了一番雲原生技術能力或雲端維運能力，可以在接下來的上雲發展中大展身手。值得期待，臺灣明年將會掀起新一波的金融上雲浪潮。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%87%91%E8%9E%8D%E4%B8%8A%E9%9B%B2">金融上雲</a></div><div class="field-item odd"><a href="/tags/%E9%87%91%E7%AE%A1%E6%9C%83">金管會</a></div><div class="field-item even"><a href="/tags/%E9%87%91%E8%9E%8D%E6%A5%AD">金融業</a></div><div class="field-item odd"><a href="/tags/%E6%95%B8%E4%BD%8D%E8%BD%89%E5%9E%8B">數位轉型</a></div><div class="field-item even"><a href="/tags/%E9%87%91%E8%9E%8D%E4%B8%8A%E9%9B%B2%E9%AC%86%E7%B6%81%E5%A7%94%E5%A4%96%E4%BF%AE%E6%AD%A3%E8%BE%A6%E6%B3%95">金融上雲鬆綁委外修正辦法</a></div></div></div>
2023/10/20 13:42作者王宏仁https://www.ithome.com.tw/voice/159393
金融上雲大鬆綁
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1152-feng_mian_p1-open-960x420_gong_zuo_qu_yu_1_0.jpg?itok=D1ZMpp-U" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了加速金融創新、提高金融業數位韌性，金管會再次大幅鬆綁金融上雲委外規範，不只銀行、保險和證券鬆綁步調一致，更大幅簡化了上雲申請流程，不再像過去每一套系統都要送審，但也要求金融機構負起最終委外責任，更強化了多項雲端治理要求。</p> </div></div></div>
2023/10/20 13:47未署名https://www.ithome.com.tw/article/159394
Anthropic AI助理擷取網路歌詞，遭環球音樂等唱片業者控告侵權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.musicbusinessworldwide.com/files/2023/10/UMG-lawsuit.pdf" target="_blank">環球音樂（Universal Music）等唱片出版業者本周控告</a>OpenAI競爭者Anthropic開發其AI聊天機器人非法使用旗下歌曲的歌詞訓練模型，已侵害其版權，求償近8000萬美元。</p> <p>環球音樂及獨立唱片公司Concord、ABKCO向納許維爾州地方法院提告Anthropic時，為了打造其AI聊天機器人Claude，從網路或其他來源擷取和消化大量版權文字，包括這些唱片公司持有的歌曲作品的歌詞來訓練其AI模型，並依據其複製的文字生成輸出結果，已「系統性與廣泛侵害其版權」。</p> <p>這些公司指出，版權文字可在網路上取得並不意謂可以免費提供，而且Anthropic從未尋求、也未曾獲得唱片出版商的同意而使用這些版權作品。</p> <p>業者並指出，Claude提供的查詢回應，也侵害了版權，因為當用戶要求Claude提供環球或獨立唱片公司出版的歌曲，例如《Wonderful World》、《American Pie》、《Sweet Home Alabama》等的歌詞時，這個聊天機器人的回應會包含完整和大部分歌詞。業者表示，網路上已經有大量歌詞集結業者及網站提供相同功能，但這些業者都有取得出版商的適當授權，確保創作者因使用獲得補償或應用的引述，但Anthropic卻拒絕付費取得授權，對取得授權的網站開發商形成不公平競爭。</p> <p>此外，當使用者要求Claude撰寫和歌曲類似主題的歌曲、為樂曲提供和聲、或以特定作家或作曲者風格撰寫詩或短篇故事時，這AI聊天機器人生成內容也複製了歌詞。</p> <p>唱片業者並聲稱，Anthropic不但直接侵害唱片出版商的專屬權利，包括複製權、衍生作品權、散布與公播權，也導致使用者因使用了這些內容而侵權。另外，Anthropic的AI輸出也經常沒有適當註明樂曲創作者，也侵害唱片公司的權利。</p> <p>由OpenAI前技術主管創辦的Anthropic自許是「安全及研究型」的AI公司，以AI憲法訓練其AI模型，並且要打造更有用、誠實而無害的AI技術。該公司已相繼獲得知名金主投資，包括Zoom數千萬、Google 3億、Amazon 40億、以及倒閉的加密貨幣交易平臺FTX及Salesforce等，目前公司市值約50億美元。