iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 12篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 10:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

上市公司遭網路攻擊未披露，勒索軟體集團向SEC告狀
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體集團威脅受害者支付贖金的招數愈來愈多，從早期加密受害者系統上的資料、竊取受害者資料，一直到最近，勒索軟體集團AlphV竟然直接向美國證券交易委員會（SEC）告狀，指控於美國紐約股市公開發行股票的MeridianLink並未如實對外揭露其遭到網路攻擊的意外事件。但迄今不管是SEC或MeridianLink都拒絕回應此事。</p> <p>過去勒索軟體集團加密受害者系統資料時，以解密作為要脅，等到大多數企業都知道要備份系統時，勒索軟體集團開始竊取系統資料，並以外洩資料作為要脅，目的都是為了逼迫受害者支付贖金，<a href="https://www.ithome.com.tw/news/157967" target="_blank">而隨著SEC祭出新規定</a>，要求上市公司要在4天內披露重大資安事件，也成為駭客的要脅手段。</p> <p>MeridianLink專門提供各種解決方案予金融組織，包括端對端平臺、貸款發放系統、抵押貸款、開立存款帳戶、資料與報告等，客戶則涵蓋了銀行、信用合作社及抵押貸款機構。</p> <p>而根據<a href="https://www.databreaches.net/alphv-files-an-sec-complaint-against-meridianlink-for-not-disclosing-a-breach-to-the-sec/" target="_blank">《DataBreaches》</a>引用一名參與該攻擊的消息來源報導，AlphV是在11月7日入侵了MeridianLink，AlphV並未加密任何檔案，只是盜走了檔案，且當天MeridianLink便已知情，卻一直未修補被用來入侵的漏洞，一直到AlphV於15日公開將MeridianLink列為受害對象，MeridianLink才將其修補。</p> <p>在這期間，儘管MeridianLink曾嘗試與AlphV聯繫，但之後卻幾乎沒有互動，使得AlphV決定向SEC告狀，指控MeridianLink沒有遵守網路安全事件的揭露規定。AlphV並與《DataBreaches》分享了向SEC打小報告的畫面。</p> <p>SEC在今年7月通過了一項新規定，要求上市公司要在遭遇重大資安事件的4個工作天內，向外界揭露事發細節。不過，AlphV顯然沒有調查清楚，此一規定要到今年12月才生效，而且需屬於「重大」事件。</p> <p>至於MeridianLink則回應，該起網路安全意外發生在11月10日，當天他們立即採取行動抑制了威脅範圍，同時也聘請第三方資安專家協助調查，並無證據顯示旗下各生產平臺遭到未經授權的存取，而且此一事件只造成了極小的業務中斷。</p> <p>MeridianLink僅坦承遭到駭客入侵，並未證實是否收到SEC的通知，此外，當<a href="https://therecord.media/meridianlink-confirms-cyberattack-after-sec-threat" target="_blank">《Recorded Future News》</a>向SEC求證時，SEC亦拒絕回應是否收到駭客的投訴。</p> </div></div></div>
2023/11/17 12:46作者陳曉莉https://www.ithome.com.tw/news/159886
【貫徹數據至上原則的關鍵基礎建設】酷澎PB級數據平臺大解析
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2019到2022年，全球受到疫情籠罩，線上商務市場大幅拓張。這段期間，酷澎年營收從臺幣2千億元，急速成長到6千6百億元。極其龐大的業務規模擴張，使他們持續升級數據基礎建設。</p> <p>這個基礎建設自2019年的大數據平臺擴張。不過，他們不再叫它「大數據平臺」，而是「數據平臺」──這意味著，不管數據大小，只要可以用來輔助決策，都會透過這個平臺處理、輸出。</p> <p>截至2022年，這個PB級數據平臺一天執行超過5,000個任務，使用超過70個來源的數據。從工程師、商業分析師、高階主管、外部供應商和外部廣告主，超過50個團隊使用數據平臺。甚至，酷澎預期，此平臺未來處理數據量還會再增加數倍，就算目前平臺足以支援高時效性、高並行性的PB級數據處理，他們仍不斷升級數據處理流程，為未來平臺擴充做準備。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>靠通用擷取框架來支援高速、多元、大量數據處理</strong></span></span></p> <p>酷澎數據平臺的架構主體分為擷取和分析類大平臺。擷取平臺由網頁日誌紀錄、串流數據架構及通用數據擷取框架組成，從超過70種來源擷取數據。數據平臺會自動化調度（Orchestrate）這些數據的儲存和處理程序，期間套用資安及數據品質框架。接著，數據會匯入由大數據平臺、顧客體驗分析平臺及機器學習平臺構成的分析類平臺，依照不同使用需求進一步處理數據，再輸出到實際使用這些數據的系統中。</p> <p>由於數據來源眾多，傳統手動建置個別數據流程（Date pipeline）的作法會導致管理及維護困難。酷澎做法是，自行打造一個通用數據擷取（UDI，Universal Data Ingestion）框架，能全自動化擷取資料、適用於所有數據源，且數據使用者可以不仰賴數據工程師，自行調整數據擷取設定。</p> <p>UDI框架設計強調可以處理多元、高速、大量的數據。為了支援多元數據來源，酷澎將UDI框架設計為一個Hadoop的外掛框架，新增數據源時，只要重複套用同一框架便能完成，既不需要撰寫大量程式碼，更壓低了新增流程的成本。</p> <p>酷澎還設計了各式自動化流程，以實現高速處理大量數據。例如，擷取數據時，此框架會自動化檢查數據擷取過程符合資安協定、自動化過濾數據，只存取必要欄位。批次擷取數據時，會自動評估並設定每批數據量，控制在有效率但安全的範圍內。</p> <p>為了處理大量數據，酷澎將數據湖建立在AWS S3環境，以支援大量平行擴充。數據查詢及處理也使用各式支援大量數據處理的開源技術。例如，用Hive來設計數據消費層，使用Spark來進行ELT等數據處理，以及使用Presto作為臨時資料查詢引擎。</p> <p>未來，酷澎計畫調整數據擷取模式，要發展事件驅動型（Event-based）即時資料流處理流程，並從異動資料擷取（CDC）逐漸改為強型別Log-based擷取模式。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>打造Hadoop抽象層來提升資源運用效率</strong></span></span></p> <p>數據經過初步處理，流到分析平臺，進一步根據實際應用需求來處理。分析平臺是大數據分析、數據探勘、數據管理、查詢、各式實驗、機器學習、顧客體驗分析等諸多數據應用場景的基礎建設，</p> <p>隨著數據應用需求不斷多元化、規模化，酷澎以原本數據處理架構為基礎，打造新工作管理機制，藉由提升資源利用效率，來支援更多並行工作。這對分析平臺中處理最多數據的大數據平臺，尤其重要。</p> <p>酷澎對大數據平臺下的Hadoop便下了許多功夫來優化管理機制。他們使用Hadoop環境時，遇到了一些痛點，其一是部分數據使用者不熟悉數據處理指令撰寫，成為他們使用數據的阻力，也使資源運用效率較低。</p> <p>第二個問題較為複雜，涉及到成本、資源運用及Hadoop設計帶來的限制。</p> <p>酷澎在Amazon EMR環境執行Hadoop。隨著用量提升，雲端儲存和運算資源用成本控管成為一大課題。酷澎大多使用較便宜的Spot Instances（競價型執行個體），而非較貴的Reserved（預留型）或On-Demand Instances（按需計價執行個體）。代價是，顛峰時段，運算資源時常會AWS被收回，給其他更高優先級或開價更高的雲端用戶使用，導致工作中斷，進而影響整體資料品質。</p> <p>當酷澎能穩定存取的運算資源不足，便衍生出了大量資料回填（Backfill）需求。偏偏，Hadoop設計上對於數據刪除、更新及新增（Upsert）支援度不高，大量回填不僅造成額外運算成本，還可能進一步影響數據品質。甚至，來不及等到資料回填，他們就被迫用低品質的數據來進行決策。</p> <p>2019年，為了優化雲端資源運用效率，酷澎開始依照用途來分類叢集，分出了特定用途、常駐、短期等不同叢集類型，並嚴格控管每個叢集的生命周期長短，以避免浪費運算資源。同時，他們導入了基於人工預測的擴充機制，依據資源用量峰值分析，來提前排程叢集資源擴充，以避免雲端服務商原有的自動擴充功能來不及應對爆量需求。</p> <p>後來，酷澎還打造了Hadoop抽象層來進一步強化資源分配。Hadoop抽象層是一個Web-based介面，作為中心化監控及管理系統。負責管理的工程師可以用來監控及管理EMR叢集。終端使用者則能透過Airflow operator或Python SDK等管道來提交任務需求到抽象層，再由抽象層自動分配適當的技術、叢集及資源用量。</p> <p>這個抽象層為Hadoop上的工作流程帶來幾個益處。其一，簡化了大數據處理任務的提交流程；其二，簡化了數據叢集的實體細節；其三，透過自動分配機制，每個任務獲得適當的運算資源，酷澎暫時避免了靠增加額外Hadoop叢集來擴充資源。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>調整Redshift叢集分工來降低資源爭奪</strong></span></span></p> <p>大數據平臺中，酷澎使用Redshift作為銷售、財務、產品目錄及行銷等不同領域數據的資料倉儲。酷澎表示，Redshift管理需求低、上手容易，但隨著數據量以及查詢需求提升，Redshift開始出現了一些問題。</p> <p>第一是資源用量低擴充彈性問題。Redshift擴充彈性不如Hadoop，酷澎會隨著數據使用需求彈性擴充和縮減。不過，Redshift調整的彈性不足以應付他們數據使用需求變化。這導致工程師調整用量時，時常在使用者溝通及檢查系統健康狀況，費時甚至多於擴充相關的實際工程作業。</p> <p>第二個問題是並行任務管理問題。Redshift是大規模平行處理（MPP）架構，任務佇列管理會更加複雜，且同時進行的資料查詢或資料處理任務會互相排擠。頻寬和算力的排擠，會造成執行速度下滑；數據及元數據存取權的排擠，則會導致資料存取鎖定（Data lock）。也由於MPP原本設計上不會於叢集間分享數據，酷澎起初做法是在不同叢集叢集中儲存數據副本，雖然一定程度增加任務執行速度，但算力和儲存需求負荷便會更重。</p> <p>後來，酷澎調整Redshift叢集的架構，分為3個數據處理叢集以及5個使用者查詢叢集。前者又分為1個關鍵處理叢集以及2個一般處理叢集。一般處理叢集主要用來處理數據提取及載入（ELT中的E和L），以及少量轉換（ELT中的T）；關鍵處理叢集負責關鍵資料轉換，從原始資料轉為符合不同需求的資料市集。</p> <p>5個使用者查詢叢集則分配給不同業務領域的使用者，用來做領域專門的臨時分析、額外數據轉換，以及重複執行查詢指令來做數據追蹤。</p> <p>這種分工模式，使叢集間爭取資源的情況減少。他們還將這些叢集轉換為Redshift RA3叢集，支援跨叢集數據共享功能，不再需要手動複製數據。</p> <p>不只如此，他們導入了Redshift Spectrum工具，可以直接從S3環境中查詢結構和半結構化資料，而不需要載入數據到Redshift表格中。若使用者要查詢的數據不需要經由Redshift叢集處理，便能直接透過Spectrum來快速達成。</p> <p>未來，他們計畫將Redshift資料處理程序轉移到資源擴充更彈性的EMR環境，利用Spark來進行資料處理。不過，仍支援使用者用Redshift來處理儲存於S3的數據。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>建立數據探勘系統來支援全平臺元數據檢索</strong></span></span></p> <p>良好的元數據搜尋功能對於數據探勘、數據管理、各式數據工程及數據應用來說相當關鍵。酷澎早期已經開發了元數據搜尋引擎，不過隨著數據基礎架構演進，此系統不復堪用。</p> <p>舉例來說，Hive元數據儲存在Metastore資料庫中，但實際數據則儲存在HDFS中，使用者常會需要知道數據格式、儲存位置、數據沿襲、新鮮度、以及產生時間等資訊。這與傳統RDBMS只在意表格Schema的情況非常不同。</p> <p>近年酷澎更新了數據探勘系統，會自動用Meta query從各式生產系統的資料庫以及資料倉儲蒐集元數據，並統一儲存在中央元數據資料庫中，供使用者搜尋。此系統1小時內便能反映元數據變動。</p> <p>這個探勘系統雖然不複雜，卻是大數據平臺重要的一環，也是酷澎內使用率前幾高的數據管理功能，一天會有上百人來從上千個數據表中查詢元數據。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>打造顧客分析及ML專用平臺，統一管理工作流程及資源分配</strong></span></span></p> <p>顧客資料分析以及機器學習模型訓練是酷澎兩大類關鍵數據應用情境，經手數據量大、數據處理需求多、應用範圍也廣。過往，這兩類情境的數據流程是逐案建立，不過隨著需求量提升，他們便為這兩類情境打造了專用自助式平臺，以減少重工、統一工作流程、管理資源分配，並降低非工程人員使用門檻。</p> <p>為顧客資料分析建立的自助式平臺名為顧客經驗分析平臺（CXAP），會蒐集各式客戶端事件數據並提供分析功能。此平臺作用類似於CDP，不過是整合到整個數據平臺當中，而非一個獨立系統。</p> <p>使用者於CXAP前端介面可以進行數據分析和探勘。CXAP支援輸入SQL指令，也有圖形化使用者界面，不需要寫程式碼就可以做到使用者旅途分析、銷售漏斗分析、數據趨勢分析等操作。</p> <p>CXAP後端包含開源關連式資料庫ClickHouse，支援接近即時的數據擷取和處理，可以在數據產生數十秒內完成擷取，以加速數據從生成到實際應用。他們還整合了數據分析及探勘工具Superset，可以快速製作視覺化報表。</p> <p>酷澎也為機器學習模型開發設置了一個平臺。機器學習平臺則比CXAP更加複雜，統一了數據準備、互動式Notebook開發環境、運算資源存取、超參數調整、模型部署及應用等ML工作流程，並支援常見ML工程所需資源。</p> <p>此平臺將ML模型開發流程分為3階段：數據準備階段、訓練和追蹤階段、實際應用階段。數據準備階段，酷澎使用Airflow來管理並驅動Spark、Hive、Presto等數據處理工具，以導入機器學習所需訓練數據。他們更開發了一個SDK，讓工程師可以整合、同步、分享及管理不同來源的數據集。</p> <p>訓練和追蹤階段，此平臺提供預先封裝了各式常見ML/DL框架及數據科學函式庫的容器，只要啟動一個Jupyter容器即能進行後續開發。開發人員可以透過CLI或API來存取GPU運算資源，進行模型訓練，還可以透過視覺化儀錶板追蹤實驗進度。此平臺也支援多種超參數調整演算法，來快速實驗不同超參數設定。</p> <p>實際應用階段，此平臺內建模型部署工具，用K8S來管理和執行模型部署及連結到外部應用程式。開發人員也容易透過Jsonnet來設定自動擴充配置，以及產生符合REST格式和使用gRPS協定的模型對外API。</p> <p>數據經過數據平臺一系列處理後，會輸出到各式工具及系統，供內外部終端使用者使用。正是利用這些數據，酷澎許多核心競爭能力才變得可能。</p> <p>接下來，我們將介紹酷澎如何利用這些數據，來支援火箭速配背後的自製地圖系統、高科技物流中心背後的SCM應用開發工具，以及支援產品功能設計、產品外觀設計、SCM、行銷等不同領域利用數據驅動決策的實驗平臺。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E5%9C%961-%E6%95%B8%E6%93%9A%E5%B9%B3%E8%87%BA%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E9%85%B7%E6%BE%8E.png" style="width: 600px;" /></p> <p><strong><span style="color:#B22222;">酷澎2022年數據平臺架構</span><br /> <span style="color:#696969;">酷澎數據平臺架構中，數據擷取層從超過70種數據源擷取數據，經過儲存、處理、資安及調度等程序，將數據輸入到數據分析平臺。分析平臺會再依據各式數據應用需求進行進階處理，再輸出到串接於平臺的不同系統中。</span></strong><span style="font-size:14px;"><span style="color:#696969;">圖片來源／酷澎</span></span></p> <p class="rtecenter"><span style="font-size:14px;"><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E5%9C%962-%E6%95%B8%E6%93%9A%E5%B9%B3%E8%87%BA%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E9%85%B7%E6%BE%8E.png" style="width: 600px;" /></span></span></p> <p><strong><span style="color:#B22222;">大數據平臺的Hadoop抽象層</span><br /> <span style="color:#696969;">酷澎為大數據平臺的Hadoop打造了一層抽象層。一般使用者可以透過Airflow或SDK來提交數據任務，由抽象層會自動分配任務所需資源和執行環境。系統管理員則能透過此抽象層來中心化管理EMR叢集。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／酷澎</span></p> <p class="rtecenter"><span style="color: rgb(105, 105, 105); font-size: 14px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E5%9C%963-Redshift%E5%8F%A2%E9%9B%86%E8%A8%AD%E8%A8%88-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E9%85%B7%E6%BE%8E.png" style="width: 600px;" /></span></p> <p><strong><span style="color:#B22222;">大數據平臺的Redshift叢集設計架構</span><br /> <span style="color:#696969;">酷澎為大數據平臺的Redshift重新設計了叢集架構，數據會先由2個一般處理叢集進行提取和載入，再由關鍵處理叢集來轉換，輸入到5個依業務領域分類的使用者查詢叢集，進行進一步轉換、測試和分析。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／酷澎</span></p> <p class="rtecenter"><span style="color: rgb(105, 105, 105); font-size: 14px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E5%9C%964-%E5%85%83%E6%95%B8%E6%93%9A%E6%90%9C%E5%B0%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E9%85%B7%E6%BE%8E.png" style="width: 600px;" /></span></p> <p><strong><span style="color:#B22222;">大數據平臺的數據探勘系統</span><br /> <span style="color:#696969;">數據探勘系統會從各式生產資料庫及資料倉儲蒐集元數據，供每天上百個使用者搜尋上千個數據表的各式元數據，包括數據格式、儲存位置、沿襲歷程、新鮮度、以及產生時間等。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／酷澎</span></p> <p class="rtecenter"><span style="color: rgb(105, 105, 105); font-size: 14px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E5%9C%965-CX%E5%88%86%E6%9E%90%E7%A4%BA%E7%AF%84-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E9%85%B7%E6%BE%8E.png" style="width: 600px;" /></span></p> <p><strong><span style="color:#B22222;">分析類平臺的顧客體驗分析平臺</span><br /> <span style="color:#696969;">酷澎分析平臺下的顧客體驗分析平臺可以用SQL指令來搜尋各式客戶端事件數據，也能透過No-code工具來生產各式視覺化資料分析報表。圖為分析顧客旅途用的桑基圖。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／酷澎</span></p> <p class="rtecenter"><span style="color: rgb(105, 105, 105); font-size: 14px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E5%9C%966-ML%E5%B9%B3%E8%87%BA%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E9%85%B7%E6%BE%8E.png" style="width: 600px;" /></span></p> <p><strong><span style="color:#B22222;">分析類平臺的機器學習平臺</span><br /> <span style="color:#696969;">酷澎分析平臺下的機器學習平臺制定了一個標準化工作流程，涵蓋資料準備、訓練、GPU資源調度、模型調整、模型儲存、模型部署、外部系統串接。平臺上提供許多常見ML工程所需資源，並有統一GPU資源分配機制。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／酷澎</span></p> </div></div></div>
2023/11/17 11:13作者郭又華https://www.ithome.com.tw/news/159882
微軟新Windows App讓iOS、macOS裝置也能使用Windows、遠端桌面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟昨日<a href="https://apps.microsoft.com/detail/9N1F85V9T8BN" target="_blank">在Microsoft軟體市集公布iOS、iPadOS及macOS版Windows App預覽版</a>，未來正式版將讓用戶在iOS裝置及Mac電腦上，也能透過串流使用Windows服務。</p> <p>Windows App是微軟為推廣雲端化Windows及相關服務而設計。<a href="https://learn.microsoft.com/en-us/windows-app/get-started-connect-devices-desktops-apps" target="_blank">微軟指出</a>，Windows App讓用戶可在任何裝置上連結Windows 10或Windows 11裝置和應用程式。利用Windows App，用戶可以連到Azure Virtual Desktop、Windows 365、給開發人員用的雲端開發箱Microsoft Dev Box、遠端桌機服務（Remote Desktop Services）及遠端PC等。</p> <p>Windows App提供可客製化首頁，允許用戶在單一介面中存取Windows多種不同服務，或是遠端PC。即使用戶使用多個帳號，也能利用Windows App在不同服務間輕鬆切換。</p> <p>Windows App提供多種功能，包括多螢幕支援、自訂顯示器解析度、動態顯示器解析度及縮放、裝置重導向，像是攝影機、音訊裝置、儲存設備和印表機等。它也會提供Teams優化功能。</p> <p>Windows App可在多種平台或裝置上使用，包括桌機、筆電、平板、智慧型手機及瀏覽器。在桌機及筆電上使用瀏覽器時，用戶甚至無需下載或安裝這個App。</p> <p>目前以Windows版、macOS、iOS、iPadOS及Web版Windows PC App可順暢存取Azure虛擬桌面、Windows 365、Dev Box。但Windows及Web版無法使用RDS及遠端PC。至於macOS及iOS/iPadOS版本，是可以連到RDS及遠端PC，但在測試版階段，微軟目前還不支援連線。</p> <p class="rtecenter"><a href="http://learn.microsoft.com/en-us/windows-app/get-started-connect-devices-desktops-apps" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1117-windows%20app%20ios-600-1.png" style="width: 600px;" /></a></p> <p>蘋果裝置用戶若想使用Windows App，macOS需在12.0版以上，iOS/iPadOS則需在16.0版以上。至於瀏覽器，Windows App支援Edge 79版、Google Chrome 57、Apple Safari 11、Mozilla Firefox 55版及以後版本。</p> </div></div></div>
2023/11/17 11:37作者林妍溱https://www.ithome.com.tw/news/159883
善用誘因找出真正有熱情的員工
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-you_yin_she_ji_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>假設你是一家中型公司的專案經理，手下有數十名員工。你通常會明確指派工作給各個員工，期待他們交出漂亮的成績，結果只得到平平的表現。有鑑於員工的資歷和過去的成就，你不會懷疑他們的能力。他們表現不佳的原因可能是什麼？有許多合理的解釋，例如工作時限太短、健康問題和缺乏動機。雖然直接向員工求證可以排除一些外部原因，但是講到動機，你幾乎不可能挖到真相。</p> <p>從員工踏進公司的那一刻起，就是這樣。有一種談判情況可以接受撒謊：你在面試一份新工作時，無論真實感受如何，對於未來有可能成為你工作所在的公司，都應該表現興奮之情。在大部分談判中，不管你再怎麼想要達成協議，正確的策略都是保持冷靜，努力讓對方相信這場談判對你沒那麼重要。如果你走進一間二手車經銷商說：「哇！這款車我已經找了一年多。這部車獨一無二，實在棒呆了──我要買下它！多少錢？」這樣你可能會被當冤大頭。可是，求職面試正好相反。公司比較看重滿懷熱情的求職者。面試的最佳策略是盡可能表現出對這份工作的興奮，即使誇張一點也沒關係。</p> <p>既然每個人都有表現出熱情的誘因，那麼雇主要如何辨別誰在假裝？問員工有多喜歡在你的公司工作是問不出什麼的，因為他們都會說：「我很喜歡！」雖然有些員工說的是實話，可是我們沒有辦法分辨真正有和沒有動力的人。</p> <p>如何確認員工績效不彰的問題出在動機？要運用誘因診斷問題，行為經濟學的策略之一是創造與說實話「誘因相容」的情境。我們不去問那些對方回答時可能會刻意迎合你的問題，而是用誘因鼓勵他們展露真實偏好。</p> <p><span style="font-size:28px;"><strong>辭職獎金策略讓員工言行合一</strong></span></p> <p>你身為雇主，要如何創造一個讓員工顯現工作意願的環境？有些公司採用一種耐人尋味的策略：「辭職獎金」。Zappos首開先例，給主動辭職的員工2,000美元的辭職獎金，亞馬遜隨後效法，獎金是5,000美元。銳玩遊戲（Riot Games）甚至大手筆加碼，辭職獎金高達2.5萬美元，而且沒有任何附帶條件。</p> <p>亞馬遜前執行長貝佐斯在致股東年度信中，如此解釋「離職獎金」策略：</p> <p>辭職獎金的概念非常簡單。我們一年發一次員工辭職獎金。第一年是2,000美元。然後逐年增加1,000美元，最高是5,000美元。這項獎金的標題是「請不要拿獎金」。我們希望他們不要申請這項獎金；我們希望他們留下來。那麼，我們為什麼設立這項獎金？它的目的是鼓勵員工花時間思考自己真正想要什麼。從長遠來看，員工留在他們不想待的地方，對員工或對公司來說都不健康。</p> <p>「辭職獎金」策略迫使員工「言行合一」，是一種檢驗員工工作熱情的巧妙方法。公司不必詢問員工的真實感受，只需要給他們選擇並觀察他們即可。在大部分公司，怨憤的員工沒有動機表達自己的真實感受，而額外的金錢誘因讓員工隱藏真實感受的代價變高。辭職獎金讓偽裝變得昂貴，尤其是員工真的有所不滿的情況下，這筆獎金或許足以讓一些員工選擇另尋前路。這項誘因不只可以做為診斷工具，揭露員工是否有動機問題，也可以做為解決方案：沒有動機的員工可以愉快地離開，這對員工和公司來說都是雙贏。沒有動力的員工可以拿到一筆可觀的獎金走人；公司也能受惠，因為拒絕誘惑而留下來的員工是會比較努力實現長期目標的一群人。</p> <p>辭職獎金創始者Zappos在2003年到2008年間，預估年營業額從7,000萬美元成長到超過10億美元，隨後在2009年就被亞馬遜收購。《哈佛商業評論》的比爾．泰勒（Bill Taylor）認為，Zappos的成功有一部分要歸功於出色的顧客服務。這家公司「充滿個性」，而如何篩選出客服中心那些敬業、懂應對的員工，讓顧客滿意，辭職獎金是關鍵因素。</p> <p>辭職獎金是激進的策略，不過可以讓經理人尋找訊號，顯示員工留在公司不是因為別無選擇，而是因為喜歡這家公司勝於其他一些非常有吸引力的選擇。</p> <p>我曾經和一家對實行辭職獎金措施有興趣的大型顧問公司合作。在這家公司，員工的聖杯就是成為合夥人。在公司從基層做起的員工大部分最後都無法實現這個目標。不過，他們得益於在公司累積的經驗和知識，轉到其他公司工作。這個過程對公司和員工都好，雙方通常能好聚好散，而且對這段經歷懷著感謝。</p> <p>這家顧問公司特別擔憂一點：它正在推動營運方式的重大科技變革，因此員工必須投入時間學習新科技，徹底改變工作方式。雖然有些人對這個機會滿懷期待，但是也有些人不想脫離現狀。因此，公司現在面臨一種逆選擇：它無法知道哪些員工想要改變，哪些員工不想。單是詢問只會讓每個人都說自己對變革感到振奮。</p> <p>假設公司在五年期滿時對員工做評估。一如前文討論到的，直接問員工在公司是否滿意，答案可能是「當然！」即使員工意興闌珊，打算不久後離開，也不會吐實。如果公司提供豐厚的辭職獎金，可以更了解員工現階段的真實偏好。</p> <p>如果員工真的想離開，公司或許最好在這個階段就了解到這一點，並用豐厚的獎金送他離開，這樣還能讓公司在外面多一名親善大使，因為對方對自己在公司工作的這段時期會說好話。在結果#1（沒有幹勁的員工接受獎金），辭職獎金有助於公司節省因低素質員工而產生的成本，而這類成本在長期非常可觀。</p> <p>在結果#2，選擇放棄獎金的人表現留下來的決心，努力爭取成為合夥人。經過這個篩選過程，選擇留任的員工是更有幹勁、工作能力更強的員工。網路勞動市場研究顯示，在有辭職獎金措施下而留任的工作者，平均工作準確度比沒有任何誘因的對照組高出8.3%。</p> <p>此外，這種情況的心理學指出，沉沒的機會成本會影響後續的行為。員工藉由放棄獎金表明自己的認真、有幹勁，因而會覺得有必要向自己證明，放棄獎金、努力為長期目標努力而留下來是值得的。</p> <p>阿姆斯特丹大學體育館的一項現場實驗印證這個見解。健身房對部分新會員提供一項退會方案，除了可以全額退款，還可以額外拿到原始入會費10%的現金獎勵。從統計數字來看，與對照組會員相比，適用但拒絕使用這個方案的會員每週上健身房的可能次數增加0.29次，續會率增加4%，而且健身成效提高0.76分（滿分為10分）。<span style="color:#696969;"><strong>（本文摘錄整理自《誘因設計》，天下文化提供）</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600_%E8%AA%98%E5%9B%A0%E8%A8%AD%E8%A8%88_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%A4%A9%E4%B8%8B%E6%96%87%E5%8C%96(2).png" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 誘因設計：精準傳遞訊號，讓人照著你的想法行動（Mixed Signals: How Incentives Really Work）</strong><br /> 尤里．葛尼奇（Uri Gneezy）／著；周宜芳／譯<br /> 天下文化出版<br /> 定價：480元</p> <p><a href="https://www.amazon.com/stores/author/B00E99ISIO/about?ingress=0&visitId=67f191b2-eb38-4ae3-8fea-02c13c3e83d0&store_ref=ap_rdr&ref_=ap_rdr" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/125_%E8%AA%98%E5%9B%A0%E8%A8%AD%E8%A8%88_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%A4%A9%E4%B8%8B%E6%96%87%E5%8C%96.jpg" style="width: 125px;" /></a></p> <p><a href="https://www.amazon.com/stores/author/B00E99ISIO/about?ingress=0&visitId=67f191b2-eb38-4ae3-8fea-02c13c3e83d0&store_ref=ap_rdr&ref_=ap_rdr" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Amazon</span></span></a><br /> <strong>尤里．葛尼奇（Uri Gneezy）</strong><br /> 加州大學聖地牙哥校區瑞帝管理學院經濟學教授，艾普斯坦／阿特金森行為經濟學名譽講座教授。過去25年來，他的研究重心是透過有效誘因的設計，把行為經濟學付諸真實世界的實踐。他曾與無數企業合作，其中包括迪士尼、汽車評鑑及鑑價網「艾德蒙茲」（Edmunds）和惠普等，幫助他們以打破傳統的方法達成傳統的績效目標。<br /> 葛尼奇的誘因研究工作，得到國家與國際組織的財務資助，例如國家科學基金會、美國衛生研究院、以薩克・拉賓以色列研究中心、以色列科學部與青年科學家計畫等。著有《一切都是誘因的問題》。</p> </div></div></div>
2023/11/17 12:00未署名https://www.ithome.com.tw/article/159769
微軟公布首個自製晶片Maia 100、Cobalt 100 CPU
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/156484" target="_blank">在業界傳聞許久後</a>，昨日在Ignite大會上，<a href="https://news.microsoft.com/source/features/ai/in-house-chips-silicon-to-service-to-meet-ai-demand/" target="_blank">微軟終於公布自製晶片</a>。</p> <p>微軟一口氣公布二個自行設計的晶片，一為Microsoft Azure Maia 100 AI加速器，專為執行AI及生成式AI而設計，二為Microsoft Azure Cobalt CPU，為執行Azure雲端上通用型運算作業的Arm架構處理器。</p> <p>微軟強調，這些晶片是微軟從晶片、軟體與伺服器到機架、冷卻系統100%全自製願景的最後一項元素。這些晶片預計明年初將出貨到微軟資料中心，將先用於執行Copilot（Bing Chat）AI及Azure OpenAI Service。</p> <p>Maia 100為Maia加速器系列中的第一款，是5奈米製程。微軟指出，Maia 100晶片上有1050億顆電晶體，將用來執行Azure上最大的內部AI負載，目前也已用於執行OpenAI大型模型。Cobalt 100是64-bit處理器，一顆裸晶上有128核心。微軟表示，比Azure使用的其他ARM架構晶片耗電量少40%。Cobalt 100也是Cobalt系列的第一款，目前已用於執行Teams及Azure SQL服務。</p> <p>微軟表示，自製晶片可確保所有元素都是為了微軟雲端和AI作業需求，這些晶片將安裝於客製化伺服器主機板上，置入專為微軟資料中心特製的機架，而這硬體將整合微軟和合作夥伴共同開發的軟體。最終目標是一臺Azure硬體系統，具備高度彈性，又能滿足省電、效能及成本的目標。</p> <p><a href="https://aka.ms/AzureBoostGABlog" target="_blank">微軟昨日並宣布Azure Boost正式推出</a>。這系統可將儲存和網路功能由主機伺服器卸載到專用硬體上，以提升速度。此外，為了配合客製化晶片，微軟也宣布多家合作夥伴，以為Azure客戶提供更多基礎架構選擇。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1117-Azure%20Boost%20Card-600(1).png" style="width: 559px;" /></p> <p>微軟並預覽為Nvidia H100 Tensor Core GPU打造的<a href="https://techcommunity.microsoft.com/t5/azure-high-performance-computing/introducing-azure-nc-h100-v5-vms-for-mid-range-ai-and-hpc/ba-p/3976798" target="_blank">NC H100 v5 VM系列</a>，適合中型AI訓練和生成式AI推論作業。微軟也將<a href="https://www.nvidia.com/en-us/data-center/h200/" target="_blank">Nvidia H200 Tensor Core GPU</a>列入明年陣容，以支援大型模型推論且不會增加延遲性。</p> <p>微軟指出，還是會持續和Nvidia及AMD合作Azure用的晶片。微軟計畫明年再增加Nvidia最新Hopper GPU晶片，以及AMD GPU MI300。</p> <p>微軟也是雲端巨擘中，最後一個加入自製晶片的。Google 2016年就推出了Tensor處理單元（TPU），Amazon更設計了Graviton、Trainium及Inferentia等晶片。</p> </div></div></div>
2023/11/17 12:04作者林妍溱https://www.ithome.com.tw/news/159884
從UX設計到訂單履行，年收6千億電商如何用數據主導營運
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>年收6千億元的韓國電商酷澎，11月在臺灣啟用了第二座物流中心，再過半年又會很快的再啟用第三座。這家進軍臺灣來勢洶洶的海外電商，近年以驚人成長勢態躍居韓國第一大電子商務公司。他們與全球電商龍頭亞馬遜有許多相似之處，更為他們博得了韓國亞馬遜的美名。</p> <p>這些相似處不只是市場地位、同時販售自有品牌和第三方賣家商品的模式，也提供付費會員制度等，最具代表性的相似處是，酷澎也靠著高超物流管理能力，來快速履行訂單。酷澎全韓國99%訂單於一天內送達，甚至在都會區，半夜下的訂單，清晨上班時間前便會送達，這正是酷澎最知名的競爭力。</p> <p>要做到超高速物流，背後技術關鍵就是數據分析和應用能力。酷澎企業文化十分重視數據驅動決策，數據科學家和數據工程師遍布於企業內不同部門，舉凡設計、行銷、產品、採購、業務、物流部門，都有能力和意願利用進階數據分析技術來支持決策。</p> <p>酷澎對數據執著到什麼程度？打開酷澎App，圖示形狀和大小、每一步介面操作流程、每一個推薦商品和購物功能、每一則廣告，全部都需要進行A/B測試，驗證哪一項設計更利於消費者轉換，才能上線，他們稱自己是無情的優化主義者（Ruthless Prioritization），不靠經驗或喜好，凡事講究數據決策來決定優先順序。</p> <p>顧客一送出訂單，物流中心的揀貨AGV就開始根據訂單，計算出行動路徑，穿梭於貨架間，就算訂單上有上百項商品，都能在2分鐘能蒐齊，交給包貨人員。貨架上的每一個商品，都利用機器學習模型的訂單預測結果來決定擺放位置，才能實現超高效率的撿貨能力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-1P-%E5%8F%88%E8%8F%AF-%E4%B8%BB%E6%96%87-600-2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_酷澎</span></span></p> <p>不只物流士送貨路經最佳化，物流管理者送貨區域的範圍和形狀，也能天天依據訂單彈性調整劃分，甚至可以細分到幾棟建築物一區。分貨機器人從流水線上掃瞄出包裹送貨地點後，會自動將包裹分配給當天每一區的物流士。物流士上路後，送貨和回收環保包材的行車路徑也依據地理和最新交通分析結果，規畫最佳送貨路徑。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>2010～2016年：從關聯式資料庫到大數據技術</strong></span></span></p> <p>從行動商務起家的酷澎，自2010年新創階段以來就相當重視數據對於強化營運決策的價值，隨著規模擴大，也多次翻新數據基礎架構。</p> <p>2010年到2013年間，酷澎用MySQL和Oracle等關聯式資料庫來進行數據儲存、處理和取用。他們內部數據架構相當簡單，分析師、工程師和DBA都能直接存取這些資料庫。</p> <p>早在這個時期，他們便成立了數據科學與平臺團隊，大規模進行數據分析，來支援商業決策。數據使用需求大幅提升，更推進酷澎數據基礎建設演化至下一個階段。</p> <p>2014年到2016年間，隨著數據使用需求提升，傳統關聯式資料庫開始不夠用，酷澎便開始投資Hadoop、大規模平行處理（MPP）資料庫、Hive等技術，以進行巨量數據處理。此時酷澎數據架構由數據源、數據蒐集、數據處理、和終端使用者組成，已經有未來數據平臺的雛形。</p> <p>也在這段期間，酷澎設立了專職的日誌蒐集（Log collection）團隊。隨著酷澎大數據平臺處理的數據來源數量逐漸增加，這個團隊陸續打造了許多關鍵的數據擷取機制。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>2016～2017年：基礎架構搬遷上雲，重構多處數據基礎建設</strong></span></span></p> <p>2016年，隨著業務規模提升，酷澎數據基礎建設無法隨著暴增的數據使用需求擴充。許多數據處理作業只能趁著上班時間前後的晨間或晚上進行，否則容易產生延遲或錯誤。</p> <p>於是，酷澎花了1年時間，將大數據平臺從地端環境遷移上雲，重構和新增不少數據基礎建設。這包括使用多種容器化大數據工具來增加數據處理能力及可擴充性、打造行動App跟網站上互動資料的蒐集和追蹤框架，以及重新設計企業數據倉儲架構。</p> <p>此時期酷澎數據倉儲設計成星狀架構的大規模平行處理系統，分為三大類數據倉儲叢集：數據擷取平臺、報告叢集，以及實驗沙盒叢集。</p> <p>數據擷取平臺主要儲存原始數據；報告叢集會儲存清洗過後的數據；沙盒則是根據企業內部需求製作客製化數據表或數據集，來進行分析的環境。酷澎不同團隊會根據需求存取不同叢集，或要求工程團隊打造專屬沙盒的叢集來進行分析。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>2017～2019年：發展Big Data as a Service模式</strong></span></span></p> <p>前一個階段的數據基礎架構下，酷澎遇到了2大挑戰。其一，每個團隊都想要有自己的Hadoop叢集，導致建置和管理成本過高。其二，數據擷取機制是用多個商用軟體疊床架屋出來的成果，隨著數據工作流程更多更雜，數據品質開始降低，進而影響後續決策品質。</p> <p>為了因應這些挑戰，酷澎開始以Big Data as a Service的概念來改造數據基礎建設，做法包括標準化關鍵環節，以減少重工、維持數據處理品質、優化管理策略，以提升資源使用效率，支援更大量數據使用需求，以及新增各式自動化工具，在不需大量人工干涉的情況下維護數據品質。</p> <p>第一個重要做法是重構數據擷取機制。他們捨棄過往疊床架屋的擷取機制，打造網路日誌蒐集（Web logging）平臺，用標準化方法來擷取數據。為了解決缺漏等數據品質問題，此平臺還設計了一個元數據服務，會驗證日誌數據格式正確且沒有遺漏，還提供網頁介面供內部查詢每一筆日誌的數據品質。元數據服務的檢查程序不會干擾日誌數據的擷取、儲存和轉換程序，但會在發現異常時通報相關使用者。</p> <p>日誌蒐集平臺不僅使酷澎用來輔助決策的數據品質提升，後來，酷澎更持續發展此平臺，成為今日酷澎數據基礎建設兩大平臺之一，也就是數據擷取平臺。</p> <p>第二個他們著手改善的環節是Hadoop叢集建立及管理。由於許多團隊都要求工程團隊建立專屬叢集，他們預先準備了不同用途的虛擬機器映像檔，減少叢集建立時間超過60%。管理政策上，他們一方面更加嚴格控管每個叢集的生命周期長度，以避免運算資源浪費，另一方面開始根據資源用量峰值分析結果來提前擴充雲端資源用量，來確保叢集執行穩定度。</p> <p>這些做法使酷澎當下能用Hadoop支援更多數據使用需求。不過，隨著Hadoop使用需求再次暴增，他們後續又進行了更多優化，具體做法會以另一篇專文來介紹現代數據平臺。</p> <p>第三個更新是企業數據倉儲主數據（Master data）的儲存模式。酷澎捨棄過往MPP資料庫，改用ORC文件格式儲存主數據，一方面增加儲存效率、降低規模化成本，另一方面使他們可以用Hive和Presto等可以高速處理大量數據的技術來存取企業數據倉儲。</p> <p>他們還打造了一個企業數據倉儲管理系統，支援自動數據擷取、自動化產生Airflow DAG、數據監控、數據回填（Backfill）、下游數據依賴性管理、以及早期SLA出問題時的通報機制。</p> <p>這些更新，使企業數據倉儲能支援更多數據處理技術，也有更多新增自動化數據處理與管理機制的選項，進而因應酷澎更多元、更大量的數據使用需求。</p> <p>除了這些重大更新外，他們還新增了許多做法來完善大數據基礎建設，包括多種數據品質檢測框架、數據流程異常自動化通報機制、大數據平臺SLA監測機制、數據探勘工具等。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>以進軍多國市場為前提的數據基礎建設設計</strong></span></span></p> <p>時至今日，酷澎數據基礎建設仍持續演化，這個PB級數據平臺一天執行超過5,000個任務，使用超過70個來源的數據，且從中衍生出了送貨管理系統、多種自動化供應鏈管理及訂單履行機制，以及支援同時進行上千個獨立A/B測試的實驗平臺等，使他們能持續用數據優化營運環節。這些系統都會於後續文章詳細介紹。</p> <p>成熟的數據基礎建設及凡事數據驅動的文化，使酷澎快物流等許多業務面關鍵競爭力變得可能，也成為他們發展外送平臺等多角化經營業務的技術支柱，更有可能成為他們進軍多國市場的利器。</p> <p>數據基礎建設中，有許多系統是以適用多國市場為前提來設計。例如，他們地圖系統從定位能力和數據管理政策上，就已經設計成容易支援全球物流規畫，而非只適用於韓國。用來執行一天破千個A/B測試的實驗平臺，也有許多為了支援全球市場A/B測試而設，包括分散式運算優化策略及可擴充式設計等。</p> <p>固然，光靠這些做法，酷澎未必能百分之百將韓國的成功做法移植到海外，不過從技術面瞄準全球化架構的龐大設計，可以看出酷澎想要善用高超數據應用能力，來強化國際競爭力的企圖心。</p> <p><span style="font-size:22px;"><span style="color:#B22222;"><strong>酷澎數據基礎建設架構沿革</strong></span></span><br /> <span style="color: rgb(105, 105, 105);"><strong>酷澎數據基礎架構從簡單的關聯式資料庫開始，逐步導入大數據相關技術，後經歷了上雲和多個系統重構。接著，他們開始打造許多標準化數據工作流程、管理策略和檢測框架，以期在支援大量數據使用需求同時，仍能維持品質數據、控管成本，並保有進一步擴充的彈性。</strong><span style="font-size: 14px;">圖片來源／酷澎</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-1P-%E5%8F%88%E8%8F%AF-%E4%B8%BB%E6%96%87-600.png" style="width: 455px;" /></p> </div></div></div>
2023/11/17 10:39作者郭又華https://www.ithome.com.tw/news/159881
微軟推出Windows AI Studio簡化Windows本地端AI應用開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在Windows上推出一款稱為<a href="https://blogs.windows.com/windowsdeveloper/2023/11/15/elevating-the-developer-experience-on-windows-with-new-ai-tools-and-productivity-tools/">Windows AI Studio</a>的人工智慧開發工具，供企業和開發人員可以便捷地在Windows上，開始本地端的人工智慧開發和部署。由於Windows AI Studio結合了來自Azure AI Studio的工具和模型，方便開發者在Windows選擇並運用小語言模型，進而高效地開發和最佳化人工智慧應用程式。</p> <p>微軟表示，現在有許多人工智慧開發工具、框架和開源模型，但是開發者很難選出適合的工具集測試、微調和最佳化模型，況且要針對不同業務需求，選擇適合的模型本身也是困難的工作。Windows AI Studio彙集了來自Azure AI Studio、Hugging Face等平臺工具和模型，可以簡化生成式人工智慧應用程式開發，使開發人員能夠簡單地微調、自訂和部署小語言模型，供Windows應用程式在本地端使用。</p> <p>Windows AI Studio提供了一個全面的端到端指引工作環境，包括模型配置使用者介面和開發指南，可在開發者完成小語言模型微調後，利用整合的Prompt Flow和Gradio模板快速測試模型。微軟推出Windows AI Studio的用意，在於促進混合循環開發模型，賦予開發者根據不同情境，在Azure雲端和本地的Windows裝置間自由選擇並執行模型的能力，實現高效且靈活的人工智慧開發流程。</p> <p>微軟還強調Windows AI Studio未來將提供專門針對Windows GPU和NPU最佳化的新模型，諸如 Llama 2-7B、Mistral-7B、Falcon-7B和Stable Diffusion XL。被微軟視為Windows AI入口的高效能推論引擎ONNX Runtime，以及Windows本地端機器學習的API DirectML，在本地端人工智慧開發扮演重要角色，兩者結合以提供開發者簡單且高效的人工智慧開發體驗。</p> <p>除此之外，開發者也可以使用Olive（ONNX Live）模型最佳化工具，來進一步提高於Windows執行模型的效能。Olive原本是針對在雲端和邊緣裝置上運作模型所設計，其整合了模型壓縮、最佳化和編譯技術，能夠根據模型和目標硬體，採用最適合的技術最佳化模型。因此Olive與ONNX Runtime成為一個端到端推論最佳化解決方案，而且Olive也與DirectML緊密整合，藉以在整個Windows生態系實現模型硬體加速。</p> <p>在數周內，開發者就可以在VS Code的擴充套件開始使用Windows AI Studio，在熟悉的介面中進行本地端人工智慧應用開發。</p> </div></div></div>
2023/11/17 09:26作者李建興https://www.ithome.com.tw/news/159879
採用XDNA架構AIE-ML引擎，AMD推加速卡搶攻AI推論應用
