iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/11 01:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】11月13日，疑為未修補Citrix NetScaler重大漏洞釀禍！中國工商銀行美國分公司遭勒索軟體攻擊…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">10月上旬Citrix修補NetScaler重大漏洞<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">CitrixBleed（</span>CVE-2023-4966），隨後陸續資安業者Mandiant揭露，至少4組人馬將其用於攻擊行動，但並未透露受害對象。如今傳出有企業因沒有修補漏洞而遭遇勒索軟體攻擊，使得業務受到嚴重影響。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">在上週<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">中國工商銀行（ICBC）美國子公司發生的勒索軟體攻擊事故，就是這樣的例子，有資安專家發現，駭客在事發數日前入侵了NetScaler伺服器，而能夠存取該公司的網路環境。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【攻擊與威脅】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/industrial-and-commercial-bank-of-china-hit-by-ransomware-attack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國工商銀行美國分公司傳出遭勒索軟體攻擊，疑為Citrix Bleed漏洞釀禍</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/ktYiCI0FLI_20231113-1519-52351.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ktYiCI0FLI_20231113-1519-52351.png" style="width: 300px; float: right;" /></a>根據金融時報的報導，證券業暨金融市場協會（SIFMA）於11月8日向會員透露，中國工商銀行的美國子公司工銀金融（ICBCFS）傳出遭遇勒索軟體攻擊，駭客要脅付款，否則將要癱瘓該公司的電腦系統。取得交易員及銀行的說法後，金融時報提到，本次攻擊事故導致工銀金融無法結算投資人的美國國債交易，部分股票交易也受到影響。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">對此，工銀金融也於9日證實特定系統遭到勒索軟體攻擊，面臨服務中斷的情況，該公司事發後，切斷受害系統的網路並進行隔離，控制受害範圍。該公司強調，他們的業務系統及電子郵件系統，獨立於母公司之外，中國工商銀行總部辦公室，以及其他海外分公司不受影響。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">而對於這起事故發生的原因，資安專家Kevin Beaumont透露，駭客很可能是針對該公司的Citrix Netscaler系統下手，利用CitrixBleed漏洞（CVE-2023-4966，CVSS風險評分為9.4）入侵網路環境，此伺服器在6日之後就處於離線狀態。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資料來源</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">1. <a href="https://www.ft.com/content/8dd2446b-c8da-4854-9edc-bf841069ccb8">https://www.ft.com/content/8dd2446b-c8da-4854-9edc-bf841069ccb8</a><br /> 2. <a href="https://twitter.com/vxunderground/status/1722686306709393720">https://twitter.com/vxunderground/status/1722686306709393720</a><br /> 3. <a href="https://cyberplace.social/@GossiTheDog/111382220085861321">https://cyberplace.social/@GossiTheDog/111382220085861321</a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/technology/cloudflare-website-downed-by-ddos-attack-claimed-by-anonymous-sudan/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Anonymous Sudan聲稱對Cloudflare發動DDoS攻擊</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/Cloudflare website outage.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cloudflare%20website%20outage.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，11月9日雲端服務業者Cloudflare網站<a href="http://www.cloudflare.com">www.cloudflare.com</a>出現服務中斷的錯誤訊息，表明使用者的電腦或網路疑似自動發出查詢請求，為保護使用者，相關請求該公司不予處理。但特別的是，這則錯誤訊息上竟出現了Google商標，並提供Google說明網頁的連結，而且，該網頁上的商標，與現在Google使用的字體有明顯差距。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">當時，Cloudflare表示網站出現異常，但該公司其他服務不受影響，隨後Cloudflare釋出修補程式因應。該公司發言人證實，上述服務中斷的現象，起因是他們遭遇了DDoS攻擊，並強調該網站架設於獨立的基礎設施，其他Cloudflare服務不受影響。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">而對於攻擊者的身分，俄羅斯駭客組織Anonymous Sudan聲稱是他們所為，但沒有說明下手的動機。這並非近期該組織首度針對大型IT業者下手，11月8日OpenAI遭到攻擊，導致旗下ChatGPT及API服務中斷超過一天。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.aon.com/cyber-solutions/aon_cyber_labs/detecting-effluence-an-unauthenticated-confluence-web-shell/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">後門程式Effluence鎖定DevOps協作平臺Atlassian Confluence而來</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">保險業者怡安（Aon）旗下的網路安全實驗室揭露名為Effluence的後門程式，此惡意軟體專門針對Atlassian旗下的DevOps協作平臺Confluence而來，利用該系統的漏洞入侵伺服器，從而讓攻擊者洩露主機上的資料，並進一步橫向移動存取其他網路資源。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">在其中一起攻擊行動裡，駭客利用CVE-2023-22515（CVSS風險評分為10分）取得初始存取權限，並將Web Shell（即Effluence）嵌入Confluence Data Center伺服器，並挾持該系統底層的Tomcat網頁伺服器元件，這使得攻擊者不需取得有效使用者帳號的情況下，存取該伺服器的所有網頁。此惡意程式可讓攻擊者建立管理員帳號，以便完全控制此協作平臺，甚至能挖堀受害組織的LDAP組態、郵件伺服器的資訊。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">對此，研究人員提出警告，此惡意程式極為難以偵測，即使IT人員套用修補程式，也無法防堵駭客持續存取受害主機。他們呼籲IT人員，就算已部署修補程式，仍要清查是否遭到Effluence入侵。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.huntress.com/blog/third-party-pharmaceutical-vendor-linked-to-pharmacy-and-health-clinic-cyberattack"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國藥品管理系統供應商使用的遠端桌面連線工具ScreenConnect遭到鎖定，駭客入侵製藥廠、醫療機構</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資安業者Huntress揭露針對醫療產業而來的攻擊行動，攻擊者濫用名為ScreenConnect的遠端桌面連線（RDP）工具，於10月28日至11月8日這段期間，他們發現針對製藥廠、醫療保健機構的攻擊行動。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">這些事故存在共通的攻擊戰術及手法，駭客於執行Windows Server 2019的伺服器上，透過美國藥品管理系統供應商Outcomes（原Transaction Data Systems）建置的ScreenConnect入侵，成功後駭客再部署自己的ScreenConnect或AnyDesk用戶端程式，以便持續控制受害主機。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">接者，攻擊者下載名為text.xml的惡意酬載，此XML檔案內含C#程式碼，主要功能是將Metasploit延伸模組Meterpreter載入記憶體內執行，接著，濫用列印多工緩衝處理器（Print Spooler）服務執行其他處理程序。但究竟駭客如何入侵Outcomes建置的ScreenConnect系統？研究人員表示仍不得而知。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/11/malvertiser-copies-pc-news-site-to-deliver-infostealer"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客透過Google廣告散布惡意CPU-Z處理器資訊軟體，目的是於受害電腦植入竊資軟體RedLine</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/windowsreport-compare.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/windowsreport-compare.png" style="width: 300px; float: right;" /></a>資安業者Malwarebytes揭露散布竊資軟體的惡意廣告行動，駭客假借提供電腦硬體規格偵測工具軟體CPU-Z，以美國導演史考特．庫柏（Scott Cooper）的名義在Google搜尋引擎投放廣告，一旦使用者點選，就有可能被帶往駭客架設的網站，下載冒牌的CPU-Z安裝程式，此為帶有數位簽章的MSIX安裝檔案，當中帶有惡意程式載入工具FakeBat，若是執行安裝，就會啟動FakeBat，透過PowerShell指令碼從C2伺服器下載竊資軟體RedLine Stealer。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">值得留意的是，為了降低使用者戒心，駭客並非架設冒牌的CPU-Z網站，而是偽造專門報導Windows新聞的網站Windows Report，以該新聞網站的名義提供下載。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.peoplenews.tw/articles/f8da8c0cef"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">司法院傳出遭到入侵，內網密碼、判決書流入駭客論壇</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">根據新聞網站民報的報導，有白帽駭客向他們透露，司法院網站資料庫遭到入侵，存取判決書的帳密資料、判決書內容、系統資料，皆被公布於即時通訊軟體Telegram的群組，此群組的任何成員都能取得。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">而對於這批資料的來源，駭客疑似在今年4月發動SQL注入攻擊，並利用網站、應用程式、資料庫的漏洞，從而取得司法院內部資料，駭客聲稱握有最高管理員權限。該新聞網站10月7日向司法院進行確認，司法院表示正在了解狀況，並於9日聲稱「已查核資安無虞」。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">對此，</span><a href="https://www.judicial.gov.tw/tw/cp-1693-980711-fe865-1.html">司法部於13日提出新的說明</a>，他們8月中旬察覺可能有資料外洩疑慮，成立專案小組採取行動，經確認遭駭的是供民眾查詢公開資訊的主機，該主機並未開放民眾註冊帳號，也沒有存放裁判書，尚未涉及機敏資料。該院資訊處亦建置新主機予以取代，8月底向國家資通安全通報應變網站進行結案通報，強調無上述報導內網密碼、判決書公開的情況。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【資安產業動態】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://press.asus.com/tw/news/asus-ibm-ai-cybersecurity-partnership/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">品牌商用電腦與EDR方案結合再添新例！華碩宣布與IBM合作，提供QRadar EDR加值資安解決方案</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/20231113111125535_s.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/20231113111125535_s.jpg" style="width: 300px; float: right;" /></a>在商用品牌筆電提供EDR/MDR資安加值服務的態勢上，繼Dell結合VMware Carbon Black與Secureworks、Lenovo結合SentinelOne，華碩商用電腦也跟上這樣的潮流，在11月10日宣布，將IBM Security QRadar EDR，作為提供給商用電腦客戶的資安解決方案，臺灣會是第一個推動的市場。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">華碩全球副總裁林宗樑指出，儘管端點偵測與回應（EDR）解決方案推出市場已久，但國內還是有很多企業沒有採用，這次雙方的合作會先從臺灣開始，未來希望能與IBM有更多合作，可涵蓋更多資安產品領域，並且擴展至全球市場。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">此次這兩家公司聯合推出的資安加值服務，將區分為兩種形式，一種是選購EDR工具，一種是選購MDR服務，前者將提供雲端平臺管理權限供企業自行使用，後者則是企業向華碩選購服務，背後服務團隊則是由IBM負責，提供威脅偵測應變與事件處理建議，特別的是，除了華碩與IBM兩家公司的合作，在本地的系統整合廠商方面，將由凱信資訊扮演IBM與臺灣企業之間的橋樑，提供更貼近用戶的服務。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【其他新聞】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="http://www.maine.gov/moveit-global-data-security-incident/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國緬因州遭遇MOVEit Transfer零時差漏洞攻擊，130萬民眾個資外洩</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/mortgage-giant-mr-cooper-says-customer-data-exposed-in-breach/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國房貸業者Mr. Cooper證實遭遇網路攻擊，多項IT系統被迫中斷服務</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.mandiant.com/resources/blog/sandworm-disrupts-power-ukraine-operational-technology"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Sandworm透過寄生攻擊手法，破壞烏克蘭關鍵基礎設施</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.deepinstinct.com/blog/muddyc2go-latest-c2-framework-used-by-iranian-apt-muddywater-spotted-in-israel"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">伊朗駭客設置新的C2框架MuddyC2Go，用於攻擊以色列組織</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://twitter.com/MsftSecIntel/status/1722316019920728437"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">北韓駭客組織BlueNoroff透過職場社群網站LinkedIn找尋目標，竊取加密貨幣</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>近期資安日報</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159733"><strong>【11月10日】 ChatGPT與相關API服務發生間歇性中斷事故，OpenAI坦承是遭遇大規模DDoS攻擊所致</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159710"><strong>【11月9日】駭客藉由PyPI套件散布BlazeStealer竊資軟體，對開發人員的電腦上下其手，甚至造成電腦無法使用</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159699"><strong>【11月8日】駭客組織SideCopy利用WinRAR高風險漏洞發動攻擊，針對印度政府機關而來，Linux電腦也是目標</strong></a></p> </div></div></div>
2023/11/13 17:17作者周峻佑https://www.ithome.com.tw/news/159771
【資安週報】2023年11月6日到11月10日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一週漏洞利用消息中，今年5月曾發動MOVEit Transfer零時差漏洞攻擊的駭客組織，近期有了新的目標，成為最大關注焦點，還有兩個已知漏洞遭攻擊者鎖定利用的情形也必須留意。</p> <p>（一）IT服務管理軟體供應商SysAid在11月8日修補零時差漏洞CVE-2023-47246，對於這起攻擊行動，微軟指出是勒索軟體駭客組織Clop（亦稱Lace Tempest、TA505）所為，由於該組織在今年5月底曾發動MOVEit Transfer零時差漏洞攻擊，因此格外引發關注。目前，已陸續有資安業者說明，在10月30日、11月2日就發現該漏洞被利用於攻擊行動。<br /> （二）Atlassian在10月31日修補旗下DevOps協作平臺Confluence重大漏洞CVE-2023-22518，有資安業者發現11月5日該漏洞正開始被用於攻擊行動，並造成Confluence伺服器感染勒索軟體Cerber。<br /> （三）今年4月底資安業者揭露服務定位協定（Service Location Protocol，SLP）的高風險漏洞CVE-2023-29552，指出駭客可藉此漏洞發動DoS攻擊，並警告存在此漏洞的裝置種類與數量都多，到了11月初，資安研究人員發現該漏洞開始被攻擊者鎖定利用的情形。</p> <p>本周其他重要的漏洞修補消息方面，包括：威聯通修補旗下NAS作業系統2個重大漏洞，Veeam針對旗下IT監控解決方案Veeam ONE修補兩個重大漏洞。此外，ZDI本周公開4個Exchange零時差漏洞，呼籲用戶採取緩解，並說明9月已通報微軟，微軟則說明其中之一在8月已修補，其餘則評估沒有立即修補必要。</p> <p>在威脅事件焦點方面，我們看到持續有不同產業遭遇資安事件的情形，例如：<br /> ●雲端SIEM平臺業者Sumo Logic公告資安事故，察覺自家使用的雲端服務遭駭。<br /> ●跨國聯鎖五金零售業者Ace Hardware公告發生資安事故，大部分的IT系統皆面臨中斷或暫停運作的情況。<br /> ●樂高市集BrickLink遭網路攻擊，有少部分帳號遭未經授權存取並被用來行騙。<br /> ●印度政府機關遭駭客組織SideCopy利用WinRAR漏洞攻擊<br /> ●柬埔寨政府遭中國駭客使用基礎設施偽裝成雲端備份服務的方式攻擊</p> <p>另一關注焦點在於，10月下旬Okta客戶支援系統遭駭，有了後續消息。該公司在11月初揭露調查結果，指出駭客存取的資料影響了134家客戶，並指出攻擊者利用Okta系統之間溝通的Service Account，執行攻擊行動，我們也特別注意到，Okta所公布的事件起因，值得企業警惕：他們認為這起事件可能與員工Google帳號遭駭有關，因為該員工曾在公司筆電上登入個人Google帳號，導致公司的服務帳戶帳密儲存到個人Google帳戶。</p> <p>在新興威脅態勢上，有惡意程式開發者宣稱，Google Calendar的事件描述可被轉換成C2加以濫用，這類隱密攻擊手法，引起資安界的討論與關注。其他一些惡意活動被揭露的消息，也不容輕忽，包括：透過PyPI套件散布惡意軟體BlazeStealer的情形，透過企業臉書帳號發布惡意廣告散布NodeStealer竊資，以及透過WordPress網站下達攻擊命令的惡意程式GootLoader變種，以及名為Socks5Systemz的代理伺服器殭屍網路被揭露等。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/159660"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月6日】濫用企業臉書帳號散布NodeStealer竊資軟體的攻擊行動再度出現，想看裸照的使用者是目標</span></strong></a></h3> <p>利用企業臉書帳號來散布竊資軟體NodeStealer的攻擊行動，約莫半年前開始出現，迄今已發生數起。這些攻擊行動的共通點，在於駭客的主要目標，都是鎖定經營企業臉書帳號的使用者，或是想要牟取相關職務的人士。</p> <p>但在近期發生的一起攻擊行動裡，駭客改變了攻擊目標，針對一般的使用者下手，在短短10天內就有10萬人上當。</p> <h3><a href="https://www.ithome.com.tw/news/159685"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月7日】鎖定Atlassian Confluence重大漏洞的攻擊行動出現，駭客透過勒索軟體Cerber加密伺服器的檔案</span></strong></a></h3> <p>最近訊息導向中介軟體ActiveMQ、DevOps協作平臺Confluence分別出現重大漏洞CVE-2023-46604、CVE-2023-22518，如今皆有駭客對其發動勒索軟體攻擊、加密檔案，而造成災情。</p> <p>其中，值得留意的是針對Confluence的攻擊行動，因為過程中駭客不只利用最近才修補的漏洞，還串連另一個上個月揭露的重大漏洞進行攻擊，這代表受害組織兩個漏洞都還沒修補，而讓對方有機可乘。</p> <h3><a href="https://www.ithome.com.tw/news/159699"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月8日】駭客組織SideCopy利用WinRAR高風險漏洞發動攻擊，針對印度政府機關而來，Linux電腦也是目標</span></strong></a></h3> <p>長期鎖定印度政府機關、軍事單位的駭客組織SideCopy，最近發起了新的攻擊行動，主要是透過WinRAR漏洞CVE-2023-38831，對Windows電腦植入多種惡意程式。</p> <p>但與過往攻擊行動不同之處，在於這些駭客也使用相同的基礎設施，開始針對Linux主機散布惡意程式，這很可能與印度政府打算導入此種作業系統的政策有關。</p> <h3><a href="https://www.ithome.com.tw/news/159710"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月9日】駭客藉由PyPI套件散布BlazeStealer竊資軟體，對開發人員的電腦上下其手，甚至造成電腦無法使用</span></strong></a></h3> <p>利用惡意開源套件鎖定開發人員的攻擊行動，近期可說是越來越頻繁，但大部分往往出現不到1個月就被研究人員發現、向套件儲存庫經營團隊通報。而最近發生的一起攻擊行動中，駭客從今年初陸續發布惡意PyPI套件，當中潛藏竊資軟體BlazeStealer，直到最近才被揭露。</p> <p>特別的是，這起攻擊行動當中，駭客相當節制、低調，在10個月內，僅上架了8個惡意套件，而不像大部分同類型的事故，往往在短短的一、兩個星期當中，上架數十個、甚至是數百個套件。</p> <h3><a href="https://www.ithome.com.tw/news/159733"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月10日】ChatGPT與相關API服務發生間歇性中斷事故，OpenAI坦承是遭遇大規模DDoS攻擊所致</span></strong></a></h3> <p>駭客組織Anonymous Sudan近期的攻擊行動不時傳出，但大部分都針對歐美國家的政府機關與知名企業而來，透過DDoS攻擊癱瘓他們的網站來表達訴求。而在最近針對OpenAI的攻擊行動當中，出現了更為顯著的影響，因為Anonymous Sudan直接讓OpenAI的重要業務停擺。</p> <p>值得留意的是，這起攻擊行動造成大型語言模型ChatGPT出現間歇性停擺的時間，超過一整天，影響程度有待觀察。</p> <h3> </h3> </div></div></div>
2023/11/13 14:48作者羅正漢https://www.ithome.com.tw/news/159759
Google新規定要求Android App需最少經過20人測試、開發商需完成帳號驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了防範詐騙軟體及提升App品質，<a href="https://support.google.com/googleplay/android-developer/answer/14151465?hl=en" target="_blank">Google上周宣布</a>Android App新的開發商規定，要求App必須至少經過20人測試，以及需完成開發商帳號驗證。</p> <p>Play Store上架的應用程式一般包含內部測試、封閉測試、公開測試及正式上架階段。內部測試並非強制，但Google仍建議開發商執行。Google新公布的第一項要求是屬於封閉測試階段，適用於2023年11月13日以後建立的Google Play個人開發商帳號。</p> <p>Google要求新建立帳號的開發人員，每個App上架Google Play之前，封閉測試階段必須經過最少20名用戶測試，且他們必須是主動要求（opt-in）加入，並連續使用至少14天。完成App設定後即可以封閉測試。在滿足要求之前，Play Store控制臺（Console）的部分功能，像是「Production」及「Pre-registration」都呈現關閉狀態。</p> <p>完成封閉測試後，開發商就可以在Play控制臺（Console）中的Dashboard申請審查上架，雖然大部分開發商會再經過公開測試。在申請審查過程中，Google會詢問開發商一些關於封閉測試的問題，以了解應用程式本質、測試過程及實際上線的整備度。</p> <p>Google公布的第二項開發商要求是關於帳號驗證。<a href="https://android-developers.googleblog.com/2023/07/boosting-trust-and-transparency-in-google-play.html" target="_blank">今年7月Google宣布</a>，新設立的Play Console開發商帳號，需提供企業徵信業者鄧白氏（Dun & Bradstreet）發布的D-U-N-S號，這是業界廣泛使用的9位數號碼，這號碼可免費向鄧白氏申請派發。Google將以這號碼，連同其他資訊，包括公司法律名稱、地址、電子郵件、電話號碼、公司規模、組織種類或網址、支付銀行帳號等作為帳號建立時的驗證。新規定適用於2023年9月以後設立帳號。</p> <p>而<a href="https://support.google.com/googleplay/android-developer/answer/14177239?hl=en" target="_blank">在上周Google再宣布</a>新規定將推向早先設立的開發者帳號。Google要求這些帳號開發商完成驗證，<a href="https://play.google.com/console/u/0/signup" target="_blank">開發商可以自行挑選</a>2023年11月8日到2024年2月29日之間任何一日為最後期限。但因每日件數有限，故採先來先到原則。未主動選擇的開發商，Google會以系統自動發派。</p> <p>Google警告，明年4月1日起，未能完成開發者帳號驗證者，其開發商資料及App將會被從Google Play移除。</p> </div></div></div>
2023/11/13 14:48作者林妍溱https://www.ithome.com.tw/news/159768
OpenAI GPTs正式開放給ChatGPT Plus用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過3天延遲，OpenAI的客製化ChatGPT服務GPTs終於在上周五上線，供部分用戶使用。</p> <p><a href="https://twitter.com/sama/status/1722721030983307425" target="_blank">OpenAI執行長Sam Altman宣布</a>，GPTs已上線供所有ChatGPT Plus訂戶使用，較預定時間晚了3天。</p> <p><a href="https://www.ithome.com.tw/news/159668" target="_blank">OpenAI於上周的首屆開發者大會上公布</a>，可讓付費方案用戶包括ChatGPT Plus、ChatGPT Enterprise客製化聊天機器人的GPTs服務及GPT-4 Turbo模型，原本預計很快開放，但Altman周四指出，由於新功能用量超出預期，使得新服務必須延後上線。</p> <p>但同時間<a href="https://www.ithome.com.tw/news/159727" target="_blank">OpenAI證實</a>報導遭遇DDoS攻擊，被懷疑這才是GPTs服務未能準時上線的主因。這波攻擊導致ChatGPT及API發生周期性斷線。親俄駭客組織Anonymous Sudan宣稱犯案。</p> <p>經過24小時的搶修，OpenAI周四晚間宣布問題排除，恢復所有服務上線。</p> </div></div></div>
2023/11/13 13:22作者林妍溱https://www.ithome.com.tw/news/159765
中國工商銀行美國子行遭勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>位於美國的中國工商銀行（ICBC）金融服務（FS）上周三（11/8）遭到勒索軟體攻擊，使得部分系統中斷，但強調此一意外並未波及總行、工商銀行紐約分行，以及其它境內外的附近機構。</p> <p>中國工商銀行為中國最大的銀行，總部位於紐約的ICBCFS則是工商銀行的全資子公司，專門提供全球機構客戶的清算、執行、融資與設施管理服務，也具備全球市場的結算能力，旗下的清算產品包括美國股票、美國國債、全球股票、歐元債券及ETF等。</p> <p><a href="http://www.icbcfs.com/" target="_blank">ICBCFS於官網上證實遭到勒索軟體攻擊</a>，發現之後馬上切斷並隔離了受到影響的系統以控制災害，即使造成部分系統中斷，但立即展開徹底調查並推動復原工作。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1113-ICBCFS-600.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1113-ICBCFS-600.png" style="width: 600px;" /></a></p> <p>根據<a href="https://www.ft.com/content/8dd2446b-c8da-4854-9edc-bf841069ccb8" target="_blank">《金融時報》</a>（Financial Times）的報導，相關攻擊造成工商銀行無法代表其它市場參與者結算美國國債交易，對國債市場的流動性造成一定的影響，也可能導致長期國債的大幅拋售。</p> <p>不過，ICBCFS本周的聲明指出，已成功清算了上周三所執行的美國國債交易，以及周四執行的回購融資交易。另也澄清ICBCFS的業務及電子郵件系統皆是獨立的，並未影響中國工商銀行集團的運作。</p> <p>另一方面，《彭博社》（Bloomberg）與《路透社》（Reuters）則報導，執行該攻擊的是惡名昭彰的Lockbit勒索軟體集團，<a href="https://www.ithome.com.tw/news/159565" target="_blank">Lockbit曾在今年10月宣稱入侵了航太龍頭業者波音（Boeing）</a>，上周再度出面坦承是駭進ICBCFS的兇手。</p> <p>Lockbit已被美國、澳洲、加拿大、英國、法國、德國及紐西蘭的網路安全機構<a href="https://www.ithome.com.tw/news/157357" target="_blank">共同認定是近來全球最猖獗的勒索軟體即服務</a>，自2020年到今年第一季的受害組織已超過1,600個。不過，ICBCFS並未證實該攻擊行動是否源自Lockbit，亦未公布駭客所要求的贖金。</p> </div></div></div>
2023/11/13 13:41作者陳曉莉https://www.ithome.com.tw/news/159766
Iridium、高通已終止手機衛星連網合作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/155026" target="_blank">今年初高通與衛星通訊業者Iridium宣布</a>合作開發手機和衛星D2D（Direct-to-Device）的功能，不過這項功能尚未推出，雙方已經終止合作。Iridium則計畫和裝置OEM或OS廠商直接合作。</p> <p>蘋果去年在iPhone 14系列中加入透過衛星發送SOS的功能，引發業界對D2D技術的關注。今年初在CES大會上，高通與衛星通訊業者宣布雙方將合作研發名為Snapdragon Satellite的晶片功能，可讓搭載高通新晶片Snapdragon 8 Gen 2及其X70行動數據機的Android手機結合Iridium 66顆低軌衛星，不只是單向發送SOS求救訊息，也能雙向收發一般訊息。這項服務計畫分階段上線，預計2023年下半在特定地區，如北美及歐洲開通。<a href="https://www.qualcomm.com/news/releases/2023/02/qualcomm-and-leading-global-smartphone-manufacturers-collaborate" target="_blank">高通2月時宣布</a>，表達有興趣導入這項技術的手機業者包括中國業者Honor、Oppo、Vivo及小米，以及Motorola、Nothing等。</p> <p>高通的新功能尚未推出，<a href="https://investor.iridium.com/2023-11-09-Iridium-Announces-New-D2D-Direction" target="_blank">上周Iridium卻公布雙方已終止合作</a>。Iridium表示，雖然雙方已成功開發及展示新技術，但由於智慧型手機製造商未能將這項技術加入到其產品中，因此高通於11月3日通知Iridium，將於12月3日起終止合作協議。</p> <p>Iridium執行長Matt Desch指出，行動網路及裝置業者長期將會在其裝置內加入手機連衛星功能，以提供更廣的覆蓋及新式功能，而其全球覆蓋率及符合法規，使其夠格在新市場上扮演關鍵角色。</p> <p>Iridium宣布，和高通的合作終止後，Iridium現在可以直接和手機品牌商、競爭晶片商及智慧型手機作業系統開發商展開。該公司並表示已經準備採用其方案的客戶，仍會持續獲得其服務，並加入該公司窄頻非地面網路（Narrowband Non-Terrestrial-Network）服務的開發計畫。</p> <p>高通對<a href="https://www.cnbc.com/2023/11/09/iridium-announces-end-of-qualcomm-satellite-to-phone-partnership.html" target="_blank">《CNBC》</a>指出，他們希望和Iridium就標準化的解決方案進行合作，但終止專屬規格方案的合作。<a href="https://www.lightreading.com/satellite/qualcomm-backs-out-of-iridium-phone-to-satellite-deal" target="_blank">《Lightreading》則</a>報導，目前標準組織3GPP已經在推動手機對衛星的5G標準草案。</p> <p>儘管Iridium表示，和高通終止合作一事並不影響其2023年全年財報指引。該公司10月發布指引，公司預估到2030年，年營收可達10億美元。不過消息公布後Iridium股價仍下跌了8%。</p> </div></div></div>
2023/11/13 11:21作者林妍溱https://www.ithome.com.tw/news/159763
【iThome 2023資安大調查系列2】服務業企業資安風險圖（2023～2024）
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1151-fu_wu_-feng_xian_tu_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>疫情過後，線上線下整合的OMO戰略，成了服務業的發展主流。尤其不少零售業，在疫情期間開始強化線上電商模式，到了疫情解除後，沒有停下腳步，反而更加速發展電商模式，變成了徹底的OMO營運型態。這股為了因應疫情而崛起的數位化、電商化發展，也讓服務業更直接曝險在更多網路風險的威脅下，因為，服務業比過去更佳仰賴雲端供應商來提供電商通路的各項服務，這兩年服務業數位轉型的發展重點，除了整合和深化顧客大數據應外之外，上雲也是另一項重要發展策略。</p> <p>服務業今年資安投資平均達到1,252萬元，約占IT預算的8.8%。服務業資安預算僅次於金融業和政府學校，但遠高於醫療、高科技和一般製造業。服務業今年的資安預算甚與上雲預算（1,111萬元）相當，但高於AI預算、行動應用的投資，這也反映出服務業積極提高上雲的比重同時，也同步加強對資安的投資。這些資安預算主要用於IT基礎架構防護、網路安全和員工資安意識的強化。這三項也與服務業積極上雲高度相關。</p> <p>不過，服務業的資安信心不算太高，大約和一般製造業、高科技製造業相當，6成6大致有項信心，只有2成資安長非常有信心，但有一成企業對資安能力沒有太大信心。</p> <p>在2022年，服務業平均遭遇了18.8次需要通報到資安長的重大資安事件，是各產業中災情最高者。不過，這幾年隨著服務業發生過不少網路資安事件和網路攻擊事件，服務的偵測能力也有不小的提升，平均發現攻擊時間只需要2.8天，僅次於金融業的1.1天，表現也遠佳於政府學校、醫療和製造業。但是，服務的數位韌性相對較弱，系統遭攻擊後的復原時間，在六大產業中排名第五，平均需要花上5.8天，也就是幾乎快一個禮拜，才能復原。</p> <p>整體來說，服務業現有的平均系統復原能力相對其他產業來得弱，對於越來越仰賴電商通路的服務而言，是一大致命傷，尤其若在銷售旺季，促銷活動期間遭遇資安事件而當機，可能甚至影響了整個促銷期，這是服務業接下來必須盡快強化之處，否則不利於發展OMO線上線下整合布局。</p> <p>從2019年到2021年間，可以看到服務業的遭駭指數逐年改善，從71%，逐漸降低到2021年的26%，一年約有四分之一的時間處於資安脆弱期，但在2022年，服務業開始積極擁抱電商之後，遭遇了更多網路攻擊和威脅，導致2022年的遭駭指數提高了不少，達到44%，約有一半時間處於資安脆弱期。面對2023～2024年的資安風險，服務業不會停下OMO的發展腳步，因此也必須更加警戒伴隨而來的威脅。</p> <p>早在2021年時，服務業最常發生的2大資安風險是駭客攻擊和資安漏洞事件，這兩項也是衝擊最大的兩項，但從2022年開始，勒索軟體資安事件成了服務業最大的夢魘，成了發生風險最高的資安威脅，衝擊程度僅次於駭客攻擊。服務業在2021年開始大力改善老舊系統的問題，資安漏洞事件的威脅排名下滑了不少，發生風險在2022年排名第七，衝擊影響也降低了。</p> <p>到了2023～2024年，服務業資訊長和資安長對勒索軟體資安事件的威脅更提高警覺，這一項資安風險不但是發生風險最高，也是對企業衝擊最大的資安威脅，衝擊程度甚至超越了駭客攻擊帶來的影響，成了服務業頭號威脅。除了老威脅之外，釣魚網站的發生風險也在2023開始和勒索軟體資安事件並列為第一名高發生風險的資安項目，雖然釣魚網站的衝擊相對較低，但也必須特別關注，這是往年的次要風險，但在2023年開始成為了服務業者的首要風險之一。駭客攻擊則是服務業在2023～2024年也必須警戒的第三項首要風險。</p> <p>隨的服務業越來越依賴雲端供應商來實現OMO整合，在服務業2023年企業資安風險圖的第一象限，發生風險高衝擊也高的資安項目中，還包括了雲端服務/網路服務資安事件、以第三方為跳板的攻擊，還有資料外洩事件、資安漏洞事件、顧客資安事件，來自網路犯罪者（非駭客）的威脅，另外風險程度在過去一年快速竄升的是來自內部人員的攻擊，這些都是第一象限必須警戒的項目。</p> <p>除此之外，以雲端供應商為跳板的攻擊衝擊，也在2023～2024年突然提高，從衝擊低發生風險高的第三象限，處於進入第一象限的邊緣，服務業者若有餘裕，這也是一個不得不提防的資安威脅。還有一項第三方委外業者的資安風險，雖然衝擊和發生風險都不算高，還處於第四象限，但是這項風險的影響，今年突然竄升，因此在資安風險圖中也特別以紅色來標記，後續發展值得服務業資安長和資訊長們留意。</p> <p> </p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1151-%E6%9C%8D%E5%8B%99-%E9%A2%A8%E9%9A%AA%E5%9C%96-(%E5%A4%A7).png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1151-%E6%9C%8D%E5%8B%99-%E9%A2%A8%E9%9A%AA%E5%9C%96-(%E5%B0%8F)-PNG.png" style="width: 600px;" /></a></p> <p><span style="font-size:16px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 企業資安風險圖製作說明 </span></span> 在iThome 2023年CIO暨資安大調查中，由企業自評各資安項目的兩項指標，一項是該項目對企業帶來的衝擊程度（衝擊極高和衝擊極低），另一項是這個項目未來1年的發生風險（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1 年發生該項目的風險，位置越右，代表可能性越大。紅色文字的項目為今年發生風險明顯提高者。</strong></span></p> <p><span style="font-size:16px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> 大調查執行期間從2023年4月20日到5月10日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷407家，其中59.8%填答者為企業資安最高主管</strong><strong style="font-size: 14px;">。</strong></span></p> <p><span style="font-size:16px;"><span style="color: rgb(105, 105, 105);"><strong>資料來源：2023 iThome CIO大調查，2023年7月</strong></span></span></p> </div></div></div>
2023/11/13 08:42作者王宏仁https://www.ithome.com.tw/article/159272
