iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 18:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】11月24日，Mirai殭屍網路變種感染路由器、NVR網路視訊監控裝置，攻擊者利用的零時差漏洞，疑涉及預設…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">殭屍網路Mirai鎖定物聯網（IoT）裝置的攻擊行動，不時有事故傳出，但最近研究人員披露的資安事故相當引人注目，因為，他們並未透露駭客針對的設備型號，僅公布類型是網路視訊監控裝置（NVR）、小型路由器。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">值得留意的是，上述設備皆存在零時差漏洞，而且，研究人員透露攻擊者所使用的惡意程式碼，包含了這些設備的預設帳號及密碼。而這些跡象也顯示，攻擊者有可能利用這些管道取得控制權。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【攻擊與威脅】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.akamai.com/blog/security-research/new-rce-botnet-spreads-mirai-via-zero-days"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Mirai殭屍網路變種利用零時差漏洞感染路由器、視訊監控裝置</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/new-rce-botnet-spreads-mirai-via-zero-days-infected-store-monster-infected-six.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/new-rce-botnet-spreads-mirai-via-zero-days-infected-store-monster-infected-six.jpg" style="width: 300px; float: right;" /></a>資安業者揭露名為InfectedSlurs的Mirai變種殭屍網路病毒攻擊行動，他們在今年10月下旬從蜜罐陷阱（Honeypot）偵測到針對特定TCP連接埠的攻擊行動，駭先是發出POST請求，並意圖通過身分驗證，一旦成功，就會執行惡意程式注入的命令。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">這起攻擊行動針對特定網路視訊監視設備（NVR）及路由器的零時差漏洞，來散布這款病毒，來散布這款病毒，研究人員也進行漏洞通報，表示裝置製造商預計在12月進行修補，但並未透露裝置的型號、廠牌。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">而對於駭客利用的漏洞，研究人員透露前述的NVR裝置存在多種漏洞，且設備的預設帳密可從使用手冊得知，而有可能被用於入侵；另一個攻擊目標，則是專供旅館及住家環境的路由器，他們並未透露漏洞的類型，但指出該裝置的預設帳密包含裝置型號。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.eff.org/deeplinks/2023/11/low-budget-should-not-mean-high-risk-kids-tablet-came-preloaded-sketchyware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Dragon Touch廉價平板電腦暗藏惡意軟體Corejava</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/screenshot_2023-11-14_at_14-01-54_low_budget_should_not_mean_high_risk_kids_tablet_came_preloaded_with_sketchyware.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/screenshot_2023-11-14_at_14-01-54_low_budget_should_not_mean_high_risk_kids_tablet_came_preloaded_with_sketchyware.png" style="width: 300px; float: right;" /></a>電子前線基金會（EFF）揭露平價兒童平板電腦存在的資安風險，他們針對Dragon Touch推出的平板電腦KidzPad Y88X 10進行調查，結果發現，此平板電腦在出廠的時候就建置了特定的資料夾，疑似預載了惡意程式Corejava，且於韌體進行活動，雖然C2基礎設施已被破壞，但不排除攻擊者可另起爐灶。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">再者，他們也看到平板裡預載了名為Adups的惡意程式，使用者會在裝置<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">中看到名為Wireless Update的App，且無法直接移除或是停用。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">另一方面，該平板電腦內建老舊版本的Kidoz兒童應用程式，研究人員指出已有資安業者將其識別為廣告軟體，且當中的應用程式審查似乎不太嚴謹，出現向使用者要求過多存取權限的情況，例如：繪圖軟體Kids Paint Free竟在未告知的情況下，試圖將極為精確的GPS定位資訊傳送至廣告伺服器。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.fortinet.com/blog/threat-research/konni-campaign-distributed-via-malicious-document"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Konni RAT利用Word文件感染Windows電腦，竊取電腦資料</span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/fig02-konni-word-doc.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig02-konni-word-doc.png" style="width: 300px; float: right;" /></a>資安業者Fortinet揭露新一波的惡意軟體Konni RAT攻擊行動，駭客利用含有巨集的惡意Word檔案，鎖定Windows使用者而來，該文件檔案內容是以俄文呈現，主要以發票、合約、工作申請為誘餌，引誘使用者上當。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">一旦使用者開啟Word檔案，就有可能觸發VBA指令碼，於背景執行批次檔進行偵察，確認是否存在遠端連線的連線階段（Session），並檢查作業系統版本、系統架構，從而繞過使用者帳號控制（UAC），最終部署Konni RAT並與C2進行連線。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/welltok-data-breach-exposes-data-of-85-million-us-patients/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">醫療照顧系統供應商Welltok遭遇MOVEit Transfer零時差漏洞攻擊，850萬病人資料流出</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">美國醫療照護產業軟體服務（SaaS）供應商Welltok發出公告，表示他們的MOVEit Transfer伺服器，遭遇零時差漏洞CVE-2023-34362攻擊，他們也向美國衛生及公共服務部通報，共有8,493,379名病人的資料流出，是目前為止影響人數第二多的受害組織，僅次於專門服務美國政府的系統承包商Maximus，該業者曝露了約1,100萬人個資。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">Welltok於10月底首度透露遭到攻擊，當時表示他們於7月26日接獲通知，他們的MFT檔案傳輸伺服器遭到入侵，由於Progress在5月底提供修補程式時，該公司就立即部署，在初步檢查後判斷系統並未受害。但他們也找來第三方資安專家協助深入調查，確認5月30日駭客曾經存取此伺服器，範圍包括病人的姓名、地址、電話號碼、電子郵件信箱、社會安全碼、健康保險資訊。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資料來源</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">1. <a href="https://welltoknotice.wpenginepowered.com/?page_id=23">https://welltoknotice.wpenginepowered.com/?page_id=23</a><br /> 2. <a href="https://ocrportal.hhs.gov/ocr/breach/breach_report.jsf">https://ocrportal.hhs.gov/ocr/breach/breach_report.jsf</a>（11月6日通報）</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣生技業者大江生醫傳出遭駭，駭客聲稱握有230 GB內部資料</span></strong></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月13日大數據資安業者Tsanct Technologies旗下的威脅情報平臺FalconFeeds.io透露，勒索軟體駭客組織Hunters International在暗網網站將兩家公司列為受害者，其中一家是臺灣生技公司大江生醫（TCI Co., Ltd.），事隔兩天，資安業者竣盟科技透露，駭客聲稱竊得236 GB資料，檔案數量超過十萬個，當中包含：</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">（一）涵蓋人力資源、CRM相關的用戶投訴資料庫備份；<br /> （二）付款、報告、審計等財務資料；<br /> （三）訂單、產品配方、實驗室測試，包裝等營業單位資料；<br /> （四）美國子公司的網路設置、稽核、供應商、員工個資；<br /> （五）與客戶有關的訂單、混合配方、產品處方、實驗室測試、郵件資料。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">根據資安人網站的報導，駭客於14日先公開1.3 GB資料共買家比對，後來又公布了其餘檔案。針對此事，我們今日也致電該公司，詳細情況有待釐清。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資料來源</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">1. <a href="https://twitter.com/FalconFeedsio/status/1724046526870331569">https://twitter.com/FalconFeedsio/status/1724046526870331569</a><br /> 2. <a href="https://medium.com/@Billows_Tech/hunters-international入侵台灣-傳出上市生醫遭殃-361523a9e6eb">https://medium.com/@Billows_Tech/hunters-international入侵台灣-傳出上市生醫遭殃-361523a9e6eb</a><br /> 3. <a href="https://www.informationsecurity.com.tw/article/article_detail.aspx?aid=10815">https://www.informationsecurity.com.tw/article/article_detail.aspx?aid=10815</a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【其他新聞】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://securityaffairs.com/154546/hacking/citrix-bleed-attacks.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國針對勒索軟體LockBit利用Citrix Bleed漏洞發動攻擊提出警告</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://securityintelligence.com/x-force/wailingcrab-malware-misues-mqtt-messaging-protocol/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體載入工具WailingCrab透過物流相關主題為誘餌散布</span></span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.blender.org/news/cyberattack-november-2023/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">開源3D設計軟體Blender網站遭遇DDoS攻擊，駭客發出逾2.4億次請求</span></span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://openssf.org/press-release/2023/11/02/linux-foundation-isc2-and-openssf-collaborate-to-target-secure-code-development/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Linux基金會、ISC2、OpneSSF進行合作，促進安全程式碼開發</span></span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ncsc.gov.uk/blog-post/rfc-indicators-of-compromise-for-ietf"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國國家網路安全中心宣布入侵指標的新標準</span></span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>近期資安日報</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159980"><strong>【11月23日】訊連科技遭北韓駭客發動供應鏈攻擊，駭客於該公司更新伺服器部署惡意軟體，臺灣及多個國家出現受害者</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159948"><strong>【11月22日】勒索軟體Phobos打著資安社群的名義，鎖定Windows電腦發動攻擊，聲稱受害者復原檔案要找社群</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159939"><strong>【11月21日】中國駭客組織Mustang Panda鎖定東南亞發動數起網釣攻擊，起因疑與8月發生的菲律賓海上軍事衝突有關</strong></a></p> </div></div></div>
2023/11/24 15:50作者周峻佑https://www.ithome.com.tw/news/160001
年度資安盛會「2023 CyberDay 資安產業日」盛大登場，數位發展部數位產業署匯聚各界資安能量，打造南臺灣資安聚落
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rteindent1">由數位發展部數位產業署（以下簡稱數產署）主辦的「2023 CyberDay 資安產業日」活動，今（11/24）日於台南沙崙資安服務基地盛大展開，展出包含獲得SEMI 2023國際標準貢獻獎的半導體晶圓設備資安標準「SEMI E187」，以及獲得R&D 100 Awards殊榮的「工控場域AI偵防分析技術」。現場活動聚焦深耕資安技術、提升產業韌性等主題，並由資安領域專家分享AI協防、資安公司協力及CMMC等最新資安趨勢。現場亦同時展示國產資安解決方案，展現台灣23家資安廠商技術及服務能量。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%94%90%E9%83%A8%E9%95%B7%E7%85%A7%E7%89%87.jpg" style="width: 600px;" /></p> <blockquote><p><span style="font-size:16px;"><strong>數位部唐鳳部長親臨資安產業日活動，勉勵得獎的資安新秀</strong></span></p> </blockquote> <p> 活動當天，由數位部唐鳳部長授贈資安新秀榮譽獎章，勉勵「企業出專題，學生來解題」的培育模式，肯定政府與產業的聯手合作，展現產官學研攜手育才的成果。而開幕式亦邀請臺南市葉澤山副市長、中華軟協資安長聯誼會李維斌會長、台灣資安主管聯盟金慶柏會長及行動應用資安聯盟陳振楠會長等貴賓親臨交流，一同打造南臺灣最大規模的年度資安盛會。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9E%97%E5%89%AF%E7%BD%B2%E9%95%B7.jpg" style="width: 600px;" /></p> <blockquote><p><span style="font-size:16px;"><strong>林俊秀副署長今(24)日擔任2023CyberDay資安活動開幕式引言人，分享數位產業署資安產業年度亮點成果。</strong></span></p> </blockquote> <p>數產署林俊秀副署長於開幕時，更以「<strong>N</strong>ew Tech、<strong>N</strong>ew Chance、<strong>N</strong>ew Talent」為主軸說明年度推動亮點成果，表示數產署為推動資安產業發展、提升產業資安韌性的窗口，包含獲得SEMI 2023國際標準貢獻獎的「SEMI E187制定與推動」、獲得R&D 100 Awards的「工控場域AI偵防分析技術」及「勒索軟體智能獵捕平台」等，帶領我國資安產業鏈結國際。</p> <p>本次活動廣邀涵蓋航太業、媒體業、零售服務業、資安服務業及電信業等各領域產業協會，逾30位之公協會理監事代表、國內上市櫃公司資安高階經理人與政府機關及學研機構，親臨沙崙基地觀摩體驗資安廠商所展示的各領域資安應用，主要希冀本基地成為資安產業與產業資安的交流平台，望各產業在資安的需求，能有適宜的國內資安業者妥善承接，雙方發展得以正向循環，塑造南臺灣沙崙成為資安聚落，並讓在數位轉型路上，對資安議題有興趣的同好，能互相交流，滿載而歸。</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/da_he_zhao__0.jpg?itok=cgyJM8Vs" width="960" height="420" alt="" title="資安產業日吸引眾多關注資安議題的產、官、學、研代表參與交流，圖為開幕式大合影" /></div></div></div>
2023/11/24 00:10機構署名廠商新聞稿https://www.ithome.com.tw/pr/160002
強化內部資安防護架構，新北市以預警聯防機制抵禦攻擊
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自2010年升格直轄市後，新北市設籍人口數已突破400萬人，為國內人口最多的縣市，相當於臺灣六分之一的人口設籍，由於量體龐大，新北市也成為駭客攻擊的重點目標之一。從2022年到2023年5月，新北市政府在17個月內受到超過14億次網路威脅及駭客攻擊，每天平均超過270萬次。</p> <p>為應付層出不窮的網路威脅及攻擊，新北市政府由資訊中心負責統籌全市府的資安作業，並建立主動監控防護機制，強化新北市政府資安防禦，背後的推手是2019年加入新北市政府資訊中心，今年9月升任新北市政府資訊中心主任的陳富添。</p> <p>在進入新北市政府工作之前，陳富添在警界服務近20年，曾在地方政府警務單位工作，後來進入刑事警察局，加入專門偵辦網路犯罪、跨境犯罪等偵防工作的偵九隊，企業遭到駭客入侵也會尋求偵九隊的協助。之後轉至內勤的通訊監察科工作，主要為行動通訊監察，由於即時通訊軟體的普及，犯罪者利用Line、WhatsApp等加密通訊軟體來規避監聽，必需採用各種方法突破，隨後進入科技犯罪防治中心，專門負責數位鑑識（Digital Forensics）工作，從犯罪使用的設備，例如犯罪者銷毀的筆電或電腦中設法提取跡證資料。</p> <p><span style="font-size:28px;"><strong>從攻城方變守城方</strong></span></p> <p>由於過去在網路犯罪偵防、通訊監察及數位跡證鑑識豐富的經驗，在研考會主委推薦下，2019年加入新北市政府資訊中心，希望借重他的經驗強化市府的資安防護。陳富添直言，過去在犯罪偵防上，扮演攻方的角色，必需採取駭客相關技術或工具突破犯罪設備的各種防護措施，取得相關的資料，在進入新北市政府後，扮演防守方角色，「以前是我扮演駭客，現在要避免駭客攻擊我」，陳富添說。</p> <p>過去服務於刑事警察局，經常接到企業遭駭的報告，每每對於企業在資安防護存在的弱點感到不可思議，現在進入市府資訊單位，由攻城方一變而為守城方，這種攻防角色互換，讓陳富添有相當深的感觸。</p> <p>他以資安的木桶理論為例，木桶能夠盛裝多少水，並非取決於木桶的整體容量大小，而是取決於組成木桶的最短木板，同樣地，市府的資安防護水準，並非資訊中心做好資安，還要考量其他局處300多個單位，各單位資安防護水準不一，造成防禦上的困難。</p> <p>由於過去在刑事局接觸到網路威脅、駭客攻擊相關案件，讓陳富添相較於一般資訊人員，對資訊安全防護有更高的敏感度，因此他加入新北市政府後，很快發現各局處單位的資安防護狀況良莠不齊，有的單位在架設系統之後，沒有妥善監控管理系統。</p> <p>舉例來說，由於新北市政府資訊向上集中，許多公用系統開放給各個單位使用，部分單位並沒有發覺他們已遭到入侵，直到駭客在市府內橫向移動或出現異常行為，資訊中心團隊告知並派人協助鑑識後才發現，部分機關單位甚至遭入侵2、3年之久而未察覺。甚至難以區分外部入侵，或是從內部其他單位滲透擴散。「防的再好也防不住內賊」，他感嘆地說。</p> <p>過去老舊的資安防禦觀念是，只要購買國外大廠的資安設備就會做好防禦，「事實上，這樣的觀念是錯的，對駭客而言，機器設備是死的，要做到滴水不漏，最好的方法是建立縱深防禦和橫向的區域聯防機制」，陳富添說。</p> <p><span style="font-size:28px;"><strong>建立縱向防禦，建立異常預警</strong></span></p> <p>他開始改革新北市政府的資安防禦架構。首先是建立縱深防禦方面，以往市府採購部署防火牆、DDoS等設備，但這些大廠的設備彼此不會相互溝通，鑑於駭客入侵之前，先掃描使用哪些設備，這些設備存在哪些漏洞或弱點，針對弱點進行攻擊，因此資訊中心在上面一層建立串接機制，透過資安監控中心（SOC）集中收整各設備的Log，並委託廠商24小時監控，當發現異常的情形發出告警。</p> <p>下層的使用者行為部分，使用者可能瀏覽不當網站，導致被感染木馬病毒，上層的防護設備無法發現，因此新北市政府資訊中心利用封包分析工具，蒐集每個樓層的封包，由AI對每臺電腦的使用行為分析，一旦發現異常行為時自動發出告警，由專門團隊進一步檢視觸發告警的原因，必要時作數位鑑識。而在端點防護方面，每臺電腦採用Windows 10的防毒軟體搭配XDR，當發現使用可能帶有病毒的USB儲存裝置，也會發送告警。</p> <p>陳富添表示，過去有不少企業認為在電腦安裝防毒軟體就能完整防護，依據他的過去經驗，現今攻擊手法愈來愈先進、隱密，僅依靠防毒軟體根本難以防範，需要搭配其他方式，例如側錄封包，對使用者行為進行分析，避免因使用者瀏覽不當網站，或是下載不當檔案，導致內部被入侵，因為這類不當的使用行為，上層的資安設備往往無法發現，產生不小的風險。</p> <p>目前他們運用一套AI行為分析工具，仰賴機器學習技術來分析使用者的行為，但是經過幾年使用的經驗，發現誤判率不低，目前資訊中心根據廠商意見，計畫更換另一套AI分析工具，同樣側錄封包進行分析，但採用循環的方式來提高判斷準確率。</p> <p>隨著國內大選將近，各種網路威脅、攻擊增加，這套資安防禦架構發揮它的角色，市府偵測的異常次數（非攻擊次數）達到高峰，超過3億次，這個數字要比平時的異常次數高出3倍之多。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1157_CIO_%E9%99%B3%E5%AF%8C%E6%B7%BB_%E6%96%B0%E5%8C%97%E5%B8%82%E6%94%BF%E5%BA%9C_600.png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 22px;"><strong>新北市政府資訊中心主任陳富添表示，各個機關單位一定有對外連線，唯有採取類似零信任的精神，在不信任各單位防禦的前題下進行部署，才能確保市府的資訊安全。</strong></span></span><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>阻擋駭客滲透橫向擴散</strong></span></p> <p>駭客入侵不只從外面，也可能從內部其他局處單位橫向擴散而來，因此不只是縱深防禦，內部也需建立橫向聯防機制，因市府內部資訊向上集中，他們在機關單位連接到資訊中心主幹網路的接入口部署入侵偵測設備，一旦偵測到可疑的橫向擴散行為，啟動內部聯防機制，向該單位示警，並阻擋橫向擴散。</p> <p>陳富添指出，以往偵測設備部署在後端，如果偵測到異常，相當於駭客攻擊已兵臨城下，為了及早發現，將設備部署至各機關單位網路接入口前端，如同在前線部署哨兵，就能夠及早預警。目前新北市政府已在11個擁有自有機房的B級機關部署主動偵測設備，55個C級機關則部署Honeypot誘補系統，誘補系統雖然被動，但只要偵測到異常就會觸發預警。</p> <p>因市府底下有許多的局處，每個局處底下有眾多的單位，市府對外連線的窗口太多，各單位可能基於業務需要方便，自行租用對外的線路，加上使用者可能習慣不佳，例如瀏覽不當網站、下載檔案，導致單位內的電腦都被污染。</p> <p>因駭客有相當多的管道及方法入侵。「各個機關單位一定有對外連線，唯有採取類似零信任的精神，在不信任各單位防禦的前題下進行部署，才能確保市府的資訊安全」，陳富添說。</p> <p>過去，機關單位可沒有發覺自已被入侵數年之久，直到資訊中心通知才知曉，但在新的資安防禦架構之後，他希望未來能將發現駭客入侵的時間從數年縮短到3天之內。</p> <p><span style="font-size:28px;"><strong>建立自己的資安鑑識實驗室</strong></span></p> <p>除了改革新北市政府的資安防禦架構，為提升新北市政府自己的資安能量，資訊中心設立資安鑑識實驗室。</p> <p>不少企業或機關會委託外部業者提供資安服務，但是廠商資安鑑識服務品質勘憂，曾有一家大型企業遭駭向警方報案，警方要求受駭企業提供資安鑑識報告，企業很慎重委託3家業者，但是3份報告的鑑識結果都不相同。</p> <p>陳富添認為這是一般資安鑑識常見的盲點，3份報告結果各不相同，並非業者的報告錯誤，而是如同瞎子摸象，每個報告看到大象的一部分特徵，並非完整的全貌。他指出，業者可能在急於交差下，簡單作弱點掃描，因此許多企業或機關雖然依照資安法要求，委託業者進行資安檢測，最後仍被駭客入侵，這是因為業者的檢測沒有落實、不夠確實，可能流於形式。</p> <p>曾有議員質疑市府成立資安鑑識實驗室必要性，陳富添仍堅持資訊中心應該要有自己的資安鑑識實驗室，因為相較於外部業者，鑑識團隊更了解市府內部運作情形，當委託外部業者進行資安檢測工作時，實驗室也有能力確認外部業者執行鑑識工作的有效性，根據不同業者的報告拼湊全貌，抓出真正的問題所在，進一步去改善。</p> <p>「否則你只能聽別人(委外業者)說的，無法自己判斷檢測的有效性」，這是資安鑑識實驗室的價值所在，通過設立資安鑑識實驗室來提高市府自身的資安能量，目前這個資安鑑識團隊核心人員約有3至4人。</p> <p><span style="font-size:28px;"><strong>明年第三代公文系統上線，提高公文作業效率</strong></span></p> <p>新北市政府也計畫配合政府政策導入零信任機制，特別是新北市公務人員每天會登入使用的新北市公務雲，目前已先導入手機身分認證，例如指紋等生物特徵辨識，取代使用者容易忘記的密碼，未來會配合數位發展部的政策，導入完整的零信任機制。</p> <p>新北市政府也計畫在明年推新的公文系統，提高市府公文作業的效率。目前市府使用的第二代公文系統已超過10年，由於是早期開發的系統，支援IE瀏覽器，該瀏覽器已在去年6月終止，為了迎合現代使用需求，必需支援Edge或Chrome瀏覽器，因此他們規畫在明年推出第三代公文系統，不僅支援現代化的多種瀏覽器，還針對手機、平板電腦提供行動版頁面。</p> <p>另外，第二代公文系統僅支援實體自然人憑證，因此當公務人員在外差勤，只能先用虛擬憑證審核公文，讓公文作業按程序進行，待回到辦公室再使用實體自然人憑證插卡補簽已審核的公文。內政部推出行動自然人憑證，讓手機就能綁定實體自然憑證功能，進行公文的行動簽核，公務人員在外，就能直接使用手機或平板電腦簽核公文，不再需要回辦公室補簽公文，新北市的第三代公文系統將會支援公文行動簽核。</p> <p>陳富添表示，目前的第二代公文系統已面臨汰換改版的需要，公文系統勢必要升版才能更貼近現代需求，例如支援多瀏覽器，優化行動裝置體驗，支援手機身分驗證、行動公文簽核，並且配合數位部政策導入零信任。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>新北市政府資訊中心主任陳富添</strong></p> <p>學歷：中央警察大學資管系碩士</p> <p>經歷：畢業後先在地方政府從事警務工作，後來進入內政部警政署刑事警察局，在偵九隊負責網路犯罪偵防、電信詐欺偵辦、網路駭客等案件，隨後轉調至通訊監察科、科技研發科。2019年加入新北市政府資訊中心，從科長、副主任、代理主任，2023年9月升任主任</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機關檔案 </span></strong></span></p> <p><strong>新北市政府</strong></p> <p>地址：新北市板橋區中山路1段161號</p> <p>成立時間：2010年</p> <p>主要業務：新北市市政管理及對市民服務</p> <p>市長：侯友宜</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：新北市政府資訊中心主任</p> <p>資訊部門主管姓名：陳富添</p> <p>資訊部門人數：68人</p> <p>資訊部門分工：系統發展科、資通管理科、數位推廣科、網際服務科</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2006年：臺北縣政府資訊中心成立</p> <p>2012年：推出New Taipei公共無線上網服務。第二代公文系統上線。</p> <p>2013年：推出智慧里長系統。</p> <p>2018年：雲端證件包「免書證、免謄本」線上便民服務。</p> <p>2022年：試辦新北行動支付App，NewTaiPAY，搭配新北幣點數支付，不限於新北市，可在全國的合作通路使用。推出智慧里長2.0，結合Line提供里民公務資訊及服務。</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1157_cio_chen_fu_tian_xin_bei_shi_zheng_fu_960v2.jpg" width="960" height="420" alt="" title="新北市政府資訊中心主任陳富添　（攝影／洪政偉）" /></div></div></div>
2023/11/24 14:20作者蘇文彬https://www.ithome.com.tw/people/159992
臺灣開發者大會回來了
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>九年前，JavaScript之父Brendan Eich和PHP之父Rasmus Lerdorf兩大開發語言教父雙雙來臺，介紹Web開發技術的最新發展，那是2015年Modern Web年會，吸引了超過6百位臺灣開發者齊聚中研院人文社會科學館。</p> <p>那一年，JavaScript語言誕生滿20年，Brendan Eich當面告訴我，這個只用10天就設計出來的語言，只是為了行銷考量，搭上Java名氣，才命名成JavaScript。Brendan想讓JavaScript乍看之下很像Java。雖然這兩種語言的本質截然不同，Java是靜態型別的語言，開發者需要先定義變數的型別，而JavaScript卻不需要，這個技術設計的選擇，讓JavaScript更彈性、更適合Web開發，因此而風靡了整個Web世界，成為當代網頁開發的主流。</p> <p>Brendan現場展示了用支援Asm.js的遊戲引擎Unity與Unreal打造的3D遊戲，他在臺上玩了起來，執行效能一點都看不出來是網頁應用。Asm.js追求極致JavaScript效能的思維，後來也帶動了現在WebAssembly技術（但兩者不同）的發展，讓JavaScript更能通吃前端或後端，各種類型的應用開發需求。</p> <p>2015年同樣也是PHP創立滿20歲的一年，這是全球最廣泛使用的網頁開發技術之一，人氣與JavaScript不相上下。一封電子郵件邀約，熱心推廣技術的Rasmus Lerdorf立刻答應來臺，為了幫我們節省機票補貼，Rasmus還自己比價，定了最便宜的機票飛來臺灣，擔任2015年Modern Web年會第二天開場主題講者，揭露磨劍10年開發的PHP 7效能優化的秘密，這是臉書操作介面超級流暢的關鍵。</p> <p>那一天中午，中研院人社館外的陽光燦爛，Rasmus臉上映著暖陽接受我的採訪，一臉興奮的說，他正是為了讓網站邁向微服務（Microservice）架構，來設計PHP 7，要讓PHP效能更好，有效減少網路延遲，才更能勝任分散式架構的需求。如今，微服務架構不只是Web應用，更是整個雲原生發展浪潮的核心思維。</p> <p>將國外最新開發技術、世界級開發大師的經驗，帶到臺灣開發者眼前，也要成為臺灣開發好手彼此交流的舞臺。這正是我們選擇以「Modern」為名，開始舉辦這場臺灣開發活動的初衷，直到現在都是如此。數位部長唐鳳就在第一屆Modern Web年會上，以Perl 6核心貢獻者的角色，分享了她的開源之道。</p> <p>因為疫情，Modern Web Conference在2020和2021年轉為線上舉辦，去年更因疫情嚴峻而停辦。終於，今年重回實體活動形式，並且更名為MWC 2024（Modern Web Conference的縮寫），一連在南港瓶蓋工廠舉辦三天，超過60場演講，規模比過去更大，也提供了更多講者與聽眾交流的機會。</p> <p>每一場演講結束，講者們會面對面回答聽眾的各種問題（這個交流形式是MWC最大亮點之一），我站在Heptabase 創辦人詹雨安面對面問答的桌子旁，從頭聽到尾，每一位提問者都是超級愛用的粉絲，不只提出各種功能需求，也好奇這個揚名全球的國產筆記軟體的開發花絮。更有一群熱心的參加者，寫了一場又一場演講的共享筆記，連不在現場的開發人也能有滿滿的收穫。</p> <p>MWC不只聚焦Web應用，還擴大到更多開發議題，尤其是企業級開發的技術和經驗。Web開發技術已經不只是網站技術，更是企業數位轉型，從產業公司，變成科技公司的關鍵。四大主題涵蓋了開發、資料、服務、流程、到介面和體驗，更有不少場演講聚焦在超夯的生成式AI開發經驗。</p> <p>MWC將海外開發經驗帶到臺灣的初衷沒有改變，但今年開始更聚焦於引介跨國企業的轉型經驗。</p> <p>擁4萬名開發人力的美國最大金融集團JP Morgan，如何邁向雲原生？我們從新加坡邀來JP Morgan雲端開發者關係工程師Rinsha Kaushik分享秘訣，她在摩根大通集團新加坡據點擔任SRE長達4年半，在第一線參與了這個跨國集團的雲原生之旅。</p> <p>另一位海外講者更是遠從柏林來臺，歐洲電商巨頭Zalando前工程經理Andrew Howden，他是嵌入式SRE團隊的負責人，過去4年來，一路見證了Zalando如何發展平臺工程，讓2千人開發團隊提高生產力的變革。</p> <p>9年來（加上剛結束的今年），數百位登臺講師來自海內外，參加過的臺灣技術人將近1萬人次，6成是各企業的開發者，更有1成主管。MWC不只要提供最新的開發趨勢，也是跨國企業技術轉型經驗的交流，更要打造出臺灣最大規模的開發者盛會。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/mwc">MWC</a></div><div class="field-item odd"><a href="/tags/modern-web%E5%B9%B4%E6%9C%83">Modern Web年會</a></div><div class="field-item even"><a href="/tags/zalando">Zalando</a></div><div class="field-item odd"><a href="/tags/sre">SRE</a></div></div></div>
2023/11/24 14:05作者王宏仁https://www.ithome.com.tw/voice/159991
駭客正利用網路監視器與路由器的零時差漏洞來散布Mirai殭屍病毒
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者<a href="https://www.akamai.com/blog/security-research/new-rce-botnet-spreads-mirai-via-zero-days" target="_blank">Akamai本周揭露</a>，他們發現駭客正在利用網路監視器（NVR）與路由器的零時差漏洞來散布JenX Mirai變種病毒，以將這些裝置納入可操控的殭屍網路，已分別通知相關裝置的製造商，預計於今年12月修補。</p> <p>Akamai長期利用誘捕系統來觀察網路上的惡意活動，今年10月下旬起開始發現小規模且頻率不一的攻擊探測行動，駭客先藉由POST請求以通過身分驗證，成功後再企圖注入命令。</p> <p>Akamai安全研究人員Larry Cashdollar向<a href="https://arstechnica.com/security/2023/11/thousands-of-routers-and-cameras-vulnerable-to-new-0-day-attacks-by-hostile-botnet/" target="_blank">《Ars Technica》</a>解釋，這些IoT裝置通常不允許於管理介面執行程式碼，因此駭客必須透過命令注入以自遠端執行程式，且得先進行身分驗證。</p> <p>研究人員在駭客於NVR植入的酬載中找到所使用的憑證，發現它們屬於裝置的常用預設憑證，有許多不同的品牌與產品都採用了該憑證，但有某個品牌在多個NVR產品操作手冊中明列該預設憑證。繼之針對該品牌的漏洞管理進行調查，才發現他們找到了一個新的零時差漏洞。</p> <p>另一個遭到駭客鎖定的攻擊對象是路由器，且是專為飯店及住宅所設計，基於插座的無線區域網路路由器，亦內含可被植入JenX Mirai的零時差漏洞。</p> <p>Akamai已經通知遭到攻擊的NVR與路由器製造商，它們都計畫在12月修補。</p> <p>現階段並不確定此一攻擊規模，僅知該NVR業者生產逾100種NVR / DVR / IP攝影機產品，而該路由器業者則生產許多交換器與路由器，雖然看起來只有一個路由器型號遭到駭客鎖定，但駭客所攻陷的漏洞存在一個常見功能中，其它產品也可能沿用同樣的程式碼。</p> </div></div></div>
2023/11/24 11:35作者陳曉莉https://www.ithome.com.tw/news/159985
當模組化顛覆了專案形態
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_-min_jie_si_kao_gong_zuo_shu_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">經濟新潮社</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>前專案管理協會會長，在專案管理業界被譽為第一把交椅的安東尼奧．尼托—羅德里格茲（Antonio Nieto-Rodriguez）在二○一九年出版《專案管理革命》書中提到，在大量採用人工智慧與機器人之後，由人類負責的多數業務都將轉型為專案的模式。</p> <p>該書想進一步強調的是，相較於過去，專案的形態已大幅改變這點。一如【圖4-5】所示，過去的專案都屬於發案單位與接案單位這種上對下的模式，但今後的專案都屬於共創型的對等關係模式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964-5.jpg" style="width: 500px;" /></p> <p>比方說，有一種為了募集專案所需的創意，而在專案初期執行的創意馬拉松構思法（idea marathon）。若以過去的常識來看，負責提出創意的是發案端，有必要的話，再請外部人士或是消費者提供意見。而創意馬拉松構思法則是請新創公司、大學或是消費者提供創意，有時甚至會邀請競爭對手同堂提供創意。除了提供創意之外，還有可能一起製造試作品，一邊推動專案。</p> <p>早期的專案都是由一名承包商統包的形式。對於發案端來說，只要發給承包商，專案的行程管理、預算管理，甚至是外包公司的管理，都能交由承包商處理，所以非常省時省力。</p> <p>IT業界其實也有相同的模式，比方說，大型IT企業先包下整個專案，再委由底下的開發公司開發。這是發案端將專案整個交由大型IT企業負責，大型IT企業就會從頭負責而尾，直到專案結束的模式。</p> <p>不過，這種由承包商統包的模式也不是在每個場合都那麼管用。</p> <p>以IT業界的實例而言，這種模式會導致大多數的資訊朝特定的大型IT企業匯流，發案端便很難再將專案委託給其他IT企業。</p> <p>此外，在大多數的情況下，系統的規格都是依照個別企業的需求開發，一旦開發完畢，就很難切換成低成本的雲端服務。</p> <p>比方說，德國的SAP公司提供了ERP（企業資源規畫）這種基礎系統套裝服務。這種套裝軟體是根據全世界優良企業的最佳實例所開發，照理說，只要讓自家公司的業務配合套裝軟體的內容改變，應該就能得到不錯的效果。</p> <p>不過，有許多日本企業卻反過來依照業務內容修改套裝軟體的功能，導致業務效率比採用ERP之前更低。</p> <p>在IT的世界裡，採用雲端服務以及模組化服務已是常識中的常識。所謂的模組化是指將產品或服務拆成一個個獨立的零件，再將這些零件當成最終產品提供的模式。</p> <p>比方說，將公司的業務基礎系統拆成銷售管理與成本計算這兩個模組，想要使用模組化服務的企業就能只使用需要的模組，如果這些模組還是以雲端服務的方式提供，就完全不需要安裝軟體，還能自動升級軟體。</p> <p><span style="font-size:28px;"><strong>發案端與供應商這種專案形態終將消失</strong></span></p> <p>模組化這種形態不只是在IT業界普及。就邏輯而言，這是在所有業界出現的變化。</p> <p>目前正逐步模組化的業界之一就是汽車業界。日本的汽車業界有稱為「系列」的企業集團，比方說，TOYOTA的汽車就由TOYOTA系列的企業開發零件，HONDA的汽車就由HONDA系列的企業開發零件。由同系列的企業一起開發汽車，能夠開發出最佳規格的零件。不過，這些負責製造零件的製造商不能將零件賣給非同一系列的企業。</p> <p>反觀日本之外的國家就不太有這種「系列」的概念，零件製造商都自成一格，製造與銷售獨力開發的零件。</p> <p>雖然各國的計算方式不同，但總括來說，一台燃油車的零件約有幾十萬個，但電動車的零件卻只有兩萬個左右。一旦電動車全面普及，汽車業界也將一口氣進入模組化的時代。</p> <p>一旦大部分的業界進入模組化的時代，就不再需要為了特殊規格開發零件，也不再需要發案給專屬的外包公司，只需要購買模組化的零件，自家公司的產品或是服務就得以完成。</p> <p>若從全世界的角度來看，發案端與供應商這種專案形態正因模組化這股風潮而逐漸式微，取而代之的是逐漸增加的共創價值模式。</p> <p>本文的開頭介紹了創意馬拉松構思法這種激發創意的方法，而這種共創的方法已於各個角落普及。共創的特徵並非提供勞務，換取金錢這種對價關係，而是由參與者提供價值，促使專案成功，參與者再享受隨之而來的利益。</p> <p>比方說，我過去曾經參與提升汽車安全的專案，而這項專案還有新創企業、大企業與大學教授一同參與。這些參與者各自提供了實務經驗、人才或是其他的資源，也讓這項專案得以成功。</p> <p>雖然這個專案一開始只有三位成員，但是在不斷地洽詢相關人士的意見之後，愈來愈多人對這個專案產生共鳴，最終形成五間公司、二十位成員共同參與的團隊。</p> <p>其實IT業界那種由不特定多數的人共同製作內容的群眾外包（crowdsourcing）已於全世界普及。</p> <p>以Blabo公司為例，這間公司所經營的社群會在收到來自全世界的創意之後，著手開發商品，之前這間公司曾從日本的各縣市蒐集了最能代表在地風味的意見，開發了四十七種口味的洋芋片，也曾開發讓老公自己從烹調到整理廚房，一氣呵成的料理懶人包（meal kit）。</p> <p>這些提供創意的人，除了能得到金錢方面的回饋，還能得到被Blabo這間公司認同的成就感。</p> <p>這裡的重點在於全世界的專案形態已從某個人做出決定，其他人負責執行的傳統型專案，轉型為所有人的地位相同，一起參與創作的共創型專案。</p> <p><span style="font-size:28px;"><strong>打造跨業界或公司的水平關係</strong></span></p> <p>一如前述，各個業界之間的藩籬已逐漸消失。在過去，競爭對手來自相同業界，所以在業界打造垂直關係非常重要。</p> <p>例如汽車業界打造了前述的「系列」，只與了解自家規格的供應商交易，將競爭對手擋在外。</p> <p>IT業界或是建築業界也如前述，與外包企業建立了重要的垂直關係。</p> <p>如今在數位化與全球化的風潮催化之下，許多產業出現了水平分層化現象。所謂的分層化現象可參考【圖4-6】，也就是跨業界分工合作的現象。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E6%95%8F%E6%8D%B7%E6%80%9D%E8%80%83%E5%B7%A5%E4%BD%9C%E8%A1%93.jpg" style="text-align: center; width: 500px;" /></p> <p>比方說，在以民間放送（全日本各民營廣電業者）為主的三十年前，電視台會與同系列的製作公司聯手製作節目，再透過電視這項裝置將節目送到觀眾面前。在這種模式之下，一切都由大型電視台主宰，整個業界也是透過這種垂直關係運作。</p> <p>反觀現在則以YouTube這類平台為主流，每個人都能透過這類平台與網路，上傳自行製作的內容。</p> <p>觀眾只需要有智慧型手機、電腦或是平板電腦，就能觀賞YouTube的影片，完全不需要任何特殊的裝置。</p> <p>讓我們不要再將重點放在業界或公司之間的封閉式垂直關係，積極地打造跨業界與公司的水平關係。</p> <p>我每次想到什麼有趣的點子，都會盡可能請不同業界的人分享他們對這個點子的看法，因為我除了能得到他們的看法，還能透過這個過程與這些人建立水平關係。<strong><span style="color:#696969;">（本文摘錄整理自《敏捷思考的高績效工作術》第四章，經濟新潮社提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600_%E6%95%8F%E6%8D%B7%E6%80%9D%E8%80%83%E5%B7%A5%E4%BD%9C%E8%A1%93_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%B6%93%E6%BF%9F%E6%96%B0%E6%BD%AE%E7%A4%BE(1).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_經濟新潮社</span></span><br /> <strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 敏捷思考的高績效工作術</strong><br /> 坂田幸樹（SAKATA Kohki）／著；許郁文／譯<br /> 經濟新潮社出版<br /> 定價：450元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/120_%E6%95%8F%E6%8D%B7%E6%80%9D%E8%80%83%E5%B7%A5%E4%BD%9C%E8%A1%93_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_IGPI.png" style="width: 120px;" /></p> <p><a href="https://www.igpi.com.sg/about-us/our-team/kohki-sakata/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_IGPI</span></span></a><br /> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span><br /> 坂田幸樹（SAKATA Kohki）<br /> 益基譜管理諮詢公司（Industrial Growth Platform, Inc.，簡稱IGPI）合夥人、IGPI新加坡分公司執行長。<br /> 早稻田大學政治經濟系畢業、西班牙IE商學院MBA。大學畢業後，進入安永會計師事務所工作。之後曾在日本可口可樂、管理顧問公司Revamp服務，曾協助成衣業、系統業進行組織改造。<br /> 目前在IGPI新加坡分公司擔任執行長，在全球五個國家領導八種國籍的團隊，協助日本企業和新加坡當地企業、政府機構推動專案。</p> </div></div></div>
2023/11/24 12:00未署名https://www.ithome.com.tw/article/159913