</p> <p>唱片出版業者認為，Anthropic的侵權行為無視法律，也對其服務所仰賴的創意社群欠缺尊重。他們要求每首歌曲15萬美元的損害賠償。根據法院文件，業者宣稱Anthropic侵權歌曲達500首，意謂求償金額為7,500萬美元。還不包含出版商針對Anthropic刻意移除或變更唱片版權資訊，另外要求的賠償。</p> <p>新創AI公司相繼被告上法院。例如OpenAI分別遭<a href="https://www.theguardian.com/books/2023/jul/05/authors-file-a-lawsuit-against-openai-for-unlawfully-ingesting-their-books" target="_blank">個別</a>及<a href="https://www.nytimes.com/2023/09/20/books/authors-openai-lawsuit-chatgpt-copyright.html" target="_blank">作者公會</a>控告侵權。<a href="https://www.ithome.com.tw/news/155229" target="_blank">Stability AI年初被知名圖庫業者Getty Images控告</a>以其網站圖片訓練AI模型以用於營利。　</p> <p>隨著生成式AI服務引發的版權糾紛愈來愈多，<a href="https://www.ithome.com.tw/news/159289" target="_blank">Google上個月宣布</a>新的免責保護，可讓使用其Vertex AI或Duet AI服務的客戶免於官司。而OpenAI也提供方法，允許新聞或圖片出版商網站拒絕OpenAI爬蟲機器人擷取其內容。</p> </div></div></div>
2023/10/20 12:19作者林妍溱https://www.ithome.com.tw/news/159388
採用232層NAND快閃記憶體，美光推出新一代主流NVMe固態硬碟
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/micron_7500_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年美光陸續發表多款資料中心NVMe固態硬碟產品，對應不同市場需求，例如，提供頂級存取效能的9000系列，他們在1月推出<a href="https://www.ithome.com.tw/review/157964">9400</a>；主打大儲存容量的6000系列，他們在5月推出<a href="https://www.ithome.com.tw/review/157282">6500 ION</a>；針對高耐寫需求，他們同樣在5月新增<a href="https://www.ithome.com.tw/review/157275">XTR系列</a>；至於主流等級的7000系列，他們在10月推出7500，<a href="https://www.ithome.com.tw/review/150002">上一代產品是7450</a>，於去年3月發表。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%20Data%20Center%20NVMe%20SSD%20Portfolio-7000.jpg" style="width: 600px;" /></p> <p>相較於市面上其他資料中心固態硬碟，美光號稱7500是目前唯一採用232層NAND快閃記憶體的「主流產品」，今年稍早推出的6500 ION，以及去年底發表的個人端固態硬碟產品2550，都採用這樣的技術。他們表示，透過低電壓NAND介面，以及6層式（6-Plane）製程架構（市面上的NAND裝置大多使用2層），搭配獨立字元線讀取技術（iWL），促使7500的工作負載效能與能源使用效率得以提升。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/gcm-1019003-infographic-232l-nand-web.jpg" style="width: 600px;" /></p> <p>以隨機寫入效能來看，美光7500最高為41萬IOPS，可達到競爭產品的2.42倍，循序寫入效能最高為5,900 MB/s，領先競爭產品的幅度為97％；而在隨機讀取方面，效能最高為110萬IOPS，比起競爭產品提升了13％，存取延遲減少83％，循序讀取效能為7,000 MB/s；若是隨機混合存取（7成讀取、3成寫入），效能最高為70萬IOPS，存取延遲也能減少82％。