印度政府機關遭到駭客組織SideCopy鎖定，利用WinRAR漏洞發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>軟體開發商RARLab於7月下旬修補的零時差漏洞CVE-2023-38831，繼俄羅斯、中國有多個國家級駭客利用這項漏洞發動攻擊，有其他國家級駭客也跟進，將其用於攻擊行動。</p> <p>資安業者Seqrite揭露<a href="https://www.seqrite.com/blog/sidecopys-multi-platform-onslaught-leveraging-winrar-zero-day-and-linux-variant-of-ares-rat/">巴基斯坦駭客組織SideCopy近期的攻擊行動</a>，這些駭客鎖定印度，積極利用WinRAR的漏洞CVE-2023-38831，對Windows電腦部署AllaKore RAT、DRat等惡意軟體，但他們也看到駭客對於Linux電腦植入Ares RAT變種惡意程式。</p> <p>SideCopy的攻擊行動最早可追溯自2019年，長期以來都是針對南亞國家下手，其中又以印度國防產業、阿富汗政府機關為主要目標。研究人員指出，從今年初，他們每個月幾乎都會看到新的攻擊行動，也陸續發現駭客所使用的新工具，像是Double Action RAT、另一個以.NET開發的RAT木馬程式，而在戰術、技術、程序（TTP）上，這些駭客也開始透過PowerShell遠端執行命令。</p> <p>此外，這些駭客今年更積極針對大學生下手，並洩露學生資料，研究人員推測很有可能是替恐怖組織招募成員。再者，該組織不光攻擊Windows電腦，他們近期也開發了Poseidon及其他公用程式，使得Linux攻擊工具更為強大。</p> <p>特別的是，研究人員提及，該組織還會利用蜜罐陷阱（Honeypot）引誘國防人員上當，藉由網路間諜行動竊取機密情報。</p> <p>而對於這波利用WinRAR漏洞的攻擊，駭客先是透過網路釣魚手法，引誘使用者下載PDF誘餌檔案，但實際上為Windows捷徑檔案（LNK），一旦開啟此檔，電腦就有可能執行遠端的HTA檔案，從而檢查電腦安裝的.NET版本、防毒軟體資訊，然後使用Base64編碼解密，於記憶體內執行惡意DLL檔案，為了執行這個DLL檔案，駭客會濫用Windows內建的公用程式，如credwiz.exe、rekeywiz.exe，以DLL側載（DLL Side-loading）手法載入惡意DLL檔案。</p> <p>在其中一起攻擊行動裡，駭客散布聲稱與印度太空研究組織NSRO有關的PDF檔案，檔名是ACR.pdf或ACR_ICR_ECR_Form_for_Endorsement_New_Policy.pdf，針對Windows電腦而來。但研究人員進一步調查發現，這些攻擊者也將這兩個PDF檔案用於散布Linux變種的Ares RAT。再者，兩次攻擊駭客使用的網域，都指向相同的IP位址。</p> <p>而在針對Windows電腦的攻擊行動當中，使用者若是依照指示開啟PDF檔案，電腦就會從駭客的網域下載ZIP檔案，當中含有偽裝成PDF檔案的Windows連結檔案，其中一個是Homomaleity – Indian Armed Forces ․pdf.lnk。一旦使用者開啟，就會觸發遠端的HTA檔案，這個檔案內容包含了誘餌PDF檔案、惡意DLL程式庫，並會檢查電腦安裝的.NET版本、收集防毒軟體資訊，然後將DLL檔案解碼、在記憶體內執行。</p> <p>這個DLL程式庫先會開啟誘餌檔案降低使用者戒心，然後向駭客的網域發送訊號，從而下載最終的HTA及DLL檔案，並根據受害電腦採用的防毒軟體程式（Seqrite、Quick Heal、卡巴斯基、Avast、Avira、Bitdefender、Microsoft Defender），移動至特定的資料夾，啟動最終的DLL檔案。</p> <p>而另一個駭客所使用的Homomaleity – Indian Armed Forces.zip壓縮檔，則是內含ELF執行檔，研究人員反組譯後，發現該惡意程式會在受害電腦部署以Python打造的Ares RAT。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SideCopy_Oct2023-Ares-2_drawio.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SideCopy_Oct2023-Ares-2_drawio.png" style="width: 580px;" /></a></p> <p>而在另一起攻擊行動當中，駭客會在網路釣魚的過程裡利用了前述的WinRAR漏洞。一旦使用者依照對方指示操作，電腦便會下載惡意壓縮檔，內容是PDF檔案及同名資料夾，使用者若透過WinRAR開啟，並執行PDF檔案，有效酬載就會透過WinRAR的ShellExecute功能函數觸發。研究人員指出，駭客所使用的PDF誘餌檔案，與全印度非公報軍官組織（AIANGO）有關。</p> <p>在上述壓縮檔內的資料夾裡，含有名為AllaKore RAT的惡意酬載，其功能包括竊取系統資訊、鍵盤側錄、截取螢幕畫面、上傳或下載檔案，甚至能讓攻擊者遠端存取受害電腦。</p> <p>研究人員也根據惡意網域、C2的IP位址，與其他攻擊行動建立關聯。這些駭客曾在4月假借沙烏地阿拉伯代表團的名義，散布另一款惡意程式DRat，後來又在8月以美中貿易戰為誘餌再度進行攻擊。同樣在8月，該組織又以印度國防部及議會事務為幌子，散布Ares RAT惡意程式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SideCopy_Oct2023-WinRAR-2_drawio.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SideCopy_Oct2023-WinRAR-2_drawio.png" style="width: 580px;" /></a></p> <p>附帶一提，<a href="https://thehackernews.com/2023/11/sidecopy-exploiting-winrar-flaw-in.html">資安新聞網站Hacker News認為</a>，這些駭客針對Linux電腦下手並非巧合，原因是印度政府與國防部門打算使用名為Maya OS的Linux版本，逐步取代Windows作業系統。</p> </div></div></div>
2023/11/12 20:10作者周峻佑https://www.ithome.com.tw/news/159747
Google行事曆被找出用作C2基礎架構的方法？有惡意程式開發者宣稱能辦到，引起駭客圈熱議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了利用合法流量掩護非法，駭客濫用雲端服務架設命令與控制（C2）伺服器的情況相當常見，其中最常見的是利用Google Drive、OneDrive、Dropbox等檔案共享服務，也有濫用能夠挾帶命令內容的文字共享服務的情況。但如今，線上的行事曆服務也成為駭客濫用的標的。</p> <p>Google於近期發表的<a href="https://bit.ly/46QXgLK">第8份威脅視野報告（Threat Horizons report）</a>當中，揭露從今年6月出現的惡意程式Google Calendar RAT（GCR），開發者表明他所打造的指令碼，能夠將Google Calendar的事件描述轉換成C2加以濫用，該公司旗下Mandiant威脅情報團隊發現，這種隱密的手法引起網路犯罪圈高度關注，雖然上述工具尚未被用於攻擊行動，但已有許多駭客於地下論壇分享這種概念性驗證攻擊（PoC）程式。</p> <p>為了映證作法可行，這名開發者透過影片展示攻擊手法，他利用兩個Google帳號來控制、操作GCR。其中一個是GCP的服務帳號，當中包含用於回應API的金鑰，用途是當作Beacon；另一個則是Gmail攻擊帳號，攻擊者將其用於與行事曆服務進行互動。</p> <p>研究人員指出，攻擊者若在受害電腦執行GCR，該程式會定期從Google Calendar拉取事件描述，從而執行其中的命令，然後再以執行輸出的結果更新事件描述內容。由於過程中都使用Google的基礎設施，導致防守方要察覺異常活動更加困難。</p> </div></div></div>
2023/11/12 15:39作者周峻佑https://www.ithome.com.tw/news/159746
駭客透過企業臉書帳號發布惡意廣告，意圖散布惡意軟體NodeStealer
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客利用企業臉書帳號散布竊資軟體NodeStealer的攻擊行動，大約從今年5月開始出現，其中又以越南駭客組織的攻擊行動最受到矚目。但到目前為止，大部分的攻擊行動多半針對特定目標，通常是經營企業臉書帳號的使用者而來，或是打算應徵市場行銷職務的人士。但在最近的攻擊行動裡，攻擊者開始針對一般的使用者而來。</p> <p>資安業者Bitdefender揭露<a href="https://www.bitdefender.com/blog/labs/nodestealer-attacks-on-facebook-take-a-provocative-turn-threat-actors-deploy-malvertising-campaigns-to-hijack-users-accounts/">發生在10月中旬的惡意軟體NodeStealer攻擊行動</a>，他們在10月10日至20日，看到攻擊者運用超過10個遭竊的企業臉書帳號，散布約140則惡意廣告，內容帶有年輕女性的裸露照片，鎖定歐洲、非洲、加勒比海、18至65歲的男性而來，估計1天之內就有1.5萬次下載、這段期間累計下載達10萬次，其中，上當人數最多的族群是45歲以上的男性。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AlbumUpdate.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AlbumUpdate.jpg" style="width: 580px;" /></a></p> <p>這款竊資軟體的來歷，最早是<a href="https://engineering.fb.com/2023/05/03/security/malware-nodestealer-ducktail/">Meta的資安團隊在今年5月揭露</a>，他們在1月開始看到越南駭客組織散布，同時這些駭客也會利用另一款名為Ducktail惡意軟體從事相關攻擊行動。</p> <p>研究人員首度看到NodeStealer的攻擊行動，是由越南駭客發起，當時對方打造了自製的JavaScript指令碼，透過Facebook Messenger向目標用戶發送訊息，一旦使用者依照指示操作，就有可能讓電腦感染此惡意軟體，導致攻擊者掌控企業臉書帳號，而且，過程中完全不需受害者進行互動，甚至也繞過了雙因素驗證等進階安全機制。</p> <p>而近期的NodeStealer攻擊行動當中，Bitdefender的研究人員看到最新（2.1版）竊資軟體，相較於早期版本主要是挾持Chrome、Edge、Brave、Opera瀏覽器的連線階段（Session），從而接管臉書帳號，新版惡意程式竊取資料的範圍擴大，能夠存取特定服務的電子郵件信箱帳號，或是盜取受害者的加密貨幣。</p> <p>駭客先是設置多個臉書個人頁面，這些帳號都能顯示上述的裸露照片，然後再假借提供一整組色情圖片的名義打廣告，表明他們更新了相簿內容，或是限時開放下載，引誘使用者上當。一旦使用者點選廣告內容，就有可能從程式碼儲存庫Bitbucket、GitLab，或是雲端檔案共享系統Dropbox下載壓縮檔，其內容包含名為Photo Album的.EXE檔案。</p> <p>使用者若是開啟這些執行檔，電腦就有可能被植入以.NET打造的竊資軟體NodeStealer，攻擊者不只能藉此控制受害者的臉書帳號、加密貨幣錢包，這次出現的新版竊資軟體還能入侵Gmail、Outlook帳號，並下載其他惡意程式。</p> <p>值得留意的是，為了避免有人舉報廣告而東窗事發，攻擊者同時最多只會上架5組廣告，並在一天之內就進行切換。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Ads1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ads1.jpg" style="width: 580px;" /></a></p> <p>另一方面，這些駭客在攻擊行動當中，為了讓惡意廣告的效果更好，他們充分利用Meta提供的廣告管理工具，以便針對臉書上的男性使用者顯示。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Ads2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ads2.jpg" style="width: 580px;" /></a></p> </div></div></div>
2023/11/12 14:28作者周峻佑https://www.ithome.com.tw/news/159744
【資安月報】2023年10月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年10月的資安新聞中，國際上出現新的震盪，先是巴勒斯坦激進組織哈瑪斯（Hamas）突然對以色列發動大規模的軍事攻擊，後續以色列開始強烈反擊，而在網路上也陸續傳出，有駭客組織聲援兩國表態參與發動網路攻擊的情形。</p> <p>不僅如此，最近這一個多月來，我們看到科技大廠修補遭利用零時差漏洞的消息，呈現相當密集的情形，因此前陣子<a href="https://www.ithome.com.tw/news/159484">我們也專門介紹了這樣的態勢</a>，當中亦顯現國家級駭客組織、商業間諜公司、勒索軟體組織挖掘零時差漏洞並用於攻擊行動的最新現況，以及涉及底層漏洞似乎變多的情形。</p> <p>回顧國內近期重大網路攻擊事故與資安防護推動，有兩個議題最受我們關注，一是下半年國內接連有連鎖藥局遭駭客攻擊的情況，一是我國政府資訊服務採購有新變革，將資安防護措施納入採購規範，做到資安入規。</p> <h3><strong>興櫃公司「諾貝兒」與上市公司「羅昇」公告遭網路攻擊</strong></h3> <p>近日，我們盤點這一個月的臺灣重大資安消息，新發現國內有兩家上市櫃公司揭露遭駭客攻擊，是這個月資安日報中沒有提及。</p> <p>首先，<a href="https://s4.itho.me/sites/default/files/images/2023-11-01_154750.jpg">以丁丁藥局為營運主體的興櫃公司諾貝兒寶貝（諾貝兒），該公司在10月7日發布資安事件重大訊息，說明公司遭受駭客網路攻擊</a>。</p> <p>另一起事件，主要代理傳動、控制等自動化機電零組件並提供方案的<a href="https://s4.itho.me/sites/default/files/images/2023-11-01_154538.jpg">上市公司羅昇企業（羅昇），在10月27日亦發布資安事件重大訊息，說明該公司發生部分資訊系統遭受駭客網路攻擊的狀況</a>。</p> <p>以諾貝兒的事件而言，引起我們關注的是，雖然調查局指出現況依然是很多產業都有被攻擊的情況，但在今年下半，<a href="https://www.ithome.com.tw/news/158011">7月底，先是有大樹醫藥公告遭遇網路攻擊事件</a>，如今10月初，又有丁丁連鎖藥局的諾貝兒寶貝公告遭遇網路攻擊事件，似乎連鎖藥局與醫療通路可能有被針對的情形，相關業者須多加留意。</p> <p>再者，大樹醫藥與諾貝兒寶貝這兩家業者，都有提及要提醒消費者反詐騙，此舉也意味著，可能有客戶資料外洩情事的發生。大家可以想見的是，現在各類通路服務業者其實都在經營會員，不只線下實體門面也有線上購物，雖然數位發展部今年正<a href="https://moda.gov.tw/ADI/news/latest-news/5429">推動電商相關公協會成立資安強化推動工作小組</a>，但未來如何擴大推動，將是需要持續關注的重點。</p> <p>另一方面，關於10月公告遭網路攻擊的上市櫃公司羅昇與諾貝兒，儘管事件應該沒有相關，但我們從中發現一個較為特殊的關聯，這兩家公司剛好都屬佳世達集團的陣營。以羅昇而言，佳世達旗下友通資訊對羅昇的累計持股在2021年達48.07%，以諾貝兒而言，今年佳世達在參與私募增資與公開收購後，5月宣布已取得諾貝兒28.54%股權。</p> <h3><strong>政府採購有變革，機關與產業可望擺脫過去亂象</strong></h3> <p>關注資安事故的同時，今年臺灣資安防護推動也獲得幾個重要進展，首先是，最新政府資訊服務採購指引出爐。</p> <p>行政院公共工程委員會（行政院工程會）先是在今年9月25日發布政府資服採購作業指引，後續，<a href="https://www.ey.gov.tw/Page/9277F759E41CCD91/15719195-87ba-4927-a509-49b15a63ee5c">行政院在10月5日發布消息，說明通過「政府資訊服務採購革新－資安入規及採購指引」報告</a>，並請各部會及各地方政府，落實執行本次資訊服務採購革新相關事項，同時，<a href="https://www.ey.gov.tw/File/27D24371B8446F4D?A=C">工程會也新提供懶人包說明這次資安入規及採購指引的重點</a>。</p> <p>簡單來說，這項改變之所以重要，不僅是因為資安入規，還有因為過去20年政府資訊服務採購的規範，長年來為機關與資服業者帶來太多爭議與亂象，甚至陷入難以解決惡性循環的情況，例如，對資訊系統建置時的資安規畫與契約履行造成極大的挑戰，也導致業界可能為了得標而必須大幅讓利甚至降低品質。</p> <p>而我們在9月進行資安監控中心SOC的封面故事報導時，當時也感受到資安服務業者面對公部門採購有很多話想說，像是招標機關常年採最低價決標，但廠商面臨技術服務需與時俱進的向上競爭壓力，在收費營收方面卻呈現持續往下的嚴峻挑戰，隨著政府資訊採購確定有新變革，才讓他們認為市場有了轉機。</p> <p>具體來看，在政府資訊服務採購革新上，資安入規是一大重點，在資訊服務採購契約範本新增資安基本要求後，將強化政府資訊服務採購的資安防護，並藉由打造通用性的資通安全基本要求參考一覽表，不僅讓機關和業者對於資安規範有明確的共識，也解決政府採購人員不懂資安專業的困境，可以容易地選擇所需資安等級的規範內容。而且，為了讓資服與資安業者有足夠時間調適配合與因應，預計明年（2024年）3月1日，將資安作為納入採購規範首先針對的是普級系統，明年（2024）8月1日才是針對中、高級系統。</p> <p>同時，新版採購指引更是關鍵，根據工程會的說明，本次指引從全生命週期角度來提出對應作為，同時採最有利標時不訂底價，重視履約過程契約雙方反覆檢視需求及變動並給予合理經費，從源頭減少爭議，並擴大建立政府採購諮詢機制，將有助於事前減少爭議、事後有效解決。</p> <p>無論如何，政府資訊服務採購現在有了好的轉變，雖然這次革新可能還不到滿分完善的地步，但在專家眼中，至少可以讓政府資訊服務採購有正向積極的轉變，比方說，從以往的59分不及格，進步到80分。而我們也期望，新的變革能夠加速提升臺灣機關資安防護能力，並帶動臺灣資服資安業者的產業競爭力。</p> <p>另一個突破會是資通安全管理法的修法，因應相關法令內容即將調整，針對這次修法帶來的改變，以及民眾意見回饋，我們將在11月進行這方面的封面故事報導，與大家一起探討。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/159191"><span style="color: rgb(178, 34, 34);">【資安週報】2023年10月2日到10月6日</span></a></strong></h2> <p>從2023年的零時差漏洞利用情況來看，上半年呈現數量攀升的趨勢，近期我們注意到最近這樣的威脅態勢更是顯著。在中秋連假後這一週，出現多個漏洞遭成功利用的重要消息：</p> <p>　（一）商業間諜軟體開發商發動的零時差漏洞攻擊不斷，影像編解碼程式庫libvpx的漏洞CVE-2023-5217已遭鎖定利用，除了Google修補，後續蘋果與微軟也相繼針對其產品修補這項漏洞。<br /> 　（二）修補手機端的零時差漏洞同樣消息不斷，包括Arm Mali GPU Kernel Driver的漏洞CVE-2023-4211，以及蘋果iOS與iPadOS的漏洞CVE-2023-42824，均有攻擊者發現漏洞加以利用的狀況。<br /> 　（三）思科修補網路設備作業系統IOS、IOS XE的零時差漏洞CVE-2023-20109，已遭攻擊者利用，該漏洞存在於群組加密傳輸VPN（GET VPN）功能。<br /> 　（四）Atlassian旗下的Confluence Data Center版與Server版，傳出身分驗證與Session管理毀損零時差漏洞CVE-2023-22515，同樣已發現遭利用的情形。<br /> 　（五）新修補的漏洞快速遭鎖定。先前我們提到JetBrains在9月下旬修補CI/CD軟體平臺TeamCity重大漏洞CVE-2023-42793，以及本期周報提到Progress在9月底修補FTP伺服器軟體WS_FTP Server重大漏洞CVE-2023-40044，這些弱點修補公布至今不到半個月，均遭攻擊者鎖定利用。<br /> 　（六）4月微軟揭露Windows CNG金鑰隔離服務權限提升漏洞CVE-2023-28229，並公告修補消息，最近亦發現遭利用的證據。</p> <p>在其他漏洞威脅消息上，還有多個同樣需要留意的焦點，例如：資料整合及自動化工具Apache NiFi，今年6月修補的漏洞CVE-2023-34468，近日出現攻擊該漏洞的利用工具；郵件傳送代理程式EXIM存在重大漏洞CVE-2023-42115，去年6月雖然已通報開發團隊，至今卻尚未修補，近期已揭露成為零時差漏洞，目前尚未出現遭濫用的情形。</p> <p>在威脅事件焦點方面，有三大焦點最受關注：</p> <p>　●有資安業者揭露中國駭客寄送釣魚郵件，假借提供聲稱是台積電的簡介PDF檔，意圖濫用Cobalt Strike對半導體產業從是間諜行動。<br /> 　●大樓自動化管理業者Johnson Controls遭勒索軟體攻擊，該公司已在9月底向美國SEC提交8-K表單說明遭遇網路攻擊。<br /> 　●關於日前傳出有駭客組織入侵Sony，在多日調查後，Sony向美國政府通報資料外洩事故，並指出事件起因是6月初遭MOVEit Transfer零時差漏洞攻擊。</p> <p>其他重要惡意威脅態勢上，有兩起與政府相關，有兩起與行動裝置攻擊相關，分別是：東南亞政府機關近年遭中國駭客組織Mustang Panda、Alloy Taurus、Gelsemium鎖定的揭露，南美洲國家蓋亞那政府機關遭惡意程式DinodasRAT攻擊的揭露，以及逾50家越南銀行用戶遭安卓金融木馬GoldDigger的消息，以及中國駭客APT41開始對Android行動裝置下手，所利用的惡意軟體包括DragonEgg、WyrmSpy，並可竊取受害者地理位置資訊。</p> <h2><strong><a href="https://www.ithome.com.tw/news/159285"><span style="color: rgb(178, 34, 34);">【資安週報】2023年10月11日到10月13日</span></a></strong></h2> <p>延續前一周有6個零時差漏洞攻擊與修補的情形，在雙十國慶連假期間，再有3個漏洞受注目，包括：</p> <p>●Cloudflare、Google、AWS揭露名為HTTP/2 Rapid Reset的零時差漏洞攻擊手法，他們紛紛指出8月就已經觀察到此漏洞利用情形。攻擊者是藉由CVE-2023-44487漏洞產生極為巨大的DDoS流量，由於漏洞存在HTTP/2通訊協定，採用該協定的產品與服務範圍相當廣泛，相關修補資訊、受影響的狀態公告，備受關注。<br /> ●本月微軟例行安全更新釋出，總共有103個漏洞，當中除了修補上述CVE-2023-44487漏洞，還有兩個已遭利用的零時差漏洞，包括涉及WordPad的漏洞CVE-2023-36563，以及Skype for Business有關的漏洞CVE-2023-41763。</p> <p>此外，Adobe在今年1月修補旗下Acrobat及Reader的漏洞CVE-2023-21608，後續發現網路上有概念性驗證PoC程式的公開，近日確定有攻擊者鎖定利用的情形；上週提到已遭攻擊者利用的Confluence的零時差漏洞（CVE-2023-22515），如今有最新消息指出是中國駭客組織Storm-0062所為。</p> <p>在最新資安威脅消息上，有廠商警告最近出現鎖定臺灣的攻擊。賽門鐵克揭露全新的APT攻擊組織Grayling，說明該組織的攻擊手法細節，並指出該組織在今年2月到5月鎖定對象，不只是太平洋群島的政府機關、越南及美國的組織，還有臺灣的生醫產業、製造業、IT產業。</p> <p>在國際局勢方面，由於巴勒斯坦激進組織哈瑪斯（Hamas）突然對以色列發動大規模的軍事攻擊，接著以色列也開始反擊，網路上陸續傳出駭客組織聲援巴勒斯坦的消息，像是俄羅斯駭客鎖定以色列衛星及工控系統攻擊等，甚至有資安業者揭露有上百駭客組織表態參與發動網路攻擊，並指出其中聲援巴勒斯坦的有77個，支持以色列的有20個。</p> <p>其他重要消息上，這段期間，還有中國駭客ToddyCat鎖定亞洲電信業者散布後門程式CurKeep的情形，以及殭屍網路Mirai變種病毒IZ1H9近期攻擊行動的揭露。國內有一起資安威脅事故相關消息，那就是去年有人在暗網購買我國戶籍資料的事件，警調單位有最新資訊公布，對於擅自購買大量個資的嫌犯，檢察官考量其沒有前科，並坦承犯案已知悔悟，因此給予緩起訴，期限1年，以及繳庫50萬元的條件。</p> <p>至於防禦態勢上，近日美國NSA、DHS與CISA釋出最常見10大資安配置錯誤的報告，重點是提供了網路防禦者因應的建議，並呼籲軟體製造商立即著手採用安全設計原則，以減輕整體資安防護的負擔。</p> <h2><strong><a href="https://www.ithome.com.tw/news/159426"><span style="color: rgb(178, 34, 34);">【資安週報】2023年10月16日到10月20日</span></a></strong></h2> <p>在這一週漏洞利用消息中，有兩個新漏洞及兩個已知漏洞遭鎖定的消息，成為企業必需關注的重點，包括：</p> <p>（一）思科公開網路設備作業系統IOS XE作業系統的零時差漏洞CVE-2023-20198，嚴重等級達到CVSS滿分，並警告大家已出現攻擊者成功利用該漏洞的情形，他們建議，目前用戶系統若是暴露在公開網路，應將IOS XE的HTTP Server功能關閉，並注意後續修補更新的釋出。揭露此消息之後的隔天，隨即有資安業者回報災情，因為他們發現多達數千臺Cisco IOS XE裝置已被植入了惡意檔案。<br /> （二）Milesight工控路由器（industrial cellular routers）漏洞CVE-2023-43261已公開揭露，儘管該設備商表示已修補，但值得注意的是，有資安業者透露此漏洞可能已被惡意利用，並指出這類產品用於鐵路貨運運輸、自動提款機（ATM）網路與緊急車輛使用。依此態勢來看，交通與金融服務均可能面臨威脅。<br /> （三）今年7月WinRAR修補的零時差漏洞（CVE-2023-38831），自4月即遭到攻擊者成功利用，本周有多家資安業者分別指出，發現俄羅斯與中國國家駭客組織所發動的網釣攻擊，正積極利用這個已知漏洞。<br /> （四）今年9月JetBrains修補CI/CD軟體平臺TeamCity重大漏洞（CVE-2023-42793），如今傳出有北韓駭客組織Lazarus及旗下團體Andariel鎖定該已知漏洞利用的消息。</p> <p>其他漏洞消息方面，包括：Juniper Networks修補網路設備作業系統逾30個漏洞、Oracle季度安全更新修補185個漏洞。</p> <p>在網路威脅焦點上，我們選出幾個重大事件，包括2個新攻擊手法，以及4個鎖定不同產業而來的網路攻擊行動的揭露：</p> <p>●新型態Magecart信用卡側錄（Card Skimming）攻擊行動的揭露，駭客使用了網站預設404錯誤訊息頁面來隱藏他們的惡意程式碼。我們甚至看到揭露的資安研究人員指出，這是他們前所未見的創造性隱匿手法。<br /> ●還有攻擊者部署竊資軟體時的新手法揭露，駭客濫用了幣安智能鏈（BSC）數位貨幣合約，也就是先利用植入WordPress的惡意程式碼，將流量導向幣安，再從區塊鏈取得惡意指令碼注入網站，這也導致攻擊程式碼難以清除的挑戰。<br /> ●關於電信產業的威脅，烏克蘭電腦緊急應變小組（CERT-UA）指出，最近半年來，該國至少11家電信業者遭到俄羅斯駭客組織Sandworm攻擊，他們也公布目前發現的駭客攻擊手法。<br /> ●東南亞國協會員國的外交單位遭鎖定，資安研究人員發現中國駭客使用的後門程式Bloodalchemy。<br /> ●東歐石油產業、天然氣公司、國防工業遭後門程式框架Meta鎖定，資安業者發現攻擊者從工控環境入侵總公司內部網路，並利用釣魚郵件、IE瀏覽器漏洞CVE-2021-26411觸發感染鏈，入侵財務系統的伺服器。<br /> ●程式開發與資料科學領域常用的Jupyter Notebook遭鎖定，駭客除了將伺服器的運算資源拿來挖礦，也企圖竊取組織使用的AWS、Google Cloud雲端服務帳密資料，進一步擴大危害的範圍。</p> <p>另外，還有3起資料外洩消息，包括：卡西歐坦承他們的教育網頁應用程式ClassPad.net的開發環境伺服器，遭到未經授權存取而洩漏資料，波及149國客戶；基因檢驗業者23andMe傳出資料外洩，410萬筆英國民眾資料流入駭客論壇；臺灣網路設備廠商友訊科技（D-Link）傳資料外洩，該公司證實的確有程式碼外洩的情況，起因是員工遭網釣攻擊，而且，他們表示，外流資料並非駭客宣稱的D-View原始碼，而是舊的會員註冊網站的程式碼。這項說法顯然有別於先前傳聞，孰是孰非仍有待觀察。</p> <p>至於防護態勢上，開源軟體供應鏈安全領域今年受到各界重視，範圍相當廣泛，雖然多家廠商均宣示要強化管控，但在開發人員之間流通的各種延伸套件，資安問題仍層出不窮，現在終於出現提升能見度的新做法。由於過去缺乏惡意套件公共資料庫，不易匯總相關發現與報告，因此開源安全基金會OpenSSFGitHub上推出惡意套件儲存庫，幫助外界更有效掌握已知惡意套件；在金融詐騙安全防護領域，臺灣今年積極引進與推動AI進行協助，例如，內政部警政署刑事警察局4月成立AI鷹眼識詐聯盟，其AI偵測專利技術的「鷹眼模型」由北富銀與內政部刑事警察局合作開發，本周有32家銀行宣布加入該聯盟，擴大鷹眼模型防護範圍，預計明年6月前完成導入。</p> <h2><strong><a href="https://www.ithome.com.tw/news/159577"><span style="color: rgb(178, 34, 34);">【資安週報】2023年10月23日到10月29日</span></a></strong></h2> <p>回顧近期重大漏洞攻擊事故，最受各界矚目的，莫過於思科10月中旬公布的零時差漏洞CVE-2023-20198，駭客將其用於植入後門程式的攻擊行動，但經過一星期的延燒，後續竟出現不合理的劇烈減少的罕見現象，研究人員認為起因是駭客更換新的後門程式，導致原本的後門程式數量減少。</p> <p>其他資安事故的部分，身分存取管理服務業者Okta客戶技術支援系統遭駭，最令人憂心，因為有非常多的廠商與企業採用，造成廣泛牽連的局面，目前身分存取管理業BeyondTrust、雲端服務業者Cloudare、密碼管理業者 1Password，都表明因這起事故而遭到攻擊。後續效應有待觀察。</p> <p>電子郵件系統持續遭到駭客組織鎖定已是常態，但針對的平臺也有不同，例如，過往大部分是針對微軟Exchange、開源的Zimbra而來。這週有一套名為Roundcube的網頁郵件系統，俄羅斯駭客組織Winter Vivern、APT28鎖定，對方正在利用未知或已知漏洞從事攻擊行動。</p> <p>這週也有攻擊隔離網路（Air-Gapped）環境的情況，資安業者揭露鎖定USB安全加密隨身碟的攻擊行動TetrisPhantom，駭客先對位於非隔離網路環境的電腦下手，在連接這種隨身碟時，趁機將惡意程式植入裝置當中，等到用戶將隨身碟帶到受隔離系統使用，會趁機植入並進行竊密。</p> <p>關於資料外洩的手法，最近有新的話題。駭客不僅透過臉書收集攻擊目標的使用者資料，也會在臉書及Instagram專供執法單位存取的入口網站Police Portal帳密，這種入口網站是在政府機關因應辦案需求，向他們請求用戶的IP位址、電話號碼、裝置資訊等資料所用，後續資料洩露的情況尚不明朗。</p> <p>在資安防護的措施上，本週有新的動態，例如，美國CISA針對醫療產業推出一站式工具包，提升網路安全。再者，則是Google宣布擴大AI漏洞懸賞的範圍，當中也列入生成式AI。</p> <p>在國內的資安防護措施上，則是包含跨國網路攻防演練CODE 2023，以及政府專屬短碼簡訊平臺111。這次CODE 2023的攻防標的，選定與民生相關的水資源領域關鍵基礎設施（CI），進行攻防演綀，結果我國參與團隊表現傑出，得到冠軍。</p> <p>而政府短碼簡訊平臺的部分，則是繼數位發展部推出短網址服務之後，另一項新的防堵假冒政府機關詐騙措施。政府機關透過專屬平臺發送111短碼簡訊，達到只此一家、別無分號的效果，首波內部測試已有中央與地方的政府單位參與，現在將開放更多機關使用。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/159207">2023年9月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/158650">2023年8月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/158096">2023年7月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/157613">2023年6月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/157226">2023年5月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/156683">2023年4月資安月報</a></h3> <h3> </h3> <p> </p> <p> </p> </div></div></div>
2023/11/12 08:00作者羅正漢https://www.ithome.com.tw/news/159582
AI趨勢周報第234期：GitHub將在12月正式上線程式助理Copilot Chat
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1103～1109)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GitHub </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Copilot Chat </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 程式開發 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>GitHub將在12月正式上線程式助理Copilot Chat</strong></span></p> <p>原始碼代管平臺GitHub最近在<a href="https://reg.githubuniverse.com/flow/github/universe23/attendee-portal/page/welcome?utm_source=Blog&utm_medium=GitHub&utm_campaign=keynote-launch">技術年會</a>上揭露新進展，將在下個月正式上線程式開發助手GitHub Copilot Chat，使用者可以自然語言方式，來進行程式碼除錯、程式碼編寫等任務。所有GitHub Copilot訂閱戶屆時皆可使用，Copilot Chat也將免費提供給經驗證的教師、學生和熱門開源專案的維護者。</p> <p>今年7月，GitHub就開始測試以GPT-4為基礎的Copilot Chat。這次，他們在11月8日的年度大會上，除了揭露正式上線時間，也說明Copilot Chat的亮點，包括能根據程式碼上下文來解釋複雜概念、偵測安全漏洞，還能直接在程式碼行中使用Copilot Chat處理特定程式碼，另也引入斜杠指令（如/fix、/tests）和建議動作，使用者點擊一下就能完成任務。GitHub也表示，他們正將Copliot Chat整合至github.com和行動版App中，後者可讓使用者在Android或iPhone手機上，以文字或語音方式解決程式開發問題。</p> <p>不只如此，GitHub Next研究團隊還揭露新服務Copilot Workspace，由AI驅動，可協助開發者將想法轉化為程式碼。比如，開發者可在Copilot Workspace中提問，系統會自動產出建議計畫，解釋如何實作變更，開發者就可透過Workspace中的元件來建置、執行和測試程式碼，若出現錯誤，系統還會自動修復。GitHub預計在明年正式推出Copilot Workspace。<a href="https://github.blog/2023-11-08-universe-2023-copilot-transforms-github-into-the-ai-powered-developer-platform/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202023-11-12%20at%202_05_12%20AM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OpenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GPTs </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ChatGPT </span></strong></span></p> <p><span style="font-size: 22px;"><strong>OpenAI發表客製化AI服務GPTs</strong></span></p> <p>OpenAI在年度技術會上發布新工具GPTs，能讓使用者用來打造客製化ChatGPT，還能上傳自己的ChatGPT到GPT商店，來讓其他用戶使用。OpenAI也提供幾種樣板，比如能回答所有桌遊規則的ChatGPT、談判教學的ChatGPT，或是技術支援顧問的ChatGPT等。GPTs即日起支援ChatGPT Plus與ChatGPT Enterprise等付費用戶，並計畫開放給更多用戶。</p> <p>OpenAI指出，使用者只需提供指令和額外知識，就能在GPTs建立特定目的的ChatGPT，完全不需撰寫程式。而且，使用者打造的客製化模型，還能串接API，如資料庫、Email等，來執行即時任務。甚至，企業使用者可用來打造內部分級專用的ChatGPT。OpenAI預告，他們將在這個月推出GPT Store，能讓經驗證的開發者上架自己的ChatGPT、與其它用戶分享，OpenAI也將在未來幾個月建立收費機制。<a href="https://openai.com/blog/introducing-gpts">（詳全文）</a></p> <p><img alt="" src="https://images.openai.com/blob/2014517b-1a80-4b62-bbb6-caa490f69299/introducing-gpts.png?trim=0,0,0,0&width=2600" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GPT-4 Turbo </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> API </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI助理 </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI揭露GPT-4 Turbo，可消化300頁文字</strong></span></p> <p>OpenAI最近在技術大會上發表GPT-4 Turbo預覽版，不只訓練資料更新到2023年4月，支援的脈絡（Context Window）長度還達到12.8萬個Token，最大輸出量為4,096個Token。其中，脈絡長度是指GPT在生成答案時，所參考的歷史資料範圍，包括使用者曾輸入的文字，或GPT曾產生的答案，而支援12.8萬個Token，代表GPT-4 Turbo最多可考慮將近300頁的文字。</p> <p>所有付費開發者皆可於API請求中，加入gpt-4-1106-preview來預覽GPT-4 Turbo，正式版可望於數周後出爐。同時，OpenAI還推出Assistants API，能讓開發者打造AI助理，可呼叫模型和工具來執行任務，如Code Interpreter、Retrieval與函數呼叫等。<a href="https://openai.com/blog/new-models-and-developer-products-announced-at-devday">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 提示工程 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> xAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> PromptIDE </span></strong></span></p> <p><span style="font-size:22px;"><strong>xAI推出提示工程開發環境PromptIDE</strong></span></p> <p>就在xAI揭露自家大型語言模型Grok-1後幾天，又推出了開發環境PromptIDE，能專門處理複雜的提示工程和可解釋性研究。xAI指出，PromptIDE本是團隊用來開發Grok-1所打造的開發環境，核心是一個Python程式碼編輯器和Python SDK，可讓使用者嘗試複雜的提示技術。</p> <p>在IDE中執行提示時，使用者可查看分析結果，如精確分詞（Tokenization）、抽樣機率、替代token和聚合注意力遮罩等。此外，這個IDE還提供品質管理功能，如自動保存所有提示、內建版本控制等。xAI表示，他們希望藉PromptIDE建立社群，來讓使用者一鍵分享提示和分析資訊。目前，PromptIDE只供xAI的早期存取計畫成員使用。<a href="https://x.ai/prompt-ide/">（詳全文）</a></p> <p><img alt="" src="https://x.ai/screenshot_42.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 晶片 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 晶創臺灣方案 </span></strong></span></p> <p><span style="font-size:22px;"><strong>鼓勵生成式AI晶片應用，政院通過10年3千億晶創臺灣方案</strong></span></p> <p>日前，行政院核准國科會提出的晶片驅動臺灣產業創新方案（簡稱晶創臺灣方案），將在2024至2033年的未來10年內，投入3,000億元經費來推動生成式AI和晶片的創新應用。</p> <p>進一步來說，該方案提出4大策略，除了促進生成式AI結合晶片的產業新應用，還要強化人才培育環境、加速產業創新所需的異質整合與先進技術，以及吸引國際新創和投資來臺。該方案是由國科會跨部會，聯手經濟部、教育部、衛福部、農業部、數發部、國發會共同推出，不只規畫2024年科技預算120億元，未來10年還要投入3,000億元來執行。國科會表示，該方案明年開始執行，後續將由經濟部制定企業申請和審核規範。<a href="https://www.ey.gov.tw/Page/448DE008087A1971/85934011-c705-4b5c-87a4-a0beb8df0c6f">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 0.1AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Yi </span></strong></span></p> <p><span style="font-size:22px;"><strong>李開復AI新創開源雙語LLM</strong></span></p> <p>由前微軟亞洲研究院院長、創投家李開復創立的AI新創零一萬物（[01.AI](<a href="http://01.ai/">http://01.ai/</a>)）最近發布大型語言模型Yi-6B和34B版本，並開源出來。零一萬物是今年3月在中國成立的生成式AI新創，在成立8個月後，李開復在與彭博的訪談中公布名為Yi的首個LLM，包含60億及340億參數訓練的2個版本。這個模型已透過GitHub開源給社群。</p> <p>Yi是一套中英雙語的基礎模型，可處理的上下文長度為200K個Token。雖然比起其他開源模型小得多，但根據Hugging Face列出的基準測試結果，Yi-34B效能在數個指標例如在常識推理、閱讀理解和數學與寫程式測試中，表現比Falcon-180B和Llama2-70B等大型模型還好。MMLU、CMMLU、C-Eval等測試中，也都拿下第一名。<a href="https://huggingface.co/01-ai/Yi-34B">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Brave </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI助理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 安全 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Brave推出瀏覽器AI助理Leo</strong></span></p> <p>繼Google Chrome和微軟Edge後，瀏覽器開發商Brave也推出桌機版Brave瀏覽器的原生AI助理Leo，主打不蒐集對話、不追蹤用戶，且能減少AI幻覺問題。目前，Leo開放免費使用，用戶可針對造訪網頁提出各種要求，例如為網頁文章摘錄重點、生成影片字幕、翻譯網頁、分析／改寫或擴充原有網頁內容。</p> <p>與其他生成式聊天機器人不同的是，Leo的回應全以網頁內容為基礎，而非憑空生成資訊。與此同時，Brave也推出付費版的Leo Premium服務，每月15美元，有別於免費版Leo是以Llama 2為底層模型，Leo Premium以Claude Instant為基礎模型，不只更快、更輕，還著重邏輯推理和程式碼撰寫，能更準確執行指令，在數學、程式、多語言和回應問題的能力也有提升。<a href="https://brave.com/leo-launch/">（詳全文）</a></p> <p><img alt="" src="https://brave.com/static-assets/images/optimized/leo-launch/images/image1.webp" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LeMA </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微調 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟研究院：從錯誤中學習的LLM表現更好</strong></span></p> <p>微軟亞洲研究院、北京大學、西安交通大學研究人員聯手提出一種AI訓練方法LeMA，能模仿人類學習知識的過程、從錯誤中學習，進而改善AI推理能力。進一步來說，該方法的原理是生成一對包含錯誤與修正版資料的資料組，來微調LLM。為取得修正資料，團隊蒐集了包括LLaMA和GPT系列的5個LLM的錯誤答案和推理途徑，再以GPT-4作為「訂正者」，來提供修正資料。修正資料包含三類資訊，分別是辨識出原有推理的錯誤步驟、解釋推理為什麼錯，最後修正錯誤、以及說明如何修正原方法以獲得最後正確答案，之後再由人類評估，夠好的修正答案才會用來微調LLM。</p> <p>團隊也以2種問題資料集來測試LeMa方法，並比較只以CoT資料集來微調LLM的效果。結果顯示，以LLaMA-2-70B為例，它在兩種方法下，在GSM8K資料集的準確率分別是83.5%、81.4%，在MATH則為25.0%和23.6%。團隊還發現，在同樣資料量的訓練下，LeMA方法也比純CoT微調來得好。<a href="https://arxiv.org/abs/2310.20689">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 三星 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 程式開發 </span></strong></span></p> <p><span style="font-size:22px;"><strong>三星揭露3款生成式AI模型，還要整合至新手機</strong></span></p> <p>南韓電子大廠三星日前在自家AI年度論壇上，揭露生成式AI模型Samsung Gauss，可處理文字生成、圖像生成和程式碼撰寫能力。進一步來說，該模型由三星研究院打造，可細分為3種版本，包括Samsung Gauss Language、Samsung Gauss Image和Samsung Gauss Code。</p> <p>其中，Gauss Language專精文字生成，可用於撰寫電子郵件、摘錄文件重點和翻譯內容等任務。Gauss Code則與程式碼撰寫助理code.i相輔相成，能讓開發者輸入自然語言指令，來快速完成程式碼撰寫工作，還能透過互動介面生成程式碼描述和撰寫測試用例。Gauss Image則能讓使用者輕易生成和編輯圖片，包括變更風格、增添效果，或將低解析度圖片轉為高解析度。這些模型已於三星內部使用，未來將整合到多種自家產品和應用程式，比如語音助理Bixby、智慧家庭Smart Things設備，甚至是明年將上市的Galaxy S24手機等。<a href="https://news.samsung.com/global/samsung-ai-forum-2023-day-2-discussing-technological-trends-and-the-future-of-generative-ai">（詳全文）</a></p> <p>圖片來源／GitHub、OpenAI、xAI、Brave</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. IBM成立5億美元的AI創投基金</strong></p> <p><strong>2. 微軟Xbox與Inworld AI合作打造基於AI的遊戲開發工具</strong></p> <p><strong>3. 英特爾首度在臺公開展示三款AI PC筆電，還支援7B Llama 2模型推論</strong></p> <p>資料來源：iThome整理，2023年11月</p> </div></div></div>
2023/11/11 20:16作者王若樸https://www.ithome.com.tw/news/159743
整合IPS技術，Google Cloud打造雲端原生的次世代防火牆