美國醫療照護軟體供應商Welltok外洩逾800萬病患資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國醫療照護產業的軟體即服務（SaaS）供應商<a href="https://www.businesswire.com/news/home/20231117220893/en/" target="_blank">Welltok近日警告</a>，該公司受到MOVEit零時差漏洞的影響，<a href="https://ocrportal.hhs.gov/ocr/breach/breach_report.jsf" target="_blank">外洩了8,493,379名病患資料</a>，是迄今受到該漏洞影響的第二大受害者，僅次於政府服務機構Maximus所外洩的1,130萬筆個資。</p> <p>勒索軟體集團Clop是在今年5月開始針對MOVEit的零時差漏洞CVE-2023-34362展開攻擊。MOVEit為Progress Software所提供的檔案管理軟體，可加密並傳輸檔案，並提供自動化、分析與故障轉移功能，<a href="https://community.progress.com/s/article/MOVEit-Transfer-Critical-Vulnerability-31May2023" target="_blank">CVE-2023-34362</a>是個SQL注入漏洞，允許未經授權的使用者存取MOVEit Transfer資料庫，其CVSS風險評分高達9.8，而Progress Software則是在5月31日修補了該漏洞。</p> <p>根據資安業者<a href="https://www.emsisoft.com/en/blog/44123/unpacking-the-moveit-breach-statistics-and-analysis/" target="_blank">Emsisoft</a>的統計，Clop利用該漏洞總計入侵了2,636個組織，存取了超過8,000萬筆的個人資料。</p> <p>其實Welltok今年10月底<a href="https://welltoknotice.wpenginepowered.com/?page_id=23" target="_blank">就曾低調披露此事</a>，指出該公司曾在7月26日收到警告，宣稱其MOVEit Transfer伺服器遭到入侵，由於Welltok先前即安裝了MOVEit的所有修補程式，也基於當時所擁有的資訊針對系統及網路進行檢查，認為系統並未受到危害。</p> <p>但Welltok仍持續與第三方資安專家合作進行更深入的調查，卻在8月11日發現駭客曾在5月30日存取該公司的MOVEit Transfer伺服器。該伺服器上存放了20個醫療組織的病患資料，包括姓名、地址、電話號碼、電子郵件帳號，且約有100萬Corewell Health病患資料的健保資訊、社會安全碼及診斷資料遭到存取。</p> <p>Welltok已代替這些組織通知受到波及的病患，也負責提供免費的信用監控服務。</p> </div></div></div>
2023/11/24 12:35作者陳曉莉https://www.ithome.com.tw/news/159990
AWS推出用於CloudFront函式的低延遲儲存，改善程式碼與資料維護工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS在其內容傳遞網路服務Amazon CloudFront增加新功能<a href="https://aws.amazon.com/tw/blogs/aws/introducing-amazon-cloudfront-keyvaluestore-a-low-latency-datastore-for-cloudfront-functions/">KeyValueStore</a>，這是一個全球低延遲鍵值資料儲存服務，供CloudFront Functions存取並且讀取資料，官方提到，這項新功能將可在CloudFront邊緣位置實現自定義邏輯。</p> <p>CloudFront Functions可以讓開發者在CloudFront的全球節點網路中，執行自定義程式碼，回應和處理輕量級且高頻率的任務，像是修改標頭、重寫URL或是進行授權請求等操作。而在之前，開發者需要將像是重新導向的URL等配置資料嵌入到函式程式碼中，也就是說，即便是微小的配置變更，都需要更新並且重新部署CloudFront Functions程式碼。</p> <p>變更程式碼不只增加額外的風險，而且因為函式大小限制為10 KB，對許多使用案例來說，開發者無法把資料全放進程式碼中。而KeyValueStore則提供了額外的選擇，供開發者在獨立於函式程式碼的地方，更新與之關聯的資料。</p> <p>KeyValueStore不僅簡化CloudFront Functions程式碼，也可以在不需要重新部署程式碼的情況下，更新資料，提升靜態和動態內容的交付效率，還大幅降低延遲並提高傳輸速度。KeyValueStore每個鍵值儲存總大小上限為5 MB，每個鍵限制為512位元組，值則可以達到1 KB，每個鍵值儲存關聯單一CloudFront Function。</p> <p>AWS已經在全球邊緣位置推出CloudFront KeyValueStore服務，並可以透過AWS控制臺、命令列工具和開發工具包管理鍵值儲存。用戶需要對KeyValueStore的讀取和寫入操作，以及CloudFront Functions中的讀取操作，按使用量支付費用。</p> </div></div></div>
2023/11/24 08:21作者李建興https://www.ithome.com.tw/news/159984
臺灣多媒體軟體業者訊連科技遭北韓駭客Lazarus發動供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>供應鏈攻擊事故最近幾年有越來越氾濫的現象，隨著臺海情勢不斷升溫，針對臺灣IT製造商而來的攻擊行動，已成為不容忽視的資安威脅。4年前，<a href="https://www.ithome.com.tw/news/129597">華碩更新伺服器遭駭的資安事故</a>曾引起各界高度關注，該廠牌的筆記型電腦自動更新工具程式Asus Live Update，部分版本遭駭客植入惡意程式碼，並上傳至檔案伺服器，最近又有其他廠商遭遇類似攻擊。</p> <p>微軟威脅情報團隊揭露<a href="https://www.microsoft.com/en-us/security/blog/2023/11/22/diamond-sleet-supply-chain-compromise-distributes-a-modified-cyberlink-installer/">北韓駭客組織Lazarus旗下團體Zinc（亦稱Diamond Sleet）發起的供應鏈攻擊</a>，這些駭客約從10月20日開始，竄改臺灣多媒體應用程式開發商訊連科技（CyberLink）應用程式安裝檔案，植入惡意功能，一旦執行將會於受害電腦下載、解密、載入攻擊第2階段的惡意程式碼。</p> <p>而對於駭客團體Zinc的來歷，研究人員指出，這些駭客主要鎖定的攻擊目標，是全球各地的媒體、國防、IT產業，長期從事間諜活動，竊取特定人士或企業組織的機密資料，或是破壞目標組織的網路環境。該組織在攻擊行動中，往往會使用專屬的惡意程式進行。</p> <p>值得留意的是，上述駭客竄改的檔案，不僅透過訊連的憑證簽章，本身也存放在該公司所有的軟體更新基礎設施上。再者，這個惡意程式也藉由檢查執行時間間隔的限制，來迴避防毒軟體偵測。這起事故造成那些災情？目前至少有100臺裝置受害，坐落在臺灣、日本、加拿大、美國等多個國家。但究竟這些駭客的目的是什麼？研究人員表示仍有待確認，但他們發現這些駭客曾入侵軟體開發環境、竊取機密資料，他們不排除向供應鏈下游移動、攻擊更多組織的可能。</p> <p>研究人員將此惡意安裝檔稱為LambLoad，並指出攻擊活動會刻意避開特定資安組態的電腦，例如部署FireEye、CrowdStrike、Tanium等廠牌端點防護系統的電腦，並企圖於受害電腦下載偽裝成PNG圖檔的第2階段惡意酬載，從而在記憶體內解密並執行另一個可執行檔，嘗試從C2接收駭客的命令。</p> <p>對於上述研究人員的發現，今日下午，<a href="https://tw.cyberlink.com/support-center/faq/content?id=28412">訊連科技發布公告指出</a>，在其產品「Promeo」的安裝程式中發現惡意軟體，已經移除問題，他們也透過微軟、CrowdStrike、賽門鐵克、趨勢科技、Sophos的資安工具清查旗下所有產品，確認其他產品不受這起攻擊行動影響。</p> <p>後續他們將與微軟更新軟體安全憑證，並指出更新的過程中，有可能導致用戶無法安裝訊連旗下的應用程式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/dyAUMOuLiM_20231123-2152-07181.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/dyAUMOuLiM_20231123-2152-07181.png" style="width: 580px;" /></a></p> </div></div></div>
2023/11/23 20:43作者周峻佑https://www.ithome.com.tw/news/159983
Arm發表Cortex-M52處理器，瞄準更小型的AIoT裝置開發需求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應更小型AIoT裝置開發需求，Arm發表Cortex-M系列處理器新成員Cortex-M52，該處理器支援Arm Helium技術，可將AIoT推向更小型的裝置。Arm預期採用M52的晶片會在2024年推出。</p> <p>宣稱為Helium技術中，體積最小、面積及成本效益最高的處理器。</p> <p>Helium是Arm在Cortex-M系列處理器中提供的M系列向量擴充方案，可提供DSP數位訊號處理、ML機器學習效能。在此之前，較高階的Cortex-M55及M85處理器主要以較大的裝置或設備為主，而新推出的M52，晶片面積比M55小約23%，且設計上鎖定使用電池的小型AIoT裝置。</p> <p>和現有的Arm Cortex-M33相比，在Helium技術加持下，Arm宣稱Cortex-M52在DSP效能高出2.7倍，在機器學習效能則有5.6倍，能源效率則有2.1倍，有更高的AI處理效能、能源效率表現。在安全性部分，M52也支援TrustZone技術。</p> <p>在加入Cortex-M52處理器後，Arm物聯網事業部亞太區IoT市場資深經理黃晏祥指出，支援Helium技術的Cortex-M52、M55及M85處理器可滿足更廣的AIoT應用，舉例來說，M52可應用在振動偵測、感測器、異常偵測或是語音的特定關鍵字偵測等。</p> <p>至於M55及M85則為更進階的物體偵測、手勢偵測、生物識別等AIoT應用。更為複雜的AIoT應用則以Cortex-M處理器搭配Ethos NPU應對，應用在語音辨識、物體識別分類、即時識別等。</p> <p>對於同樣支援Helium技術，在Cortex-M55之外，再推出M52的原因，黃晏祥解釋，M55雖然也適用於電池設計，但是以較大型、較高效能的AIoT裝置開發為主，M52因為晶片面積較小，適用開發比較小型、使用電池的AIoT裝置開發，此外，客戶反應需要開發更長電池使用時間的AIoT裝置，M52能夠延長的電池使用時間。</p> <p>由於IoT裝置的應用相當廣泛，例如智慧家庭、智慧城市、智慧零售、工業等，Arm擴大Cortex-M處理器產品線，以因應不同物聯網裝置對效能、能源效率、成本、面積的開發需求。</p> </div></div></div>
2023/11/23 18:21作者蘇文彬https://www.ithome.com.tw/news/159981
【資安日報】11月23日，訊連科技遭北韓駭客發動供應鏈攻擊，駭客於該公司更新伺服器部署惡意軟體，臺灣及多個國家出現受害者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">針對臺灣廠商的供應鏈攻擊事故，4年前<a href="https://www.ithome.com.tw/news/129597">華碩更新伺服器遭駭的事故引起高度關注</a>，而最近，又有其他軟體供應商遭遇類似攻擊，駭客利用其更新基礎設施，散布惡意程式。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">微軟威脅情報團隊披露自10月底針對臺灣多媒體應用程式開發商訊連科技而來的攻擊行動，駭客竄改該公司的軟體安裝檔案，並上傳到訊連的更新伺服器，至於攻擊者的目的，仍有待進一步釐清。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【攻擊與威脅】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.microsoft.com/en-us/security/blog/2023/11/22/diamond-sleet-supply-chain-compromise-distributes-a-modified-cyberlink-installer/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣多媒體軟體業者訊連科技遭北韓駭客Lazarus發動供應鏈攻擊</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">微軟威脅情報團隊揭露北韓駭客組織Lazarus旗下團體Zinc（亦稱Diamond Sleet）發起的供應鏈攻擊，這些駭客約從10月20日開始，竄改臺灣多媒體應用程式開發商訊連科技（CyberLink）應用程式安裝檔案，植入惡意功能，一旦執行將會於受害電腦下載、解密、載入攻擊第2階段的惡意程式碼。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">值得留意的是，駭客的檔案不僅透過訊連的憑證簽章，且代管於該公司所有的軟體更新基礎設施上。再者，這個惡意程式也藉由檢查執行的時間間隔限制的機制，來迴避防毒軟體偵測。而對於受害情況，至少有100臺裝置受害，這些電腦遍布臺灣、日本、加拿大、美國等多個國家。但究竟這些駭客的目的是什麼？研究人員表示仍有待確認，但這些駭客曾入侵軟體開發環境、竊取機密資料，或是向供應鏈下游移動，攻擊更多組織，他們不排除有這些可能。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">研究人員將此惡意安裝檔稱為LambLoad，並指出駭客迴避部署FireEye、CrowdStrike、Tanium端點防護系統的電腦，並企圖於受害電腦下載偽裝成PNG圖檔的第2階段惡意酬載，從而在記憶體內解密並執行另一個可執行檔，嘗試從C2接收駭客的命令。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/malware-dev-says-they-can-revive-expired-google-auth-cookies/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊資軟體Lumma開發者聲稱能復原Google帳號的連線階段，挾持受害者帳號</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/lumma-cookies.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/lumma-cookies.png" style="width: 300px; float: right;" /></a>資安業者Hudson Rock指出，他們看到打造竊資軟體Lumma（亦稱LummaC2）的開發人員標榜，能從受害電腦竊取與Google服務有關的cookie之後，進一步濫用的方法，並強調使用者就算更換密碼，這類cookie仍然有效，不會過期或是遭到撤銷。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資安新聞網站Bleeping Computer指出，該惡意軟體的經營者在11月14日提供新功能，讓買家能透過金鑰復原已經失效的cookie，但這項功能僅限於針對Google帳號，且由於該金鑰只能使用2次，買家僅有一次復原cookie的機會，假若賣家標榜的功能確實具備相關功能，這足以對企業組織造成嚴重的威脅。這項特殊的新功能，經營者只有提供給每個月付費1千美元的Corporate plan用戶使用。值得留意的是，上述的功能，並未得到研究人員或是Google的驗證。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">但這種挾持受害者Google帳號的能力，似乎還有其他駭客掌握相關技術。事隔3天，另一名研究人員g0njxa發現，經營竊資軟體Rhadamanthys的駭客也宣稱提供類似的功能，Bleeping Computer取得Lumma開發者的說法，很可能是競爭對手從他們的竊資軟體複製而得。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資料來源</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">1. <a href="https://www.linkedin.com/posts/alon-gal-utb_an-upcoming-update-to-lumma-infostealer-is-activity-7128433924380213248-hcEG/">https://www.linkedin.com/posts/alon-gal-utb_an-upcoming-update-to-lumma-infostealer-is-activity-7128433924380213248-hcEG/</a><br /> 2. <a href="https://www.linkedin.com/posts/alon-gal-utb_infostealer-cybercrime-activity-7129468853574598656-gboo/">https://www.linkedin.com/posts/alon-gal-utb_infostealer-cybercrime-activity-7129468853574598656-gboo/</a><br /> 3. <a href="https://twitter.com/g0njxa/status/1725486960750284847">https://twitter.com/g0njxa/status/1725486960750284847</a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://blackwinghq.com/blog/posts/a-touch-of-pwn-part-i/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露繞過筆電Windows Hello指紋驗證機制的手法，多個廠牌的電腦曝險</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">採用生物辨識技術來強化身分安全，如今相當常見，然而一旦遭到破解，就有可能讓攻擊者繞過這類身分驗證機制。威脅情報業者Blackwing Intelligence揭露在Windows筆電上發現的指紋辨識器弱點，從而繞過Windows Hello的身分驗證機制。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">研究人員在今年10月下旬微軟舉辦的資安會議BlueHat上，首度展示成果，並利用微軟Surface Pro X、聯想ThinkPad T14、Dell Inspiron 15進行驗證。這些筆電搭配的指紋感應器，由ELAN、Synaptics、Goodix製造，都具備晶片上辨識（Match on Chip，MOC）感應器，以提供較為嚴謹的指紋比對流程，微軟也開發了安全設備連線協定（SDCP），防範指紋辨識器與筆電之間的中間人攻擊（MitM）。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">但研究人員透過逆向工程，發現感測器實作的缺陷，從而突破上述的防護機制，他們利用自製的Raspberry Pi 4裝置進行中間人攻擊，從而成功達到目的。</p> <p><iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315" src="https://www.youtube.com/embed/gjvu-l6vKFE?si=rweGEkWxw1M02ldn" title="YouTube video player" width="560"></iframe></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://cofense.com/blog/are-darkgate-and-pikabot-the-new-qakbot/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體DarkGate及PikaBot透過網釣攻擊散布，攻擊者很可能是曾經利用QBot的駭客</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/QBot-Figure-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/QBot-Figure-3.png" style="width: 300px; float: right;" /></a>8月惡意軟體QBot遭到歐美多個執法單位圍勦，清除70萬臺電腦上的惡意程式，沒收860萬美元加密貨幣，但這些駭客近期有東山再起的跡象。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">電子郵件安全業者Cofense指出，他們分析了近期的惡意軟體DarkGate和PikaBot攻擊行動，發現攻擊者所發起的網路釣魚攻擊策略，與使用QBot的駭客相同，這些共通點包含了使用電子郵件回覆串來進行初期感染、具備獨有特徵的URL限制使用者存取，以及傳送惡意軟體到受害電腦的方式也幾乎雷同。研究人員推測，這一波惡意軟體的攻擊者身分，就是原本使用QBot的駭客。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">究竟駭客如何掌握特定的電子郵件，以便用於攻擊？研究人員推測，很有可能是透過ProxyLogon漏洞（CVE-2021-26855，CVSS風險評分9.8）入侵Exchange伺服器來達成目的。值得留意的是，駭客於受害電腦部署惡意軟體的手法，大部分是利用JavaScript Dropper，但也有透過Excel-DNA Loader，以及VBS或LNK下載工具的情況。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.gdatasoftware.com/blog/2023/11/37822-agent-tesla-zpaq"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Agent Tesla透過ZPAQ壓縮檔散布</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">防毒業者G Data揭露最新一波的竊資軟體Agent Tesla攻擊行動，其特殊之處在於駭客利用ZPAQ格式的壓縮檔來散布惡意軟體。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">在其中一起攻擊行動裡，駭客寄送帶有Purchase Order pdf.zpaq附件的釣魚郵件，研究人員使用命令列進行解壓縮，結果這個僅有6 KB的壓縮檔，竟解出1 GB的大型檔案，原因很可能是駭客想要突破防毒軟體掃描檔案的大小上限。一旦電腦感染該竊資軟體，此惡意程式就會與架設於Telegram的C2進行連線，然後進行竊取機密資料的工作。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">值得留意的是，支援這種格式的壓縮軟體並不多，但為何駭客要採用？研究人員認為，很有可能是因為相較於常見的ZIP、RAR格式，ZPAQ檔案更小，且有可能被防毒軟體放行。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/11/atomic-stealer-distributed-to-mac-users-via-fake-browser-updates"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">攻擊行動ClearFake鎖定Mac電腦用戶，散布竊資軟體Atomic Stealer</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/safari.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/safari.png" style="width: 300px; float: right;" /></a>資安業者Malwarebytes揭露新一波的惡意軟體攻擊行動ClearFake，駭客先是入侵WordPress網站，假借瀏覽器更新的名義來散布惡意程式。這起攻擊行動大約從8月出現，當時針對Windows使用者而來，但11月17日研究人員Ankit Anubhav提出警告，駭客的攻擊範圍如今也擴及Mac電腦的用戶，散布竊資軟體Atomic Stealer。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">該資安業者進一步調查指出，對方製作冒牌的蘋果、Google網站，聲稱提供Safari 17.1更新檔案，或是要求使用者更新Chrome才能存取網站的內容，一旦使用者依照指示操作，電腦就有可能被植入竊資軟體。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=201402&SPOKE_DATE=20231120&COMPANY_ID=1314"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中石化遭受網路攻擊事件</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月20日中國石油化學工業開發（中石化）於股市公開觀測站發布重大訊息，表示該公司遭遇網路攻擊，資安團隊察覺異狀即啟動相關防禦機制，並委請外部資安業者、技術專家共同處理，通報相關執法機關。而對於營運是否造成衝擊，該公司初步評估尚無重大影響。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【資安防禦措施】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://docs.fcc.gov/public/attachments/DOC-398483A1.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為防範SIM卡挾持攻擊，美國FCC對電信業者祭出新規定</span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">為了防範民眾遭遇SIM卡挾持（SIM Swapping）攻擊，11月15日美國聯邦通訊委員會（FCC）針對電信業者祭出新的規定，當中提及客戶專屬的網路資訊（Customer Proprietary Network Information，CPNI）、市話可攜（ Local Number Portability，LNP）的部分，要求電信業者將客戶的電話號碼移轉至新裝置或是新的電信業者，必須採用嚴謹的方式來驗證客戶身分，例如。立即通知用戶，並採取額外的防護措施，來防堵這類攻擊行動。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【其他新聞】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.fortinet.com/blog/threat-research/konni-campaign-distributed-via-malicious-document"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體Konni RAT利用Word文件感染Windows電腦，竊取電腦資料</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.akamai.com/blog/security-research/new-rce-botnet-spreads-mirai-via-zero-days"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Mirai殭屍網路變種利用零時差漏洞感染路由器、視訊監控裝置</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://securityaffairs.com/154598/hacktivism/siegedsec-hacked-idaho-national-laboratory.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國愛達荷實驗室傳出遭到駭客組織SiegedSec入侵</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.theregister.com/2023/11/20/moveit_victim_77m_medical/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">MOVEit Transfer零時差漏洞受影響人數突破7700萬</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.cisa.gov/sites/default/files/2023-11/HPH-Sector-Mitigation-Guide-TLP-CLEAR_508c.pdf"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">CISA發布醫療保健產業的網路安全指南</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>近期資安日報</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159948"><strong>【11月22日】勒索軟體Phobos打著資安社群的名義，鎖定Windows電腦發動攻擊，聲稱受害者復原檔案要找社群</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159939"><strong>【11月21日】中國駭客組織Mustang Panda鎖定東南亞發動數起網釣攻擊，起因疑與8月發生的菲律賓海上軍事衝突有關</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159921"><strong>【11月20日】駭客近半年散布逾30款惡意PyPI套件，利用PNG圖檔埋藏攻擊意圖，美國、中國、法國皆有開發者受害</strong></a></p> </div></div></div>
2023/11/23 17:16作者周峻佑https://www.ithome.com.tw/news/159980
【廠商永續支援度盤點：思科】力推兩大類儀表板管理工具，不只能監測伺服器設備每日能耗變化，就連網通產品能耗和碳排放數據都…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科今年開始搶進永續IT商機，目前推出兩類儀表板管理工具，用於監控及管理IT產品能耗，其中，Nexus Dashboard儀表板主要應用於網路交換器設備，不僅能監控網路設備能耗，還具備有碳排放數據的監測功能。另一方面，雲端IT維運管理平臺Intersight提供了Energy & Power儀表板工具，則可用於UCS伺服器以及HyperFlex超融合基礎架構等產品使用的能源監控。值得注意的是，此儀表板尚未包含碳排放使用資訊，而且目前僅為Beta版本，明年才會推出正式版。此外，思科目前只開放Intersight Essentials版或以上的訂閱方案，才能加購該儀表板功能。</p> <p>隨著永續議題越來越受到企業所重視，不僅各大伺服器廠商紛紛推出多樣管理工具和平臺，協助企業有效蒐集和管理IT設備所產生的碳排放數據，網通大廠思科近來也積極投入，搶進永續IT市場，不只承諾2040年實現整體價值鏈的淨零碳目標，還針對企業永續資料中心的建立，推出新工具和平臺，以提高其IT產品的透明度，包括伺服器、超融合和網路交換器等，協助企業優化其設備使用效率，進而降低其碳排放。</p> <p>思科目前提供了兩類儀表板管理工具，用於監控和管理自家伺服器、網通產品的使用能耗，分別為Intersight的Energy & Power儀表板和Nexus Dashboard儀表板工具，前者可用於監控UCS系列伺服器及HyperFlex超融合產品在內的能源使用情況，後者則可用於管理和監測網路交換器的能耗及費用成本，並提供碳排放監控功能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1(66).png" style="width: 600px;" /></p> <p><strong style="color: rgb(105, 105, 105);">從思科Intersigh儀表板的新功能中，企業可以迅速察看其在不同營運環境中使用思科伺服器的整體IT能耗和功耗，包括每日、每周到每月的能源數據變化都能掌握。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_思科</span></p> <p>進一步來看，思科的Intersight是以SaaS形式提供的管理及服務平臺，在2017年正式推出，可涵蓋UCS系列伺服器以及HyperFlex超融合基礎架構系統。除了提供遠端部署、配置和持續維護功能外，該平臺內建了My Dashboard儀表板工具，經過幾年的發展，於今年新增了Energy &Power功能，可用於管理和監控相關產品的能耗和功耗情況。</p> <p>從思科Intersigh儀表板的新功能中，企業可以迅速察看其在不同營運環境中使用思科伺服器的整體IT能耗和功耗，包括每日、每周到每月的能源數據變化都能掌握，此外，儀表板還提供了可依機箱型態呈現各自能耗的功能，包括機架式伺服器、刀鋒伺服器等，同時，企業還可依不同刀鋒伺服器設備能耗多寡進行排名，優先改善高能耗的刀鋒伺服器，來降低其耗能。</p> <p>每臺伺服器內建感測器，可偵測設備能耗使用的相關數據，透過API將感測器資料傳輸至雲端的 Insight 平臺，以資料視覺化呈現。該儀表板，也提供異常告警功能，一旦</p> <p>企業除了可以透過SaaS服務使用Intersight的功能，也能以虛擬設備形式將其部署到自建環境中提供服務。</p> <p>不過，企業得特別留意，思科目前只開放Intersight Essentials版或以上的訂閱方案，才能加購儀表板功能，並不包含在原本免費對每臺UCS伺服器、HyperFlex系統提供的Intersight Base版的功能中，意謂著，企業需要支付額外費用購買才能開通。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2(59).png" style="width: 600px;" /></p> <p>思科臺灣技術長馮志良表示，企業用戶可以透過Intersight平臺對於伺服器等產品的能源使用進行監控。他進一步指出，根據思科產品發展藍圖，未來Intersight將成為企業資料中心的主要維運管理平臺，不僅限於伺服器等運算設備，還整合網路設備的能耗和碳排使用資訊，使其集中呈現在該平臺上，提供更全面且一致的管理，進而提高產品透明度。</p> <p>不過在還沒整合到Intersight之前，企業則是可透過一套Nexus Dashboard資料中心網路儀表板工具對於網路交換器使用的能源進行監控，思科在最新的3.0版中還新增了永續數據報告的功能，不只能夠用來追蹤和管理Nexus網路交換器設備使用的能耗和成本，還能提供每月碳排放量情況，讓企業可以根據碳排放量大的設備，擬定減量對策。</p> <p>該工具也提供碳排成本預估功能。企業除了可以根據每月成本預估，比較在不同營運據點使用能耗的成本費用，還可以提供每月碳排放的成本預估，快速了解目前在所有碳排放設備中使用低碳的能源的占比，作為未來改善的依據。此外，該儀表板還提供關鍵的永續指標，可供企業根據這些指標了解機房整體網路的電力利用效率，未來還將推出耗電指標PUE的功能。</p> <p>馮志良表示，預計將在2024年第一季度推出的3.1版本中，將支援Panduit的永續報告，而在下半年3.2版中，將擴大支援Vertiv的永續報告功能。</p> <p>Nexus Dashboard Insights工具目前僅提供本地部署方案，不過思科計畫在Networking Cloud平臺中整合Nexus Dashboard Insights工具，讓企業未來也能透過雲端平臺來取得該工具的功能，還計畫在明年推出新的功能，包括能源洞察的功能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/3(54).png" style="width: 600px;" /></p> <p>此外，思科還為所有Webex服務和裝置推出協作管理的裝央儀表板Webex Control Hub。它是一個可以用來管理使用者、權限、通話、會議、傳訊及裝置的單一儀表板。在這個儀表板中最新提供即時碳排放的洞察功能，可以透過硬體和硬體分析，來計算整體的碳排放的情況，不僅提供雲端服務使用碳排放和裝置使用的碳排放，還能提供減碳建議。</p> <p>近年來，思科在硬體產品設計方面也積極強化減碳和節能設計，以UCS整合運算伺服器系統為例，思科不僅持續在設計上進行優化，改進機箱設計達到更佳的空氣流動，進而提高散熱效率，降低整體能耗。根據思科的產品路線圖，他們計畫在明年初推出水冷散熱的方案。</p> <p>在晶片設計方面，思科也進行了改良，以進一步提高能源效率。舉例來說，Cisco Nexus 9800系列在電力耗損方面優於Nexus 7000系列，僅為其六十分之一，每1GB的傳輸，平均僅需0.23瓦的能耗。</p> </div></div></div>
2023/11/23 17:13作者余至浩https://www.ithome.com.tw/news/159928
資安研究人員成功繞過Windows Hello指紋身分驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門從事安全工程與進攻性安全研究的<a href="https://blackwinghq.com/blog/posts/a-touch-of-pwn-part-i/" target="_blank">Blackwing Intelligence接受了微軟的委託</a>，負責評估3臺筆電上用來支援Windows Hello指紋身分驗證的3款指紋感應器，研究人員透過軟體與硬體的反向工程，在3個月內攻陷了相關裝置，成功繞過Windows Hello的指紋身分驗證機制。</p> <p>Windows Hello為微軟所開發的身分驗證機制，應用於Windows 10與Windows 11作業系統，允許使用者透過人臉辨識、指紋辨識或PIN碼來取代密碼輸入。而被用來測試的3臺筆電及指紋感應器品牌，分別是採用Goodix感應器的Dell Inspiron 15、使用Synaptics感應器的Lenovo ThinkPad T14s，以及採用ELAN感應器的Microsoft Surface Pro X。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1123-windows%2011-windows%20hello.png" style="width: 600px;" /></p> <p>Windows Hello使用了兩項關鍵的安全技術，一是Match on Chip（MoC），將指紋資訊存放於感應器晶片上，並直接於晶片上進行比對，可防範駭客直接將有效指紋傳送至主機比對的攻擊，二是微軟特別針對指紋感應器所開發的安全裝置連線協定（Secure Device Connection Protocol，SDCP），以避免駭客利用偽造的感應器來與主機通訊。</p> <p>然而，研究人員發現，裝置製造商似乎誤解了SDCP的某些目的，再加上SDCP僅覆蓋裝置日常操作之非常狹隘的範圍，而大多數裝置都曝露了大範圍的攻擊面，並未受到SDCP的保護。此外，除了Goodix針對SDCP提供了良好支援之外，Synaptics僅具備部分的SDCP支援，而微軟自家Surface Pro X所採用的ELAN並未支援SDCP。</p> <p>在Dell（Goodix）與聯想（Synaptics）筆電上，研究人員藉由枚舉有效ID，再利用合法Windows用戶的ID來註冊攻擊者的指紋，成功繞過身分驗證機制。</p> <p>而Surface Pro X的指紋辨識則有賴Microsoft Surface Pro Type Cover，這是一個內建指紋感應器的外接鍵盤，研究人員原本以為這是最難攻陷的裝置，因為它是由微軟設計與開發的產品，卻發現它所採用的ELAN指紋感應器並不支援SDCP，與裝置之間是透過明文的USB通訊，而且不必驗證身分，這代表任何USB設備都可以宣稱自己是ELAN感應器，並假裝自己是授權用戶以登入電腦。</p> <p>有趣的是，主機唯一檢查的是感應器所知道的指紋數量是否與主機上所紀錄的一致，以用來判斷使用者是否插入了錯誤的Type Cover，但駭客只要查詢原來的感應器就可繞過此一限制。</p> <p>Blackwing Intelligence最終的結論是，生物辨識身分驗證非常好用，但建議那些生產相關解決方案的業者應確保已啟用SDCP，同時聘請第三方專家來審核相關部署。</p> </div></div></div>
2023/11/23 16:08作者陳曉莉https://www.ithome.com.tw/news/159979
永豐銀行IT將Copilot導入開發流程中，不只協助開發者迅速上手新專案、解釋程式碼，還能支援維運腳本開發和技術驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>程式開發應用生成式AI技術已經是常見的生成式AI應用之一，不只在國外廣泛應用，在臺灣，不少企業內部的IT團隊已經或正評估採用，其中包括金融業。永豐銀行也是最新一家導入這項技術的臺灣金融業者，將它應用內部開發流程上，並發展出4大應用情境，包括優化既有專案、協助新專案開發，以及支援維運腳本開發和工作技術驗證等工作。</p> <p>2020年時，永豐銀行啟動了數位轉型的計畫，2年後進一步提出4大發展策略，以加速推動數位變革。永豐銀行更將雲端和AI視為是該公司推動數位變革的兩大關鍵，打造多元應用與創新服務。</p> <p>近年來，永豐銀行已經將AI應用在不同金融業務場景，舉例來說，他們建立AI異常帳戶監測機制，利用AI偵測有無交易異常的帳戶，提供即時預警，或是透過AI輔助分析，強化對於詐騙交易的辨識，防範詐騙行為等。</p> <p>除了應用AI優化內外部服務，永豐銀行也將這項技術同時運用在IT部門，協助開發人員提高開發效率，尤其在過去，許多開發人員在程式開發過程中遇到問題時，常常需要到不同的社群網站和搜尋引擎尋求協助，進行多方測試及驗證，這種方法不僅耗時，也缺乏效率，因此，IT部門希望透過AI技術，讓使用者能夠以自然語言詢問AI，迅速獲得所需的答案。</p> <p>今年8月底，經內部評估和規畫後，永豐銀行決定導入能提供程式撰寫輔助的生成式AI助手GitHub Copilot，將其應用於內部開發流程中，讓開發人員可以更快解決程式開發問題，從而提高開發效率，同時加速金融創新。</p> <p>永豐銀行資訊處資深協理沈志成表示，導入這項技術不僅僅是為了激發了開發人員的創造力，更希望透過AI工具的輔助，提升他們的工作成就感和幸福感，進而提升顧客使用體驗。</p> <p>截至目前，永豐銀行IT部門一共發展出4大生成式AI應用情境，包括既有專案優化、協助開發新專案、維運腳本開發以及工作技術驗證。</p> <p>在現有專案優化方面，永豐銀資訊團隊使用生成式AI助手對DAWHO數位帳戶後臺數據進行檢驗，使其能夠快速找出潛在問題，提出具體優化建議，進而簡化系統程式的維護作業。此外，在新專案開發上，也有開發人員在進行智慧收支帳本相關應用開發時，利用生成式AI協助其修改MongoDB資料庫的JavaScript語法，省去了需自行搜尋答案的步驟。</p> <p>資訊團隊不僅將生成式AI助手用於輔助新舊應用的開發和優化，同時還應用在維運腳本的開發上，包括協助開發人員規畫設定YAML語法等容器化技術工具，同時驗證其正確率和建議參數等，還用於進行系統中使用不同程式語言（如C#、Python、JavaScript、SQL等）轉換的技術驗證。</p> <p>經過一段時間的使用後，發現使用效果不錯，使得開發團隊的開發時間平均縮短了40%至60% ，不僅節省IT開發時間，同時也代表永豐銀行能更快速推出新功能和服務，以滿足市場和客戶需求。</p> <p>不過，考慮到的資安，永豐銀行一方面透過GitHub Copilot服務本身的資安機制加強人員授權與登入管控，確保不留存程式與往來問答內容，一方面設定禁用參照所有網路上的開源程式碼，避免智慧財產權爭議，也透過生成式AI助手篩選程式安全漏洞，提供自動封鎖不安全的程式碼建議。</p> </div></div></div>
2023/11/23 14:58作者余至浩https://www.ithome.com.tw/news/159978
微軟公布Orca 2小模型，推論能力不輸大型LLM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/research/blog/orca-2-teaching-small-language-models-how-to-reason/" target="_blank">微軟本周公布</a>Orca 2，號稱為參數僅130億的小模型，可經由模仿更大語言模型的推理方法，在測試中也顯示推理能力不輸給大它10倍的模型。</p> <p>Orca 2是微軟今年年中推出<a href="https://www.ithome.com.tw/news/157274" target="_blank">第一代Orca</a>後，探索參數在100億以下的小型語言模型的最新成果。目前微軟已經在Hugging Face上開源<a href="https://huggingface.co/microsoft/Orca-2-7b" target="_blank">70億</a>和<a href="https://huggingface.co/microsoft/Orca-2-13b" target="_blank">130億</a>參數的Orca 2供研究或試用。</p> <p>微軟指出，LLM如GPT-4及PaLM等具有很強的推論能力，以便回答複雜問題，生成解釋，或解決多步驟推論的任務。但較小模型往往欠缺這類能力，這也是微軟Orca 2專案的目的；他們希望利用對LLM的知識來提升小模型的能力。</p> <p>Orca 2的2個版本都是由Llama 2基礎模型以大量合成資料客製訓練而成。訓練Orca 2的資料集是由更強大的教師模型（teacher model）生成。這些資料是教師模型在詳細指令甚至多次詢問後的回應結果。研究人員希望學生模型（Orca 2）學習這些回應的推論過程及策略。最後，教師模型教導Orca 2多項推理技巧，包括多步處理、回憶－推理－生成，擷取－生成，以及直接回答方法，也教它為不同任務選擇不同解決策略。</p> <p>在訓練成後，研究人員利用15種標竿測試，包括近100種任務及超過3.6種不同零樣本測試用例，來評估Orca 2。標竿測試涵蓋語言理解、常識推理、多步驟推理、數學解題、閱讀測驗、摘錄重點、貼近真實性，以及有毒內容的生成及辨識。</p> <p>評估結果顯示，Orca 2效能大幅超越同樣大小的模型，包括第一代Orca，而在處理複雜推論的零樣本環境測試中，表現和5到10倍大的大型語言模型（LLM）接近，甚至超過。</p> <p class="rtecenter"><a href="https://www.microsoft.com/en-us/research/uploads/prod/2023/11/orca2-final.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1123-Orca-2-microsoft-600.png" style="width: 600px;" /></a></p> <p><a href="https://www.microsoft.com/en-us/research/uploads/prod/2023/11/orca2-final.png" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></a></p> <p>微軟研究人員指出，Orca 2的成功關鍵在於使用多種推論策略，找出不同任務最適用的解決方案，以及使用高品質的合成資料作為後續訓練（post-training）。雖然Orca 2承襲基礎模型及其他模型共通的限制，不過Orca 2突顯了小模型也能具備良好的推理能力，以及可控、可專化，也更具安全性。</p> </div></div></div>
2023/11/23 11:23作者林妍溱https://www.ithome.com.tw/news/159963
OpenAI ChatGPT語音功能開放給所有用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在上演5天內執行長被炒、出走微軟、再回鍋的劇碼同時，<a href="https://twitter.com/OpenAI/status/1727065166188274145" target="_blank">OpenAI昨（22）日宣布</a>ChatGPT語音輸入、輸出功能開放給所有用戶。</p> <p><a href="https://www.ithome.com.tw/news/158968" target="_blank">OpenAI 9月即已開放</a>語音輸出/輸入，以及圖片輸入給ChatGPT Plus及Enterprise用戶，但直到現在才將語音功能推向免費用戶。使用者下載ChatGPT App到手機上，點擊耳麥圖像啟動語音輸出、輸入，即可和這個聊天機器人對話互動</p> <p>不過根據<a href="https://help.openai.com/en/articles/8400551-image-inputs-for-chatgpt-faq" target="_blank">OpenAI FAQ網頁</a>，圖片輸入目前仍只提供給ChatGPT Plus與Enterprise帳號用戶。</p> <p>今日起，OpenAI的營運及功能推出可望恢復正常，因為<a href="https://www.ithome.com.tw/news/159962" target="_blank">OpenAI昨日宣布</a>創辦人Sam Altman回鍋執行長一職，並成立新的董事會，結束了5天的高層人事變動，以及公司組織動盪。</p> </div></div></div>
2023/11/23 11:57作者林妍溱https://www.ithome.com.tw/news/159964