</p> <p>在此同時，7500的存取延遲是低於1毫秒的規格，服務品質（QoS）達到99.9999%（6個9）的水準，企業能藉此改善多租戶雲端服務工作負載的效能，以及對存取延遲敏感的資料庫類型工作負載，例如，OLTP、推薦處理引擎、即時分析、內容發布，以及財務交易，都很適合。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Micron 7500 Random read while writing.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%207500%20Random%20read%20while%20writing.jpg" style="width: 600px;" /></a></p> <p>關於業界標準方面，美光7500支援開放運算計畫（OCP）推動的Datacenter NVMe SSD 2.0規格，能夠針對現行與未來的資料中心環境，提供智慧型管理、效能調校、徹底整合，以及錯誤處理等特色。</p> <p>以管理層面而言，企業可以使用系統管理指令，針對命名空間與安全性功能的控制方式，進行標準化、統一規範，之後就能輕鬆整合到遵循OCP標準的管理系統當中；運用存取延遲監控來改善效能，當中可以透過儲存層回報存取延遲的問題，以便進行追蹤與診斷；對於儲存裝置的故障排除與應變演練，可分別使用快速復原，以及模擬伺服器環境常面臨的問題（error injection）的機制。</p> <p>而在安全性方面，美光7500支援可信任運算組織（TCG）儲存工作小組訂定的Opal安全子系統類別標準，企業在自我加密硬碟（SED）的產品選用上，能得到硬體層級資料加密，使用AES-XTS-256演算法保護固態硬碟的靜態儲存資料，而且，可以在固態硬碟上，部署AES-256、RSA-4048、 RSA-4096、SHA-512等加密演算法引擎，符合國家商用安全演算法（CNSA）文件的要求。</p> <p>美光這款固態硬碟也可以使用安全加密環境（SEE），透過實體隔離的專屬安全處理硬體設備，提供保護。基本上，他們是在固態硬碟控制器內部設置專屬安全處理器，而且，在電子電路配置上，與其他處理器彼此區隔，因此，SSE運作時，不安全的程式碼無法先行佔據此處，可預防儲存裝置本身的安全功能被意外或惡意繞過的問題。</p> <p>同時，企業能運用SPDM 1.2的見證（attestation）規格，搭配美光7500的系統，可以透過密碼學的方式，檢驗固態硬碟的身分與韌體完整性，而且，從固態硬碟生產至部署的過程當中，均能查核裝置身分與韌體完整性，驗證可信度；若需要符合美國聯邦政府採購需求，OCP此項標準也能遵循聯邦資訊處理標準FIPS 140-3 Level 2，以及貿易協定法案（TAA）等法規。</p> <p> <span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Micron 7500</strong><br /> ●原廠：Micron<br /> ●建議售價：廠商未提供<br /> ●儲存容量：<br /> 7500 Pro提供960 GB、1.92 TB、3.84 TB、7.68 TB、15.36 TB<br /> 7500 Max提供800 GB、1.6 TB、3.2 TB、6.4 TB、12.8 TB<br /> ●外形：U.3<br /> ●儲存媒體：3D NAND，TLC，232層<br /> ●最高讀寫速度：循序7,000 MB/s與5,900 MB/s，隨機110萬IOPS與41萬IOPS<br /> ●使用介面：PCIe 4.0 x4/NVMe 2.4b<br /> ●耐用度：7500 Pro每日寫入量為1，7500 Max每日寫入量為3<br /> ●可靠度：200萬小時MTTF<br /> ●保固期間：5年</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/10/20 12:20作者李宗翰https://www.ithome.com.tw/review/159364
如何在手機等行動裝置上執行LLM模型推論？聯發科AI負責人：得先克服三大挑戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI今年非常火紅，各大軟體、硬體巨頭紛紛投入，就連處理器龍頭英特爾也喊出AI PC時代來臨，要讓生成式AI在內的AI應用成為未來PC的主流應用，甚至不只是PC，這樣的趨勢未來也有可能延伸到行動或邊緣裝置上。在聯發科負責電腦與AI部門的聯發科資深處長陸忠立在一場活動上也針對生成式AI在手機等行動裝置上的應用挑戰，提出他的觀察與解決之道。</p> <p>從應用角度來看，陸忠立表示，目前生成式AI應用主要分為4類，包括文生文、文生圖，以及圖生圖與圖生文。例如，ChatGPT就是一種文生文LLM模型的應用，而文生圖應用則有Stable Diffusion模型等。