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/google_cloud_firewall-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年8月底登場的Google Cloud年度用戶大會Next期間，該公司宣布即將推出新的雲端次世代防火牆，名為Cloud Firewall Plus，釋出預覽版本供大家測試。</p> <p>這項強調雲端優先、雲端原生特色的網路安全防護服務，是由Google Cloud旗下資安公司Mandiant，以及次世代防火牆廠商Palo Alto Networks一起合作而成，可提供進階威脅防護（ATP）與簡化維運等功能，當中也將整合網路安全態勢的統一控管。</p> <p>Cloud Firewall Plus的主要賣點，在於能夠大幅強化線上（Inline）威脅防護力，根據他們使用<a href="https://www.keysight.com/tw/zh/products/network-security/breakingpoint.html">網路安全測試解決方案Breakingpoint</a>進行驗證，相較於其他雲端防火牆，Google Cloud這套新上場的資安服務可獲得20倍的成效，而能夠整合Palo Alto Networks的威脅防護技術，正是表現如此優異的關鍵因素之一。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-30-GCP%20Next-Network-Strategy.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-30-GCP%20Next-Cloud%20NGFW.jpg" style="width: 600px;" /></p> <p>而在整體運作方式上，Cloud Firewall Plus本身是分散式防火牆架構，可確保簡化管理、易於擴展執行規模，並且能夠涵蓋整個雲端服務環境，而且不需要重新調整網路流量的路由，或是大幅調整雲端網路架構。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-12-GCP Cloud Firewall1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-12-GCP%20Cloud%20Firewall1.jpg" style="width: 600px;" /></a></p> <p>對於網路安全態勢的控管，也是Cloud Firewall Plus的重點，能橫跨多個邊界與不同工作負載進行統一的管理，用戶可設定適用於整個組織的防火牆政策，或是基於身分存取管理系統（IAM）產生的標籤而訂定的政策，以便涵蓋到橫跨網路層與應用層的工作負載。</p> <p>對於網路威脅的因應，Cloud Firewall Plus提供簡化的單一政策，可強制整個組織套用，以便快速處理資安事故。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-12-GCP%20Cloud%20Firewall2%20Policy.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-10-gcp cloud firewall policy.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-gcp%20cloud%20firewall%20policy.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-gcp%20cloud%20firewall%20policy%20rule.jpg" style="width: 298px;" /></p> <p>關於Palo Alto Networks在這次合作扮演的角色，該公司也特別貼出部落格文章提出說明。他們表示，Cloud Firewall Plus是可擴展規模、雲端原生的網路防火牆服務層，當中提供的入侵防禦系統（IPS）功能，就是出自<a href="https://www.paloaltonetworks.tw/products/secure-the-network/threat-prevention">Palo Alto Networks的威脅預防技術（Threat Prevention）</a>，可提供強大的資安防護力，並搭配Google Cloud雲服務強調的簡化管理與易於擴充特色。</p> <p>在此之前，兩家公司在2021年曾合作推出雲端原生的資安代管服務，也就是Google Cloud的<a href="https://cloud.google.com/intrusion-detection-system?hl=zh-TW">Cloud IDS（Intrusion Detection System）</a>，用戶可藉此監控Google Cloud虛擬私有雲（VPC）環境的工作負載或容器，透視當中的應用程式活動，以及偵測網路威脅的存在，達到保護應用系統與遵循法規的要求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-01-Google Cloud IDS-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-01-Google%20Cloud%20IDS-1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-01-Google Cloud IDS-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-01-Google%20Cloud%20IDS-2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2022-01-Google Cloud IDS-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-01-Google%20Cloud%20IDS-3.jpg" style="width: 298px;" /></a></p> <p>後續隨著即時預防網路威脅的需求增加，Google決定發展Cloud Firewall Plus，提供原生的線上安全防護，以對抗進階威脅，讓用戶能夠獲得企業級的資安機制，實現網路東西向與南北向的流量檢測，並且具備控管網路安全態勢的能力，可對組織內部環境或橫跨多個環境的連線活動，強制實施網路架構第三層（L3）、第四層（L4）、第七層（L7）的資安管理政策。</p> <p>在此同時，Cloud Firewall Plus也提供動態群組的管理方式，具備額外的控制粒度與更大的使用彈性，使得企業能直接指定想要進行網路安全檢測的流量，而不會妨礙他們Google Cloud雲端網路現行或未來的使用狀態。</p> <p>到了10月，Cloud Firewall Plus仍處於預覽狀態，但Google Cloud進一步解釋Cloud Firewall Plus的相關整合。他們表示，這項服務同時結合察看網路加密連線流量的功能，可檢測使用TLS加密的網路流量，為Google Cloud工作負載提供透明的線上防護。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-Cloud_Firewall_Tiers_max-Web.jpg" style="width: 600px;" /></p> <p>至於IPS功能，Cloud Firewall Plus運用一套完全整合的L7模組，而此模組支援階層型網路防火牆政策（Hierarchical Firewall Policies），以及基於標籤而成的網路防火牆規則。基於這樣的作法，Google Cloud用戶在部署威脅預防服務時，不需更改網路設定或拓樸，而且能協助降低整體基礎架構的管理與營運成本。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-12-GCP Cloud Firewall7 Hierarchical Policies.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-12-GCP%20Cloud%20Firewall7%20Hierarchical%20Policies.jpg" style="width: 600px;" /></a></p> <p>有了階層型網路防火牆政策，Cloud Firewall Plus能在針對<a href="https://cloud.google.com/resource-manager/docs/cloud-platform-resource-hierarchy">Google Cloud資源階層</a>，針對整個組織與<a href="https://cloud.google.com/resource-manager/docs/creating-managing-folders">不同部門（資料夾）</a>的層級，強制實施細緻的政策。這類政策可協助用戶建立分層控管，便於簡易授權與獨立稽核，因應雲端資源飄移的現象。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Google Cloud resource hierarchy.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Google%20Cloud%20resource%20hierarchy.png" style="width: 400px;" /></a></p> <p>在Cloud Firewall Plus的IPS實際運作方式上，主要是將網路流量導引至Google Cloud代管的分區防火牆端點（zonal firewall endpoints），在此使用<a href="https://cloud.google.com/firewall/docs/about-intrusion-prevention">封包攔截技術</a>，依據已設定好的威脅特徵進行工作負載的檢測，進而保護網路、使其免於受到威脅。經由這樣的處理流程，威脅預防功能可置入Google Cloud任兩個網路介面之間，或是兩個虛擬私有雲的網路之間，而且彼此都在相同的虛擬私有雲網路或子網路當中，不需要重設路由或變更網路拓樸架構等方式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-gcp%20cloud%20firewall%20arch.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Google Cloud IPS.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Google%20Cloud%20IPS.png" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Google Cloud Firewall</strong><br /> ●原廠：Googl Cloud<br /> ●建議售價：基礎版免費，標準版每GB為0.018美元，加值版未公開價格<br /> ●主要功能：提供分散式防火牆服務、簡化網路與防火牆政策的設定與部署、提供細部控制與網路微分段<br /> ●三大版本通用功能：全域與區域的網路防火牆政策管理、標籤整合、狀態檢測、位址群組管理<br /> ●標準版專屬功能：Google Cloud Threat Intelligence、FQDN物件、依據不同地理區域進行過濾<br /> ●加值版專屬功能：入侵防禦系統</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/11/12 00:57作者李宗翰https://www.ithome.com.tw/review/159713
【iThome 2023資安大調查系列2】政府學校企業資安風險圖（2023～2024）
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1151-zheng_fu_xue_xiao_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2024年是臺灣大選年，每逢大選，政府機關格外繃緊神經，因為得面對更頻繁、龐大，甚至是攻擊手法不斷變化的各種網路攻擊。</p> <p>政府機關資訊系統是重要的關鍵基礎設施，政府近幾年將資安即國安視為重要政策方向，投入許多資源來強化資安和數位韌性。9成政府機關與學校的資訊主管將資安列為年度重要目標，這個比例遠高於其他產業，今年平均資安投資更高達了2,536萬元，僅次於IT預算相對充沛的金融業。政府學校的資安預算占了IT預算的12.1%，甚至比數位轉型預算的比重要還要高。今年資安投資重點前三名包括了與弱點掃描、滲透測試和網路安全，這三類與對外服務的應用系統安全息息相關的項目。</p> <p>這2年政府開始大力發展零信任架構，也讓政府學校的資安信心相對也比其他產業來得更高，對資安能力大致有信心的機關約占6成，甚至有3成是非常有信心，5.9%是極有信心。</p> <p>不過，政府學校在2022年所面臨的資安挑戰依舊不小，政府機關學校平均會遭遇17起重大資安事件，平均可以提前5.3天發現潛伏的攻擊，這個預警偵測能力相對不高，比金融、服務、醫療都還要來得久。不過，政府機關學校的數位韌性表現較好，系統遭攻擊後的復原時間，平均只要2.9天，僅次於金融業的1.1天。</p> <p>這幾年政府學校所面臨的重大資安威脅，每一年都不太一樣。2021年發生風險最高的前三大威脅是資安漏洞事件、駭客和社交工程手段。2022年，社交工程發生風險躍升到第一名，駭客攻擊依舊排名第二，資安漏洞事件的發生風險，則下滑到第三，這已反映出2022年政府機關大力改善自身應用系統安全品質的成果。</p> <h3><span style="color:#0000FF;"><strong>2023～2024年，國家級攻擊組織成為首要風險，也得同時因應不同類型資安風險</strong></span></h3> <p>到了2023～2024年，政府學校CISO和CIO們，預期將更容易遭遇比過去更多元化的資安威脅類型。</p> <p>未來1年，政府機關和學校將面臨的首要風險除了駭客還有來自國家級攻擊組織的威脅，社交工程手段則下滑到次要風險項目。尤其，2024年總統大選的緣故，政府機關資訊主管和資安主管格外警戒來自國家級攻擊組織的威脅。</p> <p>對政府機關而言，過去2年，國家級攻擊組織帶來的影響雖然很高（2022年名列第三高衝擊），但是出現攻擊的可能性，在前兩年的排名都不算太高，在2021年名列第九，2022年則是名列第八，遠低於資安漏洞、釣魚網站、勒索軟體資安事件、資料外洩等。</p> <p>但是到了2023和2024年，政府資安長突然提高了對這一項風險項目的警戒，評估發生可能性的排名，大幅提高到了第三，僅次於駭客和社交工程手段的發生可能性，在衝擊影響排名上，也預期比去年更高，國家級攻擊組織威脅對政府過關帶來的衝擊，在2023～2024年名列第二ㄡ僅次於駭客帶來的影響。而過去風險高的資安漏洞威脅，在2023～2024年的發生風險排名大幅下滑到第7名，與釣魚網站、勒索軟體資安事件、網路犯罪者的威脅排名相當。</p> <p>不過，政府學校在未來一年需要留意幾項，風險威脅在這一年突然上升的項目，包括了來自物聯網的攻擊、透過行動應用的攻擊、挖礦攻擊，還有因為內部人員而導致的資安事件。這幾項雖然沒有進入衝擊高且發生風險高的第一象限，而是分散在衝擊高但發生風險低的第二象限，或是攻擊低但發生風險高的第三象限，可是都在進入第一象限的邊緣，這也意味著，很容易進入了必須特別警戒的第一象限。</p> <p>政府學校除了得因應和過去不一樣的首要風險，還要留意這一些不同類型風險項目的威脅突然驟增，更讓政府必須警戒的資安防護場域更多，挑戰也更大，不只是提供服務的政府網站，還包括了政府行動應用，或是整合了物聯網的整合型應用都得留意。這也是未來一年，政府部分與學校資安主管的考驗，不再只是聚焦少數幾項風險來因應，得更有全盤性、全面性的資安因應策略和數位韌性作為，才能因應來自更多不同類型攻擊威脅的發生。這2年行政院開始大力推動的零信任架構，正是一種可以因應不同類型攻擊的強化作法，政府部門得加快腳步更積極導入才行。</p> <p>過去5年，受惠於資安法的訂定，的確的大幅強化了不少政府部門的資安資源和防護能力，在2023年9月，數位部也預告將首度展開資安法的修法，來因應過去幾年推動上的問題，例如計畫將資安專職人員的設置，從行政命令將提高到法律位階來強化資安人力的設置，也計畫資安會報正式入法，來強化跨機關、中央地方聯防機制等。資安法的再次修訂，也有助於政府學校未來的資安防護能力和威脅因應能力。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1151-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A1-600-(%E5%A4%A7).png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1151-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A1-600-(%E5%B0%8F).png" style="width: 600px;" /></a></p> <p><span style="font-size: 16px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 企業資安風險圖製作說明 </span></span> 在iThome 2023年CIO暨資安大調查中，由企業自評各資安項目的兩項指標，一項是該項目對企業帶來的衝擊程度（衝擊極高和衝擊極低），另一項是這個項目未來1年的發生風險（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1 年發生該項目的風險，位置越右，代表可能性越大。紅色文字的項目為今年發生風險明顯提高者。</strong></span></p> <p><span style="font-size: 16px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> 大調查執行期間從2023年4月20日到5月10日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷407家，其中59.8%填答者為企業資安最高主管</strong><strong style="font-size: 14px;">。</strong></span></p> <p><span style="font-size: 16px;"><span style="color: rgb(105, 105, 105);"><strong>資料來源：2023 iThome CIO大調查，2023年7月</strong></span></span></p> </div></div></div>
2023/11/11 11:50作者王宏仁https://www.ithome.com.tw/article/159277
前端框架Angular 17內建新控制流程語法，並改進延遲載入功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行動與桌面網頁應用程式開發框架Angular在上個月剛過13歲生日，距離Angular 16發布6個月，遵循主要版本更新節奏，官方於11月準時<a href="https://blog.angular.io/introducing-angular-v17-4d7033312e4b">發布第17個主要版本</a>。這個版本引入了一些重要更新，包括新的模板控制流程語法，簡化過去複雜的結構指令。此外，Angular團隊還加入可延遲檢視（Deferrable Views）新功能，讓開發者能夠簡單地實作延遲載入功能。</p> <p>Angular 17所新內建的控制流程語法，目的在於改善開發者體驗。這種新語法更符合JavaScript直覺的程式碼編寫風格，降低開發者對文件的依賴，並提供更好的類型檢查。這個概念主要在建置階段運作，可降低執行時占用的空間，減少套件大小約30 KB。這對於需要快速載入的網站和應用程式，特別是在行動裝置上或是網速較慢的地區，將能有效改善用戶體驗，並且提升最大內容繪製、首次輸入延遲和累積佈局偏三個核心網頁指標分數。</p> <p>新的控制流程包括對條件陳述句的改進，像是新的@if陳述句，能夠用於簡化原有的*ngIf的else陳述句，而@switch陳述句則能改善*ngSwitch的類型細分，另外，Angular 17還推出新的內建for迴圈，透過新的對比演算法提高渲染速度，使其在社群框架基準上達到90％的執行時效能提升。</p> <p>官方還加入一種稱為可延遲檢視（Deferrable Views）的新功能，來改進延遲載入。這個功能讓開發者可以透過簡單的宣告式程式碼，實現元件的延遲載入，像是在需要的時候，才載入用戶評論列表等。透過@defer陳述句，Angular在編譯時便會自動處理其複雜性，包括尋找元件、指令、建置工作管線、生成動態匯入，以及管理載入和狀態轉換的過程。</p> <p>此外，可延遲檢視功能還提供多種觸發器，讓開發者能夠實作像是在特定DOM元素進入視窗時才載入元件，或者根據用戶與特定元素的互動開始延遲載入等情境。可延遲檢視還支援預載入相依項目，進一步提升效能和用戶體驗。整體來說，這些功能更新讓原本需要編寫複雜程式碼，和處理各種極端情況的才能執行的工作變得容易，提高程式開發效率。</p> <p>Angular還對混合渲染體驗進行重大改進，特別是強化了伺服器端渲染和靜態網站生成。現在開發者可以透過新的提示功能，簡單地啟用伺服器端渲染和靜態網站生成。而先前加入的Hydration功能，經過幾個版本的改善，也從開發者預覽階段畢業，現在會於所有使用伺服器端渲染的應用中預設啟用。Hydration是讓伺服器端渲染生成靜態HTML，並於用戶的瀏覽器中，快速變成完全可互動單頁應用程式的過程。</p> <p>在之前Angular 16所加入的實驗性建置工具Vite和esbuild，現在已經成為預設，這大幅提升了ng serve和ng build指令的效率，官方提到，這是Angular CLI建置工作管線的根本性改進，尤其是在伺服器端渲染方面發揮了重要的功能。</p> <p>在Angular加入Vite和esbuild後，許多用戶進行了試驗，發現部分應用程式建置速度提升可達67％，因此官方現在將其扶正為預設工具。而且官方這次還更新混合渲染的建置工作管線，開發者現在能看到高達87％的ng build建置速度改善，以及ng serve的編輯與刷新循環速度提高了80％。</p> </div></div></div>
2023/11/10 20:26作者李建興https://www.ithome.com.tw/news/159742
【資安日報】11月10日，ChatGPT與相關API服務發生間歇性中斷事故，OpenAI坦承是遭遇大規模DDoS攻擊所致
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">駭客組織Anonymous Sudan近期的攻擊行動不時傳出，但大部分都針對歐美國家的政府機關與知名企業而來，透過DDoS攻擊癱瘓他們的網站來表達訴求。而在最近針對OpenAI的攻擊行動當中，出現了更為顯著的影響，因為Anonymous Sudan直接讓OpenAI的重要業務停擺。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">值得留意的是，這起攻擊行動造成</span>大型語言模型ChatGPT出現間歇性停擺的時間，超過一整天，影響程度有待觀察。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【攻擊與威脅】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/openai-confirms-ddos-attacks-behind-ongoing-chatgpt-outages/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">大型語言模型ChatGPT服務中斷，起因是遭遇DDoS攻擊</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/zDHqVewn83_20231110-1121-19711.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/zDHqVewn83_20231110-1121-19711.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer報導，OpenAI於太平洋時間（PST）11月8日中午12時表示，他們正在著手調查一個問題，約於40分鐘後表示部署了修補措施，並進行監控，到了傍晚5時23分，該公司證實ChatGPT與API出現週期性服務中斷的現象，並於晚間7時49分確認、公告是遭遇DDoS攻擊導致上述現象，直到次日下午1時21分，相關服務才恢復正常。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">雖然OpenAI沒有透露攻擊者的身分，但駭客組織Anonymous Sudan聲稱是他們所為，原因是該公司對於以巴衝突存在「普遍性的偏見」。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資料來源</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">1. <a href="https://status.openai.com/incidents/21vl32gvx3hb">https://status.openai.com/incidents/21vl32gvx3hb</a><br /> 2. <a href="https://t.me/xAnonymousSudan/243">https://t.me/xAnonymousSudan/243</a><br /> 3. <a href="https://t.me/xAnonymousSudan/241">https://t.me/xAnonymousSudan/241</a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.jamf.com/blog/bluenoroff-strikes-again-with-new-macos-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客Clop鎖定IT服務需求處理系統SysAid零時差漏洞下手</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">5月底發動大規模MOVEit Transfer零時差漏洞攻擊的勒索軟體駭客組織Clop（亦稱Lace Tempest、TA505），最近轉移目標到另一套IT服務管理系統上。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">微軟威脅情報團隊提出警告，他們發現這些駭客在11月2日，鎖定IT服務需求處理系統SysAid下手，利用零時差漏洞CVE-2023-47246發動攻擊，得逞後於受害組織部署勒索軟體。對此，SysAid獲報後於9日發布資安通告，他們尋求資安業者Profero協助調查，發現此為路徑遍歷漏洞，會導致組織內部部署的SysAid的被用於執行任意程式碼。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">而對於攻擊事件的調查，該公司指出，駭客將Web Shell及其他惡意酬載WAR檔案，植入SysAid的網頁伺服器元件Tomcat特定資料夾，然後利用Web Shell部署、執行PowerShell指令碼，載入木馬程式GraceWire，隨後又利用另一個PowerShell指令碼刪除事件記錄檔案，企圖抹除作案跡證。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資料來源</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">1. <a href="http://twitter.com/msftsecintel/status/1722444141081076219">http://twitter.com/msftsecintel/status/1722444141081076219</a><br /> 2. <a href="https://www.sysaid.com/blog/service-desk/on-premise-software-security-vulnerability-notification">https://www.sysaid.com/blog/service-desk/on-premise-software-security-vulnerability-notification</a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://unit42.paloaltonetworks.com/chinese-apt-linked-to-cambodia-government-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客將基礎設施偽裝成雲端備份服務，鎖定柬埔寨政府而來</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資安業者Palo Alto Networks揭露鎖定柬埔寨政府機關的網路間諜攻擊行動，他們發現，有兩個惡名昭彰的中國國家級駭客組織（研究人員並未透露組織名稱），偽裝成雲端備份服務，根據他們掌握的情報，在今年9月至10月，鎖定至少24個柬埔寨政府機關進行攻擊，這些機構負責的業務，涵蓋國防、選舉監督、人權、財政與金融、商業、政治、自然資源、電信，其共通點是握有大量的敏感資料，像是財務資訊、公民個資、政府機密等。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">研究人員根據駭客所使用的SSL憑證，找出對方所使用的IP位址級網域名稱，發現有許多網域名稱刻意偽裝成雲端儲存服務，而有可能當他們從受害組織的網路流出竊得的資料過程，被資安系統視為合法流量。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">研究人員指出，他們根據這些駭客的作息，確定攻擊者來自中國──這些駭客在中國標準時間的每週一至週五、於8時30分至17時30分<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">從事攻擊行動</span>，只有在9月29日至10月8日沒有依據上述時段出沒，而這段期間正好是中國黃金週及特殊工作日。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ic3.gov/Media/News/2023/231108.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客透過第三方供應商，攻擊賭場伺服器</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月7日美國聯邦調查局（FBI）提出警告，他們從2022年開始，發現多個勒索軟體駭客組織利用供應商遠端存取賭場伺服器的弱點，透過系統管理工具提升權限，從而對賭場發動攻擊，將存放員工及顧客個人識別資訊（PII）的伺服器進行加密。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">他們觀察到勒索軟體駭客組織Silent Ransom Group（亦稱Luna Moth）於今年6月，藉由語音釣魚攻擊進行資料竊盜及勒索，這些駭客先是假借帳戶有尚待處理的費用，寄送帶有電話號碼的郵件，一旦收信人撥打這些電話號碼，攻擊者就會寄送後續的電子郵件，要求他們安裝系統管理工具。而對方就會藉由收信人安裝的系統管理工具存取受害電腦，並部署另一套工具從事惡意行動，竊取電腦本機與網路共享資料夾並外洩，然後向受害公司進行勒索。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">對此，FBI也提出建議，呼籲這些賭場改善資安防護，妥善維護資料備份，並應該稽查第三方供應商的資安狀態。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【漏洞與修補】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.safebreach.com/blog/cryptocurrency-miner-microsoft-azure"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露濫用Azure Automation服務的挖礦攻擊手法</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/CloudMiner-image4-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CloudMiner-image4-1.png" style="width: 300px; float: right;" /></a>資安業者SafeBreach發現一個新的挖礦攻擊手法，當中濫用了微軟雲端自動化服務Azure Automation，號稱可在不需支付任何費用、幾乎無從偵側的情況下從事挖礦牟利。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">研究人員總共找出3種方法，第一種是利用該服務執行他們撰寫的Python指令碼，並以無限次數的方式執行雜湊計算，模擬挖礦程式消耗處理器的情況，發現了Azure計價上的錯誤，而有可能無限量地免費執行自動化作業。另一種，研究人員建立了另一個用於挖礦的自動化工作（Runbook），並以測試模式執行，但使其狀態呈現為失敗而能持續進行，且永遠不會有完成的一天。第三種方式則是突破Runbook運作時間一次最長3小時的限制，他們利用Hybrid Worker擴充功能來達到目的。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">最終研究人員打造了名為pip的惡意Python套件，透過Azure Automation自動化工作上傳到帳號，每次執行該工作，就會竄改雲端帳號裡的pip檔案，並執行前述的挖礦工作，他們也提供名為CloudMiner的套件進行概念性驗證（PoC）。研究人員指出，雖然他們的研究是針對Azure Automation進行，但類似的概念有可能被駭客用於對其他雲端服務業者下手。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【資安產業動態】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://hitcon.org/2023/carnival/enterprise/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">11月14日、15日台灣駭客年會企業場於臺北文創舉行</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">台灣駭客協會將於11月14、15日舉辦台灣駭客年會企業場HITCON Carnival 2023，首度結合資安長圓桌論壇、企業研討會、企業藍隊技術競技、駭客搶旗（CTF）攻防競賽，目的是連結全球資安要角，匯聚海內外產官學界資安決策者、企業資安長、資安專家、技術人員、駭客。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">這場資安大會的主題相當特別，是「Automation Security Ascendancy: Systematic Evolution to Maturity」，強調企業組織面臨資安人才嚴重短缺、資安議題日益複雜，採取流程整合、自動化進行資安防護工作，如何有效採用人工智慧技術並落地於實際資安場域，便是各界關注的焦點。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【其他新聞】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://ec.ltn.com.tw/article/breakingnews/4485327"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">客戶資料外洩未重訊公告，丁丁連鎖藥妝通路遭罰15萬</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://securityaffairs.com/153888/hacking/russian-bank-sberbank-massive-ddos-attack.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯銀行Sberbank傳出遭遇大規模DDoS攻擊</span></span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.securityweek.com/japan-aviation-electronics-targeted-in-ransomware-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">日本航空電子公司證實遇勒索軟體攻擊，BlackCat聲稱是他們所為</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/kyocera-avx-says-ransomware-attack-impacted-39-000-individuals/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">電子大廠Kyocera美國分公司遭遇勒索軟體攻擊，近4萬人個資外洩</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.cna.com.tw/news/aopl/202311090377.aspx"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">韓國外交部證實電子郵件系統遭攻擊，傳出是中國情報單位下手</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>近期資安日報</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159710"><strong>【11月9日】駭客藉由PyPI套件散布BlazeStealer竊資軟體，對開發人員的電腦上下其手，甚至造成電腦無法使用</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159699"><strong>【11月8日】駭客組織SideCopy利用WinRAR高風險漏洞發動攻擊，針對印度政府機關而來，Linux電腦也是目標</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159685"><strong>【11月7日】鎖定Atlassian Confluence重大漏洞的攻擊行動出現，駭客透過勒索軟體Cerber加密伺服器的檔案</strong></a></p> </div></div></div>
2023/11/10 12:58作者周峻佑https://www.ithome.com.tw/news/159733
【盤點《資安法》修法草案重點2】拉高特定非公務機關資安治理層級，依法設立資安長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著國內對於資安重視程度越來越高，甚至於連政府資訊服務採購，也都透過作業指引和資安一覽表的方式，要將資安規範納入採購合約中，原本的《資安法》對於公務機關及特定非公務機關，對其資安規範不足的盲點，越來越顯而易見。</p> <p>再加上近幾年來，公務機關和特定非公務機關也陸續爆發幾起重大資安事件，也使得各界對於資安法修法的呼聲越來越高。</p> <p>事實上，《資安法》原先就有規定，公務機關要設置資通安全長，由機關首長指派副首長或適當人員兼任；但對於特定非公務機關，只規定要設置專職的資安人員而已。</p> <p>而為了拉高特定非公務機關的資安治理層級，《資安法》此次的修法草案新增第二十三條規定，「特定非公務機關應置資通安全長，」可以由特定非公務機關的代表人、管理人、其他有代表權人或其指派的適當人員擔任，而此人的主要任務就是：負責推動及監督機關內資通安全相關事務。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>定義特定非公務機關的範圍</strong></span></span></p> <p>《資安法》主要規範的對象，包括公務機關及特定非公務機關，其中，該法定義的公務機關，除了中央和地方政府之外，這次修正草案特別明定行政法人（例如今年1月成立的資通安全研究院）也是屬於公務機關的範圍，但是不包括軍事及情報機關。</p> <p>至於特定非公務機關的涵蓋範圍更廣，根據《資安法》的定義，則包括：關鍵基礎設施提供者、公營事業或特定財團法人。</p> <p>所謂的關鍵基礎設施提供者，是由行政院國土安全辦公室公告的能源、水資源、通訊傳播、交通、銀行與金融、緊急救援與醫院、中央與地方政府機關、高科技園區等八大關鍵領域中，相關業者所提供的服務，一旦全部或部分中斷，會對國家民生經濟造成重大衝擊或影響的關鍵服務提供者，就是關鍵基礎設施提供者。</p> <p>像是：電信業者的中華電信、台灣大哥大，以及遠傳電信等，都是主要廠商，他們就是通訊傳播服務領域中重要的關鍵基礎設施提供者。</p> <p>至於其他特定非公務機關，公營事業則包括中油、臺水、臺電、中華郵政等；以及特定財團法人，像是支援通訊傳播、資通安全監理及相關技術與產業發展研究的「電信技術中心」等機構，這些都是《資安法》定義中的特定非公務機關。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>要求特定非公務機關設資安長，接軌上市櫃公司資安要求</strong></span></span></p> <p>在此次《資安法》修法草案內容中，除了原先要求特定非公務機關要設立資安專職人員的條文不變，更直接新增第二十三條，明定「特定非公務機關應設置資通安全長，負責推動及監督機關內資通安全相關事務」。</p> <p>這樣的法條修正方向，也符合金管會為了強化上市櫃公司的資安管理機制，而修正的《公開發行公司建立內部控制制度處理準則》。</p> <p>在該準則當中，要求實收資本額達新臺幣100億元以上、前一年底屬臺灣五十指數成分公司，以及主要經營電子商務媒介商品或服務之上市（櫃）公司，都要在2022年底之前，指派資訊安全長並設置資訊安全單位（包含資訊安全專責主管，以及至少2名資訊安全專責人員）。</p> <p>而其餘上市櫃公司，除最近3年稅前純益連續虧損，或最近1年度每股淨值低於面額者外，應於今年（2023）年底前，配置資訊安全專責主管及至少1名資訊安全專責人員。</p> <p>由此可見，《資安法》修正草案中，新增「特定非公務機關要設立資安長」所呈現的條文修正方向，也和實務上，金管會對於上市櫃公司的資安治理要求方向一致，這也讓適用《資安法》所管理的公務機關，以及特定非公務機關，未來在相關的資安治理上，也能接軌上市櫃公司的資安要求。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>將設立資安專職人員的作法，從行政命令提升到法律位階</strong></span></span></p> <p>過往，根據「資通安全責任等級分級辦法」應辦事項的規定，機關的資安等級分成A至E級，其中，要求A級機關設置四名資安專職人力，B級機關置二名資安專職人力，C級機關置一名資安專職人力。</p> <p>但是，《資安法》修正草案中，不論針對公務機關（第十八條）、關鍵基礎設施提供者（第二十條）和關鍵基礎設施以外的特定非公務機關（第二十一條），都明定要依據相關的資通安全等級，設立「專職」的資安人員。</p> <p>也就是說，以往按照相關的行政命令，要求機關和特定非公務機關都要依據資安等級設置專職資安人員，因為是由行政機關自行訂定的行政命令，雖可作為法律的補充，但在牴觸法律者無效的情況下，為了讓專職資安的設立真正落實法制化，因此，在此次修法草案中，便將過往以行政命令規範的專職資安人員設置規定，全部列為此次的修正法條中。</p> <p>資安專職人員是指：全職執行資通安全業務者，所以，如果是把資安的任務分散在不同人的身上，無法達成專職專人的設置目的，所以，機關應指定專人全職執行資通安全業務。</p> <p>而且，專職人力配置的要求是以「機關」為單位，不僅資安人力不能共用，其他關於資安證照的計算，也都必須以機關作為單位分開計算。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>應定義何謂資安專人專職，不應以考試維持證照有效性</strong></span></span></p> <p>不過，在公共政策網路參與平臺「眾開講」中，也有網友對於資安專職人員的定義提出不同意見。</p> <p>例如，在修正草案第二十一條當中，要求關鍵基礎設施提供者以外的特定非公務機關要設置資安專職人員，有網友質疑這項要求，他們認為就連公務機關都做不到的事情，為什麼要求非公務機關去做？</p> <p>另外，也有網友表示，「專人」是人要專，這個工作非他不可，不可以找別人來做；「專責」是責任要專，只能負擔這個工作的責任，不能負擔別的責任；「專職」是職務要專，也就是只能做這個職務，不可以做別的職務。</p> <p>但該名網友認為，「專職」人員跟「專責」人員的，差異在於：對資安工作投入的程度不同，前者是指全職辦理資安工作的同仁，後者則是指定專人負責辦理資安工作，但資安工作可以是該專責人員的兼辦業務之一。</p> <p>一些網友認為，《資安法》修正草案雖然明文規範「設置資安專職人員」，但這個專人的設置是可以由主管指定，主管今天想指定誰，誰就是專人專職，才不管該職務是否為法定。</p> <p>若依「資通安全責任等級分級辦法」的定義，「專人」、「專職」兩者是一致的，無須區別；如果是得由他人「兼辦」的資安業務，何者可以兼，何者不能兼，所以，網友建議，應該可將人的角色及資安業務等項目，再做更明確的規範。</p> <p>此外，「眾開講」平臺上也有網友認為，只設置一名資安專職人員的C級機關，其實是最可憐的，他們的工作內容不僅包山包海，更是資安加個資全餐吃到飽，所謂的「專職人員」只是口號而已；若是位居教育部底下的單位，每兩年就要進行一次稽核計畫，更是文職薪水卻身負技術職工作，難怪人才難覓。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>資安署職責不應只有看報告</strong></span></span></p> <p>對於資安署所扮演的角色，眾開講網友也提出質疑。因為修正草案第二十一條第四項規定，為了便利資安署掌握全國資通安全現況，所以特別明文要求，中央目的事業主管機關應依資安署指定的方式，將關鍵基礎設施提供者以外的特定非公務機關稽核結果及改善報告，送交資安署。</p> <p>該名網友表示，資安署只負責管考，負責看稽核結果和改善報告，但是，資安署對於這些特定非公務機關，可以提供什麼樣的協助呢？資安署是否應該從國家資安總體的考量下，協助相關單位做好資安，而不是只想著管考、寫報告而已。</p> <p>因為資通安全人員的專業知識技能，與公務機關資通安全防護能量有密切關係，為強化並提升公務機關資安專職人員的職能，也於修正草案中第十八條明定，「資安署應妥善規畫推動專職人員的職能訓練，增進其資通安全專業知識技能。」</p> <p>「眾開講」平臺上面的網友也提到，政府的資安專職職能訓練，每三年要再考試一次，但這種每三年舉行一次考試的作法，其實，與許多國際證照維持證照有效性的作法並不相符。</p> <p>該網友希望資安署可以參考國際資安證照的作法，在資安人員於取得證照後，透過持續訓練或工作的方式，以維持相關證照的有效性，而不是要求一直考照。他最後也質疑，資安署內長官們，是否也都具有相關的政府資安職能證照呢？</p> <p><span style="color:#B22222;"><span style="font-size:24px;"><strong>《資安法》修正草案重點之二的條文內容</strong></span></span><br /> <span style="color:#696969;"><span style="font-size:20px;"><strong>【第十八條】 <br /> 公務機關應符合其資通安全責任等級之要求，設置專職資通安全人員，辦理資通安全業務及應變處理；資通安全業務績效評核優良者，應予獎勵。<br /> 資安署應妥善規劃推動專職人員之職能訓練，增進其資通安全專業知能；遇有重大資通安全事件，資安署得逕予調度各級機關資通安全人員支援之。 <br /> 前二項人員調度支援、績效評核、獎勵及職能訓練相關事項之辦法，由主管機關定之。<br /> 【第二十條】 <br /> 關鍵基礎設施提供者應符合其所屬資通安全責任等級之要求，設置資通安全專職人員，並考量其所保有或處理之資訊種類、數量、性質、資通系統之規模與性質等條件，訂定、修正及實施資通安全維護計畫。<br /> 關鍵基礎設施提供者應向中央目的事業主管機關提出資通安全維護計畫實施情形。<br /> 中央目的事業主管機關應綜合考量所管關鍵基礎設施提供者業務之重要性與機敏性、資通系統之規模及性質、資通安全事件發生之頻率、程度及其他與資通安全相關之因素，定期稽核其資通安全維護計畫之實施情形。<br /> 關鍵基礎設施提供者之資通安全維護計畫，應向中央目的事業主管機關提出改善報告。<br /> 中央目的事業主管機關應依資安署指定之方式將稽核結果及改善報告送交資安署。<br /> 【第二十一條】<br /> 關鍵基礎設施提供者以外之特定非公務機關，應符合其所屬資通安全責任等級之要求，設置資通安全專職人員，並考量其所保有或處理之資訊種類、數量、性質、資通系統之規模與性質等條件，訂定、修正及實施資通安全維護計畫。<br /> 中央目的事業主管機關得要求所管前項特定非公務機關，提出資通安全維護計畫實施情形。<br /> 中央目的事業主管機關得稽核所管第一項特定非公務機關之資通安全維護計畫實施情形，發現有缺失或待改善者，應限期要求受稽核之特定非公務機關提出改善報告。<br /> 中央目的事業主管機關應依資安署指定之方式將稽核結果及改善報告送交資安署。<br /> 【第二十三條】<br /> 特定非公務機關應置資通安全長，由特定非公務機關之代表人、管理人、其他有代表權人或其指派之適當人員擔任，負責推動及監督機關內資通安全相關事務。</strong></span></span></p> </div></div></div>
2023/11/10 13:01作者黃彥棻https://www.ithome.com.tw/news/159734
