iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 12:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】11月10日，ChatGPT與相關API服務發生間歇性中斷事故，OpenAI坦承是遭遇大規模DDoS攻擊所致
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">駭客組織Anonymous Sudan近期的攻擊行動不時傳出，但大部分都針對歐美國家的政府機關與知名企業而來，透過DDoS攻擊癱瘓他們的網站來表達訴求。而在最近針對OpenAI的攻擊行動當中，出現了更為顯著的影響，因為Anonymous Sudan直接讓OpenAI的重要業務停擺。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">值得留意的是，這起攻擊行動造成</span>大型語言模型ChatGPT出現間歇性停擺的時間，超過一整天，影響程度有待觀察。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【攻擊與威脅】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/openai-confirms-ddos-attacks-behind-ongoing-chatgpt-outages/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">大型語言模型ChatGPT服務中斷，起因是遭遇DDoS攻擊</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/zDHqVewn83_20231110-1121-19711.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/zDHqVewn83_20231110-1121-19711.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer報導，OpenAI於太平洋時間（PST）11月8日中午12時表示，他們正在著手調查一個問題，約於40分鐘後表示部署了修補措施，並進行監控，到了傍晚5時23分，該公司證實ChatGPT與API出現週期性服務中斷的現象，並於晚間7時49分確認、公告是遭遇DDoS攻擊導致上述現象，直到次日下午1時21分，相關服務才恢復正常。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">雖然OpenAI沒有透露攻擊者的身分，但駭客組織Anonymous Sudan聲稱是他們所為，原因是該公司對於以巴衝突存在「普遍性的偏見」。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資料來源</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">1. <a href="https://status.openai.com/incidents/21vl32gvx3hb">https://status.openai.com/incidents/21vl32gvx3hb</a><br /> 2. <a href="https://t.me/xAnonymousSudan/243">https://t.me/xAnonymousSudan/243</a><br /> 3. <a href="https://t.me/xAnonymousSudan/241">https://t.me/xAnonymousSudan/241</a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.jamf.com/blog/bluenoroff-strikes-again-with-new-macos-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客Clop鎖定IT服務需求處理系統SysAid零時差漏洞下手</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">5月底發動大規模MOVEit Transfer零時差漏洞攻擊的勒索軟體駭客組織Clop（亦稱Lace Tempest、TA505），最近轉移目標到另一套IT服務管理系統上。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">微軟威脅情報團隊提出警告，他們發現這些駭客在11月2日，鎖定IT服務需求處理系統SysAid下手，利用零時差漏洞CVE-2023-47246發動攻擊，得逞後於受害組織部署勒索軟體。對此，SysAid獲報後於9日發布資安通告，他們尋求資安業者Profero協助調查，發現此為路徑遍歷漏洞，會導致組織內部部署的SysAid的被用於執行任意程式碼。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">而對於攻擊事件的調查，該公司指出，駭客將Web Shell及其他惡意酬載WAR檔案，植入SysAid的網頁伺服器元件Tomcat特定資料夾，然後利用Web Shell部署、執行PowerShell指令碼，載入木馬程式GraceWire，隨後又利用另一個PowerShell指令碼刪除事件記錄檔案，企圖抹除作案跡證。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資料來源</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">1. <a href="http://twitter.com/msftsecintel/status/1722444141081076219">http://twitter.com/msftsecintel/status/1722444141081076219</a><br /> 2. <a href="https://www.sysaid.com/blog/service-desk/on-premise-software-security-vulnerability-notification">https://www.sysaid.com/blog/service-desk/on-premise-software-security-vulnerability-notification</a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://unit42.paloaltonetworks.com/chinese-apt-linked-to-cambodia-government-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客將基礎設施偽裝成雲端備份服務，鎖定柬埔寨政府而來</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資安業者Palo Alto Networks揭露鎖定柬埔寨政府機關的網路間諜攻擊行動，他們發現，有兩個惡名昭彰的中國國家級駭客組織（研究人員並未透露組織名稱），偽裝成雲端備份服務，根據他們掌握的情報，在今年9月至10月，鎖定至少24個柬埔寨政府機關進行攻擊，這些機構負責的業務，涵蓋國防、選舉監督、人權、財政與金融、商業、政治、自然資源、電信，其共通點是握有大量的敏感資料，像是財務資訊、公民個資、政府機密等。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">研究人員根據駭客所使用的SSL憑證，找出對方所使用的IP位址級網域名稱，發現有許多網域名稱刻意偽裝成雲端儲存服務，而有可能當他們從受害組織的網路流出竊得的資料過程，被資安系統視為合法流量。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">研究人員指出，他們根據這些駭客的作息，確定攻擊者來自中國──這些駭客在中國標準時間的每週一至週五、於8時30分至17時30分<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">從事攻擊行動</span>，只有在9月29日至10月8日沒有依據上述時段出沒，而這段期間正好是中國黃金週及特殊工作日。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ic3.gov/Media/News/2023/231108.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客透過第三方供應商，攻擊賭場伺服器</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月7日美國聯邦調查局（FBI）提出警告，他們從2022年開始，發現多個勒索軟體駭客組織利用供應商遠端存取賭場伺服器的弱點，透過系統管理工具提升權限，從而對賭場發動攻擊，將存放員工及顧客個人識別資訊（PII）的伺服器進行加密。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">他們觀察到勒索軟體駭客組織Silent Ransom Group（亦稱Luna Moth）於今年6月，藉由語音釣魚攻擊進行資料竊盜及勒索，這些駭客先是假借帳戶有尚待處理的費用，寄送帶有電話號碼的郵件，一旦收信人撥打這些電話號碼，攻擊者就會寄送後續的電子郵件，要求他們安裝系統管理工具。而對方就會藉由收信人安裝的系統管理工具存取受害電腦，並部署另一套工具從事惡意行動，竊取電腦本機與網路共享資料夾並外洩，然後向受害公司進行勒索。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">對此，FBI也提出建議，呼籲這些賭場改善資安防護，妥善維護資料備份，並應該稽查第三方供應商的資安狀態。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【漏洞與修補】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.safebreach.com/blog/cryptocurrency-miner-microsoft-azure"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露濫用Azure Automation服務的挖礦攻擊手法</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/CloudMiner-image4-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CloudMiner-image4-1.png" style="width: 300px; float: right;" /></a>資安業者SafeBreach發現一個新的挖礦攻擊手法，當中濫用了微軟雲端自動化服務Azure Automation，號稱可在不需支付任何費用、幾乎無從偵側的情況下從事挖礦牟利。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">研究人員總共找出3種方法，第一種是利用該服務執行他們撰寫的Python指令碼，並以無限次數的方式執行雜湊計算，模擬挖礦程式消耗處理器的情況，發現了Azure計價上的錯誤，而有可能無限量地免費執行自動化作業。另一種，研究人員建立了另一個用於挖礦的自動化工作（Runbook），並以測試模式執行，但使其狀態呈現為失敗而能持續進行，且永遠不會有完成的一天。第三種方式則是突破Runbook運作時間一次最長3小時的限制，他們利用Hybrid Worker擴充功能來達到目的。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">最終研究人員打造了名為pip的惡意Python套件，透過Azure Automation自動化工作上傳到帳號，每次執行該工作，就會竄改雲端帳號裡的pip檔案，並執行前述的挖礦工作，他們也提供名為CloudMiner的套件進行概念性驗證（PoC）。研究人員指出，雖然他們的研究是針對Azure Automation進行，但類似的概念有可能被駭客用於對其他雲端服務業者下手。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【資安產業動態】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://hitcon.org/2023/carnival/enterprise/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">11月14日、15日台灣駭客年會企業場於臺北文創舉行</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">台灣駭客協會將於11月14、15日舉辦台灣駭客年會企業場HITCON Carnival 2023，首度結合資安長圓桌論壇、企業研討會、企業藍隊技術競技、駭客搶旗（CTF）攻防競賽，目的是連結全球資安要角，匯聚海內外產官學界資安決策者、企業資安長、資安專家、技術人員、駭客。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">這場資安大會的主題相當特別，是「Automation Security Ascendancy: Systematic Evolution to Maturity」，強調企業組織面臨資安人才嚴重短缺、資安議題日益複雜，採取流程整合、自動化進行資安防護工作，如何有效採用人工智慧技術並落地於實際資安場域，便是各界關注的焦點。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【其他新聞】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://ec.ltn.com.tw/article/breakingnews/4485327"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">客戶資料外洩未重訊公告，丁丁連鎖藥妝通路遭罰15萬</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://securityaffairs.com/153888/hacking/russian-bank-sberbank-massive-ddos-attack.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯銀行Sberbank傳出遭遇大規模DDoS攻擊</span></span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.securityweek.com/japan-aviation-electronics-targeted-in-ransomware-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">日本航空電子公司證實遇勒索軟體攻擊，BlackCat聲稱是他們所為</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/kyocera-avx-says-ransomware-attack-impacted-39-000-individuals/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">電子大廠Kyocera美國分公司遭遇勒索軟體攻擊，近4萬人個資外洩</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.cna.com.tw/news/aopl/202311090377.aspx"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">韓國外交部證實電子郵件系統遭攻擊，傳出是中國情報單位下手</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>近期資安日報</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159710"><strong>【11月9日】駭客藉由PyPI套件散布BlazeStealer竊資軟體，對開發人員的電腦上下其手，甚至造成電腦無法使用</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159699"><strong>【11月8日】駭客組織SideCopy利用WinRAR高風險漏洞發動攻擊，針對印度政府機關而來，Linux電腦也是目標</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159685"><strong>【11月7日】鎖定Atlassian Confluence重大漏洞的攻擊行動出現，駭客透過勒索軟體Cerber加密伺服器的檔案</strong></a></p> </div></div></div>
2023/11/10 12:58作者周峻佑https://www.ithome.com.tw/news/159733
【盤點《資安法》修法草案重點2】拉高特定非公務機關資安治理層級，依法設立資安長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著國內對於資安重視程度越來越高，甚至於連政府資訊服務採購，也都透過作業指引和資安一覽表的方式，要將資安規範納入採購合約中，原本的《資安法》對於公務機關及特定非公務機關，對其資安規範不足的盲點，越來越顯而易見。</p> <p>再加上近幾年來，公務機關和特定非公務機關也陸續爆發幾起重大資安事件，也使得各界對於資安法修法的呼聲越來越高。</p> <p>事實上，《資安法》原先就有規定，公務機關要設置資通安全長，由機關首長指派副首長或適當人員兼任；但對於特定非公務機關，只規定要設置專職的資安人員而已。</p> <p>而為了拉高特定非公務機關的資安治理層級，《資安法》此次的修法草案新增第二十三條規定，「特定非公務機關應置資通安全長，」可以由特定非公務機關的代表人、管理人、其他有代表權人或其指派的適當人員擔任，而此人的主要任務就是：負責推動及監督機關內資通安全相關事務。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>定義特定非公務機關的範圍</strong></span></span></p> <p>《資安法》主要規範的對象，包括公務機關及特定非公務機關，其中，該法定義的公務機關，除了中央和地方政府之外，這次修正草案特別明定行政法人（例如今年1月成立的資通安全研究院）也是屬於公務機關的範圍，但是不包括軍事及情報機關。</p> <p>至於特定非公務機關的涵蓋範圍更廣，根據《資安法》的定義，則包括：關鍵基礎設施提供者、公營事業或特定財團法人。</p> <p>所謂的關鍵基礎設施提供者，是由行政院國土安全辦公室公告的能源、水資源、通訊傳播、交通、銀行與金融、緊急救援與醫院、中央與地方政府機關、高科技園區等八大關鍵領域中，相關業者所提供的服務，一旦全部或部分中斷，會對國家民生經濟造成重大衝擊或影響的關鍵服務提供者，就是關鍵基礎設施提供者。</p> <p>像是：電信業者的中華電信、台灣大哥大，以及遠傳電信等，都是主要廠商，他們就是通訊傳播服務領域中重要的關鍵基礎設施提供者。</p> <p>至於其他特定非公務機關，公營事業則包括中油、臺水、臺電、中華郵政等；以及特定財團法人，像是支援通訊傳播、資通安全監理及相關技術與產業發展研究的「電信技術中心」等機構，這些都是《資安法》定義中的特定非公務機關。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>要求特定非公務機關設資安長，接軌上市櫃公司資安要求</strong></span></span></p> <p>在此次《資安法》修法草案內容中，除了原先要求特定非公務機關要設立資安專職人員的條文不變，更直接新增第二十三條，明定「特定非公務機關應設置資通安全長，負責推動及監督機關內資通安全相關事務」。</p> <p>這樣的法條修正方向，也符合金管會為了強化上市櫃公司的資安管理機制，而修正的《公開發行公司建立內部控制制度處理準則》。</p> <p>在該準則當中，要求實收資本額達新臺幣100億元以上、前一年底屬臺灣五十指數成分公司，以及主要經營電子商務媒介商品或服務之上市（櫃）公司，都要在2022年底之前，指派資訊安全長並設置資訊安全單位（包含資訊安全專責主管，以及至少2名資訊安全專責人員）。</p> <p>而其餘上市櫃公司，除最近3年稅前純益連續虧損，或最近1年度每股淨值低於面額者外，應於今年（2023）年底前，配置資訊安全專責主管及至少1名資訊安全專責人員。</p> <p>由此可見，《資安法》修正草案中，新增「特定非公務機關要設立資安長」所呈現的條文修正方向，也和實務上，金管會對於上市櫃公司的資安治理要求方向一致，這也讓適用《資安法》所管理的公務機關，以及特定非公務機關，未來在相關的資安治理上，也能接軌上市櫃公司的資安要求。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>將設立資安專職人員的作法，從行政命令提升到法律位階</strong></span></span></p> <p>過往，根據「資通安全責任等級分級辦法」應辦事項的規定，機關的資安等級分成A至E級，其中，要求A級機關設置四名資安專職人力，B級機關置二名資安專職人力，C級機關置一名資安專職人力。</p> <p>但是，《資安法》修正草案中，不論針對公務機關（第十八條）、關鍵基礎設施提供者（第二十條）和關鍵基礎設施以外的特定非公務機關（第二十一條），都明定要依據相關的資通安全等級，設立「專職」的資安人員。</p> <p>也就是說，以往按照相關的行政命令，要求機關和特定非公務機關都要依據資安等級設置專職資安人員，因為是由行政機關自行訂定的行政命令，雖可作為法律的補充，但在牴觸法律者無效的情況下，為了讓專職資安的設立真正落實法制化，因此，在此次修法草案中，便將過往以行政命令規範的專職資安人員設置規定，全部列為此次的修正法條中。</p> <p>資安專職人員是指：全職執行資通安全業務者，所以，如果是把資安的任務分散在不同人的身上，無法達成專職專人的設置目的，所以，機關應指定專人全職執行資通安全業務。</p> <p>而且，專職人力配置的要求是以「機關」為單位，不僅資安人力不能共用，其他關於資安證照的計算，也都必須以機關作為單位分開計算。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>應定義何謂資安專人專職，不應以考試維持證照有效性</strong></span></span></p> <p>不過，在公共政策網路參與平臺「眾開講」中，也有網友對於資安專職人員的定義提出不同意見。</p> <p>例如，在修正草案第二十一條當中，要求關鍵基礎設施提供者以外的特定非公務機關要設置資安專職人員，有網友質疑這項要求，他們認為就連公務機關都做不到的事情，為什麼要求非公務機關去做？</p> <p>另外，也有網友表示，「專人」是人要專，這個工作非他不可，不可以找別人來做；「專責」是責任要專，只能負擔這個工作的責任，不能負擔別的責任；「專職」是職務要專，也就是只能做這個職務，不可以做別的職務。</p> <p>但該名網友認為，「專職」人員跟「專責」人員的，差異在於：對資安工作投入的程度不同，前者是指全職辦理資安工作的同仁，後者則是指定專人負責辦理資安工作，但資安工作可以是該專責人員的兼辦業務之一。</p> <p>一些網友認為，《資安法》修正草案雖然明文規範「設置資安專職人員」，但這個專人的設置是可以由主管指定，主管今天想指定誰，誰就是專人專職，才不管該職務是否為法定。</p> <p>若依「資通安全責任等級分級辦法」的定義，「專人」、「專職」兩者是一致的，無須區別；如果是得由他人「兼辦」的資安業務，何者可以兼，何者不能兼，所以，網友建議，應該可將人的角色及資安業務等項目，再做更明確的規範。</p> <p>此外，「眾開講」平臺上也有網友認為，只設置一名資安專職人員的C級機關，其實是最可憐的，他們的工作內容不僅包山包海，更是資安加個資全餐吃到飽，所謂的「專職人員」只是口號而已；若是位居教育部底下的單位，每兩年就要進行一次稽核計畫，更是文職薪水卻身負技術職工作，難怪人才難覓。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>資安署職責不應只有看報告</strong></span></span></p> <p>對於資安署所扮演的角色，眾開講網友也提出質疑。因為修正草案第二十一條第四項規定，為了便利資安署掌握全國資通安全現況，所以特別明文要求，中央目的事業主管機關應依資安署指定的方式，將關鍵基礎設施提供者以外的特定非公務機關稽核結果及改善報告，送交資安署。</p> <p>該名網友表示，資安署只負責管考，負責看稽核結果和改善報告，但是，資安署對於這些特定非公務機關，可以提供什麼樣的協助呢？資安署是否應該從國家資安總體的考量下，協助相關單位做好資安，而不是只想著管考、寫報告而已。</p> <p>因為資通安全人員的專業知識技能，與公務機關資通安全防護能量有密切關係，為強化並提升公務機關資安專職人員的職能，也於修正草案中第十八條明定，「資安署應妥善規畫推動專職人員的職能訓練，增進其資通安全專業知識技能。」</p> <p>「眾開講」平臺上面的網友也提到，政府的資安專職職能訓練，每三年要再考試一次，但這種每三年舉行一次考試的作法，其實，與許多國際證照維持證照有效性的作法並不相符。</p> <p>該網友希望資安署可以參考國際資安證照的作法，在資安人員於取得證照後，透過持續訓練或工作的方式，以維持相關證照的有效性，而不是要求一直考照。他最後也質疑，資安署內長官們，是否也都具有相關的政府資安職能證照呢？</p> <p><span style="color:#B22222;"><span style="font-size:24px;"><strong>《資安法》修正草案重點之二的條文內容</strong></span></span><br /> <span style="color:#696969;"><span style="font-size:20px;"><strong>【第十八條】 <br /> 公務機關應符合其資通安全責任等級之要求，設置專職資通安全人員，辦理資通安全業務及應變處理；資通安全業務績效評核優良者，應予獎勵。<br /> 資安署應妥善規劃推動專職人員之職能訓練，增進其資通安全專業知能；遇有重大資通安全事件，資安署得逕予調度各級機關資通安全人員支援之。 <br /> 前二項人員調度支援、績效評核、獎勵及職能訓練相關事項之辦法，由主管機關定之。<br /> 【第二十條】 <br /> 關鍵基礎設施提供者應符合其所屬資通安全責任等級之要求，設置資通安全專職人員，並考量其所保有或處理之資訊種類、數量、性質、資通系統之規模與性質等條件，訂定、修正及實施資通安全維護計畫。<br /> 關鍵基礎設施提供者應向中央目的事業主管機關提出資通安全維護計畫實施情形。<br /> 中央目的事業主管機關應綜合考量所管關鍵基礎設施提供者業務之重要性與機敏性、資通系統之規模及性質、資通安全事件發生之頻率、程度及其他與資通安全相關之因素，定期稽核其資通安全維護計畫之實施情形。<br /> 關鍵基礎設施提供者之資通安全維護計畫，應向中央目的事業主管機關提出改善報告。<br /> 中央目的事業主管機關應依資安署指定之方式將稽核結果及改善報告送交資安署。<br /> 【第二十一條】<br /> 關鍵基礎設施提供者以外之特定非公務機關，應符合其所屬資通安全責任等級之要求，設置資通安全專職人員，並考量其所保有或處理之資訊種類、數量、性質、資通系統之規模與性質等條件，訂定、修正及實施資通安全維護計畫。<br /> 中央目的事業主管機關得要求所管前項特定非公務機關，提出資通安全維護計畫實施情形。<br /> 中央目的事業主管機關得稽核所管第一項特定非公務機關之資通安全維護計畫實施情形，發現有缺失或待改善者，應限期要求受稽核之特定非公務機關提出改善報告。<br /> 中央目的事業主管機關應依資安署指定之方式將稽核結果及改善報告送交資安署。<br /> 【第二十三條】<br /> 特定非公務機關應置資通安全長，由特定非公務機關之代表人、管理人、其他有代表權人或其指派之適當人員擔任，負責推動及監督機關內資通安全相關事務。</strong></span></span></p> </div></div></div>
2023/11/10 13:01作者黃彥棻https://www.ithome.com.tw/news/159734
駭客組織Lace Tempest著手攻擊SysAid零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門開發IT服務管理軟體的<a href="https://www.sysaid.com/blog/service-desk/on-premise-software-security-vulnerability-notification" target="_blank">SysAid周三（11/8）呼籲客戶應儘速升級至SysAid 23.3.36</a>，以修補已經遭到駭客攻擊的CVE-2023-47246零時差漏洞。<a href="https://twitter.com/MsftSecIntel/status/1722444141081076219" target="_blank">微軟指出</a>，駭客組織Lace Tempest已針對該漏洞展開攻擊，很可能是為了部署Clop勒索軟體。</p> <p>SysAid說明，該公司的安全團隊是在11月2日注意到此一潛在的安全漏洞，緊接著展開的調查則顯示，這是一個位於SysAid就地部署軟體的路徑穿越（Path Traversal）漏洞，可能導致程式執行，而且已遭到駭客利用。本周釋出的修補程式不僅修復了CVE-2023-47246，也會針對用戶的網路進行全面的危害評估，以尋找相關的入侵指標。</p> <p>Lace Tempest利用該漏洞上傳了含有一個WebShell與其它酬載的WAR檔案，至SysAid Tomcat網頁服務的根目錄中，該WebShell讓未經授權的駭客得以存取及控制目標系統，再利用一個PowerShell來執行惡意程式載入工具，繼之載入了木馬程式GraceWire。成功讓GraceWire進駐系統之後，駭客即可於受害系統上展開橫向移動，竊取資料並部署勒索軟體。此外，駭客還透過另一個PowerShell來抹去他們於系統上的攻擊痕跡。</p> <p>此一安全漏洞主要影響就地部署的SysAid On-Prem伺服器，除了督促用戶儘快升級到SysAid 23.3.36之外，SysAid也建議用戶展開徹底的危害評估，以及檢查任何具備最高權限的憑證是否出現可疑活動。</p> <p>微軟則提醒，除了修補之外，SysAid用戶也應該要檢查系統是否在修補之前便曾遭駭，以執行適當的清除行動。</p> </div></div></div>
2023/11/10 13:28作者陳曉莉https://www.ithome.com.tw/news/159735
【盤點《資安法》修法草案重點3】公務機關遇重大資安事件，資安署有權調度各機關資安人員支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>想要落實資安，大家都很清楚如果沒錢、沒人，將是萬萬不能。數位發展部這次推出的《資安法》修法草案中，從組織面提升公務機關資安治理的層級之餘，也要求依照各個公務機關的資通安全責任等級要求，設置專職的資安人員。</p> <p>在目前的政府機關中，只有警察、人事、政風、主計等單位，是屬於從上到下的「一條鞭」管理單位，從中央部會到地方政府機關的事權統一，基本上，中央的主管機關有統一的統籌訓練和主管考核機制，當然也有跨機關、跨單位進行人事調度的權利。</p> <p>只不過，公務機關資安專職人員的員額，最多就是A級機關的編制四人，而不屬於具有一條鞭管理機制的單位，當然主管機關也沒有這種直接跨機關調度人事的權利。</p> <p>但是，為了使公務機關一旦發生重大資安事件，更有效率、更即時的解決，此次修正草案第十八條特別賦予資安署有直接調度各機關資安人員支援的權利，讓公務機關的資安人員具有「類一條鞭」的性質。</p> <p>新增資安類一條鞭制度，資安署有權調度人員協處重大資安事件</p> <p>為了提高公務機關對於重大資安事件的應變協處能力，這次資安法修法更直接增訂第十八條第二項，規定資安人員具有類一條鞭性質，明定公務機關一旦遭遇重大資安事件時，「資安署得逕予調度各級機關資通安全人員支援。」</p> <p>但這種「類」一條鞭的方式，也引發質疑。例如，有些公共政策網路參與平臺「眾開講」的網友表示，資安署若要調動其他機關編制內的資安人員時，應該要先獲得機關同意才是，如果資安署被賦予「逕予」調度的權利，可能會有超額授權的爭議。</p> <p>另有網友認為，這裡的「調度」應屬於行政程序法第十九條的「請求行政協助」，調動機關內的人力支援協處重大資安事件，其中的「人力安排」看來比較類似：因為事件發生在你家附近、請求你就近協助幫忙，就像暫時的「車輛的調度」，而非永久「商調」，因此，並沒有牽涉組織員額編制的調動。</p> <p>也有其他網友跳出來質疑這麼做可能產生的問題，他們表示，現在有越來越多機關內的資訊員額，其實都被移撥給業務單位，當資訊人員越來越少人，甚至沒有獲得足夠員額的保障時，又如何做好資安呢？</p> <p>有一位網友指出，當公務機關面對重大資安事件發生時，各機關的資安人員都可被資安署統一徵調的規定，從公務人員的管考上，並不利於資安人員在機關內的考核，顯然《資安法》的規定沒有考量資安人員的職涯發展，並未從他們的角度出發。</p> <p><span style="font-size:28px;"><strong>機關內資安人員的業務超出負荷，若因支援而影響考績該怎麼辦？</strong></span></p> <p>面對有些機關在沒人沒錢的情況下，本身業務其實都已超過負荷，相關的資安人力卻還要受到資安署調度，去支援其他機關的困境，有人建議，直接由資安署的專業人員去支援更為合適。而這樣的專業人員，應該是指先前的行政院國家資通安全會報技術服務中心（簡稱技服中心），現為數位發展部管轄的行政法人：資通安全研究院。</p> <p>有人提醒這種資安類一條鞭的調度方式實際執行時，還會衍生其他問題，畢竟資安專責人員在政府歸類為資訊職系，並不是真正的一條鞭，考核權還是在各機關主管手上。</p> <p>這位網友表示，資安署一旦進行徵調時，除了會影響該機關原本已多如牛毛的業務執行，可能因被徵調人員在機關的貢獻度相對較低而影響考績，此外，升遷管道也可能受阻。於是，便有網友直接建議，應刪除此一不合理的規定。</p> <p>在「眾開講」平臺上面，更有網友直言：目前政府內各機關的資安人力多數員額尚未補足，資安人力都是現有機關編制內人員，但身為三級機關的資安署，卻要調動無隸屬關係的其他二級或其他機關，這有行政擴權之虞。</p> <p>以務實的角度來看，他認為草案中的「資安專職人力」應改為「資安專責人力」，因為很多機關只有一個資訊人員，光是要處理單位內資訊雜務已自顧不暇，根本不可能真正做到全職資安。</p> <p>也有現職公務機關資訊人員到「眾開講」平臺表達意見指出，許多機關的資訊人員往往是辦理資訊又兼辦資安，資訊加給的部分也不見改善。該名網友認為，資訊人員兼辦資安都做一樣的事情，因為「沒有專責資訊單位，就沒有提供資訊加給」，機關內的事情卻又不能不做，所以，這樣的狀態並不合理。</p> <p><span style="font-size:28px;"><strong>透過修正母法推動資安一條鞭，機會難得</strong></span></p> <p>有人認為需要再調整，但也有人支持，他們肯定推行資安人員一條鞭制，實屬立意良善，可整合各公務機關與特定非公務機關分散的資源，解決資訊採購重複及疊床架屋問題；也可以協助預算不足或組織較小的機關，解決資安產品或服務採購等問題，像是某些預算不足的機關，無法部署架構完整的資安防護方案，有些會則因為本身缺乏資安採購規畫的評估人力，導致履約能力不足的廠商得標。</p> <p>對此，「眾開講」平臺有網友建議，草案增訂條文能提供資安署「逕予」調度權限，難免影響原機關日常業務運作，加上各機關資安人員也須辦理日常業務，因此他建議第十八條第二項條文應修正成：「……遇有重大資通安全事件，資安署得商請各級機關同意及徵詢受調人員之意願，調度其資通安全人員支援。」賦予受調度機關作業的彈性。</p> <p>另外，因為接受調度的受調人員，在原機關編制的員額之下，是用其人事預算，如果接受調度機關也能因此獲得獎勵，例如年度機關績效指標等，便能夠提高機關借調資安人員支援的意願。</p> <p>該網友建議，第十八條第三項條文調整成：「……『受調機關與人員』的獎勵及職能訓練相關事項辦法，由主管機關定之。」</p> <p>事實上，2022年成立的資安署約聘人員人力，迄今還沒有補滿，其中一個重要原因就是，公務人員薪俸和資安業界有明顯落差，因此，應提高給薪彈性。</p> <p>該網友建議，數位發展部應該要規畫縮編約聘人員，例如約聘職遇缺不補，但把這個缺額改為補上受銓敘人員，並與考試院研商資安特種考試，像是設資安官，測驗上機實作與口試等，並擬訂資訊處理轉任資安職系的辦法，同時參考業界薪資訂定資安職系的專業加給，或者增設職務加給（可依經驗、證照或測驗成績，核定起敘的俸級）與彈性薪級（可參考法官24級或教師36級，非齊頭6本1），藉此維持文官制度的公平與透明。該網友也說，另外也可以參《法官法》的規定，可以依照其執業經驗採差別敘薪。</p> <p>此外，數位部管轄的資安院雖然以更彈性的方式，招聘資安業界的頂尖資安人力，然而，該組織本身所擁有的人力，目前仍然不足以支援各機關面臨的各種資安事件處理，以及需要的資安諮詢服務。</p> <p>網友認為，施行「資安一條鞭制」是正確方向，數位發展部應該把握難得修母法的機會，制定依據讓考試院能夠有所遵循。不然的話，在政府機關內部任職、實務經驗豐富的優秀資安人才，很容易受到業界高薪動搖；而接受目前待遇招募進來的人員，也可能因實務經驗不足，進而影響資訊服務委外專案的採購與管理品質。</p> <p>所以，資安一條鞭制應該由數位部統一編列資安官人事預算，再由資安署定期辦理集訓，依機關的資安責任等級、組織層級、設施重要性排序，派駐至各機關，以獨立處室辦理法遵諮詢、日常技術檢測、事件支援、聯合監控等業務（類似主計或政風）並定期輪調，而非讓各機關自行擴編人力又各自為政。至於各機關資安專責人，可作為「資訊人員」與「資安處室」的溝通橋樑。</p> <p>但網友認為，最終的關鍵還是在於現行文官制度沒有資安職系，就算有，職等敘薪也跟業界不同，也難怪政府機關一直找不到夠好、夠強大的資安人力。網友也說，從《資安法》實施迄今，即使有法條要求公務機關應補足資安人力，但在薪資服務的誘因不足下，公務機關資安人力仍然相當缺乏。</p> <p><span style="font-size:28px;"><strong>政府強化資安人員職能，每三年考一次的作法不恰當</strong></span></p> <p>因為資通安全人員的專業知識技能，也與公務機關資通安全防護能量有密切關係，為了強化並提升公務機關資安專職人員的職能，也於修正草案中第十八條第二項明定，「資安署應妥善規畫推動專職人員的職能訓練，增進其資通安全專業知識技能。」</p> <p>網友在眾開講平臺提到政府資安專職職能訓練，每3年要再考試一次，但每三年必須再考試一次的作法，不符目前許多國際證照維持證照有效性的作法。</p> <p>因此，這位人士建議，資安署應該參考國際資安證照的作法，在資安人員於取得相關資安證照後，透過持續訓練或工作的方式，藉此維持相關證照的有效性，而非要求資安人員要一直考試。</p> <p>在此同時，當所有人都要求資安人員要具備足夠專業，那麼，高層主管們如果能帶頭示範，取得能力證明，相信大家都會心服口服，因此，有人也對此提出質疑，認為資安署內長官們也應該要具有相關的政府資安職能證照。</p> <p>對於資安署的職責，有人建議負責執行國家資安政策的這個單位，不應該只負責管考，看稽核結果和改善報告而已，重點是，對於公務機關及特定非公務機關，究竟該提供什麼樣的協助？他指出，資安署應該從國家資安總體的考量，協助相關單位做好資安，而不是單純考慮管考、寫報告。</p> <p><span style="color:#B22222;"><span style="font-size:24px;"><strong>《資安法》修正草案重點之三的條文內容</strong></span></span><br /> <span style="color:#696969;"><span style="font-size:20px;"><strong>【第十八條】<br /> 公務機關應符合其資通安全責任等級之要求，設置專職資通安全人員，辦理資通安全業務及應變處理；資通安全業務績效評核優良者，應予獎勵。<br /> 資安署應妥善規劃推動專職人員之職能訓練，增進其資通安全專業知能；遇有重大資通安全事件，資安署得逕予調度各級機關資通安全人員支援之。<br /> 前二項人員調度支援、績效評核、獎勵及職能訓練相關事項之辦法，由主管機關定之。</strong></span></span></p> </div></div></div>
2023/11/10 13:40作者黃彥棻https://www.ithome.com.tw/news/159736