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/amd_alveo_v70_switch_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年AI加速解決方案受到市場空前的重視，AMD在1月初CES大展期間，預告將推出兩款橫跨邊緣運算至雲端服務的產品，一是許多人熱烈期待的CPU與GPU整合晶片Instinct MI300，後續在該公司6月舉行的Data Center and AI Technology Premiere發表會，以及11月中召開的SC23超級電腦大會，都釋出消息；另一則是AI加速卡Alveo V70，號稱能針對多重AI推論工作負載的處理，提供領先業界的運算效能與能源使用效率。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-01-CES%20AMD%20Alveo%20v70.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-AMD AI Accelerator position.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-AMD%20AI%20Accelerator%20position.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Vitis%20hw%20and%20sw%20stack.jpg" style="width: 298px;" /></p> <p>根據AMD當時所釋出的產品簡介來看，V70是Alveo系列當中，第一款採用XDNA架構、搭配該公司AI引擎的正式產品，可提供整合的異質運算平臺，鎖定雲端與邊緣的AI應用需求，可支援卷積神經網路（CNN）、循環神經網路（RNN）、自然語言處理（NLP）等類型的加速運算。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-AMD AI-XDNA.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-AMD%20AI-XDNA.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-AMD AI-AIE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-AMD%20AI-AIE.jpg" style="width: 600px;" /></a></p> <p>同時，AMD也強調V70是以提供極致的能源使用效益用於AI推論處理，作為主要的設計目標，能針對影片分析與自然語言處理類型的工作負載進行調校，並支援產業標準的機器學習軟體框架，能直接編譯以TensorFlow、PyTorch訓練而成的模型。</p> <p>這張加速卡配備採用7奈米製程的Versal ACAP晶片，當中整合他們設計的AI Engine核心，也搭配隨需調整引擎（Adaptable Engines），以及純量處理引擎（Scalar Engines），以及16 GB容量的DDR4記憶體。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD AI Engine.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20AI%20Engine.png" style="width: 600px;" /></a></p> <p>而在產品外形上，V70是一張半長半高的PCIe介面卡，熱設計功耗僅75瓦，看齊Nvidia賣得最好的AI推論加速卡T4，並且支援被動散熱（有散熱片包覆、未內建風扇，透過伺服器機箱的風扇降溫）。</p> <p>在運算效能方面，相較於Nvidia T4，V70在AI推論應用方面，領先幅度相當明顯，以智慧零售而言，可達80％，在醫療病患監督、智慧城市方面，也分別領先72％與70％。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-02-CES%20AMD%20Alveo%20v70.jpg" style="width: 600px;" /></p> <p>由於本身具有較低功耗與短小外形，AMD認為，V70有助於減少每個AI運算單位的成本，並對影片分析的應用提供高密度運算配置。</p> <p>值得注意的是，AMD在V70的架構規格資訊上，標示為「AMD XDNA – Versal AI Core」，而在AI引擎規格資訊上，標示為「2nd-gen AIE-ML tiles」。目前該公司隨需調整系統單晶片（Adaptive SOC）產品線Versal，提供AI Core、AI Edge、Prime、Premium、HBM這5大系列，Alveo V70所用的架構就是Versal AI Core系列。</p> <p>而在AI Engine技術方面，AMD提供兩種，一是用於機器學習推論或進階數位訊號處理（DSP）的AI引擎晶磚（AI Engine Tile，AIE），另一是專用於機器學習、效能最佳化的AI引擎晶磚（AI Engine-ML Tile，AIE-ML），均可用於Versal AI Core系列與Versal AI Edge系列，Alveo V70所搭配的AI引擎是AIE-ML。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD AI Engine Type.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20AI%20Engine%20Type.png" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD AI Engine Array.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20AI%20Engine%20Array.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AMD AI Engine Array.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20AIE-ML%20Array.png" style="width: 298px;" /></a></p> <p>就整體配置而言，Alveo V70的賣相其實不差，與市面上其他有意接替與取代Nvidia T4的AI加速卡而言，例如我們過去報導的<a href="http://E:\Dropbox\__New Product\AMD Alveo V70\AMD Alveo U50">AMD Alveo U50</a>、<a href="https://www.ithome.com.tw/review/152767">英特爾Data Center GPU Flex 140</a>、<a href="https://www.ithome.com.tw/review/156053">Nvidia L4</a>、<a href="https://www.ithome.com.tw/review/156294">AMD Alveo MA35D</a>相比，也相當具有競爭力，可惜的是，搭配這張AI推論加速卡的伺服器廠牌不多，截至目前為止，僅有技嘉科技獨撐——他們在5月底台北國際電腦展與11月SC超級電腦大會期間，特別主打2U機箱搭載16張AMD Alveo V70的伺服器，機型是G293-Z43。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-06-Gigabye G293-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-Gigabye%20G293-1.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-SC-Gigabyte%20G293-Z43-1.jpg" style="width: 298px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-Gigabye%20G293-2.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/2023-06-Gigabyte G293-Cages.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-Gigabyte%20G293-Cages.jpg" style="width: 298px;" /></a></p> <p>儘管有這樣的伺服器搭配，經過將近一年的推廣，在MLCommons的MLPerf Inference: Datacenter、MLPerf I Inference: Edge這兩項公開揭露的伺服器AI效能測試數據，至今遲遲不見AMD與技嘉科技提交搭載AMD Alveo V70伺服器的測試結果，希望未來他們能積極參與，提供相關資訊，方便整個產業了解這樣的解決方案能耐。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-06-AMD AI Products position.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-AMD%20AI%20Products%20position.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>AMD Alveo V70</strong><br /> ●原廠：AMD<br /> ●建議售價：廠商未提供<br /> ●I/O介面：PCIe 5.0 x8<br /> ●外形：半高半長PCIe介面卡<br /> ●技術平臺：AMD XDNA架構的Versal AI Core系列，採用AI Engine-ML Tile引擎<br /> ●晶片製程：7奈米<br /> ●搭配記憶體：16GB DDR4<br /> ●記憶體頻寬：內部47.6 TB/s，外部76.8 GB/s<br /> ●運算效能：INT8為404 TOPS，BF16為202 TOPS<br /> ●耗電量：75瓦</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/11/17 00:41作者李宗翰https://www.ithome.com.tw/review/159831
【資安日報】11月16日，殭屍網路OracleIV、Ddostf分別鎖定Docker環境、MySQL伺服器而來，將其用…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">利用組織的應用系統來進行DDoS攻擊，近期變得相當頻繁，本週有2起攻擊事故，其中一個針對Docker環境而來，另一個則是鎖定資安防護不足的MySQL資料庫，而且，無論是Windows、Linux電腦架設的資料庫，都是攻擊者下手的對象。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">其中比較值得留意的是針對<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">Docker而來的攻擊行動，相關的惡意映像檔已被拉取超過3千次，且駭客仍不斷改良其作案工具。特別的是，此映像檔雖然含有挖礦程式，但駭客在攻擊過程並未使用。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【攻擊與威脅】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.cadosecurity.com/oracleiv-a-dockerised-ddos-botnet/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">DDoS殭屍網路OracleIV鎖定Docker容器環境而來</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/image7-16.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image7-16.png" style="width: 300px; float: right;" /></a>資安業者Cado揭露名為OracleIV的DDoS殭屍網路病毒，攻擊者利用Docker容器的錯誤配置，散布ELF可執行檔，此為Python打造的惡意程式，攻擊者透過Docker引擎的API，發出HTTP POST請求，觸發拉取的命令，從Docker Hub下載看似無害的映像檔，截至研究人員公布攻擊行動，這個映像檔已下載超過3千次，而且該檔案更新相當頻繁。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">此殭屍網路機器人主要是發動UDP及SSL連線的洪水攻擊，先是連線至C2並以寫死的帳密進行驗證，然後接收攻擊者下達的命令，針對目標IP位址或網域、連接埠，以指定的流量、攻擊手法執行DDoS攻擊。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="http://asec.ahnlab.com/en/58878/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">MySQL伺服器遭到鎖定，駭客用於發動DDoS攻擊</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資安業者AhnLab揭露中國殭屍網路Ddostf的攻擊行動，駭客掃描TCP的3306埠，尋找網際網路上MySQL伺服器，嘗試透過這些系統使用的弱密碼或是存在的已知漏洞入侵，接著攻擊者上傳惡意DLL檔案，充當使用者定義功能（User-Defined Function，UDF）程式庫，從而在受害主機上部署並執行Ddostf殭屍網路病毒，且作業系統不論是Windows或Linux的MySQL伺服器，都有可能受害。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">研究人員指出，雖然該殭屍網路病毒支援的多數命令與DDoS機器人相似，但特別之處在於，它能從C2伺服器接收到下一臺C2伺服器的位址，然後在指定時間裡執行命令，這代表攻擊者可能將DDoS攻擊作為服務的型式，向其他駭客兜售。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.proofpoint.com/uk/blog/threat-insight/ta402-uses-complex-ironwind-infection-chains-target-middle-east-based-government"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">巴勒斯坦駭客組織Molerats利用惡意程式IronWind發動攻擊</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/Picture2_25.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Picture2_25.png" style="width: 300px; float: right;" /></a>資安業者Proofpoint揭露伊朗駭客Molerats（亦稱TA402的）近期的攻擊行動，這些駭客從今年7月至10月，利用名為IronWind的Go語言惡意程式下載器，主要針對中東和北非的企業組織而來。攻擊者先是透過外流的外交單位電子郵件帳號，以經濟議題為幌子寄送釣魚郵件，Dropbox連結，散布帶有巨集的PowerPoint擴充套件檔案（PPAM）。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">一旦收信人執行此PPAM檔案，就會在觸發巨集，於受害電腦投放IronWind，並透過timeout.exe側載執行，並向C2伺服器發出HTTP GET請求，從遠端伺服器下載Shell Code，以其執行WMI查詢工作，並下載.NET打造的後利用工具SharpSploit。此後利用工具發出HTTPS POST、GET請求，從C2接收JSON檔案，並依照攻擊者指示下載惡意酬載。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">值得留意的是，這些駭客也會利用Excel擴充套件（XLL）、RAR壓縮檔等管道來散布IronWind。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.digital.go.jp/news/6ca8eac4-c6e9-4daf-abec-76cef9fb638b"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">日本入境通關線上表單Visit Japan Web出現冒牌App</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月9日日本數位廳提出警告，外國旅客入境日本時，必須填寫的網頁電子表單Visit Japan Web，近期出現假借該表單服務的手機應用程式，要求旅客提高警覺。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">由於上述網站並未推出專屬的手機App，旅客若是不慎安裝應立刻刪除，此外日本數位廳也提及，此App會要求旅客輸入信用卡資料，但他們的表單沒有相關欄目。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【漏洞與修補】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://onapsis.com/blog/sap-security-patch-day-november-2023"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">SAP修補ERP系統Business One的重大漏洞</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月14日SAP發布本月例行更新，當中修補了ERP系統Business One重大漏洞CVE-2023-31403，起因是在安裝這套系統的過程中，發生不適當的存取控制情形，這使得攻擊者可透過匿名使用者的身分，讀取或寫入SMB網路共享資料夾，導致該系統的機密性、完整性、可用性受到影響，該漏洞存在於10.0版Business One，CVSS風險評分為9.6。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【資安產業動態】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.cna.com.tw/news/ahel/202311150137.aspx"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">擴大資安人才培養基礎，明年大學特殊選才招生管道將提供1,526個名額，資安專長名額增三成</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/6db5f27a-075a-4666-9fbe-dadb72d6a08b.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/6db5f27a-075a-4666-9fbe-dadb72d6a08b.jpg" style="width: 300px; float: right;" /></a>11月15日教育部高等教育司指出，113學年度特殊選才招生計畫正受理報名，今年共有58所大學、596個學系參與，總共有1,526個招生名額。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">值得一提的是，為了配合行政院精進在學資安人才培育政策，他們自112學年度，以外加名額方式，由資安校系以自辦資安考試、資安相關檢測納入升學參採資料等選才條件與方式招生，鼓勵大專培育資安人才，到了113學年度也擴大規模：教育部核定37個資安校系、92個名額，較112學年度的67個增加超過3成。這樣的情況，主要是因為許多學校為了找到更符合資安專長的學生，將申請入學的名額挪到特殊選才。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.justice.gov/usao-pr/pr/russian-and-moldovan-national-pleads-guilty-operating-illegal-botnet-proxy-service"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國、西班牙聯手，拆毀殭屍網路IPStorm</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月14日美國司法部宣布，他們與西班牙警方，以及資安業者Bitdefender、Anomali、Intezer聯手，破壞於2019年堀起的殭屍網路Interplanetary Storm（IPStorm），具俄羅斯及摩爾多瓦雙重國籍的主謀Sergei Makinin遭逮捕並認罪。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">此殭屍網路病毒由Go語言打造，初期鎖定Windows電腦，後來將Linux、macOS、Android裝置也納入範圍，該名主謀聲稱控制2.3萬臺裝置，主要的受害者位於香港、韓國、臺灣。Sergei Makinin將受害裝置用於提供代理伺服器服務，不法獲利超過55萬美元。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【其他新聞】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159828"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Mandiant執行長呼籲企業以「預想被駭」的思維出發，強化資安偵測應變能力</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159820"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">越南駭客疑假借提供Google Bard散布惡意程式，遭到Google提告</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/fbi-and-cisa-warn-of-opportunistic-rhysida-ransomware-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體Rhysida鎖定缺乏雙因素驗證的企業下手</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/toronto-public-library-confirms-data-stolen-in-ransomware-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">多倫多公立圖書館證實10月勒索軟體攻擊造成資料外洩</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/samsung-hit-by-new-data-breach-impacting-uk-store-customers/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">三星電子傳出資料外洩，英國門市客戶受到影響</span></span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>近期資安日報</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159839"><strong>【11月15日】勒索軟體駭客組織LockBit鎖定十多家大型企業，利用重大漏洞Citrix Bleed入侵，入侵這些公司內部網路環境</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159822"><strong>【11月14日】哈瑪斯駭客透過資料破壞軟體BiBi攻擊以色列企業組織，占用大量處理器資源抹除Windows電腦檔案</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159771"><strong>【11月13日】疑為未修補Citrix NetScaler重大漏洞釀禍！中國工商銀行美國分公司遭勒索軟體攻擊，波及美債交易</strong></a></p> </div></div></div>
2023/11/16 16:41作者周峻佑https://www.ithome.com.tw/news/159875
政府擬以4年13.4億元提升服務韌性，要讓18項關鍵民生系統核心功能上跨境公有雲，在緊急狀態下仍維持基本社會運作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>借鏡國外經驗，行政院今天（11/16）通過數位發展部所提出的「政府數位韌性-行政部門關鍵民生系統韌性方案」，未來4年將投入13.4億元，讓18項關鍵民生系統核心功能上公有雲，讓緊急災害發生時，仍能維持系統核心功能運作，確保社會持續運作，並透過資料加密分持機制，讓災害過後可迅速重建回復資料。</p> <p>行政院長陳建仁表示，從去年2月俄烏戰爭，到今年10月爆發以巴衝突，總統提到將臺灣打造為更強韌的國家，數位部提出政府關鍵民生系統韌性方案，是建立韌性國家重要的一環，為確保臺灣數位韌性足以因應緊急突發狀態，借鏡國際經驗，數位部選定18項關鍵民生系統，與各部會合作強化數位韌性。未來4年（2024年到2027年）與相關部門共同投入約13億4千萬元，透過跨境公有雲技術，推動關鍵民生系統資料的加密分持備份機制，並建立關鍵系統的核心功能，協助政府在緊急災害或緊急情況下，持續提供足以維持社會運作的基本數位服務，同時，在災後讓政府機關得以迅速恢復運作。</p> <p>陳建仁也要求各部會推動關鍵民生系統雲端化的準備工作，由數位部提供技術支援，由數位部和各部會協力合作，加強相關人員培訓作好準備。</p> <p><span style="color:#800000;"><strong>強化關鍵民生系統韌性</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DR-0-600.jpg" style="width: 600px; height: 331px;" /></p> <p>數位部數位政府司長王誠明表示，行政部門關鍵民生系統韌性方案並非從現在才開始，第一階段為建立公共服務雲端化指引，從2021年到2025年持續進行中，選擇29個重要為民服務系統，推動及輔導各機關移轉至公有雲，以提升系統效能及服務韌性，並制定公有雲相關指引，包括各機關推動系統雲端化，如何選擇公有雲服務，如何確定公有雲服務廠商符合規範及標準，還有上雲後如何評估其成熟度達到標準。</p> <p>第二階段為延續工作，將投入13.4億元，在2024年到2027年，以建立關鍵系統韌性為目標，選定18個關鍵民生系統，進一步強化這些關鍵系統的數位韌性，包括建立加密分持備份機制及核心功能可上公有雲運作，當大規模災害發生時，政府可維持社會運作的基本數位服務。</p> <p>王誠明進一步說明該政策，在平時，通過固定通訊網路，在公有雲進行資料的加密分持、雲端備份，其中的加密分持備份是運用數學及加密技術，將檔案打亂、重組，將檔案切分為數個部分，分別備份於不同的公有雲，因此每家公有雲業者無法取得完整的加密檔案。至於關鍵系統部分，考慮到緊急災難發生時，通訊網路受限，無法執行關鍵系統的所有功能，因此從系統中抽離出核心功能，讓它能在雲端運作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Keysys-DR-600.jpg" style="width: 600px; height: 328px;" /></p> <p>當災害發生時，透過衛星或行動通訊網路使用公有雲的關鍵系統核心功能，在災害過後，將系統及資料重建回復。</p> <p>王誠明指出，計畫分為3個目標，首先在平時，維持系統在雲端的可用性、資料的加密分持備份；在災害發生時，保存關鍵民生系統與資料，維持系統核心功能與資料可用；在災害過後，必需確保能迅速重建系統、回復服務。</p> <p>這項政策的具體實施策略及方法，首先是盤點有哪些重要的關鍵民生系統，以及災害時維持基本運作的系統核心功能，再來是選擇採用的跨境公有雲雲端儲存服務，將檔案及資料庫加密與分持儲存。其中加密分持，王誠明特別指出，因災害發生時，因廠商可能無法提供服務，需要提升機關的自主操作能力，精進系統、資料備份與加密的作業程序。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DR-1-600(1).jpg" style="width: 600px; height: 330px;" /></p> <p>再來是將關鍵系統的核心功能予以模組化，並導入零信任機制，即使在災害時期，維持關鍵系統的核心功能運作，同時兼顧到資訊安全的需要。有了上述的機制，數位部強調機關還要落實資料備份、回復，並透過持續演練、教育訓練，由數位部扮演輔導角色，提供必要技術諮詢。</p> <p><span style="color:#800000;"><strong>關鍵民生系統：衛福部健保系統、內政部入出境管理系統在列</strong></span></p> <p>對於包含哪些關鍵系統，如何選出？數位部次長闕河鳴表示，18個系統是由13個部會自行盤點選出，例如衛福部的健保系統、內政部的入出境管理系統、交通部的車輛管理系統等等，當大規模的災害，例如火山爆發、地震導致機房損毀，為維持社會運作，需要確保關鍵系統能持續運作。</p> <p>他指出，分為兩個階段，第一個階段是找出策略及方法，先從部會中以小系統進行實驗，第二階段是盤點出哪些的關鍵核心系統，即使發生大規模災害，仍能維持社會運作。</p> <p>對於加密分持，闕河鳴也說明，第一階段作備份時，主要是加密資料之後作冷備份，而加密分持的做法，例如將資料庫切分為3塊，有心人士如果取得其他2塊加密資料及鑰匙，就可能取得完整的資料，但是通過加密分持，和原本放在同一個地方、只有一把鑰匙的做法相比，能夠降低被取得完整資料的機率。</p> <p>至於18個關鍵民生系統，數位部目前不願意透露具體有哪些系統，僅表示目前尚在盤點中，不便對外揭露。</p> </div></div></div>
2023/11/16 17:10作者蘇文彬https://www.ithome.com.tw/news/159872
Google Search Labs實驗Notes，讓你直接於搜尋結果中查看與分享筆記
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/search/notes-google-search-labs-experiment/" target="_blank">Google本周於Google Search Labs中實驗了一項新的「筆記」（Notes）功能</a>，允許使用者直接於搜尋結果中出現的特定網頁撰寫筆記，也能查看其它使用者所寫的筆記，分享彼此對特定主題的知識。</p> <p>在加入Google Search Labs的Notes實驗後，使用者便可於搜尋結果中的網頁下方看到Notes的標籤。根據Google的說法，他們希望Notes能夠與網頁上既有的內容並存，於搜尋結果中加進人類的看法。觀看別人撰寫的筆記或許可以幫助使用者找到更適合的提示，還能替既有的搜尋結果補強，使用者也可寫下自己的心得與他人交流。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Browsing_notes.gif" style="width: 240px;" /></p> <p>Notes亦允許使用者客製化各種內容元素，從文字、筆電到照片，或者是選擇不同的視覺風格，Google亦計畫在美國市場的Notes實驗中推出AI生成圖片的功能。</p> <p>此外，當客觀的搜尋結果開放使用者加入主觀看法之後，<a href="https://support.google.com/websearch/answer/14108842" target="_blank">Google也替Notes打造了社群守則</a>，禁止垃圾、危險與仇恨言論，也將同時透過演算法及人類的審核來維持Notes的內容安全。</p> <p>實驗性的Notes功能初期將只出現在美國與印度的Google Search Labs，支援英文與印地（Hindi）語。</p> </div></div></div>
2023/11/16 14:48作者陳曉莉https://www.ithome.com.tw/news/159867
美國人從哪些數位平臺看新聞？由新聞網站/程式及搜尋引擎領先
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自從網路與數位裝置興起之後，人們便改變了看新聞的習慣，根據Pew Research Center今年9月的調查，數位裝置是美國人最常用來看新聞的設備，主要的管道則是新聞網站與程式，居次的是搜尋，社交媒體名列第三，而在社交媒體中，則以Facebook、YouTube與Instagram最受青睞，然而，排名第四的TikTok卻是成長最快的社交媒體新聞來源。</p> <p><a href="https://www.pewresearch.org/journalism/fact-sheet/news-platform-fact-sheet/" target="_blank">根據Pew Research Center的調查</a>，自2020年起，美國人透過數位裝置存取新聞的比例便已高過電視、廣播及平面媒體，2023年經常透過數位裝置存取新聞的比例已達到56%，凌駕電視的32%、廣播的16%，以及沒落的平面媒體（9%）。值得注意的是，雖然數位裝置持續領先其它媒介，但平面媒體這幾年來都維持在8%~10%之間，廣播也都維持在15%左右。</p> <p>而透過數位裝置存取媒體最常見的管道是新聞網站或新聞程式，占了29%，高過搜尋的27%，社交媒體的19%，以及播客的9%。</p> <p class="rtecenter"><a href="http://www.pewresearch.org/journalism/fact-sheet/news-platform-fact-sheet/" target="_blank"><img alt="" src="https://www.pewresearch.org/journalism/wp-content/uploads/sites/8/2022/09/PJ_2023.11.15_news-platforms_0-04.png" style="width: 600px;" /></a></p> <p><a href="https://www.pewresearch.org/journalism/fact-sheet/social-media-and-news-fact-sheet/" target="_blank">Pew Research Center特別針對社交媒體的新聞存取發布了報告</a>，指出大約有一半的美國成人多少會透過社交媒體看新聞，而最受青睞的平臺依序是Facebook（30%）、YouTube（26%）與Instagram（16%），TikTok與X則分別以14%及12%分居四、五名。</p> <p class="rtecenter"><a href="http://www.pewresearch.org/journalism/fact-sheet/social-media-and-news-fact-sheet/" target="_blank"><img alt="" src="https://pewresearch-org-preprod.go-vip.co/journalism/wp-content/uploads/sites/8/2022/09/PJ_2023.09.15_social-media-and-news_0-02.png" style="width: 359px;" /></a></p> <p><a href="https://www.pewresearch.org/short-reads/2023/11/15/more-americans-are-getting-news-on-tiktok-bucking-the-trend-seen-on-most-other-social-media-sites/" target="_blank">調查也發現</a>透過TikTok觀看新聞的美國人愈來愈多，比例從2020年的3%快速增加到今年的14%，是這幾年成長最快的社交媒體新聞存取平臺。</p> </div></div></div>
2023/11/16 15:02作者陳曉莉https://www.ithome.com.tw/news/159870
微軟將Bing Chat/Bing Chat Enterprise改名為Copilot，企業版Copilot強調資料防…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在推出不到一年後，<a href="https://blogs.bing.com/search/november-2023/our-vision-to-bring-microsoft-copilot-to-everyone-and-more" target="_blank">微軟昨（15）日在Ignite大會上宣布</a>，Bing聊天機器人Bing Chat及Bing Chat Enterprise改名為Copilot。企業版Copilot強調企業資料安全防護，並支援OpenAI客製化ChatGPT服務GPTs。</p> <p>今年2月宣布的Bing Chat，是微軟第一個整合OpenAI ChatGPT聊天機器人的產品。<a href="https://www.ithome.com.tw/news/157859" target="_blank">7月又宣布了付費企業版</a>，名為Bing Chat Enterprise。在此期間微軟相繼在其Dynamic 365、Windows 11、Office/Microsoft 365或SharePoint、Power平台整合AI聊天機器人提供使用輔助，但都名為Copilot。這次改名使微軟產品所有內建的AI助理品牌趨於一致化。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1116-Bing%20Chat%20and%20Bing%20Chat%20Enterprise%20are%20becoming%20Copilot.jpg" style="width: 600px;" /></p> <p>Bing Chat/Bing Chat Enterprise改名為Copilot後，若使用者以微軟身分帳號Entra ID（即Azure Active Directory）登入，就會自動啟動商業資料防護。啟用商業資料防護，意謂著用戶在Copilot的提示指令及其回應都不會儲存，這些資料不會被用於訓練底層模型，微軟也無法存取。微軟表示，長遠而言該公司將把Copilot推向所有擁有Entra ID的（企業）用戶，使企業員工一旦登入Copilot都能獲得資料防護。</p> <p>Copilot是以OpenAI最新模型為基礎，包括GPT-4及DALLE-3，可提供文字及圖像生成服務。商業資料防護預計12月1日提供給企業用戶。符合資格的用戶包括Microsoft 365 E3及E5、Microsoft 365 A3及A5（僅教職員）、Business Standard與Business Premium，以及新增的前線員工（如客服、銀行行員等）適用的Microsoft 365 F3。</p> <p>為強化Copilot的商業資料防護，微軟還從企業版Edge瀏覽器（Edge for Business）著手。企業版Edge整合微軟Purview防資料外洩（Data Loss Protection，DLP）功能，強制於工具列顯示文件和網站敏感性標籤。使用Copilot時，Copilot只有在IT管理員允許員工明顯於提示列中複製、貼上內容，或在企業版Edge中使用Copilot，才能存取公司資料。例如Copilot能存取非敏感網站的內容，可以摘錄重點或回答詢問，但是在被Purview DLP工具加上敏感標籤的網站上就無法這麼做。</p> <p>此外，Copilot也增加了對開發人員的好用工具。<a href="https://www.ithome.com.tw/news/157018" target="_blank">今年5月微軟為Bing加入外掛支援</a>，外掛是基於OpenAI schema，因而可在ChatGPT及Bing/Copilot之間通用。昨日微軟另外宣布，再過不久也將新增支援OpenAI的客製化ChatGPT服務GPTs，可讓所有人建立特定任務專用的Copilot。<a href="https://www.ithome.com.tw/news/159765" target="_blank">OpenAI上周才推出這項服務</a>。微軟表示，GPTs及OpenAI schema外掛的支援，進一步提高Bing Chat/Copilot對一般用戶及開發人員的用處。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1113-GPTs%20by%20OpenAI-Creating%20custom%20versions%20of%20ChatGPT-2.png" style="width: 600px;" /></p> <p><span style="color:#696969;">OpenAI GPTs服務示意。</span></p> <p>宣傳完Copilot安全及開發人員效益後，微軟也公布Copilot新的存取管道。除了原有的Bing.com外，微軟也增加了<a href="https://copilot.microsoft.com" target="_blank">https://copilot.microsoft.com頁面</a>，兩者都可以提供以Copilot輔助的搜尋。</p> </div></div></div>
2023/11/16 13:19作者林妍溱https://www.ithome.com.tw/news/159859
微軟公布製作逼真虛擬化身的Azure AI工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/ai-azure-ai-services-blog/azure-ai-speech-announces-public-preview-of-text-to-speech/ba-p/3981448" target="_blank">微軟在Ignite大會上宣布</a>在Azure AI Speech服務下，能生成逼真虛擬化身的AI新工具，並開放大眾預覽試用。</p> <p>這項工具名為Azure AI Speech text to speech (TTS) avatar。TTS為Azure AI Speech 4項模組之一，可從文字合成語音（其他三項為語音轉錄、語言翻譯及語音辨識服務）。最新工具讓使用者可輸入文字生成會說話的虛擬化身，以及打造以人物圖像訓練的互動式聊天機器人，可用於企業的行銷、業務或客戶服務。</p> <p>這項新工具包含三項元件，分別是文字分析器、TTS聲音合成器及TTS虛擬化身影像合成器。文字分析器會先分析用戶輸入的文字提示，產生音素序列（phoneme sequence）。接著TTS聲音合成器中的TTS語音模型會預測輸入文字的聲學特徵，再合成聲音。最後，由神經網路聲音合成模型Avatar根據聲學特徵預測人物的唇形影像，製作出合成影片。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1116-Azure%20AI%20Speech-public%20preview-text%20to%20speech%20avatar-2.png" style="width: 600px;" /></p> <p>微軟解釋，傳統虛擬化身製作耗時費工，需要設立拍攝環境、拍攝並剪輯影片，也很花成本。運用TTS聊天機器人／虛擬化身，用戶只要輸入文字就可以製作影片、產品介紹或客戶證言影片等。此外，運用Azure OpenAI Service及神經網路TTS功能，可透過虛擬化身呈現更自然的互動體驗。</p> <p>微軟舉例，用戶可利用Azure AI Speech TTS avatar批次製作影片內容，像是企業內訓影片、產品介紹或CEO在大會上的數位分身。也可以製作虛擬人像，像是旅遊網站的聊天機器人、廣告中的虛擬業務或線上教學的AI老師等。</p> <p>這項虛擬化身AI影片製作工具提供給Azure訂戶。虛擬化身能支援多種語言，用戶可以從預設的虛擬化身選單中挑選，也可以自行客製化虛擬化身。想要客製化，用戶可以上傳想要的人物影片片段，該系統會以之訓練並生成虛擬化身。用戶也可以選擇選單中的聲音，或另外訓練，以便生成一個完全客製化及個人化的虛擬化身。</p> <p>為了避免這項功能被濫用，製作詐騙訊息或假新聞，客製化虛擬化身只提供實名註冊的用戶有限存取，也只供特定應用場景。<a href="https://ncv.microsoft.com/srsErYR5Op" target="_blank">用戶需在微軟網頁註冊申請</a>。</p> <p>Azure AI Speech TTS avatar只是Ignite開發商大會上，<a href="https://techcommunity.microsoft.com/t5/ai-azure-ai-services-blog/what-s-new-in-azure-ai-speech/ba-p/3982805" target="_blank">微軟公布Azure AI Speech新增功能之一</a>。其他宣布還有三項已正式上線的功能，分別是雙語模型（支援英／西及英／法），可提供即時語音轉錄（speech to text）、可嵌入裝置的語音轉錄及語音合成、以及14種語言的發音評估。</p> <p>此外Azure AI Speech提供三項功能有限度的公測，分別是Azure OpenAI Studio Chat Playground的語音轉錄及語音合成、個人化聲音合成、以及OpenAI語音辨識模型Whisper的客製化。微軟並開放Azure AI Studio中的語音分析（Speech Analytics）及說話者自動分段標記（Speaker Diarization）供測試。</p> </div></div></div>
2023/11/16 14:03作者林妍溱https://www.ithome.com.tw/news/159862
Google發表新款Titan實體安全金鑰，最多可存放250個不同的通行密鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/safety-security/titan-security-key-google-store/" target="_blank">Google周三（11/15）發表</a>了兩款新的Titan Security Key，這是採用Titan M加密處理器的實體安全金鑰，它們相容於FIDO2規格，最多皆可儲存250個獨立的通行密鑰（Passkey），並具備NFC功能，主要的差別在於一個支援USB-A，另一個則支援USB-C，前者售價30美元，後者為35美元。</p> <p>有鑑於遭竊的密碼是網路安全最大的威脅之一，<a href="https://www.ithome.com.tw/news/125614" target="_blank">Google在2018年首次發表Titan Security Key</a>，步入實體安全金鑰市場，透過實體安全金鑰來防範網釣攻擊，避免駭客入侵使用者的Google帳戶。此外，為了擺脫密碼，Google也加入了推廣通行密鑰的行列，<a href="https://www.ithome.com.tw/news/156706" target="_blank">並於今年5月宣布</a>所有Google帳戶都將支援通行密鑰。</p> <p>新一代的Titan Security Key最大的改變在於支援存放250個獨立的通行密鑰，Google說明，有些人需要不依賴手機的解決方案，也有些人使用不支援通行密鑰的設備，新的Titan Security Key則是一個通行密鑰的可攜裝置。</p> <p><a href="https://support.google.com/titansecuritykey/answer/9115487?hl=en&ref_topic=9115486#zippy=About" target="_blank">Titan Security Key適用於電腦及手機</a>，可透過USB連結電腦，或是以USB及NFC連結手機，使用者可先透過裝置上的瀏覽器註冊實體金鑰，將它加入Google帳戶，之後即可以它來登入各種裝置與第三方服務。</p> <p>Google表示，當使用者要在新的Titan Security Key上替Google帳戶建立通行密鑰時，可只設定一個簡單的PIN碼來取代密碼，未來只要利用該PIN碼就能登入Google帳戶。</p> <p>此外，隨著2024年的大選即將到來，Google也承諾要在2024年免費送出10萬個Titan Security Key，予那些帳戶最可能遭竊的高風險用戶，涵蓋全球的競選工作人員、活動家與記者等。</p> </div></div></div>
2023/11/16 12:56作者陳曉莉https://www.ithome.com.tw/news/159858
中華電信將代理One Web低軌衛星服務，強化我國通訊網路韌性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中華電信宣布已與歐洲通訊衛星集團Eutelsat底下的Eutelsat OneWeb簽署臺灣低軌衛星獨家代理合約，中華電信將以代理的低軌衛星通訊服務用於強化自身通訊網路服務韌性，以及目前政府所推動的通訊網路韌性計畫。</p> <p>Eutelsat是在2022年與低軌衛星業者OneWeb合併，Eutelsat主要提供同步軌道衛星（GEO）通訊服務，作為電視臺、企業通訊網路使用，OneWeb則為新興的低軌道衛星（LEO）業者，並由英國政府參與投資，OneWeb現已發射超過600顆低軌衛星，在離地球表面1,200公里的12個軌道平面運作。儘管目前衛星訊號尚未覆蓋臺灣，但預期訊號會在2024年覆蓋臺灣。</p> <p>數位發展部自去年成立後，提出「應變或戰時應用新興科技強化通訊網路數位韌性」前瞻計畫，為確保在戰爭或大型災害發生時，海纜、固網、行動網路受到破壞，仍可透過非同步軌道衛星維持通訊，計畫以PoC概念驗證非同步軌道衛星強化我國通訊系統韌性的可行性，預計在國內700多處及國外3個站點，設立非同步軌道衛星設備進行驗證。其中新興的低軌衛星服務即受到關注，數位發展部長唐鳳先前更曾赴英國，至OneWeb總部參訪。</p> <p>中華電信參與「應變或戰時應用新興科技強化通訊網路數位韌性」計畫，該公司表示，取得OneWeb臺灣獨家代理權後，將配合數位部的驗證計畫，在國內布建700個，以及國外3個LEO衛星終端站點熱點，並且運用衛星通訊的特性，在國內離島、偏遠地區及重要的行動通訊節點等地的行動通訊基地臺，透過衛星鏈路（Backhaul）和核心網路建立連線，確保當緊急狀態時，國內通訊仍能正常運作，政府的指揮體系可正常運作，強化我國通訊網路的韌性。</p> <p>由於低軌衛星相較於GEO離地面較近，傳輸速度較快、低延較低，並利用多顆低軌衛星覆蓋，提升衛星通訊服務的可靠性，因此不只是我國的通訊網路驗證計畫，中華電信也會運用代理的低軌衛星服務強化本身的網路通訊韌性，建構低軌衛星、固網、行動網路、海底電纜、微波通訊的多重網路備援架構，提供政府、民間通訊數位韌性方案。</p> <p>另外，為即將引進的低軌衛星服務作好準備，中華電信準備在國內設立低軌衛星服務終端驗測中心，與產官學研合作，促進國內衛星產業的發展。</p> </div></div></div>
2023/11/16 12:02作者蘇文彬https://www.ithome.com.tw/news/159853
微軟發布最新.NET 8長期支援版本，雲端、AI應用支援再強化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟如期在11月發布最新的<a href="https://devblogs.microsoft.com/dotnet/announcing-dotnet-8/">.NET 8長期支援版本</a>，這個版本一如既往，官方再次強調新版本的效能提升，並且提高雲端的支援度，加入了一個稱為Aspire的雲端開發框架，助開發人員編寫生產就緒的雲端原生應用程式。此外，在人工智慧的支援上，.NET 8提供豐富元件供開發者在應用程式中融入人工智慧。</p> <p>微軟再次稱新的.NET為當前最快的版本，官方提到，他們對整個技術堆疊進行數千項的效能改進，包括預設啟用名為動態配置檔案導向最佳化（Dynamic Profile-Guided Optimization，PGO）的程式碼生成器，可以根據實際使用狀況最佳化程式碼，提升應用程式效能可達20％。</p> <p>另外，.NET 8還預設支援AVX-512指令集，允許對512位元的向量資料進行平行操作，進而在更短的時間處理更多資料。微軟在.NET 8的基本類別，實作了新的格式化和解析介面，可以直接以UTF-8格式進行格式化和解析，消除轉碼所要付出的額外成本開銷。</p> <p>微軟指出，從最新的TechEmpower基準測試可以看出，.NET 8在JSON API的使用場景效能提升18％，在ASP.NET Core Minimal API可達到每秒接近100萬次請求的處理能力。在接近實際網頁工作負載的Fortunes場景中，包括資料庫存取和伺服器端HTML渲染，效能提升更為明顯達到24％，每秒可超過30萬次的請求。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Performance2.png" style="width: 580px;" /></p> <p>.NET 8在雲端應用上也獲得強化，微軟提到，.NET 8讓開發者更容易以容器打包應用程式。每個.NET映像檔都會包含一個非根用戶，開發者僅透過單行指令就可簡單地配置安全容器。而.NET SDK工具可以在沒有Dockerfile的情況下，發布預設為非根的容器映像檔。官方表示，由於.NET基礎映像檔體積縮小，因此開發者可以更快地部署容器化應用程式。</p> <p>.NET 8還加入一個稱為.NET Aspire的技術框架，用於建置高韌性、可觀測且可配置的雲端原生應用程式，其具有一系列雲端原生應用強化元件，包括遙測、韌性、配置和監控功能等，可使開發者更簡單地開發用於生產環境的雲端應用程式。</p> <p>針對當前熱門的人工智慧技術，.NET 8 SDK提供多項人工智慧功能和工具，降低開發者在應用程式加入人工智慧功能的複雜性。.NET 8強化System.Numerics函式庫，提升和生成式人工智慧工作負載的相容性，另外，微軟還提到，開源的Semantic Kernel SDK也能夠簡化人工智慧元件與新舊應用程式的整合，提升創新應用開發體驗。</p> <p>在.NET 8中Blazor進行了多項強化，微軟專注於最佳化頁面載入時間、可擴展性，並進一步提升用戶體驗。開發者現在可於同一個應用程式中，同時使用Blazor Server和Blazor WebAssembly，並且在應用程式運行時，會自動切換用戶的處理，從伺服器端轉移到客戶端，更靈活地分配工作負載和任務。</p> <p>.NET 7已經加入的Native AoT，可讓開發者將.NET應用程式編譯為原生程式碼，在.NET 8中，不只自包含應用程式的檔案大幅縮小，還可使用更少的記憶體運作，啟動速度也更加快速。除此之外，Native AOT現在支援iOS類平臺，而新的VS Code擴充套件賦予.NET MAUI開發跨平臺.NET行動和桌面應用所需要的工具，支援Xcode 15和Android API 34，這代表開發者可以針對最新版本的iOS和Android開發應用程式。</p> </div></div></div>
2023/11/16 08:26作者李建興https://www.ithome.com.tw/news/159840
