iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 14篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 09:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Google將推Android新API強化嵌入式媒體信任驗證機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布將推出一項新的實驗性<a href="https://android-developers.googleblog.com/2023/11/increasing-trust-for-embedded-media.html">Android WebView Media Integrity API</a>，此API的主要功能，是要簡化並加強現有嵌入式媒體信任機制。媒體供應商可以透過自訂一系列完整性回應，讓嵌入應用程式安裝自任意應用商店的情況下，都能確保串流媒體可以在安全且受信任的環境中運作。</p> <p>這個新API是Google之前的網頁環境完整性（Web Environment Integrity）提案的後續，而之所以Google會有這一系列動作，原因在於要改善Android WebView API在安全性和隱私性的問題。Android開發人員要在其應用程式中顯示網頁並嵌入媒體，便可以使用WebView API，藉由靈活的UI控制和進階配置選項，開發者可以在應用程式無縫地顯示網頁內容。</p> <p>雖然這帶來很大的靈活性，但Google提到，這個方法可能被濫用，甚至用於詐騙目的。因為WebView API讓開發人員可以存取網路內容，並攔截或是修改與使用者的互動，雖然當應用程式嵌入自有網頁內容時非常方便，但是當嵌入的資源來自第三方，就無法阻擋不良行為者修改內容，並扭曲與使用者的互動。</p> <p>在7月的時候，Google Chrome團隊提出網頁環境完整性API提案，允許網站透過數位簽證令牌，用以確認客戶端的硬體和軟體堆疊符合特定標準，雖然目的也是要讓網路變得更加隱私且安全，但是API提案一出，便引來社群強烈反彈，因為該提案內容與數位版權管理（DRM）有許多相似之處，普遍被認為可能限制通用運算，並且對網路的開放性造成威脅。</p> <p>而Google在聽取社群意見之後，決定放棄網頁環境完整性提案，並且改提出Android WebView Media Integrity API。相較之下，新API範疇更為限縮，僅針對應用程式中嵌入的WebView，透過擴展現有功能，在具有Google行動服務（GMS）的Android裝置上，針對像是串流影片和音訊等嵌入式媒體，沒有計畫擴及Android WebView之外的範疇和平臺。</p> <p>新API使嵌入式媒體提供者能夠自訂完整性回應，以便確保串流媒體能夠在安全且受信任的環境中運作。判斷依據來自於應用程式和裝置的後設資料，但其中不會包含使用者或是裝置識別碼，而且與使用Play Integrity API的應用程式和遊戲不同，媒體供應商不會獲得應用程式的Play授權狀態，並且應用程式還可以選擇在判定結果中排除套件名稱，也就是其提供一種隱私機制，讓開發人員選擇隱藏應用程式的名稱，保護隱私安全。</p> <p>官方提到，制定這項API的目標是要維持Android應用程式中，多樣化的媒體內容生態系。Google預計在明年啟動Android WebView Media Integrity API早期存取計畫。</p> </div></div></div>
2023/11/6 08:48作者李建興https://www.ithome.com.tw/news/159627
VS Code Python擴充套件棄用內建程式碼檢查和格式化功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在<a href="https://devblogs.microsoft.com/python/python-in-visual-studio-code-november-2023-release/">VS Code的Python擴充套件2023年11月版本</a>，加入了一些新功能和改進，包括改進以Shift+Enter快捷鍵在終端機發送程式碼的行為，並棄用內建的程式碼檢查（Linting）和格式化功能，同時也更新了Python檢查擴充套件。</p> <p>在這次更新中，Python擴充套件改善程式碼發送到Python REPL互動式直譯器的行為，特別是當開發者沒有明確選擇所要執行的程式碼區塊。過去，當開發者將游標放在Python程式碼行上並按下Shift+Enter，就算程式碼會執行失敗，Python擴充套件還是會將該行的內容直接發送到REPL。</p> <p>而微軟新開發的智慧發送功能，現在會讓Python擴充套件，聰明地發送游標所在位置附近最小可執行程式碼區塊，確保只有完整和可執行的程式碼會被送到REPL，而之後游標也會自動定位到下一個可執行程式碼行，方便開發者迭代執行多個程式碼區塊。</p> <p>微軟持續改進VS Code檢查和格式化擴充套件，將Python擴充套件中的檢查功能轉移成獨立擴充套件，而現在微軟宣布棄用Python擴充套件中的檢查和格式化功能，官方建議開發者盡快移除這些過時設定，並且改用新的檢查和格式化擴充套件。</p> <p>官方同時也對Python檢查擴充套件進行多項改進，讓配置更加靈活，像是Pylint、Mypy和Flake8擴充套件讓開發者可以透過設定，指定想要排除檢查的檔案，另外，這些擴充套件也支援CWD（Current Working Directory）設定，供開發者指定檢查器的工作目錄。</p> </div></div></div>
2023/11/6 08:50作者李建興https://www.ithome.com.tw/news/159638
中東政府機關、金融單位遭伊朗駭客組織鎖定，利用IIS後門程式Liontail攻擊伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Check Point與Sygnia聯手，<a href="https://research.checkpoint.com/2023/from-albania-to-the-middle-east-the-scarred-manticore-is-listening/">調查伊朗駭客組織Scarred Manticore的攻擊行動</a>，這些駭客鎖定中東地區國家，包含沙烏地阿拉伯、阿拉伯聯合大公國（UAE）、約旦、科威特、阿曼、伊拉克、以色列，主要目標是政府機關、軍事單位、電信業者，但也有IT服務供應商、金融業者、非政府組織遭到攻擊。</p> <p>多年來，這些駭客利用各種針對IIS網頁伺服器的後門程式，以及多種自製的Web Shell、DLL後門程式、或者以驅動程式打造的惡意軟體來發動攻擊。而對於攻擊者的身分，研究人員認為，Scarred Manticore很可能與名為Storm-0861的新興駭客組織有密切交集，此為去年攻擊阿爾巴尼亞政府的4個伊朗駭客組織其中之一。但他們也指出，這些駭客與伊朗駭客組織OilRig（亦稱APT34、Europium、Hazel Sandstorm）也有一定程度的關聯。</p> <p>在最新的攻擊行動裡，研究人員看到駭客散布名為Liontail的惡意程式框架，先是尋找目標組織曝露於網際網路的Windows伺服器，透過DLL搜尋順序挾持（DLL Search Order Hijacking）或是可執行檔的方式，部署後門程式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/LionTail_scheme.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/LionTail_scheme.png" style="width: 581px;" /></a></p> <p>此惡意程式框架的元件，由Shell Code載入程式，以及在記憶體常駐的Shell Code酬載組成，其中一個元件就是以C語言編寫的後門程式Liontail，此為檔案很小、但功能相當複雜的被動後門程式，駭客為其設置一組URL監聽名單，攻擊者一旦向這些網址發送請求，此後門程式就會執行當中挾帶的惡意酬載。</p> <p>其中，比較特別的是，在DLL搜尋順序挾持的攻擊過程當中，駭客鎖定Windows Server作業系統缺乏的DLL檔案，如wlanapi.dll、wlbsctrl.dll，將後門程式命名為上述DLL檔案名稱，然後再透過Windows檔案總管或其他的處理程序，或是將某些預設停用的服務啟用，載入DLL程式庫型態的後門程式。</p> <p>在攻擊者將後門程式命名為wlbsctrl.dll的情況，他們會在名為IKE and AuthIP IPsec Keying Modules的服務啟動時載入DLL檔案，此時攻擊者會將可延伸驗證通訊協定（EAP）開啟。</p> <p>若是後門程式以可執行檔的型態進行部署，駭客會將其假冒為Palo Alto Networks的資安產品Cortex XDR元件Cyvera Console。</p> <p>研究人員指出，此後門程式與C2進行通訊的做法較為罕見，駭客利用IOCTL（Input and Output Control）介面，直接與底層的驅動程式HTTP.sys進行互動來達成，由於這種方式不透過IIS或HTTP的API，不僅資安防護系統無法監控，也不會留下任何事件記錄。研究人員強調，由於HTTP.sys的IOCTL沒有相關資訊可供參考，攻擊者必須進一步研究才能找到具體的方法，因此駭客採用上述的通訊手法隱匿攻擊行動，並非易事。</p> <p>類似這種隱匿後門流量的攻擊行動，還有<a href="https://www.ithome.com.tw/news/158872#HTTPSnoop">思科威脅情報小組揭露的ShroudedSnooper</a>，駭客利用名為HTTPSnoop的後門程式，攻擊中東地區的電信業者。</p> <p>除了可執行檔，研究人員也發現Liontail的Shell Code載入工具，此程式以Web Shell為基礎打造而成，他們比對該載入工具與後門程式，發現採用的Shell Code架構及參數完全相同，由此推測駭客的攻擊工具是規模較大的框架，上述兩種惡意程式都是其中的元件，代表攻擊者可根據攻擊行動的需求，動態產生惡意程式載入器及酬載。</p> <p>研究人員也發現在Liontail之外，這些駭客也打造了其他工具。例如，專門鎖定Exchange伺服器而來的Lionhead，這是網路流量轉送器（Web forwarder），攻擊者也利用類似的DLL挾持手法，於受害伺服器進行部署，並利用雷同的轉送方法，將流量導向使用Exchange網頁服務（EWS）的端點。</p> </div></div></div>
2023/11/5 13:15作者周峻佑https://www.ithome.com.tw/news/159641
北韓駭客組織Lazarus針對Mac電腦下手，散布惡意程式Kandykorn
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Elastic旗下的安全實驗室<a href="https://www.elastic.co/security-labs/elastic-catches-dprk-passing-out-kandykorn">揭露北韓駭客Lazarus的攻擊行動</a>，研究人員看到駭客鎖定加密貨幣交易平臺的區塊鏈工程師，散布macOS惡意程式Kandykorn。</p> <p>攻擊者先是在公開的Discord伺服器佯稱區塊鏈工程師，利用社交工程手法，提供加密貨幣套利機器人（arbitrage bot），引誘目標人士下載帶有惡意程式碼的ZIP壓縮檔。一旦目標人士執行其中的Main.py指令碼，就有可能導致電腦被植入惡意程式。</p> <p>乍看之下，這個指令碼沒有惡意內容，似乎執行的是普通的功能，只是將其他的Python指令碼當作模組導入，然而研究人員分析watcher.py指令碼內容，發現攻擊者的意圖。</p> <p>在整個攻擊鏈當中，Main.py會觸發另一個指令碼watcher.py，然後從雲端檔案儲存服務Google Drive下載testSpeed.py，而這個指令碼再從另一個Google Drive網址取得名為FinderTools的Python檔案。FinderTools下載、執行惡意酬載Sugarloader，最終連線遠端伺服器取得Kandykorn，並於記憶體內執行。此後門程式具備列出受害電腦存放的檔案、執行惡意程式或命令、洩漏資料、終止處理程序的功能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Kandykorn-image31.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Kandykorn-image31.png" style="width: 580px;" /></a></p> <h3><strong>惡意程式載入工具Sugarloader在攻擊流程扮演關鍵角色</strong></h3> <p>值得一提的是，駭客使用的惡意酬載Sugarloader，先後以不同的檔案名稱.sld和.log出現於攻擊流程。</p> <p>駭客利用打包程式進行混淆處理，導致採用靜態分析做法的資安系統，能夠解析的程式較為有限。研究人員發現對方在程式碼當中，利用含有跳轉（JMP）的起始函數，將標頭指定到尚未定義的記憶體位址，然後於記憶體內解壓縮可執行檔。由於對方利用了這種手法，截至研究人員揭露這起攻擊行動的時候，惡意軟體分析平臺VirusTotal所有的防毒引擎皆將Sugarloader視為無害。</p> <p>這個惡意程式的主要功能之一，就是從C2下載Kandykorn的有效酬載。根據研究人員的分析，駭客同時設置了C2的備援IP位址，以防主要伺服器無法存取的情況。一旦此惡意程式的設定組態載入記憶體並解密，就會建立與遠端伺服器的連線並取得Kandykorn，並透過反射式載入（Reflective Binary Loading）手法，濫用NSCreateObjectFileImageFromMemory、NSLinkModule等API，在特定處理程序所使用的記憶體區域當中，執行惡意酬載。</p> <p>而為了能夠持續在受害電腦運作，駭客也透過Sugarloader建立名為Hloader的惡意程式，並將其偽裝成Discord主程式，同樣地，VirusTotal所有的防毒引擎也將該惡意程式視為無害。</p> <p>過程中，攻擊者運用了相當罕見的手法，研究人員稱為執行流程挾持（Execution Flow Hijacking）。攻擊者鎖定通常會隨著電腦開機啟動的即時通訊軟體Discord，而使用載入程式Hloader的目的，就是同時啟動Discord執行檔與.log酬載（即Sugarloader的另一個型態）。</p> <p>具體而言，攻擊者會將原本的Discord主程式更名，並以Hloader替代、執行，載入.log，讓此可執行檔在記憶體內運作，完全不會寫入磁碟。之後，再將Discord主程式、Hloader改回原本的檔案名稱。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Kandykorn-image33.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Kandykorn-image33.png" style="width: 580px;" /></a></p> </div></div></div>
2023/11/5 13:22作者周峻佑https://www.ithome.com.tw/news/159642
AI趨勢周報第233期：7月開始訓練33B語言模型，馬斯克揭露xAI首款Chatbot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1027～1102)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Grok </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Chatbot </span></strong></span></p> <p><span style="font-size: 22px;"><strong>今年7月開始訓練33B語言模型，馬斯克揭露xAI首款Chatbot</strong></span></p> <p>馬斯克日前揭露旗下xAI公司的首款產品Grok，是一款類似ChatGPT的聊天機器人，主打能幽默回應使用者、與使用者產生共鳴。<a href="https://twitter.com/xai/status/1721027348970238035">xAI也在X平臺上說明</a>，Grok能透過X平臺獲取即時資訊，來回答使用者問題，還能回答其他AI系統拒絕回答的辛辣問題。馬斯克表示，Grok目前還在初期測試階段，未來將提供給X Premium+訂閱戶使用。</p> <p>xAI在官網指出，公司自今年7月成立後，就開始訓練一個330億參數的語言模型Grok-0。該模型在標準的語言模型基準測試中，表現與700億參數的Llama 2相當，但只使用了一半的訓練資源。接著，在過去2個月裡，團隊又提高模型的推理和寫程式能力，最終產出Grok-1模型。</p> <p>這個Grok-1功能更強大，在HumanEval基準測試的寫程式任務中拿下了63.2%成績，僅次於70%的Claude 2和67%的GPT-4。而在多學科多重選擇題的MMLU基準測試中，Grok-1拿下了73%，僅次於GPT-4、PaLM 2和Claude 2。xAI說明，為打造Grok，他們還建立了基於K8s、Rust和JAX的自定義訓練和推論堆疊，而且，為確保GPU不發生故障，團隊採用一組客製化的分散式系統，能立即辨識、自動處理每種故障，如配置不正確、記憶體晶片效能下降等。這個方法，讓xAI在過去幾個月裡，大幅減少停機時間，並保持高度的模型浮點運算利用率（MFU），就算在硬體不可靠的情況下依然如此。接下來，他們要繼續優化模型能力，包括用數萬個加速器來訓練模型、執行網際網路等級的工作管線，以及開發Grok新功能和新工具等。<a href="https://x.ai/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202023-11-05%20at%206_50_34%20PM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> RedPajama </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料集 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>專為LLM設計，具30兆Token的開源資料集來了</strong></span></p> <p>最近，AI新創公司Together.ai開源釋出第二代LLM訓練資料集RedPajama-Data-v2，共有30兆個Token，要用來強化語言模型訓練品質。該資料集包含2大部分，一是從開源網路爬蟲資料集CommonCrawl的84個轉存（Dumps）中精挑細選，將原本100多兆個Token過濾、剔除重複的資料，保留30兆個Token，涵蓋英語、法語、西班牙語、德語和義大利語等5種語言，但未包含中文。另一部分是40多個預運算的資料品質註釋，可用於進一步的過濾和權重，提高資料集的實用性。</p> <p>早在今年3月，該新創就釋出5TB的高品質英語標記資料集RedPajama-1T，半年多來累積了19萬次下載量。這次，他們進一步開源涵蓋5種語言的資料集，號稱是目前最龐大的LLM訓練資料集，同時在GitHub和HuggingFace上提供所有數據。<a href="https://github.com/togethercomputer/RedPajama-Data">（詳全文）</a></p> <p><img alt="" src="https://github.com/togethercomputer/RedPajama-Data/raw/main/docs/rpv2.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 行政命令 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 風險 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 安全 </span></strong></span></p> <p><span style="font-size:22px;"><strong>拜登簽署美國首個AI行政命令</strong></span></p> <p>美國總統拜登10月30日簽署了AI行政命令，提出8項行動目標，包括建立AI安全新標準、保護人民隱私、促進公平與公民權利、支持勞工、推動創新與競爭、提升美國在海外的領先地位，以及保障消費者、病患和學生，還有確保政府負責任及有效使用AI。</p> <p>其中，建立AI安全新標準列舉許多重點工作，首先是要求AI系統開發者，與美國政府分享其AI安全測試結構和其他重大資訊，再來是要發展各式標準、工具和測試方法，來確保AI系統的可靠性。此外還包括制定標準，來監控生物合成，避免不法人士用AI設計出危險的生物材料。不只如此，美國政府也要建立分辨AI生成內容與官方內容的偵測機制和實作方法，最後則是開發AI工具，來找出和修補重大軟體的安全漏洞。<a href="https://www.whitehouse.gov/briefing-room/statements-releases/2023/10/30/fact-sheet-president-biden-issues-executive-order-on-safe-secure-and-trustworthy-artificial-intelligence/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Jina AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 文字嵌入 </span></strong></span></p> <p><span style="font-size:22px;"><strong>與OpenAI同等級！Jina AI開源第2代文字嵌入模型</strong></span></p> <p>德國AI新創Jina AI開源自家第2代文字嵌入模型jina-embeddings-v2，可處理多達8,192個token的文長。而且，經大規模文字嵌入基準（Massive Text Embedding Benchmark）測試評估，該模型排名第17，與商用OpenAI text-embedding-ada-002的第15名相差無幾。而且在分類、重新排序、檢索和摘要生成等自然語言處理任務中，該模型表現比OpenAI的模型還要好。</p> <p>jina-embeddings-v2能處理8,192個token是一大進展，代表模型可應用的領域更廣，像是分析法律文件、更細緻地捕捉文件中細節，或從財務報表中解析關鍵資訊、進行財務預測，也能用於對話機器人，來處理複雜的用戶查詢。目前，使用者可從Huggingface免費下載jina-embeddings-v2模型，包括2種版本，一是針對學術研究或商業分析等高準確性需求設計的，大小為0.27 GB的基礎模型，另一是適用於輕量級應用程式，能整合行動應用程式或運算資源有限裝置的小型模型，容量只有0.07 GB。<a href="https://jina.ai/news/jina-ai-launches-worlds-first-open-source-8k-text-embedding-rivaling-openai/">（詳全文）</a></p> <p><img alt="" src="https://jina-ai-gmbh.ghost.io/content/images/size/w1600/2023/10/Screenshot-from-2023-10-23-17-41-40.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 風險 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Preparednes </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI設立專屬團隊，要評估通用AI災難性風險</strong></span></p> <p>OpenAI最近宣布要建立Preparedness團隊，來評估通用AI可能造成的災難性風險，並由麻省理工學院的可部署機器學習中心主任Aleksander Madry主導。這些風險涵蓋個人化說服、網路安全、化學/生物/放射性/核（CBRN）威脅，以及自主複製與適應（ARA）。其中，個人化說服指的是以AI建立的個人化內容，來影響個人的行為、觀點或決策；至於ARA則指AI系統具自我複製與演進能力，使它脫離人類控制，或產生非預期目標。</p> <p>Preparedness團隊將針對各種前沿模型，評估模型能力與紅隊測試，並制定開發及維護風險意識發展政策（RDP），闡述該團隊所開發的模型能力評估與監控方法，還要建立模型治理架構。OpenAI已開始招募不同背景人才加入Preparedness團隊，同時推出AI Preparedness挑戰賽，鼓勵參賽者設想自己是駭客，在可無限制地存取OpenAI模型時，有哪些可造成災難的獨特使用情境。<a href="https://openai.com/blog/frontier-risk-and-preparedness">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 抓漏 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 提示攻擊 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google公布AI抓漏獎勵範圍，新添生成式AI類別</strong></span></p> <p>日前，Google宣布擴大AI系統抓漏獎勵計畫，要進一步納入生成式AI。進一步來說，Google認為，相較於傳統的安全漏洞，生成式AI有著不同問題，如不公平偏見、模型操縱或資料誤解。隨著Google日益將生成式AI整合到產品中，內部團隊正全面預測和測試其潛在風險，同時也想藉外部研究者協助，來找出新漏洞並解決問題。</p> <p>其實，Google本來就有AI抓漏獎勵計畫，其類別包括提示攻擊、訓練資料汲取、操縱模型、對抗性擾動，以及模型竊取等，凡是利用提示來影響模型的行為或輸出，重建或汲取包含敏感資訊的訓練資料，得以改變模型行為，或可竊取模型權重與結構等關鍵資訊的安全漏洞，都在獎勵之列。<a href="https://security.googleblog.com/2023/10/googles-reward-criteria-for-reporting.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MLCommons </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 安全 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span></p> <p><span style="font-size:22px;"><strong>MLCommons成立AI安全工作組</strong></span></p> <p>開放工程聯盟MLCommons最近成立人工智慧安全（AIS）工作組，要建立一個平臺，來讓貢獻者組成測試池，支援各種用例的AI安全基準。該工作組初期將使用史丹佛大學的HELM框架，作為大型語言模型開發安全基準。</p> <p>MLCommons是一個開放協作生態系，目的在於推動機器學習的發展和應用，並發展基準測試、最佳實踐、資料集和各種共享資源上。MLCommons的新平臺將提供一個機制，讓使用者從測試池中選擇基準測試，也能將輸出整合成容易理解的分數，來對AI系統安全性評級。該平臺的近期重點，在於支援嚴謹、可靠的AI安全測試技術發展。此外，AIS工作組也計畫，將內部用於AI安全測試的技術公開，與MLCommons社群共享。<a href="https://mlcommons.org/en/news/formation-ai-safety-working-group/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 聯合國 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI顧問組織 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 治理 </span></strong></span></p> <p><span style="font-size:22px;"><strong>聯合國成立AI顧問組織</strong></span></p> <p>聯合國日前成立AI顧問組織，來研究AI技術風險和機會，以及全球治理方向。該組織由聯合國秘書長António Guterres發起，招攬了全球39名專家，預計要在今年底前，針對AI的風險、挑戰、機會，以及如何利用AI來加速永續發展目標（SDGs）等議題提出建議。</p> <p>Guterres指出，AI顧問組織是全球AI治理的起點，來盡可能為所有人帶來利益，同時遏制風險。但這也取決於AI是否被負責任地利用，以及是否所有人都能使用，因為，目前相關專業知識集中在少數公司和國家，這很可能深化全球不平等，使數位落差成為鴻溝。而這個組織，可望解決這些問題。<a href="https://news.un.org/en/story/2023/10/1142867">（詳全文）</a></p> <p>圖片來源／xAI、Together.ai、Jina AI</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI趨勢近期新聞 </span></strong></span></p> <p><strong>1. <a href="https://www.ithome.com.tw/news/159612">DeepMind發布新版AlphaFold模型，可精準預測生物分子結構加速藥物開發</a></strong></p> <p><strong>2. <a href="https://www.ithome.com.tw/news/159573">PChome揭行動商務優先的介面改版策略，包括用AI強化搜尋功能</a></strong></p> <p>資料來源：iThome整理，2023年11月</p> </div></div></div>
2023/11/5 19:37作者王若樸https://www.ithome.com.tw/news/159645
駭客發動EleKtra-Leak挖礦攻擊，利用GitHub曝露的AWS帳密來奪取用戶EC2運算服務，替他們挖掘加密貨幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Palo Alto Networks揭露<a href="https://unit42.paloaltonetworks.com/malicious-operations-of-exposed-iam-keys-cryptojacking">名為EleKtra-Leak的挖礦攻擊行動</a>，駭客約從2020年12月開始進行相關活動，光是在今年8月30日至10月6日，他們就看到有多達474個Amazon EC2執行個體遭駭，被攻擊者拿來挖掘門羅幣。</p> <p>研究人員指出，這些駭客先是濫用GitHub提供的機密資訊掃描功能，以及AWS的AWSCompromisedKeyQuarantine政策標籤來尋找目標，一旦確認目標儲存庫存放了AWS帳密資料，或是其他的身分驗證管理（IAM）資料，攻擊者就試圖找出這類帳密，對目標AWS帳號進行偵察，然後建立安全群組，並透過VPN程式存取EC2執行個體，從Google Drive下載挖礦軟體並執行，整個過程是自動化運作，總共進行超過400次API呼叫，過程只花費7分鐘。</p> <h3><strong>待雲端服務業者將受害帳號標記，更能完全掌握可用的運算資源</strong></h3> <p>照理來說，當開發人員不慎在GitHub曝露自己的AWS金鑰時，該儲存庫提供Secret Scanning偵測機制就有可能察覺，並向AWS通報，接下來該雲端服務業者便會對於曝露金鑰的使用者，套用AWSCompromisedKeyQuarantine政策標籤來進行隔離，防範攻擊者濫用。</p> <p>由於這種自動預防機制，目的是防範相關金鑰遭到濫用，而非這些AWS用戶的帳號遭到攻擊，因此攻擊者很有可能找尋曝露相關資料、但AWS帳號尚未遭到封鎖的GitHub儲存庫，挾持AWS帳號之後，等到該雲端服務業者進行標記，攻擊者就能在沒有其他人干擾的情況下，濫用受害組織的AWS資源。</p> <p>研究人員在其中一起事故當中，透過AWS安全事件記錄系統CloudTrail看到這種現象。在AWS觸發上述的隔離政策標籤後，不到4分鐘攻擊者就開始下達APIDescribeRegions命令進行偵察。</p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-130743-1-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-130743-1-2.png" style="width: 580px;" /></a></p> <h3><strong>攻擊流程完全透過自動化進行</strong></h3> <p>而對於整個攻擊行動的流程，研究人員指出都是透過自動化執行，一旦攻擊者從GitHub儲存庫發現金鑰，就會開始一系列的攻擊流程。對方會先進行一系列的AWS帳號偵察，完成後就會建立安全群組，找尋所有能夠存取的EC2執行個體，過程中駭客的攻擊流程，都是透過VPN於背景進行。</p> <p>為了提高挖礦的獲利，攻擊者會在這些EC2執行個體採用大型雲端虛擬機器，通常是擁有192個虛擬處理器、192 GB記憶體的虛擬機器c5a.24xlarge，以便在相同時間裡挖取更多加密貨幣。</p> <p>駭客在啟動這些EC2執行個體的過程中，呼叫了名為RunInstance的API，用來執行Cloud-Init指令碼，從而在這些執行個體進行參數配置，並執行後續的攻擊行動。值得留意的是，對方的相關操作並未在CloudTrail留下事件記錄。</p> <p>對此，研究人員對EC2執行個體進一步採證，發現駭客從Google Drive下載挖礦軟體的檔案，然後在儲存到執行個體後再行解密、執行。此外，對方所使用的AMI映像檔為私有檔案，並未在AWS Marketplace市集上架，其中部分映像檔是採用Ubuntu 18為基礎開發。研究人員根據找到的入侵指標（IoC），他們推測，攻擊行動很有可能從2020年開始。</p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-130743-2-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-130743-2-2.png" style="width: 580px;" /></a></p> <p>特別的是，這些駭客也將他們用過的帳密資料加入黑名單。研究人員推測，這麼做的目的，很有可能是防止遭到進一步分析。</p> </div></div></div>
2023/11/5 13:36作者周峻佑https://www.ithome.com.tw/news/159644
【資安日報】11月3日，訊息導向中介軟體ActiveMQ重大漏洞出現攻擊行動，駭客用於投放勒索軟體HelloKitty
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>前幾天ActiveMQ漏洞修補消息一出，當時有研究人員認為後續可能會引發危機，因為此軟體在企業環境做為訊息代理的角色，一旦漏洞遭到利用，將有可能導致訊息遭到攔截、工作流程中斷、資料外流，甚至能讓攻擊者在內部網路環境進行橫向移動。</p> <p>現在有資安業者證實這樣的情況，並指出駭客想要發動勒索軟體攻擊，來向企業組織進行勒索。</p> <p>值得留意的是，駭客在修補程式發布的兩天後就開始進行漏洞利用，這也代表組織緩解漏洞的態勢相當險峻。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.rapid7.com/blog/post/2023/11/01/etr-suspected-exploitation-of-apache-activemq-cve-2023-46604/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體HelloKitty傳出正在利用Apache ActiveMQ的重大漏洞</span></strong></a></p> <p></p> <p>訊息導向中介軟體ActiveMQ在10月25日公告修補漏洞CVE-2023-46604，因CVSS風險高達10分而引發大家注意，ShadowServer基金會指出全球有超過3千臺伺服器曝險，如今有研究人員警告已有攻擊行動出現。</p> <p>27日資安業者Rapid7發現，他們有2個客戶存在此漏洞的利用攻擊行動，駭客企圖部署勒索軟體並向組織勒索，研究人員根據勒索訊息及手上掌握的證據，指出是勒索軟體HelloKitty（亦稱Five Hand）的攻擊行動。</p> <p>他們看到駭客在成功利用上述漏洞後，試圖透過ActiveMQ的處理程序載入Java.exe，然後利用MSIExec執行2個偽裝成PNG圖檔的MSI檔案，進而於目標伺服器部署勒索軟體。在其中一起攻擊裡，他們看到對方嘗試執行至少6次檔案加密，所幸沒得逞。</p> <p><a href="https://www.bleepingcomputer.com/news/security/okta-hit-by-third-party-data-breach-exposing-employee-information/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">身分驗證解決方案業者Okta再傳資料外洩，起因是第三方供應商遭駭</span></strong></a></p> <p></p> <p>根據資安新聞網站Bleeping Computer的報導，身分驗證解決方案業者Okta近期向緬因州總檢察長辦公室通報，他們因醫療保險業者Rightway Healthcare在9月23日遭遇網路攻擊，導致他們對保戶提供的保險及保障權益所彙整的調查資料，遭到異常存取，這個檔案包含現有及離職的Okta員工，以及家屬的姓名、社會安全碼（SSN）、醫療保險號碼，總共有4,961名員工受到影響，但目前這些個資尚未出現遭到濫用的跡象。</p> <p>Rightway Healthcare於10月12日公開表示自己遭遇資安事故之後，Okta著手調查確認受影響範圍，他們向Bleeping Computer透露，這些流出的資料起迄時間，為2019年4月至2020年。</p> <p><a href="https://www.ithome.com.tw/news/159618"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">波音證實遭遇網路攻擊，導致零件配送網站服務中斷</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/services-boeing-tech-issue.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/services-boeing-tech-issue.jpg" style="width: 300px; float: right;" /></a>10月底勒索軟體駭客LockBit聲稱，<a href="https://www.ithome.com.tw/news/159565">他們利用零時差漏洞入侵航太龍頭波音（Boeing）</a>，取得大量敏感資料，並揚言要求該公司在11月2日前進行聯繫，當時波音表示正在設法了解狀況，這幾天終於有新進展。</p> <p>11月2日波音向Bleeping Computer、The Register等新聞網站提出新的說明，指出他們遭遇網路攻擊事故，影響他們的零件物料及配送業務，但飛航安全不受影響，已通報主管機關並展開調查，也通知客戶及供應商。目前該公司的零件及配送網站為離線狀態，並公告因技術問題而無法提供服務。不過，波音並未進一步說明攻擊事故的細節，也沒有透露受害範圍。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/security/boeing-confirms-cyberattack-amid-lockbit-ransomware-claims/">https://www.bleepingcomputer.com/news/security/boeing-confirms-cyberattack-amid-lockbit-ransomware-claims/</a><br /> 2. <a href="https://www.theregister.com/2023/11/02/boeing_cyber_incident/">https://www.theregister.com/2023/11/02/boeing_cyber_incident/</a></p> <p><a href="https://www.bloomberg.com/news/articles/2023-10-30/hackers-accessed-632-000-email-addresses-at-defense-doj"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國國防部逾63萬封電子郵件外洩，又是因為服務廠商遭MOVEit Transfaer零時差攻擊所致</span></strong></a></p> <p></p> <p>5月底發生的MFT檔案共享系統MOVEit Transfer零時差漏洞大規模攻擊行動，最近又有新的受害情形傳出。</p> <p>根據彭博社的報導，美國司法部因這起攻擊事故導致員工資料外流，約有63.2萬名員工的電子郵件信箱曝光。該媒體取得美國人事管理局（OPM）的文件指出，這些資料是來自資料管理業者Westat設置的MOVEit Transfer系統。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://blogs.vmware.com/security/2023/10/hunting-vulnerable-kernel-drivers.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">34款Windows驅動程式存在弱點，有可能讓攻擊者挾持電腦、抹除韌體</span></strong></a></p> <p></p> <p>VMware旗下的威脅情報團隊近期發現34個Windows驅動程式存在漏洞，攻擊者一旦加以利用，有可能完全控制裝置，並在作業系統底層執行任意程式碼，甚至能竄改或破壞韌體，或是用於提升權限。</p> <p>值得一提的是，過往對於驅動程式研究，聚焦在透過「視窗驅動程式模型（Windows Driver Model，WDM）」打造的驅動程式，而這次研究人員也對於採用「視窗驅動程式框架（Windows Driver Framework，WDF）」開發的驅動程式進行調查。</p> <p>而在這個團隊找出的有漏洞驅動程式，風險都很高，因為攻擊者都能透過不具管理員權限的使用者帳號，進行完全控制。其中，有6個可被用於存取核心記憶體、6個可抹除韌體。此外，有2個WDF驅動程式WDTKernel.sys、H2OFFT64.sys，雖然在存取控制方面不易被利用，但攻擊者可將其用於自帶驅動程式（BYOVD）攻擊。</p> <p><a href="https://www.zscaler.com/blogs/security-research/threatlabz-discovers-117-vulnerabilities-microsoft-365-apps-sketchup-3d"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Microsoft 365應用程式的SketchUp 3D程式庫存在117個漏洞</span></strong></a></p> <p></p> <p>資安業者Zscaler指出，微軟2022年6月在Microsoft 365支援SketchUp檔案（SKP），但也因此引入許多漏洞。</p> <p>研究人員指出，Microsoft 365處理SKP檔案的過程裡，此辦公室生產力軟體會呼叫多個SketchUp的API及功能，他們透過模糊測試找出了20個安全漏洞，涵蓋記憶體堆疊緩衝區溢位、整數溢位、越界寫入（OBW）、類型混淆、記憶體釋放後濫用（UAF）等類型。另一方面，若是SketchUp檔案嵌入了圖片，Microsoft 365還會呼叫名為FreeImage的第三方程式碼進行處理，為此研究人員也繼續利用模糊測試，結果從該程式庫元件中找出97個漏洞。</p> <p>對此，微軟對於上述117個漏洞登記了3個CVE編號CVE-2023-28285、CVE-2023-29344、CVE-2023-33146（CVSS風險評分皆為7.8），並於今年4月至6月，發布Windows版、macOS版Microsoft 365更新，然而，研究人員仍能繞過修補程式利用這些漏洞，因此微軟最終決定停用SketchUp檔案的支援。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.first.org/newsroom/releases/20231101"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">FIRST推出新版漏洞風險評分系統CVSS 4.0</span></strong></a></p> <p></p> <p>6月的國際資安事件緊急應變小組論壇（FIRST）年度大會，公布新的4.0版通用漏洞評分系統（CVSS），經過兩個月的公開討論、兩個月做出回應、調整，11月1日FIRST宣布新版評分系統正式上路，這是2019年6月CVSS 3.1版推出後的重大改版。</p> <p>FIRST指出，新的評分標準提供了更細致的基本指標，並簡化威脅指標、提高特定環境的安全要求評估。這版增加漏洞評估的補充指標，例如：能否自動化利用（蠕蟲化）、復原難易度（韌性）等。另一個重要的改進面向，則是對於操作科技（OT）、工業控制系統（ICS）、物聯網（IoT）新增與安全相關的指標與參數。</p> <p>值得留意的是，CVSS 4.0不只列出基本分數，將有4種呈現問題嚴重性狀態的方式，包含了基本評分CVSS-B、加上威脅評分的CVSS-BT、加上環境評分的CVSS-BE，以及統合3種分數的CVSS-BTE。</p> <p><a href="https://medium.com/mitre-attack/attack-v14-fa473603f86b"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">MITRE發布第14版ATT&CK，強化社交工程、工業控制系統、行動裝置領域攻防敘述</span></strong></a></p> <p></p> <p>11月1日MITRE Engenuity發布資安攻防框架MITRE ATT&CK第14版，總共涵蓋760種軟體、143個駭客組織，以及24種橫跨企業、行動裝置、工業控制系統（ICS）的攻擊行為。此新版框架對於偵測的註解及分析，提供更多的延伸，也在偵測、資料來源、緩解措施之間的關聯，進行強化。</p> <p>其中，對於企業的攻擊手法，這次特別納入了社交工程，以及與資訊技術無直接相關的詐欺手段，例如：金融詐騙、語音網路釣魚等。針對工業控制系統的部分，新版攻防框架新增此種場域的主要元件，而讓相關部門更能透過該框架描述資安風險及威脅。</p> <p>本次新版框架也擴大行動裝置類別的範圍，涵蓋多種新型態的網路釣魚手法，如：簡訊釣魚（smishing）、QR code釣魚（quishing）、電話釣魚（vishing）。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/blackcat-ransomware-claims-breach-of-healthcare-giant-henry-schein/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">醫療保健業者Henry Schein傳出遭到勒索軟體BlackCat攻擊，35 TB內部資料外流</span></span></strong></a></p> <p></p> <p><a href="https://www.deepinstinct.com/blog/muddywater-en-able-spear-phishing-with-new-ttps"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">伊朗駭客組織MuddyWater鎖定以色列組織，透過N-able遠端管理工具控制受害電腦</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/atlassian-warns-of-exploit-for-confluence-data-wiping-bug-get-patching/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Atlassian證實有人公布DevOps協作平臺Confluence重大漏洞CVE-2023-22518細節，呼籲用戶防範相關攻擊行動</span></span></strong></a></p> <p></p> <p><a href="https://www.theregister.com/2023/11/01/xll_macro_attack_surge/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Excel擴充套件檔案XLL成駭客2023年第三季散布惡意程式愛用的十大檔案類型</span></span></strong></a></p> <p></p> <p><a href="https://www.cisa.gov/news-events/alerts/2023/10/27/cisa-announces-launch-logging-made-easy"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為協助資源缺乏的組織強化資安，美國CISA推出免費事件記錄工具Logging Made Easy</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159609"><strong>【11月2日】伊朗駭客組織利用後門程式Liontail攻擊Windows伺服器，鎖定中東地區的政府機關與金融單位而來</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159586"><strong>【11月1日】研究人員揭露專門供應網路罪犯使用的短網址服務供應商Prolific Puma，駭客經營超過4年未被發現</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159575"><strong>【10月31日】曝露於GitHub程式庫的帳密資料成為駭客下手的對象！有人從中收集AWS的帳密，將EC2實體拿來挖礦</strong></a></p> </div></div></div>