【盤點《資安法》修法草案重點4】將現行實務運作上的行政檢查，正式法制化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了強化中央目的事業主管機關對特定非公務機關，發生重大資通安全事件的調查權，《資安法》修正草案新增條文第二十五條，增訂中央目的事業主管機關行政調查的權限，也就是把現在主管機關對所管轄的相關產業，一旦發生重大資安事件甚至是個資外洩事件時，都會由主管機關執行的行政檢查機制。</p> <p>而這項權限的訂定正式納入《資安法》的法律規範中，可以有效精進資通安全管理。</p> <p>同時，為了避免特定非公務機關拒絕中央目的事業主管機關的行政檢查，也在修正草案中新增了罰則第二十九條，亦即「拒絕行政檢查者，將處以罰鍰十萬元以上、一百萬元以下」。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>發生重大資安事件就是啟動行政檢查的時機</strong></span></span></p> <p>如果中央目的事業主管機關要對特定非公務機關啟動行政檢查，最重要的兩個啟動關鍵時機，一個是在稽核資通安全維護情形，發現重大缺失，另一個是遇到重大資通安全事件。</p> <p>所謂的「重大缺失」是指：特定非公務機關未能落實其自訂的資通安全維護計畫，因此讓組織的資安維護機制失效，導致發生損害，並且產生不可回復的風險。</p> <p>至於「重大資通安全事件」則是指：發生了現行國家資通安全通報應變作業綱要所定義的第3、4級資安事件，例如：關鍵或核心資訊基礎設施系統或資料遭到竄改、運作遭影響，或是系統停頓導致無法在可容忍中斷時間內，回復正常運作者等都是。</p> <p>為了能夠更進一步落實特定非公務機關資通安全的維護，同時，也強化中央目的事業主管機關的監督權責，所以，中央目的事業主管機關針對特定非公務機關發生的重大資安事件進行調查，就是在執行行政檢查。</p> <p>但公共政策網路參與平臺「眾開講」的網友對此表示質疑，他們提到，如果發生資安事件牽涉的面向很廣，不論誰是當事人或關係人，該條文看似要究責，但該對誰進行究責，卻不清楚交代，實務上有窒礙難行之處。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>為免行政檢查濫權，將檢查程序範圍等全部法制化</strong></span></span></p> <p>由於這次修法，將正式賦予中央目的事業主管機關權限，使其針對特定非公務機關發生的重大資安事件進行調查，但是，為了避免行政機關濫權，也必須制定一定的調查程序。</p> <p>所以在《資安法》新增修正草案第二十五條第一項便規定，進行行政檢查時，除了要通知當事人或關係人到場陳述意見外；也要通知當事人及關係人，提出獨立第三方機構出具的鑑識或調查報告；甚至中央目的事業主管機關也可以派員、委任或委託其他機關（構），前往當事人及關係人的處所實施必要的檢查。</p> <p>至於所謂的關係人，也在條文中定義，協助特定非公務機關辦理資通系統建置、維運或提供資通服務的受委託者，且與重大資安事件相關者，都可以作為接受調查的特定非公務機關當事人或關係人，到場陳述意見。</p> <p>此外，為了保護接受調查對象應該有的權益，修正草案中也明訂：執行調查的人員應該出示有關執行職務的證明文件，如果不能出示證明文件者，接受調查的人同樣可以拒絕這些要求。</p> <p>同時，對於負責執行行政檢查的對象或機關（構），對於接受委託或執行行政檢查時，所得知非特定公務機關的秘密，都負有相關的保密義務。</p> <p>因為是執行公務，所以，接受調查的對象對於中央目的事業主管機關的行政檢查，不得規避、妨礙或拒絕，否則就須受罰，例如，新增修正草案第二十九條就制定相關罰則，「如果規避、妨礙或拒絕調查者，由中央目的事業主管機關處新臺幣十萬元以上、一百萬元以下罰鍰。」</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>行政檢查具有行政救濟方式，資安稽核則沒有</strong></span></span></p> <p>行政檢查的範圍就是，檢查機關職掌與受檢查單位是否有依法應辦理事項的內容，並且是以通知陳述意見、要求提供文書及資料等「行政程序法」的規定方式進行。</p> <p>曾經協助政府執行行政檢查的資安專家表示，行政檢查是有其限制範疇與方法救濟，不僅可以避免檢調濫權、任意進行搜查，受檢查單位若對行政檢查結果不滿，也可以啟動行政訴訟的救濟，不至於像現在的資安稽核，只要稽核人員檢查出來的結果，就必須被迫接受，因為目前接受稽核的單位，本身並沒有申訴救濟的機會。</p> <p>有資安專家表示，因為是代中央目的事業主管機關行資安檢查之責，不只要具備資安技術能力，最好還具有法律素養，可以將法條作為行政檢查的依據，「至少要開缺失的時候，可以於法有據。」該資安專家笑說。</p> <p>此次修法雖然加強中央目的事業主管機關的監督權責，但眾開講平臺當中有網友表示，中央目的事業主管機關的資安人力和技術能力，勢必不如資安署理想，因此，資安署應在本條文中扮演重要角色，建議可加入：經中央目的事業主管機關函請資安署協助時，資安署應提供所要求的協助。</p> <p>由於《資安法》規範的是公務機關，以及特定非公務機關的資通安全管理，但如果涉及個資外洩時，該修正草案也新增第三十一條，必須依照《個人資料保護法》及相關法規辦理。</p> <p>畢竟「資通安全維護計畫」與「個人資料檔案安全維護計畫」都規定要有適當安全措施，但兩者構成要件不同，也沒有普通法與特別法的差異，為了讓個資外洩資安事件也受《個資法》規範，於是透過新增法律條文來達成目的。</p> <p>對於行政檢查頗有研究心得的政治大學法律系兼任助理教授萬幼筠表示，一般在執行行政檢查時，他都會追問接受檢查單位，出事後的通報應變程序怎麼設計，這往往也是一般人忽略的地方。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>特定非公務機關都負有通報資安事件的責任和義務</strong></span></span></p> <p>在本次資安法修正草案，大家可以發現：只要是針對公務機關的規範，也同樣適用於特定非公務機關，務求《資安法》適用對象的法律規範能夠一致。</p> <p>舉例而言，像是修正草案第十七條和第二十四條就規定：不論是公務機關或是特定非公務機關，為了因應資安事件，都應該訂定通報及應變機制。</p> <p>如果公務機關得知發生資安事件時，除了要向上級機關或監督機關及資安署進行資安通報外，也要一併提交該次資安事件的調查、處理及改善報告；如果是特定非公務機關知道發生資安事件時，除了要向中央目的事業主管機關進行通報外，也要提交該次資安事件的調查、處理及改善報告，若該次是重大資安事件的話，相關調查報告則應該同時送交資安署。</p> <p>不過，關於通報與應變機制的必要事項、通報內容、報告提出、演練作業及其他相關事項辦法等，公務機關是由主管機關訂定相關內容，而特定非公務機關則由中央目的事業主管機關制定。</p> <p>倘若中央目的事業主管機關或是資安署得知，特定非公務機關發生重大資安事件時，除了得提供該單位相關協助外，也會在適當時機點，得公告與事件相關的必要內容及因應措施。</p> <p>因為公務機關發生重大資安全事件，極有可能會影響多數民眾的生命、身體或財產安全，所以也明文規定，由接獲資安通報的機關協同受駭的公務機關，分別或共同公告必要的內容，例如：發生原因、影響程度及目前控制的情形等，以及後續的因應措施，並提供相關的協助，以利後續防範、避免損害進一步擴大。</p> <p>對於上述狀況，「眾開講」平臺的網友認為應加重資安署權責，特定非公務機關若發生重大資通安全事件，並提出協助需求時，資安署「應」提供相關協助，而非「得」提供協助，「資安署不是只負責收報告而已。」該名網友說。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>所有的演練作業都要留存記錄，沒通報最高開罰五百萬元</strong></span></span></p> <p>為了增進公務機關及特定非公務機關因應資安事件的處理能力，所以，在修正草案第十七條和第二十四條當中，都增訂「演練作業」的項目，透過實施模擬演練，熟悉應變程序，以便提升處理資安事故的技能。</p> <p>資安專家建議，不論公務機關或特定非公務機關，平時不只要做好演練作業，也要做好相關記錄，否則一旦不幸爆發資安事件，受駭單位被通知需提交平時的演練記錄給主管機關和資安署，如果平常演練都沒有做好記錄，就算臨時抱佛腳進行趕工作業，恐怕還是無法產出相關報告，屆時只能面臨被主管機關裁罰的命運。</p> <p>至於裁罰的部份，因為公務機關原本就是依法行政，所以不會對「機關」進行懲處，只會處罰「公務人員」，依照《資安法》的規定，視其情節的輕重程度，會對公務人員進行懲戒或懲處。</p> <p>至於針對特定非公務機關的處罰，則會以機關單位為主。</p> <p>像是修正草案第二十七條規定，特定非公務機關如果沒有做到「限期改正」的事項時，會被按次處以罰鍰十萬元以上、一百萬元以下；其他像是沒有制定、實施或違反資通安全維護計畫，或是未依規定，將資安改善計畫送給中央目的事業主管機關及資安署，或是沒有向有關單位提出資安事件調查報告、或違反通報內容或演練作業的規定等，都會受到相同的懲處。</p> <p>為了強化特定非公務機關向主管機關通報發生資安事件的責任和義務，《資安法》修正草案第二十八條規定：如果沒有按規定通報資安事件，中央目的事業主管機關可以開罰三十萬元以上、五佰萬元以下罰鍰，並下令限期改正，若屆期沒有改正的話，可以按次處罰。</p> <p>《資安法》這樣按次處罰的方式，其實，也是強迫特定非公務機關必須正視問題，一旦遇到資安事件時，必須要做到相關的通報應變的責任，以外力要求特定非公務機關能夠更重視資安，不會想著因循苟且。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>資安通報不等於發布重訊</strong></span></span></p> <p>因為證交所要求上市櫃公司，一旦發生資安事件時，必須即時發布重訊。然而，證交所要求的公司重訊發布，以及《資安法》規定的資安事件通報義務，兩者之間有什麼差異呢？</p> <p>萬幼筠表示，依照10月19日剛公布的《數位經濟產業個人資料檔案安全維護辦法（安維辦法）》，以及《資安法》修正草案中的規定，特定非公務機關有通報中央目的事業主管機關的義務。</p> <p>像是上市櫃公司如果發生資安事件，通報義務就是告知投資人（發表重訊），說明資安事件是否會影響業務營運以及可能造成的財物損失，這也是金管會在意的內容。</p> <p>只不過，要通報《資安法》主管機關數位發展部的話，不只要通知該起資安事件發生的來源、通報和應變等後續流程，連是否有引起個資外洩事件等，也都在通報的範圍之中。</p> <p>所以，萬幼筠認為，資安通報應該有三種分流，第一種是與營業秘密相關的資安事件，第二種是與個人資料相關的資安事件，最後一種則是影像作業運作、資訊系統中斷的資安事件。</p> <p>至於，特定非公務機關甚至是一般上市櫃公司，要進行資安事件通報的流程，根據萬幼筠的觀察，首先是資安通報應變或是個資通報應變，必須要通報中央目的事業主管機關，這時候也會確認是否要刑事局或調查局（牽涉國安項目的資安）報案。</p> <p>接著，如果是上市櫃公司，還必須通報證交所，依照上市櫃合約要求進行重大事件公告，說明該起資安事件是否影響公司的營運、對財務是否造成衝擊，以及相關的應變方式。</p> <p>最後，就是要通知當事人，如果是個資外洩事件的通知當事人，依照行政命令規定，必須在72小時內通知，但是，以往有許多機構當下雖然表示「查明後要告知」，但一查就查了N年，甚至沒下文，所以改在「安維辦法」要求，出事72小時內要通知主管機關，然後要通知當事人。</p> <p>但他也說，目前因為法律沒有強制完成通報的限制，只要求必須通報，所以，目前來看，通報和事件發生之間還是存在時間差。</p> <p>因為資安通報不等於發布重訊，萬幼筠指出，不論《資安法》、《個資安維辦法》、《個人資料檔案安全維護計畫》等，都要求必須查明相關攻擊來源、應變狀況等詳情，畢竟後續還有安排行政檢查的任務，而證交所的通報內容就沒有這麼細緻。</p> <p><span style="font-size:24px;"><span style="color:#B22222;"><strong>《資安法》修正草案重點之四的條文內容 </strong></span></span><br /> <span style="font-size:20px;"><strong><span style="color:#B22222;">【第十七條】</span><br /> 公務機關為因應資通安全事件，應訂定通報及應變機制。<br /> 公務機關知悉資通安全事件時，應向第十四條規定收受其實施情形之機關及資安署通報。<br /> 公務機關應向前項接獲通報機關提出資通安全事件調查、處理及改善報告。<br /> 前三項通報與應變機制之必要事項、通報內容、報告之提出、演練作業及其他相關事項之辦法，由主管機關定之。<br /> 第二項接獲通報機關知悉重大資通安全事件時，得提供公務機關相關協助，並於適當時機得公告與事件相關之必要內容及因應措施。<br /> <span style="color:#B22222;">【第二十四條】 </span><br /> 特定非公務機關為因應資通安全事件，應訂定通報及應變機制。<br /> 特定非公務機關於知悉資通安全事件時，應向中央目的事業主管機關通報。<br /> 特定非公務機關應向中央目的事業主管機關提出資通安全事件調查、處理及改善報告；如為重大資通安全事件者，並應送交資安署。<br /> 前三項通報與應變機制之必要事項、通報內容、報告之提出、送交、演練作業及其他應遵行事項之辦法，由主管機關定之。<br /> 中央目的事業主管機關或資安署知悉重大資通安全事件時，得提供特定非公務機關相關協助，並於適當時機得公告與事件相關之必要內容及因應措施。<br /> <span style="color:#B22222;">【第二十五條】 </span><br /> 中央目的事業主管機關為辦理特定非公務機關發生重大資通安全事件之調查，得依下列程序辦理： <br /> 一、通知當事人或關係人到場陳述意見。 <br /> 二、通知當事人及關係人提出獨立第三方機構出具之鑑識或調查報告。 <br /> 三、派員、委任或委託其他機關（構）前往當事人及關係人之處所實施必要之檢查。前項所定關係人，以第一項特定非公務機關委託辦理資通系統之建置、維運或資通服務之提供之受託者，且與重大資通安全事件相關者為限。 <br /> 受調查者對於中央目的事業主管機關依第一項所為之調查，不得規避、妨礙或拒絕。 <br /> 執行調查之人員應出示有關執行職務之證明文件；其未出示者，受調查者得拒絕之。 <br /> 第一項第三款受委任或委託之機關（構）對於辦理受任或受託事務所獲悉特定非公務機關之秘密，不得洩漏。<br /> <span style="color:#B22222;">【第二十七條】</span><br /> 特定非公務機關有下列情形之一者，由中央目的事業主管機關令限期改正；屆期未改正者，按次處新臺幣十萬元以上一百萬元以下罰鍰： <br /> 一、未依第二十條第一項或第二十一條第一項規定，訂定、修正或實施資通安全維護計畫，或違反第二十二條所定辦法中有關資通安全維護計畫必要事項之規定。<br /> 二、未依第二十條第二項或第二十一條第二項規定，向中央目的事業主管機關提出資通安全維護計畫之實施情形，或違反第二十二條所定辦法中有關資通安全維護計畫實施情形提出之規定。<br /> 三、未依第八條第二項、第二十條第四項或第二十一條第三項規定，提出改善報告送交資安署、中央目的事業主管機關，或違反第二十二條所定辦法中有關改善報告提出之規定。 <br /> 四、未依第二十四條第一項規定，訂定資通安全事件之通報及應變機制，或違反第二十四條第四項所定辦法中有關通報及應變機制必要事項之規定。 <br /> 五、未依第二十四條第三項規定，向中央目的事業主管機關提出或向資安署送交資通安全事件之調查、處理及改善報告，或違反第二十四條第四項所定辦法中有關報告提出、送交之規定。 <br /> 六、違反第二十四條第四項所定辦法中有關通報內容、演練作業之規定。<br /> <span style="color:#B22222;">【第二十八條】</span><br /> 特定非公務機關未依第二十四條第二項規定，通報資通安全事件，由中央目的事業主管機關處新臺幣三十萬元以上五百萬元以下罰鍰，並令限期改正；屆期未改正者，按次處罰之。<br /> <span style="color:#B22222;">【第二十九條】</span><br /> 違反第二十五條第三項規定，規避、妨礙或拒絕調查者，由中央目的事業主管機關處新臺幣十萬元以上一百萬元以下罰鍰。<br /> <span style="color:#B22222;">【第三十一條】</span><br /> 本法所定資通安全事件，涉及個人資料檔案外洩時，公務機關及特定非公務機關應另依個人資料保護法及其相關法令規定辦理</strong></span></p> <p> </p> </div></div></div>
2023/11/10 13:45作者黃彥棻https://www.ithome.com.tw/news/159737
上路屆滿5年，資安法首度修法
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1155-feng_mian_p1-open-yan_fen_-960x420_kao_bei_0.jpg?itok=EDW0c3Eu" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資通安全管理法於2019年正式啟用，數位部今年9月預告修法，將彙整各界意見交由行政院提出修法版本，也會送交立法院進行修法。目前修法草案有哪些重點？適用範圍是否應該要從現有的公務機關以及特定非公務機關，擴大到一般產業？我們將帶領大家了解。</p> </div></div></div>
2023/11/10 13:49作者黃彥棻https://www.ithome.com.tw/article/159738
改善資安，政府採購與法令與時俱進
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧今年10月的資安新聞，隨著國際上出現新的震盪，先是巴勒斯坦激進組織哈瑪斯（Hamas）開火，突然對以色列發動大規模的軍事攻擊，引發後續以色列展開強烈反擊，而在網路上也陸續傳出，有駭客組織聲援兩國表態參與發動網路攻擊的情形。</p> <p>不僅如此，最近這一個多月來，我們看到科技大廠修補遭利用零時差漏洞的消息，呈現相當密集的情形，<a href="https://www.ithome.com.tw/news/159484" target="_blank">本期我們也專門介紹了這樣的態勢</a>，當中亦顯現國家級駭客組織、商業間諜公司、勒索軟體組織挖掘零時差漏洞並用於攻擊行動的最新現況，以及涉及底層漏洞似乎變多的情形。</p> <p>回顧國內近期重大網路攻擊事故與資安防護推動，有兩大議題最受我們關注，一是國內連鎖藥局下半年接連遭駭客攻擊的情況，一是<a href="https://www.ithome.com.tw/article/158417" target="_blank">我國政府資訊服務採購有新變革</a>，將資安防護措施納入採購規範，做到資安入規。</p> <p>近日，我們盤點這一個月的臺灣重大資安消息，發現有兩家上市櫃公司遭駭客攻擊。</p> <p>首先，以丁丁藥局為營運主體的興櫃公司諾貝兒寶貝（諾貝兒），該公司在10月7日發布資安事件重大訊息，說明公司遭受駭客網路攻擊。</p> <p>另一起事件，代理傳動、控制等自動化機電零組件的上市公司羅昇企業（羅昇），在10月27日亦發布資安事件重大訊息，說明該公司發生部分資訊系統遭受駭客網路攻擊。</p> <p>以諾貝兒的事件而言，引起我們關注的是，雖然調查局指出現況依然是很多產業都有被攻擊的情況，但在今年下半，7月底，先是有大樹醫藥公告遭遇網路攻擊事件，最近10月初，又有丁丁連鎖藥局的諾貝兒寶貝公告遭遇網路攻擊事件，似乎連鎖藥局與醫療通路可能有被針對的情形，相關業者須多加留意。</p> <p>關注資安事故的同時，今年臺灣資安防護推動也獲得幾個重要進展，首先是，最新政府資訊服務採購指引出爐。</p> <p>行政院公共工程委員會（行政院工程會）先是在今年9月25日發布政府資服採購作業指引，後續，行政院在10月5日發布消息，說明通過「政府資訊服務採購革新－資安入規及採購指引」報告，並請各部會及各地方政府，落實執行本次資訊服務採購革新相關事項，同時，工程會也新提供懶人包說明這次資安入規及採購指引的重點。</p> <p>簡單來說，這項改變之所以重要，不僅是資安入規，還有因為過去20年政府資訊服務採購的規範，長年來為機關與資服業者帶來太多爭議與亂象，甚至陷入惡性循環的情況，例如，對資訊系統建置時的資安規畫與契約履行造成極大的挑戰，也導致業界可能為了得標而必須大幅讓利甚至降低品質。</p> <p>而我們在9月進行<a href="https://www.ithome.com.tw/article/159015" target="_blank">資安監控中心SOC的封面故事報導</a>時，當時，也感受到資安服務業者面對公部門採購有很多話想說，像是招標機關常年採最低價決標，但廠商面臨技術服務需與時俱進的向上競爭壓力，在收費營收方面卻呈現持續往下的嚴峻挑戰，隨著政府資訊採購確定有新變革，才讓他們認為市場有了轉機。</p> <p>無論如何，現在有了好的轉變，雖然這次革新可能還不到滿分完善的地步，但在專家眼中，至少可以讓政府資訊服務採購有正向積極的轉變，比方說，從以往的59分不及格，進步到80分。而我們也期望，新的變革能夠加速提升臺灣機關資安防護能力，並帶動臺灣資服資安業者的產業競爭力。</p> <p>另一個突破會是資通安全管理法的修法，<a href="https://www.ithome.com.tw/article/159738" target="_blank">而在1155期封面故事中</a>，因應相關法令內容即將調整，因此我們特別針對這次修法內容帶來的改變，以及民眾意見回饋，與大家一起探討。</p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span></strong></span></span></p> <p><a href="https://www.ithome.com.tw/article/159738" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1155-feng_mian_p1-open-yan_fen_-960x420_kao_bei_0.jpg?itok=EDW0c3Eu" style="width: 550px;" /></strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/article/158417" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1144-feng_mian_p1-open-zheng_han_-960x420_kao_bei_0.jpg?itok=Z1cAPIEo" style="width: 550px;" /></strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/article/159015" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1149-feng_mian_p1-open-zheng_han_-960x420_kao_bei_0.jpg?itok=XAiCY5ZO" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%9B%B6%E6%99%82%E5%B7%AE%E6%BC%8F%E6%B4%9E">零時差漏洞</a></div><div class="field-item odd"><a href="/tags/%E6%94%BF%E5%BA%9C%E8%B3%87%E6%9C%8D%E6%8E%A1%E8%B3%BC%E4%BD%9C%E6%A5%AD%E6%8C%87%E5%BC%95">政府資服採購作業指引</a></div><div class="field-item even"><a href="/tags/%E8%A1%8C%E6%94%BF%E9%99%A2%E5%B7%A5%E7%A8%8B%E6%9C%83">行政院工程會</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89%E7%9B%A3%E6%8E%A7%E4%B8%AD%E5%BF%83">資安監控中心</a></div><div class="field-item even"><a href="/tags/soc">SOC</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E9%80%9A%E5%AE%89%E5%85%A8%E7%AE%A1%E7%90%86%E6%B3%95">資通安全管理法</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89%E6%B3%95%E4%BF%AE%E6%B3%95">資安法修法</a></div></div></div>
2023/11/10 13:57作者羅正漢https://www.ithome.com.tw/voice/159739
專業經理人的領導備忘錄
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-ling_dao_zhe_xing_dong_qing_dan_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">樂金文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>請設想以下情境：不到五個月前，你由原本任職的民營公司奉召服務於新組成的政府內閣。你出身消費零售業，現在則掌管全國礦業。某次你到國外出差，一面仍全盤掌握國內情況。這時部裡傳來消息，某地底深處礦坑發生礦災，死亡人數未知，失蹤人數三十餘人。</p> <p>又或者換一種情境：幾十年來，你的金融業務公司一帆風順，不僅收益大增、獲得業界看重的3A信用評等，還成立了一個表現優異的部門。這個部門規模不小，就像是台賺錢機器，負責的業務是次級房貸等債務違約投保。看上去，前景似乎可以肯定會蒸蒸日上，可是一轉眼，市場就內爆了。</p> <p>再想像一下這種情境：經歷四年交戰，雙方傷亡人數超過七十萬人，敵軍終於投降了。總帥命你安排敵人名聲最響亮的一支軍隊的投降事宜。受降儀式的調性、質感，接待降軍的應對進退，都由你規畫。</p> <p>最後還有一種情境：某製造商即將拆成三間公司，董事長要你這名財務長執掌其中一間。你先前掌管母公司財務部門，如今受命扛起新成立子公司的一切。更棘手的是，子公司問題重重。</p> <p>當然，以上情境都確有其事。情境一的主角勞倫斯．高柏內（Laurence Golborne）是智利共和國新任礦務部長。在訪問厄瓜多期間，他收到幕僚長從聖地牙哥（智利首都）傳來的緊急短訊：「科皮亞波礦坑塌陷，受害者三十三人。」二十八小時後，亦即當地時間早上三點，高柏內抵達智利南部很偏遠的阿他加馬沙漠礦災災區。沒多久，全球就有好幾百萬民眾盯著這場史上規模數一數二的礦災救援行動。</p> <p>情境二裡的金融巨頭美國國際集團（American International Group，AIG）大難臨頭，和智利受災礦工一樣，最終由政府出手相救。一直要到AIG投入大筆資金的次級房貸市場內爆，該集團執行長才驚覺為集團設下的防護措施遠遠不夠。連串市場動盪引發全球金融危機，而他未能臨機應變，也使得整個集團抵擋不住衝擊，差點就要成為企業史上少數的重大倒閉案例。本來各方認為AIG「大到不能倒」，現在都覺得是爛到不如不救。</p> <p>情境三的美國南北戰爭聯邦軍官約書亞．勞倫斯．張伯倫（Joshua Lawrence　Chamberlain）所採取的作為與AIG執行長有天壤之別。聯邦軍總帥格蘭特將軍（Ulysses S. Grant）交給他一項歷史性的重任，要他居中協調邦聯軍李將軍（Robert E. Lee）後續的投降儀式。有些人會猜想，他應該會羞辱邦聯軍一番，但他沒有這麼做，反而下令向李將軍致敬，表達重新團結之意。</p> <p>情境四的丹妮絲．拉莫絲（Denise Ramos）則是ITT前任財務長。在董事長眼中，拉莫絲贏在起跑點上，而這多虧她鍛鍊出執行長思維，也有能力如執行長般有所作為；還未正式擔任執行長職務，就已能事事樣樣承擔執行長職責。在之後的日子，等完全握有執行長職權，她便改革子公司，讓公司改弦易轍。</p> <p>上述四位領導者，有三位在該他們發揮領導力的時刻都有十足準備，有一位則明顯不是這麼回事。誠然，很少人會承受那樣嚴苛的領導力考驗。不過，所有人都可以（也應該）準備充分，迎向各自工作的挫折與轉機，儘管這種種挫折與轉機並不受大眾注目。於是我們得問：為什麼張伯倫、高柏內、拉莫絲能有效克服難關？為什麼AIG高階主管相較之下無力防範金融災難、無力挽救公司？幫了張伯倫、高柏內、拉莫絲大忙的技能，別的領導者學不學得來，又或者說，能不能套用？畢竟，他們一輩子也許都沒機會像張伯倫等人攀越高峰，卻必然有各自的崎嶇險阻。</p> <p>我們所有人都應該有辦法對以上課題給個肯定的答覆。就我來看，所有對企業或團隊績效有責任出一份力的人，都能夠掌握有效的領導力以迎向將來的挑戰。這也是為什麼我在書中提倡並羅列要點清單。</p> <p>我和各式領導力方案參與者的相互激盪，對鑑別出領導者原則來說至關重要。</p> <p>我拿來和他們相互激盪的案例之一，便是IBM前執行長羅睿蘭（Virginia Rometty）在2018年底宣布，以三百四十億美元收購複合式雲端計算公司紅帽（Red Hat）。按她當年的說法，「如今各家公司在雲端這條路上多半只走了二○％」，都只有租用電腦計算能力來「縮減支出」。「接著要走的八○％是要發掘雲端真正的商業價值，並促進雲端發展」，而「這就有必要將雲端商業應用轉型為複合式雲端計算」，「從企業每一道環節擷取更多數據，將數據最佳化」。另一方面，當時的紅帽執行長詹姆斯．懷德赫（James Whitehurst）也解釋說，在接受IBM基於該願景提出的收購案之餘，並未放棄自家公司的自我定位：「和IBM齊心協力讓我們的規模變大、資源變多、能力變強」，但同時仍保有公司的「獨特文化」。</p> <p>根據收購合約的條件，紅帽會在IBM的複合式雲端團隊內獨立運作，只不過懷德赫須向IBM執行長直接彙報成果。紅帽仍保留位於北卡羅萊納州的總部，儘管IBM總部就在南邊不到一千公里處。毫無疑問，紅帽一萬三千名員工中會有不少人對收購案持保留態度，畢竟IBM在他們眼中是天高皇帝遠，企業文化不同，對雲端技術的投入也談不上舉足輕重，而雲端可是當紅新興科技；當時微軟的雲端計算市占率為一五％，亞馬遜為三四％，IBM僅七％。</p> <p>我讓一名經理人或高階主管想像自己是羅睿蘭，在收購案過了幾天之後和成為IBM員工的一群紅帽成員談話。其他人則假想自己是這批剛成為IBM員工的紅帽成員，有些人認為前景堪憂，有些甚至對收購案不情不願。經過對IBM執行長一輪提問，我問他們想要（或預期）從新上司口中聽到怎樣的答覆，以及在收購案後會不會留下來工作，又會不會卯足全力打造、營運合併後的新工作型態。</p> <p><span style="font-size:28px;"><strong>三項重要原則，管理者不可忽略</strong></span></p> <p>領導者清單由十六項原則組成。不過，好多經理人都告訴我說，按照他們的經驗，其中有三項最容易在領導實務中忽略。有些時候，他們要嘛很少運用這三項原則來領導公司，要嘛做不到持之以恆。就他們所見，其餘領導者也不常身體力行這三項原則，包括他們的上司也是，偏偏這些上司本就該採行這三項原則才是。無論如何，結果都是：在公司最經不起打擊的時候，無法完整發揮領導力。</p> <p>最容易被這些經理人和其他領導者忽略的三項原則如下：</p> <p><span style="color:#B22222;"><strong>尊重團隊：表達你對下屬的信任與支持。</strong></span></p> <p><span style="color:#B22222;"><strong>溝通說服：要言不煩，教人過耳不忘。</strong></span></p> <p><span style="color:#B22222;"><strong>以共同利益為優先：大我為重，小我為輕。</strong></span></p> <p>為什麼前述三項原則更常因為在領導實務中「缺席」（而非「實踐」）才反過來凸顯其重要性呢？我想，答案在於有太多管理階層的文化不夠重視這三項原則，又或者並未把這些要點原則整合進領導力發展方案。不管怎麼說，領導時欠缺這三項原則，不但你自己心知肚明，有時還會大大危害到公司聲譽、營利，甚至是國家利益。以英國石油公司（British Petroleum，BP）前執行長唐熙華（Tony Hayward）為例。BP在墨西哥灣的鑽油井平台破裂，他擔心會衝擊環境，但說服不了其他人。另外，全球金融危機期間，投資銀行社群有許多成員都把個人私利擺前頭，投資人與國家的利益擺後頭。</p> <p>至於未能尊重團隊，眼前就有個好例子。</p> <p>輝瑞公司（Pfizer）是全球藥品大廠。綜合多方陳述來看，輝瑞前執行長傑夫．金德勒（Jeff Kindler）對手下高階經理人屢屢當面質疑、詰問、批評，吹毛求疵。就連公司董事也有人被他當眾訓斥。由於向來不尊重團隊、缺乏人望，再加上股價表現不佳，讓人看不出他的努力，金德勒這執行長當了不到五年就被董事會解聘了。<strong><span style="color:#696969;">（摘錄整理自《頂尖領導者的行動清單》，樂金文化提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%A0%98%E5%B0%8E%E8%80%85%E8%A1%8C%E5%8B%95%E6%B8%85%E5%96%AE_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%A8%82%E9%87%91%E6%96%87%E5%8C%96-350.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_樂金文化</span></span><br /> <strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 頂尖領導者的行動清單（The Leader's Checklist）</strong><br /> 麥克．尤辛（Michael Useem）／著；謝孟宗／譯<br /> 樂金文化出版<br /> 定價：360元</p> <p class="rtecenter"><a href="https://mgmt.wharton.upenn.edu/profile/useem/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/150_%E9%A0%98%E5%B0%8E%E8%80%85%E8%A1%8C%E5%8B%95%E6%B8%85%E5%96%AE_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%B3%93%E5%B7%9E%E5%A4%A7%E5%AD%B8%E8%8F%AF%E9%A0%93%E5%95%86%E5%AD%B8%E9%99%A2.jpg" style="width: 150px;" /></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span><br /> <strong>麥克．尤辛（Michael Useem）</strong><br /> 麥克．尤辛是賓州大學華頓商學院管理學教授，兼任領導與變革管理中心暨麥克諾提領導力學程主任。他於大學開設企管碩士班、高階企管碩士班管理與領導課程，並為美國、亞洲、歐洲及拉丁美洲等區域的經理人提供領導力與治理能力課程。他亦協助許多私營公司、公家單位及非營利機構推行領導力發展方案。<a href="https://mgmt.wharton.upenn.edu/profile/useem/" target="_blank"><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_賓州大學華頓商學院</span></a></p> </div></div></div>
2023/11/10 12:00未署名https://www.ithome.com.tw/article/159657
【盤點《資安法》修法草案重點1】將「禁用危害國家資通安全產品」規定法制化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在《資安法》修正的草案內容中，首先，有個大家都相當關注的調整重點，那就是：將現行「各機關對危害國家資通安全產品限制使用原則」的行政原則正式法制化，於是，這次修正草案特別新增了第十一條規定：「公務機關不得採購及使用危害國家資通安全產品」以及「公務人員獲配之公務用資通訊設備，不得下載、安裝或使用危害國家資通安全產品」。</p> <p>對於政府遲遲不願意公開禁用產品的清單，成功大學電機系教授李忠憲於臉書發文，抨擊數位部研議修訂《資安法》，卻未將中共明列為「敵人」管制對象。他質疑，若不知道誰是敵人，就不知道如何防範，也不知道重點和主要的預算要放在哪裡。</p> <p>也有學者表示，目前禁用危害國家資安產品限定為中國品牌的資通訊產品，但未來是否進一步，將禁用範圍擴及其他對臺灣有危害的國家產品，此舉有待評估。</p> <p>而在公共政策網路參與平臺「眾開講」網友回覆意見中，有人建議，《資安法》修正草案新增該禁用條文後，應該要做到正本清源，就必須從政府資訊服務採購的源頭──共同供應契約著手，才能真正做到令行禁止。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>政府行政命令規範禁用危害國家產品，資安署若從寬認定會產生矛盾</strong></span></span></p> <p>對於這次《資安法》修正草案內容，將「各機關對危害國家資通安全產品限制使用原則」的位階從現行的行政命令提升到法律層級，東吳大學科法所兼任助理教授王仁甫認為，修正條文提到「禁用危害國家資通安全產品」的定義並不清楚，若條文更清楚寫成「危害國家安全之資通安全產品」，除了不會造成文字混淆，他認為，主管機關應清楚對外說明，危害國家安全的資通安全產品定義，才可避免各界有疑慮。</p> <p>事實上，目前的《資安法》並沒有規定，公務機關不可以使用或採購中國廠牌包含軟體、硬體和服務的資通訊產品，但有鑑於許多中國廠牌監控設備（例如：海康威視Hikvision）以及網通設備（例如：華為）傳出許多隱藏後門等資安事件，因此觸動政府部門的敏感神經。</p> <p>因此，行政院秘書長李孟諺曾經在2020年12月正式發函，從嚴要求此事，下令公務機關原則上禁止使用及採購大陸廠牌資通訊產品（含軟體、硬體及服務），並要求在2021年底完成全部中國廠牌產品的替換，部分例外須填報正當理由，交由行政院評估。</p> <p>但後續出現不同調的狀況。例如，數位部資安署在2022年8月27日更新的「資安法常見問題中」，針對上述禁用大陸廠牌資通訊產品發函的注意事項，引用公共工程委員會於2018年12月的舊函釋，將大陸廠牌的定義限縮在「大陸地區廠商」，至於「第三地區含陸資成分廠商」及「在臺陸資廠商」的資通訊產品，則不在限制範圍之內。</p> <p>對此有資安專家質疑，為何資安署在網站公告禁用危害國家產品注意事項，卻反而從寬認定大陸廠牌？這與外界要求從嚴認定的觀點不符。</p> <p>對此，資安署在公布的注意事項提及，各機關在辦理採購案時，如屬經濟部投資審議委員會公告「具敏感性或國安含資安疑慮的業務範疇」，應確實於招標文件中載明，不允許經濟部投資審議委員會公告的陸資資訊服務業者參與投標。</p> <p>注意事項也規範一種狀況，例如，若是公務機關委外執行標案的團隊成員，不得同時為中國大陸國籍人士，若是多重國籍人士，只要其中一個國籍有中國大陸國籍，都在限制範圍內；若是香港及澳門國籍者，則不在此限。</p> <p>該注意事項也指出，目前基於現實考量，禁用的資通訊產品不可為大陸廠牌，但並未限制大陸廠牌的零組件；若為了滿足特定需求，公務機關的採購可以在招標文件要求提供的資通訊產品，不可以在大陸廠區生產或製造零組件。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%BB%E5%9C%96-%E8%B3%87%E5%AE%89%E7%BD%B2%E7%A6%81%E7%94%A8%E5%95%8F%E7%AD%94-960.jpg" style="width: 600px;" /></p> <p><span style="color:#3366ff;"><strong>資安署在限制使用危害國家資通安全產品的問答網頁時，引用工程會對大陸廠商的舊函釋，外界認為這與行政院從嚴認定的原意不同，也不符現在的潮流。</strong></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>從政府採購源頭，明文禁用中國廠牌產品</strong></span></span></p> <p>原先政府部門只是以行政命令規範公務機關禁用大陸廠牌的資通訊產品，但實務上，要達到政府規範的禁用目標，就必須從採購源頭著手，禁止使用危害國家的資通安全產品。</p> <p>負責政府採購的主管機關行政院公共工程委員會，也於9月25日正式公布《政府資訊服務採購作業指引》，該作業指引其中的一項重點就是：涉及國家安全或是資通安全的採購，公務機關應該直接在招標文件中規定，不允許陸資廠商（包含其分包廠商）以及陸藉人士參與。</p> <p>而根據該作業指引對陸資廠商的定義，則包括：大陸地區廠商、第三地區陸資廠商，以及在臺灣的陸資廠商。這個規範也合乎行政院秘書長於2020年12月的發函，要求從嚴認定「大陸廠牌」的定義。</p> <p>該作業指引也明定：如果機關招標案件涉及國家安全的採購，必須依照採購案件的特性和實際需要，限制招標廠商的資格；若對廠商的資金來源比例有特定限制的話，例如，懷疑廠商資金來源有陸資的話，可以要求廠商提出相關董監事、股東名冊和資金來源等文件；如果是涉及僑外投資的話，也可以要求廠商提出授權查核同意文件，有必要時，亦可請求目的事業主管機關協助查察。</p> <p>此外，機關在執行相關的採購契約時，不管是履約標的或是執行過程中，都不得提供或使用大陸廠牌的各種資通訊產品，相關的履約人員也不得為大陸藉人員。</p> <p>但是，有些國外的駐點單位或金融單位海外分行等，因為業務需求且無其他替代方案，不得不使用大陸廠牌的資通訊產品時，該機關就應該說明原因，並且經過該機關的資通安全長，以及上級機關資通安全長進行逐級核可後，同時函報《資通安全管理法》主管機關數位部進行核定；最重要的是，機關在該產品未達汰換年限前，也必須加強相關的資安強化措施。</p> <p>透過作業指引的規範，讓政府機關在採購資通訊產品時，都不能採購大陸廠牌的資通訊產品，也必須將《各類資訊（服務）採購之共通性資通安全基本要求參考一覽表》，作為各機關資訊系統資安防護等級的資安規範參考。</p> <p>然而，不同法令要求的對象有別。例如，政府採購法適用的對象，主要是政府機關、公立學校、公營事業，以及接受機關補助金額過半的採購單位，《資安法》適用的公務機關及特定非公務機關中，有些關鍵基礎設施提供者是民間企業，本身並不會受到《政府採購法》規範。</p> <p>有鑑於此，便有網友在「眾開講」平臺建議：「資安署應在網站公布危害國家資通安全產品列表，提供各機關查詢，方可避免資通訊產品驗收爭議。」這應該是可行的配套措施；此外，網友認為，資安署也應該負起職責，定期更新禁用產品內容。</p> <p>另外，有學者表示，目前危害國家資通安全產品的定義是指「中國品牌」，但未來，我們也可以評估是否擴大適用範圍，涵蓋俄羅斯、伊朗或北韓（朝鮮）等國家的資通訊產品。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B7%A5%E7%A8%8B%E6%9C%83%E4%BD%9C%E6%A5%AD%E6%8C%87%E5%BC%95%E5%85%AC%E5%B8%83%E6%88%AA%E5%9C%96.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(51, 102, 255);"><strong>公務機關要做到禁用危害國家資安產品，就必須從政府採購的源頭——共同供應契約做起，而工程會日前公布的「政府資訊服務採購作業指引」已經明訂公務機關禁止採購大陸廠牌的資通訊產品。</strong></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>數位部不公布禁用危害國家產品清單，因為擔心業者洗產地</strong></span></span></p> <p>資安署在「資安法常見問題」的網頁中，也提到：「由主管機關核定禁用廠商清單的效益有限，便決定由主管機關透過跨部會協調平臺與各機關溝通，推動後續危害國家資通安全產品的限制使用事宜。」</p> <p>數位發展部部長唐鳳在面對立委質詢，針對為什麼不能公布危害國家資安產品清單的問題時，她表示，為了避免業者「洗產地」改名規避審查，所以數位部不會公開禁用的產品名單。</p> <p>唐鳳先前接受其他媒體訪談時提到，如果法律明文禁用「中國製」資通訊產品時，因為軟體相對難定義產地，若以官方註冊產地來看時，國際版抖音TikTok透過海外註冊的方式，正好可以繞過「中國製」的法律規範。</p> <p>她指出，數位部是以中國政府能否實質控制這家公司或組織，作為是否危害國家資安產品的認定標準，即便危害國家產品的廠牌或官方註冊產地有變，都不會影響數位部對其危害國家資安產品的認定。</p> <p>為了杜絕危害國家資安產品「洗產地」，唐鳳認為，列在共同供應契約的產品，至少都有兩個以上的機關在使用的產品，等於是機關認同可以採購的「白名單」；若是全新的產品或品牌，就要透過跟數位部查詢的方式，確認沒有資安疑慮後，再行採購。</p> <p>因為在修正草案新增的第十一條中，已經明定「公務機關得向主管機關查詢危害國家資通安全產品及其廠商。」這也表示，數位部只允許有需求的機關向數位部查詢名單，並不願意對外公布禁用清單的態度。</p> <p>數位部資安署署長謝翠娟日前在立法院回覆立委詢問時表示，數位部的禁用危害國家資安產品的清單，分成網路、系統、資料庫、機器人等十多個類別，目前列管的品項超過一千個，其中五分之一與資料庫和電子書有關，而向數位部查詢禁用清單的數量，平均每天約有一件查詢、每個月平均為二十多件查詢需求。</p> <p>臺灣現在有些業者採購中國的白牌產品，然後貼牌為臺灣廠牌的商品，這樣就可以避掉《資安法》對大陸廠牌的限制。不過，有資安專家憂心指出，這些貼牌產品重要的核心系統是大陸製的情況下，貼牌臺灣廠牌反而會讓採購的公務機關缺乏警覺性，可能誤入未知的後門陷阱。</p> <p>數位部既然擔心業者洗產品而不願意公布禁用產品清單，倘若民間業者對採購大陸廠牌資通訊產品有資安疑慮，應該怎麼辦？唐鳳建議，民間業者可參考列在共同供應契約的白名單產品。</p> <p>不過，民間業者對於產品採購的規格和需求，相較公務機關更為彈性與多元，對於只能被動採購共同供應契約上的產品，或者被動詢問資安署欲採購產品是否是在禁用清單的作法，民間業者不會買單。</p> <p>相反地，數位部若能在網站定期更新、主動公布禁用危害國家資安產品清單，不僅可以便利公務機關與非公務機關即時查詢，也會因為禁用產品相關資訊公開透明，在所有競爭業者和使用者的共同監督下，大陸廠牌的資通訊產品，想要透過「洗產地」改頭換面的難度，也會大幅提高，民間業者採購效率也會比只能單向跟資安署查詢高。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%94%90%E9%B3%B3%E5%9B%9E%E8%A6%86%E7%AB%8B%E5%A7%94%E8%B3%AA%E8%A9%A2%E6%88%AA%E5%9C%96-600.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(51, 102, 255);"><strong>面對立委質詢為什麼不公開政府列管的危害國家資安的禁用清單，數位發展部部長唐鳳表示，憂心清單公布後會有業者洗產地的疑慮。</strong></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>明文嚴禁公務手機下載中國App</strong></span></span></p> <p>在修正草案第十一條規定，「公務機關」不得採購及使用危害國家資通安全產品外，也不得在公務設備上下載、安裝或使用危害國家資通安全產品，也就是說，政府機關所核發的公務手機，皆不能下載、安裝或使用中國抖音、微信等App。</p> <p>不過，「眾開講」平臺上面的網友直接建議，認為政府部門核發的公務資通訊設備，應該限制僅限於公務使用，不能轉做私人用途，而這樣的作法，也符合Cyber Hygiene（網路衛生）的觀念。</p> <p>該網友也表示，有許多國內外資料外洩、社交工程資安事件發生原因，都是因為公私不分造成的，像是為求便利，在公務設備上做私人事情，不管是收發私人電子郵件，或在公務用的通訊軟體裡使用私人帳號、加入私人的群組等，都可能因為釣魚郵件或簡訊等社交工程手法，導致帳密外洩等資安事件。</p> <p>不過，王仁甫認為，保護國家安全不只是公務機關的責任，《資安法》規範的其他特定非公務機關，有很多都有這樣的處境，它們一旦遭到損害，就會危及國家民生的重要單位，因此，也都應該要肩負起相對應的責任。</p> <p><span style="color:#B22222;"><strong><span style="font-size:24px;"> 《資安法》修正草案重點之一的條文內容 </span></strong></span></p> <p><span style="font-size:20px;"><strong><span style="color:#696969;">【第十一條】<br /> 公務機關不得採購及使用危害國家資通安全產品；其自行或委外營運，提供公眾活動或使用之場地，亦同。但因業務需求且無其他替代方案者，經該機關資通安全長及其上級機關資通安全長核可，函報主管機關核定後，得以專案方式購置，並列冊管理。<br /> 公務人員獲配之公務用資通訊設備，不得下載、安裝或使用危害國家資通安全產品，並應遵守相關法令規範。<br /> 公務機關得向主管機關查詢第一項產品及其廠商</span></strong></span></p> </div></div></div>
2023/11/10 12:26作者黃彥棻https://www.ithome.com.tw/news/159731