【資安日報】11月15日，勒索軟體駭客組織LockBit鎖定十多家大型企業，利用重大漏洞Citrix Bleed入侵，…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">上週<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">中國工商銀行（ICBC）美國分公司遭到勒索軟體攻擊，導致美國國債及部分股票無法交易，引起全球關注，當地媒體報導攻擊者就是LockBit，並傳出ICBC已支付贖金。有資安專家發現，可能是未修補的Citrix Bleed漏洞釀禍。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">但ICBC並非唯一遭到上述漏洞攻擊的受害組織，據傳有十多起勒索軟體LockBit攻擊行動，駭客都利用這項漏洞入侵受害組織的網路環境。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【攻擊與威脅】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://doublepulsar.com/lockbit-ransomware-group-assemble-strike-team-to-breach-banks-law-firms-and-governments-4220580bfcee"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit鎖定Citrix Bleed漏洞發動攻擊</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/0_ELOOpczXQzUBMC8M.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/0_ELOOpczXQzUBMC8M.jpg" style="width: 300px; float: right;" /></a>這一週以來，勒索軟體駭客LockBit再度因為攻擊中國工商銀行（ICBC）而登上媒體版面，他們之所以攻入這家公司的關鍵，是未修補漏洞Citrix Bleed（CVE-2023-4966，CVSS風險評分為9.4），但事情尚未結束！威脅研究員Kevin Beaumont針對勒索軟體駭客LockBit近期的攻擊行動提出警告，其實還有更多因為這個漏洞與LockBit攻擊而受害的企業。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">根據這位研究人員的調查，物流業者杜拜環球港務（DP World）、安理國際律師事務所（Allen & Overy）、波音等至少10家大型企業，都是受害者，不過目前並未列於LockBit的網站。他推測很有可能是正在和駭客談判，或是已向駭客支付贖金。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">這些攻擊行動如何進行？研究人員指出駭客組織有分工，前期的人員利用Citrix Bleed入侵目標企業，並部署遠端管理工具，以便後續接手的攻擊者能持續存取網路環境，而這一組人員會再利用各種手法提升權限，擺脫EDR系統控制、竊取資料，最終部署勒索軟體將檔案加密。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://dd80b675424c132b90b3-e48385e382d2e5d17821a5e1d8e4c86b.ssl.cf1.rackcdn.com/external/sektorcert-the-attack-against-danish-critical-infrastructure-tlp-clear.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">丹麥關鍵基礎設施遭遇俄羅斯駭客大規模攻擊，入侵管道是Zyxel防火牆重大漏洞</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">丹麥關鍵基礎設施電腦緊急應變小組（SektorCERT）揭露發生於今年5月的攻擊行動，當時駭客利用兆勤科技（Zyxel）防火牆重大漏洞CVE-2023-28771（CVSS風險評分為9.8），取得22家當地經營能源關鍵基礎設施業者的存取權限，其中有11家隨即遭到入侵，攻擊者控制防火牆設備，進而存取該設備所保護的關鍵基礎設施，執行惡意程式碼，回傳防火牆配置的詳細資料，目的很可能是進行偵察，以便決定下一步執行的攻擊手法。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">這起大規模攻擊從5月11日開始，間隔10天後於22日再度進行，SektorCERT得知其中成員透過不安全的連線，下載新版防火牆軟體。而對於攻擊者的身分，SektorCERT根據受害業者的網路流量，指出俄羅斯駭客組織Sandworm可能參與其中，但究竟有多少駭客組織參與攻擊行動？目前仍不明朗。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">為何這些業者沒有修補上述漏洞，而讓駭客有機可乘？<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">SektorCERT指出，有些因為要支付服務費用而停用更新，部分廠商認為安裝更新是供應商的工作，甚至有些公司以為，較新款式的防火牆已包含最新版軟體，而能免疫。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【漏洞與修補】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://msrc.microsoft.com/update-guide/releaseNote/2023-Nov"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟發布11月例行更新，修補5個零時差漏洞</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月14日微軟發布本月份例行更新（Patch Tuesday），總共修補63個漏洞，其中有18個是權限提升漏洞、6個安全功能繞過漏洞、15個遠端執行任意程式碼（RCE）漏洞、6個資訊洩漏漏洞、5個阻斷服務（DoS）漏洞，以及11個可被用於欺騙的漏洞。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">值得留意的是5個零時差漏洞，裡面有3個已遭到利用，並被美國網路安全暨基礎設施安全局（CISA）列入已遭利用漏洞名單（KEV），這些漏洞分別是Windows SmartScreen安全功能繞過漏洞CVE-2023-36025、桌面視窗管理員（DWM）核心程式庫權限提升漏洞CVE-2023-36033、檔案系統驅動程式Cloud Files Mini Filter Driver（CldFlt）權限提升漏洞CVE-2023-36036，CVSS風險評分為7.8至8.8。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">另外兩個零時差漏洞則是相關細節已被公開，它們是ASP.NET Core阻斷服務漏洞CVE-2023-36038、Office安全功能繞過漏洞CVE-2023-36413，CVSS風險評分為8.2、6.5，微軟表示目前尚未出現用於攻擊行動的跡象。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資料來源</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">1. <a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-november-2023-patch-tuesday-fixes-5-zero-days-58-flaws/">https://www.bleepingcomputer.com/news/microsoft/microsoft-november-2023-patch-tuesday-fixes-5-zero-days-58-flaws/</a><br /> 2. <a href="https://www.rapid7.com/blog/post/2023/11/14/patch-tuesday-november-2023/">https://www.rapid7.com/blog/post/2023/11/14/patch-tuesday-november-2023/</a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/new-reptar-cpu-flaw-impacts-intel-desktop-and-server-systems/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">處理器漏洞Reptar影響Intel工作站與伺服器系統</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">Google揭露Intel處理器的高風險漏洞Reptar，此漏洞涉及處理器如何解譯冗餘前綴（redundant prefix），一旦攻擊者成功利用漏洞，就有機會繞過處理器的安全邊界，並導致出處理器出現怪異的行為，CVSS風險評分為8.8，影響Alder Lake、Raptor Lake、Sapphire Rapids架構的處理器，該漏洞登記為CVE-2023-23583列管。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">對此，Intel也在11月14日發布資安通告，指出該漏洞可導致部分處理器出現意外行為，而使得通過身分驗證的攻擊者有機會進行權限升級、資訊洩露，或是造成阻斷服務（DoS），該公司也發布新版韌體予以修補。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資料來源</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">1. <a href="https://cloud.google.com/blog/products/identity-security/google-researchers-discover-reptar-a-new-cpu-vulnerability">https://cloud.google.com/blog/products/identity-security/google-researchers-discover-reptar-a-new-cpu-vulnerability</a><br /> 2. <a href="https://lock.cmpxchg8b.com/reptar.html">https://lock.cmpxchg8b.com/reptar.html</a><br /> 3. <a href="https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00950.html">https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00950.html</a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/new-cachewarp-amd-cpu-attack-lets-hackers-gain-root-in-linux-vms/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">處理器漏洞CacheWarp影響AMD電腦，攻擊者有可能在Linux虛擬機器取得root權限</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">德國亥姆霍茲國家研究中心聯合會資訊安全中心（CISPA）、格拉茨科技大學研究人員聯手，揭露名為CacheWarp的處理器漏洞CVE-2023-20592，攻擊者可濫用AMD處理器的安全加密虛擬化的加密狀態（SEV-ES），以及安全加密虛擬化的安全第二層位址轉譯（SEV-SNP）機制存在的弱點，而有可能將用戶端虛擬機器復原到先前的狀態，從而有機會讓虛擬機器回到已通過身分驗證的組態，並將其接管。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">研究人員在3種概念性驗證（PoC）攻擊當中，展示對Intel的IPP加密程式庫進行攻擊，從而復原、取得私鑰，而能夠在存取OpenSSH伺服器的過程無須通過身分驗證，同時透過sudo將權限提升為root。對此，AMD發布資安通告，指出此漏洞存在於INVD指令，影響第1代至第3代EPYC處理器，第4代不受影響。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資料來源</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">1. <a href="https://cachewarpattack.com/">https://cachewarpattack.com/</a><br /> 2. <a href="https://www.amd.com/en/resources/product-security/bulletin/amd-sb-3005.html">https://www.amd.com/en/resources/product-security/bulletin/amd-sb-3005.html</a></p> <p><iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315" src="https://www.youtube.com/embed/B3RH15gQ0dI?si=jr-a241fKVTnmrDn" title="YouTube video player" width="560"></iframe></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【資安產業動態】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159804"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">健保署聯手美國醫療資訊管理協會HIMSS，強化健保數位轉型和資安韌性</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/13-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/13-2.jpg" style="width: 300px; float: right;" /></a>11月13日衛生福利部中央健康保險署與美國醫療資訊暨管理系統協會（HIMSS）<a href="https://www.mohw.gov.tw/cp-16-76576-1.html">簽署合作備忘錄</a>，透過雙方資訊交流和人員訓練，強化臺灣醫療體系資訊管理系統和資安韌性，並接軌國際醫療資訊標準，來加速醫療體系的數位轉型。健保署要用HIMSS的數位健康指標分析評鑑和資安優化策略，來建置數位資訊平臺系統，提高跨系統的資料處理效能、強化智慧應用。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">本次合作有4大重點，包含：</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">（一）透過數位轉型的合作，提升全人健康照護；<br /> （二）利用DHI框架建立健保數位醫療生態；<br /> （三）強化網路資安韌性，降低敏感資料運用風險；<br /> （四）提升員工數位醫療及創新能力。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為提升產業資安防禦力，SEMI推出半導體製造環境資訊網路安全參考架構</span></strong></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">為了協助半導體產業提升資安防禦的能力，並推動半導體設備資安國際標準SEMI E187普及，國際半導體產業協會（SEMI）於11月15日推出半導體製造環境資訊網路安全參考架構（Cybersecurity Reference Architecture for Semiconductor Manufacturing Environment），目的是提供該產業供應鏈，對於製造環境的資安架構，能有更為明確的參考規範。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">此為針對半導體的製造環境，定義最低限度的資安要求，包括電腦作業系統規範、網路安全、端點保護、資訊安全監控等四大層面，並採用業界熟悉的普渡模型（Purdue Model），涵蓋第零層到第五層的IT、OT、工控場域，逐一提出工具設計與組態、資產庫存管控、網路與應用整合工具、漏洞管理與修補管理、近端與遠端接取、安全資料交換、防禦偵測與回應等參考架構，企業資安管理者可藉此妥善評估基礎資產應用、相關風險，以及如何制訂網路存取策略或補救措施。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【其他新聞】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.digital.go.jp/news/6ca8eac4-c6e9-4daf-abec-76cef9fb638b"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">日本入境通關線上表單Visit Japan Web出現冒牌手機App</span></span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.securityweek.com/adobe-patch-tuesday-critical-bugs-in-acrobat-reader-coldfusion/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Adobe發布11月例行更新，修補Acrobat、ClodFusion漏洞</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.vmware.com/security/advisories/VMSA-2023-0026.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">VMware揭露雲端服務交付平臺Cloud Director身分驗證繞過漏洞</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://wpscan.com/blog/unauthenticated-sql-injection-vulnerability-addressed-in-wp-fastest-cache-1-2-2/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">WordPress外掛程式WP Fastest Cache存在SQL注入漏洞，6萬網站曝險</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.proofpoint.com/uk/blog/threat-insight/ta402-uses-complex-ironwind-infection-chains-target-middle-east-based-government"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">巴勒斯坦駭客組織MuddyWater利用惡意程式IronWind發動攻擊</span></span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>近期資安日報</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159822"><strong>【11月14日】哈瑪斯駭客透過資料破壞軟體BiBi攻擊以色列企業組織，占用大量處理器資源抹除Windows電腦檔案</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159771"><strong>【11月13日】疑為未修補Citrix NetScaler重大漏洞釀禍！中國工商銀行美國分公司遭勒索軟體攻擊，波及美債交易</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159733"><strong>【11月10日】 ChatGPT與相關API服務發生間歇性中斷事故，OpenAI坦承是遭遇大規模DDoS攻擊所致</strong></a></p> </div></div></div>
2023/11/15 18:28作者周峻佑https://www.ithome.com.tw/news/159839
Zyxel推出新一代網路防火牆，連線傳輸與資安防護效能大幅提升
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhao_qin_usg_flex_500h_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以中小企業網通設備產品著稱的臺灣廠商兆勤科技（Zyxel），10月中甫推出第一款商用Wi-Fi 7基地臺，月底又發表新一代網路防火牆USG Flex H系列，目前提供4款機型選擇：100H、100HP、200H、200HP、500H、700H，。</p> <p>H意味著高效能（high performance），顧名思義，此系列機型針對防火牆、UTM、VPN等應用，提供GbE埠、2.5GbE埠、10GbE埠等多種連線速度的網路埠，用戶可自行設定為LAN埠或WAN埠，實施多層式防護時，也能支撐超大的網路吞吐量，而且，部分機型還能支援乙太網路供電（PoE）的部署，例如以HP結尾的兩款機型：100HP、200HP，以及500H、700H，都是主打高效能兼具乙太網路供電（PoE）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Zyxel USG Flex H-models.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zyxel%20USG%20Flex%20H-models.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Zyxel%20USG%20Flex%20vs%20USG%20Flex%20H.png" style="width: 400px;" /></p> <p>就網路埠而言，以GbE埠為例，USG Flex H系列多數機型都提供8個，但200H與200HP例外，提供6個GbE埠，100HP其中1個GbE埠支援PoE部署；若是2.5GbE埠，200H以上的機型都提供2個，500H額外提供2個支援PoE的2.5GbE埠；若是10GbE埠，僅有700H提供2個，且支援PoE。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Zyxel USG Flex H-models2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zyxel%20USG%20Flex%20H-models2.jpg" style="width: 600px;" /></a></p> <p>在運算能力上，兆勤採用新世代多核心硬體晶片與DPDK Fastpath技術，系統對網路封包的處理效能獲得顯著提升，大幅縮短封包處理時間、存取延遲，加快網路流量傳遞。</p> <p>就網路傳輸效能而言，若以既有USG Flex 500為基準，靜態狀態檢測防火牆效能為2,600 Mbps，同時啟動惡意軟體防護、IPS的效能為900 Mbps，VPN吞吐量也是900 Mbps；相較之下，今年最新推出的USG Flex 500 H，靜態狀態檢測防火牆效能暴增至10,000 Mbps，同時啟動惡意軟體防護、IPS的效能也大幅提升至2,500 Mbps，VPN吞吐量也是2,000 Mbps，改善幅度相當顯著。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Zyxel USG Flex H-features.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zyxel%20USG%20Flex%20H-features.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/USG Flex H console1-Dashboard.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/USG%20Flex%20H%20console1-Dashboard.jpg" style="width: 600px;" /></a></p> <p>在資安防護上，USG Flex H系列可運用兆勤科技發展的AI協力的雲端網路威脅情報，提供多層式防護，足以阻擋外部惡意威脅，以及位於內部網路的使用者不當行為。透過這項雲端AI情報，用戶可偵測未知威脅，及早更新防火牆本身的韌體，對抗持續進化的網路威脅活動。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Zyxel%20USG%20Flex%20H-Firmware%20Update.jpg" style="width: 600px;" /></p> <p>除此之外，此系列機型不僅提供防惡意軟體、IPS的阻絕功能，也內建基於網路信譽的資安威脅過濾、裝置洞察分析、沙箱檢測、應用程式控管，以及過濾DNS、IP位址、URL網址的防護能力；在VPN協定的支援上，USG Flex H系列內建IKEv2/EAP及SSL VPN。</p> <p><a href="https://s4.itho.me/sites/default/files/images/USG Flex H console4-Security.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/USG%20Flex%20H%20console4-Security.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Zyxel USG Flex H-application patrol_Taiwan[29].jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zyxel%20USG%20Flex%20H-application%20patrol_Taiwan%5B29%5D.jpg" style="width: 298px;" /></a></p> <p>關於作業系統的部分，USG Flex H系列標榜採用兆勤最新推出的uOS，而現行USG Flex系列採用的作業系統是ZLD，最新版為5.37。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Zyxel USG Flex H-uOS-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zyxel%20USG%20Flex%20H-uOS-1.jpg" style="width: 600px;" /></a></p> <p>uOS有幾個特色，首先，是針對組態變更的反應速度加快而進行調校，也提升韌體更新速度；另一個差異是網頁管理介面變得直覺、聚焦在使用者的操作需求，能簡化政策管理，在IT人員進行VPN與關鍵字搜尋時，能夠更快速、輕鬆地完成，此處提供的圖形儀表板，也清楚、完整呈現整個網路安全態勢，有助於企業在知情的狀態下，快速訂定決策，縮短威脅因應時間。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Zyxel USG Flex H-uOS-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zyxel%20USG%20Flex%20H-uOS-2.jpg" style="width: 600px;" /></a></p> <p>USG Flex系列除了提供個別管理的模式之外，也支援雲端集中管理，可透過兆勤提供的Nebula Cloud管理服務，進行設備的快速註冊、監控設備的開關狀態、執行韌體升級、管理使用授權，以及組態設定的備份還原。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Zyxel%20USG%20Flex%20H-Managed%20by%20Nebula.jpg" style="width: 600px;" /></p> <p>值得注意的是，兆勤旗下多款網路防火牆設備產品線搭配的VPN個人端軟體<a href="https://support.zyxel.eu/hc/en-us/articles/14908870343954--USG-FLEX-H-Series-Firewall-VPN-Clients-Options">SecuExtender，也在10月底發布新版本</a>——針對Windows電腦釋出IPSec/SSL VPN Client軟體7.7.40.019版，針對 macOS電腦推出SSL VPN Client軟體1.2.6版。</p> <p>兆勤強調新版具有三大特色，首先，提供雙VPN通訊協定支援，除了能支援Windows與Mac電腦，也能透過單一應用程式，同時支援IKEv2/EAP、SSL VPN，先前版本的VPN Client軟體，單一程式僅支援一個協定。</p> <p>第二，USG Flex H系列能充分利用IKEv2 VPN協定，提供優於L2TP的安全性、可靠性和效率，還能透過雙因素身分認證（2FA）增加額外的安全層級和控制，並且使用IKEv2/EAP技術進行集中配置和流量監控，提高服務效率。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Zyxel%20USG%20Flex%20H%20VPN.jpg" style="width: 600px;" /></p> <p>第三，簡化VPN設定流程，新版SecuExtender提供Easy Wizard的輔助安裝體驗（使用者VPN情境引導設定），透過自動產生Script，使用者只需點選即可設定VPN Client，對於企業而言，若是採用新一代作業系統uOS的網路防火牆USG Flex H系列，以及雲端管理平臺Nebula NCC中，IT人員可以更全面和清楚看到網路傳輸與防護狀態。</p> <p><a href="https://s4.itho.me/sites/default/files/images/USG Flex H console2-VPN.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/USG%20Flex%20H%20console2-VPN.jpg" style="width: 400px;" /></a></p> <p>關於進階網路安全功能，USG Flex H系列提供防火牆與SSL加密流量檢測之餘，</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Zyxel%20USG%20Flex%20H-Policy.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/Zyxel USG Flex H-SSL Inpection.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zyxel%20USG%20Flex%20H-SSL%20Inpection.jpg" style="width: 298px;" /></a></p> <p>還可選購<a href="https://community.zyxel.com/en/discussion/14871/available-today-usg-flex-series-supports-gold-security-pack">金級資安授權包（Gold Security Pack）</a>，啟用更多防護，像是防惡意軟體、IPS、網頁過濾，以及雲端多引擎沙箱檢測（Sandboxing），涵蓋IP位址、網域名稱（DNS）、URL網址的網路信譽過濾（Reputation Filters）、涵蓋25種類型應用程式的管控（Application Patrol）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Zyxel USG Flex H-Sec features.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zyxel%20USG%20Flex%20H-Sec%20features.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/USG Flex H console3-license.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/USG%20Flex%20H%20console3-license.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Zyxel USG Flex H-ips.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zyxel%20USG%20Flex%20H-ips.jpg" style="width: 298px;" /></a></p> <p>兆勤在這項授權套件中，也特別提供<a href="https://support.zyxel.eu/hc/en-us/articles/4406853993746-Device-Insight-Feature-for-USG-FLEX-ATP-VPN-Series">裝置洞察分析（Device insight）</a>，可透過無代理程式（Agentless）的掃描，針對內部網路所有連網裝置進行探查與分類，之後能集中觀察這些設備的網路活動，規畫網路分區隔離以限縮攻擊面範圍，預防資安威脅透過橫向移動在內網擴散；此項功能也能整合兆勤長期發展的資安報表功能SecuReporter，協助追蹤網路問題、預防可能發生的資安事故，提供全面的網路威脅分析。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Zyxel USG Flex H-SecuReporter.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zyxel%20USG%20Flex%20H-SecuReporter.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>兆勤USG Flex 500H</strong><br /> ●原廠：兆勤科技<br /> ●建議售價：899.99美元，加購1年金級資安授權包為1099.99美元<br /> ●網路埠：4個2.5 GbE埠（2個支援PoE+）、8個GbE埠<br /> ●防火牆吞吐量：SPI防火牆為10,000 Mbps，防惡意軟體、IPS啟用為2,500 Mbps，VPN為2,000 Mbps<br /> ●IPsec VPN同時通道數量：300個<br /> ●外觀：30 x 18.2 x 43.5公分</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/11/15 18:10作者李宗翰https://www.ithome.com.tw/review/159639
FBI拆毀IPStorm殭屍網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/usao-pr/pr/russian-and-moldovan-national-pleads-guilty-operating-illegal-botnet-proxy-service" target="_blank">美國司法部於本周宣布</a>，美國聯邦調查局已拆毀了危害全球數萬裝置的Interplanetary Storm（IPStorm）殭屍網路，主謀Sergei Makinin已遭逮捕且已認罪。</p> <p>崛起於2019年6月的IPStorm是以Golang所撰寫，原本鎖定Windows裝置進行感染，隨後並將版圖擴大到Linux、macOS與Android，其惡意程式目的是令這些裝置為Makinin所控制，Makinin對外宣稱總共握有全球2.3萬個裝置的控制權，遍及亞洲、美洲與歐洲。</p> <p>根據羅馬尼亞資安業者<a href="https://www.bitdefender.com/files/News/CaseStudies/study/376/Bitdefender-Whitepaper-IPStorm.pdf" target="_blank">Bitdefender在2020年針對IPStorm所發表的分析白皮書</a>，被植入IPStorm惡意程式的受害者主要位於亞洲，前三名是香港、南韓與臺灣。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1115-Bitdefender-IPStorm%20botnet-600.jpg" style="width: 307px;" /></p> <p>Makinin設立了兩個網站來行銷IPStorm殭屍網路服務，使用者每月只要支付數百美元就可以透過這些受駭裝置引導流量，不法獲利超過55萬美元，不過，Makinin的加密貨幣錢包已被執法機關沒收。</p> <p>Makinin同時擁有俄羅斯及摩爾多瓦國籍，美國司法部並未說明FBI是如何摧毀IPStorm的基礎設施又是如何逮捕Makinin，僅說是聯邦調查局與西班牙警方，以及Bitdefender、Anomali Threat Research及Intezer等資安業者的合作下共同破獲IPStorm。其中，<a href="https://intezer.com/blog/research/a-storm-is-brewing-ipstorm-now-has-linux-malware/" target="_blank">Intezer亦於本周提供了IPStorm的網路入侵指標</a>，並協助使用者偵測及終止系統所執行的惡意程式。</p> <p>Makinin承認了3項罪名，涉及未經授權故意傳送程式並造成損害，每項罪名最高都可判處10年刑期。</p> </div></div></div>
2023/11/15 15:45作者陳曉莉https://www.ithome.com.tw/news/159835
Google DeepMind發表史上最準確的全球天氣預報AI模型GraphCast
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://deepmind.google/discover/blog/graphcast-ai-model-for-faster-and-more-accurate-global-weather-forecasting/" target="_blank">Google DeepMind周二（11/14）發表了號稱史上最準確的全球天氣預報AI模型GraphCast</a>，它是個中期氣象預測模型，可在1分鐘內預測未來10天的天氣，比歐洲中期天氣預報中心（ECMWF）所打造的10天高解析度預測（HRES）更準確也更快速。DeepMind不僅已<a href="https://github.com/google-deepmind/graphcast" target="_blank">透過GitHub開源GraphCast</a>，亦已於<a href="https://charts.ecmwf.int/products/graphcast_medium-mslp-wind850?base_time=202311141200&projection=opencharts_south_east_asia_and_indonesia&valid_time=202311141800" target="_blank">ECMWF官網上公開測試GraphCast</a>。</p> <p>GraphCast使用了40年的天氣再分析資料進行訓練，相關資料來自於ECMWF的ERA5資料集。此一資料集集結了各種的歷史天氣觀測資料，包括衛星圖像與雷達，再加上氣象站所使用的基於物理運算的傳統數值天氣預報（NWP）來彌補觀測不足之處，以重建豐富的全球歷史天氣紀錄。</p> <p>此外，GraphCast是個基於機器學習及圖像神經網路的天氣預報系統，它以0.25度經緯度（相當於28x28公里）的高解析度進行預測，以逾100萬個網格覆蓋了地球表面，在每個網格中預測5種地球表面變數，如溫度、風速、風向及平均海平面壓力等，以及6個大氣變數。</p> <p>儘管GraphCast的訓練屬於密集運算，但所生成的預測模型卻非常有效率，GraphCast只需要輸入兩組資料，包括6小時前的天氣狀態以及現在的天氣狀態，該模型就能預測6小時之後的天氣，以此類推一直到10天。在一臺Google TPU v4機器上不到1分鐘就能完成10天的預測，相較之下，若以傳統的HRES進行預測，在一個由數百臺機器組成的超級電腦上還需要數小時才能得到結果。</p> <p>比較GraphCast與HRES的準確度，在1380個測試變數與提前預報時間上，GraphCast有超過90%都比HRES還要準確，若將預測範圍縮小至對流層，GraphCast有99.7%的預測優於HRES。</p> <p class="rtecenter"><a href="https://storage.googleapis.com/deepmind-media/DeepMind.com/Blog/graphcast-ai-model-for-faster-and-more-accurate-global-weather-forecasting/Learning_skillful_medium-range_global_weather_forecasting.pdf" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1115-google%20deepmind-GraphCast-600-2.jpg" style="width: 600px;" /></a></p> <p>除了一般的天氣預測之外，DeepMind資深科學家Remi Lam指出，即使沒有經過特別的訓練，但GraphCast可比傳統的預測模型更早辨識惡劣的天氣事件，包括將氣旋追蹤器直接應用於GraphCast預測中，或是呈現大氣河流（AV）的特性，可即早發現颶風與洪水，將有助於在愈來愈極端的全球氣候中提前防範。</p> <p class="rtecenter"><a href="https://storage.googleapis.com/deepmind-media/DeepMind.com/Blog/graphcast-ai-model-for-faster-and-more-accurate-global-weather-forecasting/Learning_skillful_medium-range_global_weather_forecasting.pdf" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1115-google%20deepmind-GraphCast-600-1.jpg" style="width: 600px;" /></a></p> <p>在GraphCast之前，Google DeepMind與Google Research已曾發表兩款天氣預報系統，包括可生成90分鐘之後天氣預報的Nowcasting模型，以及<a href="https://www.ithome.com.tw/news/159615" target="_blank">24小時預報系統MetNet-3</a>，而這兩個系統都是屬於區域性的，GraphCast則覆蓋了全球。</p> <p>除了已有包括ECMWF在內的氣象組織採用了GraphCast，DeepMind也認為，開源GraphCast可望激發更多的可能性，包括針對特定氣候現象製作模型，或是針對全球不同地區的需求來優化模型。</p> </div></div></div>
2023/11/15 15:07作者陳曉莉https://www.ithome.com.tw/news/159834
以「預想被駭」強化資安偵測應變能力，Mandiant執行長呼籲企業正視
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「駭客入侵已是必然的趨勢」，資安公司Mandiant執行長Kevin Mandia在2004年公司成立時，呼籲企業採取資安防護措施，以免因駭客入侵登上報紙。然而時隔二十年，這位因證實中國人民解放軍61398網軍部隊而聲名大噪的執行長現在進一步說：「資安防護擋不住駭客入侵亦是必然的趨勢」，他在mWISE 2023會議呼籲「預想被駭（Assumed Breach）」的重要性，建議企業強化第二道資安防線—偵測、應變與控制的能力，升級至現代化資安防禦架構。</p> <h2><span style="color:#FF0000;"><strong>為何我們需要「預想被駭」？</strong></span></h2> <p>「預想被駭」意指事先料想駭客已經突破資安防護措施，早就潛伏在企業內部，正靜悄悄地探查網路、竊取資料或部署攻擊工事等。然而，為何要預先設想被駭？Mandia表示，從攻擊端來看，現在我們面對的敵人已是頂尖網路攻擊者（Apex Attacker），如名列網駭五大寇（Big Five）的中國、蘇聯、北韓、伊朗與網路犯罪集團，他們有能力利用零時差漏洞發動攻擊，或在軟體漏洞被揭露後，於一日內就能發動攻擊；他們也已採用軟體開發框架，有系統、有規模地開發惡意程式與攻擊軟體。</p> <p>頂尖攻擊者在攻擊前也會清楚掌握入侵目標的相關資訊；一旦入侵成功，頂尖攻擊者也有能力長期潛伏在被駭目標內部；甚至，頂尖攻擊者已普遍採取寄生攻擊（Live off the Land）手法，運用作業系統內建合法程式進行滲透，有效躲避資安軟體偵測；而為了隱藏攻擊來源，頂尖攻擊者亦具有可混淆入侵行徑的網路連線、命令控制系統等發動攻擊所需的基礎設施，以掩飾其真實身分，逃避究責。頂尖攻擊者既有強大能力，又有充足資源，因而企業過往採取的防護策略—將駭客阻絕於境外，已經無法百分之百獲得保證。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Mandiant%20Against%20Apex%20Attackers-features.jpg" style="width: 600px;" /></p> <p>另一方面從防守端的企業現況來看，Mandia指出，隨著資訊科技快速發展，需要資安防護的領域越來越多，而且資訊系統肩負越來越多重要功能，系統架構也變得日益龐大且複雜，導致攻擊面大幅增加，然而，需要資安防護的系統變多了，但資安人員卻嚴重短缺，跟不上防護需求。</p> <p>上述內憂外患顯示，不論資安做得多好，資安防線依然有失守的可能性。因此藉由預想被駭的觀念，一方面有助於企業思考駭客可能的攻擊手法與企業組織的弱點，及早針對關鍵問題部署相對應的防護措施，提高資安防護的有效性。另一方面，預想被駭也讓企業思考駭客入侵情況下的應變措施。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Mandiant Against Apex Attackers-Breaches Happens.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Mandiant%20Against%20Apex%20Attackers-Breaches%20Happens.jpg" style="width: 600px;" /></a></p> <p><strong style="color: rgb(255, 0, 0);">從「預想被駭」練就應變力</strong></p> <p>有鑑於頂尖攻擊者普遍利用社交工程、零時差漏洞、外洩的員工帳密，或網通、資安設備弱點等途徑，因此企業必須預想員工會被駭客社交工程突破心防而透露帳密或身分驗證資訊；預想防火牆、VPN等網路邊界設備會因為未知的零時差漏洞而被中國網軍穿越；預想員工在公私領域皆使用相同密碼，而導致企業內部系統的登入驗證資訊間接外洩；甚至要預想老舊資安設備乏人管理而成為駭客入侵的秘密入口。</p> <p>除非員工個個都是鐵石心腸，毫無助人之心，Mandia指出，否則有心的駭客一定能夠利用人性的弱點，以社交工程手法成功欺騙員工。企業必須預想一定有人會上釣魚郵件的當，因此，一方面要舉辦釣魚郵件演練，訓練員工辨識釣魚郵件，另一方面則要教導員工在不慎點擊釣魚郵件網址後如何應變，讓員工能夠有所警覺通報資安團隊，以進行緊急應變，及早控制情勢，並升高組織全體的防護意識。</p> <p>零時差漏洞攻擊增多的趨勢也是必須設想的情境，Mandia指出，在1998年至2018年間，每年大約有10至15個零時差漏洞，然而今年截至第三季就已經有62個零時差漏洞被用於網路攻擊。更有甚者，中國網攻近兩年擴大利用網通與防火牆、VPN等資安設備的零時差漏洞，一方面是因為端點電腦在近年來陸續具備可偵測與阻絕入侵行為的EDR等防護軟體，因此從端點電腦入侵已經變得越來越困難，而另一方面網路邊界設備則普遍沒有安裝EDR或其他防護軟體，因此只要找到零時差漏洞，就能有效達到入侵企業組織的目的，而且入侵行蹤不容易被察覺。在零時差漏洞猖獗的趨勢下，預想網路端點設備存在零時差漏洞有其必要，而這也代表第一道資安防線存在失效的可能性，因此必須仰賴第二道資安防線的偵測與應變。</p> <p>預想企業內部的登入驗證資訊已外洩也有其必要。現今各式網路服務發達，多數人為了方便記憶帳密往往使用不夠安全的密碼，而且將所使用的網路服務皆設定同一組帳號與密碼，甚至是與公司內部系統的帳密相同。由於上述現象普遍，有技巧的駭客會在入侵企業或組織前先搜尋網路上外洩的帳密，從中找尋符合其入侵標的，若能將其用於登入企業VPN或電子信箱等，就可以偽裝成員工合法存取企業內部系統，絲毫不用花費心力攻破資安防護。所以，Mandia建議企業除了採取多因素認證（MFA）增加多重防護之外，更要監控用戶、網路與應用程式的帳號登入狀況，如登入時間、地點與行為等，以偵測可能的駭客入侵。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Mandiant%20Against%20Apex%20Attackers.jpg" style="width: 600px;" /></p> <h2><span style="color:#FF0000;"><strong>多重防禦的現代化資安架構</strong></span></h2> <p>基於預想被駭的觀點，企業資安防護過往普遍著重在第一道防線—識別資產並施予保護，已然不足，Mandia表示，企業需要強化第二道資安防線的防禦能力，打造具有多重防禦機制的現代化資安架構。</p> <p>要打造現代化資安架構，企業首先必須打好資安基礎功，Mandia指出，包括漏洞修補管理、攻擊面管理、Log日誌保存、系統網路與應用程式可視性、特權帳號管理、多因素認證（MFA）、紅隊演練（能力最好與頂尖攻擊者相當），以及零信任身分驗證等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Mandiant%20Against%20Apex%20Attackers-focus%20fundamental.jpg" style="width: 600px;" /></p> <p>在強化第二道資安防禦方面，首重偵測與可視性，Mandia說：「要先看得見（攻擊行為），才有辦法應變。」舉凡網路、應用程式、系統、使用者行為，整個系統都應具備可視性。而為了對抗頂尖攻擊者，更要針對駭客的橫向移動（Lateral Movement）與PowerShell的執行狀況，建立過濾與阻攔規則，他指出，目前Mandiant公司內部已有超過三千多條此類偵測規則。</p> <p>為了主動偵測駭客入侵行為，Mandia亦建議企業進一步採用蜜罐帳號（Honey Token），引誘駭客現形。例如藉由設立無人使用的電子郵件帳號做為誘餌，一旦偵測到外部郵件寄至誘餌帳號，便可判定為異常行為，從而展開調查；又或是設立一些帶有系統管理或資料庫等關鍵名稱的無人使用帳號，藉由這些看似擁有管理權限的誘餌帳號，引誘潛伏於內網的駭客上鉤，一旦偵測到此類帳號有登入情況，便可判定駭客已經入侵，進而啟動應變與控制措施。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Mandiant%20Against%20Apex%20Attackers-Multistage%20Defense.jpg" style="width: 600px;" /></p> <hr /> <h1><strong><span style="color:#0000FF;">生成式AI將成資安人員救星</span></strong></h1> <p>隨著生成式AI掀起人工智慧的新浪潮，Mandiant執行長Kevin Mandia對新興生成式AI寄予厚望。他認為生成式AI可以解決資安人力耗損、資安人才不足，及縮短攻防不對等的差距。</p> <p>Mandia表示，從過往擔任資安分析師的經驗來看，造成資安人員倦勤（Burn out）最根本的原因，就在於缺乏效率。例如在整個資安事件調查過程中，資安分析師為了產出最後的事件調查報告，投注在製作報告的時間往往遠大於事件調查分析，而這也逐漸導致資安分析師衍生倦勤的想法。</p> <p>雖然攻擊端的駭客也會利用人工智慧技術強化攻擊能力，製作更擬真的釣魚郵件等等，不過Mandia說：「AI對於防禦端資安人員的幫助會更大。」他指出幾種可能的應用，包括生成式AI技術可協助資安人員快速掌握更廣泛的歷史漏洞資訊、事件調查與研究資料，有助於事件應變調查階段取得所需資訊，以及事後更快速製作調查報告。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Mandiant%20Against%20Apex%20Attackers-AI%20Benefits.jpg" style="width: 600px;" /></p> <p>生成式AI技術亦可將不同資安公司的多份調查報告合成為一，協助資安人員快速整合資安情資，節省閱讀報告的時間。Mandia指出，生成式AI技術亦有助於惡意程式分析與分析假訊息，有了新興的AI人工智慧技術，Mandia說：「第一線資安分析師，將能升級為第三線資安分析師。」意指第一線與第二線資安分析師職掌內較為事務性、繁鎖的工作，將會由AI來取代，未來資安人員可以做更高階更有價值的工作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Mandiant%20Against%20Apex%20Attackers-AI%20Benefits2.jpg" style="width: 600px;" /></p> </div></div></div>
2023/11/15 11:19作者吳其勳https://www.ithome.com.tw/news/159828
傳Google為鞏固市占以4年80億代價成三星手機預設App，Safari上搜尋營收分1/3給蘋果