新版Bard可協助使用者解答YouTube影片內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://bard.google.com/updates" target="_blank">Google周二（11/21）更新</a>了旗下的生成式AI服務Bard，新版Bard將可理解YouTube影片內容以便提供解答。</p> <p>為了因應OpenAI的ChatGPT，Google在今年3月推出了Bard服務，並持續增添各種新功能，從最基本的搜尋網路以解答問題，到協助使用者撰寫程式碼，匯出由Bard生成的內容，於生成結果中展示圖像及表格，支援文字轉語音，於提示中輸入圖像，以及整合使用者的Gmail、Docs與Drive內容等。</p> <p>其實今年9月Google即讓Bard支援YouTube，但當時僅允許Bard搜尋YouTube影片，這次則是讓Bard理解YouTube影片內容，等於是替使用者觀看YouTube，再提供解答，例如在使用者找到一個製作橄欖油蛋糕的YouTube影片時，可直接詢問Bard「該影片的食譜用了幾個蛋？」。</p> <p>目前Google仍在測試Bard，供大眾免費試用，尚未發表付費訂閱版本，迄今已支援包括臺灣與繁體中文在內的逾180個國家及26種語言。</p> </div></div></div>
2023/11/23 12:08作者陳曉莉https://www.ithome.com.tw/news/159965
Sam Altman宣布重返OpenAI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在OpenAI<a href="https://www.ithome.com.tw/news/159901" target="_blank">於上周五（11/17）開除</a>共同創辦人暨執行長Sam Altman之後，本周二晚上<a href="https://twitter.com/OpenAI/status/1727206187077370115" target="_blank">（11/21）透過X宣布</a>Altman將重返OpenAI擔任執行長一職，且OpenAI也正重組董事會。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1122-openai%20tweet(1).png" style="width: 600px;" /></p> <p>OpenAI的董事會原本有6名成員，當中有3名為OpenAI的共同創辦人，包括執行長Altman、技術長Greg Brockman與科學長Ilya Sutskever，另外3名則是Quora執行長Adam D’Angelo、美國企業家與機器人工程師Tasha McCauley，以及喬治城安全與新興技術中心的策略總監Helen Toner，上周五該董事會同時辭退了Altman與擔任董事會主席的Brockman。</p> <p>OpenAI本周發布了3 名初始董事會成員，舊董事只有Adam D'Angelo留任，另外兩位則是曾擔任Salesforce執行長的Bret Taylor，以及曾為美國財政部長的Larry Summers。</p> <p>對於這幾天的發展，Altman表示，他喜歡OpenAI，過去幾天他所做的事都是為了保持OpenAI團隊及其使命的完整，當他在周日（11/19）晚上決定加入微軟時，很清楚這是他與團隊的最佳道路，但現在有了新董事會與Satya（微軟執行長Satya Nadella）的支持，期待回到OpenAI。</p> <p>幾乎是在第一時間宣布與Altman同進退的Brockman，<a href="https://twitter.com/gdb/status/1727208843137179915?s=46&t=npsjJospPVbCcfoL_2IUlA" target="_blank">也宣布要回到OpenAI</a>，並說晚上就要開始寫程式了。</p> <p class="rtecenter"><a href="https://twitter.com/gdb/status/1727230819226583113" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1123-greg%20brockman%20opena%20return.png" style="width: 600px;" /></a></p> <p><a href="https://twitter.com/gdb/status/1727230819226583113" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Greg Brockman on X ( formerly Twitter)</span></span></a></p> <p>幾天前招募Altman與Brockman的<a href="https://twitter.com/satyanadella/status/1727207661547233721" target="_blank">微軟執行長Satya認為</a>，OpenAI董事會的變化將是該公司邁向更穩定、資訊充足及有效治理的首個重要步驟，未來Altman與Brockman仍將於OpenAI的領導團隊中扮演關鍵角色，以確保OpenAI持續茁壯。</p> <p><a href="https://www.wsj.com/tech/openai-says-sam-altman-to-return-as-ceo-766349a5?mod=followamazon" target="_blank">《華爾街日報》</a>（The Wall Street Journal）引述消息來源報導，新的OpenAI董事會最多可能會再新增6名董事成員，此外，前董事會與Altman陣營也已同意要針對此事展開獨立調查，從Altman的行為、董事會開除Altman的決定，一直到整件事的後果等。</p> <p>當了3天OpenAI臨時執行長的<a href="https://twitter.com/eshear/status/1727210329560756598" target="_blank">Emmett Shear則說</a>他對這個結果感到非常滿意，也很開心成為此一解決方案的一部分，還搞笑地在X上把自己的頭銜改成「前OpenAI臨時執行長」（interim ex-CEO of OpenAI）。</p> </div></div></div>
2023/11/23 10:53作者陳曉莉https://www.ithome.com.tw/news/159962
Cloud周報第189期：FinOps基金會釋出FOCUS 1.0的預覽版，要打通不同公雲計費資料格式差異，建立統一互…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（11/16～11/22）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 公雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 政府數位韌性 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">行政院公布關鍵民生系統韌性推動策略，將用4年將18項關鍵民生系統核心功能全部上公雲</span></strong></p> <p>借境烏克蘭戰爭的經驗，行政院近日正式對外<a href="https://www.ithome.com.tw/news/159872">公布了政府關鍵民生系統韌性推動策略</a>，將分4年、共投入13億元，將18項關鍵民生系統核心功能全部搬上跨境公雲，強化政府數位韌性。</p> <p>這項計劃，將從明年開始推動，並在2027年完成執行。根據行政院的規畫，將針對如衛福部健保系統、內政部入出境管理系統等18個關鍵民生系統強化其數位韌性。在韌性做法上除了會將這些關鍵系統的核心功能上雲，還會採用加密分持備分機制，強化資料加密和保護，以便遇到大規模災害發生時，政府可維持社會運作的基本數位服務。</p> <p>該計畫分3個目標，首先在平時維持系統在雲端的高可用性、採用資料加密分持備分，接著在災害發生的當下，保存關鍵民生系統與資料，維持系統核心功能與資料可用。在災後更需確保能迅速重建系統、回復服務。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span></strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數據隱私 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Google Cloud推出Vertex AI的資料落地功能，強化資料主權和法規監管要求</span></strong></p> <p>不少企業對使用雲端生成式AI服務存有資料隱私的疑慮，而影響其採用意願。為此，Google Cloud最近針對其生成式AI開發服務Vertex AI推出資料落地（Data Residency）功能，讓企業用戶未來使用Vertex AI開發模型時可以選擇將內部資料儲存在境內，確保這些資料不出境，強化資料主權和滿足企業監管要求。</p> <p>透過這項新功能，企業在Vertex AI平臺上使用PaLM 2、Codey以及Imagen等模型時，可以指定將模型開發過程中使用的這些靜態資料記錄儲存在其選擇的區域內。Google目前提供了北美、歐洲和亞洲10個可用國家及地區，其中亞洲包括了日本、新加坡、韓國，但尚未包含臺灣。</p> <p>除了新推出資料落地選擇，Google重申用戶擁有控制自家資料和模型存取權限及儲存地點的能力，並且承諾不會在未經許可的情況下以用戶的資料訓練模型。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端AI處理器 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">微軟公布首款Arm架構處理器Cobalt 100，擁有高達128心，將用於執行Azure通用運算及生成AI任務</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961_Cloud%E5%91%A8%E5%A0%B1(4)(3).png" style="width: 600px; height: 316px;" /></p> <p>近日在Ignite大會上，微軟一口氣介紹了兩款自行設計的處理器晶片，分別為Arm架構處理器Cobalt 100，和AI加速器Maia 100。微軟明年初開始將部署這兩款晶片到Azure公雲，用於執行生成式AI對話應用Copilot及Azure OpenAI服務。</p> <p>最新推出的Cobalt 100是一款64位元處理器，擁有高達128核心。微軟表示，與Azure所使用的其他Arm架構晶片相比，Cobalt 100的耗電量降低了40%，它也是微軟首款Cobalt系列處理器，除了可用於執行Azure上的通用型運算任務，微軟目前已將它應用於Teams及Azure SQL服務中使用。</p> <p>與此同時，微軟還宣布另一款名為Maia 100的AI加速器，採用先進5奈米製程，內含有1,050億顆電晶體，微軟表示，這個AI加速器專為執行AI及生成式AI而設計，目前已提供作為OpenAI大型語言模型執行來運用。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">FinOps基金會 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端財務成本 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">FinOps基金會釋出FOCUS 1.0的預覽版，要解決不同公雲計費資料格式差異建立統一標準</span></strong></p> <p>企業大舉上雲，開始採用多雲後，如何整合和管理不同公雲服務的維運成本是個挑戰。最近，FinOps基金會釋出預覽版的FOCUS 1.0標準，透過這個新標準，企業未來將更容易追蹤雲端成本費用和預測未來的支出，更有助於解決不同公雲服務計費資料集格式的差異，而無法互通的問題，建立統一且一致的標準。</p> <p>FinOps基金會是Linux 基金會於三年前發起的一項專案，用以促進雲端財務管理領域的發展，其成員包含了亞馬遜AWS、微軟Azure、GCP等逾1,500家企業。該基金會在今年5月推出了FinOps開放成本和使用規範FOCUS（ FinOps Open Cost and Usage Specification），並在11月下旬推出1.0版。</p> <p>FOCUS標準定義了如何建構雲端計費資訊的通用規則，同時，它還建立了統一的資料術語，統一不同公雲計費資料格式之間的差異，使其標準化。</p> <p>新推出1.0版的FOCUS標準，企業不僅更容易取得不同公雲平臺的計費數據，還能夠支援整合來自軟體即服務應用程式的計費數據，並透過其提供的開源元件，在資料匯入財務平臺之前檢查其準確性。</p> <p>除了技術改進之外，1.0版還包含了各種FinOps應用範本，並提供了40多分教學指南，示範如何將該標準應用於常見的雲端財務場景。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Azure Boost </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端硬體升級 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">微軟正式推出雲端硬體升級服務Azure Boost，改善VM的效能和安全</span></strong></p> <p><strong><span style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(3)(3).jpg" style="width: 600px; height: 296px;" /></span></strong></p> <p>除了推出Azure專用晶片，微軟在Ignite大會上宣布Azure Boost硬體升級服務的正式推出。根據微軟的說明，Azure Boost是微軟設計的一套系統，其目的是將傳統上由hypervisor執行的伺服器虛擬化程式卸載到特定軟體和硬體上，藉此減少對於虛擬機CPU資源的使用，進而提升其效能。</p> <p>在Azure Boost服務中，包含了多種功能，改善VM的效能和安全性。例如在儲存體方面，可藉由卸載儲存體作業到Azure Boost FPGA晶片上執行達到效能提升，微軟宣稱，配備Azure網路適配器MANA和Azure-Boost的Ebsv5實例，每個執行個體最大的SSD硬碟效能的IOPS（每秒讀寫次數）可達到260,000，若是Ev4系列虛擬機的效能也有達80,000 IOPS 。</p> <p>此外，在網路功能上亦有所提升，Azure Boost包含一套軟體和硬體網路系統，可提供最多每秒200 Gb網路頻寬，同時注重網路安全性。</p> <p>Azure Boost目前已能在17種Azure執行個體類型上執行，並且可適用於Linux和Windows的虛擬機器。微軟表示，未來將擴大到更多現有的虛擬機器類型上提供。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Salesforce </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 服務雲 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Salesforce推出Service Intelligence，提供整合生成式AI的服務雲智慧新服務</span></strong></p> <p>雲端CRM巨頭Salesforce最近在Service Cloud服務雲中推出一項新服務Service Intelligence，該服務是以該公司即時大規模數據引擎Data Cloud為基礎打造，並且結合了Einstein生成式AI對話功能，能夠分析業務人員與客戶對話或Email往反資訊，以此提供相關建議和做法。</p> <p>在該服務中，還內建了視覺化服務儀表板，在儀表板中可以顯示Einstein分析的相關洞察和不同案例的關鍵指標，包括客戶升級的案件數、平均結案時間、客戶滿意度評分等，以此作為改善與客戶互動的參考，或提供更多人手支援，進而提高客戶滿意度。</p> <p>該服務也與Tableau分析平臺整合，能將Tableau中內建的視覺化圖表整合到服務儀表板中來呈現，或是能直接從Tableau平臺中搜尋所需的資料。</p> <p>Salesforce未來計畫在Service Intelligence中推出更多智慧化互動功能，例如將推出Copilot for Service功能，可用自然語言向Einstein詢問智慧儀表板中的相關內容，還有能協助解決客訴問題的Einstein Studio功能等。</p> <p> </p> <p>圖片來源／微軟Azure</p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.微軟公布製作逼真虛擬化身的Azure AI工具</strong></p> <p><strong>2.Google雲端更新HPC工具包，加速AI和機器學習運算資源配置</strong></p> <p><strong>3.愛立信與紅帽合作，推出可以整合OpenShift平臺的Cloud RAN解決方案</strong></p> <p><strong>4.SAP HANA Cloud資料庫即服務現在已能夠在AWS Graviton處理器執行個體上執行</strong></p> <p><strong>資料來源：iThome整理，2023年11月</strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2023/11/23 10:54作者余至浩https://www.ithome.com.tw/news/159961
Rust 1.74強化套件註冊表認證安全，還在Cargo新增Lint配置選項
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>甫推出的<a href="https://blog.rust-lang.org/2023/11/16/Rust-1.74.0.html">Rust 1.74</a>，更新重點包括Cargo中新增了Lint配置選項，還在Cargo引入憑證提供者，以及經過認證的私有註冊表功能，強化了安全性，而在Rust新版本中，編譯器現在支援不透明回傳類型。同時，Rust也提升對Apple平臺作業系統的最低版本要求。</p> <p>Rust 1.74現在允許開發者在Cargo.toml檔案中，透過[lints]表格配置編譯器，和其他工具的Lint報告等級，諸如禁止、拒絕、警告和允許。這代表著開發者現在可以在套件清單中，直接指定Lint規則，不再需要透過可能會影響整個建置的RUSTFLAGS旗標，或是以Crate層級屬性設定。</p> <p>新方法提供開發者更為細緻的控制，並且可以在工作空間層級進行配置，然後由單一套件繼承。Cargo會追蹤配置的更改，並且決定需要重建的Crate。</p> <p>這個版本還新增了兩項和Cargo註冊表認證相關的安全功能，分別是憑證提供者，以及經過認證的私有註冊表。憑證提供者允許開發者配置Cargo以取得註冊表認證，支援Linux、macOS和Windows作業系統的安全密碼儲存，而且開發者也可以編寫自定義提供者，以儲存和產生令牌。官方表示，使用憑證提供者功能，可以減少註冊表令牌洩漏的風險。</p> <p>除此之外，註冊表現在可以選擇性地要求所有操作都需要進行認證，而不單只有發布操作而已。官方提到，這使得私有Cargo註冊表可以提供更加安全的Crate託管服務。不過要使用私有註冊表，則需要配置憑證提供者。</p> <p>在之前Rust編譯器並不允許在像是async fn和-> impl Trait等不透明回傳類型中，提及Self或是父作用域生命周期相關的關聯類型（Associated Type），官方提到，這樣的限制在特定情況，可能會讓造成程式碼編寫的困難。</p> <p>而在最新的Rust 1.74中，這個限制被移除，也就是在上述情況下，開發者已經可以使用Self和關聯類型，如此便提高了程式碼的表達能力和靈活性。該功能之前被標記為不穩定，但在官方解決相關問題，並且經過充分測試後，現在已經穩定。</p> <p>Rust 1.74版本還提高對Apple平臺最低版本的要求，現在最低作業系統支援版本為macOS 10.12 Sierra、iOS 10和tvOS 10。這三個版本都在2016年的時候首次推出，該更新代表使用Rust 1.74之後版本開發的應用程式，將不支援在這些版本之前的作業系統上運作。</p> </div></div></div>
2023/11/23 08:28作者李建興https://www.ithome.com.tw/news/159959
Stability AI推出可生成影片的模型Stable Video Diffusion
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Stability AI新模型<a href="https://stability.ai/news/stable-video-diffusion-open-ai-video-model">Stable Video Diffusion</a>是一個可接收使用者文字指令，生成影片和圖像的擴散模型。目前官方釋出預覽版供研究使用，程式碼已經在GitHub上公開，而執行模型所需要的權重，官方也公布在Hugging Face上。</p> <p>Stable Video Diffusion是第一個以Stable Diffusion模型作為基礎的影片生成模型，官方在其研究論文提到，近來研究人員在原本用於2D圖像生成的潛在擴散模型（Latent Diffusion Model，LDM），加入時間層，並且使用小型、高品質的影片資料集加以訓練，試圖將其改造成影片生成模型。</p> <p>而Stability AI這個最新的研究，則進一步定義出訓練影片LDM的三個階段，分別是文字到圖像的預訓練、影片預訓練，最後則是高品質影片的微調。研究人員強調，經過良好整理的預訓練資料集，對於產生高品質影片非常重要，甚至還提出一套包括標題製作和過濾策略的系統性整理流程。</p> <p>研究人員也展示了在高品質資料上微調基礎模型的影響，並訓練出能夠和閉源影片生成模型相匹敵的文字轉影片模型。Stable Video Diffusion還可用於圖像轉影片的生成任務，並且展現出強大的動作表示能力，且適用特定相機運動的LoRA模塊。</p> <p>目前Stability AI釋出兩個Stable Video Diffusion版本，分別是能夠生成14影格以及25影格的模型，用戶可以自訂每秒影格數在3到30之間。雖然高影格數的影片看起來更順暢，但是在目前的模型限制下，如要產生每秒達30影格數的影片，則兩個模型產生的影片長度皆會少於1秒鐘。</p> <p>不過，官方將這些基礎模型與其他閉源產品相比較，在用戶的偏好研究中，Stable Video Diffusion的表現都較目前市面上的產品還要好。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Graph%2BSVD%2Bv%2BCompetition0.jpg" style="width: 580px;" /></p> </div></div></div>
2023/11/23 08:49作者李建興https://www.ithome.com.tw/news/159960
【資安日報】11月22日，勒索軟體Phobos打著資安社群的名義，鎖定Windows電腦發動攻擊，聲稱受害者復原檔案要…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">勒索軟體攻擊事故頻傳，在本日的新聞當中，就有3起這種型態的資安事故，其中，最值得留意的部分，是駭客聲稱自己是某個知名資安組織的情況，顯然是為了抹黑他們，意圖挑撥、分化整個社群，削弱整體防禦力量。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">值得留意的是，這些駭客犯案的過程中，不僅盜用該組織的名稱，還大肆透過勒索訊息進行嘲笑，甚至是要求受害者購買該資安組織撰寫的書籍。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【攻擊與威脅】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/vx-underground-malware-collective-framed-by-phobos-ransomware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Phobos鎖定資安社群VX-Underground而來</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/F_YhvgQXMAAu5qg.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/F_YhvgQXMAAu5qg.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，資安入口網站PCrisk的研究人員發現勒索軟體Phobos的變種，但值得留意的是，這些駭客假冒資安研究社群VX-Underground的名義行兇，一旦電腦感染此勒索軟體、檔案被加密之後，副檔名會被改為帶有VXUG（該社群名稱縮寫）的特定字串。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">而對於駭客留下的勒索訊息，Bleeping Computer取得勒索軟體進行分析，發現有2種型式的檔案，其中一種是純文字檔案，並強調解密密碼並非「infected」（研究人員打包惡意程式樣本所使用的密碼）；另一種是HTML應用程式檔案（HTA），檔案名稱提及要求購買VX-Underground著作Black Mass。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資料來源</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">1. <a href="https://twitter.com/pcrisk/status/1726482750704619786">https://twitter.com/pcrisk/status/1726482750704619786</a><br /> 2. <a href="https://twitter.com/vxunderground/status/1726604821242040407">https://twitter.com/vxunderground/status/1726604821242040407</a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://adlumin.com/post/playcrypt-ransomware-as-a-service-expands-threat-from-script-kiddies-and-sophisticated-attackers/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客組織Play將其工具提供出租，吸引更多打手加入</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資安業者Adlumin披露勒索軟體Play（亦稱PlayCrypt）近期的動態，他們發現該組織已發展出攻擊工具租用的服務（RaaS）。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">使用此勒索軟體的駭客似乎依照該組織提供的操作指南，按部就班發動攻擊，所有的攻擊行動幾乎採用相同的策略、技巧、流程（TTP），其中一種是使用電腦共用的音樂資料夾來隱匿檔案，另一個則是採用幾乎相同的密碼建立高權限帳號。研究人員之所以發現這項趨勢，起因是過往該駭客組織主要的攻擊目標是政府機關，但今年8月起，該勒索軟體的攻擊行動竟突然擴及不同的產業，而且，這些駭客都使用相同的TTP，導致這些攻擊行動的入侵指標（IOC），彼此之間幾乎無法區分。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">為何會出現這樣的轉變？研究人員認為，該組織可能吸引不少「只會套用腳本的新手（Script Kids）」買單，這些人是花錢買兇、租用此勒索軟體從事攻擊行動，而非本身熟悉或能自行開創攻擊技術的專家。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://twitter.com/AlvieriD/status/1726125990319960262"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國NASA、空中巴士合作夥伴Autonomous Flight Technologies遭勒索軟體駭客BlackCat鎖定</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資安人員Dominic Alvieri透露，勒索軟體駭客組織BlackCat聲稱入侵無人機系統製造商Autonomous Flight Technologies（AFT），很可能將竊得的資料賣到美國國外。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">值得留意的是，該公司與美國太空總署（NASA）、空中巴士、諾斯洛普格魯曼（Northrop Grumman）等業界龍頭，合作關係相當密切，這起事故造成的後續效應有待觀察。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://blogs.vmware.com/security/2023/11/netsupport-rat-the-rat-king-returns.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">木馬程式NetSupport RAT鎖定政府機關、企業組織而來</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/NetSupportRAT_Figure-1-Chrome-NSR.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/NetSupportRAT_Figure-1-Chrome-NSR.png" style="width: 300px; float: right;" /></a>VMware旗下的威脅情報團隊揭露近期NetSupport RAT木馬程式的攻擊行動，研究人員在最近幾個星期裡，觀察到超過15起與此有關的資安事故，大部分受害者來自教育機構、政府機關、商業服務單位。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">駭客架設瀏覽器更新的冒牌網站，並引誘使用者上當，一旦依照指示按下網站上的更新按鈕，電腦就會觸發網站當中的PHP指令碼，繼而下載JavaScript惡意酬載。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">此JavaScript指令碼會與C2網站建立連線，然後呼叫PowerShell執行受到混淆處理的命令，從另一個網域下載Base64編碼處理的資料，並在記憶體內進行解碼，還原成名為p.zip的壓縮檔，其內容就是NetSupport RAT的有效酬載。駭客將其部署於受害電腦，從而進行控制。</p>  <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://news.cts.com.tw/cts/general/202311/202311212254630.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中心綜合醫院傳出掛號系統無法使用、預約資料消失，疑遭網路攻擊所致</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">根據華視新聞的報導，位於臺北市東區的中心綜合醫院，傳出在11月18日遭到惡意人士發動的網路攻擊，導致民眾看診無論是否有事先預約，都必須依照醫護人員的指示進行現場掛號，透過人工作業的方式進行。有人從掛號到領藥，就耗費超過2個小時，院內多處張貼相關的公告，指出他們的預約系統資料發生遺失的情況。醫院工作人員透露，原因是掛號系統系統異常，先前掛號都要重新登記。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">中心綜合醫院公共關係組組長孫平社證實系統當機的情況，並指出事件於18日發生，他們與合作廠商陽明科技著手搶修掛號系統，20日約有半數恢復，但當日晚間該系統又出現病毒感染的情況。至於病人個資是否遭到外洩？中心綜合醫院、陽明資訊並未正面回應。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">針對此事我們也向中心綜合醫院進行確認，孫平社表示22日大部分系統已恢復正常運作，而對於資料外洩的疑慮，她表示涉及資訊專業，不便說明。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://info.liontravel.com/category/zh-tw/notice/index?fr=cg8613C0301M01"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">旅遊業者雄獅證實遭遇網路攻擊事件，客戶採購資訊外流，但不含信用卡資料</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">國內旅行社龍頭雄獅11月20日傳出遭到網路攻擊，根據該公司網站的公告指出，他們單天凌晨偵測到攻擊行動，不明人士入侵其網路環境，他們啟動資安防禦機制進行事件回應作業，並向主管機關及檢調單位進行通報。該公司著手調查後，發現攻擊者存取的資料包含客戶姓名、聯絡方式、購買商品內容，但不含信用卡等機敏資料。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">他們也透過簡訊、電話語音、網站、電子郵件等方式對客戶進行呼籲，這起資安事故可能會帶來後續的網路詐騙攻擊，強調該公司及旅遊商品供應商不會透過電話要求提供信用卡資料、要求ATM轉帳，或是因為訂單錯誤、重覆交易要求提供帳戶資料。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=172115&SPOKE_DATE=20231120&COMPANY_ID=2731">同日傍晚雄獅也於股市公開觀測站發布重大訊息</a>，指出這起攻擊事故並未對公司營運造成重大影響。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.judicial.gov.tw/tw/cp-1693-987065-7321a-1.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">司法院針對判決資料外洩事故做出新的說明</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/1qmprtp0dsfe1bkgfhv92rkevtvt.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/1qmprtp0dsfe1bkgfhv92rkevtvt.jpg" style="width: 300px; float: right;" /></a>11月13日民報披露司法院內部電腦遭駭，司法院回應遭駭主機不提供民眾註冊、不儲存裁判書，也沒有內網密碼及判決書遭到公開的情況。21日該媒體提出新事證，<a href="https://www.peoplenews.tw/articles/90b5966efe">他們公布目前掌握的資料</a>，指出遭駭電腦不僅曝露管理員密碼，外流的判決書含有未成年子女的姓名。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">對此司法部坦承，他們再度檢視外洩資料發現，部分案件的主文公告含有裁判書理由內容，有些主文公告也含有個資，他們找到923件外洩<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">個資</span><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">，將儘速請各法院進行確認，並根據個資法通知個資所有人。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【資安防禦措施】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://taiwan.googleblog.com/2023/11/googleorg.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">支持資安院啟動臺灣資安計畫，Google資助1百萬美元</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/NICS Cybersecurity Grant with Support from dot Org.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NICS%20Cybersecurity%20Grant%20with%20Support%20from%20dot%20Org.jpg" style="width: 300px; float: right;" /></a></p> <p>Google旗下的慈善組織Google.org將挹注1百萬美元，支持國家資通安全研究院（NICS）啟動的NICS臺灣資安計畫。</p> <p>此計畫由資安院規畫執行，區分為下列三大階段：</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">（一）調查、研究臺灣資安領域的需求；<br /> （二）建立教材、訓練種子講師與諮詢團隊；<br /> （三）替資源有限的中小微型企業與非營利組織盤點資源、培訓人員，並提供實地輔導。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資安院的目標，是在2年內製作出指引報告、觸及3千個組織，持續製作教材、培育50位種子講師，並且訓練200位學生成為諮詢人員，協助我國3千間以上中小微型企業、非營利組織強化資安防護。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【其他新聞】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.securityweek.com/sumo-logic-completes-investigation-into-recent-security-breach/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">SIEM廠商Sumo Logic針對月初的資安事故進行調查，強調客戶資料不受影響</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.documentcloud.org/documents/24173151-az_individual-notice-letter-sample"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">汽車零件經銷商AutoZone遭遇MOVEit Transfer漏洞攻擊，18萬人個資外洩</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/hacktivists-breach-us-nuclear-research-lab-steal-employee-data/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織聲稱入侵美國核子研究實驗室，竊得數十萬員工個資</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://unit42.paloaltonetworks.com/two-campaigns-by-north-korea-bad-actors-target-job-hunters/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">北韓駭客冒充徵才者、求職者，騙取經濟利益</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.eff.org/deeplinks/2023/11/low-budget-should-not-mean-high-risk-kids-tablet-came-preloaded-sketchyware"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Dragon Touch廉價平板電腦暗藏惡意軟體Corejava</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>近期資安日報</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159939"><strong>【11月21日】中國駭客組織Mustang Panda鎖定東南亞發動數起網釣攻擊，起因疑與8月發生的菲律賓海上軍事衝突有關</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159921"><strong>【11月20日】駭客近半年散布逾30款惡意PyPI套件，利用PNG圖檔埋藏攻擊意圖，美國、中國、法國皆有開發者受害</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159893"><strong>【11月17日】針對代管Exchange業務遭遇勒索軟體攻擊事故，雲端服務業者Rackspace透露損失估計500萬美元</strong></a></p> </div></div></div>
2023/11/22 17:18作者周峻佑https://www.ithome.com.tw/news/159948
Nvidia季報出爐，營收成長2倍，獲利成長12倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://nvidianews.nvidia.com/news/nvidia-announces-financial-results-for-third-quarter-fiscal-2024" target="_blank">Nvidia周二（11/21）公布</a>截至10月29日的2024財年第三季財報，該季Nvidia創下181.2億美元的營收，比去年同期成長206%，主要的驅動力為資料中心，該季的資料中心營收為145.1億美元，成長279%，季營收與資料中心營收雙雙創下Nvidia的新紀錄。</p> <p>181.2億美元的營收中，有145.1億美元來自資料中心，占Nvidia總營收的80%，遊戲營收為28.6億美元，成長81%，專業視覺化營收為4.16億美元，成長108%，汽車營收為2.61億美元，成長4%。除了營收創紀錄之外，該季Nvidia的淨收入達到92.4億美元，成長1,259%，每股盈餘為3.71美元，成長1,274%。</p> <p>Nvidia執行長黃仁勳表示，該公司的強勁成長反映出廣泛的產業平臺正從通用目的轉移到加速運算與生成式AI，包括大型語言模型、消費者網路公司，以及全球雲端服務供應商都是首批先行者，而下一波的浪潮也正在形成。國家與區域性的內容服務供應商正在投資AI雲端以迎合地區性的需求，企業軟體公司正於平臺上添增AI副手與助理，企業也正在建置客製化AI以自動化全球的各大產業。</p> <p>黃仁勳指出，不管是Nvidia的GPU、CPU、網路、AI代工服務或是AI企業軟體都在全速成長，生成式AI的時代正在起飛。</p> </div></div></div>
2023/11/22 14:26作者陳曉莉https://www.ithome.com.tw/news/159947
幣安與趙長鵬認了洗錢，趙長鵬卸下執行長職位
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大加密貨幣交易平臺幣安（Binance）與該平臺的創辦人暨執行長趙長鵬（Changpeng Zhao，CZ）周二（11/21）<a href="https://www.justice.gov/opa/pr/binance-and-ceo-plead-guilty-federal-charges-4b-resolution" target="_blank">承認參與了洗錢活動</a>，其中，幣安同意支付超過40億美元的罰款，而CZ則以高達1.75億美元的保釋金獲釋，預計於明年2月舉行量刑聽證會，同時CZ也宣布辭去幣安執行長一職，由幣安全球區域市場負責人Richard Teng接任。</p> <p>美國司法部指出，2017年上線的幣安為全球最大的加密貨幣交易平臺，主要的客戶來自美國，因此被要求向金融犯罪執法局（Financial Crimes Enforcement Network，FinCEN）註冊，亦必須實施有效的反洗錢計畫，然而，幣安為了規避相關法令，選擇單獨針對美國用戶發表Binance.US，但主要平臺還是擁有大批的美國用戶，且為了留住特別有價值的VIP用戶，還主動聯繫他們，提供於離岸建立新帳號的資訊，以及鼓勵他們提供並非落腳美國的資訊。</p> <p>此外，幣安也未能確實履行反洗錢（Anti-Money Laundering，ALM）計畫，包括沒有全面實施「了解你的客戶」（Know Your Customer，KYC）規定，也未能系統性地監控交易，且幣安從未向FinCEN提交過任何的可疑活動報告（Suspicious Activity Report，SAR）。</p> <p>調查顯示，即使幣安自2021年8月開始要求所有用戶提供KYC規定，但直至2022年的5月，依然允許未符合的用戶繼續交易。自2017年8月到2022年10月間，美國用戶透過該平臺執行了數兆美元的交易，替幣安帶來逾16億美元的利潤。</p> <p>調查也發現幣安無視美國的制裁，依舊允許遭到美國制裁的國家與美國用戶交易，在2018年1月至2022年5月間，美國用戶與伊朗用戶之間的交易量就超過9.89億美元。</p> <p>幣安承認該公司將成長與獲利置於美國法令之上，同意美國沒收逾25億美元的不法所得，也願意支付18億美元的罰款，以解決司法部對幣安違反《銀行保密法》（Bank Secrecy Act，BSA）、未註冊匯款業務，以及國際緊急經濟權力法（International Emergency Economic Powers Act，IEEPA）的調查。</p> <p>至於身為加拿大公民的趙長鵬則承認未能維持有效的反洗錢計畫，違反BSA，也宣布辭去幣安執行長一職。</p> <p><a href="https://www.binance.com/en/blog/leadership/binance-announcement-reaching-resolution-with-us-regulators-2904832835382364558" target="_blank">幣安</a>與<a href="https://twitter.com/cz_binance/status/1727063503125766367" target="_blank">趙長鵬</a>都在同一天發出了聲明，坦承犯了錯誤，但強調美國司法部並未指控幣安挪用任何用戶的資金，也未指控幣安從事任何市場操縱，該公司從未動搖過堅持使用者的核心價值觀，替每一個用戶的資產提供一比一的支援，意味著使用者隨時可以自平臺上提取100%的資產。</p> <p>由於接下執行長職務的Teng擁有30年的金融服務與監管經驗，曾擔任阿布達比全球市場（ADGM）金融服務監管局執行長、新加坡交易所（Singapore Exchange）的監管長，以及新加坡金融管理局的企業融資總監，再加上現在除了KYC與IP封鎖之外，幣安亦藉由第三方工具以自動實施各國制裁規定，幣安已承諾未來將成為執法部門打擊全球非法金融活動最重要的全球合作夥伴之一。</p> <p>至於趙長鵬則說他想好好休息一下，未來可能參與被動投資，應該不會再讓自己成為新創的執行長了。</p> </div></div></div>
2023/11/22 14:12作者陳曉莉https://www.ithome.com.tw/news/159946
三星英國分公司第三方應用漏洞被駭，致客戶資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三星英國分公司（Samsung UK）稍早證實，由於使用的第三方網站軟體漏洞遭駭，導致部分顧客個資遭到竊取，成為今年第三起資料外洩事件。</p> <p>上周四<a href="https://twitter.com/troyhunt/status/1724900059639324804" target="_blank">有英國三星產品用戶反映</a>接到<a href="https://forums.androidcentral.com/threads/samsung-uk-hacked.1062339/" target="_blank">通知</a>，告知一起資安事件影響其個人資料。三星指出，11月13日，該公司使用的第三方公司商務程式的漏洞遭非經授權用戶濫用，以致2019年7月1日到2020年6月30日之間，在SEUK電子商務平臺eCommerce網站上購物的特定客戶部分個資遭到存取。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1122-samsung%20breach%20by%20Michael%20Valentine%20on%20X.png" style="width: 384px;" /></p> <p><a href="https://twitter.com/troyhunt/status/1724900059639324804" target="_blank"><span style="font-size:14px;">圖片來源_Michael Valentine on X</span></a></p> <p>三星一經發現異常已經暫停受影響應用程式的運作，並釐清事件起因以及受影響的資料範圍。經過調查，受影響的客戶個資包括姓名、電話、地址和電子郵件信箱。</p> <p>三星對<a href="https://www.techradar.com/pro/security/samsung-warns-some-customers-their-data-may-have-been-stolen-by-hackers" target="_blank">美國媒體</a>證實此事，並表示美國公司及用戶不受影響。但三星並未說明是何種第三方應用程式遭駭。</p> <p>三星已經新增資安技術措施，包括修補軟體漏洞，也通報英國資訊委員會辦公室。三星呼籲用戶留意近日詢問個資的聯繫，並避免點擊陌生連結和附件，以免遭網釣或惡意程式攻擊。</p> <p>這是三星今年第三度遭遇網路攻擊。前二次分別是<a href="https://www.ithome.com.tw/news/149739" target="_blank">3月間</a>的Lapsus$組織駭入其內部網路，取得Galaxy裝置程式碼及一些安全加密演算法，以及<a href="http://www.ithome.com.tw/news/152879" target="_blank">7</a><a href="https://www.ithome.com.tw/news/152879" target="_blank">月間</a>美國三星遭駭致數量不詳的客戶個資外洩。</p> </div></div></div>
2023/11/22 12:43作者林妍溱https://www.ithome.com.tw/news/159944
