iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 23:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】11月29日，上海商銀驚傳1.4萬客戶資料外洩，金管會公布調查結果列4大缺失，依銀行法重罰千萬，外洩管道仍…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金融業強化資安不遺餘力，從<a href="https://www.ithome.com.tw/article/156845">投入的資安預算高居臺灣各產業之冠</a>可見一般。但最近一起資料外洩事故並非銀行主動揭露，竟是等到主管機關祭出處罰才曝光。</p> <p>金管會最近針上海商銀資料外洩事故祭出高額裁罰引起舉國關注，上海商銀在事發後僅公告證實遭罰，但根據現在已知的資訊，仍難以判斷具體發生資料外洩的行為與過程，期昐上海商銀未來能提出更詳細的說明。而對於接下來要進行的檢討與改善，上海商銀也勢必要儘快公開這方面的資訊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/160048"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">上海商銀1.4萬客戶資料外洩，金管會列4大缺失，依銀行法重罰千萬</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/上海商銀4大.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%8A%E6%B5%B7%E5%95%86%E9%8A%804%E5%A4%A7.jpg" style="width: 300px; float: right;" /></a>11月28日金融監督管理委員會在例行記者會上，公布上海商業儲蓄銀行客戶資料外洩案的查核結果，並針對此案該行所涉及的缺失，祭出違反銀行法第129條第七款的法令裁罰，處以1千萬元罰鍰。上海商銀也在股市公開觀測站發布重大訊息，證實受罰。</p> <p>金管會銀行局長副局長童政彰表示，陸續接獲匿名民眾反映該行資訊安全問題，而後續查核結果顯示，上海商銀有未完善建立及未確實執行內部控制制度的情形，導致1.4萬名客戶資料外洩，而且未能保有相關軌跡。目前外洩來源至今仍不清楚，但金管會推測，很有可能是從資訊廠商或行員流出。</p> <p>資料來源</p> <p>1. <a href="https://www.fsc.gov.tw/ch/home.jsp?id=2&parentpath=0&mcustomize=news_view.jsp&dataserno=202311280004&dtable=News">https://www.fsc.gov.tw/ch/home.jsp?id=2&parentpath=0&mcustomize=news_view.jsp&dataserno=202311280004&dtable=News</a><br /> 2. <a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=183851&SPOKE_DATE=20231128&COMPANY_ID=5876">https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=183851&SPOKE_DATE=20231128&COMPANY_ID=5876</a></p> <p><a href="https://www.ithome.com.tw/news/160062"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資安業者Gogolook揭露亞洲詐騙現況，臺灣4成民眾每週會遇到數起騙局</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖）Gogolook與全球反詐聯盟X_圖片來源Gogolook與全球防詐聯盟.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89Gogolook%E8%88%87%E5%85%A8%E7%90%83%E5%8F%8D%E8%A9%90%E8%81%AF%E7%9B%9FX_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Gogolook%E8%88%87%E5%85%A8%E7%90%83%E9%98%B2%E8%A9%90%E8%81%AF%E7%9B%9F.jpg" style="width: 300px; float: right;" /></a>以開發Whoscall聞名全球的資安業者走著瞧（Gogolook），聯手全球防詐聯盟（Global Anti-Scam Alliance，GASA），<a href="https://gogolook.com/zh-hant/news/gasa-gogolook-asas-2">於11月20日舉辦第一屆亞洲防詐高峰會（Anti-Scam Asia Summit，ASAS）</a>，將詐騙威脅升格為須獨立看待的重要議題，突顯其威脅程度極為嚴重，各國必須團結因應、對抗。此會議匯聚亞洲各國的政府部門、企業、學者及非營利機構代表，共同探討亞洲最新詐騙趨勢與因應策略。本次高峰會的主題，聚焦於AI詐騙對於資訊安全與各產業造成的衝擊。</p> <p>在本次會議當中，Gogolook與GASA也發布亞洲詐騙調查報告，他們針對亞洲11個國家地區，調查逾2萬名民眾，結果發現，亞洲地區超過6成民眾每週至少會遭遇1起詐騙事件，而在臺灣，有4成民眾每週會遇到數起、在社群媒體遭遇詐騙的經驗近35%。</p> <p>特別的是，他們也特別提及臺灣特別嚴峻的詐騙問題「帳單繳款詐騙」，僅次於身分與個資盜用（或盜刷）的情況。再者，臺灣最多人上當的原因，竟是不確定是否為詐騙但選擇冒險（27.9％），代表臺灣人可能自以為聰明，決定涉險而上當。</p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-start-exploiting-critical-owncloud-flaw-patch-now/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">檔案共用系統onwCloud重大漏洞已被用於攻擊行動</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/b17b5110bd259166.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/b17b5110bd259166.png" style="width: 300px; float: right;" /></a>檔案共享平臺ownCloud於11月21日發布資安通告，指出該系統存在3項重大漏洞，呼籲IT人員應儘速採取緩解措施。其中，CVSS風險評分達到10分的漏洞CVE-2023-49103，傳出已被用於攻擊行動。</p> <p>資安業者GreyNoise提出警告，他們從25日開始看到有漏洞嘗試利用的跡象，並在27日早上8時顯著增加。Shadowserver基金會也指出，他們偵測到1.1萬臺伺服器曝露於該漏洞的危險，這些伺服器大多位於德國、美國、法國、俄羅斯。</p> <p>資料來源</p> <p>1. <a href="https://www.greynoise.io/blog/cve-2023-49103-owncloud-critical-vulnerability-quickly-exploited-in-the-wild">https://www.greynoise.io/blog/cve-2023-49103-owncloud-critical-vulnerability-quickly-exploited-in-the-wild</a><br /> 2. <a href="http://infosec.exchange/@shadowserver/111483954554586644">http://infosec.exchange/@shadowserver/111483954554586644</a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://bishopfox.com/blog/ray-versions-2-6-3-2-8-0"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">AI框架Ray存在重大漏洞，攻擊者恐藉此對叢集運算節點進行未經授權存取</span></strong></a></p> <p></p> <p>資安業者Bishop Fox揭露開源AI運算框架Ray的3項重大漏洞CVE-2023-48023、CVE-2023-48022、CVE-2023-6021，這些漏洞涉及缺乏身分驗證、伺服器請求偽造（SSRF）、不安全的輸入驗證，其中的CVE-2023-6021風險評分為9.3（其餘漏洞尚未有分數）。</p> <p>研究人員認為，這些漏洞最嚴重的是CVE-2023-48023，起因是該系統在主控臺及用戶端程式並未強制執行身分驗證，從而導致遠端的攻擊者可在未經身分驗證的情況下，取得Ray叢集所有節點的作業系統權限，或是試圖搜尋EC2執行個體的帳密資料，然後提交或刪除工作排程，甚至有可能收集敏感資訊，或是執行任意程式碼。</p> <p>關於此次漏洞的揭露，在Bishop Fox之前，就有其他人向開發商Anyscale通報，然而，開發商雖然承認此AI運算框架存在上述3個漏洞，但並未打算修補，截至11月2日發布的2.8.0版Ray，仍曝露於相關風險當中。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/160066"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國、英國聯手發布安全AI系統開發的指引</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/IMG_3829_blurred.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_3829_blurred.jpg" style="width: 300px; height: 400px; float: right;" /></a>11月28日歐洲刑警組織（Europol）宣布，他們與挪威、法國、德國、美國、烏克蘭等7個國家的執法機構通力合作，在處於戰亂的烏克蘭進行攻堅，<a href="https://www.eurojust.europa.eu/news/ransomware-group-dismantled-ukraine-major-operation-supported-eurojust-europol">逮捕涉嫌在全球71個發動勒索軟體攻擊的主嫌，以及4名共犯</a>。</p> <p>這次的執法行動源自於2019年由法國發起的調查，他們首次於2021年逮捕12名駭客，並循線根據查獲的作案裝置進行鑑識，從而逮到這次被捕的嫌犯。這些駭客藉由暴力破解、SQL注入、發送帶有惡意附件的釣魚郵件，來竊取使用者的帳號及密碼，一旦成功滲透至目標網路，便透過TrickBot、Cobalt Strike、PowerShell Empire等工具，來獲得內部網路的存取權限，最終發動勒索軟體攻擊。</p> <p>這些執法單位估計，駭客至少加密250臺伺服器，造成數億歐元損失。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://twitter.com/AlvieriD/status/1729567746487124406"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客組織BlackCat聲稱是中石化網路攻擊事故的幕後黑手</span></span></strong></a></p> <p></p> <p><a href="https://www.securityweek.com/hackers-hijack-industrial-control-system-at-us-water-utility/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國賓州自來水公司的工業控制系統傳出遭到駭客劫持，傳出是伊朗駭客所為</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/slovenias-largest-power-provider-hse-hit-by-ransomware-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">斯洛維尼亞大型能源供應商HSE遭遇勒索軟體攻擊，部分IT系統及檔案遭加密</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/dp-world-confirms-data-stolen-in-cyberattack-no-ransomware-used/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">國際物流業者杜拜環球港務證實資料外洩，但攻擊者並未使用勒索軟體加密檔案</span></span></strong></a></p> <p></p> <p><a href="https://chromereleases.googleblog.com/2023/11/stable-channel-update-for-desktop_28.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google修補今年第6個Chrome零時差漏洞CVE-2023-6345</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160051"><strong>【11月28日】美國醫療保健服務業者Henry Schein傳出二度遭遇勒索軟體BlackCat攻擊，導致電子商務平臺遭到癱瘓</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160022"><strong>【11月27日】荷蘭半導體業者NXP遭中國駭客攻擊，入侵時間超過2年，驚傳與晶片設計相關智慧財產資料被竊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160001"><strong>【11月24日】 Mirai殭屍網路變種感染路由器、NVR網路視訊監控裝置，攻擊者利用的零時差漏洞，疑涉及預設的弱密碼</strong></a></p> </div></div></div>
2023/11/29 17:56作者周峻佑https://www.ithome.com.tw/news/160069
7國聯手逮捕受害者遍布71個國家的5名勒索軟體駭客
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.europol.europa.eu/media-press/newsroom/news/international-collaboration-leads-to-dismantlement-of-ransomware-group-in-ukraine-amidst-ongoing-war" target="_blank">歐洲刑警組織（Europol）本周宣布</a>，在7個國家執法機構的通力合作下，已於正處於戰亂中的烏克蘭逮捕了涉嫌於全球71個國家，發動勒索軟體攻擊的5名駭客。</p> <p>這次的行動其實是基於<a href="https://www.ithome.com.tw/news/147600" target="_blank">2021年逮捕行動</a>的同一調查，之後Europol針對該次行動所查獲的裝置進行鑑識分析，而追蹤到此次逮捕的嫌犯。</p> <p>挪威、法國、德國與美國的執法機構總計派出逾20名調查人員至基輔，協助烏克蘭警方進行調查，同時Europol的荷蘭總部也建立一個虛擬指揮所，負責分析於烏克蘭所查獲的資料。雖然目標是一名32歲的勒索軟體攻擊首腦，但這次的行動同時也拘留了4名該首腦的同夥。</p> <p>Europol指出，這群駭客專門鎖定全球71個國家的大型組織，利用LockerGoga、MegaCortex、HIVE及Dharma等勒索軟體發動攻擊，他們各自扮演不同的角色，從破壞受害者的IT網路到洗錢。</p> <p>調查顯示，駭客藉由暴力攻擊、SQL注入及發送含有惡意附加檔案的網釣郵件，來竊取使用者的帳號及密碼，成功滲透至目標網路之後，再透過TrickBot、Cobalt Strike或PowerShell Empire等工具，來獲得內部網路的存取權限，繼之發動勒索軟體攻擊，估計駭客至少加密了這些受害組織的250臺伺服器，造成數億歐元的損失。</p> </div></div></div>
2023/11/29 15:57作者陳曉莉https://www.ithome.com.tw/news/160066
Google啟用首個地熱能源專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/outreach-initiatives/sustainability/google-fervo-geothermal-energy-partnership/" target="_blank">Google在周二（11/28）宣布</a>啟用位於美國內華達州的地熱能源專案，這是Google與能源新創業者Fervo Energy在2021年所簽署的合作專案，也是全球首個支援地熱開發的企業協議，來自地熱的無碳電力現已開始流入當地的電網，並供Google資料中心使用。</p> <p>Google與Fervo的合作不僅於開發乾淨能源，也在於開發可提高地熱生產力的人工智慧與機器學習技術。<a href="https://cloud.google.com/blog/products/infrastructure/google-fervo-geothermal-project-creates-carbon-free-energy" target="_blank">Google解釋</a>，傳統的地熱已替許多電網提供了無碳的基本負載能源，只是由於成本與區域的限制，它在全球乾淨能源產量中所占的比例非常小，而Fervo則採用先進的鑽井、光纖感測及分析技術來增加地熱的能源產量，估計到了2050年，地熱將可替美國提供多達120 GW的穩定電力，占了屆時美國電力需求的16%。</p> <p>而在雙方的合作中，Google亦與Fervo合作開發人工智慧與機器學習技術，以提高新一代地熱的生產力。</p> <p>在實際的操作上，Fervo使用了原本應用於石油與天然氣產業的鑽井技術，在內華達州挖了兩口深井並安裝光纖電纜，以捕捉地熱系統的即時流量、穩定與效能，發現地熱發電廠得以利用比其它乾淨能源更少的土地來生產全天候的無碳能源（Carbon-Free Energy，CFE），還能利用其它領域已存在的技能、知識與供應鏈。</p> <p>Google表示，在許多難以建置其它可再生能源的地區，地熱是一種可行的乾淨能源選擇，特別是亞太地區，即使如此，由於傳統技術只能部署在容易取得地熱的區域，而令它無法被廣泛利用。此次的合作證實了鑽井技術可成功應用於地熱的開發。</p> <p>因此，除了Fervo之外，<a href="https://www.prweb.com/releases/project-innerspace-joins-forces-with-google-to-advance-geothermal-exploration-301925928.html" target="_blank">Google今年9月也與致力於開發全球地熱能源的非營利組織Project InnerSpace結盟</a>，準備結合Project InnerSpace對地熱的知識與研究，以及Google的資料及軟體能力，共同解決開發地熱所面臨的關鍵挑戰，包括打造全球地熱資源的測繪與評估工具。</p> <p>Google的目標是在2030年於所有營運及價值鏈中實現淨零排放，在這期間將減少50%的碳排放量，再藉由投資自然的去碳解決方案來中和剩餘的碳排放，此外，屆時也將全面使用乾淨能源來支援Google的全球辦公室與資料中心。</p> </div></div></div>
2023/11/29 15:14作者陳曉莉https://www.ithome.com.tw/news/160065
Amazon公布企業用AI聊天機器人Amazon Q，價格略優於微軟Copilot及Google Duet AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon昨（28）日在re:Invent大會上公布可整合多種AWS及第三方系統的<a href="https://aws.amazon.com/tw/blogs/aws/amazon-q-brings-generative-ai-powered-assistance-to-it-pros-and-developers-preview/" target="_blank">企業用AI聊天機器人Amazon Q</a>，目前已以預覽版上線供試用。</p> <p>和微軟Copilot或Google Bard類似，<a href="https://aws.amazon.com/q/" target="_blank">Amazon Q</a>可允許用戶以自然語言執行企業多種任務，包括搜尋、撰寫專業電子郵件、摘錄報告、分析市場趨勢、寫部落格文、規劃workshop。Amazon也強調Amazon Q對程式開發人員的協助。為爭取企業用戶信任，Amazon強調Amazon Q可協助企業作為商業智慧（BI）、客服支援及供應鏈管理，而且不會使用企業資料訓練其底層模型。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1129-Amazon%20Q%20preview-3.png" style="width: 600px;" /></p> <p>Amazon Q<a href="https://aws.amazon.com/q/pricing/" target="_blank">提供二種方案</a>。Amazon Q Business提供資訊查詢或文件生成，每人每月20美元。Amazon Q Builder則還在前者之外，增加對開發人員或IT人員的支援功能，例如協助開發及解決AWS服務的運作問題，每人每月25美元。這個價格優於微軟Copilot for Microsoft 365及Duet AI for Google Workspace（皆為每人30美元月費）。</p> <p>Amazon Q能整合AWS多項服務環境，類似微軟的Copilot。Amazon Q能整合到AWS管理控制臺Management Console、行動版控制臺AWS Console Mobile Application、以及AWS Documentation、AWS網站。此類整合可提升AWS管理員使用效率，例如在AWS Management Console中，用戶可以問「要使用何種AWS Serverless服務來建立無伺服器服務API？」或是問「要部署代管App的Web App Server該使用哪個Amazon EC2 instance？」管理員若使用AWS Lambda和Amazon DynamoDB表格互動出了問題，也可詢問Amazon Q排除問題。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1129-Amazon%20Q%20preview-5.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1129-Amazon%20Q%20preview-5.png" style="width: 600px;" /></a></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1129-Amazon%20Q%20preview-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1129-Amazon%20Q%20preview-7.png" style="width: 600px;" /></a></p> <p>此外，Amazon Q也透過AWS Chatbot形式整合到外部平臺如Slack和Teams、Google Drive、Microsoft 365、Gmail、Salesforce、Zendesk及Atlassian等40餘種外部系統。</p> <p>Amazon Q現在也支援Visual Studio Code及JetBrains等IDE，可以擴充程式形式使用，以協助開發AWS上的應用程式，或回答開發相關問題、更新程式語言版本、或解釋、重構（refactoring）及優化特定程式碼片段。在更新程式碼方面，Amazon Q Code Transformation能將Java應用程式由第8和11版升級到17版。不過用戶必須下載最新版AWS Toolkit並登入Amazon CodeWhisperer帳號。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1129-Amazon%20Q%20preview-8.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1129-Amazon%20Q%20preview-8.png" style="width: 600px;" /></a></p> </div></div></div>
2023/11/29 14:02作者林妍溱https://www.ithome.com.tw/news/160064
亞洲防詐高峰會登場，最多臺灣人認為上當原因竟是「不確定詐騙但願意冒險」！面對現在進行式的AI詐騙，我們需要更多確認
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>詐騙是全球普遍存在的問題，在政府、執法單位設法解決之餘，許多民間企業與個人也積極參與，甚至看中這方面的商機，推動防詐與信任科技的發展。在11月下旬，以Whoscall聞名全球的Gogolook，與全球防詐聯盟（Global Anti-Scam Alliance，GASA）展開合作，特別在臺舉辦第一屆亞洲防詐高峰會（Anti-Scam Asia Summit，ASAS），將詐騙威脅升格為須獨立看待的重要議題，突顯詐騙已經氾濫到各國須團結因應的程度，並藉此凝聚政府與民間力量，促成多方積極參與討論。</p> <p>在為期兩天的活動現場，他們特別揭露了最新詐騙趨勢，同時聚焦於探討最新AI詐騙態勢。</p> <h2><strong>詐騙氾濫，有1成5亞洲民眾每天都會收到相關訊息</strong></h2> <p>GASA董事總經理Jorij Abraham表示，他們的使命是保護全球消費者、免受詐騙的侵害，希望凝聚執法機構、消費者保護組織，以及民間商業公司的力量，共同分享知識，並提出更好地解決方案。</p> <p>身為全球防詐聯盟GASA創始會員的Gogolook，該公司執行長郭建甫，也與Jorij Abraham同臺，共同揭露《亞洲詐騙調查報告》，分析他們觀察到的詐騙態勢。</p> <p>這些年來，詐騙事件屢見不鮮，幾乎每天的新聞都會報導，但到底有多氾濫？在這次揭露內容中，有幾項數據我們認為需要特別重視。</p> <p>郭建甫指出，亞洲地區有超過6成民眾表示，每週至少會接觸到一次詐騙事件，並且有超過15％的人每天遭遇詐騙，而在臺灣，有4成民眾每週都會遭遇數次詐騙。</p> <p>在這樣的「詐騙新常態」之下，我們認為，民眾更需要確認各種資訊，才能彼此信任。</p> <p>GASA還提到另一個更令人憂心的數據，Jorij Abraham指出，全球只有4成受害者回報自身的詐騙經歷，但是，有機會將損失金錢要回的人僅有4%。</p> <p>至於哪些國家遭受詐騙金錢損失最多？肯亞居首，其次為巴西、南非、阿根廷、馬來西亞、中國、印尼。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）Gogolook與全球反詐聯盟_圖片來源Gogolook與全球防詐聯盟.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89Gogolook%E8%88%87%E5%85%A8%E7%90%83%E5%8F%8D%E8%A9%90%E8%81%AF%E7%9B%9F_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Gogolook%E8%88%87%E5%85%A8%E7%90%83%E9%98%B2%E8%A9%90%E8%81%AF%E7%9B%9F.jpg" style="width: 600px;" /></a></p> <p><span style="color:#0099ff;"><strong>根據Gogolook與全球防詐聯盟GASA揭露亞洲詐騙調查報告顯示，平均有超過15％的人表示每天遭遇詐騙，整體而言，有超過6成民眾每週至少會接觸到一次詐騙事件。</strong></span></p> <h2><strong>身分冒用最常見，臺灣「帳單繳款詐騙」高於亞洲各國</strong></h2> <p>關於詐騙方利用的途徑，遍及電話、簡訊、即時通訊、社群平臺、電子郵件，以及數位廣告。電話、簡訊的詐騙是最嚴重的管道，而在即時通訊與社群平臺方面，主要是各國最受歡迎的應用為主，如臺灣、泰國，大多數詐騙都是使用Facebook、Line，而在馬來西亞、香港、新加坡，詐騙的首選平臺是WhatsApp、Facebook。</p> <p>在詐騙情境方面，亞洲最嚴峻的詐騙問題就是「身分盜用（含個資盜用/盜刷）」，包含冒用當事人身分去做各種事情，這在日本、馬來西亞、香港地區、新加坡，以及臺灣，都是居於榜首。而泰國、菲律賓、中國最嚴峻的詐騙問題，是「購物詐騙」，韓國、印尼、越南最嚴峻的詐騙問題，則是「投資詐騙」。</p> <p>特別的是，還有一些類型要留意，例如，臺灣第二嚴峻詐騙問題是「帳單繳款詐騙」。</p> <p>這類詐騙最近大家都深有所感，因為在相關新聞常出現，甚至自己收到詐騙訊息。例如，今年最常見的釣魚簡訊，就是假冒遠通電收、自來水公司名義的繳款內容，引誘用戶前往簡訊夾帶的釣魚網站。</p> <p>但大家要多留意的是，我們發現這一詐騙類型，在許多亞洲國家並不在前五名之列，臺灣卻是格外嚴重。</p> <p>還有一些新興詐騙場景需要注意，郭建甫提到，包括：在日本第三嚴峻的「家人親人詐騙」，是指對方假裝是你的家人，在不同地區，也有不同的名稱與型態，像是臺灣有「猜猜我是誰」的詐騙；在新加坡是第五嚴峻的「慈善詐騙」，也是另一個要留意的類型。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖）Gogolook與全球反詐聯盟X_圖片來源Gogolook與全球防詐聯盟.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89Gogolook%E8%88%87%E5%85%A8%E7%90%83%E5%8F%8D%E8%A9%90%E8%81%AF%E7%9B%9FX_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Gogolook%E8%88%87%E5%85%A8%E7%90%83%E9%98%B2%E8%A9%90%E8%81%AF%E7%9B%9F.jpg" style="width: 600px;" /></a></p> <p><strong><span style="color:#0099ff;">在最新亞洲詐騙調查報告中，揭露這個區域最嚴峻的詐騙問題是「身份盜用」，而「帳單繳款詐騙」在臺灣的嚴重程度高於亞洲各國，值得留意。（圖片來源／Gogolook與全球防詐聯盟）</span></strong></p> <h2><strong>多數臺灣人認為上當原因是「不確定詐騙但願意冒險」</strong></h2> <p>另一項關於臺灣民眾的調查結果相當特別，那就是關於為何會被詐騙的調查。多數國家民眾普遍認為是「未辨識出詐騙行為」，其次「太快回應詐騙者要求」、「被提供的優惠吸引」。但臺灣最多人選擇的答案出乎意料，竟是：「不確定是否為詐騙但選擇冒險」高達27.9％，許多國家回答該選項比例並不高，這是否意味臺灣人自以為聰明而不會上當，結果反而因涉險而終究被騙。</p> <p>另外，這份調查報告也觀察消費者自認是否有能力識別詐騙，有6成8的人表示，他們非常有信心或是有信心能夠識別詐騙。但Jorij Abraham認為，有些人對於識別詐騙可能太過自信，這是需要注意的問題。</p> <p>此外，對於受害者會向誰求援、或是到哪裡去回報，郭建甫表示，不論從官方、民間或私人企業的角度來看，都將成為未來的重要參考。</p> <p>例如，在回報詐騙方面，有17.4%的人認為通報過程太複雜，15.9%認為報告無濟於事，還有13.3%表示不確定向誰報告。另外，有5.8%對於被騙感到尷尬，有3.9%的人對於通報事件會感到害怕。因此，如何優化詐騙通報機制，可能是各方可著墨之處，但這也需要促進更多群體參與。</p> <p>從這份調查結果來看，民眾防詐意識，需要持續加強。而且，我們可以想見的是，更嚴峻的挑戰即將來臨，因為AI詐騙勢必流行，大眾對於詐騙的態度與意識應該要轉變，必須更積極認識威脅現況與詐騙手法，才能具備足夠的警覺，過往有識之士一再提及的防護措施，例如，自行確認、第二管道確認的重要性，更不能輕忽。</p> <p>Gogolook也在大會上呼籲，防詐需要全球團結因應、公私協力。例如，要有良好的協作機制設計，加快詐騙趨勢與資訊的共享，並要讓民眾參與、企業資源、政府經驗相互整合，持續商討主動制衡AI與跨國詐騙威脅的最新策略，才能更有效去抵禦不斷演進的詐騙手段與犯罪模式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）Gogolook與全球反詐聯盟_圖片來源Gogolook與全球防詐聯盟.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Gogolook%E8%88%87%E5%85%A8%E7%90%83%E5%8F%8D%E8%A9%90%E8%81%AF%E7%9B%9F_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Gogolook%E8%88%87%E5%85%A8%E7%90%83%E9%98%B2%E8%A9%90%E8%81%AF%E7%9B%9F.jpg" style="width: 400px;" /></a></p> <p><strong><span style="color:#0099ff;">不確定是否為詐騙但選擇冒險」，比例竟達27.9%，其比例高於亞洲各國。而亞洲整體的前三大主因是：未辨識出詐騙行為、太快回應詐騙者的要求、被所提供的優惠吸引。（圖片來源／Gogolook與全球防詐聯盟）</span></strong></p> <h2><strong>AI詐騙時代已來臨，個人與企業的防詐態度需轉變</strong></h2> <p>在揭露亞洲詐騙威脅現況之餘，現場多位專家更是針對AI詐騙問題提出呼籲，最強調的部分就是：Deepfake技術的詐騙不再是未來式，現在就已經被詐騙者濫用。</p> <p>事實上，我們從2019年就看到，Deepfake技術門檻開始有大幅降低情況，甚至首起AI軟體偽裝老闆聲音指示匯錢的案例，當時資安界已經提出警告，呼籲大家隨著AI應用越來越普及，須注意這樣的新興威脅。</p> <p>如今，現場的專家們警告，AI影像與語音已變得越來更逼真，加上生成式AI在2022年底崛起，將使得詐騙問題變得更棘手。</p> <p>曾在美國FBI網路犯罪投訴中心（IC3）擔任主管的Donna Gregory，也應邀參加這場活動，她透過線上直播演說形式，闡釋AI用於詐騙的狀況。</p> <p>Donna Gregory表示，她在IC3服務長達23年，早在2000年，新興的網路犯罪被認為是執法單位需要接手的任務，因為當這些犯罪開始更頻繁地發生，民眾不知該向哪裡求助。</p> <p>經過這20年，詐騙問題的確變得更加嚴重，如今更是有相當大的變化，尤其是AI技術的進步。她指出，AI的應用帶來了很多好處，像是可以快速分析資料，提高準確度提出建議，減少人為錯誤，也能協助日常生活，甚至也能教電腦去識別遭他人嘗試入侵的情況，但同時也有濫用的情形，例如，不法分子利用文字轉語音、深度偽造等技術進行欺詐。雖然，目前尚未引起大規模的危害，但我們仍應保持警惕，防範未來可能的風險。</p> <p>她提醒，AI詐騙風險是個人、企業都要關注的議題。對於個人而言，AI詐騙將發生在語音來電、釣魚郵件、愛情信任詐騙、假名人詐騙、偽冒網站；對於企業而言，AI詐騙將存在於商業電子郵件詐騙（BEC詐騙）、假冒品牌名義的詐騙、偽冒網站，還有密碼破解與駭侵。因此，對於民眾的教育、對於企業的教育，將會變得越來越重要。</p> <p>若是更進一步從網路犯罪角度來看，我們可以知道有那些網路犯罪類型會使用AI技術，或是可能使用AI技術？</p> <p>Donna Gregory認為，以IC3的年度網路犯罪報告來看，當中定義27種網路犯罪類型，其中11類會因為AI技術濫用，而更需要關注後續發展，包括預付費用、商業電子郵件詐騙（BEC）、愛情信任詐騙、就業、勒索、冒充政府、投資、智慧財產權相關、未付款／未交貨、網路釣魚，以及欺騙。</p> <p>不過，她也提到，追蹤網路犯罪手法是否使用AI技術，將會是一大挑戰。她希望大家可以更關注這一問題。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）Gogolook與全球反詐聯盟_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89Gogolook%E8%88%87%E5%85%A8%E7%90%83%E5%8F%8D%E8%A9%90%E8%81%AF%E7%9B%9F_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><span style="color:#0099ff;"><strong>前美國FBI網路犯罪投訴中心（IC3）主任Donna Gregory表示，有哪些網路犯罪類型已經使用AI，或是可能使用AI，是我們特別需要關注的重點，但我們要如何追蹤將是需要面對的挑戰。（攝影／羅正漢）</strong></span></p> <p>專注在資料保護與治理的新加坡業者Straits Interactive，該公司執行長Kevin Shepherdson也在大會的另一場演說中，針對生產式AI被濫用問題示警。</p> <p>目前，一般民眾可透過生成式AI為工作場景帶來幫助，但壞人也能這麼作。例如，他示範在假冒就業的詐騙場景中，攻擊者需要建立一些內容，包括：（一）求才的工作列表，（二）求職者的網釣信，（三）虛假招聘網站的內容，這些工作都可以透過生成式AI來快速完成，而且，對於多國語言的內容，也都可以更精準翻譯，同時，透過一些提示詞就可以產生出有如真實人物般的生活照、大頭照。顯然，他這樣示範，就是希望人們知道攻擊者可以很輕易的做出更逼真的詐騙內容。</p> <p>他也對生成式AI應用衍生的隱私問題提出警告。例如，現在出現很多提供類似ChatGPT應用的App，多數雖然宣稱沒有收集資料，不與第三方分享數據，但真的是這樣嗎？大多數背地裡其實都是在你的蒐集資料，還有，經過他們仔細分析之後，還可以發現很多App在使用者下載安裝所要求的權限，一旦同意，形同批准對方蒐集你的資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖4）Gogolook與全球反詐聯盟_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89Gogolook%E8%88%87%E5%85%A8%E7%90%83%E5%8F%8D%E8%A9%90%E8%81%AF%E7%9B%9F_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><span style="color:#0099ff;"><strong>Straits Interactive執行長Kevin Shepherdson指出，很多提供類似ChatGPT應用的App宣稱沒有收集資料，但大家可以應該看看該App下載安裝時所要求的權限，其實根本目的就是用於蒐集你的資料。</strong></span><strong style="color: rgb(0, 153, 255);">（攝影／羅正漢）</strong></p> </div></div></div>
2023/11/29 11:18作者羅正漢https://www.ithome.com.tw/news/160062
Ikea發表可偵測門窗、動靜與漏水的智慧家庭感應器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>家居用品製造商<a href="https://www.ikea.com/global/en/newsroom/innovation/parasoll-badring-vallhorn-smart-sensors-231128/" target="_blank">Ikea周二（11/28）發表</a>了3款可用來遠端監控家中安寧的智慧家庭感應器，包括可用來監控門窗的Parasoll，感應室內或屋外動靜的Vallhorn，以及可偵測有否漏水的Badring，Ikea並未公布相關產品的售價，但根據<a href="https://www.theverge.com/2023/11/28/23977693/ikea-sensors-door-window-water-motion-price-date-specs" target="_blank">《The Verge》</a>的報導，Parasoll與Badring的售價為9.99歐元，Vallhorn則只要7.99歐元。</p> <p>Ikea早在2012年就啟動了，要在家用產品中嵌入科技元素的Home Smart專案，陸續推出無線充電與智慧喇叭等產品，並<a href="https://www.ithome.com.tw/news/113109" target="_blank">在2017年發表</a>了首批數位家居用品系列Trådfri，2019年更直接將該專案擴大成Ikea Home Smart事業部，目前旗下產品涵蓋智慧音響、智慧窗簾、智慧照明、IKEA Home smart程式，以及用來連結所有智慧裝置的Trådfri或Dirigera集線器。</p> <p>新的Parasoll可安裝在門窗上，一旦門窗被打開或關上，就會通知使用者；Vallhorn則可放置在室內或屋外，在偵測到任何運動時發出燈光，還能調整燈光的強度與顏色；Badring則可安裝在用水區附近，會在偵測到漏水時啟動內建的警報或是傳送行動通知予使用者。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1129-ikea-smart%20sensors%20for%20remote%20home%20monitoring%20and%20control-1-V2.jpg" style="width: 300px;" /><img alt="" src="https://s4.itho.me/sites/default/files/images/1129-ikea-smart%20sensors%20for%20remote%20home%20monitoring%20and%20control-2-V2.jpg" style="width: 300px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Ikea</span></span></p> <p>這些感應器都是採用Zigbee無線傳輸協定，可連結到Dirigera集線器，以觸發其它的智慧家庭裝置，或是傳送通知至使用者的手機上。它們全都相容於Dirigera，但只有Vallhorn相容於舊版集線器Trådfri，此外，較新的Dirigera也允許Ikea的智慧家庭裝置與Google、Amazon及蘋果的相關裝置互動。</p> <p>Parasoll與Vallhorn預計於明年1月上市，Badring則要等到明年4月，Ikea亦計畫將它們部署至全球市場。</p> </div></div></div>
2023/11/29 11:21作者陳曉莉https://www.ithome.com.tw/news/160063
微軟跨平臺機器學習框架ML.NET 3.0強化深度學習功能，還加速AI運算效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在微軟發布.NET 8之後，緊接著推出跨平臺機器學習框架<a href="https://devblogs.microsoft.com/dotnet/announcing-ml-net-3-0/">ML.NET 3.0</a>，這個新版本更新強化深度學習功能，並且改進ML.NET資料處理能力，還加入Intel oneDAL硬體訓練加速，以及自動機器學習等新功能，這些更新讓開發者在編寫機器學習應用程式能夠更加方便且靈活。</p> <p>ML.NET 3.0深度學習功能更完整，包含物體偵測、命名實體辨識和問答處理。物體偵測能夠在圖像中定位並分類不同類型的實體，官方指出，物體偵測是一項電腦視覺任務，和圖像分類關係密切，但是會執行更精細的圖像分類，因此當影像中包含不同類型的物體時，官方建議使用物體偵測功能。</p> <p>ML.NET 3.0模型生成器中的新物體偵測功能，建構在新添加的TorchSharp物體偵測API基礎之上。TorchSharp是一個.NET函式庫，提供PyTorch函式庫存取支援，而TorchSharp物體偵測API則結合微軟研究院的新技術，以及TorchSharp中Transformer神經網路架構建置而成。命名實體辨識和問答處理，是自然語言處理的兩項任務，ML.NET 3.0透過現有TorchSharp RoBERTa文字分類功能基礎，實現了這兩個功能。而這些功能都包含在Microsoft.ML.TorchSharp 3.0.0套件中。</p> <p>之前微軟在發布ML.NET 2.0不久後，便宣布要支援Intel oneDAL硬體訓練加速，而這項功能在ML.NET 3.0預覽版中登場。Intel oneDAL（oneAPI Data Analytics Library）是一個擁有高度最佳化演算法建構模塊的函式庫，能夠加速資料分析和機器學習過程。</p> <p>微軟還更新ML.NET 3.0自動機器學習（AutoML）功能。自動機器學習功能使用可自動化搜尋最佳機器學習模型和參數的AutoML Sweeper元件，在新版本中新增支援語句相似性、問答處理和物體偵測等功能。自動機器學習簡單來說，是一種自動對資料應用機器學習技術的過程，能夠協助選擇最適合的模型和參數，使得開發者在建置機器學習模型時更簡單。</p> <p>在新版本中，ML.NET現在具有連續資源監控能力，可以透過AutoML.IMonitor監控記憶體和磁碟空間，如此開發者便能夠控制長期運作的實驗，避免程式崩潰和失敗，改善ML.NET在機器學習應用的穩定性。</p> <p>ML.NET資料結構DataFrame在3.0上也有更新，加入對String和VBuffer欄位類型的支援，並且強化IDataView與DataFrame的轉換。現在欄位可以儲存超過2 GB的資料，還支援Apache Arrow Date64欄位資料。ML.NET 3.0也能夠更好地支援SQL資料庫匯入和匯出功能，最佳化算數操作的空值處理。這些更新都會顯著提升DataFrame的功能和效能。</p> <p>ML.NET 3.0還有一項重要更新是Tensor Primitives整合。Tensor Primitives為一套專門用於張量運算的新API，能夠進一步推進.NET在人工智慧數值運算的應用。該API不僅運用硬體內部指令來加速運算效率，還結合泛型數學（Generic Math）的概念，提供開發者處理複雜數學和資料操作的強大工具。</p> </div></div></div>
2023/11/29 09:22作者李建興https://www.ithome.com.tw/news/160050
加州新法規草案規範企業，應讓用戶可選擇退出AI自動化決策應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>加州隱私保護局（California Privacy Protection Agency）提出了一項針對<a href="https://cppa.ca.gov/announcements/2023/20231127.html">自動化決策技術（Automated Decision Making Technology，ADMT）的隱私保護法規草案</a>，目的是要企業針對這些技術提供更多的保護措施，讓受影響的個人可以根據加州消費者隱私法案（California Consumer Privacy Act，CCPA），選擇退出以及進一步獲取企業使用自動化決策技術相關資訊的權利。</p> <p>加州隱私保護局董事會成員Vinhcent Le表示，新提出的法規草案，要求企業負責任地使用自動化決策技術，並且提供員工和兒童隱私保護。法規草案主要針對以下自動化決策技術使用情境提供保護，範疇涵蓋包括對受自動化決策技術影響的個人生活有重大影響的決策，例如就業和薪酬決策，還有包括對員工、承包商、申請人或學生等個人評估，像是使用鍵盤記錄器分析工作表現或是追蹤位置等行為。</p> <p>在公共場所，諸如購物中心、醫療辦公室和體育場，對用戶進行的評估，使用像是臉部辨識技術，或是自動情感評估分析用戶行為等應用也受到規範。此外，法規草案還保護包括企業對用戶進行行為廣告評估，諸如了解用戶個人偏好和興趣，以向他們展示廣告等應用。</p> <p>在以上應用情境，企業必須要事前告知用戶，自動化決策技術的使用方法，以便用戶可以選擇退出或是接受，並決定是否要獲得更多資訊。自動化決策技術法規草案的目的是要提供用戶更多控制個人資料的權利，同時確保自動化決策技術系統在設計中納入隱私保護考量，在技術創新和個人隱私間取得平衡。</p> </div></div></div>
2023/11/29 09:25作者李建興https://www.ithome.com.tw/news/160052