</p> <p>他表示，傳統行動裝置上的AI應用，例如配備在行動裝置中的AI HDR影像增強、智慧降噪、影片畫質提升和影片幀數轉換功能，可以稱為分析式AI應用，這些應用背後使用的AI模型在核心神經網路架構上與目前的生成式AI應用有明顯的不同。</p> <p>他用一個比喻來解釋，傳統分析式AI就像是一個擅長考試的學生，已經有一個標準答案存在，只需要盡量將你作答的答案接近這個標準答案就可以了，簡單來說，目標就是要考一百分。而生成式AI更像是一個具有創新思維的學生，「因為沒有標準答案可供參考，會給出多種不同的答案，可能回答1千次會得到1千種不同的結果。」他說，這也讓生成式AI在回答上更容易給出你可能沒想過的答案或創新點子。這正是生成式AI和分析式AI的差別。</p> <p>可是，這使得生成式AI模型相較於傳統分析式AI模型，需要占用更多的頻寬、更多運算資源，例如生成式AI模型通常包含超過10億個參數，而分析式AI模型的參數僅是其百分之一，不到一千萬，也因此在處理模型推論時需要更高的AI算力，高於分析式AI的算力的10倍，大約需要10～100 TOPS的算力。</p> <p>為何企業需要將生成式AI模型從雲端下放到Edge端執行？</p> <p>陸忠立表示，主要有幾個原因，首先是隱私問題，有一些企業機敏資料或對話內容，可能不適合上傳到雲端，因此需要在Edge端來進行模型運算。此外，將模型部署到邊緣端可以使其輸出更貼近使用者身處的情境，還能夠在離線環境中使用，而且因為是在邊緣裝置上做運算，資料不需要傳輸雲端，反應能更即時。</p> <p>但更重要的考量是成本。他表示，儘管模型訓練仍然在雲端中進行，但是將所有推論任務都在雲端執行成本相當高，如果邊緣運算設備具備有足夠的運算能力，那麼在本地處理這些任務可以幫助企業節省成本。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2(58).png" style="width: 600px;" /></p> <p>他強調，未來將是雲端和邊緣相互協作的模式。例如當用戶在終端裝置上輸入一段提問文字或上傳一張照片來進行生成時，首先由一個Arbitrator網路來決定是在本地端還是雲端來處理，對機敏性較高或者是低延遲的任務，將會在邊緣端的模型上處理。而對於需要更高精度輸出結果或需處理分布在全球大量資料的任務，就可以透過雲端模型執行。</p> <p>他進一步補充，邊緣裝置目前能夠處理擁有約100億參數的AI模型推論的任務，（例如 LLaMa2 7B或Bloom1B模型等），而雲端則可以處理多10倍，高達千億參數以上的模型推論（如GPT-4 或PaLM2模型）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/3(53).png" style="width: 600px; height: 338px;" /></p> <p>又以智慧型手機為例，陸忠立指出，智慧型手機運算能力受限，主要用於處理模型推論參數在10億到100億之間的AI任務，如相片處理或個人助理等。而PC的推論處理能力高於手機，但受限於記憶體頻寬，可以處理的參數量仍有限，大約在100億～300億之間，並以生產力相關的任務為主，例如使用Copilot協助撰寫信件、內容摘要或是簡報製作等。而如果模型參數超過700億，仍需要透過雲端進行處理，他坦言，目前在邊緣裝置上來執行這種規模的模型的挑戰難度非常高，</p> <p>他表示，想要在邊緣裝置上執行LLM模型推論，必須考慮到記憶體配置（memory footprint）、運算能力和記憶體頻寬。這也是目前在邊緣裝置上執行LLM模型推論面臨的3大挑戰。</p> <p>陸忠立也以執行一個70億參數的中型LLM模型對硬體的要求來舉例，執行這樣的模型推論需要智慧型手機的DRAM至少需具有7GB的記憶體，運算能力要達到40TOPS （相當於1秒內能處理512單字），記憶體頻寬則需要每秒傳輸70GB的速度。</p> <p>可是，即便是今年上半最新款旗艦智慧手機，雖然其算力達到40TOPS，看似可以執行LLM模型，但由於將所有運算資源都集中到LLM應用上，導致手機中其他App使用可能因此容易卡頓，或是不能使用。此外，單一LLM模型就需要占用7GB的記憶體空間，幾乎占掉了總體DRAM的一半，更大的挑戰是記憶體頻寬，最高傳輸速度50GB/s，不足以應付LLM需要每秒傳輸10個字的要求。</p> <p>他強調，LLM模型對於記憶體頻寬要求很高，目前一般智慧手機的記憶體頻寬都不夠用，將是影響使用者體驗的重要關鍵。</p> <p>目前每年AI模型複雜度正在以3到10倍速度增長，他認為，在一年可能只有2成硬體性能提升的前提下，很難趕上AI模型進展的速度。</p> <p>為了解決這個問題，他表示，現今不少硬體廠商在設計處理器時，除了CPU、GPU外，開始新增了一個能針對AI工作負載加速的硬體，例如聯發科自己稱作APU處理器（AI Processing Unit）或是英特爾稱為DPU，專門處理包含生成式AI模型的推論任務等。