微軟鬆綁Windows 11內建搜尋，歐盟地區可開始使用Google等搜尋引擎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在歐盟壓力下，<a href="https://blogs.windows.com/windows-insider/2023/11/16/previewing-changes-in-windows-to-comply-with-the-digital-markets-act-in-the-european-economic-area/" target="_blank">微軟本周宣布</a>，提供新措施允許歐盟用戶在Windows 11搜尋中，使用Google等競爭搜尋引擎來搜尋網際網路。</p> <p>Windows搜尋預設是使用Bing搜尋引擎來搜尋網頁內容。但透過最新Windows 11 23H2 Build 22631.2787，歐洲經濟區（EEA）的用戶可以設定讓Windows 搜尋使用其他搜尋引擎進行搜尋。微軟表示，最新版本Windows即將在未來幾個星期中，透過Release Preview頻道部署給用戶。</p> <p>這是繼<a href="https://www.ithome.com.tw/news/158616" target="_blank">9月份微軟以預覽版</a>允許歐洲經濟區的Windows 11用戶，在Windows Widget中使用競爭搜尋引擎擴大鬆綁的新措施。微軟是在歐盟數位市場法（Digital Markets Act）下，被迫鬆綁Windows和搜尋。微軟會在2024年3月6日以前完成Windows 10 22H2及Window 11 23H2 PC的合規。</p> <p><a href="https://learn.microsoft.com/en-us/windows/apps/develop/search/search-providers" target="_blank">微軟說明</a>，Windows搜尋和搜尋引擎的整合，方法是建立MSIX套件資訊清單（package manifest），以便向OS註冊搜尋引擎。使用者可以從Microsoft Store下載安裝相關的App套件新增第三方搜尋引擎，如Google、DuckDuckGo，之後若想移除，可以透過「Windows設定」App中的「新增或移除程式」頁將之移除。</p> <p>微軟之前已允許所有Windows 11用戶移除Camera、Cortana、Photos App。歐洲經濟區用戶則還可以移除Bing網頁搜尋及Edge瀏覽器。</p> </div></div></div>
2023/11/22 13:10作者林妍溱https://www.ithome.com.tw/news/159945
Google雲端在Compute Engine VM添加自定義佇列功能大幅增強網路效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端允許用戶在Compute Engine虛擬機器上的虛擬網路介面卡， <a href="https://cloud.google.com/blog/products/compute/boost-your-vm-with-virtual-network-interfaces">自定義佇列（Custom Queues）</a>的數量來最大化網路效能，進一步滿足高頻寬和大流量工作負載的網路效能需求。藉由自定義佇列，用戶不用增加額外的成本，便可以改善高流量應用的效能。</p> <p>過去虛擬網路介面卡分配固定數量網路佇列的機制，限制了每個虛擬網路介面卡可以使用的佇列數量，而可能對工作負載的效能產生影響，Google舉例，像是擁有8個虛擬網路介面卡的standard-128虛擬機器，每個虛擬網路介面卡只能擁有8個佇列，而這僅是虛擬機器可用最大佇列數量的一半。</p> <p>這樣的情況迫使使用者需要垂直擴展選擇更大的虛擬機器，或是減少虛擬網路介面卡的數量，以確保每個虛擬網路介面卡能夠使用夠多的佇列，但這兩種選擇不只無法讓服務良好地擴展，還會額外增加成本。</p> <p>而現在Google雲端提供新的選擇，是允許用戶對每個虛擬網路介面卡設定自定義佇列，根據不同的虛擬網路介面卡的驅動程式類型，手動設定最大數量的網路佇列。使用virtIO時，最大佇列數量可達32，而使用gVNIC的時候最多則為16個。</p> <p>該新功能有助於提升高頻寬應用程式，或是需要處理大流量的人工智慧工作負載效能，這項功能可最大化網路效能，供用戶更好地利用資源，虛擬機器的效能也會因為自定義佇列而改善，而且虛擬機器可以在保持網路效能的同時更好地擴展。</p> <p>自定義佇列功能已包含在第一層（Tier_1）高頻寬網路和第二代Google Compute Engine虛擬機器中，無需額外費用即可使用。結合自定義佇列與佇列超訂（Oversubscription）兩功能，虛擬機器更可獲得顯著的彈性和效能提升。</p> <p>當用戶使用gVNIC驅動程式類型的N2、N2D、C2或C2D虛擬機器，並且啟用第一層網路，用戶便可以使用佇列超訂，現在不只可替一個虛擬網路介面卡分配16個網路佇列，還能夠對所有虛擬網路介面卡都分配16個網路佇列，使虛擬網路介面卡上的佇列數量可以超過虛擬機器vCPU的數量。</p> <p>在佇列超訂的情況下，每個虛擬機器的總佇列數量將會是虛擬網路介面卡數量的16倍，賦予網路密集型應用提供高吞吐量能力。官方提到，在基準測試中使用預設佇列分配，網路虛擬設備僅能實現其宣稱吞吐量的50％，而藉由自定義佇列與佇列超訂，吞吐量便可達到接近飽和。</p> </div></div></div>
2023/11/22 11:21作者李建興https://www.ithome.com.tw/news/159942
Anthropic釋出Claude 2.1，脈絡長度達20萬個Token
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI的競爭對手<a href="https://www.anthropic.com/index/claude-2-1" target="_blank">Anthropic周二（11/21）釋出了Claude 2.1模型</a>，包括API與聊天服務claude.ai 都開始採用新模型。Claude 2.1所支援的脈絡長度多達20萬個Token，改善了準確度，開始測試讓Claude整合其它工具，也推出了系統提示（System Prompt）功能。</p> <p>脈絡長度指的是模型在生成答案時所參考的資料範圍，涵蓋使用者曾輸入的文字或模型曾產生的答案，以讓模型得以持續給出相關的答案，亦支援更大的資料輸入。Claude 2.1所支援的20萬個Token脈絡不僅是Claude 2.0的兩倍，也已凌駕OpenAI GPT-4 Turbo的12.8萬個Token，相當於15萬個文字或是500頁的文件。</p> <p>Anthropic表示，自從Claude聊天服務在今年上線後，便有數百萬名使用者利用它來翻譯學術報告、起草商業計畫或是分析複雜的合約，許多使用者在處理龐大文件時，想要有更長的脈絡與更精確的輸出，使得Anthropic決定將脈絡長度擴大一倍。</p> <p>透過新的Claude 2.1，使用者可以輸入大量的內容或資料，以執行摘錄、Q&A、趨勢分析，或是比較多個不同的文件等。</p> <p>而在準確度上，Claude 2.1的虛假陳述只有Claude 2.0的一半，另也改善了對內容的理解與摘錄，特別是法律文件、財報與技術規格等需要高準確度的龐雜內容，出現錯誤答案的比例減少了30%，對於支持特定聲明的文件所產生的錯誤結論更減少了3~4倍。</p> <p>Claude 2.1亦可整合特定的工具以彌補模型的不足，例如整合計算機，或是將自然語言請求換成結構性的API呼叫，也能要求模型透過資料庫或網路搜尋來回答問題，也能連結至產品資料集來提出購買建議。唯此一功能目前仍處於早期開發階段。</p> <p>至於系統提示則是大型語言模型的常見功能，它可在使用者輸入提示前先設定模型的系統提示，例如告訴模型以特定角色或是一致的方式產生回應。</p> <p>Claude 2.1亦支援免費AI聊天服務，而其付費版的價格是輸入每100萬個Token為8美元，輸出每100萬個Token為24美元，而GPT-4 Turbo的價格則分別是10美元與30美元。</p> </div></div></div>
2023/11/22 11:40作者陳曉莉https://www.ithome.com.tw/news/159943
【資安日報】11月21日，中國駭客組織Mustang Panda鎖定東南亞發動數起網釣攻擊，起因疑與8月發生的菲律賓海…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">今年上半，中國駭客組織Mustang Panda的攻擊行動頻傳，這些駭客著眼的目標與烏克蘭戰爭有關，大多是對於曾經協助該國的歐洲國家下手。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">但到了下半年，這些駭客開始轉換目標，再度把攻擊聚焦在先前曾鎖定的東南亞國家。例如，發生在8月的攻擊行動，就是針對東南亞國家而來，研究人員推測，這波攻擊主要是與菲律賓之間的衝突有關。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【攻擊與威脅】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://unit42.paloaltonetworks.com/stately-taurus-targets-philippines-government-cyberespionage/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客組織Mustang Panda鎖定東南亞國家軍事單位下手，主要可能是針對菲律賓而來</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">上週資安業者Palo Alto Networks揭露新的攻擊，中國駭客組織Mustang Panda（亦稱Earth Preta、Red Delta、Stately Taurus）發起3次行動，時間就在今年的8月。這些攻擊的主要目標，是包含菲律賓政府在內的南太平洋組織，駭客假借提供Solid PDF Creator、印尼防毒軟體Smadav的名義，藉由這些應用程式來側載惡意軟體，此外，為了隱匿行蹤，駭客還會偽裝連線C2的流量來源，企圖讓用戶以為是從微軟連入。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">這些攻擊行動的流程相當類似，研究人員都是看到駭客先將惡意檔案儲存於雲端服務，然後引誘使用者點選連結，下載惡意ZIP壓縮檔。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">由於這些攻擊發生的時間，正好發生中國海警對菲律賓海岸警衛隊（PCG）的船隻發射水砲的事件，研究人員推測，上述的攻擊事件至少有一起是針對菲律賓政府而來。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://outpost24.com/blog/lummac2-anti-sandbox-technique-trigonometry-human-detection/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊資軟體Lumma測量滑鼠移動的軌跡，判斷是否在沙箱環境運作，以此躲避偵測</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/image19-Unveiling-LummaC2-stealer-v2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image19-Unveiling-LummaC2-stealer-v2.png" style="width: 300px; float: right;" /></a>資安業者Outpost24揭露竊資軟體Lumma（亦稱LummaC2）近期的攻擊行動，研究人員取得最新的Lumma Stealer 4.0版進行分析，發現這些駭客運用了極為複雜的手法迴避偵測，當中的伎倆，包含：控制流程的扁平化混淆（Control Flow Flattening Obfuscation）、真人操作滑鼠行為的偵測、XOR加密、支援動態的組態檔案等。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">其中最為特殊的是偵測使用者操作滑鼠的行為，駭客為了確認此惡意程式是否在研究人員的沙箱環境執行，他們利用三角學（Trigonometry）來追蹤滑鼠游標的位置，以50毫秒的間隔記錄5個位置，然後透過歐幾里得向量（Euclidean Vector）進行計算，若是得出的角度低於45度，才會認定是人類操作的行為，執行該竊資軟體。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="http://www.trendmicro.com/en_us/research/23/k/cve-2023-46604-exploited-by-kinsing.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Kinsing鎖定訊息導向中介軟體ActiveMQ重大漏洞，部署挖礦程式、Rootkit</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">10月底訊息導向中介軟體ActiveMQ公告修補漏洞CVE-2023-46604，其CVSS風險高達10分，同時，因為其造成的影響可能相當廣泛而引起注意，前一段時間傳出有人將其用於發動勒索軟體HelloKitty（亦稱Five Hand）、TellYouThePass，如今又有其他駭客跟進。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資安業者趨勢科技發現，使用惡意軟體Kinsing的駭客近期也鎖定這項漏洞而來，對於存在漏洞的ActiveMQ伺服器發動攻擊。駭客利用名為ProcessBuilder的函式方法，於目標系統執行命令，從而利用漏洞進行入侵，下載Kinsing並執行。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">該惡意程式同樣利用ProcessBuilder來執行惡意bash指令碼，下載額外的酬載，並建立系統層級的處理程序，研究人員指出，駭客這麼做的目的，不只能夠迴避偵測，還能執行複雜的命令或是指令碼。此外，在啟動挖礦工具之前，Kinsing會終止相關處理程序、crontab、網路連線，避免其他駭客占用運算資源。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.rnbo.gov.ua/files/2023_YEAR/CYBERCENTER/november/APT29%20attacks%20Embassies%20using%20CVE-2023-38831%20-%20report%20en.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歐洲多個國家的大使館遭到網路攻擊，兇手是俄羅斯駭客APT29，他們發動WinRAR漏洞攻擊</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/APT29_DIPLOMATIC-CAR-FOR-SALE-BMW_lure.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/APT29_DIPLOMATIC-CAR-FOR-SALE-BMW_lure.jpg" style="width: 300px; float: right;" /></a>烏克蘭國家安全暨防禦委員會（NDSC）提出警告，俄羅斯駭客組織APT29（亦稱Cozy Bear、Nobelium）使用惡意的ZIP壓縮檔，針對多個歐洲國家，包括：亞塞拜然、希臘、羅馬尼亞、義大利。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">其中，在5月鎖定烏克蘭外交官的攻擊行動裡，對方利用BMW汽車廣告做為誘餌，一旦收信人開啟附件，就有可能觸發HTML走私（HTML Smuggling）行動，於受害電腦植入帶有惡意酬載的ISO映像檔。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">而在最近的攻擊行動裡，駭客統合原本的手法及新的技術，濫用應用程式交付平臺Ngrok提供的免費靜態網域功能，來架設C2伺服器，然後，他們也在惡意壓縮檔運用了WinRAR漏洞CVE-2023-38831（CVSS風險評分為7.8）。NDSC認為，這些駭客的攻擊行動之所以受到矚目，原因是同時使用舊的誘餌，並導入新的攻擊手段。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://nsfocusglobal.com/the-new-apt-group-darkcasino-and-the-global-surge-in-winrar-0-day-exploits/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織DarkCasino利用WinRAR漏洞發動攻擊，目標鎖定加密貨幣用戶</span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/DarkCasino-4_2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DarkCasino-4_2.jpg" style="width: 300px; float: right;" /></a>資安業者Nsfocus揭露駭客組織DarkCasino近期的攻擊行動，這些駭客擅長將其他組織的手法融入攻擊行動，像是他們曾經模仿另一個駭客組織Evilnum的攻擊手法。但從今年4月，DarkCasino改變其攻擊手法，鎖定全球加密貨幣用戶，其中包含了韓國、越南等非英語系的亞洲國家。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">這些駭客利用了WinRAR零時差漏洞CVE-2023-38831（CVSS風險評分為7.8），意圖對攻擊目標散布木馬程式DarkMe，從而在電腦收集系統資訊、截取螢幕截圖、竄改機碼、執行CMD命令。駭客假借提供賺錢技巧、投資加密貨幣建議等資訊，意圖引誘使用者上當，開啟壓縮檔的內容。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">研究人員調查過程中發現，多個駭客組織也利用這項漏洞發動攻擊，包含東南亞駭客組織DarkPink、東亞<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">駭客</span>組織Konni、東歐<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">駭客</span>組織GhostWriter，分別針對越南和馬來西亞政府機關、韓國加密貨幣產業、烏克蘭國防及教育機構出手。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【漏洞與修補】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.securityweek.com/johnson-controls-patches-critical-vulnerability-in-industrial-refrigeration-products/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">江森自控修補工業冷凍系統的嚴重漏洞</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月9日江森自控（Johnson Controls）發布資安公告，指出旗下的工業冷凍系統存在CVE-2023-4804，攻擊者有可能利用這項漏洞，導致除錯功能意外曝露，而能夠在未經授權的情況下存取，影響Quantum HD Unity多項元件，包含壓縮機、AcuAir、冷凝器的主控臺，CVSS風險評為10分。美國網路安全暨基礎設施安全局（CISA）也發布警告，呼籲企業組織應儘速修補。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">漏洞成因相當複雜，很有可能是更為深層的軟體供應鏈問題。由於這個工業冷凍系統產品線是併購而來，相關漏洞有可能是最初的開發商所留下。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">根據資安新聞網站SecurityWeek報導，揭露此漏洞的研究人員指出，Johnson Controls耗費半年才發布更新程式，因為他們發現影響比原先預期來得廣泛。該公司並非不重視資安，他們規畫完善的漏洞揭露流程，並組成產品安全團隊，在工業控制系統及SCADA業者來說算是相當領先，但還是花了很多時間才完成修補。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資料來源</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">1. <a href="https://www.johnsoncontrols.com/-/media/jci/cyber-solutions/product-security-advisories/2023/jci-psa-2023-09.pdf?la=en&hash=3A4A98244141122D9019B5EAF3B58314DAA63E4D">https://www.johnsoncontrols.com/-/media/jci/cyber-solutions/product-security-advisories/2023/jci-psa-2023-09.pdf?la=en&hash=3A4A98244141122D9019B5EAF3B58314DAA63E4D</a><br /> 2. <a href="https://www.cisa.gov/news-events/ics-advisories/icsa-23-313-01">https://www.cisa.gov/news-events/ics-advisories/icsa-23-313-01</a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【其他新聞】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.setn.com/News.aspx?NewsID=1386417"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">雄獅、中石化、泰山傳遭駭客攻擊，引起政府重視</span></span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/rhysida-ransomware-gang-claims-british-library-cyberattack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體Rhysida聲稱是大英圖書館網路攻擊的幕後黑手</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/vx-underground-malware-collective-framed-by-phobos-ransomware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體Phobos鎖定資安社群VX-Underground而來</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://abnormalsecurity.com/blog/attackers-exploit-middle-east-crisis-solicit-cryptocurrency-donations"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客假借以巴衝突的名義，謊稱為災民募款進行詐騙</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.sentinelone.com/labs/elephant-hunting-inside-an-indian-hack-for-hire-group/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露印度僱庸駭客組織Appin Software Security</span></span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>近期資安日報</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159921"><strong>【11月20日】駭客近半年散布逾30款惡意PyPI套件，利用PNG圖檔埋藏攻擊意圖，美國、中國、法國皆有開發者受害</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159893"><strong>【11月17日】針對代管Exchange業務遭遇勒索軟體攻擊事故，雲端服務業者Rackspace透露損失估計500萬美元</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159875"><strong>【11月16日】殭屍網路OracleIV、Ddostf分別鎖定Docker環境、MySQL伺服器而來，將其用於發動DDoS攻擊</strong></a></p> </div></div></div>
2023/11/21 18:18作者周峻佑https://www.ithome.com.tw/news/159939
直用最新CPU、GPU、AI加速晶片進行測試，英特爾雲服務上線
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/intel_developer_cloud_console-3-main.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾年來，伺服器CPU、GPU、加速運算卡推陳出新的速度加快，然而，受限於晶片本身的產能短缺，系統廠商設計製造相關產品的市場獲利考量，以及雲端業者將這些運算平臺轉為可營運的執行個體服務，需要投入時間、人力進行規畫等因素，最終用戶要能實際接觸到這些新產品，進行測試、評估、驗證，可能要等上一年半載。</p> <p>因應這方面的需求，處理器廠商英特爾在2019年，推出雲端硬體部署測試平臺<a href="https://www.intel.com/content/www/us/en/developer/tools/devcloud/edge/overview.html">Intel DevCloud for the Edge</a>，企業透過這個涵蓋英特爾旗下多款CPU、整合GPU、獨立GPU、VPU、FPGA等運算平臺的環境，可在此開發與測試基於OpenVINO Toolkit與其他軟體工具而成、用於邊緣運算工作負載的程式碼。</p> <p>2021年10月Innovation大會期間，該公司設立開發者專區，統合了開發者軟體型錄、DevCloud開發環境；隔年9月Innovation大會期間，英特爾宣布擴充Intel Developer Cloud，將會供應多款硬體平臺，作為這些產品上市之前的系統開發與測試之用，並開放部分開發者與合作廠商進行試用，使他們能更早接觸到英特爾幾個月至1年後推出的產品。透過這項雲端服務，可搭配英特爾提供的開發工具與資源，諸如Intel oneAPI Toolkits、電腦視覺AI模型開發軟體平臺Intel Geti，設計出具有最佳效能的應用系統，對於利用英特爾平臺所組建而成的解決方案，可藉此縮短上市時間。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Developer Cloud-2022-09-28_002224.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Developer%20Cloud-2022-09-28_002224.jpg" style="width: 600px;" /></a></p> <p>在Intel Developer Cloud的環境當中，用戶可存取哪些新產品？英特爾表示，能使用2022年上半問世的Habana Gaudi 2深度學習加速器、8月登場的Data Center GPU Flex系列，以及後續即將上市的產品，像是內建HBM記憶體的第四代Xeon Scalable處理器、代號為Ponte Vecchio的Data Center GPU（這兩款產品同年11月發表，分別是Xeon Max系列CPU與Data Center GPU Max系列），以及第四代Xeon Scalable處理器（2023年1月推出）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Developer Cloud-2022-09-28_002212.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Developer%20Cloud-2022-09-28_002212.jpg" style="width: 600px;" /></a></p> <p>到了今年9月的Innovation大會，英特爾宣布Intel Developer Cloud正式上線，</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-09-Intel Innovation-Day1-Intel Developer Cloud1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-Intel%20Innovation-Day1-Intel%20Developer%20Cloud1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-09-Intel Innovation Developer Cloud-A New Paradigm for AI Productivity.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-Intel%20Innovation%20Developer%20Cloud-A%20New%20Paradigm%20for%20AI%20Productivity.jpg" style="width: 298px;" /></a></p> <p>而在11月在臺Intel Innovation Taipei 2023大會，也有這套雲服務的功能特色展示。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-07-Intel%20Developer%20Cloud-Demo.jpg" style="width: 600px;" /></p> <p>最新推出的Intel Developer Cloud當中，提供最新發表的硬體平臺，包含已發表的Data Center GPU Max系列，就連12月14日推出的第五代Xeon Scalable處理器（代號Emerald Rapids），也即將在此上架，屆時有意試用的個別開發者、企業，不用苦苦等候伺服器廠商、公有雲業者將相關產品服務準備好，無需歷經廠商宣布開放試用、登記、核準等程序，就能在最快時間之內，開始著手評估新一代處理器的能耐與功效。<img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-Intel%20Devloper%20Cloud%20HW%20Portfolio.jpg" style="width: 600px;" /></p> <p>目前Intel Developer Cloud提供哪些功能？最吸引大家使用的部分，主要是英特爾目前最新與即將推出的硬體平臺，在這項服務的硬體型錄當中，涵蓋CPU、GPU、AI加速器等3大類型，用戶可在此建置虛擬機器、裸機、容器等3種環境。</p> <p>以第四代Xeon Scalable處理器為例，用戶能存取虛擬機器與裸機型態的伺服器，最大組態為2路、256GB記憶體、2TB硬碟；若是內建HBM記憶體Xeon Max系列處理器、Data Center GPU Max系列、Data Center GPU Flex系列、Gaudi2加速器，目前僅能存取裸機型態的伺服器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-09-Intel Developer Cloud-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-Intel%20Developer%20Cloud-1.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-Intel%20Developer%20Cloud-2.jpg" style="width: 298px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-09-Intel Developer Cloud-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-Intel%20Developer%20Cloud-3.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-09-Intel Developer Cloud-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-Intel%20Developer%20Cloud-4.jpg" style="width: 298px;" /></a></p> <p>隨著Intel Developer Cloud問世，英特爾也持續擴充當中的功能。根據目前公布的版本更新資訊來看，Intel Developer Cloud是在9月19日正式上線，版號為1.0.2，用戶可在此建立虛擬機器，可存取採用第四代Xeon Scalable處理器的伺服器，也能在此建立裸機運算環境，存取搭配深度學習加速卡Gaudi2的伺服器、採用第四代Xeon Scalable處理器的伺服器，以及採用Xeon Max系列GPU的伺服器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-09-Intel Developer Cloud-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-Intel%20Developer%20Cloud-5.jpg" style="width: 600px;" /></a></p> <p>10月3日Intel Developer Cloud升級至1.0.3版，可提供Gaudi2叢集（執行個體群組），目前這項雲端服務的最新版本為1.0.4，10月24日上線，增加許多新功能，例如，提供教育訓練與工作坊——針對AI、C++ SYCL、生成式AI，提供Jupyter Notebook腳本，當中可透過預載相依性元件與可執行範例，協助學生、教授、研究人員練習；增加新的生成式AI訓練服務，藉此了解Intel Data Center GPU Max系列用於這領域的成效，而這部分服務可適用不同類型的使用者，包含AI開發者、創作者、工程人員，以及一般人士。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Developer Cloud-Training and Workshop.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Developer%20Cloud-Training%20and%20Workshop.jpg" style="width: 600px;" /></a></p> <p>在此同時，Intel Developer Cloud在教學文件區，也新增<a href="https://console.cloud.intel.com/docs/tutorials/habana_gaudi2.html">Gaudi2訓練AI模型的作法</a>。而在整個管理主控臺的介面上，也提供深色、高對比背景模式（Dark mode）的切換，便於開發人員在亮度較低的現場環境進行操作。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Developer Cloud Dark Mode.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Developer%20Cloud%20Dark%20Mode.jpg" style="width: 600px;" /></a></p> <p>同時，在Intel Developer Cloud這個環境當中，也能運用英特爾發展的開放軟體基礎平臺oneAPI，供應支援多架構與多廠商程式模型的軟體與工具，協助開發人工智慧（AI）、高效能運算（HPC）領域的應用系統，在此進行組建、測試、調校工作，並且執行小型至大型的AI訓練、模型調整、推論工作負載，便於後續能以高效能、高效率的方式進行部署。</p> <p> <a href="https://s4.itho.me/sites/default/files/images/2023-09-Intel Devloper Cloud SW Portfolio.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-Intel%20Devloper%20Cloud%20SW%20Portfolio.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-09-Intel Innovation-Day2-Intel Develper Cloud-AI Model.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-Intel%20Innovation-Day2-Intel%20Develper%20Cloud-AI%20Model.jpg" style="width: 600px;" /></a></p> <p>根據英特爾公布的產品簡介文件，英特爾是以軟體型錄的方式，提供多種經過調校的英特爾開發工具包、程式庫軟體，以及AI框架、延伸套件、軟體套餐，並且也預計提供AI服務，可使用多種AI基礎模型。可惜的是，目前這兩大部分的服務尚未上架到Intel Developer Cloud。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Developer Cloud SW_HW.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Developer%20Cloud%20SW_HW.png" style="width: 600px;" /></a></p> <p>值得注意的是，Intel Developer Cloud推出之後，英特爾就明確列出3種服務等級，有免費的標準版，提供社群論壇支援、無服務等級協定，也有付費的尊爵版、企業版——若是存取裸機環境，兩個付費版用戶均可操作到單一節點的系統或叢集，並且可存取Kubernetes叢集；技術支援方面，尊爵版提供週一至週五上午8時至下午5時的英特爾技術工程師，企業版提供24x7，以及1小時至1天的電話、文字交談、求助工單等支援。</p> <p>此外，免費版與尊爵版僅開放單一使用者存取，企業版允許多人團隊存取。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Developer Cloud Service Tier.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Developer%20Cloud%20Service%20Tier.png" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Intel Developer Cloud</strong><br /> ●原廠：英特爾<br /> ●建議售價：標準版免費，尊爵版依使用小時計費，企業版採月訂閱制、依點數計費<br /> ●提供硬體運算平臺：CPU（第四代Xeon Scalable、Xeon Max系列）、GPU（Data Center GPU Max系列、Data Center GPU Flex系列）、AI加速器（Habana Gaudi2）<br /> ●提供軟體開發平臺：Intel工具包與程式庫（oneAPI Base Toolkit、Rendering Toolkit、HPC Toolkit、Quantum SDK、Jupyter notebooks等）、AI框架（Optimization for PyTorch與TensorFlow、OpenVINO Toolkit、Neural Compressor等）<br /> ●AI服務：TII Falcon LLM、MosaicML MPT、Hugging Face BLOOM、Stability.AI Stable Diffusion、Meta AI Llama 2、Databricks Dolly</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/11/21 17:47作者李宗翰https://www.ithome.com.tw/review/159908
美國FCC祭出新規定以防範SIM卡挾持攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦通訊委員會（Federal Communications Commission，FCC）<a href="https://docs.fcc.gov/public/attachments/DOC-398483A1.pdf" target="_blank">上周針對美國的電信營運商祭出了新規定</a>，以防範消費者的手機遭到SIM卡挾持（SIM Swap）攻擊。</p> <p>SIM卡挾持指的是駭客取信於受害者的電信營運商，以將受害者的手機服務移轉到駭客的手機上，進而使駭客取得基於受害者身分的一次性認證碼，執行詐騙交易。在FBI網路犯罪投訴中心（IC3）<a href="https://www.ic3.gov/Media/PDF/AnnualReport/2022_IC3Report.pdf" target="_blank">去年的消費者投訴統計中</a>，SIM卡挾持雖然不是名列前茅，卻也榜上有名，總計接到超過2,000次的投訴，損失金額超過7,000萬美元。</p> <p>此次FCC修訂了客戶專有之網路資訊（Customer Proprietary Network Information，CPNI）與市話可攜（Local Number Portability，LNP）的規定，要求服務供應商在將客戶的電話號碼移轉至新裝置或新供應商時，必須採用安全的方法來驗證客戶的身分，包括必須立即通知客戶，以及採取額外的措施來保護客戶，以避免客戶受到SIM卡挾持攻擊。</p> <p>2020年時，幾位美國普林斯頓大學的研究人員<a href="https://www.ithome.com.tw/news/135459" target="_blank">曾經親自實驗SIM卡挾持攻擊</a>，他們向5家不同的電信營運商各購買10張預付卡，再打電話去客服，宣稱所購買的SIM卡故障了，可否將身分切換到新SIM卡上，結果在50張SIM卡中，成功切換了39張，成效驚人。</p> </div></div></div>
2023/11/21 14:09作者陳曉莉https://www.ithome.com.tw/news/159927
逾700名OpenAI員工發出公開信，要追隨Sam Altman
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在OpenAI董事會<a href="https://www.ithome.com.tw/news/159901" target="_blank">上周五（11/17）忽然開除</a>OpenAI共同創辦人Sam Altman，卸下他的執行長及董事會職位之後，另一名OpenAI共同創辦人Greg Brockman與幾名資深工程師很快就決定與Altman同進退，而實際上，<a href="https://assets.bwbx.io/documents/users/iqjWHBFdfxIU/rise6kDZBo78/v0" target="_blank">OpenAI內部也正展開連署</a>，要求OpenAI董事會集體請辭，並請回Altman與Brockman，否則就要追隨Altman，<a href="https://www.ithome.com.tw/news/159922" target="_blank">加入微軟所成立的新AI公司</a>，在750名OpenAI員工中，<a href="https://twitter.com/E0M/status/1726743918023496140" target="_blank">已有超過700名簽署了此一公開信</a>。</p> <p class="rtecenter"><a href="https://twitter.com/E0M/status/1726743918023496140" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1121-openai-600-1.png" style="width: 600px;" /></a></p> <p>此一公開信中描述，OpenAI開發了全球最好的模型，處於一個極為強大的地位，但董事會解僱Altman與Brockman的過程危及了所有的成就，透露出已失去監督OpenAI的能力。</p> <p>根據員工們的描述，他們在得知董事會的決定時，因領導團隊迅速採取行動而穩定了公司的局勢，此外，即使許多人要求董事會提出具體事實，卻未得到任何的書面證據；且在領導團隊與董事會合作以取得共識之際，董事會再度違背公司的最佳利益，更換了兩天前才決定的臨時執行長Mira Murati。</p> <p>從敘述來看，<a href="https://www.ithome.com.tw/news/159922" target="_blank">OpenAI董事會任命</a>Twitch前執行長Emmett Shear擔任OpenAI臨時CEO，應該就是壓垮OpenAI員工的最後一根稻草。</p> <p>員工們說，他們無法替那些缺乏能力與判斷力，也不關心員工及OpenAI使命的人工作，因此可能會選擇離開OpenAI，並加入由Altman及Brockman所經營的微軟子公司。而且微軟已經向他們保證，一旦他們決定加入，將替所有的OpenAI員工保留職位。</p> <p>此一公開信要求OpenAI現有的董事成員集體請辭，任命兩名新的獨立董事，同時恢復Altman與Brockman的職位，否則很快就會採取行動，追隨Altman而去。</p> <p>OpenAI董事會原本有6名成員，除了被開除的Altman與Brockman之外，還包括OpenAI科學長Ilya Sutskever，Quora執行長Adam D’Angelo、美國企業家與機器工程師Tasha McCauley，以及喬治城安全與新興技術中心的策略總監Helen Toner。在這份公開信中，意外地也看到Sutskever的簽名，Sutskever既是OpenAI的共同創辦人，卻也是當初同意開除Altman與Brockman的董事之一。</p> <p>Sutskever或許沒想到會製造出如此大的騷動，<a href="https://twitter.com/ilyasut/status/1726590052392956028" target="_blank">周一（11/20）透過X表達他已後悔參與董事會的行動</a>，說自己從沒想過要傷害OpenAI，將盡力讓公司重新團結。</p> <p class="rtecenter"><a href="http://twitter.com/ilyasut/status/1726590052392956028" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1121-openai-600-2.png" style="width: 600px;" /></a></p> <p>整件事至此尚未塵埃落定，《The Verge》引述消息來源報導，Altman與Brockman看似更願意回到OpenAI，而微軟執行長 Satya Nadella對此則抱持開放態度。因為微軟只是提供了一個選項，或是給了Altman一個籌碼，而不管Altman回到OpenAI或是加入微軟，對微軟而言都不是壞事，現在最尷尬的也許是同意接手OpenAI執行長的Emmett Shear了。</p> </div></div></div>
2023/11/21 12:50作者陳曉莉https://www.ithome.com.tw/news/159926
Deepmind開發Lyria音樂生成模型，探索音樂創作新範式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Deepmind<a href="https://deepmind.google/discover/blog/transforming-the-future-of-music-creation/">發表</a>了一個稱之為Lyria的先進音樂生成模型，可以生成帶有樂器和人聲的高品質音樂。Deepmind透過與YouTube合作，整合Lyria模型開發了音樂創作工具Dream Track，要供YouTube創作者更有效率地將創意轉換成作品。</p> <p>研究人員解釋了當前人工智慧模型生成音樂的挑戰，在於音樂本身包含極高的資訊密度，其中每一秒鐘都可能擁有多個節拍、音符和和聲。而這使得音樂相較與語言更為複雜，對人工智慧模型來說，維持長時間音樂序列中的連續性特別困難，因為模型需要在不同的樂句、詩節和長段落中，保持音樂的流暢性和一致性。</p> <p>另外，因為音樂經常同時包含多個聲部和樂器，也進一步增加了音樂生成的難度，因為模型需要協調多種聲音和旋律，使其能和諧地結合。</p> <p>而Deepmind所開發的Lyria人工智慧模型的特點在於生成高品質音樂，並包含樂器和人聲的部分。Lyria模型擅長執行音樂變換和延續的任務，因此可以根據現有音樂片段創造出新穎，或是與原始風格一致的續篇。研究人員也強調，Lyria模型擁有細緻的控制選項，可讓用戶精確制定生成音樂風格和表現方式。這些功能讓Lyria模型能夠成為強大的音樂創作工具，滿足專業音樂創作的需求，同時也可供一般用戶簡單上手。</p> <p>YouTube也開始在短影片功能Shorts上實驗音樂創作工具Dream Track，探索Lyria模型帶來的效益。在這實驗中，創作者將使用Dream Track，透過運用Lyria模型生成獨特的配樂，配樂將結合由人工智慧合成的聲音，並且可選用Charlie Puth、Charli XCX或Sia等多位YouTube合作藝術家的音樂風格。</p> <p>Dream Track還可以透過簡單地輸入主題，讓用戶從輪播中選出一位藝術家，替短影片生成30秒的配樂。由於Lyria模型的強大能力，因此Dream Track可以同時生成歌詞、伴奏，以及該藝術家的聲音風格。</p> <p>透過與更多的藝術家、作曲家和製作人合作，Deepmind正廣泛地探索，音樂創作領域的人工智慧應用，像是用戶只要哼唱，人工智慧就會把旋律轉換成為管樂，或是將MIDI的和弦轉換成逼真的合唱聲部，甚至是將聲樂音軌添加樂器伴奏。</p> <p>特別的是，Lyria模型生成的所有內容，都會加上SynthID浮水印標記。SynthID原本是一種用於辨識Google雲端Vertex AI上Imagen生成圖像的技術，SynthID能夠在不影響聽覺體驗的前提下，在人工智慧生成的音訊內容中，嵌入聽眾無法察覺的聲音標記。研究人員提到，這種聲音浮水印即便在經過添加噪音、MP3壓縮甚至加快和減慢曲目速度等常見的修改，都能夠維持可檢測性，Lyria模型也可以透過偵測歌曲中的SynthID，來確認歌曲中由Lyria模型生成的部分。</p> </div></div></div>