【re:Invent 2023】AWS資料庫、快取、資料倉儲邁向真正無伺服器化與新量子晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【美國拉斯維加斯現場報導】AWS re:Invent 2023今日（27）在美國拉斯維加斯展開，其公用運算部門（Utility Computing）資深副總裁Peter DeSantis在晚間首場主題演講中，首度揭露旗下三款雲端服務在無伺服器功能方面皆有新的進展，包括Aurora資料庫服務、ElastiCache快取服務與Redshift資料倉儲服務，終於在技術持續精進之下，達到他們心目中真正無伺服器化的里程碑；同時亦如過往發表硬體晶片的慣例，首度揭露錯誤率僅0.1%的新量子晶片。</p> <p>Amazon Aurora是相容於MySQL與PostgreSQL的雲端資料庫服務，AWS在2018年推出Aurora的首款無伺服版本，接著在去年2022年推出Aurora Serverless V2第二版，賦予雲端資料庫服務更大的線上擴充能力，不過雖然訴求資料庫用戶可在服務不中斷的情況下擴充資料庫，但仍有一定容量的限制。</p> <p>Aurora Serverless資料庫服務之所以能實現線上擴充容量，DeSantis表示，主要是仰賴虛擬化技術。AWS開發了一個稱之為Caspian的虛擬層，由Caspian Heat Management System來管理實體主機如何分配虛擬記憶體給資料庫。Aurora所使用的每一臺實體主機配置容量256GB的記憶體，雖然Aurora資料庫開啟服務可以使用256GB記憶體，但實體主機的記憶體並不會因此而被完全占用，Caspian管理軟體會依據每個Aurora資料庫服務運作所需配置適當的實體記憶體容量，因此每臺實體主機皆可承載多個Aurora資料庫服務，如此就可以極大化利用運算資源。</p> <p>在上述機制下，當一臺實體主機所承載的Aurora運作所需記憶體超過256GB，迫於記憶體物理限制就必須轉移到另一臺主機。DeSantis指出，如此機制尚無法達到無伺服器化可以自動擴充調整的最高境界，因此AWS繼而運用資料庫分區（Sharding）技術，將單一資料庫分配到不同主機，以達到水平擴充的能力。</p> <p>資料庫分區並不難實現，DeSantis表示，但要達到自動分配的境界，最難突破的關鍵在於資料路由與資料庫分區彈性擴充的設計。為此AWS開發出一個資料請求路由層（Request Routing Layer），它採取輕量化設計，具有快速反應擴充的特性，加諸分區彈性擴充設計，則可達到跨區域執行資料庫切片與重組，並確保資料庫的可靠度。</p> <p>由於上述兩項技術的創新突破，DeSantis指出，AWS終於能在今年推出真正無伺服器化的Aurora資料庫服務，稱之為Amazon Aurora Limitless Database，意指可不受單一資料庫的容量限制，皆可自動擴充配置而不影響資料庫運作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_0399%20(1)(1).png" style="width: 700px; height: 453px;" /></p> <p>除了Aurora Limitless Database，AWS今天也推出快取服務無伺服器版本ElastiCache Serverless。DeSantis表示，這有賴於第三項創新技術突破，也就是減少時鐘誤差範圍（Reducing Clock Error Bounds）。分散式運算系統的資料同步需要仰賴同步計時，他指出主要的三種作法，分別為Wall Clock（現實世界時間）、Logical Clock（邏輯時間）與單一TimeKeeper伺服器，其中Wall Clock方式會因不同時鐘的差異而導致計時同步不可靠。</p> <p>為了提供準確的同步計時，AWS在2017年推出Amazon Time Sync Service，結合衛星通訊與原子鐘參照，提供與世界協調時間（UTC）誤差僅1毫秒（millisecond）的同步計時。但是，DeSantis指出，時間誤差1毫秒代表著總延遲時間是2毫秒，亦即每秒500次交易的延遲速度，而這對於快取的同步來說太慢了。為此，AWS以Nitro網路加速晶片為基礎設計一個分散式計時網路，並搭配備援電力模組與原子鐘，安裝在一個標準48U機櫃，終於將同步計時誤差由毫秒縮短至微秒（microsecond）等級，其ElastiCache Serverless p50的延遲僅500微秒，並可支援最大5TB記憶體容量。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_0427%20(1)(1).png" style="width: 700px; height: 325px;" /></p> <p>至於在2021年推出的資料庫倉儲服務無伺服器版本Redshift Serverless，也有更進一步的精進。DeSantis表示，資料庫倉儲不只是要應付資料量，也得因應運算任務多樣化的需求。Redshift Serverless是由請求管理（Request Management）系統來判斷實體主機的負荷量，如果有運算需求較大的ETL（Extract, Transform, Load）任務產生，若既有的主機無法承擔，請求管理系統就會將其分配到新的主機，但若既有的主機可以承擔，雖然該ETL任務可以分配到既有主機，但由於運算需求大，完成運算的時間較久，也會因此牽累該主機的其他運算任務，導致時間拖延。</p> <p>為了解決Redshift Serverless上述問題，AWS在請求管理系統導入機器學習預測功能，DeSantis指出，其實資料分析任務有80%是雷同的，因此先以機器學習建立好這80%任務的模型，將其內建在請求管理系統的快取，加速其快速分析任務類型，同時，有另一個模型用來學習屬於各別企業組織慣用習慣的另外20%任務，讓請求管理層可以在接到任務時分析與預測其類型，據以分配合適的運算資源。而有了這項AI功能後，Amazon Redshift Serverless Next-generation AI-driven scaling and optimizations也提供用戶自行設定機器學習的政策，以在資料分析運算時間與運算成本之間有所取捨。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_0543%20(1)(1).png" style="width: 700px; height: 454px;" /></p> <p>此外，AWS歷年來皆會利用re:Invent的首日晚間主題演講發表其在硬體晶片的著墨，今年也不例外，DeSantis首度公開發表新的量子晶片，他表示，Aamzon量子運算團隊在量子糾錯有重大的進展，以邏輯量子位元的方式，將位元翻轉（Bit-flip）與相位翻譯（Phase-flip）錯誤分開，DeSantis指出，藉由被動糾錯方法，已可將錯誤率降低100倍，達到0.1%，亦即千分之一的錯誤率，而硬體過熱也預期可減少6倍。不過，他也說，雖然新晶片在量子糾錯方面有重大的進展，但現在尚於量子運算發展非常早期的階段。</p> <p>Amazon ElastiCache Serverless目前已可提供服務，Amazon Aurora Limitless Database與Amazon Redshift Serverless Next-generation AI-driven scaling and optimizations則提供預覽。</p> </div></div></div>
2023/11/29 06:18作者吳其勳https://www.ithome.com.tw/news/160059
上海商銀1.4萬客戶資料外洩，金管會列4大缺失，依銀行法重罰千萬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上海商銀發生1.4萬客戶資料外洩情形，今日（28日）金管會在例行記者會上，公布對上海商業儲蓄銀行（簡稱上海商銀）客戶資料外洩一案查核結果，並針對此案下該行所涉及的缺失，祭出違反銀行法第129條第七款的法令裁罰，處以1千萬元罰鍰。而該法令的最高罰鍰是5千萬元。</p> <p>對於這起事件，金管會銀行局長副局長童政彰表示，自2022年9月及今年5月至7月間，他們陸續接獲匿名民眾反映該行資訊安全問題，而後續查核結果顯示，上海商銀有未完善建立及未確實執行內部控制制度的情形，導致客戶資料外洩，而且未能保有相關軌跡。因此，目前外洩來源至今仍不清楚。</p> <p>對於這些客戶資料是如何外流，童政彰表示，目前還沒有定論，初步檢討方向有兩個可能性，一個是資訊廠商，一個是行員，由於這方面牽扯到後續查核，因此銀行局這邊並不會下訂論。</p> <p>值得我們注意的是，在這起事件下有兩個層面的議題需要重視，首先，是資料外洩事件查核後的發現，上海商銀在內稽內控有4大缺失，其次是，主管機關因為接到民眾匿名檢舉而開始調查資料外洩而導致事件曝光。</p> <p>根據金管會的說明，上海商銀的重大缺失有四大項，包括未明訂定期變更電腦密碼、未訂定可攜式設備管控規範，以及未留存個人資料使用軌跡，未測試出資安軟體漏洞並確認其執行情形。</p> <p>具體而言，在未完善建立內部控制制度方面，有兩項：（一）未訂定妥善的個人電腦管理者權限規範，金管會發現該行是在案發後，才開始明定每半年變更個人電腦管理者權限密碼，（二)未訂定完善可攜式設備管理規範，有權使用可攜式設備的人員可以使用可攜式設備將行內資料攜出，且無妥適的讀取控管措施。</p> <p>其次，在未確實執行內部控制制度方面，也有兩項：（一）未留存使用者軌跡：在該行的案關報表系統上，並未依內部規範，記錄個人資料使用情況，留存軌跡資料或相關證據。這也使得個人資料外洩，無法追蹤個人資料使用狀況，並且影響查核時程；（二）未測試出資安軟體漏洞並確認其執行情形：同樣是未落實執行內部規範，在作業系統上線前及更新時，未能測試出資安監控軟體漏洞，並確認其於工作站的執行情形，導致並未發現該資安軟體未能正常啟動的情形，這也造成了無法控管及記錄可攜式設備資料的存取，影響查核時效，且無法判斷實際損害情形，並不利後續調查程序。</p> <p>另一方面，這起事件之所以曝光，童政彰提到，他們從兩個投訴管道接獲這樣的消息，一是向主管機關投訴，一是檢舉人將資料外洩名單以紙本方式送至銀行分行端，以佐證資料外洩。</p> <p>不過，令人感到好奇的是，檢舉人如何拿到這些資料？如何知道這些客戶資料都是上海商銀的客戶？對此，童政彰表示，匿名檢舉人提供到分行端的紙本資料中，包含了100位該分行的客戶姓名與身分證證號，而且上海商銀60家分行都各自收到源於自家分行外流的客戶資料，累計有6千名客戶資料，再加上直接寄到金管會的資料，最終比對統計之後，總共外流1.4萬客戶資料。</p> <p>對於是否可能是行員所為？背後可能目的？金管會無法臆測，銀行端也沒有進一步接到勒索的消息，這次他們主要針對客戶資料外流案查核到的缺失做行政處置。</p> <p>至於這起資料外洩事件的後續因應，童政彰表示，將督促該銀行採取一些行動，像是聯繫受資料外洩影響的客戶，慎防詐騙之類防範措施，以及針對受影響客戶提供甚麼樣的補償方案，還有銀行需設想外洩資料可能被如何運用，並想辦法保護客戶的資料。</p> <p>此外，金管會也對上海商銀提出其他4項監理要求，包括：請該行全面檢討本案所涉當責人員及主管責任，懲處程度應與所負責任相當；請該行盤點全行涉及個人資料之各類電腦系統是否均建置留存個人資料使用稽核軌跡，以及清查全行行員查詢個人資料相關權限是否符合最小化權限原則，並應定期辦理檢視權限作業；請該行建置各類應用系統測試稽核機制及權限範圍內不正常查詢及下載情形監控分析機制；請該行充實稽核人員資訊系統稽核能力，並委託會計師辦理全行個人資料保護專案查核。不過，對於個資法方面問題，金管會在這場記者會上並無多做說明。</p> <p>同時，金管會也向各金融機構呼籲，應依「金融監督管理委員會指定非公務機關個人資料檔案安全維護辦法」，完善建立個人資料保護管理程序及措施，需落實執行及定期檢視妥適性。</p> </div></div></div>
2023/11/28 16:28作者羅正漢https://www.ithome.com.tw/news/160048
【資安日報】11月28日，美國醫療保健服務業者Henry Schein傳出二度遭遇勒索軟體BlackCat攻擊，導致電…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾年勒索軟體攻擊極為氾濫，一旦遭遇相關攻擊，企業組織就有可能必須與駭客交涉。但受害組織在談判的過程，也要同時採取相關的因應措施，來防範駭客翻臉不認人的情況。</p> <p>例如，最近有一起大型資安事故當中，駭客疑似因不滿談判結果，再度對受害企業發動攻擊，癱瘓該公司包含電子商務平臺等多項應用系統，並打算公布竊得的資料。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/healthcare-giant-henry-schein-hit-twice-by-blackcat-ransomware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國醫療保健業者Henry Schein傳出遭遇勒索軟體BlackCat攻擊</span></strong></a></p> <p></p> <p>名列財星500大的美國醫療保健服務供應商漢瑞祥（Henry Schein），於10月遭到勒索軟體駭客組織BlackCat（Alphv）攻擊，1個月後傳出再度受害。</p> <p>根據資安新聞網站Bleeping Computer的報導，漢瑞祥於11月22日發布資安通告，表示他們再度遭遇網路資安事件，導致包含該公司電子商務平臺在內的應用系統無法使用。他們正著手在安全的情況下，還原這些應用系統。直到27日，該公司表示他們美國的電子商務平臺完成復原，加拿大、歐洲的平臺也即將再度上線。</p> <p>而對於這起資安事故的攻擊者身分，BlackCat聲稱是他們所為，並竊得35 TB資料，但過程與大部分勒索軟體攻擊有些不同，因為經歷10月的攻擊行動後，Henry Schein決定與駭客進行談判，但後續因溝通陷入僵局，駭客再度加密該公司的系統，並揚言從27日開始，逐日公布部分竊得的資料。對此，漢瑞祥並未進一步做出說明。</p> <p><a href="https://gur.gov.ua/en/content/voienna-rozvidka-ukrainy-zdiisnyla-kiberspetsoperatsiiu-shchodo-rosaviatsii-sanktsii-pryskoriuiut-aviakolaps-rf.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯聯邦航空運輸主管機關傳出遭駭，烏克蘭情報機構聲稱是他們所為</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/20231123-01-01.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/20231123-01-01.jpeg" style="width: 300px; float: right;" /></a>11月23日烏克蘭國防部旗下的情報局宣稱，他們入侵了俄羅斯聯邦航空運輸署Rosaviatsia，並竊得大量機密資料，指出該國因為受到歐美制裁，面臨民用飛機無法維修的窘境。</p> <p>根據他們取得的資料，今年1月共有185件事故，其中約有34件是緊急情況；今年1至9月至少有150起故障的情況，相較於2022年的50件增加2倍。由於該國缺乏相關專家與技術，他們將飛機的維修委託伊朗處理，現在約有7成的團隊透過未經驗證、非正廠零件來維持飛機的運作，然而，在零件短缺之下，也導致部分飛機被當作零件機，在2023年中，當地有超過35%飛機因此遭到拆除。此外，俄羅斯生產的An-2飛機因引擎為波蘭製造，現在也陷入無法製造的困境。</p> <p>烏克蘭情報局指出，因為制裁導致俄羅斯無法取得軟體更新，空中航行的氣象資訊也受到影響，該國飛機一旦進到外國區域也會遭到扣押，當局目前仍企圖對民眾隱瞞此事。但值得留意的是，此次事故是首度有國家級駭客公開承認發動網路攻擊的情況。</p> <p><a href="https://securelist.com/hrserv-apt-web-shell/111119/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">阿富汗政府遭到名為HrServ的Web Shell鎖定</span></strong></a></p> <p></p> <p>資安業者卡巴斯基揭露名為HrServ的Web Shell，此惡意程式具備複雜的功能，例如：在記憶體內執行，或是通訊過程中，皆採用特定的編碼措施防止遭到偵測。</p> <p>駭客將其用於攻擊阿富汗的政府機關，起初他們利用遠端管理工具PAExec，啟動偽裝成MicrosoftsUpdate的工作排程，執行批次檔來執行HrServ。此Web Shell先是利用API啟動HTTP伺服器，然後發出請求啟動相關功能，像是產生新的執行緒、建立新的檔案、存取Outlook Web App的HTML檔案等。</p> <p>值得留意的是，為了隱匿攻擊行動，駭客所使用的GET參數模仿Google服務，並加入en-TW的參數，指定Google搜尋介面以英文顯示，並使用正體中文呈現搜尋結果。</p> <p><a href="https://securityaffairs.com/154785/cyber-crime/rhysida-ransomware-china-energy.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國能源建設公司傳出遭到勒索軟體Rhysida攻擊</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/CEEC-image-37.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CEEC-image-37.png" style="width: 300px; float: right;" /></a>根據資安新聞網站SecurityAffair的報導，勒索軟體駭客組織Rhysida聲稱入侵了中國能源建設集團（CEEC），並取得大量、令人印象深刻的內部資料，他們開價50個比特幣尋求買家。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.cisa.gov/news-events/alerts/2023/11/26/cisa-and-uk-ncsc-unveil-joint-guidelines-secure-ai-system-development"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國、英國聯手發布安全AI系統開發的指引</span></strong></a></p> <p></p> <p>美國網路安全暨基礎架構安全管理署（CISA）、英國國家網路安全中心（NCSC）聯手，發布安全AI系統開發指引，從設計層面強化系統安全，防範潛在的資安風險。</p> <p>參與訂定此指引的國家與組織相當多，包含美、英、德、法、日、韓、新加坡等18國，以及微軟、Google、OpenAI、Anthropic、Scale AI等23家IT業者，提供此類系統開發的建議，並指出應遵循安全設計（Secure by Design）原則，強調用戶安全、權責透明、建立安全設計的組織架構為優先事項。</p> <p>本指引主要包含4大部分：安全設計、安全開發、安全部署、安全維運。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/police-dismantle-ransomware-group-behind-attacks-in-71-countries/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">歐美7個國家聯手，搗毀對71個國家發動攻擊的勒索軟體集團，逮捕主嫌與4名共犯</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/ardent-hospital-ers-disrupted-in-6-states-after-ransomware-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國醫療保健服務供應商Ardent Health Services遭遇勒索軟體攻擊，6個州、30家醫院受到波及</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/ransomware-attack-on-indie-game-maker-wiped-all-player-accounts/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客針對遊戲公司發動勒索軟體攻擊，影響1.7萬名玩家，該公司拒付贖金並手動復原資料</span></span></strong></a></p> <p><a href="https://www.rti.org.tw/news/view/id/2187982"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Line母公司個資外洩，臺灣用戶資料約100筆曝險，數位部要求強化資安，並提出補償方案</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/160046"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">AWS更新程式開發輔助服務CodeWhisperer，可偵測並協助修復已知程式碼漏洞</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160022"><strong>【11月27日】荷蘭半導體業者NXP遭中國駭客攻擊，入侵時間超過2年，驚傳與晶片設計相關智慧財產資料被竊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160001"><strong>【11月24日】 Mirai殭屍網路變種感染路由器、NVR網路視訊監控裝置，攻擊者利用的零時差漏洞，疑涉及預設的弱密碼</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159980"><strong>【11月23日】訊連科技遭北韓駭客發動供應鏈攻擊，駭客於該公司更新伺服器部署惡意軟體，臺灣及多個國家出現受害者</strong></a></p> </div></div></div>
2023/11/28 18:19作者周峻佑https://www.ithome.com.tw/news/160051
AWS更新程式開發輔助服務CodeWhisperer，現可偵測並協助修復已知程式碼漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS現在正式推出程式開發輔助服務<a href="https://aws.amazon.com/tw/blogs/aws/amazon-codewhisperer-offers-new-ai-powered-code-remediation-iac-support-and-integration-with-visual-studio/">CodeWhisperer</a>，該服務在去年6月釋出預覽版，經過一年多的改進加入多項新功能，像是提供發現和修復程式碼漏洞的能力，還新增了基礎設施即程式碼（Infrastructure as Code，IaC）支援，並且預覽Visual Studio整合功能。</p> <p>CodeWhisperer是一個以機器學習技術為核心，並且利用開源儲存庫、Amazon自有儲存庫、API文件和論壇數十億行程式碼訓練而成的程式開發輔助服務。CodeWhisperer會根據程式碼和註解，依據開發者的程式編寫風格和變數名稱，提供程式碼建議。CodeWhisperer預覽版支援的語言有Python、Java、JavaScript，開發者可選擇在熟悉的各種IDE上使用。</p> <p>預覽版CodeWhisperer透過內建的安全掃描功能，能發現諸如暴露的憑證和日誌注入等問題，而AWS現在釋出的正式版CodeWhisperer加入漏洞緩解功能，進一步使用生成式人工智慧來產生程式碼建議，協助開發者修復已知的安全性和程式碼品質問題。</p> <p>在發現漏洞之後，CodeWhisperer便會根據用戶的程式碼，提供專屬修復建議，開發者可以接受建議，快速修復該漏洞。目前新版中的安全掃描功能，除了之前的Java、Python、JavaScript，現在還新增支援TypeScript、C#、AWS CloudFormation、AWS CDK和HashiCorp Terraform，而漏洞緩解功能則是針對Java、Python和JavaScript程式碼漏洞提供修復建議。</p> <p>CodeWhisperer現在也支援基礎設施即程式碼，強化開發者腳本編寫效率，開發者可將其用於AWS CloudFormation、AWS CDK和HashiCorp Terraform工具，以編寫基礎設施程式碼，官方提到，由於CodeWhisperer支援多種基礎設施即程式碼語言，因此可以促進不同團隊間的協作和一致性。</p> <p>開發者現在已經可以於Visual Studio 2022中使用CodeWhisperer，獲取C#即時程式碼建議。此外，新版本也讓開發者可以更負責任地編寫程式碼，供開發者註記可能由公開可用程式碼組合而成的程式碼段落，並提供類似程式碼的儲存庫URL和授權資訊（下圖）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/reference-tracker-vs.jpg" style="width: 580px;" /></p> <p>CodeWhisperer最近的更新也針對Git、npm、AWS CLI和Docker等命令列介面工具，添加即時程式碼自動完成和內嵌文件（Inline Documentation）。CodeWhisperer也已經可以將自然語言翻譯成殼層程式碼，以更直覺地方式使用操作命令列工具。</p> </div></div></div>
2023/11/28 16:10作者李建興https://www.ithome.com.tw/news/160046
歐盟寄出Amazon併購iRobot的反對聲明
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon<a href="https://www.ithome.com.tw/news/152354" target="_blank">去年8月宣布</a>，將以17億美元買下美國的掃地機器人製造商iRobot，歐盟執委會（European Commission，EC）在今年7月針對此一併購案<a href="https://www.ithome.com.tw/news/157675" target="_blank">展開深入調查</a>，繼之於本周一（11/27）<a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_23_5990" target="_blank">發表初步觀點</a>，指出此案可能會限制掃地機器人市場的競爭，已向Amazon發出反對聲明。</p> <p>EC主要的考量來自於Amazon於全球經營的電子商務市集，因為它不管是在法國、德國、義大利或西班牙都是重要的掃地機器人銷售管道，EC擔心Amazon可能會排擠競爭對手，包括直接移除競爭品牌，減少競爭品牌的曝光率，限制消費者對競爭品牌的存取，或是提高競爭品牌於Amazon上的銷售成本。</p> <p>EC認為，Amazon可能藉由阻止競爭對手以自iRobot獲得更多收入，還能額外取得iRobot用戶的資料，進而減少掃地機器人的市場競爭，使得消費者面臨價格上漲、品質下滑與創新減少的景況。</p> <p>反對聲明為調查的一項正式步驟，主要是以書面形式向Amazon提出EC的反對意見，再由Amazon回覆，並非預先判斷調查結果。EC的最終決定將會在明年2月14日以前出爐。</p> </div></div></div>
2023/11/28 14:03作者陳曉莉https://www.ithome.com.tw/news/160044
美、英等國發布AI系統開發指引
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國網路安全暨基礎架構安全管理署（CISA）及英國國家網路安全中心（NCSC）發表<a href="https://www.cisa.gov/news-events/alerts/2023/11/26/cisa-and-uk-ncsc-unveil-joint-guidelines-secure-ai-system-development" target="_blank">《安全AI系統開發指引》（Guidelines for Secure AI System Development）</a>，號稱首份全球AI安全標準，從設計階段強化系統安全性，以防範可能的資安風險。</p> <p class="rtecenter"><a href="https://www.ncsc.gov.uk/files/Guidelines-for-secure-AI-system-development.pdf" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1128-CISA%20and%20UK%20NCSC%20Unveil%20Joint%20Guidelines%20for%20Secure%20AI%20System%20Development.png" style="width: 550px;" /></a></p> <p>這份指引是由包括美、英、德、法、日、韓、新加坡在內18國，以及微軟、Google、OpenAI、Anthropic、Scale AI共23個網路安全組織參與制訂。該指引提供AI系統開發的必要建議，並彰顯開發AI系統，應遵循安全設計（Secure by Design）的原則。CISA指出，這份指引強調把客戶安全、極度透明及權責、以及建立安全設計的組織架構列為優先要項。</p> <p>這份指引適用於所有類型的AI系統，而不只是尖端模型，也涵括其他像是使用外部代管模型或API開發的系統。指引包含4個主要部分：安全設計、安全開發、安全部署及安全維運（operation and maintenance）。每部分都提出安全風險可能，以及避免方法，以協助資料科學家、開發人員、經理、決策者及負責人員進行決策，從開發過程中降低網路安全風險。</p> <p>最新指引是美國拜登政府倡議強化AI系統安全及可控制性，以保障美國安全與利益的一環。<a href="https://www.ithome.com.tw/news/157911" target="_blank">白宮7月間取得</a>7大AI公司自主管理AI風險的承諾，<a href="https://ithome.com.tw/news/159572" target="_blank">10月拜登簽署</a>首份AI行政命令，責成國土安全部制定AI安全標準，並推動全球組織採用。CISA也在同月<a href="https://ithome.com.tw/news/159195" target="_blank">發表10大資安錯誤配置</a>，以協助企業組織及軟體業者強化資安措施、降低攻擊風險。</p> </div></div></div>
2023/11/28 13:00作者林妍溱https://www.ithome.com.tw/news/160043
Google Drive不明問題導致部分用戶檔案神祕消失
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Drive近日發生不明臭蟲，導致部分用戶的Drive今年4、5月迄今的檔案全部消失。</p> <p><a href="https://support.google.com/drive/thread/245055606/google-drive-files-suddenly-disappeared-the-drive-literally-went-back-to-condition-in-may-2023?hl=en" target="_blank">上周多名用戶在Google論壇上反映此事</a>。一名用戶指其桌機版Drive設定退回到今年5月，不僅檔案夾結構回到5月狀態，那時迄今近6個月的雲端檔案則全部消失，而且Drive的活動紀錄也只顯示5月的活動。用戶並未設定檔案同步或共享，因此不太可能是被人存取，而且消失的檔案都沒有手動刪除的紀錄，在垃圾筒內也找不到。用戶循Google指示的復原程序，包括備份並重置DriveFS資料夾，但並未能救回檔案。</p> <p class="rtecenter"><a href="http://support.google.com/drive/thread/245055606/google-drive-files-suddenly-disappeared-the-drive-literally-went-back-to-condition-in-may-2023?hl=en" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1128-google%20drive%20issue-600-1.png" style="width: 595px;" /></a></p> <p>本周Google技術服務小組回覆，表示正在調整影響少部分桌機版Drive用戶的問題。但Google並未提供修復的任何承諾。</p> <p>在問題解決之前，Google要用戶不要點選桌機版Drive中的「切斷帳號連結」，不要移動DriveFS（Windows及macOS）App資料夾。Google也鼓勵硬碟有空間的用戶做好App資料夾備份。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1128-google%20drive%20issue-600-2.png" style="width: 600px;" /></p> </div></div></div>
2023/11/28 10:38作者林妍溱https://www.ithome.com.tw/news/160041
AWS推出195美元的虛擬桌面存取裝置WorkSpaces Thin Client
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS推出用於存取遠端虛擬桌面的裝置<a href="https://aws.amazon.com/tw/blogs/aws/new-amazon-workspaces-thin-client/">WorkSpaces Thin Client</a>，該裝置預先經過配置，終端用戶收到後可以立即部署和使用。改裝至Amazon Fire TV Cube的Thin Client，外型是小巧的立方體，能夠外接顯示器、鍵盤、滑鼠和其他USB周邊裝置，透過選用的Hub則可以額外連接另一臺顯示器。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1128-Amazon%20WorkSpaces%20Thin%20Client-1.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_AWS</span></span></p> <p>企業IT管理員可以設定Amazon WorkSpaces、Amazon WorkSpaces Web或Amazon AppStream 2.0環境，供Thin Client用戶存取，管理員也能夠使用Active Directory等方法，管理使用者身分和憑證。</p> <p>Thin Client售價具競爭力，在美國僅銷售195美元，這個價格遠低於筆記型電腦及相關作業系統的成本。官方提到，由於Thin Client的工作環境由管理員集中配置管理，因此大幅減少現場的工作負擔，因而能夠進一步節省成本。此外，Thin Client裝置結構相較於筆記型電腦更為簡單，零件更少，因此壞掉、磨損以及需要更換零件的情況也較少。</p> <p>在安全性上，Thin Client擁有一個安全密鑰，可以用於管理服務並建立可信的連線。官方還提到，因為Thin Client上沒有資料儲存空間，無法安裝惡意應用程式，有助於降低員工因離職，未歸還公司筆電時的資料洩漏風險。</p> <p>管理員需事先替用戶或是用戶群組創建工作環境，用戶在收到Thin Client之後，便可以透過管理員提供的啟動碼，立即連接虛擬桌面環境開始工作。IT管理員可以透過AWS控制臺管理Thin Client工作環境，並且設定軟體更新的時間表。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1128-Amazon%20WorkSpaces%20Thin%20Client-3.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_AWS</span></span></p> <p>Thin Client服務可用地區擴及美東、美西、加拿大、歐洲和亞洲，不過目前Thin Client裝置僅先在美國上市，AWS計畫2024年就會在其他國家上市。Thin Client裝置售價195美元，帶有Hub的套組為280美元，企業需要替每臺裝置支付6美元的維護費用，除此之外，企業也需要支付底層虛擬桌面服務的費用。</p> </div></div></div>
2023/11/28 08:26作者李建興https://www.ithome.com.tw/news/160020
Jetbrains 2023開發者大調查顯示Rust快速崛起，77％受訪者都使用ChatGPT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Jetbrains自2017年以來，每年都針對開發者生態系的狀態進行調查，<a href="https://www.jetbrains.com/lp/devecosystem-2023/">今年的調查</a>問卷回收到26,348名開發者的回應。除了程式語言、開發工具和技術等現狀，這次Jetbrains還將調查範圍擴展到人工智慧，進一步了解開發人員對生成式人工智慧工具的使用和擔憂等。</p> <p>Jetbrains對開發者最常用的程式語言進行調查，JavaScript仍是目前最被廣泛使用的語言，在過去12個月中，有61％的受訪者都使用過。值得注意的是，雖然前3名語言JavaScript、Python、Java，在過去3年排名都維持不變，但是JavaScript的採用比例正逐年下降，官方認為，JavaScript的開發者比起其他語言的開發者，更有可能學習其他語言，因此官方認為JavaScript的使用比例還會持續微幅降低。</p> <p>Python是第2受歡迎的程式語言，其地位與重要性不斷提升，想要採用的開發者仍然不少，官方提到，Python作為一個開發者主要使用的語言，效能優於Java且與JavaScript的差距正在縮小當中。Rust則在今年創下最受歡迎語言的紀錄，Rust因為其安全性以及記憶體所有權機制，因此有望取代C++。Jetbrains還指出，每6個Go語言使用者，就有1個考慮轉用Rust，而且與Scala一樣，Rust是最少開發者想要跳槽的語言。</p> <p>有許多蓬勃發展的程式語言，不過，也有即將退休的語言，代表之一便是Objective-C，近年該語言開發者持續減少，僅剩下約2017年的三分之一，只有2％受訪者還在使用。該語言從1984年推出以來，一直是Apple平臺程式的重要開發語言，直到Apple在2014年推出了繼任者Swift，再加上Kotlin、Dart等其他跨平臺語言夾攻，iOS開發者有太多選擇，也就沒有理由再使用Objective-C。</p> <p>在行動開發上，61％的受訪者使用原生工具，但也有49％的受訪者使用跨平臺技術與開發框架。使用Flutter的受訪者高達46％，React Native則有35％，但有趣的是，官方調查包括Unity、Xamarin與Ionic前5大跨平臺開發工具，每一個工具在2023年的使用比例都持平或是下降，唯有React Native較2022年上升了3％。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/General%20Development%20Trends%20-%20The%20State%20of%20Developer%20Ecosystem%20in%20202_%20-%20www_jetbrains_com.png" style="width: 380px;" /></p> <p>在DevOps和雲端開發上，受訪者使用的前3大雲端平臺依序是AWS、微軟Azure和Google雲端，有60％的受訪者使用AWS，微軟Azure和Google雲端則分別為25％與22％，AWS仍是開發者最常的雲端平臺。</p> <p>在虛擬化和容器開發技術的選擇，54％受訪者使用Docker，使用託管Kubernetes服務比例為13％，使用本地端Kubernetes的受訪者則也有10％。在相關工具方面，58%受訪者使用kubectl，是最多受訪者用於操作Kubernetes叢集的工具，而Ansible有38％受訪者使用，是最多受訪者選擇的組態管理工具。</p> <p>Jetbrains首次調查了開發者使用人工智慧工具的狀態，有高達77％的受訪者使用ChatGPT，而GitHub Copilot也有46％。開發者使用通用文字生成工具的比例，高於程式碼專用人工智慧生成工具，不過也是因為ChatGPT能夠編寫程式碼，因此開發者可能將其用於程式開發目的。</p> </div></div></div>
2023/11/28 08:38作者李建興https://www.ithome.com.tw/news/160023
【資安日報】11月27日，荷蘭半導體業者NXP遭中國駭客攻擊，入侵時間超過2年，驚傳與晶片設計相關智慧財產資料被竊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著最近幾年中美之間的晶片戰，半導體產業的重要性與日俱增，美國禁止廠商對中國業者供應晶片，中國也盡舉國之力，無不想方設法取得相關的技術及資源，試圖在封裝、製程等層面具備更強的自主能力。</p> <p>雖然檯面上因為美中對抗的關係，各國將相關技術輸出到中國受到越來越多管制，但最近有媒體報導曾出現國家級駭客滲透歐洲大型半導體業者，試圖取得相關智慧財產資料。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.nrc.nl/nieuws/2023/11/24/spionage-chinese-hackersgroep-zat-jarenlang-in-het-netwerk-van-de-nederlandse-chipfabrikant-nxp-a4182149"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">荷蘭半導體業者恩智浦驚傳遭駭，中國駭客竊取晶片設計相關智財資料</span></strong></a></p> <p></p> <p>根據荷蘭新聞媒體NRC報導，中國駭客組織Chimera自2017年到2020年初，滲透荷蘭半導體業者恩智浦（NXP）的網路環境，並竊得與晶片設計相關的智慧財產，但是否有更多機密被竊，仍有待進一步調查。</p> <p>這起攻擊行動之所以曝光，源於荷蘭皇家航空子公司Transavia前幾年遭遇類似攻擊，駭客在2019年9月入侵該公司的訂票系統，鑑識人員在調查的過程中，發現存在與恩智浦的IP位址連線的情況，從而發現這群駭客也對恩智浦下手。攻擊者起初從臉書、職場社交平臺LinkedIn挖掘可能的帳號資料，然後透過暴力破解攻擊來猜測密碼。而對於竊取的資料，攻擊者還會每隔幾個星期重新比對，然後將竊得的新資料上傳到OneDrive、Dropbox、Google Drive等公有雲端服務。</p> <p>對此，恩智浦向NRC證實智慧財產遭竊，但強調該資料極為複雜，無法輕易複製，因此，該公司認為沒有公開說明的必要。</p> <p><a href="https://ly.swcms.net/en/ir/news/auto_20231127595062/main/0/link/Notice%20and%20apology%20regarding%20information%20leakage%20due%20to%20unauthorized%20access_EN.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Line母公司遭遇網路攻擊，44萬用戶、合作夥伴、員工個資恐外洩</span></strong></a></p> <p></p> <p>即時通訊軟體Line母公司LY Corporation（LYC）發布資安通告，指出他們偵測到未經授權的第三方於10月9日存取該公司系統，而有可能導致使用者、業務合作夥伴、員工等人士的資訊遭到洩露。</p> <p>而對於資安事故發生的經過，該公司指出，起因是他們與韓國雲端業者Naver的承包商遭駭，員工電腦感染惡意軟體引起。由於LYC和Naver共用處理員工及其他個資的身分驗證系統，從而導致駭客藉由Naver的系統入侵先前屬於Line Corporation的內部系統。LYC於10月17日察覺異狀並著手調查，並於同月27日得到初步結論，很有可能是來自外部的未經授權存取事故造成。</p> <p>該公司在11月27日公布影響範圍，已知有超過44萬筆個資外洩，當中包含302,569筆Line使用者資料、86,105筆業務合作夥伴資料、51,353筆員工及其他人士的資料流出。而對於Line用戶的部分，當中有49,751筆包含服務使用記錄，22,239筆含有與特定用戶互動的私密資料。不過，上述的用戶資料皆未包含銀行帳號、信用卡資料、聊天訊息內容。</p> <p><a href="https://www.bleepingcomputer.com/news/security/general-electric-investigates-claims-of-cyber-attack-data-theft/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">奇異傳出遭到網路攻擊，駭客聲稱取得大量美國軍事研究單位的機密</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/forum-post-GE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/forum-post-GE.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，近期名為IntelBroker的人士在駭客論壇上，聲稱握有美國電子業者奇異（General Electric）的資料，其中包含能夠存取該公司的開發及軟體管道環境的入侵管道，如遠端登入介面SSH、版本控制系統SVN的帳密資料，而且，甚至含有大量與美國國防部高等研究計畫局（DARPA）有關的軍事資訊、各式檔案、SQL檔案、文件。</p> <p>為了取信買家，這名駭客提供了竊得資料的螢幕截圖，內容包含了GE Aviations的資料庫，且當中部分內容似乎與軍事機密相關。對此，該新聞網站向奇異進一步確認，該公司表示得知駭客的說法，並著手調查，他們也會採取相關措施確保系統的完整性。</p> <p><a href="https://research.checkpoint.com/2023/israel-hamas-war-spotlight-shaking-the-rust-off-sysjoker/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">哈瑪斯駭客運用後門程式SysJoker攻擊以色列組織</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/IPMNFR8NNQ-image6.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/IPMNFR8NNQ-image6.png" style="width: 300px; float: right;" /></a>資安業者Check Point揭露近期出現的木馬程式SysJoker新版，此惡意程式最早約在3年前出現，當時駭客以C++開發，攻擊範圍涵蓋Windows、Linux、Mac電腦，駭客將其偽裝成系統更新檔案來引誘使用者上當，一旦成功植入受害電腦，此木馬程式就會解析存放於Google Drive的檔案，從而取得連線C2伺服器的網址，讓駭客能進一步下達命令。而這次出現的新版木馬程式，駭客以Rust程式語言重新改寫，並改以OneDrive存放C2資訊，但功能與之前的版本大致相同。</p> <p>而對於攻擊者的身分，研究人員指出，這起木馬程式的攻擊行動，與發生在2016至2017年的Operation Electric Powder攻擊行動存在相似之處，幕後主使者就是哈瑪斯駭客組織Molerats（亦稱Gaza Cybergang），因此研究人員推測，這款SysJoker木馬程式，很有可能是哈瑪斯駭客用來攻擊以色列的工具。</p> <p><a href="https://www.bleepingcomputer.com/news/security/uk-and-south-korea-hackers-use-zero-day-in-supply-chain-attack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">英國、韓國針對北韓駭客組織的攻擊行動提出警告，駭客鎖定身分驗證系統漏洞下手</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/MagicLine4NX-diagram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MagicLine4NX-diagram.png" style="width: 300px; float: right;" /></a>英國國家網路安全中心（NCSC）與韓國國家威脅情資服務（NIS）提出警告，北韓駭客組織鎖定韓國資安業者Dream Security開發的身分驗證系統MagicLine4NX而來，利用其中的零時差漏洞入侵目標組織。</p> <p>駭客從今年3月開始，入侵新聞網站並在部分新聞網頁植入惡意指令碼，進行水坑式攻擊，一旦電腦安裝MagicLine4NX的使用者存取網頁，就有可能藉由此身分驗證程式觸發前述的惡意指令碼，並與C2連線，使得攻擊者能夠遠端控制受害電腦，進而利用網路相關系統的弱點，存取目標組織面向網際網路的伺服器，並對該組織的業務伺服器散布惡意程式碼，從業務電腦竊取機密資訊。</p> <p>NCSC與NIS指出，駭客所利用的零時差漏洞，存在於1.0.0.1至1.0.0.26版MagicLine4NX，呼籲用戶應儘速檢查、更新，但並未透露該漏洞的細節。而對於攻擊者的身分，資安業者AhnLab指出，就是駭客組織Lazarus。