2023/11/3 17:34作者周峻佑https://www.ithome.com.tw/news/159633
兼具分散與固定硬體架構優點，思科推出新型態模組化路由器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cisco_8000_main-1.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2020年初，思科推出<a href="https://blogs.cisco.com/sp/cisco-8000-series-powering-the-internet-for-the-future">路由器8000系列</a>，區分為固定配置機型8200系列，以及模組化系統8800系列，搭配該公司自行研發的ASIC晶片Silicon One Q100，以及作業系統IOS-XR。</p> <p>當時的8200系列有2款機型，包含1U尺寸的8201，內建24個400GbE埠（QSFP-DD）與12個100GbE埠（QSFP28），以及2U尺寸的8202，內建12個400GbE埠（QSFP-DD）與60個100GbE埠（QSFP28），網路頻寬均可達10.8 Tbps。</p> <p>8800系列提供3款機型，其中的8808搭配8槽、16U尺寸機箱，頻寬可達115.2 Tbps；8812搭配12槽、21U尺寸機箱，頻寬可達172.8Tbps；8818搭配18槽、36U尺寸機箱，頻寬可達259.2Tbps。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2020-01-Cisco 8000 TFD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-01-Cisco%208000%20TFD.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2020-Cisco 8000 router-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-Cisco%208000%20router-2.jpg" style="width: 600px;" /></a></p> <p>隔年4月，增設另一個固定配置機型<a href="https://blogs.cisco.com/sp/expanding-the-cisco-8000-router-series">8100系列</a>，搭配2020年10月發表的新款ASIC晶片Silicon One Q200，不提供高頻寬記憶體（HBM），若有這方面需求，可改用8200系列。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-Cisco 8100 and 8200.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-Cisco%208100%20and%208200.jpg" style="width: 600px;" /></a></p> <p>今年6月，思科在日本東京舉行的年度資通訊科技大展Interop Tokyo 2023期間，首度公開展出新款集中型模組化路由器（Centralized Modular）8608，為最新擴充的<a href="https://gblogs.cisco.com/jp/2023/06/interop-tokyo-2023-shownet-pre-eventy-report/">8600系列</a>揭開序幕。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-Cisco%208000%20Router%20type.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-Cisco%208600.jpg" style="width: 600px;" /></p> <p>到了9月，這款機型正式登場，思科陸續公布細部規格、產品特色介紹影片，以及技術架構白皮書，而在他們的Cisco 8000系列路由器產品介紹網頁，也增添8600，簡要描述其為具有備援能力與多樣介面的集中型平臺，最大能支援的網路頻寬為12.8 Tbps，外形是7U尺寸的機箱。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%208000%20router-web.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-Cisco%20Silicon%20One.jpg" style="width: 600px;" /></p> <p>以硬體組成架構而言，Cisco 8608之所以被稱為集中型路由器，源自於它是基於集中式機箱架構的設計而成，能夠在此統一處理所有網路封包轉送的決定，相較之下，8800系列採用分散式架構，8100系列與8200系列採用固定式架構，以單臺設備配備單張ASIC晶片。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Front view of the Cisco 8608.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Front%20view%20of%20the%20Cisco%208608.jpg" style="width: 246px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/8608-Front%20view%20of%20an%20empty%20Cisco%208608%20chassis.jpg" style="width: 298px;" /></p> <p>基本上，Cisco 8608在機箱前段可安裝8個模組化網路介面（Modular Port Adapters，MPAs），當中可提供10GbE、25GbE、50GbE、100GbE、400GbE等網路埠的搭配，可支援多種應用需求，目前思科提供3款MPA模組，內建的網路埠都支援媒體存取控制安全性標準MACsec；同時，此處還能置入2個稱為路由處理器（Route Processor，RP）的模組，負責處理控制層（control plane）的運作，目前RP本身搭配英特爾6核心2.5 GHz時脈的Broadwell架構處理器，以及64 GB記憶體、256GB固態硬碟，也提供網路、USB、RS-232等多種I/O連接埠。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco 8608 Slot numbering.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%208608%20Slot%20numbering.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Cisco 8608-Front Module.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%208608-Front%20Module.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%208608-MPA.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/8608-RP.jpg" style="width: 600px;" /></p> <p>至於機箱背部，Cisco 8608頂端設置4臺3200瓦規格的電源供應器，提供2+2或3+1備援，下半部可置入2個交換卡模組（Switch Card，SC），這裡負責資料層（data plane）的運作，當中採用ASIC晶片Silicon One Q200，最大可提供12.8 Tbps頻寬，而且內建HBM記憶體，可直接連結超高速的矽晶片介面，而不需要存取到位於晶片之外的記憶體，能在低功耗的運作狀態下，具備強大的路由處理與深層封包緩衝能力；每個SC模組背後均設置4個插槽，可安裝風扇模組，因此，整臺設備總共有8個風扇。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/8608-Back%20view%20of%20Cisco%208608%20chassis%20with%208%20FMs%20and%204%20PMs.jpg" style="width: 600px;" /> </p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Silicon One Q200.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Silicon%20One%20Q200.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/8608-SC0-128.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/8608-SC0-128.jpg" style="width: 398px;" /></a></p> <p>思科強調，此系列產品兼具使用彈性與可靠性，並且保護用戶既有投資。以可靠性為例，用戶可透過具有備援機制的路由處理器，以及交換卡模組，獲得能持續運作的控制層與資料層。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/8608-Side%20view%20of%20Cisco%208608%20chassis.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco 8608-SC-MPA.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%208608-SC-MPA.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/8608-two SCs and three Redundant MPAs connection of Cisco 8608 chassis.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/8608-two%20SCs%20and%20three%20Redundant%20MPAs%20connection%20of%20Cisco%208608%20chassis.jpg" style="width: 298px;" /></a></p> <p>為了因應特定場合的需求，Cisco 8608也能改用無備援的運作模式，此時的主要元件搭配上，只用1個路由處理器模組與1個交換卡模組即可，而機箱背部空出來的交換卡模組插槽，需裝上另1個保留風扇而無交換卡的模組Fan Spinner。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%208608-non%20redundant.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/8608-Non-Redundant%20System.jpg" style="width: 298px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Cisco 8608</strong><br /> ●原廠：Cisco<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：7U，包含風扇、電源供應器、路由處理器、交換器配接卡、模組化網路埠配接卡，提供8個模組插槽<br /> ●路由處理器：英特爾6核心處理器、64 GB記憶體、256 GB SSD、I/O埠，頻寬12.8 Tbps<br /> ●交換器配接卡（SC）：搭配ASIC晶片Cisco Silicon One Q200<br /> ●網路埠：模組化網路埠配接卡（MPA）提供3種款式：（1）4個400 GbE埠，頻寬1.6 Tbps（2）24個10/25/50 GbE埠，頻寬1.2 Tbps（3）16個100 GbE埠或12個100 GbE埠+1個400 GbE埠或8個100 GbE埠+2個400 GbE埠，頻寬1.6 Tbps<br /> ●電源供應器：4臺3200瓦（N+N備援）<br /> ●風扇：8臺<br /> ●作業系統：Cisco IOS XR</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/11/3 16:45作者李宗翰https://www.ithome.com.tw/review/159614
明年起Google AdSense將改採曝光計價
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/adsense/evolving-how-publishers-monetize-with-adsense/" target="_blank">Google周四（11/2）宣布</a>，將針對專供出版商提供廣告服務的Google AdSense進行兩項變更，一是更新Google AdSense的營收分享架構，其次是從點擊計價變更為曝光計價，以方便出版商比較不同平臺的費用，以及透明化媒體購買程序，相關變更將於明年上線，且根據Google的測試，出版商的收入將不會因為此一更新而出現變化。</p> <p>Google AdSense分潤一向是透明的，出版商若利用Google AdSense來釋出廣告空間，就可取得68%的廣告營收，不過，新政策將把AdSense營收拆成買方（廣告平臺）與賣方（出版商），在廣告平臺收取費用之後，出版商再取得8成營收。</p> <p>例如當廣告主利用Google Ads於AdSense上購買陳列式廣告時，Google Ads 平均會保留15%的廣告客戶支出，再由出版商取得剩下的8成，另2成分AdSense，其結果依然是68%。倘若廣告主是透過其它廣告平臺購買AdSense，在扣除第三方平臺所收取的費用後，出版商一樣再取得其中的8成。</p> <p>但Google說，該公司無法控制或了解第三方平臺向廣告客戶所收取的費用，也不知它們如何計算。</p> <p>此外，原本AdSense是根據點擊次數來付費給出版商，現在也決定轉向業界通用的曝光計價，以讓出版商更容易比較AdSense與其它平臺所帶來的營收效益。</p> <p>Google指出，相關更新將於明年初生效，不會影響出版商可於網站上展示的廣告類型或數量，出版商的收入理應也不會發生變化，只是強化了AdSense的透明度及比較基礎。</p> </div></div></div>
2023/11/3 15:19作者陳曉莉https://www.ithome.com.tw/news/159626
國內已有近20款Wi-Fi 6E、7相關產品取得NCC認證，年底前更多產品陸續上市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年8月下旬，數位發展部終於開放Wi-Fi使用國內的6GHz頻段（5945MHz-6425MHz），象徵臺灣趕上國外市場腳步，開放Wi-Fi使用新的6GHz頻段，從Wi-Fi 6進入Wi-Fi 6E，甚至是為下一代的Wi-Fi 7作好準備，此一新頻段，除了降低干擾，也有更高的網路頻寬，可望提升Wi-Fi無線網路品質。</p> <p>數位部部長唐鳳在8月下旬簽署開放Wi-Fi使用6GHz特定頻段之後，他表示，開放的頻段可以有效提升2至3倍的頻寬傳輸量，過去VR裝置需連接線至電腦，未來連接線將可由Wi-Fi 6E或Wi-Fi 7取代，帶來新的使用體驗。</p> <p>由於新頻段提供額外的頻道頻寬數量，Wi-Fi 6E可在6GHz頻段額外運用14個80MHz頻道頻寬，或是7個160MHz頻道頻寬，不論頻寬或網路速度都有所增加，因此在數位部開放Wi-Fi使用6GHz部分頻段後，國內網通設備業者、消費者、企業紛紛關心，可使用新頻段的相關產品取得認證的進展，市場何時提供更多元的產品選擇。</p> <p>據瞭解，在數位部開放Wi-Fi新頻段後，NCC已開始進入法制作程序，根據電信管理法，修改低功率射頻器材技術規範，將6GHz的（5945MHz-6425MHz頻段納入技術規範，按照一般程序， NCC委員會通過修改後的技術規範，再送行政院公告，財團法人全國認證基金會（TAF）才能對NCC委托的測試實驗室進行評鑑，通過評鑑的實驗室才能接受業者將產品及設備委託測試，最後產生檢驗報告，向檢驗機關（主管機關NCC）或機構提出型式認證申請。</p> <p>然而，因NCC現在尚未通過修正低功率射頻器材技術規範，將來委員會正式通過後，尚需送行政院公告2個月，儘管在特定條件許可下，公告時間可縮短為2周，但如果按照法制作業程序，技術規範公告之後，TAF評鑑合格的第三方實驗室，實驗室受理6GHz射頻器材測試，可能緩不濟急，難以滿足產業、消費者及商業需求。</p> <p>為滿足產業及市場的期待，在技術規範通過之前，根據電信管制射頻器材審驗管理辦法，業者可提出符合國際或區域性標準組織的檢驗報告，代替NCC委託的第三方實驗室報告，向主管機關NCC申請型式認證，取得認證之後，則可在國內市場銷售。由於臺灣開放的6GHz特定頻段和歐洲相同，因此NCC已可接受業者提出符合歐規的實驗室檢驗報告，但因為現在認證機關（構）只有NCC，因此業者申請型式認證案件需要較長的時間審核。</p> <p><strong><span style="color:#B22222;">已有近20款設備、產品取得NCC型式認證</span></strong></p> <p>在開放頻段後2個月，國內負責射頻器材認證的主關機關NCC統計，截至目前為止，將近20款設備取得NCC型式認證，這意謂著這些通過認證的設備或產品，可在國內上市銷售。</p> <p>不只是消費市場受惠，6GHz頻段的使用也讓企業取得更快的無線網路速度、網路頻寬，例如在商用市場，除了終端用戶之外，還有愈來愈多的IoT物聯網裝置，以及高品質視訊影像的傳輸需求。原本的2.4GHz、5GHz頻段變得壅擠，新增的6GHz頻段提供更多的頻道及容量。</p> <p>目前已審核取得型式認證的設備，包括英特爾的晶片、宏碁與兆勤的路由器、Sony與三星的手機等，涵蓋晶片、路由器，到智慧型手機(蘋果iPhone 15 Pro雖支援Wi-Fi 6E, 但至今為止，尚未向NCC提出認證申請)，由於認證機關目前只有NCC一個認證機關，尚無其他認證機構，因此還有更多的設備及產品等待認證審核中。未來隨著NCC技術規範修正及公告，更多的TAF合格的第三方測試實驗室加入測試行列，以及型式認證機構的增加，Wi-Fi 6E或Wi-Fi 7相關產品在市場上將會愈來愈多。</p> <p><strong><span style="color:#B22222;">年底前將有更多Wi-Fi 6E產品上市</span></strong></p> <p>目前國內的兆勤已有一款已取得NCC型式認證的Wi-Fi 7商用路由器WBE660S，可支援802.11be技術，可使用2.4GHz、5GHz及6GHz頻段，在三頻的BE2200架構下最高可達到22Gbps，網速為Wi-Fi 6/6E將近5倍；此外，WBE66S也能降低與現有4G或5G的頻段干擾，企業可透過雲端管理平臺進行管理。</p> <p>不只Wi-Fi 7產品，兆勤也預告在臺灣已上市銷售可支援6GHz頻段的無線路由器，未來會透過更新韌體方式，也開始支援Wi-Fi 6E。</p> <p>旗下也推出眾多Wi-Fi產品的華碩，準備在11月底推出Wi-Fi 6E Mesh路由器ZenWiFi Pro ET12，該產品即將取得認證，目前也和中華電信合作，以Wi-Fi 6E Mesh搭配光纖網路服務，鎖定家庭寬頻及無線上網需求。此外，華碩預告12月初將再推出一款Wi-Fi 6E產品RT-AXE7800。</p> <p>另一業者TP-Link，在今年8月下旬數位部開放Wi-Fi使用6GHz頻段，該公司隨即發表一系列Wi-Fi 6E及Wi-Fi 7，同時提前公布了未來產品上市價格，顯示搶攻Wi-Fi 6/6E及Wi-Fi 7的企圖心。TP-Link表示，目前產品正在申請認證中，獲得認證後即可銷售，預計會先推出Wi-Fi 6E的Deco XE75與Arhcer AXE75，而12月推出Wi-Fi 7路由器Deco BE85。</p> <p><span style="color:#B22222;"><strong>Aruba與思科產品正在認證中</strong></span></p> <p>至於在企業市場方面，HPE旗下的Aruba Networking，先前因臺灣尚未開放6GHz，因此Aruba旗下可支援Wi-Fi 6E設備AP6XX系列，包括AP 605R、AP 615、AP 635、AP 655，在臺灣上市僅能使用2.4GHz與5GHz，而在6GHz頻段開放後，目前Aruba已重新送NCC認證中，待通過認證後，目前使用Aruba AP6XX的企業，未來只要升級DRT（Downloadable Regulatory Table）功能，允許更新國家網域選項，就能使用6GHz，不需升級ArubaOS軟體版本與硬體。</p> <p>另一家企業級網通業者思科，原本已開始銷售Catalyst、Meraki系列的部分產品就能支援6GHz頻段，例如兩個系列共用的9162/9164/9166，還有Catalyst旗艦級的9136及Meraki旗艦級的MR57也可支援新頻段，思科也已送審等待認證。</p> <p>思科表示，目前支援Wi-Fi 6E的產品已可下單出貨，已有大型醫療單位、製造業採用。對於新的6GHz頻段，將帶來3項效益，更高的容量、更少的干擾、更高的吞吐量。在更高容量方面，因為6E額外頻譜提供非重疊頻道，可以在不降低效能之下，支援更高密度的IT及IoT環境。</p> <p>在更少干擾方面，由於Wi-Fi 6E為Wi-Fi 6無線電技術的延伸，6GHz和先前Wi-Fi 4或5使用的頻段相區隔，不會共用頻段，加上Wi-Fi 6E使用高效率及效能的Wi-Fi 6無線電技術，不會受速度較低的舊裝置影響。更高的吞吐量方面，由於Wi-Fi 6E可使用更多的80MHz及160MHz頻道頻寬，傳送及接收速度都能有所提升，對於頻寬需求較高的應用，高吞吐量有益於AR/VR沈浸式體驗。</p> </div></div></div>
2023/11/3 15:38作者蘇文彬https://www.ithome.com.tw/news/159623
微軟將翻修內部安全設計，提出安全未來倡議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/on-the-issues/2023/11/02/secure-future-initiative-sfi-cybersecurity-cyberattacks/" target="_blank">微軟總裁Brad Smith在本周四（11/2）揭露</a>了微軟的未來安全倡議（Secure Future Initiative），指出將從3方面著手以推動一個安全的新世界，包括聚焦基於AI的安全防禦、強化基礎軟體工程，以及宣導更強大的國際規範，其中，前兩者將涉及微軟內部大規模的安全翻修。</p> <p>Smith說，微軟內部在最近幾個月得出了結論，就是網路攻擊的速度、規模與複雜性不斷地提高，需要採取新的應對措施，以追求新一代的網路安全保護，未來安全倡議於焉誕生，並將匯整微軟的每個部分來達到該目標。</p> <p>根據微軟的統計，過去兩年有40%國家級駭客的攻擊行動都鎖定了重大基礎設施，像是電網、供水系統或醫療機構等，這些領域的服務中斷可能帶來可怕的後果；而微軟所追蹤的123個勒索軟體即服務的聯盟夥伴，自去年9月以來的攻擊次數增加了200%以上，此外，有超過8成的成功攻擊是來自於未列管的裝置。</p> <p>微軟安全未來倡議其中一個重要支柱是人工智慧（AI），認為AI將徹底顛覆網路安全的傳統遊戲規則。這是因為無所不在的裝置與持續的連網狀態建立了大量的數位資料，而更難以偵測網路攻擊，微軟光是1天內就能自全球的裝置接收超過65兆個訊號，就算地球上的80億人口都能一起尋找網路攻擊的證據，可能也永遠跟不上攻擊行動，然而，AI卻能扮演大海撈針的角色。</p> <p>此外，微軟也打算利用AI的機器運算速度來擊敗網路攻擊。目前最大的網路安全挑戰之一為缺乏資安專業人才，全球短缺了逾300萬的相關人才；同時攻擊的速度、規模與複雜性造就了不對稱性，令組織難以大規模地預防或破壞攻擊。因此，微軟的Security Copilot整合了大型語言模型及安全模型，可自複雜資料生成自然語言的見解與建議，以機器的速度來防範攻擊。</p> <p>對於那些經常成為駭客入口的未列管裝置，則可藉由嵌入AI檢測能力的Microsoft Defender for Endpoint 進行管理，第一時間攔截來自手機、筆電或伺服器的入侵企圖。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/11/02/announcing-microsoft-secure-future-initiative-to-advance-security-engineering/" target="_blank">Microsoft Security執行副總裁Charlie Bell則詳細說明</a>了微軟內部軟體工程的相關變更，包括軟體開發的轉型，採用新的身分保護，以及加快漏洞回應速度。</p> <p>Bell表示，微軟將藉由自動化與AI改變軟體的開發方式，將安全開發生命周期（SDL）變成動態SDL（dSDL），於撰寫程式、測試、部署及運作的過程中，把持續整合與持續發布（CI/CD）擴展至持續整合保護以對抗新興的威脅。</p> <p>同時微軟亦將加速及自動化威脅建模，把執行程式碼分析的CodeQL部署到所有的商用產品中，並擴大使用諸如C#、Python、Java與Rust的記憶體安全語言，在程式語言層級便建置安全性以消除常見的傳統軟體漏洞。</p> <p>此外，微軟將提供更安全的預設值，計畫自動導入Azure租戶的基準安全控制，既可減少手動配置成本，也提高了安全標準；並將建立一個跨裝置、產品及服務的統一身分管理平臺，以減少用戶身分被冒用的機會，並將強制使用標準的身分函式庫；亦準備把身分簽章金鑰移至更強固的Azure HSM（硬體安全模組）與運算基礎設施上，在此一架構中，簽章金鑰不管是在靜態、傳輸或運算過程中都是加密的，並自動允許高頻率的金鑰替換。</p> <p>在上述強化安全的措施下，微軟預期未來緩解雲端漏洞的所需時間將可縮短50%。</p> <p>微軟未來安全倡議的最後一個支架是國際規範。其<a href="https://www.ithome.com.tw/news/111979" target="_blank">實微軟在2017年就曾呼籲</a>全球應制定數位日內瓦公約（Digital Geneva Convention），以規範網路空間的行為準則。這次Smith重申，所有國家都應該公開承諾，不會在能源、水、食品及醫療保健等關鍵基礎設施供應商的網路上植入軟體漏洞，並應將雲端服務視為重大基礎設施。</p> <p>Smith指出，各國都不應允許境內任何人，從事可能會危及雲端服務安全性、完整性或機密性的網路活動；也不應為了間諜活動而不分青紅皂白地損害雲端服務的安全性。</p> </div></div></div>
2023/11/3 14:52作者陳曉莉https://www.ithome.com.tw/news/159624
蘋果Q3營收下滑1%，盤後股價跌逾3%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2023/11/apple-reports-fourth-quarter-results/" target="_blank">蘋果周四（11/2）公布</a>截至9月30日的2023財年第四季財報，該季蘋果創下895億美元的營收，比去年同期下滑1%，其中，除了iPhone與服務營收上揚之外，Mac、iPad及穿戴裝置/家用/配件等產品營收皆下滑。當天蘋果盤後下跌了3.39%，股價為171.55美元。</p> <p>在895億美元的營收中，產品營收占了672億美元，下滑5.3%，服務營收為223億美元，成長16%。若從個別產品來看，iPhone營收為438億美元，成長2.7%；穿戴裝置/家用/配件營收為93億美元，下滑3%；Mac營收為76億美元，下滑34%；iPad營收為64億美元，下滑10%。</p> <p>若從區域來看，來自美洲的營收為401億美元，成長0.8%；歐洲營收是225億美元，下滑1.5%；大中華區營收為151億美元，下滑2.5%；日本市場營收是55億美元，下滑3.4%；其它亞太市場營收為63億美元，下滑0.6%。</p> <p>雖然該季蘋果營收微幅下滑，但淨收入達到230億美元，超越去年同期的207億美元，每股盈餘為1.46美元，亦勝過去年的1.29美元。</p> </div></div></div>
2023/11/3 13:06作者陳曉莉https://www.ithome.com.tw/news/159620
Brave推出瀏覽器AI助理Leo，強調匿名性、正確性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Google Chrome及微軟Edge之後，<a href="https://brave.com/leo-launch" target="_blank">瀏覽器開發商Brave也推出了桌機版Brave瀏覽器原生AI助理Leo</a>，強調不蒐集對話、不追蹤用戶，且使用新方法減少AI幻覺問題，此外也公布Brave Premium付費服務。</p> <p>Leo是以今年春天推出的<a href="https://www.ithome.com.tw/news/155766" target="_blank">Brave搜尋AI Summarizer</a>為基礎開發而成，可於搜尋列開啟。<a href="https://brave.com/leo-release/" target="_blank">Brave 8月透過Nightly通道（1.59版）開放</a>開發人員及用戶下載測試Brave及Leo，有數萬人下載試用。昨日Brave正式釋出包含Leo的桌機版瀏覽器Brave 1.60版。</p> <p>Leo可免費使用，用戶可針對他造訪網頁提出各種要求，例如為網頁文章摘錄重點、生成影片字幕、翻譯網頁、分析／改寫或擴充原有網頁內容。和其他生成式聊天機器人不同的是，Leo的回應全部以網頁內容為基礎，而非憑空生成資訊。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1103-Brave%20GenAI%20Leo-3-600.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1103-Brave%20GenAI%20Leo-3-600.png" style="width: 500px;" /></a></p> <p><a href="https://techcrunch.com/2023/10/06/brave-lays-off-9-of-its-workforce/" target="_blank">上個月才宣布裁員</a>9%的Brave昨日也介紹付費版Leo Premium服務，每月15美元，藉此拓展營收。免費版Leo是以Meta開源特別強化安全性的Llama 2為底層模型。Leo Premium則提供Claude Instant模型，後者是Anthropic開發更快、更輕盈的模型，著重邏輯推理和程式碼撰寫。現行版本比前代提供更結構化的回應、更能準確執行指令，數學、程式、多語言及回應問題能力也皆有提升。</p> <p>Brave並與Anthropic技術整合以提高回應的準確率。Anthropic使用Brave的搜尋API搜尋網頁內容來訓練最新模型Claude 2，以協助Claude產品執行檢索增強的生成（retrieval-augmented generation，RAG）。RAG技術可藉由存取外部知識來源，使回應更正確，減少生成式AI的幻覺問題。</p> <p>Brave表示之後Premium會再加入其他模型，也會強化網路速限、對話品質，並提供尖峰用量時優先排序，以及早鳥使用新功能等服務。</p> <p>此外，Brave也強調Leo的安全性。在免費版中，Leo的對話是匿名、不公開的，不會紀錄對話，Brave也不會用它來訓練模型，要使用Leo也不用帳號或登入帳號。它使用反向代理（reverse proxy）技術，所有呼叫都經由匿名服器傳送，因此Brave無法建立呼叫和用戶IP位址的關聯性。</p> <p>而在Premium版本中，用戶註冊後會被發派無法連結的令牌來驗證訂閱，這表示Brave無法將使用活動和用戶購買資訊連結起來，用戶的電子郵件只能用於驗證訂閱，但無法追溯在Leo上的一舉一動，可提升用戶的隱私保護。</p> <p>目前Leo及Leo Premium<a href="https://brave.com/leo" target="_blank">可從桌機版Brave 1.6版使用或購買</a>，未來幾個月內會再推出Android及iOS版。</p> </div></div></div>
2023/11/3 13:21作者林妍溱https://www.ithome.com.tw/news/159622
波音坦承攻擊事件影響物料運籌業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周稍早<a href="https://www.ithome.com.tw/news/159565" target="_blank">LockBit勒索軟體宣稱</a>駭入航太大廠波音（Boeing）網路後，<a href="https://www.theregister.com/2023/11/02/boeing_cyber_incident/" target="_blank">昨日波音承認</a>，公司發生網路攻擊事件。</p> <p>波音說有樁網路事件影響其零件及運籌運作，但表示該事件並不影響飛航安全。波音已通報主管機關，並就此展開調查。這家航太龍頭也已通知客戶及供應商。</p> <p>目前<a href="https://services.boeing.com/parts" target="_blank">波音的零件及運籌網站</a>呈現下線狀態，網頁說明理由是「因技術問題而斷線」。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1103-boeing-600-1.png" style="width: 500px;" /></p> <p>波音並未說明發生的攻擊事件為何，以及是否有任何損失。但可能和本周稍早LockBit勒索軟體駭客公布的事件有關。這群駭客宣稱已利用軟體零時差漏洞駭入波音，並竊取了大量敏感資料。LockBit駭客要求波音在11月2日前回應，且揚言若未支付贖金將公開資料報復。駭客亦未公布任何資料樣本。</p> <p>LockBit是當今最活躍的駭客組織，它提供勒索軟體即服務（Ransomware-as-Service，RaaS）供「客戶」發動攻擊。受LockBit勒索軟體之害的組織全球超過1,600個，包括台積電。</p> </div></div></div>
2023/11/3 12:21作者林妍溱https://www.ithome.com.tw/news/159618
付費版Microsoft 365 Copilot正式推向全球，明年支援繁中
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在問世一個月之後，<a href="https://techcommunity.microsoft.com/t5/microsoft-365-copilot/microsoft-365-copilot-is-generally-available/ba-p/3969331" target="_blank">微軟昨日宣布</a>，提供Microsoft 365企業用戶的付費版Copilot AI助理正式對全球企業開賣。微軟預計明年上半才會支援繁體中文。</p> <p>9月間，微軟將以GPT大型語言模型為基礎的AI助理Copilot部署到Windows 11，<a href="https://www.ithome.com.tw/news/158879" target="_blank">同時宣布</a>Microsoft 365 Copilot將於11月開賣的消息。這項服務已在昨日正式開放企業用戶訂閱，價格為每用戶30美元。</p> <p>Microsoft 365 Copilot除GPT外，還結合跨系統資料搜尋API Microsoft Graph，可搜尋網際網路與M365應用，包括Word、Excel、Powerpoint、Outlook、Teams及行事曆等，能協助整合資料提升生產力，像將公司會議、郵件和聊天訊息更新給全團隊、追蹤及提醒專案進度、或以公司內檔案及網路資料製作SWOT分析等。</p> <p>微軟並強調M365 Copilot的安全性及遵守企業政策，微軟不會使用企業資料或用戶對話訓練AI模型，所有資料都存在M365租戶中，由企業控管。對歐盟企業，微軟特別說明M365 Copilot遵守歐盟資料邊界（EU Data Boundary），即讓企業用戶將公司及客戶資料全數存放在歐盟境內的資料中心。</p> <p>M365 Copilot提供給擁有E3、E5及Business Standard、Business Premium企業授權的用戶採購。這些用戶現在已可以免費使用Bing Chat Enterprise版本。目前Bing Chat Enterprise還是預覽版，正式版上線後，未具有企業授權的用戶則需支付每人每月5美元的訂閱費用。</p> <p>M365 Copilot第一波提供英文（美、英、澳、加、印）、西語（西、墨）、葡語（巴西）、德語、義語、日文及簡體中文支援。微軟計畫2024年上半會再加入繁體中文、阿拉伯語、韓語、俄語等16種語言。</p> <p>而針對政府部門的Microsoft 365 Copilot GCC（Government Community Cloud），預定於明年夏天開始部署。微軟會在明年初再進一步透露針對政府的GCC及國防部的DOD版本內容。</p> </div></div></div>
2023/11/3 12:50作者林妍溱https://www.ithome.com.tw/news/159619
【資料中心基礎架構的革命】CXL與可組合式基礎架構的結合
