iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 05:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

5G趨勢月報第48期：聯發科推出天璣9300 5G行動晶片，加速生成式AI運算
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>10/07~11/07精選5G趨勢新聞</strong></span></h3> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>聯發科</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>晶片</b></span></font></p> <p><span style="font-size:22px;"><strong>聯發科發表天璣9300 5G行動晶片，加速生成式AI運算</strong></span></p> <p>聯發科正式發表新一代旗艦級行動晶片天璣9300，相較於先前的天璣9200+採用效率核心、大核、超大核的大中小核架構，採用台積電4奈米製程的天璣9300為全大核架構，該公司強調為生成式AI設計，為5G生成式AI行動晶片，預期採用該晶片的手機將在2023年底上市。</p> <p>新款行動晶片採用4個Arm Cortex-X4超大核，頻率可達3.25GHz，加上4個Cortex-A720大核，該公司強調其效能峰值比上一代提升40%，功耗節省33%，該公司強調全大核架構提高處理速度、效率，不論是輕度或重度工作負載，都能降低功耗，延長續航時間，同時具有多工處理能力，例如在遊戲時，同時直播或播放影片。</p> <p>天璣9300還整合聯發科第7代APU 790，強調為生成式AI設計，整數及浮點運算效能為前一代2倍，功耗降低45%。APU 790硬體內建生成式AI引擎，加速Transformer模型的運算，強調處理速度較上一代提高8倍，1秒內可生成圖片。聯發科指出，配合億級大型語言模型特性，開發INT 4量化技術，搭配記憶體硬體壓縮技術，提高記憶體頻寬利用效率，達到降低LLM對終端裝置記憶體的佔用，該公司聲稱最多可在裝置上執行330億參數的LLM。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>中華電信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>CA</b></span></font></p> <p><span style="font-size:22px;"><strong>中華電信在人口密集的商圈、大專院校、科學園區等地利用載波聚合技術，行動網速最高達2Gbps以上</strong></span></p> <p>隨著電信業者合併，以及2G、3G、4G、5G無線頻譜資源的重新調整，在頻譜資源稀少之下，需設法提高頻譜使用效益，改善行動網路品質。中華電信近期導入5G NR 2CA(Carrier Aggregation)及4G 4CA，整合旗下4G與5G頻譜資源，將行動網路下載速度最高提升至超過2Gbps。</p> <p>中華電信目前在5G頻譜，除了使用3.5GHz之外，還有重耕(Refarm) 為5G頻段的2.1GHz，加上4G用的900MHz、1800MHz、2600MHz，此次在人口密集的商圈、大專院校、科學園區、國道服務區等地點，運用5G NR 2CA+4G 4CA載波聚合技術，提高行動網路下載的峰值速率達到超過2Gbps，較先前的行動峰值網速提高10%以上。</p> <p>由於行動網路容易因為同一個地點同時間多人使用，導致網路品質下滑，因此，透過載波聚合技術來提高頻譜使用效益，來提升行動網路速度，對於同時間使用行動網路的用戶，可用以疏解壅賽的網路，不只一般使用者受惠，此次涵蓋企業及人潮聚集的科技園區，預期對園區內的企業用戶也帶來效益。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>高通</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>數據機</b></span></font></p> <p><span style="font-size:22px;"><strong>高通推出5G RedCap數據機X35，催生體積更小5G裝置</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/x35-600.jpg" style="width: 600px; height: 319px;" /></p> <p>高通（Qualcomm）推出首款符合5G Release 17 RedCap（Reduced Capability）的商用數據機Snapdragon X35，可用於設計體積更小、成本效益更高的5G裝置，預計於2024年推出。</p> <p>X35數據機搭配射頻收發器、射頻前端及天線模組，高通指出，該數據機具備降低成本、減少複雜性、提高能源效率，以及小型裝置所設計，下載速度可達220Mbps。此外，該數據機在封包傳輸上支援了追蹤技術。</p> <p>高通表示，5G RedCap是5G Advanced的重要一部分，為5G演進的關鍵技術，支援更多的裝置及服務。目前已和電信營運商、裝置開發商合作，開發及部署搭載X35數據機的裝置。預計搭載X35數據機的商用裝置將在2024年上半年推出。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>北流</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font></p> <p><strong><span style="font-size:22px;">臺北流行音樂中心以5G專網試驗智慧導覽服務</span></strong></p> <p>為加速國內智慧展演發展，臺北流行音樂中心和電信業者、新創業者合作，在大型展演會館導入5G專網，並結合AI機器人試驗智慧導覽服務. </p> <p>這項5G專網應用是以臺北流行音樂中心文化館作為示範場域，在大型文化、藝術展演中心，利用5G協助營運，在大廳、售票處等導覽空間，布建5G專網訊號，並和新創業者合作，導入ChatGPT互動機器人，與展演中心深度合作，客製化互動內容，為來訪的賓客提供智慧化的導覽服務。</p> <p>除了利用機器人提供互動的導覽服務，新創業者表示，還可利用人流辨識技術，根據民眾的性別、年齡層來推播廣告訊息，試驗智慧展演活動場域商業運作模式。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>技術整合</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font></p> <p><span style="font-size:22px;"><strong>瞄準企業建置5G專網需求，凌群、英業達、微軟組隊秀5G專網整合能力</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20231025_072823558-600.jpg" style="width: 600px; height: 338px;" /></p> <p>自6月初數位部開放國內5G專頻專網申請，企業基於實驗評估、展演或製造等場域使用5G專頻專網需求，可向數位部申請建置專頻專網，看準這波企業建置專網需求，凌群和英業達、台灣微軟、趨勢科技合作，結合基地臺、核網、資安，展示5G專網整合建置能力。</p> <p>凌群與上述業者的合作，主要整合了英業達的5G基地臺，包括O-RAN的室內外天線、5G DU及CU軟硬體伺服器，搭配微軟的Azure Private核網及雲端，趨勢科技旗下5G專網資安服務，整合各家業者的產品及技術打造5G專網。</p> <p>展示的5G應用場景，包括在生產製造場域，在廠區內透過5G專網，即時傳輸IoT蒐集的數據，透過資料分析促成智慧製造轉型，另一項應用則是智慧交通方面，利用5G提升交通數據的蒐集，優化花東地區交通號誌的智慧化管理。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>智慧港口</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font></p> <p><span style="font-size:22px;"><strong>英國泰恩港以5G專網加速港口智慧化管理</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_1303-600.jpg" style="width: 600px; height: 337px;" /></p> <p>英國的泰恩港在電信商及設備供應商的協助下，近期導入5G SA專網，結合原有的4G網路，來提升對進出港口的車輛管理，還有無人機測量、AI及XR體驗，加速向智慧港口轉型發展。</p> <p>泰恩港準備先在11月，在車輛進出閘口，利用自動辨識進出車輛車牌的影像及感測器，搭配5G攝影機與AI影像辨識，來識別控管貨櫃。此外，港口也計畫導入具備自動導航能力的車輛，自主移動搬運貨物，還有可讓駕駛員在控制室遠端控制的起重機，在港區巡視檢查的無人機隊，以及用於人員訓練的XR設備。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>桃園市</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>急救</b></span></font></p> <p><strong><span style="font-size:22px;">桃園市測試5G救護應用，讓救護車即時傳送傷患資訊至醫院做好急救準備</span></strong></p> <p>桃園市消防局與電信業者、聖保祿醫院合作，利用5G SA的網路切片技術，建立一個急救專用的5G虛擬專網，當救護車載送傷患到院之前，就能將患者的生理資訊、車上即時影像利用5G專網傳送到醫院，讓急救團隊作好準備。</p> <p>這項5G專網應用是在桃園市消防局大林分隊，由電信業者在救護車執勤的22個5G基地臺，利用5G SA的網路切片技術，建立救護車專用的虛擬專網，當救護車出勤載送傷患時，就會從5G公網中切分出急救用的虛擬專網，調撥70%的頻寬，以確保救護車使用5G網路的穩定性，避免經過人口密集地點，因共用5G網路出現的網路塞車問題。</p> <p>通過這個5G虛擬專網，救護車在抵達醫院之前，可將車上傷患的即時生理監測資訊，超音波、12導程心電圖，以及救護車內的4K畫質影像，即時傳送到聖保祿醫院的急診室戰情系統，院方透過戰情系統，提供車上急救人員緊急處置，並做好到院急救準備。</p> <p> </p> <p>圖片來源／聯發科、高通、Port of Tyne</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多5G動態 </span></strong></span></p> <p><strong>1.資策會MIC：明年全球5G手機滲透率預估達68%</strong></p> <p><strong>2.鴻海自製低軌衛星11月發射升空</strong></p> <p>資料來源：iThome整理，2023年10月</p> </div></div></div>
2023/11/9 12:14作者蘇文彬https://www.ithome.com.tw/news/159704
Cloud周報第188期：企業開始重視雲端支出調整及優化！三大公雲營收增長速度趨緩，AWS受影響最大
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（11/01～11/09）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融業上雲 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">金融業新版上雲問答集出爐，對於上雲委外申請疑義有更清楚界定</span></strong></p> <p>新版金融上雲規定自八月上路後，金管會也發布了新版上雲委外問答集，針對法條疑慮提供更詳細的解說。在這份問答集中，包含一般問答和雲端問答共29題，詳細說明了重大性定義和消金業務資訊系統定義，並公布了其他經核可的委外項目名單。</p> <p>像是針對重大性的判斷因素，問答集中舉例考量項目，包括委外作業成本和委外作業涉及的業務是否具時效關鍵性等。另外，消金業務資訊系統定義，則包括消金核心業務系統、信用卡業務系統、金融商品銷售業務系統、消金授信管理系統、電話銀行服務、催收作業管理系統及信託業務管理系統等。</p> <p>若涉及重大性消金系統委託至境外，除了需經過核准，還需要在境內進行存款、授信、信用卡、匯款及投資等客戶重要資料留存和備份。</p> <p>該問答集公布首例經過金管會核定的名單，其他金融機構也可以跟著使用，分別為「企業客戶商務信用卡盜刷監控作業」和「企業客戶洗錢防制交易監控作業」。</p> <p>另外，在資料安全方面，除了透過機密運算提供硬體加密保護機制，英特爾最新加入Trust Authority可信環境執行的驗證服務，強化在開發者雲的資料保護。Developer Cloud目前共推出三種服務方案，分別是免付費的標準版、按需付費的專業版，以及團體的企業版。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span></strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GCP </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">三大公雲營收今年增長速度趨緩，AWS本季增長率減半影響最顯著</span></strong></p> <p>最近，三大公雲相繼發布最新一季財報，可以明顯看出，三大公雲營收成長速度有所放緩，其中以AWS營收增長幅度減半的影響最大，顯示出企業今年對於雲端投資更為謹慎，重新調整或優化其雲端支出。</p> <p>在該季，AWS的營收達到231億美元，營業利潤為70億美元。儘管AWS營收與去年同期相比成長12%，但增長幅度較去年顯著減緩，去年增長率仍有27%。亞馬遜執行長Andy Jassy在財報電話會議中提到，一些企業今年延後了大型雲端遷移計畫。這可能也是影響該季營收成長不如預期的原因之一。</p> <p>微軟本季總營收達565億美元，其中一半來自智慧雲端（Intelligent Cloud）營收，有243億美元，不過成長只有19%，維持跟去年差不多，還未因為生成式AI業務帶來顯著成長。個別產品來看，表現最好的是Azure與其它雲端服務，成長了29%，居次的是Dynamics 365，成長28%，MicrosoftCloud亦成長24%。</p> <p>Alphabet該季營創下767億美元的營收，其中Google Cloud營收為84億美元，雖然盈餘達到2.6億美元，但增長仍低於該公司預期，僅成長22.5%，相較去年同期的38%的增長，速度明顯放緩。Alphabet財務長Ruth Porat於財報會議中表示，雲端營收不如預期主要來自於客戶優化其雲端支出政策。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">M365 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI對話應用 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">微軟推出付費版的M365 Copilot，每用戶每月價格30美元</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961_Cloud%E5%91%A8%E5%A0%B1(9).png" style="width: 600px; height: 335px;" /></p> <p>微軟近日宣布M365 Copilot服務正式推出上市，並開放企業用戶訂閱，價格為每用戶每月30美元。Copilot是微軟以OpenAI的GPT模型為基礎所開發的生成式AI對話應用。從一開始輔助程式撰寫到推出提高生產力的Copilot，也就是M365 Copilot。</p> <p>M365 Copilot還結合Microsoft Graph跨系統資料搜尋API，能根據用戶的文字敘述搜尋彙整網際網路與M365應用資料，包括Word、Excel、Powerpoint、Outlook、Teams及行事曆等提供生成式內容。。</p> <p>不過M365 Copilot初期僅支援英文、日文及簡中等，明年上半才會支援繁中。此外，微軟明年將推出適用政府部門的M365 Copilot GCC版本。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">增強檢索生成 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> HANA Cloud </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">為應對LLM風潮，SAP的HANA雲端資料庫服務將推出向量引擎，能支援增強檢索生成的RAG技術</span></strong></p> <p>最近，SAP宣布將在雲端資料庫即服務HANA Cloud中加入向量引擎功能，並支援增強檢索生成的RAG技術，使得企業能夠使用HANA Cloud資料庫來儲存和管理經過向量化的非結構化資料，包括文字、圖像或聲音等，使得用戶向LLM模型提問時，能有效地根據上下文迅速查找和檢索資料庫資料，以生成更準確的內容。</p> <p>SAP表示，HANA資料庫能以原生方式儲存和搜尋這些嵌入向量（vector embeddings），來支援各種智慧數據應用。透過該向量引擎，企業能更容易將內部業務資料與LLM推論模型相結合，利用生成式AI實現自動化決策。此外，該引擎還能夠提供嵌入向量的相似性搜尋、內容過濾、文字嵌入資訊檢索等。SAP將在明年初HANA Cloud的更新版本中提供這項功能。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">家樂福 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 公雲 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">臺灣家樂福揭5年上雲歷程，不只ERP、電商系統，就連法國總部機房都全面搬上公雲</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1%20(1).jpg" style="width: 600px; height: 263px;" /></p> <p>臺灣家樂福最近在一場活動中揭露了過去5年為加速轉型擁抱公雲的歷程。家樂福很早就採取雲端優先策略，並從核心系統上雲開始，將SAP ERP系統搬上公雲，接著更擴大到更多系統上雲，包括電商系統、資料倉儲系統都先後搬上公雲。</p> <p>家樂福還翻新現有IT架構，朝向現代化、雲原生架構來發展，例如改用容器化的微服務架構重新設計EC和行動App，並利用無伺服器和K8s服務進行雲端資源調度和管理，還採用雲端資料倉儲服務BigQuery，來取代原服務。不僅如此，近幾年，家樂福開始利用雲端數據服務和AI工具，加速其擁抱AI應用。</p> <p>2021年時，家樂福法國總部的IDC機房搬遷到臺灣，臺灣家樂福進一步決定將所有系統和基礎設施都遷移到公有雲，而不再使用本地機房，這也使得家樂福更全面轉向公雲環境。臺灣家樂福今年除了將把AI擴大到更多應用場景，還將持續搬遷系統上雲和強化雲端資安。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Dell </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 紅帽 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Dell推出可以適用於紅帽混合雲平臺OpenShift的Apex雲端平臺服務</span></strong></p> <p>近日，伺服器廠商Dell推出可以適用於紅帽混合雲平臺OpenShift的Apex雲端平臺服務，藉此來簡化企業在混合雲、多雲容器化應用和微服務的部署和管理。Apex雲端平臺是Dell所推出，可提供完整堆疊和一站式的本地IT基礎架構，且專為多雲所設計。早前，Dell推出了微軟Azure版本的Apex雲端平臺，透過Azure Arc協助企業建置可在多雲環境執行的應用程式和服務。Dell最新也推出OpenShi 版的Apex雲端平臺。</p> <p>Dell表示，Apex是專為紅帽OpenShift所設計的應用程式交付平臺。該平臺整合了 OpenShi Web 控制臺，開發人員可以在OpenShi 環境中進行應用程式開發，不必擔心是在雲端或本地，同時也能使用OpenShift管理方式來管理雲地基礎設施。此外，還能搭配紅帽DevOps自動化工具和生命週期管理工具，加速應用開發與交付。</p> <p>除了可以部署到公有雲上，該平臺還支援本地部署，包括在Dell資料中心基礎架構上部署雲端軟體堆疊，並提供付費訂閱制。此外，透過Dell的CSI的儲存系統，Apex平臺支援有狀態容器儲存，還能將其軟體定義儲存 (SDS) 方案與Dell Apex Navigator結合使用，來實現本地和公有雲Apex區塊儲存之間的資料複製。該平臺支援了多達上千個節點的叢集擴展。該平臺目前推出上市。</p> <p> </p> <p>圖片來源／微軟、臺灣家樂</p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.AWS推EC2容量區塊新功能，讓用戶指定時間預留GPU資源</strong></p> <p><strong>2.微軟開源雲端原生應用程式開發平臺Radius</strong></p> <p><strong>3.Windows Server 2012支援到期，但微軟表示改用公雲版本可以延長3年支援</strong></p> <p><strong>4.淡江大學導入微軟永續雲打造低碳智慧校園，結合視覺化儀表板來管理跨校能耗及碳排數據</strong></p> <p><strong>資料來源：iThome整理，2023年11月</strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2023/11/9 10:21作者余至浩https://www.ithome.com.tw/news/159703
Google啟動Project Open Se Cura加速安全、低功耗AI系統開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發布了一項名為<a href="https://www.googblogs.com/project-open-se-cura-open-source-announcement/">Project Open Se Cura</a>的開源框架計畫，目的是要加速開發安全性又高效的人工智慧系統。該框架包含了一套開源設計工具和智慧財產函式庫，透過協同設計和開發，加速機器學習工作負載全端系統的發展。</p> <p>當前人工智慧技術迅速發展，對運算系統的要求逐漸增加，包括安全性、可擴展性、透明度和效率等，但是Google指出，現今硬體的進步的速度，卻落後於機器學習模型和軟體開發，而這成了部署安全且高效的全端人工智慧系統的障礙。</p> <p>此外，Google還提到，消費者對小型裝置的需求快速成長，已經超過電池技術的進步速度，這限制了人工智慧系統可部署的功耗範圍，也就是說，電力供應已經成為人工智慧系統發展的一大瓶頸。</p> <p>由Google啟動的Project Open Se Cura，提供了一套開源設計工具和智慧財產函式庫，加速具有機器學習功能的系統開發。這個計畫促進硬體設計師和軟體開發人員協作，推動硬體與軟體共同設計的想法，進而最大化人工智慧系統的效能。</p> <p>Project Open Se Cura整合自lowRISC、Antmicro與VeriSilicon等合作夥伴的貢獻，包括透明信任根等安全功能。藉由開源共享的方式，各組織都可以參與這些工具和函式庫的改善和擴展工作。而且該計畫還特別注重對小型裝置的支援，要在有限的電力條件下，實現強大的人工智慧功能。</p> <p>Google強調開源框架的透明度，有助於社群理解和信任人工智慧系統的運作方式，也能夠培養用戶對人工智慧技術的深入理解。隨著Project Open Se Cura持續發展，Google會尋求更多合作夥伴，像是劍橋大學在CHERI（Capability Hardware Enhanced RISC Instructions）技術上的創新，還有密西根大學對低功耗、生成式人工智慧的研究，以推進此開源計畫的發展。</p> </div></div></div>
2023/11/9 08:46作者李建興https://www.ithome.com.tw/news/159700
Amazon EC2執行個體後設資料服務在2024年中後，將預設使用IMDSv2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS<a href="https://aws.amazon.com/tw/blogs/aws/amazon-ec2-instance-metadata-service-imdsv2-by-default/">宣布</a>從2024年中旬開始，新發布的Amazon EC2執行個體類型，其後設資料服務（IMDS）都將預測採用IMDSv2。AWS推廣採用IMDSv2的原因在於提升安全性，IMDSv2較IMDSv1提供額外的安全保護措施，能夠避免有心人士濫用漏洞存取IMDS。</p> <p>用戶可從EC2執行個體的固定IP位址存取IMDS，檢索有關執行個體大量靜態和動態資料，這些資料包含啟動執行個體的AMI ID、網路配置和角色臨時IAM憑證等後設資料。而IMDSv1與IMDSv2的主要差異在於，IMDSv1使用請求/回應存取方法，由客戶端向後設資料服務發出請求，並接收回應，IMDSv2則採用會話導向（Session-oriented）的方法，客戶端與伺服器端需要先建立一個會話，並使用會話建立過程中獲得的令牌，來請求和接收回應。</p> <p>AWS強調雖然IMDSv1與IMDSv2同樣安全，但是IMDSv2對可能被嘗試用於存取IMDS的4種漏洞，提供額外的防護能力，包括錯誤配置的開放式網站應用程式防火牆（Web Application Firewall，WAF）、反向代理、伺服器端請求偽造，還有第三層防火牆和網路位址轉譯配置錯誤，有效減少未經授權存取EC2後設資料的風險。</p> <p>AWS在2019年的時候推出了IMDSv2，並在2023年3月推出的Amazon Linux 2023預設使用IMDSv2，而從現在開始，所有控制臺Quick Start啟動將只會使用IMDSv2，所有Amazon與合作夥伴Quick Start AMI也都已支援這項設定。</p> <p>官方預計要在2024年2月，添加新的API函式，讓用戶從帳戶層級控制IMDSv1的預設使用，這不只有助於用戶轉用更安全的IMDSv2，同時當AWS於管理控制臺和其他路徑，將IMDSv2設為預設選項時，新的API讓用戶能以簡單地方法，從帳戶層級停用IMDSv1，進而快速轉換到IMDSv2。</p> <p>到了2024年中，新發布的EC2執行個體類型，也將會預設使用IMDSv2，但AWS也提供了一個靈活的過渡選項，用戶仍然可以不需要重新啟動，就可在執行個體啟動時，或是啟動之後選擇開啟IMDSv1。</p> </div></div></div>
2023/11/9 08:48作者李建興https://www.ithome.com.tw/news/159701
【資安日報】11月8日，駭客組織SideCopy利用WinRAR高風險漏洞發動攻擊，針對印度政府機關而來，Linux電…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">長期鎖定印度政府機關、軍事單位的駭客組織SideCopy，最近發起了新的攻擊行動，主要是透過WinRAR漏洞CVE-2023-38831，對Windows電腦植入多種惡意程式。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">但與過往攻擊行動不同之處，在於這些駭客也使用相同的基礎設施，開始針對Linux主機散布惡意程式，這很可能與印度政府打算導入此種作業系統的政策有關。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【攻擊與威脅】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://thehackernews.com/2023/11/sidecopy-exploiting-winrar-flaw-in.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度政府機關遭到駭客組織SideCopy鎖定，利用WinRAR漏洞發動攻擊</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/SideCopy_Oct2023-Ares-2_drawio.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SideCopy_Oct2023-Ares-2_drawio.png" style="width: 300px; float: right;" /></a>資安業者Seqrite<a href="https://www.seqrite.com/blog/sidecopys-multi-platform-onslaught-leveraging-winrar-zero-day-and-linux-variant-of-ares-rat/">揭露巴基斯坦駭客組織SideCopy近期的攻擊行動</a>，這些駭客鎖定印度，積極利用WinRAR的漏洞CVE-2023-38831，對Windows電腦部署AllaKore RAT、DRat等惡意軟體，但他們也看到駭客對於Linux電腦植入Ares RAT變種惡意程式。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">攻擊者先是透過網路釣魚手法，引誘使用者下載PDF誘餌檔案，但實際上為Windows捷徑檔案（LNK），一旦開啟此檔，電腦就有可能執行遠端的HTA檔案，從而檢查電腦安裝的.NET版本、防毒軟體資訊，然後使用Base64編碼解密，於記憶體內執行惡意DLL檔案，為了執行這個DLL檔案，駭客會濫用Windows內建的公用程式，如credwiz.exe、rekeywiz.exe，以DLL側載（DLL Side-loading）手法載入惡意DLL檔案。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資安新聞網站Hacker News認為，這些駭客針對Linux電腦下手並非巧合，原因是印度政府與國防部門打算使用名為Maya OS的Linux版本，逐步取代Windows作業系統。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://unit42.paloaltonetworks.com/agonizing-serpens-targets-israeli-tech-higher-ed-sectors"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">伊朗駭客Agrius鎖定以色列教育機構、科技產業而來，竊得資料後進行破壞</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/word-image-131008-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-131008-3.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露從今年初開始發生的攻擊行動，伊朗駭客組織Agrius（亦稱BlackShadow、Pink Sandstorm、Agonizing Serpens）自1月開始，鎖定以色列教育機構及高科技組織而來，這些駭客的主要目的是竊取個資與智慧財產，但值得留意的是，一旦對方得逞，就會使用資料破壞軟體（Wiper）進行破壞，這些程式包含了MultiLayer、PartialWasher、BFG Agonizer、Sqlextractor。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">攻擊者先是針對存在弱點、曝露於網際網路的網頁伺服器下手，取得目標組織網路環境的初始存取權限，隨後部署多個Web Shell，以便持續於目標組織進行活動。對方透過Nbtscan、WinEggDrop、NimScan進行偵察，然後利用Mimikatz，或是藉由暴力破解或密碼噴灑來取得SMB的密碼，藉此提升權限。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">接著他們透過Plink進行橫向移動，然後從資料庫或是重要的伺服器竊密，並透過WinSCP、Putty等工具傳輸至C2伺服器，最終執行資料破壞軟體。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://securityintelligence.com/x-force/gootbot-gootloaders-new-approach-to-post-exploitation/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意程式GootLoader出現變種，駭客透過WordPress網站下達攻擊命令</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/Zz0yNDg0NzRlNjc5YmYxMWVlYmM1MzhhYjUzMTJhOWI2Zg%3D%3D.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zz0yNDg0NzRlNjc5YmYxMWVlYmM1MzhhYjUzMTJhOWI2Zg%3D%3D.png" style="width: 300px; float: right;" /></a>IBM旗下的威脅情報團隊X-Force揭露新一波的GootLoader攻擊行動，駭客組織Hive0127（亦稱UNC2565）透過搜尋引擎最佳化中毒（SEO poisoning）的手法，假借提供合約、法律表單、業務文件的名義，將使用者重新導向至遭到入侵的WordPress網站，攻擊者將這些網站竄改成線上論壇，引誘受害者上當，依照指示下載帶有惡意酬載的壓縮檔案。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">此壓縮檔案內有透過混淆處理的JavaScript指令碼，使用者若是執行，電腦就會接收另一個JavaScript檔案，以便讓攻擊者持續在受害電腦活動，並觸發PowerShell指令碼GootBot收集系統資訊，並嘗試存取C2伺服器。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">GootBot是GootLoader的變種，攻擊者藉此於受害電腦植入各式惡意程式，或是進行偵察工作、於網路環境裡橫向移動。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.threatfabric.com/blogs/droppers-bypassing-android-13-restrictions"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意程式載入器SecuriDropper繞過新版安卓防護機制部署惡意程式</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/Slide1-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Slide1-3.png" style="width: 300px; float: right;" /></a>為防範駭客濫用作業系統的功能於安卓裝置植入惡意程式，Google於去年8月發布的Android 13當中，導入了名為受限制設定（Restricted Settings）的安全措施，目的是防堵外部的APK安裝程式，使其無法存取影響層面廣泛的功能，例如：輔助功能、通知監聽功能。但如今，已有駭客開發相關工具，繞過這樣的防護機制。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資安業者ThreatFabric揭露名為SecuriDropper的惡意程式載入工具，駭客通常會將其偽裝成合法應用程式來引誘使用者上當，其中冒充的程式類型，又以Google應用程式與安卓更新最多，其次是多媒體播放程式、資安防護軟體。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">一旦使用者依照對方指示安裝，過程中對方就會要求提供讀寫內部儲存空間、安裝及刪除套件的權限，接著就會透過介面操縱的手法，要求使用者執行「重新安裝」，於受害手機植入其他惡意軟體。研究人員看到駭客利用此惡意程式載入工具，部署了SpyNote、Ermac、Zombinder等惡意軟體。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://thehackernews.com/2023/11/google-warns-of-hackers-absing-calendar.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google行事曆被找出用作C2基礎架構的方法？有惡意程式開發者宣稱能辦到，引起駭客圈熱議</span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">Google於近期發表的第8份威脅視野報告（Threat Horizons report）當中，揭露從今年6月出現的惡意程式Google Calendar RAT（GCR），開發者表明他所打造的指令碼，能夠將Google Calendar的事件描述轉換成C2加以濫用，該公司旗下Mandiant威脅情報團隊發現，這種隱密的手法引起網路犯罪圈高度關注，雖然上述工具尚未被用於攻擊行動，但已有許多駭客於地下論壇分享這種概念性驗證攻擊（PoC）程式。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">研究人員指出，攻擊者若在受害電腦執行GCR，該程式會定期從Google Calendar拉取事件描述，從而執行其中的命令，然後再以執行輸出的結果更新事件描述內容。由於過程中都使用Google的基礎設施，導致防守方要察覺異常活動更加困難。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【漏洞與修補】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://source.android.com/docs/security/bulletin/2023-11-01"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google發布11月安卓更新，修補37個漏洞</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月6日Google發布本月份安卓例行更新，總共修補37個漏洞。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">其中，在系統與框架的部分有15個漏洞，其中最嚴重的是列為重大等級的資訊洩露CVE-2023-40113，攻擊者有可能在無須取得特殊執行權限的情況下利用，影響11至13版安卓作業系統。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">其餘修補的漏洞與Arm、聯發科、高通的元件有關，當中有4個高通元件的漏洞被列為重大等級。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【其他新聞】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/marina-bay-sands-discloses-data-breach-impacting-665-000-customers/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">新加坡濱海灣金沙旅館資料外洩，波及66.5萬名房客</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.news18.com/india/indias-biggest-data-leak-so-far-covid-19-test-info-of-81-5cr-citizens-with-icmr-up-for-sale-exclusive-8637743.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">印度發生史上規模最嚴重的資料外洩事件，醫療機構洩漏8.15億民眾個資</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://blogs.vmware.com/security/2023/11/jupyter-rising-an-update-on-jupyter-infostealer.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">竊資軟體Jupyter Infostealer透過簽章迴避偵測</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.securityweek.com/free-tool-helps-industrial-organizations-find-opc-ua-vulnerabilities/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為了讓企業能找出OPC UA組態不當及弱點，資安業者推出掃描工具OpalOPC</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159691"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Palo Alto Networks買下資料安全態勢管理新創Dig Security、企業瀏覽器新創Talon</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>近期資安日報</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159685"><strong>【11月7日】鎖定Atlassian Confluence重大漏洞的攻擊行動出現，駭客透過勒索軟體Cerber加密伺服器的檔案</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159660"><strong>【11月6日】濫用企業臉書帳號散布NodeStealer竊資軟體的攻擊行動再度出現，想看裸照的使用者是目標</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159633"><strong>【11月3日】訊息導向中介軟體ActiveMQ重大漏洞出現攻擊行動，駭客用於投放勒索軟體HelloKitty</strong></a></p> </div></div></div>
2023/11/8 18:02作者周峻佑https://www.ithome.com.tw/news/159699
微軟Microsoft Entra將部署條件式存取政策，登入管理入口將強制啟用MFA