Humane正式發表全球首款個人AI裝置Ai Pin，售價699美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由蘋果前介面設計師Imran Chaudhri與軟體工程師Bethany Bongiorno在2017年共同創立的Humane，<a href="https://hu.ma.ne/media/humane-launches-ai-pin" target="_blank">本周四（11/19）正式發表</a>了號稱是全球第一款個人AI裝置的Ai Pin，約4.5公分見方的Ai Pin可以別在襯衫或夾克上，使用者得以透過自然語音或手指觸控與其互動，並具備電話、傳訊、翻譯及搜尋等功能，它採用雷射光束掃描投影系統，把必要資訊投射到充當螢幕的使用者手掌上。Ai Pin預計於11月16日開放美國用戶訂購，售價為699美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/humane-press-interactions-600.png" style="text-align: center; width: 600px;" /></p> <p>Ai Pin採用時脈為2.1 GHz的8核心Qualcomm Snapdragon處理器，內建4GB記憶體與32GB儲存空間，配備1,300萬畫素的相機，以及麥克風與喇叭，所執行的是專為AI設計的Cosmos作業系統，完全不必下載、管理或啟用軟體，而是藉由一項名為Ai Bus的技術，將使用者連結到所需的服務上。</p> <p>作為一個網路時代的AI裝置，Ai Pin支援各種連網技術，從行動網路、eSim、Wi-Fi 5、藍牙、GPS、Wi-Fi定位系統、Beacon，一直到與T-Mobile合作所推出的Humane無線網路服務，由Humane自己擔任行動虛擬網路營運商（MVNO）。其AI能力主要來自與微軟及OpenAI的合作，使得Ai Pin得以存取某些全球最強大的AI模型與平臺。</p> <p>使用者主要是透過語音及手勢與Ai Pin互動，只要透過手指觸控即可輸入語音、接聽或掛斷電話、開啟或結束音樂、進行翻譯或是拍照等。</p> <p>699美元除了Ai Pin裝置之外，還包括兩個電池增強器，充電板、充電盒與充電線等，但這只是硬體費用，使用者必須額外支付每月24美元的訂閱費用，以取得Ai Pin專用的電話號碼，以及相關的無限通話、簡訊與資料傳輸服務，此一訂閱價格也涵蓋了Humane所提供的雲端儲存及AI服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/ai%20pi%20complete%20system-600.png" style="width: 600px;" /></p> <p>儘管Ai Pin能否取代智慧型手機仍是個未知數，但透過一個小小的裝置，利用語音就能打電話、問天氣、聽新聞、聆聽喜愛的音樂、與外國人交談，的確描繪了一個更自然與方便的未來。由於Ai Pin必須搭配服務才能發揮功用，Humane現階段並未公布是否會在其它市場推出Ai Pin。</p> </div></div></div>
2023/11/10 12:42作者陳曉莉https://www.ithome.com.tw/news/159732
《資安法》實施五年首度大修法！主管機關啟動資安法修法程序
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣目前唯一規範各種資安事件通報、應變及處理的法律，就是《資通安全管理法》（以下簡稱為《資安法》），自從2018年6月6日制定公布，到2019年元旦正式實施以來，至今並未進行修法。</p> <p>過去五年未能修法，有個很重要的原因在於：修法組織異動。原先負責《資安法》制定的行政院資通安全處，原本是行政院的四級幕僚單位，而在2022年8月27日行政院數位發展部成立後，也同時成立資安專責單位：資安署。因為負責修法單位的組織異動，也讓相關的修法進度無法有進展。</p> <p>由於《資安法》自實施以來都沒有修過法，為了讓該法更符合實際的運作模式，外界開始有修法的呼聲，數位部也透過舉辦幾次座談會，邀請各界專家學者，彙整各界意見，後續在國發會「公共政策網路參與平臺—眾開講」中公告，預告修正《資通安全管理法》。</p> <p>此次，《資安法》修正草案中，明訂《資安法》主管機關和資安執行機關，也另外新增六條法條，多數都是為了將現行對資安的實務作為法制化，包括資安會報入法、禁用危害國家資安產品入法、特定非公務機關設資安長入法、行政檢查入法外，也增訂拒絕行政檢查的罰則，以及發生個資外洩的資安事件時，也將適用《個資法》規範。</p> <p>由於《資安法》適用公務機關以及特定非公務機關，目前臺灣特定非公務機關只有數位部、指定的中央目的事業主管機關，以及被指定的關鍵基礎設施服務提供者知情，目前數位發展部以擔心中共知情為由，不願意公布名單。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>主管機關為二級機關數位部，執行單位為三級機關資安署</strong></span></span></p> <p>為了讓《資安法》的運作更符合實務要求並配合行政院的組織運作，所以，此次修法草案中，最重要的一件事，就是配合數位發展部以及資安署的成立，於是，在修正草案第二條中，將原本的主管機關從行政院改為數位發展部，相關的國家資通安全業務，則交由數位發展部資安署辦理。</p> <p>這個因應行政院組織異動隨之調整的法條內容，會產生什麼影響？原本的行政院資通安全處是行政院四級的幕僚機關，所有發文都會以行政院的名義對外發送，而因為是行政院的發文，所以各機關重視程度相對高。但數位發展部成立後，屬於行政院的二級機關，資安署更是三級機關，因此，當數位發展部發文時，由於其他部會屬於平行單位，重視與否端看該公文是否與部會業務相關。至於三級單位的資安署，處境更尷尬——雖然在修正草案中，已經明訂資安署是國家的資安專責單位，但在組織運作上，卻因為三級位階矮人一等，若是要對外發文給上級單位時，難免也會遇到上下權責難以對應的考量。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>資安署收各部會資安稽核報告，金管會對上下權責區分有質疑</strong></span></span></p> <p>最明顯的例子就是，數位發展部在國發會眾開講平臺蒐集各界對《資安法》修正草案的建議，就有金管會發文指出權責問題。</p> <p>首先，依據修正草案第八條的規定，資安署得定期或不定期稽核公務機關及特定非公務機關的資通安全維護計畫實施情形，金管會認為，當三級機關的資安署可以對一、二級公務機關，以及特定非公務機關（包含關鍵基礎設施提供者）辦理資安稽核相關作業，並要求將稽核結果及改善報告送交資安署時，這樣的作法對於相關業法上下權責的劃分、組織職掌及地方自治等事宜都有所扞格，因此，金管會表示，對於資安署能否據以辦理相關稽核作業的權責妥適性，也應該一併考慮斟酌。</p> <p>另一個爭議點是修正草案第十九條增訂「關鍵基礎設施提供者的指定基準、廢止條件及程序由中央目的事業主管機關公告，並擬訂指定清單報行政院核定。」金管會質疑，如果中央目的事業主管機關依公告的指定基準，指定關鍵基礎設施提供者的清單，與行政院核定結果不符的時候，其所公告指定基準是否具有法規效力。</p> <p>另外，第十九條中也規定，中央目的事業主管機關會徵詢相關公務機關、民間團體、專家學者的意見後訂定指定清單，金管會質疑，指定程序是否具訂定之必要外，也建議應該再審酌其必要性及法規位階。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>資安會報正式入法，建立跨機關、中央地方聯防機制</strong></span></span></p> <p>除了資安事務的主管機關和執行機關明定在《資安法》修正草案中，另外一個重點就是，將現行運作多年的行政院「國家資通安全會報」，正式納入《資安法》新增的修正草案第五條，並指定數位發展部為幕僚單位。</p> <p>「資通安全會報」從2011年經行政院院會核定後，通過第一期資通安全機制計畫，便同時成立行政院「國家資通安全會報」。根據《行政院國家資通安全會報設置要點》第一條，設立國家資通安全會報的目的就是為了：積極推動國家資通安全政策，加速建構國家資通安全環境並提升國家競爭力。</p> <p>資通安全會報由行政院副院長兼任召集人，行政院資安長則由資通安全會報召集人兼任；這是整合跨部會、跨直轄市副首長、專家、學者的資安組織，相關幕僚作業則由數位發展部辦理。</p> <p>事實上，資安會報運作已經超過十年，除了要因應全球資安威脅和突發的資安事件越來越多之外，最主要的任務就是：協助建立各機關中央和地方的聯防體系，真正強化跨機關的資安應變和協調處理能力，以及落實資安會報的決議事項。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>特定非公務機關的指定方式讓人不解</strong></span></span></p> <p>事實上，《資安法》在五年前開始修訂時，當時的法律架構參考《個資法》，法條內容則針對公務機關以及特定非公務機關兩個標的，因此，許多熟悉《個資法》個資的人，看到公務機關以及特定非公務機關的用語，會覺得似曾相識。</p> <p>不過，《資安法》和《個資法》最大的差異在於，對「非公務機關」的適用範圍定義不同，前者是「特定」非公務機關，後者則是除了公務之關之外都算是非公務機關。</p> <p>因此，《資安法》適用的特定非公務機關的範圍，其實經過中央目的事業主管機關的再三挑選後，才指定的「特定」非公務機關，數量上一定比《個資法》適用的範圍小。</p> <p>不過，臺灣指定的特定非公務機關，目前面臨很嚴重的問題，那就是：即便是同一個產業、類似規模，甚至是扮演相似的角色，會因為主管機關的認知不同，而有指定與否的差別。</p> <p>舉例而言，關鍵基礎設施中的交通運輸領域，中央目的事業主管機關是交通部，針對飛機類的主管機關則是民航局。</p> <p>據了解，在國籍航空中，只有中華航空公司被指定為關鍵基礎設施中的「特定非公務機關」，但同為國籍航空的長榮航空、立榮航空、華信航空、星宇航空以及臺灣虎航等，都不在關鍵基礎設施領域中的「特定非公務機關」名單中。</p> <p>若以規模和功能來看，身為國籍航空的華航過去曾經幫忙國家運送疫苗，長榮航空也同樣有幫忙運送疫苗，因此，既然在先前COVID-19全球疫情大爆發的情況下，政府都會要求兩家航空公司協助，如今就國家安全的角度而言，就應該有不同標準嗎？如果只是因為官股成分的不同，所以民航局僅指定中華航空作為關鍵基礎設施中的特定非公務機關，然而，如果不同時指定其他國籍航空公司，恐怕會產生許多爭議，不符合全民的認知與期待。</p> <p>若回頭看修正草案第三條對關鍵基礎設施的定義，「指行政院公告之關鍵領域中，該領域服務所依賴之系統或網路之實體或虛擬資產，其功能一旦停止運作或效能降低，對國家安全、社會公共利益、國民生活或經濟活動有重大影響之虞者。」從上述定義來看，中華航空和長榮航空一旦服務中斷，對臺灣社會造成的衝擊，難道會有差異嗎？</p> <p>再者，金融業因為營業規模大小而分級，全部納入管理，航空業和其他列為八大關鍵基礎設施領域的服務提供者，也同樣可以透過分級分類的方式，把相同等級的業者，一併納入同樣關鍵基礎設施領域的特定非公務機關名單，才是合理的作為。</p> <p>就好像，通傳會（NCC）要指定電信業者作為特定非公務機關時，一定是因為該業者對於臺灣通訊服務扮演重要角色，一旦服務中斷，將會嚴重影響社會、民生和經濟活動。</p> <p>所以，NCC如果因為官股成分，只指定中華電信作為特定非公務機關，而不指定台灣大哥大和遠傳電信的話，是否就會變成政府認定，列為特定非公務機關的中華電信，其服務一旦中斷，對社會國家造成的衝擊，會比其他電信業者大呢？</p> <p>由此可證，如果中華電信、臺灣大哥大和遠傳電信，因為都是臺灣重要的電信服務提供者，一旦服務中斷，都會對臺灣社會帶來同樣巨大的衝擊，因此，都必須列為特定非公務機關的名單時，難道，長榮航空不應該因為和中華航空具有同樣的重要性，而應該同樣被列入特定非公務機關的名單中嗎？</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>數位部不願公布關鍵基礎設施清單，引發質疑</strong></span></span></p> <p>另一個資安法修法的爭議點在於，數位發展部目前不願意公布關鍵基礎設施服務提供者的名單，他們對外的說法是：「擔心中共知道後，會攻打這些單位」但平心而論，這樣的理由並無法令人信服，反而會被認為是公務人員「不做不錯」的心態作祟。</p> <p>對歐盟《資安法》有深入研究的政大法律系兼任助理教授萬幼筠表示，歐盟有一個跨國關鍵基礎設施的清單列表，在每個關鍵基礎設施領域，都可以各自找到歐盟30個會員國各自的關鍵基礎設施清單。另外，在網路上，甚至也可以找到一個Open Infrastructure Map，提供全球各國關鍵基礎設施的電廠地圖。</p> <p>從上述做法來看，國家關鍵基礎設施的清單並非不能公開，敵對國家與組織仍然可以透過許多方法進行收集和判斷，不會因為政府不公開而能阻止其他人認定，但數位發展部如今卻以關鍵基礎設施的清單被中共知道，會對臺灣不利為由而不願意提供，此舉令人覺得荒謬！</p> <p>換個角度來看，這些關鍵基礎設施的清單就算不公布，以中共對臺灣的滲透，加上臺灣內部有許多過度親中人士的協助，中共還是可以知道哪些是關鍵基礎設施的名單嗎？數位部不公布清單，只是鴕鳥心態，更嚴重的問題，在於國人如果無法明確知道所要保護的對象，如何進一步提高這方面的心防？</p> <p>事實上，關鍵不在於能否徹底隱瞞、不洩漏清單，而是被視為關鍵基礎設施服務提供者，是否做好應該有的資安防護措施，這不只是政府的責任，也是民眾的責任；而且，透過資訊公開透明的全民監督方式，也可以作為監督相關關鍵基礎設施精進資安作為的外部動力。</p> </div></div></div>
2023/11/10 12:07作者黃彥棻https://www.ithome.com.tw/news/159729
Chrome 119開始呈現每個分頁的記憶體使用量
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google於上周釋出的Chrome 119不僅修補了15個安全漏洞，也新增了一項功能，使用者只要把滑鼠移到分頁上，就能透過懸停卡（Hover Cards）看到該分頁的記憶體用量。</p> <p>Chrome開發者經驗負責人Addy Osmani曾在今年10月，<a href="https://medium.com/@addyosmani/chrome-now-shows-each-active-tabs-memory-usage-4f74876538e6" target="_blank">於Chrome 119 Canary版出爐時解釋過此一功能</a>，還說此一懸停卡不僅能查看每個分頁的記憶體用量，一旦使用者啟用了記憶體節省模式，亦可自懸停卡上看到該分頁是否已被凍結以釋出記憶體。</p> <p class="rtecenter"><img alt="" src="https://miro.medium.com/v2/resize:fit:720/format:webp/1*[email protected]" style="width: 450px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Addy Osmani, Chrome</span></span></p> <p>呈現記憶體用量的功能很明顯地是要透明化每個網站的記憶體消耗，以讓使用者決定是否要關閉用量特別龐大的網站。</p> <p>為了擺脫記憶體怪獸的惡名，Google Chrome團隊去年底於該瀏覽器上新增了效能設定，主要功能為記憶體節省模式與節能模式。在啟用記憶體節省模式之後，Chrome即會釋出閒置分頁所占用的記憶體，以把更多的資源分配給正在使用中的分頁或其它應用程式，同時保持Chrome的快速運作。</p> <p>節能模式則是在啟用後限制背景活動與視覺效果，以節省電池電力，其預設值是在電池電量低於20%時自動開啟。</p> <p>雖然Chrome 119在10月31日就出爐了，但由於每個Chrome版本的部署時間有時會長達數周，許多用戶一直到本周才看到最新的記憶體用量顯示功能。</p> </div></div></div>
2023/11/10 10:29作者陳曉莉https://www.ithome.com.tw/news/159718
OpenAI啟動合作夥伴計畫，以擴大取得模型訓練資料集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI本周稍早在第一屆開發者大會上宣布<a href="https://www.ithome.com.tw/news/159668" target="_blank">客製化ChatGPT</a>、<a href="https://www.ithome.com.tw/news/159671" target="_blank">GPT-4 Turbo</a>等服務後，昨（9）日發表了<a href="https://openai.com/blog/data-partnerships" target="_blank">資料合作夥伴方案（OpenAI Data Partnerships）</a>，除了幫企業整理或數位化資料，同時取得網路上找不到的開源與私有資料集來訓練其AI模型。</p> <p>要訓練出有用且安全的AI，需要其資料集能涵括多種主題、產業、文化及語言，因此OpenAI之前曾和多個組織合作，以將其資料納入其訓練資料集，包括冰島政府及一家軟體業者提供冰島語資料，法律非營利組織自由法律專案（Free Law Project）則提供大量法律文件。OpenAI指出，資料合作夥伴方案的目的在將企業組織的資料加入OpenAI的資料集，以便其模型能產出更正確、符合其產業或文化需求的回應。</p> <p>OpenAI需要不易在公開網際網路上取得的，且能反映人類社會的大量資料。該公司能處理多種模態的資料，包括文字、圖片、影片及聲音，他們對能表達人類意圖的資料尤其感興趣，像是很長的文字或對話，而非不連續的片段，且不論文字、主題或格式都歡迎。</p> <p>OpenAI強調，除了取得合作夥伴資料，他們也會用其自行開發的AI科技，協助企業合作夥伴數位化及結構化資料資產。例如他們有光學字元辨識（optical character recognition，OCR）技術可將PDF數位化，或使用自動語音辨識將口語資料錄寫下來。如果資料需要清洗，像是自動產生的符號或轉錄錯誤，OpenAI也能協助處理。OpenAI謝絕包含敏感或個人資料，或是非企業自有的第三方資料，但如果企業資料中包含這些元素，OpenAI也能幫忙去除。</p> <p>以資料來源區分，OpenAI透過合作夥伴取得開源資料儲存庫，以及組織自有的資料集。OpenAI計畫利用前者訓練開源模型。利用組織自有資料集，他們將訓練自己的基礎AI模型，或是微調及客製化模型。如果合作組織希望保有資料，又希望OpenAI模型能更了解其領域，甚至合作組織自己想開發模型，OpenAI表示會提供合作夥伴屬意的安全防護，以及資料控制權，<a href="https://openai.com/form/data-partnerships" target="_blank">有興趣的企業組織可以填寫表格以加入合作計畫</a>。</p> <p>這項合作除了幫助OpenAI取得更多元資料訓練其GPT、DALL-E等模型，以提升生成結果的品質，也能避免侵害版權或隱私的爭議。OpenAI過去利用爬蟲技術在網際網路上擷取文字及影音資料，已引來<a href="https://www.theguardian.com/books/2023/jul/05/authors-file-a-lawsuit-against-openai-for-unlawfully-ingesting-their-books" target="_blank">作家</a>及<a href="https://arstechnica.com/information-technology/2023/07/book-authors-sue-openai-and-meta-over-text-used-to-train-ai/" target="_blank">出版商</a>的控訴官司。</p> </div></div></div>
2023/11/10 10:47作者林妍溱https://www.ithome.com.tw/news/159723
OpenAI遭DDoS攻擊，ChatGPT斷線近24小時
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI本周才風光舉辦第一屆開發者大會，並公布<a href="https://www.ithome.com.tw/news/159668" target="_blank">客製化ChatGPT</a>、<a href="https://www.ithome.com.tw/news/159671" target="_blank">GPT-4 Turbo</a>等服務，不過旗艦服務ChatGPT卻疑似遭到駭客發動分散式阻斷服務（DDoS）攻擊而斷線近24小時。</p> <p><a href="https://status.openai.com/incidents/21vl32gvx3hb" target="_blank">根據OpenAI的狀態頁</a>，太平洋時間周二（11月7日）起，ChatGPT及API陸續發生數次斷線。當天晚間將近8:00（臺灣時間周三中午約12:00）ChatGPT和API發生部分斷線情形，持續約2.5小時後獲得解決。11月8日凌晨將近6:00時，ChatGPT和API發生大規模斷線，原因是「一些問題」影響所有服務。OpenAI團隊在1個半小時找出問題並部署解決方案。當地時間11月8日中午12:00（臺灣時間11月9日凌晨4點）時，ChatGPT及API再度發生周期性斷線。維護團隊從流量樣態判斷為DDoS攻擊，表示正著手解決。直到臺灣時間今天（11月10日）約上午5:30，維護團隊才公告，事件已經解決，所有服務恢復正常，修復時間花了將近24小時。</p> <p>OpenAI並未提供關於攻擊的資訊。<a href="https://techcrunch.com/2023/11/09/openai-blames-ddos-attack-for-ongoing-chatgpt-outage/" target="_blank">不過Techcrunch報導</a>，行動派駭客組織Anonymous Sudan在Telegram頻道上宣稱是其所為。這個組織據信和俄國有關。</p> <p>另一方面，OpenAI預定當地時間周一上線給所有付費用戶的客製化GPTs，也未能實現承諾。但<a href="https://twitter.com/sama/status/1722315204242149788" target="_blank">OpenAI執行長Sam Altman解釋</a>是出於新功能用量超出預期之故。此事和DDoS攻擊尚無法確定。</p> <p>此外，CDN暨網路安全業者<a href="https://www.bleepingcomputer.com/news/technology/cloudflare-website-downed-by-ddos-attack-claimed-by-anonymous-sudan/" target="_blank">Cloudflare昨日也證實發生DDoS攻擊</a>，致使<a href="http://www.cloudflare.com">www.cloudflare.com</a>網站短暫斷線。巧合的是<a href="https://t.me/xAnonymousSudan/260" target="_blank">Anonymous Sudan周四也宣稱</a>此事是其所為。</p> <p>另一家AI新創公司Anthropic的聊天機器人Claude也出問題。<a href="https://www.cnbc.com/2023/11/08/openais-chatgpt-is-down-in-a-major-outage.html" target="_blank">《CNBC》報導</a>，Anthropic張貼告示指出，由於「不預期的容量短缺」，Claude暫時無法回應訊息。Anthropic事件是否與OpenAI或Cloudflare事件相關也不得而知。</p> </div></div></div>
2023/11/10 11:16作者林妍溱https://www.ithome.com.tw/news/159727
FBI警告，勒索軟體持續透過供應鏈入侵賭場伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ic3.gov/Media/News/2023/231108.pdf" target="_blank">美國聯邦調查局（FBI）近日警告</a>，勒索軟體駭客集團近來持續利用第三方的遠端存取漏洞，以及合法的系統管理工具來入侵賭場伺服器。</p> <p>今年以來，<a href="https://www.ithome.com.tw/news/158690" target="_blank">米高梅國際酒店集團</a>（MGM Resorts International）的賭場及美國連鎖賭場<a href="https://www.ithome.com.tw/news/158767" target="_blank">Caesars Entertainment</a>都遭到駭客攻擊，FBI的文件並未揭露受害者名單，僅說這一年來發現駭客持續藉由第三方服務來危害賭場，且相關攻擊通常針對小型及部落賭場，駭客加密了伺服器，盜走賭場的員工與客戶身分資訊。</p> <p>FBI發現的其中一個駭客組織是Luna Moth（又名Silent Ransom Group），該組織發動了回撥網釣（Callback Phishing）攻擊，寄信給受害者並要求受害者回撥，進而指示受害者安裝其它合法的管理工具，駭客再藉由該工具安裝其它系統工具以執行惡意活動，包括破壞本地端檔案與網路共享磁碟，竊取用戶資料，並向受害組織勒索。</p> <p><a href="https://unit42.paloaltonetworks.com/luna-moth-callback-phishing/" target="_blank">資安業者Palo Alto Networks去年底便曾點名Luna Moth</a>，此一駭客組織的專長在於誘導目標組織的員工替其安裝遠端存取工具，以控制受害電腦，進入受害組織的網路，接著執行惡意活動並向受害組織勒索。這類的攻擊成本相對較低，而受到駭客青睞。</p> <p>為了避免出現更多的災情，FBI提供了緩解措施，包括維護離線的備份資料，確保備份資料是加密且不可變更的，審查第三方業者的安全性，將應用程式及遠端存取活動列表，記錄與監控外部的遠端存取活動，以及制定復原計畫。FBI也建議賭場落實身分與存取管理，採用強密碼及多因素身分驗證，要求只有具備管理員身分的使用者才能安裝軟體，安裝防毒軟體，以及定期修補安全漏洞等。</p> </div></div></div>
2023/11/10 09:30作者陳曉莉https://www.ithome.com.tw/news/159712
開放工程聯盟公開新基準測試結果，AI模型訓練效能5年大幅提升49倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開放工程聯盟（MLCommons）<a href="https://mlcommons.org/2023/11/mlperf-training-v3-1-hpc-v3-0-results/">公開</a>了MLPerf Training v3.1與MLPerf HPC v3.0，兩個重要的基準測試套件的結果，MLPerf Training v3.1獲得產業廣泛參與，官方提到，相較起5年前第一批提交的結果，訓練效能提升達49倍，而MLPerf HPC v3.0的結果也同樣展示科學運算的長足進展，像是DeepCAM天氣建模基準的結果，也比首次推出時提升達14倍。</p> <p>隨著大型語言模型在各類智慧應用越來越普及，人們對於生成式人工智慧的依賴程度日益增加。為了訓練更強大、更準確地大型語言模型，企業則需要更龐大的運算能力，並高效率地利用超級電腦的硬體和軟體，藉以加速模型訓練流程，使模型更快地迭代和改進，以強化大型語言模型和生成式人工智慧的創新和實用性。</p> <p>MLPerf Training v3.1套件是用於衡量訓練機器模型、軟體和硬體的全系統評比工具，範圍涵蓋廣泛應用領域。這套開源且經過同儕審查的評比工具，替產業提供了一個公平競爭的平臺，不僅推動技術創新，也可促進效能和能源效率的進步。</p> <p>在最新的MLPerf Training v3.1中，有來自19個組織所提交的200多個結果，組織包含華碩、微軟、戴爾、富士通、Google、Nvidia和廣達雲端科技等企業，而這次也有新加入提交MLPerf Training測試結果的組織，像是CTuning基金會與紅帽等。<span style="white-space:pre"> </span></p> <p>新的MLPerf Training v3.1套件考慮到圖像生成的高速成長，加入了Stable Diffusion生成式人工智慧基準模型，可用於評估人工智慧系統在接收文字提示並生成圖像的能力。官方提到，MLPerf Training v3.1結果與2018年初次提交的結果相比提升達49倍，效能明顯提升正反映了機器學系統正以非常快的速度創新。</p> <p>而在MLCommons在MLPerf Training v3.0才新增的GPT-3，在5個月內，大型語言模型基準測試的效能就提升達2.8倍。MLCommons在本輪總共收到11份GPT-3的測試提交，官方認為，提交數量增加與生成式人工智慧大受歡迎有關係。</p> <p>MLPerf HPC v3.0基準套件則是針對超級電腦，用以衡量科學應用機器學習模型的訓練效能。與MLPerf Training v3.1類似，只不過MLPerf HPC v3.0專門評比科學研究常用的高效能運算系統，並針對支援多用戶的大型系統，納入吞吐量指標。</p> <p>MLCommons還在HPC v3.0基準套件中，新增了蛋白質折疊基準OpenFold。MLPerf HPC v3.0包含30多項測試結果，官方提到，HPC v3.0基準參與度較去年增加30％，其中包括8個組織提交的大型超級電腦，像是戴爾、富士通與理化學研究所等，還有首次參加的克萊姆森大學，還有HPE與柏克萊實驗室，以及Nvidia和德州高階運算中心。</p> <p>MLPerf HPC基準測試結果展示了人工智慧在科學領域的重大進展，官方指出，像是DeepCAM天氣模型基準，就比首次推出時快14倍，而這代表著機器學習快速創新，已能夠成為科學家更好的工具，用於解決研究領域的問題，並增加人們對世界的理解。</p> <p> </p> </div></div></div>
2023/11/10 09:40作者李建興https://www.ithome.com.tw/news/159711
【資安日報】11月9日，駭客藉由PyPI套件散布BlazeStealer竊資軟體，對開發人員的電腦上下其手，甚至造成電…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">利用惡意開源套件鎖定開發人員的攻擊行動，近期可說是越來越頻繁，但大部分往往出現不到1個月就被研究人員發現、向套件儲存庫經營團隊通報。而最近發生的一起攻擊行動中，駭客從今年初陸續發布惡意PyPI套件，當中潛藏竊資軟體BlazeStealer，直到最近才被揭露。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">特別的是，這起攻擊行動當中，駭客相當節制、低調，在10個月內，僅上架了8個惡意套件，而不像大部分同類型的事故，往往在短短的一、兩個星期當中，上架數十個、甚至是數百個套件。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【攻擊與威脅】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://checkmarx.com/blog/python-obfuscation-traps/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體BlazeStealer透過PyPI套件散布，讓駭客對開發人員的電腦進行各式攻擊行動</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/BlazeStealer.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/BlazeStealer.png" style="width: 300px; float: right;" /></a>資安業者Checkmarx揭露竊資軟體BlazeStealer的攻擊行動，駭客從今年1月至10月，前後發布8個PyPI套件，用來散布上述惡意程式。受害者遍及全球，近7成（69.2%）位於美國，其次是中國、俄羅斯的人士，分別占12.4%、5.5%。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">這些套件內含setup.py和init.py檔案，用來尋找駭客存放於Transfer[.]sh的Python指令碼並執行，一旦開發人員不慎安裝上述的PyPI套件，電腦就有可能被植入BlazeStealer。此竊資軟體會執行Discord機器人，從瀏覽器挖堀帳密資料、執行命令、加密檔案、停用防毒軟體Microsoft Defender，此外，該機器人也有可能透過螢幕截圖、試圖透過影像辨識方式找出使用者輸入的密碼，或是下載額外的模組，利用網路攝影機拍攝照片。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">值得留意的是，攻擊者不只竊取資料及控制電腦，還可能會讓電腦無法正常運作，這些方法包含控制處理器的使用率、在開機啟動組態加入批次檔執行關機、透過Python指令碼導致電腦出現藍白當機畫面（BSOD），這時電腦還會出現駭客嘲笑的訊息，像是「電腦將要燒焦了，祝好運」、「你的電腦即將當機，祝早日復原」，並在訊息結尾加上笑臉的表情符號，表達故意向受害者挑釁的意圖。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.jamf.com/blog/bluenoroff-strikes-again-with-new-macos-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客BlueNorOff鎖定Mac電腦，散布惡意軟體ObjCShellz</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資安業者Jamf揭露北韓駭客BlueNorOff的攻擊行動，他們會聲稱是自己是投資人或是獵人頭公司，表明有興趣和攻擊目標合作，或是他們有利益的東西，一旦使用者依照指示操作，就有可能導致Mac電腦感染惡意軟體ObjCShellz。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">研究人員指出，此惡意程式與過往該組織所使用的攻擊工具有很大的不同，駭客使用Objective-C開發，為功能相對單純的遠端Shell，專門執行攻擊者從伺服器發送的Shell命令，研判很有可能被用於後期攻擊階段，讓攻擊者在破壞目標電腦後手動執行各式命令，且無論是x86架構或Arm架構的電腦，都可能受害。截至研究人員公布調查結果為止，惡意軟體分析平臺VirusTotal所有的防毒引擎仍將其視為無害。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">一旦執行，ObjCShellz會呼叫名為sendRequest的功能，發送POST訊息到駭客架設的惡意網站swissborg[.]blog，然後利用Objective-C的NSProcessInfo功能，取得該惡意程式自身處理程序的資訊，並得知作業系統的版本。究竟駭客如何於受害電腦植入此惡意程式？目前仍不明朗，但研究人員認為，此惡意軟體攻擊很可能是他們4月追蹤的RustBucket攻擊行動一部分。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/undetected-on-virustotal.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/undetected-on-virustotal.png" style="width: 580px;" /></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://blogs.vmware.com/security/2023/11/jupyter-rising-an-update-on-jupyter-infostealer.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊資軟體Jupyter Infostealer使用帶有數位簽章的私鑰，企圖迴避資安系統的偵測</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/Jupyter-Fig-10-Juypter-process-chart.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jupyter-Fig-10-Juypter-process-chart.png" style="width: 300px; float: right;" /></a>VMware旗下的威脅情報團隊揭露竊資軟體Jupyter Infostealer（亦稱Yellow Cockatoo、Solarmarker、Polazert）的攻擊行動，駭客藉由操縱搜尋引擎最佳化（SEO）及投放惡意廣告的手法，來誘騙想要尋找Autodesk等知名應用程式的使用者上當，一旦此竊資軟體植入受害電腦，就會收集各式帳密並建立C2通訊，然後將竊得資料傳送到C2伺服器。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">值得留意的是，這一次新的惡意程式攻擊當中，駭客透過PowerShell命令及使用帶有簽章的私鑰，企圖讓該惡意程式躲過資安系統的偵測。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/fake-ledger-live-app-in-microsoft-store-steals-768-000-in-crypto/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">冒牌Ledger Live應用程式進駐Microsoft Store市集，竊得76.8萬美元</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/F-IVRbYXEAATLti.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/F-IVRbYXEAATLti.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，11月5日加密貨幣調查員ZachXBT提出警告，Microsoft Store市集裡出現冒牌的Ledger Live加密貨幣錢包App，當時駭客已從中騙走至少16.8個比特幣，相當於58.8萬美元。對此，微軟同日下架該應用程式，累計受害金額超過76.8萬美元，但究竟有多少人被騙？仍不得而知。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">有受害者透露上當的過程，他在重灌電腦後，從Microsoft Store市集找到前述的Ledger Live應用程式下載、安裝，這名使用者依照App指示輸入通關密語（Seed Words），結果幾分鐘後發現，他錢包裡的加密貨幣資產，包含價值18,500美元的比特幣，以及8,000美元的替代幣都不翼而飛。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">該新聞網站指出，這款冒牌的加密貨幣錢包App，很可能在10月19日就出現於Microsoft Store市集，而且，攻擊者也濫用知識管理平臺Gitbook假設冒牌網站，試圖讓使用者信以為真。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資料來源</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">1. <a href="https://twitter.com/zachxbt/status/1720961400313373127">https://twitter.com/zachxbt/status/1720961400313373127</a><br /> 2. <a href="https://www.reddit.com/r/cryptocurrencyhacks/comments/17n6hgu/just_lost_my_life_savings_26500_of_crypto_from_my/">https://www.reddit.com/r/cryptocurrencyhacks/comments/17n6hgu/just_lost_my_life_savings_26500_of_crypto_from_my/</a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.sumologic.com/security-response-center/#eede153a-8f3f-4eff-858d-1b653eaff457"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">以SIEM系統聞名的資安業者Sumo Logic傳出資料外洩，要求用戶重設API金鑰</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月7日安全資料分析業者Sumo Logic發布事故公告，表示他們在3日察覺自家使用的雲端服務遭駭，有人利用外洩的帳密資料存取該公司的AWS帳號，目前尚未發現對於他們的網路或系統造成影響。該公司強調，客戶的資料已經受到加密處理，目前也仍是加密的狀態。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">Sumo Logic指出，</span>當他們察覺上述異常的情況，隨即封鎖遭到曝露的基礎設施，並輪換所有可能遭到流出的帳密，以及改進監控與修復漏洞的方法，防止類似事故再度發生。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">對此，該公司呼籲客戶輪換API金鑰，並對於Sumo Logic使用者帳號、資料收集器（及其代管服務），以及作為Webhook連線設定儲存的帳密資料，也最好一併輪替。不過，究竟有多少客戶受害？該公司並未進一步說明。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【資安產業動態】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159698"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟Microsoft Entra將部署MFA條件式存取政策，登入管理主控臺將強制啟用</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月6日微軟公告，他們將於Microsoft Entra新增3項條件式存取（Conditional Access）政策，其共通之處在於都與雙因素驗證（MFA）有關。<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">這些政策包含了：</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">（一）登入各種管理入口網站時必須採用MFA；</span><br /> <span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">（二）在登入任何雲端應用程式時都必須採用MFA；<br /> （三）針對Microsoft Entra ID Premium Plan 2的客戶，在執行高風險存取行為的時候，必須執行MFA。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">其中，上述的第一項政策適用所有的用戶，14種管理員角色都會受到影響，涵蓋全域管理員、應用程式系統管理員、Exchange系統管理員、密碼管理員、安全性系統管理員、SharePoint系統管理員、使用者管理員等。該公司預計下週開始為所有租戶套用上述政策，而租戶有90天能夠審核並進行自訂，之後就會進行啟用。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【其他新聞】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/transform-says-ransomware-data-breach-affects-267-000-patients/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">加拿大醫院IT系統管理服務業者TransForm遭遇勒索軟體攻擊，560萬筆病人資料流出</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://therecord.media/japan-aviation-electronics-says-servers-accessed-during-cyberattack"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">日本航空電子公司遭遇網路攻擊，駭客存取伺服器機密資料，該公司強調尚無資料外洩情事</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://cybernews.com/security/royal-mail-open-redirect-flaw/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國皇家郵政網站存在開放重新導向漏洞，有可能遭駭客用於網路釣魚攻擊</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://securityaffairs.com/153873/cyber-crime/fbi-ransomware-actors-new-trends.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客透過第三方供應商，攻擊賭場伺服器</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.helpnetsecurity.com/2023/11/07/kubescape-3-open-source-kubernetes-security/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">K8s安全合規工具Kubescape推出3.0大改版</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>近期資安日報</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159699"><strong>【11月8日】駭客組織SideCopy利用WinRAR高風險漏洞發動攻擊，針對印度政府機關而來，Linux電腦也是目標</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159685"><strong>【11月7日】鎖定Atlassian Confluence重大漏洞的攻擊行動出現，駭客透過勒索軟體Cerber加密伺服器的檔案</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159660"><strong>【11月6日】濫用企業臉書帳號散布NodeStealer竊資軟體的攻擊行動再度出現，想看裸照的使用者是目標</strong></a></p> </div></div></div>