駭客組織Lace Tempest著手攻擊SysAid零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門開發IT服務管理軟體的<a href="https://www.sysaid.com/blog/service-desk/on-premise-software-security-vulnerability-notification" target="_blank">SysAid周三（11/8）呼籲客戶應儘速升級至SysAid 23.3.36</a>，以修補已經遭到駭客攻擊的CVE-2023-47246零時差漏洞。<a href="https://twitter.com/MsftSecIntel/status/1722444141081076219" target="_blank">微軟指出</a>，駭客組織Lace Tempest已針對該漏洞展開攻擊，很可能是為了部署Clop勒索軟體。</p> <p>SysAid說明，該公司的安全團隊是在11月2日注意到此一潛在的安全漏洞，緊接著展開的調查則顯示，這是一個位於SysAid就地部署軟體的路徑穿越（Path Traversal）漏洞，可能導致程式執行，而且已遭到駭客利用。本周釋出的修補程式不僅修復了CVE-2023-47246，也會針對用戶的網路進行全面的危害評估，以尋找相關的入侵指標。</p> <p>Lace Tempest利用該漏洞上傳了含有一個WebShell與其它酬載的WAR檔案，至SysAid Tomcat網頁服務的根目錄中，該WebShell讓未經授權的駭客得以存取及控制目標系統，再利用一個PowerShell來執行惡意程式載入工具，繼之載入了木馬程式GraceWire。成功讓GraceWire進駐系統之後，駭客即可於受害系統上展開橫向移動，竊取資料並部署勒索軟體。此外，駭客還透過另一個PowerShell來抹去他們於系統上的攻擊痕跡。</p> <p>此一安全漏洞主要影響就地部署的SysAid On-Prem伺服器，除了督促用戶儘快升級到SysAid 23.3.36之外，SysAid也建議用戶展開徹底的危害評估，以及檢查任何具備最高權限的憑證是否出現可疑活動。</p> <p>微軟則提醒，除了修補之外，SysAid用戶也應該要檢查系統是否在修補之前便曾遭駭，以執行適當的清除行動。</p> </div></div></div>
2023/11/10 13:28作者陳曉莉https://www.ithome.com.tw/news/159735
【盤點《資安法》修法草案重點3】公務機關遇重大資安事件，資安署有權調度各機關資安人員支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>想要落實資安，大家都很清楚如果沒錢、沒人，將是萬萬不能。數位發展部這次推出的《資安法》修法草案中，從組織面提升公務機關資安治理的層級之餘，也要求依照各個公務機關的資通安全責任等級要求，設置專職的資安人員。</p> <p>在目前的政府機關中，只有警察、人事、政風、主計等單位，是屬於從上到下的「一條鞭」管理單位，從中央部會到地方政府機關的事權統一，基本上，中央的主管機關有統一的統籌訓練和主管考核機制，當然也有跨機關、跨單位進行人事調度的權利。</p> <p>只不過，公務機關資安專職人員的員額，最多就是A級機關的編制四人，而不屬於具有一條鞭管理機制的單位，當然主管機關也沒有這種直接跨機關調度人事的權利。</p> <p>但是，為了使公務機關一旦發生重大資安事件，更有效率、更即時的解決，此次修正草案第十八條特別賦予資安署有直接調度各機關資安人員支援的權利，讓公務機關的資安人員具有「類一條鞭」的性質。</p> <p>新增資安類一條鞭制度，資安署有權調度人員協處重大資安事件</p> <p>為了提高公務機關對於重大資安事件的應變協處能力，這次資安法修法更直接增訂第十八條第二項，規定資安人員具有類一條鞭性質，明定公務機關一旦遭遇重大資安事件時，「資安署得逕予調度各級機關資通安全人員支援。」</p> <p>但這種「類」一條鞭的方式，也引發質疑。例如，有些公共政策網路參與平臺「眾開講」的網友表示，資安署若要調動其他機關編制內的資安人員時，應該要先獲得機關同意才是，如果資安署被賦予「逕予」調度的權利，可能會有超額授權的爭議。</p> <p>另有網友認為，這裡的「調度」應屬於行政程序法第十九條的「請求行政協助」，調動機關內的人力支援協處重大資安事件，其中的「人力安排」看來比較類似：因為事件發生在你家附近、請求你就近協助幫忙，就像暫時的「車輛的調度」，而非永久「商調」，因此，並沒有牽涉組織員額編制的調動。</p> <p>也有其他網友跳出來質疑這麼做可能產生的問題，他們表示，現在有越來越多機關內的資訊員額，其實都被移撥給業務單位，當資訊人員越來越少人，甚至沒有獲得足夠員額的保障時，又如何做好資安呢？</p> <p>有一位網友指出，當公務機關面對重大資安事件發生時，各機關的資安人員都可被資安署統一徵調的規定，從公務人員的管考上，並不利於資安人員在機關內的考核，顯然《資安法》的規定沒有考量資安人員的職涯發展，並未從他們的角度出發。</p> <p><span style="font-size:28px;"><strong>機關內資安人員的業務超出負荷，若因支援而影響考績該怎麼辦？</strong></span></p> <p>面對有些機關在沒人沒錢的情況下，本身業務其實都已超過負荷，相關的資安人力卻還要受到資安署調度，去支援其他機關的困境，有人建議，直接由資安署的專業人員去支援更為合適。而這樣的專業人員，應該是指先前的行政院國家資通安全會報技術服務中心（簡稱技服中心），現為數位發展部管轄的行政法人：資通安全研究院。</p> <p>有人提醒這種資安類一條鞭的調度方式實際執行時，還會衍生其他問題，畢竟資安專責人員在政府歸類為資訊職系，並不是真正的一條鞭，考核權還是在各機關主管手上。</p> <p>這位網友表示，資安署一旦進行徵調時，除了會影響該機關原本已多如牛毛的業務執行，可能因被徵調人員在機關的貢獻度相對較低而影響考績，此外，升遷管道也可能受阻。於是，便有網友直接建議，應刪除此一不合理的規定。</p> <p>在「眾開講」平臺上面，更有網友直言：目前政府內各機關的資安人力多數員額尚未補足，資安人力都是現有機關編制內人員，但身為三級機關的資安署，卻要調動無隸屬關係的其他二級或其他機關，這有行政擴權之虞。</p> <p>以務實的角度來看，他認為草案中的「資安專職人力」應改為「資安專責人力」，因為很多機關只有一個資訊人員，光是要處理單位內資訊雜務已自顧不暇，根本不可能真正做到全職資安。</p> <p>也有現職公務機關資訊人員到「眾開講」平臺表達意見指出，許多機關的資訊人員往往是辦理資訊又兼辦資安，資訊加給的部分也不見改善。該名網友認為，資訊人員兼辦資安都做一樣的事情，因為「沒有專責資訊單位，就沒有提供資訊加給」，機關內的事情卻又不能不做，所以，這樣的狀態並不合理。</p> <p><span style="font-size:28px;"><strong>透過修正母法推動資安一條鞭，機會難得</strong></span></p> <p>有人認為需要再調整，但也有人支持，他們肯定推行資安人員一條鞭制，實屬立意良善，可整合各公務機關與特定非公務機關分散的資源，解決資訊採購重複及疊床架屋問題；也可以協助預算不足或組織較小的機關，解決資安產品或服務採購等問題，像是某些預算不足的機關，無法部署架構完整的資安防護方案，有些會則因為本身缺乏資安採購規畫的評估人力，導致履約能力不足的廠商得標。</p> <p>對此，「眾開講」平臺有網友建議，草案增訂條文能提供資安署「逕予」調度權限，難免影響原機關日常業務運作，加上各機關資安人員也須辦理日常業務，因此他建議第十八條第二項條文應修正成：「……遇有重大資通安全事件，資安署得商請各級機關同意及徵詢受調人員之意願，調度其資通安全人員支援。」賦予受調度機關作業的彈性。</p> <p>另外，因為接受調度的受調人員，在原機關編制的員額之下，是用其人事預算，如果接受調度機關也能因此獲得獎勵，例如年度機關績效指標等，便能夠提高機關借調資安人員支援的意願。</p> <p>該網友建議，第十八條第三項條文調整成：「……『受調機關與人員』的獎勵及職能訓練相關事項辦法，由主管機關定之。」</p> <p>事實上，2022年成立的資安署約聘人員人力，迄今還沒有補滿，其中一個重要原因就是，公務人員薪俸和資安業界有明顯落差，因此，應提高給薪彈性。</p> <p>該網友建議，數位發展部應該要規畫縮編約聘人員，例如約聘職遇缺不補，但把這個缺額改為補上受銓敘人員，並與考試院研商資安特種考試，像是設資安官，測驗上機實作與口試等，並擬訂資訊處理轉任資安職系的辦法，同時參考業界薪資訂定資安職系的專業加給，或者增設職務加給（可依經驗、證照或測驗成績，核定起敘的俸級）與彈性薪級（可參考法官24級或教師36級，非齊頭6本1），藉此維持文官制度的公平與透明。該網友也說，另外也可以參《法官法》的規定，可以依照其執業經驗採差別敘薪。</p> <p>此外，數位部管轄的資安院雖然以更彈性的方式，招聘資安業界的頂尖資安人力，然而，該組織本身所擁有的人力，目前仍然不足以支援各機關面臨的各種資安事件處理，以及需要的資安諮詢服務。</p> <p>網友認為，施行「資安一條鞭制」是正確方向，數位發展部應該把握難得修母法的機會，制定依據讓考試院能夠有所遵循。不然的話，在政府機關內部任職、實務經驗豐富的優秀資安人才，很容易受到業界高薪動搖；而接受目前待遇招募進來的人員，也可能因實務經驗不足，進而影響資訊服務委外專案的採購與管理品質。</p> <p>所以，資安一條鞭制應該由數位部統一編列資安官人事預算，再由資安署定期辦理集訓，依機關的資安責任等級、組織層級、設施重要性排序，派駐至各機關，以獨立處室辦理法遵諮詢、日常技術檢測、事件支援、聯合監控等業務（類似主計或政風）並定期輪調，而非讓各機關自行擴編人力又各自為政。至於各機關資安專責人，可作為「資訊人員」與「資安處室」的溝通橋樑。</p> <p>但網友認為，最終的關鍵還是在於現行文官制度沒有資安職系，就算有，職等敘薪也跟業界不同，也難怪政府機關一直找不到夠好、夠強大的資安人力。網友也說，從《資安法》實施迄今，即使有法條要求公務機關應補足資安人力，但在薪資服務的誘因不足下，公務機關資安人力仍然相當缺乏。</p> <p><span style="font-size:28px;"><strong>政府強化資安人員職能，每三年考一次的作法不恰當</strong></span></p> <p>因為資通安全人員的專業知識技能，也與公務機關資通安全防護能量有密切關係，為了強化並提升公務機關資安專職人員的職能，也於修正草案中第十八條第二項明定，「資安署應妥善規畫推動專職人員的職能訓練，增進其資通安全專業知識技能。」</p> <p>網友在眾開講平臺提到政府資安專職職能訓練，每3年要再考試一次，但每三年必須再考試一次的作法，不符目前許多國際證照維持證照有效性的作法。</p> <p>因此，這位人士建議，資安署應該參考國際資安證照的作法，在資安人員於取得相關資安證照後，透過持續訓練或工作的方式，藉此維持相關證照的有效性，而非要求資安人員要一直考試。</p> <p>在此同時，當所有人都要求資安人員要具備足夠專業，那麼，高層主管們如果能帶頭示範，取得能力證明，相信大家都會心服口服，因此，有人也對此提出質疑，認為資安署內長官們也應該要具有相關的政府資安職能證照。</p> <p>對於資安署的職責，有人建議負責執行國家資安政策的這個單位，不應該只負責管考，看稽核結果和改善報告而已，重點是，對於公務機關及特定非公務機關，究竟該提供什麼樣的協助？他指出，資安署應該從國家資安總體的考量，協助相關單位做好資安，而不是單純考慮管考、寫報告。</p> <p><span style="color:#B22222;"><span style="font-size:24px;"><strong>《資安法》修正草案重點之三的條文內容</strong></span></span><br /> <span style="color:#696969;"><span style="font-size:20px;"><strong>【第十八條】<br /> 公務機關應符合其資通安全責任等級之要求，設置專職資通安全人員，辦理資通安全業務及應變處理；資通安全業務績效評核優良者，應予獎勵。<br /> 資安署應妥善規劃推動專職人員之職能訓練，增進其資通安全專業知能；遇有重大資通安全事件，資安署得逕予調度各級機關資通安全人員支援之。<br /> 前二項人員調度支援、績效評核、獎勵及職能訓練相關事項之辦法，由主管機關定之。</strong></span></span></p> </div></div></div>
2023/11/10 13:40作者黃彥棻https://www.ithome.com.tw/news/159736
【盤點《資安法》修法草案重點4】將現行實務運作上的行政檢查，正式法制化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了強化中央目的事業主管機關對特定非公務機關，發生重大資通安全事件的調查權，《資安法》修正草案新增條文第二十五條，增訂中央目的事業主管機關行政調查的權限，也就是把現在主管機關對所管轄的相關產業，一旦發生重大資安事件甚至是個資外洩事件時，都會由主管機關執行的行政檢查機制。</p> <p>而這項權限的訂定正式納入《資安法》的法律規範中，可以有效精進資通安全管理。</p> <p>同時，為了避免特定非公務機關拒絕中央目的事業主管機關的行政檢查，也在修正草案中新增了罰則第二十九條，亦即「拒絕行政檢查者，將處以罰鍰十萬元以上、一百萬元以下」。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>發生重大資安事件就是啟動行政檢查的時機</strong></span></span></p> <p>如果中央目的事業主管機關要對特定非公務機關啟動行政檢查，最重要的兩個啟動關鍵時機，一個是在稽核資通安全維護情形，發現重大缺失，另一個是遇到重大資通安全事件。</p> <p>所謂的「重大缺失」是指：特定非公務機關未能落實其自訂的資通安全維護計畫，因此讓組織的資安維護機制失效，導致發生損害，並且產生不可回復的風險。</p> <p>至於「重大資通安全事件」則是指：發生了現行國家資通安全通報應變作業綱要所定義的第3、4級資安事件，例如：關鍵或核心資訊基礎設施系統或資料遭到竄改、運作遭影響，或是系統停頓導致無法在可容忍中斷時間內，回復正常運作者等都是。</p> <p>為了能夠更進一步落實特定非公務機關資通安全的維護，同時，也強化中央目的事業主管機關的監督權責，所以，中央目的事業主管機關針對特定非公務機關發生的重大資安事件進行調查，就是在執行行政檢查。</p> <p>但公共政策網路參與平臺「眾開講」的網友對此表示質疑，他們提到，如果發生資安事件牽涉的面向很廣，不論誰是當事人或關係人，該條文看似要究責，但該對誰進行究責，卻不清楚交代，實務上有窒礙難行之處。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>為免行政檢查濫權，將檢查程序範圍等全部法制化</strong></span></span></p> <p>由於這次修法，將正式賦予中央目的事業主管機關權限，使其針對特定非公務機關發生的重大資安事件進行調查，但是，為了避免行政機關濫權，也必須制定一定的調查程序。</p> <p>所以在《資安法》新增修正草案第二十五條第一項便規定，進行行政檢查時，除了要通知當事人或關係人到場陳述意見外；也要通知當事人及關係人，提出獨立第三方機構出具的鑑識或調查報告；甚至中央目的事業主管機關也可以派員、委任或委託其他機關（構），前往當事人及關係人的處所實施必要的檢查。</p> <p>至於所謂的關係人，也在條文中定義，協助特定非公務機關辦理資通系統建置、維運或提供資通服務的受委託者，且與重大資安事件相關者，都可以作為接受調查的特定非公務機關當事人或關係人，到場陳述意見。</p> <p>此外，為了保護接受調查對象應該有的權益，修正草案中也明訂：執行調查的人員應該出示有關執行職務的證明文件，如果不能出示證明文件者，接受調查的人同樣可以拒絕這些要求。</p> <p>同時，對於負責執行行政檢查的對象或機關（構），對於接受委託或執行行政檢查時，所得知非特定公務機關的秘密，都負有相關的保密義務。</p> <p>因為是執行公務，所以，接受調查的對象對於中央目的事業主管機關的行政檢查，不得規避、妨礙或拒絕，否則就須受罰，例如，新增修正草案第二十九條就制定相關罰則，「如果規避、妨礙或拒絕調查者，由中央目的事業主管機關處新臺幣十萬元以上、一百萬元以下罰鍰。」</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>行政檢查具有行政救濟方式，資安稽核則沒有</strong></span></span></p> <p>行政檢查的範圍就是，檢查機關職掌與受檢查單位是否有依法應辦理事項的內容，並且是以通知陳述意見、要求提供文書及資料等「行政程序法」的規定方式進行。</p> <p>曾經協助政府執行行政檢查的資安專家表示，行政檢查是有其限制範疇與方法救濟，不僅可以避免檢調濫權、任意進行搜查，受檢查單位若對行政檢查結果不滿，也可以啟動行政訴訟的救濟，不至於像現在的資安稽核，只要稽核人員檢查出來的結果，就必須被迫接受，因為目前接受稽核的單位，本身並沒有申訴救濟的機會。</p> <p>有資安專家表示，因為是代中央目的事業主管機關行資安檢查之責，不只要具備資安技術能力，最好還具有法律素養，可以將法條作為行政檢查的依據，「至少要開缺失的時候，可以於法有據。」該資安專家笑說。</p> <p>此次修法雖然加強中央目的事業主管機關的監督權責，但眾開講平臺當中有網友表示，中央目的事業主管機關的資安人力和技術能力，勢必不如資安署理想，因此，資安署應在本條文中扮演重要角色，建議可加入：經中央目的事業主管機關函請資安署協助時，資安署應提供所要求的協助。</p> <p>由於《資安法》規範的是公務機關，以及特定非公務機關的資通安全管理，但如果涉及個資外洩時，該修正草案也新增第三十一條，必須依照《個人資料保護法》及相關法規辦理。</p> <p>畢竟「資通安全維護計畫」與「個人資料檔案安全維護計畫」都規定要有適當安全措施，但兩者構成要件不同，也沒有普通法與特別法的差異，為了讓個資外洩資安事件也受《個資法》規範，於是透過新增法律條文來達成目的。</p> <p>對於行政檢查頗有研究心得的政治大學法律系兼任助理教授萬幼筠表示，一般在執行行政檢查時，他都會追問接受檢查單位，出事後的通報應變程序怎麼設計，這往往也是一般人忽略的地方。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>特定非公務機關都負有通報資安事件的責任和義務</strong></span></span></p> <p>在本次資安法修正草案，大家可以發現：只要是針對公務機關的規範，也同樣適用於特定非公務機關，務求《資安法》適用對象的法律規範能夠一致。</p> <p>舉例而言，像是修正草案第十七條和第二十四條就規定：不論是公務機關或是特定非公務機關，為了因應資安事件，都應該訂定通報及應變機制。</p> <p>如果公務機關得知發生資安事件時，除了要向上級機關或監督機關及資安署進行資安通報外，也要一併提交該次資安事件的調查、處理及改善報告；如果是特定非公務機關知道發生資安事件時，除了要向中央目的事業主管機關進行通報外，也要提交該次資安事件的調查、處理及改善報告，若該次是重大資安事件的話，相關調查報告則應該同時送交資安署。</p> <p>不過，關於通報與應變機制的必要事項、通報內容、報告提出、演練作業及其他相關事項辦法等，公務機關是由主管機關訂定相關內容，而特定非公務機關則由中央目的事業主管機關制定。</p> <p>倘若中央目的事業主管機關或是資安署得知，特定非公務機關發生重大資安事件時，除了得提供該單位相關協助外，也會在適當時機點，得公告與事件相關的必要內容及因應措施。</p> <p>因為公務機關發生重大資安全事件，極有可能會影響多數民眾的生命、身體或財產安全，所以也明文規定，由接獲資安通報的機關協同受駭的公務機關，分別或共同公告必要的內容，例如：發生原因、影響程度及目前控制的情形等，以及後續的因應措施，並提供相關的協助，以利後續防範、避免損害進一步擴大。</p> <p>對於上述狀況，「眾開講」平臺的網友認為應加重資安署權責，特定非公務機關若發生重大資通安全事件，並提出協助需求時，資安署「應」提供相關協助，而非「得」提供協助，「資安署不是只負責收報告而已。」該名網友說。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>所有的演練作業都要留存記錄，沒通報最高開罰五百萬元</strong></span></span></p> <p>為了增進公務機關及特定非公務機關因應資安事件的處理能力，所以，在修正草案第十七條和第二十四條當中，都增訂「演練作業」的項目，透過實施模擬演練，熟悉應變程序，以便提升處理資安事故的技能。</p> <p>資安專家建議，不論公務機關或特定非公務機關，平時不只要做好演練作業，也要做好相關記錄，否則一旦不幸爆發資安事件，受駭單位被通知需提交平時的演練記錄給主管機關和資安署，如果平常演練都沒有做好記錄，就算臨時抱佛腳進行趕工作業，恐怕還是無法產出相關報告，屆時只能面臨被主管機關裁罰的命運。</p> <p>至於裁罰的部份，因為公務機關原本就是依法行政，所以不會對「機關」進行懲處，只會處罰「公務人員」，依照《資安法》的規定，視其情節的輕重程度，會對公務人員進行懲戒或懲處。</p> <p>至於針對特定非公務機關的處罰，則會以機關單位為主。</p> <p>像是修正草案第二十七條規定，特定非公務機關如果沒有做到「限期改正」的事項時，會被按次處以罰鍰十萬元以上、一百萬元以下；其他像是沒有制定、實施或違反資通安全維護計畫，或是未依規定，將資安改善計畫送給中央目的事業主管機關及資安署，或是沒有向有關單位提出資安事件調查報告、或違反通報內容或演練作業的規定等，都會受到相同的懲處。</p> <p>為了強化特定非公務機關向主管機關通報發生資安事件的責任和義務，《資安法》修正草案第二十八條規定：如果沒有按規定通報資安事件，中央目的事業主管機關可以開罰三十萬元以上、五佰萬元以下罰鍰，並下令限期改正，若屆期沒有改正的話，可以按次處罰。</p> <p>《資安法》這樣按次處罰的方式，其實，也是強迫特定非公務機關必須正視問題，一旦遇到資安事件時，必須要做到相關的通報應變的責任，以外力要求特定非公務機關能夠更重視資安，不會想著因循苟且。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>資安通報不等於發布重訊</strong></span></span></p> <p>因為證交所要求上市櫃公司，一旦發生資安事件時，必須即時發布重訊。然而，證交所要求的公司重訊發布，以及《資安法》規定的資安事件通報義務，兩者之間有什麼差異呢？</p> <p>萬幼筠表示，依照10月19日剛公布的《數位經濟產業個人資料檔案安全維護辦法（安維辦法）》，以及《資安法》修正草案中的規定，特定非公務機關有通報中央目的事業主管機關的義務。</p> <p>像是上市櫃公司如果發生資安事件，通報義務就是告知投資人（發表重訊），說明資安事件是否會影響業務營運以及可能造成的財物損失，這也是金管會在意的內容。</p> <p>只不過，要通報《資安法》主管機關數位發展部的話，不只要通知該起資安事件發生的來源、通報和應變等後續流程，連是否有引起個資外洩事件等，也都在通報的範圍之中。</p> <p>所以，萬幼筠認為，資安通報應該有三種分流，第一種是與營業秘密相關的資安事件，第二種是與個人資料相關的資安事件，最後一種則是影像作業運作、資訊系統中斷的資安事件。</p> <p>至於，特定非公務機關甚至是一般上市櫃公司，要進行資安事件通報的流程，根據萬幼筠的觀察，首先是資安通報應變或是個資通報應變，必須要通報中央目的事業主管機關，這時候也會確認是否要刑事局或調查局（牽涉國安項目的資安）報案。</p> <p>接著，如果是上市櫃公司，還必須通報證交所，依照上市櫃合約要求進行重大事件公告，說明該起資安事件是否影響公司的營運、對財務是否造成衝擊，以及相關的應變方式。</p> <p>最後，就是要通知當事人，如果是個資外洩事件的通知當事人，依照行政命令規定，必須在72小時內通知，但是，以往有許多機構當下雖然表示「查明後要告知」，但一查就查了N年，甚至沒下文，所以改在「安維辦法」要求，出事72小時內要通知主管機關，然後要通知當事人。</p> <p>但他也說，目前因為法律沒有強制完成通報的限制，只要求必須通報，所以，目前來看，通報和事件發生之間還是存在時間差。</p> <p>因為資安通報不等於發布重訊，萬幼筠指出，不論《資安法》、《個資安維辦法》、《個人資料檔案安全維護計畫》等，都要求必須查明相關攻擊來源、應變狀況等詳情，畢竟後續還有安排行政檢查的任務，而證交所的通報內容就沒有這麼細緻。</p> <p><span style="font-size:24px;"><span style="color:#B22222;"><strong>《資安法》修正草案重點之四的條文內容 </strong></span></span><br /> <span style="font-size:20px;"><strong><span style="color:#B22222;">【第十七條】</span><br /> 公務機關為因應資通安全事件，應訂定通報及應變機制。<br /> 公務機關知悉資通安全事件時，應向第十四條規定收受其實施情形之機關及資安署通報。<br /> 公務機關應向前項接獲通報機關提出資通安全事件調查、處理及改善報告。<br /> 前三項通報與應變機制之必要事項、通報內容、報告之提出、演練作業及其他相關事項之辦法，由主管機關定之。<br /> 第二項接獲通報機關知悉重大資通安全事件時，得提供公務機關相關協助，並於適當時機得公告與事件相關之必要內容及因應措施。<br /> <span style="color:#B22222;">【第二十四條】 </span><br /> 特定非公務機關為因應資通安全事件，應訂定通報及應變機制。<br /> 特定非公務機關於知悉資通安全事件時，應向中央目的事業主管機關通報。<br /> 特定非公務機關應向中央目的事業主管機關提出資通安全事件調查、處理及改善報告；如為重大資通安全事件者，並應送交資安署。<br /> 前三項通報與應變機制之必要事項、通報內容、報告之提出、送交、演練作業及其他應遵行事項之辦法，由主管機關定之。<br /> 中央目的事業主管機關或資安署知悉重大資通安全事件時，得提供特定非公務機關相關協助，並於適當時機得公告與事件相關之必要內容及因應措施。<br /> <span style="color:#B22222;">【第二十五條】 </span><br /> 中央目的事業主管機關為辦理特定非公務機關發生重大資通安全事件之調查，得依下列程序辦理： <br /> 一、通知當事人或關係人到場陳述意見。 <br /> 二、通知當事人及關係人提出獨立第三方機構出具之鑑識或調查報告。 <br /> 三、派員、委任或委託其他機關（構）前往當事人及關係人之處所實施必要之檢查。前項所定關係人，以第一項特定非公務機關委託辦理資通系統之建置、維運或資通服務之提供之受託者，且與重大資通安全事件相關者為限。 <br /> 受調查者對於中央目的事業主管機關依第一項所為之調查，不得規避、妨礙或拒絕。 <br /> 執行調查之人員應出示有關執行職務之證明文件；其未出示者，受調查者得拒絕之。 <br /> 第一項第三款受委任或委託之機關（構）對於辦理受任或受託事務所獲悉特定非公務機關之秘密，不得洩漏。<br /> <span style="color:#B22222;">【第二十七條】</span><br /> 特定非公務機關有下列情形之一者，由中央目的事業主管機關令限期改正；屆期未改正者，按次處新臺幣十萬元以上一百萬元以下罰鍰： <br /> 一、未依第二十條第一項或第二十一條第一項規定，訂定、修正或實施資通安全維護計畫，或違反第二十二條所定辦法中有關資通安全維護計畫必要事項之規定。<br /> 二、未依第二十條第二項或第二十一條第二項規定，向中央目的事業主管機關提出資通安全維護計畫之實施情形，或違反第二十二條所定辦法中有關資通安全維護計畫實施情形提出之規定。<br /> 三、未依第八條第二項、第二十條第四項或第二十一條第三項規定，提出改善報告送交資安署、中央目的事業主管機關，或違反第二十二條所定辦法中有關改善報告提出之規定。 <br /> 四、未依第二十四條第一項規定，訂定資通安全事件之通報及應變機制，或違反第二十四條第四項所定辦法中有關通報及應變機制必要事項之規定。 <br /> 五、未依第二十四條第三項規定，向中央目的事業主管機關提出或向資安署送交資通安全事件之調查、處理及改善報告，或違反第二十四條第四項所定辦法中有關報告提出、送交之規定。 <br /> 六、違反第二十四條第四項所定辦法中有關通報內容、演練作業之規定。<br /> <span style="color:#B22222;">【第二十八條】</span><br /> 特定非公務機關未依第二十四條第二項規定，通報資通安全事件，由中央目的事業主管機關處新臺幣三十萬元以上五百萬元以下罰鍰，並令限期改正；屆期未改正者，按次處罰之。<br /> <span style="color:#B22222;">【第二十九條】</span><br /> 違反第二十五條第三項規定，規避、妨礙或拒絕調查者，由中央目的事業主管機關處新臺幣十萬元以上一百萬元以下罰鍰。<br /> <span style="color:#B22222;">【第三十一條】</span><br /> 本法所定資通安全事件，涉及個人資料檔案外洩時，公務機關及特定非公務機關應另依個人資料保護法及其相關法令規定辦理</strong></span></p> <p> </p> </div></div></div>
2023/11/10 13:45作者黃彥棻https://www.ithome.com.tw/news/159737
上路屆滿5年，資安法首度修法
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1155-feng_mian_p1-open-yan_fen_-960x420_kao_bei_0.jpg?itok=EDW0c3Eu" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資通安全管理法於2019年正式啟用，數位部今年9月預告修法，將彙整各界意見交由行政院提出修法版本，也會送交立法院進行修法。目前修法草案有哪些重點？適用範圍是否應該要從現有的公務機關以及特定非公務機關，擴大到一般產業？我們將帶領大家了解。</p> </div></div></div>
2023/11/10 13:49作者黃彥棻https://www.ithome.com.tw/article/159738
改善資安，政府採購與法令與時俱進
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧今年10月的資安新聞，隨著國際上出現新的震盪，先是巴勒斯坦激進組織哈瑪斯（Hamas）開火，突然對以色列發動大規模的軍事攻擊，引發後續以色列展開強烈反擊，而在網路上也陸續傳出，有駭客組織聲援兩國表態參與發動網路攻擊的情形。</p> <p>不僅如此，最近這一個多月來，我們看到科技大廠修補遭利用零時差漏洞的消息，呈現相當密集的情形，<a href="https://www.ithome.com.tw/news/159484" target="_blank">本期我們也專門介紹了這樣的態勢</a>，當中亦顯現國家級駭客組織、商業間諜公司、勒索軟體組織挖掘零時差漏洞並用於攻擊行動的最新現況，以及涉及底層漏洞似乎變多的情形。</p> <p>回顧國內近期重大網路攻擊事故與資安防護推動，有兩大議題最受我們關注，一是國內連鎖藥局下半年接連遭駭客攻擊的情況，一是<a href="https://www.ithome.com.tw/article/158417" target="_blank">我國政府資訊服務採購有新變革</a>，將資安防護措施納入採購規範，做到資安入規。</p> <p>近日，我們盤點這一個月的臺灣重大資安消息，發現有兩家上市櫃公司遭駭客攻擊。</p> <p>首先，以丁丁藥局為營運主體的興櫃公司諾貝兒寶貝（諾貝兒），該公司在10月7日發布資安事件重大訊息，說明公司遭受駭客網路攻擊。</p> <p>另一起事件，代理傳動、控制等自動化機電零組件的上市公司羅昇企業（羅昇），在10月27日亦發布資安事件重大訊息，說明該公司發生部分資訊系統遭受駭客網路攻擊。</p> <p>以諾貝兒的事件而言，引起我們關注的是，雖然調查局指出現況依然是很多產業都有被攻擊的情況，但在今年下半，7月底，先是有大樹醫藥公告遭遇網路攻擊事件，最近10月初，又有丁丁連鎖藥局的諾貝兒寶貝公告遭遇網路攻擊事件，似乎連鎖藥局與醫療通路可能有被針對的情形，相關業者須多加留意。</p> <p>關注資安事故的同時，今年臺灣資安防護推動也獲得幾個重要進展，首先是，最新政府資訊服務採購指引出爐。</p> <p>行政院公共工程委員會（行政院工程會）先是在今年9月25日發布政府資服採購作業指引，後續，行政院在10月5日發布消息，說明通過「政府資訊服務採購革新－資安入規及採購指引」報告，並請各部會及各地方政府，落實執行本次資訊服務採購革新相關事項，同時，工程會也新提供懶人包說明這次資安入規及採購指引的重點。</p> <p>簡單來說，這項改變之所以重要，不僅是資安入規，還有因為過去20年政府資訊服務採購的規範，長年來為機關與資服業者帶來太多爭議與亂象，甚至陷入惡性循環的情況，例如，對資訊系統建置時的資安規畫與契約履行造成極大的挑戰，也導致業界可能為了得標而必須大幅讓利甚至降低品質。</p> <p>而我們在9月進行<a href="https://www.ithome.com.tw/article/159015" target="_blank">資安監控中心SOC的封面故事報導</a>時，當時，也感受到資安服務業者面對公部門採購有很多話想說，像是招標機關常年採最低價決標，但廠商面臨技術服務需與時俱進的向上競爭壓力，在收費營收方面卻呈現持續往下的嚴峻挑戰，隨著政府資訊採購確定有新變革，才讓他們認為市場有了轉機。</p> <p>無論如何，現在有了好的轉變，雖然這次革新可能還不到滿分完善的地步，但在專家眼中，至少可以讓政府資訊服務採購有正向積極的轉變，比方說，從以往的59分不及格，進步到80分。而我們也期望，新的變革能夠加速提升臺灣機關資安防護能力，並帶動臺灣資服資安業者的產業競爭力。</p> <p>另一個突破會是資通安全管理法的修法，<a href="https://www.ithome.com.tw/article/159738" target="_blank">而在1155期封面故事中</a>，因應相關法令內容即將調整，因此我們特別針對這次修法內容帶來的改變，以及民眾意見回饋，與大家一起探討。</p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span></strong></span></span></p> <p><a href="https://www.ithome.com.tw/article/159738" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1155-feng_mian_p1-open-yan_fen_-960x420_kao_bei_0.jpg?itok=EDW0c3Eu" style="width: 550px;" /></strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/article/158417" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1144-feng_mian_p1-open-zheng_han_-960x420_kao_bei_0.jpg?itok=Z1cAPIEo" style="width: 550px;" /></strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/article/159015" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1149-feng_mian_p1-open-zheng_han_-960x420_kao_bei_0.jpg?itok=XAiCY5ZO" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%9B%B6%E6%99%82%E5%B7%AE%E6%BC%8F%E6%B4%9E">零時差漏洞</a></div><div class="field-item odd"><a href="/tags/%E6%94%BF%E5%BA%9C%E8%B3%87%E6%9C%8D%E6%8E%A1%E8%B3%BC%E4%BD%9C%E6%A5%AD%E6%8C%87%E5%BC%95">政府資服採購作業指引</a></div><div class="field-item even"><a href="/tags/%E8%A1%8C%E6%94%BF%E9%99%A2%E5%B7%A5%E7%A8%8B%E6%9C%83">行政院工程會</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89%E7%9B%A3%E6%8E%A7%E4%B8%AD%E5%BF%83">資安監控中心</a></div><div class="field-item even"><a href="/tags/soc">SOC</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E9%80%9A%E5%AE%89%E5%85%A8%E7%AE%A1%E7%90%86%E6%B3%95">資通安全管理法</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89%E6%B3%95%E4%BF%AE%E6%B3%95">資安法修法</a></div></div></div>
2023/11/10 13:57作者羅正漢https://www.ithome.com.tw/voice/159739
專業經理人的領導備忘錄
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-ling_dao_zhe_xing_dong_qing_dan_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">樂金文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>請設想以下情境：不到五個月前，你由原本任職的民營公司奉召服務於新組成的政府內閣。你出身消費零售業，現在則掌管全國礦業。某次你到國外出差，一面仍全盤掌握國內情況。這時部裡傳來消息，某地底深處礦坑發生礦災，死亡人數未知，失蹤人數三十餘人。</p> <p>又或者換一種情境：幾十年來，你的金融業務公司一帆風順，不僅收益大增、獲得業界看重的3A信用評等，還成立了一個表現優異的部門。這個部門規模不小，就像是台賺錢機器，負責的業務是次級房貸等債務違約投保。看上去，前景似乎可以肯定會蒸蒸日上，可是一轉眼，市場就內爆了。</p> <p>再想像一下這種情境：經歷四年交戰，雙方傷亡人數超過七十萬人，敵軍終於投降了。總帥命你安排敵人名聲最響亮的一支軍隊的投降事宜。受降儀式的調性、質感，接待降軍的應對進退，都由你規畫。</p> <p>最後還有一種情境：某製造商即將拆成三間公司，董事長要你這名財務長執掌其中一間。你先前掌管母公司財務部門，如今受命扛起新成立子公司的一切。更棘手的是，子公司問題重重。</p> <p>當然，以上情境都確有其事。情境一的主角勞倫斯．高柏內（Laurence Golborne）是智利共和國新任礦務部長。在訪問厄瓜多期間，他收到幕僚長從聖地牙哥（智利首都）傳來的緊急短訊：「科皮亞波礦坑塌陷，受害者三十三人。」二十八小時後，亦即當地時間早上三點，高柏內抵達智利南部很偏遠的阿他加馬沙漠礦災災區。沒多久，全球就有好幾百萬民眾盯著這場史上規模數一數二的礦災救援行動。</p> <p>情境二裡的金融巨頭美國國際集團（American International Group，AIG）大難臨頭，和智利受災礦工一樣，最終由政府出手相救。一直要到AIG投入大筆資金的次級房貸市場內爆，該集團執行長才驚覺為集團設下的防護措施遠遠不夠。連串市場動盪引發全球金融危機，而他未能臨機應變，也使得整個集團抵擋不住衝擊，差點就要成為企業史上少數的重大倒閉案例。本來各方認為AIG「大到不能倒」，現在都覺得是爛到不如不救。</p> <p>情境三的美國南北戰爭聯邦軍官約書亞．勞倫斯．張伯倫（Joshua Lawrence　Chamberlain）所採取的作為與AIG執行長有天壤之別。聯邦軍總帥格蘭特將軍（Ulysses S. Grant）交給他一項歷史性的重任，要他居中協調邦聯軍李將軍（Robert E. Lee）後續的投降儀式。有些人會猜想，他應該會羞辱邦聯軍一番，但他沒有這麼做，反而下令向李將軍致敬，表達重新團結之意。</p> <p>情境四的丹妮絲．拉莫絲（Denise Ramos）則是ITT前任財務長。在董事長眼中，拉莫絲贏在起跑點上，而這多虧她鍛鍊出執行長思維，也有能力如執行長般有所作為；還未正式擔任執行長職務，就已能事事樣樣承擔執行長職責。在之後的日子，等完全握有執行長職權，她便改革子公司，讓公司改弦易轍。</p> <p>上述四位領導者，有三位在該他們發揮領導力的時刻都有十足準備，有一位則明顯不是這麼回事。誠然，很少人會承受那樣嚴苛的領導力考驗。不過，所有人都可以（也應該）準備充分，迎向各自工作的挫折與轉機，儘管這種種挫折與轉機並不受大眾注目。於是我們得問：為什麼張伯倫、高柏內、拉莫絲能有效克服難關？為什麼AIG高階主管相較之下無力防範金融災難、無力挽救公司？幫了張伯倫、高柏內、拉莫絲大忙的技能，別的領導者學不學得來，又或者說，能不能套用？畢竟，他們一輩子也許都沒機會像張伯倫等人攀越高峰，卻必然有各自的崎嶇險阻。</p> <p>我們所有人都應該有辦法對以上課題給個肯定的答覆。就我來看，所有對企業或團隊績效有責任出一份力的人，都能夠掌握有效的領導力以迎向將來的挑戰。這也是為什麼我在書中提倡並羅列要點清單。</p> <p>我和各式領導力方案參與者的相互激盪，對鑑別出領導者原則來說至關重要。</p> <p>我拿來和他們相互激盪的案例之一，便是IBM前執行長羅睿蘭（Virginia Rometty）在2018年底宣布，以三百四十億美元收購複合式雲端計算公司紅帽（Red Hat）。按她當年的說法，「如今各家公司在雲端這條路上多半只走了二○％」，都只有租用電腦計算能力來「縮減支出」。「接著要走的八○％是要發掘雲端真正的商業價值，並促進雲端發展」，而「這就有必要將雲端商業應用轉型為複合式雲端計算」，「從企業每一道環節擷取更多數據，將數據最佳化」。另一方面，當時的紅帽執行長詹姆斯．懷德赫（James Whitehurst）也解釋說，在接受IBM基於該願景提出的收購案之餘，並未放棄自家公司的自我定位：「和IBM齊心協力讓我們的規模變大、資源變多、能力變強」，但同時仍保有公司的「獨特文化」。</p> <p>根據收購合約的條件，紅帽會在IBM的複合式雲端團隊內獨立運作，只不過懷德赫須向IBM執行長直接彙報成果。紅帽仍保留位於北卡羅萊納州的總部，儘管IBM總部就在南邊不到一千公里處。毫無疑問，紅帽一萬三千名員工中會有不少人對收購案持保留態度，畢竟IBM在他們眼中是天高皇帝遠，企業文化不同，對雲端技術的投入也談不上舉足輕重，而雲端可是當紅新興科技；當時微軟的雲端計算市占率為一五％，亞馬遜為三四％，IBM僅七％。</p> <p>我讓一名經理人或高階主管想像自己是羅睿蘭，在收購案過了幾天之後和成為IBM員工的一群紅帽成員談話。其他人則假想自己是這批剛成為IBM員工的紅帽成員，有些人認為前景堪憂，有些甚至對收購案不情不願。經過對IBM執行長一輪提問，我問他們想要（或預期）從新上司口中聽到怎樣的答覆，以及在收購案後會不會留下來工作，又會不會卯足全力打造、營運合併後的新工作型態。</p> <p><span style="font-size:28px;"><strong>三項重要原則，管理者不可忽略</strong></span></p> <p>領導者清單由十六項原則組成。不過，好多經理人都告訴我說，按照他們的經驗，其中有三項最容易在領導實務中忽略。有些時候，他們要嘛很少運用這三項原則來領導公司，要嘛做不到持之以恆。就他們所見，其餘領導者也不常身體力行這三項原則，包括他們的上司也是，偏偏這些上司本就該採行這三項原則才是。無論如何，結果都是：在公司最經不起打擊的時候，無法完整發揮領導力。</p> <p>最容易被這些經理人和其他領導者忽略的三項原則如下：</p> <p><span style="color:#B22222;"><strong>尊重團隊：表達你對下屬的信任與支持。</strong></span></p> <p><span style="color:#B22222;"><strong>溝通說服：要言不煩，教人過耳不忘。</strong></span></p> <p><span style="color:#B22222;"><strong>以共同利益為優先：大我為重，小我為輕。</strong></span></p> <p>為什麼前述三項原則更常因為在領導實務中「缺席」（而非「實踐」）才反過來凸顯其重要性呢？我想，答案在於有太多管理階層的文化不夠重視這三項原則，又或者並未把這些要點原則整合進領導力發展方案。不管怎麼說，領導時欠缺這三項原則，不但你自己心知肚明，有時還會大大危害到公司聲譽、營利，甚至是國家利益。以英國石油公司（British Petroleum，BP）前執行長唐熙華（Tony Hayward）為例。BP在墨西哥灣的鑽油井平台破裂，他擔心會衝擊環境，但說服不了其他人。另外，全球金融危機期間，投資銀行社群有許多成員都把個人私利擺前頭，投資人與國家的利益擺後頭。</p> <p>至於未能尊重團隊，眼前就有個好例子。</p> <p>輝瑞公司（Pfizer）是全球藥品大廠。綜合多方陳述來看，輝瑞前執行長傑夫．金德勒（Jeff Kindler）對手下高階經理人屢屢當面質疑、詰問、批評，吹毛求疵。就連公司董事也有人被他當眾訓斥。由於向來不尊重團隊、缺乏人望，再加上股價表現不佳，讓人看不出他的努力，金德勒這執行長當了不到五年就被董事會解聘了。<strong><span style="color:#696969;">（摘錄整理自《頂尖領導者的行動清單》，樂金文化提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%A0%98%E5%B0%8E%E8%80%85%E8%A1%8C%E5%8B%95%E6%B8%85%E5%96%AE_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%A8%82%E9%87%91%E6%96%87%E5%8C%96-350.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_樂金文化</span></span><br /> <strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 頂尖領導者的行動清單（The Leader's Checklist）</strong><br /> 麥克．尤辛（Michael Useem）／著；謝孟宗／譯<br /> 樂金文化出版<br /> 定價：360元</p> <p class="rtecenter"><a href="https://mgmt.wharton.upenn.edu/profile/useem/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/150_%E9%A0%98%E5%B0%8E%E8%80%85%E8%A1%8C%E5%8B%95%E6%B8%85%E5%96%AE_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%B3%93%E5%B7%9E%E5%A4%A7%E5%AD%B8%E8%8F%AF%E9%A0%93%E5%95%86%E5%AD%B8%E9%99%A2.jpg" style="width: 150px;" /></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span><br /> <strong>麥克．尤辛（Michael Useem）</strong><br /> 麥克．尤辛是賓州大學華頓商學院管理學教授，兼任領導與變革管理中心暨麥克諾提領導力學程主任。他於大學開設企管碩士班、高階企管碩士班管理與領導課程，並為美國、亞洲、歐洲及拉丁美洲等區域的經理人提供領導力與治理能力課程。他亦協助許多私營公司、公家單位及非營利機構推行領導力發展方案。<a href="https://mgmt.wharton.upenn.edu/profile/useem/" target="_blank"><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_賓州大學華頓商學院</span></a></p> </div></div></div>
2023/11/10 12:00未署名https://www.ithome.com.tw/article/159657