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/11/06/automatic-conditional-access-policies-in-microsoft-entra-streamline-identity-protection/" target="_blank">微軟周一（11/6）宣布</a>，將於Microsoft Entra中自動部署3項條件式存取（Conditional Access）政策，它們皆與多因素身分驗證（MFA）有關，其中一項政策是要求管理員在登入各種Microsoft Admin Portals時，必須採用MFA。</p> <p>負責身分安全的微軟副總裁Alex Weinert強調MFA的重要性，指出當微軟在十年前強制啟用某些消費者服務的多因素身分驗證之後，微軟帳戶遭駭的意外下滑了80%，且遭駭用戶成功取回帳戶的比例也從57%增加到81%。而且原本擔心此一政策會令消費者感到麻煩而走人，沒想到客戶的留存率還增加了5%。</p> <p>繼之微軟在2019年針對所有的新租戶所提供的安全預設中，便啟用了MFA，超過80%的新租戶保留了該安全預設，2022年將該預設值延伸到既有租戶，有超過94%的租戶維持其啟用狀態，Weinert說，這些啟用了MFA比未啟用的客戶所受到的危害少了80%，且整體的MFA利用率已超過37%，但微軟的目標是100%。</p> <p>這是因為微軟的研究顯示，MFA可降低99%帳戶被盜的風險，且使用者的數位身分同時保護著他們的虛擬與實體資產，從微軟每秒封鎖逾4,000次的密碼攻擊來看，必須採用激進手段。</p> <p>總之，這次微軟打算於Microsoft Entra中自動部署3項條件式存取政策，一是在登入各種管理入口時必須採用MFA，二是原本即採用MFA的使用者在登入所有雲端程式時都必須採用MFA，三則是要求Microsoft Entra ID Premium Plan 2用戶在執行高風險登入行為時，必須採用MFA。</p> <p>上述的第一項政策適用於所有的客戶，只要是具特權的管理員要登入微軟的管理入口時，就必須採用MFA，像是Microsoft Entra、Microsoft 365、Exchange及Azure等。<a href="https://learn.microsoft.com/en-us/entra/identity/conditional-access/how-to-policy-mfa-admin-portals" target="_blank">此一政策涉及了14種管理員角色</a>，涵蓋全域管理員、應用程式系統管理員、Exchange系統管理員、密碼管理員、安全性系統管理員、SharePoint系統管理員及使用者管理員等。</p> <p>Weinert說，微軟強烈推薦第一項政策，並將代替客戶部署，且縱使客戶得以選擇退出上述政策，微軟團隊也會持續在某些特定互動時要求多因素身分驗證。</p> <p>微軟預計自下周便會開始部署上述政策至所有合格的租戶，租戶有90天的時間可以審核並客製化相關政策，之後微軟即會啟用它們。</p> </div></div></div>
2023/11/8 16:38作者陳曉莉https://www.ithome.com.tw/news/159698
IBM成立5億美元的AI創投基金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年11月才現身的ChatGPT帶動了全球的生成式人工智慧（AI）風潮，百年科技大廠IBM也在周二（11/7）<a href="https://newsroom.ibm.com/2023-11-07-IBM-Launches-500-Million-Enterprise-AI-Venture-Fund" target="_blank">宣布成立了5億美元的IBM Enterprise AI Venture Fund</a>，專門投資從早期到高速成長期的各種AI新創，且將專注於加速針對大型企業的生成式AI技術與研究。</p> <p>IBM Enterprise AI Venture Fund準備投資現在與未來可協助全球企業實現AI商業應用潛力的AI領導人，負責此一基金的是由投資與AI專家組成的IBM團隊，每家新創都有機會與IBM建立重要的合作關係，同時獲得產品、工程及產品上市策略的專業知識。</p> <p><a href="https://www.ibm.com/artificial-intelligence" target="_blank">目前IBM已自行開發了許多AI解決方案</a>，多圍繞在該公司的Watson平臺，該公司坦承，藉由IBM Enterprise AI Venture Fund將可擴大其AI合作夥伴的生態體系，包括利用Watson進行建置，同時替IBM客戶與新創公司領導人創造長期價值。</p> <p>IBM商務長Rob Thomas表示，外界預期AI到2030年將會釋放16兆美元的生產力，此一基金可替IBM另闢蹊徑以駕馭AI革命的巨大潛力，替IBM與AI新創帶來正面的結果。</p> <p>在設立該AI新創基金之前，IBM也曾投資其它AI新創，包括參與機器學習開源平臺Hugging Face的D輪增資，以及加入AI資安業者HiddenLayer的A輪投資。</p> </div></div></div>
2023/11/8 13:29作者陳曉莉https://www.ithome.com.tw/news/159694
英特爾：企業未來資料中心設計將因生成式AI帶來新變革，液體冷卻技術和配備更高記憶體頻寬的伺服器系統是發展關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著生成式AI迅速崛起，企業開始思考未來資料中心設計，來因應生成式AI應用發展，甚至一些科技巨頭已經開始打造AI資料中心。例如臉書Meta正在打造下一代AI資料中心，該資料中心將具有液冷式人工智慧硬體，以及高效能人工智慧網路，將數千個MTIA人工智慧晶片連結在一起，以建立起資料中心規模的人工智慧訓練叢集，支援未來10年生成式人AI應用研究。</p> <p>英特爾資料中心平臺工程與架構事業群總經理Zane Ball在近日的英特爾創新日會後一場媒體活動上表示，生成式AI的興起，對於資料中心帶來了重要變革之一，將加速企業資料中心對於液體冷卻（liquid cooling）技術的採用。</p> <p>Zane Ball表示，執行生成式AI應用對於系統能耗負擔很大，因此需要新的硬體散熱機制。他認為，越來越多的企業將在新資料中心中導入液體冷卻技術，來協助伺服器系統的散熱，不僅是為了節省能源，還為了支援更高能耗的加速運算元件所需。他認為這有助於加速企業資料中心採用液體冷卻技術。</p> <p>但他直言，要實現實用且易於部署的液體冷卻技術，需要產業間的合作，「雖然這需要時間，但這件事讓人感到興奮，也代表新機會。」他說。</p> <p>不只是冷卻散熱機制的改變，未來伺服器硬體設計需要有新的變革。為了提升伺服器所能處理的推論模型參數，Zane Ball指出，未來將持續改進Xeon處理器在AI運算效能方面。他表示，過去英特爾已經取得了顯著的進步，例如與第三代Xeon處理器相比，第四代Xeon處理器的AI處理效能提升多達14倍。因此未來將持續發展能夠支援更大參數的模型、更高記憶體頻寬的伺服器系統，「這正是我們未來CPU發展的方向。」</p> <p>英特爾將在12月14日推出代號為Emerald Rapids的第5代Xeon伺服器處理器，也是針對企業資料中心AI應用需求所設計，採用和前一代相同節點，但核心數達到64核，而且具備更快的記憶體傳輸速度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20231107_021815362.jpg" style="width: 600px;" /></p> <p>從英特爾對於資料中心AI系統的分類，也能夠反映出不同型態伺服器，能夠支援處理的推論模型參數的規模。</p> <p>若以單一CPU插槽的Emerald Rapids伺服器來舉例，Zane Ball也表示，這種伺服器適合處理100億參數的模型推論任務，他強調，雖然執行更多參數的模型是有可能，但考慮到系統的效能， 100億個參數會是較為合理的數量。</p> </div></div></div>
2023/11/8 12:12作者余至浩https://www.ithome.com.tw/news/159693
澳洲第二大電信業者Optus發生大規模服務中斷，已持續超過10小時
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>澳洲第二大電信業者Optus在當地AEDT時間11月8日凌晨4點左右（約是臺北時間8日凌晨1點），開始出現大規模的服務中斷，旗下的行動、固網與電話服務全都失靈，除了影響數百萬名用戶之外，也波及了採用Optus服務的醫院與運輸機構，而且一直到臺北時間上午11點都尚未完全恢復正常，已持續超過10小時。</p> <p>Optus是新加坡電信Singtel的全資子公司，在澳洲擁有逾1,000萬名訂閱用戶，是澳洲第二大電信業者，僅次於Telstra。</p> <p>根據澳洲媒體的報導，當地的行動用戶先是在手機的收訊指標上看到SOS，發現手機並未連上行動網路，另外，當地有73家醫院採用Optus的電話服務，澳洲鐵路公司Metro Trains的後端系統也仰賴Optus的行動網路，全都因此而受到影響。</p> <p>Optus透過<a href="https://www.facebook.com/photo/?fbid=330895862880613&set=a.238926895410844" target="_blank">Facebook</a>與<a href="https://twitter.com/optus_help/status/1721977640859599339" target="_blank">X</a>發布了聲明，坦承固網撥打000的緊急電話服務也已失靈，但用戶透過手機撥打000則可由其它電信網路承接。</p> <p>Optus正全力搶救服務，也陸續恢復部分服務，該公司向部分媒體否認遭到網路攻擊，但尚未釐清或公布中斷原因。</p> <p>事實上，<a href="https://www.ithome.com.tw/news/153244" target="_blank">去年Optus</a>即曾因遭到駭客入侵而外洩客戶資料，這起服務大規模中斷的意外，也讓澳洲政府考慮將重大服務移出Optus。</p> </div></div></div>
2023/11/8 12:21作者陳曉莉https://www.ithome.com.tw/news/159692
Palo Alto相繼收購2家以色列安全軟體公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路安全廠商Palo Alto Networks在過去二周來，接連宣布收購二家以色列安全軟體公司，以強化企業資料及雲端安全防護。</p> <p><a href="https://www.paloaltonetworks.com/company/press/2023/palo-alto-networks--announces-intent-to-acquire-enterprise-browser-start-up-talon-cyber-security" target="_blank">本周Palo Alto宣布</a>和企業網路安全工具Talon Cyber Security達成收購協議，將取得其企業瀏覽器技術，整合Palo Alto的Prima SASE，可形成企業資料安全方案，確保企業員工可透過手機或非公司設備遠端安全存取公司應用，包括不對外公開的App，且對用戶及其使用的裝置實施一致化的安全管理，不論使用者身分或使用什麼裝置。加入Palo Alto後的Talon將由原領導團隊持續掌理。</p> <p><a href="https://www.paloaltonetworks.com/company/press/2023/palo-alto-networks--announces-intent-to-acquire-cloud-security-start-up-dig-security" target="_blank">上周Palo Alto另外宣布</a>收購Dig Security。Dig Security提供資料安全態勢管理（Data Security Posture Management），強化資料安全防護。其方案幫助企業辨識敏感資料、管理用戶存取，及實作安全措施，以保護所有儲存在雲端資料庫的敏感資料外洩。Dig Security產品能讓企業客戶清楚掌控多雲環境的資料安全。收購完成後，Dig Security的方案將整合到Palo Alto用戶的Prisma Cloud平臺，提供幾近即時的資料防護，且其領導團隊也都將留任。</p> <p><a href="https://techcrunch.com/2023/09/26/palo-alto-networks-dig-talon/" target="_blank">9月《Techcrunch》首先報導</a>，Palo Alto即將收購這兩家安全廠商。值得一提的是，Palo Alto Networks是以色列人Nir Zuk於2005年成立，而Talon及Dig也都是由以色列人所創。兩樁收購案協議期間發生以色列和哈瑪斯武力衝突，但皆未受其影響。</p> </div></div></div>
2023/11/8 12:01作者林妍溱https://www.ithome.com.tw/news/159691
美禁令之前，傳百度AI晶片已從Nvidia轉向華為下單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/technology/baidu-placed-ai-chip-order-huawei-shift-away-nvidia-sources-2023-11-07/" target="_blank">《路透社》報導</a>，早在美國AI晶片禁令之前，百度已經將AI晶片訂單由Nvidia轉向華為。</p> <p>10月美國發布最新禁令，禁止一定運算速度以上的晶片輸入中國，直接影響Nvidia、AMD等業者。美國先是公布1個月緩衝期，但一周後又傳出美取消緩衝期立即生效。消息所至引發Nvidia股價大跌。</p> <p>周二路透社引述二消息人士報導，其實早在8月，中國網際網路巨人百度內部已經下令其AI系統文心一言（Ernie）使用的晶片，改向華為採購昇騰（Ascend）910B系列AI晶片。Ascend 910B晶片最大算力為256TFLOPS，相當於Nvidia A100。</p> <p>報導指出，百度為200臺伺服器採購了1,600顆華為AI晶片，其中60%約1,000顆已經在10月底前出貨，華為預計在年底交付所有晶片。另一名消息人士指出，這波下單金額約為6,200萬美元。</p> <p>雖然這波採購量並不算大，但報導指出，這顯示中國業者已逐漸有能力擺脫對美國技術的依賴。美國祭出晶片及軟體出口禁令後，華為轉而推動作業系統及晶片研發。外界拆解華為今年9月推出的旗艦手機Mate 60 Pro，使用的是自行研發的麒麟9000及鴻蒙4.0作業系統。</p> <p><a href="https://www.reuters.com/technology/huawei-unit-ships-chinese-made-surveillance-chips-fresh-comeback-sign-sources-2023-09-20/" target="_blank">路透社9月報導</a>，華為集團的海思半導體（HiSilicon）已研發自製內建於監控攝影機的晶片，並已出貨給客戶。</p> </div></div></div>
2023/11/8 10:56作者林妍溱https://www.ithome.com.tw/news/159690
微軟Xbox與Inworld AI合作打造基於AI的遊戲開發工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://developer.microsoft.com/en-us/games/articles/2023/11/xbox-and-inworld-ai-partnership-announcement/" target="_blank">微軟Xbox遊戲AI總經理Haiyan Zhang本周宣布</a>，已與專門以AI開發非玩家角色（Non-Player Character，NPC）的Inworld AI結盟，雙方簽署了多年合作協議，將共同建置一個多平臺的AI工具集，以協助創作者設計遊戲的對話，故事與任務，初期所聚焦的兩項工具為AI設計副手及AI角色運作引擎。</p> <p>NPC指的是角色扮演遊戲中非由玩家所控制的角色，雖然它們多半是遊戲中的陪襯，但<a href="https://inworld.ai/blog/future-of-npcs-report" target="_blank">Inworld的調查</a>顯示，儘管有84%的玩家認為NPC會讓遊戲變得不同，但有5成的玩家抱怨現在的NPC於遊戲中的對話經常重複，有3成說它們經常沒有辦法好好地回應玩家的行為，或是出現愚笨的回應。</p> <p>而Inworld的目標就是替這些NPC帶來更栩栩如生的樣貌，讓它從一個原本只遵循腳本的角色，轉變成一個可以依據玩家的行動及選擇而作出動態因應的對象，藉由在運作時編排不同的AI模型，令Inworld的角色引擎得以創造出具備豐富表情、手勢、對話與行動的NPC。</p> <p>Inworld表示，擴展角色引擎的功能將是雙方此次合作的重心，此一角色運作引擎將可整合到遊戲的客戶端，藉由動態生成故事、任務與對話來實現全新的遊戲敘事。至於AI設計副手則可協助遊戲設計師來探索創意，例如把提示轉換成詳細的腳本、對話樹與任務等。</p> <p>除了借用Inworld於AI角色引擎上的長才之外，微軟則將投入Azure OpenAI、Microsoft Research與Xbox團隊的資源。Zhang說，微軟的目標是替任何規模與平臺的遊戲開發者提供最先進的AI工具，協助他們突破現今的遊戲界限，因此在開發這些新工具時，將會同時與Xbox工作室及第三方工作室的創作者合作，儘可能地開發滿足其需求的工具，並激發對未來遊戲的想像。</p> </div></div></div>
2023/11/8 08:39作者陳曉莉https://www.ithome.com.tw/news/159688
Deno 1.38更新支援HTML文件生成與熱模組替換功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://deno.com/blog/v1.38#deno-doc-updates">Deno 1.38</a>已由開發團隊更新釋出，這個新版對deno doc指令進行改進，讓開發者可以快速生成靜態網站，同時新增熱模組替換功能，而JSX轉換速度在這個版本提升達7到20倍，另外，Deno 1.38嘗試以破壞性更新提高對Node.js專案的支援度，官方現在正尋求社群意見。</p> <p>在最新版本中，Deno強化了deno doc指令，官方提到，他們參考自Rust程式語言文件生成工具rustdoc。讓開發者可以使用deno doc —html指令，替專案生成靜態文件檔案，使開發團隊共享文件更為便捷。這個指令會替函式庫中每個匯出符號（Symbol）創建專屬頁面，並提供客戶端符號搜尋功能，以尋找特定的函式、變數和類型定義。這個功能即便在瀏覽器JavaScript被禁用的情況下，仍然可以正常運作。</p> <p>另外，deno doc現在支援多個入口點，讓文件生成不會再僅限於單一模組，也就是說，deno doc能夠接收多個模組檔案作為參數，並且替每一個模組生成文件，這項新功能使開發者能夠一次替多個相關聯的檔案生成整套的API文件，而非只能針對單個檔案進行處理。而且新加入的—lint旗標，還可以在生成文件的時候檢查潛在問題，把關文件的品質。</p> <p>Deno 1.38也引入了熱模組替換（Hot Module Replacement，HMR）功能，這是一個JavaScript開發功能，讓開發者可以在不刷新整個頁面，或是重新啟動應用程式的情況下，更新和替換應用程式的模組，進而提升開發流程效率，開發者現在可以使用deno run —unstable-hmr指令來使用該功能。</p> <p>官方解釋，—hmr旗標的運作方式就如同—watch，只是熱模組替換會嘗試更新檔案，而不是重新啟動整個程式。這項功能在許多框架會非常有用，像是當Deno同時用於後端和前端開發時，可通知瀏覽器檔案已經更改，並重新載入頁面，而且開發者也可以透過監聽熱模組替換事件，來處理相對應的更新操作。</p> <p>Deno推出新的JSX轉換功能，以最佳化伺服器端渲染效能。在轉換過程中，JSX語法會在編譯階段，被轉換成JavaScript程式碼，一般來說，因為JSX轉換過程會生成大量且生命周期短暫的物件，因此非常仰賴垃圾回收器。</p> <p>而新的JSX轉換機制，會在編譯時將JSX模板中的HTML部分序列化成靜態字串陣列，以避免創建大量短暫的物件，減少對垃圾回收器的依賴，還顯著降低頻繁創建和銷毀物件所產生的效能負擔，官方提到，這種方式讓渲染速度變得非常快。在測試中，可以觀察到渲染速度提升7到20倍，垃圾回收時間減少50％。</p> <p>在此次更新中，Deno還進一步強化對Node.js專案的相容性，提供一個實驗性功能讓開發者可以在Deno環境中使用他們所選擇的Npm套件管理器，也就是說，開發者可以直接在Deno環境安裝和執行Npm套件，且不需要進行額外設定。未來Deno可能會在偵測到專案存在package.json檔案時，預設啟用這項新行為。不過這將是一個破壞性變更，目前Deno團隊正在徵求社群的意見。</p> </div></div></div>
2023/11/8 08:45作者李建興https://www.ithome.com.tw/news/159686
Google雲端模擬監控新服務，可即時分析應用程式可用性與效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端向所有用戶開放新的監控服務—<a href="https://cloud.google.com/blog/products/devops-sre/synthetic-monitoring-in-cloud-monitoring-is-now-ga">模擬監控（Synthetic Monitoring）</a>，這是一種新型主動式監控功能，可以透過自動化Node.js腳本，模擬真實終端使用者與應用程式、服務的互動行為，進而對網頁應用、API和工作流程的可用性、一致性和效能進行測試。</p> <p>Google雲端的模擬監控服務會從世界各地的資料中心，對應用程式端點執行自動化測試程式碼，這些測試程式碼包括模擬應用程式內終端使用者路徑，像是登入網站、搜尋產品或是將商品放入購物車內等操作。</p> <p>當用戶配置模擬監控器時，便會創建一個Google雲端函式，該函式會執行Node.js程式碼，並透過Cloud Monitoring服務進行發布和集中管理。系統會收集和分析程式碼執行結果，總結應用的可用性、一致性和效能，當模擬監控服務偵測到任何問題，可以根據用戶設定的警示規則通知特定團隊介入，以便問題在真正影響終端使用者之前快速修復。</p> <p>用戶可以替任何URL和API端點配置模擬監控，能夠方便地使用預建置的程式碼，或是自行編寫的測試程式碼。官方提到，模擬監控服務高度可擴展，單一帳戶就可監控成千上萬個URL和API端點。</p> <p>Google在今年7月推出模擬監控預覽版，到了正式版本還加入一些實用新功能，像是用戶現可使用基礎設施即程式碼工具Terraform創建模擬監控器。另外，模擬監控功能也可以收集向外HTTP請求所生成的追蹤和日誌，以方便快速辨識效能問題。</p> <p>Google也在模擬監控中引入Mocha測試框架的UI模板，透過提供視覺化介面，使用戶更輕鬆地運用Mocha框架來創建和配置測試案例。UI模板讓不熟悉Mocha框架或是不想編寫複雜程式碼的用戶，可以快速生成測試腳本。</p> </div></div></div>
2023/11/8 08:49作者李建興https://www.ithome.com.tw/news/159687
【資安日報】11月7日，鎖定Atlassian Confluence重大漏洞的攻擊行動出現，駭客透過勒索軟體Cerbe…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">最近訊息導向中介軟體ActiveMQ、DevOps協作平臺Confluence分別出現重大漏洞CVE-2023-46604、CVE-2023-22518，如今皆有駭客對其發動勒索軟體攻擊、加密檔案，而造成災情。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">其中，值得留意的是針對Confluence的攻擊行動，因為過程中駭客不只利用最近才修補的漏洞，還串連另一個上個月揭露的重大漏洞進行攻擊，這代表受害組織兩個漏洞都還沒修補，而讓對方有機可乘。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【攻擊與威脅】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/critical-atlassian-confluence-bug-exploited-in-cerber-ransomware-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Cerber利用Atlassian Confluence重大漏洞發動攻擊</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/Internet-exposed Atlassian Confluence servers.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Internet-exposed%20Atlassian%20Confluence%20servers.png" style="width: 300px; float: right;" /></a>上週軟體開發服務業者Atlassian發布資安通告，指出旗下DevOps協作平臺Confluence存在重大漏洞CVE-2023-22518，影響所有版本的Confluence Data Center、Confluence Server，如今傳出有勒索軟體駭客將其用於攻擊行動。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">威脅情報業者GreyNoise提出警告，他們看到漏洞攻擊行動從11月5日開始出現，資安業者Rapid7則是在客戶的Confluence伺服器上，發現攻擊者不僅利用CVE-2023-22518，還利用另一個漏洞CVE-2023-22515（CVSS風險評為10分）進行權限提升，後續攻擊者從特定IP位址下載惡意酬載，導致Confluence伺服器感染勒索軟體Cerber。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">而對於該漏洞曝險的狀態，Shadowserver基金會指出，全球有超過2.4萬個<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">Confluence系統曝露於網際網路，但究竟有多少執行個體存在漏洞，仍有待釐清。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資料來源</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">1. <a href="https://twitter.com/Andrew___Morris/status/1721164901052268590">https://twitter.com/Andrew___Morris/status/1721164901052268590</a><br /> 2. <a href="https://www.rapid7.com/blog/post/2023/11/06/etr-rapid7-observed-exploitation-of-atlassian-confluence-cve-2023-22518/">https://www.rapid7.com/blog/post/2023/11/06/etr-rapid7-observed-exploitation-of-atlassian-confluence-cve-2023-22518/</a><br /> 3. <a href="https://dashboard.shadowserver.org/statistics/iot-devices/time-series/?date_range=30&vendor=atlassian&model=confluence&group_by=geo&style=stacked">https://dashboard.shadowserver.org/statistics/iot-devices/time-series/?date_range=30&vendor=atlassian&model=confluence&group_by=geo&style=stacked</a></span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://arcticwolf.com/resources/blog/tellmethetruth-exploitation-of-cve-2023-46604-leading-to-ransomware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體TellYouThePass針對Apache ActiveMQ重大漏洞下手</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">10月底訊息導向中介軟體ActiveMQ公告修補漏洞CVE-2023-46604，因CVSS風險高達10分而引起大家關注，繼資安業者Rapid7發現勒索軟體HelloKitty的攻擊行動，前幾天又有研究人員看到新的漏洞攻擊。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月3日資安業者Arctic Wolf指出，利用上述漏洞的攻擊行動很可能在10月10日就開始，他們最初看到有人在Windows Server伺服器上，部署惡意程式SparkRAT，此為Go語言打造的跨平臺木馬程式，會為受害伺服器建立指紋，並回傳C2。後來，有第二組人馬從另一個IP位址，進行兩起勒索軟體攻擊，其中一起就是Rapid7揭露的勒索軟體HelloKitty攻擊，這是針對Windows電腦而來的攻擊行動；而另一起攻擊行動則是針對Linux版ActiveMQ伺服器而來，攻擊者利用勒索軟體TellYouThePass的變種「HelloKittyCat」加密檔案。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">值得留意的是，這些勒索軟體攻擊行動，不僅攻擊來源IP位址相同，所使用的比特幣錢包位址也一樣，很有可能是同一組人馬所為。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://jaysbrickblog.com/news/bricklink-is-currently-down-due-to-a-suspected-hacking-cybersecurity-incident/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">樂高市集BrickLink被迫關閉，傳出賣家收到勒索訊息</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/LEGO-Bricklink-Hack-Message.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LEGO-Bricklink-Hack-Message.jpg" style="width: 300px; float: right;" /></a>根據樂高新聞網站Jay's Brick Blog的報導，樂高交易市集BrickLink於11月3日關閉，此消息發布之際，市集已停止服務近5個小時，當時業者僅透露正在著手調查異常活動。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">而根據該市集用戶於臉書社團、Reddit群組的討論，他們懷疑BrickLink遭遇網路攻擊事故，多個商店與賣家的帳號外洩，而這些賣家也張貼自己遭到勒索的訊息，駭客要求限時以加密貨幣支付贖金，否則將清除市集裡的商店及庫存等資料。攻擊者聲稱，他們挾持包含管理員在內的所有BrickLink帳號。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月6日，BrickLink經營團隊終於公開坦承現況，他們表示，有少部分帳號遭到未經授權存取。而對於該網站離線的原因，有人推測，很可能是因為駭客存取了數十個買家及賣家的帳號並用來行騙，BrickLink經營團隊為防止事態擴大，決定將網站關閉。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資料來源</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">1. <a href="https://www.reddit.com/r/Bricklink/comments/17n24zi/has_bricklink_been_hacked/">https://www.reddit.com/r/Bricklink/comments/17n24zi/has_bricklink_been_hacked/</a><br /> 2. <a href="https://twitter.com/BrickLink/status/1721279577262043605">https://twitter.com/BrickLink/status/1721279577262043605</a><br /> 3. <a href="https://www.reddit.com/r/Bricklink/comments/17n6mpq/public_service_announcement_regarding_bricklink/">https://www.reddit.com/r/Bricklink/comments/17n6mpq/public_service_announcement_regarding_bricklink/</a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/ace-hardware-says-1-202-devices-were-hit-during-cyberattack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">跨國聯鎖五金零售業者Ace Hardware系統遭遇網路攻擊，有駭客企圖騙取零售門市的帳號</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">10月30日跨國聯鎖五金零售業者Ace Hardware向客戶發出公告，表明在29日早上偵測到網路安全事故，影響該公司大部分的IT系統，包含倉庫管理系統、Ace零售行動助理ARMA、發票系統、客戶回鐀系統Ace Rewards、客戶關懷電話系統皆面臨中斷或暫停運作的情況。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">該公司後來於30日晚間發布新的公告，表示相關系統仍持續停擺，電子商城雖然能搜尋及檢視產品，但無法下單，此外，零售門市的POS系統與信用卡處理系統不受影響。資安新聞網站Bleeping Computer指出，Ace Hardware向零售門市透露，他們經營的1,400臺伺服器當中，有1,202臺遭到網路攻擊，該公司著手復原當中。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">但在此同時，有人對零售門市進行網路釣魚攻擊，有些攻擊者寄送釣魚郵件，要求在Ace Hardware系統恢復之前，將款項支付給替代網站；也有人聲稱是Epicor Software Corporation的代表，打電話給這些零售門市，要他們提供帳密資料進行故障排除。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【漏洞與修補】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/qnap-warns-of-critical-command-injection-flaws-in-qts-os-apps/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">威聯通揭露NAS作業系統的重大命令注入漏洞</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月4日臺灣NAS設備製造商威聯通（QNAP）發布資安通告，指出旗下的網路設備作業系統QTS、QuTS hero、QuTScloud存在重大漏洞CVE-2023-23368、CVE-2023-23369，這兩個都是作業系統命令注入漏洞，攻擊者有可能遠端執行命令，CVSS風險評分為9.8、9.0。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">值得留意的是，這兩個漏洞的影響範圍不同，CVE-2023-23368牽涉到QTS 4.5及5.0、QuTS hero h4.5及h5.0、QuTScloud c5.0.1，另一個漏洞則是影響QTS 4.2、4.3.3、4.3.4、4.3.6、5.1，以及多媒體管理應用程式Multimedia Console 1.4、2.1，多媒體串流附加元件500.0、500.1。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資料來源</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">1. <a href="https://www.qnap.com/zh-tw/security-advisory/qsa-23-31">https://www.qnap.com/zh-tw/security-advisory/qsa-23-31</a><br /> 2. <a href="https://www.qnap.com/zh-tw/security-advisory/qsa-23-35">https://www.qnap.com/zh-tw/security-advisory/qsa-23-35</a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.veeam.com/kb4508"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">IT監控解決方案Veeam ONE存在重大漏洞，攻擊者可遠端執行任意程式碼</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月6日Veeam針對旗下IT監控解決方案Veeam ONE發布資安通告，他們公布了4個漏洞，其中有2個是重大等級。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">根據CVSS風險評分的分數來看，最嚴重的是CVE-2023-38547，攻擊者能在未經授權的情況下，用於取得Veeam ONE配置資料庫的存取資訊，而有可能遠端於此系統搭配的SQL Server上執行任意程式碼，CVSS風險評分為9.9，影響11、11a、12版Veeam ONE。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">另一個重大漏洞是CVE-2023-38548，攻擊者若是能夠存取Veeam ONE的網頁版用戶端，並使用不具特殊權限的用戶身分，有機會收集Veeam ONE Reporting Service所使用的帳號之NTLM雜湊值，CVSS風險評分為9.8，影響12版Veeam ONE。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【其他新聞】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://thehackernews.com/2023/11/google-warns-of-hackers-absing-calendar.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google警告駭客濫用旗下Calender服務充當C2基礎架構</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.threatfabric.com/blogs/droppers-bypassing-android-13-restrictions"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意程式載入器SecuriDropper繞過新版安卓防護機制部署惡意程式</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://securelist.com/spyware-whatsapp-mod/110984/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">間諜軟體CaneSpy透過竄改的即時通訊軟體WhatsApp散布</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.avanan.com/blog/the-rise-in-qr-code-attacks"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">今年9月QR Code釣魚攻擊爆增587%</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159667"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">身分驗證管理業者Okta對10月遭駭事件完成調查，134位客戶資料被洩漏</span></span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>近期資安日報</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159660"><strong>【11月6日】濫用企業臉書帳號散布NodeStealer竊資軟體的攻擊行動再度出現，想看裸照的使用者是目標</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159633"><strong>【11月3日】訊息導向中介軟體ActiveMQ重大漏洞出現攻擊行動，駭客用於投放勒索軟體HelloKitty</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159609"><strong>【11月2日】伊朗駭客組織利用後門程式Liontail攻擊Windows伺服器，鎖定中東地區的政府機關與金融單位而來</strong></a></p> </div></div></div>
2023/11/7 18:02作者周峻佑https://www.ithome.com.tw/news/159685
整合網頁、郵件、Line互動，瀚錸推出產品送修流程追蹤系統