2023/11/21 08:23作者李建興https://www.ithome.com.tw/news/159923
【資安日報】11月20日，駭客近半年散布逾30款惡意PyPI套件，利用PNG圖檔埋藏攻擊意圖，美國、中國、法國皆有開發…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">近期針對開發人員的攻擊行動相當頻繁，而且也出現越來越隱密的手段，例如，將攻擊程式碼埋藏在惡意套件的特定模組，一旦開發人員依照指示安裝套件，惡意程式碼不會馬上執行，而是等呼叫特定功能才會一併載入。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">而類似的手法，近期也出現其他新的手段，例如，資安業者Checkmarx披露的惡意PyPI套件攻擊行動。<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">攻擊者嘗試將惡意程式碼埋藏在外部的PNG圖檔，使得PyPI套件本身看似無害。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【攻擊與威脅】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://checkmarx.com/blog/attacker-hidden-in-plain-sight-for-nearly-six-months-targeting-python-developers/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客散布惡意PyPI套件，利用PNG圖檔埋藏攻擊意圖</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/pypi-image-13.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/pypi-image-13.png" style="width: 300px; float: right;" /></a>資安業者Checkmarx揭露針對Python開發人員的攻擊行動，駭客從5月13日開始，前後上架了27個PyPI套件，半年內被下載超過4千次，受害者逾4成（41.58%）位於美國，中國、法國、香港也有不少受害者。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">這些套件皆模仿知名套件的名稱，並在setup.py檔案嵌入惡意程式碼，有可能用來識別使用者的身分、建立特定路徑的資料夾，然後部署VBScript及批次檔，並下載、執行Runtime.exe可執行檔，最終清除作案的痕跡，攻擊者從中竊取作業系統、瀏覽器、應用程式，以及金融財務的資料，並透過即時通訊軟體Discord的Webhook流出。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">值得留意的是在部分的攻擊行動裡，駭客並非直接投放惡意軟體，而是會從外部下載PNG圖檔（uwu.png），解碼並執行當中嵌入的惡意程式，從而收集電腦的IP位址及UUID。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://research.checkpoint.com/2023/malware-spotlight-into-the-trash-analyzing-litterdrifter/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Gamaredon鎖定烏克蘭組織，散布USB蠕蟲LitterDrifter</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/9OZ0986OYB-image2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/9OZ0986OYB-image2.png" style="width: 300px; float: right;" /></a>資安業者Check Point揭露俄羅斯駭客組織Gamaredon（亦稱Primitive Bear、Shuckworm）的攻擊行動，這些駭客在近期針對烏克蘭組織的攻擊行動裡，利用名為LitterDrifter的蠕蟲病毒，此惡意程式以VBScript打造，透過USB隨身碟進行散播，然後向C2伺服器進行通訊。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">研究人員指出，雖然駭客的主要目標是烏克蘭，但由於該惡意程式的蠕蟲特性，美國、越南、智利、波蘭也有受害的情形。此惡意程式連線C2的方式相當罕見，攻擊者利用網域名稱當作placeholder參數，藉此算出C2伺服器的IP位址，再者，該蠕蟲病毒也能存取由Telegram頻道架設的C2伺服器。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">而對於此惡意程式的攻擊行動，研究人員認為，很有可能是資安業者賽門鐵克於今年6月，發現的PowerShell惡意程式Pterodo攻擊行動後續。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://global.yamaha-motor.com/news/2023/1116/corporate.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">山葉機車證實菲律賓子公司遭遇勒索軟體攻擊，部分員工個資、公司銷售資訊恐流出</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/Yamaha Motor Phillipines leak page on INC RANSOM site.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Yamaha%20Motor%20Phillipines%20leak%20page%20on%20INC%20RANSOM%20site.png" style="width: 300px; float: right;" /></a>11月16日山葉機車（Yamaha Motor）發布資安通告，指出他們位於菲律賓、從事製造及銷售的子公司Yamaha Motor Philippines（YMPH），其中一臺伺服器在10月25日遭遇第三方未經授權的存取，並受到勒索軟體攻擊，導致部分員工的個資流出，但對於影響的範圍，仍有待進一步釐清。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">而對於發動攻擊的駭客身分，<a href="https://www.bleepingcomputer.com/news/security/yamaha-motor-confirms-ransomware-attack-on-philippines-subsidiary/">根據資安新聞網站Bleeping Computer的報導</a>，名為INC Ransom的駭客組織聲稱是他們所為，並於11月15日將該公司列於網站，隨後公布約37 GB的竊得檔案，內容包含員工檔案、備份資料、公司及銷售資訊等。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.cisa.gov/news-events/alerts/2023/11/15/cisa-fbi-and-ms-isac-release-advisory-rhysida-ransomware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Rhysida鎖定缺乏雙因素驗證的企業下手，利用Zerologon入侵內部網路環境</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/Figure 1 - Rhysida Ransom Note.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure%201%20-%20Rhysida%20Ransom%20Note.png" style="width: 300px; float: right;" /></a>繼8月美國衛生與公眾服務部（HHS）提出警告，勒索軟體駭客組織Rhysida鎖定當地醫療機構下手，美國聯邦調查局（FBI）、網路安全暨基礎設施安全局（CISA）近期也對此勒索軟體的攻擊行動提出警告，他們指出，在教育、醫療保健、製造、資訊科技、政府部門當中，都有此勒索軟體的受害者，駭客打造租用相關工具的服務（RaaS），並用贖金分帳方式尋求打手與其合作。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">而對於這個勒索軟體的散布手段，上述兩個機構表示，駭客通常會利用外流的帳密資料，透過能連接網際網路的VPN服務入侵，特別是目標組織本身的身分管理如果未啟用雙因素驗證（MFA）的情況下，駭客更容易得逞，過程中駭客往往還會利用Windows重大漏洞Zerologon（CVE-2020-1472，CVSS風險評分為10）。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">FBI與CISA指出，這些駭客會利用寄生攻擊（LoL）手法，例如，建立遠端桌面連線（RDP）來進行橫向移動，或是使用ipconfig、whoami、nltest等網路命令來偵察網路環境。此外，另一個勒索軟體駭客組織Vice Society（亦稱Vanilla Tempest）近期也改用Rhysida來進行犯案。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.esentire.com/blog/the-notorious-alphv-blackcat-ransomware-gang-is-attacking-corporations-and-public-entities-using-google-ads-laced-with-malware-warns-esentire"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體BlackCat投放Google廣告，攻擊律師事務所、製造業、倉庫經營者</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資安業者eSentire提出警告，勒索軟體駭客組織BlackCat（Alphv）最近攻擊美洲、歐洲的企業與公營事業機構，他們特別針對律師事務所、製造業、倉庫經營者下手。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">研究人員指出，這些駭客過往入侵受害組織的方式，多半是透過外流的帳密資料、濫用遠端管理工具，以及針對瀏覽器發動攻擊進行，但現在他們使出新的手段——透過在Google刊出廣告，假借提供知名的應用程式，像是：Advanced IP Scanner、Slack、WinSCP，引誘商務人士存取攻擊者架設的網站，一旦這些人士依照指示下載軟體，電腦就有可能被植入惡意程式Nitrogen，從而讓攻擊者建立入侵目標組織內部網路環境的管道。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【漏洞與修補】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.fortiguard.com/psirt/FG-IR-23-135"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Fortinet旗下資安資訊及事件管理平臺存在漏洞，有可能被拿來執行任意命令</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月13日資安業者Fortinet發布資安通告，指出旗下的資安資訊及事件管理平臺FortiSIEM存在重大漏洞CVE-2023-36553，存在於4.7至5.4版，CVSS風險評分為9.3。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">此漏洞出現於該系統的報告伺服器，起因是部分特殊元件不適當的抵消處理（neutralization）而出現的作業系統命令漏洞，攻擊者一旦利用，就有可能在未通過身分驗證的情況下，藉由偽造的API請求執行未經授權的命令。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">這項漏洞是該公司內部發現，他們指出是另一個10月揭露漏洞CVE-2023-34992（CVSS風險評分為9.7）的變形，但不同的是，CVE-2023-36553影響6.0版以下的FortiSIEM，我們也向該公司確認，他們表示多數用戶使用6.0以上版本，不受這項漏洞影響。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【資安產業動態】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://blog.google/technology/safety-security/titan-security-key-google-store/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google發表新款Titan實體安全金鑰，可存放250組Passkey</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月15日Google發表新款實體安全金鑰Titan Security Key，採用加密處理器Titan M、相容FIDO2，並具備NFC功能，相較於上一代最大的變化，就是新款能夠儲存250組通行密鑰（Passkey）。這次Google共提供兩種款式，分別為USB-A、USB-C介面，價格為30、35美元。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">此實體安全金鑰用於電腦及手機，可透過USB連結電腦，或是藉由USB或NFC連結手機，使用者可先透過裝置上的瀏覽器註冊實體金鑰，加入Google帳戶之後，即能以此登入各種裝置與第三方服務。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【其他新聞】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.blocktempo.com/taiwan-largest-quantitative-fund-was-reportedly-hacked/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">加密貨幣量化交易公司麒點科技驚傳遭駭，損失逾2千萬美元</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/bloomberg-crypto-x-account-snafu-leads-to-discord-phishing-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">彭博社舊的Telegram頻道遭到冒用，攻擊者將其用於盜取Discord帳密</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.darkreading.com/attacks-breaches/british-library-confirms-ransomware-attack-caused-outages"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">大英圖書館證實月初發生多項服務中斷，起因是遭遇勒索軟體攻擊</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://thehackernews.com/2023/11/8base-group-deploying-new-phobos.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客8Base透過惡意程式SmokeLoader散布新的檔案加密工具</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://convergetp.com/2023/11/16/crushftp-zero-day-cve-2023-43177-discovered/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露CrushFTP檔案傳輸系統的漏洞細節，發布概念性驗證程式</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>近期資安日報</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159893"><strong>【11月17日】針對代管Exchange業務遭遇勒索軟體攻擊事故，雲端服務業者Rackspace透露損失估計500萬美元</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159875"><strong>【11月16日】殭屍網路OracleIV、Ddostf分別鎖定Docker環境、MySQL伺服器而來，將其用於發動DDoS攻擊</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159839"><strong>【11月15日】勒索軟體駭客組織LockBit鎖定十多家大型企業，利用重大漏洞Citrix Bleed入侵，入侵這些公司內部網路環境</strong></a></p> </div></div></div>
2023/11/20 17:59作者周峻佑https://www.ithome.com.tw/news/159921
OpenAI兩名創辦人Sam Altman與Greg Brockman都將加入微軟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在外界以為Sam Altman可望回鍋OpenAI之際，微軟執行長<a href="https://twitter.com/satyanadella/status/1726509045803336122">Satya Nadella宣布</a>，將延攬被OpenAI董事會逐出的兩名OpenAI創辦人Sam Altman與Greg Brockman，以及他們的同事，加入微軟並主導一個先進的AI研究團隊。</p> <p>Nadella說，微軟也會繼續維持與OpenAI的合作關係，並對雙方的產品藍圖與創新能力充滿信心，期待進一步了解Emmett Shear與新的OpenAI領導團隊並與之合作。OpenAI的聲明中原本是指派技術長Mira Murati暫代執行長一職，隨後<a href="https://www.theinformation.com/articles/breaking-sam-altman-will-not-return-as-ceo-of-openai">《The Information》報導</a>，OpenAI董事會已任命Twitch前執行長Emmett Shear擔任OpenAI臨時CEO，而<a href="https://twitter.com/eshear/status/1726526112019382275">Shear本人則透過X證實了此事</a>，說他在周日（11/19）接到一個電話，邀請他擔任OpenAI的臨時執行長，考慮了幾小時之後便接受了。</p> <p>看起來微軟計畫替來自OpenAI的團隊成立一個新公司，因為Nadella在回應Altman時指出，很高興他能加入這個新「Group」並擔任執行長，替創新設定新的腳步。Nadella還說，這幾年微軟已學到如何替創始人與創新者提供空間，以於微軟內部建立獨立的身分及文化，例如GitHub與LinkedIn等，並期望Altman也能帶來同樣的氣象。</p> <p>至於Shear很快就接起了OpenAI執行長的任務，坦承Altman遭到撤職的過程與溝通非常糟糕，嚴重損害外界對OpenAI的信任，因此，未來的30天將專注於3項任務，包括聘請獨立調查員來調查導致該事件的整個過程並提交報告，繼續與員工、合作夥伴、股東與客戶展開對談，以及針對人事的異動來改革管理團隊。</p> <p>此一變動非常的戲劇化，在短短的3天內，OpenAI開除了創辦人與執行長Altman，找到了繼任的臨時執行長Emmett Shear，同時微軟則出手延攬了Altman與Brockman，還決定要新設一家AI公司，給了這些離開OpenAI的AI專家們一個新家。</p> </div></div></div>
2023/11/20 19:02作者陳曉莉https://www.ithome.com.tw/news/159922
Google明年第一季要開始移除Chrome的第三方Cookie
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼於今年9月正式於Chrome上推出用來取代第三方Cookie的隱私沙盒（Privacy Sandbox）之後，<a href="https://groups.google.com/a/chromium.org/g/blink-dev/c/RG0oLYQ0f2I/m/xMSdsEAzBwAJ?pli=1" target="_blank">Google上周揭露了淘汰第三方Cookie的時程</a>，宣布將於2024年第一季移除1%的第三方Cookie，繼之與英國競爭及市場管理局（Competition and Markets Authority，CMA）協商，之後再於明年第三季漸次移除Cookie。</p> <p>HTTP Cookie是在瀏覽器造訪網站時，由網站建立且存放於使用者裝置上的資料，目的是為了蒐集使用者的瀏覽紀錄與資訊，方便網站與使用者互動，此稱為第一方Cookie，但使用者所造訪的網站可能存有來自第三方的內容或廣告，它們也會在使用者裝置上建立Cookie，多半是用來追蹤使用者行為，稱為第三方Cookie。Cookie是由瀏覽器負責管理，蘋果的<a href="https://www.ithome.com.tw/news/136565" target="_blank">Safari</a>與Mozilla基金會的<a href="https://www.ithome.com.tw/news/151435" target="_blank">Firefox</a>都已於預設值中封鎖了第三方Cookie。</p> <p>第三方Cookie有助於廣告主追蹤使用者所造訪的網站並祭出個人化廣告，卻也危及個人隱私，使得全球市占率超過6成的Google Chrome企圖於個人隱私及廣告效益之間找到平衡點，今年9月上線的隱私沙盒即是利用不同的API與技術來保護使用者的個別身分，減少跨站追蹤，以及增加用戶控制權，並在這些前提下推動個人化廣告，為Google針對Cookie隱私爭議的解決方案。</p> <p>不過，CMA也在2021年針對Google的此一作法<a href="https://www.ithome.com.tw/news/142140" target="_blank">展開調查</a>，擔心移除第三方Cookie及推出隱私沙盒可能會促使廣告支出集中於Chrome，影響市場競爭。</p> <p>Google表示，逐步淘汰第三方Cookie是隱私沙盒的核心工作，以負責任地減少網路上的跨站追蹤，同時藉由新的技術來支援關鍵使用案例，此一淘汰計畫是與CMA共同制定的，亦符合Google對隱私沙盒的承諾。</p> </div></div></div>
2023/11/20 15:38作者陳曉莉https://www.ithome.com.tw/news/159912
【資安週報】2023年11月13日到11月17日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一星期有微軟、SPA等每月例行安全更新修補釋出需要注意，特別要關切的是，當中包含3個零時差漏洞修補，同時還有更多已知漏洞遭利用的情形，我們持續提醒企業修補要及時，別成為受害者。</p> <p>（一）有3個已遭利用零時差漏洞，以及2個細節已公開的零時差漏洞。狀態如下：<br /> 微軟發布11月例行更新，修補63個漏洞中有5個零時差漏洞，其中3個修補發布時已遭鎖定利用，包括：位於桌面視窗管理員（DWM）核心程式庫的漏洞CVE-2023-36033，涉及Windows SmartScreen安全功能繞過的漏洞CVE-2023-36025，檔案系統驅動程式CldFlt的漏洞CVE-2023-3603，另2個相關細節也已被公開，目前暫時尚未有被利用的消息。</p> <p>（二）有多個已知漏洞，近期確認有遭攻擊者利用的消息，是我們整理這星期日報時新發現、資安日報尚未提及。<br /> ●微軟上個月10月修補涉及MOTW安全功能繞過的漏洞CVE-2023-36584<br /> ●Juniper今年9月修補EX、SRX產品的5個可串聯漏洞CVE-2023-36844、CVE-2023-36845、CVE-2023-36846、CVE-2023-36847、CVE-2023-36851<br /> ●Sophos今年4月修補上網安全閘道系統Web Appliance漏洞CVE-2023-1671<br /> ●甲骨文在2020年修補Oracle Fusion Middleware的漏洞CVE-2020-14750</p> <p>在國內，有兩大事件成為焦點，都與上市公司有關。首先，是化工業上市公司<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=211853&SPOKE_DATE=20231112&COMPANY_ID=1727">「中華化」在11月12日發布資安事件重大訊息</a>，說明在11日發生部份資訊系統遭受駭客網路攻擊的情況：另一起事件雖是常見的臉書粉專被盜，本週iThome資安日報未報導，因受害的泰山企業是上市櫃公司並涉及對方要求付錢贖回粉專的勒索行為，也引起大眾關注——<a href="https://s4.itho.me/sites/default/files/images/%E6%B3%B0%E5%B1%B1%E7%B2%89%E5%B0%88%E8%A2%AB%E7%9B%9C.jpg">16日下午5點半，我們得知上市食品工業泰山的臉書粉專在一小時前被盜用的消息</a>，劫持粉專者將粉專名稱改為2607，並公開張貼一則訊息：「給我錢，我會返回頁面」，當日晚間10點<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=225619&SPOKE_DATE=20231116&COMPANY_ID=1218">泰山也發重大訊息針對媒體報導說明</a>。</p> <p>在資安威脅與事件方面，我們認為有下列4起事件值得留意：<br /> ●物流業者杜拜環球港務集團（DP World）遭遇網路攻擊，並導致澳洲多個港口運作受到衝擊，迫使該公司暫停營運三天，特別的是，研究人員指出，除了DP World，近期還有中國工商銀行美國子公司等多起事件，原因都是未修補已知Citrix Bleed漏洞導致。（該漏洞10月10日揭露與修補，10月18日已警告有攻擊者鎖定利用情形）<br /> ●駭客行徑更為囂張，惡人先告狀！像是勒索軟體集團AlphV發動攻擊後，近期公開表示他們到美國證交所（SEC）網站填寫資料，聲稱已舉報受害公司並未依規定揭露遭到網路攻擊。<br /> ●日本數位廳提出警告，表示有攻擊者假借入境通關線上表單Visit Japan Web名義的App。由於疫情後國內前往日本旅遊暴增，務必防範此事發生。<br /> ●丹麥關鍵基礎設施今年5月遭遇俄羅斯駭客大規模攻擊，當地SektorCERT揭露，起因是當地多家經營能源關鍵基礎設施業者的資安工作未落實，因為他們所用的兆勤科技（Zyxel）防火牆有漏洞，廠商在4月底已公告相關消息，這些業者卻遲遲未修補而遭駭。<br /> ●勒索軟體Hive疑似重起爐灶，改名Hunters International，特別的是，本期日報未提及的是，近日<a href="https://twitter.com/FalconFeedsio/status/1724046526870331569">傳出Hunters International將國內上櫃生技醫療業「大江」列為受害者</a>的消息。</p> <p>其他最新網路威脅動向，我們認為可留意下列消息，包括：Docker容器環境遭殭屍網路OracleIV鎖定的情形，MySQL伺服器遭中國殭屍網路Ddostf攻擊行動鎖定，以及惡意軟體Ducktail近期將危害目標是時尚產業。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/159771"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月13日】疑為未修補Citrix NetScaler重大漏洞釀禍！中國工商銀行美國分公司遭勒索軟體攻擊，波及美債交易</span></strong></a></h3> <p>10月上旬Citrix修補NetScaler重大漏洞CitrixBleed（CVE-2023-4966），隨後陸續資安業者Mandiant揭露，至少4組人馬將其用於攻擊行動，但並未透露受害對象。如今傳出有企業因沒有修補漏洞而遭遇勒索軟體攻擊，使得業務受到嚴重影響。</p> <p>在上週中國工商銀行（ICBC）美國子公司發生的勒索軟體攻擊事故，就是這樣的例子，有資安專家發現，駭客在事發數日前入侵了NetScaler伺服器，而能夠存取該公司的網路環境。</p> <h3><a href="https://www.ithome.com.tw/news/159822"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月14日】哈瑪斯駭客透過資料破壞軟體BiBi攻擊以色列企業組織，占用大量處理器資源抹除Windows電腦檔案</span></strong></a></h3> <p>自10月初哈瑪斯突襲以色列引爆戰爭，有近百個駭客組織表態支持兩大陣營，企圖向敵對國家發動攻擊，但這些駭客多半是發動DDoS攻擊來癱瘓網站服務的運作。</p> <p>但到10月底，有研究人員觀察到資料破壞軟體BiBi的攻擊行動，駭客同時針對Linux、Windows電腦而來，現在有更多研究人員揭露新的調查結果，指出這些駭客終極目的就是進行破壞，動用大量運算資源，讓企業組織難以限縮受害範圍。</p> <h3><a href="https://www.ithome.com.tw/news/159839"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月15日】勒索軟體駭客組織LockBit鎖定十多家大型企業，利用重大漏洞Citrix Bleed入侵，入侵這些公司內部網路環境</span></strong></a></h3> <p>上週中國工商銀行（ICBC）美國分公司遭到勒索軟體攻擊，導致美國國債及部分股票無法交易，引起全球關注，當地媒體報導攻擊者就是LockBit，並傳出ICBC已支付贖金。有資安專家發現，可能是未修補的Citrix Bleed漏洞釀禍。</p> <p>但ICBC並非唯一遭到上述漏洞攻擊的受害組織，據傳有十多起勒索軟體LockBit攻擊行動，駭客都利用這項漏洞入侵受害組織的網路環境。</p> <h3><a href="https://www.ithome.com.tw/news/159875"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月16日】殭屍網路OracleIV、Ddostf分別鎖定Docker環境、MySQL伺服器而來，將其用於發動DDoS攻擊</span></strong></a></h3> <p>利用組織的應用系統來進行DDoS攻擊，近期變得相當頻繁，本週有2起攻擊事故，其中一個針對Docker環境而來，另一個則是鎖定資安防護不足的MySQL資料庫，而且，無論是Windows、Linux電腦架設的資料庫，都是攻擊者下手的對象。</p> <p>其中比較值得留意的是針對Docker而來的攻擊行動，相關的惡意映像檔已被拉取超過3千次，且駭客仍不斷改良其作案工具。特別的是，此映像檔雖然含有挖礦程式，但駭客在攻擊過程並未使用。</p> <h3><a href="https://www.ithome.com.tw/news/159893"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月17日】針對代管Exchange業務遭遇勒索軟體攻擊事故，雲端服務業者Rackspace透露損失估計500萬美元</span></strong></a></h3> <p>在今天我們整理的資安日報新聞當中，有不少與勒索軟體攻擊事故相關，其中最值得留意的部分，就是發生在去年底雲端服務業者Rackspace的資安事故，而在最近該公司向美國證券交易委員會（SEC）提出的季報資料裡，透露他們損失的情形。</p> <p>近期透過財報資料披露資安事故帶來的損害情況，還有提供MFT檔案傳輸系統MOVEit Transfer的IT業者Progress，<a href="https://www.ithome.com.tw/news/159893">該公司亦表示SEC著手對他們進行調查</a>。</p> </div></div></div>
2023/11/20 11:13作者羅正漢https://www.ithome.com.tw/news/159907
Sam Altman可能回鍋OpenAI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/159901" target="_blank">OpenAI董事會於上周五（11/17）宣布</a>開除OpenAI的共同創辦人暨執行長Sam Altman，同一天也開除了OpenAI共同創辦人暨董事會主席Greg Brockman，然而，隨著Brockman及多名OpenAI資深研究人員選擇與Altman同進退，再加上包括微軟、Thrive Capital及Tiger Global等OpenAI股東向董事會施壓，Altman與Brockman周日（11/19）回到了OpenAI總部協商回鍋的可能性。</p> <p>OpenAI董事會原本有6名成員，除了被開除的Altman與Brockman之外，還包括OpenAI科學長Ilya Sutskever，Quora執行長Adam D’Angelo、美國企業家與機器工程師Tasha McCauley，以及喬治城安全與新興技術中心的策略總監Helen Toner。</p> <p>不管是Altman、Brockman，OpenAI的管理團隊，或者是微軟等OpenAI投資人，幾乎都是在OpenAI董事會宣布的當天才知道Altman已被逐出自己所創辦的公司。<a href="https://twitter.com/gdb/status/1725736242137182594" target="_blank">Brockman透過X表示</a>，他跟Altman對此感到震驚，也還在搞清楚發生了什麼事。</p> <p>根據<a href="https://www.axios.com/2023/11/18/openai-memo-altman-firing-malfeasance-communications-breakdown" target="_blank">《Axios》</a>的報導，OpenAI營運長Brad Lightcap隔天就對內部發布了備忘錄，指出他們也正在釐清董事會作出此一決定的原因，已確定無關乎金融、業務、安全或隱私上的瀆職，只是因為Altman與董事會溝通不良。</p> <p>儘管OpenAI董事會僅撤銷了Brockman的董事會主席職位，仍保留Brockman於OpenAI的技術長一職，但Brockman與部分OpenAI的資深研究人員很快就宣布要與Altman同進退。</p> <p>此外，《CNBC》報導，包括微軟、Tiger Global與Thrive Capital等股東也開始向OpenAI董事會施壓，要求把Altman請回來。另一股東Sequoia Capital則很快就找上了Altman，表示該創投很願意支持Altman與Brockman所作的任何決定，不管是回到OpenAI，或是創立新公司。</p> <p>而Altman也在周日（11/19）回到OpenAI總部與董事會協商，<a href="https://twitter.com/sama/status/1726345564059832609" target="_blank">並秀出了他所使用的訪客通行證</a>，還說這是他第一次也將是最後一次使用訪客通行證。</p> <p><a href="https://www.theverge.com/2023/11/18/23967199/breaking-openai-board-in-discussions-with-sam-altman-to-return-as-ceo" target="_blank">《The Verge》</a>引述消息來源報導，Altman回鍋的可能性很高。</p> </div></div></div>
2023/11/20 14:29作者陳曉莉https://www.ithome.com.tw/news/159911
Fintech周報第221期：澳洲CBA銀行釋出可偵測金融剝削的AI模型；金管會發布上雲問答集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="color: rgb(128, 0, 0);">2023/11/6~11/17金融科技精選新聞</span></h3> <h1 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 38.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 澳洲CBA銀行</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融數位暴力 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span></h1> <h3>澳洲CBA銀行釋出一套AI模型，可偵測數位交易中隱含的騷擾、威脅和攻擊訊息</h3> <p>根據民調機構YouGov調查顯示，在澳洲，每4個超過65歲的年長者中，就有一位曾遭受金融剝削，或知道他人曾受害。因此，為了減少金融剝削，CBA銀行開發了一套AI模型，能偵測隱含騷擾、威脅和攻擊訊息的網路交易，藉由掃描不正常的交易活動和偵測高風險的模式或實例，讓銀行可以進一步調查這些交易活動。</p> <p>CBA自2020年開始使用自動化過濾機制阻擋含有威脅和攻擊文字的網路交易。2021年，他們導入AI和機器學習技術加強過濾機制，能進一步偵測交易是否隱含金融剝削訊息。該AI模型是由CBA建立，並由CBA和H2O.ai合作開發模型的原始碼，目前模型和原始碼都已在GitHub上釋出。</p> <h1 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 38.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融上雲 </span></strong></span></h1> <h3>金管會公布新版上雲問答集，更明確說明重大性和消金業務資訊系統定義</h3> <p>金管會近期公布新版委外上雲問答集，針對重大性的判斷因素，問答集中舉例考量事項，包括委外作業成本和委外作業涉及的業務是否具時效關鍵性等。</p> <p>針對消金業務資訊系統定義，則包括消金核心業務系統、信用卡業務系統、金融商品銷售業務系統、消金授信管理系統、電話銀行服務、催收作業管理系統及信託業務管理系統等。其中，消金核心業務系統包含個人客戶存款、放款、匯款業務、相關會計及帳務處理系統，金融商品銷售業務系統則包含各項投資理財業務、客戶關係管理和客戶分級管理系統。（<a href="https://www.ithome.com.tw/news/159666">詳全文</a>）</p> <h1 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 38.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> STO</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 區塊鏈 </span></strong></span></h1> <h3>國泰證券採用自行建置的STO交易平臺發行首檔STO</h3> <p>國泰證券近期和再生能源售電業者合作，發行首檔證券型代幣（Security Token Offering, STO)，是臺灣首例STO發行。金管會在去年進一步放寬了STO相關規範，開放單一平臺受理首檔STO交易滿6個月，就能再接受第二檔以上的STO。另外，金管會將原單一平臺募資上限由1億元提高至2億元。隨著去年的法規放寬，讓國泰證券決定開始發展STO。</p> <p>在交易方面，國泰證券和國泰金控數數發中心區塊鏈團隊合作，自行建置STO交易平臺，架設於摩根大通開發的Quorum區塊鏈，以四大措施包障投資安全，分別為資安管理機制、發行人資訊揭露、開發STO評價模型，和設定價格穩定機制。（<a href="https://www.ithome.com.tw/news/159876">詳全文</a>）</p> <h1 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 38.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融上雲 </span></strong></span></h1> <h3>金管會已在十月請銀行公會訂定金融業使用雲端服務的自律規範，要求至少包括六大重點</h3> <p>銀行局副局長林志吉近期在活動中表示，十月已請銀行公會訂定金融業使用雲端服務的自律規範，並要求至少包括六大重點，分別為治理政策及風險管理、對雲端業者的管理框架、資安控管、人才培訓、雲端服務查核及重大事件通報及緊急應變處理。</p> <p>林志吉解釋，第一，金融業必須訂定雲端服務治理框架，並考量使用雲端服務對營運模式產生的影響，第二，對雲端業者的管理架構，應包括雲端業者負擔責任，和契約應明載事項等。（<a href="https://www.ithome.com.tw/news/159672">詳全文</a>）</p> <h1 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 38.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融上雲</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 備份備援 </span></strong></span></h1> <h3>新版上雲規範強化核心資料保全機制，不少金融業開始關注備份備援上雲議題</h3> <p>俄烏戰爭開打後，資料保存的意識逐漸升高，而金管會去年發布的金融資安行動方案2.0中，也強調了核心資料保全機制的重要性。對此，新版上雲規範也因應這項政策，開放金融業將資料備份在境外雲端，不須經過申請核准，若是將主系統或備援系統備置在境外雲端，才需要申請核准。</p> <p>根據萬里雲採訪超過20家金融機構的統計顯示，常見的三條金融上雲路徑中，超過一半的金融機構關注備份備援上雲議題。不過，隨著生成式AI風潮興起，金融業開始期望應用AI來提升內部工作效率，數據分析上雲的關注度也上升。統計顯示，近四成的金融機構關注數據分析上雲，例如，將地端結構化與非結構化資料搬遷上雲，或在雲端環境建立資料湖、資料倉儲，運用視覺化報表分析工具等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/BD843EA0-B1E9-4AB2-8AF0-5993E2245C9B.jpg" style="width: 600px;" /></p> <h1 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 38.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新加坡金管局</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融監管</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></h1> <h3>新加坡金管局發佈《金融業使用生成式AI風險框架》執行摘要，下一階段將實驗生成式AI應用於洗錢防治、永續議題和資安領域</h3> <p>新加坡金管局近期發表《金融業使用生成式AI風險框架》的執行摘要，公佈了金融業使用生成式AI的七個風險層面，分別為問責制和治理、監控和穩定性、透明性和可解釋性、公平性和偏見、合法性和監管、道德和影響性，以及網路和資料安全面向<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">。</span>金管局也宣布，將於明年一月正式發布風險框架的白皮書，且將持續探索金融業運用生成式AI的用例，例如，管理複雜的合規任務，和偵測隱含且互相關聯的金融風險。</p> <p>目前，制定風險框架的計畫是由金管局和多家銀行、IT廠商合作執行。金管局表示，計畫的下一階段將擴大與保險業和資產管理業者合作，讓風險框架可以適用於整個金融業。此外，他們也將實驗將生成式AI應用於洗錢防治、永續議題和資安領域。</p> <h1 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 38.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 銀行虛擬助理 </span></strong></span></h1> <h3>英國NatWest銀行將導入生成式AI至虛擬助理</h3> <p>NatWest近期宣布，其銀行虛擬助理Cora將導入生成式AI，以更人性化的互動聊天方式提供顧客產品和服務比較功能，以及該銀行網站資訊查詢功能。NatWest表示，顧客將能透過Cora獲得以往僅靠聊天無法取得的資料，例如產品、服務、銀行資訊和就業機會等資訊。</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">責任編輯／李昀璇</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">圖片來源／萬里雲</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2023年11月</p> <p></p> </div></div></div>
2023/11/20 00:02作者李昀璇https://www.ithome.com.tw/news/159905