2023/11/9 16:17作者周峻佑https://www.ithome.com.tw/news/159710
HPE翻新高密度儲存伺服器，1U機箱搭20臺E3.S或2.5吋SSD
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hpe_alletra_4000_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>接替Apollo 4000系列儲存伺服器產品線，HPE今年新推出Alletra 4000系列，最大的差別在於，改用最新發表的英特爾第四代Xeon Scalable處理器，提供2路運算組態（最多提供2 x 48核心）、24個DDR5-4800記憶體配置（最多提供24 x 256 GB，6 TB）；除此之外，過往的Apollo 4000系列產品由於主打高儲存密度的配置，因此，機箱尺寸多為2U（如<a href="https://www.ithome.com.tw/review/106621">Apollo 4200系列</a>）或4U（如<a href="https://www.ithome.com.tw/review/106181">Apollo 4500系列</a>），</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE Apollo 4000.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Apollo%204000.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Apollo-4200-Gen10-Plus-L-16-9.jpg" style="width: 600px;" /></p> <p>而最新登場的Alletra 4000系列，繼續提供2U尺寸的機型，名為Alletra 4120，但是首度提供1U尺寸的機型，名為Alletra 4110，當中也率先支援大量EDSFF E3.S外形NVMe固態硬碟的搭配方式——機箱前側面板可安裝20臺PCIe 5.0固態硬碟，用戶可搭配鎧俠CD7系列（單臺最大為7.68 TB），或是三星PM1743（單臺最大為15.36 TB），整臺伺服器的最大儲存容量、不含用於系統啟動M.2固態硬碟，可達307.2 TB（20 x 15.36 TB）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Alletra%204000.jpg" style="width: 600px;" /></p> <p>除此之外，Alletra 4000系列這兩款機型也內建新一代系統管理晶片iLO6、矽信任根、TPM 2.1模組，並能納入HPE雲端伺服器管理服務GreenLake for Compute Ops Management，進行集中控管。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE Allectra 4110-Managed by GreenLake Compute Ops.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Allectra%204110-Managed%20by%20GreenLake%20Compute%20Ops.jpg" style="width: 600px;" /></a></p> <p>相較於市面上其他強調高儲存密度的伺服器，不論是長期發展的Apollo 4000系列，或是今年上市的Alletra 4000系列，最令人讚嘆的是，HPE至今仍是少數針對這種應用需求，持續提供創新硬體設計的廠商，例如，4000系列儲存伺服器產品線均在機箱前側提供雙重儲存槽（cage）的配置，我們過去將這種特色稱為「雙排滑動式磁碟槽模組」。</p> <p>簡而言之，伺服器的硬碟不只能安裝在機箱前側第一排位置的儲存槽，還能同時安裝在第二排位置的後儲存槽（rear drive cage），而且，若需要插拔此處的硬碟，只需要將第一排儲存槽拉出，就能使後儲存槽露出，再進行後續作業。</p> <p>以Alletra 4110為例，HPE提供20EDSFF與20SFF等兩種儲存組態，後者就是屬於上述配置，透過兩排儲存槽分別安裝10臺2.5吋U.3或U.2外形的NVMe固態硬碟（PCIe 4.0），目前能選擇三星的PM1733a或PM1735a、鎧俠的CM6、Solidigm的P5520或P5620等款式，儲存容量提供960 GB、1.92 TB、3.84 TB、7.68 TB、15.36 TB，以及800 GB、1.6TB、3.2TB、6.4TB。在市場定位上，這款機型適合多種資料儲存的應用，像是機器學習、資料分析、分散式與NoSQL資料庫、看重效能表現的軟體定義儲存系統，以及需要處理大量資料的超融合基礎架構。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Allectra%204110-front.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/HPE-4110-image (EDSFF-overview).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE-4110-image%20(EDSFF-overview).jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE-4120-image (2_5).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE-4120-image%20(2_5).jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/HPE-4120-image (2_5-overview).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE-4120-image%20(2_5-overview).jpg" style="width: 298px;" /></a></p> <p>Alletra 4120更典型，同樣採用「雙排滑動式磁碟槽模組」的設計，可選擇24LFF或48SFF等兩種儲存組態，前者可安裝24臺3.5吋24Gb SAS或6Gb SATA介面的傳統硬碟或固態硬碟，後者則是48臺2.5吋24Gb SAS或6Gb SATA介面的傳統硬碟或固態硬碟，</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE-4120-image (4).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE-4120-image%20(4).jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/HPE-4120-image (2_5-2).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE-4120-image%20(2_5-2).jpg" style="width: 298px;" /></a></p> <p>同時，機箱尾端還可以額外搭配第3個儲存槽，並提供3種選擇。</p> <p>第一種是安裝2或4臺3.5吋24Gb SAS或6Gb SATA介面的硬碟，僅限24LFF組態搭配；第二種是安裝6臺2.5吋24Gb SAS或6Gb SATA硬碟，或是NVMe固態硬碟，支援3種介面的儲存裝置；至於第三種，則是安裝12臺EDSFF E3.S外形NVMe固態硬碟。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE-4120-image (B2).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE-4120-image%20(B2).jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/HPE-4120-image (B3).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE-4120-image%20(B3).jpg" style="width: 298px;" /></a> </p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE-4120-image (B).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE-4120-image%20(B).jpg" style="width: 298px;" /></a></p> <p>以單臺硬碟容量而言，若是3.5吋傳統硬碟，用戶最大可搭配20 TB，2.5吋傳統硬碟最大可搭配2.4 TB，固態硬碟為15.36 TB。若以整臺Alletra 4120來看，若全部搭配傳統硬碟，最大可提供560 TB容量（24LFF＋2LFF+2LFF=480 TB +40 TB +40 TB），若全部搭配固態硬碟，最大可提供918.32 TB容量（24LFF＋2LFF+2LFF=734 TB+184.32 TB），</p> <p>在市場定位上，Alletra 4120適合廣泛的資料處理工作負載應用，像是橫跨多種主動分析應用的資料湖、軟體定義儲存系統、融合式資料保護系統，以及位居末段儲存位置的冷資料歸檔系統。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE-Alletra%204000-overview.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>HPE Alletra Storage Server 4110</strong><br /> ●原廠：HPE<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：1U（42.9 x 434 x 842.2或732.7公釐）<br /> ●處理器：2顆，Intel第四代Xeon Scalable系列（最高可搭配48核心350瓦TDP）<br /> ●記憶體：24個DDR5插槽，最高可搭配至6TB<br /> ●儲存配置：20臺2.5吋或E3.S外形NVMe固態硬碟，搭配2臺M.2外形NVMe固態硬碟<br /> ●I/O介面：PCIe 5.0 x16（2個全高半長）<br /> ●電源供應器：2臺800瓦或1000瓦或1600瓦（1+1備援）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/11/9 17:18作者李宗翰https://www.ithome.com.tw/review/159695
GitHub Copilot Enterprise將於明年2月問世，可整合組織內部程式碼庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.blog/2023-11-08-universe-2023-copilot-transforms-github-into-the-ai-powered-developer-platform/" target="_blank">GitHub周三（11/8）宣布</a>，將在明年2月發表新的GitHub Copilot Enterprise，此一新的GitHub Copilot方案將允許用戶整合自家內部的程式碼庫，令Copilot可據此提供建議。</p> <p>GitHub Copilot為GitHub與OpenAI共同開發的服務，底層技術為OpenAI所打造的OpenAI Codex人工智慧系統，以公開的大量程式碼及自然語言來訓練OpenAI Codex，讓該系統夠同時理解程式及人類的語言，並根據工程師所撰寫的程式碼，提出程式的整行或整個函式的撰寫建議。</p> <p>GitHub在去年6月推出月租費10美元的<a href="https://www.ithome.com.tw/news/151548" target="_blank">GitHub Copilot個人版</a>，同年12月發表月租費19美元的商用版GitHub Copilot for Business，預計於明年2月上線的GitHub Copilot Enterprise每名使用者的月租費則是39美元。</p> <p><a href="https://github.com/features/copilot#faq" target="_blank">根據GitHub Copilot的說明</a>，個人版與Business/Enterprise版最大的差別在於授權管理、政策管理及IP保障。組織可以選擇Business或Enterprise版本，其中，Business版主要於IDE或CLI等程式撰寫環境中提供GitHub Copilot，明年初也會於GitHub Mobile中支援GitHub Copilot。</p> <p>Enterprise版則具備Business版的所有功能，並額外替組織提供了個人化功能，以及將GitHub Copilot整合到GitHub中，並可索引組織的程式碼庫，以更深入認識組織的知識，進而獲得量身打造的建議，亦可存取GitHub Copilot Customization以針對完成程式碼的私有模型進行微調。</p> <p>具體而言，Enterprise版允許開發者快速掌握自家的程式碼庫，搜尋既有的文件，並根據這些內部的程式碼取得建議，也能快速審查拉取請求，或是產生拉取請求的摘要，同時具備大型企業等級的安全及隱私保障。</p> </div></div></div>
2023/11/9 15:28作者陳曉莉https://www.ithome.com.tw/news/159708
Google與歐洲電信業者要求歐盟，將蘋果iMessage列為核心平臺以與第三方互通
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ft.com/content/ec2ec699-a91c-4389-b1a9-ae06dca836d5" target="_blank">英國《金融時報》（Financial Times，FT）本周報導</a>，Google、Vodafone、德國電信（Deutsche Telekom）、西班牙電信（ Telefónica）及Orange的高層連袂去信歐盟執委會（EC），要求歐盟將蘋果的iMessage納入《數位市場法》（Digital Markets Act，DMA），以令它能與其它的傳訊程式互通。</p> <p>《數位市場法》主要規範提供重要網路服務的平臺，要求這些平臺必須允許第三方在特定情況下與它們的服務互動，允許企業用戶存取它們在利用這些平臺時所生成的資料，提供廣告主及出版商所需的工具以獨立驗證於守門人平臺上託管的廣告，以及允許企業用戶在守門人平臺之外推廣產品或簽約。</p> <p><a href="https://www.ithome.com.tw/news/158633" target="_blank">EC今年9月公布了</a>受到該法規範的6大企業與22項平臺服務，前者包括Alphabet、Amazon、蘋果、Meta、微軟與字節跳動，後者則有社交類別的Facebook、IG、TikTok，瀏覽器類別的Chrome與Safari，廣告類別的Google、Amazon與Meta，以及傳訊類別的WhatsApp與Messenger，此外，EC也在考慮是否將微軟的Bing、Edge及廣告，或是蘋果的iMessage與iPadOS納入DMA。</p> <p>《金融時報》看過了提交給EC的信件，指出Google與上述電信業者的高階主管認為iMessage擁有10億的全球用戶及1萬家企業用戶，已達到受到DMA管轄的門檻，此外，當企業利用iMessage傳訊給用戶時，只有傳給蘋果用戶的訊息具備豐富媒體內容，但傳給其它品牌的裝置時，卻必須透過傳統簡訊。</p> <p>iMessage為蘋果裝置上內建的傳訊服務，更是iPhone手機的預設訊息服務，既可執行傳統簡訊功能，也支援蘋果用戶之間的多媒體通訊，且蘋果用戶透過iMessage傳訊是免費的。迄今iMessage只現身於iPhone、iPad或Mac等蘋果裝置，並不支援其它作業系統。</p> <p>EC預計於明年初完成相關調查，若iMessage真被納入了DMA，將迫使蘋果開放iMessage，以相容於其它傳訊程式。</p> </div></div></div>
2023/11/9 15:46作者陳曉莉https://www.ithome.com.tw/news/159709
三星推出生成式AI模型Samsung Gauss，可能將整合到Galaxy手機上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>南韓電子大廠<a href="https://news.samsung.com/global/samsung-ai-forum-2023-day-2-discussing-technological-trends-and-the-future-of-generative-ai" target="_blank">三星周三在Samsung AI Forum 2023公布自行研發的生成式AI模型Samsung Gauss</a>，具備文字、圖像生成能力，還能撰寫程式碼。</p> <p>Samsung Gauss是由三星研究院開發而成。Gauss名稱源自建立常態分布理論的德國數學家及物理學家高斯（Carl Friedrich Gauss），該理論也是機器學習與AI的基礎骨幹。三星表示，取這名字反映這模型最終願景，是要汲取全世界的現象及知識，以運用AI促進各地消費者的生活。</p> <p>Gauss由三種模型組成，包含生成文字語言的Samsung Gauss Language、生成程式碼的Samsung Gauss及生成圖片的Samsung Gauss Image。Gauss Language可提升工作生產力，像是撰寫電子郵件、摘錄文件重點及翻譯內容，它若整合到三星產品中，也可提供裝置控制以提升用戶體驗。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1109-Samsung%20AI%20Forum%202023-samsung%20gauss%20ai%20model-3(V2).jpg" style="width: 600px;" /></p> <p>Gauss Code及程式碼撰寫助理code.i，是用於企業自行開發軟體的任務，允許開發人員輸入自然語言指令以更快生成程式嗎，還能透過互動介面生成程式碼描述及撰寫測試用例（test case）。</p> <p>Gauss Image則可讓使用者輕易生成並編輯圖片，包括變更風格、增添效果，或將低解析度圖片轉為高解析度。</p> <p>另外，三星的AI Red Team也正在強化Gauss的安全性，以確保從資料蒐集、模型開發、服務部署及生成結果整個流程的安全與隱私。</p> <p>Gauss目前已由三星員工用於提升生產力，但未來三星預計會整合到多種自家應用程式中，以實現新的用戶體驗。例如它可能會整合到三星的語音助理Bixby，其智慧家庭品牌SmartThings設備與作業系統Tizen中。</p> <p><a href="https://www.koreatimes.co.kr/www/tech/2023/11/133_362828.html" target="_blank">韓國時報報導</a>，Gauss將會整合到2024年初問世的Galaxy S24手機中，提供物聯網裝置控制。</p> <p>這將使三星成為Google、Amazon、微軟後，最新開發生成式AI模型的大廠。而這新模型也可能影響三星手機上的搜尋合作。今年春天，<a href="https://www.ithome.com.tw/news/156439" target="_blank">《紐時》報導</a>，三星正在考慮以Bing取代Google作為其裝置上的預設搜尋引擎。</p> </div></div></div>
2023/11/9 12:46作者林妍溱https://www.ithome.com.tw/news/159705
微軟、西門子共推製造業Copilot AI助理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.microsoft.com/2023/10/31/siemens-and-microsoft-partner-to-drive-cross-industry-ai-adoption/" target="_blank">微軟與德國製造業巨人西門子本周宣布</a>合作推出專門用於製造業的Copilot AI助理，可幫忙撰寫製造用的程式碼，並推出整合Siemens PLM平臺和微軟Teams的App。</p> <p>雙方合作第一步是推出Siemens Industrial Copilot。此Copilot是架構於微軟Azure OpenAI Service上，會蒐集來自西門子Xcelerator內的自動化和流程模擬資訊，讓用戶以自然語言輸入，快速撰寫複雜的自動化程式碼，縮短製造模擬時程。Xcelerator是西門子用於管理工廠內包括營運、工程或IT等IoT軟、硬體管理平臺，協助製造業數位轉型。針對維護人員，Siemens Industrial Copilot可提供詳細的維修指示，工程人員則可用它執行模擬工作。</p> <p>雙方強調，企業用戶可全權管理Industrial Copilot的存取及生成的程式碼或對話，這些資料都不會被用於訓練底層AI模型。</p> <p>西門子與微軟計畫將再合作開發製造業、基礎建設、運輸及醫療業專用的Copilot AI助理。目前已經有德國汽車零件供應商舍弗勒（Schaeffler）導入使用Siemens Industrial Copilot。</p> <p>此外雙方也宣布整合西門子產品生命周期管理（Product Lifecycle Management，PLM）軟體及微軟Teams，推出一款名為Siemens Teamcenter app for Microsoft Teams的新App。Siemens Teamcenter是西門子的產品生命周期管理軟體，提供和生產相關的文件、檔案及BOM（Bill of Materials）管理。</p> <p>這個App以Teams為底層，使用生成式AI強化產品設計及製造流程相關人員，像是第一線工作人員的連繫，讓原本無法存取PLM工具的工廠或第一線工作人員更容易存取PLM資料，加速設計與製造流程。</p> <p>Siemens Teamcenter app for Microsoft Teams預計今年12月釋出。西門子也會陸續公布Siemens Industrial Copilot的進一步細節。</p> </div></div></div>
2023/11/9 13:03作者林妍溱https://www.ithome.com.tw/news/159706
Google將搜尋生成式體驗擴大到包括臺灣在內的逾120個國家
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/search/google-search-generative-ai-international-expansion/" target="_blank">Google周三（11/8）宣布</a>，即將把AI搜尋測試平臺Search Labs中的搜尋生成式體驗（Search Generative Experience，SGE）擴大到全球逾120個國家，並將開始支援西班牙文、葡萄牙文、韓文與印尼文。</p> <p>目前SGE主要提供兩項測試，一是允許使用者於搜尋列上輸入自然語言的問句，而非僅是關鍵字，之後Google即會利用生成式AI提供結果，例如詢問「帶著3歲以下的小孩跟一隻狗時，要去哪個美國國家公園比較適合？」其次則是可以根據同一個主題進行追問。且Google依舊會秀出傳統的搜尋結果供使用者參考。</p> <p>原本Google僅於美國、印度及日本提供Search Labs與SGE，也只支援英文、印度文（Hindi）及日文，<a href="https://support.google.com/websearch/answer/14184960#zippy=%2Casia-pacific" target="_blank">本周宣布擴大支援全球逾120個國家</a>，包括臺灣、墨西哥、巴西、南韓、印尼與南非等，並額外支援西班牙文、葡萄牙文、韓文與印尼文。</p> <p>行動用戶要存取Search Labs可透過Android與iOS平臺上的Google程式，電腦用戶則可透過桌面版的Chrome瀏覽器存取。Google表示，桌面版Chrome的Search Labs存取功能即日起上線，但自Google程式存取Search Labs的能力則會在下周啟用。</p> <p>身為全球搜尋引擎與瀏覽器龍頭，Google部署生成式AI的腳步明顯落後於微軟，且OpenAI的ChatGPT也可針對使用者的提問給出詳細的答案，只是ChatGPT用來訓練的資料有著時間上的限制，不如Google能夠即時索引全球的最新資料。</p> <p>雖然Google執行長Sundar Pichai近來接受媒體採訪時，曾表示該公司並不急著趕上OpenAI或微軟，認為重點在於人們該如何利用AI，不過，這一年來Google也頻繁地發表與更新Search Labs及SGE功能，企圖讓使用者留在Google搜尋引擎中使用AI。</p> </div></div></div>
2023/11/9 13:14作者陳曉莉https://www.ithome.com.tw/news/159707
5G趨勢月報第48期：聯發科推出天璣9300 5G行動晶片，加速生成式AI運算
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>10/07~11/07精選5G趨勢新聞</strong></span></h3> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>聯發科</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>晶片</b></span></font></p> <p><span style="font-size:22px;"><strong>聯發科發表天璣9300 5G行動晶片，加速生成式AI運算</strong></span></p> <p>聯發科正式發表新一代旗艦級行動晶片天璣9300，相較於先前的天璣9200+採用效率核心、大核、超大核的大中小核架構，採用台積電4奈米製程的天璣9300為全大核架構，該公司強調為生成式AI設計，為5G生成式AI行動晶片，預期採用該晶片的手機將在2023年底上市。</p> <p>新款行動晶片採用4個Arm Cortex-X4超大核，頻率可達3.25GHz，加上4個Cortex-A720大核，該公司強調其效能峰值比上一代提升40%，功耗節省33%，該公司強調全大核架構提高處理速度、效率，不論是輕度或重度工作負載，都能降低功耗，延長續航時間，同時具有多工處理能力，例如在遊戲時，同時直播或播放影片。</p> <p>天璣9300還整合聯發科第7代APU 790，強調為生成式AI設計，整數及浮點運算效能為前一代2倍，功耗降低45%。APU 790硬體內建生成式AI引擎，加速Transformer模型的運算，強調處理速度較上一代提高8倍，1秒內可生成圖片。聯發科指出，配合億級大型語言模型特性，開發INT 4量化技術，搭配記憶體硬體壓縮技術，提高記憶體頻寬利用效率，達到降低LLM對終端裝置記憶體的佔用，該公司聲稱最多可在裝置上執行330億參數的LLM。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>中華電信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>CA</b></span></font></p> <p><span style="font-size:22px;"><strong>中華電信在人口密集的商圈、大專院校、科學園區等地利用載波聚合技術，行動網速最高達2Gbps以上</strong></span></p> <p>隨著電信業者合併，以及2G、3G、4G、5G無線頻譜資源的重新調整，在頻譜資源稀少之下，需設法提高頻譜使用效益，改善行動網路品質。中華電信近期導入5G NR 2CA(Carrier Aggregation)及4G 4CA，整合旗下4G與5G頻譜資源，將行動網路下載速度最高提升至超過2Gbps。</p> <p>中華電信目前在5G頻譜，除了使用3.5GHz之外，還有重耕(Refarm) 為5G頻段的2.1GHz，加上4G用的900MHz、1800MHz、2600MHz，此次在人口密集的商圈、大專院校、科學園區、國道服務區等地點，運用5G NR 2CA+4G 4CA載波聚合技術，提高行動網路下載的峰值速率達到超過2Gbps，較先前的行動峰值網速提高10%以上。</p> <p>由於行動網路容易因為同一個地點同時間多人使用，導致網路品質下滑，因此，透過載波聚合技術來提高頻譜使用效益，來提升行動網路速度，對於同時間使用行動網路的用戶，可用以疏解壅賽的網路，不只一般使用者受惠，此次涵蓋企業及人潮聚集的科技園區，預期對園區內的企業用戶也帶來效益。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>高通</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>數據機</b></span></font></p> <p><span style="font-size:22px;"><strong>高通推出5G RedCap數據機X35，催生體積更小5G裝置</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/x35-600.jpg" style="width: 600px; height: 319px;" /></p> <p>高通（Qualcomm）推出首款符合5G Release 17 RedCap（Reduced Capability）的商用數據機Snapdragon X35，可用於設計體積更小、成本效益更高的5G裝置，預計於2024年推出。</p> <p>X35數據機搭配射頻收發器、射頻前端及天線模組，高通指出，該數據機具備降低成本、減少複雜性、提高能源效率，以及小型裝置所設計，下載速度可達220Mbps。此外，該數據機在封包傳輸上支援了追蹤技術。</p> <p>高通表示，5G RedCap是5G Advanced的重要一部分，為5G演進的關鍵技術，支援更多的裝置及服務。目前已和電信營運商、裝置開發商合作，開發及部署搭載X35數據機的裝置。預計搭載X35數據機的商用裝置將在2024年上半年推出。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>北流</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font></p> <p><strong><span style="font-size:22px;">臺北流行音樂中心以5G專網試驗智慧導覽服務</span></strong></p> <p>為加速國內智慧展演發展，臺北流行音樂中心和電信業者、新創業者合作，在大型展演會館導入5G專網，並結合AI機器人試驗智慧導覽服務. </p> <p>這項5G專網應用是以臺北流行音樂中心文化館作為示範場域，在大型文化、藝術展演中心，利用5G協助營運，在大廳、售票處等導覽空間，布建5G專網訊號，並和新創業者合作，導入ChatGPT互動機器人，與展演中心深度合作，客製化互動內容，為來訪的賓客提供智慧化的導覽服務。</p> <p>除了利用機器人提供互動的導覽服務，新創業者表示，還可利用人流辨識技術，根據民眾的性別、年齡層來推播廣告訊息，試驗智慧展演活動場域商業運作模式。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>技術整合</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font></p> <p><span style="font-size:22px;"><strong>瞄準企業建置5G專網需求，凌群、英業達、微軟組隊秀5G專網整合能力</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20231025_072823558-600.jpg" style="width: 600px; height: 338px;" /></p> <p>自6月初數位部開放國內5G專頻專網申請，企業基於實驗評估、展演或製造等場域使用5G專頻專網需求，可向數位部申請建置專頻專網，看準這波企業建置專網需求，凌群和英業達、台灣微軟、趨勢科技合作，結合基地臺、核網、資安，展示5G專網整合建置能力。</p> <p>凌群與上述業者的合作，主要整合了英業達的5G基地臺，包括O-RAN的室內外天線、5G DU及CU軟硬體伺服器，搭配微軟的Azure Private核網及雲端，趨勢科技旗下5G專網資安服務，整合各家業者的產品及技術打造5G專網。</p> <p>展示的5G應用場景，包括在生產製造場域，在廠區內透過5G專網，即時傳輸IoT蒐集的數據，透過資料分析促成智慧製造轉型，另一項應用則是智慧交通方面，利用5G提升交通數據的蒐集，優化花東地區交通號誌的智慧化管理。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>智慧港口</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font></p> <p><span style="font-size:22px;"><strong>英國泰恩港以5G專網加速港口智慧化管理</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_1303-600.jpg" style="width: 600px; height: 337px;" /></p> <p>英國的泰恩港在電信商及設備供應商的協助下，近期導入5G SA專網，結合原有的4G網路，來提升對進出港口的車輛管理，還有無人機測量、AI及XR體驗，加速向智慧港口轉型發展。</p> <p>泰恩港準備先在11月，在車輛進出閘口，利用自動辨識進出車輛車牌的影像及感測器，搭配5G攝影機與AI影像辨識，來識別控管貨櫃。此外，港口也計畫導入具備自動導航能力的車輛，自主移動搬運貨物，還有可讓駕駛員在控制室遠端控制的起重機，在港區巡視檢查的無人機隊，以及用於人員訓練的XR設備。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>桃園市</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>急救</b></span></font></p> <p><strong><span style="font-size:22px;">桃園市測試5G救護應用，讓救護車即時傳送傷患資訊至醫院做好急救準備</span></strong></p> <p>桃園市消防局與電信業者、聖保祿醫院合作，利用5G SA的網路切片技術，建立一個急救專用的5G虛擬專網，當救護車載送傷患到院之前，就能將患者的生理資訊、車上即時影像利用5G專網傳送到醫院，讓急救團隊作好準備。</p> <p>這項5G專網應用是在桃園市消防局大林分隊，由電信業者在救護車執勤的22個5G基地臺，利用5G SA的網路切片技術，建立救護車專用的虛擬專網，當救護車出勤載送傷患時，就會從5G公網中切分出急救用的虛擬專網，調撥70%的頻寬，以確保救護車使用5G網路的穩定性，避免經過人口密集地點，因共用5G網路出現的網路塞車問題。</p> <p>通過這個5G虛擬專網，救護車在抵達醫院之前，可將車上傷患的即時生理監測資訊，超音波、12導程心電圖，以及救護車內的4K畫質影像，即時傳送到聖保祿醫院的急診室戰情系統，院方透過戰情系統，提供車上急救人員緊急處置，並做好到院急救準備。</p> <p> </p> <p>圖片來源／聯發科、高通、Port of Tyne</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多5G動態 </span></strong></span></p> <p><strong>1.資策會MIC：明年全球5G手機滲透率預估達68%</strong></p> <p><strong>2.鴻海自製低軌衛星11月發射升空</strong></p> <p>資料來源：iThome整理，2023年10月</p> </div></div></div>
2023/11/9 12:14作者蘇文彬https://www.ithome.com.tw/news/159704
Cloud周報第188期：企業開始重視雲端支出調整及優化！三大公雲營收增長速度趨緩，AWS受影響最大
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（11/01～11/09）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融業上雲 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">金融業新版上雲問答集出爐，對於上雲委外申請疑義有更清楚界定</span></strong></p> <p>新版金融上雲規定自八月上路後，金管會也發布了新版上雲委外問答集，針對法條疑慮提供更詳細的解說。在這份問答集中，包含一般問答和雲端問答共29題，詳細說明了重大性定義和消金業務資訊系統定義，並公布了其他經核可的委外項目名單。</p> <p>像是針對重大性的判斷因素，問答集中舉例考量項目，包括委外作業成本和委外作業涉及的業務是否具時效關鍵性等。另外，消金業務資訊系統定義，則包括消金核心業務系統、信用卡業務系統、金融商品銷售業務系統、消金授信管理系統、電話銀行服務、催收作業管理系統及信託業務管理系統等。</p> <p>若涉及重大性消金系統委託至境外，除了需經過核准，還需要在境內進行存款、授信、信用卡、匯款及投資等客戶重要資料留存和備份。</p> <p>該問答集公布首例經過金管會核定的名單，其他金融機構也可以跟著使用，分別為「企業客戶商務信用卡盜刷監控作業」和「企業客戶洗錢防制交易監控作業」。</p> <p>另外，在資料安全方面，除了透過機密運算提供硬體加密保護機制，英特爾最新加入Trust Authority可信環境執行的驗證服務，強化在開發者雲的資料保護。Developer Cloud目前共推出三種服務方案，分別是免付費的標準版、按需付費的專業版，以及團體的企業版。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span></strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GCP </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">三大公雲營收今年增長速度趨緩，AWS本季增長率減半影響最顯著</span></strong></p> <p>最近，三大公雲相繼發布最新一季財報，可以明顯看出，三大公雲營收成長速度有所放緩，其中以AWS營收增長幅度減半的影響最大，顯示出企業今年對於雲端投資更為謹慎，重新調整或優化其雲端支出。</p> <p>在該季，AWS的營收達到231億美元，營業利潤為70億美元。儘管AWS營收與去年同期相比成長12%，但增長幅度較去年顯著減緩，去年增長率仍有27%。亞馬遜執行長Andy Jassy在財報電話會議中提到，一些企業今年延後了大型雲端遷移計畫。這可能也是影響該季營收成長不如預期的原因之一。</p> <p>微軟本季總營收達565億美元，其中一半來自智慧雲端（Intelligent Cloud）營收，有243億美元，不過成長只有19%，維持跟去年差不多，還未因為生成式AI業務帶來顯著成長。個別產品來看，表現最好的是Azure與其它雲端服務，成長了29%，居次的是Dynamics 365，成長28%，MicrosoftCloud亦成長24%。</p> <p>Alphabet該季營創下767億美元的營收，其中Google Cloud營收為84億美元，雖然盈餘達到2.6億美元，但增長仍低於該公司預期，僅成長22.5%，相較去年同期的38%的增長，速度明顯放緩。Alphabet財務長Ruth Porat於財報會議中表示，雲端營收不如預期主要來自於客戶優化其雲端支出政策。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">M365 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI對話應用 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">微軟推出付費版的M365 Copilot，每用戶每月價格30美元</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961_Cloud%E5%91%A8%E5%A0%B1(9).png" style="width: 600px; height: 335px;" /></p> <p>微軟近日宣布M365 Copilot服務正式推出上市，並開放企業用戶訂閱，價格為每用戶每月30美元。Copilot是微軟以OpenAI的GPT模型為基礎所開發的生成式AI對話應用。從一開始輔助程式撰寫到推出提高生產力的Copilot，也就是M365 Copilot。</p> <p>M365 Copilot還結合Microsoft Graph跨系統資料搜尋API，能根據用戶的文字敘述搜尋彙整網際網路與M365應用資料，包括Word、Excel、Powerpoint、Outlook、Teams及行事曆等提供生成式內容。。</p> <p>不過M365 Copilot初期僅支援英文、日文及簡中等，明年上半才會支援繁中。此外，微軟明年將推出適用政府部門的M365 Copilot GCC版本。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">增強檢索生成 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> HANA Cloud </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">為應對LLM風潮，SAP的HANA雲端資料庫服務將推出向量引擎，能支援增強檢索生成的RAG技術</span></strong></p> <p>最近，SAP宣布將在雲端資料庫即服務HANA Cloud中加入向量引擎功能，並支援增強檢索生成的RAG技術，使得企業能夠使用HANA Cloud資料庫來儲存和管理經過向量化的非結構化資料，包括文字、圖像或聲音等，使得用戶向LLM模型提問時，能有效地根據上下文迅速查找和檢索資料庫資料，以生成更準確的內容。</p> <p>SAP表示，HANA資料庫能以原生方式儲存和搜尋這些嵌入向量（vector embeddings），來支援各種智慧數據應用。透過該向量引擎，企業能更容易將內部業務資料與LLM推論模型相結合，利用生成式AI實現自動化決策。此外，該引擎還能夠提供嵌入向量的相似性搜尋、內容過濾、文字嵌入資訊檢索等。SAP將在明年初HANA Cloud的更新版本中提供這項功能。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">家樂福 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 公雲 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">臺灣家樂福揭5年上雲歷程，不只ERP、電商系統，就連法國總部機房都全面搬上公雲</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1%20(1).jpg" style="width: 600px; height: 263px;" /></p> <p>臺灣家樂福最近在一場活動中揭露了過去5年為加速轉型擁抱公雲的歷程。家樂福很早就採取雲端優先策略，並從核心系統上雲開始，將SAP ERP系統搬上公雲，接著更擴大到更多系統上雲，包括電商系統、資料倉儲系統都先後搬上公雲。</p> <p>家樂福還翻新現有IT架構，朝向現代化、雲原生架構來發展，例如改用容器化的微服務架構重新設計EC和行動App，並利用無伺服器和K8s服務進行雲端資源調度和管理，還採用雲端資料倉儲服務BigQuery，來取代原服務。不僅如此，近幾年，家樂福開始利用雲端數據服務和AI工具，加速其擁抱AI應用。</p> <p>2021年時，家樂福法國總部的IDC機房搬遷到臺灣，臺灣家樂福進一步決定將所有系統和基礎設施都遷移到公有雲，而不再使用本地機房，這也使得家樂福更全面轉向公雲環境。臺灣家樂福今年除了將把AI擴大到更多應用場景，還將持續搬遷系統上雲和強化雲端資安。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Dell </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 紅帽 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Dell推出可以適用於紅帽混合雲平臺OpenShift的Apex雲端平臺服務</span></strong></p> <p>近日，伺服器廠商Dell推出可以適用於紅帽混合雲平臺OpenShift的Apex雲端平臺服務，藉此來簡化企業在混合雲、多雲容器化應用和微服務的部署和管理。Apex雲端平臺是Dell所推出，可提供完整堆疊和一站式的本地IT基礎架構，且專為多雲所設計。早前，Dell推出了微軟Azure版本的Apex雲端平臺，透過Azure Arc協助企業建置可在多雲環境執行的應用程式和服務。Dell最新也推出OpenShi 版的Apex雲端平臺。</p> <p>Dell表示，Apex是專為紅帽OpenShift所設計的應用程式交付平臺。該平臺整合了 OpenShi Web 控制臺，開發人員可以在OpenShi 環境中進行應用程式開發，不必擔心是在雲端或本地，同時也能使用OpenShift管理方式來管理雲地基礎設施。此外，還能搭配紅帽DevOps自動化工具和生命週期管理工具，加速應用開發與交付。</p> <p>除了可以部署到公有雲上，該平臺還支援本地部署，包括在Dell資料中心基礎架構上部署雲端軟體堆疊，並提供付費訂閱制。此外，透過Dell的CSI的儲存系統，Apex平臺支援有狀態容器儲存，還能將其軟體定義儲存 (SDS) 方案與Dell Apex Navigator結合使用，來實現本地和公有雲Apex區塊儲存之間的資料複製。該平臺支援了多達上千個節點的叢集擴展。該平臺目前推出上市。</p> <p> </p> <p>圖片來源／微軟、臺灣家樂</p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.AWS推EC2容量區塊新功能，讓用戶指定時間預留GPU資源</strong></p> <p><strong>2.微軟開源雲端原生應用程式開發平臺Radius</strong></p> <p><strong>3.Windows Server 2012支援到期，但微軟表示改用公雲版本可以延長3年支援</strong></p> <p><strong>4.淡江大學導入微軟永續雲打造低碳智慧校園，結合視覺化儀表板來管理跨校能耗及碳排數據</strong></p> <p><strong>資料來源：iThome整理，2023年11月</strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2023/11/9 10:21作者余至浩https://www.ithome.com.tw/news/159703