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體報導，為了擴大Google應用在智慧型手機平臺上的市占，Google付給三星4年80億美元以換取其成為手機上的預設App。Google在Safari瀏覽器上的廣告營收也分潤超過3/1給蘋果，確保它的搜尋市占。</p> <p>二項消息都是在Google涉入的官司中，在法庭上揭露。首先，是Google和電玩遊戲發行商Epic的壟斷官司，後者控告Google濫用Android行動應用平臺的獨大地位，限制第三方應用程式使用第三方支付機制。<a href="https://www.bloomberg.com/news/articles/2023-11-14/for-google-play-dominating-the-android-world-was-existential#xj4y7vzkg" target="_blank">《彭博》報導</a>，Google合作夥伴部門副總裁James Kolotouros出席作證時指出Google和Android手機業者簽定交易，以確保手機預安裝Google Play Store App。他的作證也顯示三星手機及其他裝置占了Google Play Store營收的一半以上。</p> <p>報導指出，2019年Google啟動一項「榕樹專案」（Project Banyan）。該計畫目的在使三星的Galaxy Store應用程式市集和Play Store並存於三星裝置中。Google甚至有意支付4年2億美元，以便在Play Store中內建Galaxy Store及其支付機制。不過這計畫後來取消。Google合作的最後決議是4年支付80億美元，換取Google助理、Play Store及Google搜尋三款App成為三星裝置的預設。但Kolotouros指出，Google雖花大筆經費在Android裝置業者合作上，但Google及三星都不同意不讓Galaxy Store置於手機主頁上的作法，這顯示Google並未像Epic所描述，濫用Android獨大地位，排擠對手。</p> <p>Google和蘋果的最新合作內幕，則是從Google vs. 美國司法部的壟斷官司中流出。司法部9月控告Google和裝置、瀏覽器業者簽下多種合作協議，目的在排擠競爭對手如Bing、DuckDuckGo。</p> <p><a href="https://www.cnbc.com/2023/11/14/apple-gets-36percent-of-google-search-revenue-from-safari-alphabet-witness.html" target="_blank">《CNBC》報導</a>，芝加哥大學經濟學教授Kevin Murphy在法庭作證時透露，Google為了不讓蘋果Safari預設使用其他搜尋引擎，雙方一項合作協議是，Google分享Safari瀏覽器產生搜尋營收高達36%給蘋果。</p> <p>過去業界雖知Google鐵定付給蘋果大筆金額，但究竟有多少卻不得而知。Safari是Chrome之外，第二個用戶數突破10億的瀏覽器。《CNBC》引述分析機構Bernstein分析師推測蘋果從和Google的搜尋合作收入為一年190億美元。為了這筆業外收入，<a href="https://www.ithome.com.tw/news/159159" target="_blank">媒體報導</a>蘋果也打消買下Bing搜尋或使用DuckDuckGo作為Safari預設的想法。</p> </div></div></div>
2023/11/15 11:51作者林妍溱https://www.ithome.com.tw/news/159832
12月起Google將刪除2年未登入的Google帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>擁有多個Google帳號又不經常使用的用戶要注意了，再過2個星期Google將開始刪除2年未登入使用的Google帳號。</p> <p><a href="https://www.ithome.com.tw/news/156917" target="_blank">Google今年5月更新安全政策</a>，已預告這項措施。雖然刪除閒置的Google帳號可為其節省成本，不過Google的理由是安全性。Google說舊帳號多半使用舊密碼、重覆利用的密碼，也未啟用雙因素驗證，較容易被駭入並被盜取帳號。這項措施僅適用於個人帳號，不影響學校或企業用戶。當時Google僅說最快12月實施。</p> <p>不過<a href="https://mashable.com/article/google-deleting-inactive-accounts-starting-december-1" target="_blank">上周媒體發現</a>最新更新的Google帳號政策下多了「閒置Google帳號政策」，說明了最早將從2023年12月1日起刪除沒有任何活動的Google帳號。</p> <p>Google說明，Google帳號活動是由帳號而非裝置展現，因此用戶可以從任何桌機、手機的網頁或App等登入。但如果用戶一個裝置上有一個以上的Google帳號，2年內都要有活動才行。</p> <p>刪除帳號意味著帳號內所有內容和資料都會被刪光，再也無法復原。Google刪除之前，會傳送電子郵件到Google帳號，或是發送通知到復原郵件的帳號（如果用戶有提供的話）。</p> <p>登入Google帳號後，有很多方法來展現「活動」，包括讀取或發送email、使用Google Drive、看YouTube影片、分享照片、下載App、使用Google搜尋或使用Sign with Google登入其他第三方App或服務。</p> </div></div></div>
2023/11/15 12:09作者林妍溱https://www.ithome.com.tw/news/159833
Kotlin在TIOBE Index排名持續攀升，名次較去年同期進步13名
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發者對程式語言Kotlin的關注度正在提升，使Kotlin成為<a href="https://www.tiobe.com/tiobe-index/">TIOBE Index 11月</a>受歡迎排名焦點之一，其排名從前一個月的18名上升到15名，總共前進了3名，而且如果與前一年同期相比，名次更是上升13名。</p> <p>Kotlin是一種靜態類型的現代程式設計語言，由JetBrains於2011年的時候開發，其完全相容於Java，受到Android開發者的青睞，從2017年起成為Android官方支援的語言之一。 Kotlin被設計成一個簡潔的語言，不只安全也更有表達力，具有避免空指標、支援擴展函式和高階函式等現代程式語言特性。Kotlin還支援跨平臺開發，包括可用於JavaScript和原生應用程式中，因其易用性和多功能性而受廣泛歡迎。</p> <p>在2個月前，Kotlin才進入TIOBE Index前20名，現在已經來到15名。前一次Kotlin受到關注是在2017年，當時Google宣布Android開始對Kotlin提供一流的支援，評分高峰接近1％，而在11月Kotlin打破了記錄，評分達到了1.15％。</p> <p>TIOBE執行長Paul Jansen提到，由於Kotlin與Java程式語言可完全互通，所以可視為Java程式語言的直接競爭對手。也就是說，Kotlin不僅可用於開發Android應用程式，而且所有Java應用領域都會成為Kotlin的機會。Paul Jansen斷言Kotlin將會進入TIOBE Index前10名。</p> <p>現在前4名程式語言分別是Python、C、C++和Java，而Java才從第三名落到第4名，11月的分數又下降3.63％來到8.35％，而第5名的C#分數則上升3.4％達到7.65%，依照這個趨勢，可能不久之後Java名次又要往後退。</p> <p>除了Kotlin，還有一些程式語言的歡迎程度較去年大幅提升，包括Fortran從去年的24名進步到12名，專為國小和國中生設計的簡易程式語言Scratch，則從17晉升到11名。而大幅退步的程式語言則是R語言，從原本的12名落到了19名。</p> </div></div></div>
2023/11/15 08:49作者李建興https://www.ithome.com.tw/news/159829
Google Vertex AI用戶現可選擇靜態資料落地的地區
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端現在讓包括Vertex AI上的生成式人工智慧模型、Vertex AI Search以及Vertex AI Conversation等生成式人工智慧服務的用戶，<a href="https://cloud.google.com/blog/products/ai-machine-learning/google-cloud-generative-ai-data-residency-guarantees-for-data-stored-at-rest">選擇靜態資料儲存的位置</a>，選項包括北美、歐洲和亞洲等10個地區，以滿足企業對於資料主權和全球監管的需求，控制資料儲存的位置。</p> <p>Google具體的Vertex AI資料落地（Data Residency）新功能，主要針對Vertex AI生成式人工智慧服務，在Vertex AI上包括PaLM 2、Codey以及Imagen等模型，還有文字嵌入和多模嵌入API等服務，提供客戶更多的資料儲存選項，北美洲可選美國和加拿大，歐洲則有荷蘭、法國、英國、德國和比利時，亞洲則可將資料儲存在日本、新加坡和韓國。Vertex AI Search與Vertex AI Conversation兩個服務，用戶則有美國和歐盟內多個地區可以選擇。</p> <p>Google除了新推出資料落地選擇，也重申用戶擁有控制自家資料和模型存取權限和儲存地點的能力，並且承諾不會在未經許可的情況下以用戶的資料訓練模型，在人工智慧服務方面也提供企業級安全性和隱私預設選項，滿足特定安全需求和監管需求。</p> </div></div></div>
2023/11/15 08:52作者李建興https://www.ithome.com.tw/news/159830
【資安日報】11月14日，哈瑪斯駭客透過資料破壞軟體BiBi攻擊以色列企業組織，占用大量處理器資源抹除Windows電…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">自10月初哈瑪斯突襲以色列引爆戰爭，有近百個駭客組織表態支持兩大陣營，企圖向敵對國家發動攻擊，但這些駭客多半是發動DDoS攻擊來癱瘓網站服務的運作。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">但到10月底，有研究人員觀察到資料破壞軟體BiBi的攻擊行動，駭客同時針對Linux、Windows電腦而來，現在有更多研究人員揭露新的調查結果，指出這些駭客終極目的就是進行破壞，動用大量運算資源，讓企業組織難以限縮受害範圍。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【攻擊與威脅】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/israel-warns-of-bibi-wiper-attacks-targeting-linux-and-windows/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">哈瑪斯駭客使用資料破壞軟體BiBi，占用大量處理器資源抹除Windows電腦資料</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/bibi-fig03.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/bibi-fig03.png" style="width: 300px; float: right;" /></a>10月底資安業者SecurityJoes揭露針對以色列組織而來的BiBi-Linux資料破壞軟體（Wiper），疑似哈瑪斯駭客所為，專門針對Linux主機而來；接著資安業者ESET的研究人員看到此惡意程式的變種，可攻擊Windows電腦與伺服器，攻擊者是名為BiBiGun的哈瑪斯駭客，以色列電腦緊急回應團隊（IL-CERT）也發出警告，並提供YARA特徵碼讓企業組織能夠偵測相關攻擊行動<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">，如今，有研究人員公布進一步的調查結果。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資安業者BlackBerry指出，Windows版的資料破壞軟體BiBi-Windows是10月21日製作，由微軟Visual Studio 2019編譯，本體為64位元的可執行檔，大小僅203 KB。一旦電腦受到感染，此資料破壞軟體會先檢查電腦的處理器架構及執行緒的數量，為了盡可能加快破壞資料的速度，此惡意程式通常會使用12個執行緒、占用8個處理器核心，並破壞EXE、DLL、SYS以外的檔案，刪除磁碟區陰影複製服務（Volume Shadow Copy）的備份資料、停用Windows還原功能。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">為了迴避偵測，攻擊者所發動的所有指令內容，採用由右至左（RTL）的順序儲存，而有機會逃過部分防毒軟體的特徵碼。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資料來源</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">1. <a href="https://www.securityjoes.com/post/bibi-linux-a-new-wiper-dropped-by-pro-hamas-hacktivist-group">https://www.securityjoes.com/post/bibi-linux-a-new-wiper-dropped-by-pro-hamas-hacktivist-group</a><br /> 2. <a href="https://twitter.com/ESETresearch/status/1719437301900595444">https://twitter.com/ESETresearch/status/1719437301900595444</a><br /> 3. <a href="http://blogs.blackberry.com/en/2023/11/bibi-wiper-used-in-the-israel-hamas-war-now-runs-on-windows">http://blogs.blackberry.com/en/2023/11/bibi-wiper-used-in-the-israel-hamas-war-now-runs-on-windows</a><br /> 4. <a href="https://www.gov.il/he/departments/publications/reports/alert_1660">https://www.gov.il/he/departments/publications/reports/alert_1660</a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://securelist.com/ducktail-fashion-week/111017/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Ducktail鎖定時尚產業而來</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/Ducktail_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ducktail_01.png" style="width: 300px; float: right;" /></a>專門用於竊取臉書企業帳號的惡意軟體Ducktail，去年7月資安業者WithSecure揭露越南駭客假冒知名企業及品牌，散布此竊資軟體，但今年出現新一波的攻擊行動，而且，駭客重新以另一個程式語言改寫惡意程式。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資安業者卡巴斯基揭露自今年3月出現的Ducktail攻擊行動，駭客鎖定時尚產業而來，先是向想要轉職到這個領域的行銷從業人員發送檔案，其內容包含服飾品牌的新產品圖片，以及偽裝成PDF檔案的惡意程式，一旦這些人開啟檔案，將會觸發PowerShell指令碼，並開啟PDF誘餌檔案、關閉Chrome瀏覽器，然後假借Google Docs離線功能植入惡意擴充套件。此擴充套件一旦偵測到使用者存取與臉書相關的網址，就會試圖挾持用戶登入臉書的Cookie，並利用該社群網站的API及2fa[.]live服務，繞過雙因素驗證（2FA）。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">根據研究人員的遙測分析，印度使用者是主要目標，但烏克蘭、巴基斯坦、越南、美國等地也有受害者。而對於此竊資軟體的開發平臺，他們提及原本的Ducktail是.NET應用程式，這次出現的新竊資軟體是採用Delphi開發，但駭客為何要更換開發的程式語言？研究人員沒有進一步說明。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://twitter.com/MsftSecIntel/status/1722316019920728437"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客組織BlueNoroff透過職場社群網站LinkedIn找尋目標，竊取加密貨幣</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">微軟威脅情報團隊提出警告，北韓駭客組織BlueNoroff（亦稱Sapphire Sleet）近期透過職場社群網站LinkedIn尋找下手目標，假借提供職缺名義發動攻擊，並於受害者的電腦部署後門程式，從而竊取加密貨幣。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">但與該組織過往的攻擊行動有所不同的是，這些駭客並未以提供公司資料或是職務內容為由，直接讓求職者從合法服務（如GitHub）下載惡意程式，而是要求他們使用冒牌的職能評估網站，再趁機在操作過程中，對他們進行後續的攻擊，為了防止研究人員進行分析，這些網站通常會採用密碼保護措施。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">研究人員指出，駭客這麼做的原因，就是他們過去用於代管惡意程式的網路服務，如今已具備快速偵測、清除這些惡意程式的能力，而使得他們不得不轉移陣地、調整攻擊流程。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.securityweek.com/dragos-says-no-evidence-of-breach-after-ransomware-gang-claims-hack-via-third-party/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體BlackCat聲稱透過第三方供應商入侵資安業者Dragos，遭到該業者否認</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/Dragos-ransomware.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dragos-ransomware.png" style="width: 300px; height: 124px; float: right;" /></a>根據資安新聞網站SecurityWeek的披露，勒索軟體駭客BlackCat（Alphv）聲稱竊得工控資安業者Dragos的內部資料，要脅在24小時之內進行聯繫，否則將要公開主管成員的資料，以及「真相」。而對於上述的資料來源，駭客宣稱是從第三方廠商資料外洩事故取得。<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">對此，Dragos表示他們著手調查此事，駭客並未直接與他們取得聯繫，截至目標的調查結果，該公司系統並未出現遭到入侵的跡象。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">勒索軟體駭客聲稱竊得Dragos內部資料的情況已非首例，上個月勒索軟體駭客組織聲稱RansomedVC攻擊了企業管理顧問公司Accenture、美國油料管線Colonial Pipeline，以及Dragos，該資安業者表示，駭客的說法顯然與事實不符。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/dp-world-cyberattack-blocks-thousands-of-containers-in-ports/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">物流業者杜拜環球港務遭遇網路攻擊，澳洲多個港口運作受到衝擊</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">根據資安新聞網站Bleeping Computer的報導，物流業者杜拜環球港務（DP World）澳洲分公司在11月10日遭遇網路攻擊，導致3萬個貨櫃擺放在碼頭無法移動，由於當中涉及大量有時效性的貨品（如生鮮、食品），損失恐達數百萬美元。對此，該公司啟動應變計畫，並尋求資安專家協助調查，目前正著手測試、恢復業務所需的重要系統。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bitdefender.com/blog/businessinsights/hive-ransomwares-offspring-hunters-international-takes-the-stage/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Hive疑似重起爐灶，改名Hunters International從事網路攻擊</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/image-png-Nov-07-2023-09-25-57-2004-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-png-Nov-07-2023-09-25-57-2004-PM.png" style="width: 300px; float: right;" /></a>今年1月，美國聯邦調查局（FBI）與德國、荷蘭的執法單位聯手，摧毀勒索軟體Hive的基礎設施，這些執法單位向300個受害組織提供解密金鑰，阻止他們向駭客支付1.3億美元贖金。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">但從10月下旬，有研究人員發現名為Hunters International的勒索軟體駭客組織出沒，經分析對方使用的攻擊工具，發現與Hive的程式碼有所交集，或是相似之處，符合程度至少有60%，從而懷疑該組織就是Hive捲土重來，但遭到否認。這些駭客聲稱，他們是向Hive經營者購買原始碼來從事相關攻擊，主要偏重於外流受害組織的資料，而非加密檔案。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資安業者Bitdefender進一步調查此事，<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">根據他們的分析結果指出，</span>由於前述執法行動並未逮捕Hive成員，Hive組織的領導階層在停止營運後，很有可能將相關資產移轉給Hunters International，以便繼續經營相關攻擊行動。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【其他新聞】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/cisa-warns-of-actively-exploited-juniper-pre-auth-rce-exploit-chain/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">CISA警告Juniper預先身分驗證漏洞已出現攻擊行動</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.hackread.com/oracleiv-ddos-botnet-malware-docker-engine-api-instances/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">DDoS殭屍網路OracleIV鎖定Docker而來</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.mandiant.com/resources/blog/sandworm-disrupts-power-ukraine-operational-technology"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">西洋棋網站Chess.com傳出資料外洩，駭客濫用API搜括使用者資料</span></span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.rmp.gov.my/news-detail/2023/11/08/video-pilihan-op-khas-bulletproftlink-hasil-rampasan"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">馬來西亞政府破壞網路釣魚犯罪圈BulletProofLink</span></span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=211853&SPOKE_DATE=20231112&COMPANY_ID=1727"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中華化學部分資訊系統遭遇網路攻擊</span></span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>近期資安日報</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159771"><strong>【11月13日】疑為未修補Citrix NetScaler重大漏洞釀禍！中國工商銀行美國分公司遭勒索軟體攻擊，波及美債交易</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159733"><strong>【11月10日】 ChatGPT與相關API服務發生間歇性中斷事故，OpenAI坦承是遭遇大規模DDoS攻擊所致</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159710"><strong>【11月9日】駭客藉由PyPI套件散布BlazeStealer竊資軟體，對開發人員的電腦上下其手，甚至造成電腦無法使用</strong></a></p> </div></div></div>
2023/11/14 16:52作者周峻佑https://www.ithome.com.tw/news/159822
AI新創Profet AI推AI生命周期管理平臺AILM，年底前可支援生成式AI強化知識管理效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內無程式碼（No-code）AI新創業者Profet AI，今天（11/14）發表AI生命周期管理平臺AILM（AI Lifecycle Management），涵蓋AI議題探索、產生模型、應用落地到知識經驗擴散。該公司預告年底前AILM將會支援生成式AI，來提高知識經驗的管理及應用。</p> <p>成立於2019年的Profet AI喊出口號，要讓80%的關鍵員工成為AI工作者，旗下的No-code無程式碼AI工具AutoML，提供超過50種的製造業常用機器學習演算法，讓不具有IT、開發背景的不同製造業領域專家，可透過無程式碼工具來快速建立AI模型。Profet AI宣稱現在已有14大類製造業、超過160家客戶，並且在日本、中國、新加坡等地設有據點。</p> <p>Profet AI執行長黃建豪表示，Profet的目的為將機器學習的複雜AI技術，成為工具軟體給領域專家使用，讓99%的客戶在2小時教育訓練後，學會使用該工具，運用歷史資料作各種預測，相信當更多人能使用工具作各種預測，可以提升公司整體的競爭力。舉例來說，企業人資對人才的離職預測，或是對供應鏈的庫存預測、優化。</p> <p>黃建豪指出，製造業需要以AI為基礎，建立判斷標準化的管理能力，除了數據分析建模進行各種AI預測，過去在生產上仰賴老師傅經驗判斷的管理方式，隨著老師傅退休或人才斷層風險的增加，未來更需要建立判斷標準化的管理方式。AILM的目的是讓企業從過去仰賴經驗的管理標準化，向系統流程的流程標準化，到以AI數據分析的判斷標準化，讓領域知識（Domain Know-how）可管可控。</p> <p>Profet AI技術長林裕鑫表示，目前市場的管理平臺大多聚焦在AI模型的建立及維護，偏向技術、資料科學的角度，但是企業在使用AutoML建模分析之前，商業問題或議題產生、分析、怎麼被解決也相當重要，在建模的前期，對企業管理而言，Why及How也相當重要。</p> <p>因此在AILM裡，除了整合AutoML的建模分析之外，建模之前的AI議題建立、AI議題的探索評估、大量議題的管理，還有類似專案管理的工作任務管理，了解工作任務指派的情形、個人任務管理。</p> <p>為了讓製造業經驗知識可被控管、傳承擴散，AILM也提供企業內部AI知識庫功能，建立企業內部AI知識庫。</p> <p>林裕鑫表示，相較於一般知識管理偏向文檔管理，AILM的知識庫則以問題為中心來建立相關的AI知識庫。企業能將長期累積的領域AI知識及經驗建立內部資料庫，讓領域經驗知識能夠傳承、擴散，結合在年底前推出的生成式AI模組，使用者可以透過生成式AI，搜尋特定領域的知識，或是對企業內部累積的大量資料，快速搜尋相關資料，獲得資料的摘要。</p> <p> </p> </div></div></div>
2023/11/14 18:37作者蘇文彬https://www.ithome.com.tw/news/159827
Google控告偽造Bard廣告來遞送惡意程式的駭客
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://regmedia.co.uk/2023/11/13/google_bard_scam.pdf" target="_blank">Google本周控告了3名專門偽造Bard廣告來遞送惡意程式的駭客</a>，Google並不知道這些駭客的真實身分，但根據IP位址猜測他們可能位於越南。</p> <p>根據訴狀，這些駭客透過臉書（Facebook）建立了以Google AI、AIGoogle、AiGoogle、AIGoogle.Plus、AIGoogle Bard FB及AIGoogleBard等為名的粉絲頁，再透過廣告宣傳已有最新版本的Bard或AI技術，可免費供使用者下載，但下載後卻是於使用者電腦上安裝惡意程式，以竊取使用者的社交媒體憑證，進而接管受害者的社交媒體帳戶，再利用這些帳戶來散布惡意廣告。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1114-Bard-%E6%83%A1%E6%84%8F%E5%BB%A3%E5%91%8A(1)-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Google.png" style="width: 494px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1114-Bard-%E6%83%A1%E6%84%8F%E5%BB%A3%E5%91%8A(%EF%BC%92)-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Google.png" style="width: 393px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></p> <p>有些惡意程式的下載頁面還使用bard-ai.info及g-bard-ai.com等網域名稱，企圖魚目混珠。</p> <p>從今年4月以來，Google已提出大約300次要求社交媒體撤下這些廣告的請求，<a href="https://blog.google/outreach-initiatives/public-policy/taking-legal-action-to-protect-users-of-ai-and-small-businesses/" target="_blank">Google法務長Halimah DeLaine Prado表示</a>，正式採取法律行動的目的是為了阻止這些詐騙份子設定相關的網域名稱，也讓Google得以與美國的網域名稱註冊商合作，關閉駭客所使用的惡意網域。</p> <p>其實Google在今年3月所推出的AI機器人聊天服務Bard只有一個官方網址，就是bard.google.com，而且Google迄今尚未發表Brad的桌面或行動程式，因此根本無需下載。</p> <p>但掀起熱潮的AI聊天服務不免引起駭客的覬覦，<a href="https://www.ithome.com.tw/news/156714" target="_blank">Meta今年初就發現了10款偽裝成ChatGPT或類似工具的惡意程式家族</a>，並封鎖了超過1,000個偽裝成ChatGPT的不同網址，駭客的目的是要取得受害者於社交平臺或網路上的企業帳戶，以便用來執行未經授權的廣告。</p> </div></div></div>
2023/11/14 14:20作者陳曉莉https://www.ithome.com.tw/news/159820
健保署聯手美國醫資管理協會HIMSS，要強化健保IT轉型和資安韌性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>健保署昨日（11/13）與美國醫療資訊暨管理系統協會（HIMSS）簽署合作備忘錄，要透過雙方資訊交流和人員訓練，來強化臺灣醫療體系資訊管理系統和資安韌性，還要接軌國際醫療資訊標準，來加速醫療體系的數位轉型。</p> <p><span style="font-size:24px;"><strong>健保署提數位轉型4面向、8策略</strong></span></p> <p>健保署署長石崇良在記者會中表示，過去三年的COVID-19疫情加速遠距醫療、數位醫療發展，但臺灣即將在2025年進入超高齡社會，面臨高齡長者快速成長、少子化問題，工作人力不足，更凸顯數位轉型的必要性與急迫性。</p> <p>因此，健保署向行政院提出健康平權健保數位轉型計畫，也在今年8月17日獲政院同意。該計畫包含4面向，也就是民眾賦能、雲端系統、無圍牆服務、資料生態系，<a href="https://www.ithome.com.tw/news/159227">同時還有8策略</a>，比如建置以個人為中心的數位資訊平臺系統（即家醫大平臺）；與醫療院所或民間企業合作，開發個人化App，彙整各項健康資料，來強化民眾自我健康識能與健康管理，並回饋醫師個人化資訊，還要用AI輔助提升疾病管理效率；利用數位化工具，協助基層院所與社區藥局的資訊系統升級和雲端化，並導入國際標準來強化資料互通性和互可操作性，提升醫療體系的效能。</p> <p><span style="font-size:24px;"><strong>健保署聯手HIMSS，要強化資安和數位轉型</strong></span></p> <p>HIMSS是全球性的非營利組織，成立超過60年，長期推動醫療IT應用，服務機構遍及北美、歐洲、英國、中東和亞太地區，在推動全球醫療數位轉型有著豐富經驗。尤其，HIMSS還推動「資訊技術和管理」制度來改善全球醫療系統的品質、安全、成本效益和可持續性，也提供完善的資料治理、管理建議和指導。臺灣也有數家醫院和體系導入HIMSS管理模組，也有不錯的成果。</p> <p>有鑑於此，這次健保署與HIMSS聯手，要用HIMSS的數位健康指標分析評鑑和資安優化策略，來協助健保署建置數位資訊平臺系統，提高跨系統的資料處理效能、強化智慧應用，完善健保資料庫生態系統。此次合作有4大重點：</p> <ol> <li>提升全人健康照護：要透過數位轉型合作，促進全體國民健康。</li> <li>培養數位交互能力：以實證方式利用DHI框架，來發展電子病歷、數位影像、資料分析、基礎建設等，來建立健保數位醫療生態系。</li> <li>強化網路資安韌性：強化資料治理、完備資料存取、降低敏感資料運用風險。</li> <li>完備人才發展：提高員工數位醫療和創新能力。</li> </ol> <p>健保署署長石崇良強調，這次與HIMSS聯手，有助於健保資訊系統升級、與國際標準接軌，還能加速國內各醫療體系的數位轉型，提高醫療品質和效率。</p> <p></p> </div></div></div>
2023/11/14 12:23作者王若樸https://www.ithome.com.tw/news/159804
Node.js 21內建對WebSocket的支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://nodejs.org/en/blog/announcements/v21-release-announce" target="_blank">OpenJS基金會在10月釋出了Node.js 21</a>，它內建了WebSocket客戶端，可直接自一個Node.js程式連結到WebSocket伺服器，而無需再仰賴第三方套件。</p> <p>Node.js是個開源且跨平臺的伺服器端JavaScript執行環境，可於Windows、Linux、Unix及macOS等作業系統上運作，它基於Google Chrome的V8 JavaScript引擎，讓開發者可同時以JavaScript來撰寫伺服器端及瀏覽器端的程式，以創造更流暢的開發流程。</p> <p>WebSocket則是一個可於單一TCP連結上執行全雙工的網路傳輸協定，在Node.js 21中，開發者只要執行「node --experimental-websocket」，就能存取WebSocket功能，而讓伺服器端與客戶端能夠進行即時且雙向的互動通訊，對於打造包括聊天、網站即時更新或是互動遊戲非常有用。</p> <p>Node.js 21除了實驗新的WebSocket客戶端之外，也將V8 JavaScript引擎升級到11.8，並讓fetch模組與WebStreams模組成為穩定功能。</p> <p>有許多知名網站都是採用Node.js，特別是那些與使用者互動頻繁的網站，包括X、Netflix、GiHub、Spotify及TikTok等，這些用戶也彰顯了Node.js可處理大量並行請求的優勢。</p> <p>Node.js平均每半年釋出一個主要版本，<a href="https://w3techs.com/technologies/overview/web_server" target="_blank">根據W3Techs在今年11月的統計</a>，Node.js現為全球第六大網頁伺服器，市占率為3%，前五名依序是Nginx（34.3%）、Apache（30.8%）、Cloudflare Server（21.2%）、LiteSpeed（12.6%）與Microsoft-IIS（5.3%）。其中，Node.js的市占率從去年11月的2.1%成長至3%，Microsoft-IIS在同一期間則是自5.9%下滑至5.3%。</p> </div></div></div>
2023/11/14 12:27作者陳曉莉https://www.ithome.com.tw/news/159802
五百大超級電腦公布，微軟Azure拿下第三名，Nvidia入列前十
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每半年一次的<a href="https://www.top500.org/lists/top500/2023/11/" target="_blank">全球五百大超級電腦上周公布最新名單</a>，今年前十大中，Nvidia超級電腦入列前十名，微軟Azure更擠進第三位。Intel Xeon處理器囊括其中5座系統。今年十大名單也是多年來首次沒有中國超級電腦上榜。</p> <p>上周Supercomuting 2023（SC23）大會在丹佛市舉行，<a href="https://www.top500.org/news/frontier-remains-no-1-in-the-top500-but-aurora-with-intels-sapphire-rapids-chips-enters-with-a-half-scale-system-at-no-2/" target="_blank">公布全球最快的超級電腦</a>。今年最快超級電腦仍由位於美國能源部橡樹嶺國家實驗室的Frontier蟬連，為搭載AMD優化第三代EPYC 64C及AMD Instinct加速器的HPC Cray系統，HPL測試運算速度維持上次的1.194 EFLOP/s。多年龍頭，日本理研運算科學中心的富岳（Fugaku）則由半年前的第二名滑落到第四名。</p> <p><a href="https://www.top500.org/lists/top500/2023/11/" target="_blank">今年前十名</a>新入榜者有四座，其中第二名是美國能源部的阿拉貢國家實驗室（Argonne National Laboratory）的<a href="https://www.top500.org/system/180183/" target="_blank">Aurora</a>。去年底美政府還追加6,000萬美元打造這座超級電腦。Aurora為使用Intel Exascale Compute Blade的HPE Cray EX系統，搭載Xeon CPU Max系列處理器及Intel Data Center GPU Max系列加速器。其HPL運算速度達585.34 PFlop/s。不過這只是Aurora尚未建構完成的成績，等它建好後，其運算速度將達2 EFlop/s，將超越Frontier。</p> <p>第三名也是新進榜者，是微軟Azure Cloud資料中心裏的超級電腦<a href="https://www.top500.org/system/180236/" target="_blank">Eagle</a>。Eagle為Microsoft NDv5系統，HPL評分達561.2 PFlop/s，採用Intel Xeon Platinum 8480c CPU及Nvidia H100加速器。兩年前，Azure雲端系統才首次進入前十大，Eagle今年的排名也是雲端系統在五百大超級電腦名單中歷來之最。</p> <p>在前五百大名單中，25座系統使用Intel Sapphire Rapids CPU，其中20座為新系統。Intel Sapphire Rapids CPU也是最多新系統使用的新CPU，其中排名最高的就是Aurora。</p> <p>另二個新進榜者分別為第8名，位於西班牙EuroHPC巴賽隆納超級運算中心的MareNorstrum 5 ACC，及第9名的Eos NVIDIA DGX SuperPOD。MareNorstrum為Intel Xeon Platinum 5460Y/Nvidia H100的BullSequana系統，HPL評分為138.2PFlop/s。<a href="https://www.top500.org/system/180239/" target="_blank">Nvidia自家的超級電腦</a>同樣搭載Intel Xeon Platinum 8489C/Nvidia H100，HPL評分為121.4 PFlop/s。</p> <p>今年前十大中，Intel Xeon處理器囊括五座超級電腦，占比最高，使用AMD及IBM處理器者為2座。</p> <p>今年也是多年以來中國超級電腦首次沒有列入前十大。放眼五百大名單，中國超級電腦由134座減少為104座，但仍然居第二多，美國則從150座增至161座。</p> <p>以洲來看，前五百大超級電腦所在區域，北美以171座超越亞洲的169座，歐洲則有143座。</p> </div></div></div>
2023/11/14 11:35作者林妍溱https://www.ithome.com.tw/news/159800
微軟展延Windows Server 2012/2012 R2技術支援三年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟原本預定於今年10月終止Windows Server 2012及2012 R2的技術支援，<a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/windows-server-2012-r2-extended-security-updates/ba-p/3976610" target="_blank">但上周微軟宣布將展延3年</a>，以給用戶更多時間能更新到更現代化的版本。</p> <p>根據微軟10年生命周期政策，Windows Server 2012、Server R2或Windows Embedded Server 2012 R2 on Azure都在今年10月10日來到了EoL（End of Life）。不過，在最新宣布下，用戶都額外獲得了3年的延長安全更新（Extended Security Updates，ESUS），同時這也適用於Azure Stack HCI、Azure Stack Hub及其他Azure產品。</p> <p>如果用戶已搬移到Azure上，可立即獲得免費ESU。若用戶無法搬移，可以直接在Azure入口網站購買Windows Server 2012 and 2012 R2 Extended Security Updates enabled by Azure Arc，不用金鑰即可在本地部署及代管環境上部署。</p> <p>若不使用Azure Arc，則需使用多重啟用金鑰（multiple activation keys，MAK）購買及部署，需要用戶<a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/windows-server-2012-r2-extended-security-updates/ba-p/3976610#H1" target="_blank">購買</a>及安裝ESU金鑰，並啟動以獲得延長安全更新。</p> </div></div></div>
2023/11/14 12:01作者林妍溱https://www.ithome.com.tw/news/159801
Google雲端更新HPC工具包，加速AI和機器學習運算資源配置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端<a href="https://cloud.google.com/blog/topics/hpc/cloud-hpc-toolkit-updates-to-support-ai-and-ml">更新</a>去年所推出的HPC工具包，不只能夠支援HPC使用案例，現在也可更好地支援人工智慧和機器學習的工作負載，供用戶簡單部署人工智慧運算環境。HPC工具包是一組開源工具和資源，簡化重複建立HPC運算環境的任務，用戶可以透過現有HPC藍圖，或是在YAML檔案新建藍圖，在數分鐘內迅速啟動並執行HPC叢集。</p> <p>Google發現客戶會在傳統的HPC叢集上，使用像是Nvidia NeMo人工智慧和機器學習框架，大規模客製化和部署模型。因此Google現在改進HPC工具包，應對HPC系統與人工智慧/機器學習工作負載融合帶來的部署挑戰，讓用戶只要使用HPC工具包，就可以透過滑鼠點擊迅速設定HPC環境，開始在Nvidia GPU上訓練大型語言模型。</p> <p><a href="https://cloud.google.com/hpc-toolkit/docs/overview">HPC工具包擁有幾個關鍵元件</a>，包括HPC藍圖（Blueprint）、HPC模組、ghpc引擎和HPC部署資料夾。HPC藍圖是一種用YAML檔案格式定義的配置檔案，其詳細指定了所要使用的HPC模組，以及客製化這些模組的方法。而HPC模組則由Terraform和Packer配置檔案組成，是建置部署資料夾的基本組成。ghpc引擎則是Google的開源工具，會使用HPC藍圖以及不同的HPC模組，產生HPC部署資料夾，該資料夾為自包含，具有部署完整HPC叢集需要的所有元素。</p> <p>在本次更新中，Google強化HPC工具包對人工智慧工作負載的支援，官方指出，他們與Nvidia一起開發了人工智慧和機器學習藍圖，藍圖提供預配置分割區，支援包括G2、A2和A3三種不同的Nvidia GPU虛擬機器類型。</p> <p>此外，該系統以Google的Ubuntu深度學習虛擬機器映像檔為基礎，並且包含了NCCL（Nvidia Collective Communications Library）Fast Socket最佳化，可以提升分散式運算環境中的網路通訊效率。而且Google透過在藍圖中綑綁enroot容器工具，和適用於Slurm工作負載調度程式的Pyxis擴充套件，讓用戶能夠無縫整合非特權容器，並在Slurm任務中指定使用該容器。</p> <p>透過運用Google雲端的HPC工具包，開發者可以快速建立和部署遵循最佳實踐的雲端運算環境，並整合Cloud Monitoring，進行監控與獲得效能可見性。而且HPC工具包也與Google的合作夥伴解決方案與技術整合，因此能夠結合DAOS、DDN EXAscaler等儲存系統，以及Slurm工作負載調度程式一起使用，高效處理大量資料和複雜計算任務。</p> </div></div></div>
2023/11/14 08:28作者李建興https://www.ithome.com.tw/news/159782