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/rma_dashboard-main2.jpg" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以代理Netgear網路設備著稱的瀚錸科技（NetBridge），基於多年來處理硬體設備報修的顧客服務經驗，今年5月首度發表自有品牌的軟體即服務（SaaS）型態的解決方案，名為「門市RMA小幫手」，鎖定的用戶，主要是系統整合商、3C產品銷售通路，以及IoT與工控設備製造商，為這些公司提供雲端服務型態的客服案件追蹤系統，協助他們能夠隨時隨地透過系統來掌握硬體設備案件狀態，客服人員與客服主管均可在此查詢維修進度與保固註冊，並能透過電子郵件和即時通訊軟體Line等兩大通訊管道，快速獲得案件最新進度，從而將這些資訊及早通知客戶。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RMA儀錶板1-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RMA%E5%84%80%E9%8C%B6%E6%9D%BF1-web.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RMA小幫手-進度紀錄介面-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RMA%E5%B0%8F%E5%B9%AB%E6%89%8B-%E9%80%B2%E5%BA%A6%E7%B4%80%E9%8C%84%E4%BB%8B%E9%9D%A2-web.jpg" style="width: 600px;" /></a></p> <p>所謂的RMA，全名是Return Material Authorization，也就是一般大家所熟知的產品退換貨處理，過往廠商端要進行這樣的顧客互動流程，以及掌握報修案件狀態，往往需要在ERP銷退貨系統與客服案件系統之間切換，才能了解全貌，相較之下，瀚錸開發的門市RMA小幫手現在提供單一的操作介面，廠商端的客戶服務人員與主管，不需要複雜的教育訓練就能快速上手，可透過這套系統提供的案件總覽儀表板，清楚看到各個RMA案件處於維修、檢測或返還的階段，系統會依據新增維修案件、到件檢測中、檢測完畢、原機返回中、更換新機返回中等5大狀態，呈現已收到、處理中、已完成的RMA案件。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RMA dashboard.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RMA%20dashboard.jpg" style="width: 600px;" /></a></p> <p>至於廠商客服人員與顧客之間的溝通上，瀚錸這套系統提供多種形式，例如，顧客目前可透過門市RMA小幫手的網頁介面進行報修，也能經由電子郵件獲得產品維修資訊，</p> <p><a href="https://s4.itho.me/sites/default/files/images/RMA產品檢修服務系統_檢測申請頁面-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RMA%E7%94%A2%E5%93%81%E6%AA%A2%E4%BF%AE%E6%9C%8D%E5%8B%99%E7%B3%BB%E7%B5%B1_%E6%AA%A2%E6%B8%AC%E7%94%B3%E8%AB%8B%E9%A0%81%E9%9D%A2-web.jpg" style="width: 600px;" /></a></p> <p>還可以整合廠商的即時通訊軟體Line@官方帳號，以此來收發維修資訊——顧客可透過Line報修與查詢產品送修進度，</p> <p><a href="https://s4.itho.me/sites/default/files/images/RMA_Line官方帳號-維修申請.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RMA_Line%E5%AE%98%E6%96%B9%E5%B8%B3%E8%99%9F-%E7%B6%AD%E4%BF%AE%E7%94%B3%E8%AB%8B.jpg" style="width: 200px;" /></a></p> <p>廠商的客服人員使用系統回覆進度時，也可以選擇同時傳送Line訊息通知顧客。瀚錸表示，他們正在開發專用App，未來可望增加更多互動管道。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RMA小幫手-發送通知.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RMA%E5%B0%8F%E5%B9%AB%E6%89%8B-%E7%99%BC%E9%80%81%E9%80%9A%E7%9F%A5.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RMA-通知管道-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RMA-%E9%80%9A%E7%9F%A5%E7%AE%A1%E9%81%93-web.jpg" style="width: 600px;" /></a></p> <p>對於送修硬體設備的顧客而言，如果需要查詢目前報修產品的維修進度，門市RMA小幫手提供網頁與Line等兩種查詢管道，能夠更直接、快速地檢視這些資訊，並且在此查閱產品保固註冊資訊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/rma產品檢修服務系統_送檢進度查詢-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/rma%E7%94%A2%E5%93%81%E6%AA%A2%E4%BF%AE%E6%9C%8D%E5%8B%99%E7%B3%BB%E7%B5%B1_%E9%80%81%E6%AA%A2%E9%80%B2%E5%BA%A6%E6%9F%A5%E8%A9%A2-web.jpg" style="width: 600px;" /></a></p> <p>如果案件狀態發生變化，門市RMA小幫手也會經由電子郵件與Line，將資訊更新的訊息傳送到顧客手上。為了方便更多地區的使用者與廠商進行這樣的服務互動，瀚錸預告未來將會擴大支援更多類型的即時通訊軟體，像是微信、WhatsApp。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/rma_line%E4%BA%92%E5%8B%95%E4%BB%8B%E9%9D%A2-web.jpg" style="width: 300px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>瀚錸RMA</strong><br /> ●原廠：瀚錸科技<br /> ●建議售價：定價10人版半年為27,000元（未稅），臺灣雲市集10人版半年優惠價為20,000元<br /> ●解決方案型態：SaaS雲端服務<br /> ●訊息通知管道：電子郵件、Line即時通訊<br /> ●可處理的工作項目：客戶服務人員方面，可進行報修申請、報修查詢、保固申請、保固查詢，產生整合硬體序號及維修進度報告；客戶服務主管方面，逾時案件燈號示警、總覽案件處理進度</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/11/7 17:39作者李宗翰https://www.ithome.com.tw/review/159653
銀行局揭雲端服務治理架構六大重點，未來將由銀行公會訂定相關自律規範
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會自八月發布新版上雲規範，並在近期發布問答集，銀行局副局長林志吉今日也在一場活動中表示，十月已請銀行公會訂定金融業使用雲端服務的自律規範，並要求至少包括六大重點，包括訂定治理政策及風險管理、對雲端業者的管理框架，和人才培訓等。此外，林志吉也提到，此次修法目的之一，是為了強化金融業的資料保全機制。</p> <p>俄烏戰爭開打後，資料保存的意識逐漸升高，而金管會去年發布的金融資安行動方案2.0中，也強調了核心資料保全機制的重要性。對此，林志吉表示，新版上雲規定因應這項政策，要強化金融業的資料保全機制，提高作業韌性，確保客戶資料保護、資訊安全及服務不中斷。因此，辦法中也開放金融業將資料備份在境外雲端，不須經過申請核准，若是將主系統或備援系統備置在境外雲端，才需要申請核准。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/S__48873861.jpg" style="width: 600px;" /></p> <blockquote><p>為了促進金融業強化資料保全機制，今年八月上路的新版上雲規範開放金融業將資料備份在境外雲端，不須經過主管機關申請核准。(攝影:李昀璇)</p> </blockquote> <p>針對雲端服務治理架構，林志吉表示，他們參考了美國聯邦金融機構檢查委員會(FFIEC)和新加坡銀行公會的相關規範，要求銀行公會訂定的自律規範應包含六大重點，分別為治理政策及風險管理、對雲端業者的管理框架、資安控管、人才培訓、雲端服務查核及重大事件通報及緊急應變處理。</p> <p>林志吉解釋，第一，金融業必須訂定雲端服務治理框架，並考量使用雲端服務對營運模式產生的影響，第二，對雲端業者的管理架構，應包括雲端業者負擔責任，和契約應明載事項等。此外，金融業也要對雲端服務做盡職調查，對雲端服務安全性進行持續監控，制定流程來識別、衡量、監控和控制與雲端服務相關風險，並提供人才培訓，培養人員具備資安維護意識。</p> <p>金管會也提供國外案例，供銀行公會參考。林志吉表示，以新加坡銀行公會的自律規範為例，業者盡職框架有包括應評估業者的財務、營運、聲譽等，而契約協議事項的內容，包括應載明資料儲存點、資料傳輸和業務持續性管理等事項。在持續風險評估和監督機制中，則要訂定管理雲、設計與保護雲，和運行雲的關鍵控制措施及控管指標。</p> <p>最後，林志吉也表示，金管會已函請銀行公會組成相關工作小組，作為金融機構採用雲端服務的溝通平臺，辦理包括研議自律規範及最佳實務作業守則、舉辦論壇、研討會等事項，分享雲端服務的使用經驗，並推動人才培訓。</p> <p></p> </div></div></div>
2023/11/7 16:11作者李昀璇https://www.ithome.com.tw/news/159672
三款AI PC筆電搶先看！英特爾首度在臺公開展示整合NPU的Core Ultra筆電，具備有支援70億參數Llama…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾雖然在12月14日才會推出內建NPU（神經處理單元）的行動AI處理器Core Ultra，但今日（11/7）英特爾臺灣創新日上英特爾搶先公開展示搭載Core Ultra處理器的AI PC筆電，除了之前公開的Acer筆電之外，新增Asus和MSI兩款新Core Ultra筆電。此外，現場也展示使用Core Ultra筆電執行各種生成式AI應用，包括圖像生成、文字及程式生成等。</p> <p>英特爾在9月底介紹最新款Core Ultra行動PC處理器，強調不只整合AI加速的NPU，提高生成式AI處理能力，還結合模組化、多晶磚設計等，提升其性能和降低功耗。在英特爾臺灣創新日上，英特爾公開展示了Acer、Asus和MSI三家廠商未來將推出搭載Core Ultra處理器的新款AI PC筆電。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20231107_004812379.jpg" style="width: 600px; height: 338px;" /></p> <p>其中，Asus現場展示兩項行動PC上的生成式AI相關應用，其中一項是文生圖應用，他們在筆電上安裝了開源繪圖工具GIMP，並使用OpenVINO的AI外掛程式為其加入了Stable Diffusion文生圖的功能，使用者只需輸入文字，就可以在編輯介面中自動生成符合文字敘述的場景和人物圖像，例如輸入「格魯特在公園跳舞」的英文字就可以生成相對應的圖像。此外，用生成式AI產出的圖片還可以透過另一個AI模型將圖片放大4倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20231107_004935030.jpg" style="width: 600px; height: 338px;" /></p> <p>執行70億參數的Llama 2大型語言模型推論則是另一項應用展示，這是以Llama 2 7B為基礎進行微調的繁中版本，並整合到Core Ultra平臺中，可以用繁中回答使用者的問題，或是根據提示生成一段程式碼。為了要能夠執行Llama 2 7B模型，該模型大小也經過壓縮，在確保維持原有正確性的前提下，將模型大小從6～7GB降到3～4GB，並使用OpenVINO進行優化。</p> <p>現場解說人員表示，由於 LLM模型是直接在筆電中執行，因此可以支援離線環境的使用。根據他們的說法，輸入一段文字後，平均每10秒內就會開始自動生成文字。不過，記者實際測試可能需要等待更長的時間。</p> <p>不過，Asus現場展示的Core Ultra筆電並沒有用NPU來執行Llama 2模型，而是僅先使用GPU來執行。現場英特爾解說人員表示，未來也可以使用NPU來執行這個任務。目前華碩和英特爾持續對該模型在筆電中的執行進行優化。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20231107_003902969.jpg" style="width: 600px; height: 323px;" /></p> <p>宏碁在現場展示用Core Ultra筆電執行圖像生成模型，可以在筆電桌面螢幕中自動生成動態立體的太空人桌布，還可以利用筆電前置鏡頭來追蹤使用者的臉部輪廓，讓桌布可以朝著使用者視角移動。此外，還可以利用工具將2D平面圖像轉為3D裸眼立體圖。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20231107_005539049.jpg" style="width: 600px; height: 338px;" /></p> <p>另一家筆電廠商MSI則是用Core Ultra筆電展示影片後製的相關應用，如使用Wondershare Filmora影片編輯軟體新增和預覽新特效及背景圖，過程全都使用NPU來執行。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20231107_025723895(1).jpg" style="width: 600px; height: 338px;" /></p> <p>現場展示人員展示了使用該款Core Ultra筆電執行XSplit視訊軟體的情況，其中使用NPU來執行任務，比起完全依賴CPU執行，可以有效降低CPU工作負載，從2成降到1成多。</p> </div></div></div>
2023/11/7 16:12作者余至浩https://www.ithome.com.tw/news/159673
ChatGPT每周用戶數達到1億，承諾替客戶支付侵權訴訟費用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI周一（11/6）舉行了<a href="https://www.youtube.com/watch?v=U9mJuUkhUzk" target="_blank">該公司史上的第一場開發者會議</a>，執行長Sam Altman於首場演說中表示，旗下的AI聊天服務ChatGPT每周已達到1億的活躍用戶，另也宣布將推出版權防護盾（Copyright Shield），替ChatGPT Enterprise用戶及使用該平臺API的開發者支付相關的侵權訴訟費用。</p> <p>OpenAI是在去年的11月30日正式發表ChatGPT，當時所採用的模型為GPT-3.5，今年3月升級至GPT-4.0，並於10月開始測試文字轉圖像模型DALLE-3。ChatGPT既有供大眾使用的免費版，也有個人用的付費版ChatGPT Plus及供企業使用的ChatGPT Enterprise。根據該公司的統計，全球約有200萬名開發者使用該平臺的API，Fortune 500中有超過92%使用OpenAI的產品，每周的活躍用戶已達到1億。</p> <p>此外，OpenAI推出了版權防護盾（Copyright Shield），承諾會在客戶面臨有關侵犯版權的訴訟時，將主動介入替客戶辯護，同時支付因此而衍生的費用。該機制將同時適用於ChatGPT Enterprise與API用戶。</p> <p>根據內容治理解決方案供應商<a href="https://www.acrolinx.com/blog/enterprise-insights-into-generative-ai-adoption/" target="_blank">Acrolinx今年針對86家名列Fortune 500的企業所進行的調查</a>，它們採用生成式AI服務最擔心的風險就是智慧財產權，占了29%，居次的是客戶安全與合規性，占了26.7%。</p> <p>值得注意的是，Acrolinx的調查也顯示，在這些大型企業中，只有4.7%尚不打算導入生成式AI，有37.2%正在使用生成式AI，並有58.1%已有相關計畫。</p> <p>為了移除客戶導入生成式AI服務的最大絆腳石，包括<a href="https://www.ithome.com.tw/news/158651" target="_blank">微軟</a>、<a href="https://www.ithome.com.tw/news/159289" target="_blank">Google</a>與<a href="https://www.businesswire.com/news/home/20230608005347/en/Adobe-Brings-Firefly-and-Express-to-Enterprises" target="_blank">Adobe</a>都已宣布，要替客戶承擔使用生成式AI服務所招致的侵權訴訟費用。</p> </div></div></div>
2023/11/7 16:19作者陳曉莉https://www.ithome.com.tw/news/159674
李開復的AI新創公司公布並開源雙語AI LLM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>前微軟亞洲研究院院長、創投家李開復創立的AI新創公司零一萬物（01.AI），本周宣布開發大型語言模型Yi-6B及34B並將之開源出來。</p> <p>李開復旗下的私募基金創新工場於今年3月，成立開發生成式AI包括大型語言模型（LLM）及聊天機器人的新創公司零一萬物（01.AI），如同中國版的OpenAI，他本人則兼任這家公司的執行長。在成立8個月後，<a href="https://www.bloomberg.com/news/articles/2023-11-05/kai-fu-lee-s-open-source-01-ai-bests-llama-2-according-to-hugging-face#xj4y7vzkg" target="_blank">李開復在與彭博的訪談中</a>公布名為Yi的首個LLM，包含60億及340億參數訓練的2個版本。<a href="https://github.com/01-ai/Yi" target="_blank">這個模型已透過GitHub開源給社群</a>。</p> <p>李開復並指出，零一萬物獲得阿里巴巴控股及其他幾家金主的資金後，目前市值已突破10億美元。</p> <p>根據<a href="https://huggingface.co/01-ai/Yi-34B" target="_blank">零一萬物在Hugging Face的介紹</a>，Yi是一組LLM，為上下文長度200K的基礎模型。它的特色之一是雙語（中／英文）模型。此外，雖然比起其他開源模型小得多，但根據Hugging Face列出的標竿測試，Yi-34B效能在數個指標例如在常識推理、閱讀理解及數學&編程測試中，效能比阿拉伯聯合大公國的Falcon-180B和Meta的Llama2-70B等大型模型還好。MMLU、CMMLU、C-Eval等測試中，也都拿下第一名位子。</p> <p>這家業者目標市場不只是中國，也放眼全球。<a href="https://techcrunch.com/2023/11/05/valued-at-1b-kai-fu-lees-llm-startup-unveils-open-source-model/" target="_blank">李開復說</a>Meta Llama 2是開原碼社群的黃金標準，而Yi模型想提供另一選項。零一萬物預計12個月、18個月將再公告1,000億到4,000億參數的LLM。</p> </div></div></div>
2023/11/7 14:40作者林妍溱https://www.ithome.com.tw/news/159670
OpenAI發表支援128K脈絡的GPT-4 Turbo，調降模型費用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/blog/new-models-and-developer-products-announced-at-devday" target="_blank">OpenAI周一（11/6）發表</a>了支援128K脈絡（Context Window）的GPT-4 Turbo預覽版，推出新的Assistants API，以及API的多種新功能，同時宣布降價，不管是新的GPT-4 Turbo，或是既有的GPT-3.5 Turbo與Fine-tuned GPT-3.5 Turbo 4K都比過去更便宜。</p> <p>繼於今年7月全面釋出GPT-4 API之後，OpenAI本周開始預覽更強大的GPT-4 Turbo。GPT-4 Turbo預覽版所使用的訓練資料最新日期為2023年4月，所支援的脈絡長度為12.8萬（128K）個Token，最大的輸出Token數量為4,096個。相較之下，GPT-4訓練資料的最新日期依舊是2021年9月，所支援的最長脈絡是32,768個Token。</p> <p>Token為GPT等基於Transformer架構之語言模型的基本概念，指的是模型可處理的文字單位，<a href="https://platform.openai.com/tokenizer" target="_blank">根據OpenAI的說明</a>，一個Token大約等於4個英文字母；至於脈絡（Context Window）長度指的則是GPT在生成答案時，所參考的歷史資料範圍，包括使用者曾經輸入的文字或是GPT曾產生的答案，此一功能令GPT得以根據使用者詢問的脈絡持續給出相關的答案，支援12.8萬個Token代表GPT-4 Turbo最多可容納或考慮逾300頁的文字。</p> <p>此外，GPT-4 Turbo改善了函數呼叫功能，可於單一訊息中呼叫多個函數，並提高了函數呼叫的準確性；強化對指令的遵循及對JSON模式的支援；新增seed參數來重製輸出；並預計於未來幾周釋出一新功能，以回傳GPT-4 Turbo及GPT-3.5 Turbo最有可能輸出之Token的Log Probability。</p> <p>所有付費開發者皆可於API請求中，加入gpt-4-1106-preview來預覽GPT-4 Turbo，正式版可望於數周後出爐。</p> <p>在釋出GPT-4 Turbo的同時，OpenAI也更新了GPT-3.5 Turbo，新版GPT-3.5 Turbo預設即支援16K的脈絡長度，亦改善指令遵循、對JSON模式的支援與並行函數呼叫。</p> <p>全新的Assistants API將協助開發者於自己的應用中，打造類似代理人的體驗，透過該API所打造的AI助理具備特定指令，利用額外的知識並可呼叫模型與工具來執行任務，包括Code Interpreter、Retrieval與函數呼叫等，所採用的技術與OpenAI同一天發表的GTPs產品一致。</p> <p>Assistants API的一項重要變更是具備持續且無限長度的執行緒，允許開發者將執行緒的狀態管理交給OpenAI，以克服脈絡長度的限制。Assistants API現為測試版，即日起開放所有開發者試用。</p> <p>OpenAI本周亦發表多種API的新用途，包括GPT-4 Turbo在Chat Completions API中可接受影像輸入，以用來生成標題、分析真實世界的圖像，或是閱讀具備圖形的檔案；或是透過Images API直接將DALL·E整合至應用程式或產品中；以及利用Text To Speech（TTS）API來生成人類品質的語音，它內建了6種語音與2種模型，有一模型可供即時使用，另一模型則針對品質進行了最佳化。</p> <p>OpenAI亦宣布調降GPT-4 Turbo、GPT-3.5 Turbo與Fine-tuned GPT-3.5 Turbo 4K的價格，現在GPT-4 Turbo每千個Token的輸入為0.01美元，輸出為0.03美元，價格分別是GPT-4的1/3及2/1；GPT-3.5 Turbo每千個Token的輸入價格為0.001美元，輸出為0.002美元，亦分別是先前16K模型的3/1與2/1；Fine-tuned GPT-3.5 Turbo 4K的最新價格是每千個Token的輸入為0.003美元，輸出為0.006美元，是之前的1/4及近1/3。</p> </div></div></div>
2023/11/7 14:58作者陳曉莉https://www.ithome.com.tw/news/159671
Slack執行長跳槽，接任人選下周公布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>協同平臺Slack執行長Lidiane Jones本周傳出跳槽約會程式開發商，母公司Salesforce可望在下周公布繼任執行長人選。</p> <p>約會程式開發商<a href="https://bumble-buzz.com/bumble-inc-making-the-next-move/" target="_blank">Bumble本周宣布</a>前執行長Whitney Wolfe Herd下臺，現任Slack執行長Lidiane Jones將於2024年1月繼任，負責將之推向IPO。</p> <p>Jones是<a href="https://www.ithome.com.tw/news/145805" target="_blank">2021年中Salesforce以277億美元收購Slack</a>以來，第二位離職的最高層主管。長久掌理<a href="https://www.ithome.com.tw/news/154572" target="_blank">Slack的共同創辦人</a><a href="http://www.ithome.com.tw/news/154572" target="_blank">Stewart Butterfield</a><a href="https://www.ithome.com.tw/news/154572" target="_blank">於今年初下臺</a>，由Jones接任。</p> <p>Salesforce對Slack的收購引發投資人和員工質疑兩者的相容性，Jones接手的任務之一是確保兩家公司的整合，並推出業務人員使用的Slack版本。Bumble的宣布意謂這位執行長在位僅12個月。</p> <p>Jones的離職似乎有點突然，<a href="https://www.bnnbloomberg.ca/slack-to-name-執行長-soon-after-second-executive-departure-in-less-than-a-year-1.1994741#" target="_blank">媒體引述Jones對內訊息報導</a>，她形容這項消息「超出預期」，因此她將留任到今年年底以確保交接順利，並說很快會宣布繼任人選。</p> <p><a href="https://techcrunch.com/2023/11/06/sources-confirm-that-salesforce-intends-to-announce-new-slack-ceo-next-week/" target="_blank">Techcrunch</a>則報導，消息人士透露下周就會公布。分析師相信，Slack可望會從內部現有主管或是已離職人士遴選下任主管，以確保引領Slack和Salesforce順利融合AI作為產品元素。</p> </div></div></div>
2023/11/7 12:01作者林妍溱https://www.ithome.com.tw/news/159669
OpenAI發表客製化AI服務GPTs
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/blog/introducing-gpts" target="_blank">OpenAI周一（11/6）發表</a>了ChatGPT的客製化版本GPTs，該公司不僅提供了許多客製化ChatGPT的樣本，像是解析所有的桌遊規則、如何談判，或是作為用戶的技術支援顧問等，也鼓勵用戶自行建立客製化ChatGPT，並將它們上傳到GPT Store供其它用戶使用，GPTs即日起支援ChatGPT Plus與ChatGPT Enterprise等付費用戶，並計畫於日後開放給更多用戶使用。</p> <p>OpenAI說明，GPTs讓每個人都能建立特定目的的ChatGPT，像是供公司或家人使用的，或是僅供自己使用的，而且完全不需要撰寫程式，只要給它指令與額外的知識，再賦予它各種能力，例如搜尋網路、製作影像，或者是分析資料等。</p> <p>目前<a href="https://openai.com/chatgpt#do-more-with-gpts" target="_blank">OpenAI所提供的樣本GPTs</a>除了桌遊規則、談判技術、技術支援之外，還包括寫作指導、依據食材制定食譜、製作貼紙或是數學教導等。另外也鼓勵用戶自行設計客製化的ChatGPT。</p> <p>其實<a href="https://www.ithome.com.tw/news/157894" target="_blank">OpenAI今年7月曾推出ChatGPT的客製化指令（Custom Instructions）功能</a>，許多重度用戶因此設計了供自己使用的提示與指令集列表，再將它們複製到ChatGPT以達到個人化的目的，而現在GPTs直接替用戶完成了這些工作。</p> <p>有了GPTs之後，OpenAI也將在本月推出GPT Store，允許任何經過驗證的開發者把自己所設計的GPTs上架與其它用戶分享，亦預設於未來幾個月建立收費機制。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1107-OpenAI%20DevDay-create%20custom%20versions%20of%20ChatGPT-GPTs-4.jpg" style="width: 600px;" /></p> <p>GPTs與ChatGPT最大的差異在於它可連結至真實的世界，像是連至特定的資料庫與電子郵件，並令它成為用戶的購物助理，例如用戶得以整合旅行清單資料庫，連結至電子郵件信箱，以方便執行網路訂購。</p> <p>ChatGPT Enterprise用戶則可建置企業內部的版本，不管是供特定專案、部門或是資料庫使用，有些早期試用者已利用它來設計行銷內容，協助客服回答客戶問題，或是幫助新來的工程師上任。</p> <p>對於ChatGPT Plus用戶來說，此次OpenAI還將所參考的資料日期從2021年9月擴充到2023年4月，且不必切換就能存取DALL·E文字轉圖像模型、執行瀏覽或進行資料分析，也能直接附加檔案以要求ChatGPT搜尋所附上的PDF或其它文件格式。</p> </div></div></div>
2023/11/7 11:03作者陳曉莉https://www.ithome.com.tw/news/159668
Okta對10月遭駭事件完成調查，134位客戶資料被洩漏
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>身分及存取管理服務業者Okta在10月公開確認自家服務遭駭的消息，現在已完成入侵事件調查。<a href="https://sec.okta.com/harfiles">Okta</a>確認攻擊者存取了Okta客戶支援系統內134位客戶相關檔案，其中一些檔案包含對話令牌（Session Token）的HAR（HTTP Archive）檔案，因此被攻擊者用於劫持並控制了5個客戶的Okta對話。</p> <p>Okta在事件發生時，將調查的焦點放在存取支援案例上，並且評估了與這些案例相關的日誌，而後由於Okta的合作夥伴，同為身分管理服務業者的BeyondTrust，提供了一個與攻擊者相關的IP位置給Okta，安全團隊便利用這個線索，確認了與受駭帳戶相關的額外檔案存取事件</p> <p>攻擊者利用Okta系統中的服務帳戶，執行了這次入侵行動，但Okta並無法完全確定服務帳戶的使用者名稱和密碼洩漏的途徑，僅能透過調查結果猜測。被攻擊者竊取的服務帳戶擁有查看和更新客戶支援檔案的權限，Okta針對這個服務帳號的使用狀態進行調查，安全團隊發現一名員工在Okta管理的筆電上，於Chrome瀏覽器登入了個人的Google帳號。</p> <p>也就是說，這個服務帳號的使用者名稱和密碼，被儲存到員工的個人Google帳戶中，Okta認為，是這名員工的個人Google帳戶或是個人裝置遭到入侵，而洩露了儲存在上面的服務帳戶憑證。</p> <p>在為期14天的調查期間，Okta沒有在其日誌中找到可疑的下載行為，Okta資安長David Bradbury解釋，當使用者開啟並查看支援案例相關的附件時，會產生一個特定的日誌事件類型和ID，但如果使用者在客戶支援系統中，直接導航至檔案頁籤，像是這次攻擊者的行為，在日誌事件系統中便會產生完全不同的紀錄ID。</p> <p>這個事件受害者之一的Cloudflare，在事件爆發後，指責Okta沒有採取恰當的措施，導致Cloudflare也受害。根據Okta所揭露的時間軸來看，1Password在9月29日就已經向Okta回報存在可疑的活動，BeyondTrust在10月2日也回報偵測到可疑活動，10月12日更有第3家的客戶向Okta回報。</p> <p>Okta從9月29日開始調查這些可疑活動，但一直到了10月13日BeyondTrust提供了IP線索，Okta才在10月16日鎖定之前未注意到遭竊取的服務帳戶。不過，Okta並沒有及時作出處理，使得Cloudflare在10月18日還被入侵，雖然Cloudflare沒有客戶資料被影響，但攻擊者的確使用竊取到的令牌存取了Cloudflare的系統。</p> <p>目前Okta採取的應對措施，包括停用受入侵的服務帳戶，並阻擋在Chrome登入個人Google帳戶，Okta也在客戶支援系統部署額外的監控規則，另外，現在Okta管理員對話令牌可以綁定網路位置，當系統偵測到網路變更，Okta管理員會被需要重新進行身分驗證，以進一步保護令牌安全性。</p> </div></div></div>
2023/11/7 08:19作者李建興https://www.ithome.com.tw/news/159667
【資安日報】11月6日，濫用企業臉書帳號散布NodeStealer竊資軟體的攻擊行動再度出現，想看裸照的使用者是目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">利用企業臉書帳號來散布竊資軟體<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">NodeStealer的攻擊行動，約莫半年前開始出現，迄今已發生數起。這些攻擊行動的共通點，在於駭客的主要目標，都是鎖定經營企業臉書帳號的使用者，或是想要牟取相關職務的人士。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">但在近期發生的一起攻擊行動裡，駭客改變了攻擊目標，針對一般的使用者下手，在短短10天內就有10萬人上當。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【攻擊與威脅】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bitdefender.com/blog/labs/nodestealer-attacks-on-facebook-take-a-provocative-turn-threat-actors-deploy-malvertising-campaigns-to-hijack-users-accounts/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客透過企業臉書帳號發布惡意廣告，意圖散布惡意軟體NodeStealer</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/AlbumUpdate.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AlbumUpdate.jpg" style="width: 300px; float: right;" /></a>資安業者Bitdefender揭露發生在10月中旬的惡意軟體NodeStealer攻擊行動，他們在10月10日至20日，看到攻擊者運用超過10個遭竊的企業臉書帳號，散布惡意廣告，內容帶有年輕女性的裸露照片，鎖定歐洲、非洲、加勒比海、18至65歲的男性而來，估計1天之內就有1.5萬次下載、這段期間累計下載達10萬次，其中，上當人數最多的族群是45歲以上的男性。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">駭客先是設置多個臉書個人頁面，這些帳號都能顯示上述的裸露照片，然後再假借提供一整組色情圖片的名義打廣告，表明他們更新了相簿內容，或是限時開放下載，引誘使用者上當。一旦使用者點選廣告內容，就有可能從程式碼儲存庫Bitbucket、GitLab，或是雲端檔案共享系統Dropbox下載壓縮檔，其內容包含名為Photo Album的.EXE檔案。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">使用者若是開啟這些執行檔，電腦就有可能被植入以.NET打造的竊資軟體NodeStealer，攻擊者不只能藉此控制受害者的臉書帳號、加密貨幣錢包，這次出現的新版竊資軟體還能入侵Gmail、Outlook帳號，並下載其他惡意程式。值得留意的是，為了避免有人舉報廣告而東窗事發，攻擊者同時最多只會上架5組廣告，並在一天之內就進行切換。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://blog.aquasec.com/loony-tunables-vulnerability-exploited-by-kinsing"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織Kising對雲端環境下手，利用的近期Linux漏洞發動攻擊</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資安業者Aqua Security揭露駭客組織Kising近期的攻擊行動，這些駭客先是透過PHPUnit漏洞CVE-2017-9841（CVSS風險評分9.8）入侵目標環境，成功後下載、執行Perl指令碼bc.pl，使用1337埠啟動反向Shell，然後透過手動測試的方式下達Shell命令，執行研究人員公開的概念性驗證（PoC）Python指令碼gnu-acme.py，確認GNU C程式庫glibc是否存在漏洞Looney Tunables（CVE-2023-4911，CVSS風險評分7.8）。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">接著，駭客觸發另一個PHP攻擊，此為透過混淆處理的JavaScript指令碼wesobase.js，為Web Shell後門程式，具備檔案管理、命令執行、網路互動、伺服器資訊收集、使用者代理（User Agent）等功能，並且能夠對敏感資料進行加解密處理。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">最終攻擊者會試圖列出雲端服務供應商（CSP）相關的帳密資料、Token，包含AWS Security Token Service提供的臨時帳密、EC2執行個體的IAM角色帳密資料，以及執行個體身分識別Token等。研究人員指出，這是他們首度看到該組織試圖收集CSP相關的帳密資料，代表著接下來有可能規畫更多類型的攻擊行動。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.reversinglabs.com/blog/iamreboot-malicious-nuget-packages-exploit-msbuild-loophole"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意NuGet套件濫用MSBuild元件部署惡意程式</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/Blog-Malicious-NuGet-Packages-Fi.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Blog-Malicious-NuGet-Packages-Fi.png" style="width: 300px; float: right;" /></a>資安業者ReversingLabs揭露惡意NuGet套件的攻擊行動，駭客在10月15日開始，透過拼寫錯誤（typosquatting）的手法，陸續上架惡意套件，例如：ZendeskApi.Client.V2、Betalgo.Open.AI、Forge.Open.AI。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">但有別大部分的NuGet惡意套件攻擊行動，這次駭客將惡意功能配置於套件的<packageID>，並指向build資料夾的檔案，而非像其他攻擊行動，多半會將惡意程式碼埋入初始化套件安裝流程的PowerShell指令碼。而這次駭客這麼做的目的，而駭客這麼做，起因在於NuGet今年8月推出的2.5版加入MSBuild的支援，一旦惡意套件執行，就會從外部的IP位址取得可執行檔，並透過新的處理程序執行。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">研究人員指出，這起攻擊行動從今年8月開始出現，駭客於10月中旬改變攻擊手法，針對MSBuild而來，代表攻擊者過程中不斷改良手法，使得行蹤更為隱匿。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bitsight.com/blog/unveiling-socks5systemz-rise-new-proxy-service-privateloader-and-amadey"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">上萬臺電腦遭殭屍網路Socks5Systemz擺布，被用於提供駭客代理伺服器之用</span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資安業者BitSight揭露名為Socks5Systemz的代理伺服器殭屍網路，駭客透過名為PrivateLoader及Amadey的惡意程式載入工具，將殭屍網路機器人注入電腦的記憶體內執行，並設置名為ContentDWSvc的服務，以便持續於受害電腦運作。此機器人酬載為32位元DLL程式庫，大小僅有300 KB，並透過網域產生演算法（DGA）與C2連接，傳送受害電腦的系統資訊。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">研究人員透過駭客利用TCP的1074埠，總共發現了1萬個遭到入侵的電腦，以及53臺用於基礎設施的伺服器，這些伺服器分布於法國、保加利亞、荷蘭、瑞典等歐洲國家。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/okta-breach-134-customers-exposed-in-october-support-system-hack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">10月下旬Okta客戶支援系統遭駭，該公司坦承有134個客戶資料外洩</span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">10月下旬身分驗證業者Okta證實客戶支援系統遭駭，近期該公司揭露受影響的範圍，以及整起事故的發生經過。<a href="https://sec.okta.com/harfiles">11月3日Okta指出</a>，駭客從9月28日至10月17日，對於該公司客戶支援系統進行未經授權的存取，這些外流的資料與134個客戶有關，影響不到1%客戶。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">而對於事件發生的原因，他們認為可能是其中一名員工的Google帳號遭駭所致，該名員工在公司的筆記型電腦上，於Chrome瀏覽器登入自己的Google帳號，並儲存了客戶支援系統的服務帳號及密碼。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">根據Okta透露的事件發生時間表，最早察覺異狀的是密碼管理解決方案業者1Password，他們在9月29日向Okta通報，但直到兩週後，身分驗證業者BeyondTrust於10月13日提供相關IP位址，Okta才確認是他們的客戶支援系統遭駭，並於17日停用前述的服務帳號、終止連線階段（Session），隔日於駭客入侵數個小時後，找出了該系統的漏洞。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【漏洞與修補】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/microsoft/new-microsoft-exchange-zero-days-allow-rce-data-theft-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露Exchange零時差漏洞，有可能被用於遠端執行任意程式碼、洩露敏感資訊</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">上週資安業者趨勢科技旗下的漏洞懸賞專案Zero Day Initiative（ZDI）指出，他們在9月份向微軟通報了4個Exchange零時差漏洞ZDI-23-1578、ZDI-23-1579、ZDI-23-1580、ZDI-23-1581（皆尚未登錄CVE編號），攻擊者在通過身分驗證的情況下，有可能用來遠端執行任意程式碼（RCE），或是洩露敏感資料，CVSS風險評分為7.1至7.5。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">其中最嚴重的是ZDI-23-1578，攻擊者若是成功利用，就有可能取得SYSTEM權限進行RCE攻擊。而對於這些漏洞，研究人員呼籲IT人員採取緩解措施，限制與Exchange應用程式的互動。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">值得留意的是，研究人員通報後，微軟承認這些漏洞的確存在，但是評估沒有立即修補的必要。而在研究人員公開揭露上述零時差漏洞後，該公司再度提出說明，認為ZDI-23-1578已在8月更新修補，其餘漏洞攻擊者必須事先取得電子郵件的帳密資料，不符合該公司立即提供服務的標準，將酌情在後續版本更新進行處理。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【資安產業動態】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159624"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟提出安全未來倡議，預告將翻修內部安全設計</span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月2日微軟揭露未來安全倡議（Secure Future Initiative），將從3個層面推動資安，包含：聚焦以人工智慧（AI）為基礎的資安防禦、強化基礎軟體工程以及宣導更強大的國際規範。這項倡議的其中一項重要支柱是人工智慧，原因是現今最大的網路安全挑戰，就是專業資安人才的嚴重缺乏，再加上攻擊速度、規模、複雜程度加深攻防不對等的情況，導致組織難以全面預防、破壞攻擊行動。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">另一方面，該公司也透露他們內部軟體工程的相關變更，包括軟體開發的轉型，採用新的身分保護，以及加快漏洞回應速度。該公司藉由自動化與AI改變開發方式，採用動態安全開發生命週期（dynamic Security Development Lifecycle），在撰寫程式、測試、部署及運作的過程中，把持續整合與持續交付（CI/CD）的理念延伸為持續整合防護（Continuously Integrate Protections）。再者，他們將加速自動化威脅模型的運用，於商業產品全面利用CodeQL進行程式碼分析，持續擴大C#、Python、Java、Rust等記憶體安全的程式語言採用。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資料來源</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">1. <a href="https://blogs.microsoft.com/on-the-issues/2023/11/02/secure-future-initiative-sfi-cybersecurity-cyberattacks/">https://blogs.microsoft.com/on-the-issues/2023/11/02/secure-future-initiative-sfi-cybersecurity-cyberattacks/</a><br /> 2. <a href="https://www.microsoft.com/en-us/security/blog/2023/11/02/announcing-microsoft-secure-future-initiative-to-advance-security-engineering/">https://www.microsoft.com/en-us/security/blog/2023/11/02/announcing-microsoft-secure-future-initiative-to-advance-security-engineering/</a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【其他新聞】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/ace-hardware-says-1-202-devices-were-hit-during-cyberattack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">跨國聯鎖五金零售業者Ace Hardware系統遭遇網路攻擊，多組人馬蜂擁而至，企圖騙取客戶帳號</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/american-airlines-pilot-union-hit-by-ransomware-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國飛行員聯盟證實遭遇勒索軟體攻擊，部分系統已遭到加密</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.hackread.com/russia-insurer-rosgosstrakh-hacked-data-sold/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯大型保險業者Rosgosstrakh遭駭，駭客兜售400 GB內部資料</span></span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.hackread.com/lego-marketplace-bricklink-hacked-website-down/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">樂高市集BrickLink傳出遭到網路攻擊而被迫關閉，用戶收到勒索訊息</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://arstechnica.com/security/2023/11/flipper-zero-gadget-that-doses-iphones-takes-once-esoteric-attacks-mainstream/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">有人濫用滲透測試裝置Flipper Zero對iPhone展開攻擊</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>近期資安日報</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159633"><strong>【11月3日】訊息導向中介軟體ActiveMQ重大漏洞出現攻擊行動，駭客用於投放勒索軟體HelloKitty</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159609"><strong>【11月2日】伊朗駭客組織利用後門程式Liontail攻擊Windows伺服器，鎖定中東地區的政府機關與金融單位而來</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159586"><strong>【11月1日】研究人員揭露專門供應網路罪犯使用的短網址服務供應商Prolific Puma，駭客經營超過4年未被發現</strong></a></p> </div></div></div>