Google啟動Project Open Se Cura加速安全、低功耗AI系統開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發布了一項名為<a href="https://www.googblogs.com/project-open-se-cura-open-source-announcement/">Project Open Se Cura</a>的開源框架計畫，目的是要加速開發安全性又高效的人工智慧系統。該框架包含了一套開源設計工具和智慧財產函式庫，透過協同設計和開發，加速機器學習工作負載全端系統的發展。</p> <p>當前人工智慧技術迅速發展，對運算系統的要求逐漸增加，包括安全性、可擴展性、透明度和效率等，但是Google指出，現今硬體的進步的速度，卻落後於機器學習模型和軟體開發，而這成了部署安全且高效的全端人工智慧系統的障礙。</p> <p>此外，Google還提到，消費者對小型裝置的需求快速成長，已經超過電池技術的進步速度，這限制了人工智慧系統可部署的功耗範圍，也就是說，電力供應已經成為人工智慧系統發展的一大瓶頸。</p> <p>由Google啟動的Project Open Se Cura，提供了一套開源設計工具和智慧財產函式庫，加速具有機器學習功能的系統開發。這個計畫促進硬體設計師和軟體開發人員協作，推動硬體與軟體共同設計的想法，進而最大化人工智慧系統的效能。</p> <p>Project Open Se Cura整合自lowRISC、Antmicro與VeriSilicon等合作夥伴的貢獻，包括透明信任根等安全功能。藉由開源共享的方式，各組織都可以參與這些工具和函式庫的改善和擴展工作。而且該計畫還特別注重對小型裝置的支援，要在有限的電力條件下，實現強大的人工智慧功能。</p> <p>Google強調開源框架的透明度，有助於社群理解和信任人工智慧系統的運作方式，也能夠培養用戶對人工智慧技術的深入理解。隨著Project Open Se Cura持續發展，Google會尋求更多合作夥伴，像是劍橋大學在CHERI（Capability Hardware Enhanced RISC Instructions）技術上的創新，還有密西根大學對低功耗、生成式人工智慧的研究，以推進此開源計畫的發展。</p> </div></div></div>
2023/11/9 08:46作者李建興https://www.ithome.com.tw/news/159700
Amazon EC2執行個體後設資料服務在2024年中後，將預設使用IMDSv2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS<a href="https://aws.amazon.com/tw/blogs/aws/amazon-ec2-instance-metadata-service-imdsv2-by-default/">宣布</a>從2024年中旬開始，新發布的Amazon EC2執行個體類型，其後設資料服務（IMDS）都將預測採用IMDSv2。AWS推廣採用IMDSv2的原因在於提升安全性，IMDSv2較IMDSv1提供額外的安全保護措施，能夠避免有心人士濫用漏洞存取IMDS。</p> <p>用戶可從EC2執行個體的固定IP位址存取IMDS，檢索有關執行個體大量靜態和動態資料，這些資料包含啟動執行個體的AMI ID、網路配置和角色臨時IAM憑證等後設資料。而IMDSv1與IMDSv2的主要差異在於，IMDSv1使用請求/回應存取方法，由客戶端向後設資料服務發出請求，並接收回應，IMDSv2則採用會話導向（Session-oriented）的方法，客戶端與伺服器端需要先建立一個會話，並使用會話建立過程中獲得的令牌，來請求和接收回應。</p> <p>AWS強調雖然IMDSv1與IMDSv2同樣安全，但是IMDSv2對可能被嘗試用於存取IMDS的4種漏洞，提供額外的防護能力，包括錯誤配置的開放式網站應用程式防火牆（Web Application Firewall，WAF）、反向代理、伺服器端請求偽造，還有第三層防火牆和網路位址轉譯配置錯誤，有效減少未經授權存取EC2後設資料的風險。</p> <p>AWS在2019年的時候推出了IMDSv2，並在2023年3月推出的Amazon Linux 2023預設使用IMDSv2，而從現在開始，所有控制臺Quick Start啟動將只會使用IMDSv2，所有Amazon與合作夥伴Quick Start AMI也都已支援這項設定。</p> <p>官方預計要在2024年2月，添加新的API函式，讓用戶從帳戶層級控制IMDSv1的預設使用，這不只有助於用戶轉用更安全的IMDSv2，同時當AWS於管理控制臺和其他路徑，將IMDSv2設為預設選項時，新的API讓用戶能以簡單地方法，從帳戶層級停用IMDSv1，進而快速轉換到IMDSv2。</p> <p>到了2024年中，新發布的EC2執行個體類型，也將會預設使用IMDSv2，但AWS也提供了一個靈活的過渡選項，用戶仍然可以不需要重新啟動，就可在執行個體啟動時，或是啟動之後選擇開啟IMDSv1。</p> </div></div></div>
2023/11/9 08:48作者李建興https://www.ithome.com.tw/news/159701
【資安日報】11月8日，駭客組織SideCopy利用WinRAR高風險漏洞發動攻擊，針對印度政府機關而來，Linux電…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">長期鎖定印度政府機關、軍事單位的駭客組織SideCopy，最近發起了新的攻擊行動，主要是透過WinRAR漏洞CVE-2023-38831，對Windows電腦植入多種惡意程式。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">但與過往攻擊行動不同之處，在於這些駭客也使用相同的基礎設施，開始針對Linux主機散布惡意程式，這很可能與印度政府打算導入此種作業系統的政策有關。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【攻擊與威脅】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://thehackernews.com/2023/11/sidecopy-exploiting-winrar-flaw-in.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度政府機關遭到駭客組織SideCopy鎖定，利用WinRAR漏洞發動攻擊</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/SideCopy_Oct2023-Ares-2_drawio.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SideCopy_Oct2023-Ares-2_drawio.png" style="width: 300px; float: right;" /></a>資安業者Seqrite<a href="https://www.seqrite.com/blog/sidecopys-multi-platform-onslaught-leveraging-winrar-zero-day-and-linux-variant-of-ares-rat/">揭露巴基斯坦駭客組織SideCopy近期的攻擊行動</a>，這些駭客鎖定印度，積極利用WinRAR的漏洞CVE-2023-38831，對Windows電腦部署AllaKore RAT、DRat等惡意軟體，但他們也看到駭客對於Linux電腦植入Ares RAT變種惡意程式。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">攻擊者先是透過網路釣魚手法，引誘使用者下載PDF誘餌檔案，但實際上為Windows捷徑檔案（LNK），一旦開啟此檔，電腦就有可能執行遠端的HTA檔案，從而檢查電腦安裝的.NET版本、防毒軟體資訊，然後使用Base64編碼解密，於記憶體內執行惡意DLL檔案，為了執行這個DLL檔案，駭客會濫用Windows內建的公用程式，如credwiz.exe、rekeywiz.exe，以DLL側載（DLL Side-loading）手法載入惡意DLL檔案。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資安新聞網站Hacker News認為，這些駭客針對Linux電腦下手並非巧合，原因是印度政府與國防部門打算使用名為Maya OS的Linux版本，逐步取代Windows作業系統。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://unit42.paloaltonetworks.com/agonizing-serpens-targets-israeli-tech-higher-ed-sectors"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">伊朗駭客Agrius鎖定以色列教育機構、科技產業而來，竊得資料後進行破壞</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/word-image-131008-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-131008-3.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露從今年初開始發生的攻擊行動，伊朗駭客組織Agrius（亦稱BlackShadow、Pink Sandstorm、Agonizing Serpens）自1月開始，鎖定以色列教育機構及高科技組織而來，這些駭客的主要目的是竊取個資與智慧財產，但值得留意的是，一旦對方得逞，就會使用資料破壞軟體（Wiper）進行破壞，這些程式包含了MultiLayer、PartialWasher、BFG Agonizer、Sqlextractor。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">攻擊者先是針對存在弱點、曝露於網際網路的網頁伺服器下手，取得目標組織網路環境的初始存取權限，隨後部署多個Web Shell，以便持續於目標組織進行活動。對方透過Nbtscan、WinEggDrop、NimScan進行偵察，然後利用Mimikatz，或是藉由暴力破解或密碼噴灑來取得SMB的密碼，藉此提升權限。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">接著他們透過Plink進行橫向移動，然後從資料庫或是重要的伺服器竊密，並透過WinSCP、Putty等工具傳輸至C2伺服器，最終執行資料破壞軟體。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://securityintelligence.com/x-force/gootbot-gootloaders-new-approach-to-post-exploitation/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意程式GootLoader出現變種，駭客透過WordPress網站下達攻擊命令</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/Zz0yNDg0NzRlNjc5YmYxMWVlYmM1MzhhYjUzMTJhOWI2Zg%3D%3D.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zz0yNDg0NzRlNjc5YmYxMWVlYmM1MzhhYjUzMTJhOWI2Zg%3D%3D.png" style="width: 300px; float: right;" /></a>IBM旗下的威脅情報團隊X-Force揭露新一波的GootLoader攻擊行動，駭客組織Hive0127（亦稱UNC2565）透過搜尋引擎最佳化中毒（SEO poisoning）的手法，假借提供合約、法律表單、業務文件的名義，將使用者重新導向至遭到入侵的WordPress網站，攻擊者將這些網站竄改成線上論壇，引誘受害者上當，依照指示下載帶有惡意酬載的壓縮檔案。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">此壓縮檔案內有透過混淆處理的JavaScript指令碼，使用者若是執行，電腦就會接收另一個JavaScript檔案，以便讓攻擊者持續在受害電腦活動，並觸發PowerShell指令碼GootBot收集系統資訊，並嘗試存取C2伺服器。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">GootBot是GootLoader的變種，攻擊者藉此於受害電腦植入各式惡意程式，或是進行偵察工作、於網路環境裡橫向移動。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.threatfabric.com/blogs/droppers-bypassing-android-13-restrictions"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意程式載入器SecuriDropper繞過新版安卓防護機制部署惡意程式</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/Slide1-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Slide1-3.png" style="width: 300px; float: right;" /></a>為防範駭客濫用作業系統的功能於安卓裝置植入惡意程式，Google於去年8月發布的Android 13當中，導入了名為受限制設定（Restricted Settings）的安全措施，目的是防堵外部的APK安裝程式，使其無法存取影響層面廣泛的功能，例如：輔助功能、通知監聽功能。但如今，已有駭客開發相關工具，繞過這樣的防護機制。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資安業者ThreatFabric揭露名為SecuriDropper的惡意程式載入工具，駭客通常會將其偽裝成合法應用程式來引誘使用者上當，其中冒充的程式類型，又以Google應用程式與安卓更新最多，其次是多媒體播放程式、資安防護軟體。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">一旦使用者依照對方指示安裝，過程中對方就會要求提供讀寫內部儲存空間、安裝及刪除套件的權限，接著就會透過介面操縱的手法，要求使用者執行「重新安裝」，於受害手機植入其他惡意軟體。研究人員看到駭客利用此惡意程式載入工具，部署了SpyNote、Ermac、Zombinder等惡意軟體。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://thehackernews.com/2023/11/google-warns-of-hackers-absing-calendar.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google行事曆被找出用作C2基礎架構的方法？有惡意程式開發者宣稱能辦到，引起駭客圈熱議</span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">Google於近期發表的第8份威脅視野報告（Threat Horizons report）當中，揭露從今年6月出現的惡意程式Google Calendar RAT（GCR），開發者表明他所打造的指令碼，能夠將Google Calendar的事件描述轉換成C2加以濫用，該公司旗下Mandiant威脅情報團隊發現，這種隱密的手法引起網路犯罪圈高度關注，雖然上述工具尚未被用於攻擊行動，但已有許多駭客於地下論壇分享這種概念性驗證攻擊（PoC）程式。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">研究人員指出，攻擊者若在受害電腦執行GCR，該程式會定期從Google Calendar拉取事件描述，從而執行其中的命令，然後再以執行輸出的結果更新事件描述內容。由於過程中都使用Google的基礎設施，導致防守方要察覺異常活動更加困難。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【漏洞與修補】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://source.android.com/docs/security/bulletin/2023-11-01"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google發布11月安卓更新，修補37個漏洞</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月6日Google發布本月份安卓例行更新，總共修補37個漏洞。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">其中，在系統與框架的部分有15個漏洞，其中最嚴重的是列為重大等級的資訊洩露CVE-2023-40113，攻擊者有可能在無須取得特殊執行權限的情況下利用，影響11至13版安卓作業系統。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">其餘修補的漏洞與Arm、聯發科、高通的元件有關，當中有4個高通元件的漏洞被列為重大等級。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【其他新聞】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/marina-bay-sands-discloses-data-breach-impacting-665-000-customers/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">新加坡濱海灣金沙旅館資料外洩，波及66.5萬名房客</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.news18.com/india/indias-biggest-data-leak-so-far-covid-19-test-info-of-81-5cr-citizens-with-icmr-up-for-sale-exclusive-8637743.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">印度發生史上規模最嚴重的資料外洩事件，醫療機構洩漏8.15億民眾個資</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://blogs.vmware.com/security/2023/11/jupyter-rising-an-update-on-jupyter-infostealer.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">竊資軟體Jupyter Infostealer透過簽章迴避偵測</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.securityweek.com/free-tool-helps-industrial-organizations-find-opc-ua-vulnerabilities/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為了讓企業能找出OPC UA組態不當及弱點，資安業者推出掃描工具OpalOPC</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159691"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Palo Alto Networks買下資料安全態勢管理新創Dig Security、企業瀏覽器新創Talon</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>近期資安日報</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159685"><strong>【11月7日】鎖定Atlassian Confluence重大漏洞的攻擊行動出現，駭客透過勒索軟體Cerber加密伺服器的檔案</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159660"><strong>【11月6日】濫用企業臉書帳號散布NodeStealer竊資軟體的攻擊行動再度出現，想看裸照的使用者是目標</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159633"><strong>【11月3日】訊息導向中介軟體ActiveMQ重大漏洞出現攻擊行動，駭客用於投放勒索軟體HelloKitty</strong></a></p> </div></div></div>
2023/11/8 18:02作者周峻佑https://www.ithome.com.tw/news/159699
微軟Microsoft Entra將部署條件式存取政策，登入管理入口將強制啟用MFA
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/11/06/automatic-conditional-access-policies-in-microsoft-entra-streamline-identity-protection/" target="_blank">微軟周一（11/6）宣布</a>，將於Microsoft Entra中自動部署3項條件式存取（Conditional Access）政策，它們皆與多因素身分驗證（MFA）有關，其中一項政策是要求管理員在登入各種Microsoft Admin Portals時，必須採用MFA。</p> <p>負責身分安全的微軟副總裁Alex Weinert強調MFA的重要性，指出當微軟在十年前強制啟用某些消費者服務的多因素身分驗證之後，微軟帳戶遭駭的意外下滑了80%，且遭駭用戶成功取回帳戶的比例也從57%增加到81%。而且原本擔心此一政策會令消費者感到麻煩而走人，沒想到客戶的留存率還增加了5%。</p> <p>繼之微軟在2019年針對所有的新租戶所提供的安全預設中，便啟用了MFA，超過80%的新租戶保留了該安全預設，2022年將該預設值延伸到既有租戶，有超過94%的租戶維持其啟用狀態，Weinert說，這些啟用了MFA比未啟用的客戶所受到的危害少了80%，且整體的MFA利用率已超過37%，但微軟的目標是100%。</p> <p>這是因為微軟的研究顯示，MFA可降低99%帳戶被盜的風險，且使用者的數位身分同時保護著他們的虛擬與實體資產，從微軟每秒封鎖逾4,000次的密碼攻擊來看，必須採用激進手段。</p> <p>總之，這次微軟打算於Microsoft Entra中自動部署3項條件式存取政策，一是在登入各種管理入口時必須採用MFA，二是原本即採用MFA的使用者在登入所有雲端程式時都必須採用MFA，三則是要求Microsoft Entra ID Premium Plan 2用戶在執行高風險登入行為時，必須採用MFA。</p> <p>上述的第一項政策適用於所有的客戶，只要是具特權的管理員要登入微軟的管理入口時，就必須採用MFA，像是Microsoft Entra、Microsoft 365、Exchange及Azure等。<a href="https://learn.microsoft.com/en-us/entra/identity/conditional-access/how-to-policy-mfa-admin-portals" target="_blank">此一政策涉及了14種管理員角色</a>，涵蓋全域管理員、應用程式系統管理員、Exchange系統管理員、密碼管理員、安全性系統管理員、SharePoint系統管理員及使用者管理員等。</p> <p>Weinert說，微軟強烈推薦第一項政策，並將代替客戶部署，且縱使客戶得以選擇退出上述政策，微軟團隊也會持續在某些特定互動時要求多因素身分驗證。</p> <p>微軟預計自下周便會開始部署上述政策至所有合格的租戶，租戶有90天的時間可以審核並客製化相關政策，之後微軟即會啟用它們。</p> </div></div></div>
2023/11/8 16:38作者陳曉莉https://www.ithome.com.tw/news/159698
IBM成立5億美元的AI創投基金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年11月才現身的ChatGPT帶動了全球的生成式人工智慧（AI）風潮，百年科技大廠IBM也在周二（11/7）<a href="https://newsroom.ibm.com/2023-11-07-IBM-Launches-500-Million-Enterprise-AI-Venture-Fund" target="_blank">宣布成立了5億美元的IBM Enterprise AI Venture Fund</a>，專門投資從早期到高速成長期的各種AI新創，且將專注於加速針對大型企業的生成式AI技術與研究。</p> <p>IBM Enterprise AI Venture Fund準備投資現在與未來可協助全球企業實現AI商業應用潛力的AI領導人，負責此一基金的是由投資與AI專家組成的IBM團隊，每家新創都有機會與IBM建立重要的合作關係，同時獲得產品、工程及產品上市策略的專業知識。</p> <p><a href="https://www.ibm.com/artificial-intelligence" target="_blank">目前IBM已自行開發了許多AI解決方案</a>，多圍繞在該公司的Watson平臺，該公司坦承，藉由IBM Enterprise AI Venture Fund將可擴大其AI合作夥伴的生態體系，包括利用Watson進行建置，同時替IBM客戶與新創公司領導人創造長期價值。</p> <p>IBM商務長Rob Thomas表示，外界預期AI到2030年將會釋放16兆美元的生產力，此一基金可替IBM另闢蹊徑以駕馭AI革命的巨大潛力，替IBM與AI新創帶來正面的結果。</p> <p>在設立該AI新創基金之前，IBM也曾投資其它AI新創，包括參與機器學習開源平臺Hugging Face的D輪增資，以及加入AI資安業者HiddenLayer的A輪投資。</p> </div></div></div>
2023/11/8 13:29作者陳曉莉https://www.ithome.com.tw/news/159694
英特爾：企業未來資料中心設計將因生成式AI帶來新變革，液體冷卻技術和配備更高記憶體頻寬的伺服器系統是發展關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著生成式AI迅速崛起，企業開始思考未來資料中心設計，來因應生成式AI應用發展，甚至一些科技巨頭已經開始打造AI資料中心。例如臉書Meta正在打造下一代AI資料中心，該資料中心將具有液冷式人工智慧硬體，以及高效能人工智慧網路，將數千個MTIA人工智慧晶片連結在一起，以建立起資料中心規模的人工智慧訓練叢集，支援未來10年生成式人AI應用研究。</p> <p>英特爾資料中心平臺工程與架構事業群總經理Zane Ball在近日的英特爾創新日會後一場媒體活動上表示，生成式AI的興起，對於資料中心帶來了重要變革之一，將加速企業資料中心對於液體冷卻（liquid cooling）技術的採用。</p> <p>Zane Ball表示，執行生成式AI應用對於系統能耗負擔很大，因此需要新的硬體散熱機制。他認為，越來越多的企業將在新資料中心中導入液體冷卻技術，來協助伺服器系統的散熱，不僅是為了節省能源，還為了支援更高能耗的加速運算元件所需。他認為這有助於加速企業資料中心採用液體冷卻技術。</p> <p>但他直言，要實現實用且易於部署的液體冷卻技術，需要產業間的合作，「雖然這需要時間，但這件事讓人感到興奮，也代表新機會。」他說。</p> <p>不只是冷卻散熱機制的改變，未來伺服器硬體設計需要有新的變革。為了提升伺服器所能處理的推論模型參數，Zane Ball指出，未來將持續改進Xeon處理器在AI運算效能方面。他表示，過去英特爾已經取得了顯著的進步，例如與第三代Xeon處理器相比，第四代Xeon處理器的AI處理效能提升多達14倍。因此未來將持續發展能夠支援更大參數的模型、更高記憶體頻寬的伺服器系統，「這正是我們未來CPU發展的方向。」</p> <p>英特爾將在12月14日推出代號為Emerald Rapids的第5代Xeon伺服器處理器，也是針對企業資料中心AI應用需求所設計，採用和前一代相同節點，但核心數達到64核，而且具備更快的記憶體傳輸速度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20231107_021815362.jpg" style="width: 600px;" /></p> <p>從英特爾對於資料中心AI系統的分類，也能夠反映出不同型態伺服器，能夠支援處理的推論模型參數的規模。</p> <p>若以單一CPU插槽的Emerald Rapids伺服器來舉例，Zane Ball也表示，這種伺服器適合處理100億參數的模型推論任務，他強調，雖然執行更多參數的模型是有可能，但考慮到系統的效能， 100億個參數會是較為合理的數量。</p> </div></div></div>
2023/11/8 12:12作者余至浩https://www.ithome.com.tw/news/159693
澳洲第二大電信業者Optus發生大規模服務中斷，已持續超過10小時
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>澳洲第二大電信業者Optus在當地AEDT時間11月8日凌晨4點左右（約是臺北時間8日凌晨1點），開始出現大規模的服務中斷，旗下的行動、固網與電話服務全都失靈，除了影響數百萬名用戶之外，也波及了採用Optus服務的醫院與運輸機構，而且一直到臺北時間上午11點都尚未完全恢復正常，已持續超過10小時。</p> <p>Optus是新加坡電信Singtel的全資子公司，在澳洲擁有逾1,000萬名訂閱用戶，是澳洲第二大電信業者，僅次於Telstra。</p> <p>根據澳洲媒體的報導，當地的行動用戶先是在手機的收訊指標上看到SOS，發現手機並未連上行動網路，另外，當地有73家醫院採用Optus的電話服務，澳洲鐵路公司Metro Trains的後端系統也仰賴Optus的行動網路，全都因此而受到影響。</p> <p>Optus透過<a href="https://www.facebook.com/photo/?fbid=330895862880613&set=a.238926895410844" target="_blank">Facebook</a>與<a href="https://twitter.com/optus_help/status/1721977640859599339" target="_blank">X</a>發布了聲明，坦承固網撥打000的緊急電話服務也已失靈，但用戶透過手機撥打000則可由其它電信網路承接。</p> <p>Optus正全力搶救服務，也陸續恢復部分服務，該公司向部分媒體否認遭到網路攻擊，但尚未釐清或公布中斷原因。</p> <p>事實上，<a href="https://www.ithome.com.tw/news/153244" target="_blank">去年Optus</a>即曾因遭到駭客入侵而外洩客戶資料，這起服務大規模中斷的意外，也讓澳洲政府考慮將重大服務移出Optus。</p> </div></div></div>
2023/11/8 12:21作者陳曉莉https://www.ithome.com.tw/news/159692
Palo Alto相繼收購2家以色列安全軟體公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路安全廠商Palo Alto Networks在過去二周來，接連宣布收購二家以色列安全軟體公司，以強化企業資料及雲端安全防護。</p> <p><a href="https://www.paloaltonetworks.com/company/press/2023/palo-alto-networks--announces-intent-to-acquire-enterprise-browser-start-up-talon-cyber-security" target="_blank">本周Palo Alto宣布</a>和企業網路安全工具Talon Cyber Security達成收購協議，將取得其企業瀏覽器技術，整合Palo Alto的Prima SASE，可形成企業資料安全方案，確保企業員工可透過手機或非公司設備遠端安全存取公司應用，包括不對外公開的App，且對用戶及其使用的裝置實施一致化的安全管理，不論使用者身分或使用什麼裝置。加入Palo Alto後的Talon將由原領導團隊持續掌理。</p> <p><a href="https://www.paloaltonetworks.com/company/press/2023/palo-alto-networks--announces-intent-to-acquire-cloud-security-start-up-dig-security" target="_blank">上周Palo Alto另外宣布</a>收購Dig Security。Dig Security提供資料安全態勢管理（Data Security Posture Management），強化資料安全防護。其方案幫助企業辨識敏感資料、管理用戶存取，及實作安全措施，以保護所有儲存在雲端資料庫的敏感資料外洩。Dig Security產品能讓企業客戶清楚掌控多雲環境的資料安全。收購完成後，Dig Security的方案將整合到Palo Alto用戶的Prisma Cloud平臺，提供幾近即時的資料防護，且其領導團隊也都將留任。</p> <p><a href="https://techcrunch.com/2023/09/26/palo-alto-networks-dig-talon/" target="_blank">9月《Techcrunch》首先報導</a>，Palo Alto即將收購這兩家安全廠商。值得一提的是，Palo Alto Networks是以色列人Nir Zuk於2005年成立，而Talon及Dig也都是由以色列人所創。兩樁收購案協議期間發生以色列和哈瑪斯武力衝突，但皆未受其影響。</p> </div></div></div>
2023/11/8 12:01作者林妍溱https://www.ithome.com.tw/news/159691
美禁令之前，傳百度AI晶片已從Nvidia轉向華為下單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/technology/baidu-placed-ai-chip-order-huawei-shift-away-nvidia-sources-2023-11-07/" target="_blank">《路透社》報導</a>，早在美國AI晶片禁令之前，百度已經將AI晶片訂單由Nvidia轉向華為。</p> <p>10月美國發布最新禁令，禁止一定運算速度以上的晶片輸入中國，直接影響Nvidia、AMD等業者。美國先是公布1個月緩衝期，但一周後又傳出美取消緩衝期立即生效。消息所至引發Nvidia股價大跌。</p> <p>周二路透社引述二消息人士報導，其實早在8月，中國網際網路巨人百度內部已經下令其AI系統文心一言（Ernie）使用的晶片，改向華為採購昇騰（Ascend）910B系列AI晶片。Ascend 910B晶片最大算力為256TFLOPS，相當於Nvidia A100。</p> <p>報導指出，百度為200臺伺服器採購了1,600顆華為AI晶片，其中60%約1,000顆已經在10月底前出貨，華為預計在年底交付所有晶片。另一名消息人士指出，這波下單金額約為6,200萬美元。</p> <p>雖然這波採購量並不算大，但報導指出，這顯示中國業者已逐漸有能力擺脫對美國技術的依賴。美國祭出晶片及軟體出口禁令後，華為轉而推動作業系統及晶片研發。外界拆解華為今年9月推出的旗艦手機Mate 60 Pro，使用的是自行研發的麒麟9000及鴻蒙4.0作業系統。</p> <p><a href="https://www.reuters.com/technology/huawei-unit-ships-chinese-made-surveillance-chips-fresh-comeback-sign-sources-2023-09-20/" target="_blank">路透社9月報導</a>，華為集團的海思半導體（HiSilicon）已研發自製內建於監控攝影機的晶片，並已出貨給客戶。</p> </div></div></div>
2023/11/8 10:56作者林妍溱https://www.ithome.com.tw/news/159690
微軟Xbox與Inworld AI合作打造基於AI的遊戲開發工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://developer.microsoft.com/en-us/games/articles/2023/11/xbox-and-inworld-ai-partnership-announcement/" target="_blank">微軟Xbox遊戲AI總經理Haiyan Zhang本周宣布</a>，已與專門以AI開發非玩家角色（Non-Player Character，NPC）的Inworld AI結盟，雙方簽署了多年合作協議，將共同建置一個多平臺的AI工具集，以協助創作者設計遊戲的對話，故事與任務，初期所聚焦的兩項工具為AI設計副手及AI角色運作引擎。</p> <p>NPC指的是角色扮演遊戲中非由玩家所控制的角色，雖然它們多半是遊戲中的陪襯，但<a href="https://inworld.ai/blog/future-of-npcs-report" target="_blank">Inworld的調查</a>顯示，儘管有84%的玩家認為NPC會讓遊戲變得不同，但有5成的玩家抱怨現在的NPC於遊戲中的對話經常重複，有3成說它們經常沒有辦法好好地回應玩家的行為，或是出現愚笨的回應。</p> <p>而Inworld的目標就是替這些NPC帶來更栩栩如生的樣貌，讓它從一個原本只遵循腳本的角色，轉變成一個可以依據玩家的行動及選擇而作出動態因應的對象，藉由在運作時編排不同的AI模型，令Inworld的角色引擎得以創造出具備豐富表情、手勢、對話與行動的NPC。</p> <p>Inworld表示，擴展角色引擎的功能將是雙方此次合作的重心，此一角色運作引擎將可整合到遊戲的客戶端，藉由動態生成故事、任務與對話來實現全新的遊戲敘事。至於AI設計副手則可協助遊戲設計師來探索創意，例如把提示轉換成詳細的腳本、對話樹與任務等。</p> <p>除了借用Inworld於AI角色引擎上的長才之外，微軟則將投入Azure OpenAI、Microsoft Research與Xbox團隊的資源。Zhang說，微軟的目標是替任何規模與平臺的遊戲開發者提供最先進的AI工具，協助他們突破現今的遊戲界限，因此在開發這些新工具時，將會同時與Xbox工作室及第三方工作室的創作者合作，儘可能地開發滿足其需求的工具，並激發對未來遊戲的想像。</p> </div></div></div>
2023/11/8 08:39作者陳曉莉https://www.ithome.com.tw/news/159688
Deno 1.38更新支援HTML文件生成與熱模組替換功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://deno.com/blog/v1.38#deno-doc-updates">Deno 1.38</a>已由開發團隊更新釋出，這個新版對deno doc指令進行改進，讓開發者可以快速生成靜態網站，同時新增熱模組替換功能，而JSX轉換速度在這個版本提升達7到20倍，另外，Deno 1.38嘗試以破壞性更新提高對Node.js專案的支援度，官方現在正尋求社群意見。</p> <p>在最新版本中，Deno強化了deno doc指令，官方提到，他們參考自Rust程式語言文件生成工具rustdoc。讓開發者可以使用deno doc —html指令，替專案生成靜態文件檔案，使開發團隊共享文件更為便捷。這個指令會替函式庫中每個匯出符號（Symbol）創建專屬頁面，並提供客戶端符號搜尋功能，以尋找特定的函式、變數和類型定義。這個功能即便在瀏覽器JavaScript被禁用的情況下，仍然可以正常運作。</p> <p>另外，deno doc現在支援多個入口點，讓文件生成不會再僅限於單一模組，也就是說，deno doc能夠接收多個模組檔案作為參數，並且替每一個模組生成文件，這項新功能使開發者能夠一次替多個相關聯的檔案生成整套的API文件，而非只能針對單個檔案進行處理。而且新加入的—lint旗標，還可以在生成文件的時候檢查潛在問題，把關文件的品質。</p> <p>Deno 1.38也引入了熱模組替換（Hot Module Replacement，HMR）功能，這是一個JavaScript開發功能，讓開發者可以在不刷新整個頁面，或是重新啟動應用程式的情況下，更新和替換應用程式的模組，進而提升開發流程效率，開發者現在可以使用deno run —unstable-hmr指令來使用該功能。</p> <p>官方解釋，—hmr旗標的運作方式就如同—watch，只是熱模組替換會嘗試更新檔案，而不是重新啟動整個程式。這項功能在許多框架會非常有用，像是當Deno同時用於後端和前端開發時，可通知瀏覽器檔案已經更改，並重新載入頁面，而且開發者也可以透過監聽熱模組替換事件，來處理相對應的更新操作。</p> <p>Deno推出新的JSX轉換功能，以最佳化伺服器端渲染效能。在轉換過程中，JSX語法會在編譯階段，被轉換成JavaScript程式碼，一般來說，因為JSX轉換過程會生成大量且生命周期短暫的物件，因此非常仰賴垃圾回收器。</p> <p>而新的JSX轉換機制，會在編譯時將JSX模板中的HTML部分序列化成靜態字串陣列，以避免創建大量短暫的物件，減少對垃圾回收器的依賴，還顯著降低頻繁創建和銷毀物件所產生的效能負擔，官方提到，這種方式讓渲染速度變得非常快。在測試中，可以觀察到渲染速度提升7到20倍，垃圾回收時間減少50％。</p> <p>在此次更新中，Deno還進一步強化對Node.js專案的相容性，提供一個實驗性功能讓開發者可以在Deno環境中使用他們所選擇的Npm套件管理器，也就是說，開發者可以直接在Deno環境安裝和執行Npm套件，且不需要進行額外設定。未來Deno可能會在偵測到專案存在package.json檔案時，預設啟用這項新行為。不過這將是一個破壞性變更，目前Deno團隊正在徵求社群的意見。</p> </div></div></div>