【資安日報】11月13日，疑為未修補Citrix NetScaler重大漏洞釀禍！中國工商銀行美國分公司遭勒索軟體攻擊…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">10月上旬Citrix修補NetScaler重大漏洞<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">CitrixBleed（</span>CVE-2023-4966），隨後陸續資安業者Mandiant揭露，至少4組人馬將其用於攻擊行動，但並未透露受害對象。如今傳出有企業因沒有修補漏洞而遭遇勒索軟體攻擊，使得業務受到嚴重影響。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">在上週<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">中國工商銀行（ICBC）美國子公司發生的勒索軟體攻擊事故，就是這樣的例子，有資安專家發現，駭客在事發數日前入侵了NetScaler伺服器，而能夠存取該公司的網路環境。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【攻擊與威脅】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/industrial-and-commercial-bank-of-china-hit-by-ransomware-attack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國工商銀行美國分公司傳出遭勒索軟體攻擊，疑為Citrix Bleed漏洞釀禍</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/ktYiCI0FLI_20231113-1519-52351.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ktYiCI0FLI_20231113-1519-52351.png" style="width: 300px; float: right;" /></a>根據金融時報的報導，證券業暨金融市場協會（SIFMA）於11月8日向會員透露，中國工商銀行的美國子公司工銀金融（ICBCFS）傳出遭遇勒索軟體攻擊，駭客要脅付款，否則將要癱瘓該公司的電腦系統。取得交易員及銀行的說法後，金融時報提到，本次攻擊事故導致工銀金融無法結算投資人的美國國債交易，部分股票交易也受到影響。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">對此，工銀金融也於9日證實特定系統遭到勒索軟體攻擊，面臨服務中斷的情況，該公司事發後，切斷受害系統的網路並進行隔離，控制受害範圍。該公司強調，他們的業務系統及電子郵件系統，獨立於母公司之外，中國工商銀行總部辦公室，以及其他海外分公司不受影響。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">而對於這起事故發生的原因，資安專家Kevin Beaumont透露，駭客很可能是針對該公司的Citrix Netscaler系統下手，利用CitrixBleed漏洞（CVE-2023-4966，CVSS風險評分為9.4）入侵網路環境，此伺服器在6日之後就處於離線狀態。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資料來源</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">1. <a href="https://www.ft.com/content/8dd2446b-c8da-4854-9edc-bf841069ccb8">https://www.ft.com/content/8dd2446b-c8da-4854-9edc-bf841069ccb8</a><br /> 2. <a href="https://twitter.com/vxunderground/status/1722686306709393720">https://twitter.com/vxunderground/status/1722686306709393720</a><br /> 3. <a href="https://cyberplace.social/@GossiTheDog/111382220085861321">https://cyberplace.social/@GossiTheDog/111382220085861321</a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/technology/cloudflare-website-downed-by-ddos-attack-claimed-by-anonymous-sudan/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Anonymous Sudan聲稱對Cloudflare發動DDoS攻擊</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/Cloudflare website outage.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cloudflare%20website%20outage.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，11月9日雲端服務業者Cloudflare網站<a href="http://www.cloudflare.com">www.cloudflare.com</a>出現服務中斷的錯誤訊息，表明使用者的電腦或網路疑似自動發出查詢請求，為保護使用者，相關請求該公司不予處理。但特別的是，這則錯誤訊息上竟出現了Google商標，並提供Google說明網頁的連結，而且，該網頁上的商標，與現在Google使用的字體有明顯差距。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">當時，Cloudflare表示網站出現異常，但該公司其他服務不受影響，隨後Cloudflare釋出修補程式因應。該公司發言人證實，上述服務中斷的現象，起因是他們遭遇了DDoS攻擊，並強調該網站架設於獨立的基礎設施，其他Cloudflare服務不受影響。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">而對於攻擊者的身分，俄羅斯駭客組織Anonymous Sudan聲稱是他們所為，但沒有說明下手的動機。這並非近期該組織首度針對大型IT業者下手，11月8日OpenAI遭到攻擊，導致旗下ChatGPT及API服務中斷超過一天。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.aon.com/cyber-solutions/aon_cyber_labs/detecting-effluence-an-unauthenticated-confluence-web-shell/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">後門程式Effluence鎖定DevOps協作平臺Atlassian Confluence而來</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">保險業者怡安（Aon）旗下的網路安全實驗室揭露名為Effluence的後門程式，此惡意軟體專門針對Atlassian旗下的DevOps協作平臺Confluence而來，利用該系統的漏洞入侵伺服器，從而讓攻擊者洩露主機上的資料，並進一步橫向移動存取其他網路資源。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">在其中一起攻擊行動裡，駭客利用CVE-2023-22515（CVSS風險評分為10分）取得初始存取權限，並將Web Shell（即Effluence）嵌入Confluence Data Center伺服器，並挾持該系統底層的Tomcat網頁伺服器元件，這使得攻擊者不需取得有效使用者帳號的情況下，存取該伺服器的所有網頁。此惡意程式可讓攻擊者建立管理員帳號，以便完全控制此協作平臺，甚至能挖堀受害組織的LDAP組態、郵件伺服器的資訊。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">對此，研究人員提出警告，此惡意程式極為難以偵測，即使IT人員套用修補程式，也無法防堵駭客持續存取受害主機。他們呼籲IT人員，就算已部署修補程式，仍要清查是否遭到Effluence入侵。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.huntress.com/blog/third-party-pharmaceutical-vendor-linked-to-pharmacy-and-health-clinic-cyberattack"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國藥品管理系統供應商使用的遠端桌面連線工具ScreenConnect遭到鎖定，駭客入侵製藥廠、醫療機構</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資安業者Huntress揭露針對醫療產業而來的攻擊行動，攻擊者濫用名為ScreenConnect的遠端桌面連線（RDP）工具，於10月28日至11月8日這段期間，他們發現針對製藥廠、醫療保健機構的攻擊行動。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">這些事故存在共通的攻擊戰術及手法，駭客於執行Windows Server 2019的伺服器上，透過美國藥品管理系統供應商Outcomes（原Transaction Data Systems）建置的ScreenConnect入侵，成功後駭客再部署自己的ScreenConnect或AnyDesk用戶端程式，以便持續控制受害主機。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">接者，攻擊者下載名為text.xml的惡意酬載，此XML檔案內含C#程式碼，主要功能是將Metasploit延伸模組Meterpreter載入記憶體內執行，接著，濫用列印多工緩衝處理器（Print Spooler）服務執行其他處理程序。但究竟駭客如何入侵Outcomes建置的ScreenConnect系統？研究人員表示仍不得而知。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/11/malvertiser-copies-pc-news-site-to-deliver-infostealer"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客透過Google廣告散布惡意CPU-Z處理器資訊軟體，目的是於受害電腦植入竊資軟體RedLine</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/windowsreport-compare.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/windowsreport-compare.png" style="width: 300px; float: right;" /></a>資安業者Malwarebytes揭露散布竊資軟體的惡意廣告行動，駭客假借提供電腦硬體規格偵測工具軟體CPU-Z，以美國導演史考特．庫柏（Scott Cooper）的名義在Google搜尋引擎投放廣告，一旦使用者點選，就有可能被帶往駭客架設的網站，下載冒牌的CPU-Z安裝程式，此為帶有數位簽章的MSIX安裝檔案，當中帶有惡意程式載入工具FakeBat，若是執行安裝，就會啟動FakeBat，透過PowerShell指令碼從C2伺服器下載竊資軟體RedLine Stealer。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">值得留意的是，為了降低使用者戒心，駭客並非架設冒牌的CPU-Z網站，而是偽造專門報導Windows新聞的網站Windows Report，以該新聞網站的名義提供下載。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.peoplenews.tw/articles/f8da8c0cef"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">司法院傳出遭到入侵，內網密碼、判決書流入駭客論壇</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">根據新聞網站民報的報導，有白帽駭客向他們透露，司法院網站資料庫遭到入侵，存取判決書的帳密資料、判決書內容、系統資料，皆被公布於即時通訊軟體Telegram的群組，此群組的任何成員都能取得。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">而對於這批資料的來源，駭客疑似在今年4月發動SQL注入攻擊，並利用網站、應用程式、資料庫的漏洞，從而取得司法院內部資料，駭客聲稱握有最高管理員權限。該新聞網站10月7日向司法院進行確認，司法院表示正在了解狀況，並於9日聲稱「已查核資安無虞」。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">對此，</span><a href="https://www.judicial.gov.tw/tw/cp-1693-980711-fe865-1.html">司法部於13日提出新的說明</a>，他們8月中旬察覺可能有資料外洩疑慮，成立專案小組採取行動，經確認遭駭的是供民眾查詢公開資訊的主機，該主機並未開放民眾註冊帳號，也沒有存放裁判書，尚未涉及機敏資料。該院資訊處亦建置新主機予以取代，8月底向國家資通安全通報應變網站進行結案通報，強調無上述報導內網密碼、判決書公開的情況。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【資安產業動態】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://press.asus.com/tw/news/asus-ibm-ai-cybersecurity-partnership/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">品牌商用電腦與EDR方案結合再添新例！華碩宣布與IBM合作，提供QRadar EDR加值資安解決方案</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/20231113111125535_s.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/20231113111125535_s.jpg" style="width: 300px; float: right;" /></a>在商用品牌筆電提供EDR/MDR資安加值服務的態勢上，繼Dell結合VMware Carbon Black與Secureworks、Lenovo結合SentinelOne，華碩商用電腦也跟上這樣的潮流，在11月10日宣布，將IBM Security QRadar EDR，作為提供給商用電腦客戶的資安解決方案，臺灣會是第一個推動的市場。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">華碩全球副總裁林宗樑指出，儘管端點偵測與回應（EDR）解決方案推出市場已久，但國內還是有很多企業沒有採用，這次雙方的合作會先從臺灣開始，未來希望能與IBM有更多合作，可涵蓋更多資安產品領域，並且擴展至全球市場。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">此次這兩家公司聯合推出的資安加值服務，將區分為兩種形式，一種是選購EDR工具，一種是選購MDR服務，前者將提供雲端平臺管理權限供企業自行使用，後者則是企業向華碩選購服務，背後服務團隊則是由IBM負責，提供威脅偵測應變與事件處理建議，特別的是，除了華碩與IBM兩家公司的合作，在本地的系統整合廠商方面，將由凱信資訊扮演IBM與臺灣企業之間的橋樑，提供更貼近用戶的服務。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【其他新聞】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="http://www.maine.gov/moveit-global-data-security-incident/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國緬因州遭遇MOVEit Transfer零時差漏洞攻擊，130萬民眾個資外洩</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/mortgage-giant-mr-cooper-says-customer-data-exposed-in-breach/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國房貸業者Mr. Cooper證實遭遇網路攻擊，多項IT系統被迫中斷服務</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.mandiant.com/resources/blog/sandworm-disrupts-power-ukraine-operational-technology"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Sandworm透過寄生攻擊手法，破壞烏克蘭關鍵基礎設施</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.deepinstinct.com/blog/muddyc2go-latest-c2-framework-used-by-iranian-apt-muddywater-spotted-in-israel"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">伊朗駭客設置新的C2框架MuddyC2Go，用於攻擊以色列組織</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://twitter.com/MsftSecIntel/status/1722316019920728437"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">北韓駭客組織BlueNoroff透過職場社群網站LinkedIn找尋目標，竊取加密貨幣</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>近期資安日報</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159733"><strong>【11月10日】 ChatGPT與相關API服務發生間歇性中斷事故，OpenAI坦承是遭遇大規模DDoS攻擊所致</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159710"><strong>【11月9日】駭客藉由PyPI套件散布BlazeStealer竊資軟體，對開發人員的電腦上下其手，甚至造成電腦無法使用</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159699"><strong>【11月8日】駭客組織SideCopy利用WinRAR高風險漏洞發動攻擊，針對印度政府機關而來，Linux電腦也是目標</strong></a></p> </div></div></div>
2023/11/13 17:17作者周峻佑https://www.ithome.com.tw/news/159771
【資安週報】2023年11月6日到11月10日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一週漏洞利用消息中，今年5月曾發動MOVEit Transfer零時差漏洞攻擊的駭客組織，近期有了新的目標，成為最大關注焦點，還有兩個已知漏洞遭攻擊者鎖定利用的情形也必須留意。</p> <p>（一）IT服務管理軟體供應商SysAid在11月8日修補零時差漏洞CVE-2023-47246，對於這起攻擊行動，微軟指出是勒索軟體駭客組織Clop（亦稱Lace Tempest、TA505）所為，由於該組織在今年5月底曾發動MOVEit Transfer零時差漏洞攻擊，因此格外引發關注。目前，已陸續有資安業者說明，在10月30日、11月2日就發現該漏洞被利用於攻擊行動。<br /> （二）Atlassian在10月31日修補旗下DevOps協作平臺Confluence重大漏洞CVE-2023-22518，有資安業者發現11月5日該漏洞正開始被用於攻擊行動，並造成Confluence伺服器感染勒索軟體Cerber。<br /> （三）今年4月底資安業者揭露服務定位協定（Service Location Protocol，SLP）的高風險漏洞CVE-2023-29552，指出駭客可藉此漏洞發動DoS攻擊，並警告存在此漏洞的裝置種類與數量都多，到了11月初，資安研究人員發現該漏洞開始被攻擊者鎖定利用的情形。</p> <p>本周其他重要的漏洞修補消息方面，包括：威聯通修補旗下NAS作業系統2個重大漏洞，Veeam針對旗下IT監控解決方案Veeam ONE修補兩個重大漏洞。此外，ZDI本周公開4個Exchange零時差漏洞，呼籲用戶採取緩解，並說明9月已通報微軟，微軟則說明其中之一在8月已修補，其餘則評估沒有立即修補必要。</p> <p>在威脅事件焦點方面，我們看到持續有不同產業遭遇資安事件的情形，例如：<br /> ●雲端SIEM平臺業者Sumo Logic公告資安事故，察覺自家使用的雲端服務遭駭。<br /> ●跨國聯鎖五金零售業者Ace Hardware公告發生資安事故，大部分的IT系統皆面臨中斷或暫停運作的情況。<br /> ●樂高市集BrickLink遭網路攻擊，有少部分帳號遭未經授權存取並被用來行騙。<br /> ●印度政府機關遭駭客組織SideCopy利用WinRAR漏洞攻擊<br /> ●柬埔寨政府遭中國駭客使用基礎設施偽裝成雲端備份服務的方式攻擊</p> <p>另一關注焦點在於，10月下旬Okta客戶支援系統遭駭，有了後續消息。該公司在11月初揭露調查結果，指出駭客存取的資料影響了134家客戶，並指出攻擊者利用Okta系統之間溝通的Service Account，執行攻擊行動，我們也特別注意到，Okta所公布的事件起因，值得企業警惕：他們認為這起事件可能與員工Google帳號遭駭有關，因為該員工曾在公司筆電上登入個人Google帳號，導致公司的服務帳戶帳密儲存到個人Google帳戶。</p> <p>在新興威脅態勢上，有惡意程式開發者宣稱，Google Calendar的事件描述可被轉換成C2加以濫用，這類隱密攻擊手法，引起資安界的討論與關注。其他一些惡意活動被揭露的消息，也不容輕忽，包括：透過PyPI套件散布惡意軟體BlazeStealer的情形，透過企業臉書帳號發布惡意廣告散布NodeStealer竊資，以及透過WordPress網站下達攻擊命令的惡意程式GootLoader變種，以及名為Socks5Systemz的代理伺服器殭屍網路被揭露等。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/159660"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月6日】濫用企業臉書帳號散布NodeStealer竊資軟體的攻擊行動再度出現，想看裸照的使用者是目標</span></strong></a></h3> <p>利用企業臉書帳號來散布竊資軟體NodeStealer的攻擊行動，約莫半年前開始出現，迄今已發生數起。這些攻擊行動的共通點，在於駭客的主要目標，都是鎖定經營企業臉書帳號的使用者，或是想要牟取相關職務的人士。</p> <p>但在近期發生的一起攻擊行動裡，駭客改變了攻擊目標，針對一般的使用者下手，在短短10天內就有10萬人上當。</p> <h3><a href="https://www.ithome.com.tw/news/159685"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月7日】鎖定Atlassian Confluence重大漏洞的攻擊行動出現，駭客透過勒索軟體Cerber加密伺服器的檔案</span></strong></a></h3> <p>最近訊息導向中介軟體ActiveMQ、DevOps協作平臺Confluence分別出現重大漏洞CVE-2023-46604、CVE-2023-22518，如今皆有駭客對其發動勒索軟體攻擊、加密檔案，而造成災情。</p> <p>其中，值得留意的是針對Confluence的攻擊行動，因為過程中駭客不只利用最近才修補的漏洞，還串連另一個上個月揭露的重大漏洞進行攻擊，這代表受害組織兩個漏洞都還沒修補，而讓對方有機可乘。</p> <h3><a href="https://www.ithome.com.tw/news/159699"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月8日】駭客組織SideCopy利用WinRAR高風險漏洞發動攻擊，針對印度政府機關而來，Linux電腦也是目標</span></strong></a></h3> <p>長期鎖定印度政府機關、軍事單位的駭客組織SideCopy，最近發起了新的攻擊行動，主要是透過WinRAR漏洞CVE-2023-38831，對Windows電腦植入多種惡意程式。</p> <p>但與過往攻擊行動不同之處，在於這些駭客也使用相同的基礎設施，開始針對Linux主機散布惡意程式，這很可能與印度政府打算導入此種作業系統的政策有關。</p> <h3><a href="https://www.ithome.com.tw/news/159710"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月9日】駭客藉由PyPI套件散布BlazeStealer竊資軟體，對開發人員的電腦上下其手，甚至造成電腦無法使用</span></strong></a></h3> <p>利用惡意開源套件鎖定開發人員的攻擊行動，近期可說是越來越頻繁，但大部分往往出現不到1個月就被研究人員發現、向套件儲存庫經營團隊通報。而最近發生的一起攻擊行動中，駭客從今年初陸續發布惡意PyPI套件，當中潛藏竊資軟體BlazeStealer，直到最近才被揭露。</p> <p>特別的是，這起攻擊行動當中，駭客相當節制、低調，在10個月內，僅上架了8個惡意套件，而不像大部分同類型的事故，往往在短短的一、兩個星期當中，上架數十個、甚至是數百個套件。</p> <h3><a href="https://www.ithome.com.tw/news/159733"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月10日】ChatGPT與相關API服務發生間歇性中斷事故，OpenAI坦承是遭遇大規模DDoS攻擊所致</span></strong></a></h3> <p>駭客組織Anonymous Sudan近期的攻擊行動不時傳出，但大部分都針對歐美國家的政府機關與知名企業而來，透過DDoS攻擊癱瘓他們的網站來表達訴求。而在最近針對OpenAI的攻擊行動當中，出現了更為顯著的影響，因為Anonymous Sudan直接讓OpenAI的重要業務停擺。</p> <p>值得留意的是，這起攻擊行動造成大型語言模型ChatGPT出現間歇性停擺的時間，超過一整天，影響程度有待觀察。</p> <h3> </h3> </div></div></div>
2023/11/13 14:48作者羅正漢https://www.ithome.com.tw/news/159759
Google新規定要求Android App需最少經過20人測試、開發商需完成帳號驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了防範詐騙軟體及提升App品質，<a href="https://support.google.com/googleplay/android-developer/answer/14151465?hl=en" target="_blank">Google上周宣布</a>Android App新的開發商規定，要求App必須至少經過20人測試，以及需完成開發商帳號驗證。</p> <p>Play Store上架的應用程式一般包含內部測試、封閉測試、公開測試及正式上架階段。內部測試並非強制，但Google仍建議開發商執行。Google新公布的第一項要求是屬於封閉測試階段，適用於2023年11月13日以後建立的Google Play個人開發商帳號。</p> <p>Google要求新建立帳號的開發人員，每個App上架Google Play之前，封閉測試階段必須經過最少20名用戶測試，且他們必須是主動要求（opt-in）加入，並連續使用至少14天。完成App設定後即可以封閉測試。在滿足要求之前，Play Store控制臺（Console）的部分功能，像是「Production」及「Pre-registration」都呈現關閉狀態。</p> <p>完成封閉測試後，開發商就可以在Play控制臺（Console）中的Dashboard申請審查上架，雖然大部分開發商會再經過公開測試。在申請審查過程中，Google會詢問開發商一些關於封閉測試的問題，以了解應用程式本質、測試過程及實際上線的整備度。</p> <p>Google公布的第二項開發商要求是關於帳號驗證。<a href="https://android-developers.googleblog.com/2023/07/boosting-trust-and-transparency-in-google-play.html" target="_blank">今年7月Google宣布</a>，新設立的Play Console開發商帳號，需提供企業徵信業者鄧白氏（Dun & Bradstreet）發布的D-U-N-S號，這是業界廣泛使用的9位數號碼，這號碼可免費向鄧白氏申請派發。Google將以這號碼，連同其他資訊，包括公司法律名稱、地址、電子郵件、電話號碼、公司規模、組織種類或網址、支付銀行帳號等作為帳號建立時的驗證。新規定適用於2023年9月以後設立帳號。</p> <p>而<a href="https://support.google.com/googleplay/android-developer/answer/14177239?hl=en" target="_blank">在上周Google再宣布</a>新規定將推向早先設立的開發者帳號。Google要求這些帳號開發商完成驗證，<a href="https://play.google.com/console/u/0/signup" target="_blank">開發商可以自行挑選</a>2023年11月8日到2024年2月29日之間任何一日為最後期限。但因每日件數有限，故採先來先到原則。未主動選擇的開發商，Google會以系統自動發派。</p> <p>Google警告，明年4月1日起，未能完成開發者帳號驗證者，其開發商資料及App將會被從Google Play移除。</p> </div></div></div>
2023/11/13 14:48作者林妍溱https://www.ithome.com.tw/news/159768
OpenAI GPTs正式開放給ChatGPT Plus用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過3天延遲，OpenAI的客製化ChatGPT服務GPTs終於在上周五上線，供部分用戶使用。</p> <p><a href="https://twitter.com/sama/status/1722721030983307425" target="_blank">OpenAI執行長Sam Altman宣布</a>，GPTs已上線供所有ChatGPT Plus訂戶使用，較預定時間晚了3天。</p> <p><a href="https://www.ithome.com.tw/news/159668" target="_blank">OpenAI於上周的首屆開發者大會上公布</a>，可讓付費方案用戶包括ChatGPT Plus、ChatGPT Enterprise客製化聊天機器人的GPTs服務及GPT-4 Turbo模型，原本預計很快開放，但Altman周四指出，由於新功能用量超出預期，使得新服務必須延後上線。</p> <p>但同時間<a href="https://www.ithome.com.tw/news/159727" target="_blank">OpenAI證實</a>報導遭遇DDoS攻擊，被懷疑這才是GPTs服務未能準時上線的主因。這波攻擊導致ChatGPT及API發生周期性斷線。親俄駭客組織Anonymous Sudan宣稱犯案。</p> <p>經過24小時的搶修，OpenAI周四晚間宣布問題排除，恢復所有服務上線。</p> </div></div></div>
2023/11/13 13:22作者林妍溱https://www.ithome.com.tw/news/159765
中國工商銀行美國子行遭勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>位於美國的中國工商銀行（ICBC）金融服務（FS）上周三（11/8）遭到勒索軟體攻擊，使得部分系統中斷，但強調此一意外並未波及總行、工商銀行紐約分行，以及其它境內外的附近機構。</p> <p>中國工商銀行為中國最大的銀行，總部位於紐約的ICBCFS則是工商銀行的全資子公司，專門提供全球機構客戶的清算、執行、融資與設施管理服務，也具備全球市場的結算能力，旗下的清算產品包括美國股票、美國國債、全球股票、歐元債券及ETF等。</p> <p><a href="http://www.icbcfs.com/" target="_blank">ICBCFS於官網上證實遭到勒索軟體攻擊</a>，發現之後馬上切斷並隔離了受到影響的系統以控制災害，即使造成部分系統中斷，但立即展開徹底調查並推動復原工作。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1113-ICBCFS-600.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1113-ICBCFS-600.png" style="width: 600px;" /></a></p> <p>根據<a href="https://www.ft.com/content/8dd2446b-c8da-4854-9edc-bf841069ccb8" target="_blank">《金融時報》</a>（Financial Times）的報導，相關攻擊造成工商銀行無法代表其它市場參與者結算美國國債交易，對國債市場的流動性造成一定的影響，也可能導致長期國債的大幅拋售。</p> <p>不過，ICBCFS本周的聲明指出，已成功清算了上周三所執行的美國國債交易，以及周四執行的回購融資交易。另也澄清ICBCFS的業務及電子郵件系統皆是獨立的，並未影響中國工商銀行集團的運作。</p> <p>另一方面，《彭博社》（Bloomberg）與《路透社》（Reuters）則報導，執行該攻擊的是惡名昭彰的Lockbit勒索軟體集團，<a href="https://www.ithome.com.tw/news/159565" target="_blank">Lockbit曾在今年10月宣稱入侵了航太龍頭業者波音（Boeing）</a>，上周再度出面坦承是駭進ICBCFS的兇手。</p> <p>Lockbit已被美國、澳洲、加拿大、英國、法國、德國及紐西蘭的網路安全機構<a href="https://www.ithome.com.tw/news/157357" target="_blank">共同認定是近來全球最猖獗的勒索軟體即服務</a>，自2020年到今年第一季的受害組織已超過1,600個。不過，ICBCFS並未證實該攻擊行動是否源自Lockbit，亦未公布駭客所要求的贖金。</p> </div></div></div>
2023/11/13 13:41作者陳曉莉https://www.ithome.com.tw/news/159766
Iridium、高通已終止手機衛星連網合作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/155026" target="_blank">今年初高通與衛星通訊業者Iridium宣布</a>合作開發手機和衛星D2D（Direct-to-Device）的功能，不過這項功能尚未推出，雙方已經終止合作。Iridium則計畫和裝置OEM或OS廠商直接合作。</p> <p>蘋果去年在iPhone 14系列中加入透過衛星發送SOS的功能，引發業界對D2D技術的關注。今年初在CES大會上，高通與衛星通訊業者宣布雙方將合作研發名為Snapdragon Satellite的晶片功能，可讓搭載高通新晶片Snapdragon 8 Gen 2及其X70行動數據機的Android手機結合Iridium 66顆低軌衛星，不只是單向發送SOS求救訊息，也能雙向收發一般訊息。這項服務計畫分階段上線，預計2023年下半在特定地區，如北美及歐洲開通。<a href="https://www.qualcomm.com/news/releases/2023/02/qualcomm-and-leading-global-smartphone-manufacturers-collaborate" target="_blank">高通2月時宣布</a>，表達有興趣導入這項技術的手機業者包括中國業者Honor、Oppo、Vivo及小米，以及Motorola、Nothing等。</p> <p>高通的新功能尚未推出，<a href="https://investor.iridium.com/2023-11-09-Iridium-Announces-New-D2D-Direction" target="_blank">上周Iridium卻公布雙方已終止合作</a>。Iridium表示，雖然雙方已成功開發及展示新技術，但由於智慧型手機製造商未能將這項技術加入到其產品中，因此高通於11月3日通知Iridium，將於12月3日起終止合作協議。</p> <p>Iridium執行長Matt Desch指出，行動網路及裝置業者長期將會在其裝置內加入手機連衛星功能，以提供更廣的覆蓋及新式功能，而其全球覆蓋率及符合法規，使其夠格在新市場上扮演關鍵角色。</p> <p>Iridium宣布，和高通的合作終止後，Iridium現在可以直接和手機品牌商、競爭晶片商及智慧型手機作業系統開發商展開。該公司並表示已經準備採用其方案的客戶，仍會持續獲得其服務，並加入該公司窄頻非地面網路（Narrowband Non-Terrestrial-Network）服務的開發計畫。</p> <p>高通對<a href="https://www.cnbc.com/2023/11/09/iridium-announces-end-of-qualcomm-satellite-to-phone-partnership.html" target="_blank">《CNBC》</a>指出，他們希望和Iridium就標準化的解決方案進行合作，但終止專屬規格方案的合作。<a href="https://www.lightreading.com/satellite/qualcomm-backs-out-of-iridium-phone-to-satellite-deal" target="_blank">《Lightreading》則</a>報導，目前標準組織3GPP已經在推動手機對衛星的5G標準草案。</p> <p>儘管Iridium表示，和高通終止合作一事並不影響其2023年全年財報指引。該公司10月發布指引，公司預估到2030年，年營收可達10億美元。不過消息公布後Iridium股價仍下跌了8%。</p> </div></div></div>
2023/11/13 11:21作者林妍溱https://www.ithome.com.tw/news/159763
【iThome 2023資安大調查系列2】服務業企業資安風險圖（2023～2024）
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1151-fu_wu_-feng_xian_tu_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>疫情過後，線上線下整合的OMO戰略，成了服務業的發展主流。尤其不少零售業，在疫情期間開始強化線上電商模式，到了疫情解除後，沒有停下腳步，反而更加速發展電商模式，變成了徹底的OMO營運型態。這股為了因應疫情而崛起的數位化、電商化發展，也讓服務業更直接曝險在更多網路風險的威脅下，因為，服務業比過去更佳仰賴雲端供應商來提供電商通路的各項服務，這兩年服務業數位轉型的發展重點，除了整合和深化顧客大數據應外之外，上雲也是另一項重要發展策略。</p> <p>服務業今年資安投資平均達到1,252萬元，約占IT預算的8.8%。服務業資安預算僅次於金融業和政府學校，但遠高於醫療、高科技和一般製造業。服務業今年的資安預算甚與上雲預算（1,111萬元）相當，但高於AI預算、行動應用的投資，這也反映出服務業積極提高上雲的比重同時，也同步加強對資安的投資。這些資安預算主要用於IT基礎架構防護、網路安全和員工資安意識的強化。這三項也與服務業積極上雲高度相關。</p> <p>不過，服務業的資安信心不算太高，大約和一般製造業、高科技製造業相當，6成6大致有項信心，只有2成資安長非常有信心，但有一成企業對資安能力沒有太大信心。</p> <p>在2022年，服務業平均遭遇了18.8次需要通報到資安長的重大資安事件，是各產業中災情最高者。不過，這幾年隨著服務業發生過不少網路資安事件和網路攻擊事件，服務的偵測能力也有不小的提升，平均發現攻擊時間只需要2.8天，僅次於金融業的1.1天，表現也遠佳於政府學校、醫療和製造業。但是，服務的數位韌性相對較弱，系統遭攻擊後的復原時間，在六大產業中排名第五，平均需要花上5.8天，也就是幾乎快一個禮拜，才能復原。</p> <p>整體來說，服務業現有的平均系統復原能力相對其他產業來得弱，對於越來越仰賴電商通路的服務而言，是一大致命傷，尤其若在銷售旺季，促銷活動期間遭遇資安事件而當機，可能甚至影響了整個促銷期，這是服務業接下來必須盡快強化之處，否則不利於發展OMO線上線下整合布局。</p> <p>從2019年到2021年間，可以看到服務業的遭駭指數逐年改善，從71%，逐漸降低到2021年的26%，一年約有四分之一的時間處於資安脆弱期，但在2022年，服務業開始積極擁抱電商之後，遭遇了更多網路攻擊和威脅，導致2022年的遭駭指數提高了不少，達到44%，約有一半時間處於資安脆弱期。面對2023～2024年的資安風險，服務業不會停下OMO的發展腳步，因此也必須更加警戒伴隨而來的威脅。</p> <p>早在2021年時，服務業最常發生的2大資安風險是駭客攻擊和資安漏洞事件，這兩項也是衝擊最大的兩項，但從2022年開始，勒索軟體資安事件成了服務業最大的夢魘，成了發生風險最高的資安威脅，衝擊程度僅次於駭客攻擊。服務業在2021年開始大力改善老舊系統的問題，資安漏洞事件的威脅排名下滑了不少，發生風險在2022年排名第七，衝擊影響也降低了。</p> <p>到了2023～2024年，服務業資訊長和資安長對勒索軟體資安事件的威脅更提高警覺，這一項資安風險不但是發生風險最高，也是對企業衝擊最大的資安威脅，衝擊程度甚至超越了駭客攻擊帶來的影響，成了服務業頭號威脅。除了老威脅之外，釣魚網站的發生風險也在2023開始和勒索軟體資安事件並列為第一名高發生風險的資安項目，雖然釣魚網站的衝擊相對較低，但也必須特別關注，這是往年的次要風險，但在2023年開始成為了服務業者的首要風險之一。駭客攻擊則是服務業在2023～2024年也必須警戒的第三項首要風險。</p> <p>隨的服務業越來越依賴雲端供應商來實現OMO整合，在服務業2023年企業資安風險圖的第一象限，發生風險高衝擊也高的資安項目中，還包括了雲端服務/網路服務資安事件、以第三方為跳板的攻擊，還有資料外洩事件、資安漏洞事件、顧客資安事件，來自網路犯罪者（非駭客）的威脅，另外風險程度在過去一年快速竄升的是來自內部人員的攻擊，這些都是第一象限必須警戒的項目。</p> <p>除此之外，以雲端供應商為跳板的攻擊衝擊，也在2023～2024年突然提高，從衝擊低發生風險高的第三象限，處於進入第一象限的邊緣，服務業者若有餘裕，這也是一個不得不提防的資安威脅。還有一項第三方委外業者的資安風險，雖然衝擊和發生風險都不算高，還處於第四象限，但是這項風險的影響，今年突然竄升，因此在資安風險圖中也特別以紅色來標記，後續發展值得服務業資安長和資訊長們留意。</p> <p> </p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1151-%E6%9C%8D%E5%8B%99-%E9%A2%A8%E9%9A%AA%E5%9C%96-(%E5%A4%A7).png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1151-%E6%9C%8D%E5%8B%99-%E9%A2%A8%E9%9A%AA%E5%9C%96-(%E5%B0%8F)-PNG.png" style="width: 600px;" /></a></p> <p><span style="font-size:16px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 企業資安風險圖製作說明 </span></span> 在iThome 2023年CIO暨資安大調查中，由企業自評各資安項目的兩項指標，一項是該項目對企業帶來的衝擊程度（衝擊極高和衝擊極低），另一項是這個項目未來1年的發生風險（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1 年發生該項目的風險，位置越右，代表可能性越大。紅色文字的項目為今年發生風險明顯提高者。</strong></span></p> <p><span style="font-size:16px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> 大調查執行期間從2023年4月20日到5月10日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷407家，其中59.8%填答者為企業資安最高主管</strong><strong style="font-size: 14px;">。</strong></span></p> <p><span style="font-size:16px;"><span style="color: rgb(105, 105, 105);"><strong>資料來源：2023 iThome CIO大調查，2023年7月</strong></span></span></p> </div></div></div>
2023/11/13 08:42作者王宏仁https://www.ithome.com.tw/article/159272
印度政府機關遭到駭客組織SideCopy鎖定，利用WinRAR漏洞發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>軟體開發商RARLab於7月下旬修補的零時差漏洞CVE-2023-38831，繼俄羅斯、中國有多個國家級駭客利用這項漏洞發動攻擊，有其他國家級駭客也跟進，將其用於攻擊行動。</p> <p>資安業者Seqrite揭露<a href="https://www.seqrite.com/blog/sidecopys-multi-platform-onslaught-leveraging-winrar-zero-day-and-linux-variant-of-ares-rat/">巴基斯坦駭客組織SideCopy近期的攻擊行動</a>，這些駭客鎖定印度，積極利用WinRAR的漏洞CVE-2023-38831，對Windows電腦部署AllaKore RAT、DRat等惡意軟體，但他們也看到駭客對於Linux電腦植入Ares RAT變種惡意程式。</p> <p>SideCopy的攻擊行動最早可追溯自2019年，長期以來都是針對南亞國家下手，其中又以印度國防產業、阿富汗政府機關為主要目標。研究人員指出，從今年初，他們每個月幾乎都會看到新的攻擊行動，也陸續發現駭客所使用的新工具，像是Double Action RAT、另一個以.NET開發的RAT木馬程式，而在戰術、技術、程序（TTP）上，這些駭客也開始透過PowerShell遠端執行命令。</p> <p>此外，這些駭客今年更積極針對大學生下手，並洩露學生資料，研究人員推測很有可能是替恐怖組織招募成員。再者，該組織不光攻擊Windows電腦，他們近期也開發了Poseidon及其他公用程式，使得Linux攻擊工具更為強大。</p> <p>特別的是，研究人員提及，該組織還會利用蜜罐陷阱（Honeypot）引誘國防人員上當，藉由網路間諜行動竊取機密情報。</p> <p>而對於這波利用WinRAR漏洞的攻擊，駭客先是透過網路釣魚手法，引誘使用者下載PDF誘餌檔案，但實際上為Windows捷徑檔案（LNK），一旦開啟此檔，電腦就有可能執行遠端的HTA檔案，從而檢查電腦安裝的.NET版本、防毒軟體資訊，然後使用Base64編碼解密，於記憶體內執行惡意DLL檔案，為了執行這個DLL檔案，駭客會濫用Windows內建的公用程式，如credwiz.exe、rekeywiz.exe，以DLL側載（DLL Side-loading）手法載入惡意DLL檔案。</p> <p>在其中一起攻擊行動裡，駭客散布聲稱與印度太空研究組織NSRO有關的PDF檔案，檔名是ACR.pdf或ACR_ICR_ECR_Form_for_Endorsement_New_Policy.pdf，針對Windows電腦而來。但研究人員進一步調查發現，這些攻擊者也將這兩個PDF檔案用於散布Linux變種的Ares RAT。再者，兩次攻擊駭客使用的網域，都指向相同的IP位址。</p> <p>而在針對Windows電腦的攻擊行動當中，使用者若是依照指示開啟PDF檔案，電腦就會從駭客的網域下載ZIP檔案，當中含有偽裝成PDF檔案的Windows連結檔案，其中一個是Homomaleity – Indian Armed Forces ․pdf.lnk。一旦使用者開啟，就會觸發遠端的HTA檔案，這個檔案內容包含了誘餌PDF檔案、惡意DLL程式庫，並會檢查電腦安裝的.NET版本、收集防毒軟體資訊，然後將DLL檔案解碼、在記憶體內執行。</p> <p>這個DLL程式庫先會開啟誘餌檔案降低使用者戒心，然後向駭客的網域發送訊號，從而下載最終的HTA及DLL檔案，並根據受害電腦採用的防毒軟體程式（Seqrite、Quick Heal、卡巴斯基、Avast、Avira、Bitdefender、Microsoft Defender），移動至特定的資料夾，啟動最終的DLL檔案。</p> <p>而另一個駭客所使用的Homomaleity – Indian Armed Forces.zip壓縮檔，則是內含ELF執行檔，研究人員反組譯後，發現該惡意程式會在受害電腦部署以Python打造的Ares RAT。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SideCopy_Oct2023-Ares-2_drawio.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SideCopy_Oct2023-Ares-2_drawio.png" style="width: 580px;" /></a></p> <p>而在另一起攻擊行動當中，駭客會在網路釣魚的過程裡利用了前述的WinRAR漏洞。一旦使用者依照對方指示操作，電腦便會下載惡意壓縮檔，內容是PDF檔案及同名資料夾，使用者若透過WinRAR開啟，並執行PDF檔案，有效酬載就會透過WinRAR的ShellExecute功能函數觸發。研究人員指出，駭客所使用的PDF誘餌檔案，與全印度非公報軍官組織（AIANGO）有關。</p> <p>在上述壓縮檔內的資料夾裡，含有名為AllaKore RAT的惡意酬載，其功能包括竊取系統資訊、鍵盤側錄、截取螢幕畫面、上傳或下載檔案，甚至能讓攻擊者遠端存取受害電腦。</p> <p>研究人員也根據惡意網域、C2的IP位址，與其他攻擊行動建立關聯。這些駭客曾在4月假借沙烏地阿拉伯代表團的名義，散布另一款惡意程式DRat，後來又在8月以美中貿易戰為誘餌再度進行攻擊。同樣在8月，該組織又以印度國防部及議會事務為幌子，散布Ares RAT惡意程式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SideCopy_Oct2023-WinRAR-2_drawio.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SideCopy_Oct2023-WinRAR-2_drawio.png" style="width: 580px;" /></a></p> <p>附帶一提，<a href="https://thehackernews.com/2023/11/sidecopy-exploiting-winrar-flaw-in.html">資安新聞網站Hacker News認為</a>，這些駭客針對Linux電腦下手並非巧合，原因是印度政府與國防部門打算使用名為Maya OS的Linux版本，逐步取代Windows作業系統。</p> </div></div></div>
2023/11/12 20:10作者周峻佑https://www.ithome.com.tw/news/159747
Google行事曆被找出用作C2基礎架構的方法？有惡意程式開發者宣稱能辦到，引起駭客圈熱議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了利用合法流量掩護非法，駭客濫用雲端服務架設命令與控制（C2）伺服器的情況相當常見，其中最常見的是利用Google Drive、OneDrive、Dropbox等檔案共享服務，也有濫用能夠挾帶命令內容的文字共享服務的情況。但如今，線上的行事曆服務也成為駭客濫用的標的。</p> <p>Google於近期發表的<a href="https://bit.ly/46QXgLK">第8份威脅視野報告（Threat Horizons report）</a>當中，揭露從今年6月出現的惡意程式Google Calendar RAT（GCR），開發者表明他所打造的指令碼，能夠將Google Calendar的事件描述轉換成C2加以濫用，該公司旗下Mandiant威脅情報團隊發現，這種隱密的手法引起網路犯罪圈高度關注，雖然上述工具尚未被用於攻擊行動，但已有許多駭客於地下論壇分享這種概念性驗證攻擊（PoC）程式。</p> <p>為了映證作法可行，這名開發者透過影片展示攻擊手法，他利用兩個Google帳號來控制、操作GCR。其中一個是GCP的服務帳號，當中包含用於回應API的金鑰，用途是當作Beacon；另一個則是Gmail攻擊帳號，攻擊者將其用於與行事曆服務進行互動。</p> <p>研究人員指出，攻擊者若在受害電腦執行GCR，該程式會定期從Google Calendar拉取事件描述，從而執行其中的命令，然後再以執行輸出的結果更新事件描述內容。由於過程中都使用Google的基礎設施，導致防守方要察覺異常活動更加困難。</p> </div></div></div>
2023/11/12 15:39作者周峻佑https://www.ithome.com.tw/news/159746
駭客透過企業臉書帳號發布惡意廣告，意圖散布惡意軟體NodeStealer
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客利用企業臉書帳號散布竊資軟體NodeStealer的攻擊行動，大約從今年5月開始出現，其中又以越南駭客組織的攻擊行動最受到矚目。但到目前為止，大部分的攻擊行動多半針對特定目標，通常是經營企業臉書帳號的使用者而來，或是打算應徵市場行銷職務的人士。但在最近的攻擊行動裡，攻擊者開始針對一般的使用者而來。</p> <p>資安業者Bitdefender揭露<a href="https://www.bitdefender.com/blog/labs/nodestealer-attacks-on-facebook-take-a-provocative-turn-threat-actors-deploy-malvertising-campaigns-to-hijack-users-accounts/">發生在10月中旬的惡意軟體NodeStealer攻擊行動</a>，他們在10月10日至20日，看到攻擊者運用超過10個遭竊的企業臉書帳號，散布約140則惡意廣告，內容帶有年輕女性的裸露照片，鎖定歐洲、非洲、加勒比海、18至65歲的男性而來，估計1天之內就有1.5萬次下載、這段期間累計下載達10萬次，其中，上當人數最多的族群是45歲以上的男性。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AlbumUpdate.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AlbumUpdate.jpg" style="width: 580px;" /></a></p> <p>這款竊資軟體的來歷，最早是<a href="https://engineering.fb.com/2023/05/03/security/malware-nodestealer-ducktail/">Meta的資安團隊在今年5月揭露</a>，他們在1月開始看到越南駭客組織散布，同時這些駭客也會利用另一款名為Ducktail惡意軟體從事相關攻擊行動。</p> <p>研究人員首度看到NodeStealer的攻擊行動，是由越南駭客發起，當時對方打造了自製的JavaScript指令碼，透過Facebook Messenger向目標用戶發送訊息，一旦使用者依照指示操作，就有可能讓電腦感染此惡意軟體，導致攻擊者掌控企業臉書帳號，而且，過程中完全不需受害者進行互動，甚至也繞過了雙因素驗證等進階安全機制。</p> <p>而近期的NodeStealer攻擊行動當中，Bitdefender的研究人員看到最新（2.1版）竊資軟體，相較於早期版本主要是挾持Chrome、Edge、Brave、Opera瀏覽器的連線階段（Session），從而接管臉書帳號，新版惡意程式竊取資料的範圍擴大，能夠存取特定服務的電子郵件信箱帳號，或是盜取受害者的加密貨幣。</p> <p>駭客先是設置多個臉書個人頁面，這些帳號都能顯示上述的裸露照片，然後再假借提供一整組色情圖片的名義打廣告，表明他們更新了相簿內容，或是限時開放下載，引誘使用者上當。一旦使用者點選廣告內容，就有可能從程式碼儲存庫Bitbucket、GitLab，或是雲端檔案共享系統Dropbox下載壓縮檔，其內容包含名為Photo Album的.EXE檔案。</p> <p>使用者若是開啟這些執行檔，電腦就有可能被植入以.NET打造的竊資軟體NodeStealer，攻擊者不只能藉此控制受害者的臉書帳號、加密貨幣錢包，這次出現的新版竊資軟體還能入侵Gmail、Outlook帳號，並下載其他惡意程式。</p> <p>值得留意的是，為了避免有人舉報廣告而東窗事發，攻擊者同時最多只會上架5組廣告，並在一天之內就進行切換。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Ads1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ads1.jpg" style="width: 580px;" /></a></p> <p>另一方面，這些駭客在攻擊行動當中，為了讓惡意廣告的效果更好，他們充分利用Meta提供的廣告管理工具，以便針對臉書上的男性使用者顯示。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Ads2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ads2.jpg" style="width: 580px;" /></a></p> </div></div></div>