2023/11/6 17:13作者周峻佑https://www.ithome.com.tw/news/159660
金管會公布新版上雲問答集，更清楚界定上雲申請的重大性和消金業務系統定義
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會近期公布新版委外上雲問答集，詳細說明了重大性定義和消金業務資訊系統定義，並公布了其他經核可的委外項目名單。</p> <p>針對重大性的判斷因素，問答集中也舉例考量項目，包括委外作業成本和委外作業涉及的業務是否具時效關鍵性等。此外，金管會提醒，原不屬於重大委外項目的事項，也可能會在委外服務規模增加、委外事項性質改變，或在同一受委託機構新增委外服務或進行重大變更時，變為具有重大性。</p> <p>而針對消金業務資訊系統定義，則包括消金核心業務系統、信用卡業務系統、金融商品銷售業務系統、消金授信管理系統、電話銀行服務、催收作業管理系統及信託業務管理系統等。其中，消金核心業務系統包含個人客戶存款、放款、匯款業務、相關會計及帳務處理系統，金融商品銷售業務系統則包含各項投資理財業務、客戶關係管理和客戶分級管理系統。</p> <p>此外，涉及重大性消金系統委託至境外除了需要經過核准，也要在境內將客戶重要資料留存備份，例如，存款、授信、信用卡、匯款及投資等客戶重要資料。</p> <p>由於新版上雲辦法開放金融機構在非一般委外項目有首例核定通過時，可以逕行辦理，因此問答集中也公布首例名單，目前有兩項，分別為「企業客戶商務信用卡盜刷監控作業」和「企業客戶洗錢防制交易監控作業」，包括「企業客戶洗錢防制交易監控之判讀作業」及「企業客戶姓名及名稱檢核之判讀作業」。金管會表示，未來也會以修正問答集的方式新增核定的委外作業事項。</p> <p>針對金融機構是否能以雲端業者提供的認證辦理查核報告，金管會開放金融機構在查核雲端服務的資訊底層架構時，可使用雲端業者提供的相關資安認證，來辦理查核報告。不過，金融機構還是要針對委外項目和雲端服務應用情形，以風險基礎方法進行查核並產出報告。</p> <p>此外，雖然金控不適用新版委外辦法，不過，問答集中點出，金控若將彙整子集團資料的資料庫委託至境外雲端，雲端業者應該採取不低於委外管理的資安標準和相關控管，並經過董事會決議通過。若資料庫涉及重大性消金業務，金控須事先函請金管會備查。</p> <p></p> </div></div></div>
2023/11/6 18:49作者李昀璇https://www.ithome.com.tw/news/159666
【資安週報】2023年10月30日到11月3日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一週漏洞利用消息中，有兩個新揭露的已知漏洞隨即遭攻擊者鎖定的消息，持續提醒企業及時修補的重要性。</p> <p>（一）Apache軟體基金會的訊息導向中介軟體ActiveMQ，在10月25日釋出新版修補CVSS風險高達10分的漏洞CVE-2023-46604。相隔兩日，資安業者發現勒索軟體HelloKitty的駭客開始鎖定此一已知漏洞，針對尚未修補該漏洞的企業發起攻擊行動。<br /> （二）F5在10月27日針對應用程式交付平臺BIG-IP修補兩個漏洞，分別是CVE-2023-46747與CVE-2023-46748，到了10月30日，F5更新公告指出，修補釋出後發現開始有攻擊者在攻擊行動中利用這兩個已知漏洞。</p> <p>其他重要漏洞修補消息中，包括適用於K8s環境的Nginx Ingress控制器有多個漏洞修補，以及Atlassian針對DevOps協作平臺Confluence的重大漏洞修補，已有研究人員與業者示警應盡速修補。</p> <p>在資安防禦進展上，本週我們關注到有多個焦點，統整為以下五大範疇：漏洞評分標準、攻擊手法解析、勒索軟體防範、AI安全法規推動，以及科技大廠宣布調整資安應對策略。<br /> ●FIRST推出新版漏洞風險評分系統CVSS 4.0：這是2019年6月CVSS 3.1版推出後的重大改版，新版分數呈現上不只有列出基本分數的CVSS-B，還加上威脅評分的CVSS-BT、加上環境評分的CVSS-BE，以及統合3種分數的CVSS-BTE。<br /> ●MITRE發布第14版ATT&CK：當中指出隨著攻擊者不斷發展對人性弱點（human vulnerabilities）的利用，因此這次版本擴大到這類非技術攻擊面，例如：金融竊盜的T1657、T1656的模擬冒充、T1598.004的魚叉式網路釣魚語音。<br /> ●AI安全持續受全球政府關切：10月30日美國總統拜登簽署首個AI行政命令，11月1日英國號召的首屆AI安全高峰會（AI Safety Summit）舉行，多國簽署布萊切利宣言，並就人工智慧最前線（Frontier AI）所帶來的機會與風險達成共識。<br /> ●對抗勒索軟體威脅仰賴全球合作：美國主導的國際反勒索軟體高峰會（CRI）今年邁入第3屆，制訂首個CRI聯合政策聲明，成員數目亦達到50個，新增國際刑警組織，以及埃及、希臘、約旦等12國。<br /> ●面對持續升溫的網路威脅，微軟宣布即日起將採新應對措施：該公司提出Secure Future Initiative（SFI）的未來安全倡議，將從三大方面著手，發展基於AI的安全防禦、落實安全軟體開發，以及呼籲制定更全面性的國際資安規範。</p> <p>在威脅事件焦點方面，近日有兩起受關注，一是航空製造業龍頭波音證實遭遇網路攻擊，導致零件配送網站服務中斷，另一是身分驗證解決方案業者Okta再傳資料外洩，起因為第三方供應商遭駭。</p> <p>我們也特別注意到一個新的威脅態勢，近期有資安業者揭露網路犯罪供應鏈的分工是越來越細緻，不只是前幾年常提到的「初始入侵管道掮客（Initial Access Broker）」，就連攻擊者使用的短網址也有專門供應商服務，並指出這樣的組織至少已存在4年之久，註冊上萬網域來提供攻擊行動的短網址服務。</p> <p>另一個無法忽略的狀況是，今年早先發生的資安事件，至今仍持續有相關消息傳出，顯示後續影響仍大。例如，近期有多家業者傳出的資安事件，起因公布是先前MOVEit Transfer零時差漏洞攻擊所導致；有加密貨幣竊盜事故，研究人員指出起因疑與先前密碼管理解決方案LastPass資料外洩有關；此外，針對2020年SolarWinds供應鏈攻擊事故，美國證券交易委員指控該公司蓄意隱瞞。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/159548"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月30日】有人在2016年就利用永恆之藍漏洞，打造惡意軟體StripedFly，迄今仍有數萬臺電腦遭到感染</span></strong></a></h3> <p>由美國國家安全局（NSA）掌握的SMB v1漏洞「永恆之藍（EternalBlue）」、於2017年4月被駭客組織影子掮客（The Shadow Brokers）公布，1個月內引發勒索軟體WannaCry大規模感染的事故，但有研究人員指出，有其他駭客也利用這項漏洞打造惡意程式，並暗中活動超過5年，直到今年都還有數萬臺電腦受害。</p> <p>值得留意的是，這些駭客發起惡意軟體攻擊的時間最早可能在2016年4月，比影子掮客聲稱於同年8月竊得相關資料的時間還要早。</p> <h3><a href="https://www.ithome.com.tw/news/159575"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月31日】曝露於GitHub程式庫的帳密資料成為駭客下手的對象！有人從中收集AWS的帳密，將EC2實體拿來挖礦</span></strong></a></h3> <p>過往不斷有研究人員對開發者提出警告，將專案所需存取的帳密資料寫入程式碼，將有可能帶來危害。而最近研究人員發現的挖礦攻擊行動EleKtra-Leak，就是這樣的典型例子，攻擊者從公開的GitHub儲存庫收集AWS帳密資料，再趁機奪取這些用戶花錢租用的EC2執行個體服務進行挖礦。</p> <p>特別的是，駭客利用這些帳號挖礦之後，竟然把它們列入黑名單，這樣的手法可說是相當少見。</p> <h3><a href="https://www.ithome.com.tw/news/159586"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月1日】研究人員揭露專門供應網路罪犯使用的短網址服務供應商Prolific Puma，駭客經營超過4年未被發現</span></strong></a></h3> <p>網路攻擊分工越來越精細，這兩年常出現「初始入侵管道掮客（Initial Access Broker）」，就是專門收集可存取特定組織的帳密資料的角色。但如今，就連攻擊者所使用的短網址，也有專門提供服務的供應商。</p> <p>近期有研究人員揭露名為Prolific Puma的惡意轉址服務供應商，並指出該組織至少經營超過4年未被發現。</p> <h3><a href="https://www.ithome.com.tw/news/159609"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月2日】伊朗駭客組織利用後門程式Liontail攻擊Windows伺服器，鎖定中東地區的政府機關與金融單位而來</span></strong></a></h3> <p>伊朗駭客攻擊中東國家的情況越來越頻繁，最近出現了新的駭客Scarred Manticore，他們主要針對目標組織的Windows伺服器而來。</p> <p>但值得留意的是，這些駭客的惡意程式與C2連線的管道相當特別，竟是透過作業系統底層的驅動程式來進行，這種手法使得受害組織難以察覺他們的攻擊行動。</p> <h3><a href="https://www.ithome.com.tw/news/159415"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月3日】訊息導向中介軟體ActiveMQ重大漏洞出現攻擊行動，駭客用於投放勒索軟體HelloKitty</span></strong></a></h3> <p>前幾天ActiveMQ漏洞修補消息一出，當時有研究人員認為後續可能會引發危機，因為此軟體在企業環境做為訊息代理的角色，一旦漏洞遭到利用，將有可能導致訊息遭到攔截、工作流程中斷、資料外流，甚至能讓攻擊者在內部網路環境進行橫向移動。</p> <p>現在有資安業者證實這樣的情況，並指出駭客想要發動勒索軟體攻擊，來向企業組織進行勒索。</p> <p>值得留意的是，駭客在修補程式發布的兩天後就開始進行漏洞利用，這也代表組織緩解漏洞的態勢相當險峻。</p> <h3> </h3> <h3> </h3> </div></div></div>
2023/11/6 12:30作者羅正漢https://www.ithome.com.tw/news/159646
Google揭露Play上首批通過獨立安全稽核的VPN程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2023/11/more-ways-for-users-to-identify.html" target="_blank">Google上周揭露了</a>Google Play上首批通過行動程式安全評估（Mobile App Security Assessment，MASA）的<a href="https://appdefensealliance.dev/directory?category=vpn&hl=zh-tw" target="_blank">8款VPN程式</a>，這些程式的資料安全項目中皆已出現MASA標章，而且使用者於Google Play上搜尋VPN程式時，Google還特別替這些通過獨立安全稽核的VPN程式祭出了橫幅廣告，提高其曝光度。</p> <p>為了強化行動程式的安全性，Google在2019年11月<a href="https://www.ithome.com.tw/news/134075" target="_blank">籌組了應用程式防護聯盟</a>（App Defense Alliance），與資安業者結盟以快速尋找Google Play上的有害程式並阻止其發布，該聯盟也在2022年初推出MASA，鼓勵開發者主動提交自己的行動程式，基於OWASP行動程式安全驗證標準（MASVS）進行獨立安全稽核，通過稽核的程式即可獲得MASA標章。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1106-Google%20play-VPN-Independent%20security%20review-%E7%8D%A8%E7%AB%8B%E5%AE%89%E5%85%A8%E6%80%A7%E5%AF%A9%E6%9F%A5.png" style="width: 400px;" /></p> <p>或許是推動MASA的成效不彰，上周Google宣布將透過橫幅廣告來突顯那些取得MASA標章之特定領域的程式，首作即是處理大量且敏感用戶資料的VPN程式。</p> <p>一旦使用者於Google Play上搜尋VPN程式，率先映入眼簾的除了贊助式廣告之外，就是寫著「獨立安全稽核」（Independent Security Review）的橫幅廣告，點擊更多資訊（Learn More）之後便可直接連結至一個目錄，聚集了所有具備MASA標章的VPN程式。</p> <p>目前已取得MASA標章的VPN程式包括Aloha Browser + Private VPN、ExpressVPN、Google One、NordVPN、Private Internet Access VPN、SkyVPN、Tomato VPN與vpnify，而它們所通過的安全稽核涉及架構與設計、資料儲存與隱私、密碼的使用、身分驗證與會話管理、網路通訊、平臺互動及程式碼品質等。</p> <p>根據<a href="https://appdefensealliance.dev/masa/faq?hl=en" target="_blank">MASA的說明網頁</a>，審核一個程式大約需要10天，費用依據不同的實驗室而可能落在3,000至6,000美元之間，MASA標章的期限則是一年。</p> </div></div></div>
2023/11/6 13:01作者陳曉莉https://www.ithome.com.tw/news/159652
研究人員使用錯誤中學習的人類學習法來訓練AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟亞洲研究院、北京大學、西安交通大學<a href="https://arxiv.org/abs/2310.20689" target="_blank">研究人員提出名為從錯誤中學習（Learning from Mistake，LeMA）的AI訓練方法</a>，模仿人類學習知識的過程，來改進AI推理能力。</p> <p>現今大型語言模型在自然語言處理（NLP）任務，特別是解決需要複雜思維鏈（chain-of-thought，CoT）推理的數學難題任務，例如OpenAI GPT-4和Google PaLM-2在一些數學題目資料集如GSM8K及MATH都有不錯表現。但開源LLM如LLaMA-2及Baichuan-2等則有待加強。為了提升開源LLM的CoT推理能力，研究團隊提出LeMA方法。這種方法是模仿人類，像是學生解決數學習題的過程：他們使用的是回溯式學習，即從錯誤中學習，以改進其推理能力。</p> <p>因此，研究人員的方法是生成一對包含錯誤與修正版資料的資料對（稱為修正資料），再以此資料來微調LLM。為取得修正資料，研究人員蒐集了5個不同LLM（包括LLaMA及GPT系列）的錯誤答案和推理途徑，再以GPT-4為「訂正者」提供修正。修正包含三類資訊，分別是辨識出原有推理的錯誤步驟、解釋推理為什麼錯，最後修正錯誤、以及說明如何修正原方法以獲得最後正確答案。之後由人類評估夠好的修正答案再用以微調LLM。</p> <p class="rtecenter"><a href="https://arxiv.org/abs/2310.20689v1" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1106-LEMA-AI%20learning%20method-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-arXiv-A.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><a href="https://arxiv.org/abs/2310.20689v1" target="_blank"><span style="color:#696969;">圖片來源_arXiv:2310.20689 [cs.CL]</span></a></span></p> <p>研究人員以2種問題資料集（GSM8K及MATH）實驗LeMa方法對5個開源LLM的效果，並比較只以CoT資料集來微調LLM的效果。結果顯示，以LLaMA-2-70B為例，它在兩種方法下，在GSM8K的準確率分別為83.5%及81.4%，在MATH則分別為25.0%及23.6%。此外，他們也實驗了WizardMath及MetaMath二種專門領域LLM的準確率，在GSM8K資料集測試中，獲致84.2%及85.4% pass@1 準確率，而MATH資料集則達27.1%及26.9%，這個成績超越非執行（non-execution）開源模型在同樣任務中的表現。</p> <p>此外，他們發現，在同樣資料量的訓練集下，LeMA方法也比純CoT微調來得好。此外，整合CoT資料及修正資料，微調效果更優於單一資料來源的微調結果。</p> <p>研究人員已將LeMA的程式碼、模型、資料<a href="https://github.com/microsoft/CodeT" target="_blank">公開在GitHub上</a>。</p> </div></div></div>
2023/11/6 11:27作者林妍溱https://www.ithome.com.tw/news/159648
NFT市集OpenSea裁員50%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>曾經盛極一時的全球最大NFT市集<a href="https://twitter.com/dfinzer/status/1720516605933756514" target="_blank">OpenSea上周宣布</a>將縮減組織並朝向OpenSea 2.0邁進，而根據<a href="https://decrypt.co/204371/opensea-slashes-nft-marketplace-staff-50-layoffs" target="_blank">《Decrypt》</a>的報導，OpenSea裁撤了50%的員工。</p> <p>2017年創立的OpenSea為非同質化代幣（Non-Fungible Token，NFT）的交易平臺，根據<a href="https://dappradar.com/dapp/opensea?range-ha=all" target="_blank">DappRadar</a>的追蹤資料，OpenSea的交易高峰出現在2022年1月，當時該平臺每天促成逾10萬次交易，交易金額超過1億美元，<a href="https://www.ithome.com.tw/news/148738" target="_blank">當時增資的市值</a>估價高達133億美元，但同年OpenSea便隨著NFT的熱潮褪去而開始走下坡，到了去年底，其單日交易量已不到1萬次，交易金額更萎縮至低於50萬美元。</p> <p><a href="https://www.ithome.com.tw/news/151959" target="_blank">去年7月</a>OpenSea便曾裁撤20%員工，這次再縮編50%，員工人數估計只剩100人左右。</p> <p>OpenSea創辦人暨執行長Devin Finzer表示，現在OpenSea打算重新構想該公司的經營文化、產品與技術，將以OpenSea 2.0為中心來重新定位團隊，企圖大幅升級產品，包括底層的技術、可靠性、速度、品質與經驗，未來也將持續公開測試OpenSea 2.0。</p> </div></div></div>
2023/11/6 11:41作者陳曉莉https://www.ithome.com.tw/news/159650
X公布AI聊天機器人Grok，強調比別人有幽默感，什麼問題都回答
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>原名推特的X正式加入了聊天機器人戰局，<a href="https://x.ai/" target="_blank">上周宣布聊天機器人Grok開放美國用戶試用</a>，強調Grok的回應具有別的聊天機器人沒有的幽默感，而且別人拒絕回答的問題，它也會回答。</p> <p>X技術長暨幕後老闆<a href="https://twitter.com/elonmusk/status/1720645900471554146" target="_blank">馬斯克（Elon Musk）上周五公布</a>Grok已經結束早期Beta測試，<a href="https://twitter.com/elonmusk/status/1720635518289908042" target="_blank">Grok未來會提供給月費16美元的X Premium Plus訂閱戶</a>，且Grok將以內建在X App及獨立App兩種形式出現。</p> <p>目前Grok提供美國地區部分用戶測試。有興趣的用戶可先加入<a href="https://grok.x.ai/" target="_blank">等候清單</a>。</p> <p>根據X介紹，Grok靈感來源是英國作家Douglas Adams的科幻小說《銀河便車指南》（Hitchhike’s Guide to the Galaxy），企圖回答所有問題，甚至提供建議。Grok相較其他模型的一大優勢是可以從X平臺存取即時資訊。此外，X作為聊天機器人的後進者，不只滿足於提供精確資訊，而是在其回應中加入一點機智及不羈精神，強調帶有幽默感。它甚至連大部分AI系統拒絕回答的辛辣問題也都會回答。</p> <p class="rtecenter"><a href="https://twitter.com/elonmusk/status/1720660977786433810" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1106-X-chatbot-Grok-600.png" style="width: 600px;" /></a></p> <p><a href="https://twitter.com/elonmusk/status/1720660977786433810" target="_blank"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源_Elon Musk via X</span></span></a></p> <p>這也是馬斯克<a href="https://www.ithome.com.tw/news/156198" target="_blank">年初簽署一份宣言</a>，呼籲OpenAI等業者暫停開發進階AI語言模型，及<a href="https://www.ithome.com.tw/news/157758" target="_blank">7月宣布旗下AI公司xAI</a>後，這位科技大亨對AI的投入成果。</p> <p>Grok底層大型語言模型Grok-1，是<a href="https://www.ithome.com.tw/news/157758" target="_blank">xAI團隊</a>四個月訓練的結果。xAI 7月問世後，團隊就訓練330億個參數的原型LLM Grok-0，強調僅用了Meta LLaMA 2一半的訓練資源就達到其能力。9月份xAI就完成了Grok-1的訓練，它在標竿測試HumanEval編程任務及MMLU中，分別達到63.2%及73%。</p> <p>X引用GSM8k、MML、HumanEval、MATH的四項標竿測試數據，顯示Grok-1表現都超越OpenAI的GPT-3.5，及Inflection-1，4項測試都比它優異的只有訓練資料及資源都大得多的GPT-4。不過Google Palm2及Anthropic Claude 2也都在3個項目中超越Grok-1。</p> <p>X強調Grok-1訓練過程以明確而可驗證的情境來發展理解力，以確保AI模型的安全性、穩定性，現在也具理解上下文（context）能力以提供相關答案，不過目前只支援文字輸入／輸入。團隊目前正在強化Grok-1應需求發現及檢索資訊、防止惡意濫用的能力，以及視覺及聲音輸出／輸入的支援能力。X公司說新功能會於未來幾個月內陸續公布。</p> </div></div></div>
2023/11/6 11:59作者林妍溱https://www.ithome.com.tw/news/159651
Google將推Android新API強化嵌入式媒體信任驗證機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布將推出一項新的實驗性<a href="https://android-developers.googleblog.com/2023/11/increasing-trust-for-embedded-media.html">Android WebView Media Integrity API</a>，此API的主要功能，是要簡化並加強現有嵌入式媒體信任機制。媒體供應商可以透過自訂一系列完整性回應，讓嵌入應用程式安裝自任意應用商店的情況下，都能確保串流媒體可以在安全且受信任的環境中運作。</p> <p>這個新API是Google之前的網頁環境完整性（Web Environment Integrity）提案的後續，而之所以Google會有這一系列動作，原因在於要改善Android WebView API在安全性和隱私性的問題。Android開發人員要在其應用程式中顯示網頁並嵌入媒體，便可以使用WebView API，藉由靈活的UI控制和進階配置選項，開發者可以在應用程式無縫地顯示網頁內容。</p> <p>雖然這帶來很大的靈活性，但Google提到，這個方法可能被濫用，甚至用於詐騙目的。因為WebView API讓開發人員可以存取網路內容，並攔截或是修改與使用者的互動，雖然當應用程式嵌入自有網頁內容時非常方便，但是當嵌入的資源來自第三方，就無法阻擋不良行為者修改內容，並扭曲與使用者的互動。</p> <p>在7月的時候，Google Chrome團隊提出網頁環境完整性API提案，允許網站透過數位簽證令牌，用以確認客戶端的硬體和軟體堆疊符合特定標準，雖然目的也是要讓網路變得更加隱私且安全，但是API提案一出，便引來社群強烈反彈，因為該提案內容與數位版權管理（DRM）有許多相似之處，普遍被認為可能限制通用運算，並且對網路的開放性造成威脅。</p> <p>而Google在聽取社群意見之後，決定放棄網頁環境完整性提案，並且改提出Android WebView Media Integrity API。相較之下，新API範疇更為限縮，僅針對應用程式中嵌入的WebView，透過擴展現有功能，在具有Google行動服務（GMS）的Android裝置上，針對像是串流影片和音訊等嵌入式媒體，沒有計畫擴及Android WebView之外的範疇和平臺。</p> <p>新API使嵌入式媒體提供者能夠自訂完整性回應，以便確保串流媒體能夠在安全且受信任的環境中運作。判斷依據來自於應用程式和裝置的後設資料，但其中不會包含使用者或是裝置識別碼，而且與使用Play Integrity API的應用程式和遊戲不同，媒體供應商不會獲得應用程式的Play授權狀態，並且應用程式還可以選擇在判定結果中排除套件名稱，也就是其提供一種隱私機制，讓開發人員選擇隱藏應用程式的名稱，保護隱私安全。</p> <p>官方提到，制定這項API的目標是要維持Android應用程式中，多樣化的媒體內容生態系。Google預計在明年啟動Android WebView Media Integrity API早期存取計畫。</p> </div></div></div>
2023/11/6 08:48作者李建興https://www.ithome.com.tw/news/159627
VS Code Python擴充套件棄用內建程式碼檢查和格式化功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在<a href="https://devblogs.microsoft.com/python/python-in-visual-studio-code-november-2023-release/">VS Code的Python擴充套件2023年11月版本</a>，加入了一些新功能和改進，包括改進以Shift+Enter快捷鍵在終端機發送程式碼的行為，並棄用內建的程式碼檢查（Linting）和格式化功能，同時也更新了Python檢查擴充套件。</p> <p>在這次更新中，Python擴充套件改善程式碼發送到Python REPL互動式直譯器的行為，特別是當開發者沒有明確選擇所要執行的程式碼區塊。過去，當開發者將游標放在Python程式碼行上並按下Shift+Enter，就算程式碼會執行失敗，Python擴充套件還是會將該行的內容直接發送到REPL。</p> <p>而微軟新開發的智慧發送功能，現在會讓Python擴充套件，聰明地發送游標所在位置附近最小可執行程式碼區塊，確保只有完整和可執行的程式碼會被送到REPL，而之後游標也會自動定位到下一個可執行程式碼行，方便開發者迭代執行多個程式碼區塊。</p> <p>微軟持續改進VS Code檢查和格式化擴充套件，將Python擴充套件中的檢查功能轉移成獨立擴充套件，而現在微軟宣布棄用Python擴充套件中的檢查和格式化功能，官方建議開發者盡快移除這些過時設定，並且改用新的檢查和格式化擴充套件。</p> <p>官方同時也對Python檢查擴充套件進行多項改進，讓配置更加靈活，像是Pylint、Mypy和Flake8擴充套件讓開發者可以透過設定，指定想要排除檢查的檔案，另外，這些擴充套件也支援CWD（Current Working Directory）設定，供開發者指定檢查器的工作目錄。</p> </div></div></div>
2023/11/6 08:50作者李建興https://www.ithome.com.tw/news/159638
中東政府機關、金融單位遭伊朗駭客組織鎖定，利用IIS後門程式Liontail攻擊伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Check Point與Sygnia聯手，<a href="https://research.checkpoint.com/2023/from-albania-to-the-middle-east-the-scarred-manticore-is-listening/">調查伊朗駭客組織Scarred Manticore的攻擊行動</a>，這些駭客鎖定中東地區國家，包含沙烏地阿拉伯、阿拉伯聯合大公國（UAE）、約旦、科威特、阿曼、伊拉克、以色列，主要目標是政府機關、軍事單位、電信業者，但也有IT服務供應商、金融業者、非政府組織遭到攻擊。</p> <p>多年來，這些駭客利用各種針對IIS網頁伺服器的後門程式，以及多種自製的Web Shell、DLL後門程式、或者以驅動程式打造的惡意軟體來發動攻擊。而對於攻擊者的身分，研究人員認為，Scarred Manticore很可能與名為Storm-0861的新興駭客組織有密切交集，此為去年攻擊阿爾巴尼亞政府的4個伊朗駭客組織其中之一。但他們也指出，這些駭客與伊朗駭客組織OilRig（亦稱APT34、Europium、Hazel Sandstorm）也有一定程度的關聯。</p> <p>在最新的攻擊行動裡，研究人員看到駭客散布名為Liontail的惡意程式框架，先是尋找目標組織曝露於網際網路的Windows伺服器，透過DLL搜尋順序挾持（DLL Search Order Hijacking）或是可執行檔的方式，部署後門程式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/LionTail_scheme.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/LionTail_scheme.png" style="width: 581px;" /></a></p> <p>此惡意程式框架的元件，由Shell Code載入程式，以及在記憶體常駐的Shell Code酬載組成，其中一個元件就是以C語言編寫的後門程式Liontail，此為檔案很小、但功能相當複雜的被動後門程式，駭客為其設置一組URL監聽名單，攻擊者一旦向這些網址發送請求，此後門程式就會執行當中挾帶的惡意酬載。</p> <p>其中，比較特別的是，在DLL搜尋順序挾持的攻擊過程當中，駭客鎖定Windows Server作業系統缺乏的DLL檔案，如wlanapi.dll、wlbsctrl.dll，將後門程式命名為上述DLL檔案名稱，然後再透過Windows檔案總管或其他的處理程序，或是將某些預設停用的服務啟用，載入DLL程式庫型態的後門程式。</p> <p>在攻擊者將後門程式命名為wlbsctrl.dll的情況，他們會在名為IKE and AuthIP IPsec Keying Modules的服務啟動時載入DLL檔案，此時攻擊者會將可延伸驗證通訊協定（EAP）開啟。</p> <p>若是後門程式以可執行檔的型態進行部署，駭客會將其假冒為Palo Alto Networks的資安產品Cortex XDR元件Cyvera Console。</p> <p>研究人員指出，此後門程式與C2進行通訊的做法較為罕見，駭客利用IOCTL（Input and Output Control）介面，直接與底層的驅動程式HTTP.sys進行互動來達成，由於這種方式不透過IIS或HTTP的API，不僅資安防護系統無法監控，也不會留下任何事件記錄。研究人員強調，由於HTTP.sys的IOCTL沒有相關資訊可供參考，攻擊者必須進一步研究才能找到具體的方法，因此駭客採用上述的通訊手法隱匿攻擊行動，並非易事。</p> <p>類似這種隱匿後門流量的攻擊行動，還有<a href="https://www.ithome.com.tw/news/158872#HTTPSnoop">思科威脅情報小組揭露的ShroudedSnooper</a>，駭客利用名為HTTPSnoop的後門程式，攻擊中東地區的電信業者。</p> <p>除了可執行檔，研究人員也發現Liontail的Shell Code載入工具，此程式以Web Shell為基礎打造而成，他們比對該載入工具與後門程式，發現採用的Shell Code架構及參數完全相同，由此推測駭客的攻擊工具是規模較大的框架，上述兩種惡意程式都是其中的元件，代表攻擊者可根據攻擊行動的需求，動態產生惡意程式載入器及酬載。</p> <p>研究人員也發現在Liontail之外，這些駭客也打造了其他工具。例如，專門鎖定Exchange伺服器而來的Lionhead，這是網路流量轉送器（Web forwarder），攻擊者也利用類似的DLL挾持手法，於受害伺服器進行部署，並利用雷同的轉送方法，將流量導向使用Exchange網頁服務（EWS）的端點。</p> </div></div></div>
2023/11/5 13:15作者周峻佑https://www.ithome.com.tw/news/159641
北韓駭客組織Lazarus針對Mac電腦下手，散布惡意程式Kandykorn
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Elastic旗下的安全實驗室<a href="https://www.elastic.co/security-labs/elastic-catches-dprk-passing-out-kandykorn">揭露北韓駭客Lazarus的攻擊行動</a>，研究人員看到駭客鎖定加密貨幣交易平臺的區塊鏈工程師，散布macOS惡意程式Kandykorn。</p> <p>攻擊者先是在公開的Discord伺服器佯稱區塊鏈工程師，利用社交工程手法，提供加密貨幣套利機器人（arbitrage bot），引誘目標人士下載帶有惡意程式碼的ZIP壓縮檔。一旦目標人士執行其中的Main.py指令碼，就有可能導致電腦被植入惡意程式。</p> <p>乍看之下，這個指令碼沒有惡意內容，似乎執行的是普通的功能，只是將其他的Python指令碼當作模組導入，然而研究人員分析watcher.py指令碼內容，發現攻擊者的意圖。</p> <p>在整個攻擊鏈當中，Main.py會觸發另一個指令碼watcher.py，然後從雲端檔案儲存服務Google Drive下載testSpeed.py，而這個指令碼再從另一個Google Drive網址取得名為FinderTools的Python檔案。FinderTools下載、執行惡意酬載Sugarloader，最終連線遠端伺服器取得Kandykorn，並於記憶體內執行。此後門程式具備列出受害電腦存放的檔案、執行惡意程式或命令、洩漏資料、終止處理程序的功能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Kandykorn-image31.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Kandykorn-image31.png" style="width: 580px;" /></a></p> <h3><strong>惡意程式載入工具Sugarloader在攻擊流程扮演關鍵角色</strong></h3> <p>值得一提的是，駭客使用的惡意酬載Sugarloader，先後以不同的檔案名稱.sld和.log出現於攻擊流程。</p> <p>駭客利用打包程式進行混淆處理，導致採用靜態分析做法的資安系統，能夠解析的程式較為有限。研究人員發現對方在程式碼當中，利用含有跳轉（JMP）的起始函數，將標頭指定到尚未定義的記憶體位址，然後於記憶體內解壓縮可執行檔。由於對方利用了這種手法，截至研究人員揭露這起攻擊行動的時候，惡意軟體分析平臺VirusTotal所有的防毒引擎皆將Sugarloader視為無害。</p> <p>這個惡意程式的主要功能之一，就是從C2下載Kandykorn的有效酬載。根據研究人員的分析，駭客同時設置了C2的備援IP位址，以防主要伺服器無法存取的情況。一旦此惡意程式的設定組態載入記憶體並解密，就會建立與遠端伺服器的連線並取得Kandykorn，並透過反射式載入（Reflective Binary Loading）手法，濫用NSCreateObjectFileImageFromMemory、NSLinkModule等API，在特定處理程序所使用的記憶體區域當中，執行惡意酬載。</p> <p>而為了能夠持續在受害電腦運作，駭客也透過Sugarloader建立名為Hloader的惡意程式，並將其偽裝成Discord主程式，同樣地，VirusTotal所有的防毒引擎也將該惡意程式視為無害。</p> <p>過程中，攻擊者運用了相當罕見的手法，研究人員稱為執行流程挾持（Execution Flow Hijacking）。攻擊者鎖定通常會隨著電腦開機啟動的即時通訊軟體Discord，而使用載入程式Hloader的目的，就是同時啟動Discord執行檔與.log酬載（即Sugarloader的另一個型態）。</p> <p>具體而言，攻擊者會將原本的Discord主程式更名，並以Hloader替代、執行，載入.log，讓此可執行檔在記憶體內運作，完全不會寫入磁碟。之後，再將Discord主程式、Hloader改回原本的檔案名稱。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Kandykorn-image33.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Kandykorn-image33.png" style="width: 580px;" /></a></p> </div></div></div>