2023/11/8 08:45作者李建興https://www.ithome.com.tw/news/159686
Google雲端模擬監控新服務，可即時分析應用程式可用性與效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端向所有用戶開放新的監控服務—<a href="https://cloud.google.com/blog/products/devops-sre/synthetic-monitoring-in-cloud-monitoring-is-now-ga">模擬監控（Synthetic Monitoring）</a>，這是一種新型主動式監控功能，可以透過自動化Node.js腳本，模擬真實終端使用者與應用程式、服務的互動行為，進而對網頁應用、API和工作流程的可用性、一致性和效能進行測試。</p> <p>Google雲端的模擬監控服務會從世界各地的資料中心，對應用程式端點執行自動化測試程式碼，這些測試程式碼包括模擬應用程式內終端使用者路徑，像是登入網站、搜尋產品或是將商品放入購物車內等操作。</p> <p>當用戶配置模擬監控器時，便會創建一個Google雲端函式，該函式會執行Node.js程式碼，並透過Cloud Monitoring服務進行發布和集中管理。系統會收集和分析程式碼執行結果，總結應用的可用性、一致性和效能，當模擬監控服務偵測到任何問題，可以根據用戶設定的警示規則通知特定團隊介入，以便問題在真正影響終端使用者之前快速修復。</p> <p>用戶可以替任何URL和API端點配置模擬監控，能夠方便地使用預建置的程式碼，或是自行編寫的測試程式碼。官方提到，模擬監控服務高度可擴展，單一帳戶就可監控成千上萬個URL和API端點。</p> <p>Google在今年7月推出模擬監控預覽版，到了正式版本還加入一些實用新功能，像是用戶現可使用基礎設施即程式碼工具Terraform創建模擬監控器。另外，模擬監控功能也可以收集向外HTTP請求所生成的追蹤和日誌，以方便快速辨識效能問題。</p> <p>Google也在模擬監控中引入Mocha測試框架的UI模板，透過提供視覺化介面，使用戶更輕鬆地運用Mocha框架來創建和配置測試案例。UI模板讓不熟悉Mocha框架或是不想編寫複雜程式碼的用戶，可以快速生成測試腳本。</p> </div></div></div>
2023/11/8 08:49作者李建興https://www.ithome.com.tw/news/159687
【資安日報】11月7日，鎖定Atlassian Confluence重大漏洞的攻擊行動出現，駭客透過勒索軟體Cerbe…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">最近訊息導向中介軟體ActiveMQ、DevOps協作平臺Confluence分別出現重大漏洞CVE-2023-46604、CVE-2023-22518，如今皆有駭客對其發動勒索軟體攻擊、加密檔案，而造成災情。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">其中，值得留意的是針對Confluence的攻擊行動，因為過程中駭客不只利用最近才修補的漏洞，還串連另一個上個月揭露的重大漏洞進行攻擊，這代表受害組織兩個漏洞都還沒修補，而讓對方有機可乘。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【攻擊與威脅】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/critical-atlassian-confluence-bug-exploited-in-cerber-ransomware-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Cerber利用Atlassian Confluence重大漏洞發動攻擊</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/Internet-exposed Atlassian Confluence servers.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Internet-exposed%20Atlassian%20Confluence%20servers.png" style="width: 300px; float: right;" /></a>上週軟體開發服務業者Atlassian發布資安通告，指出旗下DevOps協作平臺Confluence存在重大漏洞CVE-2023-22518，影響所有版本的Confluence Data Center、Confluence Server，如今傳出有勒索軟體駭客將其用於攻擊行動。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">威脅情報業者GreyNoise提出警告，他們看到漏洞攻擊行動從11月5日開始出現，資安業者Rapid7則是在客戶的Confluence伺服器上，發現攻擊者不僅利用CVE-2023-22518，還利用另一個漏洞CVE-2023-22515（CVSS風險評為10分）進行權限提升，後續攻擊者從特定IP位址下載惡意酬載，導致Confluence伺服器感染勒索軟體Cerber。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">而對於該漏洞曝險的狀態，Shadowserver基金會指出，全球有超過2.4萬個<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">Confluence系統曝露於網際網路，但究竟有多少執行個體存在漏洞，仍有待釐清。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資料來源</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">1. <a href="https://twitter.com/Andrew___Morris/status/1721164901052268590">https://twitter.com/Andrew___Morris/status/1721164901052268590</a><br /> 2. <a href="https://www.rapid7.com/blog/post/2023/11/06/etr-rapid7-observed-exploitation-of-atlassian-confluence-cve-2023-22518/">https://www.rapid7.com/blog/post/2023/11/06/etr-rapid7-observed-exploitation-of-atlassian-confluence-cve-2023-22518/</a><br /> 3. <a href="https://dashboard.shadowserver.org/statistics/iot-devices/time-series/?date_range=30&vendor=atlassian&model=confluence&group_by=geo&style=stacked">https://dashboard.shadowserver.org/statistics/iot-devices/time-series/?date_range=30&vendor=atlassian&model=confluence&group_by=geo&style=stacked</a></span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://arcticwolf.com/resources/blog/tellmethetruth-exploitation-of-cve-2023-46604-leading-to-ransomware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體TellYouThePass針對Apache ActiveMQ重大漏洞下手</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">10月底訊息導向中介軟體ActiveMQ公告修補漏洞CVE-2023-46604，因CVSS風險高達10分而引起大家關注，繼資安業者Rapid7發現勒索軟體HelloKitty的攻擊行動，前幾天又有研究人員看到新的漏洞攻擊。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月3日資安業者Arctic Wolf指出，利用上述漏洞的攻擊行動很可能在10月10日就開始，他們最初看到有人在Windows Server伺服器上，部署惡意程式SparkRAT，此為Go語言打造的跨平臺木馬程式，會為受害伺服器建立指紋，並回傳C2。後來，有第二組人馬從另一個IP位址，進行兩起勒索軟體攻擊，其中一起就是Rapid7揭露的勒索軟體HelloKitty攻擊，這是針對Windows電腦而來的攻擊行動；而另一起攻擊行動則是針對Linux版ActiveMQ伺服器而來，攻擊者利用勒索軟體TellYouThePass的變種「HelloKittyCat」加密檔案。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">值得留意的是，這些勒索軟體攻擊行動，不僅攻擊來源IP位址相同，所使用的比特幣錢包位址也一樣，很有可能是同一組人馬所為。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://jaysbrickblog.com/news/bricklink-is-currently-down-due-to-a-suspected-hacking-cybersecurity-incident/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">樂高市集BrickLink被迫關閉，傳出賣家收到勒索訊息</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/LEGO-Bricklink-Hack-Message.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LEGO-Bricklink-Hack-Message.jpg" style="width: 300px; float: right;" /></a>根據樂高新聞網站Jay's Brick Blog的報導，樂高交易市集BrickLink於11月3日關閉，此消息發布之際，市集已停止服務近5個小時，當時業者僅透露正在著手調查異常活動。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">而根據該市集用戶於臉書社團、Reddit群組的討論，他們懷疑BrickLink遭遇網路攻擊事故，多個商店與賣家的帳號外洩，而這些賣家也張貼自己遭到勒索的訊息，駭客要求限時以加密貨幣支付贖金，否則將清除市集裡的商店及庫存等資料。攻擊者聲稱，他們挾持包含管理員在內的所有BrickLink帳號。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月6日，BrickLink經營團隊終於公開坦承現況，他們表示，有少部分帳號遭到未經授權存取。而對於該網站離線的原因，有人推測，很可能是因為駭客存取了數十個買家及賣家的帳號並用來行騙，BrickLink經營團隊為防止事態擴大，決定將網站關閉。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資料來源</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">1. <a href="https://www.reddit.com/r/Bricklink/comments/17n24zi/has_bricklink_been_hacked/">https://www.reddit.com/r/Bricklink/comments/17n24zi/has_bricklink_been_hacked/</a><br /> 2. <a href="https://twitter.com/BrickLink/status/1721279577262043605">https://twitter.com/BrickLink/status/1721279577262043605</a><br /> 3. <a href="https://www.reddit.com/r/Bricklink/comments/17n6mpq/public_service_announcement_regarding_bricklink/">https://www.reddit.com/r/Bricklink/comments/17n6mpq/public_service_announcement_regarding_bricklink/</a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/ace-hardware-says-1-202-devices-were-hit-during-cyberattack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">跨國聯鎖五金零售業者Ace Hardware系統遭遇網路攻擊，有駭客企圖騙取零售門市的帳號</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">10月30日跨國聯鎖五金零售業者Ace Hardware向客戶發出公告，表明在29日早上偵測到網路安全事故，影響該公司大部分的IT系統，包含倉庫管理系統、Ace零售行動助理ARMA、發票系統、客戶回鐀系統Ace Rewards、客戶關懷電話系統皆面臨中斷或暫停運作的情況。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">該公司後來於30日晚間發布新的公告，表示相關系統仍持續停擺，電子商城雖然能搜尋及檢視產品，但無法下單，此外，零售門市的POS系統與信用卡處理系統不受影響。資安新聞網站Bleeping Computer指出，Ace Hardware向零售門市透露，他們經營的1,400臺伺服器當中，有1,202臺遭到網路攻擊，該公司著手復原當中。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">但在此同時，有人對零售門市進行網路釣魚攻擊，有些攻擊者寄送釣魚郵件，要求在Ace Hardware系統恢復之前，將款項支付給替代網站；也有人聲稱是Epicor Software Corporation的代表，打電話給這些零售門市，要他們提供帳密資料進行故障排除。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【漏洞與修補】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/qnap-warns-of-critical-command-injection-flaws-in-qts-os-apps/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">威聯通揭露NAS作業系統的重大命令注入漏洞</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月4日臺灣NAS設備製造商威聯通（QNAP）發布資安通告，指出旗下的網路設備作業系統QTS、QuTS hero、QuTScloud存在重大漏洞CVE-2023-23368、CVE-2023-23369，這兩個都是作業系統命令注入漏洞，攻擊者有可能遠端執行命令，CVSS風險評分為9.8、9.0。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">值得留意的是，這兩個漏洞的影響範圍不同，CVE-2023-23368牽涉到QTS 4.5及5.0、QuTS hero h4.5及h5.0、QuTScloud c5.0.1，另一個漏洞則是影響QTS 4.2、4.3.3、4.3.4、4.3.6、5.1，以及多媒體管理應用程式Multimedia Console 1.4、2.1，多媒體串流附加元件500.0、500.1。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資料來源</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">1. <a href="https://www.qnap.com/zh-tw/security-advisory/qsa-23-31">https://www.qnap.com/zh-tw/security-advisory/qsa-23-31</a><br /> 2. <a href="https://www.qnap.com/zh-tw/security-advisory/qsa-23-35">https://www.qnap.com/zh-tw/security-advisory/qsa-23-35</a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.veeam.com/kb4508"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">IT監控解決方案Veeam ONE存在重大漏洞，攻擊者可遠端執行任意程式碼</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月6日Veeam針對旗下IT監控解決方案Veeam ONE發布資安通告，他們公布了4個漏洞，其中有2個是重大等級。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">根據CVSS風險評分的分數來看，最嚴重的是CVE-2023-38547，攻擊者能在未經授權的情況下，用於取得Veeam ONE配置資料庫的存取資訊，而有可能遠端於此系統搭配的SQL Server上執行任意程式碼，CVSS風險評分為9.9，影響11、11a、12版Veeam ONE。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">另一個重大漏洞是CVE-2023-38548，攻擊者若是能夠存取Veeam ONE的網頁版用戶端，並使用不具特殊權限的用戶身分，有機會收集Veeam ONE Reporting Service所使用的帳號之NTLM雜湊值，CVSS風險評分為9.8，影響12版Veeam ONE。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【其他新聞】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://thehackernews.com/2023/11/google-warns-of-hackers-absing-calendar.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google警告駭客濫用旗下Calender服務充當C2基礎架構</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.threatfabric.com/blogs/droppers-bypassing-android-13-restrictions"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意程式載入器SecuriDropper繞過新版安卓防護機制部署惡意程式</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://securelist.com/spyware-whatsapp-mod/110984/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">間諜軟體CaneSpy透過竄改的即時通訊軟體WhatsApp散布</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.avanan.com/blog/the-rise-in-qr-code-attacks"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">今年9月QR Code釣魚攻擊爆增587%</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159667"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">身分驗證管理業者Okta對10月遭駭事件完成調查，134位客戶資料被洩漏</span></span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>近期資安日報</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159660"><strong>【11月6日】濫用企業臉書帳號散布NodeStealer竊資軟體的攻擊行動再度出現，想看裸照的使用者是目標</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159633"><strong>【11月3日】訊息導向中介軟體ActiveMQ重大漏洞出現攻擊行動，駭客用於投放勒索軟體HelloKitty</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159609"><strong>【11月2日】伊朗駭客組織利用後門程式Liontail攻擊Windows伺服器，鎖定中東地區的政府機關與金融單位而來</strong></a></p> </div></div></div>
2023/11/7 18:02作者周峻佑https://www.ithome.com.tw/news/159685
整合網頁、郵件、Line互動，瀚錸推出產品送修流程追蹤系統
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/rma_dashboard-main2.jpg" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以代理Netgear網路設備著稱的瀚錸科技（NetBridge），基於多年來處理硬體設備報修的顧客服務經驗，今年5月首度發表自有品牌的軟體即服務（SaaS）型態的解決方案，名為「門市RMA小幫手」，鎖定的用戶，主要是系統整合商、3C產品銷售通路，以及IoT與工控設備製造商，為這些公司提供雲端服務型態的客服案件追蹤系統，協助他們能夠隨時隨地透過系統來掌握硬體設備案件狀態，客服人員與客服主管均可在此查詢維修進度與保固註冊，並能透過電子郵件和即時通訊軟體Line等兩大通訊管道，快速獲得案件最新進度，從而將這些資訊及早通知客戶。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RMA儀錶板1-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RMA%E5%84%80%E9%8C%B6%E6%9D%BF1-web.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RMA小幫手-進度紀錄介面-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RMA%E5%B0%8F%E5%B9%AB%E6%89%8B-%E9%80%B2%E5%BA%A6%E7%B4%80%E9%8C%84%E4%BB%8B%E9%9D%A2-web.jpg" style="width: 600px;" /></a></p> <p>所謂的RMA，全名是Return Material Authorization，也就是一般大家所熟知的產品退換貨處理，過往廠商端要進行這樣的顧客互動流程，以及掌握報修案件狀態，往往需要在ERP銷退貨系統與客服案件系統之間切換，才能了解全貌，相較之下，瀚錸開發的門市RMA小幫手現在提供單一的操作介面，廠商端的客戶服務人員與主管，不需要複雜的教育訓練就能快速上手，可透過這套系統提供的案件總覽儀表板，清楚看到各個RMA案件處於維修、檢測或返還的階段，系統會依據新增維修案件、到件檢測中、檢測完畢、原機返回中、更換新機返回中等5大狀態，呈現已收到、處理中、已完成的RMA案件。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RMA dashboard.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RMA%20dashboard.jpg" style="width: 600px;" /></a></p> <p>至於廠商客服人員與顧客之間的溝通上，瀚錸這套系統提供多種形式，例如，顧客目前可透過門市RMA小幫手的網頁介面進行報修，也能經由電子郵件獲得產品維修資訊，</p> <p><a href="https://s4.itho.me/sites/default/files/images/RMA產品檢修服務系統_檢測申請頁面-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RMA%E7%94%A2%E5%93%81%E6%AA%A2%E4%BF%AE%E6%9C%8D%E5%8B%99%E7%B3%BB%E7%B5%B1_%E6%AA%A2%E6%B8%AC%E7%94%B3%E8%AB%8B%E9%A0%81%E9%9D%A2-web.jpg" style="width: 600px;" /></a></p> <p>還可以整合廠商的即時通訊軟體Line@官方帳號，以此來收發維修資訊——顧客可透過Line報修與查詢產品送修進度，</p> <p><a href="https://s4.itho.me/sites/default/files/images/RMA_Line官方帳號-維修申請.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RMA_Line%E5%AE%98%E6%96%B9%E5%B8%B3%E8%99%9F-%E7%B6%AD%E4%BF%AE%E7%94%B3%E8%AB%8B.jpg" style="width: 200px;" /></a></p> <p>廠商的客服人員使用系統回覆進度時，也可以選擇同時傳送Line訊息通知顧客。瀚錸表示，他們正在開發專用App，未來可望增加更多互動管道。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RMA小幫手-發送通知.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RMA%E5%B0%8F%E5%B9%AB%E6%89%8B-%E7%99%BC%E9%80%81%E9%80%9A%E7%9F%A5.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RMA-通知管道-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RMA-%E9%80%9A%E7%9F%A5%E7%AE%A1%E9%81%93-web.jpg" style="width: 600px;" /></a></p> <p>對於送修硬體設備的顧客而言，如果需要查詢目前報修產品的維修進度，門市RMA小幫手提供網頁與Line等兩種查詢管道，能夠更直接、快速地檢視這些資訊，並且在此查閱產品保固註冊資訊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/rma產品檢修服務系統_送檢進度查詢-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/rma%E7%94%A2%E5%93%81%E6%AA%A2%E4%BF%AE%E6%9C%8D%E5%8B%99%E7%B3%BB%E7%B5%B1_%E9%80%81%E6%AA%A2%E9%80%B2%E5%BA%A6%E6%9F%A5%E8%A9%A2-web.jpg" style="width: 600px;" /></a></p> <p>如果案件狀態發生變化，門市RMA小幫手也會經由電子郵件與Line，將資訊更新的訊息傳送到顧客手上。為了方便更多地區的使用者與廠商進行這樣的服務互動，瀚錸預告未來將會擴大支援更多類型的即時通訊軟體，像是微信、WhatsApp。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/rma_line%E4%BA%92%E5%8B%95%E4%BB%8B%E9%9D%A2-web.jpg" style="width: 300px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>瀚錸RMA</strong><br /> ●原廠：瀚錸科技<br /> ●建議售價：定價10人版半年為27,000元（未稅），臺灣雲市集10人版半年優惠價為20,000元<br /> ●解決方案型態：SaaS雲端服務<br /> ●訊息通知管道：電子郵件、Line即時通訊<br /> ●可處理的工作項目：客戶服務人員方面，可進行報修申請、報修查詢、保固申請、保固查詢，產生整合硬體序號及維修進度報告；客戶服務主管方面，逾時案件燈號示警、總覽案件處理進度</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/11/7 17:39作者李宗翰https://www.ithome.com.tw/review/159653
銀行局揭雲端服務治理架構六大重點，未來將由銀行公會訂定相關自律規範
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會自八月發布新版上雲規範，並在近期發布問答集，銀行局副局長林志吉今日也在一場活動中表示，十月已請銀行公會訂定金融業使用雲端服務的自律規範，並要求至少包括六大重點，包括訂定治理政策及風險管理、對雲端業者的管理框架，和人才培訓等。此外，林志吉也提到，此次修法目的之一，是為了強化金融業的資料保全機制。</p> <p>俄烏戰爭開打後，資料保存的意識逐漸升高，而金管會去年發布的金融資安行動方案2.0中，也強調了核心資料保全機制的重要性。對此，林志吉表示，新版上雲規定因應這項政策，要強化金融業的資料保全機制，提高作業韌性，確保客戶資料保護、資訊安全及服務不中斷。因此，辦法中也開放金融業將資料備份在境外雲端，不須經過申請核准，若是將主系統或備援系統備置在境外雲端，才需要申請核准。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/S__48873861.jpg" style="width: 600px;" /></p> <blockquote><p>為了促進金融業強化資料保全機制，今年八月上路的新版上雲規範開放金融業將資料備份在境外雲端，不須經過主管機關申請核准。(攝影:李昀璇)</p> </blockquote> <p>針對雲端服務治理架構，林志吉表示，他們參考了美國聯邦金融機構檢查委員會(FFIEC)和新加坡銀行公會的相關規範，要求銀行公會訂定的自律規範應包含六大重點，分別為治理政策及風險管理、對雲端業者的管理框架、資安控管、人才培訓、雲端服務查核及重大事件通報及緊急應變處理。</p> <p>林志吉解釋，第一，金融業必須訂定雲端服務治理框架，並考量使用雲端服務對營運模式產生的影響，第二，對雲端業者的管理架構，應包括雲端業者負擔責任，和契約應明載事項等。此外，金融業也要對雲端服務做盡職調查，對雲端服務安全性進行持續監控，制定流程來識別、衡量、監控和控制與雲端服務相關風險，並提供人才培訓，培養人員具備資安維護意識。</p> <p>金管會也提供國外案例，供銀行公會參考。林志吉表示，以新加坡銀行公會的自律規範為例，業者盡職框架有包括應評估業者的財務、營運、聲譽等，而契約協議事項的內容，包括應載明資料儲存點、資料傳輸和業務持續性管理等事項。在持續風險評估和監督機制中，則要訂定管理雲、設計與保護雲，和運行雲的關鍵控制措施及控管指標。</p> <p>最後，林志吉也表示，金管會已函請銀行公會組成相關工作小組，作為金融機構採用雲端服務的溝通平臺，辦理包括研議自律規範及最佳實務作業守則、舉辦論壇、研討會等事項，分享雲端服務的使用經驗，並推動人才培訓。</p> <p></p> </div></div></div>
2023/11/7 16:11作者李昀璇https://www.ithome.com.tw/news/159672
三款AI PC筆電搶先看！英特爾首度在臺公開展示整合NPU的Core Ultra筆電，具備有支援70億參數Llama…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾雖然在12月14日才會推出內建NPU（神經處理單元）的行動AI處理器Core Ultra，但今日（11/7）英特爾臺灣創新日上英特爾搶先公開展示搭載Core Ultra處理器的AI PC筆電，除了之前公開的Acer筆電之外，新增Asus和MSI兩款新Core Ultra筆電。此外，現場也展示使用Core Ultra筆電執行各種生成式AI應用，包括圖像生成、文字及程式生成等。</p> <p>英特爾在9月底介紹最新款Core Ultra行動PC處理器，強調不只整合AI加速的NPU，提高生成式AI處理能力，還結合模組化、多晶磚設計等，提升其性能和降低功耗。在英特爾臺灣創新日上，英特爾公開展示了Acer、Asus和MSI三家廠商未來將推出搭載Core Ultra處理器的新款AI PC筆電。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20231107_004812379.jpg" style="width: 600px; height: 338px;" /></p> <p>其中，Asus現場展示兩項行動PC上的生成式AI相關應用，其中一項是文生圖應用，他們在筆電上安裝了開源繪圖工具GIMP，並使用OpenVINO的AI外掛程式為其加入了Stable Diffusion文生圖的功能，使用者只需輸入文字，就可以在編輯介面中自動生成符合文字敘述的場景和人物圖像，例如輸入「格魯特在公園跳舞」的英文字就可以生成相對應的圖像。此外，用生成式AI產出的圖片還可以透過另一個AI模型將圖片放大4倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20231107_004935030.jpg" style="width: 600px; height: 338px;" /></p> <p>執行70億參數的Llama 2大型語言模型推論則是另一項應用展示，這是以Llama 2 7B為基礎進行微調的繁中版本，並整合到Core Ultra平臺中，可以用繁中回答使用者的問題，或是根據提示生成一段程式碼。為了要能夠執行Llama 2 7B模型，該模型大小也經過壓縮，在確保維持原有正確性的前提下，將模型大小從6～7GB降到3～4GB，並使用OpenVINO進行優化。</p> <p>現場解說人員表示，由於 LLM模型是直接在筆電中執行，因此可以支援離線環境的使用。根據他們的說法，輸入一段文字後，平均每10秒內就會開始自動生成文字。不過，記者實際測試可能需要等待更長的時間。</p> <p>不過，Asus現場展示的Core Ultra筆電並沒有用NPU來執行Llama 2模型，而是僅先使用GPU來執行。現場英特爾解說人員表示，未來也可以使用NPU來執行這個任務。目前華碩和英特爾持續對該模型在筆電中的執行進行優化。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20231107_003902969.jpg" style="width: 600px; height: 323px;" /></p> <p>宏碁在現場展示用Core Ultra筆電執行圖像生成模型，可以在筆電桌面螢幕中自動生成動態立體的太空人桌布，還可以利用筆電前置鏡頭來追蹤使用者的臉部輪廓，讓桌布可以朝著使用者視角移動。此外，還可以利用工具將2D平面圖像轉為3D裸眼立體圖。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20231107_005539049.jpg" style="width: 600px; height: 338px;" /></p> <p>另一家筆電廠商MSI則是用Core Ultra筆電展示影片後製的相關應用，如使用Wondershare Filmora影片編輯軟體新增和預覽新特效及背景圖，過程全都使用NPU來執行。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20231107_025723895(1).jpg" style="width: 600px; height: 338px;" /></p> <p>現場展示人員展示了使用該款Core Ultra筆電執行XSplit視訊軟體的情況，其中使用NPU來執行任務，比起完全依賴CPU執行，可以有效降低CPU工作負載，從2成降到1成多。</p> </div></div></div>
2023/11/7 16:12作者余至浩https://www.ithome.com.tw/news/159673
ChatGPT每周用戶數達到1億，承諾替客戶支付侵權訴訟費用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI周一（11/6）舉行了<a href="https://www.youtube.com/watch?v=U9mJuUkhUzk" target="_blank">該公司史上的第一場開發者會議</a>，執行長Sam Altman於首場演說中表示，旗下的AI聊天服務ChatGPT每周已達到1億的活躍用戶，另也宣布將推出版權防護盾（Copyright Shield），替ChatGPT Enterprise用戶及使用該平臺API的開發者支付相關的侵權訴訟費用。</p> <p>OpenAI是在去年的11月30日正式發表ChatGPT，當時所採用的模型為GPT-3.5，今年3月升級至GPT-4.0，並於10月開始測試文字轉圖像模型DALLE-3。ChatGPT既有供大眾使用的免費版，也有個人用的付費版ChatGPT Plus及供企業使用的ChatGPT Enterprise。根據該公司的統計，全球約有200萬名開發者使用該平臺的API，Fortune 500中有超過92%使用OpenAI的產品，每周的活躍用戶已達到1億。</p> <p>此外，OpenAI推出了版權防護盾（Copyright Shield），承諾會在客戶面臨有關侵犯版權的訴訟時，將主動介入替客戶辯護，同時支付因此而衍生的費用。該機制將同時適用於ChatGPT Enterprise與API用戶。</p> <p>根據內容治理解決方案供應商<a href="https://www.acrolinx.com/blog/enterprise-insights-into-generative-ai-adoption/" target="_blank">Acrolinx今年針對86家名列Fortune 500的企業所進行的調查</a>，它們採用生成式AI服務最擔心的風險就是智慧財產權，占了29%，居次的是客戶安全與合規性，占了26.7%。</p> <p>值得注意的是，Acrolinx的調查也顯示，在這些大型企業中，只有4.7%尚不打算導入生成式AI，有37.2%正在使用生成式AI，並有58.1%已有相關計畫。</p> <p>為了移除客戶導入生成式AI服務的最大絆腳石，包括<a href="https://www.ithome.com.tw/news/158651" target="_blank">微軟</a>、<a href="https://www.ithome.com.tw/news/159289" target="_blank">Google</a>與<a href="https://www.businesswire.com/news/home/20230608005347/en/Adobe-Brings-Firefly-and-Express-to-Enterprises" target="_blank">Adobe</a>都已宣布，要替客戶承擔使用生成式AI服務所招致的侵權訴訟費用。</p> </div></div></div>
2023/11/7 16:19作者陳曉莉https://www.ithome.com.tw/news/159674
李開復的AI新創公司公布並開源雙語AI LLM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>前微軟亞洲研究院院長、創投家李開復創立的AI新創公司零一萬物（01.AI），本周宣布開發大型語言模型Yi-6B及34B並將之開源出來。</p> <p>李開復旗下的私募基金創新工場於今年3月，成立開發生成式AI包括大型語言模型（LLM）及聊天機器人的新創公司零一萬物（01.AI），如同中國版的OpenAI，他本人則兼任這家公司的執行長。在成立8個月後，<a href="https://www.bloomberg.com/news/articles/2023-11-05/kai-fu-lee-s-open-source-01-ai-bests-llama-2-according-to-hugging-face#xj4y7vzkg" target="_blank">李開復在與彭博的訪談中</a>公布名為Yi的首個LLM，包含60億及340億參數訓練的2個版本。<a href="https://github.com/01-ai/Yi" target="_blank">這個模型已透過GitHub開源給社群</a>。</p> <p>李開復並指出，零一萬物獲得阿里巴巴控股及其他幾家金主的資金後，目前市值已突破10億美元。</p> <p>根據<a href="https://huggingface.co/01-ai/Yi-34B" target="_blank">零一萬物在Hugging Face的介紹</a>，Yi是一組LLM，為上下文長度200K的基礎模型。它的特色之一是雙語（中／英文）模型。此外，雖然比起其他開源模型小得多，但根據Hugging Face列出的標竿測試，Yi-34B效能在數個指標例如在常識推理、閱讀理解及數學&編程測試中，效能比阿拉伯聯合大公國的Falcon-180B和Meta的Llama2-70B等大型模型還好。MMLU、CMMLU、C-Eval等測試中，也都拿下第一名位子。</p> <p>這家業者目標市場不只是中國，也放眼全球。<a href="https://techcrunch.com/2023/11/05/valued-at-1b-kai-fu-lees-llm-startup-unveils-open-source-model/" target="_blank">李開復說</a>Meta Llama 2是開原碼社群的黃金標準，而Yi模型想提供另一選項。零一萬物預計12個月、18個月將再公告1,000億到4,000億參數的LLM。</p> </div></div></div>
2023/11/7 14:40作者林妍溱https://www.ithome.com.tw/news/159670