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1154-coverstory-p1-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>HPE</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>推出至今已有6、7年之久的可組合式基礎架構（Composable Infrastructure），這類技術問世之初，是以提供IT基礎架構動態的按需分解，以及組合能力作為主要訴求，進而實現全面資源池化的資料中心架構。儘管可組合式基礎架構產品確實累積一定的成果與用戶，但限於較高成本、缺乏標準化，始終未能普遍應用。</p> <p>不過，近期隨著CXL（Compute Express Link）記憶體互連技術的崛起，以及快速發展，讓可組合式基礎架構重新獲得了進一步發展的契機。</p> <p>透過CXL提供的標準化、通用化高效能傳輸架構，有望解決可組合式系統的成本與標準化問題，進而推動可組合式應用的擴展，最終實現資料中心基礎架構的全面變革。</p> <p><span style="font-size:28px;"><strong>資料中心資源配置最佳化的難題</strong></span></p> <p>可組合式基礎架構的目的，是透過IT基礎設施資源的按需分解與組合，來解決困擾資料中心的老問題：如何實現資源配置的最佳化。</p> <p>該如何滿足應用程式千變萬化的需求，並且適當的配置運算、儲存、網路等基礎架構資源，一直是困擾資料中心管理者的主要問題，因為資源的不足與過量都會造成嚴重後果——資源供應不足將會影響應用程式的效率、甚至運作停擺，資源供應過量又會形成資源閒置，導致營運成本的無謂浪費。</p> <p>因此，相對理想的資料中心資源配置方式，是「動態」的「按需配置」。</p> <p>所謂的「按需配置」，就是依照應用程式的運作需求，恰當的配置資源數量，但應用程式的資源需求並不是一成不變，往往會隨時間而變化，所以資源配置必須視需求變化動態調整，在需求增加時增加資源供給，在需求降低時則減少資源配置。</p> <p>然而傳統基礎架構建置模式，存在著兩大先天制約，導致資源配置難以達到最合適與最理想的狀態。</p> <p>第1個制約，來自「預置式」的IT基礎架構建置方式。</p> <p>第2個制約，來自「靜態式」的伺服器資源配置型式。</p> <p>傳統的IT基礎架構建置方式，都是「預置」的，也就是預判個別應用程式或應用平臺的運作資源需求，然後組建用於運行這些程式的伺服器。為了預防應用程式因資源不足而癱瘓，一般企業都是「寧濫勿缺」，寧可超額配置資源（over provisioning），因而在典型IT環境，過量配置與資源閒置往往是普遍現象。對此，可組合式基礎架構先驅廠商HPE引述非營利組織自然資源保護委員會（NRDC）估計，大型資料中心伺服器平均超額配置資源的比率，超過8成，造成大量資源閒置與浪費。</p> <p>雪上加霜的是，資料中心的基礎架構資源配置形式，都是以個別伺服器為單位、以CPU為中心的「靜態配置」形式，CPU、記憶體與儲存等資源，都被綑綁在個別伺服器之內，以致個別伺服器之間形成一座座的資源孤島，無法跨伺服器調度資源。</p> <p>前述2項因素，共同導致了當前資料中心資源配置問題。</p> <p>首先，「預置式」的IT基礎架構建置方式，造成高比例的過量資源配置，帶來大量的閒置資源。其次，「靜態」的伺服器資源配置形式，導致IT人員難以跨伺服器調度資源配置，連帶也無法利用個別伺服器上的閒置資源。</p> <p><span style="font-size:28px;"><strong>透過虛擬化改善資源配置</strong></span></p> <p>透過伺服器虛擬化技術，能一定程度地緩解IT基礎架構過量配置，所導致的運算資源閒置問題。藉由虛擬化平臺的中介，應用程式以虛擬的形式來使用運算資源，而不是固定的佔用實體資源，從而讓多個應用程式動態地共享實體運算資源，大幅減少運算資源閒置。</p> <p>然而，虛擬化技術動態使用各種IT資源的能力，僅限於在個別實體伺服器之內，依然無法全面橫跨不同伺服器調度資源，只能透過在不同實體伺服器間遷移應用程式工作負載的方式，來調整不同伺服器之間的資源利用率。</p> <p>但伺服器虛擬化技術這種透過遷移工作負載、間接調整不同伺服器資源利用率的方式，還無法真正實現資源配置的最佳化。</p> <p>首先，遷移工作負載的實現，是以其他伺服器有足夠閒置資源為前提，換句話說，整個應用環境必須擁有足夠高的超額資源配置，才能允許工作負載的自由遷移，這本身就與資源配置最佳化的概念背道而馳。</p> <p>其次，遷移工作負載的資源調度方式，是以一整臺實體伺服器為單位，資源配置粒度過大，不能精確對應運算、儲存、網路等不同面向資源的配置。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1154-coverstory-P1-600-1.png" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><strong>可分解式基礎架構的基本概念</strong></span><br /> <span style="color:#696969;"><strong>可組合式基礎架構是透過資源的分解與組合來運作，首先，將基礎架構資源分解為個別的CPU、記憶體、加速卡、網路介面、儲存裝置，再依類型組成資源池。然後，透過可組合式架構的資源編排管理軟體，依照應用程式的工作負載情況，從資源池中提取適當的資源，組成動態的虛擬伺服器，分別配置給各個應用程式使用。<br /> 藉此可實現基礎架構資源的動態按需配置，最大程度地減少資源的過量配置與閒置，進而顯著節省IT基礎架構的成本。</strong></span></p> <p><span style="font-size:28px;"><strong>解構基礎架構實現資源配置最佳化</strong></span></p> <p>可組合式基礎架構則解構了傳統的伺服器應用框架，以「資源池」與「資源的動態分解與組合」的方式，來實施資源的配置。</p> <p>相較於預先配置了運算、儲存與網路資源的傳統伺服器。可組合式基礎架構採用非預先配置與非聚合式的架構，所有基礎架構資源，都分解為一個個基本的運算、儲存與網路單元，再以軟體定義的方式，將這些資源按需組成動態的虛擬伺服器。</p> <p>所以用戶此時面對的並不是一臺臺伺服器，而是非聚合的各種「資源池」，如「CPU池」、「GPU池」、「儲存池」、「I/O介面池」等，然後依照前端應用平臺的不同需求，從資源池取出適當的資源，組成動態的虛擬伺服器，提供給個別應用平臺使用。而當需求變化或消失時，則可調整或分解虛擬伺服器的組態，將資源歸還到資源池，再重新組合利用。</p> <p>透過「資源池」與「資源的動態分解與組合」，可組合式基礎架構相較於傳統伺服器，具備2大優勢：</p> <p>● 提供更徹底的按需配置：可組合式基礎架構的所有資源，一開始是以分解的型態，分散在各個資源池，再依應用程式的實際需求，從各個資源池中取出適當的資源，組成虛擬伺服器。</p> <p>● 擁有更靈活的資源調度能力：在可組合式基礎架構下，資源池中的資源可依照前端應用程式的負載情況，靈活地重新分解與組合，藉此調整不同虛擬伺服器的資源配置。</p> <p>也就是說，可組合式基礎架構提供了「動態」的資源「按需配置」能力，因而不像預先配置資源的傳統伺服器，容易產生大量的資源閒置，即便出現閒置資源，也能將資源從虛擬伺服器分解、歸還給資源池，藉以重新組合運用。</p> <p>所以，理論上，可組合式基礎架構的存在，可一舉解決解決傳統伺服器資源配置兩大問題：（1）過量資源配置導致嚴重的資源閒置，（2）無法跨伺服器調度資源，進而實現資源配置的最佳化。</p> <p>率先推出可組合式架構產品的HPE，曾在2016年表示，透過採用這種嶄新的架構，可讓資料中心的資源過量配置減少60%，從而節省17%的資本支出。</p> <p>HPE在2019年又提出更詳細的效益數字，聲稱藉由可組合式基礎架構產品消除過量配置與閒置資源，IT基礎設施成本能因此降低25%，每臺伺服器的平均部署時間減少71%，同時也能讓IT基礎架管理團隊的效率提高60%。</p> <p><span style="font-size:28px;"><strong>可組合式架構與超融合架構是截然不同的兩條路線</strong></span></p> <p>除了與基於通用伺服器設計而成的傳統IT基礎架構對比，我們還可進一步看出，可組合式基礎架構這種問世於2010年代中後期的新產品，也有別於2010年代初期流行的超融合基礎架構（Hyper-Converged Infrastructure，HCI），兩者可說是正好截然相反的技術路線。</p> <p>這兩種產品，都可說是本地端IT產品供應商，因應公有雲威脅，而各自發展出來的新興應用架構。</p> <p>超融合是以基礎架構的融合為手段，以運算、儲存資源合一的基本機箱單元為基礎，訴求採購、部署、管理與擴充的簡便，並具備類似公有雲的超大規模擴展能力。</p> <p>可組合式基礎架構則反其道而行，以基礎架構的分解與組合為手段，將基礎架構重新分解，成為運算、儲存、網路等基本單元，再彈性地加以組合運用，訴求精確、彈性的資源配置與運用，並提供類似公有雲的按需配置靈活性。</p> <p>顯然兩種應用架構各自從不同面向，來解決傳統IT基礎架構的問題，然而，可組合式基礎架構的推廣，卻不像超融合那樣順利。</p> <p><span style="font-size:28px;"><strong>推廣可組合式基礎架構的瓶頸</strong></span></p> <p>可組合式基礎架構的開端，是HPE於2016年推出的Synergy，這也是業界首款可組合式基礎架構產品，到了2018年，陸續又有Attala Systems、Dell、DriveScale、Liqid與Western Digital等廠商，跟進投入這個新興的產品領域，形成第一波浪潮。</p> <p>大約到了2019年前後，可組合式基礎架構的發展到達了高峰，各廠商頻繁發表產品，HPE也表示Synergy產品線營業額已達到15億美元。</p> <p>後續可組合式基礎架構產品的發展與推廣，卻陷入明顯的停滯，只剩下HPE、Liqid等廠商仍在積極更新產品。其他廠商方面，Attala Systems在2020年之後便消失於市場，DriveScale 2021年為Twitter收購，Dell的MX7000可組合式架構產品線也久未大幅更新。</p> <p>即便是這個市場的領導者HPE，Synergy產品線的更新速度也已放緩，運算單元的規格，已落後於通用伺服器產品一個世代。</p> <p>依照市調機構IDC的預估，2023年可組合式基礎架構的總銷售額將達到47億美元，乍看之下，這似乎有不錯的業務表現，其實，還不到通用伺服器市場銷售額的5%，相較於超融合基礎架構（HCI）產品，市場規模也不及其一半。</p> <p>而這些跡象的存在，也意味著，可組合式基礎架構目前仍未被多數用戶接受，成為建置IT環境的主要選擇。</p> <p>我們認為可組合式基礎架構推廣不順的原因，可歸納為下列兩點：</p> <p><strong><span style="color:#B22222;">公有雲的衝擊</span></strong></p> <p>可組合式基礎架構的主要訴求，是消除過量配置與閒置資源，從而顯著節省IT基礎架構的建置與運作成本，這的確有吸引力，但對於多數用戶來說，仍不及由公有雲統包大部分的IT基礎設施建置與管理，所能立即感受到的效益。</p> <p>事實上，當用戶將應用遷移到公有雲平臺上後，等於將資源配置與閒置問題，轉移給公有雲業者去承擔。</p> <p>儘管公有雲資料中心同樣存在嚴重的資源過量配置與閒置現象，且業者也將這些沉沒成本轉嫁給承租的用戶承擔，然而，這並不是一般用戶會直接感受到的問題。</p> <p><span style="color:#B22222;"><strong>可組合架構的代價</strong></span></p> <p>可組合式架構提供的基礎資源靈活分解與組合能力，是透過各廠商專屬的軟硬體架構來實現，因而也帶來缺乏標準化與成本較高的問題。</p> <p>雖然目的相同，但各個可組合式架構供應商的產品型態，有著很大的差異。</p> <p>例如，HPE Synergy是以10U刀鋒模組機箱為基礎，搭配乙太網路來連結不同的基礎單元，而Dell的MX7000則是以7U刀鋒式機箱為基礎搭配乙太網路，Liqid則是以自身專屬的PCIe交換器與周邊擴充機箱為核心，透過自身專屬PCIe HBA卡，來搭配第3方的運算單元。</p> <p>除此之外，可組合式架構還需透過專屬的管理軟體與API，才能實現資源的組合與指派。</p> <p>例如，HPE Synergy搭配OneView可組合式軟體堆疊與Composer軟體，Dell MX7000是透過OpenManager軟體，Liqid則採用自身的Matrix管理軟體。</p> <p>非標準化的硬體組態與軟體架構，無可避免地會導致可組合式產品成本較高，同時還有用戶將被綁定在特定廠商與產品框架的疑慮。</p> <p>依照HPE等供應商的說法，透過可組合式產品，至少可以節省20%的IT基礎架構成本，這確實是相當顯著的節省，但考慮到可組合式產品在非標準化，與專屬架構綑綁方面的問題，相當程度抵銷了這個優點，以致許多用戶寧可繼續使用傳統IT基礎架構。</p> <p>即使撇開非標準化與架構綁定問題，可組合式架構最主要的訴求——透過資源配置最佳化、節省資源過量配置與閒置，從而達到成本節省效果，對於不同應用規模的用戶來說，效益也有很大的差異。</p> <p>對於大規模IT環境來說，減少一半的資源閒置或20%的成本，的確相當具有吸引力，</p> <p>但是對於小規模IT環境來說，透過伺服器虛擬化技術，就能讓資源利用率達到可接受的程度，不需要大費周章引進可組合式這種全新架構。</p> <p>所以，顯然可組合式架構對於大型用戶較有吸引力，對中小型用戶的吸引力較為不足。目前已知的一些HPE Synergy用戶，確實也是大型企業或組織居多。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1154-coverstory-P1-600-2.png" style="width: 567px;" /></p> <p><span style="color:#3399ff;"><strong>典型的可組合式基礎架構產品：HPE Synergy</strong></span><br /> <span style="color:#696969;"><strong>HPE Synergy是最早的可組合式基礎架構產品，上圖為Synergy 12000機箱框架的基本組成，採用10U的刀鋒式機箱，機箱正面可安裝運算模組、儲存模組，以及負責系統管理的Composer模組，機箱背面則安裝SAS連接模組、FC光纖通道模組，以及100GbE乙太網路模組，與50GbE乙太網路內部互連模組。<br /> 透過Composer管理模組的OneView管理介面與API，可以透過彈性的方式組合不同運算、儲存與網路模組，配置給應用程式工作負載使用。</strong><span style="font-size:14px;">圖片來源／HPE</span></span></p> <p><span style="font-size:28px;"><strong>CXL技術帶來新契機</strong></span></p> <p>可組合式架構若要進一步推廣，勢必要設法解決標準化問題，而核心互連網路架構將會是箇中關鍵！</p> <p>可組合式架構的核心，在於連結各個基礎架構單元的核心網路，所以，這種架構標準化的關鍵，便在於引進通用的標準網路架構。</p> <p>先前可組合式相關供應商曾把標準化的希望，寄託在Gen-Z網路互連技術的發展上。比起OpenCAPI、CCIL與CXL等同類型的互連技術，Gen-Z設定的願景更大，不僅能用於處理器與記憶體互連，還規畫了跨機箱與異質裝置的互連，很適合作為可組合式架構的標準互連網路，Dell與Liqid也都曾考慮引進Gen-Z，但不幸的是，Gen-Z並未成功，已宣告終止發展。</p> <p>而隨著後續Gen-Z併入CXL技術，可組合式架構標準化的希望，這幾年以來，也逐漸轉移到CXL身上。</p> <p>藉由CXL規格持續擴展，為可組合式架構帶來新轉機，因為它能提供兼具高效能與通用性的標準化傳輸通道，讓可組合式架構的標準化有了新的可能。</p> <p>隨著CXL技術的發展，可組合式架構領域近來有了復甦跡象，在2021年以後，浮現新一批可組合式基礎架構廠商，例如GigaIO、Fungible、Enfabrica等。（其中Fungible已於2023年1月由微軟併購）</p> <p>其中部分廠商如Enfabrica，一開始就是基於CXL打造可組合式運算平臺。Enfabrica稱作加速運算網路（Accelerated Compute Fabric，ACF）的模組化、可組合式運算平臺，可透過該公司PCIe/CXL交換器晶片（稱作Server Fabric Adapter，SFA），提供運算、記憶體與網路資源的任意分解與組合能力。</p> <p><span style="font-size:28px;"><strong>走向全面解構的資料中心</strong></span></p> <p>透過CXL技術的加持，有望促使可組合式架構獲得進一步的發展。</p> <p>但若從更寬廣的資料中心發展觀點來看，無論可組合式架構這類產品最終能否成功推廣與普及，資料中心基礎架構都正朝向解構、非聚合化與資源池化的方式發展。</p> <p>為了打破伺服器核心單元間的彼此綑綁，獲得更彈性的資源配置，過去20年來，資料中心的基礎架構一直逐漸地解構與非聚合化。</p> <p>最早實現解構的IT資源是在儲存端，例如，1990年代透過光纖通道（Fibre Channel）、iSCSI等儲存區域網路（SAN）技術，便實現了將儲存資源從伺服器中剝離，讓儲存裝置「資源池化」的目的。</p> <p>外部儲存設備可透過SAN網路連結成為「儲存池」，而伺服器只需要配置最低限度的本機儲存裝置，甚至完全不配置本機儲存裝置，伺服器需要的儲存資源，則可經由SAN網路從儲存池取得。</p> <p>在2010年代中後期，透過Nvidia的NVLink、NVSwitch等GPU高速互聯技術，將GPU也從伺服器剝離出來，成為可獨立擴展規模與調整配置的GPU運算叢集。</p> <p>而到了2020年代的今日，利用CXL這類記憶體互連技術，DRAM記憶體資源目前也已具備從伺服器解構出來的基礎，能在伺服器之外建立獨立的「記憶體池」，從而在不同伺服器之間，動態按需分派記憶體資源，當需求增大時從記憶體池增加記憶體配置，系統閒置時，則將記憶體歸還到記憶體池。</p> <p>而伺服器本身則能只配置最低限度、甚至完全不配置DRAM記憶體，需要的記憶體資源改由外部的記憶體池取得。</p> <p>接下來，CXL還能應用到FPGA加速卡、I/O卡等周邊裝置的連結，將這些裝置也從伺服器中剝離出來，成為「加速卡池」、「I/O卡池」，從而在不同伺服器之間動態分配應用。</p> <p>而伺服器在逐一剝離了儲存裝置、GPU卡、DRAM記憶體、FPGA加速卡、I/O卡，之後便成為只提供CPU資源的單純運算裝置單元，自身也能構成「CPU池」，再加上「儲存池」、「GPU池」、「記憶體池」、「加速卡池」，共同構成全面非聚合化與資源池化的資料中心架構。</p> <p>上述的發展方向，與可組合式基礎架構的目的，可說殊途同歸。差別在於，資料中心的非聚合化，是綿延長達20年、自然漸進演變的趨勢，而可組合式基礎架構則試圖透過單一產品，就直接實現這個目標。</p> <p>更進一步而言，這股「解構」的風潮，如今也已經蔓延到最初以融合IT基礎架構為主要訴求的超融合領域，VMware與Nutanix等兩大超融合平臺，近年來都悄悄引進了非聚合式的架構，鬆綁了超融合系統原本的運算與儲存合一架構，開始提供純運算節點與純儲存節點的部署選擇，以便改善資源擴展與配置的效率，等同走向可組合式架構。</p> <p>所以，我們現在可以更大膽地預言：無論可組合式架構未來能否成功，資料中心IT基礎架構的演變，最終都會成為可組合式架構所描繪的模樣。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1154-coverstory-P1-600-3.png" style="width: 592px;" /></p> <p><span style="color:#3399ff;"><strong>邁向非聚合化的資料中心基礎架構</strong></span><br /> <span style="color:#696969;"><strong>當前的資料中心基礎架構，屬於「非聚合化」發展的初期階段，只有儲存資源與GPU加速器被解構到伺服器外，伺服器應用架構是以CPU為核心，記憶體、I/O介面等資源都綑綁在伺服器內，至於伺服器之間，則主要透過乙太網路互連。<br /> 不久之後，當CXL開始獲得應用之後，記憶體也將能被解構到獨立的CXL應用裝置上，構成「記憶體池」，然後透過CXL與伺服器互連，將記憶體資源動態地分配給伺服器使用。<br /> 而在更遠的未來，預期CXL的應用將進一步擴大，進而將伺服器機架分解為獨立的運算、記憶體與I/O機箱，分別構成「CPU池」、「記憶體池」、「I/O」池，彼此間都透過CXL互連，成為徹底的非聚合式架構。<br /> 依照CXL控制器供應商Marvell的預測，應用CXL記憶體池的部分非聚合式伺服器架構，將在2024到2025年進入部署階段，而完全分解的伺服器架構，則會在2020年代末期出現。</strong><span style="font-size:14px;">圖片來源／Marvell</span></span></p> <p><a href="https://www.ithome.com.tw/article/159581" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1154-feng_mian_p1-open-ming_de_-960x420_kao_bei_0.jpg?itok=WTYQ43YW" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%8F%AF%E7%B5%84%E5%90%88%E5%BC%8F%E5%9F%BA%E7%A4%8E%E6%9E%B6%E6%A7%8B">可組合式基礎架構</a></div><div class="field-item odd"><a href="/tags/cxl">CXL</a></div><div class="field-item even"><a href="/tags/composable-infrastructure">Composable Infrastructure</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E6%96%99%E4%B8%AD%E5%BF%83">資料中心</a></div></div></div>
2023/11/3 12:00作者張明德https://www.ithome.com.tw/tech/159579
【從3大面向檢視當前可組合式基礎架構產品】可組合式基礎架構產品導覽
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1154-coverstory-p2-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Liqid</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在過去十年來的IT基礎架構技術發展中，可組合式基礎架構（Composable Infrastructure）可算是真正的革命，徹底打破傳統伺服器的框架，讓伺服器的資源配置與調度，進化到新層次。甚至市調機構IDC與部分廠商為此特別創造新名詞，名為「可組合分解式基礎架構」（Composable Disaggregated Infrastructure，CDI），以此稱呼這種新興產品類型，強調這類產品透過「組合與分解」基礎架構資源，因應IT應用需求的嶄新特性。</p> <p>CDI這個領域迄今只有6、7年的歷史，起點可追溯HPE於2016年推出第一套可組合式基礎架構產品Synergy，之後，陸續又有Attala Systems、Dell、DriveScale、Enfabrica、Fungible、GigaIO、Liqid與Western Digital（WD）等廠商投入，開拓這個新興領域，雖然這些大多都是新創廠商，但是，也有HPE、Dell與WD等一線大廠。即便去除為併購或其他因素而退出市場的廠商，如Attala Systems、DriveScale、Fungible，CDI仍是一個頗具發展潛力的產品類型，依IDC的預估，CDI在2022、2023年的市場規模，約有30、40億美元之譜。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1154-coverstory-P2-600-1.jpg" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><strong>可組合式基礎架構的2大關鍵元件</strong></span><br /> <span style="color:#696969;"><strong>依照前端應用程式的需求，動態地按需分解與組合運算、儲存、網路等基礎架構資源，是可組合式基礎架構的基本運作方式，因此對這類產品來說，最關鍵的兩項元件，便是用於連結所有資源的核心網路，以及提供資源組合與配置管理的軟體平臺。<br /> 以上圖呈現的Liqid Matrix平臺為例，核心網路是以PCIe 4.0為基礎（也提供採用100GbE的選項），軟體平臺則是基於Matrix的Liqid Command Center。</strong><span style="font-size:14px;">圖片來源／Liqid</span></span></p> <p><span style="font-size:28px;"><strong>可組合式架構的特性：裸機即服務</strong></span></p> <p>可組合式基礎架構的目的，與伺服器虛擬化技術一樣，都是以提高IT基礎架構的資源利用率、改善資源配置靈活性為目的，但採取的手段與運作的層次不同，因而達到的效果也有異。</p> <p>伺服器虛擬化技術是透過虛擬軟體層的模擬，來突破實體伺服器的應用框架，但並未改變伺服器的實體硬體型態，因而跨伺服器間的資源調度，仍會受到實體伺服器框架的限制，無法跨伺服器轉移、調度實體的硬體資源，只能透過在不同伺服器間遷移工作負載，間接地調整跨伺服器間的資源利用。</p> <p>也就是說，伺服器虛擬化技術只能在不同伺服器之間轉移工作負載，而無法跨伺服器實際轉移實體硬體資源。事實上，在傳統伺服器的框架下，要跨不同伺服器去轉移實體硬體資源，唯一辦法只有停機、手動拆卸與遷移硬體元件。</p> <p>可組合式基礎架構則是從底層的硬體層次，改變伺服器的組成型態，將IT基礎架構資源分解為不同的資源池（CPU池、記憶體池、GPU池、儲存池等），然後再視前端應用程式的需求，從資源池中取出適當的硬體資源，組成虛擬伺服器，再將其用於運行應用程式。</p> <p>可組合式架構組成的虛擬伺服器，等同於實體的裸機（Bare Metal）伺服器，但具備動態組合與分解能力，可依應用程式工作負載設定與調整資源配置，並在應用程式執行完畢後，分解虛擬伺服器，將資源回歸資源池，以便其他應用程式重新組合運用。這也等同「裸機即服務」（Bare Metal as a Service），按需動態提供裸機資源的解決方案。</p> <p>更進一步，這種硬體資源任意分解與組合的能力，也形同於可以在不同伺服器之間，直接調度與轉移CPU、記憶體、GPU等實體硬體資源，這是傳統伺服器框架所無法想像的調度能力。</p> <p>可組合式架構可獲得不受傳統伺服器硬體框架限制的資源調配靈活性。更進一步，也能和伺服器虛擬化平臺結合使用，從而兼具兩種技術的優點，共同幫助實現資料中心資源配置的最佳化，避免資源過量配置與閒置。</p> <p><span style="font-size:28px;"><strong>檢視當前的可組合式基礎架構產品</strong></span></p> <p>可組合式基礎架構是透過將資源池中的不同資源，按需組合與分解來運作，所以，這類產品通常可以分為兩個部分，其一，是構成資源池的硬體資源，其二，則為提供資源動態分解與組合操作能力的核心網路與管理平臺。</p> <p>在實體層面，可組合式基礎架構也是透過機架式伺服器、儲存櫃，以及網路交換器，來提供IT環境需要的運算、儲存、網路等硬體資源，看起來與傳統伺服器架構沒太大不同，然而，差別在於可組合式基礎架構是以資源池的方式，來管理與使用這些硬體元件。</p> <p>為了將分散在各資源池中的硬體元件，動態地組合成虛擬伺服器，必須利用一套專屬核心網路，連結各資源池的所有硬體元件，還要有一套軟體平臺，來管理這些資源的分解與組合配置。</p> <p>因此可組合式基礎架構產品的核心，便是用於連結所有基礎架構資源的專屬核心網路，以及負責提供資源分解與組合操作管理的系統軟體平臺。</p> <p>所以，在檢視與評估可組合式架構產品時，系統硬體組成、核心網路類型，以及系統軟體這3個面向，便是最自然的出發點。接下來，我們便以這3個面向，簡要檢視當前主要可組合式架構產品。</p> <p><span style="color:#B22222;"><strong>系統硬體組成</strong></span></p> <p>目前的可組合式架構產品大致分為兩種，一為完全整合型，也就是單一產品同時內含運算、儲存、網路等所有必要的資源；另一為部分整合型，產品只提供儲存、網路、運算加速等部分功能，須搭配第三方的伺服器或儲存設備，才能構成完整的應用環境。</p> <p>最具代表性的完全整合型產品，便是HPE Synergy，以及Del lMX7000，兩者都以刀鋒機箱為基礎。</p> <p>HPE Synergy採用10U的刀鋒式機箱，可以容納負責系統管理的Composer管理模組、運算模組、儲存模組、50GbE內部互連模組、SAS連接模組，以及100GbE與32Gb FC網路模組。還能搭配機箱外部的交換器與儲存陣列。</p> <p>Dell MX7000則採用7U刀鋒式機箱，可容納運算模組、儲存模組，以及乙太網路交換器模組、FC交換器模組，以及內部互連模組，與網路擴展模組，並可透過FC交換器模組連結外部儲存設備。</p> <p>部分整合型產品方面，則依不同廠商而有很大差異，基本可分兩大類：以網路端設備為核心、以儲存端設備為核心，前者有Liqid、GigaIO、Enfabrica，後者則有WD、DriveScale、Fungible。</p> <p>Liqid的Martix可組合式架構平臺同時提供完全整合與部分整合這兩種型態。最初Liqid只提供部分功能型產品，以專屬PCIe Fabric交換器為核心，加上用於安裝GPU、FPGA加速卡、SCM、SSD與I/O介面卡等周邊裝置的擴展機箱，需額外搭配通用伺服器作為運算單元（須安裝Liqid PCIe HBA卡）。</p> <p>後來Liqid在2022年推出ThinkTank整合式套件，同時提供PCIe Fabric交換器、內含GPU、網路卡、NVMe SSD的擴展機箱，以及通用伺服器。</p> <p>GigaIO的FabreX系統，則是提供自身專屬的FabreX交換器，以及專屬的FabreX網路卡，搭配第三方伺服器與儲存伺服器，來構成完整應用環境。</p> <p>Enfabrica則是以專屬ACF-S PCIe/CXL交換器晶片為核心，打造了ACF-S網路節點機箱，可配置為GPU網路節點或記憶體池節點，然後另外搭配通用伺服器，構成完整應用環境。</p> <p>WD的OpenFlex則提供NVMe儲存機箱，包括早先發表的E3000機箱，以及現在推出的Data24機箱。在2021年初被Twitter（現在的X）併購的DriveScale，也以儲存伺服器機箱為核心。2023年初被微軟併購的Fungible，同樣以搭載專屬DPU卡的FS1600儲存伺服器為核心。</p> <p><span style="color:#B22222;"><strong>核心網路類型</strong></span></p> <p>可組合式架構內用於連接各個單元的核心網路，會影響可組合式系統資源的分解粒度，擴展規模，以及分散部署能力（各單元的部署距離）。</p> <p>目前可組合式架構產品採用的核心網路，可分為乙太網路與PCIe等2大類型。其中HPE、Dell、WD、DriveScale與Fungible屬於乙太網路陣營，Liqid、GigaIO與Enfabrica則屬於PCIe陣營。</p> <p>乙太網路的優點是設備通用，連接距離長，設備能夠更分散地安裝部署，缺點是只能用在機箱之間的互連，而無法深入機箱內部、用於核心元件間的互連，這也限制了資源的分解粒度。</p> <p>PCIe的優缺點則與乙太網路相反，缺乏通用性，必須使用廠商專門訂製的設備（交換器與HBA卡），連接距離也較短，但頻寬與延遲表現都更佳，既能用於機箱之間互連，也能用於機箱內部元件的互連，可提供更精細的分解粒度。</p> <p>由於核心網路有別，也影響各家可組合式架構產品能提供的組合分解粒度。例如，採用乙太網路、搭配FC介面輔助的HPE Synergy與Dell MX7000，分解與組合的粒度，都只達到運算模組、儲存裝置，以及交換器的層次。</p> <p>至於採用PCIe作為核心網路的Liqid、GigaIO與Enfabrica，不僅能提供運算模組、儲存模組與交換器的分解與組合，還能提供GPU卡、FPGA卡、網路卡、儲存級記憶體裝置（SCM）等元件的分解與組合，應用更為靈活，代價則是必須搭配使用各廠商專門設置的PCIe交換器，以及HBA卡。</p> <p>採用PCIe還有便於日後升級、引進CXL互連技術的優點，藉此可將分解與組合的粒度提高到DRAM記憶體層級。</p> <p>目前Liqid、GigaIO的可組合式平臺都是基於PCIe 4.0，足以作為GPU卡、FPGA卡、網路卡等元件的連接介面，但是，還不足以作為記憶體的傳輸介面。當有了基於PCIe 5.0的CXL技術之後，便能進一步將記憶體從運算單元分離，例如後起的Enfabrica，便是以CXL/PCIe 5.0為核心網路架構，因而也是目前唯一提供記憶體池的可組合式產品。較早推出產品的Liqid與GigaIO，也都已準備跟進導入CXL技術。</p> <p><strong><span style="color:#B22222;">系統軟體</span></strong></p> <p>所有的可組合式架構產品，都必須透過專門的軟體平臺，管理資源的組合與配置。</p> <p>例如，HPE Synergy是採用HPE自身的OneView、Composer軟體，以及API，Dell MX7000則採用Dell的OpenManage軟體，WD OpenFlex必須透過KlngFish API，Liqid則是自身專屬的Matrix軟體。Fungible是藉由專屬Composer管理伺服器管理。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1154-coverstory-P2-600-2.png" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><strong>典型的可組合式系統產品：全整合型</strong></span><br /> <span style="color:#696969;"><strong>Dell的MX7000是典型的完全整合型可組合式架構產品，以MX7000模組化機箱為基礎，搭配提供多種運算模組、儲存模組、網路模組，單憑自身產品就能構成完整的應用環境。</strong>圖片來源／Dell</span></p> <p class="rtecenter"><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1154-coverstory-P2-600-3.png" style="width: 600px;" /></span></p> <p><span style="color:#3399ff;"><strong>典型的可組合式系統產品：部分整合型</strong></span><br /> <span style="color:#696969;"><strong>Liqid的Matrix是典型的部分整合型可組合式架構產品，Liqid提供PCIe交換器與數種PCIe擴展機箱，然後另外搭配標準的通用伺服器，共同構成完整的應用環境</strong>。<span style="font-size:14px;">圖片來源／Liqid</span></span></p> <p><span style="font-size:28px;"><strong>跨產品的整合應用</strong></span></p> <p>不同的核心網路架構，以及專屬的管理平臺，是導致可組合式架構產品難以標準化的一部分原因。</p> <p>不過，也有可組合式架構產品供應商透過相互合作，提供跨產品的整合方案。例如Liqid便分別與Dell與WD合作，將Liqid的Matrix平臺結合Dell MX7000與WD OpenFlex平臺，提供整合解決方案。</p> <p>例如在Dell與Liqid的整合方案中，MX7000透過安裝Liqid的PCIe HBA卡，經由Liqid的PCIe交換器連接Liqid擴展機箱，將MX7000的運算模組與網路模組，結合Liqid擴展機箱提供的GPU卡、FPGA卡、SSD、網路卡等元件，共同組成資源池，並透過Liqid的Matrix管理平臺來動態地組合配置這些資源。</p> <p>這種跨廠商與跨產品的整合，也是在可組合架構領域缺乏標準化的現況下，擴大不同平臺應用能力的變通作法。</p> <p><a href="https://www.ithome.com.tw/article/159581" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1154-feng_mian_p1-open-ming_de_-960x420_kao_bei_0.jpg?itok=WTYQ43YW" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%8F%AF%E7%B5%84%E5%90%88%E5%BC%8F%E5%9F%BA%E7%A4%8E%E6%9E%B6%E6%A7%8B">可組合式基礎架構</a></div><div class="field-item odd"><a href="/tags/cxl">CXL</a></div><div class="field-item even"><a href="/tags/composable-infrastructure">Composable Infrastructure</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E6%96%99%E4%B8%AD%E5%BF%83">資料中心</a></div></div></div>
2023/11/3 12:00作者張明德https://www.ithome.com.tw/tech/159580
可組合式基礎架構邁向復甦
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1154-feng_mian_p1-open-ming_de_-960x420_kao_bei_0.jpg?itok=WTYQ43YW" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>藉由CXL記憶體互連技術發展，沉寂數年的可組合式基礎架構（Composable Infrastructure），有了重生與擴大契機。藉由CXL的標準化高效能互連通道，搭配可組合式系統提供的資源任意按需分解與重組能力，將能實現硬體全面解構，更多類型的資源能橫跨伺服器共用，為資料中心帶來全新樣貌。</p> </div></div></div>
2023/11/3 12:00作者張明德https://www.ithome.com.tw/article/159581
不只為加速轉型全面擁抱公雲，裕利更善用IT創新數位化應用
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣3年前能夠成功應對疫情考驗，除了政府政策和民眾積極配合外，負責疫苗配送的裕利醫藥，也是其中一大幕後功臣。裕利之所以能夠接下COVID-19疫苗配送任務，不僅僅因為是唯一一家有能力提供不同溫層的醫藥冷鏈物流服務商，這家公司很早就開始展開數位轉型，運用IT打造強健的韌性營運能力，更是其中重要的關鍵。</p> <p>尤其，裕利的商業模式很不一樣，不僅僅是提供醫藥物流配送，還包括了藥廠銷售維運服務，可以說，藥廠除了研發、製造以外的所有營運功能，幾乎都可以委託裕利一手包辦，因此不只每天需要處理上萬筆訂單，多達上萬種藥品配送，甚至還包辦藥廠所有營運，這使得裕利這家公司的經營重度依賴IT，必須仰賴IT和數位化，甚至加速轉型上雲，發展創新數位化應用。</p> <p><span style="font-size:28px;"><strong>裕利高度倚重IT，不只服務藥廠、醫院，還要加速新事業發展</strong></span></p> <p>身為一家跨國醫藥物流服務集團，裕利目前在全球擁有13個營運據點，光是在臺灣，上百家國外藥廠的醫藥物流經銷，全都委外給裕利。因此，裕利每天處理的業務相當複雜，不僅為藥廠的客戶提供服務，負責包辦其所有行政、客服等事務，同時還需要代替藥廠向醫院投標藥品，甚至還需要直接面對全臺2萬家診所、醫院和藥局的訂單需求。</p> <p>不光如此，裕利近幾年持續擴大服務版圖，跨足不同新事業，從醫療保健、病患照護、醫療險審件，到跨足電商通路行銷。這些新的業務和服務，要能迅速發展，背後都高度倚重IT。</p> <p>裕利集團在2019年決定轉型，以數位優先為主軸，來發展各種醫藥數位化應用，服務不同藥廠、醫院、診所等，以因應不斷推出的新醫藥服務和不斷增長的醫療保健需求。裕利IT成了加速集團轉型的關鍵。</p> <p>陳俊銘去年底開始擔任裕利臺灣分公司IT主管，一方面持續推動數位轉型，以符合集團總部的轉型目標；另一方面將總部新系統逐步落地臺灣，來提升醫藥服務效率和品質。</p> <p><span style="font-size:28px;"><strong>導入新的標案管理系統，簡化繁瑣人工作業流程</strong></span></p> <p>雖然陳俊銘上任不到一年，但在這段期間，他和IT團隊配合集團全球政策，持續導入新系統，簡化內外部作業流程，新推出的標案管理系統就是其中一個例子。</p> <p>目前在臺灣，裕利一年要處理約2千件藥廠客戶的標案，由裕利代表這些藥廠向醫院投標，但是每間藥廠都會提供他們自己藥品的價格，一百多間藥廠中，就有超過兩萬個藥品的品項。這些處理工作相當繁瑣。</p> <p>裕利臺灣的IT團隊過去自行建立一套標案管理系統，負責投標相關作業的處理，但執行過程包含不少人工環節，如由人員前往醫院抄寫標案內容，再手動輸入到系統中，並透過電話或電子郵件與藥廠聯繫，協助後續的代標作業。這個過程不僅相當耗時，還需要大量人力，於是去年底，陳俊銘上任後決定採用新系統來處理。</p> <p>雖然這套系統是由裕利總部開發，由臺灣IT團隊導入，他表示，從規畫階段開始，臺灣IT團隊就積極參與其中。他解釋，由於臺灣對於標案的需求與裕利在其他地區經營作法有所不同。例如在臺灣有許多公立醫院，各家醫院都有自己的標案系統，還有來自不同單位的標案的需求，像是榮民總醫院就有退輔會的標案，而三軍總醫院則有軍方的標案等，因此，臺灣團隊當時花了不少時間與總部合作，使開發出來的新系統能夠貼近臺灣在地化的標案型態所需。</p> <p>這套系統自今年初上線以來，目前在臺灣已有70幾家藥廠開始使用。他表示，採用新系統的好處，一方面，可以讓醫院招標資料取得更自動化，以RPA軟體機器人取代人工抄寫，大幅節省人工收集的時間，也能避免負責的業務人員離職後需要重建資料的情況；另一方面，藥廠客戶可以很容易查看過去自己投標出價的歷史記錄，甚至對於感興趣的標案，也能直接透過平臺委由裕利來代標，還能隨時查看標案進度、結果，及相關合約處理事項等。</p> <p>不只是標案系統，目前，100多家國外藥廠在臺灣所使用的IT系統或服務，從訂單到最後出貨、送貨，全部由裕利提供。此外，裕利還為許多臺灣本地的醫院、藥局、診所提供各項服務，例如推出線上訂貨服務，讓他們可以線上訂購處方藥、醫療設備或健康產品，還推出能線上付款的裕利Pay服務。迄今多達7千家藥局、診所有用。</p> <p>除了導入新系統，裕利臺灣IT團隊也不斷優化既有系統和服務，例如他們針對客戶服務支援系統（Help Desk）進行改良，將該系統與Line平臺整合，讓客戶除了可以透過電話詢問外，以後只需要在官方Line上留言提出問題，這些問題就會自動被轉拋到裕利後端的系統，然後由客服人員協助處理。他表示，透過採用這種方式，每天可以減少約150通的客服電話，有助於提升服務效率。</p> <p>為了提供顧客更好的技術服務支援，陳俊銘上任後建立更明確的IT分工，除了原本的AP和基礎設施外，還增設原廠及客戶服務團隊，由該團隊負責為藥廠提供IT維運服務，例如協助調整其所需的報表格式、資料介接方式，以及系統更新等等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1154-CIO-600-1.png" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><span style="font-size:20px;"><strong>裕利醫藥資訊長陳俊銘表示，新舊系統轉換和測試非常繁瑣，加上需符合國外稽核要求，因此內部溝通就很重要，確保每筆資源花在刀口，這些都是IT管理的挑戰。</strong></span></span><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>為加速轉型，裕利大步擁抱公雲</strong></span></p> <p>除了發展各種醫藥數位化應用，裕利集團近幾年為了加速轉型開始翻新既有IT架構，逐步朝向現代化的IT架構發展，甚至開始全面擁抱公雲，還提出了ATA （All to Azure）計畫，將ERP、WMS等集團核心系統搬上公雲，並先從集團內部開始，擴展到全球分公司。臺灣裕利也分階段將地端系統自機房遷移到公雲，針對後續推出的新系統，都預設部署在雲端。</p> <p>陳俊銘上任後陸續將更多本地系統搬上雲端。他表示，目前已有8成系統主機搬上公雲，包括客服系統、Tableau、RPA等。少數系統仍然保留在地端，如車隊系統等。</p> <p>一段時間上雲後，他今年鼓勵IT團隊開始轉向雲原生的開發方式，來取代傳統使用Azure VM的應用程式開發方式，例如，可以改用Azure App和Azure SQL資料庫進行應用開發，直接從Web或應用層連接到Azure SQL，無需再考慮Windows層，也就不需要因為系統停止更新或達到壽命終止而花時間更新Windows系統或更換資料庫。「簡單說，就是捨棄使用虛擬機的IaaS模式，轉向PaaS服務型態進行上雲」他說。</p> <p>在轉換系統上雲的過程中，裕利臺灣資訊團隊也面臨不少IT挑戰。他指出：「新舊系統轉換和測試非常繁瑣，加上需符合國外稽核要求，因此內部溝通就很重要，確保每筆資源花在刀口。這些都是IT管理的挑戰。」</p> <p>另一方面，由於裕利的IT系統大多由集團總部IT進行開發，再提供給裕利13個分公司使用與提供技術支援，然而，有時對系統進行更改可能導致臺灣的系統出現異常況。為了解決這個問題，他鼓勵IT人員如果發現這種情況，應盡早向總部報告，也將其影響公開在平臺上，使總部可以逐步調整，配合臺灣本地服務水平的要求。</p> <p><span style="font-size:28px;"><strong>不只是疫苗，未來配送到醫院冷鏈藥品履歷和運送資訊也能即時掌握</strong></span></p> <p>在疫情嚴峻期間，裕利臺灣IT團隊自行打造一套新系統，用來支援全臺疫苗配送，這套系統結合IoT偵測，能即時檢測疫苗溫度，並在疫苗快失溫時通知司機盡速處理，幫助他們成功克服冷鏈低溫運輸的種種挑戰。</p> <p>即使疫情解除後，這套系統仍持續使用，不僅用來協助配送猴豆疫苗，裕利還計畫在明年擴大到所有醫院的藥品配送，未來不僅適用於疫苗，還包括其他需要在2到8度的環境條件下運送的冷鏈藥品，以後配送到醫院的完整藥品履歷和運送資訊，都能透過這套系統即時掌握。</p> <p>在運輸配送方面，裕利目前在臺灣有上百輛車組成的醫藥運輸車隊，協助將藥品或疫苗配送到各醫院。為了提高司機配送效率，裕利除了翻新老舊PDA車機硬體，還計畫在年底推出新版的App，整合更多的資訊查詢、比對功能。他表示，未來裕利計畫逐步實作運輸作業數位化，讓司機可以透過App快速完成交貨收件等工作，未來也將把裕利Pay的電子帳單功能整合到App中，從而打通物流運輸e化最後一哩路。</p> <p>陳俊銘指出，為了實現這些功能，背後需要串接不同系統，如訂單系統、車隊系統等，來完成與車機App的整合，「一旦將這些營運過程數位化後，以後這些數據就更容易被追蹤和共享」。</p> <p><span style="font-size:28px;"><strong>新一代醫藥物流中心明年開始建置，預計2026年啟用</strong></span></p> <p>裕利明年計畫建置一座占地2萬坪的新一代醫藥物流中心，預計於2026投入營運。他透露，新的物流中心不只儲量翻三倍，還將導入許多創新科技、自動化應用，希望能夠實現高度自動化、甚至可以達到無人化醫藥自動倉儲。此外，未來啟用後，現有的5座物流倉將會整合並遷移到新倉。陳俊銘和IT團隊今年開始針對這座新物流中心IT展開規畫。</p> <p>近幾年，裕利開始強調數據的重要性，由於裕利和許多醫藥客戶往來過程中，會產生大量數據交換，多年來，累計資料量已達到Peta級，其中臺灣的資料量就占了10TB。</p> <p>為了數據分析所需，裕利集團多年前就建置資料倉儲，用於儲存ERP的數據和其他歷史的營運數據。近兩年，他們更建立了自己的資料湖平臺，整合不同來源、格式的數據，用以進行數據分析和相關應用。例如利用AI提供銷售預測、銷售分析，供藥廠客戶參考。</p> <p>此外，裕利內部也結合各種數據分析工具，提供各項商業分析服務，例如在2017年開始使用Tableau提供數據圖表分析，最近還開始試用Power BI，以提供藥廠所需的分析報表。文⊙余至浩</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>陳俊銘　裕利醫藥資訊長</strong></p> <p>學歷：元智大學資管碩士</p> <p>經歷：在製藥產業累積多年的IT經驗，從上游到下游產業鏈都待過，曾先後在友華生技醫藥、中華合成生技、佳生科技顧問、上海蘭衛醫藥等公司擔任IT主管，2022年底正式加入裕利臺灣分公司，擔任資訊長一職，持續推動內部數位轉型，以符合集團總部轉型的目標</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>裕利醫藥</strong></p> <p>地址：臺北市松山區南京東路四段126號10樓</p> <p>網址：<a href="http://www.zuelligpharma.com/">www.zuelligpharma.com/</a></p> <p>成立時間：1988年</p> <p>集團總公司：Zuellig Pharma集團</p> <p>主要業務：醫藥物流、醫藥保健服務</p> <p>員工數：約800人</p> <p>董事長：凱珀斯</p> <p>總經理：周志鴻</p> <p>資本額：2.1億</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：資訊長</p> <p>資訊部門主管姓名：陳俊銘</p> <p>資訊部門名稱：資訊處</p> <p>資訊部門人數：13人</p> <p>資訊部門分工：應用程式、基礎架構、原廠及客戶服務</p> <p>IT預算：約4,000萬元（2023年）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2016年：系統全面轉化成SAP</p> <p>2017年：導入Tableau，並運用 RPA來優惠營運效率及數位能力</p> <p>2018年：裕利新的簡易繳款平臺推出上線</p> <p>2020年：因應疫情所需，全力發展線上訂貨平臺eZRx、線上付款平臺及建置網路電話系統等軟硬體建設，八成訂單可遠距處理，不受疫情影響</p> <p>2021年：整合八大系統及物聯網技術，自行開發全臺第一套醫療溫度履歷eZLogistics，可全程監控溯源極低溫醫藥品，如新冠肺炎疫苗</p> <p>2023年：eZTender標案管理系統推出上線、加值服務管理系統上線</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1154-cio-960.jpg" width="960" height="420" alt="" title="裕利醫藥資訊長陳俊銘　（攝影／洪政偉）" /></div></div></div>
2023/11/3 12:00作者余至浩https://www.ithome.com.tw/people/159584
企業私雲走向多元發展