2023/11/12 14:28作者周峻佑https://www.ithome.com.tw/news/159744
【資安月報】2023年10月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年10月的資安新聞中，國際上出現新的震盪，先是巴勒斯坦激進組織哈瑪斯（Hamas）突然對以色列發動大規模的軍事攻擊，後續以色列開始強烈反擊，而在網路上也陸續傳出，有駭客組織聲援兩國表態參與發動網路攻擊的情形。</p> <p>不僅如此，最近這一個多月來，我們看到科技大廠修補遭利用零時差漏洞的消息，呈現相當密集的情形，因此前陣子<a href="https://www.ithome.com.tw/news/159484">我們也專門介紹了這樣的態勢</a>，當中亦顯現國家級駭客組織、商業間諜公司、勒索軟體組織挖掘零時差漏洞並用於攻擊行動的最新現況，以及涉及底層漏洞似乎變多的情形。</p> <p>回顧國內近期重大網路攻擊事故與資安防護推動，有兩個議題最受我們關注，一是下半年國內接連有連鎖藥局遭駭客攻擊的情況，一是我國政府資訊服務採購有新變革，將資安防護措施納入採購規範，做到資安入規。</p> <h3><strong>興櫃公司「諾貝兒」與上市公司「羅昇」公告遭網路攻擊</strong></h3> <p>近日，我們盤點這一個月的臺灣重大資安消息，新發現國內有兩家上市櫃公司揭露遭駭客攻擊，是這個月資安日報中沒有提及。</p> <p>首先，<a href="https://s4.itho.me/sites/default/files/images/2023-11-01_154750.jpg">以丁丁藥局為營運主體的興櫃公司諾貝兒寶貝（諾貝兒），該公司在10月7日發布資安事件重大訊息，說明公司遭受駭客網路攻擊</a>。</p> <p>另一起事件，主要代理傳動、控制等自動化機電零組件並提供方案的<a href="https://s4.itho.me/sites/default/files/images/2023-11-01_154538.jpg">上市公司羅昇企業（羅昇），在10月27日亦發布資安事件重大訊息，說明該公司發生部分資訊系統遭受駭客網路攻擊的狀況</a>。</p> <p>以諾貝兒的事件而言，引起我們關注的是，雖然調查局指出現況依然是很多產業都有被攻擊的情況，但在今年下半，<a href="https://www.ithome.com.tw/news/158011">7月底，先是有大樹醫藥公告遭遇網路攻擊事件</a>，如今10月初，又有丁丁連鎖藥局的諾貝兒寶貝公告遭遇網路攻擊事件，似乎連鎖藥局與醫療通路可能有被針對的情形，相關業者須多加留意。</p> <p>再者，大樹醫藥與諾貝兒寶貝這兩家業者，都有提及要提醒消費者反詐騙，此舉也意味著，可能有客戶資料外洩情事的發生。大家可以想見的是，現在各類通路服務業者其實都在經營會員，不只線下實體門面也有線上購物，雖然數位發展部今年正<a href="https://moda.gov.tw/ADI/news/latest-news/5429">推動電商相關公協會成立資安強化推動工作小組</a>，但未來如何擴大推動，將是需要持續關注的重點。</p> <p>另一方面，關於10月公告遭網路攻擊的上市櫃公司羅昇與諾貝兒，儘管事件應該沒有相關，但我們從中發現一個較為特殊的關聯，這兩家公司剛好都屬佳世達集團的陣營。以羅昇而言，佳世達旗下友通資訊對羅昇的累計持股在2021年達48.07%，以諾貝兒而言，今年佳世達在參與私募增資與公開收購後，5月宣布已取得諾貝兒28.54%股權。</p> <h3><strong>政府採購有變革，機關與產業可望擺脫過去亂象</strong></h3> <p>關注資安事故的同時，今年臺灣資安防護推動也獲得幾個重要進展，首先是，最新政府資訊服務採購指引出爐。</p> <p>行政院公共工程委員會（行政院工程會）先是在今年9月25日發布政府資服採購作業指引，後續，<a href="https://www.ey.gov.tw/Page/9277F759E41CCD91/15719195-87ba-4927-a509-49b15a63ee5c">行政院在10月5日發布消息，說明通過「政府資訊服務採購革新－資安入規及採購指引」報告</a>，並請各部會及各地方政府，落實執行本次資訊服務採購革新相關事項，同時，<a href="https://www.ey.gov.tw/File/27D24371B8446F4D?A=C">工程會也新提供懶人包說明這次資安入規及採購指引的重點</a>。</p> <p>簡單來說，這項改變之所以重要，不僅是因為資安入規，還有因為過去20年政府資訊服務採購的規範，長年來為機關與資服業者帶來太多爭議與亂象，甚至陷入難以解決惡性循環的情況，例如，對資訊系統建置時的資安規畫與契約履行造成極大的挑戰，也導致業界可能為了得標而必須大幅讓利甚至降低品質。</p> <p>而我們在9月進行資安監控中心SOC的封面故事報導時，當時也感受到資安服務業者面對公部門採購有很多話想說，像是招標機關常年採最低價決標，但廠商面臨技術服務需與時俱進的向上競爭壓力，在收費營收方面卻呈現持續往下的嚴峻挑戰，隨著政府資訊採購確定有新變革，才讓他們認為市場有了轉機。</p> <p>具體來看，在政府資訊服務採購革新上，資安入規是一大重點，在資訊服務採購契約範本新增資安基本要求後，將強化政府資訊服務採購的資安防護，並藉由打造通用性的資通安全基本要求參考一覽表，不僅讓機關和業者對於資安規範有明確的共識，也解決政府採購人員不懂資安專業的困境，可以容易地選擇所需資安等級的規範內容。而且，為了讓資服與資安業者有足夠時間調適配合與因應，預計明年（2024年）3月1日，將資安作為納入採購規範首先針對的是普級系統，明年（2024）8月1日才是針對中、高級系統。</p> <p>同時，新版採購指引更是關鍵，根據工程會的說明，本次指引從全生命週期角度來提出對應作為，同時採最有利標時不訂底價，重視履約過程契約雙方反覆檢視需求及變動並給予合理經費，從源頭減少爭議，並擴大建立政府採購諮詢機制，將有助於事前減少爭議、事後有效解決。</p> <p>無論如何，政府資訊服務採購現在有了好的轉變，雖然這次革新可能還不到滿分完善的地步，但在專家眼中，至少可以讓政府資訊服務採購有正向積極的轉變，比方說，從以往的59分不及格，進步到80分。而我們也期望，新的變革能夠加速提升臺灣機關資安防護能力，並帶動臺灣資服資安業者的產業競爭力。</p> <p>另一個突破會是資通安全管理法的修法，因應相關法令內容即將調整，針對這次修法帶來的改變，以及民眾意見回饋，我們將在11月進行這方面的封面故事報導，與大家一起探討。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/159191"><span style="color: rgb(178, 34, 34);">【資安週報】2023年10月2日到10月6日</span></a></strong></h2> <p>從2023年的零時差漏洞利用情況來看，上半年呈現數量攀升的趨勢，近期我們注意到最近這樣的威脅態勢更是顯著。在中秋連假後這一週，出現多個漏洞遭成功利用的重要消息：</p> <p>　（一）商業間諜軟體開發商發動的零時差漏洞攻擊不斷，影像編解碼程式庫libvpx的漏洞CVE-2023-5217已遭鎖定利用，除了Google修補，後續蘋果與微軟也相繼針對其產品修補這項漏洞。<br /> 　（二）修補手機端的零時差漏洞同樣消息不斷，包括Arm Mali GPU Kernel Driver的漏洞CVE-2023-4211，以及蘋果iOS與iPadOS的漏洞CVE-2023-42824，均有攻擊者發現漏洞加以利用的狀況。<br /> 　（三）思科修補網路設備作業系統IOS、IOS XE的零時差漏洞CVE-2023-20109，已遭攻擊者利用，該漏洞存在於群組加密傳輸VPN（GET VPN）功能。<br /> 　（四）Atlassian旗下的Confluence Data Center版與Server版，傳出身分驗證與Session管理毀損零時差漏洞CVE-2023-22515，同樣已發現遭利用的情形。<br /> 　（五）新修補的漏洞快速遭鎖定。先前我們提到JetBrains在9月下旬修補CI/CD軟體平臺TeamCity重大漏洞CVE-2023-42793，以及本期周報提到Progress在9月底修補FTP伺服器軟體WS_FTP Server重大漏洞CVE-2023-40044，這些弱點修補公布至今不到半個月，均遭攻擊者鎖定利用。<br /> 　（六）4月微軟揭露Windows CNG金鑰隔離服務權限提升漏洞CVE-2023-28229，並公告修補消息，最近亦發現遭利用的證據。</p> <p>在其他漏洞威脅消息上，還有多個同樣需要留意的焦點，例如：資料整合及自動化工具Apache NiFi，今年6月修補的漏洞CVE-2023-34468，近日出現攻擊該漏洞的利用工具；郵件傳送代理程式EXIM存在重大漏洞CVE-2023-42115，去年6月雖然已通報開發團隊，至今卻尚未修補，近期已揭露成為零時差漏洞，目前尚未出現遭濫用的情形。</p> <p>在威脅事件焦點方面，有三大焦點最受關注：</p> <p>　●有資安業者揭露中國駭客寄送釣魚郵件，假借提供聲稱是台積電的簡介PDF檔，意圖濫用Cobalt Strike對半導體產業從是間諜行動。<br /> 　●大樓自動化管理業者Johnson Controls遭勒索軟體攻擊，該公司已在9月底向美國SEC提交8-K表單說明遭遇網路攻擊。<br /> 　●關於日前傳出有駭客組織入侵Sony，在多日調查後，Sony向美國政府通報資料外洩事故，並指出事件起因是6月初遭MOVEit Transfer零時差漏洞攻擊。</p> <p>其他重要惡意威脅態勢上，有兩起與政府相關，有兩起與行動裝置攻擊相關，分別是：東南亞政府機關近年遭中國駭客組織Mustang Panda、Alloy Taurus、Gelsemium鎖定的揭露，南美洲國家蓋亞那政府機關遭惡意程式DinodasRAT攻擊的揭露，以及逾50家越南銀行用戶遭安卓金融木馬GoldDigger的消息，以及中國駭客APT41開始對Android行動裝置下手，所利用的惡意軟體包括DragonEgg、WyrmSpy，並可竊取受害者地理位置資訊。</p> <h2><strong><a href="https://www.ithome.com.tw/news/159285"><span style="color: rgb(178, 34, 34);">【資安週報】2023年10月11日到10月13日</span></a></strong></h2> <p>延續前一周有6個零時差漏洞攻擊與修補的情形，在雙十國慶連假期間，再有3個漏洞受注目，包括：</p> <p>●Cloudflare、Google、AWS揭露名為HTTP/2 Rapid Reset的零時差漏洞攻擊手法，他們紛紛指出8月就已經觀察到此漏洞利用情形。攻擊者是藉由CVE-2023-44487漏洞產生極為巨大的DDoS流量，由於漏洞存在HTTP/2通訊協定，採用該協定的產品與服務範圍相當廣泛，相關修補資訊、受影響的狀態公告，備受關注。<br /> ●本月微軟例行安全更新釋出，總共有103個漏洞，當中除了修補上述CVE-2023-44487漏洞，還有兩個已遭利用的零時差漏洞，包括涉及WordPad的漏洞CVE-2023-36563，以及Skype for Business有關的漏洞CVE-2023-41763。</p> <p>此外，Adobe在今年1月修補旗下Acrobat及Reader的漏洞CVE-2023-21608，後續發現網路上有概念性驗證PoC程式的公開，近日確定有攻擊者鎖定利用的情形；上週提到已遭攻擊者利用的Confluence的零時差漏洞（CVE-2023-22515），如今有最新消息指出是中國駭客組織Storm-0062所為。</p> <p>在最新資安威脅消息上，有廠商警告最近出現鎖定臺灣的攻擊。賽門鐵克揭露全新的APT攻擊組織Grayling，說明該組織的攻擊手法細節，並指出該組織在今年2月到5月鎖定對象，不只是太平洋群島的政府機關、越南及美國的組織，還有臺灣的生醫產業、製造業、IT產業。</p> <p>在國際局勢方面，由於巴勒斯坦激進組織哈瑪斯（Hamas）突然對以色列發動大規模的軍事攻擊，接著以色列也開始反擊，網路上陸續傳出駭客組織聲援巴勒斯坦的消息，像是俄羅斯駭客鎖定以色列衛星及工控系統攻擊等，甚至有資安業者揭露有上百駭客組織表態參與發動網路攻擊，並指出其中聲援巴勒斯坦的有77個，支持以色列的有20個。</p> <p>其他重要消息上，這段期間，還有中國駭客ToddyCat鎖定亞洲電信業者散布後門程式CurKeep的情形，以及殭屍網路Mirai變種病毒IZ1H9近期攻擊行動的揭露。國內有一起資安威脅事故相關消息，那就是去年有人在暗網購買我國戶籍資料的事件，警調單位有最新資訊公布，對於擅自購買大量個資的嫌犯，檢察官考量其沒有前科，並坦承犯案已知悔悟，因此給予緩起訴，期限1年，以及繳庫50萬元的條件。</p> <p>至於防禦態勢上，近日美國NSA、DHS與CISA釋出最常見10大資安配置錯誤的報告，重點是提供了網路防禦者因應的建議，並呼籲軟體製造商立即著手採用安全設計原則，以減輕整體資安防護的負擔。</p> <h2><strong><a href="https://www.ithome.com.tw/news/159426"><span style="color: rgb(178, 34, 34);">【資安週報】2023年10月16日到10月20日</span></a></strong></h2> <p>在這一週漏洞利用消息中，有兩個新漏洞及兩個已知漏洞遭鎖定的消息，成為企業必需關注的重點，包括：</p> <p>（一）思科公開網路設備作業系統IOS XE作業系統的零時差漏洞CVE-2023-20198，嚴重等級達到CVSS滿分，並警告大家已出現攻擊者成功利用該漏洞的情形，他們建議，目前用戶系統若是暴露在公開網路，應將IOS XE的HTTP Server功能關閉，並注意後續修補更新的釋出。揭露此消息之後的隔天，隨即有資安業者回報災情，因為他們發現多達數千臺Cisco IOS XE裝置已被植入了惡意檔案。<br /> （二）Milesight工控路由器（industrial cellular routers）漏洞CVE-2023-43261已公開揭露，儘管該設備商表示已修補，但值得注意的是，有資安業者透露此漏洞可能已被惡意利用，並指出這類產品用於鐵路貨運運輸、自動提款機（ATM）網路與緊急車輛使用。依此態勢來看，交通與金融服務均可能面臨威脅。<br /> （三）今年7月WinRAR修補的零時差漏洞（CVE-2023-38831），自4月即遭到攻擊者成功利用，本周有多家資安業者分別指出，發現俄羅斯與中國國家駭客組織所發動的網釣攻擊，正積極利用這個已知漏洞。<br /> （四）今年9月JetBrains修補CI/CD軟體平臺TeamCity重大漏洞（CVE-2023-42793），如今傳出有北韓駭客組織Lazarus及旗下團體Andariel鎖定該已知漏洞利用的消息。</p> <p>其他漏洞消息方面，包括：Juniper Networks修補網路設備作業系統逾30個漏洞、Oracle季度安全更新修補185個漏洞。</p> <p>在網路威脅焦點上，我們選出幾個重大事件，包括2個新攻擊手法，以及4個鎖定不同產業而來的網路攻擊行動的揭露：</p> <p>●新型態Magecart信用卡側錄（Card Skimming）攻擊行動的揭露，駭客使用了網站預設404錯誤訊息頁面來隱藏他們的惡意程式碼。我們甚至看到揭露的資安研究人員指出，這是他們前所未見的創造性隱匿手法。<br /> ●還有攻擊者部署竊資軟體時的新手法揭露，駭客濫用了幣安智能鏈（BSC）數位貨幣合約，也就是先利用植入WordPress的惡意程式碼，將流量導向幣安，再從區塊鏈取得惡意指令碼注入網站，這也導致攻擊程式碼難以清除的挑戰。<br /> ●關於電信產業的威脅，烏克蘭電腦緊急應變小組（CERT-UA）指出，最近半年來，該國至少11家電信業者遭到俄羅斯駭客組織Sandworm攻擊，他們也公布目前發現的駭客攻擊手法。<br /> ●東南亞國協會員國的外交單位遭鎖定，資安研究人員發現中國駭客使用的後門程式Bloodalchemy。<br /> ●東歐石油產業、天然氣公司、國防工業遭後門程式框架Meta鎖定，資安業者發現攻擊者從工控環境入侵總公司內部網路，並利用釣魚郵件、IE瀏覽器漏洞CVE-2021-26411觸發感染鏈，入侵財務系統的伺服器。<br /> ●程式開發與資料科學領域常用的Jupyter Notebook遭鎖定，駭客除了將伺服器的運算資源拿來挖礦，也企圖竊取組織使用的AWS、Google Cloud雲端服務帳密資料，進一步擴大危害的範圍。</p> <p>另外，還有3起資料外洩消息，包括：卡西歐坦承他們的教育網頁應用程式ClassPad.net的開發環境伺服器，遭到未經授權存取而洩漏資料，波及149國客戶；基因檢驗業者23andMe傳出資料外洩，410萬筆英國民眾資料流入駭客論壇；臺灣網路設備廠商友訊科技（D-Link）傳資料外洩，該公司證實的確有程式碼外洩的情況，起因是員工遭網釣攻擊，而且，他們表示，外流資料並非駭客宣稱的D-View原始碼，而是舊的會員註冊網站的程式碼。這項說法顯然有別於先前傳聞，孰是孰非仍有待觀察。</p> <p>至於防護態勢上，開源軟體供應鏈安全領域今年受到各界重視，範圍相當廣泛，雖然多家廠商均宣示要強化管控，但在開發人員之間流通的各種延伸套件，資安問題仍層出不窮，現在終於出現提升能見度的新做法。由於過去缺乏惡意套件公共資料庫，不易匯總相關發現與報告，因此開源安全基金會OpenSSFGitHub上推出惡意套件儲存庫，幫助外界更有效掌握已知惡意套件；在金融詐騙安全防護領域，臺灣今年積極引進與推動AI進行協助，例如，內政部警政署刑事警察局4月成立AI鷹眼識詐聯盟，其AI偵測專利技術的「鷹眼模型」由北富銀與內政部刑事警察局合作開發，本周有32家銀行宣布加入該聯盟，擴大鷹眼模型防護範圍，預計明年6月前完成導入。</p> <h2><strong><a href="https://www.ithome.com.tw/news/159577"><span style="color: rgb(178, 34, 34);">【資安週報】2023年10月23日到10月29日</span></a></strong></h2> <p>回顧近期重大漏洞攻擊事故，最受各界矚目的，莫過於思科10月中旬公布的零時差漏洞CVE-2023-20198，駭客將其用於植入後門程式的攻擊行動，但經過一星期的延燒，後續竟出現不合理的劇烈減少的罕見現象，研究人員認為起因是駭客更換新的後門程式，導致原本的後門程式數量減少。</p> <p>其他資安事故的部分，身分存取管理服務業者Okta客戶技術支援系統遭駭，最令人憂心，因為有非常多的廠商與企業採用，造成廣泛牽連的局面，目前身分存取管理業BeyondTrust、雲端服務業者Cloudare、密碼管理業者 1Password，都表明因這起事故而遭到攻擊。後續效應有待觀察。</p> <p>電子郵件系統持續遭到駭客組織鎖定已是常態，但針對的平臺也有不同，例如，過往大部分是針對微軟Exchange、開源的Zimbra而來。這週有一套名為Roundcube的網頁郵件系統，俄羅斯駭客組織Winter Vivern、APT28鎖定，對方正在利用未知或已知漏洞從事攻擊行動。</p> <p>這週也有攻擊隔離網路（Air-Gapped）環境的情況，資安業者揭露鎖定USB安全加密隨身碟的攻擊行動TetrisPhantom，駭客先對位於非隔離網路環境的電腦下手，在連接這種隨身碟時，趁機將惡意程式植入裝置當中，等到用戶將隨身碟帶到受隔離系統使用，會趁機植入並進行竊密。</p> <p>關於資料外洩的手法，最近有新的話題。駭客不僅透過臉書收集攻擊目標的使用者資料，也會在臉書及Instagram專供執法單位存取的入口網站Police Portal帳密，這種入口網站是在政府機關因應辦案需求，向他們請求用戶的IP位址、電話號碼、裝置資訊等資料所用，後續資料洩露的情況尚不明朗。</p> <p>在資安防護的措施上，本週有新的動態，例如，美國CISA針對醫療產業推出一站式工具包，提升網路安全。再者，則是Google宣布擴大AI漏洞懸賞的範圍，當中也列入生成式AI。</p> <p>在國內的資安防護措施上，則是包含跨國網路攻防演練CODE 2023，以及政府專屬短碼簡訊平臺111。這次CODE 2023的攻防標的，選定與民生相關的水資源領域關鍵基礎設施（CI），進行攻防演綀，結果我國參與團隊表現傑出，得到冠軍。</p> <p>而政府短碼簡訊平臺的部分，則是繼數位發展部推出短網址服務之後，另一項新的防堵假冒政府機關詐騙措施。政府機關透過專屬平臺發送111短碼簡訊，達到只此一家、別無分號的效果，首波內部測試已有中央與地方的政府單位參與，現在將開放更多機關使用。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/159207">2023年9月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/158650">2023年8月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/158096">2023年7月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/157613">2023年6月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/157226">2023年5月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/156683">2023年4月資安月報</a></h3> <h3> </h3> <p> </p> <p> </p> </div></div></div>
2023/11/12 08:00作者羅正漢https://www.ithome.com.tw/news/159582
AI趨勢周報第234期：GitHub將在12月正式上線程式助理Copilot Chat
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1103～1109)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GitHub </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Copilot Chat </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 程式開發 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>GitHub將在12月正式上線程式助理Copilot Chat</strong></span></p> <p>原始碼代管平臺GitHub最近在<a href="https://reg.githubuniverse.com/flow/github/universe23/attendee-portal/page/welcome?utm_source=Blog&utm_medium=GitHub&utm_campaign=keynote-launch">技術年會</a>上揭露新進展，將在下個月正式上線程式開發助手GitHub Copilot Chat，使用者可以自然語言方式，來進行程式碼除錯、程式碼編寫等任務。所有GitHub Copilot訂閱戶屆時皆可使用，Copilot Chat也將免費提供給經驗證的教師、學生和熱門開源專案的維護者。</p> <p>今年7月，GitHub就開始測試以GPT-4為基礎的Copilot Chat。這次，他們在11月8日的年度大會上，除了揭露正式上線時間，也說明Copilot Chat的亮點，包括能根據程式碼上下文來解釋複雜概念、偵測安全漏洞，還能直接在程式碼行中使用Copilot Chat處理特定程式碼，另也引入斜杠指令（如/fix、/tests）和建議動作，使用者點擊一下就能完成任務。GitHub也表示，他們正將Copliot Chat整合至github.com和行動版App中，後者可讓使用者在Android或iPhone手機上，以文字或語音方式解決程式開發問題。</p> <p>不只如此，GitHub Next研究團隊還揭露新服務Copilot Workspace，由AI驅動，可協助開發者將想法轉化為程式碼。比如，開發者可在Copilot Workspace中提問，系統會自動產出建議計畫，解釋如何實作變更，開發者就可透過Workspace中的元件來建置、執行和測試程式碼，若出現錯誤，系統還會自動修復。GitHub預計在明年正式推出Copilot Workspace。<a href="https://github.blog/2023-11-08-universe-2023-copilot-transforms-github-into-the-ai-powered-developer-platform/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202023-11-12%20at%202_05_12%20AM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OpenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GPTs </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ChatGPT </span></strong></span></p> <p><span style="font-size: 22px;"><strong>OpenAI發表客製化AI服務GPTs</strong></span></p> <p>OpenAI在年度技術會上發布新工具GPTs，能讓使用者用來打造客製化ChatGPT，還能上傳自己的ChatGPT到GPT商店，來讓其他用戶使用。OpenAI也提供幾種樣板，比如能回答所有桌遊規則的ChatGPT、談判教學的ChatGPT，或是技術支援顧問的ChatGPT等。GPTs即日起支援ChatGPT Plus與ChatGPT Enterprise等付費用戶，並計畫開放給更多用戶。</p> <p>OpenAI指出，使用者只需提供指令和額外知識，就能在GPTs建立特定目的的ChatGPT，完全不需撰寫程式。而且，使用者打造的客製化模型，還能串接API，如資料庫、Email等，來執行即時任務。甚至，企業使用者可用來打造內部分級專用的ChatGPT。OpenAI預告，他們將在這個月推出GPT Store，能讓經驗證的開發者上架自己的ChatGPT、與其它用戶分享，OpenAI也將在未來幾個月建立收費機制。<a href="https://openai.com/blog/introducing-gpts">（詳全文）</a></p> <p><img alt="" src="https://images.openai.com/blob/2014517b-1a80-4b62-bbb6-caa490f69299/introducing-gpts.png?trim=0,0,0,0&width=2600" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GPT-4 Turbo </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> API </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI助理 </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI揭露GPT-4 Turbo，可消化300頁文字</strong></span></p> <p>OpenAI最近在技術大會上發表GPT-4 Turbo預覽版，不只訓練資料更新到2023年4月，支援的脈絡（Context Window）長度還達到12.8萬個Token，最大輸出量為4,096個Token。其中，脈絡長度是指GPT在生成答案時，所參考的歷史資料範圍，包括使用者曾輸入的文字，或GPT曾產生的答案，而支援12.8萬個Token，代表GPT-4 Turbo最多可考慮將近300頁的文字。</p> <p>所有付費開發者皆可於API請求中，加入gpt-4-1106-preview來預覽GPT-4 Turbo，正式版可望於數周後出爐。同時，OpenAI還推出Assistants API，能讓開發者打造AI助理，可呼叫模型和工具來執行任務，如Code Interpreter、Retrieval與函數呼叫等。<a href="https://openai.com/blog/new-models-and-developer-products-announced-at-devday">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 提示工程 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> xAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> PromptIDE </span></strong></span></p> <p><span style="font-size:22px;"><strong>xAI推出提示工程開發環境PromptIDE</strong></span></p> <p>就在xAI揭露自家大型語言模型Grok-1後幾天，又推出了開發環境PromptIDE，能專門處理複雜的提示工程和可解釋性研究。xAI指出，PromptIDE本是團隊用來開發Grok-1所打造的開發環境，核心是一個Python程式碼編輯器和Python SDK，可讓使用者嘗試複雜的提示技術。</p> <p>在IDE中執行提示時，使用者可查看分析結果，如精確分詞（Tokenization）、抽樣機率、替代token和聚合注意力遮罩等。此外，這個IDE還提供品質管理功能，如自動保存所有提示、內建版本控制等。xAI表示，他們希望藉PromptIDE建立社群，來讓使用者一鍵分享提示和分析資訊。目前，PromptIDE只供xAI的早期存取計畫成員使用。<a href="https://x.ai/prompt-ide/">（詳全文）</a></p> <p><img alt="" src="https://x.ai/screenshot_42.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 晶片 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 晶創臺灣方案 </span></strong></span></p> <p><span style="font-size:22px;"><strong>鼓勵生成式AI晶片應用，政院通過10年3千億晶創臺灣方案</strong></span></p> <p>日前，行政院核准國科會提出的晶片驅動臺灣產業創新方案（簡稱晶創臺灣方案），將在2024至2033年的未來10年內，投入3,000億元經費來推動生成式AI和晶片的創新應用。</p> <p>進一步來說，該方案提出4大策略，除了促進生成式AI結合晶片的產業新應用，還要強化人才培育環境、加速產業創新所需的異質整合與先進技術，以及吸引國際新創和投資來臺。該方案是由國科會跨部會，聯手經濟部、教育部、衛福部、農業部、數發部、國發會共同推出，不只規畫2024年科技預算120億元，未來10年還要投入3,000億元來執行。國科會表示，該方案明年開始執行，後續將由經濟部制定企業申請和審核規範。<a href="https://www.ey.gov.tw/Page/448DE008087A1971/85934011-c705-4b5c-87a4-a0beb8df0c6f">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 0.1AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Yi </span></strong></span></p> <p><span style="font-size:22px;"><strong>李開復AI新創開源雙語LLM</strong></span></p> <p>由前微軟亞洲研究院院長、創投家李開復創立的AI新創零一萬物（[01.AI](<a href="http://01.ai/">http://01.ai/</a>)）最近發布大型語言模型Yi-6B和34B版本，並開源出來。零一萬物是今年3月在中國成立的生成式AI新創，在成立8個月後，李開復在與彭博的訪談中公布名為Yi的首個LLM，包含60億及340億參數訓練的2個版本。這個模型已透過GitHub開源給社群。</p> <p>Yi是一套中英雙語的基礎模型，可處理的上下文長度為200K個Token。雖然比起其他開源模型小得多，但根據Hugging Face列出的基準測試結果，Yi-34B效能在數個指標例如在常識推理、閱讀理解和數學與寫程式測試中，表現比Falcon-180B和Llama2-70B等大型模型還好。MMLU、CMMLU、C-Eval等測試中，也都拿下第一名。<a href="https://huggingface.co/01-ai/Yi-34B">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Brave </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI助理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 安全 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Brave推出瀏覽器AI助理Leo</strong></span></p> <p>繼Google Chrome和微軟Edge後，瀏覽器開發商Brave也推出桌機版Brave瀏覽器的原生AI助理Leo，主打不蒐集對話、不追蹤用戶，且能減少AI幻覺問題。目前，Leo開放免費使用，用戶可針對造訪網頁提出各種要求，例如為網頁文章摘錄重點、生成影片字幕、翻譯網頁、分析／改寫或擴充原有網頁內容。</p> <p>與其他生成式聊天機器人不同的是，Leo的回應全以網頁內容為基礎，而非憑空生成資訊。與此同時，Brave也推出付費版的Leo Premium服務，每月15美元，有別於免費版Leo是以Llama 2為底層模型，Leo Premium以Claude Instant為基礎模型，不只更快、更輕，還著重邏輯推理和程式碼撰寫，能更準確執行指令，在數學、程式、多語言和回應問題的能力也有提升。<a href="https://brave.com/leo-launch/">（詳全文）</a></p> <p><img alt="" src="https://brave.com/static-assets/images/optimized/leo-launch/images/image1.webp" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LeMA </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微調 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟研究院：從錯誤中學習的LLM表現更好</strong></span></p> <p>微軟亞洲研究院、北京大學、西安交通大學研究人員聯手提出一種AI訓練方法LeMA，能模仿人類學習知識的過程、從錯誤中學習，進而改善AI推理能力。進一步來說，該方法的原理是生成一對包含錯誤與修正版資料的資料組，來微調LLM。為取得修正資料，團隊蒐集了包括LLaMA和GPT系列的5個LLM的錯誤答案和推理途徑，再以GPT-4作為「訂正者」，來提供修正資料。修正資料包含三類資訊，分別是辨識出原有推理的錯誤步驟、解釋推理為什麼錯，最後修正錯誤、以及說明如何修正原方法以獲得最後正確答案，之後再由人類評估，夠好的修正答案才會用來微調LLM。</p> <p>團隊也以2種問題資料集來測試LeMa方法，並比較只以CoT資料集來微調LLM的效果。結果顯示，以LLaMA-2-70B為例，它在兩種方法下，在GSM8K資料集的準確率分別是83.5%、81.4%，在MATH則為25.0%和23.6%。團隊還發現，在同樣資料量的訓練下，LeMA方法也比純CoT微調來得好。<a href="https://arxiv.org/abs/2310.20689">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 三星 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 程式開發 </span></strong></span></p> <p><span style="font-size:22px;"><strong>三星揭露3款生成式AI模型，還要整合至新手機</strong></span></p> <p>南韓電子大廠三星日前在自家AI年度論壇上，揭露生成式AI模型Samsung Gauss，可處理文字生成、圖像生成和程式碼撰寫能力。進一步來說，該模型由三星研究院打造，可細分為3種版本，包括Samsung Gauss Language、Samsung Gauss Image和Samsung Gauss Code。</p> <p>其中，Gauss Language專精文字生成，可用於撰寫電子郵件、摘錄文件重點和翻譯內容等任務。Gauss Code則與程式碼撰寫助理code.i相輔相成，能讓開發者輸入自然語言指令，來快速完成程式碼撰寫工作，還能透過互動介面生成程式碼描述和撰寫測試用例。Gauss Image則能讓使用者輕易生成和編輯圖片，包括變更風格、增添效果，或將低解析度圖片轉為高解析度。這些模型已於三星內部使用，未來將整合到多種自家產品和應用程式，比如語音助理Bixby、智慧家庭Smart Things設備，甚至是明年將上市的Galaxy S24手機等。<a href="https://news.samsung.com/global/samsung-ai-forum-2023-day-2-discussing-technological-trends-and-the-future-of-generative-ai">（詳全文）</a></p> <p>圖片來源／GitHub、OpenAI、xAI、Brave</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. IBM成立5億美元的AI創投基金</strong></p> <p><strong>2. 微軟Xbox與Inworld AI合作打造基於AI的遊戲開發工具</strong></p> <p><strong>3. 英特爾首度在臺公開展示三款AI PC筆電，還支援7B Llama 2模型推論</strong></p> <p>資料來源：iThome整理，2023年11月</p> </div></div></div>
2023/11/11 20:16作者王若樸https://www.ithome.com.tw/news/159743
整合IPS技術，Google Cloud打造雲端原生的次世代防火牆
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/google_cloud_firewall-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年8月底登場的Google Cloud年度用戶大會Next期間，該公司宣布即將推出新的雲端次世代防火牆，名為Cloud Firewall Plus，釋出預覽版本供大家測試。</p> <p>這項強調雲端優先、雲端原生特色的網路安全防護服務，是由Google Cloud旗下資安公司Mandiant，以及次世代防火牆廠商Palo Alto Networks一起合作而成，可提供進階威脅防護（ATP）與簡化維運等功能，當中也將整合網路安全態勢的統一控管。</p> <p>Cloud Firewall Plus的主要賣點，在於能夠大幅強化線上（Inline）威脅防護力，根據他們使用<a href="https://www.keysight.com/tw/zh/products/network-security/breakingpoint.html">網路安全測試解決方案Breakingpoint</a>進行驗證，相較於其他雲端防火牆，Google Cloud這套新上場的資安服務可獲得20倍的成效，而能夠整合Palo Alto Networks的威脅防護技術，正是表現如此優異的關鍵因素之一。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-30-GCP%20Next-Network-Strategy.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-30-GCP%20Next-Cloud%20NGFW.jpg" style="width: 600px;" /></p> <p>而在整體運作方式上，Cloud Firewall Plus本身是分散式防火牆架構，可確保簡化管理、易於擴展執行規模，並且能夠涵蓋整個雲端服務環境，而且不需要重新調整網路流量的路由，或是大幅調整雲端網路架構。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-12-GCP Cloud Firewall1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-12-GCP%20Cloud%20Firewall1.jpg" style="width: 600px;" /></a></p> <p>對於網路安全態勢的控管，也是Cloud Firewall Plus的重點，能橫跨多個邊界與不同工作負載進行統一的管理，用戶可設定適用於整個組織的防火牆政策，或是基於身分存取管理系統（IAM）產生的標籤而訂定的政策，以便涵蓋到橫跨網路層與應用層的工作負載。</p> <p>對於網路威脅的因應，Cloud Firewall Plus提供簡化的單一政策，可強制整個組織套用，以便快速處理資安事故。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-12-GCP%20Cloud%20Firewall2%20Policy.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-10-gcp cloud firewall policy.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-gcp%20cloud%20firewall%20policy.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-gcp%20cloud%20firewall%20policy%20rule.jpg" style="width: 298px;" /></p> <p>關於Palo Alto Networks在這次合作扮演的角色，該公司也特別貼出部落格文章提出說明。他們表示，Cloud Firewall Plus是可擴展規模、雲端原生的網路防火牆服務層，當中提供的入侵防禦系統（IPS）功能，就是出自<a href="https://www.paloaltonetworks.tw/products/secure-the-network/threat-prevention">Palo Alto Networks的威脅預防技術（Threat Prevention）</a>，可提供強大的資安防護力，並搭配Google Cloud雲服務強調的簡化管理與易於擴充特色。</p> <p>在此之前，兩家公司在2021年曾合作推出雲端原生的資安代管服務，也就是Google Cloud的<a href="https://cloud.google.com/intrusion-detection-system?hl=zh-TW">Cloud IDS（Intrusion Detection System）</a>，用戶可藉此監控Google Cloud虛擬私有雲（VPC）環境的工作負載或容器，透視當中的應用程式活動，以及偵測網路威脅的存在，達到保護應用系統與遵循法規的要求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-01-Google Cloud IDS-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-01-Google%20Cloud%20IDS-1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-01-Google Cloud IDS-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-01-Google%20Cloud%20IDS-2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2022-01-Google Cloud IDS-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-01-Google%20Cloud%20IDS-3.jpg" style="width: 298px;" /></a></p> <p>後續隨著即時預防網路威脅的需求增加，Google決定發展Cloud Firewall Plus，提供原生的線上安全防護，以對抗進階威脅，讓用戶能夠獲得企業級的資安機制，實現網路東西向與南北向的流量檢測，並且具備控管網路安全態勢的能力，可對組織內部環境或橫跨多個環境的連線活動，強制實施網路架構第三層（L3）、第四層（L4）、第七層（L7）的資安管理政策。</p> <p>在此同時，Cloud Firewall Plus也提供動態群組的管理方式，具備額外的控制粒度與更大的使用彈性，使得企業能直接指定想要進行網路安全檢測的流量，而不會妨礙他們Google Cloud雲端網路現行或未來的使用狀態。</p> <p>到了10月，Cloud Firewall Plus仍處於預覽狀態，但Google Cloud進一步解釋Cloud Firewall Plus的相關整合。他們表示，這項服務同時結合察看網路加密連線流量的功能，可檢測使用TLS加密的網路流量，為Google Cloud工作負載提供透明的線上防護。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-Cloud_Firewall_Tiers_max-Web.jpg" style="width: 600px;" /></p> <p>至於IPS功能，Cloud Firewall Plus運用一套完全整合的L7模組，而此模組支援階層型網路防火牆政策（Hierarchical Firewall Policies），以及基於標籤而成的網路防火牆規則。基於這樣的作法，Google Cloud用戶在部署威脅預防服務時，不需更改網路設定或拓樸，而且能協助降低整體基礎架構的管理與營運成本。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-12-GCP Cloud Firewall7 Hierarchical Policies.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-12-GCP%20Cloud%20Firewall7%20Hierarchical%20Policies.jpg" style="width: 600px;" /></a></p> <p>有了階層型網路防火牆政策，Cloud Firewall Plus能在針對<a href="https://cloud.google.com/resource-manager/docs/cloud-platform-resource-hierarchy">Google Cloud資源階層</a>，針對整個組織與<a href="https://cloud.google.com/resource-manager/docs/creating-managing-folders">不同部門（資料夾）</a>的層級，強制實施細緻的政策。這類政策可協助用戶建立分層控管，便於簡易授權與獨立稽核，因應雲端資源飄移的現象。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Google Cloud resource hierarchy.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Google%20Cloud%20resource%20hierarchy.png" style="width: 400px;" /></a></p> <p>在Cloud Firewall Plus的IPS實際運作方式上，主要是將網路流量導引至Google Cloud代管的分區防火牆端點（zonal firewall endpoints），在此使用<a href="https://cloud.google.com/firewall/docs/about-intrusion-prevention">封包攔截技術</a>，依據已設定好的威脅特徵進行工作負載的檢測，進而保護網路、使其免於受到威脅。經由這樣的處理流程，威脅預防功能可置入Google Cloud任兩個網路介面之間，或是兩個虛擬私有雲的網路之間，而且彼此都在相同的虛擬私有雲網路或子網路當中，不需要重設路由或變更網路拓樸架構等方式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-gcp%20cloud%20firewall%20arch.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Google Cloud IPS.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Google%20Cloud%20IPS.png" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Google Cloud Firewall</strong><br /> ●原廠：Googl Cloud<br /> ●建議售價：基礎版免費，標準版每GB為0.018美元，加值版未公開價格<br /> ●主要功能：提供分散式防火牆服務、簡化網路與防火牆政策的設定與部署、提供細部控制與網路微分段<br /> ●三大版本通用功能：全域與區域的網路防火牆政策管理、標籤整合、狀態檢測、位址群組管理<br /> ●標準版專屬功能：Google Cloud Threat Intelligence、FQDN物件、依據不同地理區域進行過濾<br /> ●加值版專屬功能：入侵防禦系統</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/11/12 00:57作者李宗翰https://www.ithome.com.tw/review/159713
【iThome 2023資安大調查系列2】政府學校企業資安風險圖（2023～2024）
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1151-zheng_fu_xue_xiao_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2024年是臺灣大選年，每逢大選，政府機關格外繃緊神經，因為得面對更頻繁、龐大，甚至是攻擊手法不斷變化的各種網路攻擊。</p> <p>政府機關資訊系統是重要的關鍵基礎設施，政府近幾年將資安即國安視為重要政策方向，投入許多資源來強化資安和數位韌性。9成政府機關與學校的資訊主管將資安列為年度重要目標，這個比例遠高於其他產業，今年平均資安投資更高達了2,536萬元，僅次於IT預算相對充沛的金融業。政府學校的資安預算占了IT預算的12.1%，甚至比數位轉型預算的比重要還要高。今年資安投資重點前三名包括了與弱點掃描、滲透測試和網路安全，這三類與對外服務的應用系統安全息息相關的項目。</p> <p>這2年政府開始大力發展零信任架構，也讓政府學校的資安信心相對也比其他產業來得更高，對資安能力大致有信心的機關約占6成，甚至有3成是非常有信心，5.9%是極有信心。</p> <p>不過，政府學校在2022年所面臨的資安挑戰依舊不小，政府機關學校平均會遭遇17起重大資安事件，平均可以提前5.3天發現潛伏的攻擊，這個預警偵測能力相對不高，比金融、服務、醫療都還要來得久。不過，政府機關學校的數位韌性表現較好，系統遭攻擊後的復原時間，平均只要2.9天，僅次於金融業的1.1天。</p> <p>這幾年政府學校所面臨的重大資安威脅，每一年都不太一樣。2021年發生風險最高的前三大威脅是資安漏洞事件、駭客和社交工程手段。2022年，社交工程發生風險躍升到第一名，駭客攻擊依舊排名第二，資安漏洞事件的發生風險，則下滑到第三，這已反映出2022年政府機關大力改善自身應用系統安全品質的成果。</p> <h3><span style="color:#0000FF;"><strong>2023～2024年，國家級攻擊組織成為首要風險，也得同時因應不同類型資安風險</strong></span></h3> <p>到了2023～2024年，政府學校CISO和CIO們，預期將更容易遭遇比過去更多元化的資安威脅類型。</p> <p>未來1年，政府機關和學校將面臨的首要風險除了駭客還有來自國家級攻擊組織的威脅，社交工程手段則下滑到次要風險項目。尤其，2024年總統大選的緣故，政府機關資訊主管和資安主管格外警戒來自國家級攻擊組織的威脅。</p> <p>對政府機關而言，過去2年，國家級攻擊組織帶來的影響雖然很高（2022年名列第三高衝擊），但是出現攻擊的可能性，在前兩年的排名都不算太高，在2021年名列第九，2022年則是名列第八，遠低於資安漏洞、釣魚網站、勒索軟體資安事件、資料外洩等。</p> <p>但是到了2023和2024年，政府資安長突然提高了對這一項風險項目的警戒，評估發生可能性的排名，大幅提高到了第三，僅次於駭客和社交工程手段的發生可能性，在衝擊影響排名上，也預期比去年更高，國家級攻擊組織威脅對政府過關帶來的衝擊，在2023～2024年名列第二ㄡ僅次於駭客帶來的影響。而過去風險高的資安漏洞威脅，在2023～2024年的發生風險排名大幅下滑到第7名，與釣魚網站、勒索軟體資安事件、網路犯罪者的威脅排名相當。</p> <p>不過，政府學校在未來一年需要留意幾項，風險威脅在這一年突然上升的項目，包括了來自物聯網的攻擊、透過行動應用的攻擊、挖礦攻擊，還有因為內部人員而導致的資安事件。這幾項雖然沒有進入衝擊高且發生風險高的第一象限，而是分散在衝擊高但發生風險低的第二象限，或是攻擊低但發生風險高的第三象限，可是都在進入第一象限的邊緣，這也意味著，很容易進入了必須特別警戒的第一象限。</p> <p>政府學校除了得因應和過去不一樣的首要風險，還要留意這一些不同類型風險項目的威脅突然驟增，更讓政府必須警戒的資安防護場域更多，挑戰也更大，不只是提供服務的政府網站，還包括了政府行動應用，或是整合了物聯網的整合型應用都得留意。這也是未來一年，政府部分與學校資安主管的考驗，不再只是聚焦少數幾項風險來因應，得更有全盤性、全面性的資安因應策略和數位韌性作為，才能因應來自更多不同類型攻擊威脅的發生。這2年行政院開始大力推動的零信任架構，正是一種可以因應不同類型攻擊的強化作法，政府部門得加快腳步更積極導入才行。</p> <p>過去5年，受惠於資安法的訂定，的確的大幅強化了不少政府部門的資安資源和防護能力，在2023年9月，數位部也預告將首度展開資安法的修法，來因應過去幾年推動上的問題，例如計畫將資安專職人員的設置，從行政命令將提高到法律位階來強化資安人力的設置，也計畫資安會報正式入法，來強化跨機關、中央地方聯防機制等。資安法的再次修訂，也有助於政府學校未來的資安防護能力和威脅因應能力。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1151-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A1-600-(%E5%A4%A7).png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1151-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A1-600-(%E5%B0%8F).png" style="width: 600px;" /></a></p> <p><span style="font-size: 16px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 企業資安風險圖製作說明 </span></span> 在iThome 2023年CIO暨資安大調查中，由企業自評各資安項目的兩項指標，一項是該項目對企業帶來的衝擊程度（衝擊極高和衝擊極低），另一項是這個項目未來1年的發生風險（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1 年發生該項目的風險，位置越右，代表可能性越大。紅色文字的項目為今年發生風險明顯提高者。</strong></span></p> <p><span style="font-size: 16px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> 大調查執行期間從2023年4月20日到5月10日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷407家，其中59.8%填答者為企業資安最高主管</strong><strong style="font-size: 14px;">。</strong></span></p> <p><span style="font-size: 16px;"><span style="color: rgb(105, 105, 105);"><strong>資料來源：2023 iThome CIO大調查，2023年7月</strong></span></span></p> </div></div></div>