【盤點《資安法》修法草案重點1】將「禁用危害國家資通安全產品」規定法制化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在《資安法》修正的草案內容中，首先，有個大家都相當關注的調整重點，那就是：將現行「各機關對危害國家資通安全產品限制使用原則」的行政原則正式法制化，於是，這次修正草案特別新增了第十一條規定：「公務機關不得採購及使用危害國家資通安全產品」以及「公務人員獲配之公務用資通訊設備，不得下載、安裝或使用危害國家資通安全產品」。</p> <p>對於政府遲遲不願意公開禁用產品的清單，成功大學電機系教授李忠憲於臉書發文，抨擊數位部研議修訂《資安法》，卻未將中共明列為「敵人」管制對象。他質疑，若不知道誰是敵人，就不知道如何防範，也不知道重點和主要的預算要放在哪裡。</p> <p>也有學者表示，目前禁用危害國家資安產品限定為中國品牌的資通訊產品，但未來是否進一步，將禁用範圍擴及其他對臺灣有危害的國家產品，此舉有待評估。</p> <p>而在公共政策網路參與平臺「眾開講」網友回覆意見中，有人建議，《資安法》修正草案新增該禁用條文後，應該要做到正本清源，就必須從政府資訊服務採購的源頭──共同供應契約著手，才能真正做到令行禁止。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>政府行政命令規範禁用危害國家產品，資安署若從寬認定會產生矛盾</strong></span></span></p> <p>對於這次《資安法》修正草案內容，將「各機關對危害國家資通安全產品限制使用原則」的位階從現行的行政命令提升到法律層級，東吳大學科法所兼任助理教授王仁甫認為，修正條文提到「禁用危害國家資通安全產品」的定義並不清楚，若條文更清楚寫成「危害國家安全之資通安全產品」，除了不會造成文字混淆，他認為，主管機關應清楚對外說明，危害國家安全的資通安全產品定義，才可避免各界有疑慮。</p> <p>事實上，目前的《資安法》並沒有規定，公務機關不可以使用或採購中國廠牌包含軟體、硬體和服務的資通訊產品，但有鑑於許多中國廠牌監控設備（例如：海康威視Hikvision）以及網通設備（例如：華為）傳出許多隱藏後門等資安事件，因此觸動政府部門的敏感神經。</p> <p>因此，行政院秘書長李孟諺曾經在2020年12月正式發函，從嚴要求此事，下令公務機關原則上禁止使用及採購大陸廠牌資通訊產品（含軟體、硬體及服務），並要求在2021年底完成全部中國廠牌產品的替換，部分例外須填報正當理由，交由行政院評估。</p> <p>但後續出現不同調的狀況。例如，數位部資安署在2022年8月27日更新的「資安法常見問題中」，針對上述禁用大陸廠牌資通訊產品發函的注意事項，引用公共工程委員會於2018年12月的舊函釋，將大陸廠牌的定義限縮在「大陸地區廠商」，至於「第三地區含陸資成分廠商」及「在臺陸資廠商」的資通訊產品，則不在限制範圍之內。</p> <p>對此有資安專家質疑，為何資安署在網站公告禁用危害國家產品注意事項，卻反而從寬認定大陸廠牌？這與外界要求從嚴認定的觀點不符。</p> <p>對此，資安署在公布的注意事項提及，各機關在辦理採購案時，如屬經濟部投資審議委員會公告「具敏感性或國安含資安疑慮的業務範疇」，應確實於招標文件中載明，不允許經濟部投資審議委員會公告的陸資資訊服務業者參與投標。</p> <p>注意事項也規範一種狀況，例如，若是公務機關委外執行標案的團隊成員，不得同時為中國大陸國籍人士，若是多重國籍人士，只要其中一個國籍有中國大陸國籍，都在限制範圍內；若是香港及澳門國籍者，則不在此限。</p> <p>該注意事項也指出，目前基於現實考量，禁用的資通訊產品不可為大陸廠牌，但並未限制大陸廠牌的零組件；若為了滿足特定需求，公務機關的採購可以在招標文件要求提供的資通訊產品，不可以在大陸廠區生產或製造零組件。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%BB%E5%9C%96-%E8%B3%87%E5%AE%89%E7%BD%B2%E7%A6%81%E7%94%A8%E5%95%8F%E7%AD%94-960.jpg" style="width: 600px;" /></p> <p><span style="color:#3366ff;"><strong>資安署在限制使用危害國家資通安全產品的問答網頁時，引用工程會對大陸廠商的舊函釋，外界認為這與行政院從嚴認定的原意不同，也不符現在的潮流。</strong></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>從政府採購源頭，明文禁用中國廠牌產品</strong></span></span></p> <p>原先政府部門只是以行政命令規範公務機關禁用大陸廠牌的資通訊產品，但實務上，要達到政府規範的禁用目標，就必須從採購源頭著手，禁止使用危害國家的資通安全產品。</p> <p>負責政府採購的主管機關行政院公共工程委員會，也於9月25日正式公布《政府資訊服務採購作業指引》，該作業指引其中的一項重點就是：涉及國家安全或是資通安全的採購，公務機關應該直接在招標文件中規定，不允許陸資廠商（包含其分包廠商）以及陸藉人士參與。</p> <p>而根據該作業指引對陸資廠商的定義，則包括：大陸地區廠商、第三地區陸資廠商，以及在臺灣的陸資廠商。這個規範也合乎行政院秘書長於2020年12月的發函，要求從嚴認定「大陸廠牌」的定義。</p> <p>該作業指引也明定：如果機關招標案件涉及國家安全的採購，必須依照採購案件的特性和實際需要，限制招標廠商的資格；若對廠商的資金來源比例有特定限制的話，例如，懷疑廠商資金來源有陸資的話，可以要求廠商提出相關董監事、股東名冊和資金來源等文件；如果是涉及僑外投資的話，也可以要求廠商提出授權查核同意文件，有必要時，亦可請求目的事業主管機關協助查察。</p> <p>此外，機關在執行相關的採購契約時，不管是履約標的或是執行過程中，都不得提供或使用大陸廠牌的各種資通訊產品，相關的履約人員也不得為大陸藉人員。</p> <p>但是，有些國外的駐點單位或金融單位海外分行等，因為業務需求且無其他替代方案，不得不使用大陸廠牌的資通訊產品時，該機關就應該說明原因，並且經過該機關的資通安全長，以及上級機關資通安全長進行逐級核可後，同時函報《資通安全管理法》主管機關數位部進行核定；最重要的是，機關在該產品未達汰換年限前，也必須加強相關的資安強化措施。</p> <p>透過作業指引的規範，讓政府機關在採購資通訊產品時，都不能採購大陸廠牌的資通訊產品，也必須將《各類資訊（服務）採購之共通性資通安全基本要求參考一覽表》，作為各機關資訊系統資安防護等級的資安規範參考。</p> <p>然而，不同法令要求的對象有別。例如，政府採購法適用的對象，主要是政府機關、公立學校、公營事業，以及接受機關補助金額過半的採購單位，《資安法》適用的公務機關及特定非公務機關中，有些關鍵基礎設施提供者是民間企業，本身並不會受到《政府採購法》規範。</p> <p>有鑑於此，便有網友在「眾開講」平臺建議：「資安署應在網站公布危害國家資通安全產品列表，提供各機關查詢，方可避免資通訊產品驗收爭議。」這應該是可行的配套措施；此外，網友認為，資安署也應該負起職責，定期更新禁用產品內容。</p> <p>另外，有學者表示，目前危害國家資通安全產品的定義是指「中國品牌」，但未來，我們也可以評估是否擴大適用範圍，涵蓋俄羅斯、伊朗或北韓（朝鮮）等國家的資通訊產品。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B7%A5%E7%A8%8B%E6%9C%83%E4%BD%9C%E6%A5%AD%E6%8C%87%E5%BC%95%E5%85%AC%E5%B8%83%E6%88%AA%E5%9C%96.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(51, 102, 255);"><strong>公務機關要做到禁用危害國家資安產品，就必須從政府採購的源頭——共同供應契約做起，而工程會日前公布的「政府資訊服務採購作業指引」已經明訂公務機關禁止採購大陸廠牌的資通訊產品。</strong></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>數位部不公布禁用危害國家產品清單，因為擔心業者洗產地</strong></span></span></p> <p>資安署在「資安法常見問題」的網頁中，也提到：「由主管機關核定禁用廠商清單的效益有限，便決定由主管機關透過跨部會協調平臺與各機關溝通，推動後續危害國家資通安全產品的限制使用事宜。」</p> <p>數位發展部部長唐鳳在面對立委質詢，針對為什麼不能公布危害國家資安產品清單的問題時，她表示，為了避免業者「洗產地」改名規避審查，所以數位部不會公開禁用的產品名單。</p> <p>唐鳳先前接受其他媒體訪談時提到，如果法律明文禁用「中國製」資通訊產品時，因為軟體相對難定義產地，若以官方註冊產地來看時，國際版抖音TikTok透過海外註冊的方式，正好可以繞過「中國製」的法律規範。</p> <p>她指出，數位部是以中國政府能否實質控制這家公司或組織，作為是否危害國家資安產品的認定標準，即便危害國家產品的廠牌或官方註冊產地有變，都不會影響數位部對其危害國家資安產品的認定。</p> <p>為了杜絕危害國家資安產品「洗產地」，唐鳳認為，列在共同供應契約的產品，至少都有兩個以上的機關在使用的產品，等於是機關認同可以採購的「白名單」；若是全新的產品或品牌，就要透過跟數位部查詢的方式，確認沒有資安疑慮後，再行採購。</p> <p>因為在修正草案新增的第十一條中，已經明定「公務機關得向主管機關查詢危害國家資通安全產品及其廠商。」這也表示，數位部只允許有需求的機關向數位部查詢名單，並不願意對外公布禁用清單的態度。</p> <p>數位部資安署署長謝翠娟日前在立法院回覆立委詢問時表示，數位部的禁用危害國家資安產品的清單，分成網路、系統、資料庫、機器人等十多個類別，目前列管的品項超過一千個，其中五分之一與資料庫和電子書有關，而向數位部查詢禁用清單的數量，平均每天約有一件查詢、每個月平均為二十多件查詢需求。</p> <p>臺灣現在有些業者採購中國的白牌產品，然後貼牌為臺灣廠牌的商品，這樣就可以避掉《資安法》對大陸廠牌的限制。不過，有資安專家憂心指出，這些貼牌產品重要的核心系統是大陸製的情況下，貼牌臺灣廠牌反而會讓採購的公務機關缺乏警覺性，可能誤入未知的後門陷阱。</p> <p>數位部既然擔心業者洗產品而不願意公布禁用產品清單，倘若民間業者對採購大陸廠牌資通訊產品有資安疑慮，應該怎麼辦？唐鳳建議，民間業者可參考列在共同供應契約的白名單產品。</p> <p>不過，民間業者對於產品採購的規格和需求，相較公務機關更為彈性與多元，對於只能被動採購共同供應契約上的產品，或者被動詢問資安署欲採購產品是否是在禁用清單的作法，民間業者不會買單。</p> <p>相反地，數位部若能在網站定期更新、主動公布禁用危害國家資安產品清單，不僅可以便利公務機關與非公務機關即時查詢，也會因為禁用產品相關資訊公開透明，在所有競爭業者和使用者的共同監督下，大陸廠牌的資通訊產品，想要透過「洗產地」改頭換面的難度，也會大幅提高，民間業者採購效率也會比只能單向跟資安署查詢高。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%94%90%E9%B3%B3%E5%9B%9E%E8%A6%86%E7%AB%8B%E5%A7%94%E8%B3%AA%E8%A9%A2%E6%88%AA%E5%9C%96-600.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(51, 102, 255);"><strong>面對立委質詢為什麼不公開政府列管的危害國家資安的禁用清單，數位發展部部長唐鳳表示，憂心清單公布後會有業者洗產地的疑慮。</strong></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>明文嚴禁公務手機下載中國App</strong></span></span></p> <p>在修正草案第十一條規定，「公務機關」不得採購及使用危害國家資通安全產品外，也不得在公務設備上下載、安裝或使用危害國家資通安全產品，也就是說，政府機關所核發的公務手機，皆不能下載、安裝或使用中國抖音、微信等App。</p> <p>不過，「眾開講」平臺上面的網友直接建議，認為政府部門核發的公務資通訊設備，應該限制僅限於公務使用，不能轉做私人用途，而這樣的作法，也符合Cyber Hygiene（網路衛生）的觀念。</p> <p>該網友也表示，有許多國內外資料外洩、社交工程資安事件發生原因，都是因為公私不分造成的，像是為求便利，在公務設備上做私人事情，不管是收發私人電子郵件，或在公務用的通訊軟體裡使用私人帳號、加入私人的群組等，都可能因為釣魚郵件或簡訊等社交工程手法，導致帳密外洩等資安事件。</p> <p>不過，王仁甫認為，保護國家安全不只是公務機關的責任，《資安法》規範的其他特定非公務機關，有很多都有這樣的處境，它們一旦遭到損害，就會危及國家民生的重要單位，因此，也都應該要肩負起相對應的責任。</p> <p><span style="color:#B22222;"><strong><span style="font-size:24px;"> 《資安法》修正草案重點之一的條文內容 </span></strong></span></p> <p><span style="font-size:20px;"><strong><span style="color:#696969;">【第十一條】<br /> 公務機關不得採購及使用危害國家資通安全產品；其自行或委外營運，提供公眾活動或使用之場地，亦同。但因業務需求且無其他替代方案者，經該機關資通安全長及其上級機關資通安全長核可，函報主管機關核定後，得以專案方式購置，並列冊管理。<br /> 公務人員獲配之公務用資通訊設備，不得下載、安裝或使用危害國家資通安全產品，並應遵守相關法令規範。<br /> 公務機關得向主管機關查詢第一項產品及其廠商</span></strong></span></p> </div></div></div>
2023/11/10 12:26作者黃彥棻https://www.ithome.com.tw/news/159731
Humane正式發表全球首款個人AI裝置Ai Pin，售價699美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由蘋果前介面設計師Imran Chaudhri與軟體工程師Bethany Bongiorno在2017年共同創立的Humane，<a href="https://hu.ma.ne/media/humane-launches-ai-pin" target="_blank">本周四（11/19）正式發表</a>了號稱是全球第一款個人AI裝置的Ai Pin，約4.5公分見方的Ai Pin可以別在襯衫或夾克上，使用者得以透過自然語音或手指觸控與其互動，並具備電話、傳訊、翻譯及搜尋等功能，它採用雷射光束掃描投影系統，把必要資訊投射到充當螢幕的使用者手掌上。Ai Pin預計於11月16日開放美國用戶訂購，售價為699美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/humane-press-interactions-600.png" style="text-align: center; width: 600px;" /></p> <p>Ai Pin採用時脈為2.1 GHz的8核心Qualcomm Snapdragon處理器，內建4GB記憶體與32GB儲存空間，配備1,300萬畫素的相機，以及麥克風與喇叭，所執行的是專為AI設計的Cosmos作業系統，完全不必下載、管理或啟用軟體，而是藉由一項名為Ai Bus的技術，將使用者連結到所需的服務上。</p> <p>作為一個網路時代的AI裝置，Ai Pin支援各種連網技術，從行動網路、eSim、Wi-Fi 5、藍牙、GPS、Wi-Fi定位系統、Beacon，一直到與T-Mobile合作所推出的Humane無線網路服務，由Humane自己擔任行動虛擬網路營運商（MVNO）。其AI能力主要來自與微軟及OpenAI的合作，使得Ai Pin得以存取某些全球最強大的AI模型與平臺。</p> <p>使用者主要是透過語音及手勢與Ai Pin互動，只要透過手指觸控即可輸入語音、接聽或掛斷電話、開啟或結束音樂、進行翻譯或是拍照等。</p> <p>699美元除了Ai Pin裝置之外，還包括兩個電池增強器，充電板、充電盒與充電線等，但這只是硬體費用，使用者必須額外支付每月24美元的訂閱費用，以取得Ai Pin專用的電話號碼，以及相關的無限通話、簡訊與資料傳輸服務，此一訂閱價格也涵蓋了Humane所提供的雲端儲存及AI服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/ai%20pi%20complete%20system-600.png" style="width: 600px;" /></p> <p>儘管Ai Pin能否取代智慧型手機仍是個未知數，但透過一個小小的裝置，利用語音就能打電話、問天氣、聽新聞、聆聽喜愛的音樂、與外國人交談，的確描繪了一個更自然與方便的未來。由於Ai Pin必須搭配服務才能發揮功用，Humane現階段並未公布是否會在其它市場推出Ai Pin。</p> </div></div></div>
2023/11/10 12:42作者陳曉莉https://www.ithome.com.tw/news/159732
《資安法》實施五年首度大修法！主管機關啟動資安法修法程序
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣目前唯一規範各種資安事件通報、應變及處理的法律，就是《資通安全管理法》（以下簡稱為《資安法》），自從2018年6月6日制定公布，到2019年元旦正式實施以來，至今並未進行修法。</p> <p>過去五年未能修法，有個很重要的原因在於：修法組織異動。原先負責《資安法》制定的行政院資通安全處，原本是行政院的四級幕僚單位，而在2022年8月27日行政院數位發展部成立後，也同時成立資安專責單位：資安署。因為負責修法單位的組織異動，也讓相關的修法進度無法有進展。</p> <p>由於《資安法》自實施以來都沒有修過法，為了讓該法更符合實際的運作模式，外界開始有修法的呼聲，數位部也透過舉辦幾次座談會，邀請各界專家學者，彙整各界意見，後續在國發會「公共政策網路參與平臺—眾開講」中公告，預告修正《資通安全管理法》。</p> <p>此次，《資安法》修正草案中，明訂《資安法》主管機關和資安執行機關，也另外新增六條法條，多數都是為了將現行對資安的實務作為法制化，包括資安會報入法、禁用危害國家資安產品入法、特定非公務機關設資安長入法、行政檢查入法外，也增訂拒絕行政檢查的罰則，以及發生個資外洩的資安事件時，也將適用《個資法》規範。</p> <p>由於《資安法》適用公務機關以及特定非公務機關，目前臺灣特定非公務機關只有數位部、指定的中央目的事業主管機關，以及被指定的關鍵基礎設施服務提供者知情，目前數位發展部以擔心中共知情為由，不願意公布名單。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>主管機關為二級機關數位部，執行單位為三級機關資安署</strong></span></span></p> <p>為了讓《資安法》的運作更符合實務要求並配合行政院的組織運作，所以，此次修法草案中，最重要的一件事，就是配合數位發展部以及資安署的成立，於是，在修正草案第二條中，將原本的主管機關從行政院改為數位發展部，相關的國家資通安全業務，則交由數位發展部資安署辦理。</p> <p>這個因應行政院組織異動隨之調整的法條內容，會產生什麼影響？原本的行政院資通安全處是行政院四級的幕僚機關，所有發文都會以行政院的名義對外發送，而因為是行政院的發文，所以各機關重視程度相對高。但數位發展部成立後，屬於行政院的二級機關，資安署更是三級機關，因此，當數位發展部發文時，由於其他部會屬於平行單位，重視與否端看該公文是否與部會業務相關。至於三級單位的資安署，處境更尷尬——雖然在修正草案中，已經明訂資安署是國家的資安專責單位，但在組織運作上，卻因為三級位階矮人一等，若是要對外發文給上級單位時，難免也會遇到上下權責難以對應的考量。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>資安署收各部會資安稽核報告，金管會對上下權責區分有質疑</strong></span></span></p> <p>最明顯的例子就是，數位發展部在國發會眾開講平臺蒐集各界對《資安法》修正草案的建議，就有金管會發文指出權責問題。</p> <p>首先，依據修正草案第八條的規定，資安署得定期或不定期稽核公務機關及特定非公務機關的資通安全維護計畫實施情形，金管會認為，當三級機關的資安署可以對一、二級公務機關，以及特定非公務機關（包含關鍵基礎設施提供者）辦理資安稽核相關作業，並要求將稽核結果及改善報告送交資安署時，這樣的作法對於相關業法上下權責的劃分、組織職掌及地方自治等事宜都有所扞格，因此，金管會表示，對於資安署能否據以辦理相關稽核作業的權責妥適性，也應該一併考慮斟酌。</p> <p>另一個爭議點是修正草案第十九條增訂「關鍵基礎設施提供者的指定基準、廢止條件及程序由中央目的事業主管機關公告，並擬訂指定清單報行政院核定。」金管會質疑，如果中央目的事業主管機關依公告的指定基準，指定關鍵基礎設施提供者的清單，與行政院核定結果不符的時候，其所公告指定基準是否具有法規效力。</p> <p>另外，第十九條中也規定，中央目的事業主管機關會徵詢相關公務機關、民間團體、專家學者的意見後訂定指定清單，金管會質疑，指定程序是否具訂定之必要外，也建議應該再審酌其必要性及法規位階。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>資安會報正式入法，建立跨機關、中央地方聯防機制</strong></span></span></p> <p>除了資安事務的主管機關和執行機關明定在《資安法》修正草案中，另外一個重點就是，將現行運作多年的行政院「國家資通安全會報」，正式納入《資安法》新增的修正草案第五條，並指定數位發展部為幕僚單位。</p> <p>「資通安全會報」從2011年經行政院院會核定後，通過第一期資通安全機制計畫，便同時成立行政院「國家資通安全會報」。根據《行政院國家資通安全會報設置要點》第一條，設立國家資通安全會報的目的就是為了：積極推動國家資通安全政策，加速建構國家資通安全環境並提升國家競爭力。</p> <p>資通安全會報由行政院副院長兼任召集人，行政院資安長則由資通安全會報召集人兼任；這是整合跨部會、跨直轄市副首長、專家、學者的資安組織，相關幕僚作業則由數位發展部辦理。</p> <p>事實上，資安會報運作已經超過十年，除了要因應全球資安威脅和突發的資安事件越來越多之外，最主要的任務就是：協助建立各機關中央和地方的聯防體系，真正強化跨機關的資安應變和協調處理能力，以及落實資安會報的決議事項。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>特定非公務機關的指定方式讓人不解</strong></span></span></p> <p>事實上，《資安法》在五年前開始修訂時，當時的法律架構參考《個資法》，法條內容則針對公務機關以及特定非公務機關兩個標的，因此，許多熟悉《個資法》個資的人，看到公務機關以及特定非公務機關的用語，會覺得似曾相識。</p> <p>不過，《資安法》和《個資法》最大的差異在於，對「非公務機關」的適用範圍定義不同，前者是「特定」非公務機關，後者則是除了公務之關之外都算是非公務機關。</p> <p>因此，《資安法》適用的特定非公務機關的範圍，其實經過中央目的事業主管機關的再三挑選後，才指定的「特定」非公務機關，數量上一定比《個資法》適用的範圍小。</p> <p>不過，臺灣指定的特定非公務機關，目前面臨很嚴重的問題，那就是：即便是同一個產業、類似規模，甚至是扮演相似的角色，會因為主管機關的認知不同，而有指定與否的差別。</p> <p>舉例而言，關鍵基礎設施中的交通運輸領域，中央目的事業主管機關是交通部，針對飛機類的主管機關則是民航局。</p> <p>據了解，在國籍航空中，只有中華航空公司被指定為關鍵基礎設施中的「特定非公務機關」，但同為國籍航空的長榮航空、立榮航空、華信航空、星宇航空以及臺灣虎航等，都不在關鍵基礎設施領域中的「特定非公務機關」名單中。</p> <p>若以規模和功能來看，身為國籍航空的華航過去曾經幫忙國家運送疫苗，長榮航空也同樣有幫忙運送疫苗，因此，既然在先前COVID-19全球疫情大爆發的情況下，政府都會要求兩家航空公司協助，如今就國家安全的角度而言，就應該有不同標準嗎？如果只是因為官股成分的不同，所以民航局僅指定中華航空作為關鍵基礎設施中的特定非公務機關，然而，如果不同時指定其他國籍航空公司，恐怕會產生許多爭議，不符合全民的認知與期待。</p> <p>若回頭看修正草案第三條對關鍵基礎設施的定義，「指行政院公告之關鍵領域中，該領域服務所依賴之系統或網路之實體或虛擬資產，其功能一旦停止運作或效能降低，對國家安全、社會公共利益、國民生活或經濟活動有重大影響之虞者。」從上述定義來看，中華航空和長榮航空一旦服務中斷，對臺灣社會造成的衝擊，難道會有差異嗎？</p> <p>再者，金融業因為營業規模大小而分級，全部納入管理，航空業和其他列為八大關鍵基礎設施領域的服務提供者，也同樣可以透過分級分類的方式，把相同等級的業者，一併納入同樣關鍵基礎設施領域的特定非公務機關名單，才是合理的作為。</p> <p>就好像，通傳會（NCC）要指定電信業者作為特定非公務機關時，一定是因為該業者對於臺灣通訊服務扮演重要角色，一旦服務中斷，將會嚴重影響社會、民生和經濟活動。</p> <p>所以，NCC如果因為官股成分，只指定中華電信作為特定非公務機關，而不指定台灣大哥大和遠傳電信的話，是否就會變成政府認定，列為特定非公務機關的中華電信，其服務一旦中斷，對社會國家造成的衝擊，會比其他電信業者大呢？</p> <p>由此可證，如果中華電信、臺灣大哥大和遠傳電信，因為都是臺灣重要的電信服務提供者，一旦服務中斷，都會對臺灣社會帶來同樣巨大的衝擊，因此，都必須列為特定非公務機關的名單時，難道，長榮航空不應該因為和中華航空具有同樣的重要性，而應該同樣被列入特定非公務機關的名單中嗎？</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>數位部不願公布關鍵基礎設施清單，引發質疑</strong></span></span></p> <p>另一個資安法修法的爭議點在於，數位發展部目前不願意公布關鍵基礎設施服務提供者的名單，他們對外的說法是：「擔心中共知道後，會攻打這些單位」但平心而論，這樣的理由並無法令人信服，反而會被認為是公務人員「不做不錯」的心態作祟。</p> <p>對歐盟《資安法》有深入研究的政大法律系兼任助理教授萬幼筠表示，歐盟有一個跨國關鍵基礎設施的清單列表，在每個關鍵基礎設施領域，都可以各自找到歐盟30個會員國各自的關鍵基礎設施清單。另外，在網路上，甚至也可以找到一個Open Infrastructure Map，提供全球各國關鍵基礎設施的電廠地圖。</p> <p>從上述做法來看，國家關鍵基礎設施的清單並非不能公開，敵對國家與組織仍然可以透過許多方法進行收集和判斷，不會因為政府不公開而能阻止其他人認定，但數位發展部如今卻以關鍵基礎設施的清單被中共知道，會對臺灣不利為由而不願意提供，此舉令人覺得荒謬！</p> <p>換個角度來看，這些關鍵基礎設施的清單就算不公布，以中共對臺灣的滲透，加上臺灣內部有許多過度親中人士的協助，中共還是可以知道哪些是關鍵基礎設施的名單嗎？數位部不公布清單，只是鴕鳥心態，更嚴重的問題，在於國人如果無法明確知道所要保護的對象，如何進一步提高這方面的心防？</p> <p>事實上，關鍵不在於能否徹底隱瞞、不洩漏清單，而是被視為關鍵基礎設施服務提供者，是否做好應該有的資安防護措施，這不只是政府的責任，也是民眾的責任；而且，透過資訊公開透明的全民監督方式，也可以作為監督相關關鍵基礎設施精進資安作為的外部動力。</p> </div></div></div>
2023/11/10 12:07作者黃彥棻https://www.ithome.com.tw/news/159729
Chrome 119開始呈現每個分頁的記憶體使用量
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google於上周釋出的Chrome 119不僅修補了15個安全漏洞，也新增了一項功能，使用者只要把滑鼠移到分頁上，就能透過懸停卡（Hover Cards）看到該分頁的記憶體用量。</p> <p>Chrome開發者經驗負責人Addy Osmani曾在今年10月，<a href="https://medium.com/@addyosmani/chrome-now-shows-each-active-tabs-memory-usage-4f74876538e6" target="_blank">於Chrome 119 Canary版出爐時解釋過此一功能</a>，還說此一懸停卡不僅能查看每個分頁的記憶體用量，一旦使用者啟用了記憶體節省模式，亦可自懸停卡上看到該分頁是否已被凍結以釋出記憶體。</p> <p class="rtecenter"><img alt="" src="https://miro.medium.com/v2/resize:fit:720/format:webp/1*[email protected]" style="width: 450px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Addy Osmani, Chrome</span></span></p> <p>呈現記憶體用量的功能很明顯地是要透明化每個網站的記憶體消耗，以讓使用者決定是否要關閉用量特別龐大的網站。</p> <p>為了擺脫記憶體怪獸的惡名，Google Chrome團隊去年底於該瀏覽器上新增了效能設定，主要功能為記憶體節省模式與節能模式。在啟用記憶體節省模式之後，Chrome即會釋出閒置分頁所占用的記憶體，以把更多的資源分配給正在使用中的分頁或其它應用程式，同時保持Chrome的快速運作。</p> <p>節能模式則是在啟用後限制背景活動與視覺效果，以節省電池電力，其預設值是在電池電量低於20%時自動開啟。</p> <p>雖然Chrome 119在10月31日就出爐了，但由於每個Chrome版本的部署時間有時會長達數周，許多用戶一直到本周才看到最新的記憶體用量顯示功能。</p> </div></div></div>
2023/11/10 10:29作者陳曉莉https://www.ithome.com.tw/news/159718
OpenAI啟動合作夥伴計畫，以擴大取得模型訓練資料集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI本周稍早在第一屆開發者大會上宣布<a href="https://www.ithome.com.tw/news/159668" target="_blank">客製化ChatGPT</a>、<a href="https://www.ithome.com.tw/news/159671" target="_blank">GPT-4 Turbo</a>等服務後，昨（9）日發表了<a href="https://openai.com/blog/data-partnerships" target="_blank">資料合作夥伴方案（OpenAI Data Partnerships）</a>，除了幫企業整理或數位化資料，同時取得網路上找不到的開源與私有資料集來訓練其AI模型。</p> <p>要訓練出有用且安全的AI，需要其資料集能涵括多種主題、產業、文化及語言，因此OpenAI之前曾和多個組織合作，以將其資料納入其訓練資料集，包括冰島政府及一家軟體業者提供冰島語資料，法律非營利組織自由法律專案（Free Law Project）則提供大量法律文件。OpenAI指出，資料合作夥伴方案的目的在將企業組織的資料加入OpenAI的資料集，以便其模型能產出更正確、符合其產業或文化需求的回應。</p> <p>OpenAI需要不易在公開網際網路上取得的，且能反映人類社會的大量資料。該公司能處理多種模態的資料，包括文字、圖片、影片及聲音，他們對能表達人類意圖的資料尤其感興趣，像是很長的文字或對話，而非不連續的片段，且不論文字、主題或格式都歡迎。</p> <p>OpenAI強調，除了取得合作夥伴資料，他們也會用其自行開發的AI科技，協助企業合作夥伴數位化及結構化資料資產。例如他們有光學字元辨識（optical character recognition，OCR）技術可將PDF數位化，或使用自動語音辨識將口語資料錄寫下來。如果資料需要清洗，像是自動產生的符號或轉錄錯誤，OpenAI也能協助處理。OpenAI謝絕包含敏感或個人資料，或是非企業自有的第三方資料，但如果企業資料中包含這些元素，OpenAI也能幫忙去除。</p> <p>以資料來源區分，OpenAI透過合作夥伴取得開源資料儲存庫，以及組織自有的資料集。OpenAI計畫利用前者訓練開源模型。利用組織自有資料集，他們將訓練自己的基礎AI模型，或是微調及客製化模型。如果合作組織希望保有資料，又希望OpenAI模型能更了解其領域，甚至合作組織自己想開發模型，OpenAI表示會提供合作夥伴屬意的安全防護，以及資料控制權，<a href="https://openai.com/form/data-partnerships" target="_blank">有興趣的企業組織可以填寫表格以加入合作計畫</a>。</p> <p>這項合作除了幫助OpenAI取得更多元資料訓練其GPT、DALL-E等模型，以提升生成結果的品質，也能避免侵害版權或隱私的爭議。OpenAI過去利用爬蟲技術在網際網路上擷取文字及影音資料，已引來<a href="https://www.theguardian.com/books/2023/jul/05/authors-file-a-lawsuit-against-openai-for-unlawfully-ingesting-their-books" target="_blank">作家</a>及<a href="https://arstechnica.com/information-technology/2023/07/book-authors-sue-openai-and-meta-over-text-used-to-train-ai/" target="_blank">出版商</a>的控訴官司。</p> </div></div></div>
2023/11/10 10:47作者林妍溱https://www.ithome.com.tw/news/159723
OpenAI遭DDoS攻擊，ChatGPT斷線近24小時
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI本周才風光舉辦第一屆開發者大會，並公布<a href="https://www.ithome.com.tw/news/159668" target="_blank">客製化ChatGPT</a>、<a href="https://www.ithome.com.tw/news/159671" target="_blank">GPT-4 Turbo</a>等服務，不過旗艦服務ChatGPT卻疑似遭到駭客發動分散式阻斷服務（DDoS）攻擊而斷線近24小時。</p> <p><a href="https://status.openai.com/incidents/21vl32gvx3hb" target="_blank">根據OpenAI的狀態頁</a>，太平洋時間周二（11月7日）起，ChatGPT及API陸續發生數次斷線。當天晚間將近8:00（臺灣時間周三中午約12:00）ChatGPT和API發生部分斷線情形，持續約2.5小時後獲得解決。11月8日凌晨將近6:00時，ChatGPT和API發生大規模斷線，原因是「一些問題」影響所有服務。OpenAI團隊在1個半小時找出問題並部署解決方案。當地時間11月8日中午12:00（臺灣時間11月9日凌晨4點）時，ChatGPT及API再度發生周期性斷線。維護團隊從流量樣態判斷為DDoS攻擊，表示正著手解決。直到臺灣時間今天（11月10日）約上午5:30，維護團隊才公告，事件已經解決，所有服務恢復正常，修復時間花了將近24小時。</p> <p>OpenAI並未提供關於攻擊的資訊。<a href="https://techcrunch.com/2023/11/09/openai-blames-ddos-attack-for-ongoing-chatgpt-outage/" target="_blank">不過Techcrunch報導</a>，行動派駭客組織Anonymous Sudan在Telegram頻道上宣稱是其所為。這個組織據信和俄國有關。</p> <p>另一方面，OpenAI預定當地時間周一上線給所有付費用戶的客製化GPTs，也未能實現承諾。但<a href="https://twitter.com/sama/status/1722315204242149788" target="_blank">OpenAI執行長Sam Altman解釋</a>是出於新功能用量超出預期之故。此事和DDoS攻擊尚無法確定。</p> <p>此外，CDN暨網路安全業者<a href="https://www.bleepingcomputer.com/news/technology/cloudflare-website-downed-by-ddos-attack-claimed-by-anonymous-sudan/" target="_blank">Cloudflare昨日也證實發生DDoS攻擊</a>，致使<a href="http://www.cloudflare.com">www.cloudflare.com</a>網站短暫斷線。巧合的是<a href="https://t.me/xAnonymousSudan/260" target="_blank">Anonymous Sudan周四也宣稱</a>此事是其所為。</p> <p>另一家AI新創公司Anthropic的聊天機器人Claude也出問題。<a href="https://www.cnbc.com/2023/11/08/openais-chatgpt-is-down-in-a-major-outage.html" target="_blank">《CNBC》報導</a>，Anthropic張貼告示指出，由於「不預期的容量短缺」，Claude暫時無法回應訊息。Anthropic事件是否與OpenAI或Cloudflare事件相關也不得而知。</p> </div></div></div>
2023/11/10 11:16作者林妍溱https://www.ithome.com.tw/news/159727
FBI警告，勒索軟體持續透過供應鏈入侵賭場伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ic3.gov/Media/News/2023/231108.pdf" target="_blank">美國聯邦調查局（FBI）近日警告</a>，勒索軟體駭客集團近來持續利用第三方的遠端存取漏洞，以及合法的系統管理工具來入侵賭場伺服器。</p> <p>今年以來，<a href="https://www.ithome.com.tw/news/158690" target="_blank">米高梅國際酒店集團</a>（MGM Resorts International）的賭場及美國連鎖賭場<a href="https://www.ithome.com.tw/news/158767" target="_blank">Caesars Entertainment</a>都遭到駭客攻擊，FBI的文件並未揭露受害者名單，僅說這一年來發現駭客持續藉由第三方服務來危害賭場，且相關攻擊通常針對小型及部落賭場，駭客加密了伺服器，盜走賭場的員工與客戶身分資訊。</p> <p>FBI發現的其中一個駭客組織是Luna Moth（又名Silent Ransom Group），該組織發動了回撥網釣（Callback Phishing）攻擊，寄信給受害者並要求受害者回撥，進而指示受害者安裝其它合法的管理工具，駭客再藉由該工具安裝其它系統工具以執行惡意活動，包括破壞本地端檔案與網路共享磁碟，竊取用戶資料，並向受害組織勒索。</p> <p><a href="https://unit42.paloaltonetworks.com/luna-moth-callback-phishing/" target="_blank">資安業者Palo Alto Networks去年底便曾點名Luna Moth</a>，此一駭客組織的專長在於誘導目標組織的員工替其安裝遠端存取工具，以控制受害電腦，進入受害組織的網路，接著執行惡意活動並向受害組織勒索。這類的攻擊成本相對較低，而受到駭客青睞。</p> <p>為了避免出現更多的災情，FBI提供了緩解措施，包括維護離線的備份資料，確保備份資料是加密且不可變更的，審查第三方業者的安全性，將應用程式及遠端存取活動列表，記錄與監控外部的遠端存取活動，以及制定復原計畫。FBI也建議賭場落實身分與存取管理，採用強密碼及多因素身分驗證，要求只有具備管理員身分的使用者才能安裝軟體，安裝防毒軟體，以及定期修補安全漏洞等。</p> </div></div></div>
2023/11/10 09:30作者陳曉莉https://www.ithome.com.tw/news/159712
開放工程聯盟公開新基準測試結果，AI模型訓練效能5年大幅提升49倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開放工程聯盟（MLCommons）<a href="https://mlcommons.org/2023/11/mlperf-training-v3-1-hpc-v3-0-results/">公開</a>了MLPerf Training v3.1與MLPerf HPC v3.0，兩個重要的基準測試套件的結果，MLPerf Training v3.1獲得產業廣泛參與，官方提到，相較起5年前第一批提交的結果，訓練效能提升達49倍，而MLPerf HPC v3.0的結果也同樣展示科學運算的長足進展，像是DeepCAM天氣建模基準的結果，也比首次推出時提升達14倍。</p> <p>隨著大型語言模型在各類智慧應用越來越普及，人們對於生成式人工智慧的依賴程度日益增加。為了訓練更強大、更準確地大型語言模型，企業則需要更龐大的運算能力，並高效率地利用超級電腦的硬體和軟體，藉以加速模型訓練流程，使模型更快地迭代和改進，以強化大型語言模型和生成式人工智慧的創新和實用性。</p> <p>MLPerf Training v3.1套件是用於衡量訓練機器模型、軟體和硬體的全系統評比工具，範圍涵蓋廣泛應用領域。這套開源且經過同儕審查的評比工具，替產業提供了一個公平競爭的平臺，不僅推動技術創新，也可促進效能和能源效率的進步。</p> <p>在最新的MLPerf Training v3.1中，有來自19個組織所提交的200多個結果，組織包含華碩、微軟、戴爾、富士通、Google、Nvidia和廣達雲端科技等企業，而這次也有新加入提交MLPerf Training測試結果的組織，像是CTuning基金會與紅帽等。<span style="white-space:pre"> </span></p> <p>新的MLPerf Training v3.1套件考慮到圖像生成的高速成長，加入了Stable Diffusion生成式人工智慧基準模型，可用於評估人工智慧系統在接收文字提示並生成圖像的能力。官方提到，MLPerf Training v3.1結果與2018年初次提交的結果相比提升達49倍，效能明顯提升正反映了機器學系統正以非常快的速度創新。</p> <p>而在MLCommons在MLPerf Training v3.0才新增的GPT-3，在5個月內，大型語言模型基準測試的效能就提升達2.8倍。MLCommons在本輪總共收到11份GPT-3的測試提交，官方認為，提交數量增加與生成式人工智慧大受歡迎有關係。</p> <p>MLPerf HPC v3.0基準套件則是針對超級電腦，用以衡量科學應用機器學習模型的訓練效能。與MLPerf Training v3.1類似，只不過MLPerf HPC v3.0專門評比科學研究常用的高效能運算系統，並針對支援多用戶的大型系統，納入吞吐量指標。</p> <p>MLCommons還在HPC v3.0基準套件中，新增了蛋白質折疊基準OpenFold。MLPerf HPC v3.0包含30多項測試結果，官方提到，HPC v3.0基準參與度較去年增加30％，其中包括8個組織提交的大型超級電腦，像是戴爾、富士通與理化學研究所等，還有首次參加的克萊姆森大學，還有HPE與柏克萊實驗室，以及Nvidia和德州高階運算中心。</p> <p>MLPerf HPC基準測試結果展示了人工智慧在科學領域的重大進展，官方指出，像是DeepCAM天氣模型基準，就比首次推出時快14倍，而這代表著機器學習快速創新，已能夠成為科學家更好的工具，用於解決研究領域的問題，並增加人們對世界的理解。</p> <p> </p> </div></div></div>
2023/11/10 09:40作者李建興https://www.ithome.com.tw/news/159711
【資安日報】11月9日，駭客藉由PyPI套件散布BlazeStealer竊資軟體，對開發人員的電腦上下其手，甚至造成電…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">利用惡意開源套件鎖定開發人員的攻擊行動，近期可說是越來越頻繁，但大部分往往出現不到1個月就被研究人員發現、向套件儲存庫經營團隊通報。而最近發生的一起攻擊行動中，駭客從今年初陸續發布惡意PyPI套件，當中潛藏竊資軟體BlazeStealer，直到最近才被揭露。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">特別的是，這起攻擊行動當中，駭客相當節制、低調，在10個月內，僅上架了8個惡意套件，而不像大部分同類型的事故，往往在短短的一、兩個星期當中，上架數十個、甚至是數百個套件。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【攻擊與威脅】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://checkmarx.com/blog/python-obfuscation-traps/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體BlazeStealer透過PyPI套件散布，讓駭客對開發人員的電腦進行各式攻擊行動</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/BlazeStealer.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/BlazeStealer.png" style="width: 300px; float: right;" /></a>資安業者Checkmarx揭露竊資軟體BlazeStealer的攻擊行動，駭客從今年1月至10月，前後發布8個PyPI套件，用來散布上述惡意程式。受害者遍及全球，近7成（69.2%）位於美國，其次是中國、俄羅斯的人士，分別占12.4%、5.5%。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">這些套件內含setup.py和init.py檔案，用來尋找駭客存放於Transfer[.]sh的Python指令碼並執行，一旦開發人員不慎安裝上述的PyPI套件，電腦就有可能被植入BlazeStealer。此竊資軟體會執行Discord機器人，從瀏覽器挖堀帳密資料、執行命令、加密檔案、停用防毒軟體Microsoft Defender，此外，該機器人也有可能透過螢幕截圖、試圖透過影像辨識方式找出使用者輸入的密碼，或是下載額外的模組，利用網路攝影機拍攝照片。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">值得留意的是，攻擊者不只竊取資料及控制電腦，還可能會讓電腦無法正常運作，這些方法包含控制處理器的使用率、在開機啟動組態加入批次檔執行關機、透過Python指令碼導致電腦出現藍白當機畫面（BSOD），這時電腦還會出現駭客嘲笑的訊息，像是「電腦將要燒焦了，祝好運」、「你的電腦即將當機，祝早日復原」，並在訊息結尾加上笑臉的表情符號，表達故意向受害者挑釁的意圖。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.jamf.com/blog/bluenoroff-strikes-again-with-new-macos-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客BlueNorOff鎖定Mac電腦，散布惡意軟體ObjCShellz</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資安業者Jamf揭露北韓駭客BlueNorOff的攻擊行動，他們會聲稱是自己是投資人或是獵人頭公司，表明有興趣和攻擊目標合作，或是他們有利益的東西，一旦使用者依照指示操作，就有可能導致Mac電腦感染惡意軟體ObjCShellz。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">研究人員指出，此惡意程式與過往該組織所使用的攻擊工具有很大的不同，駭客使用Objective-C開發，為功能相對單純的遠端Shell，專門執行攻擊者從伺服器發送的Shell命令，研判很有可能被用於後期攻擊階段，讓攻擊者在破壞目標電腦後手動執行各式命令，且無論是x86架構或Arm架構的電腦，都可能受害。截至研究人員公布調查結果為止，惡意軟體分析平臺VirusTotal所有的防毒引擎仍將其視為無害。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">一旦執行，ObjCShellz會呼叫名為sendRequest的功能，發送POST訊息到駭客架設的惡意網站swissborg[.]blog，然後利用Objective-C的NSProcessInfo功能，取得該惡意程式自身處理程序的資訊，並得知作業系統的版本。究竟駭客如何於受害電腦植入此惡意程式？目前仍不明朗，但研究人員認為，此惡意軟體攻擊很可能是他們4月追蹤的RustBucket攻擊行動一部分。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/undetected-on-virustotal.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/undetected-on-virustotal.png" style="width: 580px;" /></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://blogs.vmware.com/security/2023/11/jupyter-rising-an-update-on-jupyter-infostealer.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊資軟體Jupyter Infostealer使用帶有數位簽章的私鑰，企圖迴避資安系統的偵測</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/Jupyter-Fig-10-Juypter-process-chart.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jupyter-Fig-10-Juypter-process-chart.png" style="width: 300px; float: right;" /></a>VMware旗下的威脅情報團隊揭露竊資軟體Jupyter Infostealer（亦稱Yellow Cockatoo、Solarmarker、Polazert）的攻擊行動，駭客藉由操縱搜尋引擎最佳化（SEO）及投放惡意廣告的手法，來誘騙想要尋找Autodesk等知名應用程式的使用者上當，一旦此竊資軟體植入受害電腦，就會收集各式帳密並建立C2通訊，然後將竊得資料傳送到C2伺服器。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">值得留意的是，這一次新的惡意程式攻擊當中，駭客透過PowerShell命令及使用帶有簽章的私鑰，企圖讓該惡意程式躲過資安系統的偵測。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/fake-ledger-live-app-in-microsoft-store-steals-768-000-in-crypto/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">冒牌Ledger Live應用程式進駐Microsoft Store市集，竊得76.8萬美元</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/F-IVRbYXEAATLti.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/F-IVRbYXEAATLti.