Container快報第155期：生成式AI開始影響K8s開發工具鏈，越來越多容器工具商推出AI維運小助手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>2023/10/20～11/20 精選容器新聞：</strong></p> <p><strong><span style="color:#0000FF;">#GAI、#LLM<br /> Docker推出第一款生成式AI工具，用LLM打造Docker配置小助手</span></strong></p> <p>看到GitHub Copilot用GAI輔助程式碼開發，Docker也推出自家第一款生成式AI工具，將Docker社群在GitHub以及Docker Hub上，對於中對於Dockerfile配置檔、Docekr Compose設定檔、Docker映像檔的相關討論集結，來訓練出這款Docker配置助手，可以用來引導新手開發者撰寫複雜的Docker配置。目前處於先期試用階段。</p> <p><span style="color:#0000FF;"><strong>#K8s、#跨雲管理<br /> SUSE雲原生管理平臺Rancher Prime推出2.0新版，強化跨雲K8s管理和新推AI助手</strong></span></p> <p>在北美Kubecon大會上，SUSE發布了新版的雲原生管理平臺Rancher Prime 2.0，更整合了容器漏洞檢查工具NeuVector，也強化了多項企業管理異質、跨雲K8s環境的管理能力。除了推出了新的UI擴充機制，可以將第三分工具整合到Rancher Prime的UI介面上，也更容易在UI上使用Cluster API來調度跨雲，甚至是邊緣裝置上的K8s叢集。另外，Rancher Prime也推出了生成式AI助手，可以整合到顧客的Slack頻道上，來提供配置安裝、效能調校和除錯的建議。另外，容器漏洞檢查工具NeuVector先前已經推出AWS版，也上架到AWS應用市集，今年底前計畫在推出Azure版，也計畫在今年年底前，上架到Azure市集，讓企業更方便整合到兩大公雲的K8s環境中啟用。</p> <p> </p> <p><strong><span style="color:#0000FF;">#GAI、#Docker<br /> Docker發布生成式AI技術架構，宣稱幾分鐘就能打造GAI應用</span></strong></p> <p>搶攻生成式AI部署熱潮，日前，Docker公司和熱門生成式AI開發框架LangChain、圖資料庫廠商neo4j和LLＭ模型訓練工具商OllamaL聯手，發布了生成式AI技術架構GenAi Stack。在這個技術架構中，提供了預先配置的開源或企業級LLM模型的部署映像檔，包括了Llama 2、Mistral，也有OpenAI的GTP-3.5和GPT-4模型，可以透過Ollama工具快速在本地端執行LLM模型。預設資料庫則使用了Neo4j，作為LLM輸入的基礎知識來源資料庫。LangChaing則可用來調度LLM、AP和資料庫，來開發一個用LLM強化互動脈絡的應用程式。Docker號稱，使用這個技術架構GenAi Stack，開發者可以在數分鐘內快速打造出一隻生成式AI的簡單應用。</p> <p><span style="color:#0000FF;"><strong>#可觀測性、#K8s<br /> Grafana可觀測性平臺也開始支援K8s叢集監測能力</strong></span></p> <p>Grafana Labs技術長Tom Wilkie在Kubecon大會上展示了新的K8s叢集監測能力，使用Helm安裝工具，就可以在K8s叢集中部署一個Grafana代理程式，來搜集K8s效能矩陣、log紀錄和事件，整合到Granfana儀表板上來追蹤。Grafana代理程式優化了對OpenTelemetry蒐集器的支援。Tom Wilkie指出，企業需要建立一個系統化的方式來監控不同的雲原生開發環境，企業得針對不同團隊各自的開發環境個別人工配置可觀察性追蹤機制，透過Grafana代理程式可以統一搜集來自不同類型開發和運作環境的資料，統一管理和監控的方式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Grafana-k9s.png" /></p> <p> <span style="color:#0000FF;"><strong>#全快閃、#容器儲存<br /> 瞄準GAI訓練需求，Dell物件儲存軟體也能支援全快閃儲存設備XF960</strong></span></p> <p>Dell日前宣布旗下物件儲存軟體ObjectScale推出了1.3新版，同時也新增加對Dell最新一代的全快閃儲存設備XF960的支援版本。ObjectScale是一款可以用來支援K8s叢集和S3雲端儲存的物件儲存軟體，現在可以透過K8s容器儲存介面CSI，善用NVMe的頻寬，提供高達每節點每秒4.3GB讀取和3.3GB寫入的能力，來支援龐大LLM模型訓練資料的存取需求。根據Dell官方宣稱，目前可以支援到900個儲存節點的規模。</p> <p><span style="color:#0000FF;"><strong>#CNCF、#自動擴充工具<br /> AWS正將K8s自動擴充工具Karpenter捐給CNCF，開始梳理API命名提高穩定性</strong></span></p> <p>這是AWS在2021年釋出的K8s自動擴充工具，可用來管理節點的生命周期，來簡化K8s叢集擴充的複雜配置工作。Karpenter和Cluster Autoscaler最大不同是，Karpenter直接調動EC2 Fleets叢集，可以更快啟動，甚至也可以透過EC2 Fleets，自動使用競價型執行實例來擴充K8s，進一步降低執行的成本。在2023年，Karpenter這個專案獲得高度關注，貢獻者暴增到200人。目前這個專案正在進行捐贈給CNCF的流程，將加入K8s自動擴充SIG小組的專案之一。另外，也開始著手強化Karpenter API專案的穩定性，減少專案變動帶來的影響。像是將核心API名稱修改成以單一Node概念為核心的描述，來降低開發者的使用門檻，例如將調度器API，改名NodePool，將Machine改名成NodeClaim，將AWSNodeTemplate改為EC2NodeClass等。</p> <p><strong><span style="color:#0000FF;">#閘道API、#服務網格<br /> K8s閘道器API推出4年終於進入1.0正式版，但服務網格支援仍在實驗階段</span></strong></p> <p>用來管理K8s網路服務模式的K8s閘道器API，經過4年發展，終於釋出了1.0正式版，包括<a href="https://gateway-api.sigs.k8s.io/api-types/gatewayclass"><code>GatewayClass</code></a>、 <a href="https://gateway-api.sigs.k8s.io/api-types/gateway"><code>Gateway</code></a>、 <a href="https://gateway-api.sigs.k8s.io/api-types/httproute"><code>HTTPRoute</code></a>、<a href="https://gateway-api.sigs.k8s.io/api-types/tcproute"><code>TCPRoute</code></a>都釋出正式版。這個API最初設計用來管理從外部使用者端到K8s叢集內服務之間的網路流量（Ingress的南北向網路流向管理），後來加入了服務網格社群的提案（GAMMA計畫），將這個閘道器API的擴大到K8s單一叢集內部服務之間的網路流量管理（東西向網路流量），讓這個閘道器API的功能更完整。目前閘道器API對Ingress的支援達到正式版，但是對於叢集內服務網格流量的管理，仍處於0.8版的實驗版本階段。</p> <p><span style="color:#0000FF;"><strong>#配置程式碼化、#IaC<br /> 雲端配置管理新選擇，Pulumi ESC能用程式碼同時管理配置和機密資料</strong></span></p> <p>基礎架構程式碼化管理工具商Pulumi，最近推出了一款可用來管理所有雲端基礎設施、應用程式環境機密與配置的工具Pulumi ESC，可搭配配置即程式碼（Configuration as Code）策略，讓維運人員撰寫程式碼來管理機密與配置的階乘結構。這款工具可單獨使用，也可以與Pulumi IaC搭配運用，進一步強化配置管理的靈活性。透過Pulumi ESC CLI，用戶只需要使用一個指令，即可立刻經過身分驗證，短期存取任何雲端供應商的雲端憑證。所有環境操作都被詳細記錄下來，確保用戶能夠追蹤每個值的來源和變動。此外，Pulumi ESC融合身分驗證和基於角色的存取控制（RBAC）功能，確保組織內部資料的存取安全。</p> <p><span style="color:#0000FF;"><strong>#Docker桌面、#記憶體優化<br /> 桌面版Docker小更新，4.24版能大幅釋出容器不用的記憶體</strong></span></p> <p>在2023年度產品大會上，Docker宣布桌面版Docker發布4.24版，這次小改版，主要是將資源節省功能（Resource Saver）和Docker Compose Watch納為正式版功能。資源節省可以自動偵測桌面版Docker所使用的記憶體，更快也更有效率的分配記憶體，官方宣稱，當Docker桌面版沒有啟用任何容器時，可以大幅減少高達10倍的記憶體耗用。包括Windows、Mac和Linux版本都支援。另外，4.24版也優化了Docker桌面版中對於Docker引擎狀態和相關操作的整合，讓開發者更清楚一鍵就能執行許多指令，來簡化容器任務的操作。</p> <p><strong><span style="color:#0000FF;">#SBOM、#軟體供應鏈安全<br /> 軟體供應鏈追蹤工具Docker Scout正式上市，來提高容器應用開發的能見度</span></strong></p> <p>Docker官方正式推出Docker Scout，可用來監控和管理，整個容器應用程式從建置到部署的開發流程，能整合Sysdig、JFrog Artifactory、AWS ECR、GitHub、GitLab、CircleCI和Jenkins等多種工具，提供開發者有關保護和管理供應鏈的即時建議和分析結果，還允許開發者根據現成的政策，持續評估容器映像檔，確保這些映像檔符合軟體供應鏈最佳實踐。除了根據監控結果和政策評估提供建議，助開發者最佳化和保護應用程式之外，官方還強調，該工具的監控範疇不僅限於生產環境中執行的容器映像檔，而廣泛地涵蓋整個軟體供應鏈。此外，Docker Scout也推出一套建議的工作流程，特別適合以Docker信賴內容為基礎建置Docker容器映像檔的開發者。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/dockerScout.jpeg" /></p> <p><strong><span style="color:#0000FF;">#微軟開發工具箱、#Docker桌面版<br /> 微軟開發工具箱開始內建Docker桌面版，可以預先配置常用映像檔</span></strong></p> <p>微軟正式推出開發工具箱Dev Box後大受好評，在今年年底Ignite大會上進一步推多項新功能，其中一項重要更新是將內建Docker桌面版的映像檔，可與用來和原本就內建的Visual Studio一起用來開發雲原生應用。這也可以讓開發者可以預先配置好的容器應用映像檔，來建立一個個不同用途雲原生應用的開發環境，需要時就直接開始一個開發工具箱。微軟也強化了開發工具箱的配置程式碼化能力，更容易針對不同開發者進行客製化或個人化的設定。企業可以預先設計不同開發團隊成員或專案任務所需的開發工具箱，內建對應的配置和基礎容器應用檔，快速開啟來使用。</p> <p><strong>更多新聞</strong></p> <ul> <li>Docker發布遠端建置工具Docker Build和更完整的除錯工具Docker Debug</li> <li>CNCF宣布eBPF網路管理專案Cilium結束孵化階段，成為獨立運作的開源專案</li> <li>Linkerd發布2.14新版，強化多叢集在共享網路上的部署能力</li> </ul> <p>責任編輯：王宏仁</p> <p>圖片來源：Docker、Pulumi、Grafana Labs</p> </div></div></div>
2023/11/20 12:08作者王宏仁https://www.ithome.com.tw/news/159909
Meta發表先進AI影片編輯與生成模型Emu Edit、Emu Video
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta延續之前在圖像生成基礎模型Emu上的研究，<a href="https://ai.meta.com/blog/emu-text-to-video-generation-image-editing-research/">發表</a>僅用文字指令就能準確編輯圖像的Emu Edit模型。另外，透過分解文字轉影片（Text-to-Video，T2V）的生成過程，開發團隊發展一種稱為Emu Video的方法，可以改善最終影片的品質和多樣性。</p> <p>Emu Edit是一種創新的影像編輯方法，目的是要簡化各種影像操作任務，替影像編輯提供更方便的功能和更高的精確度。Emu Edit可以接受用戶指令，進行各種形式的編輯，包括區域和全域編輯、移除和添加背景，也能夠調整顏色並進行幾何轉換，偵測和分割任務也沒有問題。</p> <p>Emu Edit把電腦視覺任務當作指令，納入到影像生成模型中，進而在影像生成和編輯中，提供更好的控制能力。研究人員指出，當前的圖像編輯模型，通常會過度修改圖像，或是修改不足，而Emu Edit的優勢在於能夠準確按照指令進行編輯。</p> <p>Meta使用了1,000萬個合成樣本資料集訓練Emu Edit，這是目前同類中規模最大的資料集，每個樣本都包含輸入圖像、任務描述，以及目標輸出圖像。更大的資料集帶來更好的圖像編輯能力，使模型能夠忠實執行指令，產生比當前所有研究都要好的結果。</p> <p>Emu Video則是一種簡單且高效的文字轉影片生成方法，該方法運用擴散模型，並以Emu作為實作基礎。開發團隊解釋，這種影片生成架構，能夠應對多種輸入，包括文字、圖像，或是文字和圖像的組合。</p> <p>Emu Video將影片生成過程拆分為兩個步驟，首先是根據文字提示生成圖像，然後基於文字和生成圖像產生影片。這種拆分步驟的影片生成方法，讓研究人員可以有效地訓練生成模型，研究人員進一步解釋，這與過去Make-A-Video等需要一系列深層模型的研究不同，Emu Video更簡單，僅使用2個擴散模型，就能生成解析度512x512，每秒16影格長4秒鐘的影片。</p> <p>人類的評估都更偏好Emu Video的成果，與之前的研究相比，在影片的品質以及文字提示的忠實程度都有更高的評價。在品質方面，有96％受訪者偏好Emu Video而非Make-A-Video方法，而對於文字提示的忠實度，Emu Video則獲得85％受訪者的青睞。而且Emu Video也能接受文字提示，將用戶提供的圖像動畫化，這項功能超越了過去模型的能力。</p> </div></div></div>
2023/11/20 08:35作者李建興https://www.ithome.com.tw/news/159897
OpenAI執行長Sam Altman被開除
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/blog/openai-announces-leadership-transition" target="_blank">OpenAI董事會於周五（11/17）發出公告</a>，OpenAI共同創辦人暨執行長Sam Altman已卸下執行長一職，亦將離開董事會。OpenAI執行長一職將暫由技術長Mira Murati代理，即日起生效，且董事會正在尋覓永久的OpenAI執行長繼任人選。</p> <p>公告中表示，董事會是在經過深思熟慮的審核之後決定要求Altman離開，認為Altman並未一直坦誠與董事會溝通，阻礙了董事會履行職責的能力，也令董事會不再相信Altman繼續領導OpenAI的能力。</p> <p>OpenAI董事會並未公布具體的細節，僅說OpenAI的使命在於確保通用AI可造福全人類，感謝Altman對OpenAI的創立與發展所作出的貢獻，但未來需要新的領導團隊。</p> <p>1985年出生、現年38歲的Altman是在2015年與Greg Brockman、Mira Murati及Elon Musk等多人共同創立OpenAI，他在2005年、只有19歲的時候就曾共同創立社交媒體Loopt，在2011年成為創投Y Combinator 的合夥人，也是虹膜掃描加密貨幣Worldcoin的創辦人之一。</p> <p>消息傳出的當天，<a href="https://twitter.com/sama/status/1725631621511184771" target="_blank">Altman便透過X簡短地證實了此事</a>，說他非常喜愛在OpenAI的時光，特別是與那些才華洋溢的人一同工作，之後將會揭露更多未來的計畫。</p> <p>OpenAI的聲明中也包含共同創辦人之一的Brockman將辭去董事會主席一職，但將繼續擔任公司職務（技術長）。但隨後<a href="https://twitter.com/gdb/status/1725667410387378559" target="_blank">Brockman則透過X表示</a>，在知道Altman將去職之後，他也遞了辭呈。似乎也將離開OpenAI。</p> </div></div></div>
2023/11/20 09:16作者陳曉莉https://www.ithome.com.tw/news/159906
導入液態冷卻，Dell推出可搭英特爾或輝達GPU的2U伺服器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/dell_poweredge_xe9640_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在1年前舉行的SC22超級電腦期間，Dell針對高效能運算與人工智慧應用需求，發表PowerEdge XE系列伺服器3款機型，CPU均為英特爾即將推出的第四代Xeon Scalable系列，GPU區分為搭配SXM外形的Nvidia H100、A100，以及OAM外形的Intel Data Center GPU Max。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-dell-visionary-blog-111022-image-v3-9640.jpg" style="width: 400px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-XE9640.jpg" style="width: 600px;" /></p> <p>隨著今年1月英特爾第四代Xeon Scalable系列上市，Nvidia H100量產就緒，這幾款機型陸續登場。搭載8臺SXM外形的Nvidia H100、A100的<a href="https://www.ithome.com.tw/review/156425">XE9680</a>，最先於3月亮相，在臺灣、新加坡都有公開發表活動，產品的效能測試數據公布在MLPerf Inference:Datacenter 3.0、3.1，以及MLPerf Training 3.1；搭載4臺SXM外形的Nvidia H100的<a href="https://www.ithome.com.tw/review/157554">XE8640</a>，在5月登場，MLPerf Inference:Datacenter 3.1也列出此款機型的效能測試數據。</p> <p>至於表定應該與上述兩款機型同在今年上半發表的XE9640，直到9月才釋出細部規格、內部結構等相關消息。</p> <p>去年11月，Dell僅概述它是2U尺寸的GPU伺服器，將搭配搭載4臺Intel Data Center GPU Max系列為一的OAM外形加速器主板，以及導入完全的直接液態冷卻（DLC）散熱機制；到了今年3月，Dell在臺灣展出實機時，這款伺服器外形就如同一般的2U尺寸伺服器，較顯著的差異是機箱尾端接出兩條水管，而在現場展示的設備機箱內部，我們能明確認出位於後半段的處理器、記憶體配置，但前半段空空如也，極有可能將資料中心GPU設置在此。</p> <p><a href="https://s4.itho.me/sites/default/files/images/03_DELL_XE8640_20230303-Web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/03_DELL_XE8640_20230303-Web.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/05_DELL_XE8640_20230303-Web2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/05_DELL_XE8640_20230303-Web2.jpg" style="width: 298px;" /></a></p> <p>9月底在臺舉行的2023戴爾科技論壇，我們看到Dell現場特別陳列裝載GPU的3款PowerEdge XE機型，透過工作人員的解說與開箱展示，我們意外得知XE9640不僅如先前預告，可搭配Intel的GPU之餘，居然也能換成4臺SXM外形的Nvidia H100。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-09-26-Dell-TW-XE9640-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-26-Dell-TW-XE9640-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-09-26-Dell-TW-XE9640-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-26-Dell-TW-XE9640-2.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-Dell%20PowerEdge%20XE.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/2023-09-Dell XE9640-DLC.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-Dell%20XE9640-DLC.jpg" style="width: 298px;" /></a></p> <p>而在液態冷卻元件方面，XE9640採用CoolIT的產品，並且能支援這家廠商提供的機櫃液態冷卻基礎架構，能提供用於42U與48U尺寸機櫃的XE9640歧管設置。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-26-Dell-TW-XE9640-3.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-26-Dell-TW-XE9640-4.jpg" style="width: 298px;" /></p> <p> <img alt="" src="https://s4.itho.me/sites/default/files/images/poweredge-xe-9640-pdp-mod01.jpg" style="width: 188px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/poweredge-xe-9640-pdp-mod01-overview.jpg" style="width: 398px;" /></p> <p>值得注意的是，在整體資源配置上，我們注意到Dell於9月公布的技術規格指出，搭配不同GPU會影響XE9640支援的記憶體插槽數量。舉例來說，搭配Nvidia GPU，最大可使用32個記憶體插槽，能安裝到2 TB記憶體（單支64 GB），搭配Intel GPU，最大可使用16個記憶體插槽，能安裝到1 TB記憶體（單支64 GB）。若因為GPU不同而導致整臺伺服器的記憶體擴充性受限，恐怕會嚴重影響用戶搭配Intel GPU的意願。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia HGX 4-GPU Server.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20HGX%204-GPU%20Server.jpg" style="width: 600px;" /></a></p> <p>關於實際導入XE9640的案例與XE9640的效能表現，11月初適逢SC23大會舉行，公布全球500大超級電腦排行榜，有一座採用XE9640的新進系統上榜，那就是英國最快的超級電腦「Dawn」，以第一階段的狀態拿下第41名，是由劍橋大學、英國研究創新局、Dell、英特爾聯合發展的，採用Intel Data Center GPU Max 1550。</p> <p><a href="https://www.top500.org/system/180202/"><img alt="" src="https://s4.itho.me/sites/default/files/images/Top500-Dawn.png" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-Dawn-AI-Supercomputer-01-web.jpg" style="width: 298px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-11-CoolIT-1700089404729.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-CoolIT-1700089404729.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-26-Dell-TW-XE9640-5.jpg" style="width: 268px;" /></p> <p>AI效能測試結果<a href="https://mlcommons.org/benchmarks/inference-datacenter/">MLPerf Inference: Datacenter 3.1</a>也在此時公布，上面首度揭露XE9640的數據，搭配的GPU是Nvidia H100，若與同樣搭配4臺Nvidia H100的Dell PowerEdge XE8640相比，所差無幾，XE9640僅在gptj-99、gptj-99.9這兩組大型語言推論項目勝出，或許是因為XE8640可搭配更多臺固態硬碟。</p> <p><a href="https://s4.itho.me/sites/default/files/images/MLCommons-MLPerf Inference Datacenter 3_1-4-Accel.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/MLCommons-MLPerf%20Inference%20Datacenter%203_1-4-Accel.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Dell PowerEdge XE9640</strong><br /> ●原廠：Dell<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：2U<br /> ●處理器：2顆，第四代Xeon Scalable系列（最高搭配56核心機型）<br /> ●記憶體：32個DDR5-4800插槽，最大可擴充至2 TB<br /> ●儲存配置：4臺2.5吋NVMe固態硬碟+2臺M.2 NVMe固態硬碟（BOSS-N1）<br /> ●搭配GPU：Nvidia HGX H100 4-GPU，4個SXM5外形GPU，或是Intel Data Center Max GPU 1550，4個OAM外形GPU<br /> ●I/O擴充介面：4個PCIe 5.0 x16（2個全高半長、2個矮版半長）<br /> ●電源供應器：4臺2800瓦（支援2+0、2+1備援、2+2備援）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/11/20 02:21作者李宗翰https://www.ithome.com.tw/review/159900
勒索軟體LockBit鎖定Citrix Bleed漏洞發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從11月8日以來，<a href="https://www.ithome.com.tw/news/159766">勒索軟體駭客LockBit再度因為攻擊中國工商銀行（ICBC）而登上媒體版面</a>，他們之所以攻入這家公司的關鍵，是未修補Citrix NetScaler設備的漏洞Citrix Bleed（CVE-2023-4966，CVSS風險評分為9.4），但事情尚未結束！威脅研究員Kevin Beaumont針對勒索軟體駭客LockBit近期的攻擊行動提出警告，<a href="https://doublepulsar.com/lockbit-ransomware-group-assemble-strike-team-to-breach-banks-law-firms-and-governments-4220580bfcee">其實還有更多因為這個漏洞與LockBit攻擊而受害的企業</a>。</p> <p>這項漏洞Citrix於10月10日修補，事隔一週資安業者Mandiant警告，該漏洞8月下旬就遭到利用，已有政府機關與科技業者受害，隨後Citrix證實該漏洞被用於攻擊行動的情形。但究竟還有多少伺服器尚未套用更新程式？Kevin Beaumont指出，截至11月14日，仍有大約5千個組織尚未修補Citrix Bleed。</p> <p>值得留意的是，這項漏洞相當容易利用，而且，攻擊者利用之後NetScaler設備不會留下當時發出的請求，資安人員無從透過事件記錄得知系統遭到入侵。研究人員認為，這是Citrix需要著手修復的產品設計缺陷。</p> <p>不過，直到中國工商銀行的資安事故之前，還沒有企業組織傳出因為尚未修補Citrix Bleed而受害。</p> <h3><strong>中國工商銀行的美國子公司傳出遭到勒索軟體攻擊，當地媒體直指攻擊者就是LockBit</strong></h3> <p>根據<a href="https://www.ft.com/content/8dd2446b-c8da-4854-9edc-bf841069ccb8">英國媒體金融時報（Financial Times）的報導</a>，證券業暨金融市場協會（SIFMA）於11月8日向會員透露，中國工商銀行的美國子公司工銀金融（ICBCFS）傳出遭遇勒索軟體攻擊，駭客要脅付款，否則將要癱瘓該公司的電腦系統。取得交易員及銀行的說法後，金融時報提到，本次攻擊事故導致工銀金融無法結算投資人的美國國債交易，部分股票交易也受到影響。</p> <p>資安研究團隊VX-underground取得<a href="https://twitter.com/vxunderground/status/1722686306709393720">當時向股票交易員發出的警急通知</a>，內容提及中國工商銀行無法存取DTCC及NSCC，影響該公司所有清算的客戶。對此，他們暫時中斷所有對內的FIX連線，無法受理訂單。</p> <p>對此，工銀金融也於9日證實特定系統遭到勒索軟體攻擊，面臨服務中斷的情況，該公司事發後，切斷受害系統的網路並進行隔離，控制受害範圍。該公司強調，他們的業務系統及電子郵件系統，獨立於母公司之外，中國工商銀行總部辦公室，以及其他海外分公司不受影響。針對這起事故的因應，工銀金融表示已成功清算8日執行的美國國債交易，以及9日的回購融資交易。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ktYiCI0FLI_20231113-1519-52351.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ktYiCI0FLI_20231113-1519-52351.png" style="width: 580px;" /></a></p> <p>值得留意的是，<a href="https://www.bloomberg.com/news/articles/2023-11-10/world-s-biggest-bank-forced-to-trade-via-usb-stick-after-hack">彭博社</a>、<a href="https://www.reuters.com/world/china/chinas-largest-bank-icbc-hit-by-ransomware-software-ft-2023-11-09/">路透社</a>等美國當地的媒體報導，攻擊者的身分就是勒索軟體集團LockBit。而對於這起事故發生的原因，資安專家Kevin Beaumont透露，駭客很可能是針對該公司的Citrix Netscaler系統下手，利用CitrixBleed漏洞入侵網路環境，<a href="https://cyberplace.social/@GossiTheDog/111382220085861321">此伺服器在6日之後就處於離線狀態</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/0_ELOOpczXQzUBMC8M.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/0_ELOOpczXQzUBMC8M.jpg" style="width: 580px;" /></a></p> <h3><strong>勒索軟體駭客早已利用相同漏洞入侵其他大型組織</strong></h3> <p>然而，工銀金融並非唯一因為沒有修補Citrix Bleed而被LockBit入侵的受害組織。根據這位研究人員的調查，物流業者杜拜環球港務（DP World）、安理國際律師事務所（Allen & Overy）、波音等至少10家大型企業，都是受害者，不過目前並未列於LockBit的網站。他推測很有可能是正在和駭客談判，或是已向駭客支付贖金。</p> <p>這些攻擊行動如何進行？研究人員指出駭客組織有分工，前期的人員利用Citrix Bleed入侵目標企業，並部署遠端管理工具，以便後續接手的攻擊者能持續存取網路環境，而這一組人員會再利用各種手法提升權限，擺脫EDR系統控制、竊取資料，最終部署勒索軟體將檔案加密。</p> </div></div></div>
2023/11/19 16:39作者周峻佑https://www.ithome.com.tw/news/159904
哈瑪斯駭客使用資料破壞軟體BiBi，占用大量處理器資源抹除Windows電腦資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自10月上旬巴勒斯坦激進組織哈瑪斯突襲以色列，引發以巴衝突，有上百個駭客組織表態聲援兩大陣營，並透過DDoS攻擊敵對國家的企業組織來表達訴求。但也有駭客組織採取更為激進的手段，造成更為嚴重的破壞。</p> <p>10月底資安業者SecurityJoes揭露<a href="https://www.securityjoes.com/post/bibi-linux-a-new-wiper-dropped-by-pro-hamas-hacktivist-group">針對以色列組織而來的BiBi-Linux資料破壞軟體（Wiper）</a>，疑似哈瑪斯駭客所為，專門針對Linux主機而來，而BiBi字串很有可能指的就是以色列總理Benjamin Netanyahu的暱稱；接著<a href="https://twitter.com/ESETresearch/status/1719437301900595444">資安業者ESET的研究人員看到此惡意程式的變種</a>，可攻擊Windows電腦與伺服器，攻擊者是名為BiBiGun的哈瑪斯駭客，以色列電腦緊急回應團隊（IL-CERT）也發出警告，<a href="https://www.gov.il/he/departments/publications/reports/alert_1660">並提供YARA特徵碼讓企業組織能夠偵測相關攻擊行動</a>，如今，有研究人員公布進一步的調查結果。</p> <h3><strong>針對Windows電腦的惡意程式出現</strong></h3> <p><a href="http://blogs.blackberry.com/en/2023/11/bibi-wiper-used-in-the-israel-hamas-war-now-runs-on-windows">資安業者BlackBerry指出</a>，Windows版的資料破壞軟體BiBi-Windows是10月21日製作，由微軟Visual Studio 2019編譯，本體為64位元的可執行檔，大小僅203 KB。一旦電腦受到感染，此資料破壞軟體會先檢查電腦的處理器架構及執行緒的數量，為了盡可能加快破壞資料的速度，此惡意程式通常會使用12個執行緒、占用8個處理器核心，並破壞EXE、DLL、SYS以外的檔案，刪除磁碟區陰影複製服務（Volume Shadow Copy）的備份資料、停用Windows還原功能。</p> <p>而對於破壞檔案的方式，上述的資料破壞軟體會寫入隨機檔案來進行，導致檔案無法使用，而且無法復原。再者，就是會將已經破壞的檔案重新命名，更換由10個隨機字元組成的檔案名稱，並搭配BiBi1至BiBi5的副檔名。研究人員指出，駭客排除破壞上述3種類型檔案的原因，就是要維持電腦的作業系統能正常運作，以便讓破壞資料的工作能夠完成。</p> <p>為了讓攻擊流程能順利進行，這些駭客還濫用Windows作業系統內建的模組Restart Manager，以及名為Rstrtmgr.dll的程式庫。</p> <p>利用Restart Manager的目的，很有可能是為了強制將資料解除鎖定後進行破壞，而這種攻擊手法先前也曾出現，<a href="https://www.ithome.com.tw/news/138922">2020年VMware旗下的威脅防護小組指出</a>，勒索軟體Conti就利用上述方式，加密遭到鎖定的檔案。（編按：攻擊者如何濫用這種工具的方法<a href="https://www.crowdstrike.com/blog/windows-restart-manager-part-1/">可參考資安業者CrowdStrike的說明</a>）</p> <p>為了迴避偵測，攻擊者所發動的所有指令內容，採用由右至左（RTL）的順序儲存，而有機會逃過部分防毒軟體的特徵碼。</p> <h3><strong>研究人員先看到Linux惡意程式的攻擊行動</strong></h3> <p>這並非在以色衝突之後，首度針對以色列而來的資料破壞軟體攻擊。資安業者Security Joes的事件回應團隊在協助以色列企業組織調查的過程中，發現名為BiBi-Linux的資料破壞軟體，顯然是鎖定該國企業組織而來，背後疑似由隸屬哈馬斯的駭客打造，意圖在戰爭當中製造混亂。</p> <p>研究人員指出，這款資料破壞軟體特別之處，在於不與C2連線，也不會外洩受害組織的資料，更沒有留下要脅付款的勒索訊息。</p> <p>取而代之的是，此資料破壞軟體藉由無用的資料來覆寫檔案，導致資料難以復原，甚至影響整個作業系統，而且，該程式運用多個處理程序，並透過排程系統執行，最終遭到破壞的檔案會含有BiBi字串的副檔名。駭客這麼做的目的，顯然是為了讓破壞行動的效率最大化。</p> <p>與Windows版本的BiBi-Windows類似，駭客也會排除.out和.so檔案，原因是Linux版資料破壞程式bibi-linux.out和nohup.out兩個檔案，以及Linux作業系統運作所需的.so程式庫。</p> <p>值得留意的是，研究人員在公布這個惡意程式的時候，惡意軟體分析網站VirusTotal僅有兩款防毒引擎將其視為有害。</p> </div></div></div>
2023/11/19 14:22作者周峻佑https://www.ithome.com.tw/news/159903
OpenAI執行長Sam Altman被開除
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI董事會於周五（1/17）發出<a href="https://openai.com/blog/openai-announces-leadership-transition">公告</a>，OpenAI共同創辦人暨執行長Sam Altman已卸下執行長一職，亦將離開董事會。OpenAI執行長一職將暫由技術長Mira Murati代理，即日起生效，且董事會正在尋覓永久的OpenAI執行長繼任人選。</p> <p>公告中表示，董事會是在經過深思熟慮的審核之後決定要求Altman離開，認為Altman並未一直坦誠與董事會溝通，阻礙了董事會履行職責的能力，也令董事會不再相信Altman繼續領導OpenAI的能力。OpenAI董事會並未公布具體的細節，僅說OpenAI的使命在於確保通用AI可造福全人類，感謝Altman對OpenAI的創立與發展所作出的貢獻，但未來需要新的領導團隊。</p> <p>1985年出生、現年38歲的Altman是在2015年與Greg Brockman、Mira Murati及Elon Musk等多人共同創立OpenAI，他在2005年、只有19歲的時候就曾共同創立社交媒體Loopt，在2011年成為創投Y Combinator 的合夥人，也是虹膜掃描加密貨幣Worldcoin的創辦人之一。</p> <p>消息傳出的當天，Altman便透過<a href="https://twitter.com/sama/status/1725631621511184771">X簡短地</a>證實了此事，說他非常喜愛在OpenAI的時光，特別是與那些才華洋溢的人一同工作，之後將會揭露更多未來的計畫。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202023-11-18%20%E4%B8%8B%E5%8D%885_33_37.png" style="width: 600px; height: 286px;" /></p> <p>OpenAI的聲明中也包含共同創辦人之一的Brockman將辭去董事會主席一職，但將繼續擔任公司職務（技術長）。但隨後Brockman則透過<a href="https://twitter.com/gdb/status/1725667410387378559">X表示</a>，在知道Altman將去職之後，他也遞了辭呈。似乎也將離開OpenAI。</p> </div></div></div>
2023/11/18 17:26作者余至浩https://www.ithome.com.tw/news/159901
微軟11月Patch Tuesday修補5個零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於今年11月的Patch Tuesday總計修補了逾60個安全漏洞，包含5個零時差漏洞，其中又有3個已遭駭客利用。</p> <p>本月的零時差漏洞都只被列為重要（Important）漏洞，當中已遭駭客利用的是涉及Windows DWM Core Library的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36033" target="_blank">CVE-2023-36033</a>、與Windows Cloud Files Mini Filter Driver有關的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36036" target="_blank">CVE-2023-36036</a>，以及可繞過Windows SmartScreen安全功能的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36025" target="_blank">CVE-2023-36025</a>。</p> <p>DWM的全名為Desktop Window Manager，主要功能是藉由硬體加速來呈現Windows的圖像使用者介面，微軟並未公布相關的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36033" target="_blank">CVE-2023-36033</a>漏洞細節，僅說成功的攻擊將允許駭客取得系統權限。影響Windows Cloud Files Mini Filter Driver的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36036" target="_blank">CVE-2023-36036</a>也是個權限擴張漏洞，此一驅動程式為Windows的預設功能，專門用來管理雲端檔案，亦允許駭客取得系統權限。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36033" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1117-CVE-2023-36033-Windows%20DWM%20Core%20Library(1).png" style="width: 495px;" /></a></p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36036" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1117-CVE-2023-36036-Windows%20Cloud%20Files%20Mini%20Filter%20Driver.png" style="width: 482px;" /></a></p> <p><a href="https://www.zerodayinitiative.com/blog/2023/11/14/the-november-2023-security-update-review" target="_blank">趨勢Zero Day Initiative（ZDI）團隊分析</a>，不管是<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36033" target="_blank">CVE-2023-36033</a>或<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36036" target="_blank">CVE-2023-36036</a>看起來都可用來搭配遠端程式攻擊漏洞，即使只被列為重要漏洞也應優先修補。</p> <p>SmartScreen則是一個基於雲端的反網釣與反惡意程式元件，被應用在諸如Windows、IE及Microsoft Edge等微軟產品中，根據微軟的說明，<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36025" target="_blank">CVE-2023-36025</a>漏洞允許駭客繞過SmartScreen的檢查與相關提示，前提是使用者必須點選特製的Internet Shortcut （.URL）檔案，或是一個連至一個惡意.URL檔案的超連結。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36025" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1117-CVE-2023-36025-Windows%20SmartScreen%20Security.png" style="width: 502px;" /></a></p> <p>另外還有兩個已被公布但尚未遭到攻擊的零時差漏洞為CVE-2023-36038與CVE-2023-36413，前者是ASP.NET Core的服務阻斷漏洞，後者則可用來繞過Microsoft Office安全功能。</p> <p>本月只有3個安全漏洞被列為重大（Critical）等級，分別是<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36052" target="_blank">CVE-2023-36052</a>、<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36400" target="_blank">CVE-2023-36400</a>與<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36397" target="_blank">CVE-2023-36397</a>。其中，<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36052" target="_blank">CVE-2023-36052</a>為Azure CLI REST Command的資訊揭露漏洞，成功利用此一漏洞的駭客將可復原由特定CLI命令建立、且由Azure DevOps或GitHub Actions發布的紀錄檔中的明文密碼及使用者名稱。意味著未經授權的駭客將可透過存放於開源儲存庫中的紀錄檔案找到內含的憑證。微軟建議受影響的用戶應將Azure CLI升級至2.53.1或以上的版本。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36052" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2023-36052-Azure%20CLI%20REST.png" style="width: 501px;" /></a></p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36400" target="_blank">CVE-2023-36400</a>則是Windows HMAC金鑰衍生的權限擴張漏洞，成功的攻擊將允許駭客以低特權的Hyper-V Guest穿越安全邊界以於Hyper-V Host環境中執行程式，要利用該漏洞的前提是駭客必須先登入系統，再藉由特製的應用程式攻擊該漏洞並獲得系統控制權。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36400" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1117-CVE-2023-36400-Windows%20HMAC%20Key%20Derivation.png" style="text-align: center; width: 455px;" /></a></p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36397" target="_blank">CVE-2023-36397</a>是Windows Pragmatic General Multicast（PGM）的遠端程式攻擊漏洞，其CVSS風險評分高達9.8，為本月微軟所修補的安全漏洞中風險最高的。PGM是個群播協定，它讓接收方得以偵測並要求重新傳輸所遺失的資料，也能針對無可挽回的遺失祭出通知，總之是由接收方負擔接收所有資料的責任。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36397" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1117-CVE-2023-36397-Windows%20Pragmatic%20General%20Multicast%20(PGM).png" style="text-align: center; width: 570px;" /></a></p> <p>微軟說明，當Windows訊息佇列服務於PGM伺服器環境中運作時，駭客只要透過網路傳送一個特製的檔案就能實現遠端程式執行，並嘗試觸發惡意程式碼。</p> </div></div></div>
2023/11/17 19:46作者陳曉莉https://www.ithome.com.tw/news/159899
【酷澎數據力應用2：送貨調度】物流調度採用全新空間定位模式，訂單爆量都能如期送達