2023/11/11 11:50作者王宏仁https://www.ithome.com.tw/article/159277
前端框架Angular 17內建新控制流程語法，並改進延遲載入功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行動與桌面網頁應用程式開發框架Angular在上個月剛過13歲生日，距離Angular 16發布6個月，遵循主要版本更新節奏，官方於11月準時<a href="https://blog.angular.io/introducing-angular-v17-4d7033312e4b">發布第17個主要版本</a>。這個版本引入了一些重要更新，包括新的模板控制流程語法，簡化過去複雜的結構指令。此外，Angular團隊還加入可延遲檢視（Deferrable Views）新功能，讓開發者能夠簡單地實作延遲載入功能。</p> <p>Angular 17所新內建的控制流程語法，目的在於改善開發者體驗。這種新語法更符合JavaScript直覺的程式碼編寫風格，降低開發者對文件的依賴，並提供更好的類型檢查。這個概念主要在建置階段運作，可降低執行時占用的空間，減少套件大小約30 KB。這對於需要快速載入的網站和應用程式，特別是在行動裝置上或是網速較慢的地區，將能有效改善用戶體驗，並且提升最大內容繪製、首次輸入延遲和累積佈局偏三個核心網頁指標分數。</p> <p>新的控制流程包括對條件陳述句的改進，像是新的@if陳述句，能夠用於簡化原有的*ngIf的else陳述句，而@switch陳述句則能改善*ngSwitch的類型細分，另外，Angular 17還推出新的內建for迴圈，透過新的對比演算法提高渲染速度，使其在社群框架基準上達到90％的執行時效能提升。</p> <p>官方還加入一種稱為可延遲檢視（Deferrable Views）的新功能，來改進延遲載入。這個功能讓開發者可以透過簡單的宣告式程式碼，實現元件的延遲載入，像是在需要的時候，才載入用戶評論列表等。透過@defer陳述句，Angular在編譯時便會自動處理其複雜性，包括尋找元件、指令、建置工作管線、生成動態匯入，以及管理載入和狀態轉換的過程。</p> <p>此外，可延遲檢視功能還提供多種觸發器，讓開發者能夠實作像是在特定DOM元素進入視窗時才載入元件，或者根據用戶與特定元素的互動開始延遲載入等情境。可延遲檢視還支援預載入相依項目，進一步提升效能和用戶體驗。整體來說，這些功能更新讓原本需要編寫複雜程式碼，和處理各種極端情況的才能執行的工作變得容易，提高程式開發效率。</p> <p>Angular還對混合渲染體驗進行重大改進，特別是強化了伺服器端渲染和靜態網站生成。現在開發者可以透過新的提示功能，簡單地啟用伺服器端渲染和靜態網站生成。而先前加入的Hydration功能，經過幾個版本的改善，也從開發者預覽階段畢業，現在會於所有使用伺服器端渲染的應用中預設啟用。Hydration是讓伺服器端渲染生成靜態HTML，並於用戶的瀏覽器中，快速變成完全可互動單頁應用程式的過程。</p> <p>在之前Angular 16所加入的實驗性建置工具Vite和esbuild，現在已經成為預設，這大幅提升了ng serve和ng build指令的效率，官方提到，這是Angular CLI建置工作管線的根本性改進，尤其是在伺服器端渲染方面發揮了重要的功能。</p> <p>在Angular加入Vite和esbuild後，許多用戶進行了試驗，發現部分應用程式建置速度提升可達67％，因此官方現在將其扶正為預設工具。而且官方這次還更新混合渲染的建置工作管線，開發者現在能看到高達87％的ng build建置速度改善，以及ng serve的編輯與刷新循環速度提高了80％。</p> </div></div></div>
2023/11/10 20:26作者李建興https://www.ithome.com.tw/news/159742
【資安日報】11月10日，ChatGPT與相關API服務發生間歇性中斷事故，OpenAI坦承是遭遇大規模DDoS攻擊所致
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">駭客組織Anonymous Sudan近期的攻擊行動不時傳出，但大部分都針對歐美國家的政府機關與知名企業而來，透過DDoS攻擊癱瘓他們的網站來表達訴求。而在最近針對OpenAI的攻擊行動當中，出現了更為顯著的影響，因為Anonymous Sudan直接讓OpenAI的重要業務停擺。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">值得留意的是，這起攻擊行動造成</span>大型語言模型ChatGPT出現間歇性停擺的時間，超過一整天，影響程度有待觀察。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【攻擊與威脅】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/openai-confirms-ddos-attacks-behind-ongoing-chatgpt-outages/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">大型語言模型ChatGPT服務中斷，起因是遭遇DDoS攻擊</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/zDHqVewn83_20231110-1121-19711.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/zDHqVewn83_20231110-1121-19711.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer報導，OpenAI於太平洋時間（PST）11月8日中午12時表示，他們正在著手調查一個問題，約於40分鐘後表示部署了修補措施，並進行監控，到了傍晚5時23分，該公司證實ChatGPT與API出現週期性服務中斷的現象，並於晚間7時49分確認、公告是遭遇DDoS攻擊導致上述現象，直到次日下午1時21分，相關服務才恢復正常。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">雖然OpenAI沒有透露攻擊者的身分，但駭客組織Anonymous Sudan聲稱是他們所為，原因是該公司對於以巴衝突存在「普遍性的偏見」。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資料來源</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">1. <a href="https://status.openai.com/incidents/21vl32gvx3hb">https://status.openai.com/incidents/21vl32gvx3hb</a><br /> 2. <a href="https://t.me/xAnonymousSudan/243">https://t.me/xAnonymousSudan/243</a><br /> 3. <a href="https://t.me/xAnonymousSudan/241">https://t.me/xAnonymousSudan/241</a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.jamf.com/blog/bluenoroff-strikes-again-with-new-macos-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客Clop鎖定IT服務需求處理系統SysAid零時差漏洞下手</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">5月底發動大規模MOVEit Transfer零時差漏洞攻擊的勒索軟體駭客組織Clop（亦稱Lace Tempest、TA505），最近轉移目標到另一套IT服務管理系統上。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">微軟威脅情報團隊提出警告，他們發現這些駭客在11月2日，鎖定IT服務需求處理系統SysAid下手，利用零時差漏洞CVE-2023-47246發動攻擊，得逞後於受害組織部署勒索軟體。對此，SysAid獲報後於9日發布資安通告，他們尋求資安業者Profero協助調查，發現此為路徑遍歷漏洞，會導致組織內部部署的SysAid的被用於執行任意程式碼。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">而對於攻擊事件的調查，該公司指出，駭客將Web Shell及其他惡意酬載WAR檔案，植入SysAid的網頁伺服器元件Tomcat特定資料夾，然後利用Web Shell部署、執行PowerShell指令碼，載入木馬程式GraceWire，隨後又利用另一個PowerShell指令碼刪除事件記錄檔案，企圖抹除作案跡證。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資料來源</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">1. <a href="http://twitter.com/msftsecintel/status/1722444141081076219">http://twitter.com/msftsecintel/status/1722444141081076219</a><br /> 2. <a href="https://www.sysaid.com/blog/service-desk/on-premise-software-security-vulnerability-notification">https://www.sysaid.com/blog/service-desk/on-premise-software-security-vulnerability-notification</a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://unit42.paloaltonetworks.com/chinese-apt-linked-to-cambodia-government-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客將基礎設施偽裝成雲端備份服務，鎖定柬埔寨政府而來</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資安業者Palo Alto Networks揭露鎖定柬埔寨政府機關的網路間諜攻擊行動，他們發現，有兩個惡名昭彰的中國國家級駭客組織（研究人員並未透露組織名稱），偽裝成雲端備份服務，根據他們掌握的情報，在今年9月至10月，鎖定至少24個柬埔寨政府機關進行攻擊，這些機構負責的業務，涵蓋國防、選舉監督、人權、財政與金融、商業、政治、自然資源、電信，其共通點是握有大量的敏感資料，像是財務資訊、公民個資、政府機密等。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">研究人員根據駭客所使用的SSL憑證，找出對方所使用的IP位址級網域名稱，發現有許多網域名稱刻意偽裝成雲端儲存服務，而有可能當他們從受害組織的網路流出竊得的資料過程，被資安系統視為合法流量。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">研究人員指出，他們根據這些駭客的作息，確定攻擊者來自中國──這些駭客在中國標準時間的每週一至週五、於8時30分至17時30分<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">從事攻擊行動</span>，只有在9月29日至10月8日沒有依據上述時段出沒，而這段期間正好是中國黃金週及特殊工作日。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ic3.gov/Media/News/2023/231108.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客透過第三方供應商，攻擊賭場伺服器</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月7日美國聯邦調查局（FBI）提出警告，他們從2022年開始，發現多個勒索軟體駭客組織利用供應商遠端存取賭場伺服器的弱點，透過系統管理工具提升權限，從而對賭場發動攻擊，將存放員工及顧客個人識別資訊（PII）的伺服器進行加密。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">他們觀察到勒索軟體駭客組織Silent Ransom Group（亦稱Luna Moth）於今年6月，藉由語音釣魚攻擊進行資料竊盜及勒索，這些駭客先是假借帳戶有尚待處理的費用，寄送帶有電話號碼的郵件，一旦收信人撥打這些電話號碼，攻擊者就會寄送後續的電子郵件，要求他們安裝系統管理工具。而對方就會藉由收信人安裝的系統管理工具存取受害電腦，並部署另一套工具從事惡意行動，竊取電腦本機與網路共享資料夾並外洩，然後向受害公司進行勒索。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">對此，FBI也提出建議，呼籲這些賭場改善資安防護，妥善維護資料備份，並應該稽查第三方供應商的資安狀態。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【漏洞與修補】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.safebreach.com/blog/cryptocurrency-miner-microsoft-azure"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露濫用Azure Automation服務的挖礦攻擊手法</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/CloudMiner-image4-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CloudMiner-image4-1.png" style="width: 300px; float: right;" /></a>資安業者SafeBreach發現一個新的挖礦攻擊手法，當中濫用了微軟雲端自動化服務Azure Automation，號稱可在不需支付任何費用、幾乎無從偵側的情況下從事挖礦牟利。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">研究人員總共找出3種方法，第一種是利用該服務執行他們撰寫的Python指令碼，並以無限次數的方式執行雜湊計算，模擬挖礦程式消耗處理器的情況，發現了Azure計價上的錯誤，而有可能無限量地免費執行自動化作業。另一種，研究人員建立了另一個用於挖礦的自動化工作（Runbook），並以測試模式執行，但使其狀態呈現為失敗而能持續進行，且永遠不會有完成的一天。第三種方式則是突破Runbook運作時間一次最長3小時的限制，他們利用Hybrid Worker擴充功能來達到目的。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">最終研究人員打造了名為pip的惡意Python套件，透過Azure Automation自動化工作上傳到帳號，每次執行該工作，就會竄改雲端帳號裡的pip檔案，並執行前述的挖礦工作，他們也提供名為CloudMiner的套件進行概念性驗證（PoC）。研究人員指出，雖然他們的研究是針對Azure Automation進行，但類似的概念有可能被駭客用於對其他雲端服務業者下手。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【資安產業動態】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://hitcon.org/2023/carnival/enterprise/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">11月14日、15日台灣駭客年會企業場於臺北文創舉行</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">台灣駭客協會將於11月14、15日舉辦台灣駭客年會企業場HITCON Carnival 2023，首度結合資安長圓桌論壇、企業研討會、企業藍隊技術競技、駭客搶旗（CTF）攻防競賽，目的是連結全球資安要角，匯聚海內外產官學界資安決策者、企業資安長、資安專家、技術人員、駭客。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">這場資安大會的主題相當特別，是「Automation Security Ascendancy: Systematic Evolution to Maturity」，強調企業組織面臨資安人才嚴重短缺、資安議題日益複雜，採取流程整合、自動化進行資安防護工作，如何有效採用人工智慧技術並落地於實際資安場域，便是各界關注的焦點。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【其他新聞】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://ec.ltn.com.tw/article/breakingnews/4485327"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">客戶資料外洩未重訊公告，丁丁連鎖藥妝通路遭罰15萬</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://securityaffairs.com/153888/hacking/russian-bank-sberbank-massive-ddos-attack.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯銀行Sberbank傳出遭遇大規模DDoS攻擊</span></span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.securityweek.com/japan-aviation-electronics-targeted-in-ransomware-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">日本航空電子公司證實遇勒索軟體攻擊，BlackCat聲稱是他們所為</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/kyocera-avx-says-ransomware-attack-impacted-39-000-individuals/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">電子大廠Kyocera美國分公司遭遇勒索軟體攻擊，近4萬人個資外洩</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.cna.com.tw/news/aopl/202311090377.aspx"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">韓國外交部證實電子郵件系統遭攻擊，傳出是中國情報單位下手</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>近期資安日報</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159710"><strong>【11月9日】駭客藉由PyPI套件散布BlazeStealer竊資軟體，對開發人員的電腦上下其手，甚至造成電腦無法使用</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159699"><strong>【11月8日】駭客組織SideCopy利用WinRAR高風險漏洞發動攻擊，針對印度政府機關而來，Linux電腦也是目標</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159685"><strong>【11月7日】鎖定Atlassian Confluence重大漏洞的攻擊行動出現，駭客透過勒索軟體Cerber加密伺服器的檔案</strong></a></p> </div></div></div>
2023/11/10 12:58作者周峻佑https://www.ithome.com.tw/news/159733
【盤點《資安法》修法草案重點2】拉高特定非公務機關資安治理層級，依法設立資安長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著國內對於資安重視程度越來越高，甚至於連政府資訊服務採購，也都透過作業指引和資安一覽表的方式，要將資安規範納入採購合約中，原本的《資安法》對於公務機關及特定非公務機關，對其資安規範不足的盲點，越來越顯而易見。</p> <p>再加上近幾年來，公務機關和特定非公務機關也陸續爆發幾起重大資安事件，也使得各界對於資安法修法的呼聲越來越高。</p> <p>事實上，《資安法》原先就有規定，公務機關要設置資通安全長，由機關首長指派副首長或適當人員兼任；但對於特定非公務機關，只規定要設置專職的資安人員而已。</p> <p>而為了拉高特定非公務機關的資安治理層級，《資安法》此次的修法草案新增第二十三條規定，「特定非公務機關應置資通安全長，」可以由特定非公務機關的代表人、管理人、其他有代表權人或其指派的適當人員擔任，而此人的主要任務就是：負責推動及監督機關內資通安全相關事務。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>定義特定非公務機關的範圍</strong></span></span></p> <p>《資安法》主要規範的對象，包括公務機關及特定非公務機關，其中，該法定義的公務機關，除了中央和地方政府之外，這次修正草案特別明定行政法人（例如今年1月成立的資通安全研究院）也是屬於公務機關的範圍，但是不包括軍事及情報機關。</p> <p>至於特定非公務機關的涵蓋範圍更廣，根據《資安法》的定義，則包括：關鍵基礎設施提供者、公營事業或特定財團法人。</p> <p>所謂的關鍵基礎設施提供者，是由行政院國土安全辦公室公告的能源、水資源、通訊傳播、交通、銀行與金融、緊急救援與醫院、中央與地方政府機關、高科技園區等八大關鍵領域中，相關業者所提供的服務，一旦全部或部分中斷，會對國家民生經濟造成重大衝擊或影響的關鍵服務提供者，就是關鍵基礎設施提供者。</p> <p>像是：電信業者的中華電信、台灣大哥大，以及遠傳電信等，都是主要廠商，他們就是通訊傳播服務領域中重要的關鍵基礎設施提供者。</p> <p>至於其他特定非公務機關，公營事業則包括中油、臺水、臺電、中華郵政等；以及特定財團法人，像是支援通訊傳播、資通安全監理及相關技術與產業發展研究的「電信技術中心」等機構，這些都是《資安法》定義中的特定非公務機關。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>要求特定非公務機關設資安長，接軌上市櫃公司資安要求</strong></span></span></p> <p>在此次《資安法》修法草案內容中，除了原先要求特定非公務機關要設立資安專職人員的條文不變，更直接新增第二十三條，明定「特定非公務機關應設置資通安全長，負責推動及監督機關內資通安全相關事務」。</p> <p>這樣的法條修正方向，也符合金管會為了強化上市櫃公司的資安管理機制，而修正的《公開發行公司建立內部控制制度處理準則》。</p> <p>在該準則當中，要求實收資本額達新臺幣100億元以上、前一年底屬臺灣五十指數成分公司，以及主要經營電子商務媒介商品或服務之上市（櫃）公司，都要在2022年底之前，指派資訊安全長並設置資訊安全單位（包含資訊安全專責主管，以及至少2名資訊安全專責人員）。</p> <p>而其餘上市櫃公司，除最近3年稅前純益連續虧損，或最近1年度每股淨值低於面額者外，應於今年（2023）年底前，配置資訊安全專責主管及至少1名資訊安全專責人員。</p> <p>由此可見，《資安法》修正草案中，新增「特定非公務機關要設立資安長」所呈現的條文修正方向，也和實務上，金管會對於上市櫃公司的資安治理要求方向一致，這也讓適用《資安法》所管理的公務機關，以及特定非公務機關，未來在相關的資安治理上，也能接軌上市櫃公司的資安要求。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>將設立資安專職人員的作法，從行政命令提升到法律位階</strong></span></span></p> <p>過往，根據「資通安全責任等級分級辦法」應辦事項的規定，機關的資安等級分成A至E級，其中，要求A級機關設置四名資安專職人力，B級機關置二名資安專職人力，C級機關置一名資安專職人力。</p> <p>但是，《資安法》修正草案中，不論針對公務機關（第十八條）、關鍵基礎設施提供者（第二十條）和關鍵基礎設施以外的特定非公務機關（第二十一條），都明定要依據相關的資通安全等級，設立「專職」的資安人員。</p> <p>也就是說，以往按照相關的行政命令，要求機關和特定非公務機關都要依據資安等級設置專職資安人員，因為是由行政機關自行訂定的行政命令，雖可作為法律的補充，但在牴觸法律者無效的情況下，為了讓專職資安的設立真正落實法制化，因此，在此次修法草案中，便將過往以行政命令規範的專職資安人員設置規定，全部列為此次的修正法條中。</p> <p>資安專職人員是指：全職執行資通安全業務者，所以，如果是把資安的任務分散在不同人的身上，無法達成專職專人的設置目的，所以，機關應指定專人全職執行資通安全業務。</p> <p>而且，專職人力配置的要求是以「機關」為單位，不僅資安人力不能共用，其他關於資安證照的計算，也都必須以機關作為單位分開計算。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>應定義何謂資安專人專職，不應以考試維持證照有效性</strong></span></span></p> <p>不過，在公共政策網路參與平臺「眾開講」中，也有網友對於資安專職人員的定義提出不同意見。</p> <p>例如，在修正草案第二十一條當中，要求關鍵基礎設施提供者以外的特定非公務機關要設置資安專職人員，有網友質疑這項要求，他們認為就連公務機關都做不到的事情，為什麼要求非公務機關去做？</p> <p>另外，也有網友表示，「專人」是人要專，這個工作非他不可，不可以找別人來做；「專責」是責任要專，只能負擔這個工作的責任，不能負擔別的責任；「專職」是職務要專，也就是只能做這個職務，不可以做別的職務。</p> <p>但該名網友認為，「專職」人員跟「專責」人員的，差異在於：對資安工作投入的程度不同，前者是指全職辦理資安工作的同仁，後者則是指定專人負責辦理資安工作，但資安工作可以是該專責人員的兼辦業務之一。</p> <p>一些網友認為，《資安法》修正草案雖然明文規範「設置資安專職人員」，但這個專人的設置是可以由主管指定，主管今天想指定誰，誰就是專人專職，才不管該職務是否為法定。</p> <p>若依「資通安全責任等級分級辦法」的定義，「專人」、「專職」兩者是一致的，無須區別；如果是得由他人「兼辦」的資安業務，何者可以兼，何者不能兼，所以，網友建議，應該可將人的角色及資安業務等項目，再做更明確的規範。</p> <p>此外，「眾開講」平臺上也有網友認為，只設置一名資安專職人員的C級機關，其實是最可憐的，他們的工作內容不僅包山包海，更是資安加個資全餐吃到飽，所謂的「專職人員」只是口號而已；若是位居教育部底下的單位，每兩年就要進行一次稽核計畫，更是文職薪水卻身負技術職工作，難怪人才難覓。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>資安署職責不應只有看報告</strong></span></span></p> <p>對於資安署所扮演的角色，眾開講網友也提出質疑。因為修正草案第二十一條第四項規定，為了便利資安署掌握全國資通安全現況，所以特別明文要求，中央目的事業主管機關應依資安署指定的方式，將關鍵基礎設施提供者以外的特定非公務機關稽核結果及改善報告，送交資安署。</p> <p>該名網友表示，資安署只負責管考，負責看稽核結果和改善報告，但是，資安署對於這些特定非公務機關，可以提供什麼樣的協助呢？資安署是否應該從國家資安總體的考量下，協助相關單位做好資安，而不是只想著管考、寫報告而已。</p> <p>因為資通安全人員的專業知識技能，與公務機關資通安全防護能量有密切關係，為強化並提升公務機關資安專職人員的職能，也於修正草案中第十八條明定，「資安署應妥善規畫推動專職人員的職能訓練，增進其資通安全專業知識技能。」</p> <p>「眾開講」平臺上面的網友也提到，政府的資安專職職能訓練，每三年要再考試一次，但這種每三年舉行一次考試的作法，其實，與許多國際證照維持證照有效性的作法並不相符。</p> <p>該網友希望資安署可以參考國際資安證照的作法，在資安人員於取得證照後，透過持續訓練或工作的方式，以維持相關證照的有效性，而不是要求一直考照。他最後也質疑，資安署內長官們，是否也都具有相關的政府資安職能證照呢？</p> <p><span style="color:#B22222;"><span style="font-size:24px;"><strong>《資安法》修正草案重點之二的條文內容</strong></span></span><br /> <span style="color:#696969;"><span style="font-size:20px;"><strong>【第十八條】 <br /> 公務機關應符合其資通安全責任等級之要求，設置專職資通安全人員，辦理資通安全業務及應變處理；資通安全業務績效評核優良者，應予獎勵。<br /> 資安署應妥善規劃推動專職人員之職能訓練，增進其資通安全專業知能；遇有重大資通安全事件，資安署得逕予調度各級機關資通安全人員支援之。 <br /> 前二項人員調度支援、績效評核、獎勵及職能訓練相關事項之辦法，由主管機關定之。<br /> 【第二十條】 <br /> 關鍵基礎設施提供者應符合其所屬資通安全責任等級之要求，設置資通安全專職人員，並考量其所保有或處理之資訊種類、數量、性質、資通系統之規模與性質等條件，訂定、修正及實施資通安全維護計畫。<br /> 關鍵基礎設施提供者應向中央目的事業主管機關提出資通安全維護計畫實施情形。<br /> 中央目的事業主管機關應綜合考量所管關鍵基礎設施提供者業務之重要性與機敏性、資通系統之規模及性質、資通安全事件發生之頻率、程度及其他與資通安全相關之因素，定期稽核其資通安全維護計畫之實施情形。<br /> 關鍵基礎設施提供者之資通安全維護計畫，應向中央目的事業主管機關提出改善報告。<br /> 中央目的事業主管機關應依資安署指定之方式將稽核結果及改善報告送交資安署。<br /> 【第二十一條】<br /> 關鍵基礎設施提供者以外之特定非公務機關，應符合其所屬資通安全責任等級之要求，設置資通安全專職人員，並考量其所保有或處理之資訊種類、數量、性質、資通系統之規模與性質等條件，訂定、修正及實施資通安全維護計畫。<br /> 中央目的事業主管機關得要求所管前項特定非公務機關，提出資通安全維護計畫實施情形。<br /> 中央目的事業主管機關得稽核所管第一項特定非公務機關之資通安全維護計畫實施情形，發現有缺失或待改善者，應限期要求受稽核之特定非公務機關提出改善報告。<br /> 中央目的事業主管機關應依資安署指定之方式將稽核結果及改善報告送交資安署。<br /> 【第二十三條】<br /> 特定非公務機關應置資通安全長，由特定非公務機關之代表人、管理人、其他有代表權人或其指派之適當人員擔任，負責推動及監督機關內資通安全相關事務。</strong></span></span></p> </div></div></div>
2023/11/10 13:01作者黃彥棻https://www.ithome.com.tw/news/159734
駭客組織Lace Tempest著手攻擊SysAid零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門開發IT服務管理軟體的<a href="https://www.sysaid.com/blog/service-desk/on-premise-software-security-vulnerability-notification" target="_blank">SysAid周三（11/8）呼籲客戶應儘速升級至SysAid 23.3.36</a>，以修補已經遭到駭客攻擊的CVE-2023-47246零時差漏洞。<a href="https://twitter.com/MsftSecIntel/status/1722444141081076219" target="_blank">微軟指出</a>，駭客組織Lace Tempest已針對該漏洞展開攻擊，很可能是為了部署Clop勒索軟體。</p> <p>SysAid說明，該公司的安全團隊是在11月2日注意到此一潛在的安全漏洞，緊接著展開的調查則顯示，這是一個位於SysAid就地部署軟體的路徑穿越（Path Traversal）漏洞，可能導致程式執行，而且已遭到駭客利用。本周釋出的修補程式不僅修復了CVE-2023-47246，也會針對用戶的網路進行全面的危害評估，以尋找相關的入侵指標。</p> <p>Lace Tempest利用該漏洞上傳了含有一個WebShell與其它酬載的WAR檔案，至SysAid Tomcat網頁服務的根目錄中，該WebShell讓未經授權的駭客得以存取及控制目標系統，再利用一個PowerShell來執行惡意程式載入工具，繼之載入了木馬程式GraceWire。成功讓GraceWire進駐系統之後，駭客即可於受害系統上展開橫向移動，竊取資料並部署勒索軟體。此外，駭客還透過另一個PowerShell來抹去他們於系統上的攻擊痕跡。</p> <p>此一安全漏洞主要影響就地部署的SysAid On-Prem伺服器，除了督促用戶儘快升級到SysAid 23.3.36之外，SysAid也建議用戶展開徹底的危害評估，以及檢查任何具備最高權限的憑證是否出現可疑活動。</p> <p>微軟則提醒，除了修補之外，SysAid用戶也應該要檢查系統是否在修補之前便曾遭駭，以執行適當的清除行動。</p> </div></div></div>
2023/11/10 13:28作者陳曉莉https://www.ithome.com.tw/news/159735
【盤點《資安法》修法草案重點3】公務機關遇重大資安事件，資安署有權調度各機關資安人員支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>想要落實資安，大家都很清楚如果沒錢、沒人，將是萬萬不能。數位發展部這次推出的《資安法》修法草案中，從組織面提升公務機關資安治理的層級之餘，也要求依照各個公務機關的資通安全責任等級要求，設置專職的資安人員。</p> <p>在目前的政府機關中，只有警察、人事、政風、主計等單位，是屬於從上到下的「一條鞭」管理單位，從中央部會到地方政府機關的事權統一，基本上，中央的主管機關有統一的統籌訓練和主管考核機制，當然也有跨機關、跨單位進行人事調度的權利。</p> <p>只不過，公務機關資安專職人員的員額，最多就是A級機關的編制四人，而不屬於具有一條鞭管理機制的單位，當然主管機關也沒有這種直接跨機關調度人事的權利。</p> <p>但是，為了使公務機關一旦發生重大資安事件，更有效率、更即時的解決，此次修正草案第十八條特別賦予資安署有直接調度各機關資安人員支援的權利，讓公務機關的資安人員具有「類一條鞭」的性質。</p> <p>新增資安類一條鞭制度，資安署有權調度人員協處重大資安事件</p> <p>為了提高公務機關對於重大資安事件的應變協處能力，這次資安法修法更直接增訂第十八條第二項，規定資安人員具有類一條鞭性質，明定公務機關一旦遭遇重大資安事件時，「資安署得逕予調度各級機關資通安全人員支援。」</p> <p>但這種「類」一條鞭的方式，也引發質疑。例如，有些公共政策網路參與平臺「眾開講」的網友表示，資安署若要調動其他機關編制內的資安人員時，應該要先獲得機關同意才是，如果資安署被賦予「逕予」調度的權利，可能會有超額授權的爭議。</p> <p>另有網友認為，這裡的「調度」應屬於行政程序法第十九條的「請求行政協助」，調動機關內的人力支援協處重大資安事件，其中的「人力安排」看來比較類似：因為事件發生在你家附近、請求你就近協助幫忙，就像暫時的「車輛的調度」，而非永久「商調」，因此，並沒有牽涉組織員額編制的調動。</p> <p>也有其他網友跳出來質疑這麼做可能產生的問題，他們表示，現在有越來越多機關內的資訊員額，其實都被移撥給業務單位，當資訊人員越來越少人，甚至沒有獲得足夠員額的保障時，又如何做好資安呢？</p> <p>有一位網友指出，當公務機關面對重大資安事件發生時，各機關的資安人員都可被資安署統一徵調的規定，從公務人員的管考上，並不利於資安人員在機關內的考核，顯然《資安法》的規定沒有考量資安人員的職涯發展，並未從他們的角度出發。</p> <p><span style="font-size:28px;"><strong>機關內資安人員的業務超出負荷，若因支援而影響考績該怎麼辦？</strong></span></p> <p>面對有些機關在沒人沒錢的情況下，本身業務其實都已超過負荷，相關的資安人力卻還要受到資安署調度，去支援其他機關的困境，有人建議，直接由資安署的專業人員去支援更為合適。而這樣的專業人員，應該是指先前的行政院國家資通安全會報技術服務中心（簡稱技服中心），現為數位發展部管轄的行政法人：資通安全研究院。</p> <p>有人提醒這種資安類一條鞭的調度方式實際執行時，還會衍生其他問題，畢竟資安專責人員在政府歸類為資訊職系，並不是真正的一條鞭，考核權還是在各機關主管手上。</p> <p>這位網友表示，資安署一旦進行徵調時，除了會影響該機關原本已多如牛毛的業務執行，可能因被徵調人員在機關的貢獻度相對較低而影響考績，此外，升遷管道也可能受阻。於是，便有網友直接建議，應刪除此一不合理的規定。</p> <p>在「眾開講」平臺上面，更有網友直言：目前政府內各機關的資安人力多數員額尚未補足，資安人力都是現有機關編制內人員，但身為三級機關的資安署，卻要調動無隸屬關係的其他二級或其他機關，這有行政擴權之虞。</p> <p>以務實的角度來看，他認為草案中的「資安專職人力」應改為「資安專責人力」，因為很多機關只有一個資訊人員，光是要處理單位內資訊雜務已自顧不暇，根本不可能真正做到全職資安。</p> <p>也有現職公務機關資訊人員到「眾開講」平臺表達意見指出，許多機關的資訊人員往往是辦理資訊又兼辦資安，資訊加給的部分也不見改善。該名網友認為，資訊人員兼辦資安都做一樣的事情，因為「沒有專責資訊單位，就沒有提供資訊加給」，機關內的事情卻又不能不做，所以，這樣的狀態並不合理。</p> <p><span style="font-size:28px;"><strong>透過修正母法推動資安一條鞭，機會難得</strong></span></p> <p>有人認為需要再調整，但也有人支持，他們肯定推行資安人員一條鞭制，實屬立意良善，可整合各公務機關與特定非公務機關分散的資源，解決資訊採購重複及疊床架屋問題；也可以協助預算不足或組織較小的機關，解決資安產品或服務採購等問題，像是某些預算不足的機關，無法部署架構完整的資安防護方案，有些會則因為本身缺乏資安採購規畫的評估人力，導致履約能力不足的廠商得標。</p> <p>對此，「眾開講」平臺有網友建議，草案增訂條文能提供資安署「逕予」調度權限，難免影響原機關日常業務運作，加上各機關資安人員也須辦理日常業務，因此他建議第十八條第二項條文應修正成：「……遇有重大資通安全事件，資安署得商請各級機關同意及徵詢受調人員之意願，調度其資通安全人員支援。」賦予受調度機關作業的彈性。</p> <p>另外，因為接受調度的受調人員，在原機關編制的員額之下，是用其人事預算，如果接受調度機關也能因此獲得獎勵，例如年度機關績效指標等，便能夠提高機關借調資安人員支援的意願。</p> <p>該網友建議，第十八條第三項條文調整成：「……『受調機關與人員』的獎勵及職能訓練相關事項辦法，由主管機關定之。」</p> <p>事實上，2022年成立的資安署約聘人員人力，迄今還沒有補滿，其中一個重要原因就是，公務人員薪俸和資安業界有明顯落差，因此，應提高給薪彈性。</p> <p>該網友建議，數位發展部應該要規畫縮編約聘人員，例如約聘職遇缺不補，但把這個缺額改為補上受銓敘人員，並與考試院研商資安特種考試，像是設資安官，測驗上機實作與口試等，並擬訂資訊處理轉任資安職系的辦法，同時參考業界薪資訂定資安職系的專業加給，或者增設職務加給（可依經驗、證照或測驗成績，核定起敘的俸級）與彈性薪級（可參考法官24級或教師36級，非齊頭6本1），藉此維持文官制度的公平與透明。該網友也說，另外也可以參《法官法》的規定，可以依照其執業經驗採差別敘薪。</p> <p>此外，數位部管轄的資安院雖然以更彈性的方式，招聘資安業界的頂尖資安人力，然而，該組織本身所擁有的人力，目前仍然不足以支援各機關面臨的各種資安事件處理，以及需要的資安諮詢服務。</p> <p>網友認為，施行「資安一條鞭制」是正確方向，數位發展部應該把握難得修母法的機會，制定依據讓考試院能夠有所遵循。不然的話，在政府機關內部任職、實務經驗豐富的優秀資安人才，很容易受到業界高薪動搖；而接受目前待遇招募進來的人員，也可能因實務經驗不足，進而影響資訊服務委外專案的採購與管理品質。</p> <p>所以，資安一條鞭制應該由數位部統一編列資安官人事預算，再由資安署定期辦理集訓，依機關的資安責任等級、組織層級、設施重要性排序，派駐至各機關，以獨立處室辦理法遵諮詢、日常技術檢測、事件支援、聯合監控等業務（類似主計或政風）並定期輪調，而非讓各機關自行擴編人力又各自為政。至於各機關資安專責人，可作為「資訊人員」與「資安處室」的溝通橋樑。</p> <p>但網友認為，最終的關鍵還是在於現行文官制度沒有資安職系，就算有，職等敘薪也跟業界不同，也難怪政府機關一直找不到夠好、夠強大的資安人力。網友也說，從《資安法》實施迄今，即使有法條要求公務機關應補足資安人力，但在薪資服務的誘因不足下，公務機關資安人力仍然相當缺乏。</p> <p><span style="font-size:28px;"><strong>政府強化資安人員職能，每三年考一次的作法不恰當</strong></span></p> <p>因為資通安全人員的專業知識技能，也與公務機關資通安全防護能量有密切關係，為了強化並提升公務機關資安專職人員的職能，也於修正草案中第十八條第二項明定，「資安署應妥善規畫推動專職人員的職能訓練，增進其資通安全專業知識技能。」</p> <p>網友在眾開講平臺提到政府資安專職職能訓練，每3年要再考試一次，但每三年必須再考試一次的作法，不符目前許多國際證照維持證照有效性的作法。</p> <p>因此，這位人士建議，資安署應該參考國際資安證照的作法，在資安人員於取得相關資安證照後，透過持續訓練或工作的方式，藉此維持相關證照的有效性，而非要求資安人員要一直考試。</p> <p>在此同時，當所有人都要求資安人員要具備足夠專業，那麼，高層主管們如果能帶頭示範，取得能力證明，相信大家都會心服口服，因此，有人也對此提出質疑，認為資安署內長官們也應該要具有相關的政府資安職能證照。</p> <p>對於資安署的職責，有人建議負責執行國家資安政策的這個單位，不應該只負責管考，看稽核結果和改善報告而已，重點是，對於公務機關及特定非公務機關，究竟該提供什麼樣的協助？他指出，資安署應該從國家資安總體的考量，協助相關單位做好資安，而不是單純考慮管考、寫報告。</p> <p><span style="color:#B22222;"><span style="font-size:24px;"><strong>《資安法》修正草案重點之三的條文內容</strong></span></span><br /> <span style="color:#696969;"><span style="font-size:20px;"><strong>【第十八條】<br /> 公務機關應符合其資通安全責任等級之要求，設置專職資通安全人員，辦理資通安全業務及應變處理；資通安全業務績效評核優良者，應予獎勵。<br /> 資安署應妥善規劃推動專職人員之職能訓練，增進其資通安全專業知能；遇有重大資通安全事件，資安署得逕予調度各級機關資通安全人員支援之。<br /> 前二項人員調度支援、績效評核、獎勵及職能訓練相關事項之辦法，由主管機關定之。</strong></span></span></p> </div></div></div>
2023/11/10 13:40作者黃彥棻https://www.ithome.com.tw/news/159736
【盤點《資安法》修法草案重點4】將現行實務運作上的行政檢查，正式法制化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了強化中央目的事業主管機關對特定非公務機關，發生重大資通安全事件的調查權，《資安法》修正草案新增條文第二十五條，增訂中央目的事業主管機關行政調查的權限，也就是把現在主管機關對所管轄的相關產業，一旦發生重大資安事件甚至是個資外洩事件時，都會由主管機關執行的行政檢查機制。</p> <p>而這項權限的訂定正式納入《資安法》的法律規範中，可以有效精進資通安全管理。</p> <p>同時，為了避免特定非公務機關拒絕中央目的事業主管機關的行政檢查，也在修正草案中新增了罰則第二十九條，亦即「拒絕行政檢查者，將處以罰鍰十萬元以上、一百萬元以下」。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>發生重大資安事件就是啟動行政檢查的時機</strong></span></span></p> <p>如果中央目的事業主管機關要對特定非公務機關啟動行政檢查，最重要的兩個啟動關鍵時機，一個是在稽核資通安全維護情形，發現重大缺失，另一個是遇到重大資通安全事件。</p> <p>所謂的「重大缺失」是指：特定非公務機關未能落實其自訂的資通安全維護計畫，因此讓組織的資安維護機制失效，導致發生損害，並且產生不可回復的風險。</p> <p>至於「重大資通安全事件」則是指：發生了現行國家資通安全通報應變作業綱要所定義的第3、4級資安事件，例如：關鍵或核心資訊基礎設施系統或資料遭到竄改、運作遭影響，或是系統停頓導致無法在可容忍中斷時間內，回復正常運作者等都是。</p> <p>為了能夠更進一步落實特定非公務機關資通安全的維護，同時，也強化中央目的事業主管機關的監督權責，所以，中央目的事業主管機關針對特定非公務機關發生的重大資安事件進行調查，就是在執行行政檢查。</p> <p>但公共政策網路參與平臺「眾開講」的網友對此表示質疑，他們提到，如果發生資安事件牽涉的面向很廣，不論誰是當事人或關係人，該條文看似要究責，但該對誰進行究責，卻不清楚交代，實務上有窒礙難行之處。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>為免行政檢查濫權，將檢查程序範圍等全部法制化</strong></span></span></p> <p>由於這次修法，將正式賦予中央目的事業主管機關權限，使其針對特定非公務機關發生的重大資安事件進行調查，但是，為了避免行政機關濫權，也必須制定一定的調查程序。</p> <p>所以在《資安法》新增修正草案第二十五條第一項便規定，進行行政檢查時，除了要通知當事人或關係人到場陳述意見外；也要通知當事人及關係人，提出獨立第三方機構出具的鑑識或調查報告；甚至中央目的事業主管機關也可以派員、委任或委託其他機關（構），前往當事人及關係人的處所實施必要的檢查。</p> <p>至於所謂的關係人，也在條文中定義，協助特定非公務機關辦理資通系統建置、維運或提供資通服務的受委託者，且與重大資安事件相關者，都可以作為接受調查的特定非公務機關當事人或關係人，到場陳述意見。</p> <p>此外，為了保護接受調查對象應該有的權益，修正草案中也明訂：執行調查的人員應該出示有關執行職務的證明文件，如果不能出示證明文件者，接受調查的人同樣可以拒絕這些要求。</p> <p>同時，對於負責執行行政檢查的對象或機關（構），對於接受委託或執行行政檢查時，所得知非特定公務機關的秘密，都負有相關的保密義務。</p> <p>因為是執行公務，所以，接受調查的對象對於中央目的事業主管機關的行政檢查，不得規避、妨礙或拒絕，否則就須受罰，例如，新增修正草案第二十九條就制定相關罰則，「如果規避、妨礙或拒絕調查者，由中央目的事業主管機關處新臺幣十萬元以上、一百萬元以下罰鍰。」</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>行政檢查具有行政救濟方式，資安稽核則沒有</strong></span></span></p> <p>行政檢查的範圍就是，檢查機關職掌與受檢查單位是否有依法應辦理事項的內容，並且是以通知陳述意見、要求提供文書及資料等「行政程序法」的規定方式進行。</p> <p>曾經協助政府執行行政檢查的資安專家表示，行政檢查是有其限制範疇與方法救濟，不僅可以避免檢調濫權、任意進行搜查，受檢查單位若對行政檢查結果不滿，也可以啟動行政訴訟的救濟，不至於像現在的資安稽核，只要稽核人員檢查出來的結果，就必須被迫接受，因為目前接受稽核的單位，本身並沒有申訴救濟的機會。</p> <p>有資安專家表示，因為是代中央目的事業主管機關行資安檢查之責，不只要具備資安技術能力，最好還具有法律素養，可以將法條作為行政檢查的依據，「至少要開缺失的時候，可以於法有據。」該資安專家笑說。</p> <p>此次修法雖然加強中央目的事業主管機關的監督權責，但眾開講平臺當中有網友表示，中央目的事業主管機關的資安人力和技術能力，勢必不如資安署理想，因此，資安署應在本條文中扮演重要角色，建議可加入：經中央目的事業主管機關函請資安署協助時，資安署應提供所要求的協助。</p> <p>由於《資安法》規範的是公務機關，以及特定非公務機關的資通安全管理，但如果涉及個資外洩時，該修正草案也新增第三十一條，必須依照《個人資料保護法》及相關法規辦理。</p> <p>畢竟「資通安全維護計畫」與「個人資料檔案安全維護計畫」都規定要有適當安全措施，但兩者構成要件不同，也沒有普通法與特別法的差異，為了讓個資外洩資安事件也受《個資法》規範，於是透過新增法律條文來達成目的。</p> <p>對於行政檢查頗有研究心得的政治大學法律系兼任助理教授萬幼筠表示，一般在執行行政檢查時，他都會追問接受檢查單位，出事後的通報應變程序怎麼設計，這往往也是一般人忽略的地方。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>特定非公務機關都負有通報資安事件的責任和義務</strong></span></span></p> <p>在本次資安法修正草案，大家可以發現：只要是針對公務機關的規範，也同樣適用於特定非公務機關，務求《資安法》適用對象的法律規範能夠一致。</p> <p>舉例而言，像是修正草案第十七條和第二十四條就規定：不論是公務機關或是特定非公務機關，為了因應資安事件，都應該訂定通報及應變機制。</p> <p>如果公務機關得知發生資安事件時，除了要向上級機關或監督機關及資安署進行資安通報外，也要一併提交該次資安事件的調查、處理及改善報告；如果是特定非公務機關知道發生資安事件時，除了要向中央目的事業主管機關進行通報外，也要提交該次資安事件的調查、處理及改善報告，若該次是重大資安事件的話，相關調查報告則應該同時送交資安署。</p> <p>不過，關於通報與應變機制的必要事項、通報內容、報告提出、演練作業及其他相關事項辦法等，公務機關是由主管機關訂定相關內容，而特定非公務機關則由中央目的事業主管機關制定。</p> <p>倘若中央目的事業主管機關或是資安署得知，特定非公務機關發生重大資安事件時，除了得提供該單位相關協助外，也會在適當時機點，得公告與事件相關的必要內容及因應措施。</p> <p>因為公務機關發生重大資安全事件，極有可能會影響多數民眾的生命、身體或財產安全，所以也明文規定，由接獲資安通報的機關協同受駭的公務機關，分別或共同公告必要的內容，例如：發生原因、影響程度及目前控制的情形等，以及後續的因應措施，並提供相關的協助，以利後續防範、避免損害進一步擴大。</p> <p>對於上述狀況，「眾開講」平臺的網友認為應加重資安署權責，特定非公務機關若發生重大資通安全事件，並提出協助需求時，資安署「應」提供相關協助，而非「得」提供協助，「資安署不是只負責收報告而已。」該名網友說。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>所有的演練作業都要留存記錄，沒通報最高開罰五百萬元</strong></span></span></p> <p>為了增進公務機關及特定非公務機關因應資安事件的處理能力，所以，在修正草案第十七條和第二十四條當中，都增訂「演練作業」的項目，透過實施模擬演練，熟悉應變程序，以便提升處理資安事故的技能。</p> <p>資安專家建議，不論公務機關或特定非公務機關，平時不只要做好演練作業，也要做好相關記錄，否則一旦不幸爆發資安事件，受駭單位被通知需提交平時的演練記錄給主管機關和資安署，如果平常演練都沒有做好記錄，就算臨時抱佛腳進行趕工作業，恐怕還是無法產出相關報告，屆時只能面臨被主管機關裁罰的命運。</p> <p>至於裁罰的部份，因為公務機關原本就是依法行政，所以不會對「機關」進行懲處，只會處罰「公務人員」，依照《資安法》的規定，視其情節的輕重程度，會對公務人員進行懲戒或懲處。</p> <p>至於針對特定非公務機關的處罰，則會以機關單位為主。</p> <p>像是修正草案第二十七條規定，特定非公務機關如果沒有做到「限期改正」的事項時，會被按次處以罰鍰十萬元以上、一百萬元以下；其他像是沒有制定、實施或違反資通安全維護計畫，或是未依規定，將資安改善計畫送給中央目的事業主管機關及資安署，或是沒有向有關單位提出資安事件調查報告、或違反通報內容或演練作業的規定等，都會受到相同的懲處。</p> <p>為了強化特定非公務機關向主管機關通報發生資安事件的責任和義務，《資安法》修正草案第二十八條規定：如果沒有按規定通報資安事件，中央目的事業主管機關可以開罰三十萬元以上、五佰萬元以下罰鍰，並下令限期改正，若屆期沒有改正的話，可以按次處罰。</p> <p>《資安法》這樣按次處罰的方式，其實，也是強迫特定非公務機關必須正視問題，一旦遇到資安事件時，必須要做到相關的通報應變的責任，以外力要求特定非公務機關能夠更重視資安，不會想著因循苟且。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>資安通報不等於發布重訊</strong></span></span></p> <p>因為證交所要求上市櫃公司，一旦發生資安事件時，必須即時發布重訊。然而，證交所要求的公司重訊發布，以及《資安法》規定的資安事件通報義務，兩者之間有什麼差異呢？</p> <p>萬幼筠表示，依照10月19日剛公布的《數位經濟產業個人資料檔案安全維護辦法（安維辦法）》，以及《資安法》修正草案中的規定，特定非公務機關有通報中央目的事業主管機關的義務。</p> <p>像是上市櫃公司如果發生資安事件，通報義務就是告知投資人（發表重訊），說明資安事件是否會影響業務營運以及可能造成的財物損失，這也是金管會在意的內容。</p> <p>只不過，要通報《資安法》主管機關數位發展部的話，不只要通知該起資安事件發生的來源、通報和應變等後續流程，連是否有引起個資外洩事件等，也都在通報的範圍之中。</p> <p>所以，萬幼筠認為，資安通報應該有三種分流，第一種是與營業秘密相關的資安事件，第二種是與個人資料相關的資安事件，最後一種則是影像作業運作、資訊系統中斷的資安事件。</p> <p>至於，特定非公務機關甚至是一般上市櫃公司，要進行資安事件通報的流程，根據萬幼筠的觀察，首先是資安通報應變或是個資通報應變，必須要通報中央目的事業主管機關，這時候也會確認是否要刑事局或調查局（牽涉國安項目的資安）報案。</p> <p>接著，如果是上市櫃公司，還必須通報證交所，依照上市櫃合約要求進行重大事件公告，說明該起資安事件是否影響公司的營運、對財務是否造成衝擊，以及相關的應變方式。</p> <p>最後，就是要通知當事人，如果是個資外洩事件的通知當事人，依照行政命令規定，必須在72小時內通知，但是，以往有許多機構當下雖然表示「查明後要告知」，但一查就查了N年，甚至沒下文，所以改在「安維辦法」要求，出事72小時內要通知主管機關，然後要通知當事人。</p> <p>但他也說，目前因為法律沒有強制完成通報的限制，只要求必須通報，所以，目前來看，通報和事件發生之間還是存在時間差。</p> <p>因為資安通報不等於發布重訊，萬幼筠指出，不論《資安法》、《個資安維辦法》、《個人資料檔案安全維護計畫》等，都要求必須查明相關攻擊來源、應變狀況等詳情，畢竟後續還有安排行政檢查的任務，而證交所的通報內容就沒有這麼細緻。</p> <p><span style="font-size:24px;"><span style="color:#B22222;"><strong>《資安法》修正草案重點之四的條文內容 </strong></span></span><br /> <span style="font-size:20px;"><strong><span style="color:#B22222;">【第十七條】</span><br /> 公務機關為因應資通安全事件，應訂定通報及應變機制。<br /> 公務機關知悉資通安全事件時，應向第十四條規定收受其實施情形之機關及資安署通報。<br /> 公務機關應向前項接獲通報機關提出資通安全事件調查、處理及改善報告。<br /> 前三項通報與應變機制之必要事項、通報內容、報告之提出、演練作業及其他相關事項之辦法，由主管機關定之。<br /> 第二項接獲通報機關知悉重大資通安全事件時，得提供公務機關相關協助，並於適當時機得公告與事件相關之必要內容及因應措施。<br /> <span style="color:#B22222;">【第二十四條】 </span><br /> 特定非公務機關為因應資通安全事件，應訂定通報及應變機制。<br /> 特定非公務機關於知悉資通安全事件時，應向中央目的事業主管機關通報。<br /> 特定非公務機關應向中央目的事業主管機關提出資通安全事件調查、處理及改善報告；如為重大資通安全事件者，並應送交資安署。<br /> 前三項通報與應變機制之必要事項、通報內容、報告之提出、送交、演練作業及其他應遵行事項之辦法，由主管機關定之。<br /> 中央目的事業主管機關或資安署知悉重大資通安全事件時，得提供特定非公務機關相關協助，並於適當時機得公告與事件相關之必要內容及因應措施。<br /> <span style="color:#B22222;">【第二十五條】 </span><br /> 中央目的事業主管機關為辦理特定非公務機關發生重大資通安全事件之調查，得依下列程序辦理： <br /> 一、通知當事人或關係人到場陳述意見。 <br /> 二、通知當事人及關係人提出獨立第三方機構出具之鑑識或調查報告。 <br /> 三、派員、委任或委託其他機關（構）前往當事人及關係人之處所實施必要之檢查。前項所定關係人，以第一項特定非公務機關委託辦理資通系統之建置、維運或資通服務之提供之受託者，且與重大資通安全事件相關者為限。 <br /> 受調查者對於中央目的事業主管機關依第一項所為之調查，不得規避、妨礙或拒絕。 <br /> 執行調查之人員應出示有關執行職務之證明文件；其未出示者，受調查者得拒絕之。 <br /> 第一項第三款受委任或委託之機關（構）對於辦理受任或受託事務所獲悉特定非公務機關之秘密，不得洩漏。<br /> <span style="color:#B22222;">【第二十七條】</span><br /> 特定非公務機關有下列情形之一者，由中央目的事業主管機關令限期改正；屆期未改正者，按次處新臺幣十萬元以上一百萬元以下罰鍰： <br /> 一、未依第二十條第一項或第二十一條第一項規定，訂定、修正或實施資通安全維護計畫，或違反第二十二條所定辦法中有關資通安全維護計畫必要事項之規定。<br /> 二、未依第二十條第二項或第二十一條第二項規定，向中央目的事業主管機關提出資通安全維護計畫之實施情形，或違反第二十二條所定辦法中有關資通安全維護計畫實施情形提出之規定。<br /> 三、未依第八條第二項、第二十條第四項或第二十一條第三項規定，提出改善報告送交資安署、中央目的事業主管機關，或違反第二十二條所定辦法中有關改善報告提出之規定。 <br /> 四、未依第二十四條第一項規定，訂定資通安全事件之通報及應變機制，或違反第二十四條第四項所定辦法中有關通報及應變機制必要事項之規定。 <br /> 五、未依第二十四條第三項規定，向中央目的事業主管機關提出或向資安署送交資通安全事件之調查、處理及改善報告，或違反第二十四條第四項所定辦法中有關報告提出、送交之規定。 <br /> 六、違反第二十四條第四項所定辦法中有關通報內容、演練作業之規定。<br /> <span style="color:#B22222;">【第二十八條】</span><br /> 特定非公務機關未依第二十四條第二項規定，通報資通安全事件，由中央目的事業主管機關處新臺幣三十萬元以上五百萬元以下罰鍰，並令限期改正；屆期未改正者，按次處罰之。<br /> <span style="color:#B22222;">【第二十九條】</span><br /> 違反第二十五條第三項規定，規避、妨礙或拒絕調查者，由中央目的事業主管機關處新臺幣十萬元以上一百萬元以下罰鍰。<br /> <span style="color:#B22222;">【第三十一條】</span><br /> 本法所定資通安全事件，涉及個人資料檔案外洩時，公務機關及特定非公務機關應另依個人資料保護法及其相關法令規定辦理</strong></span></p> <p> </p> </div></div></div>