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，11月5日加密貨幣調查員ZachXBT提出警告，Microsoft Store市集裡出現冒牌的Ledger Live加密貨幣錢包App，當時駭客已從中騙走至少16.8個比特幣，相當於58.8萬美元。對此，微軟同日下架該應用程式，累計受害金額超過76.8萬美元，但究竟有多少人被騙？仍不得而知。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">有受害者透露上當的過程，他在重灌電腦後，從Microsoft Store市集找到前述的Ledger Live應用程式下載、安裝，這名使用者依照App指示輸入通關密語（Seed Words），結果幾分鐘後發現，他錢包裡的加密貨幣資產，包含價值18,500美元的比特幣，以及8,000美元的替代幣都不翼而飛。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">該新聞網站指出，這款冒牌的加密貨幣錢包App，很可能在10月19日就出現於Microsoft Store市集，而且，攻擊者也濫用知識管理平臺Gitbook假設冒牌網站，試圖讓使用者信以為真。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資料來源</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">1. <a href="https://twitter.com/zachxbt/status/1720961400313373127">https://twitter.com/zachxbt/status/1720961400313373127</a><br /> 2. <a href="https://www.reddit.com/r/cryptocurrencyhacks/comments/17n6hgu/just_lost_my_life_savings_26500_of_crypto_from_my/">https://www.reddit.com/r/cryptocurrencyhacks/comments/17n6hgu/just_lost_my_life_savings_26500_of_crypto_from_my/</a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.sumologic.com/security-response-center/#eede153a-8f3f-4eff-858d-1b653eaff457"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">以SIEM系統聞名的資安業者Sumo Logic傳出資料外洩，要求用戶重設API金鑰</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月7日安全資料分析業者Sumo Logic發布事故公告，表示他們在3日察覺自家使用的雲端服務遭駭，有人利用外洩的帳密資料存取該公司的AWS帳號，目前尚未發現對於他們的網路或系統造成影響。該公司強調，客戶的資料已經受到加密處理，目前也仍是加密的狀態。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">Sumo Logic指出，</span>當他們察覺上述異常的情況，隨即封鎖遭到曝露的基礎設施，並輪換所有可能遭到流出的帳密，以及改進監控與修復漏洞的方法，防止類似事故再度發生。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">對此，該公司呼籲客戶輪換API金鑰，並對於Sumo Logic使用者帳號、資料收集器（及其代管服務），以及作為Webhook連線設定儲存的帳密資料，也最好一併輪替。不過，究竟有多少客戶受害？該公司並未進一步說明。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【資安產業動態】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159698"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟Microsoft Entra將部署MFA條件式存取政策，登入管理主控臺將強制啟用</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月6日微軟公告，他們將於Microsoft Entra新增3項條件式存取（Conditional Access）政策，其共通之處在於都與雙因素驗證（MFA）有關。<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">這些政策包含了：</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">（一）登入各種管理入口網站時必須採用MFA；</span><br /> <span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">（二）在登入任何雲端應用程式時都必須採用MFA；<br /> （三）針對Microsoft Entra ID Premium Plan 2的客戶，在執行高風險存取行為的時候，必須執行MFA。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">其中，上述的第一項政策適用所有的用戶，14種管理員角色都會受到影響，涵蓋全域管理員、應用程式系統管理員、Exchange系統管理員、密碼管理員、安全性系統管理員、SharePoint系統管理員、使用者管理員等。該公司預計下週開始為所有租戶套用上述政策，而租戶有90天能夠審核並進行自訂，之後就會進行啟用。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【其他新聞】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/transform-says-ransomware-data-breach-affects-267-000-patients/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">加拿大醫院IT系統管理服務業者TransForm遭遇勒索軟體攻擊，560萬筆病人資料流出</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://therecord.media/japan-aviation-electronics-says-servers-accessed-during-cyberattack"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">日本航空電子公司遭遇網路攻擊，駭客存取伺服器機密資料，該公司強調尚無資料外洩情事</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://cybernews.com/security/royal-mail-open-redirect-flaw/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國皇家郵政網站存在開放重新導向漏洞，有可能遭駭客用於網路釣魚攻擊</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://securityaffairs.com/153873/cyber-crime/fbi-ransomware-actors-new-trends.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客透過第三方供應商，攻擊賭場伺服器</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.helpnetsecurity.com/2023/11/07/kubescape-3-open-source-kubernetes-security/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">K8s安全合規工具Kubescape推出3.0大改版</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>近期資安日報</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159699"><strong>【11月8日】駭客組織SideCopy利用WinRAR高風險漏洞發動攻擊，針對印度政府機關而來，Linux電腦也是目標</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159685"><strong>【11月7日】鎖定Atlassian Confluence重大漏洞的攻擊行動出現，駭客透過勒索軟體Cerber加密伺服器的檔案</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159660"><strong>【11月6日】濫用企業臉書帳號散布NodeStealer竊資軟體的攻擊行動再度出現，想看裸照的使用者是目標</strong></a></p> </div></div></div>
2023/11/9 16:17作者周峻佑https://www.ithome.com.tw/news/159710
HPE翻新高密度儲存伺服器，1U機箱搭20臺E3.S或2.5吋SSD
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hpe_alletra_4000_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>接替Apollo 4000系列儲存伺服器產品線，HPE今年新推出Alletra 4000系列，最大的差別在於，改用最新發表的英特爾第四代Xeon Scalable處理器，提供2路運算組態（最多提供2 x 48核心）、24個DDR5-4800記憶體配置（最多提供24 x 256 GB，6 TB）；除此之外，過往的Apollo 4000系列產品由於主打高儲存密度的配置，因此，機箱尺寸多為2U（如<a href="https://www.ithome.com.tw/review/106621">Apollo 4200系列</a>）或4U（如<a href="https://www.ithome.com.tw/review/106181">Apollo 4500系列</a>），</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE Apollo 4000.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Apollo%204000.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Apollo-4200-Gen10-Plus-L-16-9.jpg" style="width: 600px;" /></p> <p>而最新登場的Alletra 4000系列，繼續提供2U尺寸的機型，名為Alletra 4120，但是首度提供1U尺寸的機型，名為Alletra 4110，當中也率先支援大量EDSFF E3.S外形NVMe固態硬碟的搭配方式——機箱前側面板可安裝20臺PCIe 5.0固態硬碟，用戶可搭配鎧俠CD7系列（單臺最大為7.68 TB），或是三星PM1743（單臺最大為15.36 TB），整臺伺服器的最大儲存容量、不含用於系統啟動M.2固態硬碟，可達307.2 TB（20 x 15.36 TB）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Alletra%204000.jpg" style="width: 600px;" /></p> <p>除此之外，Alletra 4000系列這兩款機型也內建新一代系統管理晶片iLO6、矽信任根、TPM 2.1模組，並能納入HPE雲端伺服器管理服務GreenLake for Compute Ops Management，進行集中控管。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE Allectra 4110-Managed by GreenLake Compute Ops.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Allectra%204110-Managed%20by%20GreenLake%20Compute%20Ops.jpg" style="width: 600px;" /></a></p> <p>相較於市面上其他強調高儲存密度的伺服器，不論是長期發展的Apollo 4000系列，或是今年上市的Alletra 4000系列，最令人讚嘆的是，HPE至今仍是少數針對這種應用需求，持續提供創新硬體設計的廠商，例如，4000系列儲存伺服器產品線均在機箱前側提供雙重儲存槽（cage）的配置，我們過去將這種特色稱為「雙排滑動式磁碟槽模組」。</p> <p>簡而言之，伺服器的硬碟不只能安裝在機箱前側第一排位置的儲存槽，還能同時安裝在第二排位置的後儲存槽（rear drive cage），而且，若需要插拔此處的硬碟，只需要將第一排儲存槽拉出，就能使後儲存槽露出，再進行後續作業。</p> <p>以Alletra 4110為例，HPE提供20EDSFF與20SFF等兩種儲存組態，後者就是屬於上述配置，透過兩排儲存槽分別安裝10臺2.5吋U.3或U.2外形的NVMe固態硬碟（PCIe 4.0），目前能選擇三星的PM1733a或PM1735a、鎧俠的CM6、Solidigm的P5520或P5620等款式，儲存容量提供960 GB、1.92 TB、3.84 TB、7.68 TB、15.36 TB，以及800 GB、1.6TB、3.2TB、6.4TB。在市場定位上，這款機型適合多種資料儲存的應用，像是機器學習、資料分析、分散式與NoSQL資料庫、看重效能表現的軟體定義儲存系統，以及需要處理大量資料的超融合基礎架構。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Allectra%204110-front.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/HPE-4110-image (EDSFF-overview).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE-4110-image%20(EDSFF-overview).jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE-4120-image (2_5).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE-4120-image%20(2_5).jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/HPE-4120-image (2_5-overview).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE-4120-image%20(2_5-overview).jpg" style="width: 298px;" /></a></p> <p>Alletra 4120更典型，同樣採用「雙排滑動式磁碟槽模組」的設計，可選擇24LFF或48SFF等兩種儲存組態，前者可安裝24臺3.5吋24Gb SAS或6Gb SATA介面的傳統硬碟或固態硬碟，後者則是48臺2.5吋24Gb SAS或6Gb SATA介面的傳統硬碟或固態硬碟，</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE-4120-image (4).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE-4120-image%20(4).jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/HPE-4120-image (2_5-2).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE-4120-image%20(2_5-2).jpg" style="width: 298px;" /></a></p> <p>同時，機箱尾端還可以額外搭配第3個儲存槽，並提供3種選擇。</p> <p>第一種是安裝2或4臺3.5吋24Gb SAS或6Gb SATA介面的硬碟，僅限24LFF組態搭配；第二種是安裝6臺2.5吋24Gb SAS或6Gb SATA硬碟，或是NVMe固態硬碟，支援3種介面的儲存裝置；至於第三種，則是安裝12臺EDSFF E3.S外形NVMe固態硬碟。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE-4120-image (B2).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE-4120-image%20(B2).jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/HPE-4120-image (B3).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE-4120-image%20(B3).jpg" style="width: 298px;" /></a> </p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE-4120-image (B).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE-4120-image%20(B).jpg" style="width: 298px;" /></a></p> <p>以單臺硬碟容量而言，若是3.5吋傳統硬碟，用戶最大可搭配20 TB，2.5吋傳統硬碟最大可搭配2.4 TB，固態硬碟為15.36 TB。若以整臺Alletra 4120來看，若全部搭配傳統硬碟，最大可提供560 TB容量（24LFF＋2LFF+2LFF=480 TB +40 TB +40 TB），若全部搭配固態硬碟，最大可提供918.32 TB容量（24LFF＋2LFF+2LFF=734 TB+184.32 TB），</p> <p>在市場定位上，Alletra 4120適合廣泛的資料處理工作負載應用，像是橫跨多種主動分析應用的資料湖、軟體定義儲存系統、融合式資料保護系統，以及位居末段儲存位置的冷資料歸檔系統。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE-Alletra%204000-overview.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>HPE Alletra Storage Server 4110</strong><br /> ●原廠：HPE<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：1U（42.9 x 434 x 842.2或732.7公釐）<br /> ●處理器：2顆，Intel第四代Xeon Scalable系列（最高可搭配48核心350瓦TDP）<br /> ●記憶體：24個DDR5插槽，最高可搭配至6TB<br /> ●儲存配置：20臺2.5吋或E3.S外形NVMe固態硬碟，搭配2臺M.2外形NVMe固態硬碟<br /> ●I/O介面：PCIe 5.0 x16（2個全高半長）<br /> ●電源供應器：2臺800瓦或1000瓦或1600瓦（1+1備援）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/11/9 17:18作者李宗翰https://www.ithome.com.tw/review/159695
GitHub Copilot Enterprise將於明年2月問世，可整合組織內部程式碼庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.blog/2023-11-08-universe-2023-copilot-transforms-github-into-the-ai-powered-developer-platform/" target="_blank">GitHub周三（11/8）宣布</a>，將在明年2月發表新的GitHub Copilot Enterprise，此一新的GitHub Copilot方案將允許用戶整合自家內部的程式碼庫，令Copilot可據此提供建議。</p> <p>GitHub Copilot為GitHub與OpenAI共同開發的服務，底層技術為OpenAI所打造的OpenAI Codex人工智慧系統，以公開的大量程式碼及自然語言來訓練OpenAI Codex，讓該系統夠同時理解程式及人類的語言，並根據工程師所撰寫的程式碼，提出程式的整行或整個函式的撰寫建議。</p> <p>GitHub在去年6月推出月租費10美元的<a href="https://www.ithome.com.tw/news/151548" target="_blank">GitHub Copilot個人版</a>，同年12月發表月租費19美元的商用版GitHub Copilot for Business，預計於明年2月上線的GitHub Copilot Enterprise每名使用者的月租費則是39美元。</p> <p><a href="https://github.com/features/copilot#faq" target="_blank">根據GitHub Copilot的說明</a>，個人版與Business/Enterprise版最大的差別在於授權管理、政策管理及IP保障。組織可以選擇Business或Enterprise版本，其中，Business版主要於IDE或CLI等程式撰寫環境中提供GitHub Copilot，明年初也會於GitHub Mobile中支援GitHub Copilot。</p> <p>Enterprise版則具備Business版的所有功能，並額外替組織提供了個人化功能，以及將GitHub Copilot整合到GitHub中，並可索引組織的程式碼庫，以更深入認識組織的知識，進而獲得量身打造的建議，亦可存取GitHub Copilot Customization以針對完成程式碼的私有模型進行微調。</p> <p>具體而言，Enterprise版允許開發者快速掌握自家的程式碼庫，搜尋既有的文件，並根據這些內部的程式碼取得建議，也能快速審查拉取請求，或是產生拉取請求的摘要，同時具備大型企業等級的安全及隱私保障。</p> </div></div></div>
2023/11/9 15:28作者陳曉莉https://www.ithome.com.tw/news/159708
Google與歐洲電信業者要求歐盟，將蘋果iMessage列為核心平臺以與第三方互通
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ft.com/content/ec2ec699-a91c-4389-b1a9-ae06dca836d5" target="_blank">英國《金融時報》（Financial Times，FT）本周報導</a>，Google、Vodafone、德國電信（Deutsche Telekom）、西班牙電信（ Telefónica）及Orange的高層連袂去信歐盟執委會（EC），要求歐盟將蘋果的iMessage納入《數位市場法》（Digital Markets Act，DMA），以令它能與其它的傳訊程式互通。</p> <p>《數位市場法》主要規範提供重要網路服務的平臺，要求這些平臺必須允許第三方在特定情況下與它們的服務互動，允許企業用戶存取它們在利用這些平臺時所生成的資料，提供廣告主及出版商所需的工具以獨立驗證於守門人平臺上託管的廣告，以及允許企業用戶在守門人平臺之外推廣產品或簽約。</p> <p><a href="https://www.ithome.com.tw/news/158633" target="_blank">EC今年9月公布了</a>受到該法規範的6大企業與22項平臺服務，前者包括Alphabet、Amazon、蘋果、Meta、微軟與字節跳動，後者則有社交類別的Facebook、IG、TikTok，瀏覽器類別的Chrome與Safari，廣告類別的Google、Amazon與Meta，以及傳訊類別的WhatsApp與Messenger，此外，EC也在考慮是否將微軟的Bing、Edge及廣告，或是蘋果的iMessage與iPadOS納入DMA。</p> <p>《金融時報》看過了提交給EC的信件，指出Google與上述電信業者的高階主管認為iMessage擁有10億的全球用戶及1萬家企業用戶，已達到受到DMA管轄的門檻，此外，當企業利用iMessage傳訊給用戶時，只有傳給蘋果用戶的訊息具備豐富媒體內容，但傳給其它品牌的裝置時，卻必須透過傳統簡訊。</p> <p>iMessage為蘋果裝置上內建的傳訊服務，更是iPhone手機的預設訊息服務，既可執行傳統簡訊功能，也支援蘋果用戶之間的多媒體通訊，且蘋果用戶透過iMessage傳訊是免費的。迄今iMessage只現身於iPhone、iPad或Mac等蘋果裝置，並不支援其它作業系統。</p> <p>EC預計於明年初完成相關調查，若iMessage真被納入了DMA，將迫使蘋果開放iMessage，以相容於其它傳訊程式。</p> </div></div></div>
2023/11/9 15:46作者陳曉莉https://www.ithome.com.tw/news/159709
三星推出生成式AI模型Samsung Gauss，可能將整合到Galaxy手機上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>南韓電子大廠<a href="https://news.samsung.com/global/samsung-ai-forum-2023-day-2-discussing-technological-trends-and-the-future-of-generative-ai" target="_blank">三星周三在Samsung AI Forum 2023公布自行研發的生成式AI模型Samsung Gauss</a>，具備文字、圖像生成能力，還能撰寫程式碼。</p> <p>Samsung Gauss是由三星研究院開發而成。Gauss名稱源自建立常態分布理論的德國數學家及物理學家高斯（Carl Friedrich Gauss），該理論也是機器學習與AI的基礎骨幹。三星表示，取這名字反映這模型最終願景，是要汲取全世界的現象及知識，以運用AI促進各地消費者的生活。</p> <p>Gauss由三種模型組成，包含生成文字語言的Samsung Gauss Language、生成程式碼的Samsung Gauss及生成圖片的Samsung Gauss Image。Gauss Language可提升工作生產力，像是撰寫電子郵件、摘錄文件重點及翻譯內容，它若整合到三星產品中，也可提供裝置控制以提升用戶體驗。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1109-Samsung%20AI%20Forum%202023-samsung%20gauss%20ai%20model-3(V2).jpg" style="width: 600px;" /></p> <p>Gauss Code及程式碼撰寫助理code.i，是用於企業自行開發軟體的任務，允許開發人員輸入自然語言指令以更快生成程式嗎，還能透過互動介面生成程式碼描述及撰寫測試用例（test case）。</p> <p>Gauss Image則可讓使用者輕易生成並編輯圖片，包括變更風格、增添效果，或將低解析度圖片轉為高解析度。</p> <p>另外，三星的AI Red Team也正在強化Gauss的安全性，以確保從資料蒐集、模型開發、服務部署及生成結果整個流程的安全與隱私。</p> <p>Gauss目前已由三星員工用於提升生產力，但未來三星預計會整合到多種自家應用程式中，以實現新的用戶體驗。例如它可能會整合到三星的語音助理Bixby，其智慧家庭品牌SmartThings設備與作業系統Tizen中。</p> <p><a href="https://www.koreatimes.co.kr/www/tech/2023/11/133_362828.html" target="_blank">韓國時報報導</a>，Gauss將會整合到2024年初問世的Galaxy S24手機中，提供物聯網裝置控制。</p> <p>這將使三星成為Google、Amazon、微軟後，最新開發生成式AI模型的大廠。而這新模型也可能影響三星手機上的搜尋合作。今年春天，<a href="https://www.ithome.com.tw/news/156439" target="_blank">《紐時》報導</a>，三星正在考慮以Bing取代Google作為其裝置上的預設搜尋引擎。</p> </div></div></div>
2023/11/9 12:46作者林妍溱https://www.ithome.com.tw/news/159705
微軟、西門子共推製造業Copilot AI助理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.microsoft.com/2023/10/31/siemens-and-microsoft-partner-to-drive-cross-industry-ai-adoption/" target="_blank">微軟與德國製造業巨人西門子本周宣布</a>合作推出專門用於製造業的Copilot AI助理，可幫忙撰寫製造用的程式碼，並推出整合Siemens PLM平臺和微軟Teams的App。</p> <p>雙方合作第一步是推出Siemens Industrial Copilot。此Copilot是架構於微軟Azure OpenAI Service上，會蒐集來自西門子Xcelerator內的自動化和流程模擬資訊，讓用戶以自然語言輸入，快速撰寫複雜的自動化程式碼，縮短製造模擬時程。Xcelerator是西門子用於管理工廠內包括營運、工程或IT等IoT軟、硬體管理平臺，協助製造業數位轉型。針對維護人員，Siemens Industrial Copilot可提供詳細的維修指示，工程人員則可用它執行模擬工作。</p> <p>雙方強調，企業用戶可全權管理Industrial Copilot的存取及生成的程式碼或對話，這些資料都不會被用於訓練底層AI模型。</p> <p>西門子與微軟計畫將再合作開發製造業、基礎建設、運輸及醫療業專用的Copilot AI助理。目前已經有德國汽車零件供應商舍弗勒（Schaeffler）導入使用Siemens Industrial Copilot。</p> <p>此外雙方也宣布整合西門子產品生命周期管理（Product Lifecycle Management，PLM）軟體及微軟Teams，推出一款名為Siemens Teamcenter app for Microsoft Teams的新App。Siemens Teamcenter是西門子的產品生命周期管理軟體，提供和生產相關的文件、檔案及BOM（Bill of Materials）管理。</p> <p>這個App以Teams為底層，使用生成式AI強化產品設計及製造流程相關人員，像是第一線工作人員的連繫，讓原本無法存取PLM工具的工廠或第一線工作人員更容易存取PLM資料，加速設計與製造流程。</p> <p>Siemens Teamcenter app for Microsoft Teams預計今年12月釋出。西門子也會陸續公布Siemens Industrial Copilot的進一步細節。</p> </div></div></div>
2023/11/9 13:03作者林妍溱https://www.ithome.com.tw/news/159706
Google將搜尋生成式體驗擴大到包括臺灣在內的逾120個國家
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/search/google-search-generative-ai-international-expansion/" target="_blank">Google周三（11/8）宣布</a>，即將把AI搜尋測試平臺Search Labs中的搜尋生成式體驗（Search Generative Experience，SGE）擴大到全球逾120個國家，並將開始支援西班牙文、葡萄牙文、韓文與印尼文。</p> <p>目前SGE主要提供兩項測試，一是允許使用者於搜尋列上輸入自然語言的問句，而非僅是關鍵字，之後Google即會利用生成式AI提供結果，例如詢問「帶著3歲以下的小孩跟一隻狗時，要去哪個美國國家公園比較適合？」其次則是可以根據同一個主題進行追問。且Google依舊會秀出傳統的搜尋結果供使用者參考。</p> <p>原本Google僅於美國、印度及日本提供Search Labs與SGE，也只支援英文、印度文（Hindi）及日文，<a href="https://support.google.com/websearch/answer/14184960#zippy=%2Casia-pacific" target="_blank">本周宣布擴大支援全球逾120個國家</a>，包括臺灣、墨西哥、巴西、南韓、印尼與南非等，並額外支援西班牙文、葡萄牙文、韓文與印尼文。</p> <p>行動用戶要存取Search Labs可透過Android與iOS平臺上的Google程式，電腦用戶則可透過桌面版的Chrome瀏覽器存取。Google表示，桌面版Chrome的Search Labs存取功能即日起上線，但自Google程式存取Search Labs的能力則會在下周啟用。</p> <p>身為全球搜尋引擎與瀏覽器龍頭，Google部署生成式AI的腳步明顯落後於微軟，且OpenAI的ChatGPT也可針對使用者的提問給出詳細的答案，只是ChatGPT用來訓練的資料有著時間上的限制，不如Google能夠即時索引全球的最新資料。</p> <p>雖然Google執行長Sundar Pichai近來接受媒體採訪時，曾表示該公司並不急著趕上OpenAI或微軟，認為重點在於人們該如何利用AI，不過，這一年來Google也頻繁地發表與更新Search Labs及SGE功能，企圖讓使用者留在Google搜尋引擎中使用AI。</p> </div></div></div>
2023/11/9 13:14作者陳曉莉https://www.ithome.com.tw/news/159707
5G趨勢月報第48期：聯發科推出天璣9300 5G行動晶片，加速生成式AI運算
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>10/07~11/07精選5G趨勢新聞</strong></span></h3> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>聯發科</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>晶片</b></span></font></p> <p><span style="font-size:22px;"><strong>聯發科發表天璣9300 5G行動晶片，加速生成式AI運算</strong></span></p> <p>聯發科正式發表新一代旗艦級行動晶片天璣9300，相較於先前的天璣9200+採用效率核心、大核、超大核的大中小核架構，採用台積電4奈米製程的天璣9300為全大核架構，該公司強調為生成式AI設計，為5G生成式AI行動晶片，預期採用該晶片的手機將在2023年底上市。</p> <p>新款行動晶片採用4個Arm Cortex-X4超大核，頻率可達3.25GHz，加上4個Cortex-A720大核，該公司強調其效能峰值比上一代提升40%，功耗節省33%，該公司強調全大核架構提高處理速度、效率，不論是輕度或重度工作負載，都能降低功耗，延長續航時間，同時具有多工處理能力，例如在遊戲時，同時直播或播放影片。</p> <p>天璣9300還整合聯發科第7代APU 790，強調為生成式AI設計，整數及浮點運算效能為前一代2倍，功耗降低45%。APU 790硬體內建生成式AI引擎，加速Transformer模型的運算，強調處理速度較上一代提高8倍，1秒內可生成圖片。聯發科指出，配合億級大型語言模型特性，開發INT 4量化技術，搭配記憶體硬體壓縮技術，提高記憶體頻寬利用效率，達到降低LLM對終端裝置記憶體的佔用，該公司聲稱最多可在裝置上執行330億參數的LLM。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>中華電信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>CA</b></span></font></p> <p><span style="font-size:22px;"><strong>中華電信在人口密集的商圈、大專院校、科學園區等地利用載波聚合技術，行動網速最高達2Gbps以上</strong></span></p> <p>隨著電信業者合併，以及2G、3G、4G、5G無線頻譜資源的重新調整，在頻譜資源稀少之下，需設法提高頻譜使用效益，改善行動網路品質。中華電信近期導入5G NR 2CA(Carrier Aggregation)及4G 4CA，整合旗下4G與5G頻譜資源，將行動網路下載速度最高提升至超過2Gbps。</p> <p>中華電信目前在5G頻譜，除了使用3.5GHz之外，還有重耕(Refarm) 為5G頻段的2.1GHz，加上4G用的900MHz、1800MHz、2600MHz，此次在人口密集的商圈、大專院校、科學園區、國道服務區等地點，運用5G NR 2CA+4G 4CA載波聚合技術，提高行動網路下載的峰值速率達到超過2Gbps，較先前的行動峰值網速提高10%以上。</p> <p>由於行動網路容易因為同一個地點同時間多人使用，導致網路品質下滑，因此，透過載波聚合技術來提高頻譜使用效益，來提升行動網路速度，對於同時間使用行動網路的用戶，可用以疏解壅賽的網路，不只一般使用者受惠，此次涵蓋企業及人潮聚集的科技園區，預期對園區內的企業用戶也帶來效益。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>高通</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>數據機</b></span></font></p> <p><span style="font-size:22px;"><strong>高通推出5G RedCap數據機X35，催生體積更小5G裝置</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/x35-600.jpg" style="width: 600px; height: 319px;" /></p> <p>高通（Qualcomm）推出首款符合5G Release 17 RedCap（Reduced Capability）的商用數據機Snapdragon X35，可用於設計體積更小、成本效益更高的5G裝置，預計於2024年推出。</p> <p>X35數據機搭配射頻收發器、射頻前端及天線模組，高通指出，該數據機具備降低成本、減少複雜性、提高能源效率，以及小型裝置所設計，下載速度可達220Mbps。此外，該數據機在封包傳輸上支援了追蹤技術。</p> <p>高通表示，5G RedCap是5G Advanced的重要一部分，為5G演進的關鍵技術，支援更多的裝置及服務。目前已和電信營運商、裝置開發商合作，開發及部署搭載X35數據機的裝置。預計搭載X35數據機的商用裝置將在2024年上半年推出。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>北流</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font></p> <p><strong><span style="font-size:22px;">臺北流行音樂中心以5G專網試驗智慧導覽服務</span></strong></p> <p>為加速國內智慧展演發展，臺北流行音樂中心和電信業者、新創業者合作，在大型展演會館導入5G專網，並結合AI機器人試驗智慧導覽服務. </p> <p>這項5G專網應用是以臺北流行音樂中心文化館作為示範場域，在大型文化、藝術展演中心，利用5G協助營運，在大廳、售票處等導覽空間，布建5G專網訊號，並和新創業者合作，導入ChatGPT互動機器人，與展演中心深度合作，客製化互動內容，為來訪的賓客提供智慧化的導覽服務。</p> <p>除了利用機器人提供互動的導覽服務，新創業者表示，還可利用人流辨識技術，根據民眾的性別、年齡層來推播廣告訊息，試驗智慧展演活動場域商業運作模式。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>技術整合</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font></p> <p><span style="font-size:22px;"><strong>瞄準企業建置5G專網需求，凌群、英業達、微軟組隊秀5G專網整合能力</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20231025_072823558-600.jpg" style="width: 600px; height: 338px;" /></p> <p>自6月初數位部開放國內5G專頻專網申請，企業基於實驗評估、展演或製造等場域使用5G專頻專網需求，可向數位部申請建置專頻專網，看準這波企業建置專網需求，凌群和英業達、台灣微軟、趨勢科技合作，結合基地臺、核網、資安，展示5G專網整合建置能力。</p> <p>凌群與上述業者的合作，主要整合了英業達的5G基地臺，包括O-RAN的室內外天線、5G DU及CU軟硬體伺服器，搭配微軟的Azure Private核網及雲端，趨勢科技旗下5G專網資安服務，整合各家業者的產品及技術打造5G專網。</p> <p>展示的5G應用場景，包括在生產製造場域，在廠區內透過5G專網，即時傳輸IoT蒐集的數據，透過資料分析促成智慧製造轉型，另一項應用則是智慧交通方面，利用5G提升交通數據的蒐集，優化花東地區交通號誌的智慧化管理。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>智慧港口</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font></p> <p><span style="font-size:22px;"><strong>英國泰恩港以5G專網加速港口智慧化管理</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_1303-600.jpg" style="width: 600px; height: 337px;" /></p> <p>英國的泰恩港在電信商及設備供應商的協助下，近期導入5G SA專網，結合原有的4G網路，來提升對進出港口的車輛管理，還有無人機測量、AI及XR體驗，加速向智慧港口轉型發展。</p> <p>泰恩港準備先在11月，在車輛進出閘口，利用自動辨識進出車輛車牌的影像及感測器，搭配5G攝影機與AI影像辨識，來識別控管貨櫃。此外，港口也計畫導入具備自動導航能力的車輛，自主移動搬運貨物，還有可讓駕駛員在控制室遠端控制的起重機，在港區巡視檢查的無人機隊，以及用於人員訓練的XR設備。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>桃園市</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>急救</b></span></font></p> <p><strong><span style="font-size:22px;">桃園市測試5G救護應用，讓救護車即時傳送傷患資訊至醫院做好急救準備</span></strong></p> <p>桃園市消防局與電信業者、聖保祿醫院合作，利用5G SA的網路切片技術，建立一個急救專用的5G虛擬專網，當救護車載送傷患到院之前，就能將患者的生理資訊、車上即時影像利用5G專網傳送到醫院，讓急救團隊作好準備。</p> <p>這項5G專網應用是在桃園市消防局大林分隊，由電信業者在救護車執勤的22個5G基地臺，利用5G SA的網路切片技術，建立救護車專用的虛擬專網，當救護車出勤載送傷患時，就會從5G公網中切分出急救用的虛擬專網，調撥70%的頻寬，以確保救護車使用5G網路的穩定性，避免經過人口密集地點，因共用5G網路出現的網路塞車問題。</p> <p>通過這個5G虛擬專網，救護車在抵達醫院之前，可將車上傷患的即時生理監測資訊，超音波、12導程心電圖，以及救護車內的4K畫質影像，即時傳送到聖保祿醫院的急診室戰情系統，院方透過戰情系統，提供車上急救人員緊急處置，並做好到院急救準備。</p> <p> </p> <p>圖片來源／聯發科、高通、Port of Tyne</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多5G動態 </span></strong></span></p> <p><strong>1.資策會MIC：明年全球5G手機滲透率預估達68%</strong></p> <p><strong>2.鴻海自製低軌衛星11月發射升空</strong></p> <p>資料來源：iThome整理，2023年10月</p> </div></div></div>
2023/11/9 12:14作者蘇文彬https://www.ithome.com.tw/news/159704
Cloud周報第188期：企業開始重視雲端支出調整及優化！三大公雲營收增長速度趨緩，AWS受影響最大