2023/11/5 13:22作者周峻佑https://www.ithome.com.tw/news/159642
AI趨勢周報第233期：7月開始訓練33B語言模型，馬斯克揭露xAI首款Chatbot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1027～1102)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Grok </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Chatbot </span></strong></span></p> <p><span style="font-size: 22px;"><strong>今年7月開始訓練33B語言模型，馬斯克揭露xAI首款Chatbot</strong></span></p> <p>馬斯克日前揭露旗下xAI公司的首款產品Grok，是一款類似ChatGPT的聊天機器人，主打能幽默回應使用者、與使用者產生共鳴。<a href="https://twitter.com/xai/status/1721027348970238035">xAI也在X平臺上說明</a>，Grok能透過X平臺獲取即時資訊，來回答使用者問題，還能回答其他AI系統拒絕回答的辛辣問題。馬斯克表示，Grok目前還在初期測試階段，未來將提供給X Premium+訂閱戶使用。</p> <p>xAI在官網指出，公司自今年7月成立後，就開始訓練一個330億參數的語言模型Grok-0。該模型在標準的語言模型基準測試中，表現與700億參數的Llama 2相當，但只使用了一半的訓練資源。接著，在過去2個月裡，團隊又提高模型的推理和寫程式能力，最終產出Grok-1模型。</p> <p>這個Grok-1功能更強大，在HumanEval基準測試的寫程式任務中拿下了63.2%成績，僅次於70%的Claude 2和67%的GPT-4。而在多學科多重選擇題的MMLU基準測試中，Grok-1拿下了73%，僅次於GPT-4、PaLM 2和Claude 2。xAI說明，為打造Grok，他們還建立了基於K8s、Rust和JAX的自定義訓練和推論堆疊，而且，為確保GPU不發生故障，團隊採用一組客製化的分散式系統，能立即辨識、自動處理每種故障，如配置不正確、記憶體晶片效能下降等。這個方法，讓xAI在過去幾個月裡，大幅減少停機時間，並保持高度的模型浮點運算利用率（MFU），就算在硬體不可靠的情況下依然如此。接下來，他們要繼續優化模型能力，包括用數萬個加速器來訓練模型、執行網際網路等級的工作管線，以及開發Grok新功能和新工具等。<a href="https://x.ai/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202023-11-05%20at%206_50_34%20PM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> RedPajama </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料集 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>專為LLM設計，具30兆Token的開源資料集來了</strong></span></p> <p>最近，AI新創公司Together.ai開源釋出第二代LLM訓練資料集RedPajama-Data-v2，共有30兆個Token，要用來強化語言模型訓練品質。該資料集包含2大部分，一是從開源網路爬蟲資料集CommonCrawl的84個轉存（Dumps）中精挑細選，將原本100多兆個Token過濾、剔除重複的資料，保留30兆個Token，涵蓋英語、法語、西班牙語、德語和義大利語等5種語言，但未包含中文。另一部分是40多個預運算的資料品質註釋，可用於進一步的過濾和權重，提高資料集的實用性。</p> <p>早在今年3月，該新創就釋出5TB的高品質英語標記資料集RedPajama-1T，半年多來累積了19萬次下載量。這次，他們進一步開源涵蓋5種語言的資料集，號稱是目前最龐大的LLM訓練資料集，同時在GitHub和HuggingFace上提供所有數據。<a href="https://github.com/togethercomputer/RedPajama-Data">（詳全文）</a></p> <p><img alt="" src="https://github.com/togethercomputer/RedPajama-Data/raw/main/docs/rpv2.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 行政命令 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 風險 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 安全 </span></strong></span></p> <p><span style="font-size:22px;"><strong>拜登簽署美國首個AI行政命令</strong></span></p> <p>美國總統拜登10月30日簽署了AI行政命令，提出8項行動目標，包括建立AI安全新標準、保護人民隱私、促進公平與公民權利、支持勞工、推動創新與競爭、提升美國在海外的領先地位，以及保障消費者、病患和學生，還有確保政府負責任及有效使用AI。</p> <p>其中，建立AI安全新標準列舉許多重點工作，首先是要求AI系統開發者，與美國政府分享其AI安全測試結構和其他重大資訊，再來是要發展各式標準、工具和測試方法，來確保AI系統的可靠性。此外還包括制定標準，來監控生物合成，避免不法人士用AI設計出危險的生物材料。不只如此，美國政府也要建立分辨AI生成內容與官方內容的偵測機制和實作方法，最後則是開發AI工具，來找出和修補重大軟體的安全漏洞。<a href="https://www.whitehouse.gov/briefing-room/statements-releases/2023/10/30/fact-sheet-president-biden-issues-executive-order-on-safe-secure-and-trustworthy-artificial-intelligence/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Jina AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 文字嵌入 </span></strong></span></p> <p><span style="font-size:22px;"><strong>與OpenAI同等級！Jina AI開源第2代文字嵌入模型</strong></span></p> <p>德國AI新創Jina AI開源自家第2代文字嵌入模型jina-embeddings-v2，可處理多達8,192個token的文長。而且，經大規模文字嵌入基準（Massive Text Embedding Benchmark）測試評估，該模型排名第17，與商用OpenAI text-embedding-ada-002的第15名相差無幾。而且在分類、重新排序、檢索和摘要生成等自然語言處理任務中，該模型表現比OpenAI的模型還要好。</p> <p>jina-embeddings-v2能處理8,192個token是一大進展，代表模型可應用的領域更廣，像是分析法律文件、更細緻地捕捉文件中細節，或從財務報表中解析關鍵資訊、進行財務預測，也能用於對話機器人，來處理複雜的用戶查詢。目前，使用者可從Huggingface免費下載jina-embeddings-v2模型，包括2種版本，一是針對學術研究或商業分析等高準確性需求設計的，大小為0.27 GB的基礎模型，另一是適用於輕量級應用程式，能整合行動應用程式或運算資源有限裝置的小型模型，容量只有0.07 GB。<a href="https://jina.ai/news/jina-ai-launches-worlds-first-open-source-8k-text-embedding-rivaling-openai/">（詳全文）</a></p> <p><img alt="" src="https://jina-ai-gmbh.ghost.io/content/images/size/w1600/2023/10/Screenshot-from-2023-10-23-17-41-40.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 風險 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Preparednes </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI設立專屬團隊，要評估通用AI災難性風險</strong></span></p> <p>OpenAI最近宣布要建立Preparedness團隊，來評估通用AI可能造成的災難性風險，並由麻省理工學院的可部署機器學習中心主任Aleksander Madry主導。這些風險涵蓋個人化說服、網路安全、化學/生物/放射性/核（CBRN）威脅，以及自主複製與適應（ARA）。其中，個人化說服指的是以AI建立的個人化內容，來影響個人的行為、觀點或決策；至於ARA則指AI系統具自我複製與演進能力，使它脫離人類控制，或產生非預期目標。</p> <p>Preparedness團隊將針對各種前沿模型，評估模型能力與紅隊測試，並制定開發及維護風險意識發展政策（RDP），闡述該團隊所開發的模型能力評估與監控方法，還要建立模型治理架構。OpenAI已開始招募不同背景人才加入Preparedness團隊，同時推出AI Preparedness挑戰賽，鼓勵參賽者設想自己是駭客，在可無限制地存取OpenAI模型時，有哪些可造成災難的獨特使用情境。<a href="https://openai.com/blog/frontier-risk-and-preparedness">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 抓漏 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 提示攻擊 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google公布AI抓漏獎勵範圍，新添生成式AI類別</strong></span></p> <p>日前，Google宣布擴大AI系統抓漏獎勵計畫，要進一步納入生成式AI。進一步來說，Google認為，相較於傳統的安全漏洞，生成式AI有著不同問題，如不公平偏見、模型操縱或資料誤解。隨著Google日益將生成式AI整合到產品中，內部團隊正全面預測和測試其潛在風險，同時也想藉外部研究者協助，來找出新漏洞並解決問題。</p> <p>其實，Google本來就有AI抓漏獎勵計畫，其類別包括提示攻擊、訓練資料汲取、操縱模型、對抗性擾動，以及模型竊取等，凡是利用提示來影響模型的行為或輸出，重建或汲取包含敏感資訊的訓練資料，得以改變模型行為，或可竊取模型權重與結構等關鍵資訊的安全漏洞，都在獎勵之列。<a href="https://security.googleblog.com/2023/10/googles-reward-criteria-for-reporting.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MLCommons </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 安全 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span></p> <p><span style="font-size:22px;"><strong>MLCommons成立AI安全工作組</strong></span></p> <p>開放工程聯盟MLCommons最近成立人工智慧安全（AIS）工作組，要建立一個平臺，來讓貢獻者組成測試池，支援各種用例的AI安全基準。該工作組初期將使用史丹佛大學的HELM框架，作為大型語言模型開發安全基準。</p> <p>MLCommons是一個開放協作生態系，目的在於推動機器學習的發展和應用，並發展基準測試、最佳實踐、資料集和各種共享資源上。MLCommons的新平臺將提供一個機制，讓使用者從測試池中選擇基準測試，也能將輸出整合成容易理解的分數，來對AI系統安全性評級。該平臺的近期重點，在於支援嚴謹、可靠的AI安全測試技術發展。此外，AIS工作組也計畫，將內部用於AI安全測試的技術公開，與MLCommons社群共享。<a href="https://mlcommons.org/en/news/formation-ai-safety-working-group/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 聯合國 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI顧問組織 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 治理 </span></strong></span></p> <p><span style="font-size:22px;"><strong>聯合國成立AI顧問組織</strong></span></p> <p>聯合國日前成立AI顧問組織，來研究AI技術風險和機會，以及全球治理方向。該組織由聯合國秘書長António Guterres發起，招攬了全球39名專家，預計要在今年底前，針對AI的風險、挑戰、機會，以及如何利用AI來加速永續發展目標（SDGs）等議題提出建議。</p> <p>Guterres指出，AI顧問組織是全球AI治理的起點，來盡可能為所有人帶來利益，同時遏制風險。但這也取決於AI是否被負責任地利用，以及是否所有人都能使用，因為，目前相關專業知識集中在少數公司和國家，這很可能深化全球不平等，使數位落差成為鴻溝。而這個組織，可望解決這些問題。<a href="https://news.un.org/en/story/2023/10/1142867">（詳全文）</a></p> <p>圖片來源／xAI、Together.ai、Jina AI</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI趨勢近期新聞 </span></strong></span></p> <p><strong>1. <a href="https://www.ithome.com.tw/news/159612">DeepMind發布新版AlphaFold模型，可精準預測生物分子結構加速藥物開發</a></strong></p> <p><strong>2. <a href="https://www.ithome.com.tw/news/159573">PChome揭行動商務優先的介面改版策略，包括用AI強化搜尋功能</a></strong></p> <p>資料來源：iThome整理，2023年11月</p> </div></div></div>
2023/11/5 19:37作者王若樸https://www.ithome.com.tw/news/159645
駭客發動EleKtra-Leak挖礦攻擊，利用GitHub曝露的AWS帳密來奪取用戶EC2運算服務，替他們挖掘加密貨幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Palo Alto Networks揭露<a href="https://unit42.paloaltonetworks.com/malicious-operations-of-exposed-iam-keys-cryptojacking">名為EleKtra-Leak的挖礦攻擊行動</a>，駭客約從2020年12月開始進行相關活動，光是在今年8月30日至10月6日，他們就看到有多達474個Amazon EC2執行個體遭駭，被攻擊者拿來挖掘門羅幣。</p> <p>研究人員指出，這些駭客先是濫用GitHub提供的機密資訊掃描功能，以及AWS的AWSCompromisedKeyQuarantine政策標籤來尋找目標，一旦確認目標儲存庫存放了AWS帳密資料，或是其他的身分驗證管理（IAM）資料，攻擊者就試圖找出這類帳密，對目標AWS帳號進行偵察，然後建立安全群組，並透過VPN程式存取EC2執行個體，從Google Drive下載挖礦軟體並執行，整個過程是自動化運作，總共進行超過400次API呼叫，過程只花費7分鐘。</p> <h3><strong>待雲端服務業者將受害帳號標記，更能完全掌握可用的運算資源</strong></h3> <p>照理來說，當開發人員不慎在GitHub曝露自己的AWS金鑰時，該儲存庫提供Secret Scanning偵測機制就有可能察覺，並向AWS通報，接下來該雲端服務業者便會對於曝露金鑰的使用者，套用AWSCompromisedKeyQuarantine政策標籤來進行隔離，防範攻擊者濫用。</p> <p>由於這種自動預防機制，目的是防範相關金鑰遭到濫用，而非這些AWS用戶的帳號遭到攻擊，因此攻擊者很有可能找尋曝露相關資料、但AWS帳號尚未遭到封鎖的GitHub儲存庫，挾持AWS帳號之後，等到該雲端服務業者進行標記，攻擊者就能在沒有其他人干擾的情況下，濫用受害組織的AWS資源。</p> <p>研究人員在其中一起事故當中，透過AWS安全事件記錄系統CloudTrail看到這種現象。在AWS觸發上述的隔離政策標籤後，不到4分鐘攻擊者就開始下達APIDescribeRegions命令進行偵察。</p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-130743-1-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-130743-1-2.png" style="width: 580px;" /></a></p> <h3><strong>攻擊流程完全透過自動化進行</strong></h3> <p>而對於整個攻擊行動的流程，研究人員指出都是透過自動化執行，一旦攻擊者從GitHub儲存庫發現金鑰，就會開始一系列的攻擊流程。對方會先進行一系列的AWS帳號偵察，完成後就會建立安全群組，找尋所有能夠存取的EC2執行個體，過程中駭客的攻擊流程，都是透過VPN於背景進行。</p> <p>為了提高挖礦的獲利，攻擊者會在這些EC2執行個體採用大型雲端虛擬機器，通常是擁有192個虛擬處理器、192 GB記憶體的虛擬機器c5a.24xlarge，以便在相同時間裡挖取更多加密貨幣。</p> <p>駭客在啟動這些EC2執行個體的過程中，呼叫了名為RunInstance的API，用來執行Cloud-Init指令碼，從而在這些執行個體進行參數配置，並執行後續的攻擊行動。值得留意的是，對方的相關操作並未在CloudTrail留下事件記錄。</p> <p>對此，研究人員對EC2執行個體進一步採證，發現駭客從Google Drive下載挖礦軟體的檔案，然後在儲存到執行個體後再行解密、執行。此外，對方所使用的AMI映像檔為私有檔案，並未在AWS Marketplace市集上架，其中部分映像檔是採用Ubuntu 18為基礎開發。研究人員根據找到的入侵指標（IoC），他們推測，攻擊行動很有可能從2020年開始。</p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-130743-2-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-130743-2-2.png" style="width: 580px;" /></a></p> <p>特別的是，這些駭客也將他們用過的帳密資料加入黑名單。研究人員推測，這麼做的目的，很有可能是防止遭到進一步分析。</p> </div></div></div>
2023/11/5 13:36作者周峻佑https://www.ithome.com.tw/news/159644
【資安日報】11月3日，訊息導向中介軟體ActiveMQ重大漏洞出現攻擊行動，駭客用於投放勒索軟體HelloKitty
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>前幾天ActiveMQ漏洞修補消息一出，當時有研究人員認為後續可能會引發危機，因為此軟體在企業環境做為訊息代理的角色，一旦漏洞遭到利用，將有可能導致訊息遭到攔截、工作流程中斷、資料外流，甚至能讓攻擊者在內部網路環境進行橫向移動。</p> <p>現在有資安業者證實這樣的情況，並指出駭客想要發動勒索軟體攻擊，來向企業組織進行勒索。</p> <p>值得留意的是，駭客在修補程式發布的兩天後就開始進行漏洞利用，這也代表組織緩解漏洞的態勢相當險峻。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.rapid7.com/blog/post/2023/11/01/etr-suspected-exploitation-of-apache-activemq-cve-2023-46604/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體HelloKitty傳出正在利用Apache ActiveMQ的重大漏洞</span></strong></a></p> <p></p> <p>訊息導向中介軟體ActiveMQ在10月25日公告修補漏洞CVE-2023-46604，因CVSS風險高達10分而引發大家注意，ShadowServer基金會指出全球有超過3千臺伺服器曝險，如今有研究人員警告已有攻擊行動出現。</p> <p>27日資安業者Rapid7發現，他們有2個客戶存在此漏洞的利用攻擊行動，駭客企圖部署勒索軟體並向組織勒索，研究人員根據勒索訊息及手上掌握的證據，指出是勒索軟體HelloKitty（亦稱Five Hand）的攻擊行動。</p> <p>他們看到駭客在成功利用上述漏洞後，試圖透過ActiveMQ的處理程序載入Java.exe，然後利用MSIExec執行2個偽裝成PNG圖檔的MSI檔案，進而於目標伺服器部署勒索軟體。在其中一起攻擊裡，他們看到對方嘗試執行至少6次檔案加密，所幸沒得逞。</p> <p><a href="https://www.bleepingcomputer.com/news/security/okta-hit-by-third-party-data-breach-exposing-employee-information/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">身分驗證解決方案業者Okta再傳資料外洩，起因是第三方供應商遭駭</span></strong></a></p> <p></p> <p>根據資安新聞網站Bleeping Computer的報導，身分驗證解決方案業者Okta近期向緬因州總檢察長辦公室通報，他們因醫療保險業者Rightway Healthcare在9月23日遭遇網路攻擊，導致他們對保戶提供的保險及保障權益所彙整的調查資料，遭到異常存取，這個檔案包含現有及離職的Okta員工，以及家屬的姓名、社會安全碼（SSN）、醫療保險號碼，總共有4,961名員工受到影響，但目前這些個資尚未出現遭到濫用的跡象。</p> <p>Rightway Healthcare於10月12日公開表示自己遭遇資安事故之後，Okta著手調查確認受影響範圍，他們向Bleeping Computer透露，這些流出的資料起迄時間，為2019年4月至2020年。</p> <p><a href="https://www.ithome.com.tw/news/159618"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">波音證實遭遇網路攻擊，導致零件配送網站服務中斷</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/services-boeing-tech-issue.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/services-boeing-tech-issue.jpg" style="width: 300px; float: right;" /></a>10月底勒索軟體駭客LockBit聲稱，<a href="https://www.ithome.com.tw/news/159565">他們利用零時差漏洞入侵航太龍頭波音（Boeing）</a>，取得大量敏感資料，並揚言要求該公司在11月2日前進行聯繫，當時波音表示正在設法了解狀況，這幾天終於有新進展。</p> <p>11月2日波音向Bleeping Computer、The Register等新聞網站提出新的說明，指出他們遭遇網路攻擊事故，影響他們的零件物料及配送業務，但飛航安全不受影響，已通報主管機關並展開調查，也通知客戶及供應商。目前該公司的零件及配送網站為離線狀態，並公告因技術問題而無法提供服務。不過，波音並未進一步說明攻擊事故的細節，也沒有透露受害範圍。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/security/boeing-confirms-cyberattack-amid-lockbit-ransomware-claims/">https://www.bleepingcomputer.com/news/security/boeing-confirms-cyberattack-amid-lockbit-ransomware-claims/</a><br /> 2. <a href="https://www.theregister.com/2023/11/02/boeing_cyber_incident/">https://www.theregister.com/2023/11/02/boeing_cyber_incident/</a></p> <p><a href="https://www.bloomberg.com/news/articles/2023-10-30/hackers-accessed-632-000-email-addresses-at-defense-doj"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國國防部逾63萬封電子郵件外洩，又是因為服務廠商遭MOVEit Transfaer零時差攻擊所致</span></strong></a></p> <p></p> <p>5月底發生的MFT檔案共享系統MOVEit Transfer零時差漏洞大規模攻擊行動，最近又有新的受害情形傳出。</p> <p>根據彭博社的報導，美國司法部因這起攻擊事故導致員工資料外流，約有63.2萬名員工的電子郵件信箱曝光。該媒體取得美國人事管理局（OPM）的文件指出，這些資料是來自資料管理業者Westat設置的MOVEit Transfer系統。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://blogs.vmware.com/security/2023/10/hunting-vulnerable-kernel-drivers.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">34款Windows驅動程式存在弱點，有可能讓攻擊者挾持電腦、抹除韌體</span></strong></a></p> <p></p> <p>VMware旗下的威脅情報團隊近期發現34個Windows驅動程式存在漏洞，攻擊者一旦加以利用，有可能完全控制裝置，並在作業系統底層執行任意程式碼，甚至能竄改或破壞韌體，或是用於提升權限。</p> <p>值得一提的是，過往對於驅動程式研究，聚焦在透過「視窗驅動程式模型（Windows Driver Model，WDM）」打造的驅動程式，而這次研究人員也對於採用「視窗驅動程式框架（Windows Driver Framework，WDF）」開發的驅動程式進行調查。</p> <p>而在這個團隊找出的有漏洞驅動程式，風險都很高，因為攻擊者都能透過不具管理員權限的使用者帳號，進行完全控制。其中，有6個可被用於存取核心記憶體、6個可抹除韌體。此外，有2個WDF驅動程式WDTKernel.sys、H2OFFT64.sys，雖然在存取控制方面不易被利用，但攻擊者可將其用於自帶驅動程式（BYOVD）攻擊。</p> <p><a href="https://www.zscaler.com/blogs/security-research/threatlabz-discovers-117-vulnerabilities-microsoft-365-apps-sketchup-3d"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Microsoft 365應用程式的SketchUp 3D程式庫存在117個漏洞</span></strong></a></p> <p></p> <p>資安業者Zscaler指出，微軟2022年6月在Microsoft 365支援SketchUp檔案（SKP），但也因此引入許多漏洞。</p> <p>研究人員指出，Microsoft 365處理SKP檔案的過程裡，此辦公室生產力軟體會呼叫多個SketchUp的API及功能，他們透過模糊測試找出了20個安全漏洞，涵蓋記憶體堆疊緩衝區溢位、整數溢位、越界寫入（OBW）、類型混淆、記憶體釋放後濫用（UAF）等類型。另一方面，若是SketchUp檔案嵌入了圖片，Microsoft 365還會呼叫名為FreeImage的第三方程式碼進行處理，為此研究人員也繼續利用模糊測試，結果從該程式庫元件中找出97個漏洞。</p> <p>對此，微軟對於上述117個漏洞登記了3個CVE編號CVE-2023-28285、CVE-2023-29344、CVE-2023-33146（CVSS風險評分皆為7.8），並於今年4月至6月，發布Windows版、macOS版Microsoft 365更新，然而，研究人員仍能繞過修補程式利用這些漏洞，因此微軟最終決定停用SketchUp檔案的支援。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.first.org/newsroom/releases/20231101"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">FIRST推出新版漏洞風險評分系統CVSS 4.0</span></strong></a></p> <p></p> <p>6月的國際資安事件緊急應變小組論壇（FIRST）年度大會，公布新的4.0版通用漏洞評分系統（CVSS），經過兩個月的公開討論、兩個月做出回應、調整，11月1日FIRST宣布新版評分系統正式上路，這是2019年6月CVSS 3.1版推出後的重大改版。</p> <p>FIRST指出，新的評分標準提供了更細致的基本指標，並簡化威脅指標、提高特定環境的安全要求評估。這版增加漏洞評估的補充指標，例如：能否自動化利用（蠕蟲化）、復原難易度（韌性）等。另一個重要的改進面向，則是對於操作科技（OT）、工業控制系統（ICS）、物聯網（IoT）新增與安全相關的指標與參數。</p> <p>值得留意的是，CVSS 4.0不只列出基本分數，將有4種呈現問題嚴重性狀態的方式，包含了基本評分CVSS-B、加上威脅評分的CVSS-BT、加上環境評分的CVSS-BE，以及統合3種分數的CVSS-BTE。</p> <p><a href="https://medium.com/mitre-attack/attack-v14-fa473603f86b"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">MITRE發布第14版ATT&CK，強化社交工程、工業控制系統、行動裝置領域攻防敘述</span></strong></a></p> <p></p> <p>11月1日MITRE Engenuity發布資安攻防框架MITRE ATT&CK第14版，總共涵蓋760種軟體、143個駭客組織，以及24種橫跨企業、行動裝置、工業控制系統（ICS）的攻擊行為。此新版框架對於偵測的註解及分析，提供更多的延伸，也在偵測、資料來源、緩解措施之間的關聯，進行強化。</p> <p>其中，對於企業的攻擊手法，這次特別納入了社交工程，以及與資訊技術無直接相關的詐欺手段，例如：金融詐騙、語音網路釣魚等。針對工業控制系統的部分，新版攻防框架新增此種場域的主要元件，而讓相關部門更能透過該框架描述資安風險及威脅。</p> <p>本次新版框架也擴大行動裝置類別的範圍，涵蓋多種新型態的網路釣魚手法，如：簡訊釣魚（smishing）、QR code釣魚（quishing）、電話釣魚（vishing）。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/blackcat-ransomware-claims-breach-of-healthcare-giant-henry-schein/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">醫療保健業者Henry Schein傳出遭到勒索軟體BlackCat攻擊，35 TB內部資料外流</span></span></strong></a></p> <p></p> <p><a href="https://www.deepinstinct.com/blog/muddywater-en-able-spear-phishing-with-new-ttps"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">伊朗駭客組織MuddyWater鎖定以色列組織，透過N-able遠端管理工具控制受害電腦</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/atlassian-warns-of-exploit-for-confluence-data-wiping-bug-get-patching/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Atlassian證實有人公布DevOps協作平臺Confluence重大漏洞CVE-2023-22518細節，呼籲用戶防範相關攻擊行動</span></span></strong></a></p> <p></p> <p><a href="https://www.theregister.com/2023/11/01/xll_macro_attack_surge/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Excel擴充套件檔案XLL成駭客2023年第三季散布惡意程式愛用的十大檔案類型</span></span></strong></a></p> <p></p> <p><a href="https://www.cisa.gov/news-events/alerts/2023/10/27/cisa-announces-launch-logging-made-easy"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為協助資源缺乏的組織強化資安，美國CISA推出免費事件記錄工具Logging Made Easy</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159609"><strong>【11月2日】伊朗駭客組織利用後門程式Liontail攻擊Windows伺服器，鎖定中東地區的政府機關與金融單位而來</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159586"><strong>【11月1日】研究人員揭露專門供應網路罪犯使用的短網址服務供應商Prolific Puma，駭客經營超過4年未被發現</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159575"><strong>【10月31日】曝露於GitHub程式庫的帳密資料成為駭客下手的對象！有人從中收集AWS的帳密，將EC2實體拿來挖礦</strong></a></p> </div></div></div>
2023/11/3 17:34作者周峻佑https://www.ithome.com.tw/news/159633
兼具分散與固定硬體架構優點，思科推出新型態模組化路由器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cisco_8000_main-1.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2020年初，思科推出<a href="https://blogs.cisco.com/sp/cisco-8000-series-powering-the-internet-for-the-future">路由器8000系列</a>，區分為固定配置機型8200系列，以及模組化系統8800系列，搭配該公司自行研發的ASIC晶片Silicon One Q100，以及作業系統IOS-XR。</p> <p>當時的8200系列有2款機型，包含1U尺寸的8201，內建24個400GbE埠（QSFP-DD）與12個100GbE埠（QSFP28），以及2U尺寸的8202，內建12個400GbE埠（QSFP-DD）與60個100GbE埠（QSFP28），網路頻寬均可達10.8 Tbps。</p> <p>8800系列提供3款機型，其中的8808搭配8槽、16U尺寸機箱，頻寬可達115.2 Tbps；8812搭配12槽、21U尺寸機箱，頻寬可達172.8Tbps；8818搭配18槽、36U尺寸機箱，頻寬可達259.2Tbps。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2020-01-Cisco 8000 TFD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-01-Cisco%208000%20TFD.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2020-Cisco 8000 router-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-Cisco%208000%20router-2.jpg" style="width: 600px;" /></a></p> <p>隔年4月，增設另一個固定配置機型<a href="https://blogs.cisco.com/sp/expanding-the-cisco-8000-router-series">8100系列</a>，搭配2020年10月發表的新款ASIC晶片Silicon One Q200，不提供高頻寬記憶體（HBM），若有這方面需求，可改用8200系列。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-Cisco 8100 and 8200.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-Cisco%208100%20and%208200.jpg" style="width: 600px;" /></a></p> <p>今年6月，思科在日本東京舉行的年度資通訊科技大展Interop Tokyo 2023期間，首度公開展出新款集中型模組化路由器（Centralized Modular）8608，為最新擴充的<a href="https://gblogs.cisco.com/jp/2023/06/interop-tokyo-2023-shownet-pre-eventy-report/">8600系列</a>揭開序幕。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-Cisco%208000%20Router%20type.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-Cisco%208600.jpg" style="width: 600px;" /></p> <p>到了9月，這款機型正式登場，思科陸續公布細部規格、產品特色介紹影片，以及技術架構白皮書，而在他們的Cisco 8000系列路由器產品介紹網頁，也增添8600，簡要描述其為具有備援能力與多樣介面的集中型平臺，最大能支援的網路頻寬為12.8 Tbps，外形是7U尺寸的機箱。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%208000%20router-web.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-Cisco%20Silicon%20One.jpg" style="width: 600px;" /></p> <p>以硬體組成架構而言，Cisco 8608之所以被稱為集中型路由器，源自於它是基於集中式機箱架構的設計而成，能夠在此統一處理所有網路封包轉送的決定，相較之下，8800系列採用分散式架構，8100系列與8200系列採用固定式架構，以單臺設備配備單張ASIC晶片。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Front view of the Cisco 8608.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Front%20view%20of%20the%20Cisco%208608.jpg" style="width: 246px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/8608-Front%20view%20of%20an%20empty%20Cisco%208608%20chassis.jpg" style="width: 298px;" /></p> <p>基本上，Cisco 8608在機箱前段可安裝8個模組化網路介面（Modular Port Adapters，MPAs），當中可提供10GbE、25GbE、50GbE、100GbE、400GbE等網路埠的搭配，可支援多種應用需求，目前思科提供3款MPA模組，內建的網路埠都支援媒體存取控制安全性標準MACsec；同時，此處還能置入2個稱為路由處理器（Route Processor，RP）的模組，負責處理控制層（control plane）的運作，目前RP本身搭配英特爾6核心2.5 GHz時脈的Broadwell架構處理器，以及64 GB記憶體、256GB固態硬碟，也提供網路、USB、RS-232等多種I/O連接埠。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco 8608 Slot numbering.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%208608%20Slot%20numbering.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Cisco 8608-Front Module.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%208608-Front%20Module.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%208608-MPA.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/8608-RP.jpg" style="width: 600px;" /></p> <p>至於機箱背部，Cisco 8608頂端設置4臺3200瓦規格的電源供應器，提供2+2或3+1備援，下半部可置入2個交換卡模組（Switch Card，SC），這裡負責資料層（data plane）的運作，當中採用ASIC晶片Silicon One Q200，最大可提供12.8 Tbps頻寬，而且內建HBM記憶體，可直接連結超高速的矽晶片介面，而不需要存取到位於晶片之外的記憶體，能在低功耗的運作狀態下，具備強大的路由處理與深層封包緩衝能力；每個SC模組背後均設置4個插槽，可安裝風扇模組，因此，整臺設備總共有8個風扇。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/8608-Back%20view%20of%20Cisco%208608%20chassis%20with%208%20FMs%20and%204%20PMs.jpg" style="width: 600px;" /> </p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Silicon One Q200.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Silicon%20One%20Q200.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/8608-SC0-128.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/8608-SC0-128.jpg" style="width: 398px;" /></a></p> <p>思科強調，此系列產品兼具使用彈性與可靠性，並且保護用戶既有投資。以可靠性為例，用戶可透過具有備援機制的路由處理器，以及交換卡模組，獲得能持續運作的控制層與資料層。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/8608-Side%20view%20of%20Cisco%208608%20chassis.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco 8608-SC-MPA.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%208608-SC-MPA.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/8608-two SCs and three Redundant MPAs connection of Cisco 8608 chassis.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/8608-two%20SCs%20and%20three%20Redundant%20MPAs%20connection%20of%20Cisco%208608%20chassis.jpg" style="width: 298px;" /></a></p> <p>為了因應特定場合的需求，Cisco 8608也能改用無備援的運作模式，此時的主要元件搭配上，只用1個路由處理器模組與1個交換卡模組即可，而機箱背部空出來的交換卡模組插槽，需裝上另1個保留風扇而無交換卡的模組Fan Spinner。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%208608-non%20redundant.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/8608-Non-Redundant%20System.jpg" style="width: 298px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Cisco 8608</strong><br /> ●原廠：Cisco<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：7U，包含風扇、電源供應器、路由處理器、交換器配接卡、模組化網路埠配接卡，提供8個模組插槽<br /> ●路由處理器：英特爾6核心處理器、64 GB記憶體、256 GB SSD、I/O埠，頻寬12.8 Tbps<br /> ●交換器配接卡（SC）：搭配ASIC晶片Cisco Silicon One Q200<br /> ●網路埠：模組化網路埠配接卡（MPA）提供3種款式：（1）4個400 GbE埠，頻寬1.6 Tbps（2）24個10/25/50 GbE埠，頻寬1.2 Tbps（3）16個100 GbE埠或12個100 GbE埠+1個400 GbE埠或8個100 GbE埠+2個400 GbE埠，頻寬1.6 Tbps<br /> ●電源供應器：4臺3200瓦（N+N備援）<br /> ●風扇：8臺<br /> ●作業系統：Cisco IOS XR</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/11/3 16:45作者李宗翰https://www.ithome.com.tw/review/159614