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上雲在企業IT領域蔚為風潮，而這裡的「雲」多數人的認知是將企業的IT系統局部或全部搬到「公有雲」環境，尤其是三大公有雲：AWS、Azure、GCP，至於私有雲，受到討論與關注的程度明顯不如公有雲，但並不代表這種類型技術的發展乏善可陳，相反地，私有雲在這幾年公有雲鋪天蓋地而來的強烈競爭與刺激之下，其運作型態、能使用的技術、業務運作模式，也持續獲得突破，提供更多選擇，讓企業與組織自行建置IT基礎架構時，得以享有近似公有雲環境的便利體驗。</p> <p>支撐私有雲平臺使用的最典型的技術，就是超融合基礎架構（HCI）、軟體定義資料中心平臺（SDDC）的持續進化，歷經提供更彈性的節點擴充選擇、支援Kubernetes容器即服務平臺，以及與公有雲業者的密切合作、拓展在多雲與混合雲架構的運作與遷移模式，如今的HCI不再只是預先整合硬體伺服器與虛擬化、管理軟體的「一體機」，而是能彈性轉移至多個公有雲、雲端服務供應商（CSP）、不同國家主權雲運作的平臺。</p> <p>而在各家HCI平臺廠商當中，VMware是箇中翹楚，在企業自行建置的IT環境當中，他們持續改良vSphere、VMware Cloud Foundation、VMware Tanzu，而在公有雲、多雲的環境適應上，他們成功建立與持續擴大VMware Cloud平臺。</p> <p>另一家廠商Nutanix也努力拓展多雲、混合雲的應用模式，在10月底舉行的Nutanix .NEXT On Tour大會臺北場，正式向臺灣用戶介紹他們的最新策略。在企業內部環境當中，他們多年前就已主打Nutanix Enterprise Cloud，現在更強調提供Nutanix Cloud Platform，使用的平臺主要是雲端基礎架構Nutanix Cloud Infrastructure（NCI）；在公有雲、多雲、混合雲服務的整合應用上，他們則是主推雲端叢集Nutanix Cloud Clusters（NC2），至於整體管理機制方面，他們提供SaaS服務型態的Nutanix Central，能統籌控管不同站點的Nutanix平臺。</p> <p>若從系統廠商的角度而言，HPE與Dell近年來持續推動新一代IT即服務（ITaaS），也呈現企業私有雲平臺的多元發展。</p> <p>以HPE為例，原本他們有SimpliVity、Alletra dHCI等超融合產品；而在GreenLake的品牌系列之下，提供多種解決方案，像是GreenLake for Private Cloud Enterprise，以全代管的服務模式，為企業用戶提供裸機、容器、虛擬機器等不同應用型態的IT環境；另一款服務GreenLake for Private Cloud Business Edition，聚焦在虛擬機器使用；而在HCI、容器即服務平臺的部分，他們提供GreenLake with Nutanix for Private Cloud、GreenLake for Microsoft Azure Stack HCI、GreenLake for Red Hat OpenShift Container Platform。</p> <p>另一家大廠Dell，旗下也有多種解決方案，持續支撐企業私有雲應用，以及IT架構轉型需求。以超融合基礎架構的型態而言，Dell提供VxRail、PowerFlex等兩大平臺，也支援微軟的Azure Stack HCI、Azure Stack Hub。以他們長期發展的VxRail平臺為例，後來也用於Dell拓展IT即服務Apex系列解決方案，例如，Apex Private Cloud、Apex Hybrid Cloud。</p> <p>在2023年5月，Dell發表Apex Cloud Platform，第一波先推出Apex Cloud Platform for VMware，9月底推出Apex Cloud Platform for Microsoft Azure、10月底推出Apex Cloud Platform for Red Hat OpenShift，同時提供三大私有雲平臺，讓企業選用。</p> <p>除了上述發展趨勢之外，為了因應這幾年接踵而來的大數據分析、AI應用狂潮，原本仰賴伺服器虛擬化技術與既有系統軟硬體架構的作法，也面臨重大挑戰，對於公有雲業者，各有其工程團隊持續解決規模擴展與控制成本的問題，而對於自建IT基礎架構的企業與組織，以及整個IT生態圈而言，也不斷尋求突破，6、7年前就出現的可組合式基礎架構（Composable Infrastructure），現在似乎找到復甦機會，隨著Intel、AMD、Arm三大處理器平臺支援CXL記憶體互連技術，IT資源擴充不再受制於既有伺服器架構，例如，原本跨越多臺伺服器，透過伺服器虛擬化軟體技術幫忙，能做到「CPU池」、「儲存池」，現在有望拓展到「記憶體池」、「GPU池」、「I/O介面池」，而這些也是企業考量私有雲發展策略不可或缺的拼圖。</p> <p><a href="https://www.ithome.com.tw/article/159581" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1154-feng_mian_p1-open-ming_de_-960x420_kao_bei_0.jpg?itok=WTYQ43YW" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A7%81%E6%9C%89%E9%9B%B2">私有雲</a></div><div class="field-item odd"><a href="/tags/%E5%8F%AF%E7%B5%84%E5%90%88%E5%BC%8F%E5%9F%BA%E7%A4%8E%E6%9E%B6%E6%A7%8B">可組合式基礎架構</a></div><div class="field-item even"><a href="/tags/composable-infrastructure">Composable Infrastructure</a></div></div></div>
2023/11/3 12:00作者李宗翰https://www.ithome.com.tw/voice/159616
DeepMind發布新版AlphaFold模型，能夠精準預測生物分子結構加速藥物開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google DeepMind與Isomorphic Labs持續合作發展蛋白質預測模型AlphaFold，現在開發出更強大的<a href="https://deepmind.google/discover/blog/a-glimpse-of-the-next-generation-of-alphafold/">新版本</a>，覆蓋範圍從蛋白質擴展到所有與生物相關的分子，並能夠對蛋白質資料庫中幾乎所有分子進行預測，且能達到原子等級的精確度。</p> <p>DeepMind在2020年的時候，首次推出蛋白質預測模型AlphaFold，而這讓研究人員能以全新方式理解蛋白質與其交互作用。AlphaFold是對單股蛋白質預測的突破性研究，而後的AlphaFold-Multimer，則是進一步擴展到擁有多個蛋白質鏈的複合物，而AlphaFold 2.3則擴展到更複雜的複合物。</p> <p>之前AlphaFold也與EMBL的歐洲生物資訊研究所（EMBL-EBI）合作，透過AlphaFold蛋白質結構資料庫，公開所有目前已知的蛋白質結構預測。而AlphaFold資料庫也已經成為重要的科學研究資源，到目前為止已經超過190個國家140萬用戶進行存取，同時AlphaFold也被用於加速新型疫苗和藥物的開發。</p> <p>在某些與藥物開發相關的蛋白質結構預測問題，最新版本的AlphaFold效能遠勝2.3版本，其能夠準確預測蛋白質與配體（Ligand）的綁定結構，研究人員指出，這對於藥物開發非常有價值。目前生醫產業主要使用對接方法（Docking Methods），來確定配體和蛋白質間的交互作用，但這類方法需要固定參考蛋白質結構，和配體綁定位置。</p> <p>不過，新模型卻不需要這些參考資訊，就能預測蛋白質與配體的結構，並且最終的結果也能超越目前最佳的對接方法，此外，新版本AlphaFold還可以模擬所有原子的位置，表達出蛋白質和核酸，在與其他分子交互作用時的靈活性。</p> <p>由於對接方法需要假設蛋白質和配體結構在交互時維持不變，因此就無法捕捉到這些結構的動態變化，因此整體來說，新模型能夠提供更為準確且全面的交互作用結構資訊。研究人員的實驗也證明，新模型預測的結構，與實驗所得到結構非常相近。</p> <p>目前Isomorphic Labs正在利用最新的AlphaFold設計治療性藥物，藉由運用AlphaFold快速且準確地描繪出對治療疾病重要的大分子結構。研究人員提到，該模型新增的功能，有助於加速生物醫學的突破，在疾病途徑（Disease Pathways）、基因體學、生物可再生材料和藥物設計機制等領域，提供更深入的理解。</p> </div></div></div>
2023/11/3 08:40作者李建興https://www.ithome.com.tw/news/159612
JetBrains釋出跨平臺開發工具Kotlin Multiplatform第一個穩定版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JetBrains正式推出跨平臺開發工具<a href="https://blog.jetbrains.com/kotlin/2023/11/kotlin-multiplatform-stable/">Kotlin Multiplatform（KMP）</a>，讓開發人員可以在不同平臺間共享程式碼，但同時又能保留原生程式開發的優勢。目前Kotlin Multiplatform已經進入穩定階段，用戶可以將其用於開發環境中。</p> <p>KMP的核心由多個部分組成，包括編譯器、語言功能、函式庫API、IDE、建置工具等，其被設計為一個高靈活性和適應性的工具，能夠模糊平臺和原生開發之間的界線。開發人員可以重複使用大量的程式碼，並在需要的時候編寫原生程式碼，並將共享的Kotlin程式碼整合到各式專案中。</p> <p>KMP讓開發人員在不同平臺維護單一程式碼庫，特別像是應用程式的邏輯部分，因此可大幅減少開發者，針對不同平臺編寫和維護相同程式邏輯的時間。雖然KMP提供跨平臺的能力，但是KMP也同時讓開發者保有原生程式開發的靈活性，確保效能表現以及使用特定平臺SDK的自由度。針對特定平臺才可使用的功能像是藍牙或GPS，KMP提供特殊語法，讓開發者在這些平臺獨立實現專屬的功能。</p> <p>KMP具有高度靈活性，能夠支援不同程度的程式碼重用和原生程式開發案例，像是開發者可以僅共享部分以Kotlin編寫的重要邏輯程式碼，或是在新專案使用KMP開發，以Kotlin實作全部資料處理和業務邏輯，但在各平臺應用程式維持原生使用者介面，又或是搭配Compose Multiplatform這個JetBrains的宣告式UI框架，跨不同平臺完全共享使用者介面和邏輯程式碼。</p> <p>Kotlin Gradle擴充套件加入預設階層範本功能，來簡化開發者專案配置和維護工作，該功能可以自動配置Kotlin Source Sets，以適應一些常見的應用，減少典型建置腳本需要編寫的樣板程式碼。而在KMP中，JetBrains在Kotlin Gradle擴充套件中新增約50個診斷程式，以檢測常見的建置問題，並提供修復問題的提示，同時改進在Xcode中的Gradle錯誤輸出，使專案原生部分的建置問題更容易被發現。</p> <p>目前開發人員可以在Android、iOS、桌面JVM、伺服器端JVM和網頁上共用程式碼。Google的Android團隊也開始提供多平臺Jetpack函式庫實驗性版本，而Collections、DataStore、Annotations與Paging函式庫，則已經與KMP相容。iOS開發體驗的部分，則有Touchlab開發的SKIE，能夠生成Swift程式碼，並且產生與Swift程式碼介接的API層以橋接Kotlin類型，實現無縫的協程（Coroutines）互通性。</p> <p>JetBrains還在持續發展KMP，並且預計2024年會推出Compose Multiplatform for iOS的Beta版，官方也正在開發Kotlin/Wasm，使得KMP能夠更方便地進行網頁開發，預計明年會推出Compose Multiplatform for Web Alpha版本。</p> </div></div></div>
2023/11/3 08:43作者李建興https://www.ithome.com.tw/news/159613
Google最先進天氣模型MetNet-3，預測結果超越傳統數值預報模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google研究院與DeepMind合作開發了最新的天氣模型<a href="https://blog.research.google/2023/11/metnet-3-state-of-art-neural-weather.html">MetNet-3</a>，該模型以之前的MetNet和MetNet-2為基礎，能夠提前24小時，對更多天氣核心變數進行高解析度預測，包括降水、表面溫度、風速、風向和露點。</p> <p>MetNet-3可創建平滑且高精細度的預測，以2分鐘為區間，空間解析度可從4公里至1公里，經實驗證明，MetNet-3的預測能力超越傳統數值天氣預報模型，不只比單一成員的物理基礎NWP（Numerical Weather Prediction）模型如高解析度快速刷新模型（HRRR）更好，同時也超越了多成員的物理基礎NWP模型，像是集合預報套件（ENS）。</p> <p>MetNet在預測天氣上，與其他建立在傳統方法之上的機器學習方法不同，關鍵點在於MetNet直接透過大氣觀測資料進行訓練和評估。研究人員提到，直接觀測的優點在於資料更具高傳真（Fidelity），解析度也更高。除了繼承先前MetNet模型的資料來源之外，MetNet-3還新增氣象站氣溫與風的量測資料，目標是要在所有位置進行天氣預測。</p> <p>研究人員提到，MetNet-3的關鍵創新在於使用了一種稱為緻密化（Densification）的技術，用以改進天氣預報的準確性和範圍。傳統物理基礎模型中，天氣預報通常需要經過兩個步驟，分別是資料同化（Data Assimilation）和模擬（Simulation），資料同化是指將實際觀測資料融入到模型中，而模擬則是根據這些資料預測天氣。</p> <p>在MetNet-3中，緻密化技術是透過神經網路將兩步驟合併在一起，達到更快更直接的天氣預測，如此不只使模型在獲取和處理資料更高效，也能夠用神經網路來改善預報準確性。藉由緻密化技術，MetNet-3能夠單獨處理每一個特定資料流，像是地形、衛星與雷達等，進而獲得更為準確且全面的天氣預報。</p> <p>直接觀測為MetNet-3模型帶來空間和時間的高解析度優勢，氣象站和地面雷達站能夠用每隔幾分鐘的頻率，以1公里的解析度提供特定位置的測量資料。相比之下，即便是最先進的ENS，也只能每6小時生成一次9公里解析度的資料，並提供每小時的預報。</p> <p>而MetNet-3能夠以短至2分鐘的時間間隔，有效地處理和模擬收集到的觀測資料，結合緻密化技術、提前時間調節（Lead Time Conditioning）技術和高解析度直接觀測方法，MetNet-3可以產生時間解析度達2分鐘的24小時前預報，提供使用者更加精準和即時的天氣預測資訊。</p> <p>相較於氣象站觀測的變數資料，MetNet-3使用來自地面雷達所收集的降水估計值，因此資料更加密集，而MetNet-3使用與之前MetNet模型相似的降水建模方法，但是能夠將高解析度的降水預報，擴展到與其他變數相同的24小時提前時間。無論是在風速還是降水（下圖）等天氣變數，MetNet-3的預測結果都比ENS好上不少。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEidyInWvqdPpdIndLrxzykAODCeJ_p69uqvYOpasjFcBQU5o8Mtr-DiLfZXZrkJel9TD9SxZEmyIb58r6TZjRw57D8aSjl9P2jxCOsK7XZeXY0J3B8UMIFnl6aqXqhd0wft_NQGBi9KqpSUHAgw2c4JoYMdt27sKp6xcvOyMfjASpaZZzlI9o8lesj3GsrL/s16000/image14.gif" style="width: 580px; height: 550px;" /></p> <p>MetNet-3的主要價值在於，能夠即時以機器學習技術準確地預測天氣，並在Google的產品上提供天氣預報服務。該模型根據不斷流入的資料，持續地創建完整的預報，研究人員提到，這和傳統的推理系統不同，能夠滿足天氣資料的獨特需求。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEg88AA6lzoFtJd9ZOXt6AiiT_gTtFcJwsZNzUJ63kuYtq7XYs0LHUSp3q37zOPolA-rR_WQPciuDZsg-4Y3J0qrLUmNxMi1iBqyR4ICy4MKwRFXHtQhfkWdwPREd4qm9FVlN6rpLEebDC7MfBg7hToXhQvdsFoGObtu-Lqty3ZQSALf1yjna37tJY4fAptE/s16000/image6.gif" style="width: 580px; height: 133px;" /></p> <p>目前Google先在美國鄰近地區和歐洲，以MetNet-3提供12小時即時降水預報，用戶已經可以在Google天氣相關產品獲取到相關資訊。</p> </div></div></div>
2023/11/3 08:47作者李建興https://www.ithome.com.tw/news/159615
【資安日報】11月2日，伊朗駭客組織利用後門程式Liontail攻擊Windows伺服器，鎖定中東地區的政府機關與金融…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>伊朗駭客攻擊中東國家的情況越來越頻繁，最近出現了新的駭客Scarred Manticore，他們主要針對目標組織的Windows伺服器而來。</p> <p>但值得留意的是，這些駭客的惡意程式與C2連線的管道相當特別，竟是透過作業系統底層的驅動程式來進行，這種手法使得受害組織難以察覺他們的攻擊行動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://research.checkpoint.com/2023/from-albania-to-the-middle-east-the-scarred-manticore-is-listening/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中東政府機關、金融單位遭伊朗駭客組織鎖定，利用IIS後門程式Liontail攻擊伺服器</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/LionTail_scheme.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/LionTail_scheme.png" style="width: 300px; float: right;" /></a>資安業者Check Point與Sygnia聯手，調查伊朗駭客組織Scarred Manticore的攻擊行動，這些駭客鎖定中東地區，主要目標是政府機關、軍事單位、電信業者，但也有IT服務供應商、金融業者、非政府組織遭到攻擊。</p> <p>在最新的攻擊行動裡，研究人員看到駭客散布名為Liontail的惡意程式框架，先是尋找目標組織曝露於網際網路的Windows伺服器，透過DLL搜尋順序挾持（DLL Search Order Hijacking）或是可執行檔的方式，部署後門程式。其中，比較特別的是，在DLL搜尋順序挾持的攻擊過程當中，駭客鎖定Windows Server作業系統缺乏的DLL檔案，如wlanapi.dll、wlbsctrl.dll，將後門程式命名為上述DLL檔案名稱，然後再透過Windows檔案總管或其他的處理程序，載入DLL程式庫型態的後門程式。若是後門程式以可執行檔的型態進行部署，駭客會將其假冒為Palo Alto Networks的資安產品Cortex XDR元件Cyvera Console。</p> <p>研究人員指出，此後門程式與C2進行通訊的做法較為罕見，駭客利用IOCTL（Input and Output Control）介面，直接與底層的驅動程式HTTP.sys進行互動來達成，由於這種方式不透過IIS或HTTP的API，不僅資安防護系統無法監控，也不會留下任何事件記錄。</p> <p><a href="https://www.elastic.co/security-labs/elastic-catches-dprk-passing-out-kandykorn"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客組織Lazarus針對Mac電腦下手，散布惡意程式Kandykorn</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Kandykorn-image31.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Kandykorn-image31.png" style="width: 300px; float: right;" /></a>Elastic旗下的安全實驗室揭露北韓駭客Lazarus的攻擊行動，研究人員看到駭客鎖定加密貨幣交易平臺的區塊鏈工程師，散布macOS惡意程式Kandykorn。</p> <p>攻擊者先是在公開的Discord伺服器佯稱區塊鏈工程師，利用社交工程手法，提供加密貨幣套利機器人（arbitrage bot），引誘目標人士下載帶有惡意程式碼的ZIP壓縮檔。一旦目標人士執行其中的Main.py指令碼，就有可能導致電腦被植入惡意程式。</p> <p>在整個攻擊鏈當中，Main.py會觸發另一個指令碼watcher.py，然後從雲端檔案儲存服務Google Drive下載testSpeed.py，而這個指令碼再從另一個Google Drive網址取得名為FinderTools的Python檔案。FinderTools下載、執行惡意酬載Sugarloader，最終連線遠端伺服器取得Kandykorn，並於記憶體內執行。此後門程式具備列出受害電腦存放的檔案、執行惡意程式或命令、洩漏資料、終止處理程序的功能。</p> <p><a href="https://www.mandiant.com/resources/blog/session-hijacking-citrix-cve-2023-4966"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">政府機關、科技產業、法律機構遭到Citrix Bleed漏洞攻擊鎖定</span></strong></a></p> <p></p> <p>10月上旬Citrix揭露重大漏洞Citrix Bleed（CVE-2023-4966），後來資安業者Mandiant指出，該漏洞在8月就被用於攻擊行動，現在研究人員透露更多細節。</p> <p>他們透露至少有4組人馬發動相關攻擊，並透過.NET後門程式Freefire、certutil、遠端桌面連線工具AnyDesk等十多樣工具於目標組織進行網路偵察、竊取帳密資料，並透過遠端桌面連線（RDP）程式進行橫向移動。</p> <p>而對於駭客的攻擊目標，研究人員指出，駭客鎖定法律及專業服務、科技業、政府機關，受害組織分布在美洲、歐洲、非洲、亞太地區。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/3-000-apache-activemq-servers-vulnerable-to-rce-attacks-exposed-online/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">3千臺可透過網際網路存取的Apache ActiveMQ伺服器曝露於重大漏洞，可被遠端執行任意程式碼</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/exposed-numbers.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/exposed-numbers.jpg" style="width: 300px; float: right;" /></a>10月27日訊息導向中介軟體ActiveMQ修補漏洞CVE-2023-46604攻擊者有可能利用OpenWire通訊協定的序列化類別型態，遠端執行任意Shell命令，CVSS風險評為10分。</p> <p>關於受此漏洞影響的狀況，根據ShadowServer基金會公開的資訊，目前總共有可透過網際網路存取的ActiveMQ伺服器，多達7,249臺，其中有3,329臺執行存在漏洞的系統，中國約有2,400臺最多，美國約有530臺居次，德國、印度、荷蘭、俄羅斯、法國、韓國皆有超過100臺伺服器曝險。</p> <p>資料來源</p> <p>1. <a href="https://activemq.apache.org/security-advisories.data/CVE-2023-46604-announcement.txt">https://activemq.apache.org/security-advisories.data/CVE-2023-46604-announcement.txt</a><br /> 2. <a href="https://www.shadowserver.org/what-we-do/network-reporting/accessible-activemq-service-report/">https://www.shadowserver.org/what-we-do/network-reporting/accessible-activemq-service-report/</a></p> <p><a href="https://confluence.atlassian.com/security/cve-2023-22518-improper-authorization-vulnerability-in-confluence-data-center-and-server-1311473907.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Atlassian針對DevOps協作平臺Confluence重大漏洞提出警告</span></strong></a></p> <p></p> <p>10月31日IT業者Atlassian發布資安通告，指出旗下DevOps協作平臺Confluence存在重大漏洞CVE-2023-22518，影響所有版本的Confluence Data Center、Confluence Server，此漏洞原因與不適當的授權有關，CVSS風險評分為9.1。</p> <p>對此，該公司推出7.19.16、8.3.4、8.4.4、8.5.3、8.6.1新版予以修補，並指出攻擊者無法藉此洩露伺服器的資料，不致影響機密性，目前也尚未出現遭到利用的跡象。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/159600"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">50個國家組織宣誓不向勒索軟體低頭，拒付贖金</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/odag_dag_photos_3rd_annual_counter_ransomware_initiative_air_shot_final-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/odag_dag_photos_3rd_annual_counter_ransomware_initiative_air_shot_final-1.jpg" style="width: 300px; float: right;" /></a>由美國主導的國際反勒索軟體高峰會（International Counter Ransomware Initiative，CRI）今年邁入第3屆，本次有埃及、希臘、約旦等12個國家，以及國際刑警組織（Interpol）加入，使得該高峰會成員數目達到了50個。</p> <p>這些成員組織決定共同開發用於破壞駭客基礎設施的戰術，並藉由情資共享改善網路安全。今年會議的重點，在於開發破壞駭客基礎設施的能力，包括制定培養CRI新成員網路能力的計畫、利用人工智慧來對抗勒索軟體、導入新的資訊共享平臺讓成員國得以快速分享情資，並成立CRI專屬網站與論壇以供受害者求救。</p> <p>值得留意的是，本次所有成員首度發布聯合聲明，CRI會員國的政府單位不應支付贖金，展現他們不願向駭客低頭的決心。</p> <p><a href="https://www.ithome.com.tw/news/159602"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為確保AI安全，28國簽署布萊切利宣言</span></strong></a></p> <p></p> <p>由英國號召的首屆AI安全高峰會（AI Safety Summit）於11月1日於當地的布萊切利園（Bletchley Park）展開，與會28個國家的代表，就「人工智慧最前線（Frontier AI）」所帶來的機會與風險達成了共識，共同簽署布萊切利宣言（Bletchley Declaration），這些國家包括位居全球AI領先地位的美國、中國、英國、以色列、加拿大。</p> <p>此宣言特別提及AI所使用的機器學習模型存在的安全風險，而有可能導致遭人濫用，或是造成工安意外、網路安全、渲染不實資訊的風險，應透過國際合作來解決，各國應推動相對應的監管機構，並要求開發相關模型的企業組織，在確保AI系統安全背負更大的責任。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://medium.com/mitre-attack/attack-v14-fa473603f86b"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">MITRE發布第14版ATT&CK，著重工業控制系統與行動裝置領域強化</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/toronto-public-library-outages-caused-by-black-basta-ransomware-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">加拿大多倫多市立圖書館傳出遭勒索軟體Black Basta攻擊</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/british-library-knocked-offline-by-weekend-cyberattack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">大英圖書館遭遇網路攻擊，網路服務及圖書館業務受到衝擊</span></span></strong></a></p> <p><a href="https://unit42.paloaltonetworks.com/pensive-ursa-uses-upgraded-kazuar-backdoor/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Turla散布後門程式Kazuar，行蹤變得更加隱密</span></span></strong></a></p> <p></p> <p><a href="https://chromereleases.googleblog.com/2023/10/stable-channel-update-for-desktop_31.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google發布電腦版Chrome 119，修補15個漏洞</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159586"><strong>【11月1日】研究人員揭露專門供應網路罪犯使用的短網址服務供應商Prolific Puma，駭客經營超過4年未被發現</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159575"><strong>【10月31日】曝露於GitHub程式庫的帳密資料成為駭客下手的對象！有人從中收集AWS的帳密，將EC2實體拿來挖礦</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159548"><strong>【10月30日】有人在2016年就利用永恆之藍漏洞，打造惡意軟體StripedFly，迄今仍有數萬臺電腦遭到感染</strong></a></p> </div></div></div>
2023/11/2 17:17作者周峻佑https://www.ithome.com.tw/news/159609
用液冷應付2千瓦TDP，美超微推出1U雙節點融合GPU伺服器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/supermicro_ars-111gl-dhnr-lcc_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年5月底舉行的台北國際電腦展期間，基於Nvidia自行研發處理器而成的多款伺服器，首度亮相，吸引全球目光，這些產品也標榜採用Nvidia最新推動的MGX參考設計架構。關於兼具這兩種特色的伺服器，我們先前介紹雲達科技推出的<a href="https://www.ithome.com.tw/review/158452">QuantaGrid S74G-2U</a>，採用<a href="https://www.ithome.com.tw/review/158165">Grace Hopper融合式GPU</a>，現在來看看另一家伺服器大廠美超微（Supermicro）的產品。</p> <p>當時他們展出搭配Grace處理器的ARS-221GL-NR，以及搭配英特爾第四代Xeon Scalable處理器的SYS-221GE-NR，</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-05-Supermicro Computex-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-Supermicro%20Computex-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-05-Supermicro Computex-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-Supermicro%20Computex-2.jpg" style="width: 298px;" /></a></p> <p>到了10月底，他們一口氣推出6款採用MGX設計架構的伺服器，其中三款搭配Nvidia Grace Hopper融合式GPU，兩款搭配Nvidia Grace處理器，一款搭配英特爾第四代Xeon Scalable處理器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Supermicro NVIDIA MGX Systems-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20NVIDIA%20MGX%20Systems-1.jpg" style="width: 600px;" /></a></p> <p>與半年前推出這類產品的最大差異在於，Supermicro額外提供Grace Hopper伺服器，並且推出採用1U雙節點配置的Grace Hopper伺服器，以及Grace伺服器；而在Grace Hopper伺服器機型中，他們提供兩款內建液態冷卻的1U機型，我們這次介紹的ARS-111GL-DHNR-LCC，正是其中一款主打高運算密度特性的機型。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20MGX.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%201U-1nodes-GH200-Aircooling.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%201U-2nodes-GH200.jpg" style="width: 298px;" /></p> <p>相較於x86平臺的1U雙節點伺服器，通常會區分為兩個可插拔的運算模組，新推出的ARS-111GL-DHNR-LCC，則是在機箱直接置入2張MGX架構的系統板G1SMH-G，外形大小遵循OCP訂定的DC-MHS DNO Type2標準，上面可安裝1張Nvidia GH200 Grace Hopper。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Suopermicro%20mgx-hero-image.jpg" style="width: 600px;" /> </p> <p> <img alt="" src="https://s4.itho.me/sites/default/files/images/ARS-111GL-DNHR-LCC_ANGLE_OPEN-Web.jpg" style="width: 400px;" /></p> <p>基本上，這張超級晶片內建1顆Grace處理器（72顆Arm Neoverse V2核心），以及1顆H100 GPU，系統記憶體包含系統板嵌入、對應至處理器的LPDDR5記憶體480 GB，以及GPU內建的HBM3記憶體96 GB，合計可提供576 GB記憶體。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20GH200.jpg" style="width: 600px;" /></p> <p>在熱設計功耗（TDP）方面，由於GH200融合CPU與GPU的關係，最高可達1,000瓦，Supermicro在1U單節點的組態配置上，尚可提供空氣冷卻機型ARS-111GL-NHR，以及液態冷卻機型ARS-111GL-NHR-LCC的選擇，但對於散熱條件更加嚴苛的1U雙節點機型ARS-111GL-DHNR-LCC而言，若要在空間如此狹隘的機箱置入2張GH200長期運作、應付總發熱量2,000瓦TDP的狀態，似乎就更只有導入液態冷卻技術一途。</p> <p>根據Supermicro目前公布的產品照片來看，ARS-111GL-DHNR-LCC機箱內部的2張GH200，預設都已罩上直連晶片類型（Direct-to-Chip，D2C）的水冷板，並接上液冷管，一路延伸至機箱背部，接上液態冷卻機櫃，將熱量帶出伺服器之外，後續再將已經降溫的冷卻液帶回伺服器內部、抵達GH200，完成一次循環。</p> <p>基於1U雙節點的配置與Supermicro提供的直連晶片液冷方案，他們認為，相關的營運成本可降低超過4成，同時能藉此增加運算密度，以及簡化大型語言模型與高效能運算應用的整櫃部署作業。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1U-MGX-LCC-rack_angled-Web2.jpg" style="width: 150px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/1U-MGX-LCC-rack_angled.jpg" style="width: 298px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Supermicro ARS-111GL-DNHR-LCC</strong><br /> ●原廠：Supermicro<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸與節點數量：1U、雙節點<br /> ●單臺節點處理器：1顆Nvidia GH200 Grace Hopper Superchip<br /> ●單臺節點記憶體：CPU對應嵌入LPDDR5x記憶體，容量最大480 GB，GPU對應HBM3記憶體，容量為96 GB<br /> ●單臺節點硬碟容量：4臺E1.S規格NVMe固態硬碟、2張M.2規格NVMe固態硬碟<br /> ●單臺節點網路介面：1個GbE埠（Nvidia ConnectX-7或Bluefield-3 DPU）、1個GbE埠（IPMI埠）<br /> ●單臺節點擴充介面：可安裝2張全高全長PCIe 5.0 x16介面卡<br /> ●風扇：7臺 <br /> ●電源供應器：2臺2700瓦（1+1備援）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/11/2 18:40作者李宗翰https://www.ithome.com.tw/review/159531
歐盟要求封鎖臉書與IG在歐洲經濟區的行為追蹤廣告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://edpb.europa.eu/news/news/2023/edpb-urgent-binding-decision-processing-personal-data-behavioural-advertising-meta_en" target="_blank">歐洲資料保護委員會（EDPB）周三（11/1）宣布</a>，已接受挪威所提出的具約束力的緊急決議，指示愛爾蘭的資料保護局必須在兩周內，禁止Meta於整個歐洲經濟區執行基於個人資料的行為追蹤廣告。此一禁令涵蓋了Meta旗下的臉書（Facebook）與IG（Instagram）。</p> <p>EDPB的行動源自於<a href="https://www.ithome.com.tw/news/157877" target="_blank">挪威</a>，挪威的資料保護局Datatilsynet是在今年7月宣布，將暫時封鎖臉書與IG在該國的行為追蹤廣告，於8月4日生效，為期3個月，預計於11月3日到期。</p> <p>Datatilsynet並未禁止臉書與IG在挪威的營運，亦放行了特定的個人化廣告，像是根據使用者檔案所揭露的居住地、性別、年齡或興趣所遞送的廣告，或是取得使用者明確同意的行為追蹤廣告，令Datatilsynet不滿的是在Meta未經用戶許可下，追蹤使用者與諸如健康、政治或性向等各種內容的互動所執行的行為追蹤廣告或行銷活動，認為這屬於侵入性的商業監督，是目前資料保護的最大風險之一。</p> <p>在暫時禁止Meta於挪威的行為追蹤廣告之後，<a href="https://www.datatilsynet.no/en/news/aktuelle-nyheter-2023/meta-case-brought-to-the-european-level/" target="_blank">Datatilsynet今年9月進一步要求EDPB</a>應下令永遠禁止Meta此類的行為追蹤廣告，且將禁止範圍擴大至歐洲經濟區，而EDPB則於本周同意了Datatilsynet的請求。</p> <p>EDPB在10月27日指示愛爾蘭的資料保護局主導此一行動，應於兩周內採取最終措施，要求Meta禁止於歐洲經濟區執行基於個人資料的行為追蹤廣告，Meta則是在10月31日收到愛爾蘭資料保護局的通知。</p> </div></div></div>
2023/11/2 15:21作者陳曉莉https://www.ithome.com.tw/news/159603
另一加密貨幣業者SafeMoon遭美國SEC提告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sec.gov/news/press-release/2023-229" target="_blank">美國證券交易委員會（SEC）周三（11/1）控告</a>另一區塊鏈業者暨加密貨幣發行商SafeMoon，指控SafeMoon及該公司的創辦人Kyle Nagy、執行長John Karony與技術長Thomas Smith藉由未經註冊地銷售加密資產進行大規模的詐欺。</p> <p>SafeMoon在2021年3月創立並發行了同名的SafeMoon代幣，其行銷口號就是要將該代幣的價格「安全送上月球」（Safely to the moon），Nagy還向投資人保證，資金被安全地保管，沒人能夠提取，由於當時正值這類迷因幣風行的時代，SafeMoon幣市值最高曾超過80億美元。</p> <p>然而，根據SEC的調查，SafeMoon不僅沒能替投資人創造利潤，市值還蒸發了數十億美元，且SafeMoon高層從該專案中取走了價值超過2億美元加密資產，並擅自挪用流動池中的資金以供自己揮霍。</p> <p>SEC執法部門負責加密資產的David Hirsch表示，去中心化的金融宣稱提供透明度及可預測的結果，但未註冊的產品缺乏法律所要求的披露與問責制，而吸引了像是Nagy這樣的騙子，犧牲他人以成全自己。</p> <p>根據訴狀，SafeMoon代幣的價格在2021年3月12日至4月20日之間飆漲了55,000%，市值超過57億美元，不過，外界在4月20日得知SafeMoon流動池並未被鎖住之後，立即暴跌了50%，隨後，執行長Karony與技術長Smith即開始挪用投資人資產來購買SafeMoon代幣，以提高該幣的價格並創造交易假象。</p> <p>此外，這些被告還挪用了數百萬美元來購買豪宅、汽車與展開奢侈的旅遊。根據<a href="https://www.justice.gov/usao-edny/pr/founders-and-executives-digital-asset-company-charged-multi-million-dollar" target="_blank">美國司法部所發布的新聞稿</a>，Karony與Smith都在本周被逮捕，惟創辦人Nagy仍逍遙法外。</p> <p>今年8月<a href="https://www.ithome.com.tw/news/158055" target="_blank">SEC也曾控告</a>另一名以加密貨幣之名行詐騙之實的Richard Heart。</p> </div></div></div>
2023/11/2 15:31作者陳曉莉https://www.ithome.com.tw/news/159604
全球28個國家簽署了確保AI安全的《布萊切利宣言》
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由英國所號召的第一屆AI安全高峰會（AI Safety Summit）周三（11/1）<a href="https://www.gov.uk/government/news/countries-agree-to-safe-and-responsible-development-of-frontier-ai-in-landmark-bletchley-declaration" target="_blank">在英國布萊切利園（Bletchley Park）展開</a>，參與該高峰會的28個國家的代表共同簽署了《布萊切利宣言》（Bletchley Declaration），就前沿人工智慧（AI）所帶來的機會與風險達成了共識，簽署該宣言的包括了目前被視為位居全球AI領先地位的美國、中國、英國、以色列與加拿大。</p> <p><a href="https://www.gov.uk/government/publications/ai-safety-summit-2023-the-bletchley-declaration/the-bletchley-declaration-by-countries-attending-the-ai-safety-summit-1-2-november-2023" target="_blank">《布萊切利宣言》</a>強調AI應以人為本，以安全、值得信賴及負責的方式進行設計與部署。它先闡述了AI所帶來的全球機會，包括改善人類的福祉、和平與繁榮，除了現有的各種應用之外，未來應以包容的方式將AI部署至全球的公益事業上，從衛生、教育、糧食安全、科學，到乾淨能源、生物多樣化及氣候等，之後即承認AI也帶來了重大風險。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1102-AI%20Safety%20Summit-Bletchley%20Declaration-by%20%E8%8B%B1%E5%9C%8B%E6%94%BF%E5%BA%9C%E5%AE%98%E7%B6%B2-2.jpg" style="width: 450px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_英國政府官網</span></span></p> <p>宣言中表示，歡迎各國共同審查與解決AI現有與潛在的影響，了解需要解決人權保護、透明度、可解釋性、公平、問責、監管、安全、適當的人類監督、道德、減少偏見、隱私與資料保護問題，同時它們也發現，內容操縱與生成式欺騙內容的能力可能會帶來不可預見的風險，上述的所有問題都非常重要，有解決的必要與急迫性。</p> <p>該宣言強調了前沿AI的安全風險，指的是那些具備強大功能的通用AI模型，包括基礎模型在內。因為這些模型得以執行各種任務，而它們可能造成的傷害可能超越現代最先進模型的能力，不管是故意濫用或是人類控制出了意外，亦特別擔心網路安全、生物技術，以及放大不實資訊的相關風險。</p> <p>總之，從該宣言中可以看出，就在人類積極探究AI所能帶來的貢獻之餘，其實人類對於AI可能帶來的風險或傷害也還在摸索中。</p> <p>此外，《布萊切利宣言》認為，AI所帶來的許多風險基本上是國際性的，最好透過國際合作來解決，各國應同時考慮推動創新及相對應的監管架構，以最大化AI的好處並管理風險。另也鼓勵協助發展中國家建置AI能力，藉此支援其永續成長及縮小發展差距。並要求那些開發前沿AI能力的組織，在確保AI系統的安全性方面應背負更重大的責任。</p> <p>布萊切利園是英國的一處宅第，它是英國政府在第二次世界大戰期間解讀軍事情報密碼的所在地，現已成為博物館，由於此一宣言是在布萊切利園簽署，因而被稱為《布萊切利宣言》。</p> </div></div></div>