</p> <p>資料來源</p> <p>1. <a href="https://www.ncsc.gov.uk/news/uk-republic-of-korea-issue-warning-dprk-state-linked-cyber-actors-attacking-software-supply-chains">https://www.ncsc.gov.uk/news/uk-republic-of-korea-issue-warning-dprk-state-linked-cyber-actors-attacking-software-supply-chains</a><br /> 2. <a href="https://asec.ahnlab.com/wp-content/uploads/2023/10/20231013_Lazarus_OP.Dream_Magic.pdf">https://asec.ahnlab.com/wp-content/uploads/2023/10/20231013_Lazarus_OP.Dream_Magic.pdf</a></p> <p><a href="https://blog.aquasec.com/the-ticking-supply-chain-attack-bomb-of-exposed-kubernetes-secrets"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">公共儲存庫曝露財星500大企業的K8s配置</span></strong></a></p> <p></p> <p>資安業者Aqua Security提出警告，他們發現數百個組織曝露了Kubernetes機敏資料（Secret），從而導致他人能存取這些組織的軟體開發生命週期（SDLC）相關環境，而有可能引發供應鏈攻擊的危險。研究人員指出，這些受影響的公司，包含了多家財星500大公司，以及2家區塊鏈業界的龍頭。</p> <p>他們利用GitHub的API，針對dockercfg、dockerconfigjson兩種類型的機敏資料進行調查，結果發現，曝露於網路上的438筆記錄可能包含有效帳密，其中有203筆資料確實能讓他人存取對應的映像儲存庫（registry）。</p> <p>值得留意的是，上述研究人員找到的帳密資料，大部分是電腦產生，但有93個是開發人員自行設定，而這些由開發者設定的密碼，近半數是弱密碼。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/critical-bug-in-owncloud-file-sharing-app-exposes-admin-passwords/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">開源檔案共享系統ownCloud存在重大漏洞，有可能導致資料外洩</span></strong></a></p> <p></p> <p>11月21日開源檔案共享系統ownCloud發布3則資安通告，指出該系統存在3項重大漏洞，而有可能導致系統存放的檔案可被存取。</p> <p>其中，最嚴重的是取得CVE編號的CVE-2023-49103，該漏洞與特定版本的graphapi元件有關，而有可能在容器型態的部署環境下，影響網頁伺服器的所有環境變數，起因是對於第三方程式庫的相依性，而有可能因為URL曝露PHP環境配置，從而導致ownCloud管理者密碼、郵件伺服器帳密曝光，CVSS風險評分為10。</p> <p>其餘兩個漏洞分別存在該系統的核心程式庫，以及OAuth2程式庫。前者為身分驗證繞過漏洞，CVSS風險評分為9.8；另一個為子網域驗證繞過漏洞，CVSS風險評分為9。</p> <p>資料來源</p> <p>1. <a href="https://owncloud.com/security-advisories/disclosure-of-sensitive-credentials-and-configuration-in-containerized-deployments/">https://owncloud.com/security-advisories/disclosure-of-sensitive-credentials-and-configuration-in-containerized-deployments/</a><br /> 2. <a href="https://owncloud.com/security-advisories/webdav-api-authentication-bypass-using-pre-signed-urls/">https://owncloud.com/security-advisories/webdav-api-authentication-bypass-using-pre-signed-urls/</a><br /> 3. <a href="https://owncloud.com/security-advisories/subdomain-validation-bypass/">https://owncloud.com/security-advisories/subdomain-validation-bypass/</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://securityaffairs.com/154785/cyber-crime/rhysida-ransomware-china-energy.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國能源建設公司傳出遭到勒索軟體Rhysida攻擊</span></span></strong></a></p> <p></p> <p><a href="https://securelist.com/hrserv-apt-web-shell/111119/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">阿富汗政府遭到名為HrServ的Web Shell鎖定</span></span></strong></a></p> <p></p> <p><a href="https://www.welivesecurity.com/en/eset-research/telekopye-chamber-neanderthals-secrets/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客利用名為Telekopye的工具包，鎖定eBay、Sbazar、BlaBlaCar等線上拍賣、購物網站</span></span></strong></a></p> <p></p> <p><a href="https://www.cisa.gov/news-events/alerts/2023/11/26/cisa-and-uk-ncsc-unveil-joint-guidelines-secure-ai-system-development"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國、英國聯手發布安全AI系統開發的指引</span></span></strong></a></p> <p></p> <p><a href="https://securityaffairs.com/154732/security/microsoft-defender-bounty-program.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟宣布針對端點防護產品線Defender設置漏洞懸賞專案</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160001"><strong>【11月24日】 Mirai殭屍網路變種感染路由器、NVR網路視訊監控裝置，攻擊者利用的零時差漏洞，疑涉及預設的弱密碼</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159980"><strong>【11月23日】訊連科技遭北韓駭客發動供應鏈攻擊，駭客於該公司更新伺服器部署惡意軟體，臺灣及多個國家出現受害者</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159948"><strong>【11月22日】勒索軟體Phobos打著資安社群的名義，鎖定Windows電腦發動攻擊，聲稱受害者復原檔案要找社群</strong></a></p> </div></div></div>
2023/11/27 18:27作者周峻佑https://www.ithome.com.tw/news/160022
北韓駭客再找供應鏈開刀，安全身分驗證軟體MagicLine4NX遭駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ncsc.gov.uk/news/uk-republic-of-korea-issue-warning-dprk-state-linked-cyber-actors-attacking-software-supply-chains" target="_blank">英國與南韓在23日聯手警告</a>，北韓駭客攻陷南韓當地資安業者Dream Security所開發的身分驗證軟體MagicLine4NX的零時差漏洞，以作為攻擊特定目標的跳板，就在前一天，<a href="https://www.ithome.com.tw/news/159983" target="_blank">微軟才揭露</a>北韓駭客Lazarus在今年10月，於臺灣訊連科技的軟體安裝程式中植入惡意程式碼，危害了全球逾100臺裝置。</p> <p>根據英國國家網路安全中心（NCSC）與南韓國家情報院（NIS）的調查，北韓駭客近年來所執行的供應鏈攻擊日益增加也愈來愈複雜，它們利用零時差漏洞與各種攻擊程式來鎖定被許多國際組織採用的軟體供應鏈產品漏洞，主要目的為獲利與蒐集情報，包括竊取先進技術。NCSC與NIS僅說是北韓駭客，並未指名駭客組織。</p> <p>其中一個先前未被揭露的攻擊行動發生在今年3月，駭客先是危害了某個新聞網站，於特定的文章中植入了惡意腳本程式，而且只在特定IP範圍的裝置存取時才會發動攻擊，當安裝了MagicLine4NX的受害者點擊文章時，就會執行惡意程式碼，進而連至由駭客控制的C&C伺服器，繼之駭客再透過另一個連網系統的零時差漏洞，在未經許可的情況下存取網路伺服器，再藉由資料同步功能遞送惡意程式，以竊取機密資訊。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1127-DPRK-cyber%20actors-software%20supply%20chain-attack-by%20%E8%8B%B1%E5%9C%8B%E5%9C%8B%E5%AE%B6%E7%B6%B2%E8%B7%AF%E5%AE%89%E5%85%A8%E4%B8%AD%E5%BF%83%EF%BC%88NCSC%EF%BC%89-600-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1127-DPRK-cyber%20actors-software%20supply%20chain-attack-by%20%E8%8B%B1%E5%9C%8B%E5%9C%8B%E5%AE%B6%E7%B6%B2%E8%B7%AF%E5%AE%89%E5%85%A8%E4%B8%AD%E5%BF%83%EF%BC%88NCSC%EF%BC%89-600-1.png" style="width: 600px;" /></a></p> <p><a href="https://eng.nis.go.kr/ECM/1_3_1_1.do?seq=83&currentPage=1" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源／ROK-UK Joint Cyber Security Advisory</span></span></a></p> <p>在此一攻擊行動中，駭客先是透過水坑攻擊過濾了受害者，接著再針對特定目標執行額外的攻擊行動，攻陷了第一個供應鏈產品的零時差漏洞之後，再感染第二個供應鏈產品，利用連網系統的零時差漏洞與合法功能入侵內部網路。</p> <p>另一個也被NCSC與NIS歸類為出自北韓駭客之手的，是3CX所打造的桌面程式Electron，<a href="https://www.ithome.com.tw/news/156223" target="_blank">駭客在今年3月</a>於Electron的更新程式中植入了惡意程式，手法類似訊連科技遭駭的過程。</p> <p>NCSC與NIS建議，各大組織都應安裝所有軟體的安全更新，採用雙因素身分驗證，亦應監控網路基礎設施以觀察可疑流量，以防範相關攻擊。</p> </div></div></div>
2023/11/27 16:02作者陳曉莉https://www.ithome.com.tw/news/160018
【資安週報】2023年11月20日到11月24日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一星期的漏洞消息中，有兩大漏洞修補需重視，包括江森自控修補旗下工業冷凍系統重大漏洞、Fortinet修補旗下FortiSIEM重大漏洞，此外，還有視訊監控影像錄製設備（NVR）與路由器被駭客發現新零時差漏洞、並利用於散布Mirai變種病毒JenX的嚴重威脅，目前揭露此事的Akamai先示警並通知相關製造商，預計12月有新版修補釋出。</p> <p>另外，10月初我們曾報導GNU C函式庫緩衝區溢位漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-4911">CVE-2023-4911</a>（Looney Tunables），近日發現攻擊者開始利用這個已知漏洞的跡象，這星期資安日報新聞尚未提及，我們在此補上。</p> <p>國內方面，有多起資安事件成為焦點，都與上市公司有關，我們整理如下：<br /> （一）首度出現一日內兩起資安事件重訊：在11月20日，旅遊業「<a href="https://s4.itho.me/sites/default/files/images/2023-11-20_231240_%E9%9B%84%E7%8D%85.jpg">雄獅</a>」與塑膠工業「<a href="https://s4.itho.me/sites/default/files/images/2023-11-20_231222_%E4%B8%AD%E7%9F%B3%E5%8C%96.jpg">中石化</a>」先後發布資安事件重大訊息，說明遭受駭客網路攻擊事件。其中雄獅提及提醒旅客反詐騙警語，可能有顧客資料外洩情事發生，並是該公司是這兩年來第二次公告遭駭，中石化的揭露相當有限，對於企業與組織聯防，無法提供具體有用的情報。<br /> （二）<a href="https://s4.itho.me/sites/default/files/images/2023-11-27_131341_%E5%A4%A7%E6%B1%9F.jpg">大江生醫發布資安事件重大訊息，證實資訊系統遭受網路攻擊</a>：上期資安週報於20日發布之際，我們率先報導了生技業「大江」（大江生醫）疑似傳出在15日被Hunters International勒索軟體組織列為受害者的消息，其他媒體22日跟進報導這項消息，我們也再去電詢問大江仍未獲得回應，直到11月24日（週五傍晚）為止，大江終於公告他們遭受網路攻擊事件。<br /> （三）訊連科技被微軟揭露遭駭，北韓駭客Lazarus對這家公司發動供應鏈攻擊，他們的Promeo產品新用戶遭鎖定：此事曝光的同一天，訊連在網站發布公告，說明其產品「Promeo」的安裝程式中發現惡意軟體，他們已經移除問題，後續並將更新軟體安全憑證。<br /> 此外，這一星期國內還有中心綜合醫院傳出掛號系統無法使用、預約資料消失，疑遭網路攻擊的消息，以及司法院針對判決資料外洩事故做出新的說明。</p> <p>在資安威脅與事件方面，勒索軟體的威脅與動向最值得關注，有4項消息揭露，我們整理如下：<br /> ●對於Rhysida勒索軟體的危害，美國CISA、FBI與MS-ISAC聯合發布警告，說明其攻擊主要鎖定教育、醫療、製造、資訊業與政府部門。這份公開消息揭露該勒索軟體採用的TTP與IoC，供企業了解其攻擊策略與手法，以及各種緩解措施。<br /> ●關於勒索軟體BlackCat的新動向，有資安業者指出近期新手段是在Google刊出廣告，假借提供知名的應用程式（如Advanced IP Scanner、Slack、WinSCP），引誘網路使用者連至釣魚網站，下載被植入惡意程式Nitrogen的軟體。<br /> ●勒索軟體Phobos再度出沒，資安研究人員揭露近期出現他們鎖定資安社群VX-Underground的情形。<br /> ●勒索軟體駭客組織Play威脅恐加劇，近日有資安人員揭露該組織打出將其工具提供出租的旗號，欲吸引更多打手加入的狀況。</p> <p>在新興攻擊手法與其他重要威脅態勢方面，我們認為竊資軟體Lumma的新手法，利用壓縮檔發動攻擊的現況，最值得留意。<br /> ●竊資軟體Lumma為了規避偵測，利用測量滑鼠軌跡來識別真人操作，才執行該竊資軟體；另一資安研究人員更是揭露，Lumma開發者聲稱能復原Google帳號的連線階段，挾持受害者帳號。<br /> ●關於利用壓縮檔散布惡意的態勢需要留意，本週有三起相關事件，首先是大使館人員要注意，俄羅斯駭客APT29鎖定歐洲多國大使館網攻，發動WinRAR漏洞攻擊，接著是加密貨幣用戶要注意，駭客組織DarkCasino針對這些用戶利用WinRAR漏洞發動攻擊，還有竊資軟體Agent Tesla新利用ZPAQ格式，將1 GB的大型檔案縮為僅有6 KB的壓縮檔，可能是要規避防毒掃描。<br /> ●Python開發人員也要注意，有資安業者揭露近半年有駭客上架了模仿知名套件的27個PyPI套件，同時還會利用PNG圖檔埋藏攻擊意圖。</p> <p>最後，還有兩個國家級駭客攻擊動向的揭露，值得警惕，包括：中國駭客組織Mustang Panda鎖定東南亞國家軍事單位下手，駭客假借提供Solid PDF Creator、印尼防毒軟體Smadav的名義，藉由這些應用程式來側載惡意軟體；以及俄羅斯駭客Gamaredon鎖定烏克蘭組織，散布USB蠕蟲LitterDrifter。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/159921"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月20日】駭客近半年散布逾30款惡意PyPI套件，利用PNG圖檔埋藏攻擊意圖，美國、中國、法國皆有開發者受害</span></strong></a></h3> <p>近期針對開發人員的攻擊行動相當頻繁，而且也出現越來越隱密的手段，例如，將攻擊程式碼埋藏在惡意套件的特定模組，一旦開發人員依照指示安裝套件，惡意程式碼不會馬上執行，而是等呼叫特定功能才會一併載入。</p> <p>而類似的手法，近期也出現其他新的手段，例如，資安業者Checkmarx披露的惡意PyPI套件攻擊行動。攻擊者嘗試將惡意程式碼埋藏在外部的PNG圖檔，使得PyPI套件本身看似無害。</p> <h3><a href="https://www.ithome.com.tw/news/159939"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月21日】中國駭客組織Mustang Panda鎖定東南亞發動數起網釣攻擊，起因疑與8月發生的菲律賓海上軍事衝突有關</span></strong></a></h3> <p>今年上半，中國駭客組織Mustang Panda的攻擊行動頻傳，這些駭客著眼的目標與烏克蘭戰爭有關，大多是對於曾經協助該國的歐洲國家下手。</p> <p>但到了下半年，這些駭客開始轉換目標，再度把攻擊聚焦在先前曾鎖定的東南亞國家。例如，發生在8月的攻擊行動，就是針對東南亞國家而來，研究人員推測，這波攻擊主要是與菲律賓之間的衝突有關。</p> <h3><a href="https://www.ithome.com.tw/news/159839"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月22日】勒索軟體Phobos打著資安社群的名義，鎖定Windows電腦發動攻擊，聲稱受害者復原檔案要找社群</span></strong></a></h3> <p>勒索軟體攻擊事故頻傳，在本日的新聞當中，就有3起這種型態的資安事故，其中，最值得留意的部分，是駭客聲稱自己是某個知名資安組織的情況，顯然是為了抹黑他們，意圖挑撥、分化整個社群，削弱整體防禦力量。</p> <p>值得留意的是，這些駭客犯案的過程中，不僅盜用該組織的名稱，還大肆透過勒索訊息進行嘲笑，甚至是要求受害者購買該資安組織撰寫的書籍。</p> <h3><a href="https://www.ithome.com.tw/news/159980"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月23日】訊連科技遭北韓駭客發動供應鏈攻擊，駭客於該公司更新伺服器部署惡意軟體，臺灣及多個國家出現受害者</span></strong></a></h3> <p>針對臺灣廠商的供應鏈攻擊事故，<a href="https://www.ithome.com.tw/news/129597">4年前華碩更新伺服器遭駭的事故曾引起高度關注</a>，供應鏈攻擊成為臺灣IT製造廠商不能忽視的資安威脅，而最近，又有其他軟體供應商遭遇類似攻擊，駭客利用其更新基礎設施，散布惡意程式。</p> <p>微軟威脅情報團隊披露自10月底針對臺灣多媒體應用程式開發商訊連科技而來的攻擊行動，駭客竄改該公司的軟體安裝檔案，並上傳到訊連的更新伺服器，至於攻擊者的目的，仍有待進一步釐清。</p> <h3><a href="https://www.ithome.com.tw/news/160001"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月24日】Mirai殭屍網路變種感染路由器、NVR網路視訊監控裝置，攻擊者利用的零時差漏洞，疑涉及預設的弱密碼</span></strong></a></h3> <p>殭屍網路Mirai鎖定物聯網（IoT）裝置的攻擊行動，不時有事故傳出，但最近研究人員披露的資安事故相當引人注目，因為，他們並未透露駭客針對的設備型號，僅公布類型是網路視訊監控裝置（NVR）、小型路由器。</p> <p>值得留意的是，上述設備皆存在零時差漏洞，而且，研究人員透露攻擊者所使用的惡意程式碼，包含了這些設備的預設帳號及密碼。而這些跡象也顯示，攻擊者有可能利用這些管道取得控制權。</p> </div></div></div>
2023/11/27 12:32作者羅正漢https://www.ithome.com.tw/news/160012
Canonical推出適用於雲端部署的輕量Chiselled Ubuntu容器映像檔
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Canonical<a href="https://canonical.com/blog/chiselled-ubuntu-ga">發布</a>Chiselled Ubuntu容器，這是一個超小型OCI映像檔，僅提供應用程式和執行環境相依項目，而不包含其他作業系統層級的套件、公用程式或是函式庫，以提高容器的安全性並減少整體容量大小。Canonical提供了Java和Python預先建置Chiselled Ubuntu容器映像檔，並且透過與<a href="https://devblogs.microsoft.com/dotnet/announcing-dotnet-chiseled-containers/#comment-20066">微軟</a>的合作，也推出適用於.NET 6、.NET 7與.NET 8開發用Chiselled Ubuntu容器映像檔。</p> <p>Chiselled Ubuntu容器是一種特殊的容器映像檔，其設計理念是去除一般Ubuntu容器映像檔中非必要的元件，只保留應用程式執行所必須的核心部分。Chiselled Ubuntu容器映像檔缺少殼層和套件管理器，大幅限制了攻擊面，而且因為映像檔不含curl和wget，因此攻擊者也無法下載並執行控制伺服器上的殼層腳本。</p> <p>另外，這些映像檔以非根用戶身分執行，進一步限制了映像檔中允許的操作，因為非根使用者僅有應用程式的讀取和執行權限。這樣的設計使容器映像檔變得更小更安全，非常適合用於雲端應用程式部署，既減少了容量需求同時也降低資安風險。</p> <p>預建置結合.NET和Java等開發工具鏈的Chiselled映像檔，提供開發者簡單且安全的生產環境，包含Java執行環境引擎的Chiselled映像檔，在不影響吞吐量和啟動效能的情況下，容量比Eclipse Temurin Java 17執行環境映像檔小了約51％。</p> <p>.NET 8.0的Chiselled容器映像檔也只包含7個元件，僅有被高頻率使用如OpenSSL等相依項目才會被包進映像檔中。未經壓縮的aspnet Chiselled映像檔僅約110 MB，相較於現有Ubuntu映像檔減少超過100 MB，大小與Alpine映像檔相當，是微軟目前發布含glibc體積最小、元件最少的映像檔。</p> </div></div></div>
2023/11/27 10:58作者李建興https://www.ithome.com.tw/news/160010
新版木馬程式SysJoker改採Rust程式語言
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者<a href="https://research.checkpoint.com/2023/israel-hamas-war-spotlight-shaking-the-rust-off-sysjoker/" target="_blank">Check Point Research近日發現</a>了新版本的跨平臺木馬程式SysJoker，它原本使用C++撰寫，但最新版本卻是採用Rust程式語言，且已被與哈馬斯（Hamas）有關的駭客集團用來對付以色列。</p> <p>SysJoker最早現身於2021年，當時它就是一個跨平臺的木馬程式，可用來攻擊Windows、Linux與macOS平臺。它偽裝成系統更新檔，再解碼存放於Google Drive的檔案來產生C&C，根據當時揭露它的資安業者<a href="https://intezer.com/blog/research/new-backdoor-sysjoker/" target="_blank">Intezer分析</a>，SysJoker會不斷變更其C&C伺服器，意味著駭客非常積極且監控著遭到危害的裝置，相信它是在尋找特定的目標。</p> <p>SysJoker在不同平臺上的行為都很類似，Intezer認為其攻擊目的是為了間諜活動，但具備橫向移動的特性，或許也可能導致勒索軟體攻擊。</p> <p>Check Point Research所發現的SysJoker卻是以Rust撰寫，代表駭客完全重寫了SysJoker，卻保持類似的功能，此外，駭客轉而利用OneDrive而非Google Drive來儲存動態的C&C網址。</p> <p>另一方面，C++版本的SysJoker不但可從封存檔案中下載與執行遠端程式，也能執行由駭客指示的命令，但Rust版本在接收與執行下載的檔案後，會根據行動的成功與否再聯繫C&C伺服器，並無直接執行指令的能力。</p> <p>最新研究認為Rust版SysJoker與Operation Electric Powder駭客任務有關，這是在2016/2017年間攻擊以色列電力公司Israel Electric Company的行動，它們都使用了以API為主題的URL，並以類似的手法執行腳本命令。</p> </div></div></div>
2023/11/27 11:55作者陳曉莉https://www.ithome.com.tw/news/160014
千人平臺工程煉成記
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1157-feng_mian_gu_shi_-p1_open-960x420_kao_bei_0.jpg?itok=COuEA39Z" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>年營收5千億元的歐洲電商巨頭Zalando，15年前只靠2人就能管全站，但現在所有系統超過3千套，背後更多達4千隻微服務，一天可以發布高達上百次。如何支援分散全歐5處據點的2千人開發團隊，發揮最大生產力，關鍵就是平臺工程。</p> </div></div></div>
2023/11/27 10:30作者王宏仁https://www.ithome.com.tw/article/160006
變革現場：我在Zalando學到的第一堂課
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「技術本身沒有價值！」擔任今年臺灣開發者大會MWC 2023主題講者的Zalando前工程經理Andrew Howden，當著滿屋子技術人的面前，再三強調，「除非技術幫助人們完成任務，才能從任務做到多好，看出技術的價值。」</p> <p>Andrew Howden在Zalando這家歐洲電商巨頭SRE團隊待了四年，一路見證了Zalando最近四年的技術轉型歷程。他也是Zalando設立嵌入SRE團隊的主管，負責解決結帳流程中的特殊難題。</p> <p>不單看技術，而是從人獲得的結果，來看技術的價值，這是他認為，自己在Zalando四年學到的第一件事，也是最根本的一個教訓。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1157-cover4-600.jpg" style="width: 600px;" /></p> <p>所有的技術必須對準企業的商業需求，但是企業需求又會受到許多因素和限制的影響。所以，技術人員必須深入了解業務面的各種權衡，和採取不同改變背後的考量，有時得快速對症下藥，有時則得安靜低調的默默改變。</p> <p>想要打造傑出的開發者旅程，不能少了與業務團隊的合作，也必須考慮打造這些服務背後，那一些與業務無關的工程產出，才能確保技術團隊能夠符合業務需求，又可以讓業務團隊發揮技術團隊的新能力。如果技術團隊沒有做好自己的工作，對業務團隊來說，就是一種不可靠的供應商，業務團隊會另外設法找到出路。</p> <p>從Zalando的故事，可以看到他們如何因應不同的企業發展需求、限制，來做出不同的技術選擇和配套的組織變革。</p> <p>想要從Zalando技術變革的演化經驗中取經，關鍵不是看Zalando選擇了什麼技術，而是要看Zalando在「什麼時間」選擇了什麼技術。Zalando在不同發展階段，各有不同業務面和工程面的考量。</p> <p>成立初期，技術全力支援業務，甚至技術團隊將業務可靠性視為必要需求，這個高度追求穩定的技術選擇，反而讓技術成了業務創新的絆腳石。</p> <p>後來，Zalando轉而擁抱激進敏捷作法，也改採用了激進的全新所有權模式（指定專責所有權人的角色），這個所有權模式賦予了工程師高度的自主性，技術團隊可以有時不用對齊到業務需求，例如可以嘗試一下一個看起來很酷，但可能不太業務正確的新技術。</p> <p>Zalando做得最好的一點是，從技術和業務面提出了一個清楚的願景：打造出可以長久經營的全球性時尚平臺。所有員工都對齊這個願景，來做到最好。</p> <p>決策之前，必須先了解這項決策所身處的脈絡，像Zalando所做的每一項獨特的技術決策，對其他企業而言，可能是好的參考範例，但也可能是作為不良範例的負面參考教材。</p> <p>Andrew Howden建議，好好思考Zalando技術決策背後的考量，例如想一想，同一時期，這項技術決定有沒有替代選擇？產業常見做法是什麼？Zalando又是如何善用這個技術決定的能力，來發揮競爭優勢？</p> <p>要選擇最適合自己的技術，而不是最理想的技術，不要拿到CNCF技術藍圖，就開始挑技術，而是要回頭思考自家企業需要什麼。</p> <p>一個典型的例子是，不能因為Zalando現在大力擁抱Kubernetes，就理所當然的想說，我也直接可以採用Kubernetes。</p> <p>Zalando早在選擇Kubernetes之前，在AWS提供容器管理平臺選擇之前，自己也打造了一套Docker管理平臺，後來發現這麼做的成效不彰。若是在今天，Kubernetes發展成熟的情況下，Zalando遇到同樣的抉擇，不見得會想要自己從頭開發一套。</p> <p>將Zalando經驗套用到自家企業時，不要問這是不是一個最理想的作法？而要問自己，這是不是「對企業來說是最理想」的選擇？考慮技術採用時，得選擇業務需要的技術，而不是看起來很酷的技術。</p> <p>Zalando很幸運地擁有一群資深、在業界待了很久的技術老手，當決定擁抱激進敏捷模式和對應技術時，可以透過部落格、社群媒體、工作坊等各種管道的曝光，吸引到大量優秀的技術人才。這也是讓Zalando可以在那個當下做出那樣決定的背景因素之一。</p> <p>Zalando平臺演變的故事聽起來很厲害，用了不少看起來很酷的技術，關鍵是得了解這個故事的背後，Zalando這些技術策略是為了回應這項業務面目標：商業需要快速創新。想要實現這一點，技術團隊的規模必須倍增再倍增，這又需要將技術能力平臺化，以及對應架構的配套。</p> <p>你的企業若想要複製Zalando的經驗，必須清楚知道自家企業處於Zalando的哪一個發展階段。如果不匹配，就得回頭聚焦自己的工程團隊，將他們視為自家平臺的顧客來思考。思考工程團隊的能力，而非他們的期望，以及對他們未來發展的期望，最後再決定，如何為自家工程團隊來打造平臺，不要只為了有一套「現代軟體開發」流程而打造平臺。</p> </div></div></div>
2023/11/27 09:08作者王宏仁https://www.ithome.com.tw/news/160004
【千人平臺工程煉成記Part 3】業務決策和工程創新讓網購周業績暴增後，聚焦開發者體驗優化也再次擁抱SRE
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2019年，Zalando遇到了創立以來最大規模的黑色星期五網購周。光在2019年那一周，Zalando就增加了84萬名新顧客，每分鐘的訂單量峰值更達到7,200張，比2018年每分鐘4,200張，足足多了7成訂單量。為何在2019年的網購周，可以有這麼大幅度的業績成長？關鍵就是業務決策和工程創新雙管齊下的成果。</p> <p>因為網購周年年都有，每到網購周期間，顧客的行為格外不同，會成為狂熱的購物者。在2019年網購周之前，Zalando決定在網購周期間，推出一些新功能，讓顧客感到新奇也更興奮，來帶動買氣。</p> <p>可是，過去幾年，Zalando每逢網購周時，總會遇到現有系統某項功能因爆量而出狀況，現在卻要在網購周前幾周，上線全新的功能，如何確保新功能可以撐得住黑色星期五的人潮，維持顧客對網站的信賴感呢？這個業務決策，是一個很大的工程挑戰。</p> <p>所以，Zalando採取了一個大膽的作法，提前在平日的正式環境中，重現網購周的爆量負載來實測新功能。</p> <p>一方面，Zalando沒有停下SRE的發展，在2018年時建立了兩個SRE輔助團隊，一個是數位基礎部門下設置了SRE啟動團隊，負責輔導產品團隊採用SRE作法，另一個團隊則是負責改善SRE體驗的開發團隊，打造各種SRE工具。</p> <p>這兩個團隊一起參與全公司的SRE推動計畫，建立了一套分散式SRE追蹤機制，導入到所有團隊，並開始善用這些蒐集來的維運數據，支援各平臺網頁優化及產品基礎架構的優化。這個追蹤機制，後來在2019年的網購周因應上，發揮了很大的助力。</p> <p>Zalando從歷史資料中，找出了網購周期間的主要顧客旅程，模擬重建出了一整套顧客在網購周期間，與所有系統互動的一系列行為，來進行網購周負載測試的準備。</p> <p>這個網購周負載測試就是由SRE計畫成員負責，甚至在黑色星期五促銷活動期間，SRE輔導團隊也得在活動戰情室中待命。</p> <p>提前在網購周之前的平日，在正式環境中模擬網購周的負載測試，「這個作法是用顧客體驗作為代價，來進行這些負載測試，必須承擔起影響真實顧客的風險。」參與Zalando最近4年SRE戰略發展的第一線工程主管、Zalando前工程經理Andrew Howden進一步強調，但是，提早知道可能的出錯風險，就能在網購周前，先修補好這些問題。</p> <p>另一方面，Zalando格外謹慎地控制這些網購周負載實測，設定了一組實測放棄標準，一旦負載測試對真實顧客產生了影響，就立刻中斷實測，回復到正常狀態的運作狀態。</p> <p>後續幾年，Zalando甚至可以做到故意打壞一整套系統，來實測系統復原功能在龐大網購周負載下的運作情況。</p> <p>透過這個負載實測機制，就算在網購周前3周上線新功能，也能透過負載測試驗證新功能對整體平臺體驗的影響。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-%E6%8A%80%E8%A1%93%E9%9B%B7%E9%81%94-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Zalando.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#696969;">Zalando技術發展邁入了成熟期後，技術決策時不再像剛推激進敏捷時的自由，轉而由資深工程社群來主導，發展出技術雷達圖（Tech Radar）協助上百團隊的技術決策。要求各團隊都要參考這一份共用的技術推薦清單，作為新專案挑選出技術的參考，不用每次發起新專案時就得從頭進行技術評估，直接參考清單推薦來選擇。正因為每個團隊都參考了同一份技術雷達圖來挑選，Zalando就能夠確保不同專案所用的技術，都在這份共用技術清單的範圍內，來達到全公司技術面的聚焦。</span></strong><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／Zalando</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>技術發展進入成熟期，靠技術雷達聚焦上百團隊技術決策</strong></span></span></p> <p>從2009到2019年，Zalando組織面歷經了多次變革，技術面也發展出一個超大規模的分散式微服務架構。根據Zalando在2022年柏林DevOpsCon上揭露了數字，2019年當時的微服務數量多達四、五千支。</p> <p>這時候的Zalando的技術發展邁入了成熟期，技術決策時不再像剛推激進敏捷時的自由，轉而由一個資深工程社群來主導，發展出技術雷達圖（Tech Radar）來協助2百個團隊的技術決策。</p> <p>這一份技術雷達圖的設計參考了ThoughtWorks顧問公司的作法，但發展成Zalando自己的專屬版本。</p> <p>這家顧問公司將近百項項涵蓋技術、工具、平臺、框架和語言這四大類的技術名詞，按照推薦採用的程度分為四級，排列在一張圓形又分為四象限的雷達圖上。在這張技術雷達圖，會列出不同類型技術的推薦採用程度，用不同的環來代表不同推薦程度，越靠近核心的環，代表這項技術的推薦程度越高。</p> <p>Zalando盤點了自己的需求，最後聚焦在軟體開發相關技術，包括了資料儲存，資料管理、基礎架構和開發語言等四大類。推薦採用程度分為四級，形成四個環，每一環代表了不同的推薦等級。這四級包括：Adopt（推薦採用）、Trial（推薦試用）、Assess（評估階段）、Hold（保留不推）。</p> <p>推薦試用類技術則是是指已經在內部有成功專案的技術，而且至少用於真實問題而非模擬情境的處理，而且重視採用廣泛度，屬於高層有意願長期投資的技術才會列入這個推薦等級。而列入評估階段的技術，這是指一群有明顯潛在價值，且值得投資的技術，還透過自動分析在所有產品中的試驗計畫的資料，找出已經試驗中且值得列入Trial階段的技術。。最後一類保留不推的等級，則是不推薦但會繼續提供維護的技術，而且不只新專案不能用，也不鼓勵用於推廣性服務上，要逐漸縮小這類技術的應用廣度。</p> <p>每一項技術還會附上一份技術說明文件，列出這項技術的優點，缺點，限制，使用情況和使用後學到的經驗，每一項技術都有一份文件，全部的技術文件集結成了一份技術知識庫。Zalando也整理技術雷達圖的這些推薦技術的採用範本和指南，在指南上會提供使用時常見問題說明，或是已經採用團隊的使用案例，甚至是不同替代技術間的比較等。</p> <p>每隔一段時間，進行技術推薦等級的調整，首席工程師會搜集了現有技術雷達上每一項技術的真實使用數據，包括了使用量，出事紀錄，採用經驗（例如這項技術在Zalando導入多少年）的數據，再進行評分，由指定維護的首席工程師先建立一份新技術評分的試算表，再開放給首席工程師社群進行投票，決定要「升級」或「降級」</p> <p>Zalando要求各團隊都要參考這一份共用的技術清單，作為新專案挑選出技術的參考，不用每次發起新專案時就得從頭進行技術評估，工程師直接參考清單推薦來選擇。正因為每個團隊都參考了同一份技術雷達圖來挑選，Zalando就能夠確保不同專案所用的技術，都在這份共用技術清單的範圍內，來達到技術方向的聚焦。</p> <p>Zalando將原本的數位基礎部門改名為建置部門（Build），繼續負責打造和改善開發者平臺，專門服務開發者這一群人。建置部門開始研究開發者的顧客旅程，也就是開發者日常的工作旅程，發現開發者所用的開發平臺相當分散，每個團隊都以各自的方式，與各自成員溝通，更缺乏全公司共同的溝通語言。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>解決開發者流程破碎化問題，打造開發者入口網站</strong></span></span></p> <p>為了解決開發者工作流程破碎化的問題，建置部門打造了一套開發者入口網站Sunrise（日出平臺），作為開發者每天上班時打開的第一個網站。這個平臺的使用者包括了軟體工程師，資料工程師，技術主管，資料科學家，專案經理，設計師等。</p> <p>建置部門以Spotify開源的ML管理平臺專案Backstage為基礎，整合了許多Zalando內部技術工具、開發元件、實作範本和技術文件，設計出了這個內部專用的自助式開發者平臺（Internal Developer Platform），介面操作如同商用企業級協作平臺一樣的流暢，講究UX設計細節，就是為了引導開發者自己就能上手操作。甚至開發者可以在日出平臺上直接看到負責AP的常見監控數據。</p> <p>開發者打開日出平臺看到的第一頁，將他們常用的資訊點都集中到這一夜，讓他們很容易就可以搜尋到所負責的特定應用和常用的API，也能很快地看到每一個應用或API的專責擁有人是誰，若有需要可以直接在這一頁提出需求單（Ticket）來尋求幫助，不用像過去得到另一個系統來申請。日出平臺首頁也整合了所有開發者所負責的AP的所有事件資訊以及可訂閱的參考文件。</p> <p>工程師或其他使用者，可以檢查產品生命週期的每個階段的進度或狀態，而且是即時監控，還能與團隊和其他個人協作，對 CI/CD流程上的問題進行故障排除。 Zalando 團隊成員甚至可以使用 Sunrise 引導和部署新應用程序。</p> <p>為了打造出這個方便好用的內部開發者平臺，Zalando曾公開分享過有幾個關鍵。</p> <p>例如他們直接動手修改K8s原始碼來解決問題，讓K8s變成他們自己能夠掌控的系統，來發展自己的雲原生平臺。例如日出平臺就使用了自行開發客製的kubectl 封裝函式</p> <p>當遇到緊急事件，要快速建立臨時存取的k8s叢集，這個封裝函示就可以派上用場，不用按照原本標準封裝函式來執行，進一步縮短了不少部署時間。另一個關鍵是，Zalando也將「開發體驗」數據化，也就是得量測開發平臺對開發者體驗和生產力的成效。</p> <p>Zalando參考了一本書的建議《Accelerate:The Science of Lean Software and DevOps 》（臺灣中譯版的名稱「精益軟體&DevOps背後的科學」，來定義了4個開發者效能矩陣的指標。</p> <p>包括了事前準備時間（Lead Time）、發布頻率（Release Frequency）、平均復原時間（Time to Restore Service）、變更失敗率（Change Fail Rate），這也正是知名DevOps成效指標DORA中四指標所用的概念。</p> <p>不過Zalando具體量測四個指標的作法略有不同，事前準備時間是從Commit到正式上線環境的時間。而發布頻率:每一個開發者每一周的部署次數。平均復原時間則以事件發生開始計算到服務復原（而非服務當機開始起算）。最後一項變更失敗率則是看在所有部署次數中有多少次失敗來計算。</p> <p>日出這個開發者平臺最大的好處，就是讓所有開發者保持在相同的軌道上，另外也能滿足不同步部門各自組織分工的需求來提供彈性，最後，這個單一平臺也整合了Zalando他們所設計的技術雷達圖和所有的參考技術實踐經驗，驗證小組的測試文件檔，甚至還有成熟作法和流程的相關範本。可以透過單一平臺來聚焦，推薦開發團隊使用特別想要加碼的技術。</p> <p>Zalando日出網站的設計目標是「要讓開發者既快樂，又有生產力！」，提供最頂級的開發者體驗，盡可能地降低技術團隊和開發團隊的認知負擔，來提高開發速度和生產力。這是Zalando在去年平臺工程大會上，首度公開日出平臺開發過程時，Zalando高階首席工程師Henning Jacobs格外強調這件事。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964-1-%E6%97%A5%E5%87%BA%E5%B9%B3%E8%87%BA-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Zalando.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>為了解決開發者工作流程破碎化的問題，Zalando建置部門打造了一套開發者入口網站Sunrise（日出平臺），作為開發者每天上班時打開的第一個網站。</strong><span style="font-size:14px;">圖片來源／Zalando</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964-2-%E6%97%A5%E5%87%BA%E5%B9%B3%E8%87%BA2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Zalando.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>Sunrise（日出平臺）採用Spotify開源的ML管理平臺專案Backstage為基礎，整合了許多Zalando內部技術工具、開發元件、實作範本和技術文件，設計出了這個內部專用的自助式開發者平臺（Internal Developer Platform）。Zalando的開發人員可以在日出平臺上，取得全公司不同部門、產品團隊所打造的各種工具、服務的資訊，還能一站式取得所有支援服務。</strong><span style="font-size:14px;">圖片來源／Zalando</span></span></p> <p class="rtecenter"><span style="color:#696969;"><span style="font-size:14px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964-3-%E6%97%A5%E5%87%BA%E5%B9%B3%E8%87%BA3-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Zaladno.png" style="width: 600px;" /></span></span></p> <p><span style="color:#696969;"><strong>Zalando的開發人員可以在日出平臺上，快速檢視和管理所負責產品專案的進展。</strong></span><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Zalando</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>再次積極擁抱SRE，甚至成立專責SRE部門</strong></span></span></p> <p>另一方面，前面談到網購周時就提到，Zalando再度設立了SRE輔助團隊，2019年更直接成立了專責SRE部門，這個部門包括了Log紀錄團隊、追蹤矩陣團隊、事件應變團隊和啟動輔導團隊組合，透過同一套KPI讓這群人聚焦在相同的願景和目標。</p> <p>Andrew Howden指出：「SRE部門的目標是要建立一套關鍵業務維運的模式，聚焦在顧客體驗，解決跨部門對齊的課題。」他一路參與了Zalando過去4年來的SRE發展歷程。</p> <p>關鍵業務維運就是一項聚焦顧客體驗的服務水準目標（SLO），透過測量顧客與網站的互動，可以將開發者、管理者和顧客的觀點，整合到同一組數據中，並且用這些數據來改善可靠度。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>成立嵌入SRE團隊，專門解決特定維運難題</strong></span></span></p> <p>有了專責的SRE部門還不夠，Zalando更設立了一個新的SRE團隊，稱為嵌入SRE團隊（Embedded SRE），專門要解決結帳過程的特殊挑戰。例如有些瘋狂買家會突然鎖定特定商品進行大掃貨，帶來一些系統問題。這類結帳流程的難題，涉及了十幾隻應用程式、4、5個部門、上百位工程師之間的溝通和協作。Andrew Howden就是這個團隊的負責人，帶領了2名工程師。</p> <p>Andrew Howden先分析不同結帳異常背後相關產品系統的影響，一一找出解決作法。他處理過的問題，像是因為大量請求造成系統過載而無法回應後，促發叢集管理軟體自動重啟，卻造成了整套系統停擺。</p> <p>因為結帳系統是一個大規模的分散式微服務架構，原本採取了斷路器模式的設計，來避免不斷呼叫到同樣出錯的服務，但因為斷路器的設計太敏感，一個系統失效後，開始影響到其他系統斷路器的錯誤率判斷，帶來連鎖性的影響。</p> <p>或者另一次的問題是，為了確保可靠度，結帳系統設計了許多自動擴充機制，一發現有顧客結帳請求的回應速度變僈，就會自動擴充，但這導致雲端費用暴增，後來發現，少部分顧客因為掃貨行為產生大量請求，造成這一小群人的回應速度變慢，而不是所有顧客都有同樣的問題，只要以能涵蓋99.9%的一般顧客的標準，來定義出每一名顧客的請求數量上限，就能減少特定顧客瘋狂行為對自動擴充機制的影響。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>將維運難題解決經驗融入日常維運</strong></span></span></p> <p>因為解決一個問常常只需要3周，但是得花上3個月，把這個異常問題的處理經驗，交接給平臺團隊，以及涉及的不同產品負責團隊。嵌入SRE團隊最後一個挑戰是，如何將這些維運問題的解決經驗，變成日常維運的一環。</p> <p>Zalando每周都會舉辦一個維運回顧周會（Weekly operational review meetings，簡稱WORMs），首席工程師社群透過這個會議來查看事後分析報告，檢視各種維運問題。但是這些分析報告的品質落差很大，工程師為了準備這些文件也花了很多力氣。</p> <p>嵌入SRE團隊協助將這樣的分析報告產出過程自動化，甚至增加了相關SRE作法的調整建議，可以自動發送報告給這個團隊，也將報告自動發送給工程管理團隊每周檢視之用。</p> <p>2023年中，嵌入SRE團隊完成了最初設立時所要解決的課題，結束了這個團隊的任務，Andrew Howden也在8月結束了他在Zalando的旅程，轉而成為提供SRE培訓的顧問。</p> <p>但是，Zalando平臺工程沒有停下變革的腳步，仍舊持續進化中。</p> </div></div></div>