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>商品從高度智慧化、自動化的物流中心出發後，物流士如何在最後一哩路上，快速抵達目的地？關鍵是利用酷澎送貨管理系統，高效率分配送貨任務給15,000名以上的物流士，並推薦他們有效率的交通路徑規畫。</p> <p>要做到這些事，需要合理的送貨區域劃分，以及詳細的地理分析結果來支援。不過，隨著酷澎業務規模飛速成長，他們不得不顛覆原本的送貨管理系統，來因應暴增的送貨需求。</p> <p>過往酷澎分配送貨任務的模式是，以郵遞區號範圍為單位來劃分物流士送貨區域，一個區域每次只會由一名物流士負責。郵遞區號非常適合用來分配物流任務，一來，這些區域原本就是為了物流而規畫，二來，個別郵遞區號面積相當小，允許細緻的管理。以首爾銅雀區為例，平均一個郵遞區號範圍大約是直徑260公尺的圓，或邊長230公尺的正方形。</p> <p>然而，2021年，一個郵遞區號範圍的訂單數從每天2位數成長到3位數，超出單一物流士負荷。為了維持一個送貨區域只由一個人負責的任務分配模式，酷澎意圖將一個郵遞區號範圍細分為多個建築群，再以建築群為界，人工劃分出數個送貨區域。</p> <p>此時，酷澎便需要尋求更細緻的空間基礎單位，來紀錄這些小區域。新的基礎單位必須滿足3個條件。第一，需要容易視覺化，以利管理者劃分任務區域，並有效溝通送貨範圍給物流士。第二，基礎單位需要描述絕對位置，不會因郵遞區號、地址、送貨範圍劃分的變動，而使過往地理分析紀錄失去意義。第三，需要支援管理者在送貨管理系統上彈性更改送貨範圍。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>採用地圖網格索引作為空間定位基礎，支援高精準度定位及地理分析數據索引</strong></span></span></p> <p>根據這些條件，他們評估了Google S2跟Uber H3兩套地圖網格索引方法。這兩個索引將地球表面劃分為形狀和面積固定的多邊形網格。前者是正方形網格，後者則是正六角形網格，每個網格都有專屬ID及覆蓋範圍。</p> <p>酷澎以這些網格作為新的空間基礎單位，可以透過排列組合不同網格來彈性調整送貨範圍，也可以用網格來記錄地理分析執行範圍。網格覆蓋範圍固定的特性，使過往地理分析的紀錄不會因為送貨範圍、郵遞區號、或地址的更動，而失去意義。</p> <p>後來，酷澎決定採用正六角形網格H3。此形狀特性對於地圖系統設計以及數據管理都至關重要。其一，正六角形的地圖投影誤差較正方形小，也就是說，將地球球面轉換為平面網格時，網格內顯示出的空間扭曲程度較低，因此地理分析和路徑規畫結果更加準確。其二，正六角形較正方形在幾何學上更加緊緻，也就是說，相同對角長（或邊長）的情況下，前者可以用更少網格數來涵蓋同一個面積大小，數據儲存負擔較小。</p> <p>H3網格有不同層級，第0級將地球面積分為122個網格，第1級則將每個0級網格再分為等面積的小網格，以此類推。使用者可以根據需求選擇分區顆粒度最適合的層級。酷澎採用了第14級網格作為基本空間單位，面積約6.3平方公尺，不只可以找到目標地址，甚至可以精準定位到大樓入口或郵箱位置，一口氣取代地址和經緯度系統。反之，網格層級太高，定位會不夠精準，例如13級網格面積約為44平方公尺，有可能定位到隔壁大樓或對街。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E5%A4%A7%E5%B0%8F%E7%B4%9A%E7%B6%B2%E6%A0%BC-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E9%85%B7%E6%BE%8E.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>H3網格分為不同層級，上層網格面積較大，由下層網格組成。用網格來記錄空間資訊時，若網格太大，定位精確度會降低，網格太小，則會產生超大量網格數據管理的挑戰。</strong><span style="font-size: 14px;">圖片來源／酷澎</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>優化送貨區域及網格數據管理方法，提升儲存和執行效率</strong></span></span></p> <p>要用1格6.3平方公尺的高顆粒度網格來製作地圖，第一個課題是如何儲存超大量網格數據。</p> <p>常見空間數據儲存方法是直接以網格ID作為資料庫儲存的主鍵，但是一般RDBMS頂多只能讀寫10億欄資料。要覆蓋韓國面積，需要高達217億個14級H3網格，顯然不可行即使當下利用多個資料庫資料共享的權宜之計，一旦未來拓展服務範圍到多國市場，光是管理這些網格資料庫就會成為難題。</p> <p>酷澎做法是，以送貨區域為儲存主鍵，每筆區域數據中包含構成送貨區域的小網格ID。為了進一步增加儲存和讀寫效率，他們還利用H3網格層級轉換函數，將區域內可以組成上層網格的14級網格轉換為上層網格ID。例如，一個送貨區域可能由9個14級網格組成，其中7個剛好可以構成一個13級網格。與其紀錄9筆14級網格ID，他們會用1個13級網格和2個14級網格來記錄，ID筆數較少。</p> <p>這個儲存方法同樣能以14級網格的顆粒度來紀錄送貨區域，不過所需欄位數少了許多，讀寫更有效率，未來拓展服務範圍時，也不會面臨欄位數暴增問題。</p> <p>H3本身內建轉換經緯度到網格ID的函數，透過串接簡單的外部地圖API，也能將地址轉換為對應網格。不用專業GIS系統或地理數據庫模組，酷澎管理者就可以輕易將地址或經緯度轉換為網格ID，來查詢特定地點所屬送貨區域。這個特性，使過往以郵遞區號範圍、地址和經緯度來記錄物流數據的系統，能輕易與新的網格空間索引並用。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>進一步轉化送貨區域儲存格式，以加速更複雜的分析情境</strong></span></span></p> <p>後來，酷澎發現剛開始的送貨區域儲存模式仍有其限制。</p> <p>雖然構成送貨區域的14級網格可以用前述的網格層級轉換函式來減少儲存ID筆數，但一個區域仍會包含許多筆網格ID。當酷澎需要綜合許多區域來進行大規模或複雜地理分析時，需要處理的網格資料筆數仍非常龐大，以至於降低運算效率。</p> <p>應對方法是，將外送區域改用多邊形格式來儲存，而非大大小小的網格。具體來說，當管理者在送貨管理系統手繪了一個外送區域，系統會先儲存這個手繪多邊形，再將其轉換為由14級H3網格組成的網格組合，接著，將此網格組合儲存為一個以最外緣網格為邊界的多邊形，酷澎稱之為「六角形化多邊形」。之後，送貨管理系統就可以依照使用者需求顯示手繪或六角形化多邊形。</p> <p>外送區域內許多個網格ID合併為一個六角形化多邊形，進行複雜運算時便不再需要處理超多筆ID網格，能一定程度減少系統負擔。同時，這種多邊形保持了原本網格組合重要特性。舉例來說，依然能用14級網格的顆粒度定義邊界，在地圖上也能無縫跟其他區域邊界咬合。若需要查詢多邊形內部的空間資訊，把大多邊形轉換回H3小網格亦相當容易。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E5%A3%93%E7%B8%AE%E8%A8%98%E9%8C%84%E6%B3%95-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E9%85%B7%E6%BE%8E.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>管理者手繪出的區域為多邊形，送貨管理系統會將這個多邊形轉換為14層級的H3網格組合。若有一組14層級網格好可以組成上層網格，則會用此上層網格ID來取代，減少儲存資料大小。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／酷澎</span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>成果：允許彈性任務分區調整、拓展服務區域及快速疏通送貨延遲</strong></span></span></p> <p>送貨管理系統轉用14級H3網格作為最小空間單位，為強化他們快物流能力帶來許多好處。第一，管理者不再受限於郵遞區號範圍，可以輕易用送貨管理系統的圖像化界面分析當天訂單狀況，劃分最適當送貨區域範圍，來指派送貨任務給物流士。</p> <p>第二，酷澎執行各式地理分析時，也能以6.3平方公尺的顆粒度，精準定位出外送區域內容易交通延遲的具體位置。不只如此，由於每一個網格都代表專屬的絕對位置，就算未來郵遞區號範圍、地址，或遞送區域範圍有更動，這些地理分析紀錄仍具有參考價值。</p> <p>第三，任務指派和地理分析優化後，他們提供物流士的建議交通路徑也更加準確，進一步降低了送貨所需時間，使他們訂單暴增後，仍能守住24小時內到貨的承諾。</p> <p>最後一個好處，在酷澎進軍多國市場時開始體現。相較於過往使用韓國郵遞區號的送貨管理系統，以覆蓋全球的H3網格作為基本空間單位，加上他們優化地理數據讀寫的種種措施，使他們於不同市場時，仍能使用同一套送貨管理系統為基礎，發展他們最具標誌性的快物流服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-%E5%9C%B0%E5%9C%96%E7%B3%BB%E7%B5%B1-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E9%85%B7%E6%BE%8E.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>酷澎送貨管理系統的送貨區域編輯界面。管理者可以手動將郵遞區號範圍細分為不同送貨區域，系統會將手繪多邊形轉換為14級H3六角形網格組合後，再將多邊形邊界轉化為以最外圍網格圈起來的六角形化多邊形。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／酷澎</span></p> <p><a href="https://www.ithome.com.tw/article/159891" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1156-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=3oHIQ1sZ" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2023/11/17 14:00作者郭又華https://www.ithome.com.tw/news/159889
【酷澎數據力應用3：顧客體驗】天天上千次AB測試高度自動化，UX決策全面數據驅動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數據驅動決策是酷澎核心企業文化，數據工程師和數據科學家遍布酷澎不同部門。舉凡美術設計、介面設計、行銷策略以及其他業務環節，酷澎許多決策會利用數據來驗證最佳做法。他們最常用的驗證方法是A/B測試，酷澎App中，每個功能、每個介面設計細節、每個商品推薦邏輯，不是經過A/B測試驗證，就是正在A/B測試。</p> <p>酷澎執行A/B測試的模式是觀察新做法相較既有做法的對使用者體驗的影響，不會一次測試兩種新功能。執行測試時，工程師會撰寫App改動程式碼及指標監測程式碼，前者會部署到正式版App，在實際商業情境中觀察顧客體驗指標，後者則會擷取實驗相關指標，來監控實驗環境及顧客反應。</p> <p>每天，酷澎App上執行超過1,000個A/B測試，需要處理30億個相關事件。為了確保這些測試能妥善進行，且不會影響到App穩定度、顧客體驗或其他測試，酷澎打造了實驗平臺，中心化檢查實驗前程式碼、管理實驗設定、監控實驗指標、通報實驗異常、自動終止不良實驗，並根據各式指標彙整出實驗結果報告。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>用Lambda架構兼顧實驗結果報告的時效性及準確性</strong></span></span></p> <p>實驗平臺中，最核心的系統是A/B測試系統，負責從顧客互動事件等指標來計算出實驗結果報告。此系統採用了Spark平臺來實現Lambda架構，分為快速處理層（Speed layer）和批次處理層（Batch layer）來各自計算實驗結果。前者著重於快速產出結果，後者則強調高精確度。這兩個處理層的計算結果，會再整合為最終實驗結果，存入資料庫紀錄。</p> <p>快速處理層的實驗報告計算邏輯是，只會計算上次計算結果到當次計算期間的數據，每隔15分鐘更新一次實驗報告。這個做法的好處是，能讓內部使用者快速窺見實驗情況。不過，這種做法可能會因為數據延遲性等問題，導致計算結果並非百分之百準確，且偏差幅度會不斷累積，最終使實驗結果失真。</p> <p>而另一個批次處理層，則是每次都會重新擷取實驗開始至計算當下的原始數據，從頭開始計算整體實驗報告。也就是說，就算過往報告因為數據錯誤而產生偏差，只要後來數據有校正，便不會影響新報告。這種處理模式較費時，每1.5小時才會更新一次實驗結果報告，不過結果更加精確。</p> <p>為了同時計算上千個A/B測試的實驗報告，這些運算過程套用了Akka框架來進行分散式運算。此框架下，Spark的運算資源能更有效分配給不同並行任務，且單一運ㄔ算節點當機時，節點會自動重啟，不會連帶影響到其他實驗。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-lambda-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E9%85%B7%E6%BE%8E(1).png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>酷澎A/B測試系統採取Lambda架構，分為會用完整實驗數據計算結果的批次處理層，以及一定時間就會根據當下可用數據計算實驗結果的快速處理層。這樣的設計，可以確保實驗結果精確度，也支援高時效性分析。</strong><span style="font-size: 14px;">圖片來源／酷澎</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>設計程式碼自動化檢查機制，避免A/B測試造成不可逆系統錯誤</strong></span></span></p> <p>酷澎App高達8成的技術事故源自於A/B測試。這是因為，一口氣在不同作業系統、不同App版本、不同地區執行成千上百個實驗時，工程團隊難以鉅細靡遺檢查每一行程式碼。</p> <p>發生事故時，酷澎會撤銷A/B測試的B程式邏輯（新做法），將所有使用者導回穩定的A程式邏輯（預設做法）。然而，很多時候，實驗程式碼沒有確實分割A/B程式邏輯，導致撤銷B邏輯會連帶使A邏輯也發生異常，事故處理變得更加複雜。</p> <p>為了減少這種情況，酷澎打造了一個程式碼檢查機制，自動辨別可能造成A邏輯更動的程式碼，並通報開發人員。</p> <p>這個機制分為4個步驟。第一步，當實驗者提交A/B測試用的App程式碼，系統會於Git層級偵測測試程式碼相對於原始程式碼的異動，分為新增（Addition）、刪除（Deletion）、更動（Modification）3類。</p> <p>第二步，系統會分別將原始App程式碼及測試程式碼轉化為抽象語法樹（AST，Abstract Syntax Tree），以樹狀圖呈現出程式碼架構，來兩兩比較差異。前一步偵測到的異動程式碼，會進一步分類為新增、刪除、更動及移動（Movement）4種模式，以供後續檢查。</p> <p>第三步，前述4種異動程式碼，會根據各自檢查規則來分析語法和執行順序，以判斷是否會影響A邏輯。舉例來說，如果新增了一行宣告式程式碼，但還沒有於他處被呼叫，就會判斷為無影響風險；若新增了一行在A跟B邏輯都有可能執行的表達式程式碼，則會判斷為有影響風險。</p> <p>第四步，系統會標註出有影響A邏輯風險的程式碼，再發出警告，要求重新調整程式碼。若程式碼影響幅度很大，連風險程式碼的上層程式碼都會連帶標註。</p> <p>酷澎強調，他們使用的判斷規則不一定適用於所有部署環境和系統架構，更不是萬靈丹。不過，啟用此檢查系統後，錯誤程式碼行數減少了27%，B邏輯實驗連帶影響A邏輯的情況也減少了30%。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-%E7%A8%8B%E5%BC%8F%E7%A2%BC%E6%AA%A2%E6%9F%A5-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E9%85%B7%E6%BE%8E(1).png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">酷澎會自動化檢查A/B測試程式碼是否有將A/B邏輯完善切割，以避免事故發生時難以復原回既有邏輯。圖為新增程式碼的檢查規則，若程式碼被判斷為有影響A邏輯風險，就會通報工程師修改程式碼。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／酷澎</span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>打造規則式自動監測系統，大幅簡化實驗監測流程</strong></span></span></p> <p>執行A/B測試時，數據工程師和數據科學家必須監測許多數據指標，這包括系統面的延遲、錯誤率、測試族群分配、流量，以及使用者互動面的轉換率、點擊率、停留時間等。</p> <p>指標監測機制的設計和部署都相當複雜，因為追蹤指標數量多、許多指標會相互影響、程式碼需要和不同系統溝通，而且不同指標還需要不同判別方法及應對動作，例如某些指標達標會要求直接終止實驗，另一些指標則需要通知實驗者來調整實驗方法。</p> <p>以前，酷澎工程師部署監測機制需要花上2周，當實驗方法中途有調整，監測程式碼還必須隨之調整。為了降低監測實驗指標的時間和IT人力成本，酷澎設計了一個規則式監測系統，統一管理指標數據查詢和執行終止實驗等後續動作。也就是說，工程師部署監測機制時，只需對這一個系統設定查詢指令和不同指標觸發的動作，大幅簡化過往作業。</p> <p>這個監測系統的運作模式是，與A/B實驗指標相關的原始數據會存放於MySQL，這些原始數據會拋轉到一個時間序列資料庫。系統每分鐘自動對時間序列資料庫執行一次查詢指令，當指標達到一定門檻，則會執行工程師當初設定的動作，例如自動終止實驗，或發送警報給實驗負責人。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>轉換率下滑時快速通報，10分內自動中斷不利消費者體驗的A/B測試</strong></span></span></p> <p>A/B測試對象是酷澎消費者，若測試中功能明顯造成消費者體驗下滑，會有降低獲利，甚至流失消費者的潛在風險。</p> <p>為了減少這些損失，酷澎做了通報系統，在消費者轉換率明顯下滑時通知實驗負責人。不過，此系統採取批次運算模式，最快反應時間是4小時，止損能力有限。後來，他們打造了新通報系統，利用Spark Streaming每隔2分鐘分析一次串流資料，大幅增加數據即時性。</p> <p>酷澎判斷新功能導致消費者體驗明顯下滑的指標是新功能與消費者轉換率關聯性。若系統連續5次計算都判斷新功能拉低了轉換率，便會自動終止A/B測試，並通報實驗負責人。也就是說，從消費者體驗明顯下滑到測試終止，反應時間只需10分鐘，是先前系統反應速度24倍。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E8%B2%A0%E9%9D%A2%E5%AF%A6%E9%A9%97%E5%81%B5%E6%B8%AC-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E9%85%B7%E6%BE%8E(1).png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>A/B測試可能會導致使用者體驗下滑。酷澎會追蹤測試功能的消費者轉換率，若明顯降低，最快10分鐘就能自動終止實驗。以此圖為例，新功能轉換率低了20%，若無法快速終止實驗，會損失大量潛在營收。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／酷澎</span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>用ZooKeeper管理A/B測試設定數據，以維持大量實驗穩定性</strong></span></span></p> <p>酷澎他們使用ZooKeeper來統一管理儲存A/B測試所需的設定數據，例如測試OS、App版本、A/B測試受眾設定等。當測試方法有調整，ZooKeeper會快速同步設定到10,000個負責處理A/B測試設定的分散式運算節點，以避免不同節點設定暫時產生落差，進而影響實驗品質。</p> <p>ZooKeeper運算節點分為調度運算工作的領導者節點（Leader node），以及負責執行這些工作的追隨者節點（Follower node）。這些節點會持續進行領導者節點選舉（Leader election），依照節點可用運算資源等狀態來認定領導者節點。</p> <p>不過，這些節點的資源常會隨著使用者連線情況浮動，造成領導者選舉不穩定，大幅影響分散式運算效率。為了解決此痛點，酷澎加入了一種新節點，名為觀察者節點（Oberserver node）到運算環境，專門處理使用者連線相關任務，且不參與領導者選舉。為了進一步降低使用者連線延遲，酷澎還打造了SDK，利用虛擬資料中心（VDC）設定來尋找離系統最近的觀察者節點。有了這些做法，領導者和追隨者節點便能穩定執行領導者選舉，進而維持分散式運算效率。</p> <p>ZooKeeper處理數據量極大，每當更新後重啟，ZooKeeper於開機階段會一次傳送超過100GB的設定數據。為了確保節點間頻寬，酷澎選擇將ZooKeeper JVM部署於較貴的頻寬保證執行個體上。</p> <p>酷澎表示，實驗平臺上的許多機制都是為了規模化而設計。有高速、穩定、精確、標準化進行大量A/B測試的能力，不僅使酷澎於韓國拓展業務規模及多樣性時能持續用數據來驅動決策，甚至進軍多國市場時，他們都有意用同一套實驗平臺來管理全球業務所需的A/B測試。</p> <p><a href="https://www.ithome.com.tw/article/159891" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1156-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=3oHIQ1sZ" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2023/11/17 14:17作者郭又華https://www.ithome.com.tw/news/159890
科技電商數據力
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1156-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=3oHIQ1sZ" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>超高速物流是電商巨頭酷澎最大賣點，99.6%訂單能24小時送達臺灣3倍大的韓國。如何調度上百座物流中心、破萬人車隊，履行1,700萬名顧客的訂單？12年煉成的數據力是關鍵。</p> </div></div></div>
2023/11/17 14:22未署名https://www.ithome.com.tw/article/159891
你不知道的酷澎數據軍火庫
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年臺灣雙11的零售競爭格外激烈，一方面買氣不如往年熱絡，另一方面，席捲韓國電商市場的酷澎大舉來臺，11月剛啟動第二座臺灣物流中心，半年後又將啟用第三座，來勢洶洶。</p> <p>這家創立於美國，主攻韓國市場的零售電商，成立時間只有PChome的一半，比Momo還年輕6歲，但酷澎去年營收超過了6千億元，是臺灣電商龍頭的6倍，活躍顧客超過2千萬人。</p> <p>酷澎在韓國快速崛起的最大賣點是超高速物流。韓國面積是臺灣的3倍，酷澎可以做到99.6%訂單全都24小時送達，甚至部分地區晚上下單，隔天早上就到貨。</p> <p>實現全韓國當天送達的關鍵是超強物流能力，酷澎在全韓國廣設超過100座物流中心，7成韓國人口住家12公里內至少有一座，更自有一個超過1萬5千人規模的物流車隊。每一座都採取了高度自動化的設計，大量揀貨AGV機器人是標準配備。酷澎更找來資料科學家、業務人員、軟體工程師組成了供應鏈管理團隊，早在顧客下單之前，就能預測各地訂單需求，提前調度各地物流中心的庫存來備貨，縮短找貨、發貨的時間，盡可能減少每一個拖慢訂單履行的變因。</p> <p>酷澎物流士每天的派送路線也都靠演算法動態規畫，但酷彭不是用傳統電商慣用的郵遞區號來規畫送貨路徑，而是採用了Uber幫駕駛定位乘客的H3地理空間網格索引方式，可以精準定位到全地球任何一塊6平方公尺面積的區域，這大約是一個小轎車停車格大小。這也讓酷澎可以用更彈性、更精細的劃分派送區域，還能夠天天動態調整。</p> <p>尤其訂單暴量的購物季，一個郵遞區號區域的訂單數往往多達上百張，改用顆粒度更小的網格來分派，更容易也更能有效率地規畫每一個物流士的送貨路徑和送貨量，來確保商品能如期當日送達。</p> <p>酷澎是一家徹底善用演算法的科技零售商，上述這些物流調度、訂單預測、庫存管理、人員安排，背後全都是靠演算法來決策。除了高科技物流中心、龐大車隊這類看得見的硬實力，數據力才是酷澎鮮有人知的軟實力。</p> <p>酷澎在AWS上打造了全套PB級數據平臺架構，支援1,300位使用者每一天的決策，包括業務團隊、資料團隊、工程團隊的人員等。根據他們2022年公開演講，這個數據平臺資料量高達31.5PB，擁有15萬個資料集，每天啟動的AWS EMR節點高達5萬5千個。這個數據平臺一天執行的資料運算任務超過12萬件，單日資料查詢量超過50萬次，光是一分鐘紀錄的Log就超過710萬筆。</p> <p>從酷澎大量使用A/B測試，就能看到他們如何將數據力發揮到極致。App是酷澎主要銷售通路，每一個顧客體驗設計的決策，都是靠A/B測試來決定，而不是靠人的經驗判斷。例如，在顧客對商品的評論意見旁，要不要多加賣家名稱？看起來對營收沒有直接助益，但酷澎實驗後發現這個小修改，明顯有助於提高顧客回訪率，因為不只可以提高顧客信賴度，也能督促賣家改善後續客服品質。</p> <p>酷澎天天執行了超過1千次各式各樣的A/B測試，透過Spark串流分析平臺，每15分鐘先快速產生時效性高的估算實驗結果，每1.5小時批次總結出準確的實驗報告。</p> <p>正是因為高度重用數據，酷澎還打造了一個No-code資料建置工具，讓供應鏈管理團隊中不懂技術的業務人員，人人都能夠自行設計需要的資料分析工作流程，可以用滑鼠拖拉不同種資料庫中的資料源和運算元件，很快就能組合出一個機器學習建模的工作流程，開始進行分析，不用等工程人員幫忙開發才能分析。</p> <p>雖然酷澎主攻韓國市場，但他們在數據平臺中所打造的各種工具或技術，都是以全球擴充作為架構設計目標，不只能適用於單一國家規模的市場，也能擴大到跨國、多國市場的規模。數據平臺可說是酷澎搶灘跨國市場的數據軍火庫。</p> <p>雖然酷澎沒有公開表明，是否會將他們最擅長，也在韓國發揮極大成效的數據軍火，帶進臺灣。但是，隨著酷澎在臺物流中心，一座接著一座的啟用，這都可能成為酷澎超強數據力的新舞臺。</p> <p><a href="https://www.ithome.com.tw/article/159891" target="_blank"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1156-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=3oHIQ1sZ" style="width: 550px;" /></strong></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%85%B7%E6%BE%8E">酷澎</a></div><div class="field-item odd"><a href="/tags/%E9%9B%BB%E5%95%86">電商</a></div><div class="field-item even"><a href="/tags/%E7%89%A9%E6%B5%81">物流</a></div><div class="field-item odd"><a href="/tags/%E6%95%B8%E6%93%9A%E5%8A%9B">數據力</a></div><div class="field-item even"><a href="/tags/%E9%9F%93%E5%9C%8B">韓國</a></div></div></div>
2023/11/17 14:28作者王宏仁https://www.ithome.com.tw/voice/159892
【資安日報】11月17日，針對代管Exchange業務遭遇勒索軟體攻擊事故，雲端服務業者Rackspace透露損失估計…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">在今天我們整理的資安日報新聞當中，有不少與勒索軟體攻擊事故相關，其中最值得留意的部分，就是發生在去年底雲端服務業者Rackspace的資安事故，而在最近該公司向<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">美國證券交易委員會（SEC）提出的季報資料裡，透露他們損失的情形。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">近期透過財報資料披露資安事故帶來的損害情況，還有提供MFT檔案傳輸系統MOVEit Transfer的IT業者Progress，<a href="https://www.ithome.com.tw/news/159893">該公司亦表示SEC著手對他們進行調查</a>。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【攻擊與威脅】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.sec.gov/Archives/edgar/data/1810019/000181001923000164/rxt-20230930.htm"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">雲端服務業者Rackspace因2022年勒索軟體攻擊事故損失5百萬美元</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">大型代管服務業者遭遇勒索軟體事故，商譽受損之餘，還要額外付出多大代價？根據最近Rackspace向美國政府提交的財報，他們去年為此總共花了5百萬美元（相當於新臺幣1億5898萬元）。去年12月<a href="https://www.ithome.com.tw/news/154586">雲端服務業者Rackspace代管Exchange服務遭遇勒索軟體攻擊</a>，<a href="https://www.ithome.com.tw/news/155072">至少有27個用戶設置在此服務的PST檔遭到駭客存取</a>，到了近期該公司在財報公布了損失情形。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">Rackspace近日向美國證券交易委員會（SEC）提報10-Q表單，當中提及今年1至9月支出5百萬美元，起因就是2022年12月發生的勒索軟體攻擊，這些包含了進行事件調查、復原、法律等專業服務費用，以及當時協助客戶回應所需的人力資源成本。若將這筆金額平均分攤，該公司對每一個受害用戶須負擔的費用，約為18.5萬美元（新臺幣588.9萬元）。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">該公司也預期出險能得到540萬美元的賠償，但保險金入帳的時間可能會有所出入。由於不少客戶向Rackspace提出訴訟，該公司處理此事的成本應該還會增加，但他們認為，這些訴訟對於其財務狀況影響有限。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.databreaches.net/alphv-files-an-sec-complaint-against-meridianlink-for-not-disclosing-a-breach-to-the-sec/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國上市公司MeridianLink疑遭到網路攻擊未依規定披露，駭客竟向美國證券交易委員會告狀</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/SEC_1115_AlphV.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SEC_1115_AlphV.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站DataBreaches的報導，勒索軟體駭客組織BlackCat（Alphv）聲稱入侵了金融業軟體解決方案業者MeridianLink，這起事故發生於11月7日，駭客竊得內部資料，但並未將進行檔案加密。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">該公司同日察覺駭客攻擊的情況，直到駭客15日將其列為受害組織，他們才著手對其入侵的管道進行修補。值得留意的是，雖然MeridianLink曾嘗試與駭客進行聯繫，但似乎沒有成功，這些駭客遂向美國證券交易委員會（SEC）舉報，MeridianLink並未依照7月通過的新規定，在發生重大資安事故的4個工作天裡，向外界揭露事故細節。（但實際上，這項新規定在12月才正式實施。）</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">對此，該公司作出回應，指出這起資安事故發生於11月10日，他們當日就採取行動取得控制，僅造成極少數的業務中斷。而對於是否真的收到駭客的投訴，SEC拒絕說明。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/toyota-confirms-breach-after-medusa-ransomware-threatens-to-leak-data/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Medusa聲稱竊得豐田汽車融資公司資料，該公司證實歐洲、非洲辦事處受到影響</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/medusa-toyota.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/medusa-toyota.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，11月16日勒索軟體駭客組織Medusa聲稱入侵汽車大廠豐田（Toyota）旗下的金融服務公司Toyota Financial Services（TFS），並開價800萬美元贖金，下載駭客竊得的資料，或是要求駭客刪除檔案。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">該組織限期TFS要在10天內向他們聯繫、進行談判，或是付款1萬美元將期限延長1天。為了證明確有其事，攻擊者公布少部分資料以供驗證，內容包括財務文件、電子表單、購買發票、帳戶密碼雜湊值、用戶ID、合約、護照掃描圖檔、內部組織結構圖、財務績效報告、員工電子郵件地址等，大部分資料都使用德文。對此，豐田向該新聞網站證實，TFS的歐洲及非洲分公司出現未經授權的活動，導致系統上有限數量的資料遭到存取，他們已經將相關系統離線以免受害範圍擴大。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">而對於駭客入侵TFS的管道，<a href="https://twitter.com/GossiTheDog/status/1725203676203995606">網路安全分析師Kevin Beaumont推測</a>，該公司德國辦事處的Citrix Gateway自8月底之後就再也沒有更新，很有可能曝露重大漏洞Citrix Bleed（CVE-2023-4966）而釀禍。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://blog.google/threat-analysis-group/zimbra-0-day-used-to-target-international-government-organizations/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">4組駭客利用電子郵件系統Zimbra零時差漏洞發動攻擊</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/EXPLOIT_TIMELINE_FOR_TAG-01_width-1000_format-webp.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/EXPLOIT_TIMELINE_FOR_TAG-01_width-1000_format-webp.png" style="width: 300px; float: right;" /></a>今年6月Google威脅情報團隊（TAG）發現郵件伺服器系統Zimbra零時差漏洞CVE-2023-37580，此為反射跨網站指令碼（XSS）漏洞，Zimbra維護團隊於7月25日發布更新予以修補。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">但他們發現，自6月底開始有人將其用於攻擊行動，截至目前為止至少有4起，這些攻擊行動分別針對希臘、摩爾多瓦和突尼斯、越南、巴基斯坦而來，其中有3起是在修補程式推出前發生<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">，這些攻擊行動分別針對希臘、摩爾多瓦和突尼斯、越南、巴基斯坦而來，其中有3起是在修補程式推出前發生。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">研究人員指出，這些攻擊行動凸顯駭客不斷監控開源專案的情況，因為在開發人員於GitHub推送修補程式、尚未向使用者正式提供之前，就有人用於發起第2起漏洞攻擊行動。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.crowdstrike.com/blog/imperial-kitten-deploys-novel-malware-families/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">伊朗駭客組織TA456假借求才的名義，寄送帶有惡意Excel檔案的釣魚信</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資安業者CrowdStrike揭露伊朗駭客TA456（亦稱Imperial Kitten、Tortoiseshell）的攻擊行動，這些駭客在10月發起了網路釣魚攻擊，假借徵才的名義寄送釣魚郵件，當中帶有惡意Excel附件。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">一旦收信人開啟並啟用巨集，此惡意文件就會投放兩個批次檔及Python惡意酬載（反向Shell），以便持續在受害電腦上行動，並向C2進行通訊，過程中駭客利用PAExec、NetScan進行橫向移動，透過ProcDump從LSASS處理程序所使用的記憶體當中，截取帳密資料。此外，這些駭客也打造了IMAPLoader、StandardKeyboard等作案工具，這2種惡意程式的共通點，就是濫用電子郵件系統當作C2基礎設施。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【漏洞與修補】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="http://support.citrix.com/article/CTX583037/citrix-hypervisor-security-bulletin-for-cve202323583-and-cve202346835"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Citrix Hypervisor受到Intel處理器漏洞Reptar波及</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月15日Citrix發布資安通告，指出旗下的虛擬化平臺Citrix Hypervisor受到2個漏洞CVE-2023-23583（Reptar）、CVE-2023-46835影響，這些漏洞皆與特定處理器有關。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">其中較為受到關注的是CVE-2023-23583，這項漏洞影響建置於Ice Lake（或其他較新世代）的Intel主機上的虛擬化平臺，而有可能導致攻擊者能夠在客戶端虛擬機器（VM）執行非特殊權限的程式碼，從而入侵VM，甚至危害主機。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">另一個漏洞與採用AMD處理器的主機有關，可讓攻擊者在客戶端VM以特殊權限執行惡意程式碼，從而透過PCI裝置入侵主機。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【其他新聞】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.asd.gov.au/news-events-speeches/news/2023-11-15-australian-signals-directorate-releases-2023-asd-cyber-threat-report"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國駭客鎖定澳洲，澳英美三方安全合作協議恐成目標</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://blog.gitguardian.com/uncovering-thousands-of-unique-secrets-in-pypi-packages/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">開發人員在PyPI專案曝露近4千組帳密資料，已有部分確認為實際資料</span></span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://vulncheck.com/blog/cve-2023-44604-activemq-in-memory"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露利用訊息導向中介軟體ActiveMQ漏洞的攻擊手法，有機會繞過EDR系統偵測</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bitdefender.com/blog/businessinsights/the-chain-reaction-new-methods-for-extending-local-breaches-in-google-workspace/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露利用Google Workspace發動攻擊的手法</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.reversinglabs.com/blog/protestware-taps-npm-to-call-out-wars-in-ukraine-gaza"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">抗議軟體以NPM套件散布，訴求是以巴衝突停戰</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>近期資安日報</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159875"><strong>【11月16日】殭屍網路OracleIV、Ddostf分別鎖定Docker環境、MySQL伺服器而來，將其用於發動DDoS攻擊</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159839"><strong>【11月15日】勒索軟體駭客組織LockBit鎖定十多家大型企業，利用重大漏洞Citrix Bleed入侵，入侵這些公司內部網路環境</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159822"><strong>【11月14日】哈瑪斯駭客透過資料破壞軟體BiBi攻擊以色列企業組織，占用大量處理器資源抹除Windows電腦檔案</strong></a></p> </div></div></div>
2023/11/17 14:42作者周峻佑https://www.ithome.com.tw/news/159893
微軟準備於Windows 10中推出Copilot in Windows
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟改變了原先只打算在Windows 11中推出Copilot的策略，<a href="https://blogs.windows.com/windows-insider/2023/11/16/releasing-windows-10-build-19045-3754-to-release-preview-channel/" target="_blank">周四（11/16）宣布將讓Windows 10用戶也能預覽Copilot in Windows服務</a>。</p> <p>微軟推出了許多以Copilot為名的服務，根據微軟的定義，Copilot in Windows是個AI助理，可協助使用者於浩瀚的網路上找到答案與靈感，同時它也支援創造力及協作，讓使用者可專注於手上的任務。簡單地說，它是個整合了Bing，且可與使用者對談的AI助理。</p> <p>要在Windows 10上使用Copilot必須先透過發布預覽頻道（Release Preview Channel）安裝本周釋出的Windows 10 22H2 Build 19045.3754 （KB5032278），並於設定中的Windows Update啟用儘快取得最新更新，微軟會在未來幾個月分階段部署Copilot。</p> <p>不過，初期微軟僅規畫讓 Windows 10 22H2家用版（Home）與專業版（Pro）的個人用戶使用Copilot，尚不支援企業版（Enterprise）及教育版（Education），而且由組織控管的專業版也不會有Copilot。</p> <p>Windows 10上的Copilot in Windows呈現的方式與Windows 11差不多，其圖示會出現在下方工作列的最右邊，點選後即會在螢幕右方以側欄方式出現Copilot in Windows。有鑑於Windows 10與Windows 11有些功能上的差異，有些Windows 11具備的Copilot in Windows功能並不會出現在Windows 10中。</p> <p>而要執行Copilot in Windows的Windows 10最低系統需求，為至少4GB的記憶體，以及支援720p解析度的螢幕。</p> <p>其實微軟在<a href="https://www.microsoft.com/en-us/windows/copilot-ai-features?r=1" target="_blank">Copilot in Windows的首頁</a>上強調該服務只會出現在Windows 11上，而且已經決定要在2025年的10月14日終止對Windows 10的支援，忽然宣布要讓兩年內就要退役的Windows 10執行Copilot in Windows令外界有些詑異，<a href="https://learn.microsoft.com/en-us/windows/release-health/windows-message-center" target="_blank">微軟於Windows訊息中心透露</a>，該公司重新審視了對Windows 10的作法，並決定投入額外的資源以讓每個人都能取得Windows PC的最大價值，包括Copilot in Windows。</p> </div></div></div>
2023/11/17 14:46作者陳曉莉https://www.ithome.com.tw/news/159894
Martech雙周報第44期：Chrome將測試新IP保護功能，衝擊使用者跨網域追蹤和地理位置追蹤等用途
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(1105~1118</strong><strong style="color: rgb(0, 0, 255);">)</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#IP追蹤</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#ABM</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#LBM</span></span><br /> Chrome將測試新IP保護功能，衝擊ABM和LBM等使用IP來追蹤投放對象的行銷做法</strong></p> <p>IP不僅可以用來跨網域追蹤使用者身分，還能推測使用者背後機構及地理位置，是ABM（Acoount based marketing）及LBM（Location based marketing）常用識別資訊。Google表示，不同於第三方Cookie，目前IP追蹤沒有可以簡單讓使用者選擇退出的選項。為了保護使用者身分，<a href="https://github.com/GoogleChrome/ip-protection">他們將開始測試Chrome IP保護功能</a>，透過代理伺服器對網站主隱藏使用者IP。</p> <p>短期來說，他們正在考慮用兩層代理伺服器，第一層由Google管理，第二層則是由可信第三方負責。這樣一來，兩層代理伺服器會分別不知道目的地網址跟使用者IP，進一步增加使用者隱私。代理伺服器會分配僅能代表大略位置及所在國家的IP，不會反映出使用者具體位置。長期來說，他們則考慮和更多ISP、CDN及可信第三方機構及網站合作，打造更成熟的IP保護機制。</p> <p>雖然Firefox和Safari等瀏覽器已經有IP保護機制，不過Chrome瀏覽器市占率最高，因此會對ABM和LBM等會使用IP來追蹤廣告投放對象的行銷模式造成更大衝擊。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電商廣告</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#社群媒體廣告</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN</span></span><br /> Meta跟Amazon打通廣告數據共享及購物功能</strong></p> <p>社群媒體與RMN兩個廣告類別的龍頭打通彼此廣告生態圈！現在Meta使用者可以綁定Amazon會員身分，於Facebook及Instagram App中直接購買廣告上看到的Amazon商品。這些商品廣告會根據使用者Meta與Amazon兩方會員數據來推播，且會即時顯示商品定價、預計送達時間、是否適用免運資格等資訊。</p> <p>對Amazon來說，在最大社群媒體支援App內購物，一定程度降低了RMN廣告轉換追蹤難度，也有望提升整體廣告轉換率。另一方面，Meta於自家App開通電商龍頭購物功能，更與近月他們積極推行社群媒體電商的策略方向相符。</p> <p>Amazon強調，他們只會分享部分會員於自家App的行為紀錄給Meta，不過並未具體說明哪些行為紀錄，只提到不會直接提供搜尋、瀏覽及購買商品等資訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/amgme.png" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#圖像生成</span></span><br /> Amazon測試行銷圖像素材生成AI工具</strong></p> <p>在Google、Meta等廣告巨頭相繼推出AI圖像生成工具給廣告主後，Amazon也開始測試旗下廣告服務Amazon Ads的<a href="https://www.aboutamazon.com/news/innovation-at-amazon/amazon-ads-ai-powered-image-generator">廣告圖像生成AI工具</a>。廣告主只要在Amazon Ad控制臺中選擇產品，再點選生成，它就會自動產生一組同時具備品牌與生活風格的圖像。廣告主還能另外輸入文字提示來調整圖像內容。</p> <p>中小型商家常難以製作大量且精緻的行銷素材，因為成本過高，超出行銷預算。Amazon賣家也不例外，根據Amazon今年3月調查，行銷活動不成功的廣告主中，接近75%認為最大挑戰是建置廣告創意及選擇創意格式。</p> <p><a href="https://assets.aboutamazon.com/dims4/default/81e57da/2147483647/strip/true/crop/1600x900+0+0/resize/1320x743!/format/webp/quality/90/?url=https%3A%2F%2Famazon-blogs-brightspot.s3.amazonaws.com%2Fc2%2F32%2F90b634b34cf6b8e3e17348d1155a%2Fai-ad-design-inline-beforeafter.jpg"><img alt="" src="https://assets.aboutamazon.com/dims4/default/81e57da/2147483647/strip/true/crop/1600x900+0+0/resize/1320x743!/format/webp/quality/90/?url=https%3A%2F%2Famazon-blogs-brightspot.s3.amazonaws.com%2Fc2%2F32%2F90b634b34cf6b8e3e17348d1155a%2Fai-ad-design-inline-beforeafter.jpg" style="width: 600px;" /></a></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AR廣告</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#虛擬商品試用</span></span><br /> Google開放商家申請投放AR化妝品廣告於搜尋結果頁面，並推出新型AR購物功能</strong></p> <p>3年來，Google不斷推出AR服飾及化妝品購物功能，不過大多只支援合作品牌，並未明確說明商家可以申請使用這種形式的商品呈現方法。<a href="https://support.google.com/manufacturers/answer/13768482#zippy=%2Chow-does-segmentation-work%2Chow-does-rendering-work%2Cfor-shopping-ads%2Cfor-free-listings">近日，他們開放商家上傳AR廣告素材，來投放AR購物廣告</a>，而且沒有限定美國區商家。目前AR廣告支援眼類和唇類化妝品，未來會陸續支援更多商品種類。</p> <p>同時，<a href="https://blog.google/products/shopping/ar-beauty-shopping-ads/">他們宣布新AR購物形式</a>，這次是染髮劑和粉底試用。消費者在搜尋結果頁面會看到AR試用選項，可以從上百個模特兒中選擇模擬試用商品，還可以上傳自己照片來模擬試用。與過往AR購物功能一樣，新功能測試期間只限定美國區域，不過未來預計逐步開放其他地區，也會開放商家投放此型態廣告。</p> <p><img src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Lipstick-min.gif" style="display: block; user-select: none; margin:0; cursor: zoom-out; background-color: rgb(230, 230, 230); height: 450px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#品牌安全</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#GDN</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#影片廣告</span></span><br /> Google新增GDN和Youtube品牌安全選項，可以簡單排除廣告附近的主題</strong></p> <p>Google推出<a href="https://blog.google/products/ads-commerce/5-ways-marketers-can-protect-their-brands/">新品牌安全選項</a>，品牌主可以用勾選方式來排除與自家內容同時出現的其他內容主題，例如敏感新聞、暴力遊戲、政治內容等。此選項適用Youtube及其他會出現Google廣告的Google Display Network版面。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/qqp4.png" style="width: 600px;" /></p> <p>品牌行銷內容的鄰近內容主體對於品牌形象有相當影響，是品牌安全重要一環。Google推出此功能雖然基礎，但是重要一步。不過，過往Google有難以充分控管GDN廣告通路的<a href="https://www.ithome.com.tw/news/157759">前科</a>，而且<a href="https://www.ithome.com.tw/news/154958">不只一次</a>，因此成效如何仍有待觀察。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態：</span></strong></span></p> <p>1. Youtube推出影片縮圖A/B測試功能，不再需要逐一更換來測試。</p> <p>2. 歐盟全面禁止Meta使用歐盟和歐洲經濟區近2億6千萬人的個資來投放廣告。</p> <p>3. Google生成式AI搜尋功能開始支援臺灣在內的120個地區。</p> <p>4. Meta新增短影音A/B測試功能，並透過增加觸及率來嘗試留住平臺上創作者</p> <p>5. Line將推出AI行銷文案助手功能，最快明年上線。</p> <p>資料來源：iThome整理，2023年11月</p> <p>圖片來源：Google</p> <p>責任編輯：郭又華</p> </div></div></div>