2023/11/2 13:56作者陳曉莉https://www.ithome.com.tw/news/159602
近50個國家聲明不支付勒索軟體贖金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本周於美國舉行的第三屆國際反勒索軟體高峰會（International Counter Ransomware Initiative，CRI）中，<a href="https://www.whitehouse.gov/briefing-room/statements-releases/2023/11/01/international-counter-ransomware-initiative-2023-joint-statement/" target="_blank">50個成員組織決定</a>將共同開發破壞駭客及其基礎設施的能力，藉由共享資訊來改善網路安全，同時也制定了史上第一份CRI聯合政策聲明，闡明成員國政府不應支付贖金。</p> <p><a href="https://www.justice.gov/opa/pr/readout-justice-department-hosting-first-day-2023-international-counter-ransomware" target="_blank">美國司法部長Merrick Garland在CRI開幕致詞中強調</a>了國際夥伴在破壞及減輕勒索軟體威脅上的重要性，例如<a href="https://www.ithome.com.tw/news/155276" target="_blank">在今年1月透過全球合作瓦解了惡名昭彰的Hive勒索軟體網路</a>。此外，這一年來國際上的合作也摧毀了BreachForums 及Genesis Market兩大網路犯罪市集，以及數家加密貨幣交易所及混合器，打擊勒索軟體網路的供應鏈。</p> <p>今年CRI會議的重點則在於開發破壞駭客及其基礎設施的能力，包括制定培訓計畫以建立CRI新成員的網路能力；啟動一個利用人工智慧來對抗勒索軟體的新專案；推出新的資訊共享平臺讓成員國得以快速分享威脅指標；將建立一個由澳洲負責維護的CRI網站，內含求援論壇。</p> <p>今年總計有13個組織成為CRI的新成員，除了埃及、希臘、約旦、葡萄牙及斯洛伐克等國家之外，還包括國際刑警組織（Interpol），而讓CRI的成員數量達到50個。</p> <p>此外，該高峰會中也討論了如何反擊勒索軟體集團，包括制定史上首個CRI聯合政策聲明，闡明成員國政府不應支付贖金；建立一個共享的非法錢包黑名單；以及承諾當成員國政府或命脈領域遭到勒索軟體攻擊時，將協助它們進行回應。</p> <p>白宮表示，透過此一政策支架，CRI成員確認了一致的訊息，亦即阻止支付勒索軟體所要求的贖金及以身作則的重要性。CRI成員打算設立金融行動特別小組，以阻止資金的非法流動，同時破壞勒索軟體的支付生態系統。</p> </div></div></div>
2023/11/2 11:43作者陳曉莉https://www.ithome.com.tw/news/159600
AWS推EC2容量區塊新功能，讓用戶指定時間預留GPU資源
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有鑒於目前GPU資源的稀缺性，AWS新推出<a href="https://aws.amazon.com/tw/blogs/aws/announcing-amazon-ec2-capacity-blocks-for-ml-to-reserve-gpu-capacity-for-your-machine-learning-workloads/">Amazon EC2容量區塊（Capacity Blocks）功能</a>，這是一項適用於機器學習模型開發的EC2使用模型，用戶可以在EC2 UltraCluster特殊叢集中預留需要的Nvidia GPU資源，藉由指定叢集大小、開始時間和持續時間，便能夠以可預測的方式存取GPU資源。</p> <p>全世界掀起一陣人工智慧應用熱潮，不少組織開始開發機器學習模型，而AWS提到，企業對在機器學習模型的GPU容量需求，已經超過全產業的供應量，使得GPU成為稀缺資源。而這對於需要大量GPU資源，用以訓練基礎模型和大型語言模型的用戶來說，是一項需要解決的問題。</p> <p>面對這樣的問題，企業可能會需要長期購買大量的GPU容量，確保在需要的時刻，有足夠GPU運算資源可以使用，但是這可能造成資源浪費，導致在未使用時出現GPU資源閒置。因此AWS現在推出EC2容量區塊模式，來解決GPU資源搶奪的問題，這是一種安排GPU執行個體的新方法，用戶可以在指定時間內保留所需要的執行個體數量。</p> <p>用戶可以提前8周指定日期，存取預留的EC2容量區塊並啟動P5執行個體，持續時間可為1到14天，叢集大小為1到64個執行個體，並且只需要支付所需要的GPU時間費用。而當EC2容量區塊持續時間結束後，任何執行中的執行個體都會被終止。</p> <p>這項新功能在用戶需要容量保證，以訓練和微調機器學習模型、執行實驗，或是計畫性地增加機器學習應用程式需求時特別有用。用戶可以從AWS控制臺、命令列介面和開發工具包預留可用的容量區塊，目前可以先在AWS美東地區，預留搭載Nvidia H100 Tensor Core GPU的EC2 P5執行個體，官方計畫之後也會在其他地區推出該項功能。</p> </div></div></div>
2023/11/2 10:26作者李建興https://www.ithome.com.tw/news/159593
【資安日報】11月1日，研究人員揭露專門供應網路罪犯使用的短網址服務供應商Prolific Puma，駭客經營超過4年…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路攻擊分工越來越精細，這兩年常出現「初始入侵管道掮客（Initial Access Broker）」，就是專門收集可存取特定組織的帳密資料的角色。但如今，就連攻擊者所使用的短網址，也有專門提供服務的供應商。</p> <p>近期有研究人員揭露名為Prolific Puma的惡意轉址服務供應商，並指出該組織至少經營超過4年未被發現。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blogs.infoblox.com/cyber-threat-intelligence/prolific-puma-shadowy-link-shortening-service-enables-cybercrime/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織Prolific Puma向網路罪犯提供短網址服務長達4年之久</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/infoblox-blog-prolific-puma-shadowy-link-shortening-service-enables-cybercrime-figure-1-v3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/infoblox-blog-prolific-puma-shadowy-link-shortening-service-enables-cybercrime-figure-1-v3.jpg" style="width: 300px; float: right;" /></a>以強化DNS安全著稱的廠商Infoblox揭露專門供應駭客組織進行網路犯罪的短網址服務，該廠商被研究人員稱為Prolific Puma。</p> <p>該組織註冊了大量網域來提供服務，從今年4月到現在，估計註冊3.5萬至7.5萬個網域名稱，包含.us、.link、.info、.com、.cc等，今年5月更專攻美國組織及美國人才能註冊的.us網域，目前該組織已註冊了數千個。</p> <p>研究人員指出，此供應商取得新網域通常會靜置一段時間，以便躲過資安系統的封鎖。Prolific Puma並非研究人員唯一發現的惡意短網址服務，但該組織經營的短網址服務規模最大、他們分析採用其服務的網站，都是涉及非法的內容。</p> <p><a href="https://www.securityjoes.com/post/bibi-linux-a-new-wiper-dropped-by-pro-hamas-hacktivist-group"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資料破壞軟體BiBi-Linux鎖定以色列組織而來</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/d03b6f_395a5bd66f6d4431a35b3aa07eeac71c~mv2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/d03b6f_395a5bd66f6d4431a35b3aa07eeac71c~mv2.png" style="width: 300px; float: right;" /></a>資安業者Security Joes的事件回應團隊在協助以色列企業組織調查的過程中，發現名為BiBi-Linux的資料破壞軟體（Wiper），顯然是鎖定該國企業組織而來，背後疑似由隸屬哈馬斯的駭客打造，意圖在戰爭當中製造混亂。</p> <p>研究人員指出，這款資料破壞軟體特別之處，在於不與C2連線，也不會外洩受害組織的資料，更沒有留下要脅付款的勒索訊息。取而代之的是，此資料破壞軟體藉由無用的資料來覆寫檔案，導致資料難以復原，甚至影響整個作業系統，而且，該程式運用多個處理程序，並透過排程系統執行，最終遭到破壞的檔案會含有BiBi（以色列總理Benjamin Netanyahu的暱稱）字串的副檔名。駭客這麼做的目的，顯然是為了讓破壞行動的效率最大化。</p> <p>值得留意的是，研究人員在公布這個惡意程式的時候，惡意軟體分析網站VirusTotal僅有兩款防毒引擎將其視為有害。</p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-email-stolen-student-data-to-parents-of-nevada-school-district/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國內華達州CCSD學區遭遇大規模資料外洩，駭客向家長寄送竊得的學生資料進行施壓</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/ccsd-leak-email.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ccsd-leak-email.jpg" style="width: 300px; float: right;" /></a>位於美國內華達州的克拉克郡學區（Clark County School District，CCSD），傳出在10月初遭遇網路攻擊，CCSD於16日證實此事，並指出駭客可能取得電子郵件伺服器的存取權限，存取部分學生、家長、員工的個資，他們正著手調查受害範圍，然而近期卻陸續傳出家長收到駭客的恐嚇信。</p> <p>根據當地媒體拉斯維加斯評論報報導，有家長收到主旨為CCSD Leak的電子郵件，內容提及收信人的個資已遭外洩，最好趕快在CCSD的系統更改帳號資料，同時聲稱有超過20萬筆學生資料被駭客流出。另一家媒體KSNV News 3 Las Vegas指出，這些恐嚇信包含了PDF檔案，內容是學生遭竊的資料，包含學號、電子郵件信箱、居住地址、照片。</p> <p>而對於攻擊者的身分，駭客組織SingularityMD向資安新聞網站DataBreaches透露是他們所為，聲稱已在CCSD的網路埋伏數個月，迄今仍能存取該學區網路。這些駭客發現，CCSD近6年竟然強制要求學生用生日作為密碼。駭客透露他們索討的贖金，低於該學區總監Jesus F. Jara年薪（約39.5萬美元）的三分之一。對此，CCSD並未做出說明。</p> <p>資料來源</p> <p>1. <a href="https://www.reviewjournal.com/local/education/some-ccsd-parents-get-suspicious-email-with-information-about-their-kids-2928929/">https://www.reviewjournal.com/local/education/some-ccsd-parents-get-suspicious-email-with-information-about-their-kids-2928929/</a><br /> 2. <a href="https://news3lv.com/news/local/some-ccsd-families-worried-after-receiving-email-from-california-school-district-with-pictures-private-info-about-their-children">https://news3lv.com/news/local/some-ccsd-families-worried-after-receiving-email-from-california-school-district-with-pictures-private-info-about-their-children</a><br /> 3. <a href="https://www.databreaches.net/hackers-escalate-leak-200k-ccsd-students-data-claim-to-still-have-access-to-ccsd-email-system/">https://www.databreaches.net/hackers-escalate-leak-200k-ccsd-students-data-claim-to-still-have-access-to-ccsd-email-system/</a></p> <p><a href="https://www.securityweek.com/attackers-exploiting-critical-f5-big-ip-vulnerability/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">F5 BIG-IP重大漏洞已被用於攻擊行動</span></strong></a></p> <p></p> <p>10月26日F5針對應用程式交付平臺BIG-IP用戶提出警告，該系統的組態公用程式存在重大漏洞CVE-2023-46747（CVSS風險評分為9.8），未經身分驗證的使用者可遠端執行任意程式碼，但不到一個禮拜就出現攻擊行動。</p> <p>10月30日F5更新公告內容，表示他們發現攻擊者利用這項漏洞，將其用於觸發SQL注入漏洞CVE-2023-46748（CVSS風險評分為8.8）。而這段期間，向F5通報漏洞的資安業者Praetorian Security透露CVE-2023-46747的細節，另一家資安業者Project Discovery則是公布了概念性驗證（PoC）程式碼。</p> <p><a href="https://blog.talosintelligence.com/arid-viper-mobile-spyware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">哈馬斯駭客組織Arid Viper宣稱提供約會應用程式，鎖定阿拉伯安卓用戶下手</span></strong></a></p> <p></p> <p>思科旗下威脅情報團隊Talos指出，哈馬斯駭客組織Arid Viper（亦稱APT-C-23、TAG-63）約從去年4月開始，佯稱提供約會應用程式Skipped，鎖定阿拉伯語用戶從事網路間諜行動，一旦使用者不慎安裝駭客提供的安卓App，手機就會遭到惡意程式感染，駭客從中收集用戶的各式資料。</p> <p>這些駭客提供的App與正牌的應用程式具備相似之處，甚至在應用程式開發平臺Firebase共用相同的專案，研究人員懷疑有Skipped開發人員涉及攻擊行動。附帶一提的是，雖然駭客來自激進組織哈馬斯，但研究人員認為，這起攻擊行動與以巴衝突沒有直接關聯。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/exploit-released-for-critical-cisco-ios-xe-flaw-many-hosts-still-hacked/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員公布思科IOS XE零時差漏洞的概念性驗證程式碼</span></span></strong></a></p> <p><a href="https://confluence.atlassian.com/security/cve-2023-22518-improper-authorization-vulnerability-in-confluence-data-center-and-server-1311473907.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Atlassian針對DevOps協作平臺Confluence重大漏洞提出警告</span></span></strong></a></p> <p></p> <p><a href="https://www.reversinglabs.com/blog/iamreboot-malicious-nuget-packages-exploit-msbuild-loophole"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意NuGet套件濫用MSBuild元件部署惡意程式</span></span></strong></a></p> <p><a href="https://www.darkreading.com/endpoint/malware-meal-kits-serve-up-no-fuss-rat-attacks"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">低價惡意軟體套件氾濫，導致RAT木馬程式攻擊行動顯著增加</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/palestine-crypto-donation-scams-emerge-amid-israel-hamas-war/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">有人假冒慈善機構的名義，聲稱為以巴衝突的難民募款行騙</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159575"><strong>【10月31日】曝露於GitHub程式庫的帳密資料成為駭客下手的對象！有人從中收集AWS的帳密，將EC2實體拿來挖礦</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159548"><strong>【10月30日】有人在2016年就利用永恆之藍漏洞，打造惡意軟體StripedFly，迄今仍有數萬臺電腦遭到感染</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159530"><strong>【10月27日】研究人員揭露新型攻擊手法iLeakage，可透過推測執行漏洞、用瀏覽器竊取蘋果裝置的用戶機密資訊</strong></a></p> </div></div></div>
2023/11/1 17:10作者周峻佑https://www.ithome.com.tw/news/159586
資安業者揭露專門支援網路犯罪行動的短網址服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.infoblox.com/cyber-threat-intelligence/prolific-puma-shadowy-link-shortening-service-enables-cybercrime/" target="_blank">專門提供IT自動化與安全服務的Infoblox在本周揭露</a>了專門用來支援網路犯罪行動的短網址服務，Infoblox將此一服務供應商命名為Prolific Puma，指出該服務已存在至少4年之久，長期註冊大量的網域名稱來提供短網址服務，以協助網路犯罪份子躲避偵測，以用來執行網路釣魚行動與詐騙，或是用來遞送惡意程式。</p> <p>Infoblox聲稱，網路犯罪是全球第三大的經濟活動，在今年的經濟價值高達8兆美元，而Prolific Puma即是該供應鏈中的一份子。</p> <p>短網址服務可用來縮短網址，同時可指向原本的網頁，一來方便使用者分享，二來也可符合某些平臺的網址長度限制。由於它隱藏了真實的網址，也成為駭客利用的工具，事實上，坊間有為數不少的免費短網址工具，部分因遭到駭客濫用而聲名狼藉的短網址服務則會直接遭到組織封鎖，像是t.co或bit.ly等，這也使得駭客轉向Prolific Puma等付費的短網址服務。</p> <p>研究人員指出，Prolific Puma並非他們所發現的唯一非法短網址服務，卻是其中最大也最活躍的，而且迄今沒有在該服務上發現任何合法內容。</p> <p>根據Infoblox的調查，Prolific Puma註冊了大量的網址來提供短網址服務，光是自去年4月迄今，便註冊了3.5萬個至7.5萬個的不重覆網域名稱，從.us、.link、.info、.com、.cc到.me等。從今年5月以來，更主攻僅允許美國人或美國公司才能註冊的.us，已註冊數千個.us的網域名稱，呼應了《<a href="https://krebsonsecurity.com/2023/09/why-is-us-being-used-to-phish-so-many-of-us/" target="_blank">Krebs on Security</a>》近日宣稱.us已成為最常受到駭客濫用的國家頂級網域名稱的報導。</p> <p>藉由Prolific Puma短網址服務所連結的最終頁面經常是網路釣魚或詐騙網站，但有時是直接連至惡意網站，有時是透過多層的重新定向，也有些會連至其它服務所產生的短網址，還有的會連至CAPTCHA來躲避偵測，或是透過手機簡訊來傳遞，Infoblox從這些情景來判斷Prolific Puma的客戶非常多樣化。</p> <p>此外，在註冊了新網址之後，Prolific Puma通常會靜置它們一陣子，因為絕大多數的網釣攻擊都是利用新註冊的網址，造成許多安全系統直接封鎖新網址，靜置幾周後的網址才能躲過這些系統的偵測。</p> <p>Infoblox已透過<a href="https://github.com/infobloxopen/threat-intelligence/blob/main/cta_indicators/prolific_puma_20231031.csv" target="_blank">GitHub</a>公布了Prolific Puma所使用的網域名稱供外界參考。</p> </div></div></div>
2023/11/1 16:59作者陳曉莉https://www.ithome.com.tw/news/159585
傳聞WeWork最快會在下周申請破產保護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.wsj.com/articles/wework-plans-to-file-for-bankruptcy-as-early-as-next-week-1fdcb6a5?mod=followamazon" target="_blank">《華爾街日報》</a>（The Wall Street Journal）周二（10/31）引述消息來源報導，專門提供動態辦公空間服務的WeWork，最快會在下周於紐澤西州申請Chapter 11破產保護。當天收盤時的WeWork股價為2.28美元，市值只剩1.2億美元，消息傳出後，盤後股價更大挫42.54%，每股價格跌至1.31美元。</p> <p>2010年創立的WeWork主要於全球市場提供辦公室空間，供使用者動態租賃，截至去年底，該公司於全球39個國家的779個地點設有辦公空間，擁有逾50萬的會員。令WeWork聲名大噪的是該公司在2019年1月獲得日本軟體銀行（SoftBank）20億美元的注資，所估計的WeWork身價高達470億美元，而這也是WeWork的顛峰。</p> <p>WeWork曾於2019年8月申請IPO，但當時該公司的財務、管理與經營模式遭到眾多批評，使得WeWork隔月即主動撤回申請，再於2021年藉由與特殊目的收購公司（Special Purpose Acquisition Company，SPAC）BowX Acquisitiona合併，於10月成功登上了紐約股市，此時WeWork的市值已跌至90億美元。</p> <p>曾有媒體評論，WeWork的失敗在於其共同創辦人暨執行長Adam Neumann的風格，以及軟體銀行所提供的寬鬆資金。因為WeWork，<a href="https://www.ithome.com.tw/news/134070" target="_blank">軟體銀行在2019年出現</a>了14年以來的首度虧損，創辦人暨執行長孫正義則坦承，投資WeWork是個錯誤的決策。不論如何，根據<a href="https://www.marketscreener.com/quote/stock/WEWORK-INC-128528517/company/" target="_blank">MarketScreener</a>所提供的資料，目前軟體銀行仍是WeWork的最大股東，擁有68%股權。</p> <p>從WeWork去年第三季至今年第二季的財報來看，它每季都虧損，例如去年第三季營收為8.17億美元，虧損6.29億美元，第四季營收是8.48億美元，虧損5.27億美元，今年第一季的營收維持在8.49億美元，但虧損已縮減至2.99億美元，第二季營收是8.44億美元，虧損3.97億美元。</p> <p>儘管虧損幅度縮小，但10月初WeWork已無法如期支付利息予債券持有人。</p> <p>對於《華爾街日報》的報導，WeWork則說拒絕回應市場傳聞。</p> </div></div></div>
2023/11/1 15:38作者陳曉莉https://www.ithome.com.tw/news/159583
Windows 11 2023 Update出爐，以Microsoft Teams取代Chat
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windowsexperience/2023/10/31/how-to-get-the-windows-11-2023-update/" target="_blank">微軟本周二（10/31）正式發布</a>了Windows 11 2023 Update（Windows 11 23H2），以免費版的Microsoft Teams直接取代工作列上預設的Chat聊天功能，同時改善了使用者管理內建Windows程式的介面，這雖然是Windows 11的年度功能性更新，但變更並不大，預計可以在盡量不影響作業的狀態下完成更新。</p> <p>微軟是在2021年的10月發表Windows 11，當時的首個版本名為Windows 11 21H2，第一次的功能更新是2022年9月釋出的Windows 11 22H2，本周釋出的Windows 11 23H2為Windows 11第二次的功能更新。</p> <p>此一更新最主要的改變是讓Microsoft Teams取代Chat，成為Windows 11預設的聊天工具，可用來傳遞文字、通話、開會、建立聊天群組，若連結了Android手機，還可直接透過Microsoft Teams接收與傳送簡訊；它提供了Mini選項，可將視窗縮放到適合放在桌面上的任何位置以方便通訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1101-Windows%2011%2023H2%20update-new%20SMS%20in%20Teams%20capability.png" style="width: 500px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1101-Windows%2011%2023H2%20update-mini%20size-Microsoft%20Teams%20(free).png" style="width: 570px;" /></p> <p>另一項改變則是更清楚地列出屬於系統元件的Windows內建程式。原本要找到這些程式必須透過設定~>程式~>所安裝的程式~>系統元件，才能發現，不過，現在這些程式會直接出現在開始功能表中所有程式（All apps）的系統（System）標籤中，也會在設定~>系統中擁有自己的系統元件（System Components）頁面。</p> <p>相關程式包括Game Bar、Microsoft Store、Phone Link及Tips等，媒體對微軟此舉的看法不一，有人認為這是微軟擔心使用者誤刪它們，也有人認為這可能微軟在替允許使用者刪除這些程式而鋪路。</p> <p>還有一個受到關注的是Windows 11 23H2的預設值啟用了一些仍在測試中的新功能，例如Copilot in Windows，其實這些功能先前已出現在Windows 11 22H2中，只是預設值是關閉的。</p> <p><a href="https://support.microsoft.com/en-us/topic/kb5027397-feature-update-to-windows-11-version-23h2-by-using-an-enablement-package-b9e76726-3c94-40de-b40b-99decba3db9d" target="_blank">根據微軟的說明</a>，Windows 11 22H2與23H2採用一致的核心作業系統，其系統檔案完全相同，因此，Windows 11 23H2的新功能已經隨著Windows 11 22H2最新的更新進駐使用者裝置，只是處於休眠狀態，只要系統收到啟用套件便會開通這些功能。這意味著Windows 11 23H2的升級將會更快速並減少停機時間。</p> <p>負責Windows服務與交付的微軟副總裁John Cable表示，Windows 11 23H2是個有限範圍的累積更新，<a href="https://www.zdnet.com/article/windows-11-version-23h2-isnt-exciting-which-is-why-youll-probably-love-it/" target="_blank">《ZDNET》</a>則說，這很可能是Windows史上逾30年來最無趣的一個新版本。</p> </div></div></div>
2023/11/1 13:35作者陳曉莉https://www.ithome.com.tw/news/159578
【資安週報】2023年10月23日到10月29日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧近期重大漏洞攻擊事故，最受各界矚目的，莫過於思科10月中旬公布的零時差漏洞CVE-2023-20198，駭客將其用於植入後門程式的攻擊行動，但經過一星期的延燒，後續竟出現不合理的劇烈減少的罕見現象，研究人員認為起因是駭客更換新的後門程式，導致原本的後門程式數量減少。</p> <p>其他資安事故的部分，身分存取管理服務業者Okta客戶技術支援系統遭駭，最令人憂心，因為有非常多的廠商與企業採用，造成廣泛牽連的局面，目前身分存取管理業BeyondTrust、雲端服務業者Cloudare、密碼管理業者 1Password，都表明因這起事故而遭到攻擊。後續效應有待觀察。</p> <p>電子郵件系統持續遭到駭客組織鎖定已是常態，但針對的平臺也有不同，例如，過往大部分是針對微軟Exchange、開源的Zimbra而來。這週有一套名為Roundcube的網頁郵件系統，俄羅斯駭客組織Winter Vivern、APT28鎖定，對方正在利用未知或已知漏洞從事攻擊行動。</p> <p>這週也有攻擊隔離網路（Air-Gapped）環境的情況，資安業者揭露鎖定USB安全加密隨身碟的攻擊行動TetrisPhantom，駭客先對位於非隔離網路環境的電腦下手，在連接這種隨身碟時，趁機將惡意程式植入裝置當中，等到用戶將隨身碟帶到受隔離系統使用，會趁機植入並進行竊密。</p> <p>關於資料外洩的手法，最近有新的話題。駭客不僅透過臉書收集攻擊目標的使用者資料，也會在臉書及Instagram專供執法單位存取的入口網站Police Portal帳密，這種入口網站是在政府機關因應辦案需求，向他們請求用戶的IP位址、電話號碼、裝置資訊等資料所用，後續資料洩露的情況尚不明朗。</p> <p>在資安防護的措施上，本週有新的動態，例如，美國CISA針對醫療產業推出一站式工具包，提升網路安全。再者，則是Google宣布擴大AI漏洞懸賞的範圍，當中也列入生成式AI。</p> <p>在國內的資安防護措施上，則是包含跨國網路攻防演練CODE 2023，以及政府專屬短碼簡訊平臺111。這次CODE 2023的攻防標的，選定與民生相關的水資源領域關鍵基礎設施（CI），進行攻防演綀，結果我國參與團隊表現傑出，得到冠軍。</p> <p>而政府短碼簡訊平臺的部分，則是繼數位發展部推出短網址服務之後，另一項新的防堵假冒政府機關詐騙措施。政府機關透過專屬平臺發送111短碼簡訊，達到只此一家、別無分號的效果，首波內部測試已有中央與地方的政府單位參與，現在將開放更多機關使用。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/159433"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月23日】思科網路設備作業系統IOS XE攻擊升溫，駭客串連兩個零時差漏洞散布惡意程式，近4.2萬臺設備受害</span></strong></a></h3> <p>思科上週揭露已被用於攻擊行動的零時差漏洞CVE-2023-20198，隨後有研究人員指出可能有1萬臺設備感染惡意程式，但情況急速惡化。資安業者Censys發現，18日有逾4萬臺設備受害，其中又以美國、菲律賓、墨西哥的設備最多。</p> <p>另一方面，思科威脅情報團隊Talos揭露此起事故的最新調查結果，指出攻擊者在部署惡意程式的過程，同時利用另一個零時差漏洞CVE-2023-20273。</p> <h3><a href="https://www.ithome.com.tw/news/159454"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月24日】駭客再度針對已遭零時差漏洞攻擊的思科IOS XE設備下手，部署新的後門程式，意圖隱匿攻擊行動</span></strong></a></h3> <p>思科上週揭露已被用於攻擊行動的零時差漏洞CVE-2023-20198，隨後情況急速惡化，多家資安業者發現受害的IOS XE設備，數量一度達到4萬，甚至6萬的高峰，但特別的是，他們在週末觀察到的遭駭設備數量，竟然只剩下一千多臺。難道是IT人員都很配合、及時套用更新程式嗎？研究人員普遍認為，這些看似「已修補」的狀態，可能是駭客隱匿攻擊行動的作為。</p> <p>對於上述推測，資安業者Fox-IT公開證實，並指出駭客在近4萬臺具有這個弱點的設備，部署了新版後門程式，繼續進行控制。</p> <h3><a href="https://www.ithome.com.tw/news/159482"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月25日】6月iOS裝置零點擊攻擊調查結果出爐，駭客嚴格確認已滲透至真實環境，才開始植入惡意程式</span></strong></a></h3> <p>今年6月，資安業者卡巴斯基從專供行動裝置使用的Wi-Fi網路流量察覺異常，有多臺iOS手機出現可疑活動，從而發現零點擊攻擊行動Operation Triangulation，在經過4個月的調查後，該公司透露攻擊者如何防範研究人員發現其活動的跡象。</p> <p>研究人員認為，這些過往較為罕見的手法，代表駭客對iOS作業系統相當了解，而且，他們不排除Mac電腦也是遭到鎖定的對象。</p> <h3><a href="https://www.ithome.com.tw/news/159501"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月26日】研究人員揭露熱門網站服務的OAuth漏洞，攻擊者可架設另一個網頁服務來挾持用戶的登入資料</span></strong></a></h3> <p>有研究人員在今年3月，針對網路服務廣泛應用的OAuth身分驗證措施提出警告，當時他們揭露了存在於訂房網站Booking.com的漏洞，並指出類似的情況也可能發生在其他導入OAuth的網站。</p> <p>到了最近，這些研究人員公布對於另外3個熱門的網路服務調查結果，其共通點是駭客一旦取得用戶其他服務用於OAuth身分驗證的Token，就有機會挾持用戶這些網站上的帳號。</p> <h3><a href="https://www.ithome.com.tw/news/159530"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月27日】研究人員揭露新型攻擊手法iLeakage，可透過推測執行漏洞、用瀏覽器竊取蘋果裝置的用戶機密資訊</span></strong></a></h3> <p>處理器的推測執行（Speculative Execution）漏洞從2018年首度揭露，不只引起IT廠商關注，推出相關修補程式，研究人員也陸續找出變種漏洞，這類研究過往大多針對x86處理器而來，雖然Arm處理器也存在這類漏洞，但未引起重視。</p> <p>有一組研究人員針對蘋果自製的Arm處理器晶片進行研究，並於近期公布成果「iLeakage」，值得留意的是，這項漏洞研究人員向蘋果通報已超過一年，但直到漏洞揭露，該公司才表示要透過軟體進行修補。</p> </div></div></div>
2023/11/1 12:26作者周峻佑https://www.ithome.com.tw/news/159577
Google持續耕耘Android對RISC-V的支援，預計2024年推出開發模擬器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google進一步在<a href="https://opensource.googleblog.com/2023/10/android-and-risc-v-what-you-need-to-know.html">Android更全面地支援RISC-V</a>（讀作risk-five），除了針對RISC-V在Android中的支援進行更多的測試和最佳化，讓開發者可以在自己的機器上建置、測試和執行Android對RISC-V的支援，接下來，Google將在2024年推出相關模擬器，並計畫讓Android開發人員能夠編寫RISC-V平臺的原生程式碼。</p> <p>Android開源作業系統能夠被移植到各種裝置和架構，而RISC-V正是Google的下一個目標。Google在2022年11月的時候，在RISC-V大會中宣布Android開始接受針對RISC-V的更新。RISC-V是一個免費且開放的指令集架構（ISA），在10年前由柏克萊大學研究人員與一群工程師開發而成，現在被大量用於嵌入式和微控制器領域中，而近年又逐漸往運算加速器、伺服器和行動運算領域擴展。</p> <p>RISC-V是一種模組化的指令集架構，由多個可選擇的擴充模組構成，模組化設計讓開發者可以根據需求選擇加入，或是不加入特定功能模組。這樣的設計讓RISC-V非常靈活，能夠根據不同的應用場景和硬體需求客製，像是開發者需要開發一個能夠執行浮點數運算的系統，便可以選擇加入RISC-V浮點數運算擴充模組，反之可以選擇不加入，減少硬體成本和複雜性。</p> <p>Google現在已經確定了一組RISC-V初始功能集，確保Android作業系統可以順利的在使用RISC-V架構的CPU上運作，其包含了必要的指令集擴充模組，包含rva22設定檔、向量以及向量加密擴充模組。現在開發者已經可以在自己的電腦上建置、測試和執行Android對RISC-V的支援。</p> <p>雖然現在開發者可以建置和執行基本的Android開源專案體驗，但是這項支援尚未完全最佳化，Android執行環境的最佳化後端工作仍在進行中，此外，AOSP、外部專案以及編譯器也還未能生成經最佳化的程式碼，也沒辦法充分運用向量等最新的擴充模組。</p> <p>Google提到，儘管尚未最佳化，但是已足以進行實驗和合作。在今年稍晚的時候，Google就會確定NDK ABI（Native Development Kit Application Binary Interface），金絲雀版本會先在Android公共持續整合工作管線中提供，並且能夠在x86-64和arm64上測試riscv64 Android應用程式。NDK ABI是指在Android系統中，用於定義原生程式碼與Android作業系統以及其他程式碼溝通的介面。</p> <p>Google預計在2024年公開模擬器，並提供完整的功能集，讓開發者能夠針對各種裝置類型和尺寸測試應用程式，穿戴式裝置將會是第一個可用的裝置類型。</p> <p>Google也提到他們正在擴展對RISC-V生態系的投資，對RISC-V國際組織挹注資源，並且在多個技術委員會和工作組擔任要角，以加速設計和批准規範，同時，Google也和RISE專案合作，加速RISC-V處理器核心執行高階作業系統軟體的可用性。</p> </div></div></div>
2023/10/31 21:36作者李建興https://www.ithome.com.tw/news/159576