2023/11/27 09:16作者王宏仁https://www.ithome.com.tw/news/160003
竊資軟體Lumma開發者聲稱能復原Google帳號的連線階段，挾持受害者帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客為了挾持特定服務的使用者帳號，最近幾年經常會利用對手中間人（AiTM）攻擊手法，藉由代替受害人存取、進行身分驗證，取得登入過程建立的cookie、連線階段（Session），從而在無需知道密碼，也不需通過雙因素驗證（MFA）的情況下，掌握他們的帳號。但如今，有駭客聲稱能藉由過期的cookie，照樣能入侵特定服務的使用者帳號。</p> <p>照理而言，上述連線階段所使用的cookie，主要的用途是讓使用者一段時間裡能自動登入某向網站服務，無須逐次手動登入，基於安全性考量、避免遭竊而被濫用，這種cookie都具備有效期限。在AiTM攻擊手法當中，攻擊者也是竊取使用者當下登入網站服務的cookie加以濫用。這種讓cookie「起死回生」再拿來利用的情況，可是頭一次出現。</p> <h3><strong>竊資軟體首度提供復原Google帳號的cookie功能</strong></h3> <p>資安業者Hudson Rock指出，他們近期看到打造竊資軟體Lumma（亦稱LummaC2）的開發人員<a href="https://www.linkedin.com/posts/alon-gal-utb_an-upcoming-update-to-lumma-infostealer-is-activity-7128433924380213248-hcEG/">標榜特殊攻擊伎倆</a>，這些駭客表示，能從受害電腦竊取與Google服務有關的cookie，之後再進行濫用，並強調使用者就算登出、更換密碼，這類cookie仍然有效，不會過期或是遭到撤銷。</p> <p>資安新聞網站Bleeping Computer指出，<a href="https://www.bleepingcomputer.com/news/security/malware-dev-says-they-can-revive-expired-google-auth-cookies/">該惡意軟體的經營者在11月14日提供新功能</a>，讓買家能透過金鑰復原已經失效的cookie，此功能僅適用Google帳號，且由於該金鑰只能使用2次，因此，買家僅有一次復原cookie的機會，不過，倘若賣家標榜功能確實存在，足以對企業組織造成嚴重威脅。此外，這項特殊新功能也並非人人可用，經營者只提供每個月付費1千美元的企業訂閱方案用戶。</p> <p><a href="https://s4.itho.me/sites/default/files/images/lumma-cookies.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/lumma-cookies.png" style="width: 580px;" /></a></p> <p>上述的功能，雖然未得到研究人員或是Google的驗證，但這種挾持受害者Google帳號的能力，似乎並非特例，傳出有其他駭客掌握類似技術。</p> <p>因為，事隔3天之後，另一名研究人員g0njxa發現，<a href="https://twitter.com/g0njxa/status/1725486960750284847">經營竊資軟體Rhadamanthys的駭客也宣稱提供類似的功能</a>，所以，上述Bleeping Computer取得Lumma開發者的說法，很有可能是競爭對手從他們的竊資軟體複製而得。</p> <p><a href="https://s4.itho.me/sites/default/files/images/F_Io1lxXwAEfuJ6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/F_Io1lxXwAEfuJ6.jpg" style="width: 580px;" /></a></p> <p>對此，Bleeping Computer也向Google進一步確認，但沒有得到回應。不過，事隔數日，開發Lumma竊資軟體的駭客表示，Google近期在Token引入了新的限制，他們對此措施發布更新程式反制，買家仍舊能夠使用他們提供的功能，控制受害者的Google帳號。</p> <p><a href="https://s4.itho.me/sites/default/files/images/lumma-fix.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/lumma-fix.png" style="width: 580px;" /></a></p> <p>針對這項手法，Hudson Rock的研究人員從感染竊資軟體Lumma的電腦上，<a href="https://www.linkedin.com/posts/alon-gal-utb_infostealer-cybercrime-activity-7129468853574598656-gboo/">發現駭客所宣稱的新格式cookie並進行研究</a>，結果發現確實如對方所標榜，他們在瀏覽器注入這種cookie，就能存取受害者的Google帳號，而且，此cookie似乎不會過期。</p> <p>然而，他們請受害者變更Gmail密碼再進行測試，這種cookie便不再有效。研究人員試圖向Lumma開發人員探聽虛實，對方向他們透露，攻擊者必須使用一種「反偵測瀏覽器（Anti-Detect Browser）」，混淆自己裝置的識別資訊，並偽裝成受害電腦的組態。這些研究人員也希望其他資安業者參與調查，表示願意提供前述取得的cookie檔案。</p> <h3><strong>運用罕見手法已非首例</strong></h3> <p>究竟此竊資軟體是否確實具備駭客標榜的功能？目前尚未有資安人員證實，但這些駭客在竊資軟體導入極為罕見的招式，並非首例。</p> <p>例如，資安業者Outpost24揭露竊資軟體Lumma之前的攻擊行動，<a href="https://outpost24.com/blog/lummac2-anti-sandbox-technique-trigonometry-human-detection/">當時研究人員取得Lumma Stealer 4.0版進行分析</a>，發現這些駭客運用了極為複雜的手法迴避偵測，當中的伎倆，包含：控制流程的扁平化混淆（Control Flow Flattening Obfuscation）、真人操作滑鼠行為的偵測、XOR加密、支援動態的組態檔案等。</p> <p>其中最為特殊的是偵測使用者操作滑鼠的行為，駭客為了確認此惡意程式是否在研究人員的沙箱環境執行，他們利用三角學（Trigonometry）來追蹤滑鼠游標的位置，以50毫秒的間隔記錄5個位置，然後透過歐幾里得向量（Euclidean Vector）進行計算，若是得出的角度低於45度，才會認定是人類操作的行為，執行該竊資軟體。</p> <p><a href="https://s4.itho.me/sites/default/files/images/image19-Unveiling-LummaC2-stealer-v2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image19-Unveiling-LummaC2-stealer-v2.png" style="width: 580px;" /></a></p> </div></div></div>
2023/11/26 23:43作者周峻佑https://www.ithome.com.tw/news/160011
【SRE工程主管4年實戰首度在臺分享】Zalando千人平臺工程演化歷程大公開Part 1
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當企業的應用系統超過3千套，背後的微服務更超過4千隻，開發團隊規模超過了2千人，如何做到一天能夠發布上百次？這正是歐洲科技電商Zalando花了15年才做到的成就。</p> <p>Zalando成立才約15年，卻已經是歐洲最大的電商，20多國的官網一年總流量超過了50億人次，今年單季的網路訂單達到了5,800萬張，年營收更是超過了臺幣5千億元，是臺灣電商龍頭年營收的5倍。</p> <p>但是，Zalando不只是一家電商，更是一家徹徹底底的科技公司，技術團隊規模超過2千人，超過半數是開發人力，分散在全歐5個據點，組成了200個跨部門敏捷開發小組，負責3千套應用系統，還有一套由4千隻微服務組成的基礎架構。</p> <p>2008年，Zalando只是一家小型網路商城，用PHP套裝電商軟體，搭配MySQL資料庫打造而成的網站（就跟臺灣許多電商十多年前的發展一樣）。2010年時，改用Java搭配PostgreSQL資料庫，自行開發出了大型單體式電商平臺。2014年全面擁抱公雲，改用Docker和微服務架構重新打造平臺，2016年積極導入K8s，更搖身一變成了歐洲零售圈的技術供應商，有能力對合作夥伴和供應商輸出技術。</p> <p>這兩年，Zalando進一步聚焦開發團隊生產力的提升，打造出了一個在軟體業界大獲好評的內部開發者平臺Sunrise，來提升開發團隊的戰力。</p> <p>5千億營收歐洲電商巨頭Zalando，如何將SRE技術力，變成營運競爭力？如何打造內部開發者平臺，讓技術團隊更有生產力？</p> <p>參與Zalando最近4年SRE戰略發展的第一線工程主管，親自從柏林飛來臺灣，擔任今年臺灣開發者大會MWC 2023的主題講者，首次對臺灣開發者分享了，他一路見證千人開發者平臺工程的發展過程。</p> <p>這位講者是Zalando前工程經理Andrew Howden，他曾是SRE團隊工程主管之一，今年8月剛決定成為SRE專業顧問而離開，在Zalando技術總監的推薦下，我們特別邀他來臺分享。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1157-cover1-600-1.jpg" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">臺灣開發者活動MWC（Modern Web Conference）今年重回實體形式，三天超過60場演講，規模比過去更大。將海外開發經驗帶到臺灣是MWC發起的初衷，今年更聚焦引介跨國企業經驗，邀JP Morgan和Zalando來臺分享。</span></strong></p> <p>Andrew Howden是Zalando嵌入SRE團隊的負責人，負責提高交易體驗的可靠性。他也是網路購物周的技術維運準備小組成員，協助同事建立技術風險管理和維運準備度的流程。</p> <p>當顧客在購物車新增了一項商品（這是商品開始與顧客交易有關的起點），從倉庫依照訂單出貨，交給物流業者（這是平臺持有商品的終點），這個過程的顧客感受，Zalando稱為交易體驗，包括了顧客可以在平臺上看到商品進入購物車，到顯示出貨的過程。這段交易體驗流程，涉及了4種業務部門、10個團隊、超過100名開發人員。Zalando嵌入SRE團隊就是為了解決交易體驗流程的特殊難題而設立。</p> <p>2019年，Zalando小規模嘗試SRE經過2年，決定將SRE發展成全公司營運戰略，成立大型SRE專責部門。</p> <p>Andrew Howden就是在這一年進入Zalando擔任SRE工程師，2021年他就成為主要工程師之一，參與設計維運準備度工作流程計畫，要發展一套自助式評量來提高千套系統的可靠性，這涉及不同系統背後技術架構、業務領域、事件處理的知識。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>早創時期：靠套裝PHP軟體快速建立商城，2人通管全站</strong></span></span></p> <p>想了解Zalando的技術演變，得將時間拉回到2008年，Google剛發表Android系統，而蘋果iPhone爆紅，新推出了App Store。Zalando兩名創辦人Robert Gentz和David Schneider就在那一年秋天，創立了這家快時尚電商，想在網路賣鞋子。沒想到，公司成立不到幾天，就遇到了金融危機。</p> <p>Zalando手上資金不多，得想辦法樽節支出，兩名創辦人在柏林租了一間分租公寓，作為辦公室兼倉庫。因為剛起步，顧客不多，他們盡情嘗試不同的業務實驗，後來發現，免運和100天退貨權是顧客最喜歡的兩大亮點，這也成了Zalando早期擴展電商市場的優勢。Zalando這兩項運送保證，後來更成了顧客對其他電商平臺的期望標準。</p> <p>當時，為了快速打造出電商交易的平臺，也因為容易找到熟悉PHP的開發工程師，所以，第一代Zalando電商平臺就用了PHP開發的電商軟體Magento，這套軟體就像是古早時期的WordPress，可以自行組合第三方的功能模組。</p> <p>Zalando在早創階段的策略是「快速行動，凡事可變」（Move fast, Break things），Zalando沒有維運團隊，更不用說設立平臺團隊，只靠1、2名員工，來管理整個網站。</p> <p>過了兩年，2010年，這時出現了第一款iPad，Netflix也推出了12,000部影片，手機開始出現了社交媒體，Zalando業績進入了快速成長期，跨出德國，開始進入其他國家，先後拓展到荷蘭、法國等國。當時Zalando全職員工達到20人，也出現了許多高忠誠度的顧客。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>2010年用Java自己重新開發整套電商平臺</strong></span></span></p> <p>可是，創立時所選擇的PHP電商套裝軟體，開始發生問題，無法進一步擴大規模，開發團隊就算盡力修改了底層程式碼和架構，還是沒有辦法解決問題。最後，只好整個架構砍掉重練，Zalando重新開發了整套電商平臺，從PHP搭配MySQL資料庫的組合，換成了以Java語言搭配PostgreSQL資料庫的大型單體式應用。</p> <p>Zalando從舊版電商軟體，轉換新版平臺，在當時「只有」停機了90分鐘，「這個當年可接受的時間，若發生在現在，會是一場鬧上媒體的大災難。」Andrew Howden打趣的說。人們對技術的期待和標準，會隨著時空背景而改變，這就是其中一個典型例子。</p> <p>不過，當時的團隊規模不大，但也開始遇到敏捷的難題，如何更安全的執行發布？為了維持一定程度的可控，他們訂定了一份部署檢查清單，每次發布都要照單確認，雖然拖慢了更新程式碼的發布速度，但可以讓發布過程更可靠，來維持顧客的信任。</p> <p>2014年，Zalando的規模持續擴大，也在這一年全面改為響應式（RWD）網站的設計。這一年是容器技術Docker誕生的一年。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>年營收4年成長4倍，3大關鍵策略背後的技術挑戰</strong></span></span></p> <p>從2010年到2014年，Zalando的營收成長了四倍，達到22億歐元（約臺幣750億元）。</p> <p>Andrew Howden指出，Zalando業績能夠積極成長的關鍵，來自3大策略。第一是「規模化」策略，採取任何必要手段來擴充軟體系統，甚至不惜徹底砍掉舊版，重新打造新版。第二項策略是「在地化」，Zalando服務範圍擴大到多國市場，從瑞典、丹麥、芬蘭、挪威、比利時、西班牙、波蘭到奧地利。針對各國的語言、流通貨幣、法遵要求和維運需求上的差異，進行在地化調整。</p> <p>另外一個關鍵策略是「差異化」，Zalando也開始轉變成百貨商場模式，引進夥伴制度，讓第三方供應商在Zalando平臺上銷售各自的產品。</p> <p>「這3項決策對技術帶來最大的考驗是，原本只為內部使用開發的軟體，現在得提供給第三方，還要具備規模化能力，並且符合各國在地化的需求。」Andrew Howden強調。</p> <p>接下來的3年，Zalando靠著幾項技術對策，快速落地到各國，一方面導入企業級ERP，另一方面開始發展各國在地化的官網，也打造一個有能力處理大規模訂單和交易的集中式平臺。</p> <p>但是，這三大策略讓Zalando所開發的系統越來越多、也越複雜。例如在2010年時，只有7個部署單位，到了2012年，部署團隊超過100個，發布管理和協調成了一大考驗。</p> <p>為了簡化複雜度，Zalando要求，每一隻軟體都限定只能用Java、Tomcat、PostgreSQL這三個主要技術來開發。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>第一個平臺團隊的誕生</strong></span></span></p> <p>不只如此，Zalando也開始打造第一個「平臺」團隊，來管理系統工程、資料庫工程、平臺軟體工程，也提供各種安全諮詢。</p> <p>例如，他們建立了一款deployctl工具來管理發布流程，也採用了開源網管監控工具zmon（類似Nagios），可以定期追蹤所有軟體和系統是否正常運作。</p> <p>有了這些組織、工具和技術限定的配套作法，讓Zalando在當時可以做到每周發布。每一次發布都由一個品質確保（Quality Assurance）團隊進行測試，來確保正確性，另外還有一個小團隊提供隨時待命（on-call）的支援。</p> <p>不過，隨著開發團隊的人數越來越多，每一次發布需要協調的工作也越來越多。因為系統越來越龐大而且相關維運資訊散落四處，工程師們越來越難有效掌握所從事工作的相關訊息。</p> <p>為了控管工程師們的發布，這個平臺團隊祭出越來越嚴格的措施，沒想到卻反過來減緩了發布的速度。Andrew Howden表示：「儘管平臺團隊立意良善，卻意外地限制了企業創新和成為市場領先者的能力，平臺團隊開始向可靠性靠攏。」</p> <p>時間聚焦到2014年，Kubernetes誕生後，快速成為主流，隔年推出了1.0正式版，也催生了CNCF組織的成立，這個組織接手了許多雲原生相關技術專案，如gRPC、etcd、RunC、Envoy、Jaeger等技術。而2014年也是Zalando首次公開發行（IPO）的一年。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>因應IPO後新願景，為全歐多國營運上雲擁抱雲原生</strong></span></span></p> <p>IPO帶給Zalando更多資金，賦予更大的能力，但也意味著更大的發展壓力，Andrew Howden表示，Zalando必須更快成長，更快擴張，就必須創新。</p> <p>Zalando的新願景是打造一個可以用時尚串連起龐大人群的「時尚大平臺」，能讓第三方夥伴和店家在這個平臺上，銷售各種時尚產品。</p> <p>可是，Zalando過去幾年的技術決策，逐漸發展成了一個相對可靠，可是難以變動的技術架構，這種「穩固」架構無法跟上IPO後的新願景。</p> <p>為了支援未來全歐多國營運的布局，在2014年底時，Zalando決定全力擁抱公有雲，也導入了Docker容器技術，開始改用微服務架構，來取代老舊的單體式架構。</p> <p>上市後隔年，也就是2015年，Zalando更開始發展電商平臺化戰略，要將自己變成電商生態圈的技術平臺商，開始對合作夥伴和生態圈夥伴輸出自己的技術服務。</p> <p><strong>未完，繼續閱讀</strong></p> <h3><a href="https://www.ithome.com.tw/news/160000"><span style="color:#FF8C00;"><strong>【千人平臺工程煉成記Part 2】因應開發人力暴增到2千，Zalando以激進敏捷模式展開組織大變革</strong></span></a><br /> </h3> </div></div></div>
2023/11/24 15:30作者王宏仁https://www.ithome.com.tw/news/159999
【千人平臺工程煉成記Part 2】因應開發人力暴增到2千，Zalando以激進敏捷模式展開組織大變革
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2015年時，歐洲大型電商Zalando擁有1萬名員工，超過1千名工程師，200個開發團隊。甚至，開發人力在2015年時只有600人，到了2018年，暴增到2,000人的龐大規模。</p> <p>再一次的開發人力倍增，也讓Zalando再一次遇到了挑戰更大的開發複雜性協調課題。但這一次，Zalando決定找出一種夠安全，又能讓龐大團隊更敏捷的根本解法。</p> <p>Zalando找來30名最資深的工程師聚在一起，多次討論後歸納出Zalando所面對的三大問題。</p> <p>第一個問題是<strong>龐大的系統</strong>。隨著業務成長和多國據點的擴張，Zalando的程式碼越來越多，程式碼間的關聯也越來越複雜。新手工程師很難快速了解這套系統，得花上好幾個月熟悉後，才能開始有生產力。而且，程式碼數量越多，伴隨的程式臭蟲也越多，為了確保系統運作的安全，衍生了更多檢查，再度拖慢了整體的開發速度。</p> <p>第二個問題是<strong>系統間高度互聯</strong>（Interconnected Systems）。過去，Zalando開發團隊的目標是盡可能地優化每一個功能的執行速度，而不是簡化系統。這麼做的結果是，這些系統之間的相依性越來越高，也越來越難以預期和不直覺。任何一個系統的變動，都可能對其他系統產生連帶的影響，增加了整體系統的脆弱性。</p> <p>最後一項，30位資深工程師們共同提出的大問題是，Zalando用了「<strong>無聊技術</strong>」。當他們所用的技術越穩定、可靠，也代表了這些技術越老舊，就越讓工程師感覺到無聊。</p> <p>「這聽起來不像是問題，但從人員招募角度來看，這是一個大問題。」參與Zalando最近4年SRE戰略發展的第一線工程主管、Zalando前工程經理Andrew Howden如此坦言。</p> <p>剛從大學畢業的年經工程師，興奮地拜讀了所有Google最新的部落格文章，上面介紹了最新的K8s、容器等雲原生新興技術，可是Zalando用的卻是十年前的Java技術架構，很難引起年輕工程師的興趣。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>展開組織大變革，決定擁抱激進敏捷模式</strong></span></span></p> <p>「Zalando需要改變，需要徹底改變，我們將這種變革稱為激進敏捷（Radical Agility）。」Andrew Howden表示，這真的是一次組織面的結構性變革。</p> <p>這項變革策略的核心是，不再由單一大型業務單位主導決策，改由多個平行小單位，可以各自協調來決策。換句話說，等於是從序列式的決策流程，改為由平行的相關團隊自己決定，不用照會其他無關的業務部門。這意味著，可以盡可能減少需要參與的溝通對象，來推出新的業務功能。</p> <p>為了提高團隊平行運作的能力，Zalando採取了新的所有權制度，定義了一種新的角色，稱為專責所有權人（Dedicated owner），或者可用臺灣社群熟悉的俗稱「爐主」來形容，由這個人來負責一項業務的所有產品、成果、技術的主要決策，也由他負責監督所有狀況的回報。</p> <p>在供應端、需求端、數位體驗、用戶介面、數位基礎設施的部門中都可以設立爐主這類角色。爐主有很大的自主權能選擇要採取什麼樣的作法，但他得要對這個作法的成敗負起全責。</p> <p>爐主帶領的團隊採取了跨部門混合編組，找來這項業務上線所需的相關人力，包括開發人員、產品人員、法務、監控人力等。這些人背後都有各自所屬部門的主管。例如開發人員背後還有開發部門的經理。</p> <p>「以這種方式重組運作方式，就等於是重新組合溝通流程，立即遇到的問題就是，所開發的軟體會受到什麼影響？」Andrew Howden指出。</p> <p>敏捷領域常參考的康威定律（Conway's Law）提到一個觀點，軟體架構會受制於企業內部的溝通架構。Andrew Howden從另一個角度來看，他指出：「想要重新改變企業的溝通方式，就必須重新改變軟體架構，否則它會自行發生。」</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>大力擁抱微服務，從100隻到4千隻微服務</strong></span></span></p> <p>所以，Zalando在技術上決定擁抱微服務架構，而在組織面，也將人員分為五、六人規模的小組，由每個小組負責一項微服務。對這個小組說，只需要負責這個微服務，其他的微服務不是你們的問題。</p> <p>Zalando大力推動各項微服務的開發，從一百個服務，暴增到數千隻，而且持續增加。Zalando曾公開過，在2019年，微服務總數足足超過了4千支。</p> <p>新的挑戰是，不能再靠人工團隊的測試來確保軟體發布的正常，而是得依賴大量的自動化測試，來驗證相關系統的邊界是否如常運作。</p> <p>Zalando決定採取全新技術架構和組織架構之後，一開始還建立了一群待命值班團隊，當時有3個待命團隊來確保正式環境的運作。</p> <p>一開始只有100項服務時，這個作法運作得相當好。但是，隨著微服務的數量，增加到數千隻，還要考量這些微服務間的互動，以及追蹤這些服務隨時間的演變，單靠3個值班團隊，就沒有能力應付了。「當時的管理層，做出了一個影響應用程式開發後的日常維運，非常重要的決定，那就是『自己打造的程式自己管。』（You build it,you run it.）。」Andrew Howden指出。</p> <p>打造這隻軟體的開發人員需要負責這隻軟體的待命、維護基礎設施、訂定CI/CD流程等，任何將這隻應用程式送到正式環境所需的一切事務，都由打造軟體的團隊來負責。</p> <p>但這個決定，也讓待命值班作法更加分散，開始影響到待命支援的品質。尤其有些協作經驗不足的團隊，遇到跨團隊的工作時，就會出現責任推來推去，「這是你的問題」或「這不是你的問題」的爭執。</p> <p>另外，在基礎架構管理上，也遇到新的挑戰，為了讓爐主負起全責，Zalando的作法是讓每一個爐主有一個專屬的AWS帳號，這就像是對他們說，「這個帳號就是你的信用卡，你可以做你認為對的事。」這種放權，有助於讓開發人員打造了傑出、複雜又有趣的架構，但是，基礎架構管理是一種專業，不能讓擅長軟體開發的工程師自己亂嘗試。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>打造集中式平臺，讓技術知識民主化，人人都能取得維運經驗</strong></span></span></p> <p>尤其，Zalando的挑戰是2千名工程師，超過1千套系統的規模，因此，「Zalando需要發展出一種做法，可以大規模地將知識民主化（Democratization of knowledge ），讓人人可以取得正式系統運作的經驗。」Andrew Howden表示，唯一的方法就是建立一個集中式的平臺來分享知識，這正是平臺團隊可以發揮之處。</p> <p>Zalando有一個「數位基礎（Digital Foundation）部門」，為其他各單位提供一套通用的能力。</p> <p>在2014年到2018年之間，這個數位基礎團隊發布了一些重要的內部產品，包括了像是應用程式註冊表（Application Registry）、容器化平臺服務（Docker-base platform as a service）、CI/CD機制、API探索及驗證工具、開發者控制臺等。</p> <p>這個AP註冊表服務的名稱是Kio，開發團隊在將自己打造的程式部署到正式環境之前，要先到這個集中式的AP註冊表上登記，沒有登記到Kio上的AP就不能部署。Kio服務也會提供一套指南，涵蓋了各單位部署AP的相關指引。這個註冊表提供了工程師詳細查看各種業務和功能的索引，也有助於處理資安問題。</p> <p>而容器化平臺服務則用來執行容器、提供服務、保管映像檔、支援部署、授權、憑證派發、產品存取控管、稽核和Log管理等。另外也用Jenkins伺服器建立了一系列CI/CD機制，後來更在Docker平臺上，發展出了一套持續部署平臺（Continuous Deliver Platform，簡稱CDP），負責處理在正式上線前的發布階段的任務，像是映像檔和二進位檔驗證、合規檢查等。</p> <p>另外還有一款API探索和驗證工具，因為Zalando採取API優先（API First）的策略，開發工程師得採取Swagger工具來建立符合標準的API，在RESTful API和事件指南提供了相關API定義和驗證。</p> <p>最後一項的開發者控制臺（Developer Console），這是一個內部網站，可以讓開發人員查看自己的CI/CD工作流。</p> <p>積極發展這些工具和平臺，反映出，「這是Zalando第一次意識到開發者平臺的重要性。」Andrew Howden指出。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>2016年開始擁抱SRE</strong></span></span></p> <p>Zalando在2016年時，決定開始擁抱SRE（網站可靠性工程），成立了SRE團隊。這一年也是Google發表《Site Reliability Engineering: How Google Runs Production Systems》這本書的那一年。</p> <p>Zalando先進行內部問卷調查，了解各團隊對於SRE角色的期待，來凝聚所有人對SRE定位的共識，歸納出5項SRE的能力：SRE具有軟體工程能力、維運思維、系統工程能力、軟體架構技能和問題解決能力。這五大能力也成了Zalando建立內部人才庫的重要方向，不只SRE，更用來要求各種技術角色的工程師，都要具備這五大能力。</p> <p>接著，Zalando成立了第一個SRE團隊後，第一件事就是設計SLI（服務水準指標），並且訂出想達成的SLO（服務水準目標），還開發出一款SLO報表工具。同步也舉辦工作坊，對內部上百團隊的產品PM和工程師介紹SRE，還在一年一度的網路購物周準備計畫中，舉辦SRE工作坊，來討論購物潮的各項網站可靠性設計。不過，第一次擁抱SRE，最後沒有發揮原本預期的作用。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>第一次導入SRE失利的原因</strong></span></span></p> <p>Zalando曾在工程部落格上公開了第一次SRE導入失敗的主因，雖然蒐集到大量的SLI指標維運數據，但是空有SRE數據， SRE團隊沒有善用這些維運數據來改善開發，也無法解決原本待命支援不足的問題。SRE導入一段時間後不如預期，Zalando高層決定暫時喊停。</p> <p>原本Zalando按照產品叢集來建立SRE團隊，一個團隊負責一個叢集，一個SRE團隊負責同一個產品網域下的所有維運責任。</p> <p>後來，Zalando高層取消了原本在各產品下所設置的SRE團隊，改將SRE工作交給各產品團隊中的交付小組（Delivery Team）接手，讓他們接手自己產品中關鍵服務的維運，要求產品交付團隊必須具備SRE能力，來負責各自所負責的關鍵產品的待命工作。</p> <p>雖然裁撤了SRE團隊，但是Zalando沒有停止採用SRE的實踐，Zalando開始改良SRE工具和SRE做法，例如從產品管理層級來管理SLO的達成情況，而非監控微服務工程層級的龐大SLI指標數據，也不再用當機事件的指標數據，改用事件徵兆來設計警示機制，還設計了新的事件處理流程，進一步區分不同的改善做法對顧客或是業務能帶來的效益，優先採取更有利的做法。</p> <p>Zalando也開始認真累積SRE維運指標的成效數據，來衡量這些指標是否符合指標設計的目標。</p> <p>「當年，整體組織還沒有準備好要以SRE方式來思考可靠性。」Andrew Howden事後回顧當年的考驗。但他認為，更重要的一點是，「數位基礎部門的設立，代表了Zalando真正開始重視開發者體驗，成為企業優先考量的事。」</p> </div></div></div>
2023/11/24 15:43作者王宏仁https://www.ithome.com.tw/news/160000
零售IT雙周報第25期：Walmart推出新型CTV購物功能，能用AI辦認出電視節目內物件並推銷關聯商品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(1112~1125)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CTV</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電視購物</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#視覺辨識</span></span><br /> Walmart又一新型購物功能，用AI辦認出CTV節目內物件並推銷關聯商品</strong></p> <p>美國零售龍頭Walmart<a href="https://corporate.walmart.com/news/2023/11/06/nbcuniversal-and-walmart-unite-to-enable-bravo-fans-to-shop-the-moment-on-peacock-for-the-first-time">推出新型CTV購物功能</a>。利用串流平臺Peacock的技術辨識出節目畫面內物品，並比對出Walmart商品目錄中相同或類似商品，供消費者直接於串流平臺介面購買。</p> <p>Walmart近年積極推行RMN業務，並拓展廣告投放通路，甚至將電商功能融入這些通路。他們去年已與CTV巨頭Roku合作推出電視購物廣告，主打無跳轉購物，近月更直接於遊戲中支援購物功能。這次雖然進一步利用AI物件辨識技術，將節目內容納入商品呈現的考量因素中，不過仍需要消費者用手機掃描QR Code來進入電商App，影響購物體驗連貫性。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#搜尋引擎電商</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#小型商家</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#價格追蹤工具</span></span><br /> Google推出價格追蹤、自動搜尋商家優惠券等多種新電商功能</strong></p> <p>Google推出6種新電商功能，可分為2大類。<a href="https://blog.google/products/shopping/google-shopping-best-holiday-deals-2023/">第一大類是促銷功能</a>。第1是於搜尋結果頁面中新增「折扣」（Deals）分類，可以呈現商品相關促銷訊息。第2是在桌面版Chrome新分頁頁面新增歷史商品瀏覽介面，Chrome會自動搜尋並呈現出相關折價券或折扣碼，且商家可以於此介面主動投放廣告。第3是於搜尋頁面和桌面版Chrome呈現商品近90天價格變化。第4是於手機版Chrome新增商品折扣通知功能。這意味著，Google將開始自己經營通常由第三方廣告商提供的折價券搜尋服務，以及電商網站上的價格追蹤工具。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Chrome_Holiday-Shopping_Price-In_width-1000_format-webp.png" style="width: 600px;" /></p> <p><a href="https://blog.google/products/shopping/google-merchant-new-features-holiday/">另一大類新功能是商家資訊功能</a>。第5個功能是現在Google搜尋結果頁面會於商品資訊卡上註明商家是小型商家。根據Google調查，高達84%消費者重視支持在地或小型商家。第6，搜尋結果頁面的商家資訊欄位也會開始顯示更多資訊，包括當前促銷商品、物流政策、客服資訊及消費者評論等。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#資料中心</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#連鎖店面</span></span><br /> 統一超為在菲律賓開設上萬間分店，於當地建設資料中心</strong></p> <p>近日一場活動中，統一超董事長羅智先揭露菲律賓展店計畫，長期來看，他們估計總共可以開設12,000間分店。今年年底，預計展店至3,500間店，明年則會增加至4,000間。他表示，要於菲律賓大規模展店，資料中心是一大關鍵基礎設施。這是因為，菲律賓離島多、颱風多，若支援店內IT系統的資料中心設置太遠或太稀疏，會有因災變而導致店面營運中斷的風險。為此，他們已經開始自行建設當地資料中心。</p> <p>臺灣方面，統一併購家樂福後，<a href="https://www.ithome.com.tw/news/152049">統一Open Point會員與家樂福會員生態系</a>一直沒有整合。羅智先坦言，這是因為會員整合作業相當複雜，有系統、隱私法規及點數兌換率等因素，目前仍沒有明確完成時程。</p> <p>另外，羅智先也提到統一超6月開設的電商市集iOpen Mall有九成訂單是到店取貨，初步證實了此市集能利用超商物流優勢，為實體門市帶來人流量。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#自動包貨</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電腦視覺</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#環保包材</span></span><br /> Amazon改造既有自動化包貨系統和流程，以用紙質包材取代塑膠</strong></p> <p>美國電商龍頭Amazon宣布將逐漸使用更環保、更易回收的紙質包材來取代塑膠包材。他們已經於俄亥俄州一處物流中心全面淘汰塑膠包材，為此，<a href="https://www.aboutamazon.com/news/sustainability/amazon-fulfillment-center-eliminates-plastic-packaging">他們改造了該物流中心既有自動化包貨流程及設施</a>。</p> <p>此物流中心會根據商品所需保護程度來分配不同包貨流程，Amazon介紹了3種包貨模式，分別是紙袋包裝、紙箱包裝及在紙箱中填入緩衝材的包裝法。</p> <p>利用電腦視覺及機器學習技術，自動化包貨系統會挑選出不須特別保護，可以用輕薄紙材來包裝的貨物。系統掃描這些貨物尺寸後，會裁切出對應大小的特殊包貨用紙，將商品包裹起來並熱封。為了模擬塑膠袋包裝的包貨模式，Amazon還特別研發出一種具延展性、可熱封的紙材來作為紙袋材料。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/amaap.png" style="width: 600px;" /></p> <blockquote><p>圖中可見，紙袋包裝（左）是根據貨物尺寸即時從紙捲（右）裁切製作出來的，如此一來可以節省包裝材料，避免浪費。</p> </blockquote> <p>需要較堅固包裝的貨品，則會用紙箱來包裹。包貨流程類似，不過會使用材質更硬的紙箱來封裝。若商品脆弱，紙箱內還需要塞入緩衝材，Amazon則會用回收紙作為緩衝材填入紙箱中，而非常見的塑膠泡泡紙。不過，他們沒有提到緩衝材填入流程是否自動化。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/amab.png" style="width: 600px;" /></p> <blockquote><p>需要更硬包裝來保護的商品會用紙箱來包裝，包貨過程也是自動化測量商品尺寸後，即時裁切出剛好大小紙箱。</p> </blockquote> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#排班管理</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#人事管理</span></span><br /> Costa Coffee利用銷售數據預測排班情況，增加大幅提升單位人事成本收益</strong></p> <p>排班是門市管理非常複雜但關鍵的一環。不過，許多服務業及零售業仍是每周或每個月使用紙本班表或Excel等試算表工具來排下一期值班情況，好一點則是使用具有法遵檢查和線上協調功能的數位排班系統。</p> <p>過往，英國超過1,600家分店的大型連鎖咖啡店Costa Coffee也是用試算表來排班。這種做法下，光是日常管理和協調班表便相當麻煩，更常常發生大型假期人手不足、假期前後人員過多。直到2年前，他們開始利用營運數據預測人力需求，可以提早數個月開始規畫排班空缺，並陸續完成排班。店長能再依據這些班表和人事成本數據，來規畫店員招募。實行2年後，他們相同人事成本帶來的營收比例（Staffing efficiency）大幅提升，大型假期期間增加了50%，非假期期間更高達65%。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#社群媒體分析</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI數據分析</span></span><br /> 日本7-Eleven預計2024年開始使用生成式AI來大規模生產行銷素材</strong></p> <p><a href="https://www.nikkei.com/article/DGXZQOUC25AYT0V21C23A0000000/?fbclid=IwAR1-4nrZOKu8hN0Urecf-0-TS-FRJ5miv5_Wi6uUHncHfdNKpa7XZfKUino">根據日經報導</a>，日本7-Eleven預計2024年開始使用生成式AI來大規模生產行銷素材。為此，他們還結合多個開源AI工具及模型，自行開發了一個雲端數據處理平臺，用來處理銷售及社群網站數據，以決定行銷素材生成方向。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1. Youtube Shopping開始支援臺灣地區，Shopline等開店平臺相繼開放串接功能</p> <p>2. Walmart導入新企業採購平臺，統一管理全球Walmart及Sam's Club的採購作業</p> <p>3. Amazon開始於物流中心投入新型AGV，負重能力是前一代AGV的2倍，超過1公噸</p> <p>圖片來源：Google, Walmart, Amazon</p> <p>資料來源：iThome整理，2023年11月</p> <p>責任編輯：郭又華</p> </div></div></div>
2023/11/25 12:54作者郭又華https://www.ithome.com.tw/news/160009
Fintech周報第222期：臺灣多家銀行公開展示生成式AI應用研究，包含虛擬行員和內部輔助工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">2023/11/20~11/24金融科技精選新聞</span></span></h3> <h1 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 38.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 台新金控 </span></strong></span> <span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 虛擬行員 </span></strong></span></h1> <h3>台新金控藉人臉辨識分析使用者年齡、性別，再由生成式AI生成理財投資建議</h3> <p>既十月揭露生成式AI實驗進展，台新金控近期也展示了兩項生成式AI應用，他們在兩個擬真客服人員導入生成式AI，利用語音轉文字、文字轉語音、人臉辨識等技術，各自提供信用卡推薦和理財投資建議服務。</p> <p>在理財投資建議服務上，他們先以人臉辨識分析使用者年齡和性別，再以進行運勢測驗的方式，由擬真客服人員向使用者提問，例如是否經常運動、如何面對被誤會的情況等，了解使用者投資意願和理財性格，綜合以上資訊生成投資建議。另外，在信用卡建議服務上，則是運用語音轉文字和文字轉語音，讓使用者可以藉由提問方式，取得系統推薦的信用卡資訊。臺新表示，這兩項應用目前正在內部實驗階段，尚未正式對外開放使用。</p> <h1 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 38.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 中信銀行 </span></strong></span> <span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 虛擬行員 </span></strong></span></h1> <h3>中信首度曝光生成式AI應用，打造智能助理提供理財投資建議和信用卡產品諮詢服務</h3> <p>中國信託銀行近期公開展示生成式AI應用進展，他們藉GPT模型打造AI智能助理，提供財富管理建議和信用卡產品諮詢服務。在信用卡產品諮詢服務上，使用者可以選取建議問題或自行提問，智能助理就會生成信用卡建議，例如，提問出國玩最適合刷哪張卡，助理會提供三張卡片建議，依序說明卡片一般回饋、特定回饋和年費資訊。使用者可以進一步向助理要求比較特定兩張信用卡的優惠資訊，並追問特定信用卡的詳細介紹，了解更多優惠資訊。</p> <p>在財富管理服務上，中信未來也會以自行提問的方式，針對使用者的年齡、投資經驗和存錢目標，來提供投資建議。不過，考量生成式AI仍有生成錯誤回應的風險，且相關法規尚未發佈，中信明年上半年會優先推內部使用生成式AI，待確定技術穩定，再向一般客戶推出。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/S__49856601.jpg" style="width: 600px;" /></p> <blockquote><p>中信銀行藉由生成式AI打造智能助理，可提供理財投資建議和信用卡產品諮詢服務。（攝影：李昀璇）</p> </blockquote> <h1 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 38.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺灣銀行 </span></strong></span> <span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 就學貸款QA </span></strong></span></h1> <h3>國營事業臺灣銀行也展示生成式AI概念驗證專案，針對就學貸款生成問答服務</h3> <p>除了民營銀行，國營事業的臺灣銀行也公開展示已進行概念驗證的生成式AI應用。臺灣銀行選擇在就學貸款問答服務中測試生成式AI，使用者可以藉文字輸入或選擇建議提問的方式，了解就學貸款的相關資訊，包含辦理就學貸款必備文件、休學是否還要還款、空中大學是否可以申請貸款、服兵役時如何辦理異動或緩繳等問題。</p> <p>在臺灣，共有五間就學貸款承辦銀行。承辦銀行依學校所在行政區劃分，臺灣銀行負責承辦臺北市以外學校的就學貸款，在五間承辦銀行中涵蓋最多行政區承辦服務。臺灣銀行歷年對保人數約35萬到60萬人、撥貸金額約150億到200億元。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/S__49856598_0.jpg" style="width: 600px;" /></p> <blockquote><p>臺灣銀行於就學貸款問答服務中導入生成式ＡＩ，提供學生快速查詢就學貸款服務相關規定。目前在概念驗證階段。（攝影：李昀璇）</p> </blockquote> <h1 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 38.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 玉山銀行 </span></strong></span> <span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 內部業務協助工具 </span></strong></span></h1> <h3>玉山銀行藉GPT模型和RAG技術打造業務協助工具，提供內部員工查詢法規、產品優惠和產業資訊等</h3> <p>玉山銀行使用生成式AI打造業務協助工具，透過GPT模型和資料萃取技術（RAG），提供內部人員快速取得法規、產品優惠和產業資訊等。在不使用個資前提下，於各種工作流程情境進行可行性研究。</p> <p>以智能法律回覆生成系統為例，他們利用生成式AI建立智能回覆生成Chatbot，創造法律搜尋引擎，再藉由建立金融法律圖資料庫，連接至系統，協助人員快速掌握內外部法條關聯，並在系統中提供文本比對功能，自動比對公司內部法條。內部人員只要輸入提問，就能獲得解答，並了解對應的公司內部規範和相關法規內容。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/S__49856600_0.jpg" style="width: 600px;" /></p> <blockquote><p>玉山銀行透過生成式AI打造業務協助工具，協助內部人員快速掌握法規、產品優惠和產業資訊。（攝影：李昀璇）</p> </blockquote> <h1 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 38.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 永豐銀行 </span></strong></span> <span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 內部開發輔助工具 </span></strong></span></h1> <h3>永豐銀行揭露已導入生成式AI助手至內部開發流程</h3> <p>近期，永豐銀行公開分享已導入生成式AI助手輔助內部開發工作，共發展出4大應用情境，分別為優化既有專案、協助新專案開發，以及支援維運腳本開發和工作技術驗證等工作。在現有專案優化方面，永豐銀行資訊團隊使用生成式AI助手檢驗應用程式後臺數據，快速找出潛在漏洞並提出優化建議，簡化系統維護流程。在新專案開發上，也有開發人員在進行智慧收支帳本相關應用開發時，利用生成式AI協助其修改MongoDB資料庫的JavaScript語法。</p> <p>資訊團隊不僅將生成式AI助手用於輔助新舊應用的開發和優化，同時應用在維運腳本的開發上，包括協助開發人員規畫設定YAML語法等容器化技術工具，驗證其正確率和建議參數等，還用於轉換系統中不同程式語言，如C#、Python、JavaScript、SQL等。（<a href="https://www.ithome.com.tw/news/159978">詳全文</a>）</p> <h1 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 38.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融監管</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融科技趨勢展望報告 </span></strong></span></h1> <h3>勤業眾信和政大合作發布2023年金融科技趨勢展望報告，提出6項政策建議</h3> <p>該報告以嵌入式金融和生態圈建立作為兩大研究方向，提供國內外應用案例參考。最後也針對主管機關和金融業提出6項政策建議，包含建議結合雲端轉型加速推動開放金融、擴大數位身分驗證應用，鼓勵金融業輸出金融科技研發成果、運用AI促成永續金融生態圈、建立跨市場資料共享平臺，和以新法規管理國際化生態圈。</p> <p>國立政治大學金融科技研究中心主任王儷玲進一步說明，報告建議主管機關在鬆綁上雲規範時，也應同步考量結合雲端技術優化開放API標準，例如以微服務架構提供API，或是參考新加坡政府資料共享平臺APEX作法，從敏感度較低的資料類型開始往雲端遷移，與業者共創API市場。</p> <h1 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 38.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融監管</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 澳洲ASIC </span></strong></span></h1> <h3>技術和營運韌性納入澳洲金融監管機構ASIC2024年優先執法事項</h3> <p>澳洲證券投資委員會（Australian Securities & Investments Commission，ASIC）近期宣布2024年優先執法事項，在技術層面的議題中，相較2023年納入的打詐和加密貨幣議題，2024年將強調為市場經營者和參與者提供技術和營運韌性。ASIC表示，隨著金融市場逐漸數位化和自動化，市場經營者和參與者面臨的技術和營運風險也跟著增加，為了維護市場完整性，因此增加了這項執法重點。</p> <p>更多Fintech新聞</p> <ul> <li>臺北富邦銀行打造資訊中心節能儀表板，十秒更新一次機房PUE資訊，能因應氣候自動調節空調溫度</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">責任編輯／李昀璇</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2023年11月</p> <p></p> </div></div></div>