OpenAI發表支援128K脈絡的GPT-4 Turbo，調降模型費用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/blog/new-models-and-developer-products-announced-at-devday" target="_blank">OpenAI周一（11/6）發表</a>了支援128K脈絡（Context Window）的GPT-4 Turbo預覽版，推出新的Assistants API，以及API的多種新功能，同時宣布降價，不管是新的GPT-4 Turbo，或是既有的GPT-3.5 Turbo與Fine-tuned GPT-3.5 Turbo 4K都比過去更便宜。</p> <p>繼於今年7月全面釋出GPT-4 API之後，OpenAI本周開始預覽更強大的GPT-4 Turbo。GPT-4 Turbo預覽版所使用的訓練資料最新日期為2023年4月，所支援的脈絡長度為12.8萬（128K）個Token，最大的輸出Token數量為4,096個。相較之下，GPT-4訓練資料的最新日期依舊是2021年9月，所支援的最長脈絡是32,768個Token。</p> <p>Token為GPT等基於Transformer架構之語言模型的基本概念，指的是模型可處理的文字單位，<a href="https://platform.openai.com/tokenizer" target="_blank">根據OpenAI的說明</a>，一個Token大約等於4個英文字母；至於脈絡（Context Window）長度指的則是GPT在生成答案時，所參考的歷史資料範圍，包括使用者曾經輸入的文字或是GPT曾產生的答案，此一功能令GPT得以根據使用者詢問的脈絡持續給出相關的答案，支援12.8萬個Token代表GPT-4 Turbo最多可容納或考慮逾300頁的文字。</p> <p>此外，GPT-4 Turbo改善了函數呼叫功能，可於單一訊息中呼叫多個函數，並提高了函數呼叫的準確性；強化對指令的遵循及對JSON模式的支援；新增seed參數來重製輸出；並預計於未來幾周釋出一新功能，以回傳GPT-4 Turbo及GPT-3.5 Turbo最有可能輸出之Token的Log Probability。</p> <p>所有付費開發者皆可於API請求中，加入gpt-4-1106-preview來預覽GPT-4 Turbo，正式版可望於數周後出爐。</p> <p>在釋出GPT-4 Turbo的同時，OpenAI也更新了GPT-3.5 Turbo，新版GPT-3.5 Turbo預設即支援16K的脈絡長度，亦改善指令遵循、對JSON模式的支援與並行函數呼叫。</p> <p>全新的Assistants API將協助開發者於自己的應用中，打造類似代理人的體驗，透過該API所打造的AI助理具備特定指令，利用額外的知識並可呼叫模型與工具來執行任務，包括Code Interpreter、Retrieval與函數呼叫等，所採用的技術與OpenAI同一天發表的GTPs產品一致。</p> <p>Assistants API的一項重要變更是具備持續且無限長度的執行緒，允許開發者將執行緒的狀態管理交給OpenAI，以克服脈絡長度的限制。Assistants API現為測試版，即日起開放所有開發者試用。</p> <p>OpenAI本周亦發表多種API的新用途，包括GPT-4 Turbo在Chat Completions API中可接受影像輸入，以用來生成標題、分析真實世界的圖像，或是閱讀具備圖形的檔案；或是透過Images API直接將DALL·E整合至應用程式或產品中；以及利用Text To Speech（TTS）API來生成人類品質的語音，它內建了6種語音與2種模型，有一模型可供即時使用，另一模型則針對品質進行了最佳化。</p> <p>OpenAI亦宣布調降GPT-4 Turbo、GPT-3.5 Turbo與Fine-tuned GPT-3.5 Turbo 4K的價格，現在GPT-4 Turbo每千個Token的輸入為0.01美元，輸出為0.03美元，價格分別是GPT-4的1/3及2/1；GPT-3.5 Turbo每千個Token的輸入價格為0.001美元，輸出為0.002美元，亦分別是先前16K模型的3/1與2/1；Fine-tuned GPT-3.5 Turbo 4K的最新價格是每千個Token的輸入為0.003美元，輸出為0.006美元，是之前的1/4及近1/3。</p> </div></div></div>
2023/11/7 14:58作者陳曉莉https://www.ithome.com.tw/news/159671
Slack執行長跳槽，接任人選下周公布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>協同平臺Slack執行長Lidiane Jones本周傳出跳槽約會程式開發商，母公司Salesforce可望在下周公布繼任執行長人選。</p> <p>約會程式開發商<a href="https://bumble-buzz.com/bumble-inc-making-the-next-move/" target="_blank">Bumble本周宣布</a>前執行長Whitney Wolfe Herd下臺，現任Slack執行長Lidiane Jones將於2024年1月繼任，負責將之推向IPO。</p> <p>Jones是<a href="https://www.ithome.com.tw/news/145805" target="_blank">2021年中Salesforce以277億美元收購Slack</a>以來，第二位離職的最高層主管。長久掌理<a href="https://www.ithome.com.tw/news/154572" target="_blank">Slack的共同創辦人</a><a href="http://www.ithome.com.tw/news/154572" target="_blank">Stewart Butterfield</a><a href="https://www.ithome.com.tw/news/154572" target="_blank">於今年初下臺</a>，由Jones接任。</p> <p>Salesforce對Slack的收購引發投資人和員工質疑兩者的相容性，Jones接手的任務之一是確保兩家公司的整合，並推出業務人員使用的Slack版本。Bumble的宣布意謂這位執行長在位僅12個月。</p> <p>Jones的離職似乎有點突然，<a href="https://www.bnnbloomberg.ca/slack-to-name-執行長-soon-after-second-executive-departure-in-less-than-a-year-1.1994741#" target="_blank">媒體引述Jones對內訊息報導</a>，她形容這項消息「超出預期」，因此她將留任到今年年底以確保交接順利，並說很快會宣布繼任人選。</p> <p><a href="https://techcrunch.com/2023/11/06/sources-confirm-that-salesforce-intends-to-announce-new-slack-ceo-next-week/" target="_blank">Techcrunch</a>則報導，消息人士透露下周就會公布。分析師相信，Slack可望會從內部現有主管或是已離職人士遴選下任主管，以確保引領Slack和Salesforce順利融合AI作為產品元素。</p> </div></div></div>
2023/11/7 12:01作者林妍溱https://www.ithome.com.tw/news/159669
OpenAI發表客製化AI服務GPTs
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/blog/introducing-gpts" target="_blank">OpenAI周一（11/6）發表</a>了ChatGPT的客製化版本GPTs，該公司不僅提供了許多客製化ChatGPT的樣本，像是解析所有的桌遊規則、如何談判，或是作為用戶的技術支援顧問等，也鼓勵用戶自行建立客製化ChatGPT，並將它們上傳到GPT Store供其它用戶使用，GPTs即日起支援ChatGPT Plus與ChatGPT Enterprise等付費用戶，並計畫於日後開放給更多用戶使用。</p> <p>OpenAI說明，GPTs讓每個人都能建立特定目的的ChatGPT，像是供公司或家人使用的，或是僅供自己使用的，而且完全不需要撰寫程式，只要給它指令與額外的知識，再賦予它各種能力，例如搜尋網路、製作影像，或者是分析資料等。</p> <p>目前<a href="https://openai.com/chatgpt#do-more-with-gpts" target="_blank">OpenAI所提供的樣本GPTs</a>除了桌遊規則、談判技術、技術支援之外，還包括寫作指導、依據食材制定食譜、製作貼紙或是數學教導等。另外也鼓勵用戶自行設計客製化的ChatGPT。</p> <p>其實<a href="https://www.ithome.com.tw/news/157894" target="_blank">OpenAI今年7月曾推出ChatGPT的客製化指令（Custom Instructions）功能</a>，許多重度用戶因此設計了供自己使用的提示與指令集列表，再將它們複製到ChatGPT以達到個人化的目的，而現在GPTs直接替用戶完成了這些工作。</p> <p>有了GPTs之後，OpenAI也將在本月推出GPT Store，允許任何經過驗證的開發者把自己所設計的GPTs上架與其它用戶分享，亦預設於未來幾個月建立收費機制。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1107-OpenAI%20DevDay-create%20custom%20versions%20of%20ChatGPT-GPTs-4.jpg" style="width: 600px;" /></p> <p>GPTs與ChatGPT最大的差異在於它可連結至真實的世界，像是連至特定的資料庫與電子郵件，並令它成為用戶的購物助理，例如用戶得以整合旅行清單資料庫，連結至電子郵件信箱，以方便執行網路訂購。</p> <p>ChatGPT Enterprise用戶則可建置企業內部的版本，不管是供特定專案、部門或是資料庫使用，有些早期試用者已利用它來設計行銷內容，協助客服回答客戶問題，或是幫助新來的工程師上任。</p> <p>對於ChatGPT Plus用戶來說，此次OpenAI還將所參考的資料日期從2021年9月擴充到2023年4月，且不必切換就能存取DALL·E文字轉圖像模型、執行瀏覽或進行資料分析，也能直接附加檔案以要求ChatGPT搜尋所附上的PDF或其它文件格式。</p> </div></div></div>
2023/11/7 11:03作者陳曉莉https://www.ithome.com.tw/news/159668
Okta對10月遭駭事件完成調查，134位客戶資料被洩漏
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>身分及存取管理服務業者Okta在10月公開確認自家服務遭駭的消息，現在已完成入侵事件調查。<a href="https://sec.okta.com/harfiles">Okta</a>確認攻擊者存取了Okta客戶支援系統內134位客戶相關檔案，其中一些檔案包含對話令牌（Session Token）的HAR（HTTP Archive）檔案，因此被攻擊者用於劫持並控制了5個客戶的Okta對話。</p> <p>Okta在事件發生時，將調查的焦點放在存取支援案例上，並且評估了與這些案例相關的日誌，而後由於Okta的合作夥伴，同為身分管理服務業者的BeyondTrust，提供了一個與攻擊者相關的IP位置給Okta，安全團隊便利用這個線索，確認了與受駭帳戶相關的額外檔案存取事件</p> <p>攻擊者利用Okta系統中的服務帳戶，執行了這次入侵行動，但Okta並無法完全確定服務帳戶的使用者名稱和密碼洩漏的途徑，僅能透過調查結果猜測。被攻擊者竊取的服務帳戶擁有查看和更新客戶支援檔案的權限，Okta針對這個服務帳號的使用狀態進行調查，安全團隊發現一名員工在Okta管理的筆電上，於Chrome瀏覽器登入了個人的Google帳號。</p> <p>也就是說，這個服務帳號的使用者名稱和密碼，被儲存到員工的個人Google帳戶中，Okta認為，是這名員工的個人Google帳戶或是個人裝置遭到入侵，而洩露了儲存在上面的服務帳戶憑證。</p> <p>在為期14天的調查期間，Okta沒有在其日誌中找到可疑的下載行為，Okta資安長David Bradbury解釋，當使用者開啟並查看支援案例相關的附件時，會產生一個特定的日誌事件類型和ID，但如果使用者在客戶支援系統中，直接導航至檔案頁籤，像是這次攻擊者的行為，在日誌事件系統中便會產生完全不同的紀錄ID。</p> <p>這個事件受害者之一的Cloudflare，在事件爆發後，指責Okta沒有採取恰當的措施，導致Cloudflare也受害。根據Okta所揭露的時間軸來看，1Password在9月29日就已經向Okta回報存在可疑的活動，BeyondTrust在10月2日也回報偵測到可疑活動，10月12日更有第3家的客戶向Okta回報。</p> <p>Okta從9月29日開始調查這些可疑活動，但一直到了10月13日BeyondTrust提供了IP線索，Okta才在10月16日鎖定之前未注意到遭竊取的服務帳戶。不過，Okta並沒有及時作出處理，使得Cloudflare在10月18日還被入侵，雖然Cloudflare沒有客戶資料被影響，但攻擊者的確使用竊取到的令牌存取了Cloudflare的系統。</p> <p>目前Okta採取的應對措施，包括停用受入侵的服務帳戶，並阻擋在Chrome登入個人Google帳戶，Okta也在客戶支援系統部署額外的監控規則，另外，現在Okta管理員對話令牌可以綁定網路位置，當系統偵測到網路變更，Okta管理員會被需要重新進行身分驗證，以進一步保護令牌安全性。</p> </div></div></div>
2023/11/7 08:19作者李建興https://www.ithome.com.tw/news/159667
【資安日報】11月6日，濫用企業臉書帳號散布NodeStealer竊資軟體的攻擊行動再度出現，想看裸照的使用者是目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">利用企業臉書帳號來散布竊資軟體<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">NodeStealer的攻擊行動，約莫半年前開始出現，迄今已發生數起。這些攻擊行動的共通點，在於駭客的主要目標，都是鎖定經營企業臉書帳號的使用者，或是想要牟取相關職務的人士。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">但在近期發生的一起攻擊行動裡，駭客改變了攻擊目標，針對一般的使用者下手，在短短10天內就有10萬人上當。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【攻擊與威脅】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bitdefender.com/blog/labs/nodestealer-attacks-on-facebook-take-a-provocative-turn-threat-actors-deploy-malvertising-campaigns-to-hijack-users-accounts/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客透過企業臉書帳號發布惡意廣告，意圖散布惡意軟體NodeStealer</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/AlbumUpdate.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AlbumUpdate.jpg" style="width: 300px; float: right;" /></a>資安業者Bitdefender揭露發生在10月中旬的惡意軟體NodeStealer攻擊行動，他們在10月10日至20日，看到攻擊者運用超過10個遭竊的企業臉書帳號，散布惡意廣告，內容帶有年輕女性的裸露照片，鎖定歐洲、非洲、加勒比海、18至65歲的男性而來，估計1天之內就有1.5萬次下載、這段期間累計下載達10萬次，其中，上當人數最多的族群是45歲以上的男性。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">駭客先是設置多個臉書個人頁面，這些帳號都能顯示上述的裸露照片，然後再假借提供一整組色情圖片的名義打廣告，表明他們更新了相簿內容，或是限時開放下載，引誘使用者上當。一旦使用者點選廣告內容，就有可能從程式碼儲存庫Bitbucket、GitLab，或是雲端檔案共享系統Dropbox下載壓縮檔，其內容包含名為Photo Album的.EXE檔案。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">使用者若是開啟這些執行檔，電腦就有可能被植入以.NET打造的竊資軟體NodeStealer，攻擊者不只能藉此控制受害者的臉書帳號、加密貨幣錢包，這次出現的新版竊資軟體還能入侵Gmail、Outlook帳號，並下載其他惡意程式。值得留意的是，為了避免有人舉報廣告而東窗事發，攻擊者同時最多只會上架5組廣告，並在一天之內就進行切換。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://blog.aquasec.com/loony-tunables-vulnerability-exploited-by-kinsing"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織Kising對雲端環境下手，利用的近期Linux漏洞發動攻擊</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資安業者Aqua Security揭露駭客組織Kising近期的攻擊行動，這些駭客先是透過PHPUnit漏洞CVE-2017-9841（CVSS風險評分9.8）入侵目標環境，成功後下載、執行Perl指令碼bc.pl，使用1337埠啟動反向Shell，然後透過手動測試的方式下達Shell命令，執行研究人員公開的概念性驗證（PoC）Python指令碼gnu-acme.py，確認GNU C程式庫glibc是否存在漏洞Looney Tunables（CVE-2023-4911，CVSS風險評分7.8）。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">接著，駭客觸發另一個PHP攻擊，此為透過混淆處理的JavaScript指令碼wesobase.js，為Web Shell後門程式，具備檔案管理、命令執行、網路互動、伺服器資訊收集、使用者代理（User Agent）等功能，並且能夠對敏感資料進行加解密處理。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">最終攻擊者會試圖列出雲端服務供應商（CSP）相關的帳密資料、Token，包含AWS Security Token Service提供的臨時帳密、EC2執行個體的IAM角色帳密資料，以及執行個體身分識別Token等。研究人員指出，這是他們首度看到該組織試圖收集CSP相關的帳密資料，代表著接下來有可能規畫更多類型的攻擊行動。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.reversinglabs.com/blog/iamreboot-malicious-nuget-packages-exploit-msbuild-loophole"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意NuGet套件濫用MSBuild元件部署惡意程式</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/Blog-Malicious-NuGet-Packages-Fi.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Blog-Malicious-NuGet-Packages-Fi.png" style="width: 300px; float: right;" /></a>資安業者ReversingLabs揭露惡意NuGet套件的攻擊行動，駭客在10月15日開始，透過拼寫錯誤（typosquatting）的手法，陸續上架惡意套件，例如：ZendeskApi.Client.V2、Betalgo.Open.AI、Forge.Open.AI。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">但有別大部分的NuGet惡意套件攻擊行動，這次駭客將惡意功能配置於套件的<packageID>，並指向build資料夾的檔案，而非像其他攻擊行動，多半會將惡意程式碼埋入初始化套件安裝流程的PowerShell指令碼。而這次駭客這麼做的目的，而駭客這麼做，起因在於NuGet今年8月推出的2.5版加入MSBuild的支援，一旦惡意套件執行，就會從外部的IP位址取得可執行檔，並透過新的處理程序執行。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">研究人員指出，這起攻擊行動從今年8月開始出現，駭客於10月中旬改變攻擊手法，針對MSBuild而來，代表攻擊者過程中不斷改良手法，使得行蹤更為隱匿。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bitsight.com/blog/unveiling-socks5systemz-rise-new-proxy-service-privateloader-and-amadey"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">上萬臺電腦遭殭屍網路Socks5Systemz擺布，被用於提供駭客代理伺服器之用</span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資安業者BitSight揭露名為Socks5Systemz的代理伺服器殭屍網路，駭客透過名為PrivateLoader及Amadey的惡意程式載入工具，將殭屍網路機器人注入電腦的記憶體內執行，並設置名為ContentDWSvc的服務，以便持續於受害電腦運作。此機器人酬載為32位元DLL程式庫，大小僅有300 KB，並透過網域產生演算法（DGA）與C2連接，傳送受害電腦的系統資訊。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">研究人員透過駭客利用TCP的1074埠，總共發現了1萬個遭到入侵的電腦，以及53臺用於基礎設施的伺服器，這些伺服器分布於法國、保加利亞、荷蘭、瑞典等歐洲國家。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/okta-breach-134-customers-exposed-in-october-support-system-hack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">10月下旬Okta客戶支援系統遭駭，該公司坦承有134個客戶資料外洩</span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">10月下旬身分驗證業者Okta證實客戶支援系統遭駭，近期該公司揭露受影響的範圍，以及整起事故的發生經過。<a href="https://sec.okta.com/harfiles">11月3日Okta指出</a>，駭客從9月28日至10月17日，對於該公司客戶支援系統進行未經授權的存取，這些外流的資料與134個客戶有關，影響不到1%客戶。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">而對於事件發生的原因，他們認為可能是其中一名員工的Google帳號遭駭所致，該名員工在公司的筆記型電腦上，於Chrome瀏覽器登入自己的Google帳號，並儲存了客戶支援系統的服務帳號及密碼。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">根據Okta透露的事件發生時間表，最早察覺異狀的是密碼管理解決方案業者1Password，他們在9月29日向Okta通報，但直到兩週後，身分驗證業者BeyondTrust於10月13日提供相關IP位址，Okta才確認是他們的客戶支援系統遭駭，並於17日停用前述的服務帳號、終止連線階段（Session），隔日於駭客入侵數個小時後，找出了該系統的漏洞。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【漏洞與修補】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/microsoft/new-microsoft-exchange-zero-days-allow-rce-data-theft-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露Exchange零時差漏洞，有可能被用於遠端執行任意程式碼、洩露敏感資訊</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">上週資安業者趨勢科技旗下的漏洞懸賞專案Zero Day Initiative（ZDI）指出，他們在9月份向微軟通報了4個Exchange零時差漏洞ZDI-23-1578、ZDI-23-1579、ZDI-23-1580、ZDI-23-1581（皆尚未登錄CVE編號），攻擊者在通過身分驗證的情況下，有可能用來遠端執行任意程式碼（RCE），或是洩露敏感資料，CVSS風險評分為7.1至7.5。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">其中最嚴重的是ZDI-23-1578，攻擊者若是成功利用，就有可能取得SYSTEM權限進行RCE攻擊。而對於這些漏洞，研究人員呼籲IT人員採取緩解措施，限制與Exchange應用程式的互動。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">值得留意的是，研究人員通報後，微軟承認這些漏洞的確存在，但是評估沒有立即修補的必要。而在研究人員公開揭露上述零時差漏洞後，該公司再度提出說明，認為ZDI-23-1578已在8月更新修補，其餘漏洞攻擊者必須事先取得電子郵件的帳密資料，不符合該公司立即提供服務的標準，將酌情在後續版本更新進行處理。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【資安產業動態】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159624"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟提出安全未來倡議，預告將翻修內部安全設計</span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月2日微軟揭露未來安全倡議（Secure Future Initiative），將從3個層面推動資安，包含：聚焦以人工智慧（AI）為基礎的資安防禦、強化基礎軟體工程以及宣導更強大的國際規範。這項倡議的其中一項重要支柱是人工智慧，原因是現今最大的網路安全挑戰，就是專業資安人才的嚴重缺乏，再加上攻擊速度、規模、複雜程度加深攻防不對等的情況，導致組織難以全面預防、破壞攻擊行動。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">另一方面，該公司也透露他們內部軟體工程的相關變更，包括軟體開發的轉型，採用新的身分保護，以及加快漏洞回應速度。該公司藉由自動化與AI改變開發方式，採用動態安全開發生命週期（dynamic Security Development Lifecycle），在撰寫程式、測試、部署及運作的過程中，把持續整合與持續交付（CI/CD）的理念延伸為持續整合防護（Continuously Integrate Protections）。再者，他們將加速自動化威脅模型的運用，於商業產品全面利用CodeQL進行程式碼分析，持續擴大C#、Python、Java、Rust等記憶體安全的程式語言採用。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資料來源</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">1. <a href="https://blogs.microsoft.com/on-the-issues/2023/11/02/secure-future-initiative-sfi-cybersecurity-cyberattacks/">https://blogs.microsoft.com/on-the-issues/2023/11/02/secure-future-initiative-sfi-cybersecurity-cyberattacks/</a><br /> 2. <a href="https://www.microsoft.com/en-us/security/blog/2023/11/02/announcing-microsoft-secure-future-initiative-to-advance-security-engineering/">https://www.microsoft.com/en-us/security/blog/2023/11/02/announcing-microsoft-secure-future-initiative-to-advance-security-engineering/</a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【其他新聞】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/ace-hardware-says-1-202-devices-were-hit-during-cyberattack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">跨國聯鎖五金零售業者Ace Hardware系統遭遇網路攻擊，多組人馬蜂擁而至，企圖騙取客戶帳號</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/american-airlines-pilot-union-hit-by-ransomware-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國飛行員聯盟證實遭遇勒索軟體攻擊，部分系統已遭到加密</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.hackread.com/russia-insurer-rosgosstrakh-hacked-data-sold/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯大型保險業者Rosgosstrakh遭駭，駭客兜售400 GB內部資料</span></span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.hackread.com/lego-marketplace-bricklink-hacked-website-down/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">樂高市集BrickLink傳出遭到網路攻擊而被迫關閉，用戶收到勒索訊息</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://arstechnica.com/security/2023/11/flipper-zero-gadget-that-doses-iphones-takes-once-esoteric-attacks-mainstream/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">有人濫用滲透測試裝置Flipper Zero對iPhone展開攻擊</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>近期資安日報</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159633"><strong>【11月3日】訊息導向中介軟體ActiveMQ重大漏洞出現攻擊行動，駭客用於投放勒索軟體HelloKitty</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159609"><strong>【11月2日】伊朗駭客組織利用後門程式Liontail攻擊Windows伺服器，鎖定中東地區的政府機關與金融單位而來</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159586"><strong>【11月1日】研究人員揭露專門供應網路罪犯使用的短網址服務供應商Prolific Puma，駭客經營超過4年未被發現</strong></a></p> </div></div></div>
2023/11/6 17:13作者周峻佑https://www.ithome.com.tw/news/159660
金管會公布新版上雲問答集，更清楚界定上雲申請的重大性和消金業務系統定義
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會近期公布新版委外上雲問答集，詳細說明了重大性定義和消金業務資訊系統定義，並公布了其他經核可的委外項目名單。</p> <p>針對重大性的判斷因素，問答集中也舉例考量項目，包括委外作業成本和委外作業涉及的業務是否具時效關鍵性等。此外，金管會提醒，原不屬於重大委外項目的事項，也可能會在委外服務規模增加、委外事項性質改變，或在同一受委託機構新增委外服務或進行重大變更時，變為具有重大性。</p> <p>而針對消金業務資訊系統定義，則包括消金核心業務系統、信用卡業務系統、金融商品銷售業務系統、消金授信管理系統、電話銀行服務、催收作業管理系統及信託業務管理系統等。其中，消金核心業務系統包含個人客戶存款、放款、匯款業務、相關會計及帳務處理系統，金融商品銷售業務系統則包含各項投資理財業務、客戶關係管理和客戶分級管理系統。</p> <p>此外，涉及重大性消金系統委託至境外除了需要經過核准，也要在境內將客戶重要資料留存備份，例如，存款、授信、信用卡、匯款及投資等客戶重要資料。</p> <p>由於新版上雲辦法開放金融機構在非一般委外項目有首例核定通過時，可以逕行辦理，因此問答集中也公布首例名單，目前有兩項，分別為「企業客戶商務信用卡盜刷監控作業」和「企業客戶洗錢防制交易監控作業」，包括「企業客戶洗錢防制交易監控之判讀作業」及「企業客戶姓名及名稱檢核之判讀作業」。金管會表示，未來也會以修正問答集的方式新增核定的委外作業事項。</p> <p>針對金融機構是否能以雲端業者提供的認證辦理查核報告，金管會開放金融機構在查核雲端服務的資訊底層架構時，可使用雲端業者提供的相關資安認證，來辦理查核報告。不過，金融機構還是要針對委外項目和雲端服務應用情形，以風險基礎方法進行查核並產出報告。</p> <p>此外，雖然金控不適用新版委外辦法，不過，問答集中點出，金控若將彙整子集團資料的資料庫委託至境外雲端，雲端業者應該採取不低於委外管理的資安標準和相關控管，並經過董事會決議通過。若資料庫涉及重大性消金業務，金控須事先函請金管會備查。</p> <p></p> </div></div></div>
2023/11/6 18:49作者李昀璇https://www.ithome.com.tw/news/159666
【資安週報】2023年10月30日到11月3日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一週漏洞利用消息中，有兩個新揭露的已知漏洞隨即遭攻擊者鎖定的消息，持續提醒企業及時修補的重要性。</p> <p>（一）Apache軟體基金會的訊息導向中介軟體ActiveMQ，在10月25日釋出新版修補CVSS風險高達10分的漏洞CVE-2023-46604。相隔兩日，資安業者發現勒索軟體HelloKitty的駭客開始鎖定此一已知漏洞，針對尚未修補該漏洞的企業發起攻擊行動。<br /> （二）F5在10月27日針對應用程式交付平臺BIG-IP修補兩個漏洞，分別是CVE-2023-46747與CVE-2023-46748，到了10月30日，F5更新公告指出，修補釋出後發現開始有攻擊者在攻擊行動中利用這兩個已知漏洞。</p> <p>其他重要漏洞修補消息中，包括適用於K8s環境的Nginx Ingress控制器有多個漏洞修補，以及Atlassian針對DevOps協作平臺Confluence的重大漏洞修補，已有研究人員與業者示警應盡速修補。</p> <p>在資安防禦進展上，本週我們關注到有多個焦點，統整為以下五大範疇：漏洞評分標準、攻擊手法解析、勒索軟體防範、AI安全法規推動，以及科技大廠宣布調整資安應對策略。<br /> ●FIRST推出新版漏洞風險評分系統CVSS 4.0：這是2019年6月CVSS 3.1版推出後的重大改版，新版分數呈現上不只有列出基本分數的CVSS-B，還加上威脅評分的CVSS-BT、加上環境評分的CVSS-BE，以及統合3種分數的CVSS-BTE。<br /> ●MITRE發布第14版ATT&CK：當中指出隨著攻擊者不斷發展對人性弱點（human vulnerabilities）的利用，因此這次版本擴大到這類非技術攻擊面，例如：金融竊盜的T1657、T1656的模擬冒充、T1598.004的魚叉式網路釣魚語音。<br /> ●AI安全持續受全球政府關切：10月30日美國總統拜登簽署首個AI行政命令，11月1日英國號召的首屆AI安全高峰會（AI Safety Summit）舉行，多國簽署布萊切利宣言，並就人工智慧最前線（Frontier AI）所帶來的機會與風險達成共識。<br /> ●對抗勒索軟體威脅仰賴全球合作：美國主導的國際反勒索軟體高峰會（CRI）今年邁入第3屆，制訂首個CRI聯合政策聲明，成員數目亦達到50個，新增國際刑警組織，以及埃及、希臘、約旦等12國。<br /> ●面對持續升溫的網路威脅，微軟宣布即日起將採新應對措施：該公司提出Secure Future Initiative（SFI）的未來安全倡議，將從三大方面著手，發展基於AI的安全防禦、落實安全軟體開發，以及呼籲制定更全面性的國際資安規範。</p> <p>在威脅事件焦點方面，近日有兩起受關注，一是航空製造業龍頭波音證實遭遇網路攻擊，導致零件配送網站服務中斷，另一是身分驗證解決方案業者Okta再傳資料外洩，起因為第三方供應商遭駭。</p> <p>我們也特別注意到一個新的威脅態勢，近期有資安業者揭露網路犯罪供應鏈的分工是越來越細緻，不只是前幾年常提到的「初始入侵管道掮客（Initial Access Broker）」，就連攻擊者使用的短網址也有專門供應商服務，並指出這樣的組織至少已存在4年之久，註冊上萬網域來提供攻擊行動的短網址服務。</p> <p>另一個無法忽略的狀況是，今年早先發生的資安事件，至今仍持續有相關消息傳出，顯示後續影響仍大。例如，近期有多家業者傳出的資安事件，起因公布是先前MOVEit Transfer零時差漏洞攻擊所導致；有加密貨幣竊盜事故，研究人員指出起因疑與先前密碼管理解決方案LastPass資料外洩有關；此外，針對2020年SolarWinds供應鏈攻擊事故，美國證券交易委員指控該公司蓄意隱瞞。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/159548"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月30日】有人在2016年就利用永恆之藍漏洞，打造惡意軟體StripedFly，迄今仍有數萬臺電腦遭到感染</span></strong></a></h3> <p>由美國國家安全局（NSA）掌握的SMB v1漏洞「永恆之藍（EternalBlue）」、於2017年4月被駭客組織影子掮客（The Shadow Brokers）公布，1個月內引發勒索軟體WannaCry大規模感染的事故，但有研究人員指出，有其他駭客也利用這項漏洞打造惡意程式，並暗中活動超過5年，直到今年都還有數萬臺電腦受害。</p> <p>值得留意的是，這些駭客發起惡意軟體攻擊的時間最早可能在2016年4月，比影子掮客聲稱於同年8月竊得相關資料的時間還要早。</p> <h3><a href="https://www.ithome.com.tw/news/159575"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月31日】曝露於GitHub程式庫的帳密資料成為駭客下手的對象！有人從中收集AWS的帳密，將EC2實體拿來挖礦</span></strong></a></h3> <p>過往不斷有研究人員對開發者提出警告，將專案所需存取的帳密資料寫入程式碼，將有可能帶來危害。而最近研究人員發現的挖礦攻擊行動EleKtra-Leak，就是這樣的典型例子，攻擊者從公開的GitHub儲存庫收集AWS帳密資料，再趁機奪取這些用戶花錢租用的EC2執行個體服務進行挖礦。</p> <p>特別的是，駭客利用這些帳號挖礦之後，竟然把它們列入黑名單，這樣的手法可說是相當少見。</p> <h3><a href="https://www.ithome.com.tw/news/159586"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月1日】研究人員揭露專門供應網路罪犯使用的短網址服務供應商Prolific Puma，駭客經營超過4年未被發現</span></strong></a></h3> <p>網路攻擊分工越來越精細，這兩年常出現「初始入侵管道掮客（Initial Access Broker）」，就是專門收集可存取特定組織的帳密資料的角色。但如今，就連攻擊者所使用的短網址，也有專門提供服務的供應商。</p> <p>近期有研究人員揭露名為Prolific Puma的惡意轉址服務供應商，並指出該組織至少經營超過4年未被發現。</p> <h3><a href="https://www.ithome.com.tw/news/159609"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月2日】伊朗駭客組織利用後門程式Liontail攻擊Windows伺服器，鎖定中東地區的政府機關與金融單位而來</span></strong></a></h3> <p>伊朗駭客攻擊中東國家的情況越來越頻繁，最近出現了新的駭客Scarred Manticore，他們主要針對目標組織的Windows伺服器而來。</p> <p>但值得留意的是，這些駭客的惡意程式與C2連線的管道相當特別，竟是透過作業系統底層的驅動程式來進行，這種手法使得受害組織難以察覺他們的攻擊行動。</p> <h3><a href="https://www.ithome.com.tw/news/159415"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月3日】訊息導向中介軟體ActiveMQ重大漏洞出現攻擊行動，駭客用於投放勒索軟體HelloKitty</span></strong></a></h3> <p>前幾天ActiveMQ漏洞修補消息一出，當時有研究人員認為後續可能會引發危機，因為此軟體在企業環境做為訊息代理的角色，一旦漏洞遭到利用，將有可能導致訊息遭到攔截、工作流程中斷、資料外流，甚至能讓攻擊者在內部網路環境進行橫向移動。</p> <p>現在有資安業者證實這樣的情況，並指出駭客想要發動勒索軟體攻擊，來向企業組織進行勒索。</p> <p>值得留意的是，駭客在修補程式發布的兩天後就開始進行漏洞利用，這也代表組織緩解漏洞的態勢相當險峻。</p> <h3> </h3> <h3> </h3> </div></div></div>
2023/11/6 12:30作者羅正漢https://www.ithome.com.tw/news/159646
Google揭露Play上首批通過獨立安全稽核的VPN程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2023/11/more-ways-for-users-to-identify.html" target="_blank">Google上周揭露了</a>Google Play上首批通過行動程式安全評估（Mobile App Security Assessment，MASA）的<a href="https://appdefensealliance.dev/directory?category=vpn&hl=zh-tw" target="_blank">8款VPN程式</a>，這些程式的資料安全項目中皆已出現MASA標章，而且使用者於Google Play上搜尋VPN程式時，Google還特別替這些通過獨立安全稽核的VPN程式祭出了橫幅廣告，提高其曝光度。</p> <p>為了強化行動程式的安全性，Google在2019年11月<a href="https://www.ithome.com.tw/news/134075" target="_blank">籌組了應用程式防護聯盟</a>（App Defense Alliance），與資安業者結盟以快速尋找Google Play上的有害程式並阻止其發布，該聯盟也在2022年初推出MASA，鼓勵開發者主動提交自己的行動程式，基於OWASP行動程式安全驗證標準（MASVS）進行獨立安全稽核，通過稽核的程式即可獲得MASA標章。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1106-Google%20play-VPN-Independent%20security%20review-%E7%8D%A8%E7%AB%8B%E5%AE%89%E5%85%A8%E6%80%A7%E5%AF%A9%E6%9F%A5.png" style="width: 400px;" /></p> <p>或許是推動MASA的成效不彰，上周Google宣布將透過橫幅廣告來突顯那些取得MASA標章之特定領域的程式，首作即是處理大量且敏感用戶資料的VPN程式。</p> <p>一旦使用者於Google Play上搜尋VPN程式，率先映入眼簾的除了贊助式廣告之外，就是寫著「獨立安全稽核」（Independent Security Review）的橫幅廣告，點擊更多資訊（Learn More）之後便可直接連結至一個目錄，聚集了所有具備MASA標章的VPN程式。</p> <p>目前已取得MASA標章的VPN程式包括Aloha Browser + Private VPN、ExpressVPN、Google One、NordVPN、Private Internet Access VPN、SkyVPN、Tomato VPN與vpnify，而它們所通過的安全稽核涉及架構與設計、資料儲存與隱私、密碼的使用、身分驗證與會話管理、網路通訊、平臺互動及程式碼品質等。</p> <p>根據<a href="https://appdefensealliance.dev/masa/faq?hl=en" target="_blank">MASA的說明網頁</a>，審核一個程式大約需要10天，費用依據不同的實驗室而可能落在3,000至6,000美元之間，MASA標章的期限則是一年。</p> </div></div></div>