【資安日報】10月31日，曝露於GitHub程式庫的帳密資料成為駭客下手的對象！有人從中收集AWS的帳密，將EC2實體…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過往不斷有研究人員對開發者提出警告，將專案所需存取的帳密資料寫入程式碼，將有可能帶來危害。而最近研究人員發現的挖礦攻擊行動EleKtra-Leak，就是這樣的典型例子，攻擊者從公開的GitHub儲存庫收集AWS帳密資料，再趁機奪取這些用戶花錢租用的EC2執行個體服務進行挖礦。</p> <p>特別的是，駭客利用這些帳號挖礦之後，竟然把它們列入黑名單，這樣的手法可說是相當少見。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://unit42.paloaltonetworks.com/malicious-operations-of-exposed-iam-keys-cryptojacking"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客發動EleKtra-Leak挖礦攻擊，利用GitHub曝露的AWS帳密來奪取用戶EC2運算服務，替他們挖掘加密貨幣</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-130743-2-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-130743-2-2.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露名為EleKtra-Leak的挖礦攻擊行動，駭客約從2020年12月開始進行相關活動，光是在今年8月30日至10月6日，他們就看到有多達474個Amazon EC2執行個體遭駭，被攻擊者拿來挖掘門羅幣。</p> <p>研究人員指出，這些駭客先是濫用GitHub提供的機密資訊掃描功能，以及AWS的AWSCompromisedKeyQuarantine政策標籤來尋找目標，一旦確認目標儲存庫存放了AWS帳密資料，或是其他的身分驗證管理（IAM）資料，攻擊者就試圖找出這類帳密，對目標AWS帳號進行偵察，然後建立安全群組，並透過VPN程式存取EC2執行個體，從Google Drive下載挖礦軟體並執行，整個過程是自動化運作，總共進行超過400次API呼叫，過程只花費7分鐘。</p> <p>特別的是，這些駭客也將他們用過的帳密資料加入黑名單。研究人員推測，這麼做的目的，很有可能是防止遭到進一步分析。</p> <p><a href="https://www.bleepingcomputer.com/news/security/lastpass-breach-linked-to-theft-of-44-million-in-crypto/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露440萬美元加密貨幣竊盜事故，起因疑與密碼管理解決方案LastPass資料外洩有關</span></strong></a></p> <p></p> <p>根據資安新聞網站Bleeping Computer報導，10月27日加密貨幣調查員ZachXBT指出，他與加密貨幣錢包MetaMask開發者Taylor Monahan聯手，追蹤一系列加密貨幣遭竊的事故，光是25日就有約440萬美元遭竊，至少有25名投資人受害，而根據他們的調查，這些人的共同點，就是都有使用密碼管理解決方案LastPass。</p> <p>研究人員指出，駭客之所以能榨乾這些人的資產，關鍵是他們利用2022年LastPass遭駭而外流的資料，因此得逞。他們得知有人正在破解被洩露的密碼資料庫，而有可能導致更多LastPass用戶成為目標。</p> <p>而這並非首度有人因LastPass資料外洩事故損失加密貨幣，資安新聞網站Krebs on Security於今年9月指出，從去年12月下旬，陸續傳出有人受害，估計已被偷走逾3,500萬美元加密貨幣。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/zachxbt/status/1717901088521687330">https://twitter.com/zachxbt/status/1717901088521687330</a><br /> 2. <a href="https://krebsonsecurity.com/2023/09/experts-fear-crooks-are-cracking-keys-stolen-in-lastpass-breach/">https://krebsonsecurity.com/2023/09/experts-fear-crooks-are-cracking-keys-stolen-in-lastpass-breach/</a></p> <p><a href="https://www.ithome.com.tw/news/159568"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對2020年SolarWinds供應鏈攻擊事故，美國證券交易委員指控該公司蓄意隱瞞</span></strong></a></p> <p></p> <p>10月30日<a href="https://www.sec.gov/news/press-release/2023-227">美國證券交易委員會（SEC）對IT業者SolarWinds進行控告</a>，原因是在2020年的供應鏈攻擊事故當中，該公司內控失靈，資安長Timothy Brown涉及詐欺，違反美國證券交易法。</p> <p>SEC指出，該公司從2018年10月股票公開發行，到2020年12月遭遇木馬程式Sunburst供應鏈攻擊，SolarWinds對外誇大其資安措施，同時低估已知的資安風險，甚至未主動揭露。根據SEC的調查，該公司內部工程師曾在2018年提出警告，他們的遠端存取組態不安全，一旦有人利用相關弱點，就有機會在不被發現的情況下為所欲為，Timothy Brown也曾在內部簡報提及此事。</p> <p>而在前述攻擊行動發生的數個月前，該公司內部資安問題重重。例如，他們在2020年6月調查鎖定客戶而來的網路攻擊，Timothy Brown認為，駭客已經不斷針對Orion軟體下手，企圖發動規模更大的攻擊，同年9月，該名資安長在內部會議指出，8月發現的資安問題數量，已超越工程團隊負荷。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.esentire.com/blog/the-wiki-slack-attack"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露濫用維基百科的攻擊手法Wiki-Slack，將Slack用戶進行重新導向</span></strong></a></p> <p></p> <p>資安業者eSentire揭露濫用維基百科的攻擊手法，駭客鎖定商務人士下手，從維基百科挑選目標人士可能感興趣的主題，並在維基百科條目加入特定註解，以便觸發後續的攻擊行動。一旦目標人士將上述的維基百科條目轉貼至Slack頻道，就有可能呈現原始維基百科不會出現的連結，從而導致其他Slack使用者點選，然後導向惡意網站，並向他們散布惡意軟體。</p> <p>研究人員指出，這種攻擊手法也可能套用在Medium部落格，但有鑑於維基百科廣為人知，駭客濫用這項服務的可能性較高。針對上述的弱點，研究人員已向Slack進行通報。</p> <p><a href="https://www.armosec.io/blog/cve-2023-5043-nginx-ingress/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對K8s打造的Nginx Ingress控制器存在高風險漏洞</span></strong></a></p> <p></p> <p>資安業者Armo指出，有人近日針對適用於K8s環境的Nginx Ingress控制器，通報了高風險漏洞CVE-2022-4886、CVE-2023-5043、CVE-2023-5044，其中最嚴重的是CVE-2022-4886，攻擊者有機會用來繞過此控制器的路徑清理功能，從而取得存取該控制器的帳密資料，CVSS風險評分為8.8。</p> <p>另外兩個漏洞，則是讓攻擊者有機會濫用程式碼片段configuration-snippet或permanent-redirect的註解欄位，從而執行任意命令或是程式碼，CVSS風險評分皆為7.6。對此，該軟體的維護者提出了緩解措施，呼籲使用者應儘速套用。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.hackerone.com/press-release/hackers-surpass-300-million-all-time-earnings-hackerone-platform"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾6成白帽駭客利用生成式AI來發現漏洞</span></strong></a></p> <p></p> <p>10月26日漏洞懸賞平臺HackerOne發布年度報告，當中提及生成式AI（GenAI）持續受到駭客歡迎，有61％白帽駭客正在利用此技術開發各式工具，用來發現更多漏洞，另有62%駭客對於生成式AI採用的大型語言模型（LLM）感興趣，他們將針對OWASP揭露的10大安全漏洞進行相關研究。</p> <p>此外，受訪者也表明進一步運用生成式AI處理相關工作的情況，有66％打算拿來產生報告、53％會用於編寫程式碼，另有33%則是將其運用於減少語言隔閡。事實上，目前已有14%駭客將其視為重要工具，並有53%開始採用。</p> <p>而對於白帽駭客帶來的貢獻，時下企業組織認為普遍面臨資安人才缺乏的現象得到緩解，70%客戶認為，這些白帽駭客充分協助他們，使其免於遭遇資安事故。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.securityjoes.com/post/bibi-linux-a-new-wiper-dropped-by-pro-hamas-hacktivist-group"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">資料破壞軟體BiBi-Linux鎖定以色列組織而來</span></span></strong></a></p> <p></p> <p><a href="https://www.elastic.co/security-labs/ghostpulse-haunts-victims-using-defense-evasion-bag-o-tricks"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體Ghostpulse透過MSIX安裝程式散布</span></span></strong></a></p> <p></p> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/10/malvertising-via-dynamic-search-ads-delivers-malware-bonanza"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google動態廣告遭到濫用，攻擊者散布惡意程式</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-email-stolen-student-data-to-parents-of-nevada-school-district/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國內華達州校區遭遇大規模資料外洩，駭客向家長寄送竊得的學生資料施壓</span></span></strong></a></p> <p></p> <p><a href="https://www.ithome.com.tw/news/159565"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客LockBit宣稱駭入波音並竊走機密</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159548"><strong>【10月30日】有人在2016年就利用永恆之藍漏洞，打造惡意軟體StripedFly，迄今仍有數萬臺電腦遭到感染</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159530"><strong>【10月27日】研究人員揭露新型攻擊手法iLeakage，可透過推測執行漏洞、用瀏覽器竊取蘋果裝置的用戶機密資訊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159501"><strong>【10月26日】研究人員揭露熱門網站服務的OAuth漏洞，攻擊者可架設另一個網頁服務來挾持用戶的登入資料</strong></a></p> </div></div></div>
2023/10/31 17:59作者周峻佑https://www.ithome.com.tw/news/159575
PChome揭行動商務優先的介面改版策略及內容，搜尋功能強化是一大重點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>PChome執行長張瑜珊今（10/31）於雙11記者會中揭露近期電商營運及數位做法。包括電商介面大翻新亮點、目前AI科技應用、物流布局、以及發展異業結盟的策略。</p> <p>近兩年，PChome終於下定決心翻新行之有年的電商介面。之前PChome於法說會提到，計畫今年年底介面翻新會達到9成進度。張瑜珊今天則表示，預計明年上半年會全部完成。她並說明，新電商介面設計採取「Mobile first」策略，強調行動裝置購物體驗，且於首頁優惠相關資訊更加清晰易讀。這些優惠資訊，會依照時事、天氣、流行等外部因素來動態呈現。至於消費者喜好等因素是否也會影響首頁介面呈現，張瑜珊沒有特別提及。</p> <p>另一個重要翻新面向是搜尋功能。前端介面新增了不同篩選器、自動搜尋完成等功能。後端則有多項更新，其一是換新綜合排序演算法，根據貨態與熱門程度等因素排序搜尋結果，其二全面升級搜尋底層架構，利用機器學習來增加搜尋結果精準度，而非只靠關鍵字比對，其三則是提高搜尋詞庫完整性，來強化系統推論商品關聯性及消費者意圖的能力。</p> <p>除了利用AI/ML技術來強化搜尋功能，張瑜珊表示，PChome還有許多環節會應用AI技術。包括電商商品推薦、會員資料分眾，以及根據被揀貨頻率等因素來調整倉儲貨物位置安排等。還有一個較為特別的AI應用是商品資料補齊。張瑜珊解釋，PChome有大量舊有商品資料，需要將資訊補齊才更容易進行後續處理。不過，他沒有揭露用AI加速資料補齊的具體做法。</p> <p>物流布局方面，近期一大里程碑是年初開始分層分區逐步啟用的A7物流中心，10月底所有樓層都已啟用，趕上雙11檔期。目前此物流中心處理PChome 58%訂單的物流，除了應用AI技術來優化商品存放位置，還投入揀貨穿梭車（Shuttle）跟運貨AGV等自動化物流設備，採取以物就人模式，提升物流效率。</p> <p>同時，他們持續拓展同集團自營車隊網家速配服務範圍，目前涵蓋9縣市、70個行政區。他們也擴大與外部業者的物流合作，包括於雙北地區採用Uber企業物流服務Uber Direct，以及和統一超商合作推出大材積取貨服務。</p> <p>未來，張瑜珊表示PChome有意持續進行異業策略結盟，來拓展業務型態及進行跨通路導流。近期做法例如，與3C維修品牌大師修合作設置實體「PChome 24h購物安裝服務中心」門市，來強化3C商務面向。還有，推出中華電信Hami Point會員綁定功能，用會員點數折抵電商消費，以期強化消費者導流及會員數據經營。</p> <p> </p> </div></div></div>
2023/10/31 19:13作者郭又華https://www.ithome.com.tw/news/159573
MedTech醫療科技雙周報第29期：FDA近1年核准171項醫療AI商品，但尚未核准任何生成式AI醫材
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（1016～1031）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">智慧醫材</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> FDA </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size: 22px;"><strong>美FDA近1年核准171項醫療AI商品，但尚未核准任何生成式AI醫材</strong></span></p> <p>美國食品藥物管理局（FDA）10月19日發布AI／ML醫材名單更新說明，共新添171種支援AI和ML的醫療設備，其中155款是在2022年8月1日至今年7月30日間核准，當中有16種是既有設備，透過優化原有方法而獲得認證。FDA表示，在過去10年內，他們審查核准的AI醫材越來越多、遍布不同醫學領域，這一趨勢也將持續下去。但，儘管大型語言模型（LLM）應用在今年遍地開花，FDA指出，截至今年10月19日，他們尚未核准任何使用生成式AI、通用AI（GAI）或由LLM支援的醫療器材。</p> <p>FDA也分析AI／ML醫材核准趨勢，與2019年相比，2020年獲核准的產品數量成長率高，為39%，但2021年和2022年放緩，成長率分別為15%和14%。雖然如此，FDA預計，2023年的成長率將達到30%以上。就核准領域來說，2022年獲得認證的智慧醫材中，87%屬於放射科（共122件），其次是7%的心血管科（共10件），其餘則是各占1%的神經科（2件）、血液科（1件）、腸胃科／泌尿科（1件）、眼科（2件）、臨床化學（1件）和耳鼻喉科（1件）。</p> <p>就2023年來說，截至7月底，FDA核准的智慧醫材有79%屬於放射科（85件）、9%屬於心血管科（10件）、5%用於神經科（5件）、4%用於腸胃科／泌尿科（4件）、2%用於麻醉科（共2件），其餘為各1%的耳鼻喉科（1件）和眼科（1件）。FDA也指出，這些設備大多採用混合型模型，比如用一套模型來產生特徵，再用另一套模型來分類，藉這種混合方法來達到安全有效的預測。<a href="https://www.fda.gov/medical-devices/software-medical-device-samd/artificial-intelligence-and-machine-learning-aiml-enabled-medical-devices">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資安 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CISA </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 弱點掃描 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>美國CISA釋出醫療資安工具包</strong></span></p> <p>美國網路安全暨基礎設施安全局（CISA）最近聯手美國衛生及公共服務部（HHS），共同推出醫療與公衛資安工具包，來提高醫療機構和業者的資安防護力。CISA副主任Nitin Natarajan表示，由於醫療機構擁有個人識別資訊、財務資訊、健康記錄和無數醫療裝置數據，就像是駭客的一站式商店。他舉例，光是2023年，CISA就向超過65個美國醫療機構發出勒索軟體預警通知，美國衛生與公共服務部副部長Andrea Palm更指出，他們和CISA與業界夥伴密切合作，不只提供資安工具和資源，也提供指導來助醫療機構和業者，特別是IT資源不足的小型機構。</p> <p>醫療機構和業者可在CISA網站找到這項工具包，該工具包整合不少公部門資源，包括CISA的資安弱點掃描服務、HHS的醫療業資安實作服務，以及HHS的醫療業資安框架實作指南，來幫助醫院提高資安韌性。<a href="https://www.cisa.gov/news-events/news/cisa-hhs-release-collaborative-cybersecurity-healthcare-toolkit">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">生成式AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 西澳 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 健康照護 </span></strong></span></p> <p><span style="font-size:22px;"><strong>西澳政府揭醫療生成式AI挑戰賽結果</strong></span></p> <p>澳洲西澳政府在10月下旬公布醫療照護生成式AI挑戰賽結果，共有19家包含大學和醫資廠商在內的組織勝出，西澳政府也撥出93萬多澳元資金，供這些團隊繼續發展醫療AI，來解決當地醫療照護問題。</p> <p>該挑戰賽分為4大領域，包括健康與醫學研究、健康與醫療創新、醫療健康服務提供，以及健康和醫學教育／培訓。西澳政府表示，該挑戰賽有2階段，首先是選出每領域的可行性團隊，並給予5萬澳元來執行，再來是選出每類別表現最優異的團隊，並給予50萬澳元獎金，來將生成式AI落地。目前入選的應用有皇家珀斯醫院的骨科自動化報告、Foresight Medical的生成式AI用於眼部生物標記早期阿茲海默症診斷、西澳大學的生成式AI憂鬱症篩檢，以及由南大都會衛生所提出的生成式AI優化偏鄉耳部健康照護服務等。<a href="https://fhrifund.health.wa.gov.au/News-and-Events/2023/10/18/Generative-AI-technology-to-address-WA-health-and-medical-challenges">（詳全文）</a></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 全息投影 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫學培訓 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 腸胃科 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>新加坡楊潞齡醫學院導入全息投影，優化腸胃科看診訓練</strong></span></strong></p> <p>新加坡國立大學楊潞齡醫學院最近開發一項全息投影應用，要來模擬腸胃科患者臨床流程，提高醫學生的模擬訓練品質。他們開發的應用名為HoloScenarios：Gastrointestinal，由醫學院專家和教授聯手打造，醫學生可透過該應用，與全息投影呈現的模擬患者、醫療器材等互動，能在安全環境中累積軟硬技能，涵蓋了解基本病史、執行侵入性測試到緊急醫療處置等環節。</p> <p>這個腸胃科訓練模組建於Gig沉浸式學習平臺之上，該平臺是企業級平臺，能讓使用者打造、分享沉浸式訓練應用程式和模組，特別是世界級醫療機構和MR開發者。<a href="https://medicine.nus.edu.sg/news/gigxr-partners-with-nus-medicine-to-deliver-holographic-clinical-scenarios-for-gastroenterology-training/">（詳全文）</a></p> <p><img alt="" src="https://medicine.nus.edu.sg/wp-content/uploads/2023/10/HoloScenarios-1536x1182.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">花蓮慈濟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> WiFi 6 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 定位 </span></strong></span></p> <p><span style="font-size:22px;"><strong>花蓮慈濟全面升級WiFi 6無線網路技術</strong></span></p> <p>花蓮慈濟醫院最近升級內部無線網路設施，透過廠商智邦科技支援、採用WiFi 6技術，來實現無縫、全面的網路覆蓋。慈濟醫療法人東區資訊室主任李建泰指出，WiFi6是無線網路的新規格，可為醫療團隊和病人提供更穩定的頻寬，也確保無線網路在院內更穩定，能應對多設備同時連接的需求。</p> <p>廠商也提供新型號網路晶片，來確保網路訊號的穩定性，減少人員移動時信號可能出現中斷的問題。此外，他們也採用無線管理系統，來與多種智慧管理機制搭配，比如SIL室內定位，讓病人和訪客透過手機App，就能輕鬆找到要去的目的地。此外，這個SIL室內定位技術也能用來追蹤重要的醫療設備和資產位置，甚至在緊急情況下，醫療團隊能更快速定位病人、醫護人員和其他關鍵人員，以提供即時支援和緊急護理。<a href="https://hlm.tzuchi.com.tw/home/index.php/news/reports/item/3225-wifi6">（詳全文）</a></p> <p><img alt="" src="https://hlm.tzuchi.com.tw/home/images/01news/2023/10/1020/img_2.jpg" /><img alt="" src="https://hlm.tzuchi.com.tw/home/images/01news/2023/10/1020/img_3.jpg" style="width: 213px; height: 300px;" /></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">護理記錄 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 高醫附醫 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>高醫附醫導入生成式AI護理助手</strong></span></strong></p> <p>10月中旬，高雄醫學大學附設中和紀念醫院揭露生成式AI進展，其體系智能醫療推動辦公室打造生成式AI敘述性護理紀錄，讓護理師快速完成記錄，降低工作負荷。</p> <p>進一步來說，護理師例行的巡房流程，包括測量病人生命徵象、詢問病人狀況等，以往護理師除照顧病患，還得花費大量時間來記錄量測數值和觀察現象。透過AI護理助理，護理師可在巡房結束後，用生成式AI快速自動生成護理紀錄，內容不僅符合白班、大小夜班的照護模式需求，更能依病患不同的病情來生成病歷內容，協助護理師更精確、更省時地記錄和管理護理病歷。現場並展示如何利用生成式AI來輔助護理師生成敘述性護理紀錄。</p> <p>另一方面，高醫附議持續發展醫療大數據應用，打造出高醫體系醫療數據資料庫平臺（KMURD），包含臨床數據、醫學影像、主題式疾病資料庫、基因分析、數位病理、與生理訊號等資料庫，並透過AI將資料結構化。有了這些基礎，高醫體系可進一步發展加值應用，如智慧加護病房、手術麻醉智能管理、偏鄉遠距醫療、生成式病歷協作等AI平臺。<a href="https://www.kmuh.org.tw/KMUHInterWeb/News/BrdactDetail/1001124108?actid=419622">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Ubie </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 摘要 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>日本醫療新創Ubie推出生成式AI功能，可摘要患者問卷內容</strong></span></strong></p> <p>使用者遍及日本47個都道府縣的日本醫療AI新創Ubie，最近在自家病患服務平臺Ubie Medical Navi上推出生成式AI功能，能摘要病患長期以來的看診問卷重點。進一步來說，這個平臺提供問卷式的表格，來讓患者選填病況和基本生活資訊，在回答20至30個相關問題後，基於LLM的新功能會總結內容並生成摘要，提供給醫生參考。</p> <p>目前，Ubie Medical Navi平臺的1,500多位醫生使用者，已可開始使用，無需額外付款。Ubie表示，新功能由自家研發部門與醫生聯手開發，並經過醫生試用。一位醫生表示，過往，他們得瀏覽患者的長篇回答、筆記重點，還得將患者的回答複製貼上到醫院電子病歷系統，但新功能出現後，縮短了這些作業時間，讓他們更有效率問診。<a href="https://en.prnasia.com/releases/global/ubie-s-new-generative-ai-feature-for-doctors-effortlessly-summarizes-patient-findings-and-streamlines-medical-record-documentation-with-a-90-user-satisfaction-rate--422634.shtml">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/studio-design-asset-files/projects/v7qG0boBaL/s-2400x1627_v-frms_webp_6679540f-106a-4d67-be68-85c2386a0762_middle.webp" /></p> <p>圖片來源／楊潞齡醫學院、花蓮慈濟、Ubie</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></strong></p> <p><strong><strong>1. <a href="https://jmai.amegroups.org/article/view/8198/html">美、印眼科專家聯手研究ChatGPT對視網膜ICD-10編碼生成準確性</a></strong></strong></p> <p>資料來源：iThome整理，2023年10月</p> </div></div></div>
2023/10/31 17:56作者王若樸https://www.ithome.com.tw/news/159574
拜登簽署美國首個AI行政命令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.whitehouse.gov/briefing-room/statements-releases/2023/10/30/fact-sheet-president-biden-issues-executive-order-on-safe-secure-and-trustworthy-artificial-intelligence/" target="_blank">美國總統拜登（Joe Biden）周一（10/30）簽署</a>了一項與人工智慧（AI）有關的行政命令，美國尚無任何有關AI的立法，而這也是美國總統所簽署的第一個AI行政命令，提出了8項行動目標。</p> <p>由美國總統所發布的行政命令是一種行政法令，主要是用來指示聯邦政府機構該如何執行法律、政策或行政事務，在符合美國憲法與既有的聯邦法令下，行政命令具備重要的執行權力，特別是可於國會通過立法之前制定新政策。</p> <p>拜登所指示的AI目標涵蓋建立AI安全的新標準，保護美國人的隱私，促進公平與公民權利，替消費者、病患及學生挺身而出，支持勞工，推動創新與競爭，提升美國在海外的領導地位，並確保政府負責任及有效地使用AI。</p> <p>該命令的第一項就是建立AI安全的新標準，準備採取史上最全面的行動來保護美國人免受AI潛在風險的危害。包括要求強大AI系統的開發者必須與美國政府分享其安全測試結構與其它重大資訊；必須發展各式標準、工具與測試來協助確保AI系統是安全及可靠的；制定強大的標準來監控生物合成，避免利用AI設計出危險的生物材料；建立如何分辨AI生成內容與官方內容的偵測機制與最佳實作，以避免人們遭到AI詐騙；開發AI工具來發現及修補重大軟體中的安全漏洞。</p> <p>其實在此一行政命令之前，白宮已經發布了許多跟AI有關的措施，例如<a href="https://www.ithome.com.tw/news/157911" target="_blank">今年7月取得</a>包括Google、微軟與OpenAI的7大業者的AI安全承諾，<a href="https://www.ithome.com.tw/news/158234" target="_blank">今年8月祭出2,000萬美元邀請資安高手以AI來尋找安全漏洞</a>，也在本月初發布了AI權利法案藍圖（Blueprint for an AI Bill of Rights），以於推動AI進步及保護人類之間取得平衡。</p> </div></div></div>
2023/10/31 16:19作者陳曉莉https://www.ithome.com.tw/news/159572
駭客組織0ktapus部署勒索軟體BlackCat，從事檔案加密及破壞，向受害者進行勒索
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一年前，駭客組織0ktapus（亦稱Scattered Spider、Octo Tempest）鎖定身分驗證解決方案Okta的用戶下手引起全球關注，雲端服務業者Twilio、Cloudflare出面表明遭到攻擊，如今研究人員指出，這些駭客開始與勒索軟體BlackCat（Alphv）結盟，並運用相關工具發動攻擊。</p> <p>這些駭客最早大約於2022年初出沒，當時他們針對電信業者、業務外包業者發動SIM卡挾持（SIM Swapping）攻擊，到了2022年末，這些駭客向其他網路罪犯兜售SIM卡挾持技術，鎖定高價值人士的帳號來盜取加密貨幣。</p> <p>但到了2023年中，這些駭客改變目標，並採用其他組織的工具發動攻擊。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/">微軟對於0ktapus近期的攻擊行動提出警告</a>，2023年6月，這些駭客成為勒索軟體BlackCat的附屬團體，並對目標組織部署勒索軟體，近期主要集中於虛擬化環境VMWare ESXi的伺服器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Octo-Tempest-evolution.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Octo-Tempest-evolution.png" style="width: 580px;" /></a></p> <h3><strong>假冒客服、IT服務臺發動社交工程攻擊，成主要的入侵管道</strong></h3> <p>通常駭客會先對於目標組織進行調查，以便冒充組織、模仿電話通訊、收集相關個資，針對客戶支援或是IT服務臺的員工進行社交工程攻擊，從而取得入侵組織的初始存取權限，要求客服人員重置密碼或是雙因素驗證設定。在部分攻擊行動當中，駭客也可能會假冒新進員工來發動攻擊。</p> <p>研究人員看到這些駭客也會一般員工下手，發動對手中間人攻擊（AiTM），或是進行其他社交工程攻擊，從而在受害電腦部署遠端管理工具（RMM），或是清除受害者FIDO2的Token。再者，過往這些駭客擅長的SIM挾持攻擊，也是他們用於入侵的管道之一。</p>  <p>一旦成功入侵目標組織，駭客便會執行偵察工作，從而掌握高權限，先是從AD大量匯出使用者、群組、裝置資訊，再取得虛擬化環境的基礎架構，以及企業管理的資源組態，並對於雲端環境、程式碼儲存庫、伺服器、備份管理基礎架構進行調查，過程中駭客運用多項工具來進行，例如：利用PingCastle與ADRecon偵察AD、透過Advanced IP Scanner拓撲受害組織網路、採用Go程式庫Govmomi列出所有的vCenter的API、運用PowerShell模組PureStorage FlashArray找出儲存陣列等。</p> <p>而對於這些駭客如何在受害組織提升權限，研究人員指出，他們會利用社交工程攻擊，藉由外流的密碼設置流程，以及大量收集的用戶、群組資料，透過各種方式建立信任來達成目的。在某些情況下，攻擊者還會利用流出的經理帳號，核准密碼重置請求，而能繞過組織正常的申請重置密碼程序。</p> <p>除此之外，駭客也會利用開源工具Jercretz和TruffleHog，在組織的程式碼儲存庫挖掘明文帳密資料、金鑰等機密，以便進一步利用。再者，這些駭客也會利用MicroBurst企圖存取組織存放的帳密資料，或是透過Mimikatz、Hekatomb、Lazagne、gosecretsdump、smbpasswd.py、LinPEAS、ADFSDump等開源工具收集。</p> <p>而在其他提升權限的手法上，他們還會利用名為VMAccess Extension的工具，對建置於Azure的虛擬機器（VM）重設密碼，或是竄改組態。或者，對於虛擬網域控制器磁區進行快照備份，來取得AD資料庫檔案NTDS.dit。</p> <h3><strong>為了避免東窗事發，駭客入侵資安部門，並控制裝置管理系統及端點防護系統</strong></h3> <p>值得留意的是，這些駭客在過程中為了避免遭到偵測，駭客還會對於資安部門的人員下手，目的是透過端點偵測與回應系統（EDR）、裝置管理系統，或是開源工具Privacy.sexy框架，停用資安產品及安全功能，從而放行惡意程式、部署遠端管理工具、竊取機密資料，他們甚至會竄改IT人員的電子郵件規則，自動刪除資安系統或是供應商發出的警告。</p> <p>對於駭客如何持續在受害組織活動，研究人員指出，他們也運用了多種開源或遠端桌面連線工具如：ScreenConnect、FleetDeck、AnyDesk、RustDesk、Splashtop、Pulseway、TightVNC、LummaC2、Level.io、Mesh、TacticalRMM、Tailscale、Ngrok、WsTunnel、Rsocx、catcatel來進行。同時，無論是Windows還是Linux電腦，研究人員發現駭客都會部署反向Shell。</p> <p>再者，這些駭客也會利用隧道工具Twingate，並利用Azure容器充當專屬的連接器，而不致將行蹤曝露於網際網路。此外，對於VMware虛擬化環境，駭客則是罕見地部署Linux後門程式Bedevil，並啟動Python指令碼對虛擬機器下達命令。</p> <h3><strong>竊取資料的層面多元，涵蓋檔案共用系統、程式碼儲存庫、資料庫、應用程式系統</strong></h3> <p>究竟這些駭客的攻擊目的為何？研究人員認為，主要還是獲取經濟利益，但不同的是，現在這些駭客不只竊取加密貨幣，還會進行勒索軟體攻擊。</p> <p>值得一提的是，駭客在部署勒索軟體之前，他們會透過合法的用戶端程式，例如：DBeaver、MongoDB Compass、Azure SQL查詢編輯器、Cerebrata，來存取程式碼儲存庫，以及資料庫、檔案共用系統，竊取機密資料，之後透過GoFile.io、Sh.Azl、StorjShare、Temp.sh、MegaSync、Paste.ee、Backblaze等多種匿名檔案代管服務將資料流出。</p> <p>此外，研究人員也看到駭客採用另一種較為特殊的手法，就是濫用資料整合服務Azure Data Factory，將特定資料自動化傳送至駭客架設的SFTP伺服器。而針對存放於SharePont的資料，攻擊者則會透過合法的Microsoft 365備份解決方案，像是Veeam、AFI Backup、CommVault進行匯出。</p> <p>至於Salesforce、ZenDesk等其他駭客認為具備高價值的應用系統，他們會透過FiveTran等第三方服務，透過API連接器來複製資料庫的內容。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-2-octo-tempest-ttps.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-2-octo-tempest-ttps.png" style="width: 580px;" /></a></p> <p> </p> </div></div></div>
2023/10/31 00:22作者周峻佑https://www.ithome.com.tw/news/159564
蘋果發表M3系列處理器，以及採用該系列的MacBook Pro與iMac
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2023/10/apple-unveils-m3-m3-pro-and-m3-max-the-most-advanced-chips-for-a-personal-computer/" target="_blank">蘋果周一（10/30）發表了M3系列處理器</a>，涵蓋具備250億個電晶體的M3、擁有370億個電晶體的M3 Pro，以及由920億個電晶體組成的M3 Max，同時也推出了基於M3的iMac，以及採用M3、M3 Pro與M3 Max的MacBook Pro。</p> <p>M系列處理器是蘋果自行設計的系統單晶片，它採用Arm架構，第一代的M1是在2020年11月發表，M2是在2022年的6月發表，不管是M1或M2系列都有Pro、Max與Ultra版，從蘋果歷屆的產品規畫看來，最低階的版本通常應用在iMac、MacBook家族或iPad上，Pro版則應用在MacBook Pro上，Max與Ultra版則可能同時支援MacBook Pro與Mac Studio桌機。換句話說，在MacBook Pro上通常可以看到，從最低階M處理器到最高階M Ultra處理器的產品。</p> <p>本周蘋果僅發表了M3、M3 Pro與M3 Max，尚未發表M3 Ultra。</p> <p>M3系列是蘋果首次利用3奈米製程所生產的個人電腦晶片，並搭載了更快也更有效率的新一代GPU。其CPU效能核心與節能核心分別比M1快了30%及50%，神經引擎比M1版的快了60%，還有一個可支援AV1解碼的新媒體引擎，而GPU則具備新的動態快取（Dynamic Caching）技術，因而帶來了諸如硬體加速光線追蹤，以及網格著色等新的渲染能力，使其渲染速度比M1系列快了2.5倍。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1031-Apple-M3-chip-series-performance-cores-600(1).jpg" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1031-Apple-M3-chip-series-efficiency-cores-600(1).jpg" style="width: 600px;" /></p> <p>M3系列的晶片都採用了統一記憶體架構，以提供高頻寬、低延遲及能源效率，在自訂的封裝中擁有單一記憶體池，讓晶片中的所有技術都存取相同的資料來提高效能與效率，而高達128GB的記憶體則可開啟了過去於筆電上無法實現的工作流程，像是允許AI開發者處理具備數十億參數的Transformer模型。</p> <p>蘋果指出，M3上的GPU只需要一半的功耗就能提供與M1相同的效能，而峰值功耗下的效能則比M1增加65%；同樣的，M3上的CPU也只需一半功耗就能提供與M1相同的多執行緒效能，峰值功耗下的效能則比M1增加35%。另一方面，M3的節能核心比M1快了50%，比M2快了30%；M3上的神經引擎效能比M1快了60%，比M2快了15%。</p> <p>搭載M3的24吋iMac依據規格的不同，價格自44,900元新臺幣至56,900元新臺幣不等。至於MacBook Pro則有14吋的M3版本，14吋與16吋的M3 Pro版本，以及14吋與16吋的M3 Max版本，售價自54,900元新臺幣至129,900元新臺幣不等。雖然相關產品皆已出現在臺灣蘋果官網，但尚未開放消費者訂購。</p> </div></div></div>
2023/10/31 16:06作者陳曉莉https://www.ithome.com.tw/news/159571
SolarWinds在2020年被駭是因長期忽略內部安全風險，遭美國SEC提告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sec.gov/news/press-release/2023-227" target="_blank">美國證券交易委員會（SEC）周一（10/30）控告</a>了在<a href="https://www.ithome.com.tw/article/141943" target="_blank">2020年被駭的SolarWinds</a>，指控SolarWinds與該公司的資訊安全長Timothy Brown詐欺與內控失靈，違反《證券交易法》。</p> <p>SolarWinds為一專門開發網路、系統與IT管理軟體的美國業者，旗下的IT監控平臺Orion在2020年12月傳出遭到駭客滲透，駭客入侵了Orion的更新機制，於特定的Orion版本中植入了Sunburst木馬程式，藉以危害採用Orion的組織，根據SolarWinds當時的估計，在3.3萬家Orion客戶中，有1.8萬家安裝了含有Sunburst的Orion，涵蓋最早揭露此事的資安業者<a href="https://www.ithome.com.tw/news/141543" target="_blank">FireEye</a>，以及<a href="https://www.ithome.com.tw/news/141651" target="_blank">眾多的美國聯邦組織</a>，再加上微軟、思科、英特爾及Nvidia等。</p> <p>此外，資安社群還發現，應有其它駭客組織也駭進了SolarWinds，因為它們在Orion中找到了第二個木馬程式Supernova。一般認為，Sunburst木馬程式來自於俄羅斯駭客組織Cozy Bear，而Supernova則來自中國駭客組織Spiral。</p> <p>微軟總裁Brad Smith隔年接受《60 Minutes》節目專訪時，將此一攻擊事件稱為全球史上規模最大也最高明的攻擊行動，還說參與攻擊SolarWinds行動的工程師鐵定超過1,000名。</p> <p>這起攻擊事件令SolarWinds股價在意外發生的3天內下滑了25%，在該月下滑了35%，並遭到股東的集體訴訟，SolarWinds在去年11月以2,600萬美元與股東們和解，繼之即迎來了SEC的訴訟。</p> <p>SEC指出，SolarWinds至少從2018年10月公開發行，到2020年12月遭到Sunburst攻擊期間，SolarWinds與Brown對外都誇大了該公司的資安措施，同時低估或者是未揭露已知的安全風險。</p> <p>SEC之所以會這樣認為，是因為調查發現，SolarWinds內部工程師在2018年就曾警告，該公司的遠端存取設定不是很安全，成功利用該漏洞的人很可能在未被察覺的情況下為所欲為，進而造成SolarWinds在財務與聲譽上的損失。而Brown自己也曾多次於內部簡報中提醒，內部安全機制使得該公司的關鍵資產處於非常脆弱的狀態，對於關鍵系統與資料的存取權限是不合理的。</p> <p>而在Sunburst攻擊行動被揭露的前幾個月，SolarWinds更是知道內部的資安問題重重。例如SolarWinds在2020年6月就曾調查一項針對該公司客戶所發動的網路攻擊，當時Brown即說，駭客可能一直企圖利用Orion軟體來發動更大規模的攻擊行動，因為該公司的後端並不那麼有彈性；同年9月，Brown並曾於內部表示，上一個月所發現的安全問題數量，已經超過了工程團隊可以解決的能力。</p> <p>SEC認為，多年來SolarWinds與Brown不斷地忽視該公司網路風險的危險訊號，而且他們不但不解決這些安全漏洞，還選擇對外描繪於安全管控上的美好虛假景像，誤導了投資人。</p> </div></div></div>
2023/10/31 12:38作者陳曉莉https://www.ithome.com.tw/news/159568
LockBit宣稱駭入波音並竊走機密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體組織LockBit本周宣稱已駭入航太龍頭業者波音（Boeing），取得大量敏感資料，揚言拿不到贖款就將公布。</p> <p>安全研究業者<a href="https://twitter.com/vxunderground/status/1718243288287764803" target="_blank">VX Underground發現</a>Lockbit駭客在地下論壇張貼公告宣稱此事，並給了波音6天時間與其聯繫。駭客說，在期限之前不會公開資料清單或樣本，但若波音遲遲未主動聯繫，將會公布這些資料。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1031-Boeing-LockBit-by%20vx-underground-600.png" style="width: 579px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_</span><a href="https://twitter.com/vxunderground/status/1718243288287764803" target="_blank"><span style="color:#696969;">VX Underground</span></a></span></p> <p>由於尚未接觸波音代表，LockBit駭客拒絕對研究人員透露相關細節，包括駭入波音多久，取得了多少資料，以及資料類型。</p> <p>目前這項宣稱是否屬實還不確定。駭客說，其勒索軟體夥伴是利用零時差漏洞駭入這家航太巨人，但不願說明漏洞細節。因此VX underground研究人員認為這不足以證明LockBit組織的說法。</p> <p>不過值得注意的是，LockBit向來給受害者10天以上的考慮時間，但這次僅給了6天。</p> <p><a href="https://www.theregister.com/2023/10/30/security_in_brief/" target="_blank">波音官方則表示</a>正在評估確認LockBit的說法。</p> <p>LockBit是現行最猖獗的勒索軟體組織，以勒索軟體即服務（ransomware-as-a-service，RaaS）提供犯罪組織駭客服務。該組織曾公布其受害者組織超過1,600個。從2020年起，光是美國的受害者支付的贖金就超過9千萬美元。</p> <p>今年年中LockBit先後<a href="https://www.ithome.com.tw/news/157579" target="_blank">駭入了台積電</a>勒索7千萬美元，並造成日本第一大港<a href="https://www.ithome.com.tw/news/157660" target="_blank">名古屋港貨櫃調度系統停擺一整天</a>。</p> </div></div></div>
2023/10/31 10:30作者林妍溱https://www.ithome.com.tw/news/159565