2023/11/25 11:59作者李昀璇https://www.ithome.com.tw/news/160008
【資安日報】11月24日，Mirai殭屍網路變種感染路由器、NVR網路視訊監控裝置，攻擊者利用的零時差漏洞，疑涉及預設…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">殭屍網路Mirai鎖定物聯網（IoT）裝置的攻擊行動，不時有事故傳出，但最近研究人員披露的資安事故相當引人注目，因為，他們並未透露駭客針對的設備型號，僅公布類型是網路視訊監控裝置（NVR）、小型路由器。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">值得留意的是，上述設備皆存在零時差漏洞，而且，研究人員透露攻擊者所使用的惡意程式碼，包含了這些設備的預設帳號及密碼。而這些跡象也顯示，攻擊者有可能利用這些管道取得控制權。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【攻擊與威脅】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.akamai.com/blog/security-research/new-rce-botnet-spreads-mirai-via-zero-days"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Mirai殭屍網路變種利用零時差漏洞感染路由器、視訊監控裝置</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/new-rce-botnet-spreads-mirai-via-zero-days-infected-store-monster-infected-six.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/new-rce-botnet-spreads-mirai-via-zero-days-infected-store-monster-infected-six.jpg" style="width: 300px; float: right;" /></a>資安業者揭露名為InfectedSlurs的Mirai變種殭屍網路病毒攻擊行動，他們在今年10月下旬從蜜罐陷阱（Honeypot）偵測到針對特定TCP連接埠的攻擊行動，駭先是發出POST請求，並意圖通過身分驗證，一旦成功，就會執行惡意程式注入的命令。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">這起攻擊行動針對特定網路視訊監視設備（NVR）及路由器的零時差漏洞，來散布這款病毒，來散布這款病毒，研究人員也進行漏洞通報，表示裝置製造商預計在12月進行修補，但並未透露裝置的型號、廠牌。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">而對於駭客利用的漏洞，研究人員透露前述的NVR裝置存在多種漏洞，且設備的預設帳密可從使用手冊得知，而有可能被用於入侵；另一個攻擊目標，則是專供旅館及住家環境的路由器，他們並未透露漏洞的類型，但指出該裝置的預設帳密包含裝置型號。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.eff.org/deeplinks/2023/11/low-budget-should-not-mean-high-risk-kids-tablet-came-preloaded-sketchyware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Dragon Touch廉價平板電腦暗藏惡意軟體Corejava</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/screenshot_2023-11-14_at_14-01-54_low_budget_should_not_mean_high_risk_kids_tablet_came_preloaded_with_sketchyware.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/screenshot_2023-11-14_at_14-01-54_low_budget_should_not_mean_high_risk_kids_tablet_came_preloaded_with_sketchyware.png" style="width: 300px; float: right;" /></a>電子前線基金會（EFF）揭露平價兒童平板電腦存在的資安風險，他們針對Dragon Touch推出的平板電腦KidzPad Y88X 10進行調查，結果發現，此平板電腦在出廠的時候就建置了特定的資料夾，疑似預載了惡意程式Corejava，且於韌體進行活動，雖然C2基礎設施已被破壞，但不排除攻擊者可另起爐灶。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">再者，他們也看到平板裡預載了名為Adups的惡意程式，使用者會在裝置<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">中看到名為Wireless Update的App，且無法直接移除或是停用。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">另一方面，該平板電腦內建老舊版本的Kidoz兒童應用程式，研究人員指出已有資安業者將其識別為廣告軟體，且當中的應用程式審查似乎不太嚴謹，出現向使用者要求過多存取權限的情況，例如：繪圖軟體Kids Paint Free竟在未告知的情況下，試圖將極為精確的GPS定位資訊傳送至廣告伺服器。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.fortinet.com/blog/threat-research/konni-campaign-distributed-via-malicious-document"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Konni RAT利用Word文件感染Windows電腦，竊取電腦資料</span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/fig02-konni-word-doc.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig02-konni-word-doc.png" style="width: 300px; float: right;" /></a>資安業者Fortinet揭露新一波的惡意軟體Konni RAT攻擊行動，駭客利用含有巨集的惡意Word檔案，鎖定Windows使用者而來，該文件檔案內容是以俄文呈現，主要以發票、合約、工作申請為誘餌，引誘使用者上當。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">一旦使用者開啟Word檔案，就有可能觸發VBA指令碼，於背景執行批次檔進行偵察，確認是否存在遠端連線的連線階段（Session），並檢查作業系統版本、系統架構，從而繞過使用者帳號控制（UAC），最終部署Konni RAT並與C2進行連線。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/welltok-data-breach-exposes-data-of-85-million-us-patients/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">醫療照顧系統供應商Welltok遭遇MOVEit Transfer零時差漏洞攻擊，850萬病人資料流出</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">美國醫療照護產業軟體服務（SaaS）供應商Welltok發出公告，表示他們的MOVEit Transfer伺服器，遭遇零時差漏洞CVE-2023-34362攻擊，他們也向美國衛生及公共服務部通報，共有8,493,379名病人的資料流出，是目前為止影響人數第二多的受害組織，僅次於專門服務美國政府的系統承包商Maximus，該業者曝露了約1,100萬人個資。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">Welltok於10月底首度透露遭到攻擊，當時表示他們於7月26日接獲通知，他們的MFT檔案傳輸伺服器遭到入侵，由於Progress在5月底提供修補程式時，該公司就立即部署，在初步檢查後判斷系統並未受害。但他們也找來第三方資安專家協助深入調查，確認5月30日駭客曾經存取此伺服器，範圍包括病人的姓名、地址、電話號碼、電子郵件信箱、社會安全碼、健康保險資訊。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資料來源</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">1. <a href="https://welltoknotice.wpenginepowered.com/?page_id=23">https://welltoknotice.wpenginepowered.com/?page_id=23</a><br /> 2. <a href="https://ocrportal.hhs.gov/ocr/breach/breach_report.jsf">https://ocrportal.hhs.gov/ocr/breach/breach_report.jsf</a>（11月6日通報）</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣生技業者大江生醫傳出遭駭，駭客聲稱握有230 GB內部資料</span></strong></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月13日大數據資安業者Tsanct Technologies旗下的威脅情報平臺FalconFeeds.io透露，勒索軟體駭客組織Hunters International在暗網網站將兩家公司列為受害者，其中一家是臺灣生技公司大江生醫（TCI Co., Ltd.），事隔兩天，資安業者竣盟科技透露，駭客聲稱竊得236 GB資料，檔案數量超過十萬個，當中包含：</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">（一）涵蓋人力資源、CRM相關的用戶投訴資料庫備份；<br /> （二）付款、報告、審計等財務資料；<br /> （三）訂單、產品配方、實驗室測試，包裝等營業單位資料；<br /> （四）美國子公司的網路設置、稽核、供應商、員工個資；<br /> （五）與客戶有關的訂單、混合配方、產品處方、實驗室測試、郵件資料。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">根據資安人網站的報導，駭客於14日先公開1.3 GB資料共買家比對，後來又公布了其餘檔案。針對此事，我們今日也致電該公司，詳細情況有待釐清。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資料來源</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">1. <a href="https://twitter.com/FalconFeedsio/status/1724046526870331569">https://twitter.com/FalconFeedsio/status/1724046526870331569</a><br /> 2. <a href="https://medium.com/@Billows_Tech/hunters-international入侵台灣-傳出上市生醫遭殃-361523a9e6eb">https://medium.com/@Billows_Tech/hunters-international入侵台灣-傳出上市生醫遭殃-361523a9e6eb</a><br /> 3. <a href="https://www.informationsecurity.com.tw/article/article_detail.aspx?aid=10815">https://www.informationsecurity.com.tw/article/article_detail.aspx?aid=10815</a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【其他新聞】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://securityaffairs.com/154546/hacking/citrix-bleed-attacks.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國針對勒索軟體LockBit利用Citrix Bleed漏洞發動攻擊提出警告</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://securityintelligence.com/x-force/wailingcrab-malware-misues-mqtt-messaging-protocol/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體載入工具WailingCrab透過物流相關主題為誘餌散布</span></span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.blender.org/news/cyberattack-november-2023/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">開源3D設計軟體Blender網站遭遇DDoS攻擊，駭客發出逾2.4億次請求</span></span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://openssf.org/press-release/2023/11/02/linux-foundation-isc2-and-openssf-collaborate-to-target-secure-code-development/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Linux基金會、ISC2、OpneSSF進行合作，促進安全程式碼開發</span></span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ncsc.gov.uk/blog-post/rfc-indicators-of-compromise-for-ietf"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國國家網路安全中心宣布入侵指標的新標準</span></span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>近期資安日報</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159980"><strong>【11月23日】訊連科技遭北韓駭客發動供應鏈攻擊，駭客於該公司更新伺服器部署惡意軟體，臺灣及多個國家出現受害者</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159948"><strong>【11月22日】勒索軟體Phobos打著資安社群的名義，鎖定Windows電腦發動攻擊，聲稱受害者復原檔案要找社群</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159939"><strong>【11月21日】中國駭客組織Mustang Panda鎖定東南亞發動數起網釣攻擊，起因疑與8月發生的菲律賓海上軍事衝突有關</strong></a></p> </div></div></div>
2023/11/24 15:50作者周峻佑https://www.ithome.com.tw/news/160001
年度資安盛會「2023 CyberDay 資安產業日」盛大登場，數位發展部數位產業署匯聚各界資安能量，打造南臺灣資安聚落
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rteindent1">由數位發展部數位產業署（以下簡稱數產署）主辦的「2023 CyberDay 資安產業日」活動，今（11/24）日於台南沙崙資安服務基地盛大展開，展出包含獲得SEMI 2023國際標準貢獻獎的半導體晶圓設備資安標準「SEMI E187」，以及獲得R&D 100 Awards殊榮的「工控場域AI偵防分析技術」。現場活動聚焦深耕資安技術、提升產業韌性等主題，並由資安領域專家分享AI協防、資安公司協力及CMMC等最新資安趨勢。現場亦同時展示國產資安解決方案，展現台灣23家資安廠商技術及服務能量。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%94%90%E9%83%A8%E9%95%B7%E7%85%A7%E7%89%87.jpg" style="width: 600px;" /></p> <blockquote><p><span style="font-size:16px;"><strong>數位部唐鳳部長親臨資安產業日活動，勉勵得獎的資安新秀</strong></span></p> </blockquote> <p> 活動當天，由數位部唐鳳部長授贈資安新秀榮譽獎章，勉勵「企業出專題，學生來解題」的培育模式，肯定政府與產業的聯手合作，展現產官學研攜手育才的成果。而開幕式亦邀請臺南市葉澤山副市長、中華軟協資安長聯誼會李維斌會長、台灣資安主管聯盟金慶柏會長及行動應用資安聯盟陳振楠會長等貴賓親臨交流，一同打造南臺灣最大規模的年度資安盛會。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9E%97%E5%89%AF%E7%BD%B2%E9%95%B7.jpg" style="width: 600px;" /></p> <blockquote><p><span style="font-size:16px;"><strong>林俊秀副署長今(24)日擔任2023CyberDay資安活動開幕式引言人，分享數位產業署資安產業年度亮點成果。</strong></span></p> </blockquote> <p>數產署林俊秀副署長於開幕時，更以「<strong>N</strong>ew Tech、<strong>N</strong>ew Chance、<strong>N</strong>ew Talent」為主軸說明年度推動亮點成果，表示數產署為推動資安產業發展、提升產業資安韌性的窗口，包含獲得SEMI 2023國際標準貢獻獎的「SEMI E187制定與推動」、獲得R&D 100 Awards的「工控場域AI偵防分析技術」及「勒索軟體智能獵捕平台」等，帶領我國資安產業鏈結國際。</p> <p>本次活動廣邀涵蓋航太業、媒體業、零售服務業、資安服務業及電信業等各領域產業協會，逾30位之公協會理監事代表、國內上市櫃公司資安高階經理人與政府機關及學研機構，親臨沙崙基地觀摩體驗資安廠商所展示的各領域資安應用，主要希冀本基地成為資安產業與產業資安的交流平台，望各產業在資安的需求，能有適宜的國內資安業者妥善承接，雙方發展得以正向循環，塑造南臺灣沙崙成為資安聚落，並讓在數位轉型路上，對資安議題有興趣的同好，能互相交流，滿載而歸。</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/da_he_zhao__0.jpg?itok=cgyJM8Vs" width="960" height="420" alt="" title="資安產業日吸引眾多關注資安議題的產、官、學、研代表參與交流，圖為開幕式大合影" /></div></div></div>
2023/11/24 00:10機構署名廠商新聞稿https://www.ithome.com.tw/pr/160002
強化內部資安防護架構，新北市以預警聯防機制抵禦攻擊
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自2010年升格直轄市後，新北市設籍人口數已突破400萬人，為國內人口最多的縣市，相當於臺灣六分之一的人口設籍，由於量體龐大，新北市也成為駭客攻擊的重點目標之一。從2022年到2023年5月，新北市政府在17個月內受到超過14億次網路威脅及駭客攻擊，每天平均超過270萬次。</p> <p>為應付層出不窮的網路威脅及攻擊，新北市政府由資訊中心負責統籌全市府的資安作業，並建立主動監控防護機制，強化新北市政府資安防禦，背後的推手是2019年加入新北市政府資訊中心，今年9月升任新北市政府資訊中心主任的陳富添。</p> <p>在進入新北市政府工作之前，陳富添在警界服務近20年，曾在地方政府警務單位工作，後來進入刑事警察局，加入專門偵辦網路犯罪、跨境犯罪等偵防工作的偵九隊，企業遭到駭客入侵也會尋求偵九隊的協助。之後轉至內勤的通訊監察科工作，主要為行動通訊監察，由於即時通訊軟體的普及，犯罪者利用Line、WhatsApp等加密通訊軟體來規避監聽，必需採用各種方法突破，隨後進入科技犯罪防治中心，專門負責數位鑑識（Digital Forensics）工作，從犯罪使用的設備，例如犯罪者銷毀的筆電或電腦中設法提取跡證資料。</p> <p><span style="font-size:28px;"><strong>從攻城方變守城方</strong></span></p> <p>由於過去在網路犯罪偵防、通訊監察及數位跡證鑑識豐富的經驗，在研考會主委推薦下，2019年加入新北市政府資訊中心，希望借重他的經驗強化市府的資安防護。陳富添直言，過去在犯罪偵防上，扮演攻方的角色，必需採取駭客相關技術或工具突破犯罪設備的各種防護措施，取得相關的資料，在進入新北市政府後，扮演防守方角色，「以前是我扮演駭客，現在要避免駭客攻擊我」，陳富添說。</p> <p>過去服務於刑事警察局，經常接到企業遭駭的報告，每每對於企業在資安防護存在的弱點感到不可思議，現在進入市府資訊單位，由攻城方一變而為守城方，這種攻防角色互換，讓陳富添有相當深的感觸。</p> <p>他以資安的木桶理論為例，木桶能夠盛裝多少水，並非取決於木桶的整體容量大小，而是取決於組成木桶的最短木板，同樣地，市府的資安防護水準，並非資訊中心做好資安，還要考量其他局處300多個單位，各單位資安防護水準不一，造成防禦上的困難。</p> <p>由於過去在刑事局接觸到網路威脅、駭客攻擊相關案件，讓陳富添相較於一般資訊人員，對資訊安全防護有更高的敏感度，因此他加入新北市政府後，很快發現各局處單位的資安防護狀況良莠不齊，有的單位在架設系統之後，沒有妥善監控管理系統。</p> <p>舉例來說，由於新北市政府資訊向上集中，許多公用系統開放給各個單位使用，部分單位並沒有發覺他們已遭到入侵，直到駭客在市府內橫向移動或出現異常行為，資訊中心團隊告知並派人協助鑑識後才發現，部分機關單位甚至遭入侵2、3年之久而未察覺。甚至難以區分外部入侵，或是從內部其他單位滲透擴散。「防的再好也防不住內賊」，他感嘆地說。</p> <p>過去老舊的資安防禦觀念是，只要購買國外大廠的資安設備就會做好防禦，「事實上，這樣的觀念是錯的，對駭客而言，機器設備是死的，要做到滴水不漏，最好的方法是建立縱深防禦和橫向的區域聯防機制」，陳富添說。</p> <p><span style="font-size:28px;"><strong>建立縱向防禦，建立異常預警</strong></span></p> <p>他開始改革新北市政府的資安防禦架構。首先是建立縱深防禦方面，以往市府採購部署防火牆、DDoS等設備，但這些大廠的設備彼此不會相互溝通，鑑於駭客入侵之前，先掃描使用哪些設備，這些設備存在哪些漏洞或弱點，針對弱點進行攻擊，因此資訊中心在上面一層建立串接機制，透過資安監控中心（SOC）集中收整各設備的Log，並委託廠商24小時監控，當發現異常的情形發出告警。</p> <p>下層的使用者行為部分，使用者可能瀏覽不當網站，導致被感染木馬病毒，上層的防護設備無法發現，因此新北市政府資訊中心利用封包分析工具，蒐集每個樓層的封包，由AI對每臺電腦的使用行為分析，一旦發現異常行為時自動發出告警，由專門團隊進一步檢視觸發告警的原因，必要時作數位鑑識。而在端點防護方面，每臺電腦採用Windows 10的防毒軟體搭配XDR，當發現使用可能帶有病毒的USB儲存裝置，也會發送告警。</p> <p>陳富添表示，過去有不少企業認為在電腦安裝防毒軟體就能完整防護，依據他的過去經驗，現今攻擊手法愈來愈先進、隱密，僅依靠防毒軟體根本難以防範，需要搭配其他方式，例如側錄封包，對使用者行為進行分析，避免因使用者瀏覽不當網站，或是下載不當檔案，導致內部被入侵，因為這類不當的使用行為，上層的資安設備往往無法發現，產生不小的風險。</p> <p>目前他們運用一套AI行為分析工具，仰賴機器學習技術來分析使用者的行為，但是經過幾年使用的經驗，發現誤判率不低，目前資訊中心根據廠商意見，計畫更換另一套AI分析工具，同樣側錄封包進行分析，但採用循環的方式來提高判斷準確率。</p> <p>隨著國內大選將近，各種網路威脅、攻擊增加，這套資安防禦架構發揮它的角色，市府偵測的異常次數（非攻擊次數）達到高峰，超過3億次，這個數字要比平時的異常次數高出3倍之多。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1157_CIO_%E9%99%B3%E5%AF%8C%E6%B7%BB_%E6%96%B0%E5%8C%97%E5%B8%82%E6%94%BF%E5%BA%9C_600.png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 22px;"><strong>新北市政府資訊中心主任陳富添表示，各個機關單位一定有對外連線，唯有採取類似零信任的精神，在不信任各單位防禦的前題下進行部署，才能確保市府的資訊安全。</strong></span></span><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>阻擋駭客滲透橫向擴散</strong></span></p> <p>駭客入侵不只從外面，也可能從內部其他局處單位橫向擴散而來，因此不只是縱深防禦，內部也需建立橫向聯防機制，因市府內部資訊向上集中，他們在機關單位連接到資訊中心主幹網路的接入口部署入侵偵測設備，一旦偵測到可疑的橫向擴散行為，啟動內部聯防機制，向該單位示警，並阻擋橫向擴散。</p> <p>陳富添指出，以往偵測設備部署在後端，如果偵測到異常，相當於駭客攻擊已兵臨城下，為了及早發現，將設備部署至各機關單位網路接入口前端，如同在前線部署哨兵，就能夠及早預警。目前新北市政府已在11個擁有自有機房的B級機關部署主動偵測設備，55個C級機關則部署Honeypot誘補系統，誘補系統雖然被動，但只要偵測到異常就會觸發預警。</p> <p>因市府底下有許多的局處，每個局處底下有眾多的單位，市府對外連線的窗口太多，各單位可能基於業務需要方便，自行租用對外的線路，加上使用者可能習慣不佳，例如瀏覽不當網站、下載檔案，導致單位內的電腦都被污染。</p> <p>因駭客有相當多的管道及方法入侵。「各個機關單位一定有對外連線，唯有採取類似零信任的精神，在不信任各單位防禦的前題下進行部署，才能確保市府的資訊安全」，陳富添說。</p> <p>過去，機關單位可沒有發覺自已被入侵數年之久，直到資訊中心通知才知曉，但在新的資安防禦架構之後，他希望未來能將發現駭客入侵的時間從數年縮短到3天之內。</p> <p><span style="font-size:28px;"><strong>建立自己的資安鑑識實驗室</strong></span></p> <p>除了改革新北市政府的資安防禦架構，為提升新北市政府自己的資安能量，資訊中心設立資安鑑識實驗室。</p> <p>不少企業或機關會委託外部業者提供資安服務，但是廠商資安鑑識服務品質勘憂，曾有一家大型企業遭駭向警方報案，警方要求受駭企業提供資安鑑識報告，企業很慎重委託3家業者，但是3份報告的鑑識結果都不相同。</p> <p>陳富添認為這是一般資安鑑識常見的盲點，3份報告結果各不相同，並非業者的報告錯誤，而是如同瞎子摸象，每個報告看到大象的一部分特徵，並非完整的全貌。他指出，業者可能在急於交差下，簡單作弱點掃描，因此許多企業或機關雖然依照資安法要求，委託業者進行資安檢測，最後仍被駭客入侵，這是因為業者的檢測沒有落實、不夠確實，可能流於形式。</p> <p>曾有議員質疑市府成立資安鑑識實驗室必要性，陳富添仍堅持資訊中心應該要有自己的資安鑑識實驗室，因為相較於外部業者，鑑識團隊更了解市府內部運作情形，當委託外部業者進行資安檢測工作時，實驗室也有能力確認外部業者執行鑑識工作的有效性，根據不同業者的報告拼湊全貌，抓出真正的問題所在，進一步去改善。</p> <p>「否則你只能聽別人(委外業者)說的，無法自己判斷檢測的有效性」，這是資安鑑識實驗室的價值所在，通過設立資安鑑識實驗室來提高市府自身的資安能量，目前這個資安鑑識團隊核心人員約有3至4人。</p> <p><span style="font-size:28px;"><strong>明年第三代公文系統上線，提高公文作業效率</strong></span></p> <p>新北市政府也計畫配合政府政策導入零信任機制，特別是新北市公務人員每天會登入使用的新北市公務雲，目前已先導入手機身分認證，例如指紋等生物特徵辨識，取代使用者容易忘記的密碼，未來會配合數位發展部的政策，導入完整的零信任機制。</p> <p>新北市政府也計畫在明年推新的公文系統，提高市府公文作業的效率。目前市府使用的第二代公文系統已超過10年，由於是早期開發的系統，支援IE瀏覽器，該瀏覽器已在去年6月終止，為了迎合現代使用需求，必需支援Edge或Chrome瀏覽器，因此他們規畫在明年推出第三代公文系統，不僅支援現代化的多種瀏覽器，還針對手機、平板電腦提供行動版頁面。</p> <p>另外，第二代公文系統僅支援實體自然人憑證，因此當公務人員在外差勤，只能先用虛擬憑證審核公文，讓公文作業按程序進行，待回到辦公室再使用實體自然人憑證插卡補簽已審核的公文。內政部推出行動自然人憑證，讓手機就能綁定實體自然憑證功能，進行公文的行動簽核，公務人員在外，就能直接使用手機或平板電腦簽核公文，不再需要回辦公室補簽公文，新北市的第三代公文系統將會支援公文行動簽核。</p> <p>陳富添表示，目前的第二代公文系統已面臨汰換改版的需要，公文系統勢必要升版才能更貼近現代需求，例如支援多瀏覽器，優化行動裝置體驗，支援手機身分驗證、行動公文簽核，並且配合數位部政策導入零信任。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>新北市政府資訊中心主任陳富添</strong></p> <p>學歷：中央警察大學資管系碩士</p> <p>經歷：畢業後先在地方政府從事警務工作，後來進入內政部警政署刑事警察局，在偵九隊負責網路犯罪偵防、電信詐欺偵辦、網路駭客等案件，隨後轉調至通訊監察科、科技研發科。2019年加入新北市政府資訊中心，從科長、副主任、代理主任，2023年9月升任主任</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機關檔案 </span></strong></span></p> <p><strong>新北市政府</strong></p> <p>地址：新北市板橋區中山路1段161號</p> <p>成立時間：2010年</p> <p>主要業務：新北市市政管理及對市民服務</p> <p>市長：侯友宜</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：新北市政府資訊中心主任</p> <p>資訊部門主管姓名：陳富添</p> <p>資訊部門人數：68人</p> <p>資訊部門分工：系統發展科、資通管理科、數位推廣科、網際服務科</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2006年：臺北縣政府資訊中心成立</p> <p>2012年：推出New Taipei公共無線上網服務。第二代公文系統上線。</p> <p>2013年：推出智慧里長系統。</p> <p>2018年：雲端證件包「免書證、免謄本」線上便民服務。</p> <p>2022年：試辦新北行動支付App，NewTaiPAY，搭配新北幣點數支付，不限於新北市，可在全國的合作通路使用。推出智慧里長2.0，結合Line提供里民公務資訊及服務。</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1157_cio_chen_fu_tian_xin_bei_shi_zheng_fu_960v2.jpg" width="960" height="420" alt="" title="新北市政府資訊中心主任陳富添　（攝影／洪政偉）" /></div></div></div>
2023/11/24 14:20作者蘇文彬https://www.ithome.com.tw/people/159992
臺灣開發者大會回來了
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>九年前，JavaScript之父Brendan Eich和PHP之父Rasmus Lerdorf兩大開發語言教父雙雙來臺，介紹Web開發技術的最新發展，那是2015年Modern Web年會，吸引了超過6百位臺灣開發者齊聚中研院人文社會科學館。</p> <p>那一年，JavaScript語言誕生滿20年，Brendan Eich當面告訴我，這個只用10天就設計出來的語言，只是為了行銷考量，搭上Java名氣，才命名成JavaScript。Brendan想讓JavaScript乍看之下很像Java。雖然這兩種語言的本質截然不同，Java是靜態型別的語言，開發者需要先定義變數的型別，而JavaScript卻不需要，這個技術設計的選擇，讓JavaScript更彈性、更適合Web開發，因此而風靡了整個Web世界，成為當代網頁開發的主流。</p> <p>Brendan現場展示了用支援Asm.js的遊戲引擎Unity與Unreal打造的3D遊戲，他在臺上玩了起來，執行效能一點都看不出來是網頁應用。Asm.js追求極致JavaScript效能的思維，後來也帶動了現在WebAssembly技術（但兩者不同）的發展，讓JavaScript更能通吃前端或後端，各種類型的應用開發需求。</p> <p>2015年同樣也是PHP創立滿20歲的一年，這是全球最廣泛使用的網頁開發技術之一，人氣與JavaScript不相上下。一封電子郵件邀約，熱心推廣技術的Rasmus Lerdorf立刻答應來臺，為了幫我們節省機票補貼，Rasmus還自己比價，定了最便宜的機票飛來臺灣，擔任2015年Modern Web年會第二天開場主題講者，揭露磨劍10年開發的PHP 7效能優化的秘密，這是臉書操作介面超級流暢的關鍵。</p> <p>那一天中午，中研院人社館外的陽光燦爛，Rasmus臉上映著暖陽接受我的採訪，一臉興奮的說，他正是為了讓網站邁向微服務（Microservice）架構，來設計PHP 7，要讓PHP效能更好，有效減少網路延遲，才更能勝任分散式架構的需求。如今，微服務架構不只是Web應用，更是整個雲原生發展浪潮的核心思維。</p> <p>將國外最新開發技術、世界級開發大師的經驗，帶到臺灣開發者眼前，也要成為臺灣開發好手彼此交流的舞臺。這正是我們選擇以「Modern」為名，開始舉辦這場臺灣開發活動的初衷，直到現在都是如此。數位部長唐鳳就在第一屆Modern Web年會上，以Perl 6核心貢獻者的角色，分享了她的開源之道。</p> <p>因為疫情，Modern Web Conference在2020和2021年轉為線上舉辦，去年更因疫情嚴峻而停辦。終於，今年重回實體活動形式，並且更名為MWC 2024（Modern Web Conference的縮寫），一連在南港瓶蓋工廠舉辦三天，超過60場演講，規模比過去更大，也提供了更多講者與聽眾交流的機會。</p> <p>每一場演講結束，講者們會面對面回答聽眾的各種問題（這個交流形式是MWC最大亮點之一），我站在Heptabase 創辦人詹雨安面對面問答的桌子旁，從頭聽到尾，每一位提問者都是超級愛用的粉絲，不只提出各種功能需求，也好奇這個揚名全球的國產筆記軟體的開發花絮。更有一群熱心的參加者，寫了一場又一場演講的共享筆記，連不在現場的開發人也能有滿滿的收穫。</p> <p>MWC不只聚焦Web應用，還擴大到更多開發議題，尤其是企業級開發的技術和經驗。Web開發技術已經不只是網站技術，更是企業數位轉型，從產業公司，變成科技公司的關鍵。四大主題涵蓋了開發、資料、服務、流程、到介面和體驗，更有不少場演講聚焦在超夯的生成式AI開發經驗。</p> <p>MWC將海外開發經驗帶到臺灣的初衷沒有改變，但今年開始更聚焦於引介跨國企業的轉型經驗。</p> <p>擁4萬名開發人力的美國最大金融集團JP Morgan，如何邁向雲原生？我們從新加坡邀來JP Morgan雲端開發者關係工程師Rinsha Kaushik分享秘訣，她在摩根大通集團新加坡據點擔任SRE長達4年半，在第一線參與了這個跨國集團的雲原生之旅。</p> <p>另一位海外講者更是遠從柏林來臺，歐洲電商巨頭Zalando前工程經理Andrew Howden，他是嵌入式SRE團隊的負責人，過去4年來，一路見證了Zalando如何發展平臺工程，讓2千人開發團隊提高生產力的變革。</p> <p>9年來（加上剛結束的今年），數百位登臺講師來自海內外，參加過的臺灣技術人將近1萬人次，6成是各企業的開發者，更有1成主管。MWC不只要提供最新的開發趨勢，也是跨國企業技術轉型經驗的交流，更要打造出臺灣最大規模的開發者盛會。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/mwc">MWC</a></div><div class="field-item odd"><a href="/tags/modern-web%E5%B9%B4%E6%9C%83">Modern Web年會</a></div><div class="field-item even"><a href="/tags/zalando">Zalando</a></div><div class="field-item odd"><a href="/tags/sre">SRE</a></div></div></div>
2023/11/24 14:05作者王宏仁https://www.ithome.com.tw/voice/159991
駭客正利用網路監視器與路由器的零時差漏洞來散布Mirai殭屍病毒
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者<a href="https://www.akamai.com/blog/security-research/new-rce-botnet-spreads-mirai-via-zero-days" target="_blank">Akamai本周揭露</a>，他們發現駭客正在利用網路監視器（NVR）與路由器的零時差漏洞來散布JenX Mirai變種病毒，以將這些裝置納入可操控的殭屍網路，已分別通知相關裝置的製造商，預計於今年12月修補。</p> <p>Akamai長期利用誘捕系統來觀察網路上的惡意活動，今年10月下旬起開始發現小規模且頻率不一的攻擊探測行動，駭客先藉由POST請求以通過身分驗證，成功後再企圖注入命令。</p> <p>Akamai安全研究人員Larry Cashdollar向<a href="https://arstechnica.com/security/2023/11/thousands-of-routers-and-cameras-vulnerable-to-new-0-day-attacks-by-hostile-botnet/" target="_blank">《Ars Technica》</a>解釋，這些IoT裝置通常不允許於管理介面執行程式碼，因此駭客必須透過命令注入以自遠端執行程式，且得先進行身分驗證。</p> <p>研究人員在駭客於NVR植入的酬載中找到所使用的憑證，發現它們屬於裝置的常用預設憑證，有許多不同的品牌與產品都採用了該憑證，但有某個品牌在多個NVR產品操作手冊中明列該預設憑證。繼之針對該品牌的漏洞管理進行調查，才發現他們找到了一個新的零時差漏洞。</p> <p>另一個遭到駭客鎖定的攻擊對象是路由器，且是專為飯店及住宅所設計，基於插座的無線區域網路路由器，亦內含可被植入JenX Mirai的零時差漏洞。</p> <p>Akamai已經通知遭到攻擊的NVR與路由器製造商，它們都計畫在12月修補。</p> <p>現階段並不確定此一攻擊規模，僅知該NVR業者生產逾100種NVR / DVR / IP攝影機產品，而該路由器業者則生產許多交換器與路由器，雖然看起來只有一個路由器型號遭到駭客鎖定，但駭客所攻陷的漏洞存在一個常見功能中，其它產品也可能沿用同樣的程式碼。</p> </div></div></div>
2023/11/24 11:35作者陳曉莉https://www.ithome.com.tw/news/159985
當模組化顛覆了專案形態