2023/11/17 14:59作者郭又華https://www.ithome.com.tw/news/159888
【酷澎數據力應用1：訂單履行】簡化演算法建模和開發流程，供應鏈管理因應快一步
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>要實現全韓國一天到貨的快物流，韓國電商龍頭酷澎靠的是一系列數據驅動的供應鏈管理做法，例如，他們靠演算法來預測客戶需求，分析特定時間內，哪個地點的顧客對特定產品需求較大，以此提前補充物流中心庫存，確保物流中心有補貨需求才進貨，避免物流中心的庫存超過負載量。</p> <p>從預測庫存需求、採購、處理訂單、分銷，到計算最佳送貨路徑，酷澎都會利用龐大顧客訂單和百座物流中心數據，來開發出各種複雜的演算法。為此，由工程師、業務分析師、數據科學家組成的酷澎SCM（供應鏈管理）團隊，打造了SCM全套系統，用數據驅動供應鏈管理不同環節。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>開發SCM工作流程平臺，縮短高度重複的標準化作業時間</strong></span></span></p> <p>電商市場的需求和趨勢不斷變化，行銷策略和業務決策以日、週為單位變動，SCM團隊時常需要因應變動的顧客需求提前預測，早一步調度物流，提高顧客下單後的配送效率。但是，這得靠工程師盡快因應不斷變化的數據來源和查詢需求，開發新演算法，優化相關決策模型或系統來配合業務場景，協助SCM團隊展開新策略。例如，在短時間內打造不同ML模型，並將這些模型整合至SCM系統中，來因應各種業務決策需求。</p> <p>隨著業務規模越來越大，酷彭SCM團隊發現，工程師在處理數據需求和維護SCM系統時，需要進行太多重複作業，拖慢了工程團隊的開發腳步。即便是一個簡易的數據需求，都需要由工程師建立資訊工作流（Data Pipeline），提取不同資料庫數據。創建資訊工作流是一個標準化任務，處理過程卻需要使用多種工具並具備程式設計專業，每當團隊業務人員有新數據分析需求時，僅能仰賴工程師支應，溝通開發需求往往花費大量時間，導致兩造的協作效率不佳。</p> <p>另一個問題是，不同SCM系統有相似的底層架構，且數據從提取、處理至分享階段皆相似，卻需要工程師逐一維護和更新，進行大量的重複作業。例如，顧客需求、物流中心訂單遞送、訂單系統，和產品調度系統都使用彼此的數據運作，使得各個系統都擁有相似的程式碼。</p> <p>他們提高開發速度的策略是大幅簡化高度重複的標準化作業流程，降低重工。為此，酷澎開發了SCM工作流程平臺，可以中心化創建和管理模型的流程，也能管理用來執行模型底層的執行環境。SCM團隊還可以定義和設置不同工作流程的運作方式，包括安排模型運作時間的先後順序，採平行運作或重複執行等指令，或是讓工作流程按時自動化執行。</p> <p>平臺提供不少共用元件，也有一個第三方數據服務的登錄，使用者挑選需要的元件或從服務目錄清單挑選需要的數據服務，加入流程圖中為一個個任務節點，還可以安排這些節點的順序，串連不同的節點，來設計一個需要的工作流程圖。每個元件提取的數據，都可以成為下個連結元件的輸入參數，以此進行更複雜的數據計算。</p> <p>以SCM工作流程平臺為基礎，平臺上提供No-code資料建構工具，讓SCM團隊中的業務人員能自行建立資訊工作流，並取得數據，實現快速建模，還開發Low-code服務建構工具，將重複、常用的工作流程標準化，讓工程師將數據快速整合至系統中，專注於開發演算法和處理大量資料。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/555.png" style="width: 600px;" /></p> <p><strong>SCM Workflow平臺的引擎協助是使用者創建和管理模型，提供共用元件平臺，並具備第三方資料庫登錄功能，可以快速提取不同資料庫的數據。<span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／酷澎</span></strong></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>No-code資料建置工具讓業務人員快速建立工作流程</strong></span></span></p> <p>當業務團隊有數據需求時，不再需要仰賴數據工程師，可以藉No-code資料建立工具快速取得資料、查詢和輸出數據、並將資料整合到其他系統中。資料建立工具介面中的工作流程是由多個任務節點組成，節點可以互相連結，形成垂直型的工作流程圖。藉由SCM Workflow提供的第三方資料庫登錄服務，使用者可以在任務節點的設定中，從登錄清單中選出要哪些資料庫來提取資料，包括Hive、Presto、MySQL、S3等資料庫，並整合不同來源數據，匯入下個連結的節點，產出數據結果。</p> <p>例如想知道何時補充物流中心庫存，要補充多少才能滿足訂單？使用者可建立提取數據的節點，像是庫存數據擷取節點、客戶訂單數據擷取節點，和缺貨商品資料查找節點等。接著，在提取數據節點中，選定從資料庫查詢並提取數據。再來，使用者可以創建一個讓資料匯入Redshift資料倉儲的節點，設定為計算需補充的庫存量，並將其與提取數據的節點連接，就能整合不同資料庫的數據計算結果。完成這些步驟，就等於是建立了一個「計算補貨量」的工作流程。</p> <p>使用者可以藉由建立多個任務節點，來將複雜的查詢任務拆分成多個獨立任務。此外，使用者也可以藉由ID、網址和文件路徑與其他團隊成員共同編輯工作流程，並藉由回呼（callback）功能，同時執行不同任務，在更有效率的情況下協作。使用者可以預先排程，設定工作流程在每天特定時間產出數據結果，也可以設定每小時、每天或每周自動處理數據。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-SCM-%E5%9C%961-No-code%E4%BB%8B%E9%9D%A2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E9%85%B7%E6%BE%8E.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>酷澎SCM Workflow平臺提供No-code資料建構工具，讓SCM團隊可以快速建立資訊工作流，取得數據並建立業務所需的模型。例如，藉由提取庫存數據、訂單資料和缺貨商品，來製作計算補貨量的模型。</strong><span style="font-size:14px;">圖片來源／酷澎</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Low-code服務建置平臺將程式碼元件化提高再利用率</strong></span></span></p> <p>服務建構平臺則是將大量重複、常用的作業程式碼製作成現成元件，供SCM團隊其他開發者用拖拉式操作組合服務元件，來整合輸入和輸出的SCM系統所需的數據、建構系統和進行程式設計，不用撰寫太多程式碼，就能快速建置或修改系統。這些元件包括建構系統的必備功能，例如，即時訊息通知、REST回呼，和重新執行等功能，也有程式設計服務元件，協助開發者執行更複雜的作業，例如，條件句、迭代、平行運作功能。</p> <p>除了平臺提供的基本元件，SCM團隊中的開發者也可以自行定義元件，將常用的演算法製作成元件，或是連結多個元件包裹成單一元件，再註冊到平臺上，讓其他開發者也可以選取，整合到他們的工作流程中，幫助快速建立機器學習模型。藉由標準化和自動化重複的處理過程，例如數據從提取、處理至分享階段，讓開發者可以更專注在開發演算法和處理龐大的資料。</p> <p>此外，平臺也提供開發常用工具，例如，版本控制、組態、錯誤日誌和偵錯工具，並提供儀表板功能，將各項任務的執行數據視覺化，讓使用者可以快速監控工作流程運作狀態。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/777.png" style="width: 600px;" /></p> <p><strong>SCM Workflow平臺提供工作流程的即時監控儀表板，將任務狀態視覺化讓使用者可以即時了解工作流程運作情況，例如顯示正在準備、正在運作和運作失敗的任務數量。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／酷澎</span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>未來要將SCM專案成果提供給其他部門使用，也要擴大工作流程平臺應用場景</strong></span></span></p> <p>除了No-code資料建構工具和Low-code服務建構工具，為了方便SCM團隊和專案運作，SCM工作流程平臺還提供了分組管理功能，使用者可以在平臺建立不同群組的資料夾，來管理多個工作流程，快速利用已經建置好的工作流程，包括估算產品需求、預計任務完成時間（ETC）、庫存安置服務（IPS）、火箭配速服務、採購訂單、商品規格對應等流程，來支援這些用途所對應的系統所需。</p> <p>此外，SCM工作流程平臺還提供了Web版的模型檢視圖，在一個工作流程執行結束後，使用者可以直接看到每一項任務是否成功或失敗，介面也會展示哪個任務節點最花時間。若有任務執行失敗，也可以查看錯誤日誌進行除錯。</p> <p>SCM工作流程平臺提供No-code資料建構工具和Low-code服務建構工具，協助SCM團隊更即時反應變動的管理需求，強化訂單交付能力。未來，酷澎的願景是讓SCM團隊製作的這些數據專案成果，轉變為對外提供的服務，例如將預測模型提供SCM以外的部門使用。此外，他們未來將繼續加強數據處理，讓大規模數據處理變得更加便利，並確保業務可以跟更多部門共享或整合工作流程平臺，擴大工作流程平臺的應用場景。</p> </div></div></div>
2023/11/17 13:22作者李昀璇https://www.ithome.com.tw/news/159887
蘋果將採用RCS傳訊標準，讓iPhone明年與Android互通
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果已向《<a href="https://9to5mac.com/2023/11/16/apple-rcs-coming-to-iphone/" target="_blank">9to5Mac</a>》及《<a href="https://www.techradar.com/phones/iphone/breaking-apple-will-support-rcs-in-2024" target="_blank">TechRadar</a>》證實，準備在明年下半年支援RCS Universal Profile傳訊標準，以讓iPhone可以透過行動網路或Wi-Fi與Android手機互傳訊息，包括傳遞文字、照片、影片或是分享位置等。</p> <p>RCS的全名為豐富通訊服務（Rich Communication Services），現由GSM協會（GSMA）主導，為一不同行動營運商及不同手機之間的通訊標準，主要是用來取代傳統的簡訊服務；而RCS Universal Profile指的則是開發及部署RCS的功能套件，包括文字／群組聊天，分享檔案或位置等。許多不同的Android手機品牌都可透過RCS互通，包括Google與三星在內。</p> <p>根據報導，蘋果將維持iOS上的iMessage，也將持續透過iMessage讓蘋果用戶交流，對RCS Universal Profile的支援只是用來取代傳統的文字簡訊（SMS）及多媒體簡訊（MMS），它可與iMessage共同運作，但卻是獨立的。這是因為蘋果認為iMessage還是最安全的傳訊程式，RCS雖可帶來更好的互動經驗，但迄今仍缺乏端對端加密。</p> <p>其實Google早在<a href="https://www.ithome.com.tw/news/152430" target="_blank">去年呼籲蘋果採用RCS技術</a>，以讓全球手機之間有更一致的通訊體驗，<a href="https://www.ithome.com.tw/news/159709" target="_blank">Google更在今年聯合歐洲電信業者透過歐盟向蘋果施壓</a>。</p> <p>看起來蘋果並不打算開放iMessage，而是選擇支援RCS標準來打破與不同手機品牌及營運商之間的通訊藩籬，以杜悠悠之口。</p> </div></div></div>
2023/11/17 12:25作者陳曉莉https://www.ithome.com.tw/news/159885
上市公司遭網路攻擊未披露，勒索軟體集團向SEC告狀
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體集團威脅受害者支付贖金的招數愈來愈多，從早期加密受害者系統上的資料、竊取受害者資料，一直到最近，勒索軟體集團AlphV竟然直接向美國證券交易委員會（SEC）告狀，指控於美國紐約股市公開發行股票的MeridianLink並未如實對外揭露其遭到網路攻擊的意外事件。但迄今不管是SEC或MeridianLink都拒絕回應此事。</p> <p>過去勒索軟體集團加密受害者系統資料時，以解密作為要脅，等到大多數企業都知道要備份系統時，勒索軟體集團開始竊取系統資料，並以外洩資料作為要脅，目的都是為了逼迫受害者支付贖金，<a href="https://www.ithome.com.tw/news/157967" target="_blank">而隨著SEC祭出新規定</a>，要求上市公司要在4天內披露重大資安事件，也成為駭客的要脅手段。</p> <p>MeridianLink專門提供各種解決方案予金融組織，包括端對端平臺、貸款發放系統、抵押貸款、開立存款帳戶、資料與報告等，客戶則涵蓋了銀行、信用合作社及抵押貸款機構。</p> <p>而根據<a href="https://www.databreaches.net/alphv-files-an-sec-complaint-against-meridianlink-for-not-disclosing-a-breach-to-the-sec/" target="_blank">《DataBreaches》</a>引用一名參與該攻擊的消息來源報導，AlphV是在11月7日入侵了MeridianLink，AlphV並未加密任何檔案，只是盜走了檔案，且當天MeridianLink便已知情，卻一直未修補被用來入侵的漏洞，一直到AlphV於15日公開將MeridianLink列為受害對象，MeridianLink才將其修補。</p> <p>在這期間，儘管MeridianLink曾嘗試與AlphV聯繫，但之後卻幾乎沒有互動，使得AlphV決定向SEC告狀，指控MeridianLink沒有遵守網路安全事件的揭露規定。AlphV並與《DataBreaches》分享了向SEC打小報告的畫面。</p> <p>SEC在今年7月通過了一項新規定，要求上市公司要在遭遇重大資安事件的4個工作天內，向外界揭露事發細節。不過，AlphV顯然沒有調查清楚，此一規定要到今年12月才生效，而且需屬於「重大」事件。</p> <p>至於MeridianLink則回應，該起網路安全意外發生在11月10日，當天他們立即採取行動抑制了威脅範圍，同時也聘請第三方資安專家協助調查，並無證據顯示旗下各生產平臺遭到未經授權的存取，而且此一事件只造成了極小的業務中斷。</p> <p>MeridianLink僅坦承遭到駭客入侵，並未證實是否收到SEC的通知，此外，當<a href="https://therecord.media/meridianlink-confirms-cyberattack-after-sec-threat" target="_blank">《Recorded Future News》</a>向SEC求證時，SEC亦拒絕回應是否收到駭客的投訴。</p> </div></div></div>
2023/11/17 12:46作者陳曉莉https://www.ithome.com.tw/news/159886
【貫徹數據至上原則的關鍵基礎建設】酷澎PB級數據平臺大解析
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2019到2022年，全球受到疫情籠罩，線上商務市場大幅拓張。這段期間，酷澎年營收從臺幣2千億元，急速成長到6千6百億元。極其龐大的業務規模擴張，使他們持續升級數據基礎建設。</p> <p>這個基礎建設自2019年的大數據平臺擴張。不過，他們不再叫它「大數據平臺」，而是「數據平臺」──這意味著，不管數據大小，只要可以用來輔助決策，都會透過這個平臺處理、輸出。</p> <p>截至2022年，這個PB級數據平臺一天執行超過5,000個任務，使用超過70個來源的數據。從工程師、商業分析師、高階主管、外部供應商和外部廣告主，超過50個團隊使用數據平臺。甚至，酷澎預期，此平臺未來處理數據量還會再增加數倍，就算目前平臺足以支援高時效性、高並行性的PB級數據處理，他們仍不斷升級數據處理流程，為未來平臺擴充做準備。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>靠通用擷取框架來支援高速、多元、大量數據處理</strong></span></span></p> <p>酷澎數據平臺的架構主體分為擷取和分析類大平臺。擷取平臺由網頁日誌紀錄、串流數據架構及通用數據擷取框架組成，從超過70種來源擷取數據。數據平臺會自動化調度（Orchestrate）這些數據的儲存和處理程序，期間套用資安及數據品質框架。接著，數據會匯入由大數據平臺、顧客體驗分析平臺及機器學習平臺構成的分析類平臺，依照不同使用需求進一步處理數據，再輸出到實際使用這些數據的系統中。</p> <p>由於數據來源眾多，傳統手動建置個別數據流程（Date pipeline）的作法會導致管理及維護困難。酷澎做法是，自行打造一個通用數據擷取（UDI，Universal Data Ingestion）框架，能全自動化擷取資料、適用於所有數據源，且數據使用者可以不仰賴數據工程師，自行調整數據擷取設定。</p> <p>UDI框架設計強調可以處理多元、高速、大量的數據。為了支援多元數據來源，酷澎將UDI框架設計為一個Hadoop的外掛框架，新增數據源時，只要重複套用同一框架便能完成，既不需要撰寫大量程式碼，更壓低了新增流程的成本。</p> <p>酷澎還設計了各式自動化流程，以實現高速處理大量數據。例如，擷取數據時，此框架會自動化檢查數據擷取過程符合資安協定、自動化過濾數據，只存取必要欄位。批次擷取數據時，會自動評估並設定每批數據量，控制在有效率但安全的範圍內。</p> <p>為了處理大量數據，酷澎將數據湖建立在AWS S3環境，以支援大量平行擴充。數據查詢及處理也使用各式支援大量數據處理的開源技術。例如，用Hive來設計數據消費層，使用Spark來進行ELT等數據處理，以及使用Presto作為臨時資料查詢引擎。</p> <p>未來，酷澎計畫調整數據擷取模式，要發展事件驅動型（Event-based）即時資料流處理流程，並從異動資料擷取（CDC）逐漸改為強型別Log-based擷取模式。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>打造Hadoop抽象層來提升資源運用效率</strong></span></span></p> <p>數據經過初步處理，流到分析平臺，進一步根據實際應用需求來處理。分析平臺是大數據分析、數據探勘、數據管理、查詢、各式實驗、機器學習、顧客體驗分析等諸多數據應用場景的基礎建設，</p> <p>隨著數據應用需求不斷多元化、規模化，酷澎以原本數據處理架構為基礎，打造新工作管理機制，藉由提升資源利用效率，來支援更多並行工作。這對分析平臺中處理最多數據的大數據平臺，尤其重要。</p> <p>酷澎對大數據平臺下的Hadoop便下了許多功夫來優化管理機制。他們使用Hadoop環境時，遇到了一些痛點，其一是部分數據使用者不熟悉數據處理指令撰寫，成為他們使用數據的阻力，也使資源運用效率較低。</p> <p>第二個問題較為複雜，涉及到成本、資源運用及Hadoop設計帶來的限制。</p> <p>酷澎在Amazon EMR環境執行Hadoop。隨著用量提升，雲端儲存和運算資源用成本控管成為一大課題。酷澎大多使用較便宜的Spot Instances（競價型執行個體），而非較貴的Reserved（預留型）或On-Demand Instances（按需計價執行個體）。代價是，顛峰時段，運算資源時常會AWS被收回，給其他更高優先級或開價更高的雲端用戶使用，導致工作中斷，進而影響整體資料品質。</p> <p>當酷澎能穩定存取的運算資源不足，便衍生出了大量資料回填（Backfill）需求。偏偏，Hadoop設計上對於數據刪除、更新及新增（Upsert）支援度不高，大量回填不僅造成額外運算成本，還可能進一步影響數據品質。甚至，來不及等到資料回填，他們就被迫用低品質的數據來進行決策。</p> <p>2019年，為了優化雲端資源運用效率，酷澎開始依照用途來分類叢集，分出了特定用途、常駐、短期等不同叢集類型，並嚴格控管每個叢集的生命周期長短，以避免浪費運算資源。同時，他們導入了基於人工預測的擴充機制，依據資源用量峰值分析，來提前排程叢集資源擴充，以避免雲端服務商原有的自動擴充功能來不及應對爆量需求。</p> <p>後來，酷澎還打造了Hadoop抽象層來進一步強化資源分配。Hadoop抽象層是一個Web-based介面，作為中心化監控及管理系統。負責管理的工程師可以用來監控及管理EMR叢集。終端使用者則能透過Airflow operator或Python SDK等管道來提交任務需求到抽象層，再由抽象層自動分配適當的技術、叢集及資源用量。</p> <p>這個抽象層為Hadoop上的工作流程帶來幾個益處。其一，簡化了大數據處理任務的提交流程；其二，簡化了數據叢集的實體細節；其三，透過自動分配機制，每個任務獲得適當的運算資源，酷澎暫時避免了靠增加額外Hadoop叢集來擴充資源。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>調整Redshift叢集分工來降低資源爭奪</strong></span></span></p> <p>大數據平臺中，酷澎使用Redshift作為銷售、財務、產品目錄及行銷等不同領域數據的資料倉儲。酷澎表示，Redshift管理需求低、上手容易，但隨著數據量以及查詢需求提升，Redshift開始出現了一些問題。</p> <p>第一是資源用量低擴充彈性問題。Redshift擴充彈性不如Hadoop，酷澎會隨著數據使用需求彈性擴充和縮減。不過，Redshift調整的彈性不足以應付他們數據使用需求變化。這導致工程師調整用量時，時常在使用者溝通及檢查系統健康狀況，費時甚至多於擴充相關的實際工程作業。</p> <p>第二個問題是並行任務管理問題。Redshift是大規模平行處理（MPP）架構，任務佇列管理會更加複雜，且同時進行的資料查詢或資料處理任務會互相排擠。頻寬和算力的排擠，會造成執行速度下滑；數據及元數據存取權的排擠，則會導致資料存取鎖定（Data lock）。也由於MPP原本設計上不會於叢集間分享數據，酷澎起初做法是在不同叢集叢集中儲存數據副本，雖然一定程度增加任務執行速度，但算力和儲存需求負荷便會更重。</p> <p>後來，酷澎調整Redshift叢集的架構，分為3個數據處理叢集以及5個使用者查詢叢集。前者又分為1個關鍵處理叢集以及2個一般處理叢集。一般處理叢集主要用來處理數據提取及載入（ELT中的E和L），以及少量轉換（ELT中的T）；關鍵處理叢集負責關鍵資料轉換，從原始資料轉為符合不同需求的資料市集。</p> <p>5個使用者查詢叢集則分配給不同業務領域的使用者，用來做領域專門的臨時分析、額外數據轉換，以及重複執行查詢指令來做數據追蹤。</p> <p>這種分工模式，使叢集間爭取資源的情況減少。他們還將這些叢集轉換為Redshift RA3叢集，支援跨叢集數據共享功能，不再需要手動複製數據。</p> <p>不只如此，他們導入了Redshift Spectrum工具，可以直接從S3環境中查詢結構和半結構化資料，而不需要載入數據到Redshift表格中。若使用者要查詢的數據不需要經由Redshift叢集處理，便能直接透過Spectrum來快速達成。</p> <p>未來，他們計畫將Redshift資料處理程序轉移到資源擴充更彈性的EMR環境，利用Spark來進行資料處理。不過，仍支援使用者用Redshift來處理儲存於S3的數據。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>建立數據探勘系統來支援全平臺元數據檢索</strong></span></span></p> <p>良好的元數據搜尋功能對於數據探勘、數據管理、各式數據工程及數據應用來說相當關鍵。酷澎早期已經開發了元數據搜尋引擎，不過隨著數據基礎架構演進，此系統不復堪用。</p> <p>舉例來說，Hive元數據儲存在Metastore資料庫中，但實際數據則儲存在HDFS中，使用者常會需要知道數據格式、儲存位置、數據沿襲、新鮮度、以及產生時間等資訊。這與傳統RDBMS只在意表格Schema的情況非常不同。</p> <p>近年酷澎更新了數據探勘系統，會自動用Meta query從各式生產系統的資料庫以及資料倉儲蒐集元數據，並統一儲存在中央元數據資料庫中，供使用者搜尋。此系統1小時內便能反映元數據變動。</p> <p>這個探勘系統雖然不複雜，卻是大數據平臺重要的一環，也是酷澎內使用率前幾高的數據管理功能，一天會有上百人來從上千個數據表中查詢元數據。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>打造顧客分析及ML專用平臺，統一管理工作流程及資源分配</strong></span></span></p> <p>顧客資料分析以及機器學習模型訓練是酷澎兩大類關鍵數據應用情境，經手數據量大、數據處理需求多、應用範圍也廣。過往，這兩類情境的數據流程是逐案建立，不過隨著需求量提升，他們便為這兩類情境打造了專用自助式平臺，以減少重工、統一工作流程、管理資源分配，並降低非工程人員使用門檻。</p> <p>為顧客資料分析建立的自助式平臺名為顧客經驗分析平臺（CXAP），會蒐集各式客戶端事件數據並提供分析功能。此平臺作用類似於CDP，不過是整合到整個數據平臺當中，而非一個獨立系統。</p> <p>使用者於CXAP前端介面可以進行數據分析和探勘。CXAP支援輸入SQL指令，也有圖形化使用者界面，不需要寫程式碼就可以做到使用者旅途分析、銷售漏斗分析、數據趨勢分析等操作。</p> <p>CXAP後端包含開源關連式資料庫ClickHouse，支援接近即時的數據擷取和處理，可以在數據產生數十秒內完成擷取，以加速數據從生成到實際應用。他們還整合了數據分析及探勘工具Superset，可以快速製作視覺化報表。</p> <p>酷澎也為機器學習模型開發設置了一個平臺。機器學習平臺則比CXAP更加複雜，統一了數據準備、互動式Notebook開發環境、運算資源存取、超參數調整、模型部署及應用等ML工作流程，並支援常見ML工程所需資源。</p> <p>此平臺將ML模型開發流程分為3階段：數據準備階段、訓練和追蹤階段、實際應用階段。數據準備階段，酷澎使用Airflow來管理並驅動Spark、Hive、Presto等數據處理工具，以導入機器學習所需訓練數據。他們更開發了一個SDK，讓工程師可以整合、同步、分享及管理不同來源的數據集。</p> <p>訓練和追蹤階段，此平臺提供預先封裝了各式常見ML/DL框架及數據科學函式庫的容器，只要啟動一個Jupyter容器即能進行後續開發。開發人員可以透過CLI或API來存取GPU運算資源，進行模型訓練，還可以透過視覺化儀錶板追蹤實驗進度。此平臺也支援多種超參數調整演算法，來快速實驗不同超參數設定。</p> <p>實際應用階段，此平臺內建模型部署工具，用K8S來管理和執行模型部署及連結到外部應用程式。開發人員也容易透過Jsonnet來設定自動擴充配置，以及產生符合REST格式和使用gRPS協定的模型對外API。</p> <p>數據經過數據平臺一系列處理後，會輸出到各式工具及系統，供內外部終端使用者使用。正是利用這些數據，酷澎許多核心競爭能力才變得可能。</p> <p>接下來，我們將介紹酷澎如何利用這些數據，來支援火箭速配背後的自製地圖系統、高科技物流中心背後的SCM應用開發工具，以及支援產品功能設計、產品外觀設計、SCM、行銷等不同領域利用數據驅動決策的實驗平臺。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E5%9C%961-%E6%95%B8%E6%93%9A%E5%B9%B3%E8%87%BA%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E9%85%B7%E6%BE%8E.png" style="width: 600px;" /></p> <p><strong><span style="color:#B22222;">酷澎2022年數據平臺架構</span><br /> <span style="color:#696969;">酷澎數據平臺架構中，數據擷取層從超過70種數據源擷取數據，經過儲存、處理、資安及調度等程序，將數據輸入到數據分析平臺。分析平臺會再依據各式數據應用需求進行進階處理，再輸出到串接於平臺的不同系統中。</span></strong><span style="font-size:14px;"><span style="color:#696969;">圖片來源／酷澎</span></span></p> <p class="rtecenter"><span style="font-size:14px;"><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E5%9C%962-%E6%95%B8%E6%93%9A%E5%B9%B3%E8%87%BA%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E9%85%B7%E6%BE%8E.png" style="width: 600px;" /></span></span></p> <p><strong><span style="color:#B22222;">大數據平臺的Hadoop抽象層</span><br /> <span style="color:#696969;">酷澎為大數據平臺的Hadoop打造了一層抽象層。一般使用者可以透過Airflow或SDK來提交數據任務，由抽象層會自動分配任務所需資源和執行環境。系統管理員則能透過此抽象層來中心化管理EMR叢集。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／酷澎</span></p> <p class="rtecenter"><span style="color: rgb(105, 105, 105); font-size: 14px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E5%9C%963-Redshift%E5%8F%A2%E9%9B%86%E8%A8%AD%E8%A8%88-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E9%85%B7%E6%BE%8E.png" style="width: 600px;" /></span></p> <p><strong><span style="color:#B22222;">大數據平臺的Redshift叢集設計架構</span><br /> <span style="color:#696969;">酷澎為大數據平臺的Redshift重新設計了叢集架構，數據會先由2個一般處理叢集進行提取和載入，再由關鍵處理叢集來轉換，輸入到5個依業務領域分類的使用者查詢叢集，進行進一步轉換、測試和分析。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／酷澎</span></p> <p class="rtecenter"><span style="color: rgb(105, 105, 105); font-size: 14px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E5%9C%964-%E5%85%83%E6%95%B8%E6%93%9A%E6%90%9C%E5%B0%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E9%85%B7%E6%BE%8E.png" style="width: 600px;" /></span></p> <p><strong><span style="color:#B22222;">大數據平臺的數據探勘系統</span><br /> <span style="color:#696969;">數據探勘系統會從各式生產資料庫及資料倉儲蒐集元數據，供每天上百個使用者搜尋上千個數據表的各式元數據，包括數據格式、儲存位置、沿襲歷程、新鮮度、以及產生時間等。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／酷澎</span></p> <p class="rtecenter"><span style="color: rgb(105, 105, 105); font-size: 14px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E5%9C%965-CX%E5%88%86%E6%9E%90%E7%A4%BA%E7%AF%84-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E9%85%B7%E6%BE%8E.png" style="width: 600px;" /></span></p> <p><strong><span style="color:#B22222;">分析類平臺的顧客體驗分析平臺</span><br /> <span style="color:#696969;">酷澎分析平臺下的顧客體驗分析平臺可以用SQL指令來搜尋各式客戶端事件數據，也能透過No-code工具來生產各式視覺化資料分析報表。圖為分析顧客旅途用的桑基圖。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／酷澎</span></p> <p class="rtecenter"><span style="color: rgb(105, 105, 105); font-size: 14px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E5%9C%966-ML%E5%B9%B3%E8%87%BA%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E9%85%B7%E6%BE%8E.png" style="width: 600px;" /></span></p> <p><strong><span style="color:#B22222;">分析類平臺的機器學習平臺</span><br /> <span style="color:#696969;">酷澎分析平臺下的機器學習平臺制定了一個標準化工作流程，涵蓋資料準備、訓練、GPU資源調度、模型調整、模型儲存、模型部署、外部系統串接。平臺上提供許多常見ML工程所需資源，並有統一GPU資源分配機制。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／酷澎</span></p> </div></div></div>
2023/11/17 11:13作者郭又華https://www.ithome.com.tw/news/159882
微軟新Windows App讓iOS、macOS裝置也能使用Windows、遠端桌面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟昨日<a href="https://apps.microsoft.com/detail/9N1F85V9T8BN" target="_blank">在Microsoft軟體市集公布iOS、iPadOS及macOS版Windows App預覽版</a>，未來正式版將讓用戶在iOS裝置及Mac電腦上，也能透過串流使用Windows服務。</p> <p>Windows App是微軟為推廣雲端化Windows及相關服務而設計。<a href="https://learn.microsoft.com/en-us/windows-app/get-started-connect-devices-desktops-apps" target="_blank">微軟指出</a>，Windows App讓用戶可在任何裝置上連結Windows 10或Windows 11裝置和應用程式。利用Windows App，用戶可以連到Azure Virtual Desktop、Windows 365、給開發人員用的雲端開發箱Microsoft Dev Box、遠端桌機服務（Remote Desktop Services）及遠端PC等。</p> <p>Windows App提供可客製化首頁，允許用戶在單一介面中存取Windows多種不同服務，或是遠端PC。即使用戶使用多個帳號，也能利用Windows App在不同服務間輕鬆切換。</p> <p>Windows App提供多種功能，包括多螢幕支援、自訂顯示器解析度、動態顯示器解析度及縮放、裝置重導向，像是攝影機、音訊裝置、儲存設備和印表機等。它也會提供Teams優化功能。</p> <p>Windows App可在多種平台或裝置上使用，包括桌機、筆電、平板、智慧型手機及瀏覽器。在桌機及筆電上使用瀏覽器時，用戶甚至無需下載或安裝這個App。</p> <p>目前以Windows版、macOS、iOS、iPadOS及Web版Windows PC App可順暢存取Azure虛擬桌面、Windows 365、Dev Box。但Windows及Web版無法使用RDS及遠端PC。至於macOS及iOS/iPadOS版本，是可以連到RDS及遠端PC，但在測試版階段，微軟目前還不支援連線。</p> <p class="rtecenter"><a href="http://learn.microsoft.com/en-us/windows-app/get-started-connect-devices-desktops-apps" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1117-windows%20app%20ios-600-1.png" style="width: 600px;" /></a></p> <p>蘋果裝置用戶若想使用Windows App，macOS需在12.0版以上，iOS/iPadOS則需在16.0版以上。至於瀏覽器，Windows App支援Edge 79版、Google Chrome 57、Apple Safari 11、Mozilla Firefox 55版及以後版本。</p> </div></div></div>
2023/11/17 11:37作者林妍溱https://www.ithome.com.tw/news/159883
善用誘因找出真正有熱情的員工
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-you_yin_she_ji_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>假設你是一家中型公司的專案經理，手下有數十名員工。你通常會明確指派工作給各個員工，期待他們交出漂亮的成績，結果只得到平平的表現。有鑑於員工的資歷和過去的成就，你不會懷疑他們的能力。他們表現不佳的原因可能是什麼？有許多合理的解釋，例如工作時限太短、健康問題和缺乏動機。雖然直接向員工求證可以排除一些外部原因，但是講到動機，你幾乎不可能挖到真相。</p> <p>從員工踏進公司的那一刻起，就是這樣。有一種談判情況可以接受撒謊：你在面試一份新工作時，無論真實感受如何，對於未來有可能成為你工作所在的公司，都應該表現興奮之情。在大部分談判中，不管你再怎麼想要達成協議，正確的策略都是保持冷靜，努力讓對方相信這場談判對你沒那麼重要。如果你走進一間二手車經銷商說：「哇！這款車我已經找了一年多。這部車獨一無二，實在棒呆了──我要買下它！多少錢？」這樣你可能會被當冤大頭。可是，求職面試正好相反。公司比較看重滿懷熱情的求職者。面試的最佳策略是盡可能表現出對這份工作的興奮，即使誇張一點也沒關係。</p> <p>既然每個人都有表現出熱情的誘因，那麼雇主要如何辨別誰在假裝？問員工有多喜歡在你的公司工作是問不出什麼的，因為他們都會說：「我很喜歡！」雖然有些員工說的是實話，可是我們沒有辦法分辨真正有和沒有動力的人。</p> <p>如何確認員工績效不彰的問題出在動機？要運用誘因診斷問題，行為經濟學的策略之一是創造與說實話「誘因相容」的情境。我們不去問那些對方回答時可能會刻意迎合你的問題，而是用誘因鼓勵他們展露真實偏好。</p> <p><span style="font-size:28px;"><strong>辭職獎金策略讓員工言行合一</strong></span></p> <p>你身為雇主，要如何創造一個讓員工顯現工作意願的環境？有些公司採用一種耐人尋味的策略：「辭職獎金」。Zappos首開先例，給主動辭職的員工2,000美元的辭職獎金，亞馬遜隨後效法，獎金是5,000美元。銳玩遊戲（Riot Games）甚至大手筆加碼，辭職獎金高達2.5萬美元，而且沒有任何附帶條件。</p> <p>亞馬遜前執行長貝佐斯在致股東年度信中，如此解釋「離職獎金」策略：</p> <p>辭職獎金的概念非常簡單。我們一年發一次員工辭職獎金。第一年是2,000美元。然後逐年增加1,000美元，最高是5,000美元。這項獎金的標題是「請不要拿獎金」。我們希望他們不要申請這項獎金；我們希望他們留下來。那麼，我們為什麼設立這項獎金？它的目的是鼓勵員工花時間思考自己真正想要什麼。從長遠來看，員工留在他們不想待的地方，對員工或對公司來說都不健康。</p> <p>「辭職獎金」策略迫使員工「言行合一」，是一種檢驗員工工作熱情的巧妙方法。公司不必詢問員工的真實感受，只需要給他們選擇並觀察他們即可。在大部分公司，怨憤的員工沒有動機表達自己的真實感受，而額外的金錢誘因讓員工隱藏真實感受的代價變高。辭職獎金讓偽裝變得昂貴，尤其是員工真的有所不滿的情況下，這筆獎金或許足以讓一些員工選擇另尋前路。這項誘因不只可以做為診斷工具，揭露員工是否有動機問題，也可以做為解決方案：沒有動機的員工可以愉快地離開，這對員工和公司來說都是雙贏。沒有動力的員工可以拿到一筆可觀的獎金走人；公司也能受惠，因為拒絕誘惑而留下來的員工是會比較努力實現長期目標的一群人。</p> <p>辭職獎金創始者Zappos在2003年到2008年間，預估年營業額從7,000萬美元成長到超過10億美元，隨後在2009年就被亞馬遜收購。《哈佛商業評論》的比爾．泰勒（Bill Taylor）認為，Zappos的成功有一部分要歸功於出色的顧客服務。這家公司「充滿個性」，而如何篩選出客服中心那些敬業、懂應對的員工，讓顧客滿意，辭職獎金是關鍵因素。</p> <p>辭職獎金是激進的策略，不過可以讓經理人尋找訊號，顯示員工留在公司不是因為別無選擇，而是因為喜歡這家公司勝於其他一些非常有吸引力的選擇。</p> <p>我曾經和一家對實行辭職獎金措施有興趣的大型顧問公司合作。在這家公司，員工的聖杯就是成為合夥人。在公司從基層做起的員工大部分最後都無法實現這個目標。不過，他們得益於在公司累積的經驗和知識，轉到其他公司工作。這個過程對公司和員工都好，雙方通常能好聚好散，而且對這段經歷懷著感謝。</p> <p>這家顧問公司特別擔憂一點：它正在推動營運方式的重大科技變革，因此員工必須投入時間學習新科技，徹底改變工作方式。雖然有些人對這個機會滿懷期待，但是也有些人不想脫離現狀。因此，公司現在面臨一種逆選擇：它無法知道哪些員工想要改變，哪些員工不想。單是詢問只會讓每個人都說自己對變革感到振奮。</p> <p>假設公司在五年期滿時對員工做評估。一如前文討論到的，直接問員工在公司是否滿意，答案可能是「當然！」即使員工意興闌珊，打算不久後離開，也不會吐實。如果公司提供豐厚的辭職獎金，可以更了解員工現階段的真實偏好。</p> <p>如果員工真的想離開，公司或許最好在這個階段就了解到這一點，並用豐厚的獎金送他離開，這樣還能讓公司在外面多一名親善大使，因為對方對自己在公司工作的這段時期會說好話。在結果#1（沒有幹勁的員工接受獎金），辭職獎金有助於公司節省因低素質員工而產生的成本，而這類成本在長期非常可觀。</p> <p>在結果#2，選擇放棄獎金的人表現留下來的決心，努力爭取成為合夥人。經過這個篩選過程，選擇留任的員工是更有幹勁、工作能力更強的員工。網路勞動市場研究顯示，在有辭職獎金措施下而留任的工作者，平均工作準確度比沒有任何誘因的對照組高出8.3%。</p> <p>此外，這種情況的心理學指出，沉沒的機會成本會影響後續的行為。員工藉由放棄獎金表明自己的認真、有幹勁，因而會覺得有必要向自己證明，放棄獎金、努力為長期目標努力而留下來是值得的。</p> <p>阿姆斯特丹大學體育館的一項現場實驗印證這個見解。健身房對部分新會員提供一項退會方案，除了可以全額退款，還可以額外拿到原始入會費10%的現金獎勵。從統計數字來看，與對照組會員相比，適用但拒絕使用這個方案的會員每週上健身房的可能次數增加0.29次，續會率增加4%，而且健身成效提高0.76分（滿分為10分）。<span style="color:#696969;"><strong>（本文摘錄整理自《誘因設計》，天下文化提供）</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600_%E8%AA%98%E5%9B%A0%E8%A8%AD%E8%A8%88_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%A4%A9%E4%B8%8B%E6%96%87%E5%8C%96(2).png" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 誘因設計：精準傳遞訊號，讓人照著你的想法行動（Mixed Signals: How Incentives Really Work）</strong><br /> 尤里．葛尼奇（Uri Gneezy）／著；周宜芳／譯<br /> 天下文化出版<br /> 定價：480元</p> <p><a href="https://www.amazon.com/stores/author/B00E99ISIO/about?ingress=0&visitId=67f191b2-eb38-4ae3-8fea-02c13c3e83d0&store_ref=ap_rdr&ref_=ap_rdr" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/125_%E8%AA%98%E5%9B%A0%E8%A8%AD%E8%A8%88_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%A4%A9%E4%B8%8B%E6%96%87%E5%8C%96.jpg" style="width: 125px;" /></a></p> <p><a href="https://www.amazon.com/stores/author/B00E99ISIO/about?ingress=0&visitId=67f191b2-eb38-4ae3-8fea-02c13c3e83d0&store_ref=ap_rdr&ref_=ap_rdr" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Amazon</span></span></a><br /> <strong>尤里．葛尼奇（Uri Gneezy）</strong><br /> 加州大學聖地牙哥校區瑞帝管理學院經濟學教授，艾普斯坦／阿特金森行為經濟學名譽講座教授。過去25年來，他的研究重心是透過有效誘因的設計，把行為經濟學付諸真實世界的實踐。他曾與無數企業合作，其中包括迪士尼、汽車評鑑及鑑價網「艾德蒙茲」（Edmunds）和惠普等，幫助他們以打破傳統的方法達成傳統的績效目標。<br /> 葛尼奇的誘因研究工作，得到國家與國際組織的財務資助，例如國家科學基金會、美國衛生研究院、以薩克・拉賓以色列研究中心、以色列科學部與青年科學家計畫等。著有《一切都是誘因的問題》。</p> </div></div></div>
2023/11/17 12:00未署名https://www.ithome.com.tw/article/159769