WD拆分硬碟、快閃記憶體業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在與日本記憶體業者合併案破局後，<a href="https://www.westerndigital.com/company/newsroom/press-releases/2023/2023-10-30-western-digital-to-form-two-independent-public-companies" target="_blank">硬碟業者威騰（Western Digital，WD）周一宣布</a>將把快閃記憶體業務部門分拆出去。</p> <p>WD表示，公司董事會無異議同意將硬體與快閃記憶體業務分割的計畫。業務分割將讓兩個事業體個別進行技術和產品開發，各自推展業務且更有效操作。</p> <p>WD的快閃記憶體來自<a href="https://www.ithome.com.tw/news/105912" target="_blank">2016年以160億美元收購的SanDisk</a>。</p> <p>該公司執行長David Goeckler指出，在現行環境限制下，董事會近日決定，分割成二家公司是公司發展正確的下一步。透過將硬碟及快閃記憶體業務分別成立兩家獨立公司，允許各自追求市場成長機會，最重要的是，最大化WD股東利益。他說過去幾年WD快閃和硬碟業務已建立成不同產品事業群，具個別營運能力，也都有很強的產品、營運和財務領導團隊。公司在完成策略檢視後，WD決定將快閃事業群分拆出去是最佳決定。分割計畫預定在2024年下半完成。</p> <p>此事是WD收購日本快閃記憶體業者鎧俠（Kioxia）收購案破局後，WD方面的行動。由於智慧型手機市場需求下滑，記憶體業務不振，WD原本身為全球NAND快閃記憶體第4大業者，提議其部門和第2大廠鎧俠合併以提高經營效率並對抗龍頭三星。上周鎧俠間接投資法人<a href="https://www.bloomberg.com/news/articles/2023-10-26/western-digital-plunges-on-report-that-kioxia-deal-is-terminated" target="_blank">，南韓記憶體大廠SK Hynix拒絕本案</a>，雙方於上周撤銷此收購協議。WD股價一度大跌16%。</p> <p>受到手機市況不佳影響，WD上季營收表現黯淡，較去年同期衰退26%。同樣為了滿足股東利益，設法使事業體的效益最大化還有加拿大安全業者BlackBerry。<a href="https://www.ithome.com.tw/news/159155" target="_blank">BlackBerry十月宣布</a>，公司分拆成物聯網（Internet of Things，IoT）及安全軟體二個事業體，並計畫明年將讓IoT部門獨立上市。</p> </div></div></div>
2023/10/31 10:44作者林妍溱https://www.ithome.com.tw/news/159566
Next.js 14進一步提高本地開發效率，還新加入部分預渲染功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Vercel在開發者線上會議Next.js Conf，發表了最新的React網頁應用程式開發框架<a href="https://next-site-git-next-14.vercel.sh/blog/next-14#forms-and-mutations">Next.js 14</a>，這個新版本遵循Next.js 13的API基礎進行改進，強化本地開發的效能，並且最佳化伺服器端資料處理和渲染效率，進一步提升Next.js應用程式的效能和開發效率。</p> <p>Vercel之前於Next.js 13加入了<a href="https://www.ithome.com.tw/news/153834">Turbopack</a> Alpha測試版，這是一個能夠取代Webpack的高速網頁打包工具。雖然Webpack是一個被下載超過30億次的熱門工具，但是Vercel認為，該工具的執行速度，限制了Next.js的綑綁應用程式速度，因此尋求更快的替代方案。而Turbopack是以程式語言Rust開發而成，建構在增量架構之上，能以非常快的速度打包大型應用程式，更新速度是前端工具Vite的10倍，甚至是Webpack的700倍。</p> <p>開發團隊在Next.js 14中採用漸進的方式，改善Pages檔案目錄和<a href="https://www.ithome.com.tw/news/159111">App Router</a>本地端開發效能，並於Turbopack上進行5,000個整合測試，確保功能和效能符合預期。官方以vercel.com這個Next.js應用程式進行測試，獲得53.3%的本地端伺服器啟動加速，並且透過Fast Refresh實現94.7％的程式碼更新速度提升。</p> <p>該基準測試是next dev通過90％測試的結果，而一旦Turbopack通過100％的next dev命令整合測試，將可達到更快更可靠的結果，官方會在接下來的次要版本更新中，發布Turbopack穩定版本。</p> <p>而雖然Vercel開發團隊將重心擺在Turbopack的開發上，但同時也承諾，會繼續支援Webpack自定義配置以及生態系擴充套件的開發。</p> <p>Next.js 14對表單和資料突變處理也提供了更簡單的方法，透過引入Server Actions，開發者不需要手動創建API路由，就可以直接從React元件中，安全地呼叫伺服器上的函式。這種方法簡化了資料突變的開發者體驗，由於Server Actions允許在一次網路往返傳輸，就完成資料突變、重新渲染頁面和重新導向等工作，因此能改善用戶在網路速度較慢，或是低功率的裝置上提交表單時的使用者體驗。</p> <p>Vercel也在Next.js 14中引入一項稱為部分預渲染（Partial Prerendering）的編譯器最佳化功能，透過以伺服器端渲染、靜態網站生成和增量靜態重新驗證的技術作為基礎，對動態內容提供快速的初始靜態回應。官方提到，部分預渲染可以簡化開發模型，而且開發者不需要學習新API的使用方式。</p> <p>部分預渲染利用React Suspense進行定義，因此當開發者啟用部分預渲染功能時，系統會生成<Suspense />界線的靜態區塊，並運用動態元件來替換區塊中的Suspense回退（Fallback），以支援像是讀取Cookies更新購物車，或是依據使用者更換網頁橫幅等情境。這些操作可以在同一個HTTP請求中串流傳輸動態元件，不需要額外的網路傳輸往返。</p> </div></div></div>
2023/10/31 09:56作者李建興https://www.ithome.com.tw/news/159549
惡意軟體StripedFly利用永恆之藍漏洞，感染百萬臺電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客組織影子掮客（The Shadow Brokers）於2017年4月，公布美國國家安全局（NSA）開發的SMB v1漏洞「永恆之藍（EternalBlue，CVE-2017-0144）」，事隔一個月陸續引發<a href="https://www.ithome.com.tw/article/114311">WannaCry</a>、<a href="https://www.ithome.com.tw/tags/notpetya">NotPetya</a>等勒索軟體的大規模攻擊，後來有研究人員發現，<a href="https://www.ithome.com.tw/news/130477">中國駭客組織Buckeye（亦稱APT3、Gothic Panda）在一年前就拿來用於攻擊行動</a>，遠較影子掮客於2016年8月兜售的時間還要早。</p> <p>但如今，研究人員發現另一批駭客在2016年4月也開始利用這項漏洞，卻直到最近才被發現其攻擊行動。</p> <p><a href="https://securelist.com/stripedfly-perennially-flying-under-the-radar/110903/">資安業者卡巴斯基揭露存在超過5年的惡意軟體框架StripedFly</a>，對於發現該惡意程式的蹤跡，研究人員起初於2022年發現有兩組惡意程式碼（Shell Code）被注入到Wininit處理程序，這些程式碼過往曾在惡意軟體Equation出現，當時被誤認為挖礦程式，但研究人員發現，這只是表面可見的威脅，並非攻擊者的主要目的。</p> <p>他們發現此Shell Code會透過Wininit處理程序從Bitbucket、GitHub、GitLab下載惡意程式，然後執行PowerShell指令碼，過程中利用2017年揭露的永恆之藍漏洞，最終在受害電腦部署StripedFly。</p> <p><a href="https://s4.itho.me/sites/default/files/images/StripedFly_01.gif"><img alt="" src="https://s4.itho.me/sites/default/files/images/StripedFly_01.gif" style="width: 580px;" /></a></p> <p>此惡意程式酬載的檔名為system.img，具備洋蔥網路的用戶端功能，目的是避免網路通訊遭到干擾，而在利用上述漏洞停用SMB v1通訊埠之後，就能透過SSH，將StripedFly散布到位處相同內部網路的Windows、Linux電腦。研究人員根據駭客所使用的Bitbucket儲存庫，估計有超過100萬臺電腦遭到感染，其中在今年4月至9月仍有近6萬臺電腦受害。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/StripedFly03.png" style="width: 580px;" /></p> <p>而對於StripedFly的功能，研究人員指出是透過可執行檔主程式，搭配外掛模組的方式運作，主要功能包含：執行攻擊者下達的命令、收集帳密資料、對目標電腦進行偵察、利用SSH帳密組合嘗試滲透其他電腦、利用永恆之藍漏洞入侵其他Windows電腦、反向代理伺服器、挖掘門羅幣。值得留意的是，研究人員強調，挖礦模組很可能是此惡意軟體能夠長時間逃避偵測的重要因素。</p> <p>為了維持在受害電腦上運作，StripedFly針對Windows、Linux作業系統，採取專屬的措施。</p> <p>在Windows電腦上，該惡意程式會根據得到的權限，試圖透過PowerShell指令碼建立工作排程，或是竄改登錄檔來達到目的；而在Linux電腦當中，惡意程式會濫用systemd服務、自動啟動的.desktop檔案，或是其他能更動個人設定或是電腦開機組態的檔案，來維持於受害電腦運作。</p> </div></div></div>
2023/10/30 23:41作者周峻佑https://www.ithome.com.tw/news/159563
【資安日報】10月30日，有人在2016年就利用永恆之藍漏洞，打造惡意軟體StripedFly，迄今仍有數萬臺電腦遭到…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由美國國家安全局（NSA）掌握的SMB v1漏洞「永恆之藍（EternalBlue）」、於2017年4月被駭客組織影子掮客（The Shadow Brokers）公布，1個月內引發勒索軟體WannaCry大規模感染的事故，但有研究人員指出，有其他駭客也利用這項漏洞打造惡意程式，並暗中活動超過5年，直到今年都還有數萬臺電腦受害。</p> <p>值得留意的是，這些駭客發起惡意軟體攻擊的時間最早可能在2016年4月，比影子掮客聲稱於同年8月竊得相關資料的時間還要早。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://securelist.com/stripedfly-perennially-flying-under-the-radar/110903/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體StripedFly利用永恆之藍漏洞，感染百萬臺電腦</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/StripedFly_01.gif"><img alt="" src="https://s4.itho.me/sites/default/files/images/StripedFly_01.gif" style="width: 300px; float: right;" /></a>資安業者卡巴斯基揭露存在超過5年的惡意軟體框架StripedFly，對於發現該惡意程式的蹤跡，研究人員起初於2022年發現有惡意程式碼（Shell Code）被注入到Wininit處理程序，這些程式碼過往曾在惡意軟體Equation出現，當時被誤認為挖礦程式，但研究人員發現，這只是表面可見的威脅，並非攻擊者的主要目的。</p> <p>他們發現此Shell Code會透過Wininit處理程序從Bitbucket、GitHub、GitLab下載惡意程式，然後執行PowerShell指令碼，過程中利用2017年揭露的永恆之藍（EternalBlue，CVE-2017-0144）漏洞，最終在受害電腦部署StripedFly。</p> <p>此惡意程式酬載的檔名為system.img，具備洋蔥網路的用戶端功能，目的是避免網路通訊遭到干擾，而在利用上述漏洞停用SMB v1通訊埠之後，就能透過SSH，將StripedFly散布到位處相同內部網路的Windows、Linux電腦。研究人員估計有超過100萬臺電腦遭到感染，其中在今年4月至9月仍有近6萬臺電腦受害。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織0ktapus部署勒索軟體BlackCat，從事檔案加密及破壞，向受害者進行勒索</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/A_Cascade_of_Compromise_Unveiling_Lazarus_Campaign_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/A_Cascade_of_Compromise_Unveiling_Lazarus_Campaign_01.png" style="width: 300px; float: right;" /></a>一年前，駭客組織0ktapus（亦稱Scattered Spider、Octo Tempest）鎖定身分驗證解決方案Okta的用戶下手引起全球關注，雲端服務業者Twilio、Cloudflare出面表明遭到攻擊，如今研究人員指出，這些駭客開始與勒索軟體BlackCat（Alphv）結盟，並運用相關工具發動攻擊。</p> <p>微軟對於該組織近期的攻擊行動提出警告，2023年中，這些駭客成為勒索軟體BlackCat的附屬團體，並對目標組織部署勒索軟體，近期主要集中於虛擬化環境VMWare ESXi的伺服器，針對客戶支援或是IT服務臺的員工進行社交工程攻擊，從而取得入侵組織的初始存取權限，從而要求客服人員重置密碼或是雙因素驗證設定。</p> <p>一旦成功入侵目標組織，駭客便會執行偵察工作，從而掌握高權限，先是從AD大量匯出使用者、群組、裝置資訊，再取得虛擬化環境的基礎架構，並對於雲端環境進行調查，最終部署勒索軟體並執行檔案加密。過程中為了避免遭到偵測，駭客還會對於資安部門的人員下手，目的是停用資安產品及安全功能，甚至會竄改IT人員的電子郵件規則，自動刪除資安系統或是供應商發出的警告。</p> <p><a href="http://securelist.com/unveiling-lazarus-new-campaign/110888/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客Lazarus鎖定軟體供應商發動供應鏈攻擊，企圖竊取原始碼</span></strong></a></p> <p></p> <p>資安業者卡巴斯基揭露近期北韓駭客組織Lazarus發起的攻擊行動，他們在今年7月中旬，偵測到駭客對數個組織出手，利用合法軟體及帳密進行加密網路通訊，藉由尚未修補的漏洞發動攻擊。</p> <p>經過調查，這個出現漏洞的軟體，其開發商曾多次成為這群駭客攻擊的目標，這代表駭客很有可能對其竊取原始碼，或是入侵軟體供應鏈，並在攻擊其他軟體開發商的時候繼續利用相關漏洞。研究人員指出，他們看到駭客利用前述提及的漏洞，於受害組織部署惡意軟體Signbt，並將其酬注入記憶體內，而能夠秘密執行Shell Code。</p> <p>此惡意程式能為駭客收集系統資訊、控制受害電腦的處理程序、得知電腦存放的檔案、上傳或下載檔案並於記憶體內載入，以及使用Windows內建的命令或是公用程式。在受害電腦植入了Signbt之後，研究人員看到駭客下載另一款惡意程式LPEClient，以及截取帳密資料的工具，而LPEClient曾在多起攻擊行動裡出現，光是今年該公司就發現至少3起資安事故。</p> <p><a href="https://twitter.com/troyhunt/status/1717291454341750929"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">CCleaner用戶資料遭外流，原因是母公司遭遇MOVEit Transfer零時差漏洞攻擊</span></strong></a></p> <p></p> <p>根據維護密碼外洩查詢網站Have I Been Pwned的研究人員 Troy Hunt表示，資安業者Gen Digital近期向系統清理程式CCleaner的用戶寄送電子郵件，證實他們也在今年5月遭遇MOVEit Transfer零時差漏洞攻擊影響，駭客竊取客戶的姓名、聯絡資訊、購買的產品資訊。該公司發言人Jess Monney透露，約有2％用戶受到波及，但不願透露受影響客戶數量。</p> <p>無獨有偶，該公司旗下另一家資安業者也傳出遭遇該攻擊事故，導致資料外洩，今年6月有研究人員發現，勒索軟體駭客Clop將Norton LifeLock列為受害組織，Gen Digital也證實他們遭到相關攻擊。</p> <p><a href="https://securityaffairs.com/153149/cyber-crime/lockbit-ransomware-gang-boeing.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">波音公司傳出遭到勒索軟體LockBit攻擊</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/boeing-image-54.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/boeing-image-54.png" style="width: 300px; float: right;" /></a>根據資安新聞網站SecurityWeek的報導，勒索軟體LockBit聲稱入侵大型飛機製造商波音，並要求這家公司必須11月2日前聯絡他們，討論支付贖金的事宜。</p> <p>對此，研究人員Brett Callow推測，波音可能不是真正的受害公司，應該是該公司的供應商遭駭。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://techcrunch.com/2023/10/27/apple-fixes-bug-that-undermined-ios-privacy-feature-for-years/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果修補iOS裝置的MAC位址廣播漏洞</span></strong></a></p> <p></p> <p>10月25日蘋果發布iOS 17.1及16.7.2、iPadOS 17.1及16.7.2、watchOS 10.1、tvOS 17.1，當中修補3年前就可能導致行動裝置、穿戴裝置洩露MAC位址的漏洞CVE-2023-42846。</p> <p>通報這項漏洞的研究人員Tommy Mysk指出，這項漏洞與蘋果在推出iOS 14、iPadOS 14、watchOS 7加入的新安全功能private Wi-Fi address有關，該公司聲稱裝置會為每個Wi-Fi無線網路採用不同的MAC位址，但研究人員發現，這項功能並未實際發揮作用，由於這些裝置在連上Wi-Fi網路的時候，會廣播呼叫網路上的AirPlay裝置，同時傳送夾帶裝置的真實MAC位址資訊，使得他人得以追蹤這些裝置。</p> <p>對此，蘋果也提出說明，該漏洞與mDNSResponder程式碼錯誤有關，他們在更新程式移除了相關程式碼。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/mysk_co/status/1717541345223389346">https://twitter.com/mysk_co/status/1717541345223389346</a><br /> 2. <a href="https://support.apple.com/HT213982">https://support.apple.com/HT213982</a><br /> 3. <a href="https://support.apple.com/HT213981">https://support.apple.com/HT213981</a><br /> 4. <a href="https://support.apple.com/HT213988">https://support.apple.com/HT213988</a><br /> 5. <a href="https://support.apple.com/HT213987">https://support.apple.com/HT213987</a></p> <p><a href="https://github.com/flyyue2001/cve/blob/main/D-LINK%20-DAR-7000_sql_:sysmanage:editrole.php.md"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">D-Link上網安全閘道存在SQL注入漏洞</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/265646319-4149a219-fa7a-45d2-9154-a3b2e336f084.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/265646319-4149a219-fa7a-45d2-9154-a3b2e336f084.png" style="width: 300px; float: right;" /></a>10月初傳出資料外洩事故的D-Link，他們的員工上網安全管理閘道設備DAR-7000被發現有資安漏洞。根據研究人員flyyue2001的揭露，此產品具有SQL注入漏洞CVE-2023-42406，攻擊者一旦觸發漏洞，就有機會透過發送特定的惡意酬載，從而取得管理者權限，並執行任意命令，CVSS風險評分為7.5。這名研究人員也在GitHub上，公布概念性驗證程式碼。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.zerodayinitiative.com/blog/2023/10/27/pwn2own-toronto-2023-day-four-results"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員在漏洞挖掘競賽Pwn2Own Toronto 2023找出近60個零時差漏洞</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Master%2Bof%2BPwn%2BLeaderboard.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Master%2Bof%2BPwn%2BLeaderboard.jpg" style="width: 300px; float: right;" /></a>漏洞挖掘競賽Pwn2Own Toronto 2023於10月24日至27日在加拿大多倫多舉行，本次參賽隊伍找尋漏洞的目標，包含了智慧型手機（Apple iPhone 14、Google Pixel 7、三星Galaxy S23、小米13 Pro）、印表機、Wi-Fi無線路由器、NAS、智慧家電裝置、視訊監控系統、智慧音箱、Chromecast電視棒、Pixel Watch等，其中，在手機的部分，參賽隊伍似乎聚焦三星Galaxy S23，4次成功找出漏洞；另一個熱門目標是Canon無線彩色印表機imageCLASS MF753Cdw，參賽者5度找出漏洞。</p> <p>比賽結果出爐，這次研究人員總共找到58個漏洞，由Team Viettel得到冠軍，拿下30個Pwn大師積分、抱走18萬美元；第二名是Sea Security，得到17.25個積分、11.6萬美元；第三名則是Devcore Intern和Interrupt Labs組成的團隊，得到10個積分、5萬美元。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://blog.cloudflare.com/ddos-threat-report-2023-q3/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">HTTP/2 Rapid Reset攻擊橫行，2023第三季DDoS流量大幅增加</span></span></strong></a></p> <p></p> <p><a href="https://notes.valdikss.org.ru/jabber.ru-mitm/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Akamai旗下子公司傳出遭到駭客鎖定，透過XMPP即時通訊服務監聽</span></span></strong></a></p> <p></p> <p><a href="https://www.horizon3.ai/nextgen-mirth-connect-remote-code-execution-vulnerability-cve-2023-43208/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">醫療資料整合平臺Mirth Connect存在重大漏洞，恐曝露病人敏感資料</span></span></strong></a></p> <p></p> <p><a href="https://news.drweb.com/show/review/?lng=en&i=14767"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意廣告App上架Google Play市集，已有200萬人下載</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/new-hunters-international-ransomware-possible-rebrand-of-hive/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">新興駭客組織</span></span></strong></a><a href="https://www.bleepingcomputer.com/news/security/new-hunters-international-ransomware-possible-rebrand-of-hive/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Hunters International攻擊英國學校，疑為勒索軟體Hive捲土重來</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159530"><strong>【10月27日】研究人員揭露新型攻擊手法iLeakage，可透過推測執行漏洞、用瀏覽器竊取蘋果裝置的用戶機密資訊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159501"><strong>【10月26日】研究人員揭露熱門網站服務的OAuth漏洞，攻擊者可架設另一個網頁服務來挾持用戶的登入資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159482"><strong>【10月25日】 6月iOS裝置零點擊攻擊調查結果出爐，駭客嚴格確認已滲透至真實環境，才開始植入惡意程式</strong></a></p> </div></div></div>
2023/10/30 16:57作者周峻佑https://www.ithome.com.tw/news/159548
超過6成的白帽駭客企圖利用生成式AI來發現漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>漏洞懸賞平臺HackerOne上周公布了<a href="https://www.hackerone.com/press-release/hackers-surpass-300-million-all-time-earnings-hackerone-platform" target="_blank">2023年的駭客驅動安全報告（Hacker-Powered Security Report）</a>，發現有61%的白帽駭客正在利用生成式AI（GenAI）來開發各種駭客工具，以用來發現更多的漏洞，同時也有62%的駭客打算專注於開放網路應用安全專案（OWASP）所揭露的大型語言模型（LLM）十大安全漏洞。</p> <p>此一報告是HackerOne針對與該平臺合作的逾2,000位白帽駭客，在去年6月至今年9月間所進行的調查，發現駭客尋找並提報漏洞的最大動機是賺錢，占了80%，但也有高達78%是為了學習，另也有47%表示其駭客行動是為了保護企業與使用者。</p> <p>至於這些白帽駭客鎖定的領域中，由網路及線上服務居冠，占了58%，金融服務則占了53%，零售業與電子商務平臺占了48%，電腦軟體占了43%，政府組織為40%。</p> <p>駭客們通常具備多種技術，高達95%擁有網頁應用測試的專長，但也有63%專精於漏洞研究，47%著重在網路滲透測試，40%的長才在於紅隊測試，另有20%擅長社交工程，18%擅長無線滲透測試。而他們主要把這些技術應用在入侵網站，占了98%，55%用來攻陷API，43%攻擊Android程式，23%攻擊開源碼專案，而攻擊iOS程式或桌面軟體則各占17%。</p> <p>駭客們也對新興的GenAI技術感興趣，認為該技術既能提高生產力也能維持競爭力。有66%的駭客表示他們正在或準備利用GenAI來撰寫報告，53%表示欲利用GenAI來寫程式，還有33%說要用GenAI來降低語言的門檻。</p> <p>另有55%的駭客認為GenAI工具本身可望在未來幾年成為攻擊目標，61%計畫開發基於GenAI的工具來發現更多的漏洞，還有62%準備專研來自OWASP的十大LLM漏洞。</p> <p>事實上，現在已經有14%的駭客把GenAI當作重要的工具，也有53%以某些形式使用GenAI。</p> <p>該調查也詢問了駭客選擇參與特定抓漏專案的原因，其中有73%明白表示是因為豐厚的賞金，有50%的原因是預期可找到大量的漏洞，46%是因為範圍的多樣化，另有45%的駭客表明是為了挑戰與學習的機會。</p> <p>至於駭客不提報漏洞的主要原因則包括回應太慢（60%）、範圍受限（58%）、溝通不良（55%）、獎金太低（48%），以及外界風評太差（44%）等。</p> <p>HackerOne的客戶涵蓋了Coinbase、微軟、GitHub、Goldman Sachs、Slack、General Motors、Hyatt及美國國防部等、於2012年成立以來，該平臺已頒發超過3億美元的抓漏獎金，有30名駭客透過該平臺獲得超過100萬美元的獎金，其中一名駭客的總獎金更突破400萬美元。</p> </div></div></div>
2023/10/30 17:24作者陳曉莉https://www.ithome.com.tw/news/159551
Google演算法可用降噪耳機量測心率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.research.google/2023/10/audioplethysmography-for-cardiac.html?m=1" target="_blank">Google一項研究顯示</a>，降噪耳機除了可放音樂外，還能用來監測運動時的心率，而且Google研發的偵測技術，比現行主流技術不受膚色影響判讀準確性。媒體推測，這可能會內建到Google下一代智慧型耳機Pixel Buds中。</p> <p>Google上周在MobiCom2023公布名為心臟監測的聲音體積描記圖（Audioplethysmography，APG）方法的論文，介紹經由耳機偵測心臟健康的方法。這個方法可配合耳道式主動降噪（active noise cancelling，ANC）耳機，來偵測心率甚至心律變異（HRV）等健康量測值。</p> <p>現行以穿戴裝置為基礎的健康偵測，主要是整合光體積變化描記圖法（Photoplethysmogram，PPG）及心電圖（electrocardiogram，ECG）和微控制器，來偵測睡眠、心率、血壓等。但這類方法成本高、較耗電、聲學設計較複雜、還增加裝置重量，使得這種方法也難設計成耳機。另一個問題是，PPG是以光為基礎的偵測，還會受到受測者膚色影響。</p> <p>而主動式降噪耳機則提供另類方法。之前也有人已經發展耳機麥克風來偵測心率、呼吸、身體活動及診斷耳朵疾病。消費者用的耳罩式主動降噪耳機則內建高通濾波器，來過濾掉身體運動產生的聲音或風聲。此外，耳道式耳機的被動聽取訊號，則仰賴耳塞品質好壞。種種因素限制了耳罩式耳機並不適合（小於50Hz的）低頻訊號的被動偵測。而耳道式主動式降噪耳機，則可避免以上缺點。</p> <p>耳道式耳機原理是透過喇叭釋放低密波超音波訊號觸發回音，再由耳機上的回饋麥克風接收。Google開發了一個圓柱回響模型的同調檢測（coherent detection）法來分析APG波型，發現最終的APG波形和PPG波形相似度極高，而且動脈切跡（dicrotic notch）更明顯，這表示能從血壓波形提供動脈系統（如血壓值）更多資訊。</p> <p>Google又使用頻道分集（channel diversity）手法確保提高APG訊號及抗運動雜訊的能力。最後Google發現到偵測最佳心搏波形及心律變異的頻率，在30到32 kHz之間。</p> <p>在測試中，Google小組將其方法套用市售ANC耳機，並以Polar ECG運動量測胸帶作為對照組。他們找來153名受試者進行2次測試，結果顯示APG方法在心率及心律變異的絕對誤差中值分別為3.21%和2.7%，顯示為穩定的準確率。這表示，APG方法不像PPG偵測會受到受試者膚色影響準確率。</p> <p>Google的研究提出比現行穿戴式裝置主流的PPG技術，擁有成本更低、不受使用者膚色影響、適用多種運動、而且軟體升級容易等優點。內建在耳機中，超音波訊號也不會干擾音樂播放，有助於此類產品的普及。</p> <p>本論文是由<a href="https://9to5google.com/2023/10/27/google-anc-earbuds-heart-rate/" target="_blank">9to5Google</a>首先報導。<a href="https://9to5google.com/2023/10/02/pixel-buds-pro-hearing-wellness-conversation-detection/" target="_blank">該網站10月初也報導</a>，Google測試中的Pixel Buds App程式碼分析顯示，下一代Pixel Buds可能包含偵測音量以維持聽力健康，以及可切換降噪和通透模式的對話偵測功能。</p> </div></div></div>
2023/10/30 13:23作者林妍溱https://www.ithome.com.tw/news/159546
塔塔集團收購緯創印度廠，成印度首家本土iPhone製造商
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>印度電視臺《NDTV》（New Delhi Television）<a href="https://www.ndtv.com/india-news/apple-iphone-to-now-be-made-in-india-by-tata-group-4519908" target="_blank">上周揭露</a>，印度最大集團Tata Group（塔塔集團）將買下緯創（Wistron）印度廠，成為蘋果在印度的iPhone製造商，而這也是印度第一個本土的蘋果製造商。至於緯創亦於上周五（10/27）透過<a href="http://mops.twse.com.tw/mops/web/t05st01" target="_blank">公開資訊觀測站</a>公布了此一重大訊息。</p> <p>根據緯創的說明，該公司將把Wistron InfoComm Manufacturing（India）的股權，以1.25億美元賣給TaTa Electronics。TaTa Electronics為塔塔集團旗下的製造公司，專門生產精密零件。</p> <p>此一消息在印度是由當地電子暨資訊技術部部長<a href="https://twitter.com/Rajeev_GoI/status/1717852648064598105" target="_blank">Rajeev Chandrasekhar透過X對外發表</a>，顯示它對印度而言是個重要的消息。Chandrasekhar並說塔塔將接手緯創印度的營運，替蘋果生產於印度及全球銷售的iPhone。</p> <p>《NDTV》則分析，過去蘋果在全球所銷售的iPhone絕大多數是在中國製造，此一交易將推動印度日益成長的製造能力，也讓塔塔集團成為印度首家本土的iPhone製造商。</p> </div></div></div>
2023/10/30 13:41作者陳曉莉https://www.ithome.com.tw/news/159547
聯合國成立AI顧問組織，尋求AI的全球治理方向
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.un.org/en/story/2023/10/1142867" target="_blank">聯合國（United Nations，UN）上周四（10/26）成立了人工智慧顧問組織（AI Advisory Body）</a>，以研究AI技術的風險、機會，以及全球治理方向。</p> <p>該組織是由聯合國秘書長António Guterres所發起，招攬了來自全球的39名不同性別、區域與背景的專家，預計於今年底前便會針對AI的風險、挑戰、機會，以及如何利用AI來加速永續發展目標（Sustainable Development Goals，SDGs）等議題提出建議。</p> <p>AI在過去一年來的快速進展，特別是ChatGPT的問世，令各界都加速投入了與AI有關的每個面向。而Guterres認為可利用AI來協助解決氣候變遷與停滯不前的17個SDGs，相信AI得以擴大各國政府、民間組織及聯合國的能力，從預測與解決危機，到推出公共衛生與教育服務。</p> <p>Guterres指出，AI Advisory Body是AI治理全球對話的起點，以便盡可能地替全人類帶來利益，同時遏制與減少風險。不過，Guterres也強調，這將取決於AI是否被負責任地利用，且讓所有人都能使用，目前相關的專業知識集中在少數公司與國家，而這很可能會深化全球的不平等，讓數位落差變成鴻溝。</p> <p>其它AI可能帶來的潛在風險還包括加速不實資訊的傳播，進一步強化偏見、歧視、監視、侵犯隱私、詐欺或其它侵犯人權的行為，惡意使用還可能破壞對制度的信任，削弱社會凝聚力，並威脅民主。</p> <p>Guterres自己都覺得AI有點可怕的其中一個例子是，身為葡萄牙人的他在一個AI應用中看到自己用完美的中文進行演講，而且嘴唇的活動與語文完全一致，然而，真實的他並不會說中文。</p> </div></div></div>
2023/10/30 12:33作者陳曉莉https://www.ithome.com.tw/news/159544
傳Google又加碼投資Anthropic 20億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI獲得微軟投資上百億美元，引發其同業Anthropic成為其他科技巨頭競逐的目標。<a href="https://www.wsj.com/tech/ai/google-commits-2-billion-in-funding-to-ai-startup-anthropic-db4d4c50" target="_blank">《華爾街日報》報導</a>，Google又在近日追加投資Anthropic 20億美元。</p> <p>Anthropic是由OpenAI前研發主管Dario Amodei於2021年創立，也有不少OpenAI前員工加入其團隊。Anthropic今年3月發表的AI模型Claude號稱比ChatGPT更為「有幫助、誠實、無害」。該公司今年9月也首度發表了第一個收費AI助理服務Claude Pro。</p> <p>這消息是繼Google 2022年投資Anthropic 3億美元後，再一次大手筆資助的消息。華爾街日報引述消息人士指出，截至今年，Google已經投資這家新創公司5億美元，還同意陸續資助15億美元。CNBC則報導，Anthropic 5月間募得4.5億美元，是OpenAI今年初獲得微軟投資以來，AI業者募資最高的紀錄。</p> <p>Google未評論此事，不過Anthropic的聯合創辦人Daniela Amodei<a href="https://www.cnbc.com/2023/10/27/google-commits-to-invest-2-billion-in-openai-competitor-anthropic.html" target="_blank">向CNBC證實此事</a>。她表示過去幾個月來該公司都在開發最新聊天機器人，有30到35人直接投入底層模型的研發工作。她也表示，AI市場高速成長，因此有極大空間讓多家業者都能成功。</p> <p>OpenAI 2019年獲得微軟投資超過百億美元後，去年11月發表ChatGPT引發生成式AI熱潮，而微軟也將OpenAI的文字AI模型GPT-4、圖片生成模型DALL-E整合到其Windows、Bing、Edge產品中。這也讓Anthropic成為微軟競爭者的心頭好。除了Google外，<a href="https://www.ithome.com.tw/news/158977" target="_blank">Amazon也在9月宣布</a>投資40億美元，除了在AWS的AI雲端平臺Bedrock提供AI模型，也要求Anthropic協助其Bedrock服務及AI晶片的研發。</p> </div></div></div>
2023/10/30 13:00作者林妍溱https://www.ithome.com.tw/news/159545
MLCommons成立AIS工作組，推動AI安全基準測試發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開放工程聯盟MLCommons宣布成立<a href="https://mlcommons.org/en/news/formation-ai-safety-working-group/">人工智慧安全（AI Safety，AIS）工作組</a>，該工作組的目標是要建立一個平臺，由許多貢獻者組成測試池，支援各種使用案例的人工智慧安全基準。該工作組最初的重點，將會使用史丹佛大學所開發的Holistic Evaluation of Language Models（HELM）框架，作為大型語言模型開發安全基準。</p> <p>MLCommons是一個開放協作的生態系，目的在於推動機器學習的發展和應用，該組織的重點在於發展基準測試、最佳實踐、資料集和各種共享資源上，以促進機器學習社群的成長與創新。像是該組織在9月時就發布了人工智慧基準測試，用以強化模型推論和儲存評估。</p> <p>雖然人工智慧系統對社會帶來巨大利益，但也存在風險，輸出可能存在毒性、錯誤資訊和偏見，MLCommons指出，人工智慧與其他複雜技術一樣，社會需要一個產業標準的安全測試，在實現利益的同時，最大程度降低風險。</p> <p>MLCommons的新平臺將提供一個機制，讓使用者能夠從測試池中選擇基準測試，並將輸出整合成容易理解的分數，類似其他產業標準的方式，如汽車安全測試和能源之星評分，對人工智慧系統的安全性進行評級。</p> <p>該平臺的短期重點，在於支援嚴謹可靠的人工智慧安全測試技術發展，AIS工作組會運用成員和人工智慧社群的技術與營運專業，用以創建人工智慧安全基準測試技術。而AIS工作組的第一個任務，便是替大型語言模型制定安全基準，以史丹佛大學基礎模型研究中心的研究成果，以及歷經兩年時間開發的HELM框架作為基礎，開發大型語言模型安全基準。</p> <p>除了HELM框架之外，AIS工作組中多個成員，也計畫將內部用於人工智慧安全測試技術公開，與MLCommons社群共享，加速安全基準發展腳步。AIS工作組是一個多學科與跨領域的集合體，專家來自Anthropic、Coactive AI、Google、Inflection、英特爾、Meta、微軟、Nvidia、OpenAI、Qualcomm等多家人工智慧領域重要公司，同時還有來自學術界的Joaquin Vanschoren、Percy Liang與Bo Li等多位人工智慧重要學者。</p> <p>AIS工作組透過整合不同領域專家知識和經驗，共同創建和指導人工智慧安全基準測試技術，該工作組鼓勵社群開放參與以吸引更多專家，加入推動此人工智慧安全議題。</p> </div></div></div>
2023/10/30 12:10作者李建興https://www.ithome.com.tw/news/159529
蘋果修補公開iOS裝置MAC地址長達3年的隱私漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果上周釋出<a href="https://support.apple.com/en-us/HT213982" target="_blank">iOS/iPadOS 17.1</a>及<a href="https://support.apple.com/en-ph/HT213988" target="_blank">watchOS 10.1</a>更新，以修補3年前起就洩露iPhone、iPad及Apple Watch MAC位置的漏洞。</p> <p>更新修補的漏洞CVE-2023-42846，是由二位研究人員Talal Haj Bakry及Tommy Mysk揭露與通報。蘋果只簡單描述，該漏洞可造成iOS裝置被人經由公開的Wi-Fi MAC位址追蹤。</p> <p>這項漏洞是出在iOS中私有Wi-Fi位址（Private Wi-Fi address）的功能中。<a href="https://support.apple.com/en-us/102509" target="_blank">根據蘋果解釋</a>，裝置在連上Wi-Fi網路時，會公開一組獨特的網路位置，名為Media Access Control（MAC）位置。但因為裝置總是使用固定的位址，這會讓網路營運商和其他觀測網路活動的人，長期下來可以輕易掌握裝置活動和位置，便能追蹤使用者或建立使用者側寫（profiling）。所有Wi-Fi網路上的裝置都受此影響。</p> <p>蘋果從iOS/iPadOS 14及watchOS 7起加入新安全功能，可為每個Wi-Fi網路使用不同MAC位址，名為私有Wi-Fi位址。在此功能下，如果用戶刪除網路設定和內容，下次再連上同一Wi-Fi網路時，就會有不同私有MAC位址。而從iOS/iPadOS 15及watchOS 8起，如果iOS裝置6個月未連Wi-Fi網路，下次再連上該網路，也會換成新的位址。要是用戶設定不記憶Wi-Fi網路，則iOS裝置便不會記錄，除非兩次連網間隔少於2周。</p> <p>不過<a href="https://twitter.com/mysk_co/status/1717541345223389346" target="_blank">研究人員Mysk發現</a>，這個功能根本從iOS 14推出後就未起作用。當iPhone連上Wi-Fi網路時，它會發送廣播呼叫以發掘網路上的AirPlay裝置。而在此時，iOS也會將裝置真實的Wi-Fi MAC位址廣播出去。而在真實MAC網址曝光後，iOS裝置即可能被Wi-Fi網路上的其他人追蹤。</p> <p>本裝置影響的iPhone XS、iPad Pro 12.9吋第2代、iPad Pro 10.5吋及iPad Pro 11吋、iPad Air 3、iPad 6、iPad mini 5以後，以及Apple Watch 4以後版本。</p> <p>蘋果說明此漏洞出在mDNSResponder的一段程式碼錯誤，更新作業系統已移除了有bug的程式碼。</p> <p>最新iOS更新修補的漏洞，還包括可讓非經授權的使用者存取Passkeys（CVE-2023-42847）、讀取隱藏相簿（CVE-2023-42845）、使用Siri存取敏感用戶資料，以及使應用程式存取聯絡人資料（CVE-2023-42857）等18項安全漏洞。</p> </div></div></div>