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_-min_jie_si_kao_gong_zuo_shu_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">經濟新潮社</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>前專案管理協會會長，在專案管理業界被譽為第一把交椅的安東尼奧．尼托—羅德里格茲（Antonio Nieto-Rodriguez）在二○一九年出版《專案管理革命》書中提到，在大量採用人工智慧與機器人之後，由人類負責的多數業務都將轉型為專案的模式。</p> <p>該書想進一步強調的是，相較於過去，專案的形態已大幅改變這點。一如【圖4-5】所示，過去的專案都屬於發案單位與接案單位這種上對下的模式，但今後的專案都屬於共創型的對等關係模式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964-5.jpg" style="width: 500px;" /></p> <p>比方說，有一種為了募集專案所需的創意，而在專案初期執行的創意馬拉松構思法（idea marathon）。若以過去的常識來看，負責提出創意的是發案端，有必要的話，再請外部人士或是消費者提供意見。而創意馬拉松構思法則是請新創公司、大學或是消費者提供創意，有時甚至會邀請競爭對手同堂提供創意。除了提供創意之外，還有可能一起製造試作品，一邊推動專案。</p> <p>早期的專案都是由一名承包商統包的形式。對於發案端來說，只要發給承包商，專案的行程管理、預算管理，甚至是外包公司的管理，都能交由承包商處理，所以非常省時省力。</p> <p>IT業界其實也有相同的模式，比方說，大型IT企業先包下整個專案，再委由底下的開發公司開發。這是發案端將專案整個交由大型IT企業負責，大型IT企業就會從頭負責而尾，直到專案結束的模式。</p> <p>不過，這種由承包商統包的模式也不是在每個場合都那麼管用。</p> <p>以IT業界的實例而言，這種模式會導致大多數的資訊朝特定的大型IT企業匯流，發案端便很難再將專案委託給其他IT企業。</p> <p>此外，在大多數的情況下，系統的規格都是依照個別企業的需求開發，一旦開發完畢，就很難切換成低成本的雲端服務。</p> <p>比方說，德國的SAP公司提供了ERP（企業資源規畫）這種基礎系統套裝服務。這種套裝軟體是根據全世界優良企業的最佳實例所開發，照理說，只要讓自家公司的業務配合套裝軟體的內容改變，應該就能得到不錯的效果。</p> <p>不過，有許多日本企業卻反過來依照業務內容修改套裝軟體的功能，導致業務效率比採用ERP之前更低。</p> <p>在IT的世界裡，採用雲端服務以及模組化服務已是常識中的常識。所謂的模組化是指將產品或服務拆成一個個獨立的零件，再將這些零件當成最終產品提供的模式。</p> <p>比方說，將公司的業務基礎系統拆成銷售管理與成本計算這兩個模組，想要使用模組化服務的企業就能只使用需要的模組，如果這些模組還是以雲端服務的方式提供，就完全不需要安裝軟體，還能自動升級軟體。</p> <p><span style="font-size:28px;"><strong>發案端與供應商這種專案形態終將消失</strong></span></p> <p>模組化這種形態不只是在IT業界普及。就邏輯而言，這是在所有業界出現的變化。</p> <p>目前正逐步模組化的業界之一就是汽車業界。日本的汽車業界有稱為「系列」的企業集團，比方說，TOYOTA的汽車就由TOYOTA系列的企業開發零件，HONDA的汽車就由HONDA系列的企業開發零件。由同系列的企業一起開發汽車，能夠開發出最佳規格的零件。不過，這些負責製造零件的製造商不能將零件賣給非同一系列的企業。</p> <p>反觀日本之外的國家就不太有這種「系列」的概念，零件製造商都自成一格，製造與銷售獨力開發的零件。</p> <p>雖然各國的計算方式不同，但總括來說，一台燃油車的零件約有幾十萬個，但電動車的零件卻只有兩萬個左右。一旦電動車全面普及，汽車業界也將一口氣進入模組化的時代。</p> <p>一旦大部分的業界進入模組化的時代，就不再需要為了特殊規格開發零件，也不再需要發案給專屬的外包公司，只需要購買模組化的零件，自家公司的產品或是服務就得以完成。</p> <p>若從全世界的角度來看，發案端與供應商這種專案形態正因模組化這股風潮而逐漸式微，取而代之的是逐漸增加的共創價值模式。</p> <p>本文的開頭介紹了創意馬拉松構思法這種激發創意的方法，而這種共創的方法已於各個角落普及。共創的特徵並非提供勞務，換取金錢這種對價關係，而是由參與者提供價值，促使專案成功，參與者再享受隨之而來的利益。</p> <p>比方說，我過去曾經參與提升汽車安全的專案，而這項專案還有新創企業、大企業與大學教授一同參與。這些參與者各自提供了實務經驗、人才或是其他的資源，也讓這項專案得以成功。</p> <p>雖然這個專案一開始只有三位成員，但是在不斷地洽詢相關人士的意見之後，愈來愈多人對這個專案產生共鳴，最終形成五間公司、二十位成員共同參與的團隊。</p> <p>其實IT業界那種由不特定多數的人共同製作內容的群眾外包（crowdsourcing）已於全世界普及。</p> <p>以Blabo公司為例，這間公司所經營的社群會在收到來自全世界的創意之後，著手開發商品，之前這間公司曾從日本的各縣市蒐集了最能代表在地風味的意見，開發了四十七種口味的洋芋片，也曾開發讓老公自己從烹調到整理廚房，一氣呵成的料理懶人包（meal kit）。</p> <p>這些提供創意的人，除了能得到金錢方面的回饋，還能得到被Blabo這間公司認同的成就感。</p> <p>這裡的重點在於全世界的專案形態已從某個人做出決定，其他人負責執行的傳統型專案，轉型為所有人的地位相同，一起參與創作的共創型專案。</p> <p><span style="font-size:28px;"><strong>打造跨業界或公司的水平關係</strong></span></p> <p>一如前述，各個業界之間的藩籬已逐漸消失。在過去，競爭對手來自相同業界，所以在業界打造垂直關係非常重要。</p> <p>例如汽車業界打造了前述的「系列」，只與了解自家規格的供應商交易，將競爭對手擋在外。</p> <p>IT業界或是建築業界也如前述，與外包企業建立了重要的垂直關係。</p> <p>如今在數位化與全球化的風潮催化之下，許多產業出現了水平分層化現象。所謂的分層化現象可參考【圖4-6】，也就是跨業界分工合作的現象。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E6%95%8F%E6%8D%B7%E6%80%9D%E8%80%83%E5%B7%A5%E4%BD%9C%E8%A1%93.jpg" style="text-align: center; width: 500px;" /></p> <p>比方說，在以民間放送（全日本各民營廣電業者）為主的三十年前，電視台會與同系列的製作公司聯手製作節目，再透過電視這項裝置將節目送到觀眾面前。在這種模式之下，一切都由大型電視台主宰，整個業界也是透過這種垂直關係運作。</p> <p>反觀現在則以YouTube這類平台為主流，每個人都能透過這類平台與網路，上傳自行製作的內容。</p> <p>觀眾只需要有智慧型手機、電腦或是平板電腦，就能觀賞YouTube的影片，完全不需要任何特殊的裝置。</p> <p>讓我們不要再將重點放在業界或公司之間的封閉式垂直關係，積極地打造跨業界與公司的水平關係。</p> <p>我每次想到什麼有趣的點子，都會盡可能請不同業界的人分享他們對這個點子的看法，因為我除了能得到他們的看法，還能透過這個過程與這些人建立水平關係。<strong><span style="color:#696969;">（本文摘錄整理自《敏捷思考的高績效工作術》第四章，經濟新潮社提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600_%E6%95%8F%E6%8D%B7%E6%80%9D%E8%80%83%E5%B7%A5%E4%BD%9C%E8%A1%93_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%B6%93%E6%BF%9F%E6%96%B0%E6%BD%AE%E7%A4%BE(1).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_經濟新潮社</span></span><br /> <strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 敏捷思考的高績效工作術</strong><br /> 坂田幸樹（SAKATA Kohki）／著；許郁文／譯<br /> 經濟新潮社出版<br /> 定價：450元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/120_%E6%95%8F%E6%8D%B7%E6%80%9D%E8%80%83%E5%B7%A5%E4%BD%9C%E8%A1%93_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_IGPI.png" style="width: 120px;" /></p> <p><a href="https://www.igpi.com.sg/about-us/our-team/kohki-sakata/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_IGPI</span></span></a><br /> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span><br /> 坂田幸樹（SAKATA Kohki）<br /> 益基譜管理諮詢公司（Industrial Growth Platform, Inc.，簡稱IGPI）合夥人、IGPI新加坡分公司執行長。<br /> 早稻田大學政治經濟系畢業、西班牙IE商學院MBA。大學畢業後，進入安永會計師事務所工作。之後曾在日本可口可樂、管理顧問公司Revamp服務，曾協助成衣業、系統業進行組織改造。<br /> 目前在IGPI新加坡分公司擔任執行長，在全球五個國家領導八種國籍的團隊，協助日本企業和新加坡當地企業、政府機構推動專案。</p> </div></div></div>
2023/11/24 12:00未署名https://www.ithome.com.tw/article/159913
美國醫療照護軟體供應商Welltok外洩逾800萬病患資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國醫療照護產業的軟體即服務（SaaS）供應商<a href="https://www.businesswire.com/news/home/20231117220893/en/" target="_blank">Welltok近日警告</a>，該公司受到MOVEit零時差漏洞的影響，<a href="https://ocrportal.hhs.gov/ocr/breach/breach_report.jsf" target="_blank">外洩了8,493,379名病患資料</a>，是迄今受到該漏洞影響的第二大受害者，僅次於政府服務機構Maximus所外洩的1,130萬筆個資。</p> <p>勒索軟體集團Clop是在今年5月開始針對MOVEit的零時差漏洞CVE-2023-34362展開攻擊。MOVEit為Progress Software所提供的檔案管理軟體，可加密並傳輸檔案，並提供自動化、分析與故障轉移功能，<a href="https://community.progress.com/s/article/MOVEit-Transfer-Critical-Vulnerability-31May2023" target="_blank">CVE-2023-34362</a>是個SQL注入漏洞，允許未經授權的使用者存取MOVEit Transfer資料庫，其CVSS風險評分高達9.8，而Progress Software則是在5月31日修補了該漏洞。</p> <p>根據資安業者<a href="https://www.emsisoft.com/en/blog/44123/unpacking-the-moveit-breach-statistics-and-analysis/" target="_blank">Emsisoft</a>的統計，Clop利用該漏洞總計入侵了2,636個組織，存取了超過8,000萬筆的個人資料。</p> <p>其實Welltok今年10月底<a href="https://welltoknotice.wpenginepowered.com/?page_id=23" target="_blank">就曾低調披露此事</a>，指出該公司曾在7月26日收到警告，宣稱其MOVEit Transfer伺服器遭到入侵，由於Welltok先前即安裝了MOVEit的所有修補程式，也基於當時所擁有的資訊針對系統及網路進行檢查，認為系統並未受到危害。</p> <p>但Welltok仍持續與第三方資安專家合作進行更深入的調查，卻在8月11日發現駭客曾在5月30日存取該公司的MOVEit Transfer伺服器。該伺服器上存放了20個醫療組織的病患資料，包括姓名、地址、電話號碼、電子郵件帳號，且約有100萬Corewell Health病患資料的健保資訊、社會安全碼及診斷資料遭到存取。</p> <p>Welltok已代替這些組織通知受到波及的病患，也負責提供免費的信用監控服務。</p> </div></div></div>
2023/11/24 12:35作者陳曉莉https://www.ithome.com.tw/news/159990
AWS推出用於CloudFront函式的低延遲儲存，改善程式碼與資料維護工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS在其內容傳遞網路服務Amazon CloudFront增加新功能<a href="https://aws.amazon.com/tw/blogs/aws/introducing-amazon-cloudfront-keyvaluestore-a-low-latency-datastore-for-cloudfront-functions/">KeyValueStore</a>，這是一個全球低延遲鍵值資料儲存服務，供CloudFront Functions存取並且讀取資料，官方提到，這項新功能將可在CloudFront邊緣位置實現自定義邏輯。</p> <p>CloudFront Functions可以讓開發者在CloudFront的全球節點網路中，執行自定義程式碼，回應和處理輕量級且高頻率的任務，像是修改標頭、重寫URL或是進行授權請求等操作。而在之前，開發者需要將像是重新導向的URL等配置資料嵌入到函式程式碼中，也就是說，即便是微小的配置變更，都需要更新並且重新部署CloudFront Functions程式碼。</p> <p>變更程式碼不只增加額外的風險，而且因為函式大小限制為10 KB，對許多使用案例來說，開發者無法把資料全放進程式碼中。而KeyValueStore則提供了額外的選擇，供開發者在獨立於函式程式碼的地方，更新與之關聯的資料。</p> <p>KeyValueStore不僅簡化CloudFront Functions程式碼，也可以在不需要重新部署程式碼的情況下，更新資料，提升靜態和動態內容的交付效率，還大幅降低延遲並提高傳輸速度。KeyValueStore每個鍵值儲存總大小上限為5 MB，每個鍵限制為512位元組，值則可以達到1 KB，每個鍵值儲存關聯單一CloudFront Function。</p> <p>AWS已經在全球邊緣位置推出CloudFront KeyValueStore服務，並可以透過AWS控制臺、命令列工具和開發工具包管理鍵值儲存。用戶需要對KeyValueStore的讀取和寫入操作，以及CloudFront Functions中的讀取操作，按使用量支付費用。</p> </div></div></div>
2023/11/24 08:21作者李建興https://www.ithome.com.tw/news/159984
臺灣多媒體軟體業者訊連科技遭北韓駭客Lazarus發動供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>供應鏈攻擊事故最近幾年有越來越氾濫的現象，隨著臺海情勢不斷升溫，針對臺灣IT製造商而來的攻擊行動，已成為不容忽視的資安威脅。4年前，<a href="https://www.ithome.com.tw/news/129597">華碩更新伺服器遭駭的資安事故</a>曾引起各界高度關注，該廠牌的筆記型電腦自動更新工具程式Asus Live Update，部分版本遭駭客植入惡意程式碼，並上傳至檔案伺服器，最近又有其他廠商遭遇類似攻擊。</p> <p>微軟威脅情報團隊揭露<a href="https://www.microsoft.com/en-us/security/blog/2023/11/22/diamond-sleet-supply-chain-compromise-distributes-a-modified-cyberlink-installer/">北韓駭客組織Lazarus旗下團體Zinc（亦稱Diamond Sleet）發起的供應鏈攻擊</a>，這些駭客約從10月20日開始，竄改臺灣多媒體應用程式開發商訊連科技（CyberLink）應用程式安裝檔案，植入惡意功能，一旦執行將會於受害電腦下載、解密、載入攻擊第2階段的惡意程式碼。</p> <p>而對於駭客團體Zinc的來歷，研究人員指出，這些駭客主要鎖定的攻擊目標，是全球各地的媒體、國防、IT產業，長期從事間諜活動，竊取特定人士或企業組織的機密資料，或是破壞目標組織的網路環境。該組織在攻擊行動中，往往會使用專屬的惡意程式進行。</p> <p>值得留意的是，上述駭客竄改的檔案，不僅透過訊連的憑證簽章，本身也存放在該公司所有的軟體更新基礎設施上。再者，這個惡意程式也藉由檢查執行時間間隔的限制，來迴避防毒軟體偵測。這起事故造成那些災情？目前至少有100臺裝置受害，坐落在臺灣、日本、加拿大、美國等多個國家。但究竟這些駭客的目的是什麼？研究人員表示仍有待確認，但他們發現這些駭客曾入侵軟體開發環境、竊取機密資料，他們不排除向供應鏈下游移動、攻擊更多組織的可能。</p> <p>研究人員將此惡意安裝檔稱為LambLoad，並指出攻擊活動會刻意避開特定資安組態的電腦，例如部署FireEye、CrowdStrike、Tanium等廠牌端點防護系統的電腦，並企圖於受害電腦下載偽裝成PNG圖檔的第2階段惡意酬載，從而在記憶體內解密並執行另一個可執行檔，嘗試從C2接收駭客的命令。</p> <p>對於上述研究人員的發現，今日下午，<a href="https://tw.cyberlink.com/support-center/faq/content?id=28412">訊連科技發布公告指出</a>，在其產品「Promeo」的安裝程式中發現惡意軟體，已經移除問題，他們也透過微軟、CrowdStrike、賽門鐵克、趨勢科技、Sophos的資安工具清查旗下所有產品，確認其他產品不受這起攻擊行動影響。</p> <p>後續他們將與微軟更新軟體安全憑證，並指出更新的過程中，有可能導致用戶無法安裝訊連旗下的應用程式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/dyAUMOuLiM_20231123-2152-07181.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/dyAUMOuLiM_20231123-2152-07181.png" style="width: 580px;" /></a></p> </div></div></div>
2023/11/23 20:43作者周峻佑https://www.ithome.com.tw/news/159983
Arm發表Cortex-M52處理器，瞄準更小型的AIoT裝置開發需求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應更小型AIoT裝置開發需求，Arm發表Cortex-M系列處理器新成員Cortex-M52，該處理器支援Arm Helium技術，可將AIoT推向更小型的裝置。Arm預期採用M52的晶片會在2024年推出。</p> <p>宣稱為Helium技術中，體積最小、面積及成本效益最高的處理器。</p> <p>Helium是Arm在Cortex-M系列處理器中提供的M系列向量擴充方案，可提供DSP數位訊號處理、ML機器學習效能。在此之前，較高階的Cortex-M55及M85處理器主要以較大的裝置或設備為主，而新推出的M52，晶片面積比M55小約23%，且設計上鎖定使用電池的小型AIoT裝置。</p> <p>和現有的Arm Cortex-M33相比，在Helium技術加持下，Arm宣稱Cortex-M52在DSP效能高出2.7倍，在機器學習效能則有5.6倍，能源效率則有2.1倍，有更高的AI處理效能、能源效率表現。在安全性部分，M52也支援TrustZone技術。</p> <p>在加入Cortex-M52處理器後，Arm物聯網事業部亞太區IoT市場資深經理黃晏祥指出，支援Helium技術的Cortex-M52、M55及M85處理器可滿足更廣的AIoT應用，舉例來說，M52可應用在振動偵測、感測器、異常偵測或是語音的特定關鍵字偵測等。</p> <p>至於M55及M85則為更進階的物體偵測、手勢偵測、生物識別等AIoT應用。更為複雜的AIoT應用則以Cortex-M處理器搭配Ethos NPU應對，應用在語音辨識、物體識別分類、即時識別等。</p> <p>對於同樣支援Helium技術，在Cortex-M55之外，再推出M52的原因，黃晏祥解釋，M55雖然也適用於電池設計，但是以較大型、較高效能的AIoT裝置開發為主，M52因為晶片面積較小，適用開發比較小型、使用電池的AIoT裝置開發，此外，客戶反應需要開發更長電池使用時間的AIoT裝置，M52能夠延長的電池使用時間。</p> <p>由於IoT裝置的應用相當廣泛，例如智慧家庭、智慧城市、智慧零售、工業等，Arm擴大Cortex-M處理器產品線，以因應不同物聯網裝置對效能、能源效率、成本、面積的開發需求。</p> </div></div></div>
2023/11/23 18:21作者蘇文彬https://www.ithome.com.tw/news/159981
【資安日報】11月23日，訊連科技遭北韓駭客發動供應鏈攻擊，駭客於該公司更新伺服器部署惡意軟體，臺灣及多個國家出現受害者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">針對臺灣廠商的供應鏈攻擊事故，4年前<a href="https://www.ithome.com.tw/news/129597">華碩更新伺服器遭駭的事故引起高度關注</a>，而最近，又有其他軟體供應商遭遇類似攻擊，駭客利用其更新基礎設施，散布惡意程式。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">微軟威脅情報團隊披露自10月底針對臺灣多媒體應用程式開發商訊連科技而來的攻擊行動，駭客竄改該公司的軟體安裝檔案，並上傳到訊連的更新伺服器，至於攻擊者的目的，仍有待進一步釐清。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【攻擊與威脅】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.microsoft.com/en-us/security/blog/2023/11/22/diamond-sleet-supply-chain-compromise-distributes-a-modified-cyberlink-installer/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣多媒體軟體業者訊連科技遭北韓駭客Lazarus發動供應鏈攻擊</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">微軟威脅情報團隊揭露北韓駭客組織Lazarus旗下團體Zinc（亦稱Diamond Sleet）發起的供應鏈攻擊，這些駭客約從10月20日開始，竄改臺灣多媒體應用程式開發商訊連科技（CyberLink）應用程式安裝檔案，植入惡意功能，一旦執行將會於受害電腦下載、解密、載入攻擊第2階段的惡意程式碼。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">值得留意的是，駭客的檔案不僅透過訊連的憑證簽章，且代管於該公司所有的軟體更新基礎設施上。再者，這個惡意程式也藉由檢查執行的時間間隔限制的機制，來迴避防毒軟體偵測。而對於受害情況，至少有100臺裝置受害，這些電腦遍布臺灣、日本、加拿大、美國等多個國家。但究竟這些駭客的目的是什麼？研究人員表示仍有待確認，但這些駭客曾入侵軟體開發環境、竊取機密資料，或是向供應鏈下游移動，攻擊更多組織，他們不排除有這些可能。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">研究人員將此惡意安裝檔稱為LambLoad，並指出駭客迴避部署FireEye、CrowdStrike、Tanium端點防護系統的電腦，並企圖於受害電腦下載偽裝成PNG圖檔的第2階段惡意酬載，從而在記憶體內解密並執行另一個可執行檔，嘗試從C2接收駭客的命令。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/malware-dev-says-they-can-revive-expired-google-auth-cookies/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊資軟體Lumma開發者聲稱能復原Google帳號的連線階段，挾持受害者帳號</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/lumma-cookies.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/lumma-cookies.png" style="width: 300px; float: right;" /></a>資安業者Hudson Rock指出，他們看到打造竊資軟體Lumma（亦稱LummaC2）的開發人員標榜，能從受害電腦竊取與Google服務有關的cookie之後，進一步濫用的方法，並強調使用者就算更換密碼，這類cookie仍然有效，不會過期或是遭到撤銷。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資安新聞網站Bleeping Computer指出，該惡意軟體的經營者在11月14日提供新功能，讓買家能透過金鑰復原已經失效的cookie，但這項功能僅限於針對Google帳號，且由於該金鑰只能使用2次，買家僅有一次復原cookie的機會，假若賣家標榜的功能確實具備相關功能，這足以對企業組織造成嚴重的威脅。這項特殊的新功能，經營者只有提供給每個月付費1千美元的Corporate plan用戶使用。值得留意的是，上述的功能，並未得到研究人員或是Google的驗證。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">但這種挾持受害者Google帳號的能力，似乎還有其他駭客掌握相關技術。事隔3天，另一名研究人員g0njxa發現，經營竊資軟體Rhadamanthys的駭客也宣稱提供類似的功能，Bleeping Computer取得Lumma開發者的說法，很可能是競爭對手從他們的竊資軟體複製而得。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資料來源</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">1. <a href="https://www.linkedin.com/posts/alon-gal-utb_an-upcoming-update-to-lumma-infostealer-is-activity-7128433924380213248-hcEG/">https://www.linkedin.com/posts/alon-gal-utb_an-upcoming-update-to-lumma-infostealer-is-activity-7128433924380213248-hcEG/</a><br /> 2. <a href="https://www.linkedin.com/posts/alon-gal-utb_infostealer-cybercrime-activity-7129468853574598656-gboo/">https://www.linkedin.com/posts/alon-gal-utb_infostealer-cybercrime-activity-7129468853574598656-gboo/</a><br /> 3. <a href="https://twitter.com/g0njxa/status/1725486960750284847">https://twitter.com/g0njxa/status/1725486960750284847</a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://blackwinghq.com/blog/posts/a-touch-of-pwn-part-i/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露繞過筆電Windows Hello指紋驗證機制的手法，多個廠牌的電腦曝險</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">採用生物辨識技術來強化身分安全，如今相當常見，然而一旦遭到破解，就有可能讓攻擊者繞過這類身分驗證機制。威脅情報業者Blackwing Intelligence揭露在Windows筆電上發現的指紋辨識器弱點，從而繞過Windows Hello的身分驗證機制。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">研究人員在今年10月下旬微軟舉辦的資安會議BlueHat上，首度展示成果，並利用微軟Surface Pro X、聯想ThinkPad T14、Dell Inspiron 15進行驗證。這些筆電搭配的指紋感應器，由ELAN、Synaptics、Goodix製造，都具備晶片上辨識（Match on Chip，MOC）感應器，以提供較為嚴謹的指紋比對流程，微軟也開發了安全設備連線協定（SDCP），防範指紋辨識器與筆電之間的中間人攻擊（MitM）。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">但研究人員透過逆向工程，發現感測器實作的缺陷，從而突破上述的防護機制，他們利用自製的Raspberry Pi 4裝置進行中間人攻擊，從而成功達到目的。</p> <p><iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315" src="https://www.youtube.com/embed/gjvu-l6vKFE?si=rweGEkWxw1M02ldn" title="YouTube video player" width="560"></iframe></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://cofense.com/blog/are-darkgate-and-pikabot-the-new-qakbot/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體DarkGate及PikaBot透過網釣攻擊散布，攻擊者很可能是曾經利用QBot的駭客</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/QBot-Figure-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/QBot-Figure-3.png" style="width: 300px; float: right;" /></a>8月惡意軟體QBot遭到歐美多個執法單位圍勦，清除70萬臺電腦上的惡意程式，沒收860萬美元加密貨幣，但這些駭客近期有東山再起的跡象。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">電子郵件安全業者Cofense指出，他們分析了近期的惡意軟體DarkGate和PikaBot攻擊行動，發現攻擊者所發起的網路釣魚攻擊策略，與使用QBot的駭客相同，這些共通點包含了使用電子郵件回覆串來進行初期感染、具備獨有特徵的URL限制使用者存取，以及傳送惡意軟體到受害電腦的方式也幾乎雷同。研究人員推測，這一波惡意軟體的攻擊者身分，就是原本使用QBot的駭客。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">究竟駭客如何掌握特定的電子郵件，以便用於攻擊？研究人員推測，很有可能是透過ProxyLogon漏洞（CVE-2021-26855，CVSS風險評分9.8）入侵Exchange伺服器來達成目的。值得留意的是，駭客於受害電腦部署惡意軟體的手法，大部分是利用JavaScript Dropper，但也有透過Excel-DNA Loader，以及VBS或LNK下載工具的情況。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.gdatasoftware.com/blog/2023/11/37822-agent-tesla-zpaq"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Agent Tesla透過ZPAQ壓縮檔散布</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">防毒業者G Data揭露最新一波的竊資軟體Agent Tesla攻擊行動，其特殊之處在於駭客利用ZPAQ格式的壓縮檔來散布惡意軟體。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">在其中一起攻擊行動裡，駭客寄送帶有Purchase Order pdf.zpaq附件的釣魚郵件，研究人員使用命令列進行解壓縮，結果這個僅有6 KB的壓縮檔，竟解出1 GB的大型檔案，原因很可能是駭客想要突破防毒軟體掃描檔案的大小上限。一旦電腦感染該竊資軟體，此惡意程式就會與架設於Telegram的C2進行連線，然後進行竊取機密資料的工作。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">值得留意的是，支援這種格式的壓縮軟體並不多，但為何駭客要採用？研究人員認為，很有可能是因為相較於常見的ZIP、RAR格式，ZPAQ檔案更小，且有可能被防毒軟體放行。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/11/atomic-stealer-distributed-to-mac-users-via-fake-browser-updates"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">攻擊行動ClearFake鎖定Mac電腦用戶，散布竊資軟體Atomic Stealer</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/safari.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/safari.png" style="width: 300px; float: right;" /></a>資安業者Malwarebytes揭露新一波的惡意軟體攻擊行動ClearFake，駭客先是入侵WordPress網站，假借瀏覽器更新的名義來散布惡意程式。這起攻擊行動大約從8月出現，當時針對Windows使用者而來，但11月17日研究人員Ankit Anubhav提出警告，駭客的攻擊範圍如今也擴及Mac電腦的用戶，散布竊資軟體Atomic Stealer。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">該資安業者進一步調查指出，對方製作冒牌的蘋果、Google網站，聲稱提供Safari 17.1更新檔案，或是要求使用者更新Chrome才能存取網站的內容，一旦使用者依照指示操作，電腦就有可能被植入竊資軟體。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=201402&SPOKE_DATE=20231120&COMPANY_ID=1314"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中石化遭受網路攻擊事件</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月20日中國石油化學工業開發（中石化）於股市公開觀測站發布重大訊息，表示該公司遭遇網路攻擊，資安團隊察覺異狀即啟動相關防禦機制，並委請外部資安業者、技術專家共同處理，通報相關執法機關。而對於營運是否造成衝擊，該公司初步評估尚無重大影響。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【資安防禦措施】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://docs.fcc.gov/public/attachments/DOC-398483A1.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為防範SIM卡挾持攻擊，美國FCC對電信業者祭出新規定</span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">為了防範民眾遭遇SIM卡挾持（SIM Swapping）攻擊，11月15日美國聯邦通訊委員會（FCC）針對電信業者祭出新的規定，當中提及客戶專屬的網路資訊（Customer Proprietary Network Information，CPNI）、市話可攜（ Local Number Portability，LNP）的部分，要求電信業者將客戶的電話號碼移轉至新裝置或是新的電信業者，必須採用嚴謹的方式來驗證客戶身分，例如。立即通知用戶，並採取額外的防護措施，來防堵這類攻擊行動。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【其他新聞】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.fortinet.com/blog/threat-research/konni-campaign-distributed-via-malicious-document"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體Konni RAT利用Word文件感染Windows電腦，竊取電腦資料</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.akamai.com/blog/security-research/new-rce-botnet-spreads-mirai-via-zero-days"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Mirai殭屍網路變種利用零時差漏洞感染路由器、視訊監控裝置</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://securityaffairs.com/154598/hacktivism/siegedsec-hacked-idaho-national-laboratory.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國愛達荷實驗室傳出遭到駭客組織SiegedSec入侵</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.theregister.com/2023/11/20/moveit_victim_77m_medical/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">MOVEit Transfer零時差漏洞受影響人數突破7700萬</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.cisa.gov/sites/default/files/2023-11/HPH-Sector-Mitigation-Guide-TLP-CLEAR_508c.pdf"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">CISA發布醫療保健產業的網路安全指南</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>近期資安日報</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159948"><strong>【11月22日】勒索軟體Phobos打著資安社群的名義，鎖定Windows電腦發動攻擊，聲稱受害者復原檔案要找社群</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159939"><strong>【11月21日】中國駭客組織Mustang Panda鎖定東南亞發動數起網釣攻擊，起因疑與8月發生的菲律賓海上軍事衝突有關</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159921"><strong>【11月20日】駭客近半年散布逾30款惡意PyPI套件，利用PNG圖檔埋藏攻擊意圖，美國、中國、法國皆有開發者受害</strong></a></p> </div></div></div>
2023/11/23 17:16作者周峻佑https://www.ithome.com.tw/news/159980
【廠商永續支援度盤點：思科】力推兩大類儀表板管理工具，不只能監測伺服器設備每日能耗變化，就連網通產品能耗和碳排放數據都…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科今年開始搶進永續IT商機，目前推出兩類儀表板管理工具，用於監控及管理IT產品能耗，其中，Nexus Dashboard儀表板主要應用於網路交換器設備，不僅能監控網路設備能耗，還具備有碳排放數據的監測功能。另一方面，雲端IT維運管理平臺Intersight提供了Energy & Power儀表板工具，則可用於UCS伺服器以及HyperFlex超融合基礎架構等產品使用的能源監控。值得注意的是，此儀表板尚未包含碳排放使用資訊，而且目前僅為Beta版本，明年才會推出正式版。此外，思科目前只開放Intersight Essentials版或以上的訂閱方案，才能加購該儀表板功能。</p> <p>隨著永續議題越來越受到企業所重視，不僅各大伺服器廠商紛紛推出多樣管理工具和平臺，協助企業有效蒐集和管理IT設備所產生的碳排放數據，網通大廠思科近來也積極投入，搶進永續IT市場，不只承諾2040年實現整體價值鏈的淨零碳目標，還針對企業永續資料中心的建立，推出新工具和平臺，以提高其IT產品的透明度，包括伺服器、超融合和網路交換器等，協助企業優化其設備使用效率，進而降低其碳排放。</p> <p>思科目前提供了兩類儀表板管理工具，用於監控和管理自家伺服器、網通產品的使用能耗，分別為Intersight的Energy & Power儀表板和Nexus Dashboard儀表板工具，前者可用於監控UCS系列伺服器及HyperFlex超融合產品在內的能源使用情況，後者則可用於管理和監測網路交換器的能耗及費用成本，並提供碳排放監控功能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1(66).png" style="width: 600px;" /></p> <p><strong style="color: rgb(105, 105, 105);">從思科Intersigh儀表板的新功能中，企業可以迅速察看其在不同營運環境中使用思科伺服器的整體IT能耗和功耗，包括每日、每周到每月的能源數據變化都能掌握。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_思科</span></p> <p>進一步來看，思科的Intersight是以SaaS形式提供的管理及服務平臺，在2017年正式推出，可涵蓋UCS系列伺服器以及HyperFlex超融合基礎架構系統。除了提供遠端部署、配置和持續維護功能外，該平臺內建了My Dashboard儀表板工具，經過幾年的發展，於今年新增了Energy &Power功能，可用於管理和監控相關產品的能耗和功耗情況。</p> <p>從思科Intersigh儀表板的新功能中，企業可以迅速察看其在不同營運環境中使用思科伺服器的整體IT能耗和功耗，包括每日、每周到每月的能源數據變化都能掌握，此外，儀表板還提供了可依機箱型態呈現各自能耗的功能，包括機架式伺服器、刀鋒伺服器等，同時，企業還可依不同刀鋒伺服器設備能耗多寡進行排名，優先改善高能耗的刀鋒伺服器，來降低其耗能。</p> <p>每臺伺服器內建感測器，可偵測設備能耗使用的相關數據，透過API將感測器資料傳輸至雲端的 Insight 平臺，以資料視覺化呈現。該儀表板，也提供異常告警功能，一旦</p> <p>企業除了可以透過SaaS服務使用Intersight的功能，也能以虛擬設備形式將其部署到自建環境中提供服務。</p> <p>不過，企業得特別留意，思科目前只開放Intersight Essentials版或以上的訂閱方案，才能加購儀表板功能，並不包含在原本免費對每臺UCS伺服器、HyperFlex系統提供的Intersight Base版的功能中，意謂著，企業需要支付額外費用購買才能開通。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2(59).png" style="width: 600px;" /></p> <p>思科臺灣技術長馮志良表示，企業用戶可以透過Intersight平臺對於伺服器等產品的能源使用進行監控。他進一步指出，根據思科產品發展藍圖，未來Intersight將成為企業資料中心的主要維運管理平臺，不僅限於伺服器等運算設備，還整合網路設備的能耗和碳排使用資訊，使其集中呈現在該平臺上，提供更全面且一致的管理，進而提高產品透明度。</p> <p>不過在還沒整合到Intersight之前，企業則是可透過一套Nexus Dashboard資料中心網路儀表板工具對於網路交換器使用的能源進行監控，思科在最新的3.0版中還新增了永續數據報告的功能，不只能夠用來追蹤和管理Nexus網路交換器設備使用的能耗和成本，還能提供每月碳排放量情況，讓企業可以根據碳排放量大的設備，擬定減量對策。</p> <p>該工具也提供碳排成本預估功能。企業除了可以根據每月成本預估，比較在不同營運據點使用能耗的成本費用，還可以提供每月碳排放的成本預估，快速了解目前在所有碳排放設備中使用低碳的能源的占比，作為未來改善的依據。此外，該儀表板還提供關鍵的永續指標，可供企業根據這些指標了解機房整體網路的電力利用效率，未來還將推出耗電指標PUE的功能。</p> <p>馮志良表示，預計將在2024年第一季度推出的3.1版本中，將支援Panduit的永續報告，而在下半年3.2版中，將擴大支援Vertiv的永續報告功能。</p> <p>Nexus Dashboard Insights工具目前僅提供本地部署方案，不過思科計畫在Networking Cloud平臺中整合Nexus Dashboard Insights工具，讓企業未來也能透過雲端平臺來取得該工具的功能，還計畫在明年推出新的功能，包括能源洞察的功能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/3(54).png" style="width: 600px;" /></p> <p>此外，思科還為所有Webex服務和裝置推出協作管理的裝央儀表板Webex Control Hub。它是一個可以用來管理使用者、權限、通話、會議、傳訊及裝置的單一儀表板。在這個儀表板中最新提供即時碳排放的洞察功能，可以透過硬體和硬體分析，來計算整體的碳排放的情況，不僅提供雲端服務使用碳排放和裝置使用的碳排放，還能提供減碳建議。</p> <p>近年來，思科在硬體產品設計方面也積極強化減碳和節能設計，以UCS整合運算伺服器系統為例，思科不僅持續在設計上進行優化，改進機箱設計達到更佳的空氣流動，進而提高散熱效率，降低整體能耗。根據思科的產品路線圖，他們計畫在明年初推出水冷散熱的方案。</p> <p>在晶片設計方面，思科也進行了改良，以進一步提高能源效率。舉例來說，Cisco Nexus 9800系列在電力耗損方面優於Nexus 7000系列，僅為其六十分之一，每1GB的傳輸，平均僅需0.23瓦的能耗。</p> </div></div></div>
2023/11/23 17:13作者余至浩https://www.ithome.com.tw/news/159928
資安研究人員成功繞過Windows Hello指紋身分驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門從事安全工程與進攻性安全研究的<a href="https://blackwinghq.com/blog/posts/a-touch-of-pwn-part-i/" target="_blank">Blackwing Intelligence接受了微軟的委託</a>，負責評估3臺筆電上用來支援Windows Hello指紋身分驗證的3款指紋感應器，研究人員透過軟體與硬體的反向工程，在3個月內攻陷了相關裝置，成功繞過Windows Hello的指紋身分驗證機制。</p> <p>Windows Hello為微軟所開發的身分驗證機制，應用於Windows 10與Windows 11作業系統，允許使用者透過人臉辨識、指紋辨識或PIN碼來取代密碼輸入。而被用來測試的3臺筆電及指紋感應器品牌，分別是採用Goodix感應器的Dell Inspiron 15、使用Synaptics感應器的Lenovo ThinkPad T14s，以及採用ELAN感應器的Microsoft Surface Pro X。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1123-windows%2011-windows%20hello.png" style="width: 600px;" /></p> <p>Windows Hello使用了兩項關鍵的安全技術，一是Match on Chip（MoC），將指紋資訊存放於感應器晶片上，並直接於晶片上進行比對，可防範駭客直接將有效指紋傳送至主機比對的攻擊，二是微軟特別針對指紋感應器所開發的安全裝置連線協定（Secure Device Connection Protocol，SDCP），以避免駭客利用偽造的感應器來與主機通訊。</p> <p>然而，研究人員發現，裝置製造商似乎誤解了SDCP的某些目的，再加上SDCP僅覆蓋裝置日常操作之非常狹隘的範圍，而大多數裝置都曝露了大範圍的攻擊面，並未受到SDCP的保護。此外，除了Goodix針對SDCP提供了良好支援之外，Synaptics僅具備部分的SDCP支援，而微軟自家Surface Pro X所採用的ELAN並未支援SDCP。</p> <p>在Dell（Goodix）與聯想（Synaptics）筆電上，研究人員藉由枚舉有效ID，再利用合法Windows用戶的ID來註冊攻擊者的指紋，成功繞過身分驗證機制。</p> <p>而Surface Pro X的指紋辨識則有賴Microsoft Surface Pro Type Cover，這是一個內建指紋感應器的外接鍵盤，研究人員原本以為這是最難攻陷的裝置，因為它是由微軟設計與開發的產品，卻發現它所採用的ELAN指紋感應器並不支援SDCP，與裝置之間是透過明文的USB通訊，而且不必驗證身分，這代表任何USB設備都可以宣稱自己是ELAN感應器，並假裝自己是授權用戶以登入電腦。</p> <p>有趣的是，主機唯一檢查的是感應器所知道的指紋數量是否與主機上所紀錄的一致，以用來判斷使用者是否插入了錯誤的Type Cover，但駭客只要查詢原來的感應器就可繞過此一限制。</p> <p>Blackwing Intelligence最終的結論是，生物辨識身分驗證非常好用，但建議那些生產相關解決方案的業者應確保已啟用SDCP，同時聘請第三方專家來審核相關部署。</p> </div></div></div>
2023/11/23 16:08作者陳曉莉https://www.ithome.com.tw/news/159979
永豐銀行IT將Copilot導入開發流程中，不只協助開發者迅速上手新專案、解釋程式碼，還能支援維運腳本開發和技術驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>程式開發應用生成式AI技術已經是常見的生成式AI應用之一，不只在國外廣泛應用，在臺灣，不少企業內部的IT團隊已經或正評估採用，其中包括金融業。永豐銀行也是最新一家導入這項技術的臺灣金融業者，將它應用內部開發流程上，並發展出4大應用情境，包括優化既有專案、協助新專案開發，以及支援維運腳本開發和工作技術驗證等工作。</p> <p>2020年時，永豐銀行啟動了數位轉型的計畫，2年後進一步提出4大發展策略，以加速推動數位變革。永豐銀行更將雲端和AI視為是該公司推動數位變革的兩大關鍵，打造多元應用與創新服務。</p> <p>近年來，永豐銀行已經將AI應用在不同金融業務場景，舉例來說，他們建立AI異常帳戶監測機制，利用AI偵測有無交易異常的帳戶，提供即時預警，或是透過AI輔助分析，強化對於詐騙交易的辨識，防範詐騙行為等。</p> <p>除了應用AI優化內外部服務，永豐銀行也將這項技術同時運用在IT部門，協助開發人員提高開發效率，尤其在過去，許多開發人員在程式開發過程中遇到問題時，常常需要到不同的社群網站和搜尋引擎尋求協助，進行多方測試及驗證，這種方法不僅耗時，也缺乏效率，因此，IT部門希望透過AI技術，讓使用者能夠以自然語言詢問AI，迅速獲得所需的答案。</p> <p>今年8月底，經內部評估和規畫後，永豐銀行決定導入能提供程式撰寫輔助的生成式AI助手GitHub Copilot，將其應用於內部開發流程中，讓開發人員可以更快解決程式開發問題，從而提高開發效率，同時加速金融創新。</p> <p>永豐銀行資訊處資深協理沈志成表示，導入這項技術不僅僅是為了激發了開發人員的創造力，更希望透過AI工具的輔助，提升他們的工作成就感和幸福感，進而提升顧客使用體驗。</p> <p>截至目前，永豐銀行IT部門一共發展出4大生成式AI應用情境，包括既有專案優化、協助開發新專案、維運腳本開發以及工作技術驗證。</p> <p>在現有專案優化方面，永豐銀資訊團隊使用生成式AI助手對DAWHO數位帳戶後臺數據進行檢驗，使其能夠快速找出潛在問題，提出具體優化建議，進而簡化系統程式的維護作業。此外，在新專案開發上，也有開發人員在進行智慧收支帳本相關應用開發時，利用生成式AI協助其修改MongoDB資料庫的JavaScript語法，省去了需自行搜尋答案的步驟。</p> <p>資訊團隊不僅將生成式AI助手用於輔助新舊應用的開發和優化，同時還應用在維運腳本的開發上，包括協助開發人員規畫設定YAML語法等容器化技術工具，同時驗證其正確率和建議參數等，還用於進行系統中使用不同程式語言（如C#、Python、JavaScript、SQL等）轉換的技術驗證。</p> <p>經過一段時間的使用後，發現使用效果不錯，使得開發團隊的開發時間平均縮短了40%至60% ，不僅節省IT開發時間，同時也代表永豐銀行能更快速推出新功能和服務，以滿足市場和客戶需求。</p> <p>不過，考慮到的資安，永豐銀行一方面透過GitHub Copilot服務本身的資安機制加強人員授權與登入管控，確保不留存程式與往來問答內容，一方面設定禁用參照所有網路上的開源程式碼，避免智慧財產權爭議，也透過生成式AI助手篩選程式安全漏洞，提供自動封鎖不安全的程式碼建議。</p> </div></div></div>