</p> <p>陸忠立表示，聯發科的APU處理器中，目前包含了兩個加速器，一個是DLA深度學習加速器，專門處理複雜的運算任務，另一個是BPU，類似DSP數位訊號處理單元，用來處理電腦視覺的相關任務，此外在BPU中還配備有本地記憶體，可直接在BPU中進行資料交換，減少對於DRAM的頻繁存取，也因此提高電力使用效率。</p> <p>此外在硬體設計上，他們也針對Transformer模型進行優化，例如加強對於使用softmax函數的大型矩陣計算與LN（Layer Normalization）方法，進而改善其模型的吞吐量和算數的準確度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/5(18).png" style="width: 600px; height: 335px;" /></p> <p>除了採用新硬體架構，具備更高效能且更省電特性之外，陸忠立認為，更重要的是軟體，「如何降低LLM模型執行所需的運算量和記憶體，這是在邊緣裝置中執行生成式AI應用的關鍵。」</p> <p>他也分享聯發科的做法，從軟體架構來看，除了中間層的Middleware層，在這之上還有一個NeuroPilot軟體層，包括一套軟體工具和API，提供配接（adaptor）、編譯和runtime功能，用於聯發科平臺上開發高效的 AI 應用程式，上一層則可搭配PyTorch或TensorFlow等主流AI框架。此外，還提供了toolkit工具，使用戶可以更快速且容易在聯發科APU晶片系統上部署自己的模型進行相關測試及運用。</p> </div></div></div>
2023/10/20 12:20作者余至浩https://www.ithome.com.tw/news/159359
FCC批准AR與VR裝置使用6GHz頻段
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://docs.fcc.gov/public/attachments/DOC-397829A1.pdf" target="_blank">美國聯邦通訊委員會（Federal Communications Commission，FCC）周四（10/19）開放了6 GHz頻段給新一類的超低功耗（Very Low Power，VLP）裝置</a>，涵蓋虛擬實境（VR）、擴增實境（AR）、穿戴式感應器及各種物聯網裝置（IoT）。<a href="https://twitter.com/GooglePixel_US/status/1715080297157669103" target="_blank">Google Pixel團隊當天即透過X向FCC致謝</a>。</p> <p>其實包括<a href="https://www.fcc.gov/ecfs/document/10319674707867/1" target="_blank">Google、蘋果、博通（Broadcom）與Meta（Facebook）在2020年就罕見地連署</a>，請求FCC開放6 GHz供VLP裝置免授權使用。宣稱6 GHz頻段將讓這些裝置不需再利用纜線，更具行動力，若再佐以低延遲及高傳輸率，則能支援更重要的應用，像是救生手術的訓練或協助視障人士。</p> <p>一直到今年9月，<a href="https://docs.fcc.gov/public/attachments/DOC-397285A1.pdf" target="_blank">FCC主席Jessica Rosenworcel即提議了相關規定</a>，指出有無數令人們生活更方便的創新都仰賴免授權頻段，6 GHz頻段已經改善了人們每天所使用的Wi-Fi，期望藉由推動新一波的裝置創新浪潮，來吸引消費者，同時鞏固美國於先進無線技術上的領導地位。</p> <p>FCC委員本周無異議地通過了該提議，同意需要彈性來推動免授權創新，並建立規則以允許那些短距離運作的VLP裝置具備高速傳輸能力。不過，為了保護6 GHz頻段上既有授權裝置的運作，目前該規定謹慎地將裝置限制在非常低的功率水平，也要求它們滿足其它技術及操作需求。</p> <p>具體而言，新規定允許VLP裝置在6 GHz頻段的U-NII-5與U-NII-7部分運作，總計為 850 MHz，功率等級明顯低於其它免授權裝置的運作得以出現在任何地方，不管室內或戶外，也無需任何頻率協調系統。</p> <p>其實FCC委員會也已提議將這些VLP免授權裝置的運作，擴大到6 GHz頻段的其它部分，以及允許這些裝置以更高的功率運作，同時透過地理圍欄系統來避免干擾。</p> <p>Google Pixel團隊表示，6 GHz頻段對未來的無線連結非常重要，FCC本周的決議意味著該頻段將可用來進行端對端的高速Wi-Fi傳輸，為Pixel用戶及美國消費者的勝利。</p> </div></div></div>
2023/10/20 11:44作者陳曉莉https://www.ithome.com.tw/news/159387