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（11/01～11/09）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融業上雲 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">金融業新版上雲問答集出爐，對於上雲委外申請疑義有更清楚界定</span></strong></p> <p>新版金融上雲規定自八月上路後，金管會也發布了新版上雲委外問答集，針對法條疑慮提供更詳細的解說。在這份問答集中，包含一般問答和雲端問答共29題，詳細說明了重大性定義和消金業務資訊系統定義，並公布了其他經核可的委外項目名單。</p> <p>像是針對重大性的判斷因素，問答集中舉例考量項目，包括委外作業成本和委外作業涉及的業務是否具時效關鍵性等。另外，消金業務資訊系統定義，則包括消金核心業務系統、信用卡業務系統、金融商品銷售業務系統、消金授信管理系統、電話銀行服務、催收作業管理系統及信託業務管理系統等。</p> <p>若涉及重大性消金系統委託至境外，除了需經過核准，還需要在境內進行存款、授信、信用卡、匯款及投資等客戶重要資料留存和備份。</p> <p>該問答集公布首例經過金管會核定的名單，其他金融機構也可以跟著使用，分別為「企業客戶商務信用卡盜刷監控作業」和「企業客戶洗錢防制交易監控作業」。</p> <p>另外，在資料安全方面，除了透過機密運算提供硬體加密保護機制，英特爾最新加入Trust Authority可信環境執行的驗證服務，強化在開發者雲的資料保護。Developer Cloud目前共推出三種服務方案，分別是免付費的標準版、按需付費的專業版，以及團體的企業版。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span></strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GCP </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">三大公雲營收今年增長速度趨緩，AWS本季增長率減半影響最顯著</span></strong></p> <p>最近，三大公雲相繼發布最新一季財報，可以明顯看出，三大公雲營收成長速度有所放緩，其中以AWS營收增長幅度減半的影響最大，顯示出企業今年對於雲端投資更為謹慎，重新調整或優化其雲端支出。</p> <p>在該季，AWS的營收達到231億美元，營業利潤為70億美元。儘管AWS營收與去年同期相比成長12%，但增長幅度較去年顯著減緩，去年增長率仍有27%。亞馬遜執行長Andy Jassy在財報電話會議中提到，一些企業今年延後了大型雲端遷移計畫。這可能也是影響該季營收成長不如預期的原因之一。</p> <p>微軟本季總營收達565億美元，其中一半來自智慧雲端（Intelligent Cloud）營收，有243億美元，不過成長只有19%，維持跟去年差不多，還未因為生成式AI業務帶來顯著成長。個別產品來看，表現最好的是Azure與其它雲端服務，成長了29%，居次的是Dynamics 365，成長28%，MicrosoftCloud亦成長24%。</p> <p>Alphabet該季營創下767億美元的營收，其中Google Cloud營收為84億美元，雖然盈餘達到2.6億美元，但增長仍低於該公司預期，僅成長22.5%，相較去年同期的38%的增長，速度明顯放緩。Alphabet財務長Ruth Porat於財報會議中表示，雲端營收不如預期主要來自於客戶優化其雲端支出政策。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">M365 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI對話應用 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">微軟推出付費版的M365 Copilot，每用戶每月價格30美元</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961_Cloud%E5%91%A8%E5%A0%B1(9).png" style="width: 600px; height: 335px;" /></p> <p>微軟近日宣布M365 Copilot服務正式推出上市，並開放企業用戶訂閱，價格為每用戶每月30美元。Copilot是微軟以OpenAI的GPT模型為基礎所開發的生成式AI對話應用。從一開始輔助程式撰寫到推出提高生產力的Copilot，也就是M365 Copilot。</p> <p>M365 Copilot還結合Microsoft Graph跨系統資料搜尋API，能根據用戶的文字敘述搜尋彙整網際網路與M365應用資料，包括Word、Excel、Powerpoint、Outlook、Teams及行事曆等提供生成式內容。。</p> <p>不過M365 Copilot初期僅支援英文、日文及簡中等，明年上半才會支援繁中。此外，微軟明年將推出適用政府部門的M365 Copilot GCC版本。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">增強檢索生成 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> HANA Cloud </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">為應對LLM風潮，SAP的HANA雲端資料庫服務將推出向量引擎，能支援增強檢索生成的RAG技術</span></strong></p> <p>最近，SAP宣布將在雲端資料庫即服務HANA Cloud中加入向量引擎功能，並支援增強檢索生成的RAG技術，使得企業能夠使用HANA Cloud資料庫來儲存和管理經過向量化的非結構化資料，包括文字、圖像或聲音等，使得用戶向LLM模型提問時，能有效地根據上下文迅速查找和檢索資料庫資料，以生成更準確的內容。</p> <p>SAP表示，HANA資料庫能以原生方式儲存和搜尋這些嵌入向量（vector embeddings），來支援各種智慧數據應用。透過該向量引擎，企業能更容易將內部業務資料與LLM推論模型相結合，利用生成式AI實現自動化決策。此外，該引擎還能夠提供嵌入向量的相似性搜尋、內容過濾、文字嵌入資訊檢索等。SAP將在明年初HANA Cloud的更新版本中提供這項功能。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">家樂福 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 公雲 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">臺灣家樂福揭5年上雲歷程，不只ERP、電商系統，就連法國總部機房都全面搬上公雲</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1%20(1).jpg" style="width: 600px; height: 263px;" /></p> <p>臺灣家樂福最近在一場活動中揭露了過去5年為加速轉型擁抱公雲的歷程。家樂福很早就採取雲端優先策略，並從核心系統上雲開始，將SAP ERP系統搬上公雲，接著更擴大到更多系統上雲，包括電商系統、資料倉儲系統都先後搬上公雲。</p> <p>家樂福還翻新現有IT架構，朝向現代化、雲原生架構來發展，例如改用容器化的微服務架構重新設計EC和行動App，並利用無伺服器和K8s服務進行雲端資源調度和管理，還採用雲端資料倉儲服務BigQuery，來取代原服務。不僅如此，近幾年，家樂福開始利用雲端數據服務和AI工具，加速其擁抱AI應用。</p> <p>2021年時，家樂福法國總部的IDC機房搬遷到臺灣，臺灣家樂福進一步決定將所有系統和基礎設施都遷移到公有雲，而不再使用本地機房，這也使得家樂福更全面轉向公雲環境。臺灣家樂福今年除了將把AI擴大到更多應用場景，還將持續搬遷系統上雲和強化雲端資安。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Dell </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 紅帽 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Dell推出可以適用於紅帽混合雲平臺OpenShift的Apex雲端平臺服務</span></strong></p> <p>近日，伺服器廠商Dell推出可以適用於紅帽混合雲平臺OpenShift的Apex雲端平臺服務，藉此來簡化企業在混合雲、多雲容器化應用和微服務的部署和管理。Apex雲端平臺是Dell所推出，可提供完整堆疊和一站式的本地IT基礎架構，且專為多雲所設計。早前，Dell推出了微軟Azure版本的Apex雲端平臺，透過Azure Arc協助企業建置可在多雲環境執行的應用程式和服務。Dell最新也推出OpenShi 版的Apex雲端平臺。</p> <p>Dell表示，Apex是專為紅帽OpenShift所設計的應用程式交付平臺。該平臺整合了 OpenShi Web 控制臺，開發人員可以在OpenShi 環境中進行應用程式開發，不必擔心是在雲端或本地，同時也能使用OpenShift管理方式來管理雲地基礎設施。此外，還能搭配紅帽DevOps自動化工具和生命週期管理工具，加速應用開發與交付。</p> <p>除了可以部署到公有雲上，該平臺還支援本地部署，包括在Dell資料中心基礎架構上部署雲端軟體堆疊，並提供付費訂閱制。此外，透過Dell的CSI的儲存系統，Apex平臺支援有狀態容器儲存，還能將其軟體定義儲存 (SDS) 方案與Dell Apex Navigator結合使用，來實現本地和公有雲Apex區塊儲存之間的資料複製。該平臺支援了多達上千個節點的叢集擴展。該平臺目前推出上市。</p> <p> </p> <p>圖片來源／微軟、臺灣家樂</p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.AWS推EC2容量區塊新功能，讓用戶指定時間預留GPU資源</strong></p> <p><strong>2.微軟開源雲端原生應用程式開發平臺Radius</strong></p> <p><strong>3.Windows Server 2012支援到期，但微軟表示改用公雲版本可以延長3年支援</strong></p> <p><strong>4.淡江大學導入微軟永續雲打造低碳智慧校園，結合視覺化儀表板來管理跨校能耗及碳排數據</strong></p> <p><strong>資料來源：iThome整理，2023年11月</strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2023/11/9 10:21作者余至浩https://www.ithome.com.tw/news/159703
Google啟動Project Open Se Cura加速安全、低功耗AI系統開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發布了一項名為<a href="https://www.googblogs.com/project-open-se-cura-open-source-announcement/">Project Open Se Cura</a>的開源框架計畫，目的是要加速開發安全性又高效的人工智慧系統。該框架包含了一套開源設計工具和智慧財產函式庫，透過協同設計和開發，加速機器學習工作負載全端系統的發展。</p> <p>當前人工智慧技術迅速發展，對運算系統的要求逐漸增加，包括安全性、可擴展性、透明度和效率等，但是Google指出，現今硬體的進步的速度，卻落後於機器學習模型和軟體開發，而這成了部署安全且高效的全端人工智慧系統的障礙。</p> <p>此外，Google還提到，消費者對小型裝置的需求快速成長，已經超過電池技術的進步速度，這限制了人工智慧系統可部署的功耗範圍，也就是說，電力供應已經成為人工智慧系統發展的一大瓶頸。</p> <p>由Google啟動的Project Open Se Cura，提供了一套開源設計工具和智慧財產函式庫，加速具有機器學習功能的系統開發。這個計畫促進硬體設計師和軟體開發人員協作，推動硬體與軟體共同設計的想法，進而最大化人工智慧系統的效能。</p> <p>Project Open Se Cura整合自lowRISC、Antmicro與VeriSilicon等合作夥伴的貢獻，包括透明信任根等安全功能。藉由開源共享的方式，各組織都可以參與這些工具和函式庫的改善和擴展工作。而且該計畫還特別注重對小型裝置的支援，要在有限的電力條件下，實現強大的人工智慧功能。</p> <p>Google強調開源框架的透明度，有助於社群理解和信任人工智慧系統的運作方式，也能夠培養用戶對人工智慧技術的深入理解。隨著Project Open Se Cura持續發展，Google會尋求更多合作夥伴，像是劍橋大學在CHERI（Capability Hardware Enhanced RISC Instructions）技術上的創新，還有密西根大學對低功耗、生成式人工智慧的研究，以推進此開源計畫的發展。</p> </div></div></div>
2023/11/9 08:46作者李建興https://www.ithome.com.tw/news/159700
Amazon EC2執行個體後設資料服務在2024年中後，將預設使用IMDSv2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS<a href="https://aws.amazon.com/tw/blogs/aws/amazon-ec2-instance-metadata-service-imdsv2-by-default/">宣布</a>從2024年中旬開始，新發布的Amazon EC2執行個體類型，其後設資料服務（IMDS）都將預測採用IMDSv2。AWS推廣採用IMDSv2的原因在於提升安全性，IMDSv2較IMDSv1提供額外的安全保護措施，能夠避免有心人士濫用漏洞存取IMDS。</p> <p>用戶可從EC2執行個體的固定IP位址存取IMDS，檢索有關執行個體大量靜態和動態資料，這些資料包含啟動執行個體的AMI ID、網路配置和角色臨時IAM憑證等後設資料。而IMDSv1與IMDSv2的主要差異在於，IMDSv1使用請求/回應存取方法，由客戶端向後設資料服務發出請求，並接收回應，IMDSv2則採用會話導向（Session-oriented）的方法，客戶端與伺服器端需要先建立一個會話，並使用會話建立過程中獲得的令牌，來請求和接收回應。</p> <p>AWS強調雖然IMDSv1與IMDSv2同樣安全，但是IMDSv2對可能被嘗試用於存取IMDS的4種漏洞，提供額外的防護能力，包括錯誤配置的開放式網站應用程式防火牆（Web Application Firewall，WAF）、反向代理、伺服器端請求偽造，還有第三層防火牆和網路位址轉譯配置錯誤，有效減少未經授權存取EC2後設資料的風險。</p> <p>AWS在2019年的時候推出了IMDSv2，並在2023年3月推出的Amazon Linux 2023預設使用IMDSv2，而從現在開始，所有控制臺Quick Start啟動將只會使用IMDSv2，所有Amazon與合作夥伴Quick Start AMI也都已支援這項設定。</p> <p>官方預計要在2024年2月，添加新的API函式，讓用戶從帳戶層級控制IMDSv1的預設使用，這不只有助於用戶轉用更安全的IMDSv2，同時當AWS於管理控制臺和其他路徑，將IMDSv2設為預設選項時，新的API讓用戶能以簡單地方法，從帳戶層級停用IMDSv1，進而快速轉換到IMDSv2。</p> <p>到了2024年中，新發布的EC2執行個體類型，也將會預設使用IMDSv2，但AWS也提供了一個靈活的過渡選項，用戶仍然可以不需要重新啟動，就可在執行個體啟動時，或是啟動之後選擇開啟IMDSv1。</p> </div></div></div>
2023/11/9 08:48作者李建興https://www.ithome.com.tw/news/159701
【資安日報】11月8日，駭客組織SideCopy利用WinRAR高風險漏洞發動攻擊，針對印度政府機關而來，Linux電…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">長期鎖定印度政府機關、軍事單位的駭客組織SideCopy，最近發起了新的攻擊行動，主要是透過WinRAR漏洞CVE-2023-38831，對Windows電腦植入多種惡意程式。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">但與過往攻擊行動不同之處，在於這些駭客也使用相同的基礎設施，開始針對Linux主機散布惡意程式，這很可能與印度政府打算導入此種作業系統的政策有關。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【攻擊與威脅】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://thehackernews.com/2023/11/sidecopy-exploiting-winrar-flaw-in.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度政府機關遭到駭客組織SideCopy鎖定，利用WinRAR漏洞發動攻擊</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/SideCopy_Oct2023-Ares-2_drawio.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SideCopy_Oct2023-Ares-2_drawio.png" style="width: 300px; float: right;" /></a>資安業者Seqrite<a href="https://www.seqrite.com/blog/sidecopys-multi-platform-onslaught-leveraging-winrar-zero-day-and-linux-variant-of-ares-rat/">揭露巴基斯坦駭客組織SideCopy近期的攻擊行動</a>，這些駭客鎖定印度，積極利用WinRAR的漏洞CVE-2023-38831，對Windows電腦部署AllaKore RAT、DRat等惡意軟體，但他們也看到駭客對於Linux電腦植入Ares RAT變種惡意程式。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">攻擊者先是透過網路釣魚手法，引誘使用者下載PDF誘餌檔案，但實際上為Windows捷徑檔案（LNK），一旦開啟此檔，電腦就有可能執行遠端的HTA檔案，從而檢查電腦安裝的.NET版本、防毒軟體資訊，然後使用Base64編碼解密，於記憶體內執行惡意DLL檔案，為了執行這個DLL檔案，駭客會濫用Windows內建的公用程式，如credwiz.exe、rekeywiz.exe，以DLL側載（DLL Side-loading）手法載入惡意DLL檔案。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資安新聞網站Hacker News認為，這些駭客針對Linux電腦下手並非巧合，原因是印度政府與國防部門打算使用名為Maya OS的Linux版本，逐步取代Windows作業系統。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://unit42.paloaltonetworks.com/agonizing-serpens-targets-israeli-tech-higher-ed-sectors"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">伊朗駭客Agrius鎖定以色列教育機構、科技產業而來，竊得資料後進行破壞</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/word-image-131008-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-131008-3.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露從今年初開始發生的攻擊行動，伊朗駭客組織Agrius（亦稱BlackShadow、Pink Sandstorm、Agonizing Serpens）自1月開始，鎖定以色列教育機構及高科技組織而來，這些駭客的主要目的是竊取個資與智慧財產，但值得留意的是，一旦對方得逞，就會使用資料破壞軟體（Wiper）進行破壞，這些程式包含了MultiLayer、PartialWasher、BFG Agonizer、Sqlextractor。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">攻擊者先是針對存在弱點、曝露於網際網路的網頁伺服器下手，取得目標組織網路環境的初始存取權限，隨後部署多個Web Shell，以便持續於目標組織進行活動。對方透過Nbtscan、WinEggDrop、NimScan進行偵察，然後利用Mimikatz，或是藉由暴力破解或密碼噴灑來取得SMB的密碼，藉此提升權限。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">接著他們透過Plink進行橫向移動，然後從資料庫或是重要的伺服器竊密，並透過WinSCP、Putty等工具傳輸至C2伺服器，最終執行資料破壞軟體。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://securityintelligence.com/x-force/gootbot-gootloaders-new-approach-to-post-exploitation/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意程式GootLoader出現變種，駭客透過WordPress網站下達攻擊命令</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/Zz0yNDg0NzRlNjc5YmYxMWVlYmM1MzhhYjUzMTJhOWI2Zg%3D%3D.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zz0yNDg0NzRlNjc5YmYxMWVlYmM1MzhhYjUzMTJhOWI2Zg%3D%3D.png" style="width: 300px; float: right;" /></a>IBM旗下的威脅情報團隊X-Force揭露新一波的GootLoader攻擊行動，駭客組織Hive0127（亦稱UNC2565）透過搜尋引擎最佳化中毒（SEO poisoning）的手法，假借提供合約、法律表單、業務文件的名義，將使用者重新導向至遭到入侵的WordPress網站，攻擊者將這些網站竄改成線上論壇，引誘受害者上當，依照指示下載帶有惡意酬載的壓縮檔案。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">此壓縮檔案內有透過混淆處理的JavaScript指令碼，使用者若是執行，電腦就會接收另一個JavaScript檔案，以便讓攻擊者持續在受害電腦活動，並觸發PowerShell指令碼GootBot收集系統資訊，並嘗試存取C2伺服器。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">GootBot是GootLoader的變種，攻擊者藉此於受害電腦植入各式惡意程式，或是進行偵察工作、於網路環境裡橫向移動。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.threatfabric.com/blogs/droppers-bypassing-android-13-restrictions"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意程式載入器SecuriDropper繞過新版安卓防護機制部署惡意程式</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/Slide1-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Slide1-3.png" style="width: 300px; float: right;" /></a>為防範駭客濫用作業系統的功能於安卓裝置植入惡意程式，Google於去年8月發布的Android 13當中，導入了名為受限制設定（Restricted Settings）的安全措施，目的是防堵外部的APK安裝程式，使其無法存取影響層面廣泛的功能，例如：輔助功能、通知監聽功能。但如今，已有駭客開發相關工具，繞過這樣的防護機制。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資安業者ThreatFabric揭露名為SecuriDropper的惡意程式載入工具，駭客通常會將其偽裝成合法應用程式來引誘使用者上當，其中冒充的程式類型，又以Google應用程式與安卓更新最多，其次是多媒體播放程式、資安防護軟體。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">一旦使用者依照對方指示安裝，過程中對方就會要求提供讀寫內部儲存空間、安裝及刪除套件的權限，接著就會透過介面操縱的手法，要求使用者執行「重新安裝」，於受害手機植入其他惡意軟體。研究人員看到駭客利用此惡意程式載入工具，部署了SpyNote、Ermac、Zombinder等惡意軟體。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://thehackernews.com/2023/11/google-warns-of-hackers-absing-calendar.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google行事曆被找出用作C2基礎架構的方法？有惡意程式開發者宣稱能辦到，引起駭客圈熱議</span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">Google於近期發表的第8份威脅視野報告（Threat Horizons report）當中，揭露從今年6月出現的惡意程式Google Calendar RAT（GCR），開發者表明他所打造的指令碼，能夠將Google Calendar的事件描述轉換成C2加以濫用，該公司旗下Mandiant威脅情報團隊發現，這種隱密的手法引起網路犯罪圈高度關注，雖然上述工具尚未被用於攻擊行動，但已有許多駭客於地下論壇分享這種概念性驗證攻擊（PoC）程式。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">研究人員指出，攻擊者若在受害電腦執行GCR，該程式會定期從Google Calendar拉取事件描述，從而執行其中的命令，然後再以執行輸出的結果更新事件描述內容。由於過程中都使用Google的基礎設施，導致防守方要察覺異常活動更加困難。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【漏洞與修補】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://source.android.com/docs/security/bulletin/2023-11-01"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google發布11月安卓更新，修補37個漏洞</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月6日Google發布本月份安卓例行更新，總共修補37個漏洞。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">其中，在系統與框架的部分有15個漏洞，其中最嚴重的是列為重大等級的資訊洩露CVE-2023-40113，攻擊者有可能在無須取得特殊執行權限的情況下利用，影響11至13版安卓作業系統。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">其餘修補的漏洞與Arm、聯發科、高通的元件有關，當中有4個高通元件的漏洞被列為重大等級。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【其他新聞】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/marina-bay-sands-discloses-data-breach-impacting-665-000-customers/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">新加坡濱海灣金沙旅館資料外洩，波及66.5萬名房客</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.news18.com/india/indias-biggest-data-leak-so-far-covid-19-test-info-of-81-5cr-citizens-with-icmr-up-for-sale-exclusive-8637743.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">印度發生史上規模最嚴重的資料外洩事件，醫療機構洩漏8.15億民眾個資</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://blogs.vmware.com/security/2023/11/jupyter-rising-an-update-on-jupyter-infostealer.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">竊資軟體Jupyter Infostealer透過簽章迴避偵測</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.securityweek.com/free-tool-helps-industrial-organizations-find-opc-ua-vulnerabilities/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為了讓企業能找出OPC UA組態不當及弱點，資安業者推出掃描工具OpalOPC</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159691"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Palo Alto Networks買下資料安全態勢管理新創Dig Security、企業瀏覽器新創Talon</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>近期資安日報</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159685"><strong>【11月7日】鎖定Atlassian Confluence重大漏洞的攻擊行動出現，駭客透過勒索軟體Cerber加密伺服器的檔案</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159660"><strong>【11月6日】濫用企業臉書帳號散布NodeStealer竊資軟體的攻擊行動再度出現，想看裸照的使用者是目標</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159633"><strong>【11月3日】訊息導向中介軟體ActiveMQ重大漏洞出現攻擊行動，駭客用於投放勒索軟體HelloKitty</strong></a></p> </div></div></div>
2023/11/8 18:02作者周峻佑https://www.ithome.com.tw/news/159699
微軟Microsoft Entra將部署條件式存取政策，登入管理入口將強制啟用MFA
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/11/06/automatic-conditional-access-policies-in-microsoft-entra-streamline-identity-protection/" target="_blank">微軟周一（11/6）宣布</a>，將於Microsoft Entra中自動部署3項條件式存取（Conditional Access）政策，它們皆與多因素身分驗證（MFA）有關，其中一項政策是要求管理員在登入各種Microsoft Admin Portals時，必須採用MFA。</p> <p>負責身分安全的微軟副總裁Alex Weinert強調MFA的重要性，指出當微軟在十年前強制啟用某些消費者服務的多因素身分驗證之後，微軟帳戶遭駭的意外下滑了80%，且遭駭用戶成功取回帳戶的比例也從57%增加到81%。而且原本擔心此一政策會令消費者感到麻煩而走人，沒想到客戶的留存率還增加了5%。</p> <p>繼之微軟在2019年針對所有的新租戶所提供的安全預設中，便啟用了MFA，超過80%的新租戶保留了該安全預設，2022年將該預設值延伸到既有租戶，有超過94%的租戶維持其啟用狀態，Weinert說，這些啟用了MFA比未啟用的客戶所受到的危害少了80%，且整體的MFA利用率已超過37%，但微軟的目標是100%。</p> <p>這是因為微軟的研究顯示，MFA可降低99%帳戶被盜的風險，且使用者的數位身分同時保護著他們的虛擬與實體資產，從微軟每秒封鎖逾4,000次的密碼攻擊來看，必須採用激進手段。</p> <p>總之，這次微軟打算於Microsoft Entra中自動部署3項條件式存取政策，一是在登入各種管理入口時必須採用MFA，二是原本即採用MFA的使用者在登入所有雲端程式時都必須採用MFA，三則是要求Microsoft Entra ID Premium Plan 2用戶在執行高風險登入行為時，必須採用MFA。</p> <p>上述的第一項政策適用於所有的客戶，只要是具特權的管理員要登入微軟的管理入口時，就必須採用MFA，像是Microsoft Entra、Microsoft 365、Exchange及Azure等。<a href="https://learn.microsoft.com/en-us/entra/identity/conditional-access/how-to-policy-mfa-admin-portals" target="_blank">此一政策涉及了14種管理員角色</a>，涵蓋全域管理員、應用程式系統管理員、Exchange系統管理員、密碼管理員、安全性系統管理員、SharePoint系統管理員及使用者管理員等。</p> <p>Weinert說，微軟強烈推薦第一項政策，並將代替客戶部署，且縱使客戶得以選擇退出上述政策，微軟團隊也會持續在某些特定互動時要求多因素身分驗證。</p> <p>微軟預計自下周便會開始部署上述政策至所有合格的租戶，租戶有90天的時間可以審核並客製化相關政策，之後微軟即會啟用它們。</p> </div></div></div>
2023/11/8 16:38作者陳曉莉https://www.ithome.com.tw/news/159698
IBM成立5億美元的AI創投基金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年11月才現身的ChatGPT帶動了全球的生成式人工智慧（AI）風潮，百年科技大廠IBM也在周二（11/7）<a href="https://newsroom.ibm.com/2023-11-07-IBM-Launches-500-Million-Enterprise-AI-Venture-Fund" target="_blank">宣布成立了5億美元的IBM Enterprise AI Venture Fund</a>，專門投資從早期到高速成長期的各種AI新創，且將專注於加速針對大型企業的生成式AI技術與研究。</p> <p>IBM Enterprise AI Venture Fund準備投資現在與未來可協助全球企業實現AI商業應用潛力的AI領導人，負責此一基金的是由投資與AI專家組成的IBM團隊，每家新創都有機會與IBM建立重要的合作關係，同時獲得產品、工程及產品上市策略的專業知識。</p> <p><a href="https://www.ibm.com/artificial-intelligence" target="_blank">目前IBM已自行開發了許多AI解決方案</a>，多圍繞在該公司的Watson平臺，該公司坦承，藉由IBM Enterprise AI Venture Fund將可擴大其AI合作夥伴的生態體系，包括利用Watson進行建置，同時替IBM客戶與新創公司領導人創造長期價值。</p> <p>IBM商務長Rob Thomas表示，外界預期AI到2030年將會釋放16兆美元的生產力，此一基金可替IBM另闢蹊徑以駕馭AI革命的巨大潛力，替IBM與AI新創帶來正面的結果。</p> <p>在設立該AI新創基金之前，IBM也曾投資其它AI新創，包括參與機器學習開源平臺Hugging Face的D輪增資，以及加入AI資安業者HiddenLayer的A輪投資。</p> </div></div></div>
2023/11/8 13:29作者陳曉莉https://www.ithome.com.tw/news/159694
英特爾：企業未來資料中心設計將因生成式AI帶來新變革，液體冷卻技術和配備更高記憶體頻寬的伺服器系統是發展關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著生成式AI迅速崛起，企業開始思考未來資料中心設計，來因應生成式AI應用發展，甚至一些科技巨頭已經開始打造AI資料中心。例如臉書Meta正在打造下一代AI資料中心，該資料中心將具有液冷式人工智慧硬體，以及高效能人工智慧網路，將數千個MTIA人工智慧晶片連結在一起，以建立起資料中心規模的人工智慧訓練叢集，支援未來10年生成式人AI應用研究。</p> <p>英特爾資料中心平臺工程與架構事業群總經理Zane Ball在近日的英特爾創新日會後一場媒體活動上表示，生成式AI的興起，對於資料中心帶來了重要變革之一，將加速企業資料中心對於液體冷卻（liquid cooling）技術的採用。</p> <p>Zane Ball表示，執行生成式AI應用對於系統能耗負擔很大，因此需要新的硬體散熱機制。他認為，越來越多的企業將在新資料中心中導入液體冷卻技術，來協助伺服器系統的散熱，不僅是為了節省能源，還為了支援更高能耗的加速運算元件所需。他認為這有助於加速企業資料中心採用液體冷卻技術。</p> <p>但他直言，要實現實用且易於部署的液體冷卻技術，需要產業間的合作，「雖然這需要時間，但這件事讓人感到興奮，也代表新機會。」他說。</p> <p>不只是冷卻散熱機制的改變，未來伺服器硬體設計需要有新的變革。為了提升伺服器所能處理的推論模型參數，Zane Ball指出，未來將持續改進Xeon處理器在AI運算效能方面。他表示，過去英特爾已經取得了顯著的進步，例如與第三代Xeon處理器相比，第四代Xeon處理器的AI處理效能提升多達14倍。因此未來將持續發展能夠支援更大參數的模型、更高記憶體頻寬的伺服器系統，「這正是我們未來CPU發展的方向。」</p> <p>英特爾將在12月14日推出代號為Emerald Rapids的第5代Xeon伺服器處理器，也是針對企業資料中心AI應用需求所設計，採用和前一代相同節點，但核心數達到64核，而且具備更快的記憶體傳輸速度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20231107_021815362.jpg" style="width: 600px;" /></p> <p>從英特爾對於資料中心AI系統的分類，也能夠反映出不同型態伺服器，能夠支援處理的推論模型參數的規模。</p> <p>若以單一CPU插槽的Emerald Rapids伺服器來舉例，Zane Ball也表示，這種伺服器適合處理100億參數的模型推論任務，他強調，雖然執行更多參數的模型是有可能，但考慮到系統的效能， 100億個參數會是較為合理的數量。</p> </div></div></div>
2023/11/8 12:12作者余至浩https://www.ithome.com.tw/news/159693
澳洲第二大電信業者Optus發生大規模服務中斷，已持續超過10小時
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>澳洲第二大電信業者Optus在當地AEDT時間11月8日凌晨4點左右（約是臺北時間8日凌晨1點），開始出現大規模的服務中斷，旗下的行動、固網與電話服務全都失靈，除了影響數百萬名用戶之外，也波及了採用Optus服務的醫院與運輸機構，而且一直到臺北時間上午11點都尚未完全恢復正常，已持續超過10小時。</p> <p>Optus是新加坡電信Singtel的全資子公司，在澳洲擁有逾1,000萬名訂閱用戶，是澳洲第二大電信業者，僅次於Telstra。</p> <p>根據澳洲媒體的報導，當地的行動用戶先是在手機的收訊指標上看到SOS，發現手機並未連上行動網路，另外，當地有73家醫院採用Optus的電話服務，澳洲鐵路公司Metro Trains的後端系統也仰賴Optus的行動網路，全都因此而受到影響。</p> <p>Optus透過<a href="https://www.facebook.com/photo/?fbid=330895862880613&set=a.238926895410844" target="_blank">Facebook</a>與<a href="https://twitter.com/optus_help/status/1721977640859599339" target="_blank">X</a>發布了聲明，坦承固網撥打000的緊急電話服務也已失靈，但用戶透過手機撥打000則可由其它電信網路承接。</p> <p>Optus正全力搶救服務，也陸續恢復部分服務，該公司向部分媒體否認遭到網路攻擊，但尚未釐清或公布中斷原因。</p> <p>事實上，<a href="https://www.ithome.com.tw/news/153244" target="_blank">去年Optus</a>即曾因遭到駭客入侵而外洩客戶資料，這起服務大規模中斷的意外，也讓澳洲政府考慮將重大服務移出Optus。</p> </div></div></div>
2023/11/8 12:21作者陳曉莉https://www.ithome.com.tw/news/159692
Palo Alto相繼收購2家以色列安全軟體公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路安全廠商Palo Alto Networks在過去二周來，接連宣布收購二家以色列安全軟體公司，以強化企業資料及雲端安全防護。</p> <p><a href="https://www.paloaltonetworks.com/company/press/2023/palo-alto-networks--announces-intent-to-acquire-enterprise-browser-start-up-talon-cyber-security" target="_blank">本周Palo Alto宣布</a>和企業網路安全工具Talon Cyber Security達成收購協議，將取得其企業瀏覽器技術，整合Palo Alto的Prima SASE，可形成企業資料安全方案，確保企業員工可透過手機或非公司設備遠端安全存取公司應用，包括不對外公開的App，且對用戶及其使用的裝置實施一致化的安全管理，不論使用者身分或使用什麼裝置。加入Palo Alto後的Talon將由原領導團隊持續掌理。</p> <p><a href="https://www.paloaltonetworks.com/company/press/2023/palo-alto-networks--announces-intent-to-acquire-cloud-security-start-up-dig-security" target="_blank">上周Palo Alto另外宣布</a>收購Dig Security。Dig Security提供資料安全態勢管理（Data Security Posture Management），強化資料安全防護。其方案幫助企業辨識敏感資料、管理用戶存取，及實作安全措施，以保護所有儲存在雲端資料庫的敏感資料外洩。Dig Security產品能讓企業客戶清楚掌控多雲環境的資料安全。收購完成後，Dig Security的方案將整合到Palo Alto用戶的Prisma Cloud平臺，提供幾近即時的資料防護，且其領導團隊也都將留任。</p> <p><a href="https://techcrunch.com/2023/09/26/palo-alto-networks-dig-talon/" target="_blank">9月《Techcrunch》首先報導</a>，Palo Alto即將收購這兩家安全廠商。值得一提的是，Palo Alto Networks是以色列人Nir Zuk於2005年成立，而Talon及Dig也都是由以色列人所創。兩樁收購案協議期間發生以色列和哈瑪斯武力衝突，但皆未受其影響。</p> </div></div></div>
2023/11/8 12:01作者林妍溱https://www.ithome.com.tw/news/159691
美禁令之前，傳百度AI晶片已從Nvidia轉向華為下單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/technology/baidu-placed-ai-chip-order-huawei-shift-away-nvidia-sources-2023-11-07/" target="_blank">《路透社》報導</a>，早在美國AI晶片禁令之前，百度已經將AI晶片訂單由Nvidia轉向華為。</p> <p>10月美國發布最新禁令，禁止一定運算速度以上的晶片輸入中國，直接影響Nvidia、AMD等業者。美國先是公布1個月緩衝期，但一周後又傳出美取消緩衝期立即生效。消息所至引發Nvidia股價大跌。</p> <p>周二路透社引述二消息人士報導，其實早在8月，中國網際網路巨人百度內部已經下令其AI系統文心一言（Ernie）使用的晶片，改向華為採購昇騰（Ascend）910B系列AI晶片。Ascend 910B晶片最大算力為256TFLOPS，相當於Nvidia A100。</p> <p>報導指出，百度為200臺伺服器採購了1,600顆華為AI晶片，其中60%約1,000顆已經在10月底前出貨，華為預計在年底交付所有晶片。另一名消息人士指出，這波下單金額約為6,200萬美元。</p> <p>雖然這波採購量並不算大，但報導指出，這顯示中國業者已逐漸有能力擺脫對美國技術的依賴。美國祭出晶片及軟體出口禁令後，華為轉而推動作業系統及晶片研發。外界拆解華為今年9月推出的旗艦手機Mate 60 Pro，使用的是自行研發的麒麟9000及鴻蒙4.0作業系統。</p> <p><a href="https://www.reuters.com/technology/huawei-unit-ships-chinese-made-surveillance-chips-fresh-comeback-sign-sources-2023-09-20/" target="_blank">路透社9月報導</a>，華為集團的海思半導體（HiSilicon）已研發自製內建於監控攝影機的晶片，並已出貨給客戶。</p> </div></div></div>
2023/11/8 10:56作者林妍溱https://www.ithome.com.tw/news/159690
微軟Xbox與Inworld AI合作打造基於AI的遊戲開發工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://developer.microsoft.com/en-us/games/articles/2023/11/xbox-and-inworld-ai-partnership-announcement/" target="_blank">微軟Xbox遊戲AI總經理Haiyan Zhang本周宣布</a>，已與專門以AI開發非玩家角色（Non-Player Character，NPC）的Inworld AI結盟，雙方簽署了多年合作協議，將共同建置一個多平臺的AI工具集，以協助創作者設計遊戲的對話，故事與任務，初期所聚焦的兩項工具為AI設計副手及AI角色運作引擎。</p> <p>NPC指的是角色扮演遊戲中非由玩家所控制的角色，雖然它們多半是遊戲中的陪襯，但<a href="https://inworld.ai/blog/future-of-npcs-report" target="_blank">Inworld的調查</a>顯示，儘管有84%的玩家認為NPC會讓遊戲變得不同，但有5成的玩家抱怨現在的NPC於遊戲中的對話經常重複，有3成說它們經常沒有辦法好好地回應玩家的行為，或是出現愚笨的回應。</p> <p>而Inworld的目標就是替這些NPC帶來更栩栩如生的樣貌，讓它從一個原本只遵循腳本的角色，轉變成一個可以依據玩家的行動及選擇而作出動態因應的對象，藉由在運作時編排不同的AI模型，令Inworld的角色引擎得以創造出具備豐富表情、手勢、對話與行動的NPC。</p> <p>Inworld表示，擴展角色引擎的功能將是雙方此次合作的重心，此一角色運作引擎將可整合到遊戲的客戶端，藉由動態生成故事、任務與對話來實現全新的遊戲敘事。至於AI設計副手則可協助遊戲設計師來探索創意，例如把提示轉換成詳細的腳本、對話樹與任務等。</p> <p>除了借用Inworld於AI角色引擎上的長才之外，微軟則將投入Azure OpenAI、Microsoft Research與Xbox團隊的資源。Zhang說，微軟的目標是替任何規模與平臺的遊戲開發者提供最先進的AI工具，協助他們突破現今的遊戲界限，因此在開發這些新工具時，將會同時與Xbox工作室及第三方工作室的創作者合作，儘可能地開發滿足其需求的工具，並激發對未來遊戲的想像。</p> </div></div></div>
2023/11/8 08:39作者陳曉莉https://www.ithome.com.tw/news/159688
Deno 1.38更新支援HTML文件生成與熱模組替換功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://deno.com/blog/v1.38#deno-doc-updates">Deno 1.38</a>已由開發團隊更新釋出，這個新版對deno doc指令進行改進，讓開發者可以快速生成靜態網站，同時新增熱模組替換功能，而JSX轉換速度在這個版本提升達7到20倍，另外，Deno 1.38嘗試以破壞性更新提高對Node.js專案的支援度，官方現在正尋求社群意見。</p> <p>在最新版本中，Deno強化了deno doc指令，官方提到，他們參考自Rust程式語言文件生成工具rustdoc。讓開發者可以使用deno doc —html指令，替專案生成靜態文件檔案，使開發團隊共享文件更為便捷。這個指令會替函式庫中每個匯出符號（Symbol）創建專屬頁面，並提供客戶端符號搜尋功能，以尋找特定的函式、變數和類型定義。這個功能即便在瀏覽器JavaScript被禁用的情況下，仍然可以正常運作。</p> <p>另外，deno doc現在支援多個入口點，讓文件生成不會再僅限於單一模組，也就是說，deno doc能夠接收多個模組檔案作為參數，並且替每一個模組生成文件，這項新功能使開發者能夠一次替多個相關聯的檔案生成整套的API文件，而非只能針對單個檔案進行處理。而且新加入的—lint旗標，還可以在生成文件的時候檢查潛在問題，把關文件的品質。</p> <p>Deno 1.38也引入了熱模組替換（Hot Module Replacement，HMR）功能，這是一個JavaScript開發功能，讓開發者可以在不刷新整個頁面，或是重新啟動應用程式的情況下，更新和替換應用程式的模組，進而提升開發流程效率，開發者現在可以使用deno run —unstable-hmr指令來使用該功能。</p> <p>官方解釋，—hmr旗標的運作方式就如同—watch，只是熱模組替換會嘗試更新檔案，而不是重新啟動整個程式。這項功能在許多框架會非常有用，像是當Deno同時用於後端和前端開發時，可通知瀏覽器檔案已經更改，並重新載入頁面，而且開發者也可以透過監聽熱模組替換事件，來處理相對應的更新操作。</p> <p>Deno推出新的JSX轉換功能，以最佳化伺服器端渲染效能。在轉換過程中，JSX語法會在編譯階段，被轉換成JavaScript程式碼，一般來說，因為JSX轉換過程會生成大量且生命周期短暫的物件，因此非常仰賴垃圾回收器。</p> <p>而新的JSX轉換機制，會在編譯時將JSX模板中的HTML部分序列化成靜態字串陣列，以避免創建大量短暫的物件，減少對垃圾回收器的依賴，還顯著降低頻繁創建和銷毀物件所產生的效能負擔，官方提到，這種方式讓渲染速度變得非常快。在測試中，可以觀察到渲染速度提升7到20倍，垃圾回收時間減少50％。</p> <p>在此次更新中，Deno還進一步強化對Node.js專案的相容性，提供一個實驗性功能讓開發者可以在Deno環境中使用他們所選擇的Npm套件管理器，也就是說，開發者可以直接在Deno環境安裝和執行Npm套件，且不需要進行額外設定。未來Deno可能會在偵測到專案存在package.json檔案時，預設啟用這項新行為。不過這將是一個破壞性變更，目前Deno團隊正在徵求社群的意見。</p> </div></div></div>
2023/11/8 08:45作者李建興https://www.ithome.com.tw/news/159686