2023/11/6 13:01作者陳曉莉https://www.ithome.com.tw/news/159652
研究人員使用錯誤中學習的人類學習法來訓練AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟亞洲研究院、北京大學、西安交通大學<a href="https://arxiv.org/abs/2310.20689" target="_blank">研究人員提出名為從錯誤中學習（Learning from Mistake，LeMA）的AI訓練方法</a>，模仿人類學習知識的過程，來改進AI推理能力。</p> <p>現今大型語言模型在自然語言處理（NLP）任務，特別是解決需要複雜思維鏈（chain-of-thought，CoT）推理的數學難題任務，例如OpenAI GPT-4和Google PaLM-2在一些數學題目資料集如GSM8K及MATH都有不錯表現。但開源LLM如LLaMA-2及Baichuan-2等則有待加強。為了提升開源LLM的CoT推理能力，研究團隊提出LeMA方法。這種方法是模仿人類，像是學生解決數學習題的過程：他們使用的是回溯式學習，即從錯誤中學習，以改進其推理能力。</p> <p>因此，研究人員的方法是生成一對包含錯誤與修正版資料的資料對（稱為修正資料），再以此資料來微調LLM。為取得修正資料，研究人員蒐集了5個不同LLM（包括LLaMA及GPT系列）的錯誤答案和推理途徑，再以GPT-4為「訂正者」提供修正。修正包含三類資訊，分別是辨識出原有推理的錯誤步驟、解釋推理為什麼錯，最後修正錯誤、以及說明如何修正原方法以獲得最後正確答案。之後由人類評估夠好的修正答案再用以微調LLM。</p> <p class="rtecenter"><a href="https://arxiv.org/abs/2310.20689v1" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1106-LEMA-AI%20learning%20method-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-arXiv-A.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><a href="https://arxiv.org/abs/2310.20689v1" target="_blank"><span style="color:#696969;">圖片來源_arXiv:2310.20689 [cs.CL]</span></a></span></p> <p>研究人員以2種問題資料集（GSM8K及MATH）實驗LeMa方法對5個開源LLM的效果，並比較只以CoT資料集來微調LLM的效果。結果顯示，以LLaMA-2-70B為例，它在兩種方法下，在GSM8K的準確率分別為83.5%及81.4%，在MATH則分別為25.0%及23.6%。此外，他們也實驗了WizardMath及MetaMath二種專門領域LLM的準確率，在GSM8K資料集測試中，獲致84.2%及85.4% pass@1 準確率，而MATH資料集則達27.1%及26.9%，這個成績超越非執行（non-execution）開源模型在同樣任務中的表現。</p> <p>此外，他們發現，在同樣資料量的訓練集下，LeMA方法也比純CoT微調來得好。此外，整合CoT資料及修正資料，微調效果更優於單一資料來源的微調結果。</p> <p>研究人員已將LeMA的程式碼、模型、資料<a href="https://github.com/microsoft/CodeT" target="_blank">公開在GitHub上</a>。</p> </div></div></div>
2023/11/6 11:27作者林妍溱https://www.ithome.com.tw/news/159648
NFT市集OpenSea裁員50%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>曾經盛極一時的全球最大NFT市集<a href="https://twitter.com/dfinzer/status/1720516605933756514" target="_blank">OpenSea上周宣布</a>將縮減組織並朝向OpenSea 2.0邁進，而根據<a href="https://decrypt.co/204371/opensea-slashes-nft-marketplace-staff-50-layoffs" target="_blank">《Decrypt》</a>的報導，OpenSea裁撤了50%的員工。</p> <p>2017年創立的OpenSea為非同質化代幣（Non-Fungible Token，NFT）的交易平臺，根據<a href="https://dappradar.com/dapp/opensea?range-ha=all" target="_blank">DappRadar</a>的追蹤資料，OpenSea的交易高峰出現在2022年1月，當時該平臺每天促成逾10萬次交易，交易金額超過1億美元，<a href="https://www.ithome.com.tw/news/148738" target="_blank">當時增資的市值</a>估價高達133億美元，但同年OpenSea便隨著NFT的熱潮褪去而開始走下坡，到了去年底，其單日交易量已不到1萬次，交易金額更萎縮至低於50萬美元。</p> <p><a href="https://www.ithome.com.tw/news/151959" target="_blank">去年7月</a>OpenSea便曾裁撤20%員工，這次再縮編50%，員工人數估計只剩100人左右。</p> <p>OpenSea創辦人暨執行長Devin Finzer表示，現在OpenSea打算重新構想該公司的經營文化、產品與技術，將以OpenSea 2.0為中心來重新定位團隊，企圖大幅升級產品，包括底層的技術、可靠性、速度、品質與經驗，未來也將持續公開測試OpenSea 2.0。</p> </div></div></div>
2023/11/6 11:41作者陳曉莉https://www.ithome.com.tw/news/159650
X公布AI聊天機器人Grok，強調比別人有幽默感，什麼問題都回答
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>原名推特的X正式加入了聊天機器人戰局，<a href="https://x.ai/" target="_blank">上周宣布聊天機器人Grok開放美國用戶試用</a>，強調Grok的回應具有別的聊天機器人沒有的幽默感，而且別人拒絕回答的問題，它也會回答。</p> <p>X技術長暨幕後老闆<a href="https://twitter.com/elonmusk/status/1720645900471554146" target="_blank">馬斯克（Elon Musk）上周五公布</a>Grok已經結束早期Beta測試，<a href="https://twitter.com/elonmusk/status/1720635518289908042" target="_blank">Grok未來會提供給月費16美元的X Premium Plus訂閱戶</a>，且Grok將以內建在X App及獨立App兩種形式出現。</p> <p>目前Grok提供美國地區部分用戶測試。有興趣的用戶可先加入<a href="https://grok.x.ai/" target="_blank">等候清單</a>。</p> <p>根據X介紹，Grok靈感來源是英國作家Douglas Adams的科幻小說《銀河便車指南》（Hitchhike’s Guide to the Galaxy），企圖回答所有問題，甚至提供建議。Grok相較其他模型的一大優勢是可以從X平臺存取即時資訊。此外，X作為聊天機器人的後進者，不只滿足於提供精確資訊，而是在其回應中加入一點機智及不羈精神，強調帶有幽默感。它甚至連大部分AI系統拒絕回答的辛辣問題也都會回答。</p> <p class="rtecenter"><a href="https://twitter.com/elonmusk/status/1720660977786433810" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1106-X-chatbot-Grok-600.png" style="width: 600px;" /></a></p> <p><a href="https://twitter.com/elonmusk/status/1720660977786433810" target="_blank"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源_Elon Musk via X</span></span></a></p> <p>這也是馬斯克<a href="https://www.ithome.com.tw/news/156198" target="_blank">年初簽署一份宣言</a>，呼籲OpenAI等業者暫停開發進階AI語言模型，及<a href="https://www.ithome.com.tw/news/157758" target="_blank">7月宣布旗下AI公司xAI</a>後，這位科技大亨對AI的投入成果。</p> <p>Grok底層大型語言模型Grok-1，是<a href="https://www.ithome.com.tw/news/157758" target="_blank">xAI團隊</a>四個月訓練的結果。xAI 7月問世後，團隊就訓練330億個參數的原型LLM Grok-0，強調僅用了Meta LLaMA 2一半的訓練資源就達到其能力。9月份xAI就完成了Grok-1的訓練，它在標竿測試HumanEval編程任務及MMLU中，分別達到63.2%及73%。</p> <p>X引用GSM8k、MML、HumanEval、MATH的四項標竿測試數據，顯示Grok-1表現都超越OpenAI的GPT-3.5，及Inflection-1，4項測試都比它優異的只有訓練資料及資源都大得多的GPT-4。不過Google Palm2及Anthropic Claude 2也都在3個項目中超越Grok-1。</p> <p>X強調Grok-1訓練過程以明確而可驗證的情境來發展理解力，以確保AI模型的安全性、穩定性，現在也具理解上下文（context）能力以提供相關答案，不過目前只支援文字輸入／輸入。團隊目前正在強化Grok-1應需求發現及檢索資訊、防止惡意濫用的能力，以及視覺及聲音輸出／輸入的支援能力。X公司說新功能會於未來幾個月內陸續公布。</p> </div></div></div>
2023/11/6 11:59作者林妍溱https://www.ithome.com.tw/news/159651
Google將推Android新API強化嵌入式媒體信任驗證機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布將推出一項新的實驗性<a href="https://android-developers.googleblog.com/2023/11/increasing-trust-for-embedded-media.html">Android WebView Media Integrity API</a>，此API的主要功能，是要簡化並加強現有嵌入式媒體信任機制。媒體供應商可以透過自訂一系列完整性回應，讓嵌入應用程式安裝自任意應用商店的情況下，都能確保串流媒體可以在安全且受信任的環境中運作。</p> <p>這個新API是Google之前的網頁環境完整性（Web Environment Integrity）提案的後續，而之所以Google會有這一系列動作，原因在於要改善Android WebView API在安全性和隱私性的問題。Android開發人員要在其應用程式中顯示網頁並嵌入媒體，便可以使用WebView API，藉由靈活的UI控制和進階配置選項，開發者可以在應用程式無縫地顯示網頁內容。</p> <p>雖然這帶來很大的靈活性，但Google提到，這個方法可能被濫用，甚至用於詐騙目的。因為WebView API讓開發人員可以存取網路內容，並攔截或是修改與使用者的互動，雖然當應用程式嵌入自有網頁內容時非常方便，但是當嵌入的資源來自第三方，就無法阻擋不良行為者修改內容，並扭曲與使用者的互動。</p> <p>在7月的時候，Google Chrome團隊提出網頁環境完整性API提案，允許網站透過數位簽證令牌，用以確認客戶端的硬體和軟體堆疊符合特定標準，雖然目的也是要讓網路變得更加隱私且安全，但是API提案一出，便引來社群強烈反彈，因為該提案內容與數位版權管理（DRM）有許多相似之處，普遍被認為可能限制通用運算，並且對網路的開放性造成威脅。</p> <p>而Google在聽取社群意見之後，決定放棄網頁環境完整性提案，並且改提出Android WebView Media Integrity API。相較之下，新API範疇更為限縮，僅針對應用程式中嵌入的WebView，透過擴展現有功能，在具有Google行動服務（GMS）的Android裝置上，針對像是串流影片和音訊等嵌入式媒體，沒有計畫擴及Android WebView之外的範疇和平臺。</p> <p>新API使嵌入式媒體提供者能夠自訂完整性回應，以便確保串流媒體能夠在安全且受信任的環境中運作。判斷依據來自於應用程式和裝置的後設資料，但其中不會包含使用者或是裝置識別碼，而且與使用Play Integrity API的應用程式和遊戲不同，媒體供應商不會獲得應用程式的Play授權狀態，並且應用程式還可以選擇在判定結果中排除套件名稱，也就是其提供一種隱私機制，讓開發人員選擇隱藏應用程式的名稱，保護隱私安全。</p> <p>官方提到，制定這項API的目標是要維持Android應用程式中，多樣化的媒體內容生態系。Google預計在明年啟動Android WebView Media Integrity API早期存取計畫。</p> </div></div></div>
2023/11/6 08:48作者李建興https://www.ithome.com.tw/news/159627
VS Code Python擴充套件棄用內建程式碼檢查和格式化功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在<a href="https://devblogs.microsoft.com/python/python-in-visual-studio-code-november-2023-release/">VS Code的Python擴充套件2023年11月版本</a>，加入了一些新功能和改進，包括改進以Shift+Enter快捷鍵在終端機發送程式碼的行為，並棄用內建的程式碼檢查（Linting）和格式化功能，同時也更新了Python檢查擴充套件。</p> <p>在這次更新中，Python擴充套件改善程式碼發送到Python REPL互動式直譯器的行為，特別是當開發者沒有明確選擇所要執行的程式碼區塊。過去，當開發者將游標放在Python程式碼行上並按下Shift+Enter，就算程式碼會執行失敗，Python擴充套件還是會將該行的內容直接發送到REPL。</p> <p>而微軟新開發的智慧發送功能，現在會讓Python擴充套件，聰明地發送游標所在位置附近最小可執行程式碼區塊，確保只有完整和可執行的程式碼會被送到REPL，而之後游標也會自動定位到下一個可執行程式碼行，方便開發者迭代執行多個程式碼區塊。</p> <p>微軟持續改進VS Code檢查和格式化擴充套件，將Python擴充套件中的檢查功能轉移成獨立擴充套件，而現在微軟宣布棄用Python擴充套件中的檢查和格式化功能，官方建議開發者盡快移除這些過時設定，並且改用新的檢查和格式化擴充套件。</p> <p>官方同時也對Python檢查擴充套件進行多項改進，讓配置更加靈活，像是Pylint、Mypy和Flake8擴充套件讓開發者可以透過設定，指定想要排除檢查的檔案，另外，這些擴充套件也支援CWD（Current Working Directory）設定，供開發者指定檢查器的工作目錄。</p> </div></div></div>
2023/11/6 08:50作者李建興https://www.ithome.com.tw/news/159638
中東政府機關、金融單位遭伊朗駭客組織鎖定，利用IIS後門程式Liontail攻擊伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Check Point與Sygnia聯手，<a href="https://research.checkpoint.com/2023/from-albania-to-the-middle-east-the-scarred-manticore-is-listening/">調查伊朗駭客組織Scarred Manticore的攻擊行動</a>，這些駭客鎖定中東地區國家，包含沙烏地阿拉伯、阿拉伯聯合大公國（UAE）、約旦、科威特、阿曼、伊拉克、以色列，主要目標是政府機關、軍事單位、電信業者，但也有IT服務供應商、金融業者、非政府組織遭到攻擊。</p> <p>多年來，這些駭客利用各種針對IIS網頁伺服器的後門程式，以及多種自製的Web Shell、DLL後門程式、或者以驅動程式打造的惡意軟體來發動攻擊。而對於攻擊者的身分，研究人員認為，Scarred Manticore很可能與名為Storm-0861的新興駭客組織有密切交集，此為去年攻擊阿爾巴尼亞政府的4個伊朗駭客組織其中之一。但他們也指出，這些駭客與伊朗駭客組織OilRig（亦稱APT34、Europium、Hazel Sandstorm）也有一定程度的關聯。</p> <p>在最新的攻擊行動裡，研究人員看到駭客散布名為Liontail的惡意程式框架，先是尋找目標組織曝露於網際網路的Windows伺服器，透過DLL搜尋順序挾持（DLL Search Order Hijacking）或是可執行檔的方式，部署後門程式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/LionTail_scheme.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/LionTail_scheme.png" style="width: 581px;" /></a></p> <p>此惡意程式框架的元件，由Shell Code載入程式，以及在記憶體常駐的Shell Code酬載組成，其中一個元件就是以C語言編寫的後門程式Liontail，此為檔案很小、但功能相當複雜的被動後門程式，駭客為其設置一組URL監聽名單，攻擊者一旦向這些網址發送請求，此後門程式就會執行當中挾帶的惡意酬載。</p> <p>其中，比較特別的是，在DLL搜尋順序挾持的攻擊過程當中，駭客鎖定Windows Server作業系統缺乏的DLL檔案，如wlanapi.dll、wlbsctrl.dll，將後門程式命名為上述DLL檔案名稱，然後再透過Windows檔案總管或其他的處理程序，或是將某些預設停用的服務啟用，載入DLL程式庫型態的後門程式。</p> <p>在攻擊者將後門程式命名為wlbsctrl.dll的情況，他們會在名為IKE and AuthIP IPsec Keying Modules的服務啟動時載入DLL檔案，此時攻擊者會將可延伸驗證通訊協定（EAP）開啟。</p> <p>若是後門程式以可執行檔的型態進行部署，駭客會將其假冒為Palo Alto Networks的資安產品Cortex XDR元件Cyvera Console。</p> <p>研究人員指出，此後門程式與C2進行通訊的做法較為罕見，駭客利用IOCTL（Input and Output Control）介面，直接與底層的驅動程式HTTP.sys進行互動來達成，由於這種方式不透過IIS或HTTP的API，不僅資安防護系統無法監控，也不會留下任何事件記錄。研究人員強調，由於HTTP.sys的IOCTL沒有相關資訊可供參考，攻擊者必須進一步研究才能找到具體的方法，因此駭客採用上述的通訊手法隱匿攻擊行動，並非易事。</p> <p>類似這種隱匿後門流量的攻擊行動，還有<a href="https://www.ithome.com.tw/news/158872#HTTPSnoop">思科威脅情報小組揭露的ShroudedSnooper</a>，駭客利用名為HTTPSnoop的後門程式，攻擊中東地區的電信業者。</p> <p>除了可執行檔，研究人員也發現Liontail的Shell Code載入工具，此程式以Web Shell為基礎打造而成，他們比對該載入工具與後門程式，發現採用的Shell Code架構及參數完全相同，由此推測駭客的攻擊工具是規模較大的框架，上述兩種惡意程式都是其中的元件，代表攻擊者可根據攻擊行動的需求，動態產生惡意程式載入器及酬載。</p> <p>研究人員也發現在Liontail之外，這些駭客也打造了其他工具。例如，專門鎖定Exchange伺服器而來的Lionhead，這是網路流量轉送器（Web forwarder），攻擊者也利用類似的DLL挾持手法，於受害伺服器進行部署，並利用雷同的轉送方法，將流量導向使用Exchange網頁服務（EWS）的端點。</p> </div></div></div>
2023/11/5 13:15作者周峻佑https://www.ithome.com.tw/news/159641
北韓駭客組織Lazarus針對Mac電腦下手，散布惡意程式Kandykorn
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Elastic旗下的安全實驗室<a href="https://www.elastic.co/security-labs/elastic-catches-dprk-passing-out-kandykorn">揭露北韓駭客Lazarus的攻擊行動</a>，研究人員看到駭客鎖定加密貨幣交易平臺的區塊鏈工程師，散布macOS惡意程式Kandykorn。</p> <p>攻擊者先是在公開的Discord伺服器佯稱區塊鏈工程師，利用社交工程手法，提供加密貨幣套利機器人（arbitrage bot），引誘目標人士下載帶有惡意程式碼的ZIP壓縮檔。一旦目標人士執行其中的Main.py指令碼，就有可能導致電腦被植入惡意程式。</p> <p>乍看之下，這個指令碼沒有惡意內容，似乎執行的是普通的功能，只是將其他的Python指令碼當作模組導入，然而研究人員分析watcher.py指令碼內容，發現攻擊者的意圖。</p> <p>在整個攻擊鏈當中，Main.py會觸發另一個指令碼watcher.py，然後從雲端檔案儲存服務Google Drive下載testSpeed.py，而這個指令碼再從另一個Google Drive網址取得名為FinderTools的Python檔案。FinderTools下載、執行惡意酬載Sugarloader，最終連線遠端伺服器取得Kandykorn，並於記憶體內執行。此後門程式具備列出受害電腦存放的檔案、執行惡意程式或命令、洩漏資料、終止處理程序的功能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Kandykorn-image31.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Kandykorn-image31.png" style="width: 580px;" /></a></p> <h3><strong>惡意程式載入工具Sugarloader在攻擊流程扮演關鍵角色</strong></h3> <p>值得一提的是，駭客使用的惡意酬載Sugarloader，先後以不同的檔案名稱.sld和.log出現於攻擊流程。</p> <p>駭客利用打包程式進行混淆處理，導致採用靜態分析做法的資安系統，能夠解析的程式較為有限。研究人員發現對方在程式碼當中，利用含有跳轉（JMP）的起始函數，將標頭指定到尚未定義的記憶體位址，然後於記憶體內解壓縮可執行檔。由於對方利用了這種手法，截至研究人員揭露這起攻擊行動的時候，惡意軟體分析平臺VirusTotal所有的防毒引擎皆將Sugarloader視為無害。</p> <p>這個惡意程式的主要功能之一，就是從C2下載Kandykorn的有效酬載。根據研究人員的分析，駭客同時設置了C2的備援IP位址，以防主要伺服器無法存取的情況。一旦此惡意程式的設定組態載入記憶體並解密，就會建立與遠端伺服器的連線並取得Kandykorn，並透過反射式載入（Reflective Binary Loading）手法，濫用NSCreateObjectFileImageFromMemory、NSLinkModule等API，在特定處理程序所使用的記憶體區域當中，執行惡意酬載。</p> <p>而為了能夠持續在受害電腦運作，駭客也透過Sugarloader建立名為Hloader的惡意程式，並將其偽裝成Discord主程式，同樣地，VirusTotal所有的防毒引擎也將該惡意程式視為無害。</p> <p>過程中，攻擊者運用了相當罕見的手法，研究人員稱為執行流程挾持（Execution Flow Hijacking）。攻擊者鎖定通常會隨著電腦開機啟動的即時通訊軟體Discord，而使用載入程式Hloader的目的，就是同時啟動Discord執行檔與.log酬載（即Sugarloader的另一個型態）。</p> <p>具體而言，攻擊者會將原本的Discord主程式更名，並以Hloader替代、執行，載入.log，讓此可執行檔在記憶體內運作，完全不會寫入磁碟。之後，再將Discord主程式、Hloader改回原本的檔案名稱。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Kandykorn-image33.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Kandykorn-image33.png" style="width: 580px;" /></a></p> </div></div></div>
2023/11/5 13:22作者周峻佑https://www.ithome.com.tw/news/159642
AI趨勢周報第233期：7月開始訓練33B語言模型，馬斯克揭露xAI首款Chatbot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1027～1102)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Grok </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Chatbot </span></strong></span></p> <p><span style="font-size: 22px;"><strong>今年7月開始訓練33B語言模型，馬斯克揭露xAI首款Chatbot</strong></span></p> <p>馬斯克日前揭露旗下xAI公司的首款產品Grok，是一款類似ChatGPT的聊天機器人，主打能幽默回應使用者、與使用者產生共鳴。<a href="https://twitter.com/xai/status/1721027348970238035">xAI也在X平臺上說明</a>，Grok能透過X平臺獲取即時資訊，來回答使用者問題，還能回答其他AI系統拒絕回答的辛辣問題。馬斯克表示，Grok目前還在初期測試階段，未來將提供給X Premium+訂閱戶使用。</p> <p>xAI在官網指出，公司自今年7月成立後，就開始訓練一個330億參數的語言模型Grok-0。該模型在標準的語言模型基準測試中，表現與700億參數的Llama 2相當，但只使用了一半的訓練資源。接著，在過去2個月裡，團隊又提高模型的推理和寫程式能力，最終產出Grok-1模型。</p> <p>這個Grok-1功能更強大，在HumanEval基準測試的寫程式任務中拿下了63.2%成績，僅次於70%的Claude 2和67%的GPT-4。而在多學科多重選擇題的MMLU基準測試中，Grok-1拿下了73%，僅次於GPT-4、PaLM 2和Claude 2。xAI說明，為打造Grok，他們還建立了基於K8s、Rust和JAX的自定義訓練和推論堆疊，而且，為確保GPU不發生故障，團隊採用一組客製化的分散式系統，能立即辨識、自動處理每種故障，如配置不正確、記憶體晶片效能下降等。這個方法，讓xAI在過去幾個月裡，大幅減少停機時間，並保持高度的模型浮點運算利用率（MFU），就算在硬體不可靠的情況下依然如此。接下來，他們要繼續優化模型能力，包括用數萬個加速器來訓練模型、執行網際網路等級的工作管線，以及開發Grok新功能和新工具等。<a href="https://x.ai/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202023-11-05%20at%206_50_34%20PM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> RedPajama </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料集 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>專為LLM設計，具30兆Token的開源資料集來了</strong></span></p> <p>最近，AI新創公司Together.ai開源釋出第二代LLM訓練資料集RedPajama-Data-v2，共有30兆個Token，要用來強化語言模型訓練品質。該資料集包含2大部分，一是從開源網路爬蟲資料集CommonCrawl的84個轉存（Dumps）中精挑細選，將原本100多兆個Token過濾、剔除重複的資料，保留30兆個Token，涵蓋英語、法語、西班牙語、德語和義大利語等5種語言，但未包含中文。另一部分是40多個預運算的資料品質註釋，可用於進一步的過濾和權重，提高資料集的實用性。</p> <p>早在今年3月，該新創就釋出5TB的高品質英語標記資料集RedPajama-1T，半年多來累積了19萬次下載量。這次，他們進一步開源涵蓋5種語言的資料集，號稱是目前最龐大的LLM訓練資料集，同時在GitHub和HuggingFace上提供所有數據。<a href="https://github.com/togethercomputer/RedPajama-Data">（詳全文）</a></p> <p><img alt="" src="https://github.com/togethercomputer/RedPajama-Data/raw/main/docs/rpv2.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 行政命令 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 風險 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 安全 </span></strong></span></p> <p><span style="font-size:22px;"><strong>拜登簽署美國首個AI行政命令</strong></span></p> <p>美國總統拜登10月30日簽署了AI行政命令，提出8項行動目標，包括建立AI安全新標準、保護人民隱私、促進公平與公民權利、支持勞工、推動創新與競爭、提升美國在海外的領先地位，以及保障消費者、病患和學生，還有確保政府負責任及有效使用AI。</p> <p>其中，建立AI安全新標準列舉許多重點工作，首先是要求AI系統開發者，與美國政府分享其AI安全測試結構和其他重大資訊，再來是要發展各式標準、工具和測試方法，來確保AI系統的可靠性。此外還包括制定標準，來監控生物合成，避免不法人士用AI設計出危險的生物材料。不只如此，美國政府也要建立分辨AI生成內容與官方內容的偵測機制和實作方法，最後則是開發AI工具，來找出和修補重大軟體的安全漏洞。<a href="https://www.whitehouse.gov/briefing-room/statements-releases/2023/10/30/fact-sheet-president-biden-issues-executive-order-on-safe-secure-and-trustworthy-artificial-intelligence/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Jina AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 文字嵌入 </span></strong></span></p> <p><span style="font-size:22px;"><strong>與OpenAI同等級！Jina AI開源第2代文字嵌入模型</strong></span></p> <p>德國AI新創Jina AI開源自家第2代文字嵌入模型jina-embeddings-v2，可處理多達8,192個token的文長。而且，經大規模文字嵌入基準（Massive Text Embedding Benchmark）測試評估，該模型排名第17，與商用OpenAI text-embedding-ada-002的第15名相差無幾。而且在分類、重新排序、檢索和摘要生成等自然語言處理任務中，該模型表現比OpenAI的模型還要好。</p> <p>jina-embeddings-v2能處理8,192個token是一大進展，代表模型可應用的領域更廣，像是分析法律文件、更細緻地捕捉文件中細節，或從財務報表中解析關鍵資訊、進行財務預測，也能用於對話機器人，來處理複雜的用戶查詢。目前，使用者可從Huggingface免費下載jina-embeddings-v2模型，包括2種版本，一是針對學術研究或商業分析等高準確性需求設計的，大小為0.27 GB的基礎模型，另一是適用於輕量級應用程式，能整合行動應用程式或運算資源有限裝置的小型模型，容量只有0.07 GB。<a href="https://jina.ai/news/jina-ai-launches-worlds-first-open-source-8k-text-embedding-rivaling-openai/">（詳全文）</a></p> <p><img alt="" src="https://jina-ai-gmbh.ghost.io/content/images/size/w1600/2023/10/Screenshot-from-2023-10-23-17-41-40.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 風險 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Preparednes </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI設立專屬團隊，要評估通用AI災難性風險</strong></span></p> <p>OpenAI最近宣布要建立Preparedness團隊，來評估通用AI可能造成的災難性風險，並由麻省理工學院的可部署機器學習中心主任Aleksander Madry主導。這些風險涵蓋個人化說服、網路安全、化學/生物/放射性/核（CBRN）威脅，以及自主複製與適應（ARA）。其中，個人化說服指的是以AI建立的個人化內容，來影響個人的行為、觀點或決策；至於ARA則指AI系統具自我複製與演進能力，使它脫離人類控制，或產生非預期目標。</p> <p>Preparedness團隊將針對各種前沿模型，評估模型能力與紅隊測試，並制定開發及維護風險意識發展政策（RDP），闡述該團隊所開發的模型能力評估與監控方法，還要建立模型治理架構。OpenAI已開始招募不同背景人才加入Preparedness團隊，同時推出AI Preparedness挑戰賽，鼓勵參賽者設想自己是駭客，在可無限制地存取OpenAI模型時，有哪些可造成災難的獨特使用情境。<a href="https://openai.com/blog/frontier-risk-and-preparedness">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 抓漏 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 提示攻擊 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google公布AI抓漏獎勵範圍，新添生成式AI類別</strong></span></p> <p>日前，Google宣布擴大AI系統抓漏獎勵計畫，要進一步納入生成式AI。進一步來說，Google認為，相較於傳統的安全漏洞，生成式AI有著不同問題，如不公平偏見、模型操縱或資料誤解。隨著Google日益將生成式AI整合到產品中，內部團隊正全面預測和測試其潛在風險，同時也想藉外部研究者協助，來找出新漏洞並解決問題。</p> <p>其實，Google本來就有AI抓漏獎勵計畫，其類別包括提示攻擊、訓練資料汲取、操縱模型、對抗性擾動，以及模型竊取等，凡是利用提示來影響模型的行為或輸出，重建或汲取包含敏感資訊的訓練資料，得以改變模型行為，或可竊取模型權重與結構等關鍵資訊的安全漏洞，都在獎勵之列。<a href="https://security.googleblog.com/2023/10/googles-reward-criteria-for-reporting.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MLCommons </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 安全 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span></p> <p><span style="font-size:22px;"><strong>MLCommons成立AI安全工作組</strong></span></p> <p>開放工程聯盟MLCommons最近成立人工智慧安全（AIS）工作組，要建立一個平臺，來讓貢獻者組成測試池，支援各種用例的AI安全基準。該工作組初期將使用史丹佛大學的HELM框架，作為大型語言模型開發安全基準。</p> <p>MLCommons是一個開放協作生態系，目的在於推動機器學習的發展和應用，並發展基準測試、最佳實踐、資料集和各種共享資源上。MLCommons的新平臺將提供一個機制，讓使用者從測試池中選擇基準測試，也能將輸出整合成容易理解的分數，來對AI系統安全性評級。該平臺的近期重點，在於支援嚴謹、可靠的AI安全測試技術發展。此外，AIS工作組也計畫，將內部用於AI安全測試的技術公開，與MLCommons社群共享。<a href="https://mlcommons.org/en/news/formation-ai-safety-working-group/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 聯合國 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI顧問組織 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 治理 </span></strong></span></p> <p><span style="font-size:22px;"><strong>聯合國成立AI顧問組織</strong></span></p> <p>聯合國日前成立AI顧問組織，來研究AI技術風險和機會，以及全球治理方向。該組織由聯合國秘書長António Guterres發起，招攬了全球39名專家，預計要在今年底前，針對AI的風險、挑戰、機會，以及如何利用AI來加速永續發展目標（SDGs）等議題提出建議。</p> <p>Guterres指出，AI顧問組織是全球AI治理的起點，來盡可能為所有人帶來利益，同時遏制風險。但這也取決於AI是否被負責任地利用，以及是否所有人都能使用，因為，目前相關專業知識集中在少數公司和國家，這很可能深化全球不平等，使數位落差成為鴻溝。而這個組織，可望解決這些問題。<a href="https://news.un.org/en/story/2023/10/1142867">（詳全文）</a></p> <p>圖片來源／xAI、Together.ai、Jina AI</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI趨勢近期新聞 </span></strong></span></p> <p><strong>1. <a href="https://www.ithome.com.tw/news/159612">DeepMind發布新版AlphaFold模型，可精準預測生物分子結構加速藥物開發</a></strong></p> <p><strong>2. <a href="https://www.ithome.com.tw/news/159573">PChome揭行動商務優先的介面改版策略，包括用AI強化搜尋功能</a></strong></p> <p>資料來源：iThome整理，2023年11月</p> </div></div></div>
2023/11/5 19:37作者王若樸https://www.ithome.com.tw/news/159645
駭客發動EleKtra-Leak挖礦攻擊，利用GitHub曝露的AWS帳密來奪取用戶EC2運算服務，替他們挖掘加密貨幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Palo Alto Networks揭露<a href="https://unit42.paloaltonetworks.com/malicious-operations-of-exposed-iam-keys-cryptojacking">名為EleKtra-Leak的挖礦攻擊行動</a>，駭客約從2020年12月開始進行相關活動，光是在今年8月30日至10月6日，他們就看到有多達474個Amazon EC2執行個體遭駭，被攻擊者拿來挖掘門羅幣。</p> <p>研究人員指出，這些駭客先是濫用GitHub提供的機密資訊掃描功能，以及AWS的AWSCompromisedKeyQuarantine政策標籤來尋找目標，一旦確認目標儲存庫存放了AWS帳密資料，或是其他的身分驗證管理（IAM）資料，攻擊者就試圖找出這類帳密，對目標AWS帳號進行偵察，然後建立安全群組，並透過VPN程式存取EC2執行個體，從Google Drive下載挖礦軟體並執行，整個過程是自動化運作，總共進行超過400次API呼叫，過程只花費7分鐘。</p> <h3><strong>待雲端服務業者將受害帳號標記，更能完全掌握可用的運算資源</strong></h3> <p>照理來說，當開發人員不慎在GitHub曝露自己的AWS金鑰時，該儲存庫提供Secret Scanning偵測機制就有可能察覺，並向AWS通報，接下來該雲端服務業者便會對於曝露金鑰的使用者，套用AWSCompromisedKeyQuarantine政策標籤來進行隔離，防範攻擊者濫用。</p> <p>由於這種自動預防機制，目的是防範相關金鑰遭到濫用，而非這些AWS用戶的帳號遭到攻擊，因此攻擊者很有可能找尋曝露相關資料、但AWS帳號尚未遭到封鎖的GitHub儲存庫，挾持AWS帳號之後，等到該雲端服務業者進行標記，攻擊者就能在沒有其他人干擾的情況下，濫用受害組織的AWS資源。</p> <p>研究人員在其中一起事故當中，透過AWS安全事件記錄系統CloudTrail看到這種現象。在AWS觸發上述的隔離政策標籤後，不到4分鐘攻擊者就開始下達APIDescribeRegions命令進行偵察。</p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-130743-1-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-130743-1-2.png" style="width: 580px;" /></a></p> <h3><strong>攻擊流程完全透過自動化進行</strong></h3> <p>而對於整個攻擊行動的流程，研究人員指出都是透過自動化執行，一旦攻擊者從GitHub儲存庫發現金鑰，就會開始一系列的攻擊流程。對方會先進行一系列的AWS帳號偵察，完成後就會建立安全群組，找尋所有能夠存取的EC2執行個體，過程中駭客的攻擊流程，都是透過VPN於背景進行。</p> <p>為了提高挖礦的獲利，攻擊者會在這些EC2執行個體採用大型雲端虛擬機器，通常是擁有192個虛擬處理器、192 GB記憶體的虛擬機器c5a.24xlarge，以便在相同時間裡挖取更多加密貨幣。</p> <p>駭客在啟動這些EC2執行個體的過程中，呼叫了名為RunInstance的API，用來執行Cloud-Init指令碼，從而在這些執行個體進行參數配置，並執行後續的攻擊行動。值得留意的是，對方的相關操作並未在CloudTrail留下事件記錄。</p> <p>對此，研究人員對EC2執行個體進一步採證，發現駭客從Google Drive下載挖礦軟體的檔案，然後在儲存到執行個體後再行解密、執行。此外，對方所使用的AMI映像檔為私有檔案，並未在AWS Marketplace市集上架，其中部分映像檔是採用Ubuntu 18為基礎開發。研究人員根據找到的入侵指標（IoC），他們推測，攻擊行動很有可能從2020年開始。</p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-130743-2-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-130743-2-2.png" style="width: 580px;" /></a></p> <p>特別的是，這些駭客也將他們用過的帳密資料加入黑名單。研究人員推測，這麼做的目的，很有可能是防止遭到進一步分析。</p> </div></div></div>
2023/11/5 13:36作者周峻佑https://www.ithome.com.tw/news/159644