明年起Google AdSense將改採曝光計價
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/adsense/evolving-how-publishers-monetize-with-adsense/" target="_blank">Google周四（11/2）宣布</a>，將針對專供出版商提供廣告服務的Google AdSense進行兩項變更，一是更新Google AdSense的營收分享架構，其次是從點擊計價變更為曝光計價，以方便出版商比較不同平臺的費用，以及透明化媒體購買程序，相關變更將於明年上線，且根據Google的測試，出版商的收入將不會因為此一更新而出現變化。</p> <p>Google AdSense分潤一向是透明的，出版商若利用Google AdSense來釋出廣告空間，就可取得68%的廣告營收，不過，新政策將把AdSense營收拆成買方（廣告平臺）與賣方（出版商），在廣告平臺收取費用之後，出版商再取得8成營收。</p> <p>例如當廣告主利用Google Ads於AdSense上購買陳列式廣告時，Google Ads 平均會保留15%的廣告客戶支出，再由出版商取得剩下的8成，另2成分AdSense，其結果依然是68%。倘若廣告主是透過其它廣告平臺購買AdSense，在扣除第三方平臺所收取的費用後，出版商一樣再取得其中的8成。</p> <p>但Google說，該公司無法控制或了解第三方平臺向廣告客戶所收取的費用，也不知它們如何計算。</p> <p>此外，原本AdSense是根據點擊次數來付費給出版商，現在也決定轉向業界通用的曝光計價，以讓出版商更容易比較AdSense與其它平臺所帶來的營收效益。</p> <p>Google指出，相關更新將於明年初生效，不會影響出版商可於網站上展示的廣告類型或數量，出版商的收入理應也不會發生變化，只是強化了AdSense的透明度及比較基礎。</p> </div></div></div>
2023/11/3 15:19作者陳曉莉https://www.ithome.com.tw/news/159626
國內已有近20款Wi-Fi 6E、7相關產品取得NCC認證，年底前更多產品陸續上市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年8月下旬，數位發展部終於開放Wi-Fi使用國內的6GHz頻段（5945MHz-6425MHz），象徵臺灣趕上國外市場腳步，開放Wi-Fi使用新的6GHz頻段，從Wi-Fi 6進入Wi-Fi 6E，甚至是為下一代的Wi-Fi 7作好準備，此一新頻段，除了降低干擾，也有更高的網路頻寬，可望提升Wi-Fi無線網路品質。</p> <p>數位部部長唐鳳在8月下旬簽署開放Wi-Fi使用6GHz特定頻段之後，他表示，開放的頻段可以有效提升2至3倍的頻寬傳輸量，過去VR裝置需連接線至電腦，未來連接線將可由Wi-Fi 6E或Wi-Fi 7取代，帶來新的使用體驗。</p> <p>由於新頻段提供額外的頻道頻寬數量，Wi-Fi 6E可在6GHz頻段額外運用14個80MHz頻道頻寬，或是7個160MHz頻道頻寬，不論頻寬或網路速度都有所增加，因此在數位部開放Wi-Fi使用6GHz部分頻段後，國內網通設備業者、消費者、企業紛紛關心，可使用新頻段的相關產品取得認證的進展，市場何時提供更多元的產品選擇。</p> <p>據瞭解，在數位部開放Wi-Fi新頻段後，NCC已開始進入法制作程序，根據電信管理法，修改低功率射頻器材技術規範，將6GHz的（5945MHz-6425MHz頻段納入技術規範，按照一般程序， NCC委員會通過修改後的技術規範，再送行政院公告，財團法人全國認證基金會（TAF）才能對NCC委托的測試實驗室進行評鑑，通過評鑑的實驗室才能接受業者將產品及設備委託測試，最後產生檢驗報告，向檢驗機關（主管機關NCC）或機構提出型式認證申請。</p> <p>然而，因NCC現在尚未通過修正低功率射頻器材技術規範，將來委員會正式通過後，尚需送行政院公告2個月，儘管在特定條件許可下，公告時間可縮短為2周，但如果按照法制作業程序，技術規範公告之後，TAF評鑑合格的第三方實驗室，實驗室受理6GHz射頻器材測試，可能緩不濟急，難以滿足產業、消費者及商業需求。</p> <p>為滿足產業及市場的期待，在技術規範通過之前，根據電信管制射頻器材審驗管理辦法，業者可提出符合國際或區域性標準組織的檢驗報告，代替NCC委託的第三方實驗室報告，向主管機關NCC申請型式認證，取得認證之後，則可在國內市場銷售。由於臺灣開放的6GHz特定頻段和歐洲相同，因此NCC已可接受業者提出符合歐規的實驗室檢驗報告，但因為現在認證機關（構）只有NCC，因此業者申請型式認證案件需要較長的時間審核。</p> <p><strong><span style="color:#B22222;">已有近20款設備、產品取得NCC型式認證</span></strong></p> <p>在開放頻段後2個月，國內負責射頻器材認證的主關機關NCC統計，截至目前為止，將近20款設備取得NCC型式認證，這意謂著這些通過認證的設備或產品，可在國內上市銷售。</p> <p>不只是消費市場受惠，6GHz頻段的使用也讓企業取得更快的無線網路速度、網路頻寬，例如在商用市場，除了終端用戶之外，還有愈來愈多的IoT物聯網裝置，以及高品質視訊影像的傳輸需求。原本的2.4GHz、5GHz頻段變得壅擠，新增的6GHz頻段提供更多的頻道及容量。</p> <p>目前已審核取得型式認證的設備，包括英特爾的晶片、宏碁與兆勤的路由器、Sony與三星的手機等，涵蓋晶片、路由器，到智慧型手機(蘋果iPhone 15 Pro雖支援Wi-Fi 6E, 但至今為止，尚未向NCC提出認證申請)，由於認證機關目前只有NCC一個認證機關，尚無其他認證機構，因此還有更多的設備及產品等待認證審核中。未來隨著NCC技術規範修正及公告，更多的TAF合格的第三方測試實驗室加入測試行列，以及型式認證機構的增加，Wi-Fi 6E或Wi-Fi 7相關產品在市場上將會愈來愈多。</p> <p><strong><span style="color:#B22222;">年底前將有更多Wi-Fi 6E產品上市</span></strong></p> <p>目前國內的兆勤已有一款已取得NCC型式認證的Wi-Fi 7商用路由器WBE660S，可支援802.11be技術，可使用2.4GHz、5GHz及6GHz頻段，在三頻的BE2200架構下最高可達到22Gbps，網速為Wi-Fi 6/6E將近5倍；此外，WBE66S也能降低與現有4G或5G的頻段干擾，企業可透過雲端管理平臺進行管理。</p> <p>不只Wi-Fi 7產品，兆勤也預告在臺灣已上市銷售可支援6GHz頻段的無線路由器，未來會透過更新韌體方式，也開始支援Wi-Fi 6E。</p> <p>旗下也推出眾多Wi-Fi產品的華碩，準備在11月底推出Wi-Fi 6E Mesh路由器ZenWiFi Pro ET12，該產品即將取得認證，目前也和中華電信合作，以Wi-Fi 6E Mesh搭配光纖網路服務，鎖定家庭寬頻及無線上網需求。此外，華碩預告12月初將再推出一款Wi-Fi 6E產品RT-AXE7800。</p> <p>另一業者TP-Link，在今年8月下旬數位部開放Wi-Fi使用6GHz頻段，該公司隨即發表一系列Wi-Fi 6E及Wi-Fi 7，同時提前公布了未來產品上市價格，顯示搶攻Wi-Fi 6/6E及Wi-Fi 7的企圖心。TP-Link表示，目前產品正在申請認證中，獲得認證後即可銷售，預計會先推出Wi-Fi 6E的Deco XE75與Arhcer AXE75，而12月推出Wi-Fi 7路由器Deco BE85。</p> <p><span style="color:#B22222;"><strong>Aruba與思科產品正在認證中</strong></span></p> <p>至於在企業市場方面，HPE旗下的Aruba Networking，先前因臺灣尚未開放6GHz，因此Aruba旗下可支援Wi-Fi 6E設備AP6XX系列，包括AP 605R、AP 615、AP 635、AP 655，在臺灣上市僅能使用2.4GHz與5GHz，而在6GHz頻段開放後，目前Aruba已重新送NCC認證中，待通過認證後，目前使用Aruba AP6XX的企業，未來只要升級DRT（Downloadable Regulatory Table）功能，允許更新國家網域選項，就能使用6GHz，不需升級ArubaOS軟體版本與硬體。</p> <p>另一家企業級網通業者思科，原本已開始銷售Catalyst、Meraki系列的部分產品就能支援6GHz頻段，例如兩個系列共用的9162/9164/9166，還有Catalyst旗艦級的9136及Meraki旗艦級的MR57也可支援新頻段，思科也已送審等待認證。</p> <p>思科表示，目前支援Wi-Fi 6E的產品已可下單出貨，已有大型醫療單位、製造業採用。對於新的6GHz頻段，將帶來3項效益，更高的容量、更少的干擾、更高的吞吐量。在更高容量方面，因為6E額外頻譜提供非重疊頻道，可以在不降低效能之下，支援更高密度的IT及IoT環境。</p> <p>在更少干擾方面，由於Wi-Fi 6E為Wi-Fi 6無線電技術的延伸，6GHz和先前Wi-Fi 4或5使用的頻段相區隔，不會共用頻段，加上Wi-Fi 6E使用高效率及效能的Wi-Fi 6無線電技術，不會受速度較低的舊裝置影響。更高的吞吐量方面，由於Wi-Fi 6E可使用更多的80MHz及160MHz頻道頻寬，傳送及接收速度都能有所提升，對於頻寬需求較高的應用，高吞吐量有益於AR/VR沈浸式體驗。</p> </div></div></div>
2023/11/3 15:38作者蘇文彬https://www.ithome.com.tw/news/159623
微軟將翻修內部安全設計，提出安全未來倡議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/on-the-issues/2023/11/02/secure-future-initiative-sfi-cybersecurity-cyberattacks/" target="_blank">微軟總裁Brad Smith在本周四（11/2）揭露</a>了微軟的未來安全倡議（Secure Future Initiative），指出將從3方面著手以推動一個安全的新世界，包括聚焦基於AI的安全防禦、強化基礎軟體工程，以及宣導更強大的國際規範，其中，前兩者將涉及微軟內部大規模的安全翻修。</p> <p>Smith說，微軟內部在最近幾個月得出了結論，就是網路攻擊的速度、規模與複雜性不斷地提高，需要採取新的應對措施，以追求新一代的網路安全保護，未來安全倡議於焉誕生，並將匯整微軟的每個部分來達到該目標。</p> <p>根據微軟的統計，過去兩年有40%國家級駭客的攻擊行動都鎖定了重大基礎設施，像是電網、供水系統或醫療機構等，這些領域的服務中斷可能帶來可怕的後果；而微軟所追蹤的123個勒索軟體即服務的聯盟夥伴，自去年9月以來的攻擊次數增加了200%以上，此外，有超過8成的成功攻擊是來自於未列管的裝置。</p> <p>微軟安全未來倡議其中一個重要支柱是人工智慧（AI），認為AI將徹底顛覆網路安全的傳統遊戲規則。這是因為無所不在的裝置與持續的連網狀態建立了大量的數位資料，而更難以偵測網路攻擊，微軟光是1天內就能自全球的裝置接收超過65兆個訊號，就算地球上的80億人口都能一起尋找網路攻擊的證據，可能也永遠跟不上攻擊行動，然而，AI卻能扮演大海撈針的角色。</p> <p>此外，微軟也打算利用AI的機器運算速度來擊敗網路攻擊。目前最大的網路安全挑戰之一為缺乏資安專業人才，全球短缺了逾300萬的相關人才；同時攻擊的速度、規模與複雜性造就了不對稱性，令組織難以大規模地預防或破壞攻擊。因此，微軟的Security Copilot整合了大型語言模型及安全模型，可自複雜資料生成自然語言的見解與建議，以機器的速度來防範攻擊。</p> <p>對於那些經常成為駭客入口的未列管裝置，則可藉由嵌入AI檢測能力的Microsoft Defender for Endpoint 進行管理，第一時間攔截來自手機、筆電或伺服器的入侵企圖。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/11/02/announcing-microsoft-secure-future-initiative-to-advance-security-engineering/" target="_blank">Microsoft Security執行副總裁Charlie Bell則詳細說明</a>了微軟內部軟體工程的相關變更，包括軟體開發的轉型，採用新的身分保護，以及加快漏洞回應速度。</p> <p>Bell表示，微軟將藉由自動化與AI改變軟體的開發方式，將安全開發生命周期（SDL）變成動態SDL（dSDL），於撰寫程式、測試、部署及運作的過程中，把持續整合與持續發布（CI/CD）擴展至持續整合保護以對抗新興的威脅。</p> <p>同時微軟亦將加速及自動化威脅建模，把執行程式碼分析的CodeQL部署到所有的商用產品中，並擴大使用諸如C#、Python、Java與Rust的記憶體安全語言，在程式語言層級便建置安全性以消除常見的傳統軟體漏洞。</p> <p>此外，微軟將提供更安全的預設值，計畫自動導入Azure租戶的基準安全控制，既可減少手動配置成本，也提高了安全標準；並將建立一個跨裝置、產品及服務的統一身分管理平臺，以減少用戶身分被冒用的機會，並將強制使用標準的身分函式庫；亦準備把身分簽章金鑰移至更強固的Azure HSM（硬體安全模組）與運算基礎設施上，在此一架構中，簽章金鑰不管是在靜態、傳輸或運算過程中都是加密的，並自動允許高頻率的金鑰替換。</p> <p>在上述強化安全的措施下，微軟預期未來緩解雲端漏洞的所需時間將可縮短50%。</p> <p>微軟未來安全倡議的最後一個支架是國際規範。其<a href="https://www.ithome.com.tw/news/111979" target="_blank">實微軟在2017年就曾呼籲</a>全球應制定數位日內瓦公約（Digital Geneva Convention），以規範網路空間的行為準則。這次Smith重申，所有國家都應該公開承諾，不會在能源、水、食品及醫療保健等關鍵基礎設施供應商的網路上植入軟體漏洞，並應將雲端服務視為重大基礎設施。</p> <p>Smith指出，各國都不應允許境內任何人，從事可能會危及雲端服務安全性、完整性或機密性的網路活動；也不應為了間諜活動而不分青紅皂白地損害雲端服務的安全性。</p> </div></div></div>
2023/11/3 14:52作者陳曉莉https://www.ithome.com.tw/news/159624
蘋果Q3營收下滑1%，盤後股價跌逾3%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2023/11/apple-reports-fourth-quarter-results/" target="_blank">蘋果周四（11/2）公布</a>截至9月30日的2023財年第四季財報，該季蘋果創下895億美元的營收，比去年同期下滑1%，其中，除了iPhone與服務營收上揚之外，Mac、iPad及穿戴裝置/家用/配件等產品營收皆下滑。當天蘋果盤後下跌了3.39%，股價為171.55美元。</p> <p>在895億美元的營收中，產品營收占了672億美元，下滑5.3%，服務營收為223億美元，成長16%。若從個別產品來看，iPhone營收為438億美元，成長2.7%；穿戴裝置/家用/配件營收為93億美元，下滑3%；Mac營收為76億美元，下滑34%；iPad營收為64億美元，下滑10%。</p> <p>若從區域來看，來自美洲的營收為401億美元，成長0.8%；歐洲營收是225億美元，下滑1.5%；大中華區營收為151億美元，下滑2.5%；日本市場營收是55億美元，下滑3.4%；其它亞太市場營收為63億美元，下滑0.6%。</p> <p>雖然該季蘋果營收微幅下滑，但淨收入達到230億美元，超越去年同期的207億美元，每股盈餘為1.46美元，亦勝過去年的1.29美元。</p> </div></div></div>
2023/11/3 13:06作者陳曉莉https://www.ithome.com.tw/news/159620
Brave推出瀏覽器AI助理Leo，強調匿名性、正確性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Google Chrome及微軟Edge之後，<a href="https://brave.com/leo-launch" target="_blank">瀏覽器開發商Brave也推出了桌機版Brave瀏覽器原生AI助理Leo</a>，強調不蒐集對話、不追蹤用戶，且使用新方法減少AI幻覺問題，此外也公布Brave Premium付費服務。</p> <p>Leo是以今年春天推出的<a href="https://www.ithome.com.tw/news/155766" target="_blank">Brave搜尋AI Summarizer</a>為基礎開發而成，可於搜尋列開啟。<a href="https://brave.com/leo-release/" target="_blank">Brave 8月透過Nightly通道（1.59版）開放</a>開發人員及用戶下載測試Brave及Leo，有數萬人下載試用。昨日Brave正式釋出包含Leo的桌機版瀏覽器Brave 1.60版。</p> <p>Leo可免費使用，用戶可針對他造訪網頁提出各種要求，例如為網頁文章摘錄重點、生成影片字幕、翻譯網頁、分析／改寫或擴充原有網頁內容。和其他生成式聊天機器人不同的是，Leo的回應全部以網頁內容為基礎，而非憑空生成資訊。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1103-Brave%20GenAI%20Leo-3-600.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1103-Brave%20GenAI%20Leo-3-600.png" style="width: 500px;" /></a></p> <p><a href="https://techcrunch.com/2023/10/06/brave-lays-off-9-of-its-workforce/" target="_blank">上個月才宣布裁員</a>9%的Brave昨日也介紹付費版Leo Premium服務，每月15美元，藉此拓展營收。免費版Leo是以Meta開源特別強化安全性的Llama 2為底層模型。Leo Premium則提供Claude Instant模型，後者是Anthropic開發更快、更輕盈的模型，著重邏輯推理和程式碼撰寫。現行版本比前代提供更結構化的回應、更能準確執行指令，數學、程式、多語言及回應問題能力也皆有提升。</p> <p>Brave並與Anthropic技術整合以提高回應的準確率。Anthropic使用Brave的搜尋API搜尋網頁內容來訓練最新模型Claude 2，以協助Claude產品執行檢索增強的生成（retrieval-augmented generation，RAG）。RAG技術可藉由存取外部知識來源，使回應更正確，減少生成式AI的幻覺問題。</p> <p>Brave表示之後Premium會再加入其他模型，也會強化網路速限、對話品質，並提供尖峰用量時優先排序，以及早鳥使用新功能等服務。</p> <p>此外，Brave也強調Leo的安全性。在免費版中，Leo的對話是匿名、不公開的，不會紀錄對話，Brave也不會用它來訓練模型，要使用Leo也不用帳號或登入帳號。它使用反向代理（reverse proxy）技術，所有呼叫都經由匿名服器傳送，因此Brave無法建立呼叫和用戶IP位址的關聯性。</p> <p>而在Premium版本中，用戶註冊後會被發派無法連結的令牌來驗證訂閱，這表示Brave無法將使用活動和用戶購買資訊連結起來，用戶的電子郵件只能用於驗證訂閱，但無法追溯在Leo上的一舉一動，可提升用戶的隱私保護。</p> <p>目前Leo及Leo Premium<a href="https://brave.com/leo" target="_blank">可從桌機版Brave 1.6版使用或購買</a>，未來幾個月內會再推出Android及iOS版。</p> </div></div></div>
2023/11/3 13:21作者林妍溱https://www.ithome.com.tw/news/159622
波音坦承攻擊事件影響物料運籌業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周稍早<a href="https://www.ithome.com.tw/news/159565" target="_blank">LockBit勒索軟體宣稱</a>駭入航太大廠波音（Boeing）網路後，<a href="https://www.theregister.com/2023/11/02/boeing_cyber_incident/" target="_blank">昨日波音承認</a>，公司發生網路攻擊事件。</p> <p>波音說有樁網路事件影響其零件及運籌運作，但表示該事件並不影響飛航安全。波音已通報主管機關，並就此展開調查。這家航太龍頭也已通知客戶及供應商。</p> <p>目前<a href="https://services.boeing.com/parts" target="_blank">波音的零件及運籌網站</a>呈現下線狀態，網頁說明理由是「因技術問題而斷線」。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1103-boeing-600-1.png" style="width: 500px;" /></p> <p>波音並未說明發生的攻擊事件為何，以及是否有任何損失。但可能和本周稍早LockBit勒索軟體駭客公布的事件有關。這群駭客宣稱已利用軟體零時差漏洞駭入波音，並竊取了大量敏感資料。LockBit駭客要求波音在11月2日前回應，且揚言若未支付贖金將公開資料報復。駭客亦未公布任何資料樣本。</p> <p>LockBit是當今最活躍的駭客組織，它提供勒索軟體即服務（Ransomware-as-Service，RaaS）供「客戶」發動攻擊。受LockBit勒索軟體之害的組織全球超過1,600個，包括台積電。</p> </div></div></div>
2023/11/3 12:21作者林妍溱https://www.ithome.com.tw/news/159618
付費版Microsoft 365 Copilot正式推向全球，明年支援繁中
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在問世一個月之後，<a href="https://techcommunity.microsoft.com/t5/microsoft-365-copilot/microsoft-365-copilot-is-generally-available/ba-p/3969331" target="_blank">微軟昨日宣布</a>，提供Microsoft 365企業用戶的付費版Copilot AI助理正式對全球企業開賣。微軟預計明年上半才會支援繁體中文。</p> <p>9月間，微軟將以GPT大型語言模型為基礎的AI助理Copilot部署到Windows 11，<a href="https://www.ithome.com.tw/news/158879" target="_blank">同時宣布</a>Microsoft 365 Copilot將於11月開賣的消息。這項服務已在昨日正式開放企業用戶訂閱，價格為每用戶30美元。</p> <p>Microsoft 365 Copilot除GPT外，還結合跨系統資料搜尋API Microsoft Graph，可搜尋網際網路與M365應用，包括Word、Excel、Powerpoint、Outlook、Teams及行事曆等，能協助整合資料提升生產力，像將公司會議、郵件和聊天訊息更新給全團隊、追蹤及提醒專案進度、或以公司內檔案及網路資料製作SWOT分析等。</p> <p>微軟並強調M365 Copilot的安全性及遵守企業政策，微軟不會使用企業資料或用戶對話訓練AI模型，所有資料都存在M365租戶中，由企業控管。對歐盟企業，微軟特別說明M365 Copilot遵守歐盟資料邊界（EU Data Boundary），即讓企業用戶將公司及客戶資料全數存放在歐盟境內的資料中心。</p> <p>M365 Copilot提供給擁有E3、E5及Business Standard、Business Premium企業授權的用戶採購。這些用戶現在已可以免費使用Bing Chat Enterprise版本。目前Bing Chat Enterprise還是預覽版，正式版上線後，未具有企業授權的用戶則需支付每人每月5美元的訂閱費用。</p> <p>M365 Copilot第一波提供英文（美、英、澳、加、印）、西語（西、墨）、葡語（巴西）、德語、義語、日文及簡體中文支援。微軟計畫2024年上半會再加入繁體中文、阿拉伯語、韓語、俄語等16種語言。</p> <p>而針對政府部門的Microsoft 365 Copilot GCC（Government Community Cloud），預定於明年夏天開始部署。微軟會在明年初再進一步透露針對政府的GCC及國防部的DOD版本內容。</p> </div></div></div>
2023/11/3 12:50作者林妍溱https://www.ithome.com.tw/news/159619
【資料中心基礎架構的革命】CXL與可組合式基礎架構的結合
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1154-coverstory-p1-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>HPE</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>推出至今已有6、7年之久的可組合式基礎架構（Composable Infrastructure），這類技術問世之初，是以提供IT基礎架構動態的按需分解，以及組合能力作為主要訴求，進而實現全面資源池化的資料中心架構。儘管可組合式基礎架構產品確實累積一定的成果與用戶，但限於較高成本、缺乏標準化，始終未能普遍應用。</p> <p>不過，近期隨著CXL（Compute Express Link）記憶體互連技術的崛起，以及快速發展，讓可組合式基礎架構重新獲得了進一步發展的契機。</p> <p>透過CXL提供的標準化、通用化高效能傳輸架構，有望解決可組合式系統的成本與標準化問題，進而推動可組合式應用的擴展，最終實現資料中心基礎架構的全面變革。</p> <p><span style="font-size:28px;"><strong>資料中心資源配置最佳化的難題</strong></span></p> <p>可組合式基礎架構的目的，是透過IT基礎設施資源的按需分解與組合，來解決困擾資料中心的老問題：如何實現資源配置的最佳化。</p> <p>該如何滿足應用程式千變萬化的需求，並且適當的配置運算、儲存、網路等基礎架構資源，一直是困擾資料中心管理者的主要問題，因為資源的不足與過量都會造成嚴重後果——資源供應不足將會影響應用程式的效率、甚至運作停擺，資源供應過量又會形成資源閒置，導致營運成本的無謂浪費。</p> <p>因此，相對理想的資料中心資源配置方式，是「動態」的「按需配置」。</p> <p>所謂的「按需配置」，就是依照應用程式的運作需求，恰當的配置資源數量，但應用程式的資源需求並不是一成不變，往往會隨時間而變化，所以資源配置必須視需求變化動態調整，在需求增加時增加資源供給，在需求降低時則減少資源配置。</p> <p>然而傳統基礎架構建置模式，存在著兩大先天制約，導致資源配置難以達到最合適與最理想的狀態。</p> <p>第1個制約，來自「預置式」的IT基礎架構建置方式。</p> <p>第2個制約，來自「靜態式」的伺服器資源配置型式。</p> <p>傳統的IT基礎架構建置方式，都是「預置」的，也就是預判個別應用程式或應用平臺的運作資源需求，然後組建用於運行這些程式的伺服器。為了預防應用程式因資源不足而癱瘓，一般企業都是「寧濫勿缺」，寧可超額配置資源（over provisioning），因而在典型IT環境，過量配置與資源閒置往往是普遍現象。對此，可組合式基礎架構先驅廠商HPE引述非營利組織自然資源保護委員會（NRDC）估計，大型資料中心伺服器平均超額配置資源的比率，超過8成，造成大量資源閒置與浪費。</p> <p>雪上加霜的是，資料中心的基礎架構資源配置形式，都是以個別伺服器為單位、以CPU為中心的「靜態配置」形式，CPU、記憶體與儲存等資源，都被綑綁在個別伺服器之內，以致個別伺服器之間形成一座座的資源孤島，無法跨伺服器調度資源。</p> <p>前述2項因素，共同導致了當前資料中心資源配置問題。</p> <p>首先，「預置式」的IT基礎架構建置方式，造成高比例的過量資源配置，帶來大量的閒置資源。其次，「靜態」的伺服器資源配置形式，導致IT人員難以跨伺服器調度資源配置，連帶也無法利用個別伺服器上的閒置資源。</p> <p><span style="font-size:28px;"><strong>透過虛擬化改善資源配置</strong></span></p> <p>透過伺服器虛擬化技術，能一定程度地緩解IT基礎架構過量配置，所導致的運算資源閒置問題。藉由虛擬化平臺的中介，應用程式以虛擬的形式來使用運算資源，而不是固定的佔用實體資源，從而讓多個應用程式動態地共享實體運算資源，大幅減少運算資源閒置。</p> <p>然而，虛擬化技術動態使用各種IT資源的能力，僅限於在個別實體伺服器之內，依然無法全面橫跨不同伺服器調度資源，只能透過在不同實體伺服器間遷移應用程式工作負載的方式，來調整不同伺服器之間的資源利用率。</p> <p>但伺服器虛擬化技術這種透過遷移工作負載、間接調整不同伺服器資源利用率的方式，還無法真正實現資源配置的最佳化。</p> <p>首先，遷移工作負載的實現，是以其他伺服器有足夠閒置資源為前提，換句話說，整個應用環境必須擁有足夠高的超額資源配置，才能允許工作負載的自由遷移，這本身就與資源配置最佳化的概念背道而馳。</p> <p>其次，遷移工作負載的資源調度方式，是以一整臺實體伺服器為單位，資源配置粒度過大，不能精確對應運算、儲存、網路等不同面向資源的配置。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1154-coverstory-P1-600-1.png" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><strong>可分解式基礎架構的基本概念</strong></span><br /> <span style="color:#696969;"><strong>可組合式基礎架構是透過資源的分解與組合來運作，首先，將基礎架構資源分解為個別的CPU、記憶體、加速卡、網路介面、儲存裝置，再依類型組成資源池。然後，透過可組合式架構的資源編排管理軟體，依照應用程式的工作負載情況，從資源池中提取適當的資源，組成動態的虛擬伺服器，分別配置給各個應用程式使用。<br /> 藉此可實現基礎架構資源的動態按需配置，最大程度地減少資源的過量配置與閒置，進而顯著節省IT基礎架構的成本。</strong></span></p> <p><span style="font-size:28px;"><strong>解構基礎架構實現資源配置最佳化</strong></span></p> <p>可組合式基礎架構則解構了傳統的伺服器應用框架，以「資源池」與「資源的動態分解與組合」的方式，來實施資源的配置。</p> <p>相較於預先配置了運算、儲存與網路資源的傳統伺服器。可組合式基礎架構採用非預先配置與非聚合式的架構，所有基礎架構資源，都分解為一個個基本的運算、儲存與網路單元，再以軟體定義的方式，將這些資源按需組成動態的虛擬伺服器。</p> <p>所以用戶此時面對的並不是一臺臺伺服器，而是非聚合的各種「資源池」，如「CPU池」、「GPU池」、「儲存池」、「I/O介面池」等，然後依照前端應用平臺的不同需求，從資源池取出適當的資源，組成動態的虛擬伺服器，提供給個別應用平臺使用。而當需求變化或消失時，則可調整或分解虛擬伺服器的組態，將資源歸還到資源池，再重新組合利用。</p> <p>透過「資源池」與「資源的動態分解與組合」，可組合式基礎架構相較於傳統伺服器，具備2大優勢：</p> <p>● 提供更徹底的按需配置：可組合式基礎架構的所有資源，一開始是以分解的型態，分散在各個資源池，再依應用程式的實際需求，從各個資源池中取出適當的資源，組成虛擬伺服器。</p> <p>● 擁有更靈活的資源調度能力：在可組合式基礎架構下，資源池中的資源可依照前端應用程式的負載情況，靈活地重新分解與組合，藉此調整不同虛擬伺服器的資源配置。</p> <p>也就是說，可組合式基礎架構提供了「動態」的資源「按需配置」能力，因而不像預先配置資源的傳統伺服器，容易產生大量的資源閒置，即便出現閒置資源，也能將資源從虛擬伺服器分解、歸還給資源池，藉以重新組合運用。</p> <p>所以，理論上，可組合式基礎架構的存在，可一舉解決解決傳統伺服器資源配置兩大問題：（1）過量資源配置導致嚴重的資源閒置，（2）無法跨伺服器調度資源，進而實現資源配置的最佳化。</p> <p>率先推出可組合式架構產品的HPE，曾在2016年表示，透過採用這種嶄新的架構，可讓資料中心的資源過量配置減少60%，從而節省17%的資本支出。</p> <p>HPE在2019年又提出更詳細的效益數字，聲稱藉由可組合式基礎架構產品消除過量配置與閒置資源，IT基礎設施成本能因此降低25%，每臺伺服器的平均部署時間減少71%，同時也能讓IT基礎架管理團隊的效率提高60%。</p> <p><span style="font-size:28px;"><strong>可組合式架構與超融合架構是截然不同的兩條路線</strong></span></p> <p>除了與基於通用伺服器設計而成的傳統IT基礎架構對比，我們還可進一步看出，可組合式基礎架構這種問世於2010年代中後期的新產品，也有別於2010年代初期流行的超融合基礎架構（Hyper-Converged Infrastructure，HCI），兩者可說是正好截然相反的技術路線。</p> <p>這兩種產品，都可說是本地端IT產品供應商，因應公有雲威脅，而各自發展出來的新興應用架構。</p> <p>超融合是以基礎架構的融合為手段，以運算、儲存資源合一的基本機箱單元為基礎，訴求採購、部署、管理與擴充的簡便，並具備類似公有雲的超大規模擴展能力。</p> <p>可組合式基礎架構則反其道而行，以基礎架構的分解與組合為手段，將基礎架構重新分解，成為運算、儲存、網路等基本單元，再彈性地加以組合運用，訴求精確、彈性的資源配置與運用，並提供類似公有雲的按需配置靈活性。</p> <p>顯然兩種應用架構各自從不同面向，來解決傳統IT基礎架構的問題，然而，可組合式基礎架構的推廣，卻不像超融合那樣順利。</p> <p><span style="font-size:28px;"><strong>推廣可組合式基礎架構的瓶頸</strong></span></p> <p>可組合式基礎架構的開端，是HPE於2016年推出的Synergy，這也是業界首款可組合式基礎架構產品，到了2018年，陸續又有Attala Systems、Dell、DriveScale、Liqid與Western Digital等廠商，跟進投入這個新興的產品領域，形成第一波浪潮。</p> <p>大約到了2019年前後，可組合式基礎架構的發展到達了高峰，各廠商頻繁發表產品，HPE也表示Synergy產品線營業額已達到15億美元。</p> <p>後續可組合式基礎架構產品的發展與推廣，卻陷入明顯的停滯，只剩下HPE、Liqid等廠商仍在積極更新產品。其他廠商方面，Attala Systems在2020年之後便消失於市場，DriveScale 2021年為Twitter收購，Dell的MX7000可組合式架構產品線也久未大幅更新。</p> <p>即便是這個市場的領導者HPE，Synergy產品線的更新速度也已放緩，運算單元的規格，已落後於通用伺服器產品一個世代。</p> <p>依照市調機構IDC的預估，2023年可組合式基礎架構的總銷售額將達到47億美元，乍看之下，這似乎有不錯的業務表現，其實，還不到通用伺服器市場銷售額的5%，相較於超融合基礎架構（HCI）產品，市場規模也不及其一半。</p> <p>而這些跡象的存在，也意味著，可組合式基礎架構目前仍未被多數用戶接受，成為建置IT環境的主要選擇。</p> <p>我們認為可組合式基礎架構推廣不順的原因，可歸納為下列兩點：</p> <p><strong><span style="color:#B22222;">公有雲的衝擊</span></strong></p> <p>可組合式基礎架構的主要訴求，是消除過量配置與閒置資源，從而顯著節省IT基礎架構的建置與運作成本，這的確有吸引力，但對於多數用戶來說，仍不及由公有雲統包大部分的IT基礎設施建置與管理，所能立即感受到的效益。</p> <p>事實上，當用戶將應用遷移到公有雲平臺上後，等於將資源配置與閒置問題，轉移給公有雲業者去承擔。</p> <p>儘管公有雲資料中心同樣存在嚴重的資源過量配置與閒置現象，且業者也將這些沉沒成本轉嫁給承租的用戶承擔，然而，這並不是一般用戶會直接感受到的問題。</p> <p><span style="color:#B22222;"><strong>可組合架構的代價</strong></span></p> <p>可組合式架構提供的基礎資源靈活分解與組合能力，是透過各廠商專屬的軟硬體架構來實現，因而也帶來缺乏標準化與成本較高的問題。</p> <p>雖然目的相同，但各個可組合式架構供應商的產品型態，有著很大的差異。</p> <p>例如，HPE Synergy是以10U刀鋒模組機箱為基礎，搭配乙太網路來連結不同的基礎單元，而Dell的MX7000則是以7U刀鋒式機箱為基礎搭配乙太網路，Liqid則是以自身專屬的PCIe交換器與周邊擴充機箱為核心，透過自身專屬PCIe HBA卡，來搭配第3方的運算單元。</p> <p>除此之外，可組合式架構還需透過專屬的管理軟體與API，才能實現資源的組合與指派。</p> <p>例如，HPE Synergy搭配OneView可組合式軟體堆疊與Composer軟體，Dell MX7000是透過OpenManager軟體，Liqid則採用自身的Matrix管理軟體。</p> <p>非標準化的硬體組態與軟體架構，無可避免地會導致可組合式產品成本較高，同時還有用戶將被綁定在特定廠商與產品框架的疑慮。</p> <p>依照HPE等供應商的說法，透過可組合式產品，至少可以節省20%的IT基礎架構成本，這確實是相當顯著的節省，但考慮到可組合式產品在非標準化，與專屬架構綑綁方面的問題，相當程度抵銷了這個優點，以致許多用戶寧可繼續使用傳統IT基礎架構。</p> <p>即使撇開非標準化與架構綁定問題，可組合式架構最主要的訴求——透過資源配置最佳化、節省資源過量配置與閒置，從而達到成本節省效果，對於不同應用規模的用戶來說，效益也有很大的差異。</p> <p>對於大規模IT環境來說，減少一半的資源閒置或20%的成本，的確相當具有吸引力，</p> <p>但是對於小規模IT環境來說，透過伺服器虛擬化技術，就能讓資源利用率達到可接受的程度，不需要大費周章引進可組合式這種全新架構。</p> <p>所以，顯然可組合式架構對於大型用戶較有吸引力，對中小型用戶的吸引力較為不足。目前已知的一些HPE Synergy用戶，確實也是大型企業或組織居多。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1154-coverstory-P1-600-2.png" style="width: 567px;" /></p> <p><span style="color:#3399ff;"><strong>典型的可組合式基礎架構產品：HPE Synergy</strong></span><br /> <span style="color:#696969;"><strong>HPE Synergy是最早的可組合式基礎架構產品，上圖為Synergy 12000機箱框架的基本組成，採用10U的刀鋒式機箱，機箱正面可安裝運算模組、儲存模組，以及負責系統管理的Composer模組，機箱背面則安裝SAS連接模組、FC光纖通道模組，以及100GbE乙太網路模組，與50GbE乙太網路內部互連模組。<br /> 透過Composer管理模組的OneView管理介面與API，可以透過彈性的方式組合不同運算、儲存與網路模組，配置給應用程式工作負載使用。</strong><span style="font-size:14px;">圖片來源／HPE</span></span></p> <p><span style="font-size:28px;"><strong>CXL技術帶來新契機</strong></span></p> <p>可組合式架構若要進一步推廣，勢必要設法解決標準化問題，而核心互連網路架構將會是箇中關鍵！</p> <p>可組合式架構的核心，在於連結各個基礎架構單元的核心網路，所以，這種架構標準化的關鍵，便在於引進通用的標準網路架構。