2023/11/23 14:58作者余至浩https://www.ithome.com.tw/news/159978
微軟公布Orca 2小模型，推論能力不輸大型LLM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/research/blog/orca-2-teaching-small-language-models-how-to-reason/" target="_blank">微軟本周公布</a>Orca 2，號稱為參數僅130億的小模型，可經由模仿更大語言模型的推理方法，在測試中也顯示推理能力不輸給大它10倍的模型。</p> <p>Orca 2是微軟今年年中推出<a href="https://www.ithome.com.tw/news/157274" target="_blank">第一代Orca</a>後，探索參數在100億以下的小型語言模型的最新成果。目前微軟已經在Hugging Face上開源<a href="https://huggingface.co/microsoft/Orca-2-7b" target="_blank">70億</a>和<a href="https://huggingface.co/microsoft/Orca-2-13b" target="_blank">130億</a>參數的Orca 2供研究或試用。</p> <p>微軟指出，LLM如GPT-4及PaLM等具有很強的推論能力，以便回答複雜問題，生成解釋，或解決多步驟推論的任務。但較小模型往往欠缺這類能力，這也是微軟Orca 2專案的目的；他們希望利用對LLM的知識來提升小模型的能力。</p> <p>Orca 2的2個版本都是由Llama 2基礎模型以大量合成資料客製訓練而成。訓練Orca 2的資料集是由更強大的教師模型（teacher model）生成。這些資料是教師模型在詳細指令甚至多次詢問後的回應結果。研究人員希望學生模型（Orca 2）學習這些回應的推論過程及策略。最後，教師模型教導Orca 2多項推理技巧，包括多步處理、回憶－推理－生成，擷取－生成，以及直接回答方法，也教它為不同任務選擇不同解決策略。</p> <p>在訓練成後，研究人員利用15種標竿測試，包括近100種任務及超過3.6種不同零樣本測試用例，來評估Orca 2。標竿測試涵蓋語言理解、常識推理、多步驟推理、數學解題、閱讀測驗、摘錄重點、貼近真實性，以及有毒內容的生成及辨識。</p> <p>評估結果顯示，Orca 2效能大幅超越同樣大小的模型，包括第一代Orca，而在處理複雜推論的零樣本環境測試中，表現和5到10倍大的大型語言模型（LLM）接近，甚至超過。</p> <p class="rtecenter"><a href="https://www.microsoft.com/en-us/research/uploads/prod/2023/11/orca2-final.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1123-Orca-2-microsoft-600.png" style="width: 600px;" /></a></p> <p><a href="https://www.microsoft.com/en-us/research/uploads/prod/2023/11/orca2-final.png" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></a></p> <p>微軟研究人員指出，Orca 2的成功關鍵在於使用多種推論策略，找出不同任務最適用的解決方案，以及使用高品質的合成資料作為後續訓練（post-training）。雖然Orca 2承襲基礎模型及其他模型共通的限制，不過Orca 2突顯了小模型也能具備良好的推理能力，以及可控、可專化，也更具安全性。</p> </div></div></div>
2023/11/23 11:23作者林妍溱https://www.ithome.com.tw/news/159963
OpenAI ChatGPT語音功能開放給所有用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在上演5天內執行長被炒、出走微軟、再回鍋的劇碼同時，<a href="https://twitter.com/OpenAI/status/1727065166188274145" target="_blank">OpenAI昨（22）日宣布</a>ChatGPT語音輸入、輸出功能開放給所有用戶。</p> <p><a href="https://www.ithome.com.tw/news/158968" target="_blank">OpenAI 9月即已開放</a>語音輸出/輸入，以及圖片輸入給ChatGPT Plus及Enterprise用戶，但直到現在才將語音功能推向免費用戶。使用者下載ChatGPT App到手機上，點擊耳麥圖像啟動語音輸出、輸入，即可和這個聊天機器人對話互動</p> <p>不過根據<a href="https://help.openai.com/en/articles/8400551-image-inputs-for-chatgpt-faq" target="_blank">OpenAI FAQ網頁</a>，圖片輸入目前仍只提供給ChatGPT Plus與Enterprise帳號用戶。</p> <p>今日起，OpenAI的營運及功能推出可望恢復正常，因為<a href="https://www.ithome.com.tw/news/159962" target="_blank">OpenAI昨日宣布</a>創辦人Sam Altman回鍋執行長一職，並成立新的董事會，結束了5天的高層人事變動，以及公司組織動盪。</p> </div></div></div>
2023/11/23 11:57作者林妍溱https://www.ithome.com.tw/news/159964
新版Bard可協助使用者解答YouTube影片內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://bard.google.com/updates" target="_blank">Google周二（11/21）更新</a>了旗下的生成式AI服務Bard，新版Bard將可理解YouTube影片內容以便提供解答。</p> <p>為了因應OpenAI的ChatGPT，Google在今年3月推出了Bard服務，並持續增添各種新功能，從最基本的搜尋網路以解答問題，到協助使用者撰寫程式碼，匯出由Bard生成的內容，於生成結果中展示圖像及表格，支援文字轉語音，於提示中輸入圖像，以及整合使用者的Gmail、Docs與Drive內容等。</p> <p>其實今年9月Google即讓Bard支援YouTube，但當時僅允許Bard搜尋YouTube影片，這次則是讓Bard理解YouTube影片內容，等於是替使用者觀看YouTube，再提供解答，例如在使用者找到一個製作橄欖油蛋糕的YouTube影片時，可直接詢問Bard「該影片的食譜用了幾個蛋？」。</p> <p>目前Google仍在測試Bard，供大眾免費試用，尚未發表付費訂閱版本，迄今已支援包括臺灣與繁體中文在內的逾180個國家及26種語言。</p> </div></div></div>
2023/11/23 12:08作者陳曉莉https://www.ithome.com.tw/news/159965
Sam Altman宣布重返OpenAI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在OpenAI<a href="https://www.ithome.com.tw/news/159901" target="_blank">於上周五（11/17）開除</a>共同創辦人暨執行長Sam Altman之後，本周二晚上<a href="https://twitter.com/OpenAI/status/1727206187077370115" target="_blank">（11/21）透過X宣布</a>Altman將重返OpenAI擔任執行長一職，且OpenAI也正重組董事會。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1122-openai%20tweet(1).png" style="width: 600px;" /></p> <p>OpenAI的董事會原本有6名成員，當中有3名為OpenAI的共同創辦人，包括執行長Altman、技術長Greg Brockman與科學長Ilya Sutskever，另外3名則是Quora執行長Adam D’Angelo、美國企業家與機器人工程師Tasha McCauley，以及喬治城安全與新興技術中心的策略總監Helen Toner，上周五該董事會同時辭退了Altman與擔任董事會主席的Brockman。</p> <p>OpenAI本周發布了3 名初始董事會成員，舊董事只有Adam D'Angelo留任，另外兩位則是曾擔任Salesforce執行長的Bret Taylor，以及曾為美國財政部長的Larry Summers。</p> <p>對於這幾天的發展，Altman表示，他喜歡OpenAI，過去幾天他所做的事都是為了保持OpenAI團隊及其使命的完整，當他在周日（11/19）晚上決定加入微軟時，很清楚這是他與團隊的最佳道路，但現在有了新董事會與Satya（微軟執行長Satya Nadella）的支持，期待回到OpenAI。</p> <p>幾乎是在第一時間宣布與Altman同進退的Brockman，<a href="https://twitter.com/gdb/status/1727208843137179915?s=46&t=npsjJospPVbCcfoL_2IUlA" target="_blank">也宣布要回到OpenAI</a>，並說晚上就要開始寫程式了。</p> <p class="rtecenter"><a href="https://twitter.com/gdb/status/1727230819226583113" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1123-greg%20brockman%20opena%20return.png" style="width: 600px;" /></a></p> <p><a href="https://twitter.com/gdb/status/1727230819226583113" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Greg Brockman on X ( formerly Twitter)</span></span></a></p> <p>幾天前招募Altman與Brockman的<a href="https://twitter.com/satyanadella/status/1727207661547233721" target="_blank">微軟執行長Satya認為</a>，OpenAI董事會的變化將是該公司邁向更穩定、資訊充足及有效治理的首個重要步驟，未來Altman與Brockman仍將於OpenAI的領導團隊中扮演關鍵角色，以確保OpenAI持續茁壯。</p> <p><a href="https://www.wsj.com/tech/openai-says-sam-altman-to-return-as-ceo-766349a5?mod=followamazon" target="_blank">《華爾街日報》</a>（The Wall Street Journal）引述消息來源報導，新的OpenAI董事會最多可能會再新增6名董事成員，此外，前董事會與Altman陣營也已同意要針對此事展開獨立調查，從Altman的行為、董事會開除Altman的決定，一直到整件事的後果等。</p> <p>當了3天OpenAI臨時執行長的<a href="https://twitter.com/eshear/status/1727210329560756598" target="_blank">Emmett Shear則說</a>他對這個結果感到非常滿意，也很開心成為此一解決方案的一部分，還搞笑地在X上把自己的頭銜改成「前OpenAI臨時執行長」（interim ex-CEO of OpenAI）。</p> </div></div></div>
2023/11/23 10:53作者陳曉莉https://www.ithome.com.tw/news/159962
Cloud周報第189期：FinOps基金會釋出FOCUS 1.0的預覽版，要打通不同公雲計費資料格式差異，建立統一互…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（11/16～11/22）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 公雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 政府數位韌性 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">行政院公布關鍵民生系統韌性推動策略，將用4年將18項關鍵民生系統核心功能全部上公雲</span></strong></p> <p>借境烏克蘭戰爭的經驗，行政院近日正式對外<a href="https://www.ithome.com.tw/news/159872">公布了政府關鍵民生系統韌性推動策略</a>，將分4年、共投入13億元，將18項關鍵民生系統核心功能全部搬上跨境公雲，強化政府數位韌性。</p> <p>這項計劃，將從明年開始推動，並在2027年完成執行。根據行政院的規畫，將針對如衛福部健保系統、內政部入出境管理系統等18個關鍵民生系統強化其數位韌性。在韌性做法上除了會將這些關鍵系統的核心功能上雲，還會採用加密分持備分機制，強化資料加密和保護，以便遇到大規模災害發生時，政府可維持社會運作的基本數位服務。</p> <p>該計畫分3個目標，首先在平時維持系統在雲端的高可用性、採用資料加密分持備分，接著在災害發生的當下，保存關鍵民生系統與資料，維持系統核心功能與資料可用。在災後更需確保能迅速重建系統、回復服務。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span></strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數據隱私 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Google Cloud推出Vertex AI的資料落地功能，強化資料主權和法規監管要求</span></strong></p> <p>不少企業對使用雲端生成式AI服務存有資料隱私的疑慮，而影響其採用意願。為此，Google Cloud最近針對其生成式AI開發服務Vertex AI推出資料落地（Data Residency）功能，讓企業用戶未來使用Vertex AI開發模型時可以選擇將內部資料儲存在境內，確保這些資料不出境，強化資料主權和滿足企業監管要求。</p> <p>透過這項新功能，企業在Vertex AI平臺上使用PaLM 2、Codey以及Imagen等模型時，可以指定將模型開發過程中使用的這些靜態資料記錄儲存在其選擇的區域內。Google目前提供了北美、歐洲和亞洲10個可用國家及地區，其中亞洲包括了日本、新加坡、韓國，但尚未包含臺灣。</p> <p>除了新推出資料落地選擇，Google重申用戶擁有控制自家資料和模型存取權限及儲存地點的能力，並且承諾不會在未經許可的情況下以用戶的資料訓練模型。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端AI處理器 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">微軟公布首款Arm架構處理器Cobalt 100，擁有高達128心，將用於執行Azure通用運算及生成AI任務</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961_Cloud%E5%91%A8%E5%A0%B1(4)(3).png" style="width: 600px; height: 316px;" /></p> <p>近日在Ignite大會上，微軟一口氣介紹了兩款自行設計的處理器晶片，分別為Arm架構處理器Cobalt 100，和AI加速器Maia 100。微軟明年初開始將部署這兩款晶片到Azure公雲，用於執行生成式AI對話應用Copilot及Azure OpenAI服務。</p> <p>最新推出的Cobalt 100是一款64位元處理器，擁有高達128核心。微軟表示，與Azure所使用的其他Arm架構晶片相比，Cobalt 100的耗電量降低了40%，它也是微軟首款Cobalt系列處理器，除了可用於執行Azure上的通用型運算任務，微軟目前已將它應用於Teams及Azure SQL服務中使用。</p> <p>與此同時，微軟還宣布另一款名為Maia 100的AI加速器，採用先進5奈米製程，內含有1,050億顆電晶體，微軟表示，這個AI加速器專為執行AI及生成式AI而設計，目前已提供作為OpenAI大型語言模型執行來運用。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">FinOps基金會 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端財務成本 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">FinOps基金會釋出FOCUS 1.0的預覽版，要解決不同公雲計費資料格式差異建立統一標準</span></strong></p> <p>企業大舉上雲，開始採用多雲後，如何整合和管理不同公雲服務的維運成本是個挑戰。最近，FinOps基金會釋出預覽版的FOCUS 1.0標準，透過這個新標準，企業未來將更容易追蹤雲端成本費用和預測未來的支出，更有助於解決不同公雲服務計費資料集格式的差異，而無法互通的問題，建立統一且一致的標準。</p> <p>FinOps基金會是Linux 基金會於三年前發起的一項專案，用以促進雲端財務管理領域的發展，其成員包含了亞馬遜AWS、微軟Azure、GCP等逾1,500家企業。該基金會在今年5月推出了FinOps開放成本和使用規範FOCUS（ FinOps Open Cost and Usage Specification），並在11月下旬推出1.0版。</p> <p>FOCUS標準定義了如何建構雲端計費資訊的通用規則，同時，它還建立了統一的資料術語，統一不同公雲計費資料格式之間的差異，使其標準化。</p> <p>新推出1.0版的FOCUS標準，企業不僅更容易取得不同公雲平臺的計費數據，還能夠支援整合來自軟體即服務應用程式的計費數據，並透過其提供的開源元件，在資料匯入財務平臺之前檢查其準確性。</p> <p>除了技術改進之外，1.0版還包含了各種FinOps應用範本，並提供了40多分教學指南，示範如何將該標準應用於常見的雲端財務場景。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Azure Boost </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端硬體升級 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">微軟正式推出雲端硬體升級服務Azure Boost，改善VM的效能和安全</span></strong></p> <p><strong><span style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(3)(3).jpg" style="width: 600px; height: 296px;" /></span></strong></p> <p>除了推出Azure專用晶片，微軟在Ignite大會上宣布Azure Boost硬體升級服務的正式推出。根據微軟的說明，Azure Boost是微軟設計的一套系統，其目的是將傳統上由hypervisor執行的伺服器虛擬化程式卸載到特定軟體和硬體上，藉此減少對於虛擬機CPU資源的使用，進而提升其效能。</p> <p>在Azure Boost服務中，包含了多種功能，改善VM的效能和安全性。例如在儲存體方面，可藉由卸載儲存體作業到Azure Boost FPGA晶片上執行達到效能提升，微軟宣稱，配備Azure網路適配器MANA和Azure-Boost的Ebsv5實例，每個執行個體最大的SSD硬碟效能的IOPS（每秒讀寫次數）可達到260,000，若是Ev4系列虛擬機的效能也有達80,000 IOPS 。</p> <p>此外，在網路功能上亦有所提升，Azure Boost包含一套軟體和硬體網路系統，可提供最多每秒200 Gb網路頻寬，同時注重網路安全性。</p> <p>Azure Boost目前已能在17種Azure執行個體類型上執行，並且可適用於Linux和Windows的虛擬機器。微軟表示，未來將擴大到更多現有的虛擬機器類型上提供。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Salesforce </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 服務雲 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Salesforce推出Service Intelligence，提供整合生成式AI的服務雲智慧新服務</span></strong></p> <p>雲端CRM巨頭Salesforce最近在Service Cloud服務雲中推出一項新服務Service Intelligence，該服務是以該公司即時大規模數據引擎Data Cloud為基礎打造，並且結合了Einstein生成式AI對話功能，能夠分析業務人員與客戶對話或Email往反資訊，以此提供相關建議和做法。</p> <p>在該服務中，還內建了視覺化服務儀表板，在儀表板中可以顯示Einstein分析的相關洞察和不同案例的關鍵指標，包括客戶升級的案件數、平均結案時間、客戶滿意度評分等，以此作為改善與客戶互動的參考，或提供更多人手支援，進而提高客戶滿意度。</p> <p>該服務也與Tableau分析平臺整合，能將Tableau中內建的視覺化圖表整合到服務儀表板中來呈現，或是能直接從Tableau平臺中搜尋所需的資料。</p> <p>Salesforce未來計畫在Service Intelligence中推出更多智慧化互動功能，例如將推出Copilot for Service功能，可用自然語言向Einstein詢問智慧儀表板中的相關內容，還有能協助解決客訴問題的Einstein Studio功能等。</p> <p> </p> <p>圖片來源／微軟Azure</p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.微軟公布製作逼真虛擬化身的Azure AI工具</strong></p> <p><strong>2.Google雲端更新HPC工具包，加速AI和機器學習運算資源配置</strong></p> <p><strong>3.愛立信與紅帽合作，推出可以整合OpenShift平臺的Cloud RAN解決方案</strong></p> <p><strong>4.SAP HANA Cloud資料庫即服務現在已能夠在AWS Graviton處理器執行個體上執行</strong></p> <p><strong>資料來源：iThome整理，2023年11月</strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2023/11/23 10:54作者余至浩https://www.ithome.com.tw/news/159961
Rust 1.74強化套件註冊表認證安全，還在Cargo新增Lint配置選項
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>甫推出的<a href="https://blog.rust-lang.org/2023/11/16/Rust-1.74.0.html">Rust 1.74</a>，更新重點包括Cargo中新增了Lint配置選項，還在Cargo引入憑證提供者，以及經過認證的私有註冊表功能，強化了安全性，而在Rust新版本中，編譯器現在支援不透明回傳類型。同時，Rust也提升對Apple平臺作業系統的最低版本要求。</p> <p>Rust 1.74現在允許開發者在Cargo.toml檔案中，透過[lints]表格配置編譯器，和其他工具的Lint報告等級，諸如禁止、拒絕、警告和允許。這代表著開發者現在可以在套件清單中，直接指定Lint規則，不再需要透過可能會影響整個建置的RUSTFLAGS旗標，或是以Crate層級屬性設定。</p> <p>新方法提供開發者更為細緻的控制，並且可以在工作空間層級進行配置，然後由單一套件繼承。Cargo會追蹤配置的更改，並且決定需要重建的Crate。</p> <p>這個版本還新增了兩項和Cargo註冊表認證相關的安全功能，分別是憑證提供者，以及經過認證的私有註冊表。憑證提供者允許開發者配置Cargo以取得註冊表認證，支援Linux、macOS和Windows作業系統的安全密碼儲存，而且開發者也可以編寫自定義提供者，以儲存和產生令牌。官方表示，使用憑證提供者功能，可以減少註冊表令牌洩漏的風險。</p> <p>除此之外，註冊表現在可以選擇性地要求所有操作都需要進行認證，而不單只有發布操作而已。官方提到，這使得私有Cargo註冊表可以提供更加安全的Crate託管服務。不過要使用私有註冊表，則需要配置憑證提供者。</p> <p>在之前Rust編譯器並不允許在像是async fn和-> impl Trait等不透明回傳類型中，提及Self或是父作用域生命周期相關的關聯類型（Associated Type），官方提到，這樣的限制在特定情況，可能會讓造成程式碼編寫的困難。</p> <p>而在最新的Rust 1.74中，這個限制被移除，也就是在上述情況下，開發者已經可以使用Self和關聯類型，如此便提高了程式碼的表達能力和靈活性。該功能之前被標記為不穩定，但在官方解決相關問題，並且經過充分測試後，現在已經穩定。</p> <p>Rust 1.74版本還提高對Apple平臺最低版本的要求，現在最低作業系統支援版本為macOS 10.12 Sierra、iOS 10和tvOS 10。這三個版本都在2016年的時候首次推出，該更新代表使用Rust 1.74之後版本開發的應用程式，將不支援在這些版本之前的作業系統上運作。</p> </div></div></div>
2023/11/23 08:28作者李建興https://www.ithome.com.tw/news/159959
Stability AI推出可生成影片的模型Stable Video Diffusion
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Stability AI新模型<a href="https://stability.ai/news/stable-video-diffusion-open-ai-video-model">Stable Video Diffusion</a>是一個可接收使用者文字指令，生成影片和圖像的擴散模型。目前官方釋出預覽版供研究使用，程式碼已經在GitHub上公開，而執行模型所需要的權重，官方也公布在Hugging Face上。</p> <p>Stable Video Diffusion是第一個以Stable Diffusion模型作為基礎的影片生成模型，官方在其研究論文提到，近來研究人員在原本用於2D圖像生成的潛在擴散模型（Latent Diffusion Model，LDM），加入時間層，並且使用小型、高品質的影片資料集加以訓練，試圖將其改造成影片生成模型。</p> <p>而Stability AI這個最新的研究，則進一步定義出訓練影片LDM的三個階段，分別是文字到圖像的預訓練、影片預訓練，最後則是高品質影片的微調。研究人員強調，經過良好整理的預訓練資料集，對於產生高品質影片非常重要，甚至還提出一套包括標題製作和過濾策略的系統性整理流程。</p> <p>研究人員也展示了在高品質資料上微調基礎模型的影響，並訓練出能夠和閉源影片生成模型相匹敵的文字轉影片模型。Stable Video Diffusion還可用於圖像轉影片的生成任務，並且展現出強大的動作表示能力，且適用特定相機運動的LoRA模塊。</p> <p>目前Stability AI釋出兩個Stable Video Diffusion版本，分別是能夠生成14影格以及25影格的模型，用戶可以自訂每秒影格數在3到30之間。雖然高影格數的影片看起來更順暢，但是在目前的模型限制下，如要產生每秒達30影格數的影片，則兩個模型產生的影片長度皆會少於1秒鐘。</p> <p>不過，官方將這些基礎模型與其他閉源產品相比較，在用戶的偏好研究中，Stable Video Diffusion的表現都較目前市面上的產品還要好。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Graph%2BSVD%2Bv%2BCompetition0.jpg" style="width: 580px;" /></p> </div></div></div>
2023/11/23 08:49作者李建興https://www.ithome.com.tw/news/159960
【資安日報】11月22日，勒索軟體Phobos打著資安社群的名義，鎖定Windows電腦發動攻擊，聲稱受害者復原檔案要…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">勒索軟體攻擊事故頻傳，在本日的新聞當中，就有3起這種型態的資安事故，其中，最值得留意的部分，是駭客聲稱自己是某個知名資安組織的情況，顯然是為了抹黑他們，意圖挑撥、分化整個社群，削弱整體防禦力量。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">值得留意的是，這些駭客犯案的過程中，不僅盜用該組織的名稱，還大肆透過勒索訊息進行嘲笑，甚至是要求受害者購買該資安組織撰寫的書籍。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【攻擊與威脅】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/vx-underground-malware-collective-framed-by-phobos-ransomware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Phobos鎖定資安社群VX-Underground而來</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/F_YhvgQXMAAu5qg.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/F_YhvgQXMAAu5qg.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，資安入口網站PCrisk的研究人員發現勒索軟體Phobos的變種，但值得留意的是，這些駭客假冒資安研究社群VX-Underground的名義行兇，一旦電腦感染此勒索軟體、檔案被加密之後，副檔名會被改為帶有VXUG（該社群名稱縮寫）的特定字串。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">而對於駭客留下的勒索訊息，Bleeping Computer取得勒索軟體進行分析，發現有2種型式的檔案，其中一種是純文字檔案，並強調解密密碼並非「infected」（研究人員打包惡意程式樣本所使用的密碼）；另一種是HTML應用程式檔案（HTA），檔案名稱提及要求購買VX-Underground著作Black Mass。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資料來源</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">1. <a href="https://twitter.com/pcrisk/status/1726482750704619786">https://twitter.com/pcrisk/status/1726482750704619786</a><br /> 2. <a href="https://twitter.com/vxunderground/status/1726604821242040407">https://twitter.com/vxunderground/status/1726604821242040407</a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://adlumin.com/post/playcrypt-ransomware-as-a-service-expands-threat-from-script-kiddies-and-sophisticated-attackers/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客組織Play將其工具提供出租，吸引更多打手加入</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資安業者Adlumin披露勒索軟體Play（亦稱PlayCrypt）近期的動態，他們發現該組織已發展出攻擊工具租用的服務（RaaS）。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">使用此勒索軟體的駭客似乎依照該組織提供的操作指南，按部就班發動攻擊，所有的攻擊行動幾乎採用相同的策略、技巧、流程（TTP），其中一種是使用電腦共用的音樂資料夾來隱匿檔案，另一個則是採用幾乎相同的密碼建立高權限帳號。研究人員之所以發現這項趨勢，起因是過往該駭客組織主要的攻擊目標是政府機關，但今年8月起，該勒索軟體的攻擊行動竟突然擴及不同的產業，而且，這些駭客都使用相同的TTP，導致這些攻擊行動的入侵指標（IOC），彼此之間幾乎無法區分。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">為何會出現這樣的轉變？研究人員認為，該組織可能吸引不少「只會套用腳本的新手（Script Kids）」買單，這些人是花錢買兇、租用此勒索軟體從事攻擊行動，而非本身熟悉或能自行開創攻擊技術的專家。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://twitter.com/AlvieriD/status/1726125990319960262"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國NASA、空中巴士合作夥伴Autonomous Flight Technologies遭勒索軟體駭客BlackCat鎖定</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資安人員Dominic Alvieri透露，勒索軟體駭客組織BlackCat聲稱入侵無人機系統製造商Autonomous Flight Technologies（AFT），很可能將竊得的資料賣到美國國外。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">值得留意的是，該公司與美國太空總署（NASA）、空中巴士、諾斯洛普格魯曼（Northrop Grumman）等業界龍頭，合作關係相當密切，這起事故造成的後續效應有待觀察。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://blogs.vmware.com/security/2023/11/netsupport-rat-the-rat-king-returns.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">木馬程式NetSupport RAT鎖定政府機關、企業組織而來</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/NetSupportRAT_Figure-1-Chrome-NSR.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/NetSupportRAT_Figure-1-Chrome-NSR.png" style="width: 300px; float: right;" /></a>VMware旗下的威脅情報團隊揭露近期NetSupport RAT木馬程式的攻擊行動，研究人員在最近幾個星期裡，觀察到超過15起與此有關的資安事故，大部分受害者來自教育機構、政府機關、商業服務單位。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">駭客架設瀏覽器更新的冒牌網站，並引誘使用者上當，一旦依照指示按下網站上的更新按鈕，電腦就會觸發網站當中的PHP指令碼，繼而下載JavaScript惡意酬載。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">此JavaScript指令碼會與C2網站建立連線，然後呼叫PowerShell執行受到混淆處理的命令，從另一個網域下載Base64編碼處理的資料，並在記憶體內進行解碼，還原成名為p.zip的壓縮檔，其內容就是NetSupport RAT的有效酬載。駭客將其部署於受害電腦，從而進行控制。</p>  <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://news.cts.com.tw/cts/general/202311/202311212254630.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中心綜合醫院傳出掛號系統無法使用、預約資料消失，疑遭網路攻擊所致</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">根據華視新聞的報導，位於臺北市東區的中心綜合醫院，傳出在11月18日遭到惡意人士發動的網路攻擊，導致民眾看診無論是否有事先預約，都必須依照醫護人員的指示進行現場掛號，透過人工作業的方式進行。有人從掛號到領藥，就耗費超過2個小時，院內多處張貼相關的公告，指出他們的預約系統資料發生遺失的情況。醫院工作人員透露，原因是掛號系統系統異常，先前掛號都要重新登記。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">中心綜合醫院公共關係組組長孫平社證實系統當機的情況，並指出事件於18日發生，他們與合作廠商陽明科技著手搶修掛號系統，20日約有半數恢復，但當日晚間該系統又出現病毒感染的情況。至於病人個資是否遭到外洩？中心綜合醫院、陽明資訊並未正面回應。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">針對此事我們也向中心綜合醫院進行確認，孫平社表示22日大部分系統已恢復正常運作，而對於資料外洩的疑慮，她表示涉及資訊專業，不便說明。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://info.liontravel.com/category/zh-tw/notice/index?fr=cg8613C0301M01"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">旅遊業者雄獅證實遭遇網路攻擊事件，客戶採購資訊外流，但不含信用卡資料</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">國內旅行社龍頭雄獅11月20日傳出遭到網路攻擊，根據該公司網站的公告指出，他們單天凌晨偵測到攻擊行動，不明人士入侵其網路環境，他們啟動資安防禦機制進行事件回應作業，並向主管機關及檢調單位進行通報。該公司著手調查後，發現攻擊者存取的資料包含客戶姓名、聯絡方式、購買商品內容，但不含信用卡等機敏資料。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">他們也透過簡訊、電話語音、網站、電子郵件等方式對客戶進行呼籲，這起資安事故可能會帶來後續的網路詐騙攻擊，強調該公司及旅遊商品供應商不會透過電話要求提供信用卡資料、要求ATM轉帳，或是因為訂單錯誤、重覆交易要求提供帳戶資料。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=172115&SPOKE_DATE=20231120&COMPANY_ID=2731">同日傍晚雄獅也於股市公開觀測站發布重大訊息</a>，指出這起攻擊事故並未對公司營運造成重大影響。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.judicial.gov.tw/tw/cp-1693-987065-7321a-1.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">司法院針對判決資料外洩事故做出新的說明</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/1qmprtp0dsfe1bkgfhv92rkevtvt.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/1qmprtp0dsfe1bkgfhv92rkevtvt.jpg" style="width: 300px; float: right;" /></a>11月13日民報披露司法院內部電腦遭駭，司法院回應遭駭主機不提供民眾註冊、不儲存裁判書，也沒有內網密碼及判決書遭到公開的情況。21日該媒體提出新事證，<a href="https://www.peoplenews.tw/articles/90b5966efe">他們公布目前掌握的資料</a>，指出遭駭電腦不僅曝露管理員密碼，外流的判決書含有未成年子女的姓名。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">對此司法部坦承，他們再度檢視外洩資料發現，部分案件的主文公告含有裁判書理由內容，有些主文公告也含有個資，他們找到923件外洩<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">個資</span><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">，將儘速請各法院進行確認，並根據個資法通知個資所有人。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【資安防禦措施】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://taiwan.googleblog.com/2023/11/googleorg.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">支持資安院啟動臺灣資安計畫，Google資助1百萬美元</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/NICS Cybersecurity Grant with Support from dot Org.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NICS%20Cybersecurity%20Grant%20with%20Support%20from%20dot%20Org.jpg" style="width: 300px; float: right;" /></a></p> <p>Google旗下的慈善組織Google.org將挹注1百萬美元，支持國家資通安全研究院（NICS）啟動的NICS臺灣資安計畫。</p> <p>此計畫由資安院規畫執行，區分為下列三大階段：</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">（一）調查、研究臺灣資安領域的需求；<br /> （二）建立教材、訓練種子講師與諮詢團隊；<br /> （三）替資源有限的中小微型企業與非營利組織盤點資源、培訓人員，並提供實地輔導。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資安院的目標，是在2年內製作出指引報告、觸及3千個組織，持續製作教材、培育50位種子講師，並且訓練200位學生成為諮詢人員，協助我國3千間以上中小微型企業、非營利組織強化資安防護。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【其他新聞】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.securityweek.com/sumo-logic-completes-investigation-into-recent-security-breach/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">SIEM廠商Sumo Logic針對月初的資安事故進行調查，強調客戶資料不受影響</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.documentcloud.org/documents/24173151-az_individual-notice-letter-sample"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">汽車零件經銷商AutoZone遭遇MOVEit Transfer漏洞攻擊，18萬人個資外洩</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/hacktivists-breach-us-nuclear-research-lab-steal-employee-data/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織聲稱入侵美國核子研究實驗室，竊得數十萬員工個資</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://unit42.paloaltonetworks.com/two-campaigns-by-north-korea-bad-actors-target-job-hunters/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">北韓駭客冒充徵才者、求職者，騙取經濟利益</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.eff.org/deeplinks/2023/11/low-budget-should-not-mean-high-risk-kids-tablet-came-preloaded-sketchyware"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Dragon Touch廉價平板電腦暗藏惡意軟體Corejava</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>近期資安日報</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159939"><strong>【11月21日】中國駭客組織Mustang Panda鎖定東南亞發動數起網釣攻擊，起因疑與8月發生的菲律賓海上軍事衝突有關</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159921"><strong>【11月20日】駭客近半年散布逾30款惡意PyPI套件，利用PNG圖檔埋藏攻擊意圖，美國、中國、法國皆有開發者受害</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159893"><strong>【11月17日】針對代管Exchange業務遭遇勒索軟體攻擊事故，雲端服務業者Rackspace透露損失估計500萬美元</strong></a></p> </div></div></div>
2023/11/22 17:18作者周峻佑https://www.ithome.com.tw/news/159948
Nvidia季報出爐，營收成長2倍，獲利成長12倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://nvidianews.nvidia.com/news/nvidia-announces-financial-results-for-third-quarter-fiscal-2024" target="_blank">Nvidia周二（11/21）公布</a>截至10月29日的2024財年第三季財報，該季Nvidia創下181.2億美元的營收，比去年同期成長206%，主要的驅動力為資料中心，該季的資料中心營收為145.1億美元，成長279%，季營收與資料中心營收雙雙創下Nvidia的新紀錄。</p> <p>181.2億美元的營收中，有145.1億美元來自資料中心，占Nvidia總營收的80%，遊戲營收為28.6億美元，成長81%，專業視覺化營收為4.16億美元，成長108%，汽車營收為2.61億美元，成長4%。除了營收創紀錄之外，該季Nvidia的淨收入達到92.4億美元，成長1,259%，每股盈餘為3.71美元，成長1,274%。</p> <p>Nvidia執行長黃仁勳表示，該公司的強勁成長反映出廣泛的產業平臺正從通用目的轉移到加速運算與生成式AI，包括大型語言模型、消費者網路公司，以及全球雲端服務供應商都是首批先行者，而下一波的浪潮也正在形成。國家與區域性的內容服務供應商正在投資AI雲端以迎合地區性的需求，企業軟體公司正於平臺上添增AI副手與助理，企業也正在建置客製化AI以自動化全球的各大產業。</p> <p>黃仁勳指出，不管是Nvidia的GPU、CPU、網路、AI代工服務或是AI企業軟體都在全速成長，生成式AI的時代正在起飛。</p> </div></div></div>