2023/10/30 12:21作者林妍溱https://www.ithome.com.tw/news/159543
【資安日報】10月27日，研究人員揭露新型攻擊手法iLeakage，可透過推測執行漏洞、用瀏覽器竊取蘋果裝置的用戶機密…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>處理器的推測執行（Speculative Execution）漏洞從2018年首度揭露，不只引起IT廠商關注，推出相關修補程式，研究人員也陸續找出變種漏洞，這類研究過往大多針對x86處理器而來，雖然Arm處理器也存在這類漏洞，但未引起重視。</p> <p>有一組研究人員針對蘋果自製的Arm處理器晶片進行研究，並於近期公布成果「iLeakage」，值得留意的是，這項漏洞研究人員向蘋果通報已超過一年，但直到漏洞揭露，該公司才表示要透過軟體進行修補。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.pwc.com/gx/en/issues/cybersecurity/cyber-threat-intelligence/yellow-liderc-ships-its-scripts-delivers-imaploader-malware.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">伊朗駭客組織Tortoiseshell發動惡意程式IMAPLoader攻擊</span></strong></a></p> <p></p> <p>會計與管理顧問公司PwC旗下的威脅情報團隊本週提出警告，他們揭露新一波的惡意程式IMAPLoader攻擊行動，幕後主使者是伊朗駭客組織Tortoiseshell（亦稱TA456、Imperial Kitten、Yellow Liderc），從2022年開始，他們鎖定地中海地區的海運、船運、物流業者，進行滲透與破壞。</p> <p>他們先是入侵網站，放上惡意JavaScript指令碼，對連入這些網站的使用者進行身分識別，並且收集上網裝置的資訊、使用者所在位置等資訊，尋找攻擊目標，散布以.NET打造的惡意程式IMAPLoader，此軟體濫用Windows內建的公用程式，建立每一臺受害電腦的個別特徵，並透過電子郵件做為與C2通訊的管道，再從收到的信件下載其他作案工具，執行埋藏在附件中的惡意酬載，隨後以常駐系統服務的形式進行部署。</p> <p>研究人員指出，攻擊者執行IMAPLoader的方式較為罕見，是透過名為AppDomain Manager Injection的手法注入、執行，而這是他們首度看到Tortoiseshell使用這種方式啟動作案工具。除此之外，研究人員也看到這些駭客進行其他網路釣魚攻擊，有些針對微軟帳號而來，有些鎖定歐洲旅館及旅遊業者。</p> <p><a href="https://s4.itho.me/sites/default/files/images/figure1-yellow-liderc.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure1-yellow-liderc.png" style="width: 580px;" /></a></p> <p><a href="https://www.cert.ssi.gouv.fr/cti/CERTFR-2023-CTI-009/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客APT28透過零時差漏洞，入侵法國政府機關、企業組織、學術機構</span></strong></a></p> <p></p> <p>10月26日法國網路安全局（ANSSI）指出，俄羅斯駭客APT28（亦稱Fancy Bear、Strontium），自2021年下半開始針對該國政府機關、企業組織、大學、研究機構、智庫發動攻擊，先是藉由暴力破解，或是流出的帳密資料資料庫，入侵目標組織網路環境的Ubiquiti路由器，或是存取特定的使用者帳號。</p> <p>在其中一起發生在今年4月的攻擊，駭客發動網路釣魚，誘使收信人執行PowerShell，從而取得目標電腦的系統組態。而在今年3月微軟公布收信軟體Outlook零時差漏洞CVE-2023-23397（CVSS風險評分為9.8）之前，該組織就將其用於攻擊行動，直到今年6月。在這段期間，這些駭客也利用Windows支援診斷工具漏洞Follina（CVE-2022-30190），以及網頁郵件系統Roundcube的已知漏洞CVE-2020-12641、CVE-2020-35730、CVE-2021- 44026。</p> <p>成功入侵目標組織後，駭客利用Mimikatz搜括帳密資料，同時也使用網路滲透工具reGeorg，以及開源服務Mockbin、Mocky。接著，駭客尋找並外洩含有敏感資訊的電子郵件，並利用CredoMap惡意程式竊取瀏覽器儲存的個人資料。由於駭客利用微軟OneDrive、Google Drive等雲端服務架設C2的基礎架構，導致資安人員難以察覺異狀。</p> <p><a href="https://s4.itho.me/sites/default/files/images/anssi-apt28-zero-day.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/anssi-apt28-zero-day.png" style="width: 580px;" /></a></p> <p><a href="https://www.fortinet.com/blog/threat-research/exelastealer-infostealer-enters-the-field"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露Python竊資軟體ExelaStealer</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig01-exelastealer-advert-details.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig01-exelastealer-advert-details.png" style="width: 300px; float: right;" /></a>資安業者Fortinet揭露自今年8月出現的竊資軟體ExelaStealer，此軟體為開源程式，以Python打造而成，具備從Windows電腦竊取帳密資料、信用卡、Cookie、連線階段（Session）資料、鍵盤側錄資訊等，開發者在暗網進行廣告宣傳，表明提供付費的訂閱服務，價格相當低廉（1個月20美元、3個月45美元、終生授權120美元）。</p> <p>研究人員認為，這種低價的作案工具降低新手駭客攻擊門檻，他們也看到買家客製化的ExelaStealer檔案，攻擊者大多利用PDF檔案做為散布此惡意程式的誘餌。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/new-ileakage-attack-steals-emails-passwords-from-apple-safari/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">iLeakage攻擊手法可從Safari瀏覽器竊取蘋果用戶的密碼、電子郵件</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/race-condition.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/race-condition.jpg" style="width: 300px; float: right;" /></a>美國喬治亞理工學院、密西根大學、德國波鴻魯爾大學的研究人員聯手，針對採用蘋果自製Arm處理器的裝置，揭露從中運用推測執行（Speculative Execution）漏洞進行旁路攻擊的手法iLeakage，攻擊者只要透過搭載WebKit排版引擎的瀏覽器，就有機會從採用A系列處理器的iOS、iPadOS裝置，以及採用M系列處理器的Mac電腦，洩露用戶的機密資料。</p> <p>攻擊者先誘導使用者存取惡意網站，利用惡意JavaScript指令碼及WebAssembly程式，讀取所有瀏覽器分頁處理的各種機密資料。研究人員展示在Mac電腦透過Safari入侵受害者的Instagram，以及使用者在iPad、透過Safari登入的Google帳號，取得Gmail信件內容，同時，他們也在平板電腦上，展示另一個相當駭人的攻擊手法：透過Chrome復原YouTube影片觀看記錄。</p> <p>研究人員在去年9月通報上述漏洞，蘋果在macOS Ventura 13.0開始提供相關緩解措施，但該功能預設關閉，所幸目前尚未出現遭到利用的跡象。對此，蘋果對科技新聞網站Ars Technica透露，後續將透過軟體更新予以修補。</p> <p>資料來源</p> <p>1. <a href="https://ileakage.com/">https://ileakage.com/</a><br /> 2. <a href="https://ileakage.com/files/ileakage.pdf">https://ileakage.com/files/ileakage.pdf</a><br /> 3. <a href="https://arstechnica.com/security/2023/10/hackers-can-force-ios-and-macos-browsers-to-divulge-passwords-and-a-whole-lot-more/">https://arstechnica.com/security/2023/10/hackers-can-force-ios-and-macos-browsers-to-divulge-passwords-and-a-whole-lot-more/</a></p> <p><a href="https://securityboulevard.com/2023/10/technical-advisory-f5-big-ip-unauthenticated-rce-vulnerability-cve-2023-46747/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">F5針對BIG-IP重大漏洞CVE-2023-46747提出警告，呼籲IT人員儘速套用更新程式</span></strong></a></p> <p></p> <p>10月26日資安業者F5發布資安通告，表示旗下的應用交付控制器系統BIG-IP存在重大漏洞CVE-2023-46747，這項漏洞存在於組態設定公用程式，攻擊者可在未通過身分驗證的情況下，透過管理連接埠或是IP位址，存取BIG-IP系統並執行任意系統層級的命令，CVSS風險評分為9.8，影響所有版本的BIG-IP系統，呼籲IT人員應儘速套用更新程式。此外，該公司強調，此漏洞僅影響控制儀表板，資料儀表板不受影響。</p> <p>發現該漏洞的資安業者Praetorian透露，這項漏洞與去年公布的另一個漏洞CVE-2022-26377相關，涉及請求走私（Request Smuggling），該公司預告將在數日後揭露進一步資料。</p> <p>資料來源</p> <p>1. <a href="https://my.f5.com/manage/s/article/K000137368">https://my.f5.com/manage/s/article/K000137368</a><br /> 2. <a href="https://www.praetorian.com/blog/refresh-compromising-f5-big-ip-with-request-smuggling-cve-2023-46747/">https://www.praetorian.com/blog/refresh-compromising-f5-big-ip-with-request-smuggling-cve-2023-46747/</a></p> <p><a href="https://www.bleepingcomputer.com/news/security/citrix-bleed-exploit-lets-hackers-hijack-netscaler-accounts/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員公布Citrix NetScaler重大漏洞Citrix Bleed的概念性驗證攻擊程式碼</span></strong></a></p> <p></p> <p>10月10日Citrix修補旗下NetScaler系統的重大漏洞CVE-2023-4966（CVSS風險評分為9.4），一週後資安業者Mandiant曾提出警告，表示該漏洞已在8月被用於攻擊行動，而這個禮拜有研究人員透露更多細節。</p> <p>資安業者Assetnote比對Citrix提供的更新程式，察覺約有50個功能函式出現更動，而這當中有部分的功能在產生回應過程裡面，會執行額外的邊界檢查，並在OpenID組態的JSON酬載加入特定字串，而有可能在回傳指定功能導致記憶體緩衝區溢位讀取的情況，因此找到利用漏洞的方法。他們也透過影片展示概念性驗證攻擊（PoC），並將這項漏洞命名為Citrix Bleed。</p> <p>同日，Shadowserver基金會提出警告，在上述的漏洞細節及PoC程式碼公布之後，他們隨即看到嘗試利用該漏洞的情況瞬間增加。</p> <p>資料來源</p> <p>1. <a href="https://www.assetnote.io/resources/research/citrix-bleed-leaking-session-tokens-with-cve-2023-4966">https://www.assetnote.io/resources/research/citrix-bleed-leaking-session-tokens-with-cve-2023-4966</a><br /> 2. <a href="https://twitter.com/Shadowserver/status/1717024004488442269">https://twitter.com/Shadowserver/status/1717024004488442269</a></p> <p><a href="https://blog.talosintelligence.com/vulnerability-roundup-oct-25-2023/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露SoftEther VPN、文書處理軟體一太郎漏洞</span></strong></a></p> <p></p> <p>思科旗下的威脅情報團隊Talos近期發布資安公告，被揭露漏洞的產品包括：VPN應用程式SoftEther VPN、日本文書處理軟體一太郎、Peplink Surf路由器，弱點總數為17個。</p> <p>其中，有9個是存在於SoftEther VPN，最嚴重的是CVE-2023-27395，有可能導致記憶體堆疊的緩衝區溢位，而使得攻擊者能夠執行任意程式碼，CVSS風險評分為9.0。其餘的漏洞可分成兩種類型，有4個能用於中間人攻擊（MitM），另外4個則是會導致軟體當機，使得VPN系統出現無法正常服務的狀態。</p> <p>而對於一太郎的部分，研究人員總共發現4個漏洞，攻擊者可引誘使用者開啟惡意檔案來觸發這些漏洞，進而在受害電腦執行任意程式碼。而在Peplink Surf路由器的部分，研究人員找到3個跨網站指令碼（XSS）漏洞，以及3個指令注入漏洞。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/159528"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google擴大AI抓漏獎勵範圍，新增生成式AI類別</span></strong></a></p> <p></p> <p>微軟近期宣布推出了AI漏洞懸賞專案，並公布對於生成式AI的抓漏項目，現在Google也打算跟進。10月26日Google宣布，他們對於AI漏洞懸賞計畫的範圍，將納入生成式AI，同時該公司對於抓漏類別和獎勵標準也提出說明。</p> <p>Google將漏洞懸賞的類型規畫為提示攻擊（Prompt Attacks）、訓練資料截取（Training Data Extraction）、操縱模型（Manipulating Models）、對抗性擾動（Adversarial Perturbation），以及模型竊取。此外，影響模型的行為或輸出，重建或截取包含敏感資訊的訓練資料，或是可竊取模型權重與結構等關鍵資訊的安全漏洞，都在獎勵之列。特別一提的是，該公司也針對生成式AI新增相關抓漏項目。</p> <p>資料來源</p> <p>1. <a href="https://blog.google/technology/safety-security/google-ai-security-expansion/">https://blog.google/technology/safety-security/google-ai-security-expansion/</a><br /> 2. <a href="https://security.googleblog.com/2023/10/googles-reward-criteria-for-reporting.html">https://security.googleblog.com/2023/10/googles-reward-criteria-for-reporting.html</a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.cisa.gov/topics/cybersecurity-best-practices/healthcare"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為提升醫療照護產業的網路安全，美國CISA提供一站式工具包</span></strong></a></p> <p></p> <p>美國網路安全暨基礎設施安全局（CISA）、衛生及公共服務部（HHS）、衛生部門協調委員會（HSCC）聯手，針對醫療產業發布線上工具，協助IT人員改善資安，目前這套工具包含下列三種資源：</p> <p>（一）、CISA提供的網路安全健康檢查服務，利用漏洞掃描幫助組織減少攻擊面；<br /> （二）、HHS列出醫療產業網路安全最佳實作，當中提及如何強化網路安全韌性；<br /> （三）、HHS與HSCC合作發布網路安全框架導入指引，協助組織評估、提升網路安全韌性的能力，並提供將網路安全、資訊安全、風險管理進行串連的建議。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://therecord.media/cisa-working-on-national-incident-response-plan"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國CISA正在制訂新版的國家網路安全事件回應計畫</span></span></strong></a></p> <p></p> <p><a href="https://www.csa.gov.sg/alerts-advisories/Advisories/2023/ad-2023-021"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">新加坡對於鎖定當地網站的SQL注入攻擊提出警告</span></span></strong></a></p> <p></p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織0ktapus持續從事檔案加密及破壞，向受害者進行勒索</span></span></strong></a></p> <p></p> <p><a href="https://blog.talosintelligence.com/attributing-yorotrooper/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織YoroTrooper鎖定獨立國協國家而來</span></span></strong></a></p> <p></p> <p><a href="https://securelist.com/stripedfly-perennially-flying-under-the-radar/110903/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體StripedFly利用EternalBlue漏洞，感染百萬臺電腦</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159501"><strong>【10月26日】研究人員揭露熱門網站服務的OAuth漏洞，攻擊者可架設另一個網頁服務來挾持用戶的登入資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159482"><strong>【10月25日】 6月iOS裝置零點擊攻擊調查結果出爐，駭客嚴格確認已滲透至真實環境，才開始植入惡意程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159454"><strong>【10月24日】駭客再度針對已遭零時差漏洞攻擊的思科IOS XE設備下手，部署新的後門程式，意圖隱匿攻擊行動</strong></a></p> </div></div></div>
2023/10/27 17:04作者周峻佑https://www.ithome.com.tw/news/159530
零售IT雙周報第24期：Cyberbiz推出App市集，上百款Martech工具有標準定價，還能於電商後臺一鍵啟用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(1015~1028)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#開店平臺</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電商Martech串接</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#應用程式市集</span></span><br /> Cyberbiz推出App市集，近200款Martech工具有標準定價省去議價環節，且能於電商後臺一鍵啟用</strong></p> <p>開店平臺系統商Cyberbiz推出<a href="https://appmarket.cyberbiz.io/">Martech App市集</a>，上架超過70家廠商近200款工具。商家選購後，能於電商後臺快速啟用，不需再費時串接系統。目前上架產品包括社群及通訊軟體行銷、跨通路會員管理、獲客、電商代操、電商設計、聊天機器人、廣告投放、直播電商、甚至CDP等。</p> <p>對使用開店平臺的零售業者而言，若要導入外部系統功能，常需要單獨和系統商議價，還得委託開店平臺與外部系統進行客製化串接，花費不少時間與金錢。Cyberbiz App市集上，每個產品都有標準定價，所有商家都會拿到相同價錢，省去了議價環節。不只如此，此次App市集推出，新增了約50家原先沒有和他們串接的系統廠商，等於此平臺新支援了許多不需再客製化串接的外部系統選項，甚至可能用來取代部分平臺原生功能，增加電商客製化彈性。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#RMN</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#廣告自助投放平臺</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#跨通路廣告投放</span></span><br /> 大型零售商RMN如何發展？</strong><strong>Target</strong><strong>推出廣告自助投放平臺並與外部DSP、SSP擴大合作</strong></p> <p>零售業者在經營起自家零售媒體聯播網（RMN）規模後，下一步會怎麼做？美國零售巨頭Target的RMN服務Roundel推出至今，不只能透過自家平臺投放廣告於自家廣告版位，還提供廣告投放數據分析平臺，並支援廣告主利用Target會員數據，透過外部DSP投廣到自家以及外部合作通路。</p> <p>上周，Target更表示將採取開放生態圈策略，來增加自家Roundel業務規模。他們推出廣告自助投放平臺，降低廣告主於自家通路投廣的門檻。同時，還要與更多DSP及SSP合作，使更多廣告主能接觸到自家會員數據及廣告版位。數個月前，他們還開始支援CTV購物廣告。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#訂單履行</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#無人機</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#倉儲機器人</span></span><br /> Amazon實驗新型倉儲機器人應用模式，並正式整併無人機送貨到常規送貨流程中</strong></p> <p>電商龍頭Amazon近年不斷實驗用機器人來增加物流中心效率，<a href="https://www.aboutamazon.com/news/operations/amazon-introduces-new-robotics-solutions">近日他們更新了一間德州物流中心的配置</a>，來強化人機協作。此中心以置物箱（Tote）為單位來儲存和搬運貨物。要出貨時，商品置物箱會由機器人取出，送到流水線上。這樣一來，揀貨人員不用親自攀爬或蹲下來尋找貨物，而是一直待在流水線上用一般站姿拿出置物箱中的貨物。撿貨人員取出後，再由機器手臂整理這些置物箱，例如合併兩個半空置物箱的貨物到同一個箱子內，確保置物空間利用最大化，再送回原本貨架。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/amzqq.png" style="width: 600px;" /></p> <p>Amazon還在測試一種新型人型機器人，外型是兩手兩腳，約一個小孩子身高，可以靈活於倉儲空間移動和揀貨。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/qamoij.png" style="width: 600px;" /></p> <p>另外，Amazon將<a href="https://www.aboutamazon.com/news/operations/amazon-prime-air-drone-delivery-updates">無人機送貨正式納入常規送貨流程</a>。也就是說，無人機不再只會從專用訂單履行中心出動，而是會跟其他傳統貨車一樣，從一般物流中心發動。這意味著Amazon不再視無人機送貨為初期實驗方案，而是可規模化投入的送貨方法。他們近期還啟用了一款新型無人機，耐溫能力更好，還能在小雨中飛行。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#巔峰流量控管</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電商物流</span></span><br /> Momo今年雙11嘗試透過「雙高峰」行銷模式，來分散巔峰時段流量壓力</strong></p> <p>每逢最大電商購物節雙11，必考題就是能否承受巔峰網路流量。今年，臺灣電商龍頭Momo採取「雙高峰」行銷模式，將部分優惠措施轉移到11月1日，並於11月10日晚上8年便開放隔日的特別優惠。他們期待，這種做法可以分散到站人流，以降低網路乘載壓力。</p> <p>Momo總經理谷元宏表示，今年倉儲容量增加了15%，加上分散檔期模式，希望今年雙11物流能夠更加順暢。不過，Momo原本預期南部物流中心2023年可啟用，因為工程延宕，預計明年Q1末才會正式運作。</p> <p>Momo今年年初表示要進軍廣告業務，目前已經初步開始發展搜尋廣告。不過，谷元宏坦言，目前大部分廣告相關基礎建設仍在建置階段，因此今年雙11流量仍無法帶來具規模的廣告效益。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#會員經營</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#零售媒體</span></span></strong><br /> <strong>統一超開始做客製化行銷推播跟數據行銷服務</strong></p> <p>超商龍頭統一超近期於法說會簡報中，提到他們開始進行「客製化行銷推播」跟「數據行銷服務」。經詢問，統一超並未透露這兩個服務是否有向廣告主或供應商收費，來提供對自家會員精準行銷的服務。不過，至少可以確定，統一超已經開始利用會員數據來進行個人等級行銷。</p> <p>這也與統一超近兩年會員經營策略相符。他們將重心從衝刺總人數轉為增加會員活躍度，透過拓展外部生態圈以及推出更多會員功能，來增加自家會員使用情境，累積更多行為及偏好數據。這些數據便能用於再行銷，進而提供會員貢獻度。目前統一超會員總數接近1,700萬人，活躍度約為40%到45%，會員消費金額占比約一半。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#商品搜尋</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#跨零售商導購</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI視覺辨識</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#SSO</span></span><br /> BNPL大廠Klarna推SSO、用鏡頭搜商品、實體店面條碼掃描查詢等跨零售商整合功能</strong></p> <p>先買後付（BNPL）大廠Klarna持續發展自家App的跨零售業者導購功能，<a href="https://www.klarna.com/international/press/klarna-taps-ai-for-human-shopping-experience-in-a-major-autumn-product-launch/">近期推出</a>SSO、AI鏡頭搜商品、實體店面條碼掃描查詢。SSO功能可以讓消費者用一組帳號登入不同零售業者網站，享有會員資格，等於進一步強化Klarna消費數據蒐集能力。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/a5c547e3703ed8a2_org.jpg" style="width: 600px;" /></p> <p>AI鏡頭搜商品與實體店面條碼掃描查詢功能，則是Klarna利用手上跨通路零售商品資料打造而成，前者是利用AI物件辨識功能，比對鏡頭拍攝的物件與他們商品資料庫資料，後者則是在多家零售商實體店面中，掃描商品條碼便能查詢商品評價、其他款式、跨通路比價等資訊，支援超過1千萬件商品。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#沉浸式購物</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#遊戲電商</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#瀏覽器遊戲</span></span></strong></p> <p><strong>Macy's推出沉浸式購物體驗，用瀏覽器遊戲結合電商功能</strong></p> <p>大型百貨公司Macy's推出名為<a href="https://www.macys.com/social/mstylelab/journee/">mstylelab</a>的沉浸式電商體驗，以瀏覽器遊戲形式來介紹旗下服飾品牌商品，並整合電商功能，不跳轉頁面即可下單。</p> <p>不同於常見Browser-based虛擬商店，此遊戲以線性解任務形式來逐一介紹重點商品。另一個特色是遊戲中能看到其他同時上線的玩家，添增了一些社群成分，若消費者不熟悉遊戲操作，還可以觀摩其他玩家動作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/macys(1).png" style="width: 600px;" /></p> <p>此遊戲號稱支援所有裝置，不過經實測，耗費資源似乎相當高，遊玩時常有卡頓情況，是必須解決的消費者體驗問題。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#社群電商</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#購物輔助</span></span><br /> Amazon推社群電商功能，能要求親朋好友給予購物意見並簡單統計</strong></p> <p>Amazon推出<a href="https://www.aboutamazon.com/news/retail/amazon-introduces-consult-a-friend-mobile-shopping-experience">新購物輔助功能</a>，不過這次不是生成式AI，而是由消費者親朋好友來提供建議。消費者可以透過分享商品連結給其他人，對方點擊後會進入一個回饋頁面，透過表情符號或文字訊息給予購物建議。接著，消費者便能看到類似社群媒體貼文留言的介面，統整他人反應與回饋。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/amzrac.png" style="height: 450px;" /></p> <p>雖然此功能運作模式相當單純，不過將社群媒體互動功能整合進電商App中，不僅可以減少消費者來回切換不同App，造成購物行為中斷，也可以藉此蒐集更多面向的消費數據。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1. 麥當勞整合全球數位會員身分，推出全球通用版本的App。</p> <p>圖片來源：Cyberbiz、Amazon、Klarna、Macy's</p> <p>資料來源：iThome整理，2023年10月</p> <p>責任編輯：郭又華</p> <p> </p> </div></div></div>
2023/10/27 17:51作者郭又華https://www.ithome.com.tw/news/159532
Seagate推出24TB硬碟，內建快取容量首度增加至512MB
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/seagate_exos_x24_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年3月，硬碟廠商Seagate針對用於多人NAS搭配的IronWolf Pro系列產品線，推出22 TB容量的機型，後續我們也持續追蹤企業級與資料中心硬碟的Exos系列，想知道何時會跟進推出同樣容量的機型。令人意外的是，10月下半，他們突然宣布推出名為Exos X24的新機型，採用傳統磁記錄型（CMR）技術，而且，當中一口氣提供24 TB、20 TB、16 TB、12 TB等4種容量的款式，預計12月量產，屆時會透過通路販售。</p> <p>若用戶需要更大容量的硬碟，Seagate表示，他們對部分雲端業者提供28 TB的Exos X24機型，該款產品採用疊瓦磁記錄技術（SMR）技術。至於30 TB以上的硬碟機型，會是採用熱輔助磁記錄技術（HAMR）的產品，他們預計2024年初開始逐步提高產能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Seagate%20Exos%20X%20Portfolio-2023-10.jpg" style="width: 600px;" /></p> <p>相較於市面上既有的超大容量硬碟產品，三大廠牌都有20 TB機型，但目前只有Seagate提供24 TB。以WD的資料中心硬碟為例，Ultrastar DC HC570提供22 TB，主打SATA介面規格的Gold系列涵蓋1TB至22 TB，<a href="https://www.ithome.com.tw/review/155878">Ultrastar DC HC670</a>提供26 TB；Toshiba 今年9月推出的<a href="https://www.ithome.com.tw/review/159033">MG10F系列</a>，可提供20TB與22 TB。</p> <p>就內部結構來看，3.5吋外形的Exos X24採用10碟片設計與氦氣封裝，每張碟片提供2.4 TB容量。存取效能方面，Exos X24全系列機型的持續傳輸率最大可達285 MB/s（272 MiB/s），與2021年推出的Exos X20相同。對照其他兩家廠商的20 TB硬碟來看，<a href="https://www.ithome.com.tw/review/148378">WD Ultrastar DC HC560</a>持續傳輸率最大可達291 MB/s（277 MiB/s），<a href="https://www.ithome.com.tw/review/155685">Toshiba MG10系列</a>為281 MB/s（268 MiB/s），<a href="https://www.ithome.com.tw/review/159033">MG10F系列</a>為284 MB/s（271 MiB/s），顯然這些產品的效能都在伯仲之間。</p> <p>而在配備的快取記憶體容量上，Exos X24均內建512 MB，先前推出的<a href="https://www.ithome.com.tw/review/148377">Exos X20</a>、<a href="https://www.ithome.com.tw/review/140114">Exos X18</a>均為256 MB。相較之下，其他兩家硬碟廠商更早之前就引進512 MiB快取，例如，WD至少從Ultrastar DC HC530開始， Toshiba從MG08系列就有這樣的配置。</p> <p>Seagate表示，Exos X24採用進階的快取技術，若以純粹用於讀取的快取或純粹用於寫入的快取解決方案為基準，這次他們推出的新品可達到3倍的提升，適合用於雲端資料中心，以及大規模建置的橫向擴展資料中心應用系統。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Exos-X24_Comparison2.jpg" style="width: 600px;" /></p> <p>關於耗電量的部分，若以20 TB容量機型相比，Exos X24的6Gb SATA介面機型最大耗電量較少，12Gb SAS介面機型的最大耗電量則與Exos X20一樣，若處於閒置狀態與進行隨機讀寫，Exos X24耗電量略高於Exos X20。</p> <p>在可靠度與安全性方面，Exos X24與Exos X20的平均故障間隔時間（MTBF）均為250萬小時，提供5年有限保固；而且，除了標準機型，用戶可選購自我加密硬碟（SED）機型，若是SAS機型，可額外選購遵循FIPS標準的自我加密硬碟（SED-FIPS），值得注意的是，Exos X24的標準機型內建快速安全刪除（ISE）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Seagate%20Exos%20X24%20in%20JBOD.jpg" style="width: 500px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Seagate Exos X24</strong><br /> ●原廠：Seagate<br /> ●建議售價：廠商未提供<br /> ●外觀尺寸：3.5吋<br /> ●機械設計：氦氣封裝<br /> ●容量：24TB、20TB、16TB、12TB<br /> ●傳輸規格與提供安全加密硬碟：6Gb SATA（可選ISE、SED）、12Gb SAS（可選ISE、SED、SED-FIPS）<br /> ●支援磁碟格式：4Kn、512e<br /> ●緩衝記憶體：512 MB<br /> ●轉速：7200轉<br /> ●最大持續傳輸率：285 MB/s<br /> ●平均延遲：4.16毫秒<br /> ●平均故障間隔時間（MTBF）：250萬小時<br /> ●工作負載耐用度：每年550 TB<br /> ●耗電量：運作最大為9.8瓦（12Gb SAS機型）<br /> ●重量：685克</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/10/27 16:29作者李宗翰https://www.ithome.com.tw/review/159483
Google公布AI抓漏獎勵範圍，新增生成式AI類別
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/safety-security/google-ai-security-expansion/" target="_blank">Google本周宣布</a>，將擴大針對AI系統的抓漏獎勵計畫，進一步納入生成式AI的安全漏洞，同時也<a href="https://security.googleblog.com/2023/10/googles-reward-criteria-for-reporting.html" target="_blank">揭露了該公司AI系統的抓漏獎勵範圍</a>。</p> <p>看起來Google像是跟著<a href="https://www.ithome.com.tw/news/159254" target="_blank">微軟</a>的腳步推出了AI抓漏計畫，但其實Google宣稱先前已將AI系統納入了該公司的漏洞獎勵計畫（Vulnerability Rewards），也與DEFCON在今年9月共同主持了LLM Hackathon競賽，測試Google的AI服務。</p> <p>總之，或許是受到微軟的刺激，或者是沒有太多人搞得懂Google的AI抓漏範圍，而讓Google本周首度公開了AI產品的抓漏獎勵標準。</p> <p>Google的AI抓漏類別包括提示攻擊（Prompt Attacks）、訓練資料汲取（Training Data Extraction）、操縱模型（Manipulating Models）、對抗性擾動（Adversarial Perturbation），以及模型竊取等，舉凡是利用提示來影響模型的行為或輸出，重建或汲取包含敏感資訊的訓練資料，得以改變模型行為，或是可竊取模型權重與結構等關鍵資訊的安全漏洞，都在獎勵之列。</p> <p>除了上述之外，Google也在本周擴大其AI漏洞獎勵計畫，新增了生成式AI類別。Google表示，新的技術需要新的漏洞報告準則，Google正在重新審視如何分類與提報AI漏洞，相較於傳統的安全漏洞，生成式AI出現了不同的問題，例如不公平的偏見、模型操縱或是對資料的誤解，隨著Google日益將生成式AI整合到產品與功能中，內部團隊正全面性地預測與測試其潛在風險，但同時也知道外部研究人員將可協助Google發現並解決新的漏洞。</p> <p>其實<a href="https://blog.google/technology/safety-security/googles-ai-red-team-the-ethical-hackers-making-ai-safer/" target="_blank">Google內部已設立了AI紅隊</a>（AI Red Team），專門模擬針對AI系統的攻擊行動，也<a href="https://services.google.com/fh/files/blogs/google_ai_red_team_digital_final.pdf" target="_blank">發布了報告</a>來說明駭客最可能攻陷AI系統的途徑。</p> </div></div></div>
2023/10/27 16:32作者陳曉莉https://www.ithome.com.tw/news/159528
Amazon公布第三季財報，廣告營收成長26%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ir.aboutamazon.com/news-release/news-release-details/2023/Amazon.com-Announces-Third-Quarter-Results/default.aspx" target="_blank">Amazon周四（10/26）公布</a>今年第三季財報，該季Amazon創下1,431億美元的營收，比去年同期成長13%，淨收入為99億美元，成長244%。該季Amazon廣告服務的營收成長了26%，訂閱服務營收成長14%，AWS則成長12%。</p> <p>財報顯示，今年第三季Amazon線上商店的營收為573億美元，成長7%；實體商店的營收為50億美元，成長6%；第三方銷售服務的營收為343億美元，成長20%；訂閱服務營收為102億美元，成長14%；廣告服務營收為121億美元，成長26%；AWS營收為231億美元，成長12%。</p> <p>其中，第三方銷售服務涵蓋了佣金，以及相關的交付及運費服務等，而廣告服務則包含了針對賣家、供應商及出版商所提供的贊助式、陳列式與影音廣告。</p> <p>從營業利潤（Operating Income）的角度來看，該季Amazon北美零售業務創下879億美元的營收，營業利潤為43億美元；國際零售營收為321億美元，虧損9,500萬美元；AWS營收為231億美元，營業利潤是70億美元；扣除稅賦之後的淨營收為99億美元，每股盈餘為0.94美元。</p> <p>廣告服務的強勁表現也讓Amazon持續推動相關投資，包括提供廣告的文字生成服務，並<a href="https://www.ithome.com.tw/news/159498" target="_blank">正在測試廣告的圖像生成AI工具</a>。</p> </div></div></div>
2023/10/27 15:24作者陳曉莉https://www.ithome.com.tw/news/159526