</p> <p>先前可組合式相關供應商曾把標準化的希望，寄託在Gen-Z網路互連技術的發展上。比起OpenCAPI、CCIL與CXL等同類型的互連技術，Gen-Z設定的願景更大，不僅能用於處理器與記憶體互連，還規畫了跨機箱與異質裝置的互連，很適合作為可組合式架構的標準互連網路，Dell與Liqid也都曾考慮引進Gen-Z，但不幸的是，Gen-Z並未成功，已宣告終止發展。</p> <p>而隨著後續Gen-Z併入CXL技術，可組合式架構標準化的希望，這幾年以來，也逐漸轉移到CXL身上。</p> <p>藉由CXL規格持續擴展，為可組合式架構帶來新轉機，因為它能提供兼具高效能與通用性的標準化傳輸通道，讓可組合式架構的標準化有了新的可能。</p> <p>隨著CXL技術的發展，可組合式架構領域近來有了復甦跡象，在2021年以後，浮現新一批可組合式基礎架構廠商，例如GigaIO、Fungible、Enfabrica等。（其中Fungible已於2023年1月由微軟併購）</p> <p>其中部分廠商如Enfabrica，一開始就是基於CXL打造可組合式運算平臺。Enfabrica稱作加速運算網路（Accelerated Compute Fabric，ACF）的模組化、可組合式運算平臺，可透過該公司PCIe/CXL交換器晶片（稱作Server Fabric Adapter，SFA），提供運算、記憶體與網路資源的任意分解與組合能力。</p> <p><span style="font-size:28px;"><strong>走向全面解構的資料中心</strong></span></p> <p>透過CXL技術的加持，有望促使可組合式架構獲得進一步的發展。</p> <p>但若從更寬廣的資料中心發展觀點來看，無論可組合式架構這類產品最終能否成功推廣與普及，資料中心基礎架構都正朝向解構、非聚合化與資源池化的方式發展。</p> <p>為了打破伺服器核心單元間的彼此綑綁，獲得更彈性的資源配置，過去20年來，資料中心的基礎架構一直逐漸地解構與非聚合化。</p> <p>最早實現解構的IT資源是在儲存端，例如，1990年代透過光纖通道（Fibre Channel）、iSCSI等儲存區域網路（SAN）技術，便實現了將儲存資源從伺服器中剝離，讓儲存裝置「資源池化」的目的。</p> <p>外部儲存設備可透過SAN網路連結成為「儲存池」，而伺服器只需要配置最低限度的本機儲存裝置，甚至完全不配置本機儲存裝置，伺服器需要的儲存資源，則可經由SAN網路從儲存池取得。</p> <p>在2010年代中後期，透過Nvidia的NVLink、NVSwitch等GPU高速互聯技術，將GPU也從伺服器剝離出來，成為可獨立擴展規模與調整配置的GPU運算叢集。</p> <p>而到了2020年代的今日，利用CXL這類記憶體互連技術，DRAM記憶體資源目前也已具備從伺服器解構出來的基礎，能在伺服器之外建立獨立的「記憶體池」，從而在不同伺服器之間，動態按需分派記憶體資源，當需求增大時從記憶體池增加記憶體配置，系統閒置時，則將記憶體歸還到記憶體池。</p> <p>而伺服器本身則能只配置最低限度、甚至完全不配置DRAM記憶體，需要的記憶體資源改由外部的記憶體池取得。</p> <p>接下來，CXL還能應用到FPGA加速卡、I/O卡等周邊裝置的連結，將這些裝置也從伺服器中剝離出來，成為「加速卡池」、「I/O卡池」，從而在不同伺服器之間動態分配應用。</p> <p>而伺服器在逐一剝離了儲存裝置、GPU卡、DRAM記憶體、FPGA加速卡、I/O卡，之後便成為只提供CPU資源的單純運算裝置單元，自身也能構成「CPU池」，再加上「儲存池」、「GPU池」、「記憶體池」、「加速卡池」，共同構成全面非聚合化與資源池化的資料中心架構。</p> <p>上述的發展方向，與可組合式基礎架構的目的，可說殊途同歸。差別在於，資料中心的非聚合化，是綿延長達20年、自然漸進演變的趨勢，而可組合式基礎架構則試圖透過單一產品，就直接實現這個目標。</p> <p>更進一步而言，這股「解構」的風潮，如今也已經蔓延到最初以融合IT基礎架構為主要訴求的超融合領域，VMware與Nutanix等兩大超融合平臺，近年來都悄悄引進了非聚合式的架構，鬆綁了超融合系統原本的運算與儲存合一架構，開始提供純運算節點與純儲存節點的部署選擇，以便改善資源擴展與配置的效率，等同走向可組合式架構。</p> <p>所以，我們現在可以更大膽地預言：無論可組合式架構未來能否成功，資料中心IT基礎架構的演變，最終都會成為可組合式架構所描繪的模樣。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1154-coverstory-P1-600-3.png" style="width: 592px;" /></p> <p><span style="color:#3399ff;"><strong>邁向非聚合化的資料中心基礎架構</strong></span><br /> <span style="color:#696969;"><strong>當前的資料中心基礎架構，屬於「非聚合化」發展的初期階段，只有儲存資源與GPU加速器被解構到伺服器外，伺服器應用架構是以CPU為核心，記憶體、I/O介面等資源都綑綁在伺服器內，至於伺服器之間，則主要透過乙太網路互連。<br /> 不久之後，當CXL開始獲得應用之後，記憶體也將能被解構到獨立的CXL應用裝置上，構成「記憶體池」，然後透過CXL與伺服器互連，將記憶體資源動態地分配給伺服器使用。<br /> 而在更遠的未來，預期CXL的應用將進一步擴大，進而將伺服器機架分解為獨立的運算、記憶體與I/O機箱，分別構成「CPU池」、「記憶體池」、「I/O」池，彼此間都透過CXL互連，成為徹底的非聚合式架構。<br /> 依照CXL控制器供應商Marvell的預測，應用CXL記憶體池的部分非聚合式伺服器架構，將在2024到2025年進入部署階段，而完全分解的伺服器架構，則會在2020年代末期出現。</strong><span style="font-size:14px;">圖片來源／Marvell</span></span></p> <p><a href="https://www.ithome.com.tw/article/159581" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1154-feng_mian_p1-open-ming_de_-960x420_kao_bei_0.jpg?itok=WTYQ43YW" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%8F%AF%E7%B5%84%E5%90%88%E5%BC%8F%E5%9F%BA%E7%A4%8E%E6%9E%B6%E6%A7%8B">可組合式基礎架構</a></div><div class="field-item odd"><a href="/tags/cxl">CXL</a></div><div class="field-item even"><a href="/tags/composable-infrastructure">Composable Infrastructure</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E6%96%99%E4%B8%AD%E5%BF%83">資料中心</a></div></div></div>
2023/11/3 12:00作者張明德https://www.ithome.com.tw/tech/159579
【從3大面向檢視當前可組合式基礎架構產品】可組合式基礎架構產品導覽
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1154-coverstory-p2-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Liqid</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在過去十年來的IT基礎架構技術發展中，可組合式基礎架構（Composable Infrastructure）可算是真正的革命，徹底打破傳統伺服器的框架，讓伺服器的資源配置與調度，進化到新層次。甚至市調機構IDC與部分廠商為此特別創造新名詞，名為「可組合分解式基礎架構」（Composable Disaggregated Infrastructure，CDI），以此稱呼這種新興產品類型，強調這類產品透過「組合與分解」基礎架構資源，因應IT應用需求的嶄新特性。</p> <p>CDI這個領域迄今只有6、7年的歷史，起點可追溯HPE於2016年推出第一套可組合式基礎架構產品Synergy，之後，陸續又有Attala Systems、Dell、DriveScale、Enfabrica、Fungible、GigaIO、Liqid與Western Digital（WD）等廠商投入，開拓這個新興領域，雖然這些大多都是新創廠商，但是，也有HPE、Dell與WD等一線大廠。即便去除為併購或其他因素而退出市場的廠商，如Attala Systems、DriveScale、Fungible，CDI仍是一個頗具發展潛力的產品類型，依IDC的預估，CDI在2022、2023年的市場規模，約有30、40億美元之譜。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1154-coverstory-P2-600-1.jpg" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><strong>可組合式基礎架構的2大關鍵元件</strong></span><br /> <span style="color:#696969;"><strong>依照前端應用程式的需求，動態地按需分解與組合運算、儲存、網路等基礎架構資源，是可組合式基礎架構的基本運作方式，因此對這類產品來說，最關鍵的兩項元件，便是用於連結所有資源的核心網路，以及提供資源組合與配置管理的軟體平臺。<br /> 以上圖呈現的Liqid Matrix平臺為例，核心網路是以PCIe 4.0為基礎（也提供採用100GbE的選項），軟體平臺則是基於Matrix的Liqid Command Center。</strong><span style="font-size:14px;">圖片來源／Liqid</span></span></p> <p><span style="font-size:28px;"><strong>可組合式架構的特性：裸機即服務</strong></span></p> <p>可組合式基礎架構的目的，與伺服器虛擬化技術一樣，都是以提高IT基礎架構的資源利用率、改善資源配置靈活性為目的，但採取的手段與運作的層次不同，因而達到的效果也有異。</p> <p>伺服器虛擬化技術是透過虛擬軟體層的模擬，來突破實體伺服器的應用框架，但並未改變伺服器的實體硬體型態，因而跨伺服器間的資源調度，仍會受到實體伺服器框架的限制，無法跨伺服器轉移、調度實體的硬體資源，只能透過在不同伺服器間遷移工作負載，間接地調整跨伺服器間的資源利用。</p> <p>也就是說，伺服器虛擬化技術只能在不同伺服器之間轉移工作負載，而無法跨伺服器實際轉移實體硬體資源。事實上，在傳統伺服器的框架下，要跨不同伺服器去轉移實體硬體資源，唯一辦法只有停機、手動拆卸與遷移硬體元件。</p> <p>可組合式基礎架構則是從底層的硬體層次，改變伺服器的組成型態，將IT基礎架構資源分解為不同的資源池（CPU池、記憶體池、GPU池、儲存池等），然後再視前端應用程式的需求，從資源池中取出適當的硬體資源，組成虛擬伺服器，再將其用於運行應用程式。</p> <p>可組合式架構組成的虛擬伺服器，等同於實體的裸機（Bare Metal）伺服器，但具備動態組合與分解能力，可依應用程式工作負載設定與調整資源配置，並在應用程式執行完畢後，分解虛擬伺服器，將資源回歸資源池，以便其他應用程式重新組合運用。這也等同「裸機即服務」（Bare Metal as a Service），按需動態提供裸機資源的解決方案。</p> <p>更進一步，這種硬體資源任意分解與組合的能力，也形同於可以在不同伺服器之間，直接調度與轉移CPU、記憶體、GPU等實體硬體資源，這是傳統伺服器框架所無法想像的調度能力。</p> <p>可組合式架構可獲得不受傳統伺服器硬體框架限制的資源調配靈活性。更進一步，也能和伺服器虛擬化平臺結合使用，從而兼具兩種技術的優點，共同幫助實現資料中心資源配置的最佳化，避免資源過量配置與閒置。</p> <p><span style="font-size:28px;"><strong>檢視當前的可組合式基礎架構產品</strong></span></p> <p>可組合式基礎架構是透過將資源池中的不同資源，按需組合與分解來運作，所以，這類產品通常可以分為兩個部分，其一，是構成資源池的硬體資源，其二，則為提供資源動態分解與組合操作能力的核心網路與管理平臺。</p> <p>在實體層面，可組合式基礎架構也是透過機架式伺服器、儲存櫃，以及網路交換器，來提供IT環境需要的運算、儲存、網路等硬體資源，看起來與傳統伺服器架構沒太大不同，然而，差別在於可組合式基礎架構是以資源池的方式，來管理與使用這些硬體元件。</p> <p>為了將分散在各資源池中的硬體元件，動態地組合成虛擬伺服器，必須利用一套專屬核心網路，連結各資源池的所有硬體元件，還要有一套軟體平臺，來管理這些資源的分解與組合配置。</p> <p>因此可組合式基礎架構產品的核心，便是用於連結所有基礎架構資源的專屬核心網路，以及負責提供資源分解與組合操作管理的系統軟體平臺。</p> <p>所以，在檢視與評估可組合式架構產品時，系統硬體組成、核心網路類型，以及系統軟體這3個面向，便是最自然的出發點。接下來，我們便以這3個面向，簡要檢視當前主要可組合式架構產品。</p> <p><span style="color:#B22222;"><strong>系統硬體組成</strong></span></p> <p>目前的可組合式架構產品大致分為兩種，一為完全整合型，也就是單一產品同時內含運算、儲存、網路等所有必要的資源；另一為部分整合型，產品只提供儲存、網路、運算加速等部分功能，須搭配第三方的伺服器或儲存設備，才能構成完整的應用環境。</p> <p>最具代表性的完全整合型產品，便是HPE Synergy，以及Del lMX7000，兩者都以刀鋒機箱為基礎。</p> <p>HPE Synergy採用10U的刀鋒式機箱，可以容納負責系統管理的Composer管理模組、運算模組、儲存模組、50GbE內部互連模組、SAS連接模組，以及100GbE與32Gb FC網路模組。還能搭配機箱外部的交換器與儲存陣列。</p> <p>Dell MX7000則採用7U刀鋒式機箱，可容納運算模組、儲存模組，以及乙太網路交換器模組、FC交換器模組，以及內部互連模組，與網路擴展模組，並可透過FC交換器模組連結外部儲存設備。</p> <p>部分整合型產品方面，則依不同廠商而有很大差異，基本可分兩大類：以網路端設備為核心、以儲存端設備為核心，前者有Liqid、GigaIO、Enfabrica，後者則有WD、DriveScale、Fungible。</p> <p>Liqid的Martix可組合式架構平臺同時提供完全整合與部分整合這兩種型態。最初Liqid只提供部分功能型產品，以專屬PCIe Fabric交換器為核心，加上用於安裝GPU、FPGA加速卡、SCM、SSD與I/O介面卡等周邊裝置的擴展機箱，需額外搭配通用伺服器作為運算單元（須安裝Liqid PCIe HBA卡）。</p> <p>後來Liqid在2022年推出ThinkTank整合式套件，同時提供PCIe Fabric交換器、內含GPU、網路卡、NVMe SSD的擴展機箱，以及通用伺服器。</p> <p>GigaIO的FabreX系統，則是提供自身專屬的FabreX交換器，以及專屬的FabreX網路卡，搭配第三方伺服器與儲存伺服器，來構成完整應用環境。</p> <p>Enfabrica則是以專屬ACF-S PCIe/CXL交換器晶片為核心，打造了ACF-S網路節點機箱，可配置為GPU網路節點或記憶體池節點，然後另外搭配通用伺服器，構成完整應用環境。</p> <p>WD的OpenFlex則提供NVMe儲存機箱，包括早先發表的E3000機箱，以及現在推出的Data24機箱。在2021年初被Twitter（現在的X）併購的DriveScale，也以儲存伺服器機箱為核心。2023年初被微軟併購的Fungible，同樣以搭載專屬DPU卡的FS1600儲存伺服器為核心。</p> <p><span style="color:#B22222;"><strong>核心網路類型</strong></span></p> <p>可組合式架構內用於連接各個單元的核心網路，會影響可組合式系統資源的分解粒度，擴展規模，以及分散部署能力（各單元的部署距離）。</p> <p>目前可組合式架構產品採用的核心網路，可分為乙太網路與PCIe等2大類型。其中HPE、Dell、WD、DriveScale與Fungible屬於乙太網路陣營，Liqid、GigaIO與Enfabrica則屬於PCIe陣營。</p> <p>乙太網路的優點是設備通用，連接距離長，設備能夠更分散地安裝部署，缺點是只能用在機箱之間的互連，而無法深入機箱內部、用於核心元件間的互連，這也限制了資源的分解粒度。</p> <p>PCIe的優缺點則與乙太網路相反，缺乏通用性，必須使用廠商專門訂製的設備（交換器與HBA卡），連接距離也較短，但頻寬與延遲表現都更佳，既能用於機箱之間互連，也能用於機箱內部元件的互連，可提供更精細的分解粒度。</p> <p>由於核心網路有別，也影響各家可組合式架構產品能提供的組合分解粒度。例如，採用乙太網路、搭配FC介面輔助的HPE Synergy與Dell MX7000，分解與組合的粒度，都只達到運算模組、儲存裝置，以及交換器的層次。</p> <p>至於採用PCIe作為核心網路的Liqid、GigaIO與Enfabrica，不僅能提供運算模組、儲存模組與交換器的分解與組合，還能提供GPU卡、FPGA卡、網路卡、儲存級記憶體裝置（SCM）等元件的分解與組合，應用更為靈活，代價則是必須搭配使用各廠商專門設置的PCIe交換器，以及HBA卡。</p> <p>採用PCIe還有便於日後升級、引進CXL互連技術的優點，藉此可將分解與組合的粒度提高到DRAM記憶體層級。</p> <p>目前Liqid、GigaIO的可組合式平臺都是基於PCIe 4.0，足以作為GPU卡、FPGA卡、網路卡等元件的連接介面，但是，還不足以作為記憶體的傳輸介面。當有了基於PCIe 5.0的CXL技術之後，便能進一步將記憶體從運算單元分離，例如後起的Enfabrica，便是以CXL/PCIe 5.0為核心網路架構，因而也是目前唯一提供記憶體池的可組合式產品。較早推出產品的Liqid與GigaIO，也都已準備跟進導入CXL技術。</p> <p><strong><span style="color:#B22222;">系統軟體</span></strong></p> <p>所有的可組合式架構產品，都必須透過專門的軟體平臺，管理資源的組合與配置。</p> <p>例如，HPE Synergy是採用HPE自身的OneView、Composer軟體，以及API，Dell MX7000則採用Dell的OpenManage軟體，WD OpenFlex必須透過KlngFish API，Liqid則是自身專屬的Matrix軟體。Fungible是藉由專屬Composer管理伺服器管理。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1154-coverstory-P2-600-2.png" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><strong>典型的可組合式系統產品：全整合型</strong></span><br /> <span style="color:#696969;"><strong>Dell的MX7000是典型的完全整合型可組合式架構產品，以MX7000模組化機箱為基礎，搭配提供多種運算模組、儲存模組、網路模組，單憑自身產品就能構成完整的應用環境。</strong>圖片來源／Dell</span></p> <p class="rtecenter"><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1154-coverstory-P2-600-3.png" style="width: 600px;" /></span></p> <p><span style="color:#3399ff;"><strong>典型的可組合式系統產品：部分整合型</strong></span><br /> <span style="color:#696969;"><strong>Liqid的Matrix是典型的部分整合型可組合式架構產品，Liqid提供PCIe交換器與數種PCIe擴展機箱，然後另外搭配標準的通用伺服器，共同構成完整的應用環境</strong>。<span style="font-size:14px;">圖片來源／Liqid</span></span></p> <p><span style="font-size:28px;"><strong>跨產品的整合應用</strong></span></p> <p>不同的核心網路架構，以及專屬的管理平臺，是導致可組合式架構產品難以標準化的一部分原因。</p> <p>不過，也有可組合式架構產品供應商透過相互合作，提供跨產品的整合方案。例如Liqid便分別與Dell與WD合作，將Liqid的Matrix平臺結合Dell MX7000與WD OpenFlex平臺，提供整合解決方案。</p> <p>例如在Dell與Liqid的整合方案中，MX7000透過安裝Liqid的PCIe HBA卡，經由Liqid的PCIe交換器連接Liqid擴展機箱，將MX7000的運算模組與網路模組，結合Liqid擴展機箱提供的GPU卡、FPGA卡、SSD、網路卡等元件，共同組成資源池，並透過Liqid的Matrix管理平臺來動態地組合配置這些資源。</p> <p>這種跨廠商與跨產品的整合，也是在可組合架構領域缺乏標準化的現況下，擴大不同平臺應用能力的變通作法。</p> <p><a href="https://www.ithome.com.tw/article/159581" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1154-feng_mian_p1-open-ming_de_-960x420_kao_bei_0.jpg?itok=WTYQ43YW" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%8F%AF%E7%B5%84%E5%90%88%E5%BC%8F%E5%9F%BA%E7%A4%8E%E6%9E%B6%E6%A7%8B">可組合式基礎架構</a></div><div class="field-item odd"><a href="/tags/cxl">CXL</a></div><div class="field-item even"><a href="/tags/composable-infrastructure">Composable Infrastructure</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E6%96%99%E4%B8%AD%E5%BF%83">資料中心</a></div></div></div>
2023/11/3 12:00作者張明德https://www.ithome.com.tw/tech/159580
可組合式基礎架構邁向復甦
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1154-feng_mian_p1-open-ming_de_-960x420_kao_bei_0.jpg?itok=WTYQ43YW" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>藉由CXL記憶體互連技術發展，沉寂數年的可組合式基礎架構（Composable Infrastructure），有了重生與擴大契機。藉由CXL的標準化高效能互連通道，搭配可組合式系統提供的資源任意按需分解與重組能力，將能實現硬體全面解構，更多類型的資源能橫跨伺服器共用，為資料中心帶來全新樣貌。</p> </div></div></div>
2023/11/3 12:00作者張明德https://www.ithome.com.tw/article/159581
不只為加速轉型全面擁抱公雲，裕利更善用IT創新數位化應用
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣3年前能夠成功應對疫情考驗，除了政府政策和民眾積極配合外，負責疫苗配送的裕利醫藥，也是其中一大幕後功臣。裕利之所以能夠接下COVID-19疫苗配送任務，不僅僅因為是唯一一家有能力提供不同溫層的醫藥冷鏈物流服務商，這家公司很早就開始展開數位轉型，運用IT打造強健的韌性營運能力，更是其中重要的關鍵。</p> <p>尤其，裕利的商業模式很不一樣，不僅僅是提供醫藥物流配送，還包括了藥廠銷售維運服務，可以說，藥廠除了研發、製造以外的所有營運功能，幾乎都可以委託裕利一手包辦，因此不只每天需要處理上萬筆訂單，多達上萬種藥品配送，甚至還包辦藥廠所有營運，這使得裕利這家公司的經營重度依賴IT，必須仰賴IT和數位化，甚至加速轉型上雲，發展創新數位化應用。</p> <p><span style="font-size:28px;"><strong>裕利高度倚重IT，不只服務藥廠、醫院，還要加速新事業發展</strong></span></p> <p>身為一家跨國醫藥物流服務集團，裕利目前在全球擁有13個營運據點，光是在臺灣，上百家國外藥廠的醫藥物流經銷，全都委外給裕利。因此，裕利每天處理的業務相當複雜，不僅為藥廠的客戶提供服務，負責包辦其所有行政、客服等事務，同時還需要代替藥廠向醫院投標藥品，甚至還需要直接面對全臺2萬家診所、醫院和藥局的訂單需求。</p> <p>不光如此，裕利近幾年持續擴大服務版圖，跨足不同新事業，從醫療保健、病患照護、醫療險審件，到跨足電商通路行銷。這些新的業務和服務，要能迅速發展，背後都高度倚重IT。</p> <p>裕利集團在2019年決定轉型，以數位優先為主軸，來發展各種醫藥數位化應用，服務不同藥廠、醫院、診所等，以因應不斷推出的新醫藥服務和不斷增長的醫療保健需求。裕利IT成了加速集團轉型的關鍵。</p> <p>陳俊銘去年底開始擔任裕利臺灣分公司IT主管，一方面持續推動數位轉型，以符合集團總部的轉型目標；另一方面將總部新系統逐步落地臺灣，來提升醫藥服務效率和品質。</p> <p><span style="font-size:28px;"><strong>導入新的標案管理系統，簡化繁瑣人工作業流程</strong></span></p> <p>雖然陳俊銘上任不到一年，但在這段期間，他和IT團隊配合集團全球政策，持續導入新系統，簡化內外部作業流程，新推出的標案管理系統就是其中一個例子。</p> <p>目前在臺灣，裕利一年要處理約2千件藥廠客戶的標案，由裕利代表這些藥廠向醫院投標，但是每間藥廠都會提供他們自己藥品的價格，一百多間藥廠中，就有超過兩萬個藥品的品項。這些處理工作相當繁瑣。</p> <p>裕利臺灣的IT團隊過去自行建立一套標案管理系統，負責投標相關作業的處理，但執行過程包含不少人工環節，如由人員前往醫院抄寫標案內容，再手動輸入到系統中，並透過電話或電子郵件與藥廠聯繫，協助後續的代標作業。這個過程不僅相當耗時，還需要大量人力，於是去年底，陳俊銘上任後決定採用新系統來處理。</p> <p>雖然這套系統是由裕利總部開發，由臺灣IT團隊導入，他表示，從規畫階段開始，臺灣IT團隊就積極參與其中。他解釋，由於臺灣對於標案的需求與裕利在其他地區經營作法有所不同。例如在臺灣有許多公立醫院，各家醫院都有自己的標案系統，還有來自不同單位的標案的需求，像是榮民總醫院就有退輔會的標案，而三軍總醫院則有軍方的標案等，因此，臺灣團隊當時花了不少時間與總部合作，使開發出來的新系統能夠貼近臺灣在地化的標案型態所需。</p> <p>這套系統自今年初上線以來，目前在臺灣已有70幾家藥廠開始使用。他表示，採用新系統的好處，一方面，可以讓醫院招標資料取得更自動化，以RPA軟體機器人取代人工抄寫，大幅節省人工收集的時間，也能避免負責的業務人員離職後需要重建資料的情況；另一方面，藥廠客戶可以很容易查看過去自己投標出價的歷史記錄，甚至對於感興趣的標案，也能直接透過平臺委由裕利來代標，還能隨時查看標案進度、結果，及相關合約處理事項等。</p> <p>不只是標案系統，目前，100多家國外藥廠在臺灣所使用的IT系統或服務，從訂單到最後出貨、送貨，全部由裕利提供。此外，裕利還為許多臺灣本地的醫院、藥局、診所提供各項服務，例如推出線上訂貨服務，讓他們可以線上訂購處方藥、醫療設備或健康產品，還推出能線上付款的裕利Pay服務。迄今多達7千家藥局、診所有用。</p> <p>除了導入新系統，裕利臺灣IT團隊也不斷優化既有系統和服務，例如他們針對客戶服務支援系統（Help Desk）進行改良，將該系統與Line平臺整合，讓客戶除了可以透過電話詢問外，以後只需要在官方Line上留言提出問題，這些問題就會自動被轉拋到裕利後端的系統，然後由客服人員協助處理。他表示，透過採用這種方式，每天可以減少約150通的客服電話，有助於提升服務效率。</p> <p>為了提供顧客更好的技術服務支援，陳俊銘上任後建立更明確的IT分工，除了原本的AP和基礎設施外，還增設原廠及客戶服務團隊，由該團隊負責為藥廠提供IT維運服務，例如協助調整其所需的報表格式、資料介接方式，以及系統更新等等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1154-CIO-600-1.png" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><span style="font-size:20px;"><strong>裕利醫藥資訊長陳俊銘表示，新舊系統轉換和測試非常繁瑣，加上需符合國外稽核要求，因此內部溝通就很重要，確保每筆資源花在刀口，這些都是IT管理的挑戰。</strong></span></span><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>為加速轉型，裕利大步擁抱公雲</strong></span></p> <p>除了發展各種醫藥數位化應用，裕利集團近幾年為了加速轉型開始翻新既有IT架構，逐步朝向現代化的IT架構發展，甚至開始全面擁抱公雲，還提出了ATA （All to Azure）計畫，將ERP、WMS等集團核心系統搬上公雲，並先從集團內部開始，擴展到全球分公司。臺灣裕利也分階段將地端系統自機房遷移到公雲，針對後續推出的新系統，都預設部署在雲端。</p> <p>陳俊銘上任後陸續將更多本地系統搬上雲端。他表示，目前已有8成系統主機搬上公雲，包括客服系統、Tableau、RPA等。少數系統仍然保留在地端，如車隊系統等。</p> <p>一段時間上雲後，他今年鼓勵IT團隊開始轉向雲原生的開發方式，來取代傳統使用Azure VM的應用程式開發方式，例如，可以改用Azure App和Azure SQL資料庫進行應用開發，直接從Web或應用層連接到Azure SQL，無需再考慮Windows層，也就不需要因為系統停止更新或達到壽命終止而花時間更新Windows系統或更換資料庫。「簡單說，就是捨棄使用虛擬機的IaaS模式，轉向PaaS服務型態進行上雲」他說。</p> <p>在轉換系統上雲的過程中，裕利臺灣資訊團隊也面臨不少IT挑戰。他指出：「新舊系統轉換和測試非常繁瑣，加上需符合國外稽核要求，因此內部溝通就很重要，確保每筆資源花在刀口。這些都是IT管理的挑戰。」</p> <p>另一方面，由於裕利的IT系統大多由集團總部IT進行開發，再提供給裕利13個分公司使用與提供技術支援，然而，有時對系統進行更改可能導致臺灣的系統出現異常況。為了解決這個問題，他鼓勵IT人員如果發現這種情況，應盡早向總部報告，也將其影響公開在平臺上，使總部可以逐步調整，配合臺灣本地服務水平的要求。</p> <p><span style="font-size:28px;"><strong>不只是疫苗，未來配送到醫院冷鏈藥品履歷和運送資訊也能即時掌握</strong></span></p> <p>在疫情嚴峻期間，裕利臺灣IT團隊自行打造一套新系統，用來支援全臺疫苗配送，這套系統結合IoT偵測，能即時檢測疫苗溫度，並在疫苗快失溫時通知司機盡速處理，幫助他們成功克服冷鏈低溫運輸的種種挑戰。</p> <p>即使疫情解除後，這套系統仍持續使用，不僅用來協助配送猴豆疫苗，裕利還計畫在明年擴大到所有醫院的藥品配送，未來不僅適用於疫苗，還包括其他需要在2到8度的環境條件下運送的冷鏈藥品，以後配送到醫院的完整藥品履歷和運送資訊，都能透過這套系統即時掌握。</p> <p>在運輸配送方面，裕利目前在臺灣有上百輛車組成的醫藥運輸車隊，協助將藥品或疫苗配送到各醫院。為了提高司機配送效率，裕利除了翻新老舊PDA車機硬體，還計畫在年底推出新版的App，整合更多的資訊查詢、比對功能。他表示，未來裕利計畫逐步實作運輸作業數位化，讓司機可以透過App快速完成交貨收件等工作，未來也將把裕利Pay的電子帳單功能整合到App中，從而打通物流運輸e化最後一哩路。</p> <p>陳俊銘指出，為了實現這些功能，背後需要串接不同系統，如訂單系統、車隊系統等，來完成與車機App的整合，「一旦將這些營運過程數位化後，以後這些數據就更容易被追蹤和共享」。</p> <p><span style="font-size:28px;"><strong>新一代醫藥物流中心明年開始建置，預計2026年啟用</strong></span></p> <p>裕利明年計畫建置一座占地2萬坪的新一代醫藥物流中心，預計於2026投入營運。他透露，新的物流中心不只儲量翻三倍，還將導入許多創新科技、自動化應用，希望能夠實現高度自動化、甚至可以達到無人化醫藥自動倉儲。此外，未來啟用後，現有的5座物流倉將會整合並遷移到新倉。陳俊銘和IT團隊今年開始針對這座新物流中心IT展開規畫。</p> <p>近幾年，裕利開始強調數據的重要性，由於裕利和許多醫藥客戶往來過程中，會產生大量數據交換，多年來，累計資料量已達到Peta級，其中臺灣的資料量就占了10TB。</p> <p>為了數據分析所需，裕利集團多年前就建置資料倉儲，用於儲存ERP的數據和其他歷史的營運數據。近兩年，他們更建立了自己的資料湖平臺，整合不同來源、格式的數據，用以進行數據分析和相關應用。例如利用AI提供銷售預測、銷售分析，供藥廠客戶參考。</p> <p>此外，裕利內部也結合各種數據分析工具，提供各項商業分析服務，例如在2017年開始使用Tableau提供數據圖表分析，最近還開始試用Power BI，以提供藥廠所需的分析報表。文⊙余至浩</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>陳俊銘　裕利醫藥資訊長</strong></p> <p>學歷：元智大學資管碩士</p> <p>經歷：在製藥產業累積多年的IT經驗，從上游到下游產業鏈都待過，曾先後在友華生技醫藥、中華合成生技、佳生科技顧問、上海蘭衛醫藥等公司擔任IT主管，2022年底正式加入裕利臺灣分公司，擔任資訊長一職，持續推動內部數位轉型，以符合集團總部轉型的目標</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>裕利醫藥</strong></p> <p>地址：臺北市松山區南京東路四段126號10樓</p> <p>網址：<a href="http://www.zuelligpharma.com/">www.zuelligpharma.com/</a></p> <p>成立時間：1988年</p> <p>集團總公司：Zuellig Pharma集團</p> <p>主要業務：醫藥物流、醫藥保健服務</p> <p>員工數：約800人</p> <p>董事長：凱珀斯</p> <p>總經理：周志鴻</p> <p>資本額：2.1億</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：資訊長</p> <p>資訊部門主管姓名：陳俊銘</p> <p>資訊部門名稱：資訊處</p> <p>資訊部門人數：13人</p> <p>資訊部門分工：應用程式、基礎架構、原廠及客戶服務</p> <p>IT預算：約4,000萬元（2023年）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2016年：系統全面轉化成SAP</p> <p>2017年：導入Tableau，並運用 RPA來優惠營運效率及數位能力</p> <p>2018年：裕利新的簡易繳款平臺推出上線</p> <p>2020年：因應疫情所需，全力發展線上訂貨平臺eZRx、線上付款平臺及建置網路電話系統等軟硬體建設，八成訂單可遠距處理，不受疫情影響</p> <p>2021年：整合八大系統及物聯網技術，自行開發全臺第一套醫療溫度履歷eZLogistics，可全程監控溯源極低溫醫藥品，如新冠肺炎疫苗</p> <p>2023年：eZTender標案管理系統推出上線、加值服務管理系統上線</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1154-cio-960.jpg" width="960" height="420" alt="" title="裕利醫藥資訊長陳俊銘　（攝影／洪政偉）" /></div></div></div>
2023/11/3 12:00作者余至浩https://www.ithome.com.tw/people/159584
企業私雲走向多元發展
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上雲在企業IT領域蔚為風潮，而這裡的「雲」多數人的認知是將企業的IT系統局部或全部搬到「公有雲」環境，尤其是三大公有雲：AWS、Azure、GCP，至於私有雲，受到討論與關注的程度明顯不如公有雲，但並不代表這種類型技術的發展乏善可陳，相反地，私有雲在這幾年公有雲鋪天蓋地而來的強烈競爭與刺激之下，其運作型態、能使用的技術、業務運作模式，也持續獲得突破，提供更多選擇，讓企業與組織自行建置IT基礎架構時，得以享有近似公有雲環境的便利體驗。</p> <p>支撐私有雲平臺使用的最典型的技術，就是超融合基礎架構（HCI）、軟體定義資料中心平臺（SDDC）的持續進化，歷經提供更彈性的節點擴充選擇、支援Kubernetes容器即服務平臺，以及與公有雲業者的密切合作、拓展在多雲與混合雲架構的運作與遷移模式，如今的HCI不再只是預先整合硬體伺服器與虛擬化、管理軟體的「一體機」，而是能彈性轉移至多個公有雲、雲端服務供應商（CSP）、不同國家主權雲運作的平臺。</p> <p>而在各家HCI平臺廠商當中，VMware是箇中翹楚，在企業自行建置的IT環境當中，他們持續改良vSphere、VMware Cloud Foundation、VMware Tanzu，而在公有雲、多雲的環境適應上，他們成功建立與持續擴大VMware Cloud平臺。</p> <p>另一家廠商Nutanix也努力拓展多雲、混合雲的應用模式，在10月底舉行的Nutanix .NEXT On Tour大會臺北場，正式向臺灣用戶介紹他們的最新策略。在企業內部環境當中，他們多年前就已主打Nutanix Enterprise Cloud，現在更強調提供Nutanix Cloud Platform，使用的平臺主要是雲端基礎架構Nutanix Cloud Infrastructure（NCI）；在公有雲、多雲、混合雲服務的整合應用上，他們則是主推雲端叢集Nutanix Cloud Clusters（NC2），至於整體管理機制方面，他們提供SaaS服務型態的Nutanix Central，能統籌控管不同站點的Nutanix平臺。</p> <p>若從系統廠商的角度而言，HPE與Dell近年來持續推動新一代IT即服務（ITaaS），也呈現企業私有雲平臺的多元發展。</p> <p>以HPE為例，原本他們有SimpliVity、Alletra dHCI等超融合產品；而在GreenLake的品牌系列之下，提供多種解決方案，像是GreenLake for Private Cloud Enterprise，以全代管的服務模式，為企業用戶提供裸機、容器、虛擬機器等不同應用型態的IT環境；另一款服務GreenLake for Private Cloud Business Edition，聚焦在虛擬機器使用；而在HCI、容器即服務平臺的部分，他們提供GreenLake with Nutanix for Private Cloud、GreenLake for Microsoft Azure Stack HCI、GreenLake for Red Hat OpenShift Container Platform。</p> <p>另一家大廠Dell，旗下也有多種解決方案，持續支撐企業私有雲應用，以及IT架構轉型需求。以超融合基礎架構的型態而言，Dell提供VxRail、PowerFlex等兩大平臺，也支援微軟的Azure Stack HCI、Azure Stack Hub。以他們長期發展的VxRail平臺為例，後來也用於Dell拓展IT即服務Apex系列解決方案，例如，Apex Private Cloud、Apex Hybrid Cloud。</p> <p>在2023年5月，Dell發表Apex Cloud Platform，第一波先推出Apex Cloud Platform for VMware，9月底推出Apex Cloud Platform for Microsoft Azure、10月底推出Apex Cloud Platform for Red Hat OpenShift，同時提供三大私有雲平臺，讓企業選用。</p> <p>除了上述發展趨勢之外，為了因應這幾年接踵而來的大數據分析、AI應用狂潮，原本仰賴伺服器虛擬化技術與既有系統軟硬體架構的作法，也面臨重大挑戰，對於公有雲業者，各有其工程團隊持續解決規模擴展與控制成本的問題，而對於自建IT基礎架構的企業與組織，以及整個IT生態圈而言，也不斷尋求突破，6、7年前就出現的可組合式基礎架構（Composable Infrastructure），現在似乎找到復甦機會，隨著Intel、AMD、Arm三大處理器平臺支援CXL記憶體互連技術，IT資源擴充不再受制於既有伺服器架構，例如，原本跨越多臺伺服器，透過伺服器虛擬化軟體技術幫忙，能做到「CPU池」、「儲存池」，現在有望拓展到「記憶體池」、「GPU池」、「I/O介面池」，而這些也是企業考量私有雲發展策略不可或缺的拼圖。</p> <p><a href="https://www.ithome.com.tw/article/159581" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1154-feng_mian_p1-open-ming_de_-960x420_kao_bei_0.jpg?itok=WTYQ43YW" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A7%81%E6%9C%89%E9%9B%B2">私有雲</a></div><div class="field-item odd"><a href="/tags/%E5%8F%AF%E7%B5%84%E5%90%88%E5%BC%8F%E5%9F%BA%E7%A4%8E%E6%9E%B6%E6%A7%8B">可組合式基礎架構</a></div><div class="field-item even"><a href="/tags/composable-infrastructure">Composable Infrastructure</a></div></div></div>
2023/11/3 12:00作者李宗翰https://www.ithome.com.tw/voice/159616
DeepMind發布新版AlphaFold模型，能夠精準預測生物分子結構加速藥物開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google DeepMind與Isomorphic Labs持續合作發展蛋白質預測模型AlphaFold，現在開發出更強大的<a href="https://deepmind.google/discover/blog/a-glimpse-of-the-next-generation-of-alphafold/">新版本</a>，覆蓋範圍從蛋白質擴展到所有與生物相關的分子，並能夠對蛋白質資料庫中幾乎所有分子進行預測，且能達到原子等級的精確度。</p> <p>DeepMind在2020年的時候，首次推出蛋白質預測模型AlphaFold，而這讓研究人員能以全新方式理解蛋白質與其交互作用。AlphaFold是對單股蛋白質預測的突破性研究，而後的AlphaFold-Multimer，則是進一步擴展到擁有多個蛋白質鏈的複合物，而AlphaFold 2.3則擴展到更複雜的複合物。</p> <p>之前AlphaFold也與EMBL的歐洲生物資訊研究所（EMBL-EBI）合作，透過AlphaFold蛋白質結構資料庫，公開所有目前已知的蛋白質結構預測。而AlphaFold資料庫也已經成為重要的科學研究資源，到目前為止已經超過190個國家140萬用戶進行存取，同時AlphaFold也被用於加速新型疫苗和藥物的開發。</p> <p>在某些與藥物開發相關的蛋白質結構預測問題，最新版本的AlphaFold效能遠勝2.3版本，其能夠準確預測蛋白質與配體（Ligand）的綁定結構，研究人員指出，這對於藥物開發非常有價值。目前生醫產業主要使用對接方法（Docking Methods），來確定配體和蛋白質間的交互作用，但這類方法需要固定參考蛋白質結構，和配體綁定位置。</p> <p>不過，新模型卻不需要這些參考資訊，就能預測蛋白質與配體的結構，並且最終的結果也能超越目前最佳的對接方法，此外，新版本AlphaFold還可以模擬所有原子的位置，表達出蛋白質和核酸，在與其他分子交互作用時的靈活性。</p> <p>由於對接方法需要假設蛋白質和配體結構在交互時維持不變，因此就無法捕捉到這些結構的動態變化，因此整體來說，新模型能夠提供更為準確且全面的交互作用結構資訊。研究人員的實驗也證明，新模型預測的結構，與實驗所得到結構非常相近。</p> <p>目前Isomorphic Labs正在利用最新的AlphaFold設計治療性藥物，藉由運用AlphaFold快速且準確地描繪出對治療疾病重要的大分子結構。研究人員提到，該模型新增的功能，有助於加速生物醫學的突破，在疾病途徑（Disease Pathways）、基因體學、生物可再生材料和藥物設計機制等領域，提供更深入的理解。</p> </div></div></div>