2023/11/22 14:26作者陳曉莉https://www.ithome.com.tw/news/159947
幣安與趙長鵬認了洗錢，趙長鵬卸下執行長職位
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大加密貨幣交易平臺幣安（Binance）與該平臺的創辦人暨執行長趙長鵬（Changpeng Zhao，CZ）周二（11/21）<a href="https://www.justice.gov/opa/pr/binance-and-ceo-plead-guilty-federal-charges-4b-resolution" target="_blank">承認參與了洗錢活動</a>，其中，幣安同意支付超過40億美元的罰款，而CZ則以高達1.75億美元的保釋金獲釋，預計於明年2月舉行量刑聽證會，同時CZ也宣布辭去幣安執行長一職，由幣安全球區域市場負責人Richard Teng接任。</p> <p>美國司法部指出，2017年上線的幣安為全球最大的加密貨幣交易平臺，主要的客戶來自美國，因此被要求向金融犯罪執法局（Financial Crimes Enforcement Network，FinCEN）註冊，亦必須實施有效的反洗錢計畫，然而，幣安為了規避相關法令，選擇單獨針對美國用戶發表Binance.US，但主要平臺還是擁有大批的美國用戶，且為了留住特別有價值的VIP用戶，還主動聯繫他們，提供於離岸建立新帳號的資訊，以及鼓勵他們提供並非落腳美國的資訊。</p> <p>此外，幣安也未能確實履行反洗錢（Anti-Money Laundering，ALM）計畫，包括沒有全面實施「了解你的客戶」（Know Your Customer，KYC）規定，也未能系統性地監控交易，且幣安從未向FinCEN提交過任何的可疑活動報告（Suspicious Activity Report，SAR）。</p> <p>調查顯示，即使幣安自2021年8月開始要求所有用戶提供KYC規定，但直至2022年的5月，依然允許未符合的用戶繼續交易。自2017年8月到2022年10月間，美國用戶透過該平臺執行了數兆美元的交易，替幣安帶來逾16億美元的利潤。</p> <p>調查也發現幣安無視美國的制裁，依舊允許遭到美國制裁的國家與美國用戶交易，在2018年1月至2022年5月間，美國用戶與伊朗用戶之間的交易量就超過9.89億美元。</p> <p>幣安承認該公司將成長與獲利置於美國法令之上，同意美國沒收逾25億美元的不法所得，也願意支付18億美元的罰款，以解決司法部對幣安違反《銀行保密法》（Bank Secrecy Act，BSA）、未註冊匯款業務，以及國際緊急經濟權力法（International Emergency Economic Powers Act，IEEPA）的調查。</p> <p>至於身為加拿大公民的趙長鵬則承認未能維持有效的反洗錢計畫，違反BSA，也宣布辭去幣安執行長一職。</p> <p><a href="https://www.binance.com/en/blog/leadership/binance-announcement-reaching-resolution-with-us-regulators-2904832835382364558" target="_blank">幣安</a>與<a href="https://twitter.com/cz_binance/status/1727063503125766367" target="_blank">趙長鵬</a>都在同一天發出了聲明，坦承犯了錯誤，但強調美國司法部並未指控幣安挪用任何用戶的資金，也未指控幣安從事任何市場操縱，該公司從未動搖過堅持使用者的核心價值觀，替每一個用戶的資產提供一比一的支援，意味著使用者隨時可以自平臺上提取100%的資產。</p> <p>由於接下執行長職務的Teng擁有30年的金融服務與監管經驗，曾擔任阿布達比全球市場（ADGM）金融服務監管局執行長、新加坡交易所（Singapore Exchange）的監管長，以及新加坡金融管理局的企業融資總監，再加上現在除了KYC與IP封鎖之外，幣安亦藉由第三方工具以自動實施各國制裁規定，幣安已承諾未來將成為執法部門打擊全球非法金融活動最重要的全球合作夥伴之一。</p> <p>至於趙長鵬則說他想好好休息一下，未來可能參與被動投資，應該不會再讓自己成為新創的執行長了。</p> </div></div></div>
2023/11/22 14:12作者陳曉莉https://www.ithome.com.tw/news/159946
三星英國分公司第三方應用漏洞被駭，致客戶資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三星英國分公司（Samsung UK）稍早證實，由於使用的第三方網站軟體漏洞遭駭，導致部分顧客個資遭到竊取，成為今年第三起資料外洩事件。</p> <p>上周四<a href="https://twitter.com/troyhunt/status/1724900059639324804" target="_blank">有英國三星產品用戶反映</a>接到<a href="https://forums.androidcentral.com/threads/samsung-uk-hacked.1062339/" target="_blank">通知</a>，告知一起資安事件影響其個人資料。三星指出，11月13日，該公司使用的第三方公司商務程式的漏洞遭非經授權用戶濫用，以致2019年7月1日到2020年6月30日之間，在SEUK電子商務平臺eCommerce網站上購物的特定客戶部分個資遭到存取。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1122-samsung%20breach%20by%20Michael%20Valentine%20on%20X.png" style="width: 384px;" /></p> <p><a href="https://twitter.com/troyhunt/status/1724900059639324804" target="_blank"><span style="font-size:14px;">圖片來源_Michael Valentine on X</span></a></p> <p>三星一經發現異常已經暫停受影響應用程式的運作，並釐清事件起因以及受影響的資料範圍。經過調查，受影響的客戶個資包括姓名、電話、地址和電子郵件信箱。</p> <p>三星對<a href="https://www.techradar.com/pro/security/samsung-warns-some-customers-their-data-may-have-been-stolen-by-hackers" target="_blank">美國媒體</a>證實此事，並表示美國公司及用戶不受影響。但三星並未說明是何種第三方應用程式遭駭。</p> <p>三星已經新增資安技術措施，包括修補軟體漏洞，也通報英國資訊委員會辦公室。三星呼籲用戶留意近日詢問個資的聯繫，並避免點擊陌生連結和附件，以免遭網釣或惡意程式攻擊。</p> <p>這是三星今年第三度遭遇網路攻擊。前二次分別是<a href="https://www.ithome.com.tw/news/149739" target="_blank">3月間</a>的Lapsus$組織駭入其內部網路，取得Galaxy裝置程式碼及一些安全加密演算法，以及<a href="http://www.ithome.com.tw/news/152879" target="_blank">7</a><a href="https://www.ithome.com.tw/news/152879" target="_blank">月間</a>美國三星遭駭致數量不詳的客戶個資外洩。</p> </div></div></div>
2023/11/22 12:43作者林妍溱https://www.ithome.com.tw/news/159944
微軟鬆綁Windows 11內建搜尋，歐盟地區可開始使用Google等搜尋引擎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在歐盟壓力下，<a href="https://blogs.windows.com/windows-insider/2023/11/16/previewing-changes-in-windows-to-comply-with-the-digital-markets-act-in-the-european-economic-area/" target="_blank">微軟本周宣布</a>，提供新措施允許歐盟用戶在Windows 11搜尋中，使用Google等競爭搜尋引擎來搜尋網際網路。</p> <p>Windows搜尋預設是使用Bing搜尋引擎來搜尋網頁內容。但透過最新Windows 11 23H2 Build 22631.2787，歐洲經濟區（EEA）的用戶可以設定讓Windows 搜尋使用其他搜尋引擎進行搜尋。微軟表示，最新版本Windows即將在未來幾個星期中，透過Release Preview頻道部署給用戶。</p> <p>這是繼<a href="https://www.ithome.com.tw/news/158616" target="_blank">9月份微軟以預覽版</a>允許歐洲經濟區的Windows 11用戶，在Windows Widget中使用競爭搜尋引擎擴大鬆綁的新措施。微軟是在歐盟數位市場法（Digital Markets Act）下，被迫鬆綁Windows和搜尋。微軟會在2024年3月6日以前完成Windows 10 22H2及Window 11 23H2 PC的合規。</p> <p><a href="https://learn.microsoft.com/en-us/windows/apps/develop/search/search-providers" target="_blank">微軟說明</a>，Windows搜尋和搜尋引擎的整合，方法是建立MSIX套件資訊清單（package manifest），以便向OS註冊搜尋引擎。使用者可以從Microsoft Store下載安裝相關的App套件新增第三方搜尋引擎，如Google、DuckDuckGo，之後若想移除，可以透過「Windows設定」App中的「新增或移除程式」頁將之移除。</p> <p>微軟之前已允許所有Windows 11用戶移除Camera、Cortana、Photos App。歐洲經濟區用戶則還可以移除Bing網頁搜尋及Edge瀏覽器。</p> </div></div></div>
2023/11/22 13:10作者林妍溱https://www.ithome.com.tw/news/159945
Google雲端在Compute Engine VM添加自定義佇列功能大幅增強網路效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端允許用戶在Compute Engine虛擬機器上的虛擬網路介面卡， <a href="https://cloud.google.com/blog/products/compute/boost-your-vm-with-virtual-network-interfaces">自定義佇列（Custom Queues）</a>的數量來最大化網路效能，進一步滿足高頻寬和大流量工作負載的網路效能需求。藉由自定義佇列，用戶不用增加額外的成本，便可以改善高流量應用的效能。</p> <p>過去虛擬網路介面卡分配固定數量網路佇列的機制，限制了每個虛擬網路介面卡可以使用的佇列數量，而可能對工作負載的效能產生影響，Google舉例，像是擁有8個虛擬網路介面卡的standard-128虛擬機器，每個虛擬網路介面卡只能擁有8個佇列，而這僅是虛擬機器可用最大佇列數量的一半。</p> <p>這樣的情況迫使使用者需要垂直擴展選擇更大的虛擬機器，或是減少虛擬網路介面卡的數量，以確保每個虛擬網路介面卡能夠使用夠多的佇列，但這兩種選擇不只無法讓服務良好地擴展，還會額外增加成本。</p> <p>而現在Google雲端提供新的選擇，是允許用戶對每個虛擬網路介面卡設定自定義佇列，根據不同的虛擬網路介面卡的驅動程式類型，手動設定最大數量的網路佇列。使用virtIO時，最大佇列數量可達32，而使用gVNIC的時候最多則為16個。</p> <p>該新功能有助於提升高頻寬應用程式，或是需要處理大流量的人工智慧工作負載效能，這項功能可最大化網路效能，供用戶更好地利用資源，虛擬機器的效能也會因為自定義佇列而改善，而且虛擬機器可以在保持網路效能的同時更好地擴展。</p> <p>自定義佇列功能已包含在第一層（Tier_1）高頻寬網路和第二代Google Compute Engine虛擬機器中，無需額外費用即可使用。結合自定義佇列與佇列超訂（Oversubscription）兩功能，虛擬機器更可獲得顯著的彈性和效能提升。</p> <p>當用戶使用gVNIC驅動程式類型的N2、N2D、C2或C2D虛擬機器，並且啟用第一層網路，用戶便可以使用佇列超訂，現在不只可替一個虛擬網路介面卡分配16個網路佇列，還能夠對所有虛擬網路介面卡都分配16個網路佇列，使虛擬網路介面卡上的佇列數量可以超過虛擬機器vCPU的數量。</p> <p>在佇列超訂的情況下，每個虛擬機器的總佇列數量將會是虛擬網路介面卡數量的16倍，賦予網路密集型應用提供高吞吐量能力。官方提到，在基準測試中使用預設佇列分配，網路虛擬設備僅能實現其宣稱吞吐量的50％，而藉由自定義佇列與佇列超訂，吞吐量便可達到接近飽和。</p> </div></div></div>
2023/11/22 11:21作者李建興https://www.ithome.com.tw/news/159942
Anthropic釋出Claude 2.1，脈絡長度達20萬個Token
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI的競爭對手<a href="https://www.anthropic.com/index/claude-2-1" target="_blank">Anthropic周二（11/21）釋出了Claude 2.1模型</a>，包括API與聊天服務claude.ai 都開始採用新模型。Claude 2.1所支援的脈絡長度多達20萬個Token，改善了準確度，開始測試讓Claude整合其它工具，也推出了系統提示（System Prompt）功能。</p> <p>脈絡長度指的是模型在生成答案時所參考的資料範圍，涵蓋使用者曾輸入的文字或模型曾產生的答案，以讓模型得以持續給出相關的答案，亦支援更大的資料輸入。Claude 2.1所支援的20萬個Token脈絡不僅是Claude 2.0的兩倍，也已凌駕OpenAI GPT-4 Turbo的12.8萬個Token，相當於15萬個文字或是500頁的文件。</p> <p>Anthropic表示，自從Claude聊天服務在今年上線後，便有數百萬名使用者利用它來翻譯學術報告、起草商業計畫或是分析複雜的合約，許多使用者在處理龐大文件時，想要有更長的脈絡與更精確的輸出，使得Anthropic決定將脈絡長度擴大一倍。</p> <p>透過新的Claude 2.1，使用者可以輸入大量的內容或資料，以執行摘錄、Q&A、趨勢分析，或是比較多個不同的文件等。</p> <p>而在準確度上，Claude 2.1的虛假陳述只有Claude 2.0的一半，另也改善了對內容的理解與摘錄，特別是法律文件、財報與技術規格等需要高準確度的龐雜內容，出現錯誤答案的比例減少了30%，對於支持特定聲明的文件所產生的錯誤結論更減少了3~4倍。</p> <p>Claude 2.1亦可整合特定的工具以彌補模型的不足，例如整合計算機，或是將自然語言請求換成結構性的API呼叫，也能要求模型透過資料庫或網路搜尋來回答問題，也能連結至產品資料集來提出購買建議。唯此一功能目前仍處於早期開發階段。</p> <p>至於系統提示則是大型語言模型的常見功能，它可在使用者輸入提示前先設定模型的系統提示，例如告訴模型以特定角色或是一致的方式產生回應。</p> <p>Claude 2.1亦支援免費AI聊天服務，而其付費版的價格是輸入每100萬個Token為8美元，輸出每100萬個Token為24美元，而GPT-4 Turbo的價格則分別是10美元與30美元。</p> </div></div></div>
2023/11/22 11:40作者陳曉莉https://www.ithome.com.tw/news/159943
【資安日報】11月21日，中國駭客組織Mustang Panda鎖定東南亞發動數起網釣攻擊，起因疑與8月發生的菲律賓海…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">今年上半，中國駭客組織Mustang Panda的攻擊行動頻傳，這些駭客著眼的目標與烏克蘭戰爭有關，大多是對於曾經協助該國的歐洲國家下手。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">但到了下半年，這些駭客開始轉換目標，再度把攻擊聚焦在先前曾鎖定的東南亞國家。例如，發生在8月的攻擊行動，就是針對東南亞國家而來，研究人員推測，這波攻擊主要是與菲律賓之間的衝突有關。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【攻擊與威脅】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://unit42.paloaltonetworks.com/stately-taurus-targets-philippines-government-cyberespionage/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客組織Mustang Panda鎖定東南亞國家軍事單位下手，主要可能是針對菲律賓而來</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">上週資安業者Palo Alto Networks揭露新的攻擊，中國駭客組織Mustang Panda（亦稱Earth Preta、Red Delta、Stately Taurus）發起3次行動，時間就在今年的8月。這些攻擊的主要目標，是包含菲律賓政府在內的南太平洋組織，駭客假借提供Solid PDF Creator、印尼防毒軟體Smadav的名義，藉由這些應用程式來側載惡意軟體，此外，為了隱匿行蹤，駭客還會偽裝連線C2的流量來源，企圖讓用戶以為是從微軟連入。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">這些攻擊行動的流程相當類似，研究人員都是看到駭客先將惡意檔案儲存於雲端服務，然後引誘使用者點選連結，下載惡意ZIP壓縮檔。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">由於這些攻擊發生的時間，正好發生中國海警對菲律賓海岸警衛隊（PCG）的船隻發射水砲的事件，研究人員推測，上述的攻擊事件至少有一起是針對菲律賓政府而來。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://outpost24.com/blog/lummac2-anti-sandbox-technique-trigonometry-human-detection/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊資軟體Lumma測量滑鼠移動的軌跡，判斷是否在沙箱環境運作，以此躲避偵測</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/image19-Unveiling-LummaC2-stealer-v2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image19-Unveiling-LummaC2-stealer-v2.png" style="width: 300px; float: right;" /></a>資安業者Outpost24揭露竊資軟體Lumma（亦稱LummaC2）近期的攻擊行動，研究人員取得最新的Lumma Stealer 4.0版進行分析，發現這些駭客運用了極為複雜的手法迴避偵測，當中的伎倆，包含：控制流程的扁平化混淆（Control Flow Flattening Obfuscation）、真人操作滑鼠行為的偵測、XOR加密、支援動態的組態檔案等。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">其中最為特殊的是偵測使用者操作滑鼠的行為，駭客為了確認此惡意程式是否在研究人員的沙箱環境執行，他們利用三角學（Trigonometry）來追蹤滑鼠游標的位置，以50毫秒的間隔記錄5個位置，然後透過歐幾里得向量（Euclidean Vector）進行計算，若是得出的角度低於45度，才會認定是人類操作的行為，執行該竊資軟體。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="http://www.trendmicro.com/en_us/research/23/k/cve-2023-46604-exploited-by-kinsing.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Kinsing鎖定訊息導向中介軟體ActiveMQ重大漏洞，部署挖礦程式、Rootkit</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">10月底訊息導向中介軟體ActiveMQ公告修補漏洞CVE-2023-46604，其CVSS風險高達10分，同時，因為其造成的影響可能相當廣泛而引起注意，前一段時間傳出有人將其用於發動勒索軟體HelloKitty（亦稱Five Hand）、TellYouThePass，如今又有其他駭客跟進。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資安業者趨勢科技發現，使用惡意軟體Kinsing的駭客近期也鎖定這項漏洞而來，對於存在漏洞的ActiveMQ伺服器發動攻擊。駭客利用名為ProcessBuilder的函式方法，於目標系統執行命令，從而利用漏洞進行入侵，下載Kinsing並執行。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">該惡意程式同樣利用ProcessBuilder來執行惡意bash指令碼，下載額外的酬載，並建立系統層級的處理程序，研究人員指出，駭客這麼做的目的，不只能夠迴避偵測，還能執行複雜的命令或是指令碼。此外，在啟動挖礦工具之前，Kinsing會終止相關處理程序、crontab、網路連線，避免其他駭客占用運算資源。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.rnbo.gov.ua/files/2023_YEAR/CYBERCENTER/november/APT29%20attacks%20Embassies%20using%20CVE-2023-38831%20-%20report%20en.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歐洲多個國家的大使館遭到網路攻擊，兇手是俄羅斯駭客APT29，他們發動WinRAR漏洞攻擊</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/APT29_DIPLOMATIC-CAR-FOR-SALE-BMW_lure.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/APT29_DIPLOMATIC-CAR-FOR-SALE-BMW_lure.jpg" style="width: 300px; float: right;" /></a>烏克蘭國家安全暨防禦委員會（NDSC）提出警告，俄羅斯駭客組織APT29（亦稱Cozy Bear、Nobelium）使用惡意的ZIP壓縮檔，針對多個歐洲國家，包括：亞塞拜然、希臘、羅馬尼亞、義大利。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">其中，在5月鎖定烏克蘭外交官的攻擊行動裡，對方利用BMW汽車廣告做為誘餌，一旦收信人開啟附件，就有可能觸發HTML走私（HTML Smuggling）行動，於受害電腦植入帶有惡意酬載的ISO映像檔。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">而在最近的攻擊行動裡，駭客統合原本的手法及新的技術，濫用應用程式交付平臺Ngrok提供的免費靜態網域功能，來架設C2伺服器，然後，他們也在惡意壓縮檔運用了WinRAR漏洞CVE-2023-38831（CVSS風險評分為7.8）。NDSC認為，這些駭客的攻擊行動之所以受到矚目，原因是同時使用舊的誘餌，並導入新的攻擊手段。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://nsfocusglobal.com/the-new-apt-group-darkcasino-and-the-global-surge-in-winrar-0-day-exploits/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織DarkCasino利用WinRAR漏洞發動攻擊，目標鎖定加密貨幣用戶</span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/DarkCasino-4_2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DarkCasino-4_2.jpg" style="width: 300px; float: right;" /></a>資安業者Nsfocus揭露駭客組織DarkCasino近期的攻擊行動，這些駭客擅長將其他組織的手法融入攻擊行動，像是他們曾經模仿另一個駭客組織Evilnum的攻擊手法。但從今年4月，DarkCasino改變其攻擊手法，鎖定全球加密貨幣用戶，其中包含了韓國、越南等非英語系的亞洲國家。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">這些駭客利用了WinRAR零時差漏洞CVE-2023-38831（CVSS風險評分為7.8），意圖對攻擊目標散布木馬程式DarkMe，從而在電腦收集系統資訊、截取螢幕截圖、竄改機碼、執行CMD命令。駭客假借提供賺錢技巧、投資加密貨幣建議等資訊，意圖引誘使用者上當，開啟壓縮檔的內容。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">研究人員調查過程中發現，多個駭客組織也利用這項漏洞發動攻擊，包含東南亞駭客組織DarkPink、東亞<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">駭客</span>組織Konni、東歐<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">駭客</span>組織GhostWriter，分別針對越南和馬來西亞政府機關、韓國加密貨幣產業、烏克蘭國防及教育機構出手。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【漏洞與修補】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.securityweek.com/johnson-controls-patches-critical-vulnerability-in-industrial-refrigeration-products/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">江森自控修補工業冷凍系統的嚴重漏洞</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月9日江森自控（Johnson Controls）發布資安公告，指出旗下的工業冷凍系統存在CVE-2023-4804，攻擊者有可能利用這項漏洞，導致除錯功能意外曝露，而能夠在未經授權的情況下存取，影響Quantum HD Unity多項元件，包含壓縮機、AcuAir、冷凝器的主控臺，CVSS風險評為10分。美國網路安全暨基礎設施安全局（CISA）也發布警告，呼籲企業組織應儘速修補。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">漏洞成因相當複雜，很有可能是更為深層的軟體供應鏈問題。由於這個工業冷凍系統產品線是併購而來，相關漏洞有可能是最初的開發商所留下。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">根據資安新聞網站SecurityWeek報導，揭露此漏洞的研究人員指出，Johnson Controls耗費半年才發布更新程式，因為他們發現影響比原先預期來得廣泛。該公司並非不重視資安，他們規畫完善的漏洞揭露流程，並組成產品安全團隊，在工業控制系統及SCADA業者來說算是相當領先，但還是花了很多時間才完成修補。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資料來源</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">1. <a href="https://www.johnsoncontrols.com/-/media/jci/cyber-solutions/product-security-advisories/2023/jci-psa-2023-09.pdf?la=en&hash=3A4A98244141122D9019B5EAF3B58314DAA63E4D">https://www.johnsoncontrols.com/-/media/jci/cyber-solutions/product-security-advisories/2023/jci-psa-2023-09.pdf?la=en&hash=3A4A98244141122D9019B5EAF3B58314DAA63E4D</a><br /> 2. <a href="https://www.cisa.gov/news-events/ics-advisories/icsa-23-313-01">https://www.cisa.gov/news-events/ics-advisories/icsa-23-313-01</a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【其他新聞】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.setn.com/News.aspx?NewsID=1386417"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">雄獅、中石化、泰山傳遭駭客攻擊，引起政府重視</span></span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/rhysida-ransomware-gang-claims-british-library-cyberattack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體Rhysida聲稱是大英圖書館網路攻擊的幕後黑手</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/vx-underground-malware-collective-framed-by-phobos-ransomware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體Phobos鎖定資安社群VX-Underground而來</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://abnormalsecurity.com/blog/attackers-exploit-middle-east-crisis-solicit-cryptocurrency-donations"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客假借以巴衝突的名義，謊稱為災民募款進行詐騙</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.sentinelone.com/labs/elephant-hunting-inside-an-indian-hack-for-hire-group/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露印度僱庸駭客組織Appin Software Security</span></span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>近期資安日報</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159921"><strong>【11月20日】駭客近半年散布逾30款惡意PyPI套件，利用PNG圖檔埋藏攻擊意圖，美國、中國、法國皆有開發者受害</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159893"><strong>【11月17日】針對代管Exchange業務遭遇勒索軟體攻擊事故，雲端服務業者Rackspace透露損失估計500萬美元</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159875"><strong>【11月16日】殭屍網路OracleIV、Ddostf分別鎖定Docker環境、MySQL伺服器而來，將其用於發動DDoS攻擊</strong></a></p> </div></div></div>
2023/11/21 18:18作者周峻佑https://www.ithome.com.tw/news/159939
直用最新CPU、GPU、AI加速晶片進行測試，英特爾雲服務上線
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/intel_developer_cloud_console-3-main.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾年來，伺服器CPU、GPU、加速運算卡推陳出新的速度加快，然而，受限於晶片本身的產能短缺，系統廠商設計製造相關產品的市場獲利考量，以及雲端業者將這些運算平臺轉為可營運的執行個體服務，需要投入時間、人力進行規畫等因素，最終用戶要能實際接觸到這些新產品，進行測試、評估、驗證，可能要等上一年半載。</p> <p>因應這方面的需求，處理器廠商英特爾在2019年，推出雲端硬體部署測試平臺<a href="https://www.intel.com/content/www/us/en/developer/tools/devcloud/edge/overview.html">Intel DevCloud for the Edge</a>，企業透過這個涵蓋英特爾旗下多款CPU、整合GPU、獨立GPU、VPU、FPGA等運算平臺的環境，可在此開發與測試基於OpenVINO Toolkit與其他軟體工具而成、用於邊緣運算工作負載的程式碼。</p> <p>2021年10月Innovation大會期間，該公司設立開發者專區，統合了開發者軟體型錄、DevCloud開發環境；隔年9月Innovation大會期間，英特爾宣布擴充Intel Developer Cloud，將會供應多款硬體平臺，作為這些產品上市之前的系統開發與測試之用，並開放部分開發者與合作廠商進行試用，使他們能更早接觸到英特爾幾個月至1年後推出的產品。透過這項雲端服務，可搭配英特爾提供的開發工具與資源，諸如Intel oneAPI Toolkits、電腦視覺AI模型開發軟體平臺Intel Geti，設計出具有最佳效能的應用系統，對於利用英特爾平臺所組建而成的解決方案，可藉此縮短上市時間。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Developer Cloud-2022-09-28_002224.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Developer%20Cloud-2022-09-28_002224.jpg" style="width: 600px;" /></a></p> <p>在Intel Developer Cloud的環境當中，用戶可存取哪些新產品？英特爾表示，能使用2022年上半問世的Habana Gaudi 2深度學習加速器、8月登場的Data Center GPU Flex系列，以及後續即將上市的產品，像是內建HBM記憶體的第四代Xeon Scalable處理器、代號為Ponte Vecchio的Data Center GPU（這兩款產品同年11月發表，分別是Xeon Max系列CPU與Data Center GPU Max系列），以及第四代Xeon Scalable處理器（2023年1月推出）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Developer Cloud-2022-09-28_002212.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Developer%20Cloud-2022-09-28_002212.jpg" style="width: 600px;" /></a></p> <p>到了今年9月的Innovation大會，英特爾宣布Intel Developer Cloud正式上線，</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-09-Intel Innovation-Day1-Intel Developer Cloud1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-Intel%20Innovation-Day1-Intel%20Developer%20Cloud1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-09-Intel Innovation Developer Cloud-A New Paradigm for AI Productivity.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-Intel%20Innovation%20Developer%20Cloud-A%20New%20Paradigm%20for%20AI%20Productivity.jpg" style="width: 298px;" /></a></p> <p>而在11月在臺Intel Innovation Taipei 2023大會，也有這套雲服務的功能特色展示。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-07-Intel%20Developer%20Cloud-Demo.jpg" style="width: 600px;" /></p> <p>最新推出的Intel Developer Cloud當中，提供最新發表的硬體平臺，包含已發表的Data Center GPU Max系列，就連12月14日推出的第五代Xeon Scalable處理器（代號Emerald Rapids），也即將在此上架，屆時有意試用的個別開發者、企業，不用苦苦等候伺服器廠商、公有雲業者將相關產品服務準備好，無需歷經廠商宣布開放試用、登記、核準等程序，就能在最快時間之內，開始著手評估新一代處理器的能耐與功效。<img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-Intel%20Devloper%20Cloud%20HW%20Portfolio.jpg" style="width: 600px;" /></p> <p>目前Intel Developer Cloud提供哪些功能？最吸引大家使用的部分，主要是英特爾目前最新與即將推出的硬體平臺，在這項服務的硬體型錄當中，涵蓋CPU、GPU、AI加速器等3大類型，用戶可在此建置虛擬機器、裸機、容器等3種環境。</p> <p>以第四代Xeon Scalable處理器為例，用戶能存取虛擬機器與裸機型態的伺服器，最大組態為2路、256GB記憶體、2TB硬碟；若是內建HBM記憶體Xeon Max系列處理器、Data Center GPU Max系列、Data Center GPU Flex系列、Gaudi2加速器，目前僅能存取裸機型態的伺服器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-09-Intel Developer Cloud-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-Intel%20Developer%20Cloud-1.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-Intel%20Developer%20Cloud-2.jpg" style="width: 298px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-09-Intel Developer Cloud-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-Intel%20Developer%20Cloud-3.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-09-Intel Developer Cloud-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-Intel%20Developer%20Cloud-4.jpg" style="width: 298px;" /></a></p> <p>隨著Intel Developer Cloud問世，英特爾也持續擴充當中的功能。根據目前公布的版本更新資訊來看，Intel Developer Cloud是在9月19日正式上線，版號為1.0.2，用戶可在此建立虛擬機器，可存取採用第四代Xeon Scalable處理器的伺服器，也能在此建立裸機運算環境，存取搭配深度學習加速卡Gaudi2的伺服器、採用第四代Xeon Scalable處理器的伺服器，以及採用Xeon Max系列GPU的伺服器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-09-Intel Developer Cloud-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-Intel%20Developer%20Cloud-5.jpg" style="width: 600px;" /></a></p> <p>10月3日Intel Developer Cloud升級至1.0.3版，可提供Gaudi2叢集（執行個體群組），目前這項雲端服務的最新版本為1.0.4，10月24日上線，增加許多新功能，例如，提供教育訓練與工作坊——針對AI、C++ SYCL、生成式AI，提供Jupyter Notebook腳本，當中可透過預載相依性元件與可執行範例，協助學生、教授、研究人員練習；增加新的生成式AI訓練服務，藉此了解Intel Data Center GPU Max系列用於這領域的成效，而這部分服務可適用不同類型的使用者，包含AI開發者、創作者、工程人員，以及一般人士。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Developer Cloud-Training and Workshop.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Developer%20Cloud-Training%20and%20Workshop.jpg" style="width: 600px;" /></a></p> <p>在此同時，Intel Developer Cloud在教學文件區，也新增<a href="https://console.cloud.intel.com/docs/tutorials/habana_gaudi2.html">Gaudi2訓練AI模型的作法</a>。而在整個管理主控臺的介面上，也提供深色、高對比背景模式（Dark mode）的切換，便於開發人員在亮度較低的現場環境進行操作。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Developer Cloud Dark Mode.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Developer%20Cloud%20Dark%20Mode.jpg" style="width: 600px;" /></a></p> <p>同時，在Intel Developer Cloud這個環境當中，也能運用英特爾發展的開放軟體基礎平臺oneAPI，供應支援多架構與多廠商程式模型的軟體與工具，協助開發人工智慧（AI）、高效能運算（HPC）領域的應用系統，在此進行組建、測試、調校工作，並且執行小型至大型的AI訓練、模型調整、推論工作負載，便於後續能以高效能、高效率的方式進行部署。</p> <p> <a href="https://s4.itho.me/sites/default/files/images/2023-09-Intel Devloper Cloud SW Portfolio.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-Intel%20Devloper%20Cloud%20SW%20Portfolio.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-09-Intel Innovation-Day2-Intel Develper Cloud-AI Model.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-Intel%20Innovation-Day2-Intel%20Develper%20Cloud-AI%20Model.jpg" style="width: 600px;" /></a></p> <p>根據英特爾公布的產品簡介文件，英特爾是以軟體型錄的方式，提供多種經過調校的英特爾開發工具包、程式庫軟體，以及AI框架、延伸套件、軟體套餐，並且也預計提供AI服務，可使用多種AI基礎模型。可惜的是，目前這兩大部分的服務尚未上架到Intel Developer Cloud。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Developer Cloud SW_HW.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Developer%20Cloud%20SW_HW.png" style="width: 600px;" /></a></p> <p>值得注意的是，Intel Developer Cloud推出之後，英特爾就明確列出3種服務等級，有免費的標準版，提供社群論壇支援、無服務等級協定，也有付費的尊爵版、企業版——若是存取裸機環境，兩個付費版用戶均可操作到單一節點的系統或叢集，並且可存取Kubernetes叢集；技術支援方面，尊爵版提供週一至週五上午8時至下午5時的英特爾技術工程師，企業版提供24x7，以及1小時至1天的電話、文字交談、求助工單等支援。</p> <p>此外，免費版與尊爵版僅開放單一使用者存取，企業版允許多人團隊存取。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Developer Cloud Service Tier.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Developer%20Cloud%20Service%20Tier.png" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Intel Developer Cloud</strong><br /> ●原廠：英特爾<br /> ●建議售價：標準版免費，尊爵版依使用小時計費，企業版採月訂閱制、依點數計費<br /> ●提供硬體運算平臺：CPU（第四代Xeon Scalable、Xeon Max系列）、GPU（Data Center GPU Max系列、Data Center GPU Flex系列）、AI加速器（Habana Gaudi2）<br /> ●提供軟體開發平臺：Intel工具包與程式庫（oneAPI Base Toolkit、Rendering Toolkit、HPC Toolkit、Quantum SDK、Jupyter notebooks等）、AI框架（Optimization for PyTorch與TensorFlow、OpenVINO Toolkit、Neural Compressor等）<br /> ●AI服務：TII Falcon LLM、MosaicML MPT、Hugging Face BLOOM、Stability.AI Stable Diffusion、Meta AI Llama 2、Databricks Dolly</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/11/21 17:47作者李宗翰https://www.ithome.com.tw/review/159908