Google雲端模擬監控新服務，可即時分析應用程式可用性與效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端向所有用戶開放新的監控服務—<a href="https://cloud.google.com/blog/products/devops-sre/synthetic-monitoring-in-cloud-monitoring-is-now-ga">模擬監控（Synthetic Monitoring）</a>，這是一種新型主動式監控功能，可以透過自動化Node.js腳本，模擬真實終端使用者與應用程式、服務的互動行為，進而對網頁應用、API和工作流程的可用性、一致性和效能進行測試。</p> <p>Google雲端的模擬監控服務會從世界各地的資料中心，對應用程式端點執行自動化測試程式碼，這些測試程式碼包括模擬應用程式內終端使用者路徑，像是登入網站、搜尋產品或是將商品放入購物車內等操作。</p> <p>當用戶配置模擬監控器時，便會創建一個Google雲端函式，該函式會執行Node.js程式碼，並透過Cloud Monitoring服務進行發布和集中管理。系統會收集和分析程式碼執行結果，總結應用的可用性、一致性和效能，當模擬監控服務偵測到任何問題，可以根據用戶設定的警示規則通知特定團隊介入，以便問題在真正影響終端使用者之前快速修復。</p> <p>用戶可以替任何URL和API端點配置模擬監控，能夠方便地使用預建置的程式碼，或是自行編寫的測試程式碼。官方提到，模擬監控服務高度可擴展，單一帳戶就可監控成千上萬個URL和API端點。</p> <p>Google在今年7月推出模擬監控預覽版，到了正式版本還加入一些實用新功能，像是用戶現可使用基礎設施即程式碼工具Terraform創建模擬監控器。另外，模擬監控功能也可以收集向外HTTP請求所生成的追蹤和日誌，以方便快速辨識效能問題。</p> <p>Google也在模擬監控中引入Mocha測試框架的UI模板，透過提供視覺化介面，使用戶更輕鬆地運用Mocha框架來創建和配置測試案例。UI模板讓不熟悉Mocha框架或是不想編寫複雜程式碼的用戶，可以快速生成測試腳本。</p> </div></div></div>
2023/11/8 08:49作者李建興https://www.ithome.com.tw/news/159687
【資安日報】11月7日，鎖定Atlassian Confluence重大漏洞的攻擊行動出現，駭客透過勒索軟體Cerbe…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">最近訊息導向中介軟體ActiveMQ、DevOps協作平臺Confluence分別出現重大漏洞CVE-2023-46604、CVE-2023-22518，如今皆有駭客對其發動勒索軟體攻擊、加密檔案，而造成災情。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">其中，值得留意的是針對Confluence的攻擊行動，因為過程中駭客不只利用最近才修補的漏洞，還串連另一個上個月揭露的重大漏洞進行攻擊，這代表受害組織兩個漏洞都還沒修補，而讓對方有機可乘。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【攻擊與威脅】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/critical-atlassian-confluence-bug-exploited-in-cerber-ransomware-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Cerber利用Atlassian Confluence重大漏洞發動攻擊</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/Internet-exposed Atlassian Confluence servers.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Internet-exposed%20Atlassian%20Confluence%20servers.png" style="width: 300px; float: right;" /></a>上週軟體開發服務業者Atlassian發布資安通告，指出旗下DevOps協作平臺Confluence存在重大漏洞CVE-2023-22518，影響所有版本的Confluence Data Center、Confluence Server，如今傳出有勒索軟體駭客將其用於攻擊行動。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">威脅情報業者GreyNoise提出警告，他們看到漏洞攻擊行動從11月5日開始出現，資安業者Rapid7則是在客戶的Confluence伺服器上，發現攻擊者不僅利用CVE-2023-22518，還利用另一個漏洞CVE-2023-22515（CVSS風險評為10分）進行權限提升，後續攻擊者從特定IP位址下載惡意酬載，導致Confluence伺服器感染勒索軟體Cerber。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">而對於該漏洞曝險的狀態，Shadowserver基金會指出，全球有超過2.4萬個<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">Confluence系統曝露於網際網路，但究竟有多少執行個體存在漏洞，仍有待釐清。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資料來源</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">1. <a href="https://twitter.com/Andrew___Morris/status/1721164901052268590">https://twitter.com/Andrew___Morris/status/1721164901052268590</a><br /> 2. <a href="https://www.rapid7.com/blog/post/2023/11/06/etr-rapid7-observed-exploitation-of-atlassian-confluence-cve-2023-22518/">https://www.rapid7.com/blog/post/2023/11/06/etr-rapid7-observed-exploitation-of-atlassian-confluence-cve-2023-22518/</a><br /> 3. <a href="https://dashboard.shadowserver.org/statistics/iot-devices/time-series/?date_range=30&vendor=atlassian&model=confluence&group_by=geo&style=stacked">https://dashboard.shadowserver.org/statistics/iot-devices/time-series/?date_range=30&vendor=atlassian&model=confluence&group_by=geo&style=stacked</a></span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://arcticwolf.com/resources/blog/tellmethetruth-exploitation-of-cve-2023-46604-leading-to-ransomware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體TellYouThePass針對Apache ActiveMQ重大漏洞下手</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">10月底訊息導向中介軟體ActiveMQ公告修補漏洞CVE-2023-46604，因CVSS風險高達10分而引起大家關注，繼資安業者Rapid7發現勒索軟體HelloKitty的攻擊行動，前幾天又有研究人員看到新的漏洞攻擊。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月3日資安業者Arctic Wolf指出，利用上述漏洞的攻擊行動很可能在10月10日就開始，他們最初看到有人在Windows Server伺服器上，部署惡意程式SparkRAT，此為Go語言打造的跨平臺木馬程式，會為受害伺服器建立指紋，並回傳C2。後來，有第二組人馬從另一個IP位址，進行兩起勒索軟體攻擊，其中一起就是Rapid7揭露的勒索軟體HelloKitty攻擊，這是針對Windows電腦而來的攻擊行動；而另一起攻擊行動則是針對Linux版ActiveMQ伺服器而來，攻擊者利用勒索軟體TellYouThePass的變種「HelloKittyCat」加密檔案。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">值得留意的是，這些勒索軟體攻擊行動，不僅攻擊來源IP位址相同，所使用的比特幣錢包位址也一樣，很有可能是同一組人馬所為。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://jaysbrickblog.com/news/bricklink-is-currently-down-due-to-a-suspected-hacking-cybersecurity-incident/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">樂高市集BrickLink被迫關閉，傳出賣家收到勒索訊息</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/LEGO-Bricklink-Hack-Message.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LEGO-Bricklink-Hack-Message.jpg" style="width: 300px; float: right;" /></a>根據樂高新聞網站Jay's Brick Blog的報導，樂高交易市集BrickLink於11月3日關閉，此消息發布之際，市集已停止服務近5個小時，當時業者僅透露正在著手調查異常活動。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">而根據該市集用戶於臉書社團、Reddit群組的討論，他們懷疑BrickLink遭遇網路攻擊事故，多個商店與賣家的帳號外洩，而這些賣家也張貼自己遭到勒索的訊息，駭客要求限時以加密貨幣支付贖金，否則將清除市集裡的商店及庫存等資料。攻擊者聲稱，他們挾持包含管理員在內的所有BrickLink帳號。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月6日，BrickLink經營團隊終於公開坦承現況，他們表示，有少部分帳號遭到未經授權存取。而對於該網站離線的原因，有人推測，很可能是因為駭客存取了數十個買家及賣家的帳號並用來行騙，BrickLink經營團隊為防止事態擴大，決定將網站關閉。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資料來源</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">1. <a href="https://www.reddit.com/r/Bricklink/comments/17n24zi/has_bricklink_been_hacked/">https://www.reddit.com/r/Bricklink/comments/17n24zi/has_bricklink_been_hacked/</a><br /> 2. <a href="https://twitter.com/BrickLink/status/1721279577262043605">https://twitter.com/BrickLink/status/1721279577262043605</a><br /> 3. <a href="https://www.reddit.com/r/Bricklink/comments/17n6mpq/public_service_announcement_regarding_bricklink/">https://www.reddit.com/r/Bricklink/comments/17n6mpq/public_service_announcement_regarding_bricklink/</a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/ace-hardware-says-1-202-devices-were-hit-during-cyberattack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">跨國聯鎖五金零售業者Ace Hardware系統遭遇網路攻擊，有駭客企圖騙取零售門市的帳號</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">10月30日跨國聯鎖五金零售業者Ace Hardware向客戶發出公告，表明在29日早上偵測到網路安全事故，影響該公司大部分的IT系統，包含倉庫管理系統、Ace零售行動助理ARMA、發票系統、客戶回鐀系統Ace Rewards、客戶關懷電話系統皆面臨中斷或暫停運作的情況。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">該公司後來於30日晚間發布新的公告，表示相關系統仍持續停擺，電子商城雖然能搜尋及檢視產品，但無法下單，此外，零售門市的POS系統與信用卡處理系統不受影響。資安新聞網站Bleeping Computer指出，Ace Hardware向零售門市透露，他們經營的1,400臺伺服器當中，有1,202臺遭到網路攻擊，該公司著手復原當中。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">但在此同時，有人對零售門市進行網路釣魚攻擊，有些攻擊者寄送釣魚郵件，要求在Ace Hardware系統恢復之前，將款項支付給替代網站；也有人聲稱是Epicor Software Corporation的代表，打電話給這些零售門市，要他們提供帳密資料進行故障排除。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【漏洞與修補】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/qnap-warns-of-critical-command-injection-flaws-in-qts-os-apps/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">威聯通揭露NAS作業系統的重大命令注入漏洞</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月4日臺灣NAS設備製造商威聯通（QNAP）發布資安通告，指出旗下的網路設備作業系統QTS、QuTS hero、QuTScloud存在重大漏洞CVE-2023-23368、CVE-2023-23369，這兩個都是作業系統命令注入漏洞，攻擊者有可能遠端執行命令，CVSS風險評分為9.8、9.0。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">值得留意的是，這兩個漏洞的影響範圍不同，CVE-2023-23368牽涉到QTS 4.5及5.0、QuTS hero h4.5及h5.0、QuTScloud c5.0.1，另一個漏洞則是影響QTS 4.2、4.3.3、4.3.4、4.3.6、5.1，以及多媒體管理應用程式Multimedia Console 1.4、2.1，多媒體串流附加元件500.0、500.1。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資料來源</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">1. <a href="https://www.qnap.com/zh-tw/security-advisory/qsa-23-31">https://www.qnap.com/zh-tw/security-advisory/qsa-23-31</a><br /> 2. <a href="https://www.qnap.com/zh-tw/security-advisory/qsa-23-35">https://www.qnap.com/zh-tw/security-advisory/qsa-23-35</a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.veeam.com/kb4508"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">IT監控解決方案Veeam ONE存在重大漏洞，攻擊者可遠端執行任意程式碼</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月6日Veeam針對旗下IT監控解決方案Veeam ONE發布資安通告，他們公布了4個漏洞，其中有2個是重大等級。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">根據CVSS風險評分的分數來看，最嚴重的是CVE-2023-38547，攻擊者能在未經授權的情況下，用於取得Veeam ONE配置資料庫的存取資訊，而有可能遠端於此系統搭配的SQL Server上執行任意程式碼，CVSS風險評分為9.9，影響11、11a、12版Veeam ONE。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">另一個重大漏洞是CVE-2023-38548，攻擊者若是能夠存取Veeam ONE的網頁版用戶端，並使用不具特殊權限的用戶身分，有機會收集Veeam ONE Reporting Service所使用的帳號之NTLM雜湊值，CVSS風險評分為9.8，影響12版Veeam ONE。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【其他新聞】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://thehackernews.com/2023/11/google-warns-of-hackers-absing-calendar.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google警告駭客濫用旗下Calender服務充當C2基礎架構</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.threatfabric.com/blogs/droppers-bypassing-android-13-restrictions"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意程式載入器SecuriDropper繞過新版安卓防護機制部署惡意程式</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://securelist.com/spyware-whatsapp-mod/110984/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">間諜軟體CaneSpy透過竄改的即時通訊軟體WhatsApp散布</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.avanan.com/blog/the-rise-in-qr-code-attacks"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">今年9月QR Code釣魚攻擊爆增587%</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159667"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">身分驗證管理業者Okta對10月遭駭事件完成調查，134位客戶資料被洩漏</span></span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>近期資安日報</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159660"><strong>【11月6日】濫用企業臉書帳號散布NodeStealer竊資軟體的攻擊行動再度出現，想看裸照的使用者是目標</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159633"><strong>【11月3日】訊息導向中介軟體ActiveMQ重大漏洞出現攻擊行動，駭客用於投放勒索軟體HelloKitty</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159609"><strong>【11月2日】伊朗駭客組織利用後門程式Liontail攻擊Windows伺服器，鎖定中東地區的政府機關與金融單位而來</strong></a></p> </div></div></div>
2023/11/7 18:02作者周峻佑https://www.ithome.com.tw/news/159685
整合網頁、郵件、Line互動，瀚錸推出產品送修流程追蹤系統
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/rma_dashboard-main2.jpg" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以代理Netgear網路設備著稱的瀚錸科技（NetBridge），基於多年來處理硬體設備報修的顧客服務經驗，今年5月首度發表自有品牌的軟體即服務（SaaS）型態的解決方案，名為「門市RMA小幫手」，鎖定的用戶，主要是系統整合商、3C產品銷售通路，以及IoT與工控設備製造商，為這些公司提供雲端服務型態的客服案件追蹤系統，協助他們能夠隨時隨地透過系統來掌握硬體設備案件狀態，客服人員與客服主管均可在此查詢維修進度與保固註冊，並能透過電子郵件和即時通訊軟體Line等兩大通訊管道，快速獲得案件最新進度，從而將這些資訊及早通知客戶。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RMA儀錶板1-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RMA%E5%84%80%E9%8C%B6%E6%9D%BF1-web.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RMA小幫手-進度紀錄介面-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RMA%E5%B0%8F%E5%B9%AB%E6%89%8B-%E9%80%B2%E5%BA%A6%E7%B4%80%E9%8C%84%E4%BB%8B%E9%9D%A2-web.jpg" style="width: 600px;" /></a></p> <p>所謂的RMA，全名是Return Material Authorization，也就是一般大家所熟知的產品退換貨處理，過往廠商端要進行這樣的顧客互動流程，以及掌握報修案件狀態，往往需要在ERP銷退貨系統與客服案件系統之間切換，才能了解全貌，相較之下，瀚錸開發的門市RMA小幫手現在提供單一的操作介面，廠商端的客戶服務人員與主管，不需要複雜的教育訓練就能快速上手，可透過這套系統提供的案件總覽儀表板，清楚看到各個RMA案件處於維修、檢測或返還的階段，系統會依據新增維修案件、到件檢測中、檢測完畢、原機返回中、更換新機返回中等5大狀態，呈現已收到、處理中、已完成的RMA案件。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RMA dashboard.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RMA%20dashboard.jpg" style="width: 600px;" /></a></p> <p>至於廠商客服人員與顧客之間的溝通上，瀚錸這套系統提供多種形式，例如，顧客目前可透過門市RMA小幫手的網頁介面進行報修，也能經由電子郵件獲得產品維修資訊，</p> <p><a href="https://s4.itho.me/sites/default/files/images/RMA產品檢修服務系統_檢測申請頁面-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RMA%E7%94%A2%E5%93%81%E6%AA%A2%E4%BF%AE%E6%9C%8D%E5%8B%99%E7%B3%BB%E7%B5%B1_%E6%AA%A2%E6%B8%AC%E7%94%B3%E8%AB%8B%E9%A0%81%E9%9D%A2-web.jpg" style="width: 600px;" /></a></p> <p>還可以整合廠商的即時通訊軟體Line@官方帳號，以此來收發維修資訊——顧客可透過Line報修與查詢產品送修進度，</p> <p><a href="https://s4.itho.me/sites/default/files/images/RMA_Line官方帳號-維修申請.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RMA_Line%E5%AE%98%E6%96%B9%E5%B8%B3%E8%99%9F-%E7%B6%AD%E4%BF%AE%E7%94%B3%E8%AB%8B.jpg" style="width: 200px;" /></a></p> <p>廠商的客服人員使用系統回覆進度時，也可以選擇同時傳送Line訊息通知顧客。瀚錸表示，他們正在開發專用App，未來可望增加更多互動管道。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RMA小幫手-發送通知.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RMA%E5%B0%8F%E5%B9%AB%E6%89%8B-%E7%99%BC%E9%80%81%E9%80%9A%E7%9F%A5.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RMA-通知管道-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RMA-%E9%80%9A%E7%9F%A5%E7%AE%A1%E9%81%93-web.jpg" style="width: 600px;" /></a></p> <p>對於送修硬體設備的顧客而言，如果需要查詢目前報修產品的維修進度，門市RMA小幫手提供網頁與Line等兩種查詢管道，能夠更直接、快速地檢視這些資訊，並且在此查閱產品保固註冊資訊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/rma產品檢修服務系統_送檢進度查詢-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/rma%E7%94%A2%E5%93%81%E6%AA%A2%E4%BF%AE%E6%9C%8D%E5%8B%99%E7%B3%BB%E7%B5%B1_%E9%80%81%E6%AA%A2%E9%80%B2%E5%BA%A6%E6%9F%A5%E8%A9%A2-web.jpg" style="width: 600px;" /></a></p> <p>如果案件狀態發生變化，門市RMA小幫手也會經由電子郵件與Line，將資訊更新的訊息傳送到顧客手上。為了方便更多地區的使用者與廠商進行這樣的服務互動，瀚錸預告未來將會擴大支援更多類型的即時通訊軟體，像是微信、WhatsApp。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/rma_line%E4%BA%92%E5%8B%95%E4%BB%8B%E9%9D%A2-web.jpg" style="width: 300px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>瀚錸RMA</strong><br /> ●原廠：瀚錸科技<br /> ●建議售價：定價10人版半年為27,000元（未稅），臺灣雲市集10人版半年優惠價為20,000元<br /> ●解決方案型態：SaaS雲端服務<br /> ●訊息通知管道：電子郵件、Line即時通訊<br /> ●可處理的工作項目：客戶服務人員方面，可進行報修申請、報修查詢、保固申請、保固查詢，產生整合硬體序號及維修進度報告；客戶服務主管方面，逾時案件燈號示警、總覽案件處理進度</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/11/7 17:39作者李宗翰https://www.ithome.com.tw/review/159653
銀行局揭雲端服務治理架構六大重點，未來將由銀行公會訂定相關自律規範
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會自八月發布新版上雲規範，並在近期發布問答集，銀行局副局長林志吉今日也在一場活動中表示，十月已請銀行公會訂定金融業使用雲端服務的自律規範，並要求至少包括六大重點，包括訂定治理政策及風險管理、對雲端業者的管理框架，和人才培訓等。此外，林志吉也提到，此次修法目的之一，是為了強化金融業的資料保全機制。</p> <p>俄烏戰爭開打後，資料保存的意識逐漸升高，而金管會去年發布的金融資安行動方案2.0中，也強調了核心資料保全機制的重要性。對此，林志吉表示，新版上雲規定因應這項政策，要強化金融業的資料保全機制，提高作業韌性，確保客戶資料保護、資訊安全及服務不中斷。因此，辦法中也開放金融業將資料備份在境外雲端，不須經過申請核准，若是將主系統或備援系統備置在境外雲端，才需要申請核准。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/S__48873861.jpg" style="width: 600px;" /></p> <blockquote><p>為了促進金融業強化資料保全機制，今年八月上路的新版上雲規範開放金融業將資料備份在境外雲端，不須經過主管機關申請核准。(攝影:李昀璇)</p> </blockquote> <p>針對雲端服務治理架構，林志吉表示，他們參考了美國聯邦金融機構檢查委員會(FFIEC)和新加坡銀行公會的相關規範，要求銀行公會訂定的自律規範應包含六大重點，分別為治理政策及風險管理、對雲端業者的管理框架、資安控管、人才培訓、雲端服務查核及重大事件通報及緊急應變處理。</p> <p>林志吉解釋，第一，金融業必須訂定雲端服務治理框架，並考量使用雲端服務對營運模式產生的影響，第二，對雲端業者的管理架構，應包括雲端業者負擔責任，和契約應明載事項等。此外，金融業也要對雲端服務做盡職調查，對雲端服務安全性進行持續監控，制定流程來識別、衡量、監控和控制與雲端服務相關風險，並提供人才培訓，培養人員具備資安維護意識。</p> <p>金管會也提供國外案例，供銀行公會參考。林志吉表示，以新加坡銀行公會的自律規範為例，業者盡職框架有包括應評估業者的財務、營運、聲譽等，而契約協議事項的內容，包括應載明資料儲存點、資料傳輸和業務持續性管理等事項。在持續風險評估和監督機制中，則要訂定管理雲、設計與保護雲，和運行雲的關鍵控制措施及控管指標。</p> <p>最後，林志吉也表示，金管會已函請銀行公會組成相關工作小組，作為金融機構採用雲端服務的溝通平臺，辦理包括研議自律規範及最佳實務作業守則、舉辦論壇、研討會等事項，分享雲端服務的使用經驗，並推動人才培訓。</p> <p></p> </div></div></div>
2023/11/7 16:11作者李昀璇https://www.ithome.com.tw/news/159672
三款AI PC筆電搶先看！英特爾首度在臺公開展示整合NPU的Core Ultra筆電，具備有支援70億參數Llama…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾雖然在12月14日才會推出內建NPU（神經處理單元）的行動AI處理器Core Ultra，但今日（11/7）英特爾臺灣創新日上英特爾搶先公開展示搭載Core Ultra處理器的AI PC筆電，除了之前公開的Acer筆電之外，新增Asus和MSI兩款新Core Ultra筆電。此外，現場也展示使用Core Ultra筆電執行各種生成式AI應用，包括圖像生成、文字及程式生成等。</p> <p>英特爾在9月底介紹最新款Core Ultra行動PC處理器，強調不只整合AI加速的NPU，提高生成式AI處理能力，還結合模組化、多晶磚設計等，提升其性能和降低功耗。在英特爾臺灣創新日上，英特爾公開展示了Acer、Asus和MSI三家廠商未來將推出搭載Core Ultra處理器的新款AI PC筆電。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20231107_004812379.jpg" style="width: 600px; height: 338px;" /></p> <p>其中，Asus現場展示兩項行動PC上的生成式AI相關應用，其中一項是文生圖應用，他們在筆電上安裝了開源繪圖工具GIMP，並使用OpenVINO的AI外掛程式為其加入了Stable Diffusion文生圖的功能，使用者只需輸入文字，就可以在編輯介面中自動生成符合文字敘述的場景和人物圖像，例如輸入「格魯特在公園跳舞」的英文字就可以生成相對應的圖像。此外，用生成式AI產出的圖片還可以透過另一個AI模型將圖片放大4倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20231107_004935030.jpg" style="width: 600px; height: 338px;" /></p> <p>執行70億參數的Llama 2大型語言模型推論則是另一項應用展示，這是以Llama 2 7B為基礎進行微調的繁中版本，並整合到Core Ultra平臺中，可以用繁中回答使用者的問題，或是根據提示生成一段程式碼。為了要能夠執行Llama 2 7B模型，該模型大小也經過壓縮，在確保維持原有正確性的前提下，將模型大小從6～7GB降到3～4GB，並使用OpenVINO進行優化。</p> <p>現場解說人員表示，由於 LLM模型是直接在筆電中執行，因此可以支援離線環境的使用。根據他們的說法，輸入一段文字後，平均每10秒內就會開始自動生成文字。不過，記者實際測試可能需要等待更長的時間。</p> <p>不過，Asus現場展示的Core Ultra筆電並沒有用NPU來執行Llama 2模型，而是僅先使用GPU來執行。現場英特爾解說人員表示，未來也可以使用NPU來執行這個任務。目前華碩和英特爾持續對該模型在筆電中的執行進行優化。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20231107_003902969.jpg" style="width: 600px; height: 323px;" /></p> <p>宏碁在現場展示用Core Ultra筆電執行圖像生成模型，可以在筆電桌面螢幕中自動生成動態立體的太空人桌布，還可以利用筆電前置鏡頭來追蹤使用者的臉部輪廓，讓桌布可以朝著使用者視角移動。此外，還可以利用工具將2D平面圖像轉為3D裸眼立體圖。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20231107_005539049.jpg" style="width: 600px; height: 338px;" /></p> <p>另一家筆電廠商MSI則是用Core Ultra筆電展示影片後製的相關應用，如使用Wondershare Filmora影片編輯軟體新增和預覽新特效及背景圖，過程全都使用NPU來執行。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20231107_025723895(1).jpg" style="width: 600px; height: 338px;" /></p> <p>現場展示人員展示了使用該款Core Ultra筆電執行XSplit視訊軟體的情況，其中使用NPU來執行任務，比起完全依賴CPU執行，可以有效降低CPU工作負載，從2成降到1成多。</p> </div></div></div>
2023/11/7 16:12作者余至浩https://www.ithome.com.tw/news/159673
ChatGPT每周用戶數達到1億，承諾替客戶支付侵權訴訟費用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI周一（11/6）舉行了<a href="https://www.youtube.com/watch?v=U9mJuUkhUzk" target="_blank">該公司史上的第一場開發者會議</a>，執行長Sam Altman於首場演說中表示，旗下的AI聊天服務ChatGPT每周已達到1億的活躍用戶，另也宣布將推出版權防護盾（Copyright Shield），替ChatGPT Enterprise用戶及使用該平臺API的開發者支付相關的侵權訴訟費用。</p> <p>OpenAI是在去年的11月30日正式發表ChatGPT，當時所採用的模型為GPT-3.5，今年3月升級至GPT-4.0，並於10月開始測試文字轉圖像模型DALLE-3。ChatGPT既有供大眾使用的免費版，也有個人用的付費版ChatGPT Plus及供企業使用的ChatGPT Enterprise。根據該公司的統計，全球約有200萬名開發者使用該平臺的API，Fortune 500中有超過92%使用OpenAI的產品，每周的活躍用戶已達到1億。</p> <p>此外，OpenAI推出了版權防護盾（Copyright Shield），承諾會在客戶面臨有關侵犯版權的訴訟時，將主動介入替客戶辯護，同時支付因此而衍生的費用。該機制將同時適用於ChatGPT Enterprise與API用戶。</p> <p>根據內容治理解決方案供應商<a href="https://www.acrolinx.com/blog/enterprise-insights-into-generative-ai-adoption/" target="_blank">Acrolinx今年針對86家名列Fortune 500的企業所進行的調查</a>，它們採用生成式AI服務最擔心的風險就是智慧財產權，占了29%，居次的是客戶安全與合規性，占了26.7%。</p> <p>值得注意的是，Acrolinx的調查也顯示，在這些大型企業中，只有4.7%尚不打算導入生成式AI，有37.2%正在使用生成式AI，並有58.1%已有相關計畫。</p> <p>為了移除客戶導入生成式AI服務的最大絆腳石，包括<a href="https://www.ithome.com.tw/news/158651" target="_blank">微軟</a>、<a href="https://www.ithome.com.tw/news/159289" target="_blank">Google</a>與<a href="https://www.businesswire.com/news/home/20230608005347/en/Adobe-Brings-Firefly-and-Express-to-Enterprises" target="_blank">Adobe</a>都已宣布，要替客戶承擔使用生成式AI服務所招致的侵權訴訟費用。</p> </div></div></div>
2023/11/7 16:19作者陳曉莉https://www.ithome.com.tw/news/159674
李開復的AI新創公司公布並開源雙語AI LLM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>前微軟亞洲研究院院長、創投家李開復創立的AI新創公司零一萬物（01.AI），本周宣布開發大型語言模型Yi-6B及34B並將之開源出來。</p> <p>李開復旗下的私募基金創新工場於今年3月，成立開發生成式AI包括大型語言模型（LLM）及聊天機器人的新創公司零一萬物（01.AI），如同中國版的OpenAI，他本人則兼任這家公司的執行長。在成立8個月後，<a href="https://www.bloomberg.com/news/articles/2023-11-05/kai-fu-lee-s-open-source-01-ai-bests-llama-2-according-to-hugging-face#xj4y7vzkg" target="_blank">李開復在與彭博的訪談中</a>公布名為Yi的首個LLM，包含60億及340億參數訓練的2個版本。<a href="https://github.com/01-ai/Yi" target="_blank">這個模型已透過GitHub開源給社群</a>。</p> <p>李開復並指出，零一萬物獲得阿里巴巴控股及其他幾家金主的資金後，目前市值已突破10億美元。</p> <p>根據<a href="https://huggingface.co/01-ai/Yi-34B" target="_blank">零一萬物在Hugging Face的介紹</a>，Yi是一組LLM，為上下文長度200K的基礎模型。它的特色之一是雙語（中／英文）模型。此外，雖然比起其他開源模型小得多，但根據Hugging Face列出的標竿測試，Yi-34B效能在數個指標例如在常識推理、閱讀理解及數學&編程測試中，效能比阿拉伯聯合大公國的Falcon-180B和Meta的Llama2-70B等大型模型還好。MMLU、CMMLU、C-Eval等測試中，也都拿下第一名位子。</p> <p>這家業者目標市場不只是中國，也放眼全球。<a href="https://techcrunch.com/2023/11/05/valued-at-1b-kai-fu-lees-llm-startup-unveils-open-source-model/" target="_blank">李開復說</a>Meta Llama 2是開原碼社群的黃金標準，而Yi模型想提供另一選項。零一萬物預計12個月、18個月將再公告1,000億到4,000億參數的LLM。</p> </div></div></div>
2023/11/7 14:40作者林妍溱https://www.ithome.com.tw/news/159670
OpenAI發表支援128K脈絡的GPT-4 Turbo，調降模型費用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/blog/new-models-and-developer-products-announced-at-devday" target="_blank">OpenAI周一（11/6）發表</a>了支援128K脈絡（Context Window）的GPT-4 Turbo預覽版，推出新的Assistants API，以及API的多種新功能，同時宣布降價，不管是新的GPT-4 Turbo，或是既有的GPT-3.5 Turbo與Fine-tuned GPT-3.5 Turbo 4K都比過去更便宜。</p> <p>繼於今年7月全面釋出GPT-4 API之後，OpenAI本周開始預覽更強大的GPT-4 Turbo。GPT-4 Turbo預覽版所使用的訓練資料最新日期為2023年4月，所支援的脈絡長度為12.8萬（128K）個Token，最大的輸出Token數量為4,096個。相較之下，GPT-4訓練資料的最新日期依舊是2021年9月，所支援的最長脈絡是32,768個Token。</p> <p>Token為GPT等基於Transformer架構之語言模型的基本概念，指的是模型可處理的文字單位，<a href="https://platform.openai.com/tokenizer" target="_blank">根據OpenAI的說明</a>，一個Token大約等於4個英文字母；至於脈絡（Context Window）長度指的則是GPT在生成答案時，所參考的歷史資料範圍，包括使用者曾經輸入的文字或是GPT曾產生的答案，此一功能令GPT得以根據使用者詢問的脈絡持續給出相關的答案，支援12.8萬個Token代表GPT-4 Turbo最多可容納或考慮逾300頁的文字。</p> <p>此外，GPT-4 Turbo改善了函數呼叫功能，可於單一訊息中呼叫多個函數，並提高了函數呼叫的準確性；強化對指令的遵循及對JSON模式的支援；新增seed參數來重製輸出；並預計於未來幾周釋出一新功能，以回傳GPT-4 Turbo及GPT-3.5 Turbo最有可能輸出之Token的Log Probability。</p> <p>所有付費開發者皆可於API請求中，加入gpt-4-1106-preview來預覽GPT-4 Turbo，正式版可望於數周後出爐。</p> <p>在釋出GPT-4 Turbo的同時，OpenAI也更新了GPT-3.5 Turbo，新版GPT-3.5 Turbo預設即支援16K的脈絡長度，亦改善指令遵循、對JSON模式的支援與並行函數呼叫。</p> <p>全新的Assistants API將協助開發者於自己的應用中，打造類似代理人的體驗，透過該API所打造的AI助理具備特定指令，利用額外的知識並可呼叫模型與工具來執行任務，包括Code Interpreter、Retrieval與函數呼叫等，所採用的技術與OpenAI同一天發表的GTPs產品一致。</p> <p>Assistants API的一項重要變更是具備持續且無限長度的執行緒，允許開發者將執行緒的狀態管理交給OpenAI，以克服脈絡長度的限制。Assistants API現為測試版，即日起開放所有開發者試用。</p> <p>OpenAI本周亦發表多種API的新用途，包括GPT-4 Turbo在Chat Completions API中可接受影像輸入，以用來生成標題、分析真實世界的圖像，或是閱讀具備圖形的檔案；或是透過Images API直接將DALL·E整合至應用程式或產品中；以及利用Text To Speech（TTS）API來生成人類品質的語音，它內建了6種語音與2種模型，有一模型可供即時使用，另一模型則針對品質進行了最佳化。</p> <p>OpenAI亦宣布調降GPT-4 Turbo、GPT-3.5 Turbo與Fine-tuned GPT-3.5 Turbo 4K的價格，現在GPT-4 Turbo每千個Token的輸入為0.01美元，輸出為0.03美元，價格分別是GPT-4的1/3及2/1；GPT-3.5 Turbo每千個Token的輸入價格為0.001美元，輸出為0.002美元，亦分別是先前16K模型的3/1與2/1；Fine-tuned GPT-3.5 Turbo 4K的最新價格是每千個Token的輸入為0.003美元，輸出為0.006美元，是之前的1/4及近1/3。</p> </div></div></div>
2023/11/7 14:58作者陳曉莉https://www.ithome.com.tw/news/159671
Slack執行長跳槽，接任人選下周公布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>協同平臺Slack執行長Lidiane Jones本周傳出跳槽約會程式開發商，母公司Salesforce可望在下周公布繼任執行長人選。</p> <p>約會程式開發商<a href="https://bumble-buzz.com/bumble-inc-making-the-next-move/" target="_blank">Bumble本周宣布</a>前執行長Whitney Wolfe Herd下臺，現任Slack執行長Lidiane Jones將於2024年1月繼任，負責將之推向IPO。</p> <p>Jones是<a href="https://www.ithome.com.tw/news/145805" target="_blank">2021年中Salesforce以277億美元收購Slack</a>以來，第二位離職的最高層主管。長久掌理<a href="https://www.ithome.com.tw/news/154572" target="_blank">Slack的共同創辦人</a><a href="http://www.ithome.com.tw/news/154572" target="_blank">Stewart Butterfield</a><a href="https://www.ithome.com.tw/news/154572" target="_blank">於今年初下臺</a>，由Jones接任。</p> <p>Salesforce對Slack的收購引發投資人和員工質疑兩者的相容性，Jones接手的任務之一是確保兩家公司的整合，並推出業務人員使用的Slack版本。Bumble的宣布意謂這位執行長在位僅12個月。</p> <p>Jones的離職似乎有點突然，<a href="https://www.bnnbloomberg.ca/slack-to-name-執行長-soon-after-second-executive-departure-in-less-than-a-year-1.1994741#" target="_blank">媒體引述Jones對內訊息報導</a>，她形容這項消息「超出預期」，因此她將留任到今年年底以確保交接順利，並說很快會宣布繼任人選。</p> <p><a href="https://techcrunch.com/2023/11/06/sources-confirm-that-salesforce-intends-to-announce-new-slack-ceo-next-week/" target="_blank">Techcrunch</a>則報導，消息人士透露下周就會公布。分析師相信，Slack可望會從內部現有主管或是已離職人士遴選下任主管，以確保引領Slack和Salesforce順利融合AI作為產品元素。</p> </div></div></div>
2023/11/7 12:01作者林妍溱https://www.ithome.com.tw/news/159669