2023/11/3 08:40作者李建興https://www.ithome.com.tw/news/159612
JetBrains釋出跨平臺開發工具Kotlin Multiplatform第一個穩定版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JetBrains正式推出跨平臺開發工具<a href="https://blog.jetbrains.com/kotlin/2023/11/kotlin-multiplatform-stable/">Kotlin Multiplatform（KMP）</a>，讓開發人員可以在不同平臺間共享程式碼，但同時又能保留原生程式開發的優勢。目前Kotlin Multiplatform已經進入穩定階段，用戶可以將其用於開發環境中。</p> <p>KMP的核心由多個部分組成，包括編譯器、語言功能、函式庫API、IDE、建置工具等，其被設計為一個高靈活性和適應性的工具，能夠模糊平臺和原生開發之間的界線。開發人員可以重複使用大量的程式碼，並在需要的時候編寫原生程式碼，並將共享的Kotlin程式碼整合到各式專案中。</p> <p>KMP讓開發人員在不同平臺維護單一程式碼庫，特別像是應用程式的邏輯部分，因此可大幅減少開發者，針對不同平臺編寫和維護相同程式邏輯的時間。雖然KMP提供跨平臺的能力，但是KMP也同時讓開發者保有原生程式開發的靈活性，確保效能表現以及使用特定平臺SDK的自由度。針對特定平臺才可使用的功能像是藍牙或GPS，KMP提供特殊語法，讓開發者在這些平臺獨立實現專屬的功能。</p> <p>KMP具有高度靈活性，能夠支援不同程度的程式碼重用和原生程式開發案例，像是開發者可以僅共享部分以Kotlin編寫的重要邏輯程式碼，或是在新專案使用KMP開發，以Kotlin實作全部資料處理和業務邏輯，但在各平臺應用程式維持原生使用者介面，又或是搭配Compose Multiplatform這個JetBrains的宣告式UI框架，跨不同平臺完全共享使用者介面和邏輯程式碼。</p> <p>Kotlin Gradle擴充套件加入預設階層範本功能，來簡化開發者專案配置和維護工作，該功能可以自動配置Kotlin Source Sets，以適應一些常見的應用，減少典型建置腳本需要編寫的樣板程式碼。而在KMP中，JetBrains在Kotlin Gradle擴充套件中新增約50個診斷程式，以檢測常見的建置問題，並提供修復問題的提示，同時改進在Xcode中的Gradle錯誤輸出，使專案原生部分的建置問題更容易被發現。</p> <p>目前開發人員可以在Android、iOS、桌面JVM、伺服器端JVM和網頁上共用程式碼。Google的Android團隊也開始提供多平臺Jetpack函式庫實驗性版本，而Collections、DataStore、Annotations與Paging函式庫，則已經與KMP相容。iOS開發體驗的部分，則有Touchlab開發的SKIE，能夠生成Swift程式碼，並且產生與Swift程式碼介接的API層以橋接Kotlin類型，實現無縫的協程（Coroutines）互通性。</p> <p>JetBrains還在持續發展KMP，並且預計2024年會推出Compose Multiplatform for iOS的Beta版，官方也正在開發Kotlin/Wasm，使得KMP能夠更方便地進行網頁開發，預計明年會推出Compose Multiplatform for Web Alpha版本。</p> </div></div></div>
2023/11/3 08:43作者李建興https://www.ithome.com.tw/news/159613
Google最先進天氣模型MetNet-3，預測結果超越傳統數值預報模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google研究院與DeepMind合作開發了最新的天氣模型<a href="https://blog.research.google/2023/11/metnet-3-state-of-art-neural-weather.html">MetNet-3</a>，該模型以之前的MetNet和MetNet-2為基礎，能夠提前24小時，對更多天氣核心變數進行高解析度預測，包括降水、表面溫度、風速、風向和露點。</p> <p>MetNet-3可創建平滑且高精細度的預測，以2分鐘為區間，空間解析度可從4公里至1公里，經實驗證明，MetNet-3的預測能力超越傳統數值天氣預報模型，不只比單一成員的物理基礎NWP（Numerical Weather Prediction）模型如高解析度快速刷新模型（HRRR）更好，同時也超越了多成員的物理基礎NWP模型，像是集合預報套件（ENS）。</p> <p>MetNet在預測天氣上，與其他建立在傳統方法之上的機器學習方法不同，關鍵點在於MetNet直接透過大氣觀測資料進行訓練和評估。研究人員提到，直接觀測的優點在於資料更具高傳真（Fidelity），解析度也更高。除了繼承先前MetNet模型的資料來源之外，MetNet-3還新增氣象站氣溫與風的量測資料，目標是要在所有位置進行天氣預測。</p> <p>研究人員提到，MetNet-3的關鍵創新在於使用了一種稱為緻密化（Densification）的技術，用以改進天氣預報的準確性和範圍。傳統物理基礎模型中，天氣預報通常需要經過兩個步驟，分別是資料同化（Data Assimilation）和模擬（Simulation），資料同化是指將實際觀測資料融入到模型中，而模擬則是根據這些資料預測天氣。</p> <p>在MetNet-3中，緻密化技術是透過神經網路將兩步驟合併在一起，達到更快更直接的天氣預測，如此不只使模型在獲取和處理資料更高效，也能夠用神經網路來改善預報準確性。藉由緻密化技術，MetNet-3能夠單獨處理每一個特定資料流，像是地形、衛星與雷達等，進而獲得更為準確且全面的天氣預報。</p> <p>直接觀測為MetNet-3模型帶來空間和時間的高解析度優勢，氣象站和地面雷達站能夠用每隔幾分鐘的頻率，以1公里的解析度提供特定位置的測量資料。相比之下，即便是最先進的ENS，也只能每6小時生成一次9公里解析度的資料，並提供每小時的預報。</p> <p>而MetNet-3能夠以短至2分鐘的時間間隔，有效地處理和模擬收集到的觀測資料，結合緻密化技術、提前時間調節（Lead Time Conditioning）技術和高解析度直接觀測方法，MetNet-3可以產生時間解析度達2分鐘的24小時前預報，提供使用者更加精準和即時的天氣預測資訊。</p> <p>相較於氣象站觀測的變數資料，MetNet-3使用來自地面雷達所收集的降水估計值，因此資料更加密集，而MetNet-3使用與之前MetNet模型相似的降水建模方法，但是能夠將高解析度的降水預報，擴展到與其他變數相同的24小時提前時間。無論是在風速還是降水（下圖）等天氣變數，MetNet-3的預測結果都比ENS好上不少。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEidyInWvqdPpdIndLrxzykAODCeJ_p69uqvYOpasjFcBQU5o8Mtr-DiLfZXZrkJel9TD9SxZEmyIb58r6TZjRw57D8aSjl9P2jxCOsK7XZeXY0J3B8UMIFnl6aqXqhd0wft_NQGBi9KqpSUHAgw2c4JoYMdt27sKp6xcvOyMfjASpaZZzlI9o8lesj3GsrL/s16000/image14.gif" style="width: 580px; height: 550px;" /></p> <p>MetNet-3的主要價值在於，能夠即時以機器學習技術準確地預測天氣，並在Google的產品上提供天氣預報服務。該模型根據不斷流入的資料，持續地創建完整的預報，研究人員提到，這和傳統的推理系統不同，能夠滿足天氣資料的獨特需求。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEg88AA6lzoFtJd9ZOXt6AiiT_gTtFcJwsZNzUJ63kuYtq7XYs0LHUSp3q37zOPolA-rR_WQPciuDZsg-4Y3J0qrLUmNxMi1iBqyR4ICy4MKwRFXHtQhfkWdwPREd4qm9FVlN6rpLEebDC7MfBg7hToXhQvdsFoGObtu-Lqty3ZQSALf1yjna37tJY4fAptE/s16000/image6.gif" style="width: 580px; height: 133px;" /></p> <p>目前Google先在美國鄰近地區和歐洲，以MetNet-3提供12小時即時降水預報，用戶已經可以在Google天氣相關產品獲取到相關資訊。</p> </div></div></div>
2023/11/3 08:47作者李建興https://www.ithome.com.tw/news/159615
【資安日報】11月2日，伊朗駭客組織利用後門程式Liontail攻擊Windows伺服器，鎖定中東地區的政府機關與金融…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>伊朗駭客攻擊中東國家的情況越來越頻繁，最近出現了新的駭客Scarred Manticore，他們主要針對目標組織的Windows伺服器而來。</p> <p>但值得留意的是，這些駭客的惡意程式與C2連線的管道相當特別，竟是透過作業系統底層的驅動程式來進行，這種手法使得受害組織難以察覺他們的攻擊行動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://research.checkpoint.com/2023/from-albania-to-the-middle-east-the-scarred-manticore-is-listening/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中東政府機關、金融單位遭伊朗駭客組織鎖定，利用IIS後門程式Liontail攻擊伺服器</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/LionTail_scheme.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/LionTail_scheme.png" style="width: 300px; float: right;" /></a>資安業者Check Point與Sygnia聯手，調查伊朗駭客組織Scarred Manticore的攻擊行動，這些駭客鎖定中東地區，主要目標是政府機關、軍事單位、電信業者，但也有IT服務供應商、金融業者、非政府組織遭到攻擊。</p> <p>在最新的攻擊行動裡，研究人員看到駭客散布名為Liontail的惡意程式框架，先是尋找目標組織曝露於網際網路的Windows伺服器，透過DLL搜尋順序挾持（DLL Search Order Hijacking）或是可執行檔的方式，部署後門程式。其中，比較特別的是，在DLL搜尋順序挾持的攻擊過程當中，駭客鎖定Windows Server作業系統缺乏的DLL檔案，如wlanapi.dll、wlbsctrl.dll，將後門程式命名為上述DLL檔案名稱，然後再透過Windows檔案總管或其他的處理程序，載入DLL程式庫型態的後門程式。若是後門程式以可執行檔的型態進行部署，駭客會將其假冒為Palo Alto Networks的資安產品Cortex XDR元件Cyvera Console。</p> <p>研究人員指出，此後門程式與C2進行通訊的做法較為罕見，駭客利用IOCTL（Input and Output Control）介面，直接與底層的驅動程式HTTP.sys進行互動來達成，由於這種方式不透過IIS或HTTP的API，不僅資安防護系統無法監控，也不會留下任何事件記錄。</p> <p><a href="https://www.elastic.co/security-labs/elastic-catches-dprk-passing-out-kandykorn"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客組織Lazarus針對Mac電腦下手，散布惡意程式Kandykorn</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Kandykorn-image31.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Kandykorn-image31.png" style="width: 300px; float: right;" /></a>Elastic旗下的安全實驗室揭露北韓駭客Lazarus的攻擊行動，研究人員看到駭客鎖定加密貨幣交易平臺的區塊鏈工程師，散布macOS惡意程式Kandykorn。</p> <p>攻擊者先是在公開的Discord伺服器佯稱區塊鏈工程師，利用社交工程手法，提供加密貨幣套利機器人（arbitrage bot），引誘目標人士下載帶有惡意程式碼的ZIP壓縮檔。一旦目標人士執行其中的Main.py指令碼，就有可能導致電腦被植入惡意程式。</p> <p>在整個攻擊鏈當中，Main.py會觸發另一個指令碼watcher.py，然後從雲端檔案儲存服務Google Drive下載testSpeed.py，而這個指令碼再從另一個Google Drive網址取得名為FinderTools的Python檔案。FinderTools下載、執行惡意酬載Sugarloader，最終連線遠端伺服器取得Kandykorn，並於記憶體內執行。此後門程式具備列出受害電腦存放的檔案、執行惡意程式或命令、洩漏資料、終止處理程序的功能。</p> <p><a href="https://www.mandiant.com/resources/blog/session-hijacking-citrix-cve-2023-4966"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">政府機關、科技產業、法律機構遭到Citrix Bleed漏洞攻擊鎖定</span></strong></a></p> <p></p> <p>10月上旬Citrix揭露重大漏洞Citrix Bleed（CVE-2023-4966），後來資安業者Mandiant指出，該漏洞在8月就被用於攻擊行動，現在研究人員透露更多細節。</p> <p>他們透露至少有4組人馬發動相關攻擊，並透過.NET後門程式Freefire、certutil、遠端桌面連線工具AnyDesk等十多樣工具於目標組織進行網路偵察、竊取帳密資料，並透過遠端桌面連線（RDP）程式進行橫向移動。</p> <p>而對於駭客的攻擊目標，研究人員指出，駭客鎖定法律及專業服務、科技業、政府機關，受害組織分布在美洲、歐洲、非洲、亞太地區。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/3-000-apache-activemq-servers-vulnerable-to-rce-attacks-exposed-online/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">3千臺可透過網際網路存取的Apache ActiveMQ伺服器曝露於重大漏洞，可被遠端執行任意程式碼</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/exposed-numbers.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/exposed-numbers.jpg" style="width: 300px; float: right;" /></a>10月27日訊息導向中介軟體ActiveMQ修補漏洞CVE-2023-46604攻擊者有可能利用OpenWire通訊協定的序列化類別型態，遠端執行任意Shell命令，CVSS風險評為10分。</p> <p>關於受此漏洞影響的狀況，根據ShadowServer基金會公開的資訊，目前總共有可透過網際網路存取的ActiveMQ伺服器，多達7,249臺，其中有3,329臺執行存在漏洞的系統，中國約有2,400臺最多，美國約有530臺居次，德國、印度、荷蘭、俄羅斯、法國、韓國皆有超過100臺伺服器曝險。</p> <p>資料來源</p> <p>1. <a href="https://activemq.apache.org/security-advisories.data/CVE-2023-46604-announcement.txt">https://activemq.apache.org/security-advisories.data/CVE-2023-46604-announcement.txt</a><br /> 2. <a href="https://www.shadowserver.org/what-we-do/network-reporting/accessible-activemq-service-report/">https://www.shadowserver.org/what-we-do/network-reporting/accessible-activemq-service-report/</a></p> <p><a href="https://confluence.atlassian.com/security/cve-2023-22518-improper-authorization-vulnerability-in-confluence-data-center-and-server-1311473907.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Atlassian針對DevOps協作平臺Confluence重大漏洞提出警告</span></strong></a></p> <p></p> <p>10月31日IT業者Atlassian發布資安通告，指出旗下DevOps協作平臺Confluence存在重大漏洞CVE-2023-22518，影響所有版本的Confluence Data Center、Confluence Server，此漏洞原因與不適當的授權有關，CVSS風險評分為9.1。</p> <p>對此，該公司推出7.19.16、8.3.4、8.4.4、8.5.3、8.6.1新版予以修補，並指出攻擊者無法藉此洩露伺服器的資料，不致影響機密性，目前也尚未出現遭到利用的跡象。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/159600"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">50個國家組織宣誓不向勒索軟體低頭，拒付贖金</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/odag_dag_photos_3rd_annual_counter_ransomware_initiative_air_shot_final-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/odag_dag_photos_3rd_annual_counter_ransomware_initiative_air_shot_final-1.jpg" style="width: 300px; float: right;" /></a>由美國主導的國際反勒索軟體高峰會（International Counter Ransomware Initiative，CRI）今年邁入第3屆，本次有埃及、希臘、約旦等12個國家，以及國際刑警組織（Interpol）加入，使得該高峰會成員數目達到了50個。</p> <p>這些成員組織決定共同開發用於破壞駭客基礎設施的戰術，並藉由情資共享改善網路安全。今年會議的重點，在於開發破壞駭客基礎設施的能力，包括制定培養CRI新成員網路能力的計畫、利用人工智慧來對抗勒索軟體、導入新的資訊共享平臺讓成員國得以快速分享情資，並成立CRI專屬網站與論壇以供受害者求救。</p> <p>值得留意的是，本次所有成員首度發布聯合聲明，CRI會員國的政府單位不應支付贖金，展現他們不願向駭客低頭的決心。</p> <p><a href="https://www.ithome.com.tw/news/159602"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為確保AI安全，28國簽署布萊切利宣言</span></strong></a></p> <p></p> <p>由英國號召的首屆AI安全高峰會（AI Safety Summit）於11月1日於當地的布萊切利園（Bletchley Park）展開，與會28個國家的代表，就「人工智慧最前線（Frontier AI）」所帶來的機會與風險達成了共識，共同簽署布萊切利宣言（Bletchley Declaration），這些國家包括位居全球AI領先地位的美國、中國、英國、以色列、加拿大。</p> <p>此宣言特別提及AI所使用的機器學習模型存在的安全風險，而有可能導致遭人濫用，或是造成工安意外、網路安全、渲染不實資訊的風險，應透過國際合作來解決，各國應推動相對應的監管機構，並要求開發相關模型的企業組織，在確保AI系統安全背負更大的責任。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://medium.com/mitre-attack/attack-v14-fa473603f86b"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">MITRE發布第14版ATT&CK，著重工業控制系統與行動裝置領域強化</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/toronto-public-library-outages-caused-by-black-basta-ransomware-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">加拿大多倫多市立圖書館傳出遭勒索軟體Black Basta攻擊</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/british-library-knocked-offline-by-weekend-cyberattack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">大英圖書館遭遇網路攻擊，網路服務及圖書館業務受到衝擊</span></span></strong></a></p> <p><a href="https://unit42.paloaltonetworks.com/pensive-ursa-uses-upgraded-kazuar-backdoor/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Turla散布後門程式Kazuar，行蹤變得更加隱密</span></span></strong></a></p> <p></p> <p><a href="https://chromereleases.googleblog.com/2023/10/stable-channel-update-for-desktop_31.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google發布電腦版Chrome 119，修補15個漏洞</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159586"><strong>【11月1日】研究人員揭露專門供應網路罪犯使用的短網址服務供應商Prolific Puma，駭客經營超過4年未被發現</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159575"><strong>【10月31日】曝露於GitHub程式庫的帳密資料成為駭客下手的對象！有人從中收集AWS的帳密，將EC2實體拿來挖礦</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159548"><strong>【10月30日】有人在2016年就利用永恆之藍漏洞，打造惡意軟體StripedFly，迄今仍有數萬臺電腦遭到感染</strong></a></p> </div></div></div>
2023/11/2 17:17作者周峻佑https://www.ithome.com.tw/news/159609
用液冷應付2千瓦TDP，美超微推出1U雙節點融合GPU伺服器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/supermicro_ars-111gl-dhnr-lcc_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年5月底舉行的台北國際電腦展期間，基於Nvidia自行研發處理器而成的多款伺服器，首度亮相，吸引全球目光，這些產品也標榜採用Nvidia最新推動的MGX參考設計架構。關於兼具這兩種特色的伺服器，我們先前介紹雲達科技推出的<a href="https://www.ithome.com.tw/review/158452">QuantaGrid S74G-2U</a>，採用<a href="https://www.ithome.com.tw/review/158165">Grace Hopper融合式GPU</a>，現在來看看另一家伺服器大廠美超微（Supermicro）的產品。</p> <p>當時他們展出搭配Grace處理器的ARS-221GL-NR，以及搭配英特爾第四代Xeon Scalable處理器的SYS-221GE-NR，</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-05-Supermicro Computex-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-Supermicro%20Computex-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-05-Supermicro Computex-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-Supermicro%20Computex-2.jpg" style="width: 298px;" /></a></p> <p>到了10月底，他們一口氣推出6款採用MGX設計架構的伺服器，其中三款搭配Nvidia Grace Hopper融合式GPU，兩款搭配Nvidia Grace處理器，一款搭配英特爾第四代Xeon Scalable處理器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Supermicro NVIDIA MGX Systems-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20NVIDIA%20MGX%20Systems-1.jpg" style="width: 600px;" /></a></p> <p>與半年前推出這類產品的最大差異在於，Supermicro額外提供Grace Hopper伺服器，並且推出採用1U雙節點配置的Grace Hopper伺服器，以及Grace伺服器；而在Grace Hopper伺服器機型中，他們提供兩款內建液態冷卻的1U機型，我們這次介紹的ARS-111GL-DHNR-LCC，正是其中一款主打高運算密度特性的機型。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20MGX.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%201U-1nodes-GH200-Aircooling.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%201U-2nodes-GH200.jpg" style="width: 298px;" /></p> <p>相較於x86平臺的1U雙節點伺服器，通常會區分為兩個可插拔的運算模組，新推出的ARS-111GL-DHNR-LCC，則是在機箱直接置入2張MGX架構的系統板G1SMH-G，外形大小遵循OCP訂定的DC-MHS DNO Type2標準，上面可安裝1張Nvidia GH200 Grace Hopper。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Suopermicro%20mgx-hero-image.jpg" style="width: 600px;" /> </p> <p> <img alt="" src="https://s4.itho.me/sites/default/files/images/ARS-111GL-DNHR-LCC_ANGLE_OPEN-Web.jpg" style="width: 400px;" /></p> <p>基本上，這張超級晶片內建1顆Grace處理器（72顆Arm Neoverse V2核心），以及1顆H100 GPU，系統記憶體包含系統板嵌入、對應至處理器的LPDDR5記憶體480 GB，以及GPU內建的HBM3記憶體96 GB，合計可提供576 GB記憶體。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20GH200.jpg" style="width: 600px;" /></p> <p>在熱設計功耗（TDP）方面，由於GH200融合CPU與GPU的關係，最高可達1,000瓦，Supermicro在1U單節點的組態配置上，尚可提供空氣冷卻機型ARS-111GL-NHR，以及液態冷卻機型ARS-111GL-NHR-LCC的選擇，但對於散熱條件更加嚴苛的1U雙節點機型ARS-111GL-DHNR-LCC而言，若要在空間如此狹隘的機箱置入2張GH200長期運作、應付總發熱量2,000瓦TDP的狀態，似乎就更只有導入液態冷卻技術一途。</p> <p>根據Supermicro目前公布的產品照片來看，ARS-111GL-DHNR-LCC機箱內部的2張GH200，預設都已罩上直連晶片類型（Direct-to-Chip，D2C）的水冷板，並接上液冷管，一路延伸至機箱背部，接上液態冷卻機櫃，將熱量帶出伺服器之外，後續再將已經降溫的冷卻液帶回伺服器內部、抵達GH200，完成一次循環。</p> <p>基於1U雙節點的配置與Supermicro提供的直連晶片液冷方案，他們認為，相關的營運成本可降低超過4成，同時能藉此增加運算密度，以及簡化大型語言模型與高效能運算應用的整櫃部署作業。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1U-MGX-LCC-rack_angled-Web2.jpg" style="width: 150px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/1U-MGX-LCC-rack_angled.jpg" style="width: 298px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Supermicro ARS-111GL-DNHR-LCC</strong><br /> ●原廠：Supermicro<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸與節點數量：1U、雙節點<br /> ●單臺節點處理器：1顆Nvidia GH200 Grace Hopper Superchip<br /> ●單臺節點記憶體：CPU對應嵌入LPDDR5x記憶體，容量最大480 GB，GPU對應HBM3記憶體，容量為96 GB<br /> ●單臺節點硬碟容量：4臺E1.S規格NVMe固態硬碟、2張M.2規格NVMe固態硬碟<br /> ●單臺節點網路介面：1個GbE埠（Nvidia ConnectX-7或Bluefield-3 DPU）、1個GbE埠（IPMI埠）<br /> ●單臺節點擴充介面：可安裝2張全高全長PCIe 5.0 x16介面卡<br /> ●風扇：7臺 <br /> ●電源供應器：2臺2700瓦（1+1備援）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/11/2 18:40作者李宗翰https://www.ithome.com.tw/review/159531
歐盟要求封鎖臉書與IG在歐洲經濟區的行為追蹤廣告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://edpb.europa.eu/news/news/2023/edpb-urgent-binding-decision-processing-personal-data-behavioural-advertising-meta_en" target="_blank">歐洲資料保護委員會（EDPB）周三（11/1）宣布</a>，已接受挪威所提出的具約束力的緊急決議，指示愛爾蘭的資料保護局必須在兩周內，禁止Meta於整個歐洲經濟區執行基於個人資料的行為追蹤廣告。此一禁令涵蓋了Meta旗下的臉書（Facebook）與IG（Instagram）。</p> <p>EDPB的行動源自於<a href="https://www.ithome.com.tw/news/157877" target="_blank">挪威</a>，挪威的資料保護局Datatilsynet是在今年7月宣布，將暫時封鎖臉書與IG在該國的行為追蹤廣告，於8月4日生效，為期3個月，預計於11月3日到期。</p> <p>Datatilsynet並未禁止臉書與IG在挪威的營運，亦放行了特定的個人化廣告，像是根據使用者檔案所揭露的居住地、性別、年齡或興趣所遞送的廣告，或是取得使用者明確同意的行為追蹤廣告，令Datatilsynet不滿的是在Meta未經用戶許可下，追蹤使用者與諸如健康、政治或性向等各種內容的互動所執行的行為追蹤廣告或行銷活動，認為這屬於侵入性的商業監督，是目前資料保護的最大風險之一。</p> <p>在暫時禁止Meta於挪威的行為追蹤廣告之後，<a href="https://www.datatilsynet.no/en/news/aktuelle-nyheter-2023/meta-case-brought-to-the-european-level/" target="_blank">Datatilsynet今年9月進一步要求EDPB</a>應下令永遠禁止Meta此類的行為追蹤廣告，且將禁止範圍擴大至歐洲經濟區，而EDPB則於本周同意了Datatilsynet的請求。</p> <p>EDPB在10月27日指示愛爾蘭的資料保護局主導此一行動，應於兩周內採取最終措施，要求Meta禁止於歐洲經濟區執行基於個人資料的行為追蹤廣告，Meta則是在10月31日收到愛爾蘭資料保護局的通知。</p> </div></div></div>
2023/11/2 15:21作者陳曉莉https://www.ithome.com.tw/news/159603
另一加密貨幣業者SafeMoon遭美國SEC提告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sec.gov/news/press-release/2023-229" target="_blank">美國證券交易委員會（SEC）周三（11/1）控告</a>另一區塊鏈業者暨加密貨幣發行商SafeMoon，指控SafeMoon及該公司的創辦人Kyle Nagy、執行長John Karony與技術長Thomas Smith藉由未經註冊地銷售加密資產進行大規模的詐欺。</p> <p>SafeMoon在2021年3月創立並發行了同名的SafeMoon代幣，其行銷口號就是要將該代幣的價格「安全送上月球」（Safely to the moon），Nagy還向投資人保證，資金被安全地保管，沒人能夠提取，由於當時正值這類迷因幣風行的時代，SafeMoon幣市值最高曾超過80億美元。</p> <p>然而，根據SEC的調查，SafeMoon不僅沒能替投資人創造利潤，市值還蒸發了數十億美元，且SafeMoon高層從該專案中取走了價值超過2億美元加密資產，並擅自挪用流動池中的資金以供自己揮霍。</p> <p>SEC執法部門負責加密資產的David Hirsch表示，去中心化的金融宣稱提供透明度及可預測的結果，但未註冊的產品缺乏法律所要求的披露與問責制，而吸引了像是Nagy這樣的騙子，犧牲他人以成全自己。</p> <p>根據訴狀，SafeMoon代幣的價格在2021年3月12日至4月20日之間飆漲了55,000%，市值超過57億美元，不過，外界在4月20日得知SafeMoon流動池並未被鎖住之後，立即暴跌了50%，隨後，執行長Karony與技術長Smith即開始挪用投資人資產來購買SafeMoon代幣，以提高該幣的價格並創造交易假象。</p> <p>此外，這些被告還挪用了數百萬美元來購買豪宅、汽車與展開奢侈的旅遊。根據<a href="https://www.justice.gov/usao-edny/pr/founders-and-executives-digital-asset-company-charged-multi-million-dollar" target="_blank">美國司法部所發布的新聞稿</a>，Karony與Smith都在本周被逮捕，惟創辦人Nagy仍逍遙法外。</p> <p>今年8月<a href="https://www.ithome.com.tw/news/158055" target="_blank">SEC也曾控告</a>另一名以加密貨幣之名行詐騙之實的Richard Heart。</p> </div></div></div>
2023/11/2 15:31作者陳曉莉https://www.ithome.com.tw/news/159604
全球28個國家簽署了確保AI安全的《布萊切利宣言》
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由英國所號召的第一屆AI安全高峰會（AI Safety Summit）周三（11/1）<a href="https://www.gov.uk/government/news/countries-agree-to-safe-and-responsible-development-of-frontier-ai-in-landmark-bletchley-declaration" target="_blank">在英國布萊切利園（Bletchley Park）展開</a>，參與該高峰會的28個國家的代表共同簽署了《布萊切利宣言》（Bletchley Declaration），就前沿人工智慧（AI）所帶來的機會與風險達成了共識，簽署該宣言的包括了目前被視為位居全球AI領先地位的美國、中國、英國、以色列與加拿大。</p> <p><a href="https://www.gov.uk/government/publications/ai-safety-summit-2023-the-bletchley-declaration/the-bletchley-declaration-by-countries-attending-the-ai-safety-summit-1-2-november-2023" target="_blank">《布萊切利宣言》</a>強調AI應以人為本，以安全、值得信賴及負責的方式進行設計與部署。它先闡述了AI所帶來的全球機會，包括改善人類的福祉、和平與繁榮，除了現有的各種應用之外，未來應以包容的方式將AI部署至全球的公益事業上，從衛生、教育、糧食安全、科學，到乾淨能源、生物多樣化及氣候等，之後即承認AI也帶來了重大風險。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1102-AI%20Safety%20Summit-Bletchley%20Declaration-by%20%E8%8B%B1%E5%9C%8B%E6%94%BF%E5%BA%9C%E5%AE%98%E7%B6%B2-2.jpg" style="width: 450px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_英國政府官網</span></span></p> <p>宣言中表示，歡迎各國共同審查與解決AI現有與潛在的影響，了解需要解決人權保護、透明度、可解釋性、公平、問責、監管、安全、適當的人類監督、道德、減少偏見、隱私與資料保護問題，同時它們也發現，內容操縱與生成式欺騙內容的能力可能會帶來不可預見的風險，上述的所有問題都非常重要，有解決的必要與急迫性。</p> <p>該宣言強調了前沿AI的安全風險，指的是那些具備強大功能的通用AI模型，包括基礎模型在內。因為這些模型得以執行各種任務，而它們可能造成的傷害可能超越現代最先進模型的能力，不管是故意濫用或是人類控制出了意外，亦特別擔心網路安全、生物技術，以及放大不實資訊的相關風險。</p> <p>總之，從該宣言中可以看出，就在人類積極探究AI所能帶來的貢獻之餘，其實人類對於AI可能帶來的風險或傷害也還在摸索中。</p> <p>此外，《布萊切利宣言》認為，AI所帶來的許多風險基本上是國際性的，最好透過國際合作來解決，各國應同時考慮推動創新及相對應的監管架構，以最大化AI的好處並管理風險。另也鼓勵協助發展中國家建置AI能力，藉此支援其永續成長及縮小發展差距。並要求那些開發前沿AI能力的組織，在確保AI系統的安全性方面應背負更重大的責任。</p> <p>布萊切利園是英國的一處宅第，它是英國政府在第二次世界大戰期間解讀軍事情報密碼的所在地，現已成為博物館，由於此一宣言是在布萊切利園簽署，因而被稱為《布萊切利宣言》。</p> </div></div></div>
2023/11/2 13:56作者陳曉莉https://www.ithome.com.tw/news/159602
近50個國家聲明不支付勒索軟體贖金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本周於美國舉行的第三屆國際反勒索軟體高峰會（International Counter Ransomware Initiative，CRI）中，<a href="https://www.whitehouse.gov/briefing-room/statements-releases/2023/11/01/international-counter-ransomware-initiative-2023-joint-statement/" target="_blank">50個成員組織決定</a>將共同開發破壞駭客及其基礎設施的能力，藉由共享資訊來改善網路安全，同時也制定了史上第一份CRI聯合政策聲明，闡明成員國政府不應支付贖金。</p> <p><a href="https://www.justice.gov/opa/pr/readout-justice-department-hosting-first-day-2023-international-counter-ransomware" target="_blank">美國司法部長Merrick Garland在CRI開幕致詞中強調</a>了國際夥伴在破壞及減輕勒索軟體威脅上的重要性，例如<a href="https://www.ithome.com.tw/news/155276" target="_blank">在今年1月透過全球合作瓦解了惡名昭彰的Hive勒索軟體網路</a>。此外，這一年來國際上的合作也摧毀了BreachForums 及Genesis Market兩大網路犯罪市集，以及數家加密貨幣交易所及混合器，打擊勒索軟體網路的供應鏈。</p> <p>今年CRI會議的重點則在於開發破壞駭客及其基礎設施的能力，包括制定培訓計畫以建立CRI新成員的網路能力；啟動一個利用人工智慧來對抗勒索軟體的新專案；推出新的資訊共享平臺讓成員國得以快速分享威脅指標；將建立一個由澳洲負責維護的CRI網站，內含求援論壇。</p> <p>今年總計有13個組織成為CRI的新成員，除了埃及、希臘、約旦、葡萄牙及斯洛伐克等國家之外，還包括國際刑警組織（Interpol），而讓CRI的成員數量達到50個。</p> <p>此外，該高峰會中也討論了如何反擊勒索軟體集團，包括制定史上首個CRI聯合政策聲明，闡明成員國政府不應支付贖金；建立一個共享的非法錢包黑名單；以及承諾當成員國政府或命脈領域遭到勒索軟體攻擊時，將協助它們進行回應。</p> <p>白宮表示，透過此一政策支架，CRI成員確認了一致的訊息，亦即阻止支付勒索軟體所要求的贖金及以身作則的重要性。CRI成員打算設立金融行動特別小組，以阻止資金的非法流動，同時破壞勒索軟體的支付生態系統。</p> </div></div></div>
2023/11/2 11:43作者陳曉莉https://www.ithome.com.tw/news/159600