2023/11/10 13:45作者黃彥棻https://www.ithome.com.tw/news/159737
上路屆滿5年，資安法首度修法
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1155-feng_mian_p1-open-yan_fen_-960x420_kao_bei_0.jpg?itok=EDW0c3Eu" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資通安全管理法於2019年正式啟用，數位部今年9月預告修法，將彙整各界意見交由行政院提出修法版本，也會送交立法院進行修法。目前修法草案有哪些重點？適用範圍是否應該要從現有的公務機關以及特定非公務機關，擴大到一般產業？我們將帶領大家了解。</p> </div></div></div>
2023/11/10 13:49作者黃彥棻https://www.ithome.com.tw/article/159738
改善資安，政府採購與法令與時俱進
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧今年10月的資安新聞，隨著國際上出現新的震盪，先是巴勒斯坦激進組織哈瑪斯（Hamas）開火，突然對以色列發動大規模的軍事攻擊，引發後續以色列展開強烈反擊，而在網路上也陸續傳出，有駭客組織聲援兩國表態參與發動網路攻擊的情形。</p> <p>不僅如此，最近這一個多月來，我們看到科技大廠修補遭利用零時差漏洞的消息，呈現相當密集的情形，<a href="https://www.ithome.com.tw/news/159484" target="_blank">本期我們也專門介紹了這樣的態勢</a>，當中亦顯現國家級駭客組織、商業間諜公司、勒索軟體組織挖掘零時差漏洞並用於攻擊行動的最新現況，以及涉及底層漏洞似乎變多的情形。</p> <p>回顧國內近期重大網路攻擊事故與資安防護推動，有兩大議題最受我們關注，一是國內連鎖藥局下半年接連遭駭客攻擊的情況，一是<a href="https://www.ithome.com.tw/article/158417" target="_blank">我國政府資訊服務採購有新變革</a>，將資安防護措施納入採購規範，做到資安入規。</p> <p>近日，我們盤點這一個月的臺灣重大資安消息，發現有兩家上市櫃公司遭駭客攻擊。</p> <p>首先，以丁丁藥局為營運主體的興櫃公司諾貝兒寶貝（諾貝兒），該公司在10月7日發布資安事件重大訊息，說明公司遭受駭客網路攻擊。</p> <p>另一起事件，代理傳動、控制等自動化機電零組件的上市公司羅昇企業（羅昇），在10月27日亦發布資安事件重大訊息，說明該公司發生部分資訊系統遭受駭客網路攻擊。</p> <p>以諾貝兒的事件而言，引起我們關注的是，雖然調查局指出現況依然是很多產業都有被攻擊的情況，但在今年下半，7月底，先是有大樹醫藥公告遭遇網路攻擊事件，最近10月初，又有丁丁連鎖藥局的諾貝兒寶貝公告遭遇網路攻擊事件，似乎連鎖藥局與醫療通路可能有被針對的情形，相關業者須多加留意。</p> <p>關注資安事故的同時，今年臺灣資安防護推動也獲得幾個重要進展，首先是，最新政府資訊服務採購指引出爐。</p> <p>行政院公共工程委員會（行政院工程會）先是在今年9月25日發布政府資服採購作業指引，後續，行政院在10月5日發布消息，說明通過「政府資訊服務採購革新－資安入規及採購指引」報告，並請各部會及各地方政府，落實執行本次資訊服務採購革新相關事項，同時，工程會也新提供懶人包說明這次資安入規及採購指引的重點。</p> <p>簡單來說，這項改變之所以重要，不僅是資安入規，還有因為過去20年政府資訊服務採購的規範，長年來為機關與資服業者帶來太多爭議與亂象，甚至陷入惡性循環的情況，例如，對資訊系統建置時的資安規畫與契約履行造成極大的挑戰，也導致業界可能為了得標而必須大幅讓利甚至降低品質。</p> <p>而我們在9月進行<a href="https://www.ithome.com.tw/article/159015" target="_blank">資安監控中心SOC的封面故事報導</a>時，當時，也感受到資安服務業者面對公部門採購有很多話想說，像是招標機關常年採最低價決標，但廠商面臨技術服務需與時俱進的向上競爭壓力，在收費營收方面卻呈現持續往下的嚴峻挑戰，隨著政府資訊採購確定有新變革，才讓他們認為市場有了轉機。</p> <p>無論如何，現在有了好的轉變，雖然這次革新可能還不到滿分完善的地步，但在專家眼中，至少可以讓政府資訊服務採購有正向積極的轉變，比方說，從以往的59分不及格，進步到80分。而我們也期望，新的變革能夠加速提升臺灣機關資安防護能力，並帶動臺灣資服資安業者的產業競爭力。</p> <p>另一個突破會是資通安全管理法的修法，<a href="https://www.ithome.com.tw/article/159738" target="_blank">而在1155期封面故事中</a>，因應相關法令內容即將調整，因此我們特別針對這次修法內容帶來的改變，以及民眾意見回饋，與大家一起探討。</p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span></strong></span></span></p> <p><a href="https://www.ithome.com.tw/article/159738" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1155-feng_mian_p1-open-yan_fen_-960x420_kao_bei_0.jpg?itok=EDW0c3Eu" style="width: 550px;" /></strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/article/158417" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1144-feng_mian_p1-open-zheng_han_-960x420_kao_bei_0.jpg?itok=Z1cAPIEo" style="width: 550px;" /></strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/article/159015" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1149-feng_mian_p1-open-zheng_han_-960x420_kao_bei_0.jpg?itok=XAiCY5ZO" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%9B%B6%E6%99%82%E5%B7%AE%E6%BC%8F%E6%B4%9E">零時差漏洞</a></div><div class="field-item odd"><a href="/tags/%E6%94%BF%E5%BA%9C%E8%B3%87%E6%9C%8D%E6%8E%A1%E8%B3%BC%E4%BD%9C%E6%A5%AD%E6%8C%87%E5%BC%95">政府資服採購作業指引</a></div><div class="field-item even"><a href="/tags/%E8%A1%8C%E6%94%BF%E9%99%A2%E5%B7%A5%E7%A8%8B%E6%9C%83">行政院工程會</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89%E7%9B%A3%E6%8E%A7%E4%B8%AD%E5%BF%83">資安監控中心</a></div><div class="field-item even"><a href="/tags/soc">SOC</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E9%80%9A%E5%AE%89%E5%85%A8%E7%AE%A1%E7%90%86%E6%B3%95">資通安全管理法</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89%E6%B3%95%E4%BF%AE%E6%B3%95">資安法修法</a></div></div></div>
2023/11/10 13:57作者羅正漢https://www.ithome.com.tw/voice/159739
專業經理人的領導備忘錄
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-ling_dao_zhe_xing_dong_qing_dan_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">樂金文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>請設想以下情境：不到五個月前，你由原本任職的民營公司奉召服務於新組成的政府內閣。你出身消費零售業，現在則掌管全國礦業。某次你到國外出差，一面仍全盤掌握國內情況。這時部裡傳來消息，某地底深處礦坑發生礦災，死亡人數未知，失蹤人數三十餘人。</p> <p>又或者換一種情境：幾十年來，你的金融業務公司一帆風順，不僅收益大增、獲得業界看重的3A信用評等，還成立了一個表現優異的部門。這個部門規模不小，就像是台賺錢機器，負責的業務是次級房貸等債務違約投保。看上去，前景似乎可以肯定會蒸蒸日上，可是一轉眼，市場就內爆了。</p> <p>再想像一下這種情境：經歷四年交戰，雙方傷亡人數超過七十萬人，敵軍終於投降了。總帥命你安排敵人名聲最響亮的一支軍隊的投降事宜。受降儀式的調性、質感，接待降軍的應對進退，都由你規畫。</p> <p>最後還有一種情境：某製造商即將拆成三間公司，董事長要你這名財務長執掌其中一間。你先前掌管母公司財務部門，如今受命扛起新成立子公司的一切。更棘手的是，子公司問題重重。</p> <p>當然，以上情境都確有其事。情境一的主角勞倫斯．高柏內（Laurence Golborne）是智利共和國新任礦務部長。在訪問厄瓜多期間，他收到幕僚長從聖地牙哥（智利首都）傳來的緊急短訊：「科皮亞波礦坑塌陷，受害者三十三人。」二十八小時後，亦即當地時間早上三點，高柏內抵達智利南部很偏遠的阿他加馬沙漠礦災災區。沒多久，全球就有好幾百萬民眾盯著這場史上規模數一數二的礦災救援行動。</p> <p>情境二裡的金融巨頭美國國際集團（American International Group，AIG）大難臨頭，和智利受災礦工一樣，最終由政府出手相救。一直要到AIG投入大筆資金的次級房貸市場內爆，該集團執行長才驚覺為集團設下的防護措施遠遠不夠。連串市場動盪引發全球金融危機，而他未能臨機應變，也使得整個集團抵擋不住衝擊，差點就要成為企業史上少數的重大倒閉案例。本來各方認為AIG「大到不能倒」，現在都覺得是爛到不如不救。</p> <p>情境三的美國南北戰爭聯邦軍官約書亞．勞倫斯．張伯倫（Joshua Lawrence　Chamberlain）所採取的作為與AIG執行長有天壤之別。聯邦軍總帥格蘭特將軍（Ulysses S. Grant）交給他一項歷史性的重任，要他居中協調邦聯軍李將軍（Robert E. Lee）後續的投降儀式。有些人會猜想，他應該會羞辱邦聯軍一番，但他沒有這麼做，反而下令向李將軍致敬，表達重新團結之意。</p> <p>情境四的丹妮絲．拉莫絲（Denise Ramos）則是ITT前任財務長。在董事長眼中，拉莫絲贏在起跑點上，而這多虧她鍛鍊出執行長思維，也有能力如執行長般有所作為；還未正式擔任執行長職務，就已能事事樣樣承擔執行長職責。在之後的日子，等完全握有執行長職權，她便改革子公司，讓公司改弦易轍。</p> <p>上述四位領導者，有三位在該他們發揮領導力的時刻都有十足準備，有一位則明顯不是這麼回事。誠然，很少人會承受那樣嚴苛的領導力考驗。不過，所有人都可以（也應該）準備充分，迎向各自工作的挫折與轉機，儘管這種種挫折與轉機並不受大眾注目。於是我們得問：為什麼張伯倫、高柏內、拉莫絲能有效克服難關？為什麼AIG高階主管相較之下無力防範金融災難、無力挽救公司？幫了張伯倫、高柏內、拉莫絲大忙的技能，別的領導者學不學得來，又或者說，能不能套用？畢竟，他們一輩子也許都沒機會像張伯倫等人攀越高峰，卻必然有各自的崎嶇險阻。</p> <p>我們所有人都應該有辦法對以上課題給個肯定的答覆。就我來看，所有對企業或團隊績效有責任出一份力的人，都能夠掌握有效的領導力以迎向將來的挑戰。這也是為什麼我在書中提倡並羅列要點清單。</p> <p>我和各式領導力方案參與者的相互激盪，對鑑別出領導者原則來說至關重要。</p> <p>我拿來和他們相互激盪的案例之一，便是IBM前執行長羅睿蘭（Virginia Rometty）在2018年底宣布，以三百四十億美元收購複合式雲端計算公司紅帽（Red Hat）。按她當年的說法，「如今各家公司在雲端這條路上多半只走了二○％」，都只有租用電腦計算能力來「縮減支出」。「接著要走的八○％是要發掘雲端真正的商業價值，並促進雲端發展」，而「這就有必要將雲端商業應用轉型為複合式雲端計算」，「從企業每一道環節擷取更多數據，將數據最佳化」。另一方面，當時的紅帽執行長詹姆斯．懷德赫（James Whitehurst）也解釋說，在接受IBM基於該願景提出的收購案之餘，並未放棄自家公司的自我定位：「和IBM齊心協力讓我們的規模變大、資源變多、能力變強」，但同時仍保有公司的「獨特文化」。</p> <p>根據收購合約的條件，紅帽會在IBM的複合式雲端團隊內獨立運作，只不過懷德赫須向IBM執行長直接彙報成果。紅帽仍保留位於北卡羅萊納州的總部，儘管IBM總部就在南邊不到一千公里處。毫無疑問，紅帽一萬三千名員工中會有不少人對收購案持保留態度，畢竟IBM在他們眼中是天高皇帝遠，企業文化不同，對雲端技術的投入也談不上舉足輕重，而雲端可是當紅新興科技；當時微軟的雲端計算市占率為一五％，亞馬遜為三四％，IBM僅七％。</p> <p>我讓一名經理人或高階主管想像自己是羅睿蘭，在收購案過了幾天之後和成為IBM員工的一群紅帽成員談話。其他人則假想自己是這批剛成為IBM員工的紅帽成員，有些人認為前景堪憂，有些甚至對收購案不情不願。經過對IBM執行長一輪提問，我問他們想要（或預期）從新上司口中聽到怎樣的答覆，以及在收購案後會不會留下來工作，又會不會卯足全力打造、營運合併後的新工作型態。</p> <p><span style="font-size:28px;"><strong>三項重要原則，管理者不可忽略</strong></span></p> <p>領導者清單由十六項原則組成。不過，好多經理人都告訴我說，按照他們的經驗，其中有三項最容易在領導實務中忽略。有些時候，他們要嘛很少運用這三項原則來領導公司，要嘛做不到持之以恆。就他們所見，其餘領導者也不常身體力行這三項原則，包括他們的上司也是，偏偏這些上司本就該採行這三項原則才是。無論如何，結果都是：在公司最經不起打擊的時候，無法完整發揮領導力。</p> <p>最容易被這些經理人和其他領導者忽略的三項原則如下：</p> <p><span style="color:#B22222;"><strong>尊重團隊：表達你對下屬的信任與支持。</strong></span></p> <p><span style="color:#B22222;"><strong>溝通說服：要言不煩，教人過耳不忘。</strong></span></p> <p><span style="color:#B22222;"><strong>以共同利益為優先：大我為重，小我為輕。</strong></span></p> <p>為什麼前述三項原則更常因為在領導實務中「缺席」（而非「實踐」）才反過來凸顯其重要性呢？我想，答案在於有太多管理階層的文化不夠重視這三項原則，又或者並未把這些要點原則整合進領導力發展方案。不管怎麼說，領導時欠缺這三項原則，不但你自己心知肚明，有時還會大大危害到公司聲譽、營利，甚至是國家利益。以英國石油公司（British Petroleum，BP）前執行長唐熙華（Tony Hayward）為例。BP在墨西哥灣的鑽油井平台破裂，他擔心會衝擊環境，但說服不了其他人。另外，全球金融危機期間，投資銀行社群有許多成員都把個人私利擺前頭，投資人與國家的利益擺後頭。</p> <p>至於未能尊重團隊，眼前就有個好例子。</p> <p>輝瑞公司（Pfizer）是全球藥品大廠。綜合多方陳述來看，輝瑞前執行長傑夫．金德勒（Jeff Kindler）對手下高階經理人屢屢當面質疑、詰問、批評，吹毛求疵。就連公司董事也有人被他當眾訓斥。由於向來不尊重團隊、缺乏人望，再加上股價表現不佳，讓人看不出他的努力，金德勒這執行長當了不到五年就被董事會解聘了。<strong><span style="color:#696969;">（摘錄整理自《頂尖領導者的行動清單》，樂金文化提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%A0%98%E5%B0%8E%E8%80%85%E8%A1%8C%E5%8B%95%E6%B8%85%E5%96%AE_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%A8%82%E9%87%91%E6%96%87%E5%8C%96-350.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_樂金文化</span></span><br /> <strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 頂尖領導者的行動清單（The Leader's Checklist）</strong><br /> 麥克．尤辛（Michael Useem）／著；謝孟宗／譯<br /> 樂金文化出版<br /> 定價：360元</p> <p class="rtecenter"><a href="https://mgmt.wharton.upenn.edu/profile/useem/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/150_%E9%A0%98%E5%B0%8E%E8%80%85%E8%A1%8C%E5%8B%95%E6%B8%85%E5%96%AE_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%B3%93%E5%B7%9E%E5%A4%A7%E5%AD%B8%E8%8F%AF%E9%A0%93%E5%95%86%E5%AD%B8%E9%99%A2.jpg" style="width: 150px;" /></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span><br /> <strong>麥克．尤辛（Michael Useem）</strong><br /> 麥克．尤辛是賓州大學華頓商學院管理學教授，兼任領導與變革管理中心暨麥克諾提領導力學程主任。他於大學開設企管碩士班、高階企管碩士班管理與領導課程，並為美國、亞洲、歐洲及拉丁美洲等區域的經理人提供領導力與治理能力課程。他亦協助許多私營公司、公家單位及非營利機構推行領導力發展方案。<a href="https://mgmt.wharton.upenn.edu/profile/useem/" target="_blank"><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_賓州大學華頓商學院</span></a></p> </div></div></div>
2023/11/10 12:00未署名https://www.ithome.com.tw/article/159657
【盤點《資安法》修法草案重點1】將「禁用危害國家資通安全產品」規定法制化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在《資安法》修正的草案內容中，首先，有個大家都相當關注的調整重點，那就是：將現行「各機關對危害國家資通安全產品限制使用原則」的行政原則正式法制化，於是，這次修正草案特別新增了第十一條規定：「公務機關不得採購及使用危害國家資通安全產品」以及「公務人員獲配之公務用資通訊設備，不得下載、安裝或使用危害國家資通安全產品」。</p> <p>對於政府遲遲不願意公開禁用產品的清單，成功大學電機系教授李忠憲於臉書發文，抨擊數位部研議修訂《資安法》，卻未將中共明列為「敵人」管制對象。他質疑，若不知道誰是敵人，就不知道如何防範，也不知道重點和主要的預算要放在哪裡。</p> <p>也有學者表示，目前禁用危害國家資安產品限定為中國品牌的資通訊產品，但未來是否進一步，將禁用範圍擴及其他對臺灣有危害的國家產品，此舉有待評估。</p> <p>而在公共政策網路參與平臺「眾開講」網友回覆意見中，有人建議，《資安法》修正草案新增該禁用條文後，應該要做到正本清源，就必須從政府資訊服務採購的源頭──共同供應契約著手，才能真正做到令行禁止。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>政府行政命令規範禁用危害國家產品，資安署若從寬認定會產生矛盾</strong></span></span></p> <p>對於這次《資安法》修正草案內容，將「各機關對危害國家資通安全產品限制使用原則」的位階從現行的行政命令提升到法律層級，東吳大學科法所兼任助理教授王仁甫認為，修正條文提到「禁用危害國家資通安全產品」的定義並不清楚，若條文更清楚寫成「危害國家安全之資通安全產品」，除了不會造成文字混淆，他認為，主管機關應清楚對外說明，危害國家安全的資通安全產品定義，才可避免各界有疑慮。</p> <p>事實上，目前的《資安法》並沒有規定，公務機關不可以使用或採購中國廠牌包含軟體、硬體和服務的資通訊產品，但有鑑於許多中國廠牌監控設備（例如：海康威視Hikvision）以及網通設備（例如：華為）傳出許多隱藏後門等資安事件，因此觸動政府部門的敏感神經。</p> <p>因此，行政院秘書長李孟諺曾經在2020年12月正式發函，從嚴要求此事，下令公務機關原則上禁止使用及採購大陸廠牌資通訊產品（含軟體、硬體及服務），並要求在2021年底完成全部中國廠牌產品的替換，部分例外須填報正當理由，交由行政院評估。</p> <p>但後續出現不同調的狀況。例如，數位部資安署在2022年8月27日更新的「資安法常見問題中」，針對上述禁用大陸廠牌資通訊產品發函的注意事項，引用公共工程委員會於2018年12月的舊函釋，將大陸廠牌的定義限縮在「大陸地區廠商」，至於「第三地區含陸資成分廠商」及「在臺陸資廠商」的資通訊產品，則不在限制範圍之內。</p> <p>對此有資安專家質疑，為何資安署在網站公告禁用危害國家產品注意事項，卻反而從寬認定大陸廠牌？這與外界要求從嚴認定的觀點不符。</p> <p>對此，資安署在公布的注意事項提及，各機關在辦理採購案時，如屬經濟部投資審議委員會公告「具敏感性或國安含資安疑慮的業務範疇」，應確實於招標文件中載明，不允許經濟部投資審議委員會公告的陸資資訊服務業者參與投標。</p> <p>注意事項也規範一種狀況，例如，若是公務機關委外執行標案的團隊成員，不得同時為中國大陸國籍人士，若是多重國籍人士，只要其中一個國籍有中國大陸國籍，都在限制範圍內；若是香港及澳門國籍者，則不在此限。</p> <p>該注意事項也指出，目前基於現實考量，禁用的資通訊產品不可為大陸廠牌，但並未限制大陸廠牌的零組件；若為了滿足特定需求，公務機關的採購可以在招標文件要求提供的資通訊產品，不可以在大陸廠區生產或製造零組件。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%BB%E5%9C%96-%E8%B3%87%E5%AE%89%E7%BD%B2%E7%A6%81%E7%94%A8%E5%95%8F%E7%AD%94-960.jpg" style="width: 600px;" /></p> <p><span style="color:#3366ff;"><strong>資安署在限制使用危害國家資通安全產品的問答網頁時，引用工程會對大陸廠商的舊函釋，外界認為這與行政院從嚴認定的原意不同，也不符現在的潮流。</strong></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>從政府採購源頭，明文禁用中國廠牌產品</strong></span></span></p> <p>原先政府部門只是以行政命令規範公務機關禁用大陸廠牌的資通訊產品，但實務上，要達到政府規範的禁用目標，就必須從採購源頭著手，禁止使用危害國家的資通安全產品。</p> <p>負責政府採購的主管機關行政院公共工程委員會，也於9月25日正式公布《政府資訊服務採購作業指引》，該作業指引其中的一項重點就是：涉及國家安全或是資通安全的採購，公務機關應該直接在招標文件中規定，不允許陸資廠商（包含其分包廠商）以及陸藉人士參與。</p> <p>而根據該作業指引對陸資廠商的定義，則包括：大陸地區廠商、第三地區陸資廠商，以及在臺灣的陸資廠商。這個規範也合乎行政院秘書長於2020年12月的發函，要求從嚴認定「大陸廠牌」的定義。</p> <p>該作業指引也明定：如果機關招標案件涉及國家安全的採購，必須依照採購案件的特性和實際需要，限制招標廠商的資格；若對廠商的資金來源比例有特定限制的話，例如，懷疑廠商資金來源有陸資的話，可以要求廠商提出相關董監事、股東名冊和資金來源等文件；如果是涉及僑外投資的話，也可以要求廠商提出授權查核同意文件，有必要時，亦可請求目的事業主管機關協助查察。</p> <p>此外，機關在執行相關的採購契約時，不管是履約標的或是執行過程中，都不得提供或使用大陸廠牌的各種資通訊產品，相關的履約人員也不得為大陸藉人員。</p> <p>但是，有些國外的駐點單位或金融單位海外分行等，因為業務需求且無其他替代方案，不得不使用大陸廠牌的資通訊產品時，該機關就應該說明原因，並且經過該機關的資通安全長，以及上級機關資通安全長進行逐級核可後，同時函報《資通安全管理法》主管機關數位部進行核定；最重要的是，機關在該產品未達汰換年限前，也必須加強相關的資安強化措施。</p> <p>透過作業指引的規範，讓政府機關在採購資通訊產品時，都不能採購大陸廠牌的資通訊產品，也必須將《各類資訊（服務）採購之共通性資通安全基本要求參考一覽表》，作為各機關資訊系統資安防護等級的資安規範參考。</p> <p>然而，不同法令要求的對象有別。例如，政府採購法適用的對象，主要是政府機關、公立學校、公營事業，以及接受機關補助金額過半的採購單位，《資安法》適用的公務機關及特定非公務機關中，有些關鍵基礎設施提供者是民間企業，本身並不會受到《政府採購法》規範。</p> <p>有鑑於此，便有網友在「眾開講」平臺建議：「資安署應在網站公布危害國家資通安全產品列表，提供各機關查詢，方可避免資通訊產品驗收爭議。」這應該是可行的配套措施；此外，網友認為，資安署也應該負起職責，定期更新禁用產品內容。</p> <p>另外，有學者表示，目前危害國家資通安全產品的定義是指「中國品牌」，但未來，我們也可以評估是否擴大適用範圍，涵蓋俄羅斯、伊朗或北韓（朝鮮）等國家的資通訊產品。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B7%A5%E7%A8%8B%E6%9C%83%E4%BD%9C%E6%A5%AD%E6%8C%87%E5%BC%95%E5%85%AC%E5%B8%83%E6%88%AA%E5%9C%96.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(51, 102, 255);"><strong>公務機關要做到禁用危害國家資安產品，就必須從政府採購的源頭——共同供應契約做起，而工程會日前公布的「政府資訊服務採購作業指引」已經明訂公務機關禁止採購大陸廠牌的資通訊產品。</strong></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>數位部不公布禁用危害國家產品清單，因為擔心業者洗產地</strong></span></span></p> <p>資安署在「資安法常見問題」的網頁中，也提到：「由主管機關核定禁用廠商清單的效益有限，便決定由主管機關透過跨部會協調平臺與各機關溝通，推動後續危害國家資通安全產品的限制使用事宜。」</p> <p>數位發展部部長唐鳳在面對立委質詢，針對為什麼不能公布危害國家資安產品清單的問題時，她表示，為了避免業者「洗產地」改名規避審查，所以數位部不會公開禁用的產品名單。</p> <p>唐鳳先前接受其他媒體訪談時提到，如果法律明文禁用「中國製」資通訊產品時，因為軟體相對難定義產地，若以官方註冊產地來看時，國際版抖音TikTok透過海外註冊的方式，正好可以繞過「中國製」的法律規範。</p> <p>她指出，數位部是以中國政府能否實質控制這家公司或組織，作為是否危害國家資安產品的認定標準，即便危害國家產品的廠牌或官方註冊產地有變，都不會影響數位部對其危害國家資安產品的認定。</p> <p>為了杜絕危害國家資安產品「洗產地」，唐鳳認為，列在共同供應契約的產品，至少都有兩個以上的機關在使用的產品，等於是機關認同可以採購的「白名單」；若是全新的產品或品牌，就要透過跟數位部查詢的方式，確認沒有資安疑慮後，再行採購。</p> <p>因為在修正草案新增的第十一條中，已經明定「公務機關得向主管機關查詢危害國家資通安全產品及其廠商。」這也表示，數位部只允許有需求的機關向數位部查詢名單，並不願意對外公布禁用清單的態度。</p> <p>數位部資安署署長謝翠娟日前在立法院回覆立委詢問時表示，數位部的禁用危害國家資安產品的清單，分成網路、系統、資料庫、機器人等十多個類別，目前列管的品項超過一千個，其中五分之一與資料庫和電子書有關，而向數位部查詢禁用清單的數量，平均每天約有一件查詢、每個月平均為二十多件查詢需求。</p> <p>臺灣現在有些業者採購中國的白牌產品，然後貼牌為臺灣廠牌的商品，這樣就可以避掉《資安法》對大陸廠牌的限制。不過，有資安專家憂心指出，這些貼牌產品重要的核心系統是大陸製的情況下，貼牌臺灣廠牌反而會讓採購的公務機關缺乏警覺性，可能誤入未知的後門陷阱。</p> <p>數位部既然擔心業者洗產品而不願意公布禁用產品清單，倘若民間業者對採購大陸廠牌資通訊產品有資安疑慮，應該怎麼辦？唐鳳建議，民間業者可參考列在共同供應契約的白名單產品。</p> <p>不過，民間業者對於產品採購的規格和需求，相較公務機關更為彈性與多元，對於只能被動採購共同供應契約上的產品，或者被動詢問資安署欲採購產品是否是在禁用清單的作法，民間業者不會買單。</p> <p>相反地，數位部若能在網站定期更新、主動公布禁用危害國家資安產品清單，不僅可以便利公務機關與非公務機關即時查詢，也會因為禁用產品相關資訊公開透明，在所有競爭業者和使用者的共同監督下，大陸廠牌的資通訊產品，想要透過「洗產地」改頭換面的難度，也會大幅提高，民間業者採購效率也會比只能單向跟資安署查詢高。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%94%90%E9%B3%B3%E5%9B%9E%E8%A6%86%E7%AB%8B%E5%A7%94%E8%B3%AA%E8%A9%A2%E6%88%AA%E5%9C%96-600.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(51, 102, 255);"><strong>面對立委質詢為什麼不公開政府列管的危害國家資安的禁用清單，數位發展部部長唐鳳表示，憂心清單公布後會有業者洗產地的疑慮。</strong></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>明文嚴禁公務手機下載中國App</strong></span></span></p> <p>在修正草案第十一條規定，「公務機關」不得採購及使用危害國家資通安全產品外，也不得在公務設備上下載、安裝或使用危害國家資通安全產品，也就是說，政府機關所核發的公務手機，皆不能下載、安裝或使用中國抖音、微信等App。</p> <p>不過，「眾開講」平臺上面的網友直接建議，認為政府部門核發的公務資通訊設備，應該限制僅限於公務使用，不能轉做私人用途，而這樣的作法，也符合Cyber Hygiene（網路衛生）的觀念。</p> <p>該網友也表示，有許多國內外資料外洩、社交工程資安事件發生原因，都是因為公私不分造成的，像是為求便利，在公務設備上做私人事情，不管是收發私人電子郵件，或在公務用的通訊軟體裡使用私人帳號、加入私人的群組等，都可能因為釣魚郵件或簡訊等社交工程手法，導致帳密外洩等資安事件。</p> <p>不過，王仁甫認為，保護國家安全不只是公務機關的責任，《資安法》規範的其他特定非公務機關，有很多都有這樣的處境，它們一旦遭到損害，就會危及國家民生的重要單位，因此，也都應該要肩負起相對應的責任。</p> <p><span style="color:#B22222;"><strong><span style="font-size:24px;"> 《資安法》修正草案重點之一的條文內容 </span></strong></span></p> <p><span style="font-size:20px;"><strong><span style="color:#696969;">【第十一條】<br /> 公務機關不得採購及使用危害國家資通安全產品；其自行或委外營運，提供公眾活動或使用之場地，亦同。但因業務需求且無其他替代方案者，經該機關資通安全長及其上級機關資通安全長核可，函報主管機關核定後，得以專案方式購置，並列冊管理。<br /> 公務人員獲配之公務用資通訊設備，不得下載、安裝或使用危害國家資通安全產品，並應遵守相關法令規範。<br /> 公務機關得向主管機關查詢第一項產品及其廠商</span></strong></span></p> </div></div></div>
2023/11/10 12:26作者黃彥棻https://www.ithome.com.tw/news/159731
Humane正式發表全球首款個人AI裝置Ai Pin，售價699美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由蘋果前介面設計師Imran Chaudhri與軟體工程師Bethany Bongiorno在2017年共同創立的Humane，<a href="https://hu.ma.ne/media/humane-launches-ai-pin" target="_blank">本周四（11/19）正式發表</a>了號稱是全球第一款個人AI裝置的Ai Pin，約4.5公分見方的Ai Pin可以別在襯衫或夾克上，使用者得以透過自然語音或手指觸控與其互動，並具備電話、傳訊、翻譯及搜尋等功能，它採用雷射光束掃描投影系統，把必要資訊投射到充當螢幕的使用者手掌上。Ai Pin預計於11月16日開放美國用戶訂購，售價為699美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/humane-press-interactions-600.png" style="text-align: center; width: 600px;" /></p> <p>Ai Pin採用時脈為2.1 GHz的8核心Qualcomm Snapdragon處理器，內建4GB記憶體與32GB儲存空間，配備1,300萬畫素的相機，以及麥克風與喇叭，所執行的是專為AI設計的Cosmos作業系統，完全不必下載、管理或啟用軟體，而是藉由一項名為Ai Bus的技術，將使用者連結到所需的服務上。</p> <p>作為一個網路時代的AI裝置，Ai Pin支援各種連網技術，從行動網路、eSim、Wi-Fi 5、藍牙、GPS、Wi-Fi定位系統、Beacon，一直到與T-Mobile合作所推出的Humane無線網路服務，由Humane自己擔任行動虛擬網路營運商（MVNO）。其AI能力主要來自與微軟及OpenAI的合作，使得Ai Pin得以存取某些全球最強大的AI模型與平臺。</p> <p>使用者主要是透過語音及手勢與Ai Pin互動，只要透過手指觸控即可輸入語音、接聽或掛斷電話、開啟或結束音樂、進行翻譯或是拍照等。</p> <p>699美元除了Ai Pin裝置之外，還包括兩個電池增強器，充電板、充電盒與充電線等，但這只是硬體費用，使用者必須額外支付每月24美元的訂閱費用，以取得Ai Pin專用的電話號碼，以及相關的無限通話、簡訊與資料傳輸服務，此一訂閱價格也涵蓋了Humane所提供的雲端儲存及AI服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/ai%20pi%20complete%20system-600.png" style="width: 600px;" /></p> <p>儘管Ai Pin能否取代智慧型手機仍是個未知數，但透過一個小小的裝置，利用語音就能打電話、問天氣、聽新聞、聆聽喜愛的音樂、與外國人交談，的確描繪了一個更自然與方便的未來。由於Ai Pin必須搭配服務才能發揮功用，Humane現階段並未公布是否會在其它市場推出Ai Pin。</p> </div></div></div>
2023/11/10 12:42作者陳曉莉https://www.ithome.com.tw/news/159732
《資安法》實施五年首度大修法！主管機關啟動資安法修法程序
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣目前唯一規範各種資安事件通報、應變及處理的法律，就是《資通安全管理法》（以下簡稱為《資安法》），自從2018年6月6日制定公布，到2019年元旦正式實施以來，至今並未進行修法。</p> <p>過去五年未能修法，有個很重要的原因在於：修法組織異動。原先負責《資安法》制定的行政院資通安全處，原本是行政院的四級幕僚單位，而在2022年8月27日行政院數位發展部成立後，也同時成立資安專責單位：資安署。因為負責修法單位的組織異動，也讓相關的修法進度無法有進展。</p> <p>由於《資安法》自實施以來都沒有修過法，為了讓該法更符合實際的運作模式，外界開始有修法的呼聲，數位部也透過舉辦幾次座談會，邀請各界專家學者，彙整各界意見，後續在國發會「公共政策網路參與平臺—眾開講」中公告，預告修正《資通安全管理法》。</p> <p>此次，《資安法》修正草案中，明訂《資安法》主管機關和資安執行機關，也另外新增六條法條，多數都是為了將現行對資安的實務作為法制化，包括資安會報入法、禁用危害國家資安產品入法、特定非公務機關設資安長入法、行政檢查入法外，也增訂拒絕行政檢查的罰則，以及發生個資外洩的資安事件時，也將適用《個資法》規範。</p> <p>由於《資安法》適用公務機關以及特定非公務機關，目前臺灣特定非公務機關只有數位部、指定的中央目的事業主管機關，以及被指定的關鍵基礎設施服務提供者知情，目前數位發展部以擔心中共知情為由，不願意公布名單。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>主管機關為二級機關數位部，執行單位為三級機關資安署</strong></span></span></p> <p>為了讓《資安法》的運作更符合實務要求並配合行政院的組織運作，所以，此次修法草案中，最重要的一件事，就是配合數位發展部以及資安署的成立，於是，在修正草案第二條中，將原本的主管機關從行政院改為數位發展部，相關的國家資通安全業務，則交由數位發展部資安署辦理。</p> <p>這個因應行政院組織異動隨之調整的法條內容，會產生什麼影響？原本的行政院資通安全處是行政院四級的幕僚機關，所有發文都會以行政院的名義對外發送，而因為是行政院的發文，所以各機關重視程度相對高。但數位發展部成立後，屬於行政院的二級機關，資安署更是三級機關，因此，當數位發展部發文時，由於其他部會屬於平行單位，重視與否端看該公文是否與部會業務相關。至於三級單位的資安署，處境更尷尬——雖然在修正草案中，已經明訂資安署是國家的資安專責單位，但在組織運作上，卻因為三級位階矮人一等，若是要對外發文給上級單位時，難免也會遇到上下權責難以對應的考量。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>資安署收各部會資安稽核報告，金管會對上下權責區分有質疑</strong></span></span></p> <p>最明顯的例子就是，數位發展部在國發會眾開講平臺蒐集各界對《資安法》修正草案的建議，就有金管會發文指出權責問題。</p> <p>首先，依據修正草案第八條的規定，資安署得定期或不定期稽核公務機關及特定非公務機關的資通安全維護計畫實施情形，金管會認為，當三級機關的資安署可以對一、二級公務機關，以及特定非公務機關（包含關鍵基礎設施提供者）辦理資安稽核相關作業，並要求將稽核結果及改善報告送交資安署時，這樣的作法對於相關業法上下權責的劃分、組織職掌及地方自治等事宜都有所扞格，因此，金管會表示，對於資安署能否據以辦理相關稽核作業的權責妥適性，也應該一併考慮斟酌。</p> <p>另一個爭議點是修正草案第十九條增訂「關鍵基礎設施提供者的指定基準、廢止條件及程序由中央目的事業主管機關公告，並擬訂指定清單報行政院核定。」金管會質疑，如果中央目的事業主管機關依公告的指定基準，指定關鍵基礎設施提供者的清單，與行政院核定結果不符的時候，其所公告指定基準是否具有法規效力。</p> <p>另外，第十九條中也規定，中央目的事業主管機關會徵詢相關公務機關、民間團體、專家學者的意見後訂定指定清單，金管會質疑，指定程序是否具訂定之必要外，也建議應該再審酌其必要性及法規位階。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>資安會報正式入法，建立跨機關、中央地方聯防機制</strong></span></span></p> <p>除了資安事務的主管機關和執行機關明定在《資安法》修正草案中，另外一個重點就是，將現行運作多年的行政院「國家資通安全會報」，正式納入《資安法》新增的修正草案第五條，並指定數位發展部為幕僚單位。</p> <p>「資通安全會報」從2011年經行政院院會核定後，通過第一期資通安全機制計畫，便同時成立行政院「國家資通安全會報」。根據《行政院國家資通安全會報設置要點》第一條，設立國家資通安全會報的目的就是為了：積極推動國家資通安全政策，加速建構國家資通安全環境並提升國家競爭力。</p> <p>資通安全會報由行政院副院長兼任召集人，行政院資安長則由資通安全會報召集人兼任；這是整合跨部會、跨直轄市副首長、專家、學者的資安組織，相關幕僚作業則由數位發展部辦理。</p> <p>事實上，資安會報運作已經超過十年，除了要因應全球資安威脅和突發的資安事件越來越多之外，最主要的任務就是：協助建立各機關中央和地方的聯防體系，真正強化跨機關的資安應變和協調處理能力，以及落實資安會報的決議事項。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>特定非公務機關的指定方式讓人不解</strong></span></span></p> <p>事實上，《資安法》在五年前開始修訂時，當時的法律架構參考《個資法》，法條內容則針對公務機關以及特定非公務機關兩個標的，因此，許多熟悉《個資法》個資的人，看到公務機關以及特定非公務機關的用語，會覺得似曾相識。</p> <p>不過，《資安法》和《個資法》最大的差異在於，對「非公務機關」的適用範圍定義不同，前者是「特定」非公務機關，後者則是除了公務之關之外都算是非公務機關。</p> <p>因此，《資安法》適用的特定非公務機關的範圍，其實經過中央目的事業主管機關的再三挑選後，才指定的「特定」非公務機關，數量上一定比《個資法》適用的範圍小。</p> <p>不過，臺灣指定的特定非公務機關，目前面臨很嚴重的問題，那就是：即便是同一個產業、類似規模，甚至是扮演相似的角色，會因為主管機關的認知不同，而有指定與否的差別。</p> <p>舉例而言，關鍵基礎設施中的交通運輸領域，中央目的事業主管機關是交通部，針對飛機類的主管機關則是民航局。</p> <p>據了解，在國籍航空中，只有中華航空公司被指定為關鍵基礎設施中的「特定非公務機關」，但同為國籍航空的長榮航空、立榮航空、華信航空、星宇航空以及臺灣虎航等，都不在關鍵基礎設施領域中的「特定非公務機關」名單中。</p> <p>若以規模和功能來看，身為國籍航空的華航過去曾經幫忙國家運送疫苗，長榮航空也同樣有幫忙運送疫苗，因此，既然在先前COVID-19全球疫情大爆發的情況下，政府都會要求兩家航空公司協助，如今就國家安全的角度而言，就應該有不同標準嗎？如果只是因為官股成分的不同，所以民航局僅指定中華航空作為關鍵基礎設施中的特定非公務機關，然而，如果不同時指定其他國籍航空公司，恐怕會產生許多爭議，不符合全民的認知與期待。</p> <p>若回頭看修正草案第三條對關鍵基礎設施的定義，「指行政院公告之關鍵領域中，該領域服務所依賴之系統或網路之實體或虛擬資產，其功能一旦停止運作或效能降低，對國家安全、社會公共利益、國民生活或經濟活動有重大影響之虞者。」從上述定義來看，中華航空和長榮航空一旦服務中斷，對臺灣社會造成的衝擊，難道會有差異嗎？</p> <p>再者，金融業因為營業規模大小而分級，全部納入管理，航空業和其他列為八大關鍵基礎設施領域的服務提供者，也同樣可以透過分級分類的方式，把相同等級的業者，一併納入同樣關鍵基礎設施領域的特定非公務機關名單，才是合理的作為。</p> <p>就好像，通傳會（NCC）要指定電信業者作為特定非公務機關時，一定是因為該業者對於臺灣通訊服務扮演重要角色，一旦服務中斷，將會嚴重影響社會、民生和經濟活動。</p> <p>所以，NCC如果因為官股成分，只指定中華電信作為特定非公務機關，而不指定台灣大哥大和遠傳電信的話，是否就會變成政府認定，列為特定非公務機關的中華電信，其服務一旦中斷，對社會國家造成的衝擊，會比其他電信業者大呢？</p> <p>由此可證，如果中華電信、臺灣大哥大和遠傳電信，因為都是臺灣重要的電信服務提供者，一旦服務中斷，都會對臺灣社會帶來同樣巨大的衝擊，因此，都必須列為特定非公務機關的名單時，難道，長榮航空不應該因為和中華航空具有同樣的重要性，而應該同樣被列入特定非公務機關的名單中嗎？</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>數位部不願公布關鍵基礎設施清單，引發質疑</strong></span></span></p> <p>另一個資安法修法的爭議點在於，數位發展部目前不願意公布關鍵基礎設施服務提供者的名單，他們對外的說法是：「擔心中共知道後，會攻打這些單位」但平心而論，這樣的理由並無法令人信服，反而會被認為是公務人員「不做不錯」的心態作祟。</p> <p>對歐盟《資安法》有深入研究的政大法律系兼任助理教授萬幼筠表示，歐盟有一個跨國關鍵基礎設施的清單列表，在每個關鍵基礎設施領域，都可以各自找到歐盟30個會員國各自的關鍵基礎設施清單。另外，在網路上，甚至也可以找到一個Open Infrastructure Map，提供全球各國關鍵基礎設施的電廠地圖。</p> <p>從上述做法來看，國家關鍵基礎設施的清單並非不能公開，敵對國家與組織仍然可以透過許多方法進行收集和判斷，不會因為政府不公開而能阻止其他人認定，但數位發展部如今卻以關鍵基礎設施的清單被中共知道，會對臺灣不利為由而不願意提供，此舉令人覺得荒謬！</p> <p>換個角度來看，這些關鍵基礎設施的清單就算不公布，以中共對臺灣的滲透，加上臺灣內部有許多過度親中人士的協助，中共還是可以知道哪些是關鍵基礎設施的名單嗎？數位部不公布清單，只是鴕鳥心態，更嚴重的問題，在於國人如果無法明確知道所要保護的對象，如何進一步提高這方面的心防？</p> <p>事實上，關鍵不在於能否徹底隱瞞、不洩漏清單，而是被視為關鍵基礎設施服務提供者，是否做好應該有的資安防護措施，這不只是政府的責任，也是民眾的責任；而且，透過資訊公開透明的全民監督方式，也可以作為監督相關關鍵基礎設施精進資安作為的外部動力。</p> </div></div></div>
2023/11/10 12:07作者黃彥棻https://www.